📡 科技日報 — 2026-05-22

🚨 今日科技重點

Microsoft Defender 雙漏洞遭野外利用 (CVE-2026-41091 / CVE-2026-45498) — 攻擊者正積極利用兩個 Microsoft Defender 漏洞，CISA 已加入 KEV 清單，要求聯邦機構限期修補。
💡 若尚未部署本月 Defender 更新，請立即優先套用安全修補程式。
Exchange Server CVE-2026-42897 遭惡意郵件主動利用 (CVSS 8.1) — 本地部署 Exchange 中的 XSS 衍生 Spoofing 漏洞，攻擊者以精心構造的電子郵件觸發，已確認野外利用。
💡 Exchange 本地部署需立即套用 Patch；無法立即更新者考慮啟用強化 SMTP 篩選規則。

SubQ 1M-Preview：首款商業化非 Transformer LLM，支援 12M Token 超長上下文 — Subquadratic 以 2900 萬美元種子輪推出全球首款商業化次二次方（subquadratic）架構模型，宣稱完全脫離 Transformer，推論成本在超長上下文場景具潛在優勢。
💡 若次二次方架構在長上下文推論成本上能驗證優勢，將對現有 LLM 供應商生態造成結構性衝擊。
美國國防部與 Nvidia、Microsoft、AWS 簽約，AI 正式進入機密網路 — 五角大廈允許 Nvidia、Microsoft、AWS 及 Reflection AI 的 AI 技術部署於機密網路進行合法作戰用途，標誌 AI 軍事化部署正式制度化。
💡 AI 主權與安全合規議題將隨之升溫，防禦產業 AI 供應鏈規範預計引發更多立法討論。

Linux 6.18 確認為新 LTS 核心：異質運算排程優化、Rust 模組持續增長 — Linux 6.18 成為新長期支援版本，帶來 CPU/GPU/NPU 混合異質運算排程優化、更彈性的 per-CPU 資料分配機制，以及持續擴大的 Rust 驅動程式覆蓋率。
💡 規劃 2026 下半年基礎設施升級的團隊可開始測試 6.18 LTS 相容性。
OpenTelemetry 延伸至 CI/CD Pipeline：「基礎設施即可觀測事件」 — CD Foundation 5 月更新中，社群推動以 OpenTelemetry 統一 CI/CD 與生產環境追蹤，消除過去 pipeline 與 prod 可觀測性脫節的痛點，Jenkins X 同步更名為 JayeX。
💡 若 CI/CD pipeline 目前無 trace 覆蓋，現在是引入 OTel CI/CD 規格的好時機。
GCC BPF 後端大幅追趕 LLVM，即將達到功能對等 — 2026 Linux 儲存與 BPF 峰會揭露 GCC BPF 支援取得重大進展，對不依賴 LLVM 的嵌入式或企業環境，eBPF 適用範圍將大幅擴大。
💡 強制使用 GCC 工具鏈的嵌入式 Linux 環境，eBPF 可觀測性與安全模組的導入障礙即將消除。

「Dirty Frag」雙漏洞鏈 (CVE-2026-43284 / CVE-2026-43500) 繞過已知 Copy Fail 緩解措施 — 繼 CVE-2026-31431（Copy Fail）後，Dirty Frag 以不同路徑實現相同頁面快取寫入到 root 提權，完全繞過現有緩解措施，二者可組合為完整 LPE 鏈。
💡 已套用 Copy Fail patch 的系統仍需評估 Dirty Frag；建議同步啟用 Lockdown LSM 降低利用空間。
2026 年 5 月三 CVE 攻擊鏈：NGINX RCE + Linux LPE = 公網到 Root — NGINX Rift（CVE-2026-42945）堆積溢出達成 RCE，搭配 Copy Fail 或 Dirty Frag 即可完成從公網到 root 的完整無縫攻擊鏈，且 forensics 難以偵測，社群警告此鏈被嚴重低估。
💡 暴露於公網的 NGINX 服務應立即更新，並同步套用所有 Linux LPE 修補程式。

本週高風險視窗：務必優先修補五月 CVE 組合: NGINX Rift + Copy Fail + Dirty Frag 構成完整 RCE→root 鏈；Microsoft Defender 與 Exchange Server 同步需修補，本週是高暴露風險期。
CI/CD 可觀測性投資正當時: OpenTelemetry CI/CD 規格趨於成熟，統一 pipeline 與 prod 追蹤可大幅縮短跨環境 MTTR，建議納入 Q3 技術債規劃。
關注非 Transformer 架構: SubQ 的出現提醒基礎架構仍在演化；評估 LLM 供應商時，可開始詢問超長上下文推論成本的定價策略與架構路線圖。

2026 年最熱 dev meme：「Works in production, fails in dev environment」 — 傳統 "works on my machine" 的進化版，反映容器化時代環境漂移問題依然是工程師日常痛點，社群紛紛補充「AI 幫我 debug 但 AI 也說它不知道這程式碼在做什麼」。
HN 5 月「你在做什麼？」：Agentic Coding 已成平台大戰主戰場 — 過去半年，agentic coding 從研究前沿演變為各大 AI 公司的核心平台賭注，開發者討論：誰能讓 AI 代理真正「寫完再自己測」才是真贏家。
Jenkins X 正式更名為 JayeX，同步棄用 Halyard — 老牌 CI/CD 專案品牌重塑，改用原生 kustomize 安裝，社群：「終於不用為了裝 Halyard 再裝一個 Java runtime 了。」

End of article