#資安
602 篇文章
TechLab 所有關於「資安」嘅文章、評測同教學，由最新排起。
Tech NewsGoogle DevSite RCE漏洞：Cookie與共用密鑰如何連成風險鏈
iThome報道指，Google DevSite曾把OAuth用戶端密鑰放入Cookie，並以同一密鑰簽署Cookie，配合Python pickle反序列化流程可導致RCE。Google已於10月7日修補，事件反映密鑰隔離與資料反序列化的基本防線。
Tech NewsPython 3.15 升級前：先盤點編碼與延遲匯入風險
Python 3.15 將未指定編碼的文字檔讀寫預設改為 UTF-8，亦引入需明確啟用的延遲匯入。對仍有 Big5 舊資料與大型 app 的團隊，升級重點在相容性盤點、錯誤測試及量度實際啟動收益。
Tech NewsMicroscan、FishHub 與 SoftEther 攻擊鏈：遠端存取管控的警號
美方查封與永信至誠科技相關的網域後，公開資料顯示 Microscan 掃描、FishHub 釣魚及 SoftEther 遠端存取可串成攻擊鏈。機構應把偵測重心由單一 IOC 擴展至資產、帳戶與連線行為。
Tech News根 DNSSEC 金鑰已輪替：自設 resolver 應檢查 KSK-2024
DNS 根區域已改由 KSK-2024 簽署。一般用戶預計影響有限，但啟用 DNSSEC 驗證而信任錨停留在舊版本的 resolver，或會回傳 SERVFAIL，令網站名稱無法解析。
Tech NewsWordPress 外掛 XSS 遭濫用：更新後仍要排查持續存取
Ninja Forms 與 WPC Product Bundles for WooCommerce 的已修補 XSS 漏洞正被利用。網站管理員應更新外掛，並把重點放在檢查隱藏管理帳號、惡意外掛及其他殘留存取管道。
Tech NewsNetScaler SAML 漏洞風險升溫：企業應即查 ADC 與 Gateway
Citrix 為 NetScaler 修補 CVE-2026-107406。iThome 指出，採用 SAML SP 或 IdP 配置的 ADC 與 Gateway 或受影響，可引致遙距程式碼執行或服務中斷。
3C 產品ShyGlass 以 AirPods 偵測轉頭模糊 Mac 畫面：防旁觀便利背後的螢幕錄製權限代價
ShyGlass 利用 AirPods 頭部動態資料，在用家移開視線時模糊 Mac 螢幕；實用性取決於校準與使用習慣，但 Screen Recording 權限亦令信任成為關鍵。
Tech NewsTelegram Desktop高風險漏洞曝光 香港用戶應更新至7.2.9或以上
iThome 報道指，Telegram Desktop 7.2.8 及較早版本存在 CVE-2026-107181，惡意連結可被用作竊取本機資料及登入工作階段。桌面版用戶應盡快更新，並檢查帳戶保護設定。
Tech NewsBun 加入 bun check：TypeScript 團隊應如何放進 CI 與部署前流程
Bun 1.4.3 新增 bun check，主打以較低資源完成 TypeScript 型別檢查。它適合接入測試、CI 與部署閘門，但現階段仍不應直接取代 tsc。
Tech NewsDNS遭劫持為何可簽發有效HTTPS憑證？從Chrome封鎖看信任鏈缺口
iThome 報道指三個國碼頂級網域的DNS紀錄遭竄改，攻擊者藉網域控制驗證取得未授權憑證。事件焦點在於：HTTPS的信任可由DNS控制權間接撬動，企業須以CT監察及CAA收窄風險。
Tech NewsPoeLLM 暴露自架 AI 服務風險：LiteLLM、Ollama 管理員要先做四項檢查
iThome 報道指 PoeLLM 已入侵逾 3,400 台伺服器，鎖定對外開放的 AI 與開源服務。LiteLLM 的 CVE-2026-42271 仍屬研究團隊推測的可能入口，企業應先盤點公開服務、收緊外部存取、更新修補及覆核日誌。
Tech NewsZammad零時差遭利用：AI agent令事件應變窗口進一步收窄
iThome報道指，DIVD遭入侵後揭露兩個Zammad零時差漏洞，且CISA已將其加入已遭利用漏洞名單。自建或代管Zammad的機構應以資產盤點、官方修補、鑑識與供應商責任界線處理風險。
Tech NewsAVERAT揭示長開設備成隱蔽中繼風險
Rapid7發現部署在台灣網絡環境的AVERAT樣本，並追蹤到NAS、SMB網關及錄影設備被用作中繼。重點不只在單一後門，而是長期對外開放、少監控的設備如何被掩護成正常服務流量。
Tech NewsOpenSSL 14 個漏洞修補：DTLS 與 QUIC 部署應優先盤點
OpenSSL 一次修補 14 個漏洞，當中 CVE-2026-84782 可令 DTLS 連線洩露 Heap RAM 內容，並有機會造成當機或服務阻斷。維運重點是辨認實際相依版本與協定功能。
Tech NewsSpanner把佇列放進交易，AI agent工作流仍要面對重複執行
Google 為 Spanner 加入原生訊息佇列，讓資料更新與任務派送一併提交。它可縮窄 AI agent 工作流的狀態落差，但「至少一次送達」意味付款、退款等外部動作仍須由應用程式處理冪等。
Tech NewsMeta 開源 Muse Gadgets：Maker 自製 AI 裝置前先看 Token 門檻
Meta 把 Muse 接入 ESP32、Raspberry Pi 與 Linux 硬件，令語音、感測與智能家居互動有現成起點；但每台裝置須獨立申請 SDK Token，部署規模與配對流程仍受平台控制。
Tech NewsRust縮減32位元Windows主機工具：交叉編譯成為開發新常態
Rust據報將由1.100起停止提供可在32位元Windows直接運行的完整開發工具，但仍可產生32位元程式。關鍵轉變在於開發主機須遷往受支援的64位元環境。
Tech NewsQNAP HDP for Business：以既有 NAS 建立企業備份中心的門檻與取捨
QNAP 推出 Beta 版 HDP for Business，讓合資格 NAS 集中管理伺服器備份，並加入 WORM、Object Lock 與異地複製保護；但目前站點規模、硬件與系統版本均有明確限制。
Tech NewsWarlock 借 SharePoint 入侵：本地部署機構須防的四段式攻擊鏈
iThome 報道指，Storm-2603 持續藉 SharePoint 漏洞投放 Warlock 勒索軟件，並以 BYOVD 關閉保安防護。使用自建 SharePoint 的香港機構應優先盤點漏洞與外網入口。
Tech NewsGoogle暫停部分開源漏洞獎勵：AI通報潮考驗人工驗證
Google暫停 OSS VRP 的產品漏洞通報，供應鏈漏洞仍可提交。事件反映 AI 可加快研究初步工作，卻也令維護者的人工驗證能力成為稀缺資源。
Tech NewsTA419 以 AiTM 繞過 MFA：Microsoft 帳戶防釣魚要看 session
iThome 報道指，TA419 假冒政策人士，以對手中間人網釣轉送真正 Microsoft 登入流程。MFA 完成後的 session Cookie 亦可能被截取；目前未有香港受害或成功入侵證據。
Tech NewsSvelteKit 3 升級重點：設定遷移與工具鏈門檻
SvelteKit 3 將框架設定全面收納至 Vite，並提高 Node、TypeScript、Svelte 與 Vite 的最低版本。對仍在 2.x 的團隊而言，sv migrate 可減少改動量，但設定、匯入別名及部署環境仍須逐項覆核。
Tech News假 Gmail 附件卡片如何令網釣郵件更難辨識
iThome 報道披露，UAT-11587 曾以仿冒 Gmail 附件預覽卡片向台灣學術及政策社群投遞惡意連結。重點不在附件名稱，而在辨認郵件中的介面圖像與真正附件之間的差別。
Tech NewsOUSD上線：四條API通道如何改寫企業穩定幣整合
Open Standard推出美元穩定幣OUSD，並透過Stripe、Visa、Mastercard及Coinbase提供整合渠道。關鍵在於企業能否把鑄造、贖回與多鏈流通納入既有支付流程，同時處理資產、合規及覆蓋範圍限制。