vscan：一条命令跑完端口扫描到漏洞验证的单二进制工具链
vscan 将端口扫描、服务识别、爆破与漏洞验证等六段工具链压缩进一个二进制文件，可用一条命令跑完从端口扫描到漏洞验证的完整流程。文章强调所有扫描、爆破与漏洞验证操作必须在获得明确授权的目标上进行，非法使用后果自负。
#非AI/通用工具
微信公众平台推荐指数4040 SANS ISC Diary推荐指数4343 在恶意软件分析实验室部署本地 Ghidra Server
Ghidra 12.1.4 自带的 Ghidra Server 可将本地分析项目转为共享项目，把函数重命名、注释、结构体等成果存到中心仓库，避免回滚虚拟机快照时丢失数小时工作。
Hacker News推荐指数1515 Department of Peace 开源美国国土安全部（DHS）员工目录网页版
Department of Peace 将其 icepick CLI 工具推出网页版，公开美国国土安全部（DHS）员工目录，数据集 DOP2 经自动化与人工研究补充，原始版本可经 DDoSecrets 下载。
CISA官方推荐指数1818 CISA：Mitsubishi Electric 多款 SCADA/工业软件存在 CWE-266 权限分配漏洞，53 款产品受影响
CISA 披露 Mitsubishi Electric GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI。
Hacker News推荐指数1212 X-shredder：开源 macOS 应用，按 NIST 800-88 安全擦除 SD 卡
X-shredder 是一款开源 macOS 应用，通过覆写并回读校验的方式按 NIST 800-88 "Clear" 标准安全擦除 SD 卡，可生成 Ed25519 签名的 JSON/PDF 擦除报告。
FreeBuf推荐指数4040 Kali Linux 2026.3 正式发布：新增 6 款渗透测试工具，内核升级至 Linux 7.1.5
Kali Linux 2026.3 于 10 月 26 日正式发布，新增 Dalfox、Katana、Qsreplace、Rustscan、SDRangel、Snaffler-ng 共 6 款渗透测试工具，系统内核从 6.19 升级至 Linux 7.1.5，共包含 126 个软件包升级。
Hacker News推荐指数4444 Unicode Technical Standard #39（UTS #39）v18.0.0：Unicode 安全机制
Unicode Consortium 发布 Unicode Technical Standard #39（UTS #39）v18.0.0，修订号 34，由 Josh Hadley、Roozbeh Pournader 编辑，日期 2026-08-27，已获 Unicode 成员批准为稳定文档。
Hacker News推荐指数1212 SEOAudit：免注册的被动式网站 SEO 与安全扫描器
SEOAudit 推出免费被动式网站扫描器，无需注册即可在约 30 秒内完成检测，仅发送普通公开请求，不做攻击测试或暴力破解。扫描覆盖 HTTPS 重定向、安全头、Cookie、SSL/TLS 证书、SPF 与 DMARC 记录、robots.txt、sitemap、security.txt 及核心 SEO 标签，不测量排名、流量和 Core Web Vitals。
SANS ISC Diary推荐指数1818 YARA-X 1.22.0 发布
YARA-X 1.22.0 发布，包含 11 项改进和 9 项 bugfix。其中一项改进新增了读取 64 位整数的内置函数 int64、int64be、uint64 和 uint64be。
SANS ISC推荐指数1212 YARA-X 1.22.0 发布
YARA-X 1.22.0 发布，包含 11 项改进和 9 项 bugfix。其中一项改进新增了读取 64 位整数的内置函数：int64、int64be、uint64 和 uint64be。
微信公众平台推荐指数4242 让 Burp 自己开火：一个把抓到的流量直接变成漏洞的被动扫描引擎
myscan 是一个把 Burp Suite 抓到的流量直接转成漏洞发现的被动扫描引擎，仅在授权测试与安全学习场景使用。它以被动方式分析已捕获的 HTTP 流量，无需主动向目标发包探测，从而降低对生产环境的干扰与风险。
微信公众平台推荐指数4141 crAPI 靶场实战：OWASP API Top 10 的越权与逻辑缺陷
crAPI 靶场实战详解 OWASP API Top 10 中的 BOLA、BFLA、批量赋值等越权与业务逻辑缺陷，并给出 API 网关侧的鉴权与限流加固方案。crAPI 是专攻 API 安全缺陷的开源靶场，可用于接口分类与攻击演练。
微信公众平台推荐指数4040 AI取证实战第32期：解析E01镜像文件的两种方式对比
AI取证实战第32期对比了解析E01镜像文件的两种方式：WSL2 中用 ewfmount 四步挂载为目录，或用 dissect 三行代码直接读取，安装部署步骤逐条写清。对同一个 10.6GB 检材实测，读盘速度分别为 147 MB/s 与 1560 MB/s，相差约 10 倍。
微信公众平台推荐指数1212 Redis 未授权访问：一个配置错误就能丢服务器
一篇渗透测试实战文章指出，Redis 未授权访问漏洞常因一个配置错误导致服务器被黑——开发者为图方便开启相关配置，攻击者即可未授权访问并控制服务器。文章为渗透测试实战系列第 20 篇，聚焦 Redis 配置不当引发的服务器失陷风险。
36氪推荐指数3838 工信部发布关于防范 PHP 远程代码执行超危漏洞的风险提示
工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）监测发现 PHP 存在两个远程代码执行超危漏洞，PHP 安全团队已修复并发布安全公告。韩国科技信息通信部将网络危机预警级别上调至第二低的"警戒"级别，要求企业和政府机构更新系统以修复漏洞。
微信公众平台推荐指数11 Termux 换机后 login 失败解决记录
Termux 换机后 login 报错，提示 No such file or directory 但文件实际存在，排查方向应首先检查符号链接与依赖库。
Hacker News推荐指数88 OpenJFX 发布 2026 年 10 月关键补丁更新：覆盖 27.0.1、25.0.5、21.0.13、17.0.21
OpenJFX 发布 2026 年 10 月关键补丁更新（CPU），覆盖 27.0.1、25.0.5（LTS）、21.0.13（LTS）和 17.0.21（LTS）四条版本线，包含安全修复、第三方依赖更新与稳定性改进。
Hacker News推荐指数55 Cisco 产品受 PHP 漏洞影响：2026 年 10 月安全公告
Cisco 发布 2026 年 10 月安全公告，说明 PHP 漏洞对 Cisco 产品的影响，并更新了受影响产品及已确认不受影响产品清单。公告版本 1.1 于 2026-OCT-21 发布，状态为 Interim。
Hacker News推荐指数1212 PHP Web 运行时漏洞（CVE-2026-109618 与 CVE-2026-109619）的 WAF 自定义规则
针对 PHP Web 运行时漏洞 CVE-2026-109619，有人发布了一条名为 PHP2Shell 的 WAF 自定义规则，通过匹配 POST 方法、PHPSESSID cookie 或请求体以及 PHP_SESSION_UPLOAD_PROGRESS 字段来拦截利用请求。该规则优先级为 0，命中后执行 Block 动作，并启用采样请求与 CloudWatch 指标。
微信公众平台推荐指数88 PHP 远程代码执行漏洞通告：CVE-2026-109618 与 CVE-2026-109619
深瞳漏洞实验室于 2026 年 10 月 21 日监测到 PHP 组件存在两个代码执行漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619，威胁等级为严重。这两个漏洞均属远程代码执行类型，可导致受影响 PHP 组件被攻击者执行任意代码。
微信公众平台推荐指数1010 php2shell（CVE-2026-109618 / CVE-2026-109619）：PHP Core 中两个无需认证即可远程触发的代码执行漏洞
php2shell 是 PHP Core 中两个无需认证即可远程触发的代码执行漏洞，编号为 CVE-2026-109618 与 CVE-2026-109619。
微信公众平台推荐指数1515 应急轻：一键应急响应工具
应急轻是一款一键应急响应工具，单个 EXE 体积仅 342 KB，双击运行后等待几分钟，即可在桌面生成一份应急响应报告。
Hacker News推荐指数33 PHP 计划发布修复两个 CVSS 9.2 严重漏洞的安全版本
PHP 安全团队预告将于 10 月 21 日 14:00 UTC 发布安全版本，修复两个 CVSS v4.0 评分均为 9.2 的严重漏洞，建议所有 PHP 用户提前准备以便版本发布后立即升级。若漏洞细节公开或出现野外利用证据，团队保留提前发布的权利；受影响版本与修复版本将在发布时一并公布。
Hacker News推荐指数88 PHP 计划发布修复两个 CVSSv4 9.2 严重漏洞的安全版本
PHP 安全团队预告将于 10 月 21 日 14:00 UTC 发布安全版本，修复两个 CVSS v4.0 评分均为 9.2 的严重漏洞，并建议所有 PHP 用户提前准备以便版本发布后立即升级。受影响版本与修复版本将随发布一并公布；若漏洞细节公开或出现野外利用证据，团队保留提前发布的权利。
微信公众平台推荐指数88 神器推荐：高级类 nc 监听器 penelope，支持多 sessions、上传下载、http server 与辅助模块
penelope 是一款类似 nc 的高级监听器，支持多 sessions、上传、下载、http server 和辅助模块。该工具被作为安全神器推荐，供读者试用。
SANS ISC推荐指数1010 检测 DWG 文件中孤立 VBA 项目的 YARA 规则
SANS ISC 发布 YARA 规则 autocad_orphaned_vba_project，用于检测 DWG 文件内孤立的 VBA 项目，规则匹配文件头 "AC10"、偏移 0x24 处值为 0、OLE 复合文档签名及 "[Host Extender Info]" 字符串。
SANS ISC Diary推荐指数1212 检测 DWG 文件中孤立 VBA 项目的 YARA 规则
SANS ISC Diary 发布了一条用于检测 DWG 文件中孤立 VBA 项目的 YARA 规则 autocad_orphaned_vba_project，通过匹配文件头 "AC10"、偏移 0x24 处值为 0、OLE 复合文档魔数及 "[Host Extender Info]" 字符串来识别。
BurpSuite官方精选推荐指数7272 Burp Suite Turbo Intruder 支持 HTTP/3，实测超 100,000 RPS
PortSwigger 宣布 Turbo Intruder 支持 HTTP/3，作者用 HTTP3 引擎通过 Wi-Fi 向远程主机打出 100,000 RPS，云端同区域部署最佳成绩约 180,000 RPS，并推出新的 AUTO 引擎自动选择最高 HTTP 版本并动态调参。
推荐理由：原文给出了HTTP/3引擎的调优参数与实测RPS数据，读者可据此评估在自身目标上能压到多快的模糊测试速度。