ZONE.CI 全球网

本文以中年IT人副业困境为切入点，推广漏洞赏金作为技术变现路径，强调合规授权前提，介绍众测平台与学习资料，最终导向免费领取网络安全学习包的广告引流。内容偏软文，技术深度有限，但安全意识与合规边界表述清晰。

印度证书机构emudhra的8张中间证书私钥因生成环节缺陷被外部研究者秒破，密钥随机性仅一个字节，影响Chrome、Mozilla等信任链，涉及TLS和代码签名证书。Mozilla紧急移除对根证书信任，事件暴露密钥生成流程严重漏洞，需加强HSM使用与审计。

腾讯云鼎实验室推出CodeBuddySecurity的SCA漏洞可达性分析功能，通过ReachX引擎结合AI提取证据与规则判定，将漏洞信息与项目源码及配置关联，帮助团队缩小重点复核范围并优化修复排序。真实项目测试中告警队列规模缩小88.4%，降噪效果显著，同时提供可复核的代码位置与判定理由，为安全团队提供更精准的修复依据。

codebuddysecurity推出SCA漏洞可达性分析功能，通过新开发的ReachX引擎结合AI提取证据与规则判定，将漏洞信息与项目源码及配置关联，帮助团队缩小重点复核范围并为修复排序提供依据。在真实开源项目510条告警中，判为可达的仅59条，队列规模缩小88.4%，有效降低告警噪音，提升修复优先级判断的准确性。

鄂尔多斯两家企业因信息系统存在未授权访问等高危漏洞且主机遭远控，被市委网信办依法约谈。依据网络安全法、数据安全法等法律，要求企业立即整改并建立常态化巡检与应急处置机制。网信部门提示网络运营者应落实主体责任，定期开展漏洞检测与风险评估，及时修补漏洞，防范弱口令、未授权访问等风险，发生安全事件须第一时间报告。

本文为PHP双RCE严重漏洞预警，涉及CVE-2026-109618与CVE-2026-109619，CVSSv4.0评分9.2，CERT-EU提示潜在未认证RCE风险。官方计划今晚22时发布更新。建议立即清点PHP资产、准备备份与回退方案、收敛公网暴露面，更新后逐实例确认版本并排查异常。

华顺信安报告PHP两个严重RCE漏洞CVE-2026-109618与CVE-2026-109619，CVSSv4.0评分9.2，影响PHP解释器内核，无需认证即可利用，波及WordPress等主流应用。官方修复版本于10月21日22:00发布，受影响分支为8.2至8.5。建议补丁发布前完成资产清点、暴露面收敛与日志留存，升级后需重启相关进程并核验实际运行版本。

Handlebars.js存在validateAstNode原型链绕过漏洞(CVE-2026-106446)，影响4.0.0至4.7.9版本，CVSS评分9.8，可导致远程代码执行。攻击者通过原型链绕过安全校验，在服务端执行任意代码。建议立即升级至4.7.10或更高版本，并采取限制输入类型、避免原型链操作等临时缓解措施。

本文是对PHP2SHELL两个高危漏洞(CVE-2026-109618与CVE-2026-109619)的前瞻分析，评分均为9.2。文章解析了漏洞原理：前者涉及任意session值写入，需配合文件包含等条件方可RCE；后者为二进制层面UAF漏洞，作者未能成功复现。作者认为目前公开POC效果有限，实际危害需待正式详情公布后验证，建议关注官方更新。

该文档为Linux内核虚拟机逃逸漏洞CVE-2026-99999的预警通告。漏洞源于skb_checksum_help函数对IPv4数据包校验和元数据校验缺失，影响2.6.27至7.2.10等广泛版本，攻击者可越界读取宿主机内存或触发崩溃。建议通过官方源升级内核至最新安全版本并重启系统。

长亭应急响应中心监测到PHPCore存在两处远程代码执行漏洞CVE-2026-109618与109619，CVSSv4.0评分9.2，源于session上传进度处理机制中的UAF漏洞，可能导致任意代码执行。官方计划于2026年10月21日发布安全更新，建议用户立即清点资产、准备补丁窗口，并采取临时缓解措施如关闭上传进度条功能。

PHP核心引擎曝出两个严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，CVSS评分或达10.0，影响PHP5.4及以上所有版本，波及全球超70%网站。攻击者无需认证即可完全控制服务器，利用工具已泄露，预计补丁发布后15分钟内出现大规模攻击。建议立即盘点PHP资产、优先修补互联网系统、识别EOL版本并部署监控告警。

中国电信安全MSSP团队监测到Weaxor勒索家族利用xx通ERP系统GetAnonymousTPlusToke接口SQL注入0day漏洞发起全网批量勒索攻击，已致超10家客户业务受损。文章详析了攻击路径、漏洞原理及复现过程，并提出补丁更新、网络隔离、数据备份、安全培训及7x24监测五大核心防护建议，强调预防加备份的防护思路。

中国电信天翼安全MSSP团队监测到Weaxor勒索家族利用xx通ERP系统0day漏洞（GetAnonymousTPlusToke接口SQL注入）发起全网批量勒索攻击，已致超10家客户业务受损。文章详述漏洞分析、复现过程，并给出补丁更新、网络隔离、数据备份、安全培训及7x24监测五大防护建议，强调预防加备份核心策略。

PHP官方预警两个严重安全漏洞CVE-2026-109618和CVE-2026-109619，CVSSv4.0评分均为9.2，疑似存在远程代码执行风险，影响范围或覆盖PHP5及以上版本。补丁计划于2026年10月21日发布，CERT-EU建议各机构立即梳理PHP资产，提前做好补丁部署准备，必要时将公网应用隔离。目前尚未发现公开在野利用，但历史案例显示此类漏洞披露后可能迅速被利用。

PHP官方预告将发布紧急更新，修复两个CVSSv4.0评分9.2的严重漏洞，关联CVE-2026-109618和CVE-2026-109619，可能带来远程代码执行风险。官方尚未公布完整技术细节和受影响版本，运维团队应立即盘点PHP资产、预留升级窗口，并可按文档提供的非攻击性自查命令排查部署方式。补丁发布前需列清单、排优先级、备升级窗口、缩小暴露面并监控异常，发布后需通过可信渠道升级并验收。

php核心曝两个严重RCE漏洞，CVSSv4.0评分9.2，影响php5.4+几乎所有版本，补丁尚未发布，利用工具已在补丁前泄露。漏洞与multipart上传处理相关，但官方细节未确认。建议关注php官方公告及CERT-EU预警，及时更新补丁并加强监控。

PHP核心组件存在两个严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，CVSS评分9.2，影响PHP5.4至8.5绝大多数版本。攻击者可通过特制HTTPPOST请求在PHP脚本执行前触发内核缺陷，以PHP-FPM或Web进程权限执行任意系统命令，导致服务器失陷、数据泄露及横向渗透。建议关注官方安全更新及时升级，并采取临时缓解措施降低风险。

启明星辰ADLab披露DrupalCoreFieldUI远程代码执行漏洞CVE-2026-108097，CVSS评分9.8，影响多个版本，全球约170万实例潜在受影响。漏洞源于表格渲染未校验回调函数，配合特定模块可无认证执行任意命令。官方已发布修复版本，建议立即升级，或卸载FieldUI模块、限制管理路由访问作为临时缓解措施。

CVE-2026-6279是WordPressAvadaBuilder插件（≤3.15.2）中的未授权远程代码执行漏洞，攻击者通过fusion_get_widget_markup接口将恶意数据传入call_user\\_func函数执行。影响全球超20万个站点，CVSS评分9.8。建议用户立即升级至3.15.3版本修复漏洞。