一次只读巡检看到的东西：版本指纹、用户枚举、XML-RPC 放大、RSS 全文、缺四个安全头，还有一条没带 Secure 的 session cookie。附 Nginx 与 functions.php 的关闭配置。
2026-10-19
同一台服务器、同一份 nginx 配置，两个站的静态文件一样快，需要 PHP 的页面却差近一倍。同机对照把范围锁到 PHP，再用只改一个变量的 A/B 找到根因：open_basedir 会让 PHP 停用 realpath 缓存。
2026-09-26
WordPress 7.1.2 修复 CVSS 9.2 的路径穿越漏洞，距上一个安全版只有五天；cPanel 同批修掉三个洞，最严重的可让任意托管账号以 root 执行代码；PHP、nginx、Redis、libxml2 的 9 月补丁一并过一遍。
2026-09-23