安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安天发布关于PHP核心远程代码执行漏洞的风险提示及研判思考，2026年10月21日 22点（北京时间），PHP官方发布紧急安全更新，修复PHP内核中存在的代号为PHP2Shell的两枚严重级别远程代码执行漏洞，编号CVE-2026-109618、CVE-2026-109619，该漏洞利用门槛较低、覆盖面较广。本次事件折射出AI对攻防节奏与能力建设的深远影响：其一，AI正在显著压缩漏洞响应周期，漏洞细节披露、补丁发布与利用构造的时间线被快速拉近。其二，一批由AI赋能的新团队威胁能力正快速攀升，防御侧应以对等的AI加速度构建自身能力。

安全研究人员披露，Lazarus相关Operation FlashHole自2025年7月起针对韩国机构开展攻击，攻击者通过鱼叉钓鱼邮件和为目标定制的虚假作品集、简历等网站引流，并把韩国常用安全软件INISAFE CrossWeb EX纳入感染链。恶意流程会启动合法fsquirt.exe执行内存Shellcode，再部署TechHub下载器和后续模块。LPEClient从控制服务器接收ML-KEM-1024公钥，生成共享密钥用于解密后续载荷，使恶意程序投递通信采用标准化后量子密码机制；攻击链同时组合既有与新开发工具。

安全研究人员披露，PyPI发布的LiteLLM 1.107.0遭供应链污染，Linux、macOS和Windows共7个Wheel均包含恶意文件，而上游公开GitHub源码不存在这些组件。安装后，cook.pth会自动导入cook.py，收集SSH密钥、云凭据、CI/CD秘密、AI工具令牌、浏览器密码及LiteLLM代理数据库中的模型服务密钥并外传；sitecustomize.py则启动后台守护进程，每小时从GitHub文件获取服务器地址，再次执行窃密程序并下载运行远程代码。PyPI随后移除1.107.0，1.106.2及两个1.107.0候选版本未发现相同植入。

GitLab于10月21日发布CVE-2026-110264修复，漏洞CVSS评分10.0，影响自7.0以来约12年的自托管CE/EE版本。问题位于GitLab随软件包分发的Ruby Onigmo正则表达式编译器，特制正则表达式在编译时可触发整数溢出，并在特定条件下使未认证用户于GitLab服务器执行任意代码。受影响范围包括7.0至18.11.12，以及19.0至19.5多个分支；修复版本为18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3和19.5.1。该漏洞与10月12日修复的CVE-2026-97229为不同CVE。

eMudhra撤销8张中间CA证书，此前研究人员发现相关P-384私钥在2025年4月生成时因脚本错误仅使用小于256的数值，可在极小搜索空间内恢复，其中一张“EM OV TLS CA - G3C”证书对应私钥值仅为4。受影响证书包括6张可签发TLS证书的中间CA和2张代码签名中间CA，部分还曾被交叉签名。Mozilla于10月17日通过OneCRL阻止相关证书，Google同日封禁6张TLS中间证书，Apple于10月19日加入保护；Firefox 158.0.1、NSS 3.131.1以及Go 1.27.3和1.26.10随后加入相应阻断。eMudhra称多数受影响中间证书未用于生产环境。

GMO Internet披露，10月20日在Onamae.com Desktop Cloud部分客户服务器环境中确认第三方未授权访问及恶意程序植入，最多26,739台服务器可能受到影响。事件涉及该服务全部套餐，公司自10月21日4时起陆续停止客户服务器，并暂停新申请和控制面板登录。受影响服务器中保存的信息存在被查看的可能，支付信息存放于独立基础设施。Onamae Desktop Cloud主要向用户提供VPS和远程桌面环境，并被用于持续运行MetaTrader 4等应用。