Homelab 日报 · 2026 年 10 月 22 日 · 星期四
HOMELAB
PHP 紧急发布补丁修复 CVSS 9.2 远程代码执行漏洞
PHP 计划于 2026-10-21 14:00 UTC 紧急发布两个补丁，修复 CVE-2026-109618 和 CVE-2026-109619，两者 CVSSv4 评分均为 9.2，可让未认证攻击者执行任意代码。官方已发布 8.5.12、8.4.27、8.3.36 和 8.2.35 紧急更新，Cloudflare 也已针对该漏洞部署 WAF 防护。
新版本与更新
Immich Releases一手Immich 发布 v3.3.5，修复 CA 被入侵相关问题
Immich 发布 v3.3.5，针对当天的 CA 被入侵事件（emudhra.we-have-a-problem.com）做了修复，官方认为该事件不会对 Immich 实例造成直接危险，但仍建议尽快更新。该版本同时更新了 python docker 镜像摘要，并将 certifi 依赖升级到 v2026.10.19。
Traefik Releases一手Traefik v3.7.16 修复 CVE 并支持 ForwardAuth 的 NTLM 与 Kerberos
Traefik 发布 v3.7.16，修复安全公告 GHSA-hrpp-p4fc-wwf8 对应的 CVE。该版本还在 ForwardAuth 与 ingress-nginx auth-url 中支持 NTLM 和 Kerberos 认证，并修复了使用 containerd 镜像存储时 Gateway API 一致性测试套件的初始化问题。
安全公告
PHP 计划紧急发布两个补丁，修复 CVSS 9.2 漏洞
PHP 计划于 2026-10-21 14:00 UTC 紧急发布两个补丁，修复 CVE-2026-109618 和 CVE-2026-109619，两者 CVSSv4 评分均为 9.2，据传影响所有 PHP 版本。
LinuxiacPHP 修复两个可远程执行代码的严重漏洞，发布 8.5.12 等紧急更新
PHP 开发团队发布紧急安全更新，修复两个可让未认证攻击者执行任意代码的严重漏洞，涉及 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。
Cloudflare 针对 php2shell 漏洞部署 WAF 防护
Cloudflare 已针对 PHP 运行时漏洞 php2shell（CVE-2026-109618 与 CVE-2026-109619）部署 WAF 防护，自 10 月 21 日 3:02 UTC 起所有启用 WAF 的免费与付费套餐默认受保护。
LiteLLM 1.107.0 Docker 镜像被植入窃密程序与后门
LiteLLM 的 1.107.0 版本在 PyPI 和官方镜像 litellm/litellm:1.107.0 中被植入窃密程序和一个每小时向攻击者服务器拉取新代码的后门，latest、main-latest、main-stable 标签均指向该镜像，使用 Watchtower 等自动更新的部署会直接拉取到。
Coolify Releases一手Coolify 发布 v4.4.7 修复多个依赖 CVE
Coolify 发布 v4.4.7，修复其依赖中的多个严重 CVE，官方建议所有用户升级到该版本。各 v4 分支均有对应安全修复版本，v4.0.x 为 v4.0.1。
Coolify Releases一手Coolify 发布 v4.3.24 安全修复版本
Coolify 发布 v4.3.24，将 v4.4.7 的安全修复回移到 v4.3 分支，修复其依赖中的多个严重 CVE。
Coolify Releases一手Coolify 发布 v4.1.3 回移 v4.4.7 安全修复
Coolify 发布 v4.1.3，将 v4.4.7 的安全修复回移到 v4.1.x 版本线，修复其依赖中的多个严重 CVE。
Coolify Releases一手Coolify 发布 v4.0.1 安全修复版本，回移 v4.4.7 的多个严重 CVE 修复
Coolify 发布 v4.0.1，将 v4.4.7 的安全修复回移到 v4.0.x 版本线，修复其依赖中的多个严重 CVE。