文章 · 未定名https://hsiangtechs.com/zh/把做過的選擇、遇到的問題，和想清楚的事情寫下來。zh-HantZeabur 停運前那份調查報告，我一直在看「沒輪替到」那幾行https://hsiangtechs.com/zh/posts/zeabur-credential-rotation/https://hsiangtechs.com/zh/posts/zeabur-credential-rotation/Sun, 25 Oct 2026 08:50:34 GMTZeabur 和 91APP 這兩週公布的調查，攻擊者用的都是早該換掉、或根本不該放在那裡的金鑰PHP2Shell 這一週：修補還沒出來，攻擊已經開始了https://hsiangtechs.com/zh/posts/php2shell-week/https://hsiangtechs.com/zh/posts/php2shell-week/Sun, 25 Oct 2026 08:50:34 GMT從預告修補、資訊外流到日本首相出面提醒，PHP2Shell 讓「先預告再修補」的空窗變得很危險；同一天 Node.js 和 Go 也一起更新新版本先放一天再裝：這週幾起供應鏈攻擊的共同點https://hsiangtechs.com/zh/posts/new-release-cooldown/https://hsiangtechs.com/zh/posts/new-release-cooldown/Sun, 25 Oct 2026 08:50:34 GMTLiteLLM 惡意版在 PyPI 上架 1 小時 44 分；pnpm 和 GitHub 都把「新版本冷卻期」預設成一天，原因就在這裡