CVE-2026-80521：Ubuntu 内核 AF_UNIX 释放后使用，PoC 可逃逸容器取宿主 root
DepthFirst 披露 Linux 内核 AF_UNIX 套接字垃圾回收器释放后使用漏洞 CVE-2026-80521，CVSS 7.8。攻击者可在容器内用默认放行调用绕过命名空间、cgroup 与 seccomp 取得宿主 root，利用代码已公开，Ubuntu 三大 LTS 尚无补丁。
Linux
Samba 文件共享加固实战：SMB 服务安全配置
Samba 文件共享加固实战：从 SMBv1 禁用、SMB3 强制加密、匿名映射关闭到共享级白名单与 full_audit 审计，完整给出可直接执行的 smb.conf 配置与六步验证命令。
DNS 域传送漏洞防御实战：BIND 加固配置指南
DNS 域传送防御实战：BIND 关闭匿名 AXFR、TSIG 密钥授权主从同步、RRL 限速与内外网视图隔离，附六步验证命令与同步失败、NSEC 遍历等问题的排查方法。
SNMP 加固实战：防弱口令与信息泄露配置
SNMP 加固实战：停用 v1/v2c 明文团体字、启用 SNMPv3 authPriv、最小视图与监听地址收敛，附完整 snmpd.conf、systemd 加固、防火墙限源与三个维度验证命令。
NTP 时间同步加固实战：chrony 与放大攻击防御
NTP 时间同步加固实战：chrony 配置、restrict 访问控制、nftables 限速与 monlist 放大攻击防御，附可直接复制的完整命令与外部验证方法。
CISA 新增两个在野利用 Linux 内核漏洞：CVE-2026-53266 与 CVE-2025-39964
CISA 于 9 月 18 日将 CVE-2026-53266（内核 ebtables SNAT 越界写入，CVSS 8.8）与 CVE-2025-39964（af_alg 竞态，CVSS 7.8）加入已知被利用漏洞目录，两者均为本地提权缺陷，上游修复已合并但发行版落地普遍滞后。
Linux GRUB 引导加固实战：单用户模式密码配置
默认 GRUB 配置下，任何接触控制台或带外管理台的人都能用 init=/bin/bash 或 rd.break 拿到 root shell 并重置管理员密码。本文给出 grub2-setpassword 超级用户口令、菜单项权限、引导文件权限收紧、systemd sulogin 校验与固件层加固
CVE-2026-81642：Unbound DNSSEC 验证器堆溢出可致 RCE，1.26.1 一次修复 9 个漏洞
NLnet Labs 披露 Unbound 递归解析器 DNSSEC 验证器中的严重堆缓冲区溢出 CVE-2026-81642，CVSS 9.1，攻击者控制恶意区域即可触发，可能导致远程代码执行。1.26.1 版本集中修复 9 个 CVE。
journald 日志持久化与防篡改实战配置
systemd-journald 默认把日志放在内存中，重启即丢，攻击者一条 rm 即可抹掉痕迹。本文给出 Storage=persistent 落盘、Seal 前向安全密封与校验密钥离线保管、目录权限加固、远端转发，以及 journalctl –verify 篡改检测告警脚本的完整配置。
Linux Capabilities 提权防护实战配置
文件 capabilities 是 SUID 之外容易被忽略的特权通道，常规 SUID 扫描查不到。本文给出 getcap 全盘盘点、高危能力收敛、systemd AmbientCapabilities 与 NoNewPrivileges 迁移、容器 cap-drop 白名单，以及 auditd
内存取证实战：Volatility 分析入侵痕迹
内存取证能发现磁盘取证遗漏的隐藏进程、无文件恶意代码与外连记录。本文给出 LiME 与 AVML 内存采集命令、SHA256 证据固定流程、Volatility 3 的 pslist/malfind/sockstat/bash 分析方法，以及生产环境采集对业务影响的控制措施。
日志审计实战：Promtail 与 Loki 部署配置
日志审计需要集中留存与快速检索。本文用 docker compose 部署 Promtail + Loki + Grafana，给出三份完整配置文件、标签基数设计约束、攻击特征 LogQL 检索语句（SQL 注入/扫描器/SSH 爆破）、ruler 自动告警规则、30 天保留策略与端到端自测验证方