Pillow 从 11.1.0 起打包的 libopenjp2 2.5.3 与 12.0.0 至 12.3.0 打包的 2.5.4 含 OSV-2025-219 堆缓冲区溢出写，默认设置下经 Image.open(fp) 与 im.load() 即可到达，宿主系统打补丁无效。
为什么值得看：报告给出了 ASan 复现栈与可控 rip 的堆布局细节，并说明修复补丁尚未进入任何 OpenJPEG 发行版。
Node.js 于 10 月 21 日为 22.x、24.x、26.x 三条支持线发布安全更新，修复 10 个漏洞，其中 Brotli 解码器越界写 CVE-2026-111497 被项目描述为可导致远程代码执行，评级为 high。
为什么值得看：通告列出 10 个修复项与各版本对应关系，并交代 Brotli 漏洞的公开 PoC 仅在削弱构建上达成代码执行。
PHP Foundation 发布补丁，修复 CVE-2026-109618 与 CVE-2026-109619 两个 CVSS 9.2 的漏洞，二者均可导致免认证 RCE，分别源于内存耗尽处理（OOM）中的内存破坏和同一 worker 上后续请求复用陈旧请求全局状态。
为什么值得看：PHP 核心内存管理与错误处理中的两个 9.2 分漏洞影响面覆盖默认配置，通告给出了明确的修复版本与受影响部署形态。
绿盟科技 CERT 监测到 PHP 披露远程代码执行漏洞 CVE-2026-109618/CVE-2026-109619，CVSS 评分 9.2，目前已有漏洞细节披露。
为什么值得看：通告给出受影响版本区间、修复版本与临时缓解配置，运维可据此自查 PHP 部署并决定升级或加固。
针对 PHP 的 CVE-2026-109618 与 CVE-2026-109619（php2shell，CVSS v4.0 9.2，无需认证 RCE），材料给出临时缓解措施与机制说明。
为什么值得看：材料给出 PHP 内存破坏漏洞的触发路径与多层临时缓解配置，可帮助运维在补丁窗口期先阻断利用。
PHP 安全团队于 2026 年 10 月 21 日发布紧急补丁，修复两个 CVSS 评分 9.2 的 RCE 漏洞 CVE-2026-109618 和 CVE-2026-109619，影响 PHP 5、6、7、8 各版本，并已为 7.4、8.0、8.1 回移补丁。
为什么值得看：PHP 核心两个 9.2 分 RCE 在补丁发布前细节与利用程序已外泄，文中给出禁用 session.upload_progress 等临时缓解措施。
研究人员在 Linux 内核网络栈中发现 CVE-2026-99999（代号 PwnEscape），攻击者可通过精心构造的数据包在主机内核校验 IPv4 头之后改写其长度字段，从而造成主机内存泄露，并在研究人员控制的系统上实现主机崩溃和 root 级代码执行。
为什么值得看：文章拆解了校验和卸载环节中客户机可控元数据改写 IPv4 头的路径，并说明补丁只在五个校验和完成点加了校验。
Pillow 在解码畸形压缩 TIFF 时，src/libImaging/TiffDecode.c 的 _decodeTile() 与 _decodeAsRGBA() 会读取堆缓冲区之外的数据并写入返回图像的像素，攻击者可借此拿到进程堆内存片段，包括指针值，稍大的文件则会让进程崩溃。
为什么值得看：材料给出可运行的复现脚本与补丁，说明 Pillow 与 libtiff 对畸形 TIFF 标签解析不一致如何导致堆越界读。
GitHub 安全公告披露 Pillow 在将图像编码为内存中的 TIFF 时存在堆 use-after-free：libtiff 在编码阶段拒绝某个 tag 导致 TIFFWriteScanline 失败后，编码器释放了输出缓冲区却未关闭 TIFF 句柄，随后清理阶段 TIFFClose 刷新数据写回已释放内存。
为什么值得看：公告给出可运行的 Python 复现脚本与 ASan 调用栈，便于维护者确认内存释放路径并判断自身服务是否受影响。
F5 以带外方式发布 NGINX 安全补丁，修复 CVE-2026-15176、CVE-2026-97205 和 CVE-2026-93479 三个 CVSS 4.0 评分 9.2 的漏洞。
为什么值得看：通告列出三个 NGINX 漏洞的受影响产品与缓解配置，运维可据此判断自身部署是否暴露。