分享開發現場真正有用的知識。

PHP 官方於 2026/10/21 發布安全公告，PHP 8.5.12、8.4.27、8.3.36 與 8.2.35 修補兩個 CVSS v4.0 9.2 的嚴重漏洞（合稱 PHP2Shell）：CVE-2026-109618（記憶體不足處理導致的資料損毀）與 CVE-2026-109619（請求結束後殘留的過期全域狀態），可能讓未經驗證的攻擊者遠端執行程式碼。所有處理網頁請求的 PHP 安裝都受影響，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed，其中 mod_php 風險最高。官方表示沒有完整緩解方式，更新是唯一安全選擇；8.1 以下已無官方更新。Laravel News 整理了 Laravel Cloud、Forge、Vapor 的處理方式，Cloudflare 則表示漏洞提前外洩後已觀察到攻擊流量，並為所有 WAF 方案預設部署防護規則。本文整理受影響範圍、更新步驟、暫時降低風險的設定，以及給企業與工作室的實務建議。

The Hacker News 於 2026/10/19 報導：Rank Math PRO（Rank Math SEO 的付費版）在 UTC 10/15 20:02 到 10/16 07:12 之間，從 rankmath.com 下載或透過更新取得的部分 3.0.123 檔案含有惡意程式，啟用後會建立持久後門，且有人瀏覽網站時就可能重建。Rank Math 已移除檔案並推出乾淨的 3.0.124；Wordfence 將事件編為 CVE-2026-111862（9.8 分）。官方建議從事發前備份還原、輪換所有憑證，無備份時則依固定順序刪除外掛資料夾、清除特定 wp_options 項目、封鎖 rank1cdn[.]com 後再全面排查。WordPress.org 上的免費版未被列入此事件。本文整理影響判斷、清理順序與給網站業主的長期防護建議。

Next.js 於 2026/10/14 發布非例行安全更新 16.4.1（Active LTS）與 15.5.28（Maintenance LTS），修正三個問題：Cache Components 的 use cache 函式回傳多個 typed array 時可能遭未驗證遠端執行程式碼（無替代緩解方案）；Image Optimization 透過 sharp／librsvg 處理 SVG 時，在 glibc Linux 上可能被遠端執行程式碼（CVE-2026-96889）；以及 App Router 只要有一個 Server Action，就可能被特製請求打到 CPU 滿載。The Hacker News 指出，截至 10/15 其中兩個公告沒有 CVE、也不在 npm audit 使用的資料來源中。本文整理影響範圍、升級步驟與給客戶網站的檢查清單。

The Hacker News 於 2026/10/13 報導：Bloom Security 發現 npm Trusted Publishing 在首次成功發布前只信任 GitHub 的 owner/repo slug，忽略永久倉庫 ID，攻擊手法代號 SlugFest。逾 1,500 套件、合計下載逾 1,000 萬次受影響。GitHub 已改為新建信任設定須於 48 小時內完成首次發布才會驗證並綁定不可變身分，並拒絕來自 issue_comment 事件的 trusted publishing token。本文整理維護者與企業前端團隊該立刻做的檢查。

The Hacker News 於 2026/10/06 報導 Island 研究：一個人工操作的釣魚平台，仿冒 Gemini、Claude、ChatGPT、Perplexity、Meta Muse 等「AI 廣告產品」，用 browser-in-the-browser 假登入窗竊取帳密與 MFA，鎖定代理商與廣告管理員。本文整理攻擊手法與企業防護清單。

npm 在 7 月推出的 v12 預設停用相依套件的安裝腳本，但 ReversingLabs 10 月 6 日的報導指出，惡意套件 indexed-btree 把觸發點藏在函式庫方法裡，使用時才發作，輕鬆繞過這道防線。同週 @subql/common 也因 CI/CD 被竄改而發布惡意版本。我們整理事件始末，以及網站專案該如何分層防禦。

974 個 CVE、已有漏洞遭實際利用：這次 Windows Update 不只是功能更新，而是一場大型資安補強

當 AI 讓寫程式變快，也讓找漏洞、發動攻擊變快；下一波 AI 革命，可能不是幫你寫更多程式，而是幫你守住程式。

本文從緩衝區溢位的記憶體模型出發，說明此漏洞在 `MixCoder_Code`（`C/XzDec.c`）中的成因、為何屬於「高危而非重大」、以及個人與企業應如何處置。