📡 科技日報 — 2026-07-19

🚨 今日科技重點

WordPress 核心爆重大漏洞鏈「wp2shell」，未授權即可遠端執行程式碼 — REST API 批次路由混淆（CVE-2026-63030）串接 WP_Query 的 SQL Injection（CVE-2026-60137），攻擊者無需帳號、外掛，僅憑匿名 HTTP 請求即可在預設安裝的 WordPress 上執行任意程式碼；影響 6.9.0–6.9.4 與 7.0.0–7.0.1，PoC 已公開。
💡 一句重點：所有自架 WordPress 站台（包含發布本文的站台本身）都應立即確認已升級到 7.0.2／6.9.5／6.8.6。
Anthropic 與 Meta 洽談 100 億美元運算租賃協議 — 據報導 Anthropic 提議向 Meta 租用運算能力，交易規模上看兩年 100 億美元；Meta 目前沒有對外銷售運算力的業務，談判仍在早期且複雜。此前 Anthropic 已與 Google、SpaceX、Microsoft、Amazon 有多筆運算授權合作。
💡 一句重點：AI 模型商的運算供給正快速多元化，觀察這類跨公司算力交易有助預判未來 API 產能與定價走向。
Amazon 旗下 Zoox 因無人車無法辨識濃煙而回收軟體 — 一輛無人載客的 Zoox 機器計程車於火災現場遭濃煙遮蔽視線後緊急煞停，Zoox 已向 NHTSA 申報回收（campaign 26E044），影響 105 輛車，透過 OTA 更新新增「偵測並應對濃煙」能力，事件無人受傷。
💡 一句重點：感測器在極端環境（煙、霧、強光）下的降級處理，是自駕系統上路前必須壓力測試的邊界案例。

Anthropic 算力版圖再擴張：從雲端三雄轉向社群媒體巨頭 — 若 Meta 交易成真，將是 Meta 首次跨入對外銷售運算力的新業務線，等同與 Amazon、Microsoft、Google 直接競爭雲端市場，也反映前沿模型商對算力的渴求已超出傳統雲端供應商的供給速度。

把 Karpathy 的 nanochat 移植到 TPU：PyTorch 習慣哪些會失效 — 開發者將 nanochat（單一 repo 完成 tokenizer 訓練、預訓練、SFT、RL 的全端 LLM 專案）以 JAX/Flax NNX 重寫並在 TPU 上原生執行，移植成本僅約 40 美元；記錄下 vLLM、Flash Attention 3 等 PyTorch 生態工具在 TPU 上全數缺席、JIT 編譯除錯體驗痛苦等取捨。
💡 一句重點：要做規模化訓練實驗選 JAX／TPU 可攜性佳，但要用到現成的 serving／微調生態（LoRA、vLLM、HF pipelines）目前仍得留在 PyTorch。

wp2shell 漏洞鏈技術細節 — 攻擊利用 WordPress 未授權的 REST 批次端點 /batch/v1，一次呼叫觸發多個子請求，解析上的錯位讓某個子請求被錯誤的處理器接手，再串接 WP_Query 的 author__not_in 參數注入完成 RCE；CVE-2026-60137（SQLi）影響範圍更廣，回溯至 6.8 以上版本。

立即升級 WordPress：核心已釋出 7.0.2／6.9.5／6.8.6 修補版本，wp2shell 為未授權 RCE，優先權應列最高。
盤點 LLM 訓練基礎設施的可攜性：若團隊同時使用 GPU 與 TPU，可參考 nanochat 移植記錄評估 JAX 化的成本與生態缺口，再決定是否投入遷移。
追蹤運算力供給動態：Anthropic-Meta 洽談的租賃交易，是前沿模型商運算產能吃緊的訊號，跨團隊評估 API 用量與備援供應商時可納入考量。
檢視感測器降級（degraded sensing）測試案例：無論是自駕車或工業 IoT，煙霧、強光等邊界場景的處理都該納入回歸測試，而非等事故發生才修補。

Regressive JPEGs：用一張圖片的漸進式掃描偽造出動畫 — 利用 JPEG 漸進式掃描「低頻資料先傳」的特性，刻意讓後續掃描覆蓋已經渲染完成的畫面，在網路傳輸較慢時讓同一個檔案在瀏覽器裡輪流顯示多張不同的圖片；作者靠此手法讓 Chrome 播放出約 90 張影格的「動畫」，雖然沒有實際用途但技術上相當巧妙，在 Hacker News 引發熱烈討論。
用 Claude 幫 300 萬筆 Instacart 訂單的商品組合打「好笑分數」 — 作者利用 Instacart 公開的機器學習競賽資料集（約 300 萬筆訂單），讓 Claude 為近千種常見商品組合的「好笑程度」評分（0–1），再乘上組合的稀有度重新排序，挖出許多意想不到、令人會心一笑的購物籃組合，在 Hacker News 上獲得大量迴響。

End of article