码农早餐 · 2026-10-29

PHP、GitLab、LiteLLM 在 10 月 16 至 23 日同时出现高危漏洞

10 月 16 日到 23 日这一周，PHP、Node.js、GitLab、LiteLLM、OpenCode Console 和证书机构 eMudhra 都出了安全事故。PHP 修的是两个 pre-authentication 远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619，各自评分 9.2，修复版本是 8.5.12、8.4.27、8.3.36 或 8.2.35，文章提到临时配置层面的 workaround 覆盖不了所有变体，升级是唯一的完整修法。GitLab 的 CVE-2026-110264 是 CVSS 10.0 的未认证远程代码执行，问题出在正则表达式编译器的整数溢出，往前能追到 2014 年发布的 GitLab 7.0，10 月 21 日出了补丁版本，自建实例没有 workaround。Node.js 的 CVE-2026-111497 是内置 Brotli 解码器的越界写，可导致崩溃、内存泄露或远程代码执行，另有九个修复，对应 22.23.4、24.22.1、26.12.1，已 EOL 的发布线不再提供修复。

LiteLLM 这一条在 10 月 22 日我们写过：PyPI 上的 1.107.0 发行包被塞进了凭证窃取程序和远程代码执行后门，Linux、macOS、Windows 三个平台七个 wheel 全部中招，恶意代码以三个文件落在 site-packages 里，PyPI 已下架该版本，1.106.2 和两个 rc 版本经检查是干净的。这次那篇博客补上了处置口径：从已验证的版本重新构建，然后把该环境能触达的每一份凭证都轮换掉。换句话说，下架和重装只解决了代码，凭证泄露的账要另外算。同一周 OpenCode Console 被入侵者摸到一套遗留系统，用户存在 Console 里的 AI provider key 可能暴露，已有用户报告被刷出未授权费用；eMudhra 的八把中间 CA 私钥是小于 256 的整数，其中一把就是数字 4，浏览器已屏蔽这些中间证书。

这几件事凑在一起并不偶然。PHP、Node.js、GitLab 三家都在 10 月 21 日出修复，和 LiteLLM 那个坏版本发布是同一天。清单上没有一个冷门东西：两个是很大一部分 Web 跑在上面的 runtime，一个是不少公司仍自建的源码服务器，一个是很多团队为了路由 LLM 流量匆匆引入的 AI 网关。文章引 Mandiant 的时间线：从漏洞披露到被利用的平均时间 2018–2019 年是 63 天，2020–2021 年 44 天，2021–2022 年 32 天，2023 年降到 5 天，且当年追踪的已利用漏洞里 70% 是补丁出来之前就被打的零日。PHP2Shell 更极端：亚马逊 MadPot 蜜罐记录的利用尝试比漏洞披露还早四天，漏洞本身是借助 AI 模型找出来的，补丁二进制在公告之前就出现了，中间还夹了一场 embargo 争议。

真正吃时间的不是打补丁那一步，是打之前要回答的问题。文章把每个漏洞对应的追问列了出来：哪些实例、容器和 App Service 应用跑 PHP，哪些还停在 8.1 或更早；哪些 Lambda 函数、容器和 VM 跑 Node.js，哪些在 20.x 或更早——Lambda 上受支持的托管 runtime 默认自动更新，但已弃用的 nodejs20.x 在 Node.js 20 于 2026 年 4 月 EOL 时就停止安全补丁，打成容器镜像的函数则带着镜像里烤进去的那个版本；有没有一台没人记得的自建 GitLab，且能从公网访问；LiteLLM 跑在哪、以什么身份跑、那个身份能触达什么。文章给了一个对照：有可信清单是一个下午的事，没有就是一周的 Slack 线程，而这一周没给任何人一周。CIS Controls 把企业资产清单和软件清单放在第 1、2 项，漏洞管理排到第 7；CISA 的 BOD 23-01 要求美国联邦机构每七天做一次自动化资产发现、每 14 天做一次漏洞枚举。

目前的状态是补丁和版本号都已经公布，各家公告的落点都是升级、重建或轮换。文章给出的排查命令全部是只读的，针对 AWS 和 Azure 自带工具，原文只展开了 Node.js on Lambda 这一段，其余几项怎么落地没有写完。eMudhra 那条链上的证书是否还在你的镜像信任库里、OpenCode 那把 key 除了 Console 还存过哪些地方，原文都没有给出现成答案。

来源：

• PHP2Shell, LiteLLM, GitLab: Find What You Need to Patch

---

本文从过去 24h 的 X / Hacker News / GitHub Trending 共 71 条信息中选出这一件事展开。内容由 LLM 辅助生成并经事实校对，来龙去脉部分参考了本站往期内容，文末附原始来源链接，重要决策请交叉验证。