2026 年 10 月 21 日，这一天值得记进互联网史册。一天之内，CA 机构爆出“私钥就是 4”的魔幻漏洞、满分 10.0 的 GitLab RCE、Railway 和 OpenCode 相继被攻破，连 PyPI 官方包都被投了毒。下面这份清单，每一条都值得你今天动手检查一遍。
1. eMudhra：私钥居然是“4”。CA 机构 8 个密钥的私钥字面量就是数字 4，攻击者能伪造任意网站证书，持续了 17 个月，6000 多万张证书处在风险中。浏览器今天已经在拦它了，赶紧确认你的证书链。
2. 印度国家银行（SBI）确认数据泄露。3897 名客户的手机号、生日、地址和贷款数据出现在暗网。如果你在印度有业务，盯紧异常来电和贷款诈骗。
3. 拉贾斯坦邦警方称遭黑客攻击。团伙声称在售卖 7 万条身份记录和 59460 个号码，目前未经证实，观望。
4. PHP 未授权 RCE（CVSS 9.2）。覆盖约 70% 的网站，WordPress、Drupal、Laravel 全在影响范围。CISA 的话很直接：要么打补丁，要么下线。
5. GitLab 10.0 满分漏洞。未授权远程代码执行，不用登录就能打。自建 GitLab 的今天必须升级。
6. Node.js 一天修了 10 个 CVE。包括 Brotli 解码器 RCE（CVE-2026-111497）和 TLS 绕过。用 Node 跑服务的，升版本别拖。
7. Railway 被攻破。环境变量被解密，API 密钥和数据库密码全部暴露。凡是托管在上面的密钥，今天全部轮换一遍。
8. OpenCode 被攻破。Console 用户的 OpenAI、Anthropic、Google API 密钥泄露，蒸馏攻击，有人的账单已经被刷爆。立刻换 key 并查账单。
9. LiteLLM 的 PyPI 包 v1.107.0 今早是恶意包。偷凭证还留后门。pip 装过这个版本的全量排查，锁死版本号再重装。
10. Plex2Shell 正在被实际利用。黑客当下就在装挖矿程序，已进 CISA 已知被利用漏洞清单，修复截止 10 月 23 日。
AI 在帮人找漏洞，也在帮人利用漏洞，而人类打补丁的速度永远慢半拍。今天这份清单，转发给管服务器的朋友，比说什么都管用。