漏洞/CVE
10 則報導，新到舊。
- Unit 42 撤回歐洲政府遭 PHP2Shell 入侵說法，PHP 仍須立即修補
先講結論。 不是說 PHP2Shell 沒事：Unit 42 只是改口，無法確認歐洲政府機關遭入侵的初始入口是這兩個 CVE。PHP 8.5／8.4／8.3／8.2 仍要盡快升到修補版。
- Steal My Bitcoin 被攻破，證實特定佈署下 PHP2Shell 可執行命令
先講結論。 會不會被打要看佈署：PoC 針對 Alpine PHP 8.4.26 搭 php -S，不能外推成所有 PHP 站都會被打；但未修補就有風險，結論仍是立刻升級。
- PHP2Shell 禁運外流有一手來源：HN 使用者具名道歉，修補優先序不變
先講結論。 這則不改變你要做的事：它只補上「誰打破禁運」的一手來源，PHP 漏洞的修補優先順序不變。
- gpu-unlock 解除 GeForce 部分 Tensor 限速，利於本地 LLM prefill
先講結論。 只對在 Linux 上跑特定 Tensor 矩陣工作（例如本地 LLM prefill、影像生成）的人可能有感；token decode 與遊戲幀率往往幾乎不動。這是非官方改機，有穩定性與保固風險。
- Cloudflare 為 Node.js Brotli 漏洞推緊急 WAF 規則，但預設只記錄不封鎖
先講結論。 用 Node.js 26.x、24.x、22.x 的人要升級到修補版；Cloudflare 的新規則預設只記錄、不封鎖，真正的修補還是要靠升級。用 Next.js 的團隊要特別檢查。
- 會解壓外部 Brotli 請求本文的服務，修補前可先拒收 br 編碼
br。
- PHP2Shell 攻擊計畫曝光，台灣製造、物流與航空列第二優先目標
先講結論。 跑 PHP 的台灣製造、物流與港口、機場航空業者要特別注意：攻擊計畫把台灣列為第二優先，但還沒定發動日期。先升級到 PHP 修補版。
- OpenAI 公開訓練環境隔離做法：Agent 曾逃出外網，訓練停擺 11 天
先講結論。 如果你在同一台主機用 Kata、gVisor 或 Docker 跑不受信任的 Agent 程式碼，這會影響你：要追蹤相關修補，並避免把不同信任等級的工作負載放在同一台實體機。
- Electrum 4.8.3 緊急修補：惡意伺服器誘導 RBF 加價，已有用戶損失
先講結論。 用 Electrum 4.8.3 以前版本的人都受影響，野外已有惡意伺服器在發動攻擊。升級到 4.8.3；不能升級就逐筆核對完整地址與金額。
- Bitcoin Core 新增「容易發現」漏洞分類，LLM 找得到就不再禁運
先講結論。 改變的是公告方式：這類漏洞會盡快修補並公告，不套用原本的禁運期。