安全情报日报 2026-10-23
01漏洞与在野利用
PHP核心PHP2Shell可窃内存且现攻击流量
Qualys 对 PHP2Shell（CVE-2026-109618 与 CVE-2026-109619，CVSS v4.0 9.2）发出分析：两枚严重缺陷可在对外提供 Web 请求的 PHP 安装上实现未认证远程代码执行；研究人员还演示了未认证的 PHP worker 内存泄露，可暴露密码、认证令牌与 API key。Cloudflare 已报告攻击流量，包括规避检测的尝试。
凡是以 PHP 服务公网 Web 请求的站点均在暴露范围，未升级即同时面临 RCE 与内存中机密泄露两重后果；已观测到的攻击流量说明扫描与利用尝试已经发生。
立即升级 PHP 至官方紧急安全发版后的修复版本；无法即时升级的按 Qualys 指南先行检测与缓解（WAF 侧拦截规避变体的规则需同步）；鉴于内存可被读取，事后应轮换可能暴露的密码、认证令牌与 API key。
Arista VCO零日SQL注入遭在野利用
The Hacker News 报道：攻击者正在利用 Arista VeloCloud Orchestrator（VCO，VeloCloud SD-WAN 网络的集中管理系统）中的一枚零日 SQL 注入，Arista 已于 10 月 22 日发布通告。缺陷使任何能登录编排器的人——哪怕只读客户账号——都能取得 operator 级最高控制权限。
暴露人群是所有互联网可达或平坦网络中部署 VCO 的 SD-WAN 运维体系：单点编排器失陷意味着全网分支设备配置与控制面可被操纵。
按 Arista 10 月 22 日通告升级 VCO 至修复版本；审计编排器登录与会话日志，重点排查只读/客户角色账号异常提权至 operator 的记录；收敛 VCO 管理面公网暴露。
Oracle EBS严重注入可远程执行代码
Horizon3.ai 披露 Oracle E-Business Suite 严重漏洞 CVE-2026-101767（CVSS 9.8）：影响 EBS 12.2.3–12.2.15 的未认证 SQL 注入，研究团队梳理出经由 TCF servlet 达成远程代码执行的完整攻击链。Oracle 已在 2026 年 10 月补丁集中修复。
面向公网或内网平坦可达的 EBS 实例是 ERP 核心，承载财务与供应链数据；未认证即可注入并升级为 RCE，属高危入口。当日来源未提及在野利用。
尽快应用 Oracle October 2026 补丁；打补丁前限制 TCF servlet 的网络可达性；可用 Horizon3 的 NodeZero Rapid Response 内容验证受影响主机。
Linux KSMBD两枚9.0高危RCE尚无补丁
The Hacker News 报道：Linux 内核内置 SMB 服务器 KSMBD 存在两枚被公开到邮件列表的 RCE 缺陷，经 Trend Micro ZDI 评级 CVSS 9.0，mainline kernel 尚无修复。其中 ZDI-CAN-33774 在通过网络完成任何认证之前即可触发，另一枚 ZDI-CAN-33549 需 SMB Direct 传输与 RDMA 网络。
暴露人群是启用 KSMBD 直接对外提供 SMB 的 Linux 服务器；前一枚为预认证触发面，未修复期间属被动裸奔状态。文件服务器、NAS 类部署尤需关注。
无补丁期间优先禁用 ksmbd 内核模块或收敛其网络暴露，禁用/隔离 RDMA 承载面（针对 ZDI-CAN-33549）；跟踪内核主线修复进度后再恢复。
BlueHammer八段链可提权至SYSTEM
Qualys 公布代号 BlueHammer（CVE-2026-33825）的漏洞研究：一条八阶段本地提权链，目标为 4.18.26030.3011 之前版本的 Windows Defender Antimalware Platform。它不提供初始访问，需先获得标准用户代码执行；实验室内可升至 NT AUTHORITY\SYSTEM，从 LSASS 恢复域管理员凭据，并经 pass-the-hash 横向移动。非内存破坏类缺陷，官方修复已就位。
暴露人群是允许标准用户代码执行的企业 Windows 终端与域环境：一旦立足，域管理员凭据可被读取并横向扩散。目前仅在实验室内复现，无在野利用证据。
将 Windows Defender Antimalware Platform 更新至 4.18.26030.3011 及以上；复核标准用户终端的 LSASS 保护与本地权限基线；参考 Qualys 检测指南开展威胁狩猎。
西门子Software Center加载缺陷遭利用
跟进 10-21 报道（ClickFix 投递 RAT）：CISA ICS 通告 ICSA-26-295-03 正式确认 Siemens Software Center 的 DLL 非受控搜索路径缺陷可被本地放置特制 DLL 达成任意代码执行，并指引读者查看其博客中关于当前已知主动利用与检测方法的说明。Siemens 已发布新版本。
沿用旧版 Software Center 的西门子工业软件部署环境暴露；通告明确提及已知主动利用，说明该加载缺陷已出现在真实攻击路径中。
升级 Siemens Software Center 至厂商最新版本；按 Siemens 博客给出的检测方式排查已有利用痕迹；限制对安装目录的本地写入权限以封堵 DLL 投放。
02供应链 / CI-CD
LiteLLM疑因GitHub令牌泄露遭投毒
跟进 10-21/10-22 报道：LiteLLM 于本周披露 10 月 21 日供应链事件的初步根因——发布管道约 4:00 a.m. 被攻陷时，攻击者疑似从 AI 网关日志中拿到 GitHub token，并突破多重独立安全控制，推送含凭据窃取器与后门的恶意版本 1.107.0 至 PyPI 与 Docker Hub。
已安装或拉取 1.107.0（PyPI wheel 或 Docker 镜像）的部署可能已植入后门并外泄凭据；GitHub token 外泄还将影响源码仓库与 CI/CD 链路本身。
冻结/回滚 LiteLLM 1.107.0 并从干净通道重装；轮换网关与发布环境可触达的全部密钥、吊销并重建 GitHub token；审计 10 月 21 日 4:00 前后仓库推送、Actions 运行与网关日志访问记录。
03勒索软件与数据泄露
六机构联合警告SafePay攻击600余家
跟进 10-21 报道的 CISA SafePay 通告：本周 FBI、CISA、美国特勤局、德国莱茵兰-普法尔茨州刑事警察局及两家英国执法机构联合发布告警，Security Affairs 统计 SafePay 自 2024 年以来已攻击 600+ 家组织，主要经窃取/猜测口令、VPN 与钓鱼进入网络，再以双重勒索施压。
北美、南美、欧洲与澳洲的企业与关键基础设施均在受害范围内；联合执法背书表明受害规模与跨国影响已获多方确认。
对照联合通告自查入口面：重置可能泄露/弱口令、VPN 强制 MFA 与访问日志审查、排查钓鱼投递与初始立足点；对未确认凭据暴露的备份与远程工具链做完整性核验。
https://securityaffairs.com/201464/cyber-crime/fbi-and-cisa-warn-of-safepay-ransomware-attacks-on-600-organizations.html