SAP 10 月补丁日：Cloud SDK for Python 曝满分 OAuth2 SSRF 漏洞
SAP 10 月安全补丁日修复 20 个漏洞，其中 CVE-2026-89111 位于 Cloud SDK for Python，CVSS 满分 10.0。攻击者控制租户子域即可把 OAuth2 令牌请求引向自己的服务器，窃取客户端凭据。
漏洞预警
微软 10 月修复逾 1400 个漏洞创纪录：Windows Shell 零日已在野利用
微软 10 月补丁日一次修复逾 1400 个漏洞，约 78 个为严重级，创下月度纪录。其中 CVE-2026-96951 可绕过 Mark of the Web 保护，已是本月唯一在野利用的零日，CISA 同日纳入 KEV。
CVE-2026-104935：Ivanti VPN 零日三连击，未认证拿下 root
Ivanti 确认 Connect Secure VPN 网关存在零日漏洞 CVE-2026-104935 并已被在野利用。Volexity 披露攻击者串联三个零日，在一台完全打补丁的 22.8R2.4 设备上取得未认证 root 权限，CISA 已将漏洞列入 KEV。
Zod 4.6.6 曝 npm 供应链投毒：恶意 preinstall 借以太坊合约取指令
10 月 11 日至 12 日，TypeScript 校验库 Zod 的仓库主分支被曝推入恶意 preinstall 脚本，安装时经以太坊智能合约取指令并执行二级载荷；恶意版本最终未进入 npm 正式分发包。
Veeam 备份服务器只读角色即可 RCE：CVE-2025-64393 评分 9.4
Veeam 发布 KB4934 修复 Backup & Replication 12 中的 CVE-2025-64393（CVSS 9.4）：仅需被官方文档描述为只读的 Backup Viewer 角色，低权限用户即可在备份服务器上以 SYSTEM 权限执行代码。
思科 10 月安全公告：License On-Prem 满分漏洞与 APIC 三枚 9.8 领衔
思科 10 月 7 日发布一批加固公告，License On-Prem 的加密签名校验缺陷 CVE-2026-76482 评分满分 10.0，APIC 三枚 9.8、Meraki 9.6 同步修复，除升级外无官方绕过方案。
法国 300 余家超市冷柜被远程调温：Danfoss 制冷控制器失守
10 月 11 日夜间，法国多家连锁超市制冷系统被远程攻击，黑客启动强制除霜并把温度设定抬高到 50 摄氏度，数百家门店生鲜报废，全国损失预估达数千万欧元。
CVE-2026-97229：GitLab CI/CD 正则编译器整数溢出致未认证 RCE
GitLab 于 10 月 8 日发布紧急补丁 19.4.2、19.3.4、19.2.8，修复 CVE-2026-97229——CI/CD 正则编译器整数溢出，未认证即可在自建服务器执行任意代码，CVSS 满分 10.0。
微软 10 月提前放 8 枚云服务 CVE：Partner Center 满分漏洞领衔
微软 10 月 10 日未等补丁星期二，提前发布 8 枚全部落在云端与托管服务侧的 CVE，其中 Partner Center 的 CVE-2026-96207 因证书校验不当拿下 CVSS 10.0。
IBM Verify Access 同批修七漏洞：两枚 9.8 未认证反序列化 RCE
IBM 发布安全公告修复 Security Verify Access 与 Verify Identity Access 七个漏洞：CVE-2026-78401 与 78406 为未认证反序列化 RCE，CVSS 均 9.8，另有认证绕过与参数注入，影响 10.0.9.2 与 11.0.3 及之前版本。
CISA 通告 openPDC/openHistorian 五漏洞：电网数据平台可未认证 RCE
CISA 发布 ICSA-26-281-02，通报电网监测平台 openPDC/openHistorian 五个漏洞，含 CVE-2026-100730 未认证反序列化 RCE 与 Docker 镜像硬编码管理员凭据，均为 CVSS 9.8，官方已给出修复版本。
WordPress 五款插件同批曝高危漏洞：三枚 9.8 可未认证接管站点
10 月 10 日五款 WordPress 插件同批披露高危漏洞，含三枚 CVSS 9.8：Advanced IP Blocker 认证绕过、Extensions For CF7 任意文件上传、3D Product Configurator 远程代码执行，另两枚 9.1 为提权与授权绕过。