在2026年10月16日至23日之间，PHP、Node.js、GitLab、LiteLLM、OpenCode和eMudhra证书机构均发生了严重的安全事件。PHP、Node.js和GitLab在10月21日发布了修复程序，这一天也是不良LiteLLM版本发布的同一天。每个通告的结尾都有升级、重建或轮换的某种版本。升级是容易的部分。耗时的是弄清楚您自己的帐户中受影响的内容在哪里运行，谁拥有它，以及它可以访问什么。如果您拥有一个值得信赖的清单，那是一下午的工作。如果没有，那就是一周的Slack讨论，这一周没有人能腾出一周的时间。亚马逊的MadPot蜜罐在漏洞披露前四天记录了一个PHP2Shell的利用尝试。本周的互联网。诱人，但仍然需要有人找到服务器。本周事件 事件：发生了什么，修复：您必须找到的内容 PHP2Shell (CVE-2026-109618，CVE-2026-109619) 在PHP中有两个预认证的远程代码执行漏洞，每个漏洞的评分为9.2。在披露之前就有利用尝试。PHP 8.5.12，8.4.27，8.3.36或8.2.35。临时配置变通方案并不能涵盖每个变种，因此升级是唯一的完整修复。哪些实例、容器和应用服务应用在运行PHP，哪些在8.1或更早版本上？ Node.js (CVE-2026-111497) 捆绑的Brotli解码器中的越界写入可能导致崩溃、内存泄露或远程代码执行，还有其他九个修复。22.23.4、24.22.1或26.12.1。过期的发布版本没有修复。哪些Lambda函数、容器和虚拟机在运行Node.js，哪些在20.x或更早版本上？ GitLab (CVE-2026-110264) 由于GitLab的正则表达式编译器中的整数溢出，导致未认证的远程代码执行，评分为CVSS 10.0。它可以追溯到2014年发布的GitLab 7.0。10月21日发布的补丁，没有自管理实例的变通办法。有没人记得的自管理GitLab，而互联网能否访问它？ LiteLLM 1.107.0（微软的分析） 在PyPI和官方容器映像中发布的恶意版本在每次Python启动时运行凭据窃取程序。从经过验证的版本重建，然后轮换环境可以访问的每个凭据。它运行在哪里，以何种身份运行，以及该身份可以访问什么？ OpenCode控制台（TechCrunch） 一名入侵者进入了一个旧系统，用户在控制台中保存的AI服务提供商密钥可能已被暴露。一些用户报告了未授权的费用。撤销并重新签发密钥。还有哪里存储了该密钥，以及在撤销时哪些工作负载会中断？ eMudhra（The Register） 八个中间CA私钥都是低于256的整数。其中一个是数字4。浏览器阻止了这些中间证书。我们是否持有来自该证书链的证书，我们的图像是否仍然信任它？该列表上的内容没有任何不寻常的地方。两个是大量网站运行的运行时，一个是许多公司仍自行托管的源代码管理服务器，还有一个是许多团队急于采用以路由LLM流量的AI网关。如果您在AWS或Azure上运行一个合理规模的环境，这些问题中的至少一个可能是您需要处理的。漏洞利用窗口不断缩短 Mandiant追踪攻击者在披露后利用漏洞所需的时间。它的利用时间分析显示，2018年至2019年的平均时间为63天，2020年至2021年为44天，2021年至2022年为32天。在2023年，这一时间缩短至五天，而Mandiant追踪的被利用漏洞中有70%是零日漏洞，在补丁存在之前就被利用。Drew Silcock的帖子《这是新的网络正常吗？》在10月23日登上了Hacker News首页，认为LLMs进一步压缩了这一时间，因此不良远程代码执行变得公开与针对它的自动攻击之间的差距现在是小时而非周。PHP2Shell恰好符合这种情况。漏洞是在一个AI模型的帮助下发现的，修补程序在通告发布前就出现了，补丁尝试在大多数人能够安装修复程序之前就开始了。您的曝光窗口是找到受影响的内容所需的时间加上修复它所需的时间。大多数团队花了很多年缩短第二个数字，使用CI/CD、托管运行时和自动修补程序。第一个数字仍然是电子表格、一条Slack线程和任何记得旧GitLab箱子如何设置的人。这就是为什么框架将清单放在首位的原因。CIS控件制定企业资产清单和软件清单的控件1和控件2；漏洞管理直到控件7才出现。CISA的BOD 23-01要求美国联邦机构每七天进行一次自动资产发现，每14天进行一次漏洞枚举。如果您不知道一台服务器的存在，您就不会对其进行修补。使用本地工具处理通告 下面是我如何使用AWS和Azure的现成提供的工具回答这些问题，以上周的事件为例。以下每个命令均为只读。 1. 它运行在哪里：从Node.js开始。