多项高危漏洞

^-^【紧急安全公告】多项高危漏洞集中披露｜2026.10.21

━━━━━━━━━━━━━━

^-^ 重点：PHP 两个 RCE 漏洞（CVSS 9.2）补丁已发布，预计 15 分钟内出现大规模扫描攻击，请务必尽快升级。

━━━━━━━━━━━━━━

【1】PHP RCE 漏洞 ^-^最高优先级

· 编号：CVE-2026-109618 / 109619

· 等级：Critical｜CVSS 9.2｜未授权 RCE，可拿 shell

· 范围：PHP 5.4+ 可能受影响，8.1 及以下官方不再修复

· 入口：FPM / mod_php / php-cgi / FrankenPHP / LiteSpeed

· ^-^ 升级：8.5.12 / 8.4.27 / 8.3.36 / 8.2.35

· ^-^ 暂无法升级（仅降低风险）：

memory_limit=-1（配置强制，防覆盖）

post_max_size=8M（需上传可设32M）

session.upload_progress.enabled=0

改完重启全部 worker

· 宝塔用户：看「软件商店」对应版本更新

· 官方：PHP

【2】Node.js 越界写入漏洞

· CVE-2026-111497｜Brotli 解码器越界写入，可致 RCE

· 影响：22.x / 24.x / 26.x

· ^-^ 升级：22.23.4 / 24.22.1 / 26.12.1 或更高

· 暂无大规模利用，建议尽快升级

【3】Go 中间证书信任漏洞

· CVE-2026-111943｜已泄露的 eMudhra 中间证书可伪造任意域名证书并被误信

· ^-^ 升级：Go 1.27.3+ / 1.26.10+

【4】LiteLLM 疑似再遭入侵

· 1.107.0 疑似被入侵，用户数据可能泄漏，PyPI 已撤包

· 已安装的：立即卸载排查，轮换 API Key 与令牌

━━━━━━━━━━━━━━

^-^ 处理步骤：查版本 → 先备份 → 优先升级 PHP → 重启服务验证 → 查异常日志 → PHP 8.1 及以下尽快迁移

请及时关注官方公告并完成升级。