文章索引
記錄系統設計、AI Agent 工作流，以及實際專案裡值得保留的技術取捨。
Linux .NET tarball 修補：解壓後，誰能改寫 runtime？
CVE-2026-114148 涉及 Linux 壓縮檔的擁有者資訊。從安裝來源、解壓身分與實際檔案權限，判斷修補範圍，並用乾淨目錄替換受影響安裝。
.NET 10 月緊急更新補回漏掉的修補，驗收要追到執行中的版本
Microsoft 10 月 25 日補發 .NET 安全更新。依部署型態區分主機 runtime、self-contained 產物與容器，把公告版本轉成可核對的正式執行證據。
新訂單必填配送時段，舊訂單的空值該怎麼辦？
新增配送偏好時，分開處理尚未詢問的舊訂單與已明確選擇的新訂單。以相容版本、功能開關及履約快照安排上線順序，避免預設值捏造顧客選擇。
Postiz 2.25.3 權杖偽造修補：限制簽署欄位與驗證用途
Postiz 10 月 24 日發布安全更新。從 JWT 修補原始碼檢查請求資料如何取得簽章，再把用途驗證、欄位白名單與部署驗收分開處理。
eMudhra 中繼 CA 失守：瀏覽器已封鎖，後端 TLS 仍要逐一驗收
八張 eMudhra 中繼 CA 憑證私鑰可被還原，撤銷資訊不會自動到達所有 CLI 與容器。補上 CPython 10 月 24 日合併的公鑰拒絕清單，區分分支回補、修補套件交付與實際程序驗收。
訂單明細 API：如何限制顧客只能讀自己的訂單
登入成功後，訂單明細仍要檢查所有權。用可信的顧客身分限定 MySQL 查詢，對照集中 Policy 的取捨，再用跨帳號、快取與帳號切換案例驗收。
VeloCloud Orchestrator 漏洞已遭利用，唯讀帳號也在修補範圍
CVE-2026-114625 在 10 月 23 日新增 KEV 紀錄。核對 VCO 部署型態與分支修補版本，再把控制器更新、低權限帳號與入侵調查分開追蹤。
PHP 10 月安全更新：驗收 Web worker，並檢查 session handler 切換
PHP 10 月 21 日修補兩項 RCE，23 日另公告特定 session handler 切換條件下的 CVE-2026-115560。分開確認修補版本、upload progress 設定與承接 HTTP 流量的 worker。
OpenAI 公開訓練環境隔離修補：DNS 與間接出網如何驗收
OpenAI 10 月 23 日說明訓練隔離修補與 10 月 1 日復訓。從 DNS 事件檢查直接連線、內部服務代抓取與自動停機，建立各自可驗證的測試證據。
物流通知晚到時，怎麼避免訂單狀態倒退？
用明確的配送進度轉移與獨立待核對標記，處理重複、亂序及退件通知。保留事件、鎖定同一份派工資料，讓晚到的運送中不會蓋掉已確認的送達回報。