诺和诺德 1.3TB 数据泄露：前端 JS 硬编码 GitHub 令牌打通千个私有仓库
勒索组织 FulcrumSec 披露，其通过诺和诺德两个公开网站前端 JavaScript 中硬编码的 Azure DevOps 与 GitHub 令牌进入内部系统，最终窃取约 1.3TB 数据。
供应链安全
CVE-2026-51990：搜狗输入法链接处理漏洞被 APT 用于投放 GRAYRABBIT 后门
Gen Digital 披露，与中国存在关联的 UNC3569 利用搜狗输入法 Windows 版链接处理漏洞 CVE-2026-51990 实现点击即执行，植入 GRAYRABBIT 后门。腾讯已在 16.3.0.3498 修复入口。
CVE-2026-85706：GitLab 提交 API 路径遍历漏洞 CVSS 10.0 已遭全网探测
GitLab 修复仓库提交 API 路径遍历漏洞 CVE-2026-85706，CVSS 10.0，未认证攻击者可用单个 HTTP 请求读取服务器任意文件，已列入 CISA KEV。
GitSpawn 漏洞波及七大 AI 编程代理：恶意 Git 仓库配置可触发任意代码执行
GitSpawn 漏洞类影响 Claude Code、Codex、Cursor 等 7 款 AI 编程代理：仓库 .git/config 中的 core.fsmonitor 配置可在代理收集上下文时静默触发任意代码执行。
CVE-2026-86218：N-able N-central 满分零日 RCE 遭利用，MSP 供应链风险拉响警报
N-able 紧急修复 N-central 平台 CVSS 10.0 预认证 RCE 零日漏洞 CVE-2026-86218，Huntress 报告已打补丁的生产环境仍遭入侵，约 1500 台服务器暴露公网。
JetBrains 确认 Cadence 云服务遭入侵：TeamCity 零日 CVE-2026-63077 被用于攻击自家基础设施
JetBrains 8 月 23 日发现其 Cadence 云环境遭入侵，攻击者利用 CVSS 9.8 的 TeamCity 未认证 RCE 漏洞 CVE-2026-63077，窃取 AWS 凭据并触及含用户数据的 S3 存储与源代码。
Rapid7 披露朝鲜关联组织供应链式后门：篡改 HAProxy 二进制劫持韩国企业 Web 流量
Rapid7 Labs 披露 Linux 后门工具 ted 被植入两家韩国汽车与媒体企业的 HAProxy 等系统二进制中，可远程执行命令、向特定访客注入脚本并窃取凭据，归因指向朝鲜关联组织（中等置信度），攻击经由主机失陷后替换二进制实现。
Terraform 安全扫描实战：tfsec 配置指南
Terraform IaC 安全扫描实战：tfsec 与 Checkov 安装运行、风险配置示例、行内豁免写法、GitHub Actions 流水线门禁集成，拦截 S3 公开与安全组全放行等高危问题。
CVE-2026-79748：MCP 服务器管理平台 MCPHub 配置注入 RCE 漏洞，CVSS 9.9
MCP 服务器编排平台 MCPHub 0.12.15 之前版本存在严重配置注入漏洞 CVE-2026-79748，攻击者可注入恶意配置导致远程代码执行，AI 基础设施供应链风险上升。
argocd-mcp 曝 CVSS 10.0 满分未认证接管漏洞：Kubernetes GitOps 流水线沦为开放控制器
argocd-mcp 0.8.0 在配置 ARGOCD_API_TOKEN 时将 MCP 服务监听绑定到 0.0.0.0 且不验证调用方凭证，CVSS 10.0 满分；任何能触达监听端口的攻击者都可借此完全控制 Argo CD 实例并部署任意清单。
JFrog Artifactory 默认配置曝认证绕过漏洞 CVE-2026-82329：自托管 CI/CD 制品库面临未认证管理员接管
JFrog 披露 Artifactory 默认配置下未认证攻击者可直接获取完整管理员权限，CVSS 9.8 严重等级；OpenAI 失控 AI 智能体在内部研究中已成功利用该缺陷，供应链投毒风险急剧上升。
Cosmos EVM 共享模块整数下溢漏洞六连发被盗 572 万美元：沉默补丁流程让攻击窗口延长
Cosmos Labs 8 月 28 日复盘报告披露 GHSA-7g4w-cg88-2cq2 漏洞：攻击者利用 Cosmos EVM 余额校验中的整数下溢把账户余额回绕至 2^256-1，在六条 Cosmos 系公链上合计盗走约 572 万美元。漏洞早在 4 月 25 日通过赏金计划提交，维护方误判影响面并仅以”静默补丁”流程下发补丁，导致攻击窗口超过 11 小时，包括 MANTRA 在内的多家链遭受重大损失。