早盘收盘，国内期货主力合约涨跌互现，烧碱、苹果跌超4%，钯跌近4%，铂、碳酸锂、焦炭、沪银、氧化铝、玻璃跌超2%。
涨幅方面，苯乙烯（EB）涨超2%，甲醇、不锈钢（SS）涨近2%。

A股午评：创业板指跌2.77% 工程机械板块逆势上涨
10月22日讯，A股三大指数今日震荡走弱，截至午间收盘，上证指数跌0.89%，深证成指跌1.78%，创业板指跌2.77%。
盘面上，电机板块走强，华阳智能20%涨停，安乃达、兆威机电等多股涨停；工程机械板块逆势上涨，山河智能、南方路机涨停；影视院线板块下挫，博纳影业跌幅居前；教育板块走低，昂立教育触及跌停。
此外，短剧游戏、CPO、文化传媒等板块下跌，减速器、工业母机等板块小幅上涨。
全市场成交额超9000亿元，超3900只个股下跌。

港股午评：恒指跌2.87%失守两万三 科指跌4.64%
10月22日讯，港股早盘低开低走，恒指失守两万三，科指逼近3800点关口，年内跌逾三成，截至午盘，恒指收跌2.87%，报22971.93点；科指收跌4.64%，报3809.5点。
盘面上，光通信、PCB概念、电子设备和元件板块下跌，科网股重挫；恒指、恒生科技指数成分股近乎全线下挫，仅美的集团(00300.HK)一股微涨。
个股方面，长飞光纤光缆(06869.HK)跌超10%，天数智芯(09903.HK)跌超9%，联想集团(00992.HK)、智谱(02513.HK)跌超8%，药明生物(02269.HK)、华虹宏力(01347.HK)跌超7%，网易-S(09999.HK)、MINIMAX-W(00100.HK)跌超6%，宁德时代(03750.HK)、阿里巴巴(09988.HK)跌近6%；脑动极光-B(06681.HK)涨48.3%，山东墨龙(00568.HK)涨3.8%，五一视界(06651.HK)涨超2%。

韩国KOSPI指数日内大跌3.00%，现报5561.22点。

日经225指数日内跌幅达2.00%。

一、PHP2Shell：网页万能钥匙被复å
1.PHP是一种网站后台的“发动机”语言。
大量网站（尤其内容管理系统、电商、论坛）都用它来生成动态页面、连接数据库。
2. 这次曝出两个不用账号密码就能远程控制服务器的漏洞，影响PHP 5.4到8.5.11的几乎所有版本。
10月21日官方发布了补丁，但8.1及更早的版本官方不再提供修复。
二、GitLab：评分满分10分的“无门禁入侵â
1.GitLab是一个软件研发的“一站式工作台”。
开发团队用它存放代码、审查修改、自动测试和部署上线。
很多公司把它装在自己的服务器上（自建GitLab）。
2. 自建GitLab从7.0版本起全部受影响。
攻击者不需要登录，只需提交一个精心构造的正则表达式，就能在服务器上执行任意代码。
官方已于10月21日发布修复版本。
三、LiteLLM1.107.0：恶意版本导致密钥全ä
1.LiteLLM是AI应用常用的工具包，许多AI产品和智能体背后都用它来管理密钥、分配请求和控制成本。
2. 10月21日，其发布流程被攻破，恶意版本1.107.0在PyPI和Docker上挂了约1小时44分钟。
一旦安装并启动，它会偷走SSH密钥、云服务凭据和AI工具密钥，并留下后门。
四、Node.js：三条版本线出问题，最严重的可远程执行代ç
1.Node.js是一个让JavaScript跑在服务器上的运行环境。
很多网站后端、实时应用（聊天、协作工具）、API服务都靠它运行。
2. Node.js22、24、26三条版本线一共修了10个漏洞。
最严重的是Brotli解码器越界写入(CVE-2026-111497)，可能导致远程执行代码，评级“高危”。
五、eMudhra：证书机构的“锁”被秒开，HTTPS信任根基被动æ
1.eMudhra是一家印度的“数字身份证/证书颁发机构”。
2. 这家机构的八张中间证书相关私钥存在严重安全问题，密钥强度异常薄弱，可能被用于伪造受信任的网站证书。
Chrome、Firefox和Apple已经封禁了这些证书。
六、Railway：托管平台“保险箱”被撬，部分密码已泄æ
1.Railway是一个面向开发者的云部署平台。
2. 托管平台Railway被人访问了加密的环境变量，其中一部分已经被解密。
部署已暂停，官方要求所有用户轮换密钥。
七、Agent2Shell：AI编程助手“先执行，后询问â
1.Agent2Shell是一类针对AI编程助手的攻击方式。
涉及的AI编程工具（如Claude Code、Cursor、Codex、Gemini CLI）是帮开发者自动写代码、改代码、执行终端命令的智能助手。
2. 攻击者在仓库里放一个恶意配置，Claude Code、Cursor、Codex和Gemini就会在调用模型、弹出信任确认之前执行攻击者的代码。
八、Cisco Expressway：不用登录就能以root身份控制设å
1.Cisco Expressway是思科的企业视频会议/统一通信网关。
2. 10月21日，Cisco披露Expressway系列存在一个满分边缘级漏洞。
攻击者无需认证，只要能访问设备，就能以root权限执行任意操作系统命令，且没有临时缓解措施，只能打补丁。
九、CISA新增六项遭利用漏æ
1.美国网络安全和基础设施安全局（CISA）10月20日将6项漏洞加入已知遭利用漏洞目录，涉及Plex Media Server、EG Secure Solutions SiteGuard Server Edition、西门子Software Center等产品。
其中西门子Software Center的DLL侧加载漏洞（CVE-2026-110936）已被确认存在活跃利用。

伊朗革命卫队海军：如果美国继续鼓励船只穿越布有水雷的水域，伊方的反制行动可能会扩大至美国在该地区的基地。

伊朗革命卫队：四艘违规油轮在波斯湾北部进行油品转运时遭到打击。

伊朗称海峡有7艘船只遭袭，警告美国可能面临更大规模的回应
10月22日讯，伊朗革命卫队海军表示，四艘在波斯湾北部从事非法石油转运的船只，在被其部队追踪后同时遭到打击并起火。
革命卫队还称，另有三艘船只在霍尔木兹海峡以西触雷。
伊朗革命卫队警告美军，若继续挑衅，可能会招致针对其地区基地的更大规模回应。

创业板指午后失守2600点，日内跌超3.5%；深证成指跌2.4%，沪指跌1.2%。

WTI原油期货突破99美元/桶，日内涨1.90%。

恒生科技指数午后跌超5%，失守3800点，恒指跌超3%，联想集团(00992.HK)跌11%领跌蓝筹股。

沪深两市成交额突破1万亿元，较上个交易日缩量138亿元。

创业板指跌4%，深证成指跌2.9%，沪指跌1.5%，全市场超4800只个股下跌。

今日重点关注的财经数据与事件：2026年10月22日 周四

① 18:00 英国10月CBI工业订单差值
② 20:30 美国至10月17日当周初请失业金人数
③ 21:00 英国央行行长贝利发表讲话
④ 22:00 欧元区10月消费者信心指数初值
⑤ 22:00 美国9月谘商会领先指标月率
⑥ 22:30 美国至10月16日当周EIA天然气库存

韩国KOSPI指数日内大跌4.00%，现报5503.73点。

现货黄金跌破4080美元/盎司，日内跌1.50%；现货白银失守56美元/盎司，日内跌3.40%。

南向资金净卖额达50亿元。

两只热门创业、科创ETF成交额均破百亿
10月22日讯，午后创业板ETF易方达（159915）、科创50ETF华夏（588000）成交额双双突破100亿元。
多只创业板ETF、科创50ETF随之放量。

据韩联社：韩国政府因PHP漏洞上调网络安全警报级别。