网络安全日报｜2026年10月27日：15条资讯，漏洞1、勒索泄露2、APT供应链2

今日概览：本期自动汇总近 24 小时公开安全资讯共 15 条，其中漏洞与补丁 1 条、勒索与数据泄露 2 条、APT/恶意软件/供应链 2 条、国内资讯 10 条、国际动态 0 条。以下为重点条目，点击标题可查看原文。

一、漏洞与补丁预警

• Node.js、Python、Bun全中招：一个压缩库的内存漏洞，让半个互联网”裸奔”（安全客）

二、勒索攻击与数据泄露

• 攻击者可利用下载文件夹恶意文件，劫持OpenAI Codex与Claude Code（FreeBuf）
  下载文件夹中的普通文本文件可诱骗AI编码Agent篡改自身设置、安装恶意软件，甚至泄露登录令牌。 Forever Securi
• AI自己写勒索脚本、自己挑目标、自己搞钱：俄罗斯黑客的Phantom框架，把勒索软件玩成了自动化流水线（安全客）

三、APT、恶意软件与供应链

• uCreator安卓间谍软件可窃取Telegram 2FA密码，克隆微信账号（FreeBuf）
  研究人员Ovi发现，一款名为 uCreator 的可租赁安卓间谍软件工具包会将恶意代码隐藏在可正常运行
• 下载文件夹藏恶意指令文件，诱导AI编码Agent安装恶意软件（FreeBuf）
  下载文件夹藏恶意文件，诱导Agent安装恶意包 安全公司Forever Security上周发布报告称，开发者下载

四、国内安全资讯

• 科学家重现古罗马的分色玻璃（Solidot）
  制作于公元四世纪的罗马玻璃笼子杯 Lycurgus Cup 会根据光源位置的不同而呈现不同的颜色，从前方照射呈绿色后方则呈红色。这一令人惊叹的光学工程成就数世纪以来令历史学家和玻璃工匠感到困惑。现在英国谢菲尔德大学的科学家成功复现了这一光学特性……
• 主密钥泄漏147天从未吊销，LiteLLM官方流水线被劫持后PyPI亲手分发带毒1.107.0（FreeBuf）
  读之前先过三个问题 一把 5 月 27 号泄漏的主密钥，标了待吊销，为什么还能开 10 月 21 号的门？官方构建、官方签名的 1.107.0，为什么七枚 wheel 全带毒，源码 tag 却查不出任何毛病？窗口只有一小时四十三分，镜像源和 CI……
• Netflix 用户观看量下降，应用打开量下降（Solidot）
  流媒体巨头 Netflix 正通过提高订阅费用去应对用户增长停滞。内部数据显示，Netflix 订户的观看量下降，应用每月打开的天数也略有下降。目前下滑幅度尚属适度，未引起订户大规模流失。为吸引新用户并留住现有用户，Netflix 增加了内容制作预算……
• Systemd 支持 Rust 程序（Solidot）
  Systemd 支持用 Rust 语言开发程序。核心 systemd 代码如 systemd 库目前尚不支持 Rust 代码，但对于systemd 程序/末端组件已支持使用 Rust 语言。Systemd 开发者并不计划将现有的 C 代码移植到 Rust，所有 Rust……
• 欧洲夏季热浪导致逾 5 万城市居民死亡（Solidot）
  今年夏天热浪席卷了欧洲大部分地区，多地气温超过 40°C。学校关闭，沥青路变形，电网不堪重负，紧急求助电话激增。多国报告死亡人数大幅增长。德国 Robert Koch 研究所统计，4-9 月有 1.6 万人死因与高温相关。西班牙报告 7-8 月期间 5100 人死于高温……
• MCP 服务安全审计实战，藏在工具描述里的 6 个攻击面（FreeBuf）
  MCP（Model Context Protocol）把外部工具接进模型上下文的方式很优雅：服务端声明一组工具，每个工具带名字、描述和参数结构，客户端拉取这份清单，模型看着描述决定什么时候调用谁。整个过程对用户透明，也正因为透明，清单里的每一个字都进入了模型的上下文窗口……
• 凌晨收到GitLab安全公告，CVSS满分，我看了看自家版本号（安全客）
• 2025 年老年抚养比首次超过少儿抚养比（Solidot）
  根据国家统计局编著出版的《中国统计年鉴 2026》，2025 年全国 0-14 岁人口 21276 万人，占总人口比重为 15.1%；65 岁及以上人口 22365 万人，占总人口比重为15.9%。2025 年，全国总抚养比为 45.1%，其中少儿抚养比为 22%，老年抚养比为……
• Kali Linux 2026.3正式发布，新增6款渗透测试工具、搭载Linux 7.1.5内核（FreeBuf）
  Kali Linux 2026.3于10月26日正式推送，是2026年的第三个版本更新。本次更新带来6款全新渗透测试工具、Linux 7.1
• REA逆向被OpenAI封了——AI安全研究的合规边界正在收窄（FreeBuf）
  导语：安全研究者 log4j 发现自己那台2025款三星电视推送的广告精准得离谱，于是动手逆向Tizen固件，挖出了常开麦克风、截图上传、跨设备

结语

以上为 2026年10月27日 网络安全公开资讯自动汇总，覆盖 安全客、FreeBuf、Solidot 等来源。建议重点关注“漏洞与补丁预警”中的在野利用与已列入 KEV 目录的条目，及时完成修复。

本文由安全资讯聚合脚本自动生成并发布，内容版权归原作者所有，如涉及侵权或误报请联系管理员删除。