一次只读巡检看到的东西：版本指纹、用户枚举、XML-RPC 放大、RSS 全文、缺四个安全头，还有一条没带 Secure 的 session cookie。附 Nginx 与 functions.php 的关闭配置。
2026-10-19
PwnEscape 让虚拟机每包读走 32 字节宿主内存，升 guest 无用；WordPress 一天六条 9.8；AUR 出了仿冒 yay 的包。
2026-10-18
用本站正在跑的 AeroCoreFree 父/子主题做实例：挑主题看哪三处、子主题覆盖不了什么、SEO 字段为什么会静默丢失、插入代码框的整段替换与标签嗅探、组件包缓存只认布局这些真实踩过的坑。
2026-10-14
Bricksforge 不用账号就能写 PHP，10 月 7 日夜起被扫；微软补丁日 1,407 条首破千；DNS 根已换 KSK-2024；cPanel 补规则引擎。
2026-10-14
WordPress 7.1.3 在 10 月 6 日一次修七条，两条不需要任何账号；Ninja Forms 与 WPC Product Bundles 的存储型 XSS 已被在野利用，载荷跑完能留下四道后门；Atlassian 八个自托管产品共用同一条 9.3 分的洞；Node.js 26 本月 2
2026-10-07
WordPress 官方说主题管呈现、插件管行为，主题不该加站点级关键功能。可商业主题几乎都在越界，真正的坑在灰色地带。一个问句加三条判据，以及放错的四种代价。
2026-10-06
Docker Engine 29.8.2 一版修掉 14 条，其中一条能让拉镜像绕开证书校验；Python 3.10 在 10 月 1 日停止接收安全更新；一个 WordPress 表单插件一次补丁修了三个洞，两个不需要登录；Next.js 16.3.8 修掉图片优化里的 SSRF。
2026-10-04
containerd 1.7 于 9 月 30 日停止维护；Docker Desktop 4.93.0 修了 27 条；Next.js 今天要发九洞版本；一个 WordPress 表单插件的富文本字段可被未登录者塞脚本。
2026-09-30
PHP 9 月 24 日一次发出四个安全版本；Elementor 修掉一个能凭空造出管理员的洞；Grav 把几个月前的修复回迁到 1.7；Froxlor 三个洞两个 9.9 分。
2026-09-27
同一台服务器、同一份 nginx 配置，两个站的静态文件一样快，需要 PHP 的页面却差近一倍。同机对照把范围锁到 PHP，再用只改一个变量的 A/B 找到根因：open_basedir 会让 PHP 停用 realpath 缓存。
2026-09-26