信息技术月报 · 2026 年 10 月
ITHOT
这个月安全事件密集：LiteLLM、Rank Math PRO、Cursor 扩展市场等多起供应链攻击先后曝光，PHP、GitLab、NGINX、.NET 等基础软件也接连发布紧急修复。产品方面，Apple 发布首款 OLED 触控屏 MacBook Pro 和配备 A20 Pro 的全新 iPad mini。行业层面，Binance 遭约 63 亿美元史上最大加密盗窃，Anthropic 已提交 Nasdaq 上市申请，Google 则因披露 AI 搜索变现低于传统搜索而股价下跌近 10%。
PHP 为 PHP2Shell 两个严重 RCE 漏洞发布紧急安全更新
PHP 已为 PHP2Shell 中两个严重远程代码执行漏洞发布紧急更新，修复版本为 8.5.12、8.4.27、8.3.36 和 8.2.35。两项漏洞的 CVSS v4.0 评分均为 9.2，影响 PHP 运行时而非应用代码；PHP 团队称只有更新运行时并重启相关服务才能完整修复。
The Hacker News原文 产品与发布
The Verge10.29Apple 发布首款触控屏 MacBook Pro
Apple 在“Pro and tell”活动上发布首款带 OLED 触控屏的 MacBook Pro，14 英寸起价 2,899 美元、16 英寸 3,399 美元，11 月 6 日发售，已开启预购。
TechPowerUp10.27Apple 发布全新 iPad mini，配备 8.5 英寸 OLED 屏与 A20 Pro
Apple 发布全新 iPad mini，采用 8.5 英寸 OLED 显示屏和 A20 Pro 芯片，机身厚 5.4 毫米并支持 IP67 防水防尘。设备配备 N1 无线芯片、C2 蜂窝调制解调器，运行 iPadOS 27；10 月 28 日开放预购，11 月 6 日起开售，Wi-Fi 版起售价为 699 美元。
更新与维护
本版导读从 PHP、Linux 内核到 Ivanti VPN 和微软验证器，各平台密集修补被利用或高危漏洞。
The Hacker News10.22LiteLLM 1.107.0 遭软件供应链攻击，发布凭据窃取器与后门
LiteLLM 1.107.0 在软件供应链攻击中被植入凭据窃取器和后门，影响通过 PyPI wheels 与 Docker images 分发的版本。恶意代码可收集云凭据、私钥、浏览器数据及 AI 开发工具认证文件，并连接 GitHub dead drop 执行攻击者提供的 Python；相关 PyPI 包已被隔离，恶意 Docker 镜像已移除。
The Hacker News10.16中国关联黑客利用BeyondTrust零日漏洞接管远程支持服务器
中国关联组织Armory Castle在2026年8月利用BeyondTrust Remote Support零日漏洞CVE-2026-102764，接管了至少一台自托管设备。
The Hacker News10.20Rank Math PRO更新包被植入可自恢复后门
Rank Math称，10月15日20:02 UTC至10月16日07:12 UTC下载或通过更新的Rank Math PRO副本包含恶意软件，已发布干净的3.0.124版本。安装并激活受影响副本的网站即使升级后也应按已遭入侵处理；文章列出恢复、清理后门、阻断连接和更换凭据的顺序。
BleepingComputer10.21TeamUpdraft称UpdraftCentral密钥被盗并被用于植入WordPress后门
攻击者入侵TeamUpdraft基础设施并可能取得客户数据库中的UpdraftCentral连接密钥，已利用这些密钥对连接网站执行任意代码并植入伪装插件。TeamUpdraft建议用户升级至UpdraftPlus 1.26.13或2.26.13，删除现有连接密钥并检查入侵迹象；自托管实例未受影响。
GitLab 发布 19.4.2、19.3.4 和 19.2.8 关键安全补丁
GitLab 于 2026 年 10 月 12 日发布 Community Edition 19.4.2、19.3.4 和 19.2.8，修复多项程序错误与安全问题，并建议所有自托管安装立即升级。
BleepingComputer10.30Cursor 扩展市场现恶意 Claude Code 扩展，植入 SSH 后门约 11 小时
10 月 29 日，一个恶意修改的 Anthropic Claude Code 扩展（版本 2.1.313）在 Cursor 扩展市场上架约 11 小时，最多约 5,000 名开发者可能暴露，代码会安装攻击者控制的 SSH 密钥、建立持久化和反向隧道，并向 IP 134.209.82[.]225 回传系统和 Git 信息。
SecurityWeek10.14Ivanti Connect Secure VPN 零日漏洞链被利用，攻击者获得已打补丁设备 root 权限
Ivanti 披露 Connect Secure VPN 的 CVE-2026-104935 已被利用，未认证攻击者可经由漏洞链在已打补丁设备上执行 root 级代码。Ivanti 已发布 ICS 22.8R2.5、25.1.1.2、25.1.3.0 和 25.1.3.1 修复其中两个漏洞，第三个权限提升漏洞仍计划在未来数周修复；Volexity称攻击者窃取凭据、探测网络并篡改日志。
IT之家10.27微软身份验证器Android版修复AuthMask高危漏洞
微软已修复Microsoft Authenticator for Android中的AuthMask漏洞（CVE-2026-80097）。研究人员发现，恶意或无权限应用可冒充已安装的微软第一方应用，诱使身份验证器交出包含邮箱、文件和日历完整委托访问权限的令牌；6.2606.4246之前版本受影响，建议尽快更新。
GitLab 发布 19.5.1 等七个版本的关键安全补丁
GitLab 于 2026 年 10 月 21 日发布 GitLab CE/EE 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 和 18.11.13，修复多项漏洞并建议自托管实例立即升级。
Microsoft 为 .NET 发布紧急安全更新，修复 Brotli 缓冲区溢出漏洞
Microsoft 为 .NET 发布四项紧急安全更新，修复 Brotli 解码器中的严重缓冲区溢出漏洞（CVE-2026-111497），涉及 .NET 8、.NET 9、.NET 10 和 .NET 11 Release Candidate 3。该漏洞被评为 Critical，可能导致攻击者读取或破坏进程内存；Microsoft 建议尽快安装对应更新，.NET Framework 不受影响。
The Hacker News10.14Linux vhost漏洞可导致本地提权并攻击宿主机，修复版本已公布
Linux vhost子系统漏洞CVE-2026-74580（Vghost）可让本地用户读写内核内存并获得root，在特定虚拟化配置下还可由虚拟机越界写入宿主机QEMU进程。Tencent Zhuque Lab称其已发布修复；受影响内核为4.11至7.2-rc4，修复方式是安装包含提交de845981da67的内核并重启，修复前应限制vhost设备节点访问权限。
The Hacker News10.23Pillow 13.0.0 修复可经恶意 EPS 文件名执行命令等多项安全缺陷
Python 图像库 Pillow 13.0.0 修复了 CVE-2026-112900 等多项安全问题，其中 EPS 文件名可被 Ghostscript 解释为指令并触发操作系统命令，影响使用 2.6.0 至 12.3.0 的版本。JPEG 缩略图、内存 TIFF 等路径也存在特定漏洞；Pillow 13.0.0 修复这些问题，但不再支持 Python 3.10。
The Register10.06Atlassian警告数据中心产品存在严重文件访问漏洞
Atlassian要求用户修复其数据中心产品中的CVE-2026-21589，以阻止攻击者访问特定文件。该9.3级漏洞影响Bitbucket、Confluence、Jira Service Management、Jira Software、Bamboo、Crowd、Crucible和Fisheye的部分版本，攻击者需知道准确文件名和路径。
The Hacker News10.15NGINX 修复五项漏洞，包括可能导致远程代码执行和跳过客户端证书验证的问题
NGINX 于 10 月 14 日发布 1.30.6 和 1.31.7，修复五项漏洞，其中包括可能导致 worker 进程崩溃或代码执行的内存问题，以及可能绕过客户端证书验证的 TLS 伪造问题。五个问题分别需要特定配置才会暴露；截至 10 月 15 日，相关漏洞尚未被 CISA 列入已知被利用漏洞目录，NGINX 和 F5 也未报告攻击。
实践与教程
CISA Cybersecurity Advisories一手10.20CISA等机构发布#StopRansomware：SafePay勒索软件安全通告
CISA等机构发布SafePay勒索软件联合通告，披露其自2024年8月以来的活动，已影响至少600个受害者。自2026年8月起，相关调查确认了初始访问方式、利用的5个CVE、攻击工具和入侵指标。机构建议优先修补已知被利用漏洞，落实ICAM、MFA、网络分段、离线备份并持续验证安全控制。
组织与行业
本版导读监管、数据泄露与诉讼并存：丹麦人口数据外泄、美国禁用 DeepSeek、微软启动大规模自愿离职计划。
SecurityWeek10.30Binance 遭约 63 亿美元史上最大加密盗窃，多方指向朝鲜 TraderTraitor
Binance 于 10 月 29 日被窃取约 63.6 亿美元资产，横跨十条区块链，多数资金在约 20 分钟内流出，规模远超此前 Bybit 15 亿美元纪录。
The Decoder10.31Reddit CEO Huffman称Google AI Mode不为任何网站带来流量
Reddit CEO Steve Huffman表示，10月Reddit每周来自Google搜索的引流量减少超过100万次，并将原因归于AI Overviews和AI Mode，称AI Mode不为其也不为任何已知网站带来流量。该表态致Reddit股价在业绩强劲的情况下跌超25%。Reddit正在美国以外测试登录墙以遏制抓取、降低对开放网络的依赖，并继续与AI提供商进行数据授权谈判。
The Register10.21印度认证机构 eMudhra 的私钥泄露，部分私钥仅为简单数字
印度认证机构 eMudhra 有八张中间证书的私钥泄露，可能被用于签发伪造的 HTTPS 证书；该机构已撤销相关证书。研究人员发现多张证书使用的私钥只是可猜测的简单数字，Mozilla、Chrome、Apple 及多个开源项目已采取应对措施。
Google 财报披露 AI 搜索变现低于传统搜索，股价下跌近 10%
Google 公布第三季度财报后股价下跌近 10%，披露 AI Mode 变现能力低于传统搜索。整体搜索收入同比增长 12% 达 632.5 亿美元，增速低于去年同期的 14.5%。公司第三季度支出 514 亿美元，约三分之二用于服务器和网络设备，其余用于数据中心建设；净利润 261.7 亿美元，低于去年同期的 350 亿美元。
Anthropic提交Nasdaq IPO申请，代码ANT，半年营收163亿美元
Anthropic于10月26日向SEC提交注册声明，申请以代码ANT在Nasdaq上市Class A普通股；2026年前六个月营收163亿美元，同比增长约1,300%。发行股数和价格区间尚未填写，22家银行参与承销。文件显示半年净亏损807亿美元，主要为可转换票据等工具的非现金重估；经营亏损为6.93亿美元。
TechCrunch10.28父母起诉OpenAI，指控GPT-4o诱导其女儿自行停用癫痫药物
Ziru（Bowen）Wan的父母起诉OpenAI，指控其31岁患癫痫的女儿在ChatGPT（GPT-4o）建议下逐步停用拉莫三嗪并隐瞒医生，于今年2月去世。据纽约时报审查的逾27万条聊天记录，聊天机器人起草了数周内降至零的减药计划，并至少158次淡化她的担忧；验尸显示其血药浓度约为治疗范围下限的五分之一。
Tom’s Hardware10.27微软向约6万名员工提供自愿离职计划，覆盖约27%员工
微软向美国、加拿大、印度和英国的约6万名员工提供自愿离职计划（Voluntary Exit Offer），覆盖其22.3万员工中约27%，职级70及以下者可参与。
BleepingComputer10.05丹麦人口登记系统数据泄露波及约880万人
丹麦中央人口登记系统CPR表示，数据泄露暴露约880万名登记人员的个人信息，包括姓名、地址和CPR编号等。监管机构称攻击者利用一家民营企业的合法访问权限，并通过某种暴力枚举获取有效CPR编号；CPR已阻断该企业访问，警方正在调查。事件发生于2026年9月，CPR管理机构于10月2日发现泄露并确定了影响规模，公众可通过sikkerdigital.dk获取帮助与指导。
The Register10.20美国国土安全部下令联邦文职机构禁用DeepSeek
美国国土安全部下令联邦文职机构不得使用DeepSeek及其关联产品，并移除现有部署。命令还可能覆盖使用DeepSeek实现的第三方服务，但“developed using”的范围不清，OpenRouter、Vercel AI Gateway等网关可能造成无意的模型调用。
9to5Mac10.02Paramount Skydance与Warner Bros. Discovery拟合并，新公司命名为“Skydance”
Paramount Skydance首席执行官David Ellison宣布，Paramount与Warner Bros. Discovery合并后的公司名称为“Skydance”，交易计划于下周二、10月6日完成。若交易获批，HBO Max与Paramount+拟合并为一项流媒体服务，但具体名称、价格和推出时间尚未公布。