PHP 两个高危漏洞影响近七成网站，官方发布紧急更新
PHP 发布紧急安全更新，修复两个可让攻击者在服务器上执行任意代码的高危漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619，影响所有运行 PHP 5.4 及以上版本的 Web 服务器，已在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 中修复。
推荐理由：梳理 PHP 两个高危漏洞的受影响范围、修复版本与在野利用迹象，并给出与 Log4Shell 的规模对照。
#安全事件
漏洞与风险Krebs on Security精选AI 评分9292 漏洞与风险The Hacker NewsAI 评分6262 PHP2Shell 两个 PHP 严重漏洞补丁发布前，单一缓解设置不足以防护
PHP 将于 10 月 21 日 14:00 UTC 发布针对两个被称作 PHP2Shell 的严重漏洞的修复，官方评分为 9.2（满分 10），且未提供官方临时缓解方案。提出相关变通设置的安全公司表示，该设置单独使用并不足以在补丁发布前完全阻断这两个漏洞。
漏洞与风险The Hacker NewsAI 评分6262 GitLab 修复 CVSS 10.0 漏洞，未认证用户可执行服务器代码
GitLab 为 Community Edition 和 Enterprise Edition 发布补丁，修复一个 CVSS 10.0 的最高危漏洞 CVE-2026-97229。
漏洞与风险The Hacker NewsAI 评分6262 微软修复创纪录的 1,413 个漏洞，含一个已被利用的 Windows Shell 漏洞
微软本周二发布补丁修复 1,413 个漏洞，创下自身 Patch Tuesday 纪录，其中 Windows 占 1,102 个、Office 占 134 个，超过 670 个为权限提升类，70 余个被评为严重级别。
漏洞与风险BleepingComputerAI 评分6262 微软 2026 年 10 月补丁日修复 1411 个漏洞，含 3 个零日
微软 2026 年 10 月补丁日发布安全更新，修复创纪录的 1411 个漏洞，其中 70 个为“严重”级别，57 个属远程代码执行。
漏洞与风险BleepingComputerAI 评分6262 Ghostscript 堆溢出漏洞 CVE-2026-39919 可经 PDF 上传劫持服务器
Ghostscript 解释器与渲染引擎存在严重堆缓冲区溢出漏洞 CVE-2026-39919，攻击者可通过特制 PDF 文件实现远程代码执行。
漏洞与风险BleepingComputerAI 评分6565 Cisco 修补 Secure Email Gateway 在野利用零日漏洞 CVE-2026-76519
Cisco 修补了 Secure Email Gateway（SEG）中一个已被在野利用的零日漏洞 CVE-2026-76519，远程未认证攻击者可通过发送带恶意附件的邮件写入任意文件并以 root 权限执行命令。
漏洞与风险Krebs on SecurityAI 评分6262 微软修复超过 1400 个安全漏洞
微软发布更新修复 Windows 及其他软件中超过 1400 个安全漏洞，规模远超 9 月近 1000 个的纪录。其中仅一个被认定为已遭利用的零日漏洞 CVE-2026-96951，是影响 Windows 10、11 及部分 Server 版本的 Windows Shell 安全功能绕过；至少 78 个漏洞被评为严重级别。
漏洞与风险勒索情报 · 定时任务精选AI 评分7878 WordPress 插件 Bricksforge 满分漏洞 CVE-2026-85097 遭在野利用
Patchstack 披露 WordPress 插件 Bricksforge 存在未认证任意文件上传漏洞 CVE-2026-85097，CVSS 评分 10.0，影响 3.1.8.9 及更早版本，修复版本为 3.1.8.10。
推荐理由：材料完整还原了校验时机错位导致的绕过链条，并给出日志检索与文件排查的具体处置路径。
漏洞与风险BleepingComputerAI 评分7272 SonicWall SMA1000 最高危漏洞 CVE-2026-102255 已被用于攻击
SonicWall SMA1000 设备存在最高危漏洞 CVE-2026-102255，已于本周二修复，影响 SMA1000 6210、7210 和 8200v 的 Appliance WorkPlace 接口，不影响 SMA 100 系列和 SonicWall 防火墙上的 SSL-VPN。
漏洞与风险The Hacker NewsAI 评分7171 Atlassian Data Center 任意文件访问漏洞 CVE-2026-21589 公开两小时内出现利用尝试
Atlassian Data Center 多个产品存在任意文件访问漏洞 CVE-2026-21589（CVSS 9.3），未认证攻击者可在已知目标文件确切名称和路径的前提下访问 Web 应用根目录下的特定文件。