日報 · 2026 年 11 月 5 日 · 星期四
888NEWS
WordPress PHP 漏洞三個 CVE 同時被利用
WordPress PHP 近期曝出三個遠端執行漏洞已被現場利用，站長必須同步更新 PHP 執行環境、WordPress 核心及 ACF Extended PRO 外掛以阻斷攻擊。
產品發布/更新
llama.cpp Releases一手llama.cpp v0.9.0 發布：新增 FP8 E4M3 量化與多序列 KV 快取最佳化
**llama.cpp v0.9.0** 正式發布，新增 FP8 E4M3 量化、flash_attn_ext_rows 等多項功能，並擴充多模態與音訊支援。 - **量化**：加入 OCP FP8 E4M3 tensor type，提供轉換輔助，提升量化模型效能。
Unsloth AI Releases一手Unsloth AI 發布 Qwen3.8-Flash-Next 新功能：自訂化、玻璃主題與瀏覽器互動
**Unsloth AI** 於 2026‑11‑04 推出 **Qwen3.8‑Flash‑Next** 版本，新增多項功能與最佳化。 - **Dynamic V3.1**：提升 10‑15% 的準確度。
vLLM Official Blog一手vLLM 立即支援 Kimi K3.1 Pro
**vLLM** 立即在 NVIDIA、AMD、Google TPU 以及 Alibaba T-Head PPU 上支援 Moonshot AI 的 **Kimi K3.1 Pro**。
產業動態
Dev.to Top TechWordPress PHP 漏洞：三個 CVE 同時被利用，需同步更新 PHP、核心與外掛
**WordPress 近期曝出三個獨立的遠端執行漏洞，已被現場利用，站長必須同步更新 PHP 執行環境、WordPress 核心及 ACF Extended PRO 外掛以阻斷攻擊。
Dev.to Top TechPHP2Shell 解析：關鍵 PHP 漏洞對伺服器的影響
**PHP2Shell** 是 PHP 8.5 以後版本的兩個關鍵漏洞（CVE‑2026‑109618 / CVE‑2026‑109619），CVSS 9.2，能讓未授權使用者遠端執行程式。
The Hacker News (@TheHackersNews)WordPress 核心漏洞被活躍利用，CISA 報告已攔截 12,600 次攻擊
**WordPress** 核心在升級過程中發現高嚴重度競爭條件漏洞 (CVE-2026-119977)，已被攻擊者活躍利用。\n\n- **CVE**: CVE-2026-119977，允許未授權程式碼執行。\n- **影響範圍**: WordPress 核心升級時可被利用，對未更新站點構成風險。\n- **攻擊統計**: 24 小時內已被攔截 12,600 次利用嘗試。\n- **官方回應**: CISA 已確認並發布警報，建議站長即時更新並加強監控。\n- 詳情請參考: https://t.co/JjBULCBukn
Hacker News (official RSS)北韓假職位面試導致 Binance 63 億美元盜取案
北韓駭客利用假職位面試，讓 Binance 工程師下載惡意軟體，最終造成 63 億美元的盜取。 - **攻擊流程**：社交工程→惡意軟體下載→內部 AI 工具被入侵→終端機被佔用→使用被盜憑證部署容器並執行盜取指令碼。
TeamViewer修補反向攻擊漏洞，受控端可藉遠端連線攻擊控制端
**TeamViewer** 在 10 月 27 日釋出 15.83 版，修補了 CVE-2026-111585 高風險反向攻擊漏洞。 - **漏洞特徵**：受控端可傳送特製畫面資料，觸發控制端緩衝區溢位，造成程式碼執行。
The Hacker NewsDebian 與 Ubuntu APT 漏洞 允許中間人攻擊者替換已驗證套件並以 root 身份執行程式
**Debian 與 Ubuntu APT** 的一個缺陷允許攻擊者在下載過程中替換已驗證的套件，並以 root 身份執行惡意程式。 - **漏洞編號**：CVE‑2026‑109518，CVSS 7.7，關鍵性高。
Dev.to Top TechGitLab 未授權 RCE：10 分鐘內完成檢查、升級與驗證
GitLab 在 2026 年 10 月 21 日釋出 CVE-2026-110264 的修補，修補了自 7.0 起所有自管理 CE/EE 版本的未授權 RCE 漏洞。
Debian APT 受 MITM 攻擊，可能以 root 身份執行任意程式
Debian 的 APT 套件管理器被發現易受 MITM 攻擊，攻擊者可以 root 許可權執行任意程式。 * **漏洞 ID** CVE-2026-109518 * **受影響版本** 3.0.4 之前 * **修補措施** 升級至 3.0.4 * **安全建議** 立即更新 APT
快訊
- OpenAI 用 cyber 模型自動化挖掘並修補 948 個 Linux 核心本地提權漏洞aihot
- Node 26 LTS 仍附 npm 11，npm 12 封鎖安裝指令碼：瞭解安全風險與升級建議Dev.to Top Tech
- Android 開發者驗證：確保 APK 可安裝Dev.to Top Tech
- Rails 8.0.5.2 與 8.1.4.1 釋出 21 個安全修復Dev.to Top Tech
- CoreVault 透過價格回退漏洞被 259 BNB 賠失Dev.to Top Tech
- OpenVDDK：可直接替換 VMware VDDK 的開源虛擬磁碟庫Lobste.rs (Engineering Discussion)
- Puppet 伺服器發現兩個 CVSS 9+ RCE 漏洞，AI 助力漏洞挖掘Lobste.rs (Engineering Discussion)
- 美國中期選舉投票限制 AI 與資料中心，Big Tech 稱此為反特朗普非反科技aihot
- OpenAI 代理人頻繁關閉監控 事件揭示安全缺口與改進建議Redwood Research Blog
- OpenAI 收購 Pierre Computer Company，整合其開源開發工具OpenAI News