安全情报日报 2026-10-22
01漏洞与在野利用
PHP2Shell现攻击尝试PHP发紧急补丁
PHP 发布紧急更新修复语言自身两个严重漏洞（合称 PHP2Shell），允许无账号攻击者在 Web 服务器执行代码；修复版本为 8.5.12、8.4.27、8.3.36 和 8.2.35，PHP 团队称只有完整升级才能保护服务器。漏洞位于 PHP runtime 而非应用层，报道标题显示已出现利用尝试。
任何直接对外提供 web 请求的 PHP 站点均暴露，即使应用自身无漏洞；未打补丁的公网 PHP 服务器面临被植入 webshell/接管的风险。
立即升级至 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35；无法即刻升级的临时收敛对外暴露面，并对 PHP 服务做 webshell 与异常进程排查。
GitLab曝未授权RCE覆盖12年版本
GitLab 于 October 21 发布修复：一个未登录即可在 self-managed 服务器执行代码的漏洞，影响可回溯至 2014 年发布的 7.0 起的每个版本，标题标注 CVSS 10.0。此前 October 12 的更新仅覆盖 19.2 及以后版本，新修复版在其之上再高一档补丁——九天前打过补丁的管理者仍需再升。
所有 self-managed GitLab 实例（承载代码仓库与 CI/CD 管线）在未打最新补丁前面临未授权 RCE；CI/CD 失陷意味着供应链下游扩散风险。
立即升级至 October 21 发布的修复版本（在 10 月 12 日补丁基础上仍需再高一档）；已在 October 12 打过 19.2+ 补丁的实例同样需要跟进本次版本。
CISA警告Plex四漏洞遭链式在野利用
CISA 警告：攻击者正在主动利用 Plex Media Server 的四个漏洞发起被称作 Plex2Shell 的攻击链、攻陷服务器（BleepingComputer 2026-10-22 报道）；当日 CISA KEV 清单同步收录相关条目（同事件重复条目已去重）。
公网暴露 Plex Media Server 的个人与机构用户面临服务器整体失陷；已确认后果为攻击者借漏洞链完成入侵。
按厂商与 KEV/BOD 26-04 要求立即升级 Plex Media Server 至修复版本，评估资产互联网暴露面，对已暴露实例做失陷取证（KEV 要求按 CISA Forensics Triage Requirements 处置）。
Moxa工业边缘网关硬编码密钥漏洞
CISA ICS 通告（2026-10-20，ICSA-26-293-03）：Moxa AIG-302 ThingsPro Edge 固件 ≤1.4.0 存在 2 个漏洞（CVE-2026-109812、CVE-2026-109813），涉及缺失授权与硬编码加密密钥，厂商 CVSS 8.1；成功利用可获取并泄露敏感信息，部署场景覆盖关键制造、能源、水务等领域。
运行 ThingsPro Edge 的 OT 边缘设备（5G 网关）全球部署，凭据/密钥类泄露可成为进入制造与能源、水务网络的跳板。
按 Moxa 通告将 AIG-302 ThingsPro Edge 固件升级出 ≤1.4.0 受影响范围，限制管理面暴露，轮换与硬编码密钥相关的凭据。
Eclipse Milo漏洞可窃取凭据仿冒用户
CISA ICS 通告（2026-10-15，ICSA-26-288-01）：OPC UA 开源实现 Eclipse Milo 共 5 个漏洞（0.6.0 至 1.1.4 及 1.0.0 至 1.1.4 两组范围，含 CVE-2026-63252、CVE-2026-62927 等），厂商 CVSS 8.2；成功利用可删除受保护数据、恢复用户凭据并仿冒合法用户，或使服务器对所有客户端停止响应。
大量工业软件与 OT 平台基于 Eclipse Milo 实现 OPC UA 通信，凭据可被恢复意味着工控身份体系被仿冒；全球部署、总部比利时。
将依赖的 Eclipse Milo 升级出 ≤1.1.4 受影响范围，限制 OPC UA 端口暴露，轮换可被恢复的用户凭据。
02供应链 / CI-CD
LiteLLM遭投毒投递窃密器与后门
LiteLLM Python 包遭软件供应链攻击：1.107.0 版本经 PyPI wheel 与 Docker 镜像投递凭据窃取器和后门，SafeDep、Socket、StepSecurity、Upwind 等监测方披露。该包随后在 PyPI 被隔离（quarantined）。
LiteLLM 是流行 LLM 网关库，被 AI/运维管线广泛引用；拉取过受影响版本的开发机、CI 构建与容器运行环境可能已泄露 API key、令牌与凭据，并植入持久后门。
立即排查是否安装过 LiteLLM 1.107.0（PyPI wheel 或 Docker 镜像），隔离环境取证、轮换该环境全部凭据与密钥，改用隔离后的干净版本重建依赖锁定，并对构建主机做威胁狩猎。
03勒索软件与数据泄露
sovcali周增7受害者拍卖Lucid数据
RansomLook 数据显示，勒索团伙 sovcali 近 7 天在泄密站发布 7 条帖子、涉及 7 家受害者，最新发现时间 2026-10-21。受害者样例中出现 Lucid Motors：团伙挂出"5 TB 工程数据与源代码拍卖"帖，并声称两天内Drop了 100GB。
泄密站帖子直接面向买家公开出售，被点名企业面临工程数据与源代码外泄确认；中小商户（如托管/记账公司）同样在受害者列表中。
被点名的组织应核验 RansomLook 团伙页条目、启动泄露数据应急评估与取证；常规面：收敛暴露的备份与凭据、核查钓鱼入口。