Rust 供应链攻击曝光：3 个高下载量 crate 构建时注入信息窃取后门，累计下载 2.45 亿次
Rust 项目组 8 月 20 日紧急下架 arrayref 0.3.10、internment 0.8.7、append-only-vec 0.1.9 三个恶意版本，源自维护者账户被入侵后注入 proc-macro1 拼写错误仿冒依赖，构建脚本自动下载并执行第二阶段载荷窃取浏览器凭据，影响 2.45 亿下载。
远程代码执行
CVE-2026-20223：思科 Secure Workload 内部 API 认证绕过漏洞 CVSS 满分 10.0，无任何绕过即可直取 Site Admin
思科披露 Secure Workload 内部 REST API 严重认证绕过漏洞 CVE-2026-20223，CVSS v3.1 满分 10.0，无密码、无社工、无前置条件即可获得 Site Admin，跨租户读写策略日志。修复版本 3.10.8.3 与 4.0.3.17，无任何临时绕过方案，必须立即升级。
Black Hat USA 2026 重磅披露：CVE-2026-54316 Claude Code 与 CVE-2026-12537 Gemini CLI 借 GitHub Issue 一键 RCE，CVSS 10.0
Black Hat USA 2026 上 Novee Security 公开研究显示，攻击者只需在任意 GitHub 仓库公开 issue 区粘贴一段提示词注入载荷，就能让 Claude Code、CVE-2026-54316 / Gemini CLI、CVE-2026-12537 CVSS v4.0 10.0 / OpenAI Codex 一并沦陷 CI 凭据与 ANTHROPIC/GITHUB Token；Gemini CLI 修补版本 0.39.1、Claude Code 2.1.163 必须强制升级。
CVE-2026-33824 Windows IKE 双重释放未认证 RCE 漏洞 CVSS 9.8，EPSS 99.0 百分位进入 CISA KEV 目录
CISA 8 月 18 日将 Windows IKE Service Extensions 的 CVE-2026-33824 双重释放远程代码执行漏洞加入 Known Exploited Vulnerabilities 目录，CVSS 9.8、EPSS 99.0 百分位（56% 30 天被利用概率），联邦机构须在 8 月 21 日前修补；该漏洞通过 UDP 500/4500 端口对 IPsec VPN 服务器与 Windows IPsec 策略端点未认证远程代码执行。
CVE-2025-62593：Ray 分布式计算框架 RCE 漏洞遭在野利用，CISA 加入 KEV 限期三天修补
CISA 8/17 将 Ray 框架 CVE-2025-62593 纳入 KEV，CVSS 9.4；DNS rebinding 配合 Firefox/Safari 即可对开发者主机 RCE。
CVE-2026-25289：高通骁龙 WLAN 固件 NAN 协议栈缓冲区溢出漏洞 CVSS 9.6
高通 8 月安全公告披露 WLAN 固件栈缓冲区漏洞 CVE-2026-25289，CVSS 9.6，影响手机/汽车/IoT/可穿戴等数百款骁龙设备。
Apple Safari 26.6.1 修复 22 个 WebKit 漏洞：CVE-2026-65346 ImageIO 整数溢出可一键执行任意代码
Apple 8 月 18 日发布 Safari 26.6.1 与 macOS Tahoe 26.6.2，22 个 WebKit CVE 中 9 个由 OpenAI Codex Security 报告，焦点 CVE-2026-65346 ImageIO 整数溢出可一键触发任意代码执行，CVE-2026-64778 WebKit History 还可在受害者访问恶意站点时泄露敏感数据。
CVE-2026-64849：MLflow webhook SSRF 漏洞遭在野利用，AI 基础设施直接外泄云端 IAM 凭据
AI 实验管理平台 MLflow 曝出 CVE-2026-64849 未认证 SSRF 漏洞，CVSS 9.3，watchTowr 监测到漏洞披露数小时内扫描即至，攻击者通过 webhook 重定向直连 169.254.169.254 云元数据端点窃取 IAM 凭据；同窗口期 FUXA SCADA/HMI CVE-2026-25895 路径遍历 CVSS 9.5 同步遭公网扫描。
CVE-2026-18220：GNU binutils BFD DLX 后端 OOB 写入漏洞，CI/CD 与开发工作流面临 RCE 风险
SUSE 披露 GNU binutils BFD 库 DLX 后端 ELF 重定位处理越界写入漏洞 CVE-2026-18220 CVSS 7.8，攻击者可通过 objdump/readelf/strip 等工具链触发 RCE，CI/CD 与安全扫描系统风险最高。
CVE-2026-19478：GitLab GraphQL 指令未认证远程篡改高危漏洞，CVSS 9.4 紧急修补
GitLab 8月17日发布紧急补丁修复 CVE-2026-19478 GraphQL 指令未认证远程篡改漏洞，CVSS 评分 9.4，攻击者无需任何凭据即可远程修改或删除公共项目数据。
Cl0p 借 PTC Windchill CVE-2026-12569 横扫 43 家巨头：Shell/GE/Philips 89GB 工程图纸外泄
Cl0p 勒索软件团伙在暗网泄露门户新增 43 家受害组织，名单包括壳牌（Shell）、通用电气（GE）与飞利浦（Philips），共窃取约 89GB 工程图纸与设施测试报告；攻击利用 PTC Windchill/FlexPLM 不安全反序列化漏洞 CVE-2026-12569（CVSS 9.8），CISA 已将其加入已知被利用漏洞目录。
CVE-2026-58231：SAP Commerce Cloud 未认证 RCE 漏洞遭在野利用，CVSS 满分 10.0 引发全球紧急修补
SAP 8月补丁日修复的 Commerce Cloud Data Hub Adapter 未认证远程代码执行漏洞 CVE-2026-58231，CVSS 高达 10.0，仅隔 3 天即在 Honeypot 捕获到利用尝试，Shadowserver 监测到 4200 多个互联网暴露指纹，零售商与能源行业广泛受影响。