昨晚上是 php 攻城狮们最难熬的一晚了吧。

没什么故弄玄虚吓唬人的，就是实打实踩上一个安全大坑。

CVSS 9.2 分，预认证远程代码执行。

用不着偷你的账号密码，攻击者随便扔一段精心捏出来的 HTTP 请求，

运气凑齐了，服务器就归人家串门了。

这年头做后端，PHP 这老伙计，平日里勤勤恳恳闷头干活，冷不丁就给你扔出来俩内核漏洞。

别上来就骂业务代码写得烂，这回不赖业务，是底层内存耍了脾气。

说直白点，内存玩脱了，指针到处瞎指，内部状态搅得一塌糊涂，外人借着这个空子，就能在机器上跑代码。

两个窟窿，CVE-2026-109618、CVE-2026-109619，各是各的毛病，别混作一团看。

昨天装上 Windows 11 26H2 Insider，打完十月那波累积安全更新之后，音频直接炸了。

现象很诡异，HDMI、DP 输出的音频设备在系统里看得见，点选上去就是没声音。

设备管理器偶尔抛代码 10，设备列表还会不停闪烁刷新。

我来回重装显卡驱动、摆弄音频服务，一通操作下来什么变化都没有。

一开始我下意识以为是 26H2 这个功能版本本身的问题，都准备直接完整回退系统了。

抱着试一试的心态，只卸载刚装上的质量更新，重启完，声音直接回来了。

翻了一圈外网才发现中招的不止我一个，

微软社区、不少技术博客都在反馈同一个问题：KB5127648，更新后构建号来到 26300.9711。

微软社区传送门

问题不在于 26H2 本体，是这一版十月质量补丁引入的回归 bug。

搞开源的程序员，大多有点条件反射。

看见开源协议的链接啪一下蹦出个 404，心里立马七上八下。

最近不少朋友反馈，以前常用来查木兰许可证的老地址 https://license.coscl.org.cn/MulanPSL2，点进去啥都没有。

第一反应基本都是：坏了，协议是不是没人管，就此歇菜了？

我一开始也是这么想的，心里犯嘀咕，专门翻了开放原子基金会发布的公开消息，

才搞明白：不是撂挑子跑路，是换东家，正式移交托管了。

十一没往外地景区扎堆，回武威。

回武威主要就办一件事：吃席。参加婚礼，随份子，剩下的时间纯属捎带。

时间紧迫，就随便走了走……

老城墙遗址

在武威活这么大，我一直当老城墙早拆干净了，尤其东城墙，只在老人嘴里听过，压根没指望亲眼见着。

谁能想到，这截残墙就藏在老家属院里。

前几年大家兴重视文物，把它发掘整理出来，修了个城墙遗址广场。

这回算是有幸，亲眼见了传说里的凉州东城墙。

晚上正窝着看剧，邮箱弹窗冷不丁跳出来，是十年之约寄来的信。

当初申请加入，单纯觉着这事有意思。

独立博客早不是当年热闹场面，大家各自守着一方小小的站点，像散落在各地的自留地。

十年之约拿虫洞把这些零散站点串在一起，随机跳转，一头扎进素不相识的人的文字里。

现在回头看，这事浪漫，也带点不切实际的傻气，随手提交申请，日子就钉在了 2022 年 12 月 26 日。

之后照旧写自己的碎想法，没把这个约定当成沉甸甸的任务，写得随性，搁笔断更也是常有的事。

点开邮件才知道站点改版了。