合并时间线

GHSA-6j9c-gvcw-74fj 发布。[3]

Google 内部报告 Skia 漏洞 CVE-2026-113341。[1]

GHSA-cw3h-xwxq-8cx2 发布。[2]

Xinyang Ge 报告第一个 Accessibility 漏洞 CVE-2026-113279。[1]

GHSA-r3c7-7xwm-6vfw 与 GHSA-wvx7-39qj-2g9v 发布。[4][5]

PingCAP 发现事件并开始作废凭据。[1][9]

GHSA-2489-32vh-8rrc 发布。[6]

补丁作者提交上游补丁。[5]

Tsirkin 编写上游修复提交。[3]

Go 发布 1.27.2 和 1.26.9 安全版本。[1]

Go 官方漏洞数据库发布对应条目。[2][3][4]

Xinyang Ge 借助 Claude 报告 Accessibility UAF CVE-2026-113271。[1]

维护者提交该补丁。[5]

Kicinski 提交该修复至 net.git。[3]

PingCAP 删除更多凭据，移除跨项目的过量权限。[1]

PingCAP 在受影响项目启用存储访问日志。[1]

外部团队报告四项漏洞。[1]

GitLab 发布 19.4.2 等版本，修复 CI/CD 正则编译器漏洞 CVE-2026-97229。[3]

仿冒域名 litellm.dev 注册。[3]

微软发布 10 月 .NET servicing 更新，包含 .NET 8.0.32、9.0.21 和 10.0.13。[1]

微软公开 CVE-2026-88092，CVSS 9.4。[3]

微软公开 CVE-2026-70188，CVSS 9.1。[6]

微软公开 CVE-2026-105016，CVSS 9.8。[4]

攻击者首次使用 Zeabur AWS 密钥。[2]

攻击者使用共享集群管理令牌。[2]

补丁进入 Linus 主线。[4][8]

Vercel 公布挑战结果。[6]

已识别凭据全部作废，四项漏洞修复。[1]

F5 发布 CVE-2026-97205 公告。[3]

修复合入 Linus 主线。[5][12]

HeroDevs 发布对两项 Kestrel 漏洞的技术分析，并称其影响已停止支持的 .NET 6。[7]

攻击者读取共享集群服务设置及密钥。[2]

CVE.org 发布该 CVE。[1]

OpenAI Codex Security 报告 WebRTC 漏洞 CVE-2026-113303。[1]

Linux 6.1.190 发布并含稳定回移。[8]

Linux CNA 发布 CVE-2026-99999。[1]

官方称在用户报告后开始调查。[2]

官方移除了攻击者加入内部网络的节点。[2]

oss-security 公开邮件列出该漏洞。[8]

AlmaLinux 发布测试内核公告。[7]

AlmaLinux 将修复内核放入 testing。[12]

创办人宣布逐步停止运营。[1]

研究员向四个根计划及 eMudhra 报告。[2][9]

Chrome 收到研究员的私钥泄露报告。[2]

Chrome 收到私钥泄露报告。[1]

Chrome 下发 TLS CA 的 CRLSet 阻断。[1]

Chrome 完成复核并发布 CRLSet 封锁。[2]

Chrome 下发 CRLSet 的 SPKI 封禁。[1]

Mozilla 收到并确认报告。[1][2]

Mozilla 收到同一报告。[3]

Mozilla 独立恢复这些私钥。[2]

Firefox OneCRL 覆盖标准配置用户。[1]

Mozilla 完成 OneCRL 分发。[3]

攻击者创建用于远程加载的 GitHub 仓库。[3]

eMudhra 逐张撤销 8 个 CA。[2][10]

eMudhra 吊销原始 EM DV TLS CA - G3B 证书。[4]

eMudhra 撤销 8 个原始中间 CA。[2]

Sectigo 交叉签名链完成撤销。[10]

Sectigo 撤销已列出的交叉签名证书。[9]

Sectigo 吊销对应交叉签名证书。[4]

CVE.org 更新记录。[1]

PingCAP 发布英文事故报告。[1]

SOCRadar 观察到泄漏站条目。[5]

Apple 设备开始阻断，机制未公开。[8]

Go 发布 1.27.3，修复 crypto/x509 问题，与本文网络沙箱范围无关。[6]

webpki-roots 1.0.10 发布至 crates.io。[6]

certifi 2026.10.19 发布标签建立。[13]

Go 发布 1.27.3 与 1.26.10。[11]

PingCAP 发布客户处置指引。[8]

BreachSense 记录该泄漏主张。[6]

BleepingComputer 报道 321,810 个账户及约 320 万条环境变量记录。[4]

Mozilla 公开事件并发布 Firefox 更新。[1]

Microsoft 平台开始通过自动 CTL 阻断。[8][14]

Mozilla 发布 Firefox 158.0.1 和 NSS 3.131.1。[3][14]

Go 发布 1.27.3 和 1.26.10 安全更新。[5]

Certifi GHSA 发布。[7]

Go 发布 1.26.10 与 1.27.3。[14]

Google 发布 Chrome for Android 156.0.8078.47。[2]

Bitget 的谢家印称 Bitget 没有用户数据泄漏。[12]

PHP团队预告次日安全发布。[5]

Google 发布 Chrome 156 桌面稳定版，修复 353 个安全问题。[1]

Go CNA 发布 CVE-2026-111943。[4]

InfoQ 汇总官方和攻击者的说法。[10]

Hackmanac 转述日本官网公告，日本最多约 5 万件个人信息。[11][9]

GitHub 分支保护拒绝了对私有发布工作流的未授权修改。[1]

攻击者用特权开发者令牌绕过保护，强推工作流修改。[1]

Node.js 发布 24.22.1 LTS。[6]

修改后的工作流从 Berri-AI/litellm 开始预发布构建。[1]

第二个开发者令牌通过生产发布审批。[1]

7 个恶意 wheel 开始上传到 PyPI，11:40:13 完成。[1]

恶意 Docker 镜像发布。[1]

第三个开发者令牌删除工作流运行记录。[1]

Dark Reading 发表分析文章。[7]

加拿大网络安全中心发布警报，说明有PoC但未发现活跃利用。[4]

CERT-EU发布公告，并称PoC已开始流传。[2]

NVD 收录 CVE-2026-111943，未给 CVSS。[12]

Firefox Android 发布 158.0.2。[15]

Node.js 官方公告安全更新，列出 TLS 与 Brotli 漏洞。[1]

Node.js 发布 22.23.4、24.22.1、26.12.1。[2][3][4]

GitLab 发布 7 个版本的紧急补丁，修复 CVE-2026-110264。[1]

SecurityOnline 汇总 6 个 Critical 漏洞，并称没有在野利用。[3]

用户在 GitHub 报告该问题。[3]

PyPI 已移除 1.107.0。[1]

CERT-EU记载PHP发布修复版本。[2]

PHP发布PHP 8.3.36公告。[6]

CISA KEV 目录未含该 CVE。[10]

所有受影响的 Docker Hub 标签被删除或改指向干净镜像。[1]

CISA KEV 目录快照未含此 CVE。[7]

@Manjusaka_Lee 发布本段子，北京时间为 10-22 00:42。

LiteLLM 更新公告，称已识别攻击链。[1]

论坛用户报告升级后仍被提示更新，随后有人确认版本检查标志被弄反。[2]

用户提供的 Telegram 频道截图提醒升级 GitLab 和 Chrome。