TAG

#企業 IT

603 篇文章

TechLab 所有關於「企業 IT」嘅文章、評測同教學，由最新排起。

GlobalProtect 漏洞已成 Qilin 勒索入口：企業 IT 要即查 VPN 登入紀錄

攻擊者已經利用 GlobalProtect 身份驗證漏洞 CVE-2026-0257 踩入內網，繼而部署 Qilin 勒索軟件，甚至加密成個網域。受影響機構除咗要更新 PAN-OS，仲要翻查成功 VPN session、可疑裝置名稱同 Windows 入侵痕跡，確認攻擊者有冇早一步入咗內網。

Kiro 已修補網頁藏指令執行程式碼漏洞，MCP 設定檔成高危入口

Kiro IDE 一個已修補漏洞，曾容許網頁暗藏嘅 prompt 指令改寫 MCP 設定，再以開發者權限執行程式碼。研究團隊確認 0.11.130 已擋住同一攻擊，事件亦提醒團隊：coding agent 嘅核准視窗只係其中一層防線，敏感設定、憑證同執行環境一樣要分隔。

Apple Hide My Email 漏洞話 7 月 3 日修好，兩星期後仍可曝光真實電郵

Hide My Email 私隱漏洞據報已修好，不過 Apple 所講嘅修補日期，同 AppleInsider 獨立測試差咗兩星期。未有證據顯示事件涉及大規模外洩，但用舊別名處理網購、訂閱或敏感通訊嘅人，值得重新檢查電郵配置。

Gemini 3.6 Flash 平咗亦快咗，Google 用 Flash Cyber 推漏洞修補 agent

Google 一口氣更新 Flash 系列，3.6 Flash 主攻 coding 同複雜 agent，3.5 Flash-Lite 就負責大量低延遲工作。真正值得睇嘅係 token、速度同價錢點樣一齊影響 agent 成本，仲有 CodeMender 點樣驗證漏洞修補 patch。

Microsoft 365 開咗 MFA 都可以中招：Evilginx 點樣偷走登入 session

Evilginx 類工具夾喺用戶同 Microsoft 登入系統中間，等受害者完成密碼同 MFA，再偷走已獲授權嘅 session。Lexfo 追查到三組相關攻擊，但 218 個帳號其實來自裝置驗證碼行動。公司除咗升級 passkey／FIDO2，仲要收緊 Conditional Access、監察異常登入同適時撤銷 session。

勒索軟件改由收件箱入門：一封可疑電郵點樣拖垮成間公司

Sophos 2026 調查話，惡意電郵同釣魚合計佔受訪勒索個案一半，漏洞入口就由去年度 32% 跌至 18%。數字反映攻擊者愈來愈鍾意借員工帳戶入門，不過調查只涵蓋曾經受害嘅機構，亦冇香港樣本，解讀時要留返條界線。

SGLang 高危漏洞未有修補：自架 LLM 團隊即刻要查呢幾項

SGLang 嘅 expert-parallel backup 子系統爆出高危反序列化漏洞。攻擊要同時符合功能已開啟、相關介面俾不可信網絡連到兩個條件，但成功後可喺推理 server 執行程式碼。正式修補未見影，自架團隊要先查設定、收窄網絡權限，同停用 Pickle IPC。

微軟開源 Dusseldorf：私有 OAST 捕捉盲點，部署代價亦唔細

Dusseldorf 用自家 DNS、HTTP 同 HTTPS listener 接收目標系統嘅頻外 callback，協助追查 SSRF、XXE 同 SSTI 等盲點。私有部署有助控制測試資料，不過 Azure、網域 NS、公開 IPv4 同身份整合樣樣都要自己處理。

歐盟 AI 透明規則 8 月 2 日生效：聊天機械人同生成內容點樣標先算數

歐盟《AI 法案》第 50 條由 8 月 2 日起適用，聊天機械人、deepfake、AI 生成內容同情緒辨識都有新披露要求。不過責任按供應商、專業使用者同發布情境分開，source code、一般編輯輔助同經實質人手審核嘅公共利益文字亦有例外。

Gemini CLI 六分鐘搬走殭屍網絡 C&C，開發團隊要管住 agent 權限

一名使用俄語嘅威脅行動者用 Gemini CLI 管理已受控電腦，六分鐘內完成 C&C 遷移同除錯。呢個時間唔包括由零建立整個殭屍網絡，但足以提醒開發團隊：coding agent 一有 shell、憑證同網上存取權，風險已經去到實際操作層面。

AI 審 code 唔使盲追最貴模型：平價模型重跑三次都有得追

Aikido 用 13 款 AI 模型重查 26 個已知漏洞，發現同一模型跑三次再合併結果，可以搵返單次走漏嘅問題，平價模型亦有機會追貼高階版本。不過測試樣本細、直接指向漏洞位置，又冇公開誤報率，暫時未足以當成 coding agent 排行榜。

7-Zip 26.02 修補 XZ 漏洞：要開惡意檔先中，仍然值得即刻更新

7-Zip 修補一個可執行惡意程式碼嘅 XZ 解壓漏洞，但攻擊者要先氹用戶瀏覽惡意網頁或者開檔，唔可以直接隔空入機。用緊舊版嘅個人用戶同公司 IT，應檢查版本並升上 26.02。

ServiceNow AI 沙箱漏洞傳遭利用：自建環境要即查帳戶同 MID Server

CVE-2026-6875 可畀未登入嘅攻擊者逃出 ServiceNow AI 平台沙箱，進一步讀取資料、開管理員帳戶，甚至借相連 MID Server 接觸內部網絡。第三方話已見利用活動，但官方暫時未見託管 instance 受影響；自建環境而家要立即核對版本同追查紀錄。

OkoBot 專攻 Windows 加密貨幣用戶，假錢包畫面直接偷 seed phrase

OkoBot 會由 ClickFix 或假 GitHub 軟件攻入 Windows，再裝入鍵盤側錄、畫面監控同惡意瀏覽器擴充功能。用 Ledger、Trezor 都要留神：硬件錢包本身冇失守，但中毒電腦可以喺官方桌面程式顯示假 seed phrase 頁面，等用戶親手交出資產控制權。

一封電郵令 AI agent 記錯嘢：長期記憶點解會變成持續攻擊面

MemGhost 研究示範，連接電郵同長期記憶嘅 AI agent，可以俾一封惡意郵件偷偷植入假資料，之後再按錯誤記憶答問題甚至執行操作。87.5% 成功率有指定測試條件，但已經足以提醒開發者重新處理記憶權限同來源。

FBI 再警告假探員追款騙局：中過一次招，點解容易再失多次錢

FBI 警告，有騙徒專向曾經中招嘅人埋手，扮探員或者追款專家，聲稱可以取回失款，再套取金錢同銀行資料。香港暫時冇證據顯示係同一批案件，不過當中套路相當通用，尤其要小心主動聯絡、預繳費用、索取驗證碼同轉去私人通訊平台。

NadMesh 掃描自架 AI 服務：Ollama、ComfyUI 同 MCP 要即刻檢查咩

NadMesh botnet 正掃描 Ollama、ComfyUI、Gradio、n8n 同 MCP server，入侵後會搜掠 AWS key、Kubernetes token、.env 同 Docker 憑證。控制台數字未經獨立核實，但外露服務、舊漏洞同持久化痕跡已經值得即刻檢查。

NGINX／F5 重大漏洞點樣分？三類管理員要即刻檢查版本同設定

F5 7 月安全更新牽涉多條產品線，但唔代表每部 NGINX server 都可以直接俾人攻入。真正風險要睇版本、模組、設定同攻擊者本身有冇權限，Open Source、Ingress Controller 同 BIG-IP 嘅處理方法亦完全唔同。

Windows 版 Zoom 爆 9.8 分帳號接管漏洞：受影響版本同更新方法一次睇

Zoom 修補 4 個 Windows 版漏洞，最嚴重嗰個毋須登入、毋須用戶撳掣，理論上可經網上接管帳號。普通 Zoom Workplace、VDI Client 同 VDI Plugin 嘅安全版本各有分別，公司 IT 要逐樣核對。

中國牽頭 WAICO 集齊 29 國：AI 標準同算力合作會點走

WAICO 由中國牽頭、總部設喺上海，創始陣容集中喺全球南方。佢短期內改變唔到晶片供應，亦未有公開執法權，不過如果成員國開始共用模型測試、採購同數據標準，中國 AI 產品出海嘅阻力可能會慢慢降低。

HTTP/2 停滯流量控制可拖垮 server：Apache、Citrix、F5 修補清單

部分 HTTP/2 server 處理停滯流量控制時，會繼續產生回應兼佔住 RAM，攻擊者毋須登入都有機會拖慢甚至中斷服務。Apache Traffic Server、NetScaler 同 F5 BIG-IP 各有唔同修補方法，單靠一般限流未必夠。

HollowByte 冇 CVE 仲易走漏：OpenSSL server 點查版本同補洞

OpenSSL 嘅 HollowByte 可借細小 TLS 輸入放大記憶體消耗，Okta 實驗更見到 glibc 記憶體碎片持續佔位。麻煩位係佢冇 CVE，常見掃描工具未必會報警；維運人員要自行核對 OpenSSL 分支、Linux 套件修補紀錄，再重啟所有載入舊 library 嘅服務。

SonicWall SMA 1000 零日漏洞已遭利用：升級後仲要查有冇失守

SonicWall SMA 1000 兩個零日漏洞已經俾人用嚟入侵，攻擊者毋須登入就可以接觸設備內部服務，再攞到 root 權限。受影響公司除咗要裝 hotfix，仲要翻查紀錄；一旦發現入侵跡象，官方建議重灌設備、換密碼同重設 TOTP。

WordPress wp2shell 核心漏洞要即時更新：受影響版本同檢查清單

WordPress 核心爆出 wp2shell 漏洞鏈，部分版本可俾未登入嘅攻擊者遠端執行程式碼。官方已推出 7.0.2、6.9.5 同 6.8.6，亦啟動強制自動更新；不過網站管理員仍要親自核實版本，更新後亦要檢查帳戶、檔案同主要功能有冇異常。