AI 日报 · 2026 年 10 月 13 日 · 星期二
ITHOT
Bricksforge漏洞已被利用实施未授权RCE
WordPress插件Bricksforge的CVE-2026-85097漏洞CVSS评分为10.0，攻击者已被发现利用其实现未授权任意PHP代码执行，影响3.1.8.9及更早版本，3.1.8.10已发布修复。GitLab、SonicWall和Docker也分别发布安全补丁或修复漏洞。
产品与发布
NVIDIA在OCP Global Summit开放Vera Rubin架构并推进开放AI基础设施标准
NVIDIA在OCP Global Summit宣布向Open Compute Project贡献Vera Rubin机架与计算托盘设计，并推出MGX 1.2及DSX AI Factory的新开源软件组件。NVIDIA还与合作伙伴发布AI工厂和电网韧性规范，推进800VDC设计、Spectrum-6网络、USFP及Falcon Transport等方案。
Ubuntu Blog一手Ubuntu 发布 Myna 本地语音转文字技术预览
Ubuntu 将 Myna 作为技术预览向社区开放，可通过快捷键将语音直接转写到当前应用。它支持 Ubuntu 24.04 LTS、26.04 LTS 和 26.10，兼容 amd64、amd64v3 与 GNOME Wayland；模型下载后转写无需联网，音频不会上传或存储。Myna 支持 Parakeet、Whisper 和 FunASR 等引擎，但目前专注于听写，不是语音助手。
更新与维护
GitLab 发布 19.4.2、19.3.4 和 19.2.8 关键安全补丁
GitLab 于 2026 年 10 月 12 日发布 Community Edition 19.4.2、19.3.4 和 19.2.8，修复多项程序错误与安全问题，并建议所有自托管安装立即升级。
The Hacker News攻击者利用Bricksforge CVSS 10.0漏洞实施未授权RCE
Patchstack称，攻击者正在利用WordPress插件Bricksforge的CVE-2026-85097漏洞，实现未授权任意PHP代码执行；该漏洞CVSS评分为10.0，影响3.1.8.9及更早版本，3.1.8.10已发布修复。文章建议站点所有者更新至最新版本4.0.1，并审计相关接口、临时上传目录、隐藏管理员和must-use插件目录；更新不能清除已有感染。
The Hacker NewsSonicWall SMA 1000关键漏洞补丁发布后出现135次利用尝试
威胁行为者在SonicWall SMA 1000关键漏洞公开数日后发起利用尝试，SonicWall已发布修复补丁。Previdian数据显示，截至2026年10月8日已发现来自美国两个独立IP地址的135次尝试；该漏洞CVSS评分为10.0，补丁版本为12.4.3-03670和12.5.0-03082。
Docker Blog一手Docker Hub修复账号转换为组织时转移个人访问令牌的漏洞
Docker确认，Docker Hub在个人账号转换为组织时会将个人访问令牌（PAT）转移给新组织所有者，攻击者可能借此以目标用户权限操作仓库；漏洞编号为CVE-2026-105445。Docker已部署修复，调查约304,000次相关推送后未发现被利用证据，并于10月2日通知可能受影响者、10月8日停用相关令牌。
BleepingComputerLedger确认经销商销售的部分硬件钱包被植入恶意硬件
Ledger确认，经由东南亚经销商CryptoBilis销售的部分设备被篡改，其中一台受影响设备含有未授权的硬件植入物；目前没有迹象表明其他经销商也在销售受污染设备。Ledger建议尚未设置设备的用户不要继续设置，已完成设置的用户考虑将资产转移至新的Ledger signer和种子词；其“Genuine Check”在原Secure Element完好时无法检测额外植入物。
SecurityWeekLet’s Encrypt计划在2027年将默认证书有效期缩短至64天
Let’s Encrypt宣布，2027年2月10日后新签发或续期的证书默认有效期将缩短至64天，为2028年计划采用的45天有效期做准备；最后一个90天证书预计于2027年5月11日过期。该机构建议客户本周在 staging environment 中测试续期流程，并将于2028年把授权复用周期进一步缩短至7小时。
The Hacker NewsLedger发现CryptoBilis销售的部分硬件钱包含有未授权硬件植入物
Ledger暂停通过CryptoBilis销售硬件钱包，并调查与该经销商售出设备相关的资金损失报告。Ledger称，受影响设备数量“有限”，其中一台设备含有未授权硬件植入物；据化名区块链调查者Specter称，损失总额超过8600万美元。Ledger建议近90天通过该经销商购买的用户不要继续设置尚未设置的设备，已完成设置者考虑将资产转移至配有新种子短语的新Ledger signer。
使用 Transformers 在 Logpush 导出前过滤、重塑和脱敏日志
Cloudflare 已面向所有自助计划正式提供 Transformers，可在 Logpush 导出前通过 SQL 过滤记录、脱敏数据及增删、重命名或嵌套字段。
实践与教程
XDA DevelopersUSB4 NVMe硬盘降速时检查并启用BIOS中的PCIe Tunneling
作者在ASUS TUF Gaming X870-Plus WiFi上发现，关闭BIOS中的PCIe Tunneling会让Satechi USB4 NVMe SSD Pro退回USB 3.2模式，顺序读取仅1,013 MB/s、写入978 MB/s。
评测与选型
CNX SoftwarePlugMate 与 PlugClaw 评测：可选 Ubuntu/OpenClaw 支持的拇指大小 Android 私人电脑
TrustKernel 的 PlugMate 和 PlugClaw 是拇指大小的独立 Android 电脑，可通过 USB-C 连接手机、平板或电脑并借用其屏幕、键鼠和网络；PlugClaw 还在 Ubuntu VM 中运行 OpenClaw。
组织与行业
The Hacker NewsCyberXero利用Claude Code发动入侵，窃取逾62.8万条乌克兰个人记录
SOCRadar披露，Russian-speaking financially motivated initial access broker CyberXero至少自2026年7月起，利用Claude Code编排攻击，针对乌克兰WordPress、电商平台及关键基础设施，已确认窃取四家乌克兰组织逾62.8万条个人记录。
Digital Trends黑客攻击法国超市联网冷藏设备，导致数百台冰箱升温
黑客入侵法国多家超市的联网冷藏系统，将数百台设备加热至超过120华氏度（50摄氏度），造成食品变质和部分门店数十万美元损失。Cooperative U、Netto及Carrefour、E.Leclerc和Monoprix旗下门店受到影响，执法部门已展开调查，但目前没有攻击者认领。