CVE-2026-82434：Apache Storm Nimbus 满分凭证泄露，只读用户可取走 ZooKeeper 凭据
Apache 9 月 14 日披露 Storm 两个严重漏洞：CVE-2026-82434 被评为 CVSS 4.0 满分 10.0，Nimbus 把拓扑配置原样下发，仅持只读权限者即可拿到可写的 ZooKeeper 凭据；CVE-2026-82435 认证前内存耗尽已有利用代码。
Apache
CVE-2026-47323：Apache Camel CXF 端点未认证 RCE 漏洞曝光，影响 3.18–4.18 系列
Apache Camel 集成框架曝出 CVSS 9.8 严重远程代码执行漏洞 CVE-2026-47323，未认证攻击者可通过 HTTP 注入 Camel 内部头触发任意文件写入与代码执行。Check Point 已在 IPS 中发布签名防护，受影响版本为 3.18.0–4.14.5 与 4.15.0–4.18.1，官方已发布 4.14.6 与 4.18.2 修复版本。
Apache CXF 双高危漏洞曝光：CVE-2026-66909 JMS 反序列化 RCE 评分 10，CVE-2026-68079 OAuth2 授权码重放
Apache 软件基金会 8 月 6 日披露 CXF 两项 9.8 严重漏洞：CVE-2026-66909 JMS ObjectMessage 反序列化导致 RCE，CVE-2026-68079 OAuth2 授权码可无限重放。修复版本 3.6.12 / 4.1.8 / 4.2.3。
Apache 安全加固实战：服务器配置防护指南
Apache 是全球使用最广泛的 Web 服务器，默认配置存在目录遍历、信息泄露与模块攻击面过大等风险。本文给出可复制的 Apache 安全加固清单：隐藏版本号、收敛目录权限、限制危险方法与 WAF 规则防护。
Apache Traffic Server 修复 38 个安全漏洞，含请求走私与内存安全缺陷（CVSS 10.0）
Apache 软件基金会 2026-08-05 发布 Apache Traffic Server 9.2.15 / 10.1.4 安全更新，一次性修复 38 个安全漏洞，涵盖请求走私、访问控制绕过及内存安全崩溃，其中 CVE-2026-33267、CVE-2026-58150 等多个漏洞 CVSS 评分达到 10.0。作为全球 CDN 与边缘缓存广泛部署的核心组件，官方建议用户立即升级。
CVE-2026-34486：Apache Tomcat 集群 EncryptInterceptor 修复回归导致 RCE（CVSS 7.5）
Apache Tomcat 在修复 CVE-2026-29146 时将 EncryptInterceptor 从 fail-closed 改为 fail-open，引发回归漏洞 CVE-2026-34486。攻击者只要能 TCP 访问 Tomcat Tribes 默认 4000 集群端口，可直接发送未加密反序列化 payload 实现远程代码执行，CVSSv3.1 7.5。9.0.116 / 10.1.53 / 11.0.20 三个补丁版本受影响，CISA 已将其纳入 KEV 目录。