全网安全事件，按臭度分级，每一条都附清理指南。开放数据，支持 MCP、JSON API 和 RSS。https://ohshit.app/zh-cnhttps://ohshit.app/zh/incidents/php2shell/https://ohshit.app/zh/incidents/php2shell/CVE-2026-109618 和 CVE-2026-109619（CVSS 均为 9.2）能在 PHP 本身里实现远程代码执行。概念验证视频在发版前一晚泄露，补丁和漏洞利用几乎同时到来。 怎么擦：升级到 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。关闭 session.upload_progress 只能挡住其中一个漏洞Wed, 21 Oct 2026 00:00:00 GMTPHPRCE提前泄露https://ohshit.app/zh/incidents/gitlab-regex-rce/https://ohshit.app/zh/incidents/gitlab-regex-rce/CVE-2026-110264（CVSS 10.0）是 Onigmo 正则编译器里的整数溢出，未经身份验证的用户就能在自管版 GitLab 上执行代码，影响 7.0 及之后的版本。它距离兄弟漏洞 CVE-2026-97229 只隔了九天，后者已有公开 PoC。10月12日打过补丁的服务器照样受影响。 怎么擦：升级到 19.5.1 / 19.4.3 / 19.3.6 / 19.2.9 / 19.1.9 / 19.0.10 / 18.11.13。没有临时缓解措施Wed, 21 Oct 2026 00:00:00 GMTGitLabRCE自管版https://ohshit.app/zh/incidents/litellm-pypi-compromise/https://ohshit.app/zh/incidents/litellm-pypi-compromise/攻击者用三名 LiteLLM 工程师被盗的 GitHub CLI 令牌，从一个山寨仓库构建并向 PyPI 和 Docker 发布了 litellm 1.107.0。它在每次 Python 启动时窃取云、AI 和 LiteLLM 代理的密钥。在线约 2 小时。 怎么擦：用按哈希 / digest 锁定的 litellm 1.106.2 从零重建受影响主机，再轮换这台主机能读到的所有凭据Wed, 21 Oct 2026 00:00:00 GMT供应链PyPIDockerAI密钥https://ohshit.app/zh/incidents/nodejs-oct-2026/https://ohshit.app/zh/incidents/nodejs-oct-2026/四个高危、三个中危、三个低危。Brotli 解码器越界写入，dns.resolve 遇到 NUL 字节就把域名截断，还有几种 IP 写法能混过证书主机名校验。这次发版还会拒绝已失陷的 eMudhra 密钥。 怎么擦：升级到 22.23.4 / 24.22.1 / 26.12.1，重新构建容器，然后重启服务，让旧的 TLS 会话断掉Wed, 21 Oct 2026 00:00:00 GMTNode.jsTLSRCEhttps://ohshit.app/zh/incidents/railway-env-vars/https://ohshit.app/zh/incidents/railway-env-vars/Railway 在存放客户环境变量的系统里发现了异常活动。未经授权的一方可能读取了加密后的变量，其中一部分还拿到了解密后的值。Railway 暂停了所有部署，重置了存储桶和 GitHub 凭据，并要求所有用户轮换全部密钥。 怎么擦：轮换并吊销 Railway 变量里存的每一个密钥，检查 10月21日以来各服务商的日志，构建恢复后重新部署Wed, 21 Oct 2026 00:00:00 GMTPaaS密钥凭据供应链https://ohshit.app/zh/incidents/tidb-cloud/https://ohshit.app/zh/incidents/tidb-cloud/9月9日至10月7日，入侵者用窃取的服务账号凭据拷走了账号元数据、账单信息、SQL 编辑器里的文本、加密后的 API 密钥值以及源代码。勒索团伙 FulcrumSec 声称拿到了 10.6 TB 数据，PingCAP 尚未证实。 怎么擦：轮换 TiDB Cloud API 密钥和数据库密码，清理 SQL 编辑器历史里的密钥，排查访问日志Mon, 19 Oct 2026 00:00:00 GMT云数据库凭据勒索https://ohshit.app/zh/incidents/emudhra-ca/https://ohshit.app/zh/incidents/emudhra-ca/emSign ECC Root CA - G3 下的八张中间证书（六张 TLS，两张代码签名）由 Sectigo 交叉签名，它们的 P-384 私钥都是小于 256 的整数。任何人都能瞬间还原出私钥，给任意域名签发证书。 怎么擦：更新浏览器和操作系统，升级到 certifi 2026.10.19、Go 1.27.3 / 1.26.10、Node 22.23.4+；在自定义信任库里拉黑这 8 张中间证书Sat, 17 Oct 2026 00:00:00 GMTPKICATLShttps://ohshit.app/zh/incidents/connectwise-cloud-backup/https://ohshit.app/zh/incidents/connectwise-cloud-backup/ConnectWise 多租户备份应用（前身是 SkyKick）的一个 API 密钥被盗。所有授权过这个应用的 Microsoft 365 租户，一下子都能被人拿着客户当初授予它的权限访问。ConnectWise 暂停了多项云服务。 怎么擦：移除 ConnectWise 应用或重新授权，排查来自 144.172.64.x 的 Entra 登录，检查有没有新增的全局管理员和应用密钥Fri, 16 Oct 2026 00:00:00 GMTSaaSOAuthMicrosoft 365https://ohshit.app/zh/incidents/nginx-oct-2026/https://ohshit.app/zh/incidents/nginx-oct-2026/nginx.org 把五个漏洞都定为中危，但 F5 的 CVE 记录给其中三个内存破坏漏洞打了 CVSS 8.1。每个漏洞都要特定配置才会触发：alias 配合 rewrite、正则 map 的捕获变量、AIO 配合 SSI、HTTP/3，或者会轮换的 TLS 会话票据密钥。暂无利用报告。 怎么擦：升级到 nginx 1.30.6（稳定版）或 1.31.7 及以上（主线版），NGINX Plus 打 F5 的热修复，然后重载Wed, 14 Oct 2026 00:00:00 GMTnginxF5HTTP/3TLS内存破坏https://ohshit.app/zh/incidents/ivanti-connect-secure-chain/https://ohshit.app/zh/incidents/ivanti-connect-secure-chain/攻击者 UTA0576 把认证绕过、文件写入和提权串成一条链，接管了运行最新版本的 VPN 设备，随后去捞 AD 凭据、LAPS 密码和 BitLocker 密钥。CISA 当天就把它加入了 KEV。 怎么擦：升级到 22.8R2.5 / 25.1.1.2 / 25.1.3.x，运行 Ivanti 的外部完整性检查工具，轮换所有经过这台设备的凭据Tue, 13 Oct 2026 00:00:00 GMT零日漏洞VPN边缘设备https://ohshit.app/zh/incidents/ghostaction-returns/https://ohshit.app/zh/incidents/ghostaction-returns/被盗的 GitHub 账号推送了伪装成安全任务的工作流，用来窃取 Actions 密钥。新变种会扫描完整的 git 历史，三年前删掉的密钥照样算数。GitHub 从 10月9日开始拦截这个工作流。 怎么擦：在 .github/workflows 里搜 security-audit.yml 这类文件，轮换所有 CI 密钥和历史上提交过的每一个密钥，吊销旧的 PATFri, 09 Oct 2026 00:00:00 GMT供应链GitHub Actions密钥https://ohshit.app/zh/incidents/oracle-health-20m/https://ohshit.app/zh/incidents/oracle-health-20m/2025 年初，攻击者用盗来的登录凭据进了两台老旧的 Cerner 服务器。真实规模直到得克萨斯州总检察长收到的一份申报才浮出水面：1990 万人，泄露内容包括社保号、诊断、用药和医学影像。Oracle 至今没有公布总数。 怎么擦：冻结信用，当心冒充“Oracle Health”的通知；医疗机构：强制 MFA，下线老旧服务器Mon, 05 Oct 2026 00:00:00 GMT医疗数据泄露