iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 02:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

川普啟動U.S. Tech Force，推動聯邦政府科技現代化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.opm.gov/news/news-releases/opm-launches-us-tech-force-to-implement-president-trumps-vision-for-technology-leadership/" target="_blank">美國人事管理局（U.S. Office of Personnel Management，OPM）周一（12/15）宣布</a>，已與管理與預算辦公室（Office of Management and Budget，OMB）、總務管理署（General Services Administration，GSA）、白宮科學與科技政策辦公室（Office of Science and Technology Policy，OSTP），以及政府各部門首長協調，共同成立「美國科技力量」（United States Tech Force，Tech Force），目標是集中招募頂尖科技人才，推動聯邦政府的科技現代化。</p> <p><a href="https://techforce.gov/" target="_blank">Tech Force</a>預計招募1,000名技術專家，涵蓋軟體工程、人工智慧、網路安全、資料分析與技術專案管理等領域，還希望這些專家擁有強大的問題解決能力及對公共服務的熱情；這些人才將會被分配到各個聯邦機構，主要任務為各種高影響力的技術計畫，包含導入AI、應用程式開發、將資料現代化，以及橫跨各個聯邦機構的數位服務交付，年薪預計介於15萬~20萬美元之間。</p> <p>有趣的是，Tech Force為一只有2年任期的人才計畫，由政府招募工程師與技術專才進入聯邦機構服務，並由私人企業作為合作夥伴，負責提供技術訓練及管理經驗；在2年的任期結束後，合作企業會考慮錄用這些人才；同時企業也可推薦自家員工短期進入政府服務，形成制度化與雙向的人才流動。</p> <p>初步合作夥伴包括Adobe、AWS、AMD、蘋果、Coinbase、Databricks、Dell、Google、IBM、Meta、微軟、Nvidia、OpenAI、甲骨文、Palantir、SAP、Uber、xAI及Zoom等業者。</p> <p>簡單地說，Tech Force是一個由美國聯邦政府統籌的人才集中招募計畫，將年輕科技人才與來自私人企業的資深工程主管組成混合團隊，派駐至各部會以執行高影響力的政府科技與AI專案。Tech Force會持續存在，但人才則有2年任期。</p> <p>多數媒體認為，美國聯邦政府確實嚴重缺乏AI與工程執行力，Tech Force至少回應了這項問題，是一項必要但高風險的制度實驗，其成敗關鍵不在於所招募的人才是否足夠優秀，而在於權責劃分與監督界線是否清楚。</p> </div></div></div>
2025/12/16 17:07作者陳曉莉https://www.ithome.com.tw/news/172855
IP電話管理系統FreePBX多重漏洞可被串連濫用，攻擊者恐取得遠端執行程式碼能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Sangoma旗下開源IP電話管理系統<a href="https://horizon3.ai/attack-research/the-freepbx-rabbit-hole-cve-2025-66039-and-others/">FreePBX存在多項資安漏洞</a>，包含特定驗證模式下的身分驗證繞過漏洞CVE-2025-66039、多處SQL注入漏洞CVE-2025-61675，以及可被濫用的檔案上傳問題CVE-2025-61678。資安廠商Horizon3.ai研究人員指出，在特定設定與條件下，攻擊者可串連這些漏洞，在FreePBX主機上取得遠端執行程式碼的能力。Sangoma已針對相關問題釋出修補，涵蓋FreePBX 16.0.42、16.0.92、17.0.6與17.0.22等版本。</p> <p>研究人員表示，這組漏洞的發現源於團隊追蹤10月已出現實際攻擊行為的CVE-2025-57819時，分析FreePBX的驗證流程，進而辨識出另一條獨立的攻擊路徑。當系統的驗證類型被設定為網頁伺服器時，FreePBX會將身分驗證責任交由網頁伺服器Apache處理，應用程式本身僅檢查請求中是否包含Basic Authorization標頭。此設計導致只要提供有效的使用者名稱，即使密碼錯誤，仍可能建立工作階段並存取部分功能。</p> <p>研究人員也特別強調，FreePBX預設採用使用者管理模組作為驗證機制，因此在未調整設定的情況下，不會因CVE-2025-66039直接曝險。不過，一旦管理者改用網頁伺服器或關閉驗證，系統的攻擊面便會明顯擴大，使後續弱點更容易被利用。</p> <p>在實際可被串連的攻擊環節中，研究聚焦於Endpoint Manager模組。該模組多個設定介面存在SQL注入點，攻擊者在取得可用工作階段後，便可對後端資料庫進行讀寫操作，進而新增管理者帳號，或將惡意指令寫入排程相關資料表。研究同時指出，該模組的自訂韌體上傳功能未妥善限制檔案路徑與內容，可能讓攻擊者上傳惡意檔案至可被Web存取的位置，形成執行惡意程式碼的落腳處。</p> <p>相關問題已在FreePBX 16.0.42、16.0.92，以及17.0.6、17.0.22等版本獲得修正。研究人員建議用戶避免使用網頁伺服器驗證模式，並在必要時改回預設的使用者管理模組。此外，針對已部署系統則可檢查是否出現不明的管理帳號、異常排程工作，或Web目錄下未預期的檔案，以降低攻擊者在系統中長期滯留的風險。</p> </div></div></div>
2025/12/16 17:18作者李建興https://www.ithome.com.tw/news/172854
數位情報網再升級，跨界聯防共築全民防線：網詐通報查詢網3.0版全新改版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了展現政府運用數位科技打擊網路詐騙的強大決心與行動力，數位發展部（簡稱數發部）在萬眾矚目下，日前正式宣布「網路詐騙通報查詢網」（簡稱網詐網）已全面改版升級至3.0版本，這個前所未有的防禦升級行動，更被數位發展部部長林宜敬定義為意義深遠的「情資聯防元年」。</p> <p>林宜敬強調，打詐的本質是「好人跟壞人之間不斷的攻防」。他指出，政府作為「好人一方」，持續致力於堵塞各種詐騙的可能管道，然而，詐騙集團作為「壞人一方」，則會不斷地去尋找新的漏洞。</p> <p>面對這場永恆的數位戰役，林宜敬明確指出，「好人隊」要取得優勢，需要更堅強的隊友與更多資源。對此，他表示，此次的版本升級也意味著，臺灣防詐戰略已從過去單點的技術防守，躍升為跨部會、跨地方、跨產業的公私協力聯防體系。</p> <h2><strong>從全民通報到情資聯防，攔阻「尚未發生」的危機</strong></h2> <p>回顧「網詐通報查詢網」的發展歷程，數發部早在2024年9月30日便首次公開測試此平臺，其核心概念是結合全民的力量，讓民眾在臉書（Meta）、Google、或Line等網路平臺，看到可疑訊息、懷疑其為詐騙時，能夠將該網址複製下來，貼到查詢網中進行查核。民眾不僅能在此得知該訊息是否已被通報，或確認為詐騙訊息，若尚未有人通報，民眾也能夠當場進行通報，為防詐貢獻一份「工人智慧」的力量。</p> <p>這種公私協作的模式推出以來，已展現出相當不錯的成果。根據數發部統計，自2024年9月30日公開測試至2025年11月11日，平臺累計接收超過439,598次的通報數，其中，經過確認的詐騙訊息數量已超過214,618件。</p> <p>數發部同時進行了效益統計，將所有建置與系統開發經費除以下架的訊息量，目前每件詐騙訊息下架的平均成本大約是新臺幣192元。</p> <p>林宜敬明確表示，希望未來能持續將這個金額繼續往下壓縮，這不僅是降低政府的營運成本，更重要的是：透過快速下架，能夠有效地墊高詐騙集團的犯罪成本，從而達到嚇阻效果。</p> <p>然而，攔阻超過21萬件詐騙訊息，究竟避免多少金額損失？林宜敬以「守備範圍」的概念來解釋數發部的戰略位置。他將整個詐騙流程比喻為棒球場上的守備，詐騙集團的流程是先在「開放式平臺」（如Facebook、Google）發布廣告，將民眾騙到「封閉性群組」（如Line）。他坦言，數發部的守備範圍，正是要防止民眾在「開放平臺階段」被騙入封閉群組。</p> <p>由於「網詐通報查詢網」主要是阻絕尚未發生的詐騙，因此無法統計具體的攔阻金額。但林宜敬假設，如果每件被攔阻的詐騙，都可能讓受害者損失1萬元，那麼，攔阻21萬件詐騙訊息，就相當於防堵了21億元的潛在損失。</p> <p>他認為，這項工作的重要性，直接體現在將可疑訊息數量降到最低，從而減輕後續檢警和金管會的負擔。</p> <p>林宜敬也觀察到，由於網路上的直接詐騙受到抑制，詐騙集團正轉向其他方式，例如：線下的假警調或直接拜訪。因此，數發部在後續階段利用科技協助其他部會，例如利用AI方式協助金管會監控「異常金流」，或協助內政部警政署進行數位稽證來抓捕壞人。</p> <p>針對43萬多件通報數中，剩餘的22萬件是否未被處理的疑慮，數位發展部數位產業署組長林青嶔澄清，所有通報事實上都已在處理。未下架的原因主要分為三類：第一類是經查核後確定屬於民眾多心或錯誤通報的「非詐騙訊息」；第二類是尚未確定為詐騙，但系統會對民眾示警「高風險警示」；第三類是仍有部分案件，需要經由各部會確認中。林青嶔強調，由於「下架」是一種行政處分，必須確認無誤後才能執行。</p> <h2><strong>詐騙態樣從大額詐騙轉到小額詐騙，通報難度驟增</strong></h2> <p>林青嶔表示，「網詐通報查詢網3.0版」升級的必要性，來自詐騙態樣的快速變異與民眾通報量的暴增。</p> <p>在持續的宣導推廣下，民眾已逐漸開始習慣運用這樣的平臺進行通報。數發部觀察到，民眾的通報意願與頻率顯著增長，在2025年8月前，民眾的通報數每月平均約有2.8萬件；但到了2025年9月，通報數暴增「翻倍」達到約6萬件。</p> <p>面對如此龐大的案件數，林青嶔認為，如何確保訊息的準確性、提升效率，並更擴大地來把這些訊息下架，成為數發部持續面臨的挑戰。</p> <p>林青嶔坦言，網詐網更關鍵的挑戰，來自詐騙集團戰略的改變。他指出，過去民眾較為熟悉的，多是鎖定大額金額的金融投資或身分冒充詐騙，例如冒充財經網紅或謝金河先生等；然而，在數發部不斷針對這類名人詐騙廣告進行強力下架後，詐騙集團的模式開始發生重大轉變。</p> <p>林青嶔提到，現在「產品服務」類型的詐騙有增多的趨勢。他以「吊車大王」被冒用來販賣護膚產品為例，連當事人本人都必須出面澄清，親自表明自己並未銷售相關護膚產品。他說：「這個現象，顯示了詐騙模式的多樣性和不斷變異。」</p> <p>更值得注意的是，詐騙集團已從過去追求「大額、少數」的模式，轉變為鎖定「小額、量多」的案件。林青嶔解釋，現在詐騙集團利用服務或產品詐騙，可能僅涉及新臺幣一、兩千元的小額詐騙，而詐騙集團正是利用這種不斷欺騙受害者的方式，達到「積少成多」的效果，累積龐大的詐騙金額。</p> <p>因此，網詐通報查詢網的系統功能，必須能夠即時反映這些多變的詐騙態樣，並接收來自不同部會的專業通報，才能達成大量下降詐騙廣告的目標。</p> <h2><strong>網詐網3.0聯防戰略，從自主AI到情資共享</strong></h2> <p>為了應對詐騙集團的集團化運作和快速變異，網詐通報查詢網的系統開發，經歷了嚴謹的迭代歷程。</p> <p>最早2023年12月推出的「Phase 0」階段，由於詐騙情勢成型，系統主要依賴自主的AI掃描，主動偵測並通報平臺業者下架詐騙訊息；隨後在2024年5月，數發部針對謝金河等名人建立了專屬的通報機制，開放公眾人物反詐專用郵箱進行通報。</p> <p>在2024年9月推出「Phase 1」階段則是一個關鍵轉捩點，當時網詐通報查詢網1.0版的公開測試，正式開放民眾通報檢舉各種網路詐騙，標誌著從單純的「人工智慧」轉向結合「工人智慧」（民眾回饋）的模式。</p> <p>到了2025年5月推出的「Phase 2」階段，則是網詐通報查詢網2.0版正式上線，為了確保與跨部會之間的連結更為順暢，系統也開始開放部會通報，聯合衛福部、金管會等部會，彼此做情資通報。<br /> 林青嶔指出，雖然2.0版已結合AI與民眾力量，但仍不足以應對當前的情勢。因此，數發部在2025年11月正式上線推出的「3.0版」最大的核心價值，就是將情資的聯防推向極致。</p> <p>數發部目前推動的「Phase 3」階段，除了開放縣市政府通報外，也進一步在系統中整合了第三方機構，包括臺灣事實查核中心（TFC）、趨勢科技（AI防詐達人）、走著瞧（Gogolook）等業者的情資，透過這些公私部門的夥伴攜手合作，可以在網詐通報查詢網進行情資交換與情資分享。</p> <h2><strong>八大情資來源成為編織密實的聯防蜘蛛網</strong></h2> <p>林青嶔強調，這張防詐大網，若想要做到防堵所有可能的詐騙廣告與訊息，就必須將「蜘蛛網弄得很密」才行。因此，網詐網3.0版啟動後，防詐體系涵蓋公私協力，讓情資來源從原本的「民眾通報」、「資安院AI巡檢」和「公眾人物專屬通報」等三個來源，一口氣擴充到八個。</p> <p>林青嶔表示，另外擴充的五個來源，首先前兩個來源就是整合中央部會和地方政府的通報聯防。網詐網串接包括：金管會、內政部、衛福部等中央部會進行通報；並將地方政府納入通報來源，涵蓋臺北市、臺東市、嘉義市等多個地方政府，加速詐騙案件處理時效。</p> <p>此外，第三個來源就是由網詐網藉由加強產業協防，串接四大網路廣告平臺業者，以及電商、遊戲、第三方支付等，並納入包括Gogolook、趨勢科技等業者的情資，提升產業協防能力。</p> <p>同時，第四個來源則是，網詐網透過與其他公協會的合作，包含：臺灣數位安全發展協會、事實查核教育基金會和無店面工會等，擴大對民眾服務的範圍，做到強化公司協防。最後也是最關鍵的來源就是「全民通報」，要做到提升民眾防詐意識，讓全民都成為詐騙通報來源，共同構築詐騙防護網。</p> <p>其中，數發部與趨勢科技、Gogolook的合作當中，還會利用AI技術，預先進行「風險分析」與「預判」，判別訊息為詐騙的可能性有多大。但林宜敬也強調，最終的確認仍需透過人工，例如詢問名人本人或秘書，確保「百分之百」的準確性，避免行政處分錯誤。</p> <h2><strong>網詐網改版核心，從前端阻絕到加速後端執法</strong></h2> <p>林青嶔特別點出，本次3.0版改版的核心，體現在下列四個關鍵面向的強化，目的是加速行政流程、擴大情資涵蓋範圍，並提升全民的防詐警覺。</p> <p>面向一，做到讓通報更全面。他表示，新版網詐網除了新增第三方情資來源，擴大接受企業、民間單位情資外，也強化了「公眾人物與企業專屬通報機制」，讓遭冒用者可以即時回報，使得防詐廣告能夠快速攔截。</p> <p>面向二，讓審查更快速。數發部強化了跨部會API串接，目前金管會已可依自身程序快速處理詐騙通報情資，未來希望擴大到其他部會，如衛福部等；同時，數發部也將協助地方政府導入相關系統，讓各地的地方政府和派出所等，也能直接審查、通報，全面提升第一線的處理效率。</p> <p>面向三，下架更及時。為了解決詐騙在封閉平臺上的傳播問題，林青嶔表示，網詐網3.0版實現了LINE API直連，確認通報的真實性後，就可直接停權詐騙帳號，大幅提升效率。</p> <p>此外，相關的行政處分採用了「電子送達」方式，確保地方政府能快速送達平臺，落實執法，讓整個行政處分流程更加快速，避免延誤。</p> <p>林青嶔指出，數發部也依據《詐欺犯罪危害防制條例》第32.1.1條針對付費廣告，和第33條針對其他類型的相關規定，可以通知各平臺迅速下架網路詐騙訊息，以達成「即時查詢」、「主動通報」、「AI掃描」及「快速下架」四大目的。</p> <p>面向四，讓民眾覺得更好用，優化UI和UX。數發部進行了新版網詐網UI和UX的升級，使介面操作更直覺，讓民眾可以「一眼看懂、一鍵完成」通報或查詢，提升使用者體驗。</p> <p>在此同時，系統新增了「重大防詐訊息即時推播」功能，做到讓宣導更即時，例如，先前有詐騙集團利用「普發現金」等社會重大事件的詐騙訊息，系統會以蓋版頁面的方式即時推播，並透過新增的小鈴鐺提醒有重要公告以提升社會警覺，告知民眾當前流行的詐騙態樣。此外，當民眾輸入通報的詐騙網址後，系統也能夠即時判斷風險高低，並在後臺進行處理。</p> <h2><strong>納入提供情資與代表公民社會的聯防夥伴</strong></h2> <p>網詐網升級新版的過程中，最重要的關鍵在於：納入其他更多的合作夥伴。臺灣數位安全發展協會理事長劉彥伯表示，該協會雖然成立僅約三個月，但成員都是來自民間的高手，包含Meta、Dcard、Line等平臺業者、區塊鏈貨幣分析師和法律專家等。</p> <p>劉彥伯讚揚網詐通報查詢網是個非常好的大平臺，將這些潛伏在各界的民間高手聚集在一起，將能量整合，開啟新的防詐篇章。他強調，透過整合的方式，讓好人隊能更有效地打擊詐騙集團「多樣態、跨國、跨平臺」的攻擊方式，真正做到團結力量大。</p> <p>趨勢科技行銷部協理陳亭妏認為，當詐騙集團已進入「集團化」運作時，好人隊除了集結力量外，更必須善用新的科技。因此，趨勢科技在對抗詐騙時，除了採用全球最領先的AI技術外，還結合在地的情資，用來了解本土詐騙手法。</p> <p>她強調，趨勢科技的核心價值，便是將AI技術和經過「驗證的」（Validation）情資，透過數發部網詐網這個全民大平臺，實現最好的聯防機制，共同打造全民的詐騙守護網。</p> <p>臺灣事實查核中心（TFC）董事兼執行長邱家宜則從公民社會的角度，提出了更深的倡議。她沉痛地指出，詐騙每年造成臺灣社會上千億元的損失，傷害了許多民眾的血汗錢和退休金，臺灣事實查核中心雖然是小型組織，但代表公民社會的力量，希望盡一份心力協助防治詐騙。</p> <p>然而，臺灣事實查核目前看到的詐騙多是「下游氾濫成災」，邱家宜期望政府能透過法治框架，加強「平臺的課責治理責任」（Platform Accountability），從中游、上游著手，進行更有效率的數位治理。</p> <p>她坦言，目前許多工作是在狀況很糟、民眾受騙後才進行通報，甚至還不一定能成功下架，這有些事倍功半，因此希望政府能做得更多。</p> <p>走著瞧（Gogolook）雲端技術總監池凱琳則強調，面對無孔不入的詐騙，單靠單一企業的力量是遠遠不夠的，「這是一場全民戰爭。」他指出，Gogolook的用戶不僅是服務的使用者，更是防詐的「吹哨者」（whistleblowers），所以，他們願意在第一時間發現威脅時就啟動通報機制。</p> <p>他認為，這種來自民間、最即時的防詐情資，就是防詐拼圖中不可或缺的一塊拼圖。因此，Gogolook積極響應，要將這股擁有700萬用戶的力量，導入到數發部的詐騙防禦體系中，一起加入這個「更強的國家隊」。</p> <p>網詐通報查詢網3.0版的啟動，意味著：臺灣數位防詐戰略從單一部會的技術應對，升級為全面的「情資聯防」體系。林宜敬表示，透過八大情資來源的整合，以及四項關鍵功能強化，數發部不僅成功提高了民眾參與度，也將防線前推至詐騙集團得手前的第一線，有效地提升了行政處分的效率與速度。</p> </div></div></div>
2025/12/16 15:22作者黃彥棻https://www.ithome.com.tw/news/172848
5個中國國家級駭客加入利用React2Shell的行列，部署後門及隧道工具控制受害主機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本月3日React開發工程團隊修補風險值達到10分的資安漏洞CVE-2025-55182（React2Shell），此漏洞發生在React Server Components（RSC）元件，最早傳出<strong><a href="https://www.ithome.com.tw/news/172651">Earth Lamia（UNC5454）與Jackpot Panda等多組中國國家級駭客試圖利用</a></strong>，後續也有多家資安公司發現該國駭客的相關活動，現在有新的調查結果出爐，指出有5組中國駭客加入漏洞利用行列。</p> <p>12月13日Google威脅情報團隊（GTIG）揭露<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/threat-actors-exploit-react2shell-cve-2025-55182/">中國駭客組織UNC6586、UNC6588、UNC6595、UNC6600，以及UNC6603的全球攻擊活動</a></strong>，共通點在於，過程裡駭客都使用了React2Shell而得逞。</p> <p>其中，較為特別的是UNC6600的活動，他們利用React2Shell漏洞來傳送隧道工具MinoCat。他們執行bash指令碼來建立隱藏的資料夾，清除特定名稱的處理程序，然後下載MinoCat的二進位檔案，駭客於特定的使用者Shell組態插入惡意命令，來啟動MinoCat，此為Go語言打造的64位元ELF執行檔，搭載自製的wrapper元件NSS，以及開源的Fast Reverse Proxy（FRP）用戶端元件，來處理隧道通訊。為了能讓隧道工具持續運作，UNC6600建立新的cron工作排程，並濫用systemd服務。</p> <p>另一個惡意程式下載工具Snowlight的活動，也相當值得留意，UNC6586利用漏洞執行命令，或是接收指令碼，然後下載Snowlight，此為Go語言後門程式Vshell的元件，駭客用於對C2發送HTTP GET請求，從C2基礎設施取得其他的有效酬載。值得留意的是，<strong><a href="https://www.ithome.com.tw/news/172683">已有外號為UNC5174或CL-STA-1015中國駭客組織</a></strong>，利用React2Shell散布Snowlight與Vshell，然後竊取AWS組態及憑證檔案，揭露此事的資安公司Palo Alto Networks指出，他們確認至少有30家企業受害。</p> <p>GTIG看到後門程式Hisonic與Compood的活動，其中，UNC6603藉由React2Shell散布Hisonic，鎖定亞太地區的AWS與阿里雲等雲端基礎設施的實體（instance）而來。此後門程式以Go語言開發，其特點是濫用Cloudflare Pages和GitLab等合法服務，存放加密相關的組態配置，這麼做的目的，就是將惡意流量埋入合法的網路活動。</p> <p>另一個後門Compood的活動，是名為UNC6588的駭客組織所為，他們執行特定的指令碼下載後門程式的有效酬載，並將其偽裝成文字編輯工具Vim。儘管後續駭客並未採取其他活動，無從判斷意圖，不過，中國駭客使用Compood可追溯至2022年，當時在臺灣、越南，以及中國都出現活動。</p> <p>最後一支惡意程式是AngryRebel.Linux，UNC6595利用安裝指令碼b.sh部署，並試圖將其偽裝成合法的OpenSSH處理程序，主要攻擊目標是虛擬專用伺服務（VPS）。</p> </div></div></div>
2025/12/16 12:41作者周峻佑https://www.ithome.com.tw/news/172844
Nvidia收購Slurm幕後推手SchedMD，強化AI與HPC叢集控制層
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.nvidia.com/blog/nvidia-acquires-schedmd/" target="_blank">Nvidia周一（12/15）宣布</a>，已收購高效能運算（HPC）開源排程系統Slurm的主要開發與維護者SchedMD，未來將持續維持Slurm的開源及中立角色，同時強化Nvidia在AI與HPC叢集層級的軟體控制能力。雙方並未對外披露交易金額。</p> <p><a href="https://www.schedmd.com/about-schedmd/slurm-history/" target="_blank">Slurm</a>最早於2002年由美國勞倫斯利佛摩國家實驗室（Lawrence Livermore National Laboratory，LLNL）開發，是一套負責叢集資源配置、作業排程與佇列管理的開源系統。在TOP500超級電腦中，有65%的系統採用Slurm，已被視為HPC管理軟體的業界標準，隨著大型語言模型與生成式AI的訓練規模持續擴大，Slurm也逐漸成為AI訓練與推論不可或缺的基礎設施。</p> <p>至於成立於2010年的SchedMD並非是Slurm的原始發明者，而是隨著Slurm廣泛被學術研究及產業的採用，承接其長期維護、功能開發與商業支援的公司，主導了Slurm的版本演進、主要功能與發布節奏。</p> <p>Nvidia表示，該公司與SchedMD的合作已超過10年，未來將持續投資Slurm的開發，以維持Slurm於HPC及AI領域開源排程器的領先地位，另也將加速SchedMD及Slurm接觸新一代的Nvidia系統，最佳化整體運算基礎架構上的工作負載，並會支援多元硬體與軟體，以讓客戶能以Slurm運行異質叢集。</p> <p>Nvidia也將持續為SchedMD現有的數百家客戶，提供Slurm的開源軟體支援、訓練與開發服務。</p> <p>市場分析認為，相較於Nvidia旗下的CUDA、NCCL等加速運算軟體負責提升GPU效能，Slurm位於更上層的位置，負責工作負載如何排隊、如何分配CPU與GPU資源，以及如何於異質叢集中進行調度，隨著AI叢集規模快速擴張，排程與資源治理已直接影響訓練效率與整體成本。透過這起收購，Nvidia的角色也從單純的AI硬體供應商，進一步擴展至資料中心與AI叢集的核心控制層。</p> </div></div></div>
2025/12/16 13:49作者陳曉莉https://www.ithome.com.tw/news/172847
Cloudflare揭露，AI爬蟲已占全球逾4%的HTML流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>CDN與資安服務業者Cloudflare周一（12/15）公布<a href="https://radar.cloudflare.com/year-in-review/2025" target="_blank">2025 Cloudflare Radar Year in Review年度網路觀測報告</a>，顯示AI爬蟲已占全球逾4%的HTML流量，而全球最受歡迎的前五大生成式AI服務依序是：OpenAI的ChatGPT、Anthropic的Claude、Perplexity、Google Gemini，以及Character.AI 。</p> <p>從2024年開始，全球網路上的機器人流量便已超過了人類流量，而在2025年的網路流量中，有47.9%的流量來自機器人，包括搜尋引擎、SEO工具、監測服務、廣告/分析系統，或是自動化程式等；人類流量占了43.5%；Googlebot為4.5%；各種AI Bot為4.2%。</p> <p>其中，用來抓取網站內容以支援搜尋引擎及AI訓練的Googlebot，是Cloudflare所檢測到的最活躍的機器人，占據了逾28%來自已驗證機器人的流量；OpenAI的GPTBot在活躍度上排名第二，貢獻7.5%的已驗證機器人流量。</p> <p>如果把Googlebot也算進AI Bot，那麼全球網路流量中，已有接近9%為AI所用。此外，在排名前1萬個網域中，有3,879個robots.txt文件出現了有關AI爬蟲的設定，涵蓋完全或部分允許，以及完全或部分禁止等不同管理方式，顯示此一原本針對搜尋引擎設計的文件，已將AI爬蟲視為不同且獨立的爬蟲。</p> <p>值得注意的是，<a href="https://blog.cloudflare.com/ai-search-crawl-refer-ratio-on-radar/#how-does-this-measurement-work" target="_blank">Cloudflare也探究</a>了搜尋/AI爬蟲對網頁的抓取量及回導流量之比例（Crawl-to-Refer Ratio），顯示Claude爬蟲抓了超過7萬次才導流一次，OpenAI是1,600:1，Perplexity是202:1，微軟是40:1，Yandex為18:1，Google是9.4:1，百度是1:1。</p> <p>市場分析認為，此一看來失衡的流量也反映出平臺角色的轉變，搜尋引擎仍以導流來支撐內容生態，但生成式AI將內容直接內化為服務價值，改變了既有的交換關係，未來的關鍵不在限制抓取，而在建立授權、回饋或分潤機制，重新定義AI與內容產業的合作模式。</p> <p>Cloudflare也列出了全球前十大生成式AI服務，它們依序為ChatGPT、Claude、Perplexity、Google Gemini、Character.AI、GitHub Copilot、Windsurf AI、QuillBot、xAI的Grok，以及來自中國的DeepSeek。</p> </div></div></div>
2025/12/16 12:46作者陳曉莉https://www.ithome.com.tw/news/172845
Nvidia公布Nemotron 3系列、Nano版先問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Nvidia昨（15）日<a href="https://nvidianews.nvidia.com/news/nvidia-debuts-nemotron-3-family-of-open-models" target="_blank">宣布最新一代Nemotron 3開放模型家族</a>，包含Nano、Super和Ultra三個版本，以及相關工具和資料集，強調採用新混合專家(MoE)架構準確率更高，協助開發代理式AI應用程式。</p> <p>Nvidia強調Nemotron 3家族為開發特化型代理式AI應用而設計。<a href="https://developer.nvidia.com/blog/inside-nvidia-nemotron-3-techniques-tools-and-data-that-make-it-efficient-and-accurate/" target="_blank">新一代模型主打</a>整合了雜糅式Mamba-Transformer混合專家（hybrid mixture-of-experts，MoE）架構、互動環境中的強化式學習（reinforcement learning，RL）及原生100萬token脈絡長度的能力，可支援多代理人應用程式執行高傳輸率、長視野（long-horizon）推理。Nvidia也開放了模型權重、資料集、訓練方法及框架。</p> <p>Nvidia指出，使用創新的雜糅式Mamba-Transformer架構，使Nemotron 3具備100萬token的脈絡長度，得以支援大型程式庫、超長文件、長對話以及整合各處擷取而來的內容，使模型第一次能像人類專家一樣，在完整資料的狀態下，持續、連貫推理，而不再像以前靠切碎、拼湊、反覆遺忘來完成。</p> <p>技術特性而言，Mamba層擅長追蹤長程相依性，但只有很少的記憶使用量，在處理數十萬token仍具有高效能，適合長文本推理與序列建模。Transformer模型層則輔之以詳細注意力機制，可捕捉程式操作、數學推理和複雜模等任務需要的結構及邏輯關係。而MoE則可在不增加密集運算成本的情況下有效計算參數，有助提升大規模運算效率。</p> <p>Nemotron 3在後訓練階段，於NeMo Gym使用強化式學習，以評估及強化其執行包含一系列行為的真實代理人行為時，如呼叫正確工具、撰寫功能程式碼及生成多部份規劃的能力。</p> <p>Nemotron 3家族中，Nano為300億參數小模型，可一次啟動最多30億參數高效執行特定任務，強調低運算成本且高效。Super為近1000億參數的高準確率推理模型，一個token可啟動最多100億參數，適合多代理人應用。Ultra則為約5000億參數的大型推理引擎，單一token可啟動500億參數，能支援需要深度研究和策略規劃的高複雜性AI應用。</p> <p>最小的Nemotron 3 Nano今天已經<a href="https://huggingface.co/blog/nvidia/nemotron-3-nano-efficient-open-intelligent-models" target="_blank">在Hugging Face問世</a>，是為軟體除錯、內容摘錄重點、AI助理工作流程及資訊擷取等任務最佳化。Nemotron 3 Nano每秒執行token傳輸量是前代Nano模型的4倍，而推理token生成數減少最高60%，大幅降低推論成本。100萬token的脈絡長度，使其更準確串連多步驟任務的資訊。</p> <p>Nvidia聲稱其Nemotron 3 Nano版本在多項測試中，優於Qwen3-30B及GPT-OSS-20B。</p> </div></div></div>
2025/12/16 13:04作者林妍溱https://www.ithome.com.tw/news/172846
Google將在2026年初關閉暗網報告通知服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://support.google.com/websearch/answer/16767242?hl=en&visit_id=639014093018233706-127073171&rd=1" target="_blank">Google本周預告</a>，可通報使用者個資流入駭客社群的暗網報告（Dark Web Report）服務將在2026年2月終止服務。</p> <p>暗網報告首於2023年<a href="https://www.ithome.com.tw/news/163860" target="_blank">推出</a>，主要是用來協助使用者監控於暗網中流傳的個資，如姓名、地址、電話號碼與電子郵件帳戶。只要啟用該功能，每當Google於暗網中發現使用者個資時，便會通知用戶。該功能原本只提供給付費的Google One訂閱用戶，但去年擴及所有Google帳戶用戶，臺灣也是支援的市場之一。</p> <p>Google說明，暗網報告服務雖然提供概略資訊，但使用者回饋意見反映它並沒有提供有用的後續步驟。因此Google決定將心力投入在能提供更清楚、可行步驟的工具，以保護用戶線上資訊。Google說會打造新的工具以執行追蹤和防範網路威脅，包括暗網。</p> <p>從2026年1月15日起，這服務將停止掃描新資料外洩於暗網的案例。而在2月16日起，整個暗網報告服務就會下線。之後所有和該服務相關的資料都會被刪除，用戶也可以提早自行到暗網報告<a href="https://myactivity.google.com/dark-web-report" target="_blank">刪除</a>，但一旦用戶刪除了自己的資料檔案，就無法再存取暗網報告了。</p> <p>Google鼓勵用戶利用其他現有工具強化資料安全和隱私。包括安全檢查(Security Check)、建立Passkey來登入Google帳號、登入Google安全中心身份驗證工具、Google密碼管理員、以及密碼檢查等。此外<a href="https://myactivity.google.com/results-about-you/home" target="_blank">Google</a>也鼓勵用戶使用「與你相關的結果」，可協助用戶找到並要求移除Google搜尋中找到的使用者個資，包括電話號碼和住家地址等。</p> </div></div></div>
2025/12/16 11:30作者林妍溱https://www.ithome.com.tw/news/172842
Windows RasMan爆新零時差漏洞，恐導致服務中斷，尚無官方修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Windows遠端存取連線管理員（Remote Access Connection Manager，RasMan）出現零時差漏洞，可導致阻斷服務（Denial of Service，DoS）攻擊。不過尚不知微軟何時會釋出修補程式。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-rasman-zero-day-flaw-gets-free-unofficial-patches/" target="_blank">資安廠商ACROS Security</a>在研究微軟十月修補的RasMan提權（EoP）漏洞CVE-2025-59230時，發現一個阻斷服務漏洞。</p> <p>簡單來說，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-59230" target="_blank">CVE-2025-59230</a>是一個權限提升漏洞（Elevation of Privilege），讓低權限使用者提升到System層次。在RasMan服務尚未啟動時，任何行程（包括低權限使用者權限）都能註冊System用戶的RPC端點。但是研究人員追查的是，攻擊者在提權攻擊前，要如何讓RasMan服務停止。這就是微軟未發現，但其他研究人員發現的DoS漏洞，正好滿足RasMan停止運作的條件。</p> <p>研究人員指出，這個尚未被指派CVE的漏洞存在於Windows RasMan（Remote Access Connection Manager）服務處理遠端連線管理請求的邏輯中。攻擊者可在本機透過RasMan提供的管理類RPC介面，透過對管理請求中的參數進行特殊組合，觸發服務在處理特定連線或裝置資訊時發生錯誤，導致RasMan服務異常終止。</p> <p>一旦RasMan停止運作，系統的VPN、撥號或其他遠端連線功能將暫時無法使用，形成阻斷服務（DoS）。</p> <p>ACROS Security已釋出微修補程式（micropatch），提供給0patch平臺免費及其付費服務用戶，讓用戶在官方版本修補程式釋出前緩解風險。微軟尚未說明官方修補程式的發佈時程。這家資安業者常提供微軟不再或無法及時提供的軟體漏洞修補程式。這次的微修補程式保護的平臺包括Windows 11、Windows 10及Windows 7、Windows Server 2008R2/2012/2016/2019及Windows Server 2025。</p> </div></div></div>
2025/12/16 10:22作者林妍溱https://www.ithome.com.tw/news/172841
法國內政部遭網路攻擊，入侵郵件伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.rtl.fr/actu/justice-faits-divers/un-assaillant-a-pu-penetrer-sur-un-certain-nombre-de-fichiers-sur-rtl-laurent-nu-ez-confirme-une-attaque-informatique-au-ministere-de-l-interieur-7900577003" target="_blank">法國內政部長Laurent Nunez本周證實</a>上周發生網路攻擊，駭客入侵了郵件伺服器。</p> <p>Laurent Nunez向法國廣播電臺RTL指出，事件發生於2025年12月11日晚間至12日星期五。攻擊者存取數臺郵件伺服器上某些檔案，但是法國政府還無法斷言資料已經失竊。</p> <p>法國內政部是警察機關、國內安全與移民事務的主管機關，自然是國家駭客的重點攻擊對象。Nunez表示已經加強安全層級，至於這次存取是否為外國國家駭客、網路犯罪、或是挑戰當局的組織或個人所為，當局都還未排除可能性。</p> <p>法國國家資訊系統安全局（ANSSI）今年4月發表報告，相信十多起針對法國組織包括部長級機構、地方政府、法國國防技術與工業生產商、航空航太機構、研究機構、智庫，以及經濟和金融單位的攻擊，是由與俄羅斯軍事情報組織有關的駭客組織APT28所為。</p> <p>本周<a href="https://www.bbc.com/news/articles/cvgrrnylzzyo" target="_blank">德國外交部長也指控</a>俄羅斯駭客組織Fancy Bear去年駭入德國飛航控制系統，此外今年初俄國駭客也入侵選務機關企圖影響大選結果，因此傳喚俄羅斯大使解釋。</p> <p>今年4月挪威水壩閘門控制系統遭駭入侵數小時，<a href="https://www.ithome.com.tw/news/170657" target="_blank">該國政府</a>也將矛頭指向俄羅斯駭客。</p> </div></div></div>
2025/12/16 09:48作者林妍溱https://www.ithome.com.tw/news/172840
惡意VS Code擴充套件上架微軟市集，偽裝PNG檔藏匿木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司ReversingLabs研究人員<a href="https://www.reversinglabs.com/blog/malicious-vs-code-fake-image">分析</a>了19款上架於微軟VS Code市集的惡意擴充套件，發現這些套件表面上提供開發輔助功能，實際卻把惡意程式藏在隨套件封裝的相依目錄中，並以看似PNG檔的檔案包裝木馬。研究人員指出，該活動從2025年2月起持續運作，並於2025年12月2日被發現，他們已將相關擴充套件通報微軟。</p> <p>研究人員說明，VS Code擴充套件通常會把執行所需的NPM相依套件一併打包，安裝時不必再下載。攻擊者正是利用該預先封裝特性，在熱門NPM套件path-is-absolute的本機副本動手腳，加入額外檔案與啟動觸發程式碼，使惡意行為在VS Code啟動時被觸發。研究人員強調，官方NPM儲存庫上的path-is-absolute內容未被更動，風險來自擴充套件作者可任意改寫其封裝內容。</p> <p>由於被改造的程式會先解碼一段經過混淆處理的JavaScript投放器，接著再執行藏在偽裝為banner.png檔案中的惡意二進位檔，並借助Windows內建程式cmstp.exe這類LOLBIN啟動。研究人員初步辨識其中一個惡意載荷為Rust木馬，但其完整能力仍在持續分析。另有少數擴充套件未偽裝PNG檔，而是改以NPM套件@actions/io投放相同惡意載荷，並分別藏在.ts與.map檔案中。</p> <p>ReversingLabs偵測到2025年前10個月與VS Code相關的惡意軟體，已從2024年的27增加到105。研究人員建議，安裝擴充套件前應審視其來源與可信度訊號，並將相依內容一併納入稽核與掃描流程，以降低開發環境遭供應鏈手法滲透的機率。</p> </div></div></div>
2025/12/16 05:20作者李建興https://www.ithome.com.tw/news/172836
【資安日報】12月15日，開發人員在Docker Hub曝露大量憑證，有人將其收集並在地下論兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172818"><strong style="font-size: 22px;">逾1萬個Docker Hub映像檔曝露憑證與API金鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Docker-Hub-diagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker-Hub-diagram.png" style="width: 300px; float: right;" /></a></p> <p>研究人員發現，開發人員不慎公開於網上的Docker Hub中的容器映像檔，內含AI模型、API金鑰及多種憑證，警告可能造成軟體供應鏈攻擊。資安廠商Flare針對2025年11月1日到30日上傳Docker Hub的上萬個映像檔進行分析，分析這些映像檔是否含有敏感存取資訊。他們先定義15種敏感憑證，包括軟體開發生命周期（SDLC）及程式碼控制憑證（如GitHub）、雲端平臺憑證（如AWS、GCP、Microsoft Azure）、AI及模型存取，以及支付服務憑證等。</p> <p>他們發現10,456個內含高度及重大嚴重性的映像檔，分布於205個命名空間（namespace），進一步分析，研究人員辨別出101個命名空間所屬的實際公司，其中多數是中小企業，但也有大型企業，以及一家財星五百大企業。從產業來看，以軟體開發（28）、消費市場與工業（20）、AI系統（15）最多，還包含一家尖端研究組織及11家金融業者。值得注意的是，在這些容器映像檔中，近42%包含5種以上憑證，像是完整存取雲端、Git程式庫、CI/CD系統、支付整合或其他核心基礎架構元件的憑證。</p> <p>分析外洩各類憑證關聯的Docker Hub帳號數量，其中最多的是和AI模型金鑰有關帳號，達191個，如Anthropic、Grok。其次是API Token，有157個。雲端類（AWS/Azure/GCP/RDS等）和存取憑證（如JWT、App Key、加密金鑰）關聯的數量各為127和103個。其他還有資料庫、CI/CD平臺（如GitHub、Docker）、通訊協同平臺（如Slack）、和第三方支付工具（如Stripe）等各數十個。</p> <p><a href="https://www.ithome.com.tw/news/172810"><strong style="font-size: 22px;">蘋果修補兩個零時差漏洞，並指出已被用於極度複雜的攻擊行動</strong></a></p> <p>12月12日蘋果針對旗下的行動裝置、電腦、穿戴裝置，以及電視盒發布作業系統更新：iOS與iPadOS 26.2、macOS Tahoe 26.2、watchOS 26.2、visionOS 26.2，以及tvOS 26.2，帶來一系列的功能更新，例如：改善iPhone手機網路通訊能力、強化iPad多工操作功能，以及為電腦加入Edge Light的功能。但除此之外，蘋果這次大型更新也修補許多資安漏洞，其中最值得留意的部分，是兩個已遭利用的WebKit零時差漏洞。</p> <p>這些漏洞是CVE-2025-14174與CVE-2025-43529，由蘋果與Google威脅分析團隊（TAG）通報。蘋果在資安公告指出，他們掌握兩項漏洞已在極為複雜的攻擊行動當中，鎖定iOS作業系統早於26版的iPhone。值得留意的是，根據美國國家漏洞資料庫（NVD）的說明，CVE-2025-14174就是兩天前Google為Chrome修補的零時差漏洞（編號為「466192044」）。</p> <p>對於漏洞造成的影響，蘋果指出兩個WebKit漏洞都可透過特製的惡意網頁內容觸發，CVE-2025-14174可導致記憶體中斷，CVE-2025-43529可被用於執行任意程式碼。根據Google通報的資料，我們可以了解CVE-2025-14174進一步的資訊：此為高風險層級漏洞，出現在名為ANGLE的元件，為記憶體越界存取弱點，CVSS風險評為8.8。至於CVE-2025-43529，蘋果並未透露其危險程度，不過，弱點管理公司Tenable在資料庫登記為9.8分。</p> <p><a href="https://www.ithome.com.tw/news/172819"><strong style="font-size: 22px;">PCIe完整性與資料加密處理出現漏洞，恐面臨資訊洩露、拒絕服務等資安風險，波及Intel、AMD處理器</strong></a></p> <p>PCI-SIG（PCI Special Interest Group）上周修訂相關規格，以因應周邊元件快速互連（Peripheral Component Interconnect Express，PCIe）標準中揭露的3個安全漏洞。這些漏洞皆存在於完整性與資料加密（Integrity and Data Encryption，IDE）安全機制中，可能削弱IDE與TDISP（Trusted Domain Interface Security Protocol）等原本用來隔離不同安全環境的防護效果。</p> <p>這些漏洞是由英特爾（Intel）的多名員工發現，分別是CVE-2025-9612、CVE-2025-9613，以及CVE-2025-9614。其中，CVE-2025-9612允許駭客在系統未察覺的情況下，打亂受IDE保護的PCIe資料封包順序，導致系統處理錯誤或過期的資料，進而使原本依賴資料順序與狀態正確性來維持的安全隔離機制出現破口。</p> <p>CVE-2025-9613屬於「完成逾時重導」漏洞，問題出在交易逾時後的狀態處理流程。在特定情況下，系統可能重複使用原本屬於另一筆交易的識別標記，導致後續回傳的資料被送往錯誤的安全環境中，使資料在不同隔離區之間錯置，進而影響資料的機密性與完整性。</p> <p><a href="https://www.ithome.com.tw/news/172805"><strong style="font-size: 22px;">西門子、洛克威爾、施耐德等4家業者12月修補ICS多項重大及高風險漏洞</strong></a></p> <p>在12月Patch Tuesday週期，西門子（Siemens）、洛克威爾自動化（Rockwell Automation）、施耐德電機（Schneider Electric）以及菲尼克斯電氣（Phoenix Contact）皆發布多項公告，修補旗下ICS與OT設備多項資安漏洞。</p> <p>西門子本次共發布14則安全性公告，其中3則被評為重大風險，主要影響Comos、Sicam T與Ruggedcom ROX等產品。在SSA-212953公告中，西門子指出其工程與資產管理平臺Comos存在多項重大風險漏洞，其CVSS v3.1風險分數高達10.0分，CVSS v4.0則為9.2分。這些漏洞可能被利用執行任意程式碼，或造成服務阻斷、資料滲透與存取控制違規。西門子已針對部分產品發布修補版本，並建議用戶升級至最新版。</p> <p>洛克威爾自動化也在12月9日發布2則安全性公告，皆評為高風險屬性。其中，GuardLink EtherNet/IP介面432ES-IG3 Series A存在服務阻斷漏洞CVE-2025-9368，CVSS v4.0為8.7分。另一則公告指出，洛克威爾自動化FactoryTalk DataMosaix Private Cloud存在SQL注入高風險漏洞CVE-2025-12807，CVSS v3.1為8.8分，該漏洞可能讓低權限使用者透過API執行未授權的資料庫操作，進而存取或修改敏感資料。</p> <p><a href="https://www.ithome.com.tw/news/172808"><strong style="font-size: 22px;">微軟更新雲端漏洞獎勵政策，第三方元件影響也納入評估</strong></a></p> <p>微軟上周四（12月11日）宣布，將調整旗下雲端漏洞獎金計畫（Bug Bounty Program）評估方式，導入名為「In Scope by Default」的新原則。未來只要漏洞實際影響微軟的線上服務，即使漏洞源自第三方或開源元件，也將預設納入漏洞獎勵範圍。</p> <p>微軟安全回應中心（Microsoft Security Response Center，MSRC）表示，過去漏洞獎金計畫通常會事先界定明確的適用範圍，研究人員回報的漏洞必須落在指定的產品或服務清單內，才有資格獲得獎勵。然而在實際攻擊情境中，許多高風險漏洞並非直接存在於雲端服務本身，而是來自其所依賴的第三方套件、開源元件或相依服務，即便對線上服務造成實質影響，仍可能因不在既定範圍內而引發認定爭議。</p> <p>在「In Scope by Default」策略下，微軟改以「是否對線上服務造成可驗證影響」作為是否納入漏洞獎金的主要依據，而不再先行限制漏洞必須出現在微軟自家程式碼中。</p> <p><a href="https://www.ithome.com.tw/news/172807"><strong style="font-size: 22px;">酷澎韓國辦公室遭警方搜索，執行長為資料外洩公開致歉辭職</strong></a></p> <p>韓國最大電商酷澎（Coupang）本月發生3,370萬人個資外洩，警方上周五搜查該公司辦公室，隔日執行長公開道歉且請辭以示負責。</p> <p>上周酷澎執行長朴大俊（Park Dae-jun）宣佈為本月初的重大個資外洩案請辭。他表示，對於該公司資料外洩事件讓大眾失望感到抱歉，公司對事件發生及後續反應過程欠妥感到須負重大責任，因此決定辭去一切職位。酷澎母公司已任命該公司行政長和法務長Harold Rogers為臨時執行長。</p> <p>此波人事異動之前幾天，首爾警方搜索酷澎總公司。在兩天之內，警方分別搜索酷澎園區及總部辦公室，以蒐集與資料外洩案相關的證據，並了解客戶資訊系統是否有漏洞。根據韓國時報報導，警方已取得用於資料外洩的IP位址、追查兇嫌。報導引述消息人士指出，警方的搜索狀指向一名中國籍前員工涉嫌違法存取酷澎通訊網路及資訊系統，藉此外洩機密資料。</p> <p><a href="https://www.ithome.com.tw/news/172643"><strong style="font-size: 22px;">假會議濫用Calendly平臺，駭客冒充知名品牌誘騙Google與Facebook廣告管理員帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Calendly-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Calendly-image2.png" style="width: 300px; float: right;" /></a></p> <p>最近兩年，網路釣魚攻擊手法多半以ClickFix為主，不過也有駭客利用會議安排為由，進行對手中間人攻擊（AiTM），意圖竊取Google Workspace和Facebook商業廣告管理帳號，過程裡他們假冒知名企業，並濫用名為Calendly的線上會議排程工具。</p> <p>資安業者Push Security揭露新一波高度針對性的網釣活動，攻擊者利用AiTM網釣工具包，目標是採用Google作為主要身分識別供應商（IdP）的企業，最終目的是接管用於管理數位廣告的帳號。</p> <p>在其中一起事故裡，攻擊者冒充大型奢侈品集團LVMH的人才招募與培訓部門，寄信給受害者，內容高度針對性，而且文筆流暢，不僅包含受害者的資料，寄信來源看起來像是LVMH合法員工。Push Security提到，若在網路上搜尋寄件人的名字，受害者應該就會認為是真的徵才信件，因此他們研判，攻擊者可能透過AI及網路抓取的資料，讓受害者上當。</p> <p><a href="https://www.ithome.com.tw/news/172777"><strong style="font-size: 22px;">【解讀全球資安漏洞數量暴增的現象】CVE數量創新高，突顯風險意識抬頭</strong></a></p> <p>每年公開揭露的CVE漏洞數量持續攀升，2024年已創下新紀錄達4萬個，2025年也確定再度刷新紀錄，截至11月初已超越去年總量，全年CVE數量上看4.5萬個。</p> <p>在前幾個月舉行的2025美國黑帽大會上，我們採訪趨勢科技旗下全球最大漏洞懸賞計畫ZDI的負責人Brian Gorenc，請教他對於漏洞增加狀況的看法，Brian Gorenc指出，如果仔細觀察這個現象，可以發現「漏洞研究」正快速成為備受重視的專業領域。投入尋找程式錯誤與安全弱點的研究人員，近年變得愈來愈多，再者，廠商更普遍以CVE作為揭露與溝通漏洞的共同語言，同時，近年MITRE與CVE工作小組持續推動廠商成為CNA，讓業者能自行核發CVE編號，上述兩方面的推力之下，形成每年CVE數量持續攀升的原因。</p> <p>事實上，我們在臺灣也觀察到同樣的態勢。資安院正積極擴展TWCERT/CC的任務，包括透過「台灣漏洞揭露平台（TVN）」，為研究人員通報國內廠商搭建更多橋樑，資安院在2025年下半也新啟動資安漏洞獵捕活動，促進更多臺灣廠商運用漏洞懸賞計畫，及早發現這些存在但尚未發現的潛在風險。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/gold-blade-apt-hits-canadian-firms-with-byovd-edr-killer-and-ransomware-delivered-via-fake-resumes/">駭客組織RedCurl鎖定加拿大而來，透過人力資源平臺作為入侵管道</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/high-severity-jenkins-flaws-risk-unauthenticated-dos-via-http-cli-and-xss-via-coverage-reports/">Jenkins存在高風險漏洞，未經授權攻擊者可發動跨網站指令碼攻擊、阻斷服務</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/high-severity-gitlab-xss-flaw-cve-2025-12716-risks-session-hijack-via-malicious-wiki-pages/">GitLab存在XSS漏洞，攻擊者可利用惡意Wiki網頁挾持連線階段</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/apache-struts-2-dos-flaw-cve-2025-66775-risks-server-crash-via-file-leak-in-multipart-request-processing/">Apache Struts 2存在DoS漏洞，恐導致檔案洩露與伺服器當機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-rasman-zero-day-flaw-gets-free-unofficial-patches/">Windows遠端存取連線管理員存在零時差漏洞，恐導致服務中斷</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172801"><strong>【12月12日】惡意軟體NanoRemote濫用Google Drive的API從事通訊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172761"><strong>【12月11日】React2Shell攻擊活動持續擴大，北韓駭客、挖礦軟體、殭屍網路加入行列</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172751"><strong>【12月10日】微軟、SAP等多家科技業者發布12月份例行更新</strong></a></p> </div></div></div>
2025/12/15 17:50作者周峻佑https://www.ithome.com.tw/news/172834
滿分資安漏洞React2Shell利用活動急速升溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>兩週前React開發團隊發布更新，<strong><a href="https://www.ithome.com.tw/news/172628">修補CVSS風險高達10分的React伺服器元件（RSC）漏洞CVE-2025-55182</a></strong>（React2Shell），引起資安圈高度關注，大型雲端公司、資安公司，以及研究機構隨即發現漏洞熱烈遭到利用的現象，<strong><a href="https://www.ithome.com.tw/news/172651">中國</a></strong>與<strong><a href="https://www.ithome.com.tw/news/172743">北韓</a></strong>國家級駭客、<strong><a href="https://www.ithome.com.tw/news/172683">殭屍網路</a></strong>，以及<strong><a href="https://www.ithome.com.tw/news/172756">挖礦軟體</a></strong>皆加入利用行動，如今有新的調查指出，漏洞公布一週後，威脅出現急劇升溫的現象。</p> <p>上週資安公司Cloudflare<strong><a href="https://blog.cloudflare.com/react2shell-rsc-vulnerabilities-exploitation-threat-brief/">公布分析結果</a></strong>，指出利用漏洞的攻擊者，主要鎖定特定地區或國家的網路環境，明確聚焦在臺灣、新疆維吾爾、越南、日本，以及紐西蘭，想要利用多種公開可用的工具、商用產品，企圖藉此找出具有高價值的應用程式伺服器，針對政府機關、學術研究機構，以及經營關鍵基礎設施的廠商，其中包含負責鈾、稀有金屬，以及核燃料進出口的政府單位。再者，駭客偏好針對企業採用的密碼管理工具與安全儲存庫，以及採用React為基礎開發的SSL VPN設備管理介面，藉此增加漏洞帶來的危害。</p> <p>附帶一提的是，攻擊者不光透過基本的特徵（Fingerprint）識別存在弱點的環境，還會根據SSL憑證資料，來更加精確找出攻擊目標，並安排下手的優先順序。Cloudflare提及，駭客刻意過濾中國的IP位址，顯然是避免將自己國家的基礎設施列為攻擊目標，再加上他們看到的掃描與漏洞嘗試利用行為，與多個亞洲駭客組織使用的IP位址有關，因此該公司認為，攻擊者可能是亞洲地區的駭客組織。</p> <p>針對這波攻擊行動的趨勢，Cloudflare也在React開發團隊公布漏洞數小時後，偵測到漏洞利用的跡象，從世界標準時間（UTC）12月3日凌晨至11日下午5時，一共偵測到5.82億次活動，相當於平均每個小時就有349萬次攻擊，在活動達到高峰的狀態下，1個小時內甚至達到1,272萬次攻擊，而且，平均每小時攻擊來源IP位址多達3,598個，最高曾在1小時內出現從16,585個IP位址發動的攻擊。值得留意的是，這些活動在12月10日開始出現急劇增加的情況，並在10日、11日出現兩波高峰，同時，攻擊來源的IP位址，數量也在這兩天明顯增加。</p> <p>根據攻擊者的使用者代理字串（User-Agent String），也突顯作案工具的多樣性，Cloudflare一共看到6,387種不同的字串。另一方面，攻擊者利用的有效酬載大小範圍相當廣，平均檔案大小為3.2 KB，最大的達到375 MB，不過，有75%的檔案小於818位元組（Bytes），這代表攻擊者正在進行各種有效酬載大小的測試。</p> <p>這種態勢的其中一個跡象，是美國網路安全暨基礎設施安全局（CISA）要求聯邦機構提早完成修補。他們原本於12月5日公告React2Shell已被用於實際攻擊，將其加入已遭利用的漏洞列表（KEV），當時為聯邦機構設下完成修補的期限是26日，後續疑似因不斷有資安公司和研究機構提出警告，<strong><a href="https://thehackernews.com/2025/12/react2shell-exploitation-escalates-into.html">資安媒體The Hacker News發現</a></strong>，CISA幾天後將修補期限提前至12日，這樣的情況極為罕見。</p> <p>值得留意的是，全球曝險的React應用程式伺服器數量，已出現擴大的現象。Shadowserver基金會<strong><a href="https://infosec.exchange/@shadowserver/115672050969855947">最初於12月5日警告</a></strong>，全球有77,664個IP位址存在React2Shell，後續數量陸續減少，但他們在8日調整偵測的方式之後，<strong><a href="https://infosec.exchange/@shadowserver/115690544827801847">再度提出警告</a></strong>，全球恐怕有更多應用程式伺服器曝險，該基金會偵測到超過16.5萬個IP位址、64.4萬個網域曝險，<strong><a href="https://dashboard.shadowserver.org/statistics/combined/map/?date_range=other_value&day=2025-12-08&map_type=std&source=http_vulnerable&source=http_vulnerable6&tag=cve-2025-55182%2B&data_set=count&scale=log&auto_update=on">其中10萬臺在美國占大多數，臺灣有129臺</a></strong>。</p> <p>上述曝險的數量後續出現緩慢下滑，<strong><a href="https://dashboard.shadowserver.org/statistics/combined/map/?date_range=other_value&day=2025-12-14&map_type=std&source=http_vulnerable&source=http_vulnerable6&tag=cve-2025-55182%2B&data_set=count&scale=log&auto_update=on">截至14日已減少至11.6萬臺</a></strong>，美國約有8萬臺最多，此時臺灣仍有76臺曝險。然而在此同時，漏洞利用的相關活動持續發生，IT人員仍要儘速套用更新因應。</p> </div></div></div>
2025/12/15 17:20作者周峻佑https://www.ithome.com.tw/news/172833
ChatGPT、Grok公開對話遭濫用，惡意廣告導流散布竊資程式AMOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Huntress<a href="https://www.huntress.com/blog/amos-stealer-chatgpt-grok-ai-trust">揭露</a>一起針對macOS使用者的竊資攻擊新手法，攻擊者把惡意指令包裝成清理磁碟空間的教學內容，放進ChatGPT與Grok的公開對話頁面，再透過Google搜尋結果頁面上方的付費廣告導流，誘使使用者誤信內容後複製貼上終端機指令，進而下載並執行AMOS（Atomic macOS Stealer），造成資料外洩。</p> <p>研究團隊起初將該案例視為常見的AMOS警示事件，原本預期會看到釣魚連結、木馬化安裝程式，或ClickFix這類以複製貼上指令為核心的社交工程手法，但在回溯端點與網路紀錄後，他們發現感染起點其實是使用者自行搜尋macOS磁碟清理等一般維護問題，並點入搜尋結果頁面上方導向ChatGPT或Grok對話的連結。</p> <p>在研究人員重現測試中，相近的日常查詢字串也能觀察到類似的AI對話教學，被擺在搜尋結果前段位置，顯示這並非單一個案，而是鎖定大量常見疑難排解需求的系統性投放與排序操弄。</p> <p>研究人員補充，攻擊者刻意利用可公開分享的ChatGPT或Grok對話頁面，並讓這些連結出現在Google搜尋結果頁面上方，甚至高於一般自然搜尋結果。由於連結指向chatgpt.com與grok.com等可信網域，版面也像一般AI助理對話，使用者很難只靠網址或介面察覺內容其實是攻擊者建立的惡意教學。</p> <p>至於執行指令後安裝的竊資軟體AMOS，目標則是竊取高價值資料，包括瀏覽器憑證資料庫中的已儲存密碼、Cookie與工作階段權杖，以及macOS Keychain內的應用程式密碼與Wi-Fi憑證，同時也會鎖定多種加密貨幣錢包相關資料，最後將蒐集內容打包回傳到攻擊者控制的伺服器。</p> <p>研究人員建議企業將偵測重心放在行為異常而非單一檔案特徵，例如留意腳本在背景以非典型方式要求輸入系統密碼，或透過sudo等指令串接進行權限提升，使用者目錄出現刻意隱藏的可執行檔，以及利用LaunchDaemon等系統常駐機制反覆拉起同一程序的現象。</p> </div></div></div>
2025/12/15 16:59作者李建興https://www.ithome.com.tw/news/172823
採用AMD第五代EPYC高時脈CPU，AWS推出多款執行個體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_amd_epyc_9005-based_instances-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>這幾個月以來，AWS陸續針對代號Turin的AMD第五代EPYC（9005系列）處理器，擴充更多Amazon EC2運算服務，例如，10月推出<a href="https://aws.amazon.com/blogs/aws/new-general-purpose-amazon-ec2-m8a-instances-are-now-available/">一般用途執行個體M8a</a>，11月發表的<a href="https://aws.amazon.com/tw/blogs/compute/performance-benefits-of-new-amazon-ec2-r8a-memory-optimized-instances/">記憶體最佳化執行個體R8a</a>，並預告2026年將推出<a href="https://aws.amazon.com/blogs/hpc/meet-the-advanced-computing-team-of-aws-at-sc25-in-st-louis/">高效能運算最佳化執行個體Hpc8a</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-1.jpg" style="width: 500px;" /></p> <p>到了12月全球用戶大會期間，該公司推出<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-ec2-x8aedz-instances-powered-by-5th-gen-amd-epyc-processors-for-memory-intensive-workloads/">運算最佳化執行個體C8a</a>，<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-ec2-x8aedz-instances-powered-by-5th-gen-amd-epyc-processors-for-memory-intensive-workloads/">記憶體最佳化執行個體X8aedz</a>，以及一般用途執行個體<a href="https://aws.amazon.com/about-aws/whats-new/2025/12/aws-amazon-ec2-m8azn-preview/">M8azn的預覽版</a>。而且，就目前已上市的這4款AMD EPYC 9005雲端執行個體而言，均已導入AWS第6代基礎架構加速平臺Nitro，可卸載與加速各種功能的I/O處理，提升整體系統的效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-3.jpg" style="width: 398px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS NITROV6-2025-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20NITROV6-2025-12.jpg" style="width: 260px; float: right;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-2.jpg" style="width: 398px;" /></a></p> <p>以M8a、R8a、C8a為例，搭配的處理器時脈最高為4.5 GHz，相較於上一代執行個體M7a、R7a、C7a，每顆vCPU效能領先幅度達到30％，記憶體頻寬高出45％（<a href="https://aws.amazon.com/ec2/instance-types/c8a/">C8a為33%</a>），單位成本效能提升19％。AWS強調，這兩種執行個體提供的每一顆vCPU，均對應處理器的一顆專用實體核心，而非同時多執行緒（SMT）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS-AMD NOSMT-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD%20NOSMT-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS-AMD NOSMT-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD%20NOSMT-1.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS-AMD NOSMT-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD%20NOSMT-2.jpg" style="width: 298px;" /></a></p> <p>在應用程式的效能上，若用於Apache Groovy的JVM動態語言執行環境，M8a與R8a效能比起前代執行個體，均可領先60％（<a href="https://aws.amazon.com/about-aws/whats-new/2025/12/compute-optimized-amazon-ec2-c8a-instances/">C8a是57％</a>）；而在ERP應用系統SAP當中，M8a與R8a都通過該公司的認證，M8a效能高出前代執行個體7％（462,800 SAPS vs. 429,720 SAPS），R8a效能高出前代執行個體38％（598,370 SAPS vs. 432,980 SAPS）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SAP SD-benchmark-AWS-2025-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SAP%20SD-benchmark-AWS-2025-12.jpg" style="width: 600px;" /></a></p> <p>至於最新推出的X8aedz，屬於高處理器時脈的記憶體最佳化執行個體，搭配的處理器時脈最高為5 GHz，剛推出預覽版的M8azn也採用同樣的處理器，是當前CPU運作頻率最高的雲端運算服務。</p> <p>對照上一代這類產品定位的執行個體X2iezn，X8aedz可提供高出兩倍的運算效能，<a href="https://aws.amazon.com/tw/ec2/instance-types/x8aedz/">性價比提升31％</a>。至於尚未正式推出的M8azn，AWS預告，比起上一代執行個體M5zn（採用英特爾第二代Xeon Scalable處理器），M8azn可提供兩倍的運算效能，處理器L3快取容量增加10倍，<a href="https://aws.amazon.com/ec2/instance-types/m8a/">記憶體頻寬提升至4.3倍</a>，網路吞吐量也將增至兩倍；若對比同樣採用AMD EPYC 9005處理器平臺的M8a，M8azn的效能領先幅度達24％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-4.jpg" style="width: 600px;" /></a></p> <p>關於網路連線頻寬的部分，M8a、R8a、C8a、X8aedz最高均為75 Gbps，連接雲端區塊儲存服務EBS的頻寬達到60G bps，均為前代執行個體的兩倍。</p> <p>此外，已上線的這四種運算服務，均支援執行個體<a href="https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/configure-bandwidth-weighting.html#config-bw-support">的頻寬設定功能（Instance Bandwidth Configuration，IBC）</a>，可藉此改善資料庫效能、查詢處理，以及事件記錄的速度。基本上，用戶可針對EC2執行個體，自行調整EBS與VPC之間的網路存取頻寬權重，最多可增加25％——可選擇增加VPC網路頻寬、減少EBS存取頻寬的vpc-1，或增加EBS存取頻寬、減少VPC網路頻寬的ebs-1。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EC2 SUPPORT IBC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20SUPPORT%20IBC.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">AWS Amazon EC2 M8a</span><br /> ●原廠：AWS<br /> ●建議售價：亞太地區（東京），m8a.medium隨需每小時0.07861美元<br /> ●處理器：AMD EPYC 9R45（4.5 GHz）<br /> ●記憶體：DDR5<br /> ●最大組態：<br /> m8a.48xlarge，192顆虛擬處理器、768 GiB記憶體、網路頻寬75 Gbps，搭配雲端區塊儲存服務EBS，EBS存取頻寬為60 Gbps</p> <p><span style="color:#0000FF;">AWS Amazon EC2 R8a</span><br /> ●原廠：AWS<br /> ●建議售價：美國西部地區（奧勒岡），r8a.medium隨需每小時0.07988美元<br /> ●處理器：AMD EPYC 9R45（4.5 GHz）<br /> ●記憶體：DDR5<br /> ●最大組態：<br /> r8a.48xlarge，192顆虛擬處理器、1,536 GiB記憶體、網路頻寬75 Gbps，搭配雲端區塊儲存服務EBS，EBS存取頻寬為60 Gbps</p> <p><span style="color:#0000FF;">AWS Amazon EC2 C8a</span><br /> ●原廠：AWS<br /> ●建議售價：美國西部地區（奧勒岡），c8a.medium隨需每小時0.05389美元<br /> ●處理器：AMD EPYC 9R45（4.5 GHz）<br /> ●記憶體：DDR5<br /> ●最大組態：<br /> c8a.48xlarge，192顆虛擬處理器、384 GiB記憶體、網路頻寬75 Gbps，搭配雲端區塊儲存服務EBS，EBS存取頻寬為60 Gbps</p> <p><span style="color:#0000FF;">AWS Amazon EC2 X8aedz</span><br /> ●原廠：AWS<br /> ●建議售價：亞太地區（東京），x8aedz.large隨需每小時0.83419美元<br /> ●處理器：AMD EPYC 9R05（5 GHz）<br /> ●記憶體：DDR5<br /> ●最大組態：<br /> x8aedz.24xlarge，96顆虛擬處理器、3,072 GiB記憶體、網路頻寬75 Gbps，2臺3,800 GB NVMe SSD搭配雲端區塊儲存服務EBS，EBS存取頻寬為60 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/12/15 17:04作者李宗翰https://www.ithome.com.tw/review/172803
Android惡意程式可全面接管裝置以向使用者勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國專注於行動資安的<a href="https://zimperium.com/blog/total-takeover-droidlock-hijacks-your-device" target="_blank">Zimperium上周揭露</a>一個全新的Android惡意程式DroidLock，鎖定講西班牙文的Android用戶展開攻擊。該惡意程式並未利用任何Android安全漏洞，而是透過取得無障礙服務（Accessibility）權限，最終接管受害者手機並進行勒索。</p> <p>DroidLock主要透過釣魚網站散布，誘使使用者側載APK檔案，常偽裝成系統更新或合法應用程式。使用者一旦安裝，惡意程式會先要求啟用無障礙服務，並以偽造的更新畫面來引導操作。由於無障礙服務原本就被設計用來協助身障使用者操作裝置，一經授權，便能讀取畫面內容、模擬點擊與輸入，等同於替使用者操作整支手機。</p> <p>在取得無障礙權限後，DroidLock便能代替使用者操作系統介面，協助完成其他敏感權限的授權，並進一步引導啟用裝置管理員身分。</p> <p>至此，駭客已能鎖住裝置、變更裝置PIN碼或生物辨識設定，或是執行原廠重置；DroidLock也具備勒索軟體功能，駭客可透過遠端指令於手機上顯示覆蓋全螢幕的勒索畫面，要求使用者在24小時內聯絡指定電子郵件並支付贖金，否則將會清除裝置資料。</p> <p>雖然該惡意程式不會加密檔案，但光是透過鎖機以及完全清除裝置內容的能力，就能迫使受害者支付贖金。</p> <p>研究人員公布了DroidLock可接受的所有指令，涵蓋請求裝置管理員權限、把手機螢幕變黑、發送特定通知、鎖住裝置、顯示假的系統更新畫面、啟用遠端桌面存取功能、將裝置靜音、執行原廠重置、顯示勒索覆蓋畫面、封鎖特定App、阻止裝置解鎖、喚醒螢幕、啟用相機、解除安裝特定App，以及於特定App注入行為等。</p> <p>Zimperium指出，DroidLock顯示行動惡意程式正轉向濫用Android中原本合法的無障礙服務與裝置管理員機制，在未利用系統漏洞的情況下，即可取得近乎完整的裝置控制權，突顯出高權限濫用已成為行動資安的重要威脅。</p> </div></div></div>
2025/12/15 15:17作者陳曉莉https://www.ithome.com.tw/news/172822
AI程式碼編輯器Cursor支援開發者拖拉調整UI，再由代理回寫程式碼庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Cursor開發團隊在程式碼編輯器中的瀏覽器（Cursor Browser）<a href="https://cursor.com/blog/browser-visual-editor">加入視覺化編輯器</a>，讓開發者在同一個視窗內同時看到網頁介面、相關程式碼庫與視覺化調整工具。使用者可直接在已算繪的頁面上拖拉元素、檢視元件與屬性，或以點選搭配文字描述提出修改需求，再由代理在程式碼庫中找出對應畫面的元件與相關檔案，並把修改寫回程式碼。</p> <p>視覺化編輯器的基本操作是拖拉重新排列，開發者可把已顯示的元素在DOM樹狀結構中調整位置，直接嘗試按鈕順序、區塊的排列方式，或測試不同格線配置帶來的版面差異。當視覺結果符合預期，再以提示詞要求代理套用變更，代理會尋找相關元件並把調整寫回程式碼層。</p> <p>針對常見的React式前端架構，Cursor也把元件狀態相關的屬性整理到側邊欄，方便在不同元件變體間切換與比對。由於許多元件會透過屬性控制顯示狀態，例如不同尺寸、配色或互動模式，這類呈現方式讓開發者能更快確認同一元件在多種情境下的差異，並在同一處完成調整。</p> <p>在樣式調整上，側邊欄提供滑桿、調色盤與即時取色器等視覺控制，開發者可使用既有的色彩Token與設計系統，對色彩、字體與版面進行微調。此外，視覺化編輯器也支援點選並輸入提示詞（Point and prompt）編輯方式，使用者可點選介面中的任一元素，以自然語言描述調整形狀、顏色和排序等需求，官方並提到代理可並行處理多個修改要求。</p> <p>除了視覺化編輯器，<a href="https://cursor.com/changelog/2-2">Cursor 2.2</a>也加入多項與代理工作流程相關的更新，包括除錯模式，可透過執行期紀錄協助重現問題並找出原因，計畫模式更新則支援在計畫中內嵌Mermaid圖表，並可將選定的待辦事項分配給新的代理處理，還有多代理評判（Multi-agent judging），會在多個並行代理完成後自動評估各次結果並推薦較佳解法，並附上選擇理由。</p> </div></div></div>
2025/12/15 15:26作者李建興https://www.ithome.com.tw/news/172821
【資安週報】1208~1212，React2Shell漏洞遭大規模利用，攻擊活動升溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年12月第二星期資安新聞中，上星期我們報導React2Shell出現攻擊活動，後續再有多家資安業者揭露相關態勢，指出參與利用該漏洞的攻擊者數量持續增加。從多個中國駭客組織鎖定此漏洞發動攻擊，到北韓駭客以及Mirai等殭屍網路相繼加入利用行列，突顯其威脅程度正快速升高。</p> <p>在漏洞消息方面，這一星期有多家IT、OT大廠發布每月安全更新，需要大家盡速因應，特別要留意的是，還有6項最新漏洞利用消息，由於開始出現攻擊活動，同樣需要企業與資安團隊及時評估與處理。我們整理如下：</p> <p>●Git伺服器Gogs有零時差漏洞被利用，修補程式尚未釋出。資安業者Wiz指出，7月發現有攻擊者能從網際網路存取的Gogs平臺發動攻擊，當時已通報且漏洞登記為CVE-2025-8110列管，12月10日此漏洞編號對外公開。<br /> ●微軟發布12月每月例行安全更新，修補3個零時差漏洞，包含已被用於攻擊行動的CVE-2025-62221。<br /> ●Google接連修補兩個已遭利用的Chromium零時差漏洞，分別是CVE-2025-13630、CVE-2025-14174。<br /> ●OSGeo在11月25日修補地理位置資訊伺服器GeoServer的漏洞CVE-2025-58360，加拿大網路安全中心與美國CISA均確認該漏洞已被用於實際攻擊。<br /> ●WinRAR高風險漏洞CVE-2025-6218於6月修補，如今確認開始有攻擊者利用的情形。先前已有不同資安業者分別對此示警，指出<a href="https://bi.zone/eng/expertise/blog/paper-werewolf-atakuet-rossiyu-s-ispolzovaniem-uyazvimosti-nulevogo-dnya-v-winrar/">GOFFEE</a>、<a href="https://exchange.xforce.ibmcloud.com/osint/guid:a996ddd4327b4f61a133d0d9a92a239b">APT-C-08</a>、<a href="https://thehackernews.com/2025/12/warning-winrar-vulnerability-cve-2025.html">Gamaredon</a>等駭客組織運用此漏洞來攻擊。<br /> ●還有兩個老舊漏洞被美國CISA納入KEV清單，包括D-Link路由器的CVE-2022-37055，以及Sierra Wireless AirLink ALEOS的CVE-2018-4063。</p> <p>在資安事件方面，國內有4起事故消息浮上檯面，涵蓋知名軟板廠台郡，還有炎洲與炎洲流通，由於再有同一集團相繼發生資安事故，此情況持續引起國內企業的高度關注。</p> <p>●軟式印刷電路板的上市公司台郡在12月11日發布重訊，說明發生資訊系統遭受駭客網路攻擊的資安事件。<br /> ●經營薄膜、膠帶、包材生產及房地產開發建設的炎洲，在12月8日發布重訊，說明在6日收到資訊系統遭受勒索病毒攻擊訊息。<br /> ●以包裝材料通路為核心業務的炎洲流通，與炎洲同日發布相同內容的重大訊息。<br /> ●關於非上市櫃公司，我們蒐集到一項威脅情資，是傳出勒索軟體集團Obscura聲稱指紋科技與辨識系統商星友科技（Startek Engineering Inc）列為受害者，我們週六以電子郵件聯繫，尚未得到任何回應。</p> <p>在最新威脅態勢上，我們將重點放在AI瀏覽器與AI代理的風險，近期就有4則相關消息，顯示研究人員正積極揭露這方面的潛在威脅，嘗試在問題擴大前及早示警。</p> <p>（一）有研究人員示警，當使用者透過Comet這類AI瀏覽器執行代理連接Google服務時，只要把惡意提示包裝成商業書信常用的禮貌性要求措辭，像是：「請整理我的Google Drive」，就能操控網頁AI代理刪除雲端硬碟資料，研究人員並解析為何有禮貌且結構清晰的提示反而成了問題。<br /> （二）Gemini Enterprise被揭露可被名為GeminiJack的弱點攻擊手法突破，Google已修補這項漏洞，研究人員指出這是RAG方面的系統結構性瑕疵，其危險在於：只要攻擊者發出共享Google Docs、Google Calendar邀請或Gmail郵件，就能存取企業資料並外洩。<br /> （三）研究人員揭露一類名為PromptPwnd的手法，當AI代理介接GitHub Actions或GitLab CI/CD時，可濫用AI代理竊取金鑰並改寫CI/CD流程，並強調至少已有5家Fortune 500企業受影響。<br /> （四）多款主流AI IDE與程式助理被揭露存在IDEsaster類型的弱點，研究人員Ari Marzuk指出，這是一條跨工具通用的攻擊鏈，目前已有24項漏洞取得CVE編號，AWS亦發布安全公告AWS-2025-019。</p> <p>還有一項研究揭露值得留意，有研究人員發表SOAPwn研究，指出微軟.NET Framework內建HTTP用戶端代理的設計缺陷，WSDL匯入機制可被濫用，恐引發多款企業產品的RCE與NTLM雜湊洩漏風險。</p> <p>至於資安防禦發展動向上，這一星期有多個重要進展，最受矚目的是，隨著許多應用聚焦在AI代理，OWASP首度公布AI代理的10大資安威脅，這項排名公開突顯「Agent Goal Hijack」、「工具濫用及漏洞利用」，以及「身分與特殊權限的濫用」，是最要留意的3大風險情境。</p> <p>另外我們也在此補充，近期還有其他風險排行榜有更新發布，包括：<a href="https://www.aikido.dev/blog/owasp-top-10-2025-changes-for-developers">OWASP 2025年Web應用安全十大威脅揭曉</a>，還有<a href="https://cwe.mitre.org/top25/archive/2025/2025_cwe_top25.html">MITRE公布2025年版全球最危險的25種軟體安全缺陷</a>，也就是所謂的CWE Top 25，目的是提醒開發者與軟體供應商，哪些是長期反覆出現、應在開發階段優先避免的高風險弱點。</p> <p>而在促進企業修補漏洞方面，英國國家網路安全中心（NCSC）有新作法，他們嘗試透過公開資訊與可觀察的外部行為，並與Netcraft合作寄送漏洞預警通知，希望避免企業因未主動追蹤漏洞而暴露風險的狀況，以更主動方式提醒企業留意對外系統的潛在弱點。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172708"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月8日】殭屍網路及中國駭客傳出已實際利用滿分資安漏洞React2Shell</span></strong></a></h3> <p>繼上週AWS警告多組中國駭客開始利用React滿分漏洞CVE-2025-55182（React2Shell），威脅情報業者GreyNoise、資安業者Palo Alto Networks，以及Shadowserver基金會都針對相關威脅態勢提出警告；再者，雲端服務業者Cloudflare出現服務異常，也與緩解此漏洞有關</p> <h3><a href="https://www.ithome.com.tw/news/172725"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月9日】AI開發工具與程式助理廣泛存在一系列資安漏洞，可串連形成攻擊鏈IDEsaster</span></strong></a></h3> <p>有研究人員在多款主流的AI程式助理與IDE當中，發現超過30個資安漏洞，並統稱為IDEsaster，這項發現恐影響數百萬開發人員，而受到全球高度關注</p> <h3><a href="https://www.ithome.com.tw/news/172751"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月10日】微軟、SAP等多家科技業者發布12月份例行更新</span></strong></a></h3> <p>微軟於本月的例行更新（Patch Tuesday）修補3項零時差漏洞，其中又以出現實際攻擊行動的CVE-2025-62221最受關注，此外，由近日公布AI開發工具漏洞利用鏈IDEsaster的研究人員通報的另一項漏洞CVE-2025-64671，由於也在微軟公告前就被公布，而成為另一焦點</p> <h3><a href="https://www.ithome.com.tw/news/172761"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月11日】React2Shell攻擊活動持續擴大，北韓駭客、挖礦軟體、殭屍網路加入行列</span></strong></a></h3> <p>資安業者Huntress與Sysdig提出警告，他們看到有人不斷投入利用CVE-2025-55182（React2Shell）的情況，其中有人試圖綁架Linux主機來挖礦及建置殭屍網路，也有北韓駭客用於散布惡意程式EtherRAT</p> <h3><a href="https://www.ithome.com.tw/news/172801"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月12日】惡意軟體NanoRemote濫用Google Drive的API從事通訊</span></strong></a></h3> <p>曾經濫用微軟Graph API的中國駭客近期再度出手，打造新的惡意程式NanoRemote，最大的不同之處在於，他們利用了Google Drive的API來進行C2通訊</p> <p> </p> </div></div></div>
2025/12/15 15:46作者羅正漢https://www.ithome.com.tw/news/172811
蘋果修補兩個零時差漏洞，並指出已被用於極度複雜的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>12月12日蘋果針對旗下的行動裝置、電腦、穿戴裝置，以及電視盒發布作業系統更新：<strong><a href="https://support.apple.com/125884">iOS與iPadOS 26.2</a></strong>、<strong><a href="https://support.apple.com/125886">macOS Tahoe 26.2</a></strong>、<strong><a href="https://support.apple.com/125890">watchOS 26.2</a></strong>、<strong><a href="https://support.apple.com/125891">visionOS 26.2</a></strong>，以及<strong><a href="https://support.apple.com/125889">tvOS 26.2</a></strong>，帶來一系列的功能更新，例如：改善iPhone手機網路通訊能力、強化iPad多工操作功能，以及為電腦加入Edge Light的功能。但除此之外，這次大型更新蘋果也修補許多資安漏洞，其中最值得留意的部分，是兩個已遭利用的WebKit零時差漏洞。</p> <p>這些漏洞是CVE-2025-14174與CVE-2025-43529，由蘋果與Google威脅分析團隊（TAG）通報。蘋果在資安公告指出，他們掌握兩項漏洞已在極為複雜的攻擊行動當中，鎖定執行低於26版iOS作業系統的iPhone。值得留意的是，根據<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-14174">美國國家漏洞資料庫（NVD）的說明</a></strong>，CVE-2025-14174就是<strong><a href="https://www.ithome.com.tw/news/172785">兩天前Google為Chrome修補的零時差漏洞「466192044」</a></strong>。</p> <p>對於漏洞造成的影響，蘋果指出兩個WebKit漏洞都可透過特製的惡意網頁內容觸發，CVE-2025-14174可導致記憶體中斷，CVE-2025-43529可被用於執行任意程式碼。根據Google通報的資料，我們可以了解CVE-2025-14174進一步的資訊：此為高風險層級漏洞，出現在名為ANGLE的元件，為記憶體越界存取弱點，CVSS風險評為8.8。至於CVE-2025-43529，蘋果並未透露其危險程度，不過，我們上網搜尋，發現<strong><a href="https://www.tenable.com/cve/CVE-2025-43529">弱點管理公司Tenable在資料庫登記為9.8分</a></strong>。</p> <p>除了上述的「26.2版」作業系統更新，蘋果也為macOS Sequoia及Sonoma發布<strong><a href="https://support.apple.com/125892">新版瀏覽器Safari 26.2</a></strong>，並為<strong><a href="https://support.apple.com/125885">舊版iOS及iPadOS發布18.7.3版更新</a></strong>，修補這些零時差漏洞。回顧過去，今年蘋果已修補9個零時差漏洞，前面7個分別是：<strong><a href="https://www.ithome.com.tw/news/167181">CVE-2025-24085</a></strong>、<strong><a href="https://www.ithome.com.tw/news/167302">CVE-2025-24200</a></strong>、<strong><a href="https://www.ithome.com.tw/news/167823">CVE-2025-24201</a></strong>、<strong><a href="https://www.ithome.com.tw/news/168453">CVE-2025-31200與CVE-2025-31201</a></strong>、<strong><a href="https://www.ithome.com.tw/news/170408">CVE-2025-6558</a></strong>，以及<strong><a href="https://www.ithome.com.tw/news/170738">CVE-2025-43300</a></strong>。</p> </div></div></div>
2025/12/15 10:05作者周峻佑https://www.ithome.com.tw/news/172810
西門子、洛克威爾、施耐德等4家業者12月修補ICS多項重大及高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在12月Patch Tuesday週期，西門子（Siemens）、洛克威爾自動化（Rockwell Automation）、施耐德電機（Schneider Electric）以及菲尼克斯電氣（Phoenix Contact）皆發布多項公告，修補旗下ICS與OT設備多項資安漏洞。</p> <p>西門子本次共發布14則安全性公告，其中3則被評為重大風險，主要影響Comos、Sicam T與Ruggedcom ROX等產品。在<a href="https://cert-portal.siemens.com/productcert/html/ssa-212953.html?ste_sid=81fa74fa7b0a3b9e5ee5c69919dfa89f" target="_blank">SSA-212953公告</a>中，西門子指出其工程與資產管理平臺Comos存在多項重大風險漏洞，其CVSS v3.1風險分數高達10.0分，CVSS v4.0則為9.2分。這些漏洞可能被利用執行任意程式碼，或造成服務阻斷、資料滲透與存取控制違規。西門子已針對部分產品發布修補版本，並建議用戶升級至最新版。</p> <p>此外，<a href="https://cert-portal.siemens.com/productcert/html/ssa-471761.html?ste_sid=81fa74fa7b0a3b9e5ee5c69919dfa89f" target="_blank">西門子公告Sicam T 3.0之前版本存在高風險與重大風險漏洞</a>，CVSS v3.1達9.9分，CVSS v4.0則為9.3分，涵蓋不當輸入驗證、跨站腳本（XSS）與跨站請求偽造（CSRF）問題，並涉及身分驗證與授權繞過，以及缺乏HTTPS保護等弱點。這些漏洞可能導致遠端程式碼執行、未授權存取或連線階段劫持。西門子已發布新版Sicam T，建議用戶儘速更新。</p> <p>洛克威爾自動化也在12月9日發布2則安全性公告，皆評為高風險屬性。其中，GuardLink EtherNet/IP介面432ES-IG3 Series A存在服務阻斷漏洞<a href="https://www.rockwellautomation.com/en-us/trust-center/security-advisories/advisory.SD1764.html" target="_blank">（CVE-2025-9368）</a>（CVSS v4.0為8.7分）。另一則公告指出，洛克威爾自動化FactoryTalk DataMosaix Private Cloud存在SQL注入高風險漏洞<a href="https://www.rockwellautomation.com/es-es/trust-center/security-advisories/advisory.SD1765.html" target="_blank">（CVE-2025-12807）</a>（CVSS v3.1為8.8分）。該漏洞可能讓低權限使用者透過API執行未授權的資料庫操作，進而存取或修改敏感資料。</p> <p>施耐德電機於12月初發布2則安全公告<a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-343-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-343-01.pdf" target="_blank">SEVD-2025-343-01</a>、<a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-343-02&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-343-02.pdf" target="_blank">SEVD-2025-343-02</a>，指出微軟Windows Server Update Services（WSUS）重大漏洞（CVE-2025-59287）已在實際環境中遭到利用，連帶導致採用WSUS的EcoStruxure Foxboro DCS曝險，攻擊者可能藉此發動遠端程式碼執行攻擊並取得系統層級存取權限。</p> <p>另一方面，施耐德電機也提醒，EcoStruxure Foxboro DCS仍可能受到既有的ZombieLoad漏洞影響。官方建議 OT 環境用戶依指引更新系統，並搭配網路分段與存取控管等措施，以降低對生產與製程運作的潛在衝擊。</p> <p>還有一家工控系統業者菲尼克斯電氣（Phoenix Contact），<a href="https://www.phoenixcontact.com/en-pc/service-and-support/psirt" target="_blank">也針對旗下FL SWITCH 2xxx系列交換器</a>漏洞發布修補更新，指出這款交換器存在跨站腳本、服務阻斷、認證缺失與資訊洩露等風險，德國電腦緊急應變小組<a href="https://certvde.com/de/advisories/VDE-2025-071/" target="_blank">CERT@VDE也同步揭露</a>菲尼克斯的安全修補資訊，提醒用戶留意更新與防護。</p> <p>美國網路安全與基礎設施安全局<a href="https://www.cisa.gov/news-events/alerts/2025/12/09/cisa-releases-three-industrial-control-systems-advisories" target="_blank">CISA在12月9日</a>，則另外發布3則工控系統（ICS）相關安全公告，分別涉及U-Boot啟動載入器、Festo LX Appliance，以及多款工業用CCTV攝影機漏洞，呼籲關鍵基礎設施營運單位儘速評估風險並採取防護措施。</p> <p>其中，<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-25-343-01" target="_blank">ICSA-25-343-01</a>指出U-Boot存在存取控制缺失漏洞（CVE-2025-24857），CVSS v3分數為8.4分、CVSS v4分數為8.6分，攻擊者可能藉此執行任意程式碼。CISA建議限制裝置網路曝露並加強存取控管。</p> <p><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-25-343-03" target="_blank">ICSA-25-343-03</a>則揭露多款工業用CCTV攝影機存在缺乏關鍵功能認證的問題，包括D-Link DCS-F5614-L1，追蹤漏洞為CVE-2025-13607，CVSS v3基準分數為9.4分、CVSS v4為9.3分，屬重大風險，攻擊者可在未經驗證情況下存取攝影機設定與帳號憑證。針對這項漏洞，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10462" target="_blank">D-Link已經釋出修補</a>予以解決。</p> </div></div></div>
2025/12/15 12:23作者王珮瑤https://www.ithome.com.tw/news/172805
逾1萬個Docker Hub映像檔曝露憑證與API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>研究人員發現，公開於網上的Docker Hub中的容器映像檔，內含AI模型、API金鑰及多種憑證，警告可能造成軟體供應鏈攻擊。</p> <p><a href="https://flare.io/learn/resources/docker-hub-secrets-exposed/" target="_blank">資安廠商Flare針對</a>2025年11月1日到30日上傳Docker Hub的上萬個映像檔進行分析，分析這些映像檔是否含有敏感存取資訊。他們先定義15種敏感憑證，包括軟體開發生命周期（Software Development Lifecycle，SDLC）及程式碼控制憑證（如GitHub）、雲端平臺憑證（如AWS/GCP/Microsoft Azure）、AI及模型存取、支付服務憑證等。</p> <p>他們發現10,456個內含高度及重大嚴重性的映像檔，分佈於205個命名空間（namespace）。進一步分析，研究人員辨別出101個命名空間所屬的實際公司，其中多數是中小企業，但也有一些大型企業，以及一家財星五百大企業。從產業來看，以軟體開發（28）、市場與產業（20）、AI與智能系統（15）最多，還包含一家尖端研究組織及11家金融／銀行。</p> <p>值得注意的是，在這些容器映像檔中，近42%包含5種以上憑證，像是完整存取雲端、Git程式庫、CI/CD系統、支付整合或其他核心基礎架構元件的憑證。</p> <p>分析外洩各類憑證關聯的Docker Hub帳號數量，其中最多的是和AI模型金鑰有關帳號，達191個，如Anthropic、Grok。其次是API Token，有157個。雲端類（AWS/Azure/GCP/RDS等）和存取憑證（如JWT、App Key、加密金鑰）關聯的數量各為127和103個。其他還有資料庫、CI/CD平臺（如GitHub、Docker）、通訊協同平臺（如Slack）、和第三方支付工具（如Stripe）等各數十個。</p> <p>研究人員提醒，要小心企業環境中的影子IT，因為有些外洩資訊來自個人或承包商帳號，可能意謂機密會從員工個人帳號或外包商帳號流出。此外，一旦憑證被公開（如曝露於公開Docker Hub），企業IT除了移除外洩的憑證，也要記得撤銷或輪替憑證，否則外流後可能落於駭客之手而被用於非法存取。</p> </div></div></div>
2025/12/15 11:32作者林妍溱https://www.ithome.com.tw/news/172818
PCIe完整性與資料加密處理出現漏洞，恐面臨資訊洩露、拒絕服務等資安風險，波及Intel、AMD處理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://pcisig.com/PCIeIDEStandardVulnerabilities" target="_blank">PCI-SIG（PCI Special Interest Group）上周修訂相關規格</a>，以因應周邊元件快速互連（Peripheral Component Interconnect Express，PCIe）標準中揭露的3個安全漏洞。這些漏洞皆存在於完整性與資料加密（Integrity and Data Encryption，IDE）安全機制中，可能削弱IDE與TDISP（Trusted Domain Interface Security Protocol）等原本用來隔離不同安全環境的防護效果。</p> <p>PCI-SIG是由全球主要晶片及系統廠商組成、負責制定與維護PCIe等硬體互連標準的產業規格制定組織；PCI-SIG所制定的PCIe是硬體互連標準，負責資料如何在CPU與周邊裝置之間傳輸；IDE是PCIe規格中的一個安全機制，用來保護PCIe封包的內容與完整性，當兩個PCIe元件（例如CPU與加速卡）建立連線時，若雙方都支援IDE，即會在PCIe鏈路上啟用IDE模式。</p> <p>這3個漏洞是由英特爾（Intel）的多名員工共同發現，分別是CVE-2025-9612、CVE-2025-9613與CVE-2025-9614。其中，CVE-2025-9612允許駭客在系統未察覺的情況下，打亂受IDE保護的PCIe資料封包順序，導致系統處理錯誤或過期的資料，進而使原本依賴資料順序與狀態正確性來維持的安全隔離機制出現破口。</p> <p>CVE-2025-9613屬於「完成逾時重導」漏洞，問題出在交易逾時後的狀態處理流程。在特定情況下，系統可能重複使用原本屬於另一筆交易的識別標記，導致後續回傳的資料被送往錯誤的安全環境中，使資料在不同隔離區之間錯置，進而影響資料的機密性與完整性。雖然漏洞觸發點與PCIe的完成逾時行為有關，但問題實際出在IDE對交易狀態與安全情境的管理不足，屬於IDE安全機制本身的設計缺陷。</p> <p>CVE-2025-9614則屬於「延遲寫入重導」漏洞，當裝置切換或重新綁定安全環境時，IDE未能確實清除或重新更新加密狀態，導致原本屬於前一個安全環境的寫入資料，仍可能被送進新的安全環境中，使不同受信任區域之間的資料界線模糊化。</p> <p>PCI-SIG表示，安全隔離遭到破壞可能會導致資訊外洩、權限提升或是服務阻斷攻擊。</p> <p>受影響的對象主要是已啟用PCIe IDE安全機制的伺服器與資料中心系統，特別是採用新一代PCIe5.0以上平臺、並使用IDE與TDISP來隔離不同安全環境的設備。<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01409.html" target="_blank">Intel</a>與<a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7056.html" target="_blank">AMD</a>已分別發布安全公告，確認旗下部分Xeon與EPYC伺服器處理器在啟用PCIe IDE的情境下受到影響，並建議透過韌體更新因應。</p> </div></div></div>
2025/12/15 12:02作者陳曉莉https://www.ithome.com.tw/news/172819
Google翻譯引進Gemini原生語音能力，開始測試即時語音翻譯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/products/search/gemini-capabilities-translation-upgrades/" target="_blank">Google上周五（12/12）宣布</a>，將Gemini的最新翻譯能力及原生語音能力引進Google翻譯（Google Translate），除了全面提升文字翻譯品質，也同步在Android版Google翻譯中測試可搭配所有耳機使用的即時語音翻譯功能。<a href="https://blog.google/products/gemini/gemini-audio-model-updates/" target="_blank">後者採用的是</a>Google近日更新的Gemini 2.5 Flash Native Audio模型。</p> <p>在文字翻譯上，Google翻譯開始採用由Gemini支撐的全新翻譯品質，強化對成語、俚語與語境的理解能力，避免過去逐字直譯的問題。這項升級已率先於美國與印度推出，支援英語與近20種語言互譯，涵蓋Android、iOS與網頁版。</p> <p>真正的突破則出現在語音層面。Google表示，Google翻譯正在測試的即時語音翻譯功能，採用了Gemini 2.5 Flash Native Audio的原生語音能力，可直接於聲音層面進行理解與生成，不必經過傳統的「語音轉文字、再轉回語音」流程。這讓翻譯延遲大幅降低，同時保留說話者的語氣、重音與節奏，更貼近真實人類溝通。</p> <p>語音對語音翻譯是以「聆聽為主」的即時模式運作。使用者只需在Android版Google翻譯中配戴耳機並啟用「Live Translate」功能，手機便會持續收音，將周遭的外語語音即時翻譯後，直接透過耳機播放成使用者設定的目標語言。</p> <p>目前此一耳機即時語音翻譯仍為測試版，支援連續收音與即時播放翻譯結果，適用於跨語言對話、演講聆聽與外語內容理解。有別於蘋果的即時翻譯功能只支援蘋果自家耳機AirPods，Google的語音對語音翻譯功能支援所有耳機，<a href="https://support.google.com/translate/answer/6142474?hl=en&co=GENIE.Platform%3DAndroid" target="_blank">以及超過70種語言</a>。</p> <p>測試版已於美國、墨西哥與印度的Android裝置上線，預計2026年擴展至iOS與更多地區。</p> </div></div></div>
2025/12/15 10:50作者陳曉莉https://www.ithome.com.tw/news/172816
VS Code強化代理工作流程，Chat內整合工作階段並支援背景持續執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟釋出<a href="https://code.visualstudio.com/updates/v1_107">VS Code 2025年11月更新1.107版本</a>，更新重點放在代理工作流程，新版把代理工作階段整合進Chat檢視，開發者可在同一介面查看各工作階段的狀態、進度與檔案變更統計，也能封存或取消封存工作階段，微軟說明，當使用者在VS Code開啟某個專案資料夾作為工作區時，Chat工作階段清單僅顯示與該專案相關的工作階段，要是使用者處於未開啟任何專案的空白視窗，則會顯示跨不同專案的所有工作階段。</p> <p>過去用戶只要關閉VS Code內的本機代理工作階段（Local Agent Session），執行中的代理請求就會被取消，限制了本機代理執行長時間任務或同時處理多個任務的能力，1.107改為保留工作階段，讓本機代理即使未開啟在Chat檢視或聊天編輯器中也能在背景繼續執行，使用者可從Chat內的工作階段清單隨時切回原對話追蹤進展。另因工作階段清單整合進Chat檢視，VS Code也將獨立的Agent Sessions檢視預設停用，並計畫在後續版本移除。</p> <p>VS Code新增Continue in流程，讓使用者先在本機對話中完成需求釐清或規畫後，可把既有聊天脈絡交給背景或雲端代理接手執行，交接後原工作階段會被封存。微軟也把背景代理設計成可在背景自主執行的代理，並說明其先前被稱為CLI agents。</p> <p>由於要讓背景任務更可控，1.107擴充背景代理可附加的上下文類型，包含選取內容、問題、符號與搜尋結果等，讓使用者在不需逐一指定檔案路徑的情況下交付較完整的任務描述。</p> <p>VS Code 1.107替背景代理提供以Git Worktree建立獨立工作樹的選項，讓背景代理在分離的資料夾中進行修改，待任務完成後再檢視並整併回主要工作區，用來避免多個背景代理同時改動同一套檔案而互相干擾，避免衝突發生。</p> <p>另外，新版推出Agent HQ作為代理管理入口，讓GitHub Copilot與自訂代理可在同一處被管理與協作，並延伸自訂代理的共享與重用能力，包含在GitHub組織層級提供共用代理等實驗功能。微軟表示，該版本將以分批方式向穩定版使用者推送，開發者也可在VS Code內手動檢查更新，想更早體驗的開發者可下載Insiders Nightly版試用。</p> </div></div></div>
2025/12/15 11:11作者李建興https://www.ithome.com.tw/news/172802
英特爾傳將收購AI晶片業者SambaNova
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bloomberg.com/news/articles/2025-12-12/intel-nears-1-6-billion-deal-for-ai-chip-startup-sambanova" target="_blank">彭博報導</a>，英特爾即將和AI推論晶片及平臺業者SambaNova達成16億美元的收購。</p> <p><a href="https://www.bloomberg.com/news/articles/2025-10-30/intel-in-talks-to-acquire-ai-chip-startup-sambanova" target="_blank">彭博於10月底</a>首次引述消息人士報導雙方收購消息。雙方可能已從今年10月底展開洽談。最快可能數周，但也可能因為盡職調查等進階談判事務而延遲為數月。若收購金額為真，這個金額將小於SambaNova 2021年募資，以及11月彭博報導收購金額的50億美元。</p> <p>成立於2017年的Samba核心業務為推論晶片及系統平臺。這家新創公司投資人皆大有來頭，包括英特爾的投資部門Intel Capital、軟銀、三星、SK Telecom及美光的投資部門等。路透社報導，該公司和英特爾淵源匪淺，英特爾執行長陳立武個人的投資公司Walden International也是投資人之一。此外，Samba去年5月也任命陳立武為執行董事。</p> <p>多家媒體分析，這項收購是英特爾重回AI競爭的策略性動作，可望帶進SambaNova可商用的AI加速器及整機解決方案，提振英特爾和Nvidia、AMD及其他新興業者的競爭力，特別是在企業/雲端資料中心的推論與客制加速器市場。</p> <p>英特爾和Samba皆未對此消息評論。</p> </div></div></div>
2025/12/15 11:16作者林妍溱https://www.ithome.com.tw/news/172817
微軟更新雲端漏洞獎勵政策，第三方元件影響也納入評估
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.microsoft.com/en-us/msrc/blog/2025/12/in-scope-by-default" target="_blank">微軟上周四（12/11）宣布</a>調整旗下雲端漏洞獎金計畫（Bug Bounty Program）評估方式，導入名為「In Scope by Default」的新原則。未來只要漏洞實際影響微軟的線上服務，即使漏洞源自第三方或開源元件，也將預設納入漏洞獎勵範圍。</p> <p>微軟安全回應中心（Microsoft Security Response Center，MSRC）表示，過去漏洞獎金計畫通常會事先界定明確的適用範圍，研究人員回報的漏洞必須落在指定的產品或服務清單內，才有資格獲得獎勵。然而在實際攻擊情境中，許多高風險漏洞並非直接存在於雲端服務本身，而是來自其所依賴的第三方套件、開源元件或相依服務，即便對線上服務造成實質影響，仍可能因不在既定範圍內而引發認定爭議。</p> <p>在「In Scope by Default」策略下，微軟改以「是否對線上服務造成可驗證影響」作為是否納入漏洞獎金的主要依據，而不再先行限制漏洞必須出現在微軟自家程式碼中。</p> <p>MSRC進一步說明，安全漏洞經常出現在元件互動或相依關係的邊界上，未來將採用更廣泛的安全研究視角，不僅涵蓋微軟自身的基礎架構，也包括其所依賴的第三方相依性，不論是開源元件或商用軟體。</p> <p>在實務執行上，MSRC指出，漏洞是否符合獎金資格，將以其是否對微軟線上服務造成「直接且可驗證的影響」為判斷標準，而非程式碼歸屬。即使漏洞源自第三方或開源元件，只要影響成立，微軟仍會受理回報並評估獎勵，同時協調相關單位進行修補。微軟也強調，相關回報仍須遵循既有的負責任揭露規範，以確保研究過程不影響使用者資料與服務穩定性。</p> <p>對此，<a href="https://www.linkedin.com/posts/geoffbelknap_tom-gallagher-is-cool-he-does-cool-things-activity-7404897403860058112-1lVv" target="_blank">MSRC威脅情報策略總監Sherrod DeGrippo認為</a>，此一作法反映出真實的威脅環境樣貌，攻擊者並不在乎程式碼歸屬，也不會受產品邊界限制，因此防禦方的漏洞獎勵制度亦不應自我設限，而這也是近年來協調式資安研究領域中，最重要的制度演進之一。</p> </div></div></div>
2025/12/15 09:35作者陳曉莉https://www.ithome.com.tw/news/172808
酷澎韓國辦公室遭警方搜索執行長為資料外洩公開致歉辭職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>韓國最大電商酷澎（Coupang）本月發生3,370萬人個資外洩，警方上周五搜查該公司辦公室，隔日執行長公開道歉且請辭以示負責。</p> <p>上周酷澎執行長朴大俊（Park Dae-jun）宣佈為本月初的重大個資外洩案請辭。<a href="https://www.reuters.com/world/asia-pacific/coupang-ceo-resigns-after-online-retailer-hit-by-massive-data-breach-2025-12-10/" target="_blank">他表示</a>，對於該公司資料外洩事件讓大眾失望感到抱歉，公司對事件發生及後續反應過程欠妥感到須負重大責任，因此決定辭去一切職位。</p> <p>在其下台後，酷澎母公司已任命該公司行政長和法務長Harold Rogers為臨時執行長。</p> <p>這起將近3,400萬個資外洩案佔了韓國5400萬人口的半數以上。<a href="https://www.ithome.com.tw/news/172554" target="_blank">報導指出</a>，該名內賊早在今年6月24日便企圖自酷澎的海外伺服器竊取用戶資料，酷澎一直到11月才察覺此事，原本估計受害者只有4,500人，但在與執法機構及資安公司合作調查後，發現影響超過3,300萬人。</p> <p>此波人事異動之前幾天，首爾警方搜索酷澎總公司。在兩天之內，警方分別搜索酷澎園區及總部辦公室，以蒐集與資料外洩案相關的證據，並了解客戶資訊系統是否有漏洞。<a href="https://www.koreatimes.co.kr/southkorea/law-crime/20251210/police-raid-coupang-headquarters-for-2nd-day-over-massive-data-breach" target="_blank">根據韓國時報報導</a>，警方已取得用於資料外洩的IP位址、追查兇嫌。報導引述消息人士指出，警方的搜索狀指向一名中國籍前員工涉嫌違法存取酷澎通訊網路及資訊系統，藉此外洩機密資料。</p> <p>首爾警方則表示，警方計畫根據取得的數位證據，全面追查本案完整事實，包括外洩個資的人士，以及外洩事件的整個過程及原因。</p> </div></div></div>
2025/12/15 09:10作者林妍溱https://www.ithome.com.tw/news/172807
寫入效能突破10 GB/s與100萬IOPS，群聯新款PCIe SSD上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/x201-d201-product-details-blog_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在11月下半登場的美國超級電腦大會SC25，群聯電子（Phison）<a href="https://phisonblog.com/phison-delivers-next-gen-performance-and-capacity-at-sc25/">發表新款企業級固態硬碟Pascari X201系列，以及資料中心固態硬碟Pascari D201系列</a>，共通點是採用PCIe 5.0介面，快閃記憶體均為TLC、導入321層堆疊的設計，提供每日讀寫量1與3的機型選擇，日常運作的耗電量都低於25瓦，而且，最高效能皆相同——循序讀取與寫入分別為14,500 MB/s與12,000 MB/s，隨機讀取與寫入分別為330萬IOPS與105萬IOPS，適合嚴苛、資料密集型的存取需求，能針對AI一系列作業流程與各種即時處理程序，提供持續的效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Phison X-Series-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20X-Series-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Phison D-Series-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20D-Series-1.jpg" style="width: 600px;" /></a></p> <p>關於儲存容量的部分，Pascari X201系列最大可提供30.72 TB，企業可選購X201P，每日讀寫量為1；若希望有更大的耐用度，可選購X201E，每日讀寫量為3，最大容量為25.6 TB。Pascari D201系列最大可提供15.36 TB，企業可選購D201P，每日讀寫量為1，若想有更大的耐用度，可選購D201E，每日讀寫量為3，最大容量為12.8 TB。</p> <p>而在產品的外形上，Pascari X201系列提供兩種：2.5吋U.2、厚15公釐，以及E3.S 1T，可支援大部分的伺服器與儲存系統應用。Pascari D201系列僅有E1.S厚15公釐，若用於雲端服務平臺與大型物件儲存系統或服務的環境，能以更小的裝置體型，達到更高的儲存密度配置與每瓦耗電量的儲存空間效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Phison X-Series-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20X-Series-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Phison D-Series-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20D-Series-2.jpg" style="width: 600px;" /></a></p> <p>相較於群聯先前推出的<a href="https://www.ithome.com.tw/review/162973">Pascari X200系列，包含去年5月發表X200E、X200P</a>，以及今年5月登場的<a href="https://www.phison.com/en/category/article/press-releases/phison-unveils-next-generation-ai-and-storage-innovations-at-computex-2025">X200Z</a>，11月最新發表的Pascari X201系列的效能表現，除了循序讀取的規格略低（14,500 MB/s vs. 14,800 MB/s）、隨機讀取表現打平（目前皆為330萬IOPS，Pascari X200剛推出時為300萬IOPS），其餘兩種效能皆提升（循序寫入12,000 MB/s vs. 8,700 MB/s，隨機寫入105萬IOPS vs. 95萬IOPS）。</p> <p>在儲存容量的配置上，Pascari X200系列在2.5吋U.2提供5種（X200P、X200E）或4種（X200Z），E3.S 提供4種（X200P、X200E），至於Pascari X201系列，不分外形均提供兩種選擇。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">群聯Pascari X201</span><br /> ●原廠：群聯電子<br /> ●建議售價：廠商未提供<br /> ●機型：X201E、X201P<br /> ●儲存容量：X201E提供12.8 TB、25.6 TB，X201P提供15.36 TB、30.72 TB<br /> ●外形：U.2厚15公釐、E3.S 1T<br /> ●儲存媒體：3D NAND，TLC，321層<br /> ●最高讀寫速度：循序14,500 MB/s與12,000 MB/s，隨機330萬IOPS（4K）與105萬IOPS（4K）<br /> ●使用介面：PCIe 5.0單埠（x4）或雙埠（2x2）<br /> ●耐用度：每日寫入量X201E為3，X201P為1<br /> ●耗電量：低於25瓦</p> <p><span style="color:#0000FF;">群聯Pascari D201</span><br /> ●原廠：群聯電子<br /> ●建議售價：廠商未提供<br /> ●機型：D201E、D201P<br /> ●儲存容量：D201E提供12.8 TB，D201P提供15.36 TB<br /> ●外形：E1.S厚15公釐<br /> ●儲存媒體：3D NAND，TLC，321層<br /> ●最高讀寫速度：D201E與D201P為循序14,500 MB/s與12,000 MB/s，D201E為隨機330萬IOPS（4K）與105萬IOPS（4K），D201P為隨機330萬IOPS（4K）與60萬IOPS（4K）<br /> ●使用介面：PCIe 5.0單埠（x4）<br /> ●耐用度：每日寫入量D201E為3，D201P為1<br /> ●耗電量：低於25瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/12/13 13:58作者李宗翰https://www.ithome.com.tw/review/172799
【資安日報】12月12日，惡意軟體NanoRemote濫用Google Drive的API從事通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172797"><strong style="font-size: 22px;">惡意軟體NanoRemote濫用Google Drive的API隱匿行蹤</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NanoRemote25.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/NanoRemote25.png" style="width: 300px; float: right;" /></a></p> <p>資料搜尋及分析業者Elastic旗下的資安實驗室指出，他們在今年10月透過遙測發現新的Windows後門程式NanoRemote，此惡意軟體疑似來自匿稱為Ref7707、CL-STA-0049、Earth Alux，以及Jewelbug的中國駭客組織，且與另一個該組織使用的惡意程式FinalDraft具有相似之處。而NanoRemote引起Elastic注意的地方，在於駭客濫用了Google Drive的API與受害電腦傳送資料，使得有效酬載及竊得資料可暫存在難以偵測的地方。針對檔案傳輸，NanoRemote搭載了工作管理系統，不僅能排程上傳和下載的工作，還能暫停或恢復中斷的檔案傳輸，並能產生所需的權杖（Token）。</p> <p>針對Ref7707散布NanoRemote的攻擊流程，主要的工具包含惡意程式載入工具WMLoader與NanoRemote，但究竟他們如何入侵受害電腦，Elastic沒有說明。</p> <p>駭客將WMLoader偽裝成Bitdefender防毒軟體的元件BDReinit.exe，並搭配無效的數位簽章來掩人耳目。一旦執行，WMLoader就會呼叫大量的Windows功能，目的是準備處理特定檔案嵌入的Shell Code。此Shell Code會在存放WMLoader的資料夾當中，尋找特定檔案，然後使用16個位元組的ASCII金鑰，透過AES-CBC演算法解密NanoRemote，並於記憶體內執行。Elastic提及，駭客除了將WMLoader偽裝成Bitdefender防毒軟體的元件，也有偽裝成趨勢科技檔案的情形。</p> <p><a href="https://www.ithome.com.tw/news/172785"><strong style="font-size: 22px;">Google修補Chrome今年第8個零時差漏洞</strong></a></p> <p>12月10日Google針對電腦與安卓裝置用戶，發布143.0.7499.109與143.0.7499.110版Chrome，總共修補3項資安漏洞，其中，於Chromium專案登記編號為466192044的高風險漏洞，該公司表示，他們已掌握在實際環境有嘗試利用的情況，此為今年Chrome第8個零時差漏洞。</p> <p>罕見的是，這項漏洞Google僅透露為高風險層級，至於其他的資訊，像是CVE編號、漏洞的類型、受影響的元件，以及通報者的身分，他們並未透露，僅表示目前正在協調處理當中。</p> <p>有資安新聞網站根據466192044於Chromium專案透露的內容，對此漏洞進行推測。Bleeping Computer指出，此漏洞疑似出現在Google開源程式庫LibANGLE，此為轉換OpenGL ES圖形呼叫，並傳送到其他API，而能讓圖形API執行效率更佳，或是讓OpenGL ES應用程式能在非原生支援的系統運作。</p> <p><a href="https://www.ithome.com.tw/news/172793"><strong style="font-size: 22px;">駭客利用Gogs零時差漏洞入侵逾700臺伺服器</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1765291896-image3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1765291896-image3.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Wiz於今年7月發現，有人針對能從網際網路存取的Gogs平臺發動攻擊，駭客利用未知的漏洞達到目的。Wiz將漏洞通報給開發團隊並得到承認，登記為CVE-2025-8110列管。值得留意的是，由於目前Gogs開發工程團隊尚未提供修補程式，且攻擊活動仍在持續，Wiz呼籲，IT人員應限制Gogs伺服器的網路存取管道，若無需開放用戶自行線上註冊帳號，就應該立即停用相關功能。再者，IT人員也要清查Gogs主機，是否出現8個字元隨機名稱的儲存庫，或是API出現非預期使用的現象。</p> <p>究竟攻擊者如何利用漏洞？他們事先得到能建立儲存庫的使用者權限，接著建立一個標準儲存庫，然後提交指向敏感目標的符號連結，接著，他們透過名為PutContents的API，在符號連結寫入資料，由於系統根據符號連結覆寫儲存庫外部的特定檔案，使得他們能夠執行任何命令。</p> <p>針對這起事故的影響範圍，Wiz表示他們透過物聯網搜尋引擎Shodan，一共找到1,487臺曝露在網際網路上的Gogs伺服器，其中有超過700臺遭到入侵。所有遭到攻擊的伺服器都出現相同特徵：它們幾乎都在相近的時間當中，被建立以8個隨機字元命名的使用者或是儲存庫，這代表攻擊者很可能是同一個駭客組織，或是由使用相同工具的多名駭客所為。</p> <p><a href="https://www.ithome.com.tw/news/172800"><strong style="font-size: 22px;">新型態手法ConsentFix結合OAuth同意網路釣魚，透過Azure CLI騙取微軟帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ConsentFix_683.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ConsentFix_683.png" style="width: 300px; float: right;" /></a></p> <p>要求使用者依照指示操作，將惡意指令複製、貼上，然後執行的網釣手法ClickFix，是目前最為氾濫的社交工程攻擊型態，這種手法後續又出現變形，其中包含操作流程都在瀏覽器進行的FileFix，以及結合假系統更新螢幕覆蓋手法的JackFix，如今有結合OAuth身分驗證流程的新型態手法。</p> <p>經營瀏覽器防護的資安公司Push Security，揭露名為ConsentFix的攻擊手法，它結合了OAuth同意網路釣魚與ClickFix，從而挾持受害者的微軟帳號。這種基於瀏覽器的新型態攻擊手法，攻擊者會誘騙使用者進行簡單的複製貼上，就有機會接管使用者的帳號。更可怕的是，假如使用者已經在瀏覽器登入特定OAuth應用程式，攻擊者就能在無須取得憑證，或是通過多因素驗證（MFA）的情況下得逞，換言之，攻擊者有可能以此繞過通行金鑰（Passkey）等防護措施。</p> <p>值得留意的是，這種手法已出現實際攻擊。Push Security觀察到駭客濫用Azure CLI的OAuth應用程式，藉由產生特定的OAuth授權碼，引誘受害者登入Azure CLI，並將URL貼上攻擊者控制的網頁。這麼一來，就會在受害者的微軟帳號與攻擊者的Azure CLI實體（instance）之間，建立OAuth連線。</p> <p><a href="https://www.ithome.com.tw/news/172770"><strong style="font-size: 22px;">.NET Framework的HTTP用戶端代理設計缺陷，結合WSDL匯入可構成RCE攻擊鏈</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SOAPwn-23.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SOAPwn-23.png" style="width: 300px; float: right;" /></a></p> <p>WatchTowr Labs資安研究人員公開SOAPwn研究，揭露.NET Framework內建HTTP用戶端代理HttpWebClientProtocol，以及其衍生的SoapHttpClientProtocol，存在設計缺陷，微軟多次將相關回報標記為不修補，但實際測試證實，攻擊者可結合Web服務描述語言（Web Services Description Language，WSDL）匯入機制，在多款企業級產品上建構可重複利用的遠端程式碼執行攻擊鏈，部分產品情境甚至在無需額外使用者操作的情況下即可觸發。</p> <p>研究人員指出，這類簡單物件存取協定（SOAP）用戶端代理，名義上用於透過HTTP存取XML Web服務，但實作上會根據網址前綴自動選擇不同通訊元件。也就是說，只要攻擊者有辦法更動代理的URL設定，就能把原本指向HTTP服務的網址，改成指向本機檔案路徑或SMB分享路徑。因此原本要當成SOAP請求送出去的內容，反而可能被寫進伺服器檔案系統，或被送到攻擊者控制的檔案分享點，前者帶來任意位置寫入檔案的風險，後者則造成NTLM雜湊外洩。</p> <p>在已公開的案例中，研究人員在Barracuda Service Center RMM與Ivanti Endpoint Manager等產品中驗證完整攻擊流程，前者漏洞編號CVE-2025-34392，並以2025.1.1熱修補更新處理，後者則對應CVE-2025-13659。研究人員並指出，Umbraco 8 CMS、Microsoft PowerShell，以及SQL Server Integration Services，也存在可利用情境，代表這並非單一實作疏失，而是.NET SOAP HTTP用戶端代理的設計，在實務使用下衍生的系統性問題。</p> <p><a href="https://www.ithome.com.tw/news/172790"><strong style="font-size: 22px;">React伺服器元件追補安全更新，修正DoS與原始碼洩露漏洞</strong></a></p> <p>研究人員在檢視上周React伺服器元件（Server Components）關鍵漏洞CVE-2025-55182的修補是否可能被繞過時，又揭露3項新弱點，包含2個DoS漏洞CVE-2025-55184與CVE-2025-67779，以及1個原始碼曝露漏洞CVE-2025-55183。React團隊表示，新漏洞不涉及遠端程式碼執行，上周用於緩解React2Shell的修補仍可阻擋遠端程式碼執行型攻擊，但先前釋出的修補不完整，已升級的使用者仍需再升級到更新的修補版本。</p> <p>受影響套件為react-server-dom-webpack、react-server-dom-parcel與react-server-dom-turbopack，版本涵蓋19.0.0至19.2.2。React也提醒，要是為了因應上周漏洞已升級到19.0.2、19.1.3，或19.2.2，這些版本的修補不完整仍可能面臨風險，建議再更新至19.0.3、19.1.4，或19.2.3等版本。</p> <p>React也再次界定受影響範圍，要是React程式碼不在伺服器端執行，或未使用支援React Server Components的框架、打包工具，或外掛，則不受影響，官方點名Next.js、React Router等生態系專案可能因相依關係而被波及，並表示已與部分託管服務供應商合作部署暫時性緩解措施。React開發團隊強調，不應長期依賴暫時性措施，開發者仍需儘速升級至已修補版本。</p> <p><a href="https://www.ithome.com.tw/news/172759"><strong style="font-size: 22px;">Adobe發布12月安全更新，ColdFusion藏多個重大漏洞應優先處理</strong></a></p> <p>Adobe在12月例行安全更新中，一共修補139個資安漏洞，涵蓋ColdFusion、Adobe Experience Manager（AEM）、Acrobat/Reader、Adobe DNG SDK與Creative Cloud Desktop等產品線。</p> <p>其中，ColdFusion本次修補12項安全漏洞最值得留意，被評為重大等級的漏洞多達8項，包括：允許上傳危險檔案類型的CVE-2025-61808（CVSS風險分數9.1）；輸入驗證不當、可能繞過安全機制的CVE-2025-61809（CVSS 9.1）；以及可導致任意程式碼執行的CVE-2025-61830（CVSS 8.4）、CVE-2025-61810（CVSS 8.2）。另有多個重大或重要等級的XXE與權限控管相關弱點，最嚴重可能導致任意檔案讀取、寫入或權限提升。基於上述風險，ColdFusion更新被Adobe列為最高部署優先順序1。</p> <p>這波修補有117個漏洞都集中於Adobe Experience Manager（AEM），其中包含2項重大等級跨網站指令碼（XSS）漏洞CVE-2025-64537與CVE-2025-64539，CVSS風險分數皆為9.3；其他則為高風險等級的XSS弱點，CVSS風險分數皆為5.4，成功利用後可能導致任意程式碼執行或權限提升。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=140008&SPOKE_DATE=20251211&COMPANY_ID=6269"><strong style="font-size: 22px;">電子零組件供應商台郡資訊系統遭網路攻擊</strong></a></p> <p>12月11日以製造與研發軟性印刷電路板（FPC）及相關銅箔基板的上市公司台郡，於股市公開觀測站發布資安重訊，指出有資訊系統遭遇網路攻擊，根據初步的處理與調查，無個資、機密資料，或是重要文件資料外洩的情形發生，對公司營運無重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-gladinet-centrestack-cryptographic-flaw-in-rce-attacks/">Gladinet CentreStack加密演算法實作存在零時差漏洞，至少有9家企業組織遭到攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-vscode-marketplace-extensions-hid-trojan-in-fake-png-file/">惡意VS Code延伸套件上架微軟市集，利用假PNG圖片藏匿木馬</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/cisa-flags-actively-exploited-geoserver.html">地理位置資訊伺服器GeoServer存在XXE高風險漏洞，CISA警告已被用於實際攻擊</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/three-pcie-encryption-weaknesses-expose.html">PCIe協定存在弱點，恐面臨資訊洩露、拒絕服務等資安風險</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/notepad-plus-plus-fixes-flaw-that-let-attackers-push-malicious-update-files/">Notepad++發布更新，修補傳出已遭利用的更新元件漏洞</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172761"><strong>【12月11日】React2Shell攻擊活動持續擴大，北韓駭客、挖礦軟體、殭屍網路加入行列</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172751"><strong>【12月10日】微軟、SAP等多家科技業者發布12月份例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172725"><strong>【12月9日】AI開發工具與程式助理廣泛存在一系列資安漏洞，可串連形成攻擊鏈IDEsaster</strong></a></p> </div></div></div>
2025/12/12 17:55作者周峻佑https://www.ithome.com.tw/news/172801
Google升級研究代理Gemini Deep Research，著重網站深度查詢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google DeepMind<a href="https://blog.google/technology/developers/deep-research-agent-gemini-api/">更新Gemini Deep Research研究代理</a>，並向開發者開放Interactions API，讓第三方應用可把長時間的資訊蒐集與彙整流程嵌入自家產品。官方也提到，該代理程式可在報告中提供引用來源，並支援結構化輸出，方便後續系統接手處理研究結果。同時，Google開源名為DeepSearchQA的新基準測試，用來衡量研究型代理在多步網際網路查詢任務上的完整度。</p> <p>Gemini Deep Research針對長時間脈絡蒐集與彙整而設計的代理程式，模型採用Gemini 3 Pro，會反覆規畫研究步驟，包含提出查詢、閱讀結果、辨識資訊缺口，再進一步搜尋補齊缺口。本次釋出主打大幅強化網頁搜尋能力，強調能更深入網站內頁尋找特定資料。</p> <p>Google用Humanity’s Last Exam、DeepSearchQA與BrowseComp評估Gemini Deep Research，並稱在HLE與DeepSearchQA達到最佳水準，同時在BrowseComp則是自家目前最佳表現。Humanity’s Last Exam屬於跨領域的高難度題庫，常被用來檢驗模型在綜合性理解與推理上的上限，而BrowseComp著重在網頁逐步查詢與驗證能力，反映代理在實際瀏覽情境中能否找到關鍵資料，DeepSearchQA則聚焦多步研究流程，強調查詢完整而不只是回答正確，更接近研究型代理面對真實問題時需要反覆查詢、補充資料與彙整的工作型態。</p> <p>依官方公布資訊，Gemini Deep Research在HLE達46.4%，在DeepSearchQA達66.1%，在BrowseComp為59.2%。其中，DeepSearchQA由900道因果鏈任務構成，涵蓋17個領域，題目設計要求代理不只回答單一事實，而是產出更完整的答案集合，用來檢驗搜尋召回與研究完整性。Google指出，現有多數基準仍偏向單點問答，較難反映真實研究工作常見的多步推理與反覆查證，因此希望以DeepSearchQA補足評估面向，作為後續研究與產品改進的參考。</p> <p>Google表示Gemini Deep Research將陸續導入Google Search、NotebookLM、Google Finance，並升級Gemini App。Interactions API則提供開發者在同一套API下，呼叫Gemini模型與內建代理的能力，目前以預覽形式在Google AI Studio提供。</p> </div></div></div>
2025/12/12 18:45作者李建興https://www.ithome.com.tw/news/172798
新型態手法ConsentFix結合OAuth同意網路釣魚，透過Azure CLI騙取微軟帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>要求使用者依照指示操作，將惡意指令複製、貼上，然後執行的網釣手法ClickFix，是目前最為氾濫的社交工程攻擊型態，這種手法後續又出現變形，其中包含操作流程都在瀏覽器進行的FileFix，以及<strong><a href="https://www.ithome.com.tw/news/172511">結合假系統更新螢幕覆蓋手法的JackFix</a></strong>，如今有結合OAuth身分驗證流程的新型態手法。</p> <p>經營瀏覽器防護的資安公司Push Security，<strong><a href="https://pushsecurity.com/blog/consentfix">揭露名為ConsentFix的攻擊手法</a></strong>，它結合了OAuth同意網路釣魚與ClickFix，從而挾持受害者的微軟帳號。這種基於瀏覽器的新型態攻擊手法，攻擊者會誘騙使用者進行簡單的複製貼上，就有機會接管使用者的帳號。更可怕的是，假如使用者已經在瀏覽器登入特定OAuth應用程式，攻擊者就能在無須取得憑證，或是通過多因素驗證（MFA）的情況下得逞，換言之，攻擊者有可能以此繞過通行金鑰（Passkey）等防護措施。</p> <p>值得留意的是，這種手法已出現實際攻擊。Push Security觀察到駭客濫用Azure CLI的OAuth應用程式，藉由產生特定的OAuth授權碼，引誘受害者登入Azure CLI，並將URL貼上攻擊者控制的網頁。這麼一來，就會在受害者的微軟帳號與攻擊者的Azure CLI實體（instance）之間，建立OAuth連線。</p> <p>具體來說攻擊如何發生？受害者都是透過Google搜尋，存取被滲透或是惡意的網頁，而大部分受害者存取的網站，都是合法且具備高聲譽，容易被搜尋引擎找到。駭客在攻陷的網站當中，注入仿冒Cloudflare Turnstile的人機辨認頁面，並要求使用者必須輸入電子郵件信箱才能進行驗證流程。此舉目的在防止資安機器人與研究人員進行分析，若非駭客鎖定的目標，使用者輸入電子郵件信箱後，會被帶回原本的網站。</p> <p>一旦受害者輸入資料並按下驗證，網頁就會顯示下個階段的驗證流程，要求他們登入自己的微軟帳號，完成後複製URL並在特定欄位貼上。若是受害者依照指示並點選網頁上的登入按鈕，他們就會被導向合法的微軟登入網頁並進行驗證，成功登入後，受害者被導向localhost，此處會產生與用戶微軟帳號有關的URL。假如受害者將這些資料貼上圖靈驗證網頁，就會透過Azure CLI把自己的微軟帳號授權給攻擊者。</p> <p>Push Security指出，ConsentFix是ClickFix與同意網路釣魚的進化，危險程度更上一層樓，使得一般的資安工具難以偵測與攔截。原因是攻擊流程完全在瀏覽器進行，不會像原本的ClickFix會在本機執行命令，再加上攻擊者濫用的Azure CLI是所謂的第一方（微軟平臺本身的）應用程式，通常具備預設信任、擁有特殊權限，以及無法封鎖或刪除等特質，系統也不會套用針對第三方應用程式的資安管制。因此Push Security認為，攻擊者未來可能濫用其他雲端生態系統，進行ConsentFix活動，甚至進一步與其他的即服務（as-a-Service）整合，擴大攻擊造成的危害。</p> </div></div></div>
2025/12/12 17:42作者周峻佑https://www.ithome.com.tw/news/172800
駭客利用Gogs零時差漏洞入侵逾700臺伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在用來管理檔案與程式碼的Git分散式版本控制系統當中，最常見的是GitHub與GitLab，不過，對於想要自行建置Git服務的企業組織而言，標榜部署容易且所需資源極低的Gogs，也相當受到歡迎，如今傳出有人針對這類平臺下手，利用零時差漏洞從事活動。</p> <p>資安業者Wiz於今年7月發現，<strong><a href="https://www.wiz.io/blog/wiz-research-gogs-cve-2025-8110-rce-exploit">有人針對能從網際網路存取的Gogs平臺發動攻擊</a></strong>，駭客利用未知的漏洞達到目的。Wiz將漏洞通報給開發團隊並得到承認，登記為<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-8110">CVE-2025-8110</a></strong>列管。值得留意的是，由於目前Gogs開發工程團隊尚未提供修補程式，且攻擊活動仍在持續，Wiz呼籲，IT人員應限制Gogs伺服器的網路存取管道，若無需開放用戶自行線上註冊帳號，就應該立即停用相關功能。再者，IT人員也要清查Gogs主機，是否出現8個字元隨機名稱的儲存庫，或是API出現非預期使用的現象。</p> <p>CVE-2025-8110出現在Gogs的PutContents API，原因是對於符號連結（symbolic link）不當處理引起，攻擊者一旦成功利用，就能在本機執行任意程式碼，4.0版CVSS風險為8.7分。Wiz提及，此漏洞源自另一個路徑遍歷漏洞CVE-2024-55947的變形，由於Gogs維護團隊在修補的過程並未考慮符號連結，API在寫入檔案路徑時，不會檢查是否實際指向儲存庫外部的符號連結，而讓攻擊者有機會突破修補程式的路徑驗證機制，並加以利用。</p> <p>究竟攻擊者如何利用漏洞？他們事先得到能建立儲存庫的使用者權限，接著建立一個標準儲存庫，然後提交指向敏感目標的符號連結，接著，他們透過名為PutContents的API，在符號連結寫入資料，由於系統根據符號連結覆寫儲存庫外部的特定檔案，使得他們能夠執行任何命令。</p> <p>針對這起事故的影響範圍，Wiz表示他們透過物聯網搜尋引擎Shodan，一共找到1,487臺曝露在網際網路上的Gogs伺服器，其中有超過700臺遭到入侵。所有遭到攻擊的伺服器都出現相同特徵：它們幾乎都在相近的時間當中，被建立以8個隨機字元命名的使用者或是儲存庫，這代表攻擊者很可能是同一個駭客組織，或是由使用相同工具的多名駭客所為。</p> <p>後續Wiz找到駭客使用的惡意軟體，此平臺是用C2框架Supershell打造而成。此框架主要的功能，是建立反向SSH Shell來進行網路通訊，使得攻擊者能對受害系統遠端控制，或是執行任意程式碼。駭客利用此框架已有前例，例如，去年4月<strong><a href="https://www.ithome.com.tw/news/168892">中國駭客Chaya_004鎖定製造業而來</a></strong>，掃描SAP NetWeaver滿分漏洞CVE-2025-31324並試圖利用，成功後於受害環境植入Supershell；<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/initial-access-brokers-exploit-f5-screenconnect">中國駭客UNC5174</a></strong>曾試圖利用F5 BIG-IP已知漏洞CVE-2023-46747，或是ScreenConnect漏洞CVE-2024-1709，然後於受害組織部署Supershell。</p> </div></div></div>
2025/12/12 15:00作者周峻佑https://www.ithome.com.tw/news/172793
國研院國網中心正式啟用位於南科的國網雲端算力中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>政府加速推動AI新十大建設已有初步成果，國科會主導下，位於臺南南部科學園區的國網雲端算力中心在今天(12/12)正式啟用，未來將結合2029年建置完成的沙崙智慧創新算力中心，成為我國AI 訓練、氣候模擬、生命科學、半導體研發等高階科研應用的國家算力基地。</p> <p>出席今天啟用儀式的總統賴清德表示，臺灣不能永遠依靠國外廠商來訂定系統規格，政府要鼓勵國內廠商發展我們自己的算力系統架構，從積體電路晶片、超級電腦內部網路設計，結合臺廠的運算、儲存設備、通訊網路交換器等等，以及我國矽光子技術，搭配全光網路連結臺灣的資料中心。</p> <p>這座雲端算力中心是「大南方新矽」及「AI新十大建設」方案的一部分成果，強調提供我國先進的AI共用算力，雲端算力中心具備15MW的電量，並強調採用國際商用電信中心規設設計，具備耐震、節能、備援設計。</p> <p>國科會主委吳誠文指出，國網雲端算力中心的正式啟用，不僅作為支撐我國科學研究與產業應用，也具備未來部署量子電腦的戰略潛能。</p> <p>按照國科會的規畫，預計在2028年建置我國第一部整合高效能運算環境的量子電腦，以支援我國相關的量子應用技術發展。</p> <p>另外，在中華電信協助下也引進日本NTT的全光網路技術，降低能源消耗及提高資料傳輸速度，並以高速光纖網路連結南科、各大專院校、海纜登陸站。</p> <p>這座雲端算力中心，以及預計在2029年建置完成具有120MW電量的沙崙智慧創新算力中心，將作為我國中長期大型算力的基地，國研院預期未來兩座中心建置完成，可望將算力擴充至23MW。</p> <p>國網中心主任張朝亮表示，這兩座國家級的算力設施，將會支援生成式AI訓練、氣候模擬、生命科學、半導體研發等科研應用，新的算力中心將有充足電力與空間資源，可供國內外業者進駐自建算力系統，並通過公私協力，共同讓南部從製造向智慧科技重鎮。未來也會持續結合高速骨幹光纖網路，打造具備自主韌性、國際競爭力的國家級算力基地。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-12%20%E4%B8%8B%E5%8D%882_52_43(1).jpeg" style="width: 600px; height: 333px;" /></p> <p>新啟用的國網雲端算力中心，基地面積約5,905平方公尺，採用耐震設計，可耐6級規模地震，為4、5層樓建築，其內部可容納700櫃(42U到48U)，設計電力總容量達15MW。</p> <p>南科的雲端算力中心已部署我國新一代超級電腦「晶創26」，該超級電腦分為採用兩種算力架構，由220臺HGX Nvidia H200節點組成的Nano4系統(1,760片GPU)，以及由2櫃GB200 NVL72架構組成的運算節點(含144片GPU)，採直接液冷，PUE為1.18，並具備25PB儲存容量。</p> <p>其中H200組成的Nano4系統，於今年11月全球500大超級電腦，以81.55 PFlops拿下第29名，為目前我國算力最大的超級電腦。</p> <p>規畫在2029年建置完成的沙侖智慧創新算力中心，其基地規畫在沙侖的人工智慧產業專區，基地面積為 3,087平方公尺，約0.3公頃。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-12%20%E4%B8%8B%E5%8D%882_55_33(1).jpeg" style="width: 600px; height: 328px;" /></p> <p>另外，為了促成國內公私部門協力，今天也正式成立臺灣算力聯盟，在國網中心籌組之下，已有氣象署、AMD、友崴超算、鴻海、Nvidia等政府單位及民間業者加入，結合公部門及私部門的算力資源，策略聯盟主要聚焦4大方向，包括算力協調與媒合、機房與基礎資源合作、人才培育、開源軟體推廣。</p> </div></div></div>
2025/12/12 15:42作者蘇文彬https://www.ithome.com.tw/news/172794
xAI與薩爾瓦多合作，將把Grok部署至逾5,000所公立學校
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由馬斯克（Elon Musk）創辦的<a href="https://x.ai/news/el-salvador-partnership" target="_blank">AI新創xAI周四（12/11）宣布</a>，已與薩爾瓦多達成合作，將在未來2年內，於超過5,000所公立學校部署Grok，替逾100萬名學生提供個人化學習體驗，宣稱是全球首個全國級AI教育計畫。</p> <p>根據雙方的協議，該計畫將打造具備適應性、與課綱對齊的AI輔導系統，可依每名學生的學習進度、偏好與掌握程度動態調整，確保不管是城市或偏鄉的學子，都能獲得符合其需求的世界級教育。</p> <p>而藉由與薩爾瓦多共同開發該系統，xAI也將產出新的方法論、資料集及框架，發展出一套可供其它國家或學校參考的AI教育使用框架，強調安全、符合在地情境，以及以學生為中心。</p> <p>位於中美洲的薩爾瓦多人口約650萬，現任總統Nayib Bukele以強硬治安政策著稱，同時積極推動科技及數位政策，是全球第一個<a href="https://www.ithome.com.tw/news/146598" target="_blank">將比特幣列為法定貨幣的國家</a>。Bukele說，薩爾瓦多證明了國家可以透過大膽的政策與戰略視野，直接躍升至世界頂端，由xAI作為前沿模型的領導者，並以薩爾瓦多作為創新試驗場，可望替全人類帶來非凡的成果。</p> <p>Musk則說，xAI正藉由此一合作，將最先進的AI直接交到下一代的手上，薩爾瓦多不是在等待教育的未來，而是與xAI一起打造它。</p> <p>其實xAI並非第一家將AI聊天機器人引入公立學校的公司。OpenAI已於今年2月<a href="https://openai.com/index/estonia-schools-and-chatgpt/" target="_blank">宣布與愛沙尼亞合作</a>，為當地中學體系的所有學生與教師，提供客製化ChatGPT Edu。</p> </div></div></div>
2025/12/12 16:02作者陳曉莉https://www.ithome.com.tw/news/172796
生成式AI迎合與妄想式回應風險升溫，美國多州檢察長要求第三方稽核與事故通報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國多州檢察長<a href="https://www.iowaattorneygeneral.gov/media/cms/12_68B5C629180F6.pdf">發函</a>Anthropic、Apple、Google、Meta、Microsoft、OpenAI與xAI等13家生成式AI與聊天機器人業者，指稱產品出現迎合（Sycophantic）與妄想式（Delusional）輸出的風險正在擴大，可能波及公共安全與兒少保護，並要求業者在2026年1月16日前回覆，確認是否承諾導入獨立第三方稽核、事故公開紀錄與通報等機制，並強化整體安全治理。</p> <p>信件將迎合界定為模型為追求使用者認同而偏離真實與客觀，甚至在使用者處於焦慮、憤怒或危險念頭時，以過度同意或鼓動方式回應。妄想輸出則涵蓋虛假或可能誤導使用者的內容，以及把系統擬人化，暗示自己為類人存在的回覆。他們認為，這類輸出可能構成暗黑設計手法（Dark Patterns），例如以擬人化或操弄互動來提高黏著度，進而削弱使用者自主判斷，並在心理健康、暴力與自傷等情境放大傷害。</p> <p>信中引用多起媒體報導與法院文件，稱近期已有死亡、自殺、暴力事件與精神症狀惡化等案例，被外界指與聊天機器人的回應互動有關。更讓檢察長團隊在意的是，家長與倡議組織公開的對話截圖顯示，部分兒少註冊帳號可能接觸到性引誘、要求保密、鼓勵自殘或暴力，甚至指示停止既有處方心理健康用藥並教導如何對家長隱瞞等內容。</p> <p>檢察長提醒各州消費者保護與兒童線上隱私等規範，要求業者揭露風險、避免缺陷產品行銷、不得從事不公平或具欺瞞性的做法，並提到部分州刑事法可能涵蓋教唆犯罪、引導自殺或誘導未成年人等情節，另點名無照提供心理健康建議的合規風險。</p> <p>信中要求業者在產品對外提供前進行合理的安全測試，建立針對迎合與妄想式輸出的政策、程序與人員訓練，並在輸入介面同一畫面提供清楚且常駐的風險警示。同時，要求業者接受獨立第三方稽核與兒少安全影響評估，建立公開事故紀錄與回應時程，並在偵測到高風險輸出時加速修正與告知使用者，信中也點出基於人類回饋的強化學習（RLHF）要是過度依賴短期回饋，可能把討好放大為模型行為，要求業者釐清營收最佳化與安全決策的界線，指定具名高層承擔輸出安全責任。</p> </div></div></div>
2025/12/12 16:13作者李建興https://www.ithome.com.tw/news/172795
儲域網路進入128G FC時代，博科第8代產品結合AI與量子安全
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/brocade_gen_8_fibre_channel_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在儲域網路（SAN）的應用上，光纖通道（FC）網路的技術長期扮演著重要角色，<a href="https://www.broadcom.com/company/news/product-releases/53756">2020年</a>博科（Brocade）發表首批支援64 Gb FC的<a href="https://www.ithome.com.tw/tags/brocade-gen7">第7代交換器設備</a>，機型包括採用模組化機箱的<a href="https://www.ithome.com.tw/review/158745">X7 Director系列</a>，以及配置固定網路埠機箱的G720。</p> <p>該公司後續發表<a href="https://www.ithome.com.tw/review/149460">G730</a>、<a href="https://www.ithome.com.tw/review/167261">G710</a>，今年11月正式宣布推出首批支援128 Gb FC的第8代交換器設備，機型包括採用模組化機箱的X8 Director系列，以及機箱配置固定網路埠的G820，而且，這些機型即日起已開始供應市場使用。而在12月中舉行的NetApp Insight Xtra大會臺北場，博科也首度向臺灣市場介紹Brocade Gen 8 Fibre Channel。</p> <p>就產品定位與硬體規格而言，X8 Director系列與上一代的X7 Director系列一樣，可用於建構核心、大型且兼具擴充性的儲域網路，都提供搭配模組化機箱的兩款機型。</p> <p>其中的X8-8，機箱為14U尺寸，可容納14臺FC網路埠模組，另一款X8-4，機箱為9U尺寸，可容納10臺FC網路埠模組。</p> <p>而且，FC網路埠模組只有<a href="https://techdocs.broadcom.com/us/en/fibre-channel-networking/directors/x8-8-director/1-0/port-blades-x8/fc128-48-port-blade-overview.html">FC128-48 Port Blade</a>一種可選，內建48個SFP+接頭的網路埠，第0埠至第23埠可接光纖通道的網路線，第24埠至第47埠（Brocade稱為AnyIO Port）可接光纖通道的網路線或乙太網路的網路線。每個SFP+光纖通道網路埠支援16 Gb、32 Gb、64 Gb、128 Gb的連線規格（全雙工的線速分別為14.025 Gb/s、28.05 Gb/s、57.8 Gb/s、112.2 Gb/s），若是後半部的SFP+乙太網路埠，支援10 Gb/s、25 Gb/s、50 Gb/s、100 Gb/s的連線速度。</p> <p>單臺X8 Director設備最多可提供384個128 Gb FC埠，具有超大規模的網路頻寬與吞吐能力、超低的存取延遲（本機設備為580奈秒，FC網路埠模組互連為1.74微秒），以及更大的訊框緩衝區（Frame Buffers，每個交換器ASIC內建4萬個），能充分支援後續不斷增加的設備連接、應用系統，以及處理大量交易行為的工作負載，而不會形成I/O瓶頸，導致FC交換器系統整體效能難以負荷。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade Gen8-NetApp6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade%20Gen8-NetApp6.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade Gen8-NetApp5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade%20Gen8-NetApp5.jpg" style="width: 600px;" /></a></p> <p>相較之下，上一代的X7-8，機箱為14U尺寸，可容納12臺FC網路埠模組，另一款X7-4，機箱為8U尺寸，可容納8臺FC網路埠模組，FC網路埠模組可選擇FC64-64 Port Blade、FC32-X7-48 Port Blade、FC32-48 Port Blade。就存取延遲而言，X7 Director本機設備為460奈秒，FC網路埠模組互連為1.4微秒，而在訊框緩衝區的數量上，X7 Director的每個交換器ASIC內建2.4萬個。</p> <p>同時，最新推出的X8 Director系列額外配備16或8個UltraScale ICL埠，可支援128個或64個機箱對機箱的網路埠互連。相較之下，身為上一代的X7 Director系列，同樣能支援128個或64個機箱對機箱的網路埠互連，但配備多一倍數量的UltraScale ICL埠（32或16個）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade Gen8-NetApp3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade%20Gen8-NetApp3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Brocade X7 X8 Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brocade%20X7%20X8%20Comparison.jpg" style="width: 600px;" /></a></p> <p>至於G820，屬於中階交換器，可彈性設置在網路邊緣環境或機櫃頂端（Top of Rack），能兼顧當代資料中心企業級AI與工作負載的連線存取，以及機房空間有效利用需求。</p> <p>這款機型採用1U尺寸機箱，內建56個128 Gb FC的SFP+埠，若採用交換器模式建置，預設提供24埠，後續能隨需求增加而選購每次額外啟用8埠POD（Ports on Demand），最多可擴充4次。而在存取延遲的規格上，G820與X8 Director系列一樣，皆為580奈秒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade Gen8-NetApp4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade%20Gen8-NetApp4.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Brocade FC Switch-fixed.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brocade%20FC%20Switch-fixed.jpg" style="width: 600px;" /></a></p> <p>就整體功能特色而言，博科表示，第8代FC網路設備的推出，不僅憑藉更高的網路傳輸速度（128Gb FC），繼續鎖定企業關鍵業務應用的工作負載，以及AI應用系統的執行需求，也具有量子安全（quantum-safe）的特色，可預防量子運算時代即將來臨而導致加密資料遭解密的威脅。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade Gen8-NetApp7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade%20Gen8-NetApp7.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade Gen8-NetApp8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade%20Gen8-NetApp8.jpg" style="width: 600px;" /></a></p> <p>基本上，這些產品均配備能抵擋量子運算破密攻擊的256位元加密技術，以及其他的後量子密碼學演算法，而得以守護各種敏感資料與關鍵基礎設施。同時，它們也運用最小權限的架構，提供強韌的存取控制，以及權限許可的限制，藉此縮小可被攻擊的部分，進一步強化儲域網路的安全。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Brocade quantum-safe-HTTPS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brocade%20quantum-safe-HTTPS.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Brocade quantum-safe-SSH.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brocade%20quantum-safe-SSH.jpg" style="width: 298px;" /></a></p> <p>此外，由於嵌入儲域網路AI技術的幫助，博科第8代FC網路設備能自動做好IT基礎架構的管理工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade Gen8-NetApp1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-12-10-Brocade%20Gen8-NetApp1.jpg" style="width: 600px;" /></a></p> <p>舉例來說，在這批交換器新增的<a href="https://techdocs.broadcom.com/us/en/fibre-channel-networking/fabric-os/fabric-os-administration/10-0-x/san-fabric-intelligence.html">SAN Fabric Intelligence服務（SAN FI）</a>，因為採用AI支撐的自主機制，所以，對於不斷變化的儲域網路環境，能夠持續學習、調適，以及回應，可省下耗時的手動處理作業，還能針對儲域網路內部所有連接的設備與元件（包含虛擬機器），提供完整且涵蓋每個環節的運作狀態能見度，IT人員可全面掌握儲域網路的整體架構重點，並且深入需要更徹底了解的關鍵部位，藉此加速障礙排除的流程，確保效能維持在最佳狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SAN Fabric Intelligence (SanFi).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SAN%20Fabric%20Intelligence%20(SanFi).png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/sanFI4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/sanFI4.png" style="width: 298px;" /></a></p> <p>另一項新服務是<a href="https://techdocs.broadcom.com/us/en/fibre-channel-networking/fabric-os/fabric-os-administration/10-0-x/Optimizing-Fabric-Behavior-Admin1/adaptive-traffic-optimizer-fos-100x.html">Adaptive Traffic Optimizer（ATO）</a>，也和自我調校效能有關，博科第8代FC網路設備面對應用系統的需求變化，能透過這項技術進行學習與調適，可橫跨不同效能群組與虛擬通道，實施動態負載平衡機制，維持關鍵應用系統的效能；同時，它也能針對某些影響其他傳輸作業的網路流量，自動執行隔離，避免應用系統的效能受到衝擊而變慢。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Brocade ATO.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brocade%20ATO.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">Brocade Gen 8 Fibre Channel</span><br /> ●原廠：Brocade<br /> ●建議售價：廠商未提供<br /> ●產品機型與外形：<br /> 模組化平臺X8 Director（X8-8採用14U尺寸機箱、X8-4採用9U尺寸機箱）<br /> 固定網路埠配置（G820採用1U尺寸機箱）<br /> ●網路埠與頻寬：<br /> X8-8搭配8臺內建48個128Gb FC埠的模組，總共提供384個128G FC埠，總頻寬為62 Tb/s<br /> X8-4搭配4臺內建48個128Gb FC埠的模組，總共提供192個128G FC埠，總頻寬為31 Tb/s<br /> G820內建56個128Gb FC埠，總頻寬為7.168 Tb/s<br /> ●可擴展規模：239臺交換器</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/12/12 15:10作者李宗翰https://www.ithome.com.tw/review/172764
白宮推動國家級AI框架，避免州法碎片化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國總統川普（Donald Trump）周四（12/11）<a href="https://www.whitehouse.gov/fact-sheets/2025/12/fact-sheet-president-donald-j-trump-ensures-a-national-policy-framework-for-artificial-intelligence/" target="_blank">簽署一項行政命令</a>，呼籲建立一套國家級AI立法架構，以排除被認定為扼殺創新的州級AI法令，並避免美國AI創新因各州法規不一而衍生高昂的合規成本。</p> <p>該命令指示司法部長成立AI訴訟專責小組，挑戰被認定為違憲、因聯邦法優先規範而不再適用，或以其他方式違法並損害創新的州級AI法律。</p> <p>行政命令也要求商務部長發布一份州級AI法律評估，找出與國家AI政策優先事項相衝突的法令，並對制定此類法令的州扣留部分聯邦寬頻補助款；未來其他聯邦補助，也可能要求州政府不得制定或暫緩執行相關AI法規，作為補助條件之一。</p> <p>此外，命令亦指示聯邦貿易委員會（FTC）及聯邦通訊委員會（FCC）採取行動，限制各州要求AI公司為了符合法規而修改或扭曲輸出內容、進而誤導消費者的作法。白宮指出，部分州政府希望透過法律要求AI修改原本真實或中性的輸出內容，以降低歧視、政治或法律風險，但聯邦政府認為，這類要求可能迫使AI為了合規而偏離事實，反而構成對消費者的誤導。</p> <p>白宮表示，各州立法機構已提出超過1,000項不同的AI法案，造成規則、揭露與通報要求高度碎片化。包括加州與科羅拉多州在內的州，正考慮要求AI公司審查輸出內容，並在其程式中加入左派意識形態。</p> <p>降低因各州法律差異所帶來的合規成本與開發負擔，將有助於降低AI產業的進入門檻、促進創新，並確保美國企業不會承受其國際競爭對手所不需面對的限制。</p> <p>整體而言，該命令表面上是為建立全美一致的AI政策框架，但從具體措施來看，更優先的目標是立即阻止並反制被視為過度嚴苛的州級AI法令。</p> </div></div></div>
2025/12/12 13:35作者陳曉莉https://www.ithome.com.tw/news/172791
React伺服器元件追補安全更新，修正DoS與原始碼洩露漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>研究人員在檢視上周React伺服器元件（Server Components）關鍵漏洞CVE-2025-55182的修補是否可能被繞過時，又<a href="https://react.dev/blog/2025/12/11/denial-of-service-and-source-code-exposure-in-react-server-components">揭露3項新弱點</a>，包含2個DoS漏洞CVE-2025-55184與CVE-2025-67779，以及1個原始碼曝露漏洞CVE-2025-55183。React團隊表示，新漏洞不涉及遠端程式碼執行，上周用於緩解React2Shell的修補仍可阻擋遠端程式碼執行型攻擊，但先前釋出的修補不完整，已升級的使用者仍需再升級到更新的修補版本。</p> <p>受影響套件為react-server-dom-webpack、react-server-dom-parcel與react-server-dom-turbopack，版本涵蓋19.0.0至19.2.2。React也提醒，要是為了因應上周漏洞已升級到19.0.2、19.1.3或19.2.2，這些版本的修補不完整仍可能面臨風險，建議再更新至19.0.3、19.1.4或19.2.3等版本。</p> <p>在DoS漏洞CVE-2025-55184與CVE-2025-67779方面，攻擊者可對任何React Server Functions端點送出特製HTTP請求，伺服器在反序列化時可能觸發無限迴圈，導致程序卡住並持續消耗CPU，進而讓服務無法正常回應。React並提醒，即使應用程式本身未實作任何React Server Functions端點，只要部署環境支援React Server Components就可能受到影響。</p> <p>而原始碼洩漏部分，前提是應用程式存在可被觸發的Server Function，且該函式會將引數以字串形式輸出或回傳，如此惡意請求便可能導致伺服器回傳Server Function的原始碼。官方指出，風險主要是存在於原始碼中的祕密，像是直接寫死的金鑰或憑證。以process.env.SECRET等方式在執行階段注入的祕密，則不在本次影響範圍內。</p> <p>React也再次界定受影響範圍，要是React程式碼不在伺服器端執行，或未使用支援React Server Components的框架、打包工具或外掛，則不受影響，官方點名Next、React Router等生態系專案可能因相依關係而被波及，並表示已與部分託管服務供應商合作部署暫時性緩解措施，不過官方強調，不應長期依賴暫時性措施，開發者仍需升級至已修補版本。</p> </div></div></div>
2025/12/12 13:47作者李建興https://www.ithome.com.tw/news/172790
Brave測試AI代理上網功能加入多項安全隱私機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://brave.com/blog/ai-browsing/" target="_blank">Brave瀏覽器的同名開發商昨（11）日宣佈AI上網功能提供測試</a>，強調多項安全及隱私設計。</p> <p>最新的AI上網功能是Brave最新代理人功能，將整合在其AI助理Leo中，可根據用戶提示建議上網行動。現在新功能透過<a href="https://brave.com/download-nightly/" target="_blank">Brave Nightly早期測試版</a>釋出。和所有AI功能一樣，AI上網功能預設關閉，使用者必須開啟brave://flags的「Brave AI browsing」啟用本功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1212-AI%20Browsing%20in%20Brave-3.png" style="width: 600px;" /></p> <p>該公司強調Brave AI上網功能的隱私和安全設計。為防範代理人上網的二大風險，包括提示注入及模型行為不慎造成使用者傷害。AI上網功能的儲存將和一般上網紀錄，如cookies、登入狀態、快取、和其他資料隔離開來，以免影響資料安全及隱私。</p> <p>此外，業者加入了第二個模型對齊檢查（alignment check）來檢查代理人模型（任務模型）的輸入結果，作為模型護欄。這個模型接收系統提示、使用者提示及任務模型回應加以分析，以檢查任務型的指示符合用戶意圖。</p> <p>未來上線後，AI上網功能仍需要使用者主動開啟。而且它在視覺設計上，和Leo助理明顯區隔，行動線索也不同，確保使用者清楚意識到AI功能開啟，並且能中止或接手。它雖然能建議用戶上網行動，但它自己絕不會主動執行上網，必須要獲得用戶同意為之。而且，代用戶執行的AI上網會在開放分頁執行，不會在側邊欄偷偷行動。</p> <p>此外，AI上網也不會存取組織內部網路、非HTTPS網頁、Chrome Web Store或任何由Google Safe Browsing標示出的網站。</p> <p>Brave上周<a href="https://brave.com/blog/leo-skills/" target="_blank">為Leo加入Skills</a>，允許使用者將常用的提示建立成一項技能，並建立捷徑以免去重覆輸入的麻煩。這些技能包括潤飾文字、摘錄重點或分析競爭者網站。</p> <p>Brave正加入Opera AI Neon、Perplexity AI Comet及OpenAI Atlas的行列。<a href="https://www.operaneon.com/" target="_blank">Opera的Neon</a>也在本周開放所有人付費下載，訂閱費為每月19.9美元。</p> </div></div></div>
2025/12/12 14:15作者林妍溱https://www.ithome.com.tw/news/172792
Google修補Chrome今年第8個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一週前Google<strong><a href="https://www.ithome.com.tw/news/172674">發布Chrome 143大改版</a></strong>，並修補JavaScript引擎V8漏洞CVE-2025-13630等13項資安弱點，如今該公司再度發布更新，修補目前尚未公布CVE編號，並且已遭到利用的零時差漏洞。</p> <p>12月10日Google針對<strong><a href="https://chromereleases.googleblog.com/2025/12/stable-channel-update-for-desktop_10.html">電腦</a></strong>與<strong><a href="https://chromereleases.googleblog.com/2025/12/chrome-for-android-update_01357981936.html">安卓裝置</a></strong>用戶，發布143.0.7499.109與143.0.7499.110版Chrome，總共修補3項資安漏洞，其中，於Chromium專案登記編號為466192044的高風險漏洞，該公司表示，他們已掌握在實際環境有嘗試利用的情況，此為今年Chrome第8個零時差漏洞。</p> <p>罕見的是，這項漏洞Google僅透露為高風險層級，至於其他的資訊，像是CVE編號、漏洞的類型、受影響的元件，以及通報者的身分，他們並未透露，僅表示目前正在協調處理當中。</p> <p>有資安新聞網站根據466192044於Chromium專案透露的內容，對此漏洞進行推測。<strong><a href="https://www.bleepingcomputer.com/news/security/google-fixes-eighth-chrome-zero-day-exploited-in-attacks-in-2025/">Bleeping Computer指出</a></strong>，此漏洞疑似出現在Google開源程式庫LibANGLE，此為轉換OpenGL ES圖形呼叫，並傳送到其他API，而能讓圖形API執行效率更佳，或是讓OpenGL ES應用程式能在非原生支援的系統運作。</p> <p>他們也根據Chromium臭蟲通報資訊，此零時差漏洞與記憶體緩衝區溢位有關，原因是在ANGLE的Metal渲染工具裡，出現記憶體緩衝區位置配置不當的情況，而可能引發記憶體中斷、當機、敏感資訊洩露，甚至執行任意程式碼。</p> <p>回顧2025，Google總共修補8個Chrome零時差漏洞，前面7個是：CVE-2025-2783、CVE-2025-4664、CVE-2025-5419、CVE-2025-6554、CVE-2025-6558、CVE-2025-10585，以及CVE-2025-13223。不過有別於前面修補的漏洞，這次Google僅透露了風險層級，代表新漏洞的利用活動可能更加險峻，有待後續Google或其他資安業者透露進一步的資訊。</p> </div></div></div>
2025/12/12 11:28作者周峻佑https://www.ithome.com.tw/news/172785
【資安月報】2025年11月，「小烏龜」資安風險恐衝擊國家安全。網路詐騙防範挑戰備受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年11月的資安新聞中，「小烏龜」資安風險與網路詐騙防範成為最熱門、最受矚目的焦點議題，還有國內外重大資安事件、針對開發者生態的攻擊，以及其他威脅升溫的趨勢同樣不容忽視。我們整理出6大焦點，帶大家快速回顧本月的關鍵新聞與資安趨勢。<br /> </p> <p><span style="color:#FF0000;"><strong>（一）小烏龜資安風險衝擊國家安全</strong></span></p> <p>本月最熱門的資安新聞，莫過於電信業者提供的數據機──也就是俗稱的「小烏龜」──被揭露存在多項安全漏洞，牽動網路服務供應商與網通設備產品安全的整體討論。過去一年來，趨勢科技資深威脅研究員游照臨多次談及此議題，本月我們進行專訪了解整體概況。首要問題點是ISP方面，他指出中華電信配發數據機給用戶後，缺乏妥善維護，當數據機產品生命週期終止（EoL），廠商與用戶卻仍未更換這些設備。他可以理解相關電信業者遇到的困難，但引發政府、金融、軍方網路門戶洞開的危機需要正視，而且事件爆出一年仍未汰換完畢，處理明顯不夠積極。</p> <p>產品資安漏洞議題也受到討論，因為他最早的發現過程，就是因為自己搬家順手檢查中華電信新裝的數據機，這項下班後研究卻讓他挖出超過30個、跨多家大廠的CVE漏洞。他並指出，許多老設備都有不安全的設計，存在3種常見漏洞問題，包括認證繞過、隱藏後門、遠端程式碼執行，而且這些產品資安問題都沒妥善解決，常有漏洞繼承未處理的現象。另外，許多廠商表示產品已達EoL而拒絕修補，資安風險將轉嫁使用者。</p> <p>更需要我們重視的是，他還提及未修補漏洞的數據機可能成為詐騙集團的間接幫凶。一旦駭客取得邊緣設備的控制權，不只可以竊取資料，更能監控或攔截整個網路封包；也能竄改使用者要存取的網頁，置換成精心設計的釣魚頁面；甚至將設備納入殭屍網路，成為詐騙、DDoS攻擊或更複雜滲透行動的跳板。<br /> </p> <p><span style="color:#FF0000;"><strong>（二）網路詐騙威脅持續成全球重要議題</strong></span></p> <p>網路詐騙議題持續受關注，本月我們有一期封面故事是探討LINE如何對抗詐騙產業鏈，有兩大焦點議題：<br /> 　第一點：LINE 分享今年6月與刑事局合作的打詐經驗，說明如何運用警方提供的高風險門號資料分析模型，成功揪出7.3萬個異常帳號，且誤封率極低，僅1名用戶需恢復權限。LINE並提及過去封鎖可疑帳號的兩難，直到去年打詐新四法的詐欺犯罪危害防制條例提供平臺「避風港」，得以強化自動化處置流程，更即時阻斷可疑帳號。<br /> 　第二點：2024年投票釣魚問題大幅暴增，帳號遭盜通報數量是2023年的5.5倍。此類攻擊以假「投票活動」名義，濫用合法的LINE帳號轉移機制來奪走帳號控制權，雖然多數民眾知道連結要檢查、不亂點，也對LINE帳號轉移有了解而有所警覺，但對年幼、長者或不熟網路者仍具高度迷惑性。因此，LINE 從攻擊者角度思考，繪製授權釣魚運作流程，以尋找最有效的阻斷點。</p> <p>另外，本月還有台灣數位信任協會發表「2025社群冒名詐騙報告書」，解析臺灣社群冒名貼文的場景，同時也指出全球有更多國家都在針對打詐立法，包括數位詐騙防治新法、澳洲實施SPF防詐框架，都是今年重要議題。而在國際上，Google指出近年假冒物流「包裹卡住」或「未繳路費」的簡訊氾濫，他們設法從政策與立法層面發力，針對一個提供簡訊釣魚服務的PhaaS平臺Lighthouse背後團體提起訴訟，希望幫助打擊詐騙工具鏈。<br /> </p> <p><span style="color:#FF0000;"><strong>（三）國際重大資安新聞事件</strong></span></p> <p>本月國際資安新聞中，有4則具代表性、影響範圍廣或備受討論的事件。<br /> 　●中國資安公司「知道創宇」11月發生資料外洩事件，駭客聲稱竊取1.2萬份機密資料。更受全球關注的是，資安研究員NetAskari分析指出，其外洩文件再次揭露該公司受政府委託從事全球網路間諜活動，而其攻擊目標涵蓋臺灣、日本、越南等20多個國家。<br /> 　●與Salesforce有關的供應鏈威脅再度浮現，11月20日Salesforce針對Gainsight遭駭示警，指出由Gainsight提供且與Salesforce連接的應用程式有異常活動，估計事件影響200家Gainsight用戶的Salesforce資料，由於3個月前曾發生攻擊者利用竊取的Drift OAuth憑證入侵，這次事件再度引發CRM生態系供應鏈安全問題關注。<br /> 　●先前曝光的Oracle商業應用系統E-Business Suite（EBS）零時差漏洞攻擊事件，到了11月有大量受害者身分曝光。從施耐德電機、艾默生電機，到英國NHS、安聯人壽英國子公司、華盛頓郵報、羅技、日立子公司GlobalLogic等。迄今，攻擊並外洩Oracle EBS資料的Cl0p駭客，已宣稱駭入100多家企業組織，並公開近半組織的資訊。<br /> 　●安永會計師事務所資料庫雲端備份暴露在公開網路，這項消息在當時也成為熱門的資安新聞。通報此事的研究人員對外揭露這項發現並提醒，即便具備完整資源與專業能力的大型組織，也可能因設定不當而意外將SQL Server資料庫備份暴露於外，各機構都應以此為戒。<br /> </p> <p><span style="color:#FF0000;"><strong>（四）多起臺灣上市櫃重大資安事件</strong></span></p> <p>接下來將焦點回到國內，本月共有4家上市櫃公司在公開資訊觀測站發布資安重大訊息，我們整理如下：<br /> 　●第一週1起，福貞-KY子公司福建福貞金屬包裝遭受駭客網路攻擊，傳出Radar勒索軟體組織宣稱是其所為。<br /> 　●第三週2起，東和紡織表示部分資訊系統遭受駭客網路攻擊；中菲電腦說明發生網路資安事件。<br /> 　●第四週1起，有成精密揭露部分資訊系統遭受駭客網路攻擊。<br /> 另外留意的是，Google威脅情報團隊揭露中國駭客APT24的攻擊手法轉變，攻擊型態從水坑式攻擊擴展為多向量攻擊，當中曝光了一家臺灣數位行銷業者去年7月遭該組織發動供應鏈攻擊，因此波及逾千個網域。<br /> </p> <p><span style="color:#FF0000;"><strong>（五）蠕蟲攻擊活動正大量鎖定開發者生態而來</strong></span></p> <p>開發人員當心，軟體開發套件儲存庫與整合式開發環境的延伸套件，持續成為駭客攻擊重心，近來蠕蟲攻擊最受關注，有多家資安業者不約而同提出警告，揭露這方面的威脅態勢：</p> <p><span style="color:#0066ff;"><strong>IndonesianFoods蠕蟲程式：</strong></span>已在NPM孳生逾10萬個套件，研究人員指出，攻擊者大量上架無用套件，疑似牟取開源專案貢獻獎勵的Tea加密貨幣，但此狀況也引發供應鏈安全專家對未來可能被惡意利用的憂慮。<br /> <span style="color:#0066ff;"><strong>Shai-Hulud蠕蟲程式：</strong></span>新一波攻擊活動在短短3天內上傳逾千個NPM套件，並感染約2.7萬個GitHub儲存庫。該蠕蟲可在Windows、Linux、macOS的開發環境快速擴散，利用掃描工具TruffleHog搜索外洩金鑰與雲端憑證，並將資料上傳到公開的GitHub儲存庫，同時又再自我複製後持續上架新套件。<br /> <span style="color:#0066ff;"><strong>GlassWorm蠕蟲攻擊活動：</strong></span>近期攻擊活動再度現身Open VSX，其行為會蒐集受害開發環境中的NPM、GitHub與Git憑證，並破壞其他套件或擴充元件。研究人員指出，攻擊程式碼混入肉眼難以察覺的Unicode字元，近期發現該惡意套件已被下載近1萬次。<br /> </p> <p><span style="color:#FF0000;"><strong>（六）多項資安威脅快速升級需要戒備</strong></span></p> <p>近期多起網路威脅活動也陸續被揭露，同樣值得高度關注，我們列出6起重要態勢：<br /> ●運輸物流業者當心！資安業者Proofpoint揭示一波鎖定運輸物流業的攻擊行動。攻擊者濫用合法遠端管理工具（RMM），目的不在竊取資料，而是取得帳號與權限後竄改配送資訊，進而竊取實體貨物轉售獲利，各界需提高警覺。<br /> ●中國駭客鎖定華碩WRT系列路由器已知漏洞入侵，資安業者SecurityScorecard警告，許多使用者未套用安全更新，使其有可乘之機，而攻擊者入侵綁架設備的目的是架設ORB網路，用來隱匿網路攻擊與間諜活動的真實來源。<br /> ●中國駭客PlushDaemon最新攻擊活動被揭露，資安業者ESET指出其攻擊是入侵路由器後竄改DNS組態，從而讓受害者電腦自攻擊者的伺服器下載包含惡意的更新，已棄用的搜狗輸入法也是他們利用的目標。<br /> ●中國製生成式AI語言模型隱憂受關注，法務部調查局抽查DeepSeek、豆包、文心一言，警政署刑事警察局抽查通義千問、騰訊元寶，發現相關產品普遍存在資安風險及內容偏頗等問題，提醒國人慎選並注意資料外洩。<br /> ●微軟10月修補的WSUS漏洞CVE-2025-59287成國家級駭客鎖定目標，例如資安業者Darktrace指出有攻擊者利用並植入Skuld竊資軟體，後續韓國資安業者AhnLab示警，發現中國APT駭客鎖定未修補用戶攻擊，並部署惡意程式ShadowPad。<br /> ●Amazon威脅情報團隊揭露，伊朗駭客Imperial Kitten與MuddyWater正以「cyber-enabled kinetic targeting」模式，透過軍用船隻的自動識別系統與監視器等系統蒐集情資，支援後續軍事打擊行動。<br /> </p> <h3><a href="https://www.ithome.com.tw/news/172143"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1103~1107，普發現金萬元開跑，財政部封假冒網站並提醒國人務必識別政府網域</span></strong></a></h3> <p>回顧2025年10月第一星期資安新聞，最受關注的消息是LockBit 5.0新版惡意程式已被資安業者確認存在，在威脅態勢方面，還有多起與漏洞攻擊與資安事故的消息，其中鎖定Sudo已知漏洞的攻擊情形引發關注，還有英國車廠有兩座工廠因網路攻擊停擺一個月，導致供應商斷鏈危機，引發英國政府替其貸款提供擔保</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172269"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1110~1114，零時差漏洞攻擊再升溫，2個多月前揭露的Citrix與思科漏洞在公布前即遭國家級駭客利用</span></strong></a></h3> <p>在2025年10月第二星期資安新聞中，駭客鎖定Oracle商業應用程式E-Business Suite（EBS）發動零時差漏洞攻擊是主要焦點，還有Red Hat資料外洩恐影響5千家企業的消息引發關注；國內有兩家上市櫃公司發布重大訊息揭露資安事故，包括太子建設與葡萄王生技代子公司葡眾企業發布</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172429"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1117~1121，電信業提供「小烏龜」已屆EoL，卻未主動幫用戶更換，邊緣裝置產品資安風險成焦點</span></strong></a></h3> <p>在2025年10月第三星期的資安新聞中，最重要的消息是Windows 10作業系統終止支援的日期已經到來，之後將不再獲得常規安全更新；在攻擊態勢上，有駭客鎖定微軟、思科產品發動多個零時差漏洞攻擊，還有國家級駭客入侵資安公司F5的消息也震驚各界</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172549"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1122~1126，LINE資安弱點揭露受關注。Salesforce針對Gainsight遭駭示警</span></strong></a></h3> <p>在2025年10月第四星期的資安新聞中，汽車大廠Jaguar Land Rover遭駭事件的後續損失評估出爐，經濟損失高達19億英鎊（約788億元），創下英國史上最高紀錄；在漏洞攻擊態勢方面，最受關注的是微軟近期修補的WSUS、SMB漏洞，已有攻擊者積極利用這些漏洞發動攻擊</p> <h3> </h3> <p><span style="color: rgb(255, 255, 255);">文⊙羅正漢</span></p> <h3><a href="https://www.ithome.com.tw/news/172056">【2025年10月資安月報，AI助攻漏洞防禦，自動化漏洞發現與修補快速崛起】</a><br /> </h3> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171458">【2025年9月資安月報，臺灣企業組織的資安預算創新高，總統公布資安法修正通過】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/170940">【2025年8月資安月報，駭客鎖定Salesforce用戶，語音網釣與第三方應用程式成主要破口】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/170565">【2025年7月資安月報，語音網釣與ClickFIX網釣日益嚴峻】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/170026">【2025年6月資安月報，中華電信憑證失去瀏覽器信任，以伊戰事引發網路攻擊】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/169340">【2025年5月資安月報，AI資安技術發展動能強勁，從Agentic SOC、資安LLM到紅藍隊攻防演練都有進展】</a><br /> </h3> </div></div></div>
2025/12/12 11:32作者羅正漢https://www.ithome.com.tw/news/172786
Adobe發布12月安全更新，ColdFusion藏多個重大漏洞應優先處理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="297" data-start="161">Adobe在12月例行安全更新中，一共修補139個資安漏洞，涵蓋<a href="http://helpx.adobe.com/security/products/coldfusion/apsb25-105.html" target="_blank">ColdFusion</a>、<a href="https://helpx.adobe.com/security/products/experience-manager/apsb25-115.html" target="_blank">Adobe Experience Manager（AEM）</a>、<a href="https://helpx.adobe.com/security/products/acrobat/apsb25-119.html" target="_blank">Acrobat/Reader</a>、<a href="https://helpx.adobe.com/security/products/dng-sdk/apsb25-118.html" target="_blank">Adobe DNG SDK</a>與<a href="https://helpx.adobe.com/security/products/creative-cloud/apsb25-120.html" target="_blank">Creative Cloud Desktop</a>等產品線。</p> <p data-end="562" data-start="299">這波修補有117個漏洞都集中於Adobe Experience Manager（AEM），其中包含2項重大（Critical）等級跨站腳本（XSS）漏洞CVE-2025-64537與CVE-2025-64539，CVSS風險分數皆為9.3；其他則為重要（Important）等級的XSS弱點，CVSS風險分數皆為5.4，成功利用後可能導致任意程式碼執行或權限提升。</p> <p data-end="929" data-start="564">ColdFusion本次修補12項安全漏洞，被評為重大等級的漏洞包括：允許上傳危險檔案類型的CVE-2025-61808（CVSS風險分數9.1）；輸入驗證不當、可能繞過安全機制的CVE-2025-61809（CVSS 9.1）；以及可導致任意程式碼執行的CVE-2025-61830（CVSS 8.4）、CVE-2025-61810（CVSS 8.2）。另有多個重大或重要等級的XXE與權限控管相關弱點，最嚴重可能導致任意檔案讀取、寫入或權限提升。基於上述風險，ColdFusion更新被Adobe列為最高部署優先順序1。</p> <p data-end="1160" data-start="931">Adobe DNG SDK則修補4項漏洞，其中3項被列為重大等級：CVE-2025-64783（CVSS 7.8）、CVE-2025-64784與CVE-2025-64893（CVSS皆為7.1），分別屬於整數溢出、heap-based緩衝區溢位與越界讀取，可能導致任意程式碼執行或記憶體揭露。另1項達重要等級的CVE-2025-64894（CVSS 5.5），同樣是整數溢出問題，最嚴重可造成應用程式阻斷服務。</p> <p data-end="1320" data-start="1162">在Acrobat/Reader產品線中，Adobe列出兩個重大漏洞CVE-2025-64785與CVE-2025-64899（CVSS皆為7.8），成功利用後可能導致任意程式碼執行。（編按：Adobe資安公告將這兩個漏洞的嚴重性評為重大，不過，就CVSS評分而言，7.8分屬於高度嚴重性漏洞，比重大次一級）</p> <p data-end="1412" data-start="1322">至於Creative Cloud Desktop，Adobe本次公告修補1個重要等級的服務阻斷漏洞CVE-2025-64896。（CVSS評分為5.5，屬於中度嚴重漏洞）</p> <p data-end="1550" data-start="1414">Adobe表示，上述漏洞在公告當下尚未出現遭利用跡象。值得注意的是，相較於其他廠商的資安公告，Adobe目前都會在每篇公告的最前面，標示部署順序，以上述公告為例，ColdFusion更新優先度為1，最為急迫，其餘AEM、DNG SDK、Acrobat/Reader與Creative Cloud Desktop的更新優先度為3，用戶仍應儘速完成部署。</p> </div></div></div>
2025/12/12 12:32作者王珮瑤https://www.ithome.com.tw/news/172759
OpenAI發表GPT-5.2 價格調高40%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在內部發出紅色警戒後，OpenAI昨（11）日<a href="https://openai.com/zh-Hant/index/introducing-gpt-5-2/" target="_blank">發表最新LLM GPT-5.2</a>，宣稱是迄今最強大的專業知識工作模型系列，強調文件製作、視覺及軟工能力更強，幻覺更少，但價格也調高約40%。</p> <p>OpenAI指出，設計GPT-5.2的目的是為了展現更大經濟價值，它在建立試算表、製作簡報、編寫程式碼、解讀圖像、理解長篇上下文、運用各項工具，以及處理複雜的多步驟專案方面表現更佳。</p> <p>ChatGPT中的GPT‑5.2 Instant、Thinking和Pro即日起陸續推出，首先開放給付費方案使用者。API中，上述模型現已向所有開發者開放。<a href="https://platform.openai.com/docs/pricing" target="_blank">GPT‑5.2 (Thinking)每百萬Token輸入/輸出價格</a>為$1.75/$14，並對快取輸入提供90%折扣。Pro版為$21/$168。ChatGPT的方案訂閱費用不變，相較之下，GPT‑5.1為$1.25/$10。OpenAI解釋GPT-5.2更貴是因模型能力更強。</p> <p>和GPT-5.1 Thinking相較，GPT-5.2 Thinking在知識工作任務標竿測試GDPval成績，由38.8%大幅提升到70.9%。OpenAI表示，它在處理44種知識工作任務時，表現甚至優於專業人士。</p> <p>GPT- 5.2在長文本理解和推理能力大幅提升，可支援多數十萬token的資料，對長文件、合約、報告及研究資料的分析更準確。OpenAI強調，GPT-5.2 Thinking是其首個在4-needle MRCR（context windows可達256k）測試達到近乎滿分準確率的模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1212-OpenAI%20MRCRv2%EF%BC%8C4%20Needle_%E9%95%B7%E7%AF%87%E4%B8%8A%E4%B8%8B%E6%96%87-gpt5_2.png" style="width: 600px;" /></p> <p>在開發輔助上，新版SWE-Bench Verified也由76.3%進步到新高80.0%，能可靠對生產環境程式碼偵錯、處理開發需求、重構大型程式碼庫。</p> <p>GPT-5.2 Thinking是OpenAI迄今最強的視覺模型，可更精準解讀圖表、螢幕截圖、技術圖示等視覺訊息，而不只是文字。OpenAI也強調GPT-5.2 Thinking幻覺較5.1 Thinking明顯降低，在去識別化的回應層面錯誤率也從8.8%降為6.2%，減少38%。</p> <p>GPT-5.2將導入作為ChatGPT的底層引擎，分成三個版本。包括支援日常查詢或工作的快速版本GPT-5.2 Instant；適合複雜工作的GPT-5.2 Thinking，後者在編寫程式碼、摘要長篇文件、回應數學和邏輯問題，規劃與決策能力都更提升。以及最可靠的模型GPT‑5.2 Pro，適合需要高品質答案、且容許較長回應時間的艱深任務，包括程式設計。</p> <p>GPT‑5.2 Thinking現已可透過Responses API和Chat Completions API提供使用。</p> <p>因應在美國的用戶在和AI對話後自殘事件，GPT-5.2也強化在敏感對話的回應能力。OpenAI也開始分階段推出年齡預測模型⁠，可自動替未滿18歲的使用者套用內容保護措施，限制其接觸敏感內容。</p> </div></div></div>
2025/12/12 12:47作者林妍溱https://www.ithome.com.tw/news/172788
OpenAI與迪士尼合作，於Sora中使用逾200個動畫與插畫角色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI與華特迪士尼公司（The Walt Disney Company）周四（12/11）宣布，<a href="https://thewaltdisneycompany.com/the-walt-disney-company-and-openai-reach-landmark-agreement-to-bring-beloved-characters-from-across-disneys-brands-to-sora/" target="_blank">雙方已簽署為期3年的授權協議</a>，迪士尼授權OpenAI旗下的短影音生成AI平臺Sora，可使用逾200個來自迪士尼、漫威、皮克斯與星際大戰的角色IP生成影片。同時，迪士尼也將以10億美元投資OpenAI，並獲得額外股權的認股權證。</p> <p>Sora是OpenAI於2024年推出的短影音生成AI平臺，讓使用者透過文字提示生成高擬真影片，定位為創作工具，可生成具連貫敘事、鏡頭語言與物理一致性的短影片。</p> <p>此次協議授權OpenAI在Sora與ChatGPT Images中，使用超過200個迪士尼旗下角色的動畫或插畫版本，涵蓋角色本身、服裝、道具、載具與經典場景，但不包含任何真人演員的肖像與聲音。相關角色包括《冰雪奇緣》《怪獸電力公司》《玩具總動員》等動畫作品中的角色，以及漫威的鋼鐵人、美國隊長、死侍，與米奇、米妮、史迪奇、小美人魚等經典角色。</p> <p>部分由Sora用戶生成的作品，未來可望透過Disney+上架。迪士尼也將運用OpenAI的各種模型，為Disney+訂戶開發或強化新功能與使用體驗。此外，迪士尼也將成為OpenAI的重要企業客戶，使用其API打造產品、工具與服務，並在內部導入ChatGPT供員工使用。</p> <p>截至目前，同時與OpenAI建立合作關係並進行資本投資的企業，包括微軟、Nvidia、軟體銀行，以及最新入股的華特迪士尼公司。</p> </div></div></div>
2025/12/12 13:00作者陳曉莉https://www.ithome.com.tw/news/172789
VS Code市集兩擴充套件暗藏惡意程式竊取WiFi密碼與Cookie
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安廠商Koi Security<a href="https://www.koi.ai/blog/the-vs-code-malware-that-captures-your-screen">揭露</a>兩款上架於微軟VS Code市集的擴充套件，被證實會在開發者電腦安裝資訊竊取惡意程式，這兩款分別名為Bitcoin Black與Codo AI的擴充套件，分別偽裝成暗色主題與AI程式開發助理，在背景下載並啟動螢幕截圖與憑證竊取程式，能擷取桌面畫面、讀取儲存的WiFi密碼與瀏覽器工作階段。</p> <p>研究人員指出，Bitcoin Black在描述上只是比特幣風格主題，但程式結構遠超出一般主題需求，不僅宣告在所有VS Code動作都會觸發的萬用啟動事件，還可執行PowerShell指令。早期版本透過PowerShell下載受密碼保護的壓縮檔並解壓，後續版本改為呼叫批次檔與curl直接下載可執行檔與DLL，且在隱藏視窗中執行，以降低被注意的機會。</p> <p>Codo AI則提供透過ChatGPT或DeepSeek進行程式開發協助的介面，看起來與一般AI擴充套件無異，但研究人員卻在合法AI對話實作前找到一段額外插入的程式碼區塊，負責下載並啟動相同惡意載荷。兩款擴充套件由同一發行者BigBlack上架，共用相同惡意程式與基礎設施，被研判為同一攻擊者鎖定開發者族群。</p> <p>兩款擴充套件最終都會投放正牌Lightshot螢幕截圖工具搭配惡意DLL，利用DLL劫持手法，在看似正常的Lightshot程序啟動時載入惡意程式。惡意程式會在應用程式資料目錄下建立名為Evelyn的資料夾，蒐集系統資訊、已安裝程式與執行中程序清單、剪貼簿內容、桌面截圖，以及已儲存的WiFi認證資料，並回傳至攻擊者控制的伺服器，同時在背景以無頭（Headless）模式啟動Chrome與Edge，讀取瀏覽器Cookie與登入工作階段資料，使帳號憑證與瀏覽器工作階段一併暴露。</p> <p>研究人員提到，Bitcoin Black與Codo AI雖然安裝數不高，但因託管於官方擴充套件市集，對一般開發者仍具有相當可信度。<a href="https://www.bleepingcomputer.com/news/security/malicious-vscode-extensions-on-microsofts-registry-drop-infostealers/">外媒BleepingComputer報導</a>，微軟發言人已證實這兩款惡意擴充套件已自VS Code市集下架。</p> </div></div></div>
2025/12/12 09:47作者李建興https://www.ithome.com.tw/news/172772
Google公佈實驗性AI瀏覽器Disco、首項功能GenTabs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google昨（11）日<a href="https://blog.google/technology/google-labs/gentabs-gemini-3/" target="_blank">發表實驗性AI瀏覽器Disco</a>，以及首個功能GenTabs，協助使用者更快上網尋找資訊及工作。</p> <p>Disco及GenTabs是Google Labs最新發表的實驗性上網技術。Google表示，Disco是「上網體驗的全新想像」，是為現代Web開發。結合AI的Disco可協助使用者提升學習和工作速度。首個測試的功能為GenTabs，是以最新LLM Gemini 3為底層開發。</p> <p>GenTabs能將使用者開啟的多個網頁分頁，轉化成一個互動式App。使用者在瀏覽器左側邊欄的AI聊天機器人輸入提示，例如想去某個地方旅遊、以及想看什麼景點等，並逐次點選搜尋結果中的特定網頁。GenTabs底層的Gemini會分析使用者的對話紀錄及開啟的分頁，並尋求使用者增修意見，最後建立互動式網頁應用程式，例如一個包含旅遊景點的地圖、天氣、日期的Web App。使用者不需撰寫任何一行程式碼，只要以自然語言描述需要什麼工具。所有生成的元素都會連結回原始來源。</p> <p>Google對<a href="https://www.theverge.com/tech/842000/google-disco-browser-ai-experiment" target="_blank">The Verge</a>表示，Disco起源並非是為了要取代Chrome，它是源自於Google內部的黑客松專案。Google認為結合Disco和GenTabs以使用者開啟的分頁開發的個人化App，可以真正切合使用者需求。</p> <p>現在Google已逐步開放用戶下載試用Disco和GenTabs。首個開放的是macOS平臺。用戶必須先上網<a href="https://docs.google.com/forms/d/e/1FAIpQLSf7l1a9m_JlpeZGKF5iF6BwXwU9TUhMaDXXHo-ZuXqXWTnPHg/viewform" target="_blank">加入等待清單</a>。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/I-rAE40ggbc?si=NaSBqpUAhQcv96gy" title="YouTube video player" width="560px"></iframe></div> </div></div></div>
2025/12/12 10:03作者林妍溱https://www.ithome.com.tw/news/172782
消除產品資安盲點，減少可乘之機
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著各式技術推陳出新，尤其是AI突飛猛進，以及量子運算發展腳步加快，固然帶來許多便利，但這些進展也同樣幫助惡意人士，大幅擴展攻擊的方式、能力、規模，以及速度。</p> <p>就平均資料外洩時間（Mean Time To Exfiltrate，MTTE）而言，Palo Alto Networks表示，2021年需要9天，2023年縮至兩天，到了2025年只剩下25分鐘，短短兩年，減少了一百多倍，差別在於後來有了AI的協力。</p> <p>Fortinet則在2026網路威脅預測報告當中，提出三種可能情境。首先，若以單一勒索軟體聯盟過去協調一次攻擊耗費的時間為基準，如今可在這段時間之內，發動十次攻擊；攻擊者可運用AI模型，在數分鐘內解析他們取得的數TB資料，藉此快速識別優先勒索的目標；資安維運團隊需盡快隔離遭感染的端點電腦，搶在惡意軟體進行自動橫向移動之前，完成相關工作。</p> <p>另一個導致資安威脅態勢惡化的因素，在於自動化處理與AI被整合到攻擊行動開發與部署的每個階段，導致攻擊生命週期的加速進行，從侵入到造成後果的時間持續縮短。舉例來說，過去需要幾天將他們取得的非法存取方式轉換為實質金錢利益，如今運用自動偵察、資料分析，以及勒索手法，僅需幾個小時就能獲得不義之財。</p> <p>動作速度變得更快之餘，攻擊者得以進行滲透與破壞的重要武器，不只是各式資安防護的弱點與盲點，以及外洩的身分憑證，根據趨勢科技的2026網路威脅報告指出，營運勒索軟體的駭客組織，還會運用企業知識庫、AI模型，以及供應鏈相依性，進而將業務資產轉為攻擊面。</p> <p>他們認為，攻擊者可透過自動化辨識具有廣大影響力的目標、濫用不同主體的相互依存關係，並對受害者施加為其量身打造的壓力，藉此將企業員工每天使用的業務工具與合作關係，轉為駭進個人電腦、伺服器或應用系統的入口，並且濫用企業仰賴的相同網路環境與整合機制。屆時，即使是平時有良好資安防護的企業與組織，仍會因為攻擊者能夠運用先前他們從其他管道竊取或收集的資訊、外洩的資料，以及錯假資訊，而得以嚴重破壞信任與聲譽，因此面臨重大營運中斷的事故。</p> <p>關於上述資訊的濫用，許多資安廠商稱之為武器化（weaponizing或weaponization），最初之所以被大家注意到這樣的趨勢，源自各種資通訊產品的資安漏洞揭露，若有心人士提前得知此類情報，或是在廠商、資安研究業者與機構公布消息後，以及用戶來不及著手修補或緩解前的空窗期，攻擊者就能乘虛而入。</p> <p>單就2025這一年而言，公開揭露的資安漏洞（CVE）總數可能達到5萬個，這有多重含義。表面上，一般人都會認為，CVE漏洞數量越多，代表越不安全，產品供應商、資安研究人員、用戶都必須設法處理這些風險，以免遭到網路犯罪份子濫用而受害。</p> <p>不過，全球最大漏洞懸賞計畫ZDI計畫負責人Brian Gorenc說：「當你看到CVE數量增加時，也往往意味著有更多錯誤正在被修復。」而且，這是資安主編羅正漢今年8月應邀參加美國黑帽大會，與其面對面專訪所得到的兩句話。</p> <p>不過，隨著自動化、AI等各種技術的推陳出新與持續普及，對於肆無忌憚的攻擊者而言，這些都是加速所有滲透與破壞手法的必用手段，發現與濫用已知與未知漏洞、偵察與突破資安防護缺口的時間變得越來越短，攻擊影響範圍也勢必更加廣泛。</p> <p>因此，對於資安產業與用戶而言，除了積極投入與發展「以魔法對付魔法」的反制與防禦技術，也必須重視「節流」，減少三項因素（技術、流程、人）的受攻擊面（Attack Surface），降低不必要的威脅暴露（Threat Exposure）。例如，越多越多人重視縱深防禦（Defense in Depth或layered defense），以及零信任架構（例如，採用多因素驗證、落實最小權限原則等），然而，產品資安的持續改善也很重要，業界一路從Security by Design、Security by Default，發展到Security by Demand，顯示強化產品資安的力道從供應商端的自覺、監管機關的命令，擴及整體市場的需求端，若改善程度達到一定水準，攻擊者能施展的空間就會越來越受限。</p> <p><a href="https://www.ithome.com.tw/article/172778" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1264-feng_mian_p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=P9XKdbP8" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%BC%8F%E6%B4%9E%E9%A2%A8%E9%9A%AA">漏洞風險</a></div><div class="field-item odd"><a href="/tags/%E6%B3%95%E8%A6%8F%E9%81%B5%E5%BE%AA">法規遵循</a></div><div class="field-item even"><a href="/tags/%E7%94%A2%E5%93%81%E8%B3%87%E5%AE%89">產品資安</a></div><div class="field-item odd"><a href="/tags/ot">oT</a></div><div class="field-item even"><a href="/tags/secure-design">Secure by Design</a></div><div class="field-item odd"><a href="/tags/%E7%94%A2%E5%93%81%E6%BC%8F%E6%B4%9E">產品漏洞</a></div><div class="field-item even"><a href="/tags/mitre-cna">MITRE CNA</a></div><div class="field-item odd"><a href="/tags/first">FIRST</a></div><div class="field-item even"><a href="/tags/%E7%94%A2%E5%93%81%E8%B3%87%E5%AE%89%E4%B8%AD%E5%BF%83">產品資安中心</a></div><div class="field-item odd"><a href="/tags/psc">PSC</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E6%BC%8F%E6%B4%9E">資安漏洞</a></div></div></div>
2025/12/12 06:00作者李宗翰https://www.ithome.com.tw/voice/172779
.NET Framework HTTP用戶端代理設計缺陷，結合WSDL匯入可構成RCE攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>WatchTowr Labs資安研究人員公開<a href="https://labs.watchtowr.com/soapwn-pwning-net-framework-applications-through-http-client-proxies-and-wsdl/">SOAPwn</a>研究，揭露.NET Framework內建HTTP用戶端代理HttpWebClientProtocol及其衍生的SoapHttpClientProtocol存在設計缺陷，微軟多次將相關回報標記為不修補，但實際測試證實，攻擊者可結合Web服務描述語言（Web Services Description Language，WSDL）匯入機制，在多款企業級產品上建構可重複利用的遠端程式碼執行攻擊鏈，部分產品情境甚至在無需額外使用者操作的情況下即可觸發。</p> <p>研究人員指出，這類簡單物件存取協定（Simple Object Access Protocol，SOAP）用戶端代理名義上用於透過HTTP存取XML Web服務，但實作上會根據網址前綴自動選擇不同通訊元件。也就是說，只要攻擊者有辦法更動代理的URL設定，就能把原本指向HTTP服務的網址，改成指向本機檔案路徑或SMB分享路徑。因此原本要當成SOAP請求送出去的內容，反而可能被寫進伺服器檔案系統，或被送到攻擊者控制的檔案分享點，前者帶來任意位置寫入檔案的風險，後者則造成NTLM雜湊外洩。</p> <p>不少.NET應用允許管理者輸入WSDL網址，程式會透過ServiceDescriptionImporter自動產生並呼叫SOAP用戶端代理。當WSDL由攻擊者提供時，攻擊者可以在WSDL裡動手腳，把服務位址改成伺服器上的檔案路徑，並設計好SOAP內容的結構，讓代理在指定路徑寫入ASPX或CSHTML等可執行檔案。對外看起來如同正常呼叫Web服務，實際上則是在伺服器指定路徑寫入一個Webshell或其他惡意腳本檔案，讓攻擊者後續得以遠端執行程式碼。</p> <p>在已公開的案例中，研究人員在Barracuda Service Center RMM與Ivanti Endpoint Manager等產品中驗證完整攻擊流程，前者漏洞編號CVE-2025-34392，並以2025.1.1熱修補更新處理，後者則對應CVE-2025-13659。研究人員並指出，Umbraco 8 CMS、Microsoft PowerShell與SQL Server Integration Services也存在可利用情境，代表這並非單一實作疏失，而是.NET SOAP HTTP用戶端代理設計在實務使用下衍生的系統性問題。</p> <p>研究人員提到，微軟主張不應讓不受信任輸入控制URL或WSDL來源，因而將問題界定為應用程式與使用者層級。在缺乏框架端修補的前提下，研究人員建議廠商與企業團隊主動盤點是否使用SoapHttpClientProtocol與ServiceDescriptionImporter等元件，特別是允許外部匯入WSDL並動態產生代理的功能，並在應用層限制僅接受HTTP與HTTPS協定，同時為WSDL來源設定明確信任邊界。</p> </div></div></div>
2025/12/11 17:00作者李建興https://www.ithome.com.tw/news/172770
【資安日報】12月11日，React2Shell攻擊活動持續擴大，北韓駭客、挖礦軟體、殭屍網路加入行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172756"><strong style="font-size: 22px;">後門程式PeerBlight鎖定React2Shell而來，企圖綁架Linux主機從事挖礦及DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/assets3eb6f92aedf74f109c7b4b0897(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/assets3eb6f92aedf74f109c7b4b0897(1).png" style="width: 300px; float: right;" /></a></p> <p>資安業者Huntress指出，他們看到駭客利用CVE-2025-55182（React2Shell）攻擊建築與娛樂產業等多個領域，過程中運用了過往未曾出現的惡意程式，其中包括Linux後門程式PeerBlight、反向代理伺服器隧道工具CowTunnel，以及Go語言打造的後利用工具ZinFoq，目的是濫用React主機的運算能力，利用挖礦軟體XMRig從事挖礦。此外，該公司也看到殭屍網路Kaiji的變種在這波活動中散布的情形，此殭屍網路病毒主要功能是發動DDoS攻擊，特別的是，若是IT人員試圖清除有效酬載，就可能導致受害電腦重開機。</p> <p>針對攻擊發生的過程，這些駭客疑似透過自動化掃描的方式，找出存在React2Shell的Next.js應用系統，而他們使用的工具是react2shell-scanner，此為資安業者Assetnote打造，並在GitHub發布，原本的用途是協助企業組織找出存在React2Shell的實體，來緩解相關風險，但如今也被駭客用於尋找下手的目標。</p> <p>一旦成功利用漏洞，他們就會試圖從多個C2伺服器下載其他作案工具，並透過建立隱藏屬性的資料夾，以及濫用systemd服務，來達到持續在受害主機活動的目的。最終，駭客執行經Base64演算法處理的Bash指令碼，從GitHub下載特定版本的XMRig，並與特定加密貨幣錢包及礦池連線。值得一提的是，雖然攻擊者的目標是Linux主機，但Huntress也看到Windows電腦被植入Linux有效酬載的情況，而這也是他們判斷駭客使用自動化漏洞利用工具的重要依據。</p> <p><a href="https://www.ithome.com.tw/news/172743"><strong style="font-size: 22px;">北韓駭客加入利用React2Shell的行列，散布惡意程式EtherRAT</strong></a></p> <p>資安業者Sysdig指出，他們發現有人利用React2Shell散布名為EtherRAT的惡意軟體，過程中使用的作案工具，與北韓駭客先前的活動Contagious Interview有所交集。針對這波活動，可能代表北韓已有國家級駭客開始利用React2Shell，而且各駭客組織之間存在複雜的作案工具共用關係。</p> <p>這起事故出現在React公開漏洞的2天後，Sysdig發現遭到滲透的Next.js應用程式，當中被植入的有效酬載，並非初期利用React2Shell散布的挖礦軟體或竊資軟體，而是功能相當複雜的EtherRAT，因而引起他們的注意。此惡意程式濫用以太坊智慧合約進行C2通訊，並具備5種常駐在Linux環境的機制，一旦執行，還會從nodejs.org下載專屬的Node.js執行期間元件（Runtime）。有別於其他利用React2Shell的惡意活動，主要仰賴PowerShell或是Shell命令，並採用寫死的（Hardcoded，將固定IP位址與網域寫死在程式碼）C2基礎設施，EtherRAT顯得相當特別。</p> <p>針對EtherRAT的攻擊流程，通常從執行經Base64演算法處理的Shell命令開始，在成功利用React2Shell之後，就下載Shell指令碼並執行，然後部署以JavaScript打造的惡意程式。整個流程大致可區分成4個階段。</p> <p><a href="https://www.ithome.com.tw/news/172724"><strong style="font-size: 22px;">北韓IT工作者滲透歐美企業出現新招，先透過釣魚手法冒用合法工程師的身分，再向企業應徵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/B.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/B.png" style="width: 300px; float: right;" /></a></p> <p>最近幾年，北韓IT工作者在北美與歐洲求職，謀取遠距工作職缺，就職後不僅將獲得薪酬用於北韓核武發展，並在所屬公司進行滲透、竊取相關機密，或是從事長期網路間諜活動，多年來美國執法機構圍剿協助犯案的筆電農場（Laptop Farm）與負責人，這些北韓IT工作者也改變做法，「借用」想要求職的工程師身分，滲透歐美企業。</p> <p>威脅情報業者BCA LTD及NorthScan，他們與資安沙箱業者Any.Run聯手，揭露北韓駭客Lazarus旗下團體Famous Chollima（WageMole）最新一波攻擊活動，駭客透過GitHub垃圾訊息、Telegram，以及假的求職平臺等管道，先對想要應徵開發人員或工程師職務的開發人員下手，然後再利用這些開發人員的真實身分，向歐美企業應徵遠距工作職缺。這些駭客透過社交工程手法，藉由令人信服的故事、施壓，以及身分詐騙來推動整個流程，脅迫求職者交出社會安全碼與銀行帳號等身分資料，甚至是裝置的存取權限。</p> <p>對此，他們呼籲企業在面試新員工時，要嚴格執行KYC（確認身分識別）管控，以及對面試者進行背景調查，並訓練人才招募團隊能及早察覺可能的異狀；而對於想要找工作的開發人員或工程師，必須特別留意惡意程式開發挑戰的陷阱，不要使用現職公司的設備參加面試，再者，如果徵才公司出乎意料地願意聘雇，卻要求怪異的合作行為，求職者就要提高警覺，該公司可能想要冒用求職者的身分從事不法行為。</p> <p><a href="https://www.ithome.com.tw/news/172760"><strong style="font-size: 22px;">OWASP公布AI代理的10大資安威脅</strong></a></p> <p>這兩年生成式AI應用起飛，已逐漸融入你我生活，相關的新技術也帶來了新的風險，過去經常發布10大資安風險的非營利組織OWASP，從2023年8月開始，彙整大型語言模型（LLM）的10大資安風險，去年底公布最新的2025版，隨著許多應用聚焦在AI代理，現在他們公布AI代理的10大資安風險。</p> <p>這10大資安風險當中，又以前三大最被凸顯。其中OWASP列為第一的是Agent Goal Hijack，光從字面上不容易直接理解其風險為何，OWASP說明指出，這種風險來自攻擊者操縱AI代理的自然語言輸入，改變原本的目標，導致資料外流、輸出結果被竄改，或是工作流程被挾持的情況，而這的確是時下最常見的AI代理威脅之一。</p> <p>排名第二和第三的威脅，就相對容易理解：分別是工具濫用及漏洞利用（Tool Misuse and Exploitation），以及身分與特殊權限的濫用（Identity and Privilege Abuse），這些威脅展現攻擊者如何顛覆AI代理能力，以及其背後的基礎設施，而且，涉及AI代理的資安威脅，已在各行各業浮現。</p> <p><a href="https://www.ithome.com.tw/news/172727"><strong style="font-size: 22px;">Nvidia修補AI推論伺服器Triton高風險DoS漏洞</strong></a></p> <p>Nvidia公告修補Linux版Triton推論伺服器（Inference Server）兩項高風險漏洞，分別為CVE-2025-33211與CVE-2025-33201。若遭攻擊者利用，可能使推論作業在執行過程中發生錯誤並中止，進而造成阻斷服務（DoS），影響AI模型及相關應用的正常運作。</p> <p>CVE-2025-33211的問題源於Triton推論伺服器對輸入資料中指定的數量（specified quantity）驗證不足。攻擊者可藉由提交特製輸入，使系統在處理階段觸發例外狀況，導致推論服務無法正常運作。</p> <p>CVE-2025-33201則與伺服器在面對異常大型payload時的檢查邏輯不足有關。Nvidia指出，若攻擊者送出的大量資料超過伺服器單次請求可安全處理範圍，可能使系統無法承受負荷而中止，同樣會導致阻斷服務。</p> <p><a href="https://www.ithome.com.tw/news/172731"><strong style="font-size: 22px;">英國公立醫療機構Barts Health NHS Trust遭遇Oracle EBS資料外洩，並公開於暗網</strong></a></p> <p>英國公立醫療機構Barts Health NHS Trust上周公告遭遇Oracle E-Business Suite（EBS）攻擊，致個人資料公開。據媒體報導，外洩的是Barts Health管理的病患和醫院員工資料，此事件同樣發生於今年8月。</p> <p>Barts Health NHS Trust作為一家信託機構，管理倫敦皇家醫院等5家醫院。一如其他受害者，Barts Health信託機構遭到Cl0p駭客從包含發票的資料庫中竊取了某些檔案，並將之張貼於暗網。被竊取的檔案包含多年來需要支付一家Barts Health醫院治療及服務費用的個人資料，包括姓名及地址。Barts Health已緊急採取法律行動，請求英國高等法院開出命令，以阻止這批資料的發布、使用與分享，同時和英格蘭NHS、以及英國網路安全中心、警方合作，並且向英國資料主管機關資訊委員會辦公室（ICO）通報。</p> <p><a href="https://www.ithome.com.tw/news/172585"><strong style="font-size: 22px;">Palo Alto Networks斥資33.5億美元買下可觀測性平臺供應商Chronosphere</strong></a></p> <p>全球最大的獨立資安公司Palo Alto Networks宣布，將以33.5億美元收購新一代的可觀測性平臺Chronosphere，以強化Palo Alto Networks協助企業在現代應用及AI工作負載下，打造統一資料及安全基礎的能力，預計於2026年7月底以前完成交易。</p> <p>Palo Alto Networks表示，現代應用及AI工作負載的成長，使得全天候不中斷的可用性與韌性成為重要任務，Chronosphere正是為此而生，它採用新世代的架構設計，具備AI時代的可擴展能力，可在高成本效率及高可靠性的前提下處理巨大雲端資料量。</p> <p>根據Palo Alto Networks的規畫，整合上述兩個平臺之後，可觀測性的價值將從被動監控躍升為自動化修復平臺，新方案將在Chronosphere所監控的海量資料上部署AI代理人，除了偵測效能問題，還能自主調查根本原因，並以代理人方式完成修復。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-10-000-docker-hub-images-found-leaking-credentials-auth-keys/">逾1萬個Docker Hub映像曝露憑證與API金鑰</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-ads-for-shared-chatgpt-grok-guides-push-macos-infostealer-malware/">惡意廣告假借提供ChatGPT與Grok指引，意圖散布macOS竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-droidlock-malware-locks-android-devices-and-demands-a-ransom/">安卓惡意軟體DroidLock將裝置鎖定，並向受害者進行勒索</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-spiderman-phishing-service-targets-dozens-of-european-banks/">網釣工具包Spiderman鎖定數十家歐洲銀行的用戶而來</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172751"><strong>【12月10日】微軟、SAP等多家科技業者發布12月份例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172725"><strong>【12月9日】AI開發工具與程式助理廣泛存在一系列資安漏洞，可串連形成攻擊鏈IDEsaster</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172708"><strong>【12月8日】殭屍網路及中國駭客傳出已實際利用滿分資安漏洞React2Shell</strong></a></p> </div></div></div>
2025/12/11 13:33作者周峻佑https://www.ithome.com.tw/news/172761
因應AI時代資訊需求，Google推出首選來源與新聞合作計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>因應AI時代下使用者資訊取得方式的轉變，<a href="https://blog.google/products/search/tools-partnerships-web-ecosystem/" target="_blank">Google本周公布</a>新一代內容呈現與合作策略，涵蓋首選來源（Preferred Sources）、訂閱內容優先呈現（Easy access to your subscriptions）、AI Mode連結功能升級、Web Guide效能改善等多項更新，同時強化與各類內容供應商與出版商的合作。此舉被外界視為Google在AI搜尋競爭下的策略調整。</p> <p>Google去年開始於搜尋結果中的新聞焦點（Top Stories）測試首選來源功能，讓使用者可自行指定偏好的新聞媒體或網站，並於Top Stories中優先看到來自這些來源的內容；現在則推向全球英文市場，預計明年支援所有語言，使其成為搜尋產品的核心功能。</p> <p>訂閱內容優先呈現則會在搜尋結果中，特別標示並優先顯示使用者所訂閱媒體的連結，並提供專屬輪播區。預計未來數周將先登上Gemini App，接著部署至AI Overviews與AI Mode。</p> <p>為了安撫出版商對AI擠壓流量的疑慮，Google調整了AI Mode的連結設計，提高連結數量，並新增脈絡提示，強調該連結值得造訪的原因。</p> <p>Web Guide是Google在搜尋中嵌入的AI導覽工具，透過AI分析搜尋查詢後，自動將大量網頁依主題分類成不同群組；這次Google主要將其效能提高兩倍，改善使用者探索新聞網站及複雜議題的效率。</p> <p>同一天Google也宣布擴大與主要出版商的合作，在Google News首頁上測試由AI生成的文章摘要與音訊簡報，參與出版商包括Der Spiegel、El País、Folha de S. Paulo、The Guardian及The Washington Post等。</p> <p>最後一個重要合作是，Google將多家通訊社的即時新聞資料流，直接介接至Gemini App，包括美聯社（AP）、韓聯社（Yonhap）、印尼國家通訊社Antara以及巴西新聞集團Estadão，讓Gemini能夠更準確且更可靠地回答國際新聞問題。</p> </div></div></div>
2025/12/11 15:56作者陳曉莉https://www.ithome.com.tw/news/172763
Android間諜軟體ClayRat再進化，新版可自動解鎖手機並遠端操控裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>行動資安廠商Zimperium旗下zLabs研究團隊公布最新分析指出，<a href="https://zimperium.com/blog/return-of-clayrat-expanded-features-and-techniques">新版ClayRat</a>在原本可竊取簡訊、通話紀錄與相片的基礎上，進一步濫用Android無障礙服務與預設簡訊App權限，不僅能自動解鎖手機，還可錄製螢幕、偽造通知並遠端操控裝置。</p> <p>ClayRat在10月首次被揭露時，就已被歸類為快速演進的Android間諜軟體家族，這次則加入更多監控與遠端控制機制，讓受害者更不容易察覺與移除。</p> <p>研究人員指出，攻擊者架設超過25個釣魚網域，偽裝成YouTube等影音平臺頁面，以及車用診斷工具Car Scanner ELM的合法下載頁面，誘導使用者下載惡意安裝檔。此外，ClayRat也被發現利用雲端儲存服務Dropbox散布惡意APK。截至目前，研究人員已在短時間內偵測到超過700個獨立APK。</p> <p>新版ClayRat安裝後，會先引導使用者將其設為預設簡訊App，以取得廣泛簡訊讀寫權限，接著再要求啟用無障礙服務。當兩項關鍵權限到手後，惡意程式便可透過模擬點擊自動操作系統介面，例如關閉Play商店與相關防護機制，降低被Google Play Protect攔截的機會。ClayRat仍採用加密惡意載荷與dropper架構，將真正的惡意模組以AES/CBC加密後藏在資產目錄中，執行時再於本機解密載入，以增加分析難度。</p> <p>這一代ClayRat更專注在攻擊鎖定畫面與螢幕內容，研究人員指出，惡意程式會監看來自SystemUI與Keyguard的無障礙事件，記錄使用者在PIN、密碼或圖形解鎖介面上的每一次輸入，重建解鎖憑證後儲存在本機設定中，供日後自動解鎖使用。同時，ClayRat可透過MediaProjection API啟動螢幕錄製，搭配類VNC遠端桌面機制，長時間串流手機畫面給攻擊者，並支援模擬點擊與滑動，從遠端實際操控受害裝置。</p> <p>新版ClayRat也把通知與覆蓋層當成重要攻擊面，攻擊者可下達指令，要求惡意程式在手機上建立自訂通知，外觀看似來自合法App，實際上會攔截使用者在通知上的回覆內容並回傳伺服器，用於竊取帳號密碼等敏感資訊。</p> <p>研究人員警告，一旦員工手機遭ClayRat感染，攻擊者便可能攔截多因素驗證碼、錄製企業App操作畫面，甚至以受害者身分在通訊工具上發訊或撥打電話，進一步嘗試登入企業系統或發動社交工程攻擊。</p> </div></div></div>
2025/12/11 14:46作者李建興https://www.ithome.com.tw/news/172762
OWASP公布AI代理的10大資安威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>這兩年生成式AI應用起飛，已逐漸融入你我生活，相關的新技術也帶來了新的風險，過去經常發布10大資安風險的非營利組織OWASP，從2023年8月開始，<strong><a href="https://www.ithome.com.tw/news/168417">彙整大型語言模型（LLM）的10大資安風險</a></strong>，去年底公布最新的2025版，隨著許多應用聚焦在AI代理，<strong><a href="https://genai.owasp.org/2025/12/09/owasp-genai-security-project-releases-top-10-risks-and-mitigations-for-agentic-ai-security/">現在他們公布AI代理的10大資安風險</a></strong>。</p> <p>這10大資安風險當中，又以前三大最被凸顯。其中OWASP列為第一的是Agent Goal Hijack，光從字面上不容易直接理解其風險為何，OWASP說明指出，這種風險來自攻擊者操蹤AI代理的自然語言輸入，改變原本的目標，導致資料外流、輸出結果被竄改，或是工作流程被挾持的情況，而這的確是時下最常見的AI代理威脅之一。</p> <p>排名第二和第三的威脅，就相對容易理解：分別是工具濫用及漏洞利用（Tool Misuse and Exploitation），以及身分與特殊權限的濫用（Identity and Privilege Abuse），這些威脅展現攻擊者如何顛覆AI代理能力，以及其背後的基礎設施，而且，涉及AI代理的資安威脅，已在各行各業浮現。</p> <p>對於OWASP從彙整LLM資安風險轉向AI代理風險的原因，帶頭彙整10大威脅的Tenable AI資安資深團隊經理Keren Katz指出，許多企業已曝露AI代理遭到攻擊的風險，但他們還沒掌握AI代理已在網路環境運作的情況，由於新的威脅資訊量極為龐大，想要有效保護企業防範相關威脅，必須深入了解AI代理的運作方式。</p> <p>OWASP在列出十大威脅之餘，也提供一系列的指引供企業參考，內容涵蓋AI資安的治理、資安解決方案藍圖、安全AI代理應用程式實作指引，以及AI代理威脅與緩解手冊等。</p> <p>對於生成式AI帶來的資安風險，近期不斷有相關發現公布。例如，攻擊者可透過遵循禮節的商業電子郵件，<strong><a href="https://www.ithome.com.tw/news/172755">操縱瀏覽器Perplexity Comet的AI代理</a></strong>，刪除受害者於Google Drive存放的資料；Google近期修補的企業版Gemini<strong><a href="https://www.ithome.com.tw/news/172754">零點擊漏洞GeminiJack</a></strong>，攻擊者只要共享文件、發出行事曆邀請，或是寄送Gmail郵件，就有機會竊取企業內部資料並外流。而在軟體開發領域，攻擊鏈<strong><a href="https://www.ithome.com.tw/news/172719">IDEsaster</a></strong>與提示注入漏洞<strong><a href="https://www.ithome.com.tw/news/172709">PromptPwnd</a></strong>，也與AI代理有關。</p> </div></div></div>
2025/12/11 13:24作者周峻佑https://www.ithome.com.tw/news/172760
Google全面支援MCP，讓AI代理人可直接操作雲端服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://cloud.google.com/blog/products/ai-machine-learning/announcing-official-mcp-support-for-google-services/" target="_blank">Google周四（12/11）宣布</a>，將全面支援模型脈絡協定（Model Context Protocol，MCP），會陸續推出官方的全託管遠端MCP伺服器，首波問世的服務包括Google Maps、BigQuery、Google Compute Engine及Google Kubernetes Engine（GKE），讓AI代理人得以直接操作Google雲端服務、查詢資料與管理基礎架構。</p> <p>MCP是由Anthropic在2024年提出的開放協定，本質上是一套「外部工具應如何向AI模型曝露能力」的規範，提供統一的工具介接格式，使模型能以一致方式呼叫各類資料庫、API與系統，因此被稱為AI界的USB-C。<a href="https://www.ithome.com.tw/news/172732" target="_blank">該協定也在本周成為</a>代理式AI基金會（Agentic AI Foundation，AAIF）的第一批標準。</p> <p>Google說明，過去若要使用社群打造的Google MCP伺服器，開發者必須自行尋找、安裝並維護本地或開源版本，整合成本高且穩定性不一。如今官方提供全託管的MCP伺服器，開發者只需讓AI代理人或MCP客戶端指向Google提供的端點，即可直接使用Google與Google Cloud的服務。</p> <p>在第一波開放的服務中，Grounding Lite是Google Maps提供的地理資料查詢工具，能提供地點資訊、天氣預測、距離與路線時間等可信資料，協助AI代理人回答位置、旅遊或周邊推薦等問題，並降低模型因推測而產生錯誤內容的風險。</p> <p>BigQuery MCP伺服器讓代理人能原生解析Schema並執行查詢，不需要將資料搬進脈絡窗，可直接使用BigQuery功能，同時維持原地治理與安全性。在自主化基礎設施管理上，Google Compute Engine藉由公開建置與調整等能力，讓AI代理人可自主處理基礎架構工作流程，從初始建置到Day2運維，並可依工作負載動態調整資源。</p> <p>GKE MCP伺服器提供結構化介面，讓AI代理人可直接與GKE及Kubernetes API互動，不需解析文字輸出或組合複雜CLI。代理人可在一致環境中診斷問題、處理故障並進行成本最佳化，提升容器營運效率與可靠性。</p> <p>Google舉例，開發者可用代理人開發套件（Agent Development Kit，ADK）打造以Gemini 3 Pro為核心的代理人，透過MCP同時連接BigQuery與Google Maps。例如在零售選址時，代理人會向BigQuery取得銷售資料並預測營收，再查詢Maps了解周邊商業環境與配送路線，最後整合兩方結果提出選址建議，全程由MCP工具協調完成。</p> <p>在安全性上，Google以Cloud API Registry與Apigee API Hub集中管理可用工具，並透過Cloud IAM控管存取，搭配審計紀錄與Model Armor防禦間接提示注入等攻擊，確保AI代理人在使用Google與企業API時，具備完整的安全性與可觀測性。</p> <p>Google表示，未來數月將陸續為更多服務加入MCP支援，包括Cloud Run、Cloud Storage、Cloud SQL、Spanner、Looker、Pub/Sub、Cloud Logging與Cloud Monitoring等，讓代理人可在更完整的雲端環境中運作。</p> </div></div></div>
2025/12/11 12:46作者陳曉莉https://www.ithome.com.tw/news/172758
後門程式PeerBlight鎖定React2Shell而來，企圖綁架Linux主機從事挖礦及DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週React開發團隊修補滿分漏洞CVE-2025-55182（React2Shell），這個存在於React伺服器元件（React Server Components，RSC）的遠端程式碼執行（RCE）漏洞，在公布後數個小時就出現漏洞利用活動，最早傳出的是<strong><a href="https://www.ithome.com.tw/news/172651">中國駭客Earth Lamia與Jackpot Panda等多個團體利用</a></strong>，後續傳出<strong><a href="https://www.ithome.com.tw/news/172743">北韓駭客用來散布惡意軟體EtherRAT</a></strong>，也有<strong><a href="https://www.ithome.com.tw/news/172683">Mirai等殭屍網路將漏洞納入武器庫</a></strong>的情形，現在該漏洞也被用於從事挖礦活動及DDoS攻擊。</p> <p>資安業者Huntress指出，<strong><a href="https://www.huntress.com/blog/peerblight-linux-backdoor-exploits-react2shell">他們看到駭客利用React2Shell攻擊建築與娛樂產業等多個領域</a></strong>，過程中運用了過往未曾出現的惡意程式，其中包括Linux後門程式PeerBlight、反向代理伺服器隧道工具CowTunnel，以及Go語言打造的後利用工具ZinFoq，目的是濫用React主機的運算能力，利用挖礦軟體XMRig從事挖礦。此外，該公司也看到殭屍網路Kaiji的變種在這波活動中散布的情形，此殭屍網路病毒主要功能是發動DDoS攻擊，特別的是，若是IT人員試圖清除有效酬載，就可能導致受害電腦重開機。</p> <p>針對攻擊發生的過程，這些駭客疑似透過自動化掃描的方式，找出存在React2Shell的Next.js應用系統，而他們使用的工具是react2shell-scanner，此為資安業者Assetnote打造，並在GitHub發布，原本的用途是協助企業組織找出存在React2Shell的實體，來緩解相關風險，但如今也被駭客用於尋找下手的目標。</p> <p>一旦成功利用漏洞，他們就會試圖從多個C2伺服器下載其他作案工具，並透過建立隱藏屬性的資料夾，以及濫用systemd服務，來達到持續在受害主機活動的目的。最終，駭客執行經Base64演算法處理的Bash指令碼，從GitHub下載特定版本的XMRig，並與特定加密貨幣錢包及礦池連線。值得一提的是，雖然攻擊者的目標是Linux主機，但Huntress也看到Windows電腦被植入Linux有效酬載的情況，而這也是他們判斷駭客使用自動化漏洞利用工具的重要依據。</p> <p>針對駭客這次使用的後門程式PeerBlight，其特別的地方在於，駭客採用BitTorrent DHT的網路環境，作為備援C2的連線管道，即使主要C2連線遭到中斷，仍能持續進行C2通訊。而對於該後門程式的來歷，Huntress指出與RotaJakiro有部分程式碼重疊，但通訊協定、加密架構，以及指令結構存在本質上的差異，因此他們研判，PeerBlight的開發者可能借用了RotaJakiro建立持續活動的程式碼，或是兩者都是經營殭屍網路Torii的駭客開發。</p> <p>PeerBlight的持久性機制也相當特別，駭客在取得root權限的情況下，通常會使用Systemd服務來達到目的，不過，若是受害主機執行沒有搭載Systemd的舊系統，他們就會竄改Upstart組態。假如駭客並未於受害主機取得root，後門程式就會建立隱藏資料夾，並以模仿systemd的「PrivateTmp」資料夾命名方式，設定資料夾名稱，然後將其複製為softirq。</p> <p>至於該後門程式與C2連線的方式，也相當複雜。駭客首先會嘗試連接到185.247.224[.]41:8443，並以TCP socket通訊進行。此後門會產生隨機的AES-256金鑰，使用特定RSA-2048演算法的公鑰來加密流量，然後將加密金鑰的資料傳送到伺服器。不過，這些駭客也採用網域名稱生成演算法（DGA），藉由日期和時間產生SHA-256雜湊值，並使用特定常數產生初步結果，然後又將新的雜湊值轉換成4位元的區塊。接著再透過特定的旋轉資料方式、XOR演算法處理、使用偽隨機數產生器 Mersenne Twister等流程，產生DGA網域。若是上述C2連線機制都失效，PeerBlight就會透過BitTorrent基礎設施，來建立C2通訊。</p> </div></div></div>
2025/12/11 11:11作者周峻佑https://www.ithome.com.tw/news/172756
駭客濫用GitHub個人存取權杖，竊取Actions機密憑證攻擊雲端控制平面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端資安業者Wiz<a href="https://www.wiz.io/blog/github-attacks-pat-control-plane">揭露</a>多起事件，指出駭客鎖定開發者GitHub個人存取權杖（PAT），再利用GitHub Actions機密憑證取得雲端帳號權限，讓程式碼庫中的權杖外洩升級為企業雲端環境的資安事故。</p> <p>研究人員觀察到，這次分析的多起攻擊案例，多半是從取得一組具備一般開發權限的PAT開始。駭客利用這組權杖呼叫GitHub程式碼搜尋功能，在組織內檢索工作流程檔，從工作流程中Secrets呼叫語法推得正在使用的Actions Secrets名稱。Wiz統計顯示，約73%使用GitHub Actions Secrets的企業會在其中存放雲端服務憑證，讓這一步的偵察直接關聯到雲端環境安全。</p> <p>在掌握Secrets名稱且PAT具備寫入權限時，攻擊者會修改或新增GitHub Actions工作流程，讓惡意程式碼在Runner上執行並使用這些機密憑證。GitHub雖會在工作流程紀錄中自動遮罩Secrets內容，但研究人員指出，實務上已有攻擊者透過編碼或轉送到外部服務等方式繞過保護，取得可直接用於雲端服務的金鑰，甚至在雲端控制平面內建立新的存取憑證，作為長期後門。</p> <p>當攻擊者掌握雲端憑證後，便能離開GitHub，進入企業雲端控制平面進行橫向移動。Wiz資料顯示，約45%的組織在私有程式碼庫中存放純文字雲端金鑰，而公開儲存庫僅約8％，顯示企業過度信任私有儲存庫，一旦開發者PAT遭竊，這些機密就可能成為入侵入口。</p> <p>研究人員指出，目前GitHub Enterprise稽核日誌並不會記錄程式碼搜尋API呼叫，加上具寫入權限的PAT還能刪除工作流程與執行紀錄，要是企業沒有將相關紀錄串流到集中化的稽核或事件平臺，事後往往難以完整重建攻擊時間軸與影響範圍。</p> <p>要讓這類從程式碼出發，最終攻擊雲端控制平面的行為有機會在早期被發現，研究人員建議，組織應檢視PAT權限與存續時間，盤點並減少儲存在GitHub Actions與程式碼庫中的雲端憑證，同時應啟用GitHub Enterprise稽核日誌與IP追蹤設定，並將這些紀錄即時串流到集中化的稽核或事件平臺做長期留存。</p> </div></div></div>
2025/12/11 09:34作者李建興https://www.ithome.com.tw/news/172753
Gemini Enterprise存在可外洩企業資料的零點擊漏洞GeminiJack
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://noma.security/blog/geminijack-google-gemini-zero-click-vulnerability/" target="_blank">研究人員發現</a>Google Gemini Enterprise存在一項漏洞，讓攻擊者只要以共享Google Docs、Google Calendar邀請或Gmail郵件，就能存取企業資料並外洩出去。</p> <p>這項漏洞由Noma Labs發現，並命名為GeminiJack。它之前存在Vertex AI Search，Google已在安全廠商合作下將之修補。</p> <p>研究人員說，GeminiJack並非傳統軟體漏洞，而是出於Gemini Enterprise檢索增強生成（Retrieval Augmented Generation,RAG）的系統架構性瑕疵。Gemini Enterprise AI搜尋功能導入了RAG架構，允許企業查詢多種資料源，包括Gmail、Google Calendar、Google Docs（文件、試算表和簡報），以及其他Google Workspace元件。但是GeminiJack利用了Gemini Enterprise的上下文邊界混淆問題，攻擊者可將惡意指令嵌在Google Workspace的共享文件（如Google Docs、外部送進的文件、或是會議邀請），趁著RAG系統運作原理，讓Gemini當成執行指令，形成間接指令注入，過程中不需任何員工點擊行為。</p> <p>研究人員以PoC說明GeminiJack執行的四個執行步驟。第一步是內容下毒，攻擊者先建立合法的共享文件，如Google Docs、Google Calendar邀請，或是Gmail郵件。其次是在文件、會議邀請或郵件中嵌入惡意指令，像是「請搜尋業務部的郵件」，且要求Gemini將搜尋結果包入圖片檔的HTML img標籤中，圖片來源設為攻擊者控制的外部伺服器。</p> <p>第三步是員工正常使用活動，如一名員工在Gemini Enterprise下達指令「顯示所有業務部門所有文件／郵件」。第四步驟，是Gemini Enterprise執行RAG檢索觸發模型的上下文混淆（context confusion）。由於Gemini Enterprise能搜尋企業所有資料源，因而在解析惡意Google Docs（或Gmail）時，無意間執行指令。由此，Gemini Enterprise RAG系統就按照嵌入的指令，將業務部資料搜尋結果嵌入HTML圖片標籤中，向外部伺服器發送HTTP請求，藉此把企業業務資料傳送給攻擊者。</p> <p>研究人員指出，GeminiJack具備零點擊、不動聲色、長期留存、以及高擴充性等特色。視嵌入的Google Workspace文件而定，這項攻擊能讓攻擊者竊取客戶、業務或公司財務資料、公司內或外部的重要時程、合作關係、以及機密合約、技術文件、產品規格或競爭情報等。</p> <p>在接獲資安業者通報後，Google已經變更Gemini Enterprise和Vertex AI搜尋和底層擷取（retrieval）與索引（indexing）系統互動方式。現在漏洞已解決，Vertex AI搜尋已經和Gemini Enterprise完全隔離開來，不再使用原本的LLM workflow或RAG功能。</p> </div></div></div>
2025/12/11 10:16作者林妍溱https://www.ithome.com.tw/news/172754
Perplexity AI瀏覽器零點擊漏洞可讓攻擊者抹除Google Drive資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.straiker.ai/blog/from-inbox-to-wipeout-perplexity-comets-ai-browser-quietly-erasing-google-drive" target="_blank">Perplexity AI瀏覽器Comet被發現存在一項零點擊漏洞</a>，可讓攻擊者單單以一個有禮貌的商業電子郵件，就能刪除Google Drive內的資料。</p> <p>資安業者Straiker研究人員發現，在Perplexity AI的Comet代理式瀏覽器中，只要發送一則內含「整理共享Google Drive」訊息的郵件，就能透過對AI瀏覽器助理的提示，將看似禮貌的郵件變成抹除Google Drive檔案的惡意工具。</p> <p>這類新攻擊手法主要是利用代理人可透過連接器(Connector)存取Google服務，如Gmail或Google Drive的功能，並執行搬移、重新命名或刪除等行為。在這項攻擊下，攻擊者發送了有禮貌的Gmail來包裝其指令，包括「請整理Google Drive」、「代我刪除鬆散檔案(loose files)或.ZIP檔」、「檢查變更，確保一切看來整潔」。</p> <p>研究人員指出，這類有禮貌、使用的抽象用語（如「整理」、「整潔」）、層次井然的商業書信文體正是攻擊高明之處，因這訊息看來是典型的商業信件，可減少模型質疑、確保遵從行為。將攻擊流程分點列出，也會使代理人一一執行所有步驟。這個過程是完美的零點擊攻擊。</p> <p>研究人員指出，這新攻擊手法突顯自然語言能繞過電子郵件過濾、而LLM的安全護欄往往只著重模型本身，較忽略工具行為。AI代理人攻擊也顯示連接器濫用，成為共享資源的一大風險隱憂。</p> <p>Straiker STAR Labs研究人員建議企業IT管理員應限制連接器的破壞性行為、檢視指令來源、並完整追蹤代理人活動、以及強化提示及政策防護層，防止「清理」、「幫我處理」等提示用語。此外最好執行紅隊演練，看看代理人是否會遵守「刪除Google Drive檔案」的訊息提示。</p> </div></div></div>
2025/12/11 11:06作者林妍溱https://www.ithome.com.tw/news/172755
ChatGPT用戶現已可呼叫Photoshop及Acrobat等Adobe工具來支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://news.adobe.com/news/2025/12/adobe-photoshop-express-acrobat-chatgpt" target="_blank">Adobe周三（12/10）宣布</a>，已透過代理式AI技術及模型脈絡協定（Model Context Protocol，MCP），讓ChatGPT用戶可直接於聊天介面中呼叫Adobe Photoshop、Adobe Express，以及Adobe Acrobat等應用來支援影像與文件的編輯。</p> <p>OpenAI是在今年10月開始<a href="https://www.ithome.com.tw/news/171545" target="_blank">於ChatGPT中整合外部應用程式</a>，預覽Apps SDK，以讓使用者於ChatGPT中呼叫某個程式來回答問題，像是點名Spotify來建立派對歌單，或是要Booking.com幫忙尋找巴黎住處，還是請Coursera推薦AI入門課程等，這種查詢類的第三方應用可供所有等級的ChatGPT用戶免費使用。</p> <p>本周加入的Adobe Photoshop、Adobe Express，以及Adobe Acrobat則是屬於專業型的第三方應用，因耗費更多的資源，因此只供ChatGPT付費用戶存取，只要於設定中啟用相關應用程式即可在聊天的過程中呼叫它們。</p> <p>上述的Adobe應用皆為免費的基礎版本，例如ChatGPT用戶可請Photoshop調整影像中特定區塊的亮度、對比及曝光等設定，或是套用Glitch、Glow等創意效果，同時完整保留影像品質。或是瀏覽Express龐大的設計範本庫，挑選最適合的版型，填入文字、替換圖片、加入動畫，並在聊天介面中直接編修，且無須切換應用程式。</p> <p>Acrobat則允許ChatGPT用戶編輯PDF檔案、擷取文字或表格，整理與合併多個檔案、壓縮文件，並在轉成PDF時保持品質及排版；Acrobat for ChatGPT亦可輕鬆遮掩敏感資訊。</p> <p>以Photoshop為例，<a href="https://blog.adobe.com/en/publish/2025/12/10/edit-photoshop-chatgpt" target="_blank">在啟用該程式之後</a>，使用者只需於ChatGPT中上傳想要編輯的照片，然後在提示中提及「Adobe Photoshop，突顯照片中的人物」，接著就可持續輸入各種編輯需求。</p> <p>目前Adobe for ChatGPT的3款應用皆已支援桌面、網頁與iOS平臺，率先支援Android平臺的則是Adobe Express，Photoshop及Acrobat很快就會跟上。</p> </div></div></div>
2025/12/11 11:16作者陳曉莉https://www.ithome.com.tw/news/172757
北韓駭客加入利用React2Shell的行列，散布惡意程式EhterRAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週React開發團隊修補CVE-2025-55182（React2Shell），此漏洞存在於React伺服器元件（React Server Components，RSC），可被用於遠端執行任意程式碼，風險值達到滿分10分，相當危險。該漏洞公開不久，<strong><a href="https://www.ithome.com.tw/news/172651">Earth Lamia、Jackpot Panda</a></strong>，以及<strong><a href="https://www.ithome.com.tw/news/172683">UNC5174（CL-STA-1015）</a></strong>等中國國家級駭客已積極利用，亦有Mirai及其他殭屍網路加入利用的行列，如今有資安業者發現，北韓駭客也用於散布惡意軟體，使得React2Shell漏洞利用活動急速升溫。</p> <p>資安業者Sysdig指出，<strong><a href="https://www.sysdig.com/blog/etherrat-dprk-uses-novel-ethereum-implant-in-react2shell-attacks">他們發現有人利用React2Shell散布名為EtherRAT的惡意軟體</a></strong>，過程中使用的作案工具，與北韓駭客先前的活動<strong><a href="https://www.ithome.com.tw/tags/contagious-interview">Contagious Interview</a></strong>有所交集。針對這波活動，可能代表北韓已有國家級駭客開始利用React2Shell，而且各駭客組織之間存在複雜的作案工具共用關係。</p> <p>這起事故出現在React公開漏洞的2天後，Sysdig發現遭到滲透的Next.js應用程式，當中被植入的有效酬載，並非初期利用React2Shell散布的挖礦軟體或竊資軟體，而是功能相當複雜的EtherRAT，因而引起他們的注意。此惡意程式濫用以太坊智慧合約進行C2通訊，並具備5種常駐在Linux環境的機制，一旦執行，還會從nodejs.org下載專屬的Node.js執行期間元件（Runtime）。有別於其他利用React2Shell的惡意活動，主要仰賴PowerShell或是Shell命令，並採用寫死的（Hardcoded）C2基礎設施，EtherRAT顯得相當特別。</p> <p>針對EtherRAT的攻擊流程，通常從執行經Base64演算法處理的Shell命令開始，在成功利用React2Shell之後，就下載Shell指令碼並執行，然後部署以JavaScript打造的惡意程式。整個流程大致可區分成4個階段。</p> <p>首先是取得初步的存取管道，攻擊者利用React2Shell執行經Base64演算法處理的有效酬載，嘗試利用curl、wget，以及python3等公用程式，下載作案所需的工具，若是失敗，將會等待300秒之後再度重試。</p> <p>接著，攻擊者部署Shell指令碼s.sh，此指令碼在執行JavaScript有效酬載之前，會建立持續活動機制，並下載合法的Node.js供後續流程運用，然後藉由隱藏資料夾結構、採用兩種型態的有效酬載部署、於系統背景執行，以及在指令碼執行完成後自我刪除，來避免活動被發現。</p> <p>再來，他們透過經混淆處理的JavaScript惡意程式載入工具.kxnzl4mtez.js，使用AES-256-CBC演算法與寫死金鑰，解開主要的惡意程式，最終執行EtherRAT。</p> <p>特別的是，此惡意程式利用Linux作業系統常見的公用程式與組態檔案，建立能持續運作的機制，攻擊者濫用的公用程式包含Systemd、XDG，以及Cron，並寫入個人設定檔（Profile）與.bashrc，來達到目的。Sysdig提及，EtherRAT採用XDG的作法並不常見，原因這是Linux桌面環境的公用程式，這代表該惡意程式鎖定的範圍，比許多Linux惡意程式來要得廣泛。</p> <p>附帶一提的是，另一家資安業者Palo Alto Networks<strong><a href="https://unit42.paloaltonetworks.com/cve-2025-55182-react-and-cve-2025-66478-next/#post-167619-_jh1zjkh1d3y7">也偵測到北韓駭客用來散布EtherRAT的活動</a></strong>，不過他們無法確定攻擊者的身分；此外，該公司也看到React2Shell被用於散布後門程式BPFDoor與Auto-color，其中散布BPFDoor的是中國駭客Red Menshen。</p> </div></div></div>
2025/12/10 16:34作者周峻佑https://www.ithome.com.tw/news/172743
Fortinet為多款系統修補FortiCloud SSO身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近年來鎖定Fortinet旗下應用系統資安漏洞的攻擊行動不時傳出，以上個月而言，該公司先後修補兩個已遭利用的網頁應用程式防火牆（WAF）漏洞<strong><a href="https://www.ithome.com.tw/news/172274">CVE-2025-64446</a></strong>、<strong><a href="https://www.ithome.com.tw/news/172330">CVE-2025-58034</a></strong>，因此，只要他們修補高風險層級的重大漏洞，往往會引起各界矚目。</p> <p>本週二資安業者Fortinet針對旗下應用系統發布修補程式，<a href="https://www.fortiguard.com/psirt/FG-IR-25-647"><strong>其中一則資安公告</strong></a>引起高度關注，原因是此公告當中，揭露兩個重大層級的資安漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-59718">CVE-2025-59718</a></strong>與<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-59719">CVE-2025-59719</a></strong>相當危險，而且影響範圍相當廣泛，涵蓋防火牆作業系統FortiOS、FortiWeb、網頁安全閘道FortiProxy，以及網路設備集中管理平臺FortiSwitchManager。</p> <p>針對這兩個資安漏洞，Fortinet指出皆為加密簽章不當驗證造成，未經身分驗證的攻擊者可利用特製的SAML訊息，繞過FortiCloud單一簽入（SSO）的身分驗證機制，只要是啟用此單一簽入機制的FortiOS、FortiWeb、FortiProxy，或是FortiSwitchManager，就會受到影響。該公司提及，雖然這些設備並未預設啟用相關功能，然而只要管理員為裝置登錄到技術支援服務平臺FortiCare，該單一簽入功能就會自動啟用。換言之，只要裝置註冊了FortiCare，就會曝露於上述漏洞的風險當中。</p> <p>對於上述漏洞的危險性，Fortinet在公告提及CVSS評分為9.1，不過，他們在美國國家漏洞資料庫（NVD）登記為9.8分。</p> <p>而對於漏洞的影響範圍，涵蓋7.0至7.6.3版FortiOS、7.0至7.6.3版FortiProxy、7.4至7.6.4版FortiWeb，以及7.0至7.2.6版FortiSwitchManager，該公司強調，若是無法及時套用新版程式修補，應關閉FortiCloud登入功能因應。</p> </div></div></div>
2025/12/10 17:26作者周峻佑https://www.ithome.com.tw/news/172750