CVE-2026-102503：Google Agent Mesh 入口不验身份，两枚 9.3 分漏洞
Google OSS Agent Mesh 的 /libp2p-http 入口完全跳过 Biscuit 能力校验，任何 libp2p 节点可调后端 MCP 工具；配套的 CVE-2026-103091 还能自助入网，两枚均为 9.3 分。
云安全
CVE-2026-110812：Amazon Neptune 反序列化漏洞 CVSS 9.9，查询权限即可打穿引擎
AWS 安全公告 2026-136-AWS 修复 Amazon Neptune 的 CVE-2026-110812，Gremlin 图导入路径存在不可信数据反序列化问题，持有查询权限即可触发，CVSS 9.9。
CVE-2026-99999 PwnEscape：Linux 内核 IPv4 校验和缺陷致虚拟机逃逸，CVSS 9.3
Linux 内核 IPv4 校验和处理缺陷 CVE-2026-99999 允许不可信虚拟机越界读写宿主机内存并提权，CVSS 3.1 评分 9.3，上游已修复但多数发行版内核尚未跟上。
ConnectWise 备份应用身份被劫持：173 个微软 365 租户被登入
微软威胁情报确认一起针对 ConnectWise Cloud Backup（原 SkyKick Backup）的在野供应链攻击：攻击者取得该应用的 OAuth 身份后，10 月 15 日从单一 IP 以应用身份登入 173 个 Microsoft 365 租户，并试图给同一服务主体追加长期凭据。
CVE-2026-110447：Nextcloud 内置 Collabora 组件命令注入，已被植入 WebShell
Nextcloud 可选应用「Collabora Online – Built-in CODE Server」存在未认证系统命令注入漏洞 CVE-2026-110447，CVSS 4.0 评分 9.2。管理员自 9 月 10 日起观测到攻击者植入 PHP WebShell 并搜索密码库与加密货币钱包，仅停用应用无法防护。
SAP 10 月补丁日：Cloud SDK for Python 曝满分 OAuth2 SSRF 漏洞
SAP 10 月安全补丁日修复 20 个漏洞，其中 CVE-2026-89111 位于 Cloud SDK for Python，CVSS 满分 10.0。攻击者控制租户子域即可把 OAuth2 令牌请求引向自己的服务器，窃取客户端凭据。
多云 IAM 权限收敛实战：最小权限策略配置
多云 IAM 权限收敛实战教程：导出授权明细与凭证报告盘点现状，用 Access Analyzer 按访问活动生成最小权限，配合 permissions boundary 与 SCP 双层收窄，附策略模拟与密钥清理验证命令。
微软 10 月提前放 8 枚云服务 CVE：Partner Center 满分漏洞领衔
微软 10 月 10 日未等补丁星期二，提前发布 8 枚全部落在云端与托管服务侧的 CVE，其中 Partner Center 的 CVE-2026-96207 因证书校验不当拿下 CVSS 10.0。
IDCF Cloud 遭勒索攻击：软银 IDC Frontier 495 家客户服务中断
软银子公司 IDC Frontier 证实，其 IDCF Cloud 东日本 1 区于 10 月 7 日凌晨遭勒索攻击，495 家企业与地方政府受影响，虚拟服务器停摆且难以恢复，攻击者声称 7 分钟内加密 225 个数据存储。
密钥轮换实战：KMS 信封加密配置指南
密钥轮换教程：用 KMS 主密钥实现信封加密，generate_data_key 生成数据密钥，AES-256-GCM 加密业务数据，配置自动轮换周期与最小权限策略，附批量重加密脚本与历史数据解密验证。
TIKTOUK 工具包批量窃取 WordPress 凭据：3.7 万域名 5 万条凭证
LevelBlue 披露工具包 TIKTOUK，把暴露的 WordPress 配置备份、加密 SMTP 插件设置与前端 JavaScript 密钥串成流水线批量回收明文凭据，一个泄露面板含约 3.7 万域名下 5 万条服务器端凭据。
云函数安全加固实战：Serverless 最小权限配置
云函数安全加固实战：IAM 最小权限策略、密钥走 KMS 禁明文、事件参数白名单校验、HTTP 触发器签名与 WAF、VPC 出网收敛与并发上限，附越权验证。