Shellproof 开源工具检测 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619
Shellproof 发布开源 PHP 安全扫描工具，用于排查 PHP2Shell 两个漏洞 CVE-2026-109618 与 CVE-2026-109619。
为什么值得看：开源防御工具把 PHP2Shell 两个漏洞的检测、版本判定与修复步骤做成可离线运行的扫描器，便于管理员自查。
情报形态
在野利用 最新动态
已经被真实攻击使用的漏洞：厂商确认、KEV 收录或大规模扫描活动的记录。
30 条精选近 30 天 29 条共收录 57 条
更新
在野利用的精选
Sploitus 利用聚合精选AI 评分8888 The Hacker News精选AI 评分8888 CISA 将 Plex2Shell、Siemens 与 SiteGuard 漏洞列入 KEV，要求联邦机构限期修复
CISA 于周二将四个漏洞加入 KEV 目录，其中四个 Plex Media Server 漏洞被合称 Plex2Shell。
为什么值得看：CISA 将 Plex2Shell 等四个漏洞列入 KEV，并给出联邦机构的修复期限，可据此判断哪些漏洞已被实际利用。
The Hacker News精选AI 评分9292 PHP 发布应急补丁修复两个 PHP2Shell RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619，已出现利用尝试
PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35 应急更新，修复 PHP 运行时中两个 CVSS v4.0 评分 9.2 的免认证 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619，影响可回溯至 PHP 5.4 的几乎所有版本。
为什么值得看：PHP 运行时两个 9.2 分漏洞的应急补丁与版本对照表，附 watchTowr 与 Cloudflare 观察到的利用尝试和临时缓解措施。
SecurityWeek精选AI 评分9090 多家厂商与机构回应 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619
多家科技厂商、安全公司与政府机构针对 PHP2Shell 两个漏洞 CVE-2026-109618 和 CVE-2026-109619 发布通告、检测规则与缓解措施，这两个漏洞可让无需认证的攻击者远程执行代码。
为什么值得看：多家厂商与机构披露 PHP2Shell 两个漏洞的检测与缓解进展，并记录了补丁发布前后出现的实际攻击尝试。
The Hacker News精选AI 评分9393 Amazon 称 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619 在公开披露前 4 天已被尝试利用
Amazon 威胁情报团队称，2026 年 10 月 17 日在 MadPot 蜜罐上检测到针对 PHP2Shell 漏洞的利用尝试，来源 IP 为 103.216.220[.]92，归属澳大利亚，来自商业匿名化网络。
为什么值得看：披露前四天蜜罐已遭匿名 IP 探测，补丁发布后数小时内出现多来源利用尝试，可观察补丁到利用的窗口压缩。
BleepingComputer精选AI 评分8888 CISA 警告 Plex2Shell 攻击链已在野利用，可获取 Plex Media Server 管理员令牌并执行代码
CISA 警告攻击者正在积极利用 Plex Media Server 的四个漏洞，合称 Plex2Shell，串联利用后可获取所有者 admin token 并以提升权限执行代码，联邦机构须在 10 月 23 日前完成修补或缓解。
为什么值得看：CISA 将 Plex2Shell 四个漏洞列入在野利用并给出联邦修复期限，同时把 Siemens 与 SiteGuard 的漏洞一并加入 KEV。
SANS ISC 日记精选AI 评分9090 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4
SANS ISC 将 infoCon 调至 YELLOW，原因是 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 影响面广、CVSS 9.4，且补丁发布前已有早期 PoC 利用。
为什么值得看：PHP 核心漏洞影响所有默认安装，补丁发布前已有 PoC 与 Cloudflare 观测到的利用，站点可先关闭 session.upload_progress.enabled 缓解。
Patchstack WordPress 漏洞库精选AI 评分9595 PHP 修复 CVE-2026-109618 与 CVE-2026-109619 免认证 RCE 漏洞，已出现利用
PHP 发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复可导致免认证远程代码执行的 CVE-2026-109618 与 CVE-2026-109619，PHP 安全团队将两者评为 Critical（CVSS v4.0 9.2）。
为什么值得看：材料给出两个 PHP 解释器漏洞的修复版本、在野利用时间线与临时缓解措施，可据此排查受影响部署。
Infosecurity Magazine精选AI 评分7878 西门子警告 Software Center DLL 侧加载漏洞 CVE-2026-110936 正被 ClickFix 攻击利用
西门子警告攻击者正在利用其 Software Center 的 DLL 侧加载漏洞 CVE-2026-110936（CVSS 8.4）投放恶意软件，并将该活动归因于 Romulus 多平台 ClickFix 活动。
为什么值得看：西门子确认 Software Center 的 DLL 侧加载漏洞正被 Romulus 的 ClickFix 活动利用，文中给出的主机侧排查项可直接用于自查。
Sploitus 利用聚合精选AI 评分7575 SAP NetWeaver CVE-2025-31324 免认证 RCE 的在野利用复盘
CVE-2025-31324 影响 SAP NetWeaver (Java) 的 Visual Composer Metadata Uploader，因缺少授权校验，无需认证即可向 /developmentserver/metadatauploader 上传可执行文件并执行命令，SAP 给出的 CVSS 为 10.0。
为什么值得看：材料把 CVE-2025-31324 的利用时间线、CISA KEV 状态与事后排查要点串在一起，可作复盘参考。
Sploitus 利用聚合精选AI 评分8888 Plex2Shell 检测脚本发布，覆盖 Plex Media Server 1.43.3.10861 之前的免认证 RCE 链
研究者发布只读检测脚本 plex2shell-check，用于排查 Plex Media Server 1.43.3.10861 之前的免认证 RCE 链 Plex2Shell（CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656），该链自 2026-10-17 起被用于投放 XMRig 挖矿程序和住宅代理工具。
为什么值得看：脚本把 Plex2Shell 的版本、日志痕迹、进程与网络 IOC 检查串成一次只读扫描，并给出发现后的处置顺序。
Palo Alto Unit 42精选AI 评分8888 Unit 42 称 Spikey Scorpius 与 Tarnished Scorpius 正利用 PAN-OS CVE-2026-0257
Unit 42 发布威胁简报，称包括 Spikey Scorpius（又名 Qilin）和 Tarnished Scorpius（又名 Inc）在内的勒索软件运营者正在利用 PAN-OS 漏洞 CVE-2026-0257。该简报于 10 月 20 日更新。
为什么值得看：Unit 42 指出勒索软件团伙正在利用 PAN-OS 的 CVE-2026-0257，可据此判断该漏洞已进入实际攻击阶段。
Ars Technica 安全精选AI 评分8383 Plex Media Server 已修复漏洞遭在野利用，攻击者串联四个漏洞实现 RCE 并植入恶意软件
研究人员称，Plex Media Server 上月修复的漏洞正被在野利用，攻击成功后会在设备上安装恶意软件，包括挖矿程序和住宅代理软件。Plex 上月修复了四个漏洞，三周后公布的 CVE 编号显示共有五个漏洞，其中一个严重性评分为 8.6。
为什么值得看：Plex Media Server 上月修复的漏洞已被串成利用链用于实际攻击，投递的是挖矿程序和住宅代理软件。
Rapid7 研究与公告精选AI 评分9393 Rapid7 复盘 NetScaler 入侵：串联 CVE-2026-88771 与 CVE-2026-88779 实现 root 执行
Rapid7 披露一起 Citrix NetScaler ADC 设备被入侵事件，攻击者串联 CVE-2026-88771（免认证日志投毒/RCE）与 CVE-2026-88779（SAML 解析崩溃）取得 root 代码执行。
为什么值得看：复盘把两个漏洞的串联顺序、重启后重复执行与 HA 持久化讲清楚，并给出可落地的排查路径。
Check Point Research精选AI 评分6868 Check Point 威胁情报周报：ConnectWise Cloud Backup 凭证泄露波及至少 173 家机构
Check Point 发布 10 月 19 日当周威胁情报周报，其中 ConnectWise Cloud Backup 遭凭证泄露，攻击者用被泄露的应用凭证登录至少 173 家机构，可能访问邮件、文件和 Teams 信息，随后访问被暂停。
为什么值得看：周报把多起泄露与攻击事件并列，其中 ConnectWise Cloud Backup 凭证被滥用波及至少 173 家机构，可作第三方备份服务风险的参照。
Rapid7 研究与公告精选AI 评分9595 BeyondTrust Remote Support 认证绕过漏洞 CVE-2026-102764 已在野利用
BeyondTrust 披露 Remote Support 认证绕过漏洞 CVE-2026-102764，CVSSv4 评分 9.3，无需认证的远程攻击者可在无需用户交互的情况下对设备执行文件操作，26.2.3 及更早版本在未打 BT26-05-RS 补丁时受影响。
为什么值得看：BeyondTrust 确认漏洞披露前已发生两起在野入侵，Mandiant 复盘了从任意文件上传到 root 提权的完整链路。
Security Affairs精选AI 评分7474 SiteGuard Server Edition 的 OS 命令注入漏洞 CVE-2026-106931 已在野利用
EG Secure Solutions 发布紧急通告，警告 SiteGuard Server Edition 存在 OS 命令注入漏洞 CVE-2026-106931，并确认该漏洞已在野被利用，攻击者成功利用后可以 root 或 SYSTEM 权限执行命令。
为什么值得看：厂商已确认该漏洞被利用，并给出受影响版本区间与补丁前先导出诊断信息的处置顺序。
CyberScoop精选AI 评分8888 疑似中国背景的 Armory Castle 组织利用 BeyondTrust 零日漏洞 CVE-2026-102764
Mandiant 与 Google Threat Intelligence Group 披露，疑似中国政府支持的间谍组织 Armory Castle（原 UNC5221）利用 BeyondTrust Remote Support 的零日漏洞 CVE-2026-102764 攻击客户，最早可追溯到 8 月下旬。
为什么值得看：BeyondTrust 与 Mandiant 披露了 CVE-2026-102764 的在野利用时间线，并说明攻击者轮换基础设施使溯源只能依赖行为。
Cybersecurity Dive精选AI 评分8888 疑似中国关联组织利用 BeyondTrust Remote Support 零日漏洞 CVE-2026-102764 开展间谍活动
Google Threat Intelligence Group 报告称，被追踪为 Armory Castle 的疑似中国关联黑客自 8 月底起利用 BeyondTrust Remote Support 的零日漏洞 CVE-2026-102764 开展间谍活动。
为什么值得看：报道披露 BeyondTrust Remote Support 零日漏洞被疑似中国关联组织自 8 月底起用于间谍活动，并给出补丁与 CISA KEV 截止时间。
Infosecurity Magazine精选AI 评分9090 Google 称中国相关组织 Armory Castle 在野利用 BeyondTrust CVE-2026-102764
Google 警告，疑似中国国家支持的组织 Armory Castle 在 2026 年 8 月利用了 BeyondTrust Remote Support 的一个新披露严重漏洞 CVE-2026-102764（CVSS 9.3），在设备上提权并建立持久访问。
为什么值得看：Google 披露 Armory Castle 利用 BeyondTrust 漏洞后的完整后渗透链，包括 SUID 提权与凭据窃取，可供防守方对照排查。