跳到正文
只看漏洞通告#RCE
今天10月23日周五11 条
  3. GitHub 安全公告库 (GHSA)64

    Pillow 11.1.0 起打包的 libopenjp2 2.5.3/2.5.4 存在 OSV-2025-219 堆溢出写，可从 Image.open().load() 触发

    Pillow 从 11.1.0 起打包的 libopenjp2 2.5.3 与 12.0.0 至 12.3.0 打包的 2.5.4 含 OSV-2025-219 堆缓冲区溢出写，默认设置下经 Image.open(fp) 与 im.load() 即可到达，宿主系统打补丁无效。

    为什么值得看：报告给出了 ASan 复现栈与可控 rip 的堆布局细节，并说明修复补丁尚未进入任何 OpenJPEG 发行版。

  4. GitHub 安全公告库 (GHSA)47

    Storybook 修复 dev server 局域网代码注入漏洞，发布 8.6.19、9.1.21、10.6.2 等补丁版本

    Storybook 发布安全通告，指出 dev server 会把 WebSocket 认证 token 暴露给任何能加载其 HTML 页面的客户端，同一局域网内的主机可通过 IP 访问并取得该 token，进而向 story 文件注入代码或创建新文件，在特定条件下可在开发者机器上执行代码。

  5. GitHub 安全公告库 (GHSA)78

    Next.js 通告 use cache 函数返回 typed array 可致免认证 RCE

    GitHub 安全公告库发布 Next.js 通告，指出使用 App Router 与 Cache Component 的应用若存在返回多个 typed array 的 use cache 函数，可导致远程代码执行。通告称此类受影响应用没有已知规避方案，即使应用不含类似函数也建议立即升级。

    为什么值得看：通告说明使用 App Router 与 Cache Component 且 use cache 函数返回多个 typed array 的应用存在 RCE 风险，且无规避方案。

  6. GitHub 安全公告库 (GHSA)60

    GraphQL-core 修复 OverlappingFieldsCanBeMerged 校验规则二次复杂度 DoS

    GraphQL-core 发布通告，指出默认启用的 OverlappingFieldsCanBeMerged 校验规则可被小体积查询触发二次复杂度，364 KB 文档在 3.2.8 上校验耗时 319 秒，且无需认证。

    为什么值得看：通告给出了触发条件、实测耗时与修复版本，并说明常规深度限制和 WAF 为何挡不住这类校验期 DoS。

  7. GitHub 安全公告库 (GHSA)58

    GraphQL-core 修复注释 token 绕过 max_tokens 限制导致的拒绝服务漏洞

    GraphQL-core 发布通告，指出解析器的 max_tokens 限制未统计注释 token，用注释填充的文档可绕过该限制并持续占用内存，38 MB 载荷在 max_tokens=5 下额外占用约 92 MB 常驻内存。

    为什么值得看：通告说明了 max_tokens 未统计注释 token 的计数缺口，并给出升级后注释计入上限的行为变化。

  8. GitHub 安全公告库 (GHSA)58

    stream-json 的 FlexAssembler 字符串/RegExp 路径过滤存在 O(depth^2) CPU 拒绝服务问题

    GitHub 安全公告 GHSA-jj87-hc4r-jwfw 指出，npm 包 stream-json 的 FlexAssembler 在规则 filter 为字符串或 RegExp 时，每次容器开始都会对完整 keyStack 执行 join，嵌套深度 D 的文档产生 O(D^2) CPU 开销，约 96 KB（深度 16000）的输入可阻塞事件循环超过 1 秒。

    为什么值得看：通告说明 stream-json 的 FlexAssembler 在字符串或 RegExp 过滤规则下存在平方级 CPU 消耗，并给出 maxDepth 默认 1024 的修复。

  9. GitHub 安全公告库 (GHSA)78

    Next.js 图像优化 API 处理 SVG 时存在免认证 RCE 漏洞

    GitHub 安全公告指出，Next.js 用于图像优化的上游库存在内存相关漏洞，当 Next.js 运行在基于 glibc 的 Linux 上时可能导致 RCE。规避方案是确保 Next.js 使用的 sharp 版本大于或等于 0.35.5，全新安装会自动获得修复版本，升级 Next.js 到已修复版本也能让包管理器自动提供修复后的 sharp。

    为什么值得看：通告说明 Next.js 图像优化依赖的上游库存在内存问题，并给出 sharp 版本与升级两条规避路径。

  11. BleepingComputer94

    PHP 为 PHP2Shell 两个严重 RCE 漏洞发布紧急补丁

    PHP 安全团队为两个严重 RCE 漏洞 CVE-2026-109618 和 CVE-2026-109619（合称 PHP2Shell）发布紧急补丁，影响所有处理 Web 请求的 PHP 安装，包括 PHP-FPM、Apache with mod_php、php-cgi、FrankenPHP 和 LiteSpeed。

    为什么值得看：PHP 两个免认证 RCE 漏洞的紧急补丁与临时缓解措施，Cloudflare 已观察到早期攻击尝试。

10月22日周四
  1. The Hacker News58

    PHP 将发布带外更新修复两个 CVSS 9.2 的 RCE 漏洞

    PHP 计划于 10 月 21 日 14:00 UTC 发布带外安全更新，修复两个尚未公开细节的严重漏洞，安全团队给出的 CVSS v4.0 评分为 9.2。报道发布时官方通告尚未发布，受影响版本与修复版本需以正式通告为准。

    为什么值得看：PHP 计划在 10 月 21 日 14:00 UTC 发布带外安全更新，修复两个 CVSS v4.0 评分为 9.2 的未公开漏洞。

  2. The Hacker News72

    PHP2Shell 两个 PHP 漏洞补丁发布前，哪些措施真正有效

    在 PHP 计划于 10 月 21 日 14:00 UTC 发布两个评分 9.2 的 PHP2Shell 漏洞修复前，目前没有任何措施能完全阻断利用，社交平台上流传的 session.upload_progress.enabled=0 配置项被提出者 GMO Flatt Security 当天收回。

    为什么值得看：在官方补丁发布前，梳理了 session.upload_progress.enabled=0 等临时措施的实际边界，以及无法立即打补丁时的隔离与收敛思路。

  3. The Hacker News88

    GitLab 修复 CVSS 10.0 的 CVE-2026-110264，可致免认证 RCE 并影响 7.0 以来版本

    GitLab 于 10 月 21 日发布修复，CVE-2026-110264 在 CVSS 评分为 10.0，特定条件下未认证用户可因正则表达式编译时的整数溢出在自管理服务器上执行任意代码，影响 7.0 以来的所有版本。

    为什么值得看：修复覆盖 7.0 以来全部版本，且 10 月 12 日刚升级的实例仍落在影响范围内，运维需要重新核对版本。

  5. Schneier on Security85

    PHP 修复两个可致免认证 RCE 的漏洞 CVE-2026-109618 与 CVE-2026-109619

    PHP 维护者发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个可导致免认证远程代码执行的严重漏洞。受影响范围包括 PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等处理 Web 请求的 PHP 安装，其中 mod_php 风险最高，已有演示利用可在应用代码运行前通过免认证请求触发攻击。

    同一件事，精选收录的是《PHP 为 PHP2Shell 两个严重 RCE 漏洞发布紧急补丁》

  6. BleepingComputer78

    GitLab 修复最高严重级别的代码执行漏洞 CVE-2026-110264

    GitLab 发布安全补丁，修复 Regular Expression Compiler 中一个最高严重级别的整数溢出漏洞 CVE-2026-110264，该漏洞在特定条件下可让未认证用户远程在 GitLab 服务器上执行任意代码。

    同一件事，精选收录的是《GitLab 修复 CVSS 10.0 的 CVE-2026-110264，可致免认证 RCE 并影响 7.0 以来版本》

  10. The Hacker News58

    OpenCode 修复 MCP 服务器在登录时执行代码的漏洞

    OpenCode 的 AI 编码代理存在缺陷，恶意或被劫持的 MCP 服务器可在开发者登录时于 Windows 或 WSL 机器上执行代码，且以开发者自身权限运行。OpenCode 背后的公司 Anomaly 已在 9 月发布的 1.18.33 版本中修复该问题。

    为什么值得看：OpenCode 在登录阶段信任 MCP 服务器返回内容，使用该 AI 编码代理的开发者可据此判断是否需要升级。

  12. The Hacker News63

    Node.js 22.x/24.x/26.x 修复 Brotli 解码器越界写 CVE-2026-111497 等 10 个漏洞

    Node.js 于 10 月 21 日为 22.x、24.x、26.x 三条支持线发布安全更新，修复 10 个漏洞，其中 Brotli 解码器越界写 CVE-2026-111497 被项目描述为可导致远程代码执行，评级为 high。

    为什么值得看：通告列出 10 个修复项与各版本对应关系，并交代 Brotli 漏洞的公开 PoC 仅在削弱构建上达成代码执行。

  14. Sploitus 利用聚合78

    PHP 修复 CVE-2026-109618 与 CVE-2026-109619 免认证 RCE，附本地自检脚本

    PHP 项目发布 CVE-2026-109618 与 CVE-2026-109619 两个漏洞通告，称二者均可导致 Web 部署环境中的免认证远程代码执行，修复版本为 8.5.12、8.4.27、8.3.36、8.2.35，PHP 8.1 及更早分支已不在上游正常支持范围内。

    同一件事，精选收录的是《PHP 为 PHP2Shell 两个严重 RCE 漏洞发布紧急补丁》

  18. CSO Online90

    PHP 修复两个可致免认证 RCE 的严重漏洞 CVE-2026-109618 与 CVE-2026-109619

    PHP Foundation 发布补丁，修复 CVE-2026-109618 与 CVE-2026-109619 两个 CVSS 9.2 的漏洞，二者均可导致免认证 RCE，分别源于内存耗尽处理（OOM）中的内存破坏和同一 worker 上后续请求复用陈旧请求全局状态。

    为什么值得看：PHP 核心内存管理与错误处理中的两个 9.2 分漏洞影响面覆盖默认配置，通告给出了明确的修复版本与受影响部署形态。

  19. Fortinet PSIRT 公告58

    Fortinet 通告 PHP 核心 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 的产品影响排查

    Fortinet 发布 PSIRT 通告，说明 PHP 在内存不足（OOM）时使用 longjmp() 退出当前上下文，部分上下文未正确处理该场景，导致请求内存在分配前处于未初始化状态，后续清理过程可能读取或依据该内存分支，多种 OOM 策略可稳定触发并导致远程代码执行（RCE）。

    为什么值得看：Fortinet 通告说明 PHP 的 OOM 处理缺陷可致 RCE，并列出仍在排查与确认不受影响的自家产品清单。

  21. GitHub 安全公告库 (GHSA)58

    Pillow 修复内存中编码 TIFF 时的堆 use-after-free 漏洞

    GitHub 安全公告披露 Pillow 在将图像编码为内存中的 TIFF 时存在堆 use-after-free：libtiff 在编码阶段拒绝某个 tag 导致 TIFFWriteScanline 失败后，编码器释放了输出缓冲区却未关闭 TIFF 句柄，随后清理阶段 TIFFClose 刷新数据写回已释放内存。

    为什么值得看：公告给出可运行的 Python 复现脚本与 ASan 调用栈，便于维护者确认内存释放路径并判断自身服务是否受影响。

  22. GitHub 安全公告库 (GHSA)47

    virtualenv 修复 POSIX 控制台启动器将目标路径当作 shell 语法解析的问题，21.14.9 已修复

    virtualenv 发布通告，指出 app-data seeder 与 pip 生成的 POSIX 控制台启动器会把环境目标路径当作 shell 语法解析，攻击者需影响传给 virtualenv 的环境路径且用户随后运行生成的启动器，命令才会以用户权限执行，Windows 可执行启动器不受影响。

  24. GitHub 安全公告库 (GHSA)58

    Storybook 预览缺少来源校验可被恶意网站注入代码，官方发布 8.6.19 等修复版本

    Storybook 发布安全通告，指出运行受影响版本的 Storybook 开发服务器时，恶意网站可能对开发者项目造成未授权文件修改，在附加条件下被修改的文件可能以开发者权限被本地运行时执行；官方称未发现已在野利用。

    为什么值得看：通告给出四个受影响大版本的修复版本，并说明默认行为变更，开发者可据此判断升级与工作流调整。