每日安全情报报告

由 AI 整理发布

报告日期 ：2026-10-27（星期二）

覆盖范围 ：近 24--48 小时（2026-10-25 ~ 2026-10-27）

风险总览 ：本期以 PHP2Shell（CVE-2026-109618 / CVE-2026-109619）正式纳入 CISA KEV（10-26 加入，联邦整改截止 10-29） 为绝对主线------已确认在野实战 RCE、欧洲政府机构被攻陷、疑似朝鲜（Lazarus 体系）低慢速扫描 216 个目标、Cloudflare 观测到数百万次探测尝试，并引发全球大量站点预防性停服。另有多枚 10-26 当日披露的高危漏洞（HashiCorp Consul-k8s 授权绕过 9.9、gnutls 认证绕过、Windows NDES 拒绝服务）。

图例：🔴 严重（CVSS≥9.0）｜🟠 高危（7.0--8.9）｜🟡 中危｜🔥 在野利用 / CISA KEV

一、最新高危漏洞

序号	CVE 编号	漏洞类型	受影响组件	CVSS	在野	参考
1	CVE-2026-109618	PHP Core 内存破坏 → 未授权 RCE（OOM 致状态损坏）	PHP 5.4.0 -- 8.5.11（8.2.35/8.3.36/8.4.27/8.5.12 已修）	9.2 v4 / NVD 9.8	🔥 是（KEV 10-26）	PHP 官方公告 · CISA 预警
2	CVE-2026-109619	PHP Core 跨请求失效状态（stale global state）→ 未授权 RCE	同上	9.2 v4	🔥 是（KEV 10-26）	GHSA-6wmf-4rv5-p3rp
3	CVE-2026-110720	Consul-k8s 跨命名空间 ACL 绑定规则授权绕过（CWE-863）	HashiCorp consul-k8s ≥ 0.42.0，＜ 1.8.18 / 2.0.4 / 2.1.0	9.9 v3.1	否（暂无 PoC）	SecurityOnline 详情 · HashiCorp 公告
4	CVE-2026-111497	Brotli 解码器越界写 → RCE（HTTP2Shell / Broccoli2Shell / Node2Shell）	Google Brotli、Node.js、Python brotli、.NET（捆绑库）	9.2 v4 / NVD 9.8	否（PoC 已公开）	Aviatrix 分析
5	CVE-2026-42010	gnutls RSA-PSK 用户名含 NUL 字符认证绕过（CWE-170）	gnutls 3.6.13 -- 3.8.12（3.8.13 已修）	7.1	否	CVE 记录
6	CVE-2026-96866	Windows NDES 越界读 → 拒绝服务（CWE-125）	Windows NDES（多版本）	7.5	否	CVE 记录

重点漏洞详解

🔴🔥 PHP2Shell（CVE-2026-109618 / CVE-2026-109619）------ 本期头号威胁

成因：PHP 请求处理过程中，若发生内存分配失败（OOM）或其他致命错误，部分内部状态清理/回滚未完成；请求结束后请求内存被释放，但 worker 进程仍保留指向该内存的全局状态，后续请求在正常初始化前读取或释放该失效状态，形成跨请求 use-after-free 与类型混淆。缺陷位于 PHP Core 本身，不依赖上层应用代码 ，Apache mod_php 与 PHP-FPM 复用 worker 进程的机制会放大问题。
影响范围 ：覆盖 PHP 5.4.0（2012）至 8.5.11 几乎所有版本；Cloudflare 称公开披露后探测达数百万次 ，VirusTotal 估计暴露 PHP 主机超 510 万 ；Shodan 统计约 224 万 公网 PHP 主机，其中 59% 处于无官方修复的分支（PHP 7.4 / 8.0 / 8.1 无上游发布，7.3 及更早无修复）。
在野实锤（10-26 前后新增证据） ：
Perplexity 的 Adel Karimi 在蜜罐中捕获实战 RCE（目标 Apache mod_php + PHP 8.4.26），确认为"可用内存泄露的真实 RCE，而非崩溃"；Expel 的 Marcus Hutchins 背书称这是其见过质量最高的在野 PHP2Shell 利用证据。
Palo Alto Unit 42 ：攻击者利用 PHP2Shell 命中欧洲政府机构 ，初始利用后 2 小时内 即获取密码哈希与多因素认证（MFA）密钥，并建立 NTLM-relay 隧道攻入 AD、尝试域管提权；命令批处理带有 ==SHELLUSER== / ==PASSWD== 等分隔符，输出供 AI 模型直接解析，呈现 Agentic AI 辅助侦察特征 。
CYFIRMA ：发现疑似朝鲜（Lazarus 体系） 的低慢速扫描行动------21 个失陷节点通过封闭 I2P 信道协调，筛选 216 个 未修补/部分缓解主机（分布于美、日、韩、泰、印尼、澳、台、印、新、阿联酋、沙特、欧盟），覆盖政府、金融、物流、机场航空、制造、在线支付；中等置信度归因于韩语（Munhwaŏ）操作方。
Amazon MadPot 蜜罐早在 10-17 即记录到利用尝试（披露前 4 天），Amazon 现判定为"广泛利用"。
修复版本 ：8.2.35、8.3.36、8.4.27、8.5.12（Windows 重build 8.5.12-1 / 8.4.27-1 / 8.3.36-1 / 8.2.35-1 同时捆绑 Brotli 1.2.1 修复 CVE-2026-111497）。
临时缓解（非完全修复） ：php.ini 中 session.upload_progress.enabled = Off；EOL 分支（≤8.1）CISA 建议直接下线 ；WAF 仅提供有限补偿。
关联：PHP 官方 10-23 另发 CVE-2026-115560（session upload progress 中难以触发的 RCE 路径），未被 10-21 发布修复，建议同样关闭 session.upload_progress.enabled 直至后续 bugfix。

🔴 HashiCorp Consul-k8s 授权绕过（CVE-2026-110720，CVSS 9.9）------ 10-26 当日披露

跨命名空间 ACL 绑定规则授权检查缺失（CWE-863），低权限已认证攻击者无需用户交互即可越权获得提升的 Consul 权限，威胁多租户 Kubernetes 集群的 service mesh 隔离。修复版本：2.1.0 / 2.0.4 / 1.8.18。暂无公开 PoC、暂无在野确认。

🔴 HTTP2Shell / Broccoli2Shell（CVE-2026-111497，CVSS 9.2 v4 / NVD 9.8）

Google Brotli C 解码器格式错误（声明单一块类型后做块切换）被误判为"需更多输入"，导致对 8 字节残余比特缓存的写入越过边界，覆盖位置/距离/环形缓冲字段，形成越界写。攻击路径：任何对不可信数据执行 Brotli 解压的进程------Node.js 内置 fetch()（undici，响应头 Content-Encoding: br）、Express 5 / body-parser 2（请求体解压，默认开启）、Python urllib3/requests/httpx、System.IO.Compression Brotli API。PoC 已公开，修复：Brotli 1.0.10/1.1.1/1.2.1、Node.js 22.23.4/24.22.1/26.12.1、Python brotli 1.2.1、.NET 8/9/10/11 RC3 紧急带外补丁。

二、最新漏洞 PoC / 检测工具

说明：以下按「PoC 利用 」（可直接复现攻击）与「检测 / 版本核查 」（用于资产清点与缓解验证）分类。所有 git clone 命令中的 URL 为必需字面量。

1. PHP2Shell 综合利用与检测套件（标注：🔴 PoC 利用）

仓库：ikow/php2shell-poc（MIT，5 条预认证 RCE 攻击链 + Suricata/Sigma/ModSecurity 检测规则，影响 WordPress/Joomla/Drupal 等）

bash 复制代码

git clone https://github.com/ikow/php2shell-poc.git
cd php2shell-poc
pip install -r requirements.txt   # 依赖：requests 等
# 探测目标是否暴露 session.upload_progress（Chain A 前置条件）
python3 scan.py --target https://example.com
# 对确认的 mod_php / FPM 目标执行指定攻击链（仅授权测试）
python3 exploit.py --target https://example.com --chain D

2. PHP2Shell 单链 PoC（标注：🔴 PoC 利用）

仓库：syrex1013/php2shell（Session 注入 + LFI 链，含 Docker 实验环境）

bash 复制代码

git clone https://github.com/syrex1013/php2shell.git
cd php2shell/lab
docker compose up -d --build      # 启动脆弱 PHP 实验环境
cd ..
python3 poc.py http://localhost:8888/index.php "id" \
  --lfi-param page --chunk-delay 0.01 --chunk-size 128
# 成功后将通过 session+LFI 回显命令输出（web 用户如 www-data）

3. 真实可复现 PoC（标注：🔴 PoC 利用）

仓库：cookiengineer/actual-php2shell（针对 PHP 8.5.11 的 OOM 链，Podman 容器完全可复现，end-to-end 读取 /etc/passwd）

bash 复制代码

git clone https://github.com/cookiengineer/actual-php2shell.git
cd actual-php2shell
podman build -t php2shell-lab ./lab
podman run --rm php2shell-lab   # 容器内复现 CVE-2026-109618 OOM → RCE

4. PHP2Shell 资产探测（标注：🟠 检测 / 版本核查）

工具：NCSC-NL php2shell 仓库（含版本核查脚本与 Sigma 规则）+ CISA SIGMA 规则库

bash 复制代码

# 1) 核查本机/资产 PHP 版本是否处于受影响区间
php -v
# 受影响：< 8.2.35 / < 8.3.36 / < 8.4.27 / < 8.5.12（含 8.1 及更早 EOL 分支）
# 2) 部署 CISA Sigma 规则，监控 PHP worker 进程拉起 shell / 下载工具等异常
git clone https://github.com/cisagov/kev-sigma.git
# 在 SIEM / 日志平台导入对应 PHP2Shell 规则
# 3) 临时缓解（非完全修复）：php.ini 关闭 upload progress
#    session.upload_progress.enabled = Off

5. HTTP2Shell / Brotli 版本核查（标注：🟠 检测 / 版本核查）

bash 复制代码

# Node.js 受影响版本核查（< 22.23.4 / < 24.22.1 / < 26.12.1）
node -v
# Python brotli 受影响（< 1.2.1）
python3 -c "import brotli; print(brotli.__version__)"
# .NET 受影响（8 < 8.0.12 / 9 < 9.0.1 等）------ 查看运行时版本
dotnet --list-runtimes
# 缓解：关闭服务端/客户端的自动 Brotli 解压（如 Express body-parser inflate）
#      或在边界 WAF/IPS 拦截恶意 Content-Encoding: br 负载（仅覆盖请求侧，响应侧需升级库）

6. Consul-k8s 版本核查（标注：🟠 检测 / 版本核查）

bash 复制代码

# 核查集群 consul-k8s 版本（受影响：≥ 0.42.0 且 < 1.8.18 / 2.0.4 / 2.1.0）
helm list -n consul | grep consul-k8s
kubectl get deployment -n consul -o yaml | grep image
# 立即升级至 2.1.0 / 2.0.4 / 1.8.18，并审计现有 Consul ACL 绑定规则、收紧命名空间创建与服务账号权限

三、网络安全最新文章

PHP2Shell 利用命中政府机构，全球扫描与 AI 辅助黑客迹象浮现 --- The Hacker News（Unit 42）

摘要：攻击者利用 PHP2Shell 攻陷欧洲政府机构，2 小时内获取密码哈希与 MFA 密钥并试图 AD 域管提权；命令批处理带机器可读分隔符，呈现 Agentic AI 辅助侦察特征。CYFIRMA 另报告疑似 Lazarus 体系的 21 节点低慢速扫描，锁定 216 个政府/金融/机场/支付目标。
CISA 将 PHP2Shell 加入 KEV，确认在野 RCE 与疑似朝鲜扫描 --- SecurityOnline

摘要：10-26 CISA 将 CVE-2026-109618 / CVE-2026-109619 加入 KEV（联邦整改截止 10-29）；Perplexity 与 Expel 研究人员确认实战 RCE；CYFIRMA 将低慢速扫描以中等置信度归因于 Lazarus 体系；PHP 团队同步发布 Windows 重build 以捆绑 Brotli 1.2.1 修复 CVE-2026-111497。
本周威胁回顾：PHP2Shell、LiteLLM 供应链与失控 AI 智能体定义破纪录一周 --- Aviatrix

摘要：10-26 当周，PHP2Shell、Brotli/Node.js、Plex2Shell、GitLab 等多枚未授权 RCE 与 LiteLLM 主密钥泄露导致的投毒包、4 个利用 Claude Code 实施医疗/政府数据窃取的 Agentic AI 攻击组织叠加；勒索软件 Q3 环比增 50%，高严重 CVE 利用窗口已压缩至 3 天。
Broccoli2Shell（CVE-2026-111497）：.NET Brotli RCE 对云工作负载意味着什么 --- Aviatrix

摘要：微软为 .NET 8/9/10/11 RC3 发布带外紧急补丁修复 Brotli 越界写；PoC 已在 GitHub 公开，任何启用 Brotli 解压的 ASP.NET Core / HttpClient / System.IO.Compression 应用均面临未授权 RCE。
【已复现 RCE】php2shell：PHP Core 远程代码执行漏洞（CVE-2026-109618/109619） --- CN-SEC（长亭安全应急响应中心）

摘要：长亭已完成 WordPress、PhpMyAdmin、Roundcube 等主流 PHP 应用的 RCE 验证；缺陷位于 PHP 引擎层，默认配置即存在可利用路径，建议尽快升级至官方安全版本并核查资产暴露面。
一个漏洞牵动全球半个互联网：任天堂等站点集体下线 --- 网易

摘要：PHP2Shell 披露后，全球约 70% 网站底层的 PHP 引擎层双高危 RCE 引发应急；日本大量 ACG/游戏站点（含宝可梦、FGO、赛马娘等）及 pixiv、niconico、任天堂部分网络服务预防性停服维护，凸显"漏洞不在业务代码而在语言引擎层"的系统性风险。
天融信：当漏洞发现不再稀缺，处置与防护才是真正的护城河------浅谈"前沿虚拟补丁" --- FreeBuf

摘要：在 AI 批量挖洞、披露即武器化的新态势下，传统依赖人工编写签名的虚拟补丁（IPS/WAF 类补偿性控制）产出速度跟不上攻击节奏；文章梳理了 PA、趋势、飞塔、Check Point、思科、Imperva 等厂商在"官方补丁就绪前"的虚拟补丁实践，为 PHP2Shell 等零日提供缓解思路。

四、持续在野 / CISA KEV 重点标注（整改临近或已超时）

CVE	组件	CVSS	状态	备注
CVE-2026-109618 / CVE-2026-109619	PHP Core	9.2 v4	🔥 KEV 10-26 加入	联邦整改截止 2026-10-29
CVE-2026-114625	Arista VeloCloud Orchestrator	9.9	🔥 KEV 在野	IOC：74.82.197.86 / 38.54.50.151
CVE-2026-110447	Nextcloud Collabora Online CODE	9.2 v4	🔥 KEV 在野	部署 webshell、窃取配置凭据
CVE-2026-106931	EG Secure SiteGuard Server	---	🔥 KEV 在野	日方紧急预警
CVE-2026-110936	Siemens Software Center	8.4	🔥 KEV 在野	DLL 搜索路径劫持
CVE-2026-96652--CVE-2026-96656	Plex Media Server（Plex2Shell）	链 9.8	🔥 KEV 在野	投挖矿 + 住宅代理后门
CVE-2026-105133 / CVE-2026-105134	AhsayCBS	10.0	🔥 KEV 在野	链式 webshell + XMRig
CVE-2025-61624	Fortinet 多产品（PEERSTITCH 内存驻留后门）	5.4	🔥 KEV 在野	路径遍历 + 内存驻留规避 VPN 安检

部分内容由 AI 辅助生成