科技日报 007｜PHP紧急修复漏洞，SpaceX与特斯拉评估合并
第 007 期 · 2026-10-22 · SI斗罗
本期范围：北京时间10月21日00:00—10月22日08:00。海外公告保留官网日期；开源项目按今晨观察选入。
今天先看两条直接关系到服务器和密钥安全的消息：PHP紧急发布补丁，LiteLLM的一个版本被投毒。
另一条重大进展是，SpaceX和特斯拉已成立特别委员会讨论潜在合并。消息已经超出市场猜测，但距离成交仍有关键步骤。
机器人生产、Claude API升级，以及能替你筛B站视频的DeepSeek Harness社区插件，也放在后面一起看。
01｜PHP紧急修复两个严重漏洞，站点维护者优先升级
10月21日晚安全更新 · 两项CVSS v4.0评分均为9.2
这次修复的是CVE-2026-109618和CVE-2026-109619：满足利用条件时，攻击者无需登录，就可能在服务器上执行代码。
漏洞分别涉及内存不足时的数据破坏，以及前后请求之间残留的内部状态。
Apache mod_php默认配置下已有成功验证。PHP-FPM等处理Web请求的部署也在风险范围内，具体利用条件不同。
不能因为没用Apache，就认定自己的站点不受影响。研究者验证成功，也不等于已经确认发生大规模攻击。
对应分支的修复版本是：8.5.12、8.4.27、8.3.36、8.2.35。
官方强调，临时调整配置无法完整消除风险。维护站点的朋友，应优先安装对应分支或发行版提供的安全更新。
来源：PHP安全公告 · PHP Foundation说明。
02｜LiteLLM发布链被投毒，升级记录和镜像都要查
10月21日安全事件 · 恶意版本已停止分发，调查仍在进行
LiteLLM项目方确认，发布流水线遭入侵，PyPI上的1.107.0版本和部分官方Docker镜像，被植入窃取凭据的程序与后门。
PyPI受污染分发窗口为北京时间10月21日19:39—21:23。该版本目前已被PyPI隔离。
Docker Hub的受影响窗口为19:46—22:20，涉及v1.107.0、latest、main-latest和main-stable标签。
如果安装或运行过受污染产物，只降级并不够。应按环境可能失陷处理，隔离并重建环境，撤销、轮换可能暴露的密钥。
项目方暂时建议固定到1.106.2等事发前的明确版本。发布源清理完成，不代表用户机器上的后门也会随之消失。
来源：LiteLLM事件公告 · PyPI隔离状态 · SafeDep分析。
03｜特斯拉：Optimus开始生产，仍处于早期爬坡
10月22日清晨 · 公司季度披露
特斯拉在美国当地10月21日盘后发布三季度材料，更新了Semi、Optimus和Cybercab的进度。
公司称，Semi已开始量产；Optimus在Fremont的量产线上开始生产。
但同一份材料把Optimus标为Early Ramp，也就是早期爬坡。得克萨斯的机器人产线仍在建设。
这还不能理解为机器人已经大规模销售。产线的设计能力、实际造出多少台、交到谁手里，是三件事。
Cybercab也开始进入奥斯汀的Robotaxi车队。普通车主使用的FSD监督版，仍需要驾驶员主动监督。
接下来值得追的，是实际产量、车队规模和服务范围，而不只是下一段演示视频。
04｜SpaceX与特斯拉评估合并，交易条款尚未谈拢
10月21日清晨电话会表态 · 潜在合并评估阶段
据路透社报道，马斯克在SpaceX财报电话会上披露，SpaceX和特斯拉均已成立特别委员会，讨论潜在合并。
这比市场猜测前进了一步，但不能写成“两家公司已经合并”。报道指出，委员会尚未就交易条款达成一致。
马斯克因利益冲突不参与委员会讨论。他认为合并有道理，但也提醒，现在说交易一定发生还太早。
这条消息值得持续跟进的，是委员会能否谈出具体方案，而不只是马斯克个人是否支持。
同一轮披露中，SpaceX三季度未审计数据也显示：SI，也就是此前的AI部门，收入为75.60亿美元，高于连接业务的52.48亿美元。
但连接业务营业利润为23.67亿美元，高于SI的4.31亿美元。收入规模和利润贡献，仍是两回事。
来源：路透社电话会报道（转载） · 彭博合并进展报道 · SpaceX提交给SEC的季度业绩材料。
05｜英伟达：把AI机房的一部分，先装进集装箱
10月21日公告 · 参考设计，计划2027年初交付
英伟达在柏林GTC公布DSX POD：把Vera Rubin计算系统、网络、机柜供电和液冷，预先整合到模块化集装箱里。
思路是先在工厂完成集成与验证，再运往部署地点，减少现场拼装的工作。
官方给出最快14天的部署说法，前提是现场供电、散热、网络等配套已经准备就绪。
不能把它理解成“找块空地，14天就能从零建好数据中心”。合作伙伴计划在2027年初开始交付。
算力扩张的难点，除了买到芯片，还有机房配套和工程进度。DSX POD主要想缩短的是后面这段流程。
来源：NVIDIA官方公告 · 技术说明。
06｜Claude API：升级SDK之前，先看请求参数
10月21日发布 · API有不兼容变更
Anthropic发布了日期为2026-10-21的API版本。Python SDK 2.0.0、TypeScript SDK 1.0.0等新版SDK默认使用它。
一个很容易踩到的变化是：Messages请求不能再携带temperature、top_p或top_k。
即使传的是默认值，也会返回400错误。迁移指南要求移除这些参数。
如果业务依赖非默认采样值，官方给出的选项之一是暂时保留旧版API 2023-06-01。
不是所有现有调用都会在今天突然失效。是否受影响，要看实际使用的API版本、SDK和请求内容。
写模型网关、客户端或内部工具的朋友，这次升级值得先在测试环境走一遍，再更新正式服务。
来源：Claude发布记录 · API迁移指南。
07｜谷歌云接入OpenAI模型，先向部分企业预览
10月21日公告 · 私有预览
Google Cloud宣布在Model Garden引入GPT-6 Astra、GPT-6.1 Sol和GPT-6 Luna，通过其云市场统一采购与账单。
获准客户可以用API调用，也能把本地Codex CLI或桌面端连接到Google Cloud的推理服务。
当前面向选定企业客户的私有预览，不是所有人都能直接开通。
Gemini for business、Google Antigravity的支持，以及部分数据保护选项，仍列为后续推出。
企业选模型，除了回答好不好，还要考虑采购、权限和审计。统一云入口解决的，是这部分接入问题。
来源：Google Cloud官方公告。
08｜反物质研究：把一个正电子“留住”数月
10月21日论文正式发表 · 实验研究
美国西北大学公布单正电子量子回旋器进展：用电场和磁场形成的阱，把单个正电子保持在近真空中数月。
正电子是电子的反粒子，接触普通物质会湮灭。研究团队在约0.3K的低温环境中，操控并观察了它的量子能级。
下一步，是更精确地测量正电子磁矩，再与电子比较，检验物理学中的对称性。
本次完成的是长期隔离与量子态控制，还没有发现足以推翻标准模型的差异。
研究预印本此前已公开，这次新增的是论文正式发表和大学公布的研究进展。
09｜DeepSeek也来刷B站了？这个插件会筛视频，还能@你
10月22日项目补充 · 社区插件，2.0.0版今晨发布
最近刷B站，我发现评论区多了不少DeepSeek“小肥鱼”。顺着这个现象，找到一个很贴近的项目：dsh-bili-scroll。
这是装进DeepSeek Harness的社区插件。它按关键词找视频，读字幕筛选，把值得看的内容整理成报告，还支持在评论区@你。
这里的“看视频”主要靠字幕；没有字幕时默认跳过，也可开启本地语音转写。使用前需要扫码登录B站，本期没有安装实测。
作者的2.0.0版在北京时间10月22日凌晨发布。版本说明将默认投递改为私信，并增加视频筛选记录；公开评论功能仍然保留。
它提供了一种让Agent参与评论区的方式，但不能据此认定“小肥鱼”都来自这个插件。昵称、头像和文风，都不足以确认背后用了什么工具。
从替人搜视频，到替人筛内容、发推荐，Agent开始接手日常的信息筛选。至于要不要替你公开说话，应该单独决定。
来源：dsh-bili-scroll项目仓库 · 2.0.0发布记录。
10｜ai-memory：给几个编码助手共用一份项目记忆
10月22日热门项目观察 · 既有MIT开源项目
换个AI对话就要重新交代项目，是很多人会遇到的麻烦。ai-memory尝试把交接做成一个共享记忆服务。
它通过MCP和会话钩子连接编码助手，主要知识存在由Git管理的Markdown文件里，数据库负责索引。
北京时间10月21日发布的v3.1.2，主要补Windows路径与钩子兼容，并修正模型请求跨站重定向的安全问题。
这是需要部署、配置的工具，不是贴一段提示词就能自动接好所有助手。本期没有安装实测。
如果你经常在多个编码工具之间切换，可以先看它如何保存交接记录，再决定是否值得引入一套服务。
来源：项目仓库 · v3.1.2发布记录。
11｜Cloudflare安全审计Skill：找到疑点，再换个Agent复核
10月22日热门项目观察 · 6月已发布的MIT开源项目
Cloudflare的security-audit-skill今晨出现在GitHub Trending中。它把代码安全审计拆给不同Agent完成。
先整理架构和检查范围，再寻找候选漏洞，随后由独立核验者尝试推翻这些发现。
最终结果区分“已确认、待验证、已否定”，不把每个猜测都当作漏洞。
使用它需要支持工具和并行子代理的编码助手，以及Node.js校验器；执行目标代码还需要系统级沙箱。
本期未在真实项目实测。它更值得借鉴的，是怎样要求AI拿证据、做复核，而不是生成一份看起来很长的审计报告。
来源：Cloudflare项目仓库 · 官方介绍。
