atomic akarin.

🍪 / 饼干 / network engineering and plumbing at FAANG / rhythm games, fps, avg, enl@ingress / enterprise gadgets, hi-fi, photography / homelab with two ASNs

[atomic akarin. @atomicakarin]

我想被爱。

[atomic akarin. @atomicakarin]

？

[garrulous abyss🌈 @garrulous_abyss]

☘️，我真的去问了gpt，笑死了🤣🤣

[あにす @YurifwiaAnisu]

#ALLNet緊急メンテナンスの理由だと思うもの

[atomic akarin. @atomicakarin]

@coca1neko 哥哥什么时候带我上山玩。

[atomic akarin. @atomicakarin]

晚安，我明天不上班了。

[HKEPC @hkepcmedia]

【緊急通知 ⚠️】起身打「丁」 !! 「HTTP2Shell」世紀級漏洞登場，這個漏洞原本是 Node.js 中引發的「Node2Shell」9.2 分高危漏洞（CVE-2026-111497）。隨著調查深入後發現越來越「大件事」，原來該漏洞背後是源自 Google Brotli 資料壓縮解碼器中的記憶體越界寫入缺陷。這項技術廣泛應用於現代 HTTP 流量壓縮與解壓縮架構，全球包含 Node.js、Bun、C++、Python……（不能盡錄）開發軟體、反向代理伺服器及大量 HTTP 應用與程式庫皆受到波及，全球網絡將面臨極嚴峻的遠端代碼執行（RCE）及阻斷服務（DoS）攻擊。

根據資安情報團隊 Aikido Intel 指出，CVE-2026-111497 最初由 Node.js 官方於安全性更新中釋出修補，並由安全研究團隊命名為「Node2Shell」。然而，經過逆向工程與跨平台相依性比對後發現，問題核心並非 Node.js 本身的邏輯錯誤，而是其內建由 Google 開發的開源壓縮程式庫 Brotli（版本 1.0.3 至 1.2.0）存在嚴重的解碼邊界處理缺陷。

由於 Brotli 是目前網際網路標準中用於最佳化傳輸頻寬的核心技術之一，大量伺服器與中介軟體均預設啟用該壓縮演算法。資安機構確認其「爆炸半徑」（Blast Radius）遠超預期，正式將威脅升級為「HTTP2Shell」，警告任何處理 HTTP 壓縮內容的相關服務皆可能暴露於危險中。

根據 CVE 漏洞通報，「HTTP2Shell」仍會沿用 CVE-2026-111497，原本 CVSS 9.2 評分可能會進一步上修，它是屬於緩衝區溢位與越界寫入漏洞（CWE-787、CWE-252），存在於 Brotli 解碼器的 c/dec/decode.c 核心代碼中。

當目標伺服器或客戶端應用程式接收到特製的惡意 Brotli 壓縮資料流（例如帶有 Content-Encoding: br 的 HTTP 請求或回應）時，解碼器在未能正確校驗回傳值的狀態下展開資料，將導致記憶體堆疊毀損，攻擊者可利用此漏洞達成以下後果：

◾遠端代碼執行（RCE）： 資安研究人員已在特定架構的 Linux 環境下完成概念驗證（PoC），能藉由惡意 HTTP 封包取得底層主機執行權限。

◾阻斷服務（DoS）： 觸發核心分段錯誤（Segmentation Fault），造成常駐程序崩潰重啟，中斷連線服務。

◾敏感資訊外洩： 記憶體殘留讀取可能導致暫存於 Heap 中的 Token、加密金鑰或未授權資料外洩。

目前仍無法估計完整的受影響範圍，只知道受影響的開源生態系與執行環境相當龐大，包括︰

https://t.co/Uyb1vBEzQh

◾Node.js 執行環境： 22.x、24.x 與 26.x 之未修補版本，以及已終止支援（EOL）的舊版本（如 Node.js 20.x 及更早版本，官方不再釋出開源更新修補）。

◾Bun 執行環境： 1.4.4 之前版本。

◾Python 生態系： PyPI 上的 Brotli（<=1.2.0）與 brotlicffi（<=1.2.0.x）套件。相依於上述套件的常見 HTTP 請求庫（如 requests、urllib3、httpx、aiohttp 及 Scrapy 等爬蟲框架）在解析 Brotli 回應時均會觸發。

◾反向代理與閘道器： Envoy（1.40.0 以前特定版本）、Istio 服務網格等。

◾原生系統函式庫： 系統內建的 libbrotli（1.0.3 ～ 1.2.0）以及動態/靜態鏈結 Brotli 的 curl / libcurl 工具。

資安專家呼籲企業與網站管理者立即作出緊急防護與修補，採取的措施如下︰

◾升級 Node.js 與 Bun： 立即將 Node.js 更新至 22.23.4、24.22.1 或 26.12.1 安全版本；Bun 需升級至 1.4.4 以上。使用 Node.js EOL 版本的用戶應盡速評估遷移架構或採用擴展維護方案。

◾升級 C++ 版本至 1.0.10、1.1.1 及 1.2.1 安全版本或以上。

◾立即更新 Python 相依套件至 1.2.1.0 版本或以上，並且在更新後務必重新建置容器映像檔（Container Images）與鎖定檔（Lockfile）。

◾檢查 Linux 發行版的安全修補通告，升級 libbrotli 至 1.2.1（舊維護分支為 1.0.10 / 1.1.1），並同步更新 API Gateway、Envoy 與反向代理伺服器。

◾以上這個修補清單只是暫時的，預期這份清單將會越來越長。

由於「HTTP2Shell」漏洞詳情已經公開，致使未修補伺服器的受攻擊風險大幅飆升，各位管理員必須作出緊急維護，以免成為攻擊目標。

[atomic akarin. @atomicakarin]

小心男娘。

[NadeshikoManju@ゆるキャン△ SEASON４ 2027 放送予定 @Manjusaka_Lee]

让我们想象一下你司架构是 NGINX v1.23.0 作为边缘节点，后面挂着 PHP-FPM 7.3 (刚花了几周时间从 5.6 升级上来) 的源站 + 前段时间刚花了大价钱采购来的 TiDB NewDB + Node.js 24 LTS Brotli 中间件，开启了 Brotil 压缩功能、Go 作为对外访问的网络沙箱、使用 Python + LiteLLM AI 企业内部 Harness 工具 (CI 昨晚刚从 PyPI 拉了新包并推送到了生产环境，现在全公司电脑都装上了这套 Harness)、公司服务器全部跑在 Linux 内核 c6e50df8 之前、网站的 HTTPS 证书由公司前段时间刚采购的无保险低价 Sectigo DV 证书（还没上 ACME 自动签发）、公司的 Vyper 智能合约部署在 Docker 29 + Kubernetes + Traefik Ingress 上开着 mTLS fail-open，宿主机还跑着 https://t.co/EBsJtiJXN8 Core 面板和 .NET 本地服务、公司的软件和外发机密文件通过 emSign 代码签名，根证书库用 Go crypto/x509 + Rust webpki-roots + Python certifi

而你，是这家公司的核心 on-call 运维。

[Harrison Kinsley @Sentdex]

"did you see the opus 5.5 animation video of blackwell gpus from server down to atom?"

"yeah so cool!!!"

"do you know how accurate it actually is?"

"no, you?"

"no"

[atomic akarin. @atomicakarin]

下次再遇到能自己选 unixname 的公司，我入职的时候要选 krbtgt。

[atomic akarin. @atomicakarin]

@realNyarime console 不一定是 ethernet （

[atomic akarin. @atomicakarin]

@dee_hw @whichroot You claimed that in the page you just shared.

And not just Kimi.

https://t.co/uusrfFXvq0

[酢 @4gVg2g]

#ドルフロ2 シャイアン

[atomic akarin. @atomicakarin]

好耶，是 Steam Machine。

[atomic akarin. @atomicakarin]

@cyanvtb

[atomic akarin. @atomicakarin]

@lefko_d

[atomic akarin. @atomicakarin]

@snake4y5h 😋

[端傳媒 Initium Media @initiumnews]

「這樣一家如此不穩定、毫無幫助的公司，怎麼會被允許處理簽證申請？政府怎麼會覺得沒問題？」在 Reddit 上輸入「VFS」，等待、焦慮和不確定是網民離不開的主題。

在小紅書上，網民甚至總結出到 VFS 辦證的 「防崩潰指南」和「坑錢套路總結」：「你照片甚麼時候拍的？」「我們這裡看不見你上傳的資料」、「你的材料有問題」——根據這份總結，一旦 VFS 員工對申請人説出這些話，就意味著他們即將兜售昂貴的增值服務。

簽證本應是國家履行的公共行政職能，卻在跨國資本介入後，異化為一場可被擴張、投資與套利的生意。

簽證服務被外包給VFS這樣的服務商後，原本的簽證流程被重新拆解。申請人需要先註冊 VFS 系統、上傳文件、預約辦理、再到 VFS 中心做生物辨識。面對信息不對稱與權力不對等，申請者往往別無選擇，只能認命。這套外包制度還會衍生出一條灰色產業鏈：黃牛代搶、中介代辦、內部疏通，以及被迫購買「VIP 服務」。

👉請點擊連結，閱讀全文，一張簽證，層層「增值」的暴利，如何讓VFS在不平等的全球化中建立商業帝國：https://t.co/I4w7cGUyfL
__________________________________
端傳媒推出全新「守護年付方案」，限時8折，現在訂閱即可解鎖《紐約時報》（The New York Times）完整體驗。每週僅 US$2.5，立即訂閱，串連華文深度與全球現場：https://t.co/VK6HeZg7ng

[atomic akarin. @atomicakarin]

@___Dario_____ For a moment I thought JLC can build customized rockets.

[atomic akarin. @atomicakarin]

@iseki_zero 在 RDP 之上还有一个更方便的用法叫 RemoteApp（

甚至 client 和 host 都不需要是 Windows。

[J.P.C Tac Art @jpc77127]

我在畫些什麼....