// 实时Feed 目前发生了哪些安全事件 持续的安全事件，最新优先：CVE，受影响的内容，修复的版本，以及每个事件背后的建议和帖子。实时 34个关键事件 15个未完全修补 17个## 在过去一年中到2026年10月22日发生了190个事件 关键 4 · 高 3 · 中 2 · 低 1 · 更新 ½ 严重性加权：关键 4 · 高 3 · 中 2 · 低 1 · 更新 ½ 了解新的重大安全事件发布时的电子邮件通知。没有垃圾邮件，随时退订。 关键 实时 自2026年10月21日以来已修补 更新于2026年10月22日，16:00 UTC GitLab CVSS 10 无身份验证的RCE通过正则表达式编译器 (CVE-2026-110264) › GitLab CE/EE（自托管） GitLab 在2026年10月21日发布了针对CVE-2026-110264的关键修补程序：一个整型溢出问题，涉及捆绑的 Onigmo / 正则表达式编译器，可能允许无身份验证的攻击者在自托管的 GitLab 上执行代码。CVSS 10.0；从7.0（2014）开始的所有CE/EE版本均在范围内。仅应用了10月12日正则表达式修复的实例仍然易受攻击，必须再次升级。 CVE-2026-110264 # 开发工具与CI # GitLab # RCE 关键 实时 自2026年10月21日以来未修补 更新于2026年10月22日，16:20 UTC Linux内核：未修补的ZDI漏洞报告及重现细节已泄露到公共LKML（ksmbd RCE，CVSS 9.0） › Linux内核：ksmbd（内核中的SMB服务器）和SMB Direct、skbuff/NFQUEUE网络、vmwgfx、nvmet 在2026年10月21日，Trend Micro的零日倡议将几份未修补的Linux内核漏洞报告发送至security@kernel.org，但同时抄送了公共linux-kernel和子系统列表，因此，完整的技术细节（代码路径，KASAN跟踪）现在在修复发布之前已公开。最糟糕的是两个ksmbd（内核中的SMB服务器）远程代码执行错误，ZDI评分为CVSS 9.0：一个SMB Direct整型下溢（需要RDMA设备和可写共享）和一个协议调度竞争（需要来宾共享）。此外泄露的信息还有一个skb_zerocopy本地特权提升（CVSS 7.8）、一个vmwgfx越界写入LPE和一个nvmet信息泄露。目前没有CVE，也没有修复的主线或稳定版本；ksmbd竞争的修复位于ksmbd维护者树中，SMB Direct的修复在一个针对Linux 7.5的分支中。没有报告的利用情况。只有运行ksmbd的机器易受RCE的攻击。 # Linux # ksmbd # ZDI # RCE 关键 实时 自2026年10月21日以来已修补 更新于2026年10月22日，16:00 UTC LiteLLM 1.107.0 PyPI/Docker供应链妥协 › LiteLLM（PyPI + 官方Docker/GHCR镜像） 在2026年10月21日，攻击者妥协了LiteLLM的发布管道，并将恶意的litellm==1.107.0发布到PyPI（实时约2小时），以及妥协Docker Hub/GHCR标签（v1.107.0，最新，main-latest，main-stable）。这些轮子安装cook.pth / cook.py / sitecustomize.py，在每次Python启动时窃取云、开发者和AI工具凭证，并打开一个远程代码加载器。这是2026年第二次LiteLLM的妥协。 MAL-2026-2144 # Python # PyPI # Docker # AI / LLM工具 # LiteLLM # 供应链 高 实时 自2026年10月21日以来部分修复 更新于2026年10月22日，15:59 UTC ISC BIND 9：重放的GSS-TSIG消息损坏内存，可能导致RCE（CVE-2026-94300） › ISC BIND 9（named）DNS服务器 ISC在2026年10月21日披露了一个在BIND 9的named中可以远程利用的内存损坏错误。一个捕获GSS-TSIG签名的UDP消息（用于Active Directory风格动态DNS更新的Kerberos签名）的攻击者，可以在协商密钥仍然有效时重放该消息，并结合针对他们控制的区域的特制查询，可能获得远程代码执行，或至少导致named崩溃。CVSS 8.1（高）。没有解决方法。影响BIND 9.11.0至9.18.50，9.20.0至9.20.29和9.21.0至9.21.26。已在9.20.30和9.21.27中修复；ISC没有9.18的修复。ISC知道没有活跃的利用情况。Debian trixie有修复包；Debian bookworm和Ubuntu仍在等待。 CVE-2026-94300 # Linux # BIND # DNS # RCE 高 实时 自2026年10月21日以来已修补 更新于2026年10月22日，11:18 UTC Node.js 2026年10月安全发布（Brotli RCE + TLS/DNS高危） › Node.js 在2026年10月21日，Node.js为22.x、24.x和26.x发布的安全更新修复了十个漏洞。头条问题是CVE-2026-111497，一个高严重性的Brotli解码器越界写入，当攻击者控制的Brotli数据被解码时，可能导致远程代码执行。该版本还修复了TLS主机名/IP旁路和DNS NUL截断，并刷新了捆绑的CA存储，以应对eMudhra事件。 CVE-2026-111497 CVE-2026-105482 CVE-2026-105483 CVE-2026-106069 +6更多 # Node.js # eMudhra # TLS # RCE 高 实时 自2026年10月21日以来部分修复 更新于2026年10月22日，16:00 UTC Railway披露对客户环境变量的未授权访问 › Railway（托管平台） 在2026年10月21日，Railway报告了存储客户环境变量的系统上的异常活动。未经授权的第三方可能已访问加密的环境变量，并且对于某些变量，获得了解密后的内容（API密钥，数据库/注册凭证）。Railway表示相信这是针对平台公司的系列攻击的一部分，旨在妥协