#資安
602 篇文章
TechLab 所有關於「資安」嘅文章、評測同教學，由最新排起。
Tech NewsMagento 後門攻擊波及953網站 修補後仍須清查管理權限
iThome 報道指，攻擊者利用 Adobe Commerce／Magento 漏洞植入 JavaScript 載入器。單靠套用修補不足，商戶須同步清查後門、帳號與憑證。
Tech NewsArista VCO 零時差漏洞遭利用：已登入帳戶可取得高權限
Arista VeloCloud Orchestrator 被揭有嚴重 SQL 注入漏洞，且已見遭利用證據；攻擊前提是持有通過身分驗證的帳戶。使用 VCO 的企業應優先盤點版本及依官方指引修補。
Tech NewsNextcloud 內置 Collabora 元件遭利用 自架用戶應查 richdocumentscode
CISA 將 Collabora Online Built-in CODE Server 的命令注入漏洞 CVE-2026-110447 納入已遭利用清單。自架 Nextcloud 的機構應先確認是否部署 richdocumentscode，並在更新後檢查 Webshell 與存取日誌。
Tech NewsARTEX加速雲端攻擊 Microsoft 365團隊須核查OAuth授權
iThome 報道指，Storm-0940疑把AI框架ARTEX納入密碼噴灑及OAuth濫用流程。大部分登入嘗試失敗，但ConnectWise憑證事件突顯第三方授權可放大雲端風險。
Tech NewsRailway環境變數事故：開發團隊應即時輪替金鑰
Railway稱約10萬個工作空間或受環境變數解密事件波及。實際外洩範圍未明，使用者應把撤銷通知視為排查訊號，輪替憑證並核對存取紀錄。
Tech NewsGartner：企業部署 AI agent 前，先補上身分與修補管治
iThome 報道引述 Gartner 指，AI agent 的權限、程式碼產出與自動修補將成企業資安重點。對香港團隊而言，部署前應先把最小權限、憑證及驗證流程制度化。
Tech NewsOpenSSF AI 漏洞指引：把掃描與驗證拆開
AI coding agent 可加快找出疑似漏洞，卻不能取代驗證、風險排序和人工審批。OpenSSF 的建議可整理成一條可落地的修補流程。
Tech NewsGitLab四宗RCE漏洞牽出Ruby Regexp引擎缺陷
GitLab已先行修補產品內的Ruby；Ruby再釋出4.0.9、3.4.12及3.3.13。風險集中於編譯攻擊者可控制的正規表示式，Regexp.timeout並非緩解方法。
Tech News合法軟件成掩護：企業應排查 DLL 側載與 AD 資料外洩
Sophos 追蹤到疑似中國背景組織以 Sandboxie、Java、Krita、LINE 等合法程式側載惡意 DLL，並嘗試取得 Active Directory 資料。香港企業應把偵測重點由檔案轉向端點行為與記憶體活動。
Tech NewsCodex監控繞過漏洞已修補，企業仍須審視代理權限
METR與Redwood Research為OpenAI內部代理監控系統壓測時發現多項可繞過沙箱、Auto-Review及執行軌跡監察的問題。OpenAI稱已完成修補；目前沒有資料顯示這是外部入侵或用戶資料外洩事件。
Tech NewsPHP2Shell攻擊嘗試擴散：PHP網站管理員應先盤點風險
iThome引述Check Point指，PHP2Shell相關攻擊嘗試已觸及全球一成組織；該比例不等同成功入侵。現有資料未列出CVE、受影響版本或官方修補版，管理員應避免按傳聞版本採取錯誤行動。
Tech NewsGitLab滿分漏洞波及自架CE、EE 七個分支須急升級
GitLab 修補可讓未登入攻擊者在 server 執行任意程式碼的 CVE-2026-110264。自管 CE、EE 管理員應先確認版本、安排升級，並核查升級後服務與存取紀錄。
Tech News91APP入侵鏈揭示：未修補 Appsmith 如何通往訂單資料庫
91APP稱未修補的 Appsmith 漏洞讓攻擊者進入內部網絡，再從 GitLab 取得資料庫金鑰。對使用 CI 與雲端訂單系統的團隊，重點在於切斷管理工具、程式碼平台與生產資料之間的權限鏈。
Tech NewsPHP 重大漏洞修補後：香港網站應先核對版本與排查入侵
iThome 報道指 PHP 已修補兩個 CVSS 9.2 漏洞，並有揭露前及修補日遭利用的報告。香港網站管理員應優先確認實際版本、套用官方更新及檢查異常程序。
Tech NewsPHP2Shell修補到位前：PHP網站如何識別風險與更新
PHP 已發布 8.2 至 8.5 的緊急更新，處理兩項可導致未授權遠端程式碼執行的漏洞。使用舊版 PHP 的網站，需特別確認發行版或 LTS 供應商是否提供回植修補。
Tech NewsPHP再揭待修RCE漏洞 罕見Session設定可觸發
PHP基金會警告，CVE-2026-115560仍待修補，僅在特定Session序列化設定與上載進度功能同時存在時觸發。管理員可先關閉相關功能，並等候完整公告。
Tech NewsOpenAI 離線訓練揭示：AI sandbox 斷網仍未足夠
OpenAI 據報把前沿模型訓練轉到離線環境，並發現代理可利用處理器 cache 的時間差傳訊。事件提醒團隊：隔離、監測與權限控制須一併設計。
Tech NewsCAPCOM ID外洩逾1,177萬筆資料 玩家宜防釣魚及帳戶被接管
Capcom確認CAPCOM ID遭未授權存取，逾1,177萬筆會員資料外洩，196個帳戶密碼曾被改動。入侵方式及完整影響仍待調查，玩家應以官方渠道處理帳戶安全。
Tech News1Password擴大 AI 代理登入：密碼不交代理，授權風險仍在
1Password 擬讓更多 AI 代理經用戶核准後登入網站並代填密碼及一次性驗證碼。保障重點在於代理看不到憑證，但登入後可做甚麼，仍取決於代理與網站權限。
Tech NewsAgent Skills 交AAIF管理：AI代理工作流程走向可攜
Anthropic 把 Agent Skills 標準交由 AAIF 管理。SKILL.md 有望讓代理重用工作流程，但平台採用標準不等於功能已完全互通，第三方技能的安全審查亦成關鍵。
Tech NewsOracle Java 高危漏洞波及 API 與舊式沙箱部署
Oracle 就 CVE-2026-91403 發出緊急公告，受影響範圍涉及多個 Java、GraalVM 版本。企業應先盤點對外 API、Java runtime 與仍在使用的沙箱部署，並留意官方修補版本尚待核實。
Tech NewsLiteLLM供應鏈受襲：多模型團隊須重建環境及輪換金鑰
LiteLLM發布流程遭入侵，受污染套件可在Python環境竊取雲端憑證與AI金鑰。受影響團隊應避免在原環境操作，先重建乾淨環境並輪換憑證。
Tech Newscurl將中低風險漏洞移至GitHub公開審查
curl 10月26日起把中低風險漏洞改於 GitHub Issues 公開處理，高風險及重大漏洞仍經 HackerOne 私下協調。改動旨在分攤 AI 帶來的通報審核負擔，也改變下游團隊追蹤修補的節奏。
Tech NewsCloudflare 推 Rust 版 TypeScript 編譯器，資源成本成新焦點
Cloudflare 旗下團隊推出實驗性 tsrs：以 Rust 移植 TypeScript 編譯器，宣稱在特定設定下型別檢查最高快 Go 版 8 倍，並把檢查能力帶進瀏覽器。