漏洞日报 · 2026 年 10 月 24 日 · 星期六
VULNHOT
攻击者尝试利用 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619 投放 Mirai 变种
攻击者被观察到尝试利用新披露的 PHP2Shell 漏洞 CVE-2026-109618 和 CVE-2026-109619（CVSS 评分 9.2）将感染系统纳入名为 Potassium 的 Mirai 变种僵尸网络，但尝试未成功。这两个漏洞可导致免认证远程攻击，原文称将其武器化可能比此前认为的更难。
- php2shell-lab 发布 PHP2Shell（CVE-2026-109618、CVE-2026-109619）漏洞复现环境Sploitus 利用聚合
- PHP2Shell 公开 PHP 8.2–8.5 的 CVE-2026-109618 与 CVE-2026-109619 利用代码Sploitus 利用聚合
- PHP2Shell 披露失序复盘：Chainguard 提前发布修复镜像，CVE-2026-109618 与 CVE-2026-109619 在通告前已遭利用CSO Online
- PHP2Shell 漏洞 CVE-2026-109618 / CVE-2026-109619 免认证 RCE PoC 公开Sploitus 利用聚合
在野利用与紧急修补
PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619 出现利用尝试，专家称现有 PoC 难以实战
多家公司报告针对 PHP 漏洞 CVE-2026-109618 与 CVE-2026-109619（被称为 PHP2Shell）的利用尝试激增，但数十位专家对 Recorded Future News 表示尚无成功案例，多数公开 PoC 只在理想实验环境中有效。
CISA 将 Collabora Online Built-in CODE Server 的 OS 命令注入漏洞列入 KEV
CISA 已知被利用漏洞目录收录了 Collabora Online – Built-in CODE Server 的 OS 命令注入漏洞。该组件在 NextCloud 平台中使用时，若 CODE server 未运行，攻击者可远程执行代码。原文未给出 CVE 编号与修复版本信息。
已公开 PoC 与复现
Sploitus 利用聚合SonicWall SMA1000 的 CVE-2026-83548 免认证 SSRF 被用于串联 root RCE，已列入 CISA KEV
Sploitus 汇总的利用文档称，SonicWall SMA1000（6210 / 7210 / 8200v）Appliance Work Place 的 __EXTRAWEB__TRANSLATE 处理器存在免认证 SSRF（CVE-2026-83548，CVSS 10.0），并标注该漏洞已列入 CISA KEV、已在野利用。
Sploitus 利用聚合Adobe Commerce 与 Magento Open Source 的 CVE-2026-71362 会话身份投毒 PoC 公开
研究人员公开了 CVE-2026-71362 的 PoC 利用脚本，该漏洞是 Adobe Commerce 与 Magento Open Source 中 CWE-863 类型的会话身份投毒问题，CVSS 9.1，已被列入 CISA KEV。
Pillow 12.2.0 FlashPix (FPX) JPEG 解码堆溢出漏洞可致代码执行，公开 PoC
Pillow 12.2.0 的 FlashPix (FPX) JPEG 瓦片解码存在堆缓冲区溢出（CWE-122/CWE-787），攻击者构造单个文件即可在 Image.open() 时触发越界写并实现任意命令执行。
Metasploit 新增 Langflow 6 个模块，覆盖 CVE-2026-93680 认证绕过与多条 RCE
Metasploit 本轮更新新增 11 个模块，其中 6 个针对开源 LLM 工作流构建器 Langflow，覆盖认证绕过 CVE-2026-93680、3 条免认证 RCE 路径 CVE-2026-0768、CVE-2026-0769、CVE-2026-10134。
漏洞通告与补丁
vLLM 伪造多模态 uuid 触发处理器缓存漂移，免认证远程打挂整个引擎
GitHub 安全公告披露 vLLM 多模态内容部件接受用户自带的 uuid 并直接当作缓存哈希，P0 发送端缓存与 P1 接收端缓存的淘汰不同步，且 P1 命中时不做一致性校验。
BleepingComputer一手HPE 修复 ArubaOS 8 个最高危 RCE 与认证绕过漏洞，共修补 72 个漏洞
HPE 发布安全更新，修复 ArubaOS（AOS）中的 72 个漏洞，其中 8 个为最高危的认证绕过与代码执行问题，影响多个 AOS-8 和 AOS-10 版本，远程攻击者无需权限、无需用户交互即可通过低复杂度攻击利用。
Qualys 威胁研究Node.js 修复 Brotli 解码器越界写 RCE 漏洞 CVE-2026-111497 等 10 个漏洞
Node.js 于 2026 年 10 月 21 日为 22.x、24.x、26.x 三条支持线发布 10 个漏洞的修复，其中 4 个为 High。
攻击事件与应急
The Hacker News一手攻击者入侵企业防火墙与 VPN 设备，泄露逾 7 万条凭据
研究人员披露了一起针对 Fortinet FortiGate 和 Palo Alto Networks GlobalProtect 等暴露在网络边缘的防火墙设备的大规模攻击活动。调查痕迹显示，该活动的运营者已获取全球多家组织的访问权限，并试图进一步入侵部分受害者，泄露凭据超过 7 万条。
BleepingComputer一手另外 2 家也报道了Quest Diagnostics 确认 Quanum LSM 系统遭未授权访问致患者记录泄露
Quest Diagnostics 披露，2026 年 10 月 21 日发现有人未经授权访问其 Quanum LSM 系统，该系统供客户下单检验、接收和查询结果，公司认为部分患者记录已被泄露，受影响数据类型尚未确定。