跳到正文
#CVE
今天10月22日周四5 条
  2. 漏洞与风险TechCrunch · AI88

    NSA 警告 PHP 存在两个严重漏洞，OpenAI 与 Google Wiz 借助 AI 发现

    美国国家安全局（NSA）警告 PHP 存在两个严重漏洞，PHP Foundation 已发布补丁；这两个漏洞自 2004 年的 PHP 5 起就存在于所有版本中，影响约 70% 的网站、超过 3300 万个站点。

    推荐理由：材料呈现了 AI 参与发现 PHP 历史漏洞的过程，以及 NSA 对无法打补丁站点下线的处置建议。

  4. 漏洞与风险The Hacker News75

    GitLab 修复 CVSS 10.0 严重漏洞，影响 2014 年以来所有版本

    GitLab 于 10 月 21 日发布修复，修补一个可让攻击者在未登录情况下在自管理服务器上执行代码的漏洞，影响范围回溯至 2014 年发布的 7.0 版本。此前 10 月 12 日的更新只覆盖 19.2 及更高版本，新修复版本比它高一个补丁版本，因此九天前已打补丁的管理员也需再次升级。

10月21日周三
  1. 漏洞与风险Krebs on Security92

    PHP 两个高危漏洞影响近七成网站，官方发布紧急更新

    PHP 发布紧急安全更新，修复两个可让攻击者在服务器上执行任意代码的高危漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619，影响所有运行 PHP 5.4 及以上版本的 Web 服务器，已在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 中修复。

    推荐理由：梳理 PHP 两个高危漏洞的受影响范围、修复版本与在野利用迹象，并给出与 Log4Shell 的规模对照。

  2. 漏洞与风险The Hacker News78

    PHP 紧急修复两个 PHP2Shell 严重 RCE 漏洞，已出现利用尝试

    PHP 发布紧急更新，修复语言本身两个严重漏洞，攻击者无需账号即可在 Web 服务器上执行代码。修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，PHP 团队称只有升级才能完全保护服务器。这两个漏洞合称 PHP2Shell，位于 PHP 运行时而非任何应用，因此站点即使自身代码无问题也受影响。

    同一新闻，精选展示《PHP 两个高危漏洞影响近七成网站，官方发布紧急更新》

  3. 漏洞与风险Palo Alto Networks Unit 4280

    Unit 42 通报 PHP 两个严重 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619

    Unit 42 通报 PHP 存在两个远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619，CVSS 4.0 评分均为 9.2，建议按 PHP Group 安全公告立即修补。

    推荐理由：材料给出两个 PHP RCE 漏洞的成因与 CVSS 9.2 评级，并附上 2260 万暴露实例的测绘数据，便于评估自身风险面。

  5. 安全通报The Hacker News62

    CISA 要求联邦机构修补已遭利用的 Plex2Shell、西门子和 SiteGuard 漏洞

    美国网络安全和基础设施安全局（CISA）周二将四个漏洞加入已知被利用漏洞（KEV）目录，并要求联邦机构限期修补。其中包括影响 Plex Media Server 的四个漏洞，被统称为 Plex2Shell，已列出的 CVE-2026-96652 为服务端请求伪造（SSRF），CVSS 评分 5.3。标题还点名西门子和 SiteGuard 相关漏洞，但摘要未给出具体编号与细节。

  7. 安全通报Simon Willison80

    eMudhra 八个中间 CA 证书私钥泄露

    eMudhra 八个中间 CA 证书的私钥被泄露，这些证书链到 Mozilla、Microsoft、Apple 和 Chrome 根计划及众多下游信任库所信任的根证书。任何内置受信证书列表的软件都需要更新，Linux 发行版需更新 ca-certificates 包；Python 生态中 uv 0.13.4、pip 26.2.2 和 certifi 2026.10.19 已发布并升级证书列表。

    推荐理由：梳理了受影响的信任链范围与已跟进更新的软件包，便于读者核对自身依赖是否已换新证书列表。

  8. 威胁情报The Hacker News78

    eMudhra 八张中间 CA 证书私钥泄露，浏览器与软件启动应急修复

    Mozilla 与 Google Chrome Root Program 于 10 月 20 日确认，eMudhra 八张中间 CA 证书的私钥已泄露。中间 CA 负责签发网站证书，持有这些私钥者可为任意网站签发浏览器接受的证书。一名研究人员报告了此事，浏览器和软件方已启动应急修复。

    同一新闻，精选展示《eMudhra 八个中间 CA 证书私钥泄露》

10月20日周二
  4. 威胁情报Palo Alto Networks Unit 4278

    Unit 42 更新 PAN-OS CVE-2026-0257 遭勒索团伙利用情况

    Palo Alto Networks Unit 42 更新 PAN-OS 漏洞 CVE-2026-0257 的活跃利用情况，指出 Spikey Scorpius（Qilin）和 Tarnished Scorpius（Inc）等勒索团伙正利用该 GlobalProtect 认证绕过漏洞获取初始访问并绕过 MFA 建立 VPN 会话。

    推荐理由：Unit 42 披露勒索团伙利用 PAN-OS 认证绕过漏洞的完整攻击链，并给出可直接检索的 IOC 与日志排查条件。

  5. 漏洞与风险The Hacker News62

    Broadcom Wi-Fi 配置软件漏洞未修补，攻击者可在无线电范围内以 root 权限执行代码

    安全研究员 Quentin Kaiser 于 10 月 16 日披露，Broadcom Wi-Fi 配置软件存在漏洞，攻击者在无线电范围内无需网络密码或配对步骤，即可在基于 Broadcom 的路由器上以 root 权限执行代码。他在三家比利时互联网服务商提供的家庭网关上演示了该攻击，其中一次从设备上读取了 Wi-Fi 密码。该漏洞目前尚未修补。

10月19日周一
10月17日周六
10月16日周五