开源项目的漏洞披露与通报渠道
Radicle 到 10 月 8 日还没有修复网络协议漏洞的新版，用私有 repo 的人要照公告处理。Xray-core 的修复是否告知用户说法不同，Google 的开源软件漏洞奖励计划也从 10 月 1 日起停收产品漏洞通报。
整理 15 篇原文，来自 Radicle、The GitHub Blog、GitHub 等 11 个出处
anoni.net 新闻导读（第 2 页）
加州 AB 1856 的开源操作系统豁免
美国加州 9 月签署的 AB 1856，修改了要求操作系统在账号设置时询问用户年龄的州法。修改后，发行操作系统或 App 时用的许可若允许复制、再分发与修改，发行的人或组织就不算受规范的操作系统提供者。规定 2027 年起适用，条文以加州的账号持有人为对象。
整理 14 篇原文，来自 California Legislative Information、CalMatters Digital Democracy、Office of the Governor of California 等 11 个出处
通讯软件的端到端加密与执法访问
你用 LINE 发的一对一文字消息默认是端到端加密，只有收发双方的设备能解开。这一天，包括日本与印度在内的七个国家发表声明，呼吁科技公司让执法部门在合法授权下可以读取加密内容。
每周短讯 2026 第 41 周
9 月 13 日到 10 月 6 日的 7 则新闻，包括摩斯汉堡的疑似个人信息泄露与新加坡美珍香的会员邮箱泄露、丹麦人口登记系统约 880 万人的数据泄露、Ubuntu 26.10 收录 Sequoia PGP、一篇质疑大型语言模型推理过程的评论、美国法院对车牌识别搜索的判决、美国边境的自动监控塔，以及中国平台的删文封存与敏感词清单。
整理 22 篇原文，来自 公开信息观测站、Personal Data Protection Commission Singapore、iThome 等 14 个出处
犹他州涉及 VPN 的所在地条款与美国的网站封锁法案
美国犹他州的联邦地方法院在 9 月 24 日暂停一项州法条款，该条款要求成人网站判断 VPN 用户是否身在犹他州。同一个月，美国国会提出两条网站封锁法案，对 VPN 业者的写法相反。犹他州的条文以身在犹他州的用户为对象，联邦法案限于美国的用户。到 10 月 7 日为止，诉讼还在进行，法案已送交国会的司法委员会。
整理 22 篇原文，来自 United States District Court, District of Utah、Utah State Legislature、Utah Office of Administrative Rules 等 12 个出处
GLM-5.3 的漏洞利用能力与开放权重的防护
Anthropic 9 月 29 日发布对智谱开放权重模型 GLM-5.3 的测试报告，模型能写出攻击浏览器的程序。在报告的模拟测试里，伪装场景等手法可以绕过防护。智谱的发布说明写到，公开的权重只带着模型本身的防护，强大的防御能力也不该只留在少数组织。普通读者能做的是浏览器更新后尽快重新启动。
整理 12 篇原文，来自 Anthropic、Z.ai、NIST 等 7 个出处
维基百科在中国大陆的访问
你在中国大陆访问维基百科，2026 年 10 月的测量结果几乎都是异常或失败。这一天，中国大陆的用户反映被封锁将近一年的英文维基百科可以连上了。
冒充 Gmail 附件预览的钓鱼邮件
Cisco Talos 披露一批发给台湾学术界、智库与公民社会政策社群的钓鱼邮件。邮件用图片在正文仿制 Gmail 的附件卡片，点击后会在 Windows 电脑上启动感染。在浏览器打开时假卡片与真附件几乎分不出来，经常收到演讲邀请或机构来信的人可以留意。
整理 14 篇原文，来自 Cisco Talos、iThome、Google 等 6 个出处
Meta Muse 与 OpenAI Dots 的记忆与权限设计
Meta 的 Muse 与 OpenAI 的 Dots 都在 9 月推出，在云端常驻、读取连接的应用数据并整理成记忆。截至 10 月 2 日，OpenAI 的支持清单不含中国大陆，Muse 在中国大陆的 App Store 没有上架。在海外使用 ChatGPT 或 Mac 的人可以先检查记忆与权限设置。
整理 23 篇原文，来自 Meta、OpenAI、Freedom of the Press Foundation 等 12 个出处
F-Droid 2.0 与 Google 的 Android 开发者验证
开源应用商店 F-Droid 9 月 24 日推出全面重写的 2.0，最低需要 Android 7。Google 9 月 30 日起在巴西、印度尼西亚、新加坡、泰国要求七家商店的应用由验证身份的开发者注册，2027 年扩大到全球的认证 Android 设备。截至 10 月 2 日，各地从 F-Droid 安装应用都不受影响。
整理 19 篇原文，来自 F-Droid、Google、Conversations 等 6 个出处
App Store 应政府要求下架的 App
你在 App Store 能下载哪些 App，会依账号所属的国家或地区而不同。这一天，Apple 从 App Store 下架显示香港警察位置的群众地图 App。
iPhone 自动重启与取证工具的绕过说法
iOS 18.1 起，iPhone 长时间没有解锁会自动重启，让数据回到较难提取的状态。一段约在 2025 年初制作的取证厂商视频里，员工说扣押的手机即使重启也能保留解锁过一次的状态。这项手法对最新版 iOS 是否有效，到 10 月 7 日为止并不清楚。Apple 没有回复报道的询问，担心手机被扣押取证的人可以留意后续。
整理 21 篇原文，来自 Apple、404 Media、Privacy Guides 等 12 个出处
环境捍卫者与技术助长暴力的四国研究
APC 预告巴西、肯尼亚、墨西哥与菲律宾四国的研究，记录环境捍卫者遭受的虚假信息、骚扰与监控，以及社区自己的应对方式。完整报告在北京时间 10 月 8 日晚间在线发布。四国以外的读者可以参考的是以家庭与社区为单位的防护做法。
整理 8 篇原文，来自 APC、EFF、GreatFire
香港的起底删除机制
你如果在香港遭人公开个人资料，可以请香港的个人资料私隐专员公署要求平台删除。这一天，香港的反起底条文开始生效。
移民与边境管理的监控技术与争议
Privacy International 9 月发布指南，整理各国移民与边境机关使用的 12 类技术，包括手机取证、无人机、GPS 追踪与算法决策。直接受影响的是移民与庇护申请者，普通旅客入境时的指纹与面部查验也属于其中一类。英国、德国、加拿大与欧盟机关的公开文件另外列出了用途与保障机制。
整理 13 篇原文，来自 Privacy International、Bundesamt für Migration und Flüchtlinge、Frontex 等 12 个出处
美国警方的车牌识别与一起逮捕案
美国警方使用的 Flock 车牌识别摄像头 8、9 月接连有新进展。Flock 缩短默认的数据保存期限，参议院小组委员会举行听证，佛罗里达州与得州也限制使用。一位被捕后获不起诉的女性则对州警提起诉讼。做法都在美国境内，其他地方的读者不受直接影响。
整理 13 篇原文，来自 Florida Department of Transportation、National Sheriffs' Association、Flock Safety 等 12 个出处
手机加密功能的进口规定
你手机与笔记本电脑里的加密功能，在中国大陆属于不实行进口许可的大众消费类产品。这一天，中国国务院发布当年要求加密产品经国家认可的《商用密码管理条例》。
英国最高法院的间谍软件国家豁免判决
巴林政府被控从国外用间谍软件入侵英国境内的电脑、造成原告精神伤害，英国最高法院判决它不能以外国政府不受别国法院审理为由挡下这场诉讼。判决只决定英国法院能否受理，入侵是否属实还没审。
整理 10 篇原文，来自 UK Supreme Court、legislation.gov.uk、Citizen Lab 等 8 个出处
CryptPad 2026 夏季进度与后量子加密的瓶颈
端到端加密协作套件 CryptPad 制定新的安全政策，漏洞修复发布后至少 90 天才公开细节。后量子加密的实验让部分功能慢到难以使用，浏览器内置新的算法之后有望改善。使用公共实例的人无需调整设置，自行搭建的管理员要跟上新版。
整理 19 篇原文，来自 CryptPad、GitHub、WICG 等 5 个出处
手机通信记录的保存
你打的每个电话，双方号码与时间都会留在电信运营商的记录里。这一天，欧盟法院判决成员国原则上不能要求运营商全面保存所有人的通信与位置数据。
加拿大 C-22 合法访问法案与加密
加拿大的 C-22 法案已在众议院三读通过，政府能要求通信与网络服务商建立协助执法的技术能力、保存元数据，部分加拿大以外的服务商也在范围内。加拿大以外的读者现在不需要调整设置。
整理 11 篇原文，来自 Parliament of Canada、Access Now、Citizen Lab 等 7 个出处
AI 辅助的钓鱼攻击与防范方式
Freedom of the Press Foundation 整理 AI 被用在钓鱼攻击的研究，邮件写得更通顺、更个性化，但识别的危险信号与防御方式没有改变。建议适用于每个收电子邮件与短信的人。
整理 9 篇原文，来自 Freedom of the Press Foundation、Verizon、Monetary Authority of Singapore 等 5 个出处
电信网络里预留的监听能力
你手机上的普通短信没有端到端加密。这一天，美国众议院通过要求电信运营商预留监听能力的法案。
战时人权记录与技术工具的取舍
HURIDOCS 整理苏丹战时人权记录的专家会议。在高风险环境做记录的团体，引进新工具前要评估成本是否值得，以及数据能否与合作伙伴互通。一般用户不需要调整设置。
整理 6 篇原文，来自 HURIDOCS、GitHub、Access Now 等 4 个出处
医疗预约网站把就诊信息发给社交平台的追踪代码
医疗预约平台 Doctoralia 在巴西、哥伦比亚、墨西哥等地的网站，把就诊专科、医生姓名与预约时间发给 Google、TikTok 与 LinkedIn。它的母公司没有在中国大陆、香港、澳门与台湾运营。
整理 16 篇原文，来自 The Markup、Docplanner、GitHub 等 8 个出处
手机上的权限使用记录
你可以在 Android 手机的隐私信息中心，看到最近哪些 App 用过麦克风、相机与位置。这一天，Google 公开了加入这项功能的 Android 12 源代码。
每周短讯 2026 第 40 周
9 月 15 日到 29 日的 6 则新闻，包括 Wayback Machine 误拦真人的访问限制、伦敦车站的实时人脸识别试点、荷兰政府以 NixOS 建立的工作环境、新墨西哥州的 Cambridge Analytica 裁决、澳大利亚的推荐算法退出条款，以及联邦式聊天系统 Parley。
整理 7 篇原文，来自 The Guardian、DAWO、It's FOSS 等 7 个出处
开源 YouTube 客户端 PipePipe 5.4.0
PipePipe 是从 NewPipe 分支出来的 Android 开源客户端，不需要账号与 Google Play 就能观看 YouTube、NicoNico 与 BiliBili。5.4.0 改进了在电视上的操作，也修复了 12 个问题。中国大陆境内的网络无法直接连上 YouTube。
整理 13 篇原文，来自 PipePipe、GitHub、F-Droid 等 6 个出处
旧账号里的密码与密保问题
你在其他网站用过的密码与密保问题，可能早就跟着一个旧账号外泄。这一天，Yahoo 公布早年的一次入侵影响了当时所有的账号。