eMudhra 八个中间 CA 证书的私钥被泄露，这些证书链到 Mozilla、Microsoft、Apple 和 Chrome 根计划及众多下游信任库所信任的根证书。任何内置受信证书列表的软件都需要更新，Linux 发行版需更新 ca-certificates 包；Python 生态中 uv 0.13.4、pip 26.2.2 和 certifi 2026.10.19 已发布并升级证书列表。
推荐理由：梳理了受影响的信任链范围与已跟进更新的软件包，便于读者核对自身依赖是否已换新证书列表。
Go 1.27.3 和 Go 1.26.10 于 10 月 20 日发布，使 Go 的证书验证器拒绝任何经过 8 个中间证书颁发机构密钥的证书链。使用新版本构建的程序将拒绝连接证书由这些密钥签发的站点和服务。Go 团队称这些密钥属于同一家证书颁发机构，但未披露具体原因。
GitHub 对新建的 npm 可信发布配置实施 48 小时过期机制，未在两天内完成首次成功发布的配置将失效，同时 npm 不再接受来自 GitHub Actions issue_comment 事件的可信发布 token。
国家互联网应急中心（CNCERT）近期发布关于 OpenClaw（“小龙虾”，曾用名 Clawdbot、Moltbot）安全应用的风险提示，指出该智能体软件默认安全配置脆弱，攻击者一旦发现突破口即可获取系统完全控制权。
推荐理由：CNCERT 针对 OpenClaw 智能体应用发布风险提示，列出提示词注入、误操作、插件投毒和已公开漏洞四类风险，并给出网络控制、凭证管理、插件来源和补丁更新四方面防护建议，对部署该应用的单位和个人具有直接处置参考价值。
CNCERT 监测发现“独狼”黑产团伙近期活动频次显著增加，在非官方下载站点投放捆绑恶意程序的热门应用安装包，如“搜狗输入法”“五笔输入法”“QQ音乐”等。用户运行后会被同步植入恶意代码，功能为盗取小红书、抖音、哔哩哔哩账号信息并回传设备系统配置与网络环境数据，还会强制推广浏览器扩展和应用软件、针对抖音自动刷流量和批量点赞取消点赞。
推荐理由：CNCERT 官方发布的风险提示，给出团伙投放手法、恶意代码功能与感染规模数据，并明确安天参与样本分析，便于安全团队评估排查与防御。