#資安
603 篇文章
TechLab 所有關於「資安」嘅文章、評測同教學，由最新排起。
Tech NewsOUSD上線：四條API通道如何改寫企業穩定幣整合
Open Standard推出美元穩定幣OUSD，並透過Stripe、Visa、Mastercard及Coinbase提供整合渠道。關鍵在於企業能否把鑄造、贖回與多鏈流通納入既有支付流程，同時處理資產、合規及覆蓋範圍限制。
Tech NewsAntino濫用M365通訊：亞洲釣魚攻擊對香港機構的警號
iThome引述Cisco Talos指出，UAT-11587以釣魚電郵散播Rust後門Antino，並借Outlook及OneDrive作情報交換站。香港未見受害證據，但政策、學術及公民社會機構應檢視M365帳戶防護。
Tech NewsCDN預設啟用PQC，網站TLS遷移只走了一半
F5調查稱，全球前百萬網站中54%已支援PQC金鑰交換，主因是CDN預設啟用。這改善了TLS前端部署，但PQC憑證、舊系統及密碼套件盤點仍未完成。
Tech NewsAmazon Corretto 27加入PQC混合交換：Java TLS升級先看相容性
Amazon Corretto 27加入TLS 1.3後量子混合金鑰交換及JFR資料遮蔽。對企業Java系統而言，重點在於分階段驗證TLS相容性，並把診斷資料保護納入日常營運。
Tech NewsJadePuffer 攻向 Azure：雲端破壞可壓縮至數分鐘
iThome 報道指，JadePuffer 疑利用失陷的 Azure Service Principal，在約 7 分鐘內批量刪除雲端資源。事件提醒團隊：身分憑證、資源鎖與復原設定必須一併檢視。
Tech NewsCodex Cloud 把開發環境變成可重用的團隊資產，但共享權限需先釐清
OpenAI 正逐步更新 Codex Cloud，讓已配置的雲端開發環境可重用，並向 ChatGPT Enterprise 團隊分享。改變可減少重設成本，但共享環境內的憑證與連線設定亦成為管治焦點。
Tech NewsSSO、雲端與OT令事件應變告別線性流程
SANS發布動態事件應變框架；iThome報道指出，當攻擊由單一端點擴展至SSO、SaaS與雲端資料層，團隊能否追查事故，取決於事前日誌、資產與權限準備。
Tech NewsCline SDK 加入雲端交接：AI 編程代理可續跑，但交出程式碼前先看風險
Cline SDK v0.0.87 讓整合工具把本機 AI 編程工作交給雲端代理續跑，再帶回原有環境；暫停與恢復有助長任務，但程式碼、對話與儲存庫狀態的交接也提高管治要求。
Tech News東京兩宗鐵路網絡事故後，怎樣辨認冒充營運商的釣魚電郵
京王電鐵與東京地下鐵先後披露勒索軟件及未授權存取事故。已知風險並不相同，會員尤其要把官方通知與釣魚訊息分開處理。
Tech News從聊天入口走向可治理代理平台：GENIE 3.0的企業AI架構
玉山銀行據報把多代理協作、MCP、技能與工具登記、知識檢索及稽核機制放進同一平台。關鍵不在聊天介面，而在如何讓代理可重用、受權限約束並可追溯。
Tech News假招聘攻擊滲入 DevOps：FlatRoof 事件的防護重點
印度 IT 服務商遭疑似北韓 Jade Sleet 入侵，攻擊以假面試及惡意 Terraform 專案接觸 DevOps 工程師。事件提醒開發團隊，招聘流程與本機開發環境同樣是雲端防線。
Tech NewsWordPress Click2Shell：管理員應更新 7.1.1 並盤點新增佈景主題
Click2Shell 可藉誘導已登入的 WordPress 管理員開啟特製連結，暗中安裝佈景主題。雖然單靠漏洞未必直接取得程式碼執行，網站仍應盡快升級至 7.1.1，並檢查是否有不明主題。
Tech NewsComp AI擴展至代理安全：GRC工具能否管住AI的權限與問責？
Comp AI完成3,400萬美元A輪融資，計劃由GRC自動化延伸至安全監控、測試及AI代理安全。重點不只在監察代理做過甚麼，更在企業能否界定其存取權、操作邊界與可追溯責任。
Tech NewsJev 把 AI 輸出收窄為決策，快不等於判斷更準
TypeSafe 推出 Jev，主打直接輸出受型別限制的決策結果。它可減少 LLM 生成與解析的開銷，但輸出格式合規，並不保證分類、路由或審核判斷本身正確。
Tech News假面試變成入侵入口：WaterPlum如何瞄準開發者與加密錢包
美日澳德聯合公告披露，WaterPlum以假招聘、程式測試及視訊支援為餌散布惡意NPM套件。對求職者與企業而言，面試流程已成為供應鏈與帳戶安全的共同缺口。
Tech NewsiOS 27 與 iPadOS 27 修補126項漏洞，用戶應否立即更新？
Apple 推出 iOS 27 與 iPadOS 27，合共修補126項保安漏洞。更新焦點轉向核心系統與記憶體安全；資料未確認漏洞已遭在野利用，但用戶仍應優先安排更新。
Tech News微軟為 AI agent 訂下關閉權：治理承諾如何走向產品控制
微軟公布首版 AI《行為準則》草案，要求模型接受人類中斷、修正及關閉，亦不可自行擴張任務。重點將在於這些原則日後能否化為可驗證的產品控制。
Tech NewsmacOS 三條版本線同步修補：Mac 用戶要留意的元件風險
Apple 同步推出 macOS Golden Gate 27、Tahoe 26.7 及 Sequoia 15.8。更新涵蓋核心、列印及檔案共享等元件，企業與個人用戶均應先確認所用版本並安排更新。
Tech NewsOpenJS 暫停一般 CVE 處理三周：AI 漏洞回報如何堵塞 JavaScript 安全流程
OpenJS CNA 因 AI 輔助漏洞回報增加及志工審核壓力，9 月 17 日至 10 月 6 日暫停一般 CVE 作業。對 Node.js 生態而言，延遲的是編號與公告流程，並不等同漏洞修補停止。
Tech NewsScreenConnect與Artifactory漏洞遭利用：IT團隊如何排定修補次序
CISA已把一個ConnectWise ScreenConnect及兩個JFrog Artifactory漏洞列入KEV。對使用遙距支援與制品庫的團隊而言，重點是先確認資產和暴露面，再按服務風險安排修補與臨時管控。
Tech NewsPalo Alto XML 漏洞 CVE-2026-0310：實體與虛擬防火牆風險有別
Palo Alto Networks 為 PAN-OS、Prisma Access 及 Cloud NGFW 修補 XML 處理漏洞。實體 PA 系列可被取得 root 權限，VM 系列則主要面對服務中斷風險；機構應先盤點版本、更新及收緊管理介面。
Tech NewsChrome與Windows零時差漏洞串連：釣魚連結如何把瀏覽器帳戶帶入風險
iThome 報道指兩個被追蹤為中國背景的組織使用同一組 Chrome、Windows 零時差漏洞鏈。對一般用戶及企業而言，重點是盡快檢查更新、降低釣魚點擊風險，並保護瀏覽器內的登入憑證。
Tech News假 Gemini 擴充功能借零時差入侵：Chrome、Edge 用戶怎樣自保
iThome 報道指，BlueMoon 漏洞利用套件結合 Chrome 及 Windows 零時差漏洞，並以假冒 Gemini 的惡意擴充功能竊取憑證。事件未見香港個案，但新加坡及印尼受襲，值得企業與個人用戶重新檢視釣魚防線。
Tech News優惠券電郵藏 LNK：E4del、PINHOLE 如何借 FTP Banner 進入 Windows
研究人員發現以西班牙文優惠券電郵為餌的攻擊鏈：ZIP 內的 LNK 捷徑會讀取 FTP Banner 取得指令，再下載可遙控及竊資的 RAT。重點在於辨識附件與收緊端點執行權限。