安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安天综合研判，鉴于PHP2Shell漏洞的影响及危害，发布PHP2Shell漏洞（CVE-2026-109618、CVE-2026-109619）处置响应指引，供运维、安全及应急人员开展资产排查、风险评估、加固验证与持续监测，快速落实处置，防范漏洞利用、服务器失陷及内网横向渗透风险。PHP2Shell漏洞为PHP代码执行类高危漏洞，攻击者可通过构造特殊请求，利用漏洞实现代码执行，直接写入WebShell，获取服务器控制权，存在数据泄露、业务篡改、挖矿、勒索等高风险。

安全研究人员披露，AI编程工具OpenCode在Windows及WSL环境中存在MCP OAuth认证流程命令注入问题，影响1.0.137至1.18.32版本。开发者执行opencode mcp auth或发起对应授权操作时，远程MCP服务器会提供OAuth授权端点地址，OpenCode将其交给浏览器启动辅助工具，但该工具把外部URL拼入PowerShell命令时未正确转义。攻击者控制已配置的MCP服务器或其返回的端点地址，即可借授权流程以开发者当前权限执行命令。Pillar Security于10月19日公开研究及技术复现，开发方Anomaly已在9月28日发布1.18.33版本修复。该问题与此前OpenCode Console存储API密钥的安全事件不同。

安全研究人员披露，V12审计x402协议的软件开发工具包，发现25项安全缺陷，其中三项被研究团队评为严重。默认客户端曾未设置支付金额上限，自动签署x402支付请求的AI代理若接入恶意API且应用未另行设置限制，可被诱导签署花费整个受支持代币余额的请求。另一项问题发生于TypeScript版本Solana支付验证流程，验证端将ApproveChecked指令按TransferChecked解码，可能把未实际转账的交易认作已支付；第三项可让恶意服务诱导客户端为其他网站签署登录消息。研究团队通过代码审计与本地测试验证问题，相关三项严重漏洞已在8月18日发布的SDK更新中修复。

Arista于10月22日发布Security Advisory 0199，披露VeloCloud Orchestrator管理平台存在CVE-2026-114625，CVSS 3.1评分9.9，且已发现实际利用。该SQL注入漏洞允许能够访问管理Web界面并持有有效账户的远程攻击者，以最低级别的Enterprise Read Only权限提升为具有完整管理权的本地超级运营者，进而访问仅限内部使用的功能，并可能影响Orchestrator管理的数据和主机。受影响的本地部署版本包括5.2.3.18之前的5.2.x、6.1.3.10之前的6.1.x和6.4.2.12之前的6.4.x。Arista已为对应分支提供修复版本，并修复Hosted与Dedicated托管实例。

安全研究人员披露，Trend Micro Zero Day Initiative于10月21日在Linux内核公共邮件列表发布两项KSMBD服务端漏洞报告，均获CVSS 9.0评分。ZDI-CAN-33549是SMB Direct传输路径中的整数下溢，攻击客户端可构造异常RDMA缓冲区描述符，导致后续内存复制越界，利用需要RDMA接口、可写共享和SMB Direct连接。ZDI-CAN-33774是SMB1与SMB2协议分发的竞态问题，处理线程可能以SMB2处理函数解析较短的SMB1缓冲区，造成越界读取并有越界写入路径。研究人员以Linux 7.3-rc3和Debian Trixie环境复现；公开报告时尚未获得正式CVE编号，相关代码修复已进入维护者分支。

日本游戏公司卡普空于10月22日确认，旗下在线会员平台CAPCOM ID发生未授权访问，涉及全球11,774,247个账户的电子邮箱地址，以及账户创建时间、最近登录时间、登录次数和最近登录客户端IP地址。其中43个账户另涉及出生日期、性别、国家或地区和昵称，196个账户的登录密码遭非法更改，相关账户已被重置密码。公司10月19日发现异常并确认入侵，当天封堵访问和启动调查；10月20日确认客户资料泄露并成立专项应对小组，10月21日向警方及日本个人信息保护委员会报告。CAPCOM ID及相关游戏服务在处置期间保持运行，公司已启动受影响用户分批通知。