IT2021科技站

离线环境交付软件最容易被低估的环节，不是把镜像和安装包拷进去，而是证明“进去的东西确实是我构建、我签名、我没有在传输途中被替换”。Zarf 1.0 的价值正在这里：它把 Kubernetes 和云原生工作负载所需的镜像、清单、依赖与 SBOM 打包成可迁移的制...

WordPress 的日常维护里，核心更新通常被视为修复漏洞的动作，而不是风险来源。CVE-2026-119977 改变了这个默认假设：在全量包核心升级进行的那段时间里，站点会把安装文件暂存到 Web 可访问的目录，攻击者可以在升级器检查与使用之间抢先介入。公...

在代码审查中，一个名字类似 security-audit.yml 的工作流文件往往会被当作可信的基础设施：它的职责看起来是发现问题，而不是引入风险。恰恰是这种身份预设，使得攻击面被折叠进“例行审计”这四个字里——审查者关心它报告了什么，却容易忽略它实际能做什么...

CVE-2026-98432 是一个影响 Linux 内核 IPv4 TCP 栈的释放后使用（use-after-free）漏洞，公开资料给出的 CVSS 评分为 9.8，影响范围从 Linux 4.4 起的内核。它出问题的位置在网络栈而不是某个应用，因此一台...

2026年10月21日，Node.js 项目发布 22.23.4、24.22.1 和 26.12.1 三个版本线更新，集中修复 10 项漏洞。其中最严重的是 CVE-2026-111497：Brotli 解码器中的越界写入缺陷，攻击者提供特制的 Brotli ...

授权渗透测试里，最容易被写错的结论只有一句话：扫描到了带漏洞的组件，应用就“中招”了。面对 HTTP2Shell（CVE-2026-111497，Brotli 解压解码器内存破坏，CVSS v4.0 评分 9.2）这类影响面横跨 Node.js、Python、...

容器里的 /proc 通常不是空白目录，而是内核暴露给进程的窗口。Kubernetes 默认会给容器挂载带掩码的 /proc，把一部分敏感节点遮住，以缩小攻击面；当工作负载在 securityContext.procMount 中写入 Unmasked 时，这...

CVE-2026-123158 公开后，最需要避免的判断方式，是把“Linux 服务器”整体划进受影响范围。按照 NVD 的记录，这个漏洞成立需要同时满足几个条件：运行 OpenSSH 10.6p2 之前的版本、使用 musl libc、未启用 PAM，并且账...

如果一个团队已经在用大模型做代码审计，痛点往往不在模型本身，而在流程：候选漏洞、复现证据、修复建议散落在脚本、终端历史和聊天记录里，没人说得清哪一条是经过验证的。0sec Labs 开源的 0 就是冲这个问题来的——它把自己定位成一层编排（harness），把...

周一早上，仓库里多了一个名为 sast 的 CI job。第一次全量扫描返回几百条告警，从 SQL 注入到硬编码令牌，分布在五年前就没人动过的目录里。当天打开的 PR 全部变红，作者们发现自己的改动只有十几行，却要为上百条历史问题负责。两周后，这个 job 被...