要点速览
- PHP 核心被曝 CVSS 10.0 远程代码执行漏洞，影响默认安装，官方补丁于当日 14:00 UTC 发布。
- Cloudflare 的 WAF 规则在 03:02 UTC 上线，比漏洞披露早约 9 小时，对所有客户开放，但只是临时缓解。
- OpenAI 称其模型在“Patch the Planet”计划中协助发现这些漏洞，修复涉及 PHP 引擎重大改动，准备期长达两个月。
- 开发者对官方响应速度提出批评，认为从发现到确认、再到补丁各隔一个月，缺乏紧迫感。
- 有开发者选择在补丁发布前断开所有站点和 VPS，Ubuntu 随后发布修复，服务恢复。
- 开发者用同一审计提示词对比 Cursor 与 Conductor，Cursor 2 分钟完成、花费 3.61 美元，Conductor 16 分钟后仍在运行。
- 一名开发者在 Mac 上以 C# + WinUI 3 从零构建原生 Windows 版 Mole，一个月写出 8 万多行代码和 4000 多个测试。
一、PHP 关键漏洞与应急响应
- PHP 核心存在 CVSS 10.0 的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），影响默认安装。Cloudflare 的 WAF 规则于 03:02 UTC 上线，比漏洞披露早约 9 小时；由于漏洞提前泄露，团队已观察到攻击者针对规则变异载荷并持续更新规则。该规则对所有客户（含免费用户）开放，但只是临时缓解，官方补丁于当日 14:00 UTC 发布，应尽快打补丁。1 2 3
- OpenAI 称其模型在“Patch the Planet”计划中协助研究人员发现这些 PHP 关键漏洞。PHP 运行约 70% 的网站，缺陷位于运行时，更新插件无法修复；修复涉及 PHP 引擎的重大改动，因此准备期长达两个月。OpenAI 认为这是近年影响最大的漏洞之一，也显示前沿 AI 能先于攻击者发现漏洞。1 2
- 有开发者批评 PHP 官方在 Cloudflare 已报告攻击的情况下未尽快发布修复：虽然补丁发布后漏洞可被用于攻击未修补服务器，但当前所有服务器都可被利用，拖延并不更好；从发现到确认隔了一个月，再到补丁又隔一个月，以该漏洞的严重程度而言缺乏紧迫感。1 2
- 开发者 @levelsio 预先断开所有站点和 VPS，等待 2 PM UTC 补丁，并称 69.3% 的网页运行 PHP；他提到一位大厂朋友因 OOO 打算几天后再打补丁，认为补丁发布后可被逆向、大量站点将被黑、用户数据会泄露。Cloudflare WAF 规则被他视为不完美的临时方案，最安全是打补丁前断网；Ubuntu 随后发布修复，他确认所有服务恢复并称赞 Ubuntu 和 PHP 团队。1 2 3 4 5
- 作者警告，未来几天未更新的自托管网店或运行 php8.0 的 SaaS 可能遭凭据窃取攻击，登录凭据和个人信息可能泄露，复用密码者需警惕；
apt update因需求过大出现镜像服务器 503。1 2
二、AI 辅助开发与工具实测
- Jack Ellis 用同一审计提示词对比 Cursor 与 Conductor（均由其 Claude 订阅驱动）：Cursor 按 API 计价花费 3.61 美元、2 分钟完成且“全部查出”，Conductor 16 分钟后仍在运行；作者据此强调时间成本。1
- Tw93 在 Mac 上开发原生 Windows 版 Mole，技术栈为 C# + WinUI 3，运行于 .NET 10；因 Mac 版 Swift 代码中可脱离 AppKit、SwiftUI 使用的部分不足 20%，Windows 版几乎从零编写。Windows 版通过脚本把 Mac 版设计 token 转为 XAML 资源、同步 11 种语言文案，并以记录对应 Mac 提交和 SYNC.md 对账表保持功能对齐；作者认为可复用的是设计、文案和规则，而非代码抽象。1
- 作者称一个月写出 8 万多行 Windows 代码和 4000 多个测试，大部分可在 Mac 上完成；架构分四层：Core 仅依赖 .NET，Platform 封装注册表、文件系统、Win32，ViewModel 与 Mac 版一一对应，仅 WinUI 界面层须在 Windows 编译。开发环境为 Mac 上的 Parallels Desktop（约 300 多美元/年），仓库作为共享文件夹挂入虚拟机，通过 prlctl exec 执行编译、启动、日志脚本，并让 Claude 读取日志；界面操作借助 Codex computer use，系统弹框由作者手动确认。1
- 作者称 Windows 签名生态不如苹果：微软 Azure Artifact Signing 每月 9.99 美元，但个人仅限美国和加拿大开发者；2023 年起私钥须存于硬件或云端 HSM，2026 年起单张证书最长 460 天。作者购买 Certum 云端 OV 证书，3 年 300 多美元，签名需 SimplySign 加手机动态码，会话闲置数小时断开，难以云端自动打包。1
- @levelsio 用 Claude Code 改造 Amazon Alexa，使其播放自建 MP3 音乐库和网络电台（含其电台 @pieter、Rinse FM、Bassdrive、BBC World Service、Bloomberg），称 Alexa 实用性提升 1000 倍，并称之为“个人软件时代”。他随后公开完整提示词：建私有 Alexa skill，从 S3/R2 读取音乐、用预签名 URL 播放、以 AudioPlayer token 保存队列、支持电台流与断流重连，并用 ASK CLI 部署。1 2
三、增长与内容分发观察
- Tibo 对 AI 引用来源的 AEO 实验显示：被引网站 DR 中位数为 86，DR 低于 30 的仅占 7%；73% 来源为博客类内容，产品/落地页 7%、论坛社交 3%；ChatGPT 例外，仅 18% 为博客、63% 为原始来源（如定价页、文档）；不少被引页面含计算器、图表、表格或模板。作者据此建议先提升 DR 至 30+，并让产品出现在 AI 常引用的榜单中，同时称已为 Outrank 博客 280 篇中的 275 篇加入互动元素。1
- Tibo 称 2022 年以 1000 万美元出售创业公司，2024 年从零重启，如今产品自 2024 年以来的累计收入已超过当年退出所得，并感慨“你能走得比想象中更远”。1
