iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

YouTube獲得奧斯卡獎的全球獨家轉播權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國電影藝術與科學學院（The Academy of Motion Picture Arts and Sciences，The Academy）周三（12/17）<a href="https://press.oscars.org/news/academy-partners-youtube-exclusive-global-rights-oscarsr-and-other-academy-content-starting）及YouTube（https://blog.youtube/news-and-events/hollywoods-biggest-night-is-coming-to-youtube/" target="_blank">簽署一項合作協議</a>，YouTube自2029年起將獲得奧斯卡金像獎（Oscars）的全球獨家轉播權，從2029年的第101屆開始，一直持續至2033年。</p> <p>成立於1927年的The Academy是一個由電影專業人士組成的非營利組織，並於1929年創立奧斯卡金像獎，成為全球最具影響力的電影獎項，旨在表彰電影藝術與技術上的卓越成就。奧斯卡長期採取傳統電視網轉播模式，在美國自1976年起由ABC負責播出，現行合約將於2028年到期；國際市場則由迪士尼旗下的Buena Vista International負責發行與授權。此次The Academy決定將美國與全球的奧斯卡轉播權全面交由YouTube，也象徵奧斯卡首次以數位平臺作為核心發布管道。</p> <p>根據合作內容，奧斯卡金像獎頒獎典禮將在全球於YouTube免費直播，美國觀眾則可同時透過Google於當地推出的付費線上電視服務YouTube TV收看，內容涵蓋紅毯、幕後花絮與州長舞會等延伸活動。此外，The Academy的多項官方活動也將透過奧斯卡YouTube頻道獨家提供，包括州長獎、入圍名單公布、入圍者午宴、學生奧斯卡，以及會員與電影人訪談與Podcast等。</p> <p>The Academy亦將與Google Arts & Culture合作，推動部分奧斯卡電影博物館展覽、教育計畫與學院典藏的數位化。該典藏規模超過5,200萬件，是全球最大的電影相關收藏之一，內容涵蓋電影拷貝、劇本、服裝、道具、照片與技術資料，並將提供全球使用者存取。</p> <p>The Academy執行長Bill Kramer與主席Lynette Howell Taylor表示，這項多層面的全球合作將使YouTube成為奧斯卡金像獎及學院全年節目的主要平臺，讓The Academy得以觸及前所未有的觀眾規模，並為奧斯卡與其他學院節目帶來新的互動形式。</p> <p><a href="https://www.reuters.com/business/media-telecom/oscar-awards-be-streamed-exclusively-youtube-2029-2025-12-17/" target="_blank">路透社（Reuters）指出</a>，奧斯卡近年在傳統電視上的收視率持續下滑，在觀眾逐步轉向串流平臺的趨勢下，The Academy決定自2029年起改由YouTube全球獨家播出，被外界視為這是因應觀眾觀看行為改變的結果。</p> </div></div></div>
2025/12/18 13:49作者陳曉莉https://www.ithome.com.tw/news/172895
汽車零件大廠LKQ通報Oracle EBS資料外洩影響近萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國汽車零件大廠大豪<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/0f46ebfd-5508-426d-88f9-3ad07e6ef483.html" target="_blank">（LKQ）本周向主管機關通報</a>Oracle E-Business Suite（EBS）遭駭，外洩將近一萬人個資。</p> <p>LKQ是Cl0p勒索軟體駭客於網上公布的受害者清單的知名企業之一。Cl0p駭客10月<a href="https://www.dexpose.io/clop-ransomware-strikes-lkq-corporation/" target="_blank">揚言</a>要公開這家汽車元件廠的資料。</p> <p>根據LKQ向緬因州檢察長辦公室提交的文件，該公司在甲骨文9月份公布零時差漏洞後，於10月3日在第三方資安鑑識業者協助下展開調查，發現資料外洩事件，時間點落在9月8日。LKQ一察覺此事隨即切斷系統連線。LKQ相信沒有Oracle EBS以外的系統環境受影響。</p> <p>LKQ團隊於12月1日完成分析，他們判斷Oracle EBS中的LKQ獨資供貨商資料遭到存取。受影響總人數為9,070人。外洩資料類型包含僱主識別碼（Employer Identification Number）或社會安全碼。該公司也在本周通知受影響的個人。</p> <p>去年11月LKQ也<a href="https://www.bleepingcomputer.com/news/security/auto-parts-giant-lkq-says-cyberattack-disrupted-canadian-business-unit/" target="_blank">遭到網路攻擊</a>，導致加拿大分公司運作中斷。但攻擊者是否為勒索軟體不得而知。</p> </div></div></div>
2025/12/18 13:07作者林妍溱https://www.ithome.com.tw/news/172892
勒索軟體Weaxor加入利用React滿分漏洞的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本月初React開發工程團隊修補滿分資安漏洞CVE-2025-55182（<a href="https://www.ithome.com.tw/tags/react2shell">React2Shell</a>），不久後就有<strong><a href="https://www.ithome.com.tw/news/172651">多組中國國家級駭客</a></strong>用於實際攻擊，接續傳出<strong><a href="https://www.ithome.com.tw/news/172743">北韓駭客</a></strong>、<strong><a href="https://www.ithome.com.tw/news/172683">殭屍網路</a></strong>，以及<strong><a href="https://www.ithome.com.tw/news/172756">挖礦軟體</a></strong>加入利用行列的消息，現在傳出也有勒索軟體運用這個漏洞的情況。</p> <p>企業情報暨風險顧問公司S-RM發現，有基於財務動機犯案的駭客組織對他們客戶下手，<strong><a href="https://www.s-rminform.com/latest-thinking/react2shell-used-as-initial-access-vector-for-weaxor-ransomware-deployment">企圖部署勒索軟體Weaxor</a></strong>，過程裡使用React2Shell取得初期的存取管道。駭客在12月5日成功入侵後，隨即執行經混淆處理的PowerShell指令，下載Cobalt Strike並部署Beacon，以建立C2通訊。接著，他們停用內建防毒Microsoft Defender的即時防護功能，部署勒索軟體有效酬載。</p> <p>值得留意的是，駭客從成功入侵到執行勒索軟體，僅花了不到一分鐘的時間，這代表所有攻擊流程可能透過自動化執行，此外，他們並未進一步橫向移動到其他內部系統，也沒有竊取資料或是外洩。後續受害主機遭到其他駭客入侵，並部署自己的C2通訊機制，不過，S-RM並未透露這些駭客的身分，也沒有說明相關細節。</p> <p>針對Weaxor的來歷，S-RM指出此為去年出現的勒索軟體，很可能是勒索軟體Mallox改名而成。儘管Mallox曾以租用服務（Ransomware-as-a-Service）提供買家運用，不過，Weaxor並未採用這種型態的經營模式，使用此勒索軟體的駭客，通常會鎖定能透過網際網路存取的網頁伺服器發動攻擊。</p> </div></div></div>
2025/12/18 10:55作者周峻佑https://www.ithome.com.tw/news/172889
微軟12月安全更新造成Windows 10 PC、舊版Server IIS、MQ功能無法運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://learn.microsoft.com/en-gb/windows/release-health/status-windows-10-22h2#message-queuing--msmq--might-fail-with-the-december-2025-windows-security-update" target="_blank">微軟昨（17）日公告</a>，本月的安全更新，造成Windows 10及舊版Windows Server的IIS及訊息佇列（Message Queuing，MSMQ）失常，出現資源不足錯誤訊息，微軟正在調查原因。</p> <p>出現問題的是Patch Tuesday中釋出的KB5071546。部分用戶安裝於Windows機器後，MSMQ無法運作。這問題也影響運作中的叢集MSMQ環境。</p> <p>這問題症狀包括，MSMQ訊息佇列靜止不動、IIS網站無法展開，帶有「執行運作的資源不足」的錯誤訊息、應用程式無法寫入佇列、應用程式撰寫訊息檔案時出現「C:\Windows\System32\msmq\storage*.mq無法建立」的錯誤訊息，以及一些誤導log像是「磁碟空間或記憶體不足」，但事實並非如此。</p> <p>微軟推測原因可能是，近日該公司對MSMQ安全模型及C:\Windows\System32\MSMQ\storage資料夾NTFS權限進行的變更所致。MSMQ用戶現在必須具備寫入權限才能存取，通常只有管理員才符合資格。因此如果用戶企圖透過MSMQ API傳送訊息，將觸發上述資源不足的錯誤。</p> <p>這問題主要影響企業或託管的IT環境，一般使用Windows Home或Pro版的個人用戶碰到這的機會很低。</p> <p>受影響的Windows平臺涵括用戶端及伺服器端。用戶端包含Windows 10 1607、1809、Windows 10 21H2、22H2。伺服器端則有Windows Server 2012/2012 R2、2016及2019。</p> <p>微軟目前提供暫時性解法，但用戶必須<a href="https://support.serviceshub.microsoft.com/supportforbusiness/onboarding" target="_blank">聯絡</a>微軟支援團隊。該公司已著手調查，表示會儘快提供進一步資訊。</p> </div></div></div>
2025/12/18 11:28作者林妍溱https://www.ithome.com.tw/news/172890
Google發表Gemini 3 Flash模型比2.5 Pro還強大、更有效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在上個月發表<a href="https://www.ithome.com.tw/news/172349" target="_blank">Gemini 3</a>，以及OpenAI公布GPT 5.2、<a href="https://www.ithome.com.tw/news/172861" target="_blank">GPT Image 1.5</a>後，Google周三（12/17）<a href="https://blog.google/products/gemini/gemini-3-flash/" target="_blank">宣布Gemini 3 Flash</a>版本，強調高效能、且在多項測試中比Gemini 2.5 Pro還強、更有效率。現在已可在Gemini App使用。</p> <p>Google說，剛剛推出的Gemini 3在複雜推理、多模態及視覺理解能力展現極高效能，Gemini 3 Flash保留這項優點為基礎，並整合Gemini 3 Pro等級的推理、以及Flash系列的低延遲性、效率及成本效益。它不只能支援日常任務，也是代理式工作流程「最令人印象深刻」的模型。</p> <p>現在開發人員可以經由Google AI Studio、Gemini CLI、代理人開發平臺Google Antigravity的Gemini API使用Gemini 3 Flash（目前為gemini-3-flash-preview）。一般用戶可在Gemini App及Google搜尋的AI模式使用。而大型企業則能經由Vertex AI及Gemini Enterprise存取最新Flash模型。</p> <p>高效能是Gemini 3 Flash的主打特色。在Artificial Analysis的標竿測試中，Gemini 3 Flash速度是2.5 Pro的3倍。但另一方面，Google也強調輕巧並不減損博士級的推理和知識能力。例如在GPQA Diamond（90.4%）及Human’s Last Exam（33.7%）以及AIME 2025、MMMU-Pro等測試的成績，都超越Gemini 2.5 Pro，幾乎匹敵Gemini 3 Pro。在長文本推理、視覺理解能力測試都具備高水準表現。</p> <p>Gemini 3 Flash還能平衡思考品質和成本、速度。在最高思維等級運行時，Gemini 3 Flash可調整思維方式，複雜性較高的任務中能思考比較久，而在一般任務中，Gemini 3 Flash使用的token平均較2.5 Pro少30% 。</p> <p>在開發效益上，Google說，Gemini 3 Flash的推理、工具使用及多模態能力可協助複雜影像分析、資料擷取和視覺QA，可支援遊戲輔助或A/B測試實驗。Gemini 3 Flash在SWE-bench Verified、和T2 Bench代理人對話智能測試和Gemini 3 Pro相近，Toolathon軟工測試甚至也超越GPT 5.2。</p> <p>價格而言，Gemini 3 Flash每百萬token的輸入/輸出價為0.5/3美元，比<a href="https://ai.google.dev/gemini-api/docs/pricing?hl=zh-tw#gemini-2.5-flash" target="_blank">2.5 Flash</a>（0.3/2.5）高，聲音輸入則同為1美元。</p> <p>現在知名開發商JetBrains、Figma及投資公司橋水基金（Bridgewater Associates）已經採用了Gemini 3 Flash。</p> <p>在個人用戶方面，Gemini 3 Flash現在已取代2.5 Flash成為Gemini App的預設模型，也開始部署到Search的AI模式，推向一般用戶。</p> </div></div></div>
2025/12/18 10:25作者林妍溱https://www.ithome.com.tw/news/172888
Meta發表SAM Audio模型以多模態提示分離指定聲源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta發表其最新音訊分離模型<a href="https://ai.meta.com/blog/sam-audio/">SAM Audio</a>，主打以提示方式從混合音訊中抽離特定音源，並支援文字提示、畫面點選與時間區段標記3種互動。Meta表示，SAM Audio與其背後的技術引擎PE-AV（Perception Encoder Audiovisual）即日起提供使用，同時也把SAM Audio放進Segment Anything Playground，讓用戶可直接選用平臺素材或上傳自己的影音內容操作。另外，Meta也提供模型下載，模型權重則需申請存取。</p> <p>SAM Audio提供3種提示，對應不同素材與工作情境。文字提示適合直接描述目標聲音，例如輸入狗叫聲或歌聲來抽取聲源。視覺提示則針對影音內容，使用者可在影片畫面上點選正在發聲的人或物件，讓系統利用畫面線索協助鎖定聲音。時間段提示則讓使用者在時間軸上標記目標聲音出現的區段，Meta稱這是業界首見的時間段提示設計，且3種提示可單獨使用，也能混合搭配以取得更符合需求的分離結果。</p> <p>Meta舉例可在樂團演出影片中點選吉他以抽離其聲音，也可用文字提示過濾戶外錄影的車流噪音，或用時間段提示一次處理整段Podcast錄音中的特定干擾聲。Meta表示，這些能力可用於音訊清理、背景噪音移除等聲音編輯。</p> <p>SAM Audio為統一音訊分離模型，核心採用生成式架構，會把混合音訊與一個或多個提示編碼到共享特徵中，再產生目標音軌與其餘殘留音軌。Meta也說明為了取得足夠的訓練資料，建立資料引擎，結合音訊混音、自動產生多模態提示，以及以模型輔助建立標註的流程，產生更貼近真實情境的訓練資料。</p> <p>支撐SAM Audio的另一個關鍵是PE-AV，Meta指出，PE-AV建立在其今年稍早釋出的開源Perception Encoder之上，並延伸到視覺與音訊的整合，用來強化SAM Audio在仰賴畫面線索時的分離能力。PE-AV會抽取逐格的影片特徵，並與音訊特徵進行時序對齊，把看到的與聽到的在同一時間點連結起來，讓系統能更準確分離畫面中可被指認的聲源，例如螢幕上的講者或樂器，也能從場景線索推測畫面外的事件。</p> <p>Meta列出SAM Audio的限制，包括目前不支援以音訊作為提示，且模型並非設計在沒有提示的情況下，自動分離混合音訊中的所有聲源。對於高度相似的聲音事件分離，例如從合唱中挑出單一歌手或從管弦樂中分離單一樂器，仍是較具挑戰的情境。</p> </div></div></div>
2025/12/18 08:36作者李建興https://www.ithome.com.tw/news/172887
日本電商Askul公布勒索軟體攻擊調查報告，物流與備份系統遭加密外洩約74萬筆資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本辦公用品與電商業者Askul<a href="https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf">公布</a>勒索軟體事件調查報告，確認公司物流與內部系統遭加密並造成大規模服務中斷，同時有資料外洩。<a href="https://www.askul.co.jp/snw/newsDispView/?newsId=18364">目前企業客戶端已恢復部分商品受理訂單</a>，並在確認穩定後逐步擴大出貨作業。依Askul的彙整，確認外洩的資訊包含企業客戶約59萬筆、個人服務客戶約13.2萬筆，以及部分合作夥伴資料約1.5萬筆，合計約74萬筆，另還包含員工等約2,700筆資料。 </p> <p>對攻擊者身分，Askul官方文件並未點名特定組織。不過外媒<a href="https://www.japantimes.co.jp/business/2025/10/31/companies/russia-hacker-askul">The Japan Times報導</a>指出，自稱RansomHouse的組織在暗網發布聲明宣稱犯案，Askul則對外表示已知悉該聲明並正在查證事實。 </p> <p>Askul物流系統與公司內系統確認遭勒索軟體感染，部分資料包含備份資料被加密而一度無法使用，且部分資料遭竊取並被公開，導致物流中心出貨業務全面停止。Askul指出，後續也發現外部雲端的客服詢問管理系統帳號遭竊取並被入侵，相關資訊同樣有外洩情形。在目前的鑑識結論中，主要業務系統與面向客戶的電子商務網站與合作夥伴服務未發現被入侵跡象。 </p> <p>Askul在報告中也坦言，因部分通訊與存取紀錄遺失，難以完整界定攻擊者實際瀏覽的資訊範圍，因此以已確認外洩作為對外揭露的基準，並表示已向主管機關提交報告，並逐一通知受影響的客戶與合作夥伴，同時將持續長期監控，要是後續確認攻擊者有公開新的資料，會依影響範圍判斷是否需要再對外說明。</p> <p>Askul在調查報告中點出外界關注的管理缺口。報告指出，因業務委外端有管理者帳號被列為例外而未啟用多因素認證，導致該帳號的ID與密碼外洩後遭人冒用，並已確認曾被用來進行未授權存取。另一方面，遭入侵的資料中心伺服器當時未導入EDR，也未建立24小時監控機制，使得異常行為與入侵跡象難以及早被發現。至於復原時間拉長，Askul則說明既有備份架構並非以勒索軟體情境設計，造成部分備份資料也遭加密，進一步增加復原作業的難度。</p> <p>基於不助長犯罪行為的社會責任，Askul未與攻擊者接觸，也未支付贖金，並強調不進行任何交涉。該公司表示會以NIST網路安全框架（NIST CSF）為基礎，系統化強化存取控制、紀錄與監控等措施。</p> </div></div></div>
2025/12/18 06:11作者李建興https://www.ithome.com.tw/news/172877
【資安日報】12月17日，MITRE公布最危險的漏洞類型，XSS居冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172868"><strong style="font-size: 22px;">MITRE公布2025最危險軟體弱點前25名，XSS居冠、記憶體緩衝區溢位相關項目新入榜</strong></a></p> <p>MITRE公布2025年CWE Top 25最危險軟體弱點清單，盤點最常成為弱點的原因，以及在實務上帶來高風險的軟體弱點類型。排行顯示，跨網站指令碼（XSS）維持第1名，SQL注入與跨網站請求偽造（CSRF）分居第2與第3名。另外，今年榜單出現多個記憶體緩衝區溢位相關項目，包含典型緩衝區溢位首度進入第11名，以及堆疊緩衝區溢位、堆積緩衝區溢位，分別列在第14名與第16名。 </p> <p>從前10名來看，網頁與命令注入比重高，除XSS與SQL注入外，OS命令注入位居第9名，程式碼注入排第10名。缺少授權檢查今年升至第4名，排名相較2024年上升5名。記憶體安全面向則以越界寫入排第5名、釋放後使用排第7名、越界讀取排第8名，顯示傳統記憶體錯誤仍是高風險類型。 </p> <p>今年榜單調整映射處理方式，官方說明，CWE Top 25以往會先把資料中的CWE映射正規化回View-1003，也就是NVD常用來簡化對應的130種弱點集合。2025年則首度改用CVE Records中原始保留的CWE映射資料，不再強制歸入View-1003的父類別，並結合CNA（CVE Numbering Authority）社群複核部分資料，讓榜單更貼近實務映射慣例。MITRE指出，這項改動使榜單更貼近實務的映射慣例，也讓更低階且更具可行動性的弱點類型有機會進入CWE Top 25，其中緩衝區溢位相關項目便成為今年新入榜的代表。</p> <p><a href="https://www.ithome.com.tw/news/172862"><strong style="font-size: 22px;">甫修補的FortiCloud SSO重大漏洞已遭駭客濫用</strong></a></p> <p>Fortinet上周修補影響旗下防火牆、閘道器等產品的兩個重大漏洞CVE-2025-59718及CVE-2025-59719，傳出已經遭人濫用。本週資安公司Arctic Wolf指出，他們在12月12日開始，觀察到有防火牆設備FortiGate出現惡意單一簽入（SSO）登入的跡象。</p> <p>這兩項漏洞CVE-2025-59718及CVE-2025-59719，皆為加密簽章不當驗證造成，未經身分驗證的攻擊者可發送特製的SAML訊息，即可繞過FortiCloud單一簽入的身分驗證機制，啟用此單一簽入機制的FortiOS、FortiWeb、FortiProxy，或是FortiSwitchManager都會受影響。這兩項漏洞CVSS風險分數皆達9.8。</p> <p>Arctic Wolf分析攻擊來源的IP位址，是來自數家代管業者，包括The Constant Company LLC, BL Networks及Kaopu Cloud HK Limited，意謂可能是協同攻擊。一如常見惡意登入，這幾波存取的目標也是管理員帳號。而攻擊者在成功登入後，就將系統配置資訊（像是憑證及裝置設定）利用GUI介面傳到來源IP位址。</p> <p><a href="https://www.ithome.com.tw/news/172860"><strong style="font-size: 22px;">成人網站PornHub合作的資料分析服務公司傳出遭ShinyHunters入侵，部分付費會員資料恐外流</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/help_pornhub_com_hc_en-us_articles_47334442459283-Important-Message-From-Pornhub.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/help_pornhub_com_hc_en-us_articles_47334442459283-Important-Message-From-Pornhub.png" style="width: 300px; float: right;" /></a></p> <p>11月底資料分析服務廠商Mixpanel傳出部分系統遭到入侵，導致部分客戶的帳號及分析資料外流，當時OpenAI表明旗下使用API的客戶資料受到影響，如今又有新的消息傳出。</p> <p>根據資安新聞網站Bleeping Computer的報導，12月12日成人影音平臺PornHub發布公告，指出他們的第三方資料分析服務廠商Mixpanel發生資安事故，導致該平臺部分Pornhub Premium付費用戶分析資料外洩。PornHub強調，他們的系統並未遭到入侵，密碼、付款資訊，以及財務資料沒有被外洩。Bleeping Computer報導指出，駭客組織ShinyHunters聲稱這起攻擊行動是他們所為，並向包含PornHub在內的多家Mixpanel客戶進行勒索。</p> <p>其中，針對Pornhub的部分，ShinyHunters宣稱從Mixpanel竊得94 GB資料，內含超過2億筆（201,211,943筆）記錄，包括Pornhub Premium會員的搜尋記錄、觀看記錄，以及下載活動。該新聞網站取得部分資料進行檢視，Mixpanel分析的資料含有大量敏感資訊，包含會員的電子郵件信箱、活動類型、地理位置、活動記錄，以及影片名稱、網址、關鍵字。而在活動記錄的事件類型，包含會員觀看與下載影片，以及檢視頻道內容，ShinyHunters宣稱當中也有搜尋記錄。</p> <p><a href="https://www.ithome.com.tw/news/172873"><strong style="font-size: 22px;">俄駭客Sandworm鎖定西方國家能源與雲端基礎設施，透過邊緣設備配置不當發動攻擊</strong></a></p> <p>Amazon威脅情報團隊持續追蹤俄羅斯駭客組織Sandworm對西方國家的關鍵基礎設施活動，他們發現今年對方的攻擊戰術出現重大的變化，過往這些駭客偏好利用資安漏洞來入侵受害組織，但他們現在明顯傾向針對邊緣裝置配置不當的情況下手，原因是這麼做能減少攻擊者曝光的機率，並降低所需使用的資源，同時達到相同的攻擊目的，以及收集各式憑證、在受害組織進行橫向移動。對此，AWS呼籲企業組織應優先保護邊緣裝置，監控憑證重放攻擊的活動，來因應相關威脅。</p> <p>這波攻擊行動從2021年開始，駭客特別偏好針對西方國家的能源機構，但也會攻擊北美與歐洲的關鍵基礎設施供應商、經營雲端代管網路基礎設施的企業組織。他們尋找下手的目標，包含企業的路由基礎設施、VPN集中器與遠端存取閘道、網路設備管理平臺、協作與維基（Wiki）平臺，以及採用雲端為基礎的專案管理系統。</p> <p>Sandworm鎖定配置錯誤及管理介面能從網路直接存取的裝置下手，相關手法最早在2022年就已出現，不過AWS強調，駭客在今年特別專注運用這種策略，並減少對於漏洞利用（包含已知和零時差漏洞）的投資。AWS指出，相較之下，漏洞利用容易被偵測，使得攻擊活動面臨曝光的風險。</p> <p><a href="https://www.ithome.com.tw/news/172879"><strong style="font-size: 22px;">WinRAR路徑穿越漏洞出現實際攻擊，3組人馬發起網釣活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/paper-werewolf-tech-site-08-2025-pic-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/paper-werewolf-tech-site-08-2025-pic-1.png" style="width: 300px; float: right;" /></a></p> <p>12月9日CISA發布公告，將兩個漏洞加入KEV，其中一個就是WinRAR路徑遍歷漏洞CVE-2025-6218，並要求聯邦機構必須在12月30日前完成修補。此路徑遍歷漏洞有可能讓攻擊者執行任意程式碼，影響Windows作業系統相關版本，不過，利用漏洞存在必要條件，那就是需經由使用者操作如開啟或解壓縮來源不明的壓縮檔案，才能被濫用，並非自動觸發型攻擊。雖然CISA未說明漏洞如何遭到利用，但根據多家資安業者的觀察，已有數個駭客組織將其用於實際攻擊。</p> <p>最早警告已被用於攻擊行動的是俄羅斯資安公司BI.Zone，他們於8月指出，被稱作Paper Werewolf或Goffee的駭客發起魚叉式釣魚活動，駭客聲稱是某個俄羅斯研究所的員工，寄送帶有RAR檔附件的電子郵件，當時他們就利用CVE-2025-6218，以及後來被修補的另一個漏洞CVE-2025-8088。</p> <p>後來整合數位風險護廠商Foresiet、印度資安公司SecPod，以及中國資安公司360數字安全發現，被稱作APT-C-08或Bitter的駭客組織，將CVE-2025-6218用於攻擊南亞國家的政府機構；資安研究員Robin發現，被稱為Gamaredon、Primitive Bear，以及Armageddon的俄羅斯駭客，用於攻擊烏克蘭企業組織。</p> <p><a href="https://www.ithome.com.tw/news/172858"><strong style="font-size: 22px;">WatchGuard修補防火牆產品Firebox多項重大資安漏洞</strong></a></p> <p>在12月4日，網路防火牆廠商WatchGuard發布多則安全性公告，揭露其Firebox防火牆與Fireware OS存在多項重大資安漏洞，影響系統完整性驗證流程、管理介面指令，以及VPN相關元件，對企業網路安全構成顯著風險。</p> <p>首先需要留意的是開機完整性檢查繞過漏洞CVE-2025-13940，可讓攻擊者繞過Fireware OS在開機階段執行的系統完整性驗證機制。其CVSS風險評分為6.7，屬於中度風險。當系統偵測到完整性異常時，攻擊者可阻止Firebox正常關機，使已遭惡意修改的系統持續運作。受影響版本包括Fireware OS 12.8.1至12.11.4，以及2025.1至2025.1.2。</p> <p>WatchGuard這次針對Firebox與Fireware OS修補中，還包含三項越界寫入（Out-of-Bounds Write）類型的高風險漏洞，可讓已驗證且具備高權限的使用者執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/172854"><strong style="font-size: 22px;">IP電話管理系統FreePBX多重漏洞可被串連濫用，攻擊者恐取得遠端執行程式碼能力</strong></a></p> <p>Sangoma修補旗下開源IP電話管理系統FreePBX多項資安漏洞，包含特定驗證模式下的身分驗證繞過漏洞CVE-2025-66039、SQL注入漏洞CVE-2025-61675，以及可被濫用的檔案上傳問題CVE-2025-61678。資安廠商Horizon3.ai指出，在特定設定與條件下，攻擊者可串連這些漏洞，在FreePBX主機上取得遠端執行程式碼的能力。</p> <p>這組漏洞的發現，源於Horizon3.ai追蹤10月已出現實際攻擊行為的CVE-2025-57819時，分析FreePBX的驗證流程，進而辨識出另一條獨立的攻擊路徑。當系統的驗證類型被設定為網頁伺服器時，FreePBX會將身分驗證責任交由網頁伺服器Apache處理，應用程式本身僅檢查請求中是否包含Basic Authorization標頭。此設計導致只要提供有效的使用者名稱，即使密碼錯誤，仍可能建立工作階段並存取部分功能。</p> <p>由於FreePBX預設採用使用者管理模組作為驗證機制，因此在未調整設定的情況下，不會因CVE-2025-66039直接曝險。不過，一旦管理者改用網頁伺服器或關閉驗證，系統的攻擊面便會明顯擴大，使後續弱點更容易被利用。</p> <p><a href="https://www.ithome.com.tw/news/172867"><strong style="font-size: 22px;">針對2022年密碼管理服務商LastPass資料外洩事故，英國開罰120萬英鎊</strong></a></p> <p>英國資訊委員會辦公室（ICO）基於160萬英國用戶個資外洩，針對3年前密碼管理解決方案業者LastPass的資安事故，判罰120萬英鎊（約新臺幣5.03億元）。ICO指出，其調查發現LastPass導入的技術和資安措施完備性不足，最終導致駭客非授權存取備份資料庫，而且沒有證據顯示起因存在用戶裝置上的未加密密碼所致。</p> <p>根據英國政府的調查，2022年8月LastPass發生兩次資安事件。先是LastPass歐洲區員工公司筆電被駭，駭客進入公司開發環境。當時沒有個資被存取，但竊走了加密的公司憑證。那次LastPass措施奏效，金鑰存放在四名資深員工（包含第二次的受害員工）的帳號保管庫（account vaults）之外，未被駭客存取。</p> <p>第二次事件中，駭客利用第三方程式漏洞，在LastPass美國員工個人電腦植入鍵盤側錄程式，並盜走雲端資料儲存金鑰，開啟禍端。駭客從該公司的AWS S3儲存庫竊走客戶資料備份，包括公司名稱、電子郵件、IP位址、網頁書籤、密碼及加密資料等。此事並造成用戶遭釣魚攻擊等後續資安事件。</p> <p><a href="https://www.ithome.com.tw/news/172774"><strong style="font-size: 22px;">【產品資安實務經驗：合勤科技】不能只當漏洞救火隊，更要落實「設計即安全」</strong></a></p> <p>在產品資安推動上，身為臺灣知名網通設備業者的合勤科技可說經驗豐富，關鍵轉捩點是2016年的一場危機：當時他們有一家歐洲電信客戶遭受Mirai殭屍網路攻擊，導致大規模路由器癱瘓，當中包括合勤產品，這也使得產品漏洞問題演變為信任危機。</p> <p>近年合勤多次公開這方面推動經驗，這次我們更深入介紹實務作法與最新進展。例如，合勤去年10月簽署美國網路安全暨基礎設施安全局（CISA）推動的「設計即安全（Secure by Design）」承諾，目前響應這項號召的臺灣廠商屈指可數；此外他們提到近3年KEV（已知漏洞遭利用）的數量已逐年下降。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ghostposter-attacks-hide-malicious-javascript-in-firefox-addon-logos/">攻擊行動GhostPoster鎖定Firefox用戶而來，將惡意JavaScript指令碼埋藏在附加元件圖示</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cellik-android-malware-builds-malicious-versions-from-google-play-apps/">安卓惡意軟體Cellik號稱能捆綁於Google Play市集的任何應用程式，打造惡意版本APK檔案</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-santastealer-malware-steals-data-from-browsers-crypto-wallets/">竊資軟體SantaStealer號稱完全在記憶體內運作，疑似駭客組織東山再起</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/nvidia-merlin-vulnerabilities/">Nvidia機器學習框架Merlin存在高風險漏洞，可被用於執行惡意程式碼、存取敏感資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-pgadmin-rce-cve-2025-13780-flaw-bypasses-fix-allowing-server-takeover-via-malicious-database-restore/">PostgreSQL管理工具pgAdmin存在重大漏洞，攻擊者可透過惡意還原挾持資料庫</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172853"><strong>【12月16日】更多中國駭客加入利用React2Shell的行列</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172834"><strong>【12月15日】開發人員在Docker Hub曝露大量憑證，有人將其收集並在地下論壇兜售</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172801"><strong>【12月12日】惡意軟體NanoRemote濫用Google Drive的API從事通訊</strong></a></p> </div></div></div>
2025/12/17 17:40作者周峻佑https://www.ithome.com.tw/news/172883
數位憑證皮夾試營運上路，免帶實體證件憑手機就能在超商領包裏、進出企業辦公室、旅館
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>數發部籌畫多時的數位憑證皮夾在今天(12/17)進入試營運，即日起民眾可以下載App，安裝電信商的電信卡或是企業的員工卡，免帶證件在超商領取包裏或是進出旅館、辦公室，為我國推動數位身分創新應用，未來還可能與國際接軌，在國外租車或代替護照出示身分資料。</p> <p>數位憑證皮夾是一種數位身分的發行、自主管理、驗證架構，民眾於手機下載安裝數位憑證皮夾App，可以在App裡安裝政府或學校、民間企業所發行的各種數位身分憑證，例如駕照、工商憑證、技術士證照、學生證、畢業證書或是員工門禁卡，當需要使用第三方服務，需驗證身分證明文件時，民眾能夠自主管理手機上數位憑證皮夾內的各種身分資料，授權予第三方服務提供者驗證。</p> <p>數發部今天宣布數位憑證皮夾開始試營運，從今年底到明年底的一年時間，開放民眾下載App，安裝數位身分憑證後，在第三方服務需要驗證身分時，使用手機上的數位憑證皮夾，選擇想要授權第三方存取的身分資料，快速完成身分驗證。</p> <p>數發部長林宜敬表示，未來的世界絕對是高度數位化的世界，許多活動或服務在數位世界進行，就需要使用者證明自己的身分，例如證明自己是哪間學校的學生、畢業證書，或是出示擁有合格技能的證明文件，例如駕照、調酒師證照等等，一方面需要證明身分，另一方面也擔心曝露個人隱私。</p> <p>林宜敬指出，數發部過去一兩年積極推動數位憑證皮夾計畫，數位憑證皮夾的核心精神是選擇性揭露，讓民眾能夠自主選擇授權最少的資訊達到使用服務的目的，而不會洩露其他的身分訊息，例如父母姓名、是否結婚、配偶姓名或是住家地址，傳統上常見的影印身分證件，存在洩露個資的風險。另外，數位憑證皮夾也採用分散式架構，身分資訊存在民眾的手機，藉此保障民眾的隱私。</p> <p>未來不只是國內使用，由於數位憑證皮夾採用國際的數位身分驗證標準，林宜敬指出，未來也可能在國外應用，例如進出酒吧等限制年齡的場所，不需提出護照證明符合年齡限制，或是使用臺灣的駕照在國外租車等等。</p> <p>目前數位憑證皮夾已與三大電信業者合作，民眾安裝數位憑證皮夾App後，可以憑個人的手機門號，在數位憑證皮夾上向電信商申請電信卡，由於當初申辦個人手機門號均通過身分驗證，電子卡內包括姓名、手機門號末幾碼，可在7-11、全家兩大超商出示QR Code供店員掃描，領取已付款的包裏。</p> <p>全家超商已宣布即日起全國4,400家門市已可接受使用數位憑證皮夾領取包裏，至於7-11目前只在部分門市開放，預計在12月24日後全門市可接受。</p> <p>數位憑證皮夾開放試營運後，將會逐步上架開放民眾下載的數位身分憑證，例如駕照、學生證、畢業證書、工商憑證。</p> <p>數發部今天也展示數位憑證皮夾的幾個可能的應用情境，除了在超商以QR Cod代替身分證來領取已付款包裏，還有與特定旅館業者合作，房客可以在皮夾內下載房卡，代替實體的鑰匙或房卡，憑手機出入旅館房間。</p> <p>另外，未來學校也可利用數位憑證皮夾，發行數位學生證供學生使用，目前陽明交大已準備在明年第二季，開放學生證下載至數位憑證皮夾App，代替學生證出入宿舍、圖書館等；教育部也準備在明年上半年，推動學校開放畢業證書進入數位憑證皮夾，數發部也邀請104、1111等人力銀行，接受求職者用數位憑證皮夾提出畢業學校證明。</p> <p>數發部也和交通部合作，讓駕照也進入數位憑證皮夾內，並與Loop、ZOCHA等租車業者合作，未來也會和iRent合作，讓民眾授權租車業者取得數位駕照資料，簡化線上租車的身分驗證過程。此外，數發部也和經濟部聯手，讓工商憑證支援數位憑證皮夾，未來可用於台電用電戶身分驗證，申請過戶等服務異動。</p> <p>數發部也強調，數位憑證皮夾App採取密碼、指紋、臉部辨識等多因子驗證，確保使用數位憑證皮夾者的身分，當民眾選擇要授權的身分資料後，需要再次經過身分驗證，授權第三方存取資料。身分資料存放在手機內，當第三方要求驗證身分時，由使用者與第三方間完成身分驗證、存取資料，發行身分憑證的政府機關並不會知道民眾的行為，確保民眾的隱私。</p> <p>不過，數位憑證皮夾App也因為身分憑證資料都與手機綁定，當手機遺失或民眾換新手機時，需要逐一向各機關申請掛失，並且重新在新手機上安裝數位憑證皮夾App，再重新下載原先的數位憑證，對民眾而言並不是那麼方便。對此，數發部表示，未來將透過試營運，掌握民眾試用後的建議，明年也將研議透過備分方式，讓民眾能夠簡便的轉移至新手機。</p> </div></div></div>
2025/12/17 18:19作者蘇文彬https://www.ithome.com.tw/news/172886
俄駭客Sandworm鎖定西方國家能源與雲端基礎設施，透過邊緣設備配置不當發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>受到俄羅斯總情報局（GRU）指揮的國家級駭客，長年鎖定西方國家發動網路攻擊，最常見的入侵受害組織的管道，就是利用已經公布、但企業組織尚未修補資安漏洞而得逞，不過，這樣的態勢已經開始出現變化。</p> <p>Amazon威脅情報團隊持續追蹤<strong><a href="https://aws.amazon.com/tw/blogs/security/amazon-threat-intelligence-identifies-russian-cyber-threat-group-targeting-western-critical-infrastructure/">俄羅斯駭客組織Sandworm對西方國家的關鍵基礎設施活動</a></strong>，他們發現今年對方的攻擊戰術出現重大的變化，過往這些駭客偏好利用資安漏洞來入侵受害組織，但他們現在明顯傾向針對邊緣裝置配置不當的情況下手，原因是這麼做能減少攻擊者曝光的機率，並降低所需使用的資源，同時達到相同的攻擊目的，以及收集各式憑證、在受害組織進行橫向移動。對此，AWS呼籲企業組織應優先保護邊緣裝置，監控憑證重放攻擊的活動，來因應相關威脅。</p> <p>這波攻擊行動從2021年開始，駭客特別偏好針對西方國家的能源機構，但也會攻擊北美與歐洲的關鍵基礎設施供應商、經營雲端代管網路基礎設施的企業組織。他們尋找下手的目標，包含企業的路由基礎設施、VPN集中器與遠端存取閘道、網路設備管理平臺、協作與維基（Wiki）平臺，以及採用雲端為基礎的專案管理系統。</p> <p>Sandworm鎖定配置錯誤及管理介面能從網路直接存取的裝置下手，相關手法最早在2022年就已出現，不過AWS強調，駭客在今年特別專注運用這種策略，並減少對於漏洞利用（包含已知和零時差漏洞）的投資。AWS指出，相較之下，漏洞利用容易被偵測，使得攻擊活動面臨曝光的風險。</p> <p>Sandworm活動的確很隱匿，AWS表示並未直接觀察到相關活動，但根據多種跡象研判，Sandworm可能透過封包截取和流量分析來收集憑證，例如：透過裝置被入侵與使用者試圖進行身分驗證的時間差，攻擊者從特定服務收集憑證；再者，他們使用受害組織的憑證存取線上服務，代表相關憑證之所以取得，可能是因為攔截使用者身分驗證的流量。</p> <p>此外，受害組織在AWS雲端環境建置的基礎設施，也出現遭到入侵的跡象，Sandworm透過用戶配置錯誤的裝置，入侵EC2執行個體（Instance），並建立持久連線，而這些EC2的用途，就是執行企業的網路設備軟體。</p> <p>值得留意的是，Sandworm除直接嘗試入侵受害企業組織的基礎設施，也有系統性攻擊他們使用的線上服務的情況，駭客進行憑證重放攻擊來達到目的，他們入侵由AWS代管的邊緣設備，並試圖利用與受害組織網域有關的憑證，對特定線上服務進行身分驗證，不過並未成功。</p> <p>針對Sandworm使用的基礎設施，AWS指出與<strong><a href="https://www.ithome.com.tw/news/172049">防毒廠商Bitdefender揭露的另一組人馬Curly COMrades</a></strong>有所交集，很可能是廣泛的GRU網路攻擊之間的互補：由Sandworm建立初期的存取管道，然後交由Curly COMrades於虛擬化環境部署惡意軟體，來迴避EDR偵測。回顧Sandworm的攻擊行動，<strong><a href="https://www.ithome.com.tw/news/171985">資安公司賽門鐵克發現他們入侵大型商業服務公司與政府機關</a></strong>；今年4月，<strong><a href="https://www.ithome.com.tw/news/170657">挪威水壩閘門控制系統遭到入侵</a></strong>，傳出攻擊者的身分就是Sandworm。</p> </div></div></div>
2025/12/17 15:46作者周峻佑https://www.ithome.com.tw/news/172873
WinRAR路徑穿越漏洞出現實際攻擊，3組人馬發起網釣活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年6月<strong><a href="https://www.ithome.com.tw/news/169822">軟體開發業者Rarlab發布7.12版WinRAR</a></strong>，修補路徑遍歷漏洞CVE-2025-6218（CVSS風險為7.8分），近期美國網路安全暨基礎設施安全局（CISA）警告此漏洞已被用於實際攻擊，列入已遭利用的漏洞名單（KEV），使得此漏洞再度受到關注。</p> <p>12月9日CISA發布公告，<strong><a href="https://www.cisa.gov/news-events/alerts/2025/12/09/cisa-adds-two-known-exploited-vulnerabilities-catalog">將兩個漏洞加入KEV</a></strong>，其中一個就是CVE-2025-6218，並要求聯邦機構必須在12月30日前完成修補。此路徑遍歷漏洞有可能讓攻擊者執行任意程式碼，影響Windows作業系統相關版本，不過，利用漏洞存在必要條件，那就是需經由使用者操作如開啟或解壓縮來源不明的壓縮檔案，才能被濫用，並非自動觸發型攻擊。雖然CISA未說明漏洞如何遭到利用，但根據多家資安業者的觀察，已有數個駭客組織將其用於實際攻擊。</p> <p>最早警告已被用於攻擊行動的是俄羅斯資安公司BI.Zone，他們於8月指出，<strong><a href="https://bi.zone/expertise/blog/paper-werewolf-atakuet-rossiyu-s-ispolzovaniem-uyazvimosti-nulevogo-dnya-v-winrar/">被稱作Paper Werewolf或Goffee的駭客發起魚叉式釣魚活動</a></strong>，駭客聲稱是某個俄羅斯研究所的員工，寄送帶有RAR檔附件的電子郵件，當時他們就利用CVE-2025-6218，以及後來被修補的另一個漏洞<strong><a href="https://www.ithome.com.tw/news/170567">CVE-2025-8088</a></strong>。</p> <p>後來<strong><a href="https://foresiet.com/blog/apt-c-08-winrar-directory-traversal-exploit/">整合數位風險護廠商Foresiet</a></strong>、<strong><a href="https://www.secpod.com/blog/archive-terror-dissecting-the-winrar-cve-2025-6218-exploit-apt-c-08s-stealth-move/">印度資安公司SecPod</a></strong>，以及<strong><a href="https://www.ctfiot.com/278343.html">中國資安公司360數字安全</a></strong>發現，被稱作APT-C-08或Bitter的駭客組織，將CVE-2025-6218用於攻擊南亞國家的政府機構，藉由RAR檔挾帶特定的指令碼或惡意Word範本檔案，一旦使用者開啟，駭客的作案工具就會被秘密地存放於敏感的系統資料夾，其中包含Windows的啟動資料夾。</p> <p>當使用者登入電腦，或是啟動Word的時候，惡意檔案就會自動執行，從C2伺服器下載有效酬載，其中包含ZxxZ、WmRAT，以及MiyaRAT等遠端存取木馬（RAT）。</p> <p>值得留意的是，俄羅斯駭客也傳出加入漏洞利用的行列。資安研究員Robin發現，被稱為Gamaredon、Primitive Bear，以及Armageddon的駭客組織，<strong><a href="https://blog.synapticsystems.de/how-a-russian-threat-actor-uses-recent-winrar-vulnerability-in-their-ukraine-operations/">用於攻擊烏克蘭企業組織</a></strong>，他們傳送的RAR檔案通常會挾帶假的PDF檔案，以及命名方式相當怪異的HTML應用程式（HTA）檔案。一旦使用者開啟，WinRAR就會將HTA檔解壓縮到啟動資料夾，電腦在重開機後，內嵌於HTA檔的VBScript指令碼，就會在受害電腦下載其他惡意軟體。Robin強調，利用CVE-2025-6218只需極少量的使用者互動，大部分情況只需誘騙他們開啟惡意RAR檔，就能達到目的。</p> <p>對於指令碼執行的流程，首先攻擊者會建立WScript.Shell執行個體（instance），然後定義有效酬載的命令，透過寄生攻擊（LOLBin）手法，濫用mshta.exe存取特定URL取得有效酬載並執行，這些酬載可能是HTA、VBS，或是EXE檔案，最終在受害電腦植入模組化後門Pteranodon或GammaLoad。</p> </div></div></div>
2025/12/17 17:22作者周峻佑https://www.ithome.com.tw/news/172879
STOC 2026學術會議試辦投稿前AI先幫論文抓錯，改過再送審
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google研究院<a href="https://research.google/blog/gemini-provides-automated-feedback-for-theoretical-computer-scientists-at-stoc-2026/">揭露</a>一項理論計算機科學社群的實驗結果，針對STOC 2026投稿，提供投稿前的自動化回饋，目標是在論文送交程序委員會審閱前，先協助作者找出證明或推導中可能的錯誤、符號不一致與表述不清之處，讓研究團隊能在截止前完成必要修正與潤稿。 </p> <p>STOC 2026這項實驗計畫採自願加入，主辦方也強調回饋用於投稿前的自我檢查與潤稿，目的在於不干擾正式同儕審閱的獨立性。回饋主要提供給作者參考，僅在維運所需的最低範圍內由主辦團隊接觸。</p> <p>Google表示該工具針對數學嚴謹性做過最佳化，採用推論運算擴展（Inference Scaling）的設計，會同時探索多條推理與評估路徑，再彙整成較一致的結論，以降低模型常見的幻覺與遺漏。論文作者收到的回饋也以固定結構呈現，通常包含對論文貢獻的摘要，並指出可能錯誤與可改進之處，以及較細碎的用語與錯字修正。 </p> <p>該工具能抓到的問題範圍從變數命名不一致這類低階瑕疵，到計算錯誤、不等式使用不當、證明邏輯缺陷等較深層的技術風險。文中也引用作者回饋，指出模型曾找出讓整個證明不成立的關鍵漏洞，而且是團隊長期未察覺的簡單錯誤。</p> <p>Google也公布初步調查資料，表示有120多位參與者在同意下回覆問卷，在實驗結束時超過80%投稿選擇加入，97%認為回饋有幫助，97%表示未來還會再用，81%認為改善了可讀性或清晰度。另有75%受訪者認為此工具具教學價值，可讓學生更快收到對嚴謹性與表達的即時指正，並有88%表示希望在整個研究過程中持續使用。 </p> <p>不過，STOC實驗計畫頁面<a href="https://acm-stoc.org/stoc2026/stoc2026-LLM_feedback.html">提醒</a>，模型主要評估論文前後一致的數學嚴謹性，並不具備外部領域常識或口耳相傳但未明文寫下的已知結果，因此可能把依賴未寫出前提的段落誤判為錯誤。Google也指出，模型在解析複雜記號或圖表時仍可能失準，因此輸出應被視為協助檢查的線索，由作者自行驗證與取捨。隱私方面，實驗計畫頁面寫明論文不會被記錄、保存或用於訓練，僅供一次性產生回饋之用，且存取以自動化流程為主，僅在罕見故障除錯時才由極少數主辦者接觸內容。</p> </div></div></div>
2025/12/17 16:47作者李建興https://www.ithome.com.tw/news/172874
成人網站PornHub合作的資料分析服務公司傳出遭ShinyHunters入侵，部分付費會員資料恐外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>11月底資料分析服務廠商Mixpanel傳出部分系統遭到入侵，導致部分客戶的帳號及分析資料外流，當時<strong><a href="https://www.ithome.com.tw/news/172518">OpenAI表明旗下使用API的客戶資料受到影響</a></strong>，如今又有新的消息傳出。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/pornhub-extorted-after-hackers-steal-premium-member-activity-data/">資安新聞網站Bleeping Computer的報導</a></strong>，12月12日成人影音平臺PornHub發布公告，<strong>指出</strong>他們的第三方資料分析服務廠商Mixpanel發生資安事故，導致該平臺部分Pornhub Premium付費用戶分析資料外洩。PornHub強調，他們的系統並未遭到入侵，密碼、付款資訊，以及財務資料沒有被外洩。Bleeping Computer報導指出，駭客組織ShinyHunters聲稱這起攻擊行動是他們所為，並向包含PornHub在內的多家Mixpanel客戶進行勒索。</p> <p>Pornhub是全球最大的成人影片網站，成立於2007年，總部位於加拿大蒙特婁。它的運作模式類似YouTube，提供免費影片瀏覽、用戶上傳功能，以及付費會員服務，後來2010年被MindGeek公司買下，該平臺2018年用戶存取達到335億次、2019年達到420億次，換算下來每天會有超過1億次瀏覽、觀看影片。一旦用戶的資料曝光，他們的性取向及觀看影片的偏好可能會被揭露，因而影響人際關係，甚至成為歹徒向其勒索的把柄。</p> <p><a href="https://s4.itho.me/sites/default/files/images/help_pornhub_com_hc_en-us_articles_47334442459283-Important-Message-From-Pornhub.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/help_pornhub_com_hc_en-us_articles_47334442459283-Important-Message-From-Pornhub.png" style="width: 580px;" /></a></p> <p>Bleeping Computer掌握ShinyHunters在上週開始勒索Mixpanel客戶的情報，駭客發送開頭為「我們是ShinyHunters」的電子郵件，要脅若是不支付贖金，將會公開竊得資料。</p> <p>其中，針對Pornhub的部分，ShinyHunters宣稱從Mixpanel竊得94 GB資料，內含超過2億筆（201,211,943筆）記錄，包括Pornhub Premium會員的搜尋記錄、觀看記錄，以及下載活動。該新聞網站取得部分資料進行檢視，Mixpanel分析的資料含有大量敏感資訊，包含會員的電子郵件信箱、活動類型、地理位置、活動記錄，以及影片名稱、網址、關鍵字。而在活動記錄的事件類型，包含會員觀看與下載影片，以及檢視頻道內容，ShinyHunters宣稱當中也有搜尋記錄。</p> <p>值得留意的是，PornHub自2021年起不再與Mixpanel合作，代表駭客竊得的資料並非最新。Mixpanel在Bleeping Computer報導此事後提出進一步說明，他們認為這些資料外流與11月發生的資安事故無關。該公司指出，這批資料最後一次存取的時間在2023年，由PornHub母公司的合法員工帳號取用，若是資料遭到外流，Mixpanel認為並非本次資安事故造成。</p> <p>針對Mixpanel遭到入侵的事故，目前已有加密貨幣投資平臺CoinTracker、OpenAI，以及PornHub傳出用戶資料受到波及。音訊串流平臺SoundCloud近日也傳出服務中斷與VPN連線異常，並出現部分用戶資料外洩，<strong><a href="https://www.bleepingcomputer.com/news/security/soundcloud-confirms-breach-after-member-data-stolen-vpn-access-disrupted/">Bleeping Computer掌握此事也與ShinyHunters有關</a></strong>，但是否因Mixpanel事故引起，有待進一步釐清。</p> </div></div></div>
2025/12/17 11:35作者周峻佑https://www.ithome.com.tw/news/172860
MITRE公布2025最危險軟體弱點前25名，XSS居冠、緩衝區溢位相關項目新入榜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>MITRE<a href="https://cwe.mitre.org/top25/archive/2025/2025_cwe_top25.html">公布</a>2025年CWE Top 25最危險軟體弱點清單，盤點最常成為弱點的原因，以及在實務上帶來高風險的軟體弱點類型。排行顯示，跨站腳本（XSS）維持第1名，SQL注入與跨站請求偽造（CSRF）分居第2與第3名。另外，今年榜單出現多個緩衝區溢位相關項目，包含典型緩衝區溢位首度進入第11名，以及堆疊緩衝區溢位與堆積緩衝區溢位分別列在第14名與第16名。 </p> <p>從前10名來看，Web與命令注入比重高，除XSS與SQL注入外，OS命令注入位居第9名，程式碼注入排第10名。缺少授權檢查今年升至第4名，排名相較2024年上升5名。記憶體安全面向則以越界寫入排第5名、釋放後使用排第7名、越界讀取排第8名，顯示傳統記憶體錯誤仍是高風險類型。 </p> <p>今年榜單調整映射處理方式，官方說明，CWE Top 25以往會先把資料中的CWE映射正規化回View-1003，也就是NVD常用來簡化對應的130種弱點集合。2025年則首度改用CVE Records中原始保留的CWE映射資料，不再強制歸入View-1003的父類別，並結合CNA（CVE Numbering Authority）社群複核部分資料，讓榜單更貼近實務映射慣例。MITRE指出，這項改動使榜單更貼近實務的映射慣例，也讓更低階且更具可行動性的弱點類型有機會進入CWE Top 25，其中緩衝區溢位相關項目便成為今年新入榜的代表。</p> <p>MITRE也提到2025年首次引入大型語言模型工具，協助對部分CVE Records提出更細緻的CWE映射建議，作為後續人工複核與修正的參考依據。MITRE強調，這類工具僅提供建議，不會直接作為最終映射結果，但可用來協助識別過於抽象或容易被誤用的對應，並引導映射朝更低階且較能反映根本原因的弱點類型調整，以提升描述的精準度。</p> <p>該清單由CISA贊助、HSSEDI管理，MITRE營運的CWE專案發布，CISA把優先處理CWE Top 25弱點納入安全設計原則（Secure by Design）與需求驅動安全（Secure by Demand）倡議的脈絡，呼籲各組織將這份清單用於規畫軟體安全策略。依CISA<a href="https://www.cisa.gov/news-events/alerts/2025/12/11/2025-cwe-top-25-most-dangerous-software-weaknesses">說明</a>，CWE Top 25被視為跨角色的共通參考，開發與產品團隊可據此辨識高優先弱點類型，資安團隊可納入弱點管理與應用程式安全測試流程，採購與風險管理者也可把Top 25作為評估供應商與產品安全性的基準。</p> </div></div></div>
2025/12/17 14:26作者李建興https://www.ithome.com.tw/news/172868
Databricks進行L輪融資，創下1,340億美元市值
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資料與AI業者<a href="https://www.databricks.com/company/newsroom/press-releases/databricks-surpasses-4-8b-revenue-run-rate-growing-55-year-over-year" target="_blank">Databricks周二（12/16）宣布</a>，該公司正在進行L輪融資，準備募資逾40億美元，而此次募資所估算的公司市值達到1,340億美元。</p> <p>2013年在美國創立的Databricks，主要開發整合資料工程、機器學習與分析能力的Lakehouse平臺，結合資料湖與資料倉儲的優勢，協助企業高效處理大規模資料並開發AI模型。Databricks今年第三季的年化營收突破48億美元，比去年同期成長了55%，其中，資料倉儲與AI分別貢獻了10億美元的年化營收。</p> <p>此外，該公司甫於今年6月推出的雲端資料庫服務Lakebase，在不到半年的時間即吸引數千家客戶，其營收成長速度為資料倉儲產品的2倍。目前已有超過700家客戶的年化營收貢獻超過100萬美元。</p> <p>Databricks表示，隨著直覺程式開發（Vibe Coding）與生成式AI同步崛起，企業內部的資料智慧型應用開發正加速進行中，藉由此次的融資，Databricks可望進一步協助各組織於自有資料上進行AI創新，由Lakebase、Databricks Apps與Agent Bricks提供統一的基礎，讓客戶得以大規模建置可靠且高效能的資料智慧型應用（Data Intelligent Applications）。</p> <p>其中的Lakebase號稱是首個專為AI時代打造的無伺服器Postgres資料庫；Databricks Apps則是個受控的應用平臺，可用來建置與部署資料暨AI應用程式；Agent Bricks允許組織於自有資料上建立並治理多個AI代理人，是個可讓多個AI代理人分工合作的企業級服務。</p> <p>根據<a href="https://www.wsj.com/articles/databricks-is-raising-funds-at-134-billion-valuation-4a2efaea" target="_blank">華爾街日報（WSJ）的報導</a>，Databricks這幾年一直被外界視為潛在的IPO名單，不過，Databricks共同創辦人暨執行長Ali Ghodsi向該報透露，目前還未決定上市時間。</p> </div></div></div>
2025/12/17 15:01作者陳曉莉https://www.ithome.com.tw/news/172871
Windows Server 2025正式加入NVMe支援 IOPS提升最高80%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://techcommunity.microsoft.com/blog/windowsservernewsandbestpractices/announcing-native-nvme-in-windows-server-2025-ushering-in-a-new-era-of-storage-p/4477353" target="_blank">微軟宣布</a>Windows Server 2025加入NVMe原生支援，可望最多提高NVMe輸出、輸入效能80%。</p> <p>微軟於2024年4月首度公布，Windows Server 2025將原生支援NVMe（非揮發性記憶體Express），可大幅提升IOPS (I/O per second)。這項功能連同10月份Server 2025的累積更新（cumulative update，CU）KB5066835部署給企業用戶，但當時這功能是關閉的。</p> <p>周二微軟正式宣布Server 2025原生NVMe支援全面提供（generally available，GA），以提升現代NVMe SSD在Windows Server中的運作效能。</p> <p>微軟說Windows Server 2025原生支援NVMe，是公司工程團隊和軟硬體夥伴合作的結果。為了原生支援NVMe，Windows儲存堆疊經過重新設計，不再將所有儲存裝置當成SCSI（Small Computer System Interface）來處理，後者是早期速度較慢的儲存裝置所用的介面。新設計不再需要將NVMe指令轉成SCSI指令的過程，讓Windows Server得以降低處理效能需求及延遲性。此外，微軟也重新設計整體I/O處理流程，以支援極端高速運作。</p> <p>由於少了指令翻譯層和舊式系統限制，這原生支援可望大幅提升IOPS、減少CPU運算負載、降低延遲性，且支援進階NVMe功能如多佇列及直接提交（direct submission），享受次世代儲存功能。</p> <p>不過NVMe原生支援全面部署到Server 2025，還是屬於選擇性功能（預設關閉）。管理員必須手動開啟。</p> <p>微軟並提供以DiskSpd.exe執行NTFS volume的4K隨機讀取測試（4K Random Read）的數據。其中的8 I/O執行緒的測試條件中，Server 2025比Server 2022提升78%，而在16 I/O執行緒的測試條件也提升了71%。而在8執行緒及16執行緒的測試條件中，Server 2025每次I/O所需CPU週期（CPU cycles per I/O）各比Server 2022省下41%及47%，顯示其在高併發I/O情境下能以更低的CPU耗用處理相同的儲存工作負載。</p> <p>微軟舉例，原生支援NVMe的Server 2025適合的使用場景，包括SQL Server資料庫運算/OLTP、Hyper-V及虛擬化、高效能檔案伺服器及AI/ML與資料分析等應用。</p> <p>對想使用新功能的IT人員，其儲存裝置必須要能支援NVMe，並安裝Windows NVMe driver (StorNVMe.sys)。欲使用這項新功能，企業IT必須安裝2510-B及之後的新版累積更新（CU），並透過PowerShell指令加入機碼：</p> <pre> reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides /v 1176759950 /t REG_DWORD /d 1 /f</pre><p>或是利用群組政策（Group Policy）MSI加入政策，並以群組政策編輯器（Group Policy Editor）來啟用Native NVMe。</p> <p> </p> </div></div></div>
2025/12/17 13:20作者林妍溱https://www.ithome.com.tw/news/172865
OpenAI推出可衡量專家級科學推理能力的AI基準測試FrontierScience
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI周二（12/16）<a href="https://openai.com/index/frontierscience/" target="_blank">發表全新研究基準FrontierScience</a>，用於評估AI在物理、化學與生物等領域中，執行專家級科學推理與研究任務的能力。</p> <p>OpenAI解釋，一項由博士級專家撰寫的科學基準GPQA在2023年11月推出時，GPT-4僅獲得39%的成績，低於人類專家70%的平均值，但2025年的GPT-5.2在GPQA已拿到92%。顯示出模型能力的快速進化，已使既有以選擇題為主、難度趨於飽和的科學評測，不足以用來衡量AI是否真能加速科學研究。</p> <p>由物理、化學及生物領域專家撰寫並驗證的FrontierScience基準測試，包含了數百道具備高難度、原創性與實質意義的題目，它設計了兩種不同的測試方向，一是用來衡量奧林匹亞競賽風格之科學推理能力的Olympiad，它是由國際奧林匹亞競賽獎牌得主設計的短答題，用於評估模型在受限條件下，是否能進行精確、嚴謹且可驗證的科學推理。</p> <p>二是衡量真實世界科學研究能力的Research，它由博士級研究人員設計，題型為多步驟、開放式研究任務，要求模型分析問題、展開推論並給出完整解釋，並透過10分制量表評估其推理過程與結論是否合理。</p> <p><a href="https://x.com/OpenAI/status/2000975294694613200" target="_blank">GPT-5.2在Olympiad的得分為77%</a>，領先Gemini 3 Pro的76.1%、Claude Opus 4.5的71.4%與Grok 4的66.2%；在Research的得分為25%，大幅領先Claude Opus 4.5的17.5%、Grok 4的15.9%，以及Gemini 3 Pro的12.4%。對科學家而言，這代表現有模型已能支援研究中涉及結構化推理的部分，但在開放思考方面仍有大量改進空間。</p> <p>OpenAI認為，衡量AI科學能力最重要的標準，應是它能促成多少全新的科學發現，FrontierScience並非最終驗證工具，用來在研究成果出現之前，檢視模型推理能力進展、辨識不足之處的評測基準，協助研究團隊確認模型是否朝正確方向發展。</p> </div></div></div>
2025/12/17 13:43作者陳曉莉https://www.ithome.com.tw/news/172866
針對2022年密碼管理服務商LastPass資料外洩事故，英國開罰120萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國資料隱私主管機關本周就三年前發生大量資料外洩事件，<a href="https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2025/12/password-manager-provider-fined/" target="_blank">判罰密碼管理方案業者LastPass 120萬英鎊</a>。</p> <p>英國資訊委員會辦公室（Information Commissioner's Office,ICO）基於160萬英國用戶個資外洩，判罰LastPass 120萬英鎊。</p> <p>ICO指出，其調查發現LastPass導入的技術和資安措施完備性不足，最終導致駭客非授權存取備份資料庫，而且沒有證據顯示起因存在用戶裝置上的未加密密碼所致。</p> <p>根據英國政府的調查，2022年8月LastPass發生兩次資安事件。先是LastPass歐洲區員工公司筆電被駭，駭客進入公司開發環境。當時沒有個資被存取，但竊走了加密的公司憑證。那次LastPass措施奏效，金鑰存放在四名資深員工（包含第二次的受害員工）的帳號保管庫（account vaults）之外，未被駭客存取。</p> <p>第二次事件中，駭客利用第三方程式漏洞，在LastPass美國員工個人電腦植入鍵盤側錄程式，並盜走雲端資料儲存金鑰，開啟禍端。駭客從該公司的AWS S3儲存庫竊走客戶資料備份，包括公司名稱、電子郵件、IP位址、網頁書籤、密碼及加密資料等。此事並造成用戶遭釣魚攻擊等後續資安事件。</p> <p>ICO提醒，企業應確保內部安全政策，考慮並處理資料外洩風險，特別像是在家遠端工作的辦公情境。</p> </div></div></div>
2025/12/17 14:13作者林妍溱https://www.ithome.com.tw/news/172867
Google測試可匯報郵件、行事曆、文件內容的AI代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google旗下實驗室<a href="https://blog.google/technology/google-labs/cc-ai-agent/" target="_blank">Google Labs本周宣布</a>一項新的實驗性AI生產力代理人CC，可為使用者整理Gmail、行事曆、甚至網頁內容重點，為使用者匯報每日重點。</p> <p>當用戶註冊加入後。CC會連結用戶使用的Google服務，包括Gmail、Google Calendar、Google Drive及網頁，它有點像個人祕書，能理解使用者一天活動，整理出「前日重點（Your Day Ahead）」寄到Gmail，方便用戶隔日一早檢閱。這份簡報把用戶每日行程、主要工作及進展整理成簡單明瞭的重點，幫助使用者更快決定接下來的動作，像是付帳單或準備看診。必要時CC也能草擬郵件或行事曆連結，加速使用者作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1217-CC-AI%20productivity%20agent-Gmail_Calendar_Drive_2.png" style="width: 600px;" /></p> <p>用戶也可以透過自訂命令讓CC直接回覆、或提供更多資料來訓練CC、或是要求它記住某些想法或待辦事項，以加速它在某些情況下的處理速度。</p> <p>目前CC是一項早期實驗，開放18歲以上的美國及加拿大消費者加入測試，但現在僅對Google AI Ultra及付費訂閱戶開放。有興趣的人必須先報名<a href="http://labs.google/cc" target="_blank">加入等候清單</a>。</p> </div></div></div>
2025/12/17 13:13作者林妍溱https://www.ithome.com.tw/news/172864
WatchGuard修補防火牆產品Firebox多項重大資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在12月4日，網路防火牆廠商WatchGuard<a href="https://www.watchguard.com/wgrd-psirt/advisories" target="_blank">發布多則安全性公告</a>，揭露其Firebox防火牆與Fireware OS存在多項重大資安漏洞，影響系統完整性驗證流程、管理介面指令，以及VPN相關元件，對企業網路安全構成顯著風險。</p> <p>首先需要留意的是開機完整性檢查繞過漏洞<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00026" target="_blank">CVE-2025-13940</a>，可讓攻擊者繞過Fireware OS在開機階段執行的系統完整性驗證機制。其CVSS風險評分為6.7，屬於中度風險。當系統偵測到完整性異常時，攻擊者可阻止Firebox正常關機，使已遭惡意修改的系統持續運作。受影響版本包括Fireware OS 12.8.1至12.11.4，以及2025.1至2025.1.2。</p> <p>WatchGuard這次針對Firebox與Fireware OS修補中，還包含三項越界寫入（Out-of-Bounds Write）類型的高風險漏洞，可讓已驗證且具備高權限的使用者執行任意程式碼。</p> <p>首先是存在於Fireware OS命令列介面（CLI）的<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00020" target="_blank">CVE-2025-12196</a>，以及<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00019" target="_blank">CVE-2025-12195</a>，兩者CVSS評分皆達8.6。另一項高風險越界寫入漏洞是<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00017" target="_blank">CVE-2025-12026</a>（CVSS 8.6），存在於Fireware OS憑證請求指令，在成功被利用情況下，同樣可能被高權限使用者用來執行惡意程式碼。</p> <p>這波安全修補當中，還包含兩項高風險漏洞，第一個是<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00018" target="_blank">CVE-2025-11838</a>，CVSS評分達8.7。此一記憶體毀損漏洞影響Mobile User VPN與Branch Office VPN在使用動態閘道對等節點時的IKEv2實作，未經驗證的攻擊者即可觸發阻斷服務（DoS）。第兩項高風險漏洞<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00025" target="_blank">CVE-2025-1545</a>（CVSS 8.2），允許未經驗證的遠端攻擊者，透過Web CGI介面的XPath注入手法，竊取敏感的系統設定資料，進一步增加Firebox防火牆遭入侵的風險。</p> <p>WatchGuard已於12月4日，針對受上述安全弱點影響的產品線，發布完整修補更新，並建議使用Fireware OS的組織，依部署情況立即升級至2025.1.3、12.11.5或12.5.14版本。WatchGuard也提醒，Fireware OS 11.x版本已正式終止支援，不再提供任何安全更新。</p> <p>目前上述漏洞在WatchGuard安全公告網頁皆標示為「已修正」，且沒有替代緩解措施。WatchGuard強調，防火牆屬於關鍵基礎架構，一旦遭入侵恐導致整體系統完全失守，企業資安團隊應優先完成此次更新。</p> </div></div></div>
2025/12/17 11:42作者王珮瑤https://www.ithome.com.tw/news/172858
OpenAI更新ChatGPT Images，影像生成速度提升4倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/new-chatgpt-images-is-here/" target="_blank">OpenAI周二（12/16）更新了ChatGPT Images</a>，新一代的GPT Image 1.5能更可靠地遵循使用者的指令，影像生成速度為上一代GPT Image 1.0的4倍，目前該模型已整合至所有用戶可使用的ChatGPT，並同步釋出GPT Image 1.5 API，供開發者與企業導入應用。</p> <p>根據OpenAI說明，GPT Image 1.5在影像生成與編輯準確度上均有明顯提升。使用者不僅可從零開始生成圖片，也能對既有照片進行編輯，而模型在多次修改過程中，仍能維持光線、構圖與人物外觀等關鍵元素的一致性，降低反覆調整所帶來的品質流失問題。</p> <p>此次更新的一大重點，是ChatGPT內新增專屬的Images創作空間，提供預設風格、濾鏡與提示，讓影像探索與創作流程更貼近實際創意工作室的使用情境。</p> <p>在技術能力上，GPT Image 1.5對指令的遵循度明顯改善。當使用者要求編輯圖片時，模型能更精準地只修改指定部分，其餘內容則完整保留，使照片修圖、服裝與髮型試穿、風格轉換等應用更為自然。此外，新模型也支援新增、移除、混合與轉置等進階編輯操作，並兼顧原始影像品質。</p> <p>文字呈現能力亦是此次升級的重點之一。OpenAI表示，GPT Image 1.5在處理密集或小尺寸文字時更為穩定，並能更自然地將文字融入影像中，有助於資訊圖表、海報與品牌視覺素材的製作。</p> <p>在API端，GPT Image 1.5同樣提供上述改進，且影像輸入與輸出成本較前一代降低約20%。OpenAI指出，這使該模型特別適合用於行銷設計、品牌視覺、標誌製作，以及由單一來源圖片生成多樣化電商產品圖庫等場景。</p> <p>OpenAI產品長Fidji Simo表示，人類的想法往往以影像、聲音、動作與模式呈現，而不只是文字，若AI要真正釋放人類潛能，就必須以更貼近人類自然認知方式的介面來互動，ChatGPT正從文字工具轉向直覺型任務介面。</p> </div></div></div>
2025/12/17 11:55作者陳曉莉https://www.ithome.com.tw/news/172861
Fortinet甫修補的漏洞已遭駭客濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Fortinet上周修補影響旗下防火牆、閘道器等產品的<a href="https://fortiguard.fortinet.com/psirt/FG-IR-25-647" target="_blank">兩個重大漏洞</a>已經遭人濫用。</p> <p>這兩項漏洞CVE-2025-59718及CVE-2025-59719，皆為加密簽章不當驗證造成，未經身分驗證的攻擊者可發送特製的SAML訊息，即可繞過FortiCloud單一簽入（SSO）的身分驗證機制，啟用此單一簽入機制的FortiOS、FortiWeb、FortiProxy，或是FortiSwitchManager都會受影響。這兩項漏洞CVSS風險分數皆達9.8。</p> <p>早在Fortinet修補兩個漏洞後兩日，即12月12日資安業者<a href="https://arcticwolf.com/resources/blog/arctic-wolf-observes-malicious-sso-logins-following-disclosure-cve-2025-59718-cve-2025-59719/" target="_blank">Arctic Wolf</a>就開始觀察到閘道器FortiGate裝置，出現惡意單一簽入登入（SSO login）的跡象。</p> <p>分析存取IP位置是來自數家代管業者，包括The Constant Company LLC, BL Networks及Kaopu Cloud HK Limited，意謂可能是協同攻擊。一如常見惡意登入，這幾波存取的目標也是管理員帳號。而攻擊者在成功登入後，就將系統配置資訊（像是憑證及裝置設定）利用GUI介面傳到來源IP位址。</p> <p>研究人員建議受影響的Fortinet用戶應重設防火牆憑證，不可因憑證多半經過雜湊處理而心存僥倖，特別是如果憑證屬於弱密碼，可能容易遭到字典攻擊破解。此外，企業應將防火牆、VPN裝置的管理介面存取權，限縮於少數受信託的內部使用者。</p> <p>研究人員也呼籲Fortinet用戶升級到最新版軟體。此外Fortinet建議尚未安裝更新的用戶，應先關閉FortiCloud 登入。</p> </div></div></div>
2025/12/17 12:13作者林妍溱https://www.ithome.com.tw/news/172862
Atlassian修補旗下產品46項漏洞，Apache Tika滿分XXE入列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Atlassian發布<a href="https://confluence.atlassian.com/security/security-bulletin-december-11-2025-1689616574.html">12月資安公告</a>，表示過去一個月針對旗下資料中心與伺服器自託管產品更新版本，累計修補37項高嚴重度漏洞，與9項關鍵嚴重度的第三方元件漏洞。Atlassian建議用戶將系統升級至最新版，或至少升到公告所列已修補版本，以消除受影響的相依套件風險。 </p> <p>在本次公告列出的多項漏洞中，<a href="https://www.ithome.com.tw/news/172726">CVSS 10分的Apache Tika XXE弱點CVE-2025-66516</a>最受關注。Atlassian在Bamboo、Confluence、Jira Software、Jira Service Management等條目列出此CVE，並同樣出現在Crowd與Fisheye/Crucible的條目中。Atlassian也提醒，這屬第三方相依套件弱點，依其評估在自家產品的實際使用情境下風險較低，但仍已隨新版納入修補。</p> <p>Apache Tika是常見的內容分析與中繼資料抽取工具，企業系統常用於後端自動解析使用者上傳或批次匯入的文件。依NVD描述，CVE-2025-66516屬於透過PDF內特製XFA內容，觸發XML外部實體（XML External Entity，XXE）漏洞的問題。當後端解析流程處理到該檔案時，攻擊者可能藉此讀取敏感資料，或觸發對內部資源或第三方伺服器的非預期請求，風險包含資訊外洩與伺服器端請求偽造（Server-Side Request Forgery，SSRF）。</p> <p>Atlassian列出各產品CVE-2025-66516修補版本，Bamboo在12.0.2、10.2.12 LTS與9.6.20 LTS後完成修補，Confluence則對應10.2.1 LTS、9.2.12與8.5.30 LTS，Jira Software與Jira Service Management建議升級至11.3.0 LTS或10.3.15 LTS等已修補版本。Atlassian同時強調，資安公告所揭露的CVE已評估對客戶屬非關鍵風險，要是出現需要立即處置的漏洞，會改以關鍵資安通報另行發布。</p> <p>除了Apache Tika之外，Atlassian也在同一份公告列出多項影響面較廣的修補，例如Confluence修補了SSRF漏洞CVE-2024-29415，並處理loader-utils相關的原型污染風險CVE-2022-37601。Jira與Jira Service Management除了列入CVE-2025-66516，也在同一份公告中列出XXE相關的CVE-2025-54988，以及axios相依套件的SSRF風險CVE-2025-27152。Bitbucket方面，Atlassian指出已在新版本修補一項第三方相依套件的阻斷服務漏洞CVE-2024-7254。</p> </div></div></div>
2025/12/17 09:13作者李建興https://www.ithome.com.tw/news/172857
Let's Encrypt明年起導入Generation Y憑證鏈，新憑證不再支援TLS用戶端驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>非營利憑證機構Let’s Encrypt將<a href="https://community.letsencrypt.org/t/upcoming-changes-to-let-s-encrypt-certificates/243873">自2026年起分階段調整憑證發行與效期政策</a>，重點包括導入新一代Generation Y根憑證與中繼CA階層，並逐步讓新簽發憑證不再包含TLS用戶端驗證的延伸金鑰用途（EKU），讓憑證用途更聚焦在TLS伺服器（tlsserver）驗證。同時也將依產業規範，逐步縮短憑證有效期。</p> <p>官方指出，多數僅用於網站HTTPS的使用者預期不需採取行動，但要是曾將Let’s Encrypt憑證用於mTLS等用戶端身分驗證情境，則應提前盤點並調整。</p> <p>Generation Y不是單指一張新憑證，而是一套新的簽發階層，包含2張新根憑證與6張新中繼CA。Let’s Encrypt說明，這套階層在<a href="https://letsencrypt.org/2025/11/24/gen-y-hierarchy.html">2025年9月的儀式（Key Ceremony）</a>中產生，接下來會逐步用來簽發憑證並送交各大根憑證信任計畫（Root Program）納入信任存放區。為了降低相容性風險，新根憑證也會由既有根憑證交叉簽發，在既有信任鏈仍可運作的環境下平順過渡。</p> <p>Generation Y的特別之處在於用途切割，官方提到，新一代中繼CA不再包含TLS Web Client Authentication相關延伸金鑰用途，無法再簽發含clientAuth用途的終端憑證。也就是說，即使同樣是Let’s Encrypt簽出的憑證，未來會更明確地只對準TLS伺服器驗證用途，而不再同時涵蓋用戶端驗證用途。官方將以ACME簽發設定分流影響範圍，待TLS用戶端驗證用途退場後，再把新中繼CA擴大用於所有簽發。 </p> <p>依官方時程，2026年2月11日起預設憑證簽發設定（Classic Profile）新簽發的憑證將移除TLS Client Authentication EKU。需要更長緩衝期者可改用TLS用戶端驗證專用簽發設定，但該profile僅提供到2026年5月13日。至於Generation Y的導入，Let’s Encrypt表示初期將優先用於TLS伺服器與短效期憑證設定，並推進短效期憑證選項，包含在憑證中納入IP位址作為識別類型。</p> <p>在效期方面，Let’s Encrypt規畫將憑證有效期從現行90天逐步縮短至45天。自2026年5月13日起，只要選用ACME的TLS 伺服器專用設定檔，新簽發憑證就會改為45天效期，供早期採用者與測試使用，2027年2月10日起，預設的設定檔新簽發憑證效期將降為64天，並在2028年2月16日再降為45天。</p> <p>官方也提醒，這些日期是針對新簽發憑證生效，使用者通常會在下一次續期時才看到效期變短，效期縮短後自動化續期與監控也會更重要，建議及早確認既有憑證管理機制能因應更新頻率變化。</p> </div></div></div>
2025/12/17 08:00作者李建興https://www.ithome.com.tw/news/172856
【資安日報】12月16日，更多中國駭客加入利用React2Shell的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172844"><strong style="font-size: 22px;">5個中國國家級駭客加入利用React2Shell的行列，部署後門及隧道工具控制受害主機</strong></a></p> <p>12月13日Google威脅情報團隊（GTIG）揭露中國駭客組織UNC6586、UNC6588、UNC6595、UNC6600，以及UNC6603的全球攻擊活動，共通點在於，過程裡駭客都使用了CVSS風險高達10分的React伺服器元件（RSC）漏洞CVE-2025-55182（React2Shell）而得逞。</p> <p>其中，較為特別的是UNC6600的活動，他們利用React2Shell漏洞來傳送隧道工具MinoCat。他們執行bash指令碼來建立隱藏的資料夾，清除特定名稱的處理程序，然後下載MinoCat的二進位檔案，駭客於特定的使用者Shell組態插入惡意命令，來啟動MinoCat，此為Go語言打造的64位元ELF執行檔，搭載自製的wrapper元件NSS，以及開源的Fast Reverse Proxy（FRP）用戶端元件，來處理隧道通訊。為了能讓隧道工具持續運作，UNC6600建立新的cron工作排程，並濫用systemd服務。</p> <p>另一個惡意程式下載工具Snowlight的活動，也相當值得留意，UNC6586利用漏洞執行命令，或是接收指令碼，然後下載Snowlight，此為Go語言後門程式Vshell的元件，駭客用於對C2發送HTTP GET請求，從C2基礎設施取得其他的有效酬載。值得留意的是，已有外號為UNC5174或CL-STA-1015中國駭客組織，利用React2Shell散布Snowlight與Vshell，然後竊取AWS組態及憑證檔案，揭露此事的資安公司Palo Alto Networks指出，他們確認至少有30家企業受害。</p> <p><a href="https://www.ithome.com.tw/news/172833"><strong style="font-size: 22px;">滿分資安漏洞React2Shell利用活動急速升溫</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BLOG-3096_2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BLOG-3096_2.png" style="width: 300px; float: right;" /></a></p> <p>兩週前React開發團隊發布更新，修補CVSS風險高達10分的React伺服器元件（RSC）漏洞CVE-2025-55182（React2Shell），引起資安圈高度關注，大型雲端公司、資安公司，以及研究機構隨即發現漏洞熱烈遭到利用的現象，中國與北韓國家級駭客、殭屍網路，以及挖礦軟體皆加入利用行動，如今有新的調查指出，漏洞公布一週後，威脅出現急劇升溫的現象。</p> <p>上週資安公司Cloudflare公布分析結果，指出利用漏洞的攻擊者，主要鎖定特定地區或國家的網路環境，明確聚焦在臺灣、新疆維吾爾、越南、日本，以及紐西蘭，想要利用多種公開可用的工具、商用產品，企圖藉此找出具有高價值的應用程式伺服器，針對政府機關、學術研究機構，以及經營關鍵基礎設施的廠商，其中包含負責鈾、稀有金屬，以及核燃料進出口的政府單位。再者，駭客偏好針對企業採用的密碼管理工具與安全儲存庫，以及採用React為基礎開發的SSL VPN設備管理介面，藉此增加漏洞帶來的危害。</p> <p>附帶一提的是，攻擊者不光透過基本的特徵（Fingerprint）識別存在弱點的環境，還會根據SSL憑證資料，來更加精確找出攻擊目標，並安排下手的優先順序。Cloudflare提及，駭客刻意過濾中國的IP位址，顯然是避免將自己國家的基礎設施列為攻擊目標，再加上他們看到的掃描與漏洞嘗試利用行為，與多個亞洲駭客組織使用的IP位址有關，因此該公司認為，攻擊者可能是亞洲地區的駭客組織。</p> <p><a href="https://www.ithome.com.tw/news/172851"><strong style="font-size: 22px;">有人假借提供React2Shell掃描工具的名義，於GitHub散布惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1765371409528.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1765371409528.jpg" style="width: 300px; float: right;" /></a></p> <p>兩週前React開發工程團隊修補滿分資安漏洞CVE-2025-55182（React2Shell）引起全球資安圈高度關注，不僅在公布數小時後開始出現攻擊活動，網路上也出現大量的概念驗證（PoC）工具，這種極為不尋常的情況，也出現有人趁亂打劫，對研究人員散布惡意軟體。</p> <p>根據資安新聞網站HackRead報導，上週資安研究員Saurabh在職場社群網站LinkedIn提出警告，他們在GitHub看到有人假借提供React2Shell漏洞掃描工具的名義，意圖散布惡意軟體，埋藏在「資安工具」當中的有效酬載，就會執行mshta.exe，然後將研究人員帶往釣魚網域https://py-installer[.]cc，進行後續的攻擊活動。對此，他們呼籲研究人員，在執行任何網路上的資安工具之前，務必閱讀相關說明或是公告。</p> <p>HackRead根據Saurabh發文的螢幕截圖指出，駭客使用的指令，包含了隱藏的有效酬載，其功能是從遠端抓取第二階段攻擊的惡意軟體。此惡意軟體嵌入於Base64編碼的字串，攻擊者以PowerShell命令解開並執行，濫用合法Windows工具執行惡意指令碼，並將使用者導向另一個存放在GitHub的指令碼，過程裡不需使用者互動。</p> <p><a href="https://www.ithome.com.tw/news/172840"><strong style="font-size: 22px;">法國內政部遭網路攻擊，駭客入侵郵件伺服器</strong></a></p> <p>法國內政部長Laurent Nunez證實上週發生網路攻擊，駭客入侵了郵件伺服器。他向法國廣播電臺RTL指出，事件發生於2025年12月11日晚間至12日，攻擊者存取數臺郵件伺服器上的檔案，但是無法確認資料是否已經失竊。</p> <p>針對攻擊者的身分，外傳很有可能是俄羅斯駭客所為。RTL引述法國國家資訊系統安全局（ANSSI）今年4月發表的報告，相信十多起針對法國組織包括部長級機構、地方政府、法國國防技術與工業生產商、航空航太機構、研究機構、智庫，以及經濟和金融單位的攻擊，是由與俄羅斯軍事情報組織有關的駭客組織APT28所為。</p> <p>本周德國外交部長也指控俄羅斯駭客組織Fancy Bear去年駭入德國飛航控制系統，此外今年初俄國駭客也入侵選務機關企圖影響大選結果，因此傳喚俄羅斯大使解釋。</p> <p><a href="https://www.ithome.com.tw/news/172822"><strong style="font-size: 22px;">安卓惡意程式DroidLock鎖定西班牙語用戶，可全面接管裝置向使用者勒索</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/8Takeover.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/8Takeover.png" style="width: 300px; float: right;" /></a></p> <p>美國專注於行動資安的Zimperium揭露安卓惡意程式DroidLock，鎖定講西班牙文用戶展開攻擊。該惡意程式並未利用任何安全漏洞，而是透過取得無障礙服務（Accessibility）權限，最終接管受害者手機並進行勒索。</p> <p>DroidLock主要透過釣魚網站散布，誘使使用者側載APK檔案，常偽裝成系統更新或合法應用程式。使用者一旦安裝，惡意程式會先要求啟用無障礙服務，並以偽造的更新畫面來引導操作。由於無障礙服務原本就被設計用來協助身障使用者操作裝置，一經授權，便能讀取畫面內容、模擬點擊與輸入，等同於替使用者操作整支手機。</p> <p>至此，駭客已能鎖住裝置、變更裝置PIN碼或生物辨識設定，或是執行原廠重置；DroidLock也具備勒索軟體功能，駭客可透過遠端指令於手機上顯示覆蓋全螢幕的勒索畫面，要求使用者在24小時內聯絡指定電子郵件並支付贖金，否則將會清除裝置資料。</p> <p><a href="https://www.ithome.com.tw/news/172842"><strong style="font-size: 22px;">Google將在2026年初關閉暗網報告通知服務</strong></a></p> <p>Google本周預告，可通報使用者個資流入駭客社群的暗網報告（Dark Web Report）服務將在2026年2月終止服務。從2026年1月15日起，這服務將停止掃描新資料外洩於暗網的案例。而在2月16日起，整個暗網報告服務就會下線。之後所有和該服務相關的資料都會被刪除，用戶也可以提早自行到暗網報告刪除，但一旦用戶刪除了自己的資料檔案，就無法再存取暗網報告了。</p> <p>暗網報告首於2023年推出，主要是用來協助使用者監控於暗網中流傳的個資，如姓名、地址、電話號碼與電子郵件帳戶。只要啟用該功能，每當Google於暗網中發現使用者個資時，便會通知用戶。該功能原本只提供給付費的Google One訂閱用戶，但去年擴及所有Google帳戶用戶，臺灣也是支援的市場之一。</p> <p>Google說明，暗網報告服務雖然提供概略資訊，但使用者回饋意見反映，它並沒有提供有用的後續步驟。因此Google決定，將心力投入在能提供更清楚、可行步驟的工具，以保護用戶線上資訊。Google說，將會打造新的工具以執行追蹤和防範網路威脅，包括暗網。</p> <p><a href="https://www.ithome.com.tw/news/172792"><strong style="font-size: 22px;">Brave測試AI代理上網功能，加入多項安全隱私機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/brave-AI-agent-task.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/brave-AI-agent-task.jpg" style="width: 300px; float: right;" /></a></p> <p>12月11日Brave開發工程團隊宣布AI上網功能提供測試，強調多項安全及隱私設計。</p> <p>最新的AI上網功能是Brave最新代理人功能，將整合在其AI助理Leo中，可根據用戶提示建議上網行動。現在新功能透過Brave Nightly早期測試版釋出。和所有AI功能一樣，AI上網功能預設關閉，使用者必須開啟brave://flags的「Brave AI browsing」啟用。</p> <p>該公司強調Brave AI上網功能的隱私和安全設計。為防範代理人上網的二大風險，包括提示注入及模型行為不慎造成使用者傷害。AI上網功能的儲存將和一般上網紀錄，如cookies、登入狀態、快取、和其他資料隔離開來，以免影響資料安全及隱私。</p> <p><a href="https://www.ithome.com.tw/news/172848"><strong style="font-size: 22px;">數位情報網再升級，跨界聯防共築全民防線：網詐通報查詢網3.0全新改版</strong></a></p> <p>為了展現政府運用數位科技打擊網路詐騙的強大決心與行動力，數位發展部（簡稱數發部）在萬眾矚目下，日前正式宣布「網路詐騙通報查詢網」（簡稱網詐網）已全面改版升級至3.0版本，這個前所未有的防禦升級行動，更被數位發展部部長林宜敬定義為意義深遠的「情資聯防元年」。</p> <p>林宜敬強調，打詐的本質是「好人跟壞人之間不斷的攻防」。他指出，政府作為「好人一方」，持續致力於堵塞各種詐騙的可能管道，然而，詐騙集團作為「壞人一方」，則會不斷地去尋找新的漏洞。</p> <p>面對這場永恆的數位戰役，林宜敬明確指出，「好人隊」要取得優勢，需要更堅強的隊友與更多資源。對此，他表示，此次的版本升級也意味著，臺灣防詐戰略已從過去單點的技術防守，躍升為跨部會、跨地方、跨產業的公私協力聯防體系。</p> <p><a href="https://www.ithome.com.tw/news/172773"><strong style="font-size: 22px;">【當資安已成產品「內建」基本要求】漏洞風險與法規遵循壓力與日俱增，臺廠做好產品資安刻不容緩</strong></a></p> <p>產品資安漏洞是企業面臨的首要資安風險之一，也讓消費者暴露於網路攻擊之下，真正承受後果的往往是終端使用者，而問題根源則多半出在產品本身。在這樣的風險態勢下，多年來，外界不斷呼籲產品業者正視產品上市後的維護責任，主動運用CVE機制公開漏洞，並提供緩解與修補方案，讓漏洞被登記、可被追蹤，同時也讓用戶得以及時更新，才能有效降低風險。</p> <p>然而，現實中仍存在多項結構性挑戰，使得產品漏洞問題的解決始終是一項永遠無法停止的工程。長年以來，我們陸續報導各種漏洞攻擊事件，廠商發布安全性更新，以及產業在漏洞應變與安全開發的最新態勢。有些廠商雖然重視資安且肩負社會責任，主動投入產品資安改善的工程；但也有不少廠商缺乏動力，出貨後缺乏漏洞管理機制，在開發決策上，優先考量功能、將安全排在最後，甚至認為漏洞是家醜不可外揚。</p> <p>也正因為如此，近兩年可看到國際間開始以立法方式強化產品資安，尤其是歐盟網路韌性法（Cyber Resilience Act，CRA），已在去年 12 月正式生效，並將在2027年全面強制執行。對於臺灣產品業者而言，產品資安的重要性與日俱增，甚至已成為法規明文要求的基本門檻，因此，必須積極因應相關要求。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/askul-confirms-theft-of-740k-customer-records-in-ransomhouse-attack/">日本電商公司Askul遭駭傳出是勒索軟體RansomHouse所為，74萬筆客戶記錄遭竊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/185661/data-breach/experts-found-an-unsecured-16tb-database-containing-4-3b-professional-records.html">未受保護的大型MongoDB資料庫存放16 TB資料，43億筆職場社群網站LinkedIn個資曝光</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pornhub-extorted-after-hackers-steal-premium-member-activity-data/">成人網站PornHub合作的資料分析服務公司遭ShinyHunters入侵，部分付費會員資料恐外流</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/uk-ico-fine-lastpass-2022-security-breach/">針對2022年密碼管理服務商LastPass資料外洩，英國開罰120萬英鎊</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/atlassian-patches-critical-apache-tika-flaw/">Atlassian為旗下應用系統修補Apache Tika滿分漏洞</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172834"><strong>【12月15日】開發人員在Docker Hub曝露大量憑證，有人將其收集並在地下論壇兜售</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172801"><strong>【12月12日】惡意軟體NanoRemote濫用Google Drive的API從事通訊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172761"><strong>【12月11日】React2Shell攻擊活動持續擴大，北韓駭客、挖礦軟體、殭屍網路加入行列</strong></a></p> </div></div></div>
2025/12/16 16:22作者周峻佑https://www.ithome.com.tw/news/172853
有人假借提供React2Shell掃描工具的名義，於GitHub散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>兩週前React開發工程團隊修補滿分資安漏洞CVE-2025-55182（React2Shell）引起全球資安圈高度關注，不僅在公布數小時後開始出現攻擊活動，網路上也出現大量的概念驗證（PoC）工具，這種極為不尋常的情況，也出現有人趁亂打劫，對研究人員散布惡意軟體。</p> <p><strong><a href="https://hackread.com/github-scanner-react2shell-cve-2025-55182-malware/">根據資安新聞網站HackRead報導</a></strong>，上週<strong><a href="https://www.linkedin.com/posts/saurabh-b294b21aa_react2shell-activity-7404504370694037504-WRZ9/">資安研究員Saurabh在職場社群網站LinkedIn提出警告</a></strong>，他們在GitHub看到有人假借提供React2Shell漏洞掃描工具的名義，意圖散布惡意軟體，埋藏在「資安工具」當中的有效酬載，就會執行mshta.exe，然後將研究人員帶往釣魚網域https://py-installer[.]cc，進行後續的攻擊活動。對此，他們呼籲研究人員，在執行任何網路上的資安工具之前，務必閱讀相關說明或是公告。</p> <p>HackRead根據Saurabh發文的螢幕截圖指出，駭客使用的指令，包含了隱藏的有效酬載，其功能是從遠端抓取第二階段攻擊的惡意軟體。此惡意軟體嵌入於Base64編碼的字串，攻擊者以PowerShell命令解開並執行，濫用合法Windows工具執行惡意指令碼，並將使用者導向另一個存放在GitHub的指令碼，過程裡不需使用者互動。</p> <p>針對React2Shell概念驗證攻擊工具大量出現的現象，有資安公司公布相關規模，趨勢科技12月10日指出，<strong><a href="https://www.trendmicro.com/en_us/research/25/l/CVE-2025-55182-analysis-poc-itw.html">他們一共識別145個概念驗證攻擊工具</a></strong>，不過品質參差不齊，大部分無法觸發漏洞；另一家資安公司VulnCheck發現，<strong><a href="https://www.vulncheck.com/blog/react2shell-github">GitHub上總共有128個概念驗證攻擊工具</a></strong>，一開始大部分都是使用AI產生的無用工具，到了12月4日，名為maple3142的開發者發布真正能觸發漏洞的概念驗證攻擊工具，而被其他研究人員進行改良（同時也被駭客濫用）。再者，VulnCheck也看到以Python、JavaScript，以及bash等多種語言打造的概念驗證攻擊工具，突顯React2Shell是相當容易利用的資安漏洞，使得偏好特定程式語言的研究人員，都能輕易開發攻擊程式。</p> </div></div></div>
2025/12/16 15:55作者周峻佑https://www.ithome.com.tw/news/172851
Ai2推出完全開放的Bolmo位元組模型，不再仰賴固定詞彙表切詞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國艾倫人工智慧研究所Ai2<a href="https://allenai.org/blog/bolmo">發表</a>Bolmo 7B（70億）與Bolmo 1B（10億）兩款新語言模型，改以UTF-8位元組作為輸入與生成單位，並在模型內部動態決定文字分段，降低對既有子詞分詞器（Subword Tokenizer）與固定詞彙表的依賴。研究人員指出，子詞分詞雖普遍，但在字元層理解、空白與罕見字詞處理，以及多語支援公平性等面向仍有代價，因此嘗試以位元組層設計補足。 </p> <p>多數大型語言模型仍仰賴子詞分詞機制，將原始文字轉換為模型可處理的表示形式，雖有效降低序列長度與計算成本，但也帶來字元層理解不足、空白與拼寫處理不穩定，以及對不同語言支援不均等問題。Ai2指出，位元組層模型可直接處理原始文字結構，有助於改善傳統分詞方法的限制，但過去多半需要從零開始訓練，成本高昂，難以跟上主流模型的演進速度。</p> <p>與多數從零訓練的位元組模型不同，Bolmo採位元組化既有模型的策略。Ai2以公開的Olmo 3 7B檢查點為基礎製作Bolmo 7B，並將Olmo 2 1B改造成Bolmo 1B，透過較短的追加訓練把原本子詞模型的骨幹與能力轉為可在UTF-8位元組層運作的架構。Ai2稱Bolmo是首批完全開放的位元組層語言模型，並表示在多數任務上可與同級子詞模型相當，同時在強調字元處理的基準測試上呈現明顯提升。</p> <p>Ai2公開模型檢查點與相關資源，並把Bolmo放進其Olmo生態系，包含以Dolma 3資料混合為主要訓練來源，搭配開放程式碼資料與少量字元導向資料。官方也提供技術報告、資料與程式碼，讓外界可重現把強勢子詞模型轉為位元組模型的流程。</p> <p>研究人員進一步說明，Bolmo會先在模型內以輕量的局部編碼器處理位元組，再由邊界預測器動態決定分段位置，將可變長度的區塊（Patch）送入沿用的Transformer骨幹處理。該動態池化（Pooling）設計用來在位元組數量增加時維持推論效率，並可透過調整平均每個區塊包含的位元組數，在速度與表現之間做取捨。</p> <p>Ai2同時示範，Bolmo可繼承既有Olmo 3的後訓練成果，例如指令遵循能力，透過權重合併方式移植，降低導入位元組模型的額外成本。</p> </div></div></div>
2025/12/16 16:50作者李建興https://www.ithome.com.tw/news/172849
川普啟動U.S. Tech Force，推動聯邦政府科技現代化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.opm.gov/news/news-releases/opm-launches-us-tech-force-to-implement-president-trumps-vision-for-technology-leadership/" target="_blank">美國人事管理局（U.S. Office of Personnel Management，OPM）周一（12/15）宣布</a>，已與管理與預算辦公室（Office of Management and Budget，OMB）、總務管理署（General Services Administration，GSA）、白宮科學與科技政策辦公室（Office of Science and Technology Policy，OSTP），以及政府各部門首長協調，共同成立「美國科技力量」（United States Tech Force，Tech Force），目標是集中招募頂尖科技人才，推動聯邦政府的科技現代化。</p> <p><a href="https://techforce.gov/" target="_blank">Tech Force</a>預計招募1,000名技術專家，涵蓋軟體工程、人工智慧、網路安全、資料分析與技術專案管理等領域，還希望這些專家擁有強大的問題解決能力及對公共服務的熱情；這些人才將會被分配到各個聯邦機構，主要任務為各種高影響力的技術計畫，包含導入AI、應用程式開發、將資料現代化，以及橫跨各個聯邦機構的數位服務交付，年薪預計介於15萬~20萬美元之間。</p> <p>有趣的是，Tech Force為一只有2年任期的人才計畫，由政府招募工程師與技術專才進入聯邦機構服務，並由私人企業作為合作夥伴，負責提供技術訓練及管理經驗；在2年的任期結束後，合作企業會考慮錄用這些人才；同時企業也可推薦自家員工短期進入政府服務，形成制度化與雙向的人才流動。</p> <p>初步合作夥伴包括Adobe、AWS、AMD、蘋果、Coinbase、Databricks、Dell、Google、IBM、Meta、微軟、Nvidia、OpenAI、甲骨文、Palantir、SAP、Uber、xAI及Zoom等業者。</p> <p>簡單地說，Tech Force是一個由美國聯邦政府統籌的人才集中招募計畫，將年輕科技人才與來自私人企業的資深工程主管組成混合團隊，派駐至各部會以執行高影響力的政府科技與AI專案。Tech Force會持續存在，但人才則有2年任期。</p> <p>多數媒體認為，美國聯邦政府確實嚴重缺乏AI與工程執行力，Tech Force至少回應了這項問題，是一項必要但高風險的制度實驗，其成敗關鍵不在於所招募的人才是否足夠優秀，而在於權責劃分與監督界線是否清楚。</p> </div></div></div>
2025/12/16 17:07作者陳曉莉https://www.ithome.com.tw/news/172855
IP電話管理系統FreePBX多重漏洞可被串連濫用，攻擊者恐取得遠端執行程式碼能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Sangoma旗下開源IP電話管理系統<a href="https://horizon3.ai/attack-research/the-freepbx-rabbit-hole-cve-2025-66039-and-others/">FreePBX存在多項資安漏洞</a>，包含特定驗證模式下的身分驗證繞過漏洞CVE-2025-66039、多處SQL注入漏洞CVE-2025-61675，以及可被濫用的檔案上傳問題CVE-2025-61678。資安廠商Horizon3.ai研究人員指出，在特定設定與條件下，攻擊者可串連這些漏洞，在FreePBX主機上取得遠端執行程式碼的能力。Sangoma已針對相關問題釋出修補，涵蓋FreePBX 16.0.42、16.0.92、17.0.6與17.0.22等版本。</p> <p>研究人員表示，這組漏洞的發現源於團隊追蹤10月已出現實際攻擊行為的CVE-2025-57819時，分析FreePBX的驗證流程，進而辨識出另一條獨立的攻擊路徑。當系統的驗證類型被設定為網頁伺服器時，FreePBX會將身分驗證責任交由網頁伺服器Apache處理，應用程式本身僅檢查請求中是否包含Basic Authorization標頭。此設計導致只要提供有效的使用者名稱，即使密碼錯誤，仍可能建立工作階段並存取部分功能。</p> <p>研究人員也特別強調，FreePBX預設採用使用者管理模組作為驗證機制，因此在未調整設定的情況下，不會因CVE-2025-66039直接曝險。不過，一旦管理者改用網頁伺服器或關閉驗證，系統的攻擊面便會明顯擴大，使後續弱點更容易被利用。</p> <p>在實際可被串連的攻擊環節中，研究聚焦於Endpoint Manager模組。該模組多個設定介面存在SQL注入點，攻擊者在取得可用工作階段後，便可對後端資料庫進行讀寫操作，進而新增管理者帳號，或將惡意指令寫入排程相關資料表。研究同時指出，該模組的自訂韌體上傳功能未妥善限制檔案路徑與內容，可能讓攻擊者上傳惡意檔案至可被Web存取的位置，形成執行惡意程式碼的落腳處。</p> <p>相關問題已在FreePBX 16.0.42、16.0.92，以及17.0.6、17.0.22等版本獲得修正。研究人員建議用戶避免使用網頁伺服器驗證模式，並在必要時改回預設的使用者管理模組。此外，針對已部署系統則可檢查是否出現不明的管理帳號、異常排程工作，或Web目錄下未預期的檔案，以降低攻擊者在系統中長期滯留的風險。</p> </div></div></div>
2025/12/16 17:18作者李建興https://www.ithome.com.tw/news/172854
數位情報網再升級，跨界聯防共築全民防線：網詐通報查詢網3.0版全新改版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了展現政府運用數位科技打擊網路詐騙的強大決心與行動力，數位發展部（簡稱數發部）在萬眾矚目下，日前正式宣布「網路詐騙通報查詢網」（簡稱網詐網）已全面改版升級至3.0版本，這個前所未有的防禦升級行動，更被數位發展部部長林宜敬定義為意義深遠的「情資聯防元年」。</p> <p>林宜敬強調，打詐的本質是「好人跟壞人之間不斷的攻防」。他指出，政府作為「好人一方」，持續致力於堵塞各種詐騙的可能管道，然而，詐騙集團作為「壞人一方」，則會不斷地去尋找新的漏洞。</p> <p>面對這場永恆的數位戰役，林宜敬明確指出，「好人隊」要取得優勢，需要更堅強的隊友與更多資源。對此，他表示，此次的版本升級也意味著，臺灣防詐戰略已從過去單點的技術防守，躍升為跨部會、跨地方、跨產業的公私協力聯防體系。</p> <h2><strong>從全民通報到情資聯防，攔阻「尚未發生」的危機</strong></h2> <p>回顧「網詐通報查詢網」的發展歷程，數發部早在2024年9月30日便首次公開測試此平臺，其核心概念是結合全民的力量，讓民眾在臉書（Meta）、Google、或Line等網路平臺，看到可疑訊息、懷疑其為詐騙時，能夠將該網址複製下來，貼到查詢網中進行查核。民眾不僅能在此得知該訊息是否已被通報，或確認為詐騙訊息，若尚未有人通報，民眾也能夠當場進行通報，為防詐貢獻一份「工人智慧」的力量。</p> <p>這種公私協作的模式推出以來，已展現出相當不錯的成果。根據數發部統計，自2024年9月30日公開測試至2025年11月11日，平臺累計接收超過439,598次的通報數，其中，經過確認的詐騙訊息數量已超過214,618件。</p> <p>數發部同時進行了效益統計，將所有建置與系統開發經費除以下架的訊息量，目前每件詐騙訊息下架的平均成本大約是新臺幣192元。</p> <p>林宜敬明確表示，希望未來能持續將這個金額繼續往下壓縮，這不僅是降低政府的營運成本，更重要的是：透過快速下架，能夠有效地墊高詐騙集團的犯罪成本，從而達到嚇阻效果。</p> <p>然而，攔阻超過21萬件詐騙訊息，究竟避免多少金額損失？林宜敬以「守備範圍」的概念來解釋數發部的戰略位置。他將整個詐騙流程比喻為棒球場上的守備，詐騙集團的流程是先在「開放式平臺」（如Facebook、Google）發布廣告，將民眾騙到「封閉性群組」（如Line）。他坦言，數發部的守備範圍，正是要防止民眾在「開放平臺階段」被騙入封閉群組。</p> <p>由於「網詐通報查詢網」主要是阻絕尚未發生的詐騙，因此無法統計具體的攔阻金額。但林宜敬假設，如果每件被攔阻的詐騙，都可能讓受害者損失1萬元，那麼，攔阻21萬件詐騙訊息，就相當於防堵了21億元的潛在損失。</p> <p>他認為，這項工作的重要性，直接體現在將可疑訊息數量降到最低，從而減輕後續檢警和金管會的負擔。</p> <p>林宜敬也觀察到，由於網路上的直接詐騙受到抑制，詐騙集團正轉向其他方式，例如：線下的假警調或直接拜訪。因此，數發部在後續階段利用科技協助其他部會，例如利用AI方式協助金管會監控「異常金流」，或協助內政部警政署進行數位稽證來抓捕壞人。</p> <p>針對43萬多件通報數中，剩餘的22萬件是否未被處理的疑慮，數位發展部數位產業署組長林青嶔澄清，所有通報事實上都已在處理。未下架的原因主要分為三類：第一類是經查核後確定屬於民眾多心或錯誤通報的「非詐騙訊息」；第二類是尚未確定為詐騙，但系統會對民眾示警「高風險警示」；第三類是仍有部分案件，需要經由各部會確認中。林青嶔強調，由於「下架」是一種行政處分，必須確認無誤後才能執行。</p> <h2><strong>詐騙態樣從大額詐騙轉到小額詐騙，通報難度驟增</strong></h2> <p>林青嶔表示，「網詐通報查詢網3.0版」升級的必要性，來自詐騙態樣的快速變異與民眾通報量的暴增。</p> <p>在持續的宣導推廣下，民眾已逐漸開始習慣運用這樣的平臺進行通報。數發部觀察到，民眾的通報意願與頻率顯著增長，在2025年8月前，民眾的通報數每月平均約有2.8萬件；但到了2025年9月，通報數暴增「翻倍」達到約6萬件。</p> <p>面對如此龐大的案件數，林青嶔認為，如何確保訊息的準確性、提升效率，並更擴大地來把這些訊息下架，成為數發部持續面臨的挑戰。</p> <p>林青嶔坦言，網詐網更關鍵的挑戰，來自詐騙集團戰略的改變。他指出，過去民眾較為熟悉的，多是鎖定大額金額的金融投資或身分冒充詐騙，例如冒充財經網紅或謝金河先生等；然而，在數發部不斷針對這類名人詐騙廣告進行強力下架後，詐騙集團的模式開始發生重大轉變。</p> <p>林青嶔提到，現在「產品服務」類型的詐騙有增多的趨勢。他以「吊車大王」被冒用來販賣護膚產品為例，連當事人本人都必須出面澄清，親自表明自己並未銷售相關護膚產品。他說：「這個現象，顯示了詐騙模式的多樣性和不斷變異。」</p> <p>更值得注意的是，詐騙集團已從過去追求「大額、少數」的模式，轉變為鎖定「小額、量多」的案件。林青嶔解釋，現在詐騙集團利用服務或產品詐騙，可能僅涉及新臺幣一、兩千元的小額詐騙，而詐騙集團正是利用這種不斷欺騙受害者的方式，達到「積少成多」的效果，累積龐大的詐騙金額。</p> <p>因此，網詐通報查詢網的系統功能，必須能夠即時反映這些多變的詐騙態樣，並接收來自不同部會的專業通報，才能達成大量下降詐騙廣告的目標。</p> <h2><strong>網詐網3.0聯防戰略，從自主AI到情資共享</strong></h2> <p>為了應對詐騙集團的集團化運作和快速變異，網詐通報查詢網的系統開發，經歷了嚴謹的迭代歷程。</p> <p>最早2023年12月推出的「Phase 0」階段，由於詐騙情勢成型，系統主要依賴自主的AI掃描，主動偵測並通報平臺業者下架詐騙訊息；隨後在2024年5月，數發部針對謝金河等名人建立了專屬的通報機制，開放公眾人物反詐專用郵箱進行通報。</p> <p>在2024年9月推出「Phase 1」階段則是一個關鍵轉捩點，當時網詐通報查詢網1.0版的公開測試，正式開放民眾通報檢舉各種網路詐騙，標誌著從單純的「人工智慧」轉向結合「工人智慧」（民眾回饋）的模式。</p> <p>到了2025年5月推出的「Phase 2」階段，則是網詐通報查詢網2.0版正式上線，為了確保與跨部會之間的連結更為順暢，系統也開始開放部會通報，聯合衛福部、金管會等部會，彼此做情資通報。<br /> 林青嶔指出，雖然2.0版已結合AI與民眾力量，但仍不足以應對當前的情勢。因此，數發部在2025年11月正式上線推出的「3.0版」最大的核心價值，就是將情資的聯防推向極致。</p> <p>數發部目前推動的「Phase 3」階段，除了開放縣市政府通報外，也進一步在系統中整合了第三方機構，包括臺灣事實查核中心（TFC）、趨勢科技（AI防詐達人）、走著瞧（Gogolook）等業者的情資，透過這些公私部門的夥伴攜手合作，可以在網詐通報查詢網進行情資交換與情資分享。</p> <h2><strong>八大情資來源成為編織密實的聯防蜘蛛網</strong></h2> <p>林青嶔強調，這張防詐大網，若想要做到防堵所有可能的詐騙廣告與訊息，就必須將「蜘蛛網弄得很密」才行。因此，網詐網3.0版啟動後，防詐體系涵蓋公私協力，讓情資來源從原本的「民眾通報」、「資安院AI巡檢」和「公眾人物專屬通報」等三個來源，一口氣擴充到八個。</p> <p>林青嶔表示，另外擴充的五個來源，首先前兩個來源就是整合中央部會和地方政府的通報聯防。網詐網串接包括：金管會、內政部、衛福部等中央部會進行通報；並將地方政府納入通報來源，涵蓋臺北市、臺東市、嘉義市等多個地方政府，加速詐騙案件處理時效。</p> <p>此外，第三個來源就是由網詐網藉由加強產業協防，串接四大網路廣告平臺業者，以及電商、遊戲、第三方支付等，並納入包括Gogolook、趨勢科技等業者的情資，提升產業協防能力。</p> <p>同時，第四個來源則是，網詐網透過與其他公協會的合作，包含：臺灣數位安全發展協會、事實查核教育基金會和無店面工會等，擴大對民眾服務的範圍，做到強化公司協防。最後也是最關鍵的來源就是「全民通報」，要做到提升民眾防詐意識，讓全民都成為詐騙通報來源，共同構築詐騙防護網。</p> <p>其中，數發部與趨勢科技、Gogolook的合作當中，還會利用AI技術，預先進行「風險分析」與「預判」，判別訊息為詐騙的可能性有多大。但林宜敬也強調，最終的確認仍需透過人工，例如詢問名人本人或秘書，確保「百分之百」的準確性，避免行政處分錯誤。</p> <h2><strong>網詐網改版核心，從前端阻絕到加速後端執法</strong></h2> <p>林青嶔特別點出，本次3.0版改版的核心，體現在下列四個關鍵面向的強化，目的是加速行政流程、擴大情資涵蓋範圍，並提升全民的防詐警覺。</p> <p>面向一，做到讓通報更全面。他表示，新版網詐網除了新增第三方情資來源，擴大接受企業、民間單位情資外，也強化了「公眾人物與企業專屬通報機制」，讓遭冒用者可以即時回報，使得防詐廣告能夠快速攔截。</p> <p>面向二，讓審查更快速。數發部強化了跨部會API串接，目前金管會已可依自身程序快速處理詐騙通報情資，未來希望擴大到其他部會，如衛福部等；同時，數發部也將協助地方政府導入相關系統，讓各地的地方政府和派出所等，也能直接審查、通報，全面提升第一線的處理效率。</p> <p>面向三，下架更及時。為了解決詐騙在封閉平臺上的傳播問題，林青嶔表示，網詐網3.0版實現了LINE API直連，確認通報的真實性後，就可直接停權詐騙帳號，大幅提升效率。</p> <p>此外，相關的行政處分採用了「電子送達」方式，確保地方政府能快速送達平臺，落實執法，讓整個行政處分流程更加快速，避免延誤。</p> <p>林青嶔指出，數發部也依據《詐欺犯罪危害防制條例》第32.1.1條針對付費廣告，和第33條針對其他類型的相關規定，可以通知各平臺迅速下架網路詐騙訊息，以達成「即時查詢」、「主動通報」、「AI掃描」及「快速下架」四大目的。</p> <p>面向四，讓民眾覺得更好用，優化UI和UX。數發部進行了新版網詐網UI和UX的升級，使介面操作更直覺，讓民眾可以「一眼看懂、一鍵完成」通報或查詢，提升使用者體驗。</p> <p>在此同時，系統新增了「重大防詐訊息即時推播」功能，做到讓宣導更即時，例如，先前有詐騙集團利用「普發現金」等社會重大事件的詐騙訊息，系統會以蓋版頁面的方式即時推播，並透過新增的小鈴鐺提醒有重要公告以提升社會警覺，告知民眾當前流行的詐騙態樣。此外，當民眾輸入通報的詐騙網址後，系統也能夠即時判斷風險高低，並在後臺進行處理。</p> <h2><strong>納入提供情資與代表公民社會的聯防夥伴</strong></h2> <p>網詐網升級新版的過程中，最重要的關鍵在於：納入其他更多的合作夥伴。臺灣數位安全發展協會理事長劉彥伯表示，該協會雖然成立僅約三個月，但成員都是來自民間的高手，包含Meta、Dcard、Line等平臺業者、區塊鏈貨幣分析師和法律專家等。</p> <p>劉彥伯讚揚網詐通報查詢網是個非常好的大平臺，將這些潛伏在各界的民間高手聚集在一起，將能量整合，開啟新的防詐篇章。他強調，透過整合的方式，讓好人隊能更有效地打擊詐騙集團「多樣態、跨國、跨平臺」的攻擊方式，真正做到團結力量大。</p> <p>趨勢科技行銷部協理陳亭妏認為，當詐騙集團已進入「集團化」運作時，好人隊除了集結力量外，更必須善用新的科技。因此，趨勢科技在對抗詐騙時，除了採用全球最領先的AI技術外，還結合在地的情資，用來了解本土詐騙手法。</p> <p>她強調，趨勢科技的核心價值，便是將AI技術和經過「驗證的」（Validation）情資，透過數發部網詐網這個全民大平臺，實現最好的聯防機制，共同打造全民的詐騙守護網。</p> <p>臺灣事實查核中心（TFC）董事兼執行長邱家宜則從公民社會的角度，提出了更深的倡議。她沉痛地指出，詐騙每年造成臺灣社會上千億元的損失，傷害了許多民眾的血汗錢和退休金，臺灣事實查核中心雖然是小型組織，但代表公民社會的力量，希望盡一份心力協助防治詐騙。</p> <p>然而，臺灣事實查核目前看到的詐騙多是「下游氾濫成災」，邱家宜期望政府能透過法治框架，加強「平臺的課責治理責任」（Platform Accountability），從中游、上游著手，進行更有效率的數位治理。</p> <p>她坦言，目前許多工作是在狀況很糟、民眾受騙後才進行通報，甚至還不一定能成功下架，這有些事倍功半，因此希望政府能做得更多。</p> <p>走著瞧（Gogolook）雲端技術總監池凱琳則強調，面對無孔不入的詐騙，單靠單一企業的力量是遠遠不夠的，「這是一場全民戰爭。」他指出，Gogolook的用戶不僅是服務的使用者，更是防詐的「吹哨者」（whistleblowers），所以，他們願意在第一時間發現威脅時就啟動通報機制。</p> <p>他認為，這種來自民間、最即時的防詐情資，就是防詐拼圖中不可或缺的一塊拼圖。因此，Gogolook積極響應，要將這股擁有700萬用戶的力量，導入到數發部的詐騙防禦體系中，一起加入這個「更強的國家隊」。</p> <p>網詐通報查詢網3.0版的啟動，意味著：臺灣數位防詐戰略從單一部會的技術應對，升級為全面的「情資聯防」體系。林宜敬表示，透過八大情資來源的整合，以及四項關鍵功能強化，數發部不僅成功提高了民眾參與度，也將防線前推至詐騙集團得手前的第一線，有效地提升了行政處分的效率與速度。</p> </div></div></div>
2025/12/16 15:22作者黃彥棻https://www.ithome.com.tw/news/172848
5個中國國家級駭客加入利用React2Shell的行列，部署後門及隧道工具控制受害主機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本月3日React開發工程團隊修補風險值達到10分的資安漏洞CVE-2025-55182（React2Shell），此漏洞發生在React Server Components（RSC）元件，最早傳出<strong><a href="https://www.ithome.com.tw/news/172651">Earth Lamia（UNC5454）與Jackpot Panda等多組中國國家級駭客試圖利用</a></strong>，後續也有多家資安公司發現該國駭客的相關活動，現在有新的調查結果出爐，指出有5組中國駭客加入漏洞利用行列。</p> <p>12月13日Google威脅情報團隊（GTIG）揭露<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/threat-actors-exploit-react2shell-cve-2025-55182/">中國駭客組織UNC6586、UNC6588、UNC6595、UNC6600，以及UNC6603的全球攻擊活動</a></strong>，共通點在於，過程裡駭客都使用了React2Shell而得逞。</p> <p>其中，較為特別的是UNC6600的活動，他們利用React2Shell漏洞來傳送隧道工具MinoCat。他們執行bash指令碼來建立隱藏的資料夾，清除特定名稱的處理程序，然後下載MinoCat的二進位檔案，駭客於特定的使用者Shell組態插入惡意命令，來啟動MinoCat，此為Go語言打造的64位元ELF執行檔，搭載自製的wrapper元件NSS，以及開源的Fast Reverse Proxy（FRP）用戶端元件，來處理隧道通訊。為了能讓隧道工具持續運作，UNC6600建立新的cron工作排程，並濫用systemd服務。</p> <p>另一個惡意程式下載工具Snowlight的活動，也相當值得留意，UNC6586利用漏洞執行命令，或是接收指令碼，然後下載Snowlight，此為Go語言後門程式Vshell的元件，駭客用於對C2發送HTTP GET請求，從C2基礎設施取得其他的有效酬載。值得留意的是，<strong><a href="https://www.ithome.com.tw/news/172683">已有外號為UNC5174或CL-STA-1015中國駭客組織</a></strong>，利用React2Shell散布Snowlight與Vshell，然後竊取AWS組態及憑證檔案，揭露此事的資安公司Palo Alto Networks指出，他們確認至少有30家企業受害。</p> <p>GTIG看到後門程式Hisonic與Compood的活動，其中，UNC6603藉由React2Shell散布Hisonic，鎖定亞太地區的AWS與阿里雲等雲端基礎設施的實體（instance）而來。此後門程式以Go語言開發，其特點是濫用Cloudflare Pages和GitLab等合法服務，存放加密相關的組態配置，這麼做的目的，就是將惡意流量埋入合法的網路活動。</p> <p>另一個後門Compood的活動，是名為UNC6588的駭客組織所為，他們執行特定的指令碼下載後門程式的有效酬載，並將其偽裝成文字編輯工具Vim。儘管後續駭客並未採取其他活動，無從判斷意圖，不過，中國駭客使用Compood可追溯至2022年，當時在臺灣、越南，以及中國都出現活動。</p> <p>最後一支惡意程式是AngryRebel.Linux，UNC6595利用安裝指令碼b.sh部署，並試圖將其偽裝成合法的OpenSSH處理程序，主要攻擊目標是虛擬專用伺服務（VPS）。</p> </div></div></div>
2025/12/16 12:41作者周峻佑https://www.ithome.com.tw/news/172844
Nvidia收購Slurm幕後推手SchedMD，強化AI與HPC叢集控制層
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.nvidia.com/blog/nvidia-acquires-schedmd/" target="_blank">Nvidia周一（12/15）宣布</a>，已收購高效能運算（HPC）開源排程系統Slurm的主要開發與維護者SchedMD，未來將持續維持Slurm的開源及中立角色，同時強化Nvidia在AI與HPC叢集層級的軟體控制能力。雙方並未對外披露交易金額。</p> <p><a href="https://www.schedmd.com/about-schedmd/slurm-history/" target="_blank">Slurm</a>最早於2002年由美國勞倫斯利佛摩國家實驗室（Lawrence Livermore National Laboratory，LLNL）開發，是一套負責叢集資源配置、作業排程與佇列管理的開源系統。在TOP500超級電腦中，有65%的系統採用Slurm，已被視為HPC管理軟體的業界標準，隨著大型語言模型與生成式AI的訓練規模持續擴大，Slurm也逐漸成為AI訓練與推論不可或缺的基礎設施。</p> <p>至於成立於2010年的SchedMD並非是Slurm的原始發明者，而是隨著Slurm廣泛被學術研究及產業的採用，承接其長期維護、功能開發與商業支援的公司，主導了Slurm的版本演進、主要功能與發布節奏。</p> <p>Nvidia表示，該公司與SchedMD的合作已超過10年，未來將持續投資Slurm的開發，以維持Slurm於HPC及AI領域開源排程器的領先地位，另也將加速SchedMD及Slurm接觸新一代的Nvidia系統，最佳化整體運算基礎架構上的工作負載，並會支援多元硬體與軟體，以讓客戶能以Slurm運行異質叢集。</p> <p>Nvidia也將持續為SchedMD現有的數百家客戶，提供Slurm的開源軟體支援、訓練與開發服務。</p> <p>市場分析認為，相較於Nvidia旗下的CUDA、NCCL等加速運算軟體負責提升GPU效能，Slurm位於更上層的位置，負責工作負載如何排隊、如何分配CPU與GPU資源，以及如何於異質叢集中進行調度，隨著AI叢集規模快速擴張，排程與資源治理已直接影響訓練效率與整體成本。透過這起收購，Nvidia的角色也從單純的AI硬體供應商，進一步擴展至資料中心與AI叢集的核心控制層。</p> </div></div></div>
2025/12/16 13:49作者陳曉莉https://www.ithome.com.tw/news/172847
Cloudflare揭露，AI爬蟲已占全球逾4%的HTML流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>CDN與資安服務業者Cloudflare周一（12/15）公布<a href="https://radar.cloudflare.com/year-in-review/2025" target="_blank">2025 Cloudflare Radar Year in Review年度網路觀測報告</a>，顯示AI爬蟲已占全球逾4%的HTML流量，而全球最受歡迎的前五大生成式AI服務依序是：OpenAI的ChatGPT、Anthropic的Claude、Perplexity、Google Gemini，以及Character.AI 。</p> <p>從2024年開始，全球網路上的機器人流量便已超過了人類流量，而在2025年的網路流量中，有47.9%的流量來自機器人，包括搜尋引擎、SEO工具、監測服務、廣告/分析系統，或是自動化程式等；人類流量占了43.5%；Googlebot為4.5%；各種AI Bot為4.2%。</p> <p>其中，用來抓取網站內容以支援搜尋引擎及AI訓練的Googlebot，是Cloudflare所檢測到的最活躍的機器人，占據了逾28%來自已驗證機器人的流量；OpenAI的GPTBot在活躍度上排名第二，貢獻7.5%的已驗證機器人流量。</p> <p>如果把Googlebot也算進AI Bot，那麼全球網路流量中，已有接近9%為AI所用。此外，在排名前1萬個網域中，有3,879個robots.txt文件出現了有關AI爬蟲的設定，涵蓋完全或部分允許，以及完全或部分禁止等不同管理方式，顯示此一原本針對搜尋引擎設計的文件，已將AI爬蟲視為不同且獨立的爬蟲。</p> <p>值得注意的是，<a href="https://blog.cloudflare.com/ai-search-crawl-refer-ratio-on-radar/#how-does-this-measurement-work" target="_blank">Cloudflare也探究</a>了搜尋/AI爬蟲對網頁的抓取量及回導流量之比例（Crawl-to-Refer Ratio），顯示Claude爬蟲抓了超過7萬次才導流一次，OpenAI是1,600:1，Perplexity是202:1，微軟是40:1，Yandex為18:1，Google是9.4:1，百度是1:1。</p> <p>市場分析認為，此一看來失衡的流量也反映出平臺角色的轉變，搜尋引擎仍以導流來支撐內容生態，但生成式AI將內容直接內化為服務價值，改變了既有的交換關係，未來的關鍵不在限制抓取，而在建立授權、回饋或分潤機制，重新定義AI與內容產業的合作模式。</p> <p>Cloudflare也列出了全球前十大生成式AI服務，它們依序為ChatGPT、Claude、Perplexity、Google Gemini、Character.AI、GitHub Copilot、Windsurf AI、QuillBot、xAI的Grok，以及來自中國的DeepSeek。</p> </div></div></div>
2025/12/16 12:46作者陳曉莉https://www.ithome.com.tw/news/172845
Nvidia公布Nemotron 3系列、Nano版先問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Nvidia昨（15）日<a href="https://nvidianews.nvidia.com/news/nvidia-debuts-nemotron-3-family-of-open-models" target="_blank">宣布最新一代Nemotron 3開放模型家族</a>，包含Nano、Super和Ultra三個版本，以及相關工具和資料集，強調採用新混合專家(MoE)架構準確率更高，協助開發代理式AI應用程式。</p> <p>Nvidia強調Nemotron 3家族為開發特化型代理式AI應用而設計。<a href="https://developer.nvidia.com/blog/inside-nvidia-nemotron-3-techniques-tools-and-data-that-make-it-efficient-and-accurate/" target="_blank">新一代模型主打</a>整合了雜糅式Mamba-Transformer混合專家（hybrid mixture-of-experts，MoE）架構、互動環境中的強化式學習（reinforcement learning，RL）及原生100萬token脈絡長度的能力，可支援多代理人應用程式執行高傳輸率、長視野（long-horizon）推理。Nvidia也開放了模型權重、資料集、訓練方法及框架。</p> <p>Nvidia指出，使用創新的雜糅式Mamba-Transformer架構，使Nemotron 3具備100萬token的脈絡長度，得以支援大型程式庫、超長文件、長對話以及整合各處擷取而來的內容，使模型第一次能像人類專家一樣，在完整資料的狀態下，持續、連貫推理，而不再像以前靠切碎、拼湊、反覆遺忘來完成。</p> <p>技術特性而言，Mamba層擅長追蹤長程相依性，但只有很少的記憶使用量，在處理數十萬token仍具有高效能，適合長文本推理與序列建模。Transformer模型層則輔之以詳細注意力機制，可捕捉程式操作、數學推理和複雜模等任務需要的結構及邏輯關係。而MoE則可在不增加密集運算成本的情況下有效計算參數，有助提升大規模運算效率。</p> <p>Nemotron 3在後訓練階段，於NeMo Gym使用強化式學習，以評估及強化其執行包含一系列行為的真實代理人行為時，如呼叫正確工具、撰寫功能程式碼及生成多部份規劃的能力。</p> <p>Nemotron 3家族中，Nano為300億參數小模型，可一次啟動最多30億參數高效執行特定任務，強調低運算成本且高效。Super為近1000億參數的高準確率推理模型，一個token可啟動最多100億參數，適合多代理人應用。Ultra則為約5000億參數的大型推理引擎，單一token可啟動500億參數，能支援需要深度研究和策略規劃的高複雜性AI應用。</p> <p>最小的Nemotron 3 Nano今天已經<a href="https://huggingface.co/blog/nvidia/nemotron-3-nano-efficient-open-intelligent-models" target="_blank">在Hugging Face問世</a>，是為軟體除錯、內容摘錄重點、AI助理工作流程及資訊擷取等任務最佳化。Nemotron 3 Nano每秒執行token傳輸量是前代Nano模型的4倍，而推理token生成數減少最高60%，大幅降低推論成本。100萬token的脈絡長度，使其更準確串連多步驟任務的資訊。</p> <p>Nvidia聲稱其Nemotron 3 Nano版本在多項測試中，優於Qwen3-30B及GPT-OSS-20B。</p> </div></div></div>
2025/12/16 13:04作者林妍溱https://www.ithome.com.tw/news/172846
Google將在2026年初關閉暗網報告通知服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://support.google.com/websearch/answer/16767242?hl=en&visit_id=639014093018233706-127073171&rd=1" target="_blank">Google本周預告</a>，可通報使用者個資流入駭客社群的暗網報告（Dark Web Report）服務將在2026年2月終止服務。</p> <p>暗網報告首於2023年<a href="https://www.ithome.com.tw/news/163860" target="_blank">推出</a>，主要是用來協助使用者監控於暗網中流傳的個資，如姓名、地址、電話號碼與電子郵件帳戶。只要啟用該功能，每當Google於暗網中發現使用者個資時，便會通知用戶。該功能原本只提供給付費的Google One訂閱用戶，但去年擴及所有Google帳戶用戶，臺灣也是支援的市場之一。</p> <p>Google說明，暗網報告服務雖然提供概略資訊，但使用者回饋意見反映它並沒有提供有用的後續步驟。因此Google決定將心力投入在能提供更清楚、可行步驟的工具，以保護用戶線上資訊。Google說會打造新的工具以執行追蹤和防範網路威脅，包括暗網。</p> <p>從2026年1月15日起，這服務將停止掃描新資料外洩於暗網的案例。而在2月16日起，整個暗網報告服務就會下線。之後所有和該服務相關的資料都會被刪除，用戶也可以提早自行到暗網報告<a href="https://myactivity.google.com/dark-web-report" target="_blank">刪除</a>，但一旦用戶刪除了自己的資料檔案，就無法再存取暗網報告了。</p> <p>Google鼓勵用戶利用其他現有工具強化資料安全和隱私。包括安全檢查(Security Check)、建立Passkey來登入Google帳號、登入Google安全中心身份驗證工具、Google密碼管理員、以及密碼檢查等。此外<a href="https://myactivity.google.com/results-about-you/home" target="_blank">Google</a>也鼓勵用戶使用「與你相關的結果」，可協助用戶找到並要求移除Google搜尋中找到的使用者個資，包括電話號碼和住家地址等。</p> </div></div></div>
2025/12/16 11:30作者林妍溱https://www.ithome.com.tw/news/172842
Windows RasMan爆新零時差漏洞，恐導致服務中斷，尚無官方修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Windows遠端存取連線管理員（Remote Access Connection Manager，RasMan）出現零時差漏洞，可導致阻斷服務（Denial of Service，DoS）攻擊。不過尚不知微軟何時會釋出修補程式。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-rasman-zero-day-flaw-gets-free-unofficial-patches/" target="_blank">資安廠商ACROS Security</a>在研究微軟十月修補的RasMan提權（EoP）漏洞CVE-2025-59230時，發現一個阻斷服務漏洞。</p> <p>簡單來說，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-59230" target="_blank">CVE-2025-59230</a>是一個權限提升漏洞（Elevation of Privilege），讓低權限使用者提升到System層次。在RasMan服務尚未啟動時，任何行程（包括低權限使用者權限）都能註冊System用戶的RPC端點。但是研究人員追查的是，攻擊者在提權攻擊前，要如何讓RasMan服務停止。這就是微軟未發現，但其他研究人員發現的DoS漏洞，正好滿足RasMan停止運作的條件。</p> <p>研究人員指出，這個尚未被指派CVE的漏洞存在於Windows RasMan（Remote Access Connection Manager）服務處理遠端連線管理請求的邏輯中。攻擊者可在本機透過RasMan提供的管理類RPC介面，透過對管理請求中的參數進行特殊組合，觸發服務在處理特定連線或裝置資訊時發生錯誤，導致RasMan服務異常終止。</p> <p>一旦RasMan停止運作，系統的VPN、撥號或其他遠端連線功能將暫時無法使用，形成阻斷服務（DoS）。</p> <p>ACROS Security已釋出微修補程式（micropatch），提供給0patch平臺免費及其付費服務用戶，讓用戶在官方版本修補程式釋出前緩解風險。微軟尚未說明官方修補程式的發佈時程。這家資安業者常提供微軟不再或無法及時提供的軟體漏洞修補程式。這次的微修補程式保護的平臺包括Windows 11、Windows 10及Windows 7、Windows Server 2008R2/2012/2016/2019及Windows Server 2025。</p> </div></div></div>
2025/12/16 10:22作者林妍溱https://www.ithome.com.tw/news/172841
法國內政部遭網路攻擊，入侵郵件伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.rtl.fr/actu/justice-faits-divers/un-assaillant-a-pu-penetrer-sur-un-certain-nombre-de-fichiers-sur-rtl-laurent-nu-ez-confirme-une-attaque-informatique-au-ministere-de-l-interieur-7900577003" target="_blank">法國內政部長Laurent Nunez本周證實</a>上周發生網路攻擊，駭客入侵了郵件伺服器。</p> <p>Laurent Nunez向法國廣播電臺RTL指出，事件發生於2025年12月11日晚間至12日星期五。攻擊者存取數臺郵件伺服器上某些檔案，但是法國政府還無法斷言資料已經失竊。</p> <p>法國內政部是警察機關、國內安全與移民事務的主管機關，自然是國家駭客的重點攻擊對象。Nunez表示已經加強安全層級，至於這次存取是否為外國國家駭客、網路犯罪、或是挑戰當局的組織或個人所為，當局都還未排除可能性。</p> <p>法國國家資訊系統安全局（ANSSI）今年4月發表報告，相信十多起針對法國組織包括部長級機構、地方政府、法國國防技術與工業生產商、航空航太機構、研究機構、智庫，以及經濟和金融單位的攻擊，是由與俄羅斯軍事情報組織有關的駭客組織APT28所為。</p> <p>本周<a href="https://www.bbc.com/news/articles/cvgrrnylzzyo" target="_blank">德國外交部長也指控</a>俄羅斯駭客組織Fancy Bear去年駭入德國飛航控制系統，此外今年初俄國駭客也入侵選務機關企圖影響大選結果，因此傳喚俄羅斯大使解釋。</p> <p>今年4月挪威水壩閘門控制系統遭駭入侵數小時，<a href="https://www.ithome.com.tw/news/170657" target="_blank">該國政府</a>也將矛頭指向俄羅斯駭客。</p> </div></div></div>
2025/12/16 09:48作者林妍溱https://www.ithome.com.tw/news/172840
惡意VS Code擴充套件上架微軟市集，偽裝PNG檔藏匿木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司ReversingLabs研究人員<a href="https://www.reversinglabs.com/blog/malicious-vs-code-fake-image">分析</a>了19款上架於微軟VS Code市集的惡意擴充套件，發現這些套件表面上提供開發輔助功能，實際卻把惡意程式藏在隨套件封裝的相依目錄中，並以看似PNG檔的檔案包裝木馬。研究人員指出，該活動從2025年2月起持續運作，並於2025年12月2日被發現，他們已將相關擴充套件通報微軟。</p> <p>研究人員說明，VS Code擴充套件通常會把執行所需的NPM相依套件一併打包，安裝時不必再下載。攻擊者正是利用該預先封裝特性，在熱門NPM套件path-is-absolute的本機副本動手腳，加入額外檔案與啟動觸發程式碼，使惡意行為在VS Code啟動時被觸發。研究人員強調，官方NPM儲存庫上的path-is-absolute內容未被更動，風險來自擴充套件作者可任意改寫其封裝內容。</p> <p>由於被改造的程式會先解碼一段經過混淆處理的JavaScript投放器，接著再執行藏在偽裝為banner.png檔案中的惡意二進位檔，並借助Windows內建程式cmstp.exe這類LOLBIN啟動。研究人員初步辨識其中一個惡意載荷為Rust木馬，但其完整能力仍在持續分析。另有少數擴充套件未偽裝PNG檔，而是改以NPM套件@actions/io投放相同惡意載荷，並分別藏在.ts與.map檔案中。</p> <p>ReversingLabs偵測到2025年前10個月與VS Code相關的惡意軟體，已從2024年的27增加到105。研究人員建議，安裝擴充套件前應審視其來源與可信度訊號，並將相依內容一併納入稽核與掃描流程，以降低開發環境遭供應鏈手法滲透的機率。</p> </div></div></div>
2025/12/16 05:20作者李建興https://www.ithome.com.tw/news/172836
【資安日報】12月15日，開發人員在Docker Hub曝露大量憑證，有人將其收集並在地下論兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172818"><strong style="font-size: 22px;">逾1萬個Docker Hub映像檔曝露憑證與API金鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Docker-Hub-diagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker-Hub-diagram.png" style="width: 300px; float: right;" /></a></p> <p>研究人員發現，開發人員不慎公開於網上的Docker Hub中的容器映像檔，內含AI模型、API金鑰及多種憑證，警告可能造成軟體供應鏈攻擊。資安廠商Flare針對2025年11月1日到30日上傳Docker Hub的上萬個映像檔進行分析，分析這些映像檔是否含有敏感存取資訊。他們先定義15種敏感憑證，包括軟體開發生命周期（SDLC）及程式碼控制憑證（如GitHub）、雲端平臺憑證（如AWS、GCP、Microsoft Azure）、AI及模型存取，以及支付服務憑證等。</p> <p>他們發現10,456個內含高度及重大嚴重性的映像檔，分布於205個命名空間（namespace），進一步分析，研究人員辨別出101個命名空間所屬的實際公司，其中多數是中小企業，但也有大型企業，以及一家財星五百大企業。從產業來看，以軟體開發（28）、消費市場與工業（20）、AI系統（15）最多，還包含一家尖端研究組織及11家金融業者。值得注意的是，在這些容器映像檔中，近42%包含5種以上憑證，像是完整存取雲端、Git程式庫、CI/CD系統、支付整合或其他核心基礎架構元件的憑證。</p> <p>分析外洩各類憑證關聯的Docker Hub帳號數量，其中最多的是和AI模型金鑰有關帳號，達191個，如Anthropic、Grok。其次是API Token，有157個。雲端類（AWS/Azure/GCP/RDS等）和存取憑證（如JWT、App Key、加密金鑰）關聯的數量各為127和103個。其他還有資料庫、CI/CD平臺（如GitHub、Docker）、通訊協同平臺（如Slack）、和第三方支付工具（如Stripe）等各數十個。</p> <p><a href="https://www.ithome.com.tw/news/172810"><strong style="font-size: 22px;">蘋果修補兩個零時差漏洞，並指出已被用於極度複雜的攻擊行動</strong></a></p> <p>12月12日蘋果針對旗下的行動裝置、電腦、穿戴裝置，以及電視盒發布作業系統更新：iOS與iPadOS 26.2、macOS Tahoe 26.2、watchOS 26.2、visionOS 26.2，以及tvOS 26.2，帶來一系列的功能更新，例如：改善iPhone手機網路通訊能力、強化iPad多工操作功能，以及為電腦加入Edge Light的功能。但除此之外，蘋果這次大型更新也修補許多資安漏洞，其中最值得留意的部分，是兩個已遭利用的WebKit零時差漏洞。</p> <p>這些漏洞是CVE-2025-14174與CVE-2025-43529，由蘋果與Google威脅分析團隊（TAG）通報。蘋果在資安公告指出，他們掌握兩項漏洞已在極為複雜的攻擊行動當中，鎖定iOS作業系統早於26版的iPhone。值得留意的是，根據美國國家漏洞資料庫（NVD）的說明，CVE-2025-14174就是兩天前Google為Chrome修補的零時差漏洞（編號為「466192044」）。</p> <p>對於漏洞造成的影響，蘋果指出兩個WebKit漏洞都可透過特製的惡意網頁內容觸發，CVE-2025-14174可導致記憶體中斷，CVE-2025-43529可被用於執行任意程式碼。根據Google通報的資料，我們可以了解CVE-2025-14174進一步的資訊：此為高風險層級漏洞，出現在名為ANGLE的元件，為記憶體越界存取弱點，CVSS風險評為8.8。至於CVE-2025-43529，蘋果並未透露其危險程度，不過，弱點管理公司Tenable在資料庫登記為9.8分。</p> <p><a href="https://www.ithome.com.tw/news/172819"><strong style="font-size: 22px;">PCIe完整性與資料加密處理出現漏洞，恐面臨資訊洩露、拒絕服務等資安風險，波及Intel、AMD處理器</strong></a></p> <p>PCI-SIG（PCI Special Interest Group）上周修訂相關規格，以因應周邊元件快速互連（Peripheral Component Interconnect Express，PCIe）標準中揭露的3個安全漏洞。這些漏洞皆存在於完整性與資料加密（Integrity and Data Encryption，IDE）安全機制中，可能削弱IDE與TDISP（Trusted Domain Interface Security Protocol）等原本用來隔離不同安全環境的防護效果。</p> <p>這些漏洞是由英特爾（Intel）的多名員工發現，分別是CVE-2025-9612、CVE-2025-9613，以及CVE-2025-9614。其中，CVE-2025-9612允許駭客在系統未察覺的情況下，打亂受IDE保護的PCIe資料封包順序，導致系統處理錯誤或過期的資料，進而使原本依賴資料順序與狀態正確性來維持的安全隔離機制出現破口。</p> <p>CVE-2025-9613屬於「完成逾時重導」漏洞，問題出在交易逾時後的狀態處理流程。在特定情況下，系統可能重複使用原本屬於另一筆交易的識別標記，導致後續回傳的資料被送往錯誤的安全環境中，使資料在不同隔離區之間錯置，進而影響資料的機密性與完整性。</p> <p><a href="https://www.ithome.com.tw/news/172805"><strong style="font-size: 22px;">西門子、洛克威爾、施耐德等4家業者12月修補ICS多項重大及高風險漏洞</strong></a></p> <p>在12月Patch Tuesday週期，西門子（Siemens）、洛克威爾自動化（Rockwell Automation）、施耐德電機（Schneider Electric）以及菲尼克斯電氣（Phoenix Contact）皆發布多項公告，修補旗下ICS與OT設備多項資安漏洞。</p> <p>西門子本次共發布14則安全性公告，其中3則被評為重大風險，主要影響Comos、Sicam T與Ruggedcom ROX等產品。在SSA-212953公告中，西門子指出其工程與資產管理平臺Comos存在多項重大風險漏洞，其CVSS v3.1風險分數高達10.0分，CVSS v4.0則為9.2分。這些漏洞可能被利用執行任意程式碼，或造成服務阻斷、資料滲透與存取控制違規。西門子已針對部分產品發布修補版本，並建議用戶升級至最新版。</p> <p>洛克威爾自動化也在12月9日發布2則安全性公告，皆評為高風險屬性。其中，GuardLink EtherNet/IP介面432ES-IG3 Series A存在服務阻斷漏洞CVE-2025-9368，CVSS v4.0為8.7分。另一則公告指出，洛克威爾自動化FactoryTalk DataMosaix Private Cloud存在SQL注入高風險漏洞CVE-2025-12807，CVSS v3.1為8.8分，該漏洞可能讓低權限使用者透過API執行未授權的資料庫操作，進而存取或修改敏感資料。</p> <p><a href="https://www.ithome.com.tw/news/172808"><strong style="font-size: 22px;">微軟更新雲端漏洞獎勵政策，第三方元件影響也納入評估</strong></a></p> <p>微軟上周四（12月11日）宣布，將調整旗下雲端漏洞獎金計畫（Bug Bounty Program）評估方式，導入名為「In Scope by Default」的新原則。未來只要漏洞實際影響微軟的線上服務，即使漏洞源自第三方或開源元件，也將預設納入漏洞獎勵範圍。</p> <p>微軟安全回應中心（Microsoft Security Response Center，MSRC）表示，過去漏洞獎金計畫通常會事先界定明確的適用範圍，研究人員回報的漏洞必須落在指定的產品或服務清單內，才有資格獲得獎勵。然而在實際攻擊情境中，許多高風險漏洞並非直接存在於雲端服務本身，而是來自其所依賴的第三方套件、開源元件或相依服務，即便對線上服務造成實質影響，仍可能因不在既定範圍內而引發認定爭議。</p> <p>在「In Scope by Default」策略下，微軟改以「是否對線上服務造成可驗證影響」作為是否納入漏洞獎金的主要依據，而不再先行限制漏洞必須出現在微軟自家程式碼中。</p> <p><a href="https://www.ithome.com.tw/news/172807"><strong style="font-size: 22px;">酷澎韓國辦公室遭警方搜索，執行長為資料外洩公開致歉辭職</strong></a></p> <p>韓國最大電商酷澎（Coupang）本月發生3,370萬人個資外洩，警方上周五搜查該公司辦公室，隔日執行長公開道歉且請辭以示負責。</p> <p>上周酷澎執行長朴大俊（Park Dae-jun）宣佈為本月初的重大個資外洩案請辭。他表示，對於該公司資料外洩事件讓大眾失望感到抱歉，公司對事件發生及後續反應過程欠妥感到須負重大責任，因此決定辭去一切職位。酷澎母公司已任命該公司行政長和法務長Harold Rogers為臨時執行長。</p> <p>此波人事異動之前幾天，首爾警方搜索酷澎總公司。在兩天之內，警方分別搜索酷澎園區及總部辦公室，以蒐集與資料外洩案相關的證據，並了解客戶資訊系統是否有漏洞。根據韓國時報報導，警方已取得用於資料外洩的IP位址、追查兇嫌。報導引述消息人士指出，警方的搜索狀指向一名中國籍前員工涉嫌違法存取酷澎通訊網路及資訊系統，藉此外洩機密資料。</p> <p><a href="https://www.ithome.com.tw/news/172643"><strong style="font-size: 22px;">假會議濫用Calendly平臺，駭客冒充知名品牌誘騙Google與Facebook廣告管理員帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Calendly-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Calendly-image2.png" style="width: 300px; float: right;" /></a></p> <p>最近兩年，網路釣魚攻擊手法多半以ClickFix為主，不過也有駭客利用會議安排為由，進行對手中間人攻擊（AiTM），意圖竊取Google Workspace和Facebook商業廣告管理帳號，過程裡他們假冒知名企業，並濫用名為Calendly的線上會議排程工具。</p> <p>資安業者Push Security揭露新一波高度針對性的網釣活動，攻擊者利用AiTM網釣工具包，目標是採用Google作為主要身分識別供應商（IdP）的企業，最終目的是接管用於管理數位廣告的帳號。</p> <p>在其中一起事故裡，攻擊者冒充大型奢侈品集團LVMH的人才招募與培訓部門，寄信給受害者，內容高度針對性，而且文筆流暢，不僅包含受害者的資料，寄信來源看起來像是LVMH合法員工。Push Security提到，若在網路上搜尋寄件人的名字，受害者應該就會認為是真的徵才信件，因此他們研判，攻擊者可能透過AI及網路抓取的資料，讓受害者上當。</p> <p><a href="https://www.ithome.com.tw/news/172777"><strong style="font-size: 22px;">【解讀全球資安漏洞數量暴增的現象】CVE數量創新高，突顯風險意識抬頭</strong></a></p> <p>每年公開揭露的CVE漏洞數量持續攀升，2024年已創下新紀錄達4萬個，2025年也確定再度刷新紀錄，截至11月初已超越去年總量，全年CVE數量上看4.5萬個。</p> <p>在前幾個月舉行的2025美國黑帽大會上，我們採訪趨勢科技旗下全球最大漏洞懸賞計畫ZDI的負責人Brian Gorenc，請教他對於漏洞增加狀況的看法，Brian Gorenc指出，如果仔細觀察這個現象，可以發現「漏洞研究」正快速成為備受重視的專業領域。投入尋找程式錯誤與安全弱點的研究人員，近年變得愈來愈多，再者，廠商更普遍以CVE作為揭露與溝通漏洞的共同語言，同時，近年MITRE與CVE工作小組持續推動廠商成為CNA，讓業者能自行核發CVE編號，上述兩方面的推力之下，形成每年CVE數量持續攀升的原因。</p> <p>事實上，我們在臺灣也觀察到同樣的態勢。資安院正積極擴展TWCERT/CC的任務，包括透過「台灣漏洞揭露平台（TVN）」，為研究人員通報國內廠商搭建更多橋樑，資安院在2025年下半也新啟動資安漏洞獵捕活動，促進更多臺灣廠商運用漏洞懸賞計畫，及早發現這些存在但尚未發現的潛在風險。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/gold-blade-apt-hits-canadian-firms-with-byovd-edr-killer-and-ransomware-delivered-via-fake-resumes/">駭客組織RedCurl鎖定加拿大而來，透過人力資源平臺作為入侵管道</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/high-severity-jenkins-flaws-risk-unauthenticated-dos-via-http-cli-and-xss-via-coverage-reports/">Jenkins存在高風險漏洞，未經授權攻擊者可發動跨網站指令碼攻擊、阻斷服務</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/high-severity-gitlab-xss-flaw-cve-2025-12716-risks-session-hijack-via-malicious-wiki-pages/">GitLab存在XSS漏洞，攻擊者可利用惡意Wiki網頁挾持連線階段</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/apache-struts-2-dos-flaw-cve-2025-66775-risks-server-crash-via-file-leak-in-multipart-request-processing/">Apache Struts 2存在DoS漏洞，恐導致檔案洩露與伺服器當機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-rasman-zero-day-flaw-gets-free-unofficial-patches/">Windows遠端存取連線管理員存在零時差漏洞，恐導致服務中斷</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172801"><strong>【12月12日】惡意軟體NanoRemote濫用Google Drive的API從事通訊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172761"><strong>【12月11日】React2Shell攻擊活動持續擴大，北韓駭客、挖礦軟體、殭屍網路加入行列</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172751"><strong>【12月10日】微軟、SAP等多家科技業者發布12月份例行更新</strong></a></p> </div></div></div>
2025/12/15 17:50作者周峻佑https://www.ithome.com.tw/news/172834
滿分資安漏洞React2Shell利用活動急速升溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>兩週前React開發團隊發布更新，<strong><a href="https://www.ithome.com.tw/news/172628">修補CVSS風險高達10分的React伺服器元件（RSC）漏洞CVE-2025-55182</a></strong>（React2Shell），引起資安圈高度關注，大型雲端公司、資安公司，以及研究機構隨即發現漏洞熱烈遭到利用的現象，<strong><a href="https://www.ithome.com.tw/news/172651">中國</a></strong>與<strong><a href="https://www.ithome.com.tw/news/172743">北韓</a></strong>國家級駭客、<strong><a href="https://www.ithome.com.tw/news/172683">殭屍網路</a></strong>，以及<strong><a href="https://www.ithome.com.tw/news/172756">挖礦軟體</a></strong>皆加入利用行動，如今有新的調查指出，漏洞公布一週後，威脅出現急劇升溫的現象。</p> <p>上週資安公司Cloudflare<strong><a href="https://blog.cloudflare.com/react2shell-rsc-vulnerabilities-exploitation-threat-brief/">公布分析結果</a></strong>，指出利用漏洞的攻擊者，主要鎖定特定地區或國家的網路環境，明確聚焦在臺灣、新疆維吾爾、越南、日本，以及紐西蘭，想要利用多種公開可用的工具、商用產品，企圖藉此找出具有高價值的應用程式伺服器，針對政府機關、學術研究機構，以及經營關鍵基礎設施的廠商，其中包含負責鈾、稀有金屬，以及核燃料進出口的政府單位。再者，駭客偏好針對企業採用的密碼管理工具與安全儲存庫，以及採用React為基礎開發的SSL VPN設備管理介面，藉此增加漏洞帶來的危害。</p> <p>附帶一提的是，攻擊者不光透過基本的特徵（Fingerprint）識別存在弱點的環境，還會根據SSL憑證資料，來更加精確找出攻擊目標，並安排下手的優先順序。Cloudflare提及，駭客刻意過濾中國的IP位址，顯然是避免將自己國家的基礎設施列為攻擊目標，再加上他們看到的掃描與漏洞嘗試利用行為，與多個亞洲駭客組織使用的IP位址有關，因此該公司認為，攻擊者可能是亞洲地區的駭客組織。</p> <p>針對這波攻擊行動的趨勢，Cloudflare也在React開發團隊公布漏洞數小時後，偵測到漏洞利用的跡象，從世界標準時間（UTC）12月3日凌晨至11日下午5時，一共偵測到5.82億次活動，相當於平均每個小時就有349萬次攻擊，在活動達到高峰的狀態下，1個小時內甚至達到1,272萬次攻擊，而且，平均每小時攻擊來源IP位址多達3,598個，最高曾在1小時內出現從16,585個IP位址發動的攻擊。值得留意的是，這些活動在12月10日開始出現急劇增加的情況，並在10日、11日出現兩波高峰，同時，攻擊來源的IP位址，數量也在這兩天明顯增加。</p> <p>根據攻擊者的使用者代理字串（User-Agent String），也突顯作案工具的多樣性，Cloudflare一共看到6,387種不同的字串。另一方面，攻擊者利用的有效酬載大小範圍相當廣，平均檔案大小為3.2 KB，最大的達到375 MB，不過，有75%的檔案小於818位元組（Bytes），這代表攻擊者正在進行各種有效酬載大小的測試。</p> <p>這種態勢的其中一個跡象，是美國網路安全暨基礎設施安全局（CISA）要求聯邦機構提早完成修補。他們原本於12月5日公告React2Shell已被用於實際攻擊，將其加入已遭利用的漏洞列表（KEV），當時為聯邦機構設下完成修補的期限是26日，後續疑似因不斷有資安公司和研究機構提出警告，<strong><a href="https://thehackernews.com/2025/12/react2shell-exploitation-escalates-into.html">資安媒體The Hacker News發現</a></strong>，CISA幾天後將修補期限提前至12日，這樣的情況極為罕見。</p> <p>值得留意的是，全球曝險的React應用程式伺服器數量，已出現擴大的現象。Shadowserver基金會<strong><a href="https://infosec.exchange/@shadowserver/115672050969855947">最初於12月5日警告</a></strong>，全球有77,664個IP位址存在React2Shell，後續數量陸續減少，但他們在8日調整偵測的方式之後，<strong><a href="https://infosec.exchange/@shadowserver/115690544827801847">再度提出警告</a></strong>，全球恐怕有更多應用程式伺服器曝險，該基金會偵測到超過16.5萬個IP位址、64.4萬個網域曝險，<strong><a href="https://dashboard.shadowserver.org/statistics/combined/map/?date_range=other_value&day=2025-12-08&map_type=std&source=http_vulnerable&source=http_vulnerable6&tag=cve-2025-55182%2B&data_set=count&scale=log&auto_update=on">其中10萬臺在美國占大多數，臺灣有129臺</a></strong>。</p> <p>上述曝險的數量後續出現緩慢下滑，<strong><a href="https://dashboard.shadowserver.org/statistics/combined/map/?date_range=other_value&day=2025-12-14&map_type=std&source=http_vulnerable&source=http_vulnerable6&tag=cve-2025-55182%2B&data_set=count&scale=log&auto_update=on">截至14日已減少至11.6萬臺</a></strong>，美國約有8萬臺最多，此時臺灣仍有76臺曝險。然而在此同時，漏洞利用的相關活動持續發生，IT人員仍要儘速套用更新因應。</p> </div></div></div>
2025/12/15 17:20作者周峻佑https://www.ithome.com.tw/news/172833
ChatGPT、Grok公開對話遭濫用，惡意廣告導流散布竊資程式AMOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Huntress<a href="https://www.huntress.com/blog/amos-stealer-chatgpt-grok-ai-trust">揭露</a>一起針對macOS使用者的竊資攻擊新手法，攻擊者把惡意指令包裝成清理磁碟空間的教學內容，放進ChatGPT與Grok的公開對話頁面，再透過Google搜尋結果頁面上方的付費廣告導流，誘使使用者誤信內容後複製貼上終端機指令，進而下載並執行AMOS（Atomic macOS Stealer），造成資料外洩。</p> <p>研究團隊起初將該案例視為常見的AMOS警示事件，原本預期會看到釣魚連結、木馬化安裝程式，或ClickFix這類以複製貼上指令為核心的社交工程手法，但在回溯端點與網路紀錄後，他們發現感染起點其實是使用者自行搜尋macOS磁碟清理等一般維護問題，並點入搜尋結果頁面上方導向ChatGPT或Grok對話的連結。</p> <p>在研究人員重現測試中，相近的日常查詢字串也能觀察到類似的AI對話教學，被擺在搜尋結果前段位置，顯示這並非單一個案，而是鎖定大量常見疑難排解需求的系統性投放與排序操弄。</p> <p>研究人員補充，攻擊者刻意利用可公開分享的ChatGPT或Grok對話頁面，並讓這些連結出現在Google搜尋結果頁面上方，甚至高於一般自然搜尋結果。由於連結指向chatgpt.com與grok.com等可信網域，版面也像一般AI助理對話，使用者很難只靠網址或介面察覺內容其實是攻擊者建立的惡意教學。</p> <p>至於執行指令後安裝的竊資軟體AMOS，目標則是竊取高價值資料，包括瀏覽器憑證資料庫中的已儲存密碼、Cookie與工作階段權杖，以及macOS Keychain內的應用程式密碼與Wi-Fi憑證，同時也會鎖定多種加密貨幣錢包相關資料，最後將蒐集內容打包回傳到攻擊者控制的伺服器。</p> <p>研究人員建議企業將偵測重心放在行為異常而非單一檔案特徵，例如留意腳本在背景以非典型方式要求輸入系統密碼，或透過sudo等指令串接進行權限提升，使用者目錄出現刻意隱藏的可執行檔，以及利用LaunchDaemon等系統常駐機制反覆拉起同一程序的現象。</p> </div></div></div>
2025/12/15 16:59作者李建興https://www.ithome.com.tw/news/172823
採用AMD第五代EPYC高時脈CPU，AWS推出多款執行個體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_amd_epyc_9005-based_instances-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>這幾個月以來，AWS陸續針對代號Turin的AMD第五代EPYC（9005系列）處理器，擴充更多Amazon EC2運算服務，例如，10月推出<a href="https://aws.amazon.com/blogs/aws/new-general-purpose-amazon-ec2-m8a-instances-are-now-available/">一般用途執行個體M8a</a>，11月發表的<a href="https://aws.amazon.com/tw/blogs/compute/performance-benefits-of-new-amazon-ec2-r8a-memory-optimized-instances/">記憶體最佳化執行個體R8a</a>，並預告2026年將推出<a href="https://aws.amazon.com/blogs/hpc/meet-the-advanced-computing-team-of-aws-at-sc25-in-st-louis/">高效能運算最佳化執行個體Hpc8a</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-1.jpg" style="width: 500px;" /></p> <p>到了12月全球用戶大會期間，該公司推出<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-ec2-x8aedz-instances-powered-by-5th-gen-amd-epyc-processors-for-memory-intensive-workloads/">運算最佳化執行個體C8a</a>，<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-ec2-x8aedz-instances-powered-by-5th-gen-amd-epyc-processors-for-memory-intensive-workloads/">記憶體最佳化執行個體X8aedz</a>，以及一般用途執行個體<a href="https://aws.amazon.com/about-aws/whats-new/2025/12/aws-amazon-ec2-m8azn-preview/">M8azn的預覽版</a>。而且，就目前已上市的這4款AMD EPYC 9005雲端執行個體而言，均已導入AWS第6代基礎架構加速平臺Nitro，可卸載與加速各種功能的I/O處理，提升整體系統的效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-3.jpg" style="width: 398px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS NITROV6-2025-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20NITROV6-2025-12.jpg" style="width: 260px; float: right;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-2.jpg" style="width: 398px;" /></a></p> <p>以M8a、R8a、C8a為例，搭配的處理器時脈最高為4.5 GHz，相較於上一代執行個體M7a、R7a、C7a，每顆vCPU效能領先幅度達到30％，記憶體頻寬高出45％（<a href="https://aws.amazon.com/ec2/instance-types/c8a/">C8a為33%</a>），單位成本效能提升19％。AWS強調，這兩種執行個體提供的每一顆vCPU，均對應處理器的一顆專用實體核心，而非同時多執行緒（SMT）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS-AMD NOSMT-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD%20NOSMT-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS-AMD NOSMT-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD%20NOSMT-1.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS-AMD NOSMT-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD%20NOSMT-2.jpg" style="width: 298px;" /></a></p> <p>在應用程式的效能上，若用於Apache Groovy的JVM動態語言執行環境，M8a與R8a效能比起前代執行個體，均可領先60％（<a href="https://aws.amazon.com/about-aws/whats-new/2025/12/compute-optimized-amazon-ec2-c8a-instances/">C8a是57％</a>）；而在ERP應用系統SAP當中，M8a與R8a都通過該公司的認證，M8a效能高出前代執行個體7％（462,800 SAPS vs. 429,720 SAPS），R8a效能高出前代執行個體38％（598,370 SAPS vs. 432,980 SAPS）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SAP SD-benchmark-AWS-2025-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SAP%20SD-benchmark-AWS-2025-12.jpg" style="width: 600px;" /></a></p> <p>至於最新推出的X8aedz，屬於高處理器時脈的記憶體最佳化執行個體，搭配的處理器時脈最高為5 GHz，剛推出預覽版的M8azn也採用同樣的處理器，是當前CPU運作頻率最高的雲端運算服務。</p> <p>對照上一代這類產品定位的執行個體X2iezn，X8aedz可提供高出兩倍的運算效能，<a href="https://aws.amazon.com/tw/ec2/instance-types/x8aedz/">性價比提升31％</a>。至於尚未正式推出的M8azn，AWS預告，比起上一代執行個體M5zn（採用英特爾第二代Xeon Scalable處理器），M8azn可提供兩倍的運算效能，處理器L3快取容量增加10倍，<a href="https://aws.amazon.com/ec2/instance-types/m8a/">記憶體頻寬提升至4.3倍</a>，網路吞吐量也將增至兩倍；若對比同樣採用AMD EPYC 9005處理器平臺的M8a，M8azn的效能領先幅度達24％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-AMD-2025-4.jpg" style="width: 600px;" /></a></p> <p>關於網路連線頻寬的部分，M8a、R8a、C8a、X8aedz最高均為75 Gbps，連接雲端區塊儲存服務EBS的頻寬達到60G bps，均為前代執行個體的兩倍。</p> <p>此外，已上線的這四種運算服務，均支援執行個體<a href="https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/configure-bandwidth-weighting.html#config-bw-support">的頻寬設定功能（Instance Bandwidth Configuration，IBC）</a>，可藉此改善資料庫效能、查詢處理，以及事件記錄的速度。基本上，用戶可針對EC2執行個體，自行調整EBS與VPC之間的網路存取頻寬權重，最多可增加25％——可選擇增加VPC網路頻寬、減少EBS存取頻寬的vpc-1，或增加EBS存取頻寬、減少VPC網路頻寬的ebs-1。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EC2 SUPPORT IBC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20SUPPORT%20IBC.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">AWS Amazon EC2 M8a</span><br /> ●原廠：AWS<br /> ●建議售價：亞太地區（東京），m8a.medium隨需每小時0.07861美元<br /> ●處理器：AMD EPYC 9R45（4.5 GHz）<br /> ●記憶體：DDR5<br /> ●最大組態：<br /> m8a.48xlarge，192顆虛擬處理器、768 GiB記憶體、網路頻寬75 Gbps，搭配雲端區塊儲存服務EBS，EBS存取頻寬為60 Gbps</p> <p><span style="color:#0000FF;">AWS Amazon EC2 R8a</span><br /> ●原廠：AWS<br /> ●建議售價：美國西部地區（奧勒岡），r8a.medium隨需每小時0.07988美元<br /> ●處理器：AMD EPYC 9R45（4.5 GHz）<br /> ●記憶體：DDR5<br /> ●最大組態：<br /> r8a.48xlarge，192顆虛擬處理器、1,536 GiB記憶體、網路頻寬75 Gbps，搭配雲端區塊儲存服務EBS，EBS存取頻寬為60 Gbps</p> <p><span style="color:#0000FF;">AWS Amazon EC2 C8a</span><br /> ●原廠：AWS<br /> ●建議售價：美國西部地區（奧勒岡），c8a.medium隨需每小時0.05389美元<br /> ●處理器：AMD EPYC 9R45（4.5 GHz）<br /> ●記憶體：DDR5<br /> ●最大組態：<br /> c8a.48xlarge，192顆虛擬處理器、384 GiB記憶體、網路頻寬75 Gbps，搭配雲端區塊儲存服務EBS，EBS存取頻寬為60 Gbps</p> <p><span style="color:#0000FF;">AWS Amazon EC2 X8aedz</span><br /> ●原廠：AWS<br /> ●建議售價：亞太地區（東京），x8aedz.large隨需每小時0.83419美元<br /> ●處理器：AMD EPYC 9R05（5 GHz）<br /> ●記憶體：DDR5<br /> ●最大組態：<br /> x8aedz.24xlarge，96顆虛擬處理器、3,072 GiB記憶體、網路頻寬75 Gbps，2臺3,800 GB NVMe SSD搭配雲端區塊儲存服務EBS，EBS存取頻寬為60 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/12/15 17:04作者李宗翰https://www.ithome.com.tw/review/172803
Android惡意程式可全面接管裝置以向使用者勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國專注於行動資安的<a href="https://zimperium.com/blog/total-takeover-droidlock-hijacks-your-device" target="_blank">Zimperium上周揭露</a>一個全新的Android惡意程式DroidLock，鎖定講西班牙文的Android用戶展開攻擊。該惡意程式並未利用任何Android安全漏洞，而是透過取得無障礙服務（Accessibility）權限，最終接管受害者手機並進行勒索。</p> <p>DroidLock主要透過釣魚網站散布，誘使使用者側載APK檔案，常偽裝成系統更新或合法應用程式。使用者一旦安裝，惡意程式會先要求啟用無障礙服務，並以偽造的更新畫面來引導操作。由於無障礙服務原本就被設計用來協助身障使用者操作裝置，一經授權，便能讀取畫面內容、模擬點擊與輸入，等同於替使用者操作整支手機。</p> <p>在取得無障礙權限後，DroidLock便能代替使用者操作系統介面，協助完成其他敏感權限的授權，並進一步引導啟用裝置管理員身分。</p> <p>至此，駭客已能鎖住裝置、變更裝置PIN碼或生物辨識設定，或是執行原廠重置；DroidLock也具備勒索軟體功能，駭客可透過遠端指令於手機上顯示覆蓋全螢幕的勒索畫面，要求使用者在24小時內聯絡指定電子郵件並支付贖金，否則將會清除裝置資料。</p> <p>雖然該惡意程式不會加密檔案，但光是透過鎖機以及完全清除裝置內容的能力，就能迫使受害者支付贖金。</p> <p>研究人員公布了DroidLock可接受的所有指令，涵蓋請求裝置管理員權限、把手機螢幕變黑、發送特定通知、鎖住裝置、顯示假的系統更新畫面、啟用遠端桌面存取功能、將裝置靜音、執行原廠重置、顯示勒索覆蓋畫面、封鎖特定App、阻止裝置解鎖、喚醒螢幕、啟用相機、解除安裝特定App，以及於特定App注入行為等。</p> <p>Zimperium指出，DroidLock顯示行動惡意程式正轉向濫用Android中原本合法的無障礙服務與裝置管理員機制，在未利用系統漏洞的情況下，即可取得近乎完整的裝置控制權，突顯出高權限濫用已成為行動資安的重要威脅。</p> </div></div></div>
2025/12/15 15:17作者陳曉莉https://www.ithome.com.tw/news/172822
AI程式碼編輯器Cursor支援開發者拖拉調整UI，再由代理回寫程式碼庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Cursor開發團隊在程式碼編輯器中的瀏覽器（Cursor Browser）<a href="https://cursor.com/blog/browser-visual-editor">加入視覺化編輯器</a>，讓開發者在同一個視窗內同時看到網頁介面、相關程式碼庫與視覺化調整工具。使用者可直接在已算繪的頁面上拖拉元素、檢視元件與屬性，或以點選搭配文字描述提出修改需求，再由代理在程式碼庫中找出對應畫面的元件與相關檔案，並把修改寫回程式碼。</p> <p>視覺化編輯器的基本操作是拖拉重新排列，開發者可把已顯示的元素在DOM樹狀結構中調整位置，直接嘗試按鈕順序、區塊的排列方式，或測試不同格線配置帶來的版面差異。當視覺結果符合預期，再以提示詞要求代理套用變更，代理會尋找相關元件並把調整寫回程式碼層。</p> <p>針對常見的React式前端架構，Cursor也把元件狀態相關的屬性整理到側邊欄，方便在不同元件變體間切換與比對。由於許多元件會透過屬性控制顯示狀態，例如不同尺寸、配色或互動模式，這類呈現方式讓開發者能更快確認同一元件在多種情境下的差異，並在同一處完成調整。</p> <p>在樣式調整上，側邊欄提供滑桿、調色盤與即時取色器等視覺控制，開發者可使用既有的色彩Token與設計系統，對色彩、字體與版面進行微調。此外，視覺化編輯器也支援點選並輸入提示詞（Point and prompt）編輯方式，使用者可點選介面中的任一元素，以自然語言描述調整形狀、顏色和排序等需求，官方並提到代理可並行處理多個修改要求。</p> <p>除了視覺化編輯器，<a href="https://cursor.com/changelog/2-2">Cursor 2.2</a>也加入多項與代理工作流程相關的更新，包括除錯模式，可透過執行期紀錄協助重現問題並找出原因，計畫模式更新則支援在計畫中內嵌Mermaid圖表，並可將選定的待辦事項分配給新的代理處理，還有多代理評判（Multi-agent judging），會在多個並行代理完成後自動評估各次結果並推薦較佳解法，並附上選擇理由。</p> </div></div></div>
2025/12/15 15:26作者李建興https://www.ithome.com.tw/news/172821
【資安週報】1208~1212，React2Shell漏洞遭大規模利用，攻擊活動升溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年12月第二星期資安新聞中，上星期我們報導React2Shell出現攻擊活動，後續再有多家資安業者揭露相關態勢，指出參與利用該漏洞的攻擊者數量持續增加。從多個中國駭客組織鎖定此漏洞發動攻擊，到北韓駭客以及Mirai等殭屍網路相繼加入利用行列，突顯其威脅程度正快速升高。</p> <p>在漏洞消息方面，這一星期有多家IT、OT大廠發布每月安全更新，需要大家盡速因應，特別要留意的是，還有6項最新漏洞利用消息，由於開始出現攻擊活動，同樣需要企業與資安團隊及時評估與處理。我們整理如下：</p> <p>●Git伺服器Gogs有零時差漏洞被利用，修補程式尚未釋出。資安業者Wiz指出，7月發現有攻擊者能從網際網路存取的Gogs平臺發動攻擊，當時已通報且漏洞登記為CVE-2025-8110列管，12月10日此漏洞編號對外公開。<br /> ●微軟發布12月每月例行安全更新，修補3個零時差漏洞，包含已被用於攻擊行動的CVE-2025-62221。<br /> ●Google接連修補兩個已遭利用的Chromium零時差漏洞，分別是CVE-2025-13630、CVE-2025-14174。<br /> ●OSGeo在11月25日修補地理位置資訊伺服器GeoServer的漏洞CVE-2025-58360，加拿大網路安全中心與美國CISA均確認該漏洞已被用於實際攻擊。<br /> ●WinRAR高風險漏洞CVE-2025-6218於6月修補，如今確認開始有攻擊者利用的情形。先前已有不同資安業者分別對此示警，指出<a href="https://bi.zone/eng/expertise/blog/paper-werewolf-atakuet-rossiyu-s-ispolzovaniem-uyazvimosti-nulevogo-dnya-v-winrar/">GOFFEE</a>、<a href="https://exchange.xforce.ibmcloud.com/osint/guid:a996ddd4327b4f61a133d0d9a92a239b">APT-C-08</a>、<a href="https://thehackernews.com/2025/12/warning-winrar-vulnerability-cve-2025.html">Gamaredon</a>等駭客組織運用此漏洞來攻擊。<br /> ●還有兩個老舊漏洞被美國CISA納入KEV清單，包括D-Link路由器的CVE-2022-37055，以及Sierra Wireless AirLink ALEOS的CVE-2018-4063。</p> <p>在資安事件方面，國內有4起事故消息浮上檯面，涵蓋知名軟板廠台郡，還有炎洲與炎洲流通，由於再有同一集團相繼發生資安事故，此情況持續引起國內企業的高度關注。</p> <p>●軟式印刷電路板的上市公司台郡在12月11日發布重訊，說明發生資訊系統遭受駭客網路攻擊的資安事件。<br /> ●經營薄膜、膠帶、包材生產及房地產開發建設的炎洲，在12月8日發布重訊，說明在6日收到資訊系統遭受勒索病毒攻擊訊息。<br /> ●以包裝材料通路為核心業務的炎洲流通，與炎洲同日發布相同內容的重大訊息。<br /> ●關於非上市櫃公司，我們蒐集到一項威脅情資，是傳出勒索軟體集團Obscura聲稱指紋科技與辨識系統商星友科技（Startek Engineering Inc）列為受害者，我們週六以電子郵件聯繫，尚未得到任何回應。</p> <p>在最新威脅態勢上，我們將重點放在AI瀏覽器與AI代理的風險，近期就有4則相關消息，顯示研究人員正積極揭露這方面的潛在威脅，嘗試在問題擴大前及早示警。</p> <p>（一）有研究人員示警，當使用者透過Comet這類AI瀏覽器執行代理連接Google服務時，只要把惡意提示包裝成商業書信常用的禮貌性要求措辭，像是：「請整理我的Google Drive」，就能操控網頁AI代理刪除雲端硬碟資料，研究人員並解析為何有禮貌且結構清晰的提示反而成了問題。<br /> （二）Gemini Enterprise被揭露可被名為GeminiJack的弱點攻擊手法突破，Google已修補這項漏洞，研究人員指出這是RAG方面的系統結構性瑕疵，其危險在於：只要攻擊者發出共享Google Docs、Google Calendar邀請或Gmail郵件，就能存取企業資料並外洩。<br /> （三）研究人員揭露一類名為PromptPwnd的手法，當AI代理介接GitHub Actions或GitLab CI/CD時，可濫用AI代理竊取金鑰並改寫CI/CD流程，並強調至少已有5家Fortune 500企業受影響。<br /> （四）多款主流AI IDE與程式助理被揭露存在IDEsaster類型的弱點，研究人員Ari Marzuk指出，這是一條跨工具通用的攻擊鏈，目前已有24項漏洞取得CVE編號，AWS亦發布安全公告AWS-2025-019。</p> <p>還有一項研究揭露值得留意，有研究人員發表SOAPwn研究，指出微軟.NET Framework內建HTTP用戶端代理的設計缺陷，WSDL匯入機制可被濫用，恐引發多款企業產品的RCE與NTLM雜湊洩漏風險。</p> <p>至於資安防禦發展動向上，這一星期有多個重要進展，最受矚目的是，隨著許多應用聚焦在AI代理，OWASP首度公布AI代理的10大資安威脅，這項排名公開突顯「Agent Goal Hijack」、「工具濫用及漏洞利用」，以及「身分與特殊權限的濫用」，是最要留意的3大風險情境。</p> <p>另外我們也在此補充，近期還有其他風險排行榜有更新發布，包括：<a href="https://www.aikido.dev/blog/owasp-top-10-2025-changes-for-developers">OWASP 2025年Web應用安全十大威脅揭曉</a>，還有<a href="https://cwe.mitre.org/top25/archive/2025/2025_cwe_top25.html">MITRE公布2025年版全球最危險的25種軟體安全缺陷</a>，也就是所謂的CWE Top 25，目的是提醒開發者與軟體供應商，哪些是長期反覆出現、應在開發階段優先避免的高風險弱點。</p> <p>而在促進企業修補漏洞方面，英國國家網路安全中心（NCSC）有新作法，他們嘗試透過公開資訊與可觀察的外部行為，並與Netcraft合作寄送漏洞預警通知，希望避免企業因未主動追蹤漏洞而暴露風險的狀況，以更主動方式提醒企業留意對外系統的潛在弱點。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172708"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月8日】殭屍網路及中國駭客傳出已實際利用滿分資安漏洞React2Shell</span></strong></a></h3> <p>繼上週AWS警告多組中國駭客開始利用React滿分漏洞CVE-2025-55182（React2Shell），威脅情報業者GreyNoise、資安業者Palo Alto Networks，以及Shadowserver基金會都針對相關威脅態勢提出警告；再者，雲端服務業者Cloudflare出現服務異常，也與緩解此漏洞有關</p> <h3><a href="https://www.ithome.com.tw/news/172725"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月9日】AI開發工具與程式助理廣泛存在一系列資安漏洞，可串連形成攻擊鏈IDEsaster</span></strong></a></h3> <p>有研究人員在多款主流的AI程式助理與IDE當中，發現超過30個資安漏洞，並統稱為IDEsaster，這項發現恐影響數百萬開發人員，而受到全球高度關注</p> <h3><a href="https://www.ithome.com.tw/news/172751"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月10日】微軟、SAP等多家科技業者發布12月份例行更新</span></strong></a></h3> <p>微軟於本月的例行更新（Patch Tuesday）修補3項零時差漏洞，其中又以出現實際攻擊行動的CVE-2025-62221最受關注，此外，由近日公布AI開發工具漏洞利用鏈IDEsaster的研究人員通報的另一項漏洞CVE-2025-64671，由於也在微軟公告前就被公布，而成為另一焦點</p> <h3><a href="https://www.ithome.com.tw/news/172761"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月11日】React2Shell攻擊活動持續擴大，北韓駭客、挖礦軟體、殭屍網路加入行列</span></strong></a></h3> <p>資安業者Huntress與Sysdig提出警告，他們看到有人不斷投入利用CVE-2025-55182（React2Shell）的情況，其中有人試圖綁架Linux主機來挖礦及建置殭屍網路，也有北韓駭客用於散布惡意程式EtherRAT</p> <h3><a href="https://www.ithome.com.tw/news/172801"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月12日】惡意軟體NanoRemote濫用Google Drive的API從事通訊</span></strong></a></h3> <p>曾經濫用微軟Graph API的中國駭客近期再度出手，打造新的惡意程式NanoRemote，最大的不同之處在於，他們利用了Google Drive的API來進行C2通訊</p> <p> </p> </div></div></div>
2025/12/15 15:46作者羅正漢https://www.ithome.com.tw/news/172811
蘋果修補兩個零時差漏洞，並指出已被用於極度複雜的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>12月12日蘋果針對旗下的行動裝置、電腦、穿戴裝置，以及電視盒發布作業系統更新：<strong><a href="https://support.apple.com/125884">iOS與iPadOS 26.2</a></strong>、<strong><a href="https://support.apple.com/125886">macOS Tahoe 26.2</a></strong>、<strong><a href="https://support.apple.com/125890">watchOS 26.2</a></strong>、<strong><a href="https://support.apple.com/125891">visionOS 26.2</a></strong>，以及<strong><a href="https://support.apple.com/125889">tvOS 26.2</a></strong>，帶來一系列的功能更新，例如：改善iPhone手機網路通訊能力、強化iPad多工操作功能，以及為電腦加入Edge Light的功能。但除此之外，這次大型更新蘋果也修補許多資安漏洞，其中最值得留意的部分，是兩個已遭利用的WebKit零時差漏洞。</p> <p>這些漏洞是CVE-2025-14174與CVE-2025-43529，由蘋果與Google威脅分析團隊（TAG）通報。蘋果在資安公告指出，他們掌握兩項漏洞已在極為複雜的攻擊行動當中，鎖定執行低於26版iOS作業系統的iPhone。值得留意的是，根據<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-14174">美國國家漏洞資料庫（NVD）的說明</a></strong>，CVE-2025-14174就是<strong><a href="https://www.ithome.com.tw/news/172785">兩天前Google為Chrome修補的零時差漏洞「466192044」</a></strong>。</p> <p>對於漏洞造成的影響，蘋果指出兩個WebKit漏洞都可透過特製的惡意網頁內容觸發，CVE-2025-14174可導致記憶體中斷，CVE-2025-43529可被用於執行任意程式碼。根據Google通報的資料，我們可以了解CVE-2025-14174進一步的資訊：此為高風險層級漏洞，出現在名為ANGLE的元件，為記憶體越界存取弱點，CVSS風險評為8.8。至於CVE-2025-43529，蘋果並未透露其危險程度，不過，我們上網搜尋，發現<strong><a href="https://www.tenable.com/cve/CVE-2025-43529">弱點管理公司Tenable在資料庫登記為9.8分</a></strong>。</p> <p>除了上述的「26.2版」作業系統更新，蘋果也為macOS Sequoia及Sonoma發布<strong><a href="https://support.apple.com/125892">新版瀏覽器Safari 26.2</a></strong>，並為<strong><a href="https://support.apple.com/125885">舊版iOS及iPadOS發布18.7.3版更新</a></strong>，修補這些零時差漏洞。回顧過去，今年蘋果已修補9個零時差漏洞，前面7個分別是：<strong><a href="https://www.ithome.com.tw/news/167181">CVE-2025-24085</a></strong>、<strong><a href="https://www.ithome.com.tw/news/167302">CVE-2025-24200</a></strong>、<strong><a href="https://www.ithome.com.tw/news/167823">CVE-2025-24201</a></strong>、<strong><a href="https://www.ithome.com.tw/news/168453">CVE-2025-31200與CVE-2025-31201</a></strong>、<strong><a href="https://www.ithome.com.tw/news/170408">CVE-2025-6558</a></strong>，以及<strong><a href="https://www.ithome.com.tw/news/170738">CVE-2025-43300</a></strong>。</p> </div></div></div>
2025/12/15 10:05作者周峻佑https://www.ithome.com.tw/news/172810
西門子、洛克威爾、施耐德等4家業者12月修補ICS多項重大及高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在12月Patch Tuesday週期，西門子（Siemens）、洛克威爾自動化（Rockwell Automation）、施耐德電機（Schneider Electric）以及菲尼克斯電氣（Phoenix Contact）皆發布多項公告，修補旗下ICS與OT設備多項資安漏洞。</p> <p>西門子本次共發布14則安全性公告，其中3則被評為重大風險，主要影響Comos、Sicam T與Ruggedcom ROX等產品。在<a href="https://cert-portal.siemens.com/productcert/html/ssa-212953.html?ste_sid=81fa74fa7b0a3b9e5ee5c69919dfa89f" target="_blank">SSA-212953公告</a>中，西門子指出其工程與資產管理平臺Comos存在多項重大風險漏洞，其CVSS v3.1風險分數高達10.0分，CVSS v4.0則為9.2分。這些漏洞可能被利用執行任意程式碼，或造成服務阻斷、資料滲透與存取控制違規。西門子已針對部分產品發布修補版本，並建議用戶升級至最新版。</p> <p>此外，<a href="https://cert-portal.siemens.com/productcert/html/ssa-471761.html?ste_sid=81fa74fa7b0a3b9e5ee5c69919dfa89f" target="_blank">西門子公告Sicam T 3.0之前版本存在高風險與重大風險漏洞</a>，CVSS v3.1達9.9分，CVSS v4.0則為9.3分，涵蓋不當輸入驗證、跨站腳本（XSS）與跨站請求偽造（CSRF）問題，並涉及身分驗證與授權繞過，以及缺乏HTTPS保護等弱點。這些漏洞可能導致遠端程式碼執行、未授權存取或連線階段劫持。西門子已發布新版Sicam T，建議用戶儘速更新。</p> <p>洛克威爾自動化也在12月9日發布2則安全性公告，皆評為高風險屬性。其中，GuardLink EtherNet/IP介面432ES-IG3 Series A存在服務阻斷漏洞<a href="https://www.rockwellautomation.com/en-us/trust-center/security-advisories/advisory.SD1764.html" target="_blank">（CVE-2025-9368）</a>（CVSS v4.0為8.7分）。另一則公告指出，洛克威爾自動化FactoryTalk DataMosaix Private Cloud存在SQL注入高風險漏洞<a href="https://www.rockwellautomation.com/es-es/trust-center/security-advisories/advisory.SD1765.html" target="_blank">（CVE-2025-12807）</a>（CVSS v3.1為8.8分）。該漏洞可能讓低權限使用者透過API執行未授權的資料庫操作，進而存取或修改敏感資料。</p> <p>施耐德電機於12月初發布2則安全公告<a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-343-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-343-01.pdf" target="_blank">SEVD-2025-343-01</a>、<a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-343-02&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-343-02.pdf" target="_blank">SEVD-2025-343-02</a>，指出微軟Windows Server Update Services（WSUS）重大漏洞（CVE-2025-59287）已在實際環境中遭到利用，連帶導致採用WSUS的EcoStruxure Foxboro DCS曝險，攻擊者可能藉此發動遠端程式碼執行攻擊並取得系統層級存取權限。</p> <p>另一方面，施耐德電機也提醒，EcoStruxure Foxboro DCS仍可能受到既有的ZombieLoad漏洞影響。官方建議 OT 環境用戶依指引更新系統，並搭配網路分段與存取控管等措施，以降低對生產與製程運作的潛在衝擊。</p> <p>還有一家工控系統業者菲尼克斯電氣（Phoenix Contact），<a href="https://www.phoenixcontact.com/en-pc/service-and-support/psirt" target="_blank">也針對旗下FL SWITCH 2xxx系列交換器</a>漏洞發布修補更新，指出這款交換器存在跨站腳本、服務阻斷、認證缺失與資訊洩露等風險，德國電腦緊急應變小組<a href="https://certvde.com/de/advisories/VDE-2025-071/" target="_blank">CERT@VDE也同步揭露</a>菲尼克斯的安全修補資訊，提醒用戶留意更新與防護。</p> <p>美國網路安全與基礎設施安全局<a href="https://www.cisa.gov/news-events/alerts/2025/12/09/cisa-releases-three-industrial-control-systems-advisories" target="_blank">CISA在12月9日</a>，則另外發布3則工控系統（ICS）相關安全公告，分別涉及U-Boot啟動載入器、Festo LX Appliance，以及多款工業用CCTV攝影機漏洞，呼籲關鍵基礎設施營運單位儘速評估風險並採取防護措施。</p> <p>其中，<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-25-343-01" target="_blank">ICSA-25-343-01</a>指出U-Boot存在存取控制缺失漏洞（CVE-2025-24857），CVSS v3分數為8.4分、CVSS v4分數為8.6分，攻擊者可能藉此執行任意程式碼。CISA建議限制裝置網路曝露並加強存取控管。</p> <p><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-25-343-03" target="_blank">ICSA-25-343-03</a>則揭露多款工業用CCTV攝影機存在缺乏關鍵功能認證的問題，包括D-Link DCS-F5614-L1，追蹤漏洞為CVE-2025-13607，CVSS v3基準分數為9.4分、CVSS v4為9.3分，屬重大風險，攻擊者可在未經驗證情況下存取攝影機設定與帳號憑證。針對這項漏洞，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10462" target="_blank">D-Link已經釋出修補</a>予以解決。</p> </div></div></div>
2025/12/15 12:23作者王珮瑤https://www.ithome.com.tw/news/172805
逾1萬個Docker Hub映像檔曝露憑證與API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>研究人員發現，公開於網上的Docker Hub中的容器映像檔，內含AI模型、API金鑰及多種憑證，警告可能造成軟體供應鏈攻擊。</p> <p><a href="https://flare.io/learn/resources/docker-hub-secrets-exposed/" target="_blank">資安廠商Flare針對</a>2025年11月1日到30日上傳Docker Hub的上萬個映像檔進行分析，分析這些映像檔是否含有敏感存取資訊。他們先定義15種敏感憑證，包括軟體開發生命周期（Software Development Lifecycle，SDLC）及程式碼控制憑證（如GitHub）、雲端平臺憑證（如AWS/GCP/Microsoft Azure）、AI及模型存取、支付服務憑證等。</p> <p>他們發現10,456個內含高度及重大嚴重性的映像檔，分佈於205個命名空間（namespace）。進一步分析，研究人員辨別出101個命名空間所屬的實際公司，其中多數是中小企業，但也有一些大型企業，以及一家財星五百大企業。從產業來看，以軟體開發（28）、市場與產業（20）、AI與智能系統（15）最多，還包含一家尖端研究組織及11家金融／銀行。</p> <p>值得注意的是，在這些容器映像檔中，近42%包含5種以上憑證，像是完整存取雲端、Git程式庫、CI/CD系統、支付整合或其他核心基礎架構元件的憑證。</p> <p>分析外洩各類憑證關聯的Docker Hub帳號數量，其中最多的是和AI模型金鑰有關帳號，達191個，如Anthropic、Grok。其次是API Token，有157個。雲端類（AWS/Azure/GCP/RDS等）和存取憑證（如JWT、App Key、加密金鑰）關聯的數量各為127和103個。其他還有資料庫、CI/CD平臺（如GitHub、Docker）、通訊協同平臺（如Slack）、和第三方支付工具（如Stripe）等各數十個。</p> <p>研究人員提醒，要小心企業環境中的影子IT，因為有些外洩資訊來自個人或承包商帳號，可能意謂機密會從員工個人帳號或外包商帳號流出。此外，一旦憑證被公開（如曝露於公開Docker Hub），企業IT除了移除外洩的憑證，也要記得撤銷或輪替憑證，否則外流後可能落於駭客之手而被用於非法存取。</p> </div></div></div>
2025/12/15 11:32作者林妍溱https://www.ithome.com.tw/news/172818
PCIe完整性與資料加密處理出現漏洞，恐面臨資訊洩露、拒絕服務等資安風險，波及Intel、AMD處理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://pcisig.com/PCIeIDEStandardVulnerabilities" target="_blank">PCI-SIG（PCI Special Interest Group）上周修訂相關規格</a>，以因應周邊元件快速互連（Peripheral Component Interconnect Express，PCIe）標準中揭露的3個安全漏洞。這些漏洞皆存在於完整性與資料加密（Integrity and Data Encryption，IDE）安全機制中，可能削弱IDE與TDISP（Trusted Domain Interface Security Protocol）等原本用來隔離不同安全環境的防護效果。</p> <p>PCI-SIG是由全球主要晶片及系統廠商組成、負責制定與維護PCIe等硬體互連標準的產業規格制定組織；PCI-SIG所制定的PCIe是硬體互連標準，負責資料如何在CPU與周邊裝置之間傳輸；IDE是PCIe規格中的一個安全機制，用來保護PCIe封包的內容與完整性，當兩個PCIe元件（例如CPU與加速卡）建立連線時，若雙方都支援IDE，即會在PCIe鏈路上啟用IDE模式。</p> <p>這3個漏洞是由英特爾（Intel）的多名員工共同發現，分別是CVE-2025-9612、CVE-2025-9613與CVE-2025-9614。其中，CVE-2025-9612允許駭客在系統未察覺的情況下，打亂受IDE保護的PCIe資料封包順序，導致系統處理錯誤或過期的資料，進而使原本依賴資料順序與狀態正確性來維持的安全隔離機制出現破口。</p> <p>CVE-2025-9613屬於「完成逾時重導」漏洞，問題出在交易逾時後的狀態處理流程。在特定情況下，系統可能重複使用原本屬於另一筆交易的識別標記，導致後續回傳的資料被送往錯誤的安全環境中，使資料在不同隔離區之間錯置，進而影響資料的機密性與完整性。雖然漏洞觸發點與PCIe的完成逾時行為有關，但問題實際出在IDE對交易狀態與安全情境的管理不足，屬於IDE安全機制本身的設計缺陷。</p> <p>CVE-2025-9614則屬於「延遲寫入重導」漏洞，當裝置切換或重新綁定安全環境時，IDE未能確實清除或重新更新加密狀態，導致原本屬於前一個安全環境的寫入資料，仍可能被送進新的安全環境中，使不同受信任區域之間的資料界線模糊化。</p> <p>PCI-SIG表示，安全隔離遭到破壞可能會導致資訊外洩、權限提升或是服務阻斷攻擊。</p> <p>受影響的對象主要是已啟用PCIe IDE安全機制的伺服器與資料中心系統，特別是採用新一代PCIe5.0以上平臺、並使用IDE與TDISP來隔離不同安全環境的設備。<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01409.html" target="_blank">Intel</a>與<a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7056.html" target="_blank">AMD</a>已分別發布安全公告，確認旗下部分Xeon與EPYC伺服器處理器在啟用PCIe IDE的情境下受到影響，並建議透過韌體更新因應。</p> </div></div></div>
2025/12/15 12:02作者陳曉莉https://www.ithome.com.tw/news/172819
Google翻譯引進Gemini原生語音能力，開始測試即時語音翻譯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/products/search/gemini-capabilities-translation-upgrades/" target="_blank">Google上周五（12/12）宣布</a>，將Gemini的最新翻譯能力及原生語音能力引進Google翻譯（Google Translate），除了全面提升文字翻譯品質，也同步在Android版Google翻譯中測試可搭配所有耳機使用的即時語音翻譯功能。<a href="https://blog.google/products/gemini/gemini-audio-model-updates/" target="_blank">後者採用的是</a>Google近日更新的Gemini 2.5 Flash Native Audio模型。</p> <p>在文字翻譯上，Google翻譯開始採用由Gemini支撐的全新翻譯品質，強化對成語、俚語與語境的理解能力，避免過去逐字直譯的問題。這項升級已率先於美國與印度推出，支援英語與近20種語言互譯，涵蓋Android、iOS與網頁版。</p> <p>真正的突破則出現在語音層面。Google表示，Google翻譯正在測試的即時語音翻譯功能，採用了Gemini 2.5 Flash Native Audio的原生語音能力，可直接於聲音層面進行理解與生成，不必經過傳統的「語音轉文字、再轉回語音」流程。這讓翻譯延遲大幅降低，同時保留說話者的語氣、重音與節奏，更貼近真實人類溝通。</p> <p>語音對語音翻譯是以「聆聽為主」的即時模式運作。使用者只需在Android版Google翻譯中配戴耳機並啟用「Live Translate」功能，手機便會持續收音，將周遭的外語語音即時翻譯後，直接透過耳機播放成使用者設定的目標語言。</p> <p>目前此一耳機即時語音翻譯仍為測試版，支援連續收音與即時播放翻譯結果，適用於跨語言對話、演講聆聽與外語內容理解。有別於蘋果的即時翻譯功能只支援蘋果自家耳機AirPods，Google的語音對語音翻譯功能支援所有耳機，<a href="https://support.google.com/translate/answer/6142474?hl=en&co=GENIE.Platform%3DAndroid" target="_blank">以及超過70種語言</a>。</p> <p>測試版已於美國、墨西哥與印度的Android裝置上線，預計2026年擴展至iOS與更多地區。</p> </div></div></div>
2025/12/15 10:50作者陳曉莉https://www.ithome.com.tw/news/172816
VS Code強化代理工作流程，Chat內整合工作階段並支援背景持續執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟釋出<a href="https://code.visualstudio.com/updates/v1_107">VS Code 2025年11月更新1.107版本</a>，更新重點放在代理工作流程，新版把代理工作階段整合進Chat檢視，開發者可在同一介面查看各工作階段的狀態、進度與檔案變更統計，也能封存或取消封存工作階段，微軟說明，當使用者在VS Code開啟某個專案資料夾作為工作區時，Chat工作階段清單僅顯示與該專案相關的工作階段，要是使用者處於未開啟任何專案的空白視窗，則會顯示跨不同專案的所有工作階段。</p> <p>過去用戶只要關閉VS Code內的本機代理工作階段（Local Agent Session），執行中的代理請求就會被取消，限制了本機代理執行長時間任務或同時處理多個任務的能力，1.107改為保留工作階段，讓本機代理即使未開啟在Chat檢視或聊天編輯器中也能在背景繼續執行，使用者可從Chat內的工作階段清單隨時切回原對話追蹤進展。另因工作階段清單整合進Chat檢視，VS Code也將獨立的Agent Sessions檢視預設停用，並計畫在後續版本移除。</p> <p>VS Code新增Continue in流程，讓使用者先在本機對話中完成需求釐清或規畫後，可把既有聊天脈絡交給背景或雲端代理接手執行，交接後原工作階段會被封存。微軟也把背景代理設計成可在背景自主執行的代理，並說明其先前被稱為CLI agents。</p> <p>由於要讓背景任務更可控，1.107擴充背景代理可附加的上下文類型，包含選取內容、問題、符號與搜尋結果等，讓使用者在不需逐一指定檔案路徑的情況下交付較完整的任務描述。</p> <p>VS Code 1.107替背景代理提供以Git Worktree建立獨立工作樹的選項，讓背景代理在分離的資料夾中進行修改，待任務完成後再檢視並整併回主要工作區，用來避免多個背景代理同時改動同一套檔案而互相干擾，避免衝突發生。</p> <p>另外，新版推出Agent HQ作為代理管理入口，讓GitHub Copilot與自訂代理可在同一處被管理與協作，並延伸自訂代理的共享與重用能力，包含在GitHub組織層級提供共用代理等實驗功能。微軟表示，該版本將以分批方式向穩定版使用者推送，開發者也可在VS Code內手動檢查更新，想更早體驗的開發者可下載Insiders Nightly版試用。</p> </div></div></div>
2025/12/15 11:11作者李建興https://www.ithome.com.tw/news/172802
英特爾傳將收購AI晶片業者SambaNova
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bloomberg.com/news/articles/2025-12-12/intel-nears-1-6-billion-deal-for-ai-chip-startup-sambanova" target="_blank">彭博報導</a>，英特爾即將和AI推論晶片及平臺業者SambaNova達成16億美元的收購。</p> <p><a href="https://www.bloomberg.com/news/articles/2025-10-30/intel-in-talks-to-acquire-ai-chip-startup-sambanova" target="_blank">彭博於10月底</a>首次引述消息人士報導雙方收購消息。雙方可能已從今年10月底展開洽談。最快可能數周，但也可能因為盡職調查等進階談判事務而延遲為數月。若收購金額為真，這個金額將小於SambaNova 2021年募資，以及11月彭博報導收購金額的50億美元。</p> <p>成立於2017年的Samba核心業務為推論晶片及系統平臺。這家新創公司投資人皆大有來頭，包括英特爾的投資部門Intel Capital、軟銀、三星、SK Telecom及美光的投資部門等。路透社報導，該公司和英特爾淵源匪淺，英特爾執行長陳立武個人的投資公司Walden International也是投資人之一。此外，Samba去年5月也任命陳立武為執行董事。</p> <p>多家媒體分析，這項收購是英特爾重回AI競爭的策略性動作，可望帶進SambaNova可商用的AI加速器及整機解決方案，提振英特爾和Nvidia、AMD及其他新興業者的競爭力，特別是在企業/雲端資料中心的推論與客制加速器市場。</p> <p>英特爾和Samba皆未對此消息評論。</p> </div></div></div>
2025/12/15 11:16作者林妍溱https://www.ithome.com.tw/news/172817
微軟更新雲端漏洞獎勵政策，第三方元件影響也納入評估
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.microsoft.com/en-us/msrc/blog/2025/12/in-scope-by-default" target="_blank">微軟上周四（12/11）宣布</a>調整旗下雲端漏洞獎金計畫（Bug Bounty Program）評估方式，導入名為「In Scope by Default」的新原則。未來只要漏洞實際影響微軟的線上服務，即使漏洞源自第三方或開源元件，也將預設納入漏洞獎勵範圍。</p> <p>微軟安全回應中心（Microsoft Security Response Center，MSRC）表示，過去漏洞獎金計畫通常會事先界定明確的適用範圍，研究人員回報的漏洞必須落在指定的產品或服務清單內，才有資格獲得獎勵。然而在實際攻擊情境中，許多高風險漏洞並非直接存在於雲端服務本身，而是來自其所依賴的第三方套件、開源元件或相依服務，即便對線上服務造成實質影響，仍可能因不在既定範圍內而引發認定爭議。</p> <p>在「In Scope by Default」策略下，微軟改以「是否對線上服務造成可驗證影響」作為是否納入漏洞獎金的主要依據，而不再先行限制漏洞必須出現在微軟自家程式碼中。</p> <p>MSRC進一步說明，安全漏洞經常出現在元件互動或相依關係的邊界上，未來將採用更廣泛的安全研究視角，不僅涵蓋微軟自身的基礎架構，也包括其所依賴的第三方相依性，不論是開源元件或商用軟體。</p> <p>在實務執行上，MSRC指出，漏洞是否符合獎金資格，將以其是否對微軟線上服務造成「直接且可驗證的影響」為判斷標準，而非程式碼歸屬。即使漏洞源自第三方或開源元件，只要影響成立，微軟仍會受理回報並評估獎勵，同時協調相關單位進行修補。微軟也強調，相關回報仍須遵循既有的負責任揭露規範，以確保研究過程不影響使用者資料與服務穩定性。</p> <p>對此，<a href="https://www.linkedin.com/posts/geoffbelknap_tom-gallagher-is-cool-he-does-cool-things-activity-7404897403860058112-1lVv" target="_blank">MSRC威脅情報策略總監Sherrod DeGrippo認為</a>，此一作法反映出真實的威脅環境樣貌，攻擊者並不在乎程式碼歸屬，也不會受產品邊界限制，因此防禦方的漏洞獎勵制度亦不應自我設限，而這也是近年來協調式資安研究領域中，最重要的制度演進之一。</p> </div></div></div>
2025/12/15 09:35作者陳曉莉https://www.ithome.com.tw/news/172808
酷澎韓國辦公室遭警方搜索執行長為資料外洩公開致歉辭職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>韓國最大電商酷澎（Coupang）本月發生3,370萬人個資外洩，警方上周五搜查該公司辦公室，隔日執行長公開道歉且請辭以示負責。</p> <p>上周酷澎執行長朴大俊（Park Dae-jun）宣佈為本月初的重大個資外洩案請辭。<a href="https://www.reuters.com/world/asia-pacific/coupang-ceo-resigns-after-online-retailer-hit-by-massive-data-breach-2025-12-10/" target="_blank">他表示</a>，對於該公司資料外洩事件讓大眾失望感到抱歉，公司對事件發生及後續反應過程欠妥感到須負重大責任，因此決定辭去一切職位。</p> <p>在其下台後，酷澎母公司已任命該公司行政長和法務長Harold Rogers為臨時執行長。</p> <p>這起將近3,400萬個資外洩案佔了韓國5400萬人口的半數以上。<a href="https://www.ithome.com.tw/news/172554" target="_blank">報導指出</a>，該名內賊早在今年6月24日便企圖自酷澎的海外伺服器竊取用戶資料，酷澎一直到11月才察覺此事，原本估計受害者只有4,500人，但在與執法機構及資安公司合作調查後，發現影響超過3,300萬人。</p> <p>此波人事異動之前幾天，首爾警方搜索酷澎總公司。在兩天之內，警方分別搜索酷澎園區及總部辦公室，以蒐集與資料外洩案相關的證據，並了解客戶資訊系統是否有漏洞。<a href="https://www.koreatimes.co.kr/southkorea/law-crime/20251210/police-raid-coupang-headquarters-for-2nd-day-over-massive-data-breach" target="_blank">根據韓國時報報導</a>，警方已取得用於資料外洩的IP位址、追查兇嫌。報導引述消息人士指出，警方的搜索狀指向一名中國籍前員工涉嫌違法存取酷澎通訊網路及資訊系統，藉此外洩機密資料。</p> <p>首爾警方則表示，警方計畫根據取得的數位證據，全面追查本案完整事實，包括外洩個資的人士，以及外洩事件的整個過程及原因。</p> </div></div></div>
2025/12/15 09:10作者林妍溱https://www.ithome.com.tw/news/172807
寫入效能突破10 GB/s與100萬IOPS，群聯新款PCIe SSD上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/x201-d201-product-details-blog_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在11月下半登場的美國超級電腦大會SC25，群聯電子（Phison）<a href="https://phisonblog.com/phison-delivers-next-gen-performance-and-capacity-at-sc25/">發表新款企業級固態硬碟Pascari X201系列，以及資料中心固態硬碟Pascari D201系列</a>，共通點是採用PCIe 5.0介面，快閃記憶體均為TLC、導入321層堆疊的設計，提供每日讀寫量1與3的機型選擇，日常運作的耗電量都低於25瓦，而且，最高效能皆相同——循序讀取與寫入分別為14,500 MB/s與12,000 MB/s，隨機讀取與寫入分別為330萬IOPS與105萬IOPS，適合嚴苛、資料密集型的存取需求，能針對AI一系列作業流程與各種即時處理程序，提供持續的效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Phison X-Series-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20X-Series-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Phison D-Series-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20D-Series-1.jpg" style="width: 600px;" /></a></p> <p>關於儲存容量的部分，Pascari X201系列最大可提供30.72 TB，企業可選購X201P，每日讀寫量為1；若希望有更大的耐用度，可選購X201E，每日讀寫量為3，最大容量為25.6 TB。Pascari D201系列最大可提供15.36 TB，企業可選購D201P，每日讀寫量為1，若想有更大的耐用度，可選購D201E，每日讀寫量為3，最大容量為12.8 TB。</p> <p>而在產品的外形上，Pascari X201系列提供兩種：2.5吋U.2、厚15公釐，以及E3.S 1T，可支援大部分的伺服器與儲存系統應用。Pascari D201系列僅有E1.S厚15公釐，若用於雲端服務平臺與大型物件儲存系統或服務的環境，能以更小的裝置體型，達到更高的儲存密度配置與每瓦耗電量的儲存空間效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Phison X-Series-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20X-Series-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Phison D-Series-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20D-Series-2.jpg" style="width: 600px;" /></a></p> <p>相較於群聯先前推出的<a href="https://www.ithome.com.tw/review/162973">Pascari X200系列，包含去年5月發表X200E、X200P</a>，以及今年5月登場的<a href="https://www.phison.com/en/category/article/press-releases/phison-unveils-next-generation-ai-and-storage-innovations-at-computex-2025">X200Z</a>，11月最新發表的Pascari X201系列的效能表現，除了循序讀取的規格略低（14,500 MB/s vs. 14,800 MB/s）、隨機讀取表現打平（目前皆為330萬IOPS，Pascari X200剛推出時為300萬IOPS），其餘兩種效能皆提升（循序寫入12,000 MB/s vs. 8,700 MB/s，隨機寫入105萬IOPS vs. 95萬IOPS）。</p> <p>在儲存容量的配置上，Pascari X200系列在2.5吋U.2提供5種（X200P、X200E）或4種（X200Z），E3.S 提供4種（X200P、X200E），至於Pascari X201系列，不分外形均提供兩種選擇。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">群聯Pascari X201</span><br /> ●原廠：群聯電子<br /> ●建議售價：廠商未提供<br /> ●機型：X201E、X201P<br /> ●儲存容量：X201E提供12.8 TB、25.6 TB，X201P提供15.36 TB、30.72 TB<br /> ●外形：U.2厚15公釐、E3.S 1T<br /> ●儲存媒體：3D NAND，TLC，321層<br /> ●最高讀寫速度：循序14,500 MB/s與12,000 MB/s，隨機330萬IOPS（4K）與105萬IOPS（4K）<br /> ●使用介面：PCIe 5.0單埠（x4）或雙埠（2x2）<br /> ●耐用度：每日寫入量X201E為3，X201P為1<br /> ●耗電量：低於25瓦</p> <p><span style="color:#0000FF;">群聯Pascari D201</span><br /> ●原廠：群聯電子<br /> ●建議售價：廠商未提供<br /> ●機型：D201E、D201P<br /> ●儲存容量：D201E提供12.8 TB，D201P提供15.36 TB<br /> ●外形：E1.S厚15公釐<br /> ●儲存媒體：3D NAND，TLC，321層<br /> ●最高讀寫速度：D201E與D201P為循序14,500 MB/s與12,000 MB/s，D201E為隨機330萬IOPS（4K）與105萬IOPS（4K），D201P為隨機330萬IOPS（4K）與60萬IOPS（4K）<br /> ●使用介面：PCIe 5.0單埠（x4）<br /> ●耐用度：每日寫入量D201E為3，D201P為1<br /> ●耗電量：低於25瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/12/13 13:58作者李宗翰https://www.ithome.com.tw/review/172799
【資安日報】12月12日，惡意軟體NanoRemote濫用Google Drive的API從事通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172797"><strong style="font-size: 22px;">惡意軟體NanoRemote濫用Google Drive的API隱匿行蹤</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NanoRemote25.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/NanoRemote25.png" style="width: 300px; float: right;" /></a></p> <p>資料搜尋及分析業者Elastic旗下的資安實驗室指出，他們在今年10月透過遙測發現新的Windows後門程式NanoRemote，此惡意軟體疑似來自匿稱為Ref7707、CL-STA-0049、Earth Alux，以及Jewelbug的中國駭客組織，且與另一個該組織使用的惡意程式FinalDraft具有相似之處。而NanoRemote引起Elastic注意的地方，在於駭客濫用了Google Drive的API與受害電腦傳送資料，使得有效酬載及竊得資料可暫存在難以偵測的地方。針對檔案傳輸，NanoRemote搭載了工作管理系統，不僅能排程上傳和下載的工作，還能暫停或恢復中斷的檔案傳輸，並能產生所需的權杖（Token）。</p> <p>針對Ref7707散布NanoRemote的攻擊流程，主要的工具包含惡意程式載入工具WMLoader與NanoRemote，但究竟他們如何入侵受害電腦，Elastic沒有說明。</p> <p>駭客將WMLoader偽裝成Bitdefender防毒軟體的元件BDReinit.exe，並搭配無效的數位簽章來掩人耳目。一旦執行，WMLoader就會呼叫大量的Windows功能，目的是準備處理特定檔案嵌入的Shell Code。此Shell Code會在存放WMLoader的資料夾當中，尋找特定檔案，然後使用16個位元組的ASCII金鑰，透過AES-CBC演算法解密NanoRemote，並於記憶體內執行。Elastic提及，駭客除了將WMLoader偽裝成Bitdefender防毒軟體的元件，也有偽裝成趨勢科技檔案的情形。</p> <p><a href="https://www.ithome.com.tw/news/172785"><strong style="font-size: 22px;">Google修補Chrome今年第8個零時差漏洞</strong></a></p> <p>12月10日Google針對電腦與安卓裝置用戶，發布143.0.7499.109與143.0.7499.110版Chrome，總共修補3項資安漏洞，其中，於Chromium專案登記編號為466192044的高風險漏洞，該公司表示，他們已掌握在實際環境有嘗試利用的情況，此為今年Chrome第8個零時差漏洞。</p> <p>罕見的是，這項漏洞Google僅透露為高風險層級，至於其他的資訊，像是CVE編號、漏洞的類型、受影響的元件，以及通報者的身分，他們並未透露，僅表示目前正在協調處理當中。</p> <p>有資安新聞網站根據466192044於Chromium專案透露的內容，對此漏洞進行推測。Bleeping Computer指出，此漏洞疑似出現在Google開源程式庫LibANGLE，此為轉換OpenGL ES圖形呼叫，並傳送到其他API，而能讓圖形API執行效率更佳，或是讓OpenGL ES應用程式能在非原生支援的系統運作。</p> <p><a href="https://www.ithome.com.tw/news/172793"><strong style="font-size: 22px;">駭客利用Gogs零時差漏洞入侵逾700臺伺服器</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1765291896-image3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1765291896-image3.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Wiz於今年7月發現，有人針對能從網際網路存取的Gogs平臺發動攻擊，駭客利用未知的漏洞達到目的。Wiz將漏洞通報給開發團隊並得到承認，登記為CVE-2025-8110列管。值得留意的是，由於目前Gogs開發工程團隊尚未提供修補程式，且攻擊活動仍在持續，Wiz呼籲，IT人員應限制Gogs伺服器的網路存取管道，若無需開放用戶自行線上註冊帳號，就應該立即停用相關功能。再者，IT人員也要清查Gogs主機，是否出現8個字元隨機名稱的儲存庫，或是API出現非預期使用的現象。</p> <p>究竟攻擊者如何利用漏洞？他們事先得到能建立儲存庫的使用者權限，接著建立一個標準儲存庫，然後提交指向敏感目標的符號連結，接著，他們透過名為PutContents的API，在符號連結寫入資料，由於系統根據符號連結覆寫儲存庫外部的特定檔案，使得他們能夠執行任何命令。</p> <p>針對這起事故的影響範圍，Wiz表示他們透過物聯網搜尋引擎Shodan，一共找到1,487臺曝露在網際網路上的Gogs伺服器，其中有超過700臺遭到入侵。所有遭到攻擊的伺服器都出現相同特徵：它們幾乎都在相近的時間當中，被建立以8個隨機字元命名的使用者或是儲存庫，這代表攻擊者很可能是同一個駭客組織，或是由使用相同工具的多名駭客所為。</p> <p><a href="https://www.ithome.com.tw/news/172800"><strong style="font-size: 22px;">新型態手法ConsentFix結合OAuth同意網路釣魚，透過Azure CLI騙取微軟帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ConsentFix_683.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ConsentFix_683.png" style="width: 300px; float: right;" /></a></p> <p>要求使用者依照指示操作，將惡意指令複製、貼上，然後執行的網釣手法ClickFix，是目前最為氾濫的社交工程攻擊型態，這種手法後續又出現變形，其中包含操作流程都在瀏覽器進行的FileFix，以及結合假系統更新螢幕覆蓋手法的JackFix，如今有結合OAuth身分驗證流程的新型態手法。</p> <p>經營瀏覽器防護的資安公司Push Security，揭露名為ConsentFix的攻擊手法，它結合了OAuth同意網路釣魚與ClickFix，從而挾持受害者的微軟帳號。這種基於瀏覽器的新型態攻擊手法，攻擊者會誘騙使用者進行簡單的複製貼上，就有機會接管使用者的帳號。更可怕的是，假如使用者已經在瀏覽器登入特定OAuth應用程式，攻擊者就能在無須取得憑證，或是通過多因素驗證（MFA）的情況下得逞，換言之，攻擊者有可能以此繞過通行金鑰（Passkey）等防護措施。</p> <p>值得留意的是，這種手法已出現實際攻擊。Push Security觀察到駭客濫用Azure CLI的OAuth應用程式，藉由產生特定的OAuth授權碼，引誘受害者登入Azure CLI，並將URL貼上攻擊者控制的網頁。這麼一來，就會在受害者的微軟帳號與攻擊者的Azure CLI實體（instance）之間，建立OAuth連線。</p> <p><a href="https://www.ithome.com.tw/news/172770"><strong style="font-size: 22px;">.NET Framework的HTTP用戶端代理設計缺陷，結合WSDL匯入可構成RCE攻擊鏈</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SOAPwn-23.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SOAPwn-23.png" style="width: 300px; float: right;" /></a></p> <p>WatchTowr Labs資安研究人員公開SOAPwn研究，揭露.NET Framework內建HTTP用戶端代理HttpWebClientProtocol，以及其衍生的SoapHttpClientProtocol，存在設計缺陷，微軟多次將相關回報標記為不修補，但實際測試證實，攻擊者可結合Web服務描述語言（Web Services Description Language，WSDL）匯入機制，在多款企業級產品上建構可重複利用的遠端程式碼執行攻擊鏈，部分產品情境甚至在無需額外使用者操作的情況下即可觸發。</p> <p>研究人員指出，這類簡單物件存取協定（SOAP）用戶端代理，名義上用於透過HTTP存取XML Web服務，但實作上會根據網址前綴自動選擇不同通訊元件。也就是說，只要攻擊者有辦法更動代理的URL設定，就能把原本指向HTTP服務的網址，改成指向本機檔案路徑或SMB分享路徑。因此原本要當成SOAP請求送出去的內容，反而可能被寫進伺服器檔案系統，或被送到攻擊者控制的檔案分享點，前者帶來任意位置寫入檔案的風險，後者則造成NTLM雜湊外洩。</p> <p>在已公開的案例中，研究人員在Barracuda Service Center RMM與Ivanti Endpoint Manager等產品中驗證完整攻擊流程，前者漏洞編號CVE-2025-34392，並以2025.1.1熱修補更新處理，後者則對應CVE-2025-13659。研究人員並指出，Umbraco 8 CMS、Microsoft PowerShell，以及SQL Server Integration Services，也存在可利用情境，代表這並非單一實作疏失，而是.NET SOAP HTTP用戶端代理的設計，在實務使用下衍生的系統性問題。</p> <p><a href="https://www.ithome.com.tw/news/172790"><strong style="font-size: 22px;">React伺服器元件追補安全更新，修正DoS與原始碼洩露漏洞</strong></a></p> <p>研究人員在檢視上周React伺服器元件（Server Components）關鍵漏洞CVE-2025-55182的修補是否可能被繞過時，又揭露3項新弱點，包含2個DoS漏洞CVE-2025-55184與CVE-2025-67779，以及1個原始碼曝露漏洞CVE-2025-55183。React團隊表示，新漏洞不涉及遠端程式碼執行，上周用於緩解React2Shell的修補仍可阻擋遠端程式碼執行型攻擊，但先前釋出的修補不完整，已升級的使用者仍需再升級到更新的修補版本。</p> <p>受影響套件為react-server-dom-webpack、react-server-dom-parcel與react-server-dom-turbopack，版本涵蓋19.0.0至19.2.2。React也提醒，要是為了因應上周漏洞已升級到19.0.2、19.1.3，或19.2.2，這些版本的修補不完整仍可能面臨風險，建議再更新至19.0.3、19.1.4，或19.2.3等版本。</p> <p>React也再次界定受影響範圍，要是React程式碼不在伺服器端執行，或未使用支援React Server Components的框架、打包工具，或外掛，則不受影響，官方點名Next.js、React Router等生態系專案可能因相依關係而被波及，並表示已與部分託管服務供應商合作部署暫時性緩解措施。React開發團隊強調，不應長期依賴暫時性措施，開發者仍需儘速升級至已修補版本。</p> <p><a href="https://www.ithome.com.tw/news/172759"><strong style="font-size: 22px;">Adobe發布12月安全更新，ColdFusion藏多個重大漏洞應優先處理</strong></a></p> <p>Adobe在12月例行安全更新中，一共修補139個資安漏洞，涵蓋ColdFusion、Adobe Experience Manager（AEM）、Acrobat/Reader、Adobe DNG SDK與Creative Cloud Desktop等產品線。</p> <p>其中，ColdFusion本次修補12項安全漏洞最值得留意，被評為重大等級的漏洞多達8項，包括：允許上傳危險檔案類型的CVE-2025-61808（CVSS風險分數9.1）；輸入驗證不當、可能繞過安全機制的CVE-2025-61809（CVSS 9.1）；以及可導致任意程式碼執行的CVE-2025-61830（CVSS 8.4）、CVE-2025-61810（CVSS 8.2）。另有多個重大或重要等級的XXE與權限控管相關弱點，最嚴重可能導致任意檔案讀取、寫入或權限提升。基於上述風險，ColdFusion更新被Adobe列為最高部署優先順序1。</p> <p>這波修補有117個漏洞都集中於Adobe Experience Manager（AEM），其中包含2項重大等級跨網站指令碼（XSS）漏洞CVE-2025-64537與CVE-2025-64539，CVSS風險分數皆為9.3；其他則為高風險等級的XSS弱點，CVSS風險分數皆為5.4，成功利用後可能導致任意程式碼執行或權限提升。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=140008&SPOKE_DATE=20251211&COMPANY_ID=6269"><strong style="font-size: 22px;">電子零組件供應商台郡資訊系統遭網路攻擊</strong></a></p> <p>12月11日以製造與研發軟性印刷電路板（FPC）及相關銅箔基板的上市公司台郡，於股市公開觀測站發布資安重訊，指出有資訊系統遭遇網路攻擊，根據初步的處理與調查，無個資、機密資料，或是重要文件資料外洩的情形發生，對公司營運無重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-gladinet-centrestack-cryptographic-flaw-in-rce-attacks/">Gladinet CentreStack加密演算法實作存在零時差漏洞，至少有9家企業組織遭到攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-vscode-marketplace-extensions-hid-trojan-in-fake-png-file/">惡意VS Code延伸套件上架微軟市集，利用假PNG圖片藏匿木馬</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/cisa-flags-actively-exploited-geoserver.html">地理位置資訊伺服器GeoServer存在XXE高風險漏洞，CISA警告已被用於實際攻擊</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/three-pcie-encryption-weaknesses-expose.html">PCIe協定存在弱點，恐面臨資訊洩露、拒絕服務等資安風險</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/notepad-plus-plus-fixes-flaw-that-let-attackers-push-malicious-update-files/">Notepad++發布更新，修補傳出已遭利用的更新元件漏洞</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172761"><strong>【12月11日】React2Shell攻擊活動持續擴大，北韓駭客、挖礦軟體、殭屍網路加入行列</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172751"><strong>【12月10日】微軟、SAP等多家科技業者發布12月份例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172725"><strong>【12月9日】AI開發工具與程式助理廣泛存在一系列資安漏洞，可串連形成攻擊鏈IDEsaster</strong></a></p> </div></div></div>
2025/12/12 17:55作者周峻佑https://www.ithome.com.tw/news/172801
Google升級研究代理Gemini Deep Research，著重網站深度查詢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google DeepMind<a href="https://blog.google/technology/developers/deep-research-agent-gemini-api/">更新Gemini Deep Research研究代理</a>，並向開發者開放Interactions API，讓第三方應用可把長時間的資訊蒐集與彙整流程嵌入自家產品。官方也提到，該代理程式可在報告中提供引用來源，並支援結構化輸出，方便後續系統接手處理研究結果。同時，Google開源名為DeepSearchQA的新基準測試，用來衡量研究型代理在多步網際網路查詢任務上的完整度。</p> <p>Gemini Deep Research針對長時間脈絡蒐集與彙整而設計的代理程式，模型採用Gemini 3 Pro，會反覆規畫研究步驟，包含提出查詢、閱讀結果、辨識資訊缺口，再進一步搜尋補齊缺口。本次釋出主打大幅強化網頁搜尋能力，強調能更深入網站內頁尋找特定資料。</p> <p>Google用Humanity’s Last Exam、DeepSearchQA與BrowseComp評估Gemini Deep Research，並稱在HLE與DeepSearchQA達到最佳水準，同時在BrowseComp則是自家目前最佳表現。Humanity’s Last Exam屬於跨領域的高難度題庫，常被用來檢驗模型在綜合性理解與推理上的上限，而BrowseComp著重在網頁逐步查詢與驗證能力，反映代理在實際瀏覽情境中能否找到關鍵資料，DeepSearchQA則聚焦多步研究流程，強調查詢完整而不只是回答正確，更接近研究型代理面對真實問題時需要反覆查詢、補充資料與彙整的工作型態。</p> <p>依官方公布資訊，Gemini Deep Research在HLE達46.4%，在DeepSearchQA達66.1%，在BrowseComp為59.2%。其中，DeepSearchQA由900道因果鏈任務構成，涵蓋17個領域，題目設計要求代理不只回答單一事實，而是產出更完整的答案集合，用來檢驗搜尋召回與研究完整性。Google指出，現有多數基準仍偏向單點問答，較難反映真實研究工作常見的多步推理與反覆查證，因此希望以DeepSearchQA補足評估面向，作為後續研究與產品改進的參考。</p> <p>Google表示Gemini Deep Research將陸續導入Google Search、NotebookLM、Google Finance，並升級Gemini App。Interactions API則提供開發者在同一套API下，呼叫Gemini模型與內建代理的能力，目前以預覽形式在Google AI Studio提供。</p> </div></div></div>
2025/12/12 18:45作者李建興https://www.ithome.com.tw/news/172798
新型態手法ConsentFix結合OAuth同意網路釣魚，透過Azure CLI騙取微軟帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>要求使用者依照指示操作，將惡意指令複製、貼上，然後執行的網釣手法ClickFix，是目前最為氾濫的社交工程攻擊型態，這種手法後續又出現變形，其中包含操作流程都在瀏覽器進行的FileFix，以及<strong><a href="https://www.ithome.com.tw/news/172511">結合假系統更新螢幕覆蓋手法的JackFix</a></strong>，如今有結合OAuth身分驗證流程的新型態手法。</p> <p>經營瀏覽器防護的資安公司Push Security，<strong><a href="https://pushsecurity.com/blog/consentfix">揭露名為ConsentFix的攻擊手法</a></strong>，它結合了OAuth同意網路釣魚與ClickFix，從而挾持受害者的微軟帳號。這種基於瀏覽器的新型態攻擊手法，攻擊者會誘騙使用者進行簡單的複製貼上，就有機會接管使用者的帳號。更可怕的是，假如使用者已經在瀏覽器登入特定OAuth應用程式，攻擊者就能在無須取得憑證，或是通過多因素驗證（MFA）的情況下得逞，換言之，攻擊者有可能以此繞過通行金鑰（Passkey）等防護措施。</p> <p>值得留意的是，這種手法已出現實際攻擊。Push Security觀察到駭客濫用Azure CLI的OAuth應用程式，藉由產生特定的OAuth授權碼，引誘受害者登入Azure CLI，並將URL貼上攻擊者控制的網頁。這麼一來，就會在受害者的微軟帳號與攻擊者的Azure CLI實體（instance）之間，建立OAuth連線。</p> <p>具體來說攻擊如何發生？受害者都是透過Google搜尋，存取被滲透或是惡意的網頁，而大部分受害者存取的網站，都是合法且具備高聲譽，容易被搜尋引擎找到。駭客在攻陷的網站當中，注入仿冒Cloudflare Turnstile的人機辨認頁面，並要求使用者必須輸入電子郵件信箱才能進行驗證流程。此舉目的在防止資安機器人與研究人員進行分析，若非駭客鎖定的目標，使用者輸入電子郵件信箱後，會被帶回原本的網站。</p> <p>一旦受害者輸入資料並按下驗證，網頁就會顯示下個階段的驗證流程，要求他們登入自己的微軟帳號，完成後複製URL並在特定欄位貼上。若是受害者依照指示並點選網頁上的登入按鈕，他們就會被導向合法的微軟登入網頁並進行驗證，成功登入後，受害者被導向localhost，此處會產生與用戶微軟帳號有關的URL。假如受害者將這些資料貼上圖靈驗證網頁，就會透過Azure CLI把自己的微軟帳號授權給攻擊者。</p> <p>Push Security指出，ConsentFix是ClickFix與同意網路釣魚的進化，危險程度更上一層樓，使得一般的資安工具難以偵測與攔截。原因是攻擊流程完全在瀏覽器進行，不會像原本的ClickFix會在本機執行命令，再加上攻擊者濫用的Azure CLI是所謂的第一方（微軟平臺本身的）應用程式，通常具備預設信任、擁有特殊權限，以及無法封鎖或刪除等特質，系統也不會套用針對第三方應用程式的資安管制。因此Push Security認為，攻擊者未來可能濫用其他雲端生態系統，進行ConsentFix活動，甚至進一步與其他的即服務（as-a-Service）整合，擴大攻擊造成的危害。</p> </div></div></div>
2025/12/12 17:42作者周峻佑https://www.ithome.com.tw/news/172800
駭客利用Gogs零時差漏洞入侵逾700臺伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在用來管理檔案與程式碼的Git分散式版本控制系統當中，最常見的是GitHub與GitLab，不過，對於想要自行建置Git服務的企業組織而言，標榜部署容易且所需資源極低的Gogs，也相當受到歡迎，如今傳出有人針對這類平臺下手，利用零時差漏洞從事活動。</p> <p>資安業者Wiz於今年7月發現，<strong><a href="https://www.wiz.io/blog/wiz-research-gogs-cve-2025-8110-rce-exploit">有人針對能從網際網路存取的Gogs平臺發動攻擊</a></strong>，駭客利用未知的漏洞達到目的。Wiz將漏洞通報給開發團隊並得到承認，登記為<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-8110">CVE-2025-8110</a></strong>列管。值得留意的是，由於目前Gogs開發工程團隊尚未提供修補程式，且攻擊活動仍在持續，Wiz呼籲，IT人員應限制Gogs伺服器的網路存取管道，若無需開放用戶自行線上註冊帳號，就應該立即停用相關功能。再者，IT人員也要清查Gogs主機，是否出現8個字元隨機名稱的儲存庫，或是API出現非預期使用的現象。</p> <p>CVE-2025-8110出現在Gogs的PutContents API，原因是對於符號連結（symbolic link）不當處理引起，攻擊者一旦成功利用，就能在本機執行任意程式碼，4.0版CVSS風險為8.7分。Wiz提及，此漏洞源自另一個路徑遍歷漏洞CVE-2024-55947的變形，由於Gogs維護團隊在修補的過程並未考慮符號連結，API在寫入檔案路徑時，不會檢查是否實際指向儲存庫外部的符號連結，而讓攻擊者有機會突破修補程式的路徑驗證機制，並加以利用。</p> <p>究竟攻擊者如何利用漏洞？他們事先得到能建立儲存庫的使用者權限，接著建立一個標準儲存庫，然後提交指向敏感目標的符號連結，接著，他們透過名為PutContents的API，在符號連結寫入資料，由於系統根據符號連結覆寫儲存庫外部的特定檔案，使得他們能夠執行任何命令。</p> <p>針對這起事故的影響範圍，Wiz表示他們透過物聯網搜尋引擎Shodan，一共找到1,487臺曝露在網際網路上的Gogs伺服器，其中有超過700臺遭到入侵。所有遭到攻擊的伺服器都出現相同特徵：它們幾乎都在相近的時間當中，被建立以8個隨機字元命名的使用者或是儲存庫，這代表攻擊者很可能是同一個駭客組織，或是由使用相同工具的多名駭客所為。</p> <p>後續Wiz找到駭客使用的惡意軟體，此平臺是用C2框架Supershell打造而成。此框架主要的功能，是建立反向SSH Shell來進行網路通訊，使得攻擊者能對受害系統遠端控制，或是執行任意程式碼。駭客利用此框架已有前例，例如，去年4月<strong><a href="https://www.ithome.com.tw/news/168892">中國駭客Chaya_004鎖定製造業而來</a></strong>，掃描SAP NetWeaver滿分漏洞CVE-2025-31324並試圖利用，成功後於受害環境植入Supershell；<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/initial-access-brokers-exploit-f5-screenconnect">中國駭客UNC5174</a></strong>曾試圖利用F5 BIG-IP已知漏洞CVE-2023-46747，或是ScreenConnect漏洞CVE-2024-1709，然後於受害組織部署Supershell。</p> </div></div></div>
2025/12/12 15:00作者周峻佑https://www.ithome.com.tw/news/172793
國研院國網中心正式啟用位於南科的國網雲端算力中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>政府加速推動AI新十大建設已有初步成果，國科會主導下，位於臺南南部科學園區的國網雲端算力中心在今天(12/12)正式啟用，未來將結合2029年建置完成的沙崙智慧創新算力中心，成為我國AI 訓練、氣候模擬、生命科學、半導體研發等高階科研應用的國家算力基地。</p> <p>出席今天啟用儀式的總統賴清德表示，臺灣不能永遠依靠國外廠商來訂定系統規格，政府要鼓勵國內廠商發展我們自己的算力系統架構，從積體電路晶片、超級電腦內部網路設計，結合臺廠的運算、儲存設備、通訊網路交換器等等，以及我國矽光子技術，搭配全光網路連結臺灣的資料中心。</p> <p>這座雲端算力中心是「大南方新矽」及「AI新十大建設」方案的一部分成果，強調提供我國先進的AI共用算力，雲端算力中心具備15MW的電量，並強調採用國際商用電信中心規設設計，具備耐震、節能、備援設計。</p> <p>國科會主委吳誠文指出，國網雲端算力中心的正式啟用，不僅作為支撐我國科學研究與產業應用，也具備未來部署量子電腦的戰略潛能。</p> <p>按照國科會的規畫，預計在2028年建置我國第一部整合高效能運算環境的量子電腦，以支援我國相關的量子應用技術發展。</p> <p>另外，在中華電信協助下也引進日本NTT的全光網路技術，降低能源消耗及提高資料傳輸速度，並以高速光纖網路連結南科、各大專院校、海纜登陸站。</p> <p>這座雲端算力中心，以及預計在2029年建置完成具有120MW電量的沙崙智慧創新算力中心，將作為我國中長期大型算力的基地，國研院預期未來兩座中心建置完成，可望將算力擴充至23MW。</p> <p>國網中心主任張朝亮表示，這兩座國家級的算力設施，將會支援生成式AI訓練、氣候模擬、生命科學、半導體研發等科研應用，新的算力中心將有充足電力與空間資源，可供國內外業者進駐自建算力系統，並通過公私協力，共同讓南部從製造向智慧科技重鎮。未來也會持續結合高速骨幹光纖網路，打造具備自主韌性、國際競爭力的國家級算力基地。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-12%20%E4%B8%8B%E5%8D%882_52_43(1).jpeg" style="width: 600px; height: 333px;" /></p> <p>新啟用的國網雲端算力中心，基地面積約5,905平方公尺，採用耐震設計，可耐6級規模地震，為4、5層樓建築，其內部可容納700櫃(42U到48U)，設計電力總容量達15MW。</p> <p>南科的雲端算力中心已部署我國新一代超級電腦「晶創26」，該超級電腦分為採用兩種算力架構，由220臺HGX Nvidia H200節點組成的Nano4系統(1,760片GPU)，以及由2櫃GB200 NVL72架構組成的運算節點(含144片GPU)，採直接液冷，PUE為1.18，並具備25PB儲存容量。</p> <p>其中H200組成的Nano4系統，於今年11月全球500大超級電腦，以81.55 PFlops拿下第29名，為目前我國算力最大的超級電腦。</p> <p>規畫在2029年建置完成的沙侖智慧創新算力中心，其基地規畫在沙侖的人工智慧產業專區，基地面積為 3,087平方公尺，約0.3公頃。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-12%20%E4%B8%8B%E5%8D%882_55_33(1).jpeg" style="width: 600px; height: 328px;" /></p> <p>另外，為了促成國內公私部門協力，今天也正式成立臺灣算力聯盟，在國網中心籌組之下，已有氣象署、AMD、友崴超算、鴻海、Nvidia等政府單位及民間業者加入，結合公部門及私部門的算力資源，策略聯盟主要聚焦4大方向，包括算力協調與媒合、機房與基礎資源合作、人才培育、開源軟體推廣。</p> </div></div></div>
2025/12/12 15:42作者蘇文彬https://www.ithome.com.tw/news/172794