GitHub 安全公告披露 Pillow 在 Windows 构建上存在堆越界读问题 GHSA-9v9v-9qvf-h2hj，EMF/WMF 图像尺寸未经范围检查即传入原生 drawwmf 处理程序，分配按截断为 16 位的头字段计算，拷贝却使用完整 32 位尺寸。
为什么值得看：公告给出可运行的 EMF 构造脚本，并指出 Windows 构建下 16 位截断导致堆越界读的具体代码位置。
Microsoft 承认误将 2026 年 10 月 Windows 11 累积更新中未修复的 Always On VPN 连接问题标记为已解决，状态已改回“已缓解”。
Solar 披露，与 Belarus 结盟的 Partisan Zmiy（Cyber Partisans）在俄罗斯一家医疗机构网络内潜伏近两年，最早入侵迹象可追溯至 2024 年初，2025 年 12 月才被发现。
Sophos 披露了一个此前未被记录、与中国有关联的攻击组织 Bronze Sandcastle，该组织自 2025 年年中起针对亚洲和非洲的组织发起攻击，受害者分布在菲律宾、台湾、阿富汗、纳米比亚，可能还有韩国。
为什么值得看：Sophos 披露的攻击活动显示，攻击者反复利用 Sandboxie 等合法程序进行 DLL 侧加载，并配合加密配置文件，这种手法可以迁移到检测思路中。
php2shell-scanner 发布，用于检测 PHP 核心 RCE CVE-2026-109618 和 CVE-2026-109619（PHP2Shell，2026-10-21 公布）的暴露情况，提供 url 黑盒扫描、local 本机检查和 ssh 远程主机检查三种模式。
为什么值得看：扫描器把黑盒探测与主机侧会话文件检查合在一起，可用于自查 PHP 部署是否暴露在这两个 RCE 下。
OpenCode 的 AI 编码代理存在缺陷，恶意或被劫持的 MCP 服务器可在开发者登录时于 Windows 或 WSL 机器上执行代码，且以开发者自身权限运行。OpenCode 背后的公司 Anomaly 已在 9 月发布的 1.18.33 版本中修复该问题。
为什么值得看：OpenCode 在登录阶段信任 MCP 服务器返回内容，使用该 AI 编码代理的开发者可据此判断是否需要升级。
php-hunt.sh 是一个只读的 bash 脚本，用于检查 Apache + PHP 服务器是否出现被利用迹象，扫描 Apache 访问与错误日志，并在确认后检查主机上的变更文件、疑似 webshell 代码、可疑进程、套接字与持久化项。
GitHub 项目公开了针对 CVE-2025-62215 的集成利用套件 v4.5，目标是 Windows 内核竞态条件与 double-free 漏洞。
研究者公开 EasyAntiCheat EOS 的签名驱动回滚 PoC，普通非管理员用户可让 SYSTEM 级 EasyAntiCheat_EOSSys 服务把旧版已签名 EasyAntiCheat_EOS.sys 写入 Program Files 并加载进内核。
作者基于 bjrjk 的 CVE-2024-29943 利用代码，将这一 Pwn2Own 上的 SpiderMonkey JIT 整数范围不一致导致边界检查消除并最终 RCE 的漏洞复现移植到 Windows。
卡巴斯基 GReAT 在 2026 年初发现针对塔吉克斯坦、乌兹别克斯坦和土库曼斯坦外交机构的 APT 攻击，攻击者获取管理员权限后投放与 BlackLotus 相似的 UEFI bootkit，命名为 BlackX，利用 Baton Drop（CVE-2022-21894）绕过 Secure Boot。
0day Rubbish Research Team 公开 South River Technologies Titan MFT Server 26.0.0.364 的利用脚本，把首次运行管理员创建路径的 CWE-306 与任务后置命令字段的 CWE-78 串联，可在 Windows 上以 NT AUTHORITY\SYSTEM 执行命令。
Cymulate 研究实验室的 Ben Zamir 公开了 Amazon WorkSpaces 本地提权漏洞 CVE-2026-7791 的 PoC，低权限用户可借 Skylight Workspace Config Service 在日志轮转期间实现 SYSTEM 级任意文件写入。
smbAutoRelay 是一款面向 Active Directory 环境渗透测试与红队演练的脚本，用于自动化 SMB/NTLM Relay 攻击流程。脚本通过 `./smbAutoRelay.sh -i eth0 -t ./targets.txt` 指定网卡与目标 IP 列表运行，依赖 responder、impacket 及 tmux、rlwrap、netcat 等工具。
作者公开了针对 7-Zip 漏洞 CVE-2025-11001 的 Python PoC，利用符号链接处理缺陷实现目标路径穿越，从而向 7-Zip 有写权限的任意文件写入内容。
GitHub 项目 uky007/CVE-2025-62215_analysis 对 Windows 内核（ntoskrnl.exe）中的 CVE-2025-62215 展开分析。
LuDaShi 6.1026.4505.112 之前的版本中，ComputerZ_x64.sys 驱动暴露 IOCTL 接口 0xF1002508，未充分校验用户传入的内存地址，本地攻击者可经 MmMapIoSpace 读取低 4GB 任意物理地址数据并返回用户态，造成敏感信息泄露。该漏洞由 ZhouRui 于 2025 年 12 月 2 日发现，PoC 可读取任意长度数据。
Sploitus 收录了 CVE-2024-38077（MadLicense）的复现材料，该漏洞是 Windows Remote Desktop Licensing 服务中的堆缓冲区溢出（CWE-122），CVSS 9.8，无需认证、无需交互即可远程触发，并以 SYSTEM 权限执行代码。
GitHub 安全公告披露，@vitest/mocker 针对 GHSA-82fw-gwwq-j7x9 的路径穿越修复在 Windows 上可被反斜杠绕过：修复代码用 node:path/posix 拼接攻击者可控的 URL pathname 与 Vite root。
为什么值得看：作者用可运行脚本对比正斜杠与反斜杠两种遍历，说明已修复的路径穿越在 Windows 上仍可绕过。
安全研究者发布 shakeitoff，这是 InstallerFileTakeOver 的精简版 PoC，对应 CVE-2021-41379（后分配 CVE-2021-43883）的变种。
GitHub 仓库公开了针对 Windows Error Reporting（WER）组件漏洞 CVE-2023-36874 的 C++ PoC，作者称仅用于教育目的。
作者公开了 iTunes 12.13.2.3 中 AppleMobileDeviceService.exe 的本地提权漏洞 CVE-2024-44193 的复现过程，Apple 已于 2024 年 9 月 12 日修复。
Adversario 的 3ky（Diego Collao）公开了 PHP2Shell 本地实验仓库，用于对比 CVE-2026-109618 与 CVE-2026-109619 的四个漏洞版本与对应补丁版本。
为什么值得看：作者公开了本地复现工具与八个 PHP 构建的差分矩阵，可对照验证补丁前后的行为差异。
卡巴斯基将针对韩国机构的攻击行动命名为 FlashHole，并归因于 Lazarus Group；该行动自 2025 年 7 月开始，通过钓鱼页面和特制 GitHub 页面投递恶意载荷。
为什么值得看：卡巴斯基复盘 Lazarus 的 FlashHole 行动，其用 ML-KEM 后量子加密保护载荷下发这一手法在恶意软件投递中较为少见。
项目 plex2shell-windows-hunt 发布针对 Plex2Shell 的威胁情报与只读排查脚本，涉及 CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 和 CVE-2026-96656，这四个漏洞可链式实现 Plex Media Server 1.43.3.10861 之前版本的免认证 RCE。
为什么值得看：材料给出针对 Plex2Shell 四个漏洞链式利用的只读排查脚本与 IOC 清单，并附退出码含义，便于在 Plex 主机上自查。
攻击者在目标上运行 TV_V2.exe 会在当前目录生成 3 个文件，再运行生成的 gps.exe 即可得到包含 ID 和密码的 vtr.txt。连接时需使用 Windows Server 并安装压缩包中的 TeamViewer_Setup.exe。
作者公开了针对 PCL2（Plain Craft Launcher 2）2.99.0.0 的 notice.json RCE PoC，通过自签名 CA、修改 hosts 将 pcl2-server-1253424809.file.myqcloud.com 指向 127.0.0.1 并架设本地 HTTPS 服务，模拟公告与更新链路。
Electron 修复了 hid 和 usb 权限检查可能归属错误来源的问题：从 iframe 发起检查时，session.setPermissionCheckHandler 收到的是顶层框架的 origin 和 details，而非发起请求的框架。
研究者公开 CVE-2026-56190 的技术分析与 PoC 结构，该漏洞位于 Windows Server 2022 的 RDP 服务 termsrv.dll，发送特制的截断 MCS Connect Initial 数据包可触发未初始化指针解引用。
OX Security 发布 php2shell-check 检测脚本，用于排查服务器是否受 PHP2Shell 影响，即 PHP 中两个可让攻击者通过单次 Web 请求接管网站的问题 CVE-2026-109618 与 CVE-2026-109619。
为什么值得看：检查脚本把版本、运行状态与攻击痕迹分开报告，并给出对应 PHP 分支的修复版本，便于运维自查。
PHP 项目于 2026 年 10 月 21 日发布安全更新，修复 CVE-2026-109618（OOM 处理中的内存破坏）与 CVE-2026-109619（跨请求残留状态的 use-after-free），两者 CVSSv4 均为 9.2，可让攻击者以 Web worker 权限实现免认证 RCE。
为什么值得看：PHP 同时修复两个可导致免认证 RCE 的缺陷，通告给出了受影响版本区间、修复版本与临时缓解配置。
针对 CVE-2021-1675（PrintNightmare）的纯 PowerShell 本地提权脚本已发布，此前公开的 PoC 为 Python、C++ 远程代码执行版本和 C# 本地提权版本。
Symantec 研究人员称，与俄罗斯关联的 APT28（Fancy Bear）在为期两个月的行动中入侵了一个北约成员国的造船厂网络，并同时针对执法机构和一家航空航天发动机制造商。
Qualys 威胁研究团队逆向分析 Windows Defender 本地提权链 BlueHammer（CVE-2026-33825），受影响的是 4.18.26030.3011 之前的 Defender Antimalware Platform 版本，修复边界为 4.18.26030.3011。
为什么值得看：文章把一条八阶段提权链拆到每个系统调用与竞态窗口，并说明版本受影响不等于主机可利用，对做利用分析和检测的人有参考价值。
公开的 CoercedPotatoRDLL 利用程序基于 Reflective Loader，滥用 SeImpersonateToken 权限与 MS-RPRN 函数，将 NT Service 权限提升至 SYSTEM。
ORBITRON 发布 php2shell 响应工具包，针对 PHP 核心两个远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619，PHP 安全团队对两者均评为 CVSS v4.0 9.2，官方通告计划于 2026-10-21 14:00 UTC 发布。
为什么值得看：在官方通告发布前，这套只读清点脚本与行为检测规则可帮运维先摸清 PHP 暴露面并布控。
Sophos CTU 与 Sophos Labs 披露，BRONZE SANDCASTLE 利用 Sandboxie、Java、Krita、NVDA、LINE 和 Sysinternals 工具等合法 Windows 程序进行 DLL 侧加载。
Sploitus 聚合条目收录了 CVE-2023-36802 的利用代码，条目将其标注为 ITW case，并附有讲解利用 PreviousMode 覆写原语的链接。该条目提到 Microsoft Streaming Service Proxy 提权漏洞，并致谢 chompie 与 Google Project 0。
研究者公开 php-up-2026 验证包，针对 PHP session.upload_progress 的 UAF 问题，对应编号为 CVE-2026-109618 与 CVE-2026-109619。
GitHub 仓库公开了 Windows Backup 服务任意文件删除漏洞 CVE-2023-21752 的 PoC，包含两个利用版本，v1 仅删除指定文件，v2 尝试借任意删除启动提权 cmd shell，作者称 v2 不太稳定、可能需多次运行，在物理机上效果更好。