总览
19 个条目、16 个独立事件。按严重度、类别和与段子公司的关系筛选。
结论
段子提到的 14 个组件，每个都能在 2026 年找到对应的真实事故或安全公告。其中 Sectigo 和 TiDB 的说法与事实有出入，详见下文的对照。用户补充的 Zeabur 停运、Railway 密钥泄漏、GitLab 正则 RCE 和 Chrome 156 安全更新也都属实。其中 Chrome 的截图说有 3 个 Critical，官方清单是 6 个。19 个条目里有 2 组对应同一事件：PwnEscape 占 2 条，eMudhra 占 3 条。所以独立事件共 16 个。
对段子里的公司，最紧急的是 LiteLLM。它的 1.107.0 恶意包在 2026-10-21 晚上挂在 PyPI 上，和段子里“CI 昨晚刚拉了新包”的时间吻合。其次是 PHP 双 RCE 和 Linux 内核的 PwnEscape，这两项都直接命中段子里的版本。
事故一览
下面的列表可以按严重度、类别、与段子公司的关系和来源筛选。“用户列出的 8 项”是你在问题里列出的事故，“段子里的组件”是原帖提到的组件。
CVE-2026-99999：PwnEscape 虚拟机逃逸
Linux IPv4 网络栈没有校验 csum_start。不可信虚拟机可借此泄漏宿主机内存，甚至在宿主机上执行代码。这个漏洞存在了约 18 年。
PingCAP 内部系统遭入侵（TiDB Cloud）
攻击者在 2026-09-09 至 10-07（美国时间）用失窃的服务账号凭据进入 PingCAP 内部系统，复制了数据和源代码。PingCAP 日本官网确认，日本国内最多约 5 万件个人信息泄漏。官方称存入 TiDB 的数据未受影响。
PHP 双 RCE：CVE-2026-109618 与 CVE-2026-109619
PHP 在 2026-10-21 修复两个远程代码执行漏洞，影响 5.4 至 8.5.11，包括 PHP-FPM。8.1 及更旧的分支没有上游修复版。
Zeabur 两次被入侵后宣布停运
Zeabur 在 2026-10-17 宣布停止运营，10 月的第二起安全事件是原因之一。服务从 12-01 起分批停止，12-31 全部停止。
eMudhra 8 个中间 CA 私钥可被恢复
印度 CA eMudhra 在 2025-04-30 生成的 8 个中间 CA 密钥有缺陷，私钥可从公开证书恢复。拿到私钥的人可以伪造网站证书和代码签名。这不是根私钥或客户数据泄漏。
LiteLLM 1.107.0 发布流水线被劫持
攻击者用 3 个失窃的 GitHub CLI 令牌改写 LiteLLM 的私有发布流程，从仿冒仓库 Berri-AI/litellm 构建并发布了 1.107.0。恶意代码在任何 Python 启动时运行，窃取凭据，并安装每小时轮询一次的远程代码加载器。
Node.js 10 月安全发布：TLS 主机名绕过与 Brotli 越界写
Node.js 在 2026-10-21 为 22.x、24.x、26.x 三条发布线发布安全更新。高危项包括两项 TLS 证书主机名校验绕过和一项 Brotli 解码器越界写。“三个版本”指的就是这三条发布线。
Railway 加密环境变量被访问并部分解密
Railway 在 2026-10-21 发现环境变量存储系统有异常活动。未授权第三方可能访问了加密变量，并取得其中一部分明文。Railway 暂停了全平台构建，要求所有用户轮换变量。
NGINX 1.23.0 落在多个 2026 年高危漏洞范围内
NGINX 在 2026 年公开了多项数据面漏洞。1.23.0 落在其中两项高危漏洞的受影响范围内，可导致拒绝服务，特定条件下可执行代码。1.23.x 已不在修复分支中。
Go net/http 与 HTTP/2 代理路径漏洞
Go 在 2026-10-08 发布 1.26.9 和 1.27.2，修复 net/http、HTTP/2 和代理路径的多项漏洞。之后的 1.26.10 和 1.27.3 又修复了 crypto/x509 对 eMudhra 坏链的信任。
Linux 内核 c6e50df8：引入 PwnEscape 的那次提交
段子里的 c6e50df8 对应 2008-07-03 的提交 f43798c2…c6e50df8。这次提交为 TUN 加入 virtio_net_hdr 支持，引入了 CVE-2026-99999。真正的修复提交是 6785011f8b16。
Sectigo 交叉签名卷入 eMudhra 事件
Sectigo 曾用 AAA Certificate Services 根为 eMudhra 的 8 个弱中间 CA 交叉签名，这些交叉签名证书已于 2026-10-19 吊销。Sectigo 没有直接误签，也没有被浏览器整体撤信。
Vyper 编译器错误编译与常量篡改缺陷
Vyper 在 2026 年 10 月发布 5 项 GHSA 公告，涉及数组错误编译、优化器把表达式错编成常量、以及多字节字符和行分隔符导致的常量篡改。部分问题还没有正式补丁版本。
Docker Engine 29.x 授权插件绕过与 docker cp 漏洞
Moby / Docker Engine 29.x 在 2026 年修复了授权插件绕过、BuildKit 问题和 3 项归档处理漏洞。CVE-2026-41567 可在宿主机上以 root 执行代码，但需要恶意镜像和压缩归档上传同时成立。
Traefik Ingress NGINX provider mTLS 认证绕过
Traefik v3.7.0 至 v3.7.10 的 Kubernetes Ingress NGINX provider 在 TLS 选项冲突时会静默放弃客户端证书校验。v3.7.11 修复了这个问题。
ASP.NET Core Kestrel 请求走私与 Microsoft QUIC RCE
微软在 2026-10-13 发布 .NET 月度安全更新。Kestrel 的 HTTP/1 请求走私（CVE-2026-88092）可让隐藏请求绕过边缘访问控制；HTTP/2 尾部字段的换行处理（CVE-2026-70188）也有缺陷。另有 Windows 上 Microsoft QUIC 的堆溢出 RCE。
根证书库：Go x509、webpki-roots、certifi 的 eMudhra 修复
eMudhra 事件不是 crypto/x509 的路径构建漏洞，而是 CA 错误生成密钥后的信任撤销缺口。Go、webpki-roots 和 certifi 都已发布修复，没有更新的独立证书包仍会信任坏链。
GitLab 正则编译器整数溢出 RCE（CVE-2026-110264）
GitLab 在 2026-10-21 发布 7 个版本线的紧急补丁，修复正则编译器整数溢出漏洞。未登录的攻击者在特定条件下可在 GitLab 服务器上执行任意代码。这是 10 天内第二个满分的正则编译器 RCE，报告者都是 joaxcar。
Chrome 156 稳定版：353 项安全修复，含 6 个 Critical
Google 在 2026-10-20 发布 Chrome 156 稳定版，修复 353 个安全问题，其中 6 个 Critical。截图说“三个 critical”，与官方清单不符。6 个 Critical 中有 4 个由 Xinyang Ge 报告，其中 1 个注明借助 Claude 发现。
段子说的，和查到的
段子说“CI 昨晚刚从 PyPI 拉了新包”
实际段子发于北京时间 10-22 00:42。LiteLLM 1.107.0 恶意包在北京时间 10-21 19:39 至 21:23 挂在 PyPI 上，时间正好对上。
段子说“CVE 99999”
实际这是真实编号 CVE-2026-99999，不是占位符。它是 Linux IPv4 校验和漏洞 PwnEscape，CVSS 9.3。
段子说“Linux 内核 c6e50df8 之前”
实际c6e50df8 是 2008 年引入漏洞的提交 f43798c 的末尾 8 位。字面上早于它的内核反而不含这个漏洞。修复提交是 6785011f8b16。
段子说“PHP-FPM 7.3，刚从 5.6 升级上来”
实际5.6 和 7.3 都在 PHP 双 RCE 的受影响范围内，而且都没有上游修复。几周的升级没有改变风险。
段子说“大价钱采购来的 TiDB NewDB”
实际PingCAP 没有叫 NewDB 的产品。真实事故是 PingCAP 内部系统被入侵，影响 TiDB Cloud 的账户和业务资料。日本官网确认，日本国内最多约 5 万件个人信息泄漏。
段子说“Node TLS 三个版本都有高风险”
实际“三个版本”指 22.x、24.x、26.x 三条发布线。高危项是两项 TLS 主机名绕过和一项 Brotli 越界写。
段子说“无保险低价 Sectigo DV 证书”
实际Sectigo 没有误签 DV 证书。它卷入事故，是因为给 eMudhra 的弱中间 CA 做过交叉签名。DV 证书也有面向依赖方的 warranty。
段子说“Traefik Ingress 开着 mTLS fail-open”
实际Traefik v3.7.0 至 v3.7.10 确实会在 TLS 选项冲突时静默放弃客户端证书校验，v3.7.11 修复。
段子说“emSign 代码签名”
实际eMudhra 的 8 个弱中间 CA 里有 2 个是代码签名 CA。拿到私钥的人可以伪造签名。
同一事件的多个条目
两组条目从不同角度调查了同一个事件。阅读时可以合并看，处置时也可以合并执行。
| 事件 | 条目 | 说明 |
|---|---|---|
| PwnEscape（CVE-2026-99999） | INC-01 CVE 99999、INC-11 Linux c6e50df8 | 前者从 CVE 编号查起，后者从段子里的内核提交查起 |
| eMudhra 中间 CA 私钥 | INC-05 印度 CA、INC-12 Sectigo、INC-17 根证书库 | 分别从 CA 本身、Sectigo 交叉签名、三个根证书库的修复查起 |
字段说明
| 字段 | 含义 |
|---|---|
| 严重度 | 严重：CVSS 9.0 以上，或已确认恶意代码。高危：CVSS 7.0 至 8.9，或确认被入侵。中危：评级为 Moderate 或影响有限 |
| 对段子 | 直接命中：段子里的版本在受影响范围内。看配置：版本在范围内，能否利用取决于配置。间接相关：段子的归因不准确。段子外：用户补充，段子里的公司没用到 |
| 利用状态 | 按证据强度排列：恶意版本已发布、确认被入侵、研究员已演示利用、有公开 PoC、未见利用 |
| 处置 | P0 立即，P1 今天，P2 本周，P3 排期。排序见处置顺序 |
方法与局限
INC-01 至 INC-17 由 17 个并行调研任务分别调查，每个任务都优先使用厂商公告、CVE 记录、发行版安全跟踪页和项目仓库等一手来源。媒体报道只用来补充时间线和数字，并在正文中标明来源。
INC-18 GitLab 和 INC-19 Chrome 由主任务补查，依据是用户提供的 Telegram 频道截图。两条都以厂商公告为准。
LiteLLM 条目由主任务补查。原调研任务只写了 2026 年 3 月的第一次投毒，主任务确认 10 月 21 日还有第二次投毒，并以第二次为主重写了报告。
INC-01 至 INC-17 的调研截止时间是 2026-10-22 14:32 UTC+8。TiDB 在 16:30 补入新进展，GitLab 和 Chrome 的截止时间是 17:00 UTC+8。部分事故仍在发展，例如 Railway 的构建恢复、Chrome 计划在 10-27 移除 emSign 根证书。凡是来源没有给出的数字，报告都写“未公布”或“未验证”，没有推算。段子的发帖时间由推文 ID 推算，不是 X 页面上显示的时间。
调研截止 2026-10-22 UTC+8 · 未验证的内容已在正文中标注 · 数字以原始来源为准