Electron 修复 openExternal 权限请求来源归属错误漏洞
Electron 修复 openExternal 权限请求可被归属到错误来源的问题，导致传给 session.setPermissionRequestHandler 的 requestingUrl 可能是可信来源，而实际发起请求的是不可信内容。
#补丁/修复
GitHub 安全公告库 (GHSA)AI 评分4242 GitHub 安全公告库 (GHSA)AI 评分3838 Electron 修复扩展 tabs.query 未授权返回标签页 URL 与标题的问题
Electron 修复了 chrome.tabs.query() 在扩展既无 tabs 权限也无匹配主机权限时仍返回各标签页 url 和 title 的问题，任何已加载扩展都可读取其会话中每个 webContents 的 URL 与标题。
GitHub 安全公告库 (GHSA)AI 评分4747 Electron 修复从链接打开窗口时未应用 SameSite cookie 限制的问题
Electron 发布安全通告，指出从链接打开的新窗口被当作应用自身发起的导航，导致 SameSite=Strict cookie 被发送、Sec-Fetch-Site 无法标识发起页面，依赖 SameSite cookie 防御 CSRF 的站点可能被带上凭据发起顶层请求。
GitHub 安全公告库 (GHSA)精选AI 评分5858 nbconvert <= 7.17.1 导出 md/latex/rst/asciidoc 时存在路径穿越任意文件写入漏洞
GitHub 安全公告指出 nbconvert <= 7.17.1 在导出为 markdown、latex、rst、asciidoc 时存在任意文件写入漏洞，ExtractOutputPreprocessor 在 extractoutput.py:116-119 将攻击者可控的 path 直接拼接到 output_files_dir 且未做规范化校验。
为什么值得看：公告给出可复现的 ipynb 片段，说明恶意 cell 输出文件名如何穿越目录写入任意位置，便于验证与排查。
The Hacker News精选AI 评分7878 TeamUpdraft 网站被入侵，UpdraftCentral 连接密钥被用于向 WordPress 站点植入后门
TeamUpdraft 披露其 teamupdraft.com 网站在 10 月 17-18 日周末遭未授权访问，客户数据库中的 UpdraftCentral、UpdraftVault 和 UpdraftClone 连接密钥可能被窃取，攻击者借此向 WordPress 站点植入后门插件。
为什么值得看：事件说明 UpdraftCentral 连接密钥泄露后如何被用来向 WordPress 站点下发后门插件，并给出可自查的 IOC 与处置步骤。
The Hacker News精选AI 评分7272 PHP2Shell 两个 PHP 漏洞补丁发布前，哪些措施真正有效
在 PHP 计划于 10 月 21 日 14:00 UTC 发布两个评分 9.2 的 PHP2Shell 漏洞修复前，目前没有任何措施能完全阻断利用，社交平台上流传的 session.upload_progress.enabled=0 配置项被提出者 GMO Flatt Security 当天收回。
为什么值得看：在官方补丁发布前，梳理了 session.upload_progress.enabled=0 等临时措施的实际边界，以及无法立即打补丁时的隔离与收敛思路。
The Hacker News精选AI 评分9292 PHP 发布应急补丁修复两个 PHP2Shell RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619，已出现利用尝试
PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35 应急更新，修复 PHP 运行时中两个 CVSS v4.0 评分 9.2 的免认证 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619，影响可回溯至 PHP 5.4 的几乎所有版本。
为什么值得看：PHP 运行时两个 9.2 分漏洞的应急补丁与版本对照表，附 watchTowr 与 Cloudflare 观察到的利用尝试和临时缓解措施。
Sploitus 利用聚合AI 评分4848 PHP 7.3.33 非官方补丁回移 CVE-2026-109618 与 CVE-2026-109619 修复
作者发布面向已停止支持的 PHP 7.3.33 的非官方补丁，把 PHP 安全团队为 7.4 提供的最小回移（php-src 分支 PHP-7.4-CVE-2026-109618-109619，commit 712e60f9edfd03f0960fc4fc3c2c375f42b90aa2）移植到 7.3.33，上游并未为 7.3 提供修复。
Ubuntu 安全公告 (USN)AI 评分3838 Ubuntu 发布 USN-8947-1：NSS 更新移除两张遭入侵的 CA 根证书
Ubuntu 发布 USN-8947-1，更新 nss 包中的 CA 证书，移除因中间 CA 证书被入侵的 "emSign ECC Root CA - G3" 和 "Comodo AAA Services root" 两张根证书。修复方式为将 libnss3 升级至各发行版指定版本，涵盖 14.04 LTS 至 26.10。
GitHub 安全公告库 (GHSA)AI 评分2222 virtualenv 删除失败恢复逻辑可改变符号链接目标权限（21.7.5 起，PR #3427 修复）
virtualenv 的 safe_delete() 在删除失败恢复权限时用 lstat() 读取符号链接自身权限位，却用会跟随链接的 chmod() 应用，导致只读目录内符号链接指向的目标文件权限被改为 0777。该错误处理逻辑自 21.7.5 引入，需删除失败且调用用户拥有目标文件并可修改其权限，root 不会进入该路径。PR #3427 已避免在删除失败时修改 POSIX 权限。
CyberScoop同事件AI 评分8080 PHP 紧急修复两个 CVSS 9.2 的 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
PHP 项目周三发布补丁，修复 CVE-2026-109618 和 CVE-2026-109619 两个 CVSS v4.0 评分 9.2 的远程代码执行漏洞，研究人员将其称为 php2shell。
同一件事，精选收录的是《PHP 将发布带外更新修复两个 CVSS 9.2 的 RCE 漏洞》
Security Affairs同事件AI 评分7878 PHP 预告修复两个 CVSS v4.0 9.2 的 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
PHP 安全团队预告将于 2026 年 10 月 21 日 14:00 UTC 发布安全更新，修复两个 CVSS v4.0 评分 9.2 的严重漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619，但尚未公布受影响版本与修复版本。
同一件事，精选收录的是《PHP 将发布带外更新修复两个 CVSS 9.2 的 RCE 漏洞》
Tenable 安全博客精选AI 评分8888 PHP 两个严重 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已现早期攻击
PHP 安全团队将于 2026 年 10 月 21 日 14:00 UTC 紧急发布补丁，修复 CVE-2026-109618 与 CVE-2026-109619 两个严重漏洞，二者均被评为 CVSSv4.0 9.2，公开报道称均为远程代码执行。
为什么值得看：汇总了补丁发布前各方的版本推测、暴露面估算与 Cloudflare 的临时 WAF 规则，便于在官方通告前先评估自身风险。
Patchstack WordPress 漏洞库精选AI 评分5858 WordPress 7.1.1 修复 Click2Shell 漏洞，CSRF 串联选择器注入可致 RCE
WordPress 7.1.1 于 9 月 17 日发布，修复了 pwn.ai 的 Paulos Yibelo 报告的 Click2Shell 漏洞，该漏洞将 CSRF 与选择器注入串联，把一次点击变成远程 shell。
为什么值得看：文章拆解了同一 URL 参数在前后端被两种方式解析所导致的 CSRF 到 RCE 链条，并说明 7.1.1 的修复方式。
Mozilla 安全博客 (MFSA)AI 评分2828 Mozilla 因旧签名子密钥泄露更换 Firefox 与 Thunderbird 发布签名 GPG 密钥
Mozilla 已将 Firefox 与 Thunderbird 发布产物的 GPG 签名切换至新子密钥，原因是旧子密钥的未加密副本被误提交至私有 GitHub 仓库；审计记录未发现未授权方访问该密钥的证据，旧密钥已被吊销。