eMudhra 中间 CA 被入侵暴露了弱中间私钥，使不强制执行证书透明度的客户端可能接受伪造的可信证书。浏览器和许多系统正在更新以移除受影响的中间证书或拒绝根证书。MCU 类物联网设备通常受影响较小，因为存储限制导致它们只包含服务所需的特定根 CA 证书，而不是广泛的 CA 证书包。除非 MCU 固件包含 eMudhra 或交叉签名的 Sectigo 根证书，并连接到链式使用它的服务器，否则它很可能不受此漏洞影响。剩余工作是修补开发者工具、CI、云服务和生产力软件。
每日HackerNews RSS
你的微控制器可能逃过了 eMudhra 中间证书颁发机构的安全事件 Your MCU Likely Escaped the eMudhra Intermediate CA Compromise
2 小时前
Hacker News 的一篇帖子链接到一篇文章，认为微控制器可能避免了 eMudhra 中间 CA 被攻破的影响。评论指出，MCU 受空间限制，常省略未使用的根证书，也可能完全跳过证书验证。一名用户描述 Elk M1XEP 安全扩展器提供自签名证书 TLS，但其配置客户端不验证该证书，使中间人攻击变得轻而易举，而报警监控连接可能缺乏 TLS，或依赖可选的共享密钥认证。文章作者同意这同时反映了真实限制和薄弱的威胁模型，但希望开源固件和厂商软件投入能改善嵌入式安全，并指出嵌入式设备仍远未达到“Let's Encrypt”式的信任模型。
作者是一位有 FP&A 经验的金融学毕业生，在发现 n8n 后转向自动化。最初，空白画布和技术概念让他感到不知所措，觉得自己很蠢，几乎放弃，但他选择坚持。他警告“教程陷阱”：消费过多内容并拿自己与专家比较会瘫痪进步。相反，他倡导从小处开始，经常失败，并通过直接实践学习。他早期简单的 Gmail 到 Slack 工作流，后来发展为更高级的自动化：求职探索、eBay 倒卖、竞争对手库存监控和交易信号。过程中，他学习了 API、JSON、webhooks、网页抓取、AI 代理、MCP 和自托管。接受不适感帮助激发了新项目和商业机会，包括被芝加哥顶级科技孵化器早期录取。他的主要建议是：开始就做，忽略无帮助的噪音，并把感到愚蠢视为学习新事物的一部分。
一篇由 wvez22 发布的 Hacker News 帖子，标题为“我从故意愚蠢六个月中学到了什么”，获得 20 点和 8 条评论。评论者拿长期愚蠢开玩笑，质疑作者的创业者说法以及帖子是否由 AI 撰写，并猜测其为 n8n 营销。作者幽默回应，否认付费推广，并建议自托管。帖子中还包含一个 YouTube 链接。
这篇文章解释了日出与日落是由地球自转和阳光在大气中的过滤作用引起的。黎明与黄昏时，光线穿过更多的空气，短波长光被散射，留下更多红色、橙色和黄色。日落后，东地平线上升起的蓝色带是地球的阴影。就在它上方，由向后散射的红光与蓝天混合而成的紫罗兰色“金星带”出现。山辉是一种相关的、由背散射光引起的远方山脉玫瑰色光辉。这些彩色带每天提醒我们身处一颗旋转的星球上。
对不起。
世界各地城市因地下水枯竭而下沉：可以逆转 Cities Across the World Sinking from Groundwater Depletion: It Can Be Reversed
3 小时前
许多沿海城市因抽取地下水枯竭含水层而下沉，叠加了海平面上升的影响。研究显示这一过程可以逆转：当含水层恢复时，城市可以抬升。日本大阪便是例证——在严格地下水管控之后，水位上升（每年最多1米）产生了快速抬升（每年最多12毫米），但并不均匀。这些不均匀的抬升带与构造断层线相吻合。断层像地下坝一样，阻挡地下水侧向流动，使水在“上游”侧更快积聚，从而加速那里的恢复与抬升。这揭示了一个适应机会：减少地下水开采并让含水层恢复，可以减缓或逆转沿海城市的土地沉降。
黑客新闻
最新 | 过往 | 评论 | 提问 | 展示 | 工作 | 提交
登录
世界各地城市因地下水枯竭而沉降：可以逆转
（cleantechnica.com）
7 分
由 gumby
1小时前
| 隐藏 | 过往 | 收藏 | 讨论
帮助
考虑申请 YC 的 Winter 2027 批次！申请开放至 11 月 2 日。
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：
两种被认为已灭绝6000年的有袋动物在西巴布亚偏远雨林中重新被发现：侏儒长指负鼠和环尾滑翔兽。这种有条纹、重200克的负鼠拥有伸长的第四指，用于取出钻木昆虫幼虫；滑翔兽则栖息于高树树洞中。研究人员包括蒂姆·弗拉纳里和克里斯·赫尔根，通过结合化石、照片、标本和实地走访，并在本地 Tambrauw 和 Maybrat 长老帮助下识别了它们。滑翔兽被一些当地居民视为神圣之物，他们既不狩猎也不为其命名。科学家称此类重新发现为“拉撒路类群”；发现两个非常罕见。滑翔兽的栖息地面临伐木威胁，促使人们努力争取需要本地同意的原住民土地权保护。
Hacker News
新 | 过去 | 评论 | 提问 | 展示 | 招聘 | 提交
登录
在偏远西巴布亚发现被认为灭绝6000年的微型负鼠和滑翔兽
（bbc.com）
10分
由 bryanrasmussen
1小时前
| 隐藏 | 过去 | 收藏 | 讨论
帮助
考虑申请YC的Winter 2027批次！申请开放至11月2日。
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请YC | 联系
搜索：
Cloudflare 部署针对 php2shell 漏洞的防护措施 Cloudflare deploys protections against php2shell vulnerability
3 小时前
Cloudflare 与合作伙伴披露了两个 PHP 漏洞，php2shell（CVE-2026-109618 和 CVE-2026-109619），影响 PHP 5.4+，可能导致 DoS、RCE 或数据泄露。Cloudflare 在披露前为所有套餐（包括免费套餐）部署了 WAF 保护，并引入了全事务检测以分析请求和响应信号。客户默认仍受保护，但应仍修补 PHP 并保持 WAF 启用。这些漏洞源于请求处理期间不安全的内存处理；攻击者可通过精心构造的 HTTP 请求触发。Cloudflare 将继续监控并更新规则。
Cloudflare 部署了针对 php2shell 漏洞的防护。在链接的 Hacker News 讨论中，评论者就更广泛的安全影响展开辩论：有人警告，强大的开放权重大模型和集中式缓解措施可能让强大的平台成为互联网守门人；有人主张用可证明正确的软件作为防御；还有人说未来需要更多安全专家。
今天的 PHP 安全发布，以及我们如何加强 PHP 安全 Today's PHP security release, and how we're strengthening security
3 小时前
PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复了两个严重 RCE 漏洞：CVE-2026-109618（内存不足损坏，可能留下部分初始化的内部数据并破坏内存）和 CVE-2026-109619（致命错误后的陈旧状态/释放后使用）。在某些条件下，未经身份验证的攻击者可以执行代码，包括 Apache/mod_php 和 PHP-FPM 路径。用户应立即更新。 这些缺陷位于核心内存管理和错误处理中，修复时难以避免兼容性、性能或扩展影响。OOM 问题最早在 2024 年审计后续中被注意到，但在权衡与资源有限的情况下停滞。最近的变化包括新的生态系统安全团队、额外资助的安全人员、AI 辅助扫描/验证，以及 Calif、OpenAI、Wiz 和 Trail of Bits 的审计。泄漏和 embargo 破裂扰乱了披露，但发布时未发现可用的功能性漏洞利用。PHP 基金会表示，持续资助对于培养深厚的 PHP 工程专业知识并应对日益增多的 AI 辅助漏洞报告是必要的。
Hacker News 用户正在讨论 PHP 基金会关于今日 PHP 安全更新的文章。评论者批评 Chainguard 在协调发布前几小时发布修复镜像，破坏了 embargo。其他人指出发布后 Docker 镜像仍不可用，让用户不满并促使一些人自行构建。安全公司 Calif 据报在泄露和预公告后发布视频，让评论者感到惊讶。相关链接提到 AI 发现的 PHP RCE 和协调工作。该帖还提出对违反 embargo 的处罚以及遗留系统风险的问题。总体而言，它突出了本次发布中的协调失败。
启用JavaScript和cookies以继续
俄勒冈州议员批准了210万美元，用于购买阿比夸瀑布及周边土地。此前，支持本笃会僧侣社区的非营利所有者将这座标志性瀑布无标价地挂牌在Redfin和Realtor.com上。这一不同寻常的挂牌让自然奇观的爱好者感到担忧，他们担心该地点可能被关闭。一个两党议员小组在立法会议即将结束时批准了这笔购买，保护非营利组织威拉米特河保护信托基金也参与其中。Hacker News评论者的反应包括：感到宽慰、对可能存在的私下安排表示怀疑、对可见的玄武岩表示赞赏，以及关于这笔支出是否是合理使用公共资金来保护公共利益的辩论。
PHP转Shell PHP2Shell
4 小时前
将 memory_limit 设置为 -1 可以阻止依赖 PHP 内存限制处理的某些攻击路径，但会把内存耗尽处理转交给操作系统。在此配置下，内存耗尽的 worker 进程可能被终止，从而中断请求，影响服务器的稳定性和可用性。若决定启用，请使用 Linux cgroup v2 的 memory.max 或等效的操作系统机制，以帮助控制资源消耗并限制对 PHP 进程的可用性影响。应以管理方式应用配置更改并重启受影响的 worker。不要使用 RLIMIT_AS 或 RLIMIT_DATA 作为替代内存限制。PHP 安全通告警告这些可能触发相同的脆弱失败路径。此措施不覆盖应用特定的大内存分配路径或非内存相关触发因素。在多线程部署中，终止进程还可能中断其他线程上运行的请求。
Hacker News
新 | 往期 | 评论 | 提问 | 展示 | 工作 | 提交
登录
PHP2Shell
（php2shell.com）
10 分 由 nr378 1 小时前
| 隐藏 | 往期 | 收藏 | 讨论
帮助
考虑申请 YC 2027 冬季批次！申请开放至 11 月 2 日。
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：
Sumi 是一个极简、无类优先的 CSS 框架，开箱即用样式化语义 HTML，仅在特定布局或变体时使用类。它以单个文件发布（gzipped 后 6.7 KB），无 JavaScript 或依赖，并包含跟随系统偏好的浅色/深色模式，也可通过 `data-theme` 强制设置。每个设计令牌都是 CSS 自定义属性，元素样式使用 `:where()`，因此覆盖时无需 `!important`。它提供可访问的焦点环、ARIA 状态和减少动效支持。它为标题、表单、表格、卡片、手风琴、模态框和导航等常见元素设置样式，并提供容器、网格、按钮、排版和组件的工具类。本地或通过 CDN 链接 `sumi.min.css`，然后自定义令牌。支持现代浏览器。
Hacker News 帖子宣布 Sumi.css，一个由 bepero 开发的 CSS 框架，获得 18 点和 6 条评论。评论者欢迎它，尤其在 PicoCSS 弃用之后，分享无类 CSS 的用例，推荐可直接使用的极简 CSS 资源，报告一个小 bug，并鼓励持续更新。