ZONE.CI 全球网

OpenClaw智能体框架在不到两个月内被采集83个漏洞，累计超250个，以命令注入、路径遍历和访问控制缺陷为主，利用难度低。远程调用者可绕过授权执行文件读写、命令执行等操作，因智能体天然具备高权限，访问控制缺陷等于交出整台机器。企业应升级版本、收敛权限、网络隔离并审计留痕。

2026年10月21日披露三起严重安全事件：GitLab正则引擎整数溢出漏洞CVE-2026-110264影响跨度12年需立即升级；LiteLLM1.107.0遭供应链投毒已确认失陷需排查凭据；Node.jsBrotli解码器堆越界写CVE-2026-111497存在远程执行风险。建议立即升级GitLab至指定版本，轮换所有CI/CD及模型调用凭据，部署Sigma规则监控异常日志，并检查Node服务解压路径是否被利用。

本文分析PHPJsonSerializerUAF漏洞，源于json_decode处理特定对象时释放后重用，可绕过disable_function实现本地提权。文章详述触发点、内存布局布置、伪造zend\\_function结构及调用伪函数触发执行等利用步骤，并给出概念性利用代码。建议开发者关注PHP版本更新，修复反序列化漏洞，加强输入过滤与安全配置。

文档报告PHP官方披露两个严重漏洞CVE-2026-109618和CVE-2026-109619，CVSS评分9.2分，属预认证远程代码执行漏洞，攻击者可无需登录直接接管服务器。官方修复版本包括PHP8.5.12等。鼎夏智能提供应急防护和AI代码重构双重解决方案，建议企业及时更新版本并考虑从源码层面根治老旧系统安全风险。

观安无相实验室发布php2shell漏洞安全通告，涉及CVE-2026-109618和CVE-2026-109619两个严重漏洞，CVSS评分9.2，影响所有处理web请求的PHP版本，可导致未授权远程代码执行。官方已发布修复版本8.5.12、8.4.27、8.3.36、8.2.35，需立即升级并重启服务。文档提供详细影响范围、漏洞原理、修复要求、缓解措施及入侵排查建议，强调升级后需轮换密钥。

PHP核心曝出CVE-2026-109618与CVE-2026-109619两个严重RCE漏洞，CVSS评分9.2，已遭实际利用尝试。官方已发布修复版本，涉及PHP8.2至8.5分支。建议管理员立即排查所有PHP运行环境，优先修复公网暴露服务器，升级后验证服务状态并审计攻击日志，旧版本需评估迁移或回补方案。

Node.js突发10个安全漏洞，涵盖远程代码执行、证书校验绕过、权限绕过等类型，影响26.x/24.x/22.x版本线。高危漏洞包括Brotli解码器越界写RCE及多种TLS证书校验绕过，另有DNS空字节截断、权限模型绕过等问题。官方暂未披露技术细节及POC，建议升级至安全版本，暂无临时缓解方案。

CNVD发布PHP远程代码执行漏洞安全公告，编号CNTA-2026-0007，涉及CNVD-2026-41674等，对应CVE-2026-109618等。漏洞影响PHP8.2.x至8.5.x多个版本，攻击者可实现拒绝服务、敏感数据窃取及远程代码执行，评级高危。建议用户立即升级至PHP8.5.12、8.4.27、8.3.36或8.2.35版本，并关注官方信息。

本文介绍利用Workbuddy搭配Skill技能库对电商订单接口进行自动化越权漏洞探测的实战过程。通过配置约束规则、收集下单接口、篡改商品数量参数，发现后端未校验参数合法性，可提交负数数量生成异常订单，造成金额逻辑错误，属高危业务逻辑漏洞。文章提供漏洞复现步骤、根因分析及修复方案，并强调需在授权范围内测试。

PHP存在两个远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，已被在野利用，攻击者无需认证即可通过恶意HTTP请求触发释放后重用，实现内存泄露和远程代码执行。影响PHP8.2.35以下、8.3.36以下、8.4.27以下、8.5.12以下版本。建议尽快升级至修复版本，并采取关闭会话上传进度功能、启用严格会话模式等临时缓解措施，同时排查受影响资产。

本文复现CVE-2026-109618PHPCore远程代码执行漏洞，成因是OOM导致请求状态未完整初始化即退出，后续清理流程读取无效状态造成内存破坏。影响PHP8.2至8.5多个分支，官方已发布修复版本。建议升级至修复版本并重启服务，临时可设置memory\\_limit为-1缓解，同时限制multipart请求体积并监控异常退出。

本文拆解开源AI渗透测试工具pentest-ai，其核心设计是模型仅提出候选漏洞，必须通过机器判据重放验证才能获得verified结论，杜绝AI编造证据。工具提供差分、OAST等七类判据，支持范围控制、凭证隔离，并给出实测零误报数据。建议关注其验证机制与安全设计。

该文档披露了PHP内核两个严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，攻击者利用zend引擎对象GC缺陷实现堆溢出，无需认证即可远程执行命令，影响PHP多个版本。建议相关用户立即升级至安全版本，并关注官方安全公告。

PHP官方发布紧急安全更新修复两个严重级别远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，CVSS评分9.2，影响千万级网站。漏洞位于PHP解释器内核，攻击者可发送特制HTTP请求实现任意代码执行。建议尽快升级至安全版本，EOL版本可使用官方源码补丁自行编译，并重启全部工作进程验证。

迪普科技发布PHP远程代码执行漏洞通告，涉及CVE-2026-109618和CVE-2026-109619，CVSS评分9.2，影响PHP8.2至8.5多个版本。攻击者可未认证远程执行代码，导致服务器被控制。官方已发布修复版本，建议用户及时升级并重启服务，同时可利用迪普科技安全产品进行防护。

AI成功挖掘PHP漏洞导致多国政府网站关闭，宣告网络安全新规，AI降低网络攻击边际成本，改变网络安全格局。

PHP曝出两个未授权远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，源于请求生命周期边界状态管理缺陷导致UAF，影响PHP多个版本及全球约四分之三网站。PoC与EXP已公开，官方定级Critical。建议立即升级至安全版本并重启进程，容器环境需重建镜像，无法立即升级时可采取临时缓解措施。

斗象科技入选工信部人工智能产品安全漏洞专业库首批技术支撑单位，并获评最高星级，同时支撑NVDB与CNNVD两大国家级AI漏洞库。公司依托自研网络安全大模型与白帽生态，推动AI与漏洞治理融合，提升网络AI安全能力。

国家信息安全漏洞共享平台于2026年10月21日收录PHP远程代码执行漏洞，对应CNVD-2026-41674等编号。未经身份验证的攻击者可构造恶意HTTP请求触发内存错误，实现拒绝服务、敏感数据窃取及远程代码执行，影响8.2.x至8.5.x多个版本及主流CMS框架。CNVD评级为高危，建议用户立即升级至官方修复版本。

文章提醒用户及时修复漏洞，强调安全意识的重要性，建议定期进行安全检查和漏洞修补，以防范潜在安全风险。