研究者公布 Switch 2 系留式越狱方案
安全研究者 Sammy Hajhamid 于 10 月 18 日公布名为 ns2jb 的 Switch 2 系留式越狱方案，称其适用于当时最新的 23.0.1 固件，可运行普通系统模块权限下的原生代码，支持运行自制软件、修改游戏和备份存档。作者展示了修改《马力欧卡丁车 世界》的画面，并称该方案已在 Switch 2 上测试。
利用链结合了 Switch 1 游戏 SmileBASIC 中的整数溢出，以及 Switch 2 文件系统系统模块中的路径处理缓冲区溢出，最终获得文件系统读写能力并绕过程序加载时的校验流程，实现以普通系统模块权限执行代码。该方案需要通过外部流程触发，作者称目前仍属系留式越狱，后续工作包括移植利用方式及探索其他内置系统模块。
—— Sammy Hajhamid 个人博客
安全研究者 Sammy Hajhamid 于 10 月 18 日公布名为 ns2jb 的 Switch 2 系留式越狱方案，称其适用于当时最新的 23.0.1 固件，可运行普通系统模块权限下的原生代码，支持运行自制软件、修改游戏和备份存档。作者展示了修改《马力欧卡丁车 世界》的画面，并称该方案已在 Switch 2 上测试。
利用链结合了 Switch 1 游戏 SmileBASIC 中的整数溢出，以及 Switch 2 文件系统系统模块中的路径处理缓冲区溢出，最终获得文件系统读写能力并绕过程序加载时的校验流程，实现以普通系统模块权限执行代码。该方案需要通过外部流程触发，作者称目前仍属系留式越狱，后续工作包括移植利用方式及探索其他内置系统模块。
—— Sammy Hajhamid 个人博客
Trend Micro ZDI误将多项未修复Linux内核漏洞发至公开邮件列表
Trend Micro旗下Zero Day Initiative将多份尚未修复的Linux内核漏洞报告误发至公开Linux内核邮件列表，而非私有安全列表。披露内容包括两项CVSS 9.0远程代码执行漏洞，分别影响SMB Direct和内核内置SMB服务器KSMBD。
其中，SMB Direct漏洞源于整数下溢，修复补丁已在面向Linux 7.5的分支中准备。KSMBD漏洞涉及竞态条件，可能导致远程代码执行。其他披露问题还涉及网络代码本地提权、VMware图形驱动越界写入、NVMET未初始化资源导致的信息泄露，以及TCP查询代码栈缓冲区溢出。
这些漏洞尚未全部进入Linux主线修复，一些补丁仍在测试或排队处理中。Linux稳定内核维护者Greg Kroah-Hartman已在相关邮件中质疑将未修复漏洞公开披露的做法。
—— Phoronix、FOSSWire
Trend Micro旗下Zero Day Initiative将多份尚未修复的Linux内核漏洞报告误发至公开Linux内核邮件列表，而非私有安全列表。披露内容包括两项CVSS 9.0远程代码执行漏洞，分别影响SMB Direct和内核内置SMB服务器KSMBD。
其中，SMB Direct漏洞源于整数下溢，修复补丁已在面向Linux 7.5的分支中准备。KSMBD漏洞涉及竞态条件，可能导致远程代码执行。其他披露问题还涉及网络代码本地提权、VMware图形驱动越界写入、NVMET未初始化资源导致的信息泄露，以及TCP查询代码栈缓冲区溢出。
这些漏洞尚未全部进入Linux主线修复，一些补丁仍在测试或排队处理中。Linux稳定内核维护者Greg Kroah-Hartman已在相关邮件中质疑将未修复漏洞公开披露的做法。
—— Phoronix、FOSSWire
微软披露Storm-0940利用AI工具攻击全球数百家机构
被认为与中国政府有关联的黑客组织 Storm-0940 使用开源渗透测试框架 ARTEX，针对全球数百家机构自动化开展侦察、密码喷洒和应用凭据滥用，目标覆盖航空航天、国防、汽车、能源、金融、政府、媒体、半导体和科技等行业。多数攻击未成功，但多起行动从锁定目标到取得云基础设施高级权限不足三小时。
在 ConnectWise 云备份等多租户应用事件中，攻击者利用已获授权的 OAuth 应用身份进入下游客户的 Microsoft 365 环境，通过 Microsoft Graph 开展侦察、修改应用凭据并尝试提升权限，以建立持续访问。相关活动不涉及微软企业系统、产品或服务被入侵。
—— Microsoft Security Blog、ConnectWise
被认为与中国政府有关联的黑客组织 Storm-0940 使用开源渗透测试框架 ARTEX，针对全球数百家机构自动化开展侦察、密码喷洒和应用凭据滥用，目标覆盖航空航天、国防、汽车、能源、金融、政府、媒体、半导体和科技等行业。多数攻击未成功，但多起行动从锁定目标到取得云基础设施高级权限不足三小时。
在 ConnectWise 云备份等多租户应用事件中，攻击者利用已获授权的 OAuth 应用身份进入下游客户的 Microsoft 365 环境，通过 Microsoft Graph 开展侦察、修改应用凭据并尝试提升权限，以建立持续访问。相关活动不涉及微软企业系统、产品或服务被入侵。
—— Microsoft Security Blog、ConnectWise
The Browser Company 将于12月22日停止 Arc 服务
The Browser Company 计划于2026年12月22日停止 Arc 服务。届时，macOS 和 Windows 版 Arc 将无法使用，Arc 账户及相关服务将停用；账户关联的个人数据将在停用后30天内删除。公司表示，后续工程与安全团队将集中维护 Dia，理由是浏览器安全维护工作持续增加。
在停止服务前，用户可以将 Arc 设置导入 Dia，或导出 Arc 标签页列表以迁移到其他浏览器。
—— The Browser Company
The Browser Company 计划于2026年12月22日停止 Arc 服务。届时，macOS 和 Windows 版 Arc 将无法使用，Arc 账户及相关服务将停用；账户关联的个人数据将在停用后30天内删除。公司表示，后续工程与安全团队将集中维护 Dia，理由是浏览器安全维护工作持续增加。
在停止服务前，用户可以将 Arc 设置导入 Dia，或导出 Arc 标签页列表以迁移到其他浏览器。
—— The Browser Company
Quad9将于11月24日起停止向法国用户提供DNS服务
Quad9宣布，自11月24日起停止向法国用户提供服务。此前，巴黎法院要求Quad9屏蔽与网球赛事盗播有关的网站域名，并裁定若未执行，将处以每日1000欧元罚款。相关屏蔽名单已扩至58个域名，罚款期限截至11月14日。
Quad9表示不会屏蔽这些域名，也不认为能可靠识别法国用户并仅对其实施限制；对所有用户全球屏蔽则会把法国法院命令扩展至法国境外。该基金会称，法国另有约20起屏蔽案件待审，累积罚款风险促使其停止向法国用户提供服务。Quad9仍将对法院命令提出上诉。
—— Quad9、TorrentFreak
Quad9宣布，自11月24日起停止向法国用户提供服务。此前，巴黎法院要求Quad9屏蔽与网球赛事盗播有关的网站域名，并裁定若未执行，将处以每日1000欧元罚款。相关屏蔽名单已扩至58个域名，罚款期限截至11月14日。
Quad9表示不会屏蔽这些域名，也不认为能可靠识别法国用户并仅对其实施限制；对所有用户全球屏蔽则会把法国法院命令扩展至法国境外。该基金会称，法国另有约20起屏蔽案件待审，累积罚款风险促使其停止向法国用户提供服务。Quad9仍将对法院命令提出上诉。
—— Quad9、TorrentFreak
Uber向全球3万多名员工开放ChatGPT Work
Uber宣布，自10月22日起向全球3万多名员工开放ChatGPT Work。该工具此前在约1000名员工中试点，现扩展为全公司部署，供运营、财务、营销和产品等团队使用。
ChatGPT Work可连接Google Drive、Gmail、Google Calendar和Slack，协助员工研究信息、准备会议简报、制作演示文稿、分析数据并跨应用完成工作流程。此次部署还包括内部AI技能库、经批准的集成和员工培训；软件开发团队将继续使用Codex处理开发工作。
—— OpenAI
Uber宣布，自10月22日起向全球3万多名员工开放ChatGPT Work。该工具此前在约1000名员工中试点，现扩展为全公司部署，供运营、财务、营销和产品等团队使用。
ChatGPT Work可连接Google Drive、Gmail、Google Calendar和Slack，协助员工研究信息、准备会议简报、制作演示文稿、分析数据并跨应用完成工作流程。此次部署还包括内部AI技能库、经批准的集成和员工培训；软件开发团队将继续使用Codex处理开发工作。
—— OpenAI
中国信通院监测显示国内大模型词元服务均价升至13.46元
中国信息通信研究院人工智能研究所发布的《大模型词元服务性能监测报告（2026年）》显示，经历约两年的价格竞争后，国内大模型词元服务归一化均价已从2025年下半年的每百万词元6.8元升至2026年以来的13.46元，涨幅约98%，接近翻倍。
同期，2026年以来发布的海外典型大模型归一化均价约为每百万词元117.8元，约为国内均价的8.8倍。报告数据反映出，国内模型服务价格在低价竞争后出现回升，市场定价开始更多体现模型能力和服务价值。
—— 工联网、黑龙江省工业和信息化厅
中国信息通信研究院人工智能研究所发布的《大模型词元服务性能监测报告（2026年）》显示，经历约两年的价格竞争后，国内大模型词元服务归一化均价已从2025年下半年的每百万词元6.8元升至2026年以来的13.46元，涨幅约98%，接近翻倍。
同期，2026年以来发布的海外典型大模型归一化均价约为每百万词元117.8元，约为国内均价的8.8倍。报告数据反映出，国内模型服务价格在低价竞争后出现回升，市场定价开始更多体现模型能力和服务价值。
—— 工联网、黑龙江省工业和信息化厅
卡普空披露CAPCOM ID约1177万条邮箱及账户信息泄露
卡普空披露，在线会员服务“CAPCOM ID”遭第三方非法访问，全球共11,774,247条记录中的电子邮箱地址及账户创建时间、最后登录时间、登录次数和最后登录客户端IP等系统识别信息外泄。其中43条记录还涉及生日、性别、国家或地区、昵称等资料。
另有196个账户的登录密码被违规更改，卡普空已重置相关密码，目前未确认用户自行设置的密码外泄。公司于10月19日发现异常并阻断访问，10月20日确认部分信息泄露，紧急应对措施已完成，CAPCOM ID相关服务可继续使用。卡普空提醒用户警惕冒充邮件，不要点击可疑链接或打开附件。
—— 卡普空、INTERNET Watch
卡普空披露，在线会员服务“CAPCOM ID”遭第三方非法访问，全球共11,774,247条记录中的电子邮箱地址及账户创建时间、最后登录时间、登录次数和最后登录客户端IP等系统识别信息外泄。其中43条记录还涉及生日、性别、国家或地区、昵称等资料。
另有196个账户的登录密码被违规更改，卡普空已重置相关密码，目前未确认用户自行设置的密码外泄。公司于10月19日发现异常并阻断访问，10月20日确认部分信息泄露，紧急应对措施已完成，CAPCOM ID相关服务可继续使用。卡普空提醒用户警惕冒充邮件，不要点击可疑链接或打开附件。
—— 卡普空、INTERNET Watch
瑞典政府办公室将于10月26日封锁 ChatGPT 和 Claude
瑞典政府办公室将从10月26日起在员工工作电脑上封锁 OpenAI 的 ChatGPT 和 Anthropic 的 Claude，要求员工改用已获批准的人工智能工具，包括微软 Copilot。内部信息显示，政府办公室已在审查后提高 Copilot 的安全设置。
数字化主管警告，使用未签约的人工智能服务可能危及信息安全。该机构此前已限制 DeepSeek。部分员工仍可通过政府办公室自研的 AI 助手平台访问 ChatGPT 和 Claude。瑞典税务局和国家机构事务局已采取类似封锁措施，Kronofogden 正在研究是否跟进。
—— Sveriges Radio、SVT Nyheter
瑞典政府办公室将从10月26日起在员工工作电脑上封锁 OpenAI 的 ChatGPT 和 Anthropic 的 Claude，要求员工改用已获批准的人工智能工具，包括微软 Copilot。内部信息显示，政府办公室已在审查后提高 Copilot 的安全设置。
数字化主管警告，使用未签约的人工智能服务可能危及信息安全。该机构此前已限制 DeepSeek。部分员工仍可通过政府办公室自研的 AI 助手平台访问 ChatGPT 和 Claude。瑞典税务局和国家机构事务局已采取类似封锁措施，Kronofogden 正在研究是否跟进。
—— Sveriges Radio、SVT Nyheter
TLB与两家内存厂商启动SOCAMM3基板设计磋商
韩国PCB制造商TLB已与两家现有内存客户开始商谈SOCAMM3基板的设计方向和制造工艺，规格尚未确定。SOCAMM3是面向AI服务器的低功耗内存模块后续规格，TLB现有产品线已涵盖SOCAMM类基板。
SOCAMM2基板需经过五次堆叠层压，SOCAMM3预计需要更多层压步骤，层间微通孔加工难度也将提高。SOCAMM3基板量产预计在2028年启动，可能配合英伟达Rosa CPU推出，但其最终应用系统尚未公布。
—— 디일렉（THE ELEC）、IT之家
韩国PCB制造商TLB已与两家现有内存客户开始商谈SOCAMM3基板的设计方向和制造工艺，规格尚未确定。SOCAMM3是面向AI服务器的低功耗内存模块后续规格，TLB现有产品线已涵盖SOCAMM类基板。
SOCAMM2基板需经过五次堆叠层压，SOCAMM3预计需要更多层压步骤，层间微通孔加工难度也将提高。SOCAMM3基板量产预计在2028年启动，可能配合英伟达Rosa CPU推出，但其最终应用系统尚未公布。
—— 디일렉（THE ELEC）、IT之家
苹果OLED版MacBook Pro或涨价300至500美元
苹果即将推出的OLED屏MacBook Pro可能比现款贵300至500美元。Counterpoint Research副总监David Naranjo根据物料清单分析，预计14英寸OLED版起售价为2799至2999美元，现款搭载M5 Pro芯片和mini-LED屏幕的14英寸机型起售价为2499美元。预计涨价因素包括串联OLED屏幕、触控功能和内存成本上涨。相关价格目前仍是预测，并非苹果公布的售价。
—— 格隆汇
苹果即将推出的OLED屏MacBook Pro可能比现款贵300至500美元。Counterpoint Research副总监David Naranjo根据物料清单分析，预计14英寸OLED版起售价为2799至2999美元，现款搭载M5 Pro芯片和mini-LED屏幕的14英寸机型起售价为2499美元。预计涨价因素包括串联OLED屏幕、触控功能和内存成本上涨。相关价格目前仍是预测，并非苹果公布的售价。
—— 格隆汇
OpenSSL发布4.1.0版本，新增DTLS 1.3支持
OpenSSL项目发布4.1.0版本，这是一次功能更新，新增对DTLS 1.3、GREASE扩展和IKEV2密钥派生函数的支持，并为SSL监听器API加入DTLS支持。版本还加入对Elbrus2000架构的初步支持，以及面向部分处理器架构的ML-DSA、ML-KEM和AES-CBC优化。
升级时需留意兼容性调整：tsget工具改用Net::Curl::Easy，相关用户需先安装该依赖；Windows-on-Itanium和Windows CE构建目标已移除，no-ecdsa与no-ecdh配置选项也已删除，禁用椭圆曲线支持应改用no-ec。项目同时列出多项DTLS 1.3已知问题，涉及重传、监听器错误报告和握手中止，部分问题可能影响依赖相关行为的应用。
—— OpenSSL 项目
OpenSSL项目发布4.1.0版本，这是一次功能更新，新增对DTLS 1.3、GREASE扩展和IKEV2密钥派生函数的支持，并为SSL监听器API加入DTLS支持。版本还加入对Elbrus2000架构的初步支持，以及面向部分处理器架构的ML-DSA、ML-KEM和AES-CBC优化。
升级时需留意兼容性调整：tsget工具改用Net::Curl::Easy，相关用户需先安装该依赖；Windows-on-Itanium和Windows CE构建目标已移除，no-ecdsa与no-ecdh配置选项也已删除，禁用椭圆曲线支持应改用no-ec。项目同时列出多项DTLS 1.3已知问题，涉及重传、监听器错误报告和握手中止，部分问题可能影响依赖相关行为的应用。
—— OpenSSL 项目
希腊议会通过15岁以下儿童社交媒体禁令
希腊议会以多数票通过法案，自2027年1月1日起禁止未满15岁者使用社交媒体。规则针对允许用户创建个人资料、彼此互动和发布内容的平台，Facebook、Instagram和TikTok为政府列举的例子。法案要求平台核查用户年龄。数字治理部长表示，政府拟使用Kids Wallet核验用户是否达到15岁，称该工具只传递年龄是否达标的信息，不提供出生日期。政府称此举旨在应对儿童过度使用社交媒体的问题。
—— 希腊国家广播电视台 ERTnews、希腊政府
希腊议会以多数票通过法案，自2027年1月1日起禁止未满15岁者使用社交媒体。规则针对允许用户创建个人资料、彼此互动和发布内容的平台，Facebook、Instagram和TikTok为政府列举的例子。法案要求平台核查用户年龄。数字治理部长表示，政府拟使用Kids Wallet核验用户是否达到15岁，称该工具只传递年龄是否达标的信息，不提供出生日期。政府称此举旨在应对儿童过度使用社交媒体的问题。
—— 希腊国家广播电视台 ERTnews、希腊政府
Times Car运营方为驾照影像外泄对象发放3000日元补偿
Times Car运营方Park24集团10月23日宣布，针对在未经授权访问中确认有加密驾照及其他身份核验文件影像数据被访问并向外部传输痕迹的用户，每人发放相当于3000日元的现金或礼券。涉及数据约146.48万条，具体发放方式仍在确定，确定后将通知对象用户。
公司称，相关影像以加密形式保存，外部传输并不意味着影像已被直接查看，但无法排除未来被解密的可能性。部分加密数据仅确认有访问痕迹，未发现向外部传输痕迹。公司已改为在会员注册完成后不再保留相关影像，并计划在10月底前删除现存数据。
—— タイムズモビリティ株式会社
Times Car运营方Park24集团10月23日宣布，针对在未经授权访问中确认有加密驾照及其他身份核验文件影像数据被访问并向外部传输痕迹的用户，每人发放相当于3000日元的现金或礼券。涉及数据约146.48万条，具体发放方式仍在确定，确定后将通知对象用户。
公司称，相关影像以加密形式保存，外部传输并不意味着影像已被直接查看，但无法排除未来被解密的可能性。部分加密数据仅确认有访问痕迹，未发现向外部传输痕迹。公司已改为在会员注册完成后不再保留相关影像，并计划在10月底前删除现存数据。
—— タイムズモビリティ株式会社
佐川急便披露最多约5323万条个人信息可能外泄
佐川急便的包裹配送状况网上查询服务遭第三方非法访问，涉及6月21日至9月30日期间包裹的寄件人和收件方姓名、住址、电话号码，以及法人客户和“Smart Club”会员信息，最多约5323万条记录可能流出。相关记录包含相当数量的重复数据，条数不等于实际受影响人数，信用卡信息和密码不在其中。
公司于9月30日确认遭到访问，10月1日起暂停配送查询服务，并于23日恢复。在线更改收件地址、部分法人接口及其他相关服务仍处于暂停状态，原因调查和影响范围确认仍在进行。
—— 佐川急便、ITmedia NEWS
佐川急便的包裹配送状况网上查询服务遭第三方非法访问，涉及6月21日至9月30日期间包裹的寄件人和收件方姓名、住址、电话号码，以及法人客户和“Smart Club”会员信息，最多约5323万条记录可能流出。相关记录包含相当数量的重复数据，条数不等于实际受影响人数，信用卡信息和密码不在其中。
公司于9月30日确认遭到访问，10月1日起暂停配送查询服务，并于23日恢复。在线更改收件地址、部分法人接口及其他相关服务仍处于暂停状态，原因调查和影响范围确认仍在进行。
—— 佐川急便、ITmedia NEWS
Brotli解码器漏洞波及Node.js与Python相关组件
Brotli 解码器漏洞 CVE-2026-111497 可由特制压缩数据触发越界写，导致进程崩溃、内存信息泄露，或在特定条件下执行代码。Node.js 安全公告确认，应用使用受影响解码器处理攻击者可控的 Brotli 数据时存在风险；Aikido Security 将影响范围扩展称为“HTTP2Shell”，指出安装了 Brotli 或 brotlicffi 的部分 Python 应用及其他使用相关库的 HTTP 软件也可能受影响。
是否受影响取决于应用是否实际调用易受攻击的解码器，并非所有使用 Node.js 或 Python 的程序都会受影响。Node.js 已发布修复版本；Brotli 及相关依赖也需升级到含修复的版本。
—— Nodejs、Aikido Security
Brotli 解码器漏洞 CVE-2026-111497 可由特制压缩数据触发越界写，导致进程崩溃、内存信息泄露，或在特定条件下执行代码。Node.js 安全公告确认，应用使用受影响解码器处理攻击者可控的 Brotli 数据时存在风险；Aikido Security 将影响范围扩展称为“HTTP2Shell”，指出安装了 Brotli 或 brotlicffi 的部分 Python 应用及其他使用相关库的 HTTP 软件也可能受影响。
是否受影响取决于应用是否实际调用易受攻击的解码器，并非所有使用 Node.js 或 Python 的程序都会受影响。Node.js 已发布修复版本；Brotli 及相关依赖也需升级到含修复的版本。
—— Nodejs、Aikido Security
马斯克预告X新增长按点赞转账功能
马斯克表示，X将新增长按点赞按钮转账功能，用户长按帖文的点赞按钮后，可通过X Money向对方转账1美元。
该设计把点赞与小额支付入口合并，转账金额设定为1美元。X Money已支持用户在平台内发送、接收和请求资金，并提供实时点对点转账服务。长按点赞转账功能的上线时间、适用地区和使用资格尚未公布。
—— X Money、Associated Press
马斯克表示，X将新增长按点赞按钮转账功能，用户长按帖文的点赞按钮后，可通过X Money向对方转账1美元。
该设计把点赞与小额支付入口合并，转账金额设定为1美元。X Money已支持用户在平台内发送、接收和请求资金，并提供实时点对点转账服务。长按点赞转账功能的上线时间、适用地区和使用资格尚未公布。
—— X Money、Associated Press