本期聚焦硬體信任根、公共部門程式碼合規、歐盟《網路韌性法案》（CRA），以及 AI 產生程式碼帶來的驗證落差。以下整理 10 項資安與軟體供應鏈重點。
Qualcomm BootROM 程式碼簽章繞過漏洞
CVE-2026-25262 涉及 Qualcomm BootROM 的程式碼簽章繞過。由於 BootROM 位於裝置開機信任鏈的底層，一旦驗證機制可被繞過，風險不僅限於作業系統或一般韌體層級。原始連結：https://ift.tt/h2vGZRa
BootROM 問題可能需要更換硬體
文章標題指出此漏洞需要透過硬體更換處理，顯示既有設備可能無法僅靠軟體更新完整修復。防守團隊應優先盤點採用相關元件的產品與設備，並向供應商確認受影響範圍及處置方式。原始連結：https://ift.tt/h2vGZRa
硬體生命週期也應納入漏洞應變
若漏洞修復涉及硬體汰換，事件處理將同時牽涉資產管理、採購、維運與服務持續性。企業在建立風險處置計畫時，應將替換優先順序、備援能力及供應商支援狀態一併納入評估。原始連結：https://ift.tt/h2vGZRa
公共部門軟體必須兼顧安全與法規遵循
公共部門掌握敏感的民眾資料，因此軟體專案除了功能交付，也必須落實安全程式設計。程式碼合規涵蓋資料保護法律、財務治理標準，以及各類政策與監管要求。原始連結：https://ift.tt/9LVJfW6
將合規要求轉化為開發流程控制
合規不應只在專案驗收階段檢查，而應落實於設計、開發、程式碼審查與測試流程。團隊需要保留可稽核的紀錄，讓安全要求、程式碼變更與驗證結果能夠相互對應。原始連結：https://ift.tt/9LVJfW6
公共軟體的信任來自可驗證的治理
處理民眾資料的系統若要維持高信任度，需要把安全程式設計與治理責任整合。除了技術掃描，專案也應釐清權責、政策適用範圍及缺失修正機制，避免合規要求與實際開發脫節。原始連結：https://ift.tt/9LVJfW6
歐盟 CRA 改變軟體產品的資安責任
What’s in the SOSS Podcast 第 71 集由主持人 Sally Cooper 與 OpenSSF 歐盟政策顧問 Madalin Neag 討論歐盟《網路韌性法案》。內容聚焦 CRA 對科技產業及開放原始碼生態帶來的新要求。原始連結：https://ift.tt/kMHgUqp
開源軟體使用者需重新檢視供應鏈責任
節目摘要指出，產業正在告別將開源軟體視為可任意取用資源的舊思維。組織應重新盤點開源元件的來源、維護狀態與使用方式，並釐清產品供應鏈中的責任界線。原始連結：https://ift.tt/kMHgUqp
AI 產生程式碼的比例持續增加
文章引用 Google 公開說法：2024 年底約有 25% 的新程式碼由 AI 產生，一年後提高至 50%，並於 2026 年 4 月表示比例達到 75%。這項趨勢凸顯 AI 輔助開發已成為程式碼治理的重要議題。原始連結：https://ift.tt/bLU0W3c
程式碼產出加速，驗證能力必須同步提升
當 AI 大幅提高程式碼產出量，既有審查與驗證流程可能形成落差。團隊仍需透過程式碼審查、測試與安全檢查辨識 code smell，不能因程式碼可快速生成，就省略必要的驗證與品質控管。原始連結：https://ift.tt/bLU0W3c