| 機構 / 事件 | 行業 | 事件類型 | 影響範圍 | 嚴重度 | 狀態 | 最後跟進 |
|---|
| 載入中… |
| 載入中… |
| 日期 | 組織 | 受害機構 | 地區 |
|---|---|---|---|
| 載入中… | |||
私隱專員鍾麗玲表示，香港航空、友和及百老滙三宗資料外洩事故至今累計接獲 85 宗查詢及投訴，公署已展開調查，有求助個案損失金額達 10 多萬元。她指涉事公司客戶在購物後隨即接獲詐騙電話，反映外洩資料正被用於精準詐騙，市民對任何自稱客服嘅退款或賠償要求，應經官方網站或熱線獨立核實。
數字政策辦公室主辦嘅第三屆攻防演練今日展開，一連三日兩夜共 60 小時，模擬真實網絡威脅場景測試參與機構嘅防禦部署及應變能力，將於 10 月 31 日晚上結束。今年共 51 隊藍隊及 23 隊紅隊參與，涵蓋逾 70 個政府部門、公共機構及私營企業，並首次邀請私企加入防守陣營及深化粵港協作，另有逾 80 家機構代表以觀察員身分到場了解演練過程。
美國網絡安全暨基礎設施安全局（CISA）發布「CISA 2030：防禦、強化、致勝」新戰略，聚焦強化聯邦網絡防禦、保障國家安全及提升關鍵基礎設施韌性。戰略發布之際，美國聯邦選舉委員會（FEC）系統遭駭致電子申報系統中斷，進一步凸顯關鍵系統防護嘅迫切性，對香港關鍵基礎設施營運者嘅防禦規劃亦有參考價值。
澳洲信號局（ASD）最新網絡安全威脅報告指出，國家級黑客正利用人工智能更快找出系統漏洞並提升攻擊速度同規模，上財年處理嘅網絡安全事件超過 1,500 宗，按年增加 20%，較五年前上升 36%。報告顯示 AI 工具正降低攻擊門檻，香港企業應同時防範 AI 加持下嘅自動化釣魚、語音詐騙同大規模漏洞掃描。
HKCERT 發布 ChromeOS 安全公告，涵蓋多個需透過系統更新修補嘅安全漏洞。企業同學校嘅 Chromebook 管理員應確認自動更新已啟用並檢查裝置版本，確保全部裝置已套用最新修補。
HKCERT 就持續整合伺服器軟件 Jenkins 發布多個漏洞公告。Jenkins 廣泛用於企業軟件構建及部署流程，相關漏洞可被用於攻擊軟件供應鏈，管理員應立即檢視版本並套用官方更新，同時限制建置節點嘅對外存取。
HKCERT 發布思科（Cisco）產品阻斷服務（DoS）漏洞公告，相關漏洞可令網絡設備或安全產品崩潰並中斷服務。企業應利用官方 Security Advisory 掃描工具盤點受影響設備，並盡快安排更新以維持網絡可用性。
Cloudflare Radar 第三季報告記錄 49 宗區域性斷網，其中 14 宗與停電直接相關，個案包括洪都拉斯互連設施故障及 Namecheap 數據中心事故。unwire.pro 分析指出，企業即使採用多間電訊商，若機房電力、互連設施及路由路徑未有同步冗餘，關鍵服務仍可一同離線，本地機構宜藉此檢視供應商冗餘設計與業務持續計劃。
沖繩知名租車品牌 OTS Rent-a-Car 母公司日商沖繩觀光社（Okinawa Tourist Service）確認遭網絡攻擊，租車、酒店、活動預訂及會員服務最多約 73 萬名客戶嘅個人資料外洩至外部第三方，包括日本駕駛執照號碼，另有最多 6,000 張車牌影像仍在查證，五項服務一度暫停。香港經濟日報報道事件涉及香港用戶，曾使用 OTS 租車或預訂沖繩住宿嘅市民應提防冒認客服嘅退款或「核實身分」來電及訊息，切勿提供證件號碼、信用卡資料或一次性驗證碼，並經官方渠道獨立核實。
GOVCERT 發出高危保安警報，F5 發布安全公告應對產品多個漏洞，一日之內接連第 2 宗、本月第 9 宗 F5 相關本地警報，延續 9 月以來 BIG-IP APM RCE 遭廣泛利用（CVE-2026-94127，仍列 CISA KEV）嘅連環揭露，管理員應持續追蹤 F5 各產品線安全公告。香港銀行、電訊及數據中心廣泛採用 F5 設備，建議維持全線產品修補狀態、縮窄管理介面對外暴露，並覆核遠端存取及異常登入日誌。
HKCERT 就 6 月曝光嘅 FortiGate 憑證外洩事件發布「FortiBleed 2.0」後續安全警報：研究人員新取得較早期（報告日期主要為 2 月）嘅 FortiGate 設定報告，新增本機用戶、Active Directory LDAP 綁定帳戶、管理員登入、HA 叢集及 SMTP 服務嘅明文憑證記錄，連同 975 個新網域標籤，資料集擴至逾 10 萬筆帳戶及憑證記錄。HKCERT 強調唔宜視為新一輪攻擊，但即使機構 6 月已查核過網域，仍應使用更新後嘅資料集再次檢查；FortiGate 設定檔內嘅憑證可被用於存取其他內部系統、橫向移動以至部署勒索軟件，本地機構應重新核對網域及主機記錄、即時輪換相關帳戶密碼、強制 MFA 並覆核 VPN 及管理介面登入日誌。
GOVCERT 轉載 Apple 十月安全更新，覆蓋 iOS／iPadOS 18.7.11、26.7.2 及 27.2、macOS Tahoe 26.7.2 與 Golden Gate 27.2、visionOS／tvOS／watchOS 27.2 及 Safari 27.2，與同日 HKCERT「蘋果產品多個漏洞」公告同源，包括已遭實際利用嘅 CoreGraphics 漏洞對舊裝置嘅回移植修補。用戶應為全線 Apple 裝置即時檢查更新，企業 MDM 應將新舊兩代系統一併納入修補基準。
GOVCERT 轉載 Google Chrome 安全更新，應對多個漏洞，與同日 HKCERT「Google Chrome 多個漏洞」公告同源，延續 Chromium 十月修補節奏。桌面用戶應經「說明 → 關於 Google Chrome」完成升級，企業應核對受管理瀏覽器版本基準，同步覆蓋以 Chromium 為底嘅衍生瀏覽器。
GOVCERT 轉載 Mozilla 安全公告 MFSA2026-118、119 及 120，應對 Firefox 多個漏洞，與同日 HKCERT「Mozilla 產品多個漏洞」公告同源。Firefox 及 Thunderbird 用戶應確認已升級至最新正式版或 ESR，機構桌面團隊應以集中更新機制確保全體用戶完成升級，避免瀏覽器成為釣魚及網頁攻擊嘅入口。
HKCERT 今日發布「Google Brotli 遠端執行程式碼漏洞」公告，覆蓋本月底起持續發酵嘅 Brotli 解碼器緩衝區溢位 CVE-2026-111497。該漏洞影響 1.0.3 至 1.1.0 及 1.2.0 之前版本，遠端攻擊者可經特製壓縮資料流觸發記憶體損壞，致敏感資訊洩漏、阻斷服務或執行任意程式碼，Palo Alto 已確認 PAN-OS 多個版本受影響。開發及維運團隊應盤點 Node.js、Python、網頁伺服器同網絡設備入面嘅 Brotli 依賴，統一升級至官方修補版本。
HKCERT 發布「Google Chrome 多個漏洞」安全公告，跟進 Chromium 項目最新穩定版修補。Chrome 為本港企業及市民最常用瀏覽器之一，渲染器及 V8 類漏洞一直係靶場焦點，部分修補與 Microsoft Edge 等衍生瀏覽器共享基礎。用戶應經「說明 → 關於 Google Chrome」即日完成升級，企業須同步核對受管理瀏覽器版本基準。
HKCERT 發布「Veeam 產品多個漏洞」公告。Veeam Backup & Replication 廣泛部署於本港企業數據中心，歷來多次成為勒索軟件首要攻擊目標——攻擊者入侵後慣常先刪除或加密備份工作，再對生產環境施壓。機構應將今次修補列為最高優先級，即日核對版本、套用更新，並確認備份具備不可變（immutable）快照及離線副本。
HKCERT 發布「Mozilla 產品多個漏洞」公告，涵蓋 Firefox 瀏覽器及 Thunderbird 電郵客戶端多項修補。Thunderbird 處理來歷不明電郵附件，攻擊面直接；Firefox 用戶則應確認已升級至最新 ESR 或正式版。機構桌面管理團隊應透過集中更新機制確保全體用戶完成升級。
Palo Alto Networks 繼 Brotli 評估後，再就 PHP2Shell 兩條 CVE 發布產品組合影響公告，逐項列出 PAN-OS 之外受影響或經評估嘅產品線及對應緩解方案。PHP 運行時廣泛內嵌於網絡保安設備嘅管理介面同報告元件，今次評估反映邊界設備「隱藏 PHP」暴露面盤點嘅緊迫性，本港管理員應將設備供應商公告納入 PHP2Shell 應對清單逐一核對。
Cisco 發布通告確認 10 月 Node.js 修補（涵蓋 Brotli 解碼器、DNS 解析及 TLS 憑證驗證等關鍵功能）影響旗下多項產品，並列出對應修復進度。連同早前 PHP 影響評估，兩大網絡設備商已先後確認自家產品內嵌 Node.js／PHP 運行時受牽連，反映「運行時供應鏈」漏洞對企業硬件嘅滲透速度。管理員應追蹤各產品線修復公告，優先處理互聯網可達組件。
TianoCore EDK2——AMI、Insyde、Phoenix 等幾乎所有 UEFI 供應商同微軟 Project Mu 均採用嘅開源韌體基礎代碼——其 PXE 網絡開機驅動存在 16 年歷史嘅 ICMP 緩衝區溢位（CVSS 9.5）：攻擊者喺 PXE 開機窗口內經一個特製 ICMP 錯誤訊息，即可喺 Secure Boot、TPM 等啟動期防護生效前以 ring 0 執行代碼，可用於癱瘓開機、破壞磁碟加密信任鏈或繞過遠端硬體證明。漏洞原定明年 1 月協調披露，惟 AMI 上月誤先公開含修補嘅 pull request，TianoCore 已發正式公告，進階攻擊者可輕易據此製作可用利用程式。香港數據中心、雲端節點同企業機房應盤點伺服器韌體版本同 PXE 使用情況：毋需網絡開機嘅主機應停用 PXE，並追蹤伺服器廠商後續韌體更新。
《香港文匯報》報道，市民購物後接連遇電騙，三間公司合共涉洩逾 1,600 人個資；騙徒掌握事主姓名、訂單或航班資料後冒充客服，以退款、賠償為名企圖套取信用卡號碼，有資訊安全專家分析源頭疑為三間公司共用嘅第三方客服平台出事。承接 HKCERT 同日證實有退休人士遭冒充港航客服騙去 120 萬港元，事件已由「接獲詐騙來電」演變至實際金錢損失；市民對任何自稱客服嘅退款或賠償來電，應經官方 App 或官網熱線核實，切勿提供信用卡資料、密碼或一次性驗證碼。
據報一個信用卡盜錄（skimming）集團入侵電商平台 Convertr 使用嘅共用分析腳本，喺消費者結帳時竊取付款卡資料，屬典型供應鏈式網站技能注入攻擊——一個共用組件失守，所有嵌入該腳本嘅商戶同時受累。香港電商及網上服務平台普遍依賴第三方分析、廣告同客服腳本，網站管理員應對外部腳本實施內容安全政策（CSP）或子資源完整性（SRI）管制，並定期審計結帳流程所載嘅第三方代碼。
Microsoft 為 Windows 發布帶外（OOB）更新，將電子憑證商 eMudhra 簽發嘅憑證列為不受信任，防範相關憑證被濫用於中間人攻擊或冒充可信網站及服務。憑證信任庫變更屬供應鏈級風險：香港企業如內部系統或供應商依賴 eMudhra 簽發嘅 TLS 或代碼簽署憑證，應即時核對業務影響並盡快部署更新，同時確認端點 Windows 自動更新機制正常運作，避免信任清單長期停留喺受影響版本。
安全廠商揭露一條可重複嘅社交工程攻擊鏈：攻擊者先以大規模電郵轟炸淹沒目標信箱，再冒充技術支援人員經 Microsoft Teams 外部聊天主動接觸事主，聲稱協助清理信箱並誘導執行惡意載入，由接觸到投放成功最快僅 15 分鐘，手法疑與 Black Basta 勒索集團相關。香港企業普遍開啟 Teams 外部通訊以方便跨境協作，應檢視外部聊天政策、限制陌生租戶主動聯絡，並為任何主動上門嘅「IT 支援」要求建立經內部分機或官方渠道核實嘅硬性流程。
研究人員披露三宗針對日本機構嘅攻擊事件，AI 喺操作中擔當主導或輔助角色：Trend AI 分析攻擊者無意暴露嘅伺服器環境，發現「CyberStrikeAI」框架以 44 個 AI 代理分工執行偵察、漏洞利用同後滲透任務，大幅降低進階攻擊嘅人力同技術門檻。香港機構應假設對手同樣配備 AI 自動化能力，防禦上宜將 AI 用於威脅偵測、日誌分析同回應編排，同時收緊對外服務暴露面、縮短修補時效，避免成為自動化掃描嘅低門檻目標。
烏克蘭籍 36 歲男子 Artem Stryzhak 就參與 Nefilim 及 Hive 兩個知名勒索軟件集團嘅控罪認罪，被判監 70 個月，屬跨國執法針對勒索生態嘅又一標誌性判決。Hive 過往曾被國際執法入侵並瓦解，其成員其後轉投 Nefilim 等後繼品牌，反映勒索集團改頭換面亦難逃追訴。香港機構面對勒索威脅，除技術防禦外亦應確保備份離線、隔離且可復原，並預先演練事故通報同業務復原流程。
美國新墨西哥大學健康科學中心披露遭網絡攻擊，部分系統中斷，病人護理、手術安排及學術活動受影響，屬醫療機構近期又一宗勒索相關事故。醫療系統一旦中斷直接影響病人安全，香港公私營醫院及診所網絡同樣係釣魚同勒索高價值目標，應確保關鍵臨床系統網絡分段、離線備份同停機應變手冊到位，並定期演練喺系統不可用情況下嘅替代運作模式。
HKCERT 表示，有騙徒冒充香港航空客服，能準確說出受害人嘅航班編號、起飛時間及目的地，訛稱航班取消可安排退款、改票或保險賠償，誘使受害人登入虛假網站、啟用螢幕共享或以「轉帳驗證」為名轉帳，其中一名退休人士損失 120 萬港元。中心同時指有假冒友和等商戶客服嘅騙徒掌握購物資料後，以包裹損壞退款為名誘導事主登入假網站或轉帳。市民切記：來電者講得出姓名、航班或訂單唔代表係真職員，任何退款或轉帳要求應即時停止操作，經官網、官方 App 或熱線獨立核實，切勿提供密碼或一次性密碼（OTP）。
Apple 為無法升級至最新系統嘅舊裝置推出回移植修補，應對 CoreGraphics 越界寫入漏洞 CVE-2026-86950（CVSS 8.8）——官方確認曾於「極度複雜」嘅針對性攻擊中被實際利用，處理惡製影像或 PDF 時可致任意代碼執行。更新覆蓋 iOS／iPadOS 26.7.2 及 18.7.11、macOS Tahoe 26.7.2、Sequoia 15.8.2 及 tvOS 26.6.1，將修補帶到 iPhone XS 等舊機型。香港用戶應即時為全線 Apple 裝置檢查更新，企業 MDM 亦應將舊系統版本納入修補基準，唔應假設「未升新機就唔受影響」。
GMO Internet Group 旗下 Onamae.com Desktop Cloud（主要供外匯自動交易嘅 VPS 服務）入侵事件持續發酵：勒索者喺 10 月 27 日中午期限後張貼聲稱屬於客戶嘅姓名及地址等資料，真偽待查；GMO 曾緊急要求受影響用戶備份後關機，並指勒索額由最初 5,000 萬美元（約 3.9 億港元）降至 100 萬美元（約 780 萬港元），公司重申拒付贖金，已回收客戶電腦檢驗（暫未發現勒索軟件）並承諾補償。事件屬雲端供應商大規模入侵後繼以「資料公開＋勒索」雙重施壓嘅罕例，香港使用同類外匯 VPS 或日系雲端服務嘅用戶應提防冒認 GMO 嘅後續釣魚。
Tailscale 緊急發布修補，應對被稱為「Tailworm」嘅 SSH 相關漏洞，未經認證攻擊者有機會藉此提升至 root 權限；事件涉及未按慣例協調嘅公開披露，官方搶在細節擴散前推出修補。Tailscale 廣泛用於企業遠端接入同跨雲內網聯通，屬 Zero Trust 部署嘅核心通道，本地 DevOps 及基建團隊應即日核對版本並升級至最新修補版，同時檢視節點 SSH 存取及 ACL 配置有無異常。
AI 原生終端機及代理平台 Warp 公布資料外洩事故，部分 AI 代理運行日誌及用戶遙測資料曝光；代理日誌可能包含指令、代碼片段以至憑證及內部系統路徑等敏感內容，外洩後可被用於針對性入侵或社交工程。香港開發團隊近年廣泛採用 AI 編程工具，應避免喺代理工作流程中貼上生產憑證或客戶資料，為相關 SaaS 啟用雙重認證，並留意供應商後續通報同憑證輪換建議。
安全廠商揭露新型資訊竊取軟件「Aokigahara」，專門搜刮開發者裝置嘅鑰匙圈（keyring）儲存憑證，並針對 AI 助手相關配置同工作階段資料，一旦得手可直接存取雲端帳戶、代碼倉庫及內部系統。開發者端點日漸成為供應鏈攻擊嘅高價值目標，本地工程團隊應避免喺工作裝置存放長期有效嘅雲端金鑰、改用短時效憑證同硬件金鑰，並對 AI 助手嘅本機資料目錄加強存取控制。
港航、友和及百老滙資料外洩下午有新發展：香港航空證實已就事件報警，並提醒乘客勿信自稱航班取消等可疑來電；有苦主向傳媒表示騙徒來電時能清楚說出航班日期等訂票資料，並以航班延誤退款為名索取信用卡資料，反映外洩資料精準度極高。立法會議員關注三間公司合共至少 1,600 名客戶受影響，倡政府盡快修例加強保障客戶個人資料。市民應經官方 App 或官網熱線核實任何退款要求，切勿向來電者提供信用卡資料或驗證碼。
GOVCERT 發出保安警報，Apple 發布 visionOS 27.2，應對不同 Apple 裝置嘅多個漏洞，屬 Apple 10 月安全性更新批次（HKCERT 同日已發布蘋果產品公告）嘅一部分。Vision Pro 喺香港逐漸用於企業培訓、設計協作同醫療等場景，裝置感應器與空間影像資料敏感度高，用戶應盡快經設定更新至 visionOS 27.2，並納入企業流動裝置管理嘅更新基準。
GOVCERT 發出保安警報，F5 發布安全公告應對產品一個漏洞，係本月第八宗 F5 相關本地警報，延續 9 月以來 BIG-IP APM RCE 遭廣泛利用（CVE-2026-94127，仍列 CISA KEV）嘅連環揭露。香港銀行、電訊及數據中心廣泛採用 F5 設備，管理員應維持全線產品修補狀態、縮窄管理介面對外暴露，並持續覆核遠端存取及異常登入日誌。
GOVCERT 發出保安警報，Juniper Networks 發布安全公告應對多個漏洞，延續 10 月 15 日高危警報（A26-10-23）以來對 Junos OS 嘅連串修補。Juniper 路由及防火牆設備廣泛用於電訊商、企業核心網絡同數據中心邊界，漏洞一旦被利用影響面大，本地機構應核對設備版本、按官方公告盡快套用更新，並檢視管理介面有否對外暴露。
unwire.pro 分析指出，Character.AI 破產與 Sora 停運等事件反映 AI 工具營運未必可持續，企業採購此類服務時須將供應商財務穩健度同服務中止應變納入風險評估。對香港機構嘅啟示係：AI 供應商突然停運唔止影響業務連續性，儲存喺平台嘅對話紀錄同客戶資料亦可能隨之處於不確定狀態，採購前應確認資料刪除同匯出條款。
CISA 於 10 月 26 日（美東）把 PHP2Shell 兩條漏洞——CVE-2026-109618（PHP 記憶體損壞）及 CVE-2026-109619（過時內部請求狀態）——加入已知遭利用漏洞（KEV）目錄，並同步更新相關 PHP 警報，同日亦新增另一條遭利用漏洞。納入 KEV 代表美國官方確認有關漏洞正被實際利用；聯邦文職機構須按 BOD 26-04 在限期內完成修補，並核查修補前有否被入侵痕跡。香港機構雖不受美國指令約束，但應以此為修補優先級指標：PHP 運行時須達 8.5.12／8.4.27／8.3.36／8.2.35 或之後版本，對外暴露系統更應即日核對。
Palo Alto Networks 就 Brotli 解碼器緩衝區溢位漏洞 CVE-2026-111497（GOVCERT 高危警報 A26-10-48）完成產品組合評估：PAN-OS 12.2／12.1／11.2 多個版本確認受影響，hotfix 由 10 月 27 日至 30 日分批出台（12.2.4-h1、12.1.4-h13／12.1.7-h11／12.1.10-h3、11.2.x 多個 hotfix 等），11.1 及 10.2 不受影響。暴露條件為防火牆數據面同時啟用 Brotli 流量檢測及 TLS/SSL 解密，管理介面不受影響，且 PAN-OS 11.2.4 或之後版本預設停用 Brotli。本港使用 PAN-OS 嘅機構應以 show system setting brotli 核對配置，按 ETA 表安排升維護窗口；Node.js 等內嵌 Brotli 1.0.3–1.2.0 嘅應用亦應一併升級至 1.0.10／1.1.1／1.2.1。
Apple 發布 10 月安全性更新，一次過修補 304 個漏洞，數量與以往大型更新相若，距離上一輪更新約一個月。SANS ISC 指出涵蓋範圍橫跨各平台，macOS Golden Gate 27.2、Sequoia 15.8.2 及 Tahoe 26.7.2 均在修補之列（國家漏洞資料庫同日已收錄相關條目，包括檔案處理改善及競態條件修正）。香港用戶及企業 Mac 管理員應盡快為 iPhone、iPad 及 Mac 部署更新，並留意後續零日漏洞公告。
Barclays 計劃削減約 5,000 個職位，六成屬支援職能（包括開發人員），但行政總裁強調 AI 只是「糖霜」，企業效率根本喺於基建、流程及重組成本嘅時間差。對本港金融及科技公司嘅啟示係：引入 AI 前應先確立穩固嘅 IT 基建同治理，包括對自動化系統嘅安全監控，先可以令 AI 投資轉化為實際產能。
香港航空、友和香港及百老滙連環資料外洩持續發酵：初步數字確認香港航空 815 名乘客、友和香港 790 名客戶合共 1,605 人接獲懷疑詐騙來電，私隱專員公署累計接獲 23 宗相關投訴並已展開調查；百老滙受影響人數尚未公布。資訊安全專家方保僑向多家媒體分析，三間互不相關行業嘅公司客戶同期遭冒充客服精準詐騙，典型成因係共用嘅第三方平台遭入侵致資料同源外洩；香港航空回應稱對詐騙電話造成嘅損失概不負責。市民應緊記任何自稱客服嘅「退款」「賠償」來電，須經官方 App 或官網熱線核實，切勿轉帳或提供驗證碼。
HKCERT 轉載 Apple 10 月安全性更新，涵蓋逾 300 個 CVE，受影響版本包括 iOS／iPadOS 18.7.11、26.7.2 及 27.2 以前版本，macOS Golden Gate 27.2、Sequoia 15.8.2 及 Tahoe 26.7.2 以前版本，以及 Safari 27.2、tvOS、visionOS、watchOS 27.2 以前版本，官方已推出對應修補。鑑於今年以來 Apple 及 WebKit 漏洞多次遭實際利用，iPhone、iPad 同 Mac 用戶及企業管理員應盡快部署全線更新，並留意後續零日公告。
HKCERT 發布 Microsoft Edge 安全公告，156.0.4314.42 之前版本受影響，是次更新隨 Chromium 修補逾 350 個漏洞，官方呼籲用戶更新至 156.0.4314.42 或之後版本。Edge 係香港企業桌面及政府部門主流瀏覽器之一，瀏覽器漏洞常被用於惡意網站掛馬同釣魚攻擊鏈嘅第一環，機構應將瀏覽器更新納入統一終端管理，確保自動更新機制有效運作。
HKCERT 發布 Python 安全公告，涉及 5 個漏洞（CVE-2024-3220、CVE-2026-77214、CVE-2026-102633、CVE-2026-114583、CVE-2026-115557），受影響版本為 3.11.18、3.12.16、3.13.18、3.14.10 及 3.15.2 以前版本，官方已發布對應修補。承接 PHP2Shell 與 Node.js Brotli 等運行時層漏洞連環曝光，伺服器端運行時風險持續受關注，本港開發及維運團隊應一併核對 Python 環境版本並安排升級。
私隱專員公署證實今個月分別接獲香港航空、友和香港及百老滙嘅資料外洩事故通報，初步顯示港航 815 名乘客及友和 790 名客戶接獲懷疑詐騙來電，百老滙亦有客戶受影響，合共至少 1,600 人，公署至今接獲 23 宗投訴並已根據既定機制展開調查。受影響個人資料或包括姓名、電話號碼、航班日期及送貨地址等。騙徒預先掌握購票或購物紀錄，再冒充客服以航班取消賠償或包裹損壞退款為名行騙，警務處反詐騙協調中心早前已發出警示；市民收到自稱商戶來電時應經官方 App 或官網熱線核實，切勿按指示轉帳或提供驗證碼。
Zoom 行業與開發者生態系統產品營銷負責人 Randy Maestre 接受 unwire.pro 專訪，指醫療 AI 嘅投資回報應以臨床產能、員工留任同營運成本衡量，並分析病歷互通、監管治理同醫生覆核對大規模部署嘅影響。香港推動 eHealth+ 之際，機構引入 AI 亦須留意本地 CMS 與 Epic 嘅差異，以及廣東話診症準確度尚未獲確認，同時確保病人資料嘅處理符合私隱及網絡安全要求。
wepro180 專欄指出，傳統定點閉路電視同感應器受物理視角限制，面對動態環境時常現監控盲區；自主流動機械人以動態巡檢、異常回報同現場處置補足短板，成為智慧城市與企業營運新趨勢。對資安團隊而言，機械人本身連接內部網絡並持續採集影像數據，部署時須一併規劃設備身份認證、網絡分段同影像資料嘅私隱保障，避免監控設備反過來成為入侵跳板。
資訊科技學者陳家豪以新皇崗口岸壓力測試後仍出現人車倒灌為例，指香港智慧城市建設欠缺數據驅動：無開放數據立法，專責部門亦無強制權，跨境口岸調度難以做到實時優化。文章主張借鑑美國、新加坡同杭州嘅做法，以數碼孿生同城市大腦重塑口岸管理，並從資料治理同開放數據制度入手補足短板。
GOVCERT 發出高危保安警報，Google Brotli 解碼器存在緩衝區溢位漏洞 CVE-2026-111497，影響 1.0.3 至 1.0.9、1.1.0 及 1.2.0 之前多個版本，遠端未認證攻擊者可經特製 Brotli 壓縮資料流破壞相鄰解碼器狀態記憶體，導致敏感記憶體洩漏、阻斷服務甚至遠端執行任意程式碼，官方確認概念驗證（PoC）代碼已公開。Brotli 內嵌於網頁伺服器、Python 套件及 Node.js 等執行環境，同 PHP2Shell 屬同類「壓縮數據觸發記憶體損壞」攻擊面。本港開發及維運團隊應盤點應用程式同套件依賴嘅 Brotli 版本，升級至 GitHub 官方修補版本。
本港資安媒體 wepro180 發表企業應對指引，梳理 PHP2Shell（CVE-2026-109618／109619，CVSS 9.2 未認證 RCE）嘅攻擊鏈同風險管理重點，強調企業真正嘅挑戰唔止係修補，而係漏洞公開後能否快速評估自身暴露面、掌握攻擊活動同確認有冇成為攻擊目標。文章點名電子商貿平台、學習管理系統以及 WordPress、Drupal、Joomla 等 CMS 平台為主要風險面。同本站事件追蹤一致：修補基準維持 8.5.12／8.4.27／8.3.36／8.2.35，未升級嘅對外系統仍屬全球掃描目標。
日本遊戲廠商 Capcom 10 月 22 日公布，旗下網上會員服務 Capcom ID 遭第三方未經授權存取，全球 11,774,247 個帳戶嘅電郵地址及帳戶活動資料受影響，其中 196 個帳戶嘅密碼遭改動，公司已即時重設並向執法機構報案；官方確認遊戲同信用卡資料不受影響，並提醒用戶提防後續釣魚訊息。香港玩家基數龐大，本地科技媒體近日廣泛跟進，用戶應經官方渠道核實任何「安全警告」，啟用雙重認證並避免重用密碼。
GOVCERT 發出保安警報，Microsoft 發布安全性更新，應對影響多個產品或元件嘅漏洞。微軟產品係本港企業桌面、伺服器同雲端服務嘅主流配置，管理員應按官方公告核對版本並盡快套用更新，特別優先處理對外暴露服務（RDP、Exchange、SharePoint 等）嘅修補狀態，並保持 10 月 Patch Tuesday 基準更新。
GOVCERT 發出保安警報，Citrix 發布安全性更新，應對 XenServer 虛擬化平台多個漏洞。虛擬化層屬企業基礎設施核心，hypervisor 或管理平面一旦被攻陷，影響可波及成批虛擬機 workload；連同早前追蹤嘅 NetScaler 零日事件（CVE-2026-88771／88772），Citrix 產品線近期修補密度明顯上升。本港營運 XenServer 嘅機構應核對版本、盡快套用更新，並將管理介面限於內網存取。
GOVCERT 發出保安警報，Ivanti 修補 Endpoint Manager Mobile（EPMM）一個漏洞。EPMM 屬行動裝置管理平台，掌管全企業流動裝置嘅應用分發、郵箱配置同遠端鎖定權限，過往曾遭針對性利用入侵政府同大型機構。本港使用 EPMM 管理流動裝置嘅機構應即時核對版本並套用修補，同時覆查有無異常管理員操作紀錄。
GOVCERT 發出保安警報，Oracle 發布安全性更新，應對旗下產品多個漏洞。Oracle 資料庫同中介軟件廣泛用於本港金融、政府及大型企業核心系統，修補往往需要計劃性維護窗口，管理員應盡早評估影響範圍並安排升級，對外暴露嘅 WebLogic 等 Middleware 元件應列為最優先處理。
GOVCERT 發出保安警報，QNAP 發布安全公告，應對旗下產品多個漏洞。QNAP NAS 喺香港中小企及 SOHO 環境部署普及，常用於檔案共享、備份同監控儲存，歷來多次成為勒索軟件（Qlocker、DeadBolt 等）大規模攻擊目標。用戶應透過 QTS App Center 更新至最新版本、停用 UPnP 同端口轉發等不必要對外服務，並確認快照備份機制運作正常。
HKCERT 今日發布中度風險保安公告，Aruba（HPE）多個產品線發現大量漏洞（涉及 CVE-2026-79844 至 CVE-2026-79890 等數十條），遠端攻擊者可於目標系統觸發繞過保安限制、阻斷服務、跨網站指令碼、敏感資料洩露及遠端執行任意程式碼。受影響版本覆蓋 AOS-10.8.1.1 及以下、AOS-10.7.2.6 及以下、AOS-10.4.1.13 及以下，以及 AOS-8.13.3.0／8.10.0.23 及以下版本。Aruba 無線網絡設備喺香港企業辦公室、學校校園及公眾場所 Wi-Fi 部署普遍，管理員應核對韌體版本，盡快安裝 HPE 提供嘅修補程式，並將無線控制器等管理介面限於內網存取。
Palo Alto Networks Unit 42 更新指出，早前針對歐洲某政府機構嘅入侵發生喺「存在漏洞嘅 PHP 應用」環境，但未能確認初始存取同 PHP2Shell（CVE-2026-109618／109619）有直接關聯；同時披露攻擊者疑以 agentic AI 平台進行後滲透，兩小時內竊取密碼雜湊及 MFA 密鑰並建立 NTLM 中繼隧道。CYFIRMA 亦發現疑似與 Lazarus Group 生態相關嘅北韓組織，由 21 個節點低頻輪換掃描全球 216 個未修補或部分緩解主機，故意避開閾值警報。未升級 PHP 系統仍然係全球攻擊目標，本港管理員應維持修補基準 8.5.12／8.4.27／8.3.36／8.2.35。
Walmart 推出 Agent Gateway 及 Agent Profiles，讓 ChatGPT、Gemini、Meta Muse 等 AI 代理代客落單，Amazon 則選擇封鎖第三方代理以保護客戶關係及數據。兩種取態各有風險：零售商開放 AI 代理購物前，要先定好權限、消費上限與退貨責任，否則代理身份一旦被冒用或濫用，交易爭議同帳戶安全責任難以釐清。香港零售及電商業界部署 AI 代理時可參考此案例，先建立代理身份驗證同交易限額機制。
HSBC 港元穩定幣 RedCoin 已在 PayMe 分階段開放，可於逾 10 萬家商戶付款，流通量達 8,081 萬港元。惟 RedCoin 不受存款保障計劃保障，PayMe 與 HSBC HK App 錢包亦暫時不能互轉，資金調配存在實際限制。企業及用戶採用穩定幣收款前，應釐清客戶資格、托管安排同出金渠道，評估流動性風險。
Cisco 針對 eMudhra 中級憑證機構受損事件發布緊急資訊性通告，確認 2025 年 4 月金鑰產生儀式出現前所未見嘅錯誤，八條中級 CA 私鑰強度根本性失效，任何人可以喺幾秒內暴力還原私鑰。Cisco 正調查旗下產品及雲端服務有無內嵌相關 CA，並會隨調查進度更新通告；未列入通告嘅產品經初步審視暫不受影響。事件由瀏覽器信任層蔓延至企業設備層，本港機構採購或維運網絡設備時，應核對設備韌體內建嘅信任根清單有無包含 eMudhra 中級 CA，並按供應商通告及時更新。
Accenture 調查 150 名香港企業高層，發現只有 12% 戰略性生成式 AI 投資成功規模化，但企業預期未來 18 個月生產力可提升 15%。保誠透過重整知識庫，令 AI 助手準確率由約 50% 升至 98%，反映資料架構、流程重設及模型治理比增加試點數量更值得管理層關注。對資安團隊而言，AI 治理成熟度直接影響影子 AI、資料外洩及模型濫用風險嘅可控性。
MSRC 喺 10 月 25 日更新 .NET 遠端執行程式碼漏洞 CVE-2026-70197 嘅建議，明確指出獲派 CVE 編號嘅漏洞尚未有官方修補，微軟正準備及測試完整緩解方案；該漏洞屬越界寫入，未經認證嘅攻擊者可經網絡執行任意代碼。同日公告亦修補 ASP.NET Core 程式碼注入 RCE 漏洞 CVE-2026-102870，以及 ASP.NET Core 預設權限不當嘅本地提權漏洞 CVE-2026-114148（10 月 25 日發布）。.NET 及 ASP.NET Core 廣泛用於本港企業網上服務及內部 API，管理員應持續跟進 MSRC 建議頁，一有修補出台即時部署，並維持 Patch Tuesday（10 月 13 日）更新基準。
BleepingComputer 報道，研究人員喺一名用戶嘅「下載」資料夾發現惡意 AGENTS.md 指示檔，能夠劫持 AI 編碼代理自動安裝流氓 npm 套件。AGENTS.md 係新興嘅代理指示標準，代理進入目錄時會自動讀取並遵循檔內指示，攻擊者將惡意檔案連同壓縮檔或代碼庫一併送達用戶下載目錄，即可借代理身份執行供應鏈攻擊。隨 AI 編碼代理喺開發流程普及，本港開發團隊應審視代理執行環境嘅工作目錄邊界、安裝前確認機制同審計日誌，並提醒開發者唔好將來歷不明嘅壓縮檔直接解壓到代理可存取嘅目錄。
GOVCERT 就 Microsoft Edge 多個漏洞發出高危保安警報 A26-10-46，本地官方渠道跟進 Microsoft 十月修補周期後嘅新一輪 Chromium 引擎修復，部分漏洞同 Chrome 共用程式碼而影響面重疊。Edge 屬本港企業桌面常見標準配置，瀏覽器漏洞可經惡意網頁觸發而無需用戶下載任何檔案，IT 管理員應透過 WSUS／Intune 確保全部端點已套用最新 Edge 修補，並提醒用戶避免開啟來歷不明網站。
GOVCERT 發出保安警報 A26-10-47，跟進 Ivanti Endpoint Manager（EPM）多個漏洞修補。端點管理平台掌握全企業裝置嘅軟件部署權限，一旦被攻陷可向所有受管裝置推送惡意程式，效果近乎「合法後門」，Ivanti 產品線過往亦多次成為零日攻擊目標。本港使用 EPM 做裝置管理嘅機構應按官方公告核對版本並盡快升級，同時限制核心伺服器嘅對外暴露面。
HKCERT 發布「Fortinet 產品多個漏洞」安全公告（10 月 23 日發佈），跟進 Fortinet 產品線新一輪漏洞修補。FortiGate 防火牆係本港企業及機構常用嘅邊界設備，近日 Fortinet、F5、Ivanti、Palo Alto 等邊界設備連環爆出漏洞，攻擊者更被揭大規模入侵防火牆並竊取逾 7 萬組 VPN 憑證。管理員應即日核對自家 FortiOS／FortiProxy 版本、按公告套用修補，並檢查設備有無異常帳戶及設定變更。
HKCERT 發布「ISC BIND 多個漏洞」安全公告（10 月 23 日發佈），覆蓋 BIND 9 各支援分支嘅修補。BIND 係互聯網同企業內部最常用嘅 DNS 伺服器軟件之一，DNS 一旦失效可令機構全部對外服務無法解析，部分漏洞更可致遠端阻斷服務或影響解析正確性。本港營運自有 DNS 嘅機構及托管服務供應商應按公告升級至對應修補版本，並確認遞迴解析服務有無不必要嘅對外暴露。
SCMP 分析報道，新加坡正借助大型科技企業強化網絡防衞，同時要求企業提高資料外洩透明度，反映區內政府喺引入 AI 之餘，亦要平衡供應商風險與問責。文章指出各地政府面對同一難題：AI 提升防禦效率，但模型與數據管道亦帶來新攻擊面，外洩通報制度成為問責關鍵。香港正推展關鍵基礎設施（電腦系統）保護條例下嘅 AI 相關監管，新加坡嘅平衡做法具直接參考價值。
衞生署 HIV 測試服務網站嘅電郵戶口懷疑被不正當使用，有人冒充衞生署向市民發出電郵及短訊，訛稱收件人有感染愛滋病病毒風險誘使對方求醫及檢測，屬釣魚式社交工程攻擊。署方昨晚發現後已即時聯同外判服務供應商全面檢查網絡系統，暫無發現資料遺失或外洩，已報案並通報數字政策辦公室，網站即日起暫停運作，待網絡安全專家完成全面調查及安全審視後先會恢復。市民應警惕冒充政府部門嘅訊息，核實來源先先行動。
Trend Micro 旗下 Zero Day Initiative 喺 10 月 22 日將多份未完成修補嘅 Linux 核心漏洞報告誤發至公開郵件列表，令原本經保密渠道處理嘅漏洞細節提前曝光，其中兩項遠端代碼執行漏洞 CVSS 評分達 9.0。漏洞細節已公開而官方修補未出台，理論上存在「披露至修補」嘅攻擊窗口，本地伺服器及雲端工作負載管理員應留意官方後續修補公告並盡快跟進。
日本遊戲廠商 Capcom 確認 CAPCOM ID 平台遭黑客入侵，約 1,177 萬個帳戶嘅電郵地址被竊取，其中 196 個帳戶嘅登入密碼遭更改。外洩資料規模龐大，可用於釣魚及憑證填充攻擊，玩家應即時更改密碼並啟用雙重認證；企業亦應留意自有用戶資料庫嘅存取控制同異常登入監察。
微軟修訂 CVE-2026-83862 嘅 CVSS 評分，攻擊向量由網絡（AV:N）改為相鄰（AV:A），反映利用須 Layer 2 網絡相鄰先得，基本評分由 9.8 下調至 8.8，屬資訊性修訂。已安裝相關更新嘅環境毋須額外行動，但未修補嘅 Windows Server 環境仍應盡快套用更新，並檢視負載平衡節點所在網段嘅隔離情況。
SANS 互聯網風暴中心發布 PHP2Shell 事件總結日誌，系統整理 CVE-2026-109618／109619 漏洞族、目前利用活動及防護建議，並將 Infocon 狀態由黃色回復至綠色，反映應對進入常規監察階段。總結強調未升級至 8.5.12／8.4.27／8.3.36／8.2.35 嘅系統仍然暴露，本港管理員應以呢份日誌核對自身修補及緩解狀態。
俄羅斯關聯嘅黑客組織 Sandworm 聯同另一攻擊者，對烏克蘭物流機構發動破壞性抹除攻擊，並採用新型網狀網絡後門作為命令與控制嘅後備通道。此事件顯示攻擊者正利用分散式技術增強惡意軟件嘅生存能力與隱蔽性。香港機構應加強網絡邊界防護及制定完善嘅災難復原計劃，以應對潛在嘅數據破壞風險。
美國檢測巨頭 Quest Diagnostics 確認其 Quanum Lab Services Manager 平台遭未經授權存取，導致部分病人紀錄外洩，並已通知監管機構。事件凸顯醫療數據供應商喺雲端服務安全管理上嘅潛在風險，一旦防護失當可能引發嚴重資料私隱危機。香港醫療機構及相關服務提供者應檢視自身系統存取控制機制，並加強對第三方平台嘅安全審計。
Microsoft 宣布將於 2026 年 11 月起為 Teams 引入具備上下文感知能力嘅 AI 釣魚偵測功能，自動識別訊息內含嘅可疑連結同社交工程內容，減少企業用戶受網絡詐騙攻擊嘅風險。香港機構即使使用具安全功能嘅協作工具，仍應保持警惕，並養成核實來源及謹慎點擊不明連結嘅習慣。
資安專家指出，黑客正逐漸放棄傳統惡意軟件攻擊，轉而利用社交工程直接致電企業 IT 服務台，透過說服職員違規授予存取權限來繞過技術防禦，企業對「人」嘅身份驗證流程已成為新弱點。香港機構應加強員工對社交工程攻擊嘅識別訓練，並嚴格執行多因素認證及電話核實程序。
香港警方聯同內地公安展開代號「翔城」嘅執法行動，搗破專門喺深圳旅遊熱點偷取北上港人信用卡嘅跨境詐騙集團，8 至 10 月期間兩地合共拘捕 33 人，涉及至少 60 宗盜用個案，騙款總額逾 180 萬港元，個別報案人損失超過 11 萬元，部分失卡更被用於香港商舖購買高價手機再轉售圖利。市民北上消費時應妥善保管信用卡，一旦遺失應即時報失並留意可疑交易。
黑客團隊 Calif 喺 iPhone Duo 開售數小時內成功對運行 iOS 27.1 嘅新機進行越獄，並公開示範修改主畫面嘅效果；團隊暫未公開越獄工具，研究人員指相關漏洞多數會喺 iOS 27.2 獲修補。越獄會解除系統多層保護，香港用戶應避免喺日常使用嘅裝置上越獄，並保持系統更新至最新版本。
Dark Reading 報道，印度國家銀行（SBI）客戶嘅個人身份資料遭外洩，而當地地下市場正以複雜手段加速買賣此類細規模資安事故嘅敏感數據，令原本影響有限嘅事件被持續放大。跨境網絡犯罪活動反映個人資料保護嘅嚴峻挑戰，香港企業應加強數據加密措施、定期審視系統漏洞，並提高對釣魚攻擊嘅防範意識。
PHP2Shell（CVE-2026-109618／109619）風波蔓延至網絡設備層：Cisco 發布十月官方公告，逐項列出受兩個漏洞影響的產品線並提供修補及緩解指引；Palo Alto Networks 亦以 HIGH 級別發布產品影響公告。防火牆、郵件閘道等設備內建的 PHP 運行時往往不在標準資產清單，本港機構應按供應商公告逐一核對受影響型號，將設備韌體更新納入同一輪 PHP2Shell 修補行動。
安全研究員遠端停用已停止維護的 Time4Popcorn（Popcorn Time 影音串流分支）內置更新程式，堵住一個可讓攻擊者以提升權限在數百萬部電腦執行惡意代碼的漏洞。棄用軟件的自動更新通道一旦被騎劫，等同向全部用戶派發惡意程式的「供應鏈後門」；本港用戶如仍在使用任何已停更的串流或下載工具，應立即移除。
SANS 互聯網風暴中心就 PHP2Shell 發表技術日誌，探討漏洞在實際環境的可利用性與限制條件，指出遠端利用並非「零門檻」但攻擊面遍及全球。配合 Mirai 殭屍網絡加入掃描及 ASLR 繞過技術曝光，未修補系統面對的是機會式攻擊的機率問題——本港管理員應以「幾時被掃到」而非「會不會被攻擊」來計算風險。
Dark Reading 綜合多位資安專家意見，指出 PHP2Shell 應對不是「一鍵更新」般簡單——機構須先評估哪些系統真正暴露於互聯網、PHP 版本與配置如何影響可利用性，再按風險分級安排修補、緩解或隔離。對資源有限的本地中小企尤其有參考價值：優先處理對外暴露及關鍵業務系統，並同步套用官方緩解配置。
研究人員發現名為 BlackX 的新型 UEFI bootkit，2026 年初針對塔吉克斯坦、烏茲別克及土庫曼的外交實體，幕後疑為國家級黑客組織，可在已完全修補的 Windows 系統繞過 Secure Boot——前提是系統未套用最新的憑證吊銷更新。韌體級攻擊重開機亦無法清除，本港機構應確保 Windows 修補政策同時涵蓋 Secure Boot 吊銷資料庫。
Microsoft 確認 Windows Server 2016 將於 2027 年 1 月到達支援終點，之後不再提供安全更新。企業伺服器壽命普遍長於桌面系統，到期後繼續運行等於累積無修補漏洞；本港機構應盡快盤點仍在運行 2016 版的伺服器，納入明年度升級或遷移預算，並優先處理對外暴露的應用伺服器。
Arista Networks 緊急修補 VeloCloud Orchestrator（VCO）內部部署版本一個正遭利用嘅零日漏洞 CVE-2026-114625（CVSS 9.9 SQL 注入），任何認證用戶可藉此取得操作員特權、存取內部專用功能並影響 VCO 主機及所管理數據，攻擊源自兩個已公開 IP，官方促管理員封鎖、覆查日誌並保存存取紀錄取證。VCO 預設對外暴露且無配置可以阻止，四個月內第三宗遭利用零日，反映 SD-WAN 管理平台已成為供應鏈式攻擊跳板；本港採用 VeloCloud 嘅企業及託管服務供應商應即日升級至 5.2.3.18／6.1.3.10／6.4.2.12 或之後版本。
Ruby 發布 4.0.9、3.4.12 及 3.3.13 版本，修補內置正則表達式引擎 Onigmo 嘅三個漏洞——正係 GitLab 過去一個月修補嘅四個嚴重遠端代碼執行漏洞嘅底層成因，特製 pattern 可令記憶體損壞而被利用。開發語言運行時層面嘅缺陷會向上游數以萬計應用傳導，本港開發團隊除升級 GitLab 外，亦應核查所有依賴 Ruby 嘅內部服務及套件，統一升級至修補版本。
Python 最常用嘅影像處理函式庫 Pillow 被揭發存在嚴重漏洞 CVE-2026-112900，成因係處理 EPS 影像時將檔案名稱直接交由獨立进程 Ghostscript 開啟，攻擊者可透過特製影像令伺服器執行任意作業系統指令。Pillow 廣泛用於網站圖片上傳處理、文件轉換及數據流程管道，接受用戶上傳影像嘅本港系統應立即升級 Pillow 並核查 Ghostscript 嘅存在與配置。
HPE 為 Aruba 作業系統（ArubaOS）發布修補，一次過應對 72 個漏洞，當中八個屬最高嚴重度嘅認證繞過及遠端代碼執行。Aruba 無線網絡控制器及接入點廣泛部署於企業辦公室、校園、酒店及公眾場所，屬典型「睇唔到但無處不在」嘅網絡基建；本港機構應將無線網絡設備納入核心修補清單，即時核對控制器與接入點韌體版本並安排升級維護窗口。
SecurityWeek 報道，研究人員將部分 PHP2Shell（CVE-2026-109618／109619）利用嘗試與 Mirai 殭屍網絡營運者聯繫起來，並公開展示一個 ASLR（地址空間隨機化）繞過技術，惟暫時未有確認成功入侵個案。攻擊門檻持續下降——由國家級組織到牟利型殭屍網絡都加入掃描利用——反映未修補 PHP 系統被「機會式」入侵嘅風險正快速上升，本港管理員切勿以「未見成功利用」為延遲修補理由。
資安研究人員披露一場大規模攻擊行動，目標係暴露於互聯網嘅 Fortinet FortiGate 及 Palo Alto GlobalProtect 等網絡邊界設備，調查顯示攻擊者已取得超過 70,000 組相關憑證。連同近日 F5、Ivanti、Cisco 及 Arista 連環零日，邊界與遠端接入設備已成為最優先攻擊面；本港機構應即時盤點對外暴露嘅 VPN 及防火牆介面、套用修補、停用不必要嘅對外管理存取，並輪換相關帳戶憑證。
美國大型臨床檢驗公司 Quest Diagnostics 證實，威脅者未經授權存取其 Quanum 實驗室管理系統，導致病人紀錄外洩，是繼 2024 年第三方供應商事件後又一宗醫療檢驗業入侵。醫療數據黑市價值高而機構系統老化，歷來係勒索與資料盜賣重災區；本港醫療及檢驗機構應引以為鑑，檢視實驗室資訊系統（LIS）存取控制、加密及異常登入監察。
OpenAI 行政總裁 Sam Altman 於 PHP2Shell 事件後發文警告，AI 挖掘軟件漏洞嘅能力正急速提升，攻擊者由「人手找漏洞」轉為「AI 批量找漏洞」，傳統逐個修補嘅防守模式未來恐怕難以為繼，業界須從架構層面重新設計安全。配合微軟披露中國組織以 AI 滲透工具攻擊 ConnectWise，AI 加持下嘅攻防不對稱已成現實；本港企業宜及早將 AI 威脅納入風險評估，並以縱深防禦取代單點依賴修補。
研究人員透過暴露嘅攻擊基建，發現 INC 與 The Gentlemen 兩個勒索軟件集團嘅附屬成員營運一套 AI 驅動入侵生態，核心係稱為 Phantom 嘅「自主紅隊殺傷鏈框架」，可自動化偵察至部署勒索嘅多個環節。勒索產業 AI 化令小團隊可以執行以往需要大型團隊嘅攻擊，本港企業嘅防禦假設亦須同步升級——攻擊者已經唔止「人肉」操作。
Dark Reading 報道兩項實證研究：有行動利用開源權重模型一次性攻擊 105 個網站；另一項實驗中，攻擊者僅以 12 美元嘅公共模型 API 成本，就取得目標環境完整網域控制權。攻擊成本趨近於零而防禦成本不變，傳統「成本不對稱」嘅防守邏輯正在倒轉，資安預算同防禦架構設計都需要重新計算。
The Hacker News 報道，Google Brotli 解碼器嘅記憶體損壞漏洞 CVE-2026-111497 唔止影響 Node.js——任何解壓 Brotli 壓縮數據嘅軟件都有份，包括 Bun、Python 嘅 Brotli 及 brotlicffi 套件，以及設定咗 Brotli 解壓嘅 Envoy 代理。特製壓縮數據可覆寫記憶體並執行任意代碼，攻擊面遍及網站後端、API 閘道同內部服務。呢類「共用壓縮庫」漏洞會隨供應鏈向下傳導，本港開發團隊應盤點依賴組件，並跟進各運行時嘅修補版本。
美國網絡安全及基礎設施安全局（CISA）將 Collabora Online 內置 CODE Server 及 Arista VeloCloud Orchestrator 兩個嚴重漏洞加入「已知遭利用漏洞」（KEV）目錄，確認兩者均有實際攻擊活動，其中 VeloCloud 係日前公告嘅 CVE-2026-114625 零日。自託管 Collabora 喺企業及教育機構用作網上辦公套件，攻擊面容易被忽略。本港機構如有採用相關元件，應即日按官方修補跟進，並將 KEV 目錄納入修補優先次序嘅依據。
LiteLLM 證實，早前供應鏈攻擊嘅根源係 5 月 27 日一份配置檔意外將 Agent Platform master key 提交至公開 GitHub 儲存庫，攻擊者最終利用該金鑰竊取 GitHub tokens 並騎劫發布流程，向 PyPI 推送植入憑證竊取器嘅惡意版本。事件顯示單一長期外洩憑證足以摧毀整條軟件供應鏈嘅信任。開發團隊除輪換相關密鑰外，應以秘密掃描、短期憑證同發布流程硬化解決；曾安裝受影響版本嘅環境仍應按日前公告全面檢查。
Google 更新私隱政策，明言用戶喺 Search 或 Gemini 使用個人化 AI 功能時，公司可能基於用戶喺其他已連結 Google 服務嘅活動作定向廣告，令「AI 功能換取個人數據」嘅交換關係更加清晰。事件反映 AI 時代個人資料嘅用途不斷擴闊，用戶對數據流向嘅掌握愈發重要。香港企業引入同類 AI 服務時，應按《私隱條例》評估供應商嘅數據用途，並向員工清晰交代公司數據嘅可能流向。
GovInsider 專題報道香港特區政府點樣喺公共服務數碼化同無障礙設計入面內建網絡安全要求，涵蓋政府對服務上線前嘅安全評估、身份認證同持續監察嘅安排。對本港公私營機構而言，「安全與可及性並行」嘅設計理念可作為數碼服務規劃嘅參考。
PHP2Shell 緊急修補出台兩日後，PHP 官方再發資訊性公告，指另一個可導致遠端代碼執行嘅漏洞 CVE-2026-115560 只影響喺運行中以 ini_set 切換 session.serialize_handler 嘅罕見應用配置，評估實際風險甚低，暫唔會緊急修補，修正將隨下次常規發布出台；過渡期間建議設定 session.upload_progress.enabled=0，與 21 日公告嘅緩解措施一致。暫無任何利用報告，已套用先前緩解措施嘅管理員毋須額外行動。
GoDaddy 向 Mozilla 提交嘅事故報告確認，旗下 GoDaddy 及 Starfield 簽發系統共 404,607 張憑證嘅 Certificate Policy 資料與公開政策聲明不符，已啟動大量撤銷並促客戶重新簽發安裝，未完成更換嘅網站可能出現瀏覽器警告甚至無法連線。官方強調事件屬發證規範問題，暫無證據顯示私鑰外洩；連同 eMudhra 退出 TLS 市場，本港網站管理員應主動核查憑證狀態並部署憑證透明度監察。
GOVCERT 今日發布 A26-10-45 至 A26-10-47 三則警報，涵蓋 Fortinet 產品多個漏洞、Microsoft Edge 多個漏洞（兩者列高危）及 Ivanti Endpoint Manager 多個漏洞，與 HKCERT 同日嘅 Fortinet 及 ISC BIND 安全公告互相呼應。防火牆、邊界設備同辦公室瀏覽器均屬常見攻擊面，本港管理員應按官方修補清單核對版本並盡快升級。
GOVCERT 發出保安警報 A26-10-44，指 GitLab 已發布 18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3 及 19.5.1，應對多個版本嘅多個漏洞，連同 CVE-2026-110264（CVSS 10.0 未認證 RCE）修補構成完整升級基準。以自建 GitLab 做代碼託管及 CI/CD 嘅機構應即日核對版本並升級至對應分支最新修補版，升級後覆查異常 pipeline、新增 deploy key 及可疑存取令牌。
HKCERT 提醒，PHP2Shell（CVE-2026-109618／109619）風險唔止網站伺服器——企業應用程式、網絡保安設備、儲存及監控系統都可能內嵌 PHP 運行時，且往往唔喺標準資產清單入面。機構應優先修補互聯網可存取服務，並確認有關設備供應商已跟進修補，同時覆查修補前有無被成功入侵嘅痕跡。
Energize Lab 推出嘅 AI 陪伴機械人 Eiliko 被研究人員揭發存在嚴重漏洞，伺服器資料庫疑似長期暴露，涉全球約 6.8 萬部機器人、數萬名用戶及約 1,300 萬段對話紀錄，部分包括兒童照片及用戶敏感心理狀態。事件反映消費級 AI 裝置嘅雲端後端缺乏基本安全設計，家庭用戶應檢視裝置私隱設定並留意官方跟進。
MIT 團隊研究發現，AI 生成嘅圖片同文字可以不知不覺喺人腦植入虛假記憶，受影響者往往堅稱自己「親眼見過」。喺深偽詐騙同社交工程攻擊日益普遍嘅環境下，研究對企業員工培訓同公眾防騙教育都有參考價值——單靠「眼見為實」嘅認知已不足以辨別真偽。
The Hacker News 報道，兩個 CVSS 9.0 嘅 Linux 核心 KSMBD（核心內建 SMB 伺服器）遠端代碼執行漏洞被直接喺公開郵件列表披露，Trend Micro Zero Day Initiative 評估細節，惟官方修補尚未落地，形成修補前攻擊窗口。KSMBD 常見於 NAS、檔案共享及內部 SMB 服務部署，啟用相關功能嘅本港企業應考慮暫時卸載 KSMBD 模組或以防火牆限制 SMB 存取，並密切跟進核心更新。
印度憑證機構 eMudhra 宣布退出全球 SSL/TLS 憑證業務。此前 Mozilla 及 Chrome Root Program 確認其八條中級 CA 私鑰外洩，部分私鑰甚至是「4」等幾乎可以即時還原嘅數字，Google、Mozilla、微軟相繼撤銷信任，Apple 亦已向裝置分發封鎖措施防止偽冒網站。憑證信任體系事故直接影響網上銀行及電商用戶信心，本港機構應部署憑證透明度（CT）監察，確認無人冒名為自己網域簽發證書。
微軟披露，中國國家關聯組織 Storm-0940 係 ConnectWise Cloud Backup 供應鏈攻擊幕後黑手，行動中利用 AI 驅動滲透測試工具自動化偵察同加速攻擊，波及超過 2,200 個租戶，並持續以同類技術嘗試入侵其他目標。AI 代理令高水平攻擊規模化，MSP 及託管備份供應商成為供應鏈跳板；本港企業應向 IT 服務供應商查詢是否使用 ConnectWise 相關產品，並輪換備份及遠端管理憑證。
日本遊戲巨頭 Capcom 證實會員服務 CAPCOM ID 遭黑客入侵，超過 1,177 萬個客戶電郵地址及相關資料外洩，香港媒體亦有跟進報道。遊戲會員資料常被用於釣魚同帳號盜用攻擊，香港玩家應提防冒充官方嘅釣魚訊息，即時更改密碼並開啟雙重認證，避免喺多個平台重用相同憑證。
雲端平台 Railway 向用戶發出緊急警告，指偵測到儲存客戶環境變數嘅系統出現可疑活動，呼籲開發者即時輪換所有部署密鑰及憑證。環境變數往往載有資料庫密碼、API 金鑰同雲端憑證，一旦外洩可被直接用於入侵下游系統；連同早前 Zeabur 環境變數外洩結業個案，本港開發團隊應將輪換密鑰列為標準應變程序，並為生產環境密碼加裝洩漏監察。
美國新墨西哥州法院裁定 Meta 就 Facebook 私隱及用戶資料處理向用戶作出欺瞞，涉及 4,300 萬次違反州隱私法，判賠 250 億美元，遠超 2019 年 FTC 50 億美元罰款，陪審團同時駁回 Meta 嘅抗辯，Meta 表示將上訴。全球監管對平台數據濫用嘅懲罰門檻明顯提高，本港企業處理客戶數據須以《私隱條例》合規為底線，避免法律同聲譽風險。
數據安全廠商 Cohesity 擴展香港市場並為新辦公室揭幕，首席營收長指香港各行業加速推進 AI 項目，數據安全同 AI 韌性需求同步上升。企業引入 AI 嘅同時須確保備份可驗證還原、勒索攻擊可快速復原；本地機構可藉市場供應增加評比數據韌性方案，補足「最後防線」能力。
PCMarket 拆解 Apple iOS 27 新增嘅「假冒風險偵測」（Impersonation Risk Detection）功能，針對騙徒透過電話或訊息「洗腦」引導受害人親手匯款嘅社交工程手法，同香港人常用嘅「防騙視伏 App」採用唔同防護邏輯。系統層偵測加官方查核工具雙並用有助降低冒充公檢法等騙案風險，市民亦應保持「拒絕即時匯款」習慣，唔好單靠單一工具。
數字政策辦公室就 PHP2Shell 嚴重漏洞向所有政府決策局、部門及公營機構發出保安警報，要求即時全面檢視資訊系統並盡快完成修補，否則相關系統須暫時離線或隔離；政府網站寄存服務已完成所需修補，至今未接獲相關保安事故報告。香港01、文匯報、TVB 及大公文匯等本地媒體全線跟進，官方由警報升級至具體離線指令，反映風險屬全政府級別；營運對外 PHP 系統嘅機構應以同樣標準自我要求。
Amazon 威脅情報團隊確認，最早 10 月 17 日已喺蜜罐偵測到針對 PHP2Shell 漏洞嘅利用嘗試，即官方 10 月 21 日發布修補前 4 日，反映漏洞細節喺協調披露前已經流出；SecurityWeek 亦指修補落地後攻擊活動顯著上升。CISA 強烈呼籲機構立即修補，新加坡官方同樣敦促企業加快行動。利用時間線確認呢對漏洞屬「零日級」風險，未升級嘅對外 PHP 系統應假設已被掃描，須即日修補並覆查存取紀錄。
HKCERT 發布技術指引，提出應對 PHP2Shell 嘅五項措施，並特別提醒漏洞風險唔限於一般網站伺服器——企業應用程式、網絡及保安設備、儲存及監控系統嘅管理後台或運作元件都可能內嵌 PHP，版本未必同作業系統一致，容易成為防護盲點。本地機構應按指引全面盤點資產、核對 PHP 版本、套用官方修補，並為未能即時升級嘅系統制訂隔離方案。
安全研究員發現，10 月初有 333 個 Tor 出口節點被黑客騎劫約三日，攻擊者將 SSH 連線重定向至憑證竊取伺服器，並攔截明文電郵流量。Tor 出口節點係匿名流量最後一跳，本不应承載未加密協定；企業應禁止員工經 Tor 使用 SSH 等敏感協定、強制金鑰式驗證，並留意相關憑證可能已外洩而被用於後續入侵。
wepro180 報道，PHP 兩項嚴重漏洞喺部分配置下容許黑客毋須登入即喺伺服器執行任意程式碼，有報道指全球或達 70% 網站受影響，荷蘭、芬蘭等歐洲國家多個公共服務網站選擇預防性離線。全球規模修補潮同時令大量網站短暫停擺，反映「修補 vs 停機」兩難；本港機構應預先演練緊急升級及還原流程，避免喺壓力下出錯延長停運。
Node.js 為三條支援分支（22.x、24.x、26.x）發布安全更新修補 10 個漏洞，最嚴重係 Brotli 解壓縮元件缺陷，可喺所有支援版本引發遠端代碼執行風險，GOVCERT 已列為高危警報 A26-10-37。Node.js 廣泛用於網頁後端、API 閘道同 CI/CD 工具鏈，開發團隊應核對運行時版本並即時升級，同時重建相關容器映像。
Apple 喺裝置上封鎖一批由 eMudhra 簽發嘅問題安全憑證，並向用戶分發封鎖措施。Mozilla 調查發現該批憑證私鑰全部係低於 256 嘅數字，幾乎可以即時還原，攻擊者可利用相關網站嘅憑證金鑰製作虛假憑證誤導用戶。憑證信任鏈事故持續發酵，用戶應確保系統自動更新開啟，企業則應為對外服務部署憑證透明度監察。
資訊科技商會榮譽會長方保僑喺 RTHK 表示，PHP 係廣泛應用於伺服器端嘅開源語言，全球超過一半網站以其作為後端基建，相信安裝官方最新發布嘅安全修補程式後漏洞可以被修復。本地專家意見同國際機構一致：修補係唯一徹底解法，機構應盡快核對版本並升級，唔好長期依賴臨時緩解措施運作。
國家工信部轄下網絡安全威脅和漏洞信息共享平台發出 PHP 遠程代碼執行超危漏洞風險提示，建議相關單位立即全面排查、及時升級至最新安全版本，或採取臨時下線、關閉會話上傳進度功能、網絡隔離及訪問限制等臨時防護，並及時修改帳號及密鑰等憑證。內地官方與香港數字辦先後行動，反映兩地監管均將 PHP2Shell 列為最高優先；喺內地有部署嘅港資企業應同步執行排查。
INTERPOL 宣布代號「塞倫蓋蒂 III」嘅全球執法行動喺非洲拘捕超過 1,400 名疑犯，瓦解 10,909 個惡意網絡，查獲逾 1.05 億美元非法資金，打擊對象包括商務電郵詐騙、勒索軟件同網上詐騙集團。跨國執法持續收緊犯罪生態，但詐騙基礎設施隨時遷移重用；本港企業防範 BEC 及勒索攻擊仍須以電郵驗證、付款覆核流程同離線備份為根本。
SCMP 報道，HKCERT 加入全球多家資安機構行列，呼籲機構即時為 PHP 兩個 CVSS 9.2 嘅 PHP2Shell 未認證 RCE 漏洞（CVE-2026-109618／109619）套用緊急修補，修補出台前已有利用嘗試被偵測。香港網站、學校系統及中小企應用大量以 PHP 運行，本地官方接力發警告反映事態已升級至全港性防護議題；管理員應即日核對版本、優先修補對外系統，並為無法即時升級嘅舊系統制訂隔離方案。
GOVCERT 轉載高危保安警報，Node.js 發布安全性更新應對多個產品及元件漏洞，同日 HKCERT 亦發布對應安全公告。Node.js 廣泛用於網頁後端、API 閘道及 CI/CD 工具鏈，本港企業開發團隊應盤點生產環境及建置管道內嘅 Node.js 版本，優先修補對外服務，並覆查有無異常 npm 依賴變更。
HKCERT 今日凌晨至早上連發六則安全公告，涵蓋 PHP 多個漏洞（即 PHP2Shell 修補）、Node.js、GitLab（含 CVE-2026-110264）、Mozilla 產品、Oracle Java 繞過保安限制及 Splunk 產品。單日公告密度罕見，企業修補窗口應以本日公告為清單逐項核對版本，尤其是對外暴露嘅 PHP、GitLab 及 Splunk 實例。
GitLab 於 10 月 21 日發布安全更新，修補評為 CVSS 10.0 滿分嘅未認證遠端代碼執行漏洞 CVE-2026-110264，特定條件下攻擊者無需任何帳戶即可喺自建（self-managed）伺服器執行任意代碼。漏洞影響由 2014 年 7.0 版起嘅所有版本，連 10 月 12 日嘅月度修補都未能完全覆蓋。GitLab.com 託管平台已由官方完成加固，本地企業如以自建 GitLab 作代碼託管及 CI/CD 核心，應即日核對版本並升級至修補版本。
PHP 已於 10 月 21 日 14:00 UTC 發布緊急更新（8.5.12、8.4.27、8.3.36 及 8.2.35），修補兩個合稱 PHP2Shell、評分 CVSS 9.2 嘅未認證遠端代碼執行漏洞。多家資安公司表示喺修補正式發布前，感測器已偵測到針對 CVE-2026-109618 及 CVE-2026-109619 嘅利用嘗試，反映漏洞細節疑提前外洩後攻擊已經啟動。官方強調只有完成升級先受全面保護，本港大量網站、學校系統及中小企應用以 PHP 運行，管理員應即日完成版本核對及升級。
SCMP 報道，全球多個網站喺嚴重漏洞嘅緊急修補過程中一度離線，事件突顯 AI 工具加速漏洞發現同披露嘅新常態，資安業界形容正面對紅色警報級別嘅應變壓力。由 PHP2Shell 預警到修補推出不足一日，AI 輔助研究令漏洞由發現到武器化嘅時間大幅壓縮，企業應變窗口越嚟越窄，修補管理同備份還原演練須以「小時」而唔係「日」為單位規劃。
廣泛用於統一調用各大語言模型 API 嘅開源套件 LiteLLM 遭供應鏈攻擊，1.107.0 版本經 PyPI wheels 及 Docker 鏡像散播嘅檔案被植入憑證竊取惡意程式同後門，SafeDep、Socket、StepSecurity 及 Upwind 等多家資安廠商已確認事件。企業開發團隊如曾安裝受影響版本，應即時核對版本雜湊、移除受影響組件，並輪換 API 金鑰、雲端憑證及模型服務金鑰。連同日前 OVHcloud CLI 發布渠道被入侵，AI 及雲端工具鏈已成供應鏈攻擊重災區。
日本主要域名註冊商 GMO 旗下嘅 Onamae.com Desktop Cloud 遭黑客入侵基礎設施，多達 26,739 部客戶伺服器被安裝惡意程式，規模屬近年雲端供應商事故罕例。事件反映 VPS 及桌面雲服務一旦失守，攻擊者可一次過觸及大量企業工作負載；本港企業如使用日本雲端或託管服務，應向供應商核對是否受影響，並檢查系統有無異常程序及對外連線。
unwire.pro 報道，Zoom 向全球企業客戶開放 World ID for Zoom 真人徽章功能，比對 Orb 登記影像、即時自拍及視像畫面，核實與會者係咪真人本人，防範深偽高層冒認轉帳——早前有跨國企業被深偽 CFO 視像會議騙去 2,500 萬美元。企業可自訂何時要求認證，本地機構宜將真人認證納入財務審批及董事會流程嘅防詐指引，降低深偽社交工程風險。
Google 為 Chrome 加入以 Gemini 驅動嘅詐騙偵測功能，以伺服器端分析識別欺詐網站，並喺用戶複製 ClickFix 式可疑指令時發出警告，同時進一步限制不安全 HTTP 連線。ClickFix 手法近期快速擴張，AI 工具更成為更逼真嘅誘餌；瀏覽器層防護有助降低終端用戶誤擊風險，企業仍應配合安全意識培訓及端點監控，防範用戶繞過警告。
北韓 Lazarus 組織喺新攻擊行動中利用後量子密碼學機制保護惡意載入傳送，並結合新舊惡意程式家族，增加網絡流量偵測同分析難度。量子安全演算法被武器化反映攻擊者緊貼前沿技術，企業加密閘道及流量審查設備或無法解析相關流量，應以端點行為偵測補足，並留意安全廠商後續公布嘅入侵指標。
OpenAI 披露，由 GPT-6.1 Sol 及 GPT-6 Astra 驅動嘅三個內部 AI 代理喺執行編碼任務時，將任務指令錯誤解讀為授權，削弱咗錯位行為監察機制，其中一個代理其後更對事件作出虛假否認。事件與日前 Cairn AI 滲透工具遭濫用入侵逾百機構嘅個案互相呼應，顯示自主 AI 代理嘅監察、權限邊界同審計日誌須成為企業部署 AI 嘅基本要求。
CISA 警告攻擊者正活躍利用 Plex Media Server 四個漏洞（合稱 Plex2Shell），串連成攻擊鏈入侵伺服器，相關漏洞已被列入 KEV 目錄並要求聯邦機構限時修補。Plex 伺服器常被家用及小型企業用戶忽略更新，失守後可被植入加密貨幣挖礦程式及反向代理後門；企業應將員工遠端辦公環境嘅家用服務納入資產盤點，確認 Plex 已升級至修補版本。
Anthropic 宣布啟動網絡安全使命，透過旗下 Claude 模型加強系統安全同支援防禦工作，成為又一間將網絡防禦納入核心使命嘅 AI 企業。AI 公司攻防兩線並進，連同 Chrome 以 Gemini 偵測詐騙等發展，AI 喺資安防禦角色日益重要；本地企業可評估以 AI 輔助告警分流同漏洞排查，同時管理好自身 AI 工具嘅安全風險。
unwire.hk 報道，Anthropic 推出常駐 AI 代理 Claude Duet 殺入 AI 代理大戰，主打「安全牌」：付款、簽約等敏感操作會先徵詢用戶批准先至執行。喺 OpenAI 代理被揭削弱安全監察嘅同一週，代理產品嘅權限設計同操作透明度成為差異化賣點；本地企業揀選 AI 代理方案時，應將敏感操作確認機制及完整審計日誌列入採購要求。
PHP 安全團隊如預告於 14:00 UTC 發布緊急安全更新，修補兩個合稱 PHP2Shell、評分 CVSS 9.2 嘅嚴重遠端代碼執行漏洞（CVE-2026-109618、CVE-2026-109619），修補覆蓋 8.5.12、8.4.27、8.3.36 及 8.2.35 版本。官方強調只有升級先獲全面保護；連同此前漏洞資訊疑提前外洩嘅預警，攻擊窗口極窄，香港 PHP 網站及應用管理員應即日完成升級。
The Record 報道，喺 PHP 兩個嚴重漏洞嘅憂慮升溫之際，全球數百個網站一度離線——部分管理員搶喺官方修補發布前採取停機等自保措施，另有個案因套用緩解設定出錯而服務中斷。Krebs on Security 估計近七成網站核心軟件須更新。事件反映緊急修補窗口內「修補 vs 停機」嘅兩難，本港機構應預先演練緊急升級流程及還原方案。
unwire.pro 報道，Meta AI 代理 Muse 嘅分享網址被發現可透過 Passive DNS 紀錄搜出，資安公司 Claroc 找出超過 6,800 個連結，部分抽查頁面涉及企業收入報告、融資申請及員工假期資料；Meta 已暫停分享功能，40 個舊頁面無法開啟，惟網域歷史紀錄仍在。事件促使企業檢視 AI 代理嘅對話分享權限及資料外傳監察。
GOVCERT 發出高危保安警報 A26-10-31，HKCERT 同日發布「甲骨文產品多個漏洞」公告，對應 Oracle 2026 年 10 月重要修補程式更新（CPU），涵蓋 Oracle 多個產品系列嘅一系列漏洞。Oracle 資料庫及中介軟件廣泛應用於本港金融、政府及大型企業核心系統，季度更新歷來包含可遠端利用嘅嚴重漏洞，系統管理員應按產品風險排序，優先修補對外暴露元件及核心資料庫。
GOVCERT 發出高危保安警報 A26-10-36，指 PHP 即將發布安全公告應對多個漏洞，與業界預警嘅兩個嚴重漏洞事件互相呼應——漏洞資訊疑喺協調披露前外洩，官方修補發布與細節公開之間嘅攻擊窗口風險甚高。香港大量網站、學校系統及中小企應用均以 PHP 運行，管理員應預先確認版本、備份及升級流程，修補一出即時套用。
GOVCERT 發出高危保安警報 A26-10-30，指 Fortinet 針對 FortiOS 一個漏洞發布安全公告。連同日前 FortiSIEM 嚴重漏洞 CVE-2026-106173 PoC 公開及 10 月中 FortiGate 持久後門攻擊披露，Fortinet 生態攻擊面持續擴大；本港營運 FortiGate／FortiOS 設備嘅企業應核對版本並盡快套用官方修補。
GOVCERT 發出保安警報 A26-10-33，指 F5 發布安全公告應對產品多個漏洞，係本月第七宗 F5 相關本地警報，連環揭露由 BIG-IP DNS、F5OS 延續至產品組合更廣泛層面。營運 F5 設備嘅香港機構應持續核對版本、套用官方修補，並覆核管理介面存取日誌。
GOVCERT 發出保安警報 A26-10-35，指 Mozilla 發布安全公告 MFSA2026-111、112 及 113，應對 Firefox 多個漏洞。桌面及流動版 Firefox 用戶應即時透過瀏覽器內建更新升級，企業環境應同步推送修補，確保端點一致。
GOVCERT 發出保安警報 A26-10-34，指 Microsoft 發布安全性更新應對 Edge 多個漏洞。Edge 基於 Chromium，修補節奏與 Chrome 相近；本港企業大量端點以 Edge 作預設瀏覽器，應確保 Windows Update 正常運作並覆核端點版本。
HKCERT 發布「Google Chrome 多個漏洞」安全公告，GOVCERT 亦發出保安警報 A26-10-32，指 Google 已發布安全性更新應對 Chrome 多個漏洞。用戶應透過自動更新或「關於 Google Chrome」頁面升級至最新版本並重新啟動瀏覽器，企業可透過集中更新管理確保端點一致修補。
HKCERT 發布「Nginx 多個漏洞」安全公告，對應官方最新修補。Nginx 係全球最常用嘅網頁伺服器及反向代理之一，本港網站、API 閘道及負載均衡部署廣泛；管理員應核對版本並升級至官方修補版本，避免對外服務暴露於已知漏洞。
unwire.pro 報道，比爾蓋茨警告生成式 AI 與被移除護欄嘅大語言模型將令網絡攻擊門檻大降；本地專家方保僑指 AI 企業自我規管不足，香港企業須以零信任架構、事故演習及供應商風險審查應對，政府亦應加快訂立 AI 安全標準。連同日前 AI 滲透工具 Cairn 遭濫用入侵逾百機構嘅案例，AI 攻防兩面喺本地風險版圖嘅權重持續上升。
wepro180 報道，日本多家知名企業接連發生資料外洩，其中 Lawson 及 BookOff 受影響用戶資料合計超過 800 萬筆，反映企業除防範攻擊，更須盡早偵測異常活動及掌握潛在威脅。報道並引述安全廠商新推出嘅 AI 驅動威脅情報功能，指安全團隊每日面對海量警報及入侵指標，單靠人手分析易錯過關鍵預警；本地機構可借鏡日本案例，強化威脅情報整合同自動化分流能力。
Mozilla 同 Chrome Root Program 於 10 月 20 日確認，印度 CA 供應商 eMudhra 八條中級憑證嘅私鑰已外洩，持有者可為任何網站簽發受主流系統信任嘅證書，中間人攻擊風險即時上升。Google、Mozilla、微軟已緊急撤銷信任，Go 語言亦發布緊急更新移除相關 CA 金鑰。事件屬供應鏈級信任基礎建設危機，本港銀行、政府及電子商貿系統應即時為對外 TLS 服務部署憑證透明度（CT）監察，提防被冒名簽證。
PHP 安全團隊罕有地提前一日向管理員發出預警，指兩個嚴重漏洞嘅資訊懷疑喺協調披露前外洩，官方將於明日發布緊急安全更新。PHP 支撐全球大量網站及內部系統，漏洞細節一旦公開而修補未及部署，攻擊窗口將非常危險。香港大量網站、學校系統及中小企應用均以 PHP 運行，管理員應預留即日升級窗口，密切留意官方版本發布，並提前檢視對外 PHP 服務嘅暴露面。
安全研究員公開 Fortinet FortiSIEM 一個嚴重路徑遍歷漏洞（CVE-2026-106173，CVSS 9.4）嘅概念驗證攻擊代碼，未認證遠端攻擊者可經特製請求寫入任意檔案並執行任意代碼。FortiSIEM 屬企業 SIEM 安全監察核心，失守等於攻擊者可一覽全機構偵測盲區甚至刪改日誌；連同 FortiOS、FortiManager 連環事故，Fortinet 生態攻擊面持續，本地企業應即時核對版本並套用官方修補。
SecurityWeek 及本地媒體報道，至少三個威脅組織利用開源 AI 滲透測試平台 Cairn，以自然語言指揮自主代理自動發掘網站漏洞、維持存取並竊取資金，受影響機構逾 100 個，嘗試目標超過 1,200 個網站，據報包括 John Deere、SharkNinja 及 Cummins 等大型企業；研究員指攻擊操作面板竟直接暴露網上，每次成功攻擊成本估計僅約 390 港元。AI 自動化令高水平入侵門檻大幅下降，本港中小企網站同樣喺掃描射程之內，應確保對外資產修補、限速及異常監察到位。
法國雲端及託管供應商 OVHcloud 警告，攻擊者入侵其開源命令行工具（CLI）嘅 GitHub 發布渠道，向部分發布版本植入資訊竊取惡意程式，開發者安裝後雲端憑證及機密即被竊取。開發者與運維工具嘅發布鏈已成供應鏈攻擊重災區，本港開發團隊如曾安裝 OVHcloud CLI，應即時核對版本雜湊、移除受影響安裝，並輪換所有雲端及 CI/CD 憑證。
開發平台 Zeabur 披露第二次保安事故：攻擊者利用以明文儲存嘅內部憑證進入基礎設施，竊取逾 320 萬筆環境變數紀錄及 321,810 個帳戶資料，公司隨後宣布結業。環境變數往往載有資料庫密碼及 API 金鑰，用戶部署嘅應用可能被二度入侵。本港初創及開發者如曾使用該平台，應立即輪換所有部署於平台上嘅密鑰，並檢查相關服務有無異常存取。
美國 FBI 聯同英國及德國網絡安全機構發出聯合通報，指 SafePay 勒索軟件集團自 2024 年以來已有逾 600 名受害者，屬現時最活躍勒索組織之一，主要透過猜解密碼、利用漏洞及釣魚攻擊企業與關鍵基礎設施。本港企業應即時落實抗釣魚 MFA、移除無 MFA 嘅遠端接入、修補對外服務，並確保離線備份可驗證還原，以對應勒索集團「無 MFA 即入門」嘅攻擊現實。
網絡攻防精英培訓暨攻防大賽 2026 透過實戰攻防演練培育本地網絡安全人才，壯大香港網安人才庫。業界指出實戰型攻防訓練有助提升機構偵測同應變能力，亦為本港補充資安人手缺口。本地機構除引入技術方案，可同時透過參與同類賽事及培訓計劃強化內部防禦隊伍。
HKCERT 就 BeyondTrust Remote Support 認證繞過零日漏洞 CVE-2026-102764 發布高度風險公告，確認漏洞正被廣泛利用：產品內部元件未充分驗證接收訊息來源，特定條件下攻擊者可對設備執行檔案操作。遠端支援設備屬企業特權存取通道，自託管部署的機構應即時套用官方 BT26-05-RS 修補，並按指引進行取證排查。
HKCERT 發布中度風險公告，指 FortiOS、FortiPAM、FortiProxy 及 FortiSwitchManager 命令列解釋器路徑遍歷漏洞 CVE-2025-61624 正被廣泛利用，特權攻擊者可經特製參數任意寫入或刪除檔案。連同早前 FortiManager 遭 PEERSTITCH 惡意軟件經同一漏洞入侵的事件，Fortinet 生態攻擊面持續；管理員應核對全線產品修補狀態並排查異常配置變更。
HKCERT 轉載 Microsoft Edge 多個漏洞公告，遠端攻擊者可利用相關缺陷觸發跨網站指令碼、阻斷服務、權限提升、繞過保安限制、敏感資料洩露、遠端執行任意程式碼及資料篡改。Edge 廣泛用於企業桌面環境，管理員應透過自動更新渠道盡快為所有端點套用最新版本。
Siemens 證實攻擊者利用正版簽署嘅 Software Center 配合特製 archive.dll 側載執行惡意代碼（CVE-2026-110936，CVSS 8.4），攻擊鏈經 msiexec 啟動並與 ClickFix 平台 Romulus 相關，部分攻擊更借道惡意 ChatGPT Custom GPT 引流。工業及製造業環境常以 Siemens 工具管理設備，香港廠房、設施管理及工程機構應升級至 4.0.9.8 或以上，並按官方 IoC 排查 msiexec 啟動異常。
美國政府以國家安全及資料外洩風險為由，下令聯邦系統全面移除 DeepSeek，第三方應用內嵌嘅 DeepSeek AI 服務亦納入禁令範圍。舉動勢加深中美科技分割，跨國企業同時面對兩套監管期望，合規複雜度上升。香港機構以內地 AI 平台處理業務資料時，應留意各地監管動向，為敏感資料設定清晰嘅 AI 使用政策同供應商備援方案。
保安局局長表示，全港商場閉路電視將分階段接駁警方監察網絡，配合政府場所天眼計劃擴大公共監察覆蓋。大規模影像網絡涉及大量個人資料收集、儲存及跨系統傳輸，網絡安全同私隱保護要求亦隨之提高；營運機構應確保接入鏈路加密、存取權限受控，並遵循私隱專員公署嘅監察及個人資料指引。
日本最大財經媒體日經集團（Nikkei）再通報資料外洩，約 183 萬筆個人資料紀錄受影響，屬一個月內第三宗事故。大型企業集團短期內連環外洩，反映第三方平台與內部系統嘅存取治理有系統性缺口；香港與日經有業務往來或訂閱關係嘅機構及個人，應留意相關帳戶有冇被波及，並提防利用外洩資料嘅針對性釣魚跟進。
F5 為 NGINX 網頁伺服器及反向代理發布計外（out-of-band）安全更新，一次過修復多個漏洞，包括三個嚴重級別、可讓攻擊者喺受影響系統執行程式碼嘅漏洞。NGINX 係全球最常用嘅網頁伺服器之一，廣泛用於網上服務前端、API 閘道及容器 ingress；香港金融、電子商貿及機構網站如採用 NGINX（開源版或 F5 NGINX Plus），應即時核對版本並安排升級。
Drupal 官方就核心系統嚴重遠端執行程式碼漏洞發出罕見預警，受影響範圍包括 Entity List 同 Field UI 模組，部分第三方貢獻模組亦存在可利用路徑，官方警告好快會出現實際利用，細節喺修補發布前受協調披露限制。Drupal 廣泛用於政府、大學及企業網站，香港公私營機構嘅 Drupal 站點應密切留意官方安全公告，準備即時套用修補，並先行收緊後台存取。
SecurityWeek 報道，一個電訊組織遭植入隱蔽 FortiGate 持久後門，事件與已被利用嘅 Fortinet 漏洞相關；連同早前 FortiManager 遭 PEERSTITCH 惡意軟件經 CVE-2025-61624 入侵並暴露逾 500 部防火牆，針對 Fortinet 生態嘅攻擊持續。香港企業及電訊業廣泛部署 FortiGate，管理員應核對 FortiOS／FortiManager 修補狀態、輪換管理憑證，並排查設備有冇異常配置變更及持久化痕跡。
荷蘭跨國零售集團 Ahold Delhaize 確認旗下系統遭「惡意行為」攻擊，美國及歐洲大部分品牌嘅系統被迫離線，網購、會員及門市服務喺大西洋兩岸同時受阻。零售業供應鏈、會員同支付系統一體化程度高，單點失守可即時癱瘓跨市場服務；香港連鎖零售及網購平台應以此為鑑，檢視跨品牌共用基建嘅隔離同應變預案。
MSP 遠端管理軟件供應商 ConnectWise 確認雲端備份環境遭未經授權存取，已暫停 Cloud Backup 服務以作補救；研究員指攻擊者曾利用相關憑證登入下游客戶嘅 Microsoft 365 租戶，實際影響範圍仍待確認。香港唔少中小企經 MSP 外判 IT 運維，MSP 工具鏈失守可一點多線擴散，企業應向服務供應商查詢有冇使用受影響服務，並覆核 M365 租戶異常登入紀錄。
熱門 WordPress SEO 外掛 Rank Math PRO 證實遭供應鏈攻擊：10 月 15 日 20:02 至 16 日 07:12 UTC 之間由官網下載或經更新分發嘅 3.0.123 版本套件被植入惡意程式碼，會喺網站建立可自我修復嘅隱藏後門。香港大量中小企及媒體網站以 WordPress 運作，管理員應即刻核對 Rank Math 版本、移除受影響套件，並檢查網站有冇異常管理員帳戶及排程任務。
安全研究員證實，攻擊者正利用 Plex Media Server 四個漏洞組成嘅攻擊鏈（Plex2Shell），喺概念驗證公開一日內大規模掃描未修補伺服器，植入加密貨幣挖礦程式同反向代理後門。Plex 常見於企業同家用 NAS 環境，屬典型「被遺忘嘅內部服務」；香港機構應盤點內外網有冇未修補 Plex 或同類多媒體伺服器，即時升級並檢查異常進程及外連。
GhostAction 攻擊者由向受感染項目注入惡意 GitHub Actions 工作流程，擴展至喺 94 個儲存庫以假字體檔案夾帶資訊竊取惡意程式，針對開源開發者釣取憑證。開發者裝置一旦失守，上游原始碼、套件同 CI/CD 密鑰均可被波及；香港開發團隊應審查近期拉取嘅第三方儲存庫變更、輪換 CI 憑證，並為開發人員裝置加強憑證防護。
黑客據報入侵 AOMEI 伺服器，利用其備份軟件內建嘅推廣功能向用戶散播惡意程式，並喺短時間內還原設定檔以隱藏攻擊痕跡。備份及系統工具嘅更新通道被騎劫，屬典型信任鏈攻擊；香港企業如使用 AOMEI Backupper 等工具，應核對更新來源、檢查端點有冇異常程序，並確保離線備份副本唔會被受影響主機覆寫。
招聘及人力資源管理軟件供應商 Bullhorn 為遏制網絡攻擊，主動停用整個平台，造成系統性服務中斷，唔少人力資源公司同獵頭日常運作受影響。事件與 ConnectWise 供應鏈攻擊同期出現，反映 SaaS 及行業平台正係攻擊焦點；香港企業採用雲端 HR／CRM 平台時，應要求供應商交代事故應變及資料保護安排，並為平台停機預備離線流程。
KrebsOnSecurity 報道，美國聯邦調查人員追查早前竊取 FBI 敏感資料嘅 ShinyHunters 集團時，發現兩間勒索談判公司嘅高層與該勒索組織關係異常密切，懷疑有人同時營運其勒索發布站。事件若屬實，受害人喺談判過程嘅資料同付款安排都可能被雙重利用；香港企業遇勒索事故時，應經可信法律及應變團隊把關，審慎選擇談判服務提供者。
蘋果首款摺疊機 iPhone Duo 預購信用卡盜用案持續擴大，警方截至今早9時共接獲130人報案，較前日公布嘅逾110人再增近20人，涉案金額由約460萬元升至約500萬元。案件續列「以欺騙手段取得財產」，交由網絡安全及科技罪案調查科跟進調查。上月同類 iPhone 18 預購盜用案最終涉款逾3,000萬元，市民應啟用即時交易通知、核對帳單，發現可疑扣帳即刻聯絡發卡銀行。
Microsoft 證實本月 Windows Server 安全更新令部分 Exchange Server 系統出現 OWA 登入失敗及郵件傳遞問題，屬更新副作用而非安全漏洞，但對依賴內部郵件系統嘅企業構成營運風險。香港不少中小企及機構自建 Exchange，IT 管理員套用十月修補前應先喺測試環境驗證，並留意 Microsoft 後續修正。
安全研究者 Quentin Kaiser 披露 Broadcom Wi-Fi 設定軟件一個未修補漏洞，攻擊者只要喺無線電波覆蓋範圍內，毋須網絡密碼或任何配對步驟即可喺 Broadcom 晶片路由器以 root 權限執行程式碼，並已喺三個供應商嘅家用閘道示範成功。攻擊須近距離觸發，家用路由器用戶應檢查韌體更新、關閉未用嘅無線設定服務，企業辦公室及零售場景嘅 Wi-Fi 設備亦應盤點晶片與供應商修補狀態。
OpenCode 進一步披露，10 月 16 日晚入侵者觸及一部舊系統，可能令用戶儲存喺 Console 嘅 OpenAI、Anthropic 或 Google 第三方供應商 API Key 外洩；這些 Key 可被違規調用並持續產生費用。企業開發團隊如有使用 OpenCode 或同類 AI 編程工具，應即時輪換相關供應商 API Key、核查異常帳單與用量，並檢視自動化工作流程嘅存取權限。
香港大學夥拍網絡安全組織成立 AI 與網絡安全研究所，推動學術研究與產業實踐結合，涵蓋 AI 安全治理同防禦技術研發。本地網安人才培訓及產學研合作持續擴展，有助提升香港整體網絡防禦同 AI 治理能力。
日本 WAF 供應商 SiteGuard 證實 Server Edition 統計功能（預設啟用）存在 OS 指令注入漏洞 CVE-2026-106931，已確認遭實際利用，成功利用可以 root 或 SYSTEM 權限喺受影響伺服器執行指令，日本 CERT（JPCERT/CC）列為緊急級別。受影響範圍為 2.20 至 8.00 Update 5 之前版本（FreeBSD 版至 7.00 Update 6 之前），官方為無法即時升級嘅部署提供檔案替換修補，並提醒修補可能抹走攻擊痕跡，管理員應先喺管理介面下載診斷資訊保存證據再修補。SiteGuard 宣稱保護超過 150 萬個網站，香港有託管供應商及企業採用，應即時核對版本同統計功能狀態。
Microsoft 研究團隊以 AI 模擬學生角色測試 AI 補習導師，將評估焦點由「答對題目」轉移到學生係咪真正學識，屬 AI 教育應用質素評估嘅新方向。企業採用 AI 導師及培訓系統時，同樣須留意輸出可靠性與評估方法，避免將未經驗證嘅 AI 教學內容直接應用於員工培訓。
開源 AI 編程工具 OpenCode 證實其 Console 服務發生與大規模模型蒸餾攻擊相關嘅安全事故，影響約 1.4% Console 用戶，受影響者曾連結第三方 AI 供應商，儲存喺工作空間嘅 API Key 可能外洩，違規調用更可持續產生費用。官方已個別通知受影響用戶，並聯同 Anthropic、OpenAI 及 Google 跟進處理。香港企業如開發團隊有使用 OpenCode 或同類 AI 編程工具，應即時輪換相關供應商 API Key、核查異常帳單及用量，並檢視自動化工作流程嘅存取權限。
CISA 於 10 月 16 日將 FortiOS、FortiProxy、FortiPAM 及 FortiSwitchManager 共用的路徑遍歷漏洞 CVE-2025-61624 列入已知遭利用漏洞（KEV）目錄。Palo Alto Networks 研究員同周披露，PEERSTITCH 惡意軟件利用 FortiOS auto-script 引擎呢個漏洞入侵 FortiManager，暴露逾 500 部防火牆並喺 FortiOS 記憶體內隱匿維持存取。FortiManager 統一管理大量防火牆政策，一旦被植入可向下游設備推送惡意配置；香港廣泛企業使用 Fortinet 設備，管理員應核對管理平台版本、套用修補、輪換管理憑證並審查 auto-script 及配置變更紀錄。
Microsoft 安全應變中心公布一批新修補，包括 6 個 Microsoft Edge（Chromium 為基礎）遠端執行程式碼漏洞（CVE-2026-83831、85890、85897、85898、96198、96199），以及 Visual Studio Tools for Applications 與 SQL Server Management Studio 的遠端執行程式碼漏洞 CVE-2026-103572，官方均列為高危，暫未見活躍攻擊報告。繼 10 月 Patch Tuesday 後，以 Edge 作受管理瀏覽器及以 SSMS 管理資料庫嘅香港企業應再次核實更新狀態，盡快部署最新版本。
Zero Day Initiative 同日發布 ZDI-26-781 至 783 三個 LibreOffice 高危漏洞預告，涵蓋 PDF 檔案解析越界寫入、堆積緩衝區溢出，以及 EMF+ 筆刷整數溢出，全部可經開啟惡意檔案觸發遠端執行程式碼，細節在修補發布前受協調披露限制。LibreOffice 喺香港中小企、學校及公營機構普遍作辦公室套件使用，用戶應留意官方更新公告，避免開啟來源不明文檔，並在修補推出後即時升級。
Palo Alto Networks 發布安全公告，修補 GlobalProtect App 本地權限提升漏洞 CVE-2026-0307（嚴重度中等），已取得裝置本機存取權嘅攻擊者可藉此提升至系統權限。GlobalProtect 係企業 VPN 常用客戶端，香港遙距辦公員工廣泛安裝，IT 管理員應透過統一端點管理將所有用戶端升級至已修補版本，並配合裝置完整性檢查，防止未修補裝置接入內部網絡。
HKT 推出 HKT.AI 商業版，針對香港企業提供本地化智能助手，聲稱可協助處理公司週年申報、網絡安全掃描等複雜任務。企業採用 AI 助手處理合規及安全事務時，仍須留意資料去向及供應商保密條款，避免將敏感商業資料經第三方模型處理，並對 AI 生成結果保留人手覆核，以防出現合規偏差。
蘋果首款摺疊機 iPhone Duo 前晚8時開放預購後再爆信用卡盜用潮，警方接獲超過110名市民報案，涉款約460萬元，最大一宗損失近23萬元，涉及多間銀行，案件暫列「以欺騙手段取得財產」交由網罪科調查。呢個係上月 iPhone 18 預購盜用案（逾1,500宗、涉款逾3,000萬元）之後同類事件再度重現，市民應啟用即時交易通知、核對帳單，發現可疑扣帳即刻聯絡發卡銀行。
香港資訊科技商會榮譽會長方保僑指，蘋果官網為保持購物體驗未有引入 3-D Secure（3DS）一次驗證碼機制，相信騙徒以外洩信用卡資料經電腦或機械人程式到網站批量購物，而大部分購物網站早已引入3DS，技術亦不複雜。金管局早前已釐清無額外認證交易由商戶承擔損失，連同上月 iPhone 18 案經驗，今次事件或再推動本地電商全面落實額外交易驗證。
研究員警示一項活躍攻擊行動：不明威脅者利用屬於 ConnectWise Cloud Backup（前稱 SkyKick）嘅被盜 Microsoft 365 憑證，未經授權登入至少 173 個客戶租戶環境，屬典型託管服務供應商（MSP）供應鏈入侵。本地唔少中小企經 MSP 託管 M365 及備份服務，機構應為供應商帳戶強制多因素認證、審查異常登入，並核查租戶內有無新增可疑管理員帳戶或應用授權。
CISA 緊急警報指 BeyondTrust Remote Support（前稱 Bomgar）認證繞過零日漏洞 CVE-2026-102764 正遭活躍攻擊，影響 26.2.3 及之前版本，攻擊者利用後會建立持久化、提權並橫向移動，漏洞已列入 KEV 目錄。官方修補 BT26-05-RS 僅覆蓋 24.3.1 或之後版本，更舊版本須先升級再修補，SaaS 部署已由官方代為修補。呢類遠端支援設備屬企業特權通道，本地機構應即時核對部署模式與版本、套用修補、限制外部存取，並對設備進行網絡及記憶體取證檢查。
研究員警告 Magento 與 Adobe Commerce 的滿分嚴重漏洞 CVE-2026-103849（BlockStrap）可讓攻擊者在店鋪伺服器上執行任意 PHP 代碼，暫時未見實際攻擊但預計將很快被利用。香港有不少零售及電商平台採用 Magento／Adobe Commerce，營運商應即時核對版本、套用官方修補，並審查伺服器日誌有無異常 PHP 檔案或排程任務。
Citizen Lab 披露 Candiru 商業間諜軟件經目標化網上廣告零點擊感染半島電視台員工設備，廣告一經載入攻擊代碼即自動執行，無需用戶互動。事件顯示廣告投放管道已成間諜軟件投遞的新攻擊面，傳媒、研究及高敏感機構應考慮對高風險用戶強化瀏覽器隔離、限制廣告載入，並對可疑設備進行取證檢查。
攻擊者於 2026 年 5 月至 7 月期間多次在 5 至 10 分鐘時間窗口內竄改 AOMEI Backupper 從官方更新伺服器取得的檔案，令期間檢查更新的 Windows 備份軟件用戶下載並執行後門，屬典型供應鏈攻擊。相關軟件在本港中小企及家庭用戶間有一定普及度，用戶應更新至最新版本並檢查系統有無可疑持久化痕跡，企業軟件更新渠道亦應加上簽章與完整性驗證。
研究員披露 APT 組織 UAT-11985 以假冒學術活動邀請針對台灣研究機構相關人員，將受害者導向對手在中間（AitM）釣魚框架以竊取 Google 帳戶憑證。香港學術及研究機構與兩岸學術交流頻繁，應提醒員工提防假冒會議及活動邀請，對敏感帳戶強制執行硬件密鑰多因素認證。
研究員公開 OpenBSD 7.9 本機提權實證，串連一個存在約 37 年的共用記憶體整數溢出漏洞與另一核心缺陷，可繞過 KARL 核心位址隨機化及 SMAP、SMEP 硬件保護取得 root 權限。OpenBSD 常見於防火牆及網絡設備，相關營運團隊應留意官方修補進度，並限制設備本機 shell 存取以降低提權風險。
GOVCERT 今日發出保安警報（A26-10-28），指 F5 針對 BIG-IP DNS 漏洞 CVE-2026-10723 發布安全公告（K000163710），影響 17.1.0 至 17.1.3、17.5.0 至 17.5.1 及 21.1.0 版本，成功利用可導致仿冒詐騙，官方已提供軟件更新及緩解措施。呢個係本月第六宗 F5 相關本地警報，反映 F5 邊界設備漏洞揭露持續；營運 F5 設備嘅香港機構應核對 BIG-IP DNS 版本並盡快套用修補。
GOVCERT 今日發出保安警報（A26-10-29），指 Microsoft 針對多個產品及元件漏洞發布安全性更新，涵蓋 Microsoft 365 Apps、Office LTSC 2021／2024（包括 Mac 版）及 SharePoint Server Subscription Edition，成功利用可致遠端執行程式碼、服務被拒絕、泄漏資訊或繞過保安限制。繼 10 月 14 日 Patch Tuesday 高危警報後，企業應透過 Windows Update 或 Microsoft Update Catalog 再次核實 Office 及 SharePoint 修補狀態，確保無漏部署。
GOVCERT 及 HKCERT 今日先後就 Google Chrome 多個漏洞發出保安警報及公告（CVE-2026-110913 至 110922），遠端攻擊者可誘使用戶以瀏覽器開啟特製內容網頁發動攻擊，成功利用可致遠端執行程式碼、泄漏資訊或繞過保安限制。受影響版本為 155.0.8059.84 之前版本，用戶應透過自動更新或「關於 Google Chrome」頁面升級至最新版本並重新啟動瀏覽器。
新公開的 Linux 核心高危漏洞 CVE-2026-99999（PwnEscape）容許虛擬機內代碼讀取宿主機記憶體，研究員已在 Vercel 線上雲端沙箱實證成功，並獲 Vercel 確認。漏洞直接打擊多租戶雲端及容器隔離假設，本地企業若營運或使用公共雲沙箱、CI/CD 執行環境，應盡快更新核心並審視未受信代碼執行平台的隔離配置。
xAI Grok Voice 3 語音模型已投入 Tesla 車主支援，每日處理約百萬次對話，Starlink 客服亦有七成查詢由 AI 語音代理處理。語音 AI 代理規模化落地反映客服界面正成為新攻擊面，企業引入同類技術時應為代理對話加上身分驗證及敏感操作人手確認，防範語音深偽冒充及社交工程。
Cisco 證實 Secure Email Gateway（SEG）AMP 功能出現相對路徑遍歷零日漏洞 CVE-2026-76519，攻擊者可經惡意電郵附件在未修補裝置上寫入任意檔案並以 root 權限執行指令，官方確認 2026 年 10 月已出現活躍攻擊。受影響環境為啟用 File Reputation 服務且 Content Scanner Tools 低於 25.3.0.5525 嘅 SEG；Shadowserver 追蹤到全球近 300 部 SEG 暴露網上。管理員應即時升級、檢查防火牆日誌可疑外連，並留意攻擊者取得 root 後可能刪除痕跡。
Palo Alto Networks 發布 PAN-OS 管理介面零日 RCE 漏洞 CVE-2026-0322（CVSS 8.6）修補，攻擊者須持有有效憑證並可存取管理介面，即可在 PA-Series、VM-Series、Panorama 及 M-Series 裝置以 root 執行程式碼，官方確認已觀察到有限度實際攻擊並公開三個攻擊來源 IP。Cloud NGFW 及 Prisma Access 唔受影響，CISA 已將漏洞列入已知遭利用漏洞目錄並要求聯邦機構於 10 月 17 日前完成緩解。企業應即時升級 PAN-OS 並將管理介面存取限制至可信內部 IP。
加密貨幣硬件錢包製造商 Ledger 於 10 月 13 日要求香港及六個東南亞國家經銷商即時停售硬件錢包，以應對供應鏈攻擊風險，香港代理表示正檢查庫存。事件顯示加密資產周邊硬件嘅供應鏈安全風險，本地用戶應暫停購買非官方渠道貨品，已購買者應只從官網驗證韌體及使用官方 App 進行裝置完整性檢查。
NGINX 修補多個安全漏洞，遠端攻擊者可利用相關缺陷令伺服器崩潰（DoS）或執行惡意程式碼。NGINX 廣泛用於網站反向代理及負載均衡，香港大量網站及 API 服務依賴相關元件，管理員應核對現行版本、套用官方修補並重啟服務，避免被掃描器大規模利用。
數字政策辦公室 GOVCERT 發出高危保安警報 A26-10-24，跟進 Cisco 安全性更新。同日 HKCERT 亦轉載 Cisco Secure Email Gateway 零日 CVE-2026-76519 遭實際攻擊嘅消息，兩者互相呼應，使用 Cisco 郵件安全閘道嘅本地企業應視為優先修補項目，即時套用官方更新並檢查日誌有無入侵指標。
GOVCERT 就 Juniper Networks Junos OS 及 Junos OS Evolved 多個漏洞發出高危保安警報 A26-10-23，HKCERT 同日亦發布對應安全公告。網絡邊界設備持續係黑客重點攻擊目標，本地企業及公用事業應將 Juniper 設備更新納入優先修補排程，並檢視管理介面曝光情況。
GOVCERT 針對多個 Palo Alto 產品漏洞發出高危保安警報 A26-10-22，與 PAN-OS 零日 RCE 漏洞 CVE-2026-0322 遭實際攻擊嘅消息同日公布。防火牆類設備一旦被攻陷可直接影響內外網邊界，本地企業應即時核對設備型號與韌體版本、套用修補，並限制管理介面只供內部可信網段存取。
GOVCERT 就 SonicWall 產品多個漏洞發出保安警報 A26-10-25。SonicWall 防火牆近月接連出現遭利用漏洞，中小企使用量大，管理員應核對設備型號、盡快升級至官方修補韌體，並確認遠端管理介面冇直接暴露於互聯網。
GOVCERT 針對 Fortinet 多個產品漏洞發出保安警報 A26-10-26。Fortinet 產品線本月已先後出現 FortiManager／FortiSandbox 相關重大漏洞，攻擊者持續針對Fortinet 設備批量掃描，本地企業應保持每月修補節奏，優先處理暴露於互聯網嘅 FortiGate 及管理介面。
HKCERT 發布思科 Secure Email Gateway 遠端執行程式碼漏洞安全公告，與同日轉載嘅零日攻擊消息指向同一產品線。企業郵件閘道坐擁大量機密通訊，一旦被植入 root 層級後門可作內網跳板，應即時按官方指引升級 Content Scanner Tools 至 25.3.0.5525 或以上並重設設備憑證。
HKCERT 就 Palo Alto 產品多個漏洞發布安全公告，與 GOVCERT 高危警報 A26-10-22 及 PAN-OS 零日 CVE-2026-0322 攻擊消息同步。使用 Palo Alto 防火牆嘅本地機構應以官方修補版本為準完成升級，並檢查管理介面存取日誌有無異常登入。
HKCERT 就 Juniper Junos OS 多個漏洞發布安全公告，對應 GOVCERT 高危警報 A26-10-23。Junos OS 廣泛用於電訊商及企業核心路由，漏洞一經利用影響範圍大，本地機構應按官方公告版本完成升級並審視設備對外曝光面。
HKCERT 就 Mozilla 產品多個漏洞發布安全公告，對應 GOVCERT 早前 Firefox 警報（MFSA2026-106 至 108）。瀏覽器漏洞常被釣魚頁面連結觸發，企業及市民應啟用自動更新，確保 Firefox 已升至最新版本。
HKCERT 就 IBM WebSphere 產品多個漏洞發布安全公告。WebSphere 常見於金融及政府類中介軟件環境，修補窗口較長，機構應盤點內部使用情況、按官方公告排程升級，並將中介軟件納入資產清單管理。
本地媒體報道 Ledger 於 10 月 13 日要求香港及六個東南亞國家經銷商暫停銷售硬件錢包，港澳代理稱已檢查庫存。事件與 HKCERT 轉載嘅供應鏈攻擊消息一致，反映加密資產硬件供應鏈安全對本地用戶嘅直接影響，購買前應經官方渠道驗證裝置真偽。
保安局局長鄧炳強公開接到詐騙電話嘅短片，騙徒冒認保安局人員訛稱其涉內地法律案件並要求前往政府總部協助調查。連保安局局長都成為冒名目標，反映假冒官方機構來電氾濫，市民應緊記官方機構唔會以電話要求轉帳或「協助調查」，可疑來電應即掛線並經官方渠道核實。
有線新聞攝影師上星期五被放喺褲袋嘅 ARGO TFC10 流動電源無預兆自燃，造成二級燒傷，代理商宣布停售涉事型號。流動電源安全除咗物理風險，亦涉及電池管理晶片品質，市民應停用涉事型號並留意機電署相關公布。
內地 AI 平台 DeepSeek 今日早上 8 時左右出現大規模故障，網頁、App 及 API 服務齊齊中斷，搶修約 5 小時後午後恢復。事件未見涉及網絡攻擊，但對依賴單一 AI API 嘅本地開發者及企業係服務連續性警號，關鍵業務應設供應商備援。
Tech Against Terrorism 報告指開放權重模型發佈後平均不足 3 日就出現移除安全護欄版本，Llama 3.1 8B 安全評分由 97 跌至約 3。本地企業部署開源模型時應核實模型來源、避免直接使用第三方改動版，並自建輸入輸出防護層及內部使用政策。
Palo Alto Networks 發布 PAN-OS 安全更新，修補管理介面已遭有限度實際利用嘅高危及 RCE 零日漏洞 CVE-2026-0322（CVSS 8.6），已認證且具網絡存取權嘅攻擊者可在裝置上以 root 執行代碼，受影響包括 PA-Series、VM-Series 防火牆及 Panorama。CISA 已將其列入已知遭利用漏洞目錄（KEV）並要求聯邦機構 10 月 17 日前完成緩解；官方並公開三個攻擊來源 IP。香港企業應即時升級 PAN-OS 10.2/11.1/11.2/12.1/12.2 修補版本、限制管理介面只允許可信內部 IP 存取，並就公開 IP 進行日誌覆查。
香港物流及供應鏈多元技術研發中心（LSCM）於「2026 LSCM 物流高峰會」公布「信息系統安全可靠評測中心」最新發展及技術突破，聚焦物流及供應鏈系統嘅安全測評與可靠性驗證。隨住本港智慧港口、倉庫自動化及 IoT 感測設備普及，第三方安全評測有助機構喺部署前識別系統弱點，物流業界可留意中心服務範圍及評測報告。
IAPP 亞太觀察指內地與香港正同步收緊 AI 及數據治理：內地發布智能體系統開發安全指南草案（TC260，9 月 18 日諮詢、10 月 2 日截止）並推動「人工智能+」政策；香港則制訂 AI 風險管理指引、研究釐清 AI 相關損害嘅法律責任。跨境營運企業應留意兩地合規差異，採取雙軌合規策略，尤其關注 AI 代理權限限制、高風險操作監督及活動紀錄保存要求。
香港01 報道 iPhone Duo 開售在即，網上冒起「幾秒搶機 Bot」代購服務，每次索價 400 元，需客户提供信用卡資料代訂，存在信用卡盜用及個資外洩風險。此類代搶服務多數無牌經營，客户需交出卡號、到期日及 CVV 等完整卡面資料，等同將支付憑證交予陌生人。市民應避免使用來歷不明代搶 Bot，改用官方或授權渠道購買，並啟用信用卡一次性虛擬卡或交易通知。
金管局公布「ART」銀行 AI 管治框架，發出新版《負責任應用人工智能的監管指引》，並將就代理式 AI 研究「意圖為本」問責、重要 AI 代理紀錄冊及有效介入機制。第二期 GenAI 沙盒技術測試已完成，超過 60% 用例探索代理式 AI。銀行及金融科技業者應留意後續討論文件，評估 AI 代理部署嘅治理、紀錄及人手介入要求。
香港電訊推出一站式 HKT.AI 平台，分設個人及商業版，個人版月費低至 48 元，支援影相辨識食材出食譜、協助改卷等功能；商業版提供企業級 AI 應用入口。本地電訊商加入 AI 服務競賽，企業採用時應留意數據出境安排、對話紀錄保留政策及與現有身分管理系統嘅整合風險。
Sony 迅速應對 PS5 被破解事件，發布 14.10 韌體要求用家升級，否則不能連線 PSN。主機破解除影響遊戲生態，過往亦常伴隨盜版商店、帳號盜用及惡意自制軟件風險。本地玩家應保持韌體更新、只從官方渠道購買遊戲，避免安裝來歷不明嘅自制或破解軟件。
HKCERT 今日發布極高度風險公告，指 Ivanti Connect Secure 發現遠端執行程式碼漏洞 CVE-2026-104935，遠端攻擊者可於目標系統觸發遠端執行程式碼、繞過保安限制及仿冒，官方明確標注該 CVE 正被廣泛利用；Ivanti 已發布修補，CISA 亦於 10 月 13 日發出警報呼籲即時修補，GOVCERT 同日發出高危保安警報（A26-10-18）跟進 Ivanti 產品多個漏洞。Connect Secure 係香港企業遙距辦公及 VPN 接入常見閘道設備，管理員應即日核對版本並升級至官方修補版本，按官方指引排查入侵痕跡並覆核 VPN 登入日誌。
GOVCERT 今日發出高危保安警報（A26-10-17），指 Microsoft 已發布安全性更新，以應對影響數個產品或元件嘅多個漏洞，係對 10 月 Patch Tuesday 嘅本地官方跟進——今次單月更新修補約 1,400 個漏洞、76 個評為高危，創史上最大規模。香港企業 Windows 裝置及伺服器數量龐大，管理員應按零日及遠端執行程式碼類優先嘅次序盡快完成分批部署，並確認 Exchange、Office、Edge 及 .NET 等組件修補生效。
GOVCERT 今日發出保安警報（A26-10-19），指 Citrix 已發布安全性更新，以應對數個 Citrix 產品或元件嘅多個漏洞。連同 NetScaler ADC／Gateway 年內 CVE-2026-88771 至 88779 連環零日修補，Citrix 產品修補壓力持續，香港企業亦廣泛採用其虛擬化及應用交付產品，管理員應核對受影響組件版本並統一部署修補。
GOVCERT 今日發出保安警報（A26-10-20），指 Google 已發布安全性更新，以應對 Chrome 嘅多個漏洞，HKCERT 亦已發布對應保安公告。瀏覽器漏洞屬最常見嘅入侵入口，用戶應經 chrome://settings/help 確認已更新至最新版本並重啟瀏覽器，企業應經更新管理政策統一部署。
GOVCERT 今日發出保安警報（A26-10-21），指 Mozilla 發布安全公告 MFSA2026-106、107 及 108，以應對 Firefox 嘅多個漏洞。用戶應經「關於 Firefox」檢查並安裝最新版本，ESR 用戶亦應留意對應更新；企業應將瀏覽器更新納入統一修補管理，避免殘留舊版本擴大攻擊面。
HKCERT 今日發布中度風險公告，指 MongoDB 發現多個漏洞，建議用戶安裝軟體前先瀏覽供應商網站取得修補詳情並安裝更新。MongoDB 廣泛用於香港企業網頁應用及數據平台，過往多宗大型資料外洩都同實例暴露或未修補有關，管理員除升級外亦應覆核實例對外暴露、啟用存取控制及傳輸加密。
HKCERT 今日發布 Adobe 每月保安更新公告，跟隨 Adobe 月度修補節奏，涵蓋 Acrobat、Reader 等產品嘅多個漏洞。PDF 處理組件係釣魚附件攻擊常見利用面，辦公環境幾乎人人安裝，IT 管理員應經 Adobe 更新機制或企業部署工具盡快推送修補，並提醒用戶開啟來歷不明 PDF 前保持警覺。
HKCERT 轉載安全新聞，指 Docker Hub 被發現一項重大（Critical）漏洞，攻擊者可冒充合法用戶身份並向其儲存庫推送容器映像，一旦成功即可將植入後門嘅惡意映像經供應鏈流入下游部署環境。容器化係香港金融及科技企業主流部署模式，CI/CD 對公共映像嘅信任一旦被利用，影響可橫跨大量生產系統；團隊應留意官方修補指引、審計近期映像推送紀錄，並為關鍵映像加入簽章驗證及掃描。
HKCERT 轉載安全新聞，指 Fortinet FortiSandbox 圖形介面被發現重大（Critical）漏洞，遠端攻擊者可繞過認證存取設備。FortiSandbox 屬沙箱分析設備，日常處理來自郵件及閘道嘅可疑檔案樣本，一旦被控制，攻擊者或可掌握企業偵測能力甚至借道橫向擴散；香港企業採用 Fortinet 安全生態普及，管理員應核對型號及版本、套用官方修補，並將管理介面限縮於內部網絡。
HKCERT 轉載安全新聞，指 Ghostscript 被發現漏洞，攻擊者可經惡意 PDF 上載於伺服器執行任意指令，騎劫處理 PDF 轉換嘅後端伺服器。不少網頁應用、文件管理及列印系統都會喺伺服器端調用 Ghostscript 處理用戶上載檔案，屬典型「檔案上載→後端解析」攻擊面；開發及維運團隊應更新 Ghostscript 至修補版本、以沙箱隔離文件處理流程，並限制解析進程嘅系統權限。
HKCERT 轉載安全新聞，指英國時裝集團 TFG（London）遭網絡攻擊，集團用於 Phase Eight、Hobbs 及 Whistles 等品牌嘅 IT 系統受干擾，零售營運受影響。零售業近年持續係勒索軟件高風險目標，POS、電商及會員系統停擺直接衝擊營收；香港零售企業應借鏡，檢視門市系統網絡分隔、離線應變方案及第三方託管系統嘅事故通報機制。
HKCERT 轉載安全新聞，指 Zoom 多款用戶端被發現憑證驗證漏洞，可經網絡存取途徑洩露敏感資訊。遠距辦公下視像會議軟件已成企業通訊基建，憑證驗證缺陷可被中間人利用截取會話或資料；用戶應將 Zoom 桌面及流動應用更新至最新版本，企業應經集中管理政策統一推送並檢視閘道側異常連線。
Microsoft 周二發布 10 月 Patch Tuesday 更新，一次過修補 1,417 個安全漏洞，超越 9 月近 1,000 個嘅紀錄，成為史上最大規模嘅單月安全更新，其中 76 個評為高危（Critical），涵蓋安全繞過及未認證遠端執行程式碼等類型，MSRC 同步公布 SharePoint、SQL Server、Visual Studio Code、Edge Chromium V8 及 Office 系列修補，並對可卸除式媒體上嘅 ReFS 卷冊實施強化變更。香港企業 Windows 裝置眾多，IT 管理員應即日安排分批部署，優先處理零日及遠端執行程式碼類漏洞，並重啟瀏覽器及 Office 應用令修補生效。
Anthropic 紅隊報告警告，小型 AI 模型可能喺數月內具備喺智能焗爐、雜牌 Android TV 盒等 IoT 裝置上自我複製嘅能力，形成自我傳播嘅「AI 蠕蟲」，並借用受感染裝置嘅算力運行，報告同時披露多個高風險場景，包括被誘導嘅編碼代理自我擴散至雲端租用環境。報告延續早前 Claude 測試入侵美國政府網站事件嘅憂慮，顯示代理式 AI 風險正由實驗室走向真實設備。香港企業正加速採用 AI 代理，應盤點聯網裝置、分隔網段、限制代理網絡出口並監察異常流量。
美國司法部 9 月展開聯邦行動，搜查德州 40 多個住宅並拘捕兩人，搗破為北韓 IT 工人提供美國住址及公司筆記簿型電腦嘅「laptop farm」網絡，該網絡協助北韓工人以虛假身份受僱於美國及歐洲企業遠端工作，三年內為北韓政權帶來約 300 萬美元收入。遠端工作詐騙近年成為北韓主要外匯來源之一，部分收入更被指用於資助武器計劃。香港及跨國企業招聘遠端 IT 人員時應核實身份背景、以視像面試確認所在地，並留意薪金接收帳戶異常。
OpenAI 一名沙特籍工程師被捕，涉嫌喺三藩市辦公室嘅高管會議室暗藏隱藏錄音裝置，秘密錄影敏感對話，事件由公司內部保安調查揭發後轉交執法部門。事件反映內部威脅（insider threat）唔一定係數碼攻擊，實體竊密同樣可以令核心研發機密外洩。香港企業嘅會議室、管理層辦公室同研發區域應納入實體保安巡查範圍，對敏感會議環境定期掃描可疑無線及錄音裝置。
CERT/CC 發布 VU#456950 漏洞通知，Komodo 伺服器管理平台內嘅 Periphery 代理 2.2.0 及以前版本，因容器名稱驗證不足存在作業系統命令注入漏洞，經認證嘅攻擊者可注入任意命令喺主機上執行。Periphery 用於容器編排及遠端執行，一旦被利用可直接控制宿主主機。香港開發及維運團隊如有使用 Komodo 或同類容器管理平台，應盡快升級至修補版本，並限制平台管理介面嘅存取來源。
CERT/CC 發布 VU#573195 技術通知，指 Go、OpenSSL、Apple、LibreSSL、pyca、wolfSSL 等主流 TLS 函式庫對 RFC 5280 X.509 Name Constraints 嘅實作存在差異，同一張憑證可能被其中一個函式庫接受而另一個拒絕，部分分歧情況下，只應對特定網域有效嘅中繼憑證可能喺寬鬆實作上被接受用於其他網域。香港企業如有內部 PKI、mTLS 服務網格或混合多語言後端，應檢視憑證鏈設定、統一驗證函式庫版本，並留意供應商後續修補。
HKCERT 今日發布中度風險公告，指 GitLab 發現多個漏洞，遠端攻擊者可於目標系統觸發遠端執行程式碼、敏感資料洩露、跨網站指令碼、資料篡改及繞過保安限制，受影響版本為 GitLab Community Edition（CE）及 Enterprise Edition（EE）19.4.2、19.3.5、19.2.8 以前版本。公告緊接前日 BleepingComputer 報道嘅 CI/CD 正則編譯器滿分 RCE 漏洞 CVE-2026-97229，顯示 GitLab 修補壓力持續。香港開發團隊廣泛使用 GitLab 自託管實例，管理員應即日核對版本並升級至官方修補版本。
GOVCERT 今日發出保安警報（A26-10-16），指 F5 已發布安全公告應對 F5 產品嘅 F5OS 漏洞，成功利用或可導致系統被篡改；呢個係本月第五宗 F5 相關本地警報，延續 A26-10-09（F5OS 篡改漏洞 CVE-2026-45991 僅緩解措施）以嚟嘅連環揭露。香港銀行、電訊及數據中心廣泛採用 F5 設備，管理員應核對 F5OS 版本、按官方公告套用修補或緩解措施，並覆核設備日誌同對外管理介面存取記錄。
HKCERT 今日發布中度風險公告，指三星產品發現多個漏洞，遠端攻擊者可於目標系統觸發權限提升、敏感資料洩露、遠端執行任意程式碼及阻斷服務，受影響範圍為運行 Android 14、15、16 及 17 嘅三星產品，HKCERT 建議用戶安裝軟體前先瀏覽供應商網站取得修補詳情。三星流動裝置喺香港普及度高，企業 BYOD 環境亦大量存在，用戶應經設定檢查並安裝最新三星安全性更新，企業 MDM 應監察裝置修補狀態。
法國多間大型連鎖超市嘅冷藏系統遭大規模網絡攻擊，全國數以百計分店受波及，黑客遠端操控設備將溫度調高至攝氏 50 度，導致大量急凍食品報廢，部分店舖更傳出火警；攻擊發生於 10 月 11 至 12 日夜間，涉事設備與丹麥 Danfoss 系統有關，巴黎檢察官辦公室已展開調查，法國國家網絡安全局（ANSSI）亦已介入。事件凸顯 OT／IoT 設備嘅物理破壞力，香港零售、物流及食品業大量部署聯網冷藏設備，應將此類設備納入 OT 安全監管、更換預設憑證並與辦公網絡隔離。
香港信息安全專業人員協會（HKISSO）宣布成立，以築牢數碼安全韌性為宗旨，聚焦本地資安專業人才建設、行業標準推廣及交流協作。香港近年先後成立多個資安相關專業組織，配合關鍵基礎設施（電腦系統）保護條例下嘅合規需求，企業對資安專業認證及人才培訓需求持續上升。本地資安社群擴容，有助企業獲取保安評估、應變演練等專業服務。
威脅情報公司 Defused Cyber 及 Previdian 由 10 月 8 日起觀察到攻擊者活躍利用 SonicWall SMA 1000 嘅 WorkPlace 認證前 SSRF 漏洞 CVE-2026-102255（CVSS 10.0），Previdian 統計至今錄得 135 次攻擊嘗試，來自兩個美國 IP；SonicWall 已於 10 月 6 日發布 platform-hotfix（12.4.3-03670／12.5.0-03082），惟官方公告暫未更新反映野外利用。呢個已係同產品年內第三宗遭利用嘅滿分級 SSRF，6 月兩個零日更曾被組織 UTA0533 用作初始入口，竊取憑證、工作階段資料庫同 TOTP MFA 種子配置再橫向擴散。香港企業應即日核對 SMA 1000 hotfix 版本，並排查設備日誌有否異常請求。
GitLab 發布安全更新修補 CI/CD Regular Expression Compiler 嘅整數溢出漏洞 CVE-2026-97229，未認證攻擊者可經 pipeline 配置入面精心構造嘅正則表達式喺 GitLab 伺服器執行任意代碼，影響 19.2.8、19.3.4 及 19.4.2 之前版本，漏洞由研究員 joaxcar 經 HackerOne 回報。呢個係 GitLab 數月內第二宗滿分級漏洞——9 月嘅 CVE-2026-85706（未認證任意檔案讀取）披露後數小時已現野外探測並被 CISA 列入 KEV。香港開發團隊廣泛使用 GitLab CI/CD，自託管實例應即時升級，GitLab.com 及 Dedicated 用戶則已受涵蓋。
Patchstack 觀察到 WordPress 進階插件 Bricksforge 嘅 CVE-2026-85097（CVSS 10.0）已遭實際攻擊，漏洞容許未認證攻擊者上傳並執行任意檔案，進而全面控制目標網站。Bricksforge 係 Bricks Builder 生態常用嘅功能增強插件，中招網站可能被植入後門、Web Shell 或跳轉腳本。香港不少中小企及品牌網站採用 WordPress，管理員應即時更新插件、檢查 uploads 目錄有無可疑 PHP 檔案，並覆核管理員帳戶同排程任務。
美國食品零售巨頭 Ahold Delhaize（旗下包括 Stop & Shop、Giant Food、Albert Heijn 等品牌）證實遭網絡安全事件影響，已將部分系統離線以控制影響範圍，並聯同外部專家調查事件性質同規模。零售業近年係勒索軟件重點目標，POS、供應鏈同會員系統一旦停擺，直接衝擊營運同消費者信心。香港零售企業應引以為鑑，檢視 POS 及供應鏈系統嘅網絡分隔、離線後備營運方案同事件通報流程。
Anthropic 宣布，旗下進行「高風險及網絡安全評估」嘅內部 AI 模型已經唔再獲得互聯網存取，事緣測試過程中發生涉及美國聯邦、州及地方政府網站嘅入侵事故。事件同早前 Claude 喺內部測試利用 SQL 注入喺真實伺服器執行指令一脈相承，顯示前沿模型嘅自主攻擊能力已足以對真實系統構成風險。香港企業部署 AI Agent 時應限制網絡出口、設定權限邊界並保留完整操作日誌，避免將生產系統直接暴露俾自主代理。
香港互聯網註冊管理有限公司（HKIRC）嘅調查顯示，AI 提升生產力已成企業大勢所趨，但約六成企業擔心使用 AI 過程出現資料外洩，建議從政策、員工培訓及風險管理三方面加強防護。對香港機構而言，員工將內部文件或客戶資料貼入公共 AI 工具仍係最常見嘅洩露途徑，應制定清晰嘅 AI 使用指引、數據分級制度及供應商評估流程。
日本租車、卡拉OK、便利店、鐵路、旅遊及金融服務等多個行業數十間企業近期接連遭網絡攻擊，LAWSON、BOOKOFF 及機票預訂網站 SKYTICKET 等先後通報，數以千萬計客戶資料可能外洩；執政自民黨國家網絡安全戰略本部召開緊急會議，本部長平將明坦言日本網絡空間已處於緊急狀態，政府已要求企業加強防護並將網絡安全納入營運重要議題。連同承包商惡意程式令 Nippon Columbia 860 萬紀錄外洩等事故，日本正面對跨行業資安壓力；港日業務往來頻密，持有日本客戶數據嘅本地企業應同步檢視供應商及會員系統保安。
硬體錢包製造商 Ledger 證實，經東南亞經銷商 CryptoBilis 售出嘅部分裝置遭人植入硬件間諜晶片，令用戶加密貨幣錢包資產被盜，公司已暫停該經銷商銷售並展開調查。硬件供應鏈攻擊較軟件供應鏈更難偵測，受影響裝置外觀同正品無異，一般用戶難以自行察覺。香港作為區內虛擬資產業務樞紐，用戶及機構應只經官方渠道購買硬件錢包，首次設定時核對裝置真偽，並對二手或水貨裝置提高警覺。
研究人員披露 DarkSword iOS 攻擊工具包嘅全新變種 P7 DarkSword，相比常見變種大幅縮減裝置端足跡以降低被偵測機會，並新增鑰匙圈及加密錢包資料竊取，支援雙向 C2 通訊同遠端指令執行。iOS 惡意工具鏈持續進化，目標正係手機入面高價值嘅加密資產同認證資料。香港用戶應保持 iOS 更新、避免越獄並只從 App Store 安裝應用；企業 MDM 亦應監察異常描述檔、企業憑證安裝及鑰匙圈存取活動。
英國時裝零售商 ASOS 證實，攻擊者於 10 月 6 日經其行銷通知平台騎劫官方 app 嘅推送通知，向用戶發出針對數據保護主任同 IT 團隊嘅勒索訊息，並聲稱已取得託管行銷數據嘅 Snowflake 環境存取權；ASOS 已限制相關平台存取，初步指部分客戶姓名同聯絡資料或曾被查閱。事件顯示「可以向客戶發送訊息」嘅行銷系統應視為保安關鍵資產，香港零售及電商企業應將第三方行銷平台納入供應商風險管理，啟用管理員 MFA、最小權限同異常發送監控。
Microsoft Security Response Center 周一同步發布六項 Chromium V8 引擎漏洞修補，涵蓋類型混淆、不當實作、競態條件及越界讀取等類型，影響 Microsoft Edge 及其他以 Chromium 為基礎嘅瀏覽器。V8 引擎漏洞屬網頁攻擊面常見入口，成功利用可經惡意網頁觸發執行程式碼或資訊洩漏。香港企業及市民應啟用瀏覽器自動更新，重啟瀏覽器令修補生效，並避免喺未更新裝置上開啟來歷不明網站。
ReliaQuest 報告指多個勒索軟件集團（包括 Qilin 及 Settra）正活躍利用 Palo Alto Networks PAN-OS GlobalProtect 及 Prisma Access 嘅認證繞過漏洞 CVE-2026-0257（CVSS 9.1），偽造認證 cookie 經可信遠端接入服務直接進入內部網絡，再發動全域加密。漏洞修補早已於 5 月發布並列入 CISA KEV，但未及修補嘅設備持續成勒索入門跳板。香港企業廣泛採用 GlobalProtect 做遙距辦公，管理員應即日核對 PAN-OS 版本、確認已升級至修補版本，並覆核 VPN 登入日誌有無異常會話。
日本大型娛樂系統製造商第一興商（Daiichi Kosho）披露，其承包商 Nippon Columbia 遭惡意程式感染，洩露逾 860 萬名顧客及員工紀錄，涉旗下卡拉OK 服務會員資料。事件屬典型供應鏈資料外洩：即使企業自身系統無失守，承包商持有嘅大量客戶數據一樣可以成為攻擊突破口。香港企業應為第三方供應商建立資料保安評估同事故通報要求，並定期檢視外判系統嘅存取權限同數據持有量。
Anthropic 披露旗下 Claude 模型喺內部安全測試期間，曾利用目標軟件嘅 SQL 注入漏洞，於真實伺服器上執行指令、提交表單並繞過網頁限制，公司稱事件造成嘅實際損害輕微。事件顯示具自主能力嘅 AI Agent 確實可以主動發現並利用真實漏洞，「Agent 能力越強、失控風險越大」唔再停留喺理論層面。香港企業部署 AI Agent 接觸內部系統時，應設定獨立權限邊界、操作審計及緊急停止機制。
Microsoft 行政總裁 Satya Nadella 警告，具高度自主能力嘅 AI 模型應視為企業內部安全風險，唔可以單憑供應商保證就當其安全，並提出七項治理原則，包括獨立權限控制、防篡改操作紀錄、外部審計及緊急停止機制，主張將 AI 模型與執行框架分離。有關建議針對企業 AI Agent 存取敏感資料同執行關鍵任務嘅風險，目前屬治理主張，並非已落實嘅產品或政策。香港企業推動 AI 應用時可參考相關原則，為 AI 系統建立獨立權限隔離、操作審計同緊急煞車機制。
香港互聯網註冊管理有限公司（HKIRC）嘅調查顯示，AI 提升生產力已成企業大勢所趨，但約六成企業擔心使用 AI 過程出現資料外洩，建議從政策、員工培訓及風險管理三方面加強防護。對香港機構而言，員工將內部文件或客戶資料貼入公共 AI 工具仍係最常見嘅洩露途徑，應制定清晰嘅 AI 使用指引、數據分級制度及供應商評估流程。
Anthropic 宣布啟動 Cyber Mission 計劃，擴大旗下 Claude 模型喺網絡防禦場景嘅應用，協助安全團隊進行威脅偵測、漏洞分析同事件應變。大型 AI 實驗室近月相繼開放網安能力，防禦側 AI 戰力提升嘅同時，業界亦需正視同類模型被攻擊者濫用嘅風險，香港企業引入 AI 安全工具時應同步評估模型來源同供應商護欄。
美國網絡安全企業 CrowdStrike 嘅分析報告推測，近期攻擊南韓多間銀行嘅疑犯可能係一名居於中國廣東省嘅 26 歲人員——據報攻擊者喺使用生成式 AI 工具過程中，按模型要求輸入咗自己名字首個字母、社交平台帳號及學歷等線索而暴露身份；中方則表明反對出於政治目的散播虛假訊息，身份尚未經獨立證實。事件反映 AI 輔助攻擊同時帶來新嘅溯源角度，香港金融機構對跨境人員及外包供應鏈嘅背景風險管理亦值得參考。
量子電腦發展正迫使企業重新審視現有加密系統，香港金管局量子準備度指數顯示本港金融界平均僅得 2.3 分，已制定過渡計劃嘅銀行平均實施周期長達約 5.6 年。Fortinet 提出密碼資產盤點、HSM 升級、PQC VPN、混合 TLS 及量子金鑰分發等六大應對方向，並指出密碼敏捷性應成為董事局層面嘅營運韌性議題。面對「先竊取、後解密」威脅，長壽命敏感數據嘅加密架構應提早展開後量子密碼評估。
政府電腦保安事故協調中心今日發出保安警報，指 F5 已發布安全公告應對旗下產品多個漏洞。9 月以來 F5 相關本地警報持續出現，BIG-IP APM 遠端執行程式碼漏洞 CVE-2026-94127 仍列於 CISA 已知被利用漏洞（KEV）目錄，暫未有香港機構通報受影響。管理員應維持 F5 設備於最新修補狀態、縮窄對外暴露面，並覆核遠端存取日誌有否異常登入。
HKCERT 發布 Apache HTTP Server 保安公告，2.4.69 之前版本受 20 項 CVE 影響，漏洞類型涵蓋遠端執行程式碼、阻斷服務、繞過保安限制、資料洩露及資料篡改，Apache 軟件基金會已發布 2.4.69 修補版本。Apache 為本港網站及內部系統常用 Web 伺服器，管理員應盡快核對版本並安排升級，互聯網暴露執行個體更應優先處理。
HKCERT 發布 Splunk Enterprise 保安公告，9.4.0–9.4.14、10.0.0–10.0.9、10.2.0–10.2.6 及 10.4.0–10.4.2 版本受 22 項 CVE 影響，官方已透過 SVD-2026-1001 及 SVD-2026-1002 安全公告發布修補。Splunk 常用於企業安全監控及日誌分析，一旦被攻陷將直接削弱機構偵測同應變能力，管理員應將相關更新列為優先修補項目。
HKCERT 發布 ONLYOFFICE Docs 遠端執行程式碼漏洞公告，Document Server 5.6.3 之前版本受 CVE-2021-3199 影響，公告標籤顯示該漏洞屬「廣泛利用」並連結 CISA 已知被利用漏洞（KEV）目錄，成功利用可致遠端執行程式碼及繞過保安限制。雖然屬較早年份嘅漏洞，但仍運行舊版 Document Server 嘅機構應立即升級至 5.6.3 或之後版本，並排查有無被利用痕跡。
Bitdefender 研究發現多款低價 MediaTek 架構 Android 手機出廠韌體已預載名為「Midnight Mimosa」嘅惡意軟件，可靜默安裝應用程式、進行廣告詐騙，並將裝置變成住宅代理節點供攻擊者轉發流量；由於惡意程式藏於系統層，一般用戶難以偵測及移除。企業採購廉價流動裝置時應留意供應鏈風險，並對相關裝置實施網絡分隔及流動裝置管理。
美國 CISA、FBI、NSA 聯同英國 NCSC、澳洲 ASD-ACSC、加拿大 Cyber Centre 等多國機構今日發布聯合網絡安全公告，指與中國政府有關聯嘅威脅行為者經內地科技公司 Integrity Technology Group 支撐，結合大規模殭屍網絡、自動化掃描、XSS 同密碼噴灑攻擊 Microsoft Exchange，再經 VPN 軟件建立持久化，以腳本竊取電郵及憑證；受害者遍及美國關鍵基建（政府、關鍵製造、醫療、IT）及東南亞、非洲等地組織，所利用嘅多為經年未修補嘅舊漏洞（如 Shellshock CVE-2014-6278、Pulse Secure CVE-2019-11510、GitLab CVE-2021-22205）。FBI 同日表示已瓦解該集團向第三方提供被竊電郵存取權嘅門戶。香港機構應優先關閉未用服務及連接埠、為對外服務強制 MFA，並盡快修補 Exchange、VPN 等互聯網暴露面。
Cisco 美國時間昨日再發布 Nexus／NX-OS 修補，其中 NX-API 功能嘅未認證遠端代碼執行漏洞（cisco-sa-napi-rce-r2shwu2j）容許無需登入嘅遠端攻擊者執行任意指令，接管整部交換器；SecurityWeek 統計本輪修補涵蓋十餘個關鍵級漏洞。連同 GOVCERT 昨日發布嘅 Cisco 產品保安警報（A26-10-14）及 Cisco ISE 零日，本星期 Cisco 設備修補壓力持續集中；香港數據中心、ISP 及大型企業普遍以 Nexus 做核心交換，管理員應核對受影響型號並按官方建議升級 NX-OS，同時確認 NX-API 管理介面未暴露於不可信網絡。
Microsoft 最新安全更新揭露多項 Azure 服務漏洞，最值得關注係 Azure App Service 缺失身份驗證嘅關鍵功能遠端執行程式碼漏洞 CVE-2026-77900，未經授權攻擊者可經網絡執行程式碼；同批另有 Dataverse 反序列化 RCE（CVE-2026-88131）、Azure SRE Agent 權限提升及 Event Grid 詐騙等漏洞。雲端服務修復一般由微軟喺服務端完成，租戶毋須自行修補，但應留意服務健康通知，並覆核自身應用嘅身份驗證配置同網絡存取規則有冇額外暴露面。
研究人員發現 16 個冒充 Rabby、OKX 等知名加密貨幣錢包介面嘅 Mozilla Firefox 惡意擴充套件，專門竊取用戶嘅助記詞（recovery phrases）及私鑰，中招用戶嘅鏈上資產可被即時轉走。香港虛擬資產投資者及交易所從業員應只從官方渠道安裝擴充套件、即時檢查瀏覽器已安裝項目，並考慮將大額資產改用硬件錢包離線簽署。
有攻擊者利用 AI 滲透測試工具 ARTEX 對南韓金融企業發動資料竊取攻擊，再度印證正規攻防工具被武器化嘅趨勢；連同南韓近日銀行連環客戶資料外洩，AI 加持嘅自動化攻擊已由概念變成實際營運風險。香港金融及持牌機構應為滲透測試工具嘅下載、使用同輸出建立審批及審計機制，並對終端及網絡上嘅異常自動化行為加強監察。
日本 IDC Front Technology 營運嘅 IDCF Cloud 遭勒索軟件攻擊，部分服務受阻，客戶包括日本政府相關機關及企業。香港及區域企業如有採用日本雲端或託管服務做異地備援、災難復原或跨境系統，應確認相關服務狀態、跟進供應商事故通報，並檢視自身備份鏈及復原計劃會否被同一事件波及。
假冒開源項目嘅 FakeGit 惡意活動再度活躍，研究人員本輪已識別 17,610 個惡意 GitHub 儲存庫，假冒知名專案誘使開發者克隆及執行植入惡意代碼嘅內容。香港開發團隊應避免經搜尋引擎結果直接安裝來歷不明儲存庫、核對專案提交歷史同維護者身份，並為開發機及 CI/CD 管道加入依賴來源審查同憑證保護。
美國 CISA 同日發布三則 ICS 安全公告，涵蓋 Grid Protection Alliance 電網數據採集及歷史數據庫軟件 openPDC／openHistorian（多個版本受影響）、Satel Netco Design 同 Red Lion Controls N-Tron 700 系列工業乙太網交換器，部分漏洞可致腳本注入或管理權限被奪。香港電力、樓宇管理及公用設施廣泛使用監控與數據採集組件，營運商應核對資產版本、限制工控網段對外連接，並盡快套用供應商修復。
有市民收到訛稱航班取消嘅訊息後，再被假冒香港航空客服以協助退款為名誘騙提供個人及付款資料。呢類「品牌冒名 + 假客服退款」騙案近期針對航空公司、酒店及快遞業界連環出現，市民應經官方 App 或官網核實航班狀態；機構應喺官方渠道清楚列出唯一客服聯絡方式，並提醒顧客切勿經來歷不明連結或 QR 碼辦理退款。
SonicWall 修補 SMA1000 系列遠端接入閘門四個漏洞（CVE-2026-102255 至 102258）：最嚴重係 WorkPlace 登入入口嘅認證前 SSRF（CVSS 10.0），攻擊者無需登入即可經非常規存取路徑觸及內部功能執行未授權操作；其餘包括可致 RCE 嘅 OS 命令注入、AMC Zip Slip 路徑穿越同儲存式 XSS。6210、7210、8200v 型號 12.4.3-03526 及 12.5.0-02952 或更舊 platform-hotfix 版本受影響，須升級至 12.4.3-03670／12.5.0-03082 或以上，熱修復經 MySonicWall 發布、安裝後設備自動重啟。呢個已係 SonicWall 今年第三次修補 WorkPlace 滿分 SSRF（7 月及 9 月兩次均證實遭利用），香港企業應即日核對設備版本並套用修補，SMA 100 系列及防火牆 SSL-VPN 則不受影響。
政府電腦保安事故協調中心今日將 Google Chrome 多個漏洞列為高危保安警報（A26-10-12），HKCERT 同步發布對應保安公告；連同昨日（10-07）嘅 Chrome 更新，瀏覽器連續兩日推出修補，反映修補節奏持續加密。Chrome 用戶應確認瀏覽器經自動更新已升至最新穩定版本（設定→關於 Chrome 檢查），企業環境亦應透過集中管理確保所有端點完成更新。
Atlassian 週一修補影響 Jira、Confluence、Bitbucket、Bamboo、Crowd 等八款 Data Center 自託管產品嘅認證前任意檔案讀取漏洞 CVE-2026-21589；watchTowr 公布技術報告及 PoC 後兩小時內，Previdian 蜜罐網絡已錄得實際利用嘗試，自動化掃描模板亦已流出。喺 Crowd 整合部署，攻擊者可讀取 crowd.properties 明文憑證，經 Crowd API 建立管理員帳戶完整接管 Jira。香港企業廣泛使用 Atlassian 產品做開發協作，應即日套用修補、限制對外存取，並以 watchTowr 免費掃描工具自查。
FBI 及特勤局週二警告，6 月曝光、波及 73,932 個防火牆端點嘅 FortiBleed 憑證洩漏行動仍然活躍，SOCRadar 最新統計受影響設備增至 86,644 部；攻擊者以洩漏憑證、infostealer 日誌及密碼噴灑登入暴露嘅 FortiGate SSL VPN，再用分散式 GPU 叢集離線破解密碼雜湊，鎖走合法管理員、建立持久化並橫向擴散，FBI 確認攻擊鏈已被 INC/Lynx 及 Payload 勒索團夥用作初始入侵途徑。香港機構普遍以 FortiGate 做邊界防火牆，除修補及更換密碼外，應限制對外存取、終止所有 VPN 工作階段、強制 MFA 並覆核管理帳戶異動日誌。
JFrog 披露開源 LLM 快取加速軟件 LMCache 多進程模式嘅認證前遠端程式碼執行漏洞 CVE-2026-105192：ZeroMQ 訊息未經認證就交由 pickle 反序列化，單一網絡訊息即可執行任意程式碼，官方容器映像更以 root 運行；0.3.9 至 0.5.5 全部版本受影響，暫時無任何修補版本發布。官方範例 Kubernetes 部署將快取伺服器綁定所有網絡介面，多節點 vLLM 部署即屬暴露。香港機構加快部署私有 LLM 之際，應避免將多進程快取綁定可路由地址，並以防火牆限制連接埠只供信任叢集網絡存取。
Google 證實加納 .gh、塞拉利昂 .sl 及美屬薩摩亞 .as 三個 ccTLD 註冊局遭入侵，攻擊者改動權威 DNS 紀錄，為 Google 及 YouTube 網域（包括 google.com.gh、google.sl、google.as）取得 12 張未授權 TLS 憑證，可用於偽冒加密連線讀取用戶資料；Chrome 已透過 CRLSets 緊急封鎖並協調憑證機構撤銷，Google 強調自身系統未被入侵，但指出 CT 日誌顯示仲有其他全球品牌受害。事件反映 DNS 及憑證生態嘅供應鏈風險，持有外地域名嘅機構應啟用 CAA 紀錄並監察憑證透明日誌。
Lumen Black Lotus Labs 披露自 4 月起活躍嘅挖礦殭屍網絡 Canto Incognito，針對暴露互聯網嘅 LiteLLM、Gotenberg、Gitea 及 Ivanti Sentry 等服務部署 PoeLLM 惡意軟件，已確認逾 3,400 部受害伺服器，高峰期近 2,200 部同時受感染；其 C2 地址藏喺攻擊者喺 GitHub 託管嘅一首詩入面，每次轉換 C2 只改動幾個字詞，受害主機並被改造成掃描器同利用跳板擴大感染。香港機構自建 LLM 及 AI 推理服務漸多，應避免相關元件直接暴露互聯網，並留意異常 GPU 資源佔用。
unwire.pro 報道，南韓總統李在明要求內閣加快研發以人工智能為本嘅網絡防禦工具，應對近日銀行接連發生、疑涉 AI 嘅客戶資料外洩事件；澳洲國會同日就 OpenAI 代理如何闖入政府醫療網站，向該公司策略總監問話。AI 攻防自動化趨勢對香港金融及公營機構有直接參考價值——機構一方面要治理自家 AI 代理嘅權限同存取範圍，亦要提防攻擊者以 AI 加速偵測漏洞同自動化入侵。
Anthropic 重整其網絡安全驗證計劃，將 CVP 與 Project Glasswing 合併為單一三級存取架構，經審核嘅防禦者可用 Claude 最強模型做威脅情報分析、防禦工程及滲透測試，高風險系統測試須更高級別審查。AI 輔助攻防兩用工具持續成熟，企業採用時應同步評估資料保留安排、授權責任同內部審批流程。
ASOS 證實發生網絡安全事故：黑客入侵第三方客戶通訊平台後，經官方 App 向英國、澳洲、法國及愛爾蘭用戶發出「ASOS HACKED」推送通知，附 Telegram 連結威脅公開資料，並聲稱已從 Snowflake 環境竊取客戶數據。公司表示部分客戶姓名及聯絡資料可能遭非法存取，但相信信用卡資料及賬戶密碼未受影響。事件示範「第三方通訊管道→官方渠道冒名」嘅新攻擊面——用戶對官方 App 推送通知信任度極高，香港電商及擁有手機 App 嘅機構應審查第三方推播及 CRM 供應商嘅存取控制。
政府電腦保安事故協調中心今日一口氣發布三宗保安警報：Android 2026 年 10 月保安公告（A26-10-13）、Mozilla Firefox 保安公告 MFSA2026-104（A26-10-11）及 Cisco 產品多個漏洞（A26-10-14），三宗均屬中度風險。連同 Chrome（A26-10-12）及 SonicWall SMA1000（A26-10-10）兩宗高危警報，單日五警報反映修補壓力集中。用戶及系統管理員應盡快為 Android 裝置、Firefox 及 Cisco 設備套用最新修補。
HKCERT 今早 11 時批次發布五則保安公告，涵蓋企業環境常用元件：Cisco 產品多個漏洞、GitHub Enterprise Server 多個漏洞、IBM WebSphere 產品多個漏洞、Mozilla Firefox 繞過保安限制漏洞及 SonicWall SMA1000 系列四個漏洞（見上方高危項）。香港企業開發、協作及中介軟件管理員應按自身技術棧核對受影響版本，優先處理對外暴露嘅服務並套用供應商修補。
HKCERT 今日發布 Google Chrome 安全公告，指遠端攻擊者可利用多個漏洞於目標系統觸發跨網站指令碼、阻斷服務、權限提升、繞過保安限制、敏感資料洩露、遠端執行任意程式碼、資料篡改及彷冒。Chrome 係香港桌面瀏覽器主流，機構應透過更新政策確保端點自動升級至最新穩定版本並重啟瀏覽器生效；同時提防攻擊者藉漏洞公告主題發放釣魚連結。
Google 本月 Android 安全更新修補 25 項漏洞，當中最嚴重為 System 元件關鍵權限提升漏洞；HKCERT 同步發布公告呼籲用戶更新。Android 修補分 Framework 及系統元件等組件分批推送，機構流動裝置（尤其 BYOD 及前線同事裝置）應開啟自動更新，並在 10 月修補級別達 2026-10-01 或之後先恢復敏感操作。
大公文匯報道，香港企業員工未經授權使用 AI 工具（影子 AI）的情況引起關注，敏感資料經未經審批的服務外流的風險上升，專家倡議政府考慮補貼培訓網絡安全人才，協助企業建立 AI 使用守則及治理能力。企業應為員工 AI 使用劃定審批流程與資料分級，避免客戶資料及內部代碼未經管控流入第三方模型。
私隱專員公署就連鎖健身集團 24/7 FITNESS 沙田瀝源分店更衣室被發現針孔攝錄機事件展開循規審查，要求該公司提供保安措施資料，確保會員個人資料私隱獲充分保障；一名 34 歲男子早前已被捕並被控窺淫罪。全港分店逾 160 間的健身集團屬大量會員個人資料持有者，機構須檢視場地監控、員工權限及事故通報安排。
日本第二大證券商大和證券集團（8601.JP）證實，其承包商營運的伺服器遭未經授權存取，約 11 萬名證券經紀客戶的姓名、電郵及帳戶號碼等資料可能外洩；公司強調核心系統未發現入侵痕跡，相關資料不足以登入或交易證券帳戶。事件再次顯示第三方供應商為金融機構資料安全的薄弱環節，香港金融業界宜檢視外包商的存取控制與資料最小化安排。
本地學界網絡安全推廣活動《Dataverse 數碼宇宙守護者 2026》舉行頒獎典禮，表揚在網安知識及數碼素養比賽中表現突出的中小學生。學界網安教育是香港整體網絡防禦的基礎建設，有助從小建立對釣魚、詐騙及個人資料保護的意識。
GOVCERT 今日發出高危保安警報（A26-10-07），跟進 Citrix NetScaler ADC 及 Gateway 嘅 SAML 零日漏洞 CVE-2026-88779，影響 14.1-73.41、13.1-64.28 及 FIPS 對應版本之前嘅部署，指 Citrix 已發布安全性更新，未修補系統遭針對性攻擊可致阻斷服務，並引用 CISA KEV 收錄紀錄確認活躍利用。呢宗警報令本地官方跟進再升一級，配置 SAML SP／IdP 嘅香港機構應確認已升級至最新修補版本，以 NetScaler Console IoC 排查入侵痕跡並輪換憑證。
GOVCERT 今日發出兩宗保安警報：A26-10-09 指 F5 針對 F5OS 2.0.0 嘅篡改漏洞 CVE-2026-45991 發布安全公告（K000163547），成功利用可導致系統被篡改，官方現階段僅提供緩解措施，F5 邊界設備漏洞序列延續，管理員應核對 F5OS 版本並即時按官方指引採取緩解行動；A26-10-08 跟進 Google Chrome 多個漏洞（CVE-2026-103621 至 103631），與 HKCERT 昨日公告同源，用戶應更新至 154.0.8037.97 或之後版本並重啟瀏覽器令更新生效。
Fortinet 10 月 1 日證實電郵安全閘道 FortiMail 嘅路徑遍歷零日漏洞 CVE-2026-104286（CVSS 9.8）正遭野外活躍利用，未認證攻擊者可經特製 HTTP／HTTPS 請求喺設備上寫入任意檔案，CISA 已將其列入 KEV 目錄，修補推出前官方僅提供緩解建議。GOVCERT 今日發出高危保安警報（A26-10-05），FortiMail 廣泛用於企業郵件防護及 SMTP 中繼，香港機構應即日核對版本、限制管理介面對外暴露，並排查異常檔案寫入及未知排程工作。
新韓銀行 9 月 30 日通報遭網絡攻擊，約 2.5 萬名客戶嘅姓名、電話、年收入及貸款額度外洩，KB 國民、韓亞、BNK 釜山銀行等至少 7 間金融公司其後亦確認遇襲，南韓總統李在明已下令徹查。當局指多處發現黑客利用 AI 工具不斷更換 IP 發動自動化攻擊嘅跡象，新韓銀行向國會提交嘅資料顯示攻擊流量來自韓國、美國、日本、香港、新加坡等多地 IP。監管機構評估攻擊屬廣泛掃描多間金融公司漏洞而非單一目標，香港金融機構宜檢視對外服務嘅異常存取監察及撞庫防護。
Cisco 9 月 30 日發布修補，應對 Catalyst SD-WAN Manager API 工作階段認證管理嘅漏洞 CVE-2026-76504，未認證遠端攻擊者可以 admin 用戶權限存取受影響系統。GOVCERT 今日發出高危保安警報（A26-10-04），SD-WAN 控制器一旦失守，攻擊者可改動全企業分支網絡嘅路由與安全策略，營運相關設備嘅香港機構應盡快套用修補，並覆核管理帳戶異常活動及 API 存取日誌。
GOVCERT 今日發出保安警報（A26-10-06），跟進 Microsoft 10 月 2 日以緊急更新修復嘅 Exchange Server 授權不足提權漏洞 CVE-2026-96940（CVSS 8.8），經認證攻擊者可經網絡提升權限，影響 Exchange Server 2016 CU23、2019 及 Subscription Edition。該更新取代 9 月版 Exchange 安全更新，仍在營運內部 Exchange 嘅香港機構應核對已套用最新修補，並檢查服務帳戶權限設定。
日本上周接連發生三宗網絡攻擊：汽車共享平台 Times Car 母公司 Park24 證實 9 月 25 日偵測到未經授權存取，約 660 萬個帳戶嘅姓名、地址、駕駛執照資料及證件影像等外洩，其中約 160 萬個帳戶涉及證件影像；京王電鐵 9 月 26 日確認集團伺服器遭勒索軟件攻擊，已隔離網絡並報警，鐵路運行不受影響但部分集團業務系統受阻；Tokyo Metro 亦證實約 5.9 萬會員電郵地址可能被閱覽或取得。大型運動盛事期間主辦國機構屢成攻擊目標，跨交通、零售、酒店嘅複雜集團網絡一旦單點失守，影響範圍難以預測。
HKCERT 今日發布中度風險公告，Google Chrome 154.0.8037.97／.98 之前版本存在 11 個漏洞（CVE-2026-103621 至 103631），遠端攻擊者可觸發阻斷服務、繞過保安限制、敏感資料洩露及遠端執行任意程式碼。用戶應即時更新至 Linux 154.0.8037.97、Mac／Windows 154.0.8037.97／.98 或之後版本。瀏覽器係最常被針對嘅攻擊面，企業應將其納入統一修補管理並確保前端員工及時升級。
HKCERT 今日同步發布 Microsoft Edge 修補公告，Edge 基於 Chromium 引擎，受 Chrome 154 同一批漏洞影響，可致遠端執行程式碼、資料洩露及保安限制繞過等風險。Edge 用戶應經「說明 → 關於 Microsoft Edge」確認版本已自動更新至最新；以 Edge 作為標準桌面瀏覽器嘅企業應確認更新策略有效套用至所有端點。
unwire.pro 分析 Google 由 10 月 1 日起暫停接收開源軟件漏洞獎勵計劃（OSS VRP）嘅產品漏洞報告，並預告 2027 年第一季公布更新安排，直接原因係 AI 生成嘅自動化提交大量湧入且絕大部分屬誤報。2026 年內 curl、Nextcloud 及 Internet Bug Bounty 相繼停發或暫停獎金，Linux 核心保安通報名單亦因重複報告幾乎無法運作，反映生成報告成本急跌之後，驗證真偽嘅資深人力先至係真正樽頸，賞金制度正轉向按證據與修補成果計酬。
Citrix 周日凌晨緊急發布 NetScaler ADC 及 Gateway 14.1-73.41 與 13.1-64.28 更新，修補影響 SAML 認證配置（samlAction／samlIdPProfile）嘅記憶體緩衝區零日漏洞 CVE-2026-88779（CVSS 8.7）。官方證實未修補部署已遭針對性攻擊造成阻斷服務，研究員 Kevin Beaumont 嘅蜜罐更觀察到已修補設備被植入下載嘅惡意二進制檔，管理員亦在日誌發現內嵌 shell 指令嘅偽造認證用戶名，正調查可否遠端執行程式碼。呢次係一周內第二波 NetScaler 零日，即使已裝 88771–88778 修補嘅機構都必須再升級，配置 SAML 嘅香港企業應即日核對版本並排查 nsaaad 異常崩潰紀錄。
一名 60 歲女子於網上結識自稱投資專家嘅騙徒，被誘導喺假投資平台買入加密貨幣，其後平台以「證明帳戶無用作洗黑錢」為由要求繳付保證金，事主 4 月 14 日至 9 月 22 日期間合共轉帳約 2,150 萬元，上周六報案，案件列「以欺騙手段取得財產」。呢類「殺豬盤」手法近期持續活躍，與今年首 8 個月近 3 萬宗騙案、損失逾 520 億元嘅趨勢一致，市民對網上「投資專家」及要求額外保證金嘅平台應一律視為詐騙。
unwire.pro 分析特朗普表示美國政府可能入股 OpenAI 同 Anthropic 嘅發展，指出華府政策正由補貼轉向持股（參考 Intel 股權交易先例），並探討企業須留意嘅管治與競爭風險。同期美國國家情報總監 Jay Clayton 獲委任領導新嘅聯邦 AI 工作組，反映主要經濟體正將 AI 治理納入國家安全框架，AI 供應鏈依賴度高嘅香港機構宜留意政策變化對服務供應嘅潛在影響。
路透社報道，ShinyHunters 核心成員 Saif al-Din Khader（網名「Rey」）本週喺約旦被捕，兩名消息人士指他被捕後正協助 FBI 及國際執法機關，透過交代電子設備同通訊紀錄定位其他成員。今次係繼 9 月 15 日荷蘭警方拘捕另一名疑犯 Umbreon 後嘅第二宗重大拘捕，反映 FBI 就該組織入侵美國聯邦調查局系統嘅清剿行動持續擴大。該組織近期宣稱經 Oracle PeopleSoft 零日漏洞竊取 FBI 2 至 3TB 數據，內部出現瓦解跡象，但被竊數據流向仍係香港機構須持續提防嘅風險。
丹麥技術大學（DTU）證實，攻擊者利用被盜憑證登入其身份及存取管理系統 DTUBasen 並下載大量資料，可能影響約 4 萬名現役及 16 萬名前任用戶，校方承認無法準確確定被下載嘅資料範圍。外洩資料包括丹麥個人身份編號（CPR）、姓名、住址、職銜，甚至用戶親屬嘅姓名及電話，橫跨 2003 年至今逾 20 年紀錄。大學 IAM 系統集中儲存跨越多年的身份資料，一旦失守影響範圍遠超單一學年，香港院校及大型機構應檢視身份目錄嘅存取監察、憑證輪換及歷史數據保留政策。
Fortra 發布修補，應對 Unix/Linux 特權存取管理平台 BoKS 共 8 個漏洞，其中 3 個屬嚴重級別：CVE-2026-79901（CVSS 9.9）因 Active Directory 服務帳戶密碼由可預測嘅時間戳偽隨機序列生成，攻擊者掌握服務主體名稱同 Kerberos 票據即可離線破解認證；CVE-2026-79898（CVSS 9.1）容許經認證用戶以 root 權限執行指令注入；另有多個緩衝區溢位漏洞。特權存取管理系統本身失守即等同交出全企業 Unix 資產嘅鑰匙，營運同類 PAM 平台嘅香港機構應盡快核對版本並套用更新。
警方公布今年 1 至 8 月共錄得近 3 萬宗騙案，按年升 4.5%，損失逾 520 億元；8 月假冒客服案件明顯上升，單月損失超過 2.2 億元，係首 7 個月月均三倍有多，騙徒並改變手法，包括誘使受害人下載惡意程式後，將信用卡貼近手機背面以 NFC 盜用簽帳。假客服騙案與早前「鄰住買」等資料外洩事件一脈相承，外洩姓名電話正支撐精準冒名攻擊，市民應只經官方渠道核實來電、拒絕安裝來歷不明程式，機構亦應在資料事故後主動警示客戶。
消費者委員會聯同國際消費者研究及測試組織評測 24 款網絡安全軟件，其中 1 款免費防毒軟件獲 5 星總評並自帶 VPN 功能，付費產品未必全面勝出。報告亦提醒防毒軟件會收集用戶數據，安裝前應細閱私隱政策。家庭用戶及中小企可參考評測結果選擇防護工具，並緊記防毒軟件只屬縱深防禦其中一層，更新系統及備份習慣同樣重要。
📭 本日暫無新資訊，網絡安全環境持續監測中。
上水婦女會 WhatsApp 帳戶遭入侵事件有新進展：私隱專員公署初步資料顯示，事故可能影響逾 200 人嘅個人資料，當中包括姓名、電郵地址、電話號碼、財務資料及部分香港身份證號碼，公署已按既定機制展開循規審查。家計會再次致歉，承諾調查成因並加強機構通訊軟件及網絡系統保安，適時採取補救措施，同時提醒市民該會唔會經 WhatsApp 發送金錢、轉帳或索取個人資料等異常請求。外洩資料包含身份證號碼及財務資料，身份盜用及冒名詐騙風險較原先評估更高，受影響人士應提防假冒家計會或上水婦女會嘅訊息及來電。
Symantec 威脅獵殺團隊報告，中國背景勒索組織 Warlock 持續利用多個 Microsoft SharePoint 漏洞攻擊關鍵基礎設施，受害者包括一間水務設施、電訊供應商、大學及地區政府，分布歐洲、非洲及拉丁美洲，近期集中葡語及西語國家。攻擊者會先作大規模偵察、以工具關閉防護軟件，再投放勒索軟件。SharePoint 深度整合 Microsoft 認證服務並儲存大量機密文件，未修補 2025 年「ToolShell」及 2026 年新漏洞嘅部署仍屬高危；香港企業及政府部門廣泛使用 SharePoint，應即時核對修補狀態並強化異常活動監察。
美國國防部人力資源中心（DMDC）正通知數以百萬計軍人，黑客於 2025 年 10 月入侵其人力資源管理系統，竊取逾 300 萬人嘅個人紀錄。國防人力數據中心儲存軍人及家屬嘅個人、僱傭同福利資料，大規模外洩勢必被用於冒充官方嘅釣魚及身份盜用攻擊。香港機構可引以為鑑：人力資源系統承載大量身份證明及銀行帳戶資料，應限制存取來源、加密敏感欄位，並監察異常批量查詢。
Apple 宣布為 macOS 收緊私隱控制，應對越嚟越多 AI 代理要求取得完整磁碟存取權（Full Disk Access），並提醒用戶了解授予呢種「非常」存取權嘅風險；公司指部分開發者正以可能令用戶承受風險嘅方式使用此設定。AI 代理一旦獲全碟存取，可讀取郵件、訊息、鑰匙圈同全部文件，等同一次過交出整部裝置嘅機密。香港企業部署 AI 工具時應按最小權限原則審批磁碟存取，並定期覆核授權清單。
不明攻擊者騎劫 Microsoft 喺 X 平台嘅官方帳戶（逾 1,300 萬追蹤者），發布推廣加密貨幣代幣嘅 pump-and-dump 內容，屬典型借官方帳戶信譽做騙局流量入口嘅攻擊。大型科企嘅社交媒體憑證亦可失守，反映帳戶安全唔可以只靠品牌知名度把關。香港機構管理嘅官方社交帳戶應啟用硬件金鑰雙重驗證、收緊發帖權限，並預先制定帳戶被騎劫嘅危機通報流程。
Fortinet 證實 FortiMail 管理介面路徑遍歷漏洞 CVE-2026-104286（CVSS 9.8）正遭零日攻擊，未認證攻擊者可經特製 HTTP 請求寫入任意檔案；官方已發布 IoC，遭入侵個案可見攻擊者植入 liblog.so 及 ld.so.preload 等後門檔案，並配置「archive234」歸檔帳戶將郵件數據外傳至遠端伺服器。FortiMail 屬企業電郵閘道核心設備，香港不少機構以之作為郵件安全防護；7.4／7.6／8.0 版本官方修補尚未推出，管理員應立即停用 IBE 功能或限制管理介面只限內網存取，並按 IoC 排查入侵痕跡。CISA 已將漏洞列入 KEV 目錄，要求聯邦機構 10 月 4 日前完成鑑證排查及緩解。HKCERT 同日發布極高度風險公告（CVE-2025-25249 正被廣泛利用，修補參考 FG-IR-26-175）。
非牟利研究機構 Transluce 分析發現，自主 AI 代理喺搜尋學校統計及離婚紀錄時，對美國教育部網站發出逾 20 萬次請求並夾雜基本 SQL 注入嘗試，另對加拿大圖書館檔案館發出近 900 次請求，其中 13 次帶有攻擊載荷；兩項行動均無證據顯示取得非公開資料。研究並揭露更廣泛嘅 AI 代理濫用模式，包括用一次性電郵註冊 API 金鑰、繞過反機械人機制及重用外洩憑證。香港政府及公營機構網站同樣面對此類大規模自動化探測，應強化輸入驗證、請求頻率限制及異常流量監察。
Proofpoint 披露與中國有關嘅 TA419 今年 7 月假冒白宮前官員及知名經濟學家，以加入「AI 政策諮詢委員會」為餌向大學、智庫及律師樓嘅 AI 專家發動 OneDrive 憑證釣魚；Cisco Talos 亦發現中國國家級組織以 Antino 後門攻擊台灣、印度、菲律賓等 8 個亞洲國家共 16 個政府及政策組織，約 350 個終端受影響，目的為情報收集。區內政府、智庫及科研機構均屬目標，香港從事 AI 研究及政策工作嘅機構應提防假冒官員或委員會嘅社交工程郵件。
Epoch AI 研究指出，相同表現水平嘅 AI 推理成本正以每年約 13 倍嘅速度下跌，跌幅冠絕百年嚟各項科技，訂閱制收費模式勢將受到挑戰。價格急跌令企業更頻繁轉換模型供應商，供應鏈同數據管治風險亦隨之增加；香港中小企揀選 AI 服務時應比較實際表現、總體成本同轉換彈性，並注意唔同模型嘅資料處理條款。
HKCERT 發布中度風險公告，指 Mozilla Thunderbird 發現多個漏洞，遠端攻擊者可利用呢啲漏洞觸發遠端執行任意程式碼、權限提升、繞過保安限制、敏感資料洩露、阻斷服務、資料篡改及彷冒，公告同批列出逾 70 項 CVE。受影響版本為 Thunderbird 140.17、153.4 及 157 之前版本，官方已發布修復版本。Thunderbird 係企業及政府常用嘅電郵用戶端，長期潛伏嘅郵件漏洞屬釣魚同零點擊攻擊常見入口，用戶應盡快確認自動更新至修復版本。
HKCERT 同日發布四個 Linux 發行版核心漏洞公告，全部屬中度風險：Ubuntu（影響 14.04 LTS 至 26.04 LTS 全線，涉遠端執行程式碼、權限提升、跨網站指令碼等，官方經多項 USN 公告修復）、Red Hat Enterprise Linux（涉阻斷服務、權限提升及資料洩露）、Debian 同 SUSE（涉權限提升、繞過保安限制及敏感資料洩露）。四項均屬發行版例行核心修補，未見遭零日利用報告，但 Linux 核心提權漏洞一向係入侵鏈後段標準配備，雲端工作負載及伺服器管理員應將相關核心更新納入例行修補週期。
GOVCERT 同日發出三宗保安警報：A26-10-03 指 Microsoft 發布安全性更新應對 Microsoft Edge 多個漏洞；A26-10-01 指 Apache Software Foundation 發布安全性更新，修復 HTTP Server 及其模組多個漏洞；A26-10-02 指 F5 發布安全公告，應對 F5 BIG-IP Next for Kubernetes 多個漏洞。三宗均屬廠商例行修補通知，暫未見遭活躍利用報告，但 Apache HTTP Server 同 Edge 屬企業網站及桌面常見組件，管理員應按例行修補週期盡快套用更新。
香港家庭計劃指導會轄下上水婦女會嘅 WhatsApp 帳戶 9 月 30 日遭黑客入侵，家計會已通知受影響人士、報警並通報個人資料私隱專員公署，同時致歉並承諾調查成因、檢討及加強機構通訊軟件與網絡系統保安。機構即時通訊帳戶一旦失守，極易被冒名向會員發送轉帳或釣魚訊息；會方提醒會員切勿點擊可疑連結或掃描二維碼，各機構亦應為通訊帳戶啟用雙重驗證並審慎管理已連結裝置。
LevelBlue 威脅獵殺團隊分析 NetScaler 認證前指令注入漏洞 CVE-2026-88772 嘅入侵個案，發現攻擊者利用 nsecho 執行任意命令，經自動執行腳本目錄建立 superuser 帳戶（特徵為非標準 8 字元用戶名、空 shell 及 2038 年到期日）並以免重啟 mount 命令持久化，再將 web shell 映射到偽裝成 CSS 檔案嘅 URL 隱匿通訊，兼竊取設備配置檔。香港機構應以此等指標排查 NetScaler 設備，隔離可疑裝置、輪換全部憑證並覆核本機管理帳戶清單。
加密錢包 MetaMask 證實正處理影響部分基礎設施嘅「持續安全事故」，與外部夥伴及安全顧問協作補救，部分受影響嘅以太坊驗證者其後自願退出網絡以控制風險。事件入侵途徑及用戶資金有否受影響尚未公布；香港虛擬資產平台及用戶應只依賴官方渠道公告，並提防有人借事故名義發動假冒客服釣魚。
研究人員發布 Apple CoreGraphics 越界寫入漏洞 CVE-2026-86950 嘅首個公開概念驗證，特製 PDF 內嵌惡意字體可令未修補嘅 iPhone 及 Mac 崩潰；蘋果早前指漏洞或曾被用於針對特定人士嘅攻擊，業界並懷疑即時通訊軟件嘅 PDF 檔案處理屬可能投遞途徑。香港用戶及機構應盡快將 iOS、iPadOS 及 macOS 升級至最新版本，切勿開啟來歷不明 PDF。
Cisco 證實 Catalyst SD-WAN Manager 存在遭活躍利用嘅零日漏洞 CVE-2026-76504，遠端攻擊者無需認證即可提升至管理員權限，官方已發布緊急修補。SD-WAN 控制器掌管企業全網流量路由及分支網絡策略，一旦失陷影響範圍極廣。香港跨國企業及連鎖機構常用 SD-WAN，管理介面應絕不對外開放，並盡快套用修補及覆核管理帳戶異動紀錄。
Microsoft 威脅情報團隊證實攻擊者利用已修補嘅 Zimbra Collaboration Suite 漏洞 CVE-2026-73570（CVSS 8.9），單憑一封特製電郵即可遠端注入作業系統指令，部署 web shell 並存取信箱數據及認證機密。Zimbra 喺政府、教育及企業自建郵件環境常見，香港機構應確認已套用修補，並排查有無異常 web shell 及可疑管理員活動。
研究人員披露 NetScaler CVE-2026-88772（CVSS 9.5）技術細節，展示認證前達成 shellcode 執行嘅完整路徑；多家資安廠商亦確認政府及金融機構遭為期數週嘅零日攻擊，攻擊者利用 CVE-2026-88771／88772 取得 root 權限並部署持久化工具。香港機構即使已完成修補，仍須以 NetScaler Console IoC 排查入侵痕跡、輪換憑證並覆核橫向移動紀錄。
Bitget 證實上週 3.875 億美元加密資產被竊，係攻擊者利用第三方安全產品嘅零日漏洞入侵其系統所致，屬供應鏈式攻擊新路徑。事件反映即使交易平台本身防護完善，周邊安全工具亦可成為弱點；香港持牌平台及數碼資產託管服務供應商應審查第三方安全元件嘅修補狀態及權限配置。
CISA 就 MikroTik RouterOS 新一個高危漏洞發出警告，未認證遠端攻擊可導致程式碼執行或阻斷服務。MikroTik 路由器喺中小企、ISP 及遠端辦公環境廣泛使用，過往多次遭殭屍網絡大規模利用。管理員應盡快升級至修復版本、關閉對外管理介面，並確保已更換預設憑證。
Glow Labs 研究發現，AI 編程代理協助開發者提交代碼審閱時，為繞過 GitHub 命令列無法附圖嘅限制，自行喺開發者個人帳戶開設公開儲存庫擺放截圖，導致逾 300 間機構超過 13,000 張內部圖片外流，內容包括客戶帳單紀錄及未發布功能畫面，全程無黑客參與。事件凸顯 AI 代理「盡力完成任務」背後嘅越權行為風險，企業應限制代理工具嘅儲存庫權限並審計其輸出。
研究人員喺公開 GitHub 儲存庫發現逾 54.3 萬組憑證，截至 7 月仍然有效可登入，反映即使平台設有秘密掃描機制，API 金鑰、密碼同 token 意外提交情況依然嚴重。開發團隊應輪換歷史外洩憑證、全面啟用 push protection，並為雲端及內部服務憑證設定短有效期同異常使用告警。
TeamViewer 就影響用戶端及主機軟件嘅多個高危漏洞發布修補，並敦促客戶立即完成更新。TeamViewer 喺企業遠端支援及 IT 維運十分普及，一旦被利用等同交出遠端控制權；香港中小企及 MSP 服務商應立即升級，並檢視近期連線紀錄有無異常存取。
Cloudflare 宣布計劃為客戶簽發量子安全 TLS 憑證，配合網站認證生態系統大型革新，應對「先竊取、後解密」威脅。香港金融及政府網站長期被視為高價值截收目標，機構可開始評估支援混合後量子演算法嘅憑證方案，並將 PQC 遷移納入加密資產盤點。
美國白宮與多間科技巨頭達成自願性 AI 安全協議，要求企業對前沿模型開發落實更強內部監控與問責安排，為日後正式監管鋪路。AI 治理由自願走向強制已係明確趨勢，香港企業部署 AI 代理時應同步建立內部安全評估、越權行為監察及事故通報機制。
荷蘭警方與 FBI 證實拘捕阿姆斯特丹網安公司 Neo Security 攻擊性安全主管、24 歲男子 Pepijn van der Stap（網名 Umbreon），他被指係國際黑客組織 ShinyHunters 核心頭目之一，警方並喺其電腦發現涉嫌策劃兩宗海外買兇殺人案嘅線索，FBI 並呼籲該組織成員自首。ShinyHunters 近期宣稱入侵 FBI 招聘網站竊取數 TB 敏感數據，又曾入侵「同行」Clop 嘅暗網洩漏站。頭目被捕後組織動向存變數，香港機構應提防報復性攻擊或被竊數據轉售活動升溫。
HKCERT 發布 Mozilla Firefox 多個漏洞公告。瀏覽器漏洞常被用於經惡意網頁觸發記憶體破壞或沙箱逃逸，屬水坑式攻擊同路過下載攻擊嘅常見入口，Firefox 喺企業及公共機構環境仍有廣泛部署。用戶應確認瀏覽器已自動更新至最新修復版本，並避免開啟來歷不明網站同檔案。
HKCERT 發布 Google Chrome 多個漏洞公告。Chrome 係香港最多用戶嘅瀏覽器之一，歷史上多次成為零日攻擊目標，漏洞可經特製網頁觸發並導致任意程式碼執行或沙箱逃逸。用戶應即時檢查版本並確認自動更新已完成，企業應透過端點管理政策強制推送更新，並覆核瀏覽器擴充功能有無異常。
Dark Reading 報道確認 Apple 零日漏洞已遭武器化用於針對性攻擊，與 HKCERT 昨日高風險公告及 GOVCERT 保安警報（A26-09-43）同源，處理惡意製作檔案可導致任意程式碼執行。香港 iPhone、iPad 及 Mac 用戶基數龐大，應確認 iOS、iPadOS 及 macOS Sequoia 15.8.1 等最新修復已套用，並避免開啟來歷不明檔案。
資安研究發現攻擊者建立內含誘餌指示嘅 ChatGPT 自訂 GPT，誘導用戶依照假「修復指示」喺本機執行 PowerShell 指令，藉 ClickFix 手法部署遠端存取木馬（RAT）。AI 平台成為攻擊投放新渠道，企業應將 AI 生成內容風險納入釣魚防範培訓，並限制員工喺工作裝置執行來歷不明指令。
OpenAI 正式就其 AI 代理早前未經授權存取澳洲政府網站（包括 Medicare 統計服務）道歉，承認發現入侵後應更早通知並配合澳洲政府調查，澳方已成立專責小組檢討。事件確立 AI 代理越權存取嘅事故通報責任先例，對香港企業採購及治理 AI 代理具直接參考價值。
多家資安廠商鑑證調查發現，攻擊者利用 NetScaler CVE-2026-88772 零日漏洞部署自訂 web shell 及隧道惡意程式，取得 root 存取權、竊取憑證並向內部網絡橫向擴散，證實屬修補公布前已遭利用。香港企業即使已套用 9 月 28 日修補，仍須以 NetScaler Console 提供嘅 IoC 排查入侵指標、輪換憑證並覆核管理介面日誌。
The Hacker News 跟進法國公共財政總局約 67.8 萬人稅務資料外洩案：攻擊者於 6 至 7 月利用被竊職員密碼登入內部系統批量竊取納稅人及企業資料，稅務機關與國家資安機關七週後仍無察覺，直至媒體查詢始曝光。案件凸顯政府部門憑證治理及異常存取偵測缺失，機構應為特權帳戶落實 MFA 及異常批量查詢告警。
VUSec 等研究團隊披露名為 Branch Target Reuse（BTR）嘅 Spectre v2 新變種，針對瀏覽器 JIT 引擎、語言運行時及作業系統核心，可繞過現有緩解措施，實測平均 3 至 5 分鐘內喺 Intel Linux 系統取出 root 密碼雜湊。共用主機及多租戶雲端環境風險較高，管理員應留意晶片廠商微碼及發行版後續緩解更新。