银之皿外卖平台 650 万条信息或泄露：外包服务器商遭勒索
日本外卖寿司品牌银之皿的运营方 RIDE ON EXPRESS 控股 10 月 13 日宣布，其官网与 App 注册的最多约 650 万条个人信息可能已泄露，承载数据的第三方服务器运营商遭到勒索软件攻击。
供应链安全
SlugFest：npm 可信发布机制缺陷，1500 多个包面临劫持风险
Bloom Security 发现 npm 可信发布机制存在缺陷，1 个失效的仓库 slug 就能继承原有信任关系，向不属于自己的包推送恶意版本。受影响包超过 1500 个，累计下载量逾 1000 万次。
Zod 4.6.6 曝 npm 供应链投毒：恶意 preinstall 借以太坊合约取指令
10 月 11 日至 12 日，TypeScript 校验库 Zod 的仓库主分支被曝推入恶意 preinstall 脚本，安装时经以太坊智能合约取指令并执行二级载荷；恶意版本最终未进入 npm 正式分发包。
恶意 Terraform provider 投毒：假字体文件投递跨平台后门
Zscaler ThreatLabz 披露恶意 Terraform provider 投毒活动：名为 terraform-provider-awsbeta_v1.0.0 的恶意 provider 在加载时执行代码，用伪装成字体的 .woff 文件投递 FLATROOF 与 ROOFDECK 后门。
GhostAction 复活：恶意 GitHub Actions 工作流植入数万仓库窃取密钥
供应链攻击活动 GhostAction 复活：攻击者用被盗维护者凭证向数万个 GitHub 仓库植入伪装成安全审计的 Actions 工作流，遍历 git 历史窃取 AWS、OpenAI、Anthropic 密钥并明文回传。
日本企业信息泄露潮超四千万条：官方称攻击或由 AI 无差别驱动
日本连日密集披露信息泄露：罗森 215.5 万 ID、第一兴商约 872 万条、JR 东日本约 609 万条、BOOKOFF 集团约 643 万条、skyticket 约 1464 万条。日本官方与专家称攻击方或使用先进 AI 进行无差别自动化攻击。
FakeGit 复活：17610 个 GitHub 恶意仓库投递 SmartLoader 窃密
软件供应链安全厂商 Apiiro 披露，FakeGit 行动已于 10 月 4 日复活，其 GitHub 恶意仓库总数达 17610 个。34 小时内推送超 13000 个仓库，借 README 下载按钮投递 SmartLoader 与 StealC 窃密程序，部分伪装成 AI 技能与 MCP 服务器。
ccTLD 注册局被攻陷：攻击者为 Google 域名签发合法 HTTPS 证书
Google 于 10 月 7 日披露，攻击者攻陷加纳、塞拉利昂与美属萨摩亚三个 ccTLD 注册局的第三方运营方，篡改权威 DNS 记录并通过域名验证，为多个 Google 域名及其他品牌签发合法 HTTPS 证书。
Semgrep 代码审计实战：SAST 自动化扫描配置
Semgrep 代码审计实战教程：用官方规则集跑基线扫描，以自定义 taint 规则追踪用户输入到危险函数的传播路径，再接入提交钩子与持续集成实现增量阻断，附规则文件、CI 配置与误报治理方法。
MALFEX：8 个恶意 npm 包被下载 4 万次，投递 Overlord 远控
CloudSEK 与 Checkmarx 披露 MALFEX 供应链行动：8 个恶意 npm 包累计被下载 40,767 次，通过 postinstall 钩子投递 Overlord RAT 与 Node.js 窃密程序，其中 3 个包截至披露时仍在线。
Frontline Education 数据泄露：K-12 学区员工社保号经第三方软件外泄
教育软件商 Frontline Education 确认遭数据泄露，攻击者利用其使用的第三方软件漏洞进入系统，窃取学区员工社保号、邮箱与住址，单个学区即有 1210 人受影响。
TIKTOUK 工具包批量窃取 WordPress 凭据：3.7 万域名 5 万条凭证
LevelBlue 披露工具包 TIKTOUK，把暴露的 WordPress 配置备份、加密 SMTP 插件设置与前端 JavaScript 密钥串成流水线批量回收明文凭据，一个泄露面板含约 3.7 万域名下 5 万条服务器端凭据。