Community Architect. Solana 華語區大使 🇭🇰 廣東話 / 古典中國文學愛好者 / Can read 🇯🇵🇲🇲🇰🇪🦀⚓️🐍🧠 Like 🏇🏻 🏄🏻‍♂️ ⛹🏻‍♂️ 🚣‍♂️ 🎾 🚶🏻‍♂️‍➡️ 🧑🏻‍💻 🧑🏻‍🌾 🛠️ ㊙️🈲♨️

Hong Kong
Joined March 2007
BenCrox 🇭🇰 🌅 🛠️ retweeted
【漏洞連環爆 ⚠️】IT 人今晚不用睡了 !! 繼 PHP 爆出兩個重大 RCE 漏洞,無須認證即可遠端攻擊,目前官方已釋出更新。沒想到同一時間 Node.js 與 Go 亦緊急釋出安全更新,修補可能導致無憑證遠端執行程式碼(RCE)的重大漏洞、TLS 憑證驗證繞過以及私鑰外洩的中間 CA 信任鏈風險,所以今晚大家一齊打「丁*」吧 !! (編者按︰補丁)   由於此波更新直接涉及伺服器後端邏輯、傳輸層安全性協定與底層執行環境安全,各官方強烈呼籲系統管理員及開發團隊儘速排查並完成版本升級,如果你還沒打完「丁」,今晚根本不用睡。   PHP 官方團隊正式發布版本更新,主要修正兩項嚴重等級的遠端執行程式碼漏洞,編號分別為 CVE-2026-109618 與 CVE-2026-109619。   相關漏洞允許未經身分驗證的遠端攻擊者利用特定請求發動攻擊,進而直接取得伺服器控制權,威脅程度極高。官方已針對仍在支援維護的分支釋出安全修復版本 PHP 8.5.12、8.4.27、8.3.36、8.2.35。   與此同時,Node.js 官方亦公布了 10 月安全性更新,本次共修補多達 10 個安全漏洞,其中包含 4 個高風險(High)漏洞。   本次修補焦點在於 Brotli 解碼器中的邊界外寫入漏洞(Out-of-bounds Write,編號 CVE-2026-111497),攻擊者可藉此觸發記憶體損壞並可能達成遠端執行程式碼。此外,本次更新亦同步修復了 TLS 憑證驗證繞過、DNS 解析異常行為以及權限模型(Permission Model)繞過等多項核心問題,管理員務必要將 Node.js 版本更新至 22.23.4、24.22.1、26.12.1。   Go 官方則將印度 CA 那 8 個已知私鑰外洩的中間憑證授權中心(Intermediate CA)加入憑證攔截清單,防止受影響的憑證鏈繼續通過驗證,杜絕中間人攻擊風險。   官方特別提醒,與直譯或動態執行環境不同,開發者在更新本機或伺服器的 Go 工具鏈(Toolchain)後,必須針對現有 Go 應用程式進行重新編譯並重新部署,方能讓安全攔截機制正式生效。管理員務必要將 Go 更新至 Go 1.27.3、Go 1.26.10。   資安專家提醒,管理員應立即清查內部各主機與容器化映像檔的軟體版本,並依照官方最佳化指引完成部署驗證,以防範潛在的資安威脅。 php.net/archive/2026.php#202… nodejs.org/en/blog/vulnerabi… go.dev/issue/82345
1
35
7
239
17,346
BenCrox 🇭🇰 🌅 🛠️ retweeted
最近安全圈是真杀疯了,连打开网页都能成为黑客入侵电脑的突破口。 继 GitLab 爆出 CVSS 10.0 满分漏洞后,Google Chrome 也曝出一批严重漏洞,10 月 20 日一次修复 353 个,其中 6 个达到最高严重级别 Critical。 其中一个 CSS 漏洞 CVE-2026-113072,CVSS 评分高达 9.6。攻击者通过精心制作的恶意网页,利用 Chrome 处理网页样式时的内存错误,在浏览器沙箱外执行代码。攻击一旦成功,就不只是浏览器崩溃那么简单,恶意代码将获得浏览器沙箱之外的执行能力。 更有意思的是,这批漏洞中还有 OpenAI Codex Security 和 Anthropic 借助 Claude 发现的成果。 Chrome 用户赶紧检查更新。 官方公告:chromereleases.googleblog.co…
8
7
7
89
12,416
BenCrox 🇭🇰 🌅 🛠️ retweeted
Alpenglow is live. Everyone is talking about it. Do you know how it works? Here's a whiteboarding session to help you understand 👇 youtube.com/watch?v=2RlNav7G…
5
11
1
53
7,448
BenCrox 🇭🇰 🌅 🛠️ retweeted
用 Node.js 的要升级了:三条版本线都有高危漏洞,最严重的可远程执行代码,eMudhra 那 8 枚坏证书也一并拉黑 用 Node.js 跑服务、写工具的开发者,这周要换版本了。10 月 21 日,Node.js 给还在维护的三条版本线发了安全更新:22.x 升到 v22.23.4,24.x 升到 v24.22.1,26.x 升到 v26.12.1。三条线都修了高危漏洞,最严重的一个,官方说可能被用来远程执行代码。 20.x 在 2026 年 4 月 30 日停止维护,25.x 在 6 月 1 日停止维护,这次都没有补丁。Node.js 在公告里提醒,每次发安全更新,停止维护的版本都会受影响,还在用的只能换到 22、24 或 26。 【最需要注意的几个】 Node.js 自带一个解压 Brotli 格式的组件。Brotli 是网页传输常用的压缩格式,HTTP 里写作 br。这个组件有越界写入的问题,也就是把数据写到了不该写的内存位置,官方说这能导致远程执行代码。公告对它只有这一句描述,没说什么情况下会触发。修法是同步了 Google Brotli 项目的一处改动,让解压程序更早发现并拒绝格式不对的数据。 另外三个漏洞出在 HTTPS 的证书核对上,两个高危、一个中危。Node 连 HTTPS 地址时,会核对证书上写的地址和你要连的地址是否一致,对不上就拒绝连接。这三个问题都和 IP 地址有关:IP 用全角数字写(输入法全角状态下打出的“127”这种),或者写法不规范、但能被宽松地认成 IP,核对就可能被绕过。修复后,Node 直接拒绝写法不规范的 IP 地址。全角数字那个只影响 24.x 和 26.x。 还有一个高危出在 dns.resolve(查域名对应地址的函数):域名中间如果夹着一个空字符(NUL),Node 会在那里把名字截断,实际查的只是前半截。 中危里,用启动快照或者把程序打包成单个可执行文件(SEA)的要留意:crypto.randomUUID() 和 randomInt() 的随机数缓存会被一起存进包里,每次启动都生成同样的“随机”值。另有三个低危,涉及 26.x 读取 ZIP 文件,以及实验性的权限模型(--permission 开关)。 这次还更新了 c-ares、OpenSSL、SQLite、undici 等内置组件,修的是这些组件已经公开的漏洞。 【eMudhra 坏证书,Node 也拉黑了】 三个新版本都加了一份内置黑名单,第一批放进去的就是 eMudhra 那 8 枚出问题的中间证书。 这件事前几天刚曝出:印度发证机构 eMudhra 有 8 枚被各家系统认可的“网站公章”,盖章用的密码小到一秒就能算出来,谁拿到都能给任意网站做假证书。10 月 17 日被发现后,Chrome 和 Firefox 当天拉黑,eMudhra 18 日作废,Apple 19 日、Microsoft 20 日跟进,Node.js 21 日发版。 当时 Cloudflare 提醒,浏览器之外的程序要一路更新到编程语言这一层,Node.js 就在这一层。Node 内置了 Mozilla 的可信发证机构名单,却没有浏览器那种随时拉黑坏证书的机制,所以用这 8 枚章签出的假证书,旧版 Node 照样放行。这份黑名单对 Node 建立的所有加密连接都生效。修复的提交说明里写道,它和 Go 语言、Electron 拉黑的是同一批。 想测自己的程序还认不认这几枚章,可以用 Mozilla 工程师 Dennis Jackson 做的自查网站:emudhra.we-have-a-problem.co… 原文:nodejs.org/en/blog/vulnerabi…
🔐 Node.js security updates are now available! New releases for Node.js 22.x, 24.x & 26.x address multiple vulnerabilities, including high-severity issues. Review the details and update your systems to stay secure. 🔗 nodejs.org/en/blog/vulnerabi… #NodeJS #Security
40
31
11
176
36,893
BenCrox 🇭🇰 🌅 🛠️ retweeted
🚨 [EASIEST EXPLANATION] if you are degen (just like me) and don't understand why @anza_xyz's Alpenglow is big deal for @solana, this is for YOU 🫵
Alpenglow is live on mainnet-beta ⛰️ 🎉 Solana’s new consensus protocol: finality reduced from 12.8 seconds to 150 milliseconds, built by Anza. Why this is important 🧵
14
3
2
55
2,370
Two worlds of TPS. Thousands is not a joke.
I remember when 200tps felt impossibly fast. This is going to be crazy.
47
Breaking: No votes on chain. Full dictatorship.
BREAKING: SOLANA TPS DOWN 60%
56
Some happy mountain top shilling.
"anza just launched alpenglow, the most substantial tech change since solana's inception" "incredible this changes everything" "do you know what alpenglow does?" "no, do you?" "no"
37
BenCrox 🇭🇰 🌅 🛠️ retweeted
welp, we survived sbpfv3, rent reduction, txv1 and now alpenglow. time for the final boss.
6
2
1
31
1,157
BenCrox 🇭🇰 🌅 🛠️ retweeted
1967: Sweden switches the sides of the road in 10 minutes. The first human heart transplant takes 5 hours. 2026: Solana switches consensus. Changing the engine while the system is at full speed. #solana #alpenglow #alpenswitch
4
4
1
33
1,426
BenCrox 🇭🇰 🌅 🛠️ retweeted
The GENIUS Act marks a watershed moment in American finance, further cementing the United States as the crypto capital of the world. Just as President Abraham Lincoln’s National Currency Act of 1863 established a national framework for bank-issued currency, the GENIUS Act establishes a federal framework for payment stablecoins in the digital age. The @USOCC's final rule carries that landmark legislation forward, providing a clear, practical foundation for private-sector innovation, competition, and American leadership in digital assets.
296
2,171
226
11,053
458,741
BenCrox 🇭🇰 🌅 🛠️ retweeted
她曾经是和 @heyibinance 一姐一样 - 币圈顶级的女性创业者,高峰期资产高达A10,但是一夜之间,全部清零,历经风雨,又重头开始,敢问这样的人生,有几个人可以做到? 这是前FTX首席运营官 @ConstanceWaing 的故事。非常感谢她对我们的信任,给了我独家采访的机会,让我可以更深的了解 FTX 背后的很多故事。 同样作为一个在海外打拼的中国女生,我对她身上的很多东西特别有共鸣:上进、勤奋、踏实,认准一件事,就一心一意地投入;特别有韧劲,而且有情有义。 FTX之外,我们还聊到她的入行经历 - 我知道她曾在火币工作,原本以为,可能是李林招她进去的。结果并不是, 她当时也只是一个刚毕业不久的年轻女生,从新加坡的客户经理做起,积极参加活动、认识同行、拓展业务。英文流利,做事主动,待人也很真诚。就这样,在工作中,她认识了爆炸头 @SBF_FTX。Sam有他非常独到的眼光,看到了她的能力,邀请她一起建立一家全新的交易所。 那就是FTX。 Sam曾一度提议让她担任联席CEO,但她推辞了 - 因为在她看来,这是Sam发起的项目,她愿意做好COO,把业务和团队带起来,全力支持他!听到这里,我都感慨,这是多么难得的合伙人 - 而FTX 也在大家的努力下,蒸蒸日上。 国际市场、大客户、开拓新战线……都是她和团队一点点做出来的。即使身处熊市,她带领下的FTX业务依然在增长。 聊起这些时,我能感觉到她那种一种像妈妈谈起自己孩子的骄傲。 她把薪水、积蓄和投资都放在FTX。在她心里,似乎没有比这里更安全的地方。 她的理由很简单:“Because I built it.” 因为,这是她亲手参与建立的。 也正因为如此,后来的一切才格外残酷。她所信任的人,隐瞒了足以摧毁这家公司的真相;她倾注心血的事业,连同自己的财富和对未来的想象,在短短几天里一起坍塌。 她告诉我的一个细节,让我难忘。 崩塌那一周,办公室锁了,许多高管已经离开巴哈马,员工们开始往她家里来,因为大家需要一个可以安心待在一起的地方。她准备食物和饮料,分享自己掌握的有限消息,一边安抚大家,一边仍在寻找挽救公司的办法。这就是她有情有义的地方。至今她的收下团队聊起她的时候,还会说 - I feel sorry for Constance. 因为大家知道,她是多么的义无反顾的投入到这个项目中,而最后收获的背叛,不仅仅是金钱上的,还有情感上的。 那些年轻人曾经那么努力,也那么相信自己正在做一件有意义的事。有人失去了毕生积蓄,还要承受外界对他们是否知情、是否参与的怀疑。 所以,我能理解,为什么看到Netflix把这场灾难包装成一段“有毒的爱情故事”,她会如此难受。 所有背后员工的信任、付出和痛苦,也值得被看见。 我也忍不住想,如果FTX没有崩塌,她的人生会是什么样?或许,她会成为像何一一样,站在币圈金字塔的顶尖。 人的际遇,有时候就是这样难以预测。她经历的 - 财富骤失、被调查,抑郁,以及自我重建 - 是普通人几辈子可能都遇不到的事情。 美国司法部对她进行了约一年的调查,她没有被起诉。面对“身为COO,怎么可能不知道”的疑问,她在采访中说,如果有人想瞒着你,他们会把事情藏得很好。 我的理解是,Constance应该就属于埋头苦干的类型,所以那些传说中的疯狂派对,还有秘密地下小组,估计都不会找她。所谓 - 道不同,不相为谋。 她的这段经历也让我感受到:一家公司的愿景再宏大,都不能代替诚信,更不能成为挪用客户资金的理由。最终承担代价的,是一个个具体的人。 而Constance还有一个让我感动的地方,那就是 - 经历了这么多,她没有陷入受害者心态,没有自暴自弃,甚至没有怨恨 - 她依然愿意去创造,也依然心怀感激。 她感恩仍然拥有自由,感恩自己有好朋友的帮助,走出抑郁,而且现在还能再创办一家公司。 如今,她重新进入founder mode,联合创办了 @pacifica_fi ,继续做自己喜欢也擅长的事情 - 非常的励志。 谢谢Constance愿意在这次独家专访中,分享这些并不容易回望的经历。也祝福这个有情义、有梦想、有韧性的女生,和她的团队一起,走好人生的新一程。 我们的《纽约邮报》独家专访,如下👇
Ex-FTX boss finds Sam Bankman-Fried 'love story' series on Netflix laughable: 'No f-ing way' trib.al/lgnzfDx
8
6
1
63
14,963
Exit from beta. Beginning of a decentralized dynasty.
"I love to see my code getting replaced." Alpenglow ⛰️
93
Alpenglow is live on mainnet-beta Alpenglow is live on mainnet AlpenDancer will be on mainnet MultiLead will be on mainnet Dancers on Net. Glow, Dance, Grow
88
BenCrox 🇭🇰 🌅 🛠️ retweeted
Today, we’re introducing Birdeye Peak to the public. Two years ago, I watched the first wave of institutions and governments start taking crypto seriously. It was clear that onchain assets would end up in every institutional portfolio. But it was just as clear that nobody was building the data tools those institutions would need to make decisions. We built Peak for the people who allocate serious capital: fund managers, VCs, bankers, family offices, and the like. Every feature on Peak runs on manually verified and cleaned data, and delivers insights up to 16 times faster than current workflows. Before Peak, we had already built for everyone else, with Birdeye Terminal for retail traders and Birdeye Data for businesses. The people allocating serious capital were the ones left without a tool they could trust. Now they have one: Birdeye Peak.
Introducing Birdeye Peak The unified digital asset terminal for financial institutions and professionals, built to navigate Internet Capital Markets from a single platform.
2
2
16
539
BenCrox 🇭🇰 🌅 🛠️ retweeted
🚨BREAKING: Both @Solana co-founders call for dropping the “beta” label after Alpenglow goes live. @rajgokal says, “Kill the word ‘beta’ with fire.” @toly asks to “remove the beta tag in the explorer.”
26
27
7
302
11,511
BenCrox 🇭🇰 🌅 🛠️ retweeted
还得是🇭🇰 @Solana_zh
1
1
16
951
BenCrox 🇭🇰 🌅 🛠️ retweeted
Finally a realistic scenario why we need fast finality!
150ms finality, for when it really counts! ⛰️ Only one day left!! Upgrade your Validators! 🪂🪂🪂
1
4
39
1,147
Simply mainnet ?
.@jacobvcreech remove the beta tag in the explorer
126
BenCrox 🇭🇰 🌅 🛠️ retweeted
.@jacobvcreech remove the beta tag in the explorer
27
63
40
421
62,455