信息技术日报 · 2026 年 10 月 17 日 · 星期六
ITHOT
中国关联黑客利用BeyondTrust零日漏洞接管远程支持服务器
中国关联组织Armory Castle在2026年8月利用BeyondTrust Remote Support零日漏洞CVE-2026-102764,接管了至少一台自托管设备。
- BeyondTrust 修复自8月底遭零日利用的 Remote Support 漏洞BleepingComputer
- CISA敦促修补BeyondTrust Remote Support关键身份验证绕过漏洞CISA Cybersecurity Advisories
产品与发布
Open WebUI v0.12.3 发布,加入端到端加密聊天并改进协作功能
Open WebUI v0.12.3 新增临时端到端加密聊天,并改进 Redis 流式回复、共享聊天、文件夹访问、工作区搜索和文档预览。该版本还修复 OAuth 刷新、PDF 导出、频道线程、模型工具及共享权限等问题,并更新多种语言翻译。
苹果 iPhone Duo 开放预购,256GB 版售价 1,999 美元起
苹果折叠屏 iPhone Duo 现已开放预购,256GB 版本售价 1,999 美元,计划于 10 月 23 日发布。该机配备 5.4 英寸外屏和 7.6 英寸 Super Retina XDR 内屏,搭载 A20 Pro 芯片;Apple Pencil 支持将在今年晚些时候推出。
gopls 引入由 LSP 提案支持的交互式重构
gopls v0.24.0 与官方 Go extension for VS Code v0.56.0 已提供交互式重构的工作支持,可通过多步对话框收集参数后执行代码转换。文章介绍结构体标签增删、接口方法生成等功能,并说明跨文件和包移动声明的实现预览,以及仍在推进的 LSP Interactive Code Actions 提案。
NVIDIA与AI4Bharat等将发布2.8万亿token印度语预训练语料及开放生成流程
NVIDIA与IIT Madras、AI4Bharat等将发布约2.8万亿token的Nemotron-pretraining-Indic-v1,并开放用于生成该语料的GPU加速流程。
Apple称iPhone Duo需求“非凡”,订单交付时间推迟至2027年
Apple表示iPhone Duo需求“非凡”,并正努力尽快将产品交付给客户。预售开放后,交付日期从10月23日推迟至11月,随后预计延至1月25日,目前无法订购2026年内交付的机型。售价为1,999美元起、最高3,199美元;Apple尚未说明10月23日是否会有到店购买库存,但网站提示10月24日查看门店取货供应情况。
更新与维护
Transformers v5.20.1 发布并修复多项兼容性问题
Hugging Face Transformers 发布 v5.20.1,加入 Reflection AI 的新模型 Beam,面向编码和 agentic 场景,强调 token 效率、frontier-scale 以及在自有硬件、基础设施或云端运行和定制的需求。
- Reflection 发布 Beam:可自行部署与定制的 501B 开源 MoE 模型Hugging Face Blog
实践与教程
超级智能训练与评估中的事件准备与响应关键实践
NIST、NSA超级智能安全中心和CISA发布超级智能训练与评估事件准备及响应关键实践,提出十项自愿性核心做法。该文件面向部署前等高风险超级智能代理,涵盖限制访问、监控异常活动、保全证据、停止非预期行为、从已验证基线重建,以及向相关政府机构和受影响方报告事件与未遂事件。
组织与行业
商务部、科技部拟修订《中国禁止出口限制出口技术目录》并公开征求意见
商务部、科技部拟修订《中国禁止出口限制出口技术目录》,公开征求意见拟增列人工智能、生物医药和光伏三个领域的40项关键技术,其中拟禁止出口14项、限制出口26项。
- 中国拟收紧23项AI技术的出口管制并设立快速许可机制The Decoder
BIPM决定提前停止使用闰秒
国际计量局(BIPM)投票决定提前停止使用闰秒,计划于明年5月20日世界计量日生效。此举因地球自转变化可能要求从时间标准中减去时间,相关基础设施此前曾因闰秒发生故障;时间维护者将改用“闰小时”,预计约3,000年后才需要增加整整一小时。
技术研究与历史
国际计量局通过决议,以闰时取代闰秒
国际计量局多数成员国投票通过决议,将以闰时取代闰秒,取消闰秒的举措定于2027年5月20日生效。根据决议,当TAI与UT的时刻相差3600秒(即1小时)时进行调整,而不再处理频繁的闰秒变更。
攻击者篡改 AOMEI Backupper 更新服务器投放后门
攻击者在2026年5月至7月间多次篡改 AOMEI Backupper 官方更新服务器上的文件,利用5至10分钟的更新窗口诱使运行中的 Windows 客户端下载并执行后门。AOMEI 已采取服务器侧修复措施,但这不会清除已受影响设备上的恶意程序;研究人员建议检查计划任务、相关文件、网络日志,并阻断外部 WebDAV、SMB 及报告中的攻击基础设施。
快讯
- CERT-In警告AI代理测试期间越权访问印度组织敏感数据The Hacker News
- Citizen Labs披露通过定向广告零点击投放Candiru间谍软件BleepingComputer
- 用 Python 迭代器和生成器构建内存高效的数据处理管线Machine Learning Mastery
- BlockStrap漏洞可能允许攻击者在Magento服务器执行任意PHP代码BleepingComputer
- Anthropic 报告:AI 工时达人类员工 6 倍,人均雇员创收为 Meta 和谷歌同期 2 至 4 倍IT之家
- 研究人员演示链式利用37年历史的OpenBSD共享内存漏洞获取root权限The Hacker News
- Junie Local 登陆 NVIDIA RTX Spark,Windows 支持转为稳定JetBrains Blog
- CISA 将两项已证实利用的漏洞加入 KEV 目录CISA Cybersecurity Advisories
- Nvidia RTX Spark 笔记本使用一周:五款设备实测体验The Verge跟进
- GitLab 正式提供 Code Review Flow 智能体代码审查GitLab Blog