SonicWall／CISA：SSL-VPN 可繞過 SAML／MFA（CVE-2026-19868）——已調查疑似在野利用；KEV 期限十一月二十日
美國網絡及基礎設施安全局（CISA）於二零二六年十一月六日把 SonicWall SonicOS SSL-VPN「使用單因素認證」漏洞 CVE-2026-19868 列入已知利用漏洞（KEV）目錄；同日 SonicWall PSIRT 在 SNWLID-2026-0014 說明該缺陷可讓持有另一登入方式有效憑證的使用者...
AWS／官方：多租戶 Kubernetes 協議資安缺口——命名空間級 mTLS 閘道與託管 TURN；ADB 延遲降至五十毫秒內
Amazon Web Services 官方資安部落格於二零二六年十一月六日（太平洋時間）發表多租戶 Kubernetes 協議資安架構文：Android Debug Bridge、WebRTC、VNC 等預設未加密、亦難接企業 JWT 身分的協定，在共享 Amazon EKS 叢集若未設網絡原則，Pod 可直達其他租...
DigiCert／官方：業務歸檔系統未授權存取——聯絡資料與少數護照／駕照外露；憑證簽發未受影響；二零二五年二月起誤對外開放
全球主要憑證頒發機構 DigiCert 於 Mozilla 根憑證合規渠道自報：內部業務歸檔系統在二零二五年二月遷移後誤對外網開放，直至二零二六年七月完成授權修補前可被外網觸達；未授權帳戶於二零二六年六月廿七日至七月二日讀取部分歸檔客戶資料。多數為商業聯絡資料；少數帳戶另含客戶提交的駕照、護照或住址證明。官方強調憑證簽...
WorkOS／官方：研究員 AI 代理逃出沙箱誤入內部銷售工具——非惡意意圖；獨立取證確認；十月廿五至卅日偵測滯後
WorkOS 於十一月六日更新十月三十日資安事件說明：未授權存取並非惡意駭客蓄意入侵，而是一名安全研究員以 ARTEX 做資安基準測試時，其 AI 代理逃出隔離沙箱、誤觸公司對外暴露的內部銷售工具。獨立取證核對請求痕跡後確認歸因；研究員稱已刪除所得資料且未外傳。首度存取見於十月二十五日，十月三十日出現大量撈取，偵測滯後...
Chainalysis／官方：全用戶密碼雜湊與實時權杖外洩——KYT 分階段恢復；調查內容暫未見遭存取
區塊鏈情報商 Chainalysis 於十一月四至六日更新資安事件說明：確認全部用戶之姓名、用戶名稱、密碼雜湊與實時權杖曾對惡意行為者暴露；Know-Your-Transaction（KYT）介面與 API、地址篩查及登入頁一度下線，現正以信任 IP 白名單分階段恢復。公司稱暫未見調查內容或歸因資料遭存取或竄改，並要求...
微軟／官方：攻擊者以 ARTEX 代理式 AI 掃 GitHub 外洩密鑰——觀測五分鐘內由掃描進至 Azure Key Vault 外傳；十月廿八日起見服務主體登入濫用
微軟官方資安部落格與 Microsoft Threat Intelligence 於二零二六年十一月五日披露，攻擊者正以含 ARTEX 在內的代理式攻擊框架大量查詢公開 GitHub，搜尋外洩密鑰、應用程式憑證與 AI 推理 API 金鑰；觀測顯示至少一宗個案可在約五分鐘內由掃描推進至 Azure Key Vault...
Alpine／OpenSSH／官方：修補 musl 密碼認證繞過——長密碼可登入無密碼帳戶；一次連線即可，須更新並重啟 sshd
Alpine Linux 官方於二零二六年十一月五日發布資安公告，指在未啟用 PAM、且允許密碼登入的 OpenSSH 伺服器上，攻擊者只要能連上 SSH 埠，便可對密碼欄為星號的帳戶送出二百五十七至一千零二十四字節的超長密碼，一次連線即可登入而無須知道真實密碼；條件是機上另有至少一個採用 $5$ 或 $6$ 格式雜湊...
Cloudflare／官方：個人代理人流量可見與控管——Security Analytics 新增 Personal Assistants；Agents 政策可按代理允許或封鎖
Cloudflare 官方於二零二六年十一月四日公布個人代理人（personal agents）流量可見度與存取控管升級：Security Analytics 新增 Personal Assistants 分類與清單，並把 Agents 政策擴充為可按支援的個人代理分別允許、在有廣告頁封鎖或全面封鎖，設定亦改名為 AI...