安全人员闭嘴了，你们就安全了？

为什么这几年厂商越来越爱报警？

从乌云时代到国内第一家安全应急响应中心-腾讯安全应急响应中心，过去的十几年时间，厂商和安全研究人员一直是站在一个公平对话的平等关系上的，会因为漏洞评级争论争吵，但是大部分都是基于技术和业务视角不同，产生的技术矛盾，它本身的争议还是在技术上。

但是近两年的风气特别奇怪，很多厂商越来越不把安全从业者当做为其解决问题的伙伴，陆续出现一些厂商硬是把为其提交漏洞的安全研究者，当做来找茬的敌对势力整！

甚至行业里某些厂商无耻到，设定各种套路规则，把本是认认真真挖漏洞、提漏洞的安全人员，硬生生的往灰黑色的边界去引导。

嘴上讲着几千万充足预算，安全研究人员真过来提交漏洞了，厂商又一改欢迎嘴脸，上来就是先忽略，再偷偷修....

有些争议漏洞就更搞笑，安全人员审核水平差的一批，自己搞不明白就忽略，告知不存在让你证明，证明以后呢又说获取不了几条数据，好咧一旦安全人员上头了，证明了能获取数据，又反过来恐吓说你非法获取数据了，要报警来抓你，最终就是漏洞拿走了，奖金没收了...

...

安全应急响应中心收不到漏洞了，你就更安全了吗？

今年收到的漏洞比去年少，你们就真的做得比去年好了吗？

IV, src: https://mp.weixin.qq.com/s/SJz_dy1yKIzzhrgwN07CMg

恕我不能理解对着老外搞爱(中)国营销是谁想出来的鬼点子

https://x.com/elshayib_/status/2113734602032312731

【已复现】Linux Kernel 提权漏洞 CVE-2026-98260，主流发行版与 Android 受到影响

Linux 内核曝出高危释放后使用（UAF）漏洞（CVE-2026-98260，CVSS 7.8）。具有本地代码执行权限的低权限攻击者，在满足特定条件时，可利用 POSIX CPU 计时器与 exec() 执行路径中的资源清理缺陷，触发内核内存破坏，进而实现本地权限提升，甚至获取 root 权限。

利用前置条件：
攻击者能够在目标 Linux 系统中以低权限用户身份执行本地代码
目标系统运行受影响的 Linux 内核版本

目前360图龙锋 · 漏洞挖掘智能体已成功复现该漏洞。本文包含完整影响范围、正式修复方案、技术原理与复现细节。

漏洞名称 Linux POSIX CPU timer exec() UAF 本地提权漏洞
漏洞编号 CVE-2026-98260
公开时间 2026-10-06
CVSS 4.0 7.8

https://mp.weixin.qq.com/s/tItIHB_L_6CVPS_JlRg3hA

延伸阅读：有人进场用 Qwen3.8-Flash-Next 干了7个一血
fixurl.cc/https://mp.weixin.qq.com/s/w72Ay689OZ0ls6Mbu5HPBw

细节 FAST

https://www.cve.org/CVERecord?id=CVE-2026-109424

哎呦我操
脚本小子Show Show Way
别让网易给我把路堵死了啊

你妈不要害得我没网易云第三方客户端用

#今天看了啥 https://fixupx.com/divagr1925/status/2115394340357116169

你的 [非最新版] PowerShell 7.x 启动崩溃了吗？

哇，你的终端支持高级特性（Windows Terminal）
→ 而且新版 PowerShell 已经发布一周了
→ 渲染一个三行的更新提示的背景
→ 三哥默认本地化消息的第一行一定是最长的，据此计算 padding
→ 但是对于老钟等 CJK 语言以及一些欧系语言，轻而易举地计算出了负数 padding（翻译在 7.6.6 合入）

💥

解决方法：
- cmd 运行 setx POWERSHELL_UPDATECHECK Off 或手工添加环境变量
- 附加 -NoLogo 启动参数，此时也会跳过更新检查，但不够全局
- 更新到 7.6.7，但下一个版本发布后七天还会炸

M$ 的解决方法：移除了更新通知这个特性，下个版本发布

Ref:
- Issue #28131
- UpdatesNotification.cs#L120-L137

https://t.me/ijustseesee/8903
什么叫差评直接把风向旗的消息截走就当信源了

于是起床之后补了个10点56发车的手机截图

🔴 Cursor 下载的 Claude Code 插件 2.1.313 版本包含后门。请立即更新并清理系统环境。

- 文章称 Visual Studio Marketplace 和 OpenVSX 的插件不受影响。
- Cursor 用户请升级至 2.1.314 版本，并检查 SSH 公钥登录白名单配置及其它可能受影响之处。
- 此后门会收集系统信息并添加名为 svc-telemetry 的公钥到 authorized_keys。
- Cursor 称攻击者服务器已被关停。 [1]

opensourcemalware.com/~

1. cursor.com/~

#Cursor #Anthropic

DeepSeek 的风吹进了芯片/安全/游戏/机械：

芯片方向
1.对大模型在芯片设计中的应用有热情，愿意用专业经验提升模型解决实际设计问题的能力。
2.有较为丰富的芯片设计经验，在数字前端（指令集/微架构设计、RTL/验证/综合/DFT等）、数字后端（布局布线/时序/DRC/LVS等）、模拟/混合信号（电路/仿真/版图/PDK等）中至少一个方向有深入实践。有实际流片经验者优先。
3.擅长问题抽象，能够将真实芯片设计问题转化为可复现、可验证的训练任务与评测用例。
4.有 EDA 工具开发或Agent流程搭建经验者优先。

安全方向
1.具备扎实的安全研究能力，能够独立完成安全问题的分析；根据所从事方向，具备代码审计、Exploit 编写、密码协议分析、数字取证或攻击溯源等实战能力。
2.熟悉以下至少一个安全方向，并具备真实研究、攻防实践或工程项目经验：Windows/macOS 系统安全、Android/iOS 移动安全、硬件与固件安全、数字取证与应急响应。
3.具备攻击者视角和良好的工程能力，不止于使用现成工具，能够独立发现攻击面、构造攻击或分析路径、搭建实验环境并编写自动化工具，将真实安全问题转化为可复现、可验证、可衡量的评测任务。
4.有高水平 CTF、漏洞奖励、CVE、红队攻防、密码分析、数字取证、安全工具开发或自动化漏洞挖掘经验者优先。

游戏方向
1.具备游戏开发一线经验，完整参与过至少一款游戏从研发到上线的过程；端游、手游或独立游戏均可。
2.深入掌握至少一种引擎生态，如 Unity、Unreal Engine、Godot 或自研引擎，并在核心玩法、渲染、物理、动画、建模、网络同步、性能优化或工具链建设中有扎实实践。
3.能够结合玩法目标与技术约束作出工程判断，独立定位和解决复杂问题，并设计合理的方法验证功能、性能与运行效果。
4.有从零开发并上线独立游戏、引擎开发或虚拟环境构建经验者优先。

机械方向
1.有志探索 AI 与机械设计、工程仿真的结合，用专业经验改进模型能力。
2.熟练使用 SolidWorks、Creo、CATIA、NX、FreeCAD 等 CAD 软件，或 Ansys、Abaqus 等 CAE 软件。
3.精通所从事方向的工程约束、建模假设与结果验证方法。
4.有完整实物项目经验者优先，经历过从设计出图到装配验证的全过程。例如，在 RoboMaster、大学生方程式等赛事中承担核心机械设计工作，或深度参与其他实物项目。

https://app.mokahr.com/social-recruitment/high-flyer/140576#/job/a4ad8628-286e-4395-ac3e-b8117ac695c6