ZONE.CI 全球网

安恒信息CERT披露PHP两个严重远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，CVSS评分均为9.2，涉及OOM内存损坏及跨请求全局状态释放后使用，可致内存泄露及远程代码执行。影响PHP5.4至8.5多个分支，建议尽快升级至8.2.35、8.3.36、8.4.27、8.5.12或更高安全版本，并提供了临时缓解措施。

用友YonBIP存在SpEL表达式注入漏洞，攻击者可构造恶意表达式执行系统命令。文章提供漏洞复现数据包、FOFA查询语句及POC，并建议用户打补丁修复。同时推广作者知识星球，含批量扫描工具等商业内容。

PHP官方发布8.5.12等版本修复两处核心层远程代码执行漏洞CVE-2026-109618/109619，影响广泛，无需认证即可远程利用。微步已复现稳定崩溃，RCE利用链分析中。处置优先级高风险，建议立即升级，并提供了临时缓解措施。

该文档为源影安全团队对PHP远程代码执行漏洞CVE-2026-109618和CVE-2026-109619的第一阶段研究。漏洞位于PHP引擎层，影响8.5.11及以下等多个版本，默认配置下无需登录即可触发，可导致服务崩溃、信息泄露及任意命令执行。复现需display_errors=On且仅验证mod_php，利用代码依赖特定内存偏移。建议立即升级至官方修复版本或设置memory\\_limit=-1。

PHP被曝存在两个高危远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，统称PHP2Shell，CVSS评分8.1，无需认证即可利用，已发现在野攻击。影响千万级网站，多国紧急响应。建议立即升级至PHP8.2.35或更高版本，重启服务并排查资产。

文档报道2026年10月22日爆发的多个安全漏洞，包括PHPRCE漏洞CVE-2026-109619、nodejs、nginx、Litellm等，其中PHP漏洞影响广泛，已有网传POC和修复方式。文档最后包含安全培训推广信息，带有软文性质。

奇安信CERT通告PHP存在两个高危远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，无需认证即可利用，已发现在野攻击，影响千万级网站。漏洞源于请求生命周期状态管理缺陷，可致堆UAF、内存泄露及远程代码执行。建议立即升级至PHP8.2.35、8.3.36、8.4.27或8.5.12版本，并重启服务或重建容器镜像。

PHP官方发布紧急更新修复两项远程代码执行漏洞，360漏洞研究院已可稳定复现漏洞并评估其利用链，受影响版本需升级至对应分支的修复版本，建议用户尽快采取修复措施。

2026年10月21日集中爆发PHP与Node.js多起高危RCE漏洞，LiteLLM遭供应链投毒，eMudhra弱私钥引发跨平台撤信，Go、Java、MySQL等组件亦发布紧急修复。建议立即升级至最新安全版本，无法升级时采取配置缓解措施，并关注CISAKEV目录动态以优先处置已确认利用风险。

两所985高校的证书站存在任意密码修改漏洞，通过修改返回包和利用学号遍历，可以实现对任意账户的登录和密码修改。漏洞已修复。

2026年10月20-21日主流语言与运行时密集披露高危漏洞，其中PHP两个CVSS9.2未认证RCE漏洞（php2shell）影响千万级，可致堆UAF、内存泄露和远程代码执行，POC已公开。同期涉及Node.js、Java、MySQL、Go、.NET、Traefik、Vyper、Perl、Ruby、Python、LiteLLM供应链投毒及eMudhraCA私钥泄露等。文章提供各组件修复版本及优先处置建议，强调PHP最优先升级排查入侵痕迹。

本文详细复现了Linux内核SELinux策略绕过漏洞CVE-2026-98214，该漏洞源于嵌套overlayfs场景下mprotect路径缺失中间层挂载者检查，导致低权限进程可绕过SELinux禁止执行策略。影响Linux7.2版本，建议升级至包含修复提交78fc54b934bf的内核。文章提供了完整复现过程、原理分析及车联网场景相关性评估，具备较高技术参考价值。

本文分析Cellebrite声称的AU技术，推测其利用蓝牙L2CAP层UAF漏洞实现8米内远程数据提取，iPhone17因MIE硬件防御不支持该技术，iOS26.5已悄悄修复漏洞但Apple未公开披露。建议关注蓝牙协议栈安全加固与漏洞披露透明度。

本文预警Windows健康与优化体验服务权限提升漏洞CVE-2026-85884，高危等级，影响多个Windows11版本。漏洞源于服务处理诊断Lua工作流事件时缺少认证，低权限代码可伪造ETW事件，导致以LocalSystem权限执行任意Lua模块，实现权限提升至SYSTEM。POC已公开，建议用户尽快升级至官方安全版本。

PHP官方于2026年10月21日披露两个严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，代号php2shell，影响PHP8.2至8.5多个分支，无需身份验证即可远程执行代码。官方已发布修复版本，建议用户尽快升级至安全版本，无法升级时可采取临时缓解措施降低风险。腾讯云安全产品已支持检测与防护。

2026年10月21日PHP紧急修复两个CVSS9.2分RCE漏洞影响全球百万主机，由AI首次领先发现，建议立即升级至8.5.12等受支持版本，无法更新者需配置临时缓解措施并隔离风险系统。

CiscoSecureEmailGateway存在高危路径遍历漏洞CVE-2026-76519，未认证远程攻击者可通过特制附件邮件写入任意文件并以root权限执行命令。影响AsyncOS多个版本，官方已发布修复版本，建议用户立即升级至安全版本。

PHP团队紧急发布4个新版本修复两个CVSS9.2严重漏洞PHP2Shell，无需登录即可远程执行代码并泄露内存，影响全球约70%网站，建议立即升级至指定版本并关注补丁验证与检测规则更新。

Node.js于2026年10月21日发布安全更新，修复10个漏洞，含Brotli解码器远程代码执行及TLS主机名校验绕过等高危问题，并移除对已泄露eMudhra证书的信任。受影响版本涉及22.x、24.x和26.x发行线，建议相关团队尽快升级至22.23.4、24.22.1或26.12.1版本，同时更新内置依赖项以规避风险。

这篇文章分析PHP两个高危漏洞CVE-2026-109618与CVE-2026-109619的利用条件与危害边界，指出漏洞触发容易但稳定RCE需精确堆布局与符号偏移，建议优先升级并重启，同时提供缓解措施与排查指标。