一次只读巡检看到的东西：版本指纹、用户枚举、XML-RPC 放大、RSS 全文、缺四个安全头，还有一条没带 Secure 的 session cookie。附 Nginx 与 functions.php 的关闭配置。
2026-10-19
PHP 9 月 24 日一次发出四个安全版本；Elementor 修掉一个能凭空造出管理员的洞；Grav 把几个月前的修复回迁到 1.7；Froxlor 三个洞两个 9.9 分。
2026-09-27
同一台服务器、同一份 nginx 配置，两个站的静态文件一样快，需要 PHP 的页面却差近一倍。同机对照把范围锁到 PHP，再用只改一个变量的 A/B 找到根因：open_basedir 会让 PHP 停用 realpath 缓存。
2026-09-26