安全情报日报 Security Intelligence Daily — 2026-10-24
========================================================

头条：Web 运行时与 AI 供应链成攻防焦点

  今日两条主线：运行时层，PHP2Shell 补丁后即刻出现批量利用尝试（CVE-2026-109618），Node.js 的
  CVE-2026-111497 修复刚出即被 Node2Shell PoC 验证，PHP 又曝未修复的
  CVE-2026-115560；供应链层，Storm-0940 借 ARTEX 滥用 ConnectWise 凭据波及
  Microsoft 365 租户，LiteLLM 发布渠道再遭令牌盗用投毒；Arista VeloCloud 的
  CVE-2026-114625 入选 KEV 确认在野。口径：优先升级 PHP 与 Node.js、轮换被窃凭据，KEV
  项限期处置。

共 10 条。字段：类别 | 在野状态 | 置信度 | 来源
--------------------------------------------------------

[1] PHP2Shell 漏洞遭批量利用尝试
    (vuln | 在野利用 | 置信high | 分86)
    摘要：
      跟进 2026-10-23 PHP2Shell 补丁报道：现已观测到攻击者尝试利用
      PHP2Shell（CVE-2026-109618 / CVE-2026-109619，CVSS 9.2）将失陷主机拉入名为
      Potassium 的 Mirai 僵尸网络变体；来源明确称利用尝试未成功，武器化难度高于预期。

[2] 微软归因 ConnectWise 供应链事件
    (supplychain | 置信high | 分82)
    摘要：
      Microsoft 发布详细技术报告，将 ConnectWise Cloud Backup 供应链失陷归因于中国背景团伙
      Storm-0940；该团伙滥用被盗 ConnectWise 凭据，借助开源 AI 渗透测试框架 ARTEX
      以机器速度发动攻击，波及 2,250 个 Microsoft 365 租户。

[3] Node.js 修复 Brotli 解码器 RCE
    (vuln | 置信high | 分74)
    摘要：
      Node.js 于 October 21, 2026 就 22.x、24.x、26.x 三条支持线发布 10
      个漏洞修复，其中 4 个 High；最严重 CVE-2026-111497 为捆绑 Brotli
      解码器越界写，官方称可致远程代码执行。

[4] Sandworm 新型网状后门擦除攻击
    (malware | 置信high | 分66)
    摘要：
      ESET 披露：俄背景团伙 Sandworm 与 UAC-0099（aka Earth Sirrush）合谋，于 July
      16, 2025 经带恶意附件的定向邮件取得一家乌克兰物流公司初始访问，随后部署新型 mesh
      网络后门并发动破坏性擦除攻击。

[5] VeloCloud 编排器漏洞入选 KEV
    (vuln | 在野利用 | 置信high | 分70)
    摘要：
      CVE-2026-114625（Arista VeloCloud Orchestrator）于 2026-10-23 被
      CISA 列入已知被利用漏洞目录，官方确认在野利用；处置要求按厂商指引执行并遵循 BOD 26-04
      与取证留存要求，无缓解手段时停用。

[6] Imperva 演示 Node2Shell 利用代码
    (vuln | 有PoC | 置信high | 分72)
    摘要：
      Imperva 研究者在官方 Node.js 24.22.0 Linux arm64 镜像上演示 Node2Shell
      PoC：向内建 Brotli 解码器（CVE-2026-111497）投喂构造数据即可执行攻击者代码，无需调试器或定制构建。

[7] PHP2Shell 补丁后再曝未修复缺陷
    (vuln | 置信high | 分68)
    摘要：
      在 PHP2Shell 紧急补丁发布两天后，PHP 项目警告新代码执行漏洞
      CVE-2026-115560：仅影响特定少见配置、被评为不太可能的风险，官方不发紧急补丁，建议在修复版发布前关闭
      session upload progress 特性。

[8] 窃密恶意软件专采 AI 工具凭据
    (malware | 置信medium | 分64)
    摘要：
      Check Point Research 披露一款窃密软件在浏览器密码、session
      cookies、加密钱包等常规目标之外，新增针对 Claude、ChatGPT
      Desktop、Codex、Cursor、Windsurf、GitHub Copilot 等 AI
      应用与开发工具的专用收集逻辑，并同时采集云凭据与本地开发环境敏感文件。

[9] GitLab 最高危代码执行缺陷已修补
    (vuln | 置信medium | 分70)
    摘要：
      GitLab 就一个最高危（maximum-severity）的 Regular Expression Compiler
      缺陷发布安全补丁，远程攻击者可在脆弱服务器上运行任意代码；通报未给出 CVE 编号与具体受影响版本。

[10] LiteLLM 遭供应链投毒
    (supplychain | 置信medium | 分76)
    摘要：
      SecurityWeek 报道 LiteLLM 遭新一轮供应链攻击：攻击者使用被窃取的 GitHub CLI OAuth
      令牌，在 PyPI 和 Docker 上推送并通过审批恶意包。

--------------------------------------------------------
口径与全文版：https://sid-daily.pages.dev
本文件由 SID 流水线自动生成；数字/实体均经机械校验对照来源原文。