2026-10-24 15:23:51 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【已复现】PHP千万级RCE涌现，是核弹还是鸡肋漏洞

原创

泼猴
泼猴

表哥带我

2026年10月22日 08:00
广东

去阅读

核弹 ?

2026 年 10 月 20 日至 21 日，主流语言与运行时进入罕见的密集披露窗口：PHP 两个 CVSS 9.2 未认证 RCE（php2shell）、Node.js 三线高危更新、Oracle 十月 CPU（Java SE / MySQL / GraalVM）、Go 安全修复、微软补丁日的 .NET / ASP.NET Core、Traefik 3.7.15、LiteLLM PyPI 供应链投毒、eMudhra 印度 CA 中间证书私钥泄露，叠加 Vyper（智能合约）、Perl、Ruby、Python 生态的多个漏洞


表哥整理近日严重级
产品/组件	漏洞要点（风险等级）	修复版本
PHP	Critical（CVSS 9.8）：php2shell — CVE-2026-109618 OOM 内存破坏 RCE、CVE-2026-109619 陈旧全局状态 UAF RCE	8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
Node.js	High：6 个 CVE，3 个高危 — brotli 越界写入可致 RCE、dns NUL 截断、非规范 IP 绕过 TLS	26.x / 24.x / 22.23.4
Java（OpenJDK）	Oracle 十月 CPU：Java SE 55 个补丁（49 个可远程未认证利用），最高 CVSS 7.5	8u503 / 11.0.32.1 / 17.0.20.1 / 21.0.12.1 / 25.0.4.1 / 27
MySQL	Oracle 十月 CPU：98 个补丁（29 个可远程未认证利用），另有 InnoDB DoS（CVE-2026-101621），最高 CVSS 9.8	按 Oracle 十月 CPU 升级
Go	低-中：CVE-2026-111943 crypto/x509 吊销对特定 CA 中间证书的信任（关联 eMudhra 事件）	1.27.3 / 1.26.10
.NET / ASP.NET Core	Important：RCE（CVE-2026-102870 代码注入）、ASP.NET Core DoS 系列、本地提权，最高 CVSSv4 8.7	.NET 10.0.13 / 11.0.0-rc.2 / VS 17.14.42 / 18.10.4
Traefik（Kubernetes）	最高 CVSSv4 9.3：Ingress NGINX mTLS 绕过、fastProxy 数据竞争崩溃、跨命名空间授权绕过	Traefik 3.7.15
Vyper	高危：CVE-2026-114118 create\_from\_blueprint 内存损坏、CVE-2026-114116 str.splitlines	0.1.0b17（0.4.1-0.5.0 另行修复）
Perl	中：XS::Parse::Keyword 特制输入引发拒绝服务（USN-8940-1）	按 Ubuntu 安全通告升级
Ruby	中-高：resolv 恶意 DNS 响应致内存不受控增长、net-imap 绕过 TLS	更新 resolv / net-imap gem
Python	High：virtualenv 激活提示符语法注入（CVE-2026-113723，CVSS 7.1）等，另涉 aiohttp、filelock	virtualenv 21.14.9+ 及相关依赖
LiteLLM	Critical：PyPI 供应链投毒 — 1.107.0 全部 7 个 wheel 内置 cook.pth / cook.py / sitecustomize.py，凭证窃取 + 每小时远程代码加载	避开 1.107.0，锁定 1.106.2
eMudhra（CA 信任链）	Critical：8 个中间 CA 私钥泄露（弱密钥可从证书恢复），可伪造任意网站 TLS 证书	更新浏览器/系统；Go 1.27.3/1.26.10、NSS 3.131.1、certifi 2026.10.19

php 最危险？ ---


漏洞概述
公开时间	2026-10-21	影响量级	千万级
评级	高危	CVSS 3.1分数	8.1
威胁类型	代码执行	利用可能性	高
POC状态	已公开	在野利用状态	未发现
EXP状态	已公开	技术细节状态	已公开
危害描述：可导致无需认证的堆 UAF、内存泄露和远程代码执行，攻击者以 Web worker 权限执行任意命令，写入 WebShell、窃取凭据和业务数据、横向移动并植入持久化后门。

搜索语法 / FOFA

body=\"PHPSESSID\"

官方已发布补丁：

但

目前网络上针对该洞的讨论多为本地复现且两极分化，对此你怎么看，欢迎在评论区留言

处置建议

PHP（最优先）：凡对外承载 Web 请求的 PHP（FPM / mod_php / php-cgi / FrankenPHP / LiteSpeed）立即升级到 8.2.35+，重建容器镜像、滚动替换工作进程，并排查是否已有入侵痕迹；

eMudhra（CA 信任链）：立即更新浏览器（Chrome/Edge/Firefox）与操作系统；开发者环境同步更新 ca-certificates、NSS、Go、Python certifi、Rust webpki 等（补丁版本见十二章），并用测试页自测客户端；

Traefik（K8s 环境优先）：升级 3.7.15，重点审计启用 auth-tls-secret 的 Ingress 与 fastProxy 配置；

LiteLLM（AI 网关优先）：立即检查是否装有 1.107.0，按上文处置流程清理、轮换凭证并 pin 1.106.2；

Node.js：升级 22.23.4 / 24.x / 26.x 最新版，重点排查对外解析域名与 TLS 校验的业务；

.NET：升级 .NET 10.0.13+，优先覆盖 Blazor WASM Server 与对外 API；

Java / MySQL：按 Oracle 十月 CPU 排队升级，先打公网可达与未认证可达的实例；

Vyper / Perl / Ruby / Python：Vyper 升 0.1.0b17+ 并重编译合约；Perl 按 USN-8940-1 更新；Ruby 更新 resolv / net-imap；Python 升 virtualenv 21.14.9+；

Go：顺手升级到 1.27.3 / 1.26.10。

![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/UA4ABKCY6Oy4Qzb6kxSF3kliaBAOPVgMdibYbGI3YMzTIVY1vZHmLSGWvFQMX4P3hT5HZlSyvsqb5r8uYGq1BFKoXKm2l1oT4EcRhTjsSfIicU/640?wx_fmt=webp&from=appmsg&watermark=1#imgIndex=13)