Arista 在 10 月 22 日的通告中表示，攻击者正在利用 VeloCloud Orchestrator（VCO）中的 SQL 注入 0day，VCO 是 VeloCloud SD-WAN 网络的集中管理系统。该漏洞允许任何能登录编排器的人（包括只读客户账号）获得 operator 权限，即对编排器的最高控制级别。
同一件事，精选收录的是《Arista 修复 VeloCloud Orchestrator 在野利用 0day CVE-2026-114625》
Arista Networks 发布安全更新，修复 VeloCloud Orchestrator（VCO）On-Prem 部署中已被在野利用的 0day 漏洞 CVE-2026-114625。
为什么值得看：Arista 今年已修复多个在野利用 0day，本条给出攻击者使用的两个 IP 与日志排查方向。
CISA 于周二将四个漏洞加入 KEV 目录，其中四个 Plex Media Server 漏洞被合称 Plex2Shell。
为什么值得看：CISA 将 Plex2Shell 等四个漏洞列入 KEV，并给出联邦机构的修复期限，可据此判断哪些漏洞已被实际利用。
PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35 应急更新，修复 PHP 运行时中两个 CVSS v4.0 评分 9.2 的免认证 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619，影响可回溯至 PHP 5.4 的几乎所有版本。
为什么值得看：PHP 运行时两个 9.2 分漏洞的应急补丁与版本对照表，附 watchTowr 与 Cloudflare 观察到的利用尝试和临时缓解措施。
Amazon 威胁情报团队称，2026 年 10 月 17 日在 MadPot 蜜罐上检测到针对 PHP2Shell 漏洞的利用尝试，来源 IP 为 103.216.220[.]92，归属澳大利亚，来自商业匿名化网络。
为什么值得看：披露前四天蜜罐已遭匿名 IP 探测，补丁发布后数小时内出现多来源利用尝试，可观察补丁到利用的窗口压缩。
CISA 警告攻击者正在积极利用 Plex Media Server 的四个漏洞，合称 Plex2Shell，串联利用后可获取所有者 admin token 并以提升权限执行代码，联邦机构须在 10 月 23 日前完成修补或缓解。
为什么值得看：CISA 将 Plex2Shell 四个漏洞列入在野利用并给出联邦修复期限，同时把 Siemens 与 SiteGuard 的漏洞一并加入 KEV。
PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复 CVE-2026-109618 与 CVE-2026-109619 两个可导致免认证远程代码执行的漏洞，PHP 安全团队对两者评级均为 Critical（CVSS v4.0 9.2）。
同一件事，精选收录的是《PHP 为 PHP2Shell 两个严重 RCE 漏洞发布紧急补丁》
Siemens Software Center 存在非受控搜索路径元素漏洞，已认证的本地攻击者可将特制 DLL 放入应用搜索的目录，从而以受影响应用权限执行任意代码。
CISA 已知被利用漏洞目录收录 Plex Media Server 的 SSRF 漏洞 CVE-2026-96652，攻击者使用任意 X-Plex-Token 值即可在 protocol 参数中填入完整 URL，迫使 Plex 服务器向指定目标发起 POST 请求。该漏洞可与 CVE-2026-96654、CVE-2026-96655、CVE-2026-96656 串联利用。
Plex Media Server 存在网页中编码 URI 方案中和不当漏洞，攻击者可调用其他插件的函数并自行提供参数。该漏洞可与 CVE-2026-96652、CVE-2026-96655、CVE-2026-96656 串联利用。
Plex Media Server 存在服务端请求伪造（SSRF）漏洞，已认证用户可通过 '/video/:/transcode/universal' 路径参数请求任意内部或外部地址。该漏洞可与 CVE-2026-96652、CVE-2026-96654、CVE-2026-96656 串联利用。
Plex Media Server 存在外部控制文件名或路径漏洞，可让管理员用户写入任意文件，这些文件可能在加载时被执行。该漏洞可与 CVE-2026-96652、CVE-2026-96654 和 CVE-2026-96655 串联利用。CISA 已将其列入已知被利用漏洞目录。
EG Secure Solutions SiteGuard Server Edition 存在 OS 命令注入漏洞，攻击者可能借此在运行受影响产品的系统上以 root 或 SYSTEM 权限执行任意 OS 命令。该条目已收录于 CISA 已知被利用漏洞目录（KEV）。
Ivanti 在 10 月安全更新中披露 Connect Secure 的认证绕过漏洞 CVE-2026-104935（CVSS 8.6），并表示已知存在有限在野利用。
为什么值得看：Ivanti 自家通告确认 Connect Secure 认证绕过存在有限在野利用，并给出各代码线修复版本与 22.x 停止支持时间。
Ivanti 披露 Ivanti Connect Secure 有限版本中存在一个漏洞，披露时已确认存在有限在野利用，并正与受影响组织直接沟通。Ivanti 建议运行受影响版本的用户立即行动，查看安全公告并尽快升级到修复版本，同时定期运行 Integrity Checker Tool。
为什么值得看：Ivanti 披露 Connect Secure 有限版本漏洞时已确认存在有限在野利用，运行受影响版本的用户可据此判断是否需要立即升级。
Patchstack 披露 WordPress 插件 Bricksforge 存在免认证任意文件上传漏洞 CVE-2026-85097，CVSS 10.0，影响 3.1.8.9 及之前版本，攻击者可上传并执行 PHP 代码实现 RCE，修复版本为 3.1.8.10。
为什么值得看：Patchstack 结合自身遥测还原了攻击载荷结构与 IP 分布，并给出可落地的日志检测特征。
Patchstack 观察到 CVE-2026-87902 在 WordPress 7.1.2 发布当天即遭利用，攻击流量已从探测核心文件推进到借 pearcmd.php 的 config-create 向 /tmp 写入攻击者可控的 PHP 文件。
为什么值得看：文章记录了从探测到借 pearcmd 写文件的变化过程，并给出日志与主机侧的排查线索。
Ivanti 在 2026 年 9 月补丁日汇总中称，Microsoft 本次修复 973 个 CVE，其中 119 个为 Critical，并包含两个已确认在野利用的零日 CVE-2026-85880 和 CVE-2026-81963，补丁于 2026 年 9 月 8 日发布。
为什么值得看：汇总本月补丁与在野利用清单，给出受影响版本与修复日期，便于按已确认利用优先排序处置。