Node.js 十月安全性更新：修補 10 個漏洞，含 Brotli 解碼器遠端程式碼執行漏洞 CVE-2026-111497
Node.js 於 10 月 21 日發佈安全性更新，修補 22.x、24.x、26.x 版本線上的 10 個漏洞，其中 CVE-2026-111497 為 Brotli 解碼器越界寫入，可能導致遠端程式碼執行。請盡速升級至 22.23.4、24.22.1 或 26.12.1。
4日
2026 11月
2日
2026 11月
PHP 兩個重大遠端程式碼執行漏洞已修補：修補前假 PoC 與錯誤緩解建議滿天飛
PHP 於 10 月 21 日修補兩個 CVSS 4.0 評分 9.2 的重大遠端程式碼執行漏洞 CVE-2026-109618 與 CVE-2026-109619，修補前網路上已出現假 PoC 與錯誤的緩解建議。請升級至 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35，8.2 以前的版本已終止支援，須遷移。
15日
2026 10月
Next.js 重大漏洞 CVE-2026-94545：ImageResponse 遭 SVG 注入可導致遠端程式碼執行
Next.js 揭露重大遠端程式碼執行漏洞 CVE-2026-94545，問題源自相依套件 Satori 未正確跳脫 SVG 內容，攻擊者可透過 ImageResponse 注入惡意 SVG 標記。受影響版本為 16.2.0 至 16.3.5，請儘速升級至 16.3.6；Next.js 15 與 Edge 版 ImageResponse 不受影響。
6日
2026 10月
胜肽熱潮背後的芬太尼供應鏈：中國化學品商加密貨幣收入兩年成長 32%
TRM Labs 研究發現，約 75% 接受加密貨幣付款的中國化學品商同時販售胜肽與芬太尼前驅物，相關業者的加密貨幣收入自 2023 年起兩年成長 32%，付款主力已轉向 TRON 鏈上的 USDT。在可辨識國別的資金中，美國是最大買方來源。
5日
2026 10月
MALFEX npm 惡意套件攻擊：三條感染路徑，攻擊者還「署名」留記號
Checkmarx Zero 揭露 MALFEX npm 供應鏈攻擊，同一攻擊者發佈 8 個惡意套件，透過三條互不相依的路徑在 Windows 上植入 Overlord 遠端存取木馬與 movinlike 竊密程式，累計下載逾 4 萬次。截至 9 月底仍有 3 個惡意套件可從 npm 安裝，且公告涵蓋不完整。
17日
2026 9月
npm「btree」惡意套件攻擊：不靠安裝腳本，惡意程式碼藏在套件主程式裡
Checkmarx Zero 揭露 npm 惡意套件 indexed-btree 攻擊活動：不使用安裝腳本，而是把惡意載入程式藏在套件主程式的 set 方法中，並以 Sepolia 智慧合約作為 C2。套件週下載量近 200 萬，另有 9 個相關套件遭下架，攻擊者據估已獲利 109 ETH。
6日
2026 9月
AI 時代的應用程式安全：Checkmarx 2027 產業展望報告導讀
Checkmarx 年度調查訪問全球 2,350 名資安長、AppSec 主管與開發人員，發現正式環境程式碼已有 49% 由 AI 生成，且 AI 程式碼占比越高、部署已知漏洞的比例越高。報告指出業界偵測能力已成熟，真正的落差在於從發現漏洞到修補之間的組織回應。
8日
2026 8月
美國財政部制裁 Shelbit：TRM 追蹤出 63 億美元伊朗地下金流結算層
美國財政部 OFAC 於 2026 年 8 月 7 日制裁杜拜加密貨幣交易所 Shelbit 及創辦人 Kayvanpour。TRM Labs 鏈上分析發現，該平台在 2024 年 5 月至 2026 年 3 月間經手超過 63 億美元資金，錢包幾乎不留餘額、資金主要透過 TRON 鏈流動，並牽涉 IRGC、哈瑪斯相關錢包與俄羅斯制裁規避網絡；報導中提及的相關人士均已公開否認涉入不法。
5日
2026 8月
2026 年最大宗硬體錢包漏洞事件：深入解析 1.16 億美元 Coldcard 駭客案
2026 年 7 月 30 日起，攻擊者利用 Coldcard 硬體錢包一項長達五年的韌體漏洞，分四波盜走約 1,816 顆比特幣（約 1.16 億美元），成為 2026 年迄今第三大加密貨幣駭客事件。TRM 鏈上分析顯示，遭竊資金目前多集中在少數位址、洗錢動作有限，且交易模式顯示可能涉及多名攻擊者。事件也再次提醒，韌體與熵值產生機制的可信度，和硬體錢包本身同樣重要。
28日
2026 7月
我們寫程式碼的速度已超越理解速度：AI 高速時代的新風險
AI 助理讓開發者寫程式碼的速度大幅超越理解速度：語言種類暴增、AI 生成程式碼佔比愈高，已知漏洞上線比例也隨之攀升，攻擊者甚至能在修補程式釋出一小時內就完成漏洞利用。文章介紹 Checkmarx 如何結合決定性掃描引擎與 AI 推理引擎（Next-Gen SAST），並以新推出的 Checkmarx Fusion 進一步搜尋零日與未知模式漏洞，盼能縮小攻守之間的落差。
