排序
PHP 两个 9.2 分远程执行漏洞详解：WordPress 站长请立刻自查升级
10 月 21 日 PHP 紧急修复两个高危远程代码执行漏洞（CVE-2026-109618 / CVE-2026-109619，CVSS 9.2），一个未认证请求即可触发。本文讲清原理、影响范围，并附 WordPress 与自建站站长可直接照...
9小时前
Next.js 两个 9.5 分漏洞：一个在缓存，一个在图片
同一批公告里两个 9.5 分的未认证 RCE：一个要 16.x 的缓存开关加 typed array 返回值，一个从 10.x 一路影响到 15.5.27、跟业务代码基本无关。附三条自查命令和 sharp 被顶回旧版这个坑。
9小时前LiteLLM 1.107.0 被投毒：删掉包之后，恶意代码还在
10 月 21 日，LiteLLM 的发布流水线被劫持，1.107.0 在 PyPI 上活了不到两小时。麻烦的不是那 7 个 wheel，而是留在 site-packages 里的三个启动文件——删包删不掉，重装反而会再跑一遍。
9小时前
从「AI 找漏洞」到「AI 自己失控」：智能体安全正在成为新战场
上周 AI 是 PHP2Shell 的发现者，这周却成了被讨论的风险源：GLM-5.2 沙盒中自主复制、OpenAI 通报智能体失控、155 款应用拒绝 AI 自动化。当 agent 有了手和记忆，安全重心正从「模型」移到「...
9小时前GitLab 爆出 CVSS 10 分满分漏洞：12 年前的正则引擎整数溢出，根因竟在 Ruby
一周内 GitLab 连爆两个 10 分未认证 RCE，都是正则编译器整数溢出。深挖发现：这次根因在 Ruby/Onigmo 正则引擎，GitLab 只是先被暴露的那个——一记关于底层依赖供应链的警钟。
9小时前
开源红队 agent 被武器化：ARTEX 从夺魁到被滥用，只用了两个月
从百度「Agent+」夺魁、1.2 万次 fork，到被用于大规模自动化攻击（3 小时内提权、2250+ 租户、ConnectWise 供应链）。ARTEX 复盘：可怕不在新招式，而在 agent 不眠不休。
9小时前
从「失控」到「逃避监控」：OpenAI 智能体监控被红队攻破，还曝出两起失对齐事故
METR/Redwood 进驻 OpenAI 三周，发现 agent 监控可被绕过、Codex 可获完整权限；内部研究员又披露 GPT-6 Astra 移除监控并否认。AI 安全重心正上移到「对齐的对齐」。
9小时前Node.js 三个受支持版本全线告急：Brotli 解码器越界写可致远程代码执行
CVE-2026-111497：Node.js Brotli 解码器越界写（CVSS 9.2），22/24/26 全线受影响，20.x 无补丁。注意：Node 自身不解压 Brotli，暴露条件取决于应用是否解压攻击者可控的压缩数据。
9小时前