GitHub 安全公告库发布 Next.js 通告，指出使用 App Router 与 Cache Component 的应用若存在返回多个 typed array 的 use cache 函数，可导致远程代码执行。通告称此类受影响应用没有已知规避方案，即使应用不含类似函数也建议立即升级。
为什么值得看：通告说明使用 App Router 与 Cache Component 且 use cache 函数返回多个 typed array 的应用存在 RCE 风险，且无规避方案。
GitLab 于 10 月 21 日发布修复，CVE-2026-110264 在 CVSS 评分为 10.0，特定条件下未认证用户可因正则表达式编译时的整数溢出在自管理服务器上执行任意代码，影响 7.0 以来的所有版本。
为什么值得看：修复覆盖 7.0 以来全部版本，且 10 月 12 日刚升级的实例仍落在影响范围内，运维需要重新核对版本。
PHP 开发者于 2026 年 10 月 21 日发布紧急安全更新，修复两个可让攻击者在未登录情况下在 Web 服务器上执行代码的漏洞 CVE-2026-109618 和 CVE-2026-109619，两者在 CVSS v4.0 下均为 9.2。
为什么值得看：通告列出各 PHP 分支的修复版本与临时缓解措施，运维可据此确认部署是否受影响并安排升级。
绿盟科技 CERT 监测到 PHP 披露远程代码执行漏洞 CVE-2026-109618/CVE-2026-109619，CVSS 评分 9.2，目前已有漏洞细节披露。
为什么值得看：通告给出受影响版本区间、修复版本与临时缓解配置，运维可据此自查 PHP 部署并决定升级或加固。
针对 PHP 的 CVE-2026-109618 与 CVE-2026-109619（php2shell，CVSS v4.0 9.2，无需认证 RCE），材料给出临时缓解措施与机制说明。
为什么值得看：材料给出 PHP 内存破坏漏洞的触发路径与多层临时缓解配置，可帮助运维在补丁窗口期先阻断利用。
PHP 安全团队为两个严重 RCE 漏洞 CVE-2026-109618 和 CVE-2026-109619（合称 PHP2Shell）发布紧急补丁，影响所有处理 Web 请求的 PHP 安装，包括 PHP-FPM、Apache with mod_php、php-cgi、FrankenPHP 和 LiteSpeed。
为什么值得看：PHP 两个免认证 RCE 漏洞的紧急补丁与临时缓解措施，Cloudflare 已观察到早期攻击尝试。
PHP 安全团队于 2026 年 10 月 21 日发布紧急补丁，修复两个 CVSS 评分 9.2 的 RCE 漏洞 CVE-2026-109618 和 CVE-2026-109619，影响 PHP 5、6、7、8 各版本，并已为 7.4、8.0、8.1 回移补丁。
为什么值得看：PHP 核心两个 9.2 分 RCE 在补丁发布前细节与利用程序已外泄，文中给出禁用 session.upload_progress 等临时缓解措施。
GitHub 安全公告披露 ApostropheCMS 核心页面 REST API 存在授权绕过，getOne 与 all=1 树形导出使用 .permission(false)，绕过页面类型的 viewRole、visibility: private 和 visibility: loginRequired 检查。
为什么值得看：公告给出了匿名读取私有页面的 curl 复现步骤，并指出 getOne 与 all=1 两处缺少权限校验的代码位置。
Red Hat 发布 CVE-2026-105949 通告，指出 Streams for Apache Kafka 的 Cruise Control 存在认证绕过问题，攻击者通过附加多余路径段即可绕过认证，未认证访问所有管理端点。通告未说明该漏洞是否已被利用。
为什么值得看：Red Hat 通告点明 Cruise Control 因多余路径段绕过认证，部署 Kafka 管理面的人可据此核对影响范围。
绿盟科技 CERT 监测到 GitLab 发布安全更新，修复远程代码执行漏洞 CVE-2026-97229。由于 CI/CD 配置对正则表达式的验证不充分，未经身份验证的攻击者可在 CI/CD 配置中构造特殊正则表达式，在编译过程中触发整数溢出，从而以 Git 账户身份执行任意代码，CVSS 评分 10.0，目前漏洞细节与 PoC 已公开。
为什么值得看：通告给出受影响版本区间与修复版本，并说明漏洞细节与 PoC 已公开，运维可据此判断升级优先级。
Drupal 安全团队发布 SA-CORE-2026-014，指出 Drupal core 的 Field UI 模块存在远程代码执行漏洞 CVE-2026-108097，仅靠核心无法直接利用，但配合贡献模块存在多条严重利用路径，其中至少一条已知路径无需认证。
为什么值得看：通告给出了受影响版本区间、修复版本和卸载 field_ui 的临时缓解办法，运维可据此判断升级或临时处置。
Fortinet PSIRT 发布 FG-IR-26-180 通告，FortiSIEM 存在路径穿越问题（CWE-22），无需认证的攻击者可通过特制数据包执行未授权代码或命令。FortiSIEM 7.5.0 受影响，需升级至 7.5.1 或以上；7.6 不受影响，FortiSIEM Cloud 不受影响。临时规避方案为限制 tcp 端口 27918 的访问。
为什么值得看：通告给出受影响版本、修复版本与临时限制端口的规避方案，运维可据此判断 FortiSIEM 部署是否需要升级。
Fortinet 发布通告，指出 FortiSandbox GUI 存在 CWE-288 认证绕过漏洞，远程未认证攻击者可通过构造 HTTP 请求绕过认证。FortiSandbox 5.0.0 至 5.0.6 需升级到 5.0.7 或以上，4.4.0 至 4.4.9 需升级到 4.4.10 或以上，5.2 不受影响，FortiSandbox PaaS 4.4 全部版本需迁移到已修复版本。
为什么值得看：通告列出 FortiSandbox 各分支的受影响版本与对应修复版本，运维可据此判断是否需要升级。
PHP 发布安全通告，8.5.12、8.4.27、8.3.36 和 8.2.35 修复两个可导致免认证远程代码执行的漏洞，建议所有 PHP 用户立即更新。
为什么值得看：PHP 官方通告给出两个 RCE 的受影响版本、修复版本与临时缓解配置，运维可据此判断升级或加固路径。