China A-share grain sector weakened in the afternoon; Jinjian Miye hit the daily limit down, Wanxiang Denong fell more than 8%, and Dunhuang Seed, Shennong Seed and Xinsai Co. also declined.

伊朗外長阿拉格齊：如果美國再次選擇軍事手段而非外交途徑來解決問題，我完全可以肯定，那將導致更加嚴重的戰略失敗。伊朗是一個古老而自豪的文明，絕不會向任何勢力屈服。

一、PHP2Shell：網頁萬能鑰匙被複制 1. PHP是一種網站後臺的“發動機”語言。大量網站（尤其內容管理系統、電商、論壇）都用它來生成動態頁面、連接數據庫。 2. 這次曝出兩個不用賬號密碼就能遠程控制服務器的漏洞，影響PHP 5.4到8.5.11的幾乎所有版本。10月21日官方發佈了補丁，但8.1及更早的版本官方不再提供修復。 二、GitLab：評分滿分10分的“無門禁入侵” 1. GitLab是一個軟件研發的“一站式工作臺”。開發團隊用它存放代碼、審查修改、自動測試和部署上線。很多公司把它裝在自己的服務器上（自建GitLab）。 2. 自建GitLab從7.0版本起全部受影響。攻擊者不需要登錄，只需提交一個精心構造的正則表達式，就能在服務器上執行任意代碼。官方已於10月21日發佈修復版本。 三、LiteLLM1.107.0：惡意版本導致密鑰全丟 1. LiteLLM是AI應用常用的工具包，許多AI產品和智能體背後都用它來管理密鑰、分配請求和控制成本。 2. 10月21日，其發佈流程被攻破，惡意版本1.107.0在PyPI和Docker上掛了約1小時44分鐘。一旦安裝並啓動，它會偷走SSH密鑰、雲服務憑據和AI工具密鑰，並留下後門。 四、Node.js：三條版本線出問題，最嚴重的可遠程執行代碼 1. Node.js是一個讓JavaScript跑在服務器上的運行環境。很多網站後端、實時應用（聊天、協作工具）、API服務都靠它運行。 2. Node.js22、24、26三條版本線一共修了10個漏洞。最嚴重的是Brotli解碼器越界寫入(CVE-2026-111497)，可能導致遠程執行代碼，評級“高危”。 五、eMudhra：證書機構的“鎖”被秒開，HTTPS信任根基被動搖 1. eMudhra是一家印度的“數字身份證/證書頒發機構”。 2. 這家機構的八張中間證書相關私鑰存在嚴重安全問題，密鑰強度異常薄弱，可能被用於僞造受信任的網站證書。Chrome、Firefox和Apple已經封禁了這些證書。 六、Railway：託管平臺“保險箱”被撬，部分密碼已泄漏 1. Railway是一個面向開發者的雲部署平臺。 2. 託管平臺Railway被人訪問了加密的環境變量，其中一部分已經被解密。部署已暫停，官方要求所有用戶輪換密鑰。 七、Agent2Shell：AI編程助手“先執行，後詢問” 1. Agent2Shell是一類針對AI編程助手的攻擊方式。涉及的AI編程工具（如Claude Code、Cursor、Codex、Gemini CLI）是幫開發者自動寫代碼、改代碼、執行終端命令的智能助手。 2. 攻擊者在倉庫裏放一個惡意配置，Claude Code、Cursor、Codex和Gemini就會在調用模型、彈出信任確認之前執行攻擊者的代碼。 八、Cisco Expressway：不用登錄就能以root身份控制設備 1. Cisco Expressway是思科的企業視頻會議/統一通信網關。 2. 10月21日，Cisco披露Expressway系列存在一個滿分邊緣級漏洞。攻擊者無需認證，只要能訪問設備，就能以root權限執行任意操作系統命令，且沒有臨時緩解措施，只能打補丁。 九、CISA新增六項遭利用漏洞 1. 美國網絡安全和基礎設施安全局（CISA）10月20日將6項漏洞加入已知遭利用漏洞目錄，涉及Plex Media Server、EG Secure Solutions SiteGuard Server Edition、西門子Software Center等產品。其中西門子Software Center的DLL側加載漏洞（CVE-2026-110936）已被確認存在活躍利用。