信息技术周报 · 2026 年第 43 周 · 10.19 — 10.25
ITHOT
OpenBSD 8.0强化虚拟机与显卡支持，vLLM v0.32.0扩展模型服务与低精度缓存。安全战线聚焦PHP2Shell、WordPress插件、命令行工具及证书私钥泄露，多起事件已推动紧急补丁和凭据处置。机构层面，SafePay通告强化勒索软件防护，美国国土安全部则限制联邦文职机构使用DeepSeek。
PHP 为 PHP2Shell 两个严重 RCE 漏洞发布紧急安全更新
PHP 已为 PHP2Shell 中两个严重远程代码执行漏洞发布紧急更新，修复版本为 8.5.12、8.4.27、8.3.36 和 8.2.35。两项漏洞的 CVSS v4.0 评分均为 9.2，影响 PHP 运行时而非应用代码；PHP 团队称只有更新运行时并重启相关服务才能完整修复。
The Hacker News原文 产品与发布
Linuxiac10.20OpenBSD 8.0 发布，支持虚拟机使用 64 个虚拟 CPU 与 Intel Arc A-Series 显卡
OpenBSD 8.0 发布，这是该安全型类 Unix 操作系统第 61 次发布，内置 VMM/VMD 虚拟机支持每个客户机最多 64 个虚拟 CPU。系统加入 Intel Arc A-Series 显卡支持，将 DRM 驱动更新至 Linux kernel 6.18.53，并把 amd64 内核虚拟地址空间从 4 GB 扩展到 512 GB。
更新与维护
本版导读GitLab批量修补漏洞，Exchange更新引发服务异常，OVHcloud CLI与OpenCode Console需完成清理和密钥轮换。
The Hacker News10.22LiteLLM 1.107.0 遭软件供应链攻击，发布凭据窃取器与后门
LiteLLM 1.107.0 在软件供应链攻击中被植入凭据窃取器和后门，影响通过 PyPI wheels 与 Docker images 分发的版本。恶意代码可收集云凭据、私钥、浏览器数据及 AI 开发工具认证文件，并连接 GitHub dead drop 执行攻击者提供的 Python；相关 PyPI 包已被隔离，恶意 Docker 镜像已移除。
The Hacker News10.20Rank Math PRO更新包被植入可自恢复后门
Rank Math称，10月15日20:02 UTC至10月16日07:12 UTC下载或通过更新的Rank Math PRO副本包含恶意软件，已发布干净的3.0.124版本。安装并激活受影响副本的网站即使升级后也应按已遭入侵处理；文章列出恢复、清理后门、阻断连接和更换凭据的顺序。
BleepingComputer10.21TeamUpdraft称UpdraftCentral密钥被盗并被用于植入WordPress后门
攻击者入侵TeamUpdraft基础设施并可能取得客户数据库中的UpdraftCentral连接密钥，已利用这些密钥对连接网站执行任意代码并植入伪装插件。TeamUpdraft建议用户升级至UpdraftPlus 1.26.13或2.26.13，删除现有连接密钥并检查入侵迹象；自托管实例未受影响。
GitLab 发布 19.5.1 等七个版本的关键安全补丁
GitLab 于 2026 年 10 月 21 日发布 GitLab CE/EE 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 和 18.11.13，修复多项漏洞并建议自托管实例立即升级。
TechCrunch10.24PHP-ocalypse：两项严重 Web 漏洞险些酿成互联网大规模中断
PHP Foundation 发布补丁，修复可导致未认证远程代码执行的 PHP2Shell 漏洞（CVE-2026-109618、CVE-2026-109619），相关漏洞影响约 70% 面向互联网的 Web。
The Hacker News10.20攻击者劫持OVHcloud CLI五个发布版本并植入窃取密钥的恶意构建
攻击者劫持OVHcloud贡献者的GitHub账户，替换了v0.11.0至v0.15.0五个发布版本的部分文件，以分发窃取磁盘密钥的恶意构建。替换文件曾在线最长94分钟，影响macOS、Linux x86_64或arm64及Windows x86_64中通过特定路径安装或更新的用户。
The Hacker News10.19OpenCode Console 入侵事件可能暴露 OpenAI、Anthropic 和 Google API 密钥
OpenCode 表示，入侵者于10月16日夜间进入其一个遗留系统，可能暴露部分用户保存在 OpenCode Console 中的第三方 AI 密钥，涉及占 Console 用户 1.4% 的群体。公司已通过邮件要求相关用户在各提供商处撤销并更换密钥，同时检查至少自10月16日以来的用量和账单；OpenCode 尚未确认密钥是否被复制或使用，并将事件称为仍在持续、且与大规模蒸馏攻击有关。
The Hacker News10.23Arista警告VeloCloud Orchestrator遭零日SQL注入攻击利用
Arista警告称，攻击者正在利用VeloCloud Orchestrator的零日SQL注入漏洞CVE-2026-114625获取操作员权限。该漏洞需要访问编排器Web界面并拥有有效登录账号，最低可为Enterprise Read Only；VeloCloud Gateway和VeloCloud Edge不受影响。
BleepingComputer10.19微软确认 Windows Server 更新导致 Exchange 登录与邮件流中断
微软确认，October 2026 Windows Server 安全更新会导致运行 Windows Server 2019 及更高版本的 Exchange Server 出现 OWA 登录、邮件发送和邮箱访问问题。更新新增的 Endpoint Mapper 默认 512 个并发调用限制在高负载下可能不足；微软正开发修复，并提供修改注册表、重启设备后监控环境的临时方案。
Digital Trends10.24AI发现PHP2Shell严重漏洞，全球网站遭遇数百万次攻击尝试
安全机构借助大语言模型发现PHP2Shell严重漏洞，全球网站随后遭遇数百万次漏洞利用尝试，攻击规模在45分钟内从数万次升至隔夜数百万次。该漏洞可能允许攻击者接管Web服务器、窃取数据并进一步入侵网络，PHP Foundation已发布安全补丁，部分政府服务因此暂时下线。
vLLM 官方发布一手10.17vLLM v0.32.0 发布：新增结构化决策接口、Model Runner V2 与低精度 KV cache
vLLM v0.32.0 发布，共包含 814 个提交，并新增 POST /v1/systemone、通用 hf 解析器和 Model Runner V2。该版本扩展 EmbeddingGemma 2、MiniCPM-V 4.7 等模型支持，同时引入 NVFP4、FP8 等低精度 KV cache。
Hackaday10.23本周安全动态：微软补丁创纪录，PHP、CA 证书、WiFi 与 NGINX 曝漏洞
本周安全综述汇总了微软一次修复逾 1,400 个漏洞、eMudhra 八张中间证书私钥泄露、PHP 内存限制绕过和 Broadcom WiFi 长期漏洞等事件。文章还涵盖 GitLab、Node.js、HTTP/3、UpdraftPlus、NGINX 与 Linux 内核问题，并列出部分临时缓解措施及受影响版本。
The Hacker News10.21eMudhra 八张 CA 证书私钥泄露，触发浏览器与软件紧急修复
eMudhra 的八张中间 CA 证书私钥已泄露，Chrome、Mozilla、Apple、Microsoft 等已采取阻断或撤钥措施。Go、NSS、Firefox、Python certifi 等项目陆续发布更新或调整信任库，但部分修复可能切断现有证书链，具体影响取决于软件版本与吊销检查机制。
实践与教程
CISA Cybersecurity Advisories一手10.20CISA等机构发布#StopRansomware：SafePay勒索软件安全通告
CISA等机构发布SafePay勒索软件联合通告，披露其自2024年8月以来的活动，已影响至少600个受害者。自2026年8月起，相关调查确认了初始访问方式、利用的5个CVE、攻击工具和入侵指标。机构建议优先修补已知被利用漏洞，落实ICAM、MFA、网络分段、离线备份并持续验证安全控制。
Cloudflare通过优化AI代码审查将平均成本降低68%
Cloudflare通过优化缓存、减少模型调用、调整模型与 effort，将AI代码审查的平均成本从2.43美元降至0.77美元，下降68%，中位耗时从4分09秒降至1分32秒。文章还比较了不同审查器和 effort 对严重问题发现质量的影响，代码质量高 effort 保持实际发现数量，而性能和安全审查仍需继续测试高 effort。
组织与行业
The Register10.21印度认证机构 eMudhra 的私钥泄露，部分私钥仅为简单数字
印度认证机构 eMudhra 有八张中间证书的私钥泄露，可能被用于签发伪造的 HTTPS 证书；该机构已撤销相关证书。研究人员发现多张证书使用的私钥只是可猜测的简单数字，Mozilla、Chrome、Apple 及多个开源项目已采取应对措施。
The Register10.20美国国土安全部下令联邦文职机构禁用DeepSeek
美国国土安全部下令联邦文职机构不得使用DeepSeek及其关联产品，并移除现有部署。命令还可能覆盖使用DeepSeek实现的第三方服务，但“developed using”的范围不清，OpenRouter、Vercel AI Gateway等网关可能造成无意的模型调用。