安全相关技术文章（第2页）

php mysql shell go vue css api接口对接支付接口对接

OpenSSH 10.6 升级笔记：压缩、用户名和证书日期这三处先动

OpenSSH 10.6 升级笔记：压缩、用户名和证书日期这三处先动
2026-10-22 21:03:38
OpenSSH 10.6 关闭 LZ77 字典编码器以缓解多路复用压缩侧信道，Compression 效果随之变差；ssh 命令行用户名拒收 $ 与反斜杠；ssh-keygen 修正夏令时导致证书过期时间偏差。附验证命令、重签检查与升级顺序。
OpenSSH 运维安全升级

PHP 8.6 的 PASSWORD_BCRYPT_SHA256：先做 HMAC-SHA256，避开 bcrypt 的 72 字节截断

PHP 8.6 的 PASSWORD_BCRYPT_SHA256：先做 HMAC-SHA256，避开 bcrypt 的 72 字节截断
2026-10-19 21:03:04
bcrypt 只读前 72 字节，长密码会被静默截断。PHP 8.6 新增 PASSWORD_BCRYPT_SHA256：先 HMAC-SHA256 再送 bcrypt，沿用 Passlib 方案。含生成/校验写法、列宽与 password_needs_rehash 迁移顺序、与旧 bcrypt 不兼容的边界。
PHP 密码哈希 bcrypt 安全

golang.org/x/net v0.60.0 修复 5 个 HTTP/2 问题：Trailer 内存放大、窗口变更 CPU 放大、flow control 重复退还与 HPACK 竞态

golang.org/x/net v0.60.0 修复 5 个 HTTP/2 问题：Trailer 内存放大、窗口变更 CPU 放大、flow control 重复退还与 HPACK 竞态
2026-10-16 21:08:36
golang.org/x/net v0.60.0 修复 5 个 HTTP/2 问题：Trailer 头导致 server 内存耗尽（CVE-2026-78659）、反复变更 initial window 造成 CPU 放大（CVE-2026-78669）、flow control 重复退还（CVE-2026-78663）、HPACK encoder 竞态打崩 server（CVE-2026-97032）、畸形 framing 头致 response smuggling。含机制、修复与 Go issue 链接。
Go HTTP 2 安全 net http

Kubernetes 新增核心 CVE：StatefulSet 跨命名空间建 Pod、Windows kubectl cp 路径穿越、CSI subDir 越权删除

Kubernetes 新增核心 CVE：StatefulSet 跨命名空间建 Pod、Windows kubectl cp 路径穿越、CSI subDir 越权删除
2026-10-16 21:07:37
Kubernetes 官方 CVE 订阅源 10 月新增一批条目。核心（非 ingress）部分：StatefulSet/ControllerRevision 写权限可跨命名空间建 Pod、Windows 节点 subPath 符号链接 NTLM coercion、Windows 上 kubectl cp 路径穿越、CSI SMB/NFS 通过 subDir 越权删目录。含 CVE 号与 issue 链接。
Kubernetes CVE 安全运维

Go 1.26.9 / 1.27.2 修复 15 个安全漏洞：HTTP/2 服务可被远程打崩，ReverseProxy 对 CONNECT 改返 405

Go 1.26.9 / 1.27.2 修复 15 个安全漏洞：HTTP/2 服务可被远程打崩，ReverseProxy 对 CONNECT 改返 405
2026-10-16 20:02:06
Go 1.26.9 与 1.27.2（2026-10-08）修复 15 个安全漏洞：HTTP/2 服务可被远程打崩或内存耗尽，HTTP/1 CONNECT 处理导致请求走私，ReverseProxy 现在对 CONNECT 返回 405，Range 头新增 200 段上限。本文列出各 CVE 的影响面与升级命令。
Go 安全 net http HTTP 2 运维

PHP 8.6 session 安全默认值变更：use_strict_mode、cookie_httponly、cookie_samesite 都改了

PHP 8.6 session 安全默认值变更：use_strict_mode、cookie_httponly、cookie_samesite 都改了
2026-10-10 21:02:48
PHP 8.6 把 session 的三个 INI 默认值改为安全值：use_strict_mode=1、cookie_httponly=1、cookie_samesite=Lax，并调整了 session_encode() 空会话返回值与 lazy_write 写入路径。本文列出哪些场景会被打破、自定义 handler 要补哪些方法、以及如何显式回退旧行为。
PHP Session 安全文件管道兼容代码

Vault 2.0 GA 于 2026-04-14：SCIM、SPIFFE JWT-SVID、Secret Sync 与 1.21 的 CSI 挂载

Vault 2.0 GA 于 2026-04-14：SCIM、SPIFFE JWT-SVID、Secret Sync 与 1.21 的 CSI 挂载
2026-10-09 21:07:51
Vault 2.0（2026-04-14 GA）带来 SCIM 身份预配、SPIFFE JWT-SVID、Secret Sync（WIF 同步密钥不存静态凭据）、信封加密、AWS KMS 多区域密钥与 Linux 本地账户 secrets engine；并回顾 Vault 1.21 的 SPIFFE 认证、KV v2 created_by 归属、MFA TOTP 自助注册与 VSO 的 CSI 挂载。
Vault 密钥管理安全运维 2.0 引导身份 UX

2026 年 nginx 21 个 CVE 修复版本矩阵：9 月 HTTP/3 堆溢出与两个 major 漏洞

2026 年 nginx 21 个 CVE 修复版本矩阵：9 月 HTTP/3 堆溢出与两个 major 漏洞
2026-10-08 21:04:07
nginx 在 2026 年收录了 21 个 CVE，修复分布在 2 月到 9 月的 7 个版本。本文给出完整的 mainline/stable 修复矩阵，重点拆解 9 月的 CVE-2026-90439（HTTP/3 + OpenSSL<=3.5.0 堆溢出）与两个被标 major 的漏洞，并给出该升到哪个版本与自查方法。
nginx 安全 CVE 运维版本升级堆溢出 429

Redis 8.10.2 安全修复：cluster bus 认证与事务 ACL 撤销

Redis 8.10.2 安全修复：cluster bus 认证与事务 ACL 撤销
2026-10-06 21:03:43
Redis 8.10.2 安全修复：cluster bus 协议在未启用 tls-cluster 时没有自身认证，新增 cluster-bus-port-protected-mode（默认 no）；事务中排队的命令曾能访问已被撤销 ACL 权限的 key。附配置片段、bus 端口加固与升级建议。
Redis 集群安全 ACL 事务

Docker Engine 29.8.2 修掉恶意 DNS 导致的 registry TLS 跳过，29.9.0-rc.1 补 containerd 丢层

Docker Engine 29.8.2 修掉恶意 DNS 导致的 registry TLS 跳过，29.9.0-rc.1 补 containerd 丢层
2026-10-06 21:02:57
Docker Engine 29.8.2 修复 CVE-2026-92543：恶意 DNS 响应可让 registry 连接跳过 TLS 校验或退回 HTTP，导致凭据暴露与镜像替换；另有 OCI image index 深层嵌套导致无界资源。29.9.0-rc.1 还修了 containerd 存储丢层导致的产物不完整。
Docker 容器安全 CVE 降级

OpenSSL 3.6.4 安全修复：QUIC INITIAL 双重释放与 CMS 解包 8 字节越界写

OpenSSL 3.6.4 安全修复：QUIC INITIAL 双重释放与 CMS 解包 8 字节越界写
2026-10-04 21:03:43
OpenSSL 3.6.4（2026-08-25）安全修复里两条有明确触发路径：CVE-2026-18798 QUIC 服务端处理 INITIAL 包时双重释放，CVE-2026-63072 因长度查询与实际写入不一致导致 CMS 解包固定 8 字节越界堆写。本文拆解成因，并整理 3.6 相对 3.5 的新增能力、不兼容点与 2026-11-01 的支持结束时间。
OpenSSL 安全 TLS 运维可复现缓冲区 3.6 时序 init

PostgreSQL 18.6 升级自查：pgcrypto 曾静默把明文 XOR，GIN reltuples 也要检查

PostgreSQL 18.6 升级自查：pgcrypto 曾静默把明文 XOR，GIN reltuples 也要检查
2026-10-04 21:01:45
PostgreSQL 18.6 发布，18.5 因回归从未发布。其中 pgcrypto 的 PGP 加密在遇到不支持的 cipher（FIPS、legacy provider 未加载，如 blowfish/cast5/3des）时会静默把明文 XOR，等于没加密；新版默认解密失败，需 ignore-cipher-failure=1 剥壳重加密。另含逻辑解码输出插件白名单与 GIN reltuples、reindex 自查。
PostgreSQL pgcrypto 数据库安全回归

PHP 8.6 三个 session 默认值转向安全：Lax 会让跨站 POST 丢 session

PHP 8.6 三个 session 默认值转向安全：Lax 会让跨站 POST 丢 session
2026-10-04 21:01:45
PHP 8.6 把 session.use_strict_mode、cookie_httponly 默认设为 1，cookie_samesite 默认 Lax。三者各自防一类攻击，也各自能打断正常应用：Lax 会让跨站 POST 的 SSO 与支付回调丢 session，httponly 打断读 cookie 的前端 JS，strict_mode 拒绝外部传入的 session id。本文给出升级前自查与回退做法。
PHP PHP8.6 Session 安全表单 AX

开放接口签名与防重放：appId、nonce、HMAC/RSA 和验签顺序

开放接口签名与防重放：appId、nonce、HMAC/RSA 和验签顺序
2026-10-03 21:31:38
开放 API 对接怎么做签名与防重放：appId/timestamp/nonce/bodyHash/sign 各字段作用、签名串规范、服务端验签顺序、HMAC 与 RSA 选型、Redis nonce 防重放落地，并说清防重放与幂等的区别。
接口对接 API 安全签名防重放 HMAC 追踪

Fiber v3.5.0 的 proxy 中间件默认拒绝内网上游，内网部署需显式放行

Fiber v3.5.0 的 proxy 中间件默认拒绝内网上游，内网部署需显式放行
2026-10-03 21:03:13
Fiber v3.5.0 给 proxy 中间件加了 proxy.SecurityPolicy，默认拒绝 private/loopback 上游、非 http(s) scheme 与 HTTPS→HTTP 降级，并剥离 hop-by-hop 头；代理内网上游需显式设置 AllowPrivateIPs。含代码片段与运行要求。
Go Fiber Web框架中间件安全降级

curl 的连接复用漏洞群：SMB 可能传错 share，静态包的版本号还会骗过扫描器

curl 的连接复用漏洞群：SMB 可能传错 share，静态包的版本号还会骗过扫描器
2026-10-02 21:03:49
curl 8.17 的安全列表里，连接复用判断不严是主线：CVE-2026-5773 会让 SMB 传输复用错 share，可能下载/上传到错误位置；同类的还有 STARTTLS 复用、跨代理 Digest 泄露、bearer token 跨协议重定向泄露、证书固定绕过。本文还用 Netdata 静态包与 OPNsense 说明版本号扫描与实际编译选项不一致。
curl 安全 CVE 运维网络主题握手

MySQL 社区版 8 月安全更新：3 个组件族受影响，最高 CVSS 8.2，4 条可未认证远程触发

MySQL 社区版 8 月安全更新：3 个组件族受影响，最高 CVSS 8.2，4 条可未认证远程触发
2026-10-02 21:03:49
Oracle 2026 年 8 月 MySQL 社区版安全更新：8 条、3 个组件族、4 条可未认证远程触发，最高 CVSS 8.2，涉及 MySQL Cluster(NDB Operator)、MySQL Shell(libssh)、Connector/ODBC。本文列清受影响版本范围，并补上 7 月 X Plugin 可被接管(CVE-2026-60316)与 Server: Optimizer 可打崩条目，附自查与打补丁思路。
MySQL 安全数据库运维 CVE 日历

NGINX map 正则捕获顺序引发堆溢出：CVE-2026-42533 与 1.31.3 / 1.30.4 修复清单

NGINX map 正则捕获顺序引发堆溢出：CVE-2026-42533 与 1.31.3 / 1.30.4 修复清单
2026-10-02 21:03:10
F5 2026-07-15 带外披露 NGINX 内存破坏漏洞群，最严重的是 CVE-2026-42533（map 正则捕获变量引用顺序导致堆溢出，CVSS 9.2），与 60005/56434 共用修复版本 1.31.3 / 1.30.4。本文给出受影响版本、命名捕获的规避写法，以及 42530/42055/42945 与关 HTTP/3 等临时缓解。
NGINX 安全运维 CVE 服务器堆溢出缓冲区正则

OpenSSH 10.5 修复 ssh-agent 锁定绕过与 sshd restrict 隧道转发遗漏

OpenSSH 10.5 修复 ssh-agent 锁定绕过与 sshd restrict 隧道转发遗漏
2026-10-02 21:03:10
OpenSSH 10.5 修复了两处安全边界问题：ssh-agent 锁定时 session-bind 绑定请求被误拒，导致本应限本地的操作（加 PKCS#11 token、使用带 destination 限制的密钥）可被远程执行；sshd 的 restrict 关键字此前未覆盖隧道转发。另含 Portable 强制 ECC/NISTP521 与 10.4/10.3 关键项。
OpenSSH 安全运维 SSH 服务器隧道

Go 1.26.6 / 1.25.13 修复 10 个安全问题：net/url 的 O(n²) 与 TLS 1.3 KeyUpdate 派生循环

Go 1.26.6 / 1.25.13 修复 10 个安全问题：net/url 的 O(n²) 与 TLS 1.3 KeyUpdate 派生循环
2026-10-01 21:02:26
Go 1.26.6 与 1.25.13 的 10 个安全修复整理：net/url resolvePath 的 O(n²) DoS、crypto/tls 被 KeyUpdate 无限触发密钥派生、html/template JS 正则上下文 XSS、encoding/xml 递归、net/http 明文 HTTP/2 超时等，附 CVE 与 issue 号。
Go 安全 CVE net url crypto tls 正则握手

MySQL 9.7 的 caching_sha2_password：切到 PBKDF2_SHA512 后，enforce 会把账号按在登录口改密

MySQL 9.7 的 caching_sha2_password：切到 PBKDF2_SHA512 后，enforce 会把账号按在登录口改密
2026-09-26 21:04:34
MySQL 9.7 的 caching_sha2_password 新增 PBKDF2_SHA512 存储格式，用 caching_sha2_password_storage_format 切换首选格式；开启 enforce 会让非首选格式账号登录后强制改密。本文给出两个变量、SQL 操作、副本升级顺序与服务账号风险。
MySQL 认证安全升级运维

Laravel 13：PHP 8.3 起跳，PreventRequestForgery 做 origin 校验，Cache::touch 一条 EXPIRE 续期

Laravel 13：PHP 8.3 起跳，PreventRequestForgery 做 origin 校验，Cache::touch 一条 EXPIRE 续期
2026-09-26 21:03:32
Laravel 13 最低要求 PHP 8.3，CSRF 中间件更名为 PreventRequestForgery 并优先检查 Sec-Fetch-Site；Cache::touch 用一条 EXPIRE/TOUCH/UPDATE 续 TTL 而不取值。本文整理这两处升级注意点及 #[Middleware]/#[Authorize]、Queue::route、pgvector 语义搜索等改动。
PHP Laravel 框架缓存安全感知 Rig

PHP 8.6 升级：三个 session 默认值静默翻转，跨站 POST 会掉登录

PHP 8.6 升级：三个 session 默认值静默翻转，跨站 POST 会掉登录
2026-09-26 21:01:43
PHP 8.6 最可能打断生产环境的不是移除的函数，而是 session.use_strict_mode、cookie_httponly、cookie_samesite 三个默认值翻转且不报错。本文列出三项改动、跨站 POST 掉登录的复现路径、trim/unpack/NUL 字节等静默行为变更与弃用清单，并给出上线前的排查顺序。
PHP 8.6 session 升级迁移安全

大家都在搜索什么？

devops 易支付一个官网+多少钱统一接受回调统一回调 python sub node 宝塔日志 mysql shell ElasticSearch css vue api接口对接 2025 支付接口对接 go php php回调