1、Ninja Forms漏洞遭利用植入WordPress后门

https://patchstack.com/articles/four-ways-back-in-the-wordpress-xss-campaign-that-hides-its-own-admin-account/

安全研究人员披露，攻击者正在利用Ninja Forms的CVE-2026-94504以及WPC Product Bundles的CVE-2026-93836攻击WordPress网站。相关漏洞可被用于向站点写入持久化恶意脚本，当管理员访问受影响页面后执行后续代码，并创建隐藏管理员账户、安装恶意插件或文件管理组件，从而维持长期访问。研究人员在2026年10月4日至5日观察到两类漏洞被同一攻击活动利用，并发现其使用相同JavaScript载荷。该事件与此前Ninja Forms的CVE-2026-0740并非同一漏洞。

2、GoBalance缺陷可恢复.onion私钥并劫持隐藏服务地址

https://www.slcyber.io/research/leaking-the-keys-to-the-kingdom-how-a-single-slip-handed-over-a-darknet-empire

GoBalance负载均衡工具存在密钥处理缺陷，使用Tor原生格式保存主密钥的隐藏服务可能从公开描述符中泄露足以恢复长期私钥的信息。问题源于签名过程中仅向签名函数传入64字节Tor私钥的前32字节，导致本应保持随机的秘密值变为可计算固定值。攻击者无需访问目标服务器，仅凭一份公开描述符即可恢复控制.onion地址所需的私钥并发布有效描述符，将访问者重定向至攻击者控制的网站。10月5日至7日，Dread的两个.onion地址先后被接管，Omega等其他隐藏服务也确认因GoBalance问题迁移地址；原始Onionbalance和Tor本身不受影响。

3、Cisco Nexus OAM漏洞可未认证执行Root代码

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ngoam-rce-LWKQ4BU

Cisco Nexus 3000和9000系列交换机披露多项OAM相关严重漏洞。NGOAM功能中的CVE-2026-76485、CVE-2026-76486和CVE-2026-76501评分均可达到9.8，在启用NGOAM及相应SRv6或NV Overlay等特定配置时，未经身份验证的远程攻击者可能执行Root权限任意代码或造成拒绝服务。另一个MPLS OAM漏洞CVE-2026-76465同样评分9.8，影响以独立NX-OS模式运行且启用MPLS OAM的Nexus 3000和9000系列设备，可造成Root权限代码执行或设备拒绝服务。

4、Argo CD四项严重漏洞可执行命令或读取文件

https://github.com/argoproj/argo-cd/security

Argo CD披露一批安全漏洞，其中4项被列为Critical。两个Kustomize相关问题可通过远程引用或Helm配置目录在argocd-repo-server中运行命令；另一个Jsonnet导入问题可读取repo-server中的文件；CVE-2026-77459则允许具有提交权限的用户利用PreDelete或PostDelete资源Hook绕过AppProject限制。同期还修复了登录失败速率限制绕过、SSH Git仓库代理URL命令注入、扩展代理RBAC校验以及超大OCI清单导致repo-server内存耗尽等问题。相关安全修复已进入多个维护版本分支。

5、Jackrabbit严重漏洞可劫持缓存认证会话

https://www.openwall.com/lists/oss-security/2026/10/07/27

Apache Jackrabbit披露CVE-2026-92414和CVE-2026-92415两项漏洞。CVE-2026-92414的CVSS 4.0评分为9.3，Jackrabbit WebDAV服务器在Lock-Token、TransactionId、SubscriptionId或If请求头中的令牌与缓存记录匹配时，会直接附加已认证会话而不重新验证凭据，可能造成不同用户之间的缓存会话固定或复用。CVE-2026-92415影响WebDAV/DavEx客户端，恶意服务器或可拦截连接的攻击者可让客户端从类路径实例化任意类，并可能造成任意文件创建或截断。受影响版本覆盖2.20、2.22和2.23多个分支。

6、GitLab修复CVSS 10.0漏洞，未认证攻击者或可远程执行代码

https://www.bleepingcomputer.com/news/security/gitlab-warns-of-max-severity-rce-flaw-in-regex-compiler-engine/

GitLab披露，CI/CD正则表达式编译器存在整数溢出漏洞CVE-2026-97229。攻击者可能利用特制的流水线配置，在未认证的情况下执行服务器代码；修复版本为19.2.8、19.3.4和19.4.2。

7、法国多家超市制冷系统遭网络攻击，冰柜温度升至50℃

https://www.reuters.com/business/retail-consumer/french-supermarket-chain-intermarche-hit-by-cyberattack-150-stories-targeted-2026-10-12/

攻击导致法国多家超市的联网冰箱和冷柜升温，造成食品损失并引发火情。Intermarché约150家门店、家乐福80家门店受到影响；法国国家网络安全局已介入调查，受影响设备运行着过时固件。

8、Canonical多个Ubuntu网站遭DDoS，安全公告页面一度受影响

https://www.securityweek.com/canonical-websites-disrupted-in-second-ddos-attack-this-year/

Canonical在10月8日表示，其网站正遭持续DDoS攻击，Ubuntu和Canonical主站、博客、开发者网站及安全公告页面一度无法访问。公司称大部分服务次日恢复，尚未公布攻击规模或来源。

9、Let’s Encrypt将默认证书有效期缩短至64天，为45天期限做准备

https://www.securityweek.com/lets-encrypt-cuts-default-certificate-validity-to-64-days-ahead-of-45-day-switch/

Let’s Encrypt计划从2027年2月10日起，默认签发有效期为64天的证书，并计划在2028年进一步缩短至45天。该机构本周将先在测试环境启用64天证书，建议用户提前验证自动续期流程。

10、PoeLLM挖矿感染逾3400台服务器，借GitHub诗歌更新C2地址

https://www.tomshardware.com/tech-industry/cyber-security/cryptomining-malware-used-poetry-to-infect-more-than-3-400-servers-researchers-say-four-words-in-the-poellm-verse-changed-11-times-point-the-botnet-to-new-servers

Lumen研究团队称，名为PoeLLM的恶意软件已感染超过3400台服务器，并利用GitHub诗歌中的词语编码、更新命令与控制服务器地址。受害设备被用于运行加密货币矿工及继续扫描攻击；研究人员提醒组织检查暴露在公网的AI及相关服务。

以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。