PHP补丁刚打完，GitLab满分漏洞又来：站长自查清单

上周忙着给服务器打 PHP 补丁的站长，这周恐怕没法松口气。PHP 官方 10 月 21 日发布安全更新修复两项严重漏洞之后，同一段时间里，GitLab、LiteLLM、Node.js、Railway 也接连曝出高风险安全事件，覆盖代码托管、AI 工具链、运行时和云平台四个环节。这些组件看着离建站很远，实际上不少站长的部署流程里都有它们的影子：自建 GitLab 管代码、用 LiteLLM 网关接大模型 API、Node.js 跑构建工具、网站托管在云平台上。只盯着 PHP 一个口子堵，其他门还开着。

先把这几件事的时间线捋清楚。

GitLab 修复了一项 CVSS 评分为 10 分的严重漏洞，可能导致未经身份验证的远程代码执行。满分意味着攻击者不需要任何账号权限，就能直接打穿服务。

LiteLLM 的 1.107.0 版本发布流水线遭到入侵，带恶意代码的软件包曾在 PyPI 上线约 1 小时 43 分钟，可能窃取主机中的敏感凭据。这类供应链投毒最麻烦的地方在于：中招的人往往什么都没做错，只是正常执行了一次 pip 安装。

Node.js 为多个版本线发布安全更新，其中 Brotli 解码器的越界写入漏洞可能导致远程代码执行。很多构建流程和静态资源服务都依赖 Brotli 压缩，受影响面不小。

Railway 披露部分客户环境变量可能遭到未经授权的访问，官方要求用户轮换 API 密钥、数据库凭据等敏感信息。环境变量里存着什么，不用多说。

面对这一波集中爆发，建议按下面五步走一遍自查。

第一步，收尾 PHP。确认服务器 PHP 已升级到 10 月 21 日之后的修复版本，在宝塔面板的 PHP 版本管理或命令行 php -v 里核对版本号。PHP 官方明确 8.2 之前的版本已停止安全维护，还停在旧版本的要么尽快迁移，要么按英国国家网络安全中心（NCSC）的建议，在补齐之前考虑先下线。

第二步，排查 LiteLLM。查 pip list 里有没有 1.107.0 版本，有的话立即卸载并换到干净版本，同时轮换所有经过该网关调用的 API Key 和数据库密码。哪怕版本对不上，只要近期在业务环境里装过这个包，也建议把凭据核对一遍。

第三步，给自建 GitLab 打补丁。通过管理后台或容器内版本文件确认当前版本，对照 GitLab 官方发布页升级到含修复的版本。CVSS 满分的未认证 RCE，不值得赌运气。

第四步，更新 Node.js。用 node -v 查看版本，升级到官方各版本线的最新安全版。构建机和生产环境都要更新，别只顾一头。

第五步，轮换与备份。Railway 用户按官方指引轮换环境变量里的密钥；其他云平台虽然没通报问题，也建议顺手把数据库密码、API 密钥轮换一遍，并验证最近一次备份能否正常恢复。出了事故之后，能救你的只有轮换过的凭据和一份能恢复的备份。

个人观点：这一周的集中爆发其实是个信号。过去站长习惯把安全等同于 WordPress 核心和插件升级，但现在攻击面已经扩展到整个工具链：代码托管平台、AI 工具的依赖包、构建运行时、云平台凭据，任何一环失守，网站照样沦陷。供应链投毒尤其防不胜防，唯一现实的做法是把轮换凭据和备份恢复演练变成月度例行事项，而不是出了新闻才想起来。

总结一下：PHP 修复版尽快升、LiteLLM 用户查版本换密钥、自建 GitLab 别停在旧版、Node.js 跟进更新、全量轮换凭据并验证备份。官方地址：PHP 下载页 https://www.php.net/downloads.php ，GitLab 发布页 https://about.gitlab.com/releases/ ，LiteLLM 项目地址 https://github.com/BerriAI/litellm 。五个动作一个下午能做完，比事后恢复数据的代价小得多。