ZONE.CI 全球网

畅捷通T+存在命令执行漏洞，编号CNVD-2026-36378，攻击者可利用漏洞执行任意命令，影响畅捷通T+产品。厂商已提供修复方案，建议用户关注厂商主页更新，及时修复漏洞，防范安全风险。信息来源为CNVD官方通告。

今日安全威胁速递重点包括:H3CMagicNX15RPC接口存在代码注入漏洞CVE-2026-112371,严重性9.9,可远程代码注入;FBI调查勒索谈判高管与ShinyHunters关联;Proofpoint以63亿美元收购Varonis;DHS禁止联邦机构使用DeepSeekAI技术;日经披露第三起数据泄露影响183万条记录。建议优先修复H3C漏洞,关注WMI持久化检测与供应链安全。

本文分析Qubic官方钱包因Math.random()弱随机性漏洞致苹果客户端1404个钱包被盗约130万美元事件。根因是Apple平台JavaScriptCore的Math.random()种子强度不足，攻击者离线枚举2^32个种子碰撞出私钥。官方已发布v4.26.4修复改用crypto.getRandomValues，建议用户及时更新，并警惕2026年多起弱随机数安全事件。

Typecho1.3.0存在未认证SSRF漏洞（CVE-2026-7025），由PHP弱类型比较绕过与出站请求无白名单叠加导致，可盲打内网及云元数据。文章完整复现攻击链，并给出Nginx封禁入口与代码补丁两种修复方案，建议优先采用代码补丁根治。

ARTEXAI渗透测试控制台存在未认证管理员接管漏洞，影响v0.1.0至v0.3.14版本。攻击者通过高并发请求耗尽PostgreSQL连接池，利用authInit接口忽略数据库错误实现fail-open，覆盖管理员密码获取JWT，进而通过MCPstdio传输执行任意命令获得root权限。建议升级至v0.3.15，限制管理端口访问并加强MCP安全配置。

本文介绍开源渗透测试工具EvilWAF，通过透明代理模式在传输层轮换TCP配置与伪造TLS指纹绕过WAF行为检测，支持auto-hunt发现源站IP直连绕过防护，也可作为独立WAF扫描器检测十层防御配置弱点。文章强调现代WAF已进化到行为分析阶段，传统载荷混淆失效，需关注传输层绕过思路，并指出Cloudflare等先进WAF仍难被有效突破。

PHP团队将于2026年10月21日发布安全更新，修复两个CVSSv4.0评分9.2的严重远程代码执行漏洞，关联CVE-2026-109618和CVE-2026-109619。PHP2Shell演示视频已流出，覆盖WordPress、Magento、Drupal等9款主流应用。约150万台暴露主机中59%运行已EOL的PHP8.1或更早分支。建议立即盘点PHP资产，更新发布后数小时内完成修补，并重启所有相关进程。

PHP远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）存在高危风险，可能影响千万级用户，建议尽快更新至修复版本，并采取临时缓解措施。

本文介绍Vulfocus漏洞集成平台，基于Docker实现一键启动漏洞环境，整合Vulhub和Vulapps镜像资源，支持Flag自动生成验证、计分考核与可视化场景编排。平台采用前后端分离架构，提供DockerCompose部署方案，适用于企业安全培训、CTF比赛及渗透测试场景。文章末尾含广告推广内容。

本文介绍一款AI赋能的漏洞播报系统，可多源聚合抓取Seebug、先知等平台漏洞信息，经LLM判定与补全后自动生成PoC、简介及攻击范围并落库存储，支持nuclei模板双向同步、自动中文化及Web控制台管理。系统基于Python与Vue构建，配置灵活，适合防御性安全研究与授权测试场景。

PHP官方将于2026年10月21日发布安全更新，修复CVE-2026-109618和CVE-2026-109619两个CVSSv4.0评分9.2的远程代码执行漏洞，影响PHP5.4.0及以上版本。已有演示视频流出，可对WordPress等主流应用实现命令执行。建议管理员立即盘点PHP资产，在补丁发布后第一时间更新。

该文档披露了DiviPlus插件svg\\_image参数存在任意文件读取漏洞CVE-2026-91136，影响版本<=2.4.0，攻击者可读取系统敏感文件。提供了FOFA测绘语法、POC请求示例及Nuclei检测命令，建议升级补丁并部署WAF防护。

360漏洞研究院发布安全预警，PHP存在两项严重远程代码执行漏洞，编号CVE-2026-109618和CVE-2026-109619，CVSSv4.0评分均为9.2，攻击面疑似指向会话上传进度功能，可能导致网站篡改、信息泄露或服务器失陷。官方计划于2026年10月21日22时发布安全更新，建议相关单位立即排查PHP资产并做好紧急更新准备。

PHP官方发布紧急安全更新预告，修复两项CVSSv4.0评分9.2的严重远程代码执行漏洞（CVE-2026-109618和CVE-2026-109619），可能导致网站被篡改、敏感信息泄露或服务器失陷。攻击面疑似指向PHP5.4引入的会话上传进度功能，存在释放后使用风险。建议相关单位立即开展PHP资产排查，关注互联网暴露业务系统，并等待官方更新发布后及时升级修复。

奇安信CERT发布Oracle2026年10月关键安全补丁集合更新通告，涉及WebLogicServer及MySQLServer等多产品高危漏洞，其中三个远程代码执行漏洞影响较大。建议用户尽快应用官方补丁，并禁用T3和IIOP协议以降低风险。

禾盾安全应急响应中心发布PHP高危漏洞预警，涉及CVE-2026-109618与CVE-2026-109619，影响PHP5至8.5版本，攻击者可远程执行代码，可能导致网站篡改、信息泄露或服务器失陷。官方计划于2026年10月21日22时发布安全更新，目前暂无修复版本。建议用户清点资产、建立版本台账，优先处置暴露于互联网的Web服务，并遵循最小权限原则。

本文预警PHP两项严重漏洞CVE-2026-109618与CVE-2026-109619，CVSSv4.0评分均为9.2，可能涉及远程代码执行风险。官方计划于2026年10月21日22时发布安全更新，技术细节尚未公开。建议提前排查PHP资产，明确运行时与维护方，补丁发布后及时更新并验证，关注官方公告与后续技术细节。

长亭应急响应中心披露PHPCore两处远程代码执行漏洞CVE-2026-109618/109619，CVSS9.2分，源于session上传进度处理机制UAF，可致远程代码执行。官方计划10月21日发布补丁，建议用户立即清点资产、准备补丁窗口，并采取关闭session.upload\\_progress.enabled等临时缓解措施，优先升级互联网暴露环境。

php内核爆出两个高危远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，代号php2shell，影响php5.4至8.5绝大多数版本，攻击者可通过特制multipart请求在脚本执行前触发漏洞，实现RCE。官方补丁未发布，建议临时关闭session.upload\\_progress.enabled，隔离EOL版本，升级至修复版本并排查日志。

PHP核心于2026年10月20日披露两个远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，CVSS评分均为9.2，影响范围广。目前无公开可用PoC，但演示视频已泄露。PHP官方计划10月21日22时发布紧急安全更新，建议今夜升级。临时缓解措施包括在php.ini中设置session.upload\\_progress.enabled为Off，或在Web服务器层面拦截multipart/form-data的POST请求。