今日速递｜PHP2Shell 补丁落地、GitLab CVSS 10、CleanYourTV

小瑶在工地

2026年10月22日 11:40
美国

去阅读

今日速递 · 2026-10-22 · 内容由 AI 生成

各位工友早。今天沿用三层排法，共 十四条：第一部分是看雪窗口内新帖——从 weax / 畅捷通 T+ 0day 溯源、MuzicBox 后台 Service，到 ROP Hawkeye 开篇与两条 WASM / 验证码实战；第二部分是 X / 官方工具线——leanrea 用 8KB Skill 平替 REA MCP、Reynard 把 Gecko 带上 iOS、CleanYourTV 给安卓电视去广告，以及 TheSAS 上的 DarkSword 内核议题、Keybox 服务端吊销与 DFRoot 维护提交；工具箱也放在这一部分；第三部分是事件热点：PHP2Shell 紧急补丁已落地并出现利用尝试，以及 GitLab CVSS 10.0 未认证 RCE（影响自管实例自 7.0 起）。看雪 TEE / Keybox 用户点名题材已在 10-17、10-19 发过，今日复查仅有「小米 15 Pro 未复现」跟帖，故不重复。Dopamine 3.0.12、ios-sweet、DirtyFrag 本体、eMudhra、PHP「预告」本身已在近窗发过——PHP 今日只写「补丁落地」进展。全文只整理公开信息、供学习参考，不写利用步骤，也不提供越狱包、root 工具用法或 keybox 文件。

PART 1

第一部分｜国内安全厂商 · 安全网站 · 安全论坛热点

本层以看雪近窗口新帖为主；TEE / keybox 今日无新机复现成条，仅在刊头与补查说明。先知详情被 WAF 拦（Feed 摘要可用）；Seebug / 嘶吼无窗口内新成条；FreeBuf 405。

1. 看雪｜weax 勒索盯上用友畅捷通 T+：0day 溯源附 IOC

约 2 天前（北京时间）WEB 安全区，作者 Solar安全 放出 weax 家族针对用友畅捷通 T+ 的应急溯源：攻击者走匿名接口查询串 IsFree=1 跳过验签，再经 Authorization 头字段拼进 SQL，最终落地加密器、后缀曾见 .weax / .rox。帖文强调已按流程提交 CNVD / CNNVD，不公开完整可利用载荷，并附 IOC。同题材亦见于先知 Feed（10-20）。本条只保留「接口绕过验签 + SQL 注入链路」的新闻级摘要。

来源

https://bbs.kanxue.com/thread-293270.htm https://xz.aliyun.com/news/92997

工地点评：国内 ERP / 进销存对外暴露，比又一个 CMS 洞更要命。运维侧先封匿名接口、看 IOC；别把溯源帖当利用手册。

2. 看雪｜安卓逆向负基础 #03：把播放器塞进 Service

约 15 小时前 Android 安全区：作者 D\_Wave 继续《安卓逆向负基础之正向开发实践》，对应仓库 D1screteWave/MuzicBox 的 v0.3-background-playback。本章把 Media3 ExoPlayer 从 Activity 挪进 PlaybackService，用 MediaController 发命令，覆盖通知栏 / 锁屏媒体键与蓝牙断开暂停。定位是「正向把生命周期拆清楚」，方便日后对照逆向里常见的后台保活与媒体会话。

来源

https://bbs.kanxue.com/thread-293286.htm

工地点评：逆向负基础系列值得跟。先搞明白「谁持有 Player、谁响应系统回调」，再去读别人的保活代码会省很多弯路。

3. 看雪｜ROP 开篇：ret 链怎么改 RIP，附 Hawkeye 工具

约 14 小时前编程技术区：作者 hawkeye\_Leo 开四篇系列的第一篇，从 ret = pop + jmp 讲清返回导向编程的栈布局，并以 GetDC(NULL) 为例说明 x64 下为何更常找 pop rcx; ret 而不是「写寄存器再立刻 ret」。文中介绍自研 Hawkeye ROP（gadget 搜索）与 Hawkeye Lab（真机验证），并对照 ShellCode 在 DEP/NX、特征面与工程成本上的差异。后续篇预告 MessageBox 链与游戏安全边界——本号只收方法学开篇。

来源

https://bbs.kanxue.com/thread-293287.htm

工地点评：把 ROP 讲成「栈上排地址」而不是堆术语，入门友好。做对抗的记住：CET 起来之后，这篇当基线，别当终点。

4. 看雪｜百度曲线挂绳：行为轨迹验证码怎么拆接口

约 10 小时前 WEB 安全区：作者 free\_spider 开验证码专题，目标是百度「曲线挂绳」行为轨迹验证。文中按 load / img 等接口拆 cid（会话标识）、CDN 主备域、enc_data 等字段含义，并强调这类题的核心是采集并校验鼠标/触摸轨迹，而不是单点哈希。本条只保留接口与字段级新闻摘要，不复述轨迹拟合细节。

来源

https://bbs.kanxue.com/thread-293290.htm

工地点评：验证码文最容易写成「脚本教程」。这篇当「字段字典」看可以；业务合规与授权边界自己把住。

5. 看雪｜荔枝网：webpack + wasm-bindgen 头签名，中转写 sig.json

约 1 天前，「JS 逆向实战 30 例」第 14 篇：作者瞄准荔枝网（广东广播电视台）请求头 X-ITOUCHTV-*——算法藏在 webpack bundle 内联的 Rust/wasm-bindgen 模块里，并绑设备 Cookie。作者路线不是抠 WASM 指令，而是补环境跑通 bundle，调用其 callApi，让结果落到 sig.json 再给 Python 拼头。源码指向系列开源仓库 Project14。

来源

https://bbs.kanxue.com/thread-293284.htm

工地点评：「大前端 + 内联 WASM」比裸 .wasm 更常见。练手优先学「别硬读字节码、先让运行时自己算」这条捷径。

6. 看雪｜scrape.center spa14：WASM encrypt 用 Node 子进程桥给 Python

同系列约 1 天前第 13 篇：靶场 spa14.scrape.center 的翻页参数 sign 来自本地 Wasm.wasm 导出函数。作者把 wasm 抠下来用 Node WebAssembly.instantiate 调 encrypt(offset, timestamp)，再由 Python subprocess 取回签名。难度标为入门，定位是打通「下载 wasm → Node → Python」链。源码 Project13。

来源

https://bbs.kanxue.com/thread-293283.htm

工地点评：和 #5 凑一对：一个真站复杂壳、一个靶场最短路径。先跑通 spa14，再回头啃 webpack 内联会顺很多。

补查：KeyMint / keybox 主帖（thread-293244）约 5 小时前有「小米 15 Pro HyperOS 4 未复现、怀疑解 BL」跟帖，无新机复现成条，正文不重复；先知 Feed 可见 10-20「Sorry→.ths」「weax」标题，单篇详情仍阿里云 WAF，weax 已用看雪帖入选；安全客窗口内仍以 LiteLLM 双洞（316257）与 AI Agent 系列为主，漏洞细节让位第三部分 PHP/GitLab，供应链投毒见补查；Seebug 最新仍 10-15 BARE-AI；嘶吼 RSS 过期；FreeBuf 405。

PART 2

第二部分｜X 上的二进制 / 安全 / OS 逆向热点 + 越狱工具

含 leanrea / Reynard / CleanYourTV，TheSAS DarkSword 会议短讯，Keybox 吊销机制解说，以及 DFRoot 维护向提交；工具箱版本块附后。Dopamine 3.0.12、ios-sweet、DirtyFrag 本体、Frida 17.24.3 等已发近窗，不重复。

1. leanrea｜8KB Skill，不装 MCP 也能让 Agent 跑 jadx / otool

仓库 aicodeking/leanrea（约 10-17 公开，窗口内中文圈热传）把 REA 类工作流压成一份约 8KB 的 SKILL.md：不注册 200+ MCP 工具，只告诉 Agent 按目标类型选 asar / otool / nm / jadx / Ghidra 等本机已有命令，并强调在副本上操作、批量探测、证据标 seen/inferred/unknown。作者对照 REA MCP 的自测称墙钟约快 38%、费用约降 35%、token 约省 60%。X 上多条转发强调「做减法」。

来源

https://github.com/aicodeking/leanrea https://x.com/BonoDJblack/status/2112738575980937687 https://x.com/realfxw/status/2112725561797910755

工地点评：REA 星数热闹之后，这篇更像「别为 MCP 交智商税」。真要省 token，先保证本机工具链齐，再谈要不要挂服务器。

2. Reynard 0.18.0｜iPhone 上真跑 Gecko，不是套壳 Safari

minh-ton/reynard-browser 于 10 月 18 日放出 0.18.0（窗口内 X 中文圈仍在扩散）：iOS 13+ 实验性浏览器，内核是与桌面/安卓 Firefox 同系的 Gecko，可装 Firefox 扩展，并带增强型跟踪保护与 DNS over HTTPS。官方提供 AltStore / SideStore IPA、TrollStore tipa 与越狱构建；changelog 提到键盘快捷键冲突提示、滚动与音频处理修复。项目仍标 experimental。

来源

https://github.com/minh-ton/reynard-browser/releases/tag/0.18.0 https://x.com/iOSRXWY/status/2112942845636272579

工地点评：老系统上「浏览器引擎跟 OS 一起停更」一直是痛点。当实验客户端可以；别指望它现在就替代日常主力浏览器。

3. CleanYourTV｜Wi-Fi + ADB，给安卓电视换掉广告桌面

仓库 Gathin23/cleanyourtv（原 tv-vibehack，约 10-17 起爆，窗口内仍在冲 star）套路很直接：电脑与电视同网，打开电视开发者选项的 USB/网络调试，把 PROMPT.md 丢给 Claude Code / Codex / Gemini CLI，用标准 pm disable-user 等做备份与停用预装广告/遥测，再装约几百 KB 的 Apple TV 风格桌面。不宣称 root、不宣称卸载系统包，并提供一键恢复思路。中文圈 10-21 多条热传。

来源

https://github.com/Gathin23/cleanyourtv https://x.com/jinglian/status/2112748386361495972

工地点评：本质是「ADB 自动化 + 机型清单」，不是黑科技。动之前先看清会禁用哪些包；客厅电视别拿去试未备份的脚本。

4. TheSAS2026｜DarkSword 内核链：会上复盘，不是新 0day 投放

10 月 21 日前后，安全会议账号 @TheSAScon 连续放出议题实况：其一由 @imnotclarity 讲解 in-the-wild 套件 DarkSword 的内核利用要素，以及面向较新 iOS 版本的复现/再实现讨论；公开侧已有方法学写作用（如 ClearSword 博客，日期较早）。本条只作会议与研究动态记录：说明业界仍在拆解该链的内核阶段，不提供偏移、竞态细节或可用材料。同日还有 PS5 安全架构分享，主题偏离本号主轴，仅作会场背景。

来源

https://x.com/TheSAScon/status/2112803948356571378 https://x.com/_kujen5/status/2112803239204700221 https://therealclarity.github.io/blog/clearsword/

工地点评：野生全链被拆开讲，对防御研究有价值。读者只看「哪一层还在被追」，别把会议幻灯当成越狱说明书。

5. Keybox｜不是又丢一份 xml，是吊销名单一口气吃掉序列号

10 月 21 日 X 长帖（@zoecyber001 等）复盘近期 root 圈体感：大量机型在同一时刻丢掉 Google Wallet / Strong Integrity，根因更像是 Google 把泄露工厂 Keybox 的序列号写进服务端吊销列表，而不是静默推了神秘系统更新。机制上，Play Integrity / Key Attestation 仍依赖硬件侧 KeyMint 用工厂密钥签叶子证书；密钥一旦进撤销集，再「换一份 xml」也会集体失效。厂商侧 Approov 等亦在 10 月中公告跟进 Google 撤销列表。本条只解释机制，不提供、不索引任何 keybox 文件。

来源

https://x.com/zoecyber001/status/2113017773978796199 https://app.getbeamer.com/approov/en/planned-approov-android-attestation-update-14-october-low-impact

工地点评：和看雪 RKP/KeyMint 线是同一战场的另一面：服务端吊销比客户端技巧更快。做合规检测的看机制；想「续杯 Strong」的，这条新闻就是在泼冷水。

6. DFRoot｜正式版仍 v4.6，10-21 在修 SELinux 边角

接 10-19 已报的 DirtyFrag / 临时 root 产品化线：仓库 diabl0w/DFRoot 最新正式 tag 仍是 v4.6（10-19）；10 月 21 日主线出现针对 LKM 侧 avc_has_perm 补丁的守卫提交（在读回 SELinux 状态后再决定是否打补丁），同日还有许可证相关讨论。X 上仍有用户晒「DFROOT + KernelSU」组合截图。本条只记仓库维护动态，不复述临时 root 用法，也不当刷机教程。

来源

https://github.com/diabl0w/DFRoot https://github.com/diabl0w/DFRoot/releases/tag/v4.6

工地点评：没有新 tag 也值得记一笔：说明这条临时 root 线还在跟机型/策略打架。只看 changelog 的人，等到正式版说明再动。

工具箱补充｜版本与窗口内更新

和今天新闻相关的工具，版本信息以官方页面为准。无新版本的也列一行，方便对照。

Reynard Browser 0.18.0（Gecko 内核 iOS 浏览器，2026-10-18）

• 窗口内社区热传；相对常见 WebKit 套壳浏览器，提供 Firefox 扩展与隐私默认项；仍标实验性。
• 分发：AltStore / SideStore、TrollStore、越狱构建（以官方 Release 说明为准）。
• 官方：
• https://github.com/minh-ton/reynard-browser/releases/tag/0.18.0

Dopamine 3.0.12（iOS rootless 越狱，2026-10-20）

• 相对昨日无新版本。
• 官方：
• https://github.com/opa334/Dopamine/releases/tag/3.0.12

Frida 17.24.3（动态插桩，2026-10-19）

• 相对昨日无新版本。
• 官方：
• https://frida.re/news/2026/10/19/frida-17-24-3-released/

palera1n v3.0.0-beta.3（checkm8 系越狱工具，prerelease，2026-10-18）

• 相对昨日无新版本。
• 官方：
• https://github.com/palera1n/palera1n/releases/tag/v3.0.0-beta.3

KernelSU v3.3.1（Release 2026-10-12）

• 正式 tag 相对昨日无新版本。
• 官方：
• https://github.com/tiann/KernelSU/releases/tag/v3.3.1

APatch 11282（2026-10-15）

• 相对昨日无新版本。
• 官方：
• https://github.com/bmax121/APatch/releases/tag/11282

DFRoot v4.6（临时 root 相关工具，2026-10-19；10-21 有维护提交）

• 无更新正式 tag；主线见 SELinux 相关守卫提交。
• 官方：
• https://github.com/diabl0w/DFRoot/releases/tag/v4.6

LSPosed：稳定版仍为 v1.9.2；相对昨日无新版本。JingMatrix/Vector 仍 canary-3112。Magisk 仍 v31.0（prerelease）。TrollStore 仍 2.1.1：窗口内无相对昨文的可单独成条新版本。

PART 3

第三部分｜事件热点

优先安全 / AI / 科技基础设施大事件；不用与账号主题无关的样稿占位。

1. PHP2Shell｜紧急补丁已放：8.5.12 / 8.4.27 / 8.3.36 / 8.2.35

接昨日预告：PHP 安全团队于 2026-10-21 约 14:00 UTC（北京时间 22:00）前后放出修复版，覆盖 CVE-2026-109618 / CVE-2026-109619（合称 PHP2Shell，CVSS v4.0 9.2）。官方列出的首个修复版本包括 8.5.12、8.4.27、8.3.36、8.2.35；更老分支有源码级 backport 说明。风险在运行时本身，与具体站点代码无关；mod\_php 被点名为高风险路径之一。Cloudflare、watchTowr 等称观察到利用尝试与绕过防火墙规则的变种，但截至公开报道尚无确认的大规模打穿案例写入 KEV。本条不讨论利用细节。

来源

https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/ https://www.php.net/archive/2026.php

工地点评：预告日变成补丁日。面向公网的 PHP，今晚就该对版本号；发行版包可能「版本号看着旧但已修」，以 changelog 里的 CVE 为准。

2. GitLab｜CVSS 10.0：自管实例自 7.0 起都要动

10 月 21 日，GitLab 修复 CVE-2026-110264（CVSS 10.0）：在特定条件下，未登录攻击者可借特制正则触发 Onigmo 编译路径上的整数溢出，进而在自管服务器执行代码；影响范围被描述为自 GitLab 7.0（2014）以来的打包引擎。GitLab.com 与部分 Dedicated 内部版本已带修复；自管用户需升到各分支对应修复版（如 19.5.1、19.4.3、19.3.6，以及向 18.11.13 / 19.0–19.2 的回移植）。公司称截至报道未见在野利用、亦未进 CISA KEV。另同日还修了多枚高危认证相关问题。本条不讨论触发条件与 PoC。

来源

https://thehackernews.com/2026/10/critical-gitlab-flaw-cvss-100-could.html

工地点评：刚升完 10-12 那波的人别松口气——这次修复版又抬了一档。自管 GitLab 按官方分支表对号入座，多节点留意升级停机窗口。

声明：本文整理自公开报道、官方 changelog、会议议程与社区公开帖，仅供学习交流。内容由 AI 生成。不提供攻击步骤、未公开漏洞细节或盗版破解指引。勒索溯源、内核利用会议复盘、临时 root 工具维护、证书/密钥吊销等相关条目仅为新闻级摘要，不含复现材料或密钥文件。