CISA 与 FBI 联合通告：SafePay 勒索软件已入侵 600 多家关键基础设施机构
CISA 与 FBI、USSS 及德国、英国执法机构联合发布通告，称 SafePay 勒索团伙自 2024 年 8 月以来已入侵至少 600 家关键基础设施机构，涉及北美、南美、欧洲和澳大利亚。
为什么值得看：联合通告给出 SafePay 的初始访问渠道与备份破坏手法，并附 IOC 与 TTP，可用于对照自查。
#CISA
BleepingComputer精选AI 评分7575
The Hacker News精选AI 评分8888 eMudhra 八个中间 CA 私钥被攻破，浏览器与软件紧急吊销
Mozilla 与 Chrome Root Program 于 10 月 20 日确认 eMudhra 八个中间 CA 证书的私钥已被攻破，Chrome 与 Firefox 在收到报告后数小时内封锁了这八张证书。
为什么值得看：八个中间 CA 私钥因密钥仪式缺陷可被公开推算，事件串起浏览器、Go、Linux 发行版与证书信任链的连锁处置。
The Hacker News精选AI 评分8888 CISA 将 Plex2Shell、Siemens 与 SiteGuard 漏洞列入 KEV，要求联邦机构限期修复
CISA 于周二将四个漏洞加入 KEV 目录，其中四个 Plex Media Server 漏洞被合称 Plex2Shell。
为什么值得看：CISA 将 Plex2Shell 等四个漏洞列入 KEV，并给出联邦机构的修复期限，可据此判断哪些漏洞已被实际利用。
SecurityWeek精选AI 评分9090 多家厂商与机构回应 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619
多家科技厂商、安全公司与政府机构针对 PHP2Shell 两个漏洞 CVE-2026-109618 和 CVE-2026-109619 发布通告、检测规则与缓解措施，这两个漏洞可让无需认证的攻击者远程执行代码。
为什么值得看：多家厂商与机构披露 PHP2Shell 两个漏洞的检测与缓解进展，并记录了补丁发布前后出现的实际攻击尝试。
Sploitus 利用聚合精选AI 评分7575 GeoServer CVE-2024-36401 OGC 参数求值 RCE 的 PoC 与验证材料公开
作者公开了 GeoServer CVE-2024-36401（GHSA-6jj6-gm7p-fcvv，CVSS 9.8，CWE-95）的 PoC 与验证材料，该漏洞源于 OGC 请求参数被当作 XPath 表达式求值，可调用任意 Java 方法。
为什么值得看：公开的 PoC 附带分版本验证记录与补丁版负向测试，可对照复现并用于检测规则落地。
Sploitus 利用聚合精选AI 评分8080 php2shell 暴露评估工具发布，覆盖 PHP CVE-2026-109618 与 CVE-2026-109619
作者发布 php2shell_triage.py，用于对 PHP 引擎两个免认证 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 做非破坏性暴露评估，不发送 OOM payload、不执行命令。
为什么值得看：工具只做非破坏性指纹与可达性判断，并给出补丁版本和检测信号，适合授权范围内的暴露面排查。
Sploitus 利用聚合同事件AI 评分8383 Bluefire Redteam 发布 Ivanti Connect Secure CVE-2026-104935 认证绕过检测脚本
Bluefire Redteam 发布 Ivanti Connect Secure 认证绕过漏洞 CVE-2026-104935 的检测脚本，该漏洞 CVSS 8.6，CISA 已于 2026 年 10 月 13 日将其列入 KEV，联邦修复截止日期为 10 月 16 日。
同一件事，精选收录的是《Ivanti Connect Secure 认证绕过与 RCE 漏洞 CVE-2026-104935 利用工具公开》
Hackread同事件AI 评分8888 Qilin 与 INC 利用 PAN-OS GlobalProtect 漏洞 CVE-2026-0257 发起勒索攻击
Unit 42 在 10 月 19 日和 20 日发布的更新中指出，Qilin（Spikey Scorpius）与 INC（Tarnished Scorpius）等勒索软件运营者正在利用 PAN-OS 认证绕过漏洞 CVE-2026-0257 获取 VPN 访问权限，该漏洞影响 GlobalProtect 门户与网关，可绕过包括 MFA 在内的认证控制。
同一件事，精选收录的是《Unit 42 称 Spikey Scorpius 与 Tarnished Scorpius 正利用 PAN-OS CVE-2026-0257》
SecurityWeek同事件AI 评分9090 PHP2Shell 两个 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 在补丁发布前已被探测利用
Amazon 报告称，PHP 的两个 RCE 漏洞 PHP2Shell（CVE-2026-109618、CVE-2026-109619）在 10 月 21 日补丁发布前四天就出现利用尝试，最早一次发生在 10 月 17 日、来自商业匿名化网络并针对蜜罐。
同一件事，精选收录的是《Amazon 称 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619 在公开披露前 4 天已被尝试利用》
Sploitus 利用聚合AI 评分5858 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619 的只读检测工具 php2shell-check 发布
php2shell-check 是针对 PHP2Shell（CVE-2026-109618、CVE-2026-109619）的防御性只读检测工具，不含利用代码与 payload，可报告 PHP 版本与 SAPI 并与修复版本比对。
Security Affairs同事件AI 评分7878 FBI 与 CISA 联合通告 SafePay 勒索软件攻击 600 余家机构
CISA、FBI、美国特勤局及德国、英国执法机构本周联合发布通告，称 SafePay 勒索软件自 2024 年 8 月以来已入侵北美、南美、欧洲和澳大利亚至少 600 家关键基础设施领域的机构。
The Hacker News精选AI 评分9393 Amazon 称 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619 在公开披露前 4 天已被尝试利用
Amazon 威胁情报团队称，2026 年 10 月 17 日在 MadPot 蜜罐上检测到针对 PHP2Shell 漏洞的利用尝试，来源 IP 为 103.216.220[.]92，归属澳大利亚，来自商业匿名化网络。
为什么值得看：披露前四天蜜罐已遭匿名 IP 探测，补丁发布后数小时内出现多来源利用尝试，可观察补丁到利用的窗口压缩。
Sploitus 利用聚合AI 评分6565 CVE-2025-62215 Windows 内核竞争条件与双重释放提权分析项目
GitHub 项目 uky007/CVE-2025-62215_analysis 对 Windows 内核（ntoskrnl.exe）中的 CVE-2025-62215 展开分析。
BleepingComputer精选AI 评分8888 CISA 警告 Plex2Shell 攻击链已在野利用，可获取 Plex Media Server 管理员令牌并执行代码
CISA 警告攻击者正在积极利用 Plex Media Server 的四个漏洞，合称 Plex2Shell，串联利用后可获取所有者 admin token 并以提升权限执行代码，联邦机构须在 10 月 23 日前完成修补或缓解。
为什么值得看：CISA 将 Plex2Shell 四个漏洞列入在野利用并给出联邦修复期限，同时把 Siemens 与 SiteGuard 的漏洞一并加入 KEV。
Cybersecurity Dive同事件AI 评分9191 PHP 修复 CVE-2026-109618 与 CVE-2026-109619 两个严重漏洞
PHP 开发者周三发布紧急更新，修复 CVE-2026-109618 与 CVE-2026-109619 两个严重漏洞，并建议所有 PHP 用户立即升级。这两个漏洞源于 PHP 处理 HTTP 请求出错时的内存释放问题，攻击者可借此使进程崩溃、泄露敏感信息或执行代码；Wiz 与 Calif 发现漏洞，后者使用 OpenAI 的 GPT-5.6 Sol 模型。
同一件事，精选收录的是《PHP 修复 CVE-2026-109618 与 CVE-2026-109619 免认证 RCE 漏洞，已出现利用》
Cybersecurity DiveAI 评分5858 FBI 与 CISA 警告 SafePay 勒索软件威胁关键基础设施
FBI 与 CISA 联合欧洲当局发布通告，警告 SafePay 勒索软件已扩展攻击关键基础设施提供商，自 2024 年以来攻击超过 600 家机构，重点集中在北美、南美、欧洲和澳大利亚。
Sploitus 利用聚合精选AI 评分8888 WordPress CVE-2026-63030 与 CVE-2026-60137 串联免认证 RCE 的 PoC 脚本公开
有人公开了 WP2Shell 脚本，把 WordPress 的 CVE-2026-63030 路由混淆与 CVE-2026-60137 SQL 注入串联，实现免认证创建管理员并通过主题编辑器上传 webshell。
为什么值得看：公开脚本把 WordPress 两个漏洞串成免认证 RCE 链，并给出探测、拖库、建管理员到上传 webshell 的完整步骤与 IoC。
CyberScoop同事件AI 评分8080 PHP 紧急修复两个 CVSS 9.2 的 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
PHP 项目周三发布补丁，修复 CVE-2026-109618 和 CVE-2026-109619 两个 CVSS v4.0 评分 9.2 的远程代码执行漏洞，研究人员将其称为 php2shell。
同一件事，精选收录的是《PHP 将发布带外更新修复两个 CVSS 9.2 的 RCE 漏洞》
Infosecurity Magazine同事件AI 评分8080 CISA 等机构联合通告称 SafePay 已入侵全球 600 家关键基础设施机构
美国、德国和英国政府机构联合发布通告，称 SafePay 勒索组织自 2024 年 8 月出现以来已入侵至少 600 家关键基础设施机构，影响范围覆盖北美、南美、欧洲和澳大利亚。
Tenable 安全博客精选AI 评分8888 PHP 两个严重 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已现早期攻击
PHP 安全团队将于 2026 年 10 月 21 日 14:00 UTC 紧急发布补丁，修复 CVE-2026-109618 与 CVE-2026-109619 两个严重漏洞，二者均被评为 CVSSv4.0 9.2，公开报道称均为远程代码执行。
为什么值得看：汇总了补丁发布前各方的版本推测、暴露面估算与 Cloudflare 的临时 WAF 规则，便于在官方通告前先评估自身风险。
Sploitus 利用聚合AI 评分6060 针对 CVE-2026-21509 的 Office OLE 绕过教育性 PoC 发布
GitHub 仓库 gavz/CVE-2026-21509-PoC 发布了一个教育性 PoC，它生成含 dummy OLE 组件的无害 DOCX，用于 EDR/AV 可见性测试与 SOC 培训，并不实际利用 CVE-2026-21509。
CSO OnlineAI 评分2222 美国下令联邦机构全面禁用 DeepSeek，要求 60 天内清除
美国国土安全部长已下令禁止所有 DeepSeek 产品与服务进入联邦机构，相关机构须在 60 天内从 IT 系统中清除，确有正当理由者需向 CISA 书面申请豁免。
CISA 已知被利用漏洞目录 (KEV)AI 评分3030 Siemens Software Center 非受控搜索路径元素漏洞
Siemens Software Center 存在非受控搜索路径元素漏洞，已认证的本地攻击者可将特制 DLL 放入应用搜索的目录，从而以受影响应用权限执行任意代码。
CISA 已知被利用漏洞目录 (KEV)AI 评分5050 CISA KEV 收录 Plex Media Server SSRF 漏洞 CVE-2026-96652
CISA 已知被利用漏洞目录收录 Plex Media Server 的 SSRF 漏洞 CVE-2026-96652，攻击者使用任意 X-Plex-Token 值即可在 protocol 参数中填入完整 URL，迫使 Plex 服务器向指定目标发起 POST 请求。该漏洞可与 CVE-2026-96654、CVE-2026-96655、CVE-2026-96656 串联利用。
CISA 已知被利用漏洞目录 (KEV)AI 评分4242 Plex Media Server 网页编码 URI 方案中和不当漏洞可串联其他 CVE
Plex Media Server 存在网页中编码 URI 方案中和不当漏洞，攻击者可调用其他插件的函数并自行提供参数。该漏洞可与 CVE-2026-96652、CVE-2026-96655、CVE-2026-96656 串联利用。
CISA 已知被利用漏洞目录 (KEV)AI 评分4040 Plex Media Server SSRF 漏洞（CVE-2026-96652 等可串联）
Plex Media Server 存在服务端请求伪造（SSRF）漏洞，已认证用户可通过 '/video/:/transcode/universal' 路径参数请求任意内部或外部地址。该漏洞可与 CVE-2026-96652、CVE-2026-96654、CVE-2026-96656 串联利用。
CISA 已知被利用漏洞目录 (KEV)AI 评分4040 CISA KEV 收录 Plex Media Server 外部控制文件名或路径漏洞
Plex Media Server 存在外部控制文件名或路径漏洞，可让管理员用户写入任意文件，这些文件可能在加载时被执行。该漏洞可与 CVE-2026-96652、CVE-2026-96654 和 CVE-2026-96655 串联利用。CISA 已将其列入已知被利用漏洞目录。
CISA 已知被利用漏洞目录 (KEV)AI 评分4242 EG Secure Solutions SiteGuard Server Edition 存在 OS 命令注入漏洞
EG Secure Solutions SiteGuard Server Edition 存在 OS 命令注入漏洞，攻击者可能借此在运行受影响产品的系统上以 root 或 SYSTEM 权限执行任意 OS 命令。该条目已收录于 CISA 已知被利用漏洞目录（KEV）。
Sploitus 利用聚合AI 评分6565 Apache Struts OGNL 注入漏洞 CVE-2026-10520 的补丁记录
Sploitus 聚合条目列出 Apache Struts 的 OGNL 注入漏洞 CVE-2026-10520，标注严重级别为 Critical。条目中的补丁状态为 in-review，补丁日期 2026-04-15，已部署到 Production，由 SecOps Team 验证，并引用 NVD 与 CISA KEV。
Sploitus 利用聚合精选AI 评分8383 CVE-2026-68820 缓解与检测 PoC 公开，涉及 Windows afd.sys UAF 提权
GitHub 仓库 fevar54/CVE-2026-68820-Mitigation-PoC 公开了 Windows afd.sys 驱动 UAF 漏洞 CVE-2026-68820 的缓解与检测演示代码，低权限本地攻击者可借此提权至 SYSTEM。
为什么值得看：仓库同时给出缓解思路、Sigma 与 YARA 检测规则和 IOC，可对照 Lazarus 利用该 UAF 提权的活动做排查。
Sploitus 利用聚合精选AI 评分7575 SAP NetWeaver CVE-2025-31324 免认证 RCE 的在野利用复盘
CVE-2025-31324 影响 SAP NetWeaver (Java) 的 Visual Composer Metadata Uploader，因缺少授权校验，无需认证即可向 /developmentserver/metadatauploader 上传可执行文件并执行命令，SAP 给出的 CVSS 为 10.0。
为什么值得看：材料把 CVE-2025-31324 的利用时间线、CISA KEV 状态与事后排查要点串在一起，可作复盘参考。
Sploitus 利用聚合AI 评分1212 针对 Fortinet FortiProxy 越界写入漏洞的利用程序（CVE-2024-21762）
一个安全分诊 Agent 项目演示了如何针对 Northbridge Services 环境中的 N02 FortiOS VPN 网关评估 CVE-2024-21762 的风险等级。
Check Point Research精选AI 评分6868 Check Point 威胁情报周报：ConnectWise Cloud Backup 凭证泄露波及至少 173 家机构
Check Point 发布 10 月 19 日当周威胁情报周报，其中 ConnectWise Cloud Backup 遭凭证泄露，攻击者用被泄露的应用凭证登录至少 173 家机构，可能访问邮件、文件和 Teams 信息，随后访问被暂停。
为什么值得看：周报把多起泄露与攻击事件并列，其中 ConnectWise Cloud Backup 凭证被滥用波及至少 173 家机构，可作第三方备份服务风险的参照。
Rapid7 研究与公告精选AI 评分9595 BeyondTrust Remote Support 认证绕过漏洞 CVE-2026-102764 已在野利用
BeyondTrust 披露 Remote Support 认证绕过漏洞 CVE-2026-102764，CVSSv4 评分 9.3，无需认证的远程攻击者可在无需用户交互的情况下对设备执行文件操作，26.2.3 及更早版本在未打 BT26-05-RS 补丁时受影响。
为什么值得看：BeyondTrust 确认漏洞披露前已发生两起在野入侵，Mandiant 复盘了从任意文件上传到 root 提权的完整链路。
Cloudflare 博客 · 安全AI 评分4848 在补丁之外加固 NetScaler Gateway 以应对后续漏洞
Cloudflare 以 Citrix NetScaler 的 CVE-2026-88771、CVE-2026-88772 在野利用为背景，提出在打补丁之外于认证入口前叠加访问控制、WAF 检查与源站连接限制的分层防护思路。
Cybersecurity Dive精选AI 评分8888 疑似中国关联组织利用 BeyondTrust Remote Support 零日漏洞 CVE-2026-102764 开展间谍活动
Google Threat Intelligence Group 报告称，被追踪为 Armory Castle 的疑似中国关联黑客自 8 月底起利用 BeyondTrust Remote Support 的零日漏洞 CVE-2026-102764 开展间谍活动。
为什么值得看：报道披露 BeyondTrust Remote Support 零日漏洞被疑似中国关联组织自 8 月底起用于间谍活动，并给出补丁与 CISA KEV 截止时间。
Krebs on SecurityAI 评分2929 Microsoft 修复逾 1,400 个安全漏洞，含 Windows Shell 零日 CVE-2026-96951
Microsoft 发布更新修复 Windows 及其他软件中超过 1,400 个安全漏洞，规模远超 9 月近 1,000 个的纪录。其中仅 CVE-2026-96951 一个 Windows Shell 安全功能绕过漏洞被认定为零日、已在野利用，影响 Windows 10、11 及部分 Server 版本。
Ivanti 安全公告精选AI 评分6767 Ivanti 披露 Connect Secure 认证绕过漏洞 CVE-2026-104935 存在有限在野利用
Ivanti 在 10 月安全更新中披露 Connect Secure 的认证绕过漏洞 CVE-2026-104935（CVSS 8.6），并表示已知存在有限在野利用。
为什么值得看：Ivanti 自家通告确认 Connect Secure 认证绕过存在有限在野利用，并给出各代码线修复版本与 22.x 停止支持时间。
Qualys 威胁研究AI 评分4242 Microsoft 2026 年 10 月补丁星期二安全更新回顾：修复 1414 个漏洞，含 2 个已修复的 0day
Microsoft 发布 2026 年 10 月补丁星期二更新，共修复 1414 个漏洞，其中 78 个严重、1329 个重要，是 Microsoft 史上规模最大的安全更新。
Tenable 安全博客AI 评分2020 CISA 警示：国家级黑客组织与 AI 攻击令关键基础设施风险升级
CISA 在 2026 年网络安全意识月活动中敦促关键基础设施运营方夯实网络卫生基础，核心是“三个 R”：减少漏洞、替换厂商已停止支持的设备、快速恢复运营。CISA 指出，与伊朗政府关联的 APT 组织自美国 2 月发起 Operation Epic Fury 以来已攻击美国水务、能源和政府设施，且部分国家级组织正从隐蔽间谍活动转向破坏性攻击。