iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】8月15日，俄羅斯駭客發動網路間諜行動，鎖定前蘇聯國家挖掘網域控制器與系統帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自烏克蘭戰爭開打，俄羅斯駭客的攻擊行動變得更加頻繁，一方面針對烏克蘭進行情報收集，一方面也攻擊聲援烏克蘭的歐洲國家及美國，然而，鄰近俄羅斯、或是前蘇聯國家，也是這些駭客組織情報收集的目標，最近資安業者Bitdefender揭露的Curly COMrades，他們就對喬治亞和摩爾多瓦從事相關攻擊。</p> <p>除此之外，全錄列印流程自動化軟體FreeFlow的資安漏洞也相當值得留意，通報此事的資安業者Horizon3.ai指出，這些漏洞相當容易利用，而且已被用於實際攻擊行動。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170631"><strong style="font-size: 22px;">俄羅斯駭客Curly COMrades鎖定前蘇聯國家，透過惡意程式MucorAgent從事隱密的網路間諜活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/undefined-Aug-11-2025-05-41-29-1221-AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/undefined-Aug-11-2025-05-41-29-1221-AM.png" style="width: 300px; float: right;" /></a></p> <p>為了從事網路間諜活動而不被察覺，APT駭客使用能公開取得的工具，或是受害電腦現成工具進行寄生攻擊（LOLBin）的情況越來越常見，最近有資安業者公布他們追蹤長達一年的駭客組織，但對於這些駭客什麼時候開始活動，目前仍不清楚。</p> <p>資安業者Bitdefender自2024年中旬追蹤俄羅斯駭客組織Curly COMrades，這些駭客主要以俄羅斯當局感興趣的目標下手，鎖定特定國家當中，面臨地緣政治變化的重要組織，他們看到駭客曾對喬治亞的司法與政府機構，以及摩爾多瓦的能源分配公司下手。值得留意的是，喬治亞和摩爾多瓦都是前蘇聯的一部分，在蘇聯解體時獨立，地理位置在黑海與東歐具有戰略地位，兩國原本就面臨在歐盟和北約，以及俄羅斯之間的影響力拉扯，在俄羅斯對烏克蘭發動戰爭後，這兩個國家的安全風險便急劇上升。</p> <p>為了建立能持續存取的管道，駭客於受害組織植入名為MucorAgent的後門程式，此惡意軟體導入相當不尋常的攻擊手法，藉由挾持類別識別編號（CLSID），鎖定原生映像檔產生器（Native Image Generator，NGEN）來達到目的。NGEN是Windows作業系統內建的.NET Framework元件，攻擊者濫用它來停用特定工作排程，以便持續存取受害電腦。</p> <p><a href="https://www.ithome.com.tw/news/170607"><strong style="font-size: 22px;">紐約州控告數位支付平臺Zelle放任詐欺活動</strong></a></p> <p>美國紐約州檢察總長Letitia James本周三（8月13日）正式控告負責經營P2P數位支付平臺Zelle的Early Warning Services（EWS），指控EWS所設計的Zelle缺乏關鍵安全功能，並放任詐欺活動，使得受害者在2017年至2023年間損失超過10億美元。</p> <p>紐約州指出，Zelle在廣告中聲稱其匯款安全可靠，但實際上卻未採取基本防詐措施。自2017年上線以來，任何擁有美國銀行帳號的使用者皆可以電子郵件或美國手機號碼註冊，提供幾乎是即時的轉帳，但其註冊流程缺乏驗證，而讓詐騙者能夠冒用與商業或政府有關的電子郵件，再藉由立即與不可逆的轉帳特性，在受害人察覺之前便將資金轉走。</p> <p>最常見的詐騙型態有兩種，一是透過網釣或惡意程式入侵受害者的Zelle帳號，再逕自轉走資金，二是冒充政府機構或是出售根本不存在的商品或服務，誘導使用者轉帳。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pro-russian-hackers-blamed-for-water-dam-sabotage-in-norway/">對4月水壩遭到入侵，挪威指控是俄羅斯駭客所為，目的疑為展示能力</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/crypto24-ransomware-hits-large-orgs-with-custom-edr-evasion-tool/">勒索軟體Crypto24鎖定大型企業組織而來，透過EDR迴避偵測工具犯案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/researchers-warn-crossc2-expands-cobalt.html">駭客使用惡意程式CrossC2，將Cobalt Strike攻擊範圍延伸到macOS與Linux電腦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bookingcom-phishing-campaign-uses-sneaky-character-to-trick-you/">Booking.com網釣透過日文字元愚弄用戶</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170634"><strong style="font-size: 22px;">全錄列印流程自動化軟體FreeFlow存在資安漏洞，恐被用於SSRF、RCE攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-8356.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-8356.png" style="width: 300px; float: right;" /></a>8月8日全錄發布資安公告，他們為列印流程自動化系統FreeFlow Core發布更新8.0.5版，當中修補兩項資安漏洞，分別是：XML外部實體（XXE）導致的伺服器請求偽造（SSRF）漏洞CVE-2025-8355，以及可被用於遠端執行任意程式碼（RCE）的路徑穿越漏洞CVE-2025-8356，並指出這些漏洞帶來嚴重或是高度風險。本週通報此事的資安業者Horizon3.ai提出警告，這些漏洞不僅能讓未經授權的攻擊者發動RCE攻擊，還相當容易利用，呼籲用戶應儘速套用新版程式。</p> <p>針對調查相關漏洞的動機，Horizon3.ai指出是他們的客戶的弱點管理平臺NodeZero出現疑似誤報的情況，當時客戶指出是其中一臺主機出現了XXE注入的問題，但怪異的是，弱點管理平臺指出存在弱點的軟體不僅並未安裝在這臺電腦上，此客戶亦表示他們完全沒有採用這款應用程式。因此，Horizon3.ai決定著手深入調查，從而確認問題源自於FreeFlow Core系統的資安漏洞。換言之，這些漏洞在察覺的過程裡，就已經被用於實際攻擊行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/jenkins-servers-risk-rce-vulnerability-cve-2025-53652/">Jenkins外掛程式存在重大漏洞，1.5萬臺伺服器恐曝險</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170621"><strong style="font-size: 22px;">NIST輕量加密標準定案，採四種Ascon演算法保護物聯網與醫療裝置</strong></a></p> <p>美國國家標準技術研究所（NIST）正式發布《Ascon-Based Lightweight Cryptography Standards for Constrained Devices》加密技術標準文件，其編號為SP 800-232，針對物聯網與其他資源受限的電子裝置，提供經標準化的輕量級加密方案。這套標準歷經多年公開審查與技術社群的反覆討論，最終以Ascon家族四種演算法變體為核心，兼顧安全性與運算效能，特別適用於處理能力、記憶體與能源有限的環境。</p> <p>SP 800-232標準文件涵蓋Ascon四種變體，分別對應不同的應用需求。ASCON-128 AEAD提供具關聯資料的認證加密，可同時確保資料機密性與完整性，適用於RFID標籤、車載收費裝置與醫療植入設備。ASCON-Hash 256則產生固定長度的雜湊值，適合用於資料完整性檢查、密碼儲存及軟體更新驗證，是SHA-3系列的輕量替代選項。ASCON-XOF 128與ASCON-CXOF 128則屬於可延伸輸出函式，支援調整雜湊長度以降低運算負擔，其中CXOF版本可加入自訂標籤，降低不同裝置在相同運算下產生相同雜湊值的風險。</p> <p><a href="https://www.ithome.com.tw/news/170608"><strong style="font-size: 22px;">Windows 11、Server 2025正式移除Windows 7時代的PowerShell 2.0</strong></a></p> <p>微軟本周宣布，將從未來2個月透過Windows 11 24H2及Windows Server 2025更新，移除Windows 7時代遺留下來的PowerShell 2.0，以提升Windows環境的安全性。</p> <p>在最新公告下，PowerShell 2.0將自8月份的Windows 11 24H2和9月份的Windows Server 2025更新中移除。此後Windows 11和Server 2025更新也都不會再包含PowerShell 2.0。Insiders計畫的Windows預覽版則已在7月移除。</p> <p>微軟說，這次移除是微軟清除舊式程式碼、降低PowerShell生態體系複雜性和改善Windows安全性的整體計畫的一環。這項變更不會影響大部份用戶和企業，PowerShell 5.1或7.x版仍持續獲得支援。但如果企業內有舊式腳本程式或軟體使用PowerShell 2.0就必須及早動作，或尋求替代方案，以免程式運作受影響。</p> <p><a href="https://www.ithome.com.tw/news/170489"><strong style="font-size: 22px;">為防堵ZIP混淆攻擊，PyPI推新規保護Python套件安全</strong></a></p> <p>Python官方套件庫PyPI宣布強化上傳審核流程，目標是封鎖利用ZIP解析差異的混淆攻擊。由於常用安裝器uv在解壓ZIP檔時的處理方式，與多數採用標準函式庫zipfile模組的工具不同，攻擊者可能藉由構造特殊或惡意ZIP，讓其在不同安裝工具中解壓出不同內容，進而繞過檢測或審核。</p> <p>PyPI已開始拒收以混淆為目的建構的ZIP與wheel，並預告在2026年2月1日起，凡wheel內檔案與.dist-info目錄中的RECORD檔案不一致將被直接拒收。</p> <p> </p> <h3>【執法行動】</h3> <p><a href="https://www.ithome.com.tw/news/170568"><strong style="font-size: 22px;">美國拆解Royal與BlackSuit勒索軟體基礎設施，當地受害機構逾450家</strong></a></p> <p>美國國土安全調查局（Homeland Security Investigations，HSI）華盛頓特區辦事處宣布，聯合美國多個執法單位與國際夥伴，成功拆解BlackSuit勒索軟體的關鍵基礎設施。BlackSuit被視為Royal勒索軟體的繼任者，自2022年起兩者合計已在美國鎖定超過450家已知受害機構，涵蓋醫療、教育、公共安全、能源與政府部門，勒索金額估算約達3.7億美元。此次行動查扣伺服器、網域與數位資產，並關閉攻擊者用來部署勒索軟體、勒索受害者與洗錢的基礎設施。</p> <p>HSI指出，此次行動屬於代號Operation Checkmate行動的一部分，由歐洲刑警組織聯合網路行動特遣隊（J-CAT）協調，目標直指Royal與BlackSuit勒索集團。行動由HSI多個國際辦事處與美國司法部、IRS-CI、FBI及多國執法單位合作完成，包括英國、德國、愛爾蘭、烏克蘭、立陶宛、法國與加拿大等國警政機關參與。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170624"><strong>【8月14日】ShinyHunters、Scattered Spider狼狽為奸</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170598"><strong>【8月13日】微軟、SAP發布8月份安全性例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170582"><strong>【8月12日】俄羅斯駭客挖出WinRAR新的零時差漏洞，已用於網釣</strong></a></p> </div></div></div>
2025/8/15 13:16作者周峻佑https://www.ithome.com.tw/news/170636
加拿大眾議院遭網路攻擊疑為微軟漏洞濫用事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cbc.ca/news/politics/house-of-commons-data-breach-1.7608061" target="_blank">加拿大媒體CBC News報導</a>，加拿大眾議院疑似遭駭客透過微軟近日漏洞駭入系統，導致「重大」資訊外洩。</p> <p>根據CBC News取得眾議院的對內通知信件，本事件發生在上周五，駭客經由微軟最近揭露的漏洞，得以未經授權存取了眾議院一個儲存員工電腦和行動裝置管理資訊的資料庫。可能外洩的資訊包括員工姓名、職稱、辦公室位置、電子郵件，以及列管的電腦和行動裝置資訊。眾議院要求員工要留心外洩資訊造成詐騙或網釣攻擊。</p> <p>加拿大通訊安全局（Communications Security Establishment）向媒體表示已獲知此事，並和眾議院合作提供協助，但該局表示目前本案正在調查中，無法確認攻擊者身份。</p> <p>加拿大官方未透露是哪種微軟漏洞被濫用，加拿大網路安全中心（Cyber Centre）近日發布的微軟安全公告包括 SharePoint Server（CVE-2025-53770，又稱ToolShell）及<a href="https://www.cyber.gc.ca/en/alerts-advisories/microsoft-exchange-security-advisory-av25-490" target="_blank">Microsoft Exchange</a>混合環境提權攻擊漏洞（CVE-2025-53786）。從外洩資料性質來看，受駭的可能是SharePoint Server。</p> <p>8月初針對<a href="https://www.ithome.com.tw/news/170186" target="_blank">SharePoint Server的攻擊</a>受害者包括美國政府及大學，但安全研究人員估計，使用本地部署SharePoint Server的9000多家組織都可能受害。另一方面，Exchange Server漏洞即使4個月前已發布更新，<a href="https://www.ithome.com.tw/news/170552" target="_blank">也還有2.9萬臺系統未修補漏洞</a>。</p> </div></div></div>
2025/8/15 13:19作者林妍溱https://www.ithome.com.tw/news/170637
全錄列印流程自動化軟體FreeFlow存在資安漏洞，恐被用於SSRF、RCE攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年印表機的安全性議題浮上檯面，有不少資安業者針對這類裝置尋找漏洞而引起關注，例如：今年2月資安業者Rapid7揭露全錄（Xerox）印表機<a href="https://www.ithome.com.tw/news/167504">可被用於回傳攻擊（Pass-Back Attack）的漏洞</a>，攻擊者有機會以此在受害組織網路環境橫向移動，4月Canon修補微軟通報的重大漏洞，<a href="https://www.ithome.com.tw/news/168218">攻擊者可用於執行任意程式碼</a>。而到了最近，有資安業者將調查的目標轉向<a href="https://horizon3.ai/attack-research/attack-blogs/from-support-ticket-to-zero-day/">列印自動化系統</a>，並指出這些漏洞已被用於實際攻擊行動，用戶要儘速處理。</p> <p>8月8日全錄發布資安公告，他們為列印流程自動化系統FreeFlow Core<a href="https://securitydocs.business.xerox.com/wp-content/uploads/2025/08/Xerox-Security-Bulletin-025-013-for-Freeflow-Core-8.0.5.pdf">發布更新8.0.5版</a>，當中修補兩項資安漏洞，分別是：XML外部實體（XXE）導致的伺服器請求偽造（SSRF）漏洞CVE-2025-8355，以及可被用於遠端執行任意程式碼（RCE）的路徑穿越漏洞CVE-2025-8356，並指出這些漏洞帶來嚴重或是高度風險。本週通報此事的資安業者Horizon3.ai提出警告，這些漏洞不僅能讓未經授權的攻擊者發動RCE攻擊，還相當容易利用，呼籲用戶應儘速套用新版程式。</p> <p>針對調查相關漏洞的動機，Horizon3.ai指出是他們的客戶的弱點管理平臺NodeZero出現疑似誤報的情況，當時客戶指出是其中一臺主機出現了XXE注入的問題，但怪異的是，弱點管理平臺指出存在弱點的軟體不僅並未安裝在這臺電腦上，此客戶亦表示他們完全沒有採用這款應用程式。因此，Horizon3.ai決定著手深入調查，從而確認問題源自於FreeFlow Core系統的資安漏洞。換言之，這些漏洞在察覺的過程裡，就已經被用於實際攻擊行動。</p> <p>從漏洞的危險程度來看，較為危險的是重大層級的CVE-2025-8356，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-8356">CVSS評為9.8分</a>，另一個漏洞CVE-2025-8355<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-8355">則為7.5分</a>。</p> </div></div></div>
2025/8/15 12:31作者周峻佑https://www.ithome.com.tw/news/170634
Google開源Gemma 3 270M，挑戰低資源部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.googleblog.com/en/introducing-gemma-3-270m/" target="_blank">Google周四（8/14）開源Gemma 3 270M</a>，這是Gemma系列中最輕量的版本，具備2.7億參數，它在Pixel 9 Pro上執行25輪對話僅耗0.75%電量。該模型專為特定任務微調與裝置端部署設計，具備指令遵循與文本結構化能力，而非通用型LLM。</p> <p>Gemma 3 270M支援多種格式，其中INT4量化版本的記憶體需求約為240MB，相較BF16格式約400MB減少近4成，能在手機、IoT或其他低資源裝置上順利執行。</p> <p><a href="https://ai.google.dev/gemma/docs/core?hl=en#memory-requirements" target="_blank">目前Gemma 3系列</a>包含270M、1B、4B、12B與27B等不同規模版本。在Q4_0量化格式下，各模型的記憶體需求分別為240MB、892MB、3.4GB、8.7GB及21GB。Gemma 3 270M版本以最低記憶體門檻與最低功耗，成為目前系列中最適合部署於終端裝置的選擇。</p> <p><a href="https://ai.google.dev/gemma/docs/core/huggingface_text_full_finetune" target="_blank">Google也同步發布微調教學資源</a>，包含以Hugging Face Transformers進行全模型訓練的完整流程，支援開發者針對分類、資料抽取、情緒分析等應用進行客製化。社群開發者也已透過transformers.js展示其在瀏覽器端的運行能力，證明Gemma 3 270M在Web環境中亦具備良好效能與可控性。</p> <p>Gemma團隊表示，Gemma 3 270M適合處理高頻率、任務明確的應用，如情緒分析、實體辨識與查詢分類；能快速微調並部署於資源有限的裝置上，降低延遲與推論成本；模型可在本地執行，特別適合處理敏感資料；亦適用於開發多個專責任務的小型模型。</p> <p>Gemma 3 270M與<a href="https://www.ithome.com.tw/news/169081" target="_blank">尚未開源的Gemma 3n</a>同屬Google推動裝置端AI的戰略佈局。前者主打開源、可微調與跨平臺部署，後者則針對2GB RAM等極端低資源裝置優化，用於即時與離線運行。</p> </div></div></div>
2025/8/15 13:02作者陳曉莉https://www.ithome.com.tw/news/170635
俄羅斯駭客Curly COMrades鎖定歐洲，散布惡意程式MucorAgent
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了從事網路間諜活動而不被察覺，APT駭客使用能公開取得的工具，或是受害電腦現成工具進行寄生攻擊（LOLBin）的情況越來越常見，最近<a href="https://www.bitdefender.com/en-us/blog/businessinsights/curly-comrades-new-threat-actor-targeting-geopolitical-hotbeds">有資安業者公布他們追蹤長達一年的駭客組織</a>，但對於這些駭客什麼時候開始活動，目前仍不清楚。</p> <p>資安業者Bitdefender自2024年中旬追蹤俄羅斯駭客組織Curly COMrades，這些駭客主要以俄羅斯當局感興趣的目標下手，鎖定特定國家當中，面臨地緣政治變化的重要組織，他們看到駭客曾對喬治亞的司法與政府機構，以及摩爾多瓦的能源分配公司下手。值得留意的是，喬治亞和摩爾多瓦都是前蘇聯的一部分，在蘇聯解體時獨立，地理位置在黑海與東歐具有戰略地位，兩國原本就面臨在歐盟和北約，以及俄羅斯之間的影響力拉扯，在俄羅斯對烏克蘭發動戰爭後，這兩個國家的安全風險便急劇上升。</p> <p>針對這些駭客下手的主要目標，就是在受害組織的網路環境建立長期的存取管道，並竊取有效的帳密資料。他們會不斷試圖從網域控制器的NTDS資料庫，以及針對特定系統執行的本機安全認證子系統服務（LSASS）處理程序，執行記憶體強制轉存檔案（Memory Dump）的動作，挖掘使用者的密碼雜湊值、身分驗證資料，甚至是明文的密碼等。</p> <p>這些駭客重度仰賴代理伺服器工具來建立強健的存取管道，藉由Resocks、SSH、Stunnel等應用程式設置多個存取內部網路的據點，他們也透過代理伺服器重放手法，並使用Atexec等工具遠端下達指令。</p> <p>為了建立能持續存取的管道，駭客於受害組織植入名為MucorAgent的後門程式，此惡意軟體導入相當不尋常的攻擊手法，藉由挾持類別識別編號（CLSID），鎖定原生映像檔產生器（Native Image Generator，NGEN）來達到目的。NGEN是Windows作業系統內建的.NET Framework元件，攻擊者濫用它來停用特定工作排程，以便持續存取受害電腦。</p> <p>值得一提的是，這些駭客也同時利用已遭滲透的合法網站來轉送流量，將惡意流量透過合法網路活動傳遞，使得偵測及追蹤駭客行蹤變得困難，因此Bitdefender認為，他們找到的網路基礎設施，很有可能只是駭客大型網路架構的一小部分。</p> </div></div></div>
2025/8/15 11:26作者周峻佑https://www.ithome.com.tw/news/170631
HTTP/2新漏洞MadeYouReset可引發大規模DoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deepness-lab.org/publications/madeyoureset/" target="_blank">研究人員揭露HTTP/2一項新漏洞</a>，可使攻擊者繞過HTTP/2的防護機制，發動大規模系統阻斷服務（Denial of Service, DoS）攻擊，甚至系統崩潰。</p> <p><a href="https://deepness-lab.org/publications/madeyoureset/" target="_blank">這項漏洞是由以色列台拉維夫（Tel-Aviv）大學研究人員及Imperva合作發現</a>，並由CERT/CC發佈。</p> <p>本漏洞正式名為MadeYouReset，研究人員說，本漏洞從核心問題及破壞威力而言可比2023年衝擊多項服務的<a href="https://www.ithome.com.tw/news/162148" target="_blank">Rapid Reset漏洞</a>。</p> <p>技術而言，MadeYouReset是繞過伺服器端設定，用戶端發送的TCP 連線每道連線最多允許100個同時HTTP/2呼叫。這種限制是藉由限制單一用戶端的同時呼叫量，以防範DoS攻擊。</p> <p>MadeYouReset漏洞讓攻擊者可由單一用戶端發送數千請求，導致合法使用者的DoS攻擊條件。攻擊者在呼叫中加入異常頁框(frame)或flow control錯誤，開啟大量資料流並快速觸發伺服器重設資料流。此手法造成HTTP/2協定面關閉，實則伺服器後端仍繼續處理呼叫，攻擊者透過重複本動作造成伺服器、記憶體及系統資源被大量佔用，形成阻斷服務。在某些實作中，本攻擊可造成系統記憶體耗盡而崩潰。</p> <p>MadeYouReset影響數項產品的HTTP/2實作。MadeYouReset正式編號為CVE-2025-8671。但在個別產品中有不同編號。在開源Java Web Server專案Apache Tomcat為<a href="https://lists.apache.org/thread/9ydfg0xr0tchmglcprhxgwhj0hfwxlyf" target="_blank">CVE-2025-48989</a>（高風險），在 F5 BIG-IP為<a href="https://my.f5.com/manage/s/article/K000152001" target="_blank">CVE-2025-54500</a>（CVSS score:6.9），在開源Java 網路應用框架Netty為<a href="https://netty.io/news/2025/08/13/4-2-4.html" target="_blank">CVE-2025-55163</a>（CVSS score:7.5）。</p> <p>上述廠商已釋出更新軟體或修補程式修補這項漏洞。其中影響開源社群的Apache Tomcat已釋出Tomcat 11.0.10、10.1.44、9.0.108。Netty則釋出netty 4.2.4.Final。</p> </div></div></div>
2025/8/15 11:29作者林妍溱https://www.ithome.com.tw/news/170632
傳美國政府有意入股英特爾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/tech/us-stake-intel-1ff24500" target="_blank">華爾街日報</a>（The Wall Street Journal，WSJ）、<a href="https://www.ft.com/content/758a26d9-7b00-42d4-9fe7-e848e83076f5" target="_blank">英國金融時報</a>（Financial Times）與<a href="https://www.bloomberg.com/news/articles/2025-08-14/trump-administration-is-said-to-discuss-us-taking-stake-in-intel?embedded-checkout=true" target="_blank">彭博社</a>（Bloomberg），周四（8/14）分別引用消息來源報導，美國政府正在討論是否入股英特爾（Intel），消息一出，英特爾股價隨即上漲7.38%，以23.86美元作收。</p> <p>英特爾在2021年3月<a href="https://www.ithome.com.tw/news/143423" target="_blank">宣布成立</a>晶圓代工服務（Intel Foundry Services，IFS）事業群，企圖追上台積電的代工能力，<a href="https://www.ithome.com.tw/news/167838" target="_blank">還在今年3月換上新的執行長陳立武</a>，以挽救英特爾的頹勢。</p> <p>陳立武接任執行長後，<a href="https://www.ithome.com.tw/news/170263" target="_blank">英特爾今年第二季</a>創下129億美元的營收，與去年同期持平，虧損則從16億美元擴大至29億美元，陳立武於財報會議上宣布正推動15%的裁員計畫，並取消了英特爾位於德國與波蘭的製造專案，積極撙節開支，減少層級並加速該公司決策。</p> <p>不過，<a href="https://www.ithome.com.tw/news/170496" target="_blank">美國總統川普（Donald Trump）上周聲稱</a>陳立武存在高度利益衝突，應該馬上辭職，根據報導，陳立武本周一（8/11）即與川普會面，並取得了川普的信任，隨後即傳出美國政府考慮入股英特爾。</p> <p>WSJ引述消息來源指出，此一交易可望推動川普的美國優先政策，同時減輕陳立武的政治壓力。</p> <p>不論如何，相關的討論仍處於早期階段，隨時都有可能破局。<a href="https://www.ithome.com.tw/news/168248" target="_blank">先前也曾傳出</a>川普希望台積電可以入股自英特爾獨立的晶圓製造業務，協助英特爾提升製造效率，確保其晶片代工業務的穩定運作。</p> <p>彭博社則分析，此事呼應了<a href="https://mpmaterials.com/news/mp-materials-announces-transformational-public-private-partnership-with-the-department-of-defense-to-accelerate-u-s-rare-earth-magnet-independence" target="_blank">美國國防部在今年7月入股稀土業者MP Materials</a>的政策，當時國防部藉由投資4億美元的可轉換優先股，外加認股權證，換得了約15%的MP Materials股份，成為該公司的最大單一股東。同月<a href="https://www.ithome.com.tw/news/170080" target="_blank">蘋果也宣布與MP Materials簽署5億美元合作協議</a>，顯示出川普政府推動及保護境內企業的政策。</p> <p>針對入股英特爾一事，白宮說它們不回應傳聞，英特爾也拒絕評論陳立武與川普的談話內容，<a href="https://newsroom.intel.com/corporate/intels-statement-following-the-meeting-with-president-trump" target="_blank">僅說期待與川普政府密切合作</a>，共同恢復這家偉大的美國公司。</p> </div></div></div>
2025/8/15 10:50作者陳曉莉https://www.ithome.com.tw/news/170627
蘋果修改設計血氧量測得以在美國重回Apple Watch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2025/08/an-update-on-blood-oxygen-for-apple-watch-in-the-us/" target="_blank">蘋果宣布</a>，將為部份機種Apple Watch提供重新設計的血氧量測功能，使因專利官司問題消失的功能再度回到美國Apple Watch上。</p> <p>蘋果今（15）日將透過軟體更新，將新的血氧量測功能提供給美國銷售的部份Apple Watch 9、10和Ultra 2以及iPhone。還沒有這項功能的用戶需同時有iPhone和Apple Watch，iPhone需升級到iOS 18.6.1，而Apple Watch需升級到watchOS 11.6.1。</p> <p>蘋果是在2023年遭醫療設備業者Masimo控告Apple Watch血氧量測功能侵權。美國國際貿易委員會依據法院侵權的判決，於同年10月禁止有血氧量測功能的機種，包括Watch 9和Ultra 2。蘋果並於2024年1月<a href="https://www.ithome.com.tw/news/160851" target="_blank">宣布</a>二款產品移除這項功能。</p> <p>蘋果是在美國海關近日許可後，重新推出血氧量測功能。重新設計下，Apple Watch的感測器資料將會改在配對的iPhone Health App上量測和計算，量測結果可以在Health App中的「呼吸（Respiratory）」區讀取。最新變更不影響美國以外銷售的Apple Watch，也不會影響更早之前包含這項功能的產品。</p> <p>Apple Watch其他健康相關功能還包含心律不整通知、心電圖、睡眠追蹤與睡眠呼吸中止通知、跌倒偵測、手腕溫度感測、噪音App、用藥（Medication）App、生命徵象（Vitals）App及正念（Mindfulness）等。</p> </div></div></div>
2025/8/15 10:15作者林妍溱https://www.ithome.com.tw/news/170626
NIST輕量加密標準定案，採四種Ascon演算法保護物聯網與醫療裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家標準技術研究所（NIST）正式<a href="https://www.nist.gov/news-events/news/2025/08/nist-finalizes-lightweight-cryptography-standard-protect-small-devices">發布</a>《Ascon-Based Lightweight Cryptography Standards for Constrained Devices》加密技術標準文件，其編號為SP 800-232，針對物聯網與其他資源受限的電子裝置，提供經標準化的輕量級加密方案。這套標準歷經多年公開審查與技術社群的反覆討論，最終以Ascon家族四種演算法變體為核心，兼顧安全性與運算效能，特別適用於處理能力、記憶體與能源有限的環境。</p> <p>Ascon由奧地利格拉茲工業大學、英飛凌科技與荷蘭拉德堡德大學團隊於2014年開發，並在2019年的CAESAR競賽經過多年公開測試與安全性審查後，被評為輕量級應用領域的首選方案。NIST於2023年選定Ascon作為輕量加密標準基礎，並在定案前完成多輪公開意見徵詢與技術驗證，確保設計能兼顧安全、可實作性與彈性。 </p> <p>SP 800-232標準文件涵蓋Ascon四種變體，分別對應不同的應用需求。ASCON-128 AEAD提供具關聯資料的認證加密，可同時確保資料機密性與完整性，適用於RFID標籤、車載收費裝置與醫療植入設備。ASCON-Hash 256則產生固定長度的雜湊值，適合用於資料完整性檢查、密碼儲存及軟體更新驗證，是SHA-3系列的輕量替代選項。ASCON-XOF 128與ASCON-CXOF 128則屬於可延伸輸出函式，支援調整雜湊長度以降低運算負擔，其中CXOF版本可加入自訂標籤，降低不同裝置在相同運算下產生相同雜湊值的風險。</p> <p>NIST指出，輕量級加密的設計核心，是在有限的硬體與能源條件下，維持足夠的安全防護水準。雖然沒有任何演算法能完全避免旁路攻擊（Side-channel Attacks），但Ascon的結構更容易配合遮罩等防護措施實作，降低攻擊者透過功耗或運算時間分析竊取資訊的可能性。</p> <p>專案共同負責人Kerry McKay表示，這項標準的目的在於促進資源受限裝置對加密技術的採用，同時保留未來擴充的空間，例如加入專用訊息驗證碼等功能。</p> </div></div></div>
2025/8/15 08:07作者李建興https://www.ithome.com.tw/news/170621
駭客組織PoisonSeed釣魚攻擊繞過MFA，入侵CRM與大量郵件發送服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Nviso發布對駭客組織PoisonSeed使用的網釣套件進行技術分析，<a href="https://blog.nviso.eu/2025/08/12/shedding-light-on-poisonseeds-phishing-kit/">發現</a>該工具從2025年4月以來持續活躍，具備繞過多因素驗證（MFA）的能力，透過攔截並轉送受害者輸入的帳號、密碼以及多種2FA驗證資訊，涵蓋Authenticator、簡訊、電子郵件與API金鑰，攻擊者最終能取得驗證Cookie並登入目標帳號。</p> <p>研究人員特別指出，PoisonSeed與Scattered Spider、CryptoChameleon等群體在攻擊手法上存在一定程度的關聯，鎖定的主要目標包括Google、SendGrid與Mailchimp等大量郵件發送或CRM服務。</p> <p>攻擊行動從魚叉式電子郵件展開，郵件標題會假裝是受害者日常使用的郵件服務平臺發出的通知，例如寄信功能受限（Sending Privileges Restricted），並內嵌看似正常的行銷或通知連結，受害者點擊後，會被導向架設於特定網域的釣魚套件，該URL中夾帶加密後的受害者電子郵件。</p> <p>進入網頁後，受害者首先看到偽造的Cloudflare Turnstile驗證畫面，系統會在背景透過/api/check-email API即時驗證該加密信箱的有效性，這種技術被稱為精準驗證式網釣（Precision-Validated Phishing）。</p> <p>驗證通過後，頁面會顯示與目標服務高度相似的登入介面，使用者提交的帳密與2FA驗證碼將同步轉送至真正的服務，並在傳送過程中被攻擊者攔截，攻擊者利用對手中間人攻擊（Adversary-in-the-Middle，AiTM）手法，取得可用來直接登入帳號的驗證Cookie，等於繞過了多因素驗證的保護。</p> <p>成功取得存取權後，PoisonSeed會自動批次下載聯絡名單，用於擴散加密貨幣詐騙郵件，其中包括誘導受害者建立含有攻擊者掌控種子詞（Seed Phrase）的加密貨幣錢包。</p> <p>在基礎設施配置上，所有釣魚網域均使用NICENIC註冊服務，託管服務則涵蓋Cloudflare、DE-Firstcolo與SWISSNETWORK02，名稱伺服器則採用Cloudflare與Bunny.net，顯示其在隱匿來源與規避攔截上的規畫。</p> <p>研究人員建議企業移除簡訊、語音與電子郵件等易受釣魚利用的驗證方式，優先採用具釣魚抵抗力的FIDO2安全金鑰，並在可行情況下推行免密碼登入機制。同時，IT團隊應加強員工教育，讓使用者具備辨識釣魚與社交工程手法的能力，並建立針對異常登入、大量郵件傳送及名單匯出的監測與警示機制。此外，持續監控與自家品牌高度相似的新註冊網域，也有助於及早發現並阻斷攻擊。</p> </div></div></div>
2025/8/15 08:16作者李建興https://www.ithome.com.tw/news/170622
網頁伺服器NGINX原生支援ACME，現可自動申請與更新TLS憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.nginx.org/blog/native-support-for-acme-protocol">NGINX開始加入原生ACME</a>（Automatic Certificate Management Environment）協定支援，系統管理員可直接在設定檔中完成TLS憑證的申請與自動更新，無需額外安裝Certbot等外部工具。此功能已隨官方Linux套件與NGINX Plus同步提供，用戶更新版本並啟用動態模組後即可使用。</p> <p>ACME是Let's Encrypt等憑證機構採用的自動化協定，用於簡化憑證申請與驗證流程。之前在NGINX部署環境要自動更新憑證，需仰賴外部程式與排程工具，並在完成簽發後重新載入設定，過程中存在額外的維護成本與風險。而原生ACME支援將申請、驗證與安裝整合到伺服器內部流程，讓設定與維護更加直接。</p> <p><a href="https://github.com/nginx/nginx-acme">目前版本的限制</a>包括僅支援HTTP-01挑戰（HTTP-01 Challenge），不支援萬用字元憑證與正規表示式網域，也未支援外部帳號綁定。此外，必須確保80埠可供ACME挑戰使用，並建議妥善規畫憑證狀態儲存路徑以保存金鑰與憑證狀態，避免因伺服器重啟導致重新簽發。</p> <p>HTTP-01挑戰是一種透過HTTP在80連接埠回應驗證請求的方式，憑證頒發機構會向指定網域發送HTTP要求，檢查伺服器是否能正確提供挑戰檔案以確認網域所有權。</p> <p>事實上在其他伺服器或反向代理解決方案，像是Apache的mod_md、Caddy的Automatic HTTPS與Traefik的ACME整合早已提供類似功能，此次NGINX原生支援ACME，使其在部署便利性上與同類產品的差距縮小，對長期仰賴NGINX的網站、雲端平臺與託管服務商而言，這不僅能減少憑證管理的人工介入，也能降低了因外部工具異常而導致憑證過期的風險。</p> </div></div></div>
2025/8/15 08:19作者李建興https://www.ithome.com.tw/news/170625
【資安日報】8月14日，ShinyHunters、Scattered Spider狼狽為奸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>約從7月下旬開始，駭客組織ShinyHunters接連傳出對保險業、精品業、科技業發動攻擊，而且手法疑似都是對這些公司的員工發動語音網釣攻擊，從而竊取Salesforce存放的資料，這樣的情況讓人不禁懷疑他們與駭客組織Scattered Spider有合作關係，如今有資安業者證實此事，表示他們找出多項證據，兩個組織合作已有一段時日。</p> <p>此外，對於去年3月傳出的XZ Utils程式庫供應鏈攻擊，本週有新的調查結果出爐，指出有擴大的趨勢；今年4月修補的開放電信平臺（OTP）滿分資安漏洞CVE-2025-32433，也出現類定OT環境的攻擊行動。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170623"><strong style="font-size: 22px;">ShinyHunters、Scattered Spider狼狽為奸，鎖定Salesforce系統發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure2_l8g7zp.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure2_l8g7zp.png" style="width: 300px; float: right;" /></a></p> <p>最近一個月，接連傳出駭客組織ShinyHunters（UNC6240）對安聯人壽（Allianz Life）、精品業者香奈兒（Chanel）與Pandora，以及科技大廠Google、思科發動攻擊，駭客疑似鎖定這些公司使用的Salesforce系統下手，從而竊得內部資料。由於上述的攻擊手法，與另一個惡名昭彰的駭客組織Scattered Spider（0ktapus、Octo Tempest、UNC3944、Muddled Libra）相當雷同，不禁引起外界懷疑兩組人馬狼狽為奸的情況，如今資安業者ReliaQuest揭露更多調查結果，指出這些駭客進行合作，很可能從一年前就開始。</p> <p>ReliaQuest指出，ShinyHunters在沉寂一年之後突然出現，對多個領域採用Salesforce的知名企業發動攻擊，這種不尋常的現象，他們經調查發現，攻擊者疑似使用一組Ticket開頭的釣魚網域，以及Salesforce帳密挖掘網頁犯案，而且與Scattered Spider聯手犯案，相關合作可追溯到2024年7月，其中的一項證據，是駭客論壇BreachForums出現名為Sp1d3rhunters的用戶，該名用戶與過往ShinyHunters的活動有關，亦與上述攻擊網域的註冊特徵有所交集。ReliaQuest警告，這些駭客下一波的攻擊標的，很可能是金融服務及科技服務供應商。</p> <p>究竟有那些跡象能證明ShinyHunters和Scattered Spider之間存在合作關係？ReliaQuest指出，ShinyHunters最近一波的攻擊行動，不再只是像過往單純竊取帳密資料與資料庫，代表了策略出現重大變化，並出現Scattered Spider指標性的手法。</p> <p><a href="https://www.ithome.com.tw/news/170620"><strong style="font-size: 22px;">Docker Hub驚傳埋入XZ Utils後門的映像檔，軟體供應鏈亮起紅燈</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/689ae537f117e310436353ab_AD_4nXc8f8eEhkAHhHT6sQV6c-atsM_xB7jw9a3E021uOPoyuRAwxJiIRqb0yE7xi7CBEAPuT0SoASelqC2rBWIATTrhI1m1hy-7EiClBahZ2_7IVrHoNf80HJBy2Hm2LXJJi2dmHz8_PQ.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/689ae537f117e310436353ab_AD_4nXc8f8eEhkAHhHT6sQV6c-atsM_xB7jw9a3E021uOPoyuRAwxJiIRqb0yE7xi7CBEAPuT0SoASelqC2rBWIATTrhI1m1hy-7EiClBahZ2_7IVrHoNf80HJBy2Hm2LXJJi2dmHz8_PQ.png" style="width: 300px; float: right;" /></a></p> <p>去年3月，名為XZ Utils程式庫發生被植入隱密後門的供應鏈攻擊事件，震驚軟體開發界與資安界，當時剛好有研究人員偶然察覺異狀，才讓後門程式碼被揪出，使得受影響範圍並未持續擴大，初估評估僅有部分Linux版本受到影響，這起事故後來被登記為CVE-2024-3094的滿分漏洞。如今有資安業者揭露新的調查結果，他們發現有Docker映像檔遭到這項後門入侵。</p> <p>資安業者Binarly指出，他們發現有一批在上述供應鏈攻擊期間建立的Docker映像檔，也存在這個後門程式，值得留意的是，部分映像檔仍能在Docker Hub公開取得，一旦其他人以這些映像檔為基礎打造新的檔案，他們的映像檔恐怕也同樣存在相同的後門。這起調查結果，代表即便後門程式碼出現的時間相當短暫，但有可能在不被注意的情況下，在容器儲存庫潛伏相當長的時間。</p> <p>針對該公司調查此事的動機，他們向資安新聞網站The Hacker News透露，起因是在客戶的環境偵測到相關的惡意程式碼，經過進一步調查，發現有問題的映像檔是從Docker Hub拉取而得。</p> <p><a href="https://www.ithome.com.tw/news/170615"><strong style="font-size: 22px;">開放電信平臺的SSH程式庫滿分漏洞出現攻擊行動，7成鎖定OT環境而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cve-2025-32433-chart-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/cve-2025-32433-chart-1.png" style="width: 300px; float: right;" /></a></p> <p>以程式語言Erlang打造的開放電信平臺（Open Telecom Platform，OTP），今年4月發布更新OTP-25.3.2.20、OTP-26.2.5.11、OTP-27.3.3，修補SSH程式庫風險值達到滿分10分的資安漏洞CVE-2025-32433，後續美國網路安全暨基礎設施安全局（CISA）在6月指出，此漏洞已遭到利用，將其列入已被利用的漏洞名單（KEV），如今有資安業者公布這項漏洞相關攻擊活動的態勢。</p> <p>資安業者Palo Alto Networks指出，他們從5月1日至9日，偵測到漏洞利用的情況顯著增加，而且，約有七成的攻擊鎖定保護操作科技（OT）環境的防火牆而來。攻擊者企圖透過該漏洞傳送多種惡意酬載，其中一種是反向Shell，他們以此建立未經授權的遠端存取管道，再者，他們也透過DNS建立C2通訊，這些做法代表攻擊者刻意隱匿行蹤。</p> <p>值得一提的是，攻擊者針對OT環境的防火牆攻擊較其他環境來得頻繁，Palo Alto Networks指出，平均每臺在OT環境的受害裝置，較其他裝置被攻擊的次數多出1.6倍。這樣的現象，代表可能有大量OT防火牆曝露於網際網路，或是攻擊者已經突破企業的網路邊界，從企業網路環境橫向移動至OT網路；再者，攻擊者利用漏洞的手法不盡相同，很有可能關鍵基礎設施（CI）是主要目標。</p> <p><a href="https://www.ithome.com.tw/news/170606"><strong style="font-size: 22px;">Fortinet揭露SIEM平臺存在重大漏洞，並警告已出現漏洞利用工具</strong></a></p> <p>資安資訊及事件管理平臺（SIEM）是企業掌握現行IT環境資安狀態的重要資訊來源，一旦有漏洞、又出現濫用弱點的攻擊活動，將嚴重危害企業整體資安的維運。前幾天資安廠商Fortinet發布公告，指出他們的FortiSIEM存在嚴重程度高達9.8分的資安漏洞，編號為CVE-2025-25256，影響的版本涵蓋5.4版到7.3版，而且已有實際的漏洞利用程式碼出現。</p> <p>根據上述資訊來看，該漏洞有可能不久後就會被用於攻擊行動，用戶應該盡快將FortiSIEM升級至不受影響的版本，或參考Fortinet的建議：限制phMonitor連接埠（7900埠）的存取。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/charon-ransomware-hits-middle-east.html">勒索軟體Charon鎖定中東而來，駭客疑似曾長期對臺灣下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/new-ps1bot-malware-campaign-uses.html">惡意軟體PS1Bot透過廣告散布，以多階段記憶體內活動從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-downgrade-attack-can-bypass-fido-auth-in-microsoft-entra-id/">降級攻擊可突破Entra ID的FIDO身分驗證</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/netherlands-citrix-netscaler-flaw-cve-2025-6543-exploited-to-breach-orgs/">荷蘭警告Citrix NetScaler重大漏洞已被用於攻擊關鍵基礎設施</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170619"><strong style="font-size: 22px;">Nvidia緊急更新Triton推論伺服器，修補可遠端奪取AI控制權漏洞</strong></a></p> <p>Nvidia發布Triton推論伺服器（Inference Server）與Python後端25.07版本安全更新，修補由資安公司Wiz揭露的高風險漏洞，包括CVE-2025-23319、CVE-2025-23320，以及CVE-2025-23334，該攻擊鏈允許未經驗證的遠端攻擊者，透過特定攻擊流程取得伺服器的遠端程式碼執行權限，可能導致人工智慧模型遭竊、推論結果被竄改，甚至成為滲透企業網路的跳板。</p> <p>Wiz研究人員指出，這條攻擊鏈始於Triton核心元件，也就是其Python後端的錯誤處理機制漏洞。當伺服器接收到特別設計且資料量龐大的遠端請求時，回傳的錯誤訊息會意外暴露行程間通訊（IPC）共享記憶體的唯一名稱。這項資訊原本應屬私有，一旦外洩便能被用作進一步攻擊的切入點。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-calendar-invites-let-researchers-hijack-gemini-to-leak-user-data/">Google Calendar存在漏洞，攻擊者恐遠端挾持Gemini代理程式</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170568"><strong style="font-size: 22px;">微軟測試Windows 365 Reserve服務，主打PC掛點無法使用電腦的員工</strong></a></p> <p>微軟公布Windows 365 Reserve服務，提供電腦中勒索軟體、被竊或發生硬體問題的員工，快速連上Windows雲端繼續作業。</p> <p>Windows 365 Reserve是微軟一項新雲端服務，可在員工主要PC無法運作時，立即連結使用的短期使用的Cloud PC，並可由任何裝置連結存取。這項服務在6月間公布且提供不公開測試，本周微軟再宣布少量開放公測。</p> <p>利用Windows 365 Reserve，一旦員工電腦發生硬體問題、被竊或被勒索軟體加密無法使用時，IT部門可以在幾分鐘內啟動Reserve Cloud PC，並在其他裝置以Windows App或瀏覽器存取，有如員工的實體Windows 11 PC。除了作為緊急備援外，Windows 365 Reserve還可允許臨時僱員、遠端作業、或供測試新OS、配置或App。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170598"><strong>【8月13日】微軟、SAP發布8月份安全性例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170582"><strong>【8月12日】俄羅斯駭客挖出WinRAR新的零時差漏洞，已用於網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170551"><strong>【8月11日】SonicWall防火牆近期遭勒索軟體攻入的原因出爐：駭客利用已知漏洞從事攻擊</strong></a></p> </div></div></div>
2025/8/14 18:44作者周峻佑https://www.ithome.com.tw/news/170624
ShinyHunters、Scattered Spider狼狽為奸，鎖定Salesforce系統發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近一個月，接連傳出駭客組織<a href="https://www.ithome.com.tw/tags/shinyhunters">ShinyHunters</a>（UNC6240）對<a href="https://www.ithome.com.tw/news/170278">安聯人壽（Allianz Life）</a>、精品業者<a href="https://www.ithome.com.tw/news/170431">香奈兒（Chanel）</a>與<a href="https://www.ithome.com.tw/news/170438">Pandora</a>，以及科技大廠<a href="https://www.ithome.com.tw/news/170548">Google</a>、<a href="https://www.ithome.com.tw/news/170439">思科</a>發動攻擊，駭客疑似鎖定這些公司使用的Salesforce系統下手，從而竊得內部資料。由於上述的攻擊手法，與另一個惡名昭彰的駭客組織<a href="https://www.ithome.com.tw/tags/scattered-spider">Scattered Spider</a>（0ktapus、Octo Tempest、UNC3944、Muddled Libra）相當雷同，不禁引起外界懷疑兩組人馬狼狽為奸的情況，<a href="https://reliaquest.com/blog/threat-spotlight-shinyhunters-data-breach-targets-salesforce-amid-scattered-spider-collaboration/">如今資安業者ReliaQuest揭露更多調查結果</a>，指出這些駭客進行合作，很可能從一年前就開始。</p> <p>ReliaQuest指出，ShinyHunters在沉寂一年之後突然出現，對多個領域採用Salesforce的知名企業發動攻擊，這種不尋常的現象，他們經調查發現，攻擊者疑似使用一組Ticket開頭的釣魚網域，以及Salesforce帳密挖掘網頁犯案，而且與Scattered Spider聯手犯案，相關合作可追溯到2024年7月，其中的一項證據，是駭客論壇BreachForums出現名為Sp1d3rhunters的用戶，該名用戶與過往ShinyHunters的活動有關，亦與上述攻擊網域的註冊特徵有所交集。ReliaQuest警告，這些駭客下一波的攻擊標的，很可能是金融服務及科技服務供應商。</p> <p>究竟有那些跡象能證明ShinyHunters和Scattered Spider之間存在合作關係？ReliaQuest指出，ShinyHunters最近一波的攻擊行動，不再只是像過往單純竊取帳密資料與資料庫，代表了策略出現重大變化，並出現Scattered Spider指標性的手法。</p> <p>其中，ShinyHunters採用高度針對性的語音網釣，冒充IT支援人員誘騙員工對惡意App提供授權，這些App通常會偽裝成合法工具，並能讓攻擊者竊取敏感的業務資料。再者，語音網釣過程會使用Okta釣魚網頁，引誘受害者輸入帳密資料。附帶一提的是，攻擊者在外洩資料的過程當中，會透過Mullvad VPN來進行。</p> <p>ReliaQuest也引述<a href="https://databreaches.net/2025/08/08/shinyhunters-sent-google-an-extortion-demand-shiny-comments-on-current-activities/">資安部落格DataBreaches.Net揭露的內容</a>，在Telegram上使用Sp1d3rhunters為ID的人士宣稱，兩個駭客組織其實是相同的。ReliaQuest循線在BreachForums找到同名使用者，此人於2024年7月在駭客論壇洩露一批與<a href="https://www.ithome.com.tw/tags/ticketmaster">Ticketmaster</a>資料外洩事故有關的檔案，而這起事故當時大家認為就是ShinyHunters所為，所以Scattered Spider當然也牽涉其中。</p> <p>還有很多證據反映他們存在共通點，例如，兩組人馬發動攻擊的範圍、時間，今年4月至5月都攻擊零售業，6月至7月目標轉向保險業，6月至8月對航空業下手。ReliaQuest指出，這種同時針對不同領域發動攻擊的做法，與ShinyHunters過往只鎖定一個目標的策略有所不同。</p> <p>ShinyHunters使用的釣魚網域也出現Scattered Spider的特徵，而且具有相同的註冊資訊，研判是利用特定網釣工具包及相關基礎設施進行註冊，此工具包也用於代管Scattered Spider的單一登入（SSO）釣魚網頁。</p> <p>附帶一提的是，除了上述結合兩組織名稱的Sp1d3rhunters帳號，兩個組織可能又衍生額外的團隊來進行合作。ReliaQuest也提及疑似由ShinyHunters與Scattered Spider成員另組的子團隊The Community（也稱The Com），這個團體從事帳號接管活動、SIM卡挾持、竊取加密貨幣等網路犯罪行為。</p> </div></div></div>
2025/8/14 18:23作者周峻佑https://www.ithome.com.tw/news/170623
Docker Hub驚傳埋入XZ Utils後門的映像檔，軟體供應鏈亮起紅燈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月，名為XZ Utils程式庫發生<a href="https://www.ithome.com.tw/news/162130">被植入隱密後門的供應鏈攻擊事件</a>，震驚軟體開發界與資安界，當時剛好有研究人員偶然察覺異狀，才讓後門程式碼被揪出，使得受影響範圍並未持續擴大，初估評估僅有部分Linux版本受到影響，這起事故後來被登記為CVE-2024-3094的滿分漏洞。如今有資安業者揭露新的調查結果，<a href="https://www.binarly.io/blog/persistent-risk-xz-utils-backdoor-still-lurking-in-docker-images">他們發現有Docker映像檔遭到這項後門入侵</a>。</p> <p>資安業者Binarly指出，他們發現有一批在上述供應鏈攻擊期間建立的Docker映像檔，也存在這個後門程式，值得留意的是，部分映像檔仍能在Docker Hub公開取得，一旦其他人以這些映像檔為基礎打造新的檔案，他們的映像檔恐怕也同樣存在相同的後門。這起調查結果，代表即便後門程式碼出現的時間相當短暫，但有可能在不被注意的情況下，在容器儲存庫潛伏相當長的時間。</p> <p>針對該公司調查此事的動機，<a href="https://thehackernews.com/2025/08/researchers-spot-xz-utils-backdoor-in.html">他們向資安新聞網站The Hacker News透露</a>，起因是在客戶的環境偵測到相關的惡意程式碼，經過進一步調查，發現有問題的映像檔是從Docker Hub拉取而得。</p> <p>Binarly一共找到35個存在後門程式的映像檔，乍看之下，這樣的數量並不多，但該公司強調，他們只有針對一部分在Docker Hub發布的映像檔進行檢查，並且關注Debian映像檔，原因是這類檔案在Docker Hub上保留歷史記錄資料。除此之外，若是以其他受到XZ Utils影響的Linux發行版，例如：Fedora、OpenSUSE等，所打造的Docker映像檔，是否也存在這樣的風險，因為缺乏相關資料可供追查，目前仍不得而知問題有多嚴重。</p> <p>該公司起初找到12個有問題的Debian映像檔，並試圖對於其他以這些有問題映像檔為基礎進行開發的「二階映像檔（second-order image）」進行調查，最終找到35個映像檔，並向維護者進行通報。</p> <p>然而，不少維護團隊認為，存在風險的映像檔皆為過時版本，用戶大多習於採用最新版本的檔案，因此衝擊不大，他們仍決定保留這些舊版本。但Binarly指出，儘管利用後門需具備一定的條件，留存這種帶有後門的映像檔，還是有資安風險，後續情形相當值得關注。</p> </div></div></div>
2025/8/14 16:25作者周峻佑https://www.ithome.com.tw/news/170620
Nvidia緊急更新Triton推理伺服器，修補可遠端奪取AI控制權漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia發布Triton推理伺服器與Python後端25.07版本安全更新，修補由資安公司Wiz<a href="https://www.wiz.io/blog/nvidia-triton-cve-2025-23319-vuln-chain-to-ai-server">揭露</a>的一組高風險漏洞，包括CVE-2025-23319、CVE-2025-23320和CVE-2025-23334，該攻擊鏈允許未經驗證的遠端攻擊者，透過特定攻擊流程取得伺服器的遠端程式碼執行權限，可能導致人工智慧模型遭竊、推理結果被竄改，甚至成為滲透企業網路的跳板。</p> <p>Wiz研究人員指出，這條攻擊鏈始於Triton核心元件，也就是Python後端的錯誤處理機制漏洞。當伺服器接收到特別設計且資料量龐大的遠端請求時，回傳的錯誤訊息會意外暴露行程間通訊（IPC）共享記憶體的唯一名稱。這項資訊原本應屬私有，一旦外洩便能被用作進一步攻擊的切入點。</p> <p>Triton為提升推理效能，提供使用者透過共享記憶體交換張量資料的API，降低網路傳輸延遲，不過，該API缺乏檢查機制，未驗證記憶體鍵值是否屬於合法的使用者區域，讓攻擊者有機會藉由先前獲得的內部記憶體名稱，將API導向Python後端的內部記憶體區域，進一步取得對該區域的任意讀寫權限。</p> <p>在具備讀寫能力後，攻擊者可修改內部資料結構或操控IPC訊息佇列，誘發非預期行為，最終達成遠端程式碼執行。由於整個過程可在無需身分驗證的情況下，透過合法API完成，因此對外網路可存取的Triton執行個體風險更是嚴重。</p> <p>Triton推理伺服器廣泛應用於雲端、資料中心及邊緣運算環境，支援PyTorch、TensorFlow等多種主流人工智慧框架。一旦遭入侵，除昂貴且具商業價值的人工智慧模型可能被竊取，與模型互動的用戶資料、金融資訊或其他敏感內容也可能外洩。此外，攻擊者可操控推理結果，或利用受控的人工智慧伺服器進一步入侵企業內部系統。</p> <p>Nvidia已發布<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5687">安全公告</a>與修補程式，建議所有Triton用戶立即更新至25.07版本，並同步升級Python後端。IT人員應全面檢查環境中，是否存在仍對外開放的舊版本執行個體，並依Nvidia安全建議限制共享記憶體與相關介面的存取權限，以降低被利用的可能性。</p> </div></div></div>
2025/8/14 16:28作者李建興https://www.ithome.com.tw/news/170619
開放電信平臺的SSH程式庫滿分漏洞出現攻擊行動，7成鎖定OT環境而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以程式語言Erlang打造的開放電信平臺（Open Telecom Platform，OTP），今年4月發布更新OTP-25.3.2.20、OTP-26.2.5.11、OTP-27.3.3，<a href="https://www.ithome.com.tw/news/168538">修補SSH程式庫風險值達到滿分10分的資安漏洞CVE-2025-32433</a>，後續美國網路安全暨基礎設施安全局（CISA）在6月指出，此漏洞已遭到利用，<a href="https://www.cisa.gov/news-events/alerts/2025/06/09/cisa-adds-two-known-exploited-vulnerabilities-catalog">將其列入已被利用的漏洞名單（KEV）</a>，如今有資安業者公布這項漏洞<a href="https://unit42.paloaltonetworks.com/erlang-otp-cve-2025-32433/">相關攻擊活動的態勢</a>。</p> <p>資安業者Palo Alto Networks指出，他們從5月1日至9日，偵測到漏洞利用的情況顯著增加，而且，約有七成的攻擊鎖定保護操作科技（OT）環境的防火牆而來。攻擊者企圖透過該漏洞傳送多種惡意酬載，其中一種是反向Shell，他們以此建立未經授權的遠端存取管道，再者，他們也透過DNS建立C2通訊，這些做法代表攻擊者刻意隱匿行蹤。</p> <p>值得一提的是，攻擊者針對OT環境的防火牆攻擊較其他環境來得頻繁，Palo Alto Networks指出，平均每臺在OT環境的受害裝置，較其他裝置被攻擊的次數多出1.6倍。這樣的現象，代表可能有大量OT防火牆曝露於網際網路，或是攻擊者已經突破企業的網路邊界，從企業網路環境橫向移動至OT網路；再者，攻擊者利用漏洞的手法不盡相同，很有可能關鍵基礎設施（CI）是主要目標。</p> <p>他們偵測到利用CVE-2025-32433的攻擊行動總共有3,376起，其中2,363起是鎖定OT環境的防火牆。從產業類型來看，這波攻擊行動大部分都鎖定教育領域，有2,460起，其中有2,090起出現在OT環境。此外，也有針對醫療照護、高科技產業的情況。這波攻擊打破人們對於OT風險主要出現在工業控制系統及製造環境的認知，不過Palo Alto Networks指出，雖然這次並未在公共事業、能源產業、航太、國防等領域發現相關攻擊，但防守方不能因此認為這些OT環境未受到影響，歹徒很有可能正在偵測相關弱點，或是將其視為下一波目標。</p> <p>其中，在荷蘭、愛爾蘭、巴西、厄瓜多出現的事故，全數皆發生在OT環境；其次在日本有99.74%，至於美國、法國，占比分別為71.15%、66.67%，雖然這兩個國家比沒有前述幾個國家那麼高，但他們是Erlang/OTP伺服器數量最多的國家，因此影響的範圍還是相當可觀，以美國為例，光是發生在OT環境的事故就有1,916起，占總數近六成（56.75%）。</p> <p>上述受害國家存在共通點，那就是工業環境數位化相當成熟，並仰賴複雜的IT環境與OT環境的整合，使得Erlang/OTP伺服器廣泛用於其中。</p> </div></div></div>
2025/8/14 12:53作者周峻佑https://www.ithome.com.tw/news/170615
微軟釋出Wassette讓AI代理可從雲端安全載入Wasm工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://opensource.microsoft.com/blog/2025/08/06/introducing-wassette-webassembly-based-tools-for-ai-agents/">開源</a>釋出Wassette，這是一款以WebAssembly為基礎，針對人工智慧代理設計的安全導向執行環境，能透過MCP（Model Context Protocol）直接從OCI（Open Container Initiative）註冊庫取得WebAssembly元件，並在本機受控的沙箱中執行。此設計可讓人工智慧代理在缺少特定工具時，即時下載並啟用新功能，同時兼顧安全性與授權控管。</p> <p>Wassette以Wasmtime執行環境為基礎，提供與現代瀏覽器同等級的隔離機制，並採用預設拒絕的權限模型，在未取得明確授權前，元件無法存取檔案系統、網路或其他系統資源。當元件請求特定資源時，用戶需明確同意，避免未經授權的資料存取與外洩。同時Wassette支援使用Notation或Cosign等工具進行加密簽章驗證，確保元件來源可信。</p> <p>Wassette能在WebAssembly元件與MCP之間建立橋樑，讀取元件的型別函式庫介面（Typed Library Interface）並轉換為MCP工具。開發者可將Wassette註冊到支援MCP的人工智慧代理，如VS Code的GitHub Copilot，讓代理具備安裝與執行新工具的能力，像是當預設Copilot無法取得即時時間，便可透過Wassette載入時間元件增加該功能；或是以自訂的擷取元件替代內建HTTP請求工具，並精準設定可存取的網域範圍。</p> <p>Wassette採用Rust開發而成，並以可直接執行的獨立二進位檔發布，用戶可透過單行指令完成安裝，並在終端機註冊到VS Code的Copilot。</p> <p>目前Wassette已能在本機安全執行第三方Wasm元件，未來會支援在網路端託管MCP工具，並提供應用移植工具，協助既有應用轉換為Wasm元件。另外，微軟也計畫讓Wassette具備自動搜尋OCI註冊庫可用元件的功能，使人工智慧代理在缺少工具時可自主發現並安裝，進一步提升自動化程度。</p> </div></div></div>
2025/8/14 14:29作者李建興https://www.ithome.com.tw/news/170617
微軟Universal Print Anywhere功能全面上線，M365用戶可在任意印表機安全列印
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/pull-print-is-now-available-in-universal-print/4441608" target="_blank">微軟周三（8/13）宣布</a>Universal Print Anywhere功能已全面上線，供Microsoft 365用戶自任何印表機上執行安全列印，並同時支援Windows與macOS平臺。</p> <p>該功能建立於微軟雲端列印服務Universal Print（通用列印）之上。使用者在選擇列印文件後，文件會先傳送至雲端，接著可走到任一支援此功能的印表機旁，以手機掃描QR Code取件，不必事先選定印表機，可避免機密文件被遺留或忘取，提升列印靈活度與隱私性。</p> <p>微軟於2024年10月公開預覽Universal Print Anywhere，讓IT管理人員能在Universal Print中配置並測試Pull Print功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-Universal%20Print-Pull%20print-Universal%20Print%20anywhere-%E5%BE%AE%E8%BB%9F-2.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／微軟</span></span></p> <p>IT管理人員在註冊支援通用列印的印表機後，可為每臺印表機設定安全釋放選項（Secure Release），建立相容於Pull Print的印表機群組，並設定列印配置。每臺印表機都可兼具多種角色，例如作為Pull Print成員、直接列印選項，或服務於特定部門的Pull Print。</p> <p>所謂Secure Release，是指印表機端的驗證方式，目前僅支援QR Code，未來可能加入員工識別證等更多選項。</p> </div></div></div>
2025/8/14 14:45作者陳曉莉https://www.ithome.com.tw/news/170618
Google Gemini推出個人化脈絡功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/temporary-chats-privacy-controls/" target="_blank">Google周三（8/13）宣布</a>，即日起至未來幾周將於Google Gemini程式上部署個人化脈絡（Personal Context）、臨時聊天（Temporary Chats）與保留活動（Keep Activity）等新功能，以改善使用者體驗。</p> <p>其中，個人化脈絡類似ChatGPT與Claude的記憶功能，它讓Gemini能夠自動記住使用者過往對話中的關鍵細節與偏好，讓AI在日後回應時更貼近需求，無需再次輸入相同背景。例如，若先前曾與Gemini討論日本文化的YouTube頻道，未來再詢問影片靈感時，AI可能主動建議嘗試日本美食或傳統手工藝影片。不過此功能僅限18歲以上用戶使用，初期適用於部分國家的Gemini 2.5 Pro模式，後續將擴展至Gemini 2.5 Flash與更多地區。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-personal%20context-600.png" style="width: 460px;" /></p> <p>針對隱私需求，Google新增「臨時聊天」模式，讓使用者可進行一次性對話，不會影響個人化設定，也不會出現在近期對話或保留活動紀錄中，且內容不會用於訓練AI模型。臨時聊天資料僅保存72小時，適合探索私密議題或避免後續引用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-Gemini%20app-update-Temporary%20Chat-600.png" style="width: 336px;" /></p> <p>此外，Google將於9月2日把原本的「Gemini應用程式活動」（Gemini Apps Activity）更名為「保留活動」（Keep Activity），啟用後，系統可抽樣使用者上傳的檔案與照片以改善服務；但已關閉的帳戶則維持關閉狀態。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/8/14 13:35作者陳曉莉https://www.ithome.com.tw/news/170616
Fortinet揭露SIEM平臺存在重大漏洞，並警告已出現漏洞利用工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月12日資安業者Fortinet發布資安公告，他們針對資安資訊及事件管理平臺FortiSIEM<a href="https://www.fortiguard.com/psirt/FG-IR-25-152">修補重大漏洞CVE-2025-25256，</a>可在未經授權的情況被用於遠端命令注入攻擊，值得留意的是，該公司特別提到已有實際的漏洞利用工具出現，也就是說，該漏洞很有可能不久後就會被用於攻擊行動。</p> <p>這項漏洞出現在5.4至7.3所有版本的FortiSIEM，7.4版不受影響，起因是特殊元件出現不當中和（neutralization）的現象，從而產生可被用於作業系統命令注入的弱點，攻擊者可在未經授權的情況下，透過特製的CLI請求執行未經授權的程式碼，CVSS風險達到9.8分。</p> <p>若是IT人員無法將FortiSIEM升級至不受影響的版本，Fortinet也提出緩解措施，那就是限制phMonitor連接埠（7900埠）的存取來因應。</p> </div></div></div>
2025/8/14 11:19作者周峻佑https://www.ithome.com.tw/news/170606
付費版ChatGPT可連接Gmail、Dropbox、SharePoint等第三方服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在忙著<a href="https://www.ithome.com.tw/news/170523" target="_blank">解決GPT-5上線問題</a>的同時，<a href="https://help.openai.com/en/articles/6825453-chatgpt-release-notes" target="_blank">OpenAI本周宣布</a>ChatGPT連接器（connector）串連Gmail、Google Calendar的功能正式推向付費用戶，可整合GPT-5。此外ChatGPT現在也可連結新的第三方服務如Dropbox、微軟SharePoint、Notion等。</p> <p>OpenAI 6月首先為ChatGPT新增連接器功能，允許付費（Pro、Plus、Team）訂閱用戶存取第三方資源。包括Gmail、Google行事曆（Calendar）、聯絡人（Contacts）。本周OpenAI先後宣布是開放Pro和Plus用戶ChatGPT透過連接器存取Gmail、Google Calendar及Contacts。</p> <p>用戶啟用後，ChatGPT會自動提及在這些服務上的內容，不需用戶手動選擇。這功能來自GPT-5。本周Pro用戶會先獲得服務，之後會推向Plus、Team、Enterprise和Edu方案。</p> <p>此外，OpenAI也新增串接的第三方服務。其中Plus用戶可以使用Box、Canva、Dropbox、HubSpot、Notion和Microsoft SharePoint、Teams，而Pro用戶則新增Teams和GitHub。今天起這些功能會開始部署到符合資格的帳號，預計未來幾天內就能使用。這些服務可整合在ChatGPT的搜尋及Deep Research中。</p> <p>欲使用的用戶可以在ChatGPT App上依「設定」>「連接器」>「連結」啟用。這些連接器功能目前都還是Beta版，故在Enterprise和Edu版本中為預設關閉，管理員可以從「設定」頁啟用。</p> <p>不過上述連接器功能開放地區，還不包含歐洲經濟區、瑞士與英國市場。</p> </div></div></div>
2025/8/14 12:23作者林妍溱https://www.ithome.com.tw/news/170612
紐約州控告數位支付平臺Zelle放任詐欺活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國紐約州檢察總長Letitia James本周三（8/13）<a href="https://ag.ny.gov/press-release/2025/attorney-general-james-sues-company-behind-zelle-enabling-widespread-fraud" target="_blank">正式控告負責經營P2P數位支付平臺Zelle的Early Warning Services（EWS），</a>指控EWS所設計的Zelle缺乏關鍵安全功能，並放任詐欺活動，使得受害者在2017年至2023年間損失超過10億美元。</p> <p>EWS的前身是摩根大通（JPMorgan Chase）、美國銀行（Bank of America）與富國銀行（Wells Fargo）在2011年成立的P2P轉帳平臺clearXchange，clearXchange在2016年被EWS接管，接著於2017年整合更多銀行的網路與行動銀行功能，<a href="https://www.ithome.com.tw/news/114896" target="_blank">推出了Zelle</a>，迄今已被整合在美國逾1,800家銀行的網銀與行動銀行中，註冊用戶數超過1.5億。</p> <p>Zelle主要設計給日常的P2P支付，像是親友間的費用分攤，雖然要求用戶必須擁有美國金融機構帳號，但它是透過美國手機號碼或電子郵件位址來識別與定位收款人，代表對方只要輸入相關資訊即可匯款，不必輸入銀行帳號。其它有別於銀行系統的特色還包括支援一般消費者免費轉帳，通常在幾分鐘內就會入帳，以及交易不可逆轉。</p> <p>然而，紐約州指出，Zelle在廣告中聲稱其匯款安全可靠，但實際上卻未採取基本防詐措施。自2017年上線以來，任何擁有美國銀行帳號的使用者皆可以電子郵件或美國手機號碼註冊，提供幾乎是即時的轉帳，但其註冊流程缺乏驗證，而讓詐騙者能夠冒用與商業或政府有關的電子郵件，再藉由立即與不可逆的轉帳特性，在受害人察覺之前便將資金轉走。</p> <p>最常見的詐騙型態有兩種，一是透過網釣或惡意程式入侵受害者的Zelle帳號，再逕自轉走資金，二是冒充政府機構或是出售根本不存在的商品或服務，誘導使用者轉帳。</p> <p>該州舉例，有名紐約用戶曾收到冒充電力公司Con Edison的員工來電，稱其電費欠繳，即將被斷電，且其匯款帳號顯示「Coned Billing」，該用戶即轉入了1,476.89美元，然而，在意識到這是場詐騙後，銀行卻說無法退款。</p> <p>根據紐約州檢察總長辦公室的調查，EWS與合作銀行一直知道Zelle上有詐騙，卻未採取有效行動，更虛假宣傳其安全性，因而提告。</p> <p>另一方面，<a href="https://www.finextra.com/newsarticle/46447/new-york-ag-sues-zelle-parent-claiming-massive-fraud-losses" target="_blank">EWS則向Finextra表示</a>，如果紐約州檢察總長辦公室真有進行調查，那麼就會知道有超過99.95%的Zelle交易並未涉及詐騙。</p> </div></div></div>
2025/8/14 11:32作者陳曉莉https://www.ithome.com.tw/news/170607
Windows 11、Server 2025正式移除Windows 7時代的PowerShell 2.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/topic/powershell-2-0-removal-from-windows-fe6d1edc-2ed2-4c33-b297-afe82a64200a" target="_blank">微軟本周宣布</a>，將從未來2個月的最新版Windows 11 24H2及Windows Server 2025更新移除Windows 7時代遺留下來的PowerShell 2.0，以提升Windows環境的安全性。</p> <p>PowerShell 2.0是Windows 7加入的腳本語言元件。PowerShell 2.0因架構老舊、缺乏現代安全防護措施，可能被濫用。例如<a href="https://www.reddit.com/r/PowerShell/comments/hbg5b7/specific_experiences_disabling_powershell_20/" target="_blank">資安社群曾發現</a>駭客可以用Windows上的PowerShell 2.0來繞過新版（如PowerShell 5.0）的AMSI（反惡意式掃描介面）等安全機制。2017年微軟正式宣布除役PowerShell 2.0，但是仍基於相容性理由而允許用戶開啟。</p> <p>在最新公告下，PowerShell 2.0將自8月份的Windows 11 24H2和9月份的Windows Server 2025更新中移除。此後Windows 11和Server 2025更新也都不會再包含PowerShell 2.0。Insiders計畫的Windows預覽版則已在7月移除。</p> <p>微軟說，這次移除是微軟清除舊式程式碼、降低PowerShell生態體系複雜性和改善Windows安全性的整體計畫的一環。這項變更不會影響大部份用戶和企業，PowerShell 5.1或7.x版仍持續獲得支援。但如果企業內有舊式腳本程式或軟體使用PowerShell 2.0就必須及早動作，或尋求替代方案，以免程式運作受影響。</p> <p>微軟主要指引是請PowerShell 2.0用戶升級到PowerShell 5.1或7，5.1版提供回溯相容性，適用幾乎所有指令和模組。</p> <p>但某些情況下，用戶只能升級軟體，例如舊的安裝器（installer）。微軟自己的產品如Exchange、SharePoint、SQL現在都已包含新版PowerShell，可無礙執行於新版Windows上。至於第三方工具，微軟請用戶到廠商網站尋找是否有支援新版PowerShell的軟體版本。</p> </div></div></div>
2025/8/14 11:51作者林妍溱https://www.ithome.com.tw/news/170608
第二家加密貨幣交易平臺Bullish登上美國股市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加密貨幣交易平臺Bullish周三（8/13）以BLSH為代號，正式登上美國紐約股市（New York Stock Exchange，NYSE），這是美國繼Coinbase之後，第二家公開發行股票的加密貨幣交易平臺。Bullish的每股發行價為37美元，<a href="https://finance.yahoo.com/quote/BLSH/" target="_blank">上市首日</a>即大漲83.78%，以68美元作收。</p> <p>Bullish是由區塊鏈軟體業者Block.one在2021年成立的加密貨幣交易平臺，總部設於開曼群島，主要支援大型與高流動性的數位資產交易，包括比特幣（BTC）、以太幣（ETH）、自家開發的EOS、USDC與USDT等與美元掛鉤的穩定幣，以及其它通過審核的主要代幣。</p> <p>Bullish還在2023年以約5,000萬美元的價格，收購了加密貨幣新聞網站CoinDesk。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/1872195/000110465925069070/tm2421409-15_f1.htm" target="_blank">根據其上市申請書</a>，Bullish在2023年的交易收入為1.3億美元，2024年為1.53億美元，2025年第一季的收入為4,200萬美元。此外，Bullish在2024年獲利8,000萬美元，2025年第一季則因加密貨幣價格波動劇烈，出現大額未實現損失，使其帳面上虧損近3.5億美元。</p> <p>市場分析指出，相較於Coinbase傾向零售市場，Bullish主打的是機構客戶市場，美國總統川普（Donald Trump）擁抱加密貨幣的政策也讓資金重返該市場，讓原本估值只有54億美元的Bullish，身價在交易首日即達到99億美元，且盤後已突破100億美元。</p> </div></div></div>
2025/8/14 12:08作者陳曉莉https://www.ithome.com.tw/news/170609
馬斯克揚言控告蘋果App Store偏袒ChatGPT 引爆與OpenAI CEO新一波口水戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克（Elon Musk）本周指控蘋果App Store偏私ChatGPT，揚言控告，也引發和OpenAI執行長Sam Altman的言語交鋒。</p> <p>事情起因是<a href="https://x.com/elonmusk/status/1955073616996975095" target="_blank">馬斯克在X上指控蘋果搞小動作</a>，使OpenAI以外的任何AI公司都不可能在App Store拿到排名第一，這無疑是違反反壟斷法的行為。他說xAI會立即採取法律行動。</p> <p><a href="https://x.com/elonmusk/status/1955046467993059530" target="_blank">馬斯克追問</a>蘋果為何拒絕將X或Grok列入「Must Have」類別中，尤其X是全球排名第一的新聞App，Grok則是（生產力類）排名第5。他問蘋果是不是耍手段。</p> <p>此事引發Altman回應馬斯克的發言，<a href="https://x.com/sama/status/1955094792804720660" target="_blank">他反唇相譏</a>，這指控從馬斯克口中說出相當諷刺，因為他聽到的是馬斯克都是操弄X演算法偏私他和自家公司，並且傷害競爭者和他不喜歡的人。</p> <p>對此，馬斯克不假辭色批評Altman信口開河，馬斯克說即使他的粉絲是Altman的50倍，但Altman的「bxxxt」貼文經常都得到300萬點閱，比他許多貼文都多的多，證明他並未操弄X演算法。Altman於是反問馬斯克敢不敢簽宣誓書說他從未主導X演算法來傷害競爭者或圖利自家公司，如果馬斯克敢他就道歉。</p> <p>Altman的批評部份源自於2023年初X修改貼文顯示的演算法。當時馬斯克聲稱原名Twitter的X「修正了」導致其貼文觸及率下降的演算法問題。Platformer在之前報導，馬斯克開除了一位無法解決其貼文觸及率下滑的首席工程師。</p> <p>這也是馬斯克和Altman自去年以來第三次隔空對話。<a href="https://www.ithome.com.tw/news/161593" target="_blank">去年3月</a>兩人因OpenAI要轉型營利公司爭執，<a href="https://www.ithome.com.tw/news/167132" target="_blank">今年初</a>又因馬斯克批評OpenAI和軟銀的Stargate計畫是騙局引發Altman回擊。</p> <p>蘋果方面否認馬斯克的質疑。<a href="https://www.bbc.com/news/articles/cn842x1v1n1o" target="_blank">該公司對BBC說</a>，公司透過統計圖表、演算法推薦及專家根據公正標準遴選的排行榜來介紹數千種App，駁斥操弄排行榜的指控。</p> <p>事實上，其他家的AI App都曾登上過App Store上AI類別第一名，包括今年1月的<a href="https://techcrunch.com/2025/01/27/deepseek-displaces-chatgpt-as-the-app-stores-top-app/" target="_blank">DeepSeek</a>，以及上個月在印度App Store上的<a href="https://dig.watch/updates/perplexity-ai-overtakes-chatgpt-on-indias-app-store" target="_blank">Perplexity</a>。</p> </div></div></div>
2025/8/14 10:44作者林妍溱https://www.ithome.com.tw/news/170604
Rust 1.89推出常數泛型引數自動推斷與多項編譯器功能更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust團隊釋出<a href="https://blog.rust-lang.org/2025/08/07/Rust-1.89.0/">1.89.0版本</a>，帶來多項語言功能與編譯器更新，涵蓋語法可讀性提升、平臺支援調整，以及針對跨平臺與硬體特性的最佳化。本次更新的主要亮點，是在常數泛型（const generics）引數中開放使用底線符號_進行自動推斷，讓泛型常數的使用更簡潔。</p> <p>過去在使用常數泛型時，即使常數值能從程式脈絡自動判斷，開發者仍必須手動填入，例如建立固定長度的陣列時，長度必須在定義中重複寫出，而1.89版本新增的_語法，讓編譯器能在程式內根據上下文自動推斷常數值，省去重複輸入。不過，在函式簽章（Function Signature）中依然需要明確寫出常數，避免因推斷造成編譯歧義。</p> <p>Rust 1.89新增mismatched_lifetime_syntaxes預設警告，協助開發者檢查函式輸入與輸出生命周期的語法是否一致。雖然Rust允許省略生命周期標註（Lifetime Elision）讓編譯器自動推斷，但當輸入與輸出使用不同寫法，閱讀起來便容易造成混淆，例如輸入為&[u8]，輸出卻省略了生命周期標註，這種情況系統便會觸發警告，並建議開發者明確使用'_標示，讓相依關係更易懂。</p> <p>在效能方面，Rust 1.89擴充了x86平臺的目標功能設定，新增支援SHA-512、SM3、SM4、KL與Wide KL等指令集，並補充多組AVX-512相關函式，方便針對密碼學、資料處理與向量化運算啟用特定硬體能力。測試流程上，文件範例測試現在也能跨平臺執行，開發者在指定目標平臺時即可進行檢驗。當範例在某些平臺會失敗，可以在範例前加上忽略該平臺的標註，讓測試情境更貼近實際部署環境。</p> <p>C語言呼叫約定函式（extern "C"）現在可直接使用i128與u128型別而不會觸發警告，前提是平臺支援對應的C語言__int128型別。在WebAssembly上，wasm32-unknown-unknown目標的extern "C"介面已改為符合標準的C ABI，提升與其他語言及工具鏈的相容性。</p> <p>由於GitHub將停止提供x86_64 macOS免費執行環境，加上Apple宣布淘汰Intel架構，Rust計畫把x86_64-apple-darwin從第一級支援，降為第二級支援含主機端工具（Tier 2 with Host Tools），Rust 1.89將是該平臺最後一次列為一級支援，短期內仍會提供編譯工具與標準函式庫，但長期缺乏完整測試可能影響相容性。</p> </div></div></div>
2025/8/14 08:18作者李建興https://www.ithome.com.tw/news/170595
Claude Sonnet 4公測支援百萬Token上下文
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.anthropic.com/news/1m-context">宣布</a>其Claude Sonnet 4模型現支援最高100萬Token的上下文長度，提升為原本的5倍，使開發者能在單一請求中處理規模更大的資料與程式碼。目前長上下文功能仍處於公測階段，已於Anthropic API與Amazon Bedrock開放使用，並計畫近期在Google雲端的Vertex AI推出。</p> <p>上下文長度擴充代表模型在一次對話中能保留並運用更多資訊，對需要跨檔案分析與多步驟推理的應用尤其重要。在程式碼分析情境中，開發團隊可一次載入更完整的程式碼庫，包括原始碼、測試與文件，讓Claude掌握系統架構，辨識跨檔案相依性，並在生成建議時能夠兼顧整體設計。</p> <p>在文件處理上，開發者可同時載入與分析數百份合約、技術規格書或研究論文，掌握資料關聯性的全貌。長上下文也讓智慧代理能在多工具呼叫與長流程任務中維持一致脈絡，減少反覆提供背景資訊的需求。</p> <p>Anthropic針對長上下文導入分級計價，輸入長度在20萬Token以內，收費為輸入每百萬Token 3美元，輸出15美元，而超過此長度則調整為輸入6美元，輸出22.5美元。針對龐大內容處理需求，官方建議搭配提示詞快取功能降低延遲與成本，並指出結合批次處理可再節省約50％的費用。</p> </div></div></div>
2025/8/14 08:39作者李建興https://www.ithome.com.tw/news/170596
【資安日報】8月13日，微軟、SAP發布8月份安全性例行更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨天是許多軟體業者、工控設備製造商發布8月例行更新的日子，其中微軟修補的資安漏洞仍然是焦點，原因在於這次重大層級的資安漏洞創下今年新高，多達17個，較前7個月約在10至12個多出不少，這樣的情況也引起資安業者Rapid7、漏洞懸賞專案Zero Day Initiative提出警告，呼籲用戶要優先處理部分漏洞。</p> <p>另一方面，企業軟體解決方案SAP發布的資安公告也相當值得留意，他們這次公告兩項風險值達到9.9分的漏洞，影響S/4HANA、Landscape Transformation（SLT）兩套系統，攻擊者甚至能拿來當作後門，相當危險。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170597"><strong style="font-size: 22px;">Fortinet SSL VPN設備遭遇大規模暴力破解攻擊，駭客目標疑為同廠牌網路管理平臺</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/689a46307d280a004f7dd192_GreyNoise-Visualizer-Fortinet-SSL-VPN-Bruteforcer.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/689a46307d280a004f7dd192_GreyNoise-Visualizer-Fortinet-SSL-VPN-Bruteforcer.png" style="width: 300px; float: right;" /></a></p> <p>供員工遠端存取公司內部環境的SSL VPN系統，經常成為網路攻擊活動鎖定的主要目標，對方企圖趁虛而入的部分，過去大多數VPN系統本身未修補的資安弱點，然而，也有可能是身分存取管理上的缺失。例如，今年4月，Fortinet針對防火牆用戶提出警告，他們發現有人針對啟用SSL VPN功能的設備發動攻擊，如今再傳針對該廠牌SSL VPN系統的攻擊行動，但特別的是，攻擊目標竟是同廠牌的網路管理平臺。</p> <p>威脅情報業者GreyNoise揭露自8月3日出現的攻擊行動，駭客針對Fortinet SSL VPN系統而來，在一天內透過782個IP位址試圖進行暴力破解。事隔兩天，他們偵測到第二波攻擊，攻擊者使用完全不同的TCP簽章犯案，這種情況引起GreyNoise的注意並著手調查。</p> <p>結果發現，雖然兩波攻擊都是對SSL VPN下手，試圖進行暴力破解，但第一波攻擊行動的目標，是防火牆作業系統FortiOS的組態檔案，而第二波轉向了網路管理平臺FortiManager。這樣的現象，代表攻擊者很可能透過相同的基礎設施或是作案工具，向不同的Fortinet裝置下手。</p> <p><a href="https://www.ithome.com.tw/news/170589"><strong style="font-size: 22px;">駭客公開安聯人壽被竊客戶、合作夥伴280萬筆資料</strong></a></p> <p>7月安聯人壽通報其使用的第三方系統遭到駭客攻擊，導致客戶資料外洩。根據資安新聞網站Bleeping Computer報導，受駭的是安聯人壽的Salesforce系統，而攻擊者的身分是ShinyHunters。雖然該公司未透露多少人資料外洩，但根據科技網站Techcrunch報導，美國分公司約有140萬客戶，大部分客戶都受到影響。</p> <p>事件在本周出現新進展。根據Bleeping Computer報導，ShinyHunters似乎和Scattered Spider及Lapsus$整合，周末在Telegram頻道以ScatteredLapsuSp1d3rHunters帳號公開安聯人壽的客戶檔案，可能是為了兜售更大量資料提供的樣本。</p> <p>這批檔案包含「帳戶」、「聯絡資料」資料表格，屬於安聯人壽個人保戶及業務合作夥伴，後者包括財富管理、仲介商及財務顧問公司。資料總筆數約為280萬。外洩的資料有的顯然來自Salesforce，如姓名、地址、電子郵件、電話、生日、稅籍資料，也有業務資料如證照、合作公司、行銷分類，以及核准進度等。</p> <p><a href="https://www.ithome.com.tw/news/170591"><strong style="font-size: 22px;">法國電信業者Bouygues Telecom傳資料外洩，影響640萬客戶</strong></a></p> <p>法國電信業者Bouygues Telecom本周公告遭到網路攻擊，導致640萬用戶資料外洩。</p> <p>Bouygues Telecom指出，未經授權的第三方人士存取該公司640萬用戶帳號的部分資料，該公司技術團隊已在最短時間內解決入侵，採取所有必要的額外措施。除了聯繫法國網路安全及資料保護主管機關，該公司也以電子郵件或簡訊通知受影響的用戶。</p> <p>根據Bouygues Telecom於網站發出的公告，外洩資訊包含用戶聯絡資訊、合約、公民身份資料或企業用戶的公司資料，以及國際銀行帳號編號（IBAN），信用卡號及密碼不受影響。Bouygues Telecom提醒用戶留意因資料外流引發的詐騙簡訊、電話及電子郵件。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/royal-and-blacksuit-ransomware-gangs-hit-over-450-us-companies/">450家美國企業慘遭勒索軟體Royal、BlackSuit毒手</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/netherlands-citrix-netscaler-flaw-cve-2025-6543-exploited-to-breach-orgs/">荷蘭警告Citrix NetScaler重大漏洞已被用於攻擊關鍵基礎設施</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-kimsuky-hackers-exposed-in-alleged-data-breach/">北韓駭客Kimsuky內部資料遭公開，作案工具與目標名單曝光</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170588"><strong style="font-size: 22px;">微軟發布8月例行更新，修補已被公開的Kerberos零時差漏洞</strong></a></p> <p>8月12日微軟發布每月例行更新（Patch Tuesday），總共修補111項漏洞，數量較上個月130個有所下降。從漏洞的類型來看，權限提升（EoP）漏洞最多，有44個，其次是遠端程式碼執行（RCE）漏洞，有35個；其餘為資訊洩露、可被用於欺騙的漏洞、阻斷服務（DoS），以及能用來竄改的漏洞，分別有18個、9個、4個、1個。</p> <p>根據漏洞的嚴重程度而言，有17個被評為重大層級，數量是今年最多的一次，其中9個是RCE漏洞、4個是資訊洩露漏洞、3個是權限提升漏洞，以及1個能被用於欺騙的漏洞。</p> <p>值得留意的是，這次有一個是在修補之前就被公開的Kerberos零時差權限提升漏洞CVE-2025-53779，微軟指出為相對路徑穿越（CWE-23）類型的弱點，通過身分驗證的攻擊者有機會藉此取得網域管理員權限，CVSS風險評為7.2。特別的是，他們提到攻擊者利用漏洞的前提，是必須提升「委派控管服務帳號（Delegated Managed Service Account，dMSA）」特定屬性的存取權限。</p> <p><a href="https://www.ithome.com.tw/news/170594"><strong style="font-size: 22px;">SAP修補S/4HANA、Landscape Transformation重大漏洞</strong></a></p> <p>SAP於本週二（8月12日）發布本月例行更新（Security Patch Day），一共修補15項資安漏洞，其中有兩項接近滿分的資安漏洞CVE-2025-42950、CVE-2025-42957，格外引人關注。</p> <p>上述兩項漏洞都可被用於程式碼注入，分別影響SAP Landscape Transformation（SLT）的分析平臺，以及私有雲型態與本地建置的S/4HANA系統，對於這些漏洞帶來的影響，SAP提及攻擊者在取得使用者的權限下，就有機會透過RFC在特定的功能模組觸發漏洞，從而在目標系統注入任何ABAP程式碼，並繞過基本的授權檢查流程。這些漏洞可被拿來當作後門，產生整個系統可能遭到入侵的風險，從而破壞機密性、完整性、可用性。</p> <p>特別的是，SAP對這兩項漏洞的說明幾乎一模一樣，長期觀察與分析SAP每月例行更新的資安業者Onapsis指出，兩者其實是完全相同的程式碼注入漏洞，這些漏洞存在於一項遠端啟用的SAP功能模組；對於SLT平臺來說，主要是影響已部署特定版本Data Migration Server（DMS）附加元件的SAP ECC用戶。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/jenkins-servers-risk-rce-vulnerability-cve-2025-53652/">Jenkins外掛程式存在重大漏洞，1.5萬臺伺服器恐曝險</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/xerox-freeflow-flaws/">全錄列印流程自動化軟體FreeFlow存在資安漏洞，恐被用於SSRF、RCE攻擊</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170582"><strong>【8月12日】俄羅斯駭客挖出WinRAR新的零時差漏洞，已用於網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170551"><strong>【8月11日】SonicWall防火牆近期遭勒索軟體攻入的原因出爐：駭客利用已知漏洞從事攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170497"><strong>【8月8日】越南駭客竊資軟體攻擊行動升溫，逾20萬組帳密遭竊</strong></a></p> </div></div></div>
2025/8/13 17:27作者周峻佑https://www.ithome.com.tw/news/170598
Fortinet SSL VPN設備遭遇大規模暴力破解攻擊，駭客目標疑為同廠牌網路管理平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>供員工遠端存取公司內部環境的SSL VPN系統，經常成為網路攻擊活動鎖定的主要目標，對方企圖趁虛而入的部分，過去大多數VPN系統本身未修補的資安弱點，然而，也有可能是身分存取管理上的缺失。例如，今年4月，<a href="https://www.ithome.com.tw/news/168399">Fortinet針對防火牆用戶提出警告</a>，他們發現有人針對啟用SSL VPN功能的設備發動攻擊，如今<a href="https://www.greynoise.io/blog/vulnerability-fortinet-vpn-bruteforce-spike">再傳針對該廠牌SSL VPN系統的攻擊行動</a>，但特別的是，攻擊目標竟是同廠牌的網路管理平臺。</p> <p>威脅情報業者GreyNoise揭露自8月3日出現的攻擊行動，駭客針對Fortinet SSL VPN系統而來，在一天內透過782個IP位址試圖進行暴力破解。事隔兩天，他們偵測到第二波攻擊，攻擊者使用完全不同的TCP行為特徵犯案，這種情況引起GreyNoise的注意並著手調查。</p> <p>結果發現，雖然兩波攻擊都是對SSL VPN下手，試圖進行暴力破解，但第一波攻擊行動的目標，是防火牆作業系統FortiOS的組態檔案，而第二波轉向了網路管理平臺FortiManager。這樣的現象，代表攻擊者很可能透過相同的基礎設施或是作案工具，向不同的Fortinet裝置下手。</p> <p>當GreyNoise對第二波攻擊的資料進行檢視，他們找到更多線索。其中一臺FortiGate設備曾在6月大規模攻擊受害，此設備位於特定的網際網路服務供應商區域，呈現獨特的用戶端行為特徵。對此他們研判，駭客的暴力破解工具初期似乎是從家用網路環境進行測試或啟動，但也有另一種可能的狀況是，攻擊行動運用了<a href="https://www.ithome.com.tw/tags/residential-proxy">非法代理伺服器（Residential Proxy）</a>隱匿行蹤。</p> </div></div></div>
2025/8/13 17:19作者周峻佑https://www.ithome.com.tw/news/170597
Threads每月用戶數達到4億，縮小與X差距
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta社交平臺Threads用戶數再創新高，<a href="https://www.threads.com/@mosseri/post/DNQuTFlCV9P?xmt=AQF0nwH7qEo6o0zfyZegfAxeuRU4fdNTdeLsi9b2MGLbVw" target="_blank">Instagram負責人Adam Mosseri本周宣布</a>，Threads每月活躍用戶數已突破4億大關。意謂著微型部落格的後起之秀Threads正迅速縮小與X的差距，根據<a href="https://x.com/elonmusk/status/1793779530282443086" target="_blank">馬斯克（Elon Musk）去年5月的說法</a>，X每月用戶數為6億，每日則是3億。</p> <p>根據外電報導，Meta創辦人暨執行長祖克柏（Mark Zuckerberg）在今年4月的第一季財報會議上曾揭露，Threads的每月用戶數為3.5億，而今則已成長到4億。外界則估計，X現在的每月用戶數可能介於5.5~6億之間。</p> <p>X創立於2006年，當時名為Twitter，在2022年被馬斯克以440億美元收購，並在2023年7月將它更名為X；至於Threads則是Meta於2023年推出的競爭平臺，與Instagram帳號連動，用戶數在短短5天突破1億，創下社交平臺紀錄。</p> <p>X主要的營收來源為廣告，Threads亦在今年1月開始測試廣告服務，<a href="https://www.ithome.com.tw/news/168571" target="_blank">接著在4月擴大部署</a>。</p> </div></div></div>
2025/8/13 15:39作者陳曉莉https://www.ithome.com.tw/news/170593
SAP修補S/4HANA、Landscape Transformation重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP於本週二（8月12日）<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/august-2025.html">發布本月例行更新（Security Patch Day）</a>，一共修補15項資安漏洞，其中有兩項接近滿分的資安漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42950">CVE-2025-42950</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42957">CVE-2025-42957</a>，格外引人關注。</p> <p>上述兩項漏洞都可被用於程式碼注入，分別影響SAP Landscape Transformation（SLT）的分析平臺，以及私有雲型態與本地建置的S/4HANA系統，對於這些漏洞帶來的影響，SAP提及攻擊者在取得使用者的權限下，就有機會透過RFC在特定的功能模組觸發漏洞，從而在目標系統注入任何ABAP程式碼，並繞過基本的授權檢查流程。這些漏洞可被拿來當作後門，產生整個系統可能遭到入侵的風險，從而破壞機密性、完整性、可用性。</p> <p>特別的是，SAP對這兩項漏洞的說明幾乎一模一樣，長期觀察與分析SAP每月例行更新的<a href="https://onapsis.com/blog/sap-security-notes-august-2025-patch-day/">資安業者Onapsis指出</a>，兩者其實是完全相同的程式碼注入漏洞，這些漏洞存在於一項遠端啟用的SAP功能模組；對於SLT平臺來說，主要是影響已部署特定版本Data Migration Server（DMS）附加元件的SAP ECC用戶。</p> <p>對於<a href="https://www.ithome.com.tw/news/168325">今年4月修補的</a>重大漏洞CVE-2025-27429，SAP也在這次產品資安公告當中，標示他們已更新當中的說明，此為存在於S/4HANA的程式碼注入漏洞，CVSS達到9.9分，該公司補充說明的資訊？非SAP用戶無法知道變更的部分，根據Onapsis的透露，SAP是在支援套件及修補程式的段落敘述，加入額外資訊。</p> </div></div></div>
2025/8/13 15:49作者周峻佑https://www.ithome.com.tw/news/170594
Salesforce CoAct-1模型混合點擊與程式執行，電腦代理效率與成功率雙提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Salesforce、南加州大學與華盛頓大學研究團隊合作，發表新一代電腦使用<a href="https://arxiv.org/pdf/2508.03923">代理模型CoAct-1</a>，在最新OSWorld基準測試中達成60.76％的成功率，刷新現有紀錄，並將平均完成任務步數降至約11步。該研究在設計上突破傳統僅依靠圖形使用者介面（GUI）操作的限制，將撰寫與執行程式碼納入主要行動模式，使代理在執行長鏈任務與複雜操作時更具效率與穩定性。</p> <p>CoAct-1研究的創新在於引入程式執行，使其成為與GUI操作同等重要的行動，並以多代理協作架構進行任務分工。系統包含一個調度器（Orchestrator），能依任務特性動態分派子任務給兩類代理，其一是負責螢幕點擊、表單填寫等視覺互動的GUI Operator，另一個則是可直接在作業系統上撰寫並執行Python或Bash腳本的程式開發代理（Programmer）。該設計讓代理在處理檔案管理、資料處理等重複或繁複的任務時，能透過程式一次完成，避免受限於易變的GUI元素，提高任務完成的可靠性。</p> <p>當程式開發代理完成子任務後，會將與程式碼解譯器的對話摘要及畫面截圖，回傳給調度器作為記憶的一部分。GUI Operator則回傳所需資訊，同樣存入調度器記憶。兩者之間不共享對話紀錄，每次子任務完成後會清除各自的即時記錄，以確保專注於當前任務並減少干擾。</p> <p>在OSWorld測試中，CoAct-1的60.76％成功率明顯超越其他同類系統，像是Agent S2.5 w/ o3的56.0％與GTA1 w/ o3的53.1％。更重要的是，該系統在平均步數上大幅縮減，從主流GUI代理的約15步下降到約11步，在長任務鏈與複雜操作存在顯著的效率優勢。對於需要在不同環境進行穩定、自動化操作的應用場景，如軟體部署、批次資料處理、跨系統檔案整理，這種混合操作模式提供了更具彈性與可擴展性的解決方案。</p> </div></div></div>
2025/8/13 15:59作者李建興https://www.ithome.com.tw/news/170592
HSI拆解Royal與BlackSuit勒索軟體基礎設施，受害美國機構逾450家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全調查局（Homeland Security Investigations，HSI）華盛頓特區辦事處<a href="https://www.ice.gov/news/releases/ice-washington-dc-leads-international-takedown-blacksuit-ransomware-infrastructure">宣布</a>，聯合美國多個執法單位與國際夥伴，成功拆解BlackSuit勒索軟體的關鍵基礎設施。BlackSuit被視為Royal勒索軟體的繼任者，自2022年起兩者合計已在美國鎖定超過450家已知受害機構，涵蓋醫療、教育、公共安全、能源與政府部門，勒索金額估算約達3.7億美元。此次行動查扣伺服器、網域與數位資產，並關閉攻擊者用來部署勒索軟體、勒索受害者與洗錢的基礎設施。</p> <p>HSI指出，此次行動屬於代號Operation Checkmate行動的一部分，由歐洲刑警組織聯合網路行動特遣隊（J-CAT）協調，目標直指Royal與BlackSuit勒索集團。行動由HSI多個國際辦事處與美國司法部、IRS-CI、FBI及多國執法單位合作完成，包括英國、德國、愛爾蘭、烏克蘭、立陶宛、法國與加拿大等國警政機關參與。</p> <p>HSI網路犯罪中心副助理主任Michael Prado表示，瓦解勒索軟體基礎設施不只是關閉伺服器，更是要摧毀支撐網路犯罪活動的整個生態系。這些行動是多年國際協作的成果，華盛頓特區代理特別探員負責人Christopher Heck則補充，HSI將持續針對這類集團的基礎設施、資金流向與操作人員，確保其無處可藏。</p> <p>根據官方資料，Royal與BlackSuit採取的手法屬於雙重勒索，攻擊者先入侵並加密受害者系統，接著威脅公開竊取的資料，藉此增加支付贖金的壓力。這類攻擊對於需要長時間保持服務不中斷的產業，例如醫療院所或公共安全單位尤其嚴重。</p> <p>Royal在2022年崛起，被安全研究人員普遍視為源自已解散的Conti勒索軟體成員，BlackSuit則於2023年出現，程式碼與攻擊手法高度相似，被認為是Royal改名後的延續。FBI與美國網路安全暨基礎設施安全局（CISA）早在2024年就已針對這兩個集團發布警告與技術指引，呼籲各界落實多因素驗證、強化遠端連線安全、定期離線備份與驗證還原流程。</p> <p>目前，該案件由美國維吉尼亞東區聯邦檢察官辦公室主導起訴，並與國際夥伴持續合作，追究涉案人員的刑事責任。雖然官方未公布逮捕細節，但此次查扣行動已對BlackSuit的運作造成重大干擾，並削弱其透過暗網洩漏平臺威脅受害者的能力。</p> </div></div></div>
2025/8/13 14:34作者李建興https://www.ithome.com.tw/news/170586
法國電信業者Bouygues Telecom傳資料外洩，影響640萬客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國電信業者<a href="https://www.corporate.bouyguestelecom.fr/wp-content/uploads/2025/08/CP-20250806-Bouygues-Telecom-annonce-avoir-ete-victime-dune-cyberattaque.pdf" target="_blank">Bouygues Telecom本周公告遭到網路攻擊</a>，導致640萬用戶資料外洩。</p> <p>Bouygues Telecom指出，透過這起攻擊，一個未經授權的第三方人士或行動者存取該公司640萬用戶帳號的部分資料。該公司技術團隊已在最短時間內解決入侵，採取所有必要的額外措施。除了聯繫法國網路安全及資料保護主管機關，該公司也以電子郵件或簡訊通知受影響的用戶。</p> <p>根據<a href="https://site.infos.bouyguestelecom.fr/pages/2644" target="_blank">Bouygues Telecom官網</a>貼出的客戶聯絡內容，外洩資訊包含用戶聯絡資訊、合約、公民身份資料或企業用戶的公司資料，以及國際銀行帳號編號（IBAN）。Bouygues Telecom提醒用戶留意因資料外流引發的詐騙簡訊、電話及電子郵件。</p> <p>但這家電信業者表示用戶信用卡號及密碼不受影響。</p> <p>上周法國電信巨擘<a href="https://www.ithome.com.tw/news/170317" target="_blank">Orange也公告網路攻擊事件</a>，Orange 7月25日偵測到一個IT系統遭到攻擊，該公司安全及IT部門為阻斷災情而就隔離受影響的系統，卻也造成Orange部份企業用戶的特定管理服務和平臺以及數個消費者服務的運作中斷長達數天。</p> </div></div></div>
2025/8/13 15:02作者林妍溱https://www.ithome.com.tw/news/170591
微軟發布8月例行更新，修補已被公開的Kerberos零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月12日微軟<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Aug">發布每月例行更新（Patch Tuesday）</a>，總共修補111項漏洞，數量較<a href="https://www.ithome.com.tw/news/169956">上個月130個</a>有所下降。從漏洞的類型來看，權限提升（EoP）漏洞最多，有44個，其次是遠端程式碼執行（RCE）漏洞，有35個；其餘為資訊洩露、可被用於欺騙的漏洞、阻斷服務（DoS），以及能用來竄改的漏洞，分別有18個、9個、4個、1個。</p> <p>根據漏洞的嚴重程度而言，有17個被評為重大層級，數量是今年最多的一次，其中9個是RCE漏洞、4個是資訊洩露漏洞、3個是權限提升漏洞，以及1個能被用於欺騙的漏洞。</p> <p>值得留意的是，這次有一個是在修補之前就被公開的Kerberos零時差權限提升漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53779">CVE-2025-53779</a>，微軟指出為相對路徑穿越（CWE-23）類型的弱點，通過身分驗證的攻擊者有機會藉此取得網域管理員權限，CVSS風險評為7.2。特別的是，他們提到攻擊者利用漏洞的前提，是必須提升「委派控管服務帳號（Delegated Managed Service Account，dMSA）」特定屬性的存取權限。</p> <p>針對上述漏洞，微軟並未透露太多細節，<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2025-patch-tuesday-fixes-one-zero-day-107-flaws/">資安新聞網站Bleeping Computer提及</a>，該漏洞的通報者是Akamai資安研究員Yuval Gordon，他曾在5月份公布一項<a href="https://www.ithome.com.tw/news/169126">dMSA權限提升漏洞BadSuccessor</a>。兩者之間是否有關，有待進一步釐清。</p> <p>由於這次重大層級的漏洞相當多，甚至出現滿分漏洞CVE-2025-53767，此為出現於Azure OpenAI的伺服器偽造請求（SSRF）型態弱點，可被用於權限提升，但長期觀察、分析微軟每月例行更新的<a href="https://www.rapid7.com/blog/post/patch-tuesday-august-2025/">資安業者Rapid7</a>、<a href="https://www.zerodayinitiative.com/blog/2025/8/12/the-august-2025-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）</a>，皆提出警告，他們認為有幾項重大層級的RCE漏洞特別值得留意。</p> <p>其中，Rapid7與ZDI不約而同提及兩項風險值達到9.8分的漏洞，它們分別是Windows圖形元件漏洞CVE-2025-50165，以及GDI+漏洞CVE-2025-53766。此外，Rapid7認為DirectX圖形核心RCE漏洞CVE-2025-50176也需要注意；ZDI也對Office漏洞CVE-2025-53731、CVE-2025-53740，以及SharePoint漏洞CVE-2025-49712，提出警告。</p> </div></div></div>
2025/8/13 12:48作者周峻佑https://www.ithome.com.tw/news/170588
駭客公開安聯人壽被竊客戶、合作夥伴資料280萬筆
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客似乎公開了上個月竊自保險巨擘安聯人壽（Allianz Life）Salesforce系統的280萬筆客戶及合作夥伴資料。</p> <p>7月安聯人壽通報其使用的第三方系統遭到駭客攻擊，導致客戶資料外洩。Bleeping Computer報導，受駭的是安聯人壽的Salesforce系統，而攻擊者是ShinyHunters。雖然該公司未透露多少人資料外洩，但Techcrunch報導，這次事件影響美國分公司約有140萬客戶的大部份。</p> <p>事件在本周出現新進展。<a href="https://www.bleepingcomputer.com/news/security/hackers-leak-allianz-life-data-stolen-in-salesforce-attacks/" target="_blank">Bleeping Computer報導</a>，ShinyHunters似乎和Scattered Spider及Lapsus$整合，周末在Telegram頻道以ScatteredLapsuSp1d3rHunters帳號公開安聯人壽的客戶檔案，可能是為了兜售更大量資料提供的樣本。</p> <p>這批檔案包含「帳戶」、「聯絡資料」資料表格，屬於安聯人壽個人保戶及業務合作夥伴，後者包括財富管理、仲介商及財務顧問公司。資料總筆數約為280萬。外洩的資料有的顯然來自Salesforce，如姓名、地址、電子郵件、電話、生日、稅籍資料，也有業務資料如證照、合作公司、行銷分類及核准進度等。</p> <p>Bleeping Computer證實這些資料如電子郵件信箱、電話及稅籍資料是正確的。安聯人壽表示基於案件進入調查程序，該公司無法評論。</p> <p>安聯人壽的Salesforce資料外流，是近日多家知名企業資料外洩事件之一。同樣因為第三方系統被非法存取而外洩客戶資料的企業還包括LV、Chanel、Pandora，以及思科、Google、澳航、荷航及法航等。其中只有Google坦承是Salesforce的資料外流。但是這些事件中，以乎有的非ShinyHunters所為。</p> <p><a href="https://databreaches.net/2025/08/09/scattered-spider-has-a-new-telegram-channel-to-list-its-attacks/" target="_blank">DataBreaches報導</a>，這個頻道甚至還貼出了其他受害企業的資料，如迪士尼、法航、維多莉亞的祕密（Victoria's Secret）及Chanel等。</p> <p><a href="https://databreaches.net/2025/08/03/are-scattered-spider-and-shinyhunters-one-group-or-two-and-who-did-france-arrest/" target="_blank">DataBreaches早前報導</a>，ShinyHunters、Scattered Spider去年遭國際警方執法破獲逮捕核心人物，促使二個組織合流。Google威脅情報小組也認為，從Salesforce竊取資料是ShinyHunter，但向受害企業勒索的是另一個不同組織，二者之間若非冒名，就可能是合作關係。</p> </div></div></div>
2025/8/13 13:27作者林妍溱https://www.ithome.com.tw/news/170589
CoreWeave財報出爐，營收增加2倍，虧損擴大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供GPU基礎設施、定位為AI雲端運算業者的CoreWeave周二（8/12）<a href="https://investors.coreweave.com/news/news-details/2025/CoreWeave-Reports-Strong-Second-Quarter-2025-Results/" target="_blank">公布該公司的第二季財報</a>，該季CoreWeave創下12.1億美元的營收，成長200%，虧損2.9億美元，高於去年同期的3.2億美元。儘管營收成長超越分析師預期，但當天CoreWeave盤後股價下挫11.31%，跌至131.93美元。</p> <p>創立於2017年的CoreWeave從最初的加密貨幣挖礦業務（Atlantic Crypto）轉型為AI雲端平臺供應商，隨著生成式AI的興起成長迅速，成為AI基礎設施領域的重要玩家，在全球建立了逾32個資料中心，執行超過25萬Nvidia GPU，客戶包括微軟、OpenAI及Meta等。此外，Nvidia約持有7%的CoreWeave股份，OpenAI亦為該公司股東。</p> <p>這是CoreWeave在<a href="https://www.ithome.com.tw/news/168142" target="_blank">3月底於那斯達克上市</a>後的首次財報，當時每股發行價為40美元，但5月就飆破100美元。</p> <p>CoreWeave的共同創辦人、董事長暨執行長Michael Intrator表示，該公司正在迅速擴大規模，以滿足市場對AI前所未有的需求，並將成為全球首家大規模提供完整Blackwell GPU產品組合的公司，以成為全球先進AI負載的首選平臺。</p> <p>不過，CoreWeave屬於資本密集產業，今年第二季的資本支出為29.4億美元，高於去年同期的22.5億美元。</p> <p>此外，除了先前<a href="https://www.ithome.com.tw/news/167789" target="_blank">曾與OpenAI簽署</a>價值119億美元的多年合約之外，雙方於第二季再額外擴充了40億美元。</p> </div></div></div>
2025/8/13 14:06作者陳曉莉https://www.ithome.com.tw/news/170590
外傳OpenAI準備支持腦機介面新創Merge Labs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國金融時報（Financial Times，FT）周二（8/12）引述消息來源<a href="https://www.ft.com/content/04484164-724e-4fc2-92a2-e2c13ea639bd" target="_blank">報導</a>，OpenAI共同創辦人暨執行長Sam Altman將與Alex Blania準備共同創辦Merge Labs，以開發腦機介面，直接與馬斯克（Elon Musk）旗下的Neuralink競爭。Merge Labs仍處於早期募資階段，打算募集2.5億美元的資金，且大部分可能來自OpenAI。</p> <p>Altman與Blania在2019年便曾共同創辦Tools for Humanity，以發展虹膜身分驗證、World Network、World ID與Worldcoin，這是因為Altman相信，當AI的智力相當或超越人類之際，人們有一天會需要透過更獨特的方式來證明自己是人類而非機器人。而Blania現為Tools for Humanity執行長。</p> <p>事實上，Altman一直對腦機介面很有興趣。他在2017年就曾撰寫過<a href="https://blog.samaltman.com/the-merge" target="_blank">一篇名為《The Merge》的文章</a>，指出人類最終將與AI融合，以避免人類與AI爭奪主導地位，方式便是透過腦機介面與AI建立深度連結，並預測最早會在2025年發生。</p> <p>今年6月Altman寫了另一篇<a href="https://blog.samaltman.com/the-gentle-singularity" target="_blank">《The Gentle Singularity》</a>，表示AI已經跨過了不可逆的臨界點，應以溫和的奇點確保科技漸進並惠及人類，他看好高頻寬腦機介面的突破，促進人機合作，亦應避免AI權力集中與失控。</p> <p>根據報導，Altman雖將身為Merge Labs的共同創辦人，但不會參與日常營運，此外，Merge Labs的估值為8.5億美元，將以該估值籌措2.5億美元。</p> <p>馬斯克是在2016年7月共同創辦開發腦機介面的Neuralink，比Altman寫下《The Merge》還早了一年多，該公司已打造出可植入人腦的介面，協助癱瘓患者透過意識與數位裝置互動，<a href="https://www.ithome.com.tw/news/161886" target="_blank">在2024年正式邁入臨床試驗</a>，並已從美國、加拿大，<a href="https://www.ithome.com.tw/news/170395" target="_blank">延伸至英國</a>。Neuralink在今年1月完成6.5億美元的融資，估值為90億美元。</p> <p>金融時報指出，Altman也是Neuralink的早期投資者之一。</p> <p>至於OpenAI則是在2021年啟動<a href="https://www.openai.fund/news?utm_source=chatgpt.com" target="_blank">OpenAI Startup Fund</a>作為支援各種AI應用的創投基金，當時基金規模為1億美元，遴選各個新創並分別投入100萬美元，迄今所公開的<a href="https://www.openai.fund/news/introducing-our-first-investments" target="_blank">投資對象包括</a>影片編輯器Descript、法律流程介面Harvey、自動化工作空間Mem，以及語言教師Speak等，都屬於相對小型的專案。</p> </div></div></div>
2025/8/13 12:22作者陳曉莉https://www.ithome.com.tw/news/170587
Perplexity單方面提議以345億美元收購Chrome業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，AI新創公司Perplexity AI單方面向Google發出主動收購提議以345億美元天價，收購Chrome瀏覽器業務。</p> <p><a href="https://www.wsj.com/tech/perplexity-ai-google-chrome-offer-5ddb7a22" target="_blank">華爾街日報首先報導此事</a>，Perplexity並向<a href="https://www.cnbc.com/2025/08/12/perplexity-google-chrome-ai.html" target="_blank">CNBC</a>和<a href="https://techcrunch.com/2025/08/12/perplexity-offers-to-buy-chrome-for-billions-more-than-its-raised/" target="_blank">Techcrunch</a>等媒體證實。</p> <p>去年美國法院判決Google利用不當通路手段維持非法壟斷搜尋及搜尋廣告市場。去年秋天到今年3月<a href="https://www.ithome.com.tw/news/166148" target="_blank">美國司法部提議</a>迫使Google出售Chrome瀏覽器業務作為補救措施。對於司法部出售Chrome的提案，Google方面持續上訴中。Perplexity AI發言人對媒體指出，相信法院本月就會做出最後決定。</p> <p>華爾街日報報導，Perplexity AI主動向Google提出「不具法律約束效力（non-binding）」的收購條件，將交易標的是出售「為滿足反壟斷案中補救措施的要求」的資產。該公司表示，收購完成後會持續支持現有客戶至少100個月，且允許用戶選擇預設設定，也承諾未來二年內投資30億美元來支持Chrome。</p> <p>但Google並未做出評論。</p> <p>2022年成立的Perplexity AI以AI搜尋引擎聞名，提供類似ChatGPT的聊天機器人作為輸出輸入介面。但該公司積極拓展產品，像是瀏覽器。<a href="https://www.ithome.com.tw/news/169969" target="_blank">上個月Perplexity宣布自有AI瀏覽器Comet</a>。</p> <p>Perplexity最初募資金額15億美元，近年用戶數快速增加，也獲得創投業者的青睞。<a href="https://fortune.com/2025/08/12/perplexity-google-chrome-browser-bid-antitrust-ai-wars/" target="_blank">Fortune報導指出</a>，該公司每月經常用戶達3000萬，年營收1.5億美元。最近一輪募資新增1億美元，推升其市值來到180億美元。但是即便如此，這家新創業者提出的收購金額，還是遠超出其市值。</p> <p>該公司要怎麼籌到收購Chrome的資金不得而知。在給Google的提議中，該公司也未透露支持其收購的投資人。</p> <p><a href="https://www.axios.com/2025/08/12/ai-perplexity-google-chrome-deal" target="_blank">Axios評論道</a>，Perplexity此舉是行銷高招，因為它透過對一個非賣品出價打響公司名號以及自有Comet瀏覽器知名度。</p> <p>即使Perplexity真的以345億美元買下Chrome，也會被認為是划算交易。另一家搜尋業者<a href="https://www.bloomberg.com/news/articles/2025-04-23/google-chrome-worth-upwards-of-50-billion-browser-rival-says" target="_blank">DuckDuckGo執行長Gabriel Weinberg則認為Chrome價值</a>在500億美元以上。</p> <p>除了Perplexity AI，和其他表達收購Chrome興趣的還包括<a href="https://www.ithome.com.tw/news/168558" target="_blank">OpenAI</a>和Yahoo。OpenAI也傳計畫將推出自有瀏覽器。</p> </div></div></div>
2025/8/13 11:41作者林妍溱https://www.ithome.com.tw/news/170585
Go 1.25引入容器感知並行度控制，與可降低執行期負擔的實驗性GC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Go開發團隊<a href="https://go.dev/doc/go1.25">釋出</a>1.25版本，針對執行期間行為與效能進行多項最佳化。此版本最受關注的變更，是在並行度控制與垃圾回收（Garbage Collection，GC）機制上的調整，特別對部署於容器環境的應用與高GC負載程式，可能帶來直接影響。</p> <p>在之前的版本，Go的GOMAXPROCS預設值等同於系統啟動時可見的邏輯CPU數量。不過，這種設定在Kubernetes等容器環境下，可能忽略CPU配額限制，導致程式執行時嘗試使用超出限制的資源，因而影響效能或資源調度。</p> <p>Go 1.25在Linux平臺上新增了容器感知功能，會根據所在cgroup的CPU頻寬限制，將GOMAXPROCS預設值調整至較小值，以符合容器設定的CP限制。這項行為也能動態更新，當容器CPU資源變動時，並行度會自動調整。對於需要固定並行度的場景，開發者還是可透過環境變數或GODEBUG設定停用此機制。</p> <p>另一項重要更新是引入代號為Green Tea的實驗性垃圾回收器，這個GC針對小物件的標記與掃描流程進行最佳化，改善記憶體區域性與CPU可擴展性，在大量依賴GC的應用中，有望降低10％到40％的GC開銷。這不僅有助於降低延遲，對需要長時間穩定運行的服務也可能帶來不少效益。Green Tea垃圾回收器目前並非預設啟用，必須在編譯時設定GOEXPERIMENT=greenteagc，以便在測試或預備環境驗證其效能表現與穩定性。</p> <p>對雲端與容器化部署的服務而言，容器感知並行度控制可減少資源配置不相符的風險，提升程式在多租戶或受限資源環境中的穩定性。至於Green Tea垃圾回收器，雖仍屬實驗階段，但其在高頻GC情境的潛在效能提升，值得有需求的團隊提早評估。特別是在需要大量短生命周期物件的場景，如即時資料處理、API服務或訊息系統，Green Tea垃圾回收器可能有效減輕GC造成的執行期負擔。</p> <p>Go 1.25除了這兩項核心更新，還包含靜態分析工具go vet新增檢查器、測試框架強化、以及多項標準函式庫最佳化與平臺支援調整。</p> </div></div></div>
2025/8/13 11:59作者李建興https://www.ithome.com.tw/news/170584
Nvidia發表一系列推理模型，強化AI代理與機器人的多步決策能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia在今年頂級電腦圖學會議SIGGRAPH大會<a href="https://blogs.nvidia.com/blog/nemotron-cosmos-reasoning-enterprise-physical-ai/">宣布</a>擴充其開放推理模型家族，推出新一代Nemotron與Cosmos Reason模型，針對人工智慧代理與機器人應用，提升推理準確度、效率與多步驟任務處理能力。</p> <p>新款Nemotron系列包括Nemotron Nano 2與Llama Nemotron Super 1.5，鎖定企業級人工智慧代理需求，針對於科學推理、數學計算、程式碼生成、工具呼叫與指令理解等任務。Nemotron Nano 2在同規模模型中，Token生成速度最高可達6倍，而Llama Nemotron Super 1.5則在推理準確度上居於領先，並提供4位元浮點數（NVFP4）版本，在Nvidia B200 GPU上的吞吐量可達H100的6倍，適合需要高效率推理的工作負載。</p> <p>在兼顧性能與成本上，Nvidia於新一代模型中引入混合架構、緊湊量化（Compact Quantized）設計與可配置的思考預算機制，讓開發者能精確控制推理過程中Token的生成數量。此設計可在不額外增加時間或算力的前提下，實現最高約60％的推理成本降低，並確保人工智慧代理在既定資源限制內，維持深度推理能力與快速回應能力。</p> <p>在實體人工智慧（Physical AI）領域，Nvidia推出的Cosmos Reason是一款開放且可自訂的70億參數推理視覺語言模型（Vision Language Model，VLM），具備物理概念理解、物體恆存與時空推理等能力。該模型可作為機器人視覺語言行動（Vision Language Action，VLA）模型的推理核心，支援決策制定、訓練資料的篩選與標註，以及視訊分析人工智慧代理的部署。在工廠、倉儲、零售、機場與交通監控等場景中，這些人工智慧代理能夠進行異常檢測與即時摘要，協助企業提升營運監控與反應速度。</p> <p>Nvidia也同步釋出第一個開放視覺語言模型訓練資料集Llama Nemotron VLM dataset v1，包含300萬筆光學字元辨識、視覺問答與影像描述資料，提供Llama 3.1 Nemotron Nano VL 8B等視覺語言模型訓練與強化基礎。同時，Llama 3.2 NeMo Retriever嵌入模型在多項視覺文件檢索評測中表現突出，進一步提升檢索增強生成（RAG）型人工智慧代理的準確性與實用性。</p> </div></div></div>
2025/8/12 18:30作者李建興https://www.ithome.com.tw/news/170571
長期支援版本JDK 25功能定案，結構化並行與可觀測性再升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將成為Java平臺下一個長期支援版本的JDK 25，帶來並行任務管理、資料傳遞與效能診斷等核心更新，目前已<a href="http://openjdk.org/projects/jdk/25/">進入最終候選（Release Candidate，RC）階段</a>。JDK 25預計於9月16日正式發布，目前功能已凍結，僅修正關鍵錯誤。</p> <p>在並行模型方面，本次RC採用結構化並行（Structured Concurrency）第五預覽版本。該機制將一組相關子任務視為單一工作單元，提供更一致的錯誤傳遞與取消處理方式，並簡化多執行緒協作流程。對需要頻繁進行任務切分成子任務，與服務整合的應用，這可減少跨執行緒溝通成本，提升程式碼的可維護性與可觀測性。</p> <p>區域資料（Scoped Values）在JDK 25成為正式功能，這是一種比之前執行緒區域變數ThreadLocal更安全的方式，能在程式執行過程，將特定資料傳遞給需要的程式碼區塊，而且用完就會自動釋放，不會長期占用記憶體。區域資料可以設定資料的作用範圍，並確保在多執行緒或虛擬執行緒中，資料能正確傳遞又不會互相干擾。這很適合用來傳遞像是請求資訊、驗證結果或追蹤ID，不僅避免了全域變數帶來的混亂，也讓程式在結構化並行的情境下更容易維護。</p> <p>在可觀測性方面，本次更新由JFR（Java Flight Recorder）新增與改良多項功能，直接提升效能分析與診斷能力。協作式抽樣（Cooperative Sampling）採用協作式的安全點堆疊擷取方式，能減少資料偏差並降低崩潰風險。</p> <p>JFR可更精準地量測方法執行時間，並支援只追蹤特定方法（Method），以便鎖定效能瓶頸。實驗性功能CPU時間分析（CPU-Time Profiling）則能更準確地分析CPU使用時間，協助開發者找出熱點程式碼並檢查版本更新，是否造成效能衰退。這些改進都讓JFR在實際開發與維運中更能發揮監測與分析的作用。</p> <p>記憶體管理方面，Compact Object Headers從實驗階段轉為正式功能，透過壓縮物件表頭降低記憶體使用量，並可能帶來效能改善。垃圾回收則新增Generational Shenandoah，以提升延遲敏感型應用的表現。</p> <p>其他仍處於預覽或孵化階段的功能，包括向量API、原始型別在模式比對與switch中的應用，以及AoT（Ahead-of-Time）執行相關最佳化等。本版本同時移除32位元x86埠，將開發重點集中在現代硬體平臺。</p> </div></div></div>
2025/8/12 18:31作者李建興https://www.ithome.com.tw/news/170575
【資安日報】8月12日，俄羅斯駭客挖出WinRAR新的零時差漏洞，已用於網釣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及解壓縮軟體，WinRAR應該算是知名度最高的其中一款，在今年有多項漏洞揭露引起外界關注，例如：4月揭露的<a href="https://www.ithome.com.tw/news/168267">安全機制繞過漏洞CVE-2025-31334</a>，以及6月公布的<a href="https://www.ithome.com.tw/news/169822">路徑穿越漏洞CVE-2025-6218</a>，如今有一項新漏洞的細節公布引起外界關注，原因是這項漏洞已被用於實際攻擊行動。</p> <p>另一項微軟在今年4月緩解的Exchange Server資安漏洞發展也相當值得留意，資安機構Shadowserver基金會指出，他們這幾天偵測到全球有2.8至2.9萬臺伺服器尚未修補，呼籲IT人員應儘速處理。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170567"><strong style="font-size: 22px;">WinRAR緊急修補零時差漏洞，俄羅斯駭客RomCom已用來散布惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WinRAR-ADS-5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/WinRAR-ADS-5.png" style="width: 300px; float: right;" /></a>7月30日軟體開發業者Rarlab發布7.13版WinRAR，提及這一版更新修補路徑穿越漏洞CVE-2025-8088，影響7.12之前的WinRAR，攻擊者可透過特製的壓縮檔來觸發。通報此漏洞的ESET昨天發布警告，揭露這項漏洞已被用於實際攻擊行動。由於WinRAR並未提供自動更新機制，用戶應儘速手動更新。</p> <p>這項漏洞被發現的緣由，是ESET發現名為RomCom、Storm-0978、UNC2596、Tropical Scorpius的俄羅斯駭客組織，在攻擊行動裡利用未知的WinRAR漏洞，藉此於歐洲及加拿大的金融、製造、國防、物流產業發動攻擊，部署SnipBot、RustyClaw、Mythic等惡意程式。由於這些駭客在攻擊流程利用零時差漏洞的情況已有先例，促使他們著手調查並通報此事。</p> <p>此漏洞被登記為CVE-2025-8088，4.0版CVSS風險評為8.4，ESET指出是運用NTFS檔案系統的替代資料串流（Alternate Data Streams，ADS）來達到路徑穿越的目的，與Rarlab於今年6月修補的另一個漏洞CVE‑2025‑6218類似。該漏洞的可怕之處在於，攻擊者能將惡意檔案隱藏於壓縮檔裡，一旦執行解壓檔，這些檔案會靜悄悄部署到受害電腦。</p> <p><a href="https://www.ithome.com.tw/news/170552"><strong style="font-size: 22px;">Exchange Server權限提升漏洞有2.9萬臺系統曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gx1fmM_bEAA8n2H.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gx1fmM_bEAA8n2H.jpg" style="width: 300px; float: right;" /></a>微軟發出安全公告，警告Exchange Server混合部署模式存在重大漏洞CVE-2025-53786，可使攻擊者在某些狀況下提高權限，並提及這項漏洞其實已在今年4月18日發布的修補程式得到緩解，但值得留意的是，迄今仍有超過2.8萬臺Exchange Server曝險。</p> <p>但根據非營利組織The Shadowserver研究人員掃瞄結果，從IP位址來看，未安裝修補程式的Exchange Server一直處於近2.9萬，未曾明顯減少。到8月10日，依然還有29,098個IP位址。其中歐洲以1.4萬個占最大比例，北美和亞洲次之，各有近8,400及5,000個IP位址。</p> <p>這項漏洞的嚴重程度，可從美國網路安全暨基礎設施安全局（CISA）對聯邦機構發布緊急指令，要求採取相關行動，並限期在美東時間8月11日上午9時前完成，其中一項是執行微軟提供的指令碼來進行盤點。</p> <p><a href="https://www.ithome.com.tw/news/170417"><strong style="font-size: 22px;">勒索軟體Anubis攻擊Windows、安卓裝置竊取資料、刪除檔案</strong></a></p> <p>資安公司BitSight近日發布State of the Underground 2025報告，揭露Anubis的攻擊手法及受害者樣貌。Anubis著重特定產業，如醫療、營建和專業服務組織。目前確知其受害者分布於美國、法國、澳洲及祕魯。其中澳洲一家醫院遭其竊走病患個資、醫療資訊及保險卡資訊。</p> <p>目前Anubis受害者涵括Android和Windows裝置。在Android平臺上，它主要以銀行木馬形式出現。它常利用大量文字簡訊散佈以擴大攻擊面、使用冒充登入提示的外覆（overlay）畫面、螢幕和鍵盤側錄來竊取憑證。受害者會被鎖住無法登入，而它一旦找到目標檔案就會外送到攻擊者控制的伺服器。</p> <p>在Windows平臺上，Anubis就發揮RaaS的攻擊能力，包括會利用憑證提升權限、並在加密檔案後刪除檔案、移除磁碟區陰影拷貝（Volume Shadow Copy）避免回復可能性、它還會終止特定系統服務以利其加密及進一步降低回復可能性。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/royal-and-blacksuit-ransomware-gangs-hit-over-450-us-companies/">450家美國企業慘遭勒索軟體Royal、BlackSuit毒手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/netherlands-citrix-netscaler-flaw-cve-2025-6543-exploited-to-breach-orgs/">荷蘭警告Citrix NetScaler重大漏洞已被用於攻擊關鍵基礎設施</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-kimsuky-hackers-exposed-in-alleged-data-breach/">北韓駭客Kimsuky內部資料遭公開，作案工具與目標名單曝光</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170569"><strong style="font-size: 22px;">故事化敘事結合多輪脈絡引導，可誘使GPT-5輸出危險內容</strong></a></p> <p>OpenAI在GPT-5的設計中投入了更嚴密的安全防護，目標是在生成過程中避免模型被利用輸出有害內容。不過，人工智慧安全公司NeuralTrust研究指出，即便在強化後的防護架構下，特定多輪對話策略仍能繞過限制，尤其當故事化敘事（Storytelling）與回音室效應（Echo Chamber）結合時，模型依然可能逐步被誘導生成高風險資訊。</p> <p>研究團隊以GPT-5聊天版本（gpt-5-chat）為測試對象，先在對話中植入低顯著度的關鍵詞，並以故事情境包裝，使模型在後續回合持續補充細節。表面上，這些對話只是單純的情節延伸，沒有直接觸及敏感關鍵字或顯性意圖。但是透過多輪回音式強化，脈絡會在不易察覺的情況下逐步偏向敏感領域，最終出現與原本安全檢測目標衝突的內容。</p> <p><a href="https://www.ithome.com.tw/news/170506"><strong style="font-size: 22px;">Claude Code曝高風險漏洞，可被濫用存取檔案與執行未經授權命令</strong></a></p> <p>資安公司Cymulate揭露Anthropic的人工智慧開發工具Claude Code，存在兩項高風險弱點，分別為CVE-2025-54794與CVE-2025-54795，可被用於繞過目錄範圍限制以讀取檔案，並在無需用戶確認下執行未授權命令。Anthropic已在研究預覽期間接獲通報並完成修補，兩者CVSS分別為7.7與8.7。</p> <p>Anthropic已針對兩項問題發布修補版本，路徑限制繞過影響v0.2.111以前版本，命令注入影響v1.0.20以前版本。研究人員建議使用者與團隊立即更新至上述或更高版本，並在更新後檢查工具設定與權限配置。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/jenkins-servers-risk-rce-vulnerability-cve-2025-53652/">Jenkins外掛程式存在重大漏洞，1.5萬臺伺服器恐曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/xerox-freeflow-flaws/">全錄列印流程自動化軟體FreeFlow存在資安漏洞，恐被用於SSRF、RCE攻擊</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170551"><strong>【8月11日】SonicWall防火牆近期遭勒索軟體攻入的原因出爐：駭客利用已知漏洞從事攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170497"><strong>【8月8日】越南駭客竊資軟體攻擊行動升溫，逾20萬組帳密遭竊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170484"><strong>【8月7日】Linux惡意程式濫用身分驗證模組PAM隱匿行蹤</strong></a></p> </div></div></div>
2025/8/12 18:52作者周峻佑https://www.ithome.com.tw/news/170582
聯想USB網路攝影機存在漏洞，可被用於發動BadUSB攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10年前<a href="https://www.ithome.com.tw/news/89852">資安研究室Security Research Labs（SR Labs）於黑帽大會揭露BadUSB攻擊手法</a>，攻擊者藉由改寫USB控制器，就能將USB裝置用於不法，不久後<a href="https://www.ithome.com.tw/news/91332">有兩名研究人員DerbyCon展示概念驗證手法</a>，使得這種資安威脅受到外界關注，但過往通常是攻擊者打造特製的裝置來進行，如今有資安業者指出，<a href="https://eclypsium.com/blog/badcam-now-weaponizing-linux-webcams/">他們能透過特定型號的USB網路攝影機來進行這類攻擊</a>。</p> <p>資安業者Eclypsium於<a href="https://defcon.org/html/defcon-33/dc-33-speakers.html#content_60343">上週舉行的資安大型會議DEF CON 33（DEF CON 2025）議程裡</a>，揭露名為BadCam的網路攝影機漏洞，攻擊者一旦利用這個弱點，就能遠端秘密注入鍵盤輸入的內容，並在受害電腦的作業系統之外從事攻擊行動。此漏洞被登記為CVE-2025-4371，影響聯想特定型號的網路攝影機。對此，<a href="https://support.lenovo.com/us/en/product_security/LEN-194466">聯想發布資安公告說明</a>，指出該漏洞影響510 FHD與Performance FHD兩款裝置，攻擊者有機會在實際接觸到裝置的情況下，透過USB連線寫入任意韌體，該公司發布4.8.0版韌體進行修補。</p> <p>針對上述漏洞發生的原因，Eclypsium指出，這些網路攝影機執行Linux作業系統，但不會驗證韌體，使得攻擊者有機可乘，將其變成BadUSB裝置，這是首度出現將正常USB裝置用於惡意行為的案例。雖然這次調查針對兩款聯想的網路攝影機進行分析，但Eclypsium認為，其他網路攝影機或是USB週邊設備，也可能存在相關弱點。</p> <p>對於攻擊的途徑，Eclypsium指出可能有兩種，一種是由攻擊者寄送已被植入後門的網路攝影機，或是實際將武器化的攝影機接上目標電腦；另一種是遠端入侵電腦，然後感染連接的網路攝影機來達到目的。</p> <p>值得留意的是，一旦攻擊者完全控制以Linux作業系統打造的USB外接裝置，也可能透過Wi-Fi無線網路或是藍牙，用來從事其他攻擊，再者，防守方想要偵測相關攻擊也備受挑戰，因為惡意USB裝置很有可能重新感染受害電腦，使得攻擊者能隱匿自身的行蹤下持續活動。</p> </div></div></div>
2025/8/12 18:15作者周峻佑https://www.ithome.com.tw/news/170581
研究人員揭露資安弱點BitUnlocker，攻擊者有機會透過WinRE繞過磁碟防護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年，微軟的全磁碟加密機制<a href="https://www.ithome.com.tw/tags/bitlocker">BitLocker</a>多次成為駭客下手的目標，其中一種手法是充當檔案加密工具，加密受害企業資料後藉此勒索，因此，這類元件的安全性，也成為研究人員關注的焦點，在去年底資安研究員Thomas Lambertz於Chaos Communication Congress大會（CCC）<a href="https://www.ithome.com.tw/news/166795">揭露能繞過Bitpixie（CVE-2023-21563）的攻擊手法</a>，有研究人員在近日舉辦的黑帽大會Black Hat USA 2025議程當中，<a href="https://www.blackhat.com/us-25/briefings/schedule/index.html#bitunlocker-leveraging-windows-recovery-to-extract-bitlocker-secrets-45638">公布能透過系統復原機制突破這種資料保護措施的弱點</a>。</p> <p>微軟安全性測試與防禦研究團隊（STORM）指出，他們發現能透過Windows修復環境（WinRE），截取BitLocker的機敏資訊的一系列弱點BitUnlocker，STORM強調，這些漏洞存在於軟體，攻擊者不需侵入硬體就能達到目的，只要實際接觸到目標電腦，就有機會藉由重開機進入Windows修復環境來觸發漏洞，過程中無須登入電腦。對此，微軟於<a href="https://www.ithome.com.tw/news/169956">今年7月的例行更新（Patch Tuessday）</a>發布修補程式。</p> <p>BitUnlocker總共被登記為4項漏洞，分別是：CVE-2025-48800、CVE-2025-48003、CVE-2025-48804，以及CVE-2025-48818，CVSS風險評分皆為6.8，攻擊者可在實際接觸目標電腦的情況下，利用這些漏洞，從而在未經授權的情況下繞過BitLocker的防護機制，存取受到加密保護的資料。</p> <p>其中，CVE-2025-48800是藉由操縱Boot.sdi檔案，從而繞過Windows映像檔案格式（WIM）的驗證機制，攻擊者可藉由受信任的WinRE映像檔（WinRE.wim）通過檢驗後，實際上卻透過另一個不受信任的WinRE映像檔開機，進而在受害電腦執行惡意程式碼。</p> <p>第二個漏洞CVE-2025-48003涉及利用名為ReAgent.xml的元件，透過WinRE離線掃描機制觸發。STORM以此漏洞啟動公用程式Tttracer.exe，以此執行cmd.exe，從而完全存取加密磁區。</p> <p>第三個漏洞CVE-2025-48804與WinRE的應用程式驗證機制有關，攻擊者可在ReAgent.xml建置SetupPlatform的工作排程，利用此公用程式在執行Windows升級之後仍保被列為受信任應用程式的特性，然後攻擊者按下快速鍵Shift+F10執行cmd.exe，在一連串的漏洞利用鏈之下，成功存取受到BitLocker加密的資料。</p> <p>最後一個漏洞是CVE-2025-48818，該漏洞涉及檢查時間及使用時間（Time-of-Check Time-of-Use，TOCTOU）的條件競爭，STORM透過Windows作業系統重設工具Push Button Reset（PBR），來展示這項漏洞。</p> </div></div></div>
2025/8/12 16:26作者周峻佑https://www.ithome.com.tw/news/170576
WinRAR緊急修補零時差漏洞，俄羅斯駭客RomCom已用來散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月30日軟體開發業者Rarlab<a href="https://www.win-rar.com/singlenewsview.html?&L=0&tx_ttnews%5Btt_news%5D=283&cHash=a64b4a8f662d3639dec8d65f47bc93c5">發布7.13版WinRAR</a>，提及這一版更新修補路徑穿越漏洞CVE-2025-8088，影響7.12之前的WinRAR，攻擊者可透過特製的壓縮檔來觸發。<a href="https://www.welivesecurity.com/en/eset-research/update-winrar-tools-now-romcom-and-others-exploiting-zero-day-vulnerability/">通報此漏洞的ESET昨天發布警告</a>，揭露這項漏洞已被用於實際攻擊行動。由於WinRAR並未提供自動更新機制，用戶應儘速手動更新。</p> <p>這項漏洞被發現的緣由，是ESET發現名為RomCom、Storm-0978、UNC2596、Tropical Scorpius的俄羅斯駭客組織，在攻擊行動裡利用未知的WinRAR漏洞，藉此於歐洲及加拿大的金融、製造、國防、物流產業發動攻擊，部署SnipBot、RustyClaw、Mythic等惡意程式。由於這些駭客在攻擊流程利用零時差漏洞的情況已有先例，促使他們著手調查並通報此事。</p> <p>7月18日ESET取得駭客使用的RAR壓縮檔，發現其中挾帶了惡意的DLL檔msedge.dll，因內含不尋常的路徑引起他們的注意，分析後確認駭客使用的未知漏洞，影響當時WinRAR最新版本7.12，ESET於24日通報此事，Rarlab發布7.13 beta 1版予以修補，並在30日發布7.13正式版本。值得留意的是，這項漏洞影響Rarlab多項Windows平臺的解決方案，包括UnRAR、便攜版UnRAR原始碼，以及UnRAR.dll都會曝險。對此，ESET呼籲用戶必須儘速升級新版，才能緩解這項資安風險。</p> <p>此漏洞被登記為CVE-2025-8088，4.0版CVSS風險評為8.4，ESET指出是運用NTFS檔案系統的替代資料串流（Alternate Data Streams，ADS）來達到路徑穿越的目的，與Rarlab於今年6月修補的另一個漏洞CVE‑2025‑6218類似。該漏洞的可怕之處在於，攻擊者能將惡意檔案隱藏於壓縮檔裡，一旦執行解壓檔，這些檔案會靜悄悄部署到受害電腦。</p> <p>這波攻擊發生在7月18日至21日，駭客透過釣魚郵件接觸使用者，假借求職為由寄送履歷，企圖引誘他們上鉤。駭客挾帶的RAR檔存在共通點，那就是都含有兩個惡意檔案，其中一個是Windows捷徑檔（LNK），另一個是DLL或EXE檔案。</p> <p>究竟RomCom如何觸發漏洞？ESET舉出其中一個駭客特製的RAR壓縮檔為例，若是透過WinRAR開啟，只會看到內含一個可能無害的檔案，但實際上，此RAR檔同時挾帶了多個經過ADS處理的惡意檔案，一旦使用者試圖開啟良性檔案，WinRAR不僅會解出良性檔案，也會依照ADS的資料將惡意檔案解壓縮至特定路徑：攻擊者將惡意DLL部署到暫存資料夾（%TEMP%），但同時也把LNK檔部署到啟動資料夾，只要使用者每次登入系統，就會自動執行駭客的惡意程式。</p> <p>值得留意的是，在ESET察覺RomCom的攻擊行動後，<a href="https://bi.zone/expertise/blog/paper-werewolf-atakuet-rossiyu-s-ispolzovaniem-uyazvimosti-nulevogo-dnya-v-winrar/">有其他駭客組織跟進濫用這個WinRAR漏洞</a>。俄羅斯資安業者BI.Zone指出，名為Paper Werewolf、Goffee的俄羅斯駭客組織，自7月22日開始將此漏洞用於實際攻擊行動。BI.Zone指出，這些駭客掌握該零時差漏洞的管道，很有可能是從駭客論壇取得。他們看到有人在此之前兜售一項WinRAR零時差漏洞，並強調與CVE‑2025-6218無關，開價8萬美元尋求買主，研判Paper Werewolf疑似藉此取得漏洞並進行修改，然後用於實際攻擊。</p> </div></div></div>
2025/8/12 13:17作者周峻佑https://www.ithome.com.tw/news/170567
Reddit將封鎖Internet Archive的大部分爬梳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/news/757538/reddit-internet-archive-wayback-machine-block-limit" target="_blank">The Verge本周報導</a>，社交新聞平臺Reddit即將封鎖網際網路檔案館（Internet Archive）對該平臺的大部分爬梳，原因是許多AI業者都藉由該館的時光機（Wayback Machine）功能來抓取Reddit內容。</p> <p>成立於1996年的Internet Archive是個非營利組織，使命是保守網路與文化資產，時光機則是該組織最知名的服務之一，它會定期透過網路爬蟲來抓取網站的快照並存檔，使用者只要輸入網址便能瀏覽該網頁過去的版本。</p> <p>至於對Reddit而言，網站上的內容是有價的，特別是在AI系統大量搜刮網路上的內容來訓練模型之際，它在2024年2月便<a href="https://www.ithome.com.tw/news/161440" target="_blank">與Google簽署</a><a href="http://www.ithome.com.tw/news/161440" target="_blank">了與AI有關的內容合作協議</a>，繼之在同年5月<a href="https://www.ithome.com.tw/news/162945" target="_blank">與OpenAI建立類似的合作關係</a>，並在同年6月<a href="https://www.ithome.com.tw/news/169371" target="_blank">控告擅自抓取資料的Anthropic</a>。</p> <p>值得注意的是，儘管許多內容平臺都已透過robots.txt文件明文禁止AI新創來爬梳其網站，但內容管理暨雲端服務業者<a href="https://www.ithome.com.tw/news/170412" target="_blank">Cloudflare日前控訴Perplexity無視這些政策</a>，依然藉由建立新網域或是隱藏自家爬蟲來爬梳別人家的內容。</p> <p>根據報導，Reddit並未指名道姓，僅說該公司逮到許多AI公司（AI companies）利用Wayback Machine來取得Reddit內容。</p> <p>於是，原本可以爬梳Reddit內容的Internet Archive也要被封鎖了，未來僅能爬梳及索引Reddit的首頁，不能再爬梳與索引使用者的個人檔案、所張貼或回應的內容。</p> </div></div></div>
2025/8/12 14:45作者陳曉莉https://www.ithome.com.tw/news/170572
故事化敘事結合多輪脈絡引導，可誘使GPT-5輸出危險內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在GPT-5的設計中投入了更嚴密的安全防護，目標是在生成過程中避免模型被利用輸出有害內容。不過，人工智慧安全公司NeuralTrust研究<a href="https://neuraltrust.ai/blog/gpt-5-jailbreak-with-echo-chamber-and-storytelling">指出</a>，即便在強化後的防護架構下，特定多輪對話策略仍能繞過限制，尤其當故事化敘事（Storytelling）與回音室效應（Echo Chamber）結合時，模型依然可能逐步被誘導生成高風險資訊。</p> <p>研究團隊以GPT-5聊天版本（gpt-5-chat）為測試對象，先在對話中植入低顯著度的關鍵詞，並以故事情境包裝，使模型在後續回合持續補充細節。表面上，這些對話只是單純的情節延伸，沒有直接觸及敏感關鍵字或顯性意圖。但是透過多輪回音式強化，脈絡會在不易察覺的情況下逐步偏向敏感領域，最終出現與原本安全檢測目標衝突的內容。</p> <p>OpenAI在GPT-5系統卡中提到，相較前代版本，已採用安全完成（Safe Completions）訓練策略，並加強多輪對話層級檢測。針對生物、化學等高風險領域，更部署雙層防護，包括主題分類器與推理監控器。此外，也引入更嚴格的指令階層檢測，以防止提示注入（prompt injection）或越獄攻擊誘導模型違反系統限制。</p> <p>儘管如此，研究顯示當攻擊者以低顯著度情境持續推進故事脈絡時，即便同時存在單輪與多輪檢測，防護仍可能被繞過。此類手法的關鍵在於利用模型對一致性的傾向。當前文已建立一個看似合理的故事情境，模型往往會在後續回應中努力維持連貫性，即便情節逐漸靠近敏感內容，也較不容易觸發拒絕。</p> <p>對防護系統而言，研究人員指出挑戰在於如何辨識這種跨多輪，逐步累積的脈絡漂移，而不是僅依賴單輪輸入的關鍵字過濾或分類判斷。</p> </div></div></div>
2025/8/12 15:03作者李建興https://www.ithome.com.tw/news/170569
微軟測試Windows 365 Reserve 主打PC掛點無法使用電腦的員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2025/06/18/strengthen-business-resilience-with-windows-365-and-azure-virtual-desktop/" target="_blank">微軟公布Windows 365 Reserve服務</a>，提供電腦中勒索軟體、被竊或發生硬體問題的員工，快速連上Windows雲端繼續作業。</p> <p>Windows 365 Reserve是微軟一項新雲端服務，可在員工主要PC無法運作時，立即連結使用的短期使用的Cloud PC，並可由任何裝置連結存取。這項服務在6月間公布且提供不公開測試，<a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/enhancing-business-continuity-windows-365-reserve-is-now-in-limited-public-previ/4441669" target="_blank">本周微軟再宣布少量開放公測</a>。</p> <p>Windows 365 Reserve和傳統虛擬桌機基礎架構（virtual desktop infrastructure，VDI）最大的不同是，它不是由企業自行架設及管理，而是全部執行在Windows雲端上。其原理是企業IT部門平日將公司的Microsoft 365應用程式、公司設定和安全政策預建在員工個別的Reserve Cloud PC中。這些Reserve Cloud PC連同公司實體PC或其他Cloud PC，都可由IT部門以Microsoft Intune統一管理及監控。Windows 365 Reserve的調用政策也是Windows 365 Enterprise及Frontline調用政策簡化版本。</p> <p>利用Windows 365 Reserve，一旦員工電腦發生硬體問題、被竊或被勒索軟體加密無法使用時，IT部門可以在幾分鐘內啟動Reserve Cloud PC，並在其他裝置以Windows App或瀏覽器存取，有如員工的實體Windows 11 PC。除了作為緊急備援外，Windows 365 Reserve還可允許臨時僱員、遠端作業、或供測試新OS、配置或App。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-Windows%20365%20Reserve-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Windows 365 Reserve是按使用者人數購買授權。每個授權提供每人每年10天的Reserve Cloud PC存取權。當用戶Cloud PC存取額度用罄時，管理員會即時收到通知。用戶回復到主要裝置時，管理員再以Intune將其Cloud PC關閉。</p> <p>現在微軟階段性控制Windows 365 Reserve Cloud PC開放公測。有意試用的企業需先填寫<a href="https://forms.office.com/pages/responsepage.aspx?id=v4j5cvGGr0GRqy180BHbR35z8y2oNjBOmsgL_HrnYKlUNDJKREdZSDBPOVdWSktZQ0VKNzYxR05UViQlQCNjPTEu&route=shorturl" target="_blank">申請表</a>或聯絡微軟窗口。</p> </div></div></div>
2025/8/12 13:40作者林妍溱https://www.ithome.com.tw/news/170568
xAI正在測試鎖定GPT-5的Grok 4.20 可望8月上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/elonmusk/status/1953977558904762869" target="_blank">馬斯克宣布</a>xAI正在測試下一版模型Grok 4.20，可能將於本月上線。</p> <p>馬斯克展示7月才正式推出的Grok 4的標竿測試AVG@5成績和其他眾多主流AI模型的比較結果，包括剛剛問世的OpenAI GPT-5。顯示Grok 4超越Google Gemini 2.5 Pro(03-25)、Anthropic Claude 4.1 Opus及OpenAI GPT-5及o3。他補充說，本月上線的Grok 4.20預期也會拿到第一。</p> <p>Grok 4是以V6模型為基礎，Grok 4.2的基礎模型可能是V7。<a href="https://x.com/elonmusk/status/1954573440234422752" target="_blank">馬斯克近日說明</a>V7的進展。V7為原生多模態模型，可直接處理影音訊息，不用轉換模態即能理解內容，像是理解說話者傳達的情緒和強調的重點。</p> <p>不過xAI官方尚未說明Grok 4.20的推出時程。</p> </div></div></div>
2025/8/12 14:04作者林妍溱https://www.ithome.com.tw/news/170570
美國將針對Nvidia及AMD出售至中國的晶片抽佣15%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.wsj.com/tech/nvidia-amd-chip-sales-us-government-f9e34b5f" target="_blank">華爾街日報</a>（The Wall Street Journal，WSJ）與<a href="https://www.ft.com/content/cd1a0729-a8ab-41e1-a4d2-8907f4c01cac" target="_blank">金融時報</a>（Financial Times，FT）的報導，Nvidia與AMD已在上周五（8/8）獲得美國商務部的許可，分別可出售H20及MI308至中國市場，條件是它們必須支付相關營收的15%予美國政府。</p> <p>H20是Nvidia為符合美國出口管制、專為中國市場打造的降級版GPU，效能約為旗艦款H100的70%～90%。儘管如此，美國政府仍在今年4月規定，Nvidia必須先取得許可才能將H20出口至中國，<a href="https://www.ithome.com.tw/news/169250" target="_blank">導致公司在第二季財報中認列45億美元的庫存損失</a>，並放棄了價值25億美元的銷售額。</p> <p><a href="https://www.ithome.com.tw/news/170099" target="_blank">Nvidia今年7月再度對外宣布</a>，美國即將放行H20出口至中國，但遲遲沒有下文，根據外電報導，Nvidia創辦人暨執行長黃仁勳上周再度與美國總統川普（Donald Trump）碰面，才讓商務部真正放行。</p> <p>至於MI308亦為AMD專替中國市場設計的降級版AI加速晶片，同樣因為美國的禁令，讓<a href="https://ir.amd.com/news-events/press-releases/detail/1257/amd-reports-second-quarter-2025-financial-results" target="_blank">AMD於今年第二季財報中</a>認列了8億美元的庫存及相關損失。</p> <p>根據<a href="https://www.cnbc.com/2025/08/11/trump-nvidia-20percent-cut-h20-obsolete-chip.html" target="_blank">CNBC</a>與<a href="https://www.theverge.com/news/757428/donald-trump-nvidia-amd-ai-chip-sales-china" target="_blank">The Verge</a>的報導，川普說他其實想向業者徵收20%的稅賦，是在黃仁勳討價還價之後才降至15%，還說願意放行H20是因為這已是舊晶片，而且華為已經擁有類似的晶片。</p> <p>不論如何，這對美國而言極其罕見，<a href="https://www.bloomberg.com/news/articles/2025-08-10/nvidia-amd-to-pay-15-of-china-chip-sale-income-to-us-ft-says" target="_blank">彭博社（Bloomberg）</a>引用華盛頓特區安全及新興技術研究人員Jacob Feldgoise的說法，指出從出口管制的角度來看，這種看似交換的條件是前所未有的，而且有可能讓美國出口管制的國家安全理由失效。</p> <p>另有貿易專家認為，若上述交易被解釋為出口稅的話，那麼則是違憲的，將會受到法律挑戰。</p> <p>不管是Nvidia或AMD都未對15%多作回應，僅說會遵循美國政府為它們參與全球市場所制定的規則。</p> </div></div></div>
2025/8/12 13:12作者陳曉莉https://www.ithome.com.tw/news/170566
GitHub執行長年底卸任，組織併入微軟CoreAI部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub執行長Thomas Dohmke<a href="https://github.blog/news-insights/company-news/goodbye-github/">宣布</a>將在年底卸任，結束多年領導職務。根據他公開的告別信與多家外媒報導，GitHub在其離任後將不再設立CEO職位，組織將納入微軟CoreAI團隊，由該部門統籌管理。這項人事與組織調整，意味著GitHub自2018年被微軟收購以來，首次明顯改變運作模式，由過去相對獨立的子公司，轉向更深度整合至母公司人工智慧核心業務之中。</p> <p>Thomas Dohmke自2018年參與微軟併購GitHub後，先後擔任多個關鍵職務，並於2021年接任執行長。他主導推動了多項人工智慧輔助開發產品，包括Copilot、Copilot Chat與GitHub Spark，使人工智慧能力逐步滲入軟體開發流程。在他的任內，GitHub用戶規模突破1.5億開發者，儲存庫與分叉（Forks）總數超過10億，同時強化了GitHub Actions與GitHub Advanced Security等核心服務。</p> <p>被收購多年來，GitHub維持高度自主的運作模式，管理層獨立制定產品策略，並延續原有的品牌與社群文化。微軟提供資源與雲端基礎架構支援，但不直接干預其日常營運，此次整併將改變這一模式，未來GitHub領導層將直接向CoreAI報告，與微軟其他人工智慧產品線如Azure AI、Copilot for Microsoft 365形成更緊密的鏈結，或將加速技術整合與產品協作。</p> <p>不過，外界也關注此舉是否會影響GitHub在開源社群的角色與平臺政策，以及能否延續其原本開放與中立的精神。</p> <p>Thomas Dohmke在信中表示，將重返創業領域，並於年底前協助完成交接，他強調GitHub正處於歷史上最強勁的時期，並對團隊在推動人工智慧融入軟體開發的成就感到驕傲。隨著他卸任與GitHub正式納入CoreAI，這個全球最大的開發者平臺將進入新階段。</p> </div></div></div>
2025/8/12 11:25作者李建興https://www.ithome.com.tw/news/170554
Exchange Server提權攻擊漏洞還有2.9萬臺系統曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟4月份解決能造成混合環境下提權（Escalation of Privilege, EoP）攻擊的Exchange Server漏洞，但安全專家發現，截至目前全球還有近3萬臺系統未安裝更新。</p> <p>微軟今年4月宣布對Exchange Server及Exchange Online混合部署環境做了一些安全性變更及發布相關hot fix，這項變更實則解決了一項安全漏洞，只是微軟上周才公布漏洞名稱及細節。CVE-2025-53786為一項提權攻擊漏洞，能讓取得Exchange Server管理員權限的攻擊者，透過假造或操弄token或API呼叫，就能在同一組織連結的雲端Exchange上提升權限而不會留下跡證。這項漏洞風險值CVSS 8.0。如果企業管理員當時按照建議，就能解決這項漏洞。</p> <p><a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=exchange&source=exchange6&tag=cve-2025-53786%2B&dataset=unique_ips&limit=100&group_by=geo&stacking=stacked&auto_update=on" target="_blank">但根據非營利組織The Shadowserver研究人員掃瞄結果</a>，從IP位址來看，未安裝修補程式的Exchange Server一直處於近2.9萬，未曾明顯減少。到8月10日，依然還有29,098個IP。其中歐洲以1.4萬個占最大比例，北美和亞洲次之，各有近8,400及5,000個IP。</p> <p class="rtecenter"><a href="http://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=exchange&source=exchange6&tag=cve-2025-53786%2B&dataset=unique_ips&limit=100&group_by=geo&stacking=stacked&auto_update=on" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-exchange-CVE-2025-53786-shadowserver-600.png" style="width: 600px;" /></a></p> <p>本漏洞影響Exchange Server 2016、2019及Subscription Edition（SE）。<a href="https://www.cisa.gov/news-events/directives/ed-25-02-mitigate-microsoft-exchange-vulnerability" target="_blank">美國網路安全暨基礎架構安全管理署（CISA）已發布緊急指令</a>，要求聯邦政府機關以微軟提供的Exchange Server Health Checker script完成系統盤點、<a href="https://techcommunity.microsoft.com/blog/exchange/released-april-2025-exchange-server-hotfix-updates/4402471" target="_blank">安裝Exchange Hotfix Updates更新</a>、Exchange Server 2019要更新到CU14、15，Exchange Server 2016升級到CU23，並關閉過了生命周期（EoL）的老舊Exchange Server。</p> <p>民間企業也可以循同樣方法強化Exchange Server防護。</p> </div></div></div>
2025/8/12 10:42作者林妍溱https://www.ithome.com.tw/news/170552
Anthropic Claude也有記憶功能了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/claudeai/status/1954982275453686216" target="_blank">AI新創Anthropic今日（8/12）宣布</a>，旗下聊天機器人Claude也有記憶功能了，未來將可參考過去的聊天內容提供回應，即日起支援Max、Team及Enterprise方案的用戶，很快就會擴及其它方案。</p> <p>對許多AI用戶來說，記憶是個很有用的功能，它讓使用者不必再重覆輸入已經與機器人討論過的東西，還能搜尋過去的聊天歷史紀錄，<a href="https://openai.com/zh-Hant/index/memory-and-new-controls-for-chatgpt/" target="_blank">OpenAI的ChatGPT早在2024年2月就具備了該功能</a>。</p> <p><a href="https://support.anthropic.com/en/articles/10185728-understanding-claude-s-personalization-features" target="_blank">根據Anthropic的說明</a>，Claude的記憶能力讓它能搜尋過去的對話，以在新的聊天中尋找及引用相關資訊，讓彼此能夠無縫地持續討論，無需重新解釋所有內容，而當使用者引用過去的對話或脈絡時，Claude即會搜尋其聊天紀錄來查找訊息。</p> <p>使用者還可以設定搜尋邊界，例如只搜尋專案之外的聊天內容，或是只搜尋特定專案的內容；或者是直接問Claude有關某個曾討論過的主題，並調出內容或繼續對話。也能禁止Claude搜尋過去的聊天紀錄。</p> <p>Anthropic除了提供免費版的Claude之外，Claude Pro的月費為20美元，使用量超過5倍Pro的Claude Max月費為100美元，另外還有至少5名團隊、每月25美元的Claude Team，以及採用客製化價格的Claude Enterprise。</p> <p><a href="https://www.theinformation.com/articles/anthropic-revenue-hits-4-billion-annual-pace-competition-cursor-intensifies" target="_blank">The Information曾在7月初報導</a>，Anthropic的年度經常性收入（Annual Recurring Revenue，ARR）為40億美元，同一時間，其最大競爭對手<a href="https://www.ithome.com.tw/news/169450" target="_blank">OpenAI的ARR則已突破100億美元</a>。</p> </div></div></div>
2025/8/12 11:02作者陳曉莉https://www.ithome.com.tw/news/170553
AWS推Bedrock Guardrails推理檢查，以形式化驗證降低AI幻覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS<a href="https://aws.amazon.com/blogs/aws/minimize-ai-hallucinations-and-deliver-up-to-99-verification-accuracy-with-automated-reasoning-checks-now-available/">宣布</a>Bedrock Guardrails中的自動推理（Automated Reasoning）檢查功能正式上線，官方表示，這項功能運用數學邏輯與形式化驗證技術，能將大型語言模型生成內容與既定政策或領域規範進行對照，驗證準確率可達99％。對需要在高法規遵循的環境，控制人工智慧輸出品質的開發團隊而言，這提供了一套可追溯、可量化的驗證機制，用以降低幻覺並及早發現潛在歧義。</p> <p>自動推理檢查功能會將自然語言撰寫的政策或規範轉換為可機器推理的邏輯表示，並依嚴格規則檢驗模型回應是否符合條件。這與常見依賴機率推論的方法不同，後者在不確定情況下會替各種結果分配機率，而自動推理則基於可證明的驗證框架，提供明確的有效、無效或依假設而定的可滿足判定。</p> <p>自動推理檢查功能可支援一次處理8萬Token相當100頁文件內容，可將完整規範或大型文件納入單次處理。用戶可以儲存並重複執行驗證測試，確保政策調整後結果一致，系統也會自動產生測試情境，減少人工設計案例的時間成本，其他強化功能包括自然語言化的政策修改建議，以及可自訂信心分數門檻，以配合不同應用場景的檢核需求。</p> <p>在使用上，開發者可於Bedrock控制臺上傳政策文件，系統會解析出規則、變數及自訂型別，將條文轉化為可運算的邏輯結構。隨後可透過自動或手動測試情境輸入模型生成的問答內容，檢驗其與政策的一致性，當測試失敗，可追溯至觸發矛盾的規則來源，以便調整政策或測試案例。</p> <p>自動推理檢查可與Bedrock Guardrails的其他防護措施搭配使用，例如內容過濾與情境對齊檢查，並不限於AWS模型，也能透過ApplyGuardrail API應用於第三方模型，包括OpenAI與Google，或整合至代理框架。</p> <p>目前自動推理檢查已在美東、美西及歐洲等AWS區域上線，計費依處理文字量與驗證請求計算。AWS同時提供技術文件與GitHub範例，協助開發者導入並測試此功能。</p> </div></div></div>
2025/8/12 08:15作者李建興https://www.ithome.com.tw/news/170547
【資安日報】8月11日，SonicWall防火牆近期遭勒索軟體攻入的原因出爐：駭客利用已知漏洞從事攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期有數起資安事故出現後續發展，首先是勒索軟體Akira專門鎖定SonicWall防火牆的攻擊行動，原廠定調是利用已知漏洞CVE-2024-40766而得逞；再者，上週有精品業者、科技業者、航空業者傳出採用的第三方系統遭入侵而導致資料外洩，其中Google的事故出現新的進展，有資安新聞媒體指出，駭客竊得該公司潛在客戶的聯絡方式，並向他們勒索約230萬美元的比特幣。</p> <p>我們將焦點轉回國內，一個月前偵測到資訊系統被入侵的海華科技，上週末發出新的重訊表示，勒索軟體Qilin公布的26份內部資料並非重要內容，他們經評估後確認對公司無重大影響。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170549"><strong style="font-size: 22px;">針對SonicWall防火牆近期遭攻擊事故，原廠定調是已知漏洞未修補所致</strong></a></p> <p>上週資安業者Arctic Wolf提出警告，他們在7月下旬發現，勒索軟體駭客Akira透過SonicWall防火牆取得初始入侵管道，然後從事勒索軟體活動的情況出現增加的現象，並指出駭客疑似利用零時差漏洞而得逞，然後透過SonicWall SSL VPN存取受害組織，呼籲用戶最好暫時停用SSL VPN功能因應，如今資安業者SonicWall介入調查，指出駭客利用的是去年公布的資安漏洞。</p> <p>SonicWall發布資安公告指出，根據他們的調查結果，近期鎖定該廠牌SSL VPN系統的活動與CVE-2024-40766高度相關，駭客並非使用新的零時差漏洞。此為存取控制不當漏洞，SonicWall約在一年前公告及修補，影響第5代至第7代的裝置，CVSS風險評為9.3，值得留意的是，此漏洞被公布之前就已被用於實際攻擊。</p> <p>對於這起攻擊行動的規模，SonicWall指出不到40起，而且許多事故的受害設備存在共通點，那就是曾從第6代防火牆作業系統SonicOS遷移至第7代，但本機用戶密碼並未重置而成為目標。該公司強調，緩解CVE-2024-40766不光只靠套用新版韌體，重設密碼其實是重要步驟。</p> <p><a href="https://www.ithome.com.tw/news/170548"><strong style="font-size: 22px;">Google近期揭露Salesforce系統資料外洩事故出現進展，傳出曝露潛在廣告主資訊</strong></a></p> <p>8月5日Google威脅情報小組（TAG）在兩個月前發表部落格文章發布更新，指出他們疑似遭到自稱是ShinyHunters的駭客組織UNC6240攻擊，Google在其中一個他們使用的Salesforce系統當中，察覺受到類似UNC6240的可疑活動影響，該公司進行回應並分析受害情況，並透露此系統存放了中小企業的聯絡資訊，事隔數日，有更進一步的消息傳出。</p> <p>根據資安新聞網站Bleeping Computer的報導，Google在Salesforce CRM外洩的資料當中，涉及Google Ads潛在客戶的資訊，根據該媒體取得Google發出的資料外洩通知指出，這起事故影響該公司某個Salesforce系統存放的一組有限資料，而這些資訊的用途，是聯繫可能成為Google Ads客戶的企業組織。</p> <p>究竟有多少公司行號受到影響，Google並未說明，Bleeping Computer取得ShinyHunters的說法，駭客聲稱竊得約255萬筆記錄，但並未透露是否有重覆資料。</p> <p><a href="https://www.ithome.com.tw/news/170503"><strong style="font-size: 22px;">中國簡訊詐騙集團鎖定全球支付卡，利用數位錢包詐騙</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2025-07-29 at 8_29_18 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202025-07-29%20at%208_29_18%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>英國網路威脅情報供應商SecAlliance本周公布一源自中國的簡訊詐騙模式，駭客將所盜來的支付卡綁定至Apple Pay和Google Wallet中，以繞過傳統的詐欺偵測。同樣位於英國的威脅情報業者Silent Push亦曾揭露同一手法，並將此一犯罪聯盟稱為Smishing Triad 。</p> <p>根據這兩家業者的研究，Smishing Triad是自2023年初開始於全球發動簡訊網釣（Smishing）活動，駭客先透過SMS、RCS、iMessage等平臺傳送偽造通知（如包裹配送、銀行異常或帳號安全警示等）；於簡訊中嵌入惡意連結以將使用者引導至網釣網站；這些網頁仿冒了銀行、支付平臺或零售商介面，以蒐集使用者所輸入的支付卡資訊；當銀行要求一次性密碼或推播驗證時，駭客還會誘導受害者輸入驗證碼。</p> <p>SecAlliance則說，從2023年7月到2024年10月間，美國可能有1,270萬至1.15億張的支付卡遭到入侵，損失金額高達數十億美元，相信這是有史以來最複雜、財務損失最嚴重的簡訊網釣行動，也創造出一種現有安全框架難以招架的新型金融犯罪。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=123724&SPOKE_DATE=20250811&COMPANY_ID=3694"><strong style="font-size: 22px;">針對勒索軟體駭客公布部分竊得資料，海華科技表示對公司無重大影響</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6aa57876-419f-4744-b1f0-03835e133401.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6aa57876-419f-4744-b1f0-03835e133401.jpg" style="width: 300px; float: right;" /></a></p> <p>7月8日和碩旗下無線通訊模組及數位影像處理方案廠海華科技發布資安重訊，表示他們察覺資訊系統遭到攻擊，資訊部門第一時間執行斷網阻隔因應，並未對財務及業務造成重大影響，事隔一個月，有駭客組織聲稱是他們所為，並公布部分竊得資料。對此，海華發布重訊表示，經過確認，這些並非重要資料。</p> <p>為何海華二度發布資安重訊，起因是<a href="https://www.ftvnews.com.tw/news/detail/2025808W0849">民視新聞網的報導指出</a>，惡名昭彰的勒索軟體駭客Qilin近日聲稱，他們從海華科技（AzureWave.com）竊得內部資料，並於暗網公布其中的26個檔案。至於歹徒是否對海華勒索，民視新聞網指出，Qilin並未提出進一步要求，公布部分內部資料疑似是為了向海華施壓。對此，海華取得報導提及的文件進行檢視，並表示根據評估對公司營運及財務無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/rubygems-pypi-hit-by-malicious-packages.html">PubyGems、PyPI用戶遭遇惡意套件攻擊，駭客意圖竊取帳密、加密貨幣，並竄改安全設定</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/malicious-go-npm-packages-deliver-cross.html">惡意Go、NPM套件散布跨平臺惡意套件，攻擊者可遠端抹除電腦資料</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170498"><strong style="font-size: 22px;">Exchange Server混合部署模式存在重大提權漏洞</strong></a></p> <p>微軟發出安全公告，警告Exchange Server混合部署模式存在重大漏洞CVE-2025-53786，可使攻擊者在某些狀況下提高權限，微軟呼籲用戶儘速安裝修補程式。</p> <p>值得一提的是，這項漏洞其實已在今年4月18日發布的修補程式得到緩解，當時微軟宣布變更Exchange Server混合模式的安全設定，並發布Hot Fix修正程式，目的是改善此種部署模式的安全性。該公司事後進一步調查，確認當時緩解了特定漏洞，並登記為CVE-2025-53786列管。這項漏洞利用存在必要條件，攻擊者需事先取得本機Exchange Server管理員權限，從而於目標組織的雲端環境提升權限，而且不會留下輕易偵測或稽察到的跡證，CVSS風險為8.0。</p> <p>這項漏洞影響Exchange Server 2016、2019，以及<a href="https://techcommunity.microsoft.com/blog/exchange/exchange-server-subscription-edition-se-is-now-available/4424924">甫於7月正式推出的</a>Subscription Edition（SE）。但為何7月上市的SE版也會存在4月修補的漏洞？微軟指出，原因是專屬的混合模式應用程式已是SE初期版本的一部分，假若用戶已經遷移到最新版本，他們已經得到相關防護。</p> <p><a href="https://www.ithome.com.tw/news/170492"><strong style="font-size: 22px;">Dell商務筆電特定晶片存在ReVault漏洞，影響逾百款機型恐遭持久控制與資料竊取</strong></a></p> <p>思科旗下威脅情報與資安研究團隊Talos揭露ReVault漏洞組合，涉及戴爾（Dell）商務筆電當中，採用博通（Broadcom）控制晶片的ControlVault3/3+韌體，以及Windows API共5項弱點。若不處理，攻擊者可取得持久性控制、繞過Windows登入並竊取敏感資料，影響超過100款Latitude與Precision等商務機型。</p> <p>ControlVault為獨立硬體安全模組，裝載在稱為USH（Unified Security Hub）的子卡上，用於在韌體層儲存密碼、生物特徵與安全代碼，並連接指紋、智慧卡與NFC等周邊。現行主流版本為ControlVault3與ControlVault3+，廣見於上述商務與強固（Rugged）機型。</p> <p>本次資安漏洞通報包括ControlVault韌體中的記憶體越界讀寫漏洞CVE-2025-24311、CVE-2025-25050，記憶體任意釋放漏洞CVE-2025-25215，記憶體堆疊溢位漏洞CVE-2025-24922，以及影響Windows API的不安全反序列化漏洞CVE-2025-24919。其中，CVE-2025-24919可被惡意設計的ControlVault回應觸發，進一步在主機上達成任意程式碼執行。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/winrar-zero-day-flaw-exploited-by-romcom-hackers-in-phishing-attacks/">WinRAR緊急修補零時差漏洞，駭客已用來散布惡意軟體RomCom</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/linux-based-lenovo-webcams-flaw-can-be.html">聯想網路攝影機存在漏洞，可被用於遠端發動BadUSB攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/6500-axis-servers-expose-remoting.html">佳能旗下視訊監控系統存在重大漏洞，6,500臺主機面臨被挾持的風險</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170497"><strong>【8月8日】越南駭客竊資軟體攻擊行動升溫，逾20萬組帳密遭竊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170484"><strong>【8月7日】Linux惡意程式濫用身分驗證模組PAM隱匿行蹤</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170464"><strong>【8月6日】時尚精品業者、科技龍頭接連傳出資料外洩，駭客疑攻擊Salesforce執行個體得逞</strong></a></p> </div></div></div>
2025/8/11 18:31作者周峻佑https://www.ithome.com.tw/news/170551
針對SonicWall防火牆近期遭攻擊事故，原廠定調是已知漏洞未修補所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週資安業者Arctic Wolf<a href="https://www.ithome.com.tw/news/170409">提出警告</a>，他們在7月下旬發現，勒索軟體駭客Akira透過SonicWall防火牆取得初始入侵管道，然後從事勒索軟體活動的情況出現增加的現象，並指出駭客疑似利用零時差漏洞而得逞，然後透過SonicWall SSL VPN存取受害組織，呼籲用戶最好暫時停用SSL VPN功能因應，如今資安業者SonicWall介入調查，<a href="https://www.sonicwall.com/support/notices/gen-7-and-newer-sonicwall-firewalls-sslvpn-recent-threat-activity/250804095336430">指出駭客利用的是去年公布的資安漏洞</a>。</p> <p>SonicWall發布資安公告指出，根據他們的調查結果，近期鎖定該廠牌SSL VPN系統的活動與<a href="https://www.ithome.com.tw/tags/cve-2024-40766">CVE-2024-40766</a>高度相關，駭客並非使用新的零時差漏洞。此為存取控制不當漏洞，<a href="https://www.ithome.com.tw/news/164704">SonicWall約在一年前公告及修補</a>，影響第5代至第7代的裝置，CVSS風險評為9.3，值得留意的是，此漏洞被公布之前就已被用於實際攻擊。</p> <p>對於這起攻擊行動的規模，SonicWall指出不到40起，而且許多事故的受害設備存在共通點，那就是曾從第6代防火牆作業系統SonicOS遷移至第7代，但本機用戶密碼並未重置而成為目標。該公司強調，緩解CVE-2024-40766不光只靠套用新版韌體，重設密碼其實是重要步驟。</p> <p>該公司也呼籲用戶升級至SonicOS 7.3，以取得對於暴力破解與多因素驗證攻擊的額外防護能力，並重設所有本機使用者的密碼，套用最佳實作因應。</p> <p>針對Arctic Wolf察覺的攻擊行動，後續有資安業者公布新的調查結果。<a href="https://www.guidepointsecurity.com/blog/gritrep-akira-sonicwall/">資安業者GuidePoint Security指出</a>，Akira在透過SonicWall設備取得初始入侵管道後，就試圖利用rwdrv.sys、hlpdrv.sys兩個驅動程式進行自動驅動程式（BYOVD）攻擊，從而在迴避防毒軟體與EDR偵測的情況下，進行後續活動。</p> <p>另一家資安業者Huntress<a href="https://www.huntress.com/blog/exploitation-of-sonicwall-vpn">揭露較為詳盡的調查結果</a>，他們指出駭客主要針對有限數量的TZ及NSa系列的防火牆下手，受害防火牆的韌體為7.2.0-7015以前版本，並啟用了SSL VPN服務。</p> <p>一旦成功入侵受害組織的環境，駭客就會運用防火牆本身取得的特權LDAP或服務帳號，掌握管理者權限，然後透過WMI及PowerShell在網路環境移動，並試圖透過指令碼挖掘Veeam Backup帳密資料，以及使用wbadmin.exe備份NTDS.dit。最終在停用資安防護機制的情況下，於受害組織部署勒索軟體並執行。截至8月6日，他們掌握28起相關事故。</p> </div></div></div>
2025/8/11 17:19作者周峻佑https://www.ithome.com.tw/news/170549
針對Google近期揭露Salesforce系統資料外洩事故，傳出曝露潛在廣告主資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月5日Google威脅情報小組（TAG）在兩個月前發表部落格文章<a href="https://www.ithome.com.tw/news/170439">發布更新</a>，指出他們疑似遭到自稱是ShinyHunters的駭客組織UNC6240攻擊，Google在其中一個他們使用的Salesforce系統當中，察覺受到類似UNC6240的可疑活動影響，該公司進行回應並分析受害情況，並透露此系統存放了中小企業的聯絡資訊，事隔數日，<a href="https://www.bleepingcomputer.com/news/security/google-confirms-data-breach-exposed-potential-google-ads-customers-info/">有更進一步的消息傳出</a>。</p> <p>根據資安新聞網站Bleeping Computer的報導，Google在Salesforce CRM外洩的資料當中，涉及Google Ads潛在客戶的資訊，根據該媒體取得Google發出的資料外洩通知指出，這起事故影響該公司某個Salesforce系統存放的一組有限資料，而這些資訊的用途，是聯繫可能成為Google Ads客戶的企業組織。</p> <p>Google指出，外流的資料包含公司名稱、電話號碼，以及相關說明，這些資料的主要用途，是提供業務代表後續聯繫。但不包括付款資訊，對於Google Ads帳號、Merchant Center、Google Analytics，以及其他Google的廣告業務產品，這些資料並未受到影響。</p> <p>究竟有多少公司行號受到影響，Google並未說明，Bleeping Computer取得ShinyHunters的說法，駭客聲稱竊得約255萬筆記錄，但並未透露是否有重覆資料。</p> <p>這些駭客表明與另一組人馬Scattered Spider進行合作，由Scattered Spider負責取得目標系統的初始入侵管道，然後再由ShinyHunters竊取Salesforce系統存放的資料。</p> <p>而對於這些駭客是否向Google勒索，資安部落格DataBreaches.Net<a href="https://databreaches.net/2025/08/08/shinyhunters-sent-google-an-extortion-demand-shiny-comments-on-current-activities/">最早透露這些駭客聲稱已向該公司勒索</a>，Bleeping Computer指出贖金是20個比特幣，相當於230萬美元。</p> </div></div></div>
2025/8/11 16:09作者周峻佑https://www.ithome.com.tw/news/170548
Elastic推出Logs Essentials無伺服器服務，重點鎖定核心日誌分析需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic正式<a href="https://www.elastic.co/observability-labs/blog/log-analytics-elastic-serverless-logs-essentials">發表</a>Elastic Observability Logs Essentials，這是一項建構於Elastic Cloud Serverless之上的全新日誌分析服務，面向網站可靠性工程師（SRE）與開發人員，提供高效、免自行維運的雲端化日誌管理方案。服務採用依實際資料寫入量與留存期計費模式，免除傳統容量預留與閒置資源的開銷。</p> <p>Logs Essentials承襲Observability Complete的無狀態架構，以Elasticsearch作為核心搜尋與分析引擎，讓使用者在不必自行管理Elastic Stack的前提下，也能獲得相同的查詢與分析效能。系統透過Kubernetes協調運算資源，並將儲存交由雲端物件儲存服務處理，可依需求自動擴展。Elastic也提供多區域部署、自動升級、金絲雀部署與自動化設定更新，確保服務持續可用與高韌性。</p> <p>在功能層面，Logs Essentials提供快速搜尋與分析的能力，使用者可透過篩選條件、樣式比對與事件辨識，短時間鎖定問題來源。</p> <p>ES|QL（Elasticsearch Query Language）支援工作管線查詢與跨索引關聯，使用戶能在不同服務與系統間建立完整的上下文關係。針對異常流量或錯誤尖峰，使用者可設置警報，並透過Kibana儀表板將系統狀態視覺化，進行即時監控與歷史趨勢分析。</p> <p>Logs Essentials可用於跨系統故障排除，官方舉例當電商交易發生異常時，SRE可同時檢視NGINX、MySQL與應用程式日誌，先透過HTTP錯誤狀態碼分布判斷受影響的區域，再進一步關聯至Kubernetes叢集與Pod的資源使用情況，找出問題源頭。整個過程可依賴ES|QL查詢、日誌搜尋與儀表板，減少在不同工具間切換的時間成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/logs-essentials-nginx-400.jpg" style="width: 580px; height: 323px;" /></p> <p>Logs Essentials特別適合僅需核心日誌分析能力，不需SLO、AI/ML或涵蓋追蹤與指標完整觀測功能的團隊，且有後續需求擴展，用戶也可直接升級至Observability Complete，以取得更多進階功能與更廣的觀測範圍。</p> </div></div></div>
2025/8/11 17:03作者李建興https://www.ithome.com.tw/news/170544
The Browser Company推出每月20美元的AI瀏覽器Dia訂閱服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐約瀏覽器新創公司The Browser Company上周發表了Dia Pro訂閱服務，讓Dia用戶可無限使用其AI功能，月租費為20美元。</p> <p>The Browser Company是由曾擔任白宮產品總監的Josh Miller，以及曾擔任Facebook工程師的Hursh Agrawal於2019年共同創辦，現在分別擔任新公司的執行長與技術長，目標是打造一款可解決使用者瀏覽及生產力問題的網頁瀏覽工具，讓瀏覽器成為網路作業系統，<a href="https://www.ithome.com.tw/news/157945" target="_blank">於2023年發表奠基於Chromium專案的Arc 1.0</a>，並在去年10月宣布將不再繼續開發新版本的Arc，轉而<a href="https://www.diabrowser.com/" target="_blank">在今年6月發表AI瀏覽器Dia</a>。</p> <p>Dia同樣採用Chromium架構，但在右邊側欄直接嵌入AI助手，使用者可直接在側欄與AI對話，或是與已開啟的分頁內容互動，請它摘錄內容，提供寫作建議或是協助購物等，或是整合不同分頁的資訊；它也具備某些AI技能，可根據使用情境呼叫不同的AI模型執行特定任務。</p> <p>即便還在測試期間，但The Browser Company上周就推出訂閱制的Dia Pro。有別於Arc企圖成為作業系統而內建的完整功能，Dia基本上就是個以AI為主的瀏覽器，有使用者認為Dia失去了Arc原有的特色。</p> <p>Dia目前僅支援採用M系列處理器的macOS平臺，雖然AI介面是英文，但支援中文互動。</p> </div></div></div>
2025/8/11 14:31作者陳曉莉https://www.ithome.com.tw/news/170545