2026 年 10 月 22 日 · 星期四每天 08:00 出刊

信息技术日报 · 2026 年 10 月 22 日 · 星期四

ITHOT

第 27 期22

2026 年 10 月星期四

12件大事19个来源7件一手发布2项发布约 6 分钟读完

头条

PHP 为 PHP2Shell 两个严重 RCE 漏洞发布紧急安全更新

PHP 已为 PHP2Shell 中两个严重远程代码执行漏洞发布紧急更新，修复版本为 8.5.12、8.4.27、8.3.36 和 8.2.35。两项漏洞的 CVSS v4.0 评分均为 9.2，影响 PHP 运行时而非应用代码；PHP 团队称只有更新运行时并重启相关服务才能完整修复。

The Hacker News另有 21 家信源报道原文

PHP 将发布紧急安全更新，修复两个高危漏洞Solidot
Ubuntu 发布 php2shell 漏洞修复，覆盖所有受支持版本Ubuntu Blog
PHP core曝出两项未认证RCE漏洞，Cisco Talos建议升级至受支持版本Cisco Talos Blog
PHP关键漏洞需立即修补，CISA发布更新指南CISA Cybersecurity Advisories

产品与发布

Cloudflare Blog一手

Cloudflare WAF 推出完整事务检测与响应规则

Cloudflare WAF 新增完整事务检测和响应规则，并面向包括 Free 套餐在内的所有客户正式开放。完整事务检测会结合 HTTP 请求与源站响应判断利用证据，响应规则可在内容返回请求方前将其替换为 WAF 拦截页或自定义响应。首批托管防护聚焦近期披露的 php2shell 漏洞；响应正文规则尚不可用，所有客户最多可创建三条支持 Log 和 Block 操作的自定义响应规则。

Cloudflare为php2shell漏洞部署WAF防护Cloudflare Blog

原文

Hugging Face Blog一手

NVIDIA 发布 Kumo Relational 关系基础模型，无需任务专项训练即可预测关系数据

NVIDIA 发布预训练关系基础模型 Kumo Relational，可直接连接关系数据库并通过单次前向传播完成预测，无需任务专项训练、特征工程或表扁平化。模型推理时最多读取10,000个上下文样本；在15个数据库的41项任务中超过受监督关系模型和专家特征梯度提升树管线，SAP SALT基准MRR较AutoGluon集成高8%。

原文

更新与维护

GitLab Blog一手另有 1 家信源报道

GitLab 发布 19.5.1 等七个版本的关键安全补丁

GitLab 于 2026 年 10 月 21 日发布 GitLab CE/EE 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 和 18.11.13，修复多项漏洞并建议自托管实例立即升级。

原文

BleepingComputer另有 1 家信源报道

TeamUpdraft称UpdraftCentral密钥被盗并被用于植入WordPress后门

攻击者入侵TeamUpdraft基础设施并可能取得客户数据库中的UpdraftCentral连接密钥，已利用这些密钥对连接网站执行任意代码并植入伪装插件。TeamUpdraft建议用户升级至UpdraftPlus 1.26.13或2.26.13，删除现有连接密钥并检查入侵迹象；自托管实例未受影响。

攻击者滥用 UpdraftCentral 密钥向 WordPress 站点植入后门The Hacker News

原文

Cloudflare Blog一手

Cloudflare：8 张 eMudhra 中间证书的私钥已泄露

Cloudflare 于2026年10月19日发现8张 eMudhra 中间证书的私钥泄露，因密钥强度不足，攻击者可伪造任意域名证书。Cloudflare 已为 WARP、Cloudflare One 客户端、cloudflared 及部分产品部署更新和缓解措施，但审查尚未发现其服务遭到主动利用。客户应检查实际 TLS 验证路径并更新相关依赖、重建镜像及重启服务，不应通过关闭证书验证来消除错误。

原文

The Hacker News另有 1 家信源报道

LiteLLM 1.107.0 遭软件供应链攻击，发布凭据窃取器与后门

LiteLLM 1.107.0 在软件供应链攻击中被植入凭据窃取器和后门，影响通过 PyPI wheels 与 Docker images 分发的版本。恶意代码可收集云凭据、私钥、浏览器数据及 AI 开发工具认证文件，并连接 GitHub dead drop 执行攻击者提供的 Python；相关 PyPI 包已被隔离，恶意 Docker 镜像已移除。

原文

Chrome Releases一手

ChromeOS Stable 通道推送 16836.19.0 更新

ChromeOS version 16836.19.0（Browser version 156.0.8078.42）已面向 ChromeOS 设备的 Stable 通道推出。更新包含 ChromeOS 第三方 CA 证书及内核组件修复，以及 Chrome 浏览器多项标注为 Critical、High、Medium 和 Low 的 CVE 修复。

原文

Chrome Releases一手另有 1 家信源报道

Chrome 156 桌面版进入稳定通道并修复 353 项安全问题

Chrome 团队将 Chrome 156 推向 Windows、Mac 和 Linux 稳定通道，更新将在未来数日或数周内逐步推出。Linux 构建版本为 156.0.8078.47，Windows/Mac 为 156.0.8078.47 或 156.0.8078.48；此次更新包含修复和改进，并纳入 353 项安全修复。

原文