真的太恐怖了，我大概不会忘了这一天吧。
以下内容由 AI 整理总结。
2026 年 10 月 20 日至 21 日，安全社区在 48 小时内经历了一轮密集的漏洞披露。两端是普通用户和运维团队最直接面对的攻击面：Chrome 修复了一个可导致沙箱逃逸的漏洞，GitLab 则紧急修补了一个 CVSS 满分 10.0 的未认证远程代码执行漏洞。与此同时，PHP、Perl、Java、Node.js、Ruby、Python 生态同步释出安全更新，部分缺陷的修复窗口极短，甚至不存在完整的缓解措施。
Chrome：沙箱逃逸，恶意网页即可触发
Chrome 桌面稳定版 156.0.8078.48 修复了 CVE-2026-113328，该漏洞位于 Privacy 组件，属于输入验证不当。攻击者通过诱导用户访问特制 HTML 页面，即可在浏览器沙箱之外执行任意代码，CVSS 评分 9.6，攻击向量为网络、无需权限、但需用户交互。Windows 与 macOS 用户应确认版本不低于 156.0.8078.47，Linux 用户同理；地址栏输入 chrome://settings/help 即可触发更新检查。
GitLab：CVSS 10.0，影响十二年版本跨度
CVE-2026-110264 是 GitLab 在九天内修补的第二个 CVSS 10.0 未认证 RCE 漏洞。根源是正则表达式编译器中的整数溢出，攻击者无需任何凭据即可在自托管 GitLab 实例上执行任意代码。脆弱组件自 7.0 版本（2014 年） 起就存在于代码库中，因此该漏洞实质上波及所有未修补的自托管实例，时间跨度约十二年。修复已同步回移至七个分支：18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3、19.5.1。互联网扫描显示约 60,000 个自托管 GitLab 实例暴露在线，面向公网的部署应视为最高优先级。
语言运行时与工具链：多项高危，修复窗口紧迫
PHP 发布了 8.5.12、8.4.27、8.3.36、8.2.35，修复 CVE-2026-109618 与 CVE-2026-109619 两个 CVSS v4.0 9.2 的未认证远程代码执行漏洞，官方明确表示“更新是唯一安全的选择”。受影响范围覆盖 PHP-FPM、mod_php、php-cgi 等所有处理 Web 请求的运行模式。
Node.js 修复了 Brotli 解码器越界写入（CVE-2026-111497，高危），可导致 RCE，影响 26.x、24.x、22.x 全系列，修复版本为 26.12.1、24.22.1、22.23.4。
Java 方面，Oracle 十月 CPU 包含 55 个补丁，其中 49 个可远程未认证利用；CVE-2026-91410 为 Libraries 组件的部分拒绝服务，修复版本覆盖 8u503、11.0.32.1、17.0.20.1、21.0.12.1、25.0.4.1 等。Azul 同期针对 OpenJDK 更新披露了 53 个漏洞，为十余年来最高数量。
Python 生态中，CVE-2026-113723 影响 virtualenv 21.14.9 之前版本：攻击者若能影响传给 virtualenv 的 prompt 文本，该文本会在 bash 激活提示符中未经充分转义地嵌入 PS1 赋值，用户激活环境时触发任意 shell 命令执行。修复版本为 21.14.9。
Perl 的 XS::Parse::Keyword 模块存在输入处理缺陷，可被特制输入触发拒绝服务，Ubuntu 已发布 USN-8940-1 修复。Ruby 侧，resolv gem 的 CVE-2026-80212 允许通过恶意 DNS 响应导致内存不受控增长，net-imap 的 CVE-2026-42246 存在中间人攻击风险。
排查与处置方案
第一优先级：浏览器与代码托管平台。 Chrome 用户立即通过 chrome://settings/help 更新并重启；自托管 GitLab 实例按所在分支升级至上述七个修复版本之一，面向公网的实例应在完成升级前限制访问来源。
第二优先级：PHP 与 Node.js。 PHP 所有对外提供 Web 服务的部署应升级至对应分支的最新修复版本；Node.js 用户执行 node -v 核对发布线，升级至 26.12.1 / 24.22.1 / 22.23.4。
第三优先级：Python 工具链与 Java。 执行 pip show virtualenv，低于 21.14.9 即受影响，执行 pip install --upgrade virtualenv；Java 环境对照 Oracle CPU 修复版本清单更新 JDK，重点覆盖对外暴露的 Web 服务所依赖的运行时。
第四优先级：Perl 与 Ruby 依赖审计。 Ubuntu 用户应用 USN-8940-1；Ruby 项目检查 Gemfile.lock 中 resolv 与 net-imap 的版本，更新至包含修复的发布线。
浏览器沙箱逃逸与 GitLab 满分 RCE 的组合意味着：一个经过认证的 GitLab 用户会话（甚至无需认证）和一个恶意网页，都可能成为攻击链的起点。在完成上述更新之前，避免点击来源不明的链接、限制自托管 GitLab 的公网暴露面，是成本最低的临时防线。