今天abc看了啥🤔

现在我也不知道这频道发了啥了，各位慢慢吃瓜，将就着看

联系我请去 @abc1763613206

友链儿
@cyberElaina
@rvalue_daily
@billchenla

今天abc看了啥🤔

  1. 今天abc看了啥🤔

    bupt.moe
    #security CVE-2026-109618 CVE-2026-109619 PHP RCE，目前尚未公开但是已泄露。 等公开之后会修改此条消息。 src: https://x.com/watchtowrcyber/status/2112611507749982605
    https://t.me/outvivid/4938
    Telegram
    层叠 - The Cascading
    🔴 PHP 严重漏洞被泄露和复现；欧盟机关建议 PHP 服务在修复漏洞前暂时下线。

    - PHP 官网称修复会在今日 22:00 (UTC+8) 发布。
    - 有说法称 mitigation 是在 php.ini 设置 session.upload_progress.enabled = Off 。

    1. https://php.net/archive/2026.php#2026-10-20-1
    2. cert.europa.eu/~
    3. HackerNews:50167754

    CVE: CVE-2026…

  3. 今天abc看了啥🤔

    TiDB (国内云原生 NewSQL DB 领头羊) 发生大规模用户数据泄露事件，总泄露数据量达 10TiB+泄露数据清单：

    Forwarded from HAT's Public Channel | 🫪
    TiDB (国内云原生 NewSQL DB 领头羊) 发生大规模用户数据泄露事件，总泄露数据量达 10TiB+

    泄露数据清单：

    • 10.5 TB+ 总数据量
    • 4,901,203 个文件
    • 533.8M (5.3亿) 行数据的 BigQuery Repo
    • 180,046 个客户
    • 403,262 个邮箱
    • 115,308 个客户 API 密钥（明文）
    • 5,036,738 个客户服务器 IP 地址
    • 377,446 个内部 Jira 工单信息
    • 433,927 个 CRM 客户
    • 413 个私有 Git Repo


    攻击者留下的正文：

    今天，我们公开披露对 PingCAP 的入侵事件。我们掌握了完整的 TiDB Cloud 控制平面、其计费和财务系统、GCP 存储资源和 AWS 成本与计费系统，以及其 Jira、CRM、分析系统、源代码，还有一份长达四年的日志，记录了所有客户从其应用服务器 IP 地址发起的每一次产品连接。

    PingCAP 销售的 TiDB Cloud 是开源数据库 TiDB 的托管版本。银行、游戏工作室和电商平台将生产工作负载交给 PingCAP；PingCAP 在一个共享的多租户平台上运行这些集群，而其整个业务都建立在“这样做安全可靠”这一主张之上。下文的证据表明，事实并非如此。

    首先，他们似乎对自己的云服务毫无监测能力。令人遗憾的是，这在我们攻破的公司中十分常见：他们愿意投入数百万美元购买花哨的 EDR，却任由五百多个 S3 存储桶里的数据大摇大摆地流出。

    但这可是一家云服务提供商，他们的各项云服务AWS、GCP、Atlassian / Jira、Azure 遭到大规模、明目张胆的入侵和数据外传，他们却似乎完全无法察觉，这既骇人听闻，也极不负责任。首次外传约 8 TB 数据后，我们又持续外传了近两个月，并定期获取新增数据。

    我们甚至利用提交到他们自己代码仓库中的凭据「GCP 服务账号密钥和 Azure 服务主体」 搭建了一条从其控制平面数据库复制数据的通道，让他们自己的基础设施把数据送到我们手里。在这次行动的最后二十二天，即 9 月 8 日至 9 月 30 日，这条数据通道每六小时都会将 TiDB Cloud 运行核心中的每一张表 「租户、用户、API 密钥、集群凭据、变更数据流、迁移记录」重新导出并传送出去。连续导出八十八次，一次都没有被发现。最后一次导出于 9 月 30 日 06:02（UTC）进行。所导出的控制平面数据已包含在第一阶段发布的数据中。


    src: https://fulcrumsec.vg/pingcap/

  4. 今天abc看了啥🤔

    Forwarded from HAT's Public Channel | 🫪
    HAT's Public Channel | 🫪
    TL;DR: 前人的💩山在自动挖洞 AI Agent 井喷时代终于彻底爆炸了，这些神人 CA 私钥的有效位只有 1Byte Comodo AAA Services root emSign ECC Root CA - G3 emSign Root CA - C1 emSign ECC Root CA - C3 *记得 ban 掉这些 rootCA，Comodo AAA Services root 现在的名字叫做 “Sectigo”，全球最大的廉价商业 SSL 证书上游之一 测试你的环境是否已屏蔽受影响…
    测试你的环境是否已屏蔽受影响 rootCA:

    https://emudhra.we-have-a-problem.com/

    或手动访问：

    https://dv-g3b-emudhra.we-have-a-problem.com/
    https://dv-g3c-emudhra.we-have-a-problem.com/
    https://ov-g3b-emudhra.we-have-a-problem.com/
    https://ov-g3c-emudhra.we-have-a-problem.com/
    https://ev-g3b-emudhra.we-have-a-problem.com/
    https://ev-g3c-emudhra.we-have-a-problem.com/
    https://dv-g3b-aaa-emudhra.we-have-a-problem.com/
    https://dv-g3c-aaa-emudhra.we-have-a-problem.com/
    https://ov-g3b-aaa-emudhra.we-have-a-problem.com/
    https://ov-g3c-aaa-emudhra.we-have-a-problem.com/
    https://ev-g3b-aaa-emudhra.we-have-a-problem.com/
    https://ev-g3c-aaa-emudhra.we-have-a-problem.com/

  5. 今天abc看了啥🤔

    TL;DR: 前人的💩山在自动挖洞 AI Agent 井喷时代终于彻底爆炸了，这些神人 CA 私钥的有效位只有 1Byte Comodo AAA Services root emSign ECC Root CA - G3 emSign Root CA - C1 emSign ECC Root CA - C3*记得 ban 掉这些 rootCA，Comodo AAA Services root 现在的名字叫做 “Sectigo”，全球最大的廉价商业 SSL 证书上游之一

    Forwarded from HAT's Public Channel | 🫪
    TL;DR: 前人的💩山在自动挖洞 AI Agent 井喷时代终于彻底爆炸了，这些神人 CA 私钥的有效位只有 1Byte

    Comodo AAA Services root
    emSign ECC Root CA - G3
    emSign Root CA - C1
    emSign ECC Root CA - C3


    *记得 ban 掉这些 rootCA，Comodo AAA Services root 现在的名字叫做 “Sectigo”，全球最大的廉价商业 SSL 证书上游之一

    测试你的环境是否已屏蔽受影响 rootCA:

    https://emudhra.we-have-a-problem.com/

    或手动访问：

    https://dv-g3b-emudhra.we-have-a-problem.com/
    https://dv-g3c-emudhra.we-have-a-problem.com/
    https://ov-g3b-emudhra.we-have-a-problem.com/
    https://ov-g3c-emudhra.we-have-a-problem.com/
    https://ev-g3b-emudhra.we-have-a-problem.com/
    https://ev-g3c-emudhra.we-have-a-problem.com/
    https://dv-g3b-aaa-emudhra.we-have-a-problem.com/
    https://dv-g3c-aaa-emudhra.we-have-a-problem.com/
    https://ov-g3b-aaa-emudhra.we-have-a-problem.com/
    https://ov-g3c-aaa-emudhra.we-have-a-problem.com/
    https://ev-g3b-aaa-emudhra.we-have-a-problem.com/
    https://ev-g3c-aaa-emudhra.we-have-a-problem.com/



    https://www.heise.de/news/Vorfall-bei-Zertifizierungsstelle-eMudhra-Acht-CA-Zertifikate-kompromittiert-11494412.html
    Security
    CA-Zertifikate gesperrt: Sicherheitsvorfall bei Zertifizierungsstelle eMudhra
    CA-Zertifikate gesperrt: Sicherheitsvorfall bei Zertifizierungsstelle eMudhra
    Die privaten Schlüssel waren trivial einfach zu raten; einer lautete „4“. Mit ihnen konnten Angreifer gültige TLS-Zertifikate für beliebige Domains ausstellen.

  8. 今天abc看了啥🤔

    撤销对疑似泄漏根证书颁发机构的信任接 Mozilla 通告，Nixpkgs 已于 #576390（26.05 #576401）撤销对以下根证书颁发机构的信任：- Comodo AAA Services root- emSign ECC Root CA - G3- emSign Root CA - C1- emSign ECC Root CA - C3鉴于 PR 合并后仍需时间才能到达发布频道，建议暂时在 NixOS 配置中做如下修改：security.pki.caCertificateBlacklist = [

    Forwarded from NixOS CN 新闻
    撤销对疑似泄漏根证书颁发机构的信任

    接 Mozilla 通告，Nixpkgs 已于 #576390（26.05 #576401）撤销对以下根证书颁发机构的信任：
    - Comodo AAA Services root
    - emSign ECC Root CA - G3
    - emSign Root CA - C1
    - emSign ECC Root CA - C3

    鉴于 PR 合并后仍需时间才能到达发布频道，建议暂时在 NixOS 配置中做如下修改：
    security.pki.caCertificateBlacklist = [
  "Comodo AAA Services root"
  "emSign ECC Root CA - G3"
  "emSign Root CA - C1"
  "emSign ECC Root CA - C3"
];
    Mozilla Security Blog
    Protecting Firefox users following the compromise of eMudhra intermediate certificates
    On Saturday, October 17, at 20:06 UTC, Mozilla received a report that private keys associated with eight eMudhra intermediate certificates had been compromised. These keys could allow attackers to issue ...

  10. 今天abc看了啥🤔

    主流 MC 启动器将停用中国大陆用户的 MC 下载服务由于某服务器未成年充钱，然后老中举报顺手把 PCL 也带上了主流 MC 启动器将停用中国大陆用户的 MC 下载服务由于某服务器未成年充钱，然后老中举报顺手把 PCL 也带上了

    Forwarded from 我喜欢你
    主流 MC 启动器将停用中国大陆用户的 MC 下载服务
    由于某服务器未成年充钱，然后老中举报顺手把 PCL 也带上了

  11. 今天abc看了啥🤔

    我的世界（Minecrat）第三方半闭源启动器 PCL* 宣布关闭启动器内游戏下载功能

    我的世界（Minecrat）第三方半闭源启动器 PCL* 宣布关闭启动器内游戏下载功能。
    开发者龙腾猫跃表示该决定和网易微软Mojang（开发者与发行商与国内代理）无关，与「中国式家长」*有关。

    *评论区有读者补充是有小孩在服务器充钱被家长举报了

    https://afdian.com/p/67085a68cc5411f1886152540025c377

    *HMCL 也推送了停用 https://github.com/HMCL-dev/HMCL/pull/7017
    Afdian
    爱发电 · 连接创作者与粉丝的会员制平台
    将创作的自由还给创作者！爱发电是让创作者简单地获得稳定收入的粉丝赞助平台。无论你在创作什么，都能在这里获得持续的资金支持，让创作从此更自由。

  12. 今天abc看了啥🤔

    GitHub 也受不了爬虫和扫描了

    Forwarded from iBug Thought �
    GitHub 也受不了爬虫和扫描了
    https://github.blog/changelog/2026-10-19-some-git-over-https-may-temporarily-require-authentication/
    The GitHub Blog
    Some Git over HTTPS may temporarily require authentication - GitHub Changelog
    Some Git over HTTPS may temporarily require authentication - GitHub Changelog
    During periods of unusual traffic, GitHub may temporarily require authentication for some clones and fetches of public repositories over HTTPS to help protect github.com’s availability. If an operation is affected,…

  13. 今天abc看了啥🤔

    美国国土安全部（DHS）即将发布针对 DeepSeek 的禁令 DHS-2026-0628

    美国国土安全部（DHS）即将发布针对 DeepSeek 的禁令 DHS-2026-0628。DHS 认为 DeepSeek 的风险在于其受中国法律管辖的服务器和数据处理机制，可能导致美国政府敏感数据被收集并转移，从而产生情报泄露及网络安全漏洞威胁。主要内容包括：
    1. 将杭州深度求索人工智能基础技术研究有限公司（DeepSeek，包括适用法规中所定义的关联实体）开发的信息技术产品和服务排除在联邦民事机构采购之外；
    2. 从民事机构的信息技术系统中移除所有 DeepSeek 及其关联实体的产品，以及使用 DeepSeek 技术部署（implementations）开发的第三方产品和服务。

    禁令的原文可参见：https://www.federalregister.gov/public-inspection/2026-21447/order-exclusion-and-removal-of-deepseek-products-from-federal-civilian-executive-branch-information
    Federal Register
    Public Inspection: Order: Exclusion and Removal of DeepSeek Products from Federal Civilian Executive Branch Information Technology…

  14. 今天abc看了啥🤔

    不过好像全世界都知道 Space Bunny 是 MiniMax 了

    Forwarded from 无印🐑品 #BeHonest
    不过好像全世界都知道 Space Bunny 是 MiniMax 了

    https://x.com/MiniMax_AI/status/2112150867868541221
    X (formerly Twitter)
    MiniMax (official) (@MiniMax_AI) on X
    MiniMax (official) (@MiniMax_AI) on X
    MiniMax M3.1 Flash: Space Performance + Bunny Speed

    🚀🐰 Yes, Space Bunny - which has topped global leaderboards with 200T+ tokens - was an earlier version of M3.1 Flash.

    💰Redefining the perfo…