Java 出了个 9.1 分漏洞 CVE-2026-91403，可我照着 Oracle 公告查了一圈，发现两个大坑
它不在这一季的 CPU 里，而那个 9.1 分里也没有 RCE 这一项。把 Oracle 的公告体系、CVSS 向量、供应链三层拆开看，才发现问题不在漏洞本身。
IPv6 Press
科技与网络观察
跟踪 AI、安全、运维与基础设施的一线动态。
-
-
PHP2Shell 炸了：CVSS 9.2，公开前一天就有人在打，而这两个洞在代码里躺了十年
CVE-2026-109618 和 CVE-2026-109619，PHP 5.4 到 8.5 全线受影响，未授权 RCE 加内存泄露。补丁版本、四条临时缓解、时间线，以及那个被搁置了两年的 bug。
-
76.2 万条微信全导出来喂给 AI：最难的压根不是 AI
76.2 万条消息、3675 万字、十年记录。导出、清洗、分块、向量化、混合检索，五步管道全流程，外加五个必踩的坑。还有那句没人愿意说的事实：能塞进 1M 上下文，不等于它记得住。
-
opencode-models-discovery 2.0.0 发布：配置形状全换，OpenCode v2 正式转正
九种元数据格式、原生 /connect 凭证、宿主托管缓存。从 v1 迁到 v2 的配置字段对照和四条检查清单都在这里。
-
我蹲了半个月，Gemini 4 Argon 今天凌晨终于全球上线了
先说结果：Gemini 4 Argon 今天（10 月 13 日）凌晨正式全球开放了。我为了它前后蹲了半个月，中间踩了两堵墙，都写在下边——顺便把它赢在哪、输在哪，用官方跑分表给你摆清楚。 第一堵墙： …
-
REA 爆火后，Agent 时代软件的护城河不存在了？
先说一个可能不太受欢迎的判断：“代码写得复杂所以抄不走”这个护城河，确实塌了。但“软件没有护城河了”是个过度反应——塌掉的只是其中一条，而且是本来就最脆弱的一条。 过去一周发生的几件事，正好把这条裂缝 …
-
SAST vs DAST vs IAST：安全测试三兄弟的互补而非替代
应用安全测试里最常见的三个缩写：SAST、DAST、IAST。很多人第一反应是“选一个最强的”，但这是个伪命题——这三兄弟不是竞争关系，而是从不同视角看同一个问题。选谁不取决于谁更先进，而取决于你处在 …
-
为什么现在还要搭建个人网站（Blog）
现在做内容的人，绝大多数把精力放在公众号、抖音、小红书、B 站上。这些平台流量大、见效快，看起来是“更划算”的选择。于是很自然的一个疑问是：都 2026 年了，为什么还要折腾一个个人网站（Blog）？ …
-
逆向一切软件：REA 冲上 GitHub 5.8 万 Star，agent 把逆向变成了提问
GitHub 最近又火了一个项目：REA（Reverse Engineer Anything）。用户丢过来的说法是“冲到 4.2 万 Star”，但截至今天（2026 年 10 月 10 日）实测，这 …
-
AI 渗透框架 ARTEX 攻破韩国银行：一次全链路复盘
2026 年 9 月下旬到 10 月初，韩国多家金融机构接连被曝数据泄露。真正让安全圈坐不住的，不是泄露规模本身，而是攻击者留下的一整套“作案工具包”：一个叫 ARTEX 的开源 AI 渗透框架，加上 …
-
Anthropic 放宽 Claude 访问限制：向认证安全人员开放 CVP 三级权限，红队档近乎零拦截
2026 年 10 月 6 日，Anthropic 宣布扩展其 Cyber Verification Program（CVP，网络验证计划）：通过认证的网络安全从业者，可申请三档访问权限，拿到R …
-
VAPT 到底是做什么的？NIST SP 800-115 拆解漏洞评估与渗透测试的边界
安全圈里 VAPT（Vulnerability Assessment and Penetration Testing，漏洞评估与渗透测试）几乎是被用得最滥也最容易混淆的一组缩写。采购清单上写̶ …