漏洞日报 · 2026 年 10 月 23 日 · 星期五
VULNHOT
Amazon 在披露前四天检测到 PHP2Shell 利用尝试，CVE-2026-109618 与 CVE-2026-109619 已在野大规模利用
Amazon 威胁情报团队确认，在 PHP2Shell 漏洞公开披露前四天（10 月 17 日）就已在 MadPot 蜜罐中观测到利用尝试，涉及 CVE-2026-109618 与 CVE-2026-109619，这两个漏洞可对近十年发布的 PHP 版本（最早至 5.4）实现免认证 RCE 与服务器接管。
- PHP 发布应急补丁修复两个 PHP2Shell RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619，已出现利用尝试The Hacker News
- Adversario 公开 PHP2Shell 实验环境，复现 CVE-2026-109618 与 CVE-2026-109619 的补丁差分Sploitus 利用聚合
- PHP2Shell 检测工具发布，用于排查 PHP CVE-2026-109618 与 CVE-2026-109619Sploitus 利用聚合
- PHP 修复两个可致免认证 RCE 的严重漏洞 CVE-2026-109618 与 CVE-2026-109619CSO Online
在野利用与紧急修补
BleepingComputer一手另外 1 家也报道了Arista 修复 VeloCloud Orchestrator 在野利用 0day CVE-2026-114625
Arista Networks 发布安全更新，修复 VeloCloud Orchestrator（VCO）On-Prem 部署中已被在野利用的 0day 漏洞 CVE-2026-114625。
已公开 PoC 与复现
Sploitus 利用聚合php2shell-guard 发布：检测 PHP CVE-2026-109618 与 CVE-2026-109619 的扫描与排查工具
SwordSec 发布 php2shell-guard，用于检测 PHP 运行时中 CVE-2026-109618 与 CVE-2026-109619 两个无需认证 RCE 漏洞的修复状态，两者 CVSS v4 均为 9.2。
Sploitus 利用聚合php-cve-2026-fix 脚本发布：检测并修复 PHP CVE-2026-109618 与 CVE-2026-109619
GitHub 项目 php-cve-2026-fix 发布一个 Bash 脚本，用于在 Linux 服务器上定位所有 PHP 引擎并判断是否受 CVE-2026-109618 与 CVE-2026-109619 影响，在 Debian 与 Ubuntu 上可执行修复并验证站点仍可访问。
漏洞通告与补丁
The Hacker News一手另外 3 家也报道了GitLab 修复 CVSS 10.0 的 CVE-2026-110264，可致免认证 RCE 并影响 7.0 以来版本
GitLab 于 10 月 21 日发布修复，CVE-2026-110264 在 CVSS 评分为 10.0，特定条件下未认证用户可因正则表达式编译时的整数溢出在自管理服务器上执行任意代码，影响 7.0 以来的所有版本。
Next.js 图像优化 API 处理 SVG 时存在免认证 RCE 漏洞
GitHub 安全公告指出，Next.js 用于图像优化的上游库存在内存相关漏洞，当 Next.js 运行在基于 glibc 的 Linux 上时可能导致 RCE。规避方案是确保 Next.js 使用的 sharp 版本大于或等于 0.35.5，全新安装会自动获得修复版本，升级 Next.js 到已修复版本也能让包管理器自动提供修复后的 sharp。
Next.js 通告 use cache 函数返回 typed array 可致免认证 RCE
GitHub 安全公告库发布 Next.js 通告，指出使用 App Router 与 Cache Component 的应用若存在返回多个 typed array 的 use cache 函数，可导致远程代码执行。通告称此类受影响应用没有已知规避方案，即使应用不含类似函数也建议立即升级。
Fortinet 通告 PHP 核心 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 的产品影响排查
Fortinet 发布 PSIRT 通告，说明 PHP 在内存不足（OOM）时使用 longjmp() 退出当前上下文，部分上下文未正确处理该场景，导致请求内存在分配前处于未初始化状态，后续清理过程可能读取或依据该内存分支，多种 OOM 策略可稳定触发并导致远程代码执行（RCE）。
供应链与依赖风险
BleepingComputer一手另外 2 家也报道了LiteLLM 发布流水线被入侵，PyPI 与 Docker 镜像被植入窃密恶意代码
LiteLLM 项目的发布流水线于 10 月 21 日被入侵，攻击者向 PyPI 和 Docker 仓库推送了 1.107.0 版本，其中包含窃取凭据并加载远程代码执行工具的编译恶意代码。
攻击事件与应急
The Hacker News一手另外 7 家也报道了跟进微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击
微软披露，中国国家关联组织 Storm-0940 是近期 ConnectWise Cloud Backup 供应链入侵的实施者，其在攻击中用 Go 编写的代理式 AI 渗透测试框架 ARTEX 加速扫描侦察、密码喷洒和 OAuth 应用滥用。
Tenable 安全博客犯罪论坛如何应对 PHP2Shell 两个 PHP RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
Tenable 分析指出，2026 年 10 月 20 日公开披露的 PHP 免认证 RCE 漏洞 CVE-2026-109618（OOM Corruption）与 CVE-2026-109619（Stale Global State。