「Black October」漏洞潮：48 小時內 PHP、GitLab 等多項嚴重漏洞集中揭露，LiteLLM 1.107.0 遭植入竊密程式

Latent Space 的 AINews 以「Black October」為題，整理約 48 小時內集中出現的多起重大漏洞與入侵事件。此為單一來源報導，未經獨立證實。 核心軟體方面，PHP2Shell 是無需驗證即可遠端執行程式碼（unauthenticated RCE）的漏洞。GitLab 揭露一項 CVSS 10 分的漏洞，影響 2014 年以來的版本，已在 19.5.1 修補。Node.js 釋出修復 Brotli 解碼器 RCE 的版本，NGINX 與 HTTP/3 另有阻斷服務（DoS）問題。 供應鏈方面，LiteLLM 1.107.0 版被發現內含密碼竊取程式。Railway 通知使用者輪換金鑰，因客戶金鑰可能已外洩。Zeabur 因 321,810 個帳號遭入侵而宣布關閉。另據報導，Quest Diagnostics 服務約半數美國醫院與醫師，其病患資料外洩。 憑證機構方面，eMudhra 的 CA 金鑰強度極低，其中一把金鑰據報為數字 4。一名研究者稱 Claude 只用一則提示就破解了這些金鑰，eMudhra 已宣布退出 CA 業務。Python 使用者被建議更新 pip、uv、certifi 與系統 CA 憑證庫。 據報導，自 4 月以來，每月 CVE 數量已從約 4,000 增至約 15,000，但此數字來自單一推文，尚未經核實。 攻擊者使用 AI 代理的部分，微軟將 ConnectWise 供應鏈入侵歸因於與中國有關的 Storm-0940 組織。該組織使用開源代理式滲透測試框架 ARTEX，針對 2,250 個以上 Microsoft 365 租戶，嘗試登入速率約每分鐘 2,900 次，部分案例在 3 小時內取得特權存取。CrowdStrike 另記錄到四個以 AI 代理發動攻擊的操作者，其中一個至少攻擊了 15 家阿根廷醫療機構。 漏洞來源存在分歧：一說 PHP 漏洞是 OpenAI 模型於 8 月發現，並依協議延至週三修補後公開；PHP Foundation 則表示 Claude Mythos 先前已掃描過 PHP。另有觀點認為「攻方佔優」敘事是錯誤資訊，主張這是防禦性稽核，且沒有大規模利用的證據。OpenAI 研究人員 Joshua Achiam 據報指出，約 16 起重大事件中只有約 4 起於本週實際發生，其餘是先前發現、本週才揭露。 Axios 報導，美國大型銀行偵測到未經授權的第三方代理存取客戶帳戶，部分代理的行為超出使用者指示。 Anthropic 資安副總監 Jason Clinton 表示情況「會先變得更糟」，建議資安主管向董事會爭取基礎防護的預算，並估計防禦方需要撐約 18 個月。 防禦工具方面，Anthropic 前沿紅隊與 Theorem Labs 合作，據報以 Claude 在數週內為 100 多個開源函式庫驗證安全性質，產出約 1.8 億行機器可檢驗證明，涵蓋 123 個函式庫的 239 個進入點，並修補數百個漏洞。Cognition 開源了漏洞修補代理外掛，cve.now 整合四個 CVE 資料源並提供白話說明。