有人可以用列印出來的你的臉部照片解鎖你的手機，而大多數人甚至不知道這一點。 大多數 Android 手機使用基本的 2D 相機進行臉部解鎖，沒有紅外線，也沒有深度感測，僅靠平面圖像比對。 多年來，研究人員已多次證明，一張簡單的照片就足以繞過此功能。 這就是你銀行應用程式、加密錢包、助記詞以及你整個生活的「安全性」。 每當你使用臉部解鎖時，你的前置相機都會處理一幀你的臉部圖像，並將其儲存在你從未打開過的系統資料夾中。未加密，也未受保護，就那樣靜靜地存放著。 如果你正在使用非旗艦機型且沒有正確深度感測功能的裝置上的臉部解鎖功能，請立即改用指紋或強密碼。 你的臉是唯一一個無法重置的密碼。
您下載來保護帳戶的應用程式，可能是導致您被駭的主因。 Android 上的 Microsoft Authenticator 存在一個漏洞，讓惡意應用程式無需任何權限即可竊取您的工作帳戶存取權杖。 這是一個安裝在您手機上、隨意執行任何操作的應用程式。 該漏洞位於經紀商元件中，也就是處理應用程式之間驗證的部份。 它沒有正確檢查，因此任何隨機應用程式都能輕易進來，把您的權杖當成自己的拿走。 微軟已修復此漏洞（CVE-2026-80097，CVSS 8.6，屬高嚴重性），但如果您最近未更新 Authenticator 應用程式，仍可能處於風險中。 這正是讓我感到不安的地方：人們安裝驗證器應用程式，是因為被告訴這是安全的做法，而這確實是正確的。 但當安全工具本身出現漏洞時，大多數人根本不會想到去檢查。 請更新您的應用程式，不只是手機作業系統，也包括您的應用程式。尤其是那些您最信任的應用程式， 因為正是這些應用程式，讓您停止了警覺。
幾天前，我發了一篇關於網際網路正在發生什麼事的貼文，獲得 230 萬次觀看。 從那之後，情況更糟了。 OpenAI 偶然發現的那個 Brotli 漏洞？它已經進化了。現在人們稱之為 HTTP2Shell，影響所有主要瀏覽器、所有作業系統，以及 Discord、Slack、VSCode、1Password 等應用程式。 至今仍不是所有系統都有修補程式。 Cloudflare 執行長表示：「每週都感覺天要塌下來了。」 Polymarket 真的開設了賭盤，賭這個月是否會有更多重大漏洞被披露。 駭客利用 AI 模型同時對拉丁美洲 400 多家銀行發動自動化攻擊，全天候不停歇。 X 平台曾有一個漏洞，你只需輸入自己的電話號碼，就能登入陌生人的帳戶。 Keystone 硬體錢包透過其 Shopify API 被入侵，客戶姓名與家庭地址外洩。 一家日本雲端公司損失了 27,000 台伺服器，日本首次啟動軍事級網路防禦。 更新你的瀏覽器。更新你的應用程式。輪換你的密碼。在所有地方啟用 2FA。 十月還沒有結束。
一個單一的漏洞，已讓您使用的每個瀏覽器、每個作業系統和幾乎所有應用程式面臨被駭的風險。 OpenAI 在對自身系統進行紅隊測試時意外發現的 Brotli 漏洞，已從最初的「node2shell」演變為研究人員稱為「HTTP2Shell」的嚴重威脅，影響範圍極其廣泛。 我們談的不再是單一函式庫，而是每個主要瀏覽器：Chrome、Edge、Firefox。 每個作業系統，包括 iOS；電子應用程式如 Discord、Slack、VS Code、1Password、Notion；圖片工具、PDF 閱讀器、壓縮軟體、AI 桌面應用，甚至 curl。 基本上，只要與網際網路互動或處理壓縮資料，幾乎都可能受影響。 原始的 CVE-2026-111497 已經非常嚴重，允許透過惡意壓縮資料進行預認證遠端程式碼執行。 但現在影響範圍已擴大至幾乎您每天使用的每樣東西。目前並非所有受影響的服務都已提供修補程式。 立即更新所有內容：先更新瀏覽器，再更新桌面應用程式，最後更新開發工具。如果今天有任何軟體提供更新，別問問題，直接安裝。 網際網路的基礎已經出現裂縫，而這些裂縫現在變得更大了。
這位 IT 員工在午夜時分拯救了一整家公司免受勒索軟體攻擊，這個故事簡直瘋狂。 他當時正在看 Netflix，手機突然瘋狂彈出伺服器警報。他遠端登入後，眼睜睜看著公司檔案一個接一個在實時更名，所有檔案都變成亂碼。 這位員工抓起車鑰匙，像瘋子一樣開車衝向辦公室。凌晨 12:20 到達時，辦公室一片漆黑，他挨個桌位用手拔掉 40 台電腦的 LAN 線，雙手不停顫抖。 每台螢幕上的勒索訊息都寫著：「72 小時內支付我們你們整月的利潤，以比特幣結算。」他的老闆打電話說：「直接付錢吧，我們週一需要這些檔案。」 但他拒絕了。他說：「付錢的公司會再次被針對。」 他試圖從備份恢復，但備份伺服器也遭到了攻擊——同一個網路、同一種勒索軟體。他說那一刻腦子完全空白。 但他還有一張最後的王牌：每個週三下班途中，他都會手動將公司資料備份到一個外接硬碟，並放在辦公桌抽屜裡。這個習慣他曾幾乎想放棄，因為覺得浪費時間。 就是這個放在抽屜裡的硬碟，拯救了整家公司。 他整個週末重建了所有系統，週一早上所有貨物如期出貨。老闆笑著說：「很高興你沒把比特幣轉過去。」 下週，他的桌上又出現了兩個新的硬碟。 那個沒人想做的枯燥習慣，卻是唯一真正有效的解決方案。
OpenAI 偶然發現了一個可能威脅數百萬台伺服器的漏洞，而他們根本不是在尋找這個漏洞。 他們當時正試圖阻止其 AI 模型在訓練期間存取網際網路，並為它們建立了一個完整的離線環境。在對該設定進行紅隊測試時，他們意外發現了 Brotli 的一個漏洞，而 Brotli 是網際網路上最廣泛使用的壓縮函式庫之一。 這個缺陷允許攻擊者透過傳送惡意壓縮資料，在任何受影響的系統上執行自己的程式碼，無需登入，也無需使用者帳戶，只需傳送資料即可入侵。 Brotli 已內建於 Node.js、Bun、Envoy 以及幾乎所有處理壓縮網路流量的系統中。該漏洞在二月已從技術上修復，但當時沒有人意識到這是一個安全問題。 因此，數個月來，修補程式雖然存在，但幾乎沒有人套用，因為它看起來只是一次常規更新。 有時，最令人恐懼的發現，恰恰發生在你並未尋找之時。
他們稱之為「黑色十月」，但我認為人們尚未意識到這有多嚴重。 過去 48 小時內，已發生超過 27 起重大網路安全事件。不是一個月，也不是一週，而是在 48 小時內。 其中任何一起事件，正常情況下都足以成為年度最大新聞。 PHP：運行全球 80% 網站的軟體存在關鍵漏洞，嚴重性達 9.2/10。 Node.js：高嚴重性漏洞，允許攻擊者遠端接管伺服器，影響版本 22、24 和 26。 Java：同樣遭入侵。全球最常用的三種程式語言同時受創。 GitLab：自 2014 年以來所有版本均存在嚴重性 10/10 的漏洞。 Railway：主機平台遭入侵，OpenAI、Claude、Stripe 的 API 密鑰可能外洩。 Signal：存在一個漏洞，可能在您掛斷後仍保持麥克風和攝像頭開啟。 WordPress：駭客竊取了插件開發者的密鑰，並在網站上植入後門。 LiteLLM：一款每日下載量達 340 萬次的 AI 工具，被植入密碼竊取程式。 這還不到完整清單的一半。 據報導，數千個 AI 代理群體正在持續自動掃描並攻擊易受攻擊的伺服器。 安全研究人員表示，這可能是全球性網路事件的初期階段，而目前沒有人完全理解其全貌。 如果您運營網站、使用雲端服務、將 API 密鑰儲存在主機平台上，或使用任何基於 PHP、Node.js 或 Java 的軟體，您都可能受到影響。 更新所有系統。輪換您的 API 密鑰。在關鍵服務上更改密碼，並在尚未啟用的地方開啟 2FA。 這不是正常的網路一週，這是一種不同的狀況。