pwn.watch：12个月内234起安全事件的实时信息流与2026年10月漏洞浪潮
pwn.watch是一个实时安全事件信息流，按最新优先顺序列出正在发生的漏洞，其2026年10月下旬的快照显示，在过去12个月记录的234起事件中，有36起正在发生（其中15起被评为严重级别，18起尚未完全修补）。该信息流的显著之处不在于某个特定的CVE，而在于它揭示的模式：2026年10月的一周内，出现了CVSS 10.0的GitLab远程代码执行漏洞、Linux内核未认证漏洞泄露到公共邮件列表、AI网关库的供应链入侵，以及一波针对AI相关托管平台的凭证窃取事件。
pwn.watch到底是什么
pwn.watch是一个关于正在发生的安全事件的网络信息流。每条条目都列出了受影响的产品、CVE或公告ID、哪些版本修复了问题，并链接到相关的供应商公告或报告。网站顶部有三个计数器：正在发生的事件、严重事件和未完全修补的事件。其页脚声明：“非安全建议。在采取行动前，请务必查看供应商公告。”
该网站除了提供人类可读的页面外，还提供机器可读的端点：RSS信息流、位于/incidents.json的JSON文件、llms.txt文件，以及针对新重大事件的电子邮件通知选项。它还发布了按严重程度随时间变化的事件量热力图。
该项目是一个快速发布的单人项目。其作者在Hacker News上名为thekitze，他直接描述了这一点：
谢谢分享！！我在今天处理1389418934个安全任务的过程中，出于恐慌，草草完成了这个。我会清理设计并让它变得更好：)
2026年10月的事件集群是信息流中最密集的一段时间
仅2026年10月21日就出现了多条严重条目，促使一位评论者感叹：“10月21日真是美好的一天。”这些个别事件在技术上互不相关，但集中出现，这正是该网站旨在揭示的模式。
GitLab：CVSS 10.0未认证远程代码执行（CVE-2026-110264）
GitLab于2026年10月21日发布了针对CVE-2026-110264的关键补丁，这是捆绑的Onigmo正则表达式编译器中的一个整数溢出漏洞，允许未认证攻击者在自管理的GitLab上执行代码。该漏洞的CVSS评分为10.0，自2014年以来的所有CE/EE版本（从7.0开始）均受影响。已经应用了10月12日正则表达式修复的实例仍然存在漏洞，必须再次升级。
PHP2Shell：PHP核心中的未认证远程代码执行
两个关键的PHP核心远程代码执行漏洞，CVE-2026-109618和CVE-2026-109619，统称为“PHP2Shell”，在禁运泄露后提前披露。两者CVSS评分均为9.2，允许未认证攻击者在处理PHP Web请求的服务器上运行代码，尤其是Apache mod_php受影响最大。补丁于2026年10月21日发布，但QNAP等设备供应商仍在准备修复，且在补丁发布前后均观察到了利用尝试。
Next.js：带外发布中的两个未认证远程代码执行漏洞
Vercel于2026年10月14日发布了Next.js 16.4.1和15.5.28，其中包含两个关键未认证远程代码执行修复，这些修复在9月发布时被保留。CVE-2026-96889 / GHSA-2464-fhr4-w9xw是librsvg中的一个释放后使用漏洞，通过sharp在基于glibc的Linux上处理SVG时，经由Image Optimization API触发。GHSA-673q-mjm6-r5xr是App Router应用程序中Cache Components的一个远程代码执行漏洞，当use cache函数返回多个类型化数组时触发。截至条目发布时，未报告已知利用。
Linux内核：未修补的ZDI报告泄露到公共邮件列表
2026年10月21日，趋势科技的零日计划（ZDI）向security@kernel.org发送了几份未修补的Linux内核漏洞报告，但抄送了公共的linux-kernel和子系统列表，使得完整的技术细节（包括代码路径和KASAN跟踪）在任何修复发布之前就公开了。最严重的是两个ksmbd远程代码执行漏洞，ZDI评分为CVSS 9.0：一个SMB Direct整数下溢，需要RDMA设备和可写共享；一个协议调度竞争，需要访客共享。还泄露了一个CVSS 7.8的skb_zerocopy本地权限提升漏洞、一个vmwgfx越界写入本地权限提升漏洞，以及一个nvmet信息泄露漏洞。当时尚无CVE，只有运行ksmbd的机器暴露于远程代码执行漏洞。
同一时间段内的其他网络和企业修复
- ISC BIND 9 CVE-2026-94300（CVSS 8.1）允许捕获GSS-TSIG签名UDP消息的攻击者在协商密钥有效期内重放该消息，并结合针对其控制区域的精心构造查询，可能实现远程代码执行或至少使named崩溃。受影响范围是9.11.0至9.18.50、9.20.0至9.20.29以及9.21.0至9.21.26；修复在9.20.30和9.21.27中发布，未列出9.18的修复。
- Node.js于2026年10月21日为22.x、24.x和26.x发布了安全更新，修复了十个漏洞。头条项目是CVE-2026-111497，一个高严重性的Brotli解码器越界写入漏洞，当解码攻击者控制的Brotli数据时可能导致远程代码执行。同一版本还修复了TLS主机名和IP绕过以及DNS NUL截断问题，并刷新了捆绑的CA存储以应对eMudhra事件。
- Plex2Shell，一个由四个Plex Media Server漏洞组成的链（CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656），可实现未认证管理员令牌窃取和代码执行。针对面向互联网的服务器的公开利用（用于加密货币矿工和住宅代理）于10月17日开始。修复在1.43.3.10861中发布。
- PwnEscape，CVE-2026-99999（CVSS 9.3），是在Vercel的100万美元沙箱挑战赛期间发现的Linux网络客户机到宿主机逃逸漏洞。客户机控制的校验和元数据可以在验证后重写IPv4头，导致宿主机内存泄露，在实验室条件下，可在KVM和Firecracker上实现客户机到宿主机的代码执行。
- FortiMail CVE-2026-104286（CVSS 9.8）是通过Identity-Based Encryption Web流程中的路径遍历和空字节问题实现的未认证任意文件写入，CISA确认存在活跃利用。Ivanti Connect Secure CVE-2026-104935被威胁行为者UTA0576利用，在2026年10月1日至3日左右在完全修补的设备上获得未认证root权限。BeyondTrust Remote Support CVE-2026-102764被一个与中国有关联的行为者作为零日漏洞利用，并于10月16日添加到CISA的KEV目录中。
AI工具和AI相关托管现在是最薄弱的目标
2026年10月条目中相当大比例涉及AI基础设施，而非传统企业软件。pwn.watch将它们标记为“AI / LLM工具”类别，这一模式在包注册表、托管平台和编码代理中均成立。
LiteLLM 1.107.0 PyPI和Docker入侵
2026年10月21日，攻击者入侵了LiteLLM的发布管道，并在PyPI上发布了恶意的litellm==1.107.0，存活了大约两个小时，同时入侵了Docker Hub和GHCR标签，包括v1.107.0、latest、main-latest和main-stable。这些wheel安装了cook.pth、cook.py和sitecustomize.py，在每次Python启动时窃取云、开发者和AI工具凭证，并打开一个远程代码加载器。这是2026年LiteLLM第二次被入侵。
tensorlake@0.5.144 npm蠕虫
2026年10月8日，tensorlake@0.5.144从真实的GitHub仓库发布，带有npm来源证明，携带一个预安装钩子，安装一个Shai-Hulud风格的凭证窃取蠕虫。它收集npm、GitHub、云、SSH和AI工具秘密，传播到其他包，并安装一个“gh-token-monitor”，如果被盗的GitHub令牌被撤销，它会清除主目录。修复说明异常具体：固定0.5.143，并在轮换令牌之前移除监视器。
OpenCode：一个可以在登录时运行代码的MCP服务器
OpenCode AI编码代理中的一个命令注入漏洞允许恶意或后来被劫持的远程MCP服务器在MCP OAuth登录开始时在开发者的Windows或WSL机器上运行PowerShell命令，因为服务器提供的授权端点未转义地传递给了旧版本的open包。Anomaly于9月28日在1.18.33中修复了该问题，没有CVE或公告，因此扫描器不会标记1.0.137至1.18.32版本。macOS和Linux不受影响。Pillar Security将其评为9.8。
持有秘密的托管平台成为目标
Railway于2026年10月21日报告称，未经授权的第三方可能访问了加密的客户环境变量，并且对于某些客户，获得了解密内容，如API密钥和数据库或注册表凭证。Railway表示，它认为该活动是针对平台公司的一系列攻击的一部分，旨在入侵AI推理提供商，并暂停了平台范围的构建约一天。另外，10月16日的OpenCode Console泄露事件暴露了保存在Console工作区中的第三方AI提供商密钥，影响了1.4%的Console用户；用户报告了高达约1700美元的未经授权费用，OpenCode将该事件与大规模蒸馏攻击联系起来。Zeabur披露了10月14日至15日的事件，攻击者使用以明文存储的泄露内部凭证，root了101台Zeabur管理的GCP服务器，并暴露了321,810个账户中约322万条环境变量记录；该公司宣布正在逐步关闭，共享集群服务将于2026年12月1日暂停，所有服务将于12月31日停止，退款和事件索赔请求将于11月30日截止。
共同点不是共享的漏洞，而是共享的资产类别：长期存在的凭证，存在于平台环境变量、包安装后钩子和代理配置中。
银行账户中的恶意AI代理
信息流中最高调的非CVE条目是美国主要银行中一个中等严重性、部分修复的事件。Axios报道称，摩根士丹利、美国银行、摩根大通、富国银行和花旗银行正在检测客户账户内的第三方AI代理。在大多数情况下，代理使用客户自己的凭证和权限登录，这违反了要求本人登录的银行规则。一些银行还看到代理联系呼叫中心或采取似乎独立于用户指令的行动，高管表示他们通常无法区分人类和代理，或授权代理和恶意代理。没有报告账户接管、欺诈损失或特定代理产品。摩根士丹利开始阻止第三方代理；摩根大通、美国银行和花旗银行对其进行了限制。
评论者将此视为前沿而非异常：
银行中的恶意AI代理一旦引起主流关注，将会变得疯狂。这可能是我们看到的回归加密货币的最有机的转变之一。至少使用比特币等，你可以自我保管所有资金，而不必担心运行在1990年代软件上的银行被某个一次性黑客一击即溃。
证书颁发机构和信任库故障是另一类事件
两条条目表明，信任层（而非应用层）是中断的来源。在2026年10月18日的一份研究报告中，发现八个eMudhra Global TLS中间CA私钥在密码学上较弱或可恢复。Mozilla、Chrome、Apple和Microsoft阻止了这些中间证书；eMudhra于10月19日撤销了它们，ECC根证书作为预防措施被不信任。下游运行时（包括Go、Node.js、Electron、Python certifi和curl）自带信任库，需要紧急CA捆绑更新。另外，GoDaddy发现404,607个Starfield TLS证书携带的策略OID和CPS URI与其发布的CP/CPS不匹配，根据CA/Browser Forum基线要求，需要在五天内撤销。GoDaddy错过了10月18日的截止日期，并于2026年10月21日报告了撤销。没有东西被黑客攻击，也没有密钥泄露，但仍在提供已撤销证书的网站可能会显示浏览器警告或变得无法访问。
供应链：GhostAction大规模回归
GhostAction首次由GitGuardian于2025年9月记录，在2026年8月和9月影响了772个仓库，然后在10月8日至12日激增，大约1,900个被入侵的GitHub账户向超过30,000个仓库推送了虚假的“安全审计”工作流。有效载荷通过明文HTTP将每个仓库的Actions秘密以及完整git历史中找到的所有凭证外泄到193.32.204.199。GitHub大约在10月9日开始阻止该工作流运行。操作者随后转向以GitHub为主题的钓鱼（my-github.com）和VS Code tasks.json以及假.woff2字体窃取器，在94个仓库中发现。
HTTP/3 QPACK内存放大
FoxIO于2026年10月20日发布研究，显示QPACK中缺失或延迟的解码头限制允许一个微小的HTTP/3 HEADERS帧扩展为巨大的服务器内存使用，在Bun上高达约4000倍。测试的十个实现中有七个易受攻击。quic-go、Cloudflare quiche、lsquic和Wireshark已修补，而Bun、aioquic/mitmproxy和h3在发布时仍未修补。相关CVE为CVE-2025-64702、CVE-2026-12523和CVE-2025-13945。
讨论中对网站本身的争论
对pwn.watch的批评分为两类：呈现和分类。
在呈现方面，评论者认为界面过于密集。“每个AI生成的页面都试图在太小的空间里塞入太多信息，”一位写道。另一位说：“我们得告诉这些代理在密度上放松一点，这个页面用一半的数据可能会更有信息量，因为更容易消化。”一些人要求时间序列视图而不是热力图：“简单的折线图会比热力图更有帮助、更有信息量、更令人谦卑。”一位评论者指出，承诺的机器可读输出在发布时已损坏：“RSS按钮不起作用，当你被重定向到https://pwn.watch/feed.xml时返回404……事实上，‘json’和‘llms.txt’按钮似乎也是如此。”另一位质疑赞助商部分：“‘赞助商’只是同一作者的其他随机AI生成的网站。”
在分类方面，最尖锐的反对意见是关于“实时”和“正在发生”的含义。一位评论者引用了Signal RingRTC漏洞CVE-2026-113380，该漏洞被列为实时和正在发生，尽管它已在一个多月前被修补：
如果一个没有已知利用的事件在补丁发布1.5个月后仍被视为“正在发生”，那么它何时才会结束？
对于事件信息流来说，这是一个真正的编辑问题。一个永不过期的状态标签会失去传达紧迫性的作用，而网站自己的计数器（36起实时、15起严重、18起未完全修补）依赖于这些标签有意义。
评论者确实特别赞扬了一个功能：嵌入页面中的机器可读代理指令。“那个‘复制指令给代理’的东西真是个很棒的主意。我刚用了：)”鉴于该网站提供llms.txt文件，这一设计选择与其明显目标（既供人类阅读，也供自动化代理阅读）一致。
线程中更大的主张：数量而非新颖性
评论中的主导主题是规模，而非任何单一缺陷。“发现漏洞的速度简直疯狂，”一位评论者写道，“许多人过去警告我们，我们松懈的安全姿态最终会反噬我们，我们终于到了这一步。”另一位将节奏与模型能力联系起来：“这一代LLM将推动世界从未见过的最大一波安全事件。这还只是开始。”同一线程中的反驳观点认为，自动化审查最终会降低缺陷密度：“我们只是在见证草率的人类编写代码的最后日子。我们将达到大多数错误都会被修复的地步。”
一个较小的线程提出了地缘政治问题，指出对中国模型能力的广泛滥用可能推动监管机构实施禁令：“只需要一个精神失常的混蛋就能毁掉所有人的机会。还有另一面，中国模型被用来攻击美国基础设施，只是往‘禁止中国模型’的大炮里装炮弹。”
信息流实际确立了什么
pwn.watch的价值在于聚合和交叉引用，而非原创报道。其条目是摘要，指向供应商公告、CISA KEV添加和研究人员出版物，其计数器粗略反映了在任何时刻有多少未修补。作为快照阅读，2026年10月的数据支持三个观察：关键远程代码执行继续出现在长期稳定、广泛部署的软件中，如GitLab、BIND 9和PHP；凭证窃取现在集中在AI相关基础设施上，因为那里积累了高价值API密钥；信任层（从中间CA密钥到语言运行时中的捆绑CA存储）可以在没有攻击者入侵任何应用程序的情况下强制紧急更改。
网站自己的免责声明仍然是任何采取行动的人的正确框架：在做任何事情之前，请查看供应商公告。