今天有兩件事最值得留意。第一，91APP 公布訂單資料庫外洩調查，最大可能涉及 1,329 家品牌、4,798,255 名消費者，使用電商平台的店家要確認品牌端的通知與客訴流程。第二，PHP2Shell 漏洞波及防火牆與網通設備，資安署提醒檢查管理介面是否對外開放。另外，微軟移除 eMudhra 問題憑證的預設信任，也需確認內部服務的憑證信任鏈。
零售與支付
91APP 訂單資料外洩，最大影響 480 萬人
91APP 公布 25 天調查報告，攻擊者透過一套第三方工具進入內部網路，入侵 Commerce Cloud 的短期訂單資料庫，10 月 14 日被阻斷。該資料庫存放 18 個月內的交易資料，部分資料遭竊，但無法判定具體涉及哪些訂單。91APP 以最大可能範圍認定，2025 年 4 月 4 日至 2026 年 10 月 14 日間的訂單，涉及 1,329 家品牌、4,798,255 名消費者。可能外洩的資料有姓名、電話、配送地址、電子郵件與訂單紀錄，不含密碼、信用卡及支付資料。
對你的意義：使用 91APP 的店家應向平台確認自家是否在受影響名單，並準備好應對消費者詢問與詐騙訊息的說法。自家系統也應盤點哪些第三方工具能連到訂單資料。
來源：科技新報
91APP 統一受理補償，申請至 2027/2/1
91APP 承諾受影響消費者不論品牌、不論有無財產損失，一律由 91APP 統一受理與負責，申請期間至 2027 年 2 月 1 日止。自 11 月 2 日起，91APP 在取得品牌授權後，會以電子郵件與簡訊主動通知每位受影響消費者，通知與受理費用由 91APP 負擔。91APP 已向受影響品牌發出正式通知，希望授權代為通知。目前尚無法估算賠償金額。
對你的意義：受影響品牌要盡快決定是否授權 91APP 代為通知，並在客服端備妥補償申請網頁連結，避免消費者各自來電詢問。
來源：科技新報
中小企業 IT 與 AI
資安署：網通設備 PHP 漏洞，先檢查管理介面
Dream Security 指稱美、日、韓及台灣共有 25 部防火牆及網通設備疑因 PHP 漏洞遭入侵。資安署初判，這類設備的管理介面通常不對網際網路開放，攻擊程式也常須依版本調整，難以大量攻擊。但若管理介面對外開放且尚未修補，仍有風險。漏洞通稱 PHP2Shell，包含 CVE-2026-109618 與 CVE-2026-109619。資安署呼籲全面盤點設備、完成修補，並關閉管理介面的外部連線。
對你的意義：店家與工廠請確認防火牆、路由器的管理頁面沒有開放到外網，並向設備廠商或代理商查詢是否已有更新。
來源：中央社財經
PHP2Shell 波及多家 IT 與 OT 廠商產品
PHP2Shell 漏洞被形容影響全球 7 成網站伺服器，也波及部分 IT 與 OT 產品供應商。報導整理了多家廠商公告：B&R APROL 早於 R 4.4-65 的版本與隨附 Dokuwiki 的 ABB MES 系統受影響；HMS Networks 的 Netbiter 韌體已提供修補版本；Johnson Controls 的 CEM AC2000 多個版本提供熱修補。也有產品聲明不受影響，例如 Sonosite 系統並未部署 PHP。
對你的意義：工廠若有 OT 設備或內含網頁管理介面的系統，請列出清單，逐一對照廠商公告確認修補狀態。
來源：iThome
微軟移除 eMudhra 問題憑證的預設信任
eMudhra 有 8 組中繼 CA 私密金鑰可從公開憑證還原，其中 6 組用於 TLS 憑證、2 組用於程式碼簽章，攻擊者可能簽發未經授權的網站憑證或簽署惡意軟體。微軟 10 月 20 日已封鎖相關金鑰，並於 10 月 26 日發布 Windows 緊急更新，移除 6 張 eMudhra 根憑證與 1 張交叉簽署憑證。這可能影響使用相關憑證的網站及內部服務。
對你的意義：請確認 Windows、Edge 已更新，並檢查內部服務的憑證信任鏈。無法連線 Windows Update 或自行管理信任清單的環境要特別留意。
來源：iThome
惡意 AGENTS.md 誘騙 AI 程式代理安裝惡意套件
Forever Security 在客戶電腦的下載資料夾發現惡意 AGENTS.md，企圖誘使 OpenAI Codex 註冊攻擊者指定的 MCP 伺服器並安裝惡意 NPM 套件，防護系統已阻止安裝。隔離環境測試中，超過 90% 成功誘使 Codex 執行攻擊指令。針對 Claude Code 的測試中，惡意 CLAUDE.md 約 50% 成功修改 API 連線設定，可能造成 OAuth 權杖外洩。
對你的意義：使用 AI 程式代理的團隊不要在下載資料夾等不可信位置啟動代理，並檢查指引檔來源。若懷疑權杖外洩，應撤銷或輪替。
來源：iThome
政策與補助
營業車牌照稅期限順延至 11 月 2 日
花蓮縣地方稅務局表示，115 年下期營業用車輛使用牌照稅繳納期限原為 10 月 31 日，適逢假日順延至 11 月 2 日。可至金融機構（郵局不代收）或便利超商（限稅額 3 萬元以下）繳納，也可用約定轉帳、ATM、網路等方式。逾期每逾 3 日加徵 1% 滯納金，最高 10%；逾 30 日未繳將移送強制執行。約定轉帳者須於 11 月 2 日 24 時前預留足額存款。
對你的意義：有營業用車的店家與客戶，請在 11 月 2 日前完成繳納，並確認扣款帳戶餘額足夠。
來源：財政部稅務入口網
官方規劃 24.5 億元推動航運產業升級
陽明海運董事長蔡豐明表示，政府規劃投入 24.5 億元推動航運產業升級，協助航商強化營運效率與國際競爭力。交通部及航港局研提「航運產業升級方案」。蔡豐明提到，航商受中東局勢、航道安全與國際貿易政策影響，國際減碳規範也提高了船舶管理與營運轉型要求。
對你的意義：從事進出口的中小企業可留意後續方案細節，運價與船期調整可能影響交貨安排。
來源：經濟日報
能源與製造
商總：台電、中油撥補有其必要
全國商業總會理事長許舒博針對行政院以追加預算對台電、中油撥補及增資表示，撥補有其必要，否則兩家公司財務惡化，被迫調整能源價格並不是好事。他認為為穩定民生物價與經營環境，台電與中油仍須回到一定的負債比。
對你的意義：製造業與店家要留意後續電價、油價走向，並將能源成本變動納入明年預算與報價評估。
來源：科技新報
3Q 編輯部觀點
今天的新聞看似分散，核心都是同一件事：資料與系統的邊界，常常破在你沒盯著的地方。91APP 事件是第三方工具成為入口，PHP2Shell 是設備底層元件，eMudhra 是信任鏈上的憑證，惡意 AGENTS.md 則是 AI 工具讀進來的一份文字檔。四件事的共通點，是企業平常不會當成「系統」來管理的東西。
從我們做電子發票、記帳士事務所系統與 POS 整合的實務觀察，中小企業最常見的狀況是：平台、設備、第三方服務各自由不同廠商處理，出事時沒有人能一次說清楚「我們到底有哪些東西、資料流到哪裡」。91APP 這次也承認，調查初期只聚焦外部節點，反而延遲了通報，這點值得所有有多層系統的企業借鏡。
建議這週先做三件小事：一、列出對外開放的管理介面，特別是防火牆與路由器；二、列出所有串接訂單、發票、客戶資料的第三方工具與權限；三、確認有一份簡單的事件通報流程，知道發生狀況時誰負責通知客戶與主管機關。這些不需要大預算，但能在事件發生時大幅縮短反應時間。若手邊系統是多年前建置、沒人敢動的老系統，更應該排進盤點的第一順位。
本文由 3Q 編輯部以 Claude 從台灣媒體與官方公告（科技新報、中央社財經、iThome、財政部稅務入口網、經濟日報）中選題、依原文改寫並加上對中小企業的觀點。各則新聞著作權屬原始發佈者，請點上方連結看原文。