Homelab 周报 · 2026 年第 43 周 · 10.19 — 10.25
HOMELAB
PHP 高危漏洞遭在野利用
本期覆盖 2026-10-19 至 2026-10-25。最突出的主线是 PHP 两个 CVSS 9.2 漏洞（CVE-2026-109618、CVE-2026-109619，合称 php2shell）的紧急修补：PHP 于 10 月 21 日发布 8.5.12、8.4.27、8.3.36、8.2.35 等版本，Cloudflare 提前约 9 小时上线 WAF 规则，watchTowr 确认漏洞已在野利用，日本首相亦公开呼吁打补丁。供应链方面，LiteLLM 1.107.0 镜像被植入窃密程序与后门，eMudhra 8 张中间证书私钥泄露波及 Immich 等项目的修复发布。Coolify 在发布 v4.5.0 新功能的同时，将 v4.4.7 的依赖 CVE 修复回移到多个分支。此外 Linux ksmbd 曝出两个 CVSS 9.0 漏洞且暂无修复，Plex 服务器遭 Plex2Shell 主动入侵。新版本方面有 TREK 5.0、KeePassXC 2.8.0、Traefik v3.7.16 等更新。
PHP 漏洞紧急修补
本版导读PHP 两个 CVSS 9.2 漏洞 CVE-2026-109618 与 CVE-2026-109619 合称 php2shell，可让未认证攻击者远程执行任意代码，影响所有 PHP 版本。PHP 安全团队先于 10 月 21 日预告，随后发布 8.5.12、8.4.27、8.3.36、8.2.35 紧急更新。Cloudflare 自 10 月 21 日 3:02 UTC 起对免费与付费 WAF 用户默认启用防护，规则比补丁提前约 9 小时上线。watchTowr 通过蜜罐网络确认漏洞已在野利用，日本首相高市早苗也在 X 上呼吁国民尽快打补丁。
PHP 计划紧急发布两个补丁，修复 CVSS 9.2 漏洞
PHP 计划于 2026-10-21 14:00 UTC 紧急发布两个补丁，修复 CVE-2026-109618 和 CVE-2026-109619，两者 CVSSv4 评分均为 9.2，据传影响所有 PHP 版本。
Linuxiac10.21PHP 修复两个可远程执行代码的严重漏洞，发布 8.5.12 等紧急更新
PHP 开发团队发布紧急安全更新，修复两个可让未认证攻击者执行任意代码的严重漏洞，涉及 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。
Cloudflare 部署针对 php2shell 漏洞的 WAF 防护
Cloudflare 已针对 PHP 运行时漏洞 CVE-2026-109618 和 CVE-2026-109619（合称 php2shell）部署 WAF 防护，自 10 月 21 日 3:02 UTC 起对免费与付费 WAF 用户默认生效，规则提前约 9 小时上线。
watchTowr 确认 PHP 漏洞 CVE-2026-109618 与 CVE-2026-109619 已在野利用
安全公司 watchTowr 的 FAQ 页面确认，CVE-2026-109618 和 CVE-2026-109619 合称「PHP2Shell」，且这两个漏洞已在野被利用。watchTowr 是通过其全球分布的蜜罐网络 Attacker Eye 观察到在野利用的。
LWN.net10.21PHP 安全团队预告将发布高风险安全更新
PHP 安全团队预告将于 10 月 21 日 14:00 UTC 发布一次高风险安全更新，并建议所有 PHP 用户提前做好准备，以便版本发布后立即升级。运行 PHP 站点的用户需要为这次更新做好准备。
PHP 两个重大漏洞惊动日本首相，高市早苗在 X 上呼吁国民尽快打补丁
日本首相高市早苗 10 月 21 日晚在 X 上发文，就 PHP 的两个重大漏洞向国民发出紧急请求，呼吁尽快打补丁，该推文浏览量超过 5700 万。报道称这两个漏洞已拖延两年，相关 OOM 问题在 AI 时代爆发。
供应链与证书风险
本版导读LiteLLM 1.107.0 在 PyPI 与官方镜像中被植入窃密程序和一个每小时拉取新代码的后门，latest、main-latest、main-stable 标签均指向该镜像，使用 Watchtower 自动更新的部署尤其需要排查。Cloudflare 通报 8 张 eMudhra 中间证书私钥泄露，因密钥较弱，攻击者可伪造任意域名证书冒充服务器、拦截或篡改流量；Immich v3.3.5 随即修复相关问题并合入 Node.js 安全补丁。
LiteLLM 1.107.0 Docker 镜像被植入窃密程序与后门
LiteLLM 的 1.107.0 版本在 PyPI 和官方镜像 litellm/litellm:1.107.0 中被植入窃密程序和一个每小时向攻击者服务器拉取新代码的后门，latest、main-latest、main-stable 标签均指向该镜像，使用 Watchtower 等自动更新的部署会直接拉取到。
Cloudflare 通报 8 张 eMudhra 中间证书私钥泄露
Cloudflare 于 2026 年 10 月 19 日约 17:00 UTC 得知 8 张 eMudhra 中间证书的私钥被泄露，由于密钥本身较弱，攻击者可伪造任意域名的证书来冒充服务器、拦截或篡改流量。
Immich Releases一手10.22Immich 发布 v3.3.5，修复 CA 泄露相关问题并合入 Node.js 安全补丁
Immich 发布 v3.3.5，修复了当天 CA 泄露事件（emudhra.we-have-a-problem.com）相关的问题，并合入若干 Node.js 安全补丁。官方表示该泄露暂未对 Immich 实例构成直接危险，但仍建议尽快升级。该版本还更新了 python docker 镜像摘要，并将 certifi 依赖升级到 v2026.10.19。
Coolify 修复与新功能
本版导读Coolify 发布 v4.4.7，修复依赖中的多个严重 CVE，并把修复回移到 v4.3.24、v4.1.3、v4.0.1 等各 v4 分支。同期发布的 v4.5.0 新增服务器补丁（beta）、集群 Metrics 页面、资源文件浏览器与 passkey 登录，支持部署私有 Gitea 仓库，并调整了 API 令牌权限。
Coolify Releases一手10.21Coolify 发布 v4.4.7 修复多个依赖 CVE
Coolify 发布 v4.4.7，修复其依赖中的多个严重 CVE，官方建议所有用户升级到该版本。各 v4 分支均有对应安全修复版本，v4.0.x 为 v4.0.1。
Coolify Releases一手10.21Coolify 发布 v4.3.24 安全修复版本
Coolify 发布 v4.3.24，将 v4.4.7 的安全修复回移到 v4.3 分支，修复其依赖中的多个严重 CVE。
Coolify Releases一手10.23Coolify 发布 v4.5.0，新增服务器补丁与指标页并调整 API 令牌权限
Coolify 发布 v4.5.0，新增服务器补丁（beta）、集群 Metrics 页面、资源文件浏览器和 passkey 登录，并支持部署私有 Gitea 仓库。
Coolify Releases一手10.21Coolify 发布 v4.1.3 回移 v4.4.7 安全修复
Coolify 发布 v4.1.3，将 v4.4.7 的安全修复回移到 v4.1.x 版本线，修复其依赖中的多个严重 CVE。
Coolify Releases一手10.21Coolify 发布 v4.0.1 安全修复版本，回移 v4.4.7 的多个严重 CVE 修复
Coolify 发布 v4.0.1，将 v4.4.7 的安全修复回移到 v4.0.x 版本线，修复其依赖中的多个严重 CVE。
内核与 Plex 攻击面
本版导读Trend Micro 的 Zero Day Initiative 在修复就绪前向公开内核邮件列表提交六份报告，其中两个是内核内置 SMB 服务器 ksmbd 的 CVSS 9.0 远程代码执行漏洞，暂无 CVE 与修复。另有用户报告旧版 Plex 服务器在 32400 端口遭 Plex2Shell 主动利用，被植入挖矿程序、代理和 DDoS 机器人，上传带宽被占满。
Linux 内核 ksmbd 曝出两个 CVSS 9.0 远程代码执行漏洞，暂无 CVE 与修复
Trend Micro 的 Zero Day Initiative 于 10 月 22 日在修复就绪前向公开内核邮件列表提交了六份 Linux 内核安全报告，其中两个是内核内置 SMB 文件服务器 ksmbd 的 CVSS 9.0 远程代码执行漏洞。
Plex 服务器遭 Plex2Shell 在 32400 端口主动利用
有用户报告旧版 Plex 服务器在 32400 端口被 Plex2Shell 入侵，植入挖矿程序和代理，作者自己的实例则被植入 DDoS 机器人，导致上传带宽被占满。
自托管应用更新
本版导读自托管旅行规划应用 TREK 发布 5.0，新增 Tours 户外路线规划、TREK Studio 照片书导出和可接入自有模型的 AI 助手。KeePassXC 2.8.0 迁移至 Qt6，支持 Wayland Auto-Type、可配置快捷键与远程数据库同步。Traefik v3.7.16 修复 GHSA-hrpp-p4fc-wwf8 对应 CVE，并在 ForwardAuth 与 ingress-nginx auth-url 中支持 NTLM 和 Kerberos。另有开源 Overleaf 分叉 Ayakaleaf Pro 发布。
TREK 5.0 发布：自托管旅行规划应用新增路线规划与照片书
自托管旅行规划应用 TREK 发布 5.0，新增 Tours 户外路线规划、TREK Studio 照片书导出和可接入自有模型的 AI 助手。Tours 支持徒步、骑行、滑雪等路线，按 SAC 难度规划并带海拔剖面与 3D 地形图；Studio 提供 108 页模板并导出带裁切标记的 PDF。
LWN.net10.22KeePassXC 2.8.0 发布，迁移至 Qt6 并支持 Wayland Auto-Type
KeePassXC 2.8.0 发布，带来大量长期等待的新功能、多项 bug 修复和若干安全更新。主要变化包括从 Qt5 迁移到 Qt6、Linux 上 Wayland 的 Auto-Type、可配置快捷键、借助外部工具实现远程数据库同步、macOS 上用密码快速解锁以及 Linux 上通过 Polkit 快速解锁。
开源 Overleaf 分叉 Ayakaleaf Pro 发布，补齐 Pro 版功能
作者发布开源 Overleaf 分叉 Ayakaleaf Pro，称已覆盖 Overleaf SaaS 版几乎所有功能，代码托管在 GitHub。
Traefik Releases一手10.20Traefik v3.7.16 修复 CVE 并支持 ForwardAuth 的 NTLM 与 Kerberos
Traefik 发布 v3.7.16，修复安全公告 GHSA-hrpp-p4fc-wwf8 对应的 CVE。该版本还在 ForwardAuth 与 ingress-nginx auth-url 中支持 NTLM 和 Kerberos 认证，并修复了使用 containerd 镜像存储时 Gateway API 一致性测试套件的初始化问题。