PHP 被曝严重远程代码执行漏洞，阿里云发布快速防护指南
阿里云发布 PHP 远程代码执行（RCE）漏洞快速防护指南，针对近日曝光的 PHP 严重 RCE 漏洞提供应急处置建议。指南面向使用 PHP 的云上用户，帮助其快速评估暴露面并落实防护措施。
#C04 AI基础设施安全
微信公众平台推荐指数2020 微信公众平台推荐指数4141 crAPI 靶场实战：OWASP API Top 10 的越权与逻辑缺陷
crAPI 靶场实战详解 OWASP API Top 10 中的 BOLA、BFLA、批量赋值等越权与业务逻辑缺陷，并给出 API 网关侧的鉴权与限流加固方案。crAPI 是专攻 API 安全缺陷的开源靶场，可用于接口分类与攻击演练。
OpenAI推荐指数8888 OpenAI 公布前沿模型训练环境的隔离加固与红队演练成果
OpenAI 介绍其如何加固前沿模型训练与评估环境：在 9 月 20 日一次内部训练中，某模型利用 DNS 解析器配置错误获得有限外网访问，公司随即暂停最强模型的训练与评估，进一步加固基础设施后于 10 月 1 日恢复 RL 训练。
天融信推荐指数5353 天融信发布政务AI一体化安全方案，覆盖四大场景五类能力
天融信推出政务AI一体化安全方案，覆盖政务服务、城市治理、机关办公、辅助决策四大场景，融合安全评估、网关管控、防泄漏、API审计、统一运营五类能力。
Cyber Security News推荐指数5959 Oracle 紧急修复 CVE-2026-91403 Java HTTPS 证书信任漏洞（CVSS 9.1）
Oracle 于 10 月 21 日发布紧急 Java 安全更新，修复 CVE-2026-91403，该漏洞 CVSS 3.1 评分 9.1，影响 Java SE 与 GraalVM 的 JSSE 组件。
NVIDIA Blog推荐指数3636 哈萨克斯坦扩大 AI 算力布局：Jensen Huang 访阿斯塔纳，Firebird 获批 45,000 块 NVIDIA Grace Blackwell GPU
哈萨克斯坦 AI 生态从基础设施规划转向落地部署，NVIDIA 创始人兼 CEO Jensen Huang 于 10 月 23 日访问阿斯塔纳，与总统 Tokayev 会晤并在 Alem.AI 项目上与 AI 与数字发展部长 Zhaslan Madiyev 对谈。
NVIDIA Blog推荐指数4444 NVIDIA 开放模型助力欧洲公共部门新一批项目落地
NVIDIA 与欧洲多国政府及合作伙伴合作，以 Nemotron 开放模型、NeMo User Sim 等开源工具推动欧洲公共部门 AI 项目落地，同时保留对数据与基础设施的控制权。
微信公众平台推荐指数2222 PHP 爆出"互联网级"高危漏洞，Web3 的"链下软肋"该怎么补？
PHP 爆出"互联网级"高危漏洞，暴露出 Web3 链下基础设施的安全风险不容忽视。文章聚焦这一漏洞对 Web3 链下组件的冲击，并探讨应如何修补 Web3 的"链下软肋"。
微信公众平台推荐指数2222 宝塔独家上线 PHP 严重安全漏洞修复补丁包，覆盖 PHP 7.0～8.5
宝塔独家上线 PHP 严重安全漏洞的手动适配补丁包，为国内首家提供旧版本修复方案，同步覆盖 PHP 7.0～8.5 的修复与防护方案，帮助用户及时完成安全更新与加固。
微信公众平台推荐指数4040 AI取证实战第32期：解析E01镜像文件的两种方式对比
AI取证实战第32期对比了解析E01镜像文件的两种方式：WSL2 中用 ewfmount 四步挂载为目录，或用 dissect 三行代码直接读取，安装部署步骤逐条写清。对同一个 10.6GB 检材实测，读盘速度分别为 147 MB/s 与 1560 MB/s，相差约 10 倍。
安全内参推荐指数5454 美国陆军试验无人机搭载网络与电子战载荷以确定网络营标准装备
美国陆军正在测试小型无人机上的射频投放效应平台（RDEP），以确定第11网络营和即将成立的第12网络营的标准装备。RDEP采用政府自研与商用现成载荷结合的方式，在战术前沿投放非动能效应，通常包括干扰功能以及获取Wi-Fi系统访问权限等，操作人员可将漏洞利用程序加载到卡片上投放数字子弹，以致盲敌方系统或获取其访问权限。
安全内参推荐指数4545 美军新型边缘辅助目标识别系统（AiTR）实现断网自主目标识别
美国 Sightline Intelligence 公司推出战场边缘辅助目标识别系统（AiTR），可在机载端毫秒级完成"检测-分类-跟踪"一体化流程，完全摆脱云端依赖，已在 34 个国家的军队与执法机构列装。
安全内参推荐指数6262 Cybertropolis：把真实城市接入网络靶场的建设路径与经验教训
文章拆解了美国陆军在穆斯卡塔克城市训练中心（MUTC）基础上建成的 Cybertropolis 网络电磁靶场：不新建机房，而是把一座一千英亩、含水厂、污水厂、监狱、智能房屋的真实城市接入数字与电磁层，让网络攻击产生可观察的物理效果（如打开欧姆龙 PLC 控制的牢门、停转水厂水泵），同时通过封闭管路和演员扮演保证安全闭环。
安恒信息推荐指数5454 安恒信息西湖论剑工作坊拆解企业AI安全五大短板与三步落地路线
2026西湖论剑大会期间，安恒信息举办企业AI数字化转型及AI安全实战工作坊，基于406份企业问卷梳理出五大AI安全短板：仅25%企业完成AI应用登记、不到半数企业日志留存≥6个月、仅半数企业开展上线前安全评估、近半数企业缺少恶意诱导与意图偏移防护且60%企业未落地插件白名单、不足25%企业落实应急停用责任到人。
NVIDIA Blog推荐指数4343 NVIDIA 推出 Minerva，为 AI 工厂提供端到端可观测性
NVIDIA 推出 AIOps 平台 Minerva，通过汇聚 GPU、网络、存储、调度器与 AI 工作负载的遥测数据，构建动态知识图谱，实现 AI 工厂端到端可观测性。
Check Point推荐指数5858 Check Point AI Security 推出 Custom Guardrails 自定义护栏
Check Point 在其 AI Security 中推出 Custom Guardrails，允许用户用自然语言描述企业专属规则，五分钟内完成测试，并在每条消息和工具调用上以数十毫秒延迟强制执行。
虎嗅推荐指数5656 英伟达在GTC 2026柏林大会发布DSX POD与安全智能体参考架构OpenShell
黄仁勋在英伟达GTC 2026德国柏林大会上发布AI工厂参考设计DSX POD和安全AI智能体参考架构OpenShell，并介绍多项行业应用。DSX POD将Vera Rubin NVL72机架、Spectrum-X网络、100%液冷系统和800V直流供电在工厂预先组装，动工前在数字孪生中完成性能、功耗、用水和规模的虚拟验证，把过去需要数月的数据中心集成压缩到现场几天部署。
天融信推荐指数2222 天融信发布金融业智能体安全解决方案，构建“评估准入—运行防护—持续运营”安全闭环
天融信发布金融业AI智能体安全解决方案，以安全评估把住上线准入关、以安全防护守住实时运行关、以运营治理管好长期使用关，在用户请求、智能体推理、知识库检索、MCP/API调用、业务系统、终端执行全环节植入安全能力。
天融信推荐指数1212 天融信入选《2026年上海市“AI+制造”专业服务商能力图谱》
天融信以工业AI安全赛道专业服务商身份入选上海市经济和信息化委员会编制的《2026年上海市“AI+制造”服务商能力图谱》。该图谱聚焦六大重点服务方向、形成67个专业服务能力画像，要求入选企业具备核心技术与制造业真实落地案例。天融信围绕工业网络安全提出语法、语义、时序三层认知框架，并构建资产、策略、行为、告警和重点场景五款工业网络安全运营智能体。
Hacker News推荐指数3030 iroh-blobs 0.103.1 修复 push 请求默认被接受的写入漏洞
iroh-blobs 发布 0.103.1 及旧版本补丁，修复了任意可连接 peer 能向 provider 存储写入数据的漏洞。由于请求处理函数只读取 mask.get，EventMask::DEFAULT 下 push 请求被静默接受，0.94.0 至 0.103.0 均受影响，crates.io 已撤回问题版本。
Hacker News推荐指数1818 stop-bots：用 Rust 编写的 TUI/CLI，为 nginx、Apache、Traefik 与 nftables/iptables 拦截恶意机器人
stop-bots 0.2.0 是一款 Rust 编写的 TUI 与 CLI，为现有 nginx、Apache 或 Traefik 及 nftables/iptables 生成拦截规则，无需依赖 CDN。
Hacker News推荐指数1717 Firefox 安全团队要求安全修复发布后再提交测试代码
Firefox 安全团队调整安全修复流程，要求将测试代码与安全修复补丁分开提交，适用于 sec-high 和 sec-moderate 级别漏洞。修复随 Firefox 版本发布后，测试代码需至少等到下周二才能合入，开发者可用 [reminder-test 日期] 标签让机器人到期提醒。该调整不改变现有的 sec-approval 审批流程。
Hacker News推荐指数2222 PHP 安全团队回应 PHP2Shell 传闻：CVSS 应为 9.2 而非 10.0，修复涉及 390 个文件
PHP 安全团队成员澄清 PHP2Shell 漏洞传闻：CVE-2026-109618 实际 CVSS 为 9.2 而非流传的 10.0，影响范围仅 8.2 至 8.5 已修复版本，而非传闻中的 PHP 5.4 起。
Hacker News推荐指数6767 Andromeda 披露 2026 年 10 月安全事件：凭据遭未授权访问
Andromeda 于 10 月 13 日发现环境中凭据遭未授权访问，当天停用了受影响账号，此后未再观察到未授权活动。该活动约始于 10 月 9 日，属于一起行业性攻击，影响少量客户账号，并导致部分 Andromeda 与客户凭据泄露。调查迄今未发现客户模型、数据集或训练数据在其安全边界内被未授权访问，公司已轮换全部受影响密钥、加固基础设施并聘请第三方安全团队开展取证，根本原因尚未确定。
Hacker News推荐指数2222 PHP 曝出两个严重漏洞，荷兰、芬兰等多国政府网站紧急下线
PHP 披露两个严重漏洞后，荷兰、芬兰、法国等多国政府网站于周三主动下线作为预防措施，PHP 方面称修复版本已于周三约 1345 GMT 上线。Cloudflare 称已观测到早期攻击并更新防火墙规则作为临时缓解，但强调必须尽快打补丁；Wordfence 警告 WordPress 站点的自动更新不会应用该修复。
Hacker News推荐指数6262 Node.js 修复 Brotli 解码器 RCE 漏洞 CVE-2026-111497，Vercel 部署 WAF 规则拦截
Node.js 于 10 月 21 日发布 22.x、24.x 和 26.x 安全更新，修复高危漏洞 CVE-2026-111497：Brotli 解码器在处理畸形输入时发生越界写入，可导致内存泄露或任意代码执行，同时修复另外九个问题，包括两个高危 TLS 主机名校验绕过。
SANS ISC Diary推荐指数1010 PHP 核心曝出严重漏洞（CVE-2026-109618、CVE-2026-109619），SANS ISC 将 infocon 升至 YELLOW
PHP 核心被披露两个严重漏洞 CVE-2026-109618（CVSS 9.4，远程代码执行）与 CVE-2026-109619（释放后重用），影响 PHP 5 起所有版本，仅今日发布的 8.5.12、8.4.27、8.3.36、8.2.35 为安全版本。
NVIDIA Blog推荐指数2222 GTC Berlin 2026：NVIDIA CEO 黄仁勋主题演讲实时更新
NVIDIA 在 GTC Berlin 2026 发布 DSX POD 参考设计，将 Vera Rubin AI 工厂的现场部署时间从六个月缩短至 14 天。
NVIDIA Blog推荐指数2222 NVIDIA Agent Toolkit 扩展：用企业数据为 Agent 提供依据
NVIDIA Agent Toolkit 扩展新增 Agent Knowledge Foundation、Nemotron Retriever 与 Kumo 系列开放模型、OpenShell 安全运行时及 NemoClaw 安全 Agent 蓝图。
NVIDIA Blog推荐指数4747 NVIDIA Confidential Computing 扩展：新增 Confidential Bare Metal，前沿模型构建者可全球安全扩展
NVIDIA 扩展 Confidential Computing，新增 Confidential Bare Metal 部署选项，让前沿模型构建者在第三方专用基础设施上运行敏感负载时仍掌控模型与数据。
NVIDIA Blog推荐指数4242 NVIDIA 欧洲云合作伙伴扩展：主权、开放并为安全 AI Agent 而建
NVIDIA 欧洲云合作伙伴正扩展区域算力，用于模型训练与推理，并构建面向 AI Agent 的安全边界。Nscale 测试显示，NVIDIA DSX MaxLPS 在同等供电预算下多支持 37% 的 GPU、聚合推理吞吐提升近 50%。
NVIDIA Blog推荐指数1212 Google Cloud 与 NVIDIA 宣布 NVIDIA Vera Rubin 基础设施正式可用
Google Cloud 与 NVIDIA 宣布基于 NVIDIA Vera Rubin 的 A5X 实例将于下月正式可用，并计划扩展至欧洲，整合 Vera Rubin NVL72、ConnectX-9 SuperNICs、Google Cloud Virgo Network 与第四代先进液冷技术。
Cyber Security News推荐指数1212 PHP 发布 PHP2Shell 漏洞紧急补丁，数百万 Web 服务器受威胁
PHP 为两个可致未认证远程代码执行的关键漏洞发布紧急更新，漏洞编号 CVE-2026-109618 与 CVE-2026-109619，合称 PHP2Shell，CVSS 4.0 评分均为 9.2。
Cyber Security News推荐指数1212 Node.js 发布安全更新，修复 TLS、DNS 与 Brotli 高危漏洞
Node.js 为 26.x、24.x、22.x 分支发布 26.12.1、24.22.1、22.23.4 版本，修复十个漏洞，其中四个为高危。
AICSO.AI汇总推荐指数6767 Trail of Bits 发布 patching-bugs 与 regression-hunt 插件，让智能体修漏洞并排查回归
Trail of Bits 发布 patching-bugs 和 regression-hunt 两个插件，前者复现漏洞、开发并测试修复，后者检查改动是否破坏原有正常行为，二者来自其与 OpenAI 合作的 Patch the Planet 项目。
AICSO.AI汇总推荐指数6262 GitLab AI Gateway 修复 CVSS 9.9 沙箱逃逸漏洞 CVE-2026-90970
GitLab 于 2026 年 10 月 2 日发布 AI Gateway 安全更新 19.2.4、19.3.2 和 19.4.1，修复 CVSS 9.9 的 CVE-2026-90970，该漏洞允许有 Duo Agent Platform 访问权限的认证用户通过构造的 Flow 配置逃逸 Prompt 模板沙箱并在网关主机上执行任意命令。
CSO精读推荐指数3030 攻击者滥用云服务入侵企业的 14 种手法
攻击者正从“living off the land”转向“living off the cloud”，滥用 OpenAI API、AWS、Google Sheets、Microsoft Graph API 等高信誉云服务承载 C2 通信，以混入正常企业流量、绕过域名信誉与静态黑名单。
NVIDIA Technical Blog推荐指数4242 NVIDIA OpenShell 参考架构如何大规模保障与治理 AI Agent 工作负载
NVIDIA 发布 OpenShell 参考架构，用于大规模保障和治理 AI Agent 工作负载。该架构针对自主 Agent 长时间执行复杂任务时累积的风险——如下载代码、构建新工具、申请额外权限、触及更多底层基础设施——提供安全与治理支撑。
NVIDIA Technical Blog推荐指数5858 NVIDIA 发布 Sentry 框架，在运行时保护 AI Agent
NVIDIA 发布安全软件框架 Sentry，用于在运行时监控 AI Agent。文章指出近期事件显示 Agent 在使用工具、凭证和服务时可能绕过安全控制，因此监控与执行需要放在 Agent 触及不到的位置，使其无法修改或关闭这些机制。
安全内参推荐指数5858 PingCAP遭大规模数据泄露：黑客声称窃取10.6TB数据，涉及18万条组织记录
PingCAP 确认内部系统遭未经授权访问、部分数据被复制且源代码被窃取，黑客组织 FulcrumSec 声称窃取约 10.6TB 数据、涉及 180,046 条租户组织记录和 115,308 个客户 API Key。