2026 年 10 月，服务端运行时与 Web 服务器领域集中出现了一批高影响漏洞，涉及 PHP、Java（OpenJDK / Oracle Java SE / Apache Tomcat）、nginx、Apache HTTP Server、Node.js、Go 六大类组件。其中 PHP 的两个远程代码执行漏洞已被确认存在公开的可用性有限的攻击尝试，Apache Tomcat 出现可绕过口令校验的认证缺陷，nginx 与 Apache HTTP Server 则分别披露了内存破坏类问题。

我公司安全服务团队对公开信息进行了梳理与交叉核对，形成本月汇编，供各企事业单位的信息化运维、安全负责同志参考。

信息截至 2026 年 10 月 27 日。 漏洞信息以各官方公告为准，本文仅作梳理与提示，具体处置请结合自身环境评估。

一、本月漏洞速览

二、PHP：php2shell 漏洞及后续

2.1 漏洞本身

PHP 官方于 2026 年 10 月 21 日 发布安全更新，修复两个远程代码执行漏洞：

• CVE-2026-109618：与内存不足（OOM）处理机制相关。PHP 在请求数据尚未完成初始化时中断处理，后续清理程序误将无效数据当作有效数据释放，其中残留攻击者可控内容。
• CVE-2026-109619：跨请求的陈旧内部状态使用。请求所属的内部状态在其内存被释放后仍然残留，同一进程后续处理的请求可能在初始化完成前使用该状态。

两项漏洞 CVSS v4.0 基础分均为 9.2，未经验证的攻击者即可触发。影响范围涵盖所有处理 Web 请求的 PHP 环境，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed；官方认为 Apache mod_php 风险最高，并已验证未认证请求可在业务代码执行之前触发攻击。

按官方说明，修复版本为 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35；PHP 8.1 及更早版本不再接收官方更新，官方另为 7.4、8.0、8.1 提供了精简的源码级修补。

我公司已于 10 月 21 日针对该漏洞发布专项处置方案，详见《关于 PHP CVE-2026-109618 与 CVE-2026-109619 漏洞的处置方案》。

2.2 一个必须提醒的升级副作用

本次修复引入了一个非安全性回归问题：在 8.4.27 与 8.5.12 上，垃圾回收器可能对 SimpleXMLElement 对象的属性表重复释放并破坏堆结构，导致正常应用崩溃——一次对 XML 对象的 json_encode 后接 json_decode 即可能触发。该问题已在代码仓库修复，将在 8.5.13 与 8.4.28 中发布。

判断方法：如果您升级后应用出现异常崩溃，先怀疑是这个回归，而不是遭到了攻击。

2.3 在野利用情况

据公开信息，修复发布后出现了大规模扫描与尝试：Cloudflare 记录到从数千次跃升至数百万次的尝试，Wordfence 在其 WordPress 生态中拦截了超过 7.4 万次请求；截至 10 月下旬，尚无公开确认的成功入侵案例，公开的概念验证代码对默认安装的 PHP 未能奏效。

但这不构成可以暂缓升级的理由——攻击尝试的量级已经说明它被高度关注，且针对内存泄露原语的私有利用代码已被披露可在开启 ASLR 的生产配置下达成代码执行。

三、Java 生态：三波更新叠加

本月 Java 侧出现了三条相互独立的更新线，建议一并处理。

3.1 OpenJDK 与 Oracle Java SE

OpenJDK 于 10 月 20 日 发布漏洞通告，修复了一批问题，影响版本包括 26.0.2.1、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8u504 及更早版本，涉及 2D、java.net、java.security、java.util.jar、JAXP、JGSS 等多个组件，其中 CVE-2026-91415 评分 7.0。

次日（10 月 21 日），OpenJDK 与 Oracle 又发布 CVE-2026-91403，CVSS v3.1 评分 9.1，位于 JSSE 组件。该漏洞源于印度证书颁发机构 eMudhra 的中间证书出现安全问题，攻击者可在无需认证的情况下通过网络利用，影响数据的保密性与完整性。Oracle 已在新版本中不信任相关中间 CA 证书。

Oracle 建议更新至 8u511、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1 及更高版本，涉及 Oracle Java SE、Oracle GraalVM for JDK 与 GraalVM Enterprise Edition。

此外，Oracle 10 月重要补丁更新（CPU）还包含大量产品漏洞，其中部分已被公开概念验证代码，建议一并评估。

3.2 Apache Tomcat：8 个漏洞，含认证绕过

Apache 于 10 月 20 日 披露 Tomcat 的 8 个漏洞，其中 3 个被评为 Important：

修复版本为 11.0.27 / 10.1.61 / 9.0.123。截至发稿，未见公开确认的在野利用或公开 PoC。

特别提示两点：

1. 运行 Tomcat 8.5 / 7.0 等已终止支持版本的环境，本次不会获得补丁，必须迁移到受支持分支。
2. 使用 LDAP 登录、且 JNDI Realm 配置了非 GSSAPI 的 SASL 机制的站点，是 CVE-2026-101296 的直接暴露面，应优先核查实际配置，而不要仅凭"没用 GSSAPI"就排除。

四、Web 服务器：nginx 与 Apache HTTP Server

4.1 nginx：五个漏洞，三个内存破坏

F5 于 10 月 14 日 发布公告，涉及 nginx 数据平面的五个漏洞。三个内存破坏类问题 CVSS v3.1 为 8.1、CVSS v4.0 为 9.2：

关键点：这些都不是"装上就中"的漏洞。 每个都需要特定版本加上特定配置组合才成立。远程代码执行还要求 ASLR 被禁用或绕过。因此"版本在范围内"不等于"可被利用"，但反过来，一旦配置命中，未认证请求即可触发。

修复版本：开源版 1.31.7 或 1.30.6；nginx Plus 37.x 升级至 37.0.5.1 或 37.1.0.1（R33 ~ R36 分支无补丁，需迁移）。相关产品对应版本：NGINX Instance Manager 2.24.0、F5 WAF for NGINX 5.16.0 或 5.14.2、NGINX Gateway Fabric 2.8.0、NGINX Ingress Controller 5.7.0、F5 DoS for NGINX 4.11.0。各 Linux 发行版也已发布安全公告（如 Ubuntu USN-8955-1）。

临时缓解（无法立即升级时）：

• CVE-2026-97205：禁用 AIO 或 禁用 SSI（禁用 AIO 可能影响大文件/流媒体场景性能）；
• CVE-2026-93479：将未命名正则捕获改为命名捕获，并仅在匹配的块内使用；
• CVE-2026-15176：避免在 location 中使用 alias 与 $request_filename 的危险组合；
• 未使用 HTTP/3 的可先行关闭。

4.2 Apache HTTP Server：2.4.69 修复 20 个漏洞

Apache 软件基金会于 10 月 1 日 发布 2.4.69，修复 20 个漏洞，多数影响 2.4.0 ~ 2.4.68。官方评级为 5 个中等、15 个低危，但需注意 NVD 对其中三个给出了 9.8 的 CVSS 基线分（CVE-2026-56154 mod_rewrite 释放后使用、CVE-2026-57941 mod_http2 共享缓冲区重入、CVE-2026-59797 mod_ssl 权限管理问题）——评级口径存在差异，建议按 NVD 从严处置。

值得单独关注的几项：

• CVE-2026-63292（mod_vhost_alias）：Host 头超过 8192 字节可能触发栈溢出，导致崩溃或代码执行。需 VirtualDocumentRoot 使用主机名格式符、且 LimitRequestFieldSize 被调高超过默认值。
• CVE-2026-42356：CGI 程序发起的某些内部重定向后，处理器选择不当，可能把重定向到的文件当作 CGI 执行。该文件须已存在于启用 CGI 的目录且扩展名不被 mod_mime 识别。仅影响 2.4.60 ~ 2.4.68。
• CVE-2026-93546（mod_dav）：具备写权限的已认证客户端发送含大量 XML 命名空间的 PROPPATCH 请求，可崩溃 worker 并持久破坏目录的属性数据库——这是数据完整性问题，不只是可用性问题。
• CVE-2026-63045：不可信的 FTP 服务器可将正向代理的数据连接重定向到其他主机。
• CVE-2026-63718（mod_proxy_uwsgi）：响应走私。
• mod_auth_digest 相关问题：摘要认证存在凭证重放、并发请求下认证状态损坏、伪造头强制重新认证等缺陷。
• Windows 专属：CVE-2026-59685，短文件名展开时的越界写入。

一个常见误判：Debian、Ubuntu、Red Hat 等发行版会向后移植安全补丁而不改变版本号。因此看到 apachectl -v 显示 2.4.62 并不代表未修复，应查发行版公告或包的 changelog，而不是只追版本号。

五、Node.js 与 Go

5.1 Node.js：10 个漏洞，4 个高危

Node.js 于 10 月 21 日 为 26.x、24.x、22.x 发布安全版本 26.12.1 / 24.22.1 / 22.23.4，修复 10 个漏洞：

此外还包含 c-ares、ca-cert（eMudhra 中间证书）、OpenSSL、SQLite、Undici 等依赖更新。

CVE-2026-106074 值得单独说：如果贵方使用启动快照或单文件可执行方式部署 Node.js 应用，且随机数用于会话标识、令牌、 nonce 等安全用途，那么随机值重复可能带来实质风险，建议排查。

5.2 Go：证书信任链事件，且必须重新编译

Go 于同期发布 1.27.3 与 1.26.10，起因是印度证书颁发机构 eMudhra 发生中间证书私钥泄露事件，官方将受影响的中间证书强制加入拦截清单，以防止中间人攻击。

这里有一个与解释型语言不同的关键差异：Go 是编译型语言，证书拦截机制会被编译进可执行文件。因此开发团队在升级工具链后，必须对现有 Go 应用重新编译并重新部署才能生效——只更新环境而不重新编译，系统会持续处于暴露状态。

六、本月的三条共同规律

梳理完这批漏洞，有三点比单个 CVE 更值得记住：

第一，配置依赖型漏洞成为主流。 nginx 的三个内存破坏漏洞全部需要"特定版本 + 特定配置组合"才成立，Apache 的 mod_vhost_alias 栈溢出需要调高 LimitRequestFieldSize、CGI 处理器问题需要特定重定向路径。只核对版本号会得出错误结论——本月真正该做的是用 nginx -T、apachectl -S 把生效配置导出来逐项比对。

第二，证书信任链成为跨组件的共同根因。 eMudhra 中间证书事件同时触发了 Java（CVE-2026-91403）、Node.js（ca-cert 依赖更新）和 Go 的更新。这类问题不体现在应用层代码里，靠应用升级解决不了，必须更新运行时或信任库。

第三，终止支持（EOL）版本正在成为最大的实际风险敞口。 PHP 8.1 及更早、Tomcat 8.5/7.0、nginx Plus R33~R36 均无官方补丁。这些环境往往是"跑得好好的老系统"，平时没人碰，一旦出了高危漏洞就成了无从下手的死角。

七、排查与处置清单

建议按以下顺序推进：

# 1. 版本盘点（注意：命令行版本与 Web 实际使用的版本可能不同）
php -v ; php-fpm -v
java -version
node -v
nginx -v
httpd -v            # 或 apachectl -v
# Tomcat 版本可查看 RELEASE-NOTES 或启动日志

# 2. 确认实际生效的服务进程（PHP 常被多版本共存误导）
ps -ef | grep -E 'php-fpm|httpd|apache2|nginx|java|node'

# 3. 导出 Web 服务器生效配置，逐项比对危险指令
nginx -T | grep -nE 'alias|rewrite|map|aio|ssi|request_filename|http3|proxy_request_buffering'
apachectl -S ; apachectl configtest

# 4. 容器与镜像同样要查（镜像内的运行时版本常被忽略）
docker images --digests
docker run --rm <镜像> php -v     # 或直接进容器确认

处置优先级建议：

1. 互联网暴露面优先——同样一个漏洞，对外服务的系统风险等级完全不同；
2. PHP 与 Tomcat 的认证/代码执行类问题优先——这两类无需特殊配置即可构成实质威胁；
3. EOL 版本单独列清单——无补丁的环境需要走迁移或源码级修补，周期长，应尽早启动；
4. 升级后必须做回归验证——PHP 8.5.12/8.4.27 的 GC 回归就是典型例子；
5. 不要只看版本号——发行版后移植补丁、容器内版本、命令行与 Web 版本不一致，是三个最常见的误判来源。

八、我们能提供的支持

针对本次月度涉及的组件，我公司可提供：

• 资产盘点与版本核查：梳理服务器、容器、镜像中的运行时实例，明确真实暴露面；
• 升级方案与灰度实施：包管理部署、源码编译部署、容器化部署各自的升级路径与回滚预案；
• EOL 版本专项处置：PHP 5.5 ~ 8.1、Tomcat 8.5/7.0 等无官方补丁环境的源码级补丁与迁移方案；
• 临时加固配置：在升级窗口前，通过配置层降低可被触发的概率；
• 失陷排查：已发生异常的系统的日志分析与影响评估。

具体服务内容、流程与交付物，可参见我公司《PHP 全版本漏洞修复与安全加固服务方案》。

九、联系方式

如您需要协助核查或处置，请通过以下方式与我们联系：

• 联系电话：0351-5255612
• 官方邮箱：以 @sxslz.com 为后缀的邮箱
• 投诉与反馈平台：ts.sxslz.com
• 官方网站：www.sxslz.com

谨防冒名提醒：近期已出现不法分子冒用我公司名义实施诈骗的情况。我公司唯一对外联系电话为 0351-5255612，唯一官方邮箱后缀为 @sxslz.com，唯一投诉平台为 ts.sxslz.com。除此之外的一切联系方式均与我公司无关，请您务必通过上述官方渠道核实后再进行任何合作或付款。

量子计算（山西）软件有限责任公司