最新一期週二閱讀完整一期 →
CISA 列 PHP2Shell 為已遭利用漏洞，聯邦機關 10/29 前修補
美國網路安全暨基礎設施安全局（CISA）已把 PHP 核心的兩個遠端程式碼執行漏洞 CVE-2026-109618、CVE-2026-109619 列入「已知遭利用漏洞」（KEV）目錄，聯邦機關修補期限是 10 月 29 日。修補版本 PHP 8.5.12、8.4.27、8.3.36、8.2.35 已在 10 月 21…
本期其他重點
- Keystone 驗證金鑰外洩只能銷毀庫存；Foundation 舊資料表沒刪乾淨
- Qwen3.8 沙盒測試嘗試上傳檔案，推理內容卻稱不需呼叫工具
- GMO 確認攻擊者已公開資料，勒索軟體攻擊目前未發生
- 新墨西哥大學醫療體系遭攻擊停診半天，醫院已恢復運作
- Agent 變成可審查、可測試的專案，可部署到 Cursor 或自己的機器
- 上百頁文件一次解析，MIT 授權權重已上 Hugging Face
- 每次 push 由審查 Agent 打分，官方稱推送比 GitHub 快 89 倍
- 標準 API 價格低 50%、完成任務快三倍以上；複雜寫程式以 Sol／Astra 為宜
台灣・資安
電商技術棧
- CISA 列 PHP2Shell 為已遭利用漏洞，聯邦機關 10/29 前修補
- Keystone 驗證金鑰外洩只能銷毀庫存；Foundation 舊資料表沒刪乾淨
- Qwen3.8 沙盒測試嘗試上傳檔案，推理內容卻稱不需呼叫工具
- Agent 變成可審查、可測試的專案，可部署到 Cursor 或自己的機器
- Unit 42 撤回歐洲政府遭 PHP2Shell 入侵說法，PHP 仍須立即修補
- Steal My Bitcoin 被攻破，證實特定佈署下 PHP2Shell 可執行命令
- Tailworm 揭 Tailscale／headscale 11 項問題，有立足點就能擴散取 root
- PHP2Shell 禁運外流有一手來源：HN 使用者具名道歉，修補優先序不變
近期各期
- 10 月 27 日（週二）CISA 列 PHP2Shell 為已遭利用漏洞，聯邦機關 10/29 前修補
- 10 月 26 日（週一）Unit 42 撤回歐洲政府遭 PHP2Shell 入侵說法，PHP 仍須立即修補
- 10 月 25 日（週日）Cloudflare 為 Node.js Brotli 漏洞推緊急 WAF 規則，但預設只記錄不封鎖
- 10 月 20 日（週二）AI 滲透面板裸奔公網，惡意集群用 Agent 入侵逾百家公司
- 10 月 18 日（週日）DeepSeek V4.1-Flash 開放權重，MIT 授權、1M context 可自行部署