本週資安警報連發：PHP爆出兩項CVSS 9.2高危漏洞，攻擊程式碼在修補前已外流；電商平台91APP則公布訂單資料庫遭AI自動化工具入侵長達11天的完整經過，並承諾全額補償受害消費者。地價稅繳納季到來，台北市與宜蘭縣同步推出數位繳稅回饋活動，電子支付生態也持續擴張——一卡通成為首家完整串聯三大電信帳單的電子支付業者。
稅務與電子發票
台北市地價稅e化繳稅，悠遊付最高回饋150元
臺北市稅捐稽徵處於2026年10月27日至12月3日推出第2階段「智慧e繳稅 悠遊付發票存雲端」活動。民眾以行動支付、電子支付或線上方式繳納台北市115年地價稅，搭配悠遊付雲端發票任務，符合資格者最高可獲150元悠遊付回饋金。獲獎名單預計於2027年2月12日前公告，回饋金於2027年2月19日前撥入。
對你的意義：記帳士可提醒客戶在地價稅繳納截止前改用行動支付，順手拿回饋；同時引導客戶完成雲端發票設定，一舉兩得。
來源：財政部稅務入口網
宜蘭地價稅數位繳稅抽禮券，最高2,000元
宜蘭縣政府財政稅務局舉辦「年地價稅e化或長期約定轉帳繳稅送好禮」活動，民眾透過行動支付、網路繳稅服務網站、地方稅網路申報系統或四大超商多媒體機繳納地價稅，即自動取得抽獎資格，最高可獲2,000元禮券。
對你的意義：店家與房產持有者只要換一種繳稅方式就有機會抽禮券，成本為零，值得告知客戶把握。
來源：財政部稅務入口網
薔琵颱風來襲，災損減稅三步驟提醒
薔琵颱風逼近，臺北市稅捐稽徵處提醒，房屋、車輛等財物遭受災損時，務必先「拍照存證」、再「檢附文件」、後「申請減免」。房屋毀損面積達3成以上可減免房屋稅；車輛受損須修復者可於災害發生後1個月內申請使用牌照稅減免；已向監理機關辦理災害報廢者，稅捐處將主動依資料辦理退稅。
對你的意義：記帳士事務所可主動提醒受颱風影響的客戶，拍照存證是申請減免的關鍵第一步，錯過舉證時機將難以補救。
來源：財政部稅務入口網
零售與支付
一卡通串聯三大電信帳單，攜手ShopBack擴支付場景
一卡通iPASS MONEY宣布與現金回饋平台ShopBack合作，首波涵蓋19個品牌，消費可享0.1%至0.3%現金回饋。同步新增eTag儲值與遠傳電信帳單查繳功能，成為首家完整提供中華電信、台灣大哥大、遠傳三大電信帳單繳費服務的電子支付業者，生活繳費項目已逾8,400項。此外也與HIVEX合作，日本旅客於7-ELEVEN以PayPay購買一卡通可享5折，限量2萬張。
對你的意義：採用iPASS MONEY收款的店家，接觸日本觀光客消費的機會增加；POS系統業者應確認自家設備是否支援最新電子支付場景整合。
來源：經濟日報
中小企業 IT 與 AI
PHP兩大漏洞評分9.2，攻擊碼已外流應立即修補
PHP近日揭露CVE-2026-109618與CVE-2026-109619兩項漏洞，CVSS v4.0評分均達9.2，且漏洞資訊與攻擊程式碼在官方修補程式發布前即已外流。受影響環境包含Apache mod_php、PHP-FPM、CGI、FrankenPHP及LiteSpeed。趨勢科技指出，攻擊者可在未驗證身分的情況下遠端執行惡意程式碼，且PHP也廣泛存在於容器映像檔與設備管理介面中，僅更新WordPress等應用程式無法解決問題，必須確認執行環境本身已完成更新。
對你的意義：中小企業官網若使用PHP架設，應立即請主機商或IT廠商確認PHP版本並完成安全更新；使用舊版PHP 8.1以下者需特別確認是否有回補修正，不能只看版本號。
來源：科技新報
91APP訂單資料庫遭AI工具入侵11天，承諾全額補償
91APP於2026年10月22日公布調查報告，指出Commerce Cloud一座訂單資料庫於10月3日遭AI自動化滲透工具（含ARTEX等工具）攻擊，攻擊者透過未更新套件的內部工具Appsmith進入內網，再從GitLab取得資料庫金鑰後入侵，直至10月14日晚間才完全阻斷。遭存取的是訂單資訊，不含信用卡資訊；Marketing Cloud、91APP Payments與iCHEF不受影響。91APP承諾對確認因此事件遭詐騙受有財損的消費者提供全面補償。
對你的意義：使用91APP Commerce Cloud的品牌客戶應主動通知會員提高警覺；這起事件也再次提醒中小企業，內部工具的套件版本管理與GitLab金鑰存取控制，是容易被忽略的資安破口。
來源：經濟日報
政策與補助
跨部會首度交流AI著作權，主權語料庫累積33億詞元
數發部、文化部與智慧財產局首度共同召開AI著作權意見交流會議，邀集內容產業代表與AI應用業者討論訓練資料授權與回饋機制。數發部說明，台灣主權AI訓練語料庫截至2026年10月中旬已累積33億詞元，近期開始募集自願授權的民間語料，不會強制要求無償提供。智慧局與數發部分別研訂「生成式人工智慧著作權指引」草案與「促進資料創新利用發展條例」草案，後續將滾動調整。
對你的意義：內容創作者與媒體業者可關注「促進資料創新利用發展條例」草案進度，了解作品被用於AI訓練時的授權補償機制；企業若有意將自有資料貢獻主權語料庫，可評估潛在的政策紅利。
來源：經濟日報
能源與製造
漢翔啟用全台最大工業級微電網，年省能源成本近40%
漢翔於台中水湳廠區正式啟用9MW/54MWh大型微電網（電力島）系統，整合風力、太陽光電、緊急發電機及大容量電池儲能系統，並搭配自主研發的能源管理系統與微電網控制技術。系統具備孤島運轉能力，外部電網異常時可提供全廠最高6小時備援。依台電現行電價架構，夏季尖峰與離峰電價每度差達9.29元，評估透過削峰填谷每年可節省能源成本近40%。漢翔目標客群涵蓋大型工業用戶、AI資料中心及醫療院所。
對你的意義：工廠老闆與大型用電戶可參考漢翔案例評估儲能投資效益；台電尖離峰電價差距擴大，削峰填谷的財務模型已值得認真試算。
來源：科技新報
3Q 編輯部觀點
今天的新聞讀完，有一條暗線值得中小企業主特別注意：資安問題正在從「技術部門的事」變成「老闆的事」。
91APP事件的關鍵細節是——攻擊者不是靠什麼神秘手法破防的，而是透過一套「沒有更新套件的內部效率工具」進入內網，再從程式碼儲存庫拿到資料庫金鑰。這個場景在台灣中小企業裡極為常見：內部用了一堆方便的開源工具或SaaS服務，沒人定期檢查版本，金鑰、帳密散落在各個地方。91APP已是有規模的技術公司，從攻擊發生到確認來源還花了超過一週；一般中小企業若遭遇同類事件，恐怕根本不知道從哪裡查起。
PHP漏洞的情況更直接：台灣大量中小企業官網、電商後台、進銷存系統都跑在PHP上，但很少有業主知道「網站有沒有更新」這回事，通常交給建站廠商之後就沒人管了。這次漏洞的特殊之處在於攻擊碼在修補前就已流出，代表窗口期極短，企業必須主動確認，不能等廠商通知。
3Q在協助客戶導入電子發票與POS系統的過程中，常發現店家的後台環境常年未更新、管理員密碼用預設值、多套系統共用同一組帳密。這些問題單獨看都不嚴重，但組合起來就是攻擊者最喜歡的入口組合。趁地價稅繳納季與颱風過後的空檔，正是請IT廠商做一次基礎健檢的好時機。
另一個值得長線追蹤的是AI著作權的政策走向。數發部的資創條例草案若通過，未來企業的內容資產（產品說明、客服對話記錄、業務文件）在被用於AI訓練時，將有更明確的授權與補償框架，這對有在整理自有資料的企業來說，反而是一個提早佈局的訊號。
本文由 3Q 編輯部以 Claude 從台灣媒體與官方公告（財政部稅務入口網、經濟日報、科技新報）中選題、依原文改寫並加上對中小企業的觀點。各則新聞著作權屬原始發佈者，請點上方連結看原文。