CISA 警告 GitLab 整数溢出漏洞 CVE-2026-97229 遭在野利用
CISA 将 GitLab 整数溢出漏洞 CVE-2026-97229 列入 Known Exploited Vulnerabilities 目录，确认存在在野利用。
#供应链安全
Cyber Security News推荐指数5555
AICSO.AI汇总推荐指数5858 CSA：企业应把 Anthropic 的 S-1 当作第三方风险披露来读
Cloud Security Alliance 发文主张，企业第三方风险管理团队应把 Anthropic 于 2026年10月26日 向 SEC 提交、拟在纳斯达克上市的 S-1 注册声明当作供应商风险披露来读。
安全内参推荐指数5555 安承宏观解读《对外投资管理办法》与技术出口禁限目录调整
安承宏观发文解读《对外投资管理办法》（49号令）正式稿与商务部、科技部《中国禁止出口限制出口技术目录》修订征求意见稿，指出两者在监管逻辑上的一致性。
Infosecurity Magazine推荐指数6262 NIST 发布联邦机构后量子密码迁移指导，明确 2031 年前完成过渡
NIST 发布官方指导文件，帮助联邦机构及相关供应商在 2031 年 12 月 31 日前完成后量子密码（PQC）迁移，依据是 2026 年 6 月发布的第 14412 号行政令，该令要求高价值资产和高影响系统在 2030 年底前完成密钥建立迁移、2031 年底前完成数字签名迁移。指导文件建议对敏感或需长期保密的数据优先迁移至 FIPS 203 密钥建立标准，以应对
SecurityWeek推荐指数4040 安全问卷无人信任，企业却仍依赖它做尽职调查
企业间安全尽职调查仍以供应商自填的安全问卷为核心，但自评答案不等于实际安全控制。Verizon 2025 Data Breach Investigations Report 显示第三方相关数据泄露占比一年内从 15% 升至 30%；IBM 2025 Cost of a Data Breach 报告指出第三方与供应链入侵单次事件平均成本约 $4.9 million。
NIST AI News精选推荐指数6262 NIST 发布 NISTIR 8547 后量子密码迁移路线图
NIST 发布《Transition to Post-Quantum Cryptography Standards》（NISTIR 8547），为联邦机构、行业伙伴和标准组织提供从抗量子算法迁移的高层路线图，明确各阶段时间表与算法淘汰安排。
推荐理由：报告给出了联邦系统迁移的具体截止年份和算法淘汰节奏，读者可据此判断自身合规时间表与优先级。
虎嗅精选推荐指数7474 OpenAI新规要求模型直连中转站须经审批，孙宇晨b.ai等平台受影响
OpenAI发布公告，自11月20日起新版使用规则生效，向第三方提供模型直连服务的模型路由器、AI网关须先经OpenAI审查批准，自家App内调用不受影响。孙宇晨创立不到半年的中转站b.ai成为受影响较大的平台之一，其主打区块链登录和匿名支付，与新规要求的合作方调查违规、通过SafetyID区分终端用户存在冲突。
推荐理由：原文梳理了OpenAI新规对中转站生态的多层影响，并结合论文数据解释了中转站降智与安全隐患的成因。
安全内参推荐指数6464 德国发布后量子密码迁移国家指南，设定2026、2030、2035三个时间节点
2026年10月12日，德国联邦内政部（BMI）、联邦数字化与国家现代化部（BMDS）与联邦信息安全办公室（BSI）联合发布《欧盟向后量子密码迁移路线图的国家实施》指南，落实欧盟2025年6月发布的PQC协调实施路线图。
AICSO.AI汇总推荐指数5858 17 名前美国官员敦促哥伦比亚特区巡回上诉法院重审 Anthropic 与五角大楼之争裁决
17 名前美国高级国家安全官员、外交官与情报人士联名提交 26 页法律意见书，敦促美国哥伦比亚特区巡回上诉法院全院重审 Anthropic 挑战五角大楼将其列为供应链风险的裁决，警告该裁决若维持将威胁所有国防承包商。
AICSO.AI汇总同新闻推荐指数7171 美国国土安全部要求联邦民用系统移除 DeepSeek 并禁止新采购
美国国土安全部发布命令，要求联邦民用机构从信息技术系统中移除 DeepSeek 产品，包括使用 DeepSeek 开发的第三方产品或服务，并禁止再从这家中国 AI 开发商及其关联公司采购信息技术产品或服务。命令由国土安全部部长 Markwayne Mullin 签署，日期为 2026 年 7 月 24 日。
AICSO.AI汇总精选推荐指数7878 DHS 发布首份 FASCSA 命令，要求移除 DeepSeek 及使用其开发的第三方产品
美国国土安全部于 2026 年 10 月 20 日发布 FASCSA 排除与移除命令，要求联邦文职行政部门停止采购杭州深度求索（DeepSeek）及其关联方的产品和服务，并从信息系统中移除这些产品以及使用 DeepSeek 实现开发的第三方产品和服务。这是 DHS 发出的第一份 FASCSA 命令，命令未对相关关键表述给出定义。
推荐理由：DHS 首份 FASCSA 命令把移除范围扩到使用 DeepSeek 开发的第三方产品，读者可据此判断 AI 供应链合规边界的变化。
虎嗅同新闻推荐指数7575 美国国土安全部依FASCSA将DeepSeek移出联邦采购链
2026年10月19日，美国国土安全部公开针对DeepSeek的《FASCSA排除与移除令》（第2026-01号），要求联邦民用机构从IT系统中移除DeepSeek产品，并禁止采购基于DeepSeek模型或其底层实现开发的第三方产品与服务。
Hacker News推荐指数5858 Red Hat 发布欧盟 CRA 开源软件管理者指南，覆盖 15 个项目
Red Hat 发布《欧盟网络弹性法案（CRA）开源软件管理者指南》，正式将自身认定为 Ansible、Fedora、CentOS Stream、Konflux。
CSO精读同新闻推荐指数7474 美国国土安全部下令联邦机构 60 天内清除 DeepSeek 产品
美国国土安全部部长签发命令，禁止所有 DeepSeek 产品与服务进入联邦机构，相关机构须在 60 天内从 IT 系统中清除，确有正当理由者需向 CISA 书面申请豁免。
安全内参同新闻推荐指数7272 美国国土安全部下令联邦民事机构清除DeepSeek产品
美国国土安全部发布编号2026-01的命令，要求美国联邦民事行政机构停止采购DeepSeek及其关联企业的信息技术产品和服务，并从现有信息系统中移除相关产品，范围还延伸至采用DeepSeek技术开发的第三方产品和服务。
Fortinet推荐指数2222 Fortinet FortiOS 产品系列通过 IEC 62443 认证
Fortinet 宣布 FortiOS 产品系列获得 IEC 62443 认证，覆盖 FortiGate、FortiGate Rugged、FortiWiFi 和 FortiGate VM 四类平台，认证版本为 FortiOS v7.4.x、v7.6.x 和 v8.x.x。
嘶吼推荐指数4343 梆梆安全发布《2026年Q1移动应用安全风险报告》：超八成APP存隐私违规，数据境外外发风险需高度警惕
梆梆安全发布《2026年Q1移动应用安全风险报告》，基于2026年一季度威胁监测数据，抽样6,701款Android APP中80.69%存在中高危漏洞，4,089款抽样中82.22%涉及隐私违规。抽样4,089款APP中302款存在向境外IP传输数据行为，发往美国占比70.2%、澳大利亚14.57%；抽样47,266款APP中仅30.85%完成应用加固。