启用 JavaScript 和 Cookie 以继续
每日HackerNews RSS
对不起。
你的微控制器可能逃过了 eMudhra 中间证书颁发机构的安全事件 Your MCU likely escaped the eMudhra intermediate CA compromise
18 天前
eMudhra 中间 CA 被入侵暴露了弱中间私钥，使不强制执行证书透明度的客户端可能接受伪造的可信证书。浏览器和许多系统正在更新以移除受影响的中间证书或拒绝根证书。MCU 类物联网设备通常受影响较小，因为存储限制导致它们只包含服务所需的特定根 CA 证书，而不是广泛的 CA 证书包。除非 MCU 固件包含 eMudhra 或交叉签名的 Sectigo 根证书，并连接到链式使用它的服务器，否则它很可能不受此漏洞影响。剩余工作是修补开发者工具、CI、云服务和生产力软件。
对不起。
作者是一位有 FP&A 经验的金融学毕业生，在发现 n8n 后转向自动化。最初，空白画布和技术概念让他感到不知所措，觉得自己很蠢，几乎放弃，但他选择坚持。他警告“教程陷阱”：消费过多内容并拿自己与专家比较会瘫痪进步。相反，他倡导从小处开始，经常失败，并通过直接实践学习。他早期简单的 Gmail 到 Slack 工作流，后来发展为更高级的自动化：求职探索、eBay 倒卖、竞争对手库存监控和交易信号。过程中，他学习了 API、JSON、webhooks、网页抓取、AI 代理、MCP 和自托管。接受不适感帮助激发了新项目和商业机会，包括被芝加哥顶级科技孵化器早期录取。他的主要建议是：开始就做，忽略无帮助的噪音，并把感到愚蠢视为学习新事物的一部分。
抱歉。
这篇文章解释了日出与日落是由地球自转和阳光在大气中的过滤作用引起的。黎明与黄昏时，光线穿过更多的空气，短波长光被散射，留下更多红色、橙色和黄色。日落后，东地平线上升起的蓝色带是地球的阴影。就在它上方，由向后散射的红光与蓝天混合而成的紫罗兰色“金星带”出现。山辉是一种相关的、由背散射光引起的远方山脉玫瑰色光辉。这些彩色带每天提醒我们身处一颗旋转的星球上。
对不起。
世界各地城市因地下水枯竭而下沉：可以逆转 Cities Across the World Sinking from Groundwater Depletion: It Can Be Reversed
18 天前
许多沿海城市因抽取地下水枯竭含水层而下沉，叠加了海平面上升的影响。研究显示这一过程可以逆转：当含水层恢复时，城市可以抬升。日本大阪便是例证——在严格地下水管控之后，水位上升（每年最多1米）产生了快速抬升（每年最多12毫米），但并不均匀。这些不均匀的抬升带与构造断层线相吻合。断层像地下坝一样，阻挡地下水侧向流动，使水在“上游”侧更快积聚，从而加速那里的恢复与抬升。这揭示了一个适应机会：减少地下水开采并让含水层恢复，可以减缓或逆转沿海城市的土地沉降。
对不起。
两种被认为已灭绝6000年的有袋动物在西巴布亚偏远雨林中重新被发现：侏儒长指负鼠和环尾滑翔兽。这种有条纹、重200克的负鼠拥有伸长的第四指，用于取出钻木昆虫幼虫；滑翔兽则栖息于高树树洞中。研究人员包括蒂姆·弗拉纳里和克里斯·赫尔根，通过结合化石、照片、标本和实地走访，并在本地 Tambrauw 和 Maybrat 长老帮助下识别了它们。滑翔兽被一些当地居民视为神圣之物，他们既不狩猎也不为其命名。科学家称此类重新发现为“拉撒路类群”；发现两个非常罕见。滑翔兽的栖息地面临伐木威胁，促使人们努力争取需要本地同意的原住民土地权保护。
Hacker News 上的一个帖子链接了 BBC 关于在偏远的西巴布亚发现一种被认为已灭绝 6000 年的小型负鼠和滑翔兽的报道。讨论范围从保护希望与对伐木/棕榈油的担忧延伸到西巴布亚的政治局势：评论者描述了印尼占领、军事暴力、资源开采以及格拉斯伯格矿附近的外国介入。其他人分享了关于西巴布亚历史以及可能的袋狼考察的视频。一些用户纠正地理（巴布亚与婆罗洲）并讨论标题语法。总体而言，该帖将对重新发现的兴奋与对西巴布亚环境和人道威胁的担忧结合在一起。
Cloudflare 部署针对 php2shell 漏洞的防护措施 Cloudflare deploys protections against php2shell vulnerability
18 天前
Cloudflare 与合作伙伴披露了两个 PHP 漏洞，php2shell（CVE-2026-109618 和 CVE-2026-109619），影响 PHP 5.4+，可能导致 DoS、RCE 或数据泄露。Cloudflare 在披露前为所有套餐（包括免费套餐）部署了 WAF 保护，并引入了全事务检测以分析请求和响应信号。客户默认仍受保护，但应仍修补 PHP 并保持 WAF 启用。这些漏洞源于请求处理期间不安全的内存处理；攻击者可通过精心构造的 HTTP 请求触发。Cloudflare 将继续监控并更新规则。
对不起。
今天的 PHP 安全发布，以及我们如何加强 PHP 安全 Today's PHP security release, and how we're strengthening security
18 天前
PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复了两个严重 RCE 漏洞：CVE-2026-109618（内存不足损坏，可能留下部分初始化的内部数据并破坏内存）和 CVE-2026-109619（致命错误后的陈旧状态/释放后使用）。在某些条件下，未经身份验证的攻击者可以执行代码，包括 Apache/mod_php 和 PHP-FPM 路径。用户应立即更新。 这些缺陷位于核心内存管理和错误处理中，修复时难以避免兼容性、性能或扩展影响。OOM 问题最早在 2024 年审计后续中被注意到，但在权衡与资源有限的情况下停滞。最近的变化包括新的生态系统安全团队、额外资助的安全人员、AI 辅助扫描/验证，以及 Calif、OpenAI、Wiz 和 Trail of Bits 的审计。泄漏和 embargo 破裂扰乱了披露，但发布时未发现可用的功能性漏洞利用。PHP 基金会表示，持续资助对于培养深厚的 PHP 工程专业知识并应对日益增多的 AI 辅助漏洞报告是必要的。
PHP 基金会发布了针对影响 PHP 的严重远程代码执行漏洞（CVE-2026-109618/109619）的安全补丁。协调披露出现破裂：安全公司 Calif 提前泄露了概念验证视频，Chainguard 在 embargo 结束前六小时单方面发布了已修补镜像，因破坏信任并可能协助攻击者而受到批评。
在 Hacker News 上，管理员实时协作，分享诸如通过 nginx 阻止 multipart 上传等缓解措施，并赞扬社区挽救了脆弱服务器。攻击者使用主流智能体 AI 工具探测系统，尽管许多自动化攻击在日志中留下了痕迹。
随后出现了关于 embargo 与即时披露的辩论，一些人认为早期修复有益于用户，另一些人则强调协调发布保护生态系统。PHP 基金会指出，尽管该项目运行着很大一部分网络，但仍然资金不足，且 Docker 镜像落后于发行版软件包。
一些用户将此事件作为迁移离开 PHP 或减少攻击面的动机，而另一些人则为现代 PHP 辩护，并将问题归咎于 C 语言层面的内存安全问题。该讨论既凸显了社区韧性，也凸显了保障广泛使用的开源软件安全的结构性挑战。
启用JavaScript和cookies以继续
俄勒冈州议员批准了约210万美元，从支持本笃会修士的非营利组织手中购买阿比夸瀑布及周边土地；该组织此前已将这处房产挂牌拍卖。评论者讨论了“在Redfin上挂牌”这一细节是否重要，因为这似乎反映的是MLS数据，并普遍支持将这处风景优美的瀑布作为公共土地予以保护。他们还提到前往瀑布的路线艰难、需要绳索辅助，讨论了当地玄武岩地质，并延伸到俄勒冈州教育排名的话题，还 jokingly劝阻人们移居太平洋西北地区。总体而言，这条讨论串围绕着一项公共购买如何保护一处热门自然地标展开。
PHP转Shell PHP2Shell
18 天前
将 memory_limit 设置为 -1 可以阻止依赖 PHP 内存限制处理的某些攻击路径，但会把内存耗尽处理转交给操作系统。在此配置下，内存耗尽的 worker 进程可能被终止，从而中断请求，影响服务器的稳定性和可用性。若决定启用，请使用 Linux cgroup v2 的 memory.max 或等效的操作系统机制，以帮助控制资源消耗并限制对 PHP 进程的可用性影响。应以管理方式应用配置更改并重启受影响的 worker。不要使用 RLIMIT_AS 或 RLIMIT_DATA 作为替代内存限制。PHP 安全通告警告这些可能触发相同的脆弱失败路径。此措施不覆盖应用特定的大内存分配路径或非内存相关触发因素。在多线程部署中，终止进程还可能中断其他线程上运行的请求。
```
Hacker News
新
|
过去
|
评论
|
提问
|
展示
|
招聘
|
提交
登录
[重复]
PHP2Shell
(
php2shell.com
)
32 分
由
nr378
1 天前
|
隐藏
|
过去
|
收藏
|
2 条评论
帮助
ChrisArchitect
1 天前
[–]
更多讨论：
https://news.ycombinator.com/item?id=50180836
回复
tomhow
1 天前
|
父级
[–]
评论已移至彼处。谢谢！
回复
考虑申请 YC 2027 年冬季批次！申请开放至 11 月 2 日。
申请
已开放。
指南
|
常见问题
|
列表
|
API
|
安全
|
法律
|
申请 YC
|
联系
搜索：
```