🚨 今日科技重點
- CVE-2026-41089：Windows Netlogon 嚴重 RCE 正遭野外利用（CVSS 9.8） — Netlogon 服務存在堆疊緩衝區溢位，未驗證攻擊者可對網域控制器執行任意程式碼並取得 SYSTEM 權限；微軟已於 2026/05/12 釋出修補，但威脅行為者仍在積極利用，所有 Windows Server 應立即套用更新。CERT-EU 與比利時網路安全中心同步示警。
💡 暴露在網路上的 DC 請優先於今日完成修補，此漏洞已被加入 CISA KEV 清單。
- CVE-2026-10520 / CVE-2026-10523：Ivanti Sentry 雙漏洞，CVSS 最高 10.0 — OS 指令注入（CVSS 10.0）可讓未驗證遠端攻擊者取得 root RCE；認證繞過（CVSS 9.9）可建立任意管理員帳號並取得完整控制；影響 Sentry 10.7.0 及以前所有版本。CERT-EU 建議立即升級至已修補版本。
💡 Ivanti 設備再次成為高危目標，企業應確認 Sentry 版本並立即套用 vendor patch。
🧠 AI / LLM 動態
- ArgusRed：專為滲透測試後訓練的攻擊模型，不拒絕惡意指令 — Cosine 研究室公開 ArgusRed CLI，底層為針對安全攻擊場景後訓練的自研模型（非商業 API 封裝），可分析原始碼漏洞、在隔離沙箱中重現 exploit、產生含請求與回應的 PoC，並自動開 PR 修補已確認漏洞；HN 60 分討論中安全社群對合法用途與濫用風險並陳。
💡 合法滲透測試工具鏈正快速 AI 化，同樣的能力也降低惡意行為者門檻，採購時需確認部署環境隔離性。
- LLM 推論成本 Napkin Math：記憶體頻寬才是真正瓶頸 — 以 NVIDIA B200（8 TB/s 頻寬、4,500 TFLOP/s、算力記憶體比 562:1）為例，每張 GPU 在實際工作負載下可服務 300–800 個並發使用者；KV-cache 是關鍵，32B 模型每個對話約佔 26 GB；$40,000/張 B200、300 並發下每使用者終身成本約 $133（HN 34 分）。
💡 設計 AI 服務架構時，GPU 選型應優先考量記憶體頻寬而非 FLOP，批次請求策略對成本影響遠大於換算法。
⚙️ Backend / Infra
- Linux 7.2 正式移除 strncpy API：歷時 6 年、合計 360 個 patch — strncpy 因不保證 NUL 結尾且效能較差，自 2019 年起啟動核心清理計畫；Linux 7.2 合併視窗完成最後一批 patch，整個核心代碼庫將不再使用此 API，取而代之的是更安全的 strscpy / memcpy 系列（HN 53 分）。
💡 長達六年的技術債清理到位，是大型開源專案漸進式重構的典範案例；有 C 舊代碼庫的團隊可參考相同遷移模式。
- PostgresBench：可重現的 PostgreSQL 服務效能基準，ClickHouse 管理版跑出 28,668 TPS — ClickHouse 仿照 ClickBench 方法論推出 PostgresBench，以 TPC-B 類工作負載、256 並發客戶端測試各大雲端 Postgres 服務；100 GB 資料集下 ClickHouse Managed Postgres 達 28,668 TPS（AWS Aurora 12,628、RDS 8,133）；所有查詢、資料集與結果完全公開可重現（HN 60 分）。
💡 透明可重現的基準測試正成為雲端服務選型的重要參考，建議在選擇管理型 Postgres 前先以自身工作負載驗證。
- Bun 開 PR 為 JavaScriptCore 加入 Shared-Memory Threads — Oven 團隊在 WebKit fork 中提交 PR，為 JSC 引擎加入共享記憶體多執行緒支援；此改動若合入將讓 Bun Worker 直接共享記憶體，大幅提升多執行緒工作負載效能，是 Bun 與 Node.js 在並發模型上最顯著的差異化投資之一（HN 99 分、159 則討論）。
💡 JSC 原本缺乏 SharedArrayBuffer 跨執行緒優化，此 PR 是 Bun 生態成熟度的重要里程碑。
🛡️ 資安快訊
- 駭客入侵巴西政府系統，向全國手機發送未授權緊急警報 — 攻擊者成功入侵巴西政府緊急廣播系統，向全境手機推送未授權警報訊息，引發民眾大規模恐慌；事件暴露國家級公眾警報基礎設施的認證與存取控制漏洞，調查仍在進行中（HN 64 分）。
💡 公共警報系統是常被忽略的關鍵基礎設施安全盲點，此事件將推動各國重新審視警報系統的存取控制架構。
- AMD 將在七月以 BIOS 更新恢復 Ryzen 9000 記憶體加密（TSME） — 部分主機板 BIOS 更新意外停用了 TSME（透明安全記憶體加密），遭社群發現後 AMD 承諾於七月透過 BIOS 更新恢復；TSME 在硬體層自動加密所有 DRAM，可有效抵禦冷啟動攻擊（HN 104 分）。
💡 安全功能被意外停用往往比從未啟用更危險；Ryzen 9000 使用者應確認 BIOS 版本，並等待七月修復更新。
🎯 工程師建議
- Windows Server 今日行動：立即確認 CVE-2026-41089 修補狀態（2026/05/12 Patch Tuesday），Netlogon RCE 已在野利用，DC 暴露風險極高。
- Ivanti Sentry 用戶：升級至最新修補版本，CVSS 10.0 指令注入無需驗證即可利用，修補優先序應為最高。
- Ryzen 9000 使用者：七月前可在 BIOS 設定中手動確認 Memory Encryption（TSME）是否仍啟用，並等待主機板廠商七月更新。
- LLM 服務設計：評估推論基礎設施時，優先對比 GPU 記憶體頻寬規格，並實作 KV-cache 共享以降低每用戶成本。
🎪 社群趣事 & 新知
- CSSQuake：用純 CSS / PolyCSS 框架重現 Quake 第一人稱射擊遊戲 — 開發者以 CSS 為核心技術重建 Quake，支援單人與多人模式、動態光源、粒子效果，今日 HN 頭名 433 分；從技術角度看，這示範了現代瀏覽器 CSS 引擎已能處理實時 3D 渲染需求（HN 89 則討論）。
💡 下次面試考「CSS 能做什麼」時，這是最強的答案之一。
- UHF X11：把 Apple Vision Pro 變成空間化 X11 Display Server — 這款 visionOS App 讓 Apple Vision Pro 接受遠端 X11 連線（MIT-MAGIC-COOKIE-1 認證），每個 X11 應用程式以獨立空間視窗呈現，支援實驗性 GLX OpenGL 渲染，並可套用 CRT 掃描線、磷光體遮罩等復古濾鏡（HN 136 分）。
💡 1984 年誕生的 X11 協定，在 2026 年進化成空間運算視窗系統——技術演化的弔詭之美。
- SMPTE 開放所有標準免費取得，媒體技術圈的重大里程碑 — 成立逾百年的美國電影電視工程師學會（SMPTE）宣布，其全部已發布標準、推薦規範與工程指導文件即日起向全球免費開放，未來新發布亦同。對影視後製、廣播設備、串流格式相關開發者是重大利多（HN 200 分）。
💡 標準開放化趨勢持續加速（參考 Khronos、W3C），SMPTE 跟進意味著媒體技術開源生態將進一步加速迭代。
End of article