#企業 IT
603 篇文章
TechLab 所有關於「企業 IT」嘅文章、評測同教學，由最新排起。
Tech News東京兩宗鐵路網絡事故後，怎樣辨認冒充營運商的釣魚電郵
京王電鐵與東京地下鐵先後披露勒索軟件及未授權存取事故。已知風險並不相同，會員尤其要把官方通知與釣魚訊息分開處理。
Tech News從聊天入口走向可治理代理平台：GENIE 3.0的企業AI架構
玉山銀行據報把多代理協作、MCP、技能與工具登記、知識檢索及稽核機制放進同一平台。關鍵不在聊天介面，而在如何讓代理可重用、受權限約束並可追溯。
Tech News假招聘攻擊滲入 DevOps：FlatRoof 事件的防護重點
印度 IT 服務商遭疑似北韓 Jade Sleet 入侵，攻擊以假面試及惡意 Terraform 專案接觸 DevOps 工程師。事件提醒開發團隊，招聘流程與本機開發環境同樣是雲端防線。
Tech NewsWordPress Click2Shell：管理員應更新 7.1.1 並盤點新增佈景主題
Click2Shell 可藉誘導已登入的 WordPress 管理員開啟特製連結，暗中安裝佈景主題。雖然單靠漏洞未必直接取得程式碼執行，網站仍應盡快升級至 7.1.1，並檢查是否有不明主題。
Tech NewsComp AI擴展至代理安全：GRC工具能否管住AI的權限與問責？
Comp AI完成3,400萬美元A輪融資，計劃由GRC自動化延伸至安全監控、測試及AI代理安全。重點不只在監察代理做過甚麼，更在企業能否界定其存取權、操作邊界與可追溯責任。
Tech NewsJev 把 AI 輸出收窄為決策，快不等於判斷更準
TypeSafe 推出 Jev，主打直接輸出受型別限制的決策結果。它可減少 LLM 生成與解析的開銷，但輸出格式合規，並不保證分類、路由或審核判斷本身正確。
Tech News假面試變成入侵入口：WaterPlum如何瞄準開發者與加密錢包
美日澳德聯合公告披露，WaterPlum以假招聘、程式測試及視訊支援為餌散布惡意NPM套件。對求職者與企業而言，面試流程已成為供應鏈與帳戶安全的共同缺口。
Tech NewsiOS 27 與 iPadOS 27 修補126項漏洞，用戶應否立即更新？
Apple 推出 iOS 27 與 iPadOS 27，合共修補126項保安漏洞。更新焦點轉向核心系統與記憶體安全；資料未確認漏洞已遭在野利用，但用戶仍應優先安排更新。
Tech News微軟為 AI agent 訂下關閉權：治理承諾如何走向產品控制
微軟公布首版 AI《行為準則》草案，要求模型接受人類中斷、修正及關閉，亦不可自行擴張任務。重點將在於這些原則日後能否化為可驗證的產品控制。
Tech NewsmacOS 三條版本線同步修補：Mac 用戶要留意的元件風險
Apple 同步推出 macOS Golden Gate 27、Tahoe 26.7 及 Sequoia 15.8。更新涵蓋核心、列印及檔案共享等元件，企業與個人用戶均應先確認所用版本並安排更新。
Tech NewsOpenJS 暫停一般 CVE 處理三周：AI 漏洞回報如何堵塞 JavaScript 安全流程
OpenJS CNA 因 AI 輔助漏洞回報增加及志工審核壓力，9 月 17 日至 10 月 6 日暫停一般 CVE 作業。對 Node.js 生態而言，延遲的是編號與公告流程，並不等同漏洞修補停止。
Tech NewsScreenConnect與Artifactory漏洞遭利用：IT團隊如何排定修補次序
CISA已把一個ConnectWise ScreenConnect及兩個JFrog Artifactory漏洞列入KEV。對使用遙距支援與制品庫的團隊而言，重點是先確認資產和暴露面，再按服務風險安排修補與臨時管控。
Tech NewsPalo Alto XML 漏洞 CVE-2026-0310：實體與虛擬防火牆風險有別
Palo Alto Networks 為 PAN-OS、Prisma Access 及 Cloud NGFW 修補 XML 處理漏洞。實體 PA 系列可被取得 root 權限，VM 系列則主要面對服務中斷風險；機構應先盤點版本、更新及收緊管理介面。
Tech NewsChrome與Windows零時差漏洞串連：釣魚連結如何把瀏覽器帳戶帶入風險
iThome 報道指兩個被追蹤為中國背景的組織使用同一組 Chrome、Windows 零時差漏洞鏈。對一般用戶及企業而言，重點是盡快檢查更新、降低釣魚點擊風險，並保護瀏覽器內的登入憑證。
Tech News假 Gemini 擴充功能借零時差入侵：Chrome、Edge 用戶怎樣自保
iThome 報道指，BlueMoon 漏洞利用套件結合 Chrome 及 Windows 零時差漏洞，並以假冒 Gemini 的惡意擴充功能竊取憑證。事件未見香港個案，但新加坡及印尼受襲，值得企業與個人用戶重新檢視釣魚防線。
Tech News優惠券電郵藏 LNK：E4del、PINHOLE 如何借 FTP Banner 進入 Windows
研究人員發現以西班牙文優惠券電郵為餌的攻擊鏈：ZIP 內的 LNK 捷徑會讀取 FTP Banner 取得指令，再下載可遙控及竊資的 RAT。重點在於辨識附件與收緊端點執行權限。
Tech NewsArtifactory 漏洞遭串連利用：開發團隊應優先檢查管理權限與憑證
Wiz 指出三個 JFrog Artifactory 漏洞正遭積極利用。攻擊者可由驗證繞過走向管理權限，令套件庫、憑證及 CI/CD 供應鏈同受風險。
Tech NewsGitLab滿分漏洞公開後即見探測：自管實例須優先更新
GitLab修補兩項重大漏洞，其中CVE-2026-85706可讓未經驗證者在特定條件下讀取伺服器檔案，公開翌日已有探測。自管CE／EE團隊應即時盤點版本、安排更新及檢視風險。
Tech NewsAI Agent 入企業流程前，先補上權限、成本與稽核三道閘
iThome 報道指公部門部署 AI Agent 的難處已由模型能力轉向治理。對準備把 Agent 接入內部系統的機構而言，身分、工具邊界、Token 拆帳、可追溯紀錄與人工覆核，應在擴大自動化前先落實。
3C 產品Windows 11 預設程式常被重設？用 XML 與 Group Policy 管理關聯
Windows 11 的檔案關聯偶爾會偏離用戶設定。透過匯出 XML 再以 Group Policy 套用，可為受管理裝置建立較一致的規則；個人電腦則要留意限制。
3C 產品Chrome 轉為兩週更新：安全修補更快，企業相容性管理更密
Chrome 153 起改行兩週一個主要版本。更新包變小、修補更快，但網站與擴充功能的驗證節奏也會加速；企業可按風險取向選 Stable 或 Extended Stable。
Tech NewsHAProxy 執行檔遭植入後門：後端日誌為何可能毫無痕跡
Rapid7 發現針對南韓組織的 Linux 攻擊工具，惡意 HAProxy 可在代理層攔截指令與竊取 Cookie。事件提醒維運團隊：後端 access log 並不足以還原網站入口層的風險。
Tech NewsMikroTik SSH 漏洞疑遭利用：RouterOS 用戶應立即升級及自查
MikroTik 已推出多個 RouterOS 安全更新，CERT Polska 指部分漏洞正被利用。若設備開放 SSH 遙距存取，管理員應先升級，再檢查未知帳戶、指令碼及設定變更。
Tech NewsProject Zenith：Windows 想把 AI 開發機變成開箱即用平台
微軟據報以 64GB 統一 RAM、WSL 容器及預載工具組成 Project Zenith。它能否減少 AI 開發準備工夫，關鍵仍在硬件成本與開發者的個人工作流。