每週短訊 2026 第 42 週

這一期收 7 則，涵蓋 10 月 3 日到 10 月 11 日。

Telegram Desktop 的檔案讀取漏洞

研究者 10 月 3 日公開 Telegram Desktop 7.2.8 及更早版本的漏洞，在 Telegram 以外的地方點一次特製連結，就可能讓本機檔案被送到攻擊者手上。被送出的檔案可能包括登入資訊，攻擊者可以藉此接管帳號，研究者只在 Windows 上確認過。研究者寫 Telegram 9 月 16 日在 GitHub 的一筆 commit 修正了這個問題，9 月 17 日發布的 7.2.9 包含這項修正，官方版本說明只寫了另一項顯示問題的修正。

用 Telegram Desktop 的人可以確認版本是 7.2.9 或更新的版本。研究者另建議設定本機密碼，但寫明它只能讓被偷的登入資訊無法使用，擋不住檔案被讀取。

Bitwarden 商店版的授權變更

Bitwarden 員工 10 月 9 日在社群論壇公告，下一個版本起，各 App 商店上架的是商業授權的版本。員工在回覆中也寫，官網下載頁的版本同樣改用商業授權。公告寫 GPLv3 的開源版本會繼續在 GitHub 更新與發布，目前所有功能兩個版本都有，但員工的回覆也寫未來有些元件會以商業授權發布、只存在於商業版。

另一位員工在論壇寫，這次調整只影響重新包裝轉售 Bitwarden 的人，自架不受影響。到 10 月 12 日，GitHub 上的授權檔最後一次修改在 2025 年。內容仍是 GPLv3，加上只用於 bitwarden_license 目錄的 Bitwarden License。商業版的授權文字在官網查不到。

LineageOS 24

LineageOS 是以 Android 開源程式碼為基礎、可以自行刷進手機的作業系統，10 月 11 日在官方部落格宣布以 Android 17 為基礎的 24.0。24.0 先支援一部分裝置，其他裝置符合要求後陸續加入。使用 Linux 核心 4.4 與 4.9 的裝置，官方只收 22.2 的版本。部落格寫 22.2 會持續每月合併安全性修補，直到 Google 停止為 Android 15 發布官方安全公告。

已經在用官方版本的人照裝置的升級指南操作，除非裝置的 wiki 頁面另有說明，不必清除資料。

Nitter 的資金與法律協助

依專案的 README，Nitter 是注重隱私的開源 X（Twitter）替代前端。維護者 10 月 10 日在 nitter.net 公告，X Corp. 8 月 24 日與 9 月 8 日兩度寄出律師函，要求永久撤下 Nitter 實例與程式碼儲存庫。公告寫，維護者 9 月 7 日說已有律師代表，依據的是後來證實不實的保證。到 10 月 10 日的公告為止，Nitter 沒有法律顧問，維護者正在徵求資金與法律協助。

TechCrunch 8 月的報導寫，信中指控 Nitter 不法使用與規避 X 的 API。到 10 月 12 日，nitter.net 只剩公告頁。

以 ESP32-C3 製作的 DNS 廣告封鎖器

GitHub 上的開源專案 esp32-c3-adblock 把類似 Pi-hole 的 DNS 廣告封鎖放進 ESP32-C3 開發板，README 寫這塊板子約 2 美元，以 MIT 授權發布。到 10 月 6 日專案仍有更新，README 寫明封鎖清單上的網域查詢一律回答 0.0.0.0，其他查詢轉送到上游的 DNS。使用方式是把裝置的 DNS 指向這塊開發板，README 的安裝步驟是自行編譯再燒錄。

README 也提醒沒改掉預設密碼的話，管理介面的密碼等於公開，而且管理介面只有一般的 HTTP。本文在 10 月 12 日讀 main 分支程式碼的結果是，預設以未加密的 DNS 轉送到公共 DNS 服務 Quad9。

印度新德里的行動網路關閉與平台通知

依 Deccan Herald 的報導，印度內政部授權在新德里 Janpath 與 Kartavya Path 路口周圍半徑 4 公里內暫停行動上網服務，涵蓋所有行動網路技術。時間是印度時間 10 月 9 日 22:00（台北時間 10 月 10 日 00:30）到 10 月 10 日 22:00（台北時間 10 月 11 日 00:30），與一場抗議重疊。MediaNama 的報導寫明這份命令標示最高機密、沒有寫明理由。到 10 月 12 日更新的報導為止，內政部沒有正式公開命令。

依 MediaNama 照錄的通知全文，電子與資訊科技部 10 月 8 日另發通知。通知建議社群平台對可能影響公共秩序的不實與誤導內容加強注意，並優先處理授權政府機關的檢舉。到 10 月 12 日，部會網站查不到這份通知。

數位權利組織 SFLC.IN 認為這次關閉不符比例原則，也認為命令沒有事前公布，違反 2024 年電信（暫時停止服務）規則的公布要求。SFLC.IN 另認為通知的用語廣泛模糊，可能讓平台為了保住責任豁免而過度刪除合法言論。

Psiphon 與加拿大 C-22 法案

The Globe and Mail 10 月 4 日報導，協助使用者繞過網路審查的多倫多業者 Psiphon 對報社表示已開始規劃，合法存取法案 C-22（Lawful Access Act, 2026）照現行版本通過就把業務移出加拿大。Citizen Lab 的頁面寫，法案通過後會要求電子服務業者秘密修改系統，讓警方與情報機關具備監控能力。Psiphon 的副總裁在給報社的電郵回覆中寫，開源的程式碼沒辦法偷偷加入後門，每一行都是公開的。到 10 月 12 日，Psiphon 自己的網站沒有另發公告。

同一篇報導中，公共安全部長的發言人回應，合法存取的框架本身不會讓業者無法在加拿大經營安全、保護隱私的服務。報導也寫眾議院在暑假休會前修正法案，其中一項修正保護端對端加密。到 10 月 12 日，加拿大國會的 LEGISinfo 顯示法案在參議院二讀。