中国科学院大学动漫社Vocaloid群打call教学高清重置版录像。

10 月 21 日，PHP 8.5.12 等版本紧急修复两个 CVSS 9.2 的未认证 RCE。本文从当晚半个互联网的停服现场说起，拆解 CVE-2026-109618 / 109619 的三条利用路径、可复用攻击原语，以及 9bie 在官方默认配置上跑通的纯 HTTP 武器化链，兼谈修复与检测。

Tips：我的电脑配置是MacBook M5 Max 128G

暂无 CVE 编号，未经厂商协调披露。研究者认为「基础设施今天就是脆弱的」，故直接公开。测得版本：Tailscale v1.104.2 ＋ headscale v0.29.5，2026-10-22～24 实测复现。

三个最值得注意的问题

① SSH 权限可直接换 root
tailscaled 以 root 运行，ssh -L／-R 的路径检查和文件操作全在 root 身份下完成。
已验证产出：uid=0、读到 /etc/shadow、劫持 docker.sock、抓到 docker 明文仓库凭据。
不需要 sudo，不需要进 docker 组，不需要密码。

② 单台设备失守可扩散至全网
Tailscale SSH 不做用户级认证——它认的是设备，不是人。
实测扩散：每跳不到 1 秒，自动铺满所有策略允许的设备，零密码、零密钥、零交互。
唯一能有效限制的是：逐对授权规则。

③ 设备密钥外泄后身份可被冒用
竞态劫持控制面 socket → 截获 authkey → 在自己机器上用掉 → 顶着受害者身份加入 tailnet，在设备列表里就是一台正常服务器。

另外三类问题
- app connectors（conn25，实验特性）：真实目标由客户端自选且不校验，ACL 不参与判断 → 可达云 metadata 窃取凭据，K8s 环境可达全部服务。
- headscale 控制面：未认证即可打爆内存、卡死注册流程，导致全组织无法新增设备。
- tailscale serve：一行配置即会把管理 API 暴露给远端。

目标枚举成本极低
每个节点无条件获取全网 peer 列表；探测连通性为三态且静默，数分钟即可绘制出策略边界，且不会触发任何告警。

建议排查顺序
1. 逐对 SSH 授权，移除身份级／标签级 accept 规则。
2. 关闭转发：SaaS 将 forwarding 字段设为 false；headscale 用户应按 root 权限收口 SSH 授权。
3. 服务器群启用节点密钥过期 ＋ TPM／Secure Enclave 绑定。
4. 遥测部署在被入侵主机无法触达的位置。
5. 收敛 connector 权限，配置目标白名单。
6. 事件响应以控制面删除设备为准——重装系统无法吊销已外传的密钥。

报告的核心价值：它指出 Tailscale 的授权模型建立在「设备可信」的假设上，而执行层的特权边界明显宽于该假设。SSH 不做用户级认证、代理不校验真实目的地、socket 路径校验与实际使用之间存在竞态——三处叠加，形成了从一台普通设备直通 fleet-wide root 的路径。

Tailscale 和 headscale 的安全审计报告 Tailworm 已公开，由 Cyberdione Labs 的 Erica Windisch 在 2026 年 10 月 22 到 24 日实测，具体针对的是 Tailscale v1.104.2 和 headscale v0.29.5。报告还没有 CVE 编号，也没走厂商协调披露，作者认为基础设施今天就是脆弱的，选择直接公开。

最严重的一类在 Tailscale SSH。tailscaled 以 root 运行，而 ssh -L 和 -R 转发的路径检查与文件操作全部在 root 身份下执行，一个普通的已授权会话就能通过竞态替换、连接或删除特权 socket。实验室验证了拿到 uid 0、读取 /etc/shadow、劫持 docker.sock、抓取 docker 明文仓库凭据，不需要 sudo，不需要 docker 组，也不需要密码。
而且 Tailscale SSH 不做用户级认证，它认的是设备不是人，一台设备被拿下就等于该设备的全部授权失守。实测扩散每跳不到一秒，不需要密码、密钥或任何交互，唯一挡住它的只有授权规则。攻击者还能劫持控制面 socket 截获入网用的 authkey，在自己的机器上伪装受害者身份加入 tailnet，设备列表里看起来就是一台正常服务器。
另外 headscale v0.29.5 关不掉 SSH 转发，所有被接受的会话无条件获得转发能力，官方修复前每个 headscale SSH 授权都要按 root 权限看待。

还有几类问题。实验特性 app connectors 里连接器把流量转到客户端自选的目标且不校验，ACL 不参与判断，可以摸到云 metadata 偷凭据，K8s 环境能摸全部服务。headscale 控制面未认证即可耗尽内存、卡死注册流程，全组织加不进新设备。tailscale serve 一行配置就能把管理 API 暴露给远端。目标枚举成本也极低：每个节点无条件拿到全网 peer 列表，探测连通性是三态且静默的，几分钟画完策略地图，不触发任何告警。