SECURITY INTEL · DAILY

2026-10-10 ~ 10-11 每日安全情报

CSSA 2 · CVE 2 · 投毒 0

10.0 超危 · php-src在特定OPcache优化配置下触发堆缓冲区溢出导致远程代码执行风险

CSSA 独家预警 2

CSSA 独家预警 10.0 超危

php-src在特定OPcache优化配置下触发堆缓冲区溢出导致远程代码执行风险

当启用SCCP且关闭compact-literals优化通道时，若动态静态调用的类与方法名均被常量传播优化，ZEND_INIT_STATIC_METHOD_CALL_SPEC_CONST_CONST_HANDLER处理程序会错误读取函数运行时缓存之外的内存区域，攻击者可通过构造恶意PHP脚本触发该逻辑缺陷，造成堆缓冲区溢出，进而可能导致服务崩溃或潜在的非授权代码执行。

组件

php-src是PHP解释器的核心源代码仓库，构建了PHP语言的运行时环境与Zend引擎，负责解析并执行PHP脚本，其架构集成了Opcode缓存机制以提升性能，旨在为Web应用提供高效、稳定的动态内容处理能力，广泛应用于各类服务器端开发场景。

类型

Heap-based Buffer Overflow (CWE-122)

仓库

github.com/php/php-src · Star 40440

处置建议

建议审查OPcache优化过程中的运行时缓存分配逻辑，确保在处理常量传播后的静态方法调用时正确计算并分配缓存槽位，同时验证不同优化级别下的内存访问边界安全性，以消除因缓存大小不一致引发的越界读取问题。

CSSA 独家预警 10.0 超危

Coreruleset因规则缺陷致SQL注入绕过导致数据泄露风险

该漏洞源于SQL注入检测规则在特定组合场景下的逻辑缺失，具体表现为当攻击者构造包含LIKE (SELECT ...)结构的Payload时，PL1级别的942100规则无法有效识别此类变体，导致请求被错误放行。攻击者可利用此缺陷构建如' OR (8459 LIKE (SELECT 8459)) * 4906 --的语句，绕过防护直接执行任意SQL命令，进而造成敏感数据泄露或完整性破坏，受影响范围涵盖所有启用默认配置且未升级至PL2模式的防护节点。

组件

Coreruleset是基于ModSecurity核心的开源Web应用防火墙(WAF)规则集，旨在通过深度包检测与语义分析拦截恶意HTTP请求。其架构依赖于正则表达式匹配与异常评分机制，部署于反向代理或前端服务器后，为后端应用程序提供纵深防御能力，核心功能在于识别并阻断常见的OWASP Top 10攻击向量，保障网络边界安全。

类型

SQL Injection (CWE-89)

仓库

github.com/coreruleset/coreruleset · Star 3297

处置建议

建议管理员立即更新Coreruleset规则库以修复检测逻辑缺陷，或临时将Paranoia Level提升至PL2以启用更严格的检测策略。同时应审查现有日志以排查潜在的历史入侵行为，并定期验证WAF对新型变种攻击的拦截有效性，确保防护体系持续覆盖最新威胁特征。

CVE 情报 2

CVE-2026-94503 CVSS 10.0 超危 2026年10月09日

PX-lab Zombify危险类型文件不受限制上传漏洞导致Web Shell上传

在 PX-lab Zombify 1.7.7 版本及之前版本中，其文件上传模块因缺乏对危险文件类型的严格校验，存在危险类型文件的不加限制上传（CWE-434）安全缺陷。攻击者可以利用该漏洞向 Web 服务器上传包含恶意代码的文件（如 Web Shell），从而完全控制服务器。PX-lab Zombify 在处理文件上传请求时未对文件扩展名或内容类型进行有效过滤，导致攻击者可以上传可执行脚本。该漏洞影响所有未更新至安全版本的 Zombify 用户。攻击者可通过网络远程发起攻击，无需复杂条件或用户交互即可成功利用。

组件

PX-lab Zombify 是一款用于图像处理和特效生成的软件组件，常用于 Web 应用中的图片编辑功能。

风险

从普通用户到管理员：如果 Web 服务器以高权限运行，攻击者上传的 Web Shell 可能获得服务器最高权限
完全系统控制：攻击者可利用上传的 Web Shell 在服务器上执行任意命令，读取、修改或删除敏感数据，甚至横向移动攻击内网其他主机
无用户交互攻击：攻击者可直接通过 HTTP 请求上传恶意文件，无需诱导用户进行任何操作

来源

NVD · CVE-2026-94503

处置建议

在 Web 服务器层面配置严格的文件上传白名单，仅允许上传图片等静态资源类型
部署 Web 应用防火墙（WAF）以拦截可疑的文件上传请求和 Web Shell 特征

CVE-2026-107824 CVSS 10.0 超危 2026年10月10日

x64dbg-MCP Server未授权访问导致远程代码执行

在 x64dbg-MCP Server 1.1 版本之前，该插件作为 x64dbg 的原生 Model Context Protocol (MCP) 插件，通过 HTTP 暴露调试器的全部功能。由于默认监听 0.0.0.0 且缺乏身份验证机制（CWE-306），任何能够访问默认端口（x64 为 9094，x32 为 9095）的未认证网络客户端，均可执行任意 x64dbg 命令、通过 PID 附加到进程、读写被调试进程的内存，以及向任意路径写入文件。该漏洞已在 1.1 版本中修复。

组件

x64dbg-MCP Server 是 x64dbg 调试器的原生插件，旨在通过 HTTP 和 SSE 协议暴露调试器的完整功能，支持远程调试操作。

风险

完全系统控制：攻击者可利用此漏洞在受害者系统上执行任意代码，根据用户权限安装程序、查看/更改/删除数据或创建具有完全权限的新账户
远程未授权访问：攻击者无需身份验证即可通过网络直接控制调试器，执行任意命令
内存与文件操纵：攻击者可读写被调试进程的内存空间，并向任意路径写入文件，可能导致数据泄露或持久化后门植入

来源

NVD · CVE-2026-107824

处置建议

立即升级 x64dbg-MCP Server 至 1.1 或更高版本
配置防火墙规则，限制对默认端口（9094/9095）的访问，仅允许受信任的 IP 地址连接
启用身份验证机制，确保只有授权用户才能访问调试器接口

← 返回情报中心 RSS用 CleanSource SCA 自动监测这些风险 →