CVE-2026-93577：GitLab CI/CD 正则触发远程代码执行漏洞预警
GitLab 发布 19.4.1、19.3.3 与 19.2.7，修复两个 CVSS 9.9 严重缺陷：正则解析器双重释放与正则编译器整数溢出。任意已登录用户只要在 CI/CD 配置中放入特制正则，即可在服务器上执行任意代码。
内存安全
CVE-2026-81642：Unbound DNSSEC 验证器堆溢出可致 RCE，1.26.1 一次修复 9 个漏洞
NLnet Labs 披露 Unbound 递归解析器 DNSSEC 验证器中的严重堆缓冲区溢出 CVE-2026-81642，CVSS 9.1，攻击者控制恶意区域即可触发，可能导致远程代码执行。1.26.1 版本集中修复 9 个 CVE。
CVE-2026-65414：苹果蓝牙越界写入 CVSS 9.8，iOS 27 与 macOS 一次修复 273 个漏洞
苹果 9 月 14 日发布 iOS 27、macOS Golden Gate 27 等全线更新，去重后修复 273 个唯一 CVE，其中蓝牙越界写入 CVE-2026-65414 评分 9.8，远程攻击者可致应用崩溃或执行任意代码，官方暂未发现在野利用。
微信零点击漏洞被做成蠕虫 WeWorm：来电响铃即接管账号，腾讯已服务端修复
安全机构 Calif 披露首个可跨 Android 与 iOS 传播的微信零点击蠕虫 WeWorm：利用微信 VoIP 协议栈内存破坏漏洞，来电响铃阶段即可接管账号并链式扩散。腾讯已服务端全量修复，无在野利用。
CVE-2026-25289：高通骁龙 WLAN 固件 NAN 协议栈缓冲区溢出漏洞 CVSS 9.6
高通 8 月安全公告披露 WLAN 固件栈缓冲区漏洞 CVE-2026-25289，CVSS 9.6，影响手机/汽车/IoT/可穿戴等数百款骁龙设备。
Apple Safari 26.6.1 修复 22 个 WebKit 漏洞：CVE-2026-65346 ImageIO 整数溢出可一键执行任意代码
Apple 8 月 18 日发布 Safari 26.6.1 与 macOS Tahoe 26.6.2，22 个 WebKit CVE 中 9 个由 OpenAI Codex Security 报告，焦点 CVE-2026-65346 ImageIO 整数溢出可一键触发任意代码执行，CVE-2026-64778 WebKit History 还可在受害者访问恶意站点时泄露敏感数据。
CVE-2026-18220：GNU binutils BFD DLX 后端 OOB 写入漏洞，CI/CD 与开发工作流面临 RCE 风险
SUSE 披露 GNU binutils BFD 库 DLX 后端 ELF 重定位处理越界写入漏洞 CVE-2026-18220 CVSS 7.8，攻击者可通过 objdump/readelf/strip 等工具链触发 RCE，CI/CD 与安全扫描系统风险最高。
Chrome 151 一次性修复 370 个安全漏洞，其中 CVE-2026-11645 V8 零日已被野利用
Google 发布 Chrome 151 稳定版，一次性修复 370 个安全漏洞（7 严重、71 高危、170 中危、122 低危）。其中 CVE-2026-11645（V8 越界读写，CVSS 8.8）已被列入 CISA KEV 目录并存在野外利用。新增 7 个严重漏洞（CVE-2026-17650 至 17656）涉及 Compositing、Views、Skia、Ozone、Dawn、ANGLE 与 Updater 的 use-after-free 与输入验证缺陷。
CVE-2026-60217：Oracle Coherence 未认证TCP接管漏洞（CVSS 10.0）
Oracle Coherence内存数据网格存在CVSS满分漏洞，未认证攻击者通过TCP即可完全接管集群，影响企业Java应用核心基础设施。
CVE-2026-42533：潜伏15年的nginx预认证远程代码执行漏洞曝光
安全研究员Stan Shaw披露nginx脚本引擎中存在一个潜伏15年的严重漏洞，远程未认证攻击者可通过堆缓冲区溢出实现预认证RCE，影响0.9.6至1.30.3所有版本。
Redis修复多个认证后RCE漏洞：AI研究代理发现Streams与RedisBloom严重缺陷
Redis于7月23日发布七项安全更新，修复由AI研究代理发现的多个认证后远程代码执行漏洞，涉及Streams use-after-free和RedisBloom TDigest越界写入，均可通过RESTORE命令触发。