#security vulnerability

Linux 内核多路径 TCP（MPTCP）中被披露一个可远程触发的释放后使用漏洞 CVE-2026-98432：攻击者可让重传 SYN 包的响应与另一线程中的连接建立同时发生，使第一个线程在第二个线程已释放连接选项结构后仍访问该结构，从而泄露内核内存，或造成缓冲区溢出并写入攻击者控制的数据。上游修复提交（e3f33b0a1d89）改为仅在 RCU 宽限期结束后才释放该结构。Anthropic 于 10 月 27 日公开该漏洞，Go 安全团队于 10 月 29 日提示，用 Go 编写的程序默认使用多路径 TCP。受影响的仅是开启了 MPTCP 监听器的系统；各发行版何时提供已打补丁的内核尚不清楚，来源摘要也未说明是否已出现实际利用。

Brotli 解码器漏洞 CVE-2026-111497 影响 1.0.3 至 1.2.0 版本，并波及 Python 与 Node.js 的 HTTP 组件，CVSS 4.0 评分为 9.2。远程未认证攻击者可发送特制压缩流，造成内存损坏、敏感数据泄露、进程崩溃，并可能执行任意代码。Python 的 Brotli 需升级至 1.2.1、brotlicffi 至 1.2.1.0；Node.js 的修复版本为 22.23.4、24.22.1 或 26.12.1。该漏洞最初以 Node2Shell 披露，后称 HTTP2Shell；OpenAI 表示于今年 2 月发现该问题。

eMudhra 的 8 张中间 CA 私钥被发现在生成时随机性极弱，只有 256 种可能，可被快速穷举还原；其中 6 张可签发 TLS 网站证书，2 张可签发代码签名证书。Mozilla 在 10 月 17 日收到报告后 3 小时内向所有 Firefox 用户自动推送封锁，无需重启；Google 同日屏蔽受影响公钥，并计划在 10 月 27 日移除相关根证书，Apple 和 Microsoft 也在跟进。上述处置意味着依赖这些中间证书的网站、软件发布者和嵌入式设备需要关注信任链失效，而不能更新信任库的设备风险最高。

Tailscale 发布了针对 Tailscale SSH 的漏洞调查与修复更新，涉及通过 ACL 授权 SSH 访问的部署场景。由于所给来源没有正文，具体漏洞编号、受影响版本、修复版本和发布时间均无法核实；目前只能确认这是厂商的修复更新，尚不能从材料判断修复是否已覆盖所有部署。

微软已发布 Android 版 Microsoft Authenticator 6.2606.4246，修复一个高危漏洞：设备上已安装并运行的恶意应用无需申请 Android 权限，即可获取已登录工作账户的令牌。研究人员称无需用户进一步操作；微软则认为攻击者需要诱使用户完成身份验证。微软首次发布公告时表示，未发现该漏洞被实际利用。

Nix 和 Lix 项目联合披露了一组本地权限提升漏洞，可用于在运行 Lix 或 Nix 守护进程的系统上将权限提升至 root。公告称“所有构建不可信 derivation 的系统均受影响”，但未提供 CVE 编号（称尚未申请），也未披露漏洞的技术细节。两个项目表示修复版本已在公告发布当天提供，来源未说明具体版本号。