PHP 急修漏洞、发布链投毒，与 BioWare 谢幕｜Hacker News 日报 10.22

本期八条：PHP 两个可远程执行的严重漏洞与协调披露争议、LiteLLM 发布链被投毒、Railway 环境变量被解密、DuckDB 2.0 长期支持版、主动型助手 Claude Duet、BioWare 关闭、Windows 11 里的 Windows 95 堆管理器，以及 Google 的 Rust 风格指南。 【章节】 00:00 开场 00:13 01 PHP 两个漏洞，能远程执行代码 02:17 02 代码是干净的，发布链却被投毒 03:56 03 Railway 密钥外泄，环境变量被解密 05:02 04 DuckDB 2.0，不再只嵌入 06:23 05 会主动找上门的助手，Claude Duet 07:29 06 BioWare 关门，质量效应新作停摆 08:36 07 Windows 11 里，还藏着 Win95 09:50 08 谷歌 Rust 风格指南，管的不是缩进 11:06 收尾 【今日 8 条】 01 PHP 两个漏洞，能远程执行代码 PHP 在 10 月 21 日为四个分支发布补丁，修掉两个可让未认证攻击者执行代码的严重漏洞，根因分别在内存耗尽时的半初始化结构与致命错误后的过期全局状态。 原文 https://thephp.foundation/blog/2026/10/21/... · HN https://news.ycombinator.com/item?id=50182987 02 代码是干净的，发布链却被投毒 LiteLLM 的发布管线被入侵，1.107.0 的 Python 包与多个容器标签被植入窃密程序和后门，在仓库上存活约两小时；任何启动的 Python 进程都会自动加载恶意模块，窃取云凭据、CI 密钥与模型密钥。 原文 https://safedep.io/litellm-pypi-compromise... · 参考 https://docs.litellm.ai/blog/security-inci... · HN https://news.ycombinator.com/item?id=50181114 03 Railway 密钥外泄，环境变量被解密 Railway 披露存放客户环境变量的系统被入侵，第三方可能读到加密变量，其中一部分已取得明文，平台建议所有用户轮换密钥并暂停了全部部署。 原文 https://blog.railway.com/p/security-disclo... · HN https://news.ycombinator.com/item?id=50188228 04 DuckDB 2.0，不再只嵌入 DuckDB 发布 2.0 长期支持版，Quack 协议让它能以客户端服务器方式部署，并新增异步 I/O、一等公民的半结构化类型、触发器、可扩展解析器和面向编码代理的输出模式。 原文 https://duckdb.org/2026/10/21/announcing-d... · HN https://news.ycombinator.com/item?id=50181136 05 会主动找上门的助手，Claude Duet Anthropic 发布研究预览版 Claude Duet，一个主动型助手：接入六千多个连接器，每天生成简报、在后台继续任务，敏感操作先请求批准，审批与登录隔离在用户的云电脑里。 原文 https://claude.com/product/claude-duet · HN https://news.ycombinator.com/item?id=50186037 06 BioWare 关门，质量效应新作停摆 EA 确认关闭 BioWare，下一代质量效应停止开发，并裁员约四百人。 原文 https://www.theverge.com/games/1015647/ea-... · 参考 https://www.pcgamer.com/gaming-industry/ri... · 参考 https://x.com/bioware/status/2112953618093... · HN https://news.ycombinator.com/item?id=50184586 07 Windows 11 里，还藏着 Win95 Windows 11 仍通过 EmulateHeap 兼容层携带一份 Windows 95 的堆管理器：当老程序依赖读取已释放内存仍返回旧值这类宽松行为时，系统把堆调用重定向到模拟实现，代码由当年的堆管理器源码重编译而来。 原文 https://www.windowslatest.com/2026/10/19/w... · 参考 https://learn.microsoft.com/en-us/previous...) · HN https://news.ycombinator.com/item?id=50159726 08 谷歌 Rust 风格指南，管的不是缩进 Google 公开内部 Rust 风格指南，除格式外还规定接口设计：扁平文件布局、导入与类型限定规则、迭代器与切片的取舍、公开类型标记为非穷尽、不直接用标准库起线程等。 原文 https://google.github.io/styleguide/rustgu... · HN https://news.ycombinator.com/item?id=50186010 播客版：在播客应用里搜索「Hacker News 日报」 #HackerNews #科技新闻 #每日科技