Wiz Research 藉助前沿 AI 模型在 PHP 核心引擎中發現多個記憶體安全漏洞，可導致未授權遠端程式碼執行與程序記憶體洩露，CVSS 最高 9.2。PHP 專案於 10 月 21 日發布補丁，包括 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35。據 Wiz 稱，漏洞存在於 PHP 本身、… 看完整事件
PHP 發布 8.5.12 等版本修復兩個嚴重 RCE 漏洞
PHP 專案發布 8.5.12、8.4.27、8.3.36 與 8.2.35，修復兩個可讓未認證攻擊者遠端執行程式碼的嚴重漏洞。CVE-2026-109618 源於請求恰好觸及 memory_limit 時的記憶體破壞，在 Apache mod_php 下無需應用程式碼執行即可觸發；CVE-2026-109619 則由錯誤時機的致命錯誤殘留上一請求記憶體狀態導致。官方要求執行 PHP 的伺服器立即升級；
官方詳述兩個影響記憶體管理與錯誤處理核心路徑的 RCE 漏洞成因，以及從 2024 年外部審計、AI 輔助掃描到多方獨立報告的完整發現過程，PHP 運維與安全團隊可據此判斷升級緊迫性。
原標題：Today's PHP Security Release, and How We're Strengthening PHP Security
閱讀原文
| 評分 | 85 / 50（平均 67，門檻 76） |
|---|---|
| 狀態 | 未入選 |
相關報導
OpenAI 稱 GPT-5.6 Sol 發現 PHP 嚴重漏洞，牽頭協調修復
OpenAI 披露，GPT-5.6 Sol 在開源語言 PHP 中發現嚴重漏洞，Wiz 亦獨立發現並上報；PHP 維護者主導修復與發版，Cloudflare 等合作方在披露前協助測試與準備防護。OpenAI 已上線 PHP 版本檢測工具，並將推出配套 Codex skill，幫運維判斷是否受影響及該打哪個更新。OpenAI 稱這是近年影響最大的安全問題之一，承諾投入 10 億美元 Daybreak 補貼額度給安全資源有限的防禦方，並公開一套五階段漏洞回應框架徵集社群意見。
macOS 高危漏洞遭在野利用，Claude Code 代理發現並協助清理
荷蘭國家網路安全中心警告 macOS 高危漏洞 CVE-2026-65400 正被在野利用：攻擊者通過可從網際網路訪問的 5900 埠取得 root 權限並植入門羅幣挖礦程式，Apple 已為 macOS Tahoe、Sequoia、Sonoma 發布補丁，該漏洞源於螢幕共享的狀態管理缺陷，嚴重度 7.1，細節在上週 Black Hat 公開。
Plex 漏洞正被在野利用以投放挖礦程式
Plex 漏洞正被在野利用，攻擊者藉此投放加密貨幣挖礦程式。原文標題使用複數形式的 Plex vulnerabilities，表明涉及不止一個漏洞；文章由 Bored Hacker Blog 發布，在 Hacker News 獲得 125 分、53 條評論。當前可見資訊只有標題與連結，未給出受影響版本、攻擊入口、修復狀態或緩解措施，也未說明攻擊開始時間與影響範圍。
兩個 ARM64 專用編譯器最佳化 bug 同時擊中 curl
curl 作者 Daniel Stenberg 在 Mastodon 上報告，curl 遇到兩個 ARM64 專用的編譯器最佳化 bug，分別來自 GCC 15/16 和 Rust。問題只在 ARM64 平台由編譯器最佳化觸發，訊息以連結形式發布，Hacker News 上的討論帖目前還沒有評論，尚未給出影響範圍與修復進展。
ROME 攻擊在 GPU 記憶體篡改模型權重，Stealthium 用 CUDA 呼叫棧檢測
ROME 攻擊通過惡意 Python 模組直接在 GPU 記憶體中改寫模型權重，使同一檢查點對同一問題給出語義不同的答案，磁碟檔案卻沒有任何變化。傳統 EDR/ADR 只監控檔案、程序和網路，因而看不到這類僅由額外 CUDA 核心啟動完成的篡改。Stealthium 的執行時感測器把每次 CUDA 核心啟動關聯回發起它的 Python 程式碼，並結合權重變化與呼叫棧進行檢測；其實驗室復現顯示，攻擊表現為標準推理加一批額外 CUDA 啟動。