什么？还有高手？服务器运维的疯狂星期四

如果你以为 2026 年 10 月 22 日凌晨只是 PHP 爆了两个严重漏洞，那你就太天真了。

这不是普通的安全更新日，这是互联网基础设施集体举办的「谁先把运维逼疯谁就赢」大赛。

PHP、Node.js、NGINX、Go、Rust、Python、Java、.NET、Docker……甚至连负责证明网站身份的 CA 证书都开始整活。

而我们的服务器运维人员，只是想安安静静地睡个觉。

一、PHP：出场就惊艳全场

PHP：全版本高危漏洞，最高 CVSS 9.2，建议立即更新。

10 月 21 日，PHP 官方发布安全更新，修复两个可能导致未认证远程代码执行的严重漏洞：

CVE-2026-109618：内存耗尽（OOM）处理异常，导致请求清理阶段使用未正确初始化的数据。
CVE-2026-109619：请求内部状态在内存释放后残留，后续请求可能使用已经失效的状态。

受影响版本从 PHP 5.4 一直到 8.5.11，修复版本包括 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。

官方给出的建议非常直接：没有完整的临时缓解方案，更新是唯一安全的选择。 https://www.php.net/archive/2026.php

最离谱的是，这次漏洞还涉及 AI 辅助发现与利用研究。Google Cloud 和 Wiz 公布的研究显示，AI 模型参与了漏洞发现、利用开发和补丁验证。https://cloud.google.com/blog/products/identity-security/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619

二、Node.js：Brotli 解码器也想执行代码

Node.js 紧随其后，发布了 22.x、24.x、26.x 多条版本线的安全更新。

其中最醒目的，是 CVE-2026-111497：Brotli 解码器越界写入，可能导致远程代码执行。

除此之外，还有 DNS 输入处理问题、TLS 主机名验证绕过、HTTP Keep-Alive 处理异常等多个安全问题。https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

你以为 Brotli 只是负责压缩网页、减少流量的工具？

没错，它确实是。

但当解码器出现内存安全问题时，事情就不再是「网页加载失败」那么简单了。

Node.js：我负责运行 JavaScript，不代表我只会运行 JavaScript。

三、NGINX：反向代理入口，漏洞全家桶

对于运维人员来说，NGINX 是什么？

是反向代理，是 HTTPS 入口，是网站的大门，也是今天的又一个惊喜盲盒。

NGINX 官方安全公告一次列出了多项新漏洞，包括：

CVE-2026-15176：alias 与 rewrite 组合相关的缓冲区溢出。
CVE-2026-93479：脚本求值过程中的缓冲区溢出。
CVE-2026-95101：HTTP/3 请求体注入。
CVE-2026-97629：TLS session ticket 伪造。
CVE-2026-97205：异步文件 I/O 中的 use-after-free。

这些问题的修复版本涉及 NGINX 1.31.7+ 或 1.30.6+。具体受影响范围因漏洞而异，并非每个版本、每种配置都会受到所有问题影响。https://nginx.org/en/security_advisories.html

最有节目效果的是：其中一些问题需要特定配置或功能才能触发。

这意味着你不能简单地说「我的 NGINX 能启动，所以没事」。

NGINX：你开了 HTTP/3 吗？

运维：开了。

NGINX：你用了 alias 和 rewrite 吗？

运维：用了。

NGINX：那我们再聊聊。

四、CA 证书：私钥竟然可以用「4」？

如果说前面的事故是软件代码写出了问题，那么接下来的事情就更抽象了。

eMudhra 旗下八个中间 CA 证书的私钥被发现存在泄露问题。原因是密钥生成时随机性不足，导致私钥能够被恢复，攻击者因此可能伪造受信任的网站证书。

Google Chrome、Mozilla Firefox 等生态迅速采取措施，将受影响的中间证书加入拒绝信任的名单。https://blog.google/security/protecting-chrome-and-android-users-from-compromised-emudhra-intermediate-ca-certificates/

这里最恐怖的不是某个网站证书过期，而是：

攻击者可能拿着伪造的证书，冒充你本来信任的网站。

你打开 HTTPS，浏览器显示安全连接，并不意味着整个证书信任链永远不会出问题。

更麻烦的是，这次事件波及了多个依赖证书信任库的软件生态：

Go 的 crypto/x509。
Rust 的 rustls-webpki。
Docker 的镜像拉取与推送链路。
Python 的 certifi 证书库。

Rust 生态已经发布了对应修复，相关版本会拒绝包含受影响中间证书公钥的证书路径。https://rustsec.org/advisories/RUSTSEC-2026-0382

至于网传的「印度某 CA 把私钥设成了 4」，这个说法虽然很适合做梗，但目前不宜在没有可靠原始证据的情况下当作已确认事实。

不过，密钥生成随机性不足到足以让私钥被恢复，这件事本身就已经够离谱了。

五、LiteLLM：你下载的不是更新，是惊喜大礼包

如果说普通漏洞需要攻击者想办法利用，那么供应链投毒就直接把危险送到了用户面前。

LiteLLM 官方确认，10 月 21 日，其公开发布流程遭到入侵，攻击者利用被盗的开发者凭据发布了包含恶意代码的版本。

受影响的包括 PyPI 上的 litellm==1.107.0，以及一段时间内指向恶意镜像的多个 Docker、GHCR 标签。

恶意代码包含凭据窃取功能和远程代码执行相关能力。官方已经撤下受影响的制品，并要求相关用户检查环境。https://docs.litellm.ai/blog/security-incident-oct-21-2026

注意，这次事故的重点不只是「某个版本有漏洞」。

而是你原本信任的发布流程、开发者账号和软件包仓库，可能被攻击者利用了。

你以为自己在更新 AI 网关。

攻击者：没错，你更新的是我给你准备的特别版。

六、Go、Python、Docker：证书链的连锁反应

前面说过，CA 私钥泄露不是孤立事件。

当受信任的中间证书出了问题，不同语言、容器引擎和应用的证书验证机制都需要作出响应。

Go 的证书校验、Rust 的 rustls-webpki、Python 的 certifi，以及 Docker 所依赖的 Go 运行时，都可能需要更新相关信任信息或验证逻辑。

Docker 29.9.2 于 10 月 20 日发布，相关更新涉及 Go 运行时和证书信任问题。https://github.com/moby/moby/releases

Python 的 certifi 也出现了根证书调整：先移除相关证书，再恢复不受影响的根证书。

这就产生了一个非常现实的问题：

你以为 Docker 拉不到镜像，是仓库挂了。

结果可能是证书验证更新后，旧的证书链不再被接受。

你以为 Python 请求 HTTPS 失败，是对面服务器配置错了。

结果可能是本地使用的 CA 证书库刚刚发生变化。

当然，证书验证失败不等于软件坏了。如果原本信任的证书确实存在风险，拒绝连接反而是正确行为。

这就是安全更新最有趣的地方：修复安全问题，有时也会让原本能工作的东西突然停止工作。

七、Java、.NET、ASP.NET Core：今天谁也别想下班

Oracle Java SE 也迎来了 2026 年 10 月的 Critical Patch Update。

Oracle 官方的季度安全更新覆盖多个产品家族，包含大量安全补丁。https://www.oracle.com/security-alerts/cpuoct2026.html

此外，网传清单还提到了 JavaFX、核心类库、编译器和第三方组件等多个问题。

.NET 生态同样没能置身事外。

ASP.NET Core 涉及远程代码执行与多个拒绝服务问题；.NET 本身也出现了与链接跟随、权限边界以及拒绝服务相关的安全公告。

这些漏洞的实际影响各不相同，不能一概而论，但对于依赖相关运行时的服务来说，版本核对和安全更新显然不能省略。

Java：我每季度都这样，你们应该习惯了。

运维：你管这叫习惯？！

八、Ruby、Tomcat、Traefik：还有高手？

当然有。

Ruby 的 DNS 解析、超时处理、ERB 和 Zlib 等组件，网传清单中也有多个安全问题。

Apache Tomcat 被报告存在特定 JNDI Realm 配置下的认证问题。

Traefik 则涉及 Kubernetes Ingress NGINX provider 的客户端证书认证绕过问题。

这些问题有的影响特定配置，有的需要特定条件才能触发。它们并不意味着所有 Ruby、Tomcat 或 Traefik 部署都能被直接攻破，但都值得对应用户查看官方公告。

至此，今天的安全更新现场已经从 PHP 引擎一路扩展到了反向代理、TLS、容器、语言运行时和软件供应链。

你甚至很难判断究竟应该先检查哪个组件。

九、总结：这不是漏洞日，这是运维团建

今天最值得记住的，不是某个语言又出了几个 CVE，而是几种风险同时出现：

代码漏洞：可能造成远程代码执行、内存破坏或拒绝服务。
证书信任问题：可能影响 HTTPS 身份验证。
供应链攻击：下载到的软件本身可能被植入恶意代码。
配置相关漏洞：功能开得越多，需要检查的攻击面可能越大。

送给凌晨所有还在值班的运维人员一句话：

互联网不是不安全，只是每天都有新的理由让你更新。

祝大家疯狂星期四快乐。