Firefox 安全团队要求安全修复发布后再提交测试代码
Firefox 安全团队调整安全修复流程，要求将测试代码与安全修复补丁分开提交，适用于 sec-high 和 sec-moderate 级别漏洞。修复随 Firefox 版本发布后，测试代码需至少等到下周二才能合入，开发者可用 [reminder-test 日期] 标签让机器人到期提醒。该调整不改变现有的 sec-approval 审批流程。
#漏洞赏金
Hacker News推荐指数1717 Hacker News推荐指数2222 PHP 安全团队回应 PHP2Shell 传闻：CVSS 应为 9.2 而非 10.0，修复涉及 390 个文件
PHP 安全团队成员澄清 PHP2Shell 漏洞传闻：CVE-2026-109618 实际 CVSS 为 9.2 而非流传的 10.0，影响范围仅 8.2 至 8.5 已修复版本，而非传闻中的 PHP 5.4 起。
Hacker News推荐指数5858 PHP 发布 8.5.12 等版本修复两个 RCE 漏洞，并复盘协调披露被提前泄露
PHP 项目发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个在特定条件下可让未认证攻击者执行代码的严重漏洞，其中 CVE-2026-109618 为内存耗尽（OOM）导致的内存破坏，CVE-2026-109619 为过期全局状态引发的释放后重用。
Hacker News推荐指数2222 PHP 曝出两个严重漏洞，荷兰、芬兰等多国政府网站紧急下线
PHP 披露两个严重漏洞后，荷兰、芬兰、法国等多国政府网站于周三主动下线作为预防措施，PHP 方面称修复版本已于周三约 1345 GMT 上线。Cloudflare 称已观测到早期攻击并更新防火墙规则作为临时缓解，但强调必须尽快打补丁；Wordfence 警告 WordPress 站点的自动更新不会应用该修复。
Hacker News推荐指数5555 Fortinet 为 FortiOS、FortiManager、FortiAnalyzer 发布安全加固版本
Fortinet 宣布将于 10 月 22 日为 FortiOS、FortiManager、FortiAnalyzer 发布一批安全更新，修复通过其前沿 AI 辅助安全测试项目发现的漏洞，FortiMail 与 FortiAuthenticator 的修复版本已可用。
Hacker News推荐指数1212 PHP Web 运行时漏洞（CVE-2026-109618 与 CVE-2026-109619）的 WAF 自定义规则
针对 PHP Web 运行时漏洞 CVE-2026-109619，有人发布了一条名为 PHP2Shell 的 WAF 自定义规则，通过匹配 POST 方法、PHPSESSID cookie 或请求体以及 PHP_SESSION_UPLOAD_PROGRESS 字段来拦截利用请求。该规则优先级为 0，命中后执行 Block 动作，并启用采样请求与 CloudWatch 指标。
Hacker News推荐指数4646 Amazon 在公开披露前发现 PHP2Shell 漏洞利用活动
Amazon Threat Intelligence 在 MadPot 遥测中发现，PHP2Shell 漏洞利用尝试最早可追溯至 2026 年 10 月 17 日，比 CVE-2026-109618 和 CVE-2026-109619 公开披露早四天，来源为商业匿名化网络 IP。
SANS ISC Diary推荐指数1010 PHP 核心曝出严重漏洞（CVE-2026-109618、CVE-2026-109619），SANS ISC 将 infocon 升至 YELLOW
PHP 核心被披露两个严重漏洞 CVE-2026-109618（CVSS 9.4，远程代码执行）与 CVE-2026-109619（释放后重用），影响 PHP 5 起所有版本，仅今日发布的 8.5.12、8.4.27、8.3.36、8.2.35 为安全版本。
Cyber Security News推荐指数1212 PHP 发布 PHP2Shell 漏洞紧急补丁，数百万 Web 服务器受威胁
PHP 为两个可致未认证远程代码执行的关键漏洞发布紧急更新，漏洞编号 CVE-2026-109618 与 CVE-2026-109619，合称 PHP2Shell，CVSS 4.0 评分均为 9.2。
Cyber Security News推荐指数1212 Node.js 发布安全更新，修复 TLS、DNS 与 Brotli 高危漏洞
Node.js 为 26.x、24.x、22.x 分支发布 26.12.1、24.22.1、22.23.4 版本，修复十个漏洞，其中四个为高危。
AICSO.AI汇总精选推荐指数7878 Meta Muse 分享链接设计缺陷暴露用户私人对话，Meta 暂停该功能
安全公司 Claroc 的研究人员发现，Meta 的通用 AI Agent Muse 的分享链接存在设计缺陷，可被公开枚举，研究人员据此枚举出 6800 条用户分享链接，并在打开其中数百条后看到候选人面试笔记、公司内部营收复盘、贷款申请、含部分账号的待办清单等非公开信息。
推荐理由：Muse 分享链接因把对话标题写进子域名而被被动 DNS 收录，读者可据此理解 Agent 产品在分享设计上的隐私风险。
AICSO.AI汇总推荐指数6767 Trail of Bits 发布 patching-bugs 与 regression-hunt 插件，让智能体修漏洞并排查回归
Trail of Bits 发布 patching-bugs 和 regression-hunt 两个插件，前者复现漏洞、开发并测试修复，后者检查改动是否破坏原有正常行为，二者来自其与 OpenAI 合作的 Patch the Planet 项目。
AICSO.AI汇总推荐指数6262 GitLab AI Gateway 修复 CVSS 9.9 沙箱逃逸漏洞 CVE-2026-90970
GitLab 于 2026 年 10 月 2 日发布 AI Gateway 安全更新 19.2.4、19.3.2 和 19.4.1，修复 CVSS 9.9 的 CVE-2026-90970，该漏洞允许有 Duo Agent Platform 访问权限的认证用户通过构造的 Flow 配置逃逸 Prompt 模板沙箱并在网关主机上执行任意命令。
CSO精读推荐指数3636 从自主漏洞利用走向机器速度安全：多智能体系统如何补齐修复短板
前沿模型在 CyberGym 上发现复杂漏洞的精确率达 95%，但超过 98% 的情况下因内置安全护栏把 76-99% 涉及漏洞的直接提示词代码误判为误报而拒绝执行修复。即便尝试修补，55% 只修主问题漏掉次要点，40% 的补丁会破坏生产代码。文章主张用多智能体编排、零出口沙箱与两层验证构建机器速度安全系统，上下文注入可把 LLM 准确率从 65% 提升到 95%。
OpenAI推荐指数3838 Cloudflare 借助 OpenAI 模型将漏洞发现与防御修复打通
Cloudflare 在 Cloudflare Managed Defense 的早期访问服务 Vulnerability Discovery and Remediation 中，通过 Daybreak 调用 OpenAI 模型排查客户授权代码、评估潜在漏洞，并结合实时流量与安全信号排序发现、生成待审补丁和自定义 WAF 规则。
OpenAI推荐指数8080 OpenAI 牵头协调 PHP 关键漏洞修复，提出 AI 时代漏洞响应框架
OpenAI 称过去两个月牵头维护者、研究者与安全厂商组成联盟，处理 PHP 中的关键漏洞，其中 Calif 借助 GPT-5.6 Sol 在 Patch the Planet 计划中发现一个关键缺陷，Wiz 也独立发现并报告了这两个漏洞，PHP 维护者主导修复与发布。
Simon Willison推荐指数2222 PHP 发布安全更新修复两个 RCE 漏洞，并披露协调披露流程泄露事件
PHP 8.x 全系发布安全更新，修复两个远程代码执行漏洞，但 CVE 编号在协调披露过程中提前泄露，实际 CVSS 9.2 被误传为 10.0。PHP 项目因此将原定 10 月 22 日的发布提前至 10 月 21 日，泄露后已有 PoC 在社交平台扩散。Wiz Research 于 8 月 19 日发现首个漏洞，8 月 24 日向 PHP 安全团队报告。
安全内参推荐指数5858 Palo Alto GlobalProtect漏洞CVE-2026-0257遭多个勒索软件团伙大规模利用
派拓网络（Palo Alto Networks）研究人员警告，其GlobalProtect产品的身份验证绕过漏洞CVE-2026-0257（CVSS 7.8）在披露约五个月后正被多个勒索软件团伙加大利用力度。
FreeBuf推荐指数1212 Fortinet FortiSIEM CVE-2026-106173 RCE漏洞PoC公开，无需登录即可利用
Horizon3.ai 公开了 Fortinet FortiSIEM 严重漏洞 CVE-2026-106173 的 PoC，远程攻击者无需登录即可利用 TCP 27918 端口 gRPC 服务的目录遍历与空字节注入实现任意文件写入，并可覆盖定时任务脚本 /opt/charting/redishb.sh 升级为远程代码执行。
FreeBuf推荐指数1212 Cloudflare 监测到两个 PHP 严重漏洞遭早期利用，已部署 WAF 规则防护
Cloudflare 监测到针对两个 PHP 严重漏洞的早期利用尝试，并已部署首批 WAF 规则拦截已知利用特征，所有客户（含免费套餐）均可使用。两个漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，均为远程代码执行漏洞，CVSS v4.0 评分 9.2，补丁计划于 10 月 21 日 14:00 UTC 发布。
FreeBuf推荐指数1212 PHP 发布紧急补丁修复 PHP2Shell 两个严重 RCE 漏洞，敦促用户立即升级
PHP 开发团队发布紧急更新，修复可未授权远程执行代码的 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619，补丁已集成至 PHP 8.5.12、8.4.27、8.3.36、8.2.35。
FreeBuf推荐指数1212 谷歌发布 Chrome 156 大规模安全更新，修复 353 个漏洞含 6 个严重漏洞
谷歌于 2026 年 10 月 20 日面向 Windows、macOS、Linux 推送 Chrome 156 正式版，共修复 353 个安全漏洞，其中 6 个为严重漏洞。
FreeBuf推荐指数2222 APT28 用 Hookedge 后门搭建隐秘 SSH 隧道，入侵北约成员国海军造船厂网络
赛门铁克报告称，APT28（追踪代号 Swallowtail）利用 Hookedge 后门入侵某北约成员国海军造船厂网络，植入 SSH 私钥搭建隐秘隧道并测绘内网，入侵至少持续两个月。
FreeBuf推荐指数1818 PHP 发布紧急补丁修复 PHP2Shell 漏洞，数百万台 Web 服务器面临威胁
PHP 项目组发布紧急安全更新，修复统称 PHP2Shell 的两个高危漏洞 CVE-2026-109618 和 CVE-2026-109619，CVSS 4.0 评分均为 9.2，未授权攻击者可在受影响 Web 服务器上执行任意代码。
FreeBuf推荐指数3232 PHP2Shell 两个 PHP 高危 RCE 漏洞补丁于 UTC 14 点发布，事前防护有效性梳理
PHP 于 10 月 21 日 UTC 14 点发布 PHP2Shell 两个高危 RCE 漏洞补丁，危险评分 9.2（满分 10 分），官方未提供任何临时解决方案。
虎嗅精选推荐指数7676 AI辅助发现两个PHP远程代码执行漏洞，全球多国政府网站紧急下线
10月20日夜间，Hacker News 曝出两个 PHP 远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619，watchTowr 随后确认，PHP 官方将原定 10 月 22 日的安全更新提前到 21 日晚 10 点。
推荐理由：文章完整复盘了PHP两个高危漏洞从泄露到补丁上线的十余小时，并对比2024年人工审计与AI两天定位入口的效率落差。
TechCrunch推荐指数6060 NSA 警告 PHP 存在两个严重漏洞，OpenAI 与 Wiz 用 AI 发现
美国国家安全局（NSA）警告 PHP 存在两个严重漏洞，可让攻击者侵入服务器文件系统或数据库，PHP Foundation 已发布补丁，建议升级到 PHP 8.5.12，无法立即修补的站点应暂时下线。
Infosecurity Magazine推荐指数1212 PHP 高危漏洞在补丁发布前泄露：CVE-2026-109618 与 CVE-2026-109619 影响 PHP 5 起版本
两个可导致远程代码执行（RCE）和服务器接管的 PHP 漏洞 CVE-2026-109618 与 CVE-2026-109619（合称“PHP2Shell”）在补丁发布前被提前泄露，PHP 安全团队给出的严重性评分为 CVSS 9.2，低于泄露者所称的 10.0。
SANS ISC推荐指数1212 PHP 核心曝出严重漏洞 CVE-2026-109618 与 CVE-2026-109619，CVSS 9.4，PoC 已公开
PHP 核心被披露两个严重漏洞 CVE-2026-109618（远程代码执行）与 CVE-2026-109619（释放后使用），CVSS 9.4，PHP 5 起所有版本均受影响，仅 8.5.12、8.4.27、8.3.36、8.2.35 为安全版本。
微信公众平台推荐指数44 Drupal Field UI 远程代码执行漏洞通告（CVE-2026-108097）
深瞳漏洞实验室监测到 Drupal Field UI 组件存在远程代码执行漏洞 CVE-2026-108097，威胁等级为高危。该漏洞通告于 2026 年 10 月 21 日发布。
微信公众平台推荐指数88 PHP 远程代码执行漏洞通告（CVE-2026-109618 / CVE-2026-109619）
阿里云安全监测到 PHP 官方披露两个远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619，代号 php2shell。漏洞通告于 2026 年 10 月 21 日发布。
微信公众平台推荐指数1010 漏洞预警 | Cisco Secure Email Gateway 路径遍历漏洞
Cisco Secure Email Gateway 高级恶意软件防护功能存在路径遍历漏洞，未认证远程攻击者仅需发送一封带特制附件的邮件，即可写入任意文件并以 root 权限执行命令。
微信公众平台推荐指数66 安全预警：PHP2Shell 远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619）
GitLab 官方发布 CVE-2026-97229 安全公告，该漏洞 CVSS 评分为 10.0。相关安全预警同时涉及 PHP2Shell 远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619。
微信公众平台推荐指数1212 PHP 爆出两个高危漏洞：未登录即可获取服务器权限，8.2 至 8.5 均受影响
PHP 被披露两个高危漏洞 CVE-2026-109618 与 CVE-2026-109619，未登录攻击者可直接获取服务器权限，官方已于 10 月 21 日发布紧急更新。
安全内参精选推荐指数7474 Tor近10%出口中继被劫持用于SSH中间人攻击与邮件流量收割
十月二日，三百多台两个月前已被攻破的Tor出口中继被统一改写配置，用于SSH中间人攻击和明文邮件流量收割，占Tor出口容量峰值7.46%。攻击者使用Ebury 1.8.3版本OpenSSH后门，伪装成系统库文件并注入sshd进程记录密码，同时向登录服务器扩散安装木马。
推荐理由：原文完整还原了攻击时间线、Ebury后门手法与根因复盘，读者可据此理解出口节点信任模型的脆弱环节。
Palo Alto Networks推荐指数4646 PHP 两个 CVSS 9.2 严重漏洞曝光，2200 万实例暴露，企业应立即行动
PHP 披露两个 CVSS 9.2 严重漏洞（CVE-2026-109618 和 CVE-2026-109619），全球暴露实例达 2200 万，远超近期 NetScaler 漏洞约 50,000 个、BeyondTrust 漏洞约 16,000 个的暴露规模。
Krebs on Security精选推荐指数7373 PHP 两个零日漏洞遭在野利用，近 70% 网站需紧急更新
PHP 紧急发布安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个关键漏洞，影响 PHP 5.4 及之后所有版本，修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。
推荐理由：原文梳理了漏洞规模、在野利用情况与协调披露过程，读者可据此评估补丁优先级和波及范围。
Cloudflare精选推荐指数7070 Cloudflare WAF 推出全事务检测与响应规则
Cloudflare 为 WAF 新增全事务检测与响应规则两项能力，将 HTTP 请求与其响应关联评估以确认漏洞利用证据，并可在响应到达请求方前将其拦截为 WAF 拦截页或 HTTP 403。
推荐理由：原文解释了仅检查请求的局限与结合响应证据的检测思路，读者可据此理解这种检测方式如何降低误报与漏报的取舍。
Wiz精选推荐指数9292 Wiz Research 披露 PHP 核心两个 CVSS 9.2 RCE 漏洞，影响约 70% 网站
Wiz Research 披露 PHP 核心引擎中两个 CVSS 9.2 漏洞（CVE-2026-109618、CVE-2026-109619），涵盖内存泄露与未认证远程代码执行，影响近十年来包括 PHP 5.4 在内的几乎所有版本，PHP 于 10 月 21 日发布补丁并同步公开。
推荐理由：原文展示了前沿AI如何把存在十余年的PHP内存漏洞转化为可实际利用的RCE，为评估AI改变漏洞可利用性提供了具体案例。
Cloudflare精选推荐指数8686 Cloudflare 针对 php2shell 漏洞部署 WAF 防护并推出全事务检测能力
Cloudflare 宣布针对 10 月 21 日披露的 PHP 漏洞 CVE-2026-109618 与 CVE-2026-109619（php2shell）部署 WAF 防护，自 10 月 21 日 3:02 am UTC 起所有免费与付费 WAF 用户默认受保护，防护上线时间比公开披露早约 9 小时。
推荐理由：原文说明了 WAF 仅凭请求难以区分攻击与正常流量，因此引入结合请求与响应的全事务检测能力，读者可了解这一新检测机制的原理与适用边界。