PHP2Shell 披露失序复盘：Chainguard 提前发布修复镜像，CVE-2026-109618 与 CVE-2026-109619 在通告前已遭利用
PHP 中两个可导致 RCE 的严重漏洞 CVE-2026-109618 和 CVE-2026-109619（合称 PHP2Shell，评分 9.2）在协调披露过程中提前失控。
为什么值得看：复盘 PHP2Shell 协调披露提前破裂的经过，并给出补丁即秘密、按披露前已被利用来预案的防守思路。
#攻击事件
CSO Online精选AI 评分8080 Tenable 安全博客精选AI 评分8080 犯罪论坛如何应对 PHP2Shell 两个 PHP RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
Tenable 分析指出，2026 年 10 月 20 日公开披露的 PHP 免认证 RCE 漏洞 CVE-2026-109618（OOM Corruption）与 CVE-2026-109619（Stale Global State。
为什么值得看：从犯罪论坛紧急下线与迁移的侧面反应，观察 PHP2Shell 两个 RCE 漏洞在披露前后被武器化的节奏。
BleepingComputer精选AI 评分5858 Capcom 确认 CAPCOM ID 遭入侵，1170 万个账号邮箱等信息泄露
Capcom 确认其会员服务 CAPCOM ID 遭黑客入侵，超过 1170 万个账号的邮箱地址及相关信息被泄露。泄露数据还包括账号创建日期、最后登录时间、登录次数和最后登录所用 IP 地址；43 个账号的出生日期、性别、昵称和国家也被暴露，另有 196 个账号的登录密码被攻击者修改，公司已重置。
为什么值得看：事件披露了 CAPCOM ID 被入侵的账号规模与暴露字段范围，可对照自身账号体系的日志留存与通知流程。
BleepingComputer精选AI 评分6868 Railway 检测到环境变量存储系统异常活动，警告用户轮换密钥
Railway 在检测到存储客户环境变量的系统出现可疑活动后发布紧急警告，称调查显示未授权第三方可能访问了加密环境变量，并对其中的部分变量取得了明文内容。
为什么值得看：云托管平台环境变量存储系统遭未授权访问，波及面与凭据轮换范围是开发者最需要确认的部分。
Security Affairs同事件AI 评分8080 Microsoft 将 ConnectWise 供应链入侵归因于使用 AI 渗透工具 ARTEX 的中国关联组织 Storm-0940
Microsoft 发布技术报告，将 ConnectWise Cloud Backup 多租户应用供应链入侵归因于中国国家关联组织 Storm-0940，该组织使用开源 AI 渗透测试框架 ARTEX 对 2,250 个 Microsoft 365 租户发起攻击。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
The Record同事件AI 评分7676 eMudhra 因中间证书私钥过弱事件退出全球 SSL/TLS 证书业务
印度 CA 机构 eMudhra 宣布自愿退出全球 SSL/TLS 证书业务，此前其 8 张中间证书的私钥被发现在 2025 年 4 月的签发仪式中生成得过弱，Firefox、Apple 和 Chrome 已封禁这些证书。
同一件事，精选收录的是《eMudhra 在 8 个中间 CA 私钥被轻易猜出后退出全球 SSL/TLS 业务》
The RecordAI 评分5858 多伦多 Crime Stoppers 因数据泄露暂停运营
多伦多 Crime Stoppers 在 CBC 报道全国逾 150 万条线索数据泄露后，于周三深夜暂停运营。CBC 查阅 DDoSecrets 于 3 月提供的被窃数据，联系到十余名举报人，其中约半数线索含个人信息，部分可追溯至 25 年前。
Cybersecurity DiveAI 评分3030 CrowdStrike 报告：攻击者用 agentic AI 自动化入侵，简单配置也能攻破多家机构
CrowdStrike 报告记录了四个威胁行为者用 agentic AI 发起入侵活动，其中两个仅用简单 AI harness 仍攻破多家机构，说明规模化 AI 编排入侵的主要门槛是 token 预算而非工程复杂度。
Cybersecurity Dive同事件AI 评分8888 微软将 ConnectWise Cloud Backup 供应链攻击归因于中国关联组织 Storm-0940
微软在周三发布的报告中，将滥用 ConnectWise Cloud Backup 攻击 Microsoft 365 租户的供应链攻击归因于中国关联组织 Storm-0940，该组织使用名为 Artex 的 AI 渗透测试工具自动化攻击全球数百家机构。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
Palo Alto Unit 42精选AI 评分7171 eMudhra 八张中间 CA 证书私钥因随机性缺陷泄露
印度 CA 机构 eMudhra Limited 的八张中间证书颁发机构私钥在证书生成过程中因关键密码学缺陷而泄露，私钥随机性不足，第三方可从公开证书推导出私钥。攻击者可借此签发未授权的公共 TLS 证书，对目标域名实施中间人流量拦截、冒充或会话劫持。eMudhra 已吊销这八张证书，主流浏览器与操作系统厂商已着手吊销或不信任这些中间 CA。
为什么值得看：八张中间 CA 私钥因随机性不足可被从公钥推导，浏览器与操作系统厂商已着手吊销或不信任。
HackreadAI 评分2222 INTERPOL“Operation Serengeti III”在非洲21国逮捕1462人，追回逾1.05亿美元
INTERPOL 协调的 Operation Serengeti III 在 21 个非洲国家开展行动，逮捕 1462 人、捣毁 10909 个恶意网络，并追回逾 1.05 亿美元非法资金。
The Record同事件AI 评分8080 微软将 ConnectWise 供应链攻击归因于中国背景黑客组织 Storm-0940，其借助 ARTEX AI 智能体框架发起攻击
微软称，中国政府支持的黑客组织 Storm-0940 使用 AI 渗透测试框架 ARTEX 对 ConnectWise 发起供应链攻击，并试图入侵全球数百家机构。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
BleepingComputer精选AI 评分7575 CISA 与 FBI 联合通告：SafePay 勒索软件已入侵 600 多家关键基础设施机构
CISA 与 FBI、USSS 及德国、英国执法机构联合发布通告，称 SafePay 勒索团伙自 2024 年 8 月以来已入侵至少 600 家关键基础设施机构，涉及北美、南美、欧洲和澳大利亚。
为什么值得看：联合通告给出 SafePay 的初始访问渠道与备份破坏手法，并附 IOC 与 TTP，可用于对照自查。
BleepingComputerAI 评分4040 ClickFix 攻击规模创新高，AI 工具成最具迷惑性的诱饵
ClickFix 攻击在 2026 年 Q2 平均占 Push 检测量的 52%，8 月升至 67%，首次超过 AiTM 与设备代码钓鱼。
The Hacker News精选AI 评分8888 eMudhra 八个中间 CA 私钥被攻破，浏览器与软件紧急吊销
Mozilla 与 Chrome Root Program 于 10 月 20 日确认 eMudhra 八个中间 CA 证书的私钥已被攻破，Chrome 与 Firefox 在收到报告后数小时内封锁了这八张证书。
为什么值得看：八个中间 CA 私钥因密钥仪式缺陷可被公开推算，事件串起浏览器、Go、Linux 发行版与证书信任链的连锁处置。
The Hacker NewsAI 评分3434 攻击者将 Vasilek 后门藏入 VMware Tools，对俄罗斯医疗机构潜伏近两年
Solar 披露，与 Belarus 结盟的 Partisan Zmiy（Cyber Partisans）在俄罗斯一家医疗机构网络内潜伏近两年，最早入侵迹象可追溯至 2024 年初，2025 年 12 月才被发现。
The Hacker News精选AI 评分5858 State Bank of India 确认数据泄露，暗网约 37.5 万条记录中识别出 3,897 条客户记录
State Bank of India 在 10 月 21 日的交易所公告中确认发生数据丢失事件，从暗网约 375,000 条记录中识别出 3,897 条含个人信息的客户记录，但尚不清楚数据来源，也尚未确认数据是否真实。
为什么值得看：银行在交易所公告中承认数据丢失，但样本核验只覆盖 4 条记录，来源与是否被入侵仍无定论。
The Hacker News精选AI 评分7878 TeamUpdraft 网站被入侵，UpdraftCentral 连接密钥被用于向 WordPress 站点植入后门
TeamUpdraft 披露其 teamupdraft.com 网站在 10 月 17-18 日周末遭未授权访问，客户数据库中的 UpdraftCentral、UpdraftVault 和 UpdraftClone 连接密钥可能被窃取，攻击者借此向 WordPress 站点植入后门插件。
为什么值得看：事件说明 UpdraftCentral 连接密钥泄露后如何被用来向 WordPress 站点下发后门插件，并给出可自查的 IOC 与处置步骤。
The Hacker News精选AI 评分7878 攻击者劫持 300 多个 Tor 出口中继，将 SSH 连接重定向至拦截服务器窃取密码
研究人员 kaba 发现，10 月初有攻击者控制 300 多个 Tor 出口中继，把经 Tor 发起的 SSH 连接重定向到 12 台拦截服务器，窃取用户输入的登录密码。
为什么值得看：复盘披露攻击者借 Ebury 后门控制 300 多个 Tor 出口中继，把 SSH 连接引向拦截服务器窃取密码，并给出可操作的排查线索。
The Hacker News精选AI 评分5858 与中国有关联的 Bronze Sandcastle 利用 Sandboxie DLL 侧加载部署后门
Sophos 披露了一个此前未被记录、与中国有关联的攻击组织 Bronze Sandcastle，该组织自 2025 年年中起针对亚洲和非洲的组织发起攻击，受害者分布在菲律宾、台湾、阿富汗、纳米比亚，可能还有韩国。
为什么值得看：Sophos 披露的攻击活动显示，攻击者反复利用 Sandboxie 等合法程序进行 DLL 侧加载，并配合加密配置文件，这种手法可以迁移到检测思路中。
The Hacker News精选AI 评分8383 微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击
微软披露，中国国家关联组织 Storm-0940 是近期 ConnectWise Cloud Backup 供应链入侵的实施者，其在攻击中用 Go 编写的代理式 AI 渗透测试框架 ARTEX 加速扫描侦察、密码喷洒和 OAuth 应用滥用。
为什么值得看：微软披露 Storm-0940 借 ConnectWise Cloud Backup 供应链入侵，用 AI 代理把跨租户密码喷洒推到每分钟 2900 次。
Security Affairs同事件AI 评分8989 AWS 称 PHP2Shell 攻击在 CVE-2026-109618 与 CVE-2026-109619 公开前四天已开始
Amazon Threat Intelligence 在 MadPot 蜜罐遥测中发现，针对 PHP 两个关键漏洞 CVE-2026-109618 与 CVE-2026-109619 的 PHP2Shell 利用尝试始于 2026 年 10 月 17 日，比漏洞公开披露早四天，来源 IP 关联商业匿名化网络。
同一件事，精选收录的是《Amazon 称 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619 在公开披露前 4 天已被尝试利用》
CyberScoopAI 评分6565 eMudhra 因私钥可被秒级重算停止签发 SSL/TLS 证书
印度 CA 机构 eMudhra 宣布停止签发 SSL/TLS 证书，此前研究人员证明其八张中间证书的私钥因随机性不足可在不到一秒内重算，其中一张私钥仅为数字 4。
Infosecurity MagazineAI 评分4040 Semperis 发现伊朗黑客组织 Prince of Persia 在美国托管 C2 基础设施
Semperis 研究人员发现伊朗国家背景黑客组织 Prince of Persia 利用位于美国的托管服务器承载其 C2 基础设施，这是至少 12 年来首次确认该组织在美国服务器上托管活动。
BleepingComputerAI 评分2222 攻击者入侵后15分钟内即枚举或窃取数据，Exaforce 分析三类机器速度攻击模式
Exaforce 分析显示攻击者进入环境后 15 分钟内即开始枚举或窃取数据，而本应发现它们的工具未能生效。三类常见模式包括：开发者 OAuth token 被盗后从 GitHub 窃取代码、ClickFix 借 Claude Code 安装指令投递 macOS 窃密程序、以及冒充 IT 的语音钓鱼骗取真实 MFA 认证。
The Hacker NewsAI 评分1818 INTERPOL 开展 Operation Serengeti III 全球执法行动，逮捕 1,462 人、捣毁 10,909 个网络犯罪网络
INTERPOL 宣布在 2026 年 6 月 29 日至 8 月 31 日的 Operation Serengeti III 行动中，21 国执法机构逮捕 1,462 名嫌疑人，捣毁 10,909 个恶意网络，追回逾 1.05 亿美元非法资金。
The RecordAI 评分2222 Interpol 非洲 Serengeti III 行动逮捕 1,462 人，查获 1.05 亿美元
Interpol 通报，非洲 20 国联合美国开展年度行动 Serengeti III，逮捕 1,462 名涉嫌网络诈骗、勒索软件和 BEC 攻击的嫌疑人，捣毁逾 1 万个恶意网络并查获超 1.05 亿美元非法资金。
CSO Online同事件AI 评分8282 与中国有关联的黑客利用 agentic AI 攻击 2,250 个 Microsoft 365 租户
微软威胁情报将利用 ConnectWise Cloud Backup 窃取凭证、攻击 2,250 多个 Microsoft 365 租户的活动归因于 Storm-0940，该组织最早自 2026 年 9 月起使用开源 agentic AI 框架 ARTEX 自动化攻击。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
The RecordAI 评分4545 美国南卡罗来纳州首府哥伦比亚市遭网络攻击，MyColaSC 等市政系统下线
南卡罗来纳州首府哥伦比亚市正在处置一起网络攻击，MyColaSC 缴费与市政服务平台、地理信息系统及动物服务相关系统被迫下线。市政府称警方、消防、911 通信、供水及支付中心等关键公共安全与公用系统仍正常运行，并已联系州执法部门 SLED 主导调查。市政府未回应是否为勒索软件攻击，截至周三尚无黑客组织宣称负责。
Infosecurity Magazine同事件AI 评分8888 微软称中国国家背景组织 Storm-0940 用 AI 框架 ARTEX 攻破 ConnectWise 的 Microsoft 365 租户
微软将 ConnectWise 使用的 Microsoft 365 租户被攻破归因于中国国家背景组织 Storm-0940，该组织自 2026 年 9 月起使用 agentic AI 渗透测试框架 ARTEX 针对全球数百家机构，常在初始定向后不到三小时取得云基础设施的特权访问。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
Ars Technica 安全AI 评分5656 333 个 Tor 出口节点被劫持，用于拦截 SSH 流量并获取明文邮件
据 Ars Technica 报道，本月有 333 个 Tor 出口节点被入侵，攻击者借此拦截 SSH 流量并获取明文邮件，入侵持续了 3 天。
The Hacker News同事件AI 评分5858 Railway 称入侵者可能访问客户密钥，敦促轮换凭据
PaaS 提供商 Railway 周三披露，存储客户环境变量的系统出现异常活动，调查发现未授权第三方可能访问了加密的环境变量，并在部分情况下获取了解密后的内容。Railway 表示影响范围限于一部分用户，并敦促用户轮换凭据。
同一件事，精选收录的是《Railway 检测到环境变量存储系统异常活动，警告用户轮换密钥》
Hackread同事件AI 评分8888 Qilin 与 INC 利用 PAN-OS GlobalProtect 漏洞 CVE-2026-0257 发起勒索攻击
Unit 42 在 10 月 19 日和 20 日发布的更新中指出，Qilin（Spikey Scorpius）与 INC（Tarnished Scorpius）等勒索软件运营者正在利用 PAN-OS 认证绕过漏洞 CVE-2026-0257 获取 VPN 访问权限，该漏洞影响 GlobalProtect 门户与网关，可绕过包括 MFA 在内的认证控制。
同一件事，精选收录的是《Qilin 与 INC 勒索团伙扩大利用 Palo Alto Networks GlobalProtect 漏洞 CVE-2026-0257》
安全客AI 评分4848 CyberCartel 用 Claude、Grok 等大模型智能体全自动攻击 400 多家拉美金融机构
安全公司 Straiker 调查发现，黑客组织 CyberCartel 用 Anthropic 的 Claude、xAI 的 Grok 等大模型搭建 AI 智能体网络，对 400 多个拉美金融机构（含多家银行和支付应用）实施全自动攻击，可自主盗取密码、窃取客户数据并接入银行账户。
BleepingComputerAI 评分2020 Interpol 协调 21 国开展 Operation Serengeti III，捣毁近 11,000 个非洲网络犯罪网络
Interpol 协调 21 国执法机构于 6 月 29 日至 8 月 31 日开展 Operation Serengeti III，逮捕 1,462 名嫌疑人并捣毁 10,909 个恶意网络，追回逾 1.05 亿美元非法资金。
Security Affairs同事件AI 评分7878 FBI 与 CISA 联合通告 SafePay 勒索软件攻击 600 余家机构
CISA、FBI、美国特勤局及德国、英国执法机构本周联合发布通告，称 SafePay 勒索软件自 2024 年 8 月以来已入侵北美、南美、欧洲和澳大利亚至少 600 家关键基础设施领域的机构。
Kaspersky SecurelistAI 评分6060 APT41 用 BlackX UEFI bootkit 攻击中亚外交机构
卡巴斯基 GReAT 在 2026 年初发现针对塔吉克斯坦、乌兹别克斯坦和土库曼斯坦外交机构的 APT 攻击，攻击者获取管理员权限后投放与 BlackLotus 相似的 UEFI bootkit，命名为 BlackX，利用 Baton Drop（CVE-2022-21894）绕过 Secure Boot。
Cybersecurity DiveAI 评分6565 eMudhra 八个中间证书密钥强度不足，主流浏览器切断信任
印度证书机构 eMudhra 在创建八个中间证书时未按规范流程操作，生成的私钥仅含 3 到 8 位熵，而正常私钥通常有数百位熵。Cloudflare 称攻击者可借此为任意域名伪造证书并冒充服务器拦截或修改流量；Google、Mozilla 等主流浏览器已切断对这八个弱中间证书的信任，并要求用户尽快更新浏览器和操作系统。
Cisco Talos 情报博客同事件AI 评分7878 eMudhra 八个中间证书私钥强度不足被泄露，Go 以 CVE-2026-111943 修复
Cisco Talos 披露 eMudhra 八个中间 CA 证书的私钥仅具 3–8 位熵，持有者可冒充任意网站或服务；Chrome、Mozilla、Apple 已封禁其中六个 TLS 证书，Microsoft 封禁两个代码签名证书。
同一件事，精选收录的是《eMudhra 中间 CA 密钥生成缺陷 PoC 从公开证书恢复 8 个私钥》
微软安全博客同事件AI 评分8888 微软披露 Storm-0940 借 ARTEX 自动化攻击致 ConnectWise 供应链失陷
微软将近期 ConnectWise 多租户应用供应链失陷归因于中国背景攻击组织 Storm-0940，该组织最早自 2026 年 9 月起使用开源 agentic AI 渗透测试框架 ARTEX 自动化攻击全球数百家机构，部分案例从初始定向到取得云基础设施特权访问不足 3 小时。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》