软件供应链安全数据周报｜2026-10-19 ~ 2026-10-25
> **数据周期**：2026-10-19 至 2026-10-25
> 本周从**安全漏洞、开源许可证、组件、二进制**四个维度，汇总软件供应链新增数据，供研发与安全团队参考。
📊 本周数据概览
| 维度 | 本周新增 | 说明 |
|---|---|---|
| 🔴 安全漏洞 | 4,218 | 含严重/高危漏洞 1,612 个 |
| 📦 开源组件 | 43,870 | 本周入库组件版本 |
| 📄 许可证 | 22,201 | 新增组件涉及的许可证声明 |
| 🧬 二进制映射 | 16 | 二进制→组件/产品映射新增 |
一、安全漏洞周报
本周收录 **4,218** 条安全漏洞（CVE/CNNVD）。
**风险等级分布**：
| 风险等级 | 数量 | 占比 |
|---|---|---|
| 严重 | 299 | 7.1% |
| 高危 | 1,313 | 31.1% |
| 中危 | 1,515 | 35.9% |
| 低危 | 256 | 6.1% |
| 未分级 | 835 | 19.8% |
**本周重点关注漏洞（按 CVSS 排序 Top 8）**：
| CVE | 等级 | CVSS | 漏洞要点 |
|---|---|---|---|
| CVE-2026-115933 | 严重 | 9.9 | Postiz signs its session, invitation and password reset tokens with one shared... |
| CVE-2026-115931 | 严重 | 9.9 | Postiz lets a signed-in user ask the backend to run a function on one of their... |
| CVE-2026-115893 | 严重 | 9.9 | Wasmtime is a runtime for WebAssembly |
| CVE-2026-115889 | 严重 | 9.9 | Wasmtime is a runtime for WebAssembly |
| CVE-2026-53942 | 严重 | 9.9 | Conda Organization Infrastructure is a centralized location for infrastructure... |
| CVE-2026-94075 | 严重 | 9.8 | Deserialization of Untrusted Data vulnerability in Tribulant Software Newslett... |
| CVE-2026-114196 | 严重 | 9.8 | Deserialization of Untrusted Data vulnerability in paytiumsupport Paytium payt... |
| CVE-2026-110956 | 严重 | 9.8 | The asVereinbase WordPress plugin before 1.1.8 does not require a valid passw... |
> 漏洞数据覆盖 CVE / CNNVD / CNVD 等来源，可进一步按风险等级、产品、时间维度检索分析。
二、开源许可证周报
本周新增组件涉及 **22,201** 条许可证声明。
**主流许可证分布（Top 8）**：
| 许可证 | 数量 |
|---|---|
| The Apache Software License, Version 2.0 | 4,928 |
| Apache-2.0 | 3,838 |
| Apache License, Version 2.0 | 2,910 |
| MIT License | 2,495 |
| The Apache License, Version 2.0 | 2,081 |
| MIT | 1,871 |
| Apache 2 | 684 |
| The MIT License | 539 |
**高风险/传染性许可证新增提示**（建议关注合规风险）：
-
**LGPL v2.1+**：新增 78 条
-
**GNU General Public License (GPL)**：新增 52 条
-
**GPLv3**：新增 23 条
> 高风险（AGPL/GPL/LGPL 等）许可证在商业闭源分发时需重点评估合规与传染性风险。
三、开源组件周报
本周新增 **43,870** 个组件版本。
**语言/生态分布（Top 5）**：
| 生态 | 数量 |
|---|---|
| java | 43,870 |
> 组件漏洞信息覆盖 Maven / npm / PyPI 等多生态，可按组件名或 CVE ID 关联分析。
四、二进制安全分析
本周新增 **16** 条二进制→组件/产品映射。
**本周新增二进制映射（前 10）**：
| 二进制 | 组件/产品 | 厂商 | 置信度 |
|---|---|---|---|
| arrow | arrow | apache | 65 |
| ardupilot | ardupilot | ardupilot | 65 |
| drogon | drogon | drogonframework | 65 |
| sketchybar | sketchybar | felixkratz | 65 |
| ecapture | ecapture | gojue | 65 |
| mediapipe | mediapipe | google_ai_edge | 65 |
| mujoco | mujoco | google_deepmind | 65 |
| gperftools | gperftools | gperftools | 65 |
| janus-gateway | janus_gateway | meetecho | 65 |
| wsl2-linux-kernel | wsl2_linux_kernel | microsoft | 65 |
> 通过二进制文件名可反查关联的产品、组件及历史 CVE，适用于软件资产盘点与成分分析。
--