安全情报日报 Security Intelligence Daily — 2026-10-22
========================================================

头条：工具链接连失守：当日三条在野利用

  今日三条在野利用全部指向开发与运行时基础设施：AI 应用网关 LiteLLM 官方发布渠道被投毒并在野分发窃密器与后门；PHP
  紧急补丁发布次日即出现 PHP2Shell 攻击尝试，未升级实例已进入高危窗口；GitLab 曝出横跨 12 年版本的未授权
  RCE，代码托管平台首次成为当日焦点。CISA 确认 Plex 四漏洞遭链式在野利用，勒索面 sovcali 周增 7
  名受害者并公开拍卖数据。今日入选 7 条、在野 3 条：LLM 网关、PHP、GitLab 三类资产按应急补丁流程处理。

共 7 条。字段：类别 | 在野状态 | 置信度 | 来源
--------------------------------------------------------

[1] sovcali周增7受害者拍卖Lucid数据
    (ransomware | 置信high | 分58)
    摘要：
      RansomLook 数据显示，勒索团伙 sovcali 近 7 天在泄密站发布 7 条帖子、涉及 7
      家受害者，最新发现时间 2026-10-21。受害者样例中出现 Lucid Motors：团伙挂出"5 TB
      工程数据与源代码拍卖"帖，并声称两天内Drop了 100GB。

[2] LiteLLM遭投毒投递窃密器与后门
    (supplychain | 在野利用 | 置信high | 分85)
    摘要：
      LiteLLM Python 包遭软件供应链攻击：1.107.0 版本经 PyPI wheel 与 Docker
      镜像投递凭据窃取器和后门，SafeDep、Socket、StepSecurity、Upwind 等监测方披露。该包随后在
      PyPI 被隔离（quarantined）。

[3] PHP2Shell现攻击尝试PHP发紧急补丁
    (vuln | 在野利用 | 置信high | 分78)
    摘要：
      PHP 发布紧急更新修复语言自身两个严重漏洞（合称 PHP2Shell），允许无账号攻击者在 Web
      服务器执行代码；修复版本为 8.5.12、8.4.27、8.3.36 和 8.2.35，PHP
      团队称只有完整升级才能保护服务器。漏洞位于 PHP runtime 而非应用层，报道标题显示已出现利用尝试。

[4] Moxa工业边缘网关硬编码密钥漏洞
    (vuln | 置信high | 分55)
    摘要：
      CISA ICS 通告（2026-10-20，ICSA-26-293-03）：Moxa AIG-302 ThingsPro
      Edge 固件 ≤1.4.0 存在 2
      个漏洞（CVE-2026-109812、CVE-2026-109813），涉及缺失授权与硬编码加密密钥，厂商 CVSS
      8.1；成功利用可获取并泄露敏感信息，部署场景覆盖关键制造、能源、水务等领域。

[5] CISA警告Plex四漏洞遭链式在野利用
    (vuln | 在野利用 | 置信high | 分72)
    摘要：
      CISA 警告：攻击者正在主动利用 Plex Media Server 的四个漏洞发起被称作 Plex2Shell
      的攻击链、攻陷服务器（BleepingComputer 2026-10-22 报道）；当日 CISA KEV
      清单同步收录相关条目（同事件重复条目已去重）。

[6] GitLab曝未授权RCE覆盖12年版本
    (vuln | 置信high | 分75)
    摘要：
      GitLab 于 October 21 发布修复：一个未登录即可在 self-managed
      服务器执行代码的漏洞，影响可回溯至 2014 年发布的 7.0 起的每个版本，标题标注 CVSS 10.0。此前
      October 12 的更新仅覆盖 19.2 及以后版本，新修复版在其之上再高一档补丁——九天前打过补丁的管理者仍需再升。

[7] Eclipse Milo漏洞可窃取凭据仿冒用户
    (vuln | 置信high | 分55)
    摘要：
      CISA ICS 通告（2026-10-15，ICSA-26-288-01）：OPC UA 开源实现 Eclipse
      Milo 共 5 个漏洞（0.6.0 至 1.1.4 及 1.0.0 至 1.1.4 两组范围，含
      CVE-2026-63252、CVE-2026-62927 等），厂商 CVSS
      8.2；成功利用可删除受保护数据、恢复用户凭据并仿冒合法用户，或使服务器对所有客户端停止响应。

--------------------------------------------------------
口径与全文版：https://sid-daily.pages.dev
本文件由 SID 流水线自动生成；数字/实体均经机械校验对照来源原文。