Anthropic 开启 Claude Duet 研究预览，这款独立应用已上线 iOS、Android 和 claude.ai，先向美国 Pro 与 Max 订阅用户开放，需加入等候名单。它基于 Claude Opus 5.5，每日推送简报，并在后台代为执行任务。
在发送消息、付款、签署文件或删除前，它会先展示即将执行的操作并等待批准；证券交易、账户间转账即便获授权也不允许。
Anthropic
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
PHP 于 10 月 21 日发布紧急修复补丁，处理潜伏十余年的严重漏洞，荷兰、丹麦、芬兰、法国等多国政府网站为防风险预防性下线，维基百科等多个网站也暂时关停部分系统。
由于 PHP 支撑约 75% 可识别编程语言的网站，欧洲、澳大利亚、日本和英国的网络安全机构均呼吁用户立即更新或先下线网站。
Reuters
小编的话，今晚真热闹，安全风险涉及 PHP、Node.js、Nginx（含 njs）、Go、Rust 生态及 LiteLLM ，涵盖远程代码执行、内存安全、证书验证绕过、文件越界操作及供应链投毒
别人熬夜追剧，运维熬夜追 CVE！
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
Go 紧急更新证书验证避免中间人攻击
Go 语言 crypto/x509 包因 CA 事件存在漏洞 CVE-2026-111943：证书验证未阻止信任与已失陷 CA 关联的中级证书，攻击者可冒充合法服务器实施中间人攻击。Red Hat 将其定为 Important，CVSS 3.1 评分 6.8。
利用需特定网络位置及不可信中继机构签发的证书，Red Hat 称难以被大规模滥用，缓解步骤见安全公告。
Red Hat Customer Portal
⭐ 群友：并非 Go 代码被写出了可远程利用的漏洞；问题在于印度证书机构失陷，Go 未能阻止相关证书通过验证。 [证书问题]
🌸 科技圈· 茶馆 · 投稿
Go 语言 crypto/x509 包因 CA 事件存在漏洞 CVE-2026-111943：证书验证未阻止信任与已失陷 CA 关联的中级证书，攻击者可冒充合法服务器实施中间人攻击。Red Hat 将其定为 Important，CVSS 3.1 评分 6.8。
利用需特定网络位置及不可信中继机构签发的证书，Red Hat 称难以被大规模滥用，缓解步骤见安全公告。
Red Hat Customer Portal
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
Node.js 项目为 26.x、24.x 和 22.x 发布安全更新，修复 10 个漏洞，最高严重级别为高危。其中，Brotli 解码器越界写入漏洞可导致远程代码执行。
最高严重性为高的关键问题包括：
TLS 非规范 IP 地址处理 (CVE-2026-106069 / CVE-2026-106072)
DNS 解析空字节验证 (CVE-2026-105482)
TLS IP 规范化回归 (CVE-2026-105483)
Brotli 解码器问题 (CVE-2026-111497)
此外还有多项中低严重性修复：HTTP 代理、加密快照、zlib、权限等。建议使用最新版本；终止支持的 EOL 版本也受安全漏洞影响。
Nodejs
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
2026 年 10 月 21 日，Cloudflare 宣布已为 php2shell 部署 WAF 防护。该漏洞源于 PHP 两项缺陷，影响 PHP 5.4 及以上版本，可致拒绝服务、远程代码执行和数据泄露，防护对所有启用 WAF 的套餐自动生效，含免费用户。
相关防护在公开披露前约 9 小时上线，期间也观察到针对客户的攻击流量。公司建议管理员尽快更新 PHP，并保持 WAF 防护开启。
Cloudflare Blog
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
PHP紧急修复两项严重漏洞，官方敦促用户立即升级
现在，此时此刻 PHP 团队发布安全更新，修复两项可能让攻击者无需登录即可远程执行代码的严重漏洞。官方敦促用户立即安装PHP 8.5.12、8.4.27、8.3.36或8.2.35。两项漏洞的CVSS 4.0评分均为9.2 分。
风险涉及所有处理网页请求的PHP部署，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP和LiteSpeed。其中，mod_php风险最高：已有验证表明，攻击可在网站业务代码运行前触发。不同部署方式的具体利用条件有所区别。
漏洞分别为CVE-2026-109618和CVE-2026-109619。前者源于内存不足时的异常处理，可能让未完成初始化的数据进入清理流程；后者源于内存释放后，相关内部状态未被清除，后续请求可能继续使用失效状态。攻击者可能借此以网站工作进程的权限执行代码。
官方强调，调整配置只能阻断部分攻击路径，安装完整补丁才是根本解决办法。Linux用户应核查发行版或长期支持供应商的更新包。PHP 8.1及更早版本已停止官方常规维护；鉴于漏洞严重性，团队此次额外提供7.4、8.0和8.1的最小源码修复补丁，供自行编译等场景使用。
PHP
🌸 科技圈· 茶馆 · 投稿
现在，此时此刻 PHP 团队发布安全更新，修复两项可能让攻击者无需登录即可远程执行代码的严重漏洞。官方敦促用户立即安装PHP 8.5.12、8.4.27、8.3.36或8.2.35。两项漏洞的CVSS 4.0评分均为9.2 分。
风险涉及所有处理网页请求的PHP部署，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP和LiteSpeed。其中，mod_php风险最高：已有验证表明，攻击可在网站业务代码运行前触发。不同部署方式的具体利用条件有所区别。
漏洞分别为CVE-2026-109618和CVE-2026-109619。前者源于内存不足时的异常处理，可能让未完成初始化的数据进入清理流程；后者源于内存释放后，相关内部状态未被清除，后续请求可能继续使用失效状态。攻击者可能借此以网站工作进程的权限执行代码。
官方强调，调整配置只能阻断部分攻击路径，安装完整补丁才是根本解决办法。Linux用户应核查发行版或长期支持供应商的更新包。PHP 8.1及更早版本已停止官方常规维护；鉴于漏洞严重性，团队此次额外提供7.4、8.0和8.1的最小源码修复补丁，供自行编译等场景使用。
PHP
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
OpenAI 与 Google Cloud 合作，把 OpenAI 前沿模型和 Codex 智能体工作流接入 Google Cloud 的 Model Garden，企业可通过 Marketplace 购买并用 GCP 承诺消费额度抵扣。
这些模型还将进入 Google Antigravity 和 Gemini Agent，预计数周内正式开放；OpenAI 称微软仍是其主要云合作伙伴。
OpenAI | Google Cloud
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
英伟达在今天的 GTC 大会上宣布扩展 Isaac 机器人开发平台，推出新的人形机器人参考框架、仿真工作流及训练数据工具，覆盖机器人数据生成、AI 训练、仿真测试与实际部署，旨在降低通用机器人研发门槛，加快产品落地。
此次升级包括 Isaac Lab 3.0，支持多 GPU 训练，并新增包含 2000 多种仿真资产的资源库及人类动作数据集，帮助开发者提升机器人训练效率。“通用机器人正以惊人的速度进步——机器人的 ChatGPT 时刻正快速临近，”英伟达创始人兼首席执行官黄仁勋表示。
NVIDIA
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
宇树发布 H2-X 人形机器人，续航约 8 小时
宇树科技 10 月 21 日发布人形机器人「H2-X 功夫传奇 守护」，官方称其最长续航约 8 小时，可徒手抬汽车、一脚踢凹车门，还能充当「私人保镖」。
该机型具体配置暂未公布。作为参考，宇树 H2 身高 182 cm、31 个自由度、续航约 3 小时，H2-X 的续航提升到 8 小时。
宇树科技 | IT之家
🌸 科技圈· 茶馆 · 投稿
宇树科技 10 月 21 日发布人形机器人「H2-X 功夫传奇 守护」，官方称其最长续航约 8 小时，可徒手抬汽车、一脚踢凹车门，还能充当「私人保镖」。
该机型具体配置暂未公布。作为参考，宇树 H2 身高 182 cm、31 个自由度、续航约 3 小时，H2-X 的续航提升到 8 小时。
宇树科技 | IT之家
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
律师函被直接贴进 GitHub 仓库 dsh-our-free-model 的 Issues（#576），指控其逆向 WorkBuddy / CodeBuddy 客户端渠道校验规则，用指纹改写模块绕过 11128 拦截，伪造官方 UA 与产品码，并以多账号池自动签到领取免费额度。
函件要求 3 日内停止、7 日内下架删除、15 日内书面回复，涉及 PR #574 新增逾 1.7 万行代码。
频道仅作为消息分享，无法确切核实情况。可以当个乐子看
律师函地址： Github issues
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
英特尔与 AMD 宣布合作，将双方针对 PyTorch 的 x86 CPU 优化整合到开源深度学习库 oneDNN 中，为开发者提供通用软件路径，减少 x86 AI 生态的软件碎片化。
AMD 正将 ZenDNN 优化整合进 oneDNN，并以指导委员会成员身份加入 UXL 基金会。双方还在面向 x86 的下一代 AI 计算扩展指令集上合作，未来将通过 oneDNN 进一步集成至 PyTorch。
英特尔中国
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
草台：eMudhra 证书私钥过于简单，可被穷举还原，各大浏览器紧急停止信任
印度证书机构 eMudhra 的 8 张中间证书私钥随机性极弱，只有 256 种可能，几秒即可穷举还原。攻击者可借此冒充该机构，为任意网站签发看起来合法的 HTTPS 证书，用于伪造网站或窃取用户数据。其中 6 张能签网站证书，2 张能签代码签名证书。
Mozilla 在 10 月 17 日收到报告后，3 小时内向所有 Firefox 用户自动推送封锁，无需重启；Google 同日屏蔽受影响的公钥，并计划在 10 月 27 日移除相关根证书。Apple、Microsoft 也在跟进。
Mozilla Security | Google | 2083449
🌸 科技圈· 茶馆 · 投稿
印度证书机构 eMudhra 的 8 张中间证书私钥随机性极弱，只有 256 种可能，几秒即可穷举还原。攻击者可借此冒充该机构，为任意网站签发看起来合法的 HTTPS 证书，用于伪造网站或窃取用户数据。其中 6 张能签网站证书，2 张能签代码签名证书。
Mozilla 在 10 月 17 日收到报告后，3 小时内向所有 Firefox 用户自动推送封锁，无需重启；Google 同日屏蔽受影响的公钥，并计划在 10 月 27 日移除相关根证书。Apple、Microsoft 也在跟进。
Mozilla Security | Google | 2083449
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
微软将 OneDrive 同步上限提升至 100 万个项目，并优化文件路径与快捷方式管理
微软宣布升级云存储服务 OneDrive，将单设备同步上限从此前的 30 万个项目提高至最多 100 万个文件和文件夹，主要面向需要管理海量文档的企业、学校及机构。此次升级还针对文件路径过长问题进行优化，允许管理员自定义 OneDrive 文件夹名称，以缩短路径、减少相关错误；同时新增独立的“快捷方式”文件夹，用户可选择将快捷方式集中存放于该文件夹或继续放在“My Files”根目录，并可通过网页版、Windows 文件资源管理器、macOS Finder 及移动应用访问。但需要注意的是，100 万个项目是支持上限，并不意味着所有设备都能达到这一规模；设备仍需满足相应的硬件与配置要求。
Neowin
🌸 科技圈· 茶馆 · 投稿
微软宣布升级云存储服务 OneDrive，将单设备同步上限从此前的 30 万个项目提高至最多 100 万个文件和文件夹，主要面向需要管理海量文档的企业、学校及机构。此次升级还针对文件路径过长问题进行优化，允许管理员自定义 OneDrive 文件夹名称，以缩短路径、减少相关错误；同时新增独立的“快捷方式”文件夹，用户可选择将快捷方式集中存放于该文件夹或继续放在“My Files”根目录，并可通过网页版、Windows 文件资源管理器、macOS Finder 及移动应用访问。但需要注意的是，100 万个项目是支持上限，并不意味着所有设备都能达到这一规模；设备仍需满足相应的硬件与配置要求。
Neowin
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
Uber 发布博客，介绍其 AI 系统 AutoClean 如何自动清理生产代码中过期的 feature flag（功能开关）等遗留技术债。过去几年该系统已清理超过 16000 个 flag 和 100 多万行代码。
AutoClean 在 Uber 的多个 monorepo 中持续运行，流程分三步：先用 AI agent 结合确定性代码变换工具 PolyglotPiranha 重写代码，再修复 CI 失败并反复验证，最后经静态检查和多 agent 校验系统 CodeCourt 审核后才交由人类工程师最终评审。这样评审者只需判断是否该移除某个 flag，不必检查机械性的正确性问题。
Uber
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
马斯克在财报会上宣布，SpaceX 将于下月首次尝试同时回收星舰飞船与超级重型助推器。若成功，将是人类首次完全回收轨道运载工具。
他坦言首飞不保证成功，但称下次飞行成功概率更高。上月发射因一台发动机提前关机，任务缩短至约 3 小时，助推器与飞船均未回收。
The Verge
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
字节跳动旗下北京字跳网络技术有限公司在 2026 年 9 月集中撤销了"咕咕嘎嘎""刀盾狗""香蕉猫"等网络热梗的美术作品著作权登记。
2026 年 7 月，该公司曾登记这些热梗的 2D 和 3D 形象著作权，引发网友质疑其将大众共创成果据为己有。
IT之家
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
AMD 将 FSR Upscaling 4.1 扩展至 RX 6000 系列显卡、Ryzen AI Max 处理器、Ryzen AI 9 笔记本及 Z2 Extreme 等掌机，Xbox Series X|S 即将支持。
该功能随 Adrenalin 26.10.1 驱动发布，画质较 FSR 3.1 明显提升。FSR 4 于 2025 年首发时仅支持 RX 9000 系列，2026 年 7 月扩展至 RX 7000 系列。
Advanced Micro Devices, Inc.
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
澎湃新闻记者从星巴克中国方面获悉，10 月 22 日起，星巴克将在全国开始施行消费入座，门店会摆放相关提示牌。在实际的营运过程中，星巴克会为伙伴提供统一的服务指引和必要支持，伙伴会遵循友好、友善的沟通原则，并妥善处理顾客的合理突发需求和特殊情况。
进入中国市场超二十年的星巴克，一直以来主打第三空间体验，走高端路线。过去几年，星巴克就多次传出将实行“消费入座”，但并未有实际的回应。此次宣布也意味着消费入座将在全国门店统一实施。
澎湃新闻
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd
PHP 核心曝高危 RCE 漏洞，官方官方定于 10 月 21 日 22:00（UTC+8）发布安全更新。
PHP 官方团队宣布发布补丁，修复影响其核心解释器的两处高危远程代码执行漏洞（CVE-2026-109618 与 CVE-2026-109619，CVSS 9.2）。影响范围涵盖自 PHP 5.4 起的所有历史与现代版本，包括 PHP 5.x、7.x、8.0 至 8.5 等分支，且攻击在业务框架代码执行前即可触发。
官方仅为受支持分支（PHP 8.2、8.3、8.4、8.5）提供修复更新；停更（EOL）版本无法获得官方补丁，需立即收敛公网访问或实施网络隔离以防利用攻击。
sansec
🌸 科技圈· 茶馆 · 投稿
PHP 官方团队宣布发布补丁，修复影响其核心解释器的两处高危远程代码执行漏洞（CVE-2026-109618 与 CVE-2026-109619，CVSS 9.2）。影响范围涵盖自 PHP 5.4 起的所有历史与现代版本，包括 PHP 5.x、7.x、8.0 至 8.5 等分支，且攻击在业务框架代码执行前即可触发。
官方仅为受支持分支（PHP 8.2、8.3、8.4、8.5）提供修复更新；停更（EOL）版本无法获得官方补丁，需立即收敛公网访问或实施网络隔离以防利用攻击。
sansec
🌸 科技圈· 茶馆 · 投稿
来自频道: @zaihuapd