据 Fortinet 称，影响 Orkes Conductor 的一个严重漏洞正被积极在野利用。 该漏洞为 CVE-2026-58138（CVSS v3.1 评分：9.8 / CVSS v4 评分：9.3），属于未认证远程代码执行。 "Orkes Conductor 3.21.21 至 3.30.2 之前的版本存在一个未认证远程代码执行漏洞，允许远程攻击者在认证之前，通过向工作流 API 端点提交包含恶意 JavaScript 或 Python 表达式的内联工作流定义，来执行任意操作系统命令，...

SolarWinds 已发布安全更新，以修复 Access Rights Manager (ARM) 中的一个高危漏洞，该漏洞若被成功利用，可导致未认证远程代码执行。 该漏洞编号为 CVE-2026-28326，在 CVSS 评分系统中被评为 10.0 分中的 8.8 分。该问题影响 Access Rights Manager 2026.2 及之前的所有版本。 "SolarWinds Access Rights Manager 被报告受到一个未认证远程代码执行漏洞的影响，"SolarWinds 在 2026 年 9 月 17 日发布的一份公告中表示。"该问题源于一个硬编码的静态密钥。"...

安全公司 Hacktron 的三名研究人员利用 Anthropic 的 Claude Opus 5 串联两个漏洞，接管了多名 OpenAI 员工的 ChatGPT 和 Codex 账户，进而触及 OpenAI 的一个内部代码仓库。 这条漏洞链始于运行 OpenAI 公共帮助论坛的软件中的一个缺陷，随后穿过 OpenAI 自身登录系统中的一个弱点。 这是安全研究，而非真实世界的攻击：该团队将漏洞报告给了 OpenAI，用一个无害的 pull request 证明了访问权限，随后便停止了。从最初查看到获得内部访问权限，耗时不到 72 小时。...

周二，美国联邦调查局 (FBI) 查封了 NightmareStresser 所使用的域名，该平台是全球运行时间最长的分布式拒绝服务 (DDoS) 平台之一。 像 NightmareStresser 这样的 "Booter 服务" 属于 DDoS 雇佣攻击服务，允许任何人租用由受感染路由器和各类 IoT 设备组成的大型僵尸网络，对在线平台和服务发起大规模 DDoS 攻击。 在 nightmare-stresser[.]com 和 nightmarestresser[.]org 被查封之前，这家压力测试服务自称是 "排名第一的在线 IP booter" 和 "唯一一款全天候可用的 DDoS 工具"。...

OpenAI 展示了过去六个月中其所谓 "AI 模型失准" 的新案例，包括未经授权的文件上传、遵循自生成的指令、隐藏错误以及利用暴露的 API 密钥。 OpenAI 使用 "模型失准" 一词来描述 AI 模型违背其预期约束行事的情况，包括采取未经授权的行动、逃避监督或绕过安全防护以完成任务。 在昨天发布的一篇文章中，OpenAI 表示，其现在正在使用一个新的框架来追踪和调查 AI 代理的这些未经授权的行为。...

Brevo 证实，攻击者窃取了一个 Cloudflare API 密钥，并利用它向其网站以及嵌入在客户网站上的 JavaScript 文件中注入恶意 ClickFix 脚本，以传播恶意软件。 这家客户关系管理和数字营销公司表示，攻击者利用该 API 密钥创建了一个恶意 Cloudflare Worker，在 9 月 14 日约五个半小时内修改了 CDN 边缘的内容。...

一款名为 RatHat 的新型 Android 恶意软件被发现，它通过一个 AI 驱动的子系统来帮助操作者远程操控受感染的设备。 Zimperium zLabs 的研究人员分析了该恶意软件，在发现其使用中文编写的 LLM 提示词后，认为它与来自中国的威胁行为者有关。 研究人员表示，该恶意软件通过恶意广告、短信和钓鱼网站传播，这些渠道推广从 Google Play 之外下载 APK。...

与伊朗关联的 "黑客行动主义" 身份 Handala Hack 已被确认与一个基于 Telegram 的监控后门 HEAVYGRAM 以及一个基于 Delphi 的工具 CRUDEEXCLUDE 有关。 "HEAVYGRAM 提供内置命令，支持远程命令执行、系统、网络和进程信息收集、数据和 Telegram 会话文件窃取、截屏、DLL 侧加载、文件清理，以及通过 Windows 自启动注册表项实现持久化，"Group-IB 表示。...

开源统一通信 PBX 软件的 Web 框架 Issabel Framework 中的一个严重安全漏洞已遭到积极利用。 该漏洞为 CVE-2026-89026（CVSS v3.1 评分：9.8 / CVSS v4.0 评分：9.3），可允许未经身份验证的远程攻击者利用一个硬编码的 JSON Web Token (JWT) 签名密钥执行任意操作系统 (OS) 命令。...

根据 Kaspersky 的多份报告，俄罗斯的企业已成为三个威胁活动集群的攻击目标，分别被追踪为 NightEagle、Hacking Cat 和 Toy Ghouls。 这家网络安全厂商表示，其已识别出 NightEagle（又名 APT-Q-95）发起的攻击，该威胁行为者已知至少自 2023 年起活跃，其攻击涉及用于持久化和横向移动的新技术。...