安全情报日报 Security Intelligence Daily — 2026-10-23
========================================================

头条：在野利用集中涌向运维基础设施面

  今日四条在野利用全部指向运维与开发基础设施：PHP2Shell 已现攻击流量且可读走 PHP 内存机密；VeloCloud
  Orchestrator 零日让只读账号升至 operator；LiteLLM 投毒疑因 GitHub token
  泄露；SafePay 攻击 600 余家组织获 FBI/CISA 联合定性。补丁侧次焦点为 Oracle EBS 9.8 注入与
  BlueHammer 提权研究。今日入选 8 条、在野 4 条：优先收敛 PHP、SD-WAN 与软件发布通道。

共 8 条。字段：类别 | 在野状态 | 置信度 | 来源
--------------------------------------------------------

[1] BlueHammer八段链可提权至SYSTEM
    (vuln | 有PoC | 置信medium | 分62)
    摘要：
      Qualys 公布代号 BlueHammer（CVE-2026-33825）的漏洞研究：一条八阶段本地提权链，目标为
      4.18.26030.3011 之前版本的 Windows Defender Antimalware
      Platform。它不提供初始访问，需先获得标准用户代码执行；实验室内可升至 NT AUTHORITY\SYSTEM，从
      LSASS 恢复域管理员凭据，并经 pass-the-hash 横向移动。非内存破坏类缺陷，官方修复已就位。

[2] Oracle EBS严重注入可远程执行代码
    (vuln | 有PoC | 置信high | 分68)
    摘要：
      Horizon3.ai 披露 Oracle E-Business Suite 严重漏洞
      CVE-2026-101767（CVSS 9.8）：影响 EBS 12.2.3–12.2.15 的未认证 SQL
      注入，研究团队梳理出经由 TCF servlet 达成远程代码执行的完整攻击链。Oracle 已在 2026 年 10
      月补丁集中修复。

[3] Linux KSMBD两枚9.0高危RCE尚无补丁
    (vuln | 置信high | 分68)
    摘要：
      The Hacker News 报道：Linux 内核内置 SMB 服务器 KSMBD 存在两枚被公开到邮件列表的 RCE
      缺陷，经 Trend Micro ZDI 评级 CVSS 9.0，mainline kernel 尚无修复。其中
      ZDI-CAN-33774 在通过网络完成任何认证之前即可触发，另一枚 ZDI-CAN-33549 需 SMB Direct
      传输与 RDMA 网络。

[4] PHP核心PHP2Shell可窃内存且现攻击流量
    (vuln | 在野利用 | 置信high | 分88)
    摘要：
      Qualys 对 PHP2Shell（CVE-2026-109618 与 CVE-2026-109619，CVSS v4.0
      9.2）发出分析：两枚严重缺陷可在对外提供 Web 请求的 PHP 安装上实现未认证远程代码执行；研究人员还演示了未认证的
      PHP worker 内存泄露，可暴露密码、认证令牌与 API key。Cloudflare
      已报告攻击流量，包括规避检测的尝试。

[5] LiteLLM疑因GitHub令牌泄露遭投毒
    (supplychain | 在野利用 | 置信medium | 分78)
    摘要：
      跟进 10-21/10-22 报道：LiteLLM 于本周披露 10 月 21 日供应链事件的初步根因——发布管道约
      4:00 a.m. 被攻陷时，攻击者疑似从 AI 网关日志中拿到 GitHub
      token，并突破多重独立安全控制，推送含凭据窃取器与后门的恶意版本 1.107.0 至 PyPI 与 Docker
      Hub。

[6] 西门子Software Center加载缺陷遭利用
    (vuln | 在野利用 | 置信high | 分58)
    摘要：
      跟进 10-21 报道（ClickFix 投递 RAT）：CISA ICS 通告 ICSA-26-295-03 正式确认
      Siemens Software Center 的 DLL 非受控搜索路径缺陷可被本地放置特制 DLL
      达成任意代码执行，并指引读者查看其博客中关于当前已知主动利用与检测方法的说明。Siemens 已发布新版本。

[7] 六机构联合警告SafePay攻击600余家
    (ransomware | 置信high | 分66)
    摘要：
      跟进 10-21 报道的 CISA SafePay 通告：本周
      FBI、CISA、美国特勤局、德国莱茵兰-普法尔茨州刑事警察局及两家英国执法机构联合发布告警，Security
      Affairs 统计 SafePay 自 2024 年以来已攻击 600+ 家组织，主要经窃取/猜测口令、VPN
      与钓鱼进入网络，再以双重勒索施压。

[8] Arista VCO零日SQL注入遭在野利用
    (vuln | 在野利用 | 置信high | 分80)
    摘要：
      The Hacker News 报道：攻击者正在利用 Arista VeloCloud
      Orchestrator（VCO，VeloCloud SD-WAN 网络的集中管理系统）中的一枚零日 SQL
      注入，Arista 已于 10 月 22 日发布通告。缺陷使任何能登录编排器的人——哪怕只读客户账号——都能取得
      operator 级最高控制权限。

--------------------------------------------------------
口径与全文版：https://sid-daily.pages.dev
本文件由 SID 流水线自动生成；数字/实体均经机械校验对照来源原文。