WordPress 这半个月两个洞：核心一个、插件一个，修法还不一样
如果手上跑着 WordPress，这两件事最好分开看一眼——它们是两个互不相干的东西，只升其中一个，另一个照样还在。先说核心那个。CVE-2026-87902，CVSS 3.1 打到 8...
标签 · 服务器安全
这个标签下共有 38 篇文章。
七月的补丁，十月底才进在野名单：Magento 商城那个上传洞，今天正好到期
七月的补丁，十月底才进在野名单：Magento 商城那个上传洞，今天正好到期CISA 的 KEV 名单里，CVE-2026-48356 这条是 10 月 27 日加进去的，整改期限标着 ...
一张本来就公开的证书，为什么能让别人冒充你接管 LXD 集群
Canonical 在 10 月 29 日挂出一条安全公告，标题里直接写了 critical，评分 10.0。洞的编号是 CVE-2026-112816，出在 LXD 和 MicroCl...
补丁把加密拦截器修成了摆设：解密失败的消息，照样进了 Tomcat 集群
CISA 在 8 月 4 日把 CVE-2026-34486 加进了 KEV 名单，整改期限只给到 8 月 7 日——三天。这类公告的格式一般是"某组件某洞已在野利用"，但这一个的 Ap...
浏览器早把那张证书拉黑了，可你的容器、构建机和 Go 程序还在信它
浏览器那边，10 月中旬就把这张证书拉黑了。可你真正该担心的不是浏览器——是那些不查吊销名单、自带信任库的客户端。事情本身不复杂：一家叫 eMudhra 的 CA，2025 年 4 月做...
密码框塞 300 个字符就进去了：OpenSSH 在 musl 上漏了一环，Alpine 全分支都中
11 月 5 日 OpenSSH 放出 10.6p2，同一天 Alpine 发了一条安全公告，标题很直白：openssh-server 密码认证绕过。第二天 NVD 给了编号 CVE-2...
同一个包、同一个手法：LiteLLM 又被投毒，这次把网关里的模型 key 打包送走
2026 年第二次了。同一个包、同一个手法、同一个目标——这是 LiteLLM 这年头一回栽、年末又栽了一遍的意思。先说这次的手法，跟上次几乎一模一样：往 site-packages 根...
你仓库里多了一个 ci-sync 分支的时候，secret 早就被打印进日志了
上一秒还在想「谁没事盯我仓库」，下一秒 git ls-remote 一拉，多出来一个 ci-sync-a3f9k2 分支。它不是谁在改代码，是有人拿了一个偷来的 GitHub token...
上个月刚修过同类的满分洞，这个月又来一个：GitLab 这次埋了 12 年
上个月 10/12 那波 GitLab 满分洞，不少人刚把补丁打上。这个月 10/21，又来一个。CVE-2026-110264，同样是 CVSS 10.0 的未认证远程代码执行，同样出...
不用登录就能导走整个库：Discuz! X5.0 栽在一把被复用的加密密钥上
Discuz! X5.0 挂了条公告，CVE-2026-49952，类型一栏写的是认证绕过。影响范围是 20260320 到 20260501 这两个日期之间的 X5.0 版本，CVSS...