Pillow 从 11.1.0 起打包的 libopenjp2 2.5.3 与 12.0.0 至 12.3.0 打包的 2.5.4 含 OSV-2025-219 堆缓冲区溢出写，默认设置下经 Image.open(fp) 与 im.load() 即可到达，宿主系统打补丁无效。
为什么值得看：报告给出了 ASan 复现栈与可控 rip 的堆布局细节，并说明修复补丁尚未进入任何 OpenJPEG 发行版。
GitHub 安全公告库发布 Next.js 通告，指出使用 App Router 与 Cache Component 的应用若存在返回多个 typed array 的 use cache 函数，可导致远程代码执行。通告称此类受影响应用没有已知规避方案，即使应用不含类似函数也建议立即升级。
为什么值得看：通告说明使用 App Router 与 Cache Component 且 use cache 函数返回多个 typed array 的应用存在 RCE 风险，且无规避方案。
GraphQL-core 发布通告，指出默认启用的 OverlappingFieldsCanBeMerged 校验规则可被小体积查询触发二次复杂度，364 KB 文档在 3.2.8 上校验耗时 319 秒，且无需认证。
为什么值得看：通告给出了触发条件、实测耗时与修复版本，并说明常规深度限制和 WAF 为何挡不住这类校验期 DoS。
GraphQL-core 发布通告，指出解析器的 max_tokens 限制未统计注释 token，用注释填充的文档可绕过该限制并持续占用内存，38 MB 载荷在 max_tokens=5 下额外占用约 92 MB 常驻内存。
为什么值得看：通告说明了 max_tokens 未统计注释 token 的计数缺口，并给出升级后注释计入上限的行为变化。
GitHub 安全公告 GHSA-jj87-hc4r-jwfw 指出，npm 包 stream-json 的 FlexAssembler 在规则 filter 为字符串或 RegExp 时，每次容器开始都会对完整 keyStack 执行 join，嵌套深度 D 的文档产生 O(D^2) CPU 开销，约 96 KB（深度 16000）的输入可阻塞事件循环超过 1 秒。
为什么值得看：通告说明 stream-json 的 FlexAssembler 在字符串或 RegExp 过滤规则下存在平方级 CPU 消耗，并给出 maxDepth 默认 1024 的修复。
GitHub 安全公告指出，Next.js 用于图像优化的上游库存在内存相关漏洞，当 Next.js 运行在基于 glibc 的 Linux 上时可能导致 RCE。规避方案是确保 Next.js 使用的 sharp 版本大于或等于 0.35.5，全新安装会自动获得修复版本，升级 Next.js 到已修复版本也能让包管理器自动提供修复后的 sharp。
为什么值得看：通告说明 Next.js 图像优化依赖的上游库存在内存问题，并给出 sharp 版本与升级两条规避路径。
在 PHP 计划于 10 月 21 日 14:00 UTC 发布两个评分 9.2 的 PHP2Shell 漏洞修复前，目前没有任何措施能完全阻断利用，社交平台上流传的 session.upload_progress.enabled=0 配置项被提出者 GMO Flatt Security 当天收回。
为什么值得看：在官方补丁发布前，梳理了 session.upload_progress.enabled=0 等临时措施的实际边界，以及无法立即打补丁时的隔离与收敛思路。
GitLab 于 10 月 21 日发布修复，CVE-2026-110264 在 CVSS 评分为 10.0，特定条件下未认证用户可因正则表达式编译时的整数溢出在自管理服务器上执行任意代码，影响 7.0 以来的所有版本。
为什么值得看：修复覆盖 7.0 以来全部版本，且 10 月 12 日刚升级的实例仍落在影响范围内，运维需要重新核对版本。
Node.js 于 10 月 21 日为 22.x、24.x、26.x 三条支持线发布安全更新，修复 10 个漏洞，其中 Brotli 解码器越界写 CVE-2026-111497 被项目描述为可导致远程代码执行，评级为 high。
为什么值得看：通告列出 10 个修复项与各版本对应关系，并交代 Brotli 漏洞的公开 PoC 仅在削弱构建上达成代码执行。
PHP Foundation 发布补丁，修复 CVE-2026-109618 与 CVE-2026-109619 两个 CVSS 9.2 的漏洞，二者均可导致免认证 RCE，分别源于内存耗尽处理（OOM）中的内存破坏和同一 worker 上后续请求复用陈旧请求全局状态。
为什么值得看：PHP 核心内存管理与错误处理中的两个 9.2 分漏洞影响面覆盖默认配置，通告给出了明确的修复版本与受影响部署形态。
Fortinet 发布 PSIRT 通告，说明 PHP 在内存不足（OOM）时使用 longjmp() 退出当前上下文，部分上下文未正确处理该场景，导致请求内存在分配前处于未初始化状态，后续清理过程可能读取或依据该内存分支，多种 OOM 策略可稳定触发并导致远程代码执行（RCE）。
为什么值得看：Fortinet 通告说明 PHP 的 OOM 处理缺陷可致 RCE，并列出仍在排查与确认不受影响的自家产品清单。
Storybook 发布安全通告，指出运行受影响版本的 Storybook 开发服务器时，恶意网站可能对开发者项目造成未授权文件修改，在附加条件下被修改的文件可能以开发者权限被本地运行时执行；官方称未发现已在野利用。
为什么值得看：通告给出四个受影响大版本的修复版本，并说明默认行为变更，开发者可据此判断升级与工作流调整。
PHP 项目于 2026 年 10 月 21 日发布安全更新，修复 CVE-2026-109618（OOM 处理中的内存破坏）与 CVE-2026-109619（跨请求残留状态的 use-after-free），两者 CVSSv4 均为 9.2，可让攻击者以 Web worker 权限实现免认证 RCE。
为什么值得看：PHP 同时修复两个可导致免认证 RCE 的缺陷，通告给出了受影响版本区间、修复版本与临时缓解配置。
Ubuntu 发布 USN-8948-2，将 USN-8948-1 中针对 Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS 和 26.10 的 PHP 修复扩展到 Ubuntu 14.04 LTS、16.04 LTS、18.04 LTS 和 20.04 LTS。
为什么值得看：公告把此前只覆盖新版本的安全更新扩展到 14.04 至 20.04 LTS，仍在使用旧版 PHP 的运维可据此核对补丁版本。
PHP 开发者于 2026 年 10 月 21 日发布紧急安全更新，修复两个可让攻击者在未登录情况下在 Web 服务器上执行代码的漏洞 CVE-2026-109618 和 CVE-2026-109619，两者在 CVSS v4.0 下均为 9.2。
为什么值得看：通告列出各 PHP 分支的修复版本与临时缓解措施，运维可据此确认部署是否受影响并安排升级。
绿盟科技 CERT 监测到 PHP 披露远程代码执行漏洞 CVE-2026-109618/CVE-2026-109619，CVSS 评分 9.2，目前已有漏洞细节披露。
为什么值得看：通告给出受影响版本区间、修复版本与临时缓解配置，运维可据此自查 PHP 部署并决定升级或加固。
Ubuntu 发布 USN-8948-1，指出 PHP 存在两个可被远程攻击者利用执行任意代码的问题，涉及 CVE-2026-109618 与 CVE-2026-109619。
为什么值得看：通告列出两个可致远程代码执行的 PHP 问题及 Ubuntu 各发行版的具体修复包版本，便于对照升级。
针对 PHP 的 CVE-2026-109618 与 CVE-2026-109619（php2shell，CVSS v4.0 9.2，无需认证 RCE），材料给出临时缓解措施与机制说明。
为什么值得看：材料给出 PHP 内存破坏漏洞的触发路径与多层临时缓解配置，可帮助运维在补丁窗口期先阻断利用。
PHP 安全团队为两个严重 RCE 漏洞 CVE-2026-109618 和 CVE-2026-109619（合称 PHP2Shell）发布紧急补丁，影响所有处理 Web 请求的 PHP 安装，包括 PHP-FPM、Apache with mod_php、php-cgi、FrankenPHP 和 LiteSpeed。
为什么值得看：PHP 两个免认证 RCE 漏洞的紧急补丁与临时缓解措施，Cloudflare 已观察到早期攻击尝试。
PHP 安全团队将于 2026 年 10 月 21 日 14:00 UTC 紧急发布补丁，修复 CVE-2026-109618 与 CVE-2026-109619 两个严重漏洞，二者均被评为 CVSSv4.0 9.2，公开报道称均为远程代码执行。
为什么值得看：汇总了补丁发布前各方的版本推测、暴露面估算与 Cloudflare 的临时 WAF 规则，便于在官方通告前先评估自身风险。