分類博客
在包含 Brotli 資料壓縮解碼器參考實作的資料庫中發現了一個漏洞（CVE-2026-111497，代號 Broccoli2Shell 和 HTTP2Shell）。此漏洞會導致在處理特製的壓縮資料時發生緩衝區溢位。據 Google 稱，攻擊者可以利用此漏洞攻擊使用官方 Brotli 解碼器實現的項目，從而實現遠端程式碼執行。受影響的項目包括 Node.js、Bun、Envoy、Istio 等。 […]
PHP 專案開發者宣布發現了一個新的漏洞 (CVE-2026-115560)，該漏洞可能在某些罕見的非預設設定和已執行的 PHP 程式碼組合下，被用於在伺服器上執行遠端程式碼。漏洞詳情將在下一版 PHP 修補程式發布後公佈。作為臨時解決方案，建議設定 php.ini 參數 […]
OpenSSL 4.1.0 正式發布，這是一個實現了 TLS 協定和各種加密演算法的函式庫。 OpenSSL 4.1 屬於常規支援週期，將持續更新 13 個月。 OpenSSL 3.5 LTS 分支的支援將持續到 2030 年 4 月。此專案程式碼採用 Apache 2.0 授權。主要特性：新增了 Elbrus2000 (e2k) 架構的初步支援。 […]
一起攻擊事件的詳情已公佈，攻擊者成功控制了 333 個 Tor 網路出口節點（Tor 網路總共約有 3000 個出口節點），並利用這些節點攔截未加密流量和重定向 SSH 連線。攻擊始於 10 月 2 日（週五晚間），但於 10 月 4 日被發現並開始封鎖。 10 月 5 日，所有被入侵的伺服器都已關閉 […]
Anthropic公司展示了使用人工智慧模型對現有專案的可靠性和安全性進行形式化驗證的實驗結果。實驗中，人工智慧模型為OSS Fuzz基礎設施中測試的123個開源庫產生了不存在記憶體錯誤的數學證明。驗證是在RISC-V架構的編譯彙編程式碼層級進行的。產生的證明總量為[…]
VulnCheck 的研究人員宣布了首個針對 PHP2Shell 漏洞 (CVE-2026-109618b) 的利用程序，該漏洞可繞過典型 PHP 配置的 x86-64 系統上的位址空間隨機化機制 (ASLR)。攻擊者利用該漏洞攻擊運行預設配置的 PHP 8.4.10 至 8.4.26 版本的系統。先前，由於難以確定 mod_php 模組中的記憶體佈局，因此無法實現可在真實系統上執行程式碼的漏洞利用程式。
KeePassXC 2.8.0 是一款開源、跨平台的密碼管理器，現已發布。它提供用於安全儲存常規密碼、一次性密碼 (TOTP)、SSH 金鑰和其他敏感資訊的工具。資料可以儲存在本地加密儲存和外部雲端儲存中。該專案使用 Qt 函式庫，以 C++ 編寫，並以 GPLv2 授權發布。
F-Stack 2.0 項目已發布。它開發了一個適用於獨立用戶空間的 FreeBSD 網路協定堆疊庫。該項目由中國最大的電信公司騰訊創建，並應用於騰訊的產品和服務。程式碼使用 C 語言編寫，並以 BSD 許可證發布。它支持 Linux 以及 FreeBSD。該計畫也支援翻譯 […]
每週下載量高達 2,300 萬次的 LiteLLM 庫遭到惡意攻擊，其惡意版本被發佈到 PyPI 倉庫，同時惡意程式碼也被植入到該專案的官方 Docker 映像中。這並非 LiteLLM 首次遭遇此類事件——今年 3 月，攻擊者在截獲維護者的憑證後發布了惡意版本。此次，攻擊者發布了 LiteLLM 1.107.0 版本，[…]
eMudhra就一起事件發表聲明，該事件中發現來自某憑證授權單位（CA）的八個根憑證的私鑰僅使用1位元組熵而非48位元組即可輕易被暴力破解。 eMudhra聲稱這些憑證是在2025年4月的一次公開儀式上使用符合FIPS 140-2標準的硬體安全模組（HSM）產生的[…]
PHP 開發人員發布了一份報告，詳細描述了在修復昨天修復的關鍵 PHP 漏洞過程中遇到的問題。記憶體耗盡漏洞的資訊早在 2024 年的一次外部審計中就被發現，但當時僅被視為理論上的攻擊面。由於 PHP 開發人員難以就修復方法達成共識，因此該補丁的發布被推遲了 […]
Dux Shell 2.0 使用者環境已正式發布。它支援在 niri、Hyprland、Sway、MangoWC、labwc、Scroll、Aqueous 和 Miracle WM 等複合視窗伺服器上運行。這是 DankMaterialShell (DMS) 專案更名為 Dux Shell 後的首個版本。新名稱更簡潔，發音與企鵝 Tux 相似，且不包含任何其他品牌名稱。 Dux Shell 開發了一系列相容的 […]