資安週報 2026-W44：PHP、Brotli 已被實際利用

這是恩梯科技資安週報的第二期，涵蓋 2026 年第 44 週（10 月 26 日起），資料讀取到 11 月 1 日為止。

先講結論：這一週幾乎沒有新的大漏洞，但上一期那幾個的狀態變了。上一期列在最前面的 PHP 兩個遠端執行漏洞、Brotli 的解壓縮漏洞，以及 GitLab 的一個漏洞，這一週都被美國 CISA 列進「已知遭利用」清單——意思是官方認定有人在實際攻擊中用它們。如果你上一週看完決定「再等一下」，這一週的消息就是：等的那段時間，外面已經在打了。

這一週唯一一件新的、而且多數人都該動手的事是 WordPress 7.1.4（10 月 28 日），官方列的第一項就是升級流程本身的一個弱點，可能在升級的那段時間窗內導致遠端程式碼執行；另外還有一個被改過的 Claude Code 擴充套件透過 Cursor 的市集流出，裝進去會嘗試留下 SSH 後門。

另外有一條不是新漏洞，但它值得單獨讀一次：Symfony 自己發文更正，五月那則「已修補」的公告是錯的——修補被寫好、卻沒有合進維護分支，所以五個月來沒有任何版本真的含它。版本號對了也可能沒修，這一條下面第四節講。

怎麼讀這份週報

• 每一條都標出來源屬於哪一層：〔官方〕是廠商、專案或政府機關自己的公告，〔研究／媒體〕是資安公司或媒體的說法，排在官方之後。兩者說法不同時，我們把兩邊都寫出來，不替任何一邊下結論。
• 修補版號一律從官方公告抄，不沿用第二手整理。
• 要先知道自己在跑哪一版，才能拿去對照這些版號。怎麼查、哪裡最容易查錯，寫在〈資安新手入門 01｜資安公告出來了：怎麼知道自己的系統中不中〉。

一、上一期那幾個漏洞，這一週被官方列為「正在被利用」

〔官方：美國 CISA〕美國網路安全與基礎設施安全局（CISA）維護一份「已知遭利用漏洞」清單（Known Exploited Vulnerabilities，簡稱 KEV）。一個漏洞被放進這份清單，代表官方認定它已經出現在實際攻擊中，而不只是理論上可被利用。我們讀的是 CISA 自己發布的資料檔，版本為 2026.10.30，當時全清單共 1766 筆。

這一週（10 月 26 日到 10 月 30 日）新增的項目如下，前三組就是上一期週報的前三節：

• 10 月 26 日｜PHP：CVE-2026-109618（官方描述為記憶體毀損）與 CVE-2026-109619（官方描述為內部請求狀態殘留）。修補版是 PHP 8.5.12／8.4.27／8.3.36／8.2.35，上一期第一節寫過。
• 10 月 27 日｜Google Brotli：CVE-2026-111497。CISA 自己的描述是「未經檢查的回傳值」漏洞，可讓遠端未經認證的攻擊者用一段特製的 Brotli 壓縮資料流毀損相鄰的解碼器狀態記憶體、洩漏敏感的記憶體內容、造成服務中斷，或可能執行任意程式碼。下一節單獨講。
• 10 月 29 日｜GitLab 社群版與企業版：CVE-2026-97229，官方描述為整數溢位。這一條容易對錯版本，第三節講。
• 其餘四組不在本週報的固定來源清單上，但同一份清單同一週新增，列出來供對照：10 月 27 日 Adobe Commerce 與 Magento（CVE-2026-48356）、10 月 28 日 VMware ESX（CVE-2026-41709，官方描述為記錄不足）與 Linux 核心（CVE-2026-46300）、10 月 29 日 Cisco Secure Firewall ASA 與 FTD（CVE-2026-76418）、10 月 30 日 Ivanti Connect Secure 兩筆（CVE-2026-118527、CVE-2026-111357）。

兩件不要讀錯的事。第一，清單上的「期限」欄位是美國聯邦機關的修補期限，不是給一般企業的法定期限。這不是我們的推論：每一筆的必要行動欄都指向 CISA 的一份行政指令（BOD 26-04），而那份指令自己寫明適用範圍是「聯邦資訊系統」裡的機關資產、對象是聯邦文職行政部門機關，並且逐字寫「除governing procurement contract另有要求外，本指令不適用於承包商」。所以那個日期可以當成「官方認為這件事多急」的參考，但它不是你的合約義務。第二，這幾筆的「是否用於勒索軟體攻擊」欄位，CISA 都標為「未知」——不是「沒有」，是沒有資料。

二、Brotli（CVE-2026-111497）：PoC 已公開，而它不只在 Node.js 裡

〔官方：新加坡 CSA〕新加坡網路安全局 10 月 30 日發布警示，第一句逐字是：攻擊者正在實際利用這個影響多項產品的 Brotli 重大漏洞，可在受影響系統上遠端執行任意程式碼或洩漏敏感資訊，請立即修補。官方寫這個漏洞的 CVSS v3.1 分數是 9.8，並說概念驗證程式（PoC）已經公開，而且據報正在被實際利用。

官方也寫了利用的前提：要有受影響的應用程式去解壓攻擊者可控制的 Brotli 壓縮資料。這句限定很重要——它決定了你的系統算不算在範圍內。

官方列出的受影響版本是 Node.js 22.x 低於 22.23.4、24.x 低於 24.22.1、26.x 低於 26.12.1，以及 Microsoft .NET 8、9、10、11。但那張表官方自己標了「非窮盡」（non-exhaustive），而且上面沒有 PHP。

〔官方：PHP〕這一條就是 PHP 使用者這一週真的要動手的地方。PHP 專案 10 月 26 日公告了重新編譯的 Windows 包：PHP 8.5.12-1、8.4.27-1、8.3.36-1 與 8.2.35-1，這些包含 Brotli 1.2.1，用來修補同一個 CVE-2026-111497。官方另外寫了三句話，少看一句就會判斷錯：

• 觸發路徑：在 PHP 的 Windows 包裡，有問題的解碼器可以透過 cURL 擴充套件被走到，條件是啟用了 HTTP 回應的自動解壓縮。
• 預設是關的：官方逐字寫這個選項在 cURL 裡預設為停用，但應用程式與 HTTP 用戶端程式庫可以把它打開。所以不是每一台 Windows 上的 PHP 都在範圍內，要看你的程式或你用的 HTTP 套件有沒有自己開。
• 版本號不會變：官方逐字寫 -1 後綴代表的是「Windows 套件以更新後的相依元件重新編譯」，這些包用的是同一份 PHP 原始碼，PHP 執行環境的版本號不變。換句話說，跑 php -v 看不出來你換了沒有。

最後那一點正好是〈資安新手入門 01〉那種「比對版本號」做法會漏掉的形狀：這一次要看的不是 PHP 的版本，是你那包 Windows 套件的重編序號，以及裡面 Brotli 的版本。

分數說法不一致（上一期就有，這一週還在）：新加坡 CSA 寫 CVSS v3.1 9.8；Node.js 官方在 10 月 21 日的安全發布裡把同一個 CVE 標為 HIGH。我們沒有在 Node.js 官方公告裡找到 9.8 這個分數。不管標哪一級，修補版是同一組。

三、GitLab：被列入清單的是 10 月 12 日修的那一個；另外 10 月 29 日有一批新修補

〔官方：GitLab〕被 CISA 列入的 CVE-2026-97229，官方標題是 CI/CD 正規表示式編譯器的整數溢位問題，嚴重度 critical、CVSS 10.0，修補版是 19.2.8、19.3.5 與 19.4.2，發布日是 10 月 12 日；受影響範圍官方寫的是 19.2 到 19.2.8 之前、19.3 到 19.3.5 之前、19.4 到 19.4.2 之前。

所以這一條的對照方式是這樣：

• 10 月 21 日升到 19.5.1 那一批的（19.5.1／19.4.3／19.3.6／19.2.9／19.1.9／19.0.10／18.11.13）：這一個與上一期那個 CVSS 10.0（CVE-2026-110264）都已經修掉，不必再動作。
• 還停在 19.4.1、19.3.4、19.2.7 這類版本的：你面對的是一個官方已認定有人在實際利用的漏洞，而且自架版要自己升。
• GitLab.com 與 GitLab Dedicated：官方說由 GitLab 管理的基礎設施維持在已修補狀態。

官方另外為自架使用者發布了六條威脅偵測規則，用來查有沒有被嘗試利用。

〔官方：GitLab〕這一週 GitLab 另外出了一批修補，而它跟下面第七節的 eMudhra 是同一條線。10 月 29 日發布 19.5.3、19.4.5、19.3.7、19.2.10、19.1.10、19.0.11、18.11.14（官方同時說跳過了 19.5.2 與 19.4.4），修的是 CVE-2026-111943，官方給它的標題逐字是「GitLab 已移除對遭入侵的 eMudhra 中繼 CA 憑證的信任」——官方說移除的是八張私鑰已遭入侵的 eMudhra 中繼憑證，從 GitLab 自己隨附的憑證庫裡移除。受影響範圍是 18.11.14 之前的所有版本，以及 19.0 到 19.5 各自修補版之前。

這一批不是遠端執行的修補，但它有三件容易漏掉的後續，三件都是官方自己寫的：升級 GitLab 不會更新 Runner，自架 Runner 要另外升到 19.5.1；AI Gateway 也要另外升（官方列的是 18.11.8、19.0.13、19.1.9、19.2.5、19.3.3、19.4.3、19.5.3 或更新）；自己帶 ca-certificates 的 CI/CD job 映像要重建——憑證庫在映像裡，升了伺服器也不會跟著換。GitLab.com 官方說已經在修補過的版本上；GitLab Dedicated 跑 19.4.3-internal0 或更新的租戶，官方說已含修補、不需動作。

這一條怎麼查到的，值得寫下來，因為清單頁靠不住：GitLab 的修補發布清單頁在我們這邊讀回來沒有列出任何項目（上一版的這一段因此寫「這一週有沒有新的修補版無法證實」）。改讀官方的修補發布 feed（https://docs.gitlab.com/releases/patch-releases.xml）就有資料，而該 feed 自己的更新時間是 10 月 29 日，所以 19.5.3 那一批也是 feed 上最新的一批。要盯 GitLab 的修補，盯 feed 不要盯那一頁。

四、WordPress 7.1.4：升級流程本身有一個會導致遠端執行的弱點

〔官方〕WordPress 10 月 28 日發布 7.1.4，是這一週唯一一件「新的、而且多數人都該動手」的事。官方列出的修補項目共十三項，其中第一項逐字是：WordPress 升級流程中的一個弱點，可能在升級的那段時間窗內導致遠端程式碼執行。其餘多為儲存型跨站腳本（XSS），分布在區塊標記、互動性 API、Customizer 選擇性刷新、分類區塊、使用者登入名稱、播放清單與圖片區塊、留言分頁區塊等位置，另有一項互動性 API 的儲存型服務阻斷，以及一項權限問題（備註可被無權編輯該篇文章的高權限使用者讀取）。

還有一項與上面第七節同一條線：官方寫這次也更新了內建的根憑證，原因是 eMudhra 的撤銷。所以那件事的影響面不只在瀏覽器與伺服器語言，連 CMS 自己帶的那一份信任清單也在內。

• 修補版：7.1.4。官方說「作為一種禮貌」，安全修補也回移到所有仍符合接收安全修補條件的分支，目前回移到 4.7，但官方同一段也寫明回移仍在進行中、會在各自準備好時陸續發布。所以舊分支的使用者要去看自己那一條線出來了沒有。
• 自動更新：官方寫，如果你的網站支援背景自動更新，更新會自動開始。這一句不等於「你不必管」——要確認的是自動更新有沒有真的跑完，而不是它理論上會跑。
• 官方立場：官方也寫明只有最新版本處於積極支援狀態。
• 這一則公告沒有提到任何漏洞已遭實際利用。

五、開發工具的供應鏈：一個被改過的擴充套件，裝進去就留後門

〔官方：Cursor〕10 月 29 日，一個被改過的 Claude Code 擴充套件透過 Cursor 的擴充市集流出。官方的說法是這個擴充會執行惡意程式碼，嘗試安裝一個會持續存在的 SSH 後門，同時收集主機與使用者資訊，並試圖加入一支由攻擊者掌握的 SSH 金鑰。

• 受影響的版本：Anthropic.claude-code 的 2.1.312 與 2.1.313，平台是 Windows 與 macOS。
• 時間窗：官方寫的是當天（太平洋時間）約 02:27 到 13:35 之間。
• 官方要你做的事：在那段時間內安裝或更新到那兩個版本的人，執行官方提供的驗證腳本並檢查有沒有那支未授權的金鑰；有跡象顯示惡意程式真的跑過或後門真的裝上的主機要先隔離；確認受影響之後移除那支 SSH 金鑰、持續存在的機制與通道程序，然後從一台可信的機器上輪換那台主機能碰到的所有憑證與工作階段。
• 官方沒有說受影響的人數。它只寫沒有證據顯示該擴充的其他版本或官方的發布通路受到影響。外界流傳的人數估計我們沒有在官方頁上讀到，所以這一期不寫那個數字。

這一條與上一期的 LiteLLM 事件是同一個形狀，而且它們一起說明了一件對採購與維運都很具體的事：你裝的東西有沒有被動過，取決於發布通路的安全，而不是那個專案的程式寫得好不好。最後那一步「從可信的機器上輪換憑證」尤其容易被跳過——在一台可能已經被裝了後門的機器上改密碼，等於把新密碼也交出去。

六、Symfony：五個月前那句「已修補」是錯的

〔官方：Symfony〕Symfony 10 月 29 日發文說明 10 月 28 日那批發布（5.4.55、6.4.49、7.4.22、8.1.10）裡的安全項目，而其中一段是自我更正。官方的說法是：五月公告的 CVE-2026-45070 是一個透過 Mime 標頭參數名稱進行的電子郵件標頭注入，當時說它已在 5.4.52、6.4.40、7.4.12 與 8.0.12 修補，而那是錯的——修補確實被提交，但那個提交從來沒有合進維護分支，所以沒有任何一個發布版本含它。

〔官方：Symfony〕那個漏洞本身：官方的 CVE 頁說明，負責序列化 Content-Type、Content-Disposition 這類結構化標頭的元件，會驗證並正確編碼參數的「值」，但不驗證參數的「名稱」——名稱是逐字輸出的。所以一個把參數名稱接上不可信輸入的程式，可以在名稱裡塞進換行位元組，提早結束當前標頭並注入額外標頭。官方頁也列出受影響範圍：低於 5.4.55、6 系列低於 6.4.49、7 系列低於 7.4.22、8 系列低於 8.1.10；而那一頁現在自己掛著一句更正，逐字說它先前列為修補版的 5.4.52、6.4.40、7.4.12 與 8.0.12 並不含那個修補。

現在真的修了：5.4.55、6.4.49、7.4.22、8.1.10。官方另外提醒 Symfony 8.0 已不再維護，8.0 的使用者要升到 8.1.10。要不要升的判準，官方寫得很具體：如果你的應用程式會用來自使用者輸入的參數名稱去組 Mime 標頭，就升。

同一批發布的變更記錄裡還列了 CVE-2026-109413（Yaml）、CVE-2026-108082（HttpFoundation）與 CVE-2026-109449（ExpressionLanguage），但官方明說這幾項在這批發布裡沒有任何程式變更，它們的修補更早就在各分支發布過了：6.4 線分別是 6.4.45／6.4.46／6.4.48，7.4 線是 7.4.18／7.4.19／7.4.21，8.1 線是 8.1.6／8.1.7／8.1.9；5.4 線三個都在 10 月 15 日的 5.4.54 修掉。變更記錄上出現一個 CVE，不代表你現在才有修補可以裝——這一段就是為了避免那個誤判。

這一條對維運的意義比它的嚴重度大：「官方說某一版修好了」與「那一版真的含修補」是兩件事。我們寫〈資安新手入門 01〉時給的做法是比對版本號，而這一次比對版本號會得到錯的答案。能補上這個缺口的只有一件事——修補之後去驗，而不是看公告寫了什麼。

七、eMudhra 弱金鑰的後續：偽造憑證在弱點公開後不到一小時就出現

上一期第三節寫過 eMudhra 八張中繼憑證私鑰外洩。這一週有一份追蹤報告。

〔官方：Cloudflare，就它自己的網路〕Cloudflare 10 月 30 日的文章先把弱金鑰的程度寫清楚：這八個本該是 115 位數的私鑰，實際的值是 4、56、66、115、155、156、230 和 237。它寫這次事件與過去的憑證機構入侵事件根本不同——受影響的中繼私鑰任何人都能從公開的憑證本身幾乎立即還原。文章也提到 eMudhra 宣布退出公開憑證機構業務，並稱這是金鑰產生腳本的錯誤，但還沒有公開那個腳本。

它量到的東西（範圍限於 Cloudflare 自己的連線，10 月 21 日完成部署記錄後的一週）：約 22,000 次使用這些弱金鑰的交握嘗試，其中三分之二是去抓測試網站；有大約 160 次特別不一樣——憑證裡的網域名稱指向其他組織的網域，與連線實際要去的主機名不符，其中有些是消費級物聯網裝置的網域，而且那些偽造憑證的有效期超過兩年，比任何公開憑證機構可以簽發的都長。

兩句要一起讀的結論：Cloudflare 說目前沒有證據顯示這些弱金鑰被用來攔截它的連線；但同一段也寫，這不能排除經過精心設定的針對性攔截。而最值得記住的不是數字是時間：他們看到的其中一張偽造憑證，日期是 10 月 20 日 18:19（UTC），距離 Mozilla 的問題回報公開不到一小時。

關於還有多少人沒修，Cloudflare 用挑戰頁發出探測連線來估，一週約五千萬次探測。它自己先寫了偏誤警告，而那段警告要跟數字一起看：挑戰頁的流量本來就高度偏斜、裡面有很多未經確認的機器人，而且只有會執行 JavaScript 的用戶端才會回報。在這些前提下它的觀察是：保持更新的現代瀏覽器大致都修好了，機器人與舊瀏覽器沒有；而嵌入式瀏覽器（例如 Android WebView）落後，還有三到四成仍然接受那些憑證。

如果你的網站有被嵌在 App 的網頁畫面裡使用，或你的客戶端裝置是物聯網設備，這一段比瀏覽器那一段更貼近你。

八、Chrome 156（10 月 29 日）

〔官方〕Chrome 穩定版與延長穩定版更新到 156.0.8078.79／.80（Windows 與 Mac）與 156.0.8078.79（Linux），官方說會在接下來幾天到幾週內陸續推送。這一次包含 21 個安全修補，其中唯一標為 critical 的是 CVE-2026-76024，官方描述為 MediaStream 的記憶體毀損。其餘公開列出的多為 high，集中在 FileSystem、Quota、Skia、V8、Blink 等元件，另有一項 medium。這一則發布說明沒有提到任何漏洞已遭實際利用。

九、不在固定清單上，但這一週值得知道的

〔官方〕LiteLLM 的事後說明（10 月 30 日）：上一期第八節寫過 LiteLLM 的發布管道在 10 月 21 日遭入侵。這一週官方發了一篇檢討，標題講的是「10 月 21 日之後我們改了什麼」，內容包含為什麼三月之後建立的控制沒有擋下那次發布，以及身分、憑證與偵測方面的調整。如果你的系統有依賴這套 AI 閘道，這一篇比上一次的事故說明更該讀——它講的是同一個管道還會不會再出事。

同一個專案 10 月 27 日另外宣布了一個私有套件庫，用途是讓特定使用者在公開發布之前先拿到重大漏洞的修補。這對採購是一個要想清楚的設計：它的意思是，修補的時間差會變成一種分層服務。我們沒有查證它的條件與價格，這裡只記下它存在。

〔官方〕GitHub（10 月 28 日）：GitHub 的變更記錄這一週沒有安全事件公告，但有兩項與維運相關的功能：Dependabot 的警示可以用「可達性分析」排序（也就是先看那段有漏洞的程式碼在你的專案裡到不到得了），以及密鑰外洩的推送保護擴及自訂的樣式。這兩項都不是修補，是讓「要先修哪一個」這個問題比較好回答的工具。

十、這一週看過、沒有新公告的

• Node.js：最近一批安全發布仍是 10 月 21 日（上一週），這一週沒有新的。
• Laravel：最近兩則安全公告仍是 10 月 19 日（上一週），這一週沒有新的公告。但 10 月 26 日有一件事落在這一週：10.x 的回補合併了（PR #62177，標題是「拒絕非字串的 token」），而官方在那個 PR 的說明裡逐字寫它是 GHSA-f9x3-7vq9-cph6（CVE-2026-114509）的回補、對應 12.x 的 8dbb08b。那則公告列的受影響範圍是「低於 v12.68.0」與「低於 13.29.0」，而前者沒有下界——所以 10.x 與 11.x 並沒有被那個範圍排除，但公告也沒有列出它們的修補版。我們實際讀了程式碼：11.x 的 v11.56.1（8 月 25 日）只含一個修補 commit，改的是 TokenGuard.php 的 user() 與 validate()，加上非字串 token 的檢查並補了兩個測試，與 12.x 那個被官方指名的修補是同一個形狀。但沒有任何官方文字說 11.x 已修，所以這是我們從同一個改動推得的，不是官方說法——用 10.x 或 11.x 的人要自己對照這個版本，不能只看公告日期。
• Go：最新版本仍是 10 月 19 日的 go1.27.3 與 go1.26.10，這一週沒有新的發布。
• Next.js：這一週沒有安全發布，但 10 月 27 日官方發了預告——11 月的例行安全發布排在 2026 年 11 月 3 日。用 Next.js 的，那一天要留時間。
• Electron：10 月 30 日到 31 日有三個穩定版（45.2.1、44.10.1、43.8.6），發布頁寫的是跟上 Chromium（45.2.1 對應 Chromium 156.0.8078.75）與回移上游修補，沒有提到安全修補或 CVE 編號。所以 Chrome 那 21 項在 Electron 這邊對應到哪些，從發布頁看不出來。
• Composer 的 ca-bundle：10 月 29 日發布 1.6.1，內容只是把一個函式呼叫換掉以避開 PHP 8.6 的棄用警告。這不是安全更新——上一週的 1.6.0 與 1.4.16 才是 eMudhra 相關的那一版，不要因為版本號接著跳就以為這一版也是。
• Oracle：季度更新（Critical Patch Update）上一次是 10 月 20 日，這一週沒有新的季度更新。但既有的兩則 Security Alert 在這一週各出了一次修訂版，而修訂加進去的是新的受影響產品——所以「沒有新公告」不等於「跟你無關」。兩則都是〔官方〕：
  • PHP 那兩個漏洞（CVE-2026-109618、CVE-2026-109619）Oracle 自己也發了警示，公告逐字把它們叫 PHP2Shell、並寫明是「PHP 中未經認證的遠端執行程式碼」。10 月 25 日初版，10 月 26 日 Rev 2 加入 Oracle Secure Backup。公告自己寫著「本警示會隨著更多產品修補推出而持續更新」。
  • eMudhra 那件事在 Java 這一側也有一則（CVE-2026-114820）：官方說明逐字是「提供移除與 eMudhra 相關的受影響根 CA 憑證的 Java 更新」。10 月 24 日初版，10 月 30 日 Rev 2 加入 Oracle Autonomous Health Framework、Oracle Database Server、Oracle Global Lifecycle Management OPatch 與 Oracle Hospitality Cruise Shipboard Property Management。Oracle 給 RDBMS（Java）那一格的 CVSS 3.1 分數是 9.1，並標明不需認證即可從網路利用。這一則同樣寫明「其他內嵌或隨附 Java 的 Oracle 產品會隨修補推出陸續加入」。
  所以用 Oracle 產品的人，這一週要看的不是 10 月那次季度更新，是這兩則警示的修訂版——你的產品可能是這一週才被加進受影響清單的。

十一、查了、查不到或沒有查的

• 10 月 31 日與 11 月 1 日的 CISA 清單：我們讀到的資料檔版本是 2026.10.30，所以這兩天如果有新增，這一期看不到。這是視窗的邊界，不是「那兩天沒有事」。
• Brotli 漏洞到底影響哪些產品：官方清單自己標非窮盡，而我們只核對到 Node.js、Microsoft .NET 與 PHP 的 Windows 包三處。其他廣泛被提到的執行環境與代理伺服器，我們這一期沒有逐一回到各自的官方公告核對，所以不寫。
• 第 2 層（研究機構與媒體）：這一期的時間都花在官方公告與政府警示上，固定清單裡的六家研究與媒體來源，這一週我們一家都沒有讀，所以本期沒有任何第 2 層引用。這是這一期的缺口，不是「他們沒有發東西」。
• WordPress 那十三項的受影響版本：官方公告沒有逐項列出哪些版本受影響，只說修補回移到 4.7，所以「我這一版中不中」這個問題從那一則公告回答不了。
• Oracle 10 月那次季度更新的頁面本身有沒有修訂版：我們這一期只開了上面那兩則獨立警示的頁面、沒有開 10 月 20 日那份季度更新頁，所以它這一週有沒有被改過、以及 Oracle 月度更新的下一個日期是哪一天，我們都無法證實，兩者都不寫。
• GitHub 全域公告資料庫有沒有跟上 Symfony 的更正：我們這一期只讀了 Symfony 自己的兩頁，沒有去核對第三方資料庫列的版本，所以不寫。兩邊不一致時以專案官方為準。
• Brotli 漏洞的實際利用細節：新加坡 CSA 用的措辭是「據報」正在被利用，而不是它自己觀察到。我們沒有找到任何一家官方來源提出可公開的利用證據，所以這一句到此為止，不加碼。

下一期

週報每週一期，來源清單固定，每一期都會把「看過但沒事」與「查不到」一起列出來——讀者看不到我們漏了什麼，所以要由我們自己說。下一期涵蓋 11 月 2 日起的一週，而上面已經有一件排好的事：Next.js 的 11 月安全發布在 11 月 3 日。

恩梯科技是客製化開發出身的系統軟體公司，現在做的是 AI 系統的長期維護。如果你不確定手上的系統有哪些要跟著這一週的安全更新走，可以從一次預約系統健檢開始。

這一期用到的官方公告

• 美國 CISA 已知遭利用漏洞清單（資料檔）：https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• 新加坡 CSA 警示 AL-2026-154：https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-154/
• PHP 公告（10 月 26 日，Windows 包）：https://www.php.net/archive/2026.php
• Symfony 的更正說明：https://symfony.com/blog/about-the-security-entries-in-symfony-5-4-55-6-4-49-7-4-22-and-8-1-10
• GitLab 10 月 12 日修補發布：https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/
• GitLab 10 月 29 日修補發布（CVE-2026-111943）：https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-3-released/
• GitLab 修補發布 feed：https://docs.gitlab.com/releases/patch-releases.xml
• Oracle 警示 CVE-2026-109618／CVE-2026-109619（PHP2Shell）：https://www.oracle.com/security-alerts/alert-CVE-2026-109618.html
• Oracle 警示 CVE-2026-114820（eMudhra 根憑證與 Java）：https://www.oracle.com/security-alerts/alert-CVE-2026-114820.html
• Cloudflare 的 eMudhra 追蹤報告：https://blog.cloudflare.com/emudhra-patching/
• Chrome 156 發布說明：https://chromereleases.googleblog.com/2026/10/stable-channel-update-for-desktop_02107719452.html
• WordPress 7.1.4 發布公告：https://wordpress.org/news/2026/10/wordpress-7-1-4/
• Cursor 的擴充套件安全通知：https://cursor.com/en-US/blog/claude-code-extension-security-notice
• Symfony 的 CVE-2026-45070 頁：https://symfony.com/cve-2026-45070
• CISA 行政指令 BOD 26-04：https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
• Laravel 的 GHSA-f9x3-7vq9-cph6：https://github.com/laravel/framework/security/advisories/GHSA-f9x3-7vq9-cph6
• Laravel 10.x 的回補 PR #62177：https://github.com/laravel/framework/pull/62177
• Node.js 2026-10-21 安全發布：https://nodejs.org/en/blog/vulnerability/october-2026-security-releases