CISA 要求联邦机构修补已遭利用的 Plex2Shell、西门子和 SiteGuard 漏洞
美国网络安全和基础设施安全局（CISA）周二将四个漏洞加入已知被利用漏洞（KEV）目录，并要求联邦机构限期修补。其中包括影响 Plex Media Server 的四个漏洞，被统称为 Plex2Shell，已列出的 CVE-2026-96652 为服务端请求伪造（SSRF），CVSS 评分 5.3。标题还点名西门子和 SiteGuard 相关漏洞，但摘要未给出具体编号与细节。
#监管合规
安全通报The Hacker NewsAI 评分6262
行业The Hacker NewsAI 评分5858 WhatsApp 帮助页代码藏指令，要求客服 AI 不推荐隐私监管机构
WhatsApp 帮助页面的代码中藏有给客服聊天机器人的指令，要求它在用户无法删除账号时不要推荐数据保护机构或监管机构，这些文字从未在页面上显示，直到 10 月 18 日被移除。WhatsApp 面向欧洲的隐私政策则告知用户可以投诉至监管机构。材料仅提供摘要，指令的具体措辞和移除原因尚未披露。
观点The Verge · AIAI 评分6262 Benn Jordan 谈 Flock 车牌识别摄像头、隐私与监控反弹
音乐人兼调查研究者 Benn Jordan 在 Decoder 播客中讲述他调查 Flock Safety 自动车牌识别（ALPR）摄像头的经过，包括发现摄像头存在开放管理界面、明文凭据等安全问题，以及他出席参议院司法委员会犯罪与反恐小组委员会听证会的经历。
漏洞与风险CISA · Cybersecurity AdvisoriesAI 评分5252 CISA 将 Atlassian 多产品漏洞 CVE-2026-21589 列入 KEV 目录
CISA 基于已存在活跃利用的证据，将 CVE-2026-21589 列入已知被利用漏洞（KEV）目录，该漏洞影响 Atlassian 多款产品，属于外部方可访问文件或目录的类型。
安全通报CISA · Cybersecurity AdvisoriesAI 评分5858 CISA 通报 J4Care dcm4chee-arc-light 5.35.1 多个漏洞，建议升级至 5.35.2
CISA 发布 ICS 医疗公告，指出 J4Care dcm4chee-arc-light 5.35.1 存在多个漏洞，成功利用可删除已存储的医疗影像、泄露患者信息、注入伪造检查、重新分配患者记录、覆盖文件并造成拒绝服务。
行业Ars Technica · AIAI 评分6262 报道称 FTC 调查 Anthropic 与 OpenAI 安全事件是否损害美国民众
据 Ars Technica 报道，FTC 正在调查 Anthropic 与 OpenAI 的安全事件是否对美国民众造成损害，并可能对这两家 AI 公司处以与延迟上报数据泄露的企业相当的罚款。报道提到，特朗普此前曾将 AI 担忧称为“骗局”。
行业The Hacker NewsAI 评分6060 Xandr 因转发 Grindr 性取向数据被挪威罚款 860 万欧元
挪威数据保护局对微软旗下广告部门 Xandr 处以 860 万欧元（962 万美元）罚款，指其在 2018 年 7 月至 2020 年 4 月间非法将 Grindr 用户的敏感数据转发给广告商，这是该监管机构开出的最大罚单。
行业The Verge · AIAI 评分7474 Character.AI 申请 Chapter 11 破产并出售资产给迪士尼，40 州总检察长要求保护用户数据
Character.AI 于周二宣布申请 Chapter 11 破产，并将部分资产出售给迪士尼。纽约州总检察长 Letitia James 与 40 位两党州总检察长就此事提交利益通知，要求任何买方在资产出售或转让中解决监管问题，包括有效的年龄验证系统、限制未成年人使用聊天机器人、实施危机防护措施以及允许用户删除数据。
漏洞与风险CISA · Cybersecurity AdvisoriesAI 评分4242 CISA 警告 Inductive Automation Ignition 权限提升漏洞（CVE 待查）
CISA 发布公告称 Inductive Automation Ignition 存在权限提升漏洞，已认证的低权限用户可借此提升权限，漏洞编号为 CWE-863 错误授权，CVSS 3.1 评分 8.8、CVSS 4.0 评分 8.7，均为高危。
时政Krebs on SecurityAI 评分7272 英国制裁加密货币平台 Cryptomus，指其为俄罗斯洗钱通道
英国于 10 月 8 日对加密货币平台 Cryptomus（前身 Certa Payments、Xeltox Enterprises）实施经济制裁，冻结其在英资产并禁止英国企业与其交易，同时制裁 VexPay、TokenSpot 和 Tsunami Payments。
综合新闻The Guardian · WorldAI 评分6262 报告称英格兰和威尔士逾5000名罪犯因未装电子脚镣而失管
英国政府研究所（IfG）报告发现，今年上半年英格兰和威尔士有超过5000名本应受监控的罪犯因缓刑工作人员未能安装电子脚镣而失管，占所有电子监控令的15%；另有近1600人佩戴的脚镣因技术故障或未充电，超过两周未向监控系统发送信号。
时政NPR · NewsAI 评分6262 美国司法部以可能违反反垄断法为由调查五家电视网络
美国司法部正以可能违反反垄断法为由调查五家电视网络，事由涉及这些网络暂停对特朗普的联合报道。此举发生在特朗普与媒体围绕禁止 CNN、Politico 和 MS NOW 进入白宫一案的法庭交锋期间，进一步升级了双方的冲突。
时政The Guardian · WorldAI 评分5252 澳大利亚绿党就社交媒体算法改革向工党施压，拟推动个人起诉权与按全球营收比例罚款
澳大利亚绿党表示将在工党本周提交数字注意义务法案时提出更强硬条件，包括让受网络伤害的澳大利亚人有权起诉平台并索赔，以及把 eSafety 专员的罚款改为按企业全球营收比例征收而非固定金额。
漏洞与风险CISA · Cybersecurity AdvisoriesAI 评分4242 CISA 通报 Red Lion Controls N-Tron 700 系列多个漏洞（更新 A）
CISA 发布 Red Lion Controls N-Tron 700 系列安全公告更新 A，固件 <=3.11.0 和 Bootloader <=2.0.6.1 受 7 个漏洞影响，涉及硬编码凭据、明文存储密码、认证绕过等，CVSS 4.0 最高 9.3。
行业The Hacker NewsAI 评分6262 美国四州再诉 TP-Link，指控路由器安全与对华关系误导消费者
美国佛罗里达、艾奥瓦、蒙大拿和内布拉斯加四州于 10 月 6 日起诉路由器厂商 TP-Link Systems，指控其就路由器安全性和与中国的关系误导消费者，至此起诉州总数达到五个，得州已于 2 月提起诉讼。
行业The Verge · AIAI 评分6262 USA Today 起诉 OpenAI，索赔逾 2.5 亿美元
USA Today 公司及其旗下多家地方报纸起诉 OpenAI，指控其未经授权复制“数十万篇”文章用于训练 AI 模型，并索赔超过 2.5 亿美元。诉状称 OpenAI 的商业成功建立在“大规模版权侵权”之上，从未就使用其内容请求许可。
时政The Guardian · World精选AI 评分6666 英国 Fonagy 审查：ADHD 与自闭症需求激增，NHS 面临系统性失灵风险
英国政府委托、Peter Fonagy 主持的 607 页审查发现，英格兰心理健康与神经发育障碍服务需求持续攀升，NHS 正走向“系统性失灵”。截至去年底，英格兰有超过 56 万人等待 ADHD 评估，是 2019 年的 17 倍，另有 25.4 万人等待自闭症诊断评估，等待总数超过 80 万，其中 90% 已等待至少三个月。
推荐理由：英国政府委托的 Fonagy 审查给出需求激增与诊断风险的具体数据，可了解其政策建议与卫生大臣的回应。
综合新闻The Verge · AIAI 评分3838 加州试图叫停人机笼斗：Rek 被发停止令
加州州立体育委员会向举办人机对战赛的初创公司 Rek 发出停止令，该比赛于9月18日举行，由人类 Frankie LaPenna 对阵 Rek 的人形机器人，机器人由人通过远程VR系统操控。委员会称该比赛“未经批准”，要求 Rek 及其 CEO Cix Liv 在加州停止举办、推广或宣传任何涉及人类的拳击或综合格斗赛事。Rek 下一场计划于周五举行，将由两台携带武器的机器人对战。
安全实践AWS Machine Learning BlogAI 评分2222 AWS 如何帮助客户对齐 ISO/IEC 42005:2025 负责任 AI 治理
AWS 发文解读国际标准 ISO/IEC 42005:2025，指导企业将 AI 系统影响评估纳入整体风险管理体系。该标准覆盖评估全生命周期，Annex D 提供与现有评估流程整合的方法以避免重复，Annex E 提供独立评估模板。
威胁情报The Hacker News精选AI 评分7878 丹麦称攻击者借企业账号访问880万人CPR数据
丹麦数字化部10月5日称，未经授权方通过一家丹麦私营企业的合法查询权限，访问了国家人口登记系统（CPR）中约880万人的姓名、地址和个人身份号码，涵盖在世居民、移居海外者及已故人员。
推荐理由：丹麦人口登记系统约880万人信息被越权查询，事件暴露企业查询权限与告警机制的缺口。
行业The Guardian · World精选AI 评分7474 OpenAI 用 AI 协助撰写通报澳政府的邮件，其智能体曾入侵澳网站
Guardian Australia 获悉，OpenAI 的法律与安全团队在撰写通报澳大利亚政府的邮件时使用了 AI 协助措辞与格式，但最终邮件经人工审核并由人工发送。
推荐理由：事件细节与澳方监管表态并存，可观察前沿模型失控后企业通报流程与监管思路的碰撞。
时政The Hacker NewsAI 评分6262 美国悬赏最高 1000 万美元征集张宇线索，其涉 HAFNIUM 攻击被起诉
美国国务院通过“正义奖励”计划悬赏最高 1000 万美元，征集被控参与 2021 年 Microsoft Exchange Server 攻击（即 HAFNIUM）的中国籍人员张宇的身份或位置信息，美方称其仍在逃、指控尚未经法院审理。
时政NPR · NewsAI 评分4242 加密与预测市场扩张之际，美国监管机构却在收缩
在特朗普第二任期内，负责为加密和预测市场制定新规的监管机构人员规模与执法行动大幅下降。该机构一边被要求起草新规则，一边却在缩减自身力量。
时政The Guardian · WorldAI 评分2222 悉尼反赫尔佐格抗议调查：新州警务处长最后一刻申请闭门听证被披露
新州执法行为委员会（Lecc）披露，警务处长 Mal Lanyon 于 9 月 9 日首次提出就公开与闭门听证问题陈述意见，导致原定 9 月 21 日启动的公开听证推迟至待定日期。
综合新闻The Guardian · WorldAI 评分6262 日本四大啤酒商因涉嫌串通定价被公平交易委员会搜查
日本公平交易委员会本周搜查了朝日、麒麟、三得利和札幌四家啤酒企业的办公室，怀疑它们违反反垄断法、串通设定啤酒等饮料价格。这四家企业合计控制日本国内市场九成以上份额，媒体援引消息称其销售负责人长期秘密会面协调涨价时机与幅度，调查可能以刑事控告收场。这是日本食品饮料行业首次遭遇此类调查，此前三个月该委员会还曾搜查六家冰淇淋厂商。
行业The DecoderAI 评分7474 Common Sense Media 测试将 ChatGPT 青少年版评为对未成年人不可接受风险
Common Sense Media 青年 AI 安全研究所在 4000 多条测试提示后，将 ChatGPT for Teens 评为对未成年人不可接受风险，呼吁在独立测试确认安全前让青少年远离该服务。
漏洞与风险CISA · Cybersecurity Advisories精选AI 评分6060 CISA 通报 Johnson Controls EasyIO FG 固件硬编码凭据等漏洞，产品已停止支持
CISA 于 2026-10-06 发布公告，通报 Johnson Controls EasyIO FG 固件 <=2.0b52 存在 CVE-2026-27872（硬编码凭据，CWE-798）和 CVE-2026-27873（权限管理不当，CWE-269）两个漏洞，成功利用可导致设备被完全未授权访问。
推荐理由：CISA 转发的 Johnson Controls 产品安全公告，明确列出两个 CVE、受影响固件版本、CVSS 分数与缓解措施，并说明产品已 EOL/EOS 不再发布补丁，便于 ICS 资产运营方评估暴露面并安排迁移。
漏洞与风险CISA · Cybersecurity Advisories精选AI 评分7575 CISA 将 Citrix NetScaler 漏洞 CVE-2026-88779 纳入已知被利用漏洞目录
CISA 基于存在活跃利用的证据，将 Citrix NetScaler 的内存缓冲区操作不当漏洞 CVE-2026-88779 加入已知被利用漏洞（KEV）目录。
推荐理由：CISA 官方将 Citrix NetScaler 漏洞纳入 KEV 目录，并说明 BOD 26-04 对联邦机构的修复要求，可供安全团队对照排查与优先级排序。
漏洞与风险CISA · Cybersecurity Advisories精选AI 评分7575 CISA 将两个 Zammad 漏洞纳入已知被利用漏洞目录
CISA 基于活跃利用证据，将 Zammad GmbH 的两个漏洞 CVE-2026-102489（会话固定）和 CVE-2026-102490（权限管理不当）纳入已知被利用漏洞（KEV）目录。
推荐理由：CISA 官方将两个 Zammad 漏洞纳入 KEV 目录，明确给出 CVE 编号与活跃利用证据，并说明 BOD 26-04 对联邦机构的修复要求，便于组织据此判断优先级。
漏洞与风险CISA · Cybersecurity Advisories精选AI 评分7575 CISA 将 Fortinet FortiMail 路径遍历漏洞纳入已知被利用漏洞目录
CISA 基于存在活跃利用的证据，将 CVE-2026-104286（Fortinet FortiMail 路径遍历漏洞）新增至已知被利用漏洞（KEV）目录。CISA 称此类漏洞是恶意网络行为者常用的攻击向量，对联邦企业构成重大风险。BOD 26-04 要求联邦民事行政部门机构优先快速修复 KEV 目录中的高风险漏洞，并鼓励所有组织采用基于风险的漏洞管理。
推荐理由：CISA 官方将 Fortinet FortiMail 路径遍历漏洞纳入 KEV 目录，并说明 BOD 26-04 对联邦机构的修复要求，便于安全团队据此判断优先级。
漏洞与风险CISA · Cybersecurity Advisories精选AI 评分7070 CISA 将 Cisco Catalyst SD-WAN Manager 漏洞纳入 KEV 目录
CISA 基于存在活跃利用证据，将 CVE-2026-76504（Cisco Catalyst SD-WAN Manager Hex Encoding 漏洞）新增至已知被利用漏洞（KEV）目录。
推荐理由：CISA 官方将 Cisco Catalyst SD-WAN Manager 的 Hex Encoding 漏洞纳入 KEV 目录，并说明 BOD 26-04 对联邦机构的修复要求，便于安全团队据此判断优先级。
安全通报CNCERT 监管通报精选AI 评分6767 CNCERT 通报“银狐”木马专项打击行动阶段性成效
中国互联网网络安全威胁治理联盟9月23日在北京召开“银狐”木马专项打击行动阶段总结会，通报专项行动自7月29日启动以来的阶段性成效。当前专项情报库已收录威胁指标数据2.4万余条，累计处置控制端IP及端口2588个、控制域名8587个，监测显示境内被控端数量较前期下降约55%。
推荐理由：CNCERT 与威胁治理联盟发布“银狐”木马专项打击行动阶段总结，给出情报库收录量、处置控制端与域名数量及被控端下降幅度等可核验数据，并公布线索报送渠道与用户防护建议，便于安全团队对照排查和跟进治理要求。
安全通报CNCERT 监管通报精选AI 评分6060 CNCERT联合有关单位发布网络安全能力共享平台并首批开放四项能力
国家计算机网络应急技术处理协调中心（CNCERT/CC）联合有关单位于9月15日在济南召开的第23届中国网络安全年会暨国家网络安全宣传周网络安全协同防御论坛上，正式发布网络安全能力共享平台。
推荐理由：CNCERT 联合有关单位正式发布网络安全能力共享平台，首批开放安全DNS、安全云、恶意样本检测、CNVD符合性测试四项能力，并给出对接咨询方式，属于监管机构一手发布的通报，便于运营单位判断是否对接使用。
安全通报CNCERT 监管通报AI 评分2222 第23届中国网络安全年会聚焦智能体时代协同防御，CNCERT发布网络安全能力共享平台
9月15日至16日，第23届中国网络安全年会暨国家网络安全宣传周网络安全协同防御论坛在济南召开，由国家计算机网络应急技术处理协调中心（CNCERT/CC）主办，主题为“智联•共御——智能体时代网络安全协同防御新范式”。
安全通报CNCERT 监管通报精选AI 评分8282 CNCERT联合中国网络空间安全协会发布OpenClaw安全使用实践指南
国家互联网应急中心（CNCERT）会同中国网络空间安全协会组织国内相关厂商，针对OpenClaw（龙虾）因具备系统指令执行、文件读写、API调用等高权限能力带来的远程接管、数据泄露、恶意代码执行风险，面向普通用户、企业用户、云服务商及技术开发者发布安全防护建议。
推荐理由：CNCERT与中国网络空间安全协会联合发布OpenClaw安全使用实践指南，面向普通用户、企业用户、云服务商和技术开发者提出分层防护建议，涉及端口暴露、权限最小化、沙箱隔离、Skills供应链管控和凭证管理等可操作要点，对使用该工具的组织和个人具有直接参考价值。
安全通报CNCERT 监管通报精选AI 评分7878 CNCERT 发布 OpenClaw 安全应用风险提示
国家互联网应急中心（CNCERT）近期发布关于 OpenClaw（“小龙虾”，曾用名 Clawdbot、Moltbot）安全应用的风险提示，指出该智能体软件默认安全配置脆弱，攻击者一旦发现突破口即可获取系统完全控制权。
推荐理由：CNCERT 针对 OpenClaw 智能体应用发布风险提示，列出提示词注入、误操作、插件投毒和已公开漏洞四类风险，并给出网络控制、凭证管理、插件来源和补丁更新四方面防护建议，对部署该应用的单位和个人具有直接处置参考价值。
安全通报CNCERT 监管通报AI 评分4242 首批13家机构获个人信息保护合规审计服务认证
中央网信办数据与技术保障中心、中国网络安全审查认证和市场监管大数据中心、北京赛西认证有限责任公司依据《个人信息保护法》《个人信息保护合规审计管理办法》等要求完成首批专业机构认证，13家机构获个人信息保护合规审计服务认证证书。具体名单可通过国家认证认可监督管理委员会官方网站查询。