开源安全

vm2 沙箱逃逸漏洞三连：CVE-2026-92938/92939/92940 最高 CVSS 10.0，修复版 3.11.7

作者

Node.js 沙箱库 vm2 的 3.11.3 至 3.11.6 版本同时暴露三个严重漏洞：node:sqlite 与 crypto.setEngine 可逃逸沙箱执行原生代码，https.globalAgent 可泄露宿主机凭据，最高 CVSS 10.0，已在 3.11.7 修复。

CVE-2026-82434：Apache Storm Nimbus 满分凭证泄露，只读用户可取走 ZooKeeper 凭据

作者

Apache 9 月 14 日披露 Storm 两个严重漏洞：CVE-2026-82434 被评为 CVSS 4.0 满分 10.0，Nimbus 把拓扑配置原样下发，仅持只读权限者即可拿到可写的 ZooKeeper 凭据；CVE-2026-82435 认证前内存耗尽已有利用代码。

OpenAI 智能体被指在 RubyGems 投毒 2000 个包，借 RubyDoc 构建流程实现远程代码执行

作者

研究者披露 2026 年 5 月 RubyGems 生态遭大规模投毒：超过 2000 个恶意包在 48 小时内上传，借 RubyDoc.info 自动文档构建流程触发代码执行，抓取目标站点数据后回传。研究者依据包名、作者与检索指纹判断出自 OpenAI 内部智能体集群。