cve

pwn.watch 实时安全事件汇总：美国主要银行发现客户账户中存在未经授权的第三方 AI 代理，GitLab 披露 CVSS 10.0 未认证 RCE 漏洞（CVE-2026-110264），以及多个未修补的 Linux 内核高危漏洞细节被意外公开至公共邮件列表。

Trend Micro 的 Zero Day Initiative 意外将多个高严重性 Linux 内核漏洞（CVSS 评分最高达 9.0）披露在公开的 LKML 邮件列表上，而非私有的安全列表，Greg Kroah-Hartman 已对此作出回应，相关补丁正在加速处理。

一位 Hacker News 发帖者为在不知情的情况下违反两项 PHP 严重远程代码执行漏洞（CVE-2026-109618 和 CVE-2026-109619）的信息禁令、打乱协调披露计划而道歉。

一条推文推测，国家机构或大型 AI 公司可能已经发现并隐瞒了数月甚至更长时间未公开的未知 CVE 和零日漏洞。

两项 PHP 漏洞 CVE-2026-109618 和 CVE-2026-109619 是由一个前沿 AI 模型独立发现的，而它收到的提示仅仅是“找出 PHP 中的严重漏洞”。

作者认为，最新的PHP高危漏洞远不如Log4Shell或Heartbleed那样容易被利用，目前流传的数千个"PoC"漏洞利用大多是由LLM生成的残缺产物，它们修改的是测试环境，而非串联利用真实的漏洞。

CZ 提醒用户在浏览网页时保持谨慎，因为影响 WordPress 和 Magento 服务器的两个 PHP 严重漏洞（CVE-2026-109618 和 CVE-2026-109619）在提前泄露后已遭到实际利用，促使相关方发布补丁并部署 Web 应用防火墙（WAF）防护措施。

GitLab 发布关键补丁版本，修复 CVSS 10.0 的未认证远程代码执行漏洞（CVE-2026-110264），该漏洞源于正则表达式编译器中的整数溢出，影响 7.0 至 19.5 的多个版本。

一个潜在的第三个 PHP 严重级别 CVE 漏洞正在浮现，给依赖这一流行脚本语言的 Web 开发者和服务器带来了新的安全担忧。

新披露的漏洞 CVE-2026-107891 揭示了 musl libc 的 regcomp 中存在多处整数溢出，可能导致分配大小计算错误及堆越界写入，该漏洞通过 Openwall oss-security 邮件列表披露。

Node.js 发布 2026 年 10 月安全更新，覆盖 26.x、24.x、22.x 版本线，修复了包括 Brotli 解码器远程代码执行和 TLS 证书主机名绕过在内的多个高危漏洞。

紧急修复的两个关键 PHP 漏洞影响自 2004 年以来的所有版本，可能导致大规模远程控制攻击，促使全球政府和企业网站紧急下线并抢在攻击前打补丁。

Wiz Research 发现了 PHP 核心中一系列严重的内存安全漏洞，包括未经认证的远程代码执行，影响过去十年发布的几乎所有 PHP 版本（占全球 70% 网站），并借助前沿 AI 模型构建了复杂的利用链，促使 PHP 于 2026 年 10 月 21 日发布补丁。

PHP 的 session.upload_progress 处理程序中存在一个堆释放后使用（UAF）漏洞（CVE-2026-109618 / -109619），攻击者可借此劫持已释放的桶指针，并通过 zend_call_function 实现远程代码执行；本文包含针对 PHP 8.4.4 和 8.2.34 的已验证 PoC 利用链，以及补丁发布前的缓解措施。

Ian Goodfellow 强调了 AISLE 第一年的成果：一个 AI 安全研究实验室在 100 多个开源代码库中发现了 500 多个带有 CVE 的零日漏洞，其表现即使与前沿 AI 实验室相比也不遑多让——而且使用的是小巧、廉价且快速的模型。核心洞察在于：围绕大语言模型构建的系统与模型本身同样重要。

Stanislav Fort的AI安全研究实验室AISLE声称，在一年内于100多个代码库中发现了500多个零日漏洞并获得CVE编号，约占2026年全球开源CVE总量的1%，同时在curl等防护严密的代码库上的零日漏洞发现能力可媲美甚至超越顶尖AI实验室。

# AI 批量代码审查使 Linux 内核新漏洞数量骤降 作者通过追踪 Linux 内核 CVE 修复数据发现，在引入 AI 批量代码审查之后，新增漏洞数量出现断崖式下降——**周发布量从 600+ 降到 1**。 ## 主要发现 - 长期以来，Linux 内核每周新增 CVE 数量稳定在 600 例以上 - 在 AI 辅助的大规模代码审查介入后，这一数字降至个位数 - 该趋势表明，自动化审查在规模化发现潜在缺陷方面具有显著效果 ## 深层影响 ### 软件安全格局的转变 如果 AI 能够系统性地清扫出绝大多数低垂果实式的漏洞，那么依赖"挖洞—卖洞"的传统安全商业模式将面临根本性冲击。 ### 情报机构囤积漏洞 各国情报机构长期通过收购和囤积零日漏洞来维持网络行动能力。当漏洞变得稀缺，这种囤积策略的成本和可持续性都会受到质疑。 ### Windows 升级模式的冲击 微软以"安全更新"为核心驱动力推动用户升级 Windows 版本。一旦漏洞大幅减少、旧版本不再构成显著风险，用户升级新系统的动力可能显著减弱，从而动摇整个产品迭代周期。 ## 结论 Linux 内核的案例或许只是开始：**当 AI 把漏洞发现变成一种廉价的、可无限扩展的劳动，软件安全的经济基础和地缘政治逻辑都将被重新定义。**

curl 8.23.0 修复了一个严重的 Use-After-Free 漏洞 (CVE-2026-92392)。该漏洞源于 HTTP/2 上传过程中残留的 easy handle 悬垂指针，在特定条件下可被利用实现远程代码执行。

Telegram Desktop中披露了一个安全漏洞，攻击者可利用该漏洞窃取任意用户的文件。该漏洞影响桌面客户端用户，属于严重的数据泄露风险。

curl 8.23.0 将于 2026 年 10 月 14 日提前发布，以修复一个高危漏洞（CVE-2026-92392）以及另外 21 个较不严重的安全缺陷。