ZONE.CI 全球网

本文详细分析了ollama路径穿越漏洞CVE-2026-103663，根因是digesttopath函数缺少校验，攻击者可利用恶意registry通过API触发任意文件写入，在官方Docker镜像中可升级为root远程代码执行。影响版本0.34.2至0.35.0，CVSS9.4，已有公开POC。建议升级至0.35.0并限制API访问。

本文分析BrotherMFC-J1010DW打印机三个漏洞组合成未认证RCE链：SNMP可读序列号、默认密码可由序列号算出、固件可未认证回滚，配合Referer头栈溢出实现远程代码执行。文章详述固件提取与逆向过程，建议用户升级固件、关闭SNMP、修改默认密码并隔离VLAN，厂商需修复设计缺陷。

OpenAI推出五阶段高危漏洞响应框架，用于处置影响面广的通用软件漏洞，源于PHP高危漏洞处置经验，相关漏洞由GPT-5.6sol与Wiz发现。框架依次完成漏洞验证与补丁测试、受影响主体前置准备、对接监管机构、扩大预警、公开发布补丁并持续支撑，并按防护职责、准备周期、保密能力划分知情权限，正面向行业征集披露窗口期等问题意见。

该文档介绍一套面向CNVD通用型未授权漏洞挖掘的开源工具包，包含Skill本体、9个Python脚本及28条端点字典，覆盖测绘、验证、查重抽验全流程。工具强调合规红线，仅做只读验证，需授权使用。建议使用者严格遵循法律法规，仅用于正规漏洞提交。

PHP官方披露两个CVSS9.2严重漏洞CVE-2026-109618与CVE-2026-109619，影响PHP8.2至8.5多个版本，可导致远程代码执行，Apachemod\\_php风险最高。官方已发布安全版本修复，建议用户尽快更新并重启工作进程，无法立即更新时可采取临时缓解措施。

WordPress插件Booktics存在高危SQL注入漏洞，编号CVE-2026-109894，影响版本1.0.29及以下，未经身份验证的攻击者可注入SQL语句提取敏感信息。目前POC未公开，官方已发布修复版本，建议用户立即升级至安全版本。

PHP发布紧急安全更新修复两个CVSS9.2的RCE漏洞，影响多国政府网站，多国预防性下线。漏洞根因是内存耗尽破坏和陈旧状态，2024年审计发现线索但延迟两年修复。建议立即升级或下线，5.x和7.x无官方补丁。

Fastjson存在高危远程代码执行漏洞CVE-2026-16723，影响1.2.68至1.2.83版本，攻击者可构造恶意JSON载荷绕过AutoType防护机制执行任意代码，POC已公开，建议用户立即升级至官方安全版本修复。

PHP官方发布紧急安全更新，修复CVE-2026-109618和CVE-2026-109619两个严重远程代码执行漏洞，CVSS4.0评分均为9.2，已遭在野利用且默认配置利用代码已公开。影响PHP8.1至8.5多个分支版本。建议立即升级至修复版本，并采取临时防护措施降低风险。360漏洞研究院已成功复现漏洞并提供检测支持。

CNVD发布PHP远程代码执行漏洞公告，影响8.2至8.5多个版本，可致远程代码执行、拒绝服务及敏感数据窃取，评级高危。建议立即升级至官方修复版本，暂无法更新者可采取限制内存、关闭会话上传进度、WAF拦截等措施缓解风险，并加强资产梳理与日志监测。

PHP2Shell高危漏洞影响全球约70%网站，源于PHP内核内存管理缺陷，无需认证即可远程代码执行，CVSS评分9.2，波及多个PHP版本。官方已发布补丁，建议优先升级至安全版本，并采取临时缓解、资产排查、安全监测及源代码审计等应急措施。文章后半部分推广国舜科技AI代码安全检测平台，强调安全治理需前置到代码阶段。

PHPCore披露CVE-2026-109618与CVE-2026-109619两项高危漏洞，影响multipart请求解析及Worker全局状态管理，可能导致资源消耗或内存安全风险。雷池率先完成利用链分析并于10月21日发布专项规则，支持观察模式与黑名单配置，内部验证可拦截模拟攻击。建议用户核对实际运行版本、及时升级补丁、启用规则并排查源站绕过入口，发现异常后扩大排查范围。

本文为隐雾安全推出的AI辅助漏洞挖掘实战训练营推广软文，宣称将AI融入SRC漏洞挖掘流程，涵盖AI渗透测试Agent开发、自动化安全能力、10人小班实战带挖等内容，并附有报名价格与权益信息。

AI代理劫持模型被用于自主网络攻击，GitLab修复了远程代码执行漏洞，Meta面临250亿美元罚款，OnamaeDesktopCloud遭黑客攻击，FortiSIEM漏洞存在公开PoC，GhostAction攻击者在GitHub仓库中植入窃取程序。

scan4all是一款Go编写的自动化安全扫描框架，集成端口扫描、指纹识别、漏洞验证、密码爆破、请求走私检测等功能，底层复用naabu、httpx、nuclei等组件，通过事件引擎统一编排调度。文档详述其架构、模块划分、配置方式及使用示例，强调调度层设计清晰、覆盖面广、单一二进制交付等优点，同时指出依赖外部工具、维护成本高等注意事项。

CVE-2026-91403影响OracleJavaSE及GraalVM的JSSE组件，CVSS9.1，网络可达无需认证，可导致数据机密性和完整性受损。修复通过取消对eMudhra相关中间CA证书的信任实现。建议优先盘点公网可达的受影响Java系统，按官方公告安装补丁，对无法立即升级的系统实施网络访问限制并持续监测。

文档为隐雾安全公众号推广软文，借php核弹级漏洞及日本首相关注热点，宣传其src漏洞挖掘实战训练营课程，强调AI辅助挖洞、10人小班实战带挖、内部项目回本等卖点，招生价格3600元，属商业广告内容。

今日安全威胁速递涵盖多个高危事件：PHP曝两个可致未认证远程代码执行的高危漏洞致欧洲多政府网站下线；卡普空CAPCOMID遭入侵致超1170万账户信息泄露；CVE-2026-97785等三个Azure相关漏洞严重程度达10.0。国际刑警组织行动逮捕1462人，世界经济论坛报告揭示地缘政治网络攻击风险。建议优先修复高危漏洞并排查泄露风险。

本文复现CVE-2026-109618/109619（php2shell）漏洞，影响PHP5.4至8.5全系列，触发面宽但稳定RCE条件苛刻。漏洞本质为OOM长跳转绕过清理导致跨请求UAF，需两个请求配合利用。作者在64位环境复现成功，32位环境结构性不成立。文章强调需区分PoC边界与漏洞边界，并指出关闭upload\\_progress仅能挡住四条路径之一。

2026年10月21日CNVD公告PHP核心层两枚高危RCE漏洞（CVE-2026-109618、CVE-2026-109619），影响WordPress、Laravel等主流框架，POC已公开，攻击门槛低。建议升级至PHP8.5.12等修复版本，暂无法升级需落实FPM内存限制、WAF拦截等缓解措施，收缩公网暴露面。