CISA 把两个洞拉进「已在被利用」名单：一个在 Nextcloud 插件里，一个在 VCO 后台
CISA 最近更新了它的 KEV 目录——"已知被利用漏洞"。这个名单的意思很直白：不是"可能有风险"，是已经在被人打了。这次新添的两个都是严重级。一、Nextcloud 的 Colla...
标签 · 服务器安全
这个标签下共有 38 篇文章。
一张构造的图片就能往堆上多写：Pillow 新版一次修掉三十来个洞
Pillow 发 13.0.0 了。这不是例行更新——翻它的发布说明和安全公告，这一次一口气修了三十来个 CVE，光 9.2 分的 CRITICAL 就有四个，全在 13.0.0 里解决...
PHP2Shell 补完两天，PHP 又冒出一个没补丁的 RCE：官方说先把那个开关关掉
PHP2Shell 的补丁发下去才两天，PHP 官方又追了一条公告。不过这次语气完全不一样。上周是"所有用 PHP 跑 web 的，立刻升"。这次是信息性公告（informational...
Node 自带的解压库出了个 RCE：一段特制 Brotli，就能让官方镜像执行代码
Node.js 这周也发安全版本了。里面有个 high 级的问题，编号 CVE-2026-111497：Node 自带的 Brotli 解压库，喂一段特制的压缩数据进去，能写出缓冲区，一...
GitLab 自己家的洞，满分 10.0：.gitlab-ci.yml 里一段正则就能拿服务器
GitLab 出了一个满分洞。CVSS 10.0，未授权远程代码执行，编号 CVE-2026-97229。攻击面不在别处，就在几乎每个项目都会有的 .gitlab-ci.yml 里——一...
PHP 引擎自己有个洞：一个 POST 请求就能拿 shell，评分 9.2
10 月 21 日，PHP 官方发了一组紧急安全版本。名字叫 PHP2Shell，两个编号：CVE-2026-109618 和 CVE-2026-109619，PHP 安全团队给的评分都...
木马不打电话回家，它去 GitHub 读一首诗：3400 台 AI 服务器就这么被拿下
PoeLLM 这个恶意程序，最妙的地方在于：它的"指挥部"藏在一首诗里。Lumen 旗下 Black Lotus Labs 10 月 7 日的报告写得很清楚。这东西启动后不查硬编码 IP...
Linux 用户与权限管理实战——从入门到服务器安全加固
在 Linux 服务器运维中，用户和权限管理是安全的第一道防线。很多服务器被入侵，根本原因就是权限配置不当——比如用 root 跑 Web 服务、目录权限 777 随便给。今天这篇文章把...