Arista 修复 VeloCloud Orchestrator 在野利用 0day CVE-2026-114625
Arista Networks 发布安全更新，修复 VeloCloud Orchestrator（VCO）On-Prem 部署中已被在野利用的 0day 漏洞 CVE-2026-114625。
为什么值得看：Arista 今年已修复多个在野利用 0day，本条给出攻击者使用的两个 IP 与日志排查方向。
#在野利用
BleepingComputer精选AI 评分8888
Sploitus 利用聚合精选AI 评分8888 Shellproof 开源工具检测 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619
Shellproof 发布开源 PHP 安全扫描工具，用于排查 PHP2Shell 两个漏洞 CVE-2026-109618 与 CVE-2026-109619。
为什么值得看：开源防御工具把 PHP2Shell 两个漏洞的检测、版本判定与修复步骤做成可离线运行的扫描器，便于管理员自查。
The Hacker News精选AI 评分8888 CISA 将 Plex2Shell、Siemens 与 SiteGuard 漏洞列入 KEV，要求联邦机构限期修复
CISA 于周二将四个漏洞加入 KEV 目录，其中四个 Plex Media Server 漏洞被合称 Plex2Shell。
为什么值得看：CISA 将 Plex2Shell 等四个漏洞列入 KEV，并给出联邦机构的修复期限，可据此判断哪些漏洞已被实际利用。
The Hacker News精选AI 评分9292 PHP 发布应急补丁修复两个 PHP2Shell RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619，已出现利用尝试
PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35 应急更新，修复 PHP 运行时中两个 CVSS v4.0 评分 9.2 的免认证 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619，影响可回溯至 PHP 5.4 的几乎所有版本。
为什么值得看：PHP 运行时两个 9.2 分漏洞的应急补丁与版本对照表，附 watchTowr 与 Cloudflare 观察到的利用尝试和临时缓解措施。
SecurityWeek精选AI 评分9090 多家厂商与机构回应 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619
多家科技厂商、安全公司与政府机构针对 PHP2Shell 两个漏洞 CVE-2026-109618 和 CVE-2026-109619 发布通告、检测规则与缓解措施，这两个漏洞可让无需认证的攻击者远程执行代码。
为什么值得看：多家厂商与机构披露 PHP2Shell 两个漏洞的检测与缓解进展，并记录了补丁发布前后出现的实际攻击尝试。
Sploitus 利用聚合精选AI 评分8383 Bluefire Redteam 发布 Ivanti Connect Secure CVE-2026-104935 认证绕过检测脚本
Bluefire Redteam 发布 Ivanti Connect Secure 认证绕过漏洞 CVE-2026-104935 的检测脚本，该漏洞 CVSS 8.6，CISA 已于 2026 年 10 月 13 日将其列入 KEV，联邦修复截止日期为 10 月 16 日。
为什么值得看：工具只比对版本号与厂商修复表，不发送利用流量，可用于排查 VPN 资产是否落在受影响区间。
The Hacker News精选AI 评分9393 Amazon 称 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619 在公开披露前 4 天已被尝试利用
Amazon 威胁情报团队称，2026 年 10 月 17 日在 MadPot 蜜罐上检测到针对 PHP2Shell 漏洞的利用尝试，来源 IP 为 103.216.220[.]92，归属澳大利亚，来自商业匿名化网络。
为什么值得看：披露前四天蜜罐已遭匿名 IP 探测，补丁发布后数小时内出现多来源利用尝试，可观察补丁到利用的窗口压缩。
BleepingComputer精选AI 评分8888 CISA 警告 Plex2Shell 攻击链已在野利用，可获取 Plex Media Server 管理员令牌并执行代码
CISA 警告攻击者正在积极利用 Plex Media Server 的四个漏洞，合称 Plex2Shell，串联利用后可获取所有者 admin token 并以提升权限执行代码，联邦机构须在 10 月 23 日前完成修补或缓解。
为什么值得看：CISA 将 Plex2Shell 四个漏洞列入在野利用并给出联邦修复期限，同时把 Siemens 与 SiteGuard 的漏洞一并加入 KEV。
SANS ISC 日记精选AI 评分9090 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4
SANS ISC 将 infoCon 调至 YELLOW，原因是 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 影响面广、CVSS 9.4，且补丁发布前已有早期 PoC 利用。
为什么值得看：PHP 核心漏洞影响所有默认安装，补丁发布前已有 PoC 与 Cloudflare 观测到的利用，站点可先关闭 session.upload_progress.enabled 缓解。
Patchstack WordPress 漏洞库精选AI 评分9191 PHP 修复 CVE-2026-109618 与 CVE-2026-109619 免认证 RCE 漏洞，已出现利用
PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复 CVE-2026-109618 与 CVE-2026-109619 两个可导致免认证远程代码执行的漏洞，PHP 安全团队对两者评级均为 Critical（CVSS v4.0 9.2）。
为什么值得看：PHP 解释器两个 CVSS 9.2 漏洞已出现实际利用报告，文中按发行版逐条列出补丁与临时缓解路径。
Cisco Talos 情报博客精选AI 评分9292 PHP core 两个严重 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 披露后已出现利用尝试
Cisco Talos 披露 PHP core 中两个无需认证的远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619，CVSS v4.0 均为 9.2，影响自 5.4 以来的所有 PHP 构建版本。
为什么值得看：Talos 在漏洞披露后数小时内即观测到扫描与投递尝试，并给出 Snort 与 Splunk 检测覆盖及 IoC，可用于排查暴露面。
Infosecurity Magazine精选AI 评分7878 西门子警告 Software Center DLL 侧加载漏洞 CVE-2026-110936 正被 ClickFix 攻击利用
西门子警告攻击者正在利用其 Software Center 的 DLL 侧加载漏洞 CVE-2026-110936（CVSS 8.4）投放恶意软件，并将该活动归因于 Romulus 多平台 ClickFix 活动。
为什么值得看：西门子确认 Software Center 的 DLL 侧加载漏洞正被 Romulus 的 ClickFix 活动利用，文中给出的主机侧排查项可直接用于自查。
Sploitus 利用聚合精选AI 评分7575 SAP NetWeaver CVE-2025-31324 免认证 RCE 的在野利用复盘
CVE-2025-31324 影响 SAP NetWeaver (Java) 的 Visual Composer Metadata Uploader，因缺少授权校验，无需认证即可向 /developmentserver/metadatauploader 上传可执行文件并执行命令，SAP 给出的 CVSS 为 10.0。
为什么值得看：材料把 CVE-2025-31324 的利用时间线、CISA KEV 状态与事后排查要点串在一起，可作复盘参考。
Cybersecurity Dive精选AI 评分8888 Qilin 与 INC 勒索团伙扩大利用 Palo Alto Networks GlobalProtect 漏洞 CVE-2026-0257
Palo Alto Networks 旗下 Unit 42 警告，Qilin 和 INC 勒索团伙正在扩大利用 GlobalProtect 门户的认证绕过漏洞 CVE-2026-0257，该漏洞 CVSS 评分为 7.8，攻击者可借此建立未授权的 VPN 连接。
为什么值得看：披露约五个月后，该认证绕过漏洞已成为勒索团伙进入内网的稳定入口，文中还给出攻击者转向虚拟化层的手法。
Ars Technica 安全精选AI 评分8383 Plex Media Server 已修复漏洞遭在野利用，攻击者串联四个漏洞实现 RCE 并植入恶意软件
研究人员称，Plex Media Server 上月修复的漏洞正被在野利用，攻击成功后会在设备上安装恶意软件，包括挖矿程序和住宅代理软件。Plex 上月修复了四个漏洞，三周后公布的 CVE 编号显示共有五个漏洞，其中一个严重性评分为 8.6。
为什么值得看：Plex Media Server 上月修复的漏洞已被串成利用链用于实际攻击，投递的是挖矿程序和住宅代理软件。
Rapid7 研究与公告精选AI 评分9595 BeyondTrust Remote Support 认证绕过漏洞 CVE-2026-102764 已在野利用
BeyondTrust 披露 Remote Support 认证绕过漏洞 CVE-2026-102764，CVSSv4 评分 9.3，无需认证的远程攻击者可在无需用户交互的情况下对设备执行文件操作，26.2.3 及更早版本在未打 BT26-05-RS 补丁时受影响。
为什么值得看：BeyondTrust 确认漏洞披露前已发生两起在野入侵，Mandiant 复盘了从任意文件上传到 root 提权的完整链路。
Security Affairs精选AI 评分7474 SiteGuard Server Edition 的 OS 命令注入漏洞 CVE-2026-106931 已在野利用
EG Secure Solutions 发布紧急通告，警告 SiteGuard Server Edition 存在 OS 命令注入漏洞 CVE-2026-106931，并确认该漏洞已在野被利用，攻击者成功利用后可以 root 或 SYSTEM 权限执行命令。
为什么值得看：厂商已确认该漏洞被利用，并给出受影响版本区间与补丁前先导出诊断信息的处置顺序。
CyberScoop精选AI 评分8888 疑似中国背景的 Armory Castle 组织利用 BeyondTrust 零日漏洞 CVE-2026-102764
Mandiant 与 Google Threat Intelligence Group 披露，疑似中国政府支持的间谍组织 Armory Castle（原 UNC5221）利用 BeyondTrust Remote Support 的零日漏洞 CVE-2026-102764 攻击客户，最早可追溯到 8 月下旬。
为什么值得看：BeyondTrust 与 Mandiant 披露了 CVE-2026-102764 的在野利用时间线，并说明攻击者轮换基础设施使溯源只能依赖行为。
Cybersecurity Dive精选AI 评分8888 疑似中国关联组织利用 BeyondTrust Remote Support 零日漏洞 CVE-2026-102764 开展间谍活动
Google Threat Intelligence Group 报告称，被追踪为 Armory Castle 的疑似中国关联黑客自 8 月底起利用 BeyondTrust Remote Support 的零日漏洞 CVE-2026-102764 开展间谍活动。
为什么值得看：报道披露 BeyondTrust Remote Support 零日漏洞被疑似中国关联组织自 8 月底起用于间谍活动，并给出补丁与 CISA KEV 截止时间。
Infosecurity Magazine精选AI 评分9090 Google 称中国相关组织 Armory Castle 在野利用 BeyondTrust CVE-2026-102764
Google 警告，疑似中国国家支持的组织 Armory Castle 在 2026 年 8 月利用了 BeyondTrust Remote Support 的一个新披露严重漏洞 CVE-2026-102764（CVSS 9.3），在设备上提权并建立持久访问。
为什么值得看：Google 披露 Armory Castle 利用 BeyondTrust 漏洞后的完整后渗透链，包括 SUID 提权与凭据窃取，可供防守方对照排查。