防御者艰难的一周:PwnEscape、eMudhra、SafePay 与 PHP 补丁

更新,10月21日,巴黎时间 16:30:PHP 于巴黎时间约 15:35,略早于预告的 14:00 UTC,发布了 8.5.12、8.4.27、8.3.36 和 8.2.35 版本,修复了这两个严重漏洞,并为 7.4、8.0 和 8.1 提供了源码回移补丁。下文的 PHP 部分已更新。

如果你从事安全、系统管理或托管行业,截至今天的这七天,正是业内人士会用一个日期区间平淡描述的那种日子,因为任何形容词都显得不够专业。周四,一个严重的 Linux 虚拟机逃逸漏洞。周末,一家证书颁发机构的私钥被证明任何人用一台笔记本电脑就能恢复。周二,政府联合发布关于会将备份设备恢复出厂设置的勒索软件的公告,外加一次导致银行卡无法使用的云服务中断,再加上 PHP 项目通知次日将发布两个严重漏洞的修复。那个次日就是今天。修复原定于 14:00 UTC 发布,实际略早一些,于巴黎时间约 15:35 到来。

有一个更正比任何一条头条都重要。你可能读到过”许多托管服务商被入侵”的说法,入侵途径是那个绰号为 PwnEscape 的虚拟机逃逸漏洞。截至10月21日巴黎时间 13:30,这只是担忧,并未得到确认。全球范围内没有任何在野利用的报告。这种担忧有其合理依据(我们会解释),但它应当被标注为担忧。本文其余部分将按时间顺序回顾这一周,区分已确认的事实与预测,并在最后列出普通读者或小型网站所有者真正应该做的几件事。

为什么安全团队如此疲惫?

先从人说起,因为本周的每一个事件都落在了同一批人的案头。ISC2 2025 年网络安全劳动力研究(国际信息系统安全认证联盟)于2025年12月发布,调查于2025年7月至8月进行,共有 16029 名受访者。研究发现,48% 的安全从业者在努力跟进威胁和技术动态时感到精疲力竭,47% 经常因工作量感到不堪重负,32% 因人手短缺而感到过度劳累。薪酬也没能缓解多少:20% 的人在过去一年没有加薪,31% 的人将薪酬不足列为常见的不满来源。

更尖锐的发现与管理层有关。只有 32% 的受访者表示其所在机构将网络安全视为关键业务职能,23% 的人将这一差距列为不满的原因。安全工作在结构上是隐形的:在董事会看来,一个平静的季度与一笔不必要的开支毫无区别,阻止了十次事故的人在预算表上与完成了十笔销售的人并排而坐。同一份 ISC2 研究发现,36% 的机构在2025年削减了安全预算,24% 报告了安全岗位裁员,而 72% 的从业者认同削减安全人员会显著增加数据泄露风险。

欧洲的数据同样不容乐观。在 ISACA 的《2026 年网络安全现状》(国际信息系统审计协会;调查于2026年5月进行;全球 1888 名受访者中有 494 名来自欧洲)中,72% 的人表示这份工作比五年前压力更大,首要原因是复杂的威胁环境(72%)以及不切实际的期望加上过量的工作(57%)。超过半数的欧洲机构表示人手不足(56%)和资金不足(55%),21% 的公司对职业倦怠完全不采取任何行动。请记住这些数字,再看这一周如何展开。

PwnEscape 是什么?托管服务商真的因它被入侵了吗?

10月15日周四,Linux 内核项目公布了 CVE-2026-99999,很快被冠以 PwnEscape 的绰号:这是内核 IPv4 校验和处理中的一个漏洞,被内核 CNA 评为 9.3 分严重级别(Red Hat 评为重要级别)。攻击场景是:一台恶意的微型虚拟机向宿主机的 TAP 接口发送精心构造的 virtio-net 校验和元数据。客户机到宿主机的逃逸,意味着一台租用的虚拟机从租客变成了房东:一个客户虚拟机内的代码获得了对运行所有其他客户的物理服务器的影响力。这就是为什么 KVM 类宿主机上的一个 9.3 分漏洞让托管行业的员工立刻端起了咖啡。

以下是实际已确认的内容。该漏洞由 pwn.ai 的研究人员在 Vercel 的 Sandbox 挑战赛中发现,于9月4日报告给内核团队,并于10月14日在主线中修复,七个稳定分支也已打上补丁。宿主机内存泄漏是在挑战赛主办方的生产沙箱环境中演示的,Vercel 自己对挑战赛的说明证实了这一点;同一篇文章表示,没有任何报告显示有人访问了 Vercel Sandbox 中的客户数据。宿主机崩溃和宿主机 root 权限仅在研究人员自己的机器上得到演示,pwn.ai 表示其研究并不是声称在任何厂商的生产环境中执行了 root 命令。据 TuxCare 的分析,存在漏洞的代码模式可以追溯到大约2008年。

那么利用情况呢?CISA 对该 CVE 记录的补充信息(CISA 是美国网络安全与基础设施安全局)直截了当地写明:利用情况:无。截至10月20日的数据,该漏洞不在 CISA 的已知被利用漏洞(KEV)目录中。所有跟踪此事的媒体均未报告任何已确认的在野攻击。CSO 和 heise 引述的研究人员预计,针对较弱配置的可用利用程序将在数周内出现,但这是预测,不是观察到的事实。

那么恐慌从何而来?三个原因,都站得住脚。第一,该漏洞没有已公布的失陷指标,没有可供搜索的恶意文件哈希或攻击者基础设施;SOC Prime 指出,检测依赖宿主机遥测、虚拟化监控和崩溃分析,而许多小型托管商根本不收集这些数据。这使检测变得困难。但这并不意味着漏洞无迹可寻:我们查到的所有信源中,没有一家说利用不留痕迹。第二,修复需要打补丁并重启宿主机内核;更新你自己的虚拟机毫无作用,因此每家受影响的服务商都要面对一场覆盖整个机群的重启行动。第三,这种不确定性已经造成商业损失:一家日本托管服务商于10月16日出于预防,冻结了其 VPS、共享主机和独立服务器的全部新用户注册,未报告任何入侵;一家德国托管商自周末以来一直在重启其虚拟化服务器。对客户而言,heise 的建议依然成立:除了确认你的虚拟机在托管商重启后恢复运行之外,你无需采取任何行动。

eMudhra 证书事件是怎么回事?

周六带来了证书事件,"被劫持"的说法开始流传。而 Mozilla 的漏洞报告记录的实情与此不同,甚至在某种意义上更离奇:印度证书颁发机构 eMudhra 旗下的八张中间 CA 证书,其 P-384 私钥弱到可以被轻易恢复。Mozilla 自己的员工在10月17日收到报告后数小时内就恢复出了这些密钥。eMudhra 将弱密钥归因于2025年4月一次密钥仪式中使用的有缺陷的密钥生成脚本,称多个环节存在人为错误。

随后发生的,是信任生态系统的高速运转。据 BleepingComputer 报道,Firefox 于10月17日推送了 OneCRL 封禁,针对此前更新被阻挡的用户,Firefox 158.0.1 和 ESR 更新于10月20日跟进;Chrome 同样于10月17日封禁了六张具备 TLS 能力的中间证书,Apple 于10月19日跟进;eMudhra 于10月18日吊销了全部八张证书。Mozilla 随后宣布紧急撤销对上级根证书 emSign ECC Root CA - G3 的信任,Chrome 承诺采取类似路径;据 eMudhra 在 Mozilla 漏洞报告中的自述,预计约有 30000 张证书需要迁移。

两条坦诚的附注,方向正好相反。令人安心的一面:没有证据表明这些弱密钥曾被滥用,eMudhra 表示受影响系列未曾签发任何终端实体证书。不那么令人安心的一面:其中一个私钥已被一名研究人员发布到 GitHub,而自带信任库或跳过吊销检查的软件(据 BleepingComputer 报道,Mozilla 的事件跟踪记录以 macOS 内置的 curl 为例)在更新之前可能会继续信任这些证书。对普通读者来说,全部行动事项只有一句话:更新你的浏览器和操作系统。证书问题正是 VPN 完全无能为力的那一类,不过值得记住的是,伪造或被错误信任的证书对已经能拦截你流量的攻击者才最有价值,这也是在公共 Wi-Fi 上加密你的连接(英文页面)依然是明智习惯的原因之一。

为什么今天的 PHP 发布如此重要?

周二下午,PHP 项目在 php.net 上发布了一则不寻常的通知:定于10月21日周三 14:00 UTC 发布安全更新,修复两个严重漏洞,完整细节将随发布一同公布。预先宣布严重漏洞的修复是一种有意的权衡:它让防御者多出一天时间安排维护窗口,代价是告诉攻击者有价值的东西即将到来。随后,更新略早于预告到来:GitHub 安全公告的时间戳为 13:34 UTC(巴黎时间 15:34),PHP 的公告以"严重远程代码执行漏洞,请立即更新"为标题,指明修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。它们修复了 CVE-2026-109618 和 CVE-2026-109619,即"两个可允许未经身份验证的远程代码执行的严重漏洞",两者的 CVSS v4.0 评分均为 9.2。

这两个漏洞说起来并不复杂。CVE-2026-109618,"通过 OOM 损坏实现 RCE":内存耗尽处理可能在内部请求数据仅部分初始化时中断 PHP,随后的请求清理可能把这些无效数据当作有效数据处理。CVE-2026-109619,"通过陈旧全局状态实现 RCE":属于单个请求的内部状态可能在其内存被释放后继续存在,由同一工作进程处理的后续请求可能使用它,这是一个释放后使用漏洞。据 PHP 称,面临风险的是:"所有处理 Web 请求的 PHP 安装,包括 PHP-FPM、带 mod_php 的 Apache、php-cgi、FrankenPHP 和 LiteSpeed"。风险在 mod_php 上最高,"已有演示利用表明,未经身份验证的请求可以在任何应用代码运行之前触发攻击"。已演示的利用与在野利用并不是一回事;PHP 的公告没有报告任何在野攻击。

保密期终究还是泄露了。包括 SecureLayer7 在内的安全公司分析文章曾将这两个漏洞标记为 CVE-2026-109618 和 CVE-2026-109619,并报告称一个名为"PHP2Shell"的概念验证程序在发布前就已出现;PHP 项目尚未验证它,不过 SecureLayer7 报告称至少有一家安全公司表示复现了其中一个漏洞。PHP 10月21日的安全公告报告称没有在野利用。

然后是所有使用旧分支的人。公告指出,"PHP 项目已不再为 PHP 8.1 及更早版本提供更新",不过一些发行版和 LTS 供应商提供回移修复。"鉴于漏洞的严重性",PHP 安全团队还为 PHP 7.4、8.0 和 8.1 发布了最小化的源码回移补丁,面向从源码构建或没有 LTS 供应商的用户;这些是需要自行应用的补丁,而不是现成的发布版本。项目方没有为 PHP 7.3 及更早版本(包括 PHP 5)发布任何回移补丁。Linux 发行版和 LTS 供应商提前收到了补丁,而 PHP 8.2 本身将于2026年12月31日停止维护。PHP 的公告为无法立即更新的用户列出了临时措施,例如将 memory_limit 设为 -1、调低 post_max_size 或禁用会话上传进度,但表示这些措施"能减少特定攻击路径的暴露,但不能让安装变得安全";按照发布说明的说法,"更新是唯一安全的选择"。

规模才是关键。据 W3Techs 数据,在服务器端语言已知的网站中,69.3% 运行 PHP,而在这些 PHP 网站中,27.0% 仍在运行版本 7,7.7% 仍在运行版本 5,这些分支早在数年前就已停止维护。版本 7 的网站中包括 PHP 7.4,它现在至少有了源码层面的回移补丁;而使用 PHP 5 以及 PHP 7.0 至 7.3 的网站,得不到项目方的任何回移补丁。CERT-EU 的 2026-018 号公告(CERT-EU 是欧盟机构计算机应急响应小组)曾警告这些漏洞可能影响自 PHP 5 以来的所有版本;这一警告依然有效,而 GitHub 的安全公告只将受支持的分支,即低于 8.2.35、8.3.36、8.4.27 和 8.5.12 的版本,列为受影响,并未列举已停止维护的版本。对第一节里的系统管理员来说,这是今晚的工作加上下个季度的迁移项目,而它和其他一切都在同一个周二宣布。

这一周防御者的案头还落下了什么?

周一和周二还在不断加码。CISA 与 FBI 的联合公告 AA26-293A(10月20日)详细描述了 SafePay,这个勒索软件团伙自2024年8月以来已攻击至少 600 家机构。公告称,为阻止受害者恢复数据,SafePay 会停止卷影复制服务,并将网络附加备份存储设备重置为出厂设置,某些情况下会删除所有网络附加备份。公告的核心建议是旧智慧配上新的紧迫性:备份必须离线、不可篡改并经过实际测试,因为网络可达的副本正是这伙人要摧毁的东西。

CISA 的已知被利用漏洞(KEV)目录这周同样繁忙:四个可被串联利用的 Plex Media Server 漏洞于10月20日被收录,这一点之所以重要,是因为 Plex 是 KEV 目录中少见的存在于客厅而非数据中心的条目。本周早些时候入录的还有 BeyondTrust Remote Support 和 Fortinet(10月16日)、Atlassian Data Center(10月15日),以及 Palo Alto PAN-OS、Cisco Secure Email Gateway 和 Ahsay(10月14日)。每一条都有在野利用的证据。

还有两件事为这一周定了框架。Reuters 10月19日的独家报道描述了一名黑客利用自主 AI 代理尝试入侵超过 1200 个网站,并成功侵入超过 100 家公司的网站,据 NorForge 的一名研究人员称,每次入侵的成本约为 50 美元;Reuters 未能查明被窃取了哪些数据。无论最终核算如何,经济账才是重点:如果一次入侵只需约 50 美元,ISC2 数据中的预算削减就更难自圆其说。此外,周二 Google Cloud 伦敦区域的一次中断与 Revolut 银行卡在欧洲各地被拒付同时发生;Revolut 本人于10月20日晚间确认了原因,于巴黎时间 19:39 宣布问题已修复、服务已恢复,并指明原因是一次 Google Cloud 中断。Google 将其中断归因于伦敦区域某一可用区的电力事件,没有任何证据将它与 PwnEscape 联系起来。我们在 Revolut 中断解析中单独做了报道。

整周事件并排看是什么样?

这一周你实际应该做什么?

对大多数读者来说,诚实的答案很简短。更新你的浏览器和操作系统,这会悄悄解决证书事件。如果你在家运行 Plex Media Server,今天就更新;那些漏洞正在被实际利用,而不只是理论推测。另外,要预料到借用本周头条的钓鱼邮件,"您的账户在 PHP 数据泄露中被曝光"之类的把戏;一个能在已知钓鱼域名加载前就将其拦截的 DNS 过滤器会有帮助,比如 Le VPN 的 Threat Protection;如果有邮件声称你的电子邮箱出现在某次数据泄露中,请自己对照已知泄露事件进行查询,而不要点击邮件里的链接。我们的在线安全中心(英文页面)涵盖了其余基础知识。

如果你拥有网站:今晚就查清自己运行的是哪个 PHP 分支。在 8.2 至 8.5 上,更新已经发布:立即应用 8.2.35、8.3.36、8.4.27 或 8.5.12,或询问托管商是否已应用更新,因为 Linux 发行版和 LTS 供应商提前收到了补丁。在 7.4、8.0 或 8.1 上,可选项是 PHP 安全团队的最小化源码回移补丁,或供应商的回移修复。在 7.3 或更早版本(包括 PHP 5)上,把这当作你一直推迟的升级的强制契机,同时考虑 CERT-EU 的建议,隔离任何无法打补丁的面向互联网的系统。如果你的网站运行在 VPS 上,向服务商提两个问题是合理的:宿主机内核是否已针对 CVE-2026-99999 打补丁,重启窗口是什么时候。并且确认你的备份存放在勒索软件够不到的地方:SafePay 之所以重置或删除网络附加备份,正是因为受害者指望着它们。

如果你管理着从事这类工作的人,本文开头的调查数字不是人力资源部门的趣闻,而是一项风险指标。Proofpoint 的《2026 年 CISO 之声》发现 77% 的 CISO(首席信息安全官)表示自己背负着过高的期望,而 IANS/Artico 的董事会参与度研究发现只有 29% 的董事认为他们收到的网络安全汇报非常有效。一支这周忙着给宿主机打补丁、轮换证书、半夜阅读保密期泄露材料的团队,下个月还会再来一遍。他们是做得出色,还是一边做一边更新简历,部分取决于一行预算。

再多说一段实话。VPN 无法阻止这份清单上的任何一个事件。它不能为服务器打补丁,不能修复你访问的网站上的内核或 PHP 漏洞,不能阻止云服务中断,也不能替代封禁问题证书的浏览器更新。它的作用更窄,但依然有用:它加密你的设备与 VPN 服务器之间的流量,让同一家咖啡馆 Wi-Fi 上的人无法拦截你发送的内容。准确地知道一件工具能做什么,并如实说出来,似乎是为这个被未经证实的恐惧驱动的一周收尾的正确方式。

修复已于巴黎时间今天下午到来。在某个地方,一位疲惫的管理员开着终端,订好了维护窗口,而到周四,团队之外没有人会记得这一切发生过。这就是安全工作做好时的样子:表面上,什么都没有发生。