最新一期週一閱讀完整一期 →
Unit 42 撤回歐洲政府遭 PHP2Shell 入侵說法，PHP 仍須立即修補
先講結論。 不是說 PHP2Shell 沒事：Unit 42 只是改口，無法確認歐洲政府機關遭入侵的初始入口是這兩個 CVE。PHP 8.5／8.4／8.3／8.2 仍要盡快升到修補版。
本期其他重點
- Steal My Bitcoin 被攻破，證實特定佈署下 PHP2Shell 可執行命令
- Tailworm 揭 Tailscale／headscale 11 項問題，有立足點就能擴散取 root
- PHP2Shell 禁運外流有一手來源：HN 使用者具名道歉，修補優先序不變
- Nanbeige4.3-33B 開源可商用，官方稱多項 agent 基準勝同級對照
- gpu-unlock 解除 GeForce 部分 Tensor 限速，利於本地 LLM prefill
- 2026-10-25 00
- 2026-10-24 — Calif iPhone Duo／Ruby Onigmo 等
台灣・資安
電商技術棧
- Unit 42 撤回歐洲政府遭 PHP2Shell 入侵說法，PHP 仍須立即修補
- Steal My Bitcoin 被攻破，證實特定佈署下 PHP2Shell 可執行命令
- Tailworm 揭 Tailscale／headscale 11 項問題，有立足點就能擴散取 root
- PHP2Shell 禁運外流有一手來源：HN 使用者具名道歉，修補優先序不變
- Cloudflare 為 Node.js Brotli 漏洞推緊急 WAF 規則，但預設只記錄不封鎖
- Node.js 22／24／26 都要升級修補，容器映像也得確實重建
- 會解壓外部 Brotli 請求本文的服務，修補前可先拒收 br 編碼
- PHP2Shell 攻擊計畫曝光，台灣製造、物流與航空列第二優先目標
近期各期
- 10 月 26 日（週一）Unit 42 撤回歐洲政府遭 PHP2Shell 入侵說法，PHP 仍須立即修補
- 10 月 25 日（週日）Cloudflare 為 Node.js Brotli 漏洞推緊急 WAF 規則，但預設只記錄不封鎖
- 10 月 20 日（週二）AI 滲透面板裸奔公網，惡意集群用 Agent 入侵逾百家公司
- 10 月 18 日（週日）DeepSeek V4.1-Flash 開放權重，MIT 授權、1M context 可自行部署