PHP2Shell、LiteLLM、GitLab：查找您需要修补的内容

2026年10月16日至23日期间，PHP、Node.js、GitLab、LiteLLM、OpenCode和eMudhra证书颁发机构均发生严重安全事件。 PHP、Node.js 和 GitLab 于 10 月 21 日发布了修复程序，同一天，糟糕的 LiteLLM 版本也发布了。每个咨询都以某种版本的升级、重建或轮换结束。进行升级是最简单的部分。需要时间的是为了你自己的账户计算出受影响的东西在哪里运行、谁拥有它以及它可以达到什么目的。如果你有一个值得信赖的库存，那就是一个下午的时间。如果你不这样做，这就是一周的 Slack 线程，而这周没有给任何人一个星期的时间。亚马逊的 MadPot 蜜罐在漏洞披露前四天记录了一次 PHP2Shell 漏洞利用尝试。本周互联网。很诱人，但仍然需要有人找到服务器。本周事件 事件 发生了什么 修复 您必须找出什么 PHP2Shell（CVE-2026-109618、CVE-2026-109619） PHP 中的两个预身份验证远程代码执行错误，每个错误评级为 9.2。在披露之前就进行了利用尝试。 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35。临时配置解决方法并不涵盖所有变体，因此升级是唯一的完整修复。哪些实例、容器和应用服务应用程序运行 PHP，哪些运行在 8.1 或更早版本上？ Node.js (CVE-2026-111497) 捆绑的 Brotli 解码器中的越界写入可能导致崩溃、内存泄漏或远程代码执行，此外还修复了九个其他问题。 22.23.4、24.22.1 或 26.12.1。报废的发布线没有得到修复。哪些 Lambda 函数、容器和虚拟机运行 Node.js，哪些运行在 20.x 或更早版本上？ GitLab (CVE-2026-110264) 通过 GitLab 正则表达式编译器中的整数溢出，未经身份验证的远程代码执行，评级为 CVSS 10.0。它可以追溯到 2014 年发布的 GitLab 7.0。补丁于 10 月 21 日发布。自我管理实例没有解决方法。是否有一个没人记得的自我管理的 GitLab，并且互联网可以访问它吗？ LiteLLM 1.107.0（微软的分析）PyPI 上和官方容器镜像中的恶意版本在 Python 启动时运行凭证窃取程序。从经过验证的版本重建，然后轮换环境可以访问的每个凭据。它在哪里运行，以什么身份运行，该身份可以达到什么目的？ OpenCode 控制台 (TechCrunch) 入侵者到达了遗留系统，用户保存在控制台中的 AI 提供者密钥可能已被暴露。一些用户报告了未经授权的收费。撤销并重新颁发密钥。该密钥还存储在哪里，撤销后哪些工作负载会中断？ eMudhra (The Register) 八个中间 CA 私钥是 256 以下的整数。其中一个是数字 4。浏览器屏蔽了中间体。我们是否持有该链的证书，并且我们的图像仍然信任它吗？这份清单上没有什么是晦涩难懂的。两个是大部分网络所依赖的运行时，一个是许多公司仍在自行托管的源代码控制服务器，一个是许多团队急于路由 LLM 流量而采用的 AI 网关。如果您在 AWS 或 Azure 上运行规模相当大的资产，那么至少其中之一可能是您需要处理的。漏洞利用窗口越来越短 Mandiant 跟踪攻击者在披露漏洞后需要多长时间来利用漏洞。其利用时间分析显示，2018-2019 年平均为 63 天，2020-2021 年为 44 天，2021-2022 年为 32 天。 2023 年是五天，Mandiant 当年跟踪的被利用漏洞中有 70% 是零日漏洞，在补丁出现之前就被利用了。 Drew Silcock 的帖子 这是新的网络常态吗？ 10 月 23 日登上《黑客新闻》头版的文章认为，LLM 进一步压缩了这一点，因此不良 RCE 被公开与针对它的自动攻击之间的差距现在是几个小时而不是几周。 PHP2Shell 适合。这些错误是在人工智能模型的帮助下发现的，在禁运纠纷之后，修补的二进制文件出现在公告之前，并且在大多数人安装修复程序之前就开始了利用尝试。您的曝光窗口是找到受影响的内容的时间加上修复它的时间。大多数团队花费数年时间通过 CI/CD、托管运行时和自动修补来缩小第二个数字。第一个数字仍然是一个电子表格、一个 Slack 线程，无论谁还记得旧的 GitLab 盒子是如何设置的。这就是框架将库存放在第一位的原因。 CIS 控制系统对企业资产进行盘点，并对软件控制系统 1 和 2 进行盘点；漏洞管理直到控制 7 才出现。CISA 的 BOD 23-01 要求美国联邦机构每 7 天运行一次自动资产发现，每 14 天运行一次漏洞枚举。如果您不知道服务器存在，就不会对其进行修补。以下是我如何使用 AWS 和 Azure 为您提供的开箱即用的功能来回答每个问题，并以本周发生的事件为例。下面的每个命令都是只读的。 1. 运行位置 从 Node.js 开始。在 Lambda 上，受支持的托管运行时默认情况下会自动获取运行时更新，因此大多数