安全情报日报 2026-10-21
01漏洞与在野利用
PHP 两枚未修复9.2漏洞紧急发版
PHP 安全团队宣布于 10 月 21 日 14:00 UTC 发布计划外紧急安全版本，修复两枚其评定为 CVSS v4.0 9.2 的关键 RCE 漏洞（PHP2Shell）；发布前官方未披露细节，受影响与修复版本以发版后的官方通告为准。
PHP 是 Web 应用的基础运行时，未修补的高危 RCE 提前公告意味着补丁发布后利用窗口将集中打开，跑 PHP 的站点与中间件需要待发版即行动。
将 PHP 升级纳入今日（10-21）发布后的应急计划；发布后核对受影响版本清单并立即修补，在修补前检查 session.upload_progress 等配置面是否可临时收紧。
Plex 媒体服务器四漏洞入KEV
Plex Media Server 漏洞 CVE-2026-96656 已被 CISA 列入已知被利用漏洞目录（KEV），dateAdded 2026-10-20；同批还有 96655/96654/96652 等条目（当日清单内共 4 条同产品 KEV 新增），要求按 BOD 26-04 修复或停用。
Plex 在家庭实验室与企业内网广泛部署，暴露于 LAN/公网的管理面确认被在野利用。
立即升级 Plex Media Server 至修复版本；无法修补的实例断网或停用，并对外暴露实例做入侵回溯。
FortiSIEM 9.4漏洞现公开PoC
研究人员发布了针对 Fortinet FortiSIEM 关键漏洞 CVE-2026-106173（CVSS 9.4，路径穿越类）的无认证 RCE 利用 PoC，该漏洞厂商已发布补丁；此前已有同类威胁情报。
公开 PoC 大幅降低利用门槛，集中部署 FortiSIEM 的 SOC/托管环境面临批量扫描利用风险。
确认所有 FortiSIEM 实例升级到官方修复版本，管理口不对公网开放；用公开 PoC 特征（路径穿越请求）在 WAF/日志中排查扫描行为。
西门子软件中心漏洞遭利用
西门子修复了 Siemens Software Center 的 DLL 侧加载漏洞 CVE-2026-110936（CVSS v4 8.4），官方确认已被用于 ClickFix 攻击链，成功利用可以应用同权限执行恶意代码。
工程软件分发链路成为初始执行入口，ClickFix 社工+侧加载组合对开发/工程终端有效。
升级 Siemens Software Center；在工程终端基线中限制非受控目录 DLL 加载，并针对 ClickFix 类假验证页做用户侧检测。
Oracle EBS漏洞NVD评10.0
NVD 收录 Oracle E-Business Suite Workflow 组件漏洞 CVE-2026-101809（评分 10.0，published 2026-10-20）：易被利用，未认证攻击者经 HTTP 即可攻击并显著波及其他产品（scope change）。
EBS 承载企业核心财务/供应链流程，10 分未认证 HTTP 入口意味着暴露面极大的风险。
按 Oracle 十月季度补丁（CPU/Oct-2026）更新 EBS 12.2.3-12.2.15 实例；Workflow Notification Mailer 暴露 HTTP 的应加访问控制。
mercury平台未认证RCE已修补
开源金融科技平台 mercury 存在未认证远程代码执行漏洞 CVE-2026-111057（CVSS 10.0）：/api/terminals 访问控制缺失（一处缺失逗号引发），修复版本 3.2.4。
mercury 面向券商/金融科技场景，RCE 直通交易与账户数据后端。
使用 mercury 的部署立即升级 3.2.4，并回溯 /api/terminals 的历史访问日志。
02供应链 / CI-CD
OVHcloud CLI 被投毒窃取开发密钥
法国云厂商 OVHcloud 公告其开源命令行工具（GitHub 发布的 CLI release）遭攻击者入侵并植入信息窃取恶意软件，用于窃取开发者密钥等凭据。
官方发布通道被投毒意味着下载即中招，云厂商 CLI 通常持有高权限凭据，横向风险延伸到客户云环境。
核查开发/CI 环境中 OVHcloud CLI 的来源与哈希，替换为可信版本并轮换其保存的云凭据、令牌；对构建机做异常外联排查。
03勒索软件与数据泄露
CISA警示SafePay活跃
CISA #StopRansomware 通告：SafePay 团伙自 2024 年 8 月以来高度活跃，针对北美、南美、欧洲与澳洲的企业和关键基础设施；初始访问以窃取/猜测口令与利用安全设备漏洞为主。
又一勒索团伙进入联邦重点警示序列，边界设备与弱口令通道是其共同入口。
对 VPN/RDP/SSH 等远程入口强制 MFA 与口令策略，清点暴露在用的勒索高危面并按通告 IoC 做回溯。
04恶意软件与僵尸网络
stormser登顶沙箱周活榜
derp.ca 恶意软件基础设施跟踪器（Hatching Triage 沙箱遥测）近 7 天活跃家族榜首为 stormser（4,075 样本，占 17.6%），其后 snojan 2,223（9.6%）、nanocore 2,030（8.8%）、xmrig、cobaltstrike 等。
stealer 类家族（stormser/nanocore）周量占优，凭据失窃与后续入侵管线压力持续；xmrig/cobaltstrike 活跃反映挖矿与红队式渗透并存。
把 stormser/snojan/nanocore 相关 IoC 纳入 EDR 检索名单；审计凭据暴露面（浏览器口令库、会话令牌）。
05重大安全事件
APT28 入侵北约成员造船商
Symantec 披露俄罗斯背景组织 APT28（BlueDelta/Fancy Bear/Forest Blizzard）对两个北约成员国的攻击活动（内部代号 Swallowtail），包括入侵某北约国家海军造船企业并部署新后门窗体 HOOKEDGE。
防务供应链与工业承包商成为国家级持续渗透目标，此类入侵常作为触达政府项目的跳板。
防务承包商应审查 VPN/远程访问入口与更新通道，按披露的 HOOKEDGE 后门特征做威胁狩猎与出口流量审计。