SAP 10 月补丁日：Cloud SDK for Python 曝满分 OAuth2 SSRF 漏洞
SAP 10 月安全补丁日修复 20 个漏洞，其中 CVE-2026-89111 位于 Cloud SDK for Python，CVSS 满分 10.0。攻击者控制租户子域即可把 OAuth2 令牌请求引向自己的服务器，窃取客户端凭据。
身份认证
用户枚举与密码喷洒防御实战配置
用户枚举与密码喷洒防御教程：应用层等时校验消除响应差异，Nginx 按 IP 与用户名双维度限流，SSH 收窄认证面，fail2ban 递增封禁，附喷洒特征统计与四维一致性验证命令。
WebAuthn 无密码登录实战：FIDO2 防钓鱼配置
WebAuthn 无密码登录实战：RP ID 与 origin 白名单配置、注册与登录校验代码、challenge 一次性防重放、签名计数器克隆检测，以及 SSH FIDO2 硬件密钥登录。
Kerberos 域认证加固实战：NTLM 禁用配置
Kerberos 域认证加固实战：先审计 NTLM 使用情况，再收紧 Kerberos 加密类型、治理 SPN 服务账户与免预认证账号，并用 SMB 签名与 LDAP 通道绑定消除 NTLM Relay 空间。
时序攻击防御实战：恒定时间比较加固
时序攻击防御实战：用采样脚本定位短路比较泄露，给出 Python、PHP、Java、Node.js、Go 五种语言的恒定时间比较改造，并统一账号枚举分支代价与入口限流。
LDAP 注入攻击防御实战：目录服务加固配置
LDAP 注入攻击防御实战：RFC 4515 五字符转义、先搜索后绑定认证改造、只读服务账号 ACL、禁用匿名绑定与 ldaps 强制校验，附 OpenLDAP 加固配置与验证。
会话固定攻击防御实战：Session 安全配置指南
会话固定攻击防御实战：从登录前后会话 ID 检测到 PHP/Servlet/Express 三套轮换实现，配合 Cookie 安全属性、URL 会话通道关闭与旧 ID 失效验证，附掉线排查。
CVE-2026-28326：SolarWinds ARM 硬编码密钥致未认证 RCE，CVSS 8.8 补丁已发布
SolarWinds 9 月 17 日修补 Access Rights Manager 的硬编码静态密钥缺陷，攻击者可用固化密钥伪造认证令牌实现未认证远程代码执行，CVSS 8.8，修复版 2026.2.1，同期 Web Help Desk 与 Serv-U 共修复 18 个漏洞。
CVE-2026-76460：思科 ISE 满分零日认证绕过已遭在野利用，CISA 限 3 天修补
思科修复 Cisco ISE 与 ISE-PIC 中 CVSS 10.0 的零日漏洞 CVE-2026-76460，未认证攻击者可绕过 API 身份认证并获得 root 权限。PSIRT 确认已遭在野利用，CISA 列入 KEV 并限 3 天内修补。
Keycloak 统一身份认证实战：SSO 单点登录部署配置
Keycloak 是开源身份与访问管理平台，支持 OIDC 与 SAML 协议。本文从部署、Realm 配置、客户端接入到安全加固，完整演示如何用 Keycloak 为企业应用搭建 SSO 单点登录并控制访问权限。