KDZONE 情報站

"The ISS radiators are expensive and heavy. We're focused on making them cheap and light."

Private buyers are increasingly outbidding museums for fossils.

AWS開源Loom for AWS，提供企業統一建立、部署及管理AI代理的參考平臺。AI代理可依使用者指令呼叫外部工具及執行工作，Loom則將代理的部署與操作、記憶、身分驗證、權限管理及人工核准整合到同一套系統，主要供企業平臺工程團隊使用。

今天（7月15日）微軟發布本月例行更新（Patch Tuesday），總共修補1,050個漏洞，有622個是微軟產品漏洞，其餘為Chromium弱點。微軟提及其中有3個漏洞特別值得留意，因為這些漏洞已在修補前遭到利用或被公開。

一週前微軟透露，隨著AI加速漏洞發現的速度，該公司已利用相關技術提早找出Windows弱點，並預告未來的每月例行更新（Patch Tuesday）將會納入更多修補內容，繼6月修補漏洞總數突破500，本次修補弱點數量近乎翻倍。

軟體供應鏈安全業者Socket揭露代號Muck and Load的惡意程式散布行動。攻擊者將惡意Go模組github[.]com/kaleidora/dnsub-scanning-tool偽裝成DNS與子網域掃描工具，並仿冒合法開放原始碼專案dnsub，誘使開發者誤信其為可信套件。該模組自2026年1月24日發布首個版本以來，已累積超過1,200個版本，其中逾700個含有惡意程式碼。

網路與應用程式安全服務業者Cloudflare推出機器人防護功能Precursor，透過持續分析訪客在整個網站工作階段的操作行為，辨識流量來自真人、自動化機器人或AI代理。

彭博社（Bloomberg）本周引述消息來源報導，OpenAI準備在今年底發表首款硬體裝置，這是款支援ChatGPT的智慧喇叭，而且支援充電電池，方便移動。

OpenAI上周上線的GPT-5.6 Sol模型會在未經詢問下，自作主張刪除用戶檔案，多名用戶相繼受害，甚至有人整個資料庫被刪掉。

歐洲平價超市連鎖業者Lidl（利多）本周通知德國、荷蘭和

Article URL: https://www.ayush.digital/blog/the-memory-heist Comments URL: https://news.ycombinator.com/item?id=48916975 Points: 476 # Comments: 227

微軟在7月分例行性更新（Patch Tuesday）中，修補622個自身產品的漏洞，其中包括多個Exchange Server相關重大漏洞，可能導致偽冒（spoofing）、提升權限，以及遠端執行程式碼等攻擊，影響Exchange Server 2016與2019版，以及Exchange Server訂閱版（SE），用戶應儘速更新。

日本大型食品與低溫物流業者Nichirei（日冷）集團13日遭駭，已證實造成食品出貨及冷藏物流倉儲作業停擺，此事件恐衝擊當地多家餐飲及零售商品的供應。 Nichirei在日本冷凍食品界是家喻戶曉的品牌，更擁有極具規模的低溫物流體系，該公司在2026年7月13日發布資安事故公告，說明凌晨偵測到系統異常，經調查確認，是由於遭受外部第三方未經授權存取所致，為防止損害擴大，集團已啟動緊急應變機制，並針對受影響的系統採取斷網隔離等保護措施。 這起事件，已經直接衝擊該集團的兩大核心業務，包括：日冷物流集團（Nichirei Logistics Group）旗下各公司…

GitHub調整Dependabot的一般版本更新機制，套件新版本發布至套件登錄服務後，Dependabot現在預設至少等待3天，才會提出版本更新拉取請求（Pull Request，PR）。該設定不需另外啟用，僅適用於一般版本更新，要是專案使用的套件含有已知漏洞，Dependabot仍會即時提出安全性更新PR，不受等待期影響。

隨著AI應用普及，Nvidia驅動程式及相關軟體已成為企業與開發者常見的安裝項目，以致Nvidia的名義也開始為惡意軟體利用。近日資安業者Blackpoint Cyber便揭露一款新型遠端存取木馬（RAT）軟體LabubaRAT，以Nvidia名稱在受害者主機上執行，藉此在Windows系統建立長期存取，並擁有多種遠端控制功能。

7月10日IT廠商Progress傳出緊急通知ShareFile用戶，要求暫時關閉Storage Zone Controller（SZC）伺服器，以因應外部資安威脅，該公司已暫停受影響帳號的存取權限，並著手調查。本週Progress向媒體透露，起因與零時差漏洞有關。

日本知名食品與低溫物流巨頭Nichirei（日冷）集團13日因遭受網路攻擊，導致冷藏倉庫與冷凍出貨作業中斷，這起針對物流中樞的網路攻擊事件已引發嚴重的連鎖反應，根據日本多家媒體報導，受波及的業者包括日本肯德基（KFC）、藏壽司（くら寿司）及零售巨頭永旺（Aeon）等，業者正面臨食材斷料危機，最嚴重是被迫暫時停止營業。

Article URL: https://www.reuters.com/business/finance/stripe-advent-offer-buy-paypal-more-than-53-billion-sources-say-2026-07-15/ Comments URL: https://news.ycombinator.com/item?id=48915953 Points: 261 # Comments: 136

Fortinet於7月14日發布資安公告，修補旗下FortiSandbox、FortiOS、FortiProxy、FortiPAM、FortiSASE及FortiAuthenticator等產品共9個漏洞，涵蓋防火牆、代理伺服器、特權帳號管理、惡意程式分析及身分認證等產品線，涉及的問題則包括緩衝區處理、越界讀取、路徑穿越、跨網站指令碼（XSS）及HTTP標頭注入（Header Injection）等。

本日新聞焦點 ● 微軟7月公布逾600個自家產品的資安漏洞 ● 美國警告鎖定多項SharePoint已知漏洞的大規模攻擊活動 ● SonicWall警告兩個零時差漏洞已被用於實際攻擊

Article URL: https://fabiensanglard.net/jurrasic_park_computers/index.html Comments URL: https://news.ycombinator.com/item?id=48915709 Points: 671 # Comments: 166

美國網路安全與基礎設施安全局（CISA）於7月14日發布最新警報，駭客正積極利用3項微軟SharePoint漏洞，鎖定企業內部建置的伺服器發動攻擊。攻擊者可藉由這些漏洞取得遠端程式碼執行（RCE）能力，並進一步竊取IIS主機上的機器金鑰（machine key）、執行反序列化攻擊，藉此在受害系統中維持持久性存取並部署惡意程式。

7月14日SAP發布本月例行更新（Security Patch Day），公布16項更新內容，其中修補3項重大等級的資安漏洞，根據CVSS風險評分，最危險的漏洞存在於SAP NetWeaver Application Server ABAP，編號登記為CVE-2026-44747，CVSS評分達到

Google DeepMind共同創辦人兼執行長Demis Hassabis周二（7/14）主張美國應成立新的AI標準組織，建立前沿AI模型的測試與安全評估制度。他認為，人工通用智慧（AGI）可能數年後便會到來，在AI能力快速提升之際，可由美國率先建立兼顧創新與安全的治理機制，再推動成為國際共同標準。

Article URL: https://tailscale.com/security-bulletins Comments URL: https://news.ycombinator.com/item?id=48915004 Points: 203 # Comments: 138

Article URL: https://vpd.ca/ Comments URL: https://news.ycombinator.com/item?id=48914644 Points: 318 # Comments: 128

Citizens must now spend 21 days in a third country before they are allowed to come home.

Article URL: https://www.alexedwards.net/blog/how-i-use-htmx-with-go Comments URL: https://news.ycombinator.com/item?id=48912175 Points: 294 # Comments: 94

US military’s drone boats struck an Iranian naval port as war heats up again.

Article URL: https://mindgard.ai/blog/cursor-0day-when-full-disclosure-becomes-the-only-protection-left Comments URL: https://news.ycombinator.com/item?id=48910676 Points: 259 # Comments: 109

Article URL: https://prismml.com/news/bonsai-27b Comments URL: https://news.ycombinator.com/item?id=48910545 Points: 315 # Comments: 109

Conductive ink is painted directly onto the skin in colorful custom designs, drying into working electrodes.

Article URL: https://lucumr.pocoo.org/2026/7/13/the-tower-keeps-rising/ Comments URL: https://news.ycombinator.com/item?id=48909785 Points: 252 # Comments: 120

Article URL: https://www.heise.de/en/news/S-P-downgrades-Oracle-to-BBB-only-one-notch-above-junk-level-11363472.html Comments URL: https://news.ycombinator.com/item?id=48909768 Points: 294 # Comments: 281

Article URL: https://marco-nett.de/blog/measuring-input-latency-on-linux-x11-vs-wayland-vrr-dxvk/ Comments URL: https://news.ycombinator.com/item?id=48909424 Points: 319 # Comments: 193

Article URL: https://shkspr.mobi/blog/2026/07/im-a-usb-c-maximalist/ Comments URL: https://news.ycombinator.com/item?id=48908214 Points: 324 # Comments: 417

New York’s data center moratorium may become the blueprint for anti-AI movement.

Health officials have not confirmed a source yet—and there may be multiple sources.

Google and industry partners announced Agentic Resource Discovery (ARD) Specification, an open standard for publishing, discovering, and verifying AI tools, APIs, and agents. ARD introduces a discovery layer built on catalogs and registries, enabling dynamic capability discovery …

New research overturns assumption that abstinent younger drinkers are behind weak demand.

Meta recently open-sourced Brain2Qwerty v2, a noninvasive Brain–Computer Interface (BCI) that can decode sentences from thoughts using electroencephalography (EEG) or magnetoencephalography (MEG) signals from the brain. In evaluations, the system achieved a word accuracy rate 61%…

When a failed DNSSEC key rollover took down the .AL TLD, we deployed a Negative Trust Anchor to restore resolution. This time, though, clients didn't have to take our word for it: 1.1.1.1 returned EDE 33, a new DNS error code that signals directly in the response that DNSSEC vali…

Luca Mezzalira shares proven learnings from guiding hundreds of teams through the migration from monolithic web applications to distributed frontend architectures. He explains the core architectural difference between components and micro-frontends, outlines a 6-step decision fra…

開源網路流量分析工具Wireshark近日發布4.6.7版更新，修補12項漏洞，涵蓋多個網路協定解析器（Protocol Dissector）與封包擷取檔案解析元件（file parser）。Wireshark能解析數百種網路協定，廣泛應用於網路故障排除、封包分析及資安鑑識，因此若處理惡意封包或封包擷取檔案時存在漏洞，可能影響分析工作的安全性。

對於許多企業而言，每一次進行紅隊演練時，委外的紅隊面對企業內部堅守防禦陣營的藍隊，往往是敵對的狀態，攻擊方想方設法透過內部橫向移動，取得管理員權限，進而建立永久後門並外洩資料；而防守方在面對資訊不對稱的情況下，往往只能被動迎擊，即便無法在第一時間掌握紅隊攻擊的手法和進度，但仍盡可能透過各種蛛絲馬跡找到被入侵的證據，並在有限的資源下，確保企業內重要關鍵資產的安全性。 即便紅隊與藍隊因為攻守的立場不同形成對峙的局面，但日前在臺灣資安大會（CYBERSEC 2026）戴夫寇爾（DEVCORE）執行長翁浩正（Allen Own），以及現任美商企業臺灣資安長的陳浩…

一群經濟學家及科技業人士本周一（7/13）發動一項連署《We Must Act Now—A Statement on AI’s Transformation of the Economy》，指出AI在未來10年內，可能會比今天強大得多，呼籲各界及政策制定者應更積極地因應AI所帶來的風險。

The Linkerd community has announced the release of Linkerd 2.20, introducing a series of performance, observability, and traffic management enhancements that further strengthen the CNCF-graduated service mesh's position as a lightweight alternative for Kubernetes networking. By C…

Article URL: https://www.dw.com/en/germany-freedom-of-information-act/a-77939695 Comments URL: https://news.ycombinator.com/item?id=48905290 Points: 253 # Comments: 167

Article URL: https://jola.dev/posts/how-to-stop-claude-from-saying-load-bearing Comments URL: https://news.ycombinator.com/item?id=48905248 Points: 250 # Comments: 333

Article URL: https://github.com/openai/codex/issues/28058 Comments URL: https://news.ycombinator.com/item?id=48905028 Points: 264 # Comments: 160

IBM與紅帽（Red Hat）於7月8日宣布，正式推出企業開放原始碼軟體供應鏈安全服務Lightwell，延續兩家公司先前公布的Project Lightwell計畫，將紅帽長期累積的企業開放原始碼工程與漏洞修補能力，擴大應用於第三方開放原始碼軟體。

端點資安業者SentinelOne旗下威脅研究團隊SentinelLABS指出，疑似中國相關的威脅行為者與印度相關的威脅行為者，在2024年2月至2026年4月間，分別對巴基斯坦多個執法機關發動網路間諜攻擊，兩方攻擊行動都曾波及俾路支省（Balochistan）警察機關。

7月上旬美國網路安全與基礎設施安全局（CISA）多次表示已掌握漏洞遭到積極利用的證據，然後將它們加入已遭利用的漏洞列表（KEV），這些漏洞存在於微軟SharePoint、Adobe ColdFusion、Langflow，以及多款Joomla外掛程式，皆為最近幾個月公布與修補的資安弱點，且危險程度多為重大等級。不過，本週CISA新列入KEV的一項弱點相當特別，因為它是已公布18年的中度風險漏洞。

2025年7月現身的Android遠端存取木馬（Remote Access Trojan，RAT）RedHook，近期擴大活動範圍並推出新版本。資安業者Group-IB指出，攻擊者濫用Android偵錯橋接器（Android Debug Bridge，ADB）的無線偵錯功能，讓RedHook取得Shell層級權限，進一步安裝或移除應用程式、修改安全設定，並為自身授予敏感權限。

美國網路安全與基礎設施安全局（CISA）於7月13日，將CVE-2008-4128列入已遭利用的漏洞列表（KEV），並緊急要求聯邦機構必須在3天內完成修補，這樣的情況對於一個已公布接近20年的老舊弱點而言相當罕見。而這個漏洞被加入KEV且要求美國所有政府機關必須在短時間內採取行動，很可能與同一天發布的聯合公告有關。

OpenJS基金會（OpenJS Foundation）公布2026年第二季資安進展，重點包括Node.js安全更新流程自動化，以及因應AI代理輔助掃描工具帶來的漏洞通報量激增。基金會旗下CVE編號授權機構（CNA）發布的CVE數量，也從2025年下半年的3個增至2026年上半年的49個。

開源Web應用程式防火牆ModSecurity近日發布資安公告，修補兩項可能導致攻擊者繞過防火牆規則的漏洞，影響3.0.15版以前版本。ModSecurity由開源Web應用程式安全專案OWASP維護，廣泛部署於Apache HTTP Server、Nginx等Web伺服器前端，用於攔截SQL注入、跨網站指令碼（XSS）等常見Web攻擊，因此相關漏洞可能影響網站阻擋攻擊的能力，用戶應儘速升級至已修補的3.0.16版。

韓國最大行動支付平臺Kakao Pay在2024年被爆出違法傳送個資事件，如今有新進展，韓國個人資訊保護委員會（PIPC）今年1月宣布，針對違反個資法跨境傳輸規定的Kakao Pay，處以59億6,800萬韓元行政罰鍰，最近韓國多家媒體報導指出，當地警方自7月6日針對相關事

Google released the Genkit Agents API in preview for TypeScript and Go. The open-source framework packages message history, tool loops, streaming, and state persistence behind a single chat() interface. Detached turns let agents work after clients disconnect. Interruptible tools …

雖然美國國家標準暨技術研究院（NIST）仍在評估其他後量子數位簽章候選演算法，但網路基礎設施與資安服務業者Cloudflare認為，不應等待更成熟的方案，應先採用目前已完成標準化的模組格基式數位簽章演算法（ML-DSA），展開後量子密碼學（PQC）第一階段部署，待未來其他標準成熟後，再逐步升級。