Unit 42 通报 PHP 两个严重 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
Unit 42 通报 PHP 存在两个远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619，CVSS 4.0 评分均为 9.2，建议按 PHP Group 安全公告立即修补。
推荐理由：材料给出两个 PHP RCE 漏洞的成因与 CVSS 9.2 评级，并附上 2260 万暴露实例的测绘数据，便于评估自身风险面。
#厂商研究
漏洞与风险Palo Alto Networks Unit 42精选AI 评分8080 威胁情报The Hacker NewsAI 评分4242 Proofpoint 报告：生成式 AI 正抹去行为特征，削弱纯行为检测
Proofpoint 在 Protect 2026 大会上指出，生成式 AI 让恶意邮件变得流畅、个性化且针对每位收件人定制，邮件过滤器长期依赖的行为信号正因此失效。过去靠措辞笨拙、通用借口和复用模板暴露的邮件已不复存在。
漏洞与风险The Hacker NewsAI 评分6060 FortiSIEM 严重漏洞获公开 PoC，可未认证远程执行代码
研究人员针对 Fortinet FortiSIEM 一个已修复的严重漏洞发布了 PoC 利用代码，该漏洞可导致任意代码执行。漏洞编号 CVE-2026-106173，CVSS 评分 9.4，属于路径遍历缺陷，未认证攻击者可通过特制请求执行未授权代码或命令。
威胁情报The Hacker NewsAI 评分5858 黑客利用新型 ROMULUS ClickFix 平台投递 LegionLoader 等恶意软件
Forescout Research - Vedere Labs 披露了名为 ROMULUS 的 ClickFix 投递平台，该平台被用于分发 Legion Loader 等恶意软件。ROMULUS 类似恶意软件投递服务，通过虚假落地页上的 ClickFix 式诱饵，诱骗用户自行运行恶意命令并感染设备。
威胁情报Palo Alto Networks Unit 42AI 评分5252 Unit 42 总结 2026 年 9 月五类主要初始访问途径
Unit 42 发布 2026 年 9 月观察到的五类主要初始访问威胁途径，其中边缘设备漏洞利用排在首位，其后是凭据滥用和钓鱼攻击。该文为摘要，未展开各类途径的具体案例与数据。
安全通报CISA · Cybersecurity Advisories精选AI 评分7878 CISA 要求修复 BeyondTrust Remote Support 严重认证绕过漏洞 CVE-2026-102764
CISA 警告 BeyondTrust Remote Support（原 Bomgar）26.2.3 及更早版本存在严重认证绕过漏洞 CVE-2026-102764，攻击者正利用其获取初始访问并建立持久化、提升权限和横向移动，该漏洞已于 2026 年 10 月 16 日被列入 KEV 目录。
推荐理由：CISA 将 BeyondTrust 认证绕过漏洞列入 KEV，并给出补丁、排查与凭据轮换的具体处置顺序。
威胁情报Palo Alto Networks Unit 42AI 评分6262 Unit 42 披露针对政府 Linux 基础设施的 AI 驱动间谍活动
Palo Alto Networks Unit 42 分析了一起针对政府 Linux 基础设施的 AI 驱动间谍活动，攻击中使用定制恶意软件、Web Shell 和高级凭据窃取手段。该分析由 Roey Porat 和 Tom Fakterman 撰写，目前公开内容仅为摘要。
漏洞与风险The Hacker NewsAI 评分5555 AhsayCBS 两个漏洞遭利用部署 Web Shell，补丁不完整后再发修复
新加坡 Ahsay Backup 发布安全更新，修复 AhsayCBS 中被利用的两个漏洞 CVE-2026-105133 和 CVE-2026-105134，攻击者可串联二者绕过认证并在受影响系统上执行任意命令，用于投放 Web Shell 和 XMRig 加密货币挖矿程序。此次更新是在此前补丁不完整之后发布的。
漏洞与风险The Hacker NewsAI 评分7171 Palo Alto Networks 修复 PAN-OS 管理接口 RCE 漏洞，已遭在野利用
Palo Alto Networks 周三发布 PAN-OS 安全更新，修复管理接口中的远程代码执行漏洞 CVE-2026-0322（CVSS 8.6），该漏洞已遭在野利用。原文称该 RCE 漏洞位于 PAN-OS 软件管理接口，可被远程利用。
漏洞与风险The Hacker NewsAI 评分4747 Drupal 修复 Field UI 严重漏洞：经第三方模块可未授权 RCE
Drupal 核心 Field UI 模块存在严重漏洞，可让攻击者在站点服务器上执行代码，修复已于 10 月 14 日在 Drupal 11.4.10、11.3.19 和 10.6.19 中发布。Drupal 安全团队称攻击者无法仅通过核心触发该漏洞，但存在多条经第三方贡献模块的利用路径，其中至少一条已知路径无需登录。
漏洞与风险The Hacker NewsAI 评分4242 NGINX 修复 5 个漏洞，含潜在 RCE 与可绕过客户端证书校验的 TLS 缺陷
NGINX 于 10 月 14 日发布 1.30.6 和 1.31.7 版本，修复 5 个漏洞，其中一个自 2005 年 5 月起存在于所有版本中。其中三个内存漏洞可能导致 worker 进程崩溃甚至被攻击者执行代码，但均需特定配置才能利用；第四个漏洞可让攻击者伪造 TLS 会话，可能绕过客户端证书校验。
威胁情报The Hacker NewsAI 评分6868 Citizen Lab 称 Al Jazeera 遭 Candiru 零点击间谍软件攻击，通过定向在线广告感染
Citizen Lab 研究人员周四称，以色列间谍软件厂商 Candiru 通过普通在线广告感染了半岛电视台（Al Jazeera）的设备，攻击无需用户点击或任何操作。隐藏的攻击代码在广告加载到屏幕上的瞬间即执行，部分情况下广告在后台不可见处加载。Candiru 是向政府出售间谍软件的厂商。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-108452：Microsoft Office SharePoint 远程代码执行漏洞
Microsoft 披露 CVE-2026-108452，为 Microsoft Office SharePoint 远程代码执行漏洞，该漏洞已由 2026 年 10 月发布的更新修复，但被遗漏在当月安全更新公告之外。已安装 2026 年 10 月更新的客户无需再采取任何措施，此次仅为信息性变更。
威胁情报Mandiant Threat Intelligence精选AI 评分7878 Mandiant 披露 ARMORY CASTLE 利用 BeyondTrust 漏洞 CVE-2026-102764 的入侵活动
Mandiant 称在事件响应中发现，疑似中国背景的间谍组织 ARMORY CASTLE（原编号 UNC5221）在 2026 年 8 月下旬将 BeyondTrust Remote Support 的漏洞 CVE-2026-102764 作为零日漏洞利用，该漏洞可导致任意文件上传。
推荐理由：Mandiant 披露 ARMORY CASTLE 利用 BeyondTrust 零日漏洞的入侵证据，可了解该组织在设备内部提权与持久化的手法。
漏洞与风险CISA · Cybersecurity AdvisoriesAI 评分4242 Eclipse Milo 多个版本存在漏洞，CISA 发布安全公告
Eclipse Foundation Eclipse Milo 0.6.0 至 1.1.4 版本存在漏洞，攻击者可删除受保护数据、恢复用户凭据、冒充合法用户或导致服务器停止响应所有客户端。
漏洞与风险CISA · Cybersecurity AdvisoriesAI 评分3838 Thermo Fisher Torrent Suite Software 路径遍历漏洞（CVE-2026-107777）
Thermo Fisher Torrent Suite Software 5.18 及更早版本存在路径遍历漏洞（CVE-2026-107777），已认证攻击者可读取 Torrent Server 上 Web 服务账户可访问的任意文件，CVSS 3.1 评分 6.5、CVSS 4.0 评分 7.1。厂商已修复该漏洞，建议用户升级至 5.22 或更高版本。
漏洞与风险BleepingComputerAI 评分6262 BeyondTrust 修复自 8 月底被利用的 Remote Support 零日漏洞
BeyondTrust 于周四警告客户修复 Remote Support（RS）中的一个严重漏洞，该漏洞自 8 月底以来已在零日攻击中被利用。目前仅有摘要信息，漏洞编号与具体影响范围尚未披露。
威胁情报Mandiant Threat Intelligence精选AI 评分7878 Mandiant 披露 AOMEI 更新服务器遭 UNC7017 短窗口篡改
Google Threat Intelligence Group 与 Mandiant 调查了 2026 年 4 月至 7 月针对 AOMEI Technology 更新基础设施的软件供应链攻击，攻击者反复对 AOMEI 源服务器做短时配置篡改，每次篡改窗口仅持续五到十分钟便恢复为真实版本。
推荐理由：披露一种仅持续五到十分钟的供应链篡改手法，为防守方理解短窗口投毒与基础设施封堵难点提供参考。
威胁情报The Hacker NewsAI 评分7272 低价安卓手机固件预装恶意软件，被用于住宅代理与广告欺诈
Bitdefender 披露名为 Midnight Mimosa 的活动，多款基于 MediaTek 平台的低价安卓手机在固件中预装恶意软件 com.android.system.lite，以系统级权限远程加载载荷，进行广告欺诈、静默安装应用并把设备变成住宅代理节点。
漏洞与风险The Hacker NewsAI 评分5353 Progress 披露 MarkLogic 31 个漏洞，两个严重漏洞可让委派管理员获得持久管理员权限
Progress Software 于 10 月 12 日披露 MarkLogic Server 的 31 个漏洞，其中 5 个评为严重，CVE-2026-85947 和 CVE-2026-85948 均评 9.9 分，可让仅有部分管理权限的账户获得服务器的持久管理员控制权。
威胁情报The Hacker News精选AI 评分7878 法国数百家超市冷藏控制器被劫持，冰柜被加热至50°C
10月11日夜间，攻击者远程控制法国数百家超市的Danfoss冷藏控制器，将冰柜置于除霜模式并加热至最高50°C，导致门店丢弃食品。CERT-FR于10月12日发布警报，称已知悉影响Danfoss AK-SM和AK-SC两个控制器系列的多起入侵，要求运营方断开控制器或过滤其访问，ANSSI负责人Vincent Strubel称应尽快将这两个系列从互联网下线。
推荐理由：事件涉及已停产工控控制器被远程操控，读者可了解攻击面、受影响型号与官方处置建议。
漏洞与风险The Hacker NewsAI 评分4747 LG 智能电视 webOS 三个漏洞可被链式利用实现本地网络预认证 root 接管
LG webOS 存在三个可链式利用的漏洞，同一局域网内的攻击者无需 PIN 或用户交互即可获取部分智能电视的 root 权限，LG 已发布修复。
漏洞与风险The Hacker NewsAI 评分6262 SAP 披露 Cloud SDK for Python 的 CVSS 10.0 漏洞，可致 OAuth2 凭据泄露
SAP 在 10 月 13 日的安全公告中披露，其 Cloud SDK for Python 存在可把应用 OAuth2 客户端凭据发送到攻击者控制服务器的漏洞，编号 CVE-2026-89111，CVSS 评分 10.0，影响 SAP BTP 上使用该 SDK 的多租户应用。
漏洞与风险The Hacker News精选AI 评分7878 攻击者串联三个 Ivanti Connect Secure 零日漏洞获取 root 权限，目前仅修复两个
安全公司 Volexity 称，攻击者串联 Ivanti Connect Secure 的三个零日漏洞，在无需登录的情况下以 root 权限执行命令，Ivanti 已修复其中两个，第三个权限提升漏洞的补丁仍在开发中。
推荐理由：梳理了三个零日漏洞的串联利用链、受影响版本与检测盲区，可供企业排查 Ivanti Connect Secure 风险。
漏洞与风险The Hacker NewsAI 评分6767 Docker 修复存在两年的 Docker Hub 严重漏洞，可让一个用户以他人身份推送镜像
Docker 修复了 Docker Hub 中一个存在约两年的严重漏洞，该漏洞允许一个用户以另一个用户的身份推送、拉取或删除镜像。漏洞位于个人账户转换为组织的功能中，转换会把账户的 PAT 转移给被指定为组织所有者的用户，而令牌创建者仍可使用它。
安全研究The Hacker NewsAI 评分6262 Anthropic 警告小型 AI 模型或形成自传播 IoT 僵尸网络
Anthropic 警告小型 AI 模型可能很快具备在智能烤箱、杂牌 Android TV 盒子等 IoT 设备上自我复制的能力，形成难以关停的自主蠕虫僵尸网络，因为不存在可集中关闭的节点。
漏洞与风险The Hacker News精选AI 评分7878 腾讯朱雀实验室披露 Linux vhost 漏洞 CVE-2026-74580，本地用户可提权至 root 并逃逸虚拟机
Linux vhost 子系统存在漏洞 CVE-2026-74580（代号 Vghost），本地用户可任意读写内核内存、绕过 KASLR 并提权至 root，在特定虚拟化配置下还能让不受信任的虚拟机写入宿主机内存并劫持 QEMU 进程。
推荐理由：梳理了 CVE-2026-74580 的成因、受影响内核版本与各发行版修复进度，可据此判断自身环境风险。
安全通报The Hacker NewsAI 评分4040 Reflectiz AI 渗透测试智能体自主发现大型保险公司生产环境 OTP 认证绕过漏洞
Reflectiz 的 AI 渗透测试智能体在一次授权评估中，自主发现某大型保险公司生产网站存在严重级认证绕过漏洞：登录请求可指定 OTP 的发送渠道和地址，服务器未校验该地址是否属于对应账户。该网站拥有数百万用户，智能体在登录成功后触发护栏停止测试，Reflectiz 已将漏洞报告给该保险公司。
漏洞与风险The Hacker NewsAI 评分6868 Cisco 警告 Secure Email Gateway 严重漏洞正遭活跃利用
Cisco 在周三发布的公告中表示，攻击者正在利用 Cisco Secure Email Gateway 的一个严重漏洞，未登录的发件人可借此向设备操作系统写入文件。攻击者通过网关发送带有特制附件的邮件，一旦成功便可能以 root 权限执行命令。该设备用于为企业过滤垃圾邮件和恶意软件。
漏洞与风险BleepingComputerAI 评分6565 Cisco 修补 Secure Email Gateway 在野利用零日漏洞 CVE-2026-76519
Cisco 修补了 Secure Email Gateway（SEG）中一个已被在野利用的零日漏洞 CVE-2026-76519，远程未认证攻击者可通过发送带恶意附件的邮件写入任意文件并以 root 权限执行命令。
漏洞与风险BleepingComputerAI 评分7272 Palo Alto Networks 警告 PAN-OS RCE 零日漏洞 CVE-2026-0322 已被利用
Palo Alto Networks 发布安全更新，修复已被在攻击中利用的高危 PAN-OS RCE 零日漏洞 CVE-2026-0322，该漏洞影响 PAN-OS 管理界面，CVSS 评分 8.6，攻击者需已有凭据并具备管理界面的网络访问权限才能以 root 身份执行代码。
安全研究Sophos X-OpsAI 评分3838 Sophos AI 将在 CAMLIS 展示用分层证据图校准智能体 SOC 分析师的研究
Sophos AI 连续第四年参加 CAMLIS，高级 AI/ML 工程师 Tamás Nyiri 将于 10 月 23 日主持海报环节，介绍通过分层证据图校准智能体 SOC 分析师的方法。
威胁情报Palo Alto Networks Unit 42精选AI 评分7878 Unit 42 披露 PEERSTITCH 植入体：FortiManager 漏洞致 500 多台 FortiGate 受影响
Palo Alto Networks Unit 42 披露一起针对电信托管服务商的入侵，攻击者利用 CVE-2024-47575 攻陷 FortiManager，窃取含 500 多台 FortiGate 防火墙运行配置、凭据与拓扑的归档文件。
推荐理由：披露 FortiManager 被攻陷后波及 500 多台防火墙的完整链路，并给出内存驻留植入体的检测思路。
安全研究The Verge · AIAI 评分6262 Anthropic 警告自复制 AI 蠕虫风险，实验用 15 台电视盒子跑 Gemma 4
Anthropic 本周发布博客称，小型 AI 模型可能“数月后”具备自复制能力，其研究把 260 亿参数的 Google Gemma 4 拆分运行在 15 台 Android 电视盒子上，并在模拟 Android 网络中测试 AI 蠕虫传播，只有 GLM-5.2 能扩散到整个网络。
安全通报Ars Technica · AIAI 评分6262 Anthropic 警告小型 AI 模型或可借 IoT 设备自我复制
Anthropic 警告，小型 AI 模型的进展可能催生能感染智能冰箱、扫地机器人等 IoT 设备的新型自我复制恶意软件，且更难被清除。该公司称，到明年小型 AI 模型或能在各类 IoT 设备上自主自我复制，最终可能形成无需人工交互即可传播的计算机蠕虫。
安全研究Sophos X-OpsAI 评分3838 Sophos X-Ops 解析：如何在不读心的情况下构建基于意图的访问控制
Sophos X-Ops 发文探讨基于意图的访问控制如何落地：本地小模型已能较好重建屏幕操作，Gemini Flash 8B 分解式流程推断用户目标的效果接近 Gemini 1.5 Pro，而后者每 token 成本高出 30 倍以上。
安全实践Sophos X-OpsAI 评分2222 Sophos 如何阻止 EDR Killer 让端点防护失效
Sophos X-Ops 披露攻击者常用 EDR Killer 工具，通过 BYOVD 技术加载合法签名的漏洞驱动进入 Windows 内核，强制关闭端点防护进程，且同一工具被多个勒索软件团伙反复改造使用。
安全研究Palo Alto Networks Unit 42AI 评分3535 Unit 42 披露：欧洲某银行因第三方网关配置缺陷遭持续数月入侵
Palo Alto Networks Unit 42 披露，一家欧洲银行的中央 IT 系统因第三方托管的外部网关未正确配置严格认证，遭攻击者利用泄露凭据发起持续数月的 VPN 未授权访问。
漏洞与风险Microsoft MSRCAI 评分3030 CVE-2026-97834：DNS Server 信息泄露漏洞
Microsoft 披露 CVE-2026-97834，DNS Server 存在越界读取漏洞，已获授权的攻击者可借此通过网络泄露信息。
漏洞与风险Microsoft MSRCAI 评分3434 Microsoft Configuration Manager 存在 CVE-2026-88075 权限提升漏洞
Microsoft Configuration Manager 被披露存在 SQL 注入漏洞 CVE-2026-88075，源于 SQL 命令中特殊元素未被正确中和，已授权攻击者可借此通过网络提升权限。该漏洞由 Microsoft MSRC 发布。