OKHK 👀
Forwarded from HAT's Public Channel |
OKHK 👀
- 🔴 今日漏洞总结。
php [1]：RCE。请更新至 8.5.12/8.4.27/8.3.36/8.2.35。
Node.js [2]：RCE。请更新至 26.12.1/24.22.1/22.23.4。
eMudhra 证书 [3]：或可导致 MitM。请注意停用受影响证书、检查浏览器更新及更新 ca-certificates 等相关组件。测试方法和修复版本参见 [3]。
TiDB 云被骇 [4]：有用户元信息被泄露；但目前没有数据库数据泄露的证据。
1. php.net/~
2. nodejs.org/~
3. https://emudhra.we-have-a-problem.com/
4. pingcap.com/~
#wtf #today #PHP #Nodejs #PKI #PingCAPwww.php.net
PHP: News Archive - 2026PHP is a popular general-purpose scripting language that powers everything from your blog to the most popular websites in the world. - 🔴 PHP 发布紧急修复版本 8.5.12/8.4.27/8.3.36/8.2.35。建议受影响网站主立即更新。
- 文章中也提供了无法升级时的 workaround，但它们不能完全修补漏洞。
- Cloudflare 也配置了一些 WAF，但它们也不能完全修补漏洞。 [2]
- PHP 8.1 及更低版本不会被官方修复。
1. https://www.php.net/archive/2026.php#2026-10-21-5
2. developers.cloudflare.com/~
thread: /4940
#PHPwww.php.net
PHP: News Archive - 2026PHP is a popular general-purpose scripting language that powers everything from your blog to the most popular websites in the world. 
#Cloudflare 已部署针对公开的 php 漏洞的 WAF 规则，无需订阅默认启用。
https://fxtwitter.com/dok2001/status/2112811965735202970🧵 Thread • FxTwitterDane Knecht 🦭 (@dok2001)PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free.
We are seeing early attacks emerging and are updating mitigations…- 👍1
- 星巴克中国：10月22日起将在全国开始施行消费入座。
- 🔴 PHP 严重漏洞被泄露和复现；欧盟机关建议 PHP 服务在修复漏洞前暂时下线。
- PHP 官网称修复会在今日 22:00 (UTC+8) 发布。
- 有说法称 mitigation 是在 php.ini 设置 session.upload_progress.enabled = Off 。
1. https://php.net/archive/2026.php#2026-10-20-1
2. cert.europa.eu/~
3. HackerNews:50167754
CVE: CVE-2026-109618, CVE-2026-109619
linksrc: https://t.me/usr_bin_cat/4464
#phpwww.php.net
PHP: News Archive - 2026PHP is a popular general-purpose scripting language that powers everything from your blog to the most popular websites in the world.
删库 404 了，下面是备份镜像
https://github.com/mmparko/dsh-purgeGitHubGitHub - mmparko/dsh-purge: DeepSeek Harness 破甲 (mirror of YuJunZhiXue/dsh-purge) — 上游即将删库，此为本仓库全量镜像：含全部分支/73 个 tag/完整提交历史。原作者署名与二开要求见…DeepSeek Harness 破甲 (mirror of YuJunZhiXue/dsh-purge) — 上游即将删库，此为本仓库全量镜像：含全部分支/73 个 tag/完整提交历史。原作者署名与二开要求见 README 署名章节。 - mmparko/dsh-purge- 🔒 CA 机构 eMudhra 曝重大安全丑闻：CA 私钥竟然是“4”
证书颁发机构 eMudhra (emSign) 的 8 个中间 CA 证书近日被主流浏览器紧急吊销（CVE-2026-111943）。
原因令人瞠目
并非遭黑客攻击，而是其 EC-384 私钥全部使用了 0~255 之间的极简数字（仅 8 bit），其中一个私钥甚至直接是数字4。
影响范围
任何人都能秒猜出私钥并为任意域名（如演示中的q3k.google.com）签发合法 TLS 证书。
当前状态
Firefox、Chrome、Safari 已全面拦截并移除其根证书信任，普通用户无需恐慌。
运维提醒
Linux 服务器（如 Debian/Ubuntu 的ca-certificates）、Go 及python-certifi用户需尽快更新证书包，或通过sudo dpkg-reconfigure ca-certificates手动取消勾选所有emSign相关的根证书。
🌐 检测你的环境是否受影响：https://emudhra.we-have-a-problem.com/
📰 来源：https://heise.de/-11494412- ❤️1
- TiDB (国内云原生 NewSQL DB 领头羊) 发生大规模用户数据泄露事件，总泄露数据量达 10TiB+
泄露数据清单：
攻击者留下的正文：
src: https://fulcrumsec.vg/pingcap/- 👍1
- 🤡1
- 一觉醒来发生了什么 10 月 21 日
#Daily
2026 年 10 月 20 日
🌍 资讯快读
1、国家数据集团成立
https://www.jiemian.com/article/15213892.html
2、七部门联合印发《广告产业发展“十五五”规划》
https://www.jiemian.com/article/15212005.html
3、苹果宣布 10 月 28 日举行发布会，将推出触控屏 MacBook Pro
https://www.jiemian.com/article/15209292.html
4、身披旭日旗中国留学生已被遣返，校方称将尽快公布开除决定
https://www.thepaper.cn/newsDetail_forward_34286371
5、多省份用户访问请求异常跳转至博彩网站，国家互联网应急中心公布调查情况
https://www.thepaper.cn/newsDetail_forward_34288459
👬 即刻镇小报
1、发现一种很新的 P 图方式！地理杂志高级感
https://m.okjike.com/originalPosts/6ad46ed0756bbb6658b81728
2、最近开始重看《西部世界》，才理解这部剧究竟在讨论什么
https://m.okjike.com/originalPosts/6ad4632c756bbb6658b6f29a
3、35 万个 AI 假扮的大爷大妈把骗子聊到崩溃
https://m.okjike.com/originalPosts/6ad460f6756bbb6658b6c1a6
4、为什么人会在 28 到 33 岁这 5 年陷入极度挣扎痛苦焦虑拧巴中
https://m.okjike.com/originalPosts/6ad4588f5fdee85d5e51c740
今日即刻镇小报内容来自 @VaeenAiDesign @我的兄弟叫铁马 @莫唯书 Mark @七天可爱多 ，感谢以上即友的创作与分享。界面新闻国家数据集团成立10月20日，国家数据集团有限公司在河北雄安新区成立。记者从集团获悉，该集团是一家以数据资源开发利用为主责主业的中央企业，总部位于河北雄安新区。- ❤️1
DeepSeek V4.1 Flash 大规模推理部署实践 | Source每卡每小时 38 美金（按谷价）也是侧面印证了之前的 10 月回本的说法
TelegraphDeepSeek V4.1 Flash 大规模推理部署实践大模型的能力边界由模型本身划定，而如何让这些能力以合理的成本服务海量用户，则是推理框架要解决的核心问题。 面对大规模的 AI 调用需求，推理框架已经从单机服务程序演变为跨集群协同的复杂系统。算子、通信、调度与缓存管理相互影响，共同决定端到端性能。对于大规模在线服务，性能优化需要落实到具体的部署条件中：使用什么芯片、如何组织硬件、如何分配计算，以及如何复用已有的计算结果。 DeepSeek V4.1 Flash 推理系统从设计之初，就确立了三个目标： 兼容多种厂商的计算芯片：支持在不同硬件平台上部署，并充…- DeepSeek 开源推理框架：走向真正普惠的未来 | Source
DeepInfer: https://github.com/deepseek-ai/DeepInfer
deepseek-recipe: https://github.com/deepseek-ai/deepseek-recipeTelegraphDeepSeek 开源推理框架：走向真正普惠的未来大模型的能力边界由模型本身划定，但如何以合理成本提供超大规模的模型服务，还取决于一个长期未被公众了解的中间层：推理框架。 训练使模型学有所成，推理则让模型为人所用。面对如今海量的用户调用，推理框架负责统筹调度庞大的算力集群，其效率直接决定了 AI 服务的算力成本与电力消耗。 DeepSeek 长期致力于将推理性能推向极致。在此前开源一系列大模型、TileLang 编译工具及推理算子库的基础上，我们决定进一步将内部推理框架 DeepInfer 全面开源。 「为善与众行之，为巧与众能之。」我们希望通过分享内…
