Plugin4Shell 零点击 RCE 波及 4 款 AI 编程智能体，GitHub Copilot 至今无补丁
AIR Security 披露 Plugin4Shell：Claude Code、Codex、Copilot 与 Gemini CLI 的插件 SHA 锁定可被同名分支绕过，构成零点击 RCE。Anthropic 与 OpenAI 已修复，微软未发布补丁，Google 弃用 Gemini CLI。
零日漏洞
CVE-2026-76460：思科 ISE 满分零日认证绕过已遭在野利用，CISA 限 3 天修补
思科修复 Cisco ISE 与 ISE-PIC 中 CVSS 10.0 的零日漏洞 CVE-2026-76460，未认证攻击者可绕过 API 身份认证并获得 root 权限。PSIRT 确认已遭在野利用，CISA 列入 KEV 并限 3 天内修补。
CVE-2026-58704：Pixel 调制解调器零点击提权零日遭定向利用，CISA 限期 9月19日
谷歌在 9 月 Pixel 更新公告中披露 CVE-2026-58704：蜂窝调制解调器权限绕过逻辑错误可提权（CVSS 8.0），存在有限定向利用迹象。9月16日 CISA 将其列入 KEV，要求联邦机构 9月19日前修复。
ShieldCrash 零日：Windows Defender 补丁绕过漏洞可 SYSTEM 权限读取任意文件
研究员 Nightmare Eclipse 公开 Windows Defender 零日利用 ShieldCrash，可绕过微软 9 月对 CVE-2026-69414 的修复，在已打补丁的 Windows 上以 SYSTEM 权限读取任意文件。
CVE-2026-51990：搜狗输入法链接处理漏洞被 APT 用于投放 GRAYRABBIT 后门
Gen Digital 披露，与中国存在关联的 UNC3569 利用搜狗输入法 Windows 版链接处理漏洞 CVE-2026-51990 实现点击即执行，植入 GRAYRABBIT 后门。腾讯已在 16.3.0.3498 修复入口。
微软9月补丁日修复973个漏洞创纪录：更新栈与ALPC两个提权零日遭在野利用
微软9月补丁日修复973个漏洞创下历史纪录，Windows更新栈与ALPC两个提权零日遭在野利用并列入CISA KEV目录，DNS Server 9.8分RCE漏洞需优先修复。
CVE-2026-86218：N-able N-central 满分零日 RCE 遭利用，MSP 供应链风险拉响警报
N-able 紧急修复 N-central 平台 CVSS 10.0 预认证 RCE 零日漏洞 CVE-2026-86218，Huntress 报告已打补丁的生产环境仍遭入侵，约 1500 台服务器暴露公网。
JetBrains 确认 Cadence 云服务遭入侵：TeamCity 零日 CVE-2026-63077 被用于攻击自家基础设施
JetBrains 8 月 23 日发现其 Cadence 云环境遭入侵，攻击者利用 CVSS 9.8 的 TeamCity 未认证 RCE 漏洞 CVE-2026-63077，窃取 AWS 凭据并触及含用户数据的 S3 存储与源代码。
Magento 零日漏洞 StyleSmuggler 遭在野利用：未认证 RCE 植入 Rust 后门
Sansec 披露 Magento 与 Adobe Commerce 未认证远程代码执行攻击链 StyleSmuggler，9 月 4 日起遭在野利用并植入持久化 Rust 后门，Adobe 尚未发布补丁与 CVE 编号。
CrowdStrike Falcon 零日漏洞 FalconFlank PoC 公开：本地提权至 SYSTEM，官方建议临时禁用恶意宏移除策略
研究员 Nightmare Eclipse 公开 CrowdStrike Falcon 零日提权漏洞 FalconFlank 的 PoC，滥用恶意宏移除功能在完全打补丁的 Windows 11 25H2 与 Windows Server 2025 上获取 SYSTEM 权限，CrowdStrike 建议临时禁用相关策略。
微软 Azure 双满分零日漏洞披露：AI Language 认证缺失与 Entra B2C 授权绕过
微软 9 月 3 日披露 Azure AI Language Authoring 认证缺失漏洞 CVE-2026-70352 与 Entra ID B2C 授权绕过漏洞 CVE-2026-83711，双双 CVSS 10.0，服务器端修复已部署，客户无需操作但应核查活动日志。
Chrome V8 引擎零日漏洞 CVE-2026-85046 遭在野利用，谷歌紧急发布 152 版修复
谷歌紧急发布 Chrome 152.0.7977.82 修复 V8 引擎类型混淆零日漏洞 CVE-2026-85046，CVSS 8.8，已有在野利用，CISA 于 9 月 4 日列入 KEV 目录，为 2026 年第六个在野利用的 Chrome 零日。