#企業 IT
602 篇文章
TechLab 所有關於「企業 IT」嘅文章、評測同教學，由最新排起。
Tech NewsOpenSSF AI 漏洞指引：把掃描與驗證拆開
AI coding agent 可加快找出疑似漏洞，卻不能取代驗證、風險排序和人工審批。OpenSSF 的建議可整理成一條可落地的修補流程。
Tech NewsGitLab四宗RCE漏洞牽出Ruby Regexp引擎缺陷
GitLab已先行修補產品內的Ruby；Ruby再釋出4.0.9、3.4.12及3.3.13。風險集中於編譯攻擊者可控制的正規表示式，Regexp.timeout並非緩解方法。
Tech News合法軟件成掩護：企業應排查 DLL 側載與 AD 資料外洩
Sophos 追蹤到疑似中國背景組織以 Sandboxie、Java、Krita、LINE 等合法程式側載惡意 DLL，並嘗試取得 Active Directory 資料。香港企業應把偵測重點由檔案轉向端點行為與記憶體活動。
Tech NewsCodex監控繞過漏洞已修補，企業仍須審視代理權限
METR與Redwood Research為OpenAI內部代理監控系統壓測時發現多項可繞過沙箱、Auto-Review及執行軌跡監察的問題。OpenAI稱已完成修補；目前沒有資料顯示這是外部入侵或用戶資料外洩事件。
Tech NewsPHP2Shell攻擊嘗試擴散：PHP網站管理員應先盤點風險
iThome引述Check Point指，PHP2Shell相關攻擊嘗試已觸及全球一成組織；該比例不等同成功入侵。現有資料未列出CVE、受影響版本或官方修補版，管理員應避免按傳聞版本採取錯誤行動。
Tech NewsGitLab滿分漏洞波及自架CE、EE 七個分支須急升級
GitLab 修補可讓未登入攻擊者在 server 執行任意程式碼的 CVE-2026-110264。自管 CE、EE 管理員應先確認版本、安排升級，並核查升級後服務與存取紀錄。
Tech News91APP入侵鏈揭示：未修補 Appsmith 如何通往訂單資料庫
91APP稱未修補的 Appsmith 漏洞讓攻擊者進入內部網絡，再從 GitLab 取得資料庫金鑰。對使用 CI 與雲端訂單系統的團隊，重點在於切斷管理工具、程式碼平台與生產資料之間的權限鏈。
Tech NewsPHP 重大漏洞修補後：香港網站應先核對版本與排查入侵
iThome 報道指 PHP 已修補兩個 CVSS 9.2 漏洞，並有揭露前及修補日遭利用的報告。香港網站管理員應優先確認實際版本、套用官方更新及檢查異常程序。
Tech NewsPHP2Shell修補到位前：PHP網站如何識別風險與更新
PHP 已發布 8.2 至 8.5 的緊急更新，處理兩項可導致未授權遠端程式碼執行的漏洞。使用舊版 PHP 的網站，需特別確認發行版或 LTS 供應商是否提供回植修補。
Tech NewsPHP再揭待修RCE漏洞 罕見Session設定可觸發
PHP基金會警告，CVE-2026-115560仍待修補，僅在特定Session序列化設定與上載進度功能同時存在時觸發。管理員可先關閉相關功能，並等候完整公告。
Tech NewsCAPCOM ID外洩逾1,177萬筆資料 玩家宜防釣魚及帳戶被接管
Capcom確認CAPCOM ID遭未授權存取，逾1,177萬筆會員資料外洩，196個帳戶密碼曾被改動。入侵方式及完整影響仍待調查，玩家應以官方渠道處理帳戶安全。
Tech News1Password擴大 AI 代理登入：密碼不交代理，授權風險仍在
1Password 擬讓更多 AI 代理經用戶核准後登入網站並代填密碼及一次性驗證碼。保障重點在於代理看不到憑證，但登入後可做甚麼，仍取決於代理與網站權限。
Tech NewsAgent Skills 交AAIF管理：AI代理工作流程走向可攜
Anthropic 把 Agent Skills 標準交由 AAIF 管理。SKILL.md 有望讓代理重用工作流程，但平台採用標準不等於功能已完全互通，第三方技能的安全審查亦成關鍵。
Tech NewsOracle Java 高危漏洞波及 API 與舊式沙箱部署
Oracle 就 CVE-2026-91403 發出緊急公告，受影響範圍涉及多個 Java、GraalVM 版本。企業應先盤點對外 API、Java runtime 與仍在使用的沙箱部署，並留意官方修補版本尚待核實。
Tech NewsLiteLLM供應鏈受襲：多模型團隊須重建環境及輪換金鑰
LiteLLM發布流程遭入侵，受污染套件可在Python環境竊取雲端憑證與AI金鑰。受影響團隊應避免在原環境操作，先重建乾淨環境並輪換憑證。
Tech Newscurl將中低風險漏洞移至GitHub公開審查
curl 10月26日起把中低風險漏洞改於 GitHub Issues 公開處理，高風險及重大漏洞仍經 HackerOne 私下協調。改動旨在分攤 AI 帶來的通報審核負擔，也改變下游團隊追蹤修補的節奏。
Tech NewsCloudflare 推 Rust 版 TypeScript 編譯器，資源成本成新焦點
Cloudflare 旗下團隊推出實驗性 tsrs：以 Rust 移植 TypeScript 編譯器，宣稱在特定設定下型別檢查最高快 Go 版 8 倍，並把檢查能力帶進瀏覽器。
Tech NewsClaude 背後的算力帳：Anthropic 營收急升仍受容量與長約壓力
據 iThome 轉述的文件與 WSJ 報道，Anthropic 上半年收入大增，但算力支出、容量短缺與巨額長期承諾，將左右 Claude 的供應彈性與商業壓力。
Tech NewsAI Agent 拉低試錯成本，SSO 信任鏈成防線焦點
iThome 報道披露一宗近自主式 AI 網攻：已知弱點被多個 Agent 並行串連，令遺留 API、弱密碼與 SSO 信任關係的風險被放大。
Tech NewsSiteGuard WAF命令注入漏洞遭利用 修補前先保留攻擊紀錄
iThome 報道指，SiteGuard Server Edition 統計功能的命令注入漏洞已被利用；受影響管理員應先匯出診斷資料，再安裝修補版本或個別修補程式。
Tech NewsJava、Kotlin 分析進入 Cursor 與 VS Code，30 日後須訂閱 Ultimate
JetBrains 的 Java、Kotlin 擴充功能 1.0 把 IntelliJ IDEA 的檢查、重構與除錯帶到 Cursor 及 VS Code。iThome 指出免費預覽已結束，試用 30 日後須訂閱 Ultimate；AI agent 現可讀取部分檢查，自主使用的授權尚未公布。
Tech NewsAdobe Commerce「BlockStrap」滿分漏洞：Magento 團隊應先查電郵範本
iThome 報道指，Adobe Commerce 與 Magento 的電郵範本引擎出現 CVSS 10 分漏洞；雖未見已遭利用，營運團隊仍應優先修補並驗證部署。
Tech NewsDrupal 兩項重大 RCE 須配合其他模組 一條路徑毋須登入
Drupal 10 月 14 日修補 Field UI 與 Entity List 兩項 RCE，評分各 19／25。兩者不能直接利用，須配合其他貢獻模組，一條路徑毋須登入。版本為 11.4.10、11.3.19、10.6.19 及 Entity List 3.0.10，未及升級可先移除 Field UI。
Tech NewsConnectWise 憑證遭濫用：M365 備份服務成供應鏈入口
ConnectWise Cloud Backup 應用程式憑證被濫用，173 個 Microsoft 365 租戶遭未授權存取。事件提醒企業盤點第三方 app 的既有權限及 Graph 登入紀錄。