本来只用密钥的账号，竟接受错误密码：OpenSSH修补一处判断漏洞 ↗
问题出在特定Linux组合：两个星号相等，被误当作身份验证成功。补丁已发布，安装后还须重启服务。
重大漏洞
应用还没打开，安卓手机已反复崩溃：GhostMap绕过了“不给权限”的直觉 ↗
研究展示安装包读取错误怎样拖垮系统服务。持续崩溃版本尚未见现实攻击，恢复可能要清除数据。
服务器总管被绕过登录：一处已修，另一条接管路径仍待处理 ↗
Xen Orchestra遭实际攻击。两份官方公告显示，登录入口与虚拟机导入权限涉及不同问题，不能把一次更新当成全部解决。
眼镜开始验签，开关却能被配对手机关掉：研究者公开Ray-Ban Meta漏洞 ↗
研究者称，她在受控测试中让自签应用运行于Ray-Ban Meta眼镜；新固件加上签名检查后，配置文件又留下了绕过路径。这不是隔空接管陌生人的眼镜，最终修复状态也尚无独立确认。
Windows 防护被反过来利用：SignDrop 借杀毒软件拿到系统权限 ↗
研究者公开的 SignDrop 利用 Windows 日志认证机制提权。韩国安全团队报告复现成功，但代码不稳定、需要本地执行权限和特定配置，微软尚未确认或发布补丁。
补丁刚打完又冒出攻击链：N-central还得检查一个旧接口 ↗
Huntress更新指出，N-central新的服务器攻击链依赖Legacy API开启且暴露于公网，不能笼统理解为所有已打补丁服务器都不安全。
处理网页请求也可能被夺取执行权：Apache修复HTTP/2严重漏洞 ↗
Apache把CVE-2026-119618列为Critical。HTTP/2模块的并发处理缺陷可能导致远程代码执行，2.4.71已修复。
改动不到10个“沉睡神经元”，AI助手就可能变成潜伏间谍：微软研究揭示一种难以察觉的后门手法 ↗
AI智能体能替人敲命令、改文件、装软件，权限越来越大。微软研究院11月10日公布名为Lazarus的方法：不用重新训练，只改写大模型里不到10个平时几乎不工作的“休眠神经元”，就能埋下一个后门——模型平时表现正常、能通过常规评测，直到遇到特定暗号才执行攻击者的命令。微软称目前没有发现有人在现实中使用这种手法；这是实验室验证过的攻击方式，数据来自微软自己的实验，尚无独立复现。