一周五个高危漏洞：难的不是打补丁，是知道自己有没有它

📋 概述

10 月 16—23 日一周里，PHP、Node.js、GitLab、LiteLLM、OpenCode 与证书机构 eMudhra 同时出事；PHP、Node.js、GitLab 的修复版本与有问题的 LiteLLM 发布是同一天（10 月 21 日）。文章的论点不是「快去升级」——那是容易的部分——而是「你能不能找出自己账号里哪些资源受影响、谁拥有它、它能碰到什么」。有可信资产清单是一下午的事，没有就是一星期的 Slack 线程，而这一周不给人一星期：亚马逊的 MadPot 蜜罐在漏洞披露前四天就记录到了 PHP2Shell 利用尝试。Mandiant 的时间到利用统计是一条下坠曲线：2018—2019 平均 63 天、2020—2021 44 天、2021—2022 32 天，2023 年变成 5 天且当年 70% 被利用漏洞是零日。