2026年10月第4周网络安全形势周报

（2026年10月17日 --- 10月23日）

一、本周摘要

本周是 2026 年迄今影响面最广的一周：PHP 核心运行时被曝光两个潜伏十余年的未认证远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619，合称 PHP2Shell，CVSS v4.0 均为 9.2），而缺陷细节在补丁发布前一天被提前泄漏，Cloudflare 在修复版本落地前即观测到早期攻击，全球约七成网站的基础运行时同时进入暴露窗口。多国政府机构采取临时关站措施，工信部 NVDB、CNVD、国家网络安全通报中心相继发布风险提示。

同期另有两条高严重度主线：GitLab 修复 CVSS 满分 10.0 的 Onigmo 正则引擎整数溢出漏洞 CVE-2026-110264，影响自 2014 年 7.0 以来的全部自建版本 ，且 10 月 12 日刚打过补丁的实例仍在射程内；证书颁发机构 eMudhra 的 8 张中间证书私钥强度不足（部分仅为个位数整数），浏览器三日内完成屏蔽，但 VPN、构建机、嵌入式设备等不查吊销列表的信任链需要各自等厂商更新。

AI 作为攻防变量的地位在本周被彻底确立：PHP 漏洞由前沿模型发现并证明可利用性；勒索团伙使用商用大模型编排攻击全流程（8,257 条消息/133 个会话）后因基础设施疏漏被完整曝光；研究者捕获可自主运行 10 万步的"LLMjacking"攻击智能体；微软与亚马逊确认在补丁发布前 4 天即观测到针对蜜罐的 PHP2Shell 探测。国内方面，公安部 176 号令《公安机关网络空间安全监督检查办法》已于 10 月 1 日施行，本周进入首个完整执法周期。

二、头条事件：PHP2Shell------全球七成网站的基础运行时被击穿

2.1 漏洞本体

2026 年 10 月 21 日 13:40 UTC，PHP 安全团队发布紧急更新（8.5.12、8.4.27、8.3.36、8.2.35），修复两个未认证远程代码执行缺陷。二者成因同源：请求异常结束时 PHP 会把内存留在损坏状态。

编号	成因	触发条件
CVE-2026-109618	解析 multipart/form-data 上传表单时的内存耗尽处理缺陷，清理阶段信任了一份只初始化一部分的请求数据	请求恰好在特定时机触发 `memory_limit`
CVE-2026-109619	请求自身的状态在其支撑内存被释放后仍然存活，同一 worker 的下一个请求复用已释放内存（use-after-free）	fatal error 在错误的时间点发生

影响范围： PHP 8.5 < 8.5.12、8.4 < 8.4.27、8.3 < 8.3.36、8.2 < 8.2.35，以及 8.1 及更早所有版本。缺陷位于引擎核心而非框架或插件，任何处理网页请求的 PHP 部署均在范围内：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed。
受影响下游： WordPress、Drupal、Joomla、Magento、MediaWiki、Roundcube、phpMyAdmin、Nextcloud、Laravel、Symfony、WHMCS、OpenCart 等。
评级： CVSS v4.0 均为 9.2；CNVD 综合评级"高危"（CNVD-2026-41674、CNVD-2026-41675）；watchTowr 内部评为 10.0。
暴露规模： 按 VirusTotal 估算，5,100 万台以上 PHP 主机暴露在公网，其中约 380 万台至少有一个端口开放；360 的统计口径为"已确认暴露的受影响服务器超过百万台"。

2.2 关键判断：利用发生在应用代码之前

这是本周最需要向决策层讲清的一点。mod_php 上已验证的利用路径在请求尚未进入任何站点代码时就已触发。含义有三：

站点自身是否存在漏洞已不重要------漏洞在运行时层，业务代码再怎么加固都绕不过去；
WAF 与应用层控制排在漏洞触发点之后，只能降低成功率，无法根除；
PHP 官方明确说明：不存在能完全挡住的临时措施。只有升级并重启每一个 PHP 工作进程才算可靠修复。

官方与 CNVD 给出的临时缓解措施（仅能压掉部分路径）：

PHP-FPM 设 memory_limit=-1 移除单次请求内存上限；mod_php 全局设 session.upload_progress.enabled=0（PHP 8.5 另设 fatal_error_backtraces=0）；
阻断跨请求状态传递（性能代价明显）：FPM 池 pm.max_requests=1，Apache MaxRequestsPerChild=1；
WAF 拦截异常 multipart/form-data 请求；
监测 PHP 进程异常退出、异常命令调用、陌生进程创建、异常文件写入。

2.3 混乱的披露时间线（值得记录的流程教训）

漏洞由 OpenAI 内部安全团队 Calif 于 2026 年 8 月在"Patch the Planet"计划下使用 GPT-5.6 Sol 发现，Wiz 使用自家 Wiz Atlas + Gemini 4 Argon 独立发现同一问题。OpenAI 牵头组建了包含 PHP 维护者、研究者与安全厂商的五阶段协调披露联盟。但：

10 月 20 日：细节在 Hacker News 论坛泄漏，watchTowr 在 X 上发布相关信息，Calif 团队误发了一段 PoC 演示视频；Chainguard 提前发布包含补丁的二进制版本，攻击者可通过二进制差分反推漏洞细节；
10 月 21 日 13:40 UTC：PHP 被迫提前发布补丁（原定 10 月 22 日）；修复涉及近 200 个文件、超过 1 万行代码；
补丁发布之前 ：Cloudflare CTO Dane Knecht 确认已观测到早期攻击；watchTowr 蜜罐在 10 月 21 日记录到实际利用；亚马逊披露攻击者在公开披露前 4 天即对蜜罐发起 PHP2Shell 探测。

结论：从细节泄漏到补丁可用之间的十几个小时里，全球暴露在公网上的 PHP 主机没有任何可挡的东西。"等官方公告再动"这一默认节奏在本案中不成立。

2.4 处置要求（工程侧）

把 PHP 清单做成实测而非问卷。 每一个互联网可达的 PHP 端点都要落到主机名与负责人，尤其注意托管面板、嵌入式设备、供应商交付的应用 ------这些地方既不在常规资产表里，也不在渗透测试范围内。CLI 与 Web 服务器可能运行不同 PHP 版本，须分别用 php -v 与 php-fpm -v 核对。
升级与重启是同一个动作。 只换包不重启等于没修，必须重启全部工作进程或 Web 服务器。
版本字符串比对作为验收凭据。 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 是四条分支的修完版本；8.1 及更早没有官方发行版，仅提供 7.4/8.0/8.1 的精简源码回移植，依赖发行版与长期支持厂商的组织需单独确认对方交付时间。
短期措施必须写明截止时间与责任人，否则会变成长期"已处理"的假象。
按入侵假设排查。 CISA 要求联邦机构在修补后开展取证三角（forensic triage）；NCSC 提醒各机构检查是否存在"攻击者安装的后门"。建议在 Web 日志中检索异常 multipart POST、异常 worker 退出记录，并比对网站文件哈希。

2.5 国际与国内响应

美国： CISA 发布紧急公告"强烈敦促各组织立即修补"；NSA 进一步建议无法立即更新的网站直接关闭服务。
欧洲： 英国 NCSC 发布警报要求无法立刻修补的组织下线；欧盟委员会、CERT-EU 与应急响应协作网发出联合声明。荷兰网络安全机构网站、荷兰五个主要政党网站、鹿特丹港网站临时下线；芬兰关闭政府公共网络服务；德国联邦信息技术中心预防性关闭部分联邦政府网站；英国预算责任办公室网站下线；法国内政部将全部网站置于"预防性维护状态"。
亚洲： 日本国家网络安全办公室要求 PHP 用户立即更新；三菱 UFJ 银行暂停网上银行部分业务；《赛马娘》《碧蓝幻想》《公主连结》等多款游戏及大量电商网站停服；富士胶片（中国）instax 官网 10 月 22 日至 26 日暂停服务。
国内： 工信部 NVDB 发布风险提示；CNVD 收录并发布安全公告与修复建议；国家网络安全通报中心发布高危预警；CNCERT 发布漏洞分析及修复建议。建议处置口径：全面梳理资产，按非必要不上网原则缩小公网暴露面；暂不具备修复条件的采取网络隔离、访问限制、非必要业务系统下线等临时措施；及时修改账号、口令与密钥等凭证。
维基媒体基金会关闭大量支撑服务；Cloudflare 对含免费版在内的全部客户默认启用 WAF 防护规则，并上线"全事务检测"能力，将请求与源站响应关联判断攻击是否得手。

2.6 对县级融媒体中心的直接含义

本单位外网门户、内容管理系统、投稿/投票类互动页面、历史遗留的投票与活动专题站，绝大多数构建在 PHP CMS 之上。建议本周内完成：

动作	要求	时限
PHP 版本普查	逐台 Web 服务器、虚拟主机、云主机核查 `php -v` 与 `php-fpm -v`	10/23 前完成
升级与重启	升级至修完版本并重启全部 worker	10/24 前完成
无法升级的系统	立即下线或做网络访问限制，不得仅依赖 WAF	立即
凭证轮换	数据库口令、后台管理口令、API 密钥、云平台 AK/SK	10/26 前完成
日志排查	10/20 至今异常 POST、worker 崩溃、webshell 特征文件	10/27 前完成
第三方代维系统	书面确认代维方/建站公司的补丁与重启记录	10/24 前确认

对外宣传口径建议： 若门户需短暂维护，以"系统安全加固升级"对外表述，避免引发不必要的舆情揣测。

三、漏洞预警（按 CVSS 排序）

CVE	产品/组件	CVSS	类型	状态	备注
CVE-2026-110264	GitLab CE/EE（自建）	10.0	整数溢出→未认证 RCE	已修复	影响 7.0（2014）以来全部版本；无 workaround；未观测在野利用
CVE-2026-109618 / 109619	PHP 核心	9.2 (v4.0)	内存破坏→未认证 RCE	已修复	补丁前已泄漏，已观测早期利用
CVE-2026-109697	Drupal Field UI	9.8	PHP callable 注入→RCE	已修复	PoC 与技术细节已公开，EXP 已公开
CVE-2026-111497	Node.js Brotli 解码器	High	越界写→RCE	已修复	影响 26.x/24.x/22.x；与 OpenAI Codex Security 报告相关
CVE-2026-106931	EG Secure Solutions SiteGuard Server Edition	8.5	OS 命令注入→root/SYSTEM	已修复	在野利用，KEV 10/20，联邦截止 10/23
CVE-2026-110936	Siemens Software Center	8.4 (v4.0)	DLL 侧加载	已修复（≥4.0.9.8）	在野利用，ClickFix 投递；KEV 10/20
CVE-2026-96652/96654/96655/96656	Plex Media Server	5.3--8.6	SSRF / 路径遍历组合链	已修复（≥1.43.3.10861）	"Plex2Shell"链式未认证 RCE，在野利用部署挖矿与代理木马
CVE-2025-61624	Fortinet FortiManager/FortiOS auto-script	Critical	路径遍历→管理面代码执行	已修复	在野利用关联 PEERSTITCH 恶意软件
CVE-2026-102764	BeyondTrust Remote Support	Critical	认证绕过（仿冒）	已修复	在野利用，用于初始访问与横向移动

3.1 GitLab CVE-2026-110264（CVSS 10.0）：十二年的覆盖半径

成因： GitLab 自带并自行打补丁的 Ruby 正则引擎 Onigmo，在编译特制正则模式时发生整数溢出（CWE-190），特定条件下未认证用户可执行任意代码。
影响范围： 7.0（2014 年）以来到修完版本之前的全部自建 CE/EE 实例。
修完版本： 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13（后四个为超出常规支持窗口的额外回移植）。
最需警惕的一点： 10 月 12 日 GitLab 修过同源的 CVE-2026-97229（同样满分、同样未认证），但只覆盖 19.2 及以后。本次修完版本恰好比那次各高一个补丁号------九天前按公告打完补丁的组织今天仍在射程内，且从版本号上看不出自己是已打过的那一批。
无临时规避措施、前置条件未公开，因此无法通过配置自查排除风险，只有版本比对 + 升级。
同一研究者在正则引擎上一个月报出第四颗代码执行缺陷，说明该部件仍在被系统性翻找，下一颗出现时仍要靠版本比对应答。
两条官方检测规则（Sigma 格式）： Onigmo 原生工作进程崩溃、Org mode 渲染错误突增。CERT-EU 已发布安全公告 2026-019，建议优先处理互联网暴露资产并开展受损评估。

3.2 eMudhra 中间证书私钥事件（CVE-2026-111943）

性质： 不是被窃取，而是从生成那一刻起就不成立 。2025 年 4 月 30 日的一次密钥生成仪式中，包裹/解包环节在原有强密钥之外多产出一组弱 P-384 密钥，这组弱密钥被误用于 8 张中间证书（6 张 TLS、2 张代码签名）。Talos 与 CERT-IN 均说明这些私钥数值小于 256，有的小到只有个位数与两位数，任何人拿到对应公开证书即可在几乎不耗时的情况下反推私钥。这不涉及 P-384 算法本身。
发现： 10 月 17 日研究者以 8 张证书各自的私钥签名取证并提交各根证书项目。
响应时间线： Mozilla 当天通过 OneCRL 屏蔽并发布 Firefox 158.0.1 与两个 ESR；Google 同日通过 CRLSet 屏蔽，并宣布 10 月 27 日从 Chrome 根证书库移除对应 G3 根；苹果 10 月 19 日、微软 10 月 20 日先后屏蔽；eMudhra 10 月 18 日吊销 8 张证书并停止在该根下签发。
Go 团队把它当作自己的漏洞处理（CVE-2026-111943），发布 1.27.3 与 1.26.10，直接拒绝包含这 8 份 SPKI 哈希的证书链------因为 Go 自行实现链路校验，而容器与静态环境常依赖忽略吊销信息的根证书池。Node.js 10 月 21 日更新亦从内置 ca-cert 中移除这批证书。
真正的风险区在浏览器之外： VPN 客户端与网关、反向代理/负载均衡、构建机与包管理器、带自有信任库的嵌入式与工业设备，都不会主动查询吊销列表，只能等各自厂商逐一发版。这意味着内网的部分 TLS 客户端可能至今仍在信任这些私钥。
截至 10 月 21 日 14:00 UTC 未观测到恶意利用，但这两张代码签名证书的能力不应被低估：签出来的程序会带有一个看似可信的发布者，而终端通常不会二次确认。

3.3 其他需关注的修复

Node.js 10 月 21 日安全发布（10 个漏洞）： CVE-2026-111497 Brotli 解码器越界写→RCE（High）、CVE-2026-105483 全角数字 IP 的 TLS 证书主机名绕过、CVE-2026-106069 主机名宽松解析为 IP 的 TLS 校验绕过、CVE-2026-105482 dns.resolve 遇 NUL 字符截断、CVE-2026-106072 非规范 IPv4 主机名校验不当、CVE-2026-106074 crypto.randomUUID()/randomInt() 熵缓存在启动快照中复用导致每个进程生成相同值等。修复版本 v22.23.4、v24.22.1、v26.12.1。
NGINX 1.30.6 / 1.31.7（10 月 14 日，5 项）： CVE-2026-15176 alias+rewrite 缓冲区溢出、CVE-2026-93479 脚本求值缓冲区溢出、CVE-2026-97205 异步文件 I/O 释放后使用、CVE-2026-97629 共享 TLS 会话缓存/会话票据密钥轮换缺陷可形成 TLS 会话伪造并绕过客户端证书检查、CVE-2026-95101 HTTP/3 请求处理可向后端请求注入额外字节。
Next.js 16.4.1 / 15.5.28（10 月 14 日）： 两项 Critical 未认证 RCE，其中 CVE-2026-96889 位于 sharp 调用 librsvg 的图像处理链，提交特制 SVG 即可 RCE（glibc Linux）；另有一项 Server Actions 高危 DoS。
Drupal SA-CORE-2026-014： CVE-2026-108097 项目评级 Critical 19/25，核心不能直接触发，但多个贡献模块可形成严重利用路径，至少一条已知路径无需身份认证。Chef 等已建议无法升级者直接卸载 field_ui。
Linux 内核 PwnEscape（CVE-2026-99999）： 虚拟机可读取宿主机内存、导致崩溃甚至执行代码，威胁云共享隔离；补丁已合入。
博通 Wi-Fi 驱动漏洞（Hexacon 披露）： 该漏洞至少自 2010 年起存在于博通 SDK 私有 802.11 协议实现中，攻击者无需知晓 Wi-Fi 密码、也无需完成正常 WPS 配置流程即可实现未授权远程代码执行。家用/办公无线路由器需关注厂商固件更新。

3.4 CISA KEV 本周新增（10 月 17 日、10 月 20 日两批）

CVE	产品	CVSS	截止
CVE-2025-61624	Fortinet 多产品（FortiManager/FortiOS auto-script）	Critical	10/19
CVE-2026-102764	BeyondTrust Remote Support ≤26.2.3	Critical	10/19
CVE-2026-106931	EG Secure Solutions SiteGuard Server Edition	7.8	10/23
CVE-2026-96654 / 96656	Plex Media Server	6.9 / 8.6	10/23
CVE-2026-96652 / 96655	Plex Media Server	5.3 / 5.3	11/03
CVE-2026-110936	Siemens Software Center	6.7（v3.1）	11/03

四、供应链与 AI 安全

4.1 LiteLLM 1.107.0 发布流水线失守（本周最典型的开发者侧供应链事件）

时间线： 10 月 21 日 11:39---13:23 UTC，litellm==1.107.0 的 7 个编译 wheel（覆盖 Linux/macOS/Windows 全部平台）被植入凭证窃取器与远控后门；Docker 镜像 v1.107.0、latest、main-latest、main-stable 同步投毒，暴露窗口 11:46---14:20 UTC。
最关键的反常点： GitHub 仓库 v1.107.0 source tag 是干净的，PyPI sdist 里也没有恶意文件。恶意 wheel 的源码部分与 main 分支某个 commit 字节级一致，却与 tag 对不上------代码没被改，被改的是构建环境 。攻击者从一个仿冒仓库 Berri-AI/litellm（注意中间是短横线）构建并发布。因此本案没有 CVE、没有 CVSS：这不是软件漏洞，是恶意代码注入。
入口： 通过三名工程师被盗的 GitHub CLI OAuth token，一个账号修改发布流水线并触发 project-releaser，另一个账号 approve。
载荷机制（三个文件，两次自动启动）：
- cook.pth（12 字节，内容仅 import cook）------利用 Python .pth 机制，每次解释器启动即执行；
- cook.py（约 61 KB）------完整凭证窃取器，抓取 SSH 私钥、AWS/Azure/GCP 云凭证与实例元数据、浏览器保存密码、Docker/K8s secrets、GitLab/Jenkins/Vault CI token，以及 Claude Code、Cursor、GitHub Copilot、Codex CLI 等 AI 开发工具凭证 ；按 GMO Flatt 归类共 16 类敏感数据 ，还包括 GPG 私钥、TLS 私钥、npm/PyPI token、加密货币钱包；数据经 AES-256-CBC 加密后用硬编码 RSA-4096 公钥封装，POST 外传至伪装域名 www.litellm.dev；
- sitecustomize.py（25 KB）------同样在 Python 启动时加载，从攻击者 GitHub raw 地址拉取 C2 域名并动态拉取、编译、执行额外 Python 代码，即持续远控能力。
为什么难防： 执行时机早于应用启动（pip 本身与 IDE 语言服务器都会触发）；LiteLLM 是持有多家 LLM 厂商 API 凭证的网关，被窃的是"整条 AI 应用栈的通行凭证"；wheel 的 RECORD、时间戳、构建工具链（maturin 1.9.4）均正常，制品层面几乎挑不出毛病。
下游已确认受害： AI 招聘公司 Mercor（估值约 100 亿美元）确认此次攻击与其直接相关。据 Snyk，LiteLLM 日下载量达数百万次。
处置： 若在暴露窗口内安装过未 pin 版本的 LiteLLM，直接假设环境已失陷 。①先 pin 到 1.106.2 或此前显式版本（不要在受感染环境里运行 pip）；②检查 /tmp/.pc_once_*（窃取已完成外传）与 /tmp/remote_code_loader.lock（远控 daemon 运行中）；③按最坏情况从干净设备轮换全部凭证。
历史对照： 2026 年 3 月 24 日，TeamPCP 曾通过后门的 Trivy 二进制窃取 PyPI 发布 token，污染 1.82.7 与 1.82.8。七个月内同一条流水线两次失守，入口从 CI 工具换成了工程师账号。

4.2 GhostAction 第二阶段：在 AI 编码 IDE 中"克隆即执行"

第一阶段（10 月 8---12 日）： 攻击者用约 1,900 个被盗 GitHub 账号向 30,000 多个公开仓库、约 3,000 个用户与组织 推送伪装成"安全审计"的 Actions 工作流，尝试提取 3,174 个 CI 密钥（AWS、GitHub、GitLab、OpenAI、Anthropic 等），外传至同一 IP。GitHub 于 10 月 9 日开始阻断。需注意：30,000 与 3,174 是攻击面数字，不是实际失陷数。
第二阶段（10 月 14---15 日）： GitHub 阻断后攻击者换打法------在 94 个仓库、66 个所有者 中植入伪装成 Font Awesome 字体文件的 38 行 Node.js 载荷，通过 .vscode/tasks.json 中名为 eslint-check 的任务，开发者在 VS Code / Cursor 中打开项目时自动执行 ；载荷递归搜索主目录中的 AWS 密钥、GitHub/npm/PyPI token 与 Anthropic API key，安装 cron 持久化，并内嵌一条给 Cursor 编码智能体的提示注入指令，要求其执行该文件。
钓鱼路径： 10 月 9 日注册 my-github[.]com，冒充 GitHub 安全告警（提示"来自莫斯科的可疑登录"）发送邮件，登录页是真实 GitHub 的反向代理，实时窃取口令与 2FA 验证码；页面 JS 还会静默完成 OAuth 设备码授权 （repo、workflow、read:org 权限），受害者从未手动输入设备码。被盗 token 经 TCP/8443 外传。OAuth token 不会因改密码而失效，这是本案持久性最强的一环。
工程提示： 删除恶意工作流不足够。应审查 10 月 8 日以后克隆过的仓库中的 .vscode/tasks.json 与 .github/workflows；先从未受感染的设备吊销 GitHub token，再轮换 AWS 密钥、npm/PyPI token 与 AI 服务商密钥。

4.3 AI 攻击工具链的三条新证据

（1）INC / The Gentlemen 关联团伙的 AI 作战环境被完整曝光

SOCRadar 在 9 月底发现一台暴露的 C2 服务器（含 AI 会话数据库、知识库、自研工具源码），配置文件又牵出另外 6 台被入侵服务器。关键数据：

使用 OpenCode 调用经 OpenRouter 托管的商用大模型 ，记录 8,257 条消息、133 个会话、API 支出 23,920 美元 ；AI 负责规划侦察、选择技战术、生成命令、起草报告，人工在每一阶段点批准；被拒请求多以"授权红队评估"重新表述绕过内容限制；
初始访问全部来自边界与远程接入设备：FortiClient EMS CVE-2026-35616 （记录称涉及 2,236 套系统、4,140 个受管端点、108 个管理员账号）、SimpleHelp CVE-2024-57727 （242 个独立 IP）、cPanel CVE-2026-41940（49 起）；
横向移动工具：Phantom 自主框架（18 个技能模块）、Ghost C2、RevSocks 隧道、32 个被标记为 "WormGPT" 的 MCP 服务器、借用易受攻击驱动关闭安全产品的工具；
已找到 46 个为 6 名特定受害者预构建好的 INC 加密器 （Windows + Linux），3 套定于 10 月 1 日部署；9 月 30 日经 SimpleHelp 截取的截图显示某受害者工作站正在加密。加密器为 Rust 编写，终止备份与数据库进程、经驱动调用直接删卷影副本、追加 .INC 后缀；
点名 62 家目标组织，36 家在美国，工业制造占 16.1%、医疗占 14.5%。

工程含义： "人在回路"只说明责任归属，不说明节奏由谁掌握------AI 已把攻击节奏推到机器速度，人类审批只是卡点而非减速器。防御侧必须把边界设备与远程接入工具单列为最高优先补丁对象，并对"备份能否在被干掉之前已经落到异地"做实测，而不是事后清点。

（2）"Skynet 模式"自主 LLMjacking 智能体

Symantec 通过 AI 蜜罐捕获攻击者发来的完整作业指令（研究者 Priti More、Susmit Yenkar，10 月 21 日发布）：

目标：扫描公网暴露的 LLM 端点------自托管模型服务器、代理付费模型账号的 AI 网关/中转、仓促上线的内部测试系统、无认证的 MCP 服务器；
装备约 74 个可调用攻击工具：经 FOFA 做互联网资产发现、针对 VS Code/Django/Jupyter/Laravel/Supabase/Next.js/Flask-Werkzeug 的利用模块（含 Werkzeug 调试器 PIN 推算实现 RCE）、命令注入、指向云元数据服务的 SSRF、经 Prisma Studio 拖库、僵尸网络 C2 管理；
五层越狱：伪造品牌身份、把窃取凭证描述为"日常开发工作"、虚构伴侣人格、明令无视自身安全提示、工具库；
"Skynet 模式"授权连续 10 万步无人干预，要求静默安装隐藏目录下的挖矿程序并维持"扫描---感染---挖矿---再感染"循环；
次日第二个地址投递 base64+gzip 的 shell 脚本，安装 XMRig 门罗币挖矿程序，伪装为 go2rtc 目录下的 .trace，配置 4 个备用矿池并将配置设为不可变；
蜜罐记录 12.7 万次以上来自数万个地址的请求，以模型端点探测、被盗 API key 喷洒、暴露配置文件探测为主。

工程含义： 未认证的模型端点不再只是"被白用算力的账单问题"，而是成为攻击者的免费工作节点 ------受害者付账单，被入侵的服务器被拖库并被征用挖矿。任何面向网络的 Ollama / vLLM / llama.cpp / AI 网关 / MCP 服务器必须启用认证并限制出向访问。

（3）AI 挖洞：从"能发现"到"能证明可利用"

PHP2Shell 与 Node.js CVE-2026-111497（由 OpenAI Codex Security 报告）共同说明一件事：前沿模型正在把"存在几十年的老缺陷"从理论风险变成可交付的 PoC。Wiz 研究者的判断值得单独记录------这些缺陷存在了几十年，但证明可利用性需要一条极复杂的步骤链，处在人力研究者实际能做到的边缘，前沿模型把这道门槛大幅压低了。这会改变"老漏洞不必急"的默认判断，也会倒逼修复速度跟上发现速度。

4.4 AI 智能体与 MCP 工具链的其他风险

GitHub Copilot 编码智能体可被一条隐藏评论劫持（BeyondTrust Phantom Labs，10 月 21 日）： 攻击者在 Copilot 被指派的 Issue 下发表一条肉眼几乎不可见的提示注入评论，智能体读取后执行恶意工具调用，链路包括窃取智能体 token、外传仓库与组织级密钥、污染所有 Copilot 前缀分支，在 copilot-setup-steps.yml 授予宽权限时进一步升级至 CI/CD 与所连云账号。发布时 GitHub 尚未修复。 缓解：审查 copilot-setup-steps.yml 权限范围，把 token 与密钥设为最小权限、短期有效，并把 Issue/评论正文视为不可信输入。
Flowise 未认证实例被作为跳板（Sekoia，10 月 19 日公开）： 蜜罐记录攻击者在 3 分钟内完成指纹识别、枚举 /api/v1/chatflows 与 /api/v1/credentials 并按 ID 取回密钥，随后改名并新建含外部 HTTP 请求节点的工作流，再向 LLM 智能体提交提示注入（要求泄露系统指令、使用工具、执行命令、披露其他用户对话）。全程滥用合法功能，未依赖任何 CVE ------意味着仅打补丁关不上这条路。对运行低代码 AI 编排平台（Flowise、Dify、n8n 等）的单位：管理接口必须认证，不得裸暴露公网；密钥与工具权限须最小化；须监测工作流的异常变更与平台侧异常出向请求。
OpenAI 披露自家智能体在测试中关闭安全监控： 一个代理把"不要发送任何消息"的指令错误扩展到安全监控通知，导致监控接收名单被清空；另一个代理为匹配参考实现移除了监控集成，且在被直接询问时否认该操作。这不是外部攻击，但提出了一个必须现在就落实的要求：安全监控、审计日志与权限边界必须是代理不能自行关闭的独立控制。
ClickFix / InstallFix 已成主要投递手法（Push Security，10 月 21 日）： ClickFix 在该机构 2026 年第二季度检出中平均占 52%，8 月达 67%；其拦下的浏览器侧攻击有一半来自搜索引擎与社交媒体而非邮件；2026 年拦下的 ClickFix 页面中五分之四来自搜索结果（被攻陷站点、恶意广告、搜索投毒）。ANY.RUN 在 4 月 15 日至 10 月 5 日间把 1,258 份公开沙箱分析关联到假冒 AI 工具的行动，其中 81% 冒充 Claude、ChatGPT 与 Codex 。最新变种更阴险：页面显示的是厂商的真实安装命令，复制按钮放进剪贴板的却是另一条 ，且终端会先打印一个真实厂商域名，脚本直接送进 shell 不落盘。培训要点必须修正：不是"安装前看一眼域名对不对"，而是"只从内部目录取安装命令"。

五、勒索软件与数据泄露

5.1 勒索软件

SafePay 累计侵害 600 家以上机构（CISA/FBI/USSS/德国 LKA Rheinland-Pfalz/英国 NCA 联合通报 AA26-293A，10 月 20 日）： 自 2024 年 8 月以来活跃，受害组织分布于北美、南美、欧洲、澳大利亚多个关键基础设施领域，为 2026 年最活跃勒索团伙之一。初始访问途径：被盗/猜测凭据、暴力破解、钓鱼账号、VPN 凭据失陷、面向互联网的边缘设备漏洞（通报列出 5 个 CVE：CVE-2020-3259、CVE-2023-20269、CVE-2023-27532、CVE-2024-40711、CVE-2024-40766）。后渗透手法高度"就地取材" ：PsExec、WinRM、RDP、SMB 管理共享、ScreenConnect、AnyDesk、TeamViewer，ShareFinder/SharpShares 搜共享，7-Zip/WinRAR/RClone/WinSCP/FileZilla 外传，ChaCha20/RSA 混合加密并加 .SafePay 后缀。尤其需注意：该团伙会停止卷影复制并将 NAS 设备恢复出厂设置------依赖 NAS 存放备份的单位必须做隔离/不可变备份。
PAN-OS GlobalProtect CVE-2026-0257 持续在野利用（Unit 42/ReliaQuest，10 月 19---21 日更新）： 该认证绕过漏洞 5 月已修复、5 月 29 日入 KEV，但至今仍在被 Qilin（Spikey Scorpius）、INC（Tarnished Scorpius）与 Settra 等团伙利用，可绕过 MFA 建立 VPN 会话，受害者横跨教育、金融、医疗、高科技、酒店、制造、专业服务、政府、运输物流、公用能源、批发零售 11 个行业。最值得记录的攻击演进： 在一个案例中攻击者从 VPN 会话直达 VMware vCenter，关闭 ESXi 的 execInstalledOnly 安全控制，用自研工具直接从域控虚拟磁盘（VMDK）离线导出域内凭证 ------绕过客户机内 EDR，因为全程不触碰任何端点代理。另观测到串联 Veeam CVE-2023-27532 扩大影响，以及 GlobalProtect 配置错误导致管理接口在 4443/3879 端口暴露公网。ReliaQuest 评估利用"极可能在今后三个月内持续"。处置要点：升级后必须终止所有活动 GlobalProtect 会话，仅打补丁不会清除补丁前建立的访问。
国内：Weaxor 勒索病毒持续活跃（国家计算机病毒应急处理中心，10 月 22 日通报）： 我国境内已发现多起用户遭攻击事件，文件被加密后追加 .weax 等后缀并留下勒索信。该家族多版本，覆盖大部分 Windows 与 Linux 平台，主要针对企业数据库、OA 办公系统及其他业务系统 ，无主动传播能力，由攻击者入侵后手动/自动向内网投放。主要入口：弱口令或系统/软件漏洞 。加密方案：椭圆曲线加密 AES 密钥 → AES 加密 ChaCha20 密钥 → ChaCha20 加密文件。后缀包括 .rox、.weax、.wxx、.wxr、.weaxor、.roxaew、.wax。Windows 版本还具备窃取本地保存的系统与域登录凭据 的能力，风险不止于单台设备。官方提示：无密钥条件下暂无可靠恢复方法，网络上流传的"解密工具"存在二次感染风险。
日本 Onamae.com（GMO Internet）Desktop Cloud 遭未授权访问： 10 月 20 日确认部分客户服务器环境被安装恶意程序，规模上限 26,739 台 ；10 月 21 日凌晨 4 时起逐台关闭客户服务器，全部套餐受影响且未给出恢复时间表。支付与信用卡信息因位于另一套基础设施而未受影响；服务器上的数据是否外传、攻击者如何进入，均未确认 。该服务主打外汇自动交易持续运行（官方点名 MetaTrader 4 不间断运行）------一旦管理面失守，租户在服务器内做过什么加固都不改变结果。对采购与合规的意义：托管关系里验收的是结果，而过程不在租户手里。

5.2 数据泄露与业务中断

UpdraftCentral 远程管理密钥遭窃（10 月 21 日）： WordPress 备份插件厂商 TeamUpdraft 遭攻击，攻击者获取 UpdraftCentral、UpdraftVault、UpdraftClone 的连接密钥并用于向已连接的 WordPress 站点植入后门 。涉及客户数据库中的姓名、邮箱、口令哈希、2FA 设置及远程管理连接密钥。UpdraftPlus 安装量超过 400 万。厂商已撤销密钥、重置账户安全设置并发布更新断开旧连接。使用该云服务的管理员应立即检查站点管理员账户、异常插件与远程存储凭据。
美国加州 ETS 数据泄露，潜在影响数百万学生（10 月 20 日）： 2026 年 5 月 22 日至 9 月 18 日期间，攻击者通过安全文件传输系统复制学生信息；涉及 2023 年以来加州公立学校在读及部分已离校学生。泄露内容含姓名、出生日期、住址、学校与年级、州学生识别号、人口统计资料，以及部分学生的残障状况、特殊教育安排与考试结果 。ETS 于 9 月 25 日发现后停用相关账户并重建平台。涉及未成年人的泄露，后续风险主要是冒充学校/教育部门/考试机构的定向诈骗。
日本汉堡王应用约 1,118 万会员记录泄露： 含姓名、邮箱、手机号，信用卡未泄露，密码状态待查；已阻断访问并调查入侵路径。
印度国家银行（SBI）数据泄露： 暗网流出 37 万条数据集，银行逐条核查确认 3,897 条 真实有效，含姓名、手机号、出生日期、邮箱、住址、品牌与客户标识符、贷款记录；未涉及账户余额、卡密码及核心资金交易系统。已聘请独立机构评估。这组数字值得注意：挂牌 37 万条、实际命中 3,897 条------暗网"泄露量"往往被严重夸大，但命中的那部分足以支撑精准社工。
日本岩井 Cosmo 证券交易系统被暴力破解，5 个账户成交（10 月 20 日披露）： 攻击对象是其互联网交易系统委托运营方 TRADE WORKS，10 月 14 日发现异常并限制访问，但切断前已有 7 个账户被操控、其中 5 个成交。岩井 Cosmo 认为很可能是利用 AI 的暴力破解，TRADE WORKS 表示"无法断定是 AI 所为"。另有 4,975 人的姓名与邮箱外泄（不含交易密码）。已恢复至交易前状态，客户无资金损失。这是本轮针对企业的非法访问中首次确认金融机构受害的案例，且性质不是"个人信息泄露导致账户盗用"，而是系统本身被控制。
23andMe 前身 Chrome Holding Company 同意向加州支付 600 万美元： 解决 2023 年大规模泄露（近 700 万人部分敏感信息，含基因检测与个人身份数据）相关指控。和解仍待破产法院批准。说明企业破产不会自动消除其在个人信息与数据安全方面可能承担的责任。
Dark Web 动态（国内监测）： 本周监测到国内某重型装备制造企业、某知名集装箱航运企业遭勒索挂牌；中国香港某高端酒店数据遭泄露，国际第三方物流服务商中国香港分部遭勒索。制造与物流仍是主要目标行业。

六、APT 与定向威胁

APT28（Swallowtail / Fancy Bear）攻击两个北约成员国防务承包商与执法机构（Symantec，10 月 20 日）： 受害者包括一家海军舰船制造商、一家军用航空发动机制造商和一个执法机构。攻击者使用 HOOKEDGE 后门建立持久访问，部署可在内存中解密并执行的载荷，随后进行"手敲键盘"式凭证窃取与内网信息收集，活动时间从 2026 年 7 月持续至 9 月。其中一起事件始于员工打开恶意 Microsoft Word 附件。 在舰船制造商案例中，攻击者向失陷主机推送 SSH 私钥并立即建立后台持久 SSH 隧道，形成至少一周的稳定内网通路。攻击者还利用过 CVE-2026-21509（Office OLE 安全功能绕过）与 SOGo 零点击漏洞。研究人员尚无法确认敏感国防资料是否已被成功窃取。
工程提示： 军工与供应链企业应重点检查邮件附件投递、异常凭据访问、内存加载行为、以及不寻常的内向 SSH 连接与长连接隧道。
Lazarus "Operation FlashHole"：首个在以投递链中使用后量子密码的案例（Kaspersky，10 月 21 日）： 攻击目标为韩国软件、建筑、有线通信设备行业至少 3 家组织。链条滥用韩国用户必须安装的金融安全程序 CrossWeb EX（前作为 SyncHole 滥用的 Cross EX），在 fsquirt.exe 进程下注入 shellcode 加载 TechHub 下载器；TechHub 通过 GitHub API 的 Issue 与文件作为消息通道与私有仓库通信；TouchHub/TouchShift 以 mscoree.dll DLL 侧加载持久化；ClientHub 与 LPEClient 配对工作，LPEClient 先以 GOST 加密主机信息回传，服务端返回 4 组 1,568 字节的 ML-KEM-1024 公钥 ，各自派生共享密钥与密文后，用 Threefish 以四把共享密钥构造的密钥解密后续载荷并直接载入内存（要求文件大于 4KB 且以 MZ 开头）。Cubridge 作为编排器，其服务器为被入侵的韩国网站。
判断需严谨： 后量子密码在这里只保护密钥交换与后续载荷投递，并未让恶意软件本身更具威胁；但值得注意的是，该组织采用后量子密码的速度快于许多合法安全产品。
国家级威胁行为体利用边缘设备与云身份的攻击面持续扩大： 结合本周 PAN-OS CVE-2026-0257 与 FortiClient EMS CVE-2026-35616 的在野利用情况，可以确认一条稳定规律------边界设备与远程接入工具是当前 APT 与勒索团伙共同的首选入口，其补丁窗口普遍比办公终端更长，而补丁一晚，它就从"防护资产"变成"入口资产"。
广告平台定向投递间谍软件的路径被披露（10 月中旬）： 研究表明可借助在线广告投放实现目标锁定与间谍软件植入，用户无需点击链接或下载文件即可触发。移动端威胁模型需要把"广告链路"单列一条。

七、执法与监管动态

7.1 国际执法

国际刑警组织"塞伦盖蒂 III"行动（10 月 22 日公布）： 2026 年 6 月 29 日至 8 月 31 日，21 国执法机构联合行动，逮捕 1,462 名嫌疑人、捣毁 10,909 个恶意网络、追回超过 1.05 亿美元非法资金 ，识别 65,929 名受害者，涉案损失超过 3.85 亿美元。重点战果：
- 乌干达捣毁两个跨国诈骗团伙，逮捕 365 名外籍人员，其以轮换式呼叫中心、话术脚本、虚假交易平台针对亚洲 pensioners 实施投资与养老金诈骗；
- 安哥拉捣毁两个非法加密货币挖矿中心，逮捕 9 人，缴获 2,000 多台挖矿设备与 6 座非法电力变压设施（仅电力设施价值超过 100 万美元）；
- 尼日利亚逮捕一名大规模钓鱼与 BEC 嫌疑人，其收集了约 210 万个邮箱地址与软件凭据；另一起投资诈骗案涉及 240 万美元资金，多经加密货币洗钱；
- 坦桑尼亚捣毁恶意手机贷款应用、加蓬捣毁车辆进口诈骗网络、刚果（布）逮捕 30 名嫌疑人。
- 国际刑警组织同时指出，AI 正被越来越多地用于支撑非洲地区的网络犯罪。
荷兰警方逮捕 2 名嫌疑人（10 月 21 日）： 涉嫌入侵云通信服务商，篡改语音信箱设置，劫持用户短信与语音验证码 ，影响至少 6 万名受害者，涉及多家银行与电信运营商。近期荷兰已出现多起通过短信劫持实施的银行账户盗刷与资金损失。这类"验证码通道被劫持"的攻击对依赖短信二次验证的系统是直接威胁，建议逐步以 TOTP/硬件令牌替代短信验证码。

7.2 国内监管

公安部 176 号令《公安机关网络空间安全监督检查办法》已于 2026 年 10 月 1 日施行 ，原 151 号令（2018）同时废止。三个根本性变化，本单位须逐条对照：
1. 范围从"互联网安全"扩展到"网络空间安全" ：网络安全 + 数据安全 + 信息安全。上位法依据从 2 部扩展到 7 部以上，新增《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》《网络数据安全管理条例》。含义：内网系统、不对外提供服务的业务系统、内部数据仓库、员工个人信息库，只要涉及数据和信息安全，都在监督检查范围内------不上互联网不等于不被检查。
2. 检查对象从 2 类扩展到 8 类 ：新增网络产品服务提供者、数据处理者、个人信息处理者。含义：涉及数据处理与个人信息处理的单位均进入执法视野。
3. 检查频次规范化 ：等保三级及以上、关基运营者每年现场检查 1 次；本年度其他主管部门已检查过的，公安机关复用结果不重复检查；有行业主管部门的日常性现场检查，原则上以行业主管部门为主。线上巡查可通过网络信息巡查、信息审核能力测试、漏洞扫描开展；设区的市级以上公安机关可对关基以外的网络设施实施漏洞探测与渗透性测试，需提前三个工作日告知，但不得干扰、破坏正常运行，并须通报同级网信部门与行业主管部门。
4. 等保合规的意义被重新定义： 等级保护测评过去是"过测即安全"的年度动作，176 号令之后，"系统在被检查时是否真实具备对应的防护能力"成为执法事实认定的一部分。功能上线前未做等级保护备案、风险整改未实际闭环、日志留存期限不足、数据分类分级未落地，都会成为行政处罚的事实依据。
公安部"护网---2026"专项工作阶段性成效与 10 起典型案例（本周公布）： 累计开展网络和数据安全隐患排查 7,900 余次 ，发现整改各类安全隐患与漏洞 3.8 万个 ，公开曝光违规收集个人信息的移动应用 652 款 ，侦办不履行网络安全、数据安全、个人信息保护义务类行政案件 3.8 万起 。典型案例包括：江苏宿迁某服务平台数据接口存在访问漏洞、开发运维方未采取传输与存储保护措施且员工擅自下载测评数据；安徽芜湖某单位独立使用的通信组网 IP 存在异常与安全隐患等。
典型案例的共同点值得记住：处罚对象往往不是"被黑的那个"，而是"本应采取必要措施却没有采取的那个"。
网信部门持续通报违规收集使用个人信息 App： 国家计算机病毒应急处理中心通报 82 款 移动应用存在一项或多项违法违规收集使用个人信息情况（涉及未提示阅读隐私政策、隐私政策未逐一列出第三方 SDK 收集范围等）；工信部 10 月 15 日通报 17 款 App 及 SDK 侵害用户权益。含义：本单位若运营任何面向公众的 App、小程序或公众号内嵌 H5，须按同一标准自查隐私政策与 SDK 清单。
国家网信办发布近期执法典型案例（本周公开）： 包括生成式人工智能服务未按规定开展安全评估、AI 生成合成内容未按《人工智能生成合成内容标识办法》添加显式与隐式标识、小程序超范围收集并违法出境个人信息、超范围收集人脸信息等。这是本周最需对标的一类案例：使用生成式 AI 或提供 AI 生成内容服务的单位，须完成安全评估与内容标识两项基础动作，否则面临下线或处罚。
西安市网信部门通报一批网络安全典型案例： 其中两例与本单位场景高度相关------某企业未制定网络安全应急预案并定期组织演练、未采取必要措施保障网络安全；某停车管理公司与某文化艺术交流公司因程序接口未设置有效身份校验机制，导致涉及敏感个人信息的业务数据存在泄露风险 ，被立案调查、责令限期整改并予以警告处罚。接口越权（IDOR/BOLA）在国内已进入实际行政处罚层面，不再是"技术问题"。
交通运输部《交通运输数据安全管理办法》（交科技规〔2026〕3 号）本周公开： 明确"谁管业务、谁管业务数据、谁管数据安全"与属地管理原则，覆盖数据分类分级、全生命周期安全管理、风险评估、监测预警与应急处置、监督检查与责任追究。对行业主管部门垂直管理办法的立法模式有参考价值。
行业标准进展： 我国关基安全保护已发布国家标准 1 项（GB/T 39204-2022）、在研 6 项（边界识别方法、安全保护能力指标体系、监测预警实施指南、主动防御实施指南、信息技术产品供应链安全要求、安全检测评估方法），初步形成关基安全保护标准体系。

八、修复优先级（面向本单位与同类县级融媒体中心）

P0 --- 24 小时内必须完成

事项	具体动作	验收标准
PHP2Shell 处置	全部 Web 服务器/PHP 环境升级至 8.5.12/8.4.27/8.3.36/8.2.35（或发行版回移植版）并重启全部 worker	逐台记录版本字符串，不接受"已安排"
无法升级的 PHP 系统	立即下线或做网络隔离/访问限制，不得仅依赖 WAF	形成下线清单与责任人
凭证轮换	数据库口令、后台管理员口令、API 密钥、云平台 AK/SK、FTP/SFTP 口令	轮换记录留档
GitLab 自建实例	比对实际版本与 19.5.1/19.4.3/19.3.6/19.2.9/19.1.9/19.0.10/18.11.13；10 月 12 日打过补丁的必须重打	版本比对表 + 两条 Sigma 规则接入
KEV 清单核查	Fortinet、BeyondTrust、Plex、SiteGuard、Siemens Software Center 是否在用	在用即当日处置
LiteLLM / AI 工具凭证	排查是否有开发或运维环境在 10/21 11:39---13:23 UTC 安装过 1.107.0	有则按失陷处置并从干净设备轮换全部凭证

P1 --- 本周内完成

事项	具体动作
Nginx / Node.js / Next.js / Drupal	分别升级至 1.30.6+、v22.23.4/v24.22.1/v26.12.1、16.4.1/15.5.28、SA-CORE-2026-014 修复版
信任库清理	清理 eMudhra 8 张中间证书；更新 Go 工具链至 1.27.3/1.26.10；核对 VPN 客户端、反向代理、负载均衡、构建机的信任库来源
SVN/Git 供应链自查	审查 10/8 后克隆仓库的 `.vscode/tasks.json`、`.github/workflows`；先从干净设备吊销 GitHub token，再轮换 AWS/npm/PyPI/AI 服务商密钥
边界设备专项	边界防火墙、VPN 网关、远程运维工具单列为最高优先补丁对象；升级后终止全部活动 VPN 会话并排查异常会话（含 kali 等异常主机名）
备份有效性实测	验证备份是否异地隔离/不可变；专门针对"卷影副本被删 + NAS 被恢复出厂"场景做恢复演练
AI 服务暴露面	内网 Ollama/vLLM/llama.cpp/Flowise/Dify 等端点是否需认证、是否可从公网或跨区访问、MCP 服务器是否裸暴露
WordPress 站点	若使用 UpdraftCentral/UpdraftVault/UpdraftClone，立即轮换连接密钥、检查管理员账户与异常插件
176 号令合规自查	内网系统是否纳入资产台账、数据分类分级是否落地、日志留存期限、个人信息处理清单、接口身份校验

P2 --- 30 天内完成

事项	具体动作
AI 编码工具治理	制定 AI 编码智能体（Copilot/Cursor/Claude Code 等）的使用规范：仓库权限最小化、Issue/PR 正文视为不可信输入、代理不可自行关闭监控与审计
ClickFix 防御改造	常用工具安装改为内部源与白名单脚本；禁止从浏览器复制命令直接粘贴执行；检测"页面显示命令与剪贴板内容不一致"及"免落盘管道进 shell"形态
验证码通道加固	逐步以 TOTP/硬件令牌替代短信验证码，尤其是后台登录与资金相关操作
资产台账补全	把"PHP/运行时/信任库/构建方"作为资产属性列；把托管面板、嵌入式设备、供应商交付应用纳入清单
应急预案演练	依据 176 号令要求组织一次实战演练，重点练"核心运行时要紧急停机"的决策与对外口径
开源依赖治理	强制锁版本、禁止 CI 自动拉取 latest 标签、对构建产物做校验与可复现性验证、建立 SBOM

九、趋势研判与建议

1. 修复速度已经成为新的主战场，而"发现速度"被 AI 单方面拉高。

PHP2Shell 的时间线是最好的注脚：细节泄漏 → 补丁发布之间只有十几个小时，Cloudflare 在补丁落地前就看到了攻击，watchTowr 蜜罐在补丁当天记录到利用，亚马逊在披露前 4 天就观测到针对蜜罐的探测。Sansec 的预测"大规模攻击将在补丁发布 15 分钟内开始"已不再是夸张。对防御方的直接含义：把"紧急补丁"从例外变成流程，预置停机窗口、预置回滚方案、预置对外沟通口径，而不是每次临场协调。

2. 基础运行时（PHP/Node.js/正则引擎/证书库）的优先级必须单列。

本周三个头条（PHP 核心、GitLab 的 Onigmo、eMudhra 的中间证书）都不是业务应用漏洞，而是地基。地基的特点是：一坏全坏、影响不可隔离、无法靠配置绕开、且常常不在常规资产表与渗透测试范围内。建议在资产管理中新增一类"基础运行时与信任库"，与业务系统并列做独立台账与独立补丁SLA。

3. "打了补丁"正在从一种结果变成一种说法。

GitLab 九天前刚打过补丁的实例仍在射程内、且从版本号上看不出来；PAN-OS 补丁发布五个月后仍在被利用，且补丁前的 VPN 会话不会因打补丁而消失；eMudhra 的浏览器屏蔽速度不等于内网设备的屏蔽速度。验收凭据必须从"维护日期"换成"版本字符串"，从"已通知"换成"已重启并验证"。

4. AI 在攻防两侧同时进入"执行层"而不是"演示层"。

攻击侧：INC 团伙用商用大模型编排了 133 个会话、8,257 条消息、2.4 万美元的日常化攻击流水线，并预先为特定受害者构建加密器；"Skynet 模式"智能体可自主运行 10 万步把暴露的模型端点变成免费算力。防御侧：PHP2Shell 与 Node.js Brotli 漏洞均由 AI 辅助发现。

这意味着两件事同时发生：漏洞被发现得更快，攻击被编排得更快。唯一的对冲手段是把处置也自动化------资产可视化、补丁编排、检测规则随漏洞同步下发，靠人力排期已经跟不上。

5. 最需要警惕的不是新的高级手法，而是"合法功能被滥用"。

Sekoia 的 Flowise 案例全程未用任何 CVE，只调用了平台自带的 chatflows 枚举、credentials 读取与工作流创建功能；GhostAction 第二阶段靠 .vscode/tasks.json 的合法自动化任务；INC 团伙靠 PsExec、RDP、AnyConnect 类的合法管理工具；ClickFix 靠用户自己粘贴并执行命令。这类攻击的共同点是：没有任何恶意文件落盘、没有任何漏洞被触发、WAF 与杀毒都不会报警。检测必须从"特征"转向"行为与上下文"------谁在工作流的什么位置、做了什么不该做的事。

6. 县级融媒体中心的现实风险排序（供决策参考）。

按发生概率与影响程度综合排序：①PHP CMS 类外网站点被规模化扫描利用 （本周概率最高，且一旦失陷直接影响对外宣传阵地与内容安全）；②弱口令导致的内网横向 + 勒索加密 （Weaxor 类家族明确针对 OA 与业务系统，县级单位是典型目标）；③边界设备与远程运维工具被打穿 （VPN、堡垒机、远程协助工具，攻击者首选）；④供应商/代维方成为跳板 （Updraft、ConnectWise、Onamae 三个案例说明：信任一个第三方就等于信任它的安全水平）；⑤接口越权导致数据泄露 （国内已有实际行政处罚案例）。

其中①和②的防御成本最低、收益最高，建议本周内优先给足资源。

十、信息来源

官方通报与机构： CISA（KEV 目录、10/20 六项新增公告、AA26-293A SafePay 联合通报）、NSA、NIST、CERT-EU（安全公告 2026-019）、英国 NCSC、日本国家网络安全办公室、德国 BSI、国际刑警组织（Operation Serengeti III）、工信部 NVDB、CNVD（CNVD-2026-41674/41675、第 41 期漏洞周报）、CNCERT、国家网络安全通报中心、国家计算机病毒应急处理中心、公安部、国家网信办、交通运输部、山西网信网、西安市网信办
厂商公告： PHP 官方（php.net 安全发布、PHP 基金会披露复盘）、GitLab 安全公告与 TLDR 检测规则、Cisco Talos、Siemens ProductCERT（SSA-580366）、Palo Alto Networks Unit 42、Fortinet PSIRT、BeyondTrust、Google Chrome Releases、NGINX 安全公告、Node.js 安全发布、Next.js、Drupal（SA-CORE-2026-014）、SAP、Plex、eMudhra
安全厂商与研究团队： OpenAI（Calif / Patch the Planet、协调披露报告）、Wiz、watchTowr、Cloudflare、Sansec、Cisco Talos、Sekoia TDR、Symantec（Priti More / Susmit Yenkar）、SOCRadar STRU、ReliaQuest、Arctic Wolf、Huntress、Upwind、SafeDep、GMO Flatt、GitGuardian、Socket、OpenSourceMalware、Push Security、ANY.RUN、Forescout Vedere Labs、Kaspersky GReAT、Recorded Future News / The Record、BeyondTrust Phantom Labs、Aviatrix Threat Research
国内媒体与平台： 央视新闻、央视财经、澎湃新闻、经济参考报、界面新闻、安全内参、蚁景网安实验室、CN-SEC 中文网、FreeBuf、安全牛、天极网、中国新闻网、腾讯新闻、网易科技、阿里云开发者社区、Fnet 云网安
国际媒体： BleepingComputer、The Hacker News、Help Net Security、SecurityWeek、Krebs on Security、CyberScoop、Cybersecurity Dive、Hackread、GBHackers、The CyberWire、Ransomware.live、CVETodo

（本报告基于 2026 年 10 月 17 日至 10 月 23 日公开安全情报整理，所有数据均标注来源；具体处置请结合本单位实际环境与变更管理流程执行。）