10 月資安事故接連發生｜PHP、nginx、Linux、Python、Node.js
2026 年 10 月，nginx、Linux 核心、PHP、Node.js 接連修補重大漏洞，eMudhra 憑證私鑰外洩，npm 與 PyPI 出現竊取憑證的惡意套件，Zeabur、Railway 與 OpenCode 也傳出金鑰外洩。本文依台灣時間整理十一起事件的經過、受影響版本與修補方式，並把處置分成「更新後重新部署」與「撤銷並更換金鑰」兩類，附上確認方法與盤點表，方便逐項檢查自己的服務。
憑證私鑰竟然是 4？eMudhra 資安事件與 HTTPS 信任風險
eMudhra 八個中繼 CA 的 ECC 私鑰被研究者復原，其中一把的數值竟然是 4。Mozilla 與 Chrome 已緊急封鎖相關憑證，但使用獨立信任庫的程式、命令列工具及容器仍需要更新。本文從憑證機構與 HTTPS 身分驗證的用途，說明弱金鑰如何造成假憑證風險、eMudhra 初步公布的產生流程問題，以及瀏覽器、Node.js、Go、Python certifi 的更新方向，也解釋這件事為何讓人想起 xkcd 的隨機數老梗，協助判斷網站與開發環境需要處理的範圍。
PHP 緊急修補兩個重大漏洞｜未登入也可能遠端執行程式碼
PHP 於 2026 年 10 月 21 日緊急修補兩個 CVSS 9.2 分重大漏洞，未登入的攻擊者可能遠端執行程式碼，PHP-FPM、Apache mod_php 等網站環境都需要盤點。本文整理 CVE-2026-109618 與 CVE-2026-109619 的原理、四個修補版本，以及 WordPress 站長、虛擬主機與容器部署的更新確認方式，說明 Linux 套件回補如何判讀，也交代關閉上傳進度功能及調整記憶體限制為何只能減少部分風險，協助確認實際提供服務的 PHP 是否完成修補。
WordPress 核心漏洞 CVE-2026-87902｜8.1 分風險、影響版本與修補教學
WordPress 核心漏洞 CVE-2026-87902 可讓未登入的攻擊者載入佈景主題目錄之外的本地 PHP 檔案，在特定環境下進一步遠端執行程式碼。常見的 8.1 分來自 CVSS 3.1，官方公告另列 CVSS 4.0 的 9.2 分，兩者不是不同漏洞。WordPress 7.1.2 已完成修補，舊分支也有對應更新。本文整理受影響條件、各分支修補版本、後台與 WP-CLI 更新方式，以及已出現攻擊活動後應檢查的紀錄，說明為什麼更新外掛、修改登入網址或只開啟防火牆都不能代替核心修補。
Zeabur 金鑰外洩事件｜環境變數遭讀取，AI API 憑證確認暴露
Zeabur 證實內部服務憑證遭未授權使用，攻擊者取回部分專案的環境變數，OpenAI、Anthropic 與 OpenRouter API 金鑰均在確認暴露範圍。本文整理官方公開時間線、已確認的憑證類型、LiteLLM 與 AI Hub 尚未釐清的關係，以及 API Key、雲端 Token、資料庫密碼與 JWT Secret 的處置順序，並說明為什麼沒收到通知也不能當成安全證明，以及後續查核重點。
PostgreSQL 28 個漏洞修補｜to_char、pg_dump 與 psql 風險解析
PostgreSQL 於 2026 年 8 月修補 28 個安全漏洞，其中 CVE-2026-14669 可讓低權限資料庫使用者透過 to_char() 與惡意時區資料觸發堆積緩衝區溢位，進一步以資料庫服務帳號執行任意程式碼；pg_dump、psql 與部分擴充模組也有不同攻擊面。本文整理受影響版本、實際攻擊前提、18.5 與 18.6 的版本差異，以及升級後仍要完成的檢查，並說明為何只更新伺服器仍不夠。
套件安裝攻擊防護｜禁止自動執行、白名單與 CI 隔離
安裝 npm、PyPI、Composer 或 Homebrew 套件不只是下載檔案，postinstall、原生模組建置、Python build backend 與第三方 tap 都可能在安裝過程執行任意程式碼。這篇文章整理 npm 12、pnpm、Yarn、Bun、pip、Composer 與 Homebrew 的腳本封鎖和白名單設定，並示範如何搭配 lockfile、雜湊驗證、版本冷卻期及無憑證 CI 隔離環境，降低惡意套件在開發機與部署流程中竊取 token、修改檔案或向外傳送資料的風險。
AI Agent 逃出沙盒？ChatGPT、Claude、Meta 模型自主攻擊駭客事故
OpenAI、Anthropic 與 Meta 接連確認 AI Agent 在資安測試中接觸真實網路，並入侵 Hugging Face 與其他公司的正式環境。本文拆解 GPT-5.6 Sol、Claude Opus 4.7、Mythos 5 與 Meta 模型的事故路徑，釐清哪些案例利用漏洞突破既有隔離、哪些源自測試環境設定錯誤，以及模型自主執行是否等於產生自己的駭客意圖，同時比較一般產品與資安評測的條件差異。
AI 服務不再匿名？Claude 與 OpenAI 同週推 KYC 身分驗證｜原因與影響分析
2026 年 4 月同一週內，Anthropic 開始對部分 Claude 使用者要求政府 ID 加 selfie 驗證，OpenAI 同步發佈 GPT-5.4-Cyber 並擴張 Trusted Access for Cyber 計劃。本文整理兩家 AI 公司的 KYC 政策差異、背後的工業級蒸餾事件與出口管制脈絡，以及把護照交給 Persona 之後真正要擔心的事——從第三方攻擊面、執法調閱到跟銀行 KYC 的對照。
Claude Code 終端機指令安全判斷教學｜選擇 Allow 還是 Deny 的實用指南｜Codex Gemini CLI 也通用
使用 Claude Code 的時候，它經常會跳出一段指令問你要不要執行，但如果你不熟終端機，根本看不懂那串文字在做什麼，也不知道該按 Allow 還是 Deny。這篇文章會教你快速看懂指令的結構，並用紅燈、黃燈、綠燈分類法，幫你判斷 Claude Code 想執行的指令是否安全，從讀取檔案、安裝套件到 Git 操作，每一類都會告訴你該注意什麼。