PostMessage 跨域消息安全加固实战
PostMessage 跨域消息安全加固实战：发送端收敛 targetOrigin 通配符、接收端精确校验 event.origin 与 event.source、数据结构断言防原型污染、frame-ancestors 防嵌套，附验证脚本。
浏览器安全
Underground 窃密行动：劫持浏览器会话盗空交易所账户并改写提现邮件
Netskope 披露 Underground 窃密行动：Aotera/Tedy 加载器把窃密程序注入 dllhost.exe，再用受害者浏览器配置启动 Chrome/Edge，在已登录会话中盗空交易所账户并改写提现确认邮件，链上收益约 10 万美元。
Cookie 安全属性配置实战：SameSite 加固
Cookie 安全属性配置实战：审计 HttpOnly、Secure、SameSite 缺失项，用 Nginx proxy_cookie_flags 统一注入并配合 __Host- 前缀，附属性与会话固定验证脚本。
缓存键注入：Nginx 缓存键拼接缺陷可致存储型 XSS 与 CPDoS
YesWeHack 研究者 Alex Brumen 公开「缓存键注入」攻击手法：当 proxy_cache_key 把协议、主机、URI 与请求头直接无分隔符拼接时，不同请求可生成相同缓存键，进而绕过访问控制、读取缓存敏感页面、触发 CPDoS 或借协议混淆投毒形成存储型 XSS。
BragJack 攻击披露：单个浏览器扩展即可劫持五款浏览器内置 AI 智能体
研究员 Gal Weizman 公开 BragJack 攻击：一个恶意浏览器扩展即可劫持 Chrome Gemini、Edge Copilot、Opera Neon、Perplexity Comet 与 Claude in Chrome 的内置 AI 智能体。
3.1 万 Twitch 用户 OAuth 令牌泄露：JeetBot 浏览器扩展把会话凭证送进俄罗斯代理
安全厂商 Socket 披露扩展 Twitch Enhanced Viewer | JeetBot 把约 3.1 万用户的 Twitch OAuth 会话令牌以明文 URL 参数转发至运营方代理服务器，并硬编码放行 10 个俄语主播频道。该令牌为账户级凭证，无需密码与二次验证即可操作账号。
Fortinet 九月批量修复 10 个漏洞：FortiMonitor 认证绕过 CVSS 9.6，ZTNA 门户可遭中间人攻击
Fortinet 修复 10 个漏洞，FortiMonitorOnSight JWT 认证绕过评级 9.6，FortiPAM Chrome 扩展可被劫持为流量代理，FortiSandbox 存在 9.9 分访问控制缺陷。
Chrome V8 引擎零日漏洞 CVE-2026-85046 遭在野利用，谷歌紧急发布 152 版修复
谷歌紧急发布 Chrome 152.0.7977.82 修复 V8 引擎类型混淆零日漏洞 CVE-2026-85046，CVSS 8.8，已有在野利用，CISA 于 9 月 4 日列入 KEV 目录，为 2026 年第六个在野利用的 Chrome 零日。
CVE-2026-15580：N-able Passportal 浏览器扩展未验证来源接收消息漏洞导致 7.3 万 MSP 用户密码保险库与实时 TOTP 失窃
AmIBeingPwned 公开披露 N-able Passportal Chrome/Edge 扩展 CVE-2026-15580 漏洞，CVSS 9.4，攻击者可通过任意网页的恶意 iframe 提取已登录用户的密码保险库条目与实时二步验证码，补丁版本 3.49.6 发布于报告后 24 小时。
MacSync Stealer：macOS 信息窃取木马伪装 Claude 安装教程，木马化硬件钱包 APP
微软披露 MacSync Stealer 伪装 Claude 安装教程窃取 macOS 数据，并木马化 Ledger/Trezor 套件窃取助记词。
Apple Safari 26.6.1 修复 22 个 WebKit 漏洞：CVE-2026-65346 ImageIO 整数溢出可一键执行任意代码
Apple 8 月 18 日发布 Safari 26.6.1 与 macOS Tahoe 26.6.2，22 个 WebKit CVE 中 9 个由 OpenAI Codex Security 报告，焦点 CVE-2026-65346 ImageIO 整数溢出可一键触发任意代码执行，CVE-2026-64778 WebKit History 还可在受害者访问恶意站点时泄露敏感数据。
Chrome 151 一次性修复 370 个安全漏洞，其中 CVE-2026-11645 V8 零日已被野利用
Google 发布 Chrome 151 稳定版，一次性修复 370 个安全漏洞（7 严重、71 高危、170 中危、122 低危）。其中 CVE-2026-11645（V8 越界读写，CVSS 8.8）已被列入 CISA KEV 目录并存在野外利用。新增 7 个严重漏洞（CVE-2026-17650 至 17656）涉及 Compositing、Views、Skia、Ozone、Dawn、ANGLE 与 Updater 的 use-after-free 与输入验证缺陷。