本週有三件事值得關注：薔琵颱風迫近，店家與企業主若有財產損失，務必在30天內備妥照片與文件申請減稅；PHP爆出高風險漏洞（評分9.2），攻擊比官方揭露早了四天，使用PHP建置官網或電商的業者需立即升級版本；另外多份報告一致指出，企業AI導入失敗的原因八成不在技術，而在流程沒有重新設計，這對正在評估AI工具的中小企業主有直接參考價值。
稅務與電子發票
颱風災損申請減稅：30天內備文件，拍照是第一步
高雄市稅捐稽徵處發布颱風薔琵災害減稅公告，提醒受災戶先拍照存證，於災害發生後30日內向稅捐處申報。可申請減免項目包括房屋稅（毀損達五成者免徵、三成以上減半）、地價稅（山崩地陷等無法使用土地免徵）、使用牌照稅（車輛受損須向監理機關辦理停駛或報廢）及娛樂稅（按實際未營業天數比例核減）。涉及所得稅、營業稅等國稅類則須另向國稅局申請。
對你的意義：店家或工廠若因颱風造成設備、建物損失，立刻拍照並保留修繕發票，30天內向轄區稅捐處提出申請，可實質降低當期稅負；勿等颱風過後才想到存證，時效一過無法補救。
來源：財政部稅務入口網
中小企業 IT 與 AI
PHP重大漏洞：攻擊比公告早四天，修補期只剩幾小時
PHP爆出CVE-2026-109618與CVE-2026-109619兩項漏洞，嚴重度評分均達9.2，攻擊者可在未經驗證的情況下遠端執行惡意程式碼。AWS旗下威脅情報團隊透過蜜罐網路發現，早在官方公告（2026年10月21日）前四天就已出現攻擊嘗試。漏洞公開當日數小時內便出現多組概念驗證攻擊程式，攻擊者來源多元，顯示並非單一組織行動。PHP基金會另揭露第三個待修補的遠端程式碼執行漏洞CVE-2026-115560，緩解方式為將session.upload_progress.enabled設為0，但完整修補需等待正式版本釋出。
對你的意義：官網或電商平台若使用PHP架設，應立即升級至已修補版本，並將異常行為調查時間點往前追溯至2026年10月17日；過去7到30天的修補週期已不夠用，AWS建議以小時為單位衡量修補時程。
來源：科技新報
PHP再爆第三個RCE漏洞，需等下個版本才能完整修補
PHP基金會於2026年10月23日公告CVE-2026-115560，此為一個尚待修補的遠端程式碼執行漏洞。觸發條件需同時滿足：session.serialize_handler設為php_binary或php_serialize、執行期間透過ini_set切換至PHP序列化處理程序，且session上傳進度功能處於啟用狀態。由於組合條件在實際環境中罕見，PHP基金會將透過常規發布週期處理，目前NVD與CVE資料庫尚未收錄此漏洞，但資安廠商Fortinet已將其與前兩個漏洞並列觀測。
對你的意義：現階段可先將session.upload_progress.enabled設為0作為緩解措施，但仍須持續關注PHP官方版本更新，正式修補版本釋出後應盡快套用。
來源：iThome
AI導入成功法則：八成靠流程重塑，不是挑對模型
多份產業報告顯示，94%的執行長表示即使短期回報不明朗仍會持續投入AI，但企業普遍面臨效益難以量化的問題。分析指出，AI帶來的時間節省不會自動轉為成本下降，企業必須重新規劃這些時間的投入方向，例如在不增加人力前提下擴大服務量能或提升品質。真正應衡量的指標是扣除審核與返工後的「淨效益」，而非表面上的產出速度。大型企業導入AI時常遭遇老舊系統、分散資料與嚴格治理要求等障礙，顯示導入AI絕非單純選擇模型，而是必須同步重塑工作流程與資料治理。
對你的意義：中小企業在評估AI工具前，應先列出「不想再做」、「想做但做不到」、「需要腦力激盪」三類任務，優先從範圍明確、成果易衡量的低投入高價值環節下手，而非全面上線；沒有流程重設計，掛上AI只會增加審核成本。
來源：科技新報
企業AI成本怎麼算？專家：看的是完成任務的總成本
聯發科傳出工程師AI工具Token額度遭調降，公司回應將依任務複雜度自動匹配模型。OpenAI東南亞暨台灣大型企業客戶總監王曉凡指出，新模型單位成本持續下降（部分比較中可降五成至七成五），企業感受到帳單增加主要因為可處理的任務量增加，因此不應只看單一Token價格，而應以「完成一項工作任務的總成本」衡量。她建議企業提供統一存取入口，讓一線領域專家與技術團隊共同打造符合需求的代理程式，並將個人使用經驗轉化為組織可重複利用的資產。
對你的意義：評估AI訂閱或API費用時，應對照節省的人工時數與後續產出品質，而非單純比較每千Token報價；若帳單增加是因為更多流程被自動化，代表ROI正在累積，不必急著縮減額度。
來源：經濟日報
歐都納委外平台遭自動化攻擊，消費者個資疑外洩
興櫃公司歐都納（2940）於2026年10月22日發布重大訊息，表示委外服務平台業者的資料庫遭到自動化攻擊，部分資訊遭非法擷取，並接獲消費者反映疑似個資外洩。歐都納已啟動資安事件應變機制，要求委外業者進行資安檢視並採取安全強化措施，同時透過官網及App加強反詐騙宣導。事件已向主管機關通報，截至目前對公司財務及業務無重大影響，事件原因及影響範圍仍在調查中。
對你的意義：品牌官網若委外建置與維運，合約中應明定資安責任歸屬與事件通報時限；自動化攻擊針對的往往是資料庫設定疏漏，委外業者的資安水準直接決定客戶個資風險。
來源：iThome
能源與製造
Rockwell推出FactoryTalk Conductor，工廠AI調度平台2027年Q1上市
Rockwell Automation宣布推出FactoryTalk Conductor，定位為AI原生協同調度平台，讓使用者以自然語言啟動工程任務，並跨軟體系統、工程工具與營運資料協調各項任務。平台預計2027年第一季正式上市，首發整合Studio 5000 Logix Designer、Logix Echo、Emulate3D及FactoryTalk Optix，涵蓋設計、開發、模擬與測試工作流程。根據Rockwell 2026年智慧製造現狀報告，目前三分之一的製造營運已導入AI強化功能。平台支援連接企業自有語言模型（含地端部署的開放權重模型），以降低持續的Token消耗成本。
對你的意義：製造業老闆若正在評估工廠數位化方向，此類AI調度平台代表下一階段不是單點工具，而是跨系統串接的自動化工作流程；現階段可關注Automation Fair 2026的示範，了解整合既有設備的可行性。
來源：科技新報
政策與補助
工研院規劃稀土示範廠，目標2030年台灣自給自足50%
工研院院長張培仁接受中央社專訪表示，工研院目前已有稀土實驗線，年產量約5000公斤，正在設計示範工廠，計劃2028年底完成建置，2030年底前達到年產500噸規模，使台灣50%稀土需求得以自給自足。示範工廠將直接在工業區內選地興建，預算由國科會編列。背景是中國對稀土實施出口管制，日本釔儲備告急並請求美國出面斡旋，台積電也正在尋求設備中稀土零組件的替代方案。
對你的意義：稀土供應鏈穩定與否直接影響半導體、高端磁鐵等製造成本，工廠設備含稀土零件的業者可留意工研院示範廠的商業合作模式與政府價格保障機制後續進展。
來源：中央社財經
3Q 編輯部觀點
今天的新聞放在一起，有一條隱藏的共同主軸：中小企業面對的「外部風險窗口」正在快速縮短。
PHP漏洞事件最直接說明這件事：官方公告前四天攻擊就已出現，AWS的觀測顯示漏洞公開後數小時內概念驗證程式便被大量運用。這對台灣大量依賴PHP架設官網、電商、記帳系統的中小企業而言，代表以前「等IT廠商本週來處理」的節奏已經不夠用。3Q在服務電子發票與POS整合客戶時，常看到官網與後台系統長期停留在舊版環境，沒有定期更新的習慣——歐都納委外平台遭自動化攻擊的案例，正是這類風險最具體的呈現：委外不等於免責，平台資安水準直接等於客戶個資風險。
颱風災損減稅的新聞看似日常，但背後有個重要的行動邏輯：時效性。30天的申報窗口對忙於善後的老闆來說轉眼就過，拍照存證這個動作必須在清理現場之前完成，否則補件無門。記帳士事務所在颱風後的業務量通常會短暫上升，協助客戶整理損失文件與申報減免是很實際的附加服務。
AI導入的兩則報導則呼應了我們在企業AI導入專案中反覆看到的現象：買了工具、跑了試點、卻說不出ROI在哪。原因幾乎都一樣——流程沒動，只是在舊流程上多一個AI按鈕。OpenAI王曉凡提到的三張清單（不想做、想做但做不到、需要腦力激盪）是個簡單好用的盤點框架，適合任何規模的團隊在導入前做一輪自我檢視。3Q在協助客戶評估AI工具時，也習慣從「哪個流程最耗人力又最規則明確」開始找切入點，而不是從「哪個模型最強」出發。
稀土與工廠AI調度平台的消息屬於較長週期的趨勢，但製造業老闆值得記住：供應鏈多元化與產線智慧化，現在是政策資源最集中的兩個方向，有相關需求的業者可以同步關注工研院的示範廠進度與工業局的補助計畫。
本文由 3Q 編輯部以 Claude 從台灣媒體與官方公告（財政部稅務入口網、經濟日報、科技新報、iThome、中央社財經）中選題、依原文改寫並加上對中小企業的觀點。各則新聞著作權屬原始發佈者，請點上方連結看原文。