这周安全圈直接炸锅：从 HTTP/3 协议层漏洞、PHP 高危 RCE，到 Plex 被黑、Linux 内核漏洞误公开，跑在家里的每一台服务器似乎都该立刻检查一遍。本地大模型赛道也很卷，Strata 和 Splash 前后脚宣布性能大涨。
HTTP/3 爆出严重漏洞：几百 KB 数据就能让服务器卡死。对于用 Nginx、Caddy 对外提供服务的自托管玩家来说，这几乎是家门口的雷，建议密切关注自己反代和 Web 服务组件的更新动态。详情：小众软件
Plex 遭黑客攻击，AOMEI 两款软件更新渠道被劫持。家庭影音服务器用户请立即修改密码并检查异常登录，同时警惕 AOMEI 相关软件的可疑更新包，这一波供应链攻击离我们并不遥远。详情：小众软件
多个 Linux 内核高危漏洞疑似被误公开：最高评分 9.0，部分尚未修复。家里的 NAS、软路由、树莓派大多跑着 Linux，漏洞被提前曝光意味着攻击窗口已经打开，近期勤打补丁别偷懒。详情：小众软件
PHP 官方罕见提前预警：两项 9.2 分严重漏洞。大量自托管应用依赖 PHP，官方提前预警的情况相当罕见，跑着 WordPress、Nextcloud 等服务的玩家今晚记得蹲一波更新。详情：小众软件
VMPal：M 系列 Mac 专属虚拟机，AI Agent 的独立电脑。给每个 AI Agent 单独发一台虚拟机，互不干扰、随开随关，Mac mini 党搭建家庭 AI 工作流又多了一个趁手工具。详情：小众软件
Strata 0.2.2 新增多显卡自由分工，Gyro 推理提速最高 30%。随后 Splash 1.4 也宣布快了 30%，本地大模型优化军备竞赛白热化，低配设备跑模型的门槛正在肉眼可见地降低。详情：小众软件、Splash 1.4
印度证书泄漏后，一台智能音箱被破解了。证书机构的管理漏洞竟能直接撬开智能硬件，家里的 IoT 设备安全从来不是小事，建议顺手测一下浏览器是否中招。详情：小众软件
CloudCone 再次开启 50% 赠送：充值 5.1 美元送 2.55 美元。手头有 VPS 备用机需求的可以低成本囤一点，不过看完上面这些漏洞，还是先把安全加固做完再谈扩容吧。详情：小众软件
这一周的唯一结论：自托管省下的钱，最后都变成了深夜打补丁的时间。
