DigiCert／官方：業務歸檔系統未授權存取——聯絡資料與少數護照／駕照外露；憑證簽發未受影響；二零二五年二月起誤對外開放
全球主要憑證頒發機構 DigiCert 於 Mozilla 根憑證合規渠道自報：內部業務歸檔系統在二零二五年二月遷移後誤對外網開放，直至二零二六年七月完成授權修補前可被外網觸達；未授權帳戶於二零二六年六月廿七日至七月二日讀取部分歸檔客戶資料。多數為商業聯絡資料；少數帳戶另含客戶提交的駕照、護照或住址證明。官方強調憑證簽...
Google／官方：瓦解 XCPE 殭屍網絡——逾一百三十萬機頂盒遭 OEM Videostrong 預裝後門；關聯 C2 斷開逾千萬裝置；禁售認證 Android
Google 威脅情報團隊於十一月二日公布，與業界夥伴瓦解 XCPE 後門殭屍網絡，評估有高度信心指 Android OEM／ODM 廠商 Videostrong 為牟利而刻意開發、部署並營運該後門，已納入逾一百三十萬部機頂盒；同時打擊逾十二個關聯惡意模組的指揮伺服器，估計可切斷至少約一千萬部其他受感染裝置的遠端控制；...
Pluto／資安研究：Hugging Face「Load/Mine」惡意模型活動回潮——三十一個倉庫累計逾三萬二千次下載，借 trust_remote_code 於載入前植入 GPU 挖礦與後門
資安研究機構 Pluto Security 於二零二六年十月二十九日發布「Load/Mine」調查，指 Hugging Face 模型庫出現兩波惡意倉庫活動：合共三十一個惡意倉庫分屬七個帳號，連同相關模型累計逾三萬二千次下載；攻擊者並非污染權重或利用 pickle，而是借 trust_remote_code 在模型載入...
Socket／資安研究：319 個 Chrome 擴充套件累計約一千三百四十萬安裝——未上架搜尋卻劫持預設搜尋並經代理賺取 Bing／Yahoo 分潤
軟件供應鏈保安公司 Socket 於二零二六年十月二十九日發布調查報告，指合共三百一十九個 Chrome 擴充套件累計約一千三百四十萬次安裝，以未列入 Chrome 網上應用程式商店搜尋結果的方式流通，並透過改寫預設搜尋引擎、把查詢經營運者代理伺服器轉送至 Bing 或 Yahoo，賺取搜尋廣告分潤；代理端理論上可按請...
Polymarket／官方：國際平台第三方供應商遭入侵——暫停交易約一小時；承諾受影響用戶獲償
預測市場平台 Polymarket 於二零二六年十月二十九日在官方狀態頁公布，其國際站因第三方供應商遭入侵而進入僅可取消訂單模式，約一小時後恢復；官方指已修復問題、轉介執法機關，並承諾受影響用戶將獲全額補償。Wired、BleepingComputer 等媒體報道鏈上分析估算損失約二百五十萬至二百七十萬美元，平台未向傳...
Trezor／官方：東南亞經銷商 CryptoBilis 售出之 Safe 5 據報遭植入硬體模組——建議三月起買家立即遷資；暫無客戶報失
Trezor 官方於二零二六年十月三十日發布安全通告，指保安團隊於十月二十八日接獲負責任披露，指一部經東南亞前授權經銷商 CryptoBilis 於八月在 Tokopedia 售出的 Trezor Safe 5，據報內置額外電路板並配備流動通訊模組與天線，可能讀取螢幕顯示內容（包括錢包備份助記詞）並在接上電源時經流動網...
國泰／官方：Amadeus 第三方系統遭未授權存取——約五萬三千宗訂位受影響；暫無證據顯示付款資料外洩
國泰航空於二零二六年十月三十日公布，接獲旅遊科技供應商 Amadeus IT Group 通報，指其系統遭未獲授權人士以系統帳戶登入憑證存取旅遊訂位資料；據對方數據，約五萬三千宗與國泰相關的預訂受影響，期間約為二零二三年八月至二零二六年九月。多數個案僅涉預訂參考編號、乘客姓名及航班資料，少數另可能包括電郵、電話、旅遊證...
Cursor／官方：市集出現惡意 Anthropic.claude-code 2.1.313——最多約五千用戶受影響；企圖植入 SSH 後門
Cursor 官方於二零二六年十月二十九日發出安全通告，指其 VS Code 擴充套件市集一度上架遭竄改的 Anthropic.claude-code 2.1.313；該版本並非 Anthropic 開發，估計最多約五千名用戶受影響。惡意程式會蒐集主機與用戶資訊、寫入攻擊者 SSH 公鑰，並企圖建立反向 SSH 隧道與...