国家代码顶级域名劫持事件与未经授权的 HTTPS 证书
Google 10 月 6 日公告，加纳、塞拉利昂与美属萨摩亚的国家代码顶级域名遭到劫持，攻击者取得 Google 与其他组织域名的 HTTPS 证书。Chrome 已拦截找到的证书，自己管理域名的人可以监控证书透明度日志。
整理 12 篇原文，来自 Google、Let's Encrypt 社区论坛、Ars Technica 等 12 个出处
焦点
日本 2026 年 9 月起接连发生的网站入侵与个人信息外泄
日本从 9 月中旬起有多家业者公告网站或 App 遭到入侵、会员数据外泄，汽车共享服务 Times Car 约 660 万个账号的数据被取得，其中约 160 万个含驾照等证件影像。到 10 月 9 日为止，本文没有查到官方点名攻击者，内阁官房长官 10 月 6 日表示不清楚这些事件是否相关。日本以外的读者，在这些服务有账号才受影响。
在浏览器本地处理 PDF 的开源工具 BentoPDF
开源的 PDF 工具集 BentoPDF 依官方说明在浏览器里完成合并、压缩、OCR 与删除元数据，不必把文件上传到在线转换网站。打开官网就能用，界面有简体中文，部分功能使用时要从第三方网站 jsDelivr 下载程序。
整理 18 篇原文，来自 BentoPDF、GitHub、It's FOSS 等 8 个出处
Wi-Fi 加密弱点的修补
你的手机连上 Wi-Fi 时用的加密，有弱点时要靠系统更新修补。这一天，研究者公开 WPA2 Wi-Fi 加密的弱点 KRACK。
Let's Encrypt 默认证书的 64 天有效期
Let's Encrypt 公告 2027 年 2 月 10 日起，默认签发的证书有效期从 90 天缩短为 64 天。用它搭建网站或自建服务的人，要确认自动续期不是写死在固定天数，公告没有针对一般访问者的说明。
整理 13 篇原文，来自 Let's Encrypt、CA/Browser Forum、Ars Technica 等 7 个出处
Apple 对 Mac「完全磁盘访问权限」的授权预告
Apple 10 月 2 日预告之后会让 Mac 用户只能通过非常明确的操作授予「完全磁盘访问权限」。理由包括部分开发者的用法可能让用户数据暴露，以及 AI 智能体会让风险增加。Apple 没有写版本与上线时间，到 10 月 12 日为止版本说明都没有写到这项控制。
整理 17 篇原文，来自 Apple、TechCrunch、Decrypt 等 12 个出处
个人信息泄露的通报窗口
你的个人信息如果被台湾的业者泄露，业者要向个人资料保护委员会通报的修正条文还没有施行。这一天，新加坡国会通过规定设立个资保护委员会的《个人资料保护法》。
Brave 的电子邮件别名
Brave 桌面版从 1.94 起提供电子邮件别名，注册网站时用转发邮箱代替真实邮箱。每人免费 5 个，要先创建 Brave 账号。到 10 月 12 日为止手机版还没有，别名能否回信官方没有写。
整理 16 篇原文，来自 Brave、GitHub、Apple 等 7 个出处
Tor Project 与 Mullvad 合作关系的决定与争议
VPN 服务商 Mullvad 一位联合创始人的政治捐款引发争议后，Tor Project 10 月 9 日说明不终止合作，但暂停联合品牌宣传并修改 Mullvad Browser 的描述。两款浏览器没有停止维护的公告，声明下的留言看法分歧。
整理 13 篇原文，来自 Tor Project、Tor Project Forum、Mullvad 等 7 个出处
Zoom 会议的端到端加密
你在 Zoom 开的会议默认不是端到端加密，主持人要自己开启。这一天，Zoom 宣布推出端到端加密的技术预览。
Firefox iOS 版的内置广告拦截与 Android 的系统层做法
iPhone 与 iPad 上的 Firefox 内置广告拦截，9 月中的 156 版版本说明首次列出。功能默认关闭，要自己到设置开启。一篇个人博客整理的 Android 系统层做法多半要信任提供服务的运营方或 App。
整理 11 篇原文，来自 Mozilla、Kevin Boone、Google 等 7 个出处
Beeline 接听诈骗电话的 AI 语音角色
俄罗斯电信运营商 Beeline 10 月 6 日公布，2026 年以来把 1,910 万通诈骗电话转给 AI 语音角色接听，数字都是运营商自报。这项服务只在俄罗斯的 Beeline 网络上运行。接到可疑电话时，仍是先挂断再核实。
整理 12 篇原文，来自 Beeline、ict-online、動區動趨 等 10 个出处
Safari 欺骗性网站警告与腾讯安全浏览
你的 iPhone 地区设为中国大陆或香港时，Safari 的欺骗性网站警告可能用到腾讯的安全浏览服务。这一天，一位研究者在博客写到 Safari 的这项功能看来会把部分浏览信息交给腾讯。
日本 2026 年 9 月起接连发生的网站入侵与个人信息外泄
日本从 9 月中旬起有多家业者公告网站或 App 遭到入侵、会员数据外泄，汽车共享服务 Times Car 约 660 万个账号的数据被取得，其中约 160 万个含驾照等证件影像。到 10 月 9 日为止，本文没有查到官方点名攻击者，内阁官房长官 10 月 6 日表示不清楚这些事件是否相关。日本以外的读者，在这些服务有账号才受影响。
整理 39 篇原文，来自 JPCERT/CC、Metabase、内閣官房国家サイバー統括室 等 32 个出处
Firefox 157 的 TLS 密钥记录警告
桌面版 Firefox 157（9 月 29 日发布）在电脑被设置成记录加密密钥时会显示警告。Mozilla 的帮助页写明多半是杀毒或安全软件设置的，出现警告不代表电脑中毒，打不开网站时可以先检查这类软件的 HTTPS 扫描功能。
整理 5 篇原文，来自 Mozilla、Mozilla Bugzilla、RFC Editor 等 4 个出处
BBC 中文网在中国大陆的访问
你在中国大陆访问 BBC 中文网简体版，2026 年 10 月的测量结果几乎都是异常或失败。这一天，BBC 报道北京的网络运营商疑似封锁了 BBC 的网站。
开源项目的漏洞披露与通报渠道
Radicle 到 10 月 8 日还没有修复网络协议漏洞的新版，用私有 repo 的人要照公告处理。Xray-core 的修复是否告知用户说法不同，Google 的开源软件漏洞奖励计划也从 10 月 1 日起停收产品漏洞通报。
整理 15 篇原文，来自 Radicle、The GitHub Blog、GitHub 等 11 个出处
加州 AB 1856 的开源操作系统豁免
美国加州 9 月签署的 AB 1856，修改了要求操作系统在账号设置时询问用户年龄的州法。修改后，发行操作系统或 App 时用的许可若允许复制、再分发与修改，发行的人或组织就不算受规范的操作系统提供者。规定 2027 年起适用，条文以加州的账号持有人为对象。
整理 14 篇原文，来自 California Legislative Information、CalMatters Digital Democracy、Office of the Governor of California 等 11 个出处
通讯软件的端到端加密与执法访问
你用 LINE 发的一对一文字消息默认是端到端加密，只有收发双方的设备能解开。这一天，包括日本与印度在内的七个国家发表声明，呼吁科技公司让执法部门在合法授权下可以读取加密内容。
每周短讯 2026 第 41 周
9 月 13 日到 10 月 6 日的 7 则新闻，包括摩斯汉堡的疑似个人信息泄露与新加坡美珍香的会员邮箱泄露、丹麦人口登记系统约 880 万人的数据泄露、Ubuntu 26.10 收录 Sequoia PGP、一篇质疑大型语言模型推理过程的评论、美国法院对车牌识别搜索的判决、美国边境的自动监控塔，以及中国平台的删文封存与敏感词清单。
整理 22 篇原文，来自 公开信息观测站、Personal Data Protection Commission Singapore、iThome 等 14 个出处
犹他州涉及 VPN 的所在地条款与美国的网站封锁法案
美国犹他州的联邦地方法院在 9 月 24 日暂停一项州法条款，该条款要求成人网站判断 VPN 用户是否身在犹他州。同一个月，美国国会提出两条网站封锁法案，对 VPN 业者的写法相反。犹他州的条文以身在犹他州的用户为对象，联邦法案限于美国的用户。到 10 月 7 日为止，诉讼还在进行，法案已送交国会的司法委员会。
整理 22 篇原文，来自 United States District Court, District of Utah、Utah State Legislature、Utah Office of Administrative Rules 等 12 个出处
GLM-5.3 的漏洞利用能力与开放权重的防护
Anthropic 9 月 29 日发布对智谱开放权重模型 GLM-5.3 的测试报告，模型能写出攻击浏览器的程序。在报告的模拟测试里，伪装场景等手法可以绕过防护。智谱的发布说明写到，公开的权重只带着模型本身的防护，强大的防御能力也不该只留在少数组织。普通读者能做的是浏览器更新后尽快重新启动。
整理 12 篇原文，来自 Anthropic、Z.ai、NIST 等 7 个出处
维基百科在中国大陆的访问
你在中国大陆访问维基百科，2026 年 10 月的测量结果几乎都是异常或失败。这一天，中国大陆的用户反映被封锁将近一年的英文维基百科可以连上了。
冒充 Gmail 附件预览的钓鱼邮件
Cisco Talos 披露一批发给台湾学术界、智库与公民社会政策社群的钓鱼邮件。邮件用图片在正文仿制 Gmail 的附件卡片，点击后会在 Windows 电脑上启动感染。在浏览器打开时假卡片与真附件几乎分不出来，经常收到演讲邀请或机构来信的人可以留意。
整理 14 篇原文，来自 Cisco Talos、iThome、Google 等 6 个出处
Meta Muse 与 OpenAI Dots 的记忆与权限设计
Meta 的 Muse 与 OpenAI 的 Dots 都在 9 月推出，在云端常驻、读取连接的应用数据并整理成记忆。截至 10 月 2 日，OpenAI 的支持清单不含中国大陆，Muse 在中国大陆的 App Store 没有上架，在海外使用 ChatGPT 或 Mac 的人可以先检查记忆与权限设置。
整理 23 篇原文，来自 Meta、OpenAI、Freedom of the Press Foundation 等 12 个出处
F-Droid 2.0 与 Google 的 Android 开发者验证
开源应用商店 F-Droid 9 月 24 日推出全面重写的 2.0，最低需要 Android 7。Google 9 月 30 日起在巴西、印度尼西亚、新加坡、泰国要求七家商店的应用由验证身份的开发者注册，2027 年扩大到全球的认证 Android 设备。截至 10 月 2 日，各地从 F-Droid 安装应用都不受影响。
整理 19 篇原文，来自 F-Droid、Google、Conversations 等 6 个出处
App Store 应政府要求下架的 App
你在 App Store 能下载哪些 App，会依账号所属的国家或地区而不同。这一天，Apple 从 App Store 下架显示香港警察位置的群众地图 App。
iPhone 自动重启与取证工具的绕过说法
iOS 18.1 起，iPhone 长时间没有解锁会自动重启，让数据回到较难提取的状态。一段约在 2025 年初制作的取证厂商视频里，员工说扣押的手机即使重启也能保留解锁过一次的状态。这项手法对最新版 iOS 是否有效，到 10 月 7 日为止并不清楚。Apple 没有回复报道的询问，担心手机被扣押取证的人可以留意后续。
整理 21 篇原文，来自 Apple、404 Media、Privacy Guides 等 12 个出处
环境捍卫者与技术助长暴力的四国研究
APC 预告巴西、肯尼亚、墨西哥与菲律宾四国的研究，记录环境捍卫者遭受的虚假信息、骚扰与监控，以及社区自己的应对方式。完整报告在北京时间 10 月 8 日晚间在线发布。四国以外的读者可以参考的是以家庭与社区为单位的防护做法。
整理 8 篇原文，来自 APC、EFF、GreatFire
香港的起底删除机制
你如果在香港遭人公开个人资料，可以请香港的个人资料私隐专员公署要求平台删除。这一天，香港的反起底条文开始生效。