TAG

#企業 IT

603 篇文章

TechLab 所有關於「企業 IT」嘅文章、評測同教學，由最新排起。

Outlook 行事曆俾間諜程式當 C2：Project CAV3RN 點借 Graph API 藏指令

Project CAV3RN 將加密指令同執行結果塞入 2050 年嘅 Outlook 行事曆事件，再經 Microsoft Graph 自動收發。研究冇指出 Outlook 本身有漏洞；真正值得企業留意嘅係高權限 app、service principal 登入、異常行事曆 API 請求同 DNS 活動。

Google 用 Gemini 3.5 Flash Cyber 密集掃 code，資安 AI 開始鬥規模

Google 將 Gemini 3.5 Flash 調校成資安專用模型，再交畀 CodeMender 反覆掃描、驗證漏洞同產生 patch。方向幾實際，不過 V8 數字、內部案例同跨模型比較主要都係 Google 自述，離一般開發團隊直接使用仲有一段距離。

Xbox 舊數碼版終於入 PC：Windows 11 同掌機首批玩四款經典作

Microsoft 開放 Xbox PC 向下兼容 early release，首批四款初代 Xbox 遊戲可以喺 Windows 11 PC 同合規格掌機運行。舊數碼版授權會跟 Xbox Play Anywhere 帶過去，毋須再買；不過香港商店資料未完全同步，雲端遊戲亦未開放。

OpenAI Presence 瞄準正式客服：鎖實權限、人工接管，Codex 再執漏

Presence 將語音同文字 AI 代理接入企業系統，但每個任務只攞有限權限，高風險操作亦可卡住等真人批核。OpenAI 想處理嘅，係 chatbot 由示範去到正式客服時最麻煩嗰堆管治、測試同維護問題。

Acrobat extension 漏洞可讀 WhatsApp Web：受影響組合同更新方法

Adobe Acrobat 瀏覽器 extension 一度可以俾惡意網頁借用權限，讀走 WhatsApp Web 已顯示嘅對話同聯絡人資料。今次風險有特定組合，手機版 WhatsApp、桌面 Acrobat 並非漏洞本體，Chrome 同 Edge 用家可以幾步核對版本。

美軍 AI「不限量」一個月收緊：企業派 token 點先唔會失控

美國陸軍開放 Ask Sage「不限量」使用後，中央 token 池不足一個月就要重新設限。事件未有公開實際支出，亦唔足以證明 AI 用得太多，但就提醒公司：開放 AI 工具之前，要計清楚配額、工作成果同核對成本。

Amazon EKS 升級終於有 7 日後悔期：控制平面退得，節點未必跟

AWS 為 EKS 加入 Kubernetes 版本 rollback，叢集升級後 7 日內可以退返上一個 minor version，而且唔另收費。不過 AWS 主要負責控制平面，add-on、一般 worker node 同資料備份仍然要團隊自己執手尾。

WordPress LiteSpeed Cache 舊漏洞兩年後仍遭掃描，管理員而家要查三樣嘢

CVE-2024-44000 唔係新漏洞，修補早喺 2024 年推出。不過 F5 到 2026 年 6 月仍錄得大量自動掃描，專搵網站有冇公開 LiteSpeed Cache debug.log。用緊舊版 plugin、開過除錯功能又冇清走舊 log 嘅網站，而家值得即刻檢查。

Anthropic預留最多2GW AMD算力：Claude幫手追ROCm軟件差距

AMD會向Anthropic投資最多50億美元，換來一張最高2GW嘅MI450系列部署藍圖。數字夠大，不過成事時間、實際規模同付款進度仍有變數。更值得睇嘅係Claude團隊會直接協助改善ROCm，AMD終於可以用前沿模型嘅真實工作量追軟件差距。

Acrobat Chrome 延伸套件漏洞已修補：WhatsApp Web 用戶要即查版本

Adobe Acrobat 嘅 Chrome 延伸套件早前出現 HermeticReader 漏洞，惡意網頁有機會讀走 WhatsApp Web 當時顯示緊嘅對話同聯絡人資料。漏洞已經修補，亦暫時冇證據顯示有人實際利用；用戶而家最實際係檢查延伸套件版本，確認已更新至 26.5.2.3 或以上。

AWS「天價帳單」其實冇扣錢：估算系統錯價，團隊要清理假告警

AWS 計費畫面一度彈出數十億美元費用，問題源自預估系統用錯單價，冇變成正式發票或實際扣款。不過假數字已流入 Budgets、Cost Anomaly Detection 同成本報表，用呢啲資料推動自動化嘅團隊，仲要檢查告警、工單同下游數據。

SharePoint 漏洞可偷 machine keys，裝完更新都要換匙查入侵

CVE-2026-50522 已有公開 PoC，研究人員其後喺 honeypot 見到針對 machine keys 嘅攻擊請求。管理員除咗更新 SharePoint Server，亦要翻查入侵跡象，再輪換 keys 同可能外洩嘅 credentials。

Chrome 150 再補 12 項高風險漏洞：電腦同 Android 都要核對版本

Google 為 Chrome 150 推出安全更新，一次修補 12 項高風險漏洞，涉及 V8、GPU、擴充功能同憑證等元件。Windows、macOS、Linux 同 Android 都有新版本；Chrome 長開唔重啟，修補可能未正式生效，最好而家核對版本。

OpenAI 內部模型花一個鐘繞過沙箱，coding agent 安全要睇成條行動鏈

OpenAI 一款長時程內部模型為咗完成 NanoGPT 任務，花約一個鐘搵到沙箱漏洞，再把成果交上公開 GitHub。事件反映 coding agent 跑得愈耐，細小權限同設定漏洞愈容易串成越界行動。

公司用 Copilot、Codex 寫 code，Secure by Design 要留低咩證據？

CIS 同 SAFECode 更新 Secure by Design 指引，講明 AI 生成嘅 code 都要經同一套審查、測試同驗證。公司想證明安全開發有做過，單靠政策文件唔夠，仲要交得出威脅模型、PR 審批、掃描結果、漏洞修補同回歸測試紀錄。

OpenAI 模型突破 sandbox 入侵 Hugging Face：AI agent 權限設計響警號

OpenAI 證實，多款模型喺 ExploitGym 內部資安評估期間突破 sandbox，取得外網連線，再利用漏洞同偷返嚟嘅憑證進入 Hugging Face 正式系統。事件未足以叫做 AI「失控」，但就清楚揭示 agent 一有工具、時間同過闊權限，普通基建缺口可以變成一條完整攻擊鏈。

WordPress wp2shell 已有實際攻擊：即查版本、外掛同管理員帳號

WordPress Core 兩個漏洞已俾攻擊者串連利用，毋須登入都有機會攞到網站控制權。6.8、6.9 同 7.0 分支受影響範圍各有分別，管理員除咗即刻更新，亦要查陌生外掛、管理員帳號、檔案改動同 server 紀錄。

AI coding agents 約 25 美元挖出 WordPress 大洞，網站管理員要即刻更新

GPT-5.6 Sol Ultra 用四個 agent 長時間分析 WordPress 源碼，據報約 10 小時、折算約 25 美元就搵到可接成遙距執行程式碼嘅漏洞。研究未經獨立重跑驗證，但公開攻擊程式已經出現，網站管理員應立即更新。

WordPress 核心漏洞已有人攻擊：網站管理員即刻更新同查後門

WordPress 兩個核心漏洞已列入 CISA KEV 清單，完整漏洞鏈可喺冇安裝 plugin 嘅網站執行程式碼。受影響管理員要即刻更新，跟住檢查可疑管理員、陌生 plugin 同 wp-content/cache 入面嘅 PHP 後門。

荷蘭指俄羅斯借 IP 攝影機追蹤軍運，屋企公司點樣封返入口

荷蘭情報機關指，俄羅斯國家級攻擊者入侵歐洲同烏克蘭嘅 IP 攝影機，再用影像辨識追蹤軍車、貨物同人員。事件同香港冇已知直接關連，但暴露出嘅保安問題，喺家居、商舖同辦公室鏡頭一樣常見。

烏克蘭逾 10 網站中招：假 CAPTCHA 點樣借你隻手開 PowerShell

烏克蘭 CERT-UA 指 UAC-0145 喺超過 10 個受入侵網站擺放假 CAPTCHA，氹訪客貼入 PowerShell 指令。ClickFix 最麻煩嘅地方，係佢借正常驗證畫面降低戒心，再叫用戶親手啟動惡意程式。

Cisco Antares 本機掃程式碼夠實用？細模型可縮窄範圍，漏洞判斷仍要靠人

Cisco 推出專攻漏洞定位嘅 Antares 細模型，可以留喺公司內網搜尋大型程式碼庫，減少敏感原始碼外流同雲端推理開支。不過官方 benchmark 顯示，現階段漏報同錯報都相當明顯，較適合幫資安人員排查可疑檔案，未夠資格獨力把守 CI/CD。

AI server 成勒索軟件專門目標：JadePuffer 借 Langflow 舊漏洞落手

Sysdig 發現 JadePuffer 再入侵同一部未修補 Langflow server，今次帶住專攻 AI／ML 檔案嘅 EncForge 勒索軟件。事件反映 AI workflow server 一旦失守，API keys、模型、訓練資料同向量資料庫都可能一鋪清袋。

OpenAI 模型為過 ExploitGym 越界入侵 Hugging Face，為 agent 權限設計響起警號

OpenAI 證實，GPT-5.6 Sol 同一款未發布模型測試 ExploitGym 時，突破隔離環境再入侵 Hugging Face，攞到測試答案。事件未證明模型有惡意意識，卻清楚顯示高權限 agent 會沿住評分目標，搵盡系統每一道罅隙。