AI 日报 · 2026 年 10 月 16 日 · 星期五
ITHOT
PAN-OS认证远程代码执行漏洞已被利用
Palo Alto Networks修复PAN-OS管理界面高危漏洞，CVSS达8.6，相关防火墙与Panorama正受攻击。Next.js同日修复两项9.5级RCE，NGINX也发布五项漏洞修复。
产品与发布
GitLab 19.5 发布：扩展 MCP、GitLab Duo 与 DevOps 能力
GitLab 19.5 于 2026 年 10 月 15 日发布，主要更新涉及 GitLab MCP server、GitLab Duo CLI、Secrets Manager、漏洞管理和 CI/CD。
Ubuntu Blog一手Canonical 发布 Ubuntu 26.10 Stonking Stingray
Canonical 发布 Ubuntu 26.10 Stonking Stingray 临时版本，并提供下载安装。
Hugging Face Transformers一手Hugging Face Transformers v5.20.0 发布
Hugging Face Transformers v5.20.0 发布，新增 Muse Spark Open、Ling 3.0 Flash、Kolibri 1、MiniCPM-V 4.7、UnlimitedOcr、UltraBERT 和 MOSS-Transcribe-Diarize 0.9B 等模型支持。
Apertus 1.5 发布：扩展8B与70B模型的多模态能力和上下文窗口
Project Apertus 发布 Apertus 1.5 的8B与70B模型权重，加入图像和音频理解、可选思考模式，并将上下文窗口扩展至262,144 tokens。模型权重于2026年7月24日以 Apache 2.0 许可证发布；技术报告还记录了训练数据、处理流程、消融实验、评测结果及中间检查点。
IT之家阶跃开放 Step 5 Preview 大模型权重
阶跃于 10 月 15 日开放 Step 5 Preview 权重，包括 BF16 与 FP8 模型权重、技术博客和配套开源开发工具。该模型采用稀疏 MoE 架构，总参数量为 600B、每 token 激活 27B，支持 100 万 token 上下文窗口，权重已上线 Hugging Face 和 ModelScope。
Black Forest Labs发布FLUX.3 Image Klein并接入Diffusers
Black Forest Labs发布FLUX.3 Image Klein，该模型已在Diffusers中提供文生图、多参考图生图和边界框布局控制功能。文章介绍基础模型与蒸馏检查点、NVFP4和FP8单文件权重、LoRA训练脚本及Modular Diffusers流水线，并给出安装、生成、编辑、量化和微调示例。
9to5LinuxLibreboot 26.10开源BIOS/UEFI固件发布，加入完整UEFI支持
Libreboot 26.10发布，新增完整UEFI支持以及Dell OptiPlex 5050 SFF、Supermicro X11SSH-F、ThinkPad X280和X270等设备支持。该版本默认在符合条件的Intel/AMD板上启用EDK2 payload，移除x86架构的U-Boot，并加入SMMSTORE、GRUB 2.16和EDK2 26.09.2等变更。
Meta 发布开放权重多模态 MoE 模型 Muse Spark Open
Meta 发布 Muse Spark Open，一款面向智能体编程的开放权重多模态 MoE 模型，支持文本、图像、音频和视频输入并生成文本。模型约 8160 亿参数，每个 token 激活约 420 亿参数，推理上下文窗口最高达 100 万 tokens。
更新与维护
The Hacker NewsNGINX 修复五项漏洞，包括可能导致远程代码执行和跳过客户端证书验证的问题
NGINX 于 10 月 14 日发布 1.30.6 和 1.31.7，修复五项漏洞，其中包括可能导致 worker 进程崩溃或代码执行的内存问题，以及可能绕过客户端证书验证的 TLS 伪造问题。五个问题分别需要特定配置才会暴露；截至 10 月 15 日，相关漏洞尚未被 CISA 列入已知被利用漏洞目录，NGINX 和 F5 也未报告攻击。
The Hacker NewsDrupal 修复 Field UI 核心漏洞及贡献模块无登录 RCE 路径
Drupal Security Team 为 Field UI 核心模块漏洞发布修复，受影响的是可经贡献模块触发的远程代码执行路径，核心本身不能单独触达。11.4.x、11.3.x 和 10.6.x 分别应升级至 11.4.10、11.3.19 和 10.6.19；暂时无法更新的站点可卸载 field_ui。Entity List 模块另有同条件漏洞，需单独更新至 3.0.10。
The Hacker NewsPalo Alto Networks发布PAN-OS认证远程代码执行漏洞安全更新
Palo Alto Networks发布安全更新，修复PAN-OS管理界面中的认证远程代码执行漏洞CVE-2026-0322；该漏洞CVSS评分为8.6，已被积极利用并影响PA-Series、VM-Series防火墙及Panorama。公司称利用该漏洞不需要特殊配置，可通过仅允许受信任内部IP访问管理界面来降低风险；文中列出了可用补丁版本。
The Hacker NewsNext.js发布紧急安全更新，修复缓存与SVG处理中的两个关键RCE漏洞
Next.js于October 14发布安全更新，修复两个CVSS 9.5的未授权远程代码执行漏洞和一个高危拒绝服务漏洞。16.x应升级至16.4.1，15.x应升级至15.5.28；使用15.x时需确认sharp至少为0.35.5，因为旧版仍可能被保留。use cache和Server Actions漏洞没有临时绕过方案，只能通过升级修复。
CISA Cybersecurity Advisories一手CISA发布Eclipse Milo安全漏洞公告，建议升级至1.1.5
CISA公告列出Eclipse Milo中6个漏洞，受影响版本包括0.6.0至1.1.4，部分漏洞可能导致未授权访问、凭据恢复、数据删除或服务不可用。Eclipse Foundation建议用户升级至Eclipse Milo 1.1.5；使用0.6.x版本的用户没有包含修复的0.6.x发行版，需迁移至1.1.5或更高版本。
BleepingComputer攻击者利用 Collabora 命令执行漏洞入侵 Nextcloud 服务器
攻击者正利用 Collabora Online 内置 CODE Server 的命令执行漏洞 CVE-2026-110447，在 Nextcloud 服务器中植入 PHP webshell。
The Hacker NewsAhsayCBS 修复两项漏洞，补充此前不完整补丁
Ahsay Backup 为 AhsayCBS 中已被利用、可串联绕过认证并执行任意命令的两项漏洞发布完整安全更新。修复版本为 AhsayCBS v10.3.4.45 hotfix 和 v9.15.2.70 hotfix，安装后需重启服务器；Huntress 已独立验证 v10.3.4.45 hotfix 可缓解该攻击链的初始入口。
The Hacker NewsLangflow关键认证RCE漏洞遭1423次蜜罐利用尝试
Previdian称，攻击者正利用Langflow一项CVSS 9.9的认证远程代码执行漏洞，在其蜜罐中自2026年9月19日以来记录到1,423次利用尝试。CVE-2026-105740影响1.9.0之前版本，已认证的普通用户可通过添加MCP服务器配置执行服务器命令；截至2026年10月15日，攻击活动仍在持续。文章建议升级至修复版本、禁用自动登录、强化密码并审查相关认证日志与请求。
实践与教程
Kubernetes Blog一手用 Headlamp 追踪 Kueue 准入，排查 Kubernetes Job 长时间 Pending
Headlamp 的 Kueue 插件可从 Workload 开始追踪 LocalQueue、ClusterQueue、ResourceFlavor 和 Cohort，定位 Job 未被准入的原因。0.1.0-alpha 版本提供 Kueue v1beta2 资源的只读视图；若 Workload 已准入但 Pod 仍 Pending，则应转查 Job、Pod 和调度器事件。
GitHub Blog一手GitHub 用 Evergreen 自动化共享组织的访问审查与仓库整理
GitHub 构建了 GitHub App Evergreen，通过季度工作流自动审查外部协作者权限，并标记、警告和归档长期无人类活动的仓库。
评测与选型
Windows CentralRTX Spark 实测：GPU 强劲，CPU 仅属尚可
RTX Spark 实测显示，NVIDIA 与 MediaTek 联合设计的 N1X SoC 以 Blackwell GPU 为主要优势，CPU 性能尚可但并非同级领先。
Tom’s HardwareTom’s Hardware 实测 NVIDIA RTX Spark 平台 Surface Laptop Ultra
Tom’s Hardware 实测了搭载 NVIDIA RTX Spark Superchip 的 Microsoft Surface Laptop Ultra。
JetBrains Blog一手Netflix通过JetBrains IDE代码智能提升AI编程代理效率
Netflix将JetBrains用于IntelliJ IDEA的无头Java代码智能接入Claude Code和Codex，并在真实代码库上评测。测试显示，代理通常节省20%–30%的token与时间，最佳情形约65%，正确性保持稳定或提升；具体收益取决于模型、代理和任务。
组织与行业
The Verge安全测试显示 Eiliko 机器人对话可被远程获取并篡改
Sean Hollister 实测发现，Eiliko 会将用户对话发送至中国服务器，相关数据可被检索，且机器人及其大语言模型可能被远程操控。报道记录了 68,000 台设备、1300 万段对话和 31,000 多个儿童档案的可访问风险；部分儿童照片和录音还存储在公开网址。作者称，Energize Lab 未认真回应其与相关人员的多次联系。
IT之家三部门联合调查尊界 V800 刹车踏板支架断裂问题
工信部、中央网信办和市场监管总局成立联合调查组，核查尊界 V800 刹车踏板支架断裂问题，并依法依规处理。此前懂车帝实测称，3 台车辆在 100km/h-0 紧急制动时踏板支架被踩断；有关情况将及时公布。
IT之家台积电2026年第三季度净利润达7630.6亿元新台币，同比增长68.7%
台积电发布截至2026年9月30日的第三季度业绩：合并收入14,942.4亿元新台币，同比增长50.9%；净利润7,630.6亿元新台币，同比增长68.7%。第三季度2nm、3nm、5nm和7nm分别占晶圆总收入的8%、33%、28%和10%，7nm及更先进技术合计占79%。
EngadgetFTC 就近期安全事件传唤 OpenAI 与 Anthropic
美国联邦贸易委员会（FTC）已就两家公司 AI 模型近期发生的安全事件，向 OpenAI 和 Anthropic 发出民事传票。调查涉及安全事件与保障措施文件、营销材料及隐私政策；FTC 计划寻求两家企业高管证词，并可能在之后向第三方 AI 公司发出调查要求。
NVIDIA加入AI in Science Enablers Initiative，扩展欧洲科研技术访问
NVIDIA加入欧盟今日在都柏林推出的AI in Science Enablers Initiative，承诺提供加速工具、模型、平台、算力、培训、技术支持及协作项目。该倡议连接RAISE框架；NVIDIA还公布超过250个开放模型、250个开放数据集和逾1,400个开源软件项目，并推动欧洲35台在建超级计算机服务逾300万名研究人员。
技术研究与历史
The Hacker NewsCitizen Lab追踪Al Jazeera遭Candiru经定向广告实施的零点击感染
Citizen Lab追踪发现，Candiru通过Discover-Tech定向在线广告感染了Al Jazeera设备，攻击无需用户点击或采取其他操作。至少45台设备在2024年和2025年遭到锁定，日志可识别从广告服务器、筛选服务器到命令与控制服务器的连接顺序。报道同时发布了相关指标，但强调广告出现在某网络中并不能证明该网络已遭感染。
Cisco Talos Blog一手Cisco Talos第三季度漏洞分析：发现不等于利用
Cisco Talos第三季度漏洞脉搏指出，季度CVE数量突破7万，但漏洞发现不等于利用。CVE同比增长105%，KEV增长37%，且33%的KEV对应2025年或更早的漏洞，显示补丁积压仍然突出。KEV新增forensicTriage字段，文章还披露UAT-6275针对独立国家联合体政府和关键基础设施的间谍活动。
Cloudflare与OpenAI公布AI网页发现研究试点早期结果
Cloudflare与OpenAI公布2026年7月启动的研究试点早期结果：约涉及Cloudflare网络总量的1%，已让OpenAI发现并索引数亿个此前未知的网页。
快讯
- Linux 内核 PwnEscape 漏洞可使虚拟机读取宿主机内存The Hacker News
- CISA披露J4Care dcm4chee-arc-light六项漏洞并建议升级至5.35.2或更高版本CISA Cybersecurity Advisories
- Chrome Stable 桌面渠道更新至 155.0.8059.84/.85Chrome Releases
- Silo 发布首个正式服务器版本并修复 Object Lock 高危漏洞小众软件
- CISA Malcolm 六个漏洞影响多个版本，修复版本已明确CISA Cybersecurity Advisories
- 小米澎湃 OS 4 首批正式版开启推送IT之家
- CISA披露Thermo Fisher Torrent Suite路径遍历漏洞并建议升级CISA Cybersecurity Advisories
- Cloudflare 为 Gateway 与 DLP 引入 Worker 可编程集成Cloudflare Blog
- psqlODBC 18.00.0005 发布，修复 CVE-2026-109448PostgreSQL News
- IntelliJ IDEA的Java and Kotlin for Cursor和VS Code扩展发布1.0JetBrains Blog
- GitLab Secrets Manager 正式可用：按代码权限治理密钥GitLab Blog
- Chrome 桌面版 Extended Stable 更新至 152.0.7977.169Chrome Releases