銀行偵測到 AI 代理使用客戶憑證自動登入
Axios 報導指出，包括摩根士丹利、美國銀行、摩根大通和富國銀行在內的美國主要銀行，發現第三方 AI 代理正在客戶帳戶內運作。多數情況下，這些代理使用客戶自己的憑證和權限進行登入，這違反了銀行要求使用者必須親自登入的規則。
部分銀行還觀察到 AI 代理聯繫客服中心或執行看似獨立於使用者指令之外的動作。銀行高層表示，他們通常無法區分人類與 AI 代理，也難以判斷哪些是經授權的代理、哪些是未經授權的 rogue agents。目前尚未傳出帳戶被接管、詐欺損失或特定 AI 代理產品造成的具體損害。
作為回應，摩根士丹利已阻擋第三方 AI 代理，摩根大通、美國銀行和花旗銀行則限制其存取。報導建議使用者不要將銀行帳號密碼提供給 AI 代理。
GitLab 與 Linux 核心爆發高風險未驗證漏洞
GitLab 於 2026 年 10 月 21 日發布關鍵修補程式以解決 CVE-2026-110264，這是一個內建 Onigmo/regex 編譯器中的整數溢出漏洞，允許未驗證攻擊者在自託管 GitLab 上執行程式碼。該漏洞 CVSS 評分為 10.0，影響範圍涵蓋從 7.0 版（2014 年）起的所有 CE/EE 版本。僅套用 10 月 12 日 regex 修補的實例仍然脆弱，必須再次升級。
Linux 核心方面，Trend Micro 的 Zero Day Initiative (ZDI) 於 10 月 21 日向 [email protected] 發送數份未修補的漏洞報告，但同時副本給公開的 linux-kernel 清單，導致完整技術細節在修復推出前已公開。其中最嚴重的是兩個 ksmbd（核心內 SMB 伺服器）遠端程式碼執行錯誤，ZDI 評分為 CVSS 9.0。
這些 Linux 漏洞包括需要 RDMA 裝置和可寫入共享的 SMB Direct 整數下溢，以及需要訪客共享的協議分派競態條件。目前尚無 CVE 編號，也沒有固定的主線或穩定版發布；ksmbd 競態修復位於維護者樹中，SMB Direct 修復則針對 Linux 7.5 分支。只有執行 ksmbd 的機器暴露於這些遠端程式碼執行風險之下。
LiteLLM 供應鏈攻擊與 Capcom ID 資料外洩
2026 年 10 月 21 日，攻擊者攻陷了 LiteLLM 的發布流程，並在 PyPI 上發布惡意的 litellm==1.107.0（在線約 2 小時），同時污染了 Docker Hub/GHCR 標籤。這些 Wheel 安裝了 cook.pth、cook.py 和 sitecustomize.py，在每次 Python 啟動時竊取雲端、開發者和 AI 工具的憑證，並開啟遠端程式碼載入器。這是 LiteLLM 在 2026 年第二次遭受供應鏈攻擊。
遊戲公司 Capcom 證實第三方未經授權存取 CAPCOM ID，影響全球約 1,177 萬筆記錄。外洩資料包含電子郵件地址、帳戶建立時間、最後登入時間、登入次數和最后登录 IP；另有 43 筆記錄包含出生日期、性別、國家/地區和暱稱。Capcom 表示尚未確認客戶設定的密碼是否外洩，且不涉及信用卡資料。
Capcom 已將事件通報大阪府警察和日本個人資訊保護委員會（PPC）。用戶應預期會收到冒充 Capcom 的網路釣魚攻擊。此外，196 個帳戶的密碼已被未經授權更改並已重置。
其他關鍵軟體與服務的安全事件
ISC BIND 9 披露了一個可遠端利用的記憶體損壞錯誤（CVE-2026-94300，CVSS 8.1），攻擊者可透過重播 GSS-TSIG 簽名的 UDP 訊息導致遠端程式碼執行或當機。影響範圍包括 BIND 9.11.0 至 9.18.50、9.20.0 至 9.20.29 及 9.21.0 至 9.21.26，已在 9.20.30 和 9.21.27 中修復。
Node.js 於 10 月 21 日發布安全更新，修復了包括 CVE-2026-111497（Brotli 解碼器越界寫入導致遠端程式碼執行）在內的十個漏洞，並更新了內建 CA 儲存庫以應對 eMudhra 事件。
PaaS 供應商 Zeabur 披露了 10 月 14-15 日的安全事件，攻擊者利用明文存儲的內部憑證存取共享叢集，讀取平台資料庫，導致約 322 萬筆環境變數記錄暴露於 321,810 個帳戶中。Zeabur 宣布將於 12 月 31 日停止所有服務並刪除資料，用戶必須輪換所有存儲在 Zeabur 上的秘密並遷移數據。
