國碼頂級網域劫持事件與未經授權的 HTTPS 憑證
Google 10 月 6 日公告，迦納、獅子山與美屬薩摩亞的國碼頂級網域遭到劫持，攻擊者取得 Google 與其他組織網域的 HTTPS 憑證。Chrome 已封鎖找到的憑證，自己管理網域的人可以監控憑證透明度紀錄。
整理 11 篇原文，來自 Google、Let's Encrypt 社群論壇、Ars Technica 等 11 個出處
焦點
日本 2026 年 9 月起接連發生的網站入侵與個資外洩
日本從 9 月中旬起有多家業者公告網站或 App 遭到入侵、會員資料外洩，汽車共享服務 Times Car 約 660 萬個帳號的資料被取得，其中約 160 萬個含駕照等證件影像。到 10 月 9 日為止，本文沒有查到官方點名攻擊者，內閣官房長官 10 月 6 日表示不清楚這些事件是否相關。日本以外的讀者，在這些服務有帳號才受影響。
在瀏覽器本機處理 PDF 的開源工具 BentoPDF
開源的 PDF 工具組 BentoPDF 依官方說明在瀏覽器裡完成合併、壓縮、OCR 與移除中繼資料，不必把檔案上傳到線上轉檔網站。打開官網就能用，介面有正體中文，部分功能使用時要從第三方網站 jsDelivr 下載程式。
整理 13 篇原文，來自 BentoPDF、GitHub、It's FOSS 等 6 個出處
Wi-Fi 加密弱點的修補
你的手機連上 Wi-Fi 時用的加密，有弱點時要靠系統更新修補。這一天，研究者公開 WPA2 Wi-Fi 加密的弱點 KRACK。
Let's Encrypt 預設憑證的 64 天效期
Let's Encrypt 公告 2027 年 2 月 10 日起，預設簽發的憑證效期從 90 天縮短為 64 天。用它架站或自架服務的人，要確認自動更新不是寫死在固定天數，公告沒有針對一般瀏覽者的說明。
整理 11 篇原文，來自 Let's Encrypt、CA/Browser Forum、Ars Technica 等 5 個出處
Apple 對 Mac「完全取用磁碟」權限的授權預告
Apple 10 月 2 日預告之後會讓 Mac 使用者只能透過非常明確的操作授予「完全取用磁碟」權限。理由包括部分開發者的用法可能讓使用者資料暴露，以及 AI 代理程式會讓風險增加。Apple 沒有寫版本與上線時間，到 10 月 12 日為止版本說明都沒有寫到這項控制。
整理 14 篇原文，來自 Apple、TechCrunch、Decrypt 等 10 個出處
個資外洩的通報窗口
你的個資外洩時，業者要向個人資料保護委員會通報的修正條文還沒有施行。這一天，新加坡國會通過規定設立個資保護委員會的《個人資料保護法》。
Brave 的電子郵件別名
Brave 桌面版從 1.94 起提供電子郵件別名，註冊網站時用轉寄信箱取代真實信箱。每人免費 5 個，要先建立 Brave 帳號。到 10 月 12 日為止手機版還沒有，別名能否回信官方沒有寫。
整理 11 篇原文，來自 Brave、GitHub、Apple 等 5 個出處
Tor Project 與 Mullvad 合作關係的決定與爭議
VPN 服務商 Mullvad 一位共同創辦人的政治捐款引發爭議後，Tor Project 10 月 9 日說明不終止合作，但暫停共同品牌宣傳並修改 Mullvad Browser 的描述。兩款瀏覽器沒有停止維護的公告，聲明下的留言看法分歧。
整理 11 篇原文，來自 Tor Project、Tor Project Forum、Mullvad 等 6 個出處
Zoom 會議的端對端加密
你在 Zoom 開的會議預設不是端對端加密，主持人要自己開啟。這一天，Zoom 宣布推出端對端加密的技術預覽。
Firefox iOS 版的內建廣告封鎖與 Android 的系統層做法
iPhone 與 iPad 上的 Firefox 內建廣告封鎖，9 月中的 156 版版本說明首次列出。功能預設關閉，要自己到設定開啟。Android 版 Firefox 本來就能裝擴充套件。一篇個人部落格整理的 Android 系統層做法多半要信任提供服務的業者或 App。
整理 7 篇原文，來自 Mozilla、Kevin Boone、Google 等 6 個出處
Beeline 接聽詐騙電話的 AI 語音角色
俄羅斯電信業者 Beeline 10 月 6 日公布，2026 年以來把 1,910 萬通詐騙電話轉給 AI 語音角色接聽，數字都是業者自報。這項服務只在俄羅斯的 Beeline 網路上運作。台灣讀者接到可疑電話時，仍是先掛斷再查證，可撥 165 反詐騙諮詢專線。
整理 10 篇原文，來自 Beeline、ict-online、動區動趨 等 8 個出處
Safari 詐騙網站警告與騰訊安全瀏覽
你的 iPhone 地區設為中國大陸或香港時，Safari 的詐騙網站警告可能用到騰訊的安全瀏覽服務。這一天，一位研究者在部落格寫到 Safari 的這項功能看來會把部分瀏覽資訊交給騰訊。
日本 2026 年 9 月起接連發生的網站入侵與個資外洩
日本從 9 月中旬起有多家業者公告網站或 App 遭到入侵、會員資料外洩，汽車共享服務 Times Car 約 660 萬個帳號的資料被取得，其中約 160 萬個含駕照等證件影像。到 10 月 9 日為止，本文沒有查到官方點名攻擊者，內閣官房長官 10 月 6 日表示不清楚這些事件是否相關。日本以外的讀者，在這些服務有帳號才受影響。
整理 37 篇原文，來自 JPCERT/CC、Metabase、内閣官房国家サイバー統括室 等 30 個出處
Firefox 157 的 TLS 金鑰記錄警告
桌面版 Firefox 157（9 月 29 日發布）在電腦被設定成記錄加密金鑰時會顯示警告。Mozilla 的說明頁寫明多半是防毒或安全軟體設定的，出現警告不代表電腦中毒，連不上網站時可以先檢查這類軟體的 HTTPS 掃描功能。
整理 4 篇原文，來自 Mozilla、Mozilla Bugzilla、RFC Editor
BBC 中文網在中國大陸的連線
你在台灣可以直接打開 BBC 的網站，在中國大陸連 BBC 中文網簡體版的量測則幾乎都是異常或失敗。這一天，BBC 報導北京的網路業者疑似封鎖了 BBC 的網站。
開源專案的漏洞揭露與通報管道
Radicle 到 10 月 8 日還沒有修補網路協定漏洞的新版，用私有 repo 的人要照公告處理。Xray-core 的修補是否告知使用者說法不同，Google 的開源軟體漏洞獎勵計畫也從 10 月 1 日起停收產品漏洞通報。
整理 14 篇原文，來自 Radicle、The GitHub Blog、GitHub 等 10 個出處
加州 AB 1856 的開源作業系統豁免
美國加州 9 月簽署的 AB 1856，修改了要求作業系統在帳號設定時詢問使用者年齡的州法。修改後，發行作業系統或 App 時用的授權若允許複製、再散布與修改，發行的人或組織就不算受規範的作業系統業者。規定 2027 年起適用，條文以加州的帳號持有人為對象。
整理 11 篇原文，來自 California Legislative Information、CalMatters Digital Democracy、Office of the Governor of California 等 9 個出處
通訊軟體的端對端加密與執法存取
你用 LINE 傳的一對一文字訊息預設是端對端加密，只有收發雙方的裝置能解開。這一天，包括日本與印度在內的七個國家發表聲明，呼籲科技公司讓執法單位在合法授權下可以讀取加密內容。
每週短訊 2026 第 41 週
9 月 13 日到 10 月 6 日的 7 則新聞，包括摩斯漢堡的疑似個資外洩與新加坡美珍香的會員信箱外洩、丹麥人口登記系統約 880 萬人的資料外洩、Ubuntu 26.10 收錄 Sequoia PGP、一篇質疑大型語言模型推理過程的評論、美國法院對車牌辨識搜尋的判決、美國邊境的自動監控塔，以及中國平台的刪文封存與敏感詞清單。
整理 22 篇原文，來自 公開資訊觀測站、Personal Data Protection Commission Singapore、iThome 等 14 個出處
猶他州涉及 VPN 的所在地條款與美國的網站封鎖法案
美國猶他州的聯邦地方法院在 9 月 24 日暫停一項州法條款，該條款要求成人網站判斷 VPN 使用者是否身在猶他州。同一個月，美國國會提出兩條網站封鎖法案，對 VPN 業者的寫法相反。猶他州的條文以身在猶他州的使用者為對象，聯邦法案限於美國的使用者。到 10 月 7 日為止，訴訟還在進行，法案已送交國會的司法委員會。
整理 18 篇原文，來自 United States District Court, District of Utah、Utah State Legislature、Utah Office of Administrative Rules 等 10 個出處
GLM-5.3 的漏洞利用能力與開放權重的防護
Anthropic 9 月 29 日發表對智譜開放權重模型 GLM-5.3 的測試報告，模型能寫出攻擊瀏覽器的程式。在報告的模擬測試裡，偽裝情境等手法可以繞過防護。智譜的發布說明寫到，公開的權重只帶著模型本身的防護，強大的防禦能力也不該只留在少數組織。一般讀者能做的是瀏覽器更新後盡快重新啟動。
整理 10 篇原文，來自 Anthropic、Z.ai、NIST 等 7 個出處
維基百科在中國大陸的連線
你在台灣可以直接讀維基百科，在中國大陸 2026 年 10 月的連線量測則幾乎都是異常或失敗。這一天，中國大陸的使用者回報被封鎖將近一年的英文維基百科可以連上了。
冒充 Gmail 附件預覽的釣魚信
Cisco Talos 揭露一批寄給台灣學術界、智庫與公民社會政策社群的釣魚信。信件用圖片在內文仿製 Gmail 的附件卡片，點下去會在 Windows 電腦上啟動感染。在瀏覽器開啟時假卡片跟真的附件幾乎分不出來，經常收到演講邀請或機構來信的人可以留意。
整理 7 篇原文，來自 Cisco Talos、iThome、Google
Meta Muse 與 OpenAI Dots 的記憶與權限設計
Meta 的 Muse 與 OpenAI 的 Dots 都在 9 月推出，在雲端常駐、讀取連上的 App 資料並整理成記憶。到 10 月 2 日為止，台灣的 App Store 沒有 Muse，Dots 只開放給 ChatGPT 的 Pro 與 Business Premium 方案，用 ChatGPT 或 Mac 的人可以先檢查記憶與權限設定。
整理 19 篇原文，來自 Meta、OpenAI、Freedom of the Press Foundation 等 11 個出處
F-Droid 2.0 與 Google 的 Android 開發者驗證
開源 App 商店 F-Droid 9 月 24 日推出全面改寫的 2.0，最低需要 Android 7。Google 9 月 30 日起在巴西、印尼、新加坡、泰國要求七家商店的 App 由驗證身分的開發者註冊，2027 年擴大到全球的認證 Android 裝置。到 10 月 2 日為止，台灣讀者從 F-Droid 安裝 App 不受影響。
整理 14 篇原文，來自 F-Droid、Google、Conversations 等 4 個出處
App Store 應政府要求下架的 App
你在 App Store 能下載哪些 App，會依帳號所屬的國家或地區而不同。這一天，Apple 從 App Store 下架顯示香港警察位置的群眾地圖 App。
iPhone 自動重新啟動與鑑識工具的繞過宣稱
iOS 18.1 起，iPhone 長時間沒有解鎖會自動重新啟動，讓資料回到較難取出的狀態。一支約在 2025 年初製作的鑑識廠商影片裡，員工說扣押的手機即使重新啟動也能保留解鎖過一次的狀態。這項手法對最新版 iOS 是否有效，到 10 月 7 日為止並不清楚。Apple 沒有回覆報導的詢問，擔心手機被扣押取證的人可以留意後續。
整理 12 篇原文，來自 Apple、404 Media、Privacy Guides 等 8 個出處
環境捍衛者與科技助長暴力的四國研究
APC 預告巴西、肯亞、墨西哥與菲律賓四國的研究，記錄環境捍衛者遭受的假訊息、騷擾與監控，以及社區自己的回應方式。完整報告在台北時間 10 月 8 日晚間線上發表。四國以外的讀者可以參考的是以家庭與社區為單位的防護做法。
整理 7 篇原文，來自 APC、EFF
香港的起底刪除機制
你如果在香港遭人公開個人資料，可以請香港的個人資料私隱專員公署要求平台刪除。這一天，香港的反起底條文開始生效。