Pautan harian: CFML, ColdFusion, Lucee, E-mel, CSS3 & MySQL — 4 Nov 2026

Rabu pagi — enam pautan yang keluar 2 dan 3 Nov. Minggu ni berat sebelah pada server: satu cerita bot cari back door pada blog Lucee, satu lagi pasal berapa cepat kena tampal ColdFusion. URL semua dah disemak hidup sebelum terbit.

CFML

• A Bot Was Looking for a Back Door on My ColdFusion Server — Dalam satu malam, satu IP hantar lebih kurang 100 request ke /assets/nxzqlls4r.cfm?cmd=... pada blog Lucee dia. Nilai cmd tu base64; bila decode keluar echo COLD-SHELL-3jvur4augd — bukan serangan, tapi sondaan cari web shell yang orang lain mungkin dah tanam. Semua request mati dengan missinginclude, jadi tak ada apa yang jalan. Yang berguna: dia tunjuk cara semak sendiri — folder /assets wujud ke tak, template boleh panggil cfexecute atau Runtime.exec ke tak — dan cara sekat IP tu di Linux dan Windows. Perhatian: user agent bot tu menyamar Chrome Linux, jadi tapisan ikut user agent lepas dia lalu.

ColdFusion

• ColdFusion Security Patches: Meeting Adobe's 72-Hour Window — Priority 1 di Adobe bermaksud tampal secepat mungkin, contohnya dalam 72 jam, dan lima buletin antara Jun dan 8 Sep semuanya Priority 1. Hujah dia: 29% daripada 884 KEV 2025 dieksploit pada atau sebelum hari CVE keluar, jadi jadual change board bulanan dah tak beli masa. Selesaian yang dia cadang bukan "tampal laju-laju" saja — letak kawalan sementara di depan yang belum sempat ditampal, dan bina characterization test supaya tahu apa yang berubah. Contoh: update 11 Ogos dipasang tanpa ralat, tapi dua aplikasi terus rosak.

Lucee

• Lucee 8.0.0.299-RC (RC2) available for testing — RC2 ni delta kecil atas 8.0.0.294-RC: pasang atau update extension yang ada TLD tak lagi letup dengan NullPointerException (LDEV-6720), deadlock masa extension load pada Java 21 dibetulkan (LDEV-6812), cfclasses dipurge balik bila upgrade core (LDEV-6723), dan beberapa fix .CFConfig.json — kunci psq lama tak lagi rosakkan semua datasource, nullSupport peringkat server dihormati, dotNotationUpperCase jalan balik. Butang "Verify" datasource dalam Admin sekarang guna driver JDBC extension, jadi isu MSSQL (LDEV-6443) selesai. Mail terbundle naik 1.1.0.24, betulkan NoClassDefFoundError untuk WordUtils. RC ni soak sampai Jumaat 6 Nov; kalau tak ada regresi, 8.0 final keluar hari tu.

E-mel

• Checking a sending IP's reverse DNS and HELO in stdlib Python, before Spamhaus's November requirement — Spamhaus mula November 2026 perlahan-lahan wajibkan setiap IP penghantar ada HELO sah, rekod PTR, dan A record yang padan. Penulis tulis pemeriksa guna stdlib Python saja, DNS-over-HTTPS ke API JSON Google sebab mesin dia tak ada dig — berguna untuk VPS atau homelab yang hantar mel sendiri. Dua benda yang dia tekankan: algoritma iprev dalam RFC 8601 bahagian 3, dan RFC 5321 yang kata server boleh sahkan EHLO tapi tak boleh tolak mel sebab tu — blocklist buat keputusan lain. Perangkap kecil: jenis rekod kena banding sebagai nombor, kalau banding dengan string ia senyap-senyap tak padan apa-apa.

CSS3

• What's !important #20: GTA 6 Scroll Effects, Scrollspies, random() — Isu terakhir ruangan ni di CSS-Tricks sebelum ia pindah jadi newsletter pada 10 Nov. Isi dia: cara bina scrollspy dengan CSS moden tanpa JavaScript (Mojtaba Seyedi), demo random() Brecht De Ruyte, dan tulisan panjang Lea Verou pasal cara pasang ikon pada web 2026 — sentuh Linked Parameters, ident(), @mixin, @apply dan shorthand @property. Ada juga cadangan pseudo-selector universal ::* daripada Kilian Valkhof. Kalau korang ikut ruangan ni, ini yang terakhir dalam bentuk lama.

MySQL

• AWS contributes a large-transaction binary log optimization to MySQL — AWS hantar BOLT ke MySQL komuniti pada 29 Okt. Problem lama: satu transaksi besar pegang global lock binlog sambil salin event dari spill file, jadi semua commit lain tersekat berapa minit. BOLT tak salin — ia rename spill file jadi fail binlog seterusnya, sama macam rotasi biasa. Event baru Large_transaction_header_event simpan posisi event terakhir untuk crash recovery, dan ditanda ignorable supaya replica lama, mysqlbinlog dan alat CDC macam Debezium langkau. Angka AWS: commit 50 GiB dari ~7 minit ke ~2.5 saat, recovery dari ~4 minit ke ~0.1 saat, throughput ~3.1x. Tapi nasihat lama masih relevan — pecahkan transaksi besar, sebab replica apply satu transaksi sebagai satu unit dan boleh lag.