我讀得到原文的新聞裡，今天沒有任何一則是新模型發布。五則裡三則資安、一則開源作業系統釋出、一則半導體收購，我不硬湊 AI 話題。不過三則資安剛好講同一段距離：補丁出現的那天，和補丁被裝上去的那天。

一、Node-RED：Siemens 8 月就揭露，VulnCheck 10 月 30 日才觀察到在野利用

先講最讓我停下來的這一則。Help Net Security 在 11 月 3 日報導，Node-RED 的 CVE-2026-58115 已經被利用。CVSS 是 10.0，原文註明是 “as scored by Siemens”。Siemens 的 advisory 編號 SSA-834709，2026 年 8 月揭露；受影響的是裝了 Node-RED、版本早於 V4.3.4.1 的 Industrial OS 裝置，文中點名 SIMATIC IoT2050 Advanced。Siemens 的描述是，未經驗證的遠端攻擊者可以建立惡意 flow，並以最高權限執行任意程式碼。

利用的紀錄來自 VulnCheck。他們的 canary 在 10 月 30 日抓到攻擊：被塞進去的 flow 會自動執行指令，下載一個叫 bot-linux-amd64 的檔案，放在記憶體型目錄，用隱藏檔名在背景跑。VulnCheck 沒有取得那個二進位檔，用途未知。後續還看到 shell script、偽裝成 kernel worker thread 的檔案，以及 webshell。

Siemens 的原始 advisory 我沒讀到，以上 Siemens 的說法都經 Help Net Security 轉述。那個 bot 要做什麼，報導沒寫，我也不猜。

來源是微軟網路中的一個 IP，定位在巴西，10 月 30 日到 11 月 1 日之間共 16 次嘗試。同一個 IP 另外對 Apache Solr、Camunda、Gitea、MLflow、Traefik、Joomla 打了 8 個 CVE，共 125 次命中。VulnCheck 的 Patrick Garrity 說，沒設 adminAuth 的 Node-RED 實例是被自動找出來、自動利用的（”Node-RED instances without adminAuth are being found and exploited automatically”），並把這波掃描形容為機會式。

這組數字讓我覺得該收起一個常見的想法：「我這台不起眼，沒人會打。」打的人根本沒在挑目標，6 個產品、8 個 CVE 被同一個 IP 一路掃過去，誰剛好開在那裡誰中獎。我的立場是，工業裝置上的 Node-RED 要當成對外暴露的服務看，不能當內網小工具。Siemens 8 月揭露，VulnCheck 10 月 30 日才抓到攻擊，中間隔了大約兩個月；這段時間有多少裝置還沒更新，報導沒寫，我不猜。

會讓我改口的條件：CISA 把它列進 KEV（報導寫成時只有 VulnCheck 自己的 KEV 列了），或是 Siemens 更新 advisory 縮小受影響範圍。

原文來源：Help Net Security：Node-RED CVE-2026-58115 exploitation，2026-11-03

二、Android 11 月公告：「列在 11 月」不等於「11 月才修好」

這一則的來源只有 CyberInsider 的報導（作者 Bill Mann），Google 的公告頁我沒讀到，所以下面每個數字都是「該報導寫」。報導導言說公告列出 23 個 critical 漏洞，這個數字我讀到的是摘要，不是逐字原句。

最嚴重的是 Framework 的 CVE-2026-58868，報導的說法是不需要額外執行權限、也不需要使用者互動，就可能遠端執行程式碼。另外 CVE-2026-58876、CVE-2026-58936 也是 critical 的 RCE。Kernel 有 6 個 critical（Bluetooth、HID、pKVM，5 個權限提升、1 個資訊洩漏），MediaTek modem 有 8 個，Qualcomm 閉源元件有 1 個，這些屬於 2026-11-05 patch level。報導的原句是，patch level 在 2026-11-05 或之後的裝置，涵蓋本月所有問題（”Devices with a security patch level of 2026-11-05 or later address all issues covered this month.”）。

Google Android Security Bulletin 的原頁我沒讀，23 這個數字與各 CVE 的描述全部來自 CyberInsider 一篇報導。搜尋結果裡有「200 多個漏洞」的說法，我在報導裡讀不到，不採用。有沒有在野利用，我也沒讀到任何說法。

最有畫面的是 CVE-2026-58882，外號 SMS of Death，critical、類型是 DoS，列在 2026-11-01 patch level，涵蓋 AOSP 14 到 17。獨立研究者 Mark Blaszczyk 在 10 月 29 日公開，他在 5 月 5 日通報過 Google。機制是一則畸形的 WAP Push data message，讓 com.android.phone 行程崩潰，進行中的通話（含緊急電話）會被中斷；訊息不會出現在收件匣，收件人也不必開啟。根因在 WapPushOverSms.java 裡一個沒檢查的整數轉換，header length 可以變成負值，配置記憶體時就丟例外。重複傳送與排隊中的訊息可以造成反覆崩潰，重開機也一樣，PoC 已經公開。

我想講的不是這個洞多好笑，是時間線。研究者說 Google 的修補 10 月就已經出貨；報導自己也註明，列入 11 月公告不代表所有裝置到 11 月才修好。公告月份是 Google 的記帳方式，對你手上那支手機來說，唯一有意義的日期是 patch level 顯示的那一天。我的立場：看到公告就問「我的裝置現在的 patch level 是多少」，不要問「這個月修了什麼」。會讓我改口的條件是 Google 公告頁寫的範圍或日期，與這篇報導對不上，那我這一節要整段作廢。

原文來源：CyberInsider（二手）：Android November 2026 security update，2026-11-03

三、Next.js：預告說 7 個 medium，釋出文標了 1 個 High

Vercel 在 11 月 3 日釋出 Next.js 16.4.5（Active LTS）與 15.5.29（Maintenance LTS），修補 7 個漏洞，兩篇原文我都讀了。有意思的是兩篇對不上：10 月 27 日的預告寫 “seven medium vulnerabilities”，釋出文實際列出 1 個 High 與 6 個 Medium。預告說 7 個 medium，釋出文把其中一個標為 High，我只能如實記成這樣，兩者之間為什麼調整，頁面沒說。

那個 High 是 GHSA-mfr8-8qww-v76h：啟用 Cache Components 的應用，當同一個公開的 use cache 函式被直接呼叫、又被包在 unstable_cache 裡呼叫，而且這個函式會讀 root parameter（例如租戶識別）時，快取內容可能跨 root parameter 的值洩漏。標題寫的就是 cross-tenant cache disclosure。其他 6 個 Medium 裡，有巢狀 use cache 的跨 root parameter 洩漏（GHSA-vc7v-qv4w-wrv8）、binary 參數產生相同 cache identity（GHSA-rhh4-g77r-r9qj，原文特別寫它 “does not permit arbitrary access to unrelated cache entries.”），以及自架 next start 的 shared shell cache poisoning，這一項原文沒附 GHSA 編號。其餘三項是過期壓縮回應的 framing（GHSA-pc58-hwjq-p385，需要 HTTP/1.1 reverse proxy 排隊 pipelined requests，原文說不適用每種 reverse proxy 設定）、Edge route 用 NextResponse.cookies.set() 設 cookie 時，序列化內容出現在 x-middleware-set-cookie 標頭，同源 JS 讀得到、連 HttpOnly 也是（GHSA-f3mh-rxg3-f5g2），以及 Image Optimization 的 SVG 拒絕被繞過、被誤判成 AVIF（GHSA-7qx7-33qx-rqx2）。

釋出文對幾項的影響範圍都寫得很克制：多數問題要求啟用 Cache Components；shell cache 那項，原文寫在測試中，build 產生的值與開啟 Partial Prefetching 的設定不受影響；cookie 與 SVG 兩項都明寫「不是獨立執行 JavaScript 的途徑」「本身不證明 XSS 或 RCE」。

我的立場：升級就好，不要拿預告文的嚴重度標籤去排優先順序。預告把 7 個都叫 medium，如果有人照預告排「這週不急」，釋出當天就會發現其中一個被標成 High，而且是租戶資料可能互相看到的那種。急不急，看你的應用有沒有啟用 Cache Components、有沒有把會讀租戶識別的 use cache 函式同時包進 unstable_cache，這是 High 那項成立的前提。

1
2
npm install [email protected]   # Active LTS
npm install [email protected]  # Maintenance LTS

會讓我改口的條件：之後 GHSA 頁面把那一項降回 Medium，或 Vercel 更正釋出文的嚴重度標示，我就把「別信預告標籤」這句收回。

原文來源：Next.js：November 2026 security release，2026-11-03；預告：Upcoming Next.js security release，2026-10-27

四、Analog Devices 收購 Alif：價格沒公布，所以我不評貴賤

這一則短。ADI 在 11 月 3 日的新聞稿（Wilmington, Mass.）說，已經完成收購 Alif Semiconductor（”has closed its acquisition of Alif Semiconductor”）。ADI 說這筆交易帶進 Alif 的 AI-native microcontrollers 與 fusion processors，擴張它在 sensing、signal processing、power、connectivity、application software 的業務，應用場景列了工業、資料中心基礎設施、國防、能源、機器人、數位健康與穿戴式。CEO Vincent Roche 說了兩句，一句是歡迎 Alif 團隊，一句是 “This is physical intelligence in action.”

新聞稿沒揭露購買價格，也沒揭露其他交易條件。所以我只能談方向，不能談價值：把 AI 運算塞進微控制器，是今天唯一一則碰到 AI 的新聞，而且發生在最不會上頭條的那一層。我的立場：這種收購要看的是之後哪些 ADI 產品線真的出現 Alif 的處理器，新聞稿裡那句 “physical intelligence” 是 CEO 的定位用語，不是產品事實。會讓我改口的條件是 ADI 之後公布交易條件，到那時我才會談貴不貴。收購是何時宣布、當初開什麼價，我這次沒查，所以不寫。

原文來源：PR Newswire：Analog Devices completes acquisition of Alif Semiconductor，2026-11-03

五、Fedora Linux 45：新功能是 Stratis，要小心的是兩個 VPN 外掛

Fedora Project 在 11 月 3 日宣布 Fedora Linux 45 釋出，Fedora Magazine 的公告是我讀到的原文。裡面寫了桌面（GNOME、KDE Plasma、社群 spins）有更新，Wayland 與分數縮放有改善，但沒有給版本號，所以我不寫任何版本。搜尋結果裡流傳的 kernel、GNOME、KDE 版本，我在原文讀不到，一律不採用。

原文給了細節的是 Anaconda。安裝程式新增 Stratis 支援，Stratis 把 device-mapper、XFS、LUKS 包在同一個介面下，提供 thin provisioning、storage pooling、snapshots 與加密。GUI 安裝時，可以從自訂分割啟動 Cockpit 的 storage 模組去建立 Stratis pool；Kickstart 支援 --type=stratis 搭配 autopart，另有 stratispool 與 stratisfs 兩個指令。

我會多看兩眼的反而是 breaking change：NetworkManager-vpnc 與 NetworkManager-fortisslvpn 從 Fedora 45 起退役、成為 obsolete，用戶要把 VPN 連線遷移到支援的替代方案。靠這兩個外掛連公司 VPN 的人，升級之前先把連線方式換掉，原文只寫了要遷移，升級後實際會怎樣我沒讀到。我的立場：新功能可以晚點試，退役的外掛要先處理。我沒有實際安裝或升級過 Fedora 45，Stratis 的實際表現我沒有任何第一手資料。

原文來源：Fedora Magazine：Announcing Fedora Linux 45，2026-11-03

三則資安講的是同一段距離。Siemens 8 月就公開了，10 月 30 日才有人被觀察到在野利用；Android 的修補，研究者說 10 月就出貨了，公告排在 11 月；Next.js 的修補 11 月 3 日剛放出，這一則我沒讀到任何利用的說法。三者的距離長短不同，我的立場是同一個：漏洞的壽命要算到你那台機器裝上補丁為止，公告上的「已修補」四個字，在那之前保護不了任何一台沒更新的機器。