libssh2 重大漏洞 CVE-2026-55200：客戶端 SSH PoC 已公開
針對 libssh2 函式庫的重大漏洞 CVE-2026-55200 的公開概念驗證（PoC）已正式釋出。此漏洞允許惡意或已遭入侵的 SSH 伺服器在連線用戶端觸發記憶體損毀（memory corruption），進而可能實現遠端程式碼執行（RCE）。
由於 libssh2 被廣泛用於各類 SSH 用戶端工具與程式庫，PoC 的公開大幅降低了實際攻擊的執行門檻。建議使用 libssh2 的專案立即評估目前版本並優先排定修補計畫。詳細資訊請參閱：[https://ift.tt/BhIpSfM]
Mozilla 0DIN 警告：AI 編碼代理人面臨間接提示注入攻擊風險
Mozilla 旗下零日調查網絡（Zero Day Investigative Network，0DIN）的安全研究人員揭露，惡意 GitHub 儲存庫可在不含任何惡意程式碼的情況下，靜默入侵開發者的機器。此攻擊利用「間接提示注入」（indirect prompt injection）手法，透過儲存庫內容誤導 AI 編碼代理人執行攻擊者預期的惡意操作。
受影響目標包含 Claude Code 等 AI 輔助編碼工具。攻擊情境中，開發者僅需讓 AI 代理人分析一個看似正常的儲存庫，代理人即可能在沙箱外執行未授權指令，完全無需使用者互動。詳細資訊請參閱：[https://ift.tt/Ia5TMRV]
此研究對使用 AI 代理人自動化程式碼審查或 CI/CD 流程的開發團隊尤為關鍵。建議針對 AI 代理人的操作權限實施最小權限原則（least privilege），並對任何第三方儲存庫的輸入內容保持高度警覺。
開源程式碼安全審查模型 securereview-coder-32B-FP8 發布
研究人員 Vito Rallo 在 Hugging Face 上發布了 vitorallo/securereview-coder-32B-FP8 模型，專為程式碼安全審查（code security review）設計，評估 F1 分數達到 41%，顯示在自動化漏洞偵測領域的初步可行性。
此模型隸屬「Foil」計畫，致力以開源大型語言模型實現自動化 SAST 功能，旨在降低中小型開發團隊在程式碼安全審查上的成本門檻。詳細資訊請參閱：[https://ift.tt/FQ8gAlC]
靜態程式碼分析在金融科技合規中扮演的核心角色
JetBrains Qodana 團隊深入探討靜態應用程式安全測試（SAST）在金融科技（fintech）合規工作流程中的核心地位。文章指出，每一次 commit 都可能帶來合規風險，將 SAST 整合進 CI/CD 管線是從根本解決此問題的關鍵工程手段。
合規不應被視為稽核時才需應對的法規義務，而應作為工程工作流程的一環加以內化。透過自動化靜態分析，開發團隊能在程式碼合入主幹前即時發現潛在法規違規點，大幅降低事後修補成本與監理風險。詳細資訊請參閱：[https://ift.tt/xk0gfLq]