2026 年 10 月 21 日，PHP 發布 8.5.12、8.4.27、8.3.36 與 8.2.35，修復兩個可讓未認證攻擊者遠端執行程式碼的嚴重漏洞，官方要求執行 PHP 的伺服器立即升級。據 Wiz Research 披露，漏洞位於 PHP 核心引擎、與上層應用無關，從 5.4 起近十年每個版本都至少受其一影… 看完整事件
PHP 8.x 全系發布安全更新，修復兩個遠端程式碼執行漏洞
PHP 8.x 全系發布安全更新，修復兩個可遠端執行程式碼的漏洞，執行 PHP 的站點需要儘快升級。由於協調披露流程出現洩露，兩個 CVE 編號提前在論壇和社交媒體流傳，附帶一個錯誤的 CVSS 10.0 評分（實際為 9.2）；一家報告漏洞的安全公司誤發了 PoC 演示影片，影片外流後加速了利用程式碼的擴散。PHP 官方將原定 10 月 22 日的發布提前到 10 月 21 日 14:00 UTC，漏洞由 Wiz Research 於 8 月發現並報告。
除了漏洞本身的嚴重程度，文中還完整還原了協調披露洩露經過、PoC 加速擴散和官方被迫提前發版的時間線，對執行 PHP 服務的開發與運維人員來說，是能立即採取行動的訊號。
原標題：Today's PHP Security Release, and How We're Strengthening PHP Security
閱讀原文
| 評分 | 85 / 55（平均 70，門檻 65） |
|---|---|
| 狀態 | 精選 |
相關報導
Plex 漏洞正被在野利用以投放挖礦程式
Plex 漏洞正被在野利用，攻擊者藉此投放加密貨幣挖礦程式。原文標題使用複數形式的 Plex vulnerabilities，表明涉及不止一個漏洞；文章由 Bored Hacker Blog 發布，在 Hacker News 獲得 125 分、53 條評論。當前可見資訊只有標題與連結，未給出受影響版本、攻擊入口、修復狀態或緩解措施，也未說明攻擊開始時間與影響範圍。
AI 程式碼審查發現大量缺陷，PostgreSQL 19 延期並回退約 10 項功能
PostgreSQL 19 從原定的 9 月底至 10 月初推遲到約 11 月 19 日發布，並回退了 8 至 10 項重要功能，含 SQL/PGQ 屬性圖查詢，這些功能預計順延至 PostgreSQL 20。核心提交者 Peter Eisentraut 稱，部分功能存在難以在 beta 期快速修復的架構缺陷，而 LLM 輔助程式碼審查還提前暴露出大量邊緣情況問題：即便平均每個只需三行修復，處理數十份缺陷報告的固定開銷仍讓時間不夠。
@Bot: Read the full story:
xAI 於 2026 年 10 月 20 日在官網新聞頁發布了一篇題為 incident-sweep 的公告。該帖僅給出全文連結 x.ai/news/incident-sweep，未在正文中說明事件性質、影響範圍或處理進展。具體內容需要開啟原文檢視。
XBOW 六天建置 Chrome 全鏈利用，獲首個 25 萬美元獎勵
XBOW 用 AI agent 在六天內做出完整的 Chrome 全鏈漏洞利用，拿下 Google 首個 25 萬美元 Chrome full-chain 獎勵。鏈條串起三個漏洞：V8 Maglev 去最佳化時複用可變 HeapNumber、動畫 WebP 解碼器快取幾何與影像位元組不一致、Crashpad 把凍結渲染程序的讀取失敗當作穩定觀測，依次實現 V8 指標壓縮籠內讀寫、籠外一次原生寫和崩潰處理器內的程式碼執行。
v0.40.2-rc0: server: hide duplicate and downgrade guards from list (#18874)
Ollama v0.40.2-rc0 讓伺服器端不再在 list 輸出中顯示舊版 GGUF 的重複副本與降級保護條目（#18874）。當載入需要 llama.cpp 補丁集的舊 GGUF 時，Ollama 會在磁碟上做惰性轉換以相容 llama.cpp；為支援降級，它會同時保留新舊 GGUF 並建立 shadow v1 manifest tag，防止降級後的伺服器刪除新 blob。這些條目此前出現在列表裡會令使用者與 API 呼叫方困惑，舊副本將在未來版本中移除以回收磁碟空間。