今天有三件事值得關注：一、房屋稅新制上路後，3至6月完工的房屋最長可能被課16個月稅，買賣雙方務必確認稅負歸屬；二、Google DevSite爆出OAuth金鑰存放不當引發的RCE漏洞，提醒企業檢視自家Cookie與序列化設計；三、歐盟CRA法規壓力下，OpenSSF與OpenChain聯合提出軟體供應鏈安全指引，對準備拓展歐洲市場的台灣廠商具有參考價值。
稅務與電子發票
3至6月完工新屋最長課16個月房屋稅
房屋稅新制自2024年7月起改為按年課徵，每年2月最後一天為納稅義務基準日。3月1日至6月30日間新建、增建或改建完成的房屋，因已超過基準日，當期應繳稅額將併入下一期一起開徵，最長課稅期間可達16個月。以2026年3月1日完工的房屋為例，3至6月的稅款將合併在2027年5月開徵，課稅區間為2026年3月1日至2027年6月30日。財稅局提醒，買賣雙方應事先確認稅負歸屬，避免糾紛。
對你的意義：記帳士或代書在協助客戶辦理3至6月交屋的房屋買賣時，應主動試算合併課徵的稅額，並在買賣合約中明訂稅負分擔條款，避免事後爭議。
來源：財政部稅務入口網
同婚家庭地價稅與土地增值稅優惠比照適用
財政部新頒解釋令，同性婚姻一方當事人的配偶親屬，在地價稅與土地增值稅的自用住宅優惠認定上，得比照異性婚姻的直系親屬。符合條件者可申請按2‰自用住宅稅率課徵地價稅；出售時可適用10%優惠稅率；重購時亦可申請土地增值稅退稅。地價稅優惠需主動申請，其餘法定要件仍須符合。
對你的意義：記帳士服務同婚家庭客戶時，應主動提醒確認房地及設籍狀況，協助申請地價稅自用住宅優惠，避免客戶多繳。
來源：財政部稅務入口網
中小企業 IT 與 AI
Google DevSite OAuth金鑰洩漏引發RCE漏洞
資安研究人員Simon Koeck發現Google DevSite將OAuth用戶端金鑰明文存放在Cookie中，且同一把金鑰同時作為Cookie簽章金鑰，攻擊者無需登入即可偽造Cookie、觸發Python pickle反序列化漏洞，進而在伺服器執行任意程式碼。此漏洞跨多個Google開發者網站共用同一簽章金鑰，影響範圍包括firebase.google.com、developer.android.com等。Google已於10月7日完成修補，並核發9萬美元漏洞獎金。
對你的意義：使用Python Flask或類似框架的企業，應立即檢查Session Cookie是否存放敏感金鑰，並確認序列化機制使用的是安全的格式，而非pickle。
來源：iThome
OpenSSF與OpenChain發布軟體供應鏈安全指引
面對歐盟《網路韌性法》（CRA）與NIS2的合規壓力，OpenSSF與OpenChain共同提出軟體供應鏈安全指引，建議企業建立軟體元件盤點流程、維護軟體物料清單（SBOM）、保存安全佐證資料，並管理開源套件的漏洞。OpenSSF旗下的GUAC工具可整合元件來源、相依關係與漏洞資訊。指引強調採用標準工具不等同合規，仍須依法規評估。
對你的意義：準備進入歐盟市場的台灣軟體商或設備供應商，應提前建立SBOM管理與漏洞追蹤流程，否則未來面對客戶審查或稽核時將缺乏佐證資料。
來源：iThome
Citrix NetScaler修補CVSS 9.5分SAML重大漏洞
Citrix於10月8日發布緊急更新，修補NetScaler ADC與閘道系統中的記憶體緩衝區溢位漏洞，CVSS v4.0評分達9.5分，可能導致遠端程式碼執行或阻斷服務。受影響的系統為配置為SAML服務提供者或身分驗證提供者的設備。目前尚未發現此漏洞遭到實際利用，但Citrix先前已有多個重大漏洞被積極利用。
對你的意義：企業若使用NetScaler ADC或閘道作為SSO或遠端存取入口，應立即確認設備版本並套用最新修補程式，SAML設定的環境尤其優先。
來源：iThome
Python 3.15預設UTF-8並新增延遲匯入機制
Python 3.15將預設採用UTF-8處理未指定編碼的文字資料，消除跨平台亂碼問題，但可能影響原本依賴系統編碼（如Big5）的舊程式，需明確指定編碼或關閉UTF-8模式。新增的延遲匯入語法讓開發者可指定模組在首次使用時才載入，縮短啟動時間，但需明確啟用且錯誤可能延遲出現。實驗性編譯器在x86-64 Linux環境下綜合效能較最佳化版本高7至8%。
對你的意義：使用Python開發發票系統或後端服務的工程師，升版前應測試Big5或其他非UTF-8編碼的檔案讀寫邏輯，避免中文資料處理出錯。
來源：iThome
能源與製造
台電：AI用電爆發，電網輸送能力是下一個瓶頸
台電董事長曾文生在2026台灣國際智慧能源週展前記者會表示，AI算力帶動用電需求，台電投資決策週期已從10年縮短至3至5年。他強調未來供電挑戰不只在發電量，電網能否即時將電力送達需求端、以及與再生能源和儲能設施的整合，將是關鍵。台灣企業自建資料中心的趨勢，形成分散且難以預測的用電需求，台電正密切監控配電系統成長狀況。
對你的意義：工廠或有意自建邊緣運算設施的企業主，在選址或擴廠規劃時應同步評估當地配電容量，而非僅看電源供應是否充足。
來源：科技新報
政策與補助
Grab併購foodpanda台灣案10月27日前裁定
公平交易委員會將於2026年10月27日前就Grab收購foodpanda台灣外送業務一案作出決定。全國外送產業工會等團體集結公平會前再次表態反對。Grab方面提出具體承諾，包括收入保障計畫、台灣資料僅儲存於台灣與新加坡、成立台灣科技治理委員會，並以引入第二個具規模競爭者定位此次併購，而非市場合併。
對你的意義：使用foodpanda接單的餐廳與店家，應密切注意公平會裁定結果，若併購通過，合作條款與平台規則可能在過渡期出現調整，建議提前了解Grab的商家銜接計畫。
來源：經濟日報
3Q 編輯部觀點
3Q 編輯部觀點：今天的新聞從稅務、資安到能源，看起來主題分散，但有一條隱線貫穿：中小企業面對的合規壓力正在多個維度同步升溫。
房屋稅新制的16個月課稅陷阱，是一個典型的「制度改了、細節沒人告訴你」的場景。3Q 在協助記帳士事務所數位化的過程中，常常碰到類似問題：法規邊界案件靠口耳相傳，資訊掌握程度決定了客戶是否多繳冤枉錢。這種情境正是記帳士的核心價值所在——主動提醒、主動算，而不是等客戶來問。
資安面向，今天有兩則值得同時看：Google DevSite的RCE漏洞，根源是把金鑰存進Cookie又用Python pickle做序列化，這是教科書等級的錯誤，但連Google旗下的平台也會犯。對中小企業IT來說，現實是自己的工程師不見得比Google更嚴謹。Citrix NetScaler的SAML漏洞則是提醒：SSO、遠端存取這些「買了就算建好」的基礎設施，同樣需要定期關注更新。3Q 幫客戶建POS或電子發票系統時，後端服務的Session管理與第三方套件版本管控，都是不該省略的環節。
歐盟CRA的軟體供應鏈指引，現在看起來離台灣中小企業很遠，但只要有一個上游大廠（不管是零售通路或製造業客戶）開始要求供應商提交SBOM，整條供應鏈都會被連帶要求。提早建立元件盤點習慣，比臨時補件省力得多。
台電的電網警示則是給工廠老闆和有意建私有運算設施的企業一個提醒：電力不再是無限供給的背景條件，選址、擴廠、建機房之前，配電容量需要納入可行性評估。
本文由 3Q 編輯部以 Claude 從台灣媒體與官方公告（財政部稅務入口網、iThome、科技新報、經濟日報）中選題、依原文改寫並加上對中小企業的觀點。各則新聞著作權屬原始發佈者，請點上方連結看原文。