CVE-2026-62103：WordPress 表单插件 Everest Forms 未认证 PHP 对象注入，CVSS 9.8
Everest Forms 3.6.0 及更早版本存在未认证 PHP 对象注入漏洞 CVE-2026-62103，CVSS 9.8。攻击者无需登录即可提交恶意序列化数据，配合站点内已有 POP 链可致代码执行。
远程代码执行
CVE-2026-79696：谷歌 ADK for Python 满分代码注入漏洞，未认证即可 RCE
Google Cloud Agent Development Kit for Python 被披露代码注入漏洞 CVE-2026-79696，CVSS 10.0。装有 pytest 的 2.0.0 至 2.6.0 版本可被未认证攻击者通过构造测试会话回放执行任意代码。
Mistral Vibe 曝六个命令权限绕过漏洞：四个 CVSS 10.0 可静默执行任意命令
HiddenLayer 披露 Mistral Vibe 六个授权层漏洞 CVE-2026-87983 至 87988，其中四个 CVSS 10.0，攻击者可为导致 AI 编程助手在不弹确认框的情况下执行任意命令。
微信零点击漏洞被做成蠕虫 WeWorm：来电响铃即接管账号，腾讯已服务端修复
安全机构 Calif 披露首个可跨 Android 与 iOS 传播的微信零点击蠕虫 WeWorm：利用微信 VoIP 协议栈内存破坏漏洞，来电响铃阶段即可接管账号并链式扩散。腾讯已服务端全量修复，无在野利用。
Check Point VPN 曝两处 CVSS 9.8 未认证 RCE：CVE-2026-85102/85103 预警
Check Point 修复 VPN 证书处理流程两处 CVSS 9.8 漏洞：CVE-2026-85102 证书信任校验缺陷与 CVE-2026-85103 ASN.1 解码堆溢出，均可被未认证远程攻击者利用执行任意代码，波及 Security Gateway、管理服务器与 Spark Firewall。
Ivanti Neurons for ITSM 修复 8 个漏洞含 6 个严重级：未认证反序列化可直接 RCE
Ivanti 修复 Neurons for ITSM 的 8 个漏洞，其中两个未认证反序列化漏洞 CVSS 9.8 可直接 RCE，本批漏洞由内部大语言模型辅助发现，云环境已自动修复。
Adobe 九月安全更新修复 170 余个漏洞：ColdFusion 9.9 分 RCE 列为优先级 1，须三天内修复
Adobe 九月安全更新修复 170 余个漏洞，ColdFusion 两处代码执行漏洞列为优先级 1，Campaign Classic 修复满分命令注入漏洞，Experience Manager 单品修复 107 个。
CVE-2026-44756：SAP Kernel OVERPASS满分缓冲区溢出漏洞预警，超万台系统暴露公网
SAP 9月安全更新修复20个漏洞，Kernel组件OVERPASS漏洞CVE-2026-44756评分满分，未认证攻击者可以管理员权限执行任意命令，Onapsis估算超万台系统暴露公网。
CVE-2026-86218：N-able N-central 满分零日 RCE 遭利用，MSP 供应链风险拉响警报
N-able 紧急修复 N-central 平台 CVSS 10.0 预认证 RCE 零日漏洞 CVE-2026-86218，Huntress 报告已打补丁的生产环境仍遭入侵，约 1500 台服务器暴露公网。
WHMCS 修复未认证代码执行漏洞 CVE-2026-67399：主机商计费系统面临完全接管风险
主机计费平台 WHMCS 9 月 3 日披露两个高危漏洞：CVE-2026-67399 未认证代码执行可致系统被完全接管，CVE-2026-67398 可泄露客户姓名与地址，涉及 9.x 与 8.x 多个版本。
Magento 零日漏洞 StyleSmuggler 遭在野利用：未认证 RCE 植入 Rust 后门
Sansec 披露 Magento 与 Adobe Commerce 未认证远程代码执行攻击链 StyleSmuggler，9 月 4 日起遭在野利用并植入持久化 Rust 后门，Adobe 尚未发布补丁与 CVE 编号。
微软发布带外热补丁修复 Windows RRAS 三处远程代码执行漏洞 CVE-2026-25172/25173/26111
微软针对 Windows 路由和远程访问服务（RRAS）发布带外热补丁，修复 CVE-2026-25172、CVE-2026-25173 与 CVE-2026-26111 三处远程代码执行漏洞，整数溢出可致内存破坏，低权限攻击者可远程执行任意代码，企业应尽快部署。