PHP bereidt twee kritieke patches voor; PingCAP onderzoekt TiDB Cloud-incident

PHP-beheerders krijgen vandaag een patchvenster voor twee kritieke kwetsbaarheden; bereid update, rollback en onderhoud nu voor. PingCAP bevestigt intussen ongeautoriseerde toegang tot interne systemen en onderzoekt de gevolgen voor TiDB Cloud-klanten. Voor AI-serving is er een concrete, maar nog niet onafhankelijke, vergelijking van vLLM met DeepInfer.

PHP plant vandaag twee kritieke patches

Het PHP Security Team heeft een securityrelease aangekondigd voor 14:00 UTC, vandaag dus 16:00 uur Nederlandse tijd. Die moet twee kwetsbaarheden met CVSS v4.0-score 9,2 (Critical) repareren. De aankondiging noemt nog geen getroffen versies, kwetsbaarheidstypen of mitigaties.

Dat is genoeg reden om nu een onderhoudsvenster, testomgeving en terugvalplan klaar te zetten: inventariseer internetbereikbare PHP-diensten, maak deployment en eventuele containerimages reproduceerbaar, en zorg dat monitoring na de update relevante fouten en onverwachte wijzigingen zichtbaar maakt. Wacht met technische conclusies tot de patches en adviezen zelf beschikbaar zijn.

In de HN-discussie staan beweringen over een al gepubliceerde exploit, maar die zijn niet bevestigd door het PHP Security Team. Baseer urgente beslissingen daarom op de officiële release zodra die er is, niet op speculatie. Officiële aankondiging · PHPs nieuwsarchief · HN-discussie

PingCAP bevestigt ongeautoriseerde toegang tot TiDB Cloud-systemen

PingCAP meldt dat een onbevoegde partij tussen 9 september en 7 oktober met gestolen service-accountcredentials toegang kreeg tot bepaalde interne systemen, data kopieerde en broncode bemachtigde. De leverancier zegt de betrokken credentials vanaf 7 oktober te hebben uitgeschakeld; per 14 oktober zouden de geïdentificeerde toegangspaden zijn geblokkeerd en vier gemelde kwetsbaarheden verholpen en hertest.

De bevestigde blootgestelde categorieën omvatten volgens PingCAP gebruikersnamen en e-mailadressen, organisatie-, project- en clusterassociaties, SQL-editor-tekst en fouten, plus zakelijke en facturatiegegevens. Een geëxporteerde tabel bevatte versleutelde TiDB Cloud-API-keywaarden. PingCAP schrijft dat een externe onderzoeker een eigen testwaarde niet rechtstreeks als API-sleutel kon gebruiken; of andere bruikbare credentials zijn blootgesteld, wordt nog onderzocht.

Belangrijk onderscheid: PingCAP zegt geen bewijs te hebben gevonden dat de aanvaller commando’s uitvoerde of persistent toegang hield in de beoordeelde productiesystemen, en ook geen bewijs dat in TiDB opgeslagen data is geraakt. Dat beperkt de conclusie niet tot ‘geen incident’: de beschreven data-exposure staat volgens de leverancier los van die bevinding. De klantspecifieke impact en eventueel eerder misbruik worden nog onderzocht; getroffen klanten zouden direct bericht krijgen.

Voor TiDB Cloud-gebruikers is dit reden om leverancierscommunicatie te volgen, eigen API-keys en gekoppelde secrets gericht te inventariseren en normale rotatie- en toegangslogs te controleren. Vermijd conclusies op basis van de veel verdergaande, niet onafhankelijk geverifieerde claims van een aanvallerssite. PingCAPs incidentupdate · HN-discussie

vLLM zet een eigen DeepInfer-vergelijking naast de open release

De namiddagupdate van gisteren behandelde DeepInfers open-sourcing. vLLM voegt nu een nieuw, concreet vergelijkingspunt toe: het project zegt met Wide-EP en EPLB DeepInfers gepubliceerde decode-throughput binnen 6% te benaderen over batchgroottes 8–256.

Daarnaast meldt vLLM een AgentX-test op een GB300 NVL72: 200 P90-tokens per seconde per gebruiker en volgens de eigen berekening $38,96 opbrengst per GPU-uur bij DeepSeeks dalprijs. Voor één gebruiker noemt het project 829 P90 TPS op vier B300-GPU’s, 26% sneller dan zijn standaardpad op GB300. vLLM benadrukt zelf dat de opbrengstcijfers niet rechtstreeks met DeepSeeks cijfers vergelijkbaar zijn.

Dat maakt het interessant voor teams die DeepSeek-V4.1-Flash op bestaande open servingsoftware willen evalueren: het verschil met de eerdere release is een geclaimd reproduceerpad buiten DeepInfer. Maar het blijft een projectmeting op zeer specifieke hardware, workload, prijsaanname en latencydoel. Gebruik de gedeelde recipes als startpunt en meet eigen modelkwaliteit, prefill, decode, concurrency en totale kosten voordat je een runtimekeuze maakt. vLLM: vergelijking en reproduceerrecepten

Verder nog

• EDG’s C++-frontend is open source: de broncode van de dertig jaar oude EDG-frontend werd op 30 september publiek en verhuist onder de C++ Alliance naar een openbaar ontwikkelmodel. Bugfixes en onderhoud zouden direct publiek worden; grotere features moeten collectief worden gefinancierd en komen daarna in dezelfde codebase. Voor compiler- en analysetoolbouwers betekent dat vooral inspecteerbaarheid en een bijdragerpad; de aangekondigde continuïteit en governance zijn nog claims van de nieuwe beheerder. EDG over de overgang · Lobsters-discussie
• Interop 2027 is nog een wensenlijst, geen compatibiliteitsbelofte: browserleveranciers verzamelen prioriteiten voor de volgende interoperabiliteitsronde. De auteur noemt onder meer CSS-functies, corner-shape, anchored container queries en reading-flow; volgens zijn overzicht werken enkele daarvan nu alleen in Chrome/Edge, terwijl Firefox en Safari ze nog niet ondersteunen. Gebruik ze hoogstens als progressive enhancement totdat de uiteindelijke focuslijst én brede implementaties er zijn. Overzicht van voorstellen en huidige browsersteun · HN-discussie