LuaRocks 披露安全事故：岩规字节码可致服务器远程代码执行
Lua 包管理站 LuaRocks.org 确认上传岩规时的 loadstring 缺陷可被利用执行任意代码，7–8月曾遭入侵；站点已换新服务器并撤销全部凭证。
LuaRocks 官方发布《2026年9月安全事件》说明：9月25日经 CISA 协调收到远程代码执行报告，26日完成修复。调查发现攻击者在7月9日至8月20日间多次利用漏洞。
根因是上传 rockspec（本质为 Lua 文件）时用 loadstring 加载，但未禁止 LuaJIT/Lua 5.1 预编译字节码。精心构造的字节码可突破空环境沙箱，在 OpenResty 服务器进程内执行任意代码。任意注册用户即可通过网页或 API 触发。
官方称未发现既有正规包被篡改，但假设旧机全部数据已暴露。用户需改密、重建 API Key 与两步验证、重新登录；使用 LuaJIT/Lua 5.1 者应升级到 LuaRocks 3.12+；若曾安装恶意包 bcrcewon、7e0b94029db0 或 7e0b9402f9c8，应视系统已失陷。