漏洞日报 · 2026 年 10 月 22 日 · 星期四
VULNHOT
PHP 发布紧急补丁修复 CVE-2026-109618 与 CVE-2026-109619 两个 RCE 漏洞
PHP 项目发布计划外安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个 CVSS v4.0 评分 9.2 的远程代码执行漏洞，补丁以 8.5.12、8.4.27、8.3.36 和 8.2.35 版本发布，覆盖 8.2 至 8.5 支持分支。
- PHP 修复 CVE-2026-109618 与 CVE-2026-109619 免认证 RCE 漏洞，已出现利用Patchstack WordPress 漏洞库
- PHP 两个 CVSSv4.0 9.2 的 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 已现早期攻击Tenable 安全博客
- PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已现 PoC 和利用SANS ISC 日记
- PHP 修复 CVE-2026-109618 与 CVE-2026-109619 免认证 RCE 漏洞Rapid7 研究与公告
已公开 PoC 与复现
Sploitus 利用聚合BeyondTrust Remote Support 认证绕过漏洞 CVE-2026-102764 的公开利用脚本
Sploitus 收录了针对 BeyondTrust Remote Support ≤ 26.2.3 的认证绕过漏洞 CVE-2026-102764 的利用脚本，CVSS v3.1 评分 9.8，CWE-290，文中标注为 Active Exploitation（CISA BOD 26-04）。
Sploitus 利用聚合WordPress CVE-2026-63030 与 CVE-2026-60137 串联免认证 RCE 的 PoC 脚本公开
有人公开了 WP2Shell 脚本，把 WordPress 的 CVE-2026-63030 路由混淆与 CVE-2026-60137 SQL 注入串联，实现免认证创建管理员并通过主题编辑器上传 webshell。
Keycloak CVE-2026-18963 免认证账号接管 PoC 公开
研究者公开 Keycloak 重置凭据流程绕过漏洞 CVE-2026-18963 的 PoC 与检测脚本，未认证调用者可跳过邮件链接直接进入设置密码页面。受影响版本为 >= 26.0.0 < 26.4.15、>= 26.5.0 < 26.6.6、>= 26.7.0 < 26.7.2，已在 26.4.15、26.6.6 和 26.7.2 修复。
Parasoft CTP 10.7.5 免认证 RCE 的 PoC 与利用链分析公开
0day Rubbish Research Team 公开 Parasoft Continuous Testing Platform 10.7.5 的免认证远程代码执行 PoC 与完整分析。
Qualys 威胁研究另外 1 家也报道了Qualys 拆解 Windows Defender 提权链 BlueHammer CVE-2026-33825
Qualys 威胁研究团队逆向分析 Windows Defender 本地提权链 BlueHammer（CVE-2026-33825），受影响的是 4.18.26030.3011 之前的 Defender Antimalware Platform 版本，修复边界为 4.18.26030.3011。
漏洞通告与补丁
Red Hat 通告 Cruise Control 认证绕过漏洞 CVE-2026-105949，可未认证访问全部管理端点
Red Hat 发布 CVE-2026-105949 通告，指出 Streams for Apache Kafka 的 Cruise Control 存在认证绕过问题，攻击者通过附加多余路径段即可绕过认证，未认证访问所有管理端点。通告未说明该漏洞是否已被利用。
Storybook 预览缺少来源校验可被恶意网站注入代码，官方发布 8.6.19 等修复版本
Storybook 发布安全通告，指出运行受影响版本的 Storybook 开发服务器时，恶意网站可能对开发者项目造成未授权文件修改，在附加条件下被修改的文件可能以开发者权限被本地运行时执行；官方称未发现已在野利用。
Moov signedxml 修复 ExclusiveCanonicalization 免认证拒绝服务问题
GitHub 安全公告指出，github.com/moov-io/signedxml 的 ExclusiveCanonicalization 在 ValidateReferences() 中于任何摘要或签名校验前复制整个累积命名空间映射。
攻击事件与应急
Infosecurity Magazine另外 1 家也报道了CISA 等机构联合通告称 SafePay 已入侵全球 600 家关键基础设施机构
美国、德国和英国政府机构联合发布通告，称 SafePay 勒索组织自 2024 年 8 月出现以来已入侵至少 600 家关键基础设施机构，影响范围覆盖北美、南美、欧洲和澳大利亚。
CSO Online另外 1 家也报道了TeamUpdraft 凭证泄露后 WordPress 站点被植入恶意插件
攻击者利用 TeamUpdraft 安全事件中泄露的 UpdraftCentral 连接密钥，在受影响的 WordPress 站点上执行命令并安装恶意插件以建立持久访问。