iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 5篇
近 24 小時: 31篇
近 7 天: 131篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 127 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

OpenAI開源權重的模型要延到夏天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI推出開源權重模型的承諾，基於一些技術問題要延後到夏天了。</p> <p>有鑒於DeepSeek帶動的開源AI模型風潮，也讓封閉模型業者如OpenAI開始思考靠攏開放路線。<a href="https://www.wired.com/story/openai-sam-altman-announce-open-source-model/" target="_blank">OpenAI執行長Sam Altman 3月底宣布</a>，公司正在推進開源權重模型的專案，預計未來幾個月內開源一款具推理能力的模型之權重。初步預定為6月。</p> <p><a href="https://x.com/sama/status/1932573231199707168" target="_blank">周二Altman在X公告</a>，這個專案要再多花一點時間，預計要到今年夏天。他說研究團隊開發了「預期之外很讚」的東西，非常值得等待，只是要再等等。</p> <p>OpenAI面臨AI新創公司的激烈競爭，可能促使該公司加緊推進研發及業務發展。法國新創公司<a href="https://www.ithome.com.tw/news/169475" target="_blank">Mistral AI本周公布了第一款推理模型Magistral</a>，<a href="https://www.reuters.com/world/china/chinas-deepseek-releases-an-update-its-r1-reasoning-model-2025-05-29/" target="_blank">DeepSeek 也在上個月推出R1更新版</a>。</p> <p>另一方面OpenAI也藉由收購擴大產品能力，包括<a href="https://www.ithome.com.tw/news/169088" target="_blank">買下前Apple首席設計師Jony Ive的AI裝置新創公司io</a>，以及傳言以30億美元買下程式AI輔助撰寫平臺Windsurf。</p> </div></div></div>
2025/6/12 11:16作者林妍溱https://www.ithome.com.tw/news/169495
HPE修補備份平臺StoreOnce重大層級的身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓受害組織增加恢復資料的難度，勒索軟體駭客往往會針對備份系統下手，清除企業組織備份的內容，一旦這類系統出現資安弱點，就很有可能被駭客拿來利用。因此，IT人員也要特別留意相關的資安弱點資訊。</p> <p>HPE針對儲存備份系統StoreOnce<a href="https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbst04847en_us&docLocale=en_US">發布資安公告</a>，修補8項由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）通報的弱點，這些漏洞可被用於繞過身分驗證、遠端程式碼執行（RCE）、伺服器請求偽造（SSRF）、路徑穿越、任意檔案刪除，以及資訊洩露，影響HPE StoreOnce G4/4+，該公司發布4.3.11版予以修補。</p> <p>StoreOnce是高效能備份暨資料保護解決方案，可靈活透過實體設備、虛擬設備，以及雲端環境進行部署，也能整合Cloud Bank Storage以混合雲型態建置。其特點是能透過刪除重複資料來大幅降低資源需求，並內建可防堵勒索軟體攻擊的威脅防護機制，支援應用程式感知備份。</p> <p>根據CVSS風險評分，這批漏洞最危險的是身分驗證繞過漏洞CVE-2025-37093，風險值高達9.8分（滿分10分）。在HPE的資安公告裡，並未對這些漏洞說明其他細節，而ZDI<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-316/">在公告提及</a>，這項弱點存在於StoreOnce的虛擬儲存設備Virtual Storage Appliance（VSA）版本，攻擊者能遠端利用，並在無需事先通過身分驗證的情況下觸發。</p> <p>此漏洞發生在名為machineAccountCheck的方法，起因是其中一項身分驗證的演算法實作不當。ZDI於去年10月通報HPE，並在雙方協調之下於今年6月正式發布相關公告。</p> <p>雖然目前這項漏洞尚未傳出遭到利用的情況，也尚無概念驗證程式碼（PoC），但<a href="https://arcticwolf.com/resources/blog/cve-2025-37093/">資安業者Arctic Wolf提出警告</a>，攻擊者很有可能串連其他危險係數較低的漏洞，從而達到遠端執行程式碼、洩露資訊，或是路徑穿越等目的。由於備份系統近年來不斷成為攻擊目標，他們認為駭客可能不久就會試圖利用這項漏洞。</p> <p>除了重大層級的CVE-2025-37093，占據本次發布漏洞總數一半的RCE漏洞，也相當值得留意，這些都是高風險漏洞，風險值皆為7.2分，這些漏洞被登記為CVE-2025-37089、CVE-2025-37091、CVE-2025-37092、CVE-2025-37096列管。</p> </div></div></div>
2025/6/11 22:44作者周峻佑https://www.ithome.com.tw/news/169491
Android 16正式發布先提供Pixel手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/android-16/" target="_blank">Google宣布Android 16正式發布</a>，已優先推向Pixel手機用戶，提供全新設計語言、新通知介面、Log紀錄，以及支援平板分割螢幕等功能。</p> <p>Android 16也是近幾年來公布最早的重大更新。而除了Pixel手機用戶，接下來也會逐步推向三星、小米、OnePlus、Motorola及其他Android手機。</p> <p>Android 16介面採用最新的Material 3 Expressive設計語言。Android 16也提供了多項新功能及功能更新。首先是即時通知（Live Updates），可即時顯示相容第三方服務的更新狀態，不必每5分鐘點開App查看一次。第一批相容服務是叫車類及餐點外送。Google並說，會逐步將這功能推向其他Android手機業者開發的通知，如三星的Now、OPPO和OnePlus的Live Alerts。此外Android 16也會將單一App的通知自動集結起來以減少資訊量過載。</p> <p>其次為輔助（accessibility）功能。Android 16將可改善助聽器使用經驗；現有使用藍牙LE Audio的助聽器，是以內建前向式麥克風來收聽來自前方的聲音，但無法收聽使用者本身的聲音。現在在嘈雜環境中，用戶可以用Android 16手機的麥克風取代助聽器。Android 16加入原生的助聽器控制功能，允許在手機上控制助聽器音量。</p> <p>Android 16現在加入進階防護（Advanced Protection）功能，號稱是Google最強行動裝置安全功能，可協助防護線上攻擊、有害App、惡意網站、詐騙電話等。<a href="https://security.googleblog.com/2025/05/advanced-protection-mobile-devices.html" target="_blank">根據Google網頁</a>，進階防護功能可運用於Chrome、Google Message、Phone by Google等，Google也計畫未來整合第三方App。</p> <p>Google也推出Android裝置專用，號稱業界第一個入侵紀錄（Intrusion Logging）。它將裝置log加密防護保存，只有用戶可以存取，這可在裝置遭駭時，提供鑑識分析。</p> <p>Android 16另外新增平板專用的電腦分割視窗（desktop windowing）。這是Google和三星合作，以三星DeX為基礎開發，可在單一Android平板上開啟多個應用程式視窗並調整大小，一如在桌機上，</p> <p>本項功能也會在今年推向其他相容裝置。此外Google預告今年內還會推出自訂鍵盤快速鍵，以及工作列溢位管理（taskbar overflow），後者方面工作列開滿時快速找到想要的App。此外，<a href="https://android-developers.googleblog.com/2025/06/developer-preview-enhanced-android-desktop-experiences-connected-displays.html" target="_blank">Google也正在公測</a>連結Android手機/平板和外接顯示器的功能。</p> <p>Google預告今年內還會為Android 16及Wear OS 6，加入更多Material 3 Expressive設計更新。</p> <p>除了Android 16，<a href="https://blog.google/intl/zh-tw/products/devices-services/pixel-drop-june-2025/" target="_blank">Google同時也釋出</a>Pixel手機功能更新（Pixel Drop），包括放大鏡支援搜尋、Pixel VIP聯絡人小工具等、新增的照片編輯能力、以及能消除背景噪音的錄音工具等。</p> </div></div></div>
2025/6/12 10:16作者林妍溱https://www.ithome.com.tw/news/169493
竊資軟體AMOS冒充美國電信業者，針對macOS用戶展開ClickFix網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司CloudSEK<a href="https://www.cloudsek.com/blog/amos-variant-distributed-via-clickfix-in-spectrum-themed-dynamic-delivery-campaign-by-russian-speaking-hackers">揭露</a>一波針對macOS用戶的攻擊事件，駭客集團假冒美國電信業者Spectrum註冊相關網域，結合ClickFix網釣流程，散布新版Atomic macOS Stealer（AMOS）惡意程式。攻擊行動自5月下旬開始活躍，駭客設置與Spectrum相關的釣魚網站，誘使受害者下載並執行AMOS惡意程式，進而竊取憑證、瀏覽器快取、加密貨幣錢包及其他敏感資料。</p> <p>研究人員指出，駭客註冊多個與Spectrum高度相似的假冒網域，誘導用戶進入釣魚網站。網站會引導用戶進行驗證操作，畫面設計模仿常見驗證介面，誘使點擊替代驗證按鈕，實則將攻擊腳本複製到剪貼簿，並要求用戶在終端機執行。</p> <p>駭客會根據用戶作業系統，自動切換不同的攻擊腳本，本次攻擊主力鎖定macOS用戶，攻擊流程會透過bash指令下載惡意殼層腳本，該腳本會反覆提示用戶輸入系統密碼，並以macOS本地驗證指令確認密碼正確性。在取得有效密碼後，腳本將憑證儲存至暫存目錄，隨後自遠端伺服器下載惡意執行檔，利用sudo權限清除安全隔離標記，並將其設為可執行檔後執行。</p> <p>研究人員提到，攻擊者在6月初設立偽造的Homebrew軟體庫，利用廣告釣魚誘導以Homebrew為開發工具的開發者誤入假網域，下載並執行惡意安裝腳本，造成AMOS變種程式植入系統。該假冒軟體庫會切換指向真正Homebrew安裝頁面，或攻擊者控制的伺服器，提升釣魚網站的真實性並增加追蹤困難度。</p> <p>假冒網站原始碼存在俄語註解，且其命令與控制伺服器資訊與過往俄語地區駭客團體所用特徵相符，研究人員認為本次行動疑似由俄語地區駭客發動。部分攻擊網頁前端存在邏輯錯誤，例如針對不同作業系統顯示不一致的指令提示，或向macOS用戶顯示Windows快捷鍵操作，凸顯出攻擊基礎架構組裝較為倉促，但其社交工程誘騙與針對性設定仍有高安全風險。</p> </div></div></div>
2025/6/11 18:46作者李建興https://www.ithome.com.tw/news/169490
【資安日報】6月11日，微軟修補已遭利用的WebDAV零時差漏洞，若不處理攻擊者可遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二有許多軟體業者發布6月份資安更新，其中微軟發布的內容尤其值得留意，因為其中包含了已被用於攻擊行動的資安漏洞。再者，SAP發布的公告也引起關注，原因是他們再度為NetWeaver修補重大漏洞。此外，本週有兩組研究人員公布Salesforce弱點的消息，也值得用戶留意。</p> <p>而在資安事故的消息上，零售業者遭到攻擊的事故，從時尚精品和運動服飾品牌轉向了保健食品業者；而在國內的部分，光電封測大廠聯鈞光電透露，5月下旬他們二度遭到攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169469"><strong style="font-size: 22px;">健康食品批發龍頭United Natural Foods遭網路攻擊，出貨受影響</strong></a></p> <p>北美最大健康食品批發通路商United Natural Foods Inc（UNFI）本月初遭到網路攻擊，迫使暫時關閉系統，已影響出貨及業務運作。</p> <p>UNFI在提交美國證管會的報告指出，該公司今年6月5日在部分IT系統發現未授權活動，立即採取應變，關閉部分和客戶訂單交付相關的系統。</p> <p>UNFI表示，此事件已經對公司營運有短期影響，預估情形還會持續。UNFI目前已援引外部網路安全專家的協助，進行評估與緩解、修復事件影響，也已通報執法機關。該公司正努力回復系統，而因應事件，UNFI也實作替代方案，以便交付訂單。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=122607&SPOKE_DATE=20250609&COMPANY_ID=3450"><strong style="font-size: 22px;">針對駭客兜售內部資料的情況，聯鈞光電發布資安重訊說明，指出在著手強化防禦過程再度遭到攻擊</strong></a></p> <p>6月9日矽光子及光電封測大廠聯鈞光電發布資安重訊，針對有媒體報導駭客於地下論壇公然兜售竊得資料的情況進行說明，他們提及1月19日<a href="https://www.ithome.com.tw/news/167064">遭受勒索軟體攻擊</a>後，就尋求外部資安業者協助，強化網路與資安架構，但在尚於著手改善的過程裡，又於5月16日面臨另一勒索軟體入侵的情況。針對這起事故可能造成的影響，聯鈞表示根據他們的評估，對公司營運無重大影響，但他們提及有疑似資料外洩的情況，將進行深入調查。</p> <p>究竟聯鈞提及的報導為何？我們推測很有可能是民視新聞網<a href="https://www.ftvnews.com.tw/news/detail/2025607W0132">於6月7日的報導</a>，當中提及於今年1月駭客組織Akira對聯鈞光電發動攻擊，他們當時在駭客論壇兜售90 GB資料，號稱內含大量保密協議（NDA）、公司機密授權文件，開價1千美元。</p> <p>另一組聲稱攻擊聯鈞的勒索軟體駭客組織是Crypto，這批歹徒於5月28日表示手上握有700 GB聯鈞內部資料。但聯鈞遭遇的資安事故是否就是這些勒索軟體駭客所為，該公司並未說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fin6-hackers-pose-as-job-seekers-to-backdoor-recruiters-devices/">駭客組織FIN6假借求職名義從事社交工程攻擊，意圖散布惡意軟體More_eggs</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://FBI: BADBOX 2.0 Android malware infects millions of consumer devices">針對綁架全球逾百萬臺連網裝置的殭屍網路BadBox 2.0，FBI警告用戶要加強防範，以免裝置被綁架用於網路犯罪</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169471"><strong style="font-size: 22px;">微軟發布6月例行更新，修補已被實際利用的WebDAV零時差漏洞</strong></a></p> <p>6月10日微軟發布本月例行更新（Patch Tuesday），修補67個漏洞，數量較上個月78個有所減少。從漏洞的類型來看，遠端程式碼執行（RCE）漏洞25個最多，約占整體四成；其次是資訊洩露漏洞、權限提升漏洞，分別有17個、15個；其餘有6個是阻斷服務（DoS）漏洞、2個安全功能繞過漏洞，以及2個可被用於欺騙的漏洞。從危險的程度而言，其中有10個是重大層級，8個是遠端程式碼執行漏洞、2個是權限提升漏洞。</p> <p>值得留意的是，這次有兩個零時差漏洞，其中一個已被用於實際攻擊活動，另一個在修補前就被公開。這些漏洞分別是：WebDAV遠端程式碼執行漏洞CVE-2025-33053，以及SMB用戶端權限提升漏洞CVE-2025-33073。</p> <p>其中，CVE-2025-33053是資安業者Check Point發現及通報，對於漏洞發現的過程，Check Point表示，他們於今年3月看到被稱為Stealth Falcon（FruityArmor）的APT駭客，用於攻擊一家土耳其國防公司。</p> <p><a href="https://www.ithome.com.tw/news/169478"><strong style="font-size: 22px;">兩組研究人員公布Salesforce零時差漏洞，涉及SOQL物件查詢注入攻擊、低程式碼平臺組態配置不當</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/salesforce-emails.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/salesforce-emails.png" style="width: 300px; float: right;" /></a>為了進一步挖掘受害企業的機敏資訊，駭客可能會鎖定客戶關係管理系統（CRM）平臺Salesforce下手，竊取其中的內容，一旦這類系統出現資安漏洞，就有可能成為駭客利用的標的。</p> <p>最近有兩組研究人員揭露與Salesforce有關的漏洞，其中又以資安研究員Tobia Righi公布的零時差漏洞引起關注，這項弱點發生在Salesforce預設的控制器，此控制器將contentDocumentId參數直接嵌入動態的Salesforce Object Query Language（SOQL）查詢，卻未經過適當處理，導致可被惡意操控。Tobia Righi先後於2月下旬及4月初向Salesforce通報此事，直到最近似乎Salesforce默默地完成修補，Tobia Righi才公布漏洞細節。研究人員指出，Salesforce並未發布資安公告提及此事，也沒有登記CVE編號。</p> <p>另一組漏洞的揭露，來自SaaS應用程式資安業者AppOmni，他們在Salesforce為特定產業提供的雲端解決方案Industry Clouds當中，找到21項與組態配置有關的弱點，有可能導致未經授權的攻擊者存取加密表單、竊取連線階段（Session）、帳密資料，甚至是掌握商業運作邏輯。AppOmni向Salesforce通報並進行合作，結果有5個登記了CVE編號列管，其中有3項完成修補、2項Salesforce發布組態配置指引，而對於未登記編號的16項組態弱點，Salesforce認為並非是軟體錯誤，應由客戶負責處理。</p> <p><a href="https://www.ithome.com.tw/news/169474"><strong style="font-size: 22px;">SAP修補NetWeaver重大層級漏洞</strong></a></p> <p>本週二（6月10日）SAP發布6月份Security Patch Day每月例行更新，總共發布14則公告，其中最受到關注的部分，是應用程式伺服器NetWeaver的重大漏洞CVE-2025-42989，由於SAP從4月底至5月上旬，先後修補已被用於攻擊行動的NetWeaver資安漏洞CVE-2025-31324、CVE-2025-42999（CVSS風險值為10分、9.1分），由於上述事故的發生，使得與這套應用程式伺服器相關的嚴重漏洞，近期特別受到關注。</p> <p>CVE-2025-42989存在於NetWeaver Application Server for ABAP，為缺乏授權檢查的漏洞，影響核心為7.89、7.93、9.14、9.15版的應用程式伺服器系統，CVSS風險評為9.6分。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/adobe-releases-patch-fixing-254.html">Adobe發布6月例行更新，修補254個漏洞創下今年新高</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://kb.cert.org/vuls/id/211341">Insyde H2O UEFI韌體存在資安弱點，攻擊者可用於憑證注入攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ivanti-workspace-control-hardcoded-key-flaws-expose-sql-credentials/">Ivanti Workspace Control存在寫死金鑰弱點，搭配的SQL資料庫恐曝險</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169470"><strong style="font-size: 22px;">F5買下代理程式型態AI的資安新創Fletch</strong></a></p> <p>資安大廠F5本月初宣布收購以代理人AI為核心的新創業者Fletch，期望降低資安管理的複雜性。</p> <p>對於併購案金額，雙方並未透露相關資訊。F5今年初整合負載平衡、流量管理及應用與API安全能力成為應用遞送與安全平臺（Application Delivery and Security Platform，ADSP），旨在以平臺簡化眾多企業應用的管理複雜性，在買下Fletch後，Fletch技術將整合進F5的ADSP架構，推進其產品藍圖。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169459"><strong>【6月10日】中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> </div></div></div>
2025/6/11 17:19作者周峻佑https://www.ithome.com.tw/news/169486
兩組研究人員公布Salesforce零時差漏洞，涉及SOQL物件查詢注入攻擊、低程式碼平臺組態配置不當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了進一步挖掘受害企業的機敏資訊，駭客可能會鎖定客戶關係管理系統（CRM）平臺<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>下手，竊取其中的內容，最近一起針對該平臺而來的資安事故，是<a href="https://www.ithome.com.tw/news/169228">駭客組織Gehenna（GHNA）從可口可樂裝瓶合作夥伴Coca-Cola Europacific Partners（CCEP）竊得內部資料</a>。一旦這類系統出現資安漏洞，就有可能成為駭客利用的標的。</p> <p>最近有兩組研究人員揭露與Salesforce有關的漏洞，其中又以<a href="https://mastersplinter.work/research/salesforce-sqli/">資安研究員Tobia Righi公布的零時差漏洞</a>引起關注，這項弱點發生在Salesforce預設的控制器，此控制器將contentDocumentId參數直接嵌入動態的Salesforce Object Query Language（SOQL）查詢，卻未經過適當處理，導致可被惡意操控。Tobia Righi先後於2月下旬及4月初向Salesforce通報此事，直到最近似乎Salesforce默默地完成修補，Tobia Righi才公布漏洞細節。研究人員指出，Salesforce並未發布資安公告提及此事，也沒有登記CVE編號，當他詢問能否參與漏洞懸賞專案，Salesforce竟回覆：該專案不再受理漏洞通報。</p> <p>這項資安漏洞的發現，源自於Tobia Righi對於Salesforce提供的Aura框架進行模糊測試（Fuzzing），察覺其中一項內建的控制器存在SOQL注入弱點，並指出攻擊者若是能繞過SOQL的管制，就有可能取得敏感的用戶資料，以及上傳檔案的詳細資訊。這種問題影響將相當廣泛，成千上萬的Salesforce平臺都可能曝險。研究人員最終透過特製的輸入觸發錯誤訊息，成功找出能用於SOQL注入的資安弱點。</p> <p>另一組漏洞的揭露，來自SaaS應用程式資安業者AppOmni，他們在Salesforce為特定產業提供的雲端解決方案Industry Clouds當中，<a href="https://appomni.com/blog/low-code-high-stakes-salesforce-security/">找到21項與組態配置有關的弱點</a>，有可能導致未經授權的攻擊者存取加密表單、竊取連線階段（Session）、帳密資料，甚至是掌握商業運作邏輯。AppOmni向Salesforce通報並進行合作，結果有5個登記了CVE編號列管，其中有3項完成修補、2項Salesforce發布組態配置指引，而對於未登記編號的16項組態弱點，Salesforce認為並非是軟體錯誤，應由客戶負責處理。</p> <p>Industry Clouds是Salesforce以Customer 360平臺為基礎建構的垂直整合解決方案，結合CRM與產業專屬功能，讓企業能以低程式碼（Low-code）方式快速部署符合業務需求的應用程式。由於Industry Clouds廣泛用於金融、醫療保健、製造、電信、公共服務等領域，因此這些配置不當的弱點，影響範圍可能會相當廣泛。</p> <p>針對這次AppOmni找到的弱點，研究人員指出存在於FlexCards、Data Mappers、Integration Procedures、Data Packs、OmniOut，以及OmniScript Saved Sessions功能。其中被登記CVE編號的弱點，有4項出現於FlexCards，1項與Data Mappers有關，CVSS風險介於5.3至7.5分。</p> </div></div></div>
2025/6/11 16:19作者周峻佑https://www.ithome.com.tw/news/169478
Apple整合開發環境Xcode 26導入AI助理，增強自動化開發與多平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple於WWDC 2025<a href="https://developer.apple.com/videos/play/wwdc2025/247/?time=110">發表</a>Xcode 26，該版本將人工智慧助理整合進開發環境，正式支援ChatGPT並開放API連接第三方語言模型，提升程式碼自動生成、錯誤修正、文件產生及專案導覽等工作效率。這項更新有助於提升開發人員的生產力，並改變團隊協作與專案維護的模式。</p> <p>根據Apple官方說明，Xcode 26的<a href="https://developer.apple.com/documentation/Xcode/writing-code-with-intelligence-in-xcode">智慧程式開發（Coding Intelligence）</a>功能可讓開發者在側邊欄啟用人工智慧助理，透過自然語言與人工智慧互動，請求程式碼範例、解釋專案架構、產生或修改特定函式，並協助除錯與自動產生文件。開發者可選用預設的ChatGPT模型，或自訂加入如Anthropic、Ollama等本地或雲端模型，並透過API金鑰彈性切換與管理模型來源。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-Apple-Xcode%2026-Coding%20Intelligence.png" style="width: 600px;" /></p> <p>在實際應用上，人工智慧助理可依據專案內容給予建議與修改，支援多輪對話及上下文理解。每次人工智慧互動均自動保存對話紀錄及程式碼變更歷程，開發者可隨時回顧、還原或比對各階段程式狀態，降低人為疏失，方便團隊追蹤問題。針對安全性及專案管理需求，Xcode提供手動審核或自動套用變更的選項，使用者可依專案政策調整設定。</p> <p>新版Xcode提升專案導覽、符號查詢與即時測試體驗。透過按住Control鍵再用滑鼠點擊，或工具列可呼叫出人工智慧助理，針對指定函式、類別或檔案說明架構，或提供最佳化建議。針對SwiftUI或複雜UI開發需求，人工智慧可自動生成Playground巨集或UI預覽程式碼，供開發者驗證介面與互動邏輯。遇到編譯錯誤或警告時，使用者可直接請人工智慧生成修正建議並決定是否套用於專案，提升錯誤修正效率與一致性。</p> <p>文件生成也是智慧助理的功能更新。開發者僅需選取特定符號（Symbol），即可自動產生符合DocC規範的API說明文件，涵蓋類別、屬性與方法，減輕團隊文件維護負擔，提升專案可讀性與維護品質。Xcode 26還加強安全性與多平臺開發支援，提供更完整的開發工具整合方案。</p> </div></div></div>
2025/6/11 13:39作者李建興https://www.ithome.com.tw/news/169473
IBM將於2029年交付史上首個可容錯的大型量子電腦Quantum Starling
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2025-06-10-IBM-Sets-the-Course-to-Build-Worlds-First-Large-Scale,-Fault-Tolerant-Quantum-Computer-at-New-IBM-Quantum-Data-Center" target="_blank">IBM周二（6/10）公布其量子電腦發展藍圖</a>，指出計畫在2029年時，於紐約Poughkeepsie的新IBM Quantum資料中心，交付一臺名為Quantum Starling的大型容錯量子電腦。該系統將可透過200個邏輯量子位元（Logical Qubit）執行1億個量子邏輯閘（Quantum Gate），運算能力預期可達到目前量子電腦的2萬倍。</p> <p>IBM解釋，1個邏輯量子位元是由多個物理量子位元（Qubit）組成，它具備錯誤修正能力，能夠穩定儲存與運算量子資訊；實現大型量子電腦的關鍵，在於使用最少的物理量子位元，來打造出更多低錯誤率的邏輯量子位元，如今IBM率先提出一個可行的藍圖，能以合理的工程資源建置容錯量子電腦。</p> <p>Quantum Starling不僅運算能力是現代量子電腦的2萬倍，若要完整表示Quantum Starling量子電腦的計算狀態，將需要超過10^48臺全球最強大超級電腦的記憶體容量。</p> <p>建置Quantum Starling還有許多技術需要克服，IBM執行長Arvind Krishna表示，該公司在數學、物理與工程上的專業知識正在為大型的容錯量子電腦舖路。一個具備數百或數千個邏輯量子位元的電腦可執行數億至數十億次的操作，可望提升藥品開發、材料發現或化學等領域的速度及成本效率。</p> <p>根據IBM所展示的Quantum Starling開發藍圖，該公司將於2025年推出Quantum Loon晶片，藉由C-coupler技術來連結晶片內距離較遠的量子位元；於2026年發表能夠結合量子記憶體及邏輯運算的IBM Quantum Kookaburra量子處理器模組；2027年發表IBM Quantum Cockatoo，展示多模組連接與跨模組操作；在2028年進行Quantum Starling的概念性驗證。</p> <p><a href="https://www.technologyreview.com/2025/06/10/1118297/ibm-large-scale-error-corrected-quantum-computer-by-2028/" target="_blank">IBM量子計畫副總裁 Jay Gambetta向MIT Technology Review說明</a>，Starling將由一個模組網路組成，每個模組都包含一組晶片，IBM已開始建構該空間。此外，Gambetta也強調，IBM已經破解了量子糾錯的密碼，擁有於大型電腦上建置糾錯功能的所有組件，已自科學轉向工程階段。</p> <p>如同AI，量子電腦也吸引所有大型科技業者及新創業者的投入，像是<a href="https://www.ithome.com.tw/news/164961" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/166434" target="_blank">Google</a>或是<a href="https://www.ithome.com.tw/news/167637" target="_blank">Amazon</a>，新創則有D-Wave、Quantinuum與IonQ等。</p> </div></div></div>
2025/6/11 13:51作者陳曉莉https://www.ithome.com.tw/news/169476
微軟發布6月例行更新，修補已被實際利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月10日微軟發布<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Jun">本月例行更新（Patch Tuesday）</a>，修補67個漏洞，數量較<a href="https://www.ithome.com.tw/news/168932">上個月78個</a>有所減少。從漏洞的類型來看，遠端程式碼執行（RCE）漏洞25個最多，約占整體四成；其次是資訊洩露漏洞、權限提升漏洞，分別有17個、15個；其餘有6個是阻斷服務（DoS）漏洞、2個安全功能繞過漏洞，以及2個可被用於欺騙的漏洞。從危險的程度而言，其中有10個是重大層級，8個是遠端程式碼執行漏洞、2個是權限提升漏洞。</p> <p>值得留意的是，這次有兩個零時差漏洞，其中一個已被用於實際攻擊活動，另一個在修補前就被公開。這些漏洞分別是：WebDAV遠端程式碼執行漏洞CVE-2025-33053，以及SMB用戶端權限提升漏洞CVE-2025-33073。</p> <p>其中，CVE-2025-33053是資安業者Check Point發現及通報。這項弱點攻擊者可在未經授權的情況下利用，透過WebDAV資料夾檔案名稱或路徑的外部控制，從而透過網路執行任意程式碼，CVSS風險評為8.8。對於漏洞發現的過程，<a href="https://research.checkpoint.com/2025/stealth-falcon-zero-day/">Check Point表示</a>，他們於今年3月看到被稱為Stealth Falcon（FruityArmor）的APT駭客，用於攻擊一家土耳其國防公司，過程中攻擊者藉由操弄Windows內建工具的工作資料夾，而能在他們控制的WebDAV伺服器執行檔案。</p> <p>另一個在修補前就被公開的漏洞CVE-2025-33073，形成的原因是SMB存取控制不當，通過身分驗證的攻擊者能透過網路達到權限提升的目的，風險值為8.8。攻擊者可利用惡意指令碼讓受害電腦連回攻擊者的系統，並透過SMB進行身分驗證。雖然微軟公布的資訊並不多，但根據<a href="https://borncity.com/win/2025/06/10/attention-june-2025-patchday-closes-vulnerability-cve-2025-33073-in-windows/">科技部落格Born City的報導</a>，德國研究網路電腦緊急應變團隊DFN-CERT於6月6日透過電子郵件警告此事，指出資安業者RedTeam Pentesting GmbH找到並通報這項漏洞，呼籲使用者在微軟發布更新後要儘速修補。</p> </div></div></div>
2025/6/11 11:35作者周峻佑https://www.ithome.com.tw/news/169471
SAP修補NetWeaver重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（6月10日）<a href="https://www.ithome.com.tw/tags/sap">SAP</a>發布<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/june-2025.html">6月份Security Patch Day每月例行更新</a>，總共發布14則公告，其中最受到關注的部分，是應用程式伺服器NetWeaver的重大漏洞CVE-2025-42989，由於SAP從4月底至5月上旬，先後修補已被用於攻擊行動的NetWeaver資安漏洞<a href="https://www.ithome.com.tw/news/168625">CVE-2025-31324</a>、<a href="https://www.ithome.com.tw/news/168935">CVE-2025-42999</a>（CVSS風險值為10分、9.1分），因此與這套應用程式伺服器相關的嚴重漏洞，很容易受到關注。</p> <p>CVE-2025-42989存在於NetWeaver Application Server for ABAP，為缺乏授權檢查的漏洞，影響核心為7.89、7.93、9.14、9.15版的應用程式伺服器系統，CVSS風險評為9.6分。資安業者Onapsis<a href="https://onapsis.com/blog/sap-security-notes-june-2025-patch-day/">說明這項漏洞的細節</a>，指出此弱點出現於SAP遠端功能呼叫（Remote Function Call，RFC）框架，在特定的情況下，通過身分驗證的攻擊者能藉此繞過標準的授權檢查流程，從而提升權限，進而對系統完整性與可用性構成重大威脅。不過，稍微值得慶幸的是，目前尚未出現漏洞被用於實際攻擊的情況。</p> <p>對於其他SAP修補的項目，涵蓋資訊洩露、跨網站指令碼（XSS）、伺服器請求偽造（SSRF）、路徑穿越，以及缺乏授權檢查的問題。這些漏洞出現在GRC外掛程式、Business Warehouse、BusinessObjects、Visual Composer，以及MDM Server等應用系統。</p> </div></div></div>
2025/6/11 12:48作者周峻佑https://www.ithome.com.tw/news/169474
Mistral AI釋出首個推理模型家族Magistral
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創Mistral AI周二（6/10）<a href="https://mistral.ai/news/magistral" target="_blank">釋出該公司首個推理模型家族Magistral</a>，包括具備240億個參數的開源版Magistral Small，以及專供企業使用的Magistral Medium。</p> <p>Mistral AI指出，最好的人類思維並非線性的，它貫穿於邏輯、洞察、不確定及發現之中，推理語言模型可強化AI的複雜思維及深入理解，從而改善解決問題所需的精確、逐步考慮與分析能力。簡單地說，相較於通用模型，Magistral推理模型針對多步驟邏輯進行了微調，提高可解釋性，並以使用者的語言提供可追溯的思考過程。</p> <p>目前市場上標榜自己是推理模型或針對推理改善的模型，包括DeepSeek-R1、DeepSeek-V3、OpenAI o3及Gemini 2.5 Pro等，Mistral AI以Magistral Medium與Mistral Medium 3、DeepSeek-R1、DeepSeek-V3，以及Majority Voting@4、Majority Voting@64作比較，發現它不管是在AIME2024、AIME2025、GPQA Diamond、LiveCodeBench或Aider-Polyglot等基準測試上都有傑出的表現，僅稍微落後DeepSeek-R1。</p> <p>Mistral AI於自家聊天機器人Le Chat中，針對Magistral Medium模型進行了速度上的最佳化，只要啟用設定中的Think mode及Flash Answers，其回應速度將是競爭產品的10倍快。</p> <p>使用者現在可<a href="https://huggingface.co/mistralai/Magistral-Small-2506" target="_blank">透過Hugging Face免費存取Magistral Small</a>，或是藉由Le Chat及API試用Magistral Medium預覽版。此外，Mistral AI也已經或即將於Amazon SageMaker、IBM WatsonX、Azure AI 及Google Cloud Marketplace上部署了Magistral Medium。</p> <p>本周<a href="https://www.ithome.com.tw/news/169442" target="_blank">蘋果才發表了一個有關推理AI模型的研究報告</a>，指出許多標榜長鏈思考及自我反省能力的推理模型，只能處理簡單問題，遇見複雜問題就會破功，而且多半無法將推理能力延伸到訓練資料以外。</p> </div></div></div>
2025/6/11 12:51作者陳曉莉https://www.ithome.com.tw/news/169475
F5買下代理程式型態AI的資安新創Fletch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.f5.com/company/blog/how-agentic-ai-simplifies-cybersecurity-and-modern-threat-management" target="_blank">資安大廠F5本月初宣布收購以代理人AI為核心的新創業者Fletch</a>，期望降低資安管理的複雜性。</p> <p>隨著AI、混合雲與多雲環境的興起及分散式架構日愈複雜，企業資料、應用及API安全管理也更加困難。Fletch代理人AI方案結合代理人AI、自然語言和進階分析，可將外部威脅情報及內部系統log，整合成即時、按照優先排序的洞見及行動建議。</p> <p>總部位於舊金山的Fletch創立於2020年，其技術核心是使用眾多代理人掃瞄、蒐集威脅訊號及提供威脅的分析，例如對特定企業的影響。其方案整合到F5的ADSP平臺後，將可減輕管理負擔，並且藉由即時分析洞見及提供安全建議，加速事件回應。</p> <p>本收購金額不詳。F5今年初整合負載平衡、流量管理及應用與API安全能力成為應用遞送與安全平臺（Application Delivery and Security Platform，ADSP），旨在以平臺簡化眾多企業應用的管理複雜性。收購後，Fletch技術將整合進F5的ADSP架構，推進其產品藍圖。</p> </div></div></div>
2025/6/11 11:07作者林妍溱https://www.ithome.com.tw/news/169470
OpenAI公布o3-pro模型 o3降價80%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/OpenAI/status/1932530423911096508" target="_blank">OpenAI昨日宣布最新推理模型o3-pro</a>，價格比o1-pro便宜87%，同時間o3模型費用也降價80%。</p> <p>OpenAI o3-pro是用於取代o1-pro，在底層模型上則和o3相同。o3-pro即日起已可供ChatGPT Pro和Team方案用戶在模型選單中選取。Enterprise和Edu用戶將可在下周使用。此外，o3-pro也透過Responses API開放給開發人員。</p> <p>價格方面，相較於o1-pro去年12月推出時，輸入/輸出價格為每百萬token 150/600美元，o3-pro價格則為20/80美元，大約便宜了87%。</p> <p>如同o1-pro，o3-pro是OpenAI最強的智能模型。其設計宗旨是思考得更久，並提供更可靠的回應。從o1-pro推出以來，獲得理工領域如數學、科學和程式開發用戶的偏愛。而和o3一樣，o3-pro可使用工具，如搜尋網頁、分析檔案、理解視覺輸入、使用Python，提供ChatGPT的用處，它也使用模型來提供個人化回應。</p> <p>由於o3-pro使用工具，因此完成一項回應所需時間較o1-pro來得長。OpenAI建議將o3-pro用在更複雜、需要可靠度而非速度的問題，然後等上數分鐘獲取更好的答案。</p> <p>OpenAI說，專家評估中，o3-pro在每項測試領域的效能都持續優於o3，而在科學、教育、商業和寫作輔助方面尤其如此。o3-pro在清楚度、完整性、指令遵從及準確性等指標，也都獲得更高的評價。</p> <p>目前由於技術因素，o3-pro暫不提供臨時交談。o3-pro此時不支援圖片生成，有需求者應改用GPT-4o、OpenAI o3或OpenAI o4-mini。此外o3-pro也暫時不支援Canvas（工作區）功能。</p> <p>因應o3-pro的推出，<a href="https://x.com/sama/status/1932434606558462459" target="_blank">OpenAI執行長Sam Altman宣布o3大降價</a>。根據<a href="https://community.openai.com/t/o3-is-80-cheaper-and-introducing-o3-pro/1284925" target="_blank">OpenAI的價目表</a>，o3輸入百萬Token的價格由10美元降為2美元，輸出百萬Token價格則由40美元降為8美元。同時OpenAI也優化了o3的推理技術堆疊。</p> </div></div></div>
2025/6/11 09:42作者林妍溱https://www.ithome.com.tw/news/169466
法國準備出手限制15歲以下兒童使用社交媒體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國總統馬克宏（Emmanuel Macron）周二（6/10）對外表示，倘若歐盟不採取行動，法國將在最近幾個月內開始禁止15歲以下的兒童使用社交媒體。</p> <p>馬克宏的舉動起因於法國校園暴力日益盛行。今年4月時有一名學生以刀子刺傷了4名同學，其中有一名同學死亡；為此，法國教育部已於今年開始要求學校檢查學生的包包，導火線是本周法國有一名14歲的中學生，在學校的例行性包包檢查時，以刀子刺死了一名學校工作人員。</p> <p><a href="https://x.com/EmmanuelMacron/status/1932531520297738501" target="_blank">馬克宏在X上表示</a>，兒童與青少年不應在街上或學校裡持刀，我們應該禁止販售它們；<a href="https://x.com/EmmanuelMacron/status/1932533029089521831" target="_blank">他還主張禁止15歲以下的兒童使用社交媒體</a>，由各大平臺負責驗證使用者的年齡，並說這是數位螢幕委員會的建議。</p> <p><a href="https://www.politico.eu/article/emmanuel-macron-social-media-ban-minors-france/" target="_blank">根據Politico的報導</a>，法國在今年6月7日正式強制要求色情網站驗證用戶年齡，也開始迫使 X、Reddit、Bluesky與Mastodon等社交網站導入年齡驗證機制，而使得當地的虛擬網路服務（VPN）需求激增。</p> <p>決定立法禁止青少年存取社交平臺的還有澳洲，<a href="https://www.ithome.com.tw/news/166276" target="_blank">澳洲政府要求社交平臺必</a>須阻止16歲以下的兒童註冊帳號，可望於今年11月生效。</p> <p>相較於歐洲對社交平臺必須負責驗證使用者身分的要求，美國<a href="https://www.ithome.com.tw/news/167707" target="_blank">猶他州</a>與<a href="https://www.ithome.com.tw/news/169220" target="_blank">德州</a>相繼通過了《App Store問責法令》（App Store Accountability Act），認為像是蘋果App Store或Google Play才應負責使用者年齡的驗證，而讓Meta與Snap等社交平臺業者大聲叫好。</p> </div></div></div>
2025/6/11 10:01作者陳曉莉https://www.ithome.com.tw/news/169467
健康食品批發龍頭United Natural Foods遭網路攻擊出貨受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北美最大健康食品批發通路商United Natural Foods Inc（UNFI）本月初遭到網路攻擊，迫使暫時關閉系統，已影響出貨及業務運作。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/1020859/000102085925000021/unfi-20250605.htm" target="_blank">UNFI在提交美國證管會的報告指出</a>，該公司今年6月5日在部份IT系統上發現到未授權活動，立即採取應變，包括關閉部分和客戶訂單交付相關的系統。</p> <p>UNFI表示，此事件已經對公司營運有短期影響，預估情形還會持續。UNFI目前已援引外部網路安全專家之力，評估與緩解、修復事件影響，也已通報執法機關。該公司正努力回復系統，而因應事件，UNFI也已經為特定業務實作替代方案以便交付訂單。</p> <p>UNFI是美國和加拿大最大的健康和天然、有機食品上市批發商，也是亞馬遜旗下Whole Foods Market的主要供應商。UNFI全美有56個配貨中心、超過3萬個零售據點。</p> <p><a href="https://www.reddit.com/r/wholefoods/comments/1l6rm5g/thanks_unfi/#lightbox" target="_blank">根據Reddit張貼的照片</a>，受到UNFI網攻事件影響，部份零售據點供貨已經呈現短少、斷貨甚至貨架清空。</p> <p>UNFI未說明事件是否起於勒索軟體，以及影響幅度。也還沒有駭客組織出面承認犯案。</p> <p>這也是近幾個月來，最新一家遭網路攻擊的零售業者。之前受害企業還包括英國Harrods百貨、Co-op及Marks & Spencer等。<a href="https://www.bleepingcomputer.com/news/security/grocery-wholesale-giant-united-natural-foods-hit-by-cyberattack/" target="_blank">BleepingComputer報導</a>，後二者分別是DragonForce和Scattered Spider勒索軟體襲擊的受害者。</p> </div></div></div>
2025/6/11 10:18作者林妍溱https://www.ithome.com.tw/news/169469
網路流量解析工具Wireshark存在高風險漏洞，攻擊者可藉特製封包觸發DoS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名開源網路封包解析工具Wireshark<a href="https://www.wireshark.org/security/wnpa-sec-2025-02.html">修補</a>了高風險安全漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-5601">CVE-2025-5601</a>，該漏洞影響Wireshark 4.4.0至4.4.6及4.2.0至4.2.11等多個主要版本。根據官方公告，攻擊者僅需注入特製封包至網路，或誘導使用者開啟特製封包檔案，即可能導致Wireshark程式異常終止，造成阻斷服務（DoS）。雖然目前Wireshark官方尚未接獲實際攻擊事件，但仍建議所有受影響用戶儘速升級至4.4.7、4.2.12或更新版本，以避免潛在風險。</p> <p>本次漏洞源自Wireshark處理封包欄位資訊時，欄位工具（Column Utility）模組存在記憶體操作缺陷。官方<a href="https://gitlab.com/wireshark/wireshark/-/issues/20509">透過</a>自動化模糊測試（Fuzz Testing）發現，當系統遇到特定格式的封包或封包檔案，可能導致記憶體寫入越界，進而引發程式崩潰。此問題屬於典型的緩衝區溢位（Buffer Overflow）問題，濫用該漏洞不需複雜攻擊流程，只要將特製資料注入網路，或讓Wireshark開啟惡意封包檔案，都可能觸發崩潰。</p> <p>Wireshark開發團隊已於官方GitLab專案平臺完成漏洞追蹤與修補，所有相關修補程式已併入主線分支，並於官網公告及CVE資料庫公開。根據漏洞嚴重度評分CVSS 3.1，此漏洞風險等級為高，主要影響尚未升級，以及在安全隔離措施不足的環境中運作的Wireshark。</p> <p>Wireshark被廣泛應用於企業網路監控、資訊安全事件分析與學術研究，使用者應檢查現有環境所用版本，並儘速部署官方更新，並參考Wireshark官方安全公告、GitLab專案說明及CVE-2025-5601漏洞細節，獲取最新修補資訊及安全指引。</p> </div></div></div>
2025/6/10 17:31作者李建興https://www.ithome.com.tw/news/169460
蘋果切入雲原生基礎技術競爭，推出主打安全和隱私的MacOS原生容器化專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年WWDC，除了多項全新介面設計的發布之外，蘋果也悄悄的發布了一項根本性的雲原生開源專案，MacOS原生的容器技術專案，也就是<a href="https://github.com/apple/containerization">容器化開源專案Containerization專案</a>，以及對應的命令列工具<a href="https://github.com/apple/container">container專案</a>。</p> <p>蘋果工程師Michael Crosby在WWDC中發布了這個容器化開源專案（Containerization），這是一個可以像原生應用般建置容器化應用的Swift框架。「蘋果發布這個專案的目標是希望能改變Linux容器的設計和導入方式，達到更安全，更隱私，也更有效率的效果。」他強調。 </p> <p>蘋果在2021年挖角了Docker公司重要工程師Michael Crosby，他是Docker專案的維護者，擔任過2018年OCI技術監督委員會主席，是容器技術標準化的關鍵推手。Michael Crosby現在成了蘋果容器化專案的關鍵推手。</p> <p>過去要在macOS上執行一個容器，得先建立一個大型Linux虛擬機器，預先配置足夠的處理器和記憶體資源，才能用來執行多個容器。這個虛擬機器會將事先配置的資源，共享、分配給虛擬機器中每一個容器來運用。</p> <p>這個做法的缺點是，每當要新增一個容器需要存取一份外部目錄中的檔案時，得先將Mac上的這個目錄和檔案分享給虛擬機器，接著才能提供給這份檔案資料的容器，其他容器也有機會可以存取這個檔案。<br /> Michael Crosby指出，蘋果推出這個容器化專案想要達成三大目標，第一是安全目標，希望能容器具備現在虛擬化技術所能提供的隔離效果，也希望減少在虛擬機器中的核心工具和動態函式庫。「減少這些機制，可以減少可被駭客利用的攻擊面，也能降低維運成本。」他解釋。</p> <p>其次，隱私是第二項目標，「限制可存取的目錄應該成為每一個容器的基礎能力，應該讓只有這份資料需求的容器，才能存取它。」Michael Crosby補充。最後一項專案目標是效能，希望能依據使用者所能提供的資源來調校效能。</p> <p>蘋果新發表的Containerization專案是一個開源的Swift框架專案，提供了一套可以執行容器和管理容器映像檔的API，以及一個用Swift開發的系統啟動工具。要啟動一個容器，通常會先從儲存庫下載一份容器映像檔，映像檔中有一份用來啟動這個容器的配置，以及內建儲存應用程式碼和相關站是酷的檔案系統。在Containerization專案，在一個macOS容器中的檔案系統，會視為一個區塊儲存裝置（block device），會格式化成Linux最常見的EXT4目錄結構。Containerization專案提供了Swift元件，可以直接存取EXT4格式目錄中的檔案。 </p> <p>為了確保夠安全的隔離應，每一個macOS容器要執行時，Containerization會同時啟動一個輕量化的虛擬機器來隔離這個容器，啟動時間不用到1秒。這個設計帶來幾個好處，第一是，可以讓每一個macOS容器可以有獨立的IP位址，讓這些容器的網路存取更有效率，存取macOS容器上的服務，不需要參考通訊埠對應表，而能直接存取。另一個好處是，可以限制，容器只能讀取到它所請求的內容，這些內容不會被其他容器接觸。在資源配置也能更有效率，只要沒有啟動容器，就不需要占用記憶體貨處理器的資源。</p> <p>啟動一個maOS容器時，會透過一隻起程式vminid，進行IP指派，掛上區塊儲存裝置和相關啟動作業。傳統虛擬機器啟動時，會啟動一套完整的作業系統，但為了減少攻擊面，在Containerization專案的輕量化虛擬機器中，完全沒有核心工具和動態函式庫，移除了許多核心指令，如移除cd、cp、ls等常見目錄指令，也沒有提供libc實作。這個vminid沒有任何連結檔案，直接用了Swift的靜態Linux SDK，把vminitd編譯成一隻靜態的linux執行檔。</p> <p>Containerization支援容器化標準OCI的映像檔，可以直接從Docker Hub等標準Registre直接拉取映像檔來部署。另外，也提供了一套建置Linux容器化應用的工具，也就是命令列工具container，可以管理容器映像檔和支援容器需要的儲存、網路服務等，可以支援 run、pull 及 push等標準容器化操作命令。另外，macOS容器透過Rosetta 2技術，也可以執行為x86-64架構編譯的二進位檔，也就是在Intel 處理器Mac上編譯的二進位檔。 </p> <p>目前這個Containerization容器化專案需要安裝macOS 26 Beta或更新版本才能執行。若在macOS 15上執行，則會有部分網路功能的閒置。</p> <p>許多開發者使用Mac電腦作為開發工具，但要在本地端提供容器化的雲原生測試環境，過去得安裝一些容器軟體，像是Docker、Podman、Orbstack或Lima等。</p> <p>雖然蘋果沒有進一步說明，為何要跳下來打造雲原生生態圈最基礎的容器化技術。但隨著蘋果Containerization專案，以及對應的命令列工具container專案的發布，這意味著蘋果開始提供更原生的Linux容器支援，有助於讓macOS成為大規模雲原生架構的資訊基礎，在雲原生技術生態圈中，扮演更關鍵的角色。</p> <p> </p> </div></div></div>
2025/6/10 18:53作者王宏仁https://www.ithome.com.tw/news/169464
【資安日報】6月10日，中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼5月底傳出<a href="https://www.ithome.com.tw/news/169308">營運中斷</a>的消息，本週資安業者SentinelOne公布遭遇中國駭客攻擊的調查結果。儘管兩起事故看起來沒有直接關連，但是公布的時間點相當接近，仍不免令人好奇它們之間是否有交集。</p> <p>此外，隨著暑假旅遊旺季的到來，打著訂房網站名號的網釣攻擊也相當值得留意，民眾必須特別提高警覺；而在資安漏洞的部分，Python壓縮檔模組重大漏洞、Google帳號的電話號碼資訊可被暴力破解的情況，也相當受到矚目。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169453"><strong style="font-size: 22px;">中國駭客鎖定資安業者SentinelOne而來，意圖對用戶從事供應鏈攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/China_TopTier_10.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/China_TopTier_10.jpg" style="width: 300px; float: right;" /></a></p> <p>EDR是網路攻擊者的眼中釘，除了設法迴避偵測，若能設法攻陷、破壞這些資安產品與服務、敗壞資安公司商譽，對他們自然有很大的好處，而對於資安廠商而言，協助客戶做好防護之餘，自保也很重要！4月底資安業者SentinelOne揭露有多組人馬針對他們而來的情況，這些攻擊者大致可分成3種類型，分別是以IT工作者名義求職的北韓駭客、試圖存取及濫用該公司資安平臺的勒索軟體駿客，以及鎖定他們客戶及業務的中國駭客組織。如今該公司針對中國駭客的活動，公布更完整的調查結果。</p> <p>針對相關事故的調查過程，SentinelOne指出他們起初於去年10月，察覺駭客偵察該公司網路環境的活動並進行追蹤，結果發現兩波攻擊行動，並將活動命名為PurpleHaze和ShadowPad。該公司強調，經過徹底調查及確認，他們的基礎設施、軟體與硬體均未被入侵。</p> <p>而對於受害企業的部分，SentinelOne表示，發生在他們網路環境的活動，僅是這些駭客攻擊活動的一部分，最早可追溯到去年6月，而且，該公司並非唯一的目標，他們認為，自己遭到攻擊僅是大規模攻擊的一部分。</p> <p><a href="https://www.ithome.com.tw/news/169451"><strong style="font-size: 22px;">惡意軟體AsyncRAT透過冒牌Booking.com訂房網站散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fake_booking_sites_captcha.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake_booking_sites_captcha.png" style="width: 300px; float: right;" /></a>最近幾年許多人報復性出遊，並選擇以自助旅行的方式出國，為了安排住宿，很有可能會透過訂房網站來挑選旅館，然而駭客也看上這點來引誘旅客上當，藉此散布惡意程式。</p> <p>資安業者Malwarebytes揭露自5月中旬出現的網釣攻擊活動，駭客設置冒牌的Booking.com訂房網站，並透過電玩網站、社群網站、廣告的惡意連結，來引誘使用者上門。一旦使用者被重新導向到假訂房網站，就會看到假的CAPTCHA圖靈驗證機制，然而，實際上，這些手段都是為了引導使用者依照指示操作，將特定命令複製貼上，並透過執行對話框執行的ClickFix網釣手法。</p> <p>使用者先是看到網站上的對話框，要求勾選我不是機器人的選項，若是照做，電腦就會複製駭客的惡意指令，並顯示接下來的「驗證步驟」：攻擊者要求使用者用快速鍵（Windows鍵+R）開啟執行視窗，然後在「驗證視窗」按Ctrl+V貼上特定資料並輸入Enter。一旦使用者照做，就會在電腦執行駭客的惡意命令，啟動PowerShell視窗，下載並執行惡意檔案，最終於電腦植入惡意程式AsyncRAT。</p> <p><a href="https://www.ithome.com.tw/news/169448"><strong style="font-size: 22px;">駭客盜用React Native、GlueStack維護團隊帳號，上架惡意NPM套件散布木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/684491ed44f58ba31e6c82dd_AD_4nXf9QC66wRY7ovaRZDF7wOo5Fgd1h7lRrFU6P2vZgPR0z3faqocpJnQ0hfoaWAUGvl8sA_xiG66jqAJh__yfiFLImEiDPMszUauAZbaVHg9D5ZGzzvqkVrn6kz2xyWoUrlOxuRo6Gw.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/684491ed44f58ba31e6c82dd_AD_4nXf9QC66wRY7ovaRZDF7wOo5Fgd1h7lRrFU6P2vZgPR0z3faqocpJnQ0hfoaWAUGvl8sA_xiG66jqAJh__yfiFLImEiDPMszUauAZbaVHg9D5ZGzzvqkVrn6kz2xyWoUrlOxuRo6Gw.png" style="width: 300px; float: right;" /></a></p> <p>最近幾年駭客入侵開發團隊的帳號並冒名上傳惡意套件的情況，已有多起事故傳出，如今類似的攻擊行動再度出現，引起研究人員的關注。</p> <p>資安業者Aikido Security揭露針對React Native Aria生態系統的NPM供應鏈攻擊，這起事故發生於6月6日晚間，駭客疑似透過其中一個外流的維護人員帳號Token，發布16個React Native和GlueStack套件的惡意版本。由於這些套件相當熱門，每週下載超過100萬次，影響的範圍可能非常廣泛。</p> <p>對於這起事故發生的過程，Aikido Security以其中最早被竄改的NPM套件@react-native-aria/focus為例，駭客更動了lib/commonjs/index.js，並在第46行植入惡意程式碼。為了讓資安人員難以察覺，攻擊者使用大量空白字元混淆手法，將有問題的程式碼隱匿於螢幕難以顯示的地方。研究人員經過調查，確認是曾經鎖定另一個套件rand-user-agent的RAT木馬程式。</p> <p><a href="https://www.ithome.com.tw/news/169394"><strong style="font-size: 22px;">Meta、Yandex被揭露監聽Android本機通訊埠，橋接瀏覽器與App身分進行追蹤，引發資安疑慮</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/websites-app-ID-sharing.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/websites-app-ID-sharing.png" style="width: 300px; float: right;" /></a>西班牙IMDEA Networks Institute、荷蘭Radboud University及比利時KU Leuven等學術機構研究人員共同發表研究，發現知名科技公司Meta與Yandex在Android平臺上，透過監聽本機通訊埠的方式，建立瀏覽器與原生App之間的身分橋接，實現用戶行為的去匿名化（de-anonymizing）追蹤。此技術手法繞過了傳統的隱私保護機制，侵害行動裝置用戶的個人資料保護與隱私安全。</p> <p>研究人員發現，Meta的Facebook與Instagram應用程式，以及Yandex旗下多款應用程式，會在Android裝置中於背景持續監聽特定本地端通訊埠。當用戶開啟安裝Meta Pixel或Yandex Metrica追蹤碼的網站時，瀏覽器中的JavaScript腳本會將瀏覽行為與身分資訊經由本地端Socket傳遞至這些原生App，進而實現網頁與應用程式間的身分串接。此舉突破現行如清除Cookie、無痕瀏覽以及Android權限控管等防護，可連結原本分散、短暫的瀏覽識別與長期、個人化的App帳號或裝置識別碼，提升追蹤的精確度與持續性。</p> <p>即便用戶未明確同意Cookie政策，這些身分串接仍有機會被觸發，且由於本機通訊埠監聽並無特別權限限制，其他惡意App也可能監聽相關連接埠，衍生更多資安與個資外洩風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/malicious-apps-google-play-users-for-seed-phrases/">逾20款惡意App上架Google Play市集，意圖加密貨幣錢包的竊取通關密語</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-rust-developed-infostealer/">以Rust打造的竊資軟體鎖定Chromium瀏覽器而來，企圖竊取敏感資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hunt.io/blog/pasteee-xworm-asyncrat-infrastructure#XWorm_and_AsyncRat_Indicators_of_Compromise_IOCs">程式碼共享平臺Paste.ee遭濫用，駭客意圖散布XWorm和AsyncRAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/kimsuky-strikes/">北韓駭客Kinsuky同時藉由臉書、電子郵件、Telegram從事網釣攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://ithome.com.tw/news/169422"><strong style="font-size: 22px;">Python壓縮檔模組tarfile存在重大資安弱點，恐導致檔案系統遭任意寫入</strong></a></p> <p>在Python環境裡，專門用來讀取、建立、打包，以及解壓縮tar檔案的程式庫tarfile，一旦出現弱點，就有可能讓攻擊者用於路徑穿越、任意檔案寫入（及覆蓋）、遠端執行任意程式碼（RCE）、權限提升、逃逸沙箱，甚至還有可能污染套件，引發供應鏈攻擊，因此該程式庫相關的弱點，往往都必須提高警覺。</p> <p>6月3日Python軟體基金會發布資安公告，指出他們針對tarfile模組修補一系列資安弱點，其中有1個重大層級、3個高風險層級，以及1個中度風險的弱點。</p> <p>這些漏洞是：CVE-2025-4517、CVE-2025-4435、CVE-2025-4330、CVE-2025-4138、CVE-2024-12718，大部分涉及如何繞過tar檔案解壓縮的過濾機制，而該機制是3.12版Python開始引入的。一旦曝險的Python透過tarfile模組來解壓縮特定功能組態、不受信任的tar檔，就有可能觸發漏洞。最嚴重的資安漏洞是CVE-2025-4517，發生在使用filter="data"的功能參數執行解壓縮的過程，使得攻擊者能夠在檔案系統任意寫入，CVSS風險達到9.4分（滿分10分）。</p> <p><a href="https://www.ithome.com.tw/news/169449"><strong style="font-size: 22px;">Google用戶的電話號碼驚傳可被暴力破解</strong></a></p> <p>資安研究人員BruteCat周一（6月9日）揭露，他利用Google在無JavaScript模式中忘了關閉的帳戶復原服務，成功地暴力破解了Google用戶的電話號碼。研究人員在今年4月將漏洞報告提交給Google，獲得5,000美元獎金，而Google則於本月確認，無JavaScript的使用者名稱復原表單已全面被棄用。</p> <p>為了避免遭到濫用，Google至少自2018年於登錄服務中就開始實施JavaScript機器人檢測框架，以防止機器人登錄。BruteCat說，他是在今年初於瀏覽器上關閉了JavaScript，想查探是否有任何Google服務在沒有JavaScript的情況下仍能運作，結果發現，帳戶復原服務竟然可正常執行。BruteCat採用IPv6以隨機切換來源位址，並利用BotGuard令牌來繞過CAPTCHA，接著利用自動化工具以於密碼恢復流程中，取得只有兩個數字的遮罩電話號碼提示，再進行暴力破解。</p> <p>BruteCat利用每小時0.3美元的伺服器資源即可執行每秒4萬次的檢查，發現找到一個正確的美國電話號碼需20分鐘，找到一個英國號碼只要4分鐘，找到一個荷蘭號碼只需15秒，新加坡號碼更只要5秒。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/hpe-patches-critical-vulnerability-in-storeonce/">HPE修補備份平臺StoreOnce重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169392"><strong>【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</strong></a></p> </div></div></div>
2025/6/10 16:47作者周峻佑https://www.ithome.com.tw/news/169459
中國駭客鎖定資安業者SentinelOne而來，意圖對用戶從事供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>EDR是網路攻擊者的眼中釘，除了設法迴避偵測，若能設法攻陷、破壞這些資安產品與服務、敗壞資安公司商譽，對他們自然有很大的好處，而對於資安廠商而言，協助客戶做好防護之餘，自保也很重要！4月底資安業者SentinelOne揭露<a href="https://www.sentinelone.com/labs/top-tier-target-what-it-takes-to-defend-a-cybersecurity-company-from-todays-adversaries/">有多組人馬針對他們而來</a>的情況，這些攻擊者大致可分成3種類型，分別是以IT工作者名義求職的北韓駭客、試圖存取及濫用該公司資安平臺的勒索軟體駿客，以及鎖定他們客戶及業務的中國駭客組織。如今該公司針對中國駭客的活動，<a href="https://www.sentinelone.com/labs/follow-the-smoke-china-nexus-threat-actors-hammer-at-the-doors-of-top-tier-targets/">公布更完整的調查結果</a>。</p> <p>針對相關事故的調查過程，SentinelOne指出他們起初於去年10月，察覺駭客偵察該公司網路環境的活動並進行追蹤，結果發現兩波攻擊行動，並將活動命名為PurpleHaze和ShadowPad。該公司強調，經過徹底調查及確認，他們的基礎設施、軟體與硬體均未被入侵。</p> <p>而對於受害企業的部分，SentinelOne表示，發生在他們網路環境的活動，僅是這些駭客攻擊活動的一部分，最早可追溯到去年6月，而且，該公司並非唯一的目標，他們認為，自己遭到攻擊僅是大規模攻擊的一部分。</p> <p>針對這兩波攻擊，研究人員提及在PurpleHaze發生在去年9月至10月，駭客使用後門程式GOREshell建立反向SSH連線，此後門程式以Go語言打造而成，鎖定Windows、Linux電腦下手，共通點是駭客使用相同的SSH私鑰進行，此外，為了抹除證據，他們也使用自製工具清除事件記錄檔案。</p> <p>另一波攻擊行動ShadowPad延續的時間較長，為去年6月至今年3月，駭客使用PowerShell命令下載經過混淆處理的惡意程式ShadowPad，並使用 DNS over HTTPS（DOH）建立C2連線以迴避偵測，研究人員提及，駭客取得初始入侵管道的方式，疑似透過Check Point安全閘道設備弱點得逞。</p> <p>而對於這些攻擊行動，研究人員分別看到三起事故。以ShadowPad而言，駭客在去年6月對南亞政府組織下手，接著，他們自7月至今年3月，對全球超過70個企業組織展開攻擊，範圍橫跨製造、政府、金融、電信，以及研究領域。</p> <p>最後一波攻擊與SentinelOne有關，今年初，駭客入侵一家經營IT服務與物流的公司，而該公司當時負責SentinelOne員工硬體設備的物流業務。</p> <p>在PurpleHaze活動期間裡，也同樣發生三起事故。第一起是針對上述提及的南亞政府機關，於去年10月散布GOREshell，過程裡採用中國經營的Operational Relay Box（ORB）網路。</p> <p>第二起事故也發生在10月，駭客針對SentinelOne可透過網際網路存取的伺服器試圖進行偵測，這起事故駭客使用的基礎設施，與攻擊南亞政府機關的團體有關。</p> <p>研究人員提及發生於去年9月下旬的事故，駭客入侵一家歐洲媒體，除了使用GOREshell，還使用PHP打造的Web Shell，以及名為The Hacker's Choice的工具。他們提及駭客入侵的管道，是利用Ivanti Cloud Services Appliance的資安漏洞CVE-2024-8963和CVE-2024-8190，而當時這些漏洞尚未公開。</p> </div></div></div>
2025/6/10 16:25作者周峻佑https://www.ithome.com.tw/news/169453
惡意軟體AsyncRAT透過冒牌Booking.com訂房網站散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年許多人報復性出遊，並選擇以自助旅行的方式出國，為了安排住宿，很有可能會透過訂房網站來挑選旅館，然而駭客也看上這點來引誘旅客上當，藉此散布惡意程式。</p> <p>資安業者Malwarebytes揭露<a href="https://www.malwarebytes.com/blog/news/2025/06/victims-risk-asyncrat-infection-after-being-redirected-to-fake-booking-sites">自5月中旬出現的網釣攻擊活動</a>，駭客設置冒牌的Booking.com訂房網站，並透過電玩網站、社群網站、廣告的惡意連結，來引誘使用者上門。一旦使用者被重新導向到假訂房網站，就會看到假的CAPTCHA圖靈驗證機制，然而，實際上，這些手段都是為了引導使用者依照指示操作，將特定命令複製貼上，並透過執行對話框執行的ClickFix網釣手法。</p> <p>使用者先是看到網站上的對話框，要求勾選我不是機器人的選項，若是照做，電腦就會複製駭客的惡意指令，並顯示接下來的「驗證步驟」：攻擊者要求使用者用快速鍵（Windows鍵+R）開啟執行視窗，然後在「驗證視窗」按Ctrl+V貼上特定資料並輸入Enter。一旦使用者照做，就會在電腦執行駭客的惡意命令，啟動PowerShell視窗，下載並執行惡意檔案，最終於電腦植入惡意程式AsyncRAT。</p> <p>研究人員提及，若是Chrome的使用者，過程中可能會看到警示訊息，指出該網站試圖檢視剪貼簿的文字與圖片內容，但一般人往往為了讓流程繼續進行，而而在未了解警示訊息含義的狀態中，就按下同意，錯失察覺異狀的機會。</p> </div></div></div>
2025/6/10 14:47作者周峻佑https://www.ithome.com.tw/news/169451
駭客盜用React Native、GlueStack維護團隊帳號，上架惡意NPM套件散布木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年駭客入侵開發團隊的帳號並冒名上傳惡意套件的情況，已有多起事故傳出，如今類似的攻擊行動再度出現，引起研究人員的關注。</p> <p>資安業者Aikido Security揭露<a href="https://www.aikido.dev/blog/supply-chain-attack-on-react-native-aria-ecosystem">針對React Native Aria生態系統的NPM供應鏈攻擊</a>，這起事故發生於6月6日晚間，駭客疑似透過其中一個外流的維護人員帳號Token，發布16個React Native和GlueStack套件的惡意版本。由於這些套件相當熱門，每週下載超過100萬次，影響的範圍可能非常廣泛。</p> <p>React Native Aria生態系統是基於React Native 的程式庫和工具，能夠協助開發者建構跨平臺的使用者介面（UI），具備能靈活自定、整合網頁應用程式常見的W3C ARIA Authoring Practices Guide實作標準，從而提升使用者體驗，擴展用戶群體。</p> <p>對於這起事故發生的過程，Aikido Security以其中最早被竄改的NPM套件@react-native-aria/focus為例，駭客更動了lib/commonjs/index.js，並在第46行植入惡意程式碼。為了讓資安人員難以察覺，攻擊者使用大量空白字元混淆手法，將有問題的程式碼隱匿於螢幕難以顯示的地方。研究人員經過調查，確認是曾經鎖定另一個套件rand-user-agent的RAT木馬程式。</p> <p>附帶一提的是，這次研究人員看到的木馬程式，還是存在一些差異。其中最大的不同點，就是具有備援C2伺服器，並能夠根據程式碼的版本進行切換；再者，新的木馬程式能搜括受害電腦的系統資訊，並發出外部請求與回傳指定IP位址的資訊。</p> </div></div></div>
2025/6/10 12:45作者周峻佑https://www.ithome.com.tw/news/169448
OpenAI年度經常性收入突破100億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，OpenAI根據今年6月的營收，推估其年度經常性收入（Annual Recurring Revenue，ARR）已突破100億美元。</p> <p>ARR是一種衡量訂閱型或經常性收入商業模式的指標，用來表示公司於1年內可穩定獲得的收入，因此，這次的100億美元估值，並未包含來自微軟的授權收入與其它大型的一次性交易。<a href="https://www.cnbc.com/2025/06/09/openai-hits-10-billion-in-annualized-revenue-fueled-by-chatgpt-growth.html" target="_blank">根據CNBC的報導</a>，OpenAI去年的ARR約為55億美元，同時也虧損了50億美元。</p> <p>OpenAI的收入涵蓋消費者訂閱服務，ChatGPT商業產品，以及API。<a href="https://www.ithome.com.tw/news/165748" target="_blank">去年10月時</a>，約有75%的營收來自一般消費者的訂閱。</p> <p>OpenAI今年的營收目標為127億美元，預計要到2029年完成1,250億美元的營收目標之後才會獲利。</p> <p>OpenAI在今年3月底展開<a href="https://www.ithome.com.tw/news/168182" target="_blank">新一輪融資</a>，規模為400億美元，完成後的OpenAI市值將攀上3,000億美元。</p> <p>不只是OpenAI的ARR大幅成長，根據<a href="https://www.ft.com/content/1ffc5fe7-6872-42a0-8b98-dc685f9c33c6" target="_blank">金融時報（Financial Times，FT）的報導</a>，AI開發工具Cursor的ARR也從2024年接近1億美元的狀態，成長至今年的5億美元。</p> </div></div></div>
2025/6/10 13:35作者陳曉莉https://www.ithome.com.tw/news/169450
特斯拉機器人部門工程主管離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉人型機器人部門的研發主管<a href="https://x.com/_milankovac_/status/1931097888995807554" target="_blank">Milan Kovac上周宣布</a>將在任職近10年後離開。</p> <p>Kovac表示離開是為了多陪伴在國外的家人，但他之後仍然會留在美國。<a href="https://x.com/elonmusk/status/1931106237049151880" target="_blank">馬斯克（Elon Musk）也在其X感謝Kovac的貢獻</a>。</p> <p>Kovac於2016年加入特斯拉Autopilot部門，之後成為主管。2022年他再率領人型機器人Optimus部門，同時開發軟、硬體平臺。他強調，特斯拉機器人Optimus運作不會因他的離開有任何改變。</p> <p>Optimus是馬斯克實現AI機器人夢想的載具。<a href="https://uk.news.yahoo.com/elon-musks-prediction-ai-humanoid-100117434.html" target="_blank">他曾大膽預期</a>，未來地球上單價2萬到2.5萬美元的人型機器人數量將超過人類，<a href="https://www.cnn.com/2025/03/25/tech/china-robots-market-competitiveness-intl-hnk" target="_blank">因而是個10兆美元的產業</a>。此外，<a href="https://electrek.co/2025/01/31/elon-musk-says-tesla-aims-to-build-10000-optimus-robots-this-year/" target="_blank">馬斯克去年對分析師說</a>，希望在2025年內生產1萬個Optimus機器人，雖然他也承認是深具野心的目標。</p> <p>此外，馬斯克的機器人業務是否會受到最近他和川普針對大而美法案（Big and Beautiful Act）隔空交鋒影響有待觀察。<a href="https://www.wired.com/story/elon-musk-federal-contracts-government/" target="_blank">川普揚言</a>要終止給馬斯克旗下公司如SpaceX、特斯拉等的聯邦補助和政府合約，總值高達480億美元。</p> </div></div></div>
2025/6/10 12:45作者林妍溱https://www.ithome.com.tw/news/169447
Google用戶的電話號碼可被暴力破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://brutecat.com/articles/leaking-google-phones" target="_blank">資安研究人員BruteCat周一（6/9）揭露</a>，他利用Google在無JavaScript模式中忘了關閉的帳戶復原服務，成功地暴力破解了Google用戶的電話號碼。</p> <p>為了避免遭到濫用，Google至少自2018年於登錄服務中就開始實施JavaScript機器人檢測框架，以防止機器人登錄。BruteCat說，他是在今年初於瀏覽器上關閉了JavaScript，想查探是否有任何Google服務在沒有JavaScript的情況下仍能運作，發現帳戶復原服務竟然還是有效的。</p> <p>該服務允許透過兩個HTTP請求，來檢查所輸入的電子郵件或電話號碼是否與所顯示的特定名字有關。</p> <p>儘管Google試圖藉由限制單一IP的請求頻率，以及人機驗證CAPTCHA來減少濫用行為。但BruteCat採用IPv6以隨機切換來源位址，並利用BotGuard令牌來繞過CAPTCHA，接著撰寫一個自動化工具以於密碼恢復流程中，取得只有兩個數字的遮罩電話號碼提示，再進行暴力破解。</p> <p>BruteCat利用每小時0.3美元的伺服器資源即可執行每秒4萬次的檢查，發現找到一個正確的美國電話號碼只要20分鐘，找到一個英國號碼只要4分，找到一個荷蘭號碼只需15秒，新加坡號碼更只要5秒。</p> <p>他在今年4月將漏洞報告提交給Google，獲得5,000美元的獎金，而Google則於今年6月確認，無JavaScript的使用者名稱復原表單已全面被棄用。</p> </div></div></div>
2025/6/10 13:18作者陳曉莉https://www.ithome.com.tw/news/169449
蘋果公布macOS Tahoe 26 將成Intel-based Mac最後一代OS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺北時間周二（6/10）凌晨舉行的WWDC 2025上，蘋果公布了最新桌機作業系統<a href="https://www.apple.com/newsroom/2025/06/macos-tahoe-26-makes-the-mac-more-capable-productive-and-intelligent-than-ever/" target="_blank">macOS Tahoe 26</a>，採用新的視覺介面語言Liquid Glass，並強化手機和Mac電腦接續（Continuity）應用、改良Spotlight、及新增Apple Intelligence及支援捷徑等。而蘋果預告，這也是Intel-based Mac最後一個可更新的macOS。</p> <p><a href="https://www.ithome.com.tw/news/169319" target="_blank">一如彭博早先報導</a>，最新macOS以加州度假勝地太浩湖（Lake Tahoe）為其代號名稱，並且所有OS版本打破過去使用的序號系統，全面改採以年份命名。</p> <p>Mac Tahoe 26支援產品包括使用Apple silicon的MacBook Air（2020及以後）及MacBook Pro（2020及以後）；MacBook Pro（16吋、2019）；MacBook Pro（13吋，2020）、iMac（2020及以後）、Mac mini（2020及以後）、Mac Studio（2022及以後）、Mac Pro（2019及以後）。</p> <p>今天macOS Tahoe 26已提供開發人員測試版，公測版預定下個月釋出，而正式版則一如往年，會在秋天推出。</p> <p><a href="https://www.theverge.com/news/683846/macos-tahoe-intel-x86-arm-m-cpu" target="_blank">The Verge引述蘋果公司官方說法報導</a>，Tahoe是Intel-based Mac最後一個能更新的macOS版本。用戶若想使用macOS 27以後的新作業系統，必須使用搭載Apple Silicon的Mac筆電。</p> <p><span style="color:#B22222;"><strong>Liquid Glass</strong></span></p> <p>全新的Liquid Glass取其一如湖水映照天光山色，為Tahoe介面賦予半透明感且反映周遭環境。選單列完全變透明，可讓顯示器變得更大；Dock、側邊欄與工具列也更著重突顯使用者內容。選單和控制中心（Control Center）提供更多客製化控制，資料匣也能改變色彩增加表情或符號，配合個人化桌布和布景主題，允許用戶創造個人化Mac使用體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Apple-WWDC25-macOS-Liquid%20Glass.jpg" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><strong>Continuity</strong></span></p> <p>新Mac也強化了加入讓用戶在Mac電腦接續鄰近iPhone電話的接續（Continuity），由iOS移植二項功能。一是Phone（電話）App，除了近日通話、喜愛的聯絡人（Favorites）和語音郵件，新版本還加入來電過濾（Call Screening）及保留輔助（Hold Assist），後者可讓用戶邊等待撥通邊持續Mac電腦上的工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Apple-WWDC25-macOS-26-Phone-app-Continuity.jpg" style="width: 600px;" /></p> <p>目前來電過濾已支援繁體中文，但FaceTime/電話的Live Translation還不支援中文。Message中的Live Translation已支援簡中。</p> <p>Continuity第二項新增功能是Live Activities可顯示在Mac電腦選單上。點入Live Activities，Phone App會在iPhone鏡像輸出（iPhone Mirroring）模式中開啟，顯示即時接收最新動態，如Uber接送、運動賽事或飛機航班資訊等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc-macos%2026-Live%20Activities%20from%20iPhone.png" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><strong>Spotlight</strong></span></p> <p>搜尋功能Spotlight獲得號稱最大改版。現在Spotlight會列出所有搜尋結果，再依用戶關聯性智慧排列。它能限縮特定文件類型，如PDF或郵件，還能搜尋儲存在第三方雲端硬碟的文件。新的瀏覽檢視功能可掃過所有應用、檔案、剪貼簿紀錄等，幫助用戶找到沒有明確線索的目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc-macos%2026-Spotlight.png" style="width: 600px;" /></p> <p>透過App Intents API串聯App，用戶現在能直接在Spotlight執行多種作業，包括寄發電子郵件、建立筆記或播放podcast，不再需要在不同App間切換。用戶也能從App選單列建立捷徑以執行作業。Spotlight並支援快速鍵，它也能記憶用戶長期行為，而顯示個人化行動選項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc-macos%2026-Spotlight-2.png" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><strong>Apple Intelligence</strong></span></p> <p>雖然macOS並未包含AI重大革新，但蘋果仍然為Apple Intelligence加入新功能，包括Message、FaceTime、Phone App通話上的即時翻譯（Live Translation）文字或字幕翻譯。其次，用戶可為Apple Intelligence功能建立捷徑，如撰文助理Writing Tools及圖片生成Image Playground，或直接點選Mac電腦或Private Cloud Compute上的模型生成回應，日後再匯入捷徑。此外還能建立串聯AI的捷徑，例如以Apple Intelligence模型比對上課錄音檔和筆記，再增加漏記的重點，也能自動化執行，像是在一天特定時間或儲存檔案到特定資料匣。</p> <p>其他包括以AI自建Genmoji、在Image Playground以ChatGPT畫圖或是Apple Intelligence檢視郵件、網站及筆記自動發送提醒，且自動為「提醒」分類。</p> <p><span style="color:#B22222;"><strong>Tahoe其他新功能</strong></span></p> <p>Safari新介面元素如浮動圓形標籤頁設計、新刷新側邊欄，提升可使用性與Chrome相比，Safari載入經常訪問的網站速度提高50%，為減少追蹤連接攻擊，Safari瀏覽器現在預設啟用網站指紋保護。密碼功能加入提示方便用戶檢視他們的更改紀錄，包括檢查他們儲存密碼的先前版本，以及變更時間的詳細資訊。</p> <p>Messages應用程式加入背景、投票和新的詳細信息檢視。日記（Journal）App登陸Mac，在Mac上，用戶可以建立多個日記，以地圖查找，也能在Apple設備之間同步。Notes添加筆記匯入／匯出到檔案，並支援將iPhone App的對話擷取出附有聽寫的錄音檔。</p> <p>Photos App改用Liquid Glass設計、自定義功能、也加入了釘選照片集，點擊側邊欄即可訪問。FaceTime也改版為Liquid Glass設計，新的“更多”功能包括使用者快速訪問SharePlay和即時翻譯等功能。</p> <p>輔助功能包括Mac上的「放大器」功能，視力不佳的用戶能使用iPhone上的「Continuity Camera」或外接USB攝影機來放大周圍環境。Vehicle Motion Cues，它有助於減少行動車輛中的暈動症。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/6/10 11:37作者林妍溱https://www.ithome.com.tw/news/169445
VMware NSX存在XSS重要風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25738" target="_blank">博通旗下的VMware上周發出安全公告</a>，修補3項網路虛擬化和安全平臺NSX資安漏洞。</p> <p>這三項漏洞分別為CVE-2025-22243、CVE-2025-22244和CVE-2025-22245，屬於「重要」（important）漏洞。影響產品包括VMware NSX、VMware Cloud Foundation和VMware Telco Cloud Platform。</p> <p>其中CVE-2025-22243為NSX Manager UI中的儲存型跨站腳本攻擊（Stored cross-site scripting）漏洞，源自對輸入驗證不當。具有建立或修改網站設定的攻擊者可注入惡意程式碼，在他人檢視網路設定時執行。CVSS v3風險值為7.5。</p> <p>CVE-2025-22244亦為儲存型跨站腳本攻擊（Stored cross-site scripting）漏洞，本漏洞位於閘道防火牆。具備過濾URL的防火牆回應頁建立和修改權限的攻擊者，可注入惡意程式碼，並在另一名用戶試圖存取網頁時執行。本漏洞風險值為6.9。</p> <p>CVE-2025-22245也是類似的儲存型跨站腳本攻擊漏洞，影響路由器傳輸埠。攻擊者若具備新增或修改路由器傳輸埠的權限，即可注入惡意程式碼，在他人存取傳輸埠時執行。漏洞CVSS 風險值為5.9。</p> <p>受影響產品包括VMWare NSX 4.2.x、4.2.1.x、4.1.x、4.0.x、3.2.x；VMware Cloud Foundation 5.2.x、5.1.x、5.0.x、4.5.x；VMware Telco Cloud Infrastructure 5.x、4.x、3.x、2.x。VMware部門已經釋出解決漏洞的更新軟體。</p> <p>CVE-2025-22243為研究人員Dawid Jonienc通報，CVE-2025-22244及CVE-2025-22245則為波蘭ING Hubs研究人員Łukasz Rupala of通報。</p> </div></div></div>
2025/6/10 12:17作者林妍溱https://www.ithome.com.tw/news/169446
蘋果發表基礎模型框架，供第三方存取裝置上模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於周一（6/9）舉行的WWDC大會上，<a href="https://www.apple.com/newsroom/2025/06/apple-supercharges-its-tools-and-technologies-for-developers/" target="_blank">發表了基礎模型（Foundation Models）框架</a>，允許第三方開發者存取蘋果裝置上所內建的大型語言模型，亦即 Apple Intelligence所使用的模型，以於程式中整合AI能力。</p> <p class="rtecenter"><a href="http://developer.apple.com/documentation/foundationmodels" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Foundation%20Models-apple.png" style="width: 585px;" /></a></p> <p>目前<a href="https://developer.apple.com/documentation/foundationmodels" target="_blank">此一位於裝置上的模型</a>擅長各種文本生成任務，像是摘要、實體萃取、文字理解、優化、遊戲對話，以及生成創意內容等，它可根據開發者的需求作出回應，也能決定呼叫開發者所撰寫的程式碼來執行專門任務。</p> <p>由於該框架原生支援Swift，使得開發者只需要撰寫短短的3行程式碼就能存取Apple Intelligence模型。開發者可藉由@Generable巨集來讓模型生成Swift資料結構，或是利用Tool來建立客製化的工具以供該模型呼叫。Automattic正於日記程式Day One中使用該框架，以替使用者帶來基於隱私的AI功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc%2025-%20Foundation%20Models%20framework-apple%20intelligence-app.png" style="width: 404px;" /></p> <p><a href="https://www.apple.com/cm/newsroom/2025/06/apple-intelligence-gets-even-more-powerful-with-new-capabilities-across-apple-devices/" target="_blank">蘋果表示</a>，此一基礎模型框架讓開發者得以建置以AI驅動的功能，這些功能既可離線，也能保護使用者隱私，而且也不會產生推理成本，例如教育應用程式可根據裝置上的使用者筆記生成測驗，戶外應用程式也能添加自然語言搜尋功能，即使使用者處於離線狀態也能使用。</p> <p>基礎模型框架即日起透過蘋果開發者計畫（Apple Developer Program）展開測試，公開測試版則會在下個月藉由Apple Beta Software Program釋出。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/6/10 11:03作者陳曉莉https://www.ithome.com.tw/news/169444
Python壓縮檔模組tarfile存在重大資安弱點，恐導致檔案系統遭任意寫入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Python環境裡，專門用來讀取、建立、打包，以及解壓縮tar檔案的程式庫tarfile，一旦出現弱點，就有可能讓攻擊者用於路徑穿越、任意檔案寫入（及覆蓋）、遠端執行任意程式碼（RCE）、權限提升、逃逸沙箱，甚至還有可能污染套件，引發供應鏈攻擊，因此該程式庫相關的弱點，往往都必須提高警覺。</p> <p>6月3日Python軟體基金會發布資安公告，指出他們針對tarfile模組<a href="https://mail.python.org/archives/list/[email protected]/thread/MAXIJJCUUMCL7ATZNDVEGGHUMQMUUKLG/">修補一系列資安弱點</a>，其中有1個重大層級、3個高風險層級，以及1個中度風險的弱點。</p> <p>這些漏洞是：CVE-2025-4517、CVE-2025-4435、CVE-2025-4330、CVE-2025-4138、CVE-2024-12718，大部分涉及如何繞過tar檔案解壓縮的過濾機制，而該機制是3.12版Python開始引入的。一旦曝險的Python透過tarfile模組來解壓縮特定功能組態、不受信任的tar檔，就有可能觸發漏洞，此外，雖然仍在測試階段的3.14版預設過濾功能參數有所調整，但只要使用者採用預設組態，同樣也可能會受到影響。假若Python在未啟用過濾機制的情況下解壓縮不受信任的tar檔，那麼就會導致攻擊者能在解壓縮資料夾的外部進行任意寫入。</p> <p>值得留意的是，雖然該基金會指出上述弱點與3.12版引入的功能有關，但他們不光發布了<a href="https://docs.python.org/release/3.13.4/whatsnew/changelog.html#security">3.13.4</a>、<a href="https://docs.python.org/release/3.12.11/whatsnew/changelog.html#security">3.12.11</a>版更新，也對舊版推出<a href="https://docs.python.org/release/3.11.13/whatsnew/changelog.html#security">3.11.13</a>、<a href="https://docs.python.org/release/3.10.18/whatsnew/changelog.html#security">3.10.18</a>、<a href="https://docs.python.org/release/3.9.23/whatsnew/changelog.html#security">3.9.23</a>版修補相關漏洞。</p> <p>最嚴重的資安漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-4517">CVE-2025-4517</a>，發生在使用filter="data"的功能參數執行解壓縮的過程，使得攻擊者能夠在檔案系統任意寫入，CVSS風險達到9.4分（滿分10分）。</p> <p>另外幾個高風險漏洞CVE-2025-4435、CVE-2025-4330、CVE-2025-4138也值得留意，風險值皆為7.5，其中的CVE-2025-4435涉及套用特定參數TarFile.errorlevel = 0的時候，理應被過濾的惡意檔案仍能解壓縮；CVE-2025-4330能忽略過濾機制並建立符號連結（Symlink）；至於CVE-2025-4138，可讓攻擊者建立解壓縮資料夾外部的符號連結。</p> </div></div></div>
2025/6/10 09:53作者周峻佑https://www.ithome.com.tw/news/169422
蘋果研究：一旦問題變複雜，大型語言與推理模型便暴露盲點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果研究人員日前發布了一個有關推理模型的AI研究報告《<a href="https://machinelearning.apple.com/research/illusion-of-thinking" target="_blank">The Illusion of Thinking: Understanding the Strengths and Limitations of Reasoning Models via the Lens of Problem Complexity</a>》，主要探索問題的複雜度是否會影響推理模型的表現，發現當問題很簡單時，AI看起來很聰明，但一旦問題變得複雜，便會曝露AI的局限性。</p> <p>此一研究方向源自於近來AI領域出現了一個名為大型推理模型（Large Reasoning Models，LRMs）的新方向，像是OpenAI的o1與o3，DeepSeek-R1、Claude 3.7 Sonnet Thinking，以及Gemini Thinking等，標榜具備「思考」特性，強調長鏈思考（Chain-of-Thought，CoT）與自我反省，且在各種推理基準測試中表現良好。</p> <p>研究人員以《河內塔》（<a href="https://www.mathsisfun.com/games/towerofhanoi.html" target="_blank">Tower of Hanoi</a>）及最短路徑等經典邏輯遊戲來測試LLM與LRM，結果發現它們都很容易就完成3個圓盤的任務，但就算只是移動7個圓盤，Claude模型的準確率都不到80%，而且其它模型也沒有好到哪裡去。</p> <p>結論是在低複雜度下，非思考模型相對準確；隨著複雜度的增加，推理模型的表現更好，但需要更多的Token；而在高難度下，不管是LLM或LRM都會直接崩潰。</p> <p>更令人意外的是，就算提供它們正確的演算法，模型仍無法顯著地改善表現，亦發現不管是什麼種類的問題，模型都無法將推理能力延伸到訓練資料以外。</p> <p><a href="https://x.com/wolfejosh/status/1931182279755178074" target="_blank">科技領域投資人Josh Wolfe總結了該報告</a>，指出LLM過度思考簡單問題，遇到複雜問題時卻在還有很多運算資源時便早早放棄；就算掌握了正確的演算法還是會搞砸，顯示它們缺乏的是基本邏輯；這些模型不具備推理能力，而只是昂貴的模式比對器。</p> <p><a href="https://garymarcus.substack.com/p/a-knockout-blow-for-llms" target="_blank">該論文共同作者Iman Mirzadeh向美國認知科學家Gary Marcus透露</a>，其論點是LRM的處理過程既不合邏輯，也不聰明。</p> <p>Marcus表示，他喜歡AI，但人類如果在《河內塔》這種遊戲上失敗，往往是因為記憶力不足，而擁有數GB記憶體的LLMs不應有同樣的藉口；該報告基本上展現出，不管人們如何定義通用人工智慧，LLMs都還無法取代優秀且規範明確的傳統演算法。</p> </div></div></div>
2025/6/10 08:23作者陳曉莉https://www.ithome.com.tw/news/169442
開源多媒體處理函式庫FFmpeg原生整合WebRTC，增強低延遲串流場景支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長期主導開源影音生態的多媒體處理函式庫FFmpeg，正式將WebRTC支援<a href="http://git.ffmpeg.org/gitweb/ffmpeg.git/commit/167e343bbe75515a80db8ee72ffa0c607c944a00">合併</a>入主線，並新增WHIP muxer（WebRTC-HTTP Ingestion Protocol Multiplexer），使FFmpeg原生具備次秒級低延遲串流輸出能力。這項更新使FFmpeg正式進入WebRTC生態系，功能從離線轉檔與解編碼，擴展至互動直播與雲端製播等即時性場景。</p> <p>WebRTC已成為現代瀏覽器與行動應用低延遲影音傳輸的主要標準。過去當要從FFmpeg推送串流至WebRTC平臺，開發者需額外部署轉接服務或自建媒體閘道，將RTP或其他封裝格式橋接至WebRTC，而這會造成架構複雜與延遲難以控制。</p> <p>新加入的WHIP muxer讓使用者在FFmpeg指令中加入-f whip參數，即可將音訊與視訊串流直接送到支援WHIP的WebRTC伺服器。無論是自建串流平臺、即時監控整合或互動視訊服務開發，開發者及硬體設備廠商只要內建FFmpeg，即可直接輸出WebRTC串流，進一步縮短整合時程並減少伺服器資源消耗，提供額外低延遲串流選項。</p> <p>WHIP在今年3月獲IETF定版為<a href="https://datatracker.ietf.org/doc/rfc9725/">RFC 9725</a>，協定設計強調最小訊號交換流程以完成即時推送串流，採用HTTPS進行會話協商，並以UDP傳送加密RTP封包，連線建立時間更短，具備NAT穿透與安全傳輸特性，特別適用於互動直播、雲端遊戲、遠距教學等對延遲敏感的應用。</p> <p>此次合併涉及約三千行程式碼的新增與重構，涵蓋協定協商、會話管理與加密傳輸等機制，使FFmpeg與GStreamer、OBS Studio等主流工具在WebRTC支援更趨一致，形成完整且互通的開源串流生態。</p> </div></div></div>
2025/6/10 08:43作者李建興https://www.ithome.com.tw/news/169437
【資安日報】6月9日，中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日資安新聞環繞兩大主題：中國與勒索軟體；在中國的部分，彙整當地民眾的40億筆記錄大型資料庫曝光最受到矚目，其次，中國駭客使用iMessage零點擊漏洞攻擊政要，以及鎖定SQL Server、NetWeaver等應用系統入侵企業組織的情況，也相當值得留意。</p> <p>而在勒索軟體的部分，駭客組織Qilin的活動再度浮上檯面，在此同時，攻擊者假借提供AI工具之名的線上平臺，成為散布勒索軟體的另類管道。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169435"><strong style="font-size: 22px;">中國驚傳大規模資料外洩，40億筆民眾個資在網際網路裸奔一天</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/china-leak-data-sample2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-leak-data-sample2.png" style="width: 300px; float: right;" /></a></p> <p>中國政府藉由收集民眾各式資料進行監控的情況，不時有相關消息傳出，然而這些資料保護不周的現象也時有所聞，最近有一起大規模資料外洩事故，引起全球高度關注。</p> <p>資安新聞網站Cybernews的研究團隊與資安業者Security Discovery聯手，於5月19日發現未受密碼保護的大型資料庫，內有超過40億筆用戶記錄，檔案大小為631 GB，內含金融財務資料、微信及支付寶（Alipay）的詳細資料，而且，大部分資料來自中國的使用者。研究人員認為，這應該是中國史上規模最大的資料外洩事故。</p> <p>這批資料裡面有什麼？Cybernews提及持有者疑似將內容依據類型分成16種資料集存放，根據筆數多寡，最多的是名為wechatid_db的資料集，內有8.05億筆微信帳號資料；其次是名為address_db的資料集，內有7.8億筆住宅的地理識別資訊，第三大的資料集名稱為bank，內有6.3億筆涉及信用卡號、存款、消費習慣的金融財務資料。研究人員指出，相關資料是透過精心收集與維護，目的很有可能是彙整所有中國民眾的行為、經濟能力，以及社會狀態。</p> <p><a href="https://www.ithome.com.tw/news/169423"><strong style="font-size: 22px;">中國資助的駭客利用iMessage零點擊漏洞Nickname，攻擊歐美重要人物</strong></a></p> <p>端點防護業者iVerify發現駭客組織利用iPhone上的iMessage漏洞攻擊歐美政治人物、媒體高層、AI廠商等重要人物，過程裡完全無需使用者互動。他們也透露這些受害者的共通點，就是曾遭到另一駭客組織Salt Typhoon攻擊。</p> <p>去年底到今年三月間之前，多位iPhone用戶發生手機當機事件，iVerify研究人員分析是和iMessage有關的零點擊攻擊，這波攻擊源自iMessage的imagent行程（process）中的一個漏洞，該漏洞基於其功能和位置因而之前未曾被揭露，iVerify將其命名為NICKNAME。</p> <p>研究人員發現，有6名iPhone用戶遭到和iMessage有關的攻擊。其中一名用戶手機頻繁發生當機後，iMessage附件在數秒內被一次大量刪除或新增的異常情形。這類異常情況僅發生在高價值，如重要政經人物身上。另一個證據是，其中一位用戶是歐盟資深政府官員，他曾接到蘋果發送威脅通知，這類通知的對象是國家駭客或政府監聽活動鎖定的iPhone用戶。</p> <p><a href="https://www.ithome.com.tw/news/169419"><strong style="font-size: 22px;">中國駭客Earth Lamia鎖定SQL Server、NetWeaver等應用系統而來，利用已知漏洞入侵受害組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthLamiafig01-01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthLamiafig01-01.png" style="width: 300px; float: right;" /></a>5月上旬威脅情報業者EclecticIQ指出，與中國國家安全部（MSS）有關的駭客團體CL-STA-0048、UNC5221，以及UNC5174，利用SAP修補的NetWeaver滿分漏洞CVE-2025-31324，廣泛於英國、美國、沙烏地阿拉伯發動攻擊，現在有研究人員公布長期調查的結果，指出這些駭客長期針對網頁應用系統的資安漏洞來入侵受害組織，得逞後透過多種手法從事網路間諜活動，竊取內部資料。</p> <p>資安業者趨勢科技指出，他們從2023年追蹤與上述團體有關的中國駭客組織Earth Lamia，這些駭客主要針對巴西、印度、東南亞的企業組織從事攻擊行動，他們利用的管道，是透過網頁應用程式的SQL注入漏洞存取受害組織的SQL Server，這些駭客也擅於使用已知漏洞對能夠從網際網路存取的伺服器下手。</p> <p>這些駭客經常透過掃描找出目標網站的SQL注入漏洞，一旦找到漏洞，他們就會試圖開啟系統的Shell，從而得到SQL Server的遠端存取管道。但除了試圖利用SQL注入手法，駭客也使用已知漏洞來攻擊其他應用程式伺服器。</p> <p><a href="https://www.ithome.com.tw/news/169434"><strong style="font-size: 22px;">勒索軟體Qilin利用Fortinet已知漏洞從事攻擊行動</strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，資安業者Prodaft指出，勒索軟體駭客Qilin在今年5月至6月之間，發起鎖定多個企業組織的攻擊活動，利用Fortinet防火牆的已知漏洞來取得初始入侵管道，其中包含CVE-2024-21762、CVE-2024-55591。</p> <p>而對於這些駭客針對的目標，研究人員指出共通點是來自使用西班牙語的國家，但他們認為駭客應該會隨機挑選下手目標，而非特別局限於特定的地理區域從事相關活動。</p> <p>上述研究人員提及的防火牆漏洞，皆已用於實際攻擊行動，而且，CVE-2024-55591被用於散布勒索軟體已非首例，今年1月下旬，使用俄語的駭客組織Mora_001藉此部署以LockBit 3.0為基礎的勒索軟體SuperBlack；另一個漏洞CVE-2024-21762，美國網路安全暨基礎設施安全局（CISA）於2月列入已遭利用的漏洞名冊（KEV）。</p> <p><a href="https://www.ithome.com.tw/news/169407"><strong style="font-size: 22px;">勒索及惡意軟體偽裝成AI工具散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-2f8ff667-a31c-4338-ae7f-b67d048f4c6c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-2f8ff667-a31c-4338-ae7f-b67d048f4c6c.png" style="width: 300px; float: right;" /></a>資安業者Cisco Talos警告，隨著AI工具的盛行，駭客開始假冒各種合法的AI工具以散布CyberLock與Lucky_Gh0$t等勒索軟體，以及全新的惡意軟體Numero。</p> <p>其中，CyberLock假冒為Novaleads，這是個協助企業將潛在客戶變現的線上平臺，主要提供行銷與客戶關係管理服務，其官網為Novaleads.app，其實跟AI並無關係，但駭客建立了一個Novaleads AI品牌，並申請Novaleadsai[.]com網址，同樣宣傳可推動銷售，企圖混淆視聽，提供產品下載，還說前12個月可免費使用，結果於執行程式中暗藏了CyberLock勒索軟體，向受害者要求價值5萬美元的門羅幣作為贖金。</p> <p>而Lucky_Gh0$t則偽裝成ChatGPT 4.0完整版安裝程式ChatGPT 4.0 full version - Premium.exe，它只加密小於1.2GB的檔案，包括文字、程式碼與配置檔，或是Office與Adobe文件，以及安裝程式或憑證檔等，較大的檔案則是直接破壞。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-pathwiper-malware-targets-critical-infrastructure/">惡意軟體PathWiper鎖定關鍵基礎設施而來，意圖植入管理工具以便駭客後續作案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hacker-targets-other-hackers-and-gamers-with-backdoored-github-code/">遊戲玩家、指令碼小子遭鎖定，駭客企圖透過GitHub散布木馬程式Sakura RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/new-supply-chain-malware-operation-hits.html">後門程式GlueStack透過惡意NPM套件散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/unsecured-database-exposes-passion-io-creators-data/?web_view=true">應用程式建置服務Passion.io資料庫未受保護，360萬開發者資料恐曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.virustotal.com/2025/06/what-17845-github-repos-taught-us-about.html">MCP伺服器近8%為惡意用途，逾1.7萬個GitHub儲存庫曝險</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169401"><strong style="font-size: 22px;">思科修補身分服務引擎ISE的驗證繞過漏洞</strong></a></p> <p>思科本周發布安全更新，修補身分服務引擎（Identity Service Engine，ISE）上高度風險的漏洞。</p> <p>編號CVE-2025-20286的漏洞一旦被成功濫用，駭客就可存取在AWS、Azure或OCI等雲端平臺的Cisco ISE執行個體，進而取得敏感資料、執行部份管理員運作、修改系統配置或擾亂受害系統內的服務，CVSS風險值高達9.9（滿分10分），屬重大層級。</p> <p>思科說明，這項漏洞起於思科ISE部署在雲端平臺時憑證產出不當，導致多個不同ISE執行個體可共用同一組憑證，只要這些環境的ISE軟體版本和雲端平臺一樣。攻擊者可以從雲端上的Cisco ISE執行個體擷取出用戶憑證，再以不安全的傳輸埠存取另一雲端平臺上的ISE執行個體，進而執行惡意存取行為。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169392"><strong>【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169365"><strong>【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</strong></a></p> </div></div></div>
2025/6/9 17:35作者周峻佑https://www.ithome.com.tw/news/169436
中國驚傳大規模資料外洩，曝露40億筆民眾詳細個資，涵蓋微信、支付寶、財務資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府藉由收集民眾各式資料進行監控的情況，不時有相關消息傳出，然而這些資料保護不周的現象也時有所聞，最近有一起<a href="https://cybernews.com/security/chinese-data-leak-billiones-records-exposed/">大規模資料外洩事故</a>，引起全球高度關注。</p> <p>資安新聞網站Cybernews的研究團隊與資安業者Security Discovery聯手，於5月19日發現未受密碼保護的大型資料庫，內有超過40億筆用戶記錄，檔案大小為631 GB，內含金融財務資料、微信及支付寶（Alipay）的詳細資料，而且，大部分資料來自中國的使用者。研究人員認為，這應該是中國史上規模最大的資料外洩事故。</p> <p>這批資料的內容為何？Cybernews提及所有者疑似將內容依據類型分成16種資料集存放，根據筆數多寡，最多的是名為wechatid_db的資料集，內有8.05億筆微信帳號資料；其次是名為address_db的資料集，內有7.8億筆住宅的地理識別資訊，第三大的資料集名稱為bank，內有6.3億筆涉及信用卡號、存款、消費習慣的金融財務資料。研究人員指出，相關資料是透過精心收集與維護，目的很有可能是彙整所有中國民眾的行為、經濟能力，以及社會狀態。</p> <p>值得留意的是，光是透過上述的3種資料，就有可能讓攻擊者掌握出民眾的生活型態、消費習慣、借貸與存款的情形等。</p> <p>另一個為數可觀的資料集也引起研究人員注意，此資料集以簡體中文命名，稱為三因子檢查（three-factor checks），共有逾6.1億筆記錄，包含使用者ID、電話號碼、使用者名稱。</p> <p>附帶一提的是，與微信有關的還有名為wechatinfo的資料集，約有5.77億筆記錄，研究人員推測此資料集內含中繼資料或是通訊事件記錄，甚至不排除是使用者對話內容。</p> <p>與支付寶有關的資料集也有2個，其中較大的是zfbkt_db，內含支付寶的卡片與Token資料，這代表攻擊者能用於未經授權付款、挾持帳號，甚至是竊取使用者的身分；另一個資料集則是與支付寶有關的金融資料。</p> <p>雖然大部分資料與中國民眾有關，但其中一個名為tw_db的資料集相當特別，研究人員推測很有可能與臺灣有關，不過內容為何，他們並未進一步透露。</p> <p>僅管研究人員發現並檢視資料庫的部分內容，但由於對方很快就察覺，並將資料庫離線，因此研究人員無法確認資料庫的所有者身分，資料庫曝露在網際網路的時間持續多久，是否有其他人未經授權存取，也無從得知。</p> </div></div></div>
2025/6/9 17:26作者周峻佑https://www.ithome.com.tw/news/169435
勒索軟體Qilin利用Fortinet已知漏洞從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年<a href="https://www.ithome.com.tw/news/163329">攻擊英國倫敦醫院服務供應商Synnovis</a>、今年3月<a href="https://www.ithome.com.tw/news/168720">攻擊吉隆坡國際機場（KLIA）</a>的<a href="https://www.ithome.com.tw/tags/qilin">勒索軟體駭客組織Qilin</a>，最近傳出發起新一波的攻擊行動，針對特定廠牌防火牆已知資安漏洞而來，過程完全自動化進行。</p> <p>勒索軟體Qilin自2022年8月開始出沒，也被稱為Agenda，駭客以租用服務（Ransomware-as-a-Service）的型態經營，這幾年傳出受害者相當廣泛，還包含中國汽車內裝零件製造商延峰（Yangfeng）、美國新聞媒體業者Lee Enterprises，以及澳洲法院服務業者Victoria等。其中，攻擊Synnovis導致英國倫敦多家醫院停擺的情況，受到全球高度關注。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/critical-fortinet-flaws-now-exploited-in-qilin-ransomware-attacks/">資安新聞網站Bleeping Computer的報導</a>，<a href="https://x.com/PRODAFT/status/1930959948810264845">資安業者Prodaft指出</a>，這些駭客在今年5月至6月之間，發起鎖定多個企業組織的攻擊活動，利用Fortinet防火牆的已知漏洞來取得初始入侵管道，其中包含CVE-2024-21762、<a href="https://ithome.com.tw/tags/cve-2024-55591">CVE-2024-55591</a>。</p> <p>而對於這些駭客針對的目標，研究人員指出共通點是來自使用西班牙語的國家，但他們認為駭客應該會隨機挑選下手目標，而非特別局限於特定的地理區域從事相關活動。</p> <p>上述研究人員提及的防火牆漏洞，皆已用於實際攻擊行動，而且，CVE-2024-55591被用於散布勒索軟體已非首例，今年1月下旬，使用俄語的駭客組織Mora_001<a href="https://ithome.com.tw/news/167900">藉此部署以LockBit 3.0為基礎的勒索軟體SuperBlack</a>；另一個漏洞CVE-2024-21762，美國網路安全暨基礎設施安全局（CISA）於2月<a href="https://www.cisa.gov/news-events/alerts/2024/02/09/cisa-adds-one-known-exploited-vulnerability-catalog">列入已遭利用的漏洞名冊（KEV）</a>。</p> </div></div></div>
2025/6/9 14:45作者周峻佑https://www.ithome.com.tw/news/169434
知名AI輔助開發工具Cursor推出1.0正式版，內建BugBot自動程式碼審查功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以人工智慧輔助開發為核心，同時也是氛圍開發（Vibe Coding）者愛用的<a href="https://www.cursor.com/en/changelog/1-0">Cursor推出1.0正式版</a>，帶來多項針對開發流程與團隊協作的功能更新。更新重點包括BugBot自動程式碼審查工具、MCP一鍵安裝與OAuth認證，以及背景代理（Background Agent）開放並直接支援Jupyter Notebook，還有專案記憶（Memories）測試版，同時針對設定與儀表板頁面進行強化。</p> <p>BugBot自動程式碼審查功能針對拉取請求流程自動檢查潛在錯誤，當發現問題時會於GitHub留下具體評論，開發人員可透過Fix in Cursor按鈕切換到編輯器，系統會自動填入修正提示，以加速修正與提升程式品質。對於需經常協作的團隊而言，BugBot自動化功能可減少人工審查負擔。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-Cursor-BugBot-by%20Anysphere.png" style="width: 600px;" /></p> <p>Cursor全面開放背景代理，而這個遠端協作代理讓用戶只需於聊天室點選雲端圖示或使用快捷鍵，即可啟用，支援遠端協作者在Cursor環境同步編輯專案。針對啟用隱私模式的用戶，目前還無法直接啟用背景代理，團隊預計後續推出新設定以擴大適用範圍。</p> <p>針對Jupyter Notebook用戶，Cursor正式支援由代理直接於筆記本內新增與編輯多個程式區塊，目前此功能優先開放給採用Sonnet模型的用戶。該功能可簡化Notebook內容修改流程，提升資料分析與原型開發速度，適合研究或資料科學團隊使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-Cursor-Agent%20in%20Jupyter%20Notebooks-by%20Anysphere.png" style="width: 600px;" /></p> <p>本次更新也新增Memories專案記憶測試版，Cursor可於每個專案層級記錄與引用先前對話重點，協作者可於設定中管理記憶內容，提升溝通效率並減少重複說明或遺漏資訊的可能性。</p> <p>在基礎設施方面，MCP伺服器現可一鍵安裝並支援OAuth認證，官方也釋出經認證的MCP伺服器清單，開發人員可於官方文件加入快速安裝按鈕，降低整合門檻，簡化第三方服務串接，加速自有伺服器接入與用戶授權設定。</p> <p>Cursor聊天室現已內建Mermaid圖表與Markdown表格即時生成功能，使溝通內容更結構化與視覺化，增加技術討論效率。設定與儀表板頁面則經全面改版，提供即時使用狀況統計、團隊使用行為分析、顯示名稱修改與網路診斷等功能，讓開發及管理過程更透明且更具可追蹤性。</p> </div></div></div>
2025/6/9 16:05作者李建興https://www.ithome.com.tw/news/169433
【資安週報】0602~0606，Chrome將從8月開始不信任中華電信新簽發的TLS/HTTPS憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年6月第一星期的資安新聞，有一項與瀏覽器TLS加密憑證合規的消息受到矚目，是關於Google宣布自Chrome 139（預計2025年8月發布）起，將不信任中華電信與匈牙利Netlock這兩家CA（憑證機構）於8月後核發的新TLS憑證，以中華電信問題而言，原因是合規性不足與缺乏有效管理。數發部表示，今年3月已掌握情資，啟動政府網站申請雙憑證方式來因應。</p> <p>具體影響在於，屆時服務端若向中華電信申請新憑證，使用Chrome瀏覽的用戶將出現連線錯誤或安全警告提示，雖然其他瀏覽器未跟進這項措施，Edge、Safari、Firefox的用戶不受影響，但Chrome的不信任仍可能讓一般用戶造成困擾，整個IT領域也關注是否還有其他影響，像是防護系統是否可能因瀏覽器信任清單，而將採用這些憑證的網站列入不信任名單。中華電信已經宣布，8月起暫停簽發新的TLS網站憑證，也承諾爭取讓自家憑證重獲預設信任，但根據Bugzilla紀錄的事件資訊來看，如何改善像是誤發憑證無法在規範5天內撤銷，以及年度自評報告延遲繳交等狀況，才是重點。</p> <p>在資安事故方面，有兩大類型議題備受我們關注，首先，是有兩起資安業者出狀況引發的資安危機：（一）資安業者SentinelOne於5月29日傳出多項服務中斷，事故原因是將正式系統過渡至新雲端架構過程中，誤刪路由導致組態比對功能異常；（二）自動化資安合規業者Vanta於5月26日發現系統內部程式碼錯誤，導致部分客戶敏感資料可被其他客戶存取，約有數百家企業受影響。</p> <p>另一是多家精品與服飾業者接連遭遇事故，相當不尋常：（一）內衣與時尚品牌業者維多利亞的秘密（Victoria's Secret）上星期網站服務停擺，該公司證實遭遇資安事故因此暫時關閉網站與網路商店服務；（二）精品業者Cartier通知客戶系統遭駭，有客戶個資外洩狀況；（三）戶外用品與運動服飾業者The North Face通報4月遭遇帳號填充攻擊，部分客戶個資外洩。</p> <p>其他重要資安事故方面，在臺灣，聯嘉光電於公開資訊觀測站發布資安重訊，揭露資訊系統遭到攻擊，駭客試圖存取總部與部分子公司網路環境；先前美國虛擬貨幣交易所Coinbase向美國SEC通報資料外洩，最新調查發現事件與兩名印度客服外包商TaskUs員工有關；還有法律與商業資訊業者LexisNexis發生客戶資料外洩，此事同樣因向主管機關通報而曝光，影響人數達36萬多人，初步調查顯示資料是從該公司使用的GitHub外洩，細節仍待釐清。</p> <p>在最新威脅態勢上，有4則新聞值得留意，涵蓋全螢幕BitM攻擊手法、濫用合法OpenSSH與Windows內建的API的攻擊活動，以及利用挖腳名義鎖定高層網釣攻擊的揭露。我們整理如下：</p> <p>●研究人員揭露新的瀏覽器中間人（BitM）攻擊手法，能以全螢幕方式展現，使惡意URL不被看到，降低遭察覺的機會，並指出fullscreen API的安全問題。<br /> ●有駭客濫用Windows內建的OpenSSH元件試圖建立後門連線，SANS網路風暴中心資安研究人員指出，攻擊者透過惡意DLL檔案dllhost.exe來啟動SSH服務。<br /> ●發現勒索軟體Lyrix駭客濫用Windows內建的API來隱匿行蹤，像是使用GetCurrentProcess、TerminateProcess控制惡意程式的運作等多種方式。<br /> ●發現鎖定不同產業高層與財務長（CFO）的網路釣魚攻擊，是以其他公司挖角名義來誘騙，攻擊範圍涵蓋歐洲、非洲、加拿大、中東與南亞。</p> <p>在漏洞攻擊威脅方面，有4個零時差漏洞攻擊，涵蓋Google Chromium與高通GPU晶片，可惜目前還未有具體攻擊影響揭露。</p> <p>●Google修補Chromium V8中1個已遭露利用的零時差漏洞CVE-2025-5419<br /> ●高通修補3個涉及GPU已遭利用的零時差漏洞，分別是CVE-2025-21479、CVE-2025-21480、CVE-2025-27038，僅透露已被用於目標式攻擊。<br /> ●ConnectWise於4月修補的漏洞CVE-2025-3935，近期發現可能遭國家級駭客利用，但也傳出可能早在去年8月就已遭利用。<br /> ●先前威脅情報業者GrayNoise揭露華碩路由器已知漏洞遭鎖定，尤其是CVE-2021-32030、CVE-2023-39780遭駭客利用，後續華碩提醒，後項漏洞與其他4個漏洞也有關。<br /> ●舊版網路論壇軟體vBulletin存在兩項已遭駭客利用的漏洞，分別是：CVE-2025-48827與CVE-2025-48828，但去年4月修補未公布CVE，近期駭客鎖定攻擊、經資安業者通報，才讓這兩個CVSS滿分的CVE漏洞浮上檯面。</p> <p>至於資安防禦動態方面，有3大重點值得大家關注，首先，澳洲政府頒布新規範，針對遭勒索的企業，要求從5月30日起，不僅要通報資安事件，也要在72小時內通報支付贖金的金額，這在國際相當少見；其次，針對駭客組織命名不同問題，微軟與CrowdStrike正合作發展一套對照指引，雖然這並非建立共通標準，但目的很明顯是要減少資安資訊交流阻礙。</p> <p>第三項重點是打擊網路犯罪。美國財政部指出菲律賓公司Funnull向AWS或Azure購買大量IP位址，再轉售給詐騙集團，協助架設投資詐騙網站，因此對Funnull祭出制裁。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169309"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</span></strong></a></h3> <p>駭客架設遠端瀏覽器來發動瀏覽器中間人攻擊（Browser in the Middle，BitM），藉由在使用者存取網路應用程式的過程裡，不知不覺地挾持用戶的帳號，但如今有研究人員揭露改良版的攻擊手法，使用者恐更難察覺。</p> <p>資安業者SquareX指出，一般的BitM攻擊有機會從網址列察覺，但若是攻擊者搭配瀏覽器全螢幕瀏覽的API，就更有機會騙過使用者而得逞。</p> <h3><a href="https://www.ithome.com.tw/news/169343"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</span></strong></a></h3> <p>5月底Google宣布Chrome瀏覽器預設信任機制將祭出新的措施，其中有兩家CA業者的合規改善情況未達到要求，造成可靠性下降，他們決定從Chrome 139開始，移除對於這兩家CA於8月之後核發的新TLS憑證的信任，由於其中一家CA是臺灣電信龍頭中華電信，這項消息很快就引起國內關注。</p> <p>由於此事影響的層面可能會相當廣泛，中華電信也緊急發布聲明說明處理情形，數位發展部也透露公部門網站已採取雙憑證因應。</p> <p><a href="https://www.ithome.com.tw/news/169365"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</span></strong></a></p> <p>如同歹徒犯案會事先勘察環境，駭客也會透露掃描特定弱點的方式尋找可下手的目標，但過往駭客往往是針對其中一項漏洞，或是特定組態配置不當的情況而來，如今有人同時對75種弱點挖掘能夠攻擊的目標，這樣的情況極為罕見。</p> <p>這起事故另一個特殊的地方在於，整個活動只維持一天，使得研究人員想要找出攻擊者的身分，也變得更加困難。</p> <h3><a href="https://www.ithome.com.tw/news/169392"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</span></strong></a></h3> <p>過往駭客組織鎖定的郵件伺服器系統，多半以微軟的Exchange為主，但最近兩到三年，有越來越多駭客針對Roundcube、Zimbra等開源解決方案而來，因此這類系統若是出現資安漏洞，也相當值得留意。</p> <p>最近有資安業者發現Roundcube重大層級漏洞，值得留意的是，由於不光是IT人員用來架設郵件伺服器，再加上有其他應用系統如主機管理平臺cPanel、Plesk整合Roundcube，亦有Yandex.Mail、Zoho Mail等服務採用，因此這種漏洞的影響範圍會相當可觀。</p> <h3><a href="https://www.ithome.com.tw/news/169399"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</span></strong></a></h3> <p>今天的資安新聞當中，針對高階財務主管的攻擊行動相當值得留意，過往駭客通常是透過電子郵件詐騙（BEC）手法，佯稱是公司的CEO來行騙，但如今有歹徒以獵人頭的名義來對這些主管下手，目的是在他們的電腦植入惡意軟體並進行控制。</p> <p>此外，駭客針對DevOps環境配置不當、濫用Windows內建的OpenSSH元件也值得留意。在國內消息的部分，昨天傍晚聯嘉光電發布資安重訊，指出總部與海外子公司同時遭受攻擊。</p> <p> </p> </div></div></div>
2025/6/9 14:33作者羅正漢https://www.ithome.com.tw/news/169425
非營利的EleutherAI釋出集結合法開放資料的AI訓練資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利的AI研究組織EleutherAI上周<a href="https://huggingface.co/blog/stellaathena/common-pile" target="_blank">發布了Common Pile v0.1</a>，這是個AI訓練資料集，所蒐集的資料全部屬於開放授權或公有領域，且利用該資料集訓練出的2個7B模型，發現它們的表現並不亞於LLaMA、MPT、PRJ-INCITE或Qwen等知名模型。</p> <p>EleutherAI創立於2020年，是個非營利的AI研究機構，亦被稱為OpenAI的開源版。甫釋出的Common Pile v0.1收錄超過30種來源的逾8TB的純文字，該資料集採用嚴格的授權過濾機制，僅保留採用創用CC BY、CC BY-SA或CC0協議的內容，涵蓋生物醫學領域的PubMed Central、數理科學領域的ArXiv、GitHub Archive、StackExchange、Ubuntu IRC、USPTO專利資料集及維基百科等。</p> <p>Common Pile v0.1的重點是它們皆屬於公開授權及公有領域，明確排除了不符合開放意義的資料，避免侵權問題，並提升訓練資料集的透明度。</p> <p>EleutherAI還利用Common Pile v0.1訓練了兩個7B參數模型，其中的<a href="https://huggingface.co/common-pile/comma-v0.1-1t" target="_blank">Comma v0.1-1T</a>以1兆個Token作為訓練量，<a href="https://huggingface.co/common-pile/comma-v0.1-2t" target="_blank">Comma v0.1-2T</a>則使用了2兆個Token進行訓練。</p> <p>當比較Comma v0.1-1T與LLaMA、MPT及PRJ-INCIT等模型時，發現Comma v0.1-1T在ARC-C、MMLU、BoolQ、SIQA、HumEval及MBPP等基準測試上勝出。</p> <p>若是比較Comma v0.1-2T與OLMo Twin、Llama 2及DeepSeekLLM，Comma v0.1-2T也在ARC-E、MMLU、SIQA及HumEval上的表現最為突出。</p> <p>EleutherAI認為，使用未授權資料可能引發法律與倫理爭議，因此應該建立一套完全由開放授權或是公有領域組成的資料集，而且實驗也發現，這些基於開放資料集的模型在許多測試中的表現也與主流模型相當，彰顯出開放資料也能訓練出高品質的語言模型，將能鼓勵社群持續蒐集與擴展開放授權資料，朝向合法、可持續及倫理的AI模型發展路線。</p> </div></div></div>
2025/6/9 12:25作者陳曉莉https://www.ithome.com.tw/news/169432
Apple用Swift重寫密碼監控服務效能提升40％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.swift.org/blog/swift-at-apple-migrating-the-password-monitoring-service-from-java/">Apple將密碼監控服務後端由Java改為Swift</a>，效能提升40％，記憶體用量降低一個量級，單一實例記憶體大幅縮減，99.9％請求延遲低於1毫秒，整體資源使用量減半</p> <p>Apple近年推動軟體基礎架構現代化，繼在行動裝置與桌面端廣泛導入Swift後，最新重大調整是將密碼監控服務後端從Java改寫為Swift，並已在全球生產環境部署。根據Apple官方團隊說明，Swift版本的效能較Java提升約40％，同時能大幅降低記憶體用量。</p> <p>密碼監控服務是Apple在2024年所推出Passwords應用程式的核心功能之一。該服務協助用戶於多裝置間管理密碼、通行密鑰與驗證碼，並即時檢查密碼是否外洩。而其服務後端運作在Linux基礎設施，須要長時間高效處理全球數十億裝置的查詢請求，對效能與擴充性要求嚴格。</p> <p>Apple團隊表示，隨用戶規模擴大，Java雖具穩定性及豐富生態系，但在大規模服務下的資源使用率已經成為瓶頸。特別是在記憶體管理、JVM啟動速度與垃圾回收調校上，難以兼顧高並行（Concurrency）的即時性與運算效能。團隊在多次調校JVM後仍無法達成預期目標，因此評估以Swift重構系統架構。</p> <p>採用Swift重寫後，服務單一實例記憶體需求從Java高峰時的數十GB降至數百MB，資源用量大幅減少。整體吞吐量提升約40％，99.9％請求延遲低於1毫秒，團隊指出，Swift具嚴謹型別系統、可選值與安全釋放機制，有助減少執行期間錯誤並提升程式碼可讀性。Swift語法設計也使開發人員能以更精簡且易於維護的方式建構模組化架構，重寫後程式碼行數約為原先的15％，有利於降低維運負擔。</p> <p>在軟體架構方面，Apple採用Swift的Vapor伺服器端框架，並針對密碼監控需求，開發橢圓曲線密碼技術、稽核、設定及錯誤處理等自訂元件。針對高安全標準，密碼監控服務不會回傳用戶密碼至Apple，採用隱私集合交集（Private Set Intersection）等密碼技術協定，確保用戶隱私與安全。</p> <p>Apple技術團隊進一步指出，Swift除了高效能與安全性，也具動態擴充能力，適合在Kubernetes等雲端原生架構運作。轉換後，密碼監控服務的資源使用量減半，使Kubernetes叢集可釋出更多資源供其他服務使用，進而提升整體系統的可用性與彈性。</p> </div></div></div>
2025/6/9 12:06作者李建興https://www.ithome.com.tw/news/169429
中國駭客Earth Lamia鎖定SQL Server、NetWeaver等應用系統而來，利用已知漏洞入侵受害組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月上旬<a href="https://www.ithome.com.tw/news/168966">威脅情報業者EclecticIQ指出</a>，與中國國家安全部（MSS）有關的駭客團體CL-STA-0048、UNC5221，以及UNC5174，利用SAP修補的NetWeaver滿分漏洞CVE-2025-31324，廣泛於英國、美國、沙烏地阿拉伯發動攻擊，現在有研究人員公布長期調查的結果，指出這些駭客長期針對網頁應用系統的資安漏洞來入侵受害組織，得逞後透過多種手法從事網路間諜活動，竊取內部資料。</p> <p>資安業者趨勢科技指出，他們<a href="https://www.trendmicro.com/en_us/research/25/e/earth-lamia.html">從2023年追蹤與上述團體有關的中國駭客組織Earth Lamia</a>，這些駭客主要針對巴西、印度、東南亞的企業組織從事攻擊行動，他們利用的管道，是透過網頁應用程式的SQL注入漏洞存取受害組織的SQL Server，這些駭客也擅於使用已知漏洞對能夠從網際網路存取的伺服器下手。</p> <p>研究人員提及，這些駭客廣泛鎖定許多企業組織，但同時間只會對特定行業下手，根據駭客針對的對象，大致可分成幾個時期，從2023年至2024年初，他們主要的目標是金融業，尤其是與證券和金融經紀公司；到了2024年下半，他們將目標轉向物流與網路零售業；直到最近，駭客將目標轉向IT公司、大學、政府機關。</p> <p>雖然Earth Lamia高度使用可公開取得的工具從事攻擊，但他們也不斷開發自己的工具Pulsepack、BypassBoss。其中Pulsepack約從去年8月出現，今年駭客改用升級版本，最大的差異就是更換C2通訊的做法，這代表駭客積極開發這個後門程式。</p> <p>針對駭客的攻擊流程，這些駭客經常透過掃描找出目標網站的SQL注入漏洞，一旦找到漏洞，他們就會試圖開啟系統的Shell，從而得到SQL Server的遠端存取管道。但除了試圖利用SQL注入手法，駭客也使用已知漏洞來攻擊其他應用程式伺服器。</p> <p>除了前述提及的CVE-2025-31324，這些漏洞包含：Apache Struts2漏洞CVE-2017-9805、Craft CMS漏洞CVE-2024-56145、CyberPanel漏洞CVE-2024-51378與CVE-2024-51567、GitLab漏洞CVE-2021-22205、JetBrains TeamCity漏洞CVE-2024-27198與CVE-2024-27199，以及WordPress檔案上傳外掛漏洞CVE-2024-9047，這些漏洞大部分涉及遠端程式碼執行（RCE），但也有任意檔案存取、身分驗證繞過、路徑穿越弱點。</p> <p>一旦成功入侵受害伺服器，這些駭客就會從事一系列的行為，於受害組織的網路環境進行橫向移動。這些行為包含利用Certutil及PowerShell下載作案工具、在網頁應用程式伺服器植入Web Shell、使用GodPotato或JuicyPotato等工具提升權限，以及利用Fscan及Kscan等工具掃描網路環境等。</p> <p>另一方面，這些駭客還會建立名為helpdesk的使用者帳號，並加入管理員群組，透過LSASS或是特定的機碼截取帳密資料，並使用公用程式nltest.exe、net.exe收集網域控制器的資訊。</p> <p>而對於建立對外通訊的部分，駭客使用rakshasa與Stowaway建立代理伺服器隧道，使用Vshell、Cobalt Strike、Brute Ratel等滲透測試工具產生後門程式，並透過schtasks.exe維持後門的運作。</p> <p>附帶一提，若是Earth Lamia成功利用SQL注入漏洞，就會建立具有管理員權限的帳號sysadmin123。</p> </div></div></div>
2025/6/9 10:30作者周峻佑https://www.ithome.com.tw/news/169419
Hugging Face開源機器人模型SmolVLA 可跑在Mac電腦上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hugging Face積極拓展機器人業務，繼公布二款低成本機器人後，<a href="https://huggingface.co/blog/smolvla" target="_blank">上周再開源一款4.5億參數量的機器人模型SmolVLA</a>，號稱能執行在消費硬體如Mac電腦上。</p> <p>相較於AI快速進步，機器人進展緩慢許多，這是因為欠缺高品質多元資料，及協助機器人像人類一樣思考和行動的模型。為解決這個問題，產業界最近開始重視視覺語言行動（vision-language-action，VLA）模型，這類模型希望在單一模型中整合知覺、語言理解和行動預測能力，並輸出相應的機器人行動。惟此類模型主要是專屬模型，其訓練通常要求昂貴的硬體、多種工程資源及大規模私有資料集，對研究社群取用有很高的門檻。</p> <p>因此Hugging Face釋出SmolVLA，希望能以這個開源、以公開資料集訓練，且能執行在消費硬體的輕量模型，推動VLA普及化，加速通用型機器代理人的研究。</p> <p>在訓練時，SmolVLA是以一般操作資料預訓練，再以特定任務專用資料進行後訓練，以實現更強的適應能力。在模型架構上，SmolVLA結合了Transformer及flow-matching解碼器，並採用4種技術，包括加速視覺模型推理速度：在視覺模型中跳過一半層數，以加速推論並縮小模型；交錯融合自注意力（self-attention）與交叉注意力（cross-attention）區塊，以強化多模態訊息整合效率；使用較少的視覺token提升處理速度；並選用更輕量的SmolVLM2來預訓練，降低硬體需求。</p> <p>即便訓練集僅包含不到3萬筆任務紀錄，遠少於其他視覺語言代理（VLA）模型，但Hugging Face說，SmolVLA在模擬與實體場景中的表現仍與大型模型相當，甚至超越。</p> <p>此外，SmolVLA引入非同步推理架構（asynchronous inference stack），將感知（視覺與聽覺理解）與動作執行解耦，有利於讓機器人在環境快速變化時更迅速做出反應，有效提升機器人的實用性。</p> <p>最後訓練出的SmolVLA-450M可執行在搭載消費級GPU的硬體甚至MacBook上。而搭配SmolVLA-450M的機器人，則包括Hugging Face自己的平價機器人機型，如SO-100、SO-101、LeKiwi等。</p> <p>而在標竿測試中，Hugging Face強調SmolVLA效能表現優異，其中在LIBERO、Meta-World模擬標竿測試中結果優於更大的模型，如Octo、OpenVLA，而在實際機器人SO100和SO101的抓取與放置、堆疊、分類的能力測試中，以SmolVLA的效能較好，而在SO101，SmolVLA也表現更好的泛化（generalization）能力。而非同步推論將執行和推論解耦，可使機器人在移動時反應更快，該公司強調支援提升30%速度及2倍的任務輸出。</p> <p>SmolVLA基礎模型<a href="https://huggingface.co/lerobot/smolvla_base" target="_blank">在Hugging Face平臺釋出</a>。<a href="https://github.com/TheRobotStudio/SO-ARM100" target="_blank">訓練方法則在GitHub公布</a>。</p> </div></div></div>
2025/6/9 11:14作者林妍溱https://www.ithome.com.tw/news/169427
Linux基金會啟動FAIR套件管理專案，打造WordPress的去中心化套件平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會（Linux Foundation）上周五（6/6）<a href="https://www.linuxfoundation.org/press/linux-foundation-announces-the-fair-package-manager-project-for-open-source-content-management-system-stability" target="_blank">宣布啟動FAIR套件管理（FAIR Package Manager）專案</a>，該專案定位為中央WordPress.org外掛程式及主題生態系統的去中心化替代方案，以將控制權交還給托管商及開發人員。被視為是<a href="https://www.ithome.com.tw/news/165222" target="_blank">WP Engine爭議</a>的衍生性產物。</p> <p><a href="https://github.com/fairpm" target="_blank">根據該專案的說明</a>，FAIR套件管理可作為一個隨插即用的WordPress外掛程式運行，以聯合的開源基礎設施無縫地替換現有的集中式服務。該系統有兩個核心支柱，包括以本地或FIAR管理的替代方案取代了與 WordPress.org API的通訊，以及採用去中心化的套件管理。</p> <p>該專案說明，儘管穩定的外掛程式目前使用的是WordPress.org鏡像，但未來的版本將完全支援FIAR原生套件。</p> <p>託管商有兩種方式來遞送FAIR，一是提供獨立的外掛程式，可直接安裝在現有的WordPress上，二是透過FAIR發行版來自動部署網站。</p> <p>Linux基金會執行董事Jim Zemlin指出，FAIR套件管理專案將替開源內容管理的穩定性及發展鋪路，替貢獻者與企業提供了一個由中立社群治理的額外選項。</p> <p>該專案的意義在於可消除核心更新、外掛程式及主題對任何單一來源的依賴；藉由整合不同來源的外掛程式，替現代安全實踐奠定基礎；以及將安全性構建至供應鏈中，改善加密安全措施，強化瀏覽器相容性檢查，以允許依賴來自可信來源的安全加密鹽值。</p> <p>FAIR套件管理專案被視為是WP Engine事件的衍生物。WordPress專案主要貢獻者並開發WordPress.com的Automattic，在2024年要求同為WordPress託管商的WP Engine付費取得WordPress商標使用權，但遭WP Engine拒絕，隨後Automattic創辦人Matt Mullenweg即於去年9月<a href="https://www.ithome.com.tw/news/165222" target="_blank">禁止WP Engine存取WordPress.org</a>。</p> <p>WordPress.org為WordPress開源專案的官方網站與資源中心，負責提供核心軟體的免費下載與文件，也是官方的外掛程式及主題儲存庫，儘管它理論上應該是由社群所擁有，但Automattic或Mullenweg卻可片面決定封鎖WP Engine，還在同年10月<a href="https://www.ithome.com.tw/news/165480" target="_blank">擅自分叉WP Engine的ACF外掛</a>。Automattic內部也因此出現矛盾，最後<a href="https://www.ithome.com.tw/news/165444" target="_blank">造成159名員工離職</a>，Mullenweg也被批評違反開源精神，同時使得WordPress.org的中心化審核、發布機制與更新過程開始受到質疑。</p> <p>WordPress企業級解決方案供應商Crowd Favorite也贊助了FAIR套件管理專案，該公司執行長Karim Marucchi表示，從個人用戶、企業到遞送管道，WordPress的每個人都有一個共同的目標，亦即平臺的長期生存能力；而實現此一目標的最佳途徑即是消除供應鏈安全漏洞，以穩定整個WordPress生態系統。</p> </div></div></div>
2025/6/9 10:19作者陳曉莉https://www.ithome.com.tw/news/169426
中國支持的駭客利用iMessage NICKNAME零點擊漏洞攻擊歐美重要人物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://iverify.io/blog/iverify-uncovers-evidence-of-zero-click-mobile-exploitation-in-the-us" target="_blank">端點防護業者iVerify發現</a>一個駭客組織利用iPhone上的iMessage漏洞，無需使用者互動就能攻擊歐美政治人物、媒體高層、AI廠商等重要人物，而這些受害者也曾遭到Salt Typhoon的攻擊。</p> <p>去年底到今年三月間之前，多位iPhone用戶發生手機當機事件，iVerify研究人員分析是和iMessage有關的零點擊攻擊，這波攻擊源自iMessage的imagent行程（process）中的一個漏洞，該漏洞基於其功能和位置因而之前未曾被揭露，iVerify將其命名為NICKNAME。</p> <p>研究人員解釋命名的由來。iPhone允許用戶為聯絡人設定暱稱或虛擬化身，而當攻擊者接連快速重覆發送暱稱更新到iMessage就會觸發「使用已釋放記憶體」（use-after-free）毁損，這讓NICKNAME成為一個更大範圍攻擊串最好的起始點。</p> <p>研究人員發現，有6名iPhone用戶遭到和iMessage有關的攻擊。其中一名用戶手機頻繁發生當機後，iMessage附件在數秒內被一次大量刪除或新增的異常情形。這類異常情況僅發生在高價值，如重要政經人物身上，當機率在50000部iPhone 中，有此類當機比例僅0.0001%。另一個證據是，其中一位用戶是歐盟資深政府官員，他曾接到蘋果發送威脅通知，這類通知的對象是國家駭客或政府監聽活動鎖定的iPhone用戶。</p> <p>研究人員相信，6名iPhone用戶中，4人手機明顯有和NICKNAME相關的簽章，2人手機更顯示了成功濫用漏洞的跡象。所有受害人都證實也曾經遭到中國駭客Salt Typhoon的攻擊，他們有人不願與中共同一路線，有人則是投入抗中活動。</p> <p>差分分析顯示，NICKNAME影響iOS 18.3，蘋果已經修補，但是該漏洞可能只是更大攻擊串的其中一段，因此研究人員認為無法下結論說這波攻擊已經平息。</p> </div></div></div>
2025/6/9 08:22作者林妍溱https://www.ithome.com.tw/news/169423
Google Gemini排程行動功能上線，提供付費用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/scheduled-actions-gemini-app/" target="_blank">Google周三宣布</a>排程行動（scheduled action）功能正在部署到聊天機器人Gemini，提供給付費用戶，能為用戶自動摘要電子郵件，或自動報告運動賽事比分。</p> <p>排程行動功能是Gemini最新功能，旨在為用戶主動處理任務，類似OpenAI測試中的<a href="https://www.ithome.com.tw/news/166970" target="_blank">ChatGPT Tasks</a>。利用排程行動，用戶可簡化日常重複性作業，或讓Gemini直接提供個人化更新資訊。只需告訴Gemini在特定時間執行特定任務、或者將用戶一次性的提示變成重複執行的行為。</p> <p>例如用戶可設定Gemini做出行事曆行程或未讀郵件的摘要、排定每周一讓Gemini提供5個部落格撰寫的好點子、更新支持球隊的對戰行程或成績，也可以要求它每次金馬獎結束後，重點整理頒獎結果。Google說這項功能只要一次設定就可以一勞永逸。排程好的行動，之後也可以隨時在「設定」頁中變更。</p> <p>目前這項功能提供給每月20美元（臺幣650元）Google AI Pro或每月250美元（臺幣8150元）Ultra方案的訂閱用戶。</p> </div></div></div>
2025/6/9 08:44作者林妍溱https://www.ithome.com.tw/news/169424
Cloud Run GPU正式上線，支援AI推論與批次運算彈性擴展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式發布<a href="https://cloud.google.com/blog/products/serverless/cloud-run-gpus-are-now-generally-available">Cloud Run GPU</a>，用戶可直接在Cloud Run服務啟用Nvidia L4 GPU，無需申請配額。此功能使開發團隊能彈性部署生成式人工智慧、深度學習推論與批次運算等工作負載，同時降低資源閒置帶來的成本，提升運算彈性。</p> <p>Cloud Run採無伺服器運作模式，支援自動擴展、彈性部署與簡化管理。本次新增GPU支援後，開發者可透過指令或控制臺選項啟用GPU加速。</p> <p>系統提供按秒計費及自動縮減至零的調度能力，有助於降低閒置資源的費用並提升使用效益。根據Google官方測試，Cloud Run GPU服務在冷啟動時約5秒內可完成GPU與驅動程式啟動。以Gemma 3:4b模型推論為例，從冷啟動至產生第一個Token約需19秒，具支援互動性應用的能力。</p> <p>在服務可靠性方面，Cloud Run GPU納入Cloud Run既有SLA，並提供分區備援與彈性部署。企業可根據營運需求部署於多個區域以提升可用性，或選擇關閉分區備援以調整資源配置。Cloud Run GPU目前已於美國、歐洲及亞洲多個區域上線，供企業在全球市場部署應用，減少跨區延遲。</p> <p>Cloud Run Jobs現也已支援GPU，開發者可用於模型微調、批次推論、影片轉檔與圖像處理等非同步運算任務。開發者可根據需求啟動、執行與釋放GPU資源，無需自建基礎設施，即可執行彈性運算任務。</p> </div></div></div>
2025/6/9 08:14作者李建興https://www.ithome.com.tw/news/169415
新光人壽導入模組化數位保險平臺，預計下半年在越南推出首波數位保險產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了推動越南數位保險市場發展，新光人壽近日導入具備模組化架構的數位保險平臺，來加強結合新光在越南的在地通路和營運實力。</p> <p>新光人壽預計今年下半年在越南推出首批數位保險產品，透過和越南石油保險公司合作，推出車險、旅平險，和健康保障等保險產品。</p> <p>新光人壽此次導入的數位保險平臺具備模組化的保險產品模板和流程，支援彈性介接，和具備自動化服務引擎，能在一季內快速建立數位投保頁面。</p> <p>除了在今年下半年推出車險、旅平險等產品，未來新光也預計透過保險平臺推出更多產品，例如商業險產品，和臺資企業員工團體保險。越南新光未來也預計和日本第一生命公司越南分公司展開進一步合作。</p> <h3>金融科技創新園區媒合企業合作</h3> <p style="text-align: justify;">新光人壽此次計劃，是透過金融科技創新園區媒合園區進駐企業AIFT而成。透過園區導師制，雙方企業發展出金融科技發展的合作藍圖，目標以臺資企業為起點，逐步拓展越南當地與東南亞市場。</p> <p>其實，近期金管會也正在積極推動金融科技創新園區的企業輔導機制。金管會昨日發布「金融科技創新園區2.0」計畫，透過導入分級輔導機制，為新創業者量身提供輔導及資源。金管會計畫將新創業者區分成初創期、成長期、成熟期共三階段，依不同階段打造資源與輔導機制。他們希望每年新增至少十家新創團隊進駐，整合創投與資本市場資源，打造從創業到上市的完整金融科技生態鏈。</p> <p>金融科技創新園區自2018年成立，到今年5月底，累計招募了186家新創團隊進駐。但過往園區提供的資源較為一致，並未明確依據業者條件打造輔導路徑。</p> <p></p> </div></div></div>
2025/6/6 17:54作者李昀璇https://www.ithome.com.tw/news/169414
正視習以為常的缺失
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年端午節有三天連假，放假前一天（5月29日）發生銀行行員到分行附近的大型醫院收款，因為保管不慎，鉅款遭人揀走，遺失／遭竊金額高達387萬元，引發大家關注這麼嚴重的問題原因。</p> <p>據媒體報導，我們注意到幾個奇怪的地方。首先，行員收完款（醫院前一日掛號總收入，現金387萬元），進入地下街商場辦公室收取地下街商場前一日的營業收入，他卻未將裝有這筆現金的袋子帶入，而是留置在辦公室門口地上，等到兩三分鐘後走出辦公室之後，發現袋子不見了、遭人撿走；其次，由一位行員獨自收取如此鉅款，相當危險，為何無人隨行？有媒體報導提到，該銀行的內部收款安全作業規範要求：行員收取超過300萬元現鈔，需2人以上護鈔隨行，令人好奇這位行員為何違反規定？第三，案發地點距離該行員所屬分行只有幾百公尺，依照Google地圖估算，步行只需5分鐘，是否因為兩地距離很短，所以相關規定疏於落實？</p> <p>第四，這位負責收款的行員今年64歲，一年後即將退休，而且在該家銀行任職超過20年，獲得公司長官的信任，不免令人質疑是否可能串通外部人員，但有媒體報導問到銀行同業推估行員退休金高於被竊款項387萬元，以及其資歷之深，不應犯下基本疏失；第五，一度被外界誤以為事發後3小時才報案，該行後續發布聲明表示，案發當天上午11時55分即通報醫院駐衛警，致電管區分局報案請求協助，下午2點21分完成報案筆錄。</p> <p>關於這起事件，媒體報導也持續關注取走鉅款的犯嫌行蹤。警方已調閱相關監視器畫面了解此人移動狀態，像是身穿黑衣黑褲與連身帽、戴口罩，並且利用公車、步行、計程車等方式移動（均以現金付款），行跡涵蓋5個都會行政區，過程中並未使用手機，而且隨身攜帶超過三套衣物變裝、更換鞋子，而在案發前警方也看到犯嫌多次前往醫院（應是事後透過監視器畫面得知），疑似勘查地形與觀察現場出入狀況，而這似乎也呼應稍早媒體推測行員被「盯梢」的可能性。</p> <p>得知這項重大案件之後，暫時不論是否有「內神通外鬼」的狀況，單就資深員工而言，我們是否必須重新反思該如何看待他們的工作狀況，IT人員也不例外。</p> <p>第一，「人非聖賢，孰能無過」，就算是職場老手，也會犯低級錯誤，而作為主管與同事的我們，可能因為對其非常熟悉與信任，而過度授權，並且放鬆、縱容應有的監督與管制。</p> <p>換個角度來看，當我們是任職多年，可能也以為自己經年累月重複執行某些工作，對自己負責的業務駕輕就熟，而可能在不自覺的情況下，偶而會以不夠謹慎的方式在部分工作環節便宜行事，然而，可能又因為當下已無其他同事可幫忙照看（或別人知道你有此問題，但不敢或懶得跟你說），而讓這樣的缺失無法及時改正，最終可能因為有心人士的窺伺而得知這個可乘之機，最後釀成難以挽回的大禍。</p> <p>另一個反思是「給人方便，卻可能被對方當隨便」獲得信任不是一件容易的事，但得到信任之後，於公於私，我們真的足夠重視這份囑托嗎？就像下列幾句諺語「親近生侮慢」、「親則生狎，近則不遜」、「Familiarity breeds contempt」一旦熟悉、親近某事某人之後，可能不自覺地怠慢了，我們可曾想過：一時疏忽，可能徹底敗壞別人對自己的信任嗎？當例行工作步入軌道，甚至規律到一成不變的地步，我們是否還能時時刻刻緊盯流程、避免可能出錯的因素？</p> <p>應該以這起鉅額收款竊案為師，我們要認知到：嚴守紀律、標準作業流程，是為了對得起自己手上的這份工作、單位與同仁的信任，同時也是為了保護自己，敵人可能正在看不見的角落，正在尋找你任何可能出錯的地方，因此，我們不僅要秉持本身的職業道德要求，謹慎行事，同時，也必須要借助其他人的良知良能，請他們盡可能提醒我們即將或已經出錯的地方，以免類似的憾事再度發生。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%A8%99%E6%BA%96%E4%BD%9C%E6%A5%AD%E6%B5%81%E7%A8%8B">標準作業流程</a></div><div class="field-item odd"><a href="/tags/%E5%AE%89%E5%85%A8%E4%BD%9C%E6%A5%AD%E8%A6%8F%E7%AF%84">安全作業規範</a></div><div class="field-item even"><a href="/tags/%E8%81%B7%E6%A5%AD%E9%81%93%E5%BE%B7">職業道德</a></div><div class="field-item odd"><a href="/tags/%E7%9B%A3%E7%9D%A3">監督</a></div><div class="field-item even"><a href="/tags/%E7%AE%A1%E5%88%B6">管制</a></div></div></div>
2025/6/6 16:49作者李宗翰https://www.ithome.com.tw/voice/169413
以色列資安業者Cellebrite買下Arm架構虛擬化技術開發商Corellium
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cellebrite.com/en/cellebrite-to-acquire-corellium/" target="_blank">知名的數位鑑識業者Cellebrite周四（6/5）宣布</a>，將買下專注於Arm架構虛擬化技術的Corellium，Cellebrite將先支付1.7億美元的現金，未來兩年會再根據Corellium的業績最高額外支付3,000萬美元。雙方預計於今年夏天完成交易。</p> <p>1999年創立於以色列的Cellebrite，主要替執法機構、企業及服務供應商提供各種工具以管理數位資料，其旗艦產品為Universal Forensics Extraction Device（通用鑑識提取裝置，UFED），可協助執法機構從行動裝置中提取並分析資料，曾幫美國聯邦調查局（FBI）破解嫌犯的iPhone與Android手機，在2021年以CLBT為代號登上美國那斯達克股市（Nasdaq）。</p> <p>至於Corellium則是家專注於Arm架構虛擬化技術的美國業者，成立於2017年，打造支援iOS、Android與其它基於Arm架構的虛擬硬體，以讓開發者能夠測試系統漏洞，執行逆向工程或分析惡意軟體，並觀察系統行為，蘋果曾因此控告該公司侵權。</p> <p>Cellebrite表示，此一交易將替數位鑑識與智慧裝置的安全性設定新標準，涵蓋iOS、Android、車用系統，以及所有基於Arm架構的物聯網裝置，不管是公共安全、國防、情報或私人企業等能因此而受益，以更快辨識行動裝置漏洞與攻擊手法，能夠看到並與虛擬裝置互動，全面提升所有基於Arm架構裝置的DevSecOps效率與速度，以及執行原生Arm架構的滲透測試等。</p> <p>Cellebrite臨時執行長Thomas Hogan表示，該收購不僅能強化Cellebrite在Arm架構上的數位鑑識與安全測試能力，還引進了漏洞研究、惡意軟體分析及安全測試等領域的頂尖人才。</p> <p>消息曝光後，Cellebrite當天的盤後股價上揚了4.51%，漲至17.6美元。</p> </div></div></div>
2025/6/6 12:35作者陳曉莉https://www.ithome.com.tw/news/169405
Anthropic發表專為美國國安設計的Claude Gov模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/claude-gov-models-for-u-s-national-security-customers" target="_blank">AI新創Anthropic今日（6/6）發表</a>了一系列專為美國國家安全機構設計的客製化Claude Gov模型。這些模型已部署於美國最高層級的國家安全機構，僅限於在機密環境中運作的單位使用。</p> <p>Anthropic說明，這些模型是根據政府客戶的意見及實際操作需求所開發，也經過了與其它Claude模型一樣嚴格的安全測試，美國國家安全客戶可將這些Claude Gov模型應用在戰略規畫、作戰支援、情報分析及威脅評估等多種任務上。</p> <p>Claude Gov模型的主要特點包括它們能夠更有效地處理機密資料，對於機密資訊的拒絕率較低；對於情報與國防脈絡有更深入的理解能力；更熟悉那些攸關國家安全的關鍵語言及方言；改善對複雜網路安全資料的理解以強化情報分析能力。</p> <p>其它AI業者也對國防合約有興趣，例如OpenAI藉由與國防承包商Carahsoft合作進駐政府組織，Meta亦在向美國政府及承包商推銷其Llama模型，而Google也正在開發支援機密環境的Gemini版本。</p> </div></div></div>
2025/6/6 12:44作者陳曉莉https://www.ithome.com.tw/news/169406
勒索及惡意軟體偽裝成AI工具散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.talosintelligence.com/fake-ai-tool-installers/" target="_blank">資安業者Cisco Talos近日警告</a>，隨著AI工具的盛行，駭客開始假冒各種合法的AI工具以散布CyberLock與Lucky_Gh0$t等勒索軟體，以及全新的惡意軟體Numero。</p> <p>其中，CyberLock假冒為Novaleads，這是個協助企業將潛在客戶變現的線上平臺，主要提供行銷與客戶關係管理服務，其官網為Novaleads.app，其實跟AI並無關係，但駭客建立了一個Novaleads AI品牌，並申請Novaleadsai[.]com網址，同樣宣傳可推動銷售，企圖混淆視聽，提供產品下載，還說前12個月可免費使用，結果於執行程式中暗藏了CyberLock勒索軟體，向受害者要求價值5萬美元的門羅幣作為贖金。</p> <p>而Lucky_Gh0$t則偽裝成ChatGPT 4.0完整版安裝程式ChatGPT 4.0 full version - Premium.exe，它只加密小於1.2GB的檔案，包括文字、程式碼與配置檔，或是Office與Adobe文件，以及安裝程式或憑證檔等，較大的檔案則是直接破壞。</p> <p>至於Numero則喬裝成InVideo AI，後者是個影片生成工具，標榜只要輸入文字，就能全自動生成影片，包含畫面、旁白、字幕與背景音樂，而冒牌的Numero基本上是個視窗操縱惡意軟體，它會持續監控受害者的桌面視窗，將所有視窗標題、按鈕或內容以數字「1234567890」覆蓋，使系統介面完全無法使用或辨識，而且每60秒就會重新啟動一次惡意程式，目的在於癱瘓系統，屬於純粹的破壞性攻擊。</p> <p>研究人員分析，上述AI工具的合法版本在B2B銷售領域，或者是技術及行銷領域特別受歡迎，顯示出這些行業的個人與組織特別可能成為惡意威脅的目標，建議使用者要謹慎驗證軟體來源，僅仰賴可靠的供應商，以及實施多層次的安全防護措施，以免引狼入室。</p> </div></div></div>
2025/6/6 12:50作者陳曉莉https://www.ithome.com.tw/news/169407
【資安日報】6月6日，鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天的資安新聞當中，針對高階財務主管的攻擊行動相當值得留意，過往駭客通常是透過電子郵件詐騙（BEC）手法，佯稱是公司的CEO來行騙，但如今有歹徒以獵人頭的名義來對這些主管下手，目的是在他們的電腦植入惡意軟體並進行控制。</p> <p>此外，駭客針對DevOps環境配置不當、濫用Windows內建的OpenSSH元件也值得留意。在國內消息的部分，昨天傍晚聯嘉光電發布資安重訊，指出總部與海外子公司同時遭受攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169385"><strong style="font-size: 22px;">求職信網釣鎖定財務長與金融高層而來，駭客企圖植入遠端存取工具Netbird控制受害電腦</strong></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/spear-phishing-campaign-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/spear-phishing-campaign-1.jpg" style="width: 300px; float: right;" /></a></p> <p>駭客以徵才的名義從事網釣攻擊的情況不時傳出，其中最常見的是針對開發人員而來（例如：北韓駭客發動的的攻擊行動Contagious Interview，也被稱做Dev#Popper），如今有人專門針對全球高階財務主管下手，直到一年後才被研究人員發現。</p> <p>資安業者Trellix於5月中旬偵測到專門鎖定財務長（CFO）及金融高層的網路釣魚攻擊，駭客的攻擊範圍相當廣泛，涵蓋歐洲、非洲、加拿大、中東、南亞等全球5個地區。受影響的產業包括銀行、能源公司、保險業及投資機構。攻擊者利用合法的遠端存取工具NetBird，在受害者的電腦上建立隱藏的本機帳號，並啟用遠端桌面存取。</p> <p>研究人員發現，類似的惡意連結已經活躍近一年，顯示這場行動可能已經持續了一段時間。目前，攻擊者的基礎設施尚未被完全識別，暫且尚未歸因於特定的威脅組織。</p> <p><a href="https://www.ithome.com.tw/news/169391"><strong style="font-size: 22px;">駭客組織鎖定DevOps環境而來，濫用Nomad、Docker API等不當配置的情況從事挖礦攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1748631346-screenshot-2025-05-30-at-11-55-35-am.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1748631346-screenshot-2025-05-30-at-11-55-35-am.png" style="width: 300px; float: right;" /></a></p> <p>結合軟體開發及IT維運的DevOps環境，近年來也成為駭客偏好下手的目標，將其中特定系統的運算資源用來挖礦，但如今有人同時針對多套系統發動攻擊。</p> <p>雲端安全公司Wiz揭露駭客組織JINX-0132的攻擊行動，這些駭客針對Docker、Gitea、HashiCorp Consul，以及HashiCorp Nomad等DevOps應用程式伺服器而來，利用配置不當的情況或資安弱點來植入挖礦程式XMRig。研究人員指出，這是首度有人濫用HashiCorp Nomad來進行挖礦的活動。</p> <p>究竟這波攻擊行動的曝險範圍有多大？Wiz研究人員未公布明確的數字，但他們提及全球約有8成雲端環境採用Docker、逾20%採用Consul；四分之一採用上述提及的Consul、Gitea，或是Nomad。而採用這些DevOps工具的環境，約有5%直接曝露於網際網路，其中有三成存在組態配置不當而曝險。</p> <p><a href="https://www.ithome.com.tw/news/169361"><strong style="font-size: 22px;">Windows內建的OpenSSH元件被濫用，駭客試圖建立後門連線</strong></a></p> <p>微軟於2018年4月發布的1803版Windows 10當中，開始內建SSH支援，使得IT人員不再需要自備工具就能從事相關作業，但也有駭客藉由這種內建機制從事寄生攻擊（LOLBin），於受害電腦建立後門。</p> <p>近期SANS網路風暴中心資安研究人員發現一種新型態的SSH後門，該惡意程式利用Windows內建的OpenSSH，來建立能持續存取的管道。攻擊者透過惡意DLL檔案dllhost.exe來啟動SSH服務，並在受害電腦設定隨機連接埠來建立連線。</p> <p>該惡意程式會檢查系統是否已啟動SSH服務，若未啟動，則會讀取登錄檔中的SSH設定，或在首次執行時隨機產生新的隨機連接埠並儲存。接著，它會建立SSH設定檔，其中包含攻擊者的C2伺服器資訊，並進入無限迴圈執行，以維持連線運作。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=6&SPOKE_TIME=165352&SPOKE_DATE=20250605&COMPANY_ID=6288"><strong style="font-size: 22px;">聯嘉光電資訊系統遭到攻擊，駭客試圖存取總部與部分子公司網路環境</strong></a></p> <p>6月5日汽車車燈供應鏈業者聯嘉光電於股市公開觀測站發布資安重訊，指出集團總部與部分海外子公司的網路環境，皆出現駭客企圖登入的跡象，資訊系統遭到攻擊。對此，他們在察覺相關異狀後，立即啟動相關防禦機制因應。而對於這起事故可能會造成的影響，聯嘉光電表示根據他們的初步評估，對於營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fbi-play-ransomware-breached-900-victims-including-critical-orgs/">勒索軟體Play威脅加劇，迄今已有逾900家企業組織受害</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/lumma-infostealer-developers/">竊資軟體Lumma捲土重來，透過俄羅斯C2試圖恢復運作</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-hackers-target-salesforce-accounts-in-data-extortion-attacks/">駭客組織ShinyHunters挾持跨國企業的Salesforce帳號，意圖竊取機敏資訊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169300"><strong style="font-size: 22px;">駭客利用vBulletin滿分漏洞來植入後門</strong></a></p> <p>資安業者Karma(In)Security於5月23日揭露兩個位於vBulletin的資安漏洞，同時釋出概念驗證攻擊（PoC）程式，另一資安研究人員Ryan Dewhurst在5月26日便發現駭客已開始嘗試攻擊誘捕系統（Honeypot），企圖植入後門。</p> <p>Karma(In)Security發現的兩個資安漏洞分別是CVE-2025-48827與CVE-2025-48828，其中，CVE-2025-48827是在系統於PHP 8.1或更新的環境執行時，允許未經授權的使用者可呼叫受保護的API控制器，換句話說，它讓駭客得以繞過身分驗證，直接存取各種API端點，CVSS風險評分達到滿分（10分）。至於CVE-2025-48828，允許駭客濫用模板條件（Template Conditionals），繞過系統安全檢查並執行任意PHP程式碼，風險值為9.0。</p> <p>值得留意的是，其實Internet Brands早在去年4月就修補了這兩個漏洞，只是直到今年才被揭露、分配CVE漏洞編號。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/apple-ios-activation-flaw-enables-injection/">蘋果iOS設備啟動後臺系統存在弱點，攻擊者有機會任意竄改相關配置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/critical-dell-powerscale-vulnerability/">網路儲存設備Dell PowerScale存在重大漏洞，未經授權攻擊者可存取檔案系統</a></strong></p> <p> </p> <h3><strong>【法規遵循】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169357"><strong style="font-size: 22px;">針對遭勒索的企業，澳洲政府要求通報支付贖金的金額</strong></a></p> <p>最近幾年，各國政府要求企業在發生資安事故的時候必須限時通報，其中對於勒索軟體攻擊，多半是呼籲受害企業不要向歹徒低頭，選擇付錢了事，不過，如今有國家對於支付贖金的企業，要求必須通報相關資訊，這樣的態勢引起外界關注。澳洲政府頒發命令，要求從5月30日起，遭勒索軟體或網路勒索的企業，若是向歹徒付錢，應在支付贖金72小時內通報政府，包括資安事件及支付金額。</p> <p>這項名為《網路安全（勒索軟體支付通報）規定2025（Cyber Security (Ransomware Payment Reporting) Rules 2025）》的法規，是澳洲網路安全法（Cyber Security Act, 2024）的一部分，於今年3月公布，並在5月30日正式生效。澳洲政府預計從2026年1月1日起啟動遵循和執法措施，並在今年12月底前的6個月宣導推廣期及匯整各方意見。根據規定，前一會計年度營業額在300萬澳幣以上的企業，為本法涵蓋的對象。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169198"><strong style="font-size: 22px;">持續擴大身分安全防護產品陣容，Computex 2025臺廠展出多種硬體解決方案</strong></a></p> <p>今年臺北國際電腦展（Computex 2025）舉行，展現臺灣資通訊（ICT）產業在全球科技供應鏈的影響力之餘，現場亦有不少資安相關展示受到關注，當中有部分來自臺灣資安大會展覽上大家所熟悉的廠商，有部分則沒有那麼熟悉，但也展現廣泛資安技術。</p> <p>以上個月在臺灣資安大會展出，5月又現身Computex展覽的業者而言，資安大廠趨勢科技就是一例，他們特別展示用Digital Twin來搭建企業紅藍隊攻防演練的解決方案，目前已在開發階段。</p> <p>還有近年陸續在多場活動展出零信任相關資安解決方案的眾至資訊，在這次Computex也不缺席，主要展示其防火牆與交換器協同防禦的解決方案，以及OT安全防護設備；主打內網流量管理與DDoS安全防護的UGuard Networks崴遠科技，他們也在Computex也展示一項今年新推的Defense Trust威脅情資解決方案，其他還有像是TeamT5杜浦數位安全、中華資安國際等業者，也同樣現身於Computex活動現場。</p> <p><a href="https://www.ithome.com.tw/news/169208"><strong style="font-size: 22px;">臺灣企業如何因應地緣政治風險？從BCM 1.0升級2.0，專家建議從六大面向因應極端情境</strong></a></p> <p>在俄烏戰爭爆發之後，不少企業血淋淋地感受到地緣政治劇烈衝擊最極端的情況，並非完全不可能，尤其臺海衝突頻傳，三年前，國外知名雜誌更專文點名，將臺灣和烏克蘭、以色列並列為全球的高風險地緣政治衝突區域。</p> <p>當時就有不少臺灣大型企業，如高科技業者、金融業者、生技業者，重新審視自己的營運持續計畫（ BCP），開始思考過去視為極端情況，自己當前的準備是否足夠。安永諮詢服務執行副總經理曾韵指出，他們近幾年也協助不少臺灣企業，重新審視BCP計畫對極端情境的準備。</p> <p>曾韵建議企業，可以將地緣政治風險劃分不同的階段，在營運持續計畫中，再針對每一個階段訂定詳細的情境與事件應對方針，企業可參考國內外專家或政府機構對這些情境的規畫和建議，來安排企業自家做法。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169392"><strong>【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169365"><strong>【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169343"><strong>【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</strong></a></p> </div></div></div>
2025/6/6 09:28作者周峻佑https://www.ithome.com.tw/news/169399
聯發科修補藍牙驅動程式高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://corp.mediatek.com/product-security-bulletin/June-2025" target="_blank">聯發科本周發布產品更新</a>，修補影響其手機及物聯網晶片的多項資安漏洞，包含一個影響藍牙驅動程式高風險提權漏洞，以及多項影響WLAN和藍牙驅動程式的中度風險漏洞。</p> <p>這波漏洞影響聯發科智慧型手機、平板、AIoT、智慧顯示器、智慧平臺、OTT、電腦視覺、音訊和電視晶片組。</p> <p>高風險漏洞編號CVE-2025-20672，為一堆積緩衝溢位（Heap overflow）漏洞。本漏洞起於藍牙驅動程式邊界檢查（bounds check）不正確，導致攻擊者提高本地User執行權限以進行惡意活動，而本漏洞不需使用者互動即可達成濫用。</p> <p>本項漏洞是由外部研究人員通報，採用受影響軟體的晶片涵括IoT裝置到中、高階筆電。</p> <p>這波更新還修補了多項中度風險漏洞，涵括了一項提權（EoP）漏洞CVE-2025-20674（影響藍牙驅動程式）及5項阻斷服務（DoS）攻擊漏洞，包括CVE-2025-20673、CVE-2025-20675、CVE-2025-20676、CVE-2025-20677和CVE-2025-20678，其中除了CVE-2025-20678為電信模組IMS Service，其餘皆影響WLAN驅動程式。</p> <p>聯發科已經提早至少二個月通知裝置製造商並提供安全修補程式。</p> </div></div></div>
2025/6/6 09:43作者林妍溱https://www.ithome.com.tw/news/169400
思科修補身分服務引擎的驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-aws-static-cred-FPMjUcm7" target="_blank">思科本周發布安全更新</a>，修補身分服務引擎（Identity Service Engine，ISE）上高度風險的漏洞。</p> <p>編號CVE-2025-20286的漏洞一旦被成功濫用，駭客就可存取在AWS、Azure或OCI等雲端平臺的Cisco ISE執行個體，進而取得敏感資料、執行部份管理員運作、修改系統配置或擾亂受害系統內的服務。</p> <p>思科說明，這項漏洞起於思科ISE部署在雲端平臺時憑證產出不當，導致多個不同ISE執行個體可共用同一組憑證，只要這些環境的ISE軟體版本和雲端平臺一樣。攻擊者可以從雲端上的Cisco ISE執行個體擷取出用戶憑證，再以不安全的傳輸埠存取另一雲端平臺上的ISE執行個體，進而執行惡意存取行為。</p> <p>CVE-2025-20286屬高風險漏洞，CVSS 3.1風險值高達9.9。</p> <p>不過思科表示，只有主管理節點部署在雲端時，Cisco ISE才會受此漏洞影響，若主管理節點是部署在本地資料中心，Cisco ISE就不受影響。</p> <p>思科已釋出新版軟體更新修補漏洞，且沒有替代解決方案。但思科建議管理員可以將存取雲端ISE的來源IP，限制為平臺安全群組或是管理員。</p> </div></div></div>
2025/6/6 09:54作者林妍溱https://www.ithome.com.tw/news/169401
X開始禁止第三方使用其內容來訓練模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.x.com/en/developer-terms/agreement-and-policy" target="_blank">X最近修改其開發者協定</a>，於X API與X Content的使用限制中，新增禁止第三方平臺利用它們來微調或訓練基礎及前沿模型。外界揣測此舉可能是因為X有意效法Reddit，以與第三方業者達成內容合作協議。</p> <p>馬斯克（Elon Musk）在2022年10月以440億美元買下Twitter，並將其更名為X，接著在2023年3月創辦了AI公司xAI，同年9月，X變更其隱私政策，表示可能會使用所蒐集的公開資訊來訓練機器學習或人工智慧模型，接著便利用X的內容來訓練xAI的Grok模型。</p> <p>2024年10月，X還進一步於服務條款及隱私政策中，<a href="https://www.ithome.com.tw/news/165563" target="_blank">開放</a>第三方業者利用該平臺的內容來訓練AI模型。</p> <p>上述變更主要屬於使用者端的協議，在針對開發者的協議與政策中，X一直到了今年6月，才於使用限制中祭出不得以X API及X Content來訓練模型的規定。</p> <p>外傳X的廣告營收在馬斯克接手之後持續下滑，然而，AI的興起及模型訓練的需求替內容網站創造另一個營收來源。以社交新聞平臺Reddit為例，迄今Reddit已於OpenAI、Google、 Sprinklr及Cision簽署合作協議，讓它們能夠合法存取Reddit內容，這也讓Reddit的身價水漲船高，甫於去年3月以34美元的發行價登上紐約股市的Reddit，現在的股價已突破110美元。</p> </div></div></div>
2025/6/6 10:02作者陳曉莉https://www.ithome.com.tw/news/169402
USDC穩定幣開發商Circle上市首日股價大漲168%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國USDC穩定幣開發商Circle周四（6/5）以31美元的發行價登上紐約股市（New York Stock Exchange，NYSE），交易代號為CRCL，成為美國少數公開發行股票的純加密貨幣公司，上市首日即大漲168.48%，以83.23美元作收。</p> <p>Circle創立於2013年，所發行的USDC是個與美元掛鉤的穩定幣，意味著它會維持與美元相當的價格。<a href="https://coinmarketcap.com/" target="_blank">根據CoinMarketCap的統計</a>，USDC目前的市值為611億美元，在穩定幣範疇僅次於Tether USDT的1,539億美元，此外，USDC的規模也已讓它成為全球第七大加密貨幣。</p> <p>Circle在2022、2023與2024年的營收及儲備收入，分別是7.7億美元、14.5億美元，以及16.8億美元，除了在2022年虧損了7.7億美元之外，2023年及2024年的淨收入，分別達到了2.7億美元及1.6億美元。</p> <p>值得注意的是，Circle有超過99%的營收都來自儲備收入（Reserve Income）。儲備資產指的是Circle用來支持USDC穩定幣且價值相當的資產，可能是國債或短期投資，可帶來利息收入。</p> <p>其它在美國公開上市的純加密貨幣業者，還包括加密貨幣交易平臺Coinbase，以及兩家比特幣挖礦公司MARA Holdings與Riot Platforms。</p> </div></div></div>
2025/6/6 10:15作者陳曉莉https://www.ithome.com.tw/news/169403
Meta、Yandex被揭露監聽Android本機通訊埠，橋接瀏覽器與App身分進行追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>西班牙IMDEA Networks Institute、荷蘭Radboud University及比利時KU Leuven等學術機構研究人員共同<a href="https://localmess.github.io/#disclosure">發表研究</a>，發現知名科技公司Meta與Yandex在Android平臺上，透過監聽本機通訊埠的方式，建立瀏覽器與原生App之間的身分橋接，實現用戶行為的去匿名化追蹤。此技術手法繞過了傳統的隱私保護機制，侵害行動裝置用戶的個人資料保護與隱私安全。</p> <p>根據該項研究結果，Meta的Facebook與Instagram應用程式，以及Yandex旗下多款應用程式，會在Android裝置中於背景持續監聽特定本地端通訊埠。當用戶開啟安裝有Meta Pixel或Yandex Metrica追蹤碼的網站時，瀏覽器中的JavaScript腳本會將瀏覽行為與身分資訊經由本地端Socket傳遞至這些原生App，進而實現Web與App間的身分串接。此舉突破現行如清除Cookie、無痕瀏覽以及Android權限控管等防護，可連結原本分散、短暫的瀏覽識別與長期、個人化的App帳號或裝置識別碼，提升追蹤的精確度與持續性。</p> <p>以Meta為例，研究指出其Facebook與Instagram應用程式會在背景啟動服務，監聽一組UDP與TCP本地埠口。當用戶瀏覽嵌有Meta Pixel的網站時，腳本會將_fbp Cookie透過WebRTC協定，以名為SDP Munging或TURN的方法傳遞至本機通訊埠，然後由原生App接收後，與用戶帳號一同傳送至Meta伺服器。這讓Meta能夠跨網頁與App層串接同一用戶，打破現有第一方Cookie僅限單一網站範疇的隱私保護。</p> <p>Yandex則採用HTTP與HTTPS請求發送至指定本地端埠口，由旗下如Yandex Maps、Yandex Browser等App監聽。這些App會回應包含Android Advertising ID等身分資訊，由瀏覽器腳本收集後一併上傳，這種設計還透過DNS解析將追蹤網域指向127.0.0.1，進一步隱匿流量與資料流向，使一般檢測機制更難發現。</p> <p>此種利用Android開放本機Socket設計的追蹤方式，受影響範圍極廣，據統計，Meta Pixel與Yandex Metrica分別被嵌入全球數百萬個網站。研究實測也顯示，即便用戶未明確同意Cookie政策，這些身分串接仍有機會被觸發，且由於本機通訊埠監聽並無特別權限限制，其他惡意App也可能偵聽相關埠口，衍生更多資安與個資外洩風險。</p> <p>為了評估此追蹤手法對不同瀏覽器的影響，研究團隊針對多款主流瀏覽器，包括Chrome、Microsoft Edge、Firefox、DuckDuckGo及Brave進行測試。測試結果顯示，當網站腳本嘗試與本機通訊埠連線時，Chrome及Edge均受到Meta與Yandex這類追蹤行為的影響，能夠被追蹤腳本連接並傳遞身分資料。Brave則因為自2022年起針對本地主機連線實施嚴格封鎖策略，能有效防止這類攻擊，DuckDuckGo則透過增加阻擋清單減少部分風險。Firefox雖對Meta的技術較具防禦力，但對Yandex的HTTP請求仍會受到影響。</p> <p>目前主流瀏覽器已針對此類本地端Socket溝通提出初步防禦措施，例如封鎖特定埠口、限制SDP欄位操作等。不過，研究人員強調，Android平臺本身的設計限制若未根本改善，相關風險仍然存在。Meta與Yandex皆未在官方文件公開說明此類技術細節，也未針對外界或開發者社群的相關討論給出明確回應，但是皆已停止相關追蹤功能運作。</p> </div></div></div>
2025/6/6 08:21作者李建興https://www.ithome.com.tw/news/169394
AWS正式啟用臺北區域資料中心，第一批啟用六十多項常見基礎服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS網站今天正式啟用了臺灣本地的臺北區域資料中心（代號ap-east-2）目前可以提供61項雲端服務，以運算、儲存、網路、資料庫等基礎服務為主。但還沒提供更進階的AI相關服務，例如Bedrock、SageMaker</p> <p>AWS三年前先在臺啟用了Local Zone本地雲端機房，去年則進一步宣布了規模更大的臺北區域等級資料中心建置計畫。這座臺北區域資料中心是AWS十年來在臺最大規模的投資，AWS計畫未來15年在臺投資數十億美元。 </p> <p>臺北區域資料中心由3個可用區域（AZ）組成且區域間彼此相隔，每個AZ之間都具有獨立的電源、冷卻和實體安全性，並透過冗餘、超低延遲網路串連，來實現服務或應用高可用性與高容錯。</p> <p>根據 AWS香港暨台灣總經理王定愷去年揭露了資訊，臺灣本地企業使用AWS服務的往返延遲時間有望進一步縮短至10毫秒以下。</p> <p>目前AWS在全球推出36個區域資料中心，在亞太和中國區有14座區域資料中心，今年初新增了泰國區域資料中心，接著是臺北區域資料中心，預計亞太區今年還將新增紐西蘭區域資料中心。</p> <p><a href="https://aws.amazon.com/tw/about-aws/global-infrastructure/regional-product-services/?p=ngi&loc=4">從AWS官網上按區域提供的AWS服務清單</a>可以看到，今天已經增加了ap-east-2的亞太地區(台北）區域，可提供61項服務，像是常見的運算服務（如EC2、ECS、EKS）、儲存服務（S3、EBS等）、資料庫類（RDS、Aurora、DynamoDB、Redshift等）。</p> <p>不過，AWS東京區域資料中心目前提供了216項服務，遠高於臺北區域資料中心的61項。多項AI類服務，如Bedrock、 SageMaker都還沒在臺提供。</p> </div></div></div>
2025/6/6 07:16作者王宏仁https://www.ithome.com.tw/news/169398
摩根大通2025年科技預算達180億美元，IT投資重心從基礎設施轉向應用端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>摩根大通在今年五月中舉辦一年一度的投資者日，在2025年，摩根大通的科技預算達到180億美元，較去年增加10億美元。這180億中，有53億資金投資在產品、平臺和創新發展，27億美元投資在基礎的技術架構上。若以業務領域來看，共有80億分別投資在投資銀行、消費銀行和財富管理三大業務領域上。</p> <p>談到2025年的科技預算，摩根大通財務長Jeremy Barnum強調，大部分科技預算已投入在產品、平臺和功能，「我們現在已經度過現代化計畫支出的高峰期，這幫助我們持續投資在產品、平臺和功能上。」同時，他也提到，公司整體的業務量增漲，帶動了部分硬體和基礎設施的預算上漲，但透過提升效率，得以抵銷這些額外開銷。</p> <p>Jeremy Barnum強調的論點，呼應了摩根大通今年的科技預算變化。今年，摩根大通的科技預算首次出現現代化計畫投資金額減少，遞減了約2億美元。另外，效率提升為摩根大通節省了6億美元。不過，隨著業務量增加，摩根大通今年在地端基礎設施和公有雲投入的成本增加了10億美元，投資在產品、平臺和功能開發的預算也大幅增加了9億美元。整體預算相較去年，增加約10億美元。</p> <h3>40萬名工程師配備AI Coding助理、20萬名員工使用GenAI平臺、超過100項GenAI解決方案正在運作</h3> <p>相較於去年，摩根大通在今年端出了更多GenAI成果。例如，超過40萬名工程人員使用AI程式碼輔助助理，另外，他們在2024年推出了生成式AI平臺LLM Suite，提供全球超過20萬名員工使用，協助員工節省每周數小時工作時間、提升員工生產力。此外，透過LLM Suite，「我們也開始看到不少公民開發者的案例已開始正式運作。」Jeremy Barnum說。目前，摩根大通也有超過100項GenAI解決方案正在運作中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-06-02%20211116.png" style="width: 600px;" /></p> <blockquote><p>摩根大通揭露今年的科技計畫進展和成果，著重在GenAI成果和IT現代化計畫進展。(圖片來源:摩根大通)</p> </blockquote> <h3>IT現代化計畫邁入尾聲、65%應用程式運作在雲端環境</h3> <p>摩根大通推動IT現代化計畫多年，早在2022年，他們就宣布要加速運用公有雲和私有雲上的運算資源來提高彈性，另一方面也要將過去大型的單體式應用，逐漸轉換成API驅動的模組化架構，重新打造成雲端原生的應用，來提供快速和大規模的交付能力。去年，他們投資近20億美元，在美國打造4個全新且現代化的私有雲資料中心，並計畫要開始關閉效率較低的資料中心。2024年，摩根大通約有一半的應用程式和七成的資料部署在雲端環境。</p> <p>在今年投資日上，Jeremy Barnum表示，目前摩根大通約有65%的應用程式運作在公有雲或私有雲上，相較去年提升了15%。若將運作在虛擬器上的應用程式也納入統計，會有約八成應用程式運作在現代化基礎設施上。同時，Jeremy Barnum也強調，他們幾乎完成了大型傳統資料中心的遷移計畫，並且正在關閉那些資料中心，「現代化計畫的進展，持續在集團的開發速度和敏捷度上帶來顯著效益。」他說。</p> <p></p> </div></div></div>
2025/6/5 19:19作者李昀璇https://www.ithome.com.tw/news/169397
Martech雙周報第76期：Amazon推出新CTV廣告格式，用AI分析影音內容並即時生成符合當下內容的行銷文案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0525~0607)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#CTV廣告 #AI影音內容分析 #跨裝置廣告 #購物廣告</span></span></strong><br /> <strong>Amazon推出新串流媒體廣告格式，用AI分析影音內容並即時生成文案</strong></p> <p><a href="https://advertising.amazon.com/en-us/library/news/ai-pause-format-prime-video/?ref_=a20m_us_libr">Amazon宣布推出一種由AI驅動的新串流媒體廣告格式。這種廣告在觀眾暫停時顯示，內容則是透過AI分析暫停當下的影音內容和廣告主素材，來動態生成相關廣告文案。</a></p> <p>他們還推出其他兩種新串流廣告格式，其一是可以直接從Amazon商店擷取產品細節、價格、優惠、庫存情況和Prime配送信息的購物廣告。觀眾可以看完廣告，在原畫面完成購物結帳。</p> <p>另一種格式則是針對不在Amazon上銷售的品牌，提供一系列互動式行動呼籲廣告。例如，「獲取報價」、「馬上預約」等，並將訊息直接發送到觀眾手機。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#行銷成效追蹤 #注意力追蹤科技 #IAB</span></span></strong><br /> <strong>IAB與MRC共同發布行銷注意力測量指南，為不同注意力追蹤科技定義測量方法與標準</strong></p> <p>美國互動廣告局（IAB）與媒體評級理事會（MRC）合作，<a href="https://www.iab.com/guidelines/attention-measurement/">共同發布《注意力測量指南》草案</a>。此指南由超過200位廣告、媒體和測量領域的專家共同開發，希望為數位行銷業界提供標準的注意力測量與報告框架。</p> <p>指南中涵蓋的測量方法包括數位資料信號、視覺與聽覺追蹤、生理與神經學觀察，以及質化觀察或對談等4大類。並且，依照3大面向來定義注意力測量標準，包括廣告版位所在環境、廣告於環境中的位置，以及廣告內容本身。</p> <p>IAB希望透過此指南提高業界廣告注意力測量透明度、一致性和可比較性。媒體公司、廣告平臺、和測量技術供應商可以此為標準來調整自家服務，廣告主則能用來評估注意力測量工具的品質與效果。此指南開放意見回饋到7月中。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #SEO #搜尋廣告 #關鍵字廣告</span></span></strong><br /> <strong>Google Marketing Live宣布多項AI廣告新功能，AI類搜尋與YouTube成重點戰場</strong></p> <p>Google於5月21日舉辦的Google Marketing Live年會中，再次強調生成式AI在廣告業務中的關鍵角色，宣布多項新功能聚焦於搜尋廣告與YouTube生態系的廣告應用。</p> <p>首先，Google宣布擴展AI Overviews、Google Lens與AI Mode中的廣告版位。Google表示，AI Mode具備對話式互動特性，有助於系統捕捉更細緻的用戶意圖。這個做法，雖然廣告主帶來新流量來源，但也可能加劇零點擊（Zero-click）搜尋情境，對網站經營者與SEO人員造成衝擊。</p> <p>關鍵字廣告部分，Google推出兩項AI Max for Search campaigns新功能。Keywordless Targeting透過語意判斷用戶需求，不依賴既有關鍵字即可觸發廣告；Smart Bidding Exploration則讓AI自動尋找冷門但具潛力的關鍵字競標機會，以降低成本、提高成效。</p> <p>YouTube則強化獲客相關的廣告功能與CTV（聯網電視）購物廣告格式，後者支援用戶於大螢幕觀看同時透過QR Code進行行動裝置購買。另外，還翻新Creator Partnership Hub，讓廣告主可更有效搜尋有意商業合作的YouTube創作者。（<a href="https://www.ithome.com.tw/news/169178">更多生成式AI及數位行銷更新，請詳見全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI搜尋 #短影音行銷</span></span></strong><br /> <strong>YouTube Shorts開始支援Google Lens搜尋功能，可用來導流觀眾到商品或品牌等外部頁面</strong></p> <p><a href="https://support.google.com/youtube/thread/347477687">Google開始測試在YouTube Shorts中加入Google Lens搜尋功能功能。</a>用戶於YouTube行動應用中觀看Shorts時，可以暫停影片後選擇畫面上的Lens選項。隨後，點擊或標註影片中的任何物品或場景，來給Google Lens進行以圖搜圖。這意味著，Shorts這個媒介多出一種導流手段，可以透過行動呼籲等方法，引導觀眾到商品或品牌等外部頁面。</p> <p>在測試階段，這些搜索結果中不會顯示廣告，且該功能不適用於已經包含YouTube Shopping連結或有商品推廣的Shorts。測試版本將於未來幾周內逐步向所有用戶開放。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#遊戲廣告 #AI精準投放</span></span></strong><br /> <strong>Unity推出全新AI廣告平臺Vector，根據遊玩資料來強化廣告精準投放</strong></p> <p>遊戲開發平臺Unity推出旗下全新AI驅動的廣告平臺Vector正式向所有廣告商和開發者開放，用來取代2011年推出的Audience Pinpointer廣告平臺。經過全面重建，Vecotr通過機器學習機制分析大量來自Unity生態系的數據，例如設備數據和遊玩時間、完成的關卡、使用的功能等玩家行為，以強化廣告精準投放。Unity會給廣告主報告，呈現不同地區和受眾的行銷成效。</p> <p>Unity還計畫進一步與更多遊戲開發者合作，來獲取更多遊戲相關數據，以提升平臺廣告投放精準度的表現。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #市場調查</span></span></strong><br /> <strong>Insivia推出AI生成買家平臺BuyerTwin，生成虛擬買家提供回饋，來模擬對真人的市調</strong></p> <p><a href="https://www.insivia.com/insivia-launches-buyertwin-an-ai-platform-to-give-businesses-direct-access-to-virtual-buyer-feedback">AI新創推出AI買家模擬平臺BuyerTwin，結合AI技術及真實世界買家資料，為企業生成虛擬買家，來進行市場調查。</a>平臺提供不同類型的互動模式，讓企業透過虛擬買家來測試自家網站、內容和行銷策略的效果。</p> <p>例如，通過網站反饋，企業可以立即從買家的視角理解網站文案、設計和導航的體驗，進而調整以提升用戶體驗。在內容方面，企業能夠了解哪些主題、格式和溝通角度能吸引買家注意，並解決需求。透過通路行為分析，企業可以發現理想買家花時間在哪些接觸點，以及他們偏好的互動方式。</p> <p>企業還可以進行定位與訊息測試，讓行銷文案更聚焦，消除阻礙溝通的用詞。甚至，從虛擬買家對文案的回饋，了解買家需要如何建立對品牌信任感。企業還可以詢問虛擬買家對競爭對手產品和定位的看法。甚至，可以透過和虛擬買家對話，發掘買家喜歡使用的用字遣詞和搜尋習慣，進一步強化SEO策略。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#跨通路行銷資料 #行銷成效測量</span></span></strong><br /> <strong>The Trade Desk推出提供多種廣告測量數據的免費API，包括廣告能見度和廣告版位環境分析等</strong></p> <p><a href="https://www.thetradedesk.com/uk/news/press-room/the-trade-desk-announces-opensincera">The Trade Desk（TTD）推出OpenSincera，這是個免費API，利用先前收購的廣告測量公司Sincera技術</a>而打造，來提供Sincera原本會提供的多種數據。例如，單一頁面上的廣告數量、平均可見廣告數量、廣告刷新頻率等。此API目標使用族群為包括代理商、出版商、DMP（資料管理平臺）及DSP（需求方平臺）</p> <p>原本，Sincera只會透過免費儀表板提供部分數據，作為吸引企業訂閱自家服務的宣傳。如今，則透過免費API形式提供更多相關數據，讓企業導入到自家其他廣告系統。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#媒體轉型 #生成式AI</span></span><br /> TVBS如何用AI強化媒體經營</strong></p> <p>身處網路通路崛起、科技飛速進步的時代，30年老電視臺TVBS花費5年，用AI改寫自家軟體開發、內容產製、行政管理及商業盈利的流程。背後關鍵，不只是技術部門持續學習最新科技，更是把技術力和應用意願帶給第一線人員，讓公司每一個非技術部門，都有自主用AI創新的能力。</p> <p>這一期封面故事中，我們將介紹TVBS如何將AI應用於數位通路經營，包括利用生成式AI打造數位媒體的互動式體驗、用NLP技術分類網站文章來強化推薦能力等。以及，TVBS如何推動應用AI的風氣到非技術部門中，讓第一線人員能積極接受、應用、學習AI技能，並應用到數位通路經營及數位行銷等業務中。（<a href="https://www.ithome.com.tw/article/169110">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#外部通路廣告 #第一方資料 #RMN</span></span></strong><br /> <strong>PayPal推出Offsite Ads廣告服務，用300多億筆交易資料支援商家在Google等通路投放廣告</strong></p> <p><a href="https://newsroom.paypal-corp.com/2025-04-29-PayPal-Launches-Offsite-Ads-Unlocking-the-Power-of-Transaction-Data-Off-Platform">PayPal近日宣布推出站外廣告服務Offsite Ads</a>，將其4億用戶、每年350億筆交易資料應用於Google、Meta等通路的廣告投放。</p> <p>Offsite Ads利用PayPal自身掌握的消費者支付與購買行為數據，於使用者經常造訪的站外平臺中進行廣告投放。PayPal表示，該服務目前已協助既有商家廣告主在不額外調整內容或素材的情況下，平均提高18%轉換率及35%廣告投資報酬率。</p> <p>此服務還提供包含地區、年齡層、消費習慣等維度的再行銷投放策略選項。PayPal強調，所有用於投廣的數據均經去識別化處理。該服務目前正逐步推向更多商家廣告主，並計畫於今年稍晚整合至PayPal與Venmo等平臺操作介面，進一步簡化廣告投放流程。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://techblog.lycorp.co.jp/zh-hant/introduction-to-mcp-and-building-mcp-server-using-line-messaging-api">LineOA的Messaging API開始支援MCP協定。他們還從頭開始介紹如何架設MCP伺服器，用來打造AI代理應用</a></p> <p>2. Google擴展AdSense for Search投廣通路，將廣告導入第三方AI聊天機器人</p> <p>3. <a href="https://www.prnewswire.com/news-releases/iab-releases-general-terms-for-digital-advertising-agreements-for-public-comment-302458140.html">IAB針對發布更新版的數位廣告協議一般條款，針對近年新興數位廣告交易模式量身打造公版定型化契約</a></p> <p>4. <a href="https://www.prweb.com/releases/emailanalytics-launches-groundbreaking-ai-powered-sentiment-analysis-for-email-communications-302440877.html?utm_medium=email&_hsenc=p2ANqtz-9TKZ90iik4kLdZxT3A7Xhaz0tLv1A5BevgRRPNUSBGQ_QBXLBwz1R066E5X3ACsVG0XKp4thLBZFL8ZLav6V1jro44lw&_hsmi=361378940&utm_content=361378940&utm_source=hs_email">EmailAnalytics推出用AI大量分析Email內用語的情感分析功能，來觀察顧客滿意程度</a></p> <p>5. <a href="https://www.globenewswire.com/news-release/2025/06/04/3093607/31297/en/Taboola-Launches-Predictive-Audiences-As-Part-of-Realize-Offering-Empowering-Advertisers-to-Reach-More-High-Converting-Customers-Advertisers-Including-The-Motley-Fool-and-NerdWalle.html">Taboola廣告平臺推出預測受眾功能，結合廣告主第一方數據與平臺上數據來投廣給轉換潛力較高的新受眾</a></p> <p>資料來源：iThome整理，2025年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon</p> <p></p> </div></div></div>
2025/6/5 18:56作者郭又華https://www.ithome.com.tw/news/169396
駭客組織鎖定DevOps環境而來，濫用Nomad、Docker API等不當配置的情況從事挖礦攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>結合軟體開發及IT維運的DevOps環境，近年來也成為駭客偏好下手的目標，將其中特定系統的運算資源用來挖礦，但如今有人同時針對多套系統發動攻擊。</p> <p>雲端安全公司Wiz揭露<a href="https://www.wiz.io/blog/jinx-0132-cryptojacking-campaign">駭客組織JINX-0132的攻擊行動</a>，這些駭客針對Docker、Gitea、HashiCorp Consul，以及HashiCorp Nomad等DevOps應用程式伺服器而來，利用配置不當的情況或資安弱點來植入挖礦程式XMRig。研究人員指出，這是首度有人濫用HashiCorp Nomad來進行挖礦的活動。</p> <p>HashiCorp Nomad是工作負載編排工具，可用於部署和管理容器化與非容器化應用程式，適用於雲端、內部部署及邊緣環境，號稱簡單易用且能靈活配置。但研究人員特別提及，HashiCorp在相關文件指出，Nomad並非採取預設安全（Secure by Default）的配置，使用者必須自行正確配置各種資安功能。換言之，假若管理員並未採取適當的配置，就有可能讓所有能夠存取API的使用者隨意建立或執行工作排程，這種沒有任何管制的狀態下，形同開放用戶遠端在Nomad及節點上執行任意程式碼（RCE）。</p> <p>而JINX-0132下手的對象，主要是曝露在網際網路、使用預設組態而未套用HashiCorp建議配置的Nomad伺服器API他們在受害主機建立多項新的工作，從GitHub儲存庫下載XMRig並授予權限，然後執行挖礦工作，並連線到公開的門羅幣礦池。研究人員提及，攻擊者並未使用自己打造的惡意酬載或是伺服器，因此唯一識別駭客活動的管道，就是他們的加密貨幣錢包。</p> <p>此外，攻擊者還濫用配置不當Docker API，呼叫特定的端點，例如：/containers/create、/image/create來啟動惡意容器，而這些配置不當的Docker，管理者往往僅透過快速上手指引部署，從而曝露tcp://0.0.0.0:2375（或2376埠己，使得攻擊者有機會遠端執行任意程式碼。</p> <p>針對Git儲存庫Gitea的部分，研究人員認為JINX-0132可能是利用CVE-2020-14144或配置不當的情況，取得伺服器的初期入侵管道。這些技術讓攻擊者能夠遠端執行惡意程式碼，並確保挖礦活動持續進行。</p> <p>對於HashiCorp Consul的環境，攻擊者利用錯誤配置來註冊惡意服務，並透過健康檢查機制執行bash命令，下載並執行XMRig。這些攻擊手法顯示，許多企業的DevOps環境仍然存在嚴重的安全漏洞。</p> <p>究竟這波攻擊行動的曝險範圍有多大？Wiz研究人員未公布明確的數字，但他們提及全球約有8成雲端環境採用Docker、逾20%採用Consul；四分之一採用上述提及的Consul、Gitea，或是Nomad。而採用這些DevOps工具的環境，約有5%直接曝露於網際網路，其中有三成存在組態配置不當而曝險。為了更具體呈現JINX-0132的威脅規模，Wiz研究人員使用物聯網搜尋引擎Shodan尋找可能遭殃的系統，他們發現有5,319臺Consul伺服器、405臺伺服器曝露於網際網路，這些系統有可能已淪陷。</p> </div></div></div>
2025/6/5 16:40作者周峻佑https://www.ithome.com.tw/news/169391
【資安日報】6月5日，Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客組織鎖定的郵件伺服器系統，多半以微軟的Exchange為主，但最近兩到三年，有越來越多駭客針對Roundcube、Zimbra等開源解決方案而來，因此這類系統若是出現資安漏洞，也相當值得留意。</p> <p>最近有資安業者發現Roundcube重大層級漏洞，值得留意的是，由於不光是IT人員用來架設郵件伺服器，再加上有其他應用系統如主機管理平臺cPanel、Plesk整合Roundcube，亦有Yandex.Mail、Zoho Mail等服務採用，因此這種漏洞的影響範圍會相當可觀。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169384"><strong style="font-size: 22px;">勒索軟體Lyrix用Windows內建API對電腦發動攻擊，回避偵測、防止研究人員分析</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomware28-19.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomware28-19.jpg" style="width: 300px; float: right;" /></a>勒索軟體攻擊極為氾濫，許多企業會透過各式資安防護系統與備份機制因應，但道高一尺，魔高一丈，駭客也採取更難被偵測的手法犯案，其中最常見的手法，就是自行攜帶存在已知弱點的驅動程式（BYOVD），藉此停止EDR端點代理程式的運作。</p> <p>但除了透過BYOVD對EDR下手，駭客也會濫用作業系統內建合法元件或功能來掩人耳目，最近資安業者Cyfirma揭露的勒索軟體Lyrix，就是這樣的例子。駭客從試圖對抗研究人員的虛擬機器和沙箱，以及隱匿行蹤與迴避資安系統偵測的手段，基本上幾乎都是透過Windows內建的API來達到目的。</p> <p>駭客如何用OS內建API？用了哪些API進行攻擊？研究人員指出，駭客透過VirtualProtect偵測是否在虛擬機器執行，並使用GetCurrentProcess、TerminateProcess控制惡意程式的運作，或是進行權限提升、把惡意程式碼注入到特定處理程序的情況。接著，駭客使用GetDriveTypeW、FindNextFileExW從受害電腦找出想要加密的資料。</p> <p><a href="https://www.ithome.com.tw/news/169363"><strong style="font-size: 22px;">自動化資安合規業者Vanta軟體出錯，導致部分客戶資料能被其他用戶存取，受影響的企業可能有數百家</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/compliance-platform-vanta-exposes-customer-info-via-software-bug-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/compliance-platform-vanta-exposes-customer-info-via-software-bug-1.jpg" style="width: 300px; float: right;" /></a></p> <p>為了確保能夠符合資安法規及相關要求，有些企業可能會導入自動化資安合規平臺因應，然而這類系統一旦出錯，很有可能導致一些意想不到的資安問題。</p> <p>根據資安新聞網站HackRead的報導，自動化資安合規業者Vanta近日確認，其系統內部的程式碼錯誤導致部分客戶的敏感資料，可被其他客戶存取。該公司強調，這起事件並非外部攻擊，而是由於產品程式碼變更所引發的問題。</p> <p>Vanta於5月26日察覺此事，並立即展開調查與修復作業。針對影響的範圍，Vanta表示，受影響的資料來自第三方整合，約占不到20%，而受影響的客戶不到4%。由於Vanta擁有超過1萬個客戶，這意味著可能有數百家企業受到影響。</p> <p><a href="https://www.ithome.com.tw/news/169378"><strong style="font-size: 22px;">Coinbase資料外洩事故傳出新消息，2名印度客服外包業者TaskUs員工涉案</strong></a></p> <p>5月15日大型加密貨幣交易所Coinbase向美國證券交易委員會（SEC）通報，他們的海外客戶支援的約聘人員或員工遭到賄賂，在沒有業務需求的情況下存取特定內部系統，盜走客戶資料給他人使用。Coinbase指出他們在5月11日收到勒索信，對方索討2千萬美元，換取不公開這起資料外洩事故及竊得的資料，後續Coinbase於21日透露，有近7萬名用戶受到影響。如今，這起事故傳出進一步的消息。</p> <p>根據路透社的報導，這起事故發生在印度客服委外業者TaskUs，事故起初是在今年1月發現，當時一名員工被發現使用個人裝置拍下電腦畫面，而使得竊取Coinbase用戶資料的活動東窗事發。隨後TaskUs展開調查，有兩名員工坦承犯案，將Coinbase用戶的敏感資料提供給駭客，並收受賄賂。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-use-gh0st-rat-to-hijack-internet-cafe/">韓國網咖遭到Gh0st RAT挾持，被用於挖礦牟利</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/fake-booking-com-sites-spread-asyncrat-malware/">惡意軟體AsyncRAT透過冒牌Booking.com散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/russian-hacker-black-owl-targets-critical-industries/">烏克蘭駭客Black Owl針對俄羅斯企業而來，意圖竊取財務資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.rapid7.com/blog/post/2025/06/03/from-ideology-to-financial-gain-exploring-the-convergence-from-hacktivism-to-cybercrime/">以政治訴求為動機的駭客轉換跑道，從事勒索軟體攻擊牟取經濟利益</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169358"><strong style="font-size: 22px;">郵件伺服器Roundcube存在10年重大漏洞，逾5,300萬主機恐曝險</strong></a></p> <p>資安業者Fears Off揭露的Roundcube後身分驗證漏洞CVE-2025-49113，通過身分驗證的攻擊者有機會濫用此項弱點，遠端執行任意程式碼（RCE），CVSS風險高達9.9分（滿分10分），Roundcube開發團隊獲報後，於6月1日發布1.6.11、1.5.10版修補。研究人員指出，這可能是該郵件系統近期最嚴重的漏洞之一。</p> <p>值得留意的是，此漏洞不僅相當嚴重，影響可能還相當廣泛。Fears Off指出，這項弱點影響2015年推出的1.1.0版，換言之，近10年的Roundcube都可能曝險；再者，此郵件系統不光是IT人員用於架設郵件伺服器，也是cPanel、Plesk、ISPConfig、DirectAdmin等管理工具的內建元件，因此研究人員估計，全球可能有超過5,300萬臺伺服器曝險。</p> <p><a href="https://www.ithome.com.tw/news/169379"><strong style="font-size: 22px;">IBM資安平臺QRadar Suite存在重大權限提升漏洞</strong></a></p> <p>6月4日IBM發布資安公告，指出旗下資安平臺QRadar Suite、Cloud Pak for Security存在6項資安漏洞，其中，列為重大層級的CVE-2025-25022最為嚴重，CVSS評分高達9.6，允許未經驗證的攻擊者存取系統中的高度敏感資訊，該公司強調這些漏洞沒有其他緩解措施，呼籲用戶升級至1.11.3.0版因應。但為何兩款獨立的資安平臺會被同一批弱點影響，IBM並未進一步說明。</p> <p>針對CVE-2025-25022帶來的影響，IBM指出未經授權的攻擊者能從組態檔案取得高度敏感資訊，但這些敏感資訊為何？根據該公司歸納的弱點類型，為組態檔案裡的密碼（CWE-260），換言之，攻擊者可能藉此得到特定的帳密資料，進行未經授權的存取。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/azure-openai-dns-resolution/">由Azure代管的OpenAI環境存在DNS解析邏輯出錯，恐導致租戶資料外洩、中間人攻擊</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169323"><strong style="font-size: 22px;">微軟、CrowdStrike合作彙整駭客代號對照表</strong></a></p> <p>在不同的資安業者或研究機構裡，研究人員往往會使用自己偏好的命名來代表駭客組織，這樣的情況長期在資安產業當中造成混亂，嚴重影響防守方的資訊溝通。微軟自2023年<a href="https://www.ithome.com.tw/news/156487">採用氣候型態歸納不同國家的駭客組織</a>後，最近他們又有新的動作。</p> <p>6月2日微軟、CrowdStrike宣布合作發展駭客名稱的對照表，方便網路攻擊與防禦資訊更快速分享。這份對照表包含微軟和CrowdStrike追蹤的駭客組織清單，以及各自如何分類，並且根據彼此的分類方式建立對照表。雙方表示，這參照指引並不是要建立單一命名共通標準，而是希望起頭帶動業界不同命名系統相互「翻譯」，使資安防禦運作更快速，尤其對那些需要整合多家廠商提供網路攻擊資訊的環境中。透過彼此命名的參照，可更有效辨識攻擊者、簡化多平臺和報表的關聯，以及加速建立防禦工事。</p> <p>繼微軟和CrowdStrike宣布此事，Google及Mandiant、Palo Alto Networks也表態，他們將會加入合作的行列。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169365"><strong>【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169343"><strong>【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169309"><strong>【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</strong></a></p> </div></div></div>
2025/6/5 16:52作者周峻佑https://www.ithome.com.tw/news/169392
IBM資安平臺QRadar Suite存在重大權限提升漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月4日IBM發布資安公告，指出旗下資安平臺QRadar Suite、Cloud Pak for Security<a href="https://www.ibm.com/support/pages/node/7235432">存在6項資安漏洞</a>，其中，列為重大層級的CVE-2025-25022最為嚴重，CVSS評分高達9.6，允許未經驗證的攻擊者存取系統中的高度敏感資訊，該公司強調這些漏洞沒有其他緩解措施，呼籲用戶升級至1.11.3.0版因應。但為何兩款獨立的資安平臺會被同一批弱點影響，IBM並未進一步說明。</p> <p>針對CVE-2025-25022帶來的影響，IBM指出未經授權的攻擊者能從組態檔案取得高度敏感資訊，但這些敏感資訊為何？根據該公司歸納的弱點類型，為組態檔案裡的密碼（CWE-260），換言之，攻擊者可能藉此得到特定的帳密資料，進行未經授權的存取。</p> <p>另一個被列為高風險的漏洞CVE-2025-25021，也值得留意，此漏洞發生的原因在於不當產生程式碼，使得具備特殊權限的攻擊者能夠執行程式碼，風險值為7.2。</p> </div></div></div>
2025/6/5 11:33作者周峻佑https://www.ithome.com.tw/news/169379