ZONE.CI 全球网

PHP官方预告两项CVSSv4.09.2分严重漏洞（CVE-2026-109618、CVE-2026-109619），计划于2026年10月21日14:00UTC发布更新。CERT-EU提示潜在未认证RCE风险，完整技术细节待公布。建议运维团队立即清点PHP实例资产、准备更新与回退方案、收敛暴露面，更新后逐实例确认生效版本并保留日志。

长亭应急响应中心监测到PHPCore存在两处远程代码执行漏洞CVE-2026-109618和109619，统称php2shell，CVSSv4.0评分9.2，官方计划于2026年10月21日发布安全更新。漏洞源于session上传进度处理机制的释放后重用问题，可能导致任意代码执行。建议用户立即清点资产、准备补丁窗口，对停止支持版本采取隔离或迁移措施，并可通过禁用session.upload\\_progress.enabled等临时方案缓解风险。

PHP官方预告两个CVSS9.2核心RCE漏洞，定于10月21日修复，受影响版本与成因未公布。攻击面指向会话上传进度处理路径，已复现入口级问题。建议关注官方补丁，排查PHP资产，特别是容器镜像、捆绑运行时等易遗漏场景。

PHP核心曝出两个CVSS9.2级RCE漏洞（CVE-2026-109618/109619），影响5.4.0起全版本，细节提前泄露且利用工具截图流出，官方确认漏洞真实存在。补丁定于今晚22:00发布，建议立即升级；8.1及更老版本无官方补丁需升级或下线。补丁落地前应监控PHP进程异常子进程，电商及暴露面大的站点优先处理。

本文深度拆解CVE-2026-99999漏洞，该漏洞位于宿主Linux内核IPv4网络栈而非KVM，通过guest可控的校验和元数据实现越界读写，可泄露宿主内存、崩溃宿主乃至执行代码。漏洞存在约18年，修复补丁6785011f8b16仅堵住五个消费点未堵源头，影响RHEL及AlmaLinux多版本，运维需关注补丁覆盖范围。

印度证书机构emudhra的8张中间证书私钥因生成环节缺陷被外部研究者秒破，密钥随机性仅一个字节，影响Chrome、Mozilla等信任链，涉及TLS和代码签名证书。Mozilla紧急移除对根证书信任，事件暴露密钥生成流程严重漏洞，需加强HSM使用与审计。

腾讯云鼎实验室推出CodeBuddySecurity的SCA漏洞可达性分析功能，通过ReachX引擎结合AI提取证据与规则判定，将漏洞信息与项目源码及配置关联，帮助团队缩小重点复核范围并优化修复排序。真实项目测试中告警队列规模缩小88.4%，降噪效果显著，同时提供可复核的代码位置与判定理由，为安全团队提供更精准的修复依据。

codebuddysecurity推出SCA漏洞可达性分析功能，通过新开发的ReachX引擎结合AI提取证据与规则判定，将漏洞信息与项目源码及配置关联，帮助团队缩小重点复核范围并为修复排序提供依据。在真实开源项目510条告警中，判为可达的仅59条，队列规模缩小88.4%，有效降低告警噪音，提升修复优先级判断的准确性。

PHP安全团队警告两个严重0day漏洞（CVE-2026-109618和CVE-2026-109619），为远程代码执行漏洞，影响PHP5至8版本，CVSS评分高达9.2至10分。漏洞细节在计划披露前泄露，官方计划10月21日发布紧急安全更新，敦促管理员准备立即安装补丁，目前无在野利用证据。

鄂尔多斯两家企业因信息系统存在未授权访问等高危漏洞且主机遭远控，被市委网信办依法约谈。依据网络安全法、数据安全法等法律，要求企业立即整改并建立常态化巡检与应急处置机制。网信部门提示网络运营者应落实主体责任，定期开展漏洞检测与风险评估，及时修补漏洞，防范弱口令、未授权访问等风险，发生安全事件须第一时间报告。

本文为PHP双RCE严重漏洞预警，涉及CVE-2026-109618与CVE-2026-109619，CVSSv4.0评分9.2，CERT-EU提示潜在未认证RCE风险。官方计划今晚22时发布更新。建议立即清点PHP资产、准备备份与回退方案、收敛公网暴露面，更新后逐实例确认版本并排查异常。

PlexMediaServer存在由四个缺陷串联构成的未授权远程代码执行漏洞链，影响低于1.43.3.10861版本，无需凭据即可利用。攻击者可实现服务端请求伪造、插件函数调用与任意文件写入，最终以进程权限执行任意代码。建议升级至修复版本，将32400端口撤出公网并排查异常动态库与外联流量。

华顺信安报告PHP两个严重RCE漏洞CVE-2026-109618与CVE-2026-109619，CVSSv4.0评分9.2，影响PHP解释器内核，无需认证即可利用，波及WordPress等主流应用。官方修复版本于10月21日22:00发布，受影响分支为8.2至8.5。建议补丁发布前完成资产清点、暴露面收敛与日志留存，升级后需重启相关进程并核验实际运行版本。

Handlebars.js存在validateAstNode原型链绕过漏洞(CVE-2026-106446)，影响4.0.0至4.7.9版本，CVSS评分9.8，可导致远程代码执行。攻击者通过原型链绕过安全校验，在服务端执行任意代码。建议立即升级至4.7.10或更高版本，并采取限制输入类型、避免原型链操作等临时缓解措施。

本文是对PHP2SHELL两个高危漏洞(CVE-2026-109618与CVE-2026-109619)的前瞻分析，评分均为9.2。文章解析了漏洞原理：前者涉及任意session值写入，需配合文件包含等条件方可RCE；后者为二进制层面UAF漏洞，作者未能成功复现。作者认为目前公开POC效果有限，实际危害需待正式详情公布后验证，建议关注官方更新。

该文档为Linux内核虚拟机逃逸漏洞CVE-2026-99999的预警通告。漏洞源于skb_checksum_help函数对IPv4数据包校验和元数据校验缺失，影响2.6.27至7.2.10等广泛版本，攻击者可越界读取宿主机内存或触发崩溃。建议通过官方源升级内核至最新安全版本并重启系统。

长亭应急响应中心监测到PHPCore存在两处远程代码执行漏洞CVE-2026-109618与109619，CVSSv4.0评分9.2，源于session上传进度处理机制中的UAF漏洞，可能导致任意代码执行。官方计划于2026年10月21日发布安全更新，建议用户立即清点资产、准备补丁窗口，并采取临时缓解措施如关闭上传进度条功能。

PHP核心引擎曝出两个严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，CVSS评分或达10.0，影响PHP5.4及以上所有版本，波及全球超70%网站。攻击者无需认证即可完全控制服务器，利用工具已泄露，预计补丁发布后15分钟内出现大规模攻击。建议立即盘点PHP资产、优先修补互联网系统、识别EOL版本并部署监控告警。

中国电信安全MSSP团队监测到Weaxor勒索家族利用xx通ERP系统GetAnonymousTPlusToke接口SQL注入0day漏洞发起全网批量勒索攻击，已致超10家客户业务受损。文章详析了攻击路径、漏洞原理及复现过程，并提出补丁更新、网络隔离、数据备份、安全培训及7x24监测五大核心防护建议，强调预防加备份的防护思路。

中国电信天翼安全MSSP团队监测到Weaxor勒索家族利用xx通ERP系统0day漏洞（GetAnonymousTPlusToke接口SQL注入）发起全网批量勒索攻击，已致超10家客户业务受损。文章详述漏洞分析、复现过程，并给出补丁更新、网络隔离、数据备份、安全培训及7x24监测五大防护建议，强调预防加备份核心策略。