GitHub 收紧 npm 可信发布：漏洞曾致 1500 多个包可被劫持
GitHub 对新建的 npm 可信发布配置实施 48 小时过期机制，未在两天内完成首次成功发布的配置将失效，同时 npm 不再接受来自 GitHub Actions issue_comment 事件的可信发布 token。
#Microsoft
安全通报The Hacker NewsAI 评分7373 漏洞与风险The Hacker NewsAI 评分6262 微软修复创纪录的 1,413 个漏洞，含一个已被利用的 Windows Shell 漏洞
微软本周二发布补丁修复 1,413 个漏洞，创下自身 Patch Tuesday 纪录，其中 Windows 占 1,102 个、Office 占 134 个，超过 670 个为权限提升类，70 余个被评为严重级别。
漏洞与风险The Hacker NewsAI 评分6262 四字节写入与时序漏洞让研究者在 Windows SmartScreen enclave 内运行代码
安全公司 Doyensec 披露 CVE-2026-83498，通过四字节写入与时序漏洞在 Windows VBS enclave 内运行攻击者代码，微软已在 2026 年 9 月 8 日更新中修复。
威胁情报The Hacker NewsAI 评分7272 微软联合多方捣毁三个钓鱼套件，涉超 10 亿条诈骗信息
微软联合 Health-ISAC、JC3 及 Cloudflare、Oracle、Proofpoint、TRM Labs 等公司宣布捣毁 CoGUI（NX/FA）、Haozi（Phoenix）和 Iron Man System 三个钓鱼套件。
漏洞与风险BleepingComputerAI 评分6262 微软 2026 年 10 月补丁日修复 1411 个漏洞，含 3 个零日
微软 2026 年 10 月补丁日发布安全更新，修复创纪录的 1411 个漏洞，其中 70 个为“严重”级别，57 个属远程代码执行。
威胁情报BleepingComputer精选AI 评分7878 全球联合执法捣毁支撑10亿封钓鱼邮件的犯罪网络
微软与日本警察厅等机构联合捣毁一个支撑超10亿封恶意邮件的网络犯罪生态，涉及150个国家、逾7.5万家组织。调查发现名为YAM Store（Storm-3119）的地下市场，关联CoGUI、Haozi和Iron Man System等钓鱼工具包（统称Storm-2990），其中Iron Man提供超2300个冒充银行、零售商和政府的模板。
推荐理由：微软与日本警方等联合捣毁一个支撑超十亿封钓鱼邮件的犯罪生态，披露了YAM Store与Iron Man等工具链的运作方式。
漏洞与风险Microsoft MSRCAI 评分3030 CVE-2026-32176：SQL Server 权限提升漏洞
Microsoft 在安全更新表中新增 SQL 软件条目，修复 CVE-2026-32176 SQL Server 权限提升漏洞。运行受支持 SQL 版本的客户被建议更新至指定版本以获得防护。
漏洞与风险Microsoft MSRCAI 评分2121 CVE-2026-81352：Web Media Extensions 远程代码执行漏洞
Microsoft 披露 CVE-2026-81352，为 Web Media Extensions 远程代码执行漏洞。MSRC 公告更新了 Software Update 表中的产品信息，属仅信息性变更。
行业The Hacker NewsAI 评分6060 Xandr 因转发 Grindr 性取向数据被挪威罚款 860 万欧元
挪威数据保护局对微软旗下广告部门 Xandr 处以 860 万欧元（962 万美元）罚款，指其在 2018 年 7 月至 2020 年 4 月间非法将 Grindr 用户的敏感数据转发给广告商，这是该监管机构开出的最大罚单。
行业BleepingComputerAI 评分2222 微软发布 Windows 10 KB5126657 扩展安全更新
微软发布 Windows 10 KB5126657 扩展安全更新，安装后系统升级至 build 19045.7807，Windows 10 Enterprise LTSC 2021 升至 build 19044.7807。
行业BleepingComputerAI 评分4545 微软确认近期 Windows 更新可能导致远程桌面连接失败
微软确认，在启用"管理员保护"功能的 Windows 11 24H2/25H2/26H1/26H2 设备上，安装 KB5124010 等 2026 年 9 月非安全预览更新或更高版本后，非管理员用户通过远程桌面连接可能失败并报错 0xC000000D。
行业BleepingComputerAI 评分2525 微软修复 9 月 Windows 更新引发的 Always On VPN 连接故障
微软发布 KB5127648 和 KB5127646 累积更新，修复 9 月 Windows 11 安全更新导致的 Always On VPN 连接故障。该问题影响 Windows 11 24H2 及更高版本，在启用自动协议选择或协议回退时，VPN 连接可能卡在“正在连接”状态或报错“指定的端口已在使用”。
论文The Verge · AIAI 评分6262 微软发布机器学习工具 PBC，改进两到六周天气预报
微软研究人员提出 Probabilistic Bias Correction（PBC）方法，用机器学习识别并纠正现有天气预报模型的系统性偏差，相关成果发表在 Nature 上，工具已开源。
行业The DecoderAI 评分6262 OpenAI 据报年底前发布一到两款新模型，旗舰仍需对齐工作
据 The Information 援引知情人士报道，OpenAI 员工称公司年底前可能发布一到两款新模型，但正在开发的重大升级旗舰是否在其中尚不清楚。该旗舰采用与 Astra 相同的循环 Transformer 技术，可提升数学和编码表现并降低成本，但会把部分思考移入人类审查者无法检查的内部数值表示，削弱思维链监控。
综合新闻BBC 中文AI 评分3838 AI 翻译还差什么才能完全取代人类译者？
谷歌翻译每月处理一万亿字，机器翻译直接销售额去年估计达 14 亿美元，但法律与医学领域的误译仍会造成严重后果。OKA 研究显示，出版前 27% 的 AI 生成文本仍被修改，其中四分之三是纠正 AI 引入的错误，5% 至 6% 改变了原意。法国学者弗朗索瓦·伊冯认为，真正的突破要等到 AI 能主动告诉人类自己何时没有把握。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-62755：Windows DHCP Client 权限提升漏洞
Microsoft 披露 CVE-2026-62755，为 Windows DHCP Client 权限提升漏洞。本次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或修复状态的调整。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-69334：Windows Volume Manager Extension Driver 远程代码执行漏洞
Microsoft 披露 CVE-2026-69334，为 Windows Volume Manager Extension Driver 的远程代码执行漏洞。此次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或修复内容的调整。
漏洞与风险Microsoft MSRCAI 评分2020 CVE-2026-69620：Windows DHCP Server 远程代码执行漏洞
Microsoft 披露 CVE-2026-69620，为 Windows DHCP Server 远程代码执行漏洞。本次更新仅补充致谢信息，属信息性变更，未涉及漏洞定级或修复内容的调整。
漏洞与风险Microsoft MSRCAI 评分2020 CVE-2026-69351：Windows UPnP Device Host 信息泄露漏洞
Microsoft 披露 CVE-2026-69351，为 Windows Universal Plug and Play (UPnP) Device Host 信息泄露漏洞。本次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或处置措施的调整。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-62697：Windows 推送通知权限提升漏洞
Microsoft 披露 CVE-2026-62697，为 Windows Push Notifications 权限提升漏洞。MSRC 本次仅更新了致谢信息，属信息性变更，未涉及漏洞细节或修复状态的调整。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-72937：Windows Storage Port Driver 信息泄露漏洞
Microsoft 披露 CVE-2026-72937，为 Windows Storage Port Driver 信息泄露漏洞。本次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或处置措施的调整。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-77499：Windows DHCP Server 拒绝服务漏洞
Microsoft 披露 CVE-2026-77499，为 Windows DHCP Server 拒绝服务漏洞。此次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或修复内容的调整。
漏洞与风险Microsoft MSRCAI 评分1818 CVE-2026-68825：Windows Bind Filter Driver 权限提升漏洞
Microsoft 披露 CVE-2026-68825，为 Windows Bind Filter Driver 权限提升漏洞。本次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或处置措施的调整。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-70584：Windows Core Messaging 权限提升漏洞
Microsoft 披露 CVE-2026-70584，为 Windows Core Messaging 权限提升漏洞。本次更新仅补充致谢信息，属信息性变更，未涉及漏洞细节或修复内容调整。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-69676：Windows Kerberos 远程代码执行漏洞
Microsoft 披露 CVE-2026-69676，这是一个 Windows Kerberos 远程代码执行漏洞。本次更新仅为致谢信息调整，属信息性变更，未涉及漏洞细节或修复状态的变化。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-69366：Windows 内核权限提升漏洞
Microsoft 披露 Windows 内核权限提升漏洞 CVE-2026-69366。该公告此次仅更新了致谢信息，属于信息性变更，漏洞本身的技术细节与影响范围未作改动。
威胁情报元见威胁情报AI 评分6262 45GB 微软源代码档案被指通过种子公开传播
据恶魔论坛帖文说法，一个 45GB 的微软源代码档案正通过种子传播，内容涉及多代 Windows、Windows CE、Windows Embedded 及 Xbox 相关源代码。帖文未提供可确认的条数信息，该说法目前尚无独立证据核验。
漏洞与风险Krebs on SecurityAI 评分6262 微软修复超过 1400 个安全漏洞
微软发布更新修复 Windows 及其他软件中超过 1400 个安全漏洞，规模远超 9 月近 1000 个的纪录。其中仅一个被认定为已遭利用的零日漏洞 CVE-2026-96951，是影响 Windows 10、11 及部分 Server 版本的 Windows Shell 安全功能绕过；至少 78 个漏洞被评为严重级别。
漏洞与风险Microsoft MSRCAI 评分3838 CVE-2026-97781：Microsoft Office OneNote 远程代码执行漏洞
Microsoft Office OneNote 存在命令注入漏洞（CVE-2026-97781），因未正确中和命令中的特殊元素，未经授权的攻击者可经网络执行代码。该漏洞被归类为远程代码执行漏洞。
漏洞与风险Microsoft MSRCAI 评分3838 CVE-2026-105016：Microsoft QUIC 远程代码执行漏洞
Microsoft QUIC 存在基于堆的缓冲区溢出漏洞（CVE-2026-105016），未经授权的攻击者可借网络执行代码。该漏洞可被远程利用，属于远程代码执行类型。
漏洞与风险Microsoft MSRCAI 评分3838 Microsoft 披露 .NET Framework 篡改漏洞 CVE-2026-97801
Microsoft 披露 .NET Framework 存在篡改漏洞 CVE-2026-97801，原因是未正确校验指定类型的输入，未授权攻击者可经网络实施篡改。该漏洞由 Microsoft MSRC 发布公告，目前未提供更多受影响版本或处置细节。
漏洞与风险Microsoft MSRCAI 评分3434 CVE-2026-108463：Windows SmartScreen 安全功能绕过漏洞
Windows SmartScreen 存在路径等价解析不当问题，未经授权的攻击者可经网络绕过该安全功能，漏洞编号为 CVE-2026-108463。Microsoft MSRC 已披露该安全功能绕过漏洞。
漏洞与风险Microsoft MSRCAI 评分2020 CVE-2026-108471：Windows 基于虚拟化的安全（VBS）Enclave 提权漏洞
Microsoft MSRC 就 CVE-2026-108471 发布信息更新，该漏洞为 Windows 基于虚拟化的安全（VBS）Enclave 提权漏洞。此次变更仅为补充 CWE 分类，属信息性修改，未涉及其他内容调整。
漏洞与风险Microsoft MSRCAI 评分2727 CVE-2026-108136：Microsoft Windows Search 组件权限提升漏洞
Microsoft Windows Search 组件存在释放后使用（use after free）漏洞，编号 CVE-2026-108136，已授权攻击者可借此在本地提升权限。该漏洞由 Microsoft MSRC 披露。
漏洞与风险Microsoft MSRCAI 评分3434 CVE-2026-108135：Windows Backup Engine 权限提升漏洞
Windows Backup Engine 存在链接解析不当（link following）漏洞，被追踪为 CVE-2026-108135，已授权攻击者可借此在本地提升权限。该漏洞源于文件访问前的链接解析不当，Microsoft MSRC 已发布相关安全公告。
漏洞与风险Microsoft MSRCAI 评分3838 CVE-2026-108134：Windows Autopilot 权限提升漏洞
Windows Autopilot 存在释放后使用（use after free）漏洞，编号 CVE-2026-108134，已授权攻击者可借此在本地提升权限。
漏洞与风险Microsoft MSRCAI 评分3838 CVE-2026-108133：Windows MDM 本地提权漏洞
Windows Modern Device Management (MDM) 存在释放无效指针或引用漏洞，编号 CVE-2026-108133，已授权攻击者可借此在本地提升权限。
漏洞与风险Microsoft MSRCAI 评分3838 CVE-2026-108132：Windows Kerberos 权限提升漏洞
Windows Kerberos 存在一处 double free 漏洞（CVE-2026-108132），已获授权的攻击者可借此在本地提升权限。Microsoft MSRC 发布了该漏洞公告。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-108131：Active Directory Federation Services (AD FS) 欺骗漏洞
Microsoft 披露 CVE-2026-108131，这是 Active Directory Federation Services (AD FS) 的欺骗漏洞。该条目本次仅新增 CWE 分类，属信息性变更，未涉及其他内容调整。
漏洞与风险Microsoft MSRCAI 评分4040 CVE-2026-108130：Windows VBS Enclave 权限提升漏洞
Windows Virtualization-Based Security (VBS) Enclave 存在基于堆的缓冲区溢出漏洞（CVE-2026-108130），已授权攻击者可借此在本地提升权限。