#資安
602 篇文章
TechLab 所有關於「資安」嘅文章、評測同教學，由最新排起。
Tech NewsClaude 背後的算力帳：Anthropic 營收急升仍受容量與長約壓力
據 iThome 轉述的文件與 WSJ 報道，Anthropic 上半年收入大增，但算力支出、容量短缺與巨額長期承諾，將左右 Claude 的供應彈性與商業壓力。
Tech NewsAI Agent 拉低試錯成本，SSO 信任鏈成防線焦點
iThome 報道披露一宗近自主式 AI 網攻：已知弱點被多個 Agent 並行串連，令遺留 API、弱密碼與 SSO 信任關係的風險被放大。
Tech NewsSiteGuard WAF命令注入漏洞遭利用 修補前先保留攻擊紀錄
iThome 報道指，SiteGuard Server Edition 統計功能的命令注入漏洞已被利用；受影響管理員應先匯出診斷資料，再安裝修補版本或個別修補程式。
Tech NewsJava、Kotlin 分析進入 Cursor 與 VS Code，30 日後須訂閱 Ultimate
JetBrains 的 Java、Kotlin 擴充功能 1.0 把 IntelliJ IDEA 的檢查、重構與除錯帶到 Cursor 及 VS Code。iThome 指出免費預覽已結束，試用 30 日後須訂閱 Ultimate；AI agent 現可讀取部分檢查，自主使用的授權尚未公布。
Tech NewsAdobe Commerce「BlockStrap」滿分漏洞：Magento 團隊應先查電郵範本
iThome 報道指，Adobe Commerce 與 Magento 的電郵範本引擎出現 CVSS 10 分漏洞；雖未見已遭利用，營運團隊仍應優先修補並驗證部署。
Tech NewsDrupal 兩項重大 RCE 須配合其他模組 一條路徑毋須登入
Drupal 10 月 14 日修補 Field UI 與 Entity List 兩項 RCE，評分各 19／25。兩者不能直接利用，須配合其他貢獻模組，一條路徑毋須登入。版本為 11.4.10、11.3.19、10.6.19 及 Entity List 3.0.10，未及升級可先移除 Field UI。
Tech NewsConnectWise 憑證遭濫用：M365 備份服務成供應鏈入口
ConnectWise Cloud Backup 應用程式憑證被濫用，173 個 Microsoft 365 租戶遭未授權存取。事件提醒企業盤點第三方 app 的既有權限及 Graph 登入紀錄。
Tech NewsNginx 修補 5 漏洞：管理員應優先核對高風險設定並升級
Nginx 發布 1.30.6 與 1.31.7，修補可在特定設定下觸發的記憶體、TLS 及 HTTP/3 問題。重點不在盲目恐慌，而是盡快盤點 alias、rewrite 與共享 SSL session cache 的使用情況。
Tech News91APP Commerce Cloud資料庫遇自動化攻擊 商戶應先收緊帳戶防線
對商戶及消費者而言，眼前要防的是隨後的釣魚與冒充客服詐騙。
Tech NewsUbuntu 26.10 全面轉用 Rust coreutils：升級前先測試腳本
Ubuntu 26.10 把 cp、mv、rm 納入 Rust 版 coreutils，並提升 APT 驗證及 Entra ID 登入安全；但它屬非 LTS，維護至 2027 年 7 月，管理員應先驗證既有自動化流程。
Tech NewsAnthropic 用 Scion 重整 AI coding 下的版本控制
AI coding agents 推高變更量後，Anthropic 把大型程式碼庫遷至自建 Scion。重點不在取代 Git，而是將 CI 由完整取碼改為按需取差異與快取。
Tech NewsAhsayCBS 漏洞已遭利用 舊修補不完整須再升級
AhsayCBS 兩個已遭實際攻擊利用的漏洞，早前修補版本未能徹底解決。使用第 7 至 9 版及第 10 版的機構，應分別升級至指定新版，並依官方指引排查及重建受影響備份系統。
Tech NewsNext.js 兩項重大 RCE 修補：香港團隊的升級與核對清單
Next.js 15.5.28 與 16.4.1 修補兩項可在特定條件下觸發的重大 RCE 漏洞，另處理一項 Server Actions DoS 問題。團隊應按路由架構、SVG 設定、快取回傳資料及 Sharp 版本分流排查。
Tech NewsiPhone Duo預購熱潮下的假站風險：更新iOS與核實連結同樣重要
iThome報道引述趨勢科技研究，指有可疑網站借iPhone Duo預購、折扣及抽獎導流，部分更可能按iOS版本嘗試利用已知漏洞。香港用戶應把核實來源與安裝安全更新視為同一項防護。
Tech NewsMITRE ATT&CK v20 納入提示注入：企業 AI 代理的防線要重畫
MITRE ATT&CK v20 把直接及間接提示注入、AI 輔助資料外洩等手法正式分類。對採用企業 LLM 與 AI agent 的團隊，重點已由封鎖惡意輸入延伸至權限、資料流與輸出驗證。
Tech NewsCharacter.AI破產出售：AI陪伴服務的成本與安全兩難
Character.AI進入法院監督出售程序，迪士尼僅就部分知識產權提出非獨家永久授權方案。事件反映 AI 陪伴平台既要承受高昂運算開支，也要面對未成年保護、私隱與服務延續的壓力。
Tech NewsAWS Lambda Web Functions：Node.js API 上雲的新取捨
AWS Lambda 新增 Web Functions，讓 Node.js HTTP server 可直接部署，並以多請求併發及 CPU 活動時間計費。香港區域未在首批名單，團隊須衡量東京部署與跨區域安排。
Tech NewsCanonical 遭 DDoS：Ubuntu 生態服務中斷的開發風險
Canonical 表示旗下網站遭持續 DDoS 攻擊，部分服務一度不可用。事件提醒依賴 Ubuntu 文件、下載與線上工具的團隊，須把外部服務中斷納入開發備援。
Tech NewsLINE官方帳號擬加入AI Agent：商戶後台走向系統整合平台
LINE計劃為官方帳號加入免寫程式的AI Agent 平台，先涵蓋預約、銷售及客服。重點不只自動回覆，而是把對話連至CRM、POS和預約系統；但服務仍在POC，推出、收費及香港可用性均未明。
Tech News走向45天TLS憑證：網站管理員要先補上自動續期缺口
Let's Encrypt將於2027年把預設TLS憑證效期縮至64天，2028年再降至45天。香港網站營運者應現在檢查ACME、部署、reload及告警流程。
Tech NewsGhostAction再襲GitHub：刪除金鑰後，Git 歷史仍可能成為缺口
GhostAction被指在346個GitHub儲存庫植入惡意Actions工作流程，連已從現行程式碼刪除的舊金鑰亦可能遭翻查。團隊須把應變重點由刪檔擴至撤銷憑證、輪換金鑰及追查發布紀錄。
Tech News法國超市冷鏈受駭：停更控制器如何變成營運風險
法國多家連鎖超市的冷凍及冷藏系統遭遠端操控，食品須報廢。事件的關鍵不只在單一漏洞，而是連網工控設備停更、直連互聯網與帳密管理失效的連鎖風險。
Tech NewsSupabase逾1.6萬資料庫公開可讀：開發團隊應先檢查RLS與資料表權限
UpGuard掃描約30萬個採用Supabase的網域，發現16,326個資料庫因存取控制設定不當而可公開讀取。事件不等同已證實大規模入侵，卻突顯快速開發時忽略RLS的風險。
Tech News用 SBOM 與建置紀錄應對歐盟供應鏈審查
OpenSSF 與 OpenChain 提出供應鏈安全指引。對有歐盟客戶的香港軟件、SaaS 與 IoT 團隊，重點是把元件、漏洞與建置證據整理成可追溯資料，而非把工具部署當作合規證明。