PHP 核心爆出 PHP2Shell 嚴重漏洞：AI 協助發現，未授權即可遠端執行程式碼，官方已發修補版
兩個 CVE 影響自 PHP 5.4 起的幾乎所有版本，攻擊者可讀取程序記憶體中的密碼與金鑰，官方已於 10/21 發布修補版。
Hacker News綜合 4 家多家報導
完整日報
AI 日報 2026-10-22
57 則值得知道的變化
要聞
3 則模型發布
1 則研究與評測
4 則Anthropic 以 Claude 自動分析並縮減程式碼攻擊面：25 個開源專案找出 493 個問題
研究以 Claude 掃描逾 500 萬行程式碼，找出 493 個問題，其中閘控型專案的認證前可達程式碼最受關注。
Hacker News一手來源
Cloudflare 以前沿 AI 模型搭配測試框架探測 WAF：45 個場景、1,107 次嘗試，促成三項規則集變更
測試產出 49 項經人工確認的發現，其中 48 項涉及命令注入或 SSRF，最終新增兩項檢測規則並改進一項既有規則。
AI 前線綜合 2 家單一來源
AWS 測試自主滲透代理 AWS Security Agent：37 項 CVE 成功利用 33 項，成功率 89.2%
測試採 Claude Opus 5 模型、每項漏洞上限 10 小時，並停用 CVE 查詢以避免代理直接取得公開利用程式；另有 2 項因服務停擺未達成功條件。
iThome單一來源
NSA 警告 PHP 兩個高嚴重度漏洞，OpenAI 與 Wiz 借 AI 挖出存在近 21 年的缺陷，網站須立即修補
漏洞存在於 PHP 5 以來所有版本，PHP 8.1 及更舊版本已停止支援，建議升級至 8.5.12；無法立即修補的網站應暫時下線。
TechCrunch AI單一來源
開發生態
6 則LiteLLM 1.107.0 遭植入憑證竊取器與後門：安裝即於所有 Python 程序執行，PyPI 已下架
惡意程式藏在 cook.pth 與 sitecustomize.py 中，每次 Python 啟動即執行；SafeDep 研判 BerriAI 私有發布流程可能遭竄改來源，版本 1.106.2 與 rc 版經查無異常。
Hacker News單一來源
OpenAI 推出 Patch the Planet，協調全球開源社群修補由 agent 發現的關鍵漏洞
該計畫串連資安研究人員、專案維護者與事件應變人員，針對開源軟體中的關鍵漏洞進行協同修補。
OpenAI News綜合 2 家一手來源
NVIDIA 開源 OpenShell 執行環境，在代理之外強制執行 AI 代理的存取權限
OpenShell 以獨立於沙箱的 Supervisor 檢查出站請求並代管憑證，可搭配 Vera CPU 部署，CoreWeave 測得沙箱啟動快逾 3 倍。
NVIDIA Developer一手來源
NVIDIA 推出 Sentry：以 BlueField-4 DPU 在硬體層隔離並監控 AI 代理的執行期
Sentry 以獨立硬體信任域運作，代理無法修改或停用其監控與政策，即使主機遭入侵仍可持續執行。
NVIDIA Developer一手來源
Railway 偵測環境變數遭未授權存取，建議使用者立即輪替所有金鑰與憑證
Railway 指出部分加密環境變數可能已遭解密外洩，所有部署暫停，確切受影響範圍仍在調查中。
Hacker News單一來源
Anthropic 推出 OSS Scanner，為符合條件的開源專案提供免費定期漏洞掃描
掃描結果未經人工驗證可能含誤報，未驗證發現不適用90天揭露期；服務採自願加入，專案可隨時退出。
INSIDE單一來源