本週最值得關注三件事：一、PHP爆出兩項CVSS 9.2分高危漏洞（PHP2Shell），全球約七成網站受影響，WordPress、Drupal、Magento等平台底層均涉及，台灣資安署已緊急示警，請立即確認PHP版本並更新至8.2.35以上。二、NIST聯合NSA、CISA發布AI代理事件應變指引，企業導入AI自動化時須建立緊急停止機制與完整操作日誌。三、地價稅11月開徵，新北市等縣市提供ATM、行動支付、超商等多元繳納管道，花蓮另新增分期繳稅辦法，財務困難者可申請免息。
稅務與電子發票
地價稅11月開徵，多元繳稅管道一次看清楚
新北市2026年地價稅繳款書開徵期間為11月1日至11月30日，最遲可於12月3日前完成繳納。繳稅管道包含金融機構臨櫃、ATM轉帳（自10月27日起，無3萬元上限）、電子支付APP（LINE Pay Money、街口、悠遊付等）掃描QR Code，以及網路繳稅服務網站。稅額3萬元以下者也可至四大超商繳納或使用多媒體資訊機列印繳納單。未收到稅單者，可於10月27日起以自然人憑證或TW FidO登入補辦。
對你的意義：店家與企業主11月前可先確認公司名下土地的繳款書是否收到，建議使用ATM或行動支付提早繳清，避免最後一週人潮壅擠或忘記而產生滯納金。
來源：財政部稅務入口網
花蓮地方稅可申請最長36期分繳，弱勢免息
花蓮縣新訂「地方稅分期繳納辦法」，適用牌照稅、房屋稅、地價稅、印花稅、土地增值稅、契稅等稅目。申請條件為確有財務困難，或補徵稅款達新台幣10萬元以上；最長可分36期，每期1個月。失業給付、急難救助、非自願離職、減班休息等符合條件者，得申請免加計利息。申請管道包括書面、電話、網路或視訊等方式。
對你的意義：花蓮的中小企業主或個人如近期有大額稅款補徵，可主動向稅務局申請分期，避免因資金周轉困難遭強制執行；記帳士可協助客戶評估是否符合免息條件。
來源：財政部稅務入口網
中小企業 IT 與 AI
PHP爆兩項9.2分高危漏洞，七成網站須立即更新
PHP安全團隊於2026年10月21日釋出緊急修補版本，修補CVE-2026-109618與CVE-2026-109619兩項漏洞，合稱「PHP2Shell」，CVSS v4.0評分均為9.2分。攻擊者可在未經身分驗證的情況下遠端執行任意程式碼，進而竊取資料或控制伺服器。受影響範圍涵蓋WordPress、Drupal、Joomla、Magento等主要內容管理系統；全球已有日本、歐洲多國政府網站及pixiv、Niconico等平台採取緊急停機或限流措施。此次漏洞係潛藏多年的程式缺陷，因AI輔助分析才得以被發現並驗證可利用性。修補版本為PHP 8.5.12、8.4.27、8.3.36與8.2.35；PHP 8.1及更舊版本已無官方支援，需升級至受支援版本。
對你的意義：使用WordPress架設官網或電商的店家、以PHP開發內部系統的企業，應立即聯絡主機商或IT廠商確認PHP版本並完成更新，更新後也須檢視系統日誌是否有可疑存取紀錄。
來源：科技新報
NIST發布AI代理事件應變指引，要求建立緊急停止機制
美國NIST聯合NSA與CISA於2026年10月16日發布10項AI代理事件應變建議，分為準備、偵測、應變、復原及通報5個階段。指引要求組織監控AI代理的工具呼叫、系統操作與網路活動，並防範代理干擾監控工具或竄改日誌。一旦發現越界行為，應能立即停止代理活動並撤銷存取權限；調查時需保存模型權重與訓練檢查點。復原前須重新測試確認防護措施有效，並視情況履行法定通報義務。
對你的意義：企業若已或即將導入AI代理處理報帳、客服或流程自動化，現在就應設計「最小權限」存取架構與緊急關閉流程，而不是等出問題再補救。
來源：iThome
Fragment獲1,200萬美元融資，用複式簿記替AI代理金流把關
紐約新創Fragment完成1,200萬美元A輪融資，由FirstMark與BoxGroup領投。Fragment的核心產品是讓開發者將「複式簿記」機制嵌入軟體中，在資金實際流動前先確認交易數字是否平衡，完整記錄資金來源與去向，降低AI代理帳務錯誤或繞過安全限制的風險。目前已有約50至60家付費客戶，包含企業信用卡新創Ramp與財務軟體公司BILL。
對你的意義：台灣中小企業若計劃用AI代理自動化請款、對帳或付款流程，需在架構設計初期就納入交易驗證與異常攔截機制，Fragment的複式簿記思路值得參考。
來源：科技新報
Windows假病毒彈窗詐騙手法與正確處理步驟
Windows使用者若遇到全螢幕跳出的安全警告要求撥打客服或付款，多為偽造警示。正確做法：不點選畫面任何按鈕，先用Shift+Esc開啟瀏覽器工作管理員結束可疑分頁，或按F11退出全螢幕；若瀏覽器卡死則用Ctrl+Shift+Esc強制結束程序。重開瀏覽器後切勿恢復先前分頁，並前往瀏覽器通知設定移除可疑網站授權。真正的惡意軟體通常不會跳出明顯警告，應定期使用Windows Defender或其他工具主動掃描。
對你的意義：店家員工、記帳士事務所人員應熟悉這套處理流程，遇到彈窗不慌張、不撥打未知電話，避免因恐慌洩漏帳號密碼或安裝木馬程式。
來源：科技新報
Google Cloud倫敦機房停電近8小時，NHS、HSBC、Revolut受波及
Google Cloud於2026年10月20日英國夏令時間上午7時8分發生電力事件，影響europe-west2區域，歷時7小時52分鐘才恢復。受影響服務達38項，包含BigQuery、Cloud Run、Google Kubernetes Engine等。英國NHS部分病患無法透過App預約掛號；Revolut信用卡付款與ATM提款一度停擺；HSBC、Lloyds與皇家郵政也受波及。
對你的意義：依賴單一雲端區域的企業應評估多區域備援或異地備份策略；台灣若有業務使用Google Cloud，此事件也提醒須定期確認備援切換流程是否可正常啟動。
來源：iThome
3Q 編輯部觀點
3Q 編輯部觀點：今天的新聞有一條暗線貫穿——「你以為夠安全，其實沒有」。
PHP2Shell 漏洞潛藏多年，不是因為技術不夠成熟才沒被發現，而是過去利用條件太複雜、人類研究員難以驗證。AI 一介入，幾週內就從理論變成可執行的攻擊鏈。這代表什麼？代表過去那些「難度高、短期內不會被打」的系統風險，現在必須重新評估。台灣有大量中小企業用 WordPress 架官網、電商平台，底層跑的就是 PHP。如果主機商沒有主動更新，老闆不知道要問，這個漏洞就會靜靜等著被打。
同樣的邏輯也適用於 AI 代理的金流問題。Fragment 在解決的不是「AI 太笨會算錯」，而是「AI 太能幹、照指令執行，但指令本身有問題時沒有人攔得住」。複式簿記這個已存在數百年的會計原則，現在被拿來當 AI 的護欄，本質上是在說：自動化愈深入，稽核機制就要跟著加深一層。這對記帳士來說不是壞事，反而是新的顧問切入點——幫客戶設計 AI 流程的控制架構。
Google Cloud 倫敦停電近 8 小時這件事，提醒所有把核心業務放上雲端的企業：雲端不等於零故障。NHS 病患預約不了診、銀行刷卡失敗，這在台灣也完全可能發生。3Q 在幫客戶建電子發票或 POS 系統時，一直強調離線緩存與本地備援的重要性，今天這則新聞是最好的佐證。
最後，地價稅 11 月開徵，記帳士提醒客戶確認繳款書、評估分期資格，這是每年例行但容易被忽略的時間點。今年花蓮新增的分期辦法，對有大額補徵的客戶尤其值得主動說明。
本文由 3Q 編輯部以 Claude 從台灣媒體與官方公告（財政部稅務入口網、經濟日報、科技新報、iThome）中選題、依原文改寫並加上對中小企業的觀點。各則新聞著作權屬原始發佈者，請點上方連結看原文。