管著一台 SonicWall、SSL-VPN 登入靠 SAML 加 MFA 擋門的人，11 月 6 日多了一件要查的事：那兩道鎖，可能被同一個洞一起繞過。這週六新聞很薄，11 月 6 日這天我讀得到來源、日期也對得上的只有三則，另外找到的幾則不是日期落在 11 月 5 日，就是原文被付費牆擋住，我沒讓它們進來充數。三則裡兩則是二手或匿名消息，各自在該則說明。

一、SonicWall：CISA 說有人在用，廠商只說「潛在」

事情從 CVE-2026-19868 開始。SecurityWeek 11 月 7 日的報導寫，這個 SonicOS 漏洞 “may allow a user with valid credentials for an alternate authentication method to bypass SAML authentication controls”，成功利用還可能繞過 SAML 強制的 MFA。注意前提：要有另一種驗證方式的有效憑證。這不是不用任何憑證就能進，但 MFA 本來就是替「憑證外洩」準備的第二層，憑證外洩的那個情境，剛好是它最需要頂住的情境。這是我的推論，不是 SecurityWeek 的結論。

讓我多讀幾遍的是兩個機構的措辭。CISA 11 月 6 日把它列入已知被利用漏洞清單（KEV），頁面寫的廠商與產品是 “SonicWall SonicOS SSLVPN”，描述是 “Use of Single-factor Authentication Vulnerability”，那一頁沒有寫到期日。到期日是 SecurityWeek 寫的：依 Binding Operational Directive 26-04，聯邦機關要在 11 月 20 日前處理，從 11 月 6 日算起是 14 天。SonicWall 的說法則是，產品安全團隊 “has investigated a report indicating potential exploitation of this vulnerability.”，用的是「潛在」。CISA 列入 KEV，意思是 CISA 認定有在野利用的證據；廠商那邊是「有一份報告指出可能」。兩句強度不一樣，我不把它們寫成同一句話。

怎麼修倒是寫得很乾脆。SecurityWeek 的整理是：Gen7 的 TZ、NSa、NSsp、NSv，SonicOS 7.3.3-7015 及更舊受影響；Gen8 的 TZ、NSa、NSv，8.2.2-8015 及更舊受影響。7.3.4-7013 與 8.2.3-8015 修掉了，而且 “there are no workarounds”，沒有緩解措施，只有升版一條路。照 SecurityWeek 的說法，這個 advisory 一共描述七個漏洞，只有 CVE-2026-19868 被標為已被利用。SonicWall 與 CISA 都沒公開攻擊細節，是不是 zero-day 也沒人說，這兩句同樣是 SecurityWeek 的歸納。

SonicWall 的 advisory（SNWLID-2026-0014）我去抓過，只拿到「Security Advisory」這個標題，內文讀不到，所以上面所有 SonicWall 的話都是 SecurityWeek 轉述。SecurityWeek 寫這個洞在 “high-severity range”，另外給了 CVSS 7.1 的數字，但沒說是誰評的分，我不當成 SonicWall 或 NVD 的評分。搜尋摘要還說只有設成 SAML 認證的 SSL-VPN 受影響，我在讀到的原文裡沒找到這句，沒採用。

我的立場：在 SonicWall 把話說清楚之前，把它當成已經有人在用。換個角度問，怎樣才會對你沒事？只有一條，版本在修補版以上。下行是第二層驗證靜悄悄失效、又沒有任何替代做法；上行只是多排一次維護時間。這筆帳不用算很久。要我改口，得等 SonicWall 的 advisory 全文或 CISA 的補充說明，明寫被利用的是別的設定組合，或是 CISA 把它從 KEV 移掉。

原文來源：CISA：Adds One Known Exploited Vulnerability to Catalog，2026-11-06；SecurityWeek：SonicWall patches exploited SonicOS bug that weakens VPN logins，2026-11-07；SonicWall PSIRT：SNWLID-2026-0014（內文未讀到）

二、Microsoft 與 Oracle：一個匿名來源，一層轉述，規模沒人知道

Bloomberg 週五報導，Microsoft 正在結束 2023 年簽的、向 Oracle 租 AI 運算的協議，不續約，近幾個月已經逐步關掉租用的容量。我讀不到 Bloomberg 原文，下面是 TNW 的轉述，而 TNW 明寫 Bloomberg 的依據是 “people familiar with the matter”，匿名。

轉述的內容：那批伺服器用的是較舊世代的 Nvidia 晶片，不再符合 Microsoft 的需求，這也是匿名消息；Bloomberg 說 Microsoft 高層對外部雲端合約的成本與延遲不滿；Bloomberg 無法確定協議的完整規模。TNW 自己補了一句，這份協議原本是讓 Microsoft 用 Oracle 的伺服器跑 AI 版 Bing 搜尋，這句出自 TNW 的報導，不是 Bloomberg 的。Microsoft 拒絕評論；Oracle 那邊 TNW 只轉述「需求仍強，含較舊 GPU」，沒有逐字引句。

TNW 另外寫了一筆外部合約的總額、Oracle 的股價跌幅，還有股價自 6 月高點以來的走勢，三項都沒給來源。搜尋摘要裡的跌幅又跟 TNW 與 Reuters 轉述的對不上，整組數字我都不引。

這則的形狀跟昨天的 Micron 一樣，也是匿名來源，這裡不重複那篇的論點，只問一個不同的問題：這則消息會讓你調整什麼判斷？客戶不續約，這是這則消息的主張，來源仍是匿名；但「規模不明」四個字把整件事壓得很小。一個規模不明的終止，可能是 Oracle 營收的大缺口，也可能只是一批舊卡到期，兩種情況我手上的來源都分不出來。

我的立場：這則消息不夠推論 Oracle 的 AI 需求轉弱。要證明需求轉弱，得有規模、有續約率、有不只一家客戶，現在三樣都沒有，只有一家客戶、一句匿名的「舊晶片不合用」。要我改口，得等 Oracle 或 Microsoft 在財報或公開文件裡寫出這份合約的規模或剩餘承諾；那時候才有分母。

原文來源：TNW：Microsoft winds down Oracle AI cloud capacity deal，2026-11-06（Bloomberg 原文未讀到）

三、DeepMind 與 1024-bit RSA：我在這則撞了兩次牆

先講死路。我找 DeepMind 的原文，blog 列表抓到的第一頁沒有這篇；找論文，FourWeekMBA 稱 11 月 6 日在 arXiv 與 IACR ePrint 都找不到；Pushmeet Kohli 的 X 貼文我讀不到。能讀的只剩 FourWeekMBA 與 CryptoBriefing 兩篇二手，日期都是 11 月 6 日。

搜尋摘要裡還有一串批次分解的成本與耗時數字，我讀得到的兩篇二手都找不到佐證，只好全部丟掉。研究者姓名在 CryptoBriefing 與搜尋摘要之間寫得不一致，所以不署名。

剩下能確定的有三句，都是 FourWeekMBA 引 Kohli 文章的原話：”these results only affect obsolete 1024-bit RSA systems.”、”these systems can be compromised with a lower computational budget than previously thought possible.”、”we cannot treat cryptographic hardness as a fixed assumption.”。文章把簽章偽造那一項的 1,600 倍稱為 “theoretical” 估計，這個數字是 DeepMind 的理論估計，我讀不到原文，基準是什麼不清楚，只有引用的資格，沒有解讀的資格。CryptoBriefing 的歸納是兩項發現，一個是數位簽章偽造，一個是批次分解相關的 modulus 比較便宜，2048 位元以上的現行部署不受這項特定威脅影響。後面這句是二手歸納，不是原話。

我的看法比較樸素：1024-bit 本來就是過時的系統，引文自己也用 obsolete 這個字，這則消息對多數人的實際動作只有一個，盤點手上有沒有殘留的 1024-bit 金鑰，例如舊的韌體簽章、沒人敢動的舊 VPN 設備。「AI 破了 RSA」這個標題，目前沒有任何我讀得到的內容支持。

原文來源：FourWeekMBA：AI DeepMind AI agents find 2 weaknesses in legacy 1024-bit RSA，2026-11-06；CryptoBriefing：Google DeepMind AI RSA 1024-bit weaknesses，2026-11-06（DeepMind 原文與論文均未取得）

如果今天只擠得出一小時：先查 SonicWall 的版本號，因為聯邦機關有 11 月 20 日的期限，而且 CISA 已列為被利用；第二才是盤點 1024-bit 金鑰，因為它不依賴任何一則還沒被驗證的研究，反正早該做；Microsoft 與 Oracle 那則，放著等財報，匿名消息改不了你這週要做什麼。