unknownlive◐部分修复 自 2026 年 10 月 20 日起 更新于 2026 年 10 月 22 日 11:19 UTC › HTTP/3 / QPACK 栈（quic-go、Cloudflare quiche、lsquic、Bun、aioquic、h3、Wireshark 等） FoxIO 发布的研究（2026 年 10 月 20 日）显示，QPACK 中缺失或迟来的解码头部限制，使一个微小的 HTTP/3 HEADERS 帧可扩展为巨大的服务器内存占用（在 Bun 上可达约 4000 倍）。测试的十种实现中有七种存在漏洞；quic-go、Cloudflare quiche、lsquic 和 Wireshark 已修补，而 Bun、aioquic/mitmproxy 和 h3 在发布时仍未修补。 CVE-2025-64702 CVE-2026-12523 CVE-2025-13945
每日HackerNews RSS
Hacker News 用户讨论了 pwn.watch，一个实时安全漏洞追踪器。评论者争论 AI 是否会引发更多事件，以及大量网络安全支出因设计糟糕和以合规为导向的团队而收效甚微。一些人担忧 AI 生成的代码、蠕虫和自主访问银行账户的代理；其他人指出，美国报告的数据泄露事件在 2023 年前后大约翻了一番。该网站本身因密集、黑暗、AI 生成的界面和损坏的功能受到批评，尽管其创建者表示正在改进。更广泛的主题包括安全与便利的权衡、银行限制 AI 代理，以及更好的工程或监管能否跟上日益强大的自动化攻击者。
Crystal 1.22.0 发布，包含 33 位贡献者的 251 项变更。亮点：写入 STDOUT/STDERR 时遇 EPIPE 默认立即退出，可选择退出；常量可声明类型；aarch64 Linux 目标成为 Tier 1；移除 Process.fork；新增编译时文本宏；Crystal 标志通过常量暴露；DWARF 解析更快且内存占用更低；HTTP 获得多项改进与修复；所有目标默认使用原生事件循环；OpenSSL 默认启用 Kernel TLS；File.exists? 和 File::Info 权限检查新增 follow_symlinks 选项；新增 Char::Reader.new(Bytes)、Time::Span 转换方法和 GC.syscall；静态 PIE 回溯修复；支持大写实例/类变量；支持 LLVM 23.1/24.0；更新 markd；提供 aarch64 Windows 构建；构建需要 stage-0 编译器 1.14 或更高版本。感谢赞助者与贡献者。
Hacker News 上关于 Crystal 1.22 的讨论凸显了一门小众但受人敬佩的语言：Ruby 风格语法，具备静态类型和基于 LLVM 的原生性能。用户称赞其表现力、面向对象编程、宏、C 互操作、轻量级纤程以及 CLI/服务器用途；一位 Crystal 核心开发者提到用于并行的执行上下文和 aarch64 Linux 的 Tier 1 支持。一些生产用户指出运行时/异常问题，而另一些人则成功用于长期运行的服务和内部工具。批评者质疑其相关性、Ruby 兼容性、生态系统成熟度，以及是否具备独特优势；对比上，Go 在并行/库方面占优，TruffleRuby 在 Ruby 兼容性方面占优，Elixir 在 REPL 方面占优。Windows 支持较新但正在改进。一个更广泛的主题是，LLM 可能降低学习语言的动力，但有人认为理解代码仍然有价值。总体而言，Crystal 被视为精致但小众，若生态系统和运行时稳健性提升则有潜力。
eMudhra Limited宣布，其董事会在涉及受影响证书颁发机构（CA）的事件后，已自愿退出全球SSL/TLS证书业务。公司表示，这些CA在14小时内被吊销，未签发任何终端实体证书，基础设施未被攻破，也没有数据泄露。全球SSL/TLS业务约占收入的1%；合规成本/复杂度上升以及大型提供商的免费服务降低了业务潜力。董事会称，社交媒体放大带来了不成比例的审视。eMudhra将专注于核心企业解决方案及其他信任服务。G1 RSA根证书将在过渡期间服务客户，受影响客户将从合作伙伴处获得免费替换证书，吊销/状态服务将持续到证书过期或被替换为止。包括DSC、eSign、PKI、emSigner、SecurePass和emAS在内的核心业务不受影响。
eMudhra 是一家数字信任公司，因发生重大 CA 安全事件而退出全球 SSL/TLS 证书业务。其私钥异常弱——据报道弱至 4——原因是密钥封装过程中脚本出现 bug，生成了弱重复密钥，员工误用。尽管 eMudhra 称受影响的 CA 未签发任何终端实体证书，其他服务也不受影响，但浏览器/根程序和厂商不得不撤销信任，导致大规模补救。公司归咎于过度社交媒体审查，并称 TLS 仅占收入约 1%，而评论者批评其缺乏问责、Apple 撤销延迟以及对其他信任服务的潜在影响。该事件凸显了 Web PKI、CA 监管与对证书颁发机构的全球信任中的弱点。
女子因她从未开设的 Cash App 账户面临六年监禁 Woman faces six years in prison over Cash App account she never opened
2 天前
启用 JavaScript 和 Cookie 以继续
詹姆斯·沃尔·芬恩（约1866–1913年）是一位装饰画家，他的作品帮助定义了曼哈顿几处著名的镀金时代室内空间，包括纽约公共图书馆的罗斯主阅览室、里西姆剧院、阿尔贝蒂娜别墅和摩根图书馆。尽管常被公众忽视，他因能将绘画与建筑和谐统一而受到领先建筑师和赞助人的高度评价。他接受过美术学院时代的训练，并尤其受到意大利原始派画家（如平图里基奥）的影响；芬恩改编了欧洲大师的风格：纽约公共图书馆的提埃波罗风格天花板、阿尔贝蒂娜别墅的葡萄藤与小天使、摩根图书馆的切萨里风格天花板，以及摩根书房中佛罗伦萨式凹格天花板上的旧盾徽。他还绘制戏剧题材，包括里西姆剧院的肖像。他的许多作品已散失，包括为约翰·雅各布·阿斯特四世绘制的壁画。他曾在巴黎学习，协助埃德温·奥斯汀·阿贝，1896年巴黎沙龙获得荣誉奖，游历欧洲，并于1913年去世，留下可观遗产。他的遗产延续于他帮助创造的美丽公共与私人空间。
亚马逊威胁情报团队观测到针对 MadPot 的 PHP2Shell 利用尝试，起始于 2026 年 10 月 17 日，早于 CVE-2026-109618 和 CVE-2026-109619 于 10 月 21 日的公开披露。早期活动来自匿名 IP，随后出现多个攻击者、概念验证利用及披露前后的更广泛利用。该案例表明，漏洞 embargo 仅能延缓公众认知，而 AI 辅助分析可在细节公开后加速漏洞利用开发。防御方应在数小时内为面向互联网的系统打补丁，从最早已知的利用时间（至少 10 月 17 日）开始调查，并使用不局限于特定 CVE 的检测。AWS 通过多层防护并借助 MadPot 进行早期检测。建议措施：立即升级 PHP；若未打补丁，考虑阻止多部分上传；检查日志中 PHP_SESSION_UPLOAD_PROGRESS 及可疑进程或文件变化。所列 IOC 应被调查，而非盲目拦截，因为它们包含共享的匿名基础设施。
过去25年里，流行音乐经历了“网格化”：制作人越来越多地在录音后将人类演奏修正到固定的时间网格上，把自然的时值变化视为错误。与1975年的热门歌曲相比——那些歌里，底鼓、贝斯和填充展示出有机的推进与拉扯——许多2025年的热门歌曲完美得像机器；即便是一屋子乐手也可能表现出近乎零的节奏变化。Shaboozey的《A Bar Song (Tipsy)》之所以突出，是因为它围绕一段不完美的语音备忘录构建，保留了真实的生活时间感。作者认为，“网格化”不是跟着节拍器演奏或使用打孔修正，而是演奏后的时序修正。借鉴苏珊娜·兰格的观点，音乐呈现情感如何在时间中展开；“网格化”用机械精度取代了这一点，剥夺了听众接触人类协作的机会，抹去了艺术家具身的声音。音乐形式学院的“具身制作证书”旨在认证保留了演奏者不可逆的人类时序决策的录音——记录的是临场感，而非品味或质量。
Hacker News 帖子讨论了一篇关于“网格化”（gridification）的文章：现代音乐制作过度校正人类的节奏与音高，让表演显得不够人性化。评论者争论量化与自动调音究竟是提高可听性的省钱工具，还是会剥夺音乐的灵魂。例子包括被网格化的 John Bonham 鼓声、过度处理的高中乐队录音、点击轨道、DAW 工作流，以及独奏制作人相对于乐队的兴起。有人认为不完美的音乐人会从校正中受益，而另一些人则说这种做法会鼓励平庸、过度润色的音乐。讨论还涉及爵士、现场表演、老录音、AI 生成音乐，以及对文章叙事框架和可能 AI 写作的批评。总体而言，帖子探讨了现代音乐中技术完美与人类不完美之间的张力。
人类验证 为了继续，你需要通过解决验证码拼图来验证你不是机器人。该验证码拼图需要 JavaScript。启用 JavaScript，然后重新加载页面。
该帖讨论了微软计划按小时收费（24–40 美分）串流用户已拥有的游戏。支持者将其类比为租用云端 GPU（如 GeForce Now），认为可避免昂贵硬件、适合休闲玩家。批评者视之为反消费者、平台恶化的表现：既需先购买游戏又按小时付费，存在涨价、服务终止与所有权削弱的风险。评论者就云游戏经济、发行商授权、DRM 以及游戏是否正从“拥有”转向“租赁”展开争论。有人指出主机销量下滑、硬件成本高昂；也有人认为本地游玩仍更便宜、更可靠。总体而言，意见分为两类：务实接受云租用模式，与担忧长期反消费者趋势。
启用 JavaScript 和 Cookies 以继续
Phoronix 报道了若干 Linux 内核漏洞被意外发布到公共邮件列表。Hacker News 评论者讨论了 Linux 的政策：借助 AI 发现的漏洞应被视为公开漏洞，因为这类漏洞常在多名研究人员间同时出现；部分人认同大语言模型可能使重新发现更可能，而另一些人则认为立即公开披露有害。最严重的问题据称涉及 SMB/KSMBD 内核实现和本地权限提升。用户还讨论了将 SMB 移出内核、安全系统的难度，以及 AI 是否最终能减少漏洞或带来形式化验证软件。更广泛的评论还调侃了安全文化和当前这波披露。
（内容为空，无需翻译）