#企業 IT
603 篇文章
TechLab 所有關於「企業 IT」嘅文章、評測同教學，由最新排起。
Tech NewsTelegram Desktop高風險漏洞曝光 香港用戶應更新至7.2.9或以上
iThome 報道指，Telegram Desktop 7.2.8 及較早版本存在 CVE-2026-107181，惡意連結可被用作竊取本機資料及登入工作階段。桌面版用戶應盡快更新，並檢查帳戶保護設定。
Tech NewsBun 加入 bun check：TypeScript 團隊應如何放進 CI 與部署前流程
Bun 1.4.3 新增 bun check，主打以較低資源完成 TypeScript 型別檢查。它適合接入測試、CI 與部署閘門，但現階段仍不應直接取代 tsc。
Tech NewsDNS遭劫持為何可簽發有效HTTPS憑證？從Chrome封鎖看信任鏈缺口
iThome 報道指三個國碼頂級網域的DNS紀錄遭竄改，攻擊者藉網域控制驗證取得未授權憑證。事件焦點在於：HTTPS的信任可由DNS控制權間接撬動，企業須以CT監察及CAA收窄風險。
Tech NewsPoeLLM 暴露自架 AI 服務風險：LiteLLM、Ollama 管理員要先做四項檢查
iThome 報道指 PoeLLM 已入侵逾 3,400 台伺服器，鎖定對外開放的 AI 與開源服務。LiteLLM 的 CVE-2026-42271 仍屬研究團隊推測的可能入口，企業應先盤點公開服務、收緊外部存取、更新修補及覆核日誌。
Tech NewsZammad零時差遭利用：AI agent令事件應變窗口進一步收窄
iThome報道指，DIVD遭入侵後揭露兩個Zammad零時差漏洞，且CISA已將其加入已遭利用漏洞名單。自建或代管Zammad的機構應以資產盤點、官方修補、鑑識與供應商責任界線處理風險。
Tech NewsAVERAT揭示長開設備成隱蔽中繼風險
Rapid7發現部署在台灣網絡環境的AVERAT樣本，並追蹤到NAS、SMB網關及錄影設備被用作中繼。重點不只在單一後門，而是長期對外開放、少監控的設備如何被掩護成正常服務流量。
Tech NewsOpenSSL 14 個漏洞修補：DTLS 與 QUIC 部署應優先盤點
OpenSSL 一次修補 14 個漏洞，當中 CVE-2026-84782 可令 DTLS 連線洩露 Heap RAM 內容，並有機會造成當機或服務阻斷。維運重點是辨認實際相依版本與協定功能。
Tech NewsSpanner把佇列放進交易，AI agent工作流仍要面對重複執行
Google 為 Spanner 加入原生訊息佇列，讓資料更新與任務派送一併提交。它可縮窄 AI agent 工作流的狀態落差，但「至少一次送達」意味付款、退款等外部動作仍須由應用程式處理冪等。
Tech NewsMeta 開源 Muse Gadgets：Maker 自製 AI 裝置前先看 Token 門檻
Meta 把 Muse 接入 ESP32、Raspberry Pi 與 Linux 硬件，令語音、感測與智能家居互動有現成起點；但每台裝置須獨立申請 SDK Token，部署規模與配對流程仍受平台控制。
Tech NewsRust縮減32位元Windows主機工具：交叉編譯成為開發新常態
Rust據報將由1.100起停止提供可在32位元Windows直接運行的完整開發工具，但仍可產生32位元程式。關鍵轉變在於開發主機須遷往受支援的64位元環境。
Tech NewsQNAP HDP for Business：以既有 NAS 建立企業備份中心的門檻與取捨
QNAP 推出 Beta 版 HDP for Business，讓合資格 NAS 集中管理伺服器備份，並加入 WORM、Object Lock 與異地複製保護；但目前站點規模、硬件與系統版本均有明確限制。
Tech NewsWarlock 借 SharePoint 入侵：本地部署機構須防的四段式攻擊鏈
iThome 報道指，Storm-2603 持續藉 SharePoint 漏洞投放 Warlock 勒索軟件，並以 BYOVD 關閉保安防護。使用自建 SharePoint 的香港機構應優先盤點漏洞與外網入口。
Tech NewsGoogle暫停部分開源漏洞獎勵：AI通報潮考驗人工驗證
Google暫停 OSS VRP 的產品漏洞通報，供應鏈漏洞仍可提交。事件反映 AI 可加快研究初步工作，卻也令維護者的人工驗證能力成為稀缺資源。
Tech NewsTA419 以 AiTM 繞過 MFA：Microsoft 帳戶防釣魚要看 session
iThome 報道指，TA419 假冒政策人士，以對手中間人網釣轉送真正 Microsoft 登入流程。MFA 完成後的 session Cookie 亦可能被截取；目前未有香港受害或成功入侵證據。
Tech NewsSvelteKit 3 升級重點：設定遷移與工具鏈門檻
SvelteKit 3 將框架設定全面收納至 Vite，並提高 Node、TypeScript、Svelte 與 Vite 的最低版本。對仍在 2.x 的團隊而言，sv migrate 可減少改動量，但設定、匯入別名及部署環境仍須逐項覆核。
Tech News假 Gmail 附件卡片如何令網釣郵件更難辨識
iThome 報道披露，UAT-11587 曾以仿冒 Gmail 附件預覽卡片向台灣學術及政策社群投遞惡意連結。重點不在附件名稱，而在辨認郵件中的介面圖像與真正附件之間的差別。
Tech NewsOUSD上線：四條API通道如何改寫企業穩定幣整合
Open Standard推出美元穩定幣OUSD，並透過Stripe、Visa、Mastercard及Coinbase提供整合渠道。關鍵在於企業能否把鑄造、贖回與多鏈流通納入既有支付流程，同時處理資產、合規及覆蓋範圍限制。
Tech NewsAntino濫用M365通訊：亞洲釣魚攻擊對香港機構的警號
iThome引述Cisco Talos指出，UAT-11587以釣魚電郵散播Rust後門Antino，並借Outlook及OneDrive作情報交換站。香港未見受害證據，但政策、學術及公民社會機構應檢視M365帳戶防護。
Tech NewsCDN預設啟用PQC，網站TLS遷移只走了一半
F5調查稱，全球前百萬網站中54%已支援PQC金鑰交換，主因是CDN預設啟用。這改善了TLS前端部署，但PQC憑證、舊系統及密碼套件盤點仍未完成。
Tech NewsAmazon Corretto 27加入PQC混合交換：Java TLS升級先看相容性
Amazon Corretto 27加入TLS 1.3後量子混合金鑰交換及JFR資料遮蔽。對企業Java系統而言，重點在於分階段驗證TLS相容性，並把診斷資料保護納入日常營運。
Tech NewsJadePuffer 攻向 Azure：雲端破壞可壓縮至數分鐘
iThome 報道指，JadePuffer 疑利用失陷的 Azure Service Principal，在約 7 分鐘內批量刪除雲端資源。事件提醒團隊：身分憑證、資源鎖與復原設定必須一併檢視。
Tech NewsCodex Cloud 把開發環境變成可重用的團隊資產，但共享權限需先釐清
OpenAI 正逐步更新 Codex Cloud，讓已配置的雲端開發環境可重用，並向 ChatGPT Enterprise 團隊分享。改變可減少重設成本，但共享環境內的憑證與連線設定亦成為管治焦點。
Tech NewsSSO、雲端與OT令事件應變告別線性流程
SANS發布動態事件應變框架；iThome報道指出，當攻擊由單一端點擴展至SSO、SaaS與雲端資料層，團隊能否追查事故，取決於事前日誌、資產與權限準備。
Tech NewsCline SDK 加入雲端交接：AI 編程代理可續跑，但交出程式碼前先看風險
Cline SDK v0.0.87 讓整合工具把本機 AI 編程工作交給雲端代理續跑，再帶回原有環境；暫停與恢復有助長任務，但程式碼、對話與儲存庫狀態的交接也提高管治要求。