我的个人网站变化史：Wordpress（最早）—— Linktree（只能当名片用）——Github Page和NAS自建博客方案（尝试过但放弃了）——Notion——Notion+Superso——Cloudflare_Workers（目前已全丢给AI，不知有没有比它更简单的）

近 2,000 个被入侵的 WordPress 网站被用于 StopAndProtect 恶意软件行动，攻击者通过这些网站传播恶意程序、窃取包括加密钱包文件在内的敏感数据、监控受害者并部署勒索软件。Check Point Research 表示，截至 7 月 24 日，该行动已感染超过 6,000 个独立 IP 地址，其中包括 1,852 个美国地址。攻击者利用被入侵网站上的虚假 CAPTCHA 验证诱导 Windows 用户执行 PowerShell 命令，安装能够窃取凭证、加密钱包助记词、通过网络和 USB 设备传播、锁定屏幕并部署勒索软件的恶意程序。由于攻击者自身的安全失误，研究人员还获取了其内部日志、受害者电脑截图、窃取数据压缩包以及用于批量管理受感染网站的工具源码，并认为攻击者可能曾意外感染自己的设备。（Decrypt）

#安全资讯# 内容管理系统 #WordPress# 再次爆出高危漏洞 XSS2Shell，攻击者利用漏洞诱导管理员交互最终可以获得 PHP 执行权限。 目前 WordPress 官方已经发布多个安全更新修复该漏洞，使用 WordPress 构建的站点必须立即升级到不受影响的分支版本。 查看全文：

又政变？WordPress 母公司首席执行官穆伦维格被董事会投票强行休假，首席财务官临时接管 CEO 职务。 穆伦维格公开称董事会成员串谋逼宫和夺权，不过董事会只确认穆伦维格已经休假和临时 CEO 安排，并未回应所谓的串谋。 查看全文：

.@Cloudflare 已紧急部署云端 WAF 规则拦截针对 #WordPress# 高危远程代码执行漏洞和 SQL 注入漏洞的攻击。 相关规则完全免费提供，使用 Cloudflare Free 的网站将自动启用这些规则，使用 Pro 或企业版的用户请转到后台检查规则是否启用。 查看全文：

⚠️⚠️⚠️[紧急安全预警] 知名内容管理系统 / 博客系统 #WordPress# 出现高危安全漏洞，请务必立即升级到 7.0.2 或更高版本。 攻击者利用该漏洞可以获得网站和数据库访问权限，全球有数千万个使用 WP 搭建的网站，这次漏洞可能会引起严重的安全风暴。 查看全文：

吴说获悉，币安创始人 CZ 发文提醒，未来几天访问网站时应格外谨慎，部分网站管理员可能未能及时安装安全补丁。他表示，广泛用于 WordPress、Magento 等网站应用的 PHP 于 10 月 21 日修复两项严重漏洞（CVE-2026-109618、CVE-2026-109619），相关信息在正式披露前已提前泄露，漏洞随后被发现遭到实际利用。攻击者可能在特定条件下无需身份认证即可远程执行恶意代码，控制存在漏洞的网站服务器，进而增加用户凭证被盗等风险。

【AI爆PHP漏洞引发全球网络攻击潮：为何影响如此广泛 ？】 PHP被曝存在严重安全漏洞后，引发黑客攻击数百万次，企业和政府机构纷纷紧急修补系统，欧洲多国政府网站及公共服务平台一度下线。网安公司指出，相关漏洞潜藏在PHP代码中多年，借助AI才得以发现。 PHP诞生于20世纪90年代初，是一种广泛用于运行网站的编程语言，也是WordPress、Drupal、Joomla和Magento等网站系统的重要组成部分。由于PHP应用范围广泛，因此任何严重漏洞都可能带来巨大的连锁反应。 详细报道👉

今天有网站和平台的，都开始紧急修复漏洞了。PHP：远程代码执行RCE（紧急）、Java：证书信任机制安全漏洞（高危）、Node.js：多项安全漏洞（紧急）、Next.js：特定条件下远程代码执行（紧急）、React：高危安全漏洞（紧急）、NGINX：缓冲区溢出与内存安全漏洞（紧急）、Laravel：安全漏洞（高危）、Symfony：多项安全漏洞（高危）、WordPress：安全漏洞修复（高危）……互联网基础设施，正在经历一轮密集的安全修补。

让我们想象一下昨晚各公司运维老哥的一晚⬇️ 你是一名运维。 你司的边缘节点跑着NGINX 1.23.0，后面挂着PHP-FPM 7.3的源站。这个7.3，是你刚花了几周时间，从5.6一点点升上来的。 企业新官网刚用Next.js 16.0.7的App Router翻新，旧官网还挂在WordPress上。业务说有几个历史页面还要用，暂时不能下，所以新旧两套都归你管。数据库则是前段时间刚花大价钱采购的TiDB，领导对这次基础设施升级很满意。 Node.js 24 LTS的服务开着Brotli压缩，Go写的网络沙箱负责控制对外访问，公司维护的Rust服务里还嵌着Wasmtime，用Cranelift编译执行WASM模块。所有服务器的Linux内核，刚好还没合入c6e50df8。 公司前几年赶上区块链热潮，还留着一套Vyper写的智能合约。合约在链上，配套后端跑在Docker 29＋Kubernetes上，入口交给Traefik，配了mTLS，偏偏踩着配置冲突时fail-open的坑。宿主机上还顺手跑着 Core管理面板和几个.NET本地服务。 网站的HTTPS用的是前段时间刚买的低价Sectigo DV证书，ACME自动签发还在排期。公司软件的代码签名、外发机密文件的文档签名，用的都是emSign。几套系统的证书校验和信任根，又分别涉及Go crypto/x509、Rust webpki-roots和Python certifi。 当然，公司也没有错过这一轮AI大跃进！ 你们用Python＋LiteLLM搭了一套企业内部Harness。为了让大家及时用上最新能力，CI昨晚刚从PyPI拉了新包，把LiteLLM更新到了1.107.0，随后一路推到生产环境。 全公司电脑都装上了，部署覆盖率100%，一个都没漏。 昨晚，你值班摸鱼到一半听到钉钉响了，你打开了安全群，发现里面有个小小的公告。 你很平静的看完了公告，去翻资产清单，一边想：行，先排优先级，能补一个是一个。 结果刚准备拉补丁，GitHub又双502了。 你决定先走公司自建的GitLab，把应急变更推上CI。点进去才发现，国内某个未成年脚本小子，拿着ARTEX和OpenCode里免费的DeepSeek V4.1 Flash，顺着PVE 7.4的漏洞一路横向移动，已经把你们的GitLab也打穿了。 你下意识想打开公司的AI工具，让它帮忙整理一下排查步骤。 手放到鼠标上，又想起了刚才那个公告里好像有LiteLLM的名字。 这时候，老板发来一条消息： “辛苦一下，明早九点要给客户演示。尽量别停业务。” 而你，是这家公司的唯一的on-call运维。