#企業 IT
603 篇文章
TechLab 所有關於「企業 IT」嘅文章、評測同教學，由最新排起。
Tech NewsConnectWise 憑證遭濫用：M365 備份服務成供應鏈入口
ConnectWise Cloud Backup 應用程式憑證被濫用，173 個 Microsoft 365 租戶遭未授權存取。事件提醒企業盤點第三方 app 的既有權限及 Graph 登入紀錄。
Tech NewsNginx 修補 5 漏洞：管理員應優先核對高風險設定並升級
Nginx 發布 1.30.6 與 1.31.7，修補可在特定設定下觸發的記憶體、TLS 及 HTTP/3 問題。重點不在盲目恐慌，而是盡快盤點 alias、rewrite 與共享 SSL session cache 的使用情況。
Tech News91APP Commerce Cloud資料庫遇自動化攻擊 商戶應先收緊帳戶防線
對商戶及消費者而言，眼前要防的是隨後的釣魚與冒充客服詐騙。
Tech NewsUbuntu 26.10 全面轉用 Rust coreutils：升級前先測試腳本
Ubuntu 26.10 把 cp、mv、rm 納入 Rust 版 coreutils，並提升 APT 驗證及 Entra ID 登入安全；但它屬非 LTS，維護至 2027 年 7 月，管理員應先驗證既有自動化流程。
Tech NewsAnthropic 用 Scion 重整 AI coding 下的版本控制
AI coding agents 推高變更量後，Anthropic 把大型程式碼庫遷至自建 Scion。重點不在取代 Git，而是將 CI 由完整取碼改為按需取差異與快取。
Tech NewsAhsayCBS 漏洞已遭利用 舊修補不完整須再升級
AhsayCBS 兩個已遭實際攻擊利用的漏洞，早前修補版本未能徹底解決。使用第 7 至 9 版及第 10 版的機構，應分別升級至指定新版，並依官方指引排查及重建受影響備份系統。
Tech NewsNext.js 兩項重大 RCE 修補：香港團隊的升級與核對清單
Next.js 15.5.28 與 16.4.1 修補兩項可在特定條件下觸發的重大 RCE 漏洞，另處理一項 Server Actions DoS 問題。團隊應按路由架構、SVG 設定、快取回傳資料及 Sharp 版本分流排查。
Tech NewsiPhone Duo預購熱潮下的假站風險：更新iOS與核實連結同樣重要
iThome報道引述趨勢科技研究，指有可疑網站借iPhone Duo預購、折扣及抽獎導流，部分更可能按iOS版本嘗試利用已知漏洞。香港用戶應把核實來源與安裝安全更新視為同一項防護。
Tech NewsMITRE ATT&CK v20 納入提示注入：企業 AI 代理的防線要重畫
MITRE ATT&CK v20 把直接及間接提示注入、AI 輔助資料外洩等手法正式分類。對採用企業 LLM 與 AI agent 的團隊，重點已由封鎖惡意輸入延伸至權限、資料流與輸出驗證。
Tech NewsCharacter.AI破產出售：AI陪伴服務的成本與安全兩難
Character.AI進入法院監督出售程序，迪士尼僅就部分知識產權提出非獨家永久授權方案。事件反映 AI 陪伴平台既要承受高昂運算開支，也要面對未成年保護、私隱與服務延續的壓力。
Tech NewsAWS Lambda Web Functions：Node.js API 上雲的新取捨
AWS Lambda 新增 Web Functions，讓 Node.js HTTP server 可直接部署，並以多請求併發及 CPU 活動時間計費。香港區域未在首批名單，團隊須衡量東京部署與跨區域安排。
Tech NewsCanonical 遭 DDoS：Ubuntu 生態服務中斷的開發風險
Canonical 表示旗下網站遭持續 DDoS 攻擊，部分服務一度不可用。事件提醒依賴 Ubuntu 文件、下載與線上工具的團隊，須把外部服務中斷納入開發備援。
Tech NewsLINE官方帳號擬加入AI Agent：商戶後台走向系統整合平台
LINE計劃為官方帳號加入免寫程式的AI Agent 平台，先涵蓋預約、銷售及客服。重點不只自動回覆，而是把對話連至CRM、POS和預約系統；但服務仍在POC，推出、收費及香港可用性均未明。
Tech News走向45天TLS憑證：網站管理員要先補上自動續期缺口
Let's Encrypt將於2027年把預設TLS憑證效期縮至64天，2028年再降至45天。香港網站營運者應現在檢查ACME、部署、reload及告警流程。
Tech NewsGhostAction再襲GitHub：刪除金鑰後，Git 歷史仍可能成為缺口
GhostAction被指在346個GitHub儲存庫植入惡意Actions工作流程，連已從現行程式碼刪除的舊金鑰亦可能遭翻查。團隊須把應變重點由刪檔擴至撤銷憑證、輪換金鑰及追查發布紀錄。
Tech News法國超市冷鏈受駭：停更控制器如何變成營運風險
法國多家連鎖超市的冷凍及冷藏系統遭遠端操控，食品須報廢。事件的關鍵不只在單一漏洞，而是連網工控設備停更、直連互聯網與帳密管理失效的連鎖風險。
Tech NewsSupabase逾1.6萬資料庫公開可讀：開發團隊應先檢查RLS與資料表權限
UpGuard掃描約30萬個採用Supabase的網域，發現16,326個資料庫因存取控制設定不當而可公開讀取。事件不等同已證實大規模入侵，卻突顯快速開發時忽略RLS的風險。
Tech News用 SBOM 與建置紀錄應對歐盟供應鏈審查
OpenSSF 與 OpenChain 提出供應鏈安全指引。對有歐盟客戶的香港軟件、SaaS 與 IoT 團隊，重點是把元件、漏洞與建置證據整理成可追溯資料，而非把工具部署當作合規證明。
Tech NewsGoogle DevSite RCE漏洞：Cookie與共用密鑰如何連成風險鏈
iThome報道指，Google DevSite曾把OAuth用戶端密鑰放入Cookie，並以同一密鑰簽署Cookie，配合Python pickle反序列化流程可導致RCE。Google已於10月7日修補，事件反映密鑰隔離與資料反序列化的基本防線。
Tech NewsPython 3.15 升級前：先盤點編碼與延遲匯入風險
Python 3.15 將未指定編碼的文字檔讀寫預設改為 UTF-8，亦引入需明確啟用的延遲匯入。對仍有 Big5 舊資料與大型 app 的團隊，升級重點在相容性盤點、錯誤測試及量度實際啟動收益。
Tech NewsMicroscan、FishHub 與 SoftEther 攻擊鏈：遠端存取管控的警號
美方查封與永信至誠科技相關的網域後，公開資料顯示 Microscan 掃描、FishHub 釣魚及 SoftEther 遠端存取可串成攻擊鏈。機構應把偵測重心由單一 IOC 擴展至資產、帳戶與連線行為。
Tech News根 DNSSEC 金鑰已輪替：自設 resolver 應檢查 KSK-2024
DNS 根區域已改由 KSK-2024 簽署。一般用戶預計影響有限，但啟用 DNSSEC 驗證而信任錨停留在舊版本的 resolver，或會回傳 SERVFAIL，令網站名稱無法解析。
Tech NewsWordPress 外掛 XSS 遭濫用：更新後仍要排查持續存取
Ninja Forms 與 WPC Product Bundles for WooCommerce 的已修補 XSS 漏洞正被利用。網站管理員應更新外掛，並把重點放在檢查隱藏管理帳號、惡意外掛及其他殘留存取管道。
Tech NewsNetScaler SAML 漏洞風險升溫：企業應即查 ADC 與 Gateway
Citrix 為 NetScaler 修補 CVE-2026-107406。iThome 指出，採用 SAML SP 或 IdP 配置的 ADC 與 Gateway 或受影響，可引致遙距程式碼執行或服務中斷。