KDZONE 情報站

This week's Java roundup for July 20th, 2026, features news highlighting: two JEPs proposed to target for JDK 28; new JEPs 540 and 541, Simple JSON API (Incubator) and Deprecate the macOS/x64 Port for Removal, respectively; the July 2026 Critical Patch Update; the GA release of E…

Article URL: https://xcancel.com/HedgieMarkets/status/2081534588485296565 Comments URL: https://news.ycombinator.com/item?id=49068738 Points: 357 # Comments: 210

https://xcancel.com/HedgieMarkets/status/2081534588485296565 Comments URL: https://news.ycombinator.com/item?id=49068738 Points: 742 # Comments: 469

隨著AI代理、微服務及雲端自動化應用日益普及，企業內的非人類身分（Non-Human Identity，NHI）也隨之增加。這類身分可在無人介入的情況下完成身分驗證，並取得存取系統資源的權限，讓傳統以員工帳號為核心的管理方式面臨挑戰。推動雲端資安最佳實務的非營利組織雲端安全聯盟（Cloud Security Alliance，CSA）提出NHI的分類與治理方法。

面對無孔不入的數位詐騙，單打獨鬥已不足以應對。數位發展部近日公布「網路詐騙通報查詢網」上線近兩年來的最新成果，不僅通報件數正式突破百萬大關，跨部會聯手成功下架逾50萬件詐騙訊息，更揭露已有8名熱心民眾單人通報均達1萬件以上，展現出「拒絕旁觀、主動挺身」的關鍵力量，同時公開廣告生態系的公私協力防詐新進展。

由通訊軟體業者Sangoma維護的開源IP電話交換機管理平臺FreePBX，於7月17日發布兩則安全公告，揭露兩項尚未取得CVE編號的漏洞，CVSS風險分數皆為9.3，屬於重大（Critical）風險。未經身分驗證的遠端攻擊者可執行任意系統指令，或竄改管理員帳號，進而在未通過身分認證的狀況下，也能遠端存取系統。

AI代理工具Claude Cowork遭研究人員發現沙箱逃逸問題。AI代理安全業者Accomplish近日揭露，在Cowork的macOS版本中，攻擊者可透過提示誘使AI代理利用Linux核心漏洞CVE-2026-46331，在Cowork的Linux VM中取得Root權限，再利用Cowork與Mac主機之間的檔案系統共享機制，突破沙箱限制，讀寫Mac主機上的任意檔案。

Elena van Engelen discusses how to eliminate serverless vendor lock-in without sacrificing native cloud capabilities. She explains how to structure FaaS applications using Clean Architecture, Spring Cloud Function, and Gradle modules to isolate business logic. Finally, she shares…

威脅情報公司Group-IB揭露中國駭客組織JadeProx的攻擊活動，這些駭客曾入侵越南醫院的醫療影像系統、馬來西亞外交部、香港教育機構，並在拉丁美洲從事網釣，範圍包含宏都拉斯國會與委內瑞拉市政稅務系統。上述活動的最終目標，都是在受害組織植入惡意程式載入工具TriBack Loader，以便傳遞後續的攻擊工具，包括C2框架AdaptixC2與後門程式Beagle。其中，委內瑞拉的釣魚網站模擬了特定司法管轄區的真實市政稅務管理系統，顯示駭客鎖定特定目標，而非隨機尋找攻擊對象。

本月初威脅情報公司Sysdig揭露首度完全由AI代理與大型語言模型（LLM）驅動的勒索軟體行動，駭客團體JadePuffer利用已知漏洞入侵Langflow執行個體，並以AI代理展開全自動攻擊，如今有人利用以AI代理入侵政府機關。

開源網頁郵件系統Roundcube近日發布1.6.17與1.7.2版更新，分別對應1.6 LTS與1.7版本，修補6個近期發現的漏洞。Roundcube是廣泛部署於企業、政府與網路服務環境的開源網頁郵件系統，常被整合至Linux伺服器與郵件服務平台，若核心元件存在漏洞，可能影響大量透過瀏覽器存取郵件的使用者，建議1.6.x與1.7.x版本用戶儘速升級。

Meta上周四（7/23）推出Facebook Verified免費真人驗證服務，使用者只要錄製一段自拍影片，由系統與帳號既有照片比對，確認申請者為真人且與照片中的人物相符，即可取得驗證徽章。

Traditional API gateways assume deterministic services and simple schemas - assumptions agentic AI breaks. Discover why enterprise engineering leaders are adopting AI Gateways as an evolutionary architecture seam. Centralize guardrails, model routing, agent identity, action polic…

Meme generator may have screwed up by using templates in outputs, expert says.

上周遭到憑證填充（credential stuffing）攻擊導致資料外洩，美速食餐廳連鎖Chick-fil-A證實，該事件影響超過1萬3000人。

資料外洩查詢服務Have I Been Pwned（HIBP）上周揭露，AI音樂生成平臺Suno曾於2025年11月遭到駭客入侵。HIBP取得並分析外洩資料後，確認其中包含5,530萬個不重複的電子郵件地址，以及電話號碼、姓名、實體地址、消費紀錄與部分信用卡資料。

Article URL: https://misago-project.org/t/removing-reactjs-from-the-codebase-and-adapting-htmx-for-ui-interactivity/1267/ Comments URL: https://news.ycombinator.com/item?id=49067301 Points: 236 # Comments: 166

OpenJDK將簡易JSON API提案列為JEP 540候選案，計畫在JDK提供基本的JSON解析與產生能力，讓Java程式處理簡單JSON資料時，不必另外加入外部函式庫。該提案目前仍處於候選階段，API仍可能在孵化期間調整，尚未指定目標JDK版本。 JSON是網路服務與應用程式交換資料時常用的格式，但Java標準函式庫長期沒有通用的JSON處理介面。開發者目前多半需要自行選擇外部套件，JEP 540則希望為較單純的工作提供JDK內建選項，減少安裝、版本管理及安全維護等額外負擔。

西門子用於整合工廠製造流程與生產營運管理的Opcenter X平臺，被發現存在可能讓攻擊者取得完整系統存取權限的重大漏洞。西門子近日發布資安公告，修補Opcenter X的重大漏洞CVE-2026-56451，CVSS v3.1與v4.0嚴重性評分均達10.0分，可能導致攻擊者繞過身分驗證並取得系統完整存取權限，由於這套平臺負責連結製造流程與營運管理資訊，若遭攻擊者取得平臺存取權限，可能影響企業的製造管理與生產營運，用戶須立即升級至已完成修補的V2604以上版本。

為了協助資安應變人員在處理DNS威脅時的行動缺口，國際資安組織FIRST在今年5月底發布DNS濫用技術矩陣（DNS Abuse Techniques Matrix）1.3版，目的是在相關事件發生時，幫助資安團隊快速找到可協助偵測、緩解或預防該技術的利益關係人（stakeholders）。

TanStack Table V9 is a beta release of a headless UI library for creating tables in various JavaScript frameworks. It features improved state management, memory usage, and extensibility. The notable change is an opt-in feature model, allowing developers to load only necessary com…

Python套件索引服務PyPI開始拒絕向發布超過14天的套件版本新增檔案，避免專案發布憑證或自動化流程遭入侵後，攻擊者向長期穩定的舊版本加入惡意程式。PyPI表示，目前尚未發現這種攻擊方式遭實際利用，但在此之前並無技術限制阻止這種做法。

AI從程式碼補全工具，開始走進完整開發流程。不只參與需求釐清、規格拆解、程式生成、測試與除錯，不少企業更重新檢視開發方法、品質控管與團隊分工。當工作重心從「怎麼做」轉向「做什麼」，工程師的定位也開始改變。

依據資安媒體BleepingComputer的報導，美國快遞業者OnTrac於7月22日通知客戶，駭客曾入侵該公司網路，可能取得包含個人資料的檔案。OnTrac是美國主要包裹快遞業者之一，目前在35州設有102個據點，配送範圍涵蓋約70%的美國人口，並與超過7,000名獨立配送承包商合作，其資料外洩可能影響大量客戶。

AI程式開發代理人Devin的開發商Cognition上周四（7/23）宣布，已收購簡訊AI助理Poke的開發商The Interaction Company of California，計畫把Poke主動聯絡使用者、持續追蹤任務及較像朋友的對話方式導入Devin。

本日新聞焦點 ● 中國駭客透過AI代理於泰國財政部從事網路間諜活動 ● 勒索軟體Clop滲透Windchill與FlexPLM並向用戶寄勒索信 ● 勒索軟體Chaos打造將C2藏在瀏覽器的木馬程式msaRAT

New OpenAI research shows how AI is expanding what workers do, with ChatGPT users taking on tasks across roles and reshaping job boundaries.

微軟Active Directory憑證服務（AD CS）存在名為Certighost的權限提升漏洞，在研究人員測試的特定配置下，持有一般網域帳號的攻擊者可誘使憑證授權單位簽發帶有網域控制站身分資訊的憑證，藉此冒充網域控制站，取得網域內的帳號機密。該漏洞編號為CVE-2026-54121，微軟已於7月14日發布更新修補。

一般而言，駭客為了隱匿C2通訊，最常見的其中一種作法，就是濫用合法的雲端服務來建立通訊，以這些服務的合法流量來掩蓋非法活動。現在有駭客團體採用全新的手法來達到目的，引起研究人員的注意。

資安業者Flare近日分析2024年至2026年歐洲、中東與非洲（EMEA）地區的勒索軟體活動，觀察到14個鎖定EMEA醫療業的勒索組織，且攻擊活動已擴大至整個醫療保健供應鏈，涵蓋醫院、診所、遠距醫療、診斷實驗室、藥局、醫療軟體與設備供應商、醫療人力服務及公共衛生機構，一些原本以攻擊政府單位為主的駭客組織，近幾個月來也大幅增加對醫療業的攻擊。

Anthropic上周五（7/24）推出Claude Opus 5，主打程式設計、知識工作及電腦操作等日常任務，效能接近前沿模型Claude Fable 5，但使用成本僅約一半。Opus 5即日起成為Claude Max方案的預設模型，也是Claude Pro方案提供的最強模型。

微軟上周五（7/24）發布《開放權重與美國AI領導地位》聯合公開信，呼籲美國決策者支持開放權重AI模型，避免過早限制可供下載的模型。目前連署者包括Meta、微軟、Nvidia、OpenAI、Google、IBM、AMD、GitHub、Hugging Face及Linux基金會等業者與組織。

三年前烏克蘭電腦緊急應變團隊（CERT-UA）揭露俄羅斯駭客UAC-0099的攻擊行動，後續資安公司Deep Instinct公布進一步的調查結果，指出駭客的主要目標是境外公司的烏克蘭員工，透過多種管道在受害電腦植入惡意程式LonePage，其中一種是WinRAR已知漏洞CVE-2023-38831。如今CERT-UA指出，這些駭客手法出現了顯著變化。

WordPress開發團隊宣布，React 19不會納入WordPress 7.1，該版本將繼續使用React 18.3。團隊先前曾在Gutenberg外掛中短暫啟用React 19，但測試發現，新舊React版本之間的互動，以及部分外掛使用React的方式，會引發未預期的相容問題，因此撤回這項變更，並需要較長的測試期，持續改善及調整相容層。

去年聲稱從許多企業組織的Oracle E-Business Suite（EBS）竊得大批資料的勒索軟體駭客Clop（FIN11、Lace Tempest、Graceful Spider），近期發動新一波攻擊，並向許多企業組織寄送勒索信的情形。

Forget YouTube videos—frontier physical AI models need multiple camera angles, dense annotation, and soon, brain wave readings.

Article URL: https://nikolays.github.io/PGSimCity/ Comments URL: https://news.ycombinator.com/item?id=49063754 Points: 315 # Comments: 39

Article URL: https://github.com/vercel-labs/scriptc Comments URL: https://news.ycombinator.com/item?id=49063175 Points: 217 # Comments: 109

Article URL: https://www.techspot.com/news/113236-us-prosecutors-charge-atlanta-man-after-grapheneos-phone.html Comments URL: https://news.ycombinator.com/item?id=49063022 Points: 431 # Comments: 273

Plus Mike Flanagan's Carrie teaser, trailers for Dark Matter S2 and Matchbox the Movie , and Marvel news.

On the latest episode of Equity, we discussed why Moonshot AI's Kimi seemed to panic Silicon Valley and Wall Street.

An Inside Look at the Relay Market Powering Token Resellers and Fraud Fascinating investigation by Matt Lenhard into the market that has grown up around reselling LLM tokens at a discount by pooling API keys from various sources. This looks to be mostly a thing in China. Reseller…

Article URL: https://www.theclimatebrink.com/p/the-strongest-el-nino-ever Comments URL: https://news.ycombinator.com/item?id=49060978 Points: 204 # Comments: 189

Article URL: https://beyondloom.com/decker/ Comments URL: https://news.ycombinator.com/item?id=49060856 Points: 209 # Comments: 44

Article URL: https://www.france24.com/en/live-news/20260726-french-firefighters-face-pyrocumulonimbus-for-first-time Comments URL: https://news.ycombinator.com/item?id=49060495 Points: 248 # Comments: 144

"The first autonomous agent cyberattack is an unprecedented event. It deserves an unprecedented response!"

Article URL: https://stephango.com/design-is-compromise Comments URL: https://news.ycombinator.com/item?id=49059367 Points: 216 # Comments: 76

Article URL: https://aerospaceglobalnews.com/news/gatwick-airport-robotic-parking-stanley-robotics/ Comments URL: https://news.ycombinator.com/item?id=49058669 Points: 216 # Comments: 158

Article URL: https://sunflowersgame.com/ Comments URL: https://news.ycombinator.com/item?id=49057666 Points: 207 # Comments: 68

Article URL: https://www.wsj.com/tech/google-discloses-94-1-billion-in-spacex-stock-marking-6-stake-91655d7c Comments URL: https://news.ycombinator.com/item?id=49057574 Points: 254 # Comments: 200

Article URL: https://pkg.go.dev/golang.org/x/tools/go/analysis Comments URL: https://news.ycombinator.com/item?id=49057398 Points: 212 # Comments: 70

Article URL: https://english.mapn.ro/ Comments URL: https://news.ycombinator.com/item?id=49057248 Points: 208 # Comments: 249

Article URL: https://swag.htmx.org/en-cad/products/htmx-4-the-game Comments URL: https://news.ycombinator.com/item?id=49057241 Points: 252 # Comments: 80

Article URL: https://killthecookiebanner.eu/ Comments URL: https://news.ycombinator.com/item?id=49057175 Points: 518 # Comments: 263

JFrog Security Research revealed "PixelSmash," a vulnerability in the FFmpeg media framework, allowing for Remote Code Execution and Denial of Service attacks. Present for sixteen years, it affects numerous applications using the MagicYUV decoder. Exploitation requires only a cra…

Article URL: https://astral.sh/blog/ruff-v0.16.0 Comments URL: https://news.ycombinator.com/item?id=49056112 Points: 320 # Comments: 195

Amazon EKS has recently introduced support for Kubernetes version rollbacks, letting practitioners revert a cluster's control plane to its previous Kubernetes version within 7 days of an upgrade if issues arise. The feature reduces the risk of in-place cluster upgrades by giving …

Article URL: https://discuss.grapheneos.org/d/40700-grapheneos-protections-against-data-extraction-from-locked-devices Comments URL: https://news.ycombinator.com/item?id=49055169 Points: 314 # Comments: 195