把散落的漏洞情报，收成一条时间线
10月6日周二
10月5日周一
DSA-6546-1 rails - security update
https://security-tracker.debian.org/tracker/DSA-6546-1
DSA-6547-1 ruby-jwt - security update
https://security-tracker.debian.org/tracker/DSA-6547-1
DSA-6548-1 node-shell-quote - security update
https://security-tracker.debian.org/tracker/DSA-6548-1
CVE-2026-39821：Go idna 纯 ASCII 标签解码漏报
一个 xn-- 前缀加一个尾 -，黑名单里的域名就能原样通过校验；ToUnicode("xn--example-.com") 解码出 example.com 却不带错误。
10月4日周日
Vulnérabilité dans GitLab (05 octobre 2026)
Une vulnérabilité a été découverte dans GitLab. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance.
Multiples vulnérabilités dans Zabbix (05 octobre 2026)
De multiples vulnérabilités ont été découvertes dans Zabbix. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, une atteinte à la confidentialité des données et une atteinte à l'intégrité des données.
Multiples vulnérabilités dans OpenOffice (05 octobre 2026)
De multiples vulnérabilités ont été découvertes dans OpenOffice. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance.
Multiples vulnérabilités dans Google Chrome (05 octobre 2026)
De multiples vulnérabilités ont été découvertes dans Google Chrome. Elles permettent à un attaquant de provoquer un problème de sécurité non spécifié par l'éditeur.
Vulnérabilité dans Microsoft Exchange Server (05 octobre 2026)
Une vulnérabilité a été découverte dans Microsoft Exchange Server. Elle permet à un attaquant de provoquer une élévation de privilèges.
AI 智能体框架序列化注入漏洞：原理分析与靶场复现
序列化注入（Serialization Injection）是智能体框架中的一类新型漏洞：攻击者通过提示注入让恶意结构进入智能体状态，框架在持久化与恢复状态时用自身序列化器处理这些数据，反序列化器将携带特定标记的攻击者数据当作受信任的框架对象还原，从而实现任意代码执行、密钥窃取与任意类实例化。本文以 LangGraph 的 CVE-2025-64439（CVSS 9.8）与 LangChain C
10月3日周六
10月2日周五
记一次样本分析
样本的文件来源: https://bbs.360.cn/thread-16185961-1-1.html白加黑：白进程 360speedld.exe，黑 DLL somkernl.dll。黑 DLL 内部名是 proram_c_nocrt_agent_failover_dll.dll，构建标记 clash-silent-speedld-dll。导出故意对齐系统库 msimg32.dll（Alpha