每日安全情报报告 · 2026-10-21- 惊觉

每日安全情报报告 · 2026-10-21

由 AI 整理发布

报告日期：2026-10-21（GMT+8）
覆盖范围：近 24–48 小时（2026-10-19 ~ 2026-10-21）新增/升级披露的高危漏洞、漏洞 PoC 与网络安全文章
风险总览：新增 2 个待修补紧急零日（PHP 核心 RCE）、1 个已公开 PoC 的 FortiSIEM 未认证 RCE、Plex2Shell 在野利用链进入 CISA KEV，以及 CISA 于 10-20 一次性将 6 个在野漏洞纳入 KEV。整体风险等级：高。

风险标记	含义
🔴 严重/紧急	CVSS ≥ 9.0 或已出现在野利用/公开 PoC
🟠 高危	CVSS 7.0–8.9 或关键基础设施风险
🟡 注意	已修复但需重点关注或潜在连锁风险

一、最新高危漏洞

1. 🔴 PHP 核心远程代码执行「php2shell」— CVE-2026-109618 / CVE-2026-109619

漏洞类型：核心解释器远程代码执行（RCE，CWE-94 代码注入 / CWE-787 越界写，疑似与会话上传进度 php_session_rfc1867_callback 的 UAF 相关，待官方确认）
受影响组件：PHP 5 / 6 / 7 / 8 全系（影响范围尚未由官方确认；watchTowr 称可回溯至 PHP 5）
CVSS 评分：9.2（CVSS v4.0，PHP 官方评级）；泄露信息曾称 10.0（未证实）
在野利用：暂未发现（Huntress、watchTowr 截至 10-20 未发现野利用）
修复状态：紧急安全更新定于 2026-10-21 14:00 UTC（北京时间 22:00）发布；仅 PHP 8.2–8.5 四个受支持分支会收到补丁（预计版本 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35，待官方确认），PHP 8.1 及更早版本为 EOL，无官方补丁。约 88.4 万公网主机仍运行 PHP ≤ 8.1（占报告版本主机的 59%）。
备注：10-20 embargo（封禁期）信息提前泄露，watchTowr 已确认漏洞真实并复现 CVE-2026-109618，但暂未公开技术细节；流传一段名为「PHP2Shell」的利用演示视频（覆盖 WordPress 7.1.3、MediaWiki、phpBB、Magento、Joomla、Laravel、Symfony、Drupal、WHMCS 等），暂无公开武器化 PoC 仓库。
官方信息：PHP 官方预告｜ CERT-EU 安全通告 2026-018 ｜ NVD CVE-2026-109618 ｜ NVD CVE-2026-109619
延伸报道：The Hacker News 报道｜ Huntress 快速响应｜ BleepingComputer ｜ Ars Technica ｜安全内参（奇安信）中文解读

2. 🔴 FortiSIEM gRPC 路径穿越致未认证 RCE — CVE-2026-106173

漏洞类型：路径穿越（CWE-22）→ 任意文件写 → 计划任务触发 RCE
受影响组件：FortiSIEM 7.5.0（修复于 7.5.1；7.6 与 FortiSIEM Cloud 不受影响）
CVSS 评分：9.4（Fortinet FG-IR-26-180）/ 9.8（NVD）
在野利用：暂未确认；公开 PoC 已发布（Horizon3.ai，2026-10-20）
利用面：phQueryMaster 在 TCP 27918 暴露 gRPC 服务且无客户端证书校验；SendQueryResult 将用户可控 query-id 直接拼入路径，结合 NUL 字节注入可精确覆盖任意文件；攻击者可覆写每 60 秒由 cron 执行的 /opt/charting/redishb.sh 实现代码执行。
官方/研究：Fortinet 通告 FG-IR-26-180 ｜ Horizon3.ai 深度分析 + PoC ｜ NVD 详情

3. 🔴 Plex Media Server「Plex2Shell」未认证 RCE 链 — CVE-2026-96652 / 96654 / 96655 / 96656

漏洞类型：SSRF + URL 注入 + 文件写组合链，无需登录即可 RCE（窃取管理员令牌后加载恶意 .so）
受影响组件：Plex Media Server < 1.43.3.10861（已于 2026-08-03 修复，但大量家庭/NAS 实例未更新）
CVSS 评分：最高 8.6（CVE-2026-96656 任意文件写，CVSS v4.0）；其余 5.3–6.9
在野利用：🔥 已确认在野（2026-10-17 起 honeypot 捕获，投递 XMRig 挖矿 + myawesomeproxy 住宅代理后门）
KEV：CISA 于 2026-10-20 纳入 KEV，整改截止 2026-11-03
利用源 IP：45.194.92.222、91.92.40.202、176.65.139.228；载荷主机 217.60.194.116；回连 ota.proxystream[.]st
官方/研究：Plex 官方安全公告｜研究者 Plex2Shell 原文｜ Security Affairs 报道｜ CISA KEV 条目

4. 🔴 SiteGuard Server WAF 操作系统命令注入 — CVE-2026-106931

漏洞类型：OS 命令注入（CWE-78），位于统计功能模块
受影响组件：EG Secure Solutions SiteGuard Server Edition
CVSS 评分：8.5（CVSS v4.0）
在野利用：🔥 已确认在野（日本紧急预警；CISA 2026-10-20 纳入 KEV，截止 2026-11-03）。利用统计功能可借 root（Unix）或 SYSTEM（Windows）权限执行命令；厂商提示打补丁可能清除入侵痕迹，需先做取证。
报道：BleepingComputer 报道｜ SecurityWeek 报道｜ CISA KEV 条目

5. 🟠 Siemens Software Center DLL 搜索路径劫持 — CVE-2026-110936

漏洞类型：未受控搜索路径元素（CWE-427）DLL 侧加载
受影响组件：Siemens Software Center（全版本）
CVSS 评分：8.4（CVSS v4.0）
在野利用：CISA 2026-10-20 纳入 KEV（截止 2026-11-03）；需本地高权限账户方可放置恶意 DLL
官方：Siemens 安全公告 SSA-580366 ｜ NVD 详情

6. 🟠 PAN-OS GlobalProtect 认证绕过遭勒索软件利用 — CVE-2026-0257

漏洞类型：认证绕过 → 建立未授权 GlobalProtect VPN 会话、绕过 MFA
受影响组件：Palo Alto Networks PAN-OS / Prisma Access
利用现状：🔥 Unit 42 观测到 Qilin、INC 等勒索软件团伙利用该（此前已修复的）漏洞，横向至 vCenter、域控并导出凭据
报道：Palo Alto Unit 42 分析｜ CyberSecBrief 日报

7. 🟠 Oracle 2026 年 10 月关键补丁更新（CPU）— E-Business Suite SQL 注入 CVE-2026-101767

漏洞类型：SQL 注入（Oracle E-Business Suite）
受影响组件：Oracle EBS 等多产品；本季 CPU 共修复 1,295 个漏洞
CVSS 评分：待官方公告；Horizon3 预告将披露 EBS SQLi 细节
报道：SANS Stormcast 10-21 播客｜ Oracle CPU 公告

8. 🔴 Drupal Field UI 核心 RCE — CVE-2026-108097 / 实体列表模块 CVE-2026-108099

漏洞类型：核心 Field UI 将表行数据当作 PHP callable 执行（反序列化式 RCE）；需配合将用户输入传入 Field UI 表的模块（无需认证路径已存在）
受影响组件：Drupal 8.9.0–10.6.18 / 11.0.0–11.3.18 / 11.4.0–11.4.9 / 12.0.0 beta 前；Entity List < 3.0.10
CVSS 评分：严重 19/25（Drupal 评级）
PoC：2026-10-20 Fortbridge 研究员 Adrian Tiron 发布完整技术分析与实验室利用代码
官方/研究：Drupal SA-CORE-2026-014 ｜ Fortbridge 技术分析（含 lab PoC）｜ NVD CVE-2026-108097

二、最新漏洞 PoC（含使用步骤）

标注说明：【PoC 利用】 = 已有公开可利用代码；【检测/版本核查】 = 暂无以利用为目的的公开代码，提供检测与资产清点步骤。

PoC 1 【PoC 利用】FortiSIEM CVE-2026-106173（Horizon3.ai 公开）

# 1. 获取 PoC
git clone https://github.com/horizon3ai/CVE-2026-106173
cd CVE-2026-106173

# 2. 安装依赖
pip install grpcio grpcio-tools

# 3. 查看用法（参数以仓库 README 为准，勿对未授权目标使用）
python3 exploit.py --help

# 4. 针对性检测（无 PoC 时，先做暴露面与完整性核查）
nmap -p 27918 <TARGET_IP>            # 确认 27918 是否对不可信网络开放
stat /opt/charting/redishb.sh /opt/phoenix/bin/phLicenseTool   # 检查 mtime 是否异常

要点：漏洞利用需在 raw gRPC 消息中嵌入 NUL 字节（curl/标准库会被拦截），请仅在授权靶场复现。
来源：Horizon3.ai 深度分析 + PoC

PoC 2 【PoC 利用】Plex2Shell 链 CVE-2026-96652/96654/96655/96656（在野）

# 1. 获取 PoC（仅用于授权环境）
git clone https://github.com/code-zm/plex2shell
cd plex2shell

# 2. 依赖
pip install requests

# 3. 执行（参数为示意，以仓库 README 为准）
python3 plex2shell.py -t <PLEX_TARGET>     # 针对暴露的 Plex 服务器

# 4. 检测入侵痕迹
# 进程名 mylovelyminer / myawesomeproxy
# 回连 ota.proxystream[.]st、217.60.194[.]116
# Plex Codecs 目录异常 .so 文件

来源：code-zm/plex2shell 仓库｜研究者原文 zmain.info ｜ BoredHackerBlog 在野捕获与 pcap
防护：升级至 1.43.3.10861+；避免将 32400 端口直连公网；限制 Plex 主机出网。

PoC 3 【检测/版本核查】PHP「php2shell」CVE-2026-109618/109619

# 1. 资产清点：枚举所有 PHP 解释器与版本、SAPI
php -v
find / -type f -name "php" 2>/dev/null | while read p; do echo -n "$p => "; "$p" -v 2>/dev/null | head -1; done

# 2. 进程监控：观察 php-fpm / php-cgi 是否派生 shell、curl、wget、包管理器
# 参考 Florian Roth 的进程监视思路（监控 php 进程启动的子进程命令行）

# 3. 临时缓解（无法立即升级时）
# - EOL 分支（5/7/8.0/8.1）：下线、VPN/IP 白名单、WAF 前置
# - php-cgi 部署：设置 cgi.fix_pathinfo=0
# 4. 补丁发布后立即升级（10-21 14:00 UTC / 22:00 北京时间），重启 PHP-FPM/Web 服务

状态：暂无公开武器化 PoC，watchTowr 暂未公开细节；以资产清点和进程监控为主。
来源：PHP 官方预告｜ CERT-EU 2026-018

PoC 4 【PoC 利用】Drupal Field UI CVE-2026-108097

状态：Fortbridge 于 2026-10-20 发布完整技术分析与实验室利用代码；利用链从文件披露到无登录命令执行。
检测/缓解：

# 版本核查
drush core:status 2>/dev/null | grep -i "drupal version"   # 或后台查看
# 缓解：升级至 10.6.19 / 11.3.19 / 11.4.10；卸载/限制 Field UI 及将用户输入传入 Field UI 表的模块

来源：Fortbridge 分析（含 lab PoC）｜ Drupal SA-CORE-2026-014

PoC 5 【检测/版本核查】SiteGuard CVE-2026-106931（在野）

# 版本核查：联系 EG Secure Solutions 获取受影响版本范围并升级
# IoC/取证：检查 SiteGuard 进程下异常 OS 命令执行、未知脚本文件
# 注意：厂商提示打补丁可能清除入侵痕迹，需先取证（快照/日志转发 SIEM）

来源：CISA KEV 条目｜ BleepingComputer

三、网络安全最新文章

PHP2Shell：两个未修补的关键 PHP RCE 触发紧急安全警报 — The Hacker News 详解 embargo 泄露、影响范围与 6 步应对。阅读原文
FortiSIEM 关键漏洞公开利用 PoC（未认证 RCE） — The Hacker News 报道 Horizon3 PoC 发布，强调 SIEM 自身被攻陷的“看门狗失守”风险。阅读原文
Plex2Shell 被用于在野攻击：投挖矿与住宅代理后门 — Security Affairs 复盘四 CVE 链与 ELF 构造器加载机制。阅读原文
CISA 将六个在野漏洞纳入 KEV（Plex ×4、SiteGuard、Siemens） — Enigma Global 汇总 10-20 新增条目与整改期限。查看详情
eMudhra 中级 CA 私钥仅 1 字节长，8 张证书被吊销 — The Register / SANS：HSM 密钥生成脚本错误导致私钥极弱，浏览器已拦截，curl 等自带 CA 包需更新。SANS Stormcast 10-21
OVHcloud CLI 被攻陷投毒（GlassWorm） — 攻击者篡改 0.11.0–0.15.0 版本分发信息窃取器，约 94 分钟后被拦截。BleepingComputer 报道
AOMEI Backupper 供应链投毒（UNC7017） — ManageEngine：攻击者篡改推广配置下发 SHINYROAD 后门与 Radmin。查看详情
勒索软件利用 PAN-OS 认证绕过直达虚拟化层 — Unit 42：Qilin/INC 借 CVE-2026-0257 绕过 MFA、横向至 vCenter 与域控。Unit 42 分析
Drupal Field UI 关键 RCE 公开 PoC — al-ice.ai 技术拆解“表行即 callable”缺陷与无需认证利用路径。阅读原文
每日安全简报（2026-10-21） — CyberSecBrief 汇集 eMudhra CA、OVHcloud CLI、AOMEI、PAN-OS 等 10+ 条。查看详情

四、持续在野 / KEV 重点标注（整改未到期或持续活跃）

CVE	产品	CVSS	状态	说明
CVE-2026-102764	BeyondTrust Remote Support	9.3	🔥 在野 / KEV	ARMORY CASTLE 零日，SAWFLY webshell + BARECLAW；整改到期 10-19，须重建+轮换凭据
CVE-2025-61624	Fortinet	—	🔥 在野 / KEV	路径穿越，整改到期 10-19
CVE-2026-106931	SiteGuard Server WAF	8.5	🔥 在野 / KEV	见上文，截止 11-03
CVE-2026-96652/96654/96655/96656	Plex Media Server	5.3–8.6	🔥 在野 / KEV	Plex2Shell，截止 11-03
CVE-2026-110936	Siemens Software Center	8.4	KEV	截止 11-03
CVE-2026-76519	Cisco SEG	9.8	KEV	文件写入→root RCE，持续活跃
CVE-2026-105133/105134	AhsayCBS	10.0	KEV	链式投毒 XMRig（伪装 edge.exe）
CVE-2026-104935	Ivanti Connect Secure	8.6	KEV	UTA0576 在野，整改到期 10-16
CVE-2026-0322	PAN-OS	8.6	KEV	管理接口代码注入→root，非常有限在野
CVE-2026-21589	Atlassian Data Center	9.3	KEV	公开 PoC 后数小时即在野

五、防护建议小结

PHP（最高优先）：立即清点全部 PHP 实例（含容器、cPanel/Plesk、Windows 软件内嵌）；10-21 14:00 UTC 补丁发布后第一时间升级 8.2–8.5 分支并重启；EOL 版本下线或前置 WAF/VPN。
FortiSIEM：7.5.0 升级至 7.5.1+；立即阻断 TCP 27918 对不可信网络的暴露，并核查 redishb.sh/phLicenseTool 文件完整性。
Plex：升级至 1.43.3.10861+，关闭 32400 公网暴露，排查挖矿/代理进程与异常 .so。
KEV 资产（Plex/SiteGuard/Siemens/BeyondTrust 等）：按截止日（11-03 / 已过期项立即）完成修补，并在修补前做取证与失陷排查。
供应链：排查 OVHcloud CLI（0.11.0–0.15.0）、AOMEI Backupper 更新通道、以及任何近期“签名即安全”的第三方二进制。

部分内容由 AI 辅助生成

转载自 CSDN-专业IT技术社区

原文链接：https://blog.csdn.net/weixin_45635831/article/details/168652801

每日安全情报报告 · 2026-10-21

每日安全情报报告 · 2026-10-21

一、最新高危漏洞

1. 🔴 PHP 核心远程代码执行「php2shell」— CVE-2026-109618 / CVE-2026-109619

2. 🔴 FortiSIEM gRPC 路径穿越致未认证 RCE — CVE-2026-106173

3. 🔴 Plex Media Server「Plex2Shell」未认证 RCE 链 — CVE-2026-96652 / 96654 / 96655 / 96656

4. 🔴 SiteGuard Server WAF 操作系统命令注入 — CVE-2026-106931

5. 🟠 Siemens Software Center DLL 搜索路径劫持 — CVE-2026-110936

6. 🟠 PAN-OS GlobalProtect 认证绕过遭勒索软件利用 — CVE-2026-0257

7. 🟠 Oracle 2026 年 10 月关键补丁更新（CPU）— E-Business Suite SQL 注入 CVE-2026-101767

8. 🔴 Drupal Field UI 核心 RCE — CVE-2026-108097 / 实体列表模块 CVE-2026-108099

二、最新漏洞 PoC（含使用步骤）

PoC 1 【PoC 利用】FortiSIEM CVE-2026-106173（Horizon3.ai 公开）

PoC 2 【PoC 利用】Plex2Shell 链 CVE-2026-96652/96654/96655/96656（在野）

PoC 3 【检测/版本核查】PHP「php2shell」CVE-2026-109618/109619

PoC 4 【PoC 利用】Drupal Field UI CVE-2026-108097

PoC 5 【检测/版本核查】SiteGuard CVE-2026-106931（在野）

三、网络安全最新文章

四、持续在野 / KEV 重点标注（整改未到期或持续活跃）

五、防护建议小结

评论

评论列表

微信小程序

QQ小程序

关于作者