2026 年 10 月重大資安公告：GitLab、PHP、Node.js 與憑證信任事件
整理 GitLab、PHP、Node.js、Ruby、Go 與 Oracle 的近期資安公告，以及 Fortinet 更新、eMudhra 憑證與 Zeabur 事件，附企業修補清單。
資料更新至 2026 年 10 月 26 日（台灣時間）。這一週的資安資訊同時包含產品漏洞、修補版本、憑證信任事件、協調揭露爭議與雲端平台入侵。它們的性質、首次公開日期與處置方式不同，不能只按 CVE 數量排列優先級。
本文整理近期重大 CVE 與相關安全事件，依原始公告說明影響範圍、修補方式及企業應優先採取的措施。
事件時間軸
日期採來源的公告日或事件日；Zeabur 事件時間為 UTC，並非台灣日期。表中「首次揭露」與「修補發布」也不應視為同義。
| 日期 | 來源／產品 | 事件性質 | CVE／公告 | 實務風險 | 來源 |
|---|---|---|---|---|---|
| 8/27 | Zeabur | 8 月入侵事件 | 非 CVE | 平台內儲存的機密可能外洩 | 8 月報告 |
| 10/12 | GitLab | 另一批修補發布 | CVE-2026-97229 | 特定條件下未驗證 RCE | GitLab |
| 10/13 | SAP | 10 月 Security Patch Day | CVE-2026-89111 等 | 四項 Critical 漏洞 | SAP |
| 10/14 | Cisco Secure Email Gateway | 漏洞公告 | CVE-2026-76519 | 官方確認已遭利用 | Cisco |
| 10/14 | NGINX | 安全版發布 | 五項 CVE | 依模組及組態判斷影響 | NGINX |
| 10/14–15 | Zeabur | 10 月入侵事件 | 非 CVE | 輪替憑證並查核紀錄 | 10 月初步報告 |
| 10/17 | eMudhra／emSign | 中繼 CA 私鑰風險獲通報 | 非單一 CVE | 信任鏈須更新 | Mozilla 事件追蹤 |
| 10/19 | Zeabur | 10 月事件初步報告發布 | 非 CVE | 輪替憑證、查核紀錄 | Zeabur |
| 10/20–21 | Python 生態 | 憑證信任更新 | GHSA／套件公告 | 舊版 CA bundle 仍可能信任問題憑證 | Python 公告 |
| 10/21 | GitLab | 緊急修補發布 | CVE-2026-110264 等 | 未驗證 RCE | GitLab |
| 10/21 | PHP | 安全版本發布 | CVE-2026-109618、CVE-2026-109619 | 未驗證 RCE | PHP |
| 10/21 | Node.js | 安全版本發布 | CVE-2026-111497 等 | Brotli RCE、TLS／DNS 驗證問題 | Node.js |
| 10/21 | Go | 標準函式庫公告 | CVE-2026-111943 | 特定環境的憑證驗證 | Go 漏洞資料庫 |
| 10/21 | Oracle Java | Security Alert 發布 | CVE-2026-91403 | JSSE 漏洞 | Oracle |
| 10/21–22 | Fortinet | 預告／協調安全更新 | 待 PSIRT 個別對應 | 網路設備須安排升級 | Fortinet |
| 10/21 | ZDI／Linux | Upcoming 列表更新 | ZDI-CAN，非 CVE | 盤點核心功能與修補狀態 | ZDI |
| 10/23 | Ruby | Onigmo 修補版發布 | 與四項 GitLab CVE 相關 | 檢查不可信正規表示式輸入 | Ruby |
| 10/23 | PHP | 特殊 session 組態的資訊公告 | CVE-2026-115560 | 暫行設定建議，完整公告待發布 | PHP |
已確認的重大 CVE
分數只列官方明示者；CVSS v3.1 與 v4.0 不直接比較。「未見官方確認」不等於已證明不存在利用。下表為本文重點的 11 個已確認 CVE，不是整週漏洞總數。SAP 四項 Critical 漏洞另列於下文；PHP 尚待完整公告的 CVE 與 NGINX 官方標為 medium 的五項也不計入此表。
| CVE | 產品／類型 | 官方分數 | 已知利用 | 修補狀態與優先級 |
|---|---|---|---|---|
| CVE-2026-110264 | GitLab 正規表示式編譯整數溢位，特定條件下未驗證 RCE | v3.1 10.0 | 未見官方確認 | 升至對應修補分支；最高 |
| CVE-2026-97229 | GitLab CI/CD 正規表示式編譯整數溢位，特定條件下未驗證 RCE | v3.1 10.0 | 未見官方確認 | 依 10/12 公告升級；最高 |
| CVE-2026-109618 | PHP 記憶體不足時的狀態損毀，可能 RCE | v4.0 9.2 | 未見官方確認 | 升至 8.5.12／8.4.27／8.3.36／8.2.35；最高 |
| CVE-2026-109619 | PHP 跨請求殘留狀態，可能 RCE | v4.0 9.2 | 未見官方確認 | 同上；最高 |
| CVE-2026-111497 | Node.js Brotli 解碼器越界寫入，可能 RCE | 官方標示 High，未列數字 | 未見官方確認 | 安裝所用分支的 10/21 安全版；高 |
| CVE-2026-105482 | Node.js DNS 名稱 NUL 截斷 | 官方標示 High，未列數字 | 未見官方確認 | 同上；高 |
| CVE-2026-105483 | Node.js 全形數字 IP 主機名的 TLS 驗證繞過 | 官方標示 High，未列數字 | 未見官方確認 | 同上；高 |
| CVE-2026-106069 | Node.js 非標準 IP 表示法的 TLS 驗證繞過 | 官方標示 High，未列數字 | 未見官方確認 | 同上；高 |
| CVE-2026-111943 | Go crypto/x509 對已不可信中繼憑證的驗證 | 未在引用公告核對分數 | 未見官方確認 | Go 1.26.10／1.27.3；高 |
| CVE-2026-91403 | Oracle Java SE／GraalVM JSSE | v3.1 9.1 | 未見官方確認 | 依 Oracle Security Alert 補丁文件；高 |
| CVE-2026-76519 | Cisco Secure Email Gateway AMP File Reputation 任意檔案寫入，可能以 root 執行命令 | v3.1 9.8 | Cisco 確認已遭利用 | 更新 Content Scanner Tools／AsyncOS 並調查設備；最高 |
GitLab：先確認版本，再查異常
GitLab 指出，CVE-2026-110264 在編譯特製正規表示式時可能整數溢位，特定條件下允許未登入者在伺服器執行程式碼。CE／EE 受影響範圍與分支界線依10/21 官方公告判定；可用修補版包括 18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3、19.5.1。自架站應備份並依部署方式升級，完成後檢視 GitLab 公布的偵測線索。
CVE-2026-97229 也已證實，只是刊在不同的 10/12 修補公告：影響 19.2 未達 19.2.8、19.3 未達 19.3.5、19.4 未達 19.4.2，CVSS v3.1 10.0。兩次公告的日期與修補界線必須分開核對。
Ruby：Onigmo 的底層修補
Ruby 官方 10/23 公告指出，Ruby 4.0.9、3.4.12、3.3.13 已包含 Onigmo 正規表示式引擎的相關修補。GitLab 的 CVE-2026-89078、CVE-2026-93577、CVE-2026-97229、CVE-2026-110264 依賴其中的底層缺陷；這四個是 GitLab 公布的 CVE，不能再算成四個新 Ruby CVE。Ruby 4.0 分支的部分修正已在 4.0.0 或 4.0.8，4.0.9 才涵蓋這些修正的全部。
受影響前提是應用會把攻擊者控制的字串交給 Regexp.new、Regexp.compile 等機制編譯；僅使用程式開發者寫死的正規表示式不屬於這個前提。Regexp.timeout 和單純限制模式長度不能可靠阻擋這些記憶體問題。自行使用 Ruby 的服務應升級執行環境並重新部署；GitLab 使用者仍應按 GitLab 自身的修補公告升級。
PHP：更新執行環境與映像
PHP 官方將 CVE-2026-109618 與 CVE-2026-109619 列為可導致未驗證 RCE 的兩個問題，並發布 8.5.12、8.4.27、8.3.36、8.2.35。前者涉及記憶體不足時部分初始化的請求資料；後者涉及釋放記憶體後仍殘留的請求狀態。官方公告指出所有提供 Web 請求的 PHP 安裝都應處理，mod_php 風險尤其值得優先評估。盤點 PHP-FPM、Apache 模組、容器基底映像與發行版回補套件；更新後重建映像、重啟工作程序並核對執行中的實際版本。
PHP 在 10/23 資訊公告另預告 CVE-2026-115560：它需要應用程式先設定 session.serialize_handler 為 php_binary 或 php_serialize，再於執行時切換為 php，且仍啟用 session upload progress。官方建議符合條件的環境暫設 session.upload_progress.enabled=0，完整 advisory 將隨下一次例行版本發布。不要把它寫成 10/21 兩個 Critical 漏洞之一，或宣稱已有相同的修補版本。
Node.js 與 Java：分開處理
Node.js 10/21 公告同時涵蓋 Brotli、DNS、TLS 漏洞與 CA 憑證更新。Brotli 越界寫入是獨立產品漏洞；TLS 主機名問題也是獨立 CVE；CA 信任更新則與 eMudhra 事件有關。應依執行中的 22.x、24.x、26.x 分支取得安全版，重新建置含 Node runtime 的映像，檢查反向代理是否把不受信任的壓縮資料交由服務解碼。
Oracle 的 CVE-2026-91403 Security Alert涉及 Java SE／GraalVM 的 JSSE，CVSS v3.1 為 9.1，官方列出受影響版本及補丁入口。目前沒有官方資料支持它由 eMudhra 事件引起。請把 JVM 修補與 CA 信任庫更新視為兩項檢查工作。
Cisco、SAP 與 NGINX：按部署條件判斷
Cisco Secure Email Gateway：已確認遭利用
Cisco 10/14 公告指出，CVE-2026-76519（CVSS v3.1 9.8）在啟用 AMP File Reputation 且 Content Scanner Tools 版本早於 25.3.0.5525 時，可能讓未驗證攻擊者藉由特製郵件附件任意寫入檔案，進而以 root 權限執行命令。Cisco PSIRT 已確認實際利用。應優先更新 Content Scanner Tools 至 25.3.0.5525 以上，或依公告升級至適用的 AsyncOS 修正版，並檢查設備是否有入侵跡象。若懷疑已遭入侵，先保全鑑識資料，再按 Cisco 的實體／虛擬設備應變指引處理；不能只靠一般版本升級判定設備已乾淨。
SAP：10/13 的獨立修補日
SAP 10 月 Security Patch Day列出四項 Critical：Cloud SDK for Python 的 CVE-2026-89111（OAuth2 SSRF、SAP 標示 10.0，受影響版本低於 0.45.2）、NetWeaver Visual Composer 的 CVE-2026-89110（存取控制、9.9）、S/4HANA 的 CVE-2026-89107（程式碼注入、9.9），以及 Manufacturing Integration and Intelligence 的 CVE-2026-89108（授權檢查缺失、9.1）。這是 10/13 的公告，並非與 10/21 的 GitLab／PHP 修補同日首次公開。依實際產品和 SAP Security Note 查適用補丁；這裡不跨 CVSS 版本直接排名。
NGINX：五項官方標為 medium 的問題
NGINX 10/14 發行紀錄與安全公告清單列出 CVE-2026-15176、CVE-2026-93479、CVE-2026-95101、CVE-2026-97629、CVE-2026-97205，對應 alias／rewrite、腳本求值、HTTP/3、TLS session ticket 與 AIO 等情境。官方將五項均標為 medium，修正版為 stable 1.30.6 與 mainline 1.31.7。先核對版本、啟用模組與組態；不要把社群流傳的「全部 9.2」當成官方分數。
Fortinet：更新公告不等於單一已確認 CVE
Fortinet 10/21 官方文章列出 FortiOS、FortiManager、FortiAnalyzer、FortiMail、FortiAuthenticator 的受影響分支與固定版本。例如 FortiOS 7.2.14、7.4.13、7.6.8、8.0.2 及 FortiMail 7.4.9、7.6.7、8.0.2 是各分支列出的最低修補版；實際升級仍須依設備型號及 Upgrade Path Tool 規劃。Fortinet 表示個別 PSIRT 公告預計 11/10 才公開，因此目前不能由版本表推導每項 CVE、CVSS 或已遭利用狀態。候選 FG-IR-26-175 與 FortiMail CVE-2026-104286 仍待 PSIRT 逐項對應。
管理員先匯出設定與版本清單，按設備實際版本查 Fortinet PSIRT 和 Upgrade Path Tool。FortiGate 90G 是硬體型號；是否受影響仍看 FortiOS 版本與啟用功能。優先限制 Internet 直接連到管理介面，使用受控管理網路與多因素驗證；HA 叢集先核對主備版本、相容性、設定備份及回復程序，再安排維護窗口。
ZDI 與 Linux Kernel：協調揭露狀態仍待核實
ZDI Upcoming 清單可看到 10/21 的 Linux 追蹤項目，包括 ZDI-CAN-33549、ZDI-CAN-34076。ZDI-CAN 是追蹤編號，不是 CVE，也不能由列表推論已公開完整利用方式或已遭入侵。社群所稱「提早寄到公開 LKML」的 Message-ID、收件人、私密回報路徑與維護者回應，本次沒有取得足以完整比對的原始郵件；不在此斷定揭露流程是否失當。
Linux mainline、stable 與發行版核心不一定在同日納入同一修補；發行版也可能回補而不改用最新主線版號。盤點 uname -r、發行版套件版本及相關功能是否啟用，再核對供應商公告。ksmbd 是核心內的 SMB 伺服器，與使用者空間的 Samba 不同；不能只憑系統裝有 Samba 就判定受某個 ksmbd 問題影響。
eMudhra／emSign：更新整條信任鏈
Mozilla 事件紀錄記載 10/17 接獲八張 eMudhra 中繼 CA 憑證私鑰遭掌握的通報及控制證明。Python 公告指出相關橢圓曲線私鑰數值異常弱。這是憑證金鑰與信任問題，不是已證實 CA 伺服器被入侵；也不能僅憑「私鑰可被掌握」推論已發生實際偽造簽章濫用。
TLS 驗證會從網站憑證走到中繼 CA，再到信任的根 CA。不同程式可能使用作業系統信任庫、內嵌 CA bundle，或自訂 trust store；單更新瀏覽器無法保證服務端程式也修好。關於憑證鏈，可參考本站根憑證與中繼憑證說明。
Python 生態的建議版本為 certifi 2026.10.19、pip 26.2.2、uv 0.13.4、sigstore 4.5.1、conda 26.9.4、pixi 0.82.1。尤其 pip 會使用其封裝的 certifi，僅修改作業系統信任庫可能不足。應同時檢查既有虛擬環境、容器映像、CI runner 及自訂 CA bundle。
Go 公告指出，部分平台情境下系統根憑證更新未必涵蓋應排除的中繼憑證，因此在 crypto/x509 增加拒絕清單，修補版為 1.26.10 與 1.27.3。以舊工具鏈建出的 Go 執行檔，應檢查是否需要重新編譯部署。Node.js 的 CA 更新則隨其安全版提供；這與 Brotli CVE 不能混為一談。
Zeabur：區分 8 月與 10 月調查
Zeabur 的8 月事件報告與10 月初步報告應分開閱讀。10 月報告確認攻擊者在 10/14–15 使用外洩的內部憑證，存取共享叢集、部分專用伺服器及平台資料庫。報告記載對 865 個資料庫服務執行命令，不是「865 個資料庫全數成功讀取」；另有 101 台 GCP Dedicated Servers 遭 root 登入。資料庫查詢回傳的內容與後續使用，仍受日誌缺口限制。
Zeabur 指出，8 月後未輪替的長效管理憑證與明文儲存擴大了 10 月事件影響；但「8 月外洩的 GitHub App 私鑰就是 10 月初始憑證來源」仍是其未證實假說。8 月文章與本站既有事件筆記可作背景，處置應以 Zeabur 最新公告為準。
對受影響團隊，先撤銷舊 API key、資料庫密碼、OAuth／雲端金鑰與簽章金鑰，再發新憑證並重新部署；檢查 GitHub、雲端、資料庫與帳單的稽核紀錄。只改 Zeabur 環境變數，不會同步改資料庫內的密碼。若無法從日誌排除讀取，就按可能外洩處理，但勿把每一筆查詢都寫成已確認資料外流。
企業修補優先順序
| 角色 | 先做的事 |
|---|---|
| SOC | 以廠商偵測線索與資產暴露面查異常；保全日誌及時間戳；分清 PoC、掃描與已確認利用。 |
| IT 管理員 | 盤點 GitLab、PHP、Ruby、JVM、Node、Go 版本；套用適用分支的官方修補並驗證實際執行版本。 |
| 網路工程師 | 限制 Fortinet 管理面；盤點 HA、設定備份與升級路徑；依 PSIRT 判斷設備適用性。 |
| 郵件系統管理員 | 先查 Cisco SEG 的 AMP File Reputation 和 Content Scanner Tools 版本；因已有利用，保全日誌並評估入侵。 |
| DevOps／SRE | 重建映像與 CI runner；更新 CA bundle；輪替機密並查部署、雲端與費用紀錄。 |
| 開發者 | 釐清應用是否處理不受信任的 Brotli／TLS 輸入，並測試升級後相容性。 |
| CISO／資安主管 | 以可達性、權限、業務重要度和可信利用證據排程；追蹤未核實情資，不以社群數字下結論。 |
安全的唯讀盤點指令可作為起點，但版本字串不能取代供應商回補資訊：
1
2
3
4
5
6
7
uname -r
php -v
node --version
ruby --version
python3 --version
go version
java -version
修補與應變檢查清單
- 記錄產品、分支、部署方式、對外暴露面與負責人。
- 從原始公告核對 CVE、CVSS 版本、受影響及修補版本。
- 備份設定與資料，確認回復方案，再升級 GitLab、PHP、Node 與相關 JVM。
- 檢查 Ruby 是否編譯不可信的正規表示式，並更新受影響的執行環境。
- 盤點 Cisco SEG 的相關功能與 Content Scanner Tools 版本；若疑似入侵先保存鑑識資料。
- 依 SAP Security Note 與 NGINX 官方公告核對產品、版本、模組及修補方式。
- 依 Fortinet PSIRT 與 Upgrade Path Tool 排定設備升級及 HA 驗證。
- 更新 Python 工具鏈、CA bundle、Go 工具鏈與相關容器映像。
- 對可能外洩的機密先撤銷舊值，再建立新值、重新部署並驗證。
- 保留稽核紀錄並檢查異常存取、部署變更與帳單。
- 將未核實的 ZDI／LKML 線索交由供應商公告持續追蹤。
結論
這批資訊至少涉及三種不同工作：修補可確認的產品 CVE、修正跨生態系的憑證信任，以及處理已發生的平台入侵。先以原始公告確認資產是否受影響，再安排升級與金鑰輪替，才能降低實際風險。
事實查核紀錄
查核日期：2026-10-26（台灣時間）。「未查到」只代表本次沒有足以支持特定敘述的原始公告，不能推論漏洞不存在。後續公告若補齊條件、版本或 CVSS，應再更新本文。
已驗證
| 項目 | 核對結果 | 原始來源 |
|---|---|---|
| GitLab CVE-2026-110264 | 10/21 修補；特定條件下未驗證 RCE；CVSS v3.1 10.0。同日其他 GitLab CVE 嚴重度不同。 | GitLab |
| GitLab CVE-2026-97229 | 10/12 獨立修補公告；特定條件下未驗證 RCE；CVSS v3.1 10.0。 | GitLab |
| Ruby Onigmo | 10/23 發布 4.0.9、3.4.12、3.3.13，涵蓋四項 GitLab CVE 所依賴的底層修正；不是另四項新 CVE。 | Ruby |
| Cisco SEG CVE-2026-76519 | 10/14 公告、CVSS v3.1 9.8，Cisco 確認已遭利用。 | Cisco |
| SAP 10 月修補 | 10/13 公布四項 Critical CVE；按產品及 Security Note 套用。 | SAP |
| NGINX 10/14 更新 | 五項 CVE，官方均列 medium，1.30.6／1.31.7 已修補。 | NGINX |
| PHP CVE-2026-115560 | 10/23 資訊公告；需特殊 session 組態，完整 advisory 尚待例行發行。 | PHP |
| PHP CVE-2026-109618、CVE-2026-109619 | 10/21 安全版；可導致未驗證 RCE；CVSS v4.0 9.2。 | PHP |
| Node.js CVE-2026-111497、CVE-2026-105482、CVE-2026-105483、CVE-2026-106069 | 10/21 公告列為 High；Brotli、DNS、TLS 是不同問題。 | Node.js |
| Go CVE-2026-111943 | crypto/x509 加入問題中繼憑證拒絕清單；Go 1.26.10、1.27.3 修補。 | Go |
| Oracle CVE-2026-91403 | 10/21 獨立 Security Alert；JSSE；CVSS v3.1 9.1。 | Oracle |
| Fortinet 協調更新 | 10/21 公告已列產品分支、受影響與固定版本；個別 PSIRT 條目預計 11/10 公布。 | Fortinet |
| eMudhra 中繼 CA | Mozilla 10/17 收到八張中繼 CA 私鑰的控制證明；Python 生態公告列出建議更新版本。 | Mozilla、Python |
| Zeabur 10 月事件 | 10/14–15 入侵；865 個資料庫服務曾被執行命令，101 台 GCP Dedicated Servers 遭 root 登入；部分範圍受日誌缺口限制。 | Zeabur |
待確認與暫不列入總表
| 線索 | 原因／後續查核入口 |
|---|---|
| GitLab CVE-2026-12664、13319、14288、15723、16255、103515、105711、105777、112212、112326、112378 | 均見 10/21 GitLab 公告，但嚴重度與原理不同；上方主表未將這 11 筆全部稱為 critical。 |
| Fortinet FG-IR-26-175、FortiMail CVE-2026-104286、CVSS 9.8、KEV | 尚未取得可逐項核對的 PSIRT 條目，因此不宣稱 CVE 對應、實際利用或 KEV 狀態；固定版本可查 Fortinet 10/21 文章。 |
| ZDI-CAN-33549、33774、34068、34076、33367、33887 與公開 LKML 郵件 | ZDI Upcoming可核到部分追蹤編號；元件、Message-ID、揭露流程、CVE 對應與核心修補仍待原始紀錄確認。 |
| eMudhra「6 TLS、2 程式碼簽章」、序號、指紋、實際濫用 | 尚未逐張核對憑證與各信任庫狀態，故不採用精確分配或濫用結論；以 Mozilla 紀錄追蹤。 |
| Zeabur 321,810 帳號、3,218,965 環境變數紀錄 | 未逐項核實數據定義，故不寫入正文。865 是被執行命令的資料庫服務數，不能寫成成功讀取 865 個資料庫。 |
| Zeabur 8 月 NextChat CVE-2026-7644、MCP、Legacy API Key 攻擊鏈 | 尚需逐步對照 8 月官方報告，不能串成已確認攻擊鏈。 |
| Dell、Microsoft、其他 Cisco／SAP 產品、Citrix、IBM、其他 NGINX、Linux KVM 候選 CVE | 尚未逐筆核對廠商公告、日期、CVSS 版本與修補版，故未列為同一波漏洞；已核對的 Cisco SEG、SAP 四項及 NGINX 五項見上文。 |
排除的錯誤合併
- CVE、GHSA、ZDI-CAN 與安全事件意義不同。GHSA 是公告代號；ZDI-CAN 是追蹤編號；Zeabur 入侵與 eMudhra 信任事件不等於新 CVE。
- Node.js Brotli RCE、TLS 主機名驗證問題及同批安全版中的 CA 更新分屬不同成因。
- Oracle JSSE CVE-2026-91403 與 eMudhra 憑證事件沒有已查證的直接因果關係。
- Fortinet 協調版本發布不等於所有列出的產品同時有一個已公開、已遭利用的 CVE。
- Zeabur 將「8 月私鑰導致 10 月初始憑證來源」列為假說，不得改寫成已證實事實。
- CVSS v3.1 與 v4.0 分數不直接混排；沒有官方分數時，保留官方定性或標記待確認。
若要把待確認項目移入主表，應保留原始廠商或 CVE 公告連結，記錄首次公開日、受影響及修補版本、分數與版本、利用狀態、KEV 查詢結果，以及查閱日期。新聞報導與社群截圖僅用來尋找原始來源。
參考資料
以下來源於 2026-10-26（台灣時間）重新查閱；公告後續可能更新。
- GitLab Critical Patch Release
- GitLab 10/12 修補公告與 Ruby Onigmo 修補說明
- PHP 2026-10-21 安全公告
- PHP 10/23 session upload progress 資訊公告
- Cisco Secure Email Gateway CVE-2026-76519、SAP 10 月 Security Patch Day、NGINX 安全公告
- Node.js 2026-10-21 Security Releases
- Go GO-2026-6809
- Oracle CVE-2026-91403 Security Alert
- Fortinet 協調安全更新公告與 PSIRT
- ZDI Upcoming Advisories
- Mozilla eMudhra 事件紀錄與 Python 使用者公告
- Zeabur 8 月事件與 10 月初步報告