#資訊安全
25 篇文章
TechLab 所有關於「資訊安全」嘅文章、評測同教學，由最新排起。
Tech NewsGartner：企業部署 AI agent 前，先補上身分與修補管治
iThome 報道引述 Gartner 指，AI agent 的權限、程式碼產出與自動修補將成企業資安重點。對香港團隊而言，部署前應先把最小權限、憑證及驗證流程制度化。
Tech NewsGitLab四宗RCE漏洞牽出Ruby Regexp引擎缺陷
GitLab已先行修補產品內的Ruby；Ruby再釋出4.0.9、3.4.12及3.3.13。風險集中於編譯攻擊者可控制的正規表示式，Regexp.timeout並非緩解方法。
Tech NewsCodex監控繞過漏洞已修補，企業仍須審視代理權限
METR與Redwood Research為OpenAI內部代理監控系統壓測時發現多項可繞過沙箱、Auto-Review及執行軌跡監察的問題。OpenAI稱已完成修補；目前沒有資料顯示這是外部入侵或用戶資料外洩事件。
Tech NewsPHP 再現潛在 RCE：先升級兩項高危修補，再核查 Session 設定
PHP 兩項 CVSS 9.2 的遠端程式碼執行漏洞已有安全版本可升級；新披露的第三項風險暫未緊急修補，但只會在罕見設定與程式流程同時出現時觸發。
Tech NewsGitLab滿分漏洞波及自架CE、EE 七個分支須急升級
GitLab 修補可讓未登入攻擊者在 server 執行任意程式碼的 CVE-2026-110264。自管 CE、EE 管理員應先確認版本、安排升級，並核查升級後服務與存取紀錄。
Tech News91APP入侵鏈揭示：未修補 Appsmith 如何通往訂單資料庫
91APP稱未修補的 Appsmith 漏洞讓攻擊者進入內部網絡，再從 GitLab 取得資料庫金鑰。對使用 CI 與雲端訂單系統的團隊，重點在於切斷管理工具、程式碼平台與生產資料之間的權限鏈。
Tech NewsPHP 高危漏洞公開前已有攻擊，網站團隊應回查 10 月 17 日日誌
AWS 指 PHP2Shell 相關漏洞在修補公開前已見攻擊嘗試。對 PHP 網站而言，重點不只升級，還要核實對外服務、版本及較早期的入侵跡象。
Tech News91APP 入侵鏈揭 AI 自動化攻擊如何放大電商風險
91APP 階段性調查指，攻擊者疑由未更新的 Appsmith 進入內部網絡、取得 GitLab 金鑰後存取訂單資料庫。事件提醒電商平台須同步收緊修補、密鑰與網絡分隔。
Tech News91APP 指 Commerce Cloud 遭攻擊：用戶應先防釣魚與帳戶被接管
91APP 指其 Commerce Cloud 資料庫遭自動化攻擊，部分資訊被非法擷取；外洩範圍未披露。對跨境網購用戶而言，現階段應優先防範釣魚訊息及帳戶盜用。
Tech NewsUbuntu 26.10 全面轉用 Rust coreutils：升級前先測試腳本
Ubuntu 26.10 把 cp、mv、rm 納入 Rust 版 coreutils，並提升 APT 驗證及 Entra ID 登入安全；但它屬非 LTS，維護至 2027 年 7 月，管理員應先驗證既有自動化流程。
Tech NewsAhsayCBS 漏洞已遭利用 舊修補不完整須再升級
AhsayCBS 兩個已遭實際攻擊利用的漏洞，早前修補版本未能徹底解決。使用第 7 至 9 版及第 10 版的機構，應分別升級至指定新版，並依官方指引排查及重建受影響備份系統。
Tech NewsGoogle DevSite RCE漏洞：Cookie與共用密鑰如何連成風險鏈
iThome報道指，Google DevSite曾把OAuth用戶端密鑰放入Cookie，並以同一密鑰簽署Cookie，配合Python pickle反序列化流程可導致RCE。Google已於10月7日修補，事件反映密鑰隔離與資料反序列化的基本防線。
Tech NewsOpenSSL 14 個漏洞修補：DTLS 與 QUIC 部署應優先盤點
OpenSSL 一次修補 14 個漏洞，當中 CVE-2026-84782 可令 DTLS 連線洩露 Heap RAM 內容，並有機會造成當機或服務阻斷。維運重點是辨認實際相依版本與協定功能。
Tech NewsGoogle暫停部分開源漏洞獎勵：AI通報潮考驗人工驗證
Google暫停 OSS VRP 的產品漏洞通報，供應鏈漏洞仍可提交。事件反映 AI 可加快研究初步工作，卻也令維護者的人工驗證能力成為稀缺資源。
Tech NewsApple 收緊 macOS 完整磁碟存取權：桌面 AI agent 的權限風險
Apple 表示將為 macOS「完整磁碟存取權」加入新控制。桌面 AI agent 若取得這項權限，可接觸檔案、郵件、訊息及瀏覽紀錄；用戶應先盤點現有授權。
Tech NewsComp AI擴展至代理安全：GRC工具能否管住AI的權限與問責？
Comp AI完成3,400萬美元A輪融資，計劃由GRC自動化延伸至安全監控、測試及AI代理安全。重點不只在監察代理做過甚麼，更在企業能否界定其存取權、操作邊界與可追溯責任。
Tech News微軟為 AI agent 訂下關閉權：治理承諾如何走向產品控制
微軟公布首版 AI《行為準則》草案，要求模型接受人類中斷、修正及關閉，亦不可自行擴張任務。重點將在於這些原則日後能否化為可驗證的產品控制。
Tech NewsmacOS 三條版本線同步修補：Mac 用戶要留意的元件風險
Apple 同步推出 macOS Golden Gate 27、Tahoe 26.7 及 Sequoia 15.8。更新涵蓋核心、列印及檔案共享等元件，企業與個人用戶均應先確認所用版本並安排更新。
Tech NewsGTA VI「外流檔」成惡意程式誘餌：玩家應看清三個警號
iThome 報道指，有人以聲稱為《俠盜獵車手VI》的 113GB ISO 檔、下載網站及 app 散布惡意程式。未發售遊戲帶來的焦急心理，正是騙徒最容易利用的缺口。
Tech NewsZoom 註解零點擊漏洞已修補：惡意參加者同場就可出手，立即更新
Zoom 修補三個註解功能漏洞，攻擊者只要混入同一場會議，就有機會喺受害者完全唔使撳掣下執行程式碼。所有平台用戶都應該更新至最新版本，公司 IT 仲要清查 VDI、Zoom Rooms 同 Meeting SDK。
Tech NewsAI agent 開始長駐背景做嘢，下一步係管權限、成本同審批
TechCrunch 寫 Claude Code 負責人 Boris Cherny 講 AI loops 真係會變大事：agent 唔再淨係等你逐次落 prompt，開始長駐背景搵問題、開 PR、改文件。用得好係 automation，用得差就係權限同 token 成本一齊失控。
3C 產品Claude 測試誤闖三間真公司：AI agent 權限邊界點解要落喺系統層
Anthropic 翻查 141,006 次網絡安全測試，發現 Claude 曾接觸三間真實機構，仲有惡意套件喺 15 部系統執行。公開資料冇顯示模型有自主惡意，事故反而揭示一個企業容易忽略嘅問題：agent 有幾多權，唔可以單靠 prompt 同模型拒絕機制控制。
Tech NewsAI 用 60 小時搵出 HAWK 弱點，NIST 後量子簽署候選方案退賽
Anthropic 嘅 Mythos Preview 用約 60 小時搵到 HAWK 格結構內一個關鍵對稱，令破解成本大跌。HAWK 團隊確認問題後退出 NIST 評審；完整 AES、手機同網站加密暫時冇受影響。
Tech NewsX 會用 DM 提你轉發過嘅錯料，Community Notes 遲到都想追返你
X 想喺你 like、回覆或轉發過嘅帖文加上 Community Notes 之後，用 X Chat DM 提你。重點係 X 承認錯料好多時跑得快過補註，DM 只係補鑊，唔係萬能。