Brotli 漏洞、PHP 嚴重漏洞、科技業外看不到 AI 回報｜科技選讀 10/25

🎧 今日深入篇：   • Brotli 漏洞怎麼讓 Node.js、Python 同時中招？HTTP2Shel...   本節目由 AI 協助整理，語音為 AI 合成（Gemini TTS）。僅供個人收聽。 📰 10/25 科技選讀｜今天 11 篇，約 18 分鐘 ⏱ 章節 00:00 開場 00:56 01｜Brotli 漏洞（HTTP2Shell）：Node.js、Python 都要升級 02:20 02｜PHP 修了兩個嚴重漏洞，基金會只有一名全職員工 04:05 03｜經濟學家：科技業以外，看不到 AI 的財務回報 05:47 04｜Dan Luu：用 AI 寫程式，我們可以更有野心 07:30 05｜Cloudflare：後量子的地理金鑰管理 09:02 06｜uv 與 ty 整合：新的 uv check 10:37 07｜十二年的分散式 SQLite 12:10 08｜純函式語言能逼近 C 到什麼程度？ 13:38 09｜Apple Security Research Device：申請到 10/30 14:59 10｜物理學家把單一反物質粒子困住一個月 16:19 11｜Block Blast 如何用「無解的題目」換廣告收入 17:52 結尾 ━━ 🔥 今日重點 ━━ 01｜Brotli 漏洞（HTTP2Shell）：Node.js、Python 都要升級 ⭐ 🎧 深入篇 Google 的 Brotli 壓縮解碼器有嚴重漏洞（CVE-2026-111497，CVSS 9.2），最先由 Node.js 揭露，後來 Python、Bun、Envoy、Istio、curl 等都受影響；Aikido 引述 The Hacker News：Node.js 部分截至 10/22 未見實際被利用。 👉 把 Brotli 升到 1.2.1（舊分支 1.0.10 / 1.1.1）以上、brotlicffi 升到 1.2.1.0、Node.js 升到修補版，重建容器映像檔；會連到外部伺服器的功能優先處理 🔗 原文：https://www.aikido.dev/blog/python-package... 💬 Hacker News 討論：https://news.ycombinator.com/item?id=50219177 📊 274 分 02｜PHP 修了兩個嚴重漏洞，基金會只有一名全職員工 ⭐ 路透社報導，PHP 本週修補兩個嚴重漏洞，Cloudflare 回報數以百萬計的攻擊嘗試；PHP 基金會說資金明顯不足，只有一名全職員工與十四名多為兼職的外包人員。（讀的是 The Star 轉載的路透社報導） 👉 確認 PHP 服務已裝上本週安全更新；公司靠開源賺錢的可考慮贊助 🔗 原文： 🔗 轉載原文：https://www.thestar.com.my/tech/tech-news/... 💬 Hacker News 討論：https://news.ycombinator.com/item?id=50224074 📊 轉載116 分 03｜經濟學家：科技業以外，看不到 AI 的財務回報 ⭐ Apollo 首席經濟學家 Torsten Slok 認為，科技七巨頭的每人營收與利潤率上升，其餘 493 家大公司持平；這是意見文，圖表為作者挑選，未做因果分析。 👉 團隊的 token 花費換到什麼，值得自己算一次 🔗 原文：https://www.apollo.com/wealth/insights-new... 💬 Hacker News 討論：https://news.ycombinator.com/item?id=50224463 📊 470 分 · 458 留言 ━━ 🤖 AI / Coding Agent ━━ 04｜Dan Luu：用 AI 寫程式，我們可以更有野心 主張 AI 讓個人做得出過去成本太高的軟體；關鍵是有 fuzzing、一致性檢查等自我驗證機制。作者說文章半小時寫成、數字為自述，附錄收有反方意見。 👉 讓 agent 放手做之前，先想好怎麼驗證結果 🔗 原文：https://danluu.com/ambitious/ 💬 Hacker News 討論：https://news.ycombinator.com/item?id=50225695 📊 144 分 ━━ 🏭 大廠技術文章 ━━ 05｜Cloudflare：後量子的地理金鑰管理 Geo Key Manager 改用「區域根金鑰 + 混合 KEM（ML-KEM-768 + X25519）」，金鑰只能在客戶指定區域解開；缺根金鑰就不啟動、寧可拒絕。封閉測試中，預計 2027 Q1 正式推出，屬廠商自述。 👉 做資料在地化的人可參考「失敗時拒絕、不放行」的設計 🔗 原文：https://blog.cloudflare.com/post-quantum-g... 📊 來源：Cloudflare Blog · 10/24 ━━ 🛠 開發者工具 ━━ 06｜uv 與 ty 整合：新的 uv check Astral 推出實驗性整合：uv check 先備好環境再跑 ty，並支援 PEP 723 單檔腳本；ty 版本記在 lockfile。腳本環境自動設定需手動開啟，Ruff 尚未支援。 👉 寫 Python 單檔腳本的人，編輯器型別檢查終於有環境可用 🔗 原文：https://astral.sh/blog/uv-ty-integration 💬 Hacker News 討論：https://news.ycombinator.com/item?id=50172962 📊 300 分 ━━ 🏗 系統架構 / 效能 ━━ 07｜十二年的分散式 SQLite rqlite 作者回顧：共識（rqlite、dqlite）、串流（Litestream）、合併（cr-sqlite）三條路；作者是當事人，屬個人史觀，無效能測試。 👉 選型時先問：有沒有過 Jepsen 之類的獨立驗證 🔗 原文：https://philipotoole.com/twelve-years-of-d... 💬 Hacker News 討論：https://news.ycombinator.com/item?id=50217500 📊 365 分 08｜純函式語言能逼近 C 到什麼程度？ 純 Roc 寫的 DEFLATE 套件對上 libdeflate，中位數慢 2.6%～8.9%；只測一個套件、兩台機器、非串流介面。 👉 安全性與速度的取捨，可以拿實測數字來談 🔗 原文：https://rtfeldman.com/fp-vs-c 💬 Hacker News 討論：https://news.ycombinator.com/item?id=50218195 📊 255 分 ━━ 🏢 軟體大廠 ━━ 09｜Apple Security Research Device：申請到 10/30 Apple 借出特製 iPhone 給資安研究者（12 個月可續借、須放在指定場所、發現須通報 Apple）；頁面未寫賞金金額與裝置數量。 👉 有 iOS 資安研究背景的人可評估是否申請 🔗 原文：https://security.apple.com/research-device/ 💬 Hacker News 討論：https://news.ycombinator.com/item?id=50217903 📊 172 分 ━━ 🔭 換個角度 ━━ 10｜物理學家把單一反物質粒子困住一個月 Northwestern 團隊把單一個正電子困在電磁陷阱約一個月，為測量其磁矩鋪路；文章並未公布測量結果。 👉 看看極端的「不讓東西碰到任何東西」工程 🔗 原文：https://www.scientificamerican.com/article... 💬 Hacker News 討論：https://news.ycombinator.com/item?id=50186450 📊 277 分 11｜Block Blast 如何用「無解的題目」換廣告收入 作者反編譯後主張，伺服器下發約 700 條規則，其中一條在特定條件下發出無解的「致命謎題」；皆為作者自述、難獨立重現，開發商未回應。 👉 做產品的人，想想遠端可調的規則該不該用在玩家身上 🔗 原文：https://ayoships.com/breakdowns/block-blast 💬 Hacker News 討論：https://news.ycombinator.com/item?id=50217946 📊 109 分 · 48 留言