IBM Verify Access 同批修七漏洞：两枚 9.8 未认证反序列化 RCE
IBM 发布安全公告修复 Security Verify Access 与 Verify Identity Access 七个漏洞：CVE-2026-78401 与 78406 为未认证反序列化 RCE，CVSS 均 9.8，另有认证绕过与参数注入，影响 10.0.9.2 与 11.0.3 及之前版本。
反序列化
CISA 通告 openPDC/openHistorian 五漏洞：电网数据平台可未认证 RCE
CISA 发布 ICSA-26-281-02，通报电网监测平台 openPDC/openHistorian 五个漏洞，含 CVE-2026-100730 未认证反序列化 RCE 与 Docker 镜像硬编码管理员凭据，均为 CVSS 9.8，官方已给出修复版本。
CVE-2026-28324：SolarWinds 可观测性平台未认证 RCE，CVSS 9.8
SolarWinds 于 9 月 22 日发布 Observability Self-Hosted 2026.2.3，修复 CVE-2026-28324（CVSS 9.8）与 CVE-2026-28325（CVSS 8.8）两处未认证远程代码执行漏洞，非默认配置部署受影响，官方称暂无在野利用证据。
CVE-2026-81657：IBM Guardium 12.2 批量漏洞，未认证反序列化 RCE 达 CVSS 9.8
IBM 于 9 月 16 日披露 Guardium Data Protection 12.2 的 20 余个漏洞，其中 4 个 CVSS 9.9、5 个 CVSS 9.8，涉及 LoadBalancerServlet 缺失认证与未认证反序列化 RCE，官方补丁已发布。
CVE-2026-70416：戴尔 ObjectScale 反序列化漏洞满分，未认证即可接管存储集群
戴尔安全公告 DSA-2026-393 披露 ObjectScale 与 ECS 多个漏洞，其中 CVE-2026-70416 为不可信数据反序列化，CVSS 10.0，未认证攻击者可远程执行代码并完全接管对象存储环境。
CVE-2026-78006：The Events Calendar 未认证 PHP 对象注入，CVSS 9.8 可 RCE
WordPress 活动日历插件 The Events Calendar 6.17.4 及以下版本被披露未认证 PHP 对象注入漏洞 CVE-2026-78006，CVSS 9.8。攻击者只需在活动页提交一条评论即可触发反序列化并执行代码。
CVE-2026-62103：WordPress 表单插件 Everest Forms 未认证 PHP 对象注入，CVSS 9.8
Everest Forms 3.6.0 及更早版本存在未认证 PHP 对象注入漏洞 CVE-2026-62103，CVSS 9.8。攻击者无需登录即可提交恶意序列化数据，配合站点内已有 POP 链可致代码执行。
Ivanti Neurons for ITSM 修复 8 个漏洞含 6 个严重级：未认证反序列化可直接 RCE
Ivanti 修复 Neurons for ITSM 的 8 个漏洞，其中两个未认证反序列化漏洞 CVSS 9.8 可直接 RCE，本批漏洞由内部大语言模型辅助发现，云环境已自动修复。
GiveWP WordPress 捐赠插件曝未认证 CVSS 10.0 RCE：10 万站点面临完整服务器接管威胁
Patchstack 披露 GiveWP WordPress 捐赠插件 CVE-2026-82222，CVSS 3.1 评分 10.0 满分，未认证攻击者通过注册绕过 + 反序列化 + 捆绑库 gadget chain 三步链条，可向主机执行任意系统命令。全球超 10 万 WordPress 站点受影响，4.16.6 至 4.16.7.1 之间全部版本必须升级至 4.16.7.2。
WebLogic 安全加固实战：反序列化漏洞防护配置
WebLogic 安全加固实战指南，覆盖反序列化漏洞（CVE-2015-4852、CVE-2017-10271、CVE-2019-2725）原理、T3 协议禁用、连接筛选器与 WAF 联动配置，帮助运维快速收敛中间件暴露面。
CVE-2026-79784：Vocos 模型加载框架曝任意类实例化漏洞，AI 模型供应链再敲警钟
AI 音频模型框架 Vocos 曝出 CVE-2026-79784 高危漏洞（CVSS 8.8），允许 Hugging Face 上的恶意 config.yaml 在加载阶段触发任意 Python 类实例化并执行任意代码。
CVE-2026-76197：Adobe Campaign Classic 曝 OS 命令注入漏洞，CVSS 评分 10.0 满分
Adobe Campaign Classic 曝出 CVSS 10.0 满分命令注入漏洞 CVE-2026-76197，允许未经身份验证的攻击者远程执行任意代码。Adobe 在 8 月 25 日发布安全公告，建议所有版本默认视为受影响。