iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 19篇
近 24 小時: 25篇
近 7 天: 139篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 138 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Palo Alto Networks修補安全瀏覽器、SSL VPN高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月12日資安業者Palo Alto Networks發布7則<a href="https://www.cyber.gc.ca/en/alerts-advisories/palo-alto-networks-security-advisory-av25-338">資安公告</a>，針對旗下的安全瀏覽器Prisma Access Browser、SSL VPN系統GlobalProtect、防火牆作業系統PAN-OS進行修補，其中有兩則被列為高風險的公告內容，特別值得留意。</p> <p>根據CVSS風險評分，最危險的是該公司<a href="https://security.paloaltonetworks.com/PAN-SA-2025-0011">為Prisma Access Browser修補的一系列資安漏洞</a>，4.0版風險值達到8.6分，影響136.24.1.93以下版本Prisma Access Browser，他們發布了137.16.2.69版予以修補。這些漏洞總共有12個，大部分源自Google近期發布的Chromium更新，僅有CVE-2025-4233是Prisma Access Browser獨有的弱點。值得留意的是，其中的<a href="https://www.ithome.com.tw/news/168977">CVE-2025-4664</a>、<a href="https://www.ithome.com.tw/news/169349">CVE-2025-5419</a>，Google在公布漏洞的時候就提及已遭利用的情況。</p> <p>另一項高風險弱點影響macOS版GlobalProtect用戶，<a href="https://security.paloaltonetworks.com/CVE-2025-4232">此漏洞登記為CVE-2025-4232</a>，為通過驗證的程式碼注入漏洞，影響6.2、6.3版GlobalProtect應用程式，此漏洞發生的原因，在於事件記錄收集功能的萬用字元（Wildcard）中和處理機制不當，一旦攻擊者取得非管理員權限的使用者帳號，就有機會透過macOS版GlobalProtect用戶端程式將權限提升為root，風險值為7.1。</p> <p>值得留意的是，除了套用相關更新，這些漏洞沒有其他替代的緩解措施，因此IT人員要儘速採取行動因應。</p> </div></div></div>
2025/6/13 11:56作者周峻佑https://www.ithome.com.tw/news/169543
臺中捷運要整合IT和OT，自建中捷雲瞄準數位雙生戰情室
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用最少的資源，做最多的事，這是許多企業面臨的日常挑戰，也是臺中捷運IT正在解決的難題。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>草創的逆境：從0到1的IT建置</strong></span></span></p> <p>臺中捷運公司（簡稱中捷）在2017年成立，是臺中市政府百分百持股的公營事業，由臺北市政府捷運工程局負責首條路線工程。2018年底成立資訊室，他們找來北捷工作25年的老將林永盛，擔任維修處處長和資訊室主任，帶領團隊，要趕在2020年底實現通車目標。</p> <p>在這段草創期，中捷延攬來自北捷、高捷、桃捷、高鐵的人才，組成共18人的IT團隊，拼在短時間內建置各項系統。他們採取核心系統自行開發、其餘委外的方式來爭取時間，比如維修管理、倉儲物料管理、採購管理和財產管理等4大核心系統自行開發，官網、人資、財會等行政系統委外，用1年半時間建置流程和系統上線，最終趕在通車期限內完成。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>收回開發主導權，也自建核心系統整合資料</strong></span></span></p> <p>2024年底林永盛退休，由臺中捷運公司資訊處副處長安晉萱接棒，帶領IT團隊。安晉萱回顧，草創時期中捷人力不足、系統開發經驗有限，再加上通車迫在眉睫，不得不將部分系統委外建置。但他們很清楚，這不是長久之計。</p> <p>所以，通車一年後，也就是2021年，中捷資訊室轉型資訊處，精實人力至15人，啟動系統回收計畫，將委外的系統一套套接手，比如人資系統、財會系統和官網，已經收回團隊手中自行維運。中捷App由於變動頻繁，改採「部分委外、部分自建」的模式維運。</p> <p>在中捷IT逐步掌控系統開發權的同時，他們還有另一項重要任務，要整合原本自行開發和委外的系統資料。</p> <p>其中一例就是中捷目前2大核心系統之一的BIMMS系統，這是一套由資訊處主導設計、自行開發的建物資訊維修管理系統，也是中捷系統資料整合的起點。它以工單為中心，負責工單的蒐集和處理，支援所有營運維修的開工到完工流程，可說是「維修—領料—報銷—帳務」流程的中樞系統。</p> <p>這套BIMMS還串接了草創期自建的核心系統資料，包括維修管理、倉儲物料管理、採購管理和財產管理等4大系統。採購用料後（如列車、號誌，通訊，月臺門、水電等設備），用料資訊會儲存在倉儲物料管理系統，當設備出現問題需報修時，維修管理系統會查詢倉儲物料系統，扣除所用新物料數量，也紀錄舊用料的報廢結果，最後再回到財會系統處理。</p> <p>BIMMS整合了大部分流程，舉例來說，當列車或月臺發生設備故障，BIMMS會記錄工單、從倉儲系統抓取領用料件資料，接著人員判斷是否需報廢，並在年終時將用料資料交由會計出帳。可以說這整套機制，原先依賴4大系統分散處理，現已逐漸整合進BIMMS系統流程，只是有些地方仍須人工處理，只差一步就能全程自動化。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>更深入的整合：打造中捷雲</strong></span></span></p> <p>也因此，中捷IT並未止步於系統維運，他們打算以BIMMS為核心，展開更深入的系統整合，串起倉儲管理、報銷、財會和OT，甚至是人資和差勤紀錄等資訊，打造一套可追蹤資產消耗、料件流動、維修效率和營運動態的戰情室儀表板，為數位雙生奠定基礎，這正是安晉萱的年度大目標。</p> <p>他解釋，這個願景源自交通部鐵道局去年發起的國家智慧鐵道系統發展計畫，鐵道局要建置一朵鐵道雲，打造跨機構、可即時交換資料的監理平臺。也就是說，鐵道雲計畫要將全臺所有鐵道和捷運整合到統一架構，包括高鐵、臺鐵、林鐵，北捷、桃捷、中捷、高捷等，由這些單位各自建置一朵雲，來與鐵道雲即時交換重要資訊。</p> <p>鐵道局的目標是實現事故即時回報。過去，臺鐵等單位常因事故無法即時上報，只能透過後續報告讓主管機關「回溯追蹤」，未來透過鐵道雲整合資料，就能讓鐵道局在第一時間掌握事故狀況，比如事故地點、列車資訊，來加快反應能力。</p> <p>因此，中捷也開始規畫「中捷雲」私有雲平臺，明年展開相關系統整合，順便帶動自己的IT升級。安晉萱指出，他們初期會截取、提供車站與列車的基本運行狀態資料，作為鐵道雲交換內容的第一步。</p> <p>這朵中捷雲建置完成後，中捷IT打算在資訊整合基礎上，開發SaaS軟體應用，打造一套類似數位雙生的戰情室儀表板，來為不同團隊提供所需資訊。比如針對管理階層，即時呈現耗料、存料、載運人流和營收等數據，讓高層一眼掌握，不必等到年底結算才知道成本盈虧。又或是針對維修團隊，即時呈現維修狀態、列車狀態、裝置狀態、電力狀態等資訊。</p> <p>然而，這項計畫還有不少挑戰。安晉萱坦言，系統整合所需資源與費用遠高於目前獲得的預算，更棘手的是設備本身的技術限制。因為，不少列車來自國外廠商，採封閉式設計，無法輕易取得資料，「就像你想讀Windows的底層介面，但微軟沒有提供API一樣，」他舉例。即便捷運公司花錢買了這些系統，想要將資訊整合進中捷雲、鐵道雲依然困難重重，需要與原廠長期溝通。</p> <p>制度上的隔閡也是鐵道雲一大變數。臺灣現行鐵道體系分屬不同法規管理，比如臺鐵適用鐵路法，而捷運系統則是大眾捷運法。這導致資料交換權責分工出現模糊地帶，各單位對法條解讀也不盡相同，「還需要很多磨合。」</p> <hr /> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0613_%E5%AE%89%E6%99%89%E8%90%B1_600.jpg" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>持續推動流程再造和無紙化</strong></span></span></p> <p>中捷雲的資訊整合目標，也與他們內部流程的改造息息相關。在制度尚未完全成熟的草創期，中捷資訊處將系統按職能拆分為財會、採購、倉儲、運管等模組設計，「在同一單位裡可以一條龍操作，」但涉及跨單位協作，就會出現斷點，資訊無法順暢流通。</p> <p>於是，流程整合、再造也成為中捷IT重要任務，要讓「跨單位作業也能一條龍完成。」安晉萱指出，目前計畫優先整合的系統，包括官方網站的後臺管理、報修與耗材申請、財會、採購等。</p> <p>這種流程再造，還會帶動更多無紙化發展。他舉例，初期許多系統就採無紙化設計，但因法規、審核和組織慣性，有些流程仍仰賴紙張，像是財會、採購等需要紙本存檔，或是單純的離職單也需要跨單位蓋章、跑流程。</p> <p>在流程改造的過程中，他們的目標是將紙張用量降到最低，首先瞄準離職單的全面電子化。安晉萱強調，只有將這些流程數位化整合，才能支撐即時決策所需的資訊基礎。但要做到這一點，IT需耐心協調。「每個部門的流程、權限和習慣不同，有些當初為了操作方便，刻意的簡化設計。現在為了重新整合，還需要討論、調整。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>為藍線擴充做準備</strong></span></span></p> <p>最近，中捷藍線已完成標案，要進入設計階段。安晉萱說，目前藍線僅確定車站數，還未確定詳細設備與人力擴增規模，但未來維修部門和IT人力，勢必會增加。為支援這些人員的行政作業，中捷IT也投入行動化服務，比如擴展差勤App，減少人員對PC的依賴。</p> <p>不單是IT，藍線擴建也需要OT整合，這是一個難度高的任務，因為每條路線的建置廠商系統不同，若不整合，則需兩套人力；若要整合，可能需要額外費用，需高層決策。中捷的主要OT有幾類，如列車自動控制系統（ATS）、電力控制系統、水電空調環控系統（ECS），以及車輛維護系統，其中最核心的是列車自動控制系統，攸關營運安全和運載效率。</p> <p>中捷執行這些OT時，主要依循廠商提供的標準操作程序，但部分操作流程與實務仍有落差。因此，中捷希望分析系統運作過程中的各種狀況，從中累積經驗，將實務案例整理為可系統化學習的經驗資料庫，讓新進或現有人員快速掌握應對方式。</p> <p>而他們的初步策略是靠中捷雲計畫練兵，先截取系統資訊，逐步建立基礎資料架構，未來再評估加入其他資料整合與模擬技術，來提高營運效率。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>拼精實管理</strong></span></span></p> <p>這一切策略，都離不開中捷董事長2年前提出的精實管理改革。安晉萱解釋，精實管理並非單純的節流作法，而是從根本檢討每一個流程與操作，消減不必要或重複多餘的步驟，來提高效率、降低能耗和支出。「現在正在進行流程精煉。」安晉萱解釋，他們會重新審視每一段作業，比如這個動作是否必要？是否造成時間浪費？或是導致系統負荷過大？減少不必要的步驟，不只能節省時間和人力，也能降低CPU運算負載，進而節能減碳，兼顧ESG。</p> <p>精實管理的精神也落實到中捷的私有雲規畫上，資訊處打算將現有的虛擬機轉移至雲端，來提高系統整合效率和營運韌性，同時降低伺服器運維成本。「目標是所有系統整合後，能全年無休地穩定運作。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>關注AI新技術，但持謹慎態度</strong></span></span></p> <p>在專訪過程中，安晉萱不只一次提到「經費」，他並非抱怨，而是清楚指出經費是公部門IT創新的天花板。「中捷本業靠人流運輸，運價成本高，但票價低、副業收入有限，砸大錢搞創新要仔細評估效益。」也因此，他對近來各產業紛紛擁抱的生成式AI等新技術，都持開放但審慎的態度。他鼓勵同仁嘗試生成式AI、關注國際鐵道AI實例，就連自己也研究不少國外鐵道運用AI的成效，但不會讓新技術主導營運邏輯。</p> <p>「AI不是不能用，而是要清楚想達成的效果，」他指出，常見的鐵道AI用例為預防性維護，但目前中捷設備還新，資料量也還在累積，因此比起投入昂貴的新技術，不如先顧好基本營運流程，減少浪費、延長設備壽命。文⊙王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> CIO小檔案 </span></strong></span></p> <p><strong>臺中捷運公司資訊處副處長安晉萱</strong></p> <p>學歷：成大地球科學研究所畢業</p> <p>經歷：1997年起先後任職於倚天資訊、歐特斯科技、凌群電腦等公司，2002年加入臺北捷運票務系統團隊，歷任工程師至系統組組長，2017年轉任鴻海精密富連網經理。2019年先後任職臺中捷運票務中心正工程師、維修處電子廠廠長，2024年起擔任資訊處副處長</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 公司檔案 </span></strong></span></p> <p><strong>臺中捷運公司</strong></p> <p>●地址：臺中市北屯區松竹路一段1000號</p> <p>●成立時間：2017年</p> <p>●網址：<a href="http://www.tmrt.com.tw">www.tmrt.com.tw</a></p> <p>●主要業務：捷運運輸業及相關附屬事業</p> <p>●員工數：約850人</p> <p>●資本額：35億元</p> <p>●董事長：顏邦傑</p> <p>●總經理：朱來順</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門名稱：資訊處</p> <p>●資訊部門人數：15人</p> <p>●資訊部門分工：開發應用課、系統維護課</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> IT大事記 </span></strong></span></p> <p>●2017年：臺中捷運公司正式成立</p> <p>●2018年：招募系統、人資系統上線</p> <p>●2019年：先後完成本部行政網路建置、企業入口網EIP上線、電子郵件系統上線、維修管理系統上線</p> <p>●2020年：倉儲物料管理系統、採購管理、財產管理上線、進場管制系統先後上線；6月官網上線；車站行政網路建置完成；10月完成交通部履勘，11月獲營運許可</p> <p>●2021年：臺中捷運綠線3月25日起全線18個車站開放免費試乘30天，4月25日正式通車營運。同年通過ISO 27001:2013資安管理系統驗證</p> <p>●2022年：自建教學平臺</p> <p>●2023年：行動差勤APP上線</p> <p>●2024年：臺中捷運通過ISO 27001:2022資安系統驗證，再度獲得最新版資訊安全管理系統國際標準驗證，同年電子發票系統上線</p> <p>●2025年：資訊系統整合規畫與中捷雲建置規畫進行中</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0613_an_jin_xuan_960.jpg" width="960" height="420" alt="" title="臺中捷運公司資訊處副處長安晉萱" /></div></div></div>
2025/6/13 10:31作者王若樸https://www.ithome.com.tw/people/169536
不只數位信任失效，更是顧客信任崩壞
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/article/169532" target="_blank"><span style="color:#3366ff;">這周我們緊急更換封面，換成了中華電信兩張根憑證遭Google撤銷的深入報導</span></a>，這是臺灣第一起重大商用憑證的信任危機事件。</p> <p>Google 撤銷中華電信憑證信任，不是源自單一事件的決定，而中華電信在憑證作業上，長期的「不合規」行為和「誠信」問題所致。甚至更像是，為了彌補一個小錯誤，連帶衍生許多大問題，才導致的信任雪崩。</p> <p>我們資安主筆黃彥棻深入剖析了重要造成信任崩壞的原因。</p> <p>第一個也是最初的原因是，憑證擴充欄位問題。政府委托給中華電信維運的政府伺服器數位憑證管理中心（GTLSCA）所發的憑證欄位有問題。這其實不是太大的問題，國外其他憑證中心也曾發生憑證資訊不正確而需更換，只要「及時換新憑證」，本來就是例行維運會遭遇的可控事件。</p> <p>這個「及時」，依照主要瀏覽器供應商共組成的社群合規規範（BRs）要求，問題憑證最快一天，最慢必須在「五天」內完成廢止。這是為了信任考量，不想讓失效的憑證流通在外，削弱使用者對憑證機制的信心，就像發現了一批偽造身分證，要趕快找出來銷毀，免得大眾對身分證的有效性產生懷疑，就會帶來更全面性的信任風險。</p> <p>但是，中華電信處理憑證問題時，多次（至少兩次）無法遵循此一時效，甚至以「憑證用於塔臺」作為延期理由，事後被揭穿與憑證可用規定不符，中華電信才改口用於航班網站。這些未依社群公約處理的行為及不實藉口，讓Google認定是更嚴重的「誠信」問題，而不只是技術問題。這是造成憑證撤銷的第二個原因。</p> <p>中華電信維運GTLSCA時，因出錯需要廢止的憑證多達數千張，而且不只一次，第一次來延遲撤消作業時，中華電信曾對社群承諾會改進，卻又再次發生延遲。問題重複發生，但中華電信內部沒有任何矯正預防措施，甚至外部稽核人員進行內部稽核時發現，中華電信沒有留下因應紀錄。</p> <p>早在2024年11月，數發部委托第三方稽核的2024年政府伺服器數位憑證管理中心外部稽核報告中就提到，從2023年10月後，委外維運的中華電信發生兩起憑證撤銷作業，都未能在5天內完成作業，而是各花了一個月。兩次各只有一份文件，連時間軸紀錄都沒有。而且到2024年7月23日前沒有任何矯正或預防措施。看到這樣的稽核保留意見，難怪數發部要趕快建立憑證備援機制。</p> <p>大規模作業重複出錯沒有改善，甚至不敢留下詳細紀錄，更凸顯了中華電信憑證作業內部管理機制失效了，這是第三個原因。</p> <p>還有一點值得留意的是，中華電信自己維運的「ePKI商用憑證」沒有發生同樣的問題，而另一個負責承包政府GTLSCA的維運團隊卻出包，導致「商用沒問題，政府用的有問題」的弔詭情況，這凸顯出中華電信不同部門溝通不良的組織管理問題。</p> <p>無法遵守社群規範，又提供不實理由，更缺乏有效內控，導致Google失去對中華電信的數位信心，才會不只撤銷了次級憑證管理中心GTLSCA的根憑證，連同上屬的中華電信商用憑證ePKI Root CA根憑證都被撤銷。</p> <p>對維運人員來說，更換網站安全憑證不難，只是有點費工，需要一些時間，<a href="https://www.ithome.com.tw/news/138197" target="_blank"><span style="color:#3366ff;">過去也曾有不少網站的憑證過期、</span></a>失效事件，<a href="https://www.ithome.com.tw/news/135636" target="_blank"><span style="color:#3366ff;">像Teams在2020年就曾因SSL憑證過期，當機3小時</span></a>，影響2千萬用戶，找到問題後，1小時就完成換新。</p> <p>許多企業長年租用中華電信機房、網路，多半順便租用相關的網路憑證，尤其是政府機關及其外包廠商。大型臺灣企業也多半選用臺灣在地的網路憑證業者，不是臺網就是中華電信的憑證。</p> <p>目前使用中華電信所發憑證的商用網站，短期內沒有失效的風險。但若「忘了」換新，明年憑證期限一到，恐怕就會像Teams一樣，網站突然當機數小時。</p> <p>平常忙碌的電商平臺，醫院掛號網站（過去曾發生過醫院網站因憑證過期而當機）一但當機，會大大影響了所有顧客和病人，這就不只是數位信任的失效，更是顧客信任的崩壞。不只是用了問題商用憑證的企業，對中華電信失去信心，也恐怕會連帶波及這些企業的顧客的信賴感。</p> <p><a href="https://www.ithome.com.tw/article/169532" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1238-feng_mian_gu_shi_-p1yan_fen_-open-960x420_kao_bei_0.jpg?itok=z05oezfs" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%86%91%E8%AD%89%E9%81%8E%E6%9C%9F">憑證過期</a></div><div class="field-item odd"><a href="/tags/%E7%95%B6%E6%A9%9F">當機</a></div><div class="field-item even"><a href="/tags/%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1">中華電信</a></div><div class="field-item odd"><a href="/tags/epki">ePKI</a></div><div class="field-item even"><a href="/tags/gtlsca">GTLSCA</a></div><div class="field-item odd"><a href="/tags/%E6%94%BF%E5%BA%9C%E4%BC%BA%E6%9C%8D%E5%99%A8%E6%95%B8%E4%BD%8D%E6%86%91%E8%AD%89%E7%AE%A1%E7%90%86%E4%B8%AD%E5%BF%83">政府伺服器數位憑證管理中心</a></div><div class="field-item even"><a href="/tags/google">google</a></div><div class="field-item odd"><a href="/tags/%E6%A0%B9%E6%86%91%E8%AD%89">根憑證</a></div><div class="field-item even"><a href="/tags/%E6%92%A4%E9%8A%B7">撤銷</a></div></div></div>
2025/6/13 10:42作者王宏仁https://www.ithome.com.tw/voice/169538
趨勢科技修補影響端點加密、安全管理中心產品多項高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趨勢科技本周發布產品更新，分別修補影響端點加密Endpoint Encryption及安全控管平臺Apex Central的多項高風險甚至重大漏洞。</p> <p>趨勢科技分別透過二項安全公告來修補漏洞。編號CVE-2025-49211到CVE-2025-49218，<a href="https://success.trendmicro.com/en-US/solution/KA-0019928" target="_blank">影響Trend Micro Endpoint Encryption（EMEE）PolicyServer元件</a>。其中CVE-2025-49212、CVE-2025-49213、CVE-2025-49214及CVE-2025-49217為反序列化（deserialization）漏洞，攻擊者以未信任資料觸發不安全反序列化，導致驗證前的遠端程式碼執行（RCE）。這些漏洞類似，但反序列方法不同。四項漏洞除CVE-2025-49214為8.8風險值外，其他三者CVSS 3.1風險值達9.8。</p> <p>CVE-2025-49216為驗證繞過漏洞，使攻擊者以管理員身份修改產品配置，本漏洞風險值亦為9.8。另二項漏洞中，CVE-2025-49215和CVE-2025-49218為SQL指令注入提權漏洞，CVSS 3.1風險值各為8.8和8.7。</p> <p><a href="https://success.trendmicro.com/en-US/solution/KA-0019926" target="_blank">影響Apex Central的另一批漏洞</a>為CVE-2025-49219及CVE-2025-49220，二者皆為反序列漏洞，可導致前驗證的遠端程式碼執行，兩者類似但方法不同，風險值皆為CVSS 3.1 9.8。</p> <p>趨勢科技表示，上述漏洞皆沒有已被濫用的跡象。趨勢科技已釋出更新修補漏洞，雖然其中有些漏洞需要攻擊者具備權限，或是實際存取到系統，但業者強烈建議用戶儘速安裝最新版本軟體。</p> </div></div></div>
2025/6/13 09:59作者林妍溱https://www.ithome.com.tw/news/169533
【美國AMD全球發表會直擊】AMD發表採用CDNA 4新架構的資料中心AI加速器MI350系列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AMD在美國聖荷西市正式發表了採用新一代CDNA 4架構的資料中心AI加速器Instinct MI350系列，採用3奈米製程，內含1,850億電晶體，相較於前一代提升4倍的AI運算能力，35倍的推論能力提升，而因應資料中心大量AI運算需求持續增加，AMD大膽預告其機架級產品的能源效率，將以2030年提升20倍能源效率為目標。</p> <p>AMD執行長蘇姿丰指出，到2028年預估全球AI推論需求年複合成長率將超過80%，綜合AI訓練及推論需求，全球資料中心的AI加速運算市場年複合成長將超過60%，預計到2028年全球AI資料中心加速運算市場規模將成長到超過5,000億美元的規模。</p> <p>蘇姿丰進一步說明AMD的AI市場3大策略，首先是提供AMD的CPU、GPU、DPU各種運算產品組合，其次是支援各種函式及模型，以擴大支援建立開放生態系，最後是提供完整的軟體及硬體方案，以支援各種的AI創新應用發展。</p> <p>產品方面，AMD更新旗下的資料中心Instinct系列AI加速器產品。自2023年推出Instinct MI300系列，去年更推出標榜效能更佳的Instinct MI325X，均採用CDNA 3架構，而在今年美國聖荷西舉辦的全球發表活動，AMD如預期正式發表Instinct MI350系列GPU，將Instinct AI加速器架構推進至新一代的CDNA 4架構。</p> <p>新的CDNA 4架構特別針對GenAI及LLM改善矩陣引擎，並且新增資料格式，以支援混合精度運算，不僅如此，在新架構中也改善Infinity Fabric及先進封裝連接能力，綜合這些新增及改進，帶來能源效率方面的提升，特別是在資料中心的能源限制之下，提高AI加速運算效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-06-12%20%E4%B8%8A%E5%8D%881_33_06.jpeg" style="width: 600px; height: 330px;" /></p> <p>在新的架構設計特色之下，新的MI350系列GPU內部整合8個XCD(Accelerator Complex Die)，每個XCD有32個CDNA 4 CU(Compute Units)，加快AI推論及訓練能力，FP4及FP6之下效能達到20PF，AMD宣稱其效能要比前一代的MI325X提高4倍。</p> <p>MI350系列整合的HBM3E記憶體容量也有提升，從MI325X的256GB HBM3E記憶體，在CDNA 4架構改進之下增加至最高288GB HBM3E記憶體，頻寬達每秒8TB，使得單一GPU能夠支援520B參數規模的AI模型。</p> <p>相較於舊的CDNA 3架構MI300系列GPU，採用新架構的MI350系列GPU，在HBM記憶體的每瓦頻寬讀取效能提高1.3倍；MI350系列GPU內整合的256個CDNA 4 CU，每個CU的尖鋒HBM記憶體讀取頻寬則提高1.5倍。</p> <p>如下圖所示，AMD比較CDNA 3舊架構的MI300系列GPU，以及採用全新CDNA 4架構MI350系列GPU，在不同資料格式之間的AI生成效能表現：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-06-12%20%E4%B8%8A%E5%8D%881_41_53.jpeg" style="width: 600px; height: 295px;" /></p> <p>AMD不忘以MI350系列和競爭對手Nvidia作比較，以AMD MI355X與Nvidia B200、GB200相比，在DeepSeek R1 FP4之下，MI355X較B200的效能表現高出1.2倍，而在Llama 3.1 405B方面，MI355X比B200、GB200，分別高出1.3倍及1倍。</p> <p><strong><span style="color:#B22222;">強化AI系統設計及整合能力搶攻全球AI基礎建設商機</span></strong></p> <p>相較於Nvidia以AI Infrastructure自許，在全球各地與政府及企業合作，大力搶攻AI基礎建設市場版圖，AMD也不落人後，去年AMD以49億美元併購ZT System，強化自身的AI系統整合能力，儘管上個月再出售ZT System，但AMD也取得AI系統設計及整合能力，強化自身的AI資料中心方案。</p> <p>以這次發表的MI350系列為例，AMD稱MI350系列是專為現代AI基礎建設所設計，MI350系列GPU分為兩種版本，用於氣冷的MI350X，還有用於直接液冷設計(DLC)的MI355X。</p> <p>MI350X與MI355X在單顆GPU硬體規格上相同，但是採用氣冷的MI350X和液冷的MI355X，兩者在效能表現上則有差異：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-06-12%20%E4%B8%8A%E5%8D%882_20_24.jpeg" style="width: 600px; height: 336px;" /></p> <p>在8顆GPU組成的平臺(Platform)部分，AMD展示第5代EPYC CPU，搭配8顆Instinct MI350系列GPU、400 Gbps NIC/Stoage組成的平臺，其中8顆Instinct MI350系列GPU之間，可以每秒153.6GB的Infinity Fabric互連，GPU以外則是使用每秒128GB的PCIe Gen 5連接CPU及儲存系統。</p> <p>8顆MI350X系列GPU組成的平臺效能方面，HBM3E記憶體容量可擴充到2.3TB，根據AMD提供的數據，FP4/FP6效能從單顆MI 350X的18.45PF、單顆MI 355X的20.1PF，在8顆GPU組成MI350系列平臺後，達到8顆MI350X的147.6PF、8顆MI355X的161PF，不同資料精度格式的效能表現：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-06-12%20%E4%B8%8A%E5%8D%883_29_48.jpeg" style="width: 600px; height: 242px;" /></p> <p>在更大的機櫃組態方面，氣冷的MI350X適用於4U的機架式設計，在氣冷式散熱的機架下，最高支援到64顆GPU，記憶體最高到18TB HBM3E；而液冷的MI355X適用於10U與2U機架，在液冷式機架設計下，最多支援到128顆GPU，記憶體最高到36TB HBM3E。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-06-12%20%E4%B8%8A%E5%8D%889_26_40.jpeg" style="width: 600px; height: 333px;" /></p> <p>AMD也強調Instinct MI350系列GPU，採用OCP(Open Compute Project)，以及UEC(Ultra Ethernet Consortium)的業界開放標準，以強調和其他對手提出自己規格之間的差異。</p> <p>AMD也提前秀出代號為Helios的下一代AI機架設計，將會採用更新一代Instinct MI400系列GPU，搭配代號為Venice，採用新CPU架構Zen 6架構的EPYC CPU，以及稱為Vulcano的Pensando NIC。整合更多的記憶體、更大的記憶體的頻寬，提升AI運算效能。</p> <p>Instinct MI350系列GPU預期會在今年下半年推出，首波已有雲端運算服務商將與AMD合作，AMD宣布已和Oracle Cloud合作推出OCI的AI基礎運算服務，將採用13萬多顆的MI355X建立Zetascale的AI運算叢集，以支援大規模的AI訓練及推論運算需求。</p> <p>至於已與AMD合作的Meta，先前採用Instinct 300X系列GPU，用於Llama 3及Llama 4推論，Meta雖未說明未來是否採用MI350X系列GPU，但在發表活動中，對於新一代MI350X系列GPU的效能、每瓦效率表示樂觀的態度，AMD也宣布將和Meta合作Insinct MI450平臺的相關計畫。</p> <p>另外，AMD此次活動也說明在AI策略上與紅帽合作，通過Red Hat OpenShift AI，結合AMD的Instinct GPU，強化在混合雲環境裡的AI高效能、效率處理能力。</p> <p>在今年發表MI350系列之後，接下來將在2026年推出MI400系列GPU，將支援最大432GB的HBM 4記憶體，記憶體頻寬達到每秒19.6TB，其機架方案效能將比MI350系列提升10倍。</p> <p>AMD也揭露明年將推出的下一代EPYC處理器Venice，將採用2奈米製程、最高有256個Zen 6 CPU核心, 2倍的CPU與GPU連接頻寬，效能為前代產品的1.7倍。</p> <p>鑑於雲端大規模資料中心及企業資料中心的AI運算需求增加，耗電也隨之增加，AMD也提出新的能耗目標，指出Instinct MI350系列已超出AMD將AI訓練和高效能運算節點能源效率提升30倍的5年目標。該公司也提出2030年的新目標，以2024年為基準，2030年將機架級的能源效率提升20倍，以現今需要超過275機架的AI模型，在2030年在單一機架內訓練，並降低9成5耗電。</p> </div></div></div>
2025/6/13 02:39作者蘇文彬https://www.ithome.com.tw/news/169527
預計今年7、8月上線！健保署聯手Google打造糖尿病風險預測AI，將於健保快易通App和家醫大平臺亮相
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年聯手Google、國衛院和北醫展開糖尿病風險預測AI專案，健保署今日（6/12）揭露新進展，目前系統已能進行糖尿病風險分級和共病預測，比如顯示糖尿病高風險／等級2，並預測視網膜病變、腦血管病變、腎病變等共病機率。他們也開發一套Gemini模型驅動的糖尿病AI代理，來自動生成衛教內容，目前已將成果投稿國際學術期刊、接受同儕審核，預計今年7、8月正式上線。屆時，民眾在健康存摺就能看到風險資訊，參與家醫計畫的院所也能在系統查看患者風險。</p> <p>健保署也將根據這次專案，在下半年展開新的論值給付模式研究，同時發展高血脂、慢性腎臟病風險預測模型。</p> <h3><span style="font-size:22px;"><strong>起因：三高照護負擔與健康臺灣888計畫</strong></span></h3> <p>臺灣健保自1995年實施以來，已邁入第30年。健保署署長石崇良指出，根據統計，臺灣有800多萬人受三高（高血壓、高血脂、高血糖）及其共病所苦，光是去年，用來照顧三高患者的健保點數支出，就高達3600億，占健保總額40%（如下圖）。而且，糖尿病、高血壓、高血脂患者人數與支出，還有逐年增加的趨勢。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%95%B8%E6%93%9A.JPG" /></p> <p>再加上，總統賴清德上任提出健康臺灣888三高防治計畫，目標是2030年前將80%的三高與慢性腎臟病患者納入照護網，並讓其中的80%患者接受生活形態諮詢、80%的三高與慢性腎臟病患者達到最終控制目標。</p> <p>健保署於是盤點2024年狀態，888目標只分別達到了60%、26%、52%，他們便針對這3項目標，自去年起分別展開幾項計畫，比如針對第一個8，推動家醫照護整合性計畫2.0、地區醫院全人全社區照護計畫和創新藥物給付機制等；第二個8則是開發實證基礎的生活型態評估工具、試辦慢性病價值導向的全人照護模式；第三個8則是導入創新數位照護模式，比如開發新平臺，來整合個人健康數據、落實健康管理，還要發展AI輔助的個人化衛教素材和工具，並藉由公私協力，鼓勵使用創新數位照護工具等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%89%E9%AB%98.JPG" /></p> <h3><span style="font-size:22px;"><strong>糖尿病風險預測：AI應用的第一步</strong></span></h3> <p>在這些背景下，健保署去年5月找來Google、國衛院和北醫，聯手展開糖尿病風險預測AI專案：AI-on-DM。</p> <p>他們的分工是，健保署負責政策引導和提供數據管理，Google提供AI技術和算力，國衛院則扮演智庫角色，負責實證研發與標準建立，北醫則是模型驗證和智慧照護示範。</p> <p>石崇良也給出糖尿病風險預測AI的整體發展藍圖，總共有7大步。首先是用健保去識別化的30年大數據，打造第二型糖尿病風險預測AI模型。有了模型，第二步就能為每年200萬名的第二型糖尿病患者，進行個人化風險分級。</p> <p>接著，健保署將模型風險分級資訊，整合至已完工的家醫大平臺，來根據更多數據，預防糖尿病可能導致的共病，達到個人化照護。第四步是導入AI衛教助理，也就是一套基於Gemini模型的AI代理，來根據個人資訊，快速產生個人化衛教資訊，並整合在健保快易通／健康存摺App中。</p> <p>再來，健保署還要推動論質（值）支付，也就是以糖尿病風險預測模型給出的風險分級為基礎，來判斷醫師照護後，成功預防患者惡化到原本預測的風險值，因此減少健保支出，健保署再依此回饋，有別於現行的論量計酬。下一步，健保署要擴大應用範圍，強化第三方合作機制與回饋，最後一步則要驗證效益，來衡量健康、財務和成效追蹤。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%97%8D%E5%9C%96.JPG" /></p> <h3><span style="font-size:22px;"><strong>目前已能分級風險、預測共病機率，預計7、8月上架</strong></span></h3> <p>就實際進展來說，石崇良指出，去年6月展開計畫，9月開始建置風險資訊，包括風險架構設計和分級，以及Google團隊分享生成式工具和資源。今年1月則加入第三方業者諮詢，由WaCare嘗試風險分級加上AI衛教，與團隊發展風險衛教整合模式的雛形。</p> <p>今年4月，國衛院、北醫和健保署也對這套糖尿病風險預測AI和AI衛教進行醫療實證，並發表學術論文、接受同儕審核中。</p> <p>目前，該AI已能進行糖尿病風險分級和共病預測，比如系統能產出個人風險報告，顯示糖尿病風險（如高風險／等級2），並預測其他共病的發生機率，像是視網膜病變、腦血管病變、腎病變等。（如下圖）他們也開發一款Gemini模型驅動的糖尿病AI代理，來自動生成衛教內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A2%A8%E9%9A%AA%E5%88%86%E7%B4%9A.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A1%9B%E6%95%99.JPG" /></p> <p>石崇良在會後專訪中表示，該糖尿病風險預測與風險分級預計今年7、8月正式上線，屆時民眾可在健保快易通／健康存摺中查看風險與衛教資訊，同時，只要是參與家醫計畫的醫院，也都能在系統中查看患者風險資訊。</p> <p><span style="font-size:22px;"><strong>鼓勵民間業者合作，下半年研究論值給付機制</strong></span></p> <p>他也強調，風險分級的目的，不單只是顯示風險，而在於個人化照護，因此健保署非常重視與民間業者和醫院的合作，開放業者與醫院申請糖尿病風險預測SDK。「健康存摺是通用型的，有很多功能，民間業者有其專一、特定的族群，」石崇良舉例，如目前已合作的WaCare專精高血壓控管、智抗糖專攻高血糖，民眾在不同平臺也能獲得風險評估和衛教服務，對疾病預防有很大的幫助。健保署副署長龐一鳴補充，目前也有幾家醫院參與合作中。</p> <p>另一方面，石崇良也透露，健保署將於今年下半年，展開論值支付的給付模式研究。</p> <p>糖尿病風險預測AI只是三高防治的起點，健保署接下來還將推動高血脂與慢性腎臟病的風險預測模型，並計畫跨部會導入更多資料，如自費健檢等，來將疾病風險預測更往前推一步，把還沒出現明顯症狀的民眾也納入照護範圍中。</p> <p></p> </div></div></div>
2025/6/12 18:25作者王若樸https://www.ithome.com.tw/news/169530
【資安日報】6月12日，大型電子商務平臺Yes24遭勒索軟體攻擊引起韓國當地高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾天有一起韓國追星族可能會首當其衝的資安事故，那就是在韓國經營大型書店，以及演唱會售票平臺的Yes24，驚傳遭到勒索軟體攻擊而導致服務停擺，但受害情況、影響範圍有待後續追蹤。</p> <p>對於其他的資安事故，Apache基金會重點專案Tomcat遭遇大規模攻擊、竊資軟體Myth Stealer相當值得留意，而M365 Copliot零點擊漏洞、系微（Insyde）UEFI韌體H2O漏洞的揭露，也引起資安界的關注。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169528"><strong style="font-size: 22px;">韓國電子商務平臺Yes24遭勒索軟體攻擊</strong></a></p> <p>從4月底開始，一連串針對零售業者而來的網路攻擊事故接連傳出，但這些資安事故駭客主要針對歐洲與美國的廠商下手，如今有專門針對亞洲業者的情況出現。</p> <p>我們接獲臺灣出版業的通報，得知韓國這幾天發生一起相當嚴重的勒索軟體攻擊事故，接著我們到網路搜尋發生事故的Yes24，當切換到Google新聞搜尋頁面的時候，隨即看到許多韓國媒體報導此事，這些新聞均提到：經營網路書店與購票平臺的Yes24，於6月9日傳出網站與應用程式無法使用的狀況，該公司起初僅表示系統在維護而暫停服務，未進一步說明，如此不尋常的現象引起用戶不滿，直到10日才坦承是遭遇勒索軟體攻擊，並表示他們已向韓國網路安全局（KISA，也稱為韓國網路振興院）通報此事。</p> <p>詭異的是，這起資安事故鮮少有國際新聞媒體報導，而在臺灣，儘管有不少K-POP追星族，也未見大眾新聞媒體報導這起重大資安事故，目前僅有資安廠商竣盟科技報導此事，以及追蹤韓國流行動態的社群透露相關消息，指出這起事故已經造成影響。</p> <p><a href="https://www.ithome.com.tw/news/169498"><strong style="font-size: 22px;">Apache Tomcat遭到大規模攻擊，400個IP位址對其暴力破解、登入嘗試</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/684747475d48cc2ac94e452c_GreyNoise-Tomcat-Manager-Login-Attempt.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/684747475d48cc2ac94e452c_GreyNoise-Tomcat-Manager-Login-Attempt.png" style="width: 300px; float: right;" /></a>網頁應用程式伺服器Apache Tomcat受到許多企業與雲端平臺採用，尤其適合小型應用及微服務架構，原因在於該此系統開源且占用資源少，廣泛支援Java網頁應用的特性。由於受到廣泛採用，也有攻擊者盯上這類伺服器的現象。</p> <p>最近威脅情報業者GreyNoise揭露專門針對這種應用程式伺服器的大規模嘗試入侵活動，他們在6月5日發現約有400個IP位址被用於暴力破解或嘗試登入Tomcat的管理介面。這些IP位址主要來自主機代管業者DigitalOcean的基礎設施，其中有298個IP位址用於嘗試登入，250個IP位址用於暴力破解攻擊。從GreyNoise公布的IP位址數量來看，顯然有部分的IP位址同時用兩種類型的活動。</p> <p><a href="https://www.ithome.com.tw/news/169501"><strong style="font-size: 22px;">惡意軟體Myth Stealer同時鎖定Chrome、Firefox用戶而來，藉由冒牌遊戲網站散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/demystifying-myth-stealer-3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/demystifying-myth-stealer-3.jpg" style="width: 300px; float: right;" /></a>為了改善軟體開發安全，近年來有許多軟體改以程式語言Rust開發，例如Google於Chrome採用新的字型渲染程式庫Skrifa，就是以這種程式語言撰寫而成。然而，攻擊者也開始跟進，採用這種程式語言打造惡意程式。</p> <p>例如，最近資安業者Trellix揭露的Myth Stealer，就是典型的例子。研究人員從去年12月下旬看到開發者於Telegram頻道宣傳、銷售，初期提供免費試用，後來開發團隊以租用的型式牟利。</p> <p>研究人員持續進行追蹤和調查後指出，駭客主要透過假的遊戲網站散布Myth Stealer，一旦使用者下載、執行，此惡意軟體會顯示假的視窗，轉移使用者的注意力，但實際上，駭客於後臺透過XOR運算或AES演算法解開先前被加密的惡意程式碼，並予以執行。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/former-black-basta-members-use.html">前勒索軟體Black Basta成員使用Teams和Python指令碼從事攻擊活動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169500"><strong style="font-size: 22px;">研究人員揭露Microsoft 365 Copilot的零點擊AI漏洞</strong></a></p> <p>以色列資安業者Aim Security旗下的Aim Labs揭露位於Microsoft 365 (M365) Copilot的資安漏洞，允許駭客在無需使用者互動的情況下，竊取M365 Copilot的機密資訊。這是第一個針對AI代理程式的零點擊攻擊鏈，不僅威脅Copilot的資料安全，可能也會影響其它基於檢索增強生成（Retrieval‑Augmented Generation，RAG）的聊天機器人與AI代理人，微軟獲報後已完成修補。</p> <p>此漏洞被命名為EchoLeak，已取得CVE‑2025‑32711漏洞編號，其CVSS風險評分高達9.3。</p> <p>EchoLeak主要涉及大型語言模型範圍違規（LLM Scope Violation）問題，同時利用了RAG Copilot的設計缺陷，以讓駭客可在不需仰賴使用者的行動下，自動汲取來自M365 Copilot的任何資料。</p> <p><a href="https://www.ithome.com.tw/news/169514"><strong style="font-size: 22px;">Insyde H2O UEFI韌體存在資安弱點，攻擊者可用於繞過安全開機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68436b65a6fcb3dcd3042f62_image3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68436b65a6fcb3dcd3042f62_image3.png" style="width: 300px; float: right;" /></a></p> <p>近年來不時有駭客針對UEFI開機系統下手，打造惡意程式發動攻擊，從而繞過作業系統與端點防護機制的偵測，一旦UEFI韌體存在相關漏洞，就有可能成為駭客利用的對象，使得資安圈越來越關切、挖掘這類弱點。</p> <p>本週有兩項與UEFI有關的漏洞揭露，其中又以卡內基美隆大學電腦緊急回應團隊協調中心（CERT/CC）揭露的CVE-2025-4275相當值得留意，此弱點出現在系微（Insyde）的UEFI韌體H2O，攻擊者能透過不受保護的非揮發性隨機存取記憶體（NVRAM）變數SecureFlashCertData，而能於電腦注入數位憑證，使得攻擊者能繞過安全開機（Secure Boot）的防護機制。CVSS風險達到7.8分，Insyde也發布資安公告，推出新版韌體修補這項漏洞。</p> <p>另一項能繞過安全開機的漏洞，是由資安業者Binarly找到的記憶體中斷漏洞CVE-2025-3052，此漏洞同樣影響Insyde H2O的UEFI韌體，起因是他們發現由微軟提供第三方UEFI憑證簽章的特定模組能觸發漏洞，一旦攻擊者成功利用，就有機會在電腦開機的過程執行未簽署的程式碼，繞過安全開機機制，風險值為6.7，微軟獲報後於本週發布的6月例行更新（Patch Tuesday）提供修補程式。</p> <p><a href="https://www.ithome.com.tw/news/169491"><strong style="font-size: 22px;">HPE修補備份平臺StoreOnce重大層級的身分驗證繞過漏洞</strong></a></p> <p>為了讓受害組織增加恢復資料的難度，勒索軟體駭客往往會針對備份系統下手，清除企業組織備份的內容，一旦這類系統出現資安弱點，就很有可能被駭客拿來利用。因此，IT人員也要特別留意相關的資安弱點資訊。</p> <p>HPE針對備份儲存系統StoreOnce發布資安公告，修補8項由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）通報的弱點，這些漏洞可被用於繞過身分驗證、遠端程式碼執行（RCE）、伺服器請求偽造（SSRF）、路徑穿越、任意檔案刪除，以及資訊洩露，影響HPE StoreOnce G4/4+，該公司發布4.3.11版予以修補。</p> <p>根據CVSS風險評分，這批漏洞最危險的是身分驗證繞過漏洞CVE-2025-37093，風險值高達9.8分（滿分10分）。在HPE的資安公告裡，並未對這些漏洞說明其他細節，而ZDI在公告提及，這項弱點存在於StoreOnce的虛擬儲存設備Virtual Storage Appliance（VSA）版本，攻擊者能遠端利用，並在無需事先通過身分驗證的情況下觸發。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/jenkins-gatling-plugin-flaw/">Jenkins公布外掛程式的資安弱點，恐被用於繞過內容安全政策機制</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/multiple-qnap-flaws-2/">威聯通修補檔案同步系統Qsync重大漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chrome-firefox-updates-resolve-high-severity-memory-bugs/">Google、Mozilla發布Chrome 137與Firefox 139更新，修補高風險記憶體漏洞</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/178898/cyber-crime/operation-secure-interpol-dismantles-20000-malicious-ips-in-major-cybercrime-crackdown.html">歐洲刑警組織帶頭從事執法行動Operation Secure，撤下逾2萬個用於竊資軟體攻擊的IP位址</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169486"><strong>【6月11日】微軟修補已遭利用的WebDAV零時差漏洞，若不處理攻擊者可遠端執行任意程式碼</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169459"><strong>【6月10日】中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> </div></div></div>
2025/6/12 18:28作者周峻佑https://www.ithome.com.tw/news/169531
韓國電子商務平臺Yes24遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從4月底開始，一連串針對零售業者而來的網路攻擊事故接連傳出，但這些資安事故駭客主要針對歐洲與美國的廠商下手，如今有專門針對亞洲業者的情況出現。</p> <p>我們接獲臺灣出版業的通報，得知韓國這幾天發生一起相當嚴重的勒索軟體攻擊事故，接著我們到網路搜尋發生事故的Yes24，當切換到Google新聞搜尋頁面的時候，隨即看到許多韓國媒體報導此事，這些新聞均提到：經營網路書店與購票平臺的Yes24，於6月9日傳出網站與應用程式無法使用的狀況，該公司起初僅表示系統在維護而暫停服務，未進一步說明，如此不尋常的現象引起用戶不滿，直到10日才坦承是遭遇勒索軟體攻擊，並表示他們已向韓國網路安全局（KISA，也稱為韓國網路振興院）通報此事。</p> <p>Yes24是韓國大型網路書店與演唱會活動購票平臺，他們不僅銷售韓文及外文書籍、電子書，也販售K-POP與韓劇周邊商品著稱。而在售票的業務上，Yes24銷售演唱會、音樂劇、戲劇、體育賽事的門票，甚至經營自己的活動會場（如Yes24 Live Hall），而且，他們不光服務韓國民眾，也經營海外市場，是外國粉絲參與韓國當地活動及購買相關商品的重要管道，在K-POP生態系中擁有舉足輕重的地位。</p> <p>不過，詭異的是，這起資安事故鮮少有國際新聞媒體報導，而在臺灣，儘管有不少K-POP追星族，也未見大眾新聞媒體報導這起重大資安事故，目前<a href="https://medium.com/@Billows_Tech/%E7%82%BA%E4%BD%95-yes24-victorias-secret%E6%88%90%E7%82%BA%E9%A7%AD%E5%AE%A2%E5%8B%92%E7%B4%A2%E5%B0%8D%E8%B1%A1-%E5%BE%9E%E5%B9%B3%E5%8F%B0%E7%99%B1%E7%98%93%E4%BA%8B%E4%BB%B6-%E7%9C%8B%E5%8B%92%E7%B4%A2%E6%94%BB%E6%93%8A%E5%A6%82%E4%BD%95%E9%87%8D%E5%89%B5%E4%BC%81%E6%A5%AD%E7%87%9F%E9%81%8B-9d54cb45b337">僅有資安廠商竣盟科技報導此事</a>，以及追蹤韓國流行動態的社群透露相關消息，指出<a href="https://www.facebook.com/onnietw/posts/%E9%9F%93%E7%B6%B2%E8%AE%80%E5%A0%B1%E7%99%B1%E7%98%93%E5%85%A9%E5%A4%A9%E7%9A%84-yes24-%E5%8E%9F%E4%BE%86%E6%98%AF%E9%81%AD%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A9%E6%97%A5%E5%87%8C%E6%99%A8%E9%96%8B%E5%A7%8B%E7%9A%84yes24%E7%B6%B2%E7%AB%99%E5%92%8Capp%E7%99%B1%E7%98%93%E4%BA%8B%E4%BB%B6%E6%8C%81%E7%BA%8C%E4%BA%86%E5%85%A9%E5%A4%A9%E5%85%AC%E5%8F%B8%E6%96%B9%E9%9D%A2%E4%B8%80%E7%9B%B4%E5%B0%8D%E5%8E%9F%E5%9B%A0%E7%B7%98%E5%8F%A3%E4%B8%8D%E6%8F%90%E7%9B%B4%E5%88%B0%E4%BB%8A%E5%A4%A9%E6%89%8D%E9%81%B2%E9%81%B2%E6%89%8D%E5%91%8A%E7%9F%A5%E6%AD%A4%E6%AC%A1%E4%BA%8B%E4%BB%B6%E7%9A%84%E5%8E%9F/1348087340018705/">這起事故已經造成影響</a>，例如音樂團體Enhypen取消粉絲簽名會、歌手B.I調整演唱會門票預售時間等，此外，這起事故不光影響演唱會和粉絲簽名會，音樂劇的售票也受到衝擊。</p> <p>針對這起事故，Yes24首度於10日鬆口，坦言是勒索軟體攻擊，根據該公司後來在網站的公告，可以得知目前掌握到的事件發生經過。他們表示，大約是在9日凌晨4時遭遇勒索軟體攻擊，導致該公司系統失去控制，直到11日凌晨3時，他們成功奪回管理員帳號，正著手復原相關服務運作。究竟這起事故是否導致客戶資料外洩，該公司表示根據目前的調查結果，他們尚未釐清有那些資料流出，但為保險起見，呼籲客戶要防範假冒Yes24相關的詐騙。</p> </div></div></div>
2025/6/12 18:10作者周峻佑https://www.ithome.com.tw/news/169528
Insyde H2O UEFI韌體存在資安弱點，攻擊者可用於繞過安全開機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來不時有駭客針對UEFI開機系統下手，打造惡意程式發動攻擊，從而繞過作業系統與端點防護機制的偵測，一旦UEFI韌體存在相關漏洞，就有可能成為駭客利用的對象，使得資安圈越來越關切、挖掘這類弱點。</p> <p>本週有兩項與UEFI有關的漏洞揭露，其中又以<a href="https://kb.cert.org/vuls/id/211341">卡內基美隆大學電腦緊急回應團隊協調中心（CERT/CC）揭露的</a>CVE-2025-4275相當值得留意，此弱點出現在系微（Insyde）的UEFI韌體H2O，攻擊者能透過不受保護的非揮發性隨機存取記憶體（NVRAM）變數SecureFlashCertData，而能於電腦注入數位憑證，使得攻擊者能繞過安全開機（Secure Boot）的防護機制。一旦成功利用漏洞，攻擊者就能在作業系統載入之前，執行未經簽章或惡意程式碼，從而植入持久性的惡意軟體與核心層級的Rookit程式，CVSS風險達到7.8分，<a href="https://www.insyde.com/security-pledge/sa-2025002">Insyde也發布資安公告</a>，推出新版韌體修補這項漏洞。</p> <p>值得留意的是，上述手法植入的惡意軟體與Rookit，使用者無法透過重開機或是重灌作業系統清除，甚至能夠成功迴避EDR系統的偵測，或是在該系統載入之前完全停用。</p> <p>另一項能繞過安全開機的漏洞，是由資安業者Binarly找到的<a href="https://www.binarly.io/blog/another-crack-in-the-chain-of-trust">記憶體中斷漏洞CVE-2025-3052</a>，此漏洞同樣影響Insyde H2O的UEFI韌體，起因是他們發現由微軟提供第三方UEFI憑證簽章的特定模組能觸發漏洞，一旦攻擊者成功利用，就有機會在電腦開機的過程執行未簽署的程式碼，繞過安全開機機制，風險值為6.7，微軟獲報後於本週發布的6月例行更新（Patch Tuesday）<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-3052">提供</a>修補程式。</p> <p>針對這項漏洞發現的過程，Binarly指出是他們在惡意軟體分析平臺VirusTotal找到存在弱點的UEFI應用程式，此工具原專為特定廠牌的電腦設計，但由於其中的特定模組採用了廣泛信任的Microsoft Corporation UEFI CA 2011金鑰簽署，而能在大多數電腦上運作。漏洞形成的原因也與NVRAM有關，上述模組從NVRAM變數IhisiParamBuffer讀取資料後，未進行驗證就當作記憶體指標使用，導致攻擊者可控制寫入任意記憶體位置。</p> </div></div></div>
2025/6/12 16:24作者周峻佑https://www.ithome.com.tw/news/169514
Stripe將買下嵌入式錢包供應商Privy
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://privy.io/blog/announcing-our-acquisition-by-stripe" target="_blank">成立於2021年的嵌入式錢包服務供應商Privy周三（6/11）宣布</a>，已被線上支付服務供應商Stripe收購。Privy僅披露此一交易預計於未來幾周完成，並未公布交易金額。不過，Privy在今年3月的估值約為2.3億美元。</p> <p>Privy主要提供嵌入式錢包技術，讓平臺能夠在不改變使用者的體驗下，直接產生及管理加密錢包；其關鍵技術在於透過Email、SMS、SSO等一般登入機制，即可於後端生成自主管理錢包（self‑custody wallet），讓消費者不必再下載或註冊額外的錢包。</p> <p>Privy共同創辦人暨執行長Henri Stern表示，該公司剛創立時，加密貨幣錢包的功能很強大，但只有高階使用者才會用，開發者必須要求用戶離開平臺才能使用，這阻礙了體驗也降低用戶轉換率，限制了加密貨幣領域的發展。</p> <p>而Privy僅透過一個簡單的API，便能讓各平臺安全地啟用強大的錢包能力、簽署交易，並整合各種區塊鏈系統，迄今Privy已替超過1,000個開發團隊的逾7,500萬個帳戶提供服務，協調數十億筆交易，以讓用戶能在網路上賺取、轉移與使用新資產，客戶涵蓋Hyperliquid、Blackbird、Toku與Farcaster。</p> <p>Stern認為，數位所有權與現代世界的金融系統正以前所未有的方式交織在一起，如同Stripe堅信加密貨幣結合法幣的力量，雙方將會改變網路的價值流動方式。</p> <p><a href="https://www.ithome.com.tw/news/165607" target="_blank">Stripe甫於去年10月買下了穩定幣基礎設施業者Bridge</a>，顯示該公司擁抱加密貨幣的決心。</p> </div></div></div>
2025/6/12 16:41作者陳曉莉https://www.ithome.com.tw/news/169516
【OTP盜刷網釣現況大公開1】即時網釣手法已經氾濫，AiTM中間人攻擊技術助長此類威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定信用卡盜刷的網釣攻擊，已經橫行多年，雖然大家感受到事件越來越多，但可能不清楚的是：駭客攻擊技術與網路犯罪生態正在加速演進。因此這方面的威脅現況，已成為電商與支付業者不容忽視的嚴峻挑戰。</p> <p>事實上，以OTP網釣攻擊而言，過去我們看到不少這類事故消息，但其攻擊目標其實有相當多種，例如，一種是「針對企業員工，竊取員工登入內部系統所需OTP碼」，像是Dropbox員工使用OTP式硬體金鑰來強化員工帳號登入防護，但2022年時，駭客在偽冒登入的釣魚網頁上不僅騙取帳密，也即時騙取OTP碼，進而得以入侵企業內部；一種是「針對客戶，竊取服務業發給客戶用於登入服務所需的OTP碼」，像是臺灣多家銀行有採用簡訊OTP來保護客戶網銀登入，但在2021年時，有犯罪組織偽冒多家銀行發送釣魚簡訊，並以假網銀登入頁面來騙取客戶帳密，也即時騙取OTP碼，進而使受害者的網銀帳戶資金被盜轉。</p> <p>還有一種不容忽視的網釣攻擊手法，是「針對信用卡用戶，竊取刷卡交易認證時所的OTP碼」，也就是針對信用卡號及3D驗證環節進行網釣。不過這類攻擊的相關研究揭露相對較少，使得我們對其具體概況難以深入了解，特別的是，在今年3月臺灣資安業者戴夫寇爾舉行的資安攻擊型研討會上，有場演講恰巧說明最新OTP竊取手法，以及信用卡盜刷背後的網釣威脅。最近該場演說<a href="https://conf.devco.re/2025/keynote/%5BRelease%5D%20Phishing-as-a-Service-%20The%20Underground%20Card%20Shop%27s%20Arsenal%20against%203DSecure.pdf">簡報</a>於5月底正式公開。</p> <p>該場講者是台灣駭客協會理事戴辰宇（GD），他以負責威脅情資與事件應變的企業藍隊角色，解析身為防守方的他們，如何因應盜刷與網路釣魚問題，進而探索與了解攻擊背後的技術發展。當中介紹的狀況，對於關心電商與支付業者安全的人相當有參考價值，因為可以藉此更認識這方面的網路犯罪技術演進，以瞭解所要防禦的威脅與面臨的挑戰。</p> <p>解析身為防守方的他們，為了因應盜刷與網路釣魚問題，進而探索了攻擊背後的技術發展。，對於電商與支付業者而言，可以更認識這方面的網路犯罪技術演進，以瞭解防禦上我們面對的威脅與挑戰。</p> <h2><strong>攻擊技術與犯罪商業模式持續進化，實施網釣活動的門檻大幅降低</strong></h2> <p>對於信用卡網釣攻擊態勢的演變，戴辰宇指出，這類威脅不只影響全球，亞太地區也經常被鎖定，戴辰宇指出，臺灣與日本的遭遇是同樣嚴重。以臺灣而言，聯合信用卡處理中心（聯卡中心）曾揭露，2023全年國內發卡機構詐欺通報金額破32億元，年增達47％；以日本而言，信用卡詐欺帶來的損失，從10年前的一年損失100億元日幣，之後持續有所增長，2024一整年損失已達550億元日幣。</p> <p>根據戴辰宇與其研究夥伴對於相關網路犯罪活動的深入觀察，他們發現，中國信用卡黑市中的許多攻擊目標都是鎖定亞太地區而來。這些犯罪組織不僅透過微信與Telegram頻道大肆投放廣告，甚至還有頻道是專門教學如何執行信用卡盜刷網釣。由此可見，這類犯罪活動的猖獗與成熟程度令人擔憂。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></p> <p>這類網路犯罪究竟是如何運作？戴辰宇深入剖析了網釣盜刷的完整流程，希望能讓大家對此有更清晰的概念。他指出，攻擊者主要可分為三大角色：釣魚者、盜刷者，以及收貨者。</p> <p>以釣魚者而言，傳統上，攻擊者需建立網域名稱、架設釣魚網站，並要租用管控較寬鬆的VPS虛擬主機服務，才不容易讓釣魚網站被下架。接著，還要準備釣魚郵件，以誘導受害者點擊惡意連結。</p> <p>以盜刷者而言，要模擬受害者的交易環境，以提高盜刷成功率。例如，依據受害者的信用卡帳單地址，從一些駭客組織控制的殭屍網路等，租用相同地區IP位址作為盜刷的跳板，以規避銀行的反詐欺偵測或AML反洗錢系統。</p> <p>以收貨者而言，盜刷商品後需安排收貨與轉運。例如，有犯罪集團在日本針對海外留學生投放廣告，聲稱只要協助「代收包裹並轉寄」，即可賺取額外收入。這些商品最終被轉送至中國閒魚或淘寶的物流轉運站，轉售變現。</p> <p>這樣的網路犯罪模式已經使用多年，如今，我們特別要關切的是，在「執行網釣」的環節有了新變化，攻擊技術與網路犯罪生態變得更進步與普及，使我們面臨更嚴峻的威脅。</p> <h2><strong>網釣攻擊日益嚴峻有兩大原因：即時釣魚與PhaaS</strong></h2> <p>首先，身為防守方的我們，需要搞清楚這些網釣、盜刷攻擊背後的情形，掌握攻擊面的最新發展，才能意識到需要重視的問題，尤其是對支付產業與電商而言，戴辰宇強調，有兩大重點觀察需要我們關注。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p>第一，早年網釣是No-OTP Phishing，也就是非竊取OTP碼的傳統網釣時代，2020年之後轉為Real-time Phishing時代，也就是可以同步竊取OTP。我們可以發現，這方面的相關技術，在中國網路犯罪圈稱同步魚，在資安界則常稱為AiTM（Adversary-in-The-Middle）中間人攻擊手法，像是微軟曾多次揭露這類攻擊活動。</p> <p>第二，網釣即服務（PhaaS）數量大增，這不僅是助長網釣攻擊，也突顯這類犯罪服務的提供已是相當成熟。例如，2023年初，他們從中國的地下信用卡資料兜售黑市觀察到，已有50多個這樣的雲端代管訂閱制釣魚網站平臺，並且大多數都提供OTP竊取的功能，到了2025年初，這些PhaaS平臺更是增加到100個以上，而且其功能也在持續進化，像是提供半套或全套的租賃方式，還有內建多種資安偵測規避的功能。</p> <h2><strong>AiTM攻擊手法興起，促使OTP網釣更容易</strong></h2> <p>儘管資安界早就呼籲OTP不夠安全，只能視為過渡到強健MFA的臨時方案，因為仍是具有一定使用期效的文數字符號形式，還是存在被擷取、盜用的可能性，而容易遭遇網釣攻擊，不過至今許多場景仍仰賴OTP來保護帳號安全。</p> <p>對此狀況，戴辰宇指出，自2020年起，Real-time Phishing（即時網釣）技術已成熱門的網路犯罪手法，這意味，攻擊者要突破OTP驗證機制已變得普遍。</p> <p>這類即時網釣攻擊經常運用AiTM這類中間人攻擊技術，也就是說，駭客在受害者與合法網站之間建立一個代理伺服器（Proxy）攔截流量，並在受害者輸入帳號密碼與OTP後，即時將竊取資訊轉發至合法網站，進而完成盜刷交易。</p> <p>雖然國內近年有在加強OTP網釣的防範，但他也提醒，像是聯卡中心去年推出網頁識別碼的機制，讓使用者在輸入OTP碼時，還要從4個選項來勾選收到的識別碼，能多一道程序來緩解。但是，攻擊者只要在網釣OTP碼過程中，增加識別碼的輸入框，其實還是可以獲取識別碼並繞過防護，讓不熟悉機制的使用者上當。</p> <p>事實上，關於上述提及的AiTM網釣手法，我們過去經常看到這方面的威脅揭露。</p> <p>例如，<a href="https://www.ithome.com.tw/news/151924">2022年微軟指出，發現一起大規模網釣活動是使用AiTM手法，接著利用竊取到的帳密與Session Cookie</a>，去存取使用者的郵件，進而發動BEC詐騙。微軟觀察到，自2021年9月至2022年7月間，有1萬個企業組織遭此攻擊活動鎖定。</p> <p>換言之，透過AiTM網釣手法經常作為攻擊的開端，值得我們特別重視，有的攻擊者主要鎖定消費者信用卡交易的OTP竊取，有的則是鎖定企業登入憑證的竊取，以此發動不同類型的攻擊活動。</p> <h2><strong>防守方別以為有了OTP驗證，卻忽略用戶端環境風險檢查</strong></h2> <p>從上述威脅態勢來看，戴辰宇強調：近年網路犯罪領域PhaaS平臺的流行，代表網釣產業的專業分工更加細緻，而Real-time Phishing這類中間人攻擊的盛行，則顯示攻擊者要突破OTP驗證機制已變得普遍。</p> <p>而且我們還要注意的是，根據目前研究顯示，利用生成式AI產生社交工程釣魚郵件與 Phishing Kit，速度比傳統方法快20倍。這也代表，網釣攻擊的成本不斷下降，即便不懂繁體中文、日文或其他語言的駭客，也能產出符合當地語法的釣魚信件。</p> <p>此外，在他們的研究中，現在Real-time Phishing技術的攻擊，攻擊成功率可達0.2%至1.4%，高於傳統No-OTP Phishing（0.01%至0.1%），</p> <p>對此，他特別點出一個值得關注的問題：在沒有OTP驗證的時代，防守方會更重視用戶端環境風險的檢查，例如：確認刷卡IP地址與帳單地址是否相符，以判斷交易真實性。然而，隨著OTP驗證機制的普及，部分防守端可能因過度相信OTP，而忽略了原本的環境風險檢查，這一點是他認為防守方需加強的面向。</p> <h2><a href="https://s4.itho.me/sites/default/files/images/（圖5）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a> </h2><p> </p><h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong>竊取OTP碼方法很多，網釣只是其中一種伎倆</strong></span></h2> <p>除了常見的OTP網釣攻擊之外，我們也必須警惕駭客其他竊取OTP的手法。例如，臺灣大哥大A32手機，曾發生設備出廠時已被植入惡意程式，因此犯罪組織後續可攔截發送到手機的簡訊OTP，而其目的是以用戶門號來冒名申請遊戲帳號，以做為人頭帳號；國際間則不時傳出駭客利用SIM卡劫持（SIM Swap）攻擊手法，獲得手機號碼控制權，進而能夠竊取簡訊OTP，並用於不同攻擊活動；又或是電子郵件遭入侵導致以Email傳送的OTP碼被竊取。這些手法等於是直接入侵竊取資訊，而不是用釣魚方式讓受害者自己將資訊提供給駭客。</p> <p> </p> <h2><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/169488"><span style="color: rgb(0, 102, 204);">【OTP盜刷網釣現況大公開2】盜刷網釣即服務PhaaS數量破百，犯罪組織還在微信與Telegram頻道打廣告與教盜刷</span></a></strong></h2> <p> </p> <h2><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/169489"><span style="color: rgb(0, 102, 204);">【面對OTP盜刷網釣威脅，支付與電商產業應對策略】強化交易身分驗證與裝置指紋機制，並建立AI/ML詐欺模型</span></a></strong></h2> <p> </p> </div></div></div>
2025/6/12 16:42作者羅正漢https://www.ithome.com.tw/news/169487
【OTP盜刷網釣現況大公開2】2025中國信用卡盜刷網釣即服務百家爭鳴，甚至公然在即時通訊軟體頻道打廣告與教人盜刷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於網釣即服務（<a href="https://www.ithome.com.tw/tags/phaas">PhaaS</a>）的態勢，我們從2016年至今，已經看到許有許多資安業者揭露這項威脅態勢，指出PhaaS的興起，降低業餘駭客的攻擊門檻，只要租賃雲端服務就可發動攻擊，同時也讓網路犯罪的網釣商業模式成形，而後續的資安研究也顯示，有更多提供犯罪的PhaaS供應商被揭露，並會持續提供進階釣魚與偵測規避的功能。</p> <p>不過，多數研究報告都是由國外資安業者發布，我們很少能具體瞭解其概況，近期台灣駭客協會理事戴辰宇（GD）揭露駭客竊取OTP盜刷網釣威脅現況時，更是提到PhaaS不僅降低網路犯罪的技術門檻，同時助長這類攻擊的規模更擴大。同時，他也揭露了更多關於這個網路犯罪生態系不為人知的細節，包括全套與半套的不同PhaaS型態。</p> <h2><strong>信用卡網釣盜刷氾濫，在微信、Telegram上已有犯罪教學頻道，許多是鎖定亞太地區而來</strong></h2> <p>大家可能沒想過，現在攻擊者要盜刷信用卡、網釣竊取OTP碼，不只能到暗網租賃現成的網路犯罪工具，還有許多犯罪組織透過微信與Telegram頻道打廣告，甚至有專門的教學頻道，目的是吸收更多成員加入。</p> <p>我們面對的網釣威脅有多嚴峻？根據戴辰宇與他研究夥伴的觀察，從網釣即服務（PhaaS）的發展來看，單是在信用卡盜刷領域，黑色產業在這方面的技術與市場經濟發展，已經相當成熟。</p> <p>他們發現，在微信與Telegram即時通訊平臺上，竟然就有1、2千個頻道用於中國詐欺黑色產業的交流，並有相當多是鎖定亞太地區攻擊。特別的是，當中還有專門提供CVV盜刷教學的頻道，像上課一樣介紹如何取得盜刷資料，以及搭建中國稱為魚塘（PhaaS）的攻擊環境，還有搭建盜刷環境、產品變現方法，以及其他技術面的內容。</p> <p>由於這類網釣攻擊已是相當氾濫，若是我們還不知道攻擊產業鏈的樣貌與轉變，可能輕忽了問題的嚴重性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <h2><strong>PhaaS租賃平臺服務競爭激烈，加速網路犯罪生態體系發展</strong></h2> <p>對於這類盜刷網路犯罪的網路釣魚即服務，中國稱為魚塘（PhaaS），目前有多氾濫？戴辰宇指出，他們觀察到，中國網路犯罪魚塘近兩年已呈現倍增的態勢，這顯示相關網路威脅正變得越來越嚴峻。</p> <p>例如，2023年初中國地下信用卡資料黑市中，約有50多個雲端代管的訂閱制釣魚網站平臺，其中大多數已具備OTP竊取功能，到了2025年初，這些PhaaS平臺數量已增長至100 個以上，且功能持續進化，不僅提供半套或全套的租賃方案，更內建多種規避資安偵測的功能。</p> <p>而且戴辰宇也發現，隨著PhaaS網釣犯罪服務的普及，彼此競爭也變得激烈，會產生什麼樣的影響？由於這類型服務就是提供攻擊者使用的雲端代管訂閱制網路釣魚平臺，當這些平臺為了搶客而不斷增加新功能，或是降低費用，結果就是讓執行網釣者能夠更容易、以更低成本發動攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p>特別的是，過去資安業者雖然頻繁揭露PhaaS平臺的資訊，讓我們可以大致了解，攻擊者可選擇使用現成現成的網路釣魚工具包（Phishing Kit），或直接租用PhaaS犯罪平臺的服務。然而，戴辰宇這次揭露的內容，超越了我們既有的認知，進一步揭示了這個網路犯罪生態系中更多隱密且細緻的層面。</p> <p>以信用卡盜刷的攻擊環境建置而言，戴辰宇分析出3種不同型態：</p> <p>第一種是No PhaaS，攻擊者可以全都自己架構，以自建方式來搭建魚塘攻擊環境。</p> <p>但如果沒技術或想省時間，可選擇租用PhaaS。</p> <p>第二種是Half PhaaS，戴辰宇表示，這如同提供半套服務租賃，提供如同AppStore源碼商店的平臺環境，還會持續更新Phishing Kit。</p> <p>第三種是Full PhaaS，也就是提供全套租賃服務，不只提供Phishing Kit，連網釣使用的網域、VPS虛擬主機都提供，讓租用的攻擊者直接拿到一個後臺網址，快速建立一個魚塘攻擊環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p>不僅是網路犯罪魚塘（PhaaS）數量增加，戴辰宇表示，他們發現租用服務的網路犯罪者也相當多。</p> <p>他舉例，一個名為熊貓源碼商店的網路犯罪平臺服務，主要鎖定偽冒物流服務的主題，有2,600多個訂閱者，另一個名為Magic Cat神奇貓貓，主要提供偽冒全球郵政的主題，有3,000多個訂閱者。</p> <p>不過，這類黑產也會有黑吃黑的情況，像是網釣者使用PhaaS平臺所竊取的資料，PhaaS服務提供者也能掌握，能將高價值信用卡資料先一步盜刷。因此地下市場也有所謂第一手、第二手、第三手資料，或是大量無效信用卡資訊。</p> <p>若是進一步觀察這些平臺上的功能，也能看出網釣攻擊技術的門檻降低與普及，將帶來更廣泛的影響。</p> <p>例如，這些平臺大多提供半套或全套的訂閱租賃方式，並且幾乎都已經提供OTP竊取的能力。</p> <p>更要注意的是，這些犯罪服務平臺還提供所謂「Anti-Red防紅」的功能，也就是內建多種規避資安偵測的能力。</p> <p>例如，攻擊者網釣目標若是鎖定日本，可設定只允許日本IP位址登入，減少被資安業者偵測的風險；還有一項特別的Entrance Key功能，其機制是透過在網址後添加？等查詢字串的參數，只有在參數值正確時，才會顯示真正的釣魚頁面，若直接存取網站，只會顯示空白頁面或無關內容，可規避資安業者的線上掃描或沙箱等偵測機制。</p> <p>從上述戴辰宇的分析介紹來看，我們可以了解到網路犯罪生態系的進化，不僅攻擊工具更易於取得，連反偵測能力也日益精進。面對如此複雜且專業化的威脅，企業又該如何有效防範呢？下一篇我們將繼續介紹。<br /> </p> <h2>繼續閱讀：<a href="https://www.ithome.com.tw/news/169489"><span style="color:#0066ff;">【面對OTP盜刷網釣威脅，支付與電商產業應對策略】強化交易身分驗證與裝置指紋機制，並建立AI/ML詐欺模型</span></a></h2> <p> </p> </div></div></div>
2025/6/12 17:07作者羅正漢https://www.ithome.com.tw/news/169488
【面對OTP盜刷網釣威脅，支付與電商產業應對策略】強化交易身分驗證與裝置指紋機制，並建立AI/ML詐欺模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對日益嚴峻的OTP盜刷網釣威脅，支付產業與電商產業都必須採取更積極的應對策略。</p> <p>從當前威脅態勢來看，在資安業者戴夫寇爾3月舉行的資安攻擊型研討會，台灣駭客協會理事戴辰宇（GD）指出：Real-time Phishing（即時網釣）這類中間人攻擊的盛行，顯示攻擊者要突破OTP驗證機制已變得普遍，而網路犯罪領域PhaaS平臺的流行，則代表網釣產業的專業分工更加細緻。</p> <p>當我們更充分了解這些網路犯罪技術的演進，才可以設想更周延的因應之道。戴辰宇對支付產業與電商產業，也分別提出提升防護力的建議。</p> <p>（一）以支付產業而言，現今電信業推動門號認證、SIM卡驗證，是一種可採行的進階驗證方法。電信公司可查詢該門號是否由真正的SIM卡持有人使用。此外，當懷疑當交易存在風險時，應採取更有效的驗證機制，例如，發送通知並要求點擊驗證連結來放行，這比單純輸入OTP碼安全，因為該連結可驗證額外資訊，而且攻擊者此時較難誘騙使用者提供連結。</p> <p>（二）以電商產業而言，可採取多層次的安全策略，像是採用新的身份驗證機制，如Passkey、FIDO、生物識別等，減少對OTP的依賴；建立更好的裝置指紋識別機制，像是時區、GPU、IP位址聲譽等環境與硬體綁定。建立主動偵測能力也很重要，以他過去自身經驗而言，一筆交易就有10個不同AI/ML詐欺偵測模型在偵測，才能及早發現異常。他並表示，曾發展送出訂單時製造大量運算需求，藉此讓惡意攻擊更難執行。他並提醒，不僅支付產業需要更多交易驗證措施，電商產業也該如此，一旦偵測到任何可疑交易，應及早再次啟動驗證機制來降低詐欺風險。</p> </div></div></div>
2025/6/12 17:15作者羅正漢https://www.ithome.com.tw/news/169489
惡意軟體Myth Stealer同時鎖定Chrome、Firefox用戶而來，藉由冒牌遊戲網站散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了改善軟體開發安全，近年來有許多軟體改以程式語言<a href="https://www.ithome.com.tw/tags/rust">Rust</a>開發，例如Google於Chrome採用<a href="https://www.ithome.com.tw/news/167975">新的字型渲染程式庫Skrifa</a>，就是以這種程式語言撰寫而成。然而，攻擊者也開始跟進，採用這種程式語言打造惡意程式。</p> <p>例如，最近資安業者Trellix揭露的<a href="https://www.trellix.com/en-in/blogs/research/demystifying-myth-stealer-a-rust-based-infostealer/">Myth Stealer</a>，就是典型的例子。研究人員從去年12月下旬看到開發者於Telegram頻道宣傳、銷售，初期提供免費試用，後來開發團隊以租用的型式牟利。</p> <p>研究人員持續進行追蹤和調查後指出，駭客主要透過假的遊戲網站散布Myth Stealer，一旦使用者下載、執行，此惡意軟體會顯示假的視窗，轉移使用者的注意力，但實際上，駭客於後臺透過XOR運算或AES演算法解開先前被加密的惡意程式碼，並予以執行。此竊資軟體同時針對Chrome與Firefox兩大陣營的瀏覽器而來，搜括密碼、Cookie，以及自動填入的資訊。附帶一提的是，經營Myth Stealer的團隊不光銷售竊資軟體，他們還提供買家出售竊得資料的管道：該團隊建名為Myth Vouches & Marketplace的頻道供買家運用。</p> <p>值得留意的是，駭客為了迴避防毒軟體的偵測，也不斷加入相關的機制，除了上述提及的程式碼混淆手法，他們也透過檢查受害電腦的使用者名稱及檔案，來確認不是在研究人員的沙箱環境執行。此外，駭客也頻繁更新竊資軟體，以確保惡意軟體檢測平臺VirusTotal所有的防毒引擎無法察覺異狀。</p> <p>針對攻擊發動的流程，研究人員指出駭客將竊資軟體偽裝成與遊戲相關的檔案，通常會聲稱是少見的檔案並受到密碼保護，或是含有如何執行遊戲說明資料的ZIP壓縮檔，此外，他們也看到駭客以單一的EXE檔案散布，或是將竊資軟體與遊戲相關檔案打包成RAR壓縮檔的情況。</p> <p>附帶一提的是，他們也看到駭客聲稱提供遊戲作弊工具為幌子的手法，為了取信受害者，駭客還提供VirusTotal的連結，表示所有防毒引擎分析皆為無害。</p> <p>此竊資軟體引起研究人員注意的原因在於，駭客同時採用多種反分析機制（Anti-analysis techniques），其中包括運用Rust套件obfstr進行字串混淆、並檢查受害電腦是否具有特定的使用者名稱與檔案，來判定自身是否處於沙箱環境，而根據研究人員列出的檔案名稱來判斷，這些檔案與VMware Tools、VirtualBox Guest Additions等虛擬機公用程式有關。</p> <p>一旦確認在真實電腦執行，Myth Stealer就會終止與瀏覽器有關的處理程序，然後從特定的應用程式挖掘密碼、Cookie、自動填入資料、信用卡資訊。為了解開瀏覽器存放的Cookie內容，駭客使用了遠端除錯功能，並透過Windows內建的API試圖取得管理員帳號的特殊權限。此外，駭客後續替這款竊資軟體加入新功能，其中包括挾持剪貼簿、螢幕截圖，使得此竊資軟體更加無孔不入。</p> </div></div></div>
2025/6/12 14:59作者周峻佑https://www.ithome.com.tw/news/169501
迪士尼跟環球影業聯手控告AI新創Midjourney侵權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華特迪士尼（Walt Disney Company）及環球影業（Universal Pictures）周三（6/11）<a href="https://www.courthousenews.com/wp-content/uploads/2025/06/disney-ai-lawsuit.pdf" target="_blank">攜手控告AI圖像生成平臺Midjourney侵權</a>，指控Midjourney簡直是利用無止境的抄襲來收割它們的創意成果。</p> <p>控方總計由7家業者組成，其中有5家屬於迪士尼集團，包括迪士尼Disney Enterprises、漫威角色著作權公司Marvel Characters、漫威控股公司MVL Film Finance、星際大戰系統製作公司Lucasfilm，以及20世紀福斯電影公司Twentieth Century Fox，另兩家來自環球影業的則是Universal City Studios與夢工廠動畫公司DreamWorks Animation。</p> <p>2022年成立於美國的Midjourney主要提供圖像生成服務，使用者只要輸入文字，就能生成各式各樣的圖像，迄今已吸引數百萬訂閱用戶，在2024年締造了3億美元的營收。</p> <p>迪士尼與環球影業於訴狀中指出，Midjourney的圖像生成服務如同虛擬販賣機，持續生成無數未經授權的著作權作品翻版。</p> <p>其實在原告採取法律行動之前，曾先行要求Midjourney停止竊取其智慧財產權，並採取措施來保護著作權，例如拒絕那些要求顯示或下載版權角色的提示，或者是採用各種技術來避免侵權圖像的生成，然而，Midjourney不但沒有停止侵權行為，新版本還提供更高品質的侵權圖像。</p> <p>Midjourney之所以遭到動畫及電影業者鎖定，不僅是因為該公司利用這些有版權的角色來訓練模型；更因為Midjourney允許使用者生成基於特定角色、在不同場景下的圖像，例如直接生成以《星際大戰》黑武士Darth Vader或是小小兵為主角的圖像；還利用這些使用者生成的侵權圖像來行銷Midjourney服務。</p> <p>控方指出，Midjourney輕易就能停止對其智慧財產權的竊盜與剝削，該公司能夠控制其圖像服務中的版權內容，也能防止版權內容持續被複製與散布，其它AI圖像及影像生成業者都已建立版權保護措施，以保障創作者的權利；但Midjourney卻藉由生成無數未經授權的版權作品翻版，以建立一個有利可圖的商業服務，供使用者付費訂閱，根本就是教科書等級的侵權作法。</p> <p>Midjourney則尚未對此一訴訟案作出回應。</p> </div></div></div>
2025/6/12 15:50作者陳曉莉https://www.ithome.com.tw/news/169505
研究人員揭露Microsoft 365 Copilot的零點擊AI漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aim.security/lp/aim-labs-echoleak-blogpost" target="_blank">以色列資安業者Aim Security旗下的Aim Labs周三（6/11）揭露</a>一個位於Microsoft 365 (M365) Copilot的資安漏洞，允許駭客在無需使用者互動的情況下，竊取M365 Copilot脈絡中的機密資訊。這是第一個針對AI代理人的零點擊攻擊鏈，不僅威脅Copilot的資料安全，可能也會影響其它基於檢索增強生成（Retrieval‑Augmented Generation，RAG）的聊天機器人與AI代理人。</p> <p>此一被Aim Labs命名為EchoLeak的資安漏洞已取得CVE‑2025‑32711漏洞編號，其CVSS風險評分高達9.3。</p> <p>EchoLeak主要涉及大型語言模型範圍違規（LLM Scope Violation）問題，同時利用了RAG Copilot的設計缺陷，以讓駭客可在不需仰賴使用者的行動下，自動汲取來自M365 Copilot的任何資料。</p> <p>這是因為基於RAG的聊天機器人，可以擷取與使用者查詢相關的內容，以提升回應品質，例如M365 Copilot會查詢Microsoft Graph，並從使用者的組織環境中檢索任何機關資訊，包括電子郵件信箱、OneDrive儲存空間、M365 Office檔案、內部SharePoint網站，以及Microsoft Teams的聊天歷史紀錄等。</p> <p>依據Aim Labs所公布的攻擊鏈，駭客可以先寄一封看似無害、但可利用LLM內容違規漏洞的電子郵件至企業員工的信箱，例如與產業動態有關的文章；接著在使用者要求Copilot摘錄與分析公司的財報時，系統便會將機密資訊及攻擊資訊混合到Copilot脈絡中；然後Copilot便會將機密資訊外洩給駭客。</p> <p>在該攻擊鏈中，駭客採用輕量級的Markdown標記語言來隱藏實際意圖，以繞過微軟替Copilot設計的敏感資訊保護系統XPIA Classifiers，外部連結過濾系統External Link Redaction，以及內容安全政策（CSP）。</p> <p>研究人員表示，此一攻擊鏈可能竊取M365 Copilot脈絡中的任何資料，包括聊天歷史紀錄，M365 Copilot自Microsoft Graph所獲取的資源，以及預先載入對話脈絡中的任何資料，像是使用者或組織名稱等。</p> <p>此外，這是生成式AI產品所發現的首個零點擊漏洞，它仰賴的是AI漏洞，而非特定的使用者行為，也繞過了多項先進的防護措施，證明要保障AI並使其正常運作，可能需要新型態的保護措施。</p> <p>值得注意的是，LLM範圍違規是AI應用獨有的威脅，只要應用程式核心仰賴LLM，而且接受不可靠的輸入，便可能受到類似的攻擊。</p> <p><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-32711" target="_blank">微軟也在同一天揭露了該漏洞</a>，僅簡單敘述未經授權的駭客可藉由M365 Copilot的AI指令注入漏洞，透過網路竊取資訊，並說微軟已修補了該漏洞，用戶無需採取任何行動。</p> </div></div></div>
2025/6/12 14:35作者陳曉莉https://www.ithome.com.tw/news/169500
網路儲存設備Dell PowerScale存在重大漏洞，未經授權攻擊者可存取檔案系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月底Dell發布資安公告，指出旗下的網路儲存設備作業系統PowerScale OneFS<a href="https://www.dell.com/support/kbdoc/en-us/000326339/dsa-2025-208-security-update-for-dell-powerscale-onefs-for-multiple-security-vulnerabilities">存在5項資安漏洞</a>，一旦攻擊者成功利用，就能入侵存在漏洞的環境。Dell發布9.10.1.2、9.7.1.8、9.5.1.3版PowerScale OneFS予以修補。</p> <p>PowerScale OneFS是整合分散式檔案系統的作業系統，專為Dell EMC的PowerScale儲存平臺打造，能支援大規模網路儲存系統（NAS）的叢集架構。此作業系統的特色包含：採用單一檔案系統與單一命名空間，以軟體層整合檔案系統、磁碟區管理、資料保護機制，並提供PB級的橫向擴充能力。此外，該作業系統還能根據資料使用頻率自動調整儲存位置，提升整體系統的運作效能。</p> <p>根據CVSS風險評分，這次修補的漏洞當中最嚴重的是CVE-2024-53298，此為網路檔案系統（NFS）匯出功能缺乏授權弱點，未經授權的攻擊者只要遠端存取PowerScale OneFS，就有機會利用，從而導致未經授權的檔案系統存取，使得攻擊者能隨意讀取、竄改、刪除任何檔案。Dell強調攻擊者若是成功利用漏洞，能完整控制PowerScale OneFS，CVSS風險值為9.8。</p> <p>若是管理員無法即時套用PowerScale OneFS更新，Dell也提供緩解措施，使用特定命令與NFS匯出重新載入每個區域的組態。</p> <p>至於其他漏洞，CVE-2025-32753為中度風險的SQL注入漏洞，其餘漏洞出現在該作業系統採用的第三方元件：其中，CVE-2024-53580影響FreeBSD；CVE-2024-39689、CVE-2024-51538存在於SupportAssist模組。</p> </div></div></div>
2025/6/12 11:40作者周峻佑https://www.ithome.com.tw/news/169496
Apache Tomcat遭到大規模攻擊，400個IP位址對其暴力破解、登入嘗試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網頁應用程式伺服器Apache Tomcat受到許多企業與雲端平臺採用，尤其適合小型應用及微服務架構，原因在於該此系統開源且占用資源少，廣泛支援Java網頁應用的特性。由於受到廣泛採用，也有攻擊者盯上這類伺服器的現象。</p> <p>最近威脅情報業者GreyNoise揭露專門針對這種應用程式伺服器的大規模嘗試入侵活動，他們<a href="https://www.greynoise.io/blog/coordinated-brute-force-activity-targeting-apache-tomcat-manager">在6月5日</a>發現約有400個IP位址被用於暴力破解或嘗試登入Tomcat的管理介面。這些IP位址主要來自主機代管業者DigitalOcean的基礎設施，其中有298個IP位址用於嘗試登入，250個IP位址用於暴力破解攻擊。從GreyNoise公布的IP位址數量來看，顯然有部分的IP位址同時用兩種類型的活動。</p> <p>值得留意的是，雖然攻擊者並未鎖定Tomcat的弱點下手，但這波活動突顯他們對這種應用程式伺服器的高度興趣。由於這類活動往往是後續攻擊行動的前兆，攻擊者很可能會搭配其他資安弱點（例如今年3月公布的<a href="https://www.ithome.com.tw/news/167913">CVE-2025-24813</a>）來進行，因此IT人員應儘速採取相關防禦措施因應，例如：限縮存取Tomcat管理介面的來源、採用多因素驗證，以及監控是否有異常的登入事件記錄等。</p> </div></div></div>
2025/6/12 12:10作者周峻佑https://www.ithome.com.tw/news/169498
Safari 26原生支援WebGPU推進瀏覽器3D與AI算繪效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple於WWDC 2025<a href="https://webkit.org/blog/16993/news-from-wwdc25-web-technology-coming-this-fall-in-safari-26-beta/#webgpu">宣布</a>，Safari 26將於macOS、iOS、iPadOS及visionOS版本預設啟用WebGPU。這項更新讓瀏覽器具備直接呼叫圖形處理單元（GPU）的能力，有助於提升3D圖形與前端運算效能，未來預期將對網頁應用開發及效能表現產生影響。</p> <p>WebGPU屬於新一代跨平臺網頁圖形標準，能以更貼近底層硬體的方式執行運算與圖形著色器，現已陸續在Chrome、Edge等主要瀏覽器桌面版本支援，但各平臺細節與預設開啟情形仍有所不同。</p> <p>WebGPU相較於WebGL，能繞過OpenGL ES等轉譯層，直接呼叫Metal等系統級繪圖API，有助於減少處理延遲與記憶體資源複製負擔。實際應用場景如即時光影、粒子模擬、物理運算等高負載網頁3D功能，預期可藉此獲得較佳互動體驗。主流前端函式庫如Three.js、Babylon.js，以及Unity等實驗性WebGPU方案已釋出，開發者可根據專案需求調整轉譯後端，評估是否啟用WebGPU功能。</p> <p>WebGPU也支援前端進行矩陣運算、影像處理等非圖形運算工作，更多運算任務可於本地端執行，降低對雲端資源的依賴，有助於減少延遲並強化使用者隱私。開發團隊提到，WebGPU由於能夠存取較底層的硬體資源，因此他們在設計時也特別重視安全性，避免產生新的攻擊途徑。此外，官方也透過調整驗證機制，在確保安全性的同時，減少執行負擔，讓效能更接近原生應用程式。</p> <p>在行動裝置方面，WebGPU與硬體能源管理與排程技術協同運作，根據設備運算能力與狀態調整算繪負載，協助提升iPhone、iPad或Apple Vision裝置的3D模型、動畫或運算內容表現，以兼顧裝置效能與續航。</p> <p>現在Safari 26預設啟用WebGPU，代表著該技術已進入主流瀏覽器發展階段，主要桌面瀏覽器皆具備WebGPU核心支援，不過支援範圍及成熟度仍因平臺有所差異。開發者可透過Safari Technology Preview測試WebGPU功能，並依專案需求評估相關開發指引，以發揮GPU運算潛力。</p> </div></div></div>
2025/6/12 11:52作者李建興https://www.ithome.com.tw/news/169492
Patch Tuesday不相容部分Windows 11 24H2 PC，微軟撤回再送
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周釋出<a href="https://www.ithome.com.tw/news/169471" target="_blank">6月份Patch Tuesday安全更新</a>，卻有部分搭載Windows 11 24H2的PC因相容問題無法安裝，迫使微軟必須撤回再發送一次。</p> <p><a href="https://x.com/WindowsUpdate/status/1932521946509611190" target="_blank">微軟說明</a>，2025年6月安全更新以漸次方式部署到24H2（KB5060842）過程中，發現在部分執行24H2的裝置上有不相容問題，已經暫停對這些裝置部署更新，並改以例外（out-of-band，OOB）更新（KB5063060）方式安裝。</p> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3570" target="_blank">根據周三微軟更新的相關網頁</a>，微軟已經於昨日發送了KB5063060更新版。</p> <p>本月的Patch Tuesday修補66項漏洞，包括一個已遭濫用的WebDAV遠端程式碼執行（RCE）漏洞CVE-2025-33053，以及一個已公開的Windows SMB提權攻擊漏洞CVE-2025-33073。</p> <p>這也是最新Patch Tuesday引發的用戶端問題。微軟上個月發布5月安全更新時，也在部分搭載Windows 11 22H2 及23H2 PC上安裝失敗，並出現和ACPI.sys有關的回復錯誤訊息(0xc0000098) ，主要影響Azure Virtual Machines、Azure Virtual Desktop和代管在Citrix、Hyper-V的本地部署VM。</p> </div></div></div>
2025/6/12 10:57作者林妍溱https://www.ithome.com.tw/news/169494
OpenAI開源權重的模型要延到夏天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI推出開源權重模型的承諾，基於一些技術問題要延後到夏天了。</p> <p>有鑒於DeepSeek帶動的開源AI模型風潮，也讓封閉模型業者如OpenAI開始思考靠攏開放路線。<a href="https://www.wired.com/story/openai-sam-altman-announce-open-source-model/" target="_blank">OpenAI執行長Sam Altman 3月底宣布</a>，公司正在推進開源權重模型的專案，預計未來幾個月內開源一款具推理能力的模型之權重。初步預定為6月。</p> <p><a href="https://x.com/sama/status/1932573231199707168" target="_blank">周二Altman在X公告</a>，這個專案要再多花一點時間，預計要到今年夏天。他說研究團隊開發了「預期之外很讚」的東西，非常值得等待，只是要再等等。</p> <p>OpenAI面臨AI新創公司的激烈競爭，可能促使該公司加緊推進研發及業務發展。法國新創公司<a href="https://www.ithome.com.tw/news/169475" target="_blank">Mistral AI本周公布了第一款推理模型Magistral</a>，<a href="https://www.reuters.com/world/china/chinas-deepseek-releases-an-update-its-r1-reasoning-model-2025-05-29/" target="_blank">DeepSeek 也在上個月推出R1更新版</a>。</p> <p>另一方面OpenAI也藉由收購擴大產品能力，包括<a href="https://www.ithome.com.tw/news/169088" target="_blank">買下前Apple首席設計師Jony Ive的AI裝置新創公司io</a>，以及傳言以30億美元買下程式AI輔助撰寫平臺Windsurf。</p> </div></div></div>
2025/6/12 11:16作者林妍溱https://www.ithome.com.tw/news/169495
HPE修補備份平臺StoreOnce重大層級的身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓受害組織增加恢復資料的難度，勒索軟體駭客往往會針對備份系統下手，清除企業組織備份的內容，一旦這類系統出現資安弱點，就很有可能被駭客拿來利用。因此，IT人員也要特別留意相關的資安弱點資訊。</p> <p>HPE針對儲存備份系統StoreOnce<a href="https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbst04847en_us&docLocale=en_US">發布資安公告</a>，修補8項由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）通報的弱點，這些漏洞可被用於繞過身分驗證、遠端程式碼執行（RCE）、伺服器請求偽造（SSRF）、路徑穿越、任意檔案刪除，以及資訊洩露，影響HPE StoreOnce G4/4+，該公司發布4.3.11版予以修補。</p> <p>StoreOnce是高效能備份暨資料保護解決方案，可靈活透過實體設備、虛擬設備，以及雲端環境進行部署，也能整合Cloud Bank Storage以混合雲型態建置。其特點是能透過刪除重複資料來大幅降低資源需求，並內建可防堵勒索軟體攻擊的威脅防護機制，支援應用程式感知備份。</p> <p>根據CVSS風險評分，這批漏洞最危險的是身分驗證繞過漏洞CVE-2025-37093，風險值高達9.8分（滿分10分）。在HPE的資安公告裡，並未對這些漏洞說明其他細節，而ZDI<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-316/">在公告提及</a>，這項弱點存在於StoreOnce的虛擬儲存設備Virtual Storage Appliance（VSA）版本，攻擊者能遠端利用，並在無需事先通過身分驗證的情況下觸發。</p> <p>此漏洞發生在名為machineAccountCheck的方法，起因是其中一項身分驗證的演算法實作不當。ZDI於去年10月通報HPE，並在雙方協調之下於今年6月正式發布相關公告。</p> <p>雖然目前這項漏洞尚未傳出遭到利用的情況，也尚無概念驗證程式碼（PoC），但<a href="https://arcticwolf.com/resources/blog/cve-2025-37093/">資安業者Arctic Wolf提出警告</a>，攻擊者很有可能串連其他危險係數較低的漏洞，從而達到遠端執行程式碼、洩露資訊，或是路徑穿越等目的。由於備份系統近年來不斷成為攻擊目標，他們認為駭客可能不久就會試圖利用這項漏洞。</p> <p>除了重大層級的CVE-2025-37093，占據本次發布漏洞總數一半的RCE漏洞，也相當值得留意，這些都是高風險漏洞，風險值皆為7.2分，這些漏洞被登記為CVE-2025-37089、CVE-2025-37091、CVE-2025-37092、CVE-2025-37096列管。</p> </div></div></div>
2025/6/11 22:44作者周峻佑https://www.ithome.com.tw/news/169491
Android 16正式發布先提供Pixel手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/android-16/" target="_blank">Google宣布Android 16正式發布</a>，已優先推向Pixel手機用戶，提供全新設計語言、新通知介面、Log紀錄，以及支援平板分割螢幕等功能。</p> <p>Android 16也是近幾年來公布最早的重大更新。而除了Pixel手機用戶，接下來也會逐步推向三星、小米、OnePlus、Motorola及其他Android手機。</p> <p>Android 16介面採用最新的Material 3 Expressive設計語言。Android 16也提供了多項新功能及功能更新。首先是即時通知（Live Updates），可即時顯示相容第三方服務的更新狀態，不必每5分鐘點開App查看一次。第一批相容服務是叫車類及餐點外送。Google並說，會逐步將這功能推向其他Android手機業者開發的通知，如三星的Now、OPPO和OnePlus的Live Alerts。此外Android 16也會將單一App的通知自動集結起來以減少資訊量過載。</p> <p>其次為輔助（accessibility）功能。Android 16將可改善助聽器使用經驗；現有使用藍牙LE Audio的助聽器，是以內建前向式麥克風來收聽來自前方的聲音，但無法收聽使用者本身的聲音。現在在嘈雜環境中，用戶可以用Android 16手機的麥克風取代助聽器。Android 16加入原生的助聽器控制功能，允許在手機上控制助聽器音量。</p> <p>Android 16現在加入進階防護（Advanced Protection）功能，號稱是Google最強行動裝置安全功能，可協助防護線上攻擊、有害App、惡意網站、詐騙電話等。<a href="https://security.googleblog.com/2025/05/advanced-protection-mobile-devices.html" target="_blank">根據Google網頁</a>，進階防護功能可運用於Chrome、Google Message、Phone by Google等，Google也計畫未來整合第三方App。</p> <p>Google也推出Android裝置專用，號稱業界第一個入侵紀錄（Intrusion Logging）。它將裝置log加密防護保存，只有用戶可以存取，這可在裝置遭駭時，提供鑑識分析。</p> <p>Android 16另外新增平板專用的電腦分割視窗（desktop windowing）。這是Google和三星合作，以三星DeX為基礎開發，可在單一Android平板上開啟多個應用程式視窗並調整大小，一如在桌機上，</p> <p>本項功能也會在今年推向其他相容裝置。此外Google預告今年內還會推出自訂鍵盤快速鍵，以及工作列溢位管理（taskbar overflow），後者方面工作列開滿時快速找到想要的App。此外，<a href="https://android-developers.googleblog.com/2025/06/developer-preview-enhanced-android-desktop-experiences-connected-displays.html" target="_blank">Google也正在公測</a>連結Android手機/平板和外接顯示器的功能。</p> <p>Google預告今年內還會為Android 16及Wear OS 6，加入更多Material 3 Expressive設計更新。</p> <p>除了Android 16，<a href="https://blog.google/intl/zh-tw/products/devices-services/pixel-drop-june-2025/" target="_blank">Google同時也釋出</a>Pixel手機功能更新（Pixel Drop），包括放大鏡支援搜尋、Pixel VIP聯絡人小工具等、新增的照片編輯能力、以及能消除背景噪音的錄音工具等。</p> </div></div></div>
2025/6/12 10:16作者林妍溱https://www.ithome.com.tw/news/169493
竊資軟體AMOS冒充美國電信業者，針對macOS用戶展開ClickFix網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司CloudSEK<a href="https://www.cloudsek.com/blog/amos-variant-distributed-via-clickfix-in-spectrum-themed-dynamic-delivery-campaign-by-russian-speaking-hackers">揭露</a>一波針對macOS用戶的攻擊事件，駭客集團假冒美國電信業者Spectrum註冊相關網域，結合ClickFix網釣流程，散布新版Atomic macOS Stealer（AMOS）惡意程式。攻擊行動自5月下旬開始活躍，駭客設置與Spectrum相關的釣魚網站，誘使受害者下載並執行AMOS惡意程式，進而竊取憑證、瀏覽器快取、加密貨幣錢包及其他敏感資料。</p> <p>研究人員指出，駭客註冊多個與Spectrum高度相似的假冒網域，誘導用戶進入釣魚網站。網站會引導用戶進行驗證操作，畫面設計模仿常見驗證介面，誘使點擊替代驗證按鈕，實則將攻擊腳本複製到剪貼簿，並要求用戶在終端機執行。</p> <p>駭客會根據用戶作業系統，自動切換不同的攻擊腳本，本次攻擊主力鎖定macOS用戶，攻擊流程會透過bash指令下載惡意殼層腳本，該腳本會反覆提示用戶輸入系統密碼，並以macOS本地驗證指令確認密碼正確性。在取得有效密碼後，腳本將憑證儲存至暫存目錄，隨後自遠端伺服器下載惡意執行檔，利用sudo權限清除安全隔離標記，並將其設為可執行檔後執行。</p> <p>研究人員提到，攻擊者在6月初設立偽造的Homebrew軟體庫，利用廣告釣魚誘導以Homebrew為開發工具的開發者誤入假網域，下載並執行惡意安裝腳本，造成AMOS變種程式植入系統。該假冒軟體庫會切換指向真正Homebrew安裝頁面，或攻擊者控制的伺服器，提升釣魚網站的真實性並增加追蹤困難度。</p> <p>假冒網站原始碼存在俄語註解，且其命令與控制伺服器資訊與過往俄語地區駭客團體所用特徵相符，研究人員認為本次行動疑似由俄語地區駭客發動。部分攻擊網頁前端存在邏輯錯誤，例如針對不同作業系統顯示不一致的指令提示，或向macOS用戶顯示Windows快捷鍵操作，凸顯出攻擊基礎架構組裝較為倉促，但其社交工程誘騙與針對性設定仍有高安全風險。</p> </div></div></div>
2025/6/11 18:46作者李建興https://www.ithome.com.tw/news/169490
【資安日報】6月11日，微軟修補已遭利用的WebDAV零時差漏洞，若不處理攻擊者可遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二有許多軟體業者發布6月份資安更新，其中微軟發布的內容尤其值得留意，因為其中包含了已被用於攻擊行動的資安漏洞。再者，SAP發布的公告也引起關注，原因是他們再度為NetWeaver修補重大漏洞。此外，本週有兩組研究人員公布Salesforce弱點的消息，也值得用戶留意。</p> <p>而在資安事故的消息上，零售業者遭到攻擊的事故，從時尚精品和運動服飾品牌轉向了保健食品業者；而在國內的部分，光電封測大廠聯鈞光電透露，5月下旬他們二度遭到攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169469"><strong style="font-size: 22px;">健康食品批發龍頭United Natural Foods遭網路攻擊，出貨受影響</strong></a></p> <p>北美最大健康食品批發通路商United Natural Foods Inc（UNFI）本月初遭到網路攻擊，迫使暫時關閉系統，已影響出貨及業務運作。</p> <p>UNFI在提交美國證管會的報告指出，該公司今年6月5日在部分IT系統發現未授權活動，立即採取應變，關閉部分和客戶訂單交付相關的系統。</p> <p>UNFI表示，此事件已經對公司營運有短期影響，預估情形還會持續。UNFI目前已援引外部網路安全專家的協助，進行評估與緩解、修復事件影響，也已通報執法機關。該公司正努力回復系統，而因應事件，UNFI也實作替代方案，以便交付訂單。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=122607&SPOKE_DATE=20250609&COMPANY_ID=3450"><strong style="font-size: 22px;">針對駭客兜售內部資料的情況，聯鈞光電發布資安重訊說明，指出在著手強化防禦過程再度遭到攻擊</strong></a></p> <p>6月9日矽光子及光電封測大廠聯鈞光電發布資安重訊，針對有媒體報導駭客於地下論壇公然兜售竊得資料的情況進行說明，他們提及1月19日<a href="https://www.ithome.com.tw/news/167064">遭受勒索軟體攻擊</a>後，就尋求外部資安業者協助，強化網路與資安架構，但在尚於著手改善的過程裡，又於5月16日面臨另一勒索軟體入侵的情況。針對這起事故可能造成的影響，聯鈞表示根據他們的評估，對公司營運無重大影響，但他們提及有疑似資料外洩的情況，將進行深入調查。</p> <p>究竟聯鈞提及的報導為何？我們推測很有可能是民視新聞網<a href="https://www.ftvnews.com.tw/news/detail/2025607W0132">於6月7日的報導</a>，當中提及於今年1月駭客組織Akira對聯鈞光電發動攻擊，他們當時在駭客論壇兜售90 GB資料，號稱內含大量保密協議（NDA）、公司機密授權文件，開價1千美元。</p> <p>另一組聲稱攻擊聯鈞的勒索軟體駭客組織是Crypto，這批歹徒於5月28日表示手上握有700 GB聯鈞內部資料。但聯鈞遭遇的資安事故是否就是這些勒索軟體駭客所為，該公司並未說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fin6-hackers-pose-as-job-seekers-to-backdoor-recruiters-devices/">駭客組織FIN6假借求職名義從事社交工程攻擊，意圖散布惡意軟體More_eggs</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://FBI: BADBOX 2.0 Android malware infects millions of consumer devices">針對綁架全球逾百萬臺連網裝置的殭屍網路BadBox 2.0，FBI警告用戶要加強防範，以免裝置被綁架用於網路犯罪</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169471"><strong style="font-size: 22px;">微軟發布6月例行更新，修補已被實際利用的WebDAV零時差漏洞</strong></a></p> <p>6月10日微軟發布本月例行更新（Patch Tuesday），修補67個漏洞，數量較上個月78個有所減少。從漏洞的類型來看，遠端程式碼執行（RCE）漏洞25個最多，約占整體四成；其次是資訊洩露漏洞、權限提升漏洞，分別有17個、15個；其餘有6個是阻斷服務（DoS）漏洞、2個安全功能繞過漏洞，以及2個可被用於欺騙的漏洞。從危險的程度而言，其中有10個是重大層級，8個是遠端程式碼執行漏洞、2個是權限提升漏洞。</p> <p>值得留意的是，這次有兩個零時差漏洞，其中一個已被用於實際攻擊活動，另一個在修補前就被公開。這些漏洞分別是：WebDAV遠端程式碼執行漏洞CVE-2025-33053，以及SMB用戶端權限提升漏洞CVE-2025-33073。</p> <p>其中，CVE-2025-33053是資安業者Check Point發現及通報，對於漏洞發現的過程，Check Point表示，他們於今年3月看到被稱為Stealth Falcon（FruityArmor）的APT駭客，用於攻擊一家土耳其國防公司。</p> <p><a href="https://www.ithome.com.tw/news/169478"><strong style="font-size: 22px;">兩組研究人員公布Salesforce零時差漏洞，涉及SOQL物件查詢注入攻擊、低程式碼平臺組態配置不當</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/salesforce-emails.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/salesforce-emails.png" style="width: 300px; float: right;" /></a>為了進一步挖掘受害企業的機敏資訊，駭客可能會鎖定客戶關係管理系統（CRM）平臺Salesforce下手，竊取其中的內容，一旦這類系統出現資安漏洞，就有可能成為駭客利用的標的。</p> <p>最近有兩組研究人員揭露與Salesforce有關的漏洞，其中又以資安研究員Tobia Righi公布的零時差漏洞引起關注，這項弱點發生在Salesforce預設的控制器，此控制器將contentDocumentId參數直接嵌入動態的Salesforce Object Query Language（SOQL）查詢，卻未經過適當處理，導致可被惡意操控。Tobia Righi先後於2月下旬及4月初向Salesforce通報此事，直到最近似乎Salesforce默默地完成修補，Tobia Righi才公布漏洞細節。研究人員指出，Salesforce並未發布資安公告提及此事，也沒有登記CVE編號。</p> <p>另一組漏洞的揭露，來自SaaS應用程式資安業者AppOmni，他們在Salesforce為特定產業提供的雲端解決方案Industry Clouds當中，找到21項與組態配置有關的弱點，有可能導致未經授權的攻擊者存取加密表單、竊取連線階段（Session）、帳密資料，甚至是掌握商業運作邏輯。AppOmni向Salesforce通報並進行合作，結果有5個登記了CVE編號列管，其中有3項完成修補、2項Salesforce發布組態配置指引，而對於未登記編號的16項組態弱點，Salesforce認為並非是軟體錯誤，應由客戶負責處理。</p> <p><a href="https://www.ithome.com.tw/news/169474"><strong style="font-size: 22px;">SAP修補NetWeaver重大層級漏洞</strong></a></p> <p>本週二（6月10日）SAP發布6月份Security Patch Day每月例行更新，總共發布14則公告，其中最受到關注的部分，是應用程式伺服器NetWeaver的重大漏洞CVE-2025-42989，由於SAP從4月底至5月上旬，先後修補已被用於攻擊行動的NetWeaver資安漏洞CVE-2025-31324、CVE-2025-42999（CVSS風險值為10分、9.1分），由於上述事故的發生，使得與這套應用程式伺服器相關的嚴重漏洞，近期特別受到關注。</p> <p>CVE-2025-42989存在於NetWeaver Application Server for ABAP，為缺乏授權檢查的漏洞，影響核心為7.89、7.93、9.14、9.15版的應用程式伺服器系統，CVSS風險評為9.6分。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/adobe-releases-patch-fixing-254.html">Adobe發布6月例行更新，修補254個漏洞創下今年新高</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://kb.cert.org/vuls/id/211341">Insyde H2O UEFI韌體存在資安弱點，攻擊者可用於憑證注入攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ivanti-workspace-control-hardcoded-key-flaws-expose-sql-credentials/">Ivanti Workspace Control存在寫死金鑰弱點，搭配的SQL資料庫恐曝險</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169470"><strong style="font-size: 22px;">F5買下代理程式型態AI的資安新創Fletch</strong></a></p> <p>資安大廠F5本月初宣布收購以代理人AI為核心的新創業者Fletch，期望降低資安管理的複雜性。</p> <p>對於併購案金額，雙方並未透露相關資訊。F5今年初整合負載平衡、流量管理及應用與API安全能力成為應用遞送與安全平臺（Application Delivery and Security Platform，ADSP），旨在以平臺簡化眾多企業應用的管理複雜性，在買下Fletch後，Fletch技術將整合進F5的ADSP架構，推進其產品藍圖。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169459"><strong>【6月10日】中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> </div></div></div>
2025/6/11 17:19作者周峻佑https://www.ithome.com.tw/news/169486
兩組研究人員公布Salesforce零時差漏洞，涉及SOQL物件查詢注入攻擊、低程式碼平臺組態配置不當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了進一步挖掘受害企業的機敏資訊，駭客可能會鎖定客戶關係管理系統（CRM）平臺<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>下手，竊取其中的內容，最近一起針對該平臺而來的資安事故，是<a href="https://www.ithome.com.tw/news/169228">駭客組織Gehenna（GHNA）從可口可樂裝瓶合作夥伴Coca-Cola Europacific Partners（CCEP）竊得內部資料</a>。一旦這類系統出現資安漏洞，就有可能成為駭客利用的標的。</p> <p>最近有兩組研究人員揭露與Salesforce有關的漏洞，其中又以<a href="https://mastersplinter.work/research/salesforce-sqli/">資安研究員Tobia Righi公布的零時差漏洞</a>引起關注，這項弱點發生在Salesforce預設的控制器，此控制器將contentDocumentId參數直接嵌入動態的Salesforce Object Query Language（SOQL）查詢，卻未經過適當處理，導致可被惡意操控。Tobia Righi先後於2月下旬及4月初向Salesforce通報此事，直到最近似乎Salesforce默默地完成修補，Tobia Righi才公布漏洞細節。研究人員指出，Salesforce並未發布資安公告提及此事，也沒有登記CVE編號，當他詢問能否參與漏洞懸賞專案，Salesforce竟回覆：該專案不再受理漏洞通報。</p> <p>這項資安漏洞的發現，源自於Tobia Righi對於Salesforce提供的Aura框架進行模糊測試（Fuzzing），察覺其中一項內建的控制器存在SOQL注入弱點，並指出攻擊者若是能繞過SOQL的管制，就有可能取得敏感的用戶資料，以及上傳檔案的詳細資訊。這種問題影響將相當廣泛，成千上萬的Salesforce平臺都可能曝險。研究人員最終透過特製的輸入觸發錯誤訊息，成功找出能用於SOQL注入的資安弱點。</p> <p>另一組漏洞的揭露，來自SaaS應用程式資安業者AppOmni，他們在Salesforce為特定產業提供的雲端解決方案Industry Clouds當中，<a href="https://appomni.com/blog/low-code-high-stakes-salesforce-security/">找到21項與組態配置有關的弱點</a>，有可能導致未經授權的攻擊者存取加密表單、竊取連線階段（Session）、帳密資料，甚至是掌握商業運作邏輯。AppOmni向Salesforce通報並進行合作，結果有5個登記了CVE編號列管，其中有3項完成修補、2項Salesforce發布組態配置指引，而對於未登記編號的16項組態弱點，Salesforce認為並非是軟體錯誤，應由客戶負責處理。</p> <p>Industry Clouds是Salesforce以Customer 360平臺為基礎建構的垂直整合解決方案，結合CRM與產業專屬功能，讓企業能以低程式碼（Low-code）方式快速部署符合業務需求的應用程式。由於Industry Clouds廣泛用於金融、醫療保健、製造、電信、公共服務等領域，因此這些配置不當的弱點，影響範圍可能會相當廣泛。</p> <p>針對這次AppOmni找到的弱點，研究人員指出存在於FlexCards、Data Mappers、Integration Procedures、Data Packs、OmniOut，以及OmniScript Saved Sessions功能。其中被登記CVE編號的弱點，有4項出現於FlexCards，1項與Data Mappers有關，CVSS風險介於5.3至7.5分。</p> </div></div></div>
2025/6/11 16:19作者周峻佑https://www.ithome.com.tw/news/169478
Apple整合開發環境Xcode 26導入AI助理，增強自動化開發與多平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple於WWDC 2025<a href="https://developer.apple.com/videos/play/wwdc2025/247/?time=110">發表</a>Xcode 26，該版本將人工智慧助理整合進開發環境，正式支援ChatGPT並開放API連接第三方語言模型，提升程式碼自動生成、錯誤修正、文件產生及專案導覽等工作效率。這項更新有助於提升開發人員的生產力，並改變團隊協作與專案維護的模式。</p> <p>根據Apple官方說明，Xcode 26的<a href="https://developer.apple.com/documentation/Xcode/writing-code-with-intelligence-in-xcode">智慧程式開發（Coding Intelligence）</a>功能可讓開發者在側邊欄啟用人工智慧助理，透過自然語言與人工智慧互動，請求程式碼範例、解釋專案架構、產生或修改特定函式，並協助除錯與自動產生文件。開發者可選用預設的ChatGPT模型，或自訂加入如Anthropic、Ollama等本地或雲端模型，並透過API金鑰彈性切換與管理模型來源。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-Apple-Xcode%2026-Coding%20Intelligence.png" style="width: 600px;" /></p> <p>在實際應用上，人工智慧助理可依據專案內容給予建議與修改，支援多輪對話及上下文理解。每次人工智慧互動均自動保存對話紀錄及程式碼變更歷程，開發者可隨時回顧、還原或比對各階段程式狀態，降低人為疏失，方便團隊追蹤問題。針對安全性及專案管理需求，Xcode提供手動審核或自動套用變更的選項，使用者可依專案政策調整設定。</p> <p>新版Xcode提升專案導覽、符號查詢與即時測試體驗。透過按住Control鍵再用滑鼠點擊，或工具列可呼叫出人工智慧助理，針對指定函式、類別或檔案說明架構，或提供最佳化建議。針對SwiftUI或複雜UI開發需求，人工智慧可自動生成Playground巨集或UI預覽程式碼，供開發者驗證介面與互動邏輯。遇到編譯錯誤或警告時，使用者可直接請人工智慧生成修正建議並決定是否套用於專案，提升錯誤修正效率與一致性。</p> <p>文件生成也是智慧助理的功能更新。開發者僅需選取特定符號（Symbol），即可自動產生符合DocC規範的API說明文件，涵蓋類別、屬性與方法，減輕團隊文件維護負擔，提升專案可讀性與維護品質。Xcode 26還加強安全性與多平臺開發支援，提供更完整的開發工具整合方案。</p> </div></div></div>
2025/6/11 13:39作者李建興https://www.ithome.com.tw/news/169473
IBM將於2029年交付史上首個可容錯的大型量子電腦Quantum Starling
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2025-06-10-IBM-Sets-the-Course-to-Build-Worlds-First-Large-Scale,-Fault-Tolerant-Quantum-Computer-at-New-IBM-Quantum-Data-Center" target="_blank">IBM周二（6/10）公布其量子電腦發展藍圖</a>，指出計畫在2029年時，於紐約Poughkeepsie的新IBM Quantum資料中心，交付一臺名為Quantum Starling的大型容錯量子電腦。該系統將可透過200個邏輯量子位元（Logical Qubit）執行1億個量子邏輯閘（Quantum Gate），運算能力預期可達到目前量子電腦的2萬倍。</p> <p>IBM解釋，1個邏輯量子位元是由多個物理量子位元（Qubit）組成，它具備錯誤修正能力，能夠穩定儲存與運算量子資訊；實現大型量子電腦的關鍵，在於使用最少的物理量子位元，來打造出更多低錯誤率的邏輯量子位元，如今IBM率先提出一個可行的藍圖，能以合理的工程資源建置容錯量子電腦。</p> <p>Quantum Starling不僅運算能力是現代量子電腦的2萬倍，若要完整表示Quantum Starling量子電腦的計算狀態，將需要超過10^48臺全球最強大超級電腦的記憶體容量。</p> <p>建置Quantum Starling還有許多技術需要克服，IBM執行長Arvind Krishna表示，該公司在數學、物理與工程上的專業知識正在為大型的容錯量子電腦舖路。一個具備數百或數千個邏輯量子位元的電腦可執行數億至數十億次的操作，可望提升藥品開發、材料發現或化學等領域的速度及成本效率。</p> <p>根據IBM所展示的Quantum Starling開發藍圖，該公司將於2025年推出Quantum Loon晶片，藉由C-coupler技術來連結晶片內距離較遠的量子位元；於2026年發表能夠結合量子記憶體及邏輯運算的IBM Quantum Kookaburra量子處理器模組；2027年發表IBM Quantum Cockatoo，展示多模組連接與跨模組操作；在2028年進行Quantum Starling的概念性驗證。</p> <p><a href="https://www.technologyreview.com/2025/06/10/1118297/ibm-large-scale-error-corrected-quantum-computer-by-2028/" target="_blank">IBM量子計畫副總裁 Jay Gambetta向MIT Technology Review說明</a>，Starling將由一個模組網路組成，每個模組都包含一組晶片，IBM已開始建構該空間。此外，Gambetta也強調，IBM已經破解了量子糾錯的密碼，擁有於大型電腦上建置糾錯功能的所有組件，已自科學轉向工程階段。</p> <p>如同AI，量子電腦也吸引所有大型科技業者及新創業者的投入，像是<a href="https://www.ithome.com.tw/news/164961" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/166434" target="_blank">Google</a>或是<a href="https://www.ithome.com.tw/news/167637" target="_blank">Amazon</a>，新創則有D-Wave、Quantinuum與IonQ等。</p> </div></div></div>
2025/6/11 13:51作者陳曉莉https://www.ithome.com.tw/news/169476
微軟發布6月例行更新，修補已被實際利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月10日微軟發布<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Jun">本月例行更新（Patch Tuesday）</a>，修補67個漏洞，數量較<a href="https://www.ithome.com.tw/news/168932">上個月78個</a>有所減少。從漏洞的類型來看，遠端程式碼執行（RCE）漏洞25個最多，約占整體四成；其次是資訊洩露漏洞、權限提升漏洞，分別有17個、15個；其餘有6個是阻斷服務（DoS）漏洞、2個安全功能繞過漏洞，以及2個可被用於欺騙的漏洞。從危險的程度而言，其中有10個是重大層級，8個是遠端程式碼執行漏洞、2個是權限提升漏洞。</p> <p>值得留意的是，這次有兩個零時差漏洞，其中一個已被用於實際攻擊活動，另一個在修補前就被公開。這些漏洞分別是：WebDAV遠端程式碼執行漏洞CVE-2025-33053，以及SMB用戶端權限提升漏洞CVE-2025-33073。</p> <p>其中，CVE-2025-33053是資安業者Check Point發現及通報。這項弱點攻擊者可在未經授權的情況下利用，透過WebDAV資料夾檔案名稱或路徑的外部控制，從而透過網路執行任意程式碼，CVSS風險評為8.8。對於漏洞發現的過程，<a href="https://research.checkpoint.com/2025/stealth-falcon-zero-day/">Check Point表示</a>，他們於今年3月看到被稱為Stealth Falcon（FruityArmor）的APT駭客，用於攻擊一家土耳其國防公司，過程中攻擊者藉由操弄Windows內建工具的工作資料夾，而能在他們控制的WebDAV伺服器執行檔案。</p> <p>另一個在修補前就被公開的漏洞CVE-2025-33073，形成的原因是SMB存取控制不當，通過身分驗證的攻擊者能透過網路達到權限提升的目的，風險值為8.8。攻擊者可利用惡意指令碼讓受害電腦連回攻擊者的系統，並透過SMB進行身分驗證。雖然微軟公布的資訊並不多，但根據<a href="https://borncity.com/win/2025/06/10/attention-june-2025-patchday-closes-vulnerability-cve-2025-33073-in-windows/">科技部落格Born City的報導</a>，德國研究網路電腦緊急應變團隊DFN-CERT於6月6日透過電子郵件警告此事，指出資安業者RedTeam Pentesting GmbH找到並通報這項漏洞，呼籲使用者在微軟發布更新後要儘速修補。</p> </div></div></div>
2025/6/11 11:35作者周峻佑https://www.ithome.com.tw/news/169471
SAP修補NetWeaver重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（6月10日）<a href="https://www.ithome.com.tw/tags/sap">SAP</a>發布<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/june-2025.html">6月份Security Patch Day每月例行更新</a>，總共發布14則公告，其中最受到關注的部分，是應用程式伺服器NetWeaver的重大漏洞CVE-2025-42989，由於SAP從4月底至5月上旬，先後修補已被用於攻擊行動的NetWeaver資安漏洞<a href="https://www.ithome.com.tw/news/168625">CVE-2025-31324</a>、<a href="https://www.ithome.com.tw/news/168935">CVE-2025-42999</a>（CVSS風險值為10分、9.1分），因此與這套應用程式伺服器相關的嚴重漏洞，很容易受到關注。</p> <p>CVE-2025-42989存在於NetWeaver Application Server for ABAP，為缺乏授權檢查的漏洞，影響核心為7.89、7.93、9.14、9.15版的應用程式伺服器系統，CVSS風險評為9.6分。資安業者Onapsis<a href="https://onapsis.com/blog/sap-security-notes-june-2025-patch-day/">說明這項漏洞的細節</a>，指出此弱點出現於SAP遠端功能呼叫（Remote Function Call，RFC）框架，在特定的情況下，通過身分驗證的攻擊者能藉此繞過標準的授權檢查流程，從而提升權限，進而對系統完整性與可用性構成重大威脅。不過，稍微值得慶幸的是，目前尚未出現漏洞被用於實際攻擊的情況。</p> <p>對於其他SAP修補的項目，涵蓋資訊洩露、跨網站指令碼（XSS）、伺服器請求偽造（SSRF）、路徑穿越，以及缺乏授權檢查的問題。這些漏洞出現在GRC外掛程式、Business Warehouse、BusinessObjects、Visual Composer，以及MDM Server等應用系統。</p> </div></div></div>
2025/6/11 12:48作者周峻佑https://www.ithome.com.tw/news/169474
Mistral AI釋出首個推理模型家族Magistral
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創Mistral AI周二（6/10）<a href="https://mistral.ai/news/magistral" target="_blank">釋出該公司首個推理模型家族Magistral</a>，包括具備240億個參數的開源版Magistral Small，以及專供企業使用的Magistral Medium。</p> <p>Mistral AI指出，最好的人類思維並非線性的，它貫穿於邏輯、洞察、不確定及發現之中，推理語言模型可強化AI的複雜思維及深入理解，從而改善解決問題所需的精確、逐步考慮與分析能力。簡單地說，相較於通用模型，Magistral推理模型針對多步驟邏輯進行了微調，提高可解釋性，並以使用者的語言提供可追溯的思考過程。</p> <p>目前市場上標榜自己是推理模型或針對推理改善的模型，包括DeepSeek-R1、DeepSeek-V3、OpenAI o3及Gemini 2.5 Pro等，Mistral AI以Magistral Medium與Mistral Medium 3、DeepSeek-R1、DeepSeek-V3，以及Majority Voting@4、Majority Voting@64作比較，發現它不管是在AIME2024、AIME2025、GPQA Diamond、LiveCodeBench或Aider-Polyglot等基準測試上都有傑出的表現，僅稍微落後DeepSeek-R1。</p> <p>Mistral AI於自家聊天機器人Le Chat中，針對Magistral Medium模型進行了速度上的最佳化，只要啟用設定中的Think mode及Flash Answers，其回應速度將是競爭產品的10倍快。</p> <p>使用者現在可<a href="https://huggingface.co/mistralai/Magistral-Small-2506" target="_blank">透過Hugging Face免費存取Magistral Small</a>，或是藉由Le Chat及API試用Magistral Medium預覽版。此外，Mistral AI也已經或即將於Amazon SageMaker、IBM WatsonX、Azure AI 及Google Cloud Marketplace上部署了Magistral Medium。</p> <p>本周<a href="https://www.ithome.com.tw/news/169442" target="_blank">蘋果才發表了一個有關推理AI模型的研究報告</a>，指出許多標榜長鏈思考及自我反省能力的推理模型，只能處理簡單問題，遇見複雜問題就會破功，而且多半無法將推理能力延伸到訓練資料以外。</p> </div></div></div>
2025/6/11 12:51作者陳曉莉https://www.ithome.com.tw/news/169475
F5買下代理程式型態AI的資安新創Fletch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.f5.com/company/blog/how-agentic-ai-simplifies-cybersecurity-and-modern-threat-management" target="_blank">資安大廠F5本月初宣布收購以代理人AI為核心的新創業者Fletch</a>，期望降低資安管理的複雜性。</p> <p>隨著AI、混合雲與多雲環境的興起及分散式架構日愈複雜，企業資料、應用及API安全管理也更加困難。Fletch代理人AI方案結合代理人AI、自然語言和進階分析，可將外部威脅情報及內部系統log，整合成即時、按照優先排序的洞見及行動建議。</p> <p>總部位於舊金山的Fletch創立於2020年，其技術核心是使用眾多代理人掃瞄、蒐集威脅訊號及提供威脅的分析，例如對特定企業的影響。其方案整合到F5的ADSP平臺後，將可減輕管理負擔，並且藉由即時分析洞見及提供安全建議，加速事件回應。</p> <p>本收購金額不詳。F5今年初整合負載平衡、流量管理及應用與API安全能力成為應用遞送與安全平臺（Application Delivery and Security Platform，ADSP），旨在以平臺簡化眾多企業應用的管理複雜性。收購後，Fletch技術將整合進F5的ADSP架構，推進其產品藍圖。</p> </div></div></div>
2025/6/11 11:07作者林妍溱https://www.ithome.com.tw/news/169470
OpenAI公布o3-pro模型 o3降價80%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/OpenAI/status/1932530423911096508" target="_blank">OpenAI昨日宣布最新推理模型o3-pro</a>，價格比o1-pro便宜87%，同時間o3模型費用也降價80%。</p> <p>OpenAI o3-pro是用於取代o1-pro，在底層模型上則和o3相同。o3-pro即日起已可供ChatGPT Pro和Team方案用戶在模型選單中選取。Enterprise和Edu用戶將可在下周使用。此外，o3-pro也透過Responses API開放給開發人員。</p> <p>價格方面，相較於o1-pro去年12月推出時，輸入/輸出價格為每百萬token 150/600美元，o3-pro價格則為20/80美元，大約便宜了87%。</p> <p>如同o1-pro，o3-pro是OpenAI最強的智能模型。其設計宗旨是思考得更久，並提供更可靠的回應。從o1-pro推出以來，獲得理工領域如數學、科學和程式開發用戶的偏愛。而和o3一樣，o3-pro可使用工具，如搜尋網頁、分析檔案、理解視覺輸入、使用Python，提供ChatGPT的用處，它也使用模型來提供個人化回應。</p> <p>由於o3-pro使用工具，因此完成一項回應所需時間較o1-pro來得長。OpenAI建議將o3-pro用在更複雜、需要可靠度而非速度的問題，然後等上數分鐘獲取更好的答案。</p> <p>OpenAI說，專家評估中，o3-pro在每項測試領域的效能都持續優於o3，而在科學、教育、商業和寫作輔助方面尤其如此。o3-pro在清楚度、完整性、指令遵從及準確性等指標，也都獲得更高的評價。</p> <p>目前由於技術因素，o3-pro暫不提供臨時交談。o3-pro此時不支援圖片生成，有需求者應改用GPT-4o、OpenAI o3或OpenAI o4-mini。此外o3-pro也暫時不支援Canvas（工作區）功能。</p> <p>因應o3-pro的推出，<a href="https://x.com/sama/status/1932434606558462459" target="_blank">OpenAI執行長Sam Altman宣布o3大降價</a>。根據<a href="https://community.openai.com/t/o3-is-80-cheaper-and-introducing-o3-pro/1284925" target="_blank">OpenAI的價目表</a>，o3輸入百萬Token的價格由10美元降為2美元，輸出百萬Token價格則由40美元降為8美元。同時OpenAI也優化了o3的推理技術堆疊。</p> </div></div></div>
2025/6/11 09:42作者林妍溱https://www.ithome.com.tw/news/169466
法國準備出手限制15歲以下兒童使用社交媒體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國總統馬克宏（Emmanuel Macron）周二（6/10）對外表示，倘若歐盟不採取行動，法國將在最近幾個月內開始禁止15歲以下的兒童使用社交媒體。</p> <p>馬克宏的舉動起因於法國校園暴力日益盛行。今年4月時有一名學生以刀子刺傷了4名同學，其中有一名同學死亡；為此，法國教育部已於今年開始要求學校檢查學生的包包，導火線是本周法國有一名14歲的中學生，在學校的例行性包包檢查時，以刀子刺死了一名學校工作人員。</p> <p><a href="https://x.com/EmmanuelMacron/status/1932531520297738501" target="_blank">馬克宏在X上表示</a>，兒童與青少年不應在街上或學校裡持刀，我們應該禁止販售它們；<a href="https://x.com/EmmanuelMacron/status/1932533029089521831" target="_blank">他還主張禁止15歲以下的兒童使用社交媒體</a>，由各大平臺負責驗證使用者的年齡，並說這是數位螢幕委員會的建議。</p> <p><a href="https://www.politico.eu/article/emmanuel-macron-social-media-ban-minors-france/" target="_blank">根據Politico的報導</a>，法國在今年6月7日正式強制要求色情網站驗證用戶年齡，也開始迫使 X、Reddit、Bluesky與Mastodon等社交網站導入年齡驗證機制，而使得當地的虛擬網路服務（VPN）需求激增。</p> <p>決定立法禁止青少年存取社交平臺的還有澳洲，<a href="https://www.ithome.com.tw/news/166276" target="_blank">澳洲政府要求社交平臺必</a>須阻止16歲以下的兒童註冊帳號，可望於今年11月生效。</p> <p>相較於歐洲對社交平臺必須負責驗證使用者身分的要求，美國<a href="https://www.ithome.com.tw/news/167707" target="_blank">猶他州</a>與<a href="https://www.ithome.com.tw/news/169220" target="_blank">德州</a>相繼通過了《App Store問責法令》（App Store Accountability Act），認為像是蘋果App Store或Google Play才應負責使用者年齡的驗證，而讓Meta與Snap等社交平臺業者大聲叫好。</p> </div></div></div>
2025/6/11 10:01作者陳曉莉https://www.ithome.com.tw/news/169467
健康食品批發龍頭United Natural Foods遭網路攻擊出貨受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北美最大健康食品批發通路商United Natural Foods Inc（UNFI）本月初遭到網路攻擊，迫使暫時關閉系統，已影響出貨及業務運作。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/1020859/000102085925000021/unfi-20250605.htm" target="_blank">UNFI在提交美國證管會的報告指出</a>，該公司今年6月5日在部份IT系統上發現到未授權活動，立即採取應變，包括關閉部分和客戶訂單交付相關的系統。</p> <p>UNFI表示，此事件已經對公司營運有短期影響，預估情形還會持續。UNFI目前已援引外部網路安全專家之力，評估與緩解、修復事件影響，也已通報執法機關。該公司正努力回復系統，而因應事件，UNFI也已經為特定業務實作替代方案以便交付訂單。</p> <p>UNFI是美國和加拿大最大的健康和天然、有機食品上市批發商，也是亞馬遜旗下Whole Foods Market的主要供應商。UNFI全美有56個配貨中心、超過3萬個零售據點。</p> <p><a href="https://www.reddit.com/r/wholefoods/comments/1l6rm5g/thanks_unfi/#lightbox" target="_blank">根據Reddit張貼的照片</a>，受到UNFI網攻事件影響，部份零售據點供貨已經呈現短少、斷貨甚至貨架清空。</p> <p>UNFI未說明事件是否起於勒索軟體，以及影響幅度。也還沒有駭客組織出面承認犯案。</p> <p>這也是近幾個月來，最新一家遭網路攻擊的零售業者。之前受害企業還包括英國Harrods百貨、Co-op及Marks & Spencer等。<a href="https://www.bleepingcomputer.com/news/security/grocery-wholesale-giant-united-natural-foods-hit-by-cyberattack/" target="_blank">BleepingComputer報導</a>，後二者分別是DragonForce和Scattered Spider勒索軟體襲擊的受害者。</p> </div></div></div>
2025/6/11 10:18作者林妍溱https://www.ithome.com.tw/news/169469
網路流量解析工具Wireshark存在高風險漏洞，攻擊者可藉特製封包觸發DoS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名開源網路封包解析工具Wireshark<a href="https://www.wireshark.org/security/wnpa-sec-2025-02.html">修補</a>了高風險安全漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-5601">CVE-2025-5601</a>，該漏洞影響Wireshark 4.4.0至4.4.6及4.2.0至4.2.11等多個主要版本。根據官方公告，攻擊者僅需注入特製封包至網路，或誘導使用者開啟特製封包檔案，即可能導致Wireshark程式異常終止，造成阻斷服務（DoS）。雖然目前Wireshark官方尚未接獲實際攻擊事件，但仍建議所有受影響用戶儘速升級至4.4.7、4.2.12或更新版本，以避免潛在風險。</p> <p>本次漏洞源自Wireshark處理封包欄位資訊時，欄位工具（Column Utility）模組存在記憶體操作缺陷。官方<a href="https://gitlab.com/wireshark/wireshark/-/issues/20509">透過</a>自動化模糊測試（Fuzz Testing）發現，當系統遇到特定格式的封包或封包檔案，可能導致記憶體寫入越界，進而引發程式崩潰。此問題屬於典型的緩衝區溢位（Buffer Overflow）問題，濫用該漏洞不需複雜攻擊流程，只要將特製資料注入網路，或讓Wireshark開啟惡意封包檔案，都可能觸發崩潰。</p> <p>Wireshark開發團隊已於官方GitLab專案平臺完成漏洞追蹤與修補，所有相關修補程式已併入主線分支，並於官網公告及CVE資料庫公開。根據漏洞嚴重度評分CVSS 3.1，此漏洞風險等級為高，主要影響尚未升級，以及在安全隔離措施不足的環境中運作的Wireshark。</p> <p>Wireshark被廣泛應用於企業網路監控、資訊安全事件分析與學術研究，使用者應檢查現有環境所用版本，並儘速部署官方更新，並參考Wireshark官方安全公告、GitLab專案說明及CVE-2025-5601漏洞細節，獲取最新修補資訊及安全指引。</p> </div></div></div>
2025/6/10 17:31作者李建興https://www.ithome.com.tw/news/169460
蘋果切入雲原生基礎技術競爭，推出主打安全和隱私的MacOS原生容器化專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年WWDC，除了多項全新介面設計的發布之外，蘋果也悄悄的發布了一項根本性的雲原生開源專案，MacOS原生的容器技術專案，也就是<a href="https://github.com/apple/containerization">容器化開源專案Containerization專案</a>，以及對應的命令列工具<a href="https://github.com/apple/container">container專案</a>。</p> <p>蘋果工程師Michael Crosby在WWDC中發布了這個容器化開源專案（Containerization），這是一個可以像原生應用般建置容器化應用的Swift框架。「蘋果發布這個專案的目標是希望能改變Linux容器的設計和導入方式，達到更安全，更隱私，也更有效率的效果。」他強調。 </p> <p>蘋果在2021年挖角了Docker公司重要工程師Michael Crosby，他是Docker專案的維護者，擔任過2018年OCI技術監督委員會主席，是容器技術標準化的關鍵推手。Michael Crosby現在成了蘋果容器化專案的關鍵推手。</p> <p>過去要在macOS上執行一個容器，得先建立一個大型Linux虛擬機器，預先配置足夠的處理器和記憶體資源，才能用來執行多個容器。這個虛擬機器會將事先配置的資源，共享、分配給虛擬機器中每一個容器來運用。</p> <p>這個做法的缺點是，每當要新增一個容器需要存取一份外部目錄中的檔案時，得先將Mac上的這個目錄和檔案分享給虛擬機器，接著才能提供給這份檔案資料的容器，其他容器也有機會可以存取這個檔案。<br /> Michael Crosby指出，蘋果推出這個容器化專案想要達成三大目標，第一是安全目標，希望能容器具備現在虛擬化技術所能提供的隔離效果，也希望減少在虛擬機器中的核心工具和動態函式庫。「減少這些機制，可以減少可被駭客利用的攻擊面，也能降低維運成本。」他解釋。</p> <p>其次，隱私是第二項目標，「限制可存取的目錄應該成為每一個容器的基礎能力，應該讓只有這份資料需求的容器，才能存取它。」Michael Crosby補充。最後一項專案目標是效能，希望能依據使用者所能提供的資源來調校效能。</p> <p>蘋果新發表的Containerization專案是一個開源的Swift框架專案，提供了一套可以執行容器和管理容器映像檔的API，以及一個用Swift開發的系統啟動工具。要啟動一個容器，通常會先從儲存庫下載一份容器映像檔，映像檔中有一份用來啟動這個容器的配置，以及內建儲存應用程式碼和相關站是酷的檔案系統。在Containerization專案，在一個macOS容器中的檔案系統，會視為一個區塊儲存裝置（block device），會格式化成Linux最常見的EXT4目錄結構。Containerization專案提供了Swift元件，可以直接存取EXT4格式目錄中的檔案。 </p> <p>為了確保夠安全的隔離應，每一個macOS容器要執行時，Containerization會同時啟動一個輕量化的虛擬機器來隔離這個容器，啟動時間不用到1秒。這個設計帶來幾個好處，第一是，可以讓每一個macOS容器可以有獨立的IP位址，讓這些容器的網路存取更有效率，存取macOS容器上的服務，不需要參考通訊埠對應表，而能直接存取。另一個好處是，可以限制，容器只能讀取到它所請求的內容，這些內容不會被其他容器接觸。在資源配置也能更有效率，只要沒有啟動容器，就不需要占用記憶體貨處理器的資源。</p> <p>啟動一個maOS容器時，會透過一隻起程式vminid，進行IP指派，掛上區塊儲存裝置和相關啟動作業。傳統虛擬機器啟動時，會啟動一套完整的作業系統，但為了減少攻擊面，在Containerization專案的輕量化虛擬機器中，完全沒有核心工具和動態函式庫，移除了許多核心指令，如移除cd、cp、ls等常見目錄指令，也沒有提供libc實作。這個vminid沒有任何連結檔案，直接用了Swift的靜態Linux SDK，把vminitd編譯成一隻靜態的linux執行檔。</p> <p>Containerization支援容器化標準OCI的映像檔，可以直接從Docker Hub等標準Registre直接拉取映像檔來部署。另外，也提供了一套建置Linux容器化應用的工具，也就是命令列工具container，可以管理容器映像檔和支援容器需要的儲存、網路服務等，可以支援 run、pull 及 push等標準容器化操作命令。另外，macOS容器透過Rosetta 2技術，也可以執行為x86-64架構編譯的二進位檔，也就是在Intel 處理器Mac上編譯的二進位檔。 </p> <p>目前這個Containerization容器化專案需要安裝macOS 26 Beta或更新版本才能執行。若在macOS 15上執行，則會有部分網路功能的閒置。</p> <p>許多開發者使用Mac電腦作為開發工具，但要在本地端提供容器化的雲原生測試環境，過去得安裝一些容器軟體，像是Docker、Podman、Orbstack或Lima等。</p> <p>雖然蘋果沒有進一步說明，為何要跳下來打造雲原生生態圈最基礎的容器化技術。但隨著蘋果Containerization專案，以及對應的命令列工具container專案的發布，這意味著蘋果開始提供更原生的Linux容器支援，有助於讓macOS成為大規模雲原生架構的資訊基礎，在雲原生技術生態圈中，扮演更關鍵的角色。</p> <p> </p> </div></div></div>
2025/6/10 18:53作者王宏仁https://www.ithome.com.tw/news/169464
【資安日報】6月10日，中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼5月底傳出<a href="https://www.ithome.com.tw/news/169308">營運中斷</a>的消息，本週資安業者SentinelOne公布遭遇中國駭客攻擊的調查結果。儘管兩起事故看起來沒有直接關連，但是公布的時間點相當接近，仍不免令人好奇它們之間是否有交集。</p> <p>此外，隨著暑假旅遊旺季的到來，打著訂房網站名號的網釣攻擊也相當值得留意，民眾必須特別提高警覺；而在資安漏洞的部分，Python壓縮檔模組重大漏洞、Google帳號的電話號碼資訊可被暴力破解的情況，也相當受到矚目。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169453"><strong style="font-size: 22px;">中國駭客鎖定資安業者SentinelOne而來，意圖對用戶從事供應鏈攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/China_TopTier_10.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/China_TopTier_10.jpg" style="width: 300px; float: right;" /></a></p> <p>EDR是網路攻擊者的眼中釘，除了設法迴避偵測，若能設法攻陷、破壞這些資安產品與服務、敗壞資安公司商譽，對他們自然有很大的好處，而對於資安廠商而言，協助客戶做好防護之餘，自保也很重要！4月底資安業者SentinelOne揭露有多組人馬針對他們而來的情況，這些攻擊者大致可分成3種類型，分別是以IT工作者名義求職的北韓駭客、試圖存取及濫用該公司資安平臺的勒索軟體駿客，以及鎖定他們客戶及業務的中國駭客組織。如今該公司針對中國駭客的活動，公布更完整的調查結果。</p> <p>針對相關事故的調查過程，SentinelOne指出他們起初於去年10月，察覺駭客偵察該公司網路環境的活動並進行追蹤，結果發現兩波攻擊行動，並將活動命名為PurpleHaze和ShadowPad。該公司強調，經過徹底調查及確認，他們的基礎設施、軟體與硬體均未被入侵。</p> <p>而對於受害企業的部分，SentinelOne表示，發生在他們網路環境的活動，僅是這些駭客攻擊活動的一部分，最早可追溯到去年6月，而且，該公司並非唯一的目標，他們認為，自己遭到攻擊僅是大規模攻擊的一部分。</p> <p><a href="https://www.ithome.com.tw/news/169451"><strong style="font-size: 22px;">惡意軟體AsyncRAT透過冒牌Booking.com訂房網站散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fake_booking_sites_captcha.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake_booking_sites_captcha.png" style="width: 300px; float: right;" /></a>最近幾年許多人報復性出遊，並選擇以自助旅行的方式出國，為了安排住宿，很有可能會透過訂房網站來挑選旅館，然而駭客也看上這點來引誘旅客上當，藉此散布惡意程式。</p> <p>資安業者Malwarebytes揭露自5月中旬出現的網釣攻擊活動，駭客設置冒牌的Booking.com訂房網站，並透過電玩網站、社群網站、廣告的惡意連結，來引誘使用者上門。一旦使用者被重新導向到假訂房網站，就會看到假的CAPTCHA圖靈驗證機制，然而，實際上，這些手段都是為了引導使用者依照指示操作，將特定命令複製貼上，並透過執行對話框執行的ClickFix網釣手法。</p> <p>使用者先是看到網站上的對話框，要求勾選我不是機器人的選項，若是照做，電腦就會複製駭客的惡意指令，並顯示接下來的「驗證步驟」：攻擊者要求使用者用快速鍵（Windows鍵+R）開啟執行視窗，然後在「驗證視窗」按Ctrl+V貼上特定資料並輸入Enter。一旦使用者照做，就會在電腦執行駭客的惡意命令，啟動PowerShell視窗，下載並執行惡意檔案，最終於電腦植入惡意程式AsyncRAT。</p> <p><a href="https://www.ithome.com.tw/news/169448"><strong style="font-size: 22px;">駭客盜用React Native、GlueStack維護團隊帳號，上架惡意NPM套件散布木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/684491ed44f58ba31e6c82dd_AD_4nXf9QC66wRY7ovaRZDF7wOo5Fgd1h7lRrFU6P2vZgPR0z3faqocpJnQ0hfoaWAUGvl8sA_xiG66jqAJh__yfiFLImEiDPMszUauAZbaVHg9D5ZGzzvqkVrn6kz2xyWoUrlOxuRo6Gw.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/684491ed44f58ba31e6c82dd_AD_4nXf9QC66wRY7ovaRZDF7wOo5Fgd1h7lRrFU6P2vZgPR0z3faqocpJnQ0hfoaWAUGvl8sA_xiG66jqAJh__yfiFLImEiDPMszUauAZbaVHg9D5ZGzzvqkVrn6kz2xyWoUrlOxuRo6Gw.png" style="width: 300px; float: right;" /></a></p> <p>最近幾年駭客入侵開發團隊的帳號並冒名上傳惡意套件的情況，已有多起事故傳出，如今類似的攻擊行動再度出現，引起研究人員的關注。</p> <p>資安業者Aikido Security揭露針對React Native Aria生態系統的NPM供應鏈攻擊，這起事故發生於6月6日晚間，駭客疑似透過其中一個外流的維護人員帳號Token，發布16個React Native和GlueStack套件的惡意版本。由於這些套件相當熱門，每週下載超過100萬次，影響的範圍可能非常廣泛。</p> <p>對於這起事故發生的過程，Aikido Security以其中最早被竄改的NPM套件@react-native-aria/focus為例，駭客更動了lib/commonjs/index.js，並在第46行植入惡意程式碼。為了讓資安人員難以察覺，攻擊者使用大量空白字元混淆手法，將有問題的程式碼隱匿於螢幕難以顯示的地方。研究人員經過調查，確認是曾經鎖定另一個套件rand-user-agent的RAT木馬程式。</p> <p><a href="https://www.ithome.com.tw/news/169394"><strong style="font-size: 22px;">Meta、Yandex被揭露監聽Android本機通訊埠，橋接瀏覽器與App身分進行追蹤，引發資安疑慮</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/websites-app-ID-sharing.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/websites-app-ID-sharing.png" style="width: 300px; float: right;" /></a>西班牙IMDEA Networks Institute、荷蘭Radboud University及比利時KU Leuven等學術機構研究人員共同發表研究，發現知名科技公司Meta與Yandex在Android平臺上，透過監聽本機通訊埠的方式，建立瀏覽器與原生App之間的身分橋接，實現用戶行為的去匿名化（de-anonymizing）追蹤。此技術手法繞過了傳統的隱私保護機制，侵害行動裝置用戶的個人資料保護與隱私安全。</p> <p>研究人員發現，Meta的Facebook與Instagram應用程式，以及Yandex旗下多款應用程式，會在Android裝置中於背景持續監聽特定本地端通訊埠。當用戶開啟安裝Meta Pixel或Yandex Metrica追蹤碼的網站時，瀏覽器中的JavaScript腳本會將瀏覽行為與身分資訊經由本地端Socket傳遞至這些原生App，進而實現網頁與應用程式間的身分串接。此舉突破現行如清除Cookie、無痕瀏覽以及Android權限控管等防護，可連結原本分散、短暫的瀏覽識別與長期、個人化的App帳號或裝置識別碼，提升追蹤的精確度與持續性。</p> <p>即便用戶未明確同意Cookie政策，這些身分串接仍有機會被觸發，且由於本機通訊埠監聽並無特別權限限制，其他惡意App也可能監聽相關連接埠，衍生更多資安與個資外洩風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/malicious-apps-google-play-users-for-seed-phrases/">逾20款惡意App上架Google Play市集，意圖加密貨幣錢包的竊取通關密語</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-rust-developed-infostealer/">以Rust打造的竊資軟體鎖定Chromium瀏覽器而來，企圖竊取敏感資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hunt.io/blog/pasteee-xworm-asyncrat-infrastructure#XWorm_and_AsyncRat_Indicators_of_Compromise_IOCs">程式碼共享平臺Paste.ee遭濫用，駭客意圖散布XWorm和AsyncRAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/kimsuky-strikes/">北韓駭客Kinsuky同時藉由臉書、電子郵件、Telegram從事網釣攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://ithome.com.tw/news/169422"><strong style="font-size: 22px;">Python壓縮檔模組tarfile存在重大資安弱點，恐導致檔案系統遭任意寫入</strong></a></p> <p>在Python環境裡，專門用來讀取、建立、打包，以及解壓縮tar檔案的程式庫tarfile，一旦出現弱點，就有可能讓攻擊者用於路徑穿越、任意檔案寫入（及覆蓋）、遠端執行任意程式碼（RCE）、權限提升、逃逸沙箱，甚至還有可能污染套件，引發供應鏈攻擊，因此該程式庫相關的弱點，往往都必須提高警覺。</p> <p>6月3日Python軟體基金會發布資安公告，指出他們針對tarfile模組修補一系列資安弱點，其中有1個重大層級、3個高風險層級，以及1個中度風險的弱點。</p> <p>這些漏洞是：CVE-2025-4517、CVE-2025-4435、CVE-2025-4330、CVE-2025-4138、CVE-2024-12718，大部分涉及如何繞過tar檔案解壓縮的過濾機制，而該機制是3.12版Python開始引入的。一旦曝險的Python透過tarfile模組來解壓縮特定功能組態、不受信任的tar檔，就有可能觸發漏洞。最嚴重的資安漏洞是CVE-2025-4517，發生在使用filter="data"的功能參數執行解壓縮的過程，使得攻擊者能夠在檔案系統任意寫入，CVSS風險達到9.4分（滿分10分）。</p> <p><a href="https://www.ithome.com.tw/news/169449"><strong style="font-size: 22px;">Google用戶的電話號碼驚傳可被暴力破解</strong></a></p> <p>資安研究人員BruteCat周一（6月9日）揭露，他利用Google在無JavaScript模式中忘了關閉的帳戶復原服務，成功地暴力破解了Google用戶的電話號碼。研究人員在今年4月將漏洞報告提交給Google，獲得5,000美元獎金，而Google則於本月確認，無JavaScript的使用者名稱復原表單已全面被棄用。</p> <p>為了避免遭到濫用，Google至少自2018年於登錄服務中就開始實施JavaScript機器人檢測框架，以防止機器人登錄。BruteCat說，他是在今年初於瀏覽器上關閉了JavaScript，想查探是否有任何Google服務在沒有JavaScript的情況下仍能運作，結果發現，帳戶復原服務竟然可正常執行。BruteCat採用IPv6以隨機切換來源位址，並利用BotGuard令牌來繞過CAPTCHA，接著利用自動化工具以於密碼恢復流程中，取得只有兩個數字的遮罩電話號碼提示，再進行暴力破解。</p> <p>BruteCat利用每小時0.3美元的伺服器資源即可執行每秒4萬次的檢查，發現找到一個正確的美國電話號碼需20分鐘，找到一個英國號碼只要4分鐘，找到一個荷蘭號碼只需15秒，新加坡號碼更只要5秒。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/hpe-patches-critical-vulnerability-in-storeonce/">HPE修補備份平臺StoreOnce重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169392"><strong>【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</strong></a></p> </div></div></div>
2025/6/10 16:47作者周峻佑https://www.ithome.com.tw/news/169459
中國駭客鎖定資安業者SentinelOne而來，意圖對用戶從事供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>EDR是網路攻擊者的眼中釘，除了設法迴避偵測，若能設法攻陷、破壞這些資安產品與服務、敗壞資安公司商譽，對他們自然有很大的好處，而對於資安廠商而言，協助客戶做好防護之餘，自保也很重要！4月底資安業者SentinelOne揭露<a href="https://www.sentinelone.com/labs/top-tier-target-what-it-takes-to-defend-a-cybersecurity-company-from-todays-adversaries/">有多組人馬針對他們而來</a>的情況，這些攻擊者大致可分成3種類型，分別是以IT工作者名義求職的北韓駭客、試圖存取及濫用該公司資安平臺的勒索軟體駿客，以及鎖定他們客戶及業務的中國駭客組織。如今該公司針對中國駭客的活動，<a href="https://www.sentinelone.com/labs/follow-the-smoke-china-nexus-threat-actors-hammer-at-the-doors-of-top-tier-targets/">公布更完整的調查結果</a>。</p> <p>針對相關事故的調查過程，SentinelOne指出他們起初於去年10月，察覺駭客偵察該公司網路環境的活動並進行追蹤，結果發現兩波攻擊行動，並將活動命名為PurpleHaze和ShadowPad。該公司強調，經過徹底調查及確認，他們的基礎設施、軟體與硬體均未被入侵。</p> <p>而對於受害企業的部分，SentinelOne表示，發生在他們網路環境的活動，僅是這些駭客攻擊活動的一部分，最早可追溯到去年6月，而且，該公司並非唯一的目標，他們認為，自己遭到攻擊僅是大規模攻擊的一部分。</p> <p>針對這兩波攻擊，研究人員提及在PurpleHaze發生在去年9月至10月，駭客使用後門程式GOREshell建立反向SSH連線，此後門程式以Go語言打造而成，鎖定Windows、Linux電腦下手，共通點是駭客使用相同的SSH私鑰進行，此外，為了抹除證據，他們也使用自製工具清除事件記錄檔案。</p> <p>另一波攻擊行動ShadowPad延續的時間較長，為去年6月至今年3月，駭客使用PowerShell命令下載經過混淆處理的惡意程式ShadowPad，並使用 DNS over HTTPS（DOH）建立C2連線以迴避偵測，研究人員提及，駭客取得初始入侵管道的方式，疑似透過Check Point安全閘道設備弱點得逞。</p> <p>而對於這些攻擊行動，研究人員分別看到三起事故。以ShadowPad而言，駭客在去年6月對南亞政府組織下手，接著，他們自7月至今年3月，對全球超過70個企業組織展開攻擊，範圍橫跨製造、政府、金融、電信，以及研究領域。</p> <p>最後一波攻擊與SentinelOne有關，今年初，駭客入侵一家經營IT服務與物流的公司，而該公司當時負責SentinelOne員工硬體設備的物流業務。</p> <p>在PurpleHaze活動期間裡，也同樣發生三起事故。第一起是針對上述提及的南亞政府機關，於去年10月散布GOREshell，過程裡採用中國經營的Operational Relay Box（ORB）網路。</p> <p>第二起事故也發生在10月，駭客針對SentinelOne可透過網際網路存取的伺服器試圖進行偵測，這起事故駭客使用的基礎設施，與攻擊南亞政府機關的團體有關。</p> <p>研究人員提及發生於去年9月下旬的事故，駭客入侵一家歐洲媒體，除了使用GOREshell，還使用PHP打造的Web Shell，以及名為The Hacker's Choice的工具。他們提及駭客入侵的管道，是利用Ivanti Cloud Services Appliance的資安漏洞CVE-2024-8963和CVE-2024-8190，而當時這些漏洞尚未公開。</p> </div></div></div>
2025/6/10 16:25作者周峻佑https://www.ithome.com.tw/news/169453
惡意軟體AsyncRAT透過冒牌Booking.com訂房網站散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年許多人報復性出遊，並選擇以自助旅行的方式出國，為了安排住宿，很有可能會透過訂房網站來挑選旅館，然而駭客也看上這點來引誘旅客上當，藉此散布惡意程式。</p> <p>資安業者Malwarebytes揭露<a href="https://www.malwarebytes.com/blog/news/2025/06/victims-risk-asyncrat-infection-after-being-redirected-to-fake-booking-sites">自5月中旬出現的網釣攻擊活動</a>，駭客設置冒牌的Booking.com訂房網站，並透過電玩網站、社群網站、廣告的惡意連結，來引誘使用者上門。一旦使用者被重新導向到假訂房網站，就會看到假的CAPTCHA圖靈驗證機制，然而，實際上，這些手段都是為了引導使用者依照指示操作，將特定命令複製貼上，並透過執行對話框執行的ClickFix網釣手法。</p> <p>使用者先是看到網站上的對話框，要求勾選我不是機器人的選項，若是照做，電腦就會複製駭客的惡意指令，並顯示接下來的「驗證步驟」：攻擊者要求使用者用快速鍵（Windows鍵+R）開啟執行視窗，然後在「驗證視窗」按Ctrl+V貼上特定資料並輸入Enter。一旦使用者照做，就會在電腦執行駭客的惡意命令，啟動PowerShell視窗，下載並執行惡意檔案，最終於電腦植入惡意程式AsyncRAT。</p> <p>研究人員提及，若是Chrome的使用者，過程中可能會看到警示訊息，指出該網站試圖檢視剪貼簿的文字與圖片內容，但一般人往往為了讓流程繼續進行，而而在未了解警示訊息含義的狀態中，就按下同意，錯失察覺異狀的機會。</p> </div></div></div>
2025/6/10 14:47作者周峻佑https://www.ithome.com.tw/news/169451
駭客盜用React Native、GlueStack維護團隊帳號，上架惡意NPM套件散布木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年駭客入侵開發團隊的帳號並冒名上傳惡意套件的情況，已有多起事故傳出，如今類似的攻擊行動再度出現，引起研究人員的關注。</p> <p>資安業者Aikido Security揭露<a href="https://www.aikido.dev/blog/supply-chain-attack-on-react-native-aria-ecosystem">針對React Native Aria生態系統的NPM供應鏈攻擊</a>，這起事故發生於6月6日晚間，駭客疑似透過其中一個外流的維護人員帳號Token，發布16個React Native和GlueStack套件的惡意版本。由於這些套件相當熱門，每週下載超過100萬次，影響的範圍可能非常廣泛。</p> <p>React Native Aria生態系統是基於React Native 的程式庫和工具，能夠協助開發者建構跨平臺的使用者介面（UI），具備能靈活自定、整合網頁應用程式常見的W3C ARIA Authoring Practices Guide實作標準，從而提升使用者體驗，擴展用戶群體。</p> <p>對於這起事故發生的過程，Aikido Security以其中最早被竄改的NPM套件@react-native-aria/focus為例，駭客更動了lib/commonjs/index.js，並在第46行植入惡意程式碼。為了讓資安人員難以察覺，攻擊者使用大量空白字元混淆手法，將有問題的程式碼隱匿於螢幕難以顯示的地方。研究人員經過調查，確認是曾經鎖定另一個套件rand-user-agent的RAT木馬程式。</p> <p>附帶一提的是，這次研究人員看到的木馬程式，還是存在一些差異。其中最大的不同點，就是具有備援C2伺服器，並能夠根據程式碼的版本進行切換；再者，新的木馬程式能搜括受害電腦的系統資訊，並發出外部請求與回傳指定IP位址的資訊。</p> </div></div></div>
2025/6/10 12:45作者周峻佑https://www.ithome.com.tw/news/169448
OpenAI年度經常性收入突破100億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，OpenAI根據今年6月的營收，推估其年度經常性收入（Annual Recurring Revenue，ARR）已突破100億美元。</p> <p>ARR是一種衡量訂閱型或經常性收入商業模式的指標，用來表示公司於1年內可穩定獲得的收入，因此，這次的100億美元估值，並未包含來自微軟的授權收入與其它大型的一次性交易。<a href="https://www.cnbc.com/2025/06/09/openai-hits-10-billion-in-annualized-revenue-fueled-by-chatgpt-growth.html" target="_blank">根據CNBC的報導</a>，OpenAI去年的ARR約為55億美元，同時也虧損了50億美元。</p> <p>OpenAI的收入涵蓋消費者訂閱服務，ChatGPT商業產品，以及API。<a href="https://www.ithome.com.tw/news/165748" target="_blank">去年10月時</a>，約有75%的營收來自一般消費者的訂閱。</p> <p>OpenAI今年的營收目標為127億美元，預計要到2029年完成1,250億美元的營收目標之後才會獲利。</p> <p>OpenAI在今年3月底展開<a href="https://www.ithome.com.tw/news/168182" target="_blank">新一輪融資</a>，規模為400億美元，完成後的OpenAI市值將攀上3,000億美元。</p> <p>不只是OpenAI的ARR大幅成長，根據<a href="https://www.ft.com/content/1ffc5fe7-6872-42a0-8b98-dc685f9c33c6" target="_blank">金融時報（Financial Times，FT）的報導</a>，AI開發工具Cursor的ARR也從2024年接近1億美元的狀態，成長至今年的5億美元。</p> </div></div></div>
2025/6/10 13:35作者陳曉莉https://www.ithome.com.tw/news/169450
特斯拉機器人部門工程主管離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉人型機器人部門的研發主管<a href="https://x.com/_milankovac_/status/1931097888995807554" target="_blank">Milan Kovac上周宣布</a>將在任職近10年後離開。</p> <p>Kovac表示離開是為了多陪伴在國外的家人，但他之後仍然會留在美國。<a href="https://x.com/elonmusk/status/1931106237049151880" target="_blank">馬斯克（Elon Musk）也在其X感謝Kovac的貢獻</a>。</p> <p>Kovac於2016年加入特斯拉Autopilot部門，之後成為主管。2022年他再率領人型機器人Optimus部門，同時開發軟、硬體平臺。他強調，特斯拉機器人Optimus運作不會因他的離開有任何改變。</p> <p>Optimus是馬斯克實現AI機器人夢想的載具。<a href="https://uk.news.yahoo.com/elon-musks-prediction-ai-humanoid-100117434.html" target="_blank">他曾大膽預期</a>，未來地球上單價2萬到2.5萬美元的人型機器人數量將超過人類，<a href="https://www.cnn.com/2025/03/25/tech/china-robots-market-competitiveness-intl-hnk" target="_blank">因而是個10兆美元的產業</a>。此外，<a href="https://electrek.co/2025/01/31/elon-musk-says-tesla-aims-to-build-10000-optimus-robots-this-year/" target="_blank">馬斯克去年對分析師說</a>，希望在2025年內生產1萬個Optimus機器人，雖然他也承認是深具野心的目標。</p> <p>此外，馬斯克的機器人業務是否會受到最近他和川普針對大而美法案（Big and Beautiful Act）隔空交鋒影響有待觀察。<a href="https://www.wired.com/story/elon-musk-federal-contracts-government/" target="_blank">川普揚言</a>要終止給馬斯克旗下公司如SpaceX、特斯拉等的聯邦補助和政府合約，總值高達480億美元。</p> </div></div></div>
2025/6/10 12:45作者林妍溱https://www.ithome.com.tw/news/169447
Google用戶的電話號碼可被暴力破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://brutecat.com/articles/leaking-google-phones" target="_blank">資安研究人員BruteCat周一（6/9）揭露</a>，他利用Google在無JavaScript模式中忘了關閉的帳戶復原服務，成功地暴力破解了Google用戶的電話號碼。</p> <p>為了避免遭到濫用，Google至少自2018年於登錄服務中就開始實施JavaScript機器人檢測框架，以防止機器人登錄。BruteCat說，他是在今年初於瀏覽器上關閉了JavaScript，想查探是否有任何Google服務在沒有JavaScript的情況下仍能運作，發現帳戶復原服務竟然還是有效的。</p> <p>該服務允許透過兩個HTTP請求，來檢查所輸入的電子郵件或電話號碼是否與所顯示的特定名字有關。</p> <p>儘管Google試圖藉由限制單一IP的請求頻率，以及人機驗證CAPTCHA來減少濫用行為。但BruteCat採用IPv6以隨機切換來源位址，並利用BotGuard令牌來繞過CAPTCHA，接著撰寫一個自動化工具以於密碼恢復流程中，取得只有兩個數字的遮罩電話號碼提示，再進行暴力破解。</p> <p>BruteCat利用每小時0.3美元的伺服器資源即可執行每秒4萬次的檢查，發現找到一個正確的美國電話號碼只要20分鐘，找到一個英國號碼只要4分，找到一個荷蘭號碼只需15秒，新加坡號碼更只要5秒。</p> <p>他在今年4月將漏洞報告提交給Google，獲得5,000美元的獎金，而Google則於今年6月確認，無JavaScript的使用者名稱復原表單已全面被棄用。</p> </div></div></div>
2025/6/10 13:18作者陳曉莉https://www.ithome.com.tw/news/169449
蘋果公布macOS Tahoe 26 將成Intel-based Mac最後一代OS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺北時間周二（6/10）凌晨舉行的WWDC 2025上，蘋果公布了最新桌機作業系統<a href="https://www.apple.com/newsroom/2025/06/macos-tahoe-26-makes-the-mac-more-capable-productive-and-intelligent-than-ever/" target="_blank">macOS Tahoe 26</a>，採用新的視覺介面語言Liquid Glass，並強化手機和Mac電腦接續（Continuity）應用、改良Spotlight、及新增Apple Intelligence及支援捷徑等。而蘋果預告，這也是Intel-based Mac最後一個可更新的macOS。</p> <p><a href="https://www.ithome.com.tw/news/169319" target="_blank">一如彭博早先報導</a>，最新macOS以加州度假勝地太浩湖（Lake Tahoe）為其代號名稱，並且所有OS版本打破過去使用的序號系統，全面改採以年份命名。</p> <p>Mac Tahoe 26支援產品包括使用Apple silicon的MacBook Air（2020及以後）及MacBook Pro（2020及以後）；MacBook Pro（16吋、2019）；MacBook Pro（13吋，2020）、iMac（2020及以後）、Mac mini（2020及以後）、Mac Studio（2022及以後）、Mac Pro（2019及以後）。</p> <p>今天macOS Tahoe 26已提供開發人員測試版，公測版預定下個月釋出，而正式版則一如往年，會在秋天推出。</p> <p><a href="https://www.theverge.com/news/683846/macos-tahoe-intel-x86-arm-m-cpu" target="_blank">The Verge引述蘋果公司官方說法報導</a>，Tahoe是Intel-based Mac最後一個能更新的macOS版本。用戶若想使用macOS 27以後的新作業系統，必須使用搭載Apple Silicon的Mac筆電。</p> <p><span style="color:#B22222;"><strong>Liquid Glass</strong></span></p> <p>全新的Liquid Glass取其一如湖水映照天光山色，為Tahoe介面賦予半透明感且反映周遭環境。選單列完全變透明，可讓顯示器變得更大；Dock、側邊欄與工具列也更著重突顯使用者內容。選單和控制中心（Control Center）提供更多客製化控制，資料匣也能改變色彩增加表情或符號，配合個人化桌布和布景主題，允許用戶創造個人化Mac使用體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Apple-WWDC25-macOS-Liquid%20Glass.jpg" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><strong>Continuity</strong></span></p> <p>新Mac也強化了加入讓用戶在Mac電腦接續鄰近iPhone電話的接續（Continuity），由iOS移植二項功能。一是Phone（電話）App，除了近日通話、喜愛的聯絡人（Favorites）和語音郵件，新版本還加入來電過濾（Call Screening）及保留輔助（Hold Assist），後者可讓用戶邊等待撥通邊持續Mac電腦上的工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Apple-WWDC25-macOS-26-Phone-app-Continuity.jpg" style="width: 600px;" /></p> <p>目前來電過濾已支援繁體中文，但FaceTime/電話的Live Translation還不支援中文。Message中的Live Translation已支援簡中。</p> <p>Continuity第二項新增功能是Live Activities可顯示在Mac電腦選單上。點入Live Activities，Phone App會在iPhone鏡像輸出（iPhone Mirroring）模式中開啟，顯示即時接收最新動態，如Uber接送、運動賽事或飛機航班資訊等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc-macos%2026-Live%20Activities%20from%20iPhone.png" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><strong>Spotlight</strong></span></p> <p>搜尋功能Spotlight獲得號稱最大改版。現在Spotlight會列出所有搜尋結果，再依用戶關聯性智慧排列。它能限縮特定文件類型，如PDF或郵件，還能搜尋儲存在第三方雲端硬碟的文件。新的瀏覽檢視功能可掃過所有應用、檔案、剪貼簿紀錄等，幫助用戶找到沒有明確線索的目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc-macos%2026-Spotlight.png" style="width: 600px;" /></p> <p>透過App Intents API串聯App，用戶現在能直接在Spotlight執行多種作業，包括寄發電子郵件、建立筆記或播放podcast，不再需要在不同App間切換。用戶也能從App選單列建立捷徑以執行作業。Spotlight並支援快速鍵，它也能記憶用戶長期行為，而顯示個人化行動選項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc-macos%2026-Spotlight-2.png" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><strong>Apple Intelligence</strong></span></p> <p>雖然macOS並未包含AI重大革新，但蘋果仍然為Apple Intelligence加入新功能，包括Message、FaceTime、Phone App通話上的即時翻譯（Live Translation）文字或字幕翻譯。其次，用戶可為Apple Intelligence功能建立捷徑，如撰文助理Writing Tools及圖片生成Image Playground，或直接點選Mac電腦或Private Cloud Compute上的模型生成回應，日後再匯入捷徑。此外還能建立串聯AI的捷徑，例如以Apple Intelligence模型比對上課錄音檔和筆記，再增加漏記的重點，也能自動化執行，像是在一天特定時間或儲存檔案到特定資料匣。</p> <p>其他包括以AI自建Genmoji、在Image Playground以ChatGPT畫圖或是Apple Intelligence檢視郵件、網站及筆記自動發送提醒，且自動為「提醒」分類。</p> <p><span style="color:#B22222;"><strong>Tahoe其他新功能</strong></span></p> <p>Safari新介面元素如浮動圓形標籤頁設計、新刷新側邊欄，提升可使用性與Chrome相比，Safari載入經常訪問的網站速度提高50%，為減少追蹤連接攻擊，Safari瀏覽器現在預設啟用網站指紋保護。密碼功能加入提示方便用戶檢視他們的更改紀錄，包括檢查他們儲存密碼的先前版本，以及變更時間的詳細資訊。</p> <p>Messages應用程式加入背景、投票和新的詳細信息檢視。日記（Journal）App登陸Mac，在Mac上，用戶可以建立多個日記，以地圖查找，也能在Apple設備之間同步。Notes添加筆記匯入／匯出到檔案，並支援將iPhone App的對話擷取出附有聽寫的錄音檔。</p> <p>Photos App改用Liquid Glass設計、自定義功能、也加入了釘選照片集，點擊側邊欄即可訪問。FaceTime也改版為Liquid Glass設計，新的“更多”功能包括使用者快速訪問SharePlay和即時翻譯等功能。</p> <p>輔助功能包括Mac上的「放大器」功能，視力不佳的用戶能使用iPhone上的「Continuity Camera」或外接USB攝影機來放大周圍環境。Vehicle Motion Cues，它有助於減少行動車輛中的暈動症。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/6/10 11:37作者林妍溱https://www.ithome.com.tw/news/169445
VMware NSX存在XSS重要風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25738" target="_blank">博通旗下的VMware上周發出安全公告</a>，修補3項網路虛擬化和安全平臺NSX資安漏洞。</p> <p>這三項漏洞分別為CVE-2025-22243、CVE-2025-22244和CVE-2025-22245，屬於「重要」（important）漏洞。影響產品包括VMware NSX、VMware Cloud Foundation和VMware Telco Cloud Platform。</p> <p>其中CVE-2025-22243為NSX Manager UI中的儲存型跨站腳本攻擊（Stored cross-site scripting）漏洞，源自對輸入驗證不當。具有建立或修改網站設定的攻擊者可注入惡意程式碼，在他人檢視網路設定時執行。CVSS v3風險值為7.5。</p> <p>CVE-2025-22244亦為儲存型跨站腳本攻擊（Stored cross-site scripting）漏洞，本漏洞位於閘道防火牆。具備過濾URL的防火牆回應頁建立和修改權限的攻擊者，可注入惡意程式碼，並在另一名用戶試圖存取網頁時執行。本漏洞風險值為6.9。</p> <p>CVE-2025-22245也是類似的儲存型跨站腳本攻擊漏洞，影響路由器傳輸埠。攻擊者若具備新增或修改路由器傳輸埠的權限，即可注入惡意程式碼，在他人存取傳輸埠時執行。漏洞CVSS 風險值為5.9。</p> <p>受影響產品包括VMWare NSX 4.2.x、4.2.1.x、4.1.x、4.0.x、3.2.x；VMware Cloud Foundation 5.2.x、5.1.x、5.0.x、4.5.x；VMware Telco Cloud Infrastructure 5.x、4.x、3.x、2.x。VMware部門已經釋出解決漏洞的更新軟體。</p> <p>CVE-2025-22243為研究人員Dawid Jonienc通報，CVE-2025-22244及CVE-2025-22245則為波蘭ING Hubs研究人員Łukasz Rupala of通報。</p> </div></div></div>
2025/6/10 12:17作者林妍溱https://www.ithome.com.tw/news/169446
蘋果發表基礎模型框架，供第三方存取裝置上模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於周一（6/9）舉行的WWDC大會上，<a href="https://www.apple.com/newsroom/2025/06/apple-supercharges-its-tools-and-technologies-for-developers/" target="_blank">發表了基礎模型（Foundation Models）框架</a>，允許第三方開發者存取蘋果裝置上所內建的大型語言模型，亦即 Apple Intelligence所使用的模型，以於程式中整合AI能力。</p> <p class="rtecenter"><a href="http://developer.apple.com/documentation/foundationmodels" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Foundation%20Models-apple.png" style="width: 585px;" /></a></p> <p>目前<a href="https://developer.apple.com/documentation/foundationmodels" target="_blank">此一位於裝置上的模型</a>擅長各種文本生成任務，像是摘要、實體萃取、文字理解、優化、遊戲對話，以及生成創意內容等，它可根據開發者的需求作出回應，也能決定呼叫開發者所撰寫的程式碼來執行專門任務。</p> <p>由於該框架原生支援Swift，使得開發者只需要撰寫短短的3行程式碼就能存取Apple Intelligence模型。開發者可藉由@Generable巨集來讓模型生成Swift資料結構，或是利用Tool來建立客製化的工具以供該模型呼叫。Automattic正於日記程式Day One中使用該框架，以替使用者帶來基於隱私的AI功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc%2025-%20Foundation%20Models%20framework-apple%20intelligence-app.png" style="width: 404px;" /></p> <p><a href="https://www.apple.com/cm/newsroom/2025/06/apple-intelligence-gets-even-more-powerful-with-new-capabilities-across-apple-devices/" target="_blank">蘋果表示</a>，此一基礎模型框架讓開發者得以建置以AI驅動的功能，這些功能既可離線，也能保護使用者隱私，而且也不會產生推理成本，例如教育應用程式可根據裝置上的使用者筆記生成測驗，戶外應用程式也能添加自然語言搜尋功能，即使使用者處於離線狀態也能使用。</p> <p>基礎模型框架即日起透過蘋果開發者計畫（Apple Developer Program）展開測試，公開測試版則會在下個月藉由Apple Beta Software Program釋出。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/6/10 11:03作者陳曉莉https://www.ithome.com.tw/news/169444
Python壓縮檔模組tarfile存在重大資安弱點，恐導致檔案系統遭任意寫入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Python環境裡，專門用來讀取、建立、打包，以及解壓縮tar檔案的程式庫tarfile，一旦出現弱點，就有可能讓攻擊者用於路徑穿越、任意檔案寫入（及覆蓋）、遠端執行任意程式碼（RCE）、權限提升、逃逸沙箱，甚至還有可能污染套件，引發供應鏈攻擊，因此該程式庫相關的弱點，往往都必須提高警覺。</p> <p>6月3日Python軟體基金會發布資安公告，指出他們針對tarfile模組<a href="https://mail.python.org/archives/list/[email protected]/thread/MAXIJJCUUMCL7ATZNDVEGGHUMQMUUKLG/">修補一系列資安弱點</a>，其中有1個重大層級、3個高風險層級，以及1個中度風險的弱點。</p> <p>這些漏洞是：CVE-2025-4517、CVE-2025-4435、CVE-2025-4330、CVE-2025-4138、CVE-2024-12718，大部分涉及如何繞過tar檔案解壓縮的過濾機制，而該機制是3.12版Python開始引入的。一旦曝險的Python透過tarfile模組來解壓縮特定功能組態、不受信任的tar檔，就有可能觸發漏洞，此外，雖然仍在測試階段的3.14版預設過濾功能參數有所調整，但只要使用者採用預設組態，同樣也可能會受到影響。假若Python在未啟用過濾機制的情況下解壓縮不受信任的tar檔，那麼就會導致攻擊者能在解壓縮資料夾的外部進行任意寫入。</p> <p>值得留意的是，雖然該基金會指出上述弱點與3.12版引入的功能有關，但他們不光發布了<a href="https://docs.python.org/release/3.13.4/whatsnew/changelog.html#security">3.13.4</a>、<a href="https://docs.python.org/release/3.12.11/whatsnew/changelog.html#security">3.12.11</a>版更新，也對舊版推出<a href="https://docs.python.org/release/3.11.13/whatsnew/changelog.html#security">3.11.13</a>、<a href="https://docs.python.org/release/3.10.18/whatsnew/changelog.html#security">3.10.18</a>、<a href="https://docs.python.org/release/3.9.23/whatsnew/changelog.html#security">3.9.23</a>版修補相關漏洞。</p> <p>最嚴重的資安漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-4517">CVE-2025-4517</a>，發生在使用filter="data"的功能參數執行解壓縮的過程，使得攻擊者能夠在檔案系統任意寫入，CVSS風險達到9.4分（滿分10分）。</p> <p>另外幾個高風險漏洞CVE-2025-4435、CVE-2025-4330、CVE-2025-4138也值得留意，風險值皆為7.5，其中的CVE-2025-4435涉及套用特定參數TarFile.errorlevel = 0的時候，理應被過濾的惡意檔案仍能解壓縮；CVE-2025-4330能忽略過濾機制並建立符號連結（Symlink）；至於CVE-2025-4138，可讓攻擊者建立解壓縮資料夾外部的符號連結。</p> </div></div></div>
2025/6/10 09:53作者周峻佑https://www.ithome.com.tw/news/169422
蘋果研究：一旦問題變複雜，大型語言與推理模型便暴露盲點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果研究人員日前發布了一個有關推理模型的AI研究報告《<a href="https://machinelearning.apple.com/research/illusion-of-thinking" target="_blank">The Illusion of Thinking: Understanding the Strengths and Limitations of Reasoning Models via the Lens of Problem Complexity</a>》，主要探索問題的複雜度是否會影響推理模型的表現，發現當問題很簡單時，AI看起來很聰明，但一旦問題變得複雜，便會曝露AI的局限性。</p> <p>此一研究方向源自於近來AI領域出現了一個名為大型推理模型（Large Reasoning Models，LRMs）的新方向，像是OpenAI的o1與o3，DeepSeek-R1、Claude 3.7 Sonnet Thinking，以及Gemini Thinking等，標榜具備「思考」特性，強調長鏈思考（Chain-of-Thought，CoT）與自我反省，且在各種推理基準測試中表現良好。</p> <p>研究人員以《河內塔》（<a href="https://www.mathsisfun.com/games/towerofhanoi.html" target="_blank">Tower of Hanoi</a>）及最短路徑等經典邏輯遊戲來測試LLM與LRM，結果發現它們都很容易就完成3個圓盤的任務，但就算只是移動7個圓盤，Claude模型的準確率都不到80%，而且其它模型也沒有好到哪裡去。</p> <p>結論是在低複雜度下，非思考模型相對準確；隨著複雜度的增加，推理模型的表現更好，但需要更多的Token；而在高難度下，不管是LLM或LRM都會直接崩潰。</p> <p>更令人意外的是，就算提供它們正確的演算法，模型仍無法顯著地改善表現，亦發現不管是什麼種類的問題，模型都無法將推理能力延伸到訓練資料以外。</p> <p><a href="https://x.com/wolfejosh/status/1931182279755178074" target="_blank">科技領域投資人Josh Wolfe總結了該報告</a>，指出LLM過度思考簡單問題，遇到複雜問題時卻在還有很多運算資源時便早早放棄；就算掌握了正確的演算法還是會搞砸，顯示它們缺乏的是基本邏輯；這些模型不具備推理能力，而只是昂貴的模式比對器。</p> <p><a href="https://garymarcus.substack.com/p/a-knockout-blow-for-llms" target="_blank">該論文共同作者Iman Mirzadeh向美國認知科學家Gary Marcus透露</a>，其論點是LRM的處理過程既不合邏輯，也不聰明。</p> <p>Marcus表示，他喜歡AI，但人類如果在《河內塔》這種遊戲上失敗，往往是因為記憶力不足，而擁有數GB記憶體的LLMs不應有同樣的藉口；該報告基本上展現出，不管人們如何定義通用人工智慧，LLMs都還無法取代優秀且規範明確的傳統演算法。</p> </div></div></div>
2025/6/10 08:23作者陳曉莉https://www.ithome.com.tw/news/169442
開源多媒體處理函式庫FFmpeg原生整合WebRTC，增強低延遲串流場景支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長期主導開源影音生態的多媒體處理函式庫FFmpeg，正式將WebRTC支援<a href="http://git.ffmpeg.org/gitweb/ffmpeg.git/commit/167e343bbe75515a80db8ee72ffa0c607c944a00">合併</a>入主線，並新增WHIP muxer（WebRTC-HTTP Ingestion Protocol Multiplexer），使FFmpeg原生具備次秒級低延遲串流輸出能力。這項更新使FFmpeg正式進入WebRTC生態系，功能從離線轉檔與解編碼，擴展至互動直播與雲端製播等即時性場景。</p> <p>WebRTC已成為現代瀏覽器與行動應用低延遲影音傳輸的主要標準。過去當要從FFmpeg推送串流至WebRTC平臺，開發者需額外部署轉接服務或自建媒體閘道，將RTP或其他封裝格式橋接至WebRTC，而這會造成架構複雜與延遲難以控制。</p> <p>新加入的WHIP muxer讓使用者在FFmpeg指令中加入-f whip參數，即可將音訊與視訊串流直接送到支援WHIP的WebRTC伺服器。無論是自建串流平臺、即時監控整合或互動視訊服務開發，開發者及硬體設備廠商只要內建FFmpeg，即可直接輸出WebRTC串流，進一步縮短整合時程並減少伺服器資源消耗，提供額外低延遲串流選項。</p> <p>WHIP在今年3月獲IETF定版為<a href="https://datatracker.ietf.org/doc/rfc9725/">RFC 9725</a>，協定設計強調最小訊號交換流程以完成即時推送串流，採用HTTPS進行會話協商，並以UDP傳送加密RTP封包，連線建立時間更短，具備NAT穿透與安全傳輸特性，特別適用於互動直播、雲端遊戲、遠距教學等對延遲敏感的應用。</p> <p>此次合併涉及約三千行程式碼的新增與重構，涵蓋協定協商、會話管理與加密傳輸等機制，使FFmpeg與GStreamer、OBS Studio等主流工具在WebRTC支援更趨一致，形成完整且互通的開源串流生態。</p> </div></div></div>
2025/6/10 08:43作者李建興https://www.ithome.com.tw/news/169437
【資安日報】6月9日，中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日資安新聞環繞兩大主題：中國與勒索軟體；在中國的部分，彙整當地民眾的40億筆記錄大型資料庫曝光最受到矚目，其次，中國駭客使用iMessage零點擊漏洞攻擊政要，以及鎖定SQL Server、NetWeaver等應用系統入侵企業組織的情況，也相當值得留意。</p> <p>而在勒索軟體的部分，駭客組織Qilin的活動再度浮上檯面，在此同時，攻擊者假借提供AI工具之名的線上平臺，成為散布勒索軟體的另類管道。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169435"><strong style="font-size: 22px;">中國驚傳大規模資料外洩，40億筆民眾個資在網際網路裸奔一天</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/china-leak-data-sample2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-leak-data-sample2.png" style="width: 300px; float: right;" /></a></p> <p>中國政府藉由收集民眾各式資料進行監控的情況，不時有相關消息傳出，然而這些資料保護不周的現象也時有所聞，最近有一起大規模資料外洩事故，引起全球高度關注。</p> <p>資安新聞網站Cybernews的研究團隊與資安業者Security Discovery聯手，於5月19日發現未受密碼保護的大型資料庫，內有超過40億筆用戶記錄，檔案大小為631 GB，內含金融財務資料、微信及支付寶（Alipay）的詳細資料，而且，大部分資料來自中國的使用者。研究人員認為，這應該是中國史上規模最大的資料外洩事故。</p> <p>這批資料裡面有什麼？Cybernews提及持有者疑似將內容依據類型分成16種資料集存放，根據筆數多寡，最多的是名為wechatid_db的資料集，內有8.05億筆微信帳號資料；其次是名為address_db的資料集，內有7.8億筆住宅的地理識別資訊，第三大的資料集名稱為bank，內有6.3億筆涉及信用卡號、存款、消費習慣的金融財務資料。研究人員指出，相關資料是透過精心收集與維護，目的很有可能是彙整所有中國民眾的行為、經濟能力，以及社會狀態。</p> <p><a href="https://www.ithome.com.tw/news/169423"><strong style="font-size: 22px;">中國資助的駭客利用iMessage零點擊漏洞Nickname，攻擊歐美重要人物</strong></a></p> <p>端點防護業者iVerify發現駭客組織利用iPhone上的iMessage漏洞攻擊歐美政治人物、媒體高層、AI廠商等重要人物，過程裡完全無需使用者互動。他們也透露這些受害者的共通點，就是曾遭到另一駭客組織Salt Typhoon攻擊。</p> <p>去年底到今年三月間之前，多位iPhone用戶發生手機當機事件，iVerify研究人員分析是和iMessage有關的零點擊攻擊，這波攻擊源自iMessage的imagent行程（process）中的一個漏洞，該漏洞基於其功能和位置因而之前未曾被揭露，iVerify將其命名為NICKNAME。</p> <p>研究人員發現，有6名iPhone用戶遭到和iMessage有關的攻擊。其中一名用戶手機頻繁發生當機後，iMessage附件在數秒內被一次大量刪除或新增的異常情形。這類異常情況僅發生在高價值，如重要政經人物身上。另一個證據是，其中一位用戶是歐盟資深政府官員，他曾接到蘋果發送威脅通知，這類通知的對象是國家駭客或政府監聽活動鎖定的iPhone用戶。</p> <p><a href="https://www.ithome.com.tw/news/169419"><strong style="font-size: 22px;">中國駭客Earth Lamia鎖定SQL Server、NetWeaver等應用系統而來，利用已知漏洞入侵受害組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthLamiafig01-01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthLamiafig01-01.png" style="width: 300px; float: right;" /></a>5月上旬威脅情報業者EclecticIQ指出，與中國國家安全部（MSS）有關的駭客團體CL-STA-0048、UNC5221，以及UNC5174，利用SAP修補的NetWeaver滿分漏洞CVE-2025-31324，廣泛於英國、美國、沙烏地阿拉伯發動攻擊，現在有研究人員公布長期調查的結果，指出這些駭客長期針對網頁應用系統的資安漏洞來入侵受害組織，得逞後透過多種手法從事網路間諜活動，竊取內部資料。</p> <p>資安業者趨勢科技指出，他們從2023年追蹤與上述團體有關的中國駭客組織Earth Lamia，這些駭客主要針對巴西、印度、東南亞的企業組織從事攻擊行動，他們利用的管道，是透過網頁應用程式的SQL注入漏洞存取受害組織的SQL Server，這些駭客也擅於使用已知漏洞對能夠從網際網路存取的伺服器下手。</p> <p>這些駭客經常透過掃描找出目標網站的SQL注入漏洞，一旦找到漏洞，他們就會試圖開啟系統的Shell，從而得到SQL Server的遠端存取管道。但除了試圖利用SQL注入手法，駭客也使用已知漏洞來攻擊其他應用程式伺服器。</p> <p><a href="https://www.ithome.com.tw/news/169434"><strong style="font-size: 22px;">勒索軟體Qilin利用Fortinet已知漏洞從事攻擊行動</strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，資安業者Prodaft指出，勒索軟體駭客Qilin在今年5月至6月之間，發起鎖定多個企業組織的攻擊活動，利用Fortinet防火牆的已知漏洞來取得初始入侵管道，其中包含CVE-2024-21762、CVE-2024-55591。</p> <p>而對於這些駭客針對的目標，研究人員指出共通點是來自使用西班牙語的國家，但他們認為駭客應該會隨機挑選下手目標，而非特別局限於特定的地理區域從事相關活動。</p> <p>上述研究人員提及的防火牆漏洞，皆已用於實際攻擊行動，而且，CVE-2024-55591被用於散布勒索軟體已非首例，今年1月下旬，使用俄語的駭客組織Mora_001藉此部署以LockBit 3.0為基礎的勒索軟體SuperBlack；另一個漏洞CVE-2024-21762，美國網路安全暨基礎設施安全局（CISA）於2月列入已遭利用的漏洞名冊（KEV）。</p> <p><a href="https://www.ithome.com.tw/news/169407"><strong style="font-size: 22px;">勒索及惡意軟體偽裝成AI工具散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-2f8ff667-a31c-4338-ae7f-b67d048f4c6c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-2f8ff667-a31c-4338-ae7f-b67d048f4c6c.png" style="width: 300px; float: right;" /></a>資安業者Cisco Talos警告，隨著AI工具的盛行，駭客開始假冒各種合法的AI工具以散布CyberLock與Lucky_Gh0$t等勒索軟體，以及全新的惡意軟體Numero。</p> <p>其中，CyberLock假冒為Novaleads，這是個協助企業將潛在客戶變現的線上平臺，主要提供行銷與客戶關係管理服務，其官網為Novaleads.app，其實跟AI並無關係，但駭客建立了一個Novaleads AI品牌，並申請Novaleadsai[.]com網址，同樣宣傳可推動銷售，企圖混淆視聽，提供產品下載，還說前12個月可免費使用，結果於執行程式中暗藏了CyberLock勒索軟體，向受害者要求價值5萬美元的門羅幣作為贖金。</p> <p>而Lucky_Gh0$t則偽裝成ChatGPT 4.0完整版安裝程式ChatGPT 4.0 full version - Premium.exe，它只加密小於1.2GB的檔案，包括文字、程式碼與配置檔，或是Office與Adobe文件，以及安裝程式或憑證檔等，較大的檔案則是直接破壞。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-pathwiper-malware-targets-critical-infrastructure/">惡意軟體PathWiper鎖定關鍵基礎設施而來，意圖植入管理工具以便駭客後續作案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hacker-targets-other-hackers-and-gamers-with-backdoored-github-code/">遊戲玩家、指令碼小子遭鎖定，駭客企圖透過GitHub散布木馬程式Sakura RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/new-supply-chain-malware-operation-hits.html">後門程式GlueStack透過惡意NPM套件散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/unsecured-database-exposes-passion-io-creators-data/?web_view=true">應用程式建置服務Passion.io資料庫未受保護，360萬開發者資料恐曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.virustotal.com/2025/06/what-17845-github-repos-taught-us-about.html">MCP伺服器近8%為惡意用途，逾1.7萬個GitHub儲存庫曝險</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169401"><strong style="font-size: 22px;">思科修補身分服務引擎ISE的驗證繞過漏洞</strong></a></p> <p>思科本周發布安全更新，修補身分服務引擎（Identity Service Engine，ISE）上高度風險的漏洞。</p> <p>編號CVE-2025-20286的漏洞一旦被成功濫用，駭客就可存取在AWS、Azure或OCI等雲端平臺的Cisco ISE執行個體，進而取得敏感資料、執行部份管理員運作、修改系統配置或擾亂受害系統內的服務，CVSS風險值高達9.9（滿分10分），屬重大層級。</p> <p>思科說明，這項漏洞起於思科ISE部署在雲端平臺時憑證產出不當，導致多個不同ISE執行個體可共用同一組憑證，只要這些環境的ISE軟體版本和雲端平臺一樣。攻擊者可以從雲端上的Cisco ISE執行個體擷取出用戶憑證，再以不安全的傳輸埠存取另一雲端平臺上的ISE執行個體，進而執行惡意存取行為。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169392"><strong>【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169365"><strong>【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</strong></a></p> </div></div></div>
2025/6/9 17:35作者周峻佑https://www.ithome.com.tw/news/169436
中國驚傳大規模資料外洩，曝露40億筆民眾詳細個資，涵蓋微信、支付寶、財務資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府藉由收集民眾各式資料進行監控的情況，不時有相關消息傳出，然而這些資料保護不周的現象也時有所聞，最近有一起<a href="https://cybernews.com/security/chinese-data-leak-billiones-records-exposed/">大規模資料外洩事故</a>，引起全球高度關注。</p> <p>資安新聞網站Cybernews的研究團隊與資安業者Security Discovery聯手，於5月19日發現未受密碼保護的大型資料庫，內有超過40億筆用戶記錄，檔案大小為631 GB，內含金融財務資料、微信及支付寶（Alipay）的詳細資料，而且，大部分資料來自中國的使用者。研究人員認為，這應該是中國史上規模最大的資料外洩事故。</p> <p>這批資料的內容為何？Cybernews提及所有者疑似將內容依據類型分成16種資料集存放，根據筆數多寡，最多的是名為wechatid_db的資料集，內有8.05億筆微信帳號資料；其次是名為address_db的資料集，內有7.8億筆住宅的地理識別資訊，第三大的資料集名稱為bank，內有6.3億筆涉及信用卡號、存款、消費習慣的金融財務資料。研究人員指出，相關資料是透過精心收集與維護，目的很有可能是彙整所有中國民眾的行為、經濟能力，以及社會狀態。</p> <p>值得留意的是，光是透過上述的3種資料，就有可能讓攻擊者掌握出民眾的生活型態、消費習慣、借貸與存款的情形等。</p> <p>另一個為數可觀的資料集也引起研究人員注意，此資料集以簡體中文命名，稱為三因子檢查（three-factor checks），共有逾6.1億筆記錄，包含使用者ID、電話號碼、使用者名稱。</p> <p>附帶一提的是，與微信有關的還有名為wechatinfo的資料集，約有5.77億筆記錄，研究人員推測此資料集內含中繼資料或是通訊事件記錄，甚至不排除是使用者對話內容。</p> <p>與支付寶有關的資料集也有2個，其中較大的是zfbkt_db，內含支付寶的卡片與Token資料，這代表攻擊者能用於未經授權付款、挾持帳號，甚至是竊取使用者的身分；另一個資料集則是與支付寶有關的金融資料。</p> <p>雖然大部分資料與中國民眾有關，但其中一個名為tw_db的資料集相當特別，研究人員推測很有可能與臺灣有關，不過內容為何，他們並未進一步透露。</p> <p>僅管研究人員發現並檢視資料庫的部分內容，但由於對方很快就察覺，並將資料庫離線，因此研究人員無法確認資料庫的所有者身分，資料庫曝露在網際網路的時間持續多久，是否有其他人未經授權存取，也無從得知。</p> </div></div></div>
2025/6/9 17:26作者周峻佑https://www.ithome.com.tw/news/169435
勒索軟體Qilin利用Fortinet已知漏洞從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年<a href="https://www.ithome.com.tw/news/163329">攻擊英國倫敦醫院服務供應商Synnovis</a>、今年3月<a href="https://www.ithome.com.tw/news/168720">攻擊吉隆坡國際機場（KLIA）</a>的<a href="https://www.ithome.com.tw/tags/qilin">勒索軟體駭客組織Qilin</a>，最近傳出發起新一波的攻擊行動，針對特定廠牌防火牆已知資安漏洞而來，過程完全自動化進行。</p> <p>勒索軟體Qilin自2022年8月開始出沒，也被稱為Agenda，駭客以租用服務（Ransomware-as-a-Service）的型態經營，這幾年傳出受害者相當廣泛，還包含中國汽車內裝零件製造商延峰（Yangfeng）、美國新聞媒體業者Lee Enterprises，以及澳洲法院服務業者Victoria等。其中，攻擊Synnovis導致英國倫敦多家醫院停擺的情況，受到全球高度關注。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/critical-fortinet-flaws-now-exploited-in-qilin-ransomware-attacks/">資安新聞網站Bleeping Computer的報導</a>，<a href="https://x.com/PRODAFT/status/1930959948810264845">資安業者Prodaft指出</a>，這些駭客在今年5月至6月之間，發起鎖定多個企業組織的攻擊活動，利用Fortinet防火牆的已知漏洞來取得初始入侵管道，其中包含CVE-2024-21762、<a href="https://ithome.com.tw/tags/cve-2024-55591">CVE-2024-55591</a>。</p> <p>而對於這些駭客針對的目標，研究人員指出共通點是來自使用西班牙語的國家，但他們認為駭客應該會隨機挑選下手目標，而非特別局限於特定的地理區域從事相關活動。</p> <p>上述研究人員提及的防火牆漏洞，皆已用於實際攻擊行動，而且，CVE-2024-55591被用於散布勒索軟體已非首例，今年1月下旬，使用俄語的駭客組織Mora_001<a href="https://ithome.com.tw/news/167900">藉此部署以LockBit 3.0為基礎的勒索軟體SuperBlack</a>；另一個漏洞CVE-2024-21762，美國網路安全暨基礎設施安全局（CISA）於2月<a href="https://www.cisa.gov/news-events/alerts/2024/02/09/cisa-adds-one-known-exploited-vulnerability-catalog">列入已遭利用的漏洞名冊（KEV）</a>。</p> </div></div></div>
2025/6/9 14:45作者周峻佑https://www.ithome.com.tw/news/169434
知名AI輔助開發工具Cursor推出1.0正式版，內建BugBot自動程式碼審查功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以人工智慧輔助開發為核心，同時也是氛圍開發（Vibe Coding）者愛用的<a href="https://www.cursor.com/en/changelog/1-0">Cursor推出1.0正式版</a>，帶來多項針對開發流程與團隊協作的功能更新。更新重點包括BugBot自動程式碼審查工具、MCP一鍵安裝與OAuth認證，以及背景代理（Background Agent）開放並直接支援Jupyter Notebook，還有專案記憶（Memories）測試版，同時針對設定與儀表板頁面進行強化。</p> <p>BugBot自動程式碼審查功能針對拉取請求流程自動檢查潛在錯誤，當發現問題時會於GitHub留下具體評論，開發人員可透過Fix in Cursor按鈕切換到編輯器，系統會自動填入修正提示，以加速修正與提升程式品質。對於需經常協作的團隊而言，BugBot自動化功能可減少人工審查負擔。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-Cursor-BugBot-by%20Anysphere.png" style="width: 600px;" /></p> <p>Cursor全面開放背景代理，而這個遠端協作代理讓用戶只需於聊天室點選雲端圖示或使用快捷鍵，即可啟用，支援遠端協作者在Cursor環境同步編輯專案。針對啟用隱私模式的用戶，目前還無法直接啟用背景代理，團隊預計後續推出新設定以擴大適用範圍。</p> <p>針對Jupyter Notebook用戶，Cursor正式支援由代理直接於筆記本內新增與編輯多個程式區塊，目前此功能優先開放給採用Sonnet模型的用戶。該功能可簡化Notebook內容修改流程，提升資料分析與原型開發速度，適合研究或資料科學團隊使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-Cursor-Agent%20in%20Jupyter%20Notebooks-by%20Anysphere.png" style="width: 600px;" /></p> <p>本次更新也新增Memories專案記憶測試版，Cursor可於每個專案層級記錄與引用先前對話重點，協作者可於設定中管理記憶內容，提升溝通效率並減少重複說明或遺漏資訊的可能性。</p> <p>在基礎設施方面，MCP伺服器現可一鍵安裝並支援OAuth認證，官方也釋出經認證的MCP伺服器清單，開發人員可於官方文件加入快速安裝按鈕，降低整合門檻，簡化第三方服務串接，加速自有伺服器接入與用戶授權設定。</p> <p>Cursor聊天室現已內建Mermaid圖表與Markdown表格即時生成功能，使溝通內容更結構化與視覺化，增加技術討論效率。設定與儀表板頁面則經全面改版，提供即時使用狀況統計、團隊使用行為分析、顯示名稱修改與網路診斷等功能，讓開發及管理過程更透明且更具可追蹤性。</p> </div></div></div>
2025/6/9 16:05作者李建興https://www.ithome.com.tw/news/169433
【資安週報】0602~0606，Chrome將從8月開始不信任中華電信新簽發的TLS/HTTPS憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年6月第一星期的資安新聞，有一項與瀏覽器TLS加密憑證合規的消息受到矚目，是關於Google宣布自Chrome 139（預計2025年8月發布）起，將不信任中華電信與匈牙利Netlock這兩家CA（憑證機構）於8月後核發的新TLS憑證，以中華電信問題而言，原因是合規性不足與缺乏有效管理。數發部表示，今年3月已掌握情資，啟動政府網站申請雙憑證方式來因應。</p> <p>具體影響在於，屆時服務端若向中華電信申請新憑證，使用Chrome瀏覽的用戶將出現連線錯誤或安全警告提示，雖然其他瀏覽器未跟進這項措施，Edge、Safari、Firefox的用戶不受影響，但Chrome的不信任仍可能讓一般用戶造成困擾，整個IT領域也關注是否還有其他影響，像是防護系統是否可能因瀏覽器信任清單，而將採用這些憑證的網站列入不信任名單。中華電信已經宣布，8月起暫停簽發新的TLS網站憑證，也承諾爭取讓自家憑證重獲預設信任，但根據Bugzilla紀錄的事件資訊來看，如何改善像是誤發憑證無法在規範5天內撤銷，以及年度自評報告延遲繳交等狀況，才是重點。</p> <p>在資安事故方面，有兩大類型議題備受我們關注，首先，是有兩起資安業者出狀況引發的資安危機：（一）資安業者SentinelOne於5月29日傳出多項服務中斷，事故原因是將正式系統過渡至新雲端架構過程中，誤刪路由導致組態比對功能異常；（二）自動化資安合規業者Vanta於5月26日發現系統內部程式碼錯誤，導致部分客戶敏感資料可被其他客戶存取，約有數百家企業受影響。</p> <p>另一是多家精品與服飾業者接連遭遇事故，相當不尋常：（一）內衣與時尚品牌業者維多利亞的秘密（Victoria's Secret）上星期網站服務停擺，該公司證實遭遇資安事故因此暫時關閉網站與網路商店服務；（二）精品業者Cartier通知客戶系統遭駭，有客戶個資外洩狀況；（三）戶外用品與運動服飾業者The North Face通報4月遭遇帳號填充攻擊，部分客戶個資外洩。</p> <p>其他重要資安事故方面，在臺灣，聯嘉光電於公開資訊觀測站發布資安重訊，揭露資訊系統遭到攻擊，駭客試圖存取總部與部分子公司網路環境；先前美國虛擬貨幣交易所Coinbase向美國SEC通報資料外洩，最新調查發現事件與兩名印度客服外包商TaskUs員工有關；還有法律與商業資訊業者LexisNexis發生客戶資料外洩，此事同樣因向主管機關通報而曝光，影響人數達36萬多人，初步調查顯示資料是從該公司使用的GitHub外洩，細節仍待釐清。</p> <p>在最新威脅態勢上，有4則新聞值得留意，涵蓋全螢幕BitM攻擊手法、濫用合法OpenSSH與Windows內建的API的攻擊活動，以及利用挖腳名義鎖定高層網釣攻擊的揭露。我們整理如下：</p> <p>●研究人員揭露新的瀏覽器中間人（BitM）攻擊手法，能以全螢幕方式展現，使惡意URL不被看到，降低遭察覺的機會，並指出fullscreen API的安全問題。<br /> ●有駭客濫用Windows內建的OpenSSH元件試圖建立後門連線，SANS網路風暴中心資安研究人員指出，攻擊者透過惡意DLL檔案dllhost.exe來啟動SSH服務。<br /> ●發現勒索軟體Lyrix駭客濫用Windows內建的API來隱匿行蹤，像是使用GetCurrentProcess、TerminateProcess控制惡意程式的運作等多種方式。<br /> ●發現鎖定不同產業高層與財務長（CFO）的網路釣魚攻擊，是以其他公司挖角名義來誘騙，攻擊範圍涵蓋歐洲、非洲、加拿大、中東與南亞。</p> <p>在漏洞攻擊威脅方面，有4個零時差漏洞攻擊，涵蓋Google Chromium與高通GPU晶片，可惜目前還未有具體攻擊影響揭露。</p> <p>●Google修補Chromium V8中1個已遭露利用的零時差漏洞CVE-2025-5419<br /> ●高通修補3個涉及GPU已遭利用的零時差漏洞，分別是CVE-2025-21479、CVE-2025-21480、CVE-2025-27038，僅透露已被用於目標式攻擊。<br /> ●ConnectWise於4月修補的漏洞CVE-2025-3935，近期發現可能遭國家級駭客利用，但也傳出可能早在去年8月就已遭利用。<br /> ●先前威脅情報業者GrayNoise揭露華碩路由器已知漏洞遭鎖定，尤其是CVE-2021-32030、CVE-2023-39780遭駭客利用，後續華碩提醒，後項漏洞與其他4個漏洞也有關。<br /> ●舊版網路論壇軟體vBulletin存在兩項已遭駭客利用的漏洞，分別是：CVE-2025-48827與CVE-2025-48828，但去年4月修補未公布CVE，近期駭客鎖定攻擊、經資安業者通報，才讓這兩個CVSS滿分的CVE漏洞浮上檯面。</p> <p>至於資安防禦動態方面，有3大重點值得大家關注，首先，澳洲政府頒布新規範，針對遭勒索的企業，要求從5月30日起，不僅要通報資安事件，也要在72小時內通報支付贖金的金額，這在國際相當少見；其次，針對駭客組織命名不同問題，微軟與CrowdStrike正合作發展一套對照指引，雖然這並非建立共通標準，但目的很明顯是要減少資安資訊交流阻礙。</p> <p>第三項重點是打擊網路犯罪。美國財政部指出菲律賓公司Funnull向AWS或Azure購買大量IP位址，再轉售給詐騙集團，協助架設投資詐騙網站，因此對Funnull祭出制裁。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169309"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</span></strong></a></h3> <p>駭客架設遠端瀏覽器來發動瀏覽器中間人攻擊（Browser in the Middle，BitM），藉由在使用者存取網路應用程式的過程裡，不知不覺地挾持用戶的帳號，但如今有研究人員揭露改良版的攻擊手法，使用者恐更難察覺。</p> <p>資安業者SquareX指出，一般的BitM攻擊有機會從網址列察覺，但若是攻擊者搭配瀏覽器全螢幕瀏覽的API，就更有機會騙過使用者而得逞。</p> <h3><a href="https://www.ithome.com.tw/news/169343"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</span></strong></a></h3> <p>5月底Google宣布Chrome瀏覽器預設信任機制將祭出新的措施，其中有兩家CA業者的合規改善情況未達到要求，造成可靠性下降，他們決定從Chrome 139開始，移除對於這兩家CA於8月之後核發的新TLS憑證的信任，由於其中一家CA是臺灣電信龍頭中華電信，這項消息很快就引起國內關注。</p> <p>由於此事影響的層面可能會相當廣泛，中華電信也緊急發布聲明說明處理情形，數位發展部也透露公部門網站已採取雙憑證因應。</p> <p><a href="https://www.ithome.com.tw/news/169365"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</span></strong></a></p> <p>如同歹徒犯案會事先勘察環境，駭客也會透露掃描特定弱點的方式尋找可下手的目標，但過往駭客往往是針對其中一項漏洞，或是特定組態配置不當的情況而來，如今有人同時對75種弱點挖掘能夠攻擊的目標，這樣的情況極為罕見。</p> <p>這起事故另一個特殊的地方在於，整個活動只維持一天，使得研究人員想要找出攻擊者的身分，也變得更加困難。</p> <h3><a href="https://www.ithome.com.tw/news/169392"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</span></strong></a></h3> <p>過往駭客組織鎖定的郵件伺服器系統，多半以微軟的Exchange為主，但最近兩到三年，有越來越多駭客針對Roundcube、Zimbra等開源解決方案而來，因此這類系統若是出現資安漏洞，也相當值得留意。</p> <p>最近有資安業者發現Roundcube重大層級漏洞，值得留意的是，由於不光是IT人員用來架設郵件伺服器，再加上有其他應用系統如主機管理平臺cPanel、Plesk整合Roundcube，亦有Yandex.Mail、Zoho Mail等服務採用，因此這種漏洞的影響範圍會相當可觀。</p> <h3><a href="https://www.ithome.com.tw/news/169399"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</span></strong></a></h3> <p>今天的資安新聞當中，針對高階財務主管的攻擊行動相當值得留意，過往駭客通常是透過電子郵件詐騙（BEC）手法，佯稱是公司的CEO來行騙，但如今有歹徒以獵人頭的名義來對這些主管下手，目的是在他們的電腦植入惡意軟體並進行控制。</p> <p>此外，駭客針對DevOps環境配置不當、濫用Windows內建的OpenSSH元件也值得留意。在國內消息的部分，昨天傍晚聯嘉光電發布資安重訊，指出總部與海外子公司同時遭受攻擊。</p> <p> </p> </div></div></div>
2025/6/9 14:33作者羅正漢https://www.ithome.com.tw/news/169425
非營利的EleutherAI釋出集結合法開放資料的AI訓練資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利的AI研究組織EleutherAI上周<a href="https://huggingface.co/blog/stellaathena/common-pile" target="_blank">發布了Common Pile v0.1</a>，這是個AI訓練資料集，所蒐集的資料全部屬於開放授權或公有領域，且利用該資料集訓練出的2個7B模型，發現它們的表現並不亞於LLaMA、MPT、PRJ-INCITE或Qwen等知名模型。</p> <p>EleutherAI創立於2020年，是個非營利的AI研究機構，亦被稱為OpenAI的開源版。甫釋出的Common Pile v0.1收錄超過30種來源的逾8TB的純文字，該資料集採用嚴格的授權過濾機制，僅保留採用創用CC BY、CC BY-SA或CC0協議的內容，涵蓋生物醫學領域的PubMed Central、數理科學領域的ArXiv、GitHub Archive、StackExchange、Ubuntu IRC、USPTO專利資料集及維基百科等。</p> <p>Common Pile v0.1的重點是它們皆屬於公開授權及公有領域，明確排除了不符合開放意義的資料，避免侵權問題，並提升訓練資料集的透明度。</p> <p>EleutherAI還利用Common Pile v0.1訓練了兩個7B參數模型，其中的<a href="https://huggingface.co/common-pile/comma-v0.1-1t" target="_blank">Comma v0.1-1T</a>以1兆個Token作為訓練量，<a href="https://huggingface.co/common-pile/comma-v0.1-2t" target="_blank">Comma v0.1-2T</a>則使用了2兆個Token進行訓練。</p> <p>當比較Comma v0.1-1T與LLaMA、MPT及PRJ-INCIT等模型時，發現Comma v0.1-1T在ARC-C、MMLU、BoolQ、SIQA、HumEval及MBPP等基準測試上勝出。</p> <p>若是比較Comma v0.1-2T與OLMo Twin、Llama 2及DeepSeekLLM，Comma v0.1-2T也在ARC-E、MMLU、SIQA及HumEval上的表現最為突出。</p> <p>EleutherAI認為，使用未授權資料可能引發法律與倫理爭議，因此應該建立一套完全由開放授權或是公有領域組成的資料集，而且實驗也發現，這些基於開放資料集的模型在許多測試中的表現也與主流模型相當，彰顯出開放資料也能訓練出高品質的語言模型，將能鼓勵社群持續蒐集與擴展開放授權資料，朝向合法、可持續及倫理的AI模型發展路線。</p> </div></div></div>
2025/6/9 12:25作者陳曉莉https://www.ithome.com.tw/news/169432
Apple用Swift重寫密碼監控服務效能提升40％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.swift.org/blog/swift-at-apple-migrating-the-password-monitoring-service-from-java/">Apple將密碼監控服務後端由Java改為Swift</a>，效能提升40％，記憶體用量降低一個量級，單一實例記憶體大幅縮減，99.9％請求延遲低於1毫秒，整體資源使用量減半</p> <p>Apple近年推動軟體基礎架構現代化，繼在行動裝置與桌面端廣泛導入Swift後，最新重大調整是將密碼監控服務後端從Java改寫為Swift，並已在全球生產環境部署。根據Apple官方團隊說明，Swift版本的效能較Java提升約40％，同時能大幅降低記憶體用量。</p> <p>密碼監控服務是Apple在2024年所推出Passwords應用程式的核心功能之一。該服務協助用戶於多裝置間管理密碼、通行密鑰與驗證碼，並即時檢查密碼是否外洩。而其服務後端運作在Linux基礎設施，須要長時間高效處理全球數十億裝置的查詢請求，對效能與擴充性要求嚴格。</p> <p>Apple團隊表示，隨用戶規模擴大，Java雖具穩定性及豐富生態系，但在大規模服務下的資源使用率已經成為瓶頸。特別是在記憶體管理、JVM啟動速度與垃圾回收調校上，難以兼顧高並行（Concurrency）的即時性與運算效能。團隊在多次調校JVM後仍無法達成預期目標，因此評估以Swift重構系統架構。</p> <p>採用Swift重寫後，服務單一實例記憶體需求從Java高峰時的數十GB降至數百MB，資源用量大幅減少。整體吞吐量提升約40％，99.9％請求延遲低於1毫秒，團隊指出，Swift具嚴謹型別系統、可選值與安全釋放機制，有助減少執行期間錯誤並提升程式碼可讀性。Swift語法設計也使開發人員能以更精簡且易於維護的方式建構模組化架構，重寫後程式碼行數約為原先的15％，有利於降低維運負擔。</p> <p>在軟體架構方面，Apple採用Swift的Vapor伺服器端框架，並針對密碼監控需求，開發橢圓曲線密碼技術、稽核、設定及錯誤處理等自訂元件。針對高安全標準，密碼監控服務不會回傳用戶密碼至Apple，採用隱私集合交集（Private Set Intersection）等密碼技術協定，確保用戶隱私與安全。</p> <p>Apple技術團隊進一步指出，Swift除了高效能與安全性，也具動態擴充能力，適合在Kubernetes等雲端原生架構運作。轉換後，密碼監控服務的資源使用量減半，使Kubernetes叢集可釋出更多資源供其他服務使用，進而提升整體系統的可用性與彈性。</p> </div></div></div>
2025/6/9 12:06作者李建興https://www.ithome.com.tw/news/169429
中國駭客Earth Lamia鎖定SQL Server、NetWeaver等應用系統而來，利用已知漏洞入侵受害組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月上旬<a href="https://www.ithome.com.tw/news/168966">威脅情報業者EclecticIQ指出</a>，與中國國家安全部（MSS）有關的駭客團體CL-STA-0048、UNC5221，以及UNC5174，利用SAP修補的NetWeaver滿分漏洞CVE-2025-31324，廣泛於英國、美國、沙烏地阿拉伯發動攻擊，現在有研究人員公布長期調查的結果，指出這些駭客長期針對網頁應用系統的資安漏洞來入侵受害組織，得逞後透過多種手法從事網路間諜活動，竊取內部資料。</p> <p>資安業者趨勢科技指出，他們<a href="https://www.trendmicro.com/en_us/research/25/e/earth-lamia.html">從2023年追蹤與上述團體有關的中國駭客組織Earth Lamia</a>，這些駭客主要針對巴西、印度、東南亞的企業組織從事攻擊行動，他們利用的管道，是透過網頁應用程式的SQL注入漏洞存取受害組織的SQL Server，這些駭客也擅於使用已知漏洞對能夠從網際網路存取的伺服器下手。</p> <p>研究人員提及，這些駭客廣泛鎖定許多企業組織，但同時間只會對特定行業下手，根據駭客針對的對象，大致可分成幾個時期，從2023年至2024年初，他們主要的目標是金融業，尤其是與證券和金融經紀公司；到了2024年下半，他們將目標轉向物流與網路零售業；直到最近，駭客將目標轉向IT公司、大學、政府機關。</p> <p>雖然Earth Lamia高度使用可公開取得的工具從事攻擊，但他們也不斷開發自己的工具Pulsepack、BypassBoss。其中Pulsepack約從去年8月出現，今年駭客改用升級版本，最大的差異就是更換C2通訊的做法，這代表駭客積極開發這個後門程式。</p> <p>針對駭客的攻擊流程，這些駭客經常透過掃描找出目標網站的SQL注入漏洞，一旦找到漏洞，他們就會試圖開啟系統的Shell，從而得到SQL Server的遠端存取管道。但除了試圖利用SQL注入手法，駭客也使用已知漏洞來攻擊其他應用程式伺服器。</p> <p>除了前述提及的CVE-2025-31324，這些漏洞包含：Apache Struts2漏洞CVE-2017-9805、Craft CMS漏洞CVE-2024-56145、CyberPanel漏洞CVE-2024-51378與CVE-2024-51567、GitLab漏洞CVE-2021-22205、JetBrains TeamCity漏洞CVE-2024-27198與CVE-2024-27199，以及WordPress檔案上傳外掛漏洞CVE-2024-9047，這些漏洞大部分涉及遠端程式碼執行（RCE），但也有任意檔案存取、身分驗證繞過、路徑穿越弱點。</p> <p>一旦成功入侵受害伺服器，這些駭客就會從事一系列的行為，於受害組織的網路環境進行橫向移動。這些行為包含利用Certutil及PowerShell下載作案工具、在網頁應用程式伺服器植入Web Shell、使用GodPotato或JuicyPotato等工具提升權限，以及利用Fscan及Kscan等工具掃描網路環境等。</p> <p>另一方面，這些駭客還會建立名為helpdesk的使用者帳號，並加入管理員群組，透過LSASS或是特定的機碼截取帳密資料，並使用公用程式nltest.exe、net.exe收集網域控制器的資訊。</p> <p>而對於建立對外通訊的部分，駭客使用rakshasa與Stowaway建立代理伺服器隧道，使用Vshell、Cobalt Strike、Brute Ratel等滲透測試工具產生後門程式，並透過schtasks.exe維持後門的運作。</p> <p>附帶一提，若是Earth Lamia成功利用SQL注入漏洞，就會建立具有管理員權限的帳號sysadmin123。</p> </div></div></div>
2025/6/9 10:30作者周峻佑https://www.ithome.com.tw/news/169419
Hugging Face開源機器人模型SmolVLA 可跑在Mac電腦上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hugging Face積極拓展機器人業務，繼公布二款低成本機器人後，<a href="https://huggingface.co/blog/smolvla" target="_blank">上周再開源一款4.5億參數量的機器人模型SmolVLA</a>，號稱能執行在消費硬體如Mac電腦上。</p> <p>相較於AI快速進步，機器人進展緩慢許多，這是因為欠缺高品質多元資料，及協助機器人像人類一樣思考和行動的模型。為解決這個問題，產業界最近開始重視視覺語言行動（vision-language-action，VLA）模型，這類模型希望在單一模型中整合知覺、語言理解和行動預測能力，並輸出相應的機器人行動。惟此類模型主要是專屬模型，其訓練通常要求昂貴的硬體、多種工程資源及大規模私有資料集，對研究社群取用有很高的門檻。</p> <p>因此Hugging Face釋出SmolVLA，希望能以這個開源、以公開資料集訓練，且能執行在消費硬體的輕量模型，推動VLA普及化，加速通用型機器代理人的研究。</p> <p>在訓練時，SmolVLA是以一般操作資料預訓練，再以特定任務專用資料進行後訓練，以實現更強的適應能力。在模型架構上，SmolVLA結合了Transformer及flow-matching解碼器，並採用4種技術，包括加速視覺模型推理速度：在視覺模型中跳過一半層數，以加速推論並縮小模型；交錯融合自注意力（self-attention）與交叉注意力（cross-attention）區塊，以強化多模態訊息整合效率；使用較少的視覺token提升處理速度；並選用更輕量的SmolVLM2來預訓練，降低硬體需求。</p> <p>即便訓練集僅包含不到3萬筆任務紀錄，遠少於其他視覺語言代理（VLA）模型，但Hugging Face說，SmolVLA在模擬與實體場景中的表現仍與大型模型相當，甚至超越。</p> <p>此外，SmolVLA引入非同步推理架構（asynchronous inference stack），將感知（視覺與聽覺理解）與動作執行解耦，有利於讓機器人在環境快速變化時更迅速做出反應，有效提升機器人的實用性。</p> <p>最後訓練出的SmolVLA-450M可執行在搭載消費級GPU的硬體甚至MacBook上。而搭配SmolVLA-450M的機器人，則包括Hugging Face自己的平價機器人機型，如SO-100、SO-101、LeKiwi等。</p> <p>而在標竿測試中，Hugging Face強調SmolVLA效能表現優異，其中在LIBERO、Meta-World模擬標竿測試中結果優於更大的模型，如Octo、OpenVLA，而在實際機器人SO100和SO101的抓取與放置、堆疊、分類的能力測試中，以SmolVLA的效能較好，而在SO101，SmolVLA也表現更好的泛化（generalization）能力。而非同步推論將執行和推論解耦，可使機器人在移動時反應更快，該公司強調支援提升30%速度及2倍的任務輸出。</p> <p>SmolVLA基礎模型<a href="https://huggingface.co/lerobot/smolvla_base" target="_blank">在Hugging Face平臺釋出</a>。<a href="https://github.com/TheRobotStudio/SO-ARM100" target="_blank">訓練方法則在GitHub公布</a>。</p> </div></div></div>
2025/6/9 11:14作者林妍溱https://www.ithome.com.tw/news/169427
Linux基金會啟動FAIR套件管理專案，打造WordPress的去中心化套件平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會（Linux Foundation）上周五（6/6）<a href="https://www.linuxfoundation.org/press/linux-foundation-announces-the-fair-package-manager-project-for-open-source-content-management-system-stability" target="_blank">宣布啟動FAIR套件管理（FAIR Package Manager）專案</a>，該專案定位為中央WordPress.org外掛程式及主題生態系統的去中心化替代方案，以將控制權交還給托管商及開發人員。被視為是<a href="https://www.ithome.com.tw/news/165222" target="_blank">WP Engine爭議</a>的衍生性產物。</p> <p><a href="https://github.com/fairpm" target="_blank">根據該專案的說明</a>，FAIR套件管理可作為一個隨插即用的WordPress外掛程式運行，以聯合的開源基礎設施無縫地替換現有的集中式服務。該系統有兩個核心支柱，包括以本地或FIAR管理的替代方案取代了與 WordPress.org API的通訊，以及採用去中心化的套件管理。</p> <p>該專案說明，儘管穩定的外掛程式目前使用的是WordPress.org鏡像，但未來的版本將完全支援FIAR原生套件。</p> <p>託管商有兩種方式來遞送FAIR，一是提供獨立的外掛程式，可直接安裝在現有的WordPress上，二是透過FAIR發行版來自動部署網站。</p> <p>Linux基金會執行董事Jim Zemlin指出，FAIR套件管理專案將替開源內容管理的穩定性及發展鋪路，替貢獻者與企業提供了一個由中立社群治理的額外選項。</p> <p>該專案的意義在於可消除核心更新、外掛程式及主題對任何單一來源的依賴；藉由整合不同來源的外掛程式，替現代安全實踐奠定基礎；以及將安全性構建至供應鏈中，改善加密安全措施，強化瀏覽器相容性檢查，以允許依賴來自可信來源的安全加密鹽值。</p> <p>FAIR套件管理專案被視為是WP Engine事件的衍生物。WordPress專案主要貢獻者並開發WordPress.com的Automattic，在2024年要求同為WordPress託管商的WP Engine付費取得WordPress商標使用權，但遭WP Engine拒絕，隨後Automattic創辦人Matt Mullenweg即於去年9月<a href="https://www.ithome.com.tw/news/165222" target="_blank">禁止WP Engine存取WordPress.org</a>。</p> <p>WordPress.org為WordPress開源專案的官方網站與資源中心，負責提供核心軟體的免費下載與文件，也是官方的外掛程式及主題儲存庫，儘管它理論上應該是由社群所擁有，但Automattic或Mullenweg卻可片面決定封鎖WP Engine，還在同年10月<a href="https://www.ithome.com.tw/news/165480" target="_blank">擅自分叉WP Engine的ACF外掛</a>。Automattic內部也因此出現矛盾，最後<a href="https://www.ithome.com.tw/news/165444" target="_blank">造成159名員工離職</a>，Mullenweg也被批評違反開源精神，同時使得WordPress.org的中心化審核、發布機制與更新過程開始受到質疑。</p> <p>WordPress企業級解決方案供應商Crowd Favorite也贊助了FAIR套件管理專案，該公司執行長Karim Marucchi表示，從個人用戶、企業到遞送管道，WordPress的每個人都有一個共同的目標，亦即平臺的長期生存能力；而實現此一目標的最佳途徑即是消除供應鏈安全漏洞，以穩定整個WordPress生態系統。</p> </div></div></div>
2025/6/9 10:19作者陳曉莉https://www.ithome.com.tw/news/169426