Node.js 22.x/24.x/26.x 修复 Brotli 解码器越界写 CVE-2026-111497 等 10 个漏洞
Node.js 于 10 月 21 日为 22.x、24.x、26.x 三条支持线发布安全更新，修复 10 个漏洞，其中 Brotli 解码器越界写 CVE-2026-111497 被项目描述为可导致远程代码执行，评级为 high。
为什么值得看：通告列出 10 个修复项与各版本对应关系，并交代 Brotli 漏洞的公开 PoC 仅在削弱构建上达成代码执行。
情报形态
漏洞通告 最新动态
厂商、CERT 与 CNA 发布的一手漏洞通告：影响版本、严重程度与处置建议。
76 条精选近 30 天 66 条共收录 333 条
更新
精选归档 · 第 2 页
The Hacker News精选AI 评分6363 CSO Online精选AI 评分9090 PHP 修复两个可致免认证 RCE 的严重漏洞 CVE-2026-109618 与 CVE-2026-109619
PHP Foundation 发布补丁，修复 CVE-2026-109618 与 CVE-2026-109619 两个 CVSS 9.2 的漏洞，二者均可导致免认证 RCE，分别源于内存耗尽处理（OOM）中的内存破坏和同一 worker 上后续请求复用陈旧请求全局状态。
为什么值得看：PHP 核心内存管理与错误处理中的两个 9.2 分漏洞影响面覆盖默认配置，通告给出了明确的修复版本与受影响部署形态。
Fortinet PSIRT 公告精选AI 评分5858 Fortinet 通告 PHP 核心 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 的产品影响排查
Fortinet 发布 PSIRT 通告，说明 PHP 在内存不足（OOM）时使用 longjmp() 退出当前上下文，部分上下文未正确处理该场景，导致请求内存在分配前处于未初始化状态，后续清理过程可能读取或依据该内存分支，多种 OOM 策略可稳定触发并导致远程代码执行（RCE）。
为什么值得看：Fortinet 通告说明 PHP 的 OOM 处理缺陷可致 RCE，并列出仍在排查与确认不受影响的自家产品清单。
GitHub 安全公告库 (GHSA)精选AI 评分5858 Vitest 5 开发服务器未正确应用 server.fs.deny，可读取 .env、私钥与 API token 文件
GitHub 安全公告指出，Vitest 5 在启用 UI（--ui）、Browser Mode 或 api 时，Vite 的 server.fs.deny 未被按预期应用，能访问该服务器的客户端可通过明文 HTTP 读取 .env、私钥与证书、.npmrc、.git 以及 Vitest 的 API token 文件 .vitest-secret-token。
为什么值得看：通告说明了哪些 Vitest 启动方式会暴露文件、哪些不受影响，并给出显式配置 server.fs.deny 的规避写法。
GitHub 安全公告库 (GHSA)精选AI 评分6262 Pillow 的 XbmImagePlugin 存在 ReDoS，512 字节文件可让 Image.open() 卡住数分钟
GitHub 安全公告库披露 Pillow 的 XbmImagePlugin 存在 ReDoS：构造的 512 字节文件会让 Image.open() 在单核上消耗约 375 秒 CPU 后才抛出 UnidentifiedImageError。
为什么值得看：公告给出了触发条件、耗时实测与正则修复补丁，使用 Pillow 处理用户上传图片的服务可据此判断暴露面。
GitHub 安全公告库 (GHSA)精选AI 评分5858 Pillow 修复内存中编码 TIFF 时的堆 use-after-free 漏洞
GitHub 安全公告披露 Pillow 在将图像编码为内存中的 TIFF 时存在堆 use-after-free：libtiff 在编码阶段拒绝某个 tag 导致 TIFFWriteScanline 失败后，编码器释放了输出缓冲区却未关闭 TIFF 句柄，随后清理阶段 TIFFClose 刷新数据写回已释放内存。
为什么值得看：公告给出可运行的 Python 复现脚本与 ASan 调用栈，便于维护者确认内存释放路径并判断自身服务是否受影响。
GitHub 安全公告库 (GHSA)精选AI 评分5858 Storybook 预览缺少来源校验可被恶意网站注入代码，官方发布 8.6.19 等修复版本
Storybook 发布安全通告，指出运行受影响版本的 Storybook 开发服务器时，恶意网站可能对开发者项目造成未授权文件修改，在附加条件下被修改的文件可能以开发者权限被本地运行时执行；官方称未发现已在野利用。
为什么值得看：通告给出四个受影响大版本的修复版本，并说明默认行为变更，开发者可据此判断升级与工作流调整。
GitHub 安全公告库 (GHSA)精选AI 评分5858 Moov signedxml 修复 ExclusiveCanonicalization 免认证拒绝服务问题
GitHub 安全公告指出，github.com/moov-io/signedxml 的 ExclusiveCanonicalization 在 ValidateReferences() 中于任何摘要或签名校验前复制整个累积命名空间映射。
为什么值得看：通告说明了免认证 DoS 的成因与受影响版本，并给出修复思路和修复前后的内存占用对比数据。
Rapid7 研究与公告精选AI 评分9090 PHP 修复 CVE-2026-109618 与 CVE-2026-109619 两个可致免认证 RCE 的漏洞
PHP 项目于 2026 年 10 月 21 日发布安全更新，修复 CVE-2026-109618（OOM 处理中的内存破坏）与 CVE-2026-109619（跨请求残留状态的 use-after-free），两者 CVSSv4 均为 9.2，可让攻击者以 Web worker 权限实现免认证 RCE。
为什么值得看：PHP 同时修复两个可导致免认证 RCE 的缺陷，通告给出了受影响版本区间、修复版本与临时缓解配置。
Ubuntu 安全公告 (USN)精选AI 评分5858 Ubuntu 发布 USN-8948-2，为 14.04 至 20.04 LTS 的 PHP 补齐 CVE-2026-109618 与 CVE-2026-109619 修复
Ubuntu 发布 USN-8948-2，将 USN-8948-1 中针对 Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS 和 26.10 的 PHP 修复扩展到 Ubuntu 14.04 LTS、16.04 LTS、18.04 LTS 和 20.04 LTS。
为什么值得看：公告把此前只覆盖新版本的安全更新扩展到 14.04 至 20.04 LTS，仍在使用旧版 PHP 的运维可据此核对补丁版本。
Hackread精选AI 评分8888 PHP 发布 PHP2Shell 紧急修复，修复 CVE-2026-109618 与 CVE-2026-109619 免认证代码执行漏洞
PHP 开发者于 2026 年 10 月 21 日发布紧急安全更新，修复两个可让攻击者在未登录情况下在 Web 服务器上执行代码的漏洞 CVE-2026-109618 和 CVE-2026-109619，两者在 CVSS v4.0 下均为 9.2。
为什么值得看：通告列出各 PHP 分支的修复版本与临时缓解措施，运维可据此确认部署是否受影响并安排升级。
Ubuntu 安全公告 (USN)精选AI 评分5858 Ubuntu 修复 PHP 的 CVE-2026-109618 与 CVE-2026-109619 并发布 USN-8948-1
Ubuntu 发布 USN-8948-1，指出 PHP 存在两个可被远程攻击者利用执行任意代码的问题，涉及 CVE-2026-109618 与 CVE-2026-109619。
为什么值得看：通告列出两个可致远程代码执行的 PHP 问题及 Ubuntu 各发行版的具体修复包版本，便于对照升级。
Tenable 安全博客精选AI 评分8888 PHP 两个严重 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已现早期攻击
PHP 安全团队将于 2026 年 10 月 21 日 14:00 UTC 紧急发布补丁，修复 CVE-2026-109618 与 CVE-2026-109619 两个严重漏洞，二者均被评为 CVSSv4.0 9.2，公开报道称均为远程代码执行。
为什么值得看：汇总了补丁发布前各方的版本推测、暴露面估算与 Cloudflare 的临时 WAF 规则，便于在官方通告前先评估自身风险。
Red Hat CVE 数据库精选AI 评分6767 Red Hat 通告 Cruise Control 认证绕过漏洞 CVE-2026-105949，可未认证访问全部管理端点
Red Hat 发布 CVE-2026-105949 通告，指出 Streams for Apache Kafka 的 Cruise Control 存在认证绕过问题，攻击者通过附加多余路径段即可绕过认证，未认证访问所有管理端点。通告未说明该漏洞是否已被利用。
为什么值得看：Red Hat 通告点明 Cruise Control 因多余路径段绕过认证，部署 Kafka 管理面的人可据此核对影响范围。
CSO Online精选AI 评分8282 Linux 内核网络栈漏洞 CVE-2026-99999 可实现 KVM 逃逸
研究人员在 Linux 内核网络栈中发现 CVE-2026-99999（代号 PwnEscape），攻击者可通过精心构造的数据包在主机内核校验 IPv4 头之后改写其长度字段，从而造成主机内存泄露，并在研究人员控制的系统上实现主机崩溃和 root 级代码执行。
为什么值得看：文章拆解了校验和卸载环节中客户机可控元数据改写 IPv4 头的路径，并说明补丁只在五个校验和完成点加了校验。
GitHub 安全公告库 (GHSA)精选AI 评分5858 Angular HttpClient 修复不完整导致 XSRF Token 经 URL 解析差异外泄（CVE-2025-66035 后续）
GitHub 安全公告指出，@angular/common 的 HttpClient 对 CVE-2025-66035 的修复不完整，xsrfInterceptorFn 使用的正则 /^(?
为什么值得看：公告说明了正则与 WHATWG URL 解析差异导致 XSRF token 外泄的条件，并给出 20.3.34 与 21.0.3 的修复版本。
GitHub 安全公告库 (GHSA)精选AI 评分6262 Pillow 的 TiffDecode.c 存在堆越界读，公开复现脚本与修复补丁
Pillow 在解码畸形压缩 TIFF 时，src/libImaging/TiffDecode.c 的 _decodeTile() 与 _decodeAsRGBA() 会读取堆缓冲区之外的数据并写入返回图像的像素，攻击者可借此拿到进程堆内存片段，包括指针值，稍大的文件则会让进程崩溃。
为什么值得看：材料给出可运行的复现脚本与补丁，说明 Pillow 与 libtiff 对畸形 TIFF 标签解析不一致如何导致堆越界读。
GitHub 安全公告库 (GHSA)精选AI 评分6262 Pillow 修复 TiffDecode 短 JPEG strip 返回未初始化内存问题
GitHub 安全公告库发布 GHSA-q45j-58j2-45rg，指出 Pillow 的 src/libImaging/TiffDecode.c 中 _decodeStrip() 与 _decodeTile() 将缓冲区 realloc() 后未初始化。
为什么值得看：公告给出了触发条件与受影响版本起点，并附上 memset 修复补丁，便于使用 Pillow 处理用户上传图片的服务判断暴露面。
GitHub 安全公告库 (GHSA)精选AI 评分5858 A2A Java SDK 因服务端可控请求头名与重定向导致 API key 泄露
GitHub 安全公告指出 A2A Java SDK 的 AuthInterceptor 直接使用远端 agent AgentCard 中 APIKeySecurityScheme 的 name 字段作为 HTTP 请求头名，且未校验 location 是否为 HEADER。
为什么值得看：公告说明了恶意 agent 如何借自定义请求头与重定向把客户端 API key 转发到第三方，并给出白名单校验与禁用自动重定向两类修复方向。
GitHub 安全公告库 (GHSA)精选AI 评分5858 A2A Java SDK 默认任务授权失效漏洞 GHSA-qw47-mcm5-934w 影响 1.2.0.Final 及更早版本
GitHub 安全公告披露 A2A Java SDK 的 Maven 包 org.a2aproject.sdk:a2a-java-sdk-server-common 存在默认任务授权失效问题。
为什么值得看：公告说明默认配置下任务读取不做授权，并给出 PoC 与修复方向，使用该 SDK 的团队可据此判断部署是否受影响。