过去约48小时，安全圈像被同时踩了七个雷。PHP、GitLab、Node.js、Chrome、Signal、eMudhra、Oracle、Fortinet、Atlassian，一家接一家往外抛漏洞公告。

先看最扎眼的两个。PHP 被曝未认证远程代码执行，GitLab 同样是远程代码执行，CVSS 评分直接顶到 10.0。这两个词放在一起，基本等于"门没锁，钥匙还插在锁上"。

其余几家也没闲着：

  • Node.js：Brotli 解码器 RCE，外加另外 9 个缺陷
  • Chrome：353 项安全修复
  • Signal：一个能让通话无法彻底结束的 bug
  • eMudhra：CA 密钥遭泄露
  • Oracle：1,295 个安全补丁
  • Fortinet：严重/高危级别修复
  • Atlassian：176 条漏洞条目

这还没算上一周前披露的 Linux 虚拟机逃逸。时间线叠在一起，运维的待办列表肉眼可见地变长。

给出的建议很直接：让 Codex 或自己的 agent 去查代码、依赖和基础设施有没有暴露在这些漏洞下；再设好自动化，定期扫描新披露的漏洞，把需要打补丁的项标出来。48 小时能堆出这么多条目，靠人肉盯公告显然不现实。