博客 · 第 5 页
关于工程、设计与一些随手记录。
Node.js 24 进入 LTS：Krypton 管到 2028，升级前先看这几个变化
Node.js 24 在 2025 年 10 月 28 日转为 LTS，代号 Krypton，维护到 2028 年 4 月。V8 13.6、npm 11、权限模型稳定、require(esm) 默认开启，升级前有几个真实的坑要先知道。
PHP 两个 9.2 分 RCE：官方说的根因，和公开 PoC 演示的不是一条路
10 月 21 日 PHP 修掉 CVE-2026-109618 与 109619（CVSS 9.2），次日社区就放出了 PoC。这篇讲清 longjmp 与 stale global state 两条根因，附可复现的靶场与 PoC，以及这个 PoC 与官方描述对不上的地方。
PostgreSQL 18：异步 I/O 把读盘拉快三倍，uuidv7 终于进主线
PostgreSQL 18 在 2025 年 9 月发布，新的异步 I/O 子系统让部分读场景快了三倍，uuidv7() 与虚拟生成列进了主线，OAuth 2.0 认证也补上了。这篇说清哪些升级理由是真的。
CVSS 10.0 的 React 漏洞：一个请求就能在服务器上执行代码
React Server Components 的 payload 解码缺陷被评到 10.0 满分，未认证的远程代码执行。受影响的是 react-server-dom-* 的四个版本，修好的只有三个。这篇说清谁中招、怎么查、怎么补。
一个被改写的 tag：两万多个仓库的密钥进了构建日志
2025 年 3 月，tj-actions/changed-files 的版本 tag 被指向恶意提交，CI 里的 token 被打印进日志。CVE-2025-30066 不是"某个包被投毒"，而是 tag 可变这个默认习惯的账单。
TLS 证书只剩 47 天：自动续期从"最好有"变成"必须有"
CA/Browser Forum 的 SC-081 把证书最长寿命一路压到 47 天，2026 年 3 月起先降到 200 天，2029 年到 47 天。手动换证书的运维方式正式进入倒计时。