修補速查表
| 嚴重度 | 事件 | 修補版本 |
|---|---|---|
| Critical | PHP2Shell，10/21 | PHP 8.5.12 8.4.27 8.3.36 8.2.35 |
| Critical | Laravel TokenGuard，10/19 | laravel/framework 13.29.0 12.68.0 |
| High | Node.js，10 個 CVE，10/21 | Node 26.12.1 24.22.1 22.23.4 |
| Not rated | eMudhra CA，10/17–10/20 | Node 26.12.1 24.22.1 22.23.4composer/ca-bundle 1.6.0 1.4.16Go 1.27.3 1.26.10 |
| Critical | Next.js RCE，10/14 前週未修 | next 16.4.1 15.5.28 |
| Not rated | Symfony，3 個 DoS，10/15 前週未修 | symfony/* 7.4.21 6.4.48 8.1.9symfony/yaml 7.4.18 |
本週發生了什麼
PHP2Shell：PHP 兩個重大遠端執行漏洞
CVE-2026-109618 與 CVE-2026-109619 讓各分支在修補版之前都可被未驗證遠端執行程式碼，mod_php 風險最高。
你要做的把 PHP 升到所用分支的修補版，並重啟所有 PHP 程序。
利用現況與暫時措施
- PHP 專案表示已有針對
mod_php的示範攻擊。媒體報導指出細節提早外流、已出現早期攻擊嘗試；公開流傳的 PoC 是否有效仍有爭議。 - 升級前的官方暫時措施：在 php.ini 或 FPM pool 設
session.upload_progress.enabled=0（並重啟 worker）；memory_limit=-1，要設在應用程式無法覆寫的地方（例如php_admin_value），並保留容器的記憶體上限作為實際上限；post_max_size設為 8M（需要上傳則 32M）。PHP 明講這些措施無法讓系統變安全。 - 8.1 以下沒有新版本；PHP 團隊為 7.4 到 8.1 提供了原始碼修補分支。
來源php.net · GHSA-w8hw-w9fx-j79w · GHSA-6wmf-4rv5-p3rp · Tenable 與 Sansec（媒體與廠商研究）
Laravel TokenGuard 驗證繞過
在 MySQL 或 MariaDB 上，特製的 token 可透過內建 token API guard 登入成別的使用者（CVE-2026-114509），官方沒有暫時解法。
你要做的composer update laravel/framework 到 13.x 或 12.x 的修補版。
來源GHSA-f9x3-7vq9-cph6 · Laravel 支援政策
Node.js 10 月安全版本
其中 4 個為 High，包括 Brotli 解碼器 RCE 與兩個 TLS 主機名稱檢查繞過；已 EOL 的版本（如 Node 20）不會修補。
你要做的升到所用版本線的修補版，用 --pull 重建映像並重啟。
來源nodejs.org · Electron 版本列表（Navide 桌面版）
eMudhra 中繼 CA 私鑰外洩：更新信任清單
瀏覽器已封鎖 8 張私鑰任何人都算得出來的 eMudhra 中繼憑證；使用自己 CA 清單的工具在更新前仍信任它們。
你要做的Node 升到 26.12.1、24.22.1 或 22.23.4，composer/ca-bundle 升到 1.6.0 或 1.4.16，Go 升到 1.27.3 或 1.26.10，並更新映像裡的 ca-certificates。
來源Mozilla · Google · Cloudflare · Node.js commit · composer/ca-bundle · Go 版本紀錄
給 CLI agent 使用者的 npm 供應鏈建議
- 優先用原生安裝程式（Claude Code、Codex）；Gemini CLI 沒有原生安裝程式。
- 從 lockfile 安裝（
npm ci）；ignore-scripts=true有幫助但不夠。 - 裝過問題版本就輪換 npm、GitHub 與雲端 token。
要檢查的 npm 事件（4）
| 日期 | 事件 | 檢查 |
|---|---|---|
| 10/8 | tensorlake 0.5.144 |
改用 0.5.145 |
| 10/2 | Trusted Publishing 漏洞 | 維護者：重新檢查設定 |
| 8/6 | Shai-Hulud 攻擊 keyv |
曾安裝就輪換 token |
| 3/31 | axios 1.14.1、0.30.4 |
npm ls axios |
另見：MALFEX · @mastra · binding.gyp 蠕蟲 · node-ipc
來源Claude Code · Codex · Gemini CLI
一分鐘自我檢查
# 逐一對照上方速查表的版本
$ php -v
$ node -v
$ composer audit --locked
$ npm ls next
# 已修補的客戶端這裡應該失敗
$ curl -sI https://dv-g3b-emudhra.we-have-a-problem.com/