CNCERT就PHP2Shell高危漏洞发布修复风险提示
CNCERT发布安全公告CNTA-2026-0006，提示PHP官方于2026年10月21日修复并披露两个高危远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675，对应CVE-2026-109618、CVE-2026-109619）。
#CVE
安全通报CNCERT 监管通报AI 评分6767
安全通报The Hacker NewsAI 评分6262 CISA 要求联邦机构修补已遭利用的 Plex2Shell、西门子和 SiteGuard 漏洞
美国网络安全和基础设施安全局（CISA）周二将四个漏洞加入已知被利用漏洞（KEV）目录，并要求联邦机构限期修补。其中包括影响 Plex Media Server 的四个漏洞，被统称为 Plex2Shell，已列出的 CVE-2026-96652 为服务端请求伪造（SSRF），CVSS 评分 5.3。标题还点名西门子和 SiteGuard 相关漏洞，但摘要未给出具体编号与细节。
安全通报Simon Willison精选AI 评分8080 eMudhra 八个中间 CA 证书私钥泄露
eMudhra 八个中间 CA 证书的私钥被泄露，这些证书链到 Mozilla、Microsoft、Apple 和 Chrome 根计划及众多下游信任库所信任的根证书。任何内置受信证书列表的软件都需要更新，Linux 发行版需更新 ca-certificates 包；Python 生态中 uv 0.13.4、pip 26.2.2 和 certifi 2026.10.19 已发布并升级证书列表。
推荐理由：梳理了受影响的信任链范围与已跟进更新的软件包，便于读者核对自身依赖是否已换新证书列表。
安全通报The Hacker NewsAI 评分6262 Go 发布紧急更新，因未披露安全问题阻断 8 个 CA 密钥
Go 1.27.3 和 Go 1.26.10 于 10 月 20 日发布，使 Go 的证书验证器拒绝任何经过 8 个中间证书颁发机构密钥的证书链。使用新版本构建的程序将拒绝连接证书由这些密钥签发的站点和服务。Go 团队称这些密钥属于同一家证书颁发机构，但未披露具体原因。
安全通报CISA · Cybersecurity AdvisoriesAI 评分5858 CISA 将 Fortinet 与 BeyondTrust 两个已遭利用漏洞纳入 KEV 目录
CISA 基于已发现的实际利用证据，将 CVE-2025-61624（Fortinet 多产品路径遍历漏洞）和 CVE-2026-102764（BeyondTrust Remote Support 身份验证绕过欺骗漏洞）加入已知被利用漏洞（KEV）目录。
安全通报CISA · Cybersecurity Advisories精选AI 评分7878 CISA 要求修复 BeyondTrust Remote Support 严重认证绕过漏洞 CVE-2026-102764
CISA 警告 BeyondTrust Remote Support（原 Bomgar）26.2.3 及更早版本存在严重认证绕过漏洞 CVE-2026-102764，攻击者正利用其获取初始访问并建立持久化、提升权限和横向移动，该漏洞已于 2026 年 10 月 16 日被列入 KEV 目录。
推荐理由：CISA 将 BeyondTrust 认证绕过漏洞列入 KEV，并给出补丁、排查与凭据轮换的具体处置顺序。
安全通报CISA · Cybersecurity AdvisoriesAI 评分4242 CISA Malcolm 多个版本曝 6 个漏洞，含认证绕过与 SSRF
CISA 披露 Malcolm 存在 6 个漏洞，影响 Malcolm <=v26.07.1 与 <=v26.08.0，涉及认证绕过、越权、SSRF、CSRF 及压缩数据放大等问题。其中 CVE-2026-107336 可让未认证请求经 nginx 大小写绕过抵达 Arkime 后端并伪造 X-Forwarded-User 身份。厂商已在 Malcolm v26.08.0 中修复。
安全通报CISA · Cybersecurity AdvisoriesAI 评分6060 CISA 通报广州隽云 EseeCloud 摄像头高危漏洞，厂商未回应
CISA 发布 ICSA-26-288-02 通报，广州隽云 IoT Technology 的 EseeCloud App（<=4.9.6）和固件（<=4.9.86.0）存在三个漏洞，涉及硬编码凭据（CWE-798）、动态属性修改控制不当和可观察响应差异，CVSS 3.1 评分 9.8。
安全通报CISA · Cybersecurity AdvisoriesAI 评分5858 CISA 通报 J4Care dcm4chee-arc-light 5.35.1 多个漏洞，建议升级至 5.35.2
CISA 发布 ICS 医疗公告，指出 J4Care dcm4chee-arc-light 5.35.1 存在多个漏洞，成功利用可删除已存储的医疗影像、泄露患者信息、注入伪造检查、重新分配患者记录、覆盖文件并造成拒绝服务。
安全通报The Hacker News精选AI 评分8080 CISA 要求立即更新 Ivanti Connect Secure，蜜罐已记录 105 次利用尝试
美国网络安全和基础设施安全局（CISA）敦促组织立即将 Ivanti Connect Secure（ICS）设备更新至最新版本，以修复已被在野利用的认证绕过漏洞 CVE-2026-104935（CVSS 8.6），该漏洞影响 25.1.1.1 及更早、25.1.2.2 及更早和 22.8R2.4 及更早版本，可让远程未认证攻击者执行任意命令。
推荐理由：CISA 要求限期修复与蜜罐捕获的 105 次利用尝试，呈现了该漏洞从定向攻击走向大规模利用的节奏。
安全通报BleepingComputer同新闻AI 评分7878 CISA 要求管理员立即修复被作为零日利用的 Ivanti 漏洞
CISA 要求安全团队立即修补 Ivanti Connect Secure 的认证绕过漏洞 CVE-2026-104935，该漏洞自至少 10 月 1 日起被用于零日攻击，可让远程未授权攻击者以低复杂度、无需用户交互的方式在目标 ICS 系统上执行任意命令。
同一新闻，精选展示《CISA 敦促修复 Ivanti Connect Secure 新遭利用漏洞 CVE-2026-104935》
安全通报CISA · Cybersecurity AdvisoriesAI 评分6262 CISA 将四个已遭利用漏洞纳入 KEV 目录
CISA 基于存在活跃利用的证据，将四个漏洞加入已知被利用漏洞（KEV）目录，分别是 Palo Alto Networks PAN-OS 代码注入漏洞 CVE-2026-0322。
安全通报CISA · Cybersecurity Advisories精选AI 评分7878 CISA 敦促修复 Ivanti Connect Secure 新遭利用漏洞 CVE-2026-104935
CISA 就 Ivanti Connect Secure 新遭利用的零日认证绕过漏洞 CVE-2026-104935 发出通报，该漏洞影响 25.1.1.1 及之前、25.1.2.2 及之前和 22.8R2.4 及之前版本，可被远程未认证执行任意命令，用于窃取凭据和外传数据。
推荐理由：CISA 将 Ivanti Connect Secure 零日认证绕过漏洞列入 KEV 目录，并给出取证与恢复步骤，可据此排查受影响设备。
安全通报The Hacker NewsAI 评分2222 安全周报：Atlassian 0-Day 被利用、ShinyHunters 第三名成员被捕、DarkSword 新变种窃取 iOS 钥匙串
Atlassian Data Center 产品的高危任意文件访问漏洞 CVE-2026-21589（CVSS 9.3）在 watchTowr 公布技术细节两小时后即遭在野利用，波及 Bitbucket、Confluence、Jira 等多款产品。
安全通报The Hacker NewsAI 评分6565 CISA 将 Flax Typhoon 利用的五个漏洞列入 KEV，联邦机构须在 10 月 11 日前修补
美国网络安全和基础设施安全局（CISA）将五个安全漏洞加入已知被利用漏洞（KEV）目录，这些漏洞已被与中国关联的威胁组织 Flax Typhoon 利用。
安全通报The Hacker NewsAI 评分6262 三支团队在 Pwn2Own 上远程攻破全补丁 Google Pixel 10
在 10 月 8 日于爱尔兰科克举行的 Pwn2Own 上，三支研究团队远程攻破了 Google Pixel 10，三场胜利合计支付 562,500 美元。其中 Ikotas Labs 获得最高奖 300,000 美元并成为总冠军，其与 Xint 的参赛条目均被 ZDI 标注为 collision，即使用了已知漏洞，但 ZDI 未解释为何 Ikotas Labs 仍获全额奖金。
安全通报BleepingComputerAI 评分6262 Pwn2Own Ireland 2026 落幕，98 个零日漏洞换得 126.2 万美元奖金
Pwn2Own Ireland 2026 结束，参赛者共利用 98 个零日漏洞，获得 1,262,000 美元奖金。
安全通报BleepingComputerAI 评分4242 三星 Galaxy S26 在 Pwn2Own Ireland 2026 上被三次攻破
Pwn2Own Ireland 2026 第二天，安全研究人员利用 45 个零日漏洞获得 232,500 美元奖金，三星 Galaxy S26 旗舰机被 KAIST Hacking Lab 的 Kyeongmin Kim。
安全通报BleepingComputerAI 评分5656 Pwn2Own Ireland 2026 首日：研究人员利用 32 个零日漏洞攻破三星 Galaxy S26 等目标
在 Pwn2Own Ireland 2026 比赛首日，安全研究人员利用 32 个零日漏洞攻破多个目标，共获得 388,500 美元奖金，其中三星 Galaxy S26 被攻破两次。
安全通报CNCERT 监管通报精选AI 评分8585 CNCERT与绿盟科技伏影实验室联合发布NutsBot僵尸网络利用React2Shell漏洞传播风险提示
国家互联网应急中心（CNCERT）与绿盟科技伏影实验室联合监测到黑客利用React2Shell（CVE-2025-55182）漏洞传播新型僵尸网络NutsBot，并发布风险提示。
推荐理由：CNCERT与绿盟科技伏影实验室联合发布的风险提示，披露NutsBot僵尸网络利用React2Shell（CVE-2025-55182）漏洞传播，包含漏洞成因、僵尸网络功能与传播态势，对国内用户排查与防护有直接参考价值。