GitHub 安全公告库发布 Next.js 通告，指出使用 App Router 与 Cache Component 的应用若存在返回多个 typed array 的 use cache 函数，可导致远程代码执行。通告称此类受影响应用没有已知规避方案，即使应用不含类似函数也建议立即升级。
为什么值得看：通告说明使用 App Router 与 Cache Component 且 use cache 函数返回多个 typed array 的应用存在 RCE 风险，且无规避方案。
GitHub 安全公告 GHSA-3547-9m27-7rxg 披露 Django REST framework 的 JSONParser 会用客户端在 Content-Type charset 参数中指定的编码解码请求体，攻击者填入 bz2_codec 等字节变换编码即可绕过 Django 的 DATA_UPLOAD_MAX_MEMORY_SIZE 限制。
为什么值得看：公告给出可运行的复现脚本与四组对照，说明默认解析器下小请求体如何放大内存占用。
PHP 安全团队为两个严重 RCE 漏洞 CVE-2026-109618 和 CVE-2026-109619（合称 PHP2Shell）发布紧急补丁，影响所有处理 Web 请求的 PHP 安装，包括 PHP-FPM、Apache with mod_php、php-cgi、FrankenPHP 和 LiteSpeed。
为什么值得看：PHP 两个免认证 RCE 漏洞的紧急补丁与临时缓解措施，Cloudflare 已观察到早期攻击尝试。
GitLab 于 10 月 21 日发布修复，CVE-2026-110264 在 CVSS 评分为 10.0，特定条件下未认证用户可因正则表达式编译时的整数溢出在自管理服务器上执行任意代码，影响 7.0 以来的所有版本。
为什么值得看：修复覆盖 7.0 以来全部版本，且 10 月 12 日刚升级的实例仍落在影响范围内，运维需要重新核对版本。
GitLab 发布安全补丁，修复 Regular Expression Compiler 中一个最高严重级别的整数溢出漏洞 CVE-2026-110264，该漏洞在特定条件下可让未认证用户远程在 GitLab 服务器上执行任意代码。
同一件事，精选收录的是《GitLab 修复 CVSS 10.0 的 CVE-2026-110264，可致免认证 RCE 并影响 7.0 以来版本》
安全公司 FoxIO 披露 HTTP/3 的 QPACK 头压缩存在一类缺陷，未登录的远程攻击者用单个连接、少量压缩头部即可让服务器内存膨胀数千倍并耗尽内存，FoxIO 同时公开了可运行的 PoC。
为什么值得看：FoxIO 公开了可运行的 PoC，并给出各 HTTP/3 实现是否已修复的对照表，运维可据此判断自己使用的栈是否暴露。
Amazon 威胁情报团队称，2026 年 10 月 17 日在 MadPot 蜜罐上检测到针对 PHP2Shell 漏洞的利用尝试，来源 IP 为 103.216.220[.]92，归属澳大利亚，来自商业匿名化网络。
为什么值得看：披露前四天蜜罐已遭匿名 IP 探测，补丁发布后数小时内出现多来源利用尝试，可观察补丁到利用的窗口压缩。
ApostropheCMS 的 `@apostrophecms/import-export` 模块导出内容时，文件名由站点 shortName、文档类型和 `YYYYMMDDHHmmss` 时间戳组成，无随机令牌，任何人猜到路径即可在文件存续期内通过未认证 HTTP GET 下载完整导出包。
GitHub 安全公告指出，ApostropheCMS 的 @apostrophecms/import-export 中 POST /api/v1/@apostrophecms/import-export/clean-export 接口缺少认证与授权检查。
GitHub 安全公告披露 @apostrophecms/import-export 的分块导入上传路径存在潜在的免认证 DoS 问题，确认受影响版本为 3.6.2，更早的 3.x 版本可能同样受影响但尚未核实。
PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复 CVE-2026-109618 与 CVE-2026-109619 两个可导致免认证远程代码执行的漏洞，PHP 安全团队对两者评级均为 Critical（CVSS v4.0 9.2）。
同一件事，精选收录的是《PHP 为 PHP2Shell 两个严重 RCE 漏洞发布紧急补丁》
Red Hat 发布 CVE-2026-105949 通告，指出 Streams for Apache Kafka 的 Cruise Control 存在认证绕过问题，攻击者通过附加多余路径段即可绕过认证，未认证访问所有管理端点。通告未说明该漏洞是否已被利用。
为什么值得看：Red Hat 通告点明 Cruise Control 因多余路径段绕过认证，部署 Kafka 管理面的人可据此核对影响范围。
GitHub 安全公告披露 ApostropheCMS 核心页面 REST API 存在授权绕过，getOne 与 all=1 树形导出使用 .permission(false)，绕过页面类型的 viewRole、visibility: private 和 visibility: loginRequired 检查。
为什么值得看：公告给出了匿名读取私有页面的 curl 复现步骤，并指出 getOne 与 all=1 两处缺少权限校验的代码位置。
Mercury 默认以无 token 方式运行 JupyterLab，黑名单未包含 /api/kernels，未认证客户端可创建内核并通过 websocket 发送 execute_request 执行任意 Python 代码。
为什么值得看：材料在已修复旧通告的 3.2.4 版本上实测复现了免认证 RCE，并附可运行 PoC，说明黑名单思路无法覆盖内核接口。
Mercury 的 mercury_app/block_handler.py 中 BLOCKED_PATTERNS 列表缺少一个逗号，使前两条规则被合并，/api/terminals 不再被拦截，任何无需认证的攻击者都能通过该接口启动 OS shell。
为什么值得看：公告给出完整复现步骤与修复代码，可对照检查自家 Mercury 部署是否暴露 /api/terminals。
Drupal 安全团队发布 SA-CORE-2026-014，指出 Drupal core 的 Field UI 模块存在远程代码执行漏洞 CVE-2026-108097，仅靠核心无法直接利用，但配合贡献模块存在多条严重利用路径，其中至少一条已知路径无需认证。
为什么值得看：通告给出了受影响版本区间、修复版本和卸载 field_ui 的临时缓解办法，运维可据此判断升级或临时处置。
Fortinet PSIRT 发布 FG-IR-26-180 通告，FortiSIEM 存在路径穿越问题（CWE-22），无需认证的攻击者可通过特制数据包执行未授权代码或命令。FortiSIEM 7.5.0 受影响，需升级至 7.5.1 或以上；7.6 不受影响，FortiSIEM Cloud 不受影响。临时规避方案为限制 tcp 端口 27918 的访问。
为什么值得看：通告给出受影响版本、修复版本与临时限制端口的规避方案，运维可据此判断 FortiSIEM 部署是否需要升级。
Fortinet 发布通告，指出 FortiSandbox GUI 存在 CWE-288 认证绕过漏洞，远程未认证攻击者可通过构造 HTTP 请求绕过认证。FortiSandbox 5.0.0 至 5.0.6 需升级到 5.0.7 或以上，4.4.0 至 4.4.9 需升级到 4.4.10 或以上，5.2 不受影响，FortiSandbox PaaS 4.4 全部版本需迁移到已修复版本。
为什么值得看：通告列出 FortiSandbox 各分支的受影响版本与对应修复版本，运维可据此判断是否需要升级。
PHP 发布安全通告，8.5.12、8.4.27、8.3.36 和 8.2.35 修复两个可导致免认证远程代码执行的漏洞，建议所有 PHP 用户立即更新。
为什么值得看：PHP 官方通告给出两个 RCE 的受影响版本、修复版本与临时缓解配置，运维可据此判断升级或加固路径。
Patchstack 披露 WordPress 插件 Bricksforge 存在免认证任意文件上传漏洞 CVE-2026-85097，CVSS 10.0，影响 3.1.8.9 及之前版本，攻击者可上传并执行 PHP 代码实现 RCE，修复版本为 3.1.8.10。
为什么值得看：Patchstack 结合自身遥测还原了攻击载荷结构与 IP 分布，并给出可落地的日志检测特征。