Homelab 月报 · 2026 年 10 月

本版导读PHP 修复两个 CVSS 9.2 的远程代码执行漏洞并发布多分支紧急更新，Cloudflare 提前部署 WAF 防护，watchTowr 蜜罐确认已在野利用。攻击者随后以定制利用链配合内核提权入侵美国政府服务器，群晖 NAS 遭 C3RB3R 勒索软件攻击增多，日本首相在社交平台呼吁国民尽快打补丁。

Linuxiac10.21

PHP 修复两个可远程执行代码的严重漏洞，发布 8.5.12 等紧急更新

PHP 开发团队发布紧急安全更新，修复两个可让未认证攻击者执行任意代码的严重漏洞，涉及 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。

原文

CCloudflare Blog一手10.21

Cloudflare 部署针对 php2shell 漏洞的 WAF 防护

Cloudflare 已针对 PHP 运行时漏洞 CVE-2026-109618 和 CVE-2026-109619（合称 php2shell）部署 WAF 防护，自 10 月 21 日 3:02 UTC 起对免费与付费 WAF 用户默认生效，规则提前约 9 小时上线。

原文

Rr/selfhosted 每日热门10.21

PHP 计划紧急发布两个补丁，修复 CVSS 9.2 漏洞

PHP 计划于 2026-10-21 14:00 UTC 紧急发布两个补丁，修复 CVE-2026-109618 和 CVE-2026-109619，两者 CVSSv4 评分均为 9.2，据传影响所有 PHP 版本。

原文

开源中国 OSCHINA10.22

watchTowr 确认 PHP 漏洞 CVE-2026-109618 与 CVE-2026-109619 已在野利用

安全公司 watchTowr 的 FAQ 页面确认，CVE-2026-109618 和 CVE-2026-109619 合称「PHP2Shell」，且这两个漏洞已在野被利用。watchTowr 是通过其全球分布的蜜罐网络 Attacker Eye 观察到在野利用的。

原文

开源中国 OSCHINA10.22

PHP 两个重大漏洞惊动日本首相，高市早苗在 X 上呼吁国民尽快打补丁

日本首相高市早苗 10 月 21 日晚在 X 上发文，就 PHP 的两个重大漏洞向国民发出紧急请求，呼吁尽快打补丁，该推文浏览量超过 5700 万。报道称这两个漏洞已拖延两年，相关 OOM 问题在 AI 时代爆发。

原文

Rr/selfhosted 每日热门10.29

群晖 NAS 用户遭 C3RB3R 勒索软件攻击增多，官方发布 Synology-SA-26:14 安全公告

群晖 NAS 用户近期遭遇 C3RB3R 勒索软件攻击的情况增多，官方已发布 Synology-SA-26:14 PHP2Shell 安全公告，过去约 12 小时内 r/synology 上有大量用户报告设备被入侵。

原文

开源中国 OSCHINA10.30

攻击者利用 PHP2Shell 漏洞链入侵美国政府服务器

安全公司 Dream 在 10 月 25 日发现一整套攻击残留，包含定制版 PHP2Shell 利用链与 Fragnesia 内核提权，目标为 Palo Alto Networks 的 PAN-OS 防火墙。此前 PHP 基金会修复的两个 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 已被武器化并用于实际攻击。

原文

本版导读GitLab 修复 CVSS 10.0、无需认证即可通过 CI/CD 特制正则执行代码的漏洞；LiteLLM 1.107.0 镜像被植入窃密程序与按小时拉取代码的后门；n8n 修复八个漏洞，其中五个高危；Vaultwarden、Traefik、Paperless-ngx 与 Coolify 各版本线均发布安全修复，Nix 与 Lix 修复本地提权至 root 的问题。

Noted10.13

GitLab 修复 CVSS 10.0 的远程代码执行漏洞 CVE-2026-97229

GitLab 发布紧急安全更新，修复 CVSS 评分 10.0 的严重漏洞 CVE-2026-97229，攻击者无需认证即可通过 CI/CD 配置文件中特制的正则表达式在服务器上执行任意代码，社区版与企业版均受影响。

原文

Rr/selfhosted 每日热门10.22

LiteLLM 1.107.0 Docker 镜像被植入窃密程序与后门

LiteLLM 的 1.107.0 版本在 PyPI 和官方镜像 litellm/litellm:1.107.0 中被植入窃密程序和一个每小时向攻击者服务器拉取新代码的后门，latest、main-latest、main-stable 标签均指向该镜像，使用 Watchtower 等自动更新的部署会直接拉取到。

原文

Coolify Releases一手10.21

Coolify 发布 v4.4.7 修复多个依赖 CVE

Coolify 发布 v4.4.7，修复其依赖中的多个严重 CVE，官方建议所有用户升级到该版本。各 v4 分支均有对应安全修复版本，v4.0.x 为 v4.0.1。

原文

Coolify Releases一手10.21

Coolify v4.2.1 回移 v4.4.7 安全修复，修复多个依赖中的严重 CVE

Coolify 发布 v4.2.1，将 v4.4.7 的安全修复回移到 v4.2.x 分支，修复其依赖中的多个严重 CVE。

原文

Noted10.15

n8n 修复多个影响自托管部署的安全漏洞

n8n 于 2026 年 10 月 14 日发布安全公告，修复八个漏洞，其中五个为高危，主要影响多用户可创建或修改工作流的自托管部署。漏洞包括 CVSS 8.4 的存储型跨站脚本、CVSS 7.2 的跨项目数据访问，以及原型污染、文件操作拒绝服务和凭据泄露等问题。

原文

Coolify Releases一手10.21

Coolify 发布 v4.1.3 回移 v4.4.7 安全修复

Coolify 发布 v4.1.3，将 v4.4.7 的安全修复回移到 v4.1.x 版本线，修复其依赖中的多个严重 CVE。

原文

Vaultwarden Releases一手10.06

Vaultwarden 发布 1.37.4，修复 7 个安全公告并调整反向代理与 Sends 行为

Vaultwarden 发布 1.37.4，修复 7 个安全公告，其中组织成员撤销问题评级为 High（8.1），双因素认证、组织邀请、附件、组织事件日志、Cipher 共享为 Medium，组织 API key 为 Low。

原文

Coolify Releases一手10.21

Coolify 发布 v4.0.1 安全修复版本，回移 v4.4.7 的多个严重 CVE 修复

Coolify 发布 v4.0.1，将 v4.4.7 的安全修复回移到 v4.0.x 版本线，修复其依赖中的多个严重 CVE。

原文

本版导读Linux 内核 ksmbd 曝出两个 CVSS 9.0 的远程代码执行漏洞且暂无 CVE 与修复，multipath TCP 存在可远程利用的释放后使用漏洞，Ubuntu 的 CVE-2026-98432 在 22.04、24.04、26.04 尚无修复内核。证书侧，eMudhra 八张弱密钥中间证书私钥可被恢复并用于伪造任意域名证书，DNS 根区 KSK 于 10 月 11 日完成第二次轮换。

CCloudflare Blog一手10.31

Cloudflare 追踪 eMudhra 弱密钥的利用与修补情况

Cloudflare 披露 eMudhra 八个弱密钥事件的后续：这些中间证书私钥可从公开证书中近乎即时恢复，任何人都能伪造任意域名的证书。

原文

Rr/selfhosted 每日热门10.23

Linux 内核 ksmbd 曝出两个 CVSS 9.0 远程代码执行漏洞，暂无 CVE 与修复

Trend Micro 的 Zero Day Initiative 于 10 月 22 日在修复就绪前向公开内核邮件列表提交了六份 Linux 内核安全报告，其中两个是内核内置 SMB 文件服务器 ksmbd 的 CVSS 9.0 远程代码执行漏洞。

原文

LWN.net10.30

Linux multipath TCP 存在可远程利用的释放后使用漏洞

Anthropic 于 10 月 27 日报告了 multipath TCP 监听开启的 Linux 系统上一个可远程利用的释放后使用漏洞，攻击者通过让重传 SYN 包的响应与另一线程建立连接同时发生，使前一线程访问已被释放的连接选项结构，从而泄露内核内存或造成缓冲区溢出并写入攻击者控制的载荷。

原文

Rr/selfhosted 每日热门10.31

Ubuntu 内核 CVE-2026-98432（CVSS 9.8）在 22.04 / 24.04 / 26.04 尚无修复内核

Ubuntu 内核 CVE-2026-98432 是 IPv4 TCP 代码中的 use-after-free，Ubuntu 评为 High、CVSS 9.8，Red Hat 公告称远程未认证攻击者可赢得竞态条件实现代码执行，两家均表示尚未发现在野利用。

原文

CCloudflare Blog一手10.21

Cloudflare 通报 8 张 eMudhra 中间证书私钥泄露

Cloudflare 于 2026 年 10 月 19 日约 17:00 UTC 得知 8 张 eMudhra 中间证书的私钥被泄露，由于密钥本身较弱，攻击者可伪造任意域名的证书来冒充服务器、拦截或篡改流量。

原文

CCloudflare Blog一手10.07

DNS 根区 KSK 将于 10 月 11 日轮换，Cloudflare 提供解析器就绪检测

DNS 根区的密钥签名密钥（KSK）将于 2026 年 10 月 11 日进行历史上第二次轮换，新密钥 KSK-2024（key tag 38696）将取代 KSK-2017（key tag 20326）签署根区 DNSKEY 记录集，验证型解析器需在切换前信任新密钥，否则用户可能无法访问任何顶级域下的网站。

原文

本版导读Let's Encrypt 宣布 2027 年 2 月 10 日起默认签发 64 天证书，Cloudflare 筹备免费公共 CA 并申请加入各大根证书计划。Deno 团队加入 Cloudflare 以简化 Workers 与 Durable Objects 自托管，Portainer 3.0 转向 Kubernetes 优先、社区版停留在 2.x，Bitwarden 引入双许可证模式。

开源中国 OSCHINA10.10

Let's Encrypt 官宣 2027 年 2 月全面转向 64 天证书

Let's Encrypt 于 2026 年 10 月 7 日官宣，2027 年 2 月 10 日起所有订阅者将默认获得 64 天有效期的证书，除非自行选择更短的 45 天或 6 天。官方同时表示不会因这次变更吊销任何有效证书，2026 年 10 月 14 日 staging 环境将先切换到 64 天。

原文

Noted10.09

Portainer 3.0 将转向 Kubernetes 优先，社区版停留在 2.x 分支

Portainer 于 2026 年 9 月 11 日宣布 3.0 版本将采取 Kubernetes 优先的开发路线，原因是同时维护 Docker、Docker Swarm、Podman 和 Kubernetes 的功能对齐越来越困难。

原文

Rr/selfhosted 每日热门10.10

Bitwarden 宣布双许可证模式，应用商店版本改用商业许可证

Bitwarden 宣布引入双许可证模式，从下一个版本起，官方应用商店构建将使用商业许可证，GPLv3 版本继续在 GitHub 上提供。Bitwarden 表示现有功能在两个版本中都可用，自托管和分叉仍受支持，免费计划不变，但未来功能可能仅限商业许可版本。发帖人担心开源版与商业版会随时间逐渐分化。

原文

Linuxiac10.02

Cloudflare 筹备免费公共 CA，将支持 ACME 协议签发 TLS 证书

Cloudflare 宣布筹备成为公共证书颁发机构，计划通过 ACME 协议免费提供自动化 TLS 证书，并已申请加入 Chrome、Apple、Microsoft 和 Mozilla 的根证书计划，同时签署协议收购一张自 2012 年起受信任的 GlobalSign 根证书。

原文

CCloudflare Blog一手10.09

Deno 团队加入 Cloudflare，将简化 Workers 与 Durable Objects 的自托管

Deno 团队加入 Cloudflare，目标是大幅简化 Workers 和 Durable Objects 的自托管，让开发者能在更多场景使用同一套原语。Cloudflare 高级首席工程师 Ryan Dahl 与杰出工程师 Kenton Varda 在文中讲述了这一决定意味着什么以及事情的经过。

原文

本版导读Stalwart 经五年开发发布首个稳定版 1.0，支持 SMTP、IMAP、POP3 与 JMAP。Immich 3.3 新增人物共享与生日回忆，Home Assistant 2026.10 为触发器 ID 提供图形界面并改用 OpenStreetMap 矢量瓦片，KeePassXC 2.8.0 迁移至 Qt6 并支持 Wayland Auto-Type，Homarr 2.0.0 带来自定义组件与 Workshop。

Immich Releases一手10.06

Immich v3.3.0 发布，新增人物共享与生日回忆

Immich 发布 v3.3.0，新增人物共享功能，用户可在集群组内共享人物，被共享的人物会出现在双方的人物列表和资产详情中，名称与出生日期可由双方编辑。该版本还带来生日回忆、移动端编辑自动堆叠到原图、每次登录同步 OAuth claims，以及更高质量的缩略图和预览。

原文

Linuxiac10.27

Stalwart 1.0 发布，开源邮件服务器迎来首个稳定版本

经过五年开发，用 Rust 编写的开源邮件与协作服务器 Stalwart 发布 1.0，这是它的首个稳定版本，支持 SMTP、IMAP、POP3 和 JMAP。

原文

Rr/selfhosted 每日热门10.03

Homarr v2.0.0 发布，新增自定义组件与 Workshop

Homarr 发布 v2.0.0，主要新增 Custom Widgets 和 Workshop：前者可用 JSX 编写组件、定义选项并接入实例，后者支持发布、投票、浏览和安装他人分享的组件与自定义 CSS。

原文

Home Assistant Blog一手10.07

Home Assistant 2026.10 发布：触发器 ID 获得图形界面，地图改用 OpenStreetMap 矢量瓦片

Home Assistant 2026.10 发布，触发器 ID 终于有了正式界面，在 Triggered by 条件里直接勾选触发器即可，无需自己编 ID，手写 YAML 的 ID 保持原样可用。

原文

LWN.net10.22

KeePassXC 2.8.0 发布，迁移至 Qt6 并支持 Wayland Auto-Type

KeePassXC 2.8.0 发布，带来大量长期等待的新功能、多项 bug 修复和若干安全更新。主要变化包括从 Qt5 迁移到 Qt6、Linux 上 Wayland 的 Auto-Type、可配置快捷键、借助外部工具实现远程数据库同步、macOS 上用密码快速解锁以及 Linux 上通过 Polkit 快速解锁。

原文