今天安全补丁扎堆了 - 蝈蝈俊
内容提要
本期补丁日风险极高：GitLab存在CVSS 10.0未认证RCE，影响7.0以来所有自托管版本；PHP有两个未认证RCE；Node.js存在Brotli越界写入RCE及TLS验证绕过；Go需升级后重新编译二进制，仅更新信任库无效；curl的HTTP/2 UAF可致RCE；Chrome 156修复6个Critical漏洞；eMudhra中间CA私钥可被恢复，需更新各工具链信任库；Windows Shell漏洞已被在野利用，.NET Framework存在WDAC绕过零日；Apache 2.4.69前版本受影响。建议优先处理在野利用与零日，再修未认证RCE，并整体升级浏览器与工具链。
延伸解读
补丁优先级：在野利用与零日应排在最前
文章明确建议，先处理已被在野利用的 Windows Shell 漏洞和 .NET Framework 的 WDAC 绕过零日，再处理未认证 RCE 和 CVSS 10.0 漏洞。原因在于前者是“已经正在发生的攻击”，而后者多属潜在风险。对运维团队而言，这意味着排期不应只看 CVSS 分数，而应优先覆盖已有实际攻击迹象的资产。
Go 与信任库问题：升级后必须重新编译
文章特别提醒，Go 的修复不能只更新系统信任库，升级工具链后必须重新编译并部署二进制，否则无效。同样，eMudhra 中间 CA 私钥可被恢复的问题，需要单独检查 Python、Rust、Node.js 等工具链及设备固件的信任库。这类问题容易被误判为“系统更新即可”，实际需要开发与运维协同排期。
Chrome 升级：不要只盯 Skia 一个漏洞
Chrome 156 一次修复了 6 个 Critical 级漏洞，涉及 Skia、Accessibility、CSS、Paint、WebRTC 等核心组件。文章指出，仅关注 Skia 内存损坏是不够的，整体升级到 156.0.8078.47/.48 才能覆盖全部 6 个 Critical 风险。对终端安全而言，这意味着浏览器升级应作为整体动作执行，而非针对单个 CVE 打补丁。
资产面与排期：Apache 和 GitLab 影响范围广
Apache 2.4.69 之前版本几乎覆盖所有运行 Apache 的 Web 服务，GitLab 则影响自 2014 年 7.0 版以来的所有自托管版本。文章建议结合业务暴露面尽快确认版本并安排升级。对资产清单不完整的团队，这类大范围组件应优先盘点，避免因遗漏实例而留下未修复入口。
Q&A
GitLab 这次漏洞有多严重？哪些版本受影响？
GitLab 存在 CVSS 10.0 的未认证远程代码执行漏洞，影响自 2014 年 7.0 版以来的所有自托管版本，攻击者无需登录即可控制服务器。修复版本包括 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13。
Go 语言这次安全更新有什么特别需要注意的地方？
Go 修复了 crypto/x509 拒绝经过 8 张 eMudhra 问题中间 CA 的证书链等问题。关键点是：升级工具链后必须重新编译并部署二进制，仅更新系统信任库无效。修复版本为 Go 1.27.3 / 1.26.10。
Chrome 156 修复了哪些高危漏洞？只升级 Skia 相关补丁够吗？
Chrome 156 共修复 6 个 Critical 漏洞，包括 Skia 内存损坏（可在沙箱内执行任意代码）以及 Accessibility、CSS、Paint、WebRTC 等核心组件的内存损坏/释放后使用漏洞。仅关注 Skia 不够，需整体升级到 156.0.8078.47/.48（Win/Mac）或 156.0.8078.47（Linux）才能覆盖全部风险。
eMudhra 中间 CA 私钥问题会影响哪些工具链？该如何应对？
8 张 eMudhra 中间 CA 的 P-384 私钥数值小于 256，攻击者毫秒级即可恢复私钥、伪造任意网站证书。浏览器已阻断，但 Go、Python、Rust、Node.js 等工具链及设备固件需单独更新信任库。Go 的 CVE-2026-111943 即为此事的响应。
这次补丁日应该按什么优先级安排修复？
建议顺序：1. 先处理已在野利用和零日：Windows Shell CVE-2026-96951、.NET Framework CVE-2026-108398；2. 再看未认证 RCE 和 CVSS 10.0：GitLab、PHP、Node.js Brotli、curl；3. 浏览器终端整体升级：Chrome 直接覆盖 156.0.8078.47/.48；4. 开发工具链单独排期：Go 升级后必须重新编译并部署二进制，eMudhra 信任库问题要检查 Python、Rust、Node.js 及设备固件；5. Apache 资产面大：确认 2.4.69 之前版本，结合业务暴露面尽快安排升级。
Windows Shell 和 .NET Framework 的漏洞是否已被实际利用？
是的。Windows Shell 漏洞 CVE-2026-96951 是一个安全特性绕过漏洞，攻击者可通过钓鱼邮件或即时消息诱导用户打开恶意文件，绕过 Mark of the Web（MOTW）安全机制，微软已确认其在野被利用，CISA 已将其列入 KEV 目录。.NET Framework 漏洞 CVE-2026-108398 是一个零日漏洞，在补丁发布前已被公开披露，攻击者可将特制的 .NET 程序集放置在系统上并注册为受保护进程加载，从而绕过 Windows Defender Application Control（WDAC）限制，在目标进程中运行代码，且无需用户交互。
