#RCE

virtualenv 20.26.6 至 21.14.1 激活脚本占位符替换缺陷，21.14.2 修复

GitHub 安全公告 GHSA-8rjx-v5ww-45pp 指出，virtualenv 的 ViaTemplateActivator.instantiate_template 逐个键替换激活模板中的占位符，若已替换并加引号的值包含后续占位符名称，后续替换会改写引号内的名称，导致路径剩余部分在用户激活环境时作为代码执行。

virtualenv 修复 activate.fish 中反斜杠引号导致的命令执行问题

GitHub 安全公告 GHSA-c947-3pg5-gm8q 指出，virtualenv 的 FishActivator 未定义 quote()，沿用 shlex.quote 的 POSIX 规则。

virtualenv 21.14.4 修复 zsh 下 activate 脚本环境名命令注入问题

virtualenv 在 21.14.4 中修复了 zsh 用户执行 bash `activate` 脚本时的命令注入问题：环境名中的 `$(...)`、反引号或 `${...}` 在开启 `PROMPT_SUBST` 的 zsh 中会随每次提示符绘制被执行。

Vite 自定义中间件跨源脚本执行漏洞（GHSA）可致开发服务器页面被注入脚本

Vite 开发服务器在将未经修改的浏览器请求 URL 传入 server.transformIndexHtml 时存在跨源脚本执行问题，攻击者可构造含 `//` 的路径让生成的模块 src 指向外部域名，从而在 Vite 页面中执行任意 JavaScript。

virtualenv 修复 bash activate 脚本环境名中反斜杠加 $ 触发命令执行的问题

virtualenv 发布通告，指出 bash 的 activate 脚本只对 PS1 的两轮处理中的一轮转义环境名，名称中含 \$(...) 时会在用户每次绘制提示符时以该用户权限执行命令，21.14.7 已修复。

USN-8930-2：Ubuntu 26.10 修复 U-Boot 多个漏洞（含 CVE-2026-74220、CVE-2026-74221、CVE-2026-74222、CVE-2026-74225）

Ubuntu 发布 USN-8930-2，为 Ubuntu 26.10 上的 U-Boot 提供 USN-8930-1 所修复漏洞的对应补丁。

Ubuntu 发布 USN-8948-2，为 14.04 至 20.04 LTS 的 PHP 补齐 CVE-2026-109618 与 CVE-2026-109619 修复

Ubuntu 发布 USN-8948-2，将 USN-8948-1 中针对 Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS 和 26.10 的 PHP 修复扩展到 Ubuntu 14.04 LTS、16.04 LTS、18.04 LTS 和 20.04 LTS。

Ubuntu 修复 PHP 的 CVE-2026-109618 与 CVE-2026-109619 并发布 USN-8948-1

Ubuntu 发布 USN-8948-1，指出 PHP 存在两个可被远程攻击者利用执行任意代码的问题，涉及 CVE-2026-109618 与 CVE-2026-109619。

PHP 修复 CVE-2026-109618 与 CVE-2026-109619 免认证 RCE 漏洞，已出现利用

PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复 CVE-2026-109618 与 CVE-2026-109619 两个可导致免认证远程代码执行的漏洞，PHP 安全团队对两者评级均为 Critical（CVSS v4.0 9.2）。

同一件事，精选收录的是《PHP 为 PHP2Shell 两个严重 RCE 漏洞发布紧急补丁》

launch-editor 在 Windows 上因参数转义不当导致任意代码执行

launch-editor 在 Windows 上存在因参数转义不当导致的任意代码执行漏洞。Red Hat CVE 数据库收录了该问题，具体受影响版本区间与修复版本尚未在通告中给出。

sanitize-html 存在通过命名空间前缀 SVG 动画元素执行任意脚本的漏洞

sanitize-html 被披露存在任意脚本执行漏洞，攻击者可借助带命名空间前缀的 SVG 动画元素绕过过滤。该漏洞影响 sanitize-html 的输入净化逻辑，具体受影响版本区间与修复版本尚未在通告中给出。

virtualenv 脚本启动器因解释器路径引号处理不当存在任意代码执行漏洞

virtualenv 的脚本启动器因解释器路径引号处理不当，存在任意代码执行风险。该漏洞影响 virtualenv 生成的启动脚本，攻击者可借特制路径触发代码执行。目前 Red Hat 已收录该 CVE 通告，具体受影响版本区间与修复版本尚未在原文中给出。

Red Hat 通告 chromium-browser 的 SVG use-after-free 可致任意代码执行 CVE-2026-113339

Red Hat CVE 数据库收录 CVE-2026-113339，chromium-browser 的 SVG 组件存在 use-after-free 问题，可导致任意代码执行。通告未给出受影响版本区间与修复版本信息。

Siemens Software Center 非受控搜索路径元素漏洞

Siemens Software Center 存在非受控搜索路径元素漏洞，已认证的本地攻击者可将特制 DLL 放入应用搜索的目录，从而以受影响应用权限执行任意代码。

EG Secure Solutions SiteGuard Server Edition 存在 OS 命令注入漏洞

EG Secure Solutions SiteGuard Server Edition 存在 OS 命令注入漏洞，攻击者可能借此在运行受影响产品的系统上以 root 或 SYSTEM 权限执行任意 OS 命令。该条目已收录于 CISA 已知被利用漏洞目录（KEV）。

launch-editor 在 Windows 上的 fs.existsSync() 存在性检查可被绕过

GitHub 安全公告指出，launch-editor 在把传入路径交给编辑器命令前会调用 fs.existsSync(fileName) 做检查，而在 Windows 上，攻击者可以用以 \\..:line:column 结尾的构造路径绕过该检查，从而不再需要预先放置恶意文件名。

launch-editor 编辑器 CLI 参数误解析导致任意命令执行，涉及 Vim、Emacs 等编辑器

launch-editor 将文件路径未经净化直接传给编辑器，若路径以 `+` 或 `-` 开头，Vim、MacVim、Emacs、Notepad++ 等会将其当作 CLI 参数解析，可能造成文件覆盖或命令执行。

ApostropheCMS 的 uploadfs 本地存储存在路径穿越，可任意读写删文件

GitHub 安全公告 GHSA-gmfx-5g6x-rr72 指出，ApostropheCMS 的 uploadfs 库本地存储后端不校验用户传入路径，prefixPath() 只去掉双斜杠，后端直接拼接 uploadsPath + path，攻击者可用 ../ 逃逸上传目录，实现任意文件读取、写入和删除。

launch-editor 的 escapeCmdArgs() 在 Windows 上遗漏 % 转义

launch-editor 的 escapeCmdArgs() 在 Windows 上未转义 `%`，当环境变量含恶意值时可能导致内容被执行。受影响需同时满足：用户使用 Windows、攻击者可放置含 `&` 或 `%` 的恶意文件名，并能注入恶意环境变量或为该文件添加 NTFS 备用数据流。

FortiSIEM CVE-2026-106173 免认证 RCE 漏洞公开 PoC

安全研究人员公开了 FortiSIEM 漏洞 CVE-2026-106173 的 PoC 利用程序，该漏洞 CVSS 评分为 9.4，属于路径穿越问题，可导致免认证攻击者执行任意代码。

Angular 修复 @angular/router 在 SSR 下的拒绝服务漏洞，影响 20.3.33 之前版本

GitHub 安全公告披露 @angular/router 在 Node.js 上启用 SSR 时存在拒绝服务问题，路由匹配未校验 URL 中的辅助 outlet 段是否对应已配置路由。

org.apache.camel/camel-spring-redis 存在不可信 Java 反序列化导致的任意代码执行漏洞

org.apache.camel/camel-spring-redis 存在不可信 Java 反序列化漏洞，可导致任意代码执行。Red Hat 已发布该 CVE 通告，具体受影响版本区间与修复版本尚未在通告中明确。

Apache Johnzon johnzon-mapper 存在不安全类加载导致任意代码执行漏洞

Apache Johnzon 的 johnzon-mapper 组件存在不安全类加载问题，可导致任意代码执行。该漏洞影响 org.apache.johnzon/johnzon-mapper，Red Hat 已收录相关 CVE 通告。

Apache Camel camel-jgroups 存在不可信数据反序列化导致任意代码执行漏洞

Apache Camel 的 camel-jgroups 组件存在不可信数据反序列化漏洞，可导致任意代码执行。该漏洞编号与受影响版本区间尚未在原文中给出，暂无补丁与利用状态信息。

Red Hat 通告 Pillow 在 TIFF 编码时存在堆 UAF 可致任意代码执行 CVE-2026-112396

Red Hat CVE 数据库收录 CVE-2026-112396，指出 Pillow 在 TIFF 编码过程中存在堆 use-after-free，可导致任意代码执行。通告正文仅给出该漏洞标题，未列出受影响版本区间与修复版本。

Mercury 默认免认证配置下 /api/kernels 可致 RCE，3.2.4 上已复现并附 PoC

Mercury 默认以无 token 方式运行 JupyterLab，黑名单未包含 /api/kernels，未认证客户端可创建内核并通过 websocket 发送 execute_request 执行任意 Python 代码。

Mercury 因 BLOCKED_PATTERNS 缺少逗号导致 /api/terminals 免认证 RCE

Mercury 的 mercury_app/block_handler.py 中 BLOCKED_PATTERNS 列表缺少一个逗号，使前两条规则被合并，/api/terminals 不再被拦截，任何无需认证的攻击者都能通过该接口启动 OS shell。

Drupal core 修复 Navigation 模块 XSS 漏洞 SA-CORE-2026-016

Drupal core 发布安全通告 SA-CORE-2026-016，修复 Navigation 模块因未充分过滤特定属性导致的 XSS 漏洞。攻击者需具备可输入含特定 data 属性 HTML 标签的角色权限或 administer menu 权限才能利用。

Drupal core Field UI 模块修复远程代码执行漏洞 CVE-2026-108097

Drupal 安全团队发布 SA-CORE-2026-014，指出 Drupal core 的 Field UI 模块存在远程代码执行漏洞 CVE-2026-108097，仅靠核心无法直接利用，但配合贡献模块存在多条严重利用路径，其中至少一条已知路径无需认证。

Fortinet 通告 FortiSIEM 路径穿越漏洞，7.5.0 需升级至 7.5.1

Fortinet PSIRT 发布 FG-IR-26-180 通告，FortiSIEM 存在路径穿越问题（CWE-22），无需认证的攻击者可通过特制数据包执行未授权代码或命令。FortiSIEM 7.5.0 受影响，需升级至 7.5.1 或以上；7.6 不受影响，FortiSIEM Cloud 不受影响。临时规避方案为限制 tcp 端口 27918 的访问。

Fortinet 通告 FortiSIEM GUI 缺失授权漏洞 CWE-862，7.5 全版本受影响

Fortinet PSIRT 发布 FG-IR-26-183 通告，FortiSIEM GUI 存在缺失授权漏洞 CWE-862，已认证攻击者可能通过特制 HTTP 请求执行未授权代码或命令。

Ubuntu 安全公告 USN-8908-1：BlueZ 多个漏洞修复

Ubuntu 发布 USN-8908-1，修复 BlueZ 的多个漏洞，涉及 A2DP 编解码器能力存储导致的栈缓冲区溢出（CVE-2026-19774。

PHP 修复两个免认证 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619

PHP 发布安全通告，8.5.12、8.4.27、8.3.36 和 8.2.35 修复两个可导致免认证远程代码执行的漏洞，建议所有 PHP 用户立即更新。

WordPress 插件 Bricksforge 免认证任意文件上传漏洞 CVE-2026-85097 遭在野利用

Patchstack 披露 WordPress 插件 Bricksforge 存在免认证任意文件上传漏洞 CVE-2026-85097，CVSS 10.0，影响 3.1.8.9 及之前版本，攻击者可上传并执行 PHP 代码实现 RCE，修复版本为 3.1.8.10。

WordPress 7.1.3 安全版本修复七处漏洞

WordPress 7.1.3 于 2026 年 10 月 6 日发布，包含七项安全修复和四项缺陷修复，修复已回移至至少 6.6 分支。

WordPress 存储型 XSS 活动利用 CVE-2026-93836 与 CVE-2026-94504 植入隐藏管理员

Patchstack 遥测显示，攻击者自 2026 年 10 月 4 日起通过 WPC Product Bundles for WooCommerce 的 CVE-2026-93836 和 Ninja Forms 的 CVE-2026-94504 两个无需认证的存储型 XSS 漏洞，向管理员浏览器投递同一份 imgcdn1.com/fz/x.js 载荷。

CVE-2026-87902 补丁发布数小时后 WordPress 站点遭探测，已出现借 pearcmd 写文件

Patchstack 观察到 CVE-2026-87902 在 WordPress 7.1.2 发布当天即遭利用，攻击流量已从探测核心文件推进到借 pearcmd.php 的 config-create 向 /tmp 写入攻击者可控的 PHP 文件。

WordPress 7.1.2 修复免认证 LFI 漏洞 CVE-2026-87902

WordPress 于 2026 年 9 月 22 日发布 7.1.2 安全版本，修复页面模板解析中的免认证本地文件包含漏洞 CVE-2026-87902，影响 WordPress Core 4.7.0 至 7.1.1，CVSS 4.0 评分 9.2，归类为 CWE-98。

WordPress 7.1.1 修复 Click2Shell 漏洞，CSRF 串联选择器注入可致 RCE

WordPress 7.1.1 于 9 月 17 日发布，修复了 pwn.ai 的 Paulos Yibelo 报告的 Click2Shell 漏洞，该漏洞将 CSRF 与选择器注入串联，把一次点击变成远程 shell。

Jenkins 修复 Script Security 等 13 个插件漏洞，含多个沙箱绕过

Jenkins 发布安全通告，修复 Script Security、Pipeline: Groovy Libraries、Robot Framework 等 13 个插件的 20 个漏洞，涉及 CVE-2026-92122 至 CVE-2026-92141。