PHP2Shell 披露失序复盘：Chainguard 提前发布修复镜像，CVE-2026-109618 与 CVE-2026-109619 在通告前已遭利用
PHP 中两个可导致 RCE 的严重漏洞 CVE-2026-109618 和 CVE-2026-109619（合称 PHP2Shell，评分 9.2）在协调披露过程中提前失控。
为什么值得看：复盘 PHP2Shell 协调披露提前破裂的经过，并给出补丁即秘密、按披露前已被利用来预案的防守思路。
#攻击事件
CSO Online精选AI 评分8080 Tenable 安全博客精选AI 评分8080 犯罪论坛如何应对 PHP2Shell 两个 PHP RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
Tenable 分析指出，2026 年 10 月 20 日公开披露的 PHP 免认证 RCE 漏洞 CVE-2026-109618（OOM Corruption）与 CVE-2026-109619（Stale Global State。
为什么值得看：从犯罪论坛紧急下线与迁移的侧面反应，观察 PHP2Shell 两个 RCE 漏洞在披露前后被武器化的节奏。
BleepingComputer精选AI 评分5858 Capcom 确认 CAPCOM ID 遭入侵，1170 万个账号邮箱等信息泄露
Capcom 确认其会员服务 CAPCOM ID 遭黑客入侵，超过 1170 万个账号的邮箱地址及相关信息被泄露。泄露数据还包括账号创建日期、最后登录时间、登录次数和最后登录所用 IP 地址；43 个账号的出生日期、性别、昵称和国家也被暴露，另有 196 个账号的登录密码被攻击者修改，公司已重置。
为什么值得看：事件披露了 CAPCOM ID 被入侵的账号规模与暴露字段范围，可对照自身账号体系的日志留存与通知流程。
Palo Alto Unit 42精选AI 评分7171 eMudhra 八张中间 CA 证书私钥因随机性缺陷泄露
印度 CA 机构 eMudhra Limited 的八张中间证书颁发机构私钥在证书生成过程中因关键密码学缺陷而泄露，私钥随机性不足，第三方可从公开证书推导出私钥。攻击者可借此签发未授权的公共 TLS 证书，对目标域名实施中间人流量拦截、冒充或会话劫持。eMudhra 已吊销这八张证书，主流浏览器与操作系统厂商已着手吊销或不信任这些中间 CA。
为什么值得看：八张中间 CA 私钥因随机性不足可被从公钥推导，浏览器与操作系统厂商已着手吊销或不信任。
The Hacker News精选AI 评分5858 State Bank of India 确认数据泄露，暗网约 37.5 万条记录中识别出 3,897 条客户记录
State Bank of India 在 10 月 21 日的交易所公告中确认发生数据丢失事件，从暗网约 375,000 条记录中识别出 3,897 条含个人信息的客户记录，但尚不清楚数据来源，也尚未确认数据是否真实。
为什么值得看：银行在交易所公告中承认数据丢失，但样本核验只覆盖 4 条记录，来源与是否被入侵仍无定论。
The Hacker News精选AI 评分7878 TeamUpdraft 网站被入侵，UpdraftCentral 连接密钥被用于向 WordPress 站点植入后门
TeamUpdraft 披露其 teamupdraft.com 网站在 10 月 17-18 日周末遭未授权访问，客户数据库中的 UpdraftCentral、UpdraftVault 和 UpdraftClone 连接密钥可能被窃取，攻击者借此向 WordPress 站点植入后门插件。
为什么值得看：事件说明 UpdraftCentral 连接密钥泄露后如何被用来向 WordPress 站点下发后门插件，并给出可自查的 IOC 与处置步骤。
The Hacker News精选AI 评分7878 攻击者劫持 300 多个 Tor 出口中继，将 SSH 连接重定向至拦截服务器窃取密码
研究人员 kaba 发现，10 月初有攻击者控制 300 多个 Tor 出口中继，把经 Tor 发起的 SSH 连接重定向到 12 台拦截服务器，窃取用户输入的登录密码。
为什么值得看：复盘披露攻击者借 Ebury 后门控制 300 多个 Tor 出口中继，把 SSH 连接引向拦截服务器窃取密码，并给出可操作的排查线索。
The Hacker News精选AI 评分5858 与中国有关联的 Bronze Sandcastle 利用 Sandboxie DLL 侧加载部署后门
Sophos 披露了一个此前未被记录、与中国有关联的攻击组织 Bronze Sandcastle，该组织自 2025 年年中起针对亚洲和非洲的组织发起攻击，受害者分布在菲律宾、台湾、阿富汗、纳米比亚，可能还有韩国。
为什么值得看：Sophos 披露的攻击活动显示，攻击者反复利用 Sandboxie 等合法程序进行 DLL 侧加载，并配合加密配置文件，这种手法可以迁移到检测思路中。
The Record精选AI 评分7676 eMudhra 因中间证书私钥过弱事件退出全球 SSL/TLS 证书业务
印度 CA 机构 eMudhra 宣布自愿退出全球 SSL/TLS 证书业务，此前其 8 张中间证书的私钥被发现在 2025 年 4 月的签发仪式中生成得过弱，Firefox、Apple 和 Chrome 已封禁这些证书。
为什么值得看：事件暴露证书信任链的软件供应链长尾问题，旧容器与嵌入式设备可能长期继续信任已吊销的中间证书。
CSO Online精选AI 评分8282 LiteLLM 发布流程被劫持，PyPI 与 Docker 镜像分发窃取凭证的恶意软件
LiteLLM 的软件发布流程被劫持，攻击者于 10 月 21 日通过 PyPI 和官方 Docker 镜像分发 1.107.0 版本，恶意 Python 包约两小时后被移除，latest、main-latest、main-stable 标签的镜像当天稍晚被撤下或替换。
为什么值得看：LiteLLM 今年第二次发布链被劫持，恶意包与镜像在 PyPI 和 Docker 上短暂流通，暴露了签名流程与凭证保护的缺口。
BleepingComputer精选AI 评分6868 Railway 检测到环境变量存储系统异常活动，警告用户轮换密钥
Railway 在检测到存储客户环境变量的系统出现可疑活动后发布紧急警告，称调查显示未授权第三方可能访问了加密环境变量，并对其中的部分变量取得了明文内容。
为什么值得看：云托管平台环境变量存储系统遭未授权访问，波及面与凭据轮换范围是开发者最需要确认的部分。
Security Affairs精选AI 评分8989 AWS 称 PHP2Shell 攻击在 CVE-2026-109618 与 CVE-2026-109619 公开前四天已开始
Amazon Threat Intelligence 在 MadPot 蜜罐遥测中发现，针对 PHP 两个关键漏洞 CVE-2026-109618 与 CVE-2026-109619 的 PHP2Shell 利用尝试始于 2026 年 10 月 17 日，比漏洞公开披露早四天，来源 IP 关联商业匿名化网络。
为什么值得看：AWS 蜜罐遥测显示 PHP2Shell 利用尝试早于漏洞公开四天，为事件回溯起点提供了不同寻常的参照。
The Hacker News精选AI 评分8383 微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击
微软披露，中国国家关联组织 Storm-0940 是近期 ConnectWise Cloud Backup 供应链入侵的实施者，其在攻击中用 Go 编写的代理式 AI 渗透测试框架 ARTEX 加速扫描侦察、密码喷洒和 OAuth 应用滥用。
为什么值得看：微软披露 Storm-0940 借 ConnectWise Cloud Backup 供应链入侵，用 AI 代理把跨租户密码喷洒推到每分钟 2900 次。
BleepingComputer精选AI 评分7373 日本 Onamae Desktop Cloud 遭入侵，最多 26,739 台客户服务器受影响
GMO Internet 旗下 Onamae.com 确认 Onamae Desktop Cloud 遭第三方未授权访问，部分客户服务器环境被植入恶意程序，受影响服务器最多达 26,739 台。
为什么值得看：事件披露了入侵确认、服务器关停与恢复时间未定等处置细节，可了解云服务商在客户环境被植入恶意程序后的应对方式。
BleepingComputer精选AI 评分7575 CISA 与 FBI 联合通告：SafePay 勒索软件已入侵 600 多家关键基础设施机构
CISA 与 FBI、USSS 及德国、英国执法机构联合发布通告，称 SafePay 勒索团伙自 2024 年 8 月以来已入侵至少 600 家关键基础设施机构，涉及北美、南美、欧洲和澳大利亚。
为什么值得看：联合通告给出 SafePay 的初始访问渠道与备份破坏手法，并附 IOC 与 TTP，可用于对照自查。
BleepingComputer精选AI 评分5858 Lazarus 在 FlashHole 行动中用后量子加密保护恶意载荷投递
卡巴斯基将针对韩国机构的攻击行动命名为 FlashHole，并归因于 Lazarus Group；该行动自 2025 年 7 月开始，通过钓鱼页面和特制 GitHub 页面投递恶意载荷。
为什么值得看：卡巴斯基复盘 Lazarus 的 FlashHole 行动，其用 ML-KEM 后量子加密保护载荷下发这一手法在恶意软件投递中较为少见。
The Hacker News精选AI 评分8888 eMudhra 八个中间 CA 私钥被攻破，浏览器与软件紧急吊销
Mozilla 与 Chrome Root Program 于 10 月 20 日确认 eMudhra 八个中间 CA 证书的私钥已被攻破，Chrome 与 Firefox 在收到报告后数小时内封锁了这八张证书。
为什么值得看：八个中间 CA 私钥因密钥仪式缺陷可被公开推算，事件串起浏览器、Go、Linux 发行版与证书信任链的连锁处置。
Cisco Talos 情报博客精选AI 评分7878 eMudhra 八个中间证书私钥强度不足被泄露，Go 以 CVE-2026-111943 修复
Cisco Talos 披露 eMudhra 八个中间 CA 证书的私钥仅具 3–8 位熵，持有者可冒充任意网站或服务；Chrome、Mozilla、Apple 已封禁其中六个 TLS 证书，Microsoft 封禁两个代码签名证书。
为什么值得看：eMudhra 八个中间证书私钥因密钥生成缺陷可被还原，浏览器与微软已封禁，但 VPN 和嵌入式设备的独立信任库仍可能受影响。
Mozilla 安全博客 (MFSA)精选AI 评分7878 eMudhra 八个中间证书私钥泄露，Mozilla 通过 OneCRL 吊销并发布 Firefox 158.0.1
Mozilla 于 10 月 17 日 20:06 UTC 收到报告，称 8 张 eMudhra 中间证书的私钥已泄露，攻击者可借此为不受控网站签发伪造 HTTPS 证书，在拦截用户连接时冒充网站并读取或修改流量。
为什么值得看：Mozilla 披露 eMudhra 八个中间证书私钥泄露后的处置过程，从收到报告到 OneCRL 全量下发不到 3 小时，可作为证书吊销响应流程的参考。
Hackread精选AI 评分8888 Qilin 与 INC 利用 PAN-OS GlobalProtect 漏洞 CVE-2026-0257 发起勒索攻击
Unit 42 在 10 月 19 日和 20 日发布的更新中指出，Qilin（Spikey Scorpius）与 INC（Tarnished Scorpius）等勒索软件运营者正在利用 PAN-OS 认证绕过漏洞 CVE-2026-0257 获取 VPN 访问权限，该漏洞影响 GlobalProtect 门户与网关，可绕过包括 MFA 在内的认证控制。
为什么值得看：Unit 42 复盘了 Qilin 与 INC 利用 GlobalProtect 认证绕过进入 VPN 后，从 vCenter 虚拟磁盘离线提取域凭据的路径。