每日简报
Node2Shell远程代码执行漏洞、未修复的PHP安全漏洞和Python Pillow漏洞
今天的简报涵盖了 Node.js 和 Python Pillow 中的远程代码执行风险、未修补的 PHP 配置漏洞以及在乌克兰使用的网状网络后门。
5 条新闻阅读需 1 分钟
如今，Web应用程序运行时环境及其常用依赖项备受关注，Node.js、PHP和Python的Pillow图像库中都出现了新的代码执行漏洞。维护Web平台的组织必须对这些核心服务器组件进行审核，并及时进行更新。
与此同时，有针对性的网络攻击行动也展现出攻击者不断提升的持久化策略。威胁组织 Sandworm 和 UAC-0099 利用新型网状网络后门以及数据擦除器，凸显了监控关键基础设施中非传统指挥控制通道的必要性。
Python 流行的 Pillow 图像库存在严重缺陷，可通过精心构造的图像执行代码。
Python 的 Pillow 库存在一个严重漏洞 (CVE-2026-112900)，允许攻击者在处理 EPS 图像时执行远程代码。Pillow 在未验证文件名的情况下将其传递给 Ghostscript，从而可以通过精心构造的文件名注入命令。该漏洞已在 Pillow 13.0.0 版本中修复。
- 为何重要
- Pillow 被广泛应用于 Web 应用程序、图像处理工作流程和机器学习管道中，这使得处理不受信任图像的系统面临命令执行的风险。
与俄罗斯有关联的黑客利用新型网状网络后门，对乌克兰发动了破坏性攻击。
俄罗斯国家支持的黑客组织 Sandworm 与 UAC-0099 合作，对一家乌克兰物流公司发动了破坏性攻击。UAC-0099 部署了 MATCHWOK 后门和一种名为 MythicRatatoskr 的新型网状网络后门，并通过 Yggdrasil 进行通信，之后将访问权限移交给 Sandworm 以执行数据擦除操作。
- 为何重要
- 攻击者利用 Yggdrasil 等网状网络上的新型 C2 基础设施来逃避检测，然后再发起破坏性数据擦除。
研究人员演示了使用精心构造的 Brotli 数据在 Node.js 构建中利用 Node2Shell 远程代码执行漏洞。
研究人员演示了一个针对官方 Node.js 24.22.0 Linux arm64 构建版本的 Node2Shell 远程代码执行漏洞。该漏洞利用了 Brotli 解码器的一个缺陷 (CVE-2026-111497)，通过传递恶意压缩数据来执行任意代码。包括 Node.js 24.22.1 在内的已修复版本会拒绝该恶意载荷。
- 为何重要
- 使用存在漏洞的 Node.js 构建版本解码不受信任的 Brotli 压缩数据的应用程序容易受到远程代码执行攻击。
PHP在紧急PHP2Shell补丁发布两天后发出警告，称又存在未修复的远程代码执行漏洞
PHP 发布警告，指出存在 CVE-2026-115560 漏洞，这是一个尚未修复的远程代码执行 (RCE) 漏洞，会影响 session.serialize_handler 设置为 php_binary 或 php_serialize 的配置。此前，PHP 已针对 CVE-2026-109618 和 CVE-2026-109619 发布了紧急补丁。PHP 并未发布新的紧急补丁，并建议禁用会话上传进度。
- 为何重要
- 具有特定 PHP 会话配置选项的 Web 应用程序在下次例行更新之前仍然容易受到远程代码执行攻击。
HPE 修复了八个最高严重级别的远程代码执行和身份验证绕过 AOS 漏洞
BleepingComputer 的验证页面显示 Cloudflare 安全挑战，阻止了检索有关 HPE 针对 AOS 缺陷发布补丁的新闻详情。
要点摘要
- 将 Node.js 更新到 24.22.1 版本，以防止通过 Brotli 解码器漏洞 CVE-2026-111497 执行远程代码。
- 与俄罗斯有关联的攻击者利用 MythicRatatoskr 后门，通过 Yggdrasil 网状网络进行通信，然后发动数据擦除攻击。