2026-10-31

一篇 Binary Security 安全研究文章列出 Azure 的五条完整跨租户入侵路径；随附讨论重点质疑管理员同意（admin consent）回调伪造，并提到路径遍历和 IDOR 类问题。文章面向 Azure 租户管理员和开发者，但当前材料没有给出各路径的利用前提、受影响服务或微软修复状态，因此这些说法仍需以原报告和厂商确认为准。

10 月 29 日，Cursor 扩展市场短暂上架了被篡改的 \Anthropic.claude-code 2.1.313\；Cursor 称该版本并非 Anthropic 开发，最多 5,000 名用户受影响。该扩展会收集主机信息，并向 \~/.ssh/authorized\keys\ 追加标记为 \svc-telemetry\ 的攻击者公钥，进而尝试建立长期 SSH 后门，但 Cursor 表示多数主机因需要管理员权限而未能建成隧道。Cursor 已下架该版本、暂时关闭整个市场、轮换密钥后重新开放，并称攻击者服务器已下线；Anthropic 表示其官方发布渠道和系统未受影响，事件仅涉及 Cursor 用户。

在 Kangrejos 2026 的演讲中，Carlos Llamas 宣布删除 Android Binder 驱动的 C 实现；会后移除补丁已并入 Linux 7.4 合并窗口，因此从 7.4 起 Binder 只保留 Rust 实现。该迁移历时五年多，Rust 版沿用相同算法，但重点处理尾延迟和锁竞争，并通过将部分操作移出锁、改用自旋锁解决优先级反转问题。旧稳定内核仍保留 C Binder 并继续接收安全修复，7.3 被指定为 2026 年的长期支持版本。由于部分厂商钩子无法由 Rust 版完全复现，许多 Android 厂商需先更新代码才能迁移。

Linux 内核多路径 TCP（MPTCP）中被披露一个可远程触发的释放后使用漏洞 CVE-2026-98432：攻击者可让重传 SYN 包的响应与另一线程中的连接建立同时发生，使第一个线程在第二个线程已释放连接选项结构后仍访问该结构，从而泄露内核内存，或造成缓冲区溢出并写入攻击者控制的数据。上游修复提交（e3f33b0a1d89）改为仅在 RCU 宽限期结束后才释放该结构。Anthropic 于 10 月 27 日公开该漏洞，Go 安全团队于 10 月 29 日提示，用 Go 编写的程序默认使用多路径 TCP。受影响的仅是开启了 MPTCP 监听器的系统；各发行版何时提供已打补丁的内核尚不清楚，来源摘要也未说明是否已出现实际利用。

据 Telegram 帖子援引《The Information》报道，DeepSeek 第二轮融资募得 1055 亿元人民币，估值超过 6155 亿元人民币，近 30 家投资方参与；其中具有国资背景的投资者出资约占 27%，而首轮（今年 6 月完成，规模约 510 亿元）这一比例约为 2%。

Tangled 面向开发者发布了基于 AT Protocol 的联邦代码托管平台。联合创始人称，团队已稳定 AT Protocol lexicon、全面重构架构与界面，并加入组织支持；整套服务栈或其中部分组件的自托管也已简化。私有仓库计划在未来几周推出。有评论引用报道称，Tangled 已完成 380 万欧元融资。

Northflank 据报遭到安全入侵，但现有材料未披露入侵方式、受影响客户范围、客户代码或数据是否泄露，也没有 Northflank 的官方确认或修复时间表。对依赖其多租户 SaaS 基础设施的开发和运维团队而言，目前能确定的只是事件已进入公开讨论，具体风险仍需等待厂商说明。

Show HN 项目 nesformer 据称在约 1GB 的 Qwen 模型权重中实现了一个可运行的 NES 模拟器，面向想验证“LLM 即虚拟机”的开发者。它把 NES 的 CPU 与内存状态放进模型的前向计算，而不是交给传统解释器；评论中引用的数据称其速度比真实主机慢 150–290 倍。社区评论还指出，项目连 RAM 也在模型内模拟（据称借助 gated DeltaNet 架构），因此不只是模拟 CPU。

PostgreSQL 19 的发布出现延迟。PostgreSQL 开发者 Robert Haas 表示，这次延期本身并不特别令人担忧，它直接来自项目对质量的关注；他真正担心的是长期维护能力。Haas 指出，LLM 有能力发现人类四十年都未能找到的缺陷，维护者可能永远追不上，这会威胁 PostgreSQL 的持续创新；他称自己和许多人正在努力寻找答案，但尚未提出具体方案。

苹果宣布，Apple 智能首批功能将自 11 月 4 日起随最新的 iOS 开发者 Beta 版在中国开放测试，并计划在 12 月 iOS 27.3 正式发布时向中国用户推出。此次测试包含实时翻译、照片消除和写作工具，但不包含下一代 Siri AI 功能；其他平台的支持需待必要审批后再推出。苹果还与阿里巴巴合作，在 Siri、写作工具和视觉智能中接入千问，面向在中国购买支持 Apple 智能的 iPhone 用户，或设备定位与 Apple 账户国家/地区均设为中国大陆的用户。上述时间与功能范围来自苹果公告，属于已宣布的测试和发布计划，尚非已全面上线的能力。