安全情报日报 Security Intelligence Daily — 2026-10-26
========================================================

头条：PHP2Shell 首次确认失陷

  今日入选 9 条。变化最大的是 PHP2Shell：此前它还只是大规模扫描尝试，现在欧洲一家政府机构确认失陷（在野 2
  条），CISA 更新通告补上了 SIGMA 检测规则，该做的是打补丁并回溯排查入侵痕迹。组件面
  MLflow、happy-dom、Mercury 各添新的高危通告，LiteLLM
  则把凭据被卷走引信写进了供应链账上。勒索面泄密站受害统计 2 条，活动回落，但水位仍高。

共 9 条。字段：类别 | 在野状态 | 置信度 | 来源
--------------------------------------------------------

[1] n0n 团伙周受害者降至46家
    (ransomware | 置信high | 分62)
    摘要：
      跟进 n0n 于 2026-10-18 的推送：近 7 天泄密站新增受害者由 86 降至
      46，活动量回落但仍持续发帖。本期受害者样例含 Adirondack Networks, Inc. 与 Amagi
      Media Labs 等，最新发现时间 2026-10-25。

[2] whitearmor点名海信惠而浦等受害
    (ransomware | 置信high | 分56)
    摘要：
      RansomLook 跟踪：whitearmor 近 7 天在泄密站发布 8 条帖子、涉及 8 家受害者，名单含
      Hisense、JB Hunt 与 Whirlpool 等知名品牌，最新发现时间 2026-10-25。

[3] MLflow未授权路径穿越任意写文件
    (vuln | 置信high | 分60)
    摘要：
      GitHub 安全通告 MLflow（CVE-2026-53995，CVSS 8.2）：3.17.1 及更早版本的
      FileStore 跟踪后端存在路径穿越，未认证攻击者向 POST /api/3.0/mlflow/traces
      提交含穿越序列的构造 trace ID，即可借 FileStore.start_trace() 写入
      attacker-control 的 trace_info.yaml 等文件。修复版本 3.17.2。

[4] happy-dom修复不全仍可执行宿主代码
    (vuln | 置信high | 分56)
    摘要：
      happy-dom 新通告（CVE-2026-115895，CVSS 8.8）指出 CVE-2026-33943
      的修复不完整：happy-dom@20.14.5 的 ESM 编译器在校验导入别名前将其拼入生成的
      JavaScript，非法 import alias 可被转化为合法解构默认初始化器执行，构成替代注入路径。修复版本
      21.0.4。

[5] SiteGuard漏洞被确认在野利用
    (vuln | 在野利用 | 置信high | 分58)
    摘要：
      CISA 将 SiteGuard Server Edition 的 CVE-2026-106931
      收进已知被利用漏洞目录（KEV），dateAdded 2026-10-20，厂商为 EG Secure
      Solutions。处置要求按厂商指引应用缓解、遵循 BOD 26-04，无法缓解时停止使用。

[6] Mercury未授权远程代码执行9.8分
    (vuln | 置信high | 分64)
    摘要：
      GitHub 通告 Mercury（CVE-2026-111058，CVSS 9.8，critical）：其内置的
      JupyterLab 服务默认匿名访问——未显式给 token 时设 --IdentityProvider.token=''
      并关闭 XSRF 检查，仅靠 /lab、/api/terminals 等路径 blocklist 兜底，攻击者可经
      /api/kernels 实现未授权远程代码执行。修复版本 3.2.6。

[7] PHP2Shell政府机构失陷AI辅助收尾
    (vuln | 在野利用 | 置信high | 分88)
    摘要：
      跟进 2026-10-24 的 PHP2Shell 在野报道：攻击者已确认借 CVE-2026-109618 与
      CVE-2026-109619
      成功攻破一家欧洲政府机构——初始利用后两小时内即拿到密码哈希与多因素认证相关数据，且后渗透阶段观察到使用 agentic
      AI 平台执行操作，全球扫描仍在持续。

[8] CISA增补PHP2Shell检测规则
    (vuln | 置信high | 分72)
    摘要：
      CISA 于 2026-10-23 更新
      PHP2Shell（CVE-2026-109618、CVE-2026-109619）紧急通告：新增 SIGMA
      检测规则用于识别可疑活动、并入合作伙伴资源、重申缓解要求；强烈要求立即修补所有对外提供 web 请求的 PHP 安装，含
      Apache with mod_php 形态。

[9] LiteLLM供应链攻击卷走密码密钥
    (supplychain | 置信low | 分60)
    摘要：
      The Register 报道 LiteLLM 供应链攻击：攻击者借官方分发链路卷走密码与 secrets，并附带部署了
      RAT，报道口径为需要立即开展威胁狩猎。条目正文信息量有限，细节以原文与通告为准。

--------------------------------------------------------
口径与全文版：https://sid-daily.pages.dev
本文件由 SID 流水线自动生成；数字/实体均经机械校验对照来源原文。