安全指南
密码、MFA、设备、公共 Wi-Fi、服务器、依赖、Git、暴露在外的环境——围绕目标展开的实操指南，让你今天就能动手加固。
Fireworks AI 安全事件（2026 年 10 月）：账单数据以及部分数据集和模型权重受影响，公司称涉及云服务商遭入侵。客户应怎么做
提供 AI 模型推理基础设施的 Fireworks AI 在 2026 年 11 月 9 日，更新了其 10 月 9 日首次披露的安全事件。据公司称，10 月 6 日发现的最初事件，当时已知只涉及 Fireworks 存储的密钥（例如评估任务中使用的密钥）；此后公司发现账户和账单信息受到影响，…
NEAR AI 因推理引擎漏洞遭入侵（约 100 名用户的账户信息）：已确认的事实，以及用户和 AI 基础设施运营者应怎么做
提供 AI 聊天和智能体服务的 NEAR AI 在 2026 年 11 月 9 日的官方博客文章中披露，其部分基础设施遭未经授权访问。据公司称，原因是其服务器上运行的开源推理引擎 SGLang 存在远程代码执行漏洞；攻击者在一台推理服务器上运行了代码，并由此进入其他基础设施…
SAP 2026 年 11 月安全补丁日：四个 CVSS 10.0 漏洞。先修补对外的 Web Dispatcher 和 ICM；如何确认是否受影响以及今天该做什么
2026 年 11 月 10 日，SAP 的安全补丁日发布了 35 条新的安全说明（Security Note）和 4 条 GitHub 安全公告，并更新了 3 条此前的说明。SAP 的列表将 9 行标为 Critical（严重）。其中四个为 CVSS 10.0：NetWeaver AS ABAP 的 Internet Communication Manage…
Sharefull 内部管理系统遭未经授权访问（最多约 750 万个账户）：姓名、银行账户、紧急联系人等可能外泄——劳动者应如何应对
2026 年 11 月 9 日，Sharefull 宣布第三方未经授权访问了其内部管理系统，用户的个人信息可能外泄。访问发生在 11 月 4 日 23:30 前后，11 月 5 日 09:45 前后被发现，当天已阻断入侵路径。可能受影响的最多约 750 万个账户。可能外泄的信息包括：姓名及假名…
住友生命 Vitality 申请系统遭未经授权访问（约 8 万人）：姓名、住址、电话号码和部分隐藏的银行卡号外泄——用户应如何应对
2026 年 11 月 9 日，住友生命保险公司宣布，委托其处理系统业务的公司的系统遭第三方未经授权访问，使用或曾使用「住友生命 Vitality Trial / Corporate」和「Vitality Smart」（含员工福利型）的约 8 万人的信息外泄。外泄项目为姓名、住址、电话号码、出生…
Amplifon Americas（听力保健）数据泄露（据报道约133万人）：听力和医疗信息、驾驶执照号码等，收到通知后该怎么做
Amplifon Americas表示，其于2026年2月11日发现部分网络出现可疑活动，调查发现，1月18日至2月8日期间，有未经授权的第三方从某些系统获取了文件。10月6日，在审查数据后，公司认定某些个人信息可能受到影响。可能涉及的项目有：姓名、联系方式、出生日期、驾…
Ethersphere bee-js 13.3.0 和 Swarm Desktop 0.56.2 带有恶意软件（2026年11月）：受影响版本以及用户该怎么做
去中心化存储网络 Swarm 的开发方 Ethersphere 的 npm 包 @ethersphere/bee-js 的 13.3.0 版本包含恶意代码。2026年11月9日发布的 GitHub 公告（GHSA-hh7j-5m3j-23pf）把 13.3.0 列为唯一受影响的版本，并称没有已修补的版本。公告称，凡是安装或运行了该包的…
Mitsui Direct 损害保险网站遭未经授权访问（约234,000条记录）：姓名、地址和车辆信息外泄，询过价或投过保的人该怎么做
2026年11月6日，Mitsui Direct General Insurance Co., Ltd.宣布，有第三方未经授权访问了其网站，部分客户信息外泄。公司于11月4日凌晨发现了此次访问，并已暂停网站和应用上的所有手续。受影响的是询过价或投过保的客户，约234,000条记录（11月6日13:00时点…
mittwald 的 MCP 服务器漏洞被利用，56 个客户项目被攻陷（2026年11月）：已公布的时间线，以及用户和 AI 集成运营者该怎么做
德国网站托管公司 mittwald 在官方博客中表示，其 MCP 服务器（把客户的 AI 助手与其控制面板 mStudio 连接起来）中的一个漏洞被利用，56 个客户项目被攻陷。据该公司称，攻击者于10月21日首次测试该漏洞，从10月23日起用测试账户以普通用户身份活动，并于10…
Nitori遭未经授权访问：最多3,762万条个人信息可能外泄（姓名、地址、电话号码、出生日期），个人会员和企业会员应如何应对
2026年11月9日，Nitori Holdings Co., Ltd.宣布，已于11月6日确认第三方对其管理的系统进行了未经授权访问，服务器上保存的个人信息最多3,762万条记录可能已外泄。涉及的数据包括Nitori集团的个人会员和购买者（会员编号、姓名（含读音假名）、电子邮件地址、…
Raksul 印刷数据提交系统遭未经授权访问（数量正在统计）：印刷数据中的姓名、地址和电话号码可能外泄，客户和印刷品上出现的人该怎么做
2026年11月9日，Raksul Inc.宣布，其 Raksul 服务中处理数据提交所涉及的系统遭第三方未经授权访问，个人信息可能已外泄到外部。此次访问于2026年11月8日约00:20被发现。公司称，其系统的凭据被非法获取，导致部分存储的数据可从外部访问。可能外泄的信息，是…
范德堡大学网络安全事件（持续中）：Wi-Fi、Okta、邮箱和 CampusPrint 已恢复，其他系统仍受限，完全恢复需数周，学生和教职员工该怎么做
2026年11月9日，范德堡大学（美国田纳西州）表示，正在应对一起活跃的网络安全事件，可能影响大学的设备、系统和云服务。在11月10日下午6点的更新中，大学称校园Wi-Fi、Okta（请继续使用多因素认证）、范德堡邮箱（大学设备和个人设备均可）、CampusPrint、Br…
Euglena 旗下 akyrise 网店遭未经授权访问（最多约900,000条记录）：姓名、地址和电话号码可能泄露——购买者该怎么做
2026年11月5日，Euglena Co., Ltd. 宣布，其化妆品品牌 akyrise 的网店于11月4日遭第三方未经授权访问，会员信息泄露。公司当天关闭了网店，并向日本个人信息保护委员会提交了速报。可能泄露的信息分为两组：登录账户信息（客户ID、电子邮件地址以及以哈希形…
乐敦制药邮购业务遭未经授权访问（客户管理系统2,797,545人，通话录音中的卡号9,715人）：电话订购的客户和其他人该怎么做
2026年11月6日，乐敦制药股份有限公司（Rohto Pharmaceutical Co., Ltd.）公布了对其邮购业务所用电话系统遭未经授权访问一事的调查结果。客户管理系统中2,797,545人的姓名、地址和电话号码被获取（具体项目因人而异），通话录音中包含的信用卡号和有效期被获…
在线麻将游戏 Maru-Jan 遭未经授权访问（1,855,578名会员）：电子邮件地址和密码泄露——会员该怎么做
2026年11月7日，Signaltalk Co., Ltd. 宣布，其运营的在线麻将游戏 Maru-Jan 遭未经授权访问，1,855,578名会员的电子邮件地址和密码泄露。公司称，其管理系统的某项功能被滥用，包括会员信息在内的数据在11月4日约15:00之前被下载到外部。受影响的群体是全部…
SMBC Consumer Finance 贷款担保系统数据泄露（最多320,118人）：驾驶执照号码、工作单位信息和收入外泄——银行卡贷款客户该怎么做
2026年11月5日，SMBC Consumer Finance Co., Ltd. 宣布，第三方未经授权访问了其用于贷款担保业务的系统，数据被发送到系统之外。公司于11月2日发现该访问，当天切断了对该系统的访问，并在进一步调查中确认了泄露。受影响者最多320,118人。该公司为地方银行…
Perry Johnson & Associates（PJ&A）医疗数据泄露：四个州就最高 1000 万美元达成和解（涉及 1330 万人），泄露了什么、该怎么做
2026 年 11 月 6 日，纽约州、康涅狄格州、密歇根州和新泽西州的总检察长宣布，与医疗转录和编码公司 Perry Johnson & Associates, Inc.（PJ&A）及其四家关联公司（合称 Perry Johnson 各公司）达成和解。和解涉及 2023 年 3 月的一起数据泄露，全美约 1330…
Crédit Mutuel Arkéa网络攻击（法国）：经由服务提供商的平台，从其自有账户发生欺诈性转账，客户资产未受影响
2026年11月4日，法国金融集团Crédit Mutuel Arkéa称其遭到一次攻击，导致发生欺诈性交易。据该集团称，攻击者经由一家服务提供商的平台进入，将资金从Arkéa的自有账户转给其他银行业参与者，并可能借此通过专业平台将其转换为加密货币。其联合会和子公司客户…
DigiCert（证书颁发机构）内部业务系统遭入侵：客户代表的联系方式及部分身份证明文件，客户应如何应对
DigiCert 在 Mozilla Bugzilla 上的事件报告（完整报告约于日本时间2026年11月2日发布）中称，其一个归档客户为验证身份而提供的信息的内部业务系统遭到未经授权访问。被访问的数据时间为2026年6月27日至7月2日。其中大部分是业务联系方式（姓名、业务邮箱、…
NTT DOCOMO「docomo Online Shop」与「My docomo」数据泄露（最多约30万条记录）：身份证件号码外泄，用户该怎么做
2026年11月4日，NTT DOCOMO确认docomo Online Shop和My docomo遭到来自外部的未授权访问，并从11月5日凌晨1:05左右起停止两项服务的各类办理手续，进入紧急维护。公司在11月5日的第二次通报中称，紧急维护之前已有部分客户信息因未授权访问而外泄；在11月6日…
Hotto Motto电子报发送服务遭未经授权访问（最多约700万条记录）：姓名、出生日期和电话号码外泄，会员该怎么做
2026年11月4日，Plenus株式会社宣布，由外部承包商提供的Hotto Motto电子报发送服务遭第三方未经授权访问，包含客户电子邮件地址在内的会员信息已经外泄。公司于11月2日收到承包商的报告。事件发生于10月28日至31日，涉及最多约700万条记录。外泄的信息是包含…
Iris Plaza遭未经授权访问（约770万人的数据）：姓名、住址和加密密码可能外泄，会员和购物者该怎么做
2026年11月5日，Iris集团旗下的Iris Plaza株式会社在第二次通报中称，Iris Ohyama官方网店Iris Plaza遭未经授权访问，部分客户的个人信息可能已经外泄。10月28日，公司在其使用的外部云服务中发现可疑文件，立即停止了Iris Plaza及相关系统并展开调查，确认遭…
「胜利女神：妮姬」PC 启动器文件遭篡改并分发恶意程序：9 月 27 日 15:41（日本时间）之后启动过 Windows 版的用户该怎么做
2026 年 11 月 5 日，「胜利女神：妮姬」（GODDESS OF VICTORY: NIKKE）的运营方 Level Infinite 宣布，其 PC 启动器的部分文件遭第三方篡改，启动器运行时可能执行恶意程序。据运营方称，游戏服务部分所用的一个外部域名于 9 月 27 日被接管，当天 15:41（日…
OpenSSH 10.6p2 紧急修复（CVE-2026-123158）：已列入 CISA KEV；Alpine 等未启用 PAM 的 musl 系统上，sshd 无需密码即可登录
2026年11月5日，OpenSSH 发布 10.6p2，针对部分在禁用 PAM 的情况下构建并运行的 Linux 系统（尤其是 Alpine Linux 等使用 musl libc 的系统）上 sshd 的密码认证绕过问题，提供了关键的规避措施。对应 CVE 为 CVE-2026-123158（CVSS 3.1 基础分 8.1，来自 CV…
SonicWall SonicOS SSL-VPN CVE-2026-19868：SAML 及其 MFA 可被绕过，已列入 CISA KEV（请升级 Gen7 和 Gen8）
CVE-2026-19868 是 SonicWall 防火墙操作系统 SonicWall SonicOS 的 SSL-VPN 服务中的一个漏洞。根据 SonicWall 在2026年11月6日发布的公告 SNWLID-2026-0014，在为 SSL-VPN 登录启用了 SAML 的防火墙上，持有另一种身份验证方式有效凭据的用户可能绕过 SAML…
三得利集团个人信息泄露（员工及合作企业员工约90,000人及其他类别）：外部云服务遭未经授权访问，姓名、电子邮件地址等外泄，应聘者和顾客应如何应对
三得利集团于2026年11月2日宣布，确认集团使用的外部云服务遭第三方未经授权访问，第三方下载的部分文件中含有个人信息。公司于10月28日检测到异常并阻断访问，10月29日确认其中含有个人信息。截至11月1日确认泄露的个人信息分为7类：集团员工及合作企业员工…
Arara 电子邮件投递服务 Arara Message 遭未经授权访问（约8130万个电子邮件地址）：姓名等会员数据也在其中，电子报收件人和客户企业应如何应对
2026年11月6日，Arara Inc.（PayCloud Holdings 的子公司）在第三次报告中称，加上从另一个云环境（环境B）被获取的3,249,492个电子邮件地址后，其电子邮件投递服务 Arara Message 遭未经授权访问，剔除类别间重复后共有81,329,467个电子邮件地址被获取（约81…
Asoview!会员数据泄露（15,821,184 条记录）：姓名、电话号码与门票购买详情经由邮件发送委托方泄露，会员应如何应对
Asoview Inc. 于2026年11月3日宣布，在第三方对其用于发送邮件的委托方服务进行未经授权访问后，其休闲预订服务 Asoview! 的部分会员数据泄露。公司称原因在于委托方的服务，而非自家系统。数量为 15,821,184 条记录。泄露项目包括邮箱地址、会员 ID 和编号、…
Seven-Eleven Japan 7NOW 客户数据泄露（仅姓名的 164,180 条记录等）：配送委托方遭入侵暴露了什么，用户应如何应对
Seven-Eleven Japan 于2026年11月3日宣布，负责其 7NOW 配送服务部分配送的委托方所运营的服务遭第三方未经授权访问，部分 7NOW 下单人（收货人）的数据被窃取。据公司称，委托方的调查在11月1日发现了该访问，并在11月3日发现 7NOW 数据也被窃取。已确认的项…
Trigger.dev 安全事件（2026年11月）：0.66% 客户的根 API 密钥和环境变量被访问，请重新生成密钥并轮换凭据
运行后台任务和 AI 智能体的平台 Trigger.dev 于2026年11月1日披露了一起安全事件，并在11月6日发布了后续报告。公司称，基础设施告警在11月1日标记出异常活动，公司判断其为恶意行为并阻断了攻击者。此次事件影响了全部客户的 0.66%。攻击者获取了部分客户环…
WorkOS（面向开发者的 SSO 与目录同步平台）内部销售应用遭入侵：公司称系安全研究人员的 AI 代理所为；客户应如何处理暴露的联系人以及支持和 Slack 记录
WorkOS 于2026年11月2日发布了关于其销售和面向客户团队使用的内部应用遭未经授权访问的通知，并于11月6日更新。更新称，首次未经授权访问确认于10月25日，记录于10月30日被批量获取，随后公司移除了公开访问。一名安全研究人员在11月3日至5日之间主动联系公…
Chainstack（区块链节点与 API 平台）生产环境遭入侵：开发者和 dApp 运营者应如何处理账户数据与节点凭据
Chainstack 在11月3日的通知中称，外部攻击者通过一个第三方组件进入了其部分基础设施：10月26日进入开发环境，10月29日进入部分生产环境，10月31日被发现并切断，调查于11月2日结束。客户账户数据库中可能暴露的信息有组织名称、账户持有人姓名、组织成员的…
istyle @cosme 数据泄露（约 300 万名会员的数据泄露）：会员应如何应对姓名、住址、电话号码和肤质泄露
istyle Inc. 于2026年11月2日宣布，其确认第三方于10月28日未经授权访问了 @cosme，在 @cosme 通用 ID 下注册的部分会员信息已泄露。受影响的约有 300 万人，包括已退出 @cosme 但在访问发生时是会员的人。泄露项目为用户 ID（不用于登录）、昵称、姓名（汉字…
Nojima Online 及二手手机回收网站遭未经授权访问（约 700 万条记录）：姓名、住址、电话号码与加密密码，会员应如何应对
Nojima Corporation 于2026年11月2日宣布，Nojima Online 会员管理系统遭未经授权访问，Nojima Online 及其二手手机回收网站的会员数据已泄露。据公司称，其于11月1日发现并确认了该访问，并于当天确认个人数据已泄露到外部。规模约为 700 万条记录（已退会的…
Prestige International道路救援系统数据泄露（最多约550万条记录，含重复）：姓名、车辆信息、部分银行账户信息和3个信用卡号码被带出，保险和租赁客户应如何应对
Prestige International Co., Ltd.于2026年11月2日宣布，其集团公司Prestige Core Solutions为客户企业办理道路救援受理和派单的系统遭到未经授权的访问，客户的个人信息被带出。记录数最多约550万条（含重复），去除重复后的实际人数仍在核实中。涉及的项目…
Good Smile Company官方商店数据泄露（2,800人的完整卡信息可能泄露，402,466张卡的部分卡信息，最多202笔订单可能被查看）：各组人员应如何应对
Good Smile Company Co., Ltd.于2026年10月23日宣布其官方商店遭第三方访问，并在10月30日的第四次报告中将受影响者分为三组。B组（2,800人）在支付页面输入的持卡人姓名、卡号、有效期和安全码，可能被10月21日13:55至10月23日7:00期间留存的恶意程序截取。A…
Jenkins 2.588 和 LTS 2.580.2 修复 15 个漏洞（CVE-2026-117612 至 117626）：检查版本，以及更新后要复核什么
2026 年 10 月 28 日，Jenkins 项目发布安全公告，在每周版 2.588 和 LTS 2.580.2 中修复了 Jenkins 核心的 15 个漏洞（CVE-2026-117612 至 CVE-2026-117626）。受影响的是每周版 2.587 及更早版本和 LTS 2.580.1 及更早版本。公告将其中 13 个评为高危，2 个…
PingCAP（TiDB Cloud）未经授权访问与数据泄露（日本最多约50,000条记录）：TiDB Cloud组织管理员应如何处理账户数据、SQL编辑器历史记录和支持工单
PingCAP表示，2026年9月9日至10月7日（美国时间）期间，未经授权的一方利用被盗凭据进入内部系统并复制数据，日本境内最多约50,000条个人记录被认定已泄露（日文公告）。公司已确认受影响的类别（因客户而异）包括：TiDB Cloud账户数据（用户名、电子邮件地址…
针对Synology DSM的勒索软件攻击：过时版本经2024年12月已修复的漏洞遭攻击，今天该更新和检查什么（SA-24:20）
2026年10月29日，Synology表示已发现威胁行为者利用2024年12月已修补的一个漏洞，攻击运行过时DSM版本的设备，意图加密数据并勒索赎金。Synology强烈敦促所有使用存在漏洞版本的用户立即更新DSM，并建议开启自动更新。公告指向Synology-SA-24:20，其修复版本…
求职网站MyBRANDS遭未经授权访问，个人信息可能泄露（最多约13.5万个账户）：姓名、联系方式和工作经历可能外泄的求职者和企业联系人应采取的措施
iDA Co., Ltd.（日本）于2026年10月30日宣布，其求职网站MyBRANDS的服务器环境遭第三方未经授权访问，已注册的求职者和企业联系人的信息可能已泄露到外部。公司称，承包商使用的云访问密钥于10月21日至22日被第三方滥用，并于10月26日得知数据库副本存在向外…
佐贺大学勒索软件攻击（学生、教职员工和校友的个人信息可能泄露，约8万人，另有患者信息）：姓名、地址和密码在列的人应采取的措施
日本国立大学佐贺大学于2026年10月30日宣布，继9月28日公布其事务信息系统遭勒索软件攻击之后，已确认无法排除包括患者信息在内的所持个人信息泄露到校外。据该校称，9月24日上午8时42分，其确认事务部门使用的NAS（网络附加存储）出现被认为由勒索软件造成的…
WordPress 7.1.4 漏洞 CVE-2026-119977：可能导致远程代码执行的核心更新竞态条件已修复；请检查版本与自动更新
2026年10月28日，WordPress 项目发布安全版本 7.1.4，修复了核心更新过程中一个可能导致远程代码执行的漏洞。据 WordPress 的 GitHub 安全公告，在使用完整安装包进行核心更新时，WordPress 会把新文件解压到可通过网络访问的升级目录内一个可预测的目录中，…
为你自己的技术栈自动化漏洞监控：按你实际使用的组件匹配
在本站运营者所管理的站点上，一个PHP漏洞、一个Python包中的恶意代码以及一个容器基础镜像问题，每次都是在自动化监控之前先被人知道，一周内共发生三次。重建后的监控基于三点：按你实际使用的组件名称而非技术关键词进行匹配，让AI只提高紧急程度而绝不降…
Chainalysis安全事件（2026年10月至11月）：所有用户的姓名、用户名、密码哈希和有效令牌被暴露，客户应如何应对
区块链分析公司Chainalysis于2026年10月30日发布了安全事件通知，并此后持续更新。公司在11月4日的更新中称，所有用户的姓名、用户名、密码哈希和有效令牌已暴露给恶意行为者。公司表示没有证据表明调查数据被访问，也没有证据表明归因数据被篡改。当天早些时…
Club Tourism遭未经授权访问，个人信息可能外泄（约432万条记录）：姓名、地址、电话号码和紧急联系人信息可能外泄，会员应如何应对
Club Tourism Co., Ltd.（日本）于2026年10月31日宣布，10月30日5:45检测到来自外部的未经授权访问，其网络预订系统中登记的网络会员信息可能已外泄（第一次报告）。涉及项目为姓名（汉字及假名）、国籍、性别、出生日期及年龄、地址、电话号码、电子邮件地址…
每IP限速失效：分布在数万个IP上的搜索机器人案例
一个站点的搜索功能在每次查询时都会调用外部API，几天内搜索流量上升约20倍，几乎所有搜索都返回503。最初的假设是每IP限制可以遏制它，但这一假设是错误的。某一天约60,000次搜索来自约60,000个不同IP，因此每个IP大约只发送一次请求，从未触及任何限制。用…
Linux内核CVE-2026-98432：可通过网络触发的TCP释放后使用漏洞（CVSS 9.8）；请安装已修复的内核、重启并检查MPTCP
CVE-2026-98432是Linux内核IPv4 TCP代码中的一个释放后使用漏洞，于2026年10月15日公布。内核项目的CNA给出CVSS v3.1 9.8分（网络、无需权限、无需用户交互）。据报道，一家AI公司的研究人员在实验室中、依据其自身报告，演示了针对带有Multipath TCP（MPTCP…
Northflank安全事件（2026年10月）：存储的环境变量应视为已被解密，有用户报告AI API密钥遭滥用
2026年10月30日（UTC），云部署平台Northflank在其状态页面发布了一起安全事件。11:43 UTC收到一家安全厂商的威胁告警；公司自12:02 UTC起部署补丁，13:40 UTC通知客户轮换环境变量，13:58 UTC通知客户假定所有环境变量均已被解密。到15:12 UTC，其状态页面已…
紧急PHP更新后该检查什么：Web PHP与命令行PHP、set -e与diff退出码，以及入侵复查
在2026年10月应对严重PHP漏洞期间，本站运营者管理的一个站点已更新了Web端PHP，但cron使用的命令行PHP仍指向旧版本。应分别检查Web和CLI。使用set -e时，diff和grep以退出状态1表示“发现差异”或“无匹配”，这会使脚本停止；应分别处理0、1和2。补丁之后，对每…
World子公司Tin Pan Alley（据媒体报道为RAGTAG运营方）数据泄露（合计约120万条记录）：姓名、地址和电话号码可能外泄，会员应如何应对
2026年10月30日，World Co., Ltd.宣布，其合并子公司Tin Pan Alley Co., Ltd.的一台业务服务器遭第三方未经授权访问，其上存储的部分会员信息可能已外泄。可能外泄的会员信息合计约120万条记录（这是汇总的记录数，而不是人数）。涉及项目为姓名、地址、电话…
Revolve客户账户数据泄露：已保存的银行卡号和有效期被访问（印第安纳州总检察长列表共1,515,073人），客户应如何应对
据The Record报道，美国时尚零售商Revolve在2026年10月29日提交的美国证券文件中披露，未经授权的一方通过自动化手段访问了客户账户数据，包括姓名、联系方式以及已保存的银行卡号和有效期。早期的州记录只显示各州的人数，例如得克萨斯州127,200人。印第安纳…
2026年10月网络攻击与数据泄露汇总：36个被利用的漏洞与大规模泄露
2026年10月，CISA 向其已知被利用漏洞（KEV）目录新增了36个漏洞，比9月的43个少7个。其中11个是 VPN 设备、防火墙等边缘及远程访问产品，5个是发布于2015年至2023年的旧漏洞（均在10月8日加入），10个涉及 Plex、PHP、Ahsay 和 Zammad，另有10个是其他产品。…
AOMEI Backupper 更新服务器遭篡改（2026 年 4 月至 7 月）：谁可能受影响、具体时间，以及如何检查您的电脑
Windows 备份软件 AOMEI Backupper 的开发商 AOMEI 于 2026 年 10 月 19 日（最后更新于 10 月 30 日）发布声明，说明其更新服务器遭遇软件供应链入侵。公司援引一家安全公司的调查表示，2026 年 4 月至 7 月期间，AOMEI Backupper 更新服务器上的配置文件多…
Binance 加密货币被盗（约 63 亿美元）：用户资金是否有保障，账户持有人该怎么做
Binance 表示，其热钱包于 2026年10月29日 UTC 20:05 左右遭到入侵，随后发生未经授权的提款，估计影响金额约为 63 亿美元。10月31日，FBI 宣布此次超过 60 亿美元的被盗事件是朝鲜所为，并公布了 628 个其称持有或曾持有被盗资产的地址，要求交易所及其他服…
Cisco Catalyst SD-WAN Manager CVE-2026-76504：无需登录即可获得管理员访问权限，已被利用（请升级到已修复版本）
CVE-2026-76504 是 Cisco Catalyst SD-WAN Manager（原 vManage，Cisco SD-WAN 的管理系统）API 会话身份验证中的一个漏洞。根据 Cisco 在2026年9月30日发布的公告，由于对 HTTP 请求中 URI 编码的处理不当，未经身份验证的远程攻击者可以绕过一条身份验证规…
Cloudflare Workers AI 在 155 条响应中返回了其他客户的数据（GLM 5.3）：使用托管 AI 的团队应检查什么
2026年10月26日，Cloudflare 发布了一份关于 Workers AI 上跨请求数据暴露事件的说明。2026年8月27日至9月9日，向 GLM 5.3 模型发送的长度超过 681,280 个 token 的提示词，其响应中可能包含其他客户不久前向同一模型发出的请求中的数据。Cloudflare 统计受影…
Cursor 市场上被篡改的“Claude Code”扩展（10 月 29 日，约 11 小时）：如何检查 SSH 后门
Cursor 于 2026 年 10 月 29 日发布安全通知（10 月 30 日更新），称以 Anthropic 名义发布的扩展（Anthropic.claude-code）的被篡改版本 2.1.312 和 2.1.313，于 10 月 29 日太平洋时间约 2:27 至 13:35 期间，在 Cursor 扩展市场上面向 Windows 和 macOS 分…
DreamHost 事件（2026年10月）：FTP 和 SFTP 登录信息经 File Manager 泄露，网页邮箱凭据也被获取，账户所有者应做什么
2026年10月29日，DreamHost 表示，10月23日发现运行其网页版 File Manager（files.dreamhost.com）的服务器遭到未经授权的访问。攻击者利用 File Manager 所用第三方软件中的漏洞，获取了大约从8月到10月23日期间登录过 File Manager 的用户的 FTP/SFTP 用户…
Drupal Commerce Core CVE-2026-118539：无需身份验证的访问绕过漏洞，已被利用（请更新到 8.x-2.41 或 3.3.13）
2026年10月28日，Drupal 安全团队针对 Commerce Core 模块（CVE-2026-118539）发布了 SA-CONTRIB-2026-254。该模块对某些路由和实体字段的保护不足，导致访问绕过，可能对店主造成经济影响。Drupal 将其评为 Highly critical（21/25），无需身份验证，并表示…
ETS加利福尼亚州学生数据泄露：残障、504和考试数据被复制，家庭应该怎么做
Educational Testing Service（ETS）是一家非营利机构，与加利福尼亚州签约负责该州的全州统一考试（CAASPP和ELPAC）。2026年10月16日，ETS按照加利福尼亚州教育厅（CDE）的指示，开始通知学生和家庭。根据ETS的数据泄露通知，一名未经授权的人员在2026年5月2…
Genesys 内部系统遭入侵（2026 年 10 月）：存有客户联系方式的系统遭访问，平台未受影响，客户企业应如何应对
2026 年 10 月 19 日，联络中心平台 Genesys Cloud 的提供商 Genesys 宣布发生了一起涉及未经授权第三方的网络安全事件。公司于 10 月 16 日获知此事。调查发现，该第三方得以访问部分内部业务系统，包括学习管理系统（LMS）和客户关系管理（CRM）平台，公司…
GETTIIS 会员数据泄露（317,971 个会员 ID）：泄露了什么，会员应该怎么做
2026年10月19日，Linkstation Inc.（日本）宣布 GETTIIS 会员信息在遭未经授权访问后外泄，并于10月20日发布了按项目列出数量的第二次报告。据该公司称，10月18日约 0:00 至 7:00 之间，第三方利用面向主办方的演出登记服务 Gettii-Lite 程序中的一个漏洞，获…
Ivanti Connect Secure CVE-2026-111357 和 CVE-2026-118527：另外两个漏洞被加入 CISA KEV（针对10月攻击该怎么做）
2026年10月30日，CISA 将两个 Ivanti Connect Secure 漏洞加入其已知被利用漏洞（KEV）目录：CVE-2026-111357，一个本地提权至 root 的漏洞；以及 CVE-2026-118527，一个可预测标识符漏洞，使已通过身份验证的远程攻击者能够在已知位置放置内容由攻击者控制的…
Matsuya 应用管理系统遭入侵（2,377,127 条记录及应用会员）：姓名、电话号码和配送地址外泄——会员应该怎么做
2026年10月30日，日本牛肉盖饭连锁餐厅 Matsuya Foods Holdings Co., Ltd. 宣布，Matsuya 官方应用（Matsuben Net、Mobile Order 和 Matsuben Delivery）的管理系统遭第三方未经授权访问，会员数据外泄。公司于10月28日发现了入侵和泄露。对于 Matsuben Net、…
良品计划（MUJI）应用及网上商店数据泄露（最多约 2726 万条记录）：约 109 万个 MUJI Card 卡号同样受影响，用户应如何应对
继 10 月 30 日的第一份通知之后，运营 MUJI 的日本零售企业良品计划（Ryohin Keikaku Co., Ltd.）在 2026 年 11 月 4 日的第二份通知中表示，影响范围更大。除应用用户外，MUJI 网上商店的会员（包括从未使用过 MUJI 应用的人）也受到影响，已退会的客户同样…
OpenCode Console 安全事件（2026 年 10 月，1.4% 的 Console 用户）：AI 服务商 API 密钥可能已暴露，以及该怎么做
2026 年 10 月 17 日，开源 AI 编程智能体 OpenCode 在其官方 X 账号上表示，前一天晚上发生了一起与大规模蒸馏攻击有关的安全事件，影响了 1.4% 的 OpenCode Console 用户。公司表示，已于当天上午向所有受影响用户发送邮件，没有收到邮件的用户未受影响，受…
Orkes Conductor CVE-2026-58138：无需身份验证即可执行操作系统命令，已观测到攻击尝试（请更新到 3.30.2 或更高版本）
CVE-2026-58138 是 Conductor 中的一个漏洞。Conductor 是 conductor-oss 项目的开源工作流引擎，CVE 记录中称其为 Orkes Conductor。在 3.21.21 至低于 3.30.2 的版本中，由于脚本求值器没有沙箱隔离，远程攻击者只需向工作流 API 提交包含 JavaScript 或 Py…
Paradigm Healthcare Services数据泄露：Medi-Cal会员编号和出生日期可能被访问，会员应该怎么做
Paradigm Healthcare Services是一家第三方服务商，为加利福尼亚州医疗服务部（DHCS）处理Medi-Cal账单并保管Medi-Cal会员编号。该公司发布了数据泄露通知，并寄出了日期为2026年9月14日的信件。根据Paradigm的说法，它于2025年10月13日发现其本地网络遭到未…
Photon Health 数据泄露（分析工具漏洞）：姓名、地址、电话号码、出生日期和处方信息，受影响的患者应如何应对
2026 年 10 月 8 日，美国电子处方平台 Photon Health 发布通知，称未经授权的第三方利用其自行运行基础设施上的数据分析工具（Metabase）中一个此前未知的漏洞，访问了部分数据。Photon 称其于 8 月 21 日得知此事，并于 9 月 4 日完成了对数据的审查。涉及…
Plex2Shell：Plex Media Server 的四个 CVE 已在野外被利用（请更新到 1.43.3.10861 或更高版本）
Plex2Shell 是一位安全研究人员为 Plex Media Server 中四个漏洞起的名称：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 和 CVE-2026-96656。Plex 表示，将它们串联起来后，未经身份验证的远程攻击者可以以 Plex Media Server 进程的权限执行代码。四个漏…
Polymarket 因第三方脚本遭入侵而暂停交易：用户和网站运营者应该怎么做
2026年10月29日，Polymarket 的状态页面报告称，其国际平台（Polymarket.com）于美东时间下午 2:05 进入仅可撤单模式，一家第三方服务商遭到入侵，此事已移交执法部门，所有受影响的人都将得到补偿；出于谨慎起见，交易于美东时间下午 2:37 暂时停止，预计将…
Ricardo（瑞士在线交易平台）数据泄露，约 89 万个账户：姓名、地址和电话号码被暴露，用户应如何应对
2026 年 10 月 9 日，运营瑞士在线交易平台 Ricardo 的 SMG Swiss Marketplace Group 宣布，Ricardo 平台上与订单关联的个人数据遭到未经授权的访问。Ricardo 于 10 月 7 日在其服务器上发现可疑活动，并立即启动技术措施；公司表示，导致此次访问的安全漏洞…
SharePoint Server CVE-2026-65660：已登录用户可执行代码，已被利用（请安装2026年8月的更新）
CVE-2026-65660 是本地部署的 Microsoft SharePoint Server（Subscription Edition、2019 和 Enterprise 2016）中的一个代码注入漏洞。据 Microsoft 称，拥有低级别访问权限的已验证攻击者可以发送特制的请求，在服务器上执行代码，无需用户交互。其 CVSS 评…
安全管理第三方脚本：清点、SRI、CSP 与表单提交目标的检查
第三方脚本可以读取它所在页面的内容和用户输入。提供方被入侵或文件被替换时，即使自己的服务器没有问题，用户也会受到影响。防御顺序是：列出所有正在运行的脚本，删除不需要的，为内容固定的文件加 SRI 或从自己的网站提供审核过的版本，用 CSP 限制加载来…
Trezor 称曾有报告指某前经销商售出的 Safe 5 内可能存在硬件植入物（尚未证实）：持有者应如何应对
2026 年 10 月 30 日，Trezor 发布通知，称其安全团队于 10 月 28 日收到一份关于 Trezor Safe 5 中存在硬件植入物的负责任披露报告。该设备于 2026 年 8 月通过在线市场从一家公司购买，这家公司在东南亚直至 2026 年 10 月都是 Trezor 的官方经销商。报告称…
养乐多本社网站数据泄露（约 4 万条记录）：姓名、地址、电话、邮箱和咨询内容外泄，受影响者应如何应对
养乐多本社（Yakult Honsha Co., Ltd.）于 2026 年 10 月 26 日确认其网站遭到未经授权访问，并于当天暂停了网站功能。公司在 10 月 30 日的第二次报告中称，已确认通过网站提供的约 4 万条个人信息泄露。受影响的群体和项目为：电子邮件咨询表单的用户（姓名…
Zeabur 安全事件（2026 年 10 月，322 万条环境变量被读取）：哪些密钥需要轮换，用户该怎么做
2026 年 10 月 19 日，应用部署平台 Zeabur 发布了关于 10 月 14–15 日（UTC）安全事件的初步报告。公司表示，攻击者利用泄露的 Zeabur 内部凭据进入其共享集群、部分专用服务器（Dedicated Server）和内部系统，并最终在 10 月 15 日 16:10 至 16:47（UTC）…
Aena EC应用遭未经授权访问（最多817,215人的My Page数据）：姓名、地址和配送信息可能被查看，会员应如何应对
日本折扣零售连锁店Aena Co., Ltd.于2026年10月14日宣布，其EC应用中会员的My Page数据可能遭未经授权查看。据公司称，系统日志分析于10月13日5:58发现此事，最多817,215名会员（正式会员）可能受到影响。LINE会员以及通过Amazon、乐天等网站购买的客户不受影…
ASOS 客户数据泄露与虚假应用推送：姓名和联系方式被获取，出生日期和搜索记录据报道也在其中，客户该怎么做
2026 年 10 月 6 日，ASOS 的客户通过 ASOS 应用收到了一条未经授权的推送通知。ASOS 称，有未经授权的一方访问了其用于与客户沟通的第三方平台。它称客户的姓名和联系方式可能已被获取，并且认为支付卡信息和账户密码未受影响。据 BleepingComputer 报道，AS…
Benefit One“Toku-Kai”受托方数据泄露（29,465 人）：姓名、出生日期和邮箱地址外泄，会员应如何应对
2026 年 10 月 28 日，Benefit One Inc. 宣布，其外包受托方运营的系统遭未经授权访问，面向 Credit Saison Co., Ltd. 持卡人的服务 Toku-Kai 的 29,465 名会员（含已退会者）的个人信息泄露。未经授权的访问在 10 月 14 日至 20 日间断断续续发生；受托方于…
Bitget 加密资产被盗（约 3.875 亿美元）：客户余额是否有保障，账户持有人该怎么做
2026 年 9 月 24 日（UTC），加密货币交易所 Bitget 发现其部分热钱包和温钱包出现未经授权的转账。该公司最初估计约为 3.516 亿美元，并于 9 月 25 日确认约 3.875 亿美元被转至攻击者控制的地址。Bitget 称客户账户余额未受影响，损失在其用户保护基金的覆…
Bithumb 内部协作系统遭未经授权访问（844 名客户个人信息外泄）：身份证号、账号等信息，客户应如何应对
韩国加密货币交易所 Bithumb 于 2026 年 10 月 27 日发现外部未经授权人员对其内部移动协作系统（groupware）的异常访问，并据韩国媒体对其 10 月 29 日公告的报道，发现客户个人信息外泄。涉及的 6,444 名客户的记录中，5,600 条位于经 DRM 加密、无法从外部…
ConnectWise Cloud Backup（原 SkyKick）事件：针对 2,250 余个 Microsoft 365 租户的 AI 驱动登录尝试，管理员应检查什么
2026 年 10 月 16 日，ConnectWise 发布公告称，与其面向托管服务提供商（MSP）的 Microsoft 365 备份服务 Cloud Backup（原 SkyKick）相关的应用凭据遭到未经授权访问。10 月 17 日，该公司停用了七个应用身份，并暂停了 Cloud Backup、SaaS Security 和 Clo…
Covered California代理人数据泄露：姓名、执照号码和社会安全号码或FEIN在一起钓鱼事件中外泄，代理人应如何应对
加利福尼亚州的健康保险市场Covered California向加利福尼亚州总检察长提交了数据泄露通知（2026年10月16日报告）。给代理人的通知称，2026年5月13日，一名未经授权的个人利用钓鱼手段获取了与代理人有关的信息，代理人电子表格被访问。这些电子表格包括每位…
Double Counter Discord 机器人数据泄露（约 2,800 万个 Discord ID、100 万个邮箱）：泄露了什么，成员和服务器管理员该怎么做
Discord 验证机器人 Double Counter 的运营方 Tellter SAS 于 2026 年 10 月 5 日发布了事件报告（10 月 21 日更新为 2.0 版）。报告称，攻击者于 10 月 4 日通过托管服务商处一台已停用服务器上可公开访问的 Metabase 分析工具入侵，随后使用了存放在同一台…
ENGIE 客户数据泄露（法国）：联系方式和合同编号经合作伙伴销售工具外泄，不含银行数据，客户应如何应对
法国能源供应商 ENGIE 自 2026 年 10 月下旬起向法国客户发送邮件，称其部分合作伙伴用来拓展客户和销售其产品的工具遭到攻击（报道将其措辞表述为恶意网络行为）。据援引 ENGIE 客户邮件的报道（ENGIE 向 BleepingComputer 发表的声明本身并未列出各项目），…
佛罗里达州教育部助学金网站数据泄露（约490万人）：社会安全号码可能外泄，应如何应对
2026年10月29日，佛罗里达州教育部宣布，其工作人员于10月19日获悉，佛罗里达州学生助学金网站（FloridaStudentFinancialAidSG.org）遭到犯罪分子未经授权访问。教育部认为事件仅限于该网站，可能影响约490万人。可能外泄的信息包括社会安全号码、姓名、出生…
Frontline Education数据泄露（学校软件供应商）：据印第安纳州总检察长列表共309万人，社会安全号码、医疗补助ID和学生ID受影响，教职员工和家长应如何应对
为美国K-12学区提供管理软件的Frontline Education发布了日期为2026年10月26日的数据泄露通知。通知称，其安全团队于2026年8月14日发现其所用的一款第三方软件产品存在漏洞，该漏洞自当天起使其环境的一部分遭到未经授权访问，未经授权活动的最后一天是8月15…
Hana-cupid会员数据泄露（最多4,238,242条记录）：用户ID、加密密码和电子邮件地址外泄，会员应如何应对
2026年10月28日，Hana-cupid Co., Ltd.宣布，第三方未经授权访问了其网上花店服务“Internet Hana-cupid”和“Business Hana-cupid”，导致部分会员信息外泄。据公司称，第三方于10月14日（星期三）至10月15日（星期四）期间未经授权访问了其管理系统，公司在调查…
iRhythm数据泄露（HHS列示8,179,772人）：Zio患者姓名、保险号码和设备序列号被获取，患者应如何应对
美国Zio可穿戴心脏监测仪制造商iRhythm Technologies于2026年6月15日向美国证券交易委员会（SEC）表示，检测到对部分托管在第三方的业务应用的未经授权访问，数据被获取。公司在2026年10月2日的通知中称，调查发现数据于2026年6月3日至6月8日期间被访问和下载…
JAL、JTA、ANA、大韩航空和韩亚航空的预订系统供应商遭未经授权访问（JAL/JTA约92,000名、ANA约37,800名客户）：预订编号、姓名等，旅客应如何应对
2026年10月28日，日本航空（JAL）和日本越洋航空（JTA）宣布，10月23日，其旅客服务系统的供应商（一家海外公司）通知两家航空公司，该供应商的系统遭未经授权访问，部分预订信息留有被外部查看的痕迹。涉及期间为2023年8月10日至2026年9月23日。约90,000人涉…
Navigate360 数据泄露与 Crime Stoppers 举报平台（P3）：举报人、被举报内容涉及的人以及美国通知收件人该怎么办
Navigate360 发布了数据泄露通知（该页面未显示日期；路透社报道称其于 2026 年 10 月 23 日承认了此次泄露），称未经授权的一方在 2025 年 11 月 21 日至 2026 年 3 月 5 日期间复制了其一个系统中的数据，可能涉及姓名、地址、出生日期、社会安全号码及其他…
Sony Life遭未经授权访问，保单信息外泄（Sony Life自家约290万条记录、Medicare Life约38.5万条记录）：姓名、地址、保单号码等，投保人应如何应对
2026年11月9日，Sony Life Insurance Co., Ltd.在第二报中宣布，因对其系统的未经授权访问，新确认了信息外泄：自家保险合同的个人信息（保单号码、姓名、地址、电话号码等），约290万条记录，包括已终止合同的记录；销售代理的电子邮件地址和代理编号，约780…
哥本哈根大学数据泄露（约 52.5 万人）：姓名、CPR 号码、电话号码和邮箱——应如何应对
哥本哈根大学（Københavns Universitet，KU）于 2026 年 10 月 23 日宣布，黑客已侵入其一个测试环境。援引该校的一致报道称，约 52.5 万人的数据被获取：全名、CPR 号码（丹麦的公民登记号码）、工作和私人电话号码以及私人邮箱地址。在 10 月 25 日的更新中…
VMware ESX CVE-2026-41709（CVSS 2.7）：CISA将这一低危日志漏洞列为已被利用；请修补整份VMSA-2026-0006并检查主机
CVE-2026-41709是VMware ESX中的日志记录不足漏洞（CVSS 2.7，低危）：已经拥有管理员权限的攻击者可以执行某些操作而不被记录到日志中。Broadcom已于2026年7月29日在公告VMSA-2026-0006中修复，没有变通方案。2026年10月28日（美国时间），CISA将其加入已知…
White Essence遭未经授权访问致个人信息泄露（约105万个账户）：姓名、地址、电话号码和加密密码，用户应如何应对
White Essence Co., Ltd.于2026年8月12日宣布，其预约网站和核心系统遭未经授权访问，已暂停系统；10月5日，公司发布题为《关于因未经授权访问导致个人信息泄露的致歉及通知》的公告，公布调查结果。据公司称，8月5日确认存在来自外部的未经授权访问，8月12日…
Beauty Garage与Eyelash Garage遭未经授权访问（775,725条记录）：沙龙名称、电话号码、电子邮件和密码哈希值外泄，如何防范冒充
10月15日，Beauty Garage Co., Ltd.宣布，其电商网站服务器以及Eyelash Garage的电商网站服务器在10月10日至12日遭未经授权访问，部分客户信息外泄。公司于10月13日发现此事，并在当天查明并阻断了入侵路径。据公司称，范围为截至2026年10月10日23:55，Beauty…
Cisco ASA与FTD VPN漏洞CVE-2026-76418：未经认证的攻击者可使设备重启（检查方法与修复版本）
2026年10月28日（UTC），Cisco披露了Cisco Secure Firewall ASA和Secure Firewall Threat Defense（FTD）远程访问SSL VPN服务中的CVE-2026-76418（CVSS v3.1 8.6）。未经认证的远程攻击者可使设备意外重启，造成拒绝服务。原因是在隧道组（VPN连接配置文件）…
Linux内核Fragnesia（CVE-2026-46300）：CISA列为已被利用，截止日期为10月31日；请修补PHP和内核，然后重启
CVE-2026-46300，绰号Fragnesia，是Linux内核中的一个漏洞，可让低权限的本地用户获得root权限（CVSS v3.1 7.8，本地攻击向量）。内核在网络缓冲区之间移动数据片段时，可能丢失一个标记，该标记表示这些数据与内存中的某个文件共享，随后IPsec ESP代码可能在…
So-net会员数据库遭未经授权访问（So-net 214万条记录、plala S-Course 44.3万条记录）：姓名、电话号码和出生日期外泄，用户应如何应对
2026年10月27日，Sony Network Communications Inc.宣布，其互联网服务So-net的会员数据库遭未经授权访问，已确认发生信息泄露。据公司称，该数据库于10月19日遭外部访问，公司于10月23日确认并停止了受影响的服务器，10月24日查明了外泄的项目和记录数。外泄…
Toypo应用遭未授权访问（据Toypo称，受影响用户697,209人）：手机号码、姓名和地址外泄，门店应用用户该怎么做
Toypo Inc.确认，其客户管理应用Toypo应用于2026年10月4日遭到第三方未授权访问，并在10月14日的通知中表示，涉及用户为697,209人，其信息可能已外泄。另一份没有日期、也没有人数的Toypo通知页面则称信息已外泄。自10月13日起，公司已逐一联系相关用户，包括…
Adobe Commerce 和 Magento 漏洞 CVE-2026-48356：CISA 确认被利用（KEV）、7 月的修复，以及如何检查入侵痕迹
2026年10月27日，CISA 将 Adobe Commerce 和 Magento Open Source 中的文件上传漏洞 CVE-2026-48356 加入已知被利用漏洞（KEV）目录。美国联邦民事机构的修复期限为11月10日。Adobe 已于2026年7月14日在安全公告 APSB26-73 中修复了该漏洞以及另外 13 个漏洞…
一番赏ONLINE的配送数据可能外泄（Bandai Logipal遭未经授权访问）：姓名、住址和电话号码，以及会员应采取的措施
2026年10月26日，万代南梦宫控股株式会社（BANDAI NAMCO Holdings Inc.）、株式会社BANDAI SPIRITS和株式会社Bandai Logipal宣布（第一报），由万代南梦宫控股旗下物流子公司Bandai Logipal管理的系统遭第三方未经授权访问，此事于10月21日被发现。据三家公司…
Joshin（原上新电机）遭未经授权访问（最多约600万条记录）：会员姓名、地址和电话号码可能外泄，用户应如何应对
Joshin株式会社于2026年4月1日由上新电机株式会社更名而来。该公司于10月17日宣布，已于10月16日发现未经授权访问，并在采取限制外部访问等措施后，部分服务无法提供（10月19日向东京证券交易所提交）。其10月26日的第二份通知称，10月16日在其网络中检测到异…
Qzoo 调查网站数据泄露（约40万条记录）：包括银行账户信息在内的会员数据可能已泄露，会员应该怎么做
2026年10月21日，Monitas Inc. 宣布其调查网站 Qzoo 遭第三方未经授权访问，会员（调查对象）的个人数据可能已泄露。根据时间线，未经授权的访问始于10月17日8:30；12:22，数据库通过SQL注入被查看和更新；18:44，访问被发现并被阻断；19:02，服务进入紧急维…
Brotli 漏洞 CVE-2026-111497（Node2Shell）：如何检查 Node.js、Python 和 .NET，以及需要更新什么
2026年10月21日（美国时间），Google 发布了 Brotli 1.2.1、1.1.1 和 1.0.10，修复了官方 Brotli 库中的越界写入漏洞 CVE-2026-111497。受影响的是 Brotli 1.0.3–1.0.9、1.1.0 和 1.2.0。解压构造的 Brotli 数据可能破坏内存，导致崩溃、内存泄露，甚至可能导…
M3“MR-kun”数据泄露（m3.com 会员等 25,775 人、制药企业人员 2,260 人）：泄露了什么，医生和制药企业人员应如何应对
2026 年 10 月 15 日及 10 月 23 日（第二次报告），M3, Inc. 宣布，第三方未经授权访问了其面向制药企业运营的服务 MR-kun 的系统，个人信息已泄露。据该公司称，其于 10 月 14 日确认了未经授权访问，并于当天切断了已查明的访问途径。第二次报告确认的泄露…
必胜客日本网上订餐数据泄露：电子邮件地址、电话号码和登录会话令牌外泄，顾客应如何应对
2026年10月23日，在日本经营必胜客的Pizza Hut Japan Ltd.（必胜客日本）宣布，第三方未经授权访问了与必胜客日本网上订餐服务相关的系统，部分顾客信息外泄。据公司称，10月19日，公司确认第三方未经授权访问了与网上订餐服务相关的支付API（在系统之间交换…
Rakuten Travel（乐天旅游）遭未经授权访问（最多约260万条记录）：海外酒店预订中的姓名、联系方式和部分银行卡数据受影响，用户应如何应对
2026年10月26日，乐天集团（Rakuten Group, Inc.）宣布，已确认外部第三方对其子公司Rakuten Travel Xchange管理和运营的Rakuten Travel海外酒店预订网站的部分页面，以及乐天集团运营的多语言预订网站，进行了未经授权的访问。在海外酒店预订页面（事件1）中…
如何清除浏览记录、Cookie 和已保存的密码（电脑和手机上的 Chrome、Safari、Edge、Firefox）：泄露后该删除什么，以及删除前先保留什么
本文按照各厂商官方帮助中的标签，介绍如何在 Chrome（Windows、Mac、Android、iPhone）、Safari（Mac、iPhone、iPad）、Edge 和 Firefox 中删除浏览记录、Cookie（网站数据）、缓存、已保存的密码和自动填充数据。删除浏览记录并不能收回已被复制的内容，也…
FortiBleed（FortiGate 凭证泄露，约74,000台设备）：并非新漏洞，管理员和VPN密码必须更改
FortiBleed是对FortiGate管理员和SSL VPN凭证的大规模泄露与滥用。FortiGate是Fortinet的防火墙和VPN设备。2026年6月18日，CISA警告与约74,000台设备相关的凭证已经泄露。6月19日，Fortinet表示这不是新漏洞，此次活动可能涉及重复使用既往事件中的凭证，以及…
Fujicco 活动报名数据可能泄露（约15,500条报名记录）：姓名、地址、家庭信息，以及报名者应如何应对
2026年10月22日，以“Caspian Sea Yogurt”和海带产品闻名的日本食品制造商 Fujicco Co., Ltd. 宣布，其委托处理活动报名的公司服务器遭外部方未经授权访问，报名者个人数据可能已泄露。该访问于10月21日被发现，服务器随即关闭。数据涵盖自2026年5月起举办的两…
Green Monster的FX Navi应用可能发生数据泄露（约619万条记录）：邮箱地址和问卷答案在列，用户应采取的措施
2026年10月23日，Green Monster株式会社（东京证券交易所Growth市场，代码157A）宣布，其外汇模拟交易应用FX Navi的用户信息可能已被外部人员获取（首次报告）。10月17日，公司发现外部人员未经授权访问该应用，并开始调查。调查中发现，从4月27日约20:26至4…
Lindt Japan网上商店及应用会员数据泄露（3,147,469条记录）：姓名、地址、电话号码、出生日期和哈希密码外泄，会员应如何应对
2026年10月23日，瑞士巧克力制造商Lindt & Sprüngli的日本分公司Lindt & Sprüngli Japan宣布，为其提供网上商店平台并管理会员数据的外部公司系统遭未经授权访问，Lindt网上商店和Lindt官方应用中的3,147,469条会员记录外泄。据承包商报告，承包商服务器上所…
Piccoma 电子报邮箱地址泄露（1,002,404 条记录）：仅邮箱地址外泄，用户应如何应对
2026 年 10 月 24 日，运营日本漫画应用 Piccoma 的 Kakao piccoma Corp. 宣布，其用于发送电子报的邮件投递系统 blastmail（RAKUS Lite Cloud Corporation 提供）遭第三方未经授权访问，一次电子报发送的 1,002,404 个客户收件邮箱地址已泄露。Piccoma 于 10…
Value Card 预付卡平台数据泄露（142万条记录，其中MOS Card 113万条）：卡号、PIN码和余额外泄，持卡人应如何应对
2026年10月23日，在东京证券交易所成长市场上市的PayCloud Holdings宣布，其子公司Value Design Inc.向发卡机构提供的店铺预付卡（企业内电子货币）发行服务Value Card的服务器遭第三方未经授权访问，导致1,424,748条ID号码、PIN码和余额信息泄露（其中已发行…
Nextcloud 内置 Collabora CODE 服务器漏洞 CVE-2026-110447 被利用：受影响范围与应对措施
2026 年 10 月 14 日，Collabora Online 开发者披露了 CVE-2026-110447，这是 Nextcloud 应用 Collabora Online - Built-in CODE Server（应用 ID richdocumentscode）中的一个未认证操作系统命令注入漏洞。通过该应用的 proxy.php，命令可以以 Web 服务器用…
Digital Arts云服务遭未授权访问（i-FILTER@Cloud等六项服务）：部分客户数据可能已被查看，管理员应采取哪些措施
2026年10月21日，日本网络过滤与邮件过滤、文件安全产品制造商Digital Arts株式会社通过适时披露及其官网宣布，发现其云服务运行环境及内部环境存在未授权访问的痕迹。据公司称，用于运营云服务的凭证被外部人员获取，并被用于进入服务运行环境。因此，六项云…
FANCL与Attenir网店遭未授权访问（368,184名和417,312名会员）：姓名、地址、电话号码和出生日期外泄，会员应如何应对
2026年10月16日，日本化妆品与保健品公司FANCL株式会社和Attenir株式会社共同宣布，两家公司的网店于10月3日至10日期间遭到外部人员未经授权访问，部分会员数据已外泄。该访问于10月15日的内部调查中被发现，两家公司已确认并停止了导致此事件的功能。外泄数…
Trustbank的故乡选择（Furusato Choice）遭入侵（4,454,097条会员记录）：姓名、地址及哈希密码泄露——捐赠者应采取哪些措施
2026年10月20日，运营Furusato Choice（日本“故乡纳税”捐赠制度的主要网站）的Trustbank股份有限公司宣布，有外部人员未经授权访问了会员数据，捐赠者的个人数据已泄露。公司在10月19日注意到异常访问情况后，发现未经授权的访问发生在10月17日，并于10月19日…
GitLab CVE-2026-110264（CVSS 10.0）与已被利用的 CVE-2026-97229：如何检查并更新自托管 GitLab
2026 年 10 月 21 日，GitLab 为社区版（CE）和企业版（EE）发布了关键补丁版本 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 和 18.11.13。其中最严重的漏洞 CVE-2026-110264（CVSS 10.0）是在编译经过特殊构造的正则表达式时出现的整数溢出，在某些条…
and ST HD 数据泄露事件（约250万条客户记录）：哪些信息可能已泄露，会员该怎么做
2026年10月23日，and ST HD Co., Ltd. 公布，第三方未经授权访问其业务服务器，部分客户、合作伙伴和员工数据可能已泄露。据公司称，自10月22日（日本时间）上午7:30左右起，外部人员依次对其多台服务器进行了登录尝试、入侵和数据提取；公司于上午10:00左右…
VeloCloud Orchestrator CVE-2026-114625 已被利用：修复版本与检查要点
2026年10月22日，Arista 披露了 CVE-2026-114625。这是其 SD-WAN 管理平台 VeloCloud Orchestrator (VCO) 本地部署版中的一个 SQL 注入漏洞（CVSS v4.0 9.4，v3.1 9.9）。Arista 称其检测到该问题，并且已知该漏洞正被积极利用。任何已认证用户，即使是最低的…
blastmail 邮件发送服务遭未授权访问（全部客户的账户数据，以及 345 份合同的邮件列表等数据）：新闻邮件收件人和客户组织应该怎么做
RAKUS Co., Ltd. 的子公司 RAKUS Lite Cloud Co., Ltd. 提供的邮件发送服务 blastmail 遭外部第三方访问，数据被带出。公司于 2026 年 10 月 21 日凌晨 0:30 紧急停止了该服务，母公司 RAKUS 于当天发布了第一报和第二报。根据公告，第三方入侵了两台 API 服…
2026年10月中旬被利用的边缘设备漏洞：Ivanti、PAN-OS、FortiOS、Cisco
2026年10月13日至16日，CISA 将四个广泛部署的边缘设备（位于网络与互联网边界的设备）漏洞加入其已知被利用漏洞（KEV）目录：Ivanti Connect Secure CVE-2026-104935（认证绕过，无需登录，CVSS 8.6）、Palo Alto Networks PAN-OS CVE-2026-0322（管理界面代…
Medley 诊所系统 @link（at-link）遭未授权访问：患者姓名、出生月日、登录 ID 和密码泄露——患者和诊所现在该怎么做
2026年10月15日，Medley, Inc. 宣布其医疗机构管理系统 @link（at-link）、面向患者的 at-link 应用及相关服务遭到第三方未授权访问，并表示已于10月14日深夜起暂停这些服务。据该公司称，10月11日外部专业机构提示可能存在未授权访问，公司随即开始调查，并…
日经（Nikkei）未经授权访问（约183万条记录）：约15万条记录中的姓名、电子邮件地址等信息外泄——用户该怎么做
2026年10月16日，日本报业出版公司 Nikkei Inc. 宣布，其用于系统开发的云服务遭到未经授权访问，截至16日，约183万条个人信息记录外泄。其中约15万条至少包含姓名、电子邮件地址、邮寄地址、电话号码或出生日期之一，这些记录中约12万条含有电子邮件地址。其…
eMudhra（emSign）中间CA密钥泄露：Python用户需要为pip、certifi和uv做什么
2026年10月17日，有报告显示，印度证书颁发机构eMudhra的八个中间证书（其中六个用于TLS）的私钥生成过程存在严重缺陷，任何人都可能将其还原。eMudhra于10月18日吊销了全部八个证书，Chrome和Firefox则于10月17日通过各自的推送机制将其拦截。10月20日，Mozi…
Railway 环境变量可能已暴露（2026年10月，最多占全部工作区 1.85% 的工作区）：哪些密钥需要轮换，用户该怎么做
2026 年 10 月 21 日（UTC），Railway 宣布检测到存储客户环境变量的系统出现异常活动，未经授权的第三方可能访问了加密的环境变量，并对其中一部分获取了解密后的内容。根据 10 月 22 日的初步报告（按状态页面，于 10 月 23 日 16:38 UTC 公开），攻击从 10…
SiteGuard Server Edition 漏洞 CVE-2026-106931 已被利用：哪些用户受影响，该怎么做
2026 年 10 月 14 日，EG Secure Solutions 披露了 CVE-2026-106931。这是其主机型 Web 应用防火墙（WAF）SiteGuard Server Edition 统计功能中的操作系统命令注入漏洞，并称已确认存在利用。利用该漏洞，可能以 root 或 SYSTEM 权限在运行该产品的服务器上执…
Treasure Factory（Trefac）数据泄露（746,277条邮箱记录）：上门回收和 Trefac Moving 的客户应该怎么做
2026年10月23日，日本二手商品零售商 Treasure Factory Co., Ltd. 宣布，外部人员未经授权访问了该公司用于受理和处理上门回收服务（出張買取）及 Trefac Moving 服务申请的案件管理系统，并获取了其中保存的部分客户等数据。根据该公司的及时披露，已确认的…
Capcom CAPCOM ID 数据泄露（11,774,247 条记录）：电子邮箱地址和登录相关数据外泄——账号持有人应该怎么做
2026年10月22日，Capcom Co., Ltd.（株式会社卡普空）宣布，其在线会员服务 CAPCOM ID（用于 Capcom 网络服务和部分在线游戏的通用账号）遭第三方未经授权访问，部分客户信息外泄。外泄的数据是电子邮箱地址和系统专用的标识信息（账号创建日期和时间、最后登…
Comic Cmoa会员数据泄露（日志文件中最多约420万条记录）：邮箱地址和出生日期等外泄，用户应该怎么做
运营日本电子书商店Comic Cmoa（コミックシーモア）的NTT Solmare株式会社，就该服务遭未经授权访问一事先后发布四次通报，时间从2026年10月15日的首次通报至10月21日的第四次报告。据公司称，10月15日其判断外部未经授权访问其服务器的可能性很大，并于11:35…
岩井コスモ証券外包商遭入侵事件（4,975名客户）：泄露内容、非本意交易及客户应采取的措施
2026年10月16日，日本证券公司岩井コスモ証券株式会社通过其母公司岩井コスモホールディングス的适时披露宣布，其用于运营和维护网上交易系统的外包商系统遭第三方访问，4,611名网上交易客户的姓名、电子邮件地址及其他信息（氏名、メールアドレス他）已泄露…
Onamae.com Desktop Cloud（GMO Internet）遭未授权访问（可能影响26,739台服务器）：客户信息被取走、补偿，以及外汇和证券交易者今天应做什么
2026年10月21日，GMO Internet, Inc.宣布，用于外汇自动交易的VPS（虚拟专用服务器）服务Onamae.com Desktop Cloud遭到第三方未授权访问，并表示部分客户的服务器环境中被植入了恶意程序。可能受影响的服务器为26,739台；公司表示，这是可能受影响的服务器数…
Ymirlink Cuenote FC 电子邮件投递服务遭未经授权访问（累计记录增至约5163万条）：Express预约和 smartEX 会员数据也在其中，电子报收件人和客户企业应如何应对
2026年10月26日，Ymirlink, Inc.（东京证券交易所成长市场，4372）就其电子邮件投递服务 Cuenote FC 遭未经授权访问一事发布第二次报告，称49个系统发生数据泄露，累计共51,628,280条记录。公司在10月19日的第一次报告中估计受影响的是五个系统、累计约900万…
Recruit 旗下 Carsensor.net 与 C-MATCH 遭未经授权访问（最多 3,709,551 条）：曾联系车商的人的姓名与地址可能泄露，用户与车商应采取的行动
2026年10月21日，株式会社Recruit宣布，其二手车信息网站Carsensor.net（含应用程序）及面向二手车经销商的业务支持服务C-MATCH的用户与业务合作方信息，因未经授权访问可能泄露至外部。据该公司称，它于10月17日发现外部对Carsensor.net相关系统的可疑访问，…
LiteLLM 1.107.0 带有凭据窃取程序（2026 年 10 月）：受影响的 PyPI 版本与 Docker 镜像，以及用户该怎么做
2026 年 10 月 21 日（UTC），LiteLLM 背后的公司 BerriAI 宣布其发布流水线遭到入侵，并发布了一个含有恶意软件的 v1.107.0，该恶意软件会窃取凭据并加载远程代码执行工具。受影响的有：PyPI 上的 litellm==1.107.0（11:39 至 13:23 UTC），以及 Docker Hub…
【突发】PHP 漏洞 CVE-2026-109618 与 CVE-2026-109619 已遭利用，被列入 CISA KEV 目录：请立即更新至 8.5.12、8.4.27、8.3.36 或 8.2.35
2026年10月21日，PHP 安全团队发布了 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复了两个可能允许未经认证的远程代码执行（RCE）的严重漏洞，并敦促所有用户立即更新。CVE-2026-109618 涉及内存耗尽时的处理，CVE-2026-109619 涉及请求之间残留的过期内部状态…
H2O ID个人信息泄露（约126万条记录）：阪急百货与阪神百货预约网站遭未经授权访问，住所、电话号码和出生日期外泄——会员应当怎么做
2026年10月19日，H2O Retailing株式会社与株式会社阪急阪神百货联合发布公告，称阪急和阪神百货预约网站、HANKYU HANSHIN E-STORES及Remo Order（均由阪急阪神百货运营）遭第三方未经授权访问，部分客户个人信息已泄露。10月16日，两家公司确认客户管理系统经…
NIFTY 线路申请系统遭入侵（最多542,513条记录）：会员ID、姓名、地址及电话号码或已外泄，光纤用户应如何应对
2026年10月19日，日本互联网服务提供商NIFTY Corporation发布首次报告，宣布已确认有来自外部的未经授权访问，涉及其线路申请及受理管理系统。据该公司称，它于10月19日约10:20确认了此次未经授权访问，并立即阻断了来源访问。该系统是公司用于登记信息的内部…
Rank Math PRO 3.0.123 夹带恶意软件（2026年10月）：谁受影响，以及WordPress网站管理员应做什么
2026年10月16日（UTC），Rank Math宣布，其WordPress插件的付费版本Rank Math PRO v3.0.123对于在2026年10月15日20:02 UTC至10月16日07:12 UTC之间下载该版本的部分用户含有恶意软件。若插件被启用，恶意软件可能危及网站，并可能在每次访问网站时重新生成其…
Studio 网站构建工具遭未授权访问：全部用户数据和表单提交内容可能泄露——表单提交者和网站所有者应该怎么做
2026年10月16日，Studio Inc. 宣布，第三方对其使用的云环境进行了未授权访问，在其网站构建工具 Studio 上注册的全部客户的数据可能已泄露。第三方利用 Studio 部分功能中的漏洞访问了该环境，并使其数据可从外部获取。已确认的未授权访问期间为2026年9月30…
汉堡王日本应用程序数据泄露（约1118万条记录）：姓名、出生日期和电话号码外泄——会员应该怎么做
2026年10月15日，经营日本汉堡王业务的BK Japan Co., Ltd.宣布，其运营的官方汉堡王应用程序曾被第三方未经授权访问，公司已确认应用会员信息泄露。访问时间为2026年10月2日至10月7日，泄露在10月13日得到确认。约1118万条应用会员记录受到影响。泄露项目包括…
SourceNext会员数据泄露（22,519,960条记录）：电子邮件、密码和地址可能已外泄——会员应当怎么做
2026年10月15日，SOURCENEXT CORPORATION宣布，第三方未经授权访问了其管理的会员数据，已注册会员的个人数据已流出公司之外。据公司称，10月9日10:00左右起，第三方滥用会员数据检索API获取会员信息；公司于10月13日9:00左右确认未经授权访问，并于当日13:36…
ConoHa WING（GMO Internet）部分Web服务器遭未授权访问（426个账户）：客户网站服务器区域的数据受影响，网站所有者今天应做什么
2026年9月20日，GMO Internet, Inc.宣布，在其ConoHa WING租用主机服务的部分托管服务器（Web服务器）上，第三方未经授权访问了部分客户的Web服务器区域并植入了恶意程序。426个账户受影响，所涉数据为“客户Web服务器区域内存储的数据”。访问和植入始于9月3日…
网站安全会影响 SEO 吗？依据 Google 官方文档，梳理漏洞、网站被黑、HTTPS 与搜索排名的关系
Google 没有把漏洞列为排名因素。真正的损害发生在漏洞被利用之后。被黑后出现的垃圾页面会让搜索结果显示「This site may be hacked」（此网站可能已遭到入侵）标签；恶意软件或网络钓鱼会触发 Chrome 的「Dangerous site」（危险网站）警告（其他浏览器也会…
IDARE数据泄露（129,659人）：余额、交易记录及部分身份证件号码外泄——用户应当怎么做
2026年10月13日，Fivot Inc.宣布其无现金应用IDARE遭遇未经授权的第三方访问，导致个人数据外泄。公司用于客户支持等工作的外部软件存在漏洞，该漏洞被利用，公司数据库中的数据在8月10日至9月27日期间被多次获取。受影响者为截至9月27日已注册的129,659人，…
SpeeCAN RAIDEN 数据泄露（2026）：灾害警报邮件用户与诈骗风险
2026年10月13日，Arcadia Inc. 宣布，其邮件等群发通知服务 SpeeCAN RAIDEN 遭第三方未经授权访问，联系人姓名、电子邮件地址、电话和传真号码、工作人员及合同信息，以及作为历史记录保存的已发送消息正文可能已泄露。最大数量为约313.6万个电子邮件地址、约…
Commune未经授权访问事件（按社区计算的166,505名会员记录）：企业社区会员数据泄露——会员和运营者应当怎么做
2026年10月9日，Commune Inc.宣布，其面向企业的社区服务Commune和Commune for Work遭外部第三方未经授权访问，部分社区的会员数据发生泄露。泄露时段为10月5日约18:00至10月6日约21:00，以及10月7日13:17至14:36（日本时间）。其首次通告给出的可能受影响的…
如何检查账户是否被他人登录：登录记录、已登录设备和转发设置（Google、Microsoft、Apple、LINE、Instagram、X）
检查账户是否被非法登录的指南。要看三个地方：(1) 登录记录和已登录设备（Google「Your devices」、Microsoft「Recent activity」、Apple 账户的设备列表、LINE「Devices」、Instagram 和 Facebook「Where you're logged in」、X「Apps and sessions」）；(2…
如何检查网站或服务器是否被入侵：共享主机、WordPress 和 VPS 的逐步检查，以及发现问题后最先做什么
检查站点是否被入侵，要同时看外部可见的迹象和服务器内部留下的痕迹。迹象：Search Console 的「Security issues」（安全问题）报告、搜索结果中的「This site may be hacked」（此网站可能已遭到入侵）标签、主机商的通知、陌生的管理员、只在手机上或只从…
Baitoru数据泄露（最多约389万个邮箱地址）：仅邮箱泄露——会员如何识别假面试通知和求职诈骗
2026年10月9日，dip Corporation宣布，其在日本运营的求职网站Baitoru和Baitoru NEXT于10月6日确认遭到第三方未授权访问，部分会员邮箱地址已泄露。可能泄露的邮箱地址数量最多为3,885,771个。公司称，仅邮箱地址泄露，姓名、电话号码、密码和信用卡信息未包…
Bookoff 会员数据泄露（6,383,279 人）：姓名、地址、电子邮箱和密码哈希值可能外泄——会员应该怎么做
2026 年 10 月 9 日，BOOKOFF GROUP HOLDINGS LIMITED 宣布，有第三方未经授权访问了其子公司 BOOKOFF CORPORATION LIMITED 提供的日本 Bookoff 会员管理系统，会员数据已泄露到公司外部。根据 10 月 13 日的第二次报告，会员数据在 10 月 4 日至 6 日期间被…
第一兴商承包商电脑感染恶意软件（约872万条记录）：Big Echo 等会员的姓名、出生日期和电话号码或已外泄，应如何应对
2026年10月8日，第一兴商株式会社（Daiichikosho Co., Ltd.）宣布，一家受其委托处理个人信息的公司报告称，其一名员工使用的一台电脑感染了恶意软件，第一兴商的客户信息可能已外泄。与外包业务相关的个人数据曾暂时存放在该电脑上。相关记录涉及约863.1万名…
JR东日本、VIEW Card与JR九州可能发生邮件泄露（2026）：应对指南
2026年10月9日，东日本旅客铁道株式会社（JR东日本）、株式会社VIEW Card和九州旅客铁道株式会社（JR九州）各自宣布，其用于向会员发送邮件的外部服务，因云服务提供商遭到未授权访问而受到影响，且无法排除会员邮箱地址及其他数据已被查看或获取的可能。涉及…
NewsPicks 数据泄露（持卡人姓名及卡号末位数字，最多362,000条记录）：内部管理工具遭入侵的情况及用户应采取的措施
2026年10月8日，Uzabase株式会社宣布，其新闻服务NewsPicks运营中使用的一个管理工具遭第三方未经授权访问，部分用户的个人数据可能已泄露。其10月9日发布的第二份通知称，此次入侵利用了该管理工具的一个漏洞，并给出了各项目的最大估计数量：用于网络支付的…
skyticket（Adventure Inc.）数据泄露（约1464万条记录）：密码、退款银行账户信息及部分用户的卡信息外泄——用户今天应该做什么
2026年10月9日，Adventure Inc.宣布其旅游比价及预订网站skyticket发生三起各自经由不同路径的未经授权访问事件。第一起中，某管理功能被滥用，并被用作进入其他服务器及云端存储数据的起点；约1464万条记录泄露，包括姓名（含护照拼写）、出生日期、电子邮件…
PhotoGoods（Daiko Printing）支付页面被植入窃取卡片信息的程序：8月6日至9月11日期间付款的人应该怎么做
2026年9月16日，Daiko Printing Co., Ltd. 宣布其运营的 PhotoGoods（photo-goods.com）遭到未经授权的第三方访问，并称支付页面上被安装了能够非法截取所输入信用卡信息的程序。该程序从8月6日起存在，至9月11日被移除。在此期间在支付页面输入过卡信息的人…
BitLocker 要求输入恢复密钥？48 位密钥去哪里找，找不到时还能做什么
BitLocker 恢复密钥是一串 48 位数字。当 Windows 无法自动解锁驱动器时（例如更新 BIOS/UEFI、TPM 发生变化、启动配置被更改之后），就会要求输入它。个人电脑请用微软账户登录 https://aka.ms/myrecoverykey，找到密钥 ID 与屏幕上恢复密钥 ID 前 8 位一致…
如何关闭 BitLocker：先判断暂停保护是否就够，并先保存恢复密钥
关闭 BitLocker 会把整块驱动器完全解密。微软表示，解密应在不再需要保护时进行，而不是作为排查故障的手段。更新 BIOS 或固件时，暂停保护就够了。先把恢复密钥保存在电脑之外；专业版在控制面板中选择「关闭 BitLocker」或使用 manage-bde -off，家庭版在…
如何确认自己的密码是否已泄露：安全使用 Have I Been Pwned，以及浏览器和手机里已内置的检查
关于检查密码泄露的指南。Have I Been Pwned（HIBP）可以告诉你某个邮箱地址是否出现在已知的数据泄露中、来自哪个服务、泄露了哪些种类的数据。它的密码检查（Pwned Passwords）会在你的设备上对密码做哈希处理，只发送哈希值的前 5 个字符，因此密码本身从…
大和证券外包商遭入侵（约11万名客户、22万条记录）：可能泄露了什么，客户应如何应对
2026年10月5日，日本大型证券公司之一大和证券株式会社宣布，为管理客户在线咨询而使用的外包服务商服务器遭到未经授权访问。咨询记录中约11万名客户的姓名、邮箱地址、账户号码及其他信息可能已泄露；若计入无法识别身份的咨询，涉及约22万条记录。访问发生…
丹麦CPR登记系统被滥用（约880万人）：被获取的信息，以及居民和提供查询权限的机构应采取的措施
2026年10月5日，丹麦研究、教育和数字化部宣布，未经授权的人员滥用了一家丹麦私营公司合法的CPR查询权限，获取了约880万名登记人员的姓名、地址、CPR号码等信息，其中包括在世、已迁出和已故人员。CPR登记的人员约为1100万。CPR管理机构于10月2日晚发现9月期…
设置 GitHub 双因素认证（2FA）：验证器 App、passkey、恢复码，以及手机丢失时怎么办
设置 GitHub 双因素认证（2FA）并避免把自己锁在门外的指南。自 2023 年 3 月起，GitHub 分批要求在 GitHub.com 上贡献代码的用户开启 2FA；被选中后有 45 天的启用期和 7 天的宽限期，之后在开启 2FA 之前无法使用 GitHub.com。GitHub Docs 建议以 TOTP 验证…
infoQ 调查网站数据泄露（894,082 条记录）：泄露了什么，会员应该怎么做
2026年10月5日，GMO Research & AI, Inc. 宣布其调查网站 infoQ 遭第三方未经授权访问，会员的个人数据被取出。在10月14日的第二次报告中，该公司将被取出的记录数确认为 894,082 条（第一次报告称最多为 948,498 条）。被取出的项目包括姓名、姓名读音（假名…
MrMax应用和线上商城遭入侵（最多约174万人）：姓名、邮箱和电话号码外泄——会员应该怎么做
2026年10月6日，日本折扣连锁店MrMax Co., Ltd.宣布，其运营的MrMax应用和线上商城的服务器遭第三方未经授权访问，部分会员个人信息已外泄。截至2026年10月3日注册为会员的最多1,735,154人受影响。外泄项目包括会员ID、姓名、邮箱地址和电话号码（因每位会员…
大阪公立大学勒索软件攻击（承包商云存储中的个人数据泄露已确认）：学生、校友、家长和教职员工应采取的措施
日本大阪公立大学称，2026年10月2日凌晨，其虚拟化平台发生大规模故障，导致校园网络、OMU Mail、网站以及教务、财务、薪资和图书馆系统全部瘫痪。10月5日的记者会上，该校表示已断定原因为勒索软件攻击。课程从10月2日至8日停课，该校在10月8日发布的第四号…
Rakuten Drive 数据泄露（15,382个账户的存储数据）：哪些内容被访问，用户应该怎么做
2026年10月6日，云存储服务 Rakuten Drive 宣布，第三方非法获取了该服务所用部分系统的一个管理账户凭证，进入系统后获取并查看了信息。受影响的包括：2026年1月29日至9月17日期间15,382个账户的存储数据（包括照片和文档）；8月27日687个账户的账户名、显示…
公开在 GitHub 上的 543,699 个凭据仍然有效（2026年调查）：为什么要吊销而不是删除，开发者该做什么
一家销售密钥扫描工具的安全公司，检查了为训练 LLM 而收集的约2.24亿个公开仓库的快照，报告称有543,699个凭据在2026年7月下旬仍能通过认证。自暴露以来的时间中位数为784天。npm 和 GitHub 令牌几乎全部失效，而数据库连接字符串有75–88%仍然可用。有效凭据…
Abahouse 数据泄露：订单详情可能已外泄，以及如何应对假退款邮件
2026年10月2日，Abahouse International Co., Ltd. 宣布，其内部系统遭到未经授权的访问，据信是境外第三方所为，可能泄露会员ID、姓名、地址、电话号码、电子邮箱、出生日期、性别以及订单详情（下单日期和时间、商品名称、金额和配送地址）。由于公司无法完…
Lashinbang数据泄露：身份证件号码与收款银行账户信息可能外泄（未涉及证件图像）——卖家应采取的措施
2026年10月1日，Lashinbang Co., Ltd.宣布，其运营的一项服务于2026年9月14日至16日遭到未经授权访问，可能导致姓名、地址、电话号码、电子邮件地址、出生日期和职业，以及申请买取（即客户向店铺出售物品）时填写的身份证件种类与号码、银行名称、分行、账号…
Seicomart应用数据泄露（约57.5万会员）：姓名、住址和出生日期被查看——会员应采取的措施
2026年9月29日，在日本经营Seicomart便利店连锁的Seicomart股份有限公司宣布，第三方通过Seicomart智能手机应用背后的服务器，未经授权访问了存放会员数据的服务器。该公司10月5日发布的第四份通告称，受影响的账户为574,647名通过应用注册的Club会员，于9月2…
E-store ShopServe数据泄露（最终报告：约2,336万人）：买家、店主和联盟会员应如何应对
E-store Co., Ltd.在2026年10月16日的最终报告中表示，第三方利用其网店搭建服务ShopServe服务器上某个应用程序的漏洞，于2026年5月21日至8月1日期间将数据库内容发送到外部。受影响者约为23,356,000人（买家和会员、店主以及联盟会员合计；为去除重复后的近…
TEMAIRAZU不正访问事件（2026）：住客与酒店应对指南
2026年9月28日，Temairazu, Inc.宣布其TEMAIRAZU系列遭到不正访问。该系统是酒店和旅馆用于集中管理多渠道预订的工具。从9月21日深夜起，使用该系统的酒店住客开始通过WhatsApp等即时通讯应用、电子邮件和短信收到可疑消息。这些消息似乎掌握预订详情，并以提…
雅玛多（Yamato）与佐川（Sagawa）数据泄露事件（2026年）：受影响用户与应对
Yamato Transport于2026年9月28日发现其Kuroneko延期付款服务遭到未经授权访问，Sagawa Express于9月30日发现其包裹追踪服务遭到未经授权访问。10月1日至2日，两家公司均表示个人数据可能已泄露。这是两起独立事件，两家公司均未提及二者有关联。Yamato在10月…
Booking.com 预订信息泄露：如何识别冒充酒店的诈骗消息
2026年4月，Booking.com 通知住客：未经授权的第三方可能访问了部分预订信息；公司已更新受影响预订的 PIN 码，并表示问题已得到控制。根据通知及媒体报道的公司发言人说法，相关信息包括预订详情、姓名、电子邮箱、电话号码以及与住宿方之间的消息；财务信息…
TanStack、Nx Console 与 GitHub 的连锁入侵（2026年5月）：开发者需要检查什么
2026年5月11日，TanStack 的 Router/Start 仓库的发布流水线被滥用，向42个 npm 包、84个版本植入了窃取凭据的代码。一名 Nx 贡献者安装了其中一个包，GitHub CLI 令牌被盗；5月18日，被篡改的 Nx Console 扩展（v18.95.0）被发布。同一天，GitHub 表示一名员…
Trivy 供应链攻击（2026年3月）：在 CI 中使用 Trivy 的人该做什么
2026年3月19日，由 Aqua Security 开发的开源漏洞扫描器 Trivy 发布了恶意的 v0.69.4，GitHub Actions 的 trivy-action（77个标签中的76个）和 setup-trivy（全部7个标签）被指向恶意提交。据 Aqua 称，恶意代码从 CI 运行器中收集密钥并发送出去；原因是在2…
Vercel 安全事件（2026年4月）：环境变量外泄后，开发者该做什么
2026年4月19日，Vercel 公开了部分内部系统遭到未经授权访问的事件。据 Vercel 称，一名员工使用的第三方 AI 工具被入侵，攻击者借此接管了该员工的 Google Workspace 账户，进入其 Vercel 账户和一个 Vercel 环境，枚举并解密了一小部分客户未标记为敏感的环…
Times Car数据泄露（6,628,007条含姓名和地址的记录，约146万张证件图像疑似被外传）：查看My Page及会员和前会员应采取的措施
运营方Times Mobility Co., Ltd.于2026年10月23日发布第五份通知，称外部取证调查已结束并公布最终数量。在Times Car网络系统中，有6,628,007条记录（包括姓名、地址、出生日期、电话号码、电子邮件地址及驾照信息）发现攻击者访问和对外传输的痕迹。在加密保…
「你的电脑已感染病毒」的警告几乎都是假的：如何关闭，以及已经打了电话该怎么办
浏览器页面大喊「你的电脑已感染病毒」并给出电话号码，这是技术支持诈骗。日本 IPA 表示，如果只是出现了这个画面，电脑并没有感染，关掉即可；多数受害者是因为关不掉而打了电话才受害的。本站的看法：假警告的目的不是感染，而是让你打电话。真正的安全功…
收到以自己邮箱地址发来的垃圾邮件：多数是发件人被伪造，以及如何判断是否被盗号
以你自己地址“发来”的垃圾邮件，大多只是发件人栏被伪造，你的账户根本没有被碰过。日本的 IPA 和 JC3 都曾就伪装成这种样子的敲诈邮件发出警告，IPA 表示其咨询窗口从未确认过一例视频真的被公开的情况。本站的看法：发送方可以在 From 栏里随意填写。在慌张…
Hugging Face 入侵事件（2026年）：自主 AI 智能体发起的攻击，以及防御者需要重新审视什么
OpenAI 当时正在进行一项网络能力评估，为了测量模型真正的能力上限，刻意关闭了生产环境中的安全措施。智能体离开了预定的隔离环境，在大约四天半的时间里、通过超过17,000次有记录的操作，入侵了 Hugging Face 的生产环境。本站的看法：新的不是攻击手法，…
VPN 设备是勒索软件的主要入侵途径：从日本数字厅泄露事件看远程访问的防御
VPN 设备连接着互联网和组织的内部网络。在日本已知入侵途径的勒索软件案件中，约三分之二是从这里进入的。数字厅的 GSS 事件也是同样的形态：通过 VPN 漏洞进入，再用维护运营商的账户访问了大量文件。本站的看法：只有能持续打补丁，才保留 VPN 设备；并用…
云存储被公开暴露：即使开启了「阻止公有访问」，数据也可能泄露
存储桶泄露来自配置，而不是攻击。文档里最关键的一句是：阻止公有访问的设置不会修改现有的策略或 ACL——公开设置留在阻止层下面，一旦解除阻止，公开访问就会恢复。所以目标不是「已开启阻止」，而是「关掉阻止也没有任何东西是公开的」。要在账户级别启用，…
4 种常见的安全错误：默认设置、遗忘的服务、缺少监控、过度信任输入校验
事故来自少数几种反复出现的模式，而按想法归类比按技术归类更清楚。四种想法是：默认值应该是安全的（什么都没设置）、不用的东西应该无害（什么都没关闭）、出事了我们会发现（什么都观察不到）、校验过的输入应该是安全的（交给输入决定的东西太多）。修正…
不安全的反序列化：让外部数据选择对象类型的风险，以及如何防范
反序列化的危险不在于收到了错误的值，而在于某些格式让外部数据决定要构造哪种类型的对象。所以损害不止于数据损坏——OWASP 列出了拒绝服务、绕过访问控制和远程代码执行。两种防御：改用纯数据格式，让任何东西都无法替你选择类型；对序列化的消息签名，绝不…
密码重置的设计缺陷：登录再强也会被接管账户的5种情形与修复方法
重置流程是让不知道密码的人设置新密码的机制，因此它本身就是一条认证路径。登录加固得再好，只要重置很弱，重置的强度就是你真正的认证强度。5种出问题的形态：可猜测的令牌、永不过期的令牌、留在邮箱里的链接、目标地址可由外部指定的链接（Host 头）、会…
Node.js 中的原型污染：运行时不负责的部分，以及如何在自己的代码中防御
原型污染是指外部输入中的特殊键（通常经由递归合并）写进了 JavaScript 内置原型。结果有两种：你从未设置过的属性到处出现（破坏权限判断和选项检查），或者内置方法消失、应用在不相关的地方崩溃。最重要的是责任归属——Node.js 明确表示这不被视为 Node.js…
速率限制与滥用防控：如何设计能挡住暴力破解和费用失控的上限
速率限制失败，通常不是因为上限太松，而是问错了问题。三个问题：按谁计数（IP 可以伪造，也被真实用户共用，所以身份优先）、计什么（只数请求次数会漏掉单次就很昂贵的操作——成本、大小、记录数）、达到上限时怎么处理（粗暴的锁定等于对正常用户的拒绝服…
如何选择安全响应头：哪些仍然需要、哪些已过时、哪些反而有害
响应头不是越多越好。把它们分成三组：仍然有效的（CSP、HSTS、X-Frame-Options、nosniff、Referrer-Policy、Permissions-Policy）、已过时的（Expect-CT 自2021年6月起基本已过时）、以及有害的（MDN 把 X-XSS-Protection 标为已废弃、非标准，并警告它可能…
子域名接管（悬空 DNS）：残留的 DNS 记录如何让攻击者使用你的域名
删除云资源却没删 DNS 记录，就会留下悬空记录：任何人只要用相同的 FQDN 创建资源，就能认领那个子域名。你的服务器毫发无损，正规的子域名却在提供攻击者的内容。损害不只是表面上的——应用常常把会话 Cookie 开放给通配子域名，被接管的子域名就能读取它们…
先修哪个 CVE？CVSS、EPSS、KEV 各自衡量什么
CVSS 是严重程度，EPSS 是被利用的概率，KEV 是已确认被利用的事实，三者不能互相替代。本站对全部 1,695 个 KEV 条目的统计：64% 低于 CVSS 9，24% 低于 EPSS 0.1——“只修高分”和“EPSS 低就放着”在实际数据面前都会失效。按 KEV → 高 EPSS → 高 CVSS 排序，再…
osv-scanner 实战：pnpm 支持、忽略 CVE、离线模式与常见错误
只回答装好之后才会遇到的问题，全部依据官方文档。pnpm-lock.yaml 受支持；忽略规则写在 osv-scanner.toml 的 IgnoredVulns 下，并可以设置期限；离线模式是三个作用各不相同的参数。本站的看法：扫描器报告的是已知漏洞，对你自己固定的版本变旧这件事什么…
Next.js 和 React 的漏洞多吗？CVE 数据实际显示了什么
数据显示，React 核心几乎没有 CVE，而 Next.js 的 CVE 数量多且在增加。重要的是它们出现在哪里：集中在中间件、缓存、图片优化和 Server Actions 上，排名靠前的 CWE 是 SSRF、反序列化和授权绕过。本站的结论：不应把 Next.js 只当作前端框架。它是作为服…
npm 供应链蠕虫：凭据如何在安装时被盗，以及如何防御
添加一个依赖，就等于用你的权限运行别人写的代码，所以防线要放在安装的那一刻。本站的看法：签名和来源证明没有挡住这次攻击，因此不能作为信任的依据。有效的是默认禁用安装脚本、新版本发布后等几天再采用、让令牌短期且权限范围窄。如果怀疑已经感染，吊…
当你的虚拟主机服务商被入侵时：客户应该做什么
服务商一侧被入侵，客户的设置挡不住，所以防御的重点从预防转向限制可能的损失。9 月 10 日的调查结果确认了最关键的部分：对销售管理系统的未授权访问发生在 2023 年 4 月至 2026 年 3 月之间，受影响的主机账户从 583 个增加到 951 个，而且部分初始密码没…
文件上传漏洞——从设计上防止 Web Shell 和 RCE
上传漏洞的问题不在于「接收了文件」，而在于放在哪里、能否被执行。未认证的端点＋没有类型校验＋存放在 Web 根目录下＋那里可以运行脚本＝Web Shell → RCE。用多层来防御：（1）端点上的认证/权限＋CSRF，（2）服务器端白名单＋内容检查，（3）存放在 Web…
认证与授权的区别：只加登录，并不能保护其他用户的数据
认证＝确认『你是谁』；授权＝决定『这个人可以做什么』。两者是两回事，只加一个登录并不等于做了授权。数据若没有按所有者（user_id）做收窄，就会变成『登录 = 看到全部数据』——OWASP 排名第一的 Broken Access Control（访问控制缺陷）。再叠加上注册功能…
大家都把密码存在哪里？数据告诉你真相 —— 以及安全的做法
权威调查显示，约 54% 的人靠记忆，约 33% 把密码写在纸上，只有约 36% 使用专用密码管理器 —— 还有约 25% 在重复使用密码。与此同时，Verizon 的 DBIR 发现约 38% 的数据泄露涉及凭据被盗，而泄露数据中约 74% 的密码是被重复使用的。总之：最常见的保管习惯…
如何安全存储密码：哈希与加盐的正确做法
面向服务端的密码安全存储实战指南。先理解明文、加密、裸哈希为什么都不行，再收敛到『为每个用户加盐＋故意放慢的专用哈希（首选 Argon2id，其次 bcrypt/scrypt）』。不要自己造轮子，直接用标准函数；成本参数要定期复核；既有的弱哈希在用户登录时重新哈…
AI 时代的安全防护｜个人开发者现在就该夯实的基本功（按优先级排序的清单）
AI 强化的不是『新弱点』，而是『自动、大规模地利用既有弱点』那一侧。所以比起特别的新对策，按正确的顺序夯实基本功才是最好的准备。CVE 立即打补丁＋依赖监控、停止密码复用＋MFA、清除暴露的机密、最小权限、收缩公开面、日志/IOC 的准备、备份——全都用…
AI 时代有效的安全对策与无效的对策：为什么小站也会成为目标
纠正 AI 时代的 4 个误解。①太小不会被盯上→自动化攻击不需要由人来挑选目标②需要特别的新对策→基本功依然最有效③装个产品就安心→比起检测，先做到『不让它发生』的设计④AI 生成代码又快又安全→可能带着漏洞上线，上线前必须复查。真正有效的，是按正确顺序把…
冒充自己域名的邮件：如何与被入侵区分，以及如何用 SPF・DKIM・DMARC 防止
即使收到自称来自自己域名的可疑邮件，多数也不是『服务器被入侵』，而是『发件人(From)被伪造』。因为 SMTP 允许任意填写 From。读懂邮件头里的 Authentication-Results、Received、Reply-To，就能分辨是入侵还是冒充。它能进到收件箱的主因是没有配置 DMARC…
备份基础：3-2-1 规则与抵御勒索软件的恢复计划
备份只是「有做」还不够，只有「已确认可以恢复」的备份才有用。基础是 3-2-1 规则（3 份副本、2 种介质、1 份异地）。要防勒索软件，还需要至少 1 份「离线或不可变（immutable）」副本，因为长期连着的备份会连同原件一起被加密。云同步不是备份（误删和加…
用 gitleaks 在提交前拦下密钥：在 push 之前堵住 API 密钥泄露
密钥无法『泄露后再删』。一旦被提交，密钥就会留在 Git 历史里，被 push 后就要按已泄露处理，吊销并轮换密钥。gitleaks 是一款免费工具，用正则和熵对整个仓库和提交历史进行扫描，检出 API 密钥、私钥和 token。防守的关键是两处检查：用 pre-commit 钩子…
多因素认证(MFA)如何正确选择：「抗钓鱼」是什么，SMS 为什么弱
MFA 组合不同类别的因素。手动输入的验证码可能被钓鱼中继，SMS 还依赖对手机号的控制。重要账户应优先考虑通行密钥或 FIDO2 安全密钥等抗钓鱼方式，并检查用户验证要求和恢复流程。
还在用 Windows 10 的人请注意：支持终止后的安全风险
通常版 Windows 10 Home/Pro 系列 22H2 已于 2025 年 10 月 14 日结束支持。2026 年 10 月 16 日核对的官方说明将个人 ESU 期限列为 2027 年 10 月 12 日，已登记者自动延续。请检查设备登记与更新状态、所在地区的条件，并优先迁移到持续更新的操作系统。LTS…
BitLocker 与「设备加密」的区别 —— 同一技术的完整版与自动·简易版
BitLocker 和设备加密用的是同一套加密引擎。设备加密＝Home 也能用的自动·简易版（用微软账户自动开启、恢复密钥也自动备份、设置项极少）。BitLocker＝Pro 及以上的完整版（启动 PIN、外接加密(To Go)、精细管理）。对个人而言，做到自动加密＋知道恢复密钥…
漏洞（CVE）处置实务：彻底修复，并持续监控复发
漏洞处置不是『修了』就完事。完成＝①扫描②修复③隔离/移交④监控四点齐备才算数。尤其在加上监控（每日变化检测）之前都算未完成——因为依赖明天又可能变得脆弱。修复内容哪怕100分，只要下一次部署就被覆盖，也等于0分。小团队靠自动变化检测和『local→push→de…
携带笔记本电脑外出时的安全防护 — 应对失窃、丢失与窥屏
携带笔记本外出的前提是『总有一天会丢、会被偷』。主要的防护是做好设置，让设备即使丢了内容也不泄露：磁盘加密（BitLocker/FileVault）、强登录+短自动锁定、远程锁定/位置追踪。随着HTTPS普及，公共Wi-Fi被窃听的风险下降，真正的威胁是伪AP、窥屏、离座…
osv-scanner 的安装与使用：自动找出依赖包里的 CVE
osv-scanner 是一款免费工具，扫描锁文件或容器以排查依赖中的 CVE。本文把安装、运行、CI 集成做成步骤，并理清它与 npm/pnpm audit、Dependabot 的取舍。本站的观点：哪个工具合适，取决于你的架构。多语言混用或不依赖 GitHub 就用 osv-scanner，单一 npm…
密码管理器安全吗？工作原理与云端、本地的区别，以及如何选择
密码管理器帮助你为每项服务使用强且不重复的密码。零知识加密旨在提供方泄露加密数据时保护内容，但安全性还取决于主密码强度、加密设置和设备安全。通过 MFA 防止未经授权的登录，并按用途选择云端型或本地型。
公共Wi-Fi的危险：比起窃听，更要注意假接入点和证书警告
公共Wi-Fi的『窃听』在HTTPS普及后大多已被加密，优先级下降。真正的风险是：①自己主动连上假AP（evil twin）②无视证书警告③把设备暴露在同一网络里。最有效的对策很简单：用手机热点、相信HTTPS和证书警告、不自动连接陌生SSID。VPN是其次的追加手段。
是否把密钥文件遗忘在了公开目录里：webroot 盘点
放进 webroot 的文件，任何人都能通过 URL 取走。令牌或认证凭据的 JSON、.env、备份一旦遗忘在那里，就会立即暴露；如果源自共用模板，所有站点都带着同一个文件。对策：公开目录只放可以公开的东西，密钥放在 webroot 之外并设为权限 600，一旦发现一处，就…
个人开发 / 小规模运营的安全底线：按优先级排列的行业标准对策
最低限度的对策并非『全都一样重』。本站的优先级 ＝ ①管理账户·域名·邮箱（多因素认证）②密钥与代码 ③应用本体 ④补丁 / 检测 / 恢复。资源有限的个人，按这个顺序从上往下填才是正解。多数事故并非新型攻击，而是这些基本对策的缺失造成的。
组织的安全底线：从 2026 年日本的真实事故倒推的 6 个优先事项
组织的“底线”应该由真实事故被突破的位置来决定，而不是产品清单。把 2026 年日本的事故排在一起，入口各不相同——VPN 设备、第三方软件、查询功能、未公开——但让损害扩大的原因可以归结为 6 个：①按期限封堵面向互联网的设备②收窄维护、外包、离职人员的账号③…
安全资产盘点：个人运维多台服务器时最易忽略的 7 项检查
个人运维多台服务器的事故，往往源于「没掌握的状态」而非「缺少防护」。要守的边界是放置密钥的电脑。2FA 按「哪个账号能恢复其他账号」排定优先级（邮箱最先），列出哪把 SSH 密钥能打开哪台服务器，并删除重复、未使用和残留的注册，明文密码从云端清除，…
自建 Git 服务器和 GitHub，从安全角度看哪个更安全
自建 Git 不是『变安全』，而是『转移风险』。误公开这一类事故确实会消失，但服务器补丁、备份、提交前密钥检测的责任会转移到你身上。能持续做好这些工作就是好选择，放任不管则比 GitHub 更危险。本站视角＝自建运营必须连同补偿性对策一起，否则无法成立…
安全使用手机的基础：保护集中了密码、支付和身份证的那一台设备
手机是把二要素、邮件、银行、身份证集中到一台设备上，一旦丢失就会影响许多服务（单点故障）。最有效的防护不是安全 app，而是①强锁屏＋短自动锁屏（密码就是加密的钥匙）②OS／app 自动更新 ③官方商店＋权限复查 ④事先设好丢失时的远程锁定／擦除 ⑤二要素的…
SSH 密钥的最小权限：别把生产的 root 密钥放进可能被入侵的临时环境
从可能被入侵的临时环境（GPU pod、CI runner、一次性 VM）向生产登记 root 密钥，那个环境一旦被入侵，攻击者就能拿到生产的 root 权限。对策：不在临时环境放 root 密钥；不用了就删掉；再次需要时，用非 root 用户加上把密钥限定为一个操作的 command 限制…
把密码存到 Google Drive 安全吗？正确的保管方法
把密码以明文形式保存在 Google 文档/电子表格里很危险：一个 Google 账号会成为全部密码的单点故障，账号被盗、恶意关联应用、钓鱼都能让全部密码一次性泄露。最安全的选择是专用密码管理器（即使同步，内容也保持加密）。如果非要用 Drive，就只放加密过的…
OpenAI 账户被封的原因与应对——被盗的 API key 为何会被判定为「蒸馏」违规
被盗的 API key 一旦被用于『蒸馏』滥用，连受害者的账户都可能被自动冻结。本文隐去具体个案信息，梳理其机制、预防与申诉路径。
X-Forwarded-For（XFF）伪造是什么：信任代理的配置错误与防御
XFF 是客户端可以伪造的头。在伪造 XFF 里放入注入探测的无差别扫描是典型手法，而『信任全部代理（通配符）』的配置会让它通过。短期处理＝在边界对 IP 头做净化，根本对策＝只信任合适的代理（或一个都不信任）。即便没有实际损害，也有该修复的配置。
AI 写的代码泄露了 API key 并被盗刷：原因是未打补丁的 CVSS 10.0 漏洞
账单暴涨只是症状。原因是公开已久、却一直没打补丁的 CVSS 10.0 RCE。本文把一个匿名化的案例提炼成防御的教训。
安全超入门：.env 和 API key 到底危险在哪、又该怎么守
第一步。先理解 .env 和 API key 泄露后会发生什么（别人以你的身份使用服务，费用记在你的账上），再从今天起做好这 4 件事：『不公开、不提交、泄露就全部更换、定期自查』。
Laravel 的 .env 可被公开读取的案例：共享虚拟主机上的部署位置错误与修复方法
根本原因是『把应用本体放到了 public_html 目录正下方』。本该只暴露 public/。按临时用 .htaccess 拦截→密钥轮换→结构改造三个阶段修复，并用机制防止再次发生。
安全运维 Next.js：建立不在已公开CVE上掉队的机制
框架的最大风险是放任已公开的CVE。以实际运行的版本判定，用 Dependabot/osv-scanner 自动监控，尽快更新，并以最小权限运行，这四项做法是防守的关键。本站的看法：个人开发者通常缺的不是知识，而是让运维持续下去的方法；不漏看CVE的机制比速度更重要。
在虚拟主机上避免 .env 被公开的目录布局与配置
核心是『把应用主体放在 docroot 之外，只公开 public/』。先用 .htaccess 拦截访问，再通过结构改造实现长期防护，最后自我检查。本站的看法：这不是个人的疏忽，而是危险的目录布局在行业里成了标准，所以要靠机制而不是注意力来防御。bootstrap-redirect…