php2shell 是一款静态二进制检测工具，用于排查 PHP 引擎中的 PHP2Shell 远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSS 4.0 均为 9.2），支持 Linux、macOS、Windows 和 FreeBSD。
为什么值得看：工具把版本比对、发行版回溯补丁与残留 worker 三类误判分开处理，可作为披露后自查的参考。
GitHub 安全公告披露 Pillow 在 Windows 构建上存在堆越界读问题 GHSA-9v9v-9qvf-h2hj，EMF/WMF 图像尺寸未经范围检查即传入原生 drawwmf 处理程序，分配按截断为 16 位的头字段计算，拷贝却使用完整 32 位尺寸。
为什么值得看：公告给出可运行的 EMF 构造脚本，并指出 Windows 构建下 16 位截断导致堆越界读的具体代码位置。
Sophos 披露了一个此前未被记录、与中国有关联的攻击组织 Bronze Sandcastle，该组织自 2025 年年中起针对亚洲和非洲的组织发起攻击，受害者分布在菲律宾、台湾、阿富汗、纳米比亚，可能还有韩国。
为什么值得看：Sophos 披露的攻击活动显示，攻击者反复利用 Sandboxie 等合法程序进行 DLL 侧加载，并配合加密配置文件，这种手法可以迁移到检测思路中。
GitHub 安全公告披露，@vitest/mocker 针对 GHSA-82fw-gwwq-j7x9 的路径穿越修复在 Windows 上可被反斜杠绕过：修复代码用 node:path/posix 拼接攻击者可控的 URL pathname 与 Vite root。
为什么值得看：作者用可运行脚本对比正斜杠与反斜杠两种遍历，说明已修复的路径穿越在 Windows 上仍可绕过。
项目 plex2shell-windows-hunt 发布针对 Plex2Shell 的威胁情报与只读排查脚本，涉及 CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 和 CVE-2026-96656，这四个漏洞可链式实现 Plex Media Server 1.43.3.10861 之前版本的免认证 RCE。
为什么值得看：材料给出针对 Plex2Shell 四个漏洞链式利用的只读排查脚本与 IOC 清单，并附退出码含义，便于在 Plex 主机上自查。
OX Security 发布 php2shell-check 检测脚本，用于排查服务器是否受 PHP2Shell 影响，即 PHP 中两个可让攻击者通过单次 Web 请求接管网站的问题 CVE-2026-109618 与 CVE-2026-109619。
为什么值得看：检查脚本把版本、运行状态与攻击痕迹分开报告，并给出对应 PHP 分支的修复版本，便于运维自查。
Adversario 的 3ky（Diego Collao）公开了 PHP2Shell 本地实验仓库，用于对比 CVE-2026-109618 与 CVE-2026-109619 的四个漏洞版本与对应补丁版本。
为什么值得看：作者公开了本地复现工具与八个 PHP 构建的差分矩阵，可对照验证补丁前后的行为差异。
PHP 项目于 2026 年 10 月 21 日发布安全更新，修复 CVE-2026-109618（OOM 处理中的内存破坏）与 CVE-2026-109619（跨请求残留状态的 use-after-free），两者 CVSSv4 均为 9.2，可让攻击者以 Web worker 权限实现免认证 RCE。
为什么值得看：PHP 同时修复两个可导致免认证 RCE 的缺陷，通告给出了受影响版本区间、修复版本与临时缓解配置。
php2shell-scanner 发布，用于检测 PHP 核心 RCE CVE-2026-109618 和 CVE-2026-109619（PHP2Shell，2026-10-21 公布）的暴露情况，提供 url 黑盒扫描、local 本机检查和 ssh 远程主机检查三种模式。
为什么值得看：扫描器把黑盒探测与主机侧会话文件检查合在一起，可用于自查 PHP 部署是否暴露在这两个 RCE 下。
ORBITRON 发布 php2shell 响应工具包，针对 PHP 核心两个远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619，PHP 安全团队对两者均评为 CVSS v4.0 9.2，官方通告计划于 2026-10-21 14:00 UTC 发布。
为什么值得看：在官方通告发布前，这套只读清点脚本与行为检测规则可帮运维先摸清 PHP 暴露面并布控。
卡巴斯基将针对韩国机构的攻击行动命名为 FlashHole，并归因于 Lazarus Group；该行动自 2025 年 7 月开始，通过钓鱼页面和特制 GitHub 页面投递恶意载荷。
为什么值得看：卡巴斯基复盘 Lazarus 的 FlashHole 行动，其用 ML-KEM 后量子加密保护载荷下发这一手法在恶意软件投递中较为少见。
Qualys 威胁研究团队逆向分析 Windows Defender 本地提权链 BlueHammer（CVE-2026-33825），受影响的是 4.18.26030.3011 之前的 Defender Antimalware Platform 版本，修复边界为 4.18.26030.3011。
为什么值得看：文章把一条八阶段提权链拆到每个系统调用与竞态窗口，并说明版本受影响不等于主机可利用，对做利用分析和检测的人有参考价值。
OpenCode 的 AI 编码代理存在缺陷，恶意或被劫持的 MCP 服务器可在开发者登录时于 Windows 或 WSL 机器上执行代码，且以开发者自身权限运行。OpenCode 背后的公司 Anomaly 已在 9 月发布的 1.18.33 版本中修复该问题。
为什么值得看：OpenCode 在登录阶段信任 MCP 服务器返回内容，使用该 AI 编码代理的开发者可据此判断是否需要升级。
西门子警告攻击者正在利用其 Software Center 的 DLL 侧加载漏洞 CVE-2026-110936（CVSS 8.4）投放恶意软件，并将该活动归因于 Romulus 多平台 ClickFix 活动。
为什么值得看：西门子确认 Software Center 的 DLL 侧加载漏洞正被 Romulus 的 ClickFix 活动利用，文中给出的主机侧排查项可直接用于自查。
GitHub 仓库 fevar54/CVE-2026-68820-Mitigation-PoC 公开了 Windows afd.sys 驱动 UAF 漏洞 CVE-2026-68820 的缓解与检测演示代码，低权限本地攻击者可借此提权至 SYSTEM。
为什么值得看：仓库同时给出缓解思路、Sigma 与 YARA 检测规则和 IOC，可对照 Lazarus 利用该 UAF 提权的活动做排查。
EG Secure Solutions 发布紧急通告，警告 SiteGuard Server Edition 存在 OS 命令注入漏洞 CVE-2026-106931，并确认该漏洞已在野被利用，攻击者成功利用后可以 root 或 SYSTEM 权限执行命令。
为什么值得看：厂商已确认该漏洞被利用，并给出受影响版本区间与补丁前先导出诊断信息的处置顺序。
watchTowr Labs 公开 PaperCut NG 26.0.4-PO build 76508 上的免认证 RCE 链，由认证绕过 WT-2026-0143 与 Post-Auth RCE CVE-2026-82077 组合而成。
为什么值得看：梳理 PaperCut 多轮补丁被连续绕过的过程，并给出免认证 RCE 链的完整构造与检测思路。
Kaspersky GERT 披露 2026 年 4 月中东一家制造企业的应急事件，攻击者用有效域凭据经 FortiGate SSL VPN 进入后，在域根创建并链接名为 PAYLOAD 的恶意 GPO，下发勒索说明、替换壁纸与锁屏、强制登录横幅并禁用本地 administrator 账户，Windows 端点未发现文件加密、驻留恶意程序或持久化。
为什么值得看：事件复盘展示了仅靠 GPO 下发勒索壁纸与禁用管理员账户、不落地任何恶意文件的攻击路径，并给出目录服务审计与 SYSVOL 监控的检测要点。
Kaspersky 披露 Mirage Kitten 的新恶意软件 NodeRabbit 与 PollCat，两者均为跨平台 RAT，分别用 Node.js 和混淆 JavaScript 编写，通过 LinkedIn 等招聘平台冒充招聘方发送含木马的编码挑战压缩包投递。
为什么值得看：披露 Mirage Kitten 首次改用 Node.js 与 JavaScript 后门，并给出完整感染链与 C2 通信细节，可供防御方比对招聘诱饵与开发环境持久化痕迹。
Kaspersky 分析一个 MD5 为 c24e99f9437feacaa63766a3cde3fe3d 的样本，发现其广告功能并不生效，而是通过篡改的 QN Wallpaper 以 libcef.dll 侧加载投递 ValleyRAT 后门。
为什么值得看：分析还原了广告软件签名进程被用于 DLL 侧加载投递 ValleyRAT 的完整链路，并给出 2026 年感染规模与 IOC。