GitHub 安全公告指出 nbconvert <= 7.17.1 在导出为 markdown、latex、rst、asciidoc 时存在任意文件写入漏洞，ExtractOutputPreprocessor 在 extractoutput.py:116-119 将攻击者可控的 path 直接拼接到 output_files_dir 且未做规范化校验。
为什么值得看：公告给出可复现的 ipynb 片段，说明恶意 cell 输出文件名如何穿越目录写入任意位置，便于验证与排查。
在 PHP 计划于 10 月 21 日 14:00 UTC 发布两个评分 9.2 的 PHP2Shell 漏洞修复前，目前没有任何措施能完全阻断利用，社交平台上流传的 session.upload_progress.enabled=0 配置项被提出者 GMO Flatt Security 当天收回。
为什么值得看：在官方补丁发布前，梳理了 session.upload_progress.enabled=0 等临时措施的实际边界，以及无法立即打补丁时的隔离与收敛思路。
PHP 安全团队将于 2026 年 10 月 21 日 14:00 UTC 紧急发布补丁，修复 CVE-2026-109618 与 CVE-2026-109619 两个严重漏洞，二者均被评为 CVSSv4.0 9.2，公开报道称均为远程代码执行。
为什么值得看：汇总了补丁发布前各方的版本推测、暴露面估算与 Cloudflare 的临时 WAF 规则，便于在官方通告前先评估自身风险。
PHP 项目周三发布补丁，修复 CVE-2026-109618 和 CVE-2026-109619 两个 CVSS v4.0 评分 9.2 的远程代码执行漏洞，研究人员将其称为 php2shell。
为什么值得看：PHP 紧急修复两个 CVSS 9.2 的 RCE 漏洞，披露了影响范围与各机构对利用状态的判断，便于运维评估升级优先级。
WordPress 7.1.1 于 9 月 17 日发布，修复了 pwn.ai 的 Paulos Yibelo 报告的 Click2Shell 漏洞，该漏洞将 CSRF 与选择器注入串联，把一次点击变成远程 shell。
为什么值得看：文章拆解了同一 URL 参数在前后端被两种方式解析所导致的 CSRF 到 RCE 链条，并说明 7.1.1 的修复方式。