全网安全事件，公开收录
又有人把数据库裸奔在公网上了。每一坨屎，我们都赶在它溅到你身上之前闻出来。
供应链投毒、数据泄露、零日漏洞、云配置失误，按臭度分级，每一条都附清理指南。数据在 GitHub 上公开，通过 MCP、JSON 和 RSS 直达你的 AI 智能体和阅读器。
GET /api/v1/incidents.json
按时间倒序。每一条都告诉你发生了什么、谁被溅到、具体该怎么擦。
CVE-2026-109618 和 CVE-2026-109619（CVSS 均为 9.2）能在 PHP 本身里实现远程代码执行。概念验证视频在发版前一晚泄露，补丁和漏洞利用几乎同时到来。
波及范围
PHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeed：5.4 以来几乎所有 PHP
怎么擦
升级到 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。关闭 session.upload_progress 只能挡住其中一个漏洞
CVE-2026-110264（CVSS 10.0）是 Onigmo 正则编译器里的整数溢出，未经身份验证的用户就能在自管版 GitLab 上执行代码，影响 7.0 及之后的版本。它距离兄弟漏洞 CVE-2026-97229 只隔了九天，后者已有公开 PoC。10月12日打过补丁的服务器照样受影响。
波及范围
7.0 及以上所有自管版 GitLab CE/EE；GitLab.com 和 Dedicated 已提前修复
怎么擦
升级到 19.5.1 / 19.4.3 / 19.3.6 / 19.2.9 / 19.1.9 / 19.0.10 / 18.11.13。没有临时缓解措施
攻击者用三名 LiteLLM 工程师被盗的 GitHub CLI 令牌，从一个山寨仓库构建并向 PyPI 和 Docker 发布了 litellm 1.107.0。它在每次 Python 启动时窃取云、AI 和 LiteLLM 代理的密钥。在线约 2 小时。
波及范围
10月21日安装过 litellm 1.107.0，或拉取过 latest / main-latest / main-stable / v1.107.0 镜像的所有人
怎么擦
用按哈希 / digest 锁定的 litellm 1.106.2 从零重建受影响主机，再轮换这台主机能读到的所有凭据
四个高危、三个中危、三个低危。Brotli 解码器越界写入，dns.resolve 遇到 NUL 字节就把域名截断，还有几种 IP 写法能混过证书主机名校验。这次发版还会拒绝已失陷的 eMudhra 密钥。
波及范围
Node.js 22.x、24.x、26.x，以及所有已停止维护的版本线
怎么擦
升级到 22.23.4 / 24.22.1 / 26.12.1，重新构建容器，然后重启服务，让旧的 TLS 会话断掉
Railway 在存放客户环境变量的系统里发现了异常活动。未经授权的一方可能读取了加密后的变量，其中一部分还拿到了解密后的值。Railway 暂停了所有部署，重置了存储桶和 GitHub 凭据，并要求所有用户轮换全部密钥。
波及范围
所有在环境变量里放了密钥的 Railway 用户；Railway 说只有一部分人中招，但还没说是谁
怎么擦
轮换并吊销 Railway 变量里存的每一个密钥，检查 10月21日以来各服务商的日志，构建恢复后重新部署
9月9日至10月7日，入侵者用窃取的服务账号凭据拷走了账号元数据、账单信息、SQL 编辑器里的文本、加密后的 API 密钥值以及源代码。勒索团伙 FulcrumSec 声称拿到了 10.6 TB 数据，PingCAP 尚未证实。
波及范围
TiDB Cloud 客户的账号、账单和 SQL 编辑器数据；没有证据表明客户数据库被读取
怎么擦
轮换 TiDB Cloud API 密钥和数据库密码，清理 SQL 编辑器历史里的密钥，排查访问日志
emSign ECC Root CA - G3 下的八张中间证书（六张 TLS，两张代码签名）由 Sectigo 交叉签名，它们的 P-384 私钥都是小于 256 的整数。任何人都能瞬间还原出私钥，给任意域名签发证书。
波及范围
所有信任 emSign ECC Root CA - G3 或 Sectigo 交叉签名的东西：浏览器、操作系统、Go、Python、Node
怎么擦
更新浏览器和操作系统，升级到 certifi 2026.10.19、Go 1.27.3 / 1.26.10、Node 22.23.4+；在自定义信任库里拉黑这 8 张中间证书
ConnectWise 多租户备份应用（前身是 SkyKick）的一个 API 密钥被盗。所有授权过这个应用的 Microsoft 365 租户，一下子都能被人拿着客户当初授予它的权限访问。ConnectWise 暂停了多项云服务。
波及范围
使用 ConnectWise Cloud Backup 或 Cloud Management 的 Microsoft 365 租户：确认 173 个，约 1000 个出现攻击活动
怎么擦
移除 ConnectWise 应用或重新授权，排查来自 144.172.64.x 的 Entra 登录，检查有没有新增的全局管理员和应用密钥
nginx.org 把五个漏洞都定为中危，但 F5 的 CVE 记录给其中三个内存破坏漏洞打了 CVSS 8.1。每个漏洞都要特定配置才会触发：alias 配合 rewrite、正则 map 的捕获变量、AIO 配合 SSI、HTTP/3，或者会轮换的 TLS 会话票据密钥。暂无利用报告。
波及范围
1.30.6 / 1.31.7 之前的 nginx 开源版、NGINX Plus R33 到 37.x，以及内置了它们的产品
怎么擦
升级到 nginx 1.30.6（稳定版）或 1.31.7 及以上（主线版），NGINX Plus 打 F5 的热修复，然后重载
攻击者 UTA0576 把认证绕过、文件写入和提权串成一条链，接管了运行最新版本的 VPN 设备，随后去捞 AD 凭据、LAPS 密码和 BitLocker 密钥。CISA 当天就把它加入了 KEV。
波及范围
暴露在公网的 Ivanti Connect Secure 22.8R2.4、25.1.1.1、25.1.2.2 及更早版本
怎么擦
升级到 22.8R2.5 / 25.1.1.2 / 25.1.3.x，运行 Ivanti 的外部完整性检查工具，轮换所有经过这台设备的凭据
被盗的 GitHub 账号推送了伪装成安全任务的工作流，用来窃取 Actions 密钥。新变种会扫描完整的 git 历史，三年前删掉的密钥照样算数。GitHub 从 10月9日开始拦截这个工作流。
波及范围
约 1,900 个账号、30,000 多个仓库成为目标（GitGuardian 数据）；尝试窃取的密钥达 3,174 个
怎么擦
在 .github/workflows 里搜 security-audit.yml 这类文件，轮换所有 CI 密钥和历史上提交过的每一个密钥，吊销旧的 PAT
2025 年初，攻击者用盗来的登录凭据进了两台老旧的 Cerner 服务器。真实规模直到得克萨斯州总检察长收到的一份申报才浮出水面：1990 万人，泄露内容包括社保号、诊断、用药和医学影像。Oracle 至今没有公布总数。
波及范围
美国老 Cerner 客户的约 1990 万患者，至少 29 家医院和医疗系统
怎么擦
冻结信用，当心冒充“Oracle Health”的通知；医疗机构：强制 MFA，下线老旧服务器
眼下没有这么臭的。趁空气还新鲜，多吸两口。
自 2026年10月5日起，共收录 12 起事件。 去 GitHub 看原始数据 →
OhShit 臭度分级™
我们综合考虑影响范围、利用难度、在野利用情况，以及老板凌晨三点给你打电话的概率。
{
"mcpServers": {
"ohshit": {
"command": "npx",
"args": ["-y", "@ohshit/mcp"]
}
}
}list_incidents按最低等级、生态、标签和时间筛选
get_incident完整报告、修复版本和清理清单
smell_index当前臭度指数，以及距上一坨的天数
$ curl -s https://ohshit.app/api/v1/incidents.json \
| jq '.data[] | select(.level >= 4) | {id, level, title}'
{
"id": "php2shell",
"level": 5,
"title": "PHP2Shell: …"
}
$ curl -s https://ohshit.app/api/v1/smell-index.json
{ "level": 5, "level_name": "shitstorm", "days_since_last": 0 }GET /api/v1/incidents.json所有事件，按时间倒序（数据为英文）
GET /api/v1/incidents/{id}.json单个事件，含清单和来源
GET /api/v1/smell-index.json今日全网臭度指数，适合挂在大屏上
# Slack：把订阅推到 #security 频道 /feed subscribe https://ohshit.app/zh/rss.xml # Discord、Teams、邮件：任意 RSS 机器人， # 或 Zapier / IFTTT 的“新 RSS 条目”触发器都行。 # 或者直接加到阅读器里： https://ohshit.app/zh/rss.xml
/zh/rss.xml按时间倒序列出每起事件，标题带等级
无需注册不用账号、不用密钥、不进邮件列表
哪里都能用Feedly、Slack、Discord 机器人，甚至厕所里的树莓派