漏洞周报 · 2026 年第 43 周 · 10.19 — 10.25
VULNHOT
本周勒索团伙扩大利用 Palo Alto Networks GlobalProtect 认证绕过漏洞 CVE-2026-0257，Arista 也修复了 VeloCloud Orchestrator 的在野利用 0day。多个高危漏洞的 PoC 与利用脚本集中公开，涉及 SonicWall SMA1000、Adobe Commerce、BeyondTrust Remote Support 和 SharePoint 等产品。
PHP 紧急修复两个 CVSS 9.2 的 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
PHP 项目周三发布补丁，修复 CVE-2026-109618 和 CVE-2026-109619 两个 CVSS v4.0 评分 9.2 的远程代码执行漏洞，研究人员将其称为 php2shell。
CyberScoop原文在野利用与紧急修补
Qilin 与 INC 勒索团伙扩大利用 Palo Alto Networks GlobalProtect 漏洞 CVE-2026-0257
Palo Alto Networks 旗下 Unit 42 警告，Qilin 和 INC 勒索团伙正在扩大利用 GlobalProtect 门户的认证绕过漏洞 CVE-2026-0257，该漏洞 CVSS 评分为 7.8，攻击者可借此建立未授权的 VPN 连接。
BleepingComputer一手10.23Arista 修复 VeloCloud Orchestrator 在野利用 0day CVE-2026-114625
Arista Networks 发布安全更新，修复 VeloCloud Orchestrator（VCO）On-Prem 部署中已被在野利用的 0day 漏洞 CVE-2026-114625。
已公开 PoC 与复现
本版导读本周公开的利用代码多为把两个漏洞串联成免认证远程代码执行，也有针对 PHP2Shell 相关漏洞的检测与修复脚本。
Sploitus 利用聚合10.23SonicWall SMA1000 的 CVE-2026-83548 免认证 SSRF 被用于串联 root RCE，已列入 CISA KEV
Sploitus 汇总的利用文档称，SonicWall SMA1000（6210 / 7210 / 8200v）Appliance Work Place 的 __EXTRAWEB__TRANSLATE 处理器存在免认证 SSRF（CVE-2026-83548，CVSS 10.0），并标注该漏洞已列入 CISA KEV、已在野利用。
Sploitus 利用聚合10.24php2shell-check 只读脚本检测 PHP2Shell 相关 CVE-2026-109618、CVE-2026-109619 与 CVE-2026-115560 暴露情况
php2shell-check 是一个单文件只读 Bash 脚本，用于检查 Linux 服务器是否暴露于 PHP2Shell 及 2026 年 10 月披露的相关会话问题。
Sploitus 利用聚合10.23Adobe Commerce 与 Magento Open Source 的 CVE-2026-71362 会话身份投毒 PoC 公开
研究人员公开了 CVE-2026-71362 的 PoC 利用脚本，该漏洞是 Adobe Commerce 与 Magento Open Source 中 CWE-863 类型的会话身份投毒问题，CVSS 9.1，已被列入 CISA KEV。
Sploitus 利用聚合10.21BeyondTrust Remote Support 认证绕过漏洞 CVE-2026-102764 的公开利用脚本
Sploitus 收录了针对 BeyondTrust Remote Support ≤ 26.2.3 的认证绕过漏洞 CVE-2026-102764 的利用脚本，CVSS v3.1 评分 9.8，CWE-290，文中标注为 Active Exploitation（CISA BOD 26-04）。
Sploitus 利用聚合10.21CVE-2026-63520 与 CVE-2026-55040 串联实现 SharePoint 免认证 RCE 的利用代码
Sploitus 收录的利用代码将 CVE-2026-55040 的 JWT 认证绕过与 CVE-2026-63520 的不安全 .NET 类型实例化串联，对未打补丁的 Microsoft SharePoint Server 实现免认证 RCE，无需凭据。
Sploitus 利用聚合10.21WordPress CVE-2026-63030 与 CVE-2026-60137 串联免认证 RCE 的 PoC 脚本公开
有人公开了 WP2Shell 脚本，把 WordPress 的 CVE-2026-63030 路由混淆与 CVE-2026-60137 SQL 注入串联，实现免认证创建管理员并通过主题编辑器上传 webshell。
Sploitus 利用聚合10.22php2shell-guard 发布：检测 PHP CVE-2026-109618 与 CVE-2026-109619 的扫描与排查工具
SwordSec 发布 php2shell-guard，用于检测 PHP 运行时中 CVE-2026-109618 与 CVE-2026-109619 两个无需认证 RCE 漏洞的修复状态，两者 CVSS v4 均为 9.2。
Sploitus 利用聚合10.24Cisco FMC 反序列化 RCE 漏洞 CVE-2026-20131 的检测工具公开
GitHub 项目 0xBlackash/CVE-2026-20131 公开了一个针对 Cisco Secure Firewall Management Center 的检测脚本，用于检查目标是否存在 CVE-2026-20131。
Sploitus 利用聚合10.22php-cve-2026-fix 脚本发布：检测并修复 PHP CVE-2026-109618 与 CVE-2026-109619
GitHub 项目 php-cve-2026-fix 发布一个 Bash 脚本，用于在 Linux 服务器上定位所有 PHP 引擎并判断是否受 CVE-2026-109618 与 CVE-2026-109619 影响，在 Debian 与 Ubuntu 上可执行修复并验证站点仍可访问。
Keycloak CVE-2026-18963 免认证账号接管 PoC 公开
研究者公开 Keycloak 重置凭据流程绕过漏洞 CVE-2026-18963 的 PoC 与检测脚本，未认证调用者可跳过邮件链接直接进入设置密码页面。受影响版本为 >= 26.0.0 < 26.4.15、>= 26.5.0 < 26.6.6、>= 26.7.0 < 26.7.2，已在 26.4.15、26.6.6 和 26.7.2 修复。
Pillow 12.2.0 FlashPix (FPX) JPEG 解码堆溢出漏洞可致代码执行，公开 PoC
Pillow 12.2.0 的 FlashPix (FPX) JPEG 瓦片解码存在堆缓冲区溢出（CWE-122/CWE-787），攻击者构造单个文件即可在 Image.open() 时触发越界写并实现任意命令执行。
漏洞通告与补丁
The Hacker News一手10.22GitLab 修复 CVSS 10.0 的 CVE-2026-110264，可致免认证 RCE 并影响 7.0 以来版本
GitLab 于 10 月 21 日发布修复，CVE-2026-110264 在 CVSS 评分为 10.0，特定条件下未认证用户可因正则表达式编译时的整数溢出在自管理服务器上执行任意代码，影响 7.0 以来的所有版本。
供应链与依赖风险
BleepingComputer一手10.23LiteLLM 发布流水线被入侵，PyPI 与 Docker 镜像被植入窃密恶意代码
LiteLLM 项目的发布流水线于 10 月 21 日被入侵，攻击者向 PyPI 和 Docker 仓库推送了 1.107.0 版本，其中包含窃取凭据并加载远程代码执行工具的编译恶意代码。
攻击事件与应急
The Hacker News一手10.22微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击
微软披露，中国国家关联组织 Storm-0940 是近期 ConnectWise Cloud Backup 供应链入侵的实施者，其在攻击中用 Go 编写的代理式 AI 渗透测试框架 ARTEX 加速扫描侦察、密码喷洒和 OAuth 应用滥用。
Mozilla 安全博客 (MFSA)一手10.20eMudhra 八个中间证书私钥泄露，Mozilla 通过 OneCRL 吊销并发布 Firefox 158.0.1
Mozilla 于 10 月 17 日 20:06 UTC 收到报告，称 8 张 eMudhra 中间证书的私钥已泄露，攻击者可借此为不受控网站签发伪造 HTTPS 证书，在拦截用户连接时冒充网站并读取或修改流量。
Infosecurity Magazine10.21CISA 等机构联合通告称 SafePay 已入侵全球 600 家关键基础设施机构
美国、德国和英国政府机构联合发布通告，称 SafePay 勒索组织自 2024 年 8 月出现以来已入侵至少 600 家关键基础设施机构，影响范围覆盖北美、南美、欧洲和澳大利亚。
CSO Online10.21TeamUpdraft 凭证泄露后 WordPress 站点被植入恶意插件
攻击者利用 TeamUpdraft 安全事件中泄露的 UpdraftCentral 连接密钥，在受影响的 WordPress 站点上执行命令并安装恶意插件以建立持久访问。