iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

HPE修補基礎架構管理軟體OneView高風險遠端程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>HPE基礎架構管理軟體OneView存在可由遠端未經驗證攻擊者濫用的遠端程式碼執行漏洞<a href="https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbgn04985en_us&docLocale=en_US#vulnerability-summary-1">CVE-2025-37164</a>，CVSS 3.1評分10.0。受影響版本涵蓋所有早於v11.00的HPE OneView版本，HPE現已釋出可套用於v5.20至v10.20的安全熱修補程式，並建議用戶升級至已修補的v11.00或更新版本。</p> <p>官方提醒，要是設備從OneView v6.60.xx升級到v7.00.00，或在HPE Synergy Composer上進行映像重建或回復，需重新套用熱修補。由於OneView虛擬設備與Synergy Composer存在各自獨立的熱修補套件，需分別下載與安裝。HPE官方公告未提供漏洞具體技術細節，也未提及是否觀察到漏洞遭實際利用，且暫時未提供其他對外緩解措施。</p> <p>資安業者Rapid7初步分析熱修補內容時<a href="https://www.rapid7.com/blog/post/etr-cve-2025-37164-critical-unauthenticated-rce-affecting-hewlett-packard-enterprise-oneview/">指出</a>，修補的方向之一是在OneView的網頁伺服器層加入新的HTTP規則，用於阻擋對特定REST API端點的未授權存取。Rapid懷疑該REST API端點在未登入狀態下就能被呼叫，是漏洞可能遭濫用的入口。</p> </div></div></div>
2025/12/22 09:00作者李建興https://www.ithome.com.tw/news/172935
Cursor買下AI程式碼審查與協作平臺Graphite
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI程式碼編輯器<a href="https://cursor.com/zh-Hant/blog/graphite" target="_blank">Cursor上周五（12/19）宣布</a>，已與AI程式碼審查及協作平臺Graphite簽署正式協議，將由Cursor買下Graphite。Graphite全體團隊都將加入Cursor，預計於未來幾周完成合併，雙方並未公布交易金額。</p> <p>Cursor是在2022年由4名美國麻省理工學院（MIT）的畢業生所創立，定位為AI程式碼編輯工具公司，2023年推出的首款產品主打在程式撰寫階段即時提供AI輔助，包括程式碼生成、理解與專案導覽，目標是大幅提升工程師生產力；Cursor並未自行訓練基礎模型，而是整合多家模型，著重於使用者介面及實務工作的流程整合。</p> <p>至於Graphite則成立於2020年，專注於程式碼審查與合併流程，主要是補齊AI撰寫程式之後的審查及品質控管環節，協助團隊更快判斷程式碼能否上線，並降低AI生成程式碼的風險。該公司在今年3月完成5,200萬美元的<a href="https://graphite.com/blog/series-b-diamond-launch" target="_blank">B輪融資</a>，外傳當時的估值為2.9億美元，<a href="https://www.axios.com/pro/enterprise-software-deals/2025/12/19/cursor-buys-code-review-platform-graphite" target="_blank">Axios的報導</a>則說此次的交易遠高於該數字。</p> <p>Graphite共同創辦人暨執行長Merrill Lutsky指出，當初他們創辦Graphite時，是因為全球頂尖工程團隊對更好的程式碼審查平臺有強烈需求，但那時他們也沒想到，像Cursor這樣的工具，會如此劇烈改變整個產業，讓工程師得以在數小時甚至幾分鐘內，完成過去需要數天或數周才能完成的功能開發。</p> <p>Lutsky認為，過去開發者的限制在於寫程式的速度，但如今的瓶頸已轉移到審查程式碼的速度，AI時代需要一套全新的開發者工具鏈，選擇Cursor是因為彼此對軟體開發的未來、人才密度、速度感及工藝價值上，都有著一致的看法。儘管併購並不在他們原本的規畫中，但與Cursor攜手，將有機會共同打造一個端對端、以AI為核心的開發平臺。</p> <p><a href="https://bitcoinworld.co.in/cursor-ai-acquires-graphite-ai-coding/" target="_blank"> Bitcoinworld分析</a>，隨著AI生成程式碼日益普及，品質及可靠性愈趨重要，開發者常常發現自己需要花費大量的時間來調試及審查AI的輸出，Cursor與Graphite的結合將形成更完美的開發工作流程，可大幅縮短從撰寫程式碼到正式發布軟體的時間。</p> <p>Graphite將在原有團隊及產品之下獨立運作，雙方亦預計於未來幾個月無縫整合彼此產品，包括藉由Cursor專長強化Graphite的AI功能；結合Graphite的AI Reviewer與Cursor的Bugbot，打造市場上最強大的AI程式碼審查工具；之後也會揭露全新的產品願景。</p> </div></div></div>
2025/12/22 09:19作者陳曉莉https://www.ithome.com.tw/news/172940
2025印尼遭網攻次數冠於亞太地區，臺灣資安產業正在提供協助
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年11月底，資安廠商Fortinet在臺發表2026全球資安威脅預測報告，順勢揭露亞太地區今年1至9月的資安威脅態勢，由於身處全球地緣政治衝突的第一線，面臨的惡意活動攻擊數量向來居高不下，但令人訝異的是，臺灣竟不是亞太地區第一名，<a href="https://www.ithome.com.tw/news/172534">而是印尼</a>，為何如此？當特定國家與地區偵測到的惡意活動數量極高，可能有兩個原因，一是當地面臨的網路攻擊活動非常頻繁或大量，再加上此區域建置的Fortinet資安產品夠多，為了進一步了解印尼資安市場狀況，我們會後詢問Fortinet的看法，而由於近期臺灣多家資安廠商積極投入東南亞市場的拓展與經營，我們也請他們解讀這個現象。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Fortinet APAC-Threat Landscape-2025-11-27-Web3-Indonesia.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fortinet%20APAC-Threat%20Landscape-2025-11-27-Web3-Indonesia.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>印尼資安防護的危機：可被攻擊者針對的層面很廣泛</strong></span></h3> <p>關於印尼資安威脅態勢是否特別嚴峻的問題，揭露這項觀察的Fortinet表示，他們偵測到的數據，是基於攻擊活動所產生的整體量測，並不代表Fortinet產品在印尼的採用率較高，而是根據攻擊遙測資料，包含病毒傳播、漏洞利用嘗試、掃描行為等多項偵測指標綜合而成。這些都是被觀察到的「嘗試性攻擊」，而非真正成功的入侵，因此，他們認為，這並不意味著印尼的資安情勢變得更為嚴峻。</p> <p>2003年成立、服務範圍涵蓋東南亞市場的思想科技（Master Concept），該公司的市場行銷經理、同時負責資安產品線推廣的林靖耘也有類似看法，他認為，通常資安產品在該市場的普及程度、部署數量都會影響到偵測數量，因此，偵測量並不直接等於攻擊量，而在沒有公開資訊揭露Fortinet市占狀況的情況下，他們不會單純以偵測量判斷某國的攻擊強度或資安成熟度，偵測量更像是「可觀察性」的指標，而非「攻擊量」本身。</p> <p>關於偵測的惡意活動數量極大，<a href="https://www.ecloudvalley.com/tw/blog/ecv-teams-up-with-far-east-medical-electronics-technology-to-expand-presence-in-indonesia">2018年進軍東南亞市場的伊雲谷數位科技（eCloudvalley）</a>，該公司資訊安全部業務總監林軒宇有不同觀點，他認為，這些絕大多數可能都是「無效攻擊（失敗的嘗試）」，而真正致命的「有效攻擊（成功入侵）」，往往不會出現在這類阻擋報告的統計數字裡，因為防火牆可能根本沒看到或予以放行。</p> <p>大部分的網路掃描行為屬於偵察階段，並非實際利用或資料外洩，高偵測量是反映「被掃描頻繁」，但不代表實際入侵、持續滲透或資料被竊取，所以，資安防護的決策若只看偵測量，會高估直接風險，事實上，某些攻擊發生在應用層或透過社交工程，單靠防火牆的層級，是無法偵測的；反之，網路層大量惡意掃描的威脅可被放大。對於企業資安長（CISO）來說，真正的痛點是：「1,534億次被擋下的我不在乎，我只在乎有沒有1次是你沒看到、但卻進來的？」</p> <p>地理區域的特性，是國家資安威脅高漲的另一個重要因素。曾任職於多家IT廠商與資安廠商的易上雲（EPN.Cloud）總經理葉精良認為，印尼因為經濟規模（東南亞第一大經濟體）與人口規模（全球第四大），以及國家各個區域分布得更廣，所以面臨的資安威脅風險很高。</p> <p>針對這些因素的影響，思想科技市場行銷經理林靖耘具體說明臺灣與印尼的不同之處。他表示，其中一個原因是產業、地理結構、人口分布的差異，印尼的傳統製造業、批發零售普及，臺灣以高科技製造業、專業服務業為主；印尼島嶼多、企業據點可能較分散，臺灣集中在本島西部；人口有相當大的落差，這也造成攻擊面和偵測結果的落差。</p> <p>另一個原因，在於政治與經濟發展程度的不同。林靖耘表示，印尼處於快速數位化與雲端導入的階段，在這種高速成長期，企業的防禦與治理往往追不上業務擴張，容易形成攻擊者眼中的高ROI目標；臺灣因為政治因素及近年來表現亮眼的半導體產業，常常是駭客發動進階攻擊的對象。</p> <p>關於印尼近期面臨的網路威脅具體樣貌，<a href="https://www.cna.com.tw/news/afe/202405160321.aspx">2020年開始將業務範圍拓展至全球市場的中華資安國際（CHT Security）</a>，副總經理王信富表示，印尼面臨的巨大的惡意活動偵測量，不僅代表「受攻擊次數」，更反映該國網路環境存在大量「受感染設備」正在持續向外發送掃描、攻擊或惡意封包，因此，這暗示印尼不僅是受害者，更是全球網路攻擊鏈中重要的「中繼站」或「跳板」。而且，惡意活動的高偵測量意味著基礎資安防護（Cyber Hygiene）較弱，許多設備（特別是IoT）處於裸奔或弱密碼狀態，極易被駭客利用。</p> <p>王信富也引用印尼國家網路安全局（BSSN）、SOCRadar，Cloudflare的數據，說明印尼的威脅總量的確呈現爆炸性增長的態勢，而且，已成為物聯網裝置殭屍網路（IoT Botnets）的大本營。</p> <p>單就2025年上半年（1至7月），BSSN記錄了36.4億次網路攻擊或流量異常，這半年的數字幾乎與過去五年的總和持平，顯示2025年印尼面臨的資安壓力呈現指數級暴增。</p> <p>就攻擊類型的解析而言，SOCRadar今年8月發布的印尼資安威脅報告指出，勒索軟體鎖定印尼單一國家攻擊的比例達28.8％（其他國家總計為71.2％），經由暗網（Dark Web）洩漏資料或資料庫占暗網總體威脅的比例為88.12％。王信富表示，印尼面臨的勒索軟體與資料外洩事故，總量上以自動化攻擊為主，然而，在2025年，鎖定印尼政府機構（如PDNS國家資料中心事件後續影響）、金融與關鍵基礎設施的勒索軟體事故，顯示網路攻擊變得更具針對性；關於暗網活動，印尼在這個管道的資料洩露與憑證交易極為活躍，與惡意軟體的高感染率直接相關（Infostealer竊取憑證後在暗網販售）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SOCRadar-Distribution of Dark Web Threats by Primary Target Country.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SOCRadar-Distribution%20of%20Dark%20Web%20Threats%20by%20Primary%20Target%20Country.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SOCRadar-Distribution of Dark Web Threats by Threat Type.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SOCRadar-Distribution%20of%20Dark%20Web%20Threats%20by%20Threat%20Type.jpg" style="width: 298px;" /></a></p> <p>關於DDoS攻擊，Cloudflare過去幾季的報告（2024年第三季至2025年第三季）也屢屢點名印尼，因為他們多次被列為全球最大的DDoS攻擊來源國。為何印尼資安威脅態勢如此嚴峻？王信富表示，印尼數位化的進度很快，出現大量廉價智慧家電、路由器連網的狀況，但使用者普遍缺乏更改預設密碼或更新韌體的意識，使其成為駭客最愛利用的「肉雞」資源池。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024 Q3 DDoS Source.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024%20Q3%20DDoS%20Source.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024 Q4 DDoS Source.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024%20Q4%20DDoS%20Source.png" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025 Q1 DDoS Source.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%20Q1%20DDoS%20Source.png" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025 Q2 DDoS Source.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%20Q2%20DDoS%20Source.png" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025 Q3 DDoS Source.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%20Q3%20DDoS%20Source.png" style="width: 198px;" /></a></p> <p>伊雲谷數位科技資訊安全部業務總監林軒宇從另一個角度，說明印尼的網路攻擊狀況確實嚴峻。他表示，印尼被稱為東南亞的攻擊熱區，缺乏嚴格的政策與熟練的資安人才，使得它成為駭客眼中的「軟柿子（Low Hanging Fruit）」。例如<a href="https://www.group-ib.com/blog/brain-cipher-ransomware/">2024年6月20日</a>，印尼泗水國家臨時資料中心2號（PDNS）遭到駭客以<a href="https://www.reuters.com/technology/cybersecurity/cyber-attack-compromised-indonesia-data-centre-ransom-sought-reports-antara-2024-06-24/">勒索軟體Brain Cipher（Lockbit 3.0之升級版）攻擊</a>，導致<a href="https://fulcrum.sg/indonesias-national-data-centre-ransomware-attack-a-digital-governance-failure/">282個中央及地方政府電腦系統受影響，且有9成以上的資料沒有備份</a>，顯示其IT基礎設施脆弱，這也誘使駭客投入更多資源攻擊印尼。</p> <p>另一個因素是民眾上網的規模很大，印尼的網路使用人口超過2億，網路滲透率極高，可能因為基數效應而造成攻擊活動總量看起來很大，他們看到有研究顯示印尼資安支出占GDP僅0.02％，為東南亞最低。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Benchmarking%20cybersecurity%20spend%20as%20percent%20of%20GDP.png" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>印尼資安防護的商機：業者可輸出成熟的服務，提供單一、高度整合的自動化平臺</strong></span></h3> <p>如何有效因應日益嚴峻的資安威脅態勢，固然是所有人都無可迴避的挑戰，但不可諱言的是，這也是所有資安廠商拓展市場的大好機會。</p> <p>關於印尼資安的發展，Fortinet相當看好，因為他們是亞洲成長最快的數位經濟體之一，也是重要的成長市場，他們將持續透過整合式架構，結合網路、資安與 AI 驅動營運能力，協助企業大規模實現安全的數位轉型。</p> <p>隨著金融、零售、製造業與政府部門加速數位轉型，Fortinet看見印尼對於可擴展、整合式的網路安全需求持續攀升，企業組織也正逐步從零散的點狀資安產品轉向平臺化安全架構，能有效降低複雜度、總體持有成本（TCO），並強化IT、OT與雲端環境的整體能見度（Visibility）。在此同時，AI正重塑印尼的資安營運模式，隨著威脅環境愈來愈複雜且攻擊規模擴大，企業積極導入自動化偵測與快速回應能力，以提升整體防禦效率。</p> <p>關於Fortinet是否在印尼資安市場普及，易上雲總經理葉精良表示，Fortinet相較於其他品牌便宜很多，尤其針對中小企業的客戶群體，所以應該能賣得更多、滲透得更廣。</p> <p>對多家臺灣資安廠商而言，他們也認為印尼IT與資安市場大有可為。思想科技市場行銷經理林靖耘表示，他們相信印尼、乃至於整個東南亞市場，都相當有潛力，因為快速的發展與成長及政府政策推動，將帶來更多剛性需求，像是數位基礎建設、資安防禦措施，都是很適合他們進入這個市場的解決方案。</p> <p>在IT與資安成熟度方面，印尼IT與技術人才較短缺，但印尼企業不像臺灣企業習慣在企業內部自建系統、使用自家資安資源，思想科技提供的託管及諮詢顧問服務與當地需求十分契合。沒有包袱也是印尼資安市場的重要優勢，印尼因數位基礎建設發展較晚，較不會受到舊有系統影響，可以直接導入雲端原生與零信任架構等，讓印尼的資安市場更具速度與彈性。</p> <p>伊雲谷數位科技資訊安全部業務總監林軒宇表示，印尼偵測的惡意活動數量極大有許多可能原因，但對於企業資安長（CISO）來說，真正的痛點是：「1,534 億次被擋下的我不在乎，我只在乎有沒有1次是你沒看到、但卻進來的？」，因此，林軒宇認為，他們提供的託管式偵測與回應服務（檢測／MDR／MSSP）」在印尼會有極大的潛力。因為印尼企業買了防火牆設備，卻可能出現偵測數高，但阻擋或處理不夠即時的狀況，而這正是臺灣成熟的資安服務商可以輸出的機會。</p> <p>精誠資訊集團投資的智慧資安科技（uniXecure）2023年正式前進東南亞市場，他們肯定東南亞資安市場值得開發，因為根據市場情報與顧問公司Mordor Intelligence的報告預估，到了會計年度2030，東南亞資安市場會有超過15％的年均複合成長率。不過，印尼相較於其他東協國家，在語言與宗教的差異較大，從智慧資安科技11月份參加印尼資安展的經驗來看，他們認為市場擴展需要當地夥伴的幫助，目前已盤點適合印尼市場的產品或服務，透過精誠資訊東南亞營運總部SYSTEX Asia在印尼的團隊逐步進行市場開發，也規畫藉由Citrix ASEAN在印尼的通路，以多面向的方式擴展印尼市場，未來除了在新加坡、馬來西亞、越南等據點，持續與當地服務商合作，泰國、印尼等地也會是他們積極拓展的重要市場。</p> <p>對於印尼資安市場的展望，中華資安國際副總經理王信富同樣引用Mordor Intelligence的分析與預測報告，當中提到2025年約為13.5億美元，2030年可望突破34億美元。</p> <p> </p> <div class="media_embed"> <div height="" style="width:600px; display:flex; justify-content:space-between; background:#eee;" width=""> <div style="width:298px; background:#fff;"> <div style="text-align:center; position:relative; font-size:0;"><img alt="ASEAN Cyber Security Market (2025 - 2030)" src="https://s3.mordorintelligence.com/asean-cybersecurity-market/asean-cybersecurity-market-size-image-1752434942393.webp?embed=true" style="object-fit:cover; width:100%;" /> <a href="https://www.mordorintelligence.com/industry-reports/asean-cybersecurity-market" target="_blank"> </a> <div style="position:absolute; bottom:0; right:0; color:white;<br /> background:rgba(0,0,0,0.5); padding:4px 6px;<br /> font-family:Arial; font-size:14px;"><a href="https://www.mordorintelligence.com/industry-reports/asean-cybersecurity-market" target="_blank">Image Source </a></div> <p><a href="https://www.mordorintelligence.com/industry-reports/asean-cybersecurity-market" target="_blank"> </a></p></div> </div> <div style="width:298px; background:#fff;"> <div style="text-align:center; position:relative; font-size:0;"><img alt="Taiwan Cybersecurity Market (2025 - 2030)" src="https://s3.mordorintelligence.com/taiwan-cybersecurity-market/taiwan-cybersecurity-market-size-image-1752500990462.webp?embed=true" style="object-fit:cover; width:100%;" /> <a href="https://www.mordorintelligence.com/industry-reports/taiwan-cybersecurity-market" target="_blank"> </a> <div style="position:absolute; bottom:0; right:0; color:white;<br /> background:rgba(0,0,0,0.5); padding:4px 6px;<br /> font-family:Arial; font-size:14px;"><a href="https://www.mordorintelligence.com/industry-reports/taiwan-cybersecurity-market" target="_blank">Image Source </a></div> <p><a href="https://www.mordorintelligence.com/industry-reports/taiwan-cybersecurity-market" target="_blank"> </a></p></div> </div> </div> </div> <p> </p> <p>而在資安需求方面，王信富認為，巨大的惡意活動偵測量，顯示當地基礎設施衛生（Cyber Hygiene）有很大的改善空間，市場目前仍處於「設備採購」轉向「維運管理」的過渡期，而且，中小企業（SMB）是重災區，因為在這兩千多億次的偵測當中，有很大比例來自缺乏管理的路由器與IoT設備。</p> <p>再加上法規遵循的需求日益高漲，印尼《個人資料保護法（PDP Law）》的執法力道加強，以及即將推動的《網路安全與韌性法案》（RUU KKS），將強迫企業採購合規資安產品。而且，印尼近年來數位經濟快速成長，龐大的金融科技與電商市場需要更強的信任機制。</p> <p>在市場拓展的對策上，王信富揭露中華資安國際將鎖定當地兩種用戶的需求。</p> <p>首先，針對企業用戶，他們有三大推動重點：「持續威脅暴露管理（CTEM）」框架的採用、對工業控制系統（OT）與IT環境實施嚴格的網路分段（Segmentation）隔離，以及從單點產品轉向平臺化（Platform Approach）。透過CTEM導入，使企業從被動防禦提升為主動找出曝險介面進行管理，關鍵在於找出駭客眼中的弱點，修補被殭屍網路盯上的老舊系統；網路分段的落實，防止單一設備被感染後，淪為殭屍網路的打手，避免災情擴散到整個核心網路；至於平臺化，關鍵在於整合，印尼企業過去習慣購買單一功能的資安設備（如單獨的防毒、單獨的防火牆），導致管理複雜且無法連動，然而，目前整個資安市場正強烈轉向市場研究機構Gartner提出的網路安全交織架構（Cybersecurity Mesh Architecture，CSMA），亦即為印尼企業提供整合網路與資安的單一平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSMA2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSMA2.png" style="width: 600px;" /></a></p> <p>另一個對象是資安代管服務商（MSSP）的用戶，中華資安國際提出4大發展方向。</p> <p>第一，鎖定ISP層級的清洗服務，在流量進入企業前就先擋掉大部分的自動化掃描活動，是最高效的解決方案。他們計畫與印尼當地的電信商（如印尼電信、Biznet）合作，推廣Clean Pipe流量清洗服務或是DNS過濾服務。</p> <p>第二，提供資安SaaS平臺或是MSSP服務。由於印尼資安人才極度短缺，因此，與其在此直接銷售複雜產品，不如銷售「託管式偵測與回應服務（MDR）」服務，直接替客戶解決問題。</p> <p>第三，提供「自動化」解決方案。針對印尼中小企業，推廣「低人力維護、高自動化」的資安方案，解決資安人才缺乏的問題。</p> <p>第四，強化OT與IoT安全。印尼製造業目前已進入數位轉型階段，工控環境往往是殭屍網路的溫床，然而，對資安廠商而言，卻是下一個藍海，中華資安國際可提供針對工廠、能源設施的微分段（Micro-segmentation），或是針對企業IoT設備的資產盤點與弱點管理方案。</p> </div></div></div>
2025/12/21 00:53作者李宗翰https://www.ithome.com.tw/news/172936
英特爾加速資料中心轉型大揭密，導入解構式伺服器、提高SLA及資源使用率，10多年來節省114億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href=" https://www.intel.com/content/dam/www/central-libraries/us/en/documents/data-center-strategy-paper.pdf">英特爾IT近期發表白皮書</a>，揭露自家資料中心轉型策略及成果，英特爾整併全球資料中心數量，從152個減少至53個資料中心，並透過5個策略優化資料中心營運，並達到節能、控制成本的目的，從2010年至2024年共計節省約114.1億美元。</p> <p>英特爾IT產業合作總監暨區域發言人邱天意表示，回顧英特爾全球資料中心發展策略，2000年以前，可以說是「有需要就建的資料中心戰國時代」，一方面是資料中心大舉擴張，另方面則是大型主機式微，從2006年開始，英特爾建立資料中心團隊，對於資料中心管理開始有中心發展戰略，追求標準化設計、成本控制，並啟動全球資料中心的整併行動。</p> <p>從2006年到2010年，英特爾不斷調整優化資料中心的營運效率，如同其他企業一樣，推動虛擬化提高資源的利用率，建置企業私有雲，同時也汰舊換伺服器等設備，以導入更具能源效率的機器，隨著資料不斷增加的儲存系統也不斷最佳化調整，追求IT永續。2010年到2023年之間隨著業務聚焦重點轉移，不斷調整優化資料中心的資源使用及能源效率。</p> <p>「從2010年到2024年，英特爾IT總共節省約114億美元的成本」，邱天意說。</p> <p>英特爾如何做到這件事？</p> <p>英特爾現在在全球15個地點、53座資料中心，總電量為133MW，包含46.4萬臺伺服器，高達1043PB的儲存系統，接近90萬個網路埠，其資料中心PUE值最低達到1.06。</p> <p>在資料中心管理上，他們在2006年先將全球資料中心畫分為「DOME」四種不同領域，這四種領域的資料中心各有不同的工作負載需求。(下圖簡報來源：Intel)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%962(1).jpg" style="width: 600px; height: 312px;" /></p> <p>其中「D」代表Design/HPC，為英特爾晶片設計、量產前的工作負載，這部分的運算工作負載占英特爾96%的伺服器；而「OE」則代表一般辦公室或企業營運的Office&Enterprise，這類運算負載為典型的IT運算，要求較高的SLA，但僅占3%伺服器；「M」代表Manufacturing Fab/ATM，主要為支援工廠自動化的工作負載，大多位於工廠附近或周邊，僅占1%伺服器。</p> <p><span style="color:#B22222;"><strong>3戰略目標優化資料中心、降低服務的單位成本</strong></span></p> <p>英特爾IT分享資料中心的3個核心戰略目標，第一個戰略是<strong>採用最佳可實踐模型</strong>。</p> <p>邱天意表示，最佳可實踐模型指在沒有預算、人員限制下，所能夠建構的最佳資料中心，以最佳資料中心為目標，比較和現有資料中心間的落差，目標為縮短兩者間的差距。這麼做的好處是讓英特爾IT能掌握改進方向，評估各種ROI來運用革新性方法逐步改善。</p> <p>第二個戰略是<strong>擬定KPI目標</strong>。英特爾IT訂立3個KPI目標，首先是訂立適當夠用的SLA服務品質，而非追求最高的SLA，其次是降低每個服務的單位成本，每年目標是減少10%，最後是所有的資源使用率要提升到80%以上。這3個KPI目標彼此相互影響，需找出兼顧3個KPI的平衡點。</p> <p>第三個戰略是<strong>訂出優化的範圍</strong>，從TCO角度來看資料中心，除了運算、儲存、網路，還有人員薪資、資料中心設施、作業系統授權及管理，共6個構面來看資料中心的TCO成本，由IT與財務部門共同擬定服務單位成本(Cost per Service Unit)的計算方式，並進行調整改善。</p> <p>英特爾結合6個構面的資料中心TCO成本，再除以特定的DOME領域的服務單位數量，來計算出服務單位成本，例如在「Design」晶片設計領域計算每個EDA-MIPS的單位成本，而在「Office & Enterprise」以OS授權數量計算成本。</p> <p>「利用服務單位成本才能衡量每年是否達到每年降低10%成本的目標」，邱天意說。結合DOME及服務單位成本的概念，檢視每個領域類型的資料中心的成本結構組合，以2024年的晶片設計領域資料中心為例，成本占比較大的是「設施」(36.8%)、「伺服器群」(35.5%)，可以從成本占比較大的方面著手，結合每年成本的變化，檢視如何進一步改進。</p> <p><span style="color:#B22222;"><strong>5策略提升資源使用率、運作效率</strong></span></p> <p>英特爾IT也分享5個節省成本、提高效率的策略，<strong>包括伺服器設計、採用分層式儲存、提高網路效率、提升設施效率、改善運作效率</strong>。</p> <p>在伺服器方面，英特爾IT研發一種解構式伺服器(Disaggregated Server)專利，他們在資料中心內採用刀片式伺服器，提來密度，並將伺服器內的CPU及DRAM獨立出來，汰換伺服器時只要更換CPU及DRAM，保留網路卡、硬碟等其他組件，和傳統汰換整臺伺服器的作法相比，可節省約44%成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-19%20%E4%B8%8B%E5%8D%882_32_13.jpeg" style="width: 600px; height: 348px;" /></p> <p>「英特爾可能2年更新CPU，只更換CPU及DRAM，更換CPU就能達到最新的效果」，他說。由於只更換CPU及DRAM，保留其他仍能繼續使用的伺服器組件，除了節省約44%成本，也能縮減77%的汰換時間，以及相關的運輸費用、電子廢棄物處理成本。</p> <p>英特爾從2016年左右開始導入解構式伺服器設計於自家資料中心，目前在全球超過46.4萬臺伺服器中，已有約39.5萬臺採用解構式設計。</p> <p>在儲存系統方面，採用分層式儲存(Tiered Stoage)，依照性能、容量、成本畫分為4層式的分層式儲存架構，兼顧SLA、資源的利用率，並根據內部需要評估後，相較於縱向(Scale-up)儲存，英特爾IT認為橫向(Scale-out)儲存易於擴充容量資源，更適合英特爾，並透過加速儲存系統的汰換，採用更具能源效率的設備，並通過重覆資料刪除、壓縮等技術。</p> <p>邱天意表示，運用重覆資料刪除、壓縮等技術，曾經在一年成功縮減約220PB的資料量，透過上述種種方法優化資源使用率，我們將儲存資料的使用率從46%提高到80%，未來的目標是提高至85%。</p> <p>在網路方面，英特爾約從2010年開始導入GbE級的網路設備，現在GbE級使用比重，在過去15年比重提高到66%，未來目標為提高至80%。</p> <p>另外，2016年英特爾測試導入40GbE，但是當時100GbE逐漸興起，觀察到逐漸成為主流，隨後於2019年導入100GbE，到2024年100GbE網路埠已達到將近9.5萬個，其中86%採用SDN，透過SDN來實現自動化部署網路。</p> <p>在提升資料中心的設施效率上，英特爾在2003年全球擁有最多152個資料中心，到2025年已減少為52個資料中心，資料中心總空間面積也減少18%，儘管資料中心數量整併，但整體資料中心電量增加到133MW，資料中心數量減少，但是電量提升，意謂著更密集、高效率的能源使用。</p> <p>英特爾也設法降低資料中心PUE值，最低可達到PUE 1.06。邱天意指出，英特爾將總部附近一座老舊工廠改建為大型資料中心，該資料中心部署幾十萬臺伺服器，為了解決散熱問題，內部採用閉循環蒸發冷卻技術，由再生水、外部的冷卻塔，經過熱交換，將熱水冷卻後，再送到機房內的熱通道，協助伺服器散熱。</p> <p>邱天意表示，儘管採用傳統的氣冷方式，但是英特爾做了很多實驗，測試提高機房內的作業溫度，因此即使是機房內的冷通道，工作人員需要穿短袖，不像傳統機房溫度如同冷氣房，人員需要穿著保暖的衣物才能作業。經過測試，提高機房內的作業溫度的伺服器故障率，並沒有和調低溫度機房的故障率相差太多。</p> <p>英特爾資料中心內採用高密度的刀片式伺服器，一個機櫃能容納約200臺伺服器，高密度、高效率伺服器群；根據英特爾的統計，2012年到2024年，相較傳統的資料中心，估計省下約19億千瓦小時的電力。</p> <p>在改善營運效率方面，英特爾在晶片製造最後過程Tapeout，這個階段相當重要，且需要大量算力資源進行模擬，英特爾內部研發HPC方案支援Tapeout的運算需求，發展至今已進入第7代HPC，製程從早期45奈米發展至採用Intel 20A或18A製程。</p> <p>邱天意指出，英特爾發展的歷代HPC採用新技術，以提升運算能力，來支援Tapeout的運算需求，從2005年到2024年，計算處理量增加了631倍，Tapeout過程中因運算產生的影響也減少322倍，到2024年幾乎沒有受到運算的影響，Tapeout順利進行代表能更快的投入晶片生產。</p> <p>英特爾IT團隊也從2010年問自己一個問題，除了不斷改進自家資料中心資源使用率，優化資料中心運作效率，自行維運管理資料中心和雲端服務相比差別在哪？</p> <p>他們從2010年開始比較相同算力資源條件下，自行維運管理資料中心的單位成本，和改用雲端服務的單位成本相差多少，根據英特爾IT的統計，英特爾自行維運管理資料中心的單位成本，如果將2010年定為基期(100%)，2024年單位成本已降到4%，雲端服務在此期間單位成本也不斷降低，從2010年的186%降到2024年的19%，明顯雲端維運管理的單位成本降低許多，但英特爾自己維運管理資料中心單位成本降到4%，兩者成本相差5倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-19%20%E4%B8%8B%E5%8D%885_34_30(1).jpeg" style="width: 600px; height: 349px;" /></p> <p>儘管這幾年下來，外部雲端服務愈來愈成熟，其使用單位成本顯著下降，吸引愈來愈多企業選擇上雲，但邱天意表示，對於從事晶片設計的英特爾而言，從單位成本的比較來看，自行維運管理資料中心的單位成本仍低於雲端服務，自行維運仍有比較高的性價比，身為晶片設計業者也希望能內部管理資源，未來英特爾IT會持續優化調整，保持成本的競爭力。</p> <p><span style="color:#B22222;"><strong>優化資料中心資源，服務全球晶片設計團隊</strong></span></p> <p>在晶片技術不斷改進，市場競爭激烈下，邱天意也分享英特爾IT自行維運管理資料中心，如何支援全球晶片設計團隊改進服務體驗，他以過去汰換伺服器為例，以往需要十幾天才能完成部署，現在則只要1天就能完成部署，一方面歸功於英特爾標準化伺服器機架設計，在伺服器送交之前，網路及供電、合作廠商都事先準備好，將部署自動化完成，對於一年有好幾萬臺伺服器部署上線的英特爾來說，愈快完成部署，就能讓全球的晶片設計團隊及早使用。</p> <p>此外，晶片設計師可能要透過WAN遠端存取資料中心資源，可能影響使用者體驗，英特爾IT也針對遠端WAN存取服務進行優化，例如透過改善TCP等措施，來提升4倍的資料傳輸率，改善遠端存取資料中心資源的使用體驗。</p> </div></div></div>
2025/12/19 18:16作者蘇文彬https://www.ithome.com.tw/news/172934
OpenAI推出GPT-5.2-Codex模型，特化代理式程式開發以及防禦型資安應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI發布程式開發專用模型<a href="https://openai.com/index/introducing-gpt-5-2-codex/">GPT-5.2-Codex</a>，並表示這是針對Codex情境調校的GPT-5.2版本，主打專業軟體工程與防禦型資安。該模型已在付費版ChatGPT用戶可使用的各項Codex介面上線，並規畫在接下來數周內逐步開放API存取。同時OpenAI也測試邀請制可信存取（Trusted Access），讓經審核、以防禦用途為主的專業人士與組織，先行參與後續能力與更寬鬆模型的存取測試。</p> <p>官方提到，GPT-5.2-Codex的改動重點在於長期任務的上下文壓縮，並強化大型程式碼變更情境下的穩定性，例如重構與系統搬遷，也改善在Windows環境中的代理式程式開發表現，並提供Codex CLI作為使用入口。</p> <p>OpenAI描述GPT-5.2-Codex更能處理長上下文與大型儲存庫，工具呼叫更可靠，目標是在長時間工作階段中維持脈絡一致，完成重構、程式碼庫搬遷與功能建置等較大任務，即使計畫調整或嘗試失敗也能繼續迭代。</p> <p>OpenAI也提到視覺理解能力提升，可更準確解讀螢幕截圖、技術圖表與使用者介面，用於加速把設計稿轉成可運作原型。</p> <p>在基準測試方面，OpenAI稱GPT-5.2-Codex在SWE-Bench Pro的準確率達56.4%，在Terminal-Bench 2.0達64.0%，呈現該模型在真實軟體工程任務與終端機操作情境下的代理式程式開發能力提升。對照OpenAI先前公布的GPT-5.2在SWE-Bench Pro為55.6%、GPT-5.1為50.8%，GPT-5.2-Codex在同類軟體工程基準測試上小幅提升，並在終端機型任務上相較GPT-5.1-Codex-Max的58.1%更高</p> <p>OpenAI這次也將資安擺進模型能力強化重點，OpenAI表示，模型在資安任務的進步同時帶來雙重用途風險，因此採取更謹慎的部署策略。系統卡附錄指出，GPT-5.2-Codex在整備度框架（Preparedness Framework）下未達資安能力高（High）等級，OpenAI因此在模型層與產品層加上額外防護，包含針對有害任務與提示注入的安全訓練，以及代理沙箱與可設定的網路存取等機制。</p> <p>官方也提到，先前有資安研究人員使用GPT-5.1-Codex-Max搭配Codex CLI進行React伺服器元件的漏洞研究並負責任通報。該研究原本是為了重現並分析稍早揭露的重大漏洞 <a href="https://www.ithome.com.tw/news/172628">React2Shell（CVE-2025-55182）</a>修補內容，過程中另外發現3項新漏洞。<a href="https://www.ithome.com.tw/news/172790">React團隊隨後公開這3項漏洞，其中兩項可造成DoS，另一項可能導致原始碼曝光</a>。</p> <p>針對後續開放策略，OpenAI表示將逐步推出並搭配更嚴格的存取控管，除ChatGPT付費用戶外，API端也逐步開放，並以邀請制讓經審核的防禦用途研究者先行參與。</p> </div></div></div>
2025/12/19 18:32作者李建興https://www.ithome.com.tw/news/172932
遠端管理工具ScreenConnect修補重大漏洞，防敏感組態外洩與未信任擴充套件植入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>遠端管理工具ConnectWise發布<a href="https://www.connectwise.com/company/trust/security-bulletins/screenconnect-2025.8-security-patch">ScreenConnect 25.8安全更新</a>，修補編號CVE-2025-14265的漏洞。官方指出，漏洞在特定條件下可能導致未經授權存取組態資料，或讓攻擊者在伺服器端安裝未受信任的擴充套件，增加系統遭不當修改的風險。官方表示目前沒有發現遭到利用的證據，且要觸發相關情境需具備已授權或管理者層級存取權限，因此不屬於無須登入即可發動的攻擊型態。</p> <p>官方揭露的通用漏洞評分系統CVSS 3.1基準分數為9.1，對機密性、完整性與可用性均屬高影響，不過由於需要高權限才能利用，因此其風險主要落在已取得授權帳號或管理權限的情境。該漏洞對應CWE-494，也就是下載程式碼時缺乏完整性檢查，代表與擴充套件安裝流程的信任與驗證機制相關。</p> <p>ConnectWise強調該漏洞僅影響ScreenConnect的伺服器端元件，主控端（Host）與連線用戶端（Guest Clients）不在影響範圍。不過在修補建議上，官方仍要求地端環境將連線用戶端更新至相同版本。</p> <p>受影響版本為25.8之前的ScreenConnect，而此次25.8更新主要強化伺服器端驗證，並在安裝擴充套件時加入完整性檢查，同時提升平臺整體安全性與穩定性，以降低未受信任擴充套件被安裝的可能性，也避免組態資料在特定條件下遭不當存取。</p> <p>對於採用screenconnect.com雲端託管的客戶，不論是獨立使用，或整合遠端監控與管理平臺ConnectWise Automate及其他同類平臺，ConnectWise表示其ScreenConnect伺服器端已完成更新，用戶無須額外操作即可套用修補。另針對Automate合作夥伴使用的hostedrmm.com託管環境，官方也指出已更新完成。</p> <p>官方建議地端部署升級至ScreenConnect 25.8，並將用戶端一併更新至相同版本。ConnectWise同時提醒，要是授權已不在維護期間，需先完成授權升級，才能安裝最新受支援版本。針對採用Automate地端並整合ScreenConnect的情境，ConnectWise提出較保守的更新順序，先確認Automate的ScreenConnect擴充套件版本已更新至4.4.0.16，再進行伺服器端升級，以降低整合環境在更新過程中出現相容性問題的機率。</p> <p>ConnectWise將此事件嚴重性評為重要等級，並優先度則是中等2級。官方建議依既有變更流程排程更新即可，但最慢不應超過30天。</p> </div></div></div>
2025/12/19 17:04作者李建興https://www.ithome.com.tw/news/172921
殭屍網路Kimwolf挾持180萬臺連網電視，意圖發動大規模DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>惡意軟體針對智慧電視或電視盒裝置的情況，並不常見，不過最近有資安公司發現，與Aisuru有關的殭屍網路，竟出現綁架大量連網電視及電視盒的情況。</p> <p>中國資安公司奇安信揭露<strong><a href="https://blog.xlab.qianxin.com/kimwolf-botnet/">感染超過180萬臺裝置的大型殭屍網路Kimwolf</a></strong>，主要綁架的標的，就是執行安卓作業系統的電視盒，光是在12月3日至5日，奇安信就觀察到約270萬個來源IP位址（3日136萬個、4日183萬個，以及5日150萬個），保守估計感染設備數量突破180萬臺。由於這些設備分布在全球222個國家及多個時區，加上電視盒和智慧電視裝置通常設置於家庭環境，不會使用固定IP位址，而且還會受到用戶使用習慣影響，因此，所有受害裝置不會同時連線，實際感染規模難以估算。</p> <p>奇安信尋找不同版本Kimwolf著手進行調查，意外發現與另一個多次發動大規模DDoS攻擊的殭屍網路Aisuru有關。Kimwolf初期疑似直接使用Aisuru的程式碼從事活動，後來因為許多資安系統會攔截Aisuru，Kimwolf背後的駭客決定重新開發專屬的殭屍網路病毒。根據APK檔使用的簽章，加上部分主要檔案元件與基礎設施共用等現象，奇安信推測，Kimwolf是Aisuru打造的新殭屍網路。</p> <p>針對Kimwolf這支惡意程式，主要鎖定的搭載安卓作業系統的連網裝置，涵蓋智慧電視、電視盒，以及平板，感染設備數量最多的是巴西、印度、美國、阿根廷，以及南非，分別占14.63%、12.71%、9.58%、7.19%、3.85%，主要用途偏重在提供代理伺服器流量，部分用於DDoS攻擊。不過，也有出現例外情況，11月19日至22日，攻擊者共下達多達17億次的DDoS攻擊命令，範圍涵蓋全球各地大量的IP位址，奇安信推測，攻擊者的目的是為了彰顯存在感，而非對目標造成實際影響。</p> <p>奇安信特別提到Kimwolf使用的C2網域名稱，已遭未知機構清理至少3次，使得這些駭客也不斷升級手法，例如：導入DNS over TLS封裝DNS請求、C2採用數位簽章驗證身分的機制，後期更採用區塊鏈網域名稱手法EtherHiding因應。</p> <p>奇安信之所以發現Kimwolf，是因為他們在10月下旬取得全新的殭屍網路病毒檔案，其獨特的地方在於，它使用的C2網域名稱，於Cloudflare百大網域排行第二，後續甚至超越原本第一的Google。此殭屍網路病毒採用安卓原生開發套件（Android Native Development Kit，NDK）製作，具備DDoS攻擊、代理流量轉送、反向Shell，以及檔案管理的能力。奇安信比對近期多起Aisuru大規模DDoS攻擊活動，確認Kimwolf參與其中，研判Kimwolf發動攻擊的流量，已接近30 Tbps。</p> <p>鎖定連網電視及電視盒的惡意程式，已有前例。2024年9月，<strong><a href="https://www.ithome.com.tw/news/165034">防毒廠商Doctor Web揭露名為Vo1d的安卓惡意程式</a></strong>，他們確認全球有超過130萬臺電視盒遭到感染。</p> </div></div></div>
2025/12/19 13:11作者周峻佑https://www.ithome.com.tw/news/172916
【資安日報】12月19日，華碩已終止支援的軟體更新工具漏洞遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172914"><strong style="font-size: 22px;">CISA警告華碩更新工具舊漏洞遭到攻擊</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）警告，華碩已經停產的即時更新工具（Asus Live Update）存在重大漏洞CVE-2025-59374，發生駭客濫用事件，他們將其加入已知遭濫用漏洞（KEV）列表，警告聯邦政府機構強化安全防護，限期於2026年1月7日完成。</p> <p>這項漏洞為Asus Live Update工具的嵌入式惡意程式碼漏洞，4.0版CVSS分數為9.3、3.1版CVSS風險值為9.8。CISA警告，本工具用戶端遭人透過供應鏈破壞進行非授權修改。被竄改過的軟體可能造成滿足特定攻擊條件的裝置執行非預期行為。</p> <p>CVE-2025-59374曾在2019年，被卡巴斯基研究人員發現名為Operation ShadowHammer的濫用活動，時間點在2018年6到11月之間，推斷是中國駭客組織發動，以其漏洞散布後門程式。華碩在同年3月，發布更新版本因應。</p> <p><a href="https://www.ithome.com.tw/news/172915"><strong style="font-size: 22px;">法國逮捕涉嫌對內政部發動網攻的22歲男子</strong></a></p> <p>法國內政部上周遭不明人士存取數臺郵件伺服器上部分檔案，資料是否竊走不得而知。本案由法國負責調查和打擊網路犯罪的OFAC持續調查中。對此，法國執法機關近期宣布逮捕一名涉嫌對該國內政部發動網路攻擊的男子，這名22歲男子於12月17日落網，原因是涉嫌參與組織犯罪集團攻擊國家機關的自動化個人資料處理系統。上周內政部遭遇網路攻擊事件後，巴黎檢察官辦公室網路犯罪部門展開調查。該罪名最高可判處10年有期徒刑。</p> <p>法國政府並未透露這名男子的身分或國籍，僅透露嫌犯出生於2003年，之前曾因類似罪行於2025年被定罪，因而留有前科。</p> <p>根據資安新聞媒體Bleeping Computer報導，在法國內政部遭駭同時，一度因警方取締行動關閉的駭客論壇BreachForums又重新上線。其中一名管理員公開宣稱法國內政部一案為其所為。這名成員表示，為了報復友人被逮捕，他們成功駭入了「MININT」，即法國內政部。他還貼出三張系統螢幕擷圖以支持其說法。</p> <p><a href="https://www.ithome.com.tw/news/172918"><strong style="font-size: 22px;">駭客企圖於義大利渡輪Fantastic植入惡意程式</strong></a></p> <p>根據外電報導，法國上周於停靠在該國南部塞特港的義大利渡輪Fantastic上，逮捕了涉嫌於船上安裝間諜軟體的兩名嫌犯，懷疑是俄羅斯政府派人企圖於船上安裝遠端存取工具（RAT）。</p> <p>率先披露此事的Le Parisien指出，這起事件源自於義大利國安局收到一份情報，宣稱兩名疑似間諜的男子潛伏在Fantastic上，他們持有精密電子設備，已感染了渡輪的電腦系統並植入RAT。</p> <p>接獲通知的法國巴黎檢察官辦公室於是指示執法人員上船逮捕了兩名二十多歲的嫌犯，並搜出一個像是隨身碟的間諜設備，他們分別是拉脫維亞及保加利亞國籍，後者為Fantastic僱員，經訊問後已被釋放，前者則是實習水手，被指控犯有為外國勢力服務的陰謀罪、企圖入侵電腦系統，以及持有干擾導航系統設備等罪名，已被拘留。</p> <p><a href="https://www.ithome.com.tw/news/172911"><strong style="font-size: 22px;">未設防MongoDB資料庫曝16 TB職涯資料，近43億筆含大量LinkedIn個資</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mongodb-data-base-leak2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mongodb-data-base-leak2.png" style="width: 300px; float: right;" /></a></p> <p>資安媒體Cybernews的研究團隊發現一個未啟用存取驗證的MongoDB資料庫，對外公開曝露於網際網路上。研究團隊指出，該資料庫總量約16.14TB，累計近43億筆紀錄，內容多為用於潛在顧客開發（Lead Generation）的職場與企業相關資料，包含大量疑似取自LinkedIn的個人資料欄位，例如LinkedIn網址與帳號識別、任職資訊與聯絡方式等。</p> <p>研究團隊表示，他們於2025年11月23日發現該資料庫並進行通報，資料庫在兩天內被關閉或完成強化，但在研究團隊發現前，資料對外曝露的實際時間無法確認。</p> <p>該洩漏資料庫的結構完整，研究團隊因此推測其更像是透過自動化流程蒐集、彙整與補強的專業人士與企業關係資料，而非零散匯入的檔案。研究人員在其中辨識出多個資料集，至少有三個資料集含可識別個資，合計接近20億筆，欄位涵蓋姓名、電子郵件、電話、職稱、雇主與任職歷程、教育背景、地理位置、語言與技能，以及社群帳號等。</p> <p><a href="https://www.ithome.com.tw/news/172755"><strong style="font-size: 22px;">AI瀏覽器Perplexity Comet存在零點擊漏洞，可讓攻擊者抹除Google Drive資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6931322c3fc0a63e2e1e76b2_Perplexity-Comet-Drive-Wiper-Prompt-Execution.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6931322c3fc0a63e2e1e76b2_Perplexity-Comet-Drive-Wiper-Prompt-Execution.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Straiker發現，他們在AI公司Perplexity旗下的瀏覽器Comet中，只要發送一則內含「整理共享Google Drive」訊息的郵件，就有機會透過對AI瀏覽器助理的提示，將看似禮貌的郵件變成抹除Google Drive檔案的惡意工具。</p> <p>這類新攻擊手法主要是利用代理人可透過連接器（Connector）存取Google服務，如Gmail或Google Drive的功能，並執行搬移、重新命名或刪除等行為。在這項攻擊下，攻擊者發送了有禮貌的Gmail來包裝其指令，包括「請整理Google Drive」、「代我刪除鬆散檔案(loose files)或.ZIP檔」、「檢查變更，確保一切看來整潔」。</p> <p>研究人員指出，這類有禮貌、使用的抽象用語（如「整理」、「整潔」）、層次井然的商業書信文體正是攻擊高明之處，因這訊息看來是典型的商業信件，可減少模型質疑、確保遵從行為。將攻擊流程分點列出，也會使代理程式逐一執行所有步驟。這個過程是完美的零點擊攻擊。</p> <p><a href="https://www.ithome.com.tw/news/172681"><strong style="font-size: 22px;">冒牌ChatGPT Atlas瀏覽器網站鎖定macOS用戶而來，意圖竊取帳密資料</strong></a></p> <p>近年來AI公司投入瀏覽器市場，紛紛推出具有AI代理的瀏覽器而成為市場焦點，這樣的情況也被駭客盯上，假借提供相關軟體從事攻擊行動。例如，資安公司Fable Security發現佯稱提供OpenAI ChatGPT Atlas瀏覽器的惡意網站，結合神似正版的網站和指令使用者執行命令，得以繞過端點安全防護軟體，騙取使用者密碼和憑證。</p> <p>這個假網站藉由代管在Google Sites，以提升其可信度，而且網站設計和正版Atlas網站在排版及設計上幾乎相同。但是假網站和正牌網站操作指令有相當不同。有別於正牌網站提供.dmg檔安裝程式，冒牌網站提供一段看似無害的Base64字串指令，要求使用者貼在終端機（Terminal）執行。一旦執行，該指令就解碼成代管於攻擊者控制網域的遠端腳本程式。</p> <p>該程式會反覆要求使用者輸入不同macOS密碼，直到使用者輸入正確的密碼才會進行後續流程。接著，執行串利用該密碼以提高權限進階第二階段程式下載。本質上這個過程是典型的ClickFix攻擊。但值得注意的是，下載的惡意程式都未觸發CrowdStrike或SentinelOne端點防護代理程式的警示，因為社交工程加上使用者允許的程式執行，能夠繞過端點防護。</p> <p><a href="https://www.ithome.com.tw/news/172892"><strong style="font-size: 22px;">汽車零件大廠LKQ通報Oracle EBS資料外洩，影響近萬人</strong></a></p> <p>美國汽車零件大廠大豪（LKQ）本週向主管機關通報Oracle E-Business Suite（EBS）遭駭，外洩將近一萬人個資。</p> <p>根據LKQ向緬因州檢察長辦公室提交的文件，該公司在甲骨文9月份公布零時差漏洞後，於10月3日在第三方資安鑑識業者協助下展開調查，發現資料外洩事件，時間點落在9月8日。LKQ一察覺此事隨即切斷系統連線。LKQ相信沒有Oracle EBS以外的系統環境受影響。</p> <p>LKQ團隊於12月1日完成分析，他們判斷Oracle EBS中的LKQ獨資供貨商資料遭到存取。受影響總人數為9,070人。外洩資料類型包含僱主識別碼（Employer Identification Number）或社會安全碼，該公司正通知受影響人士。</p> <p><a href="https://www.ithome.com.tw/news/172908"><strong style="font-size: 22px;">AI投資增加、技術、市場、法規驅動下，將對企業資安市場帶來影響</strong></a></p> <p>資策會產業情報研究所（MIC）發布2026年十大科技趨勢，預期AI需求持續增加下，帶動對半導體的新製程產能成長、AI伺服器出貨可望增加至450萬臺，由於產業AI運算需求旺盛，將帶動邊緣AI硬體滲透率成長至接近2成，此外，全球低軌衛星寬頻用戶將突破1千萬。MIC提出2026年的十大科技趨勢，涵蓋AI、無人機、人形機器人、低軌衛星、AI資安攻防、量子運算，以及資訊服務等面向。</p> <p>其中，AI將對企業資安市場帶來影響，對於攻防兩端的競逐，MIC看好相關資安產值將增加12%。MIC認為企業對於即時偵測、自動化應變的資安產品需求增加，包括事前、事中、事後的AI資安產品，過去仰賴資安人力處理對抗資安攻擊，林柏齊指出，過去仰賴人力的資安對抗會愈來愈沒有效力，資安導入AI技術將變得愈來愈重要。</p> <p>此外，MIC預期AI資安需求增加，將使得代管服務、攻防自動化與模型驗證成為企業必備，連帶推升臺灣的資安市場成長；MIC預期臺灣的資安產值將從2025年的604億元，成長到2027年的749億元。</p> <p><a href="https://www.ithome.com.tw/news/172776"><strong style="font-size: 22px;">【產品資安實務經驗：四零四科技】從依循IEC 62443到成立PSC，產品資安強化成為公司的長期工程</strong></a></p> <p>當全球對產品資安的要求愈來愈高，對於工業網通設備這類產品而言，產品壽命動輒10年以上，其資安問題早已不能忽視。工控設備製造商四零四科技（Moxa）近年持續強化產品資安，包括很早就投入安全開發並研究IEC 62443，3年前成立產品資安中心（Product Security Center，PSC），以系統化方式推動產品資安的落實。</p> <p>回憶多年前剛推動這些工作的情形，四零四科技研發中心研發副總顏志安笑著說，當團隊突然得知要做IEC 62443認證時，普遍感覺是「晴天霹靂」，覺得那是突然多出來的大工程。</p> <p>如今情形已然不同，現在會議上大家會主動討論雜湊及完整性檢查機制，甚至在供應商來訪時，會主動了解其SDK元件的安全確保方式，這是早年他們無法想像到的轉變。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-targets-gladinet-centrestack-servers-for-extortion/">勒索軟體Clop傳出鎖定Gladinet CentreStack而來，企圖利用資安漏洞竊取資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/kimsuky-spreads-docswap-android-malware.html">北韓駭客發動QR Code網釣，意圖散布安卓惡意程式DocSwap</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cyberattack-disrupts-venezuelan-oil-giant-pdvsas-operations/">委內瑞拉石油公司傳出遭網路攻擊，導致出口業務中斷</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hpe-warns-of-maximum-severity-rce-flaw-in-oneview-software/">HPE修補基礎架構管理軟體OneView滿分漏洞</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172902"><strong>【12月18日】日本電商Askul公布勒索軟體攻擊事故調查結果</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172883"><strong>【12月17日】MITRE公布最危險的漏洞類型，XSS居冠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172853"><strong>【12月16日】更多中國駭客加入利用React2Shell的行列</strong></a></p> </div></div></div>
2025/12/19 13:38作者周峻佑https://www.ithome.com.tw/news/172917
Anthropic更新Claude Skills，新增技能目錄並推動開放標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼於今年10月首度<a href="https://www.ithome.com.tw/news/171736" target="_blank">推出Claude Skills</a>後，Anthropic周四（12/18）<a href="https://claude.com/blog/organization-skills-and-directory" target="_blank">進行全面升級</a>，簡化了Claude Skills的開發與部署流程，並正式發布Agent Skills開放標準，旨在打破AI平臺間的隔閡，建立可通用的AI代理技能體系。</p> <p>此次更新的核心在於解決企業大規模應用的痛點。過去Skills主要由使用者自行建立或取用官方範例，而現在Claude Team與Enterprise版管理員可於後臺，集中管理組織內技能的啟用與推送。</p> <p>這使得管理員可一鍵將公司專屬的作業流程（如品牌規範檢查或財務報表生成）推送給所有員工，確保團隊輸出的專業度與一致性。雖然預設開啟，但使用者仍保有個人化彈性，可根據需求手動開關特定技能。</p> <p>此外，為了解決使用者「不知道要裝什麼技能」的問題，Anthropic同步推出了技能目錄（Skills Directory），如同技能的App Store一樣，允許使用者直接挑選所需技能。首波合作對象包含 Notion、Canva、Figma、Atlassian、Cloudflare與Zapier等主流生產力工具。</p> <p>Anthropic也宣布正式開放Agent Skills規格標準，延續了先前<a href="https://www.ithome.com.tw/news/166199" target="_blank">Model Context Protocol (MCP) </a>的開源精神。Anthropic認為，AI的技能不應被鎖定在單一平臺上，開發者撰寫各種技能未來應能同時在Claude與其他支援此一標準的AI平臺上無縫運行，可望大幅降低企業開發AI代理（Agents）的成本。</p> <p>目前此一更新已同步於Claude Web、Claude Code 以及API平臺同步上線。</p> </div></div></div>
2025/12/19 14:07作者陳曉莉https://www.ithome.com.tw/news/172920
Google推出FunctionGemma小模型，公開訓練配方主打本機工具呼叫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google釋出<a href="https://blog.google/technology/developers/functiongemma/">FunctionGemma小模型</a>，這是以Gemma 3 270M（2.7億參數）為基礎，專門針對工具呼叫需求進行微調的版本，並同步公開一套訓練配方，讓開發者能再依自家應用的API動作集進一步微調。Google將其設定為裝置端代理的基礎模型，目標是在手機等可本機運行的環境中，把自然語言指令轉成可執行的API動作，同時兼顧反應時間與資料隱私。</p> <p>Google提到，自Gemma 3 270M推出後，開發者最常提出的需求之一就是原生的工具呼叫能力，官方認為，生成式AI產品的互動介面正從單純對話，轉向能代為執行任務的代理系統。FunctionGemma 主要針對單輪與並行的工具呼叫進行訓練，但要把多步驟操作串成相依的工作流，通常仍需由外部編排流程，或依自家動作集再微調，才能控制輸出行為到可預期範圍。</p> <p>官方強調FunctionGemma處理執行與說明兩種輸出場景。模型可以先產生結構化的工具呼叫內容，交由既有工具或作業系統能力執行，取得回應後再用自然語言整理結果回覆使用者。這也讓FunctionGemma在系統架構上有兩種常見用法，一種是作為離線、本機的獨立代理，負責處理不需連網的私人任務，另一種是作為裝置端的任務分流器，先把常見指令在裝置上快速處理，再把較複雜的需求轉交給較大型模型，例如Gemma 3 27B。</p> <p>Google以Mobile Actions評估為例說明微調的必要性，官方指出，要是以基礎模型直接上場，準確率約為58%，但在針對資料進行微調後，於保留測試集上的準確率可提升到85%。</p> <p>FunctionGemma的量體設計可支援像是手機與單板電腦等裝置，同時沿用Gemma系列約25萬規模的詞彙表，以提升對JSON格式與多語輸入的處理效率。官方說法是，較有效率的Token切分有助縮短序列長度，進而降低延遲並更貼近在地運算的隱私需求。為了讓開發與部署更容易接上既有流程，Google也列出支援的工具鏈，包含訓練端可用Hugging Face Transformers、Unsloth、Keras或Nvidia NeMo，部署端則可選LiteRT-LM、vLLM、MLX、Llama.cpp、Ollama、Vertex AI或LM Studio等環境。</p> </div></div></div>
2025/12/19 14:12作者李建興https://www.ithome.com.tw/news/172919
駭客企圖於義大利渡輪Fantastic植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據外電報導，法國上周於停靠在該國南部塞特港的義大利渡輪Fantastic上，逮捕了涉嫌於船上安裝間諜軟體的兩名嫌犯，懷疑是俄羅斯派人企圖於船上安裝遠端存取工具（Remote Access Tool，RAT）。</p> <p>Fantastic隸屬於義大利航運公司Grandi Navi Veloci（GNV），為一可容納2,000名乘客及數百輛汽車的客貨兩用渡輪，主要航行於義大利、法國、西班牙及北非等地，為重要的地中海海上交通運輸工具。</p> <p>率先披露此事的<a href="https://www.leparisien.fr/faits-divers/un-navire-accoste-dans-lherault-au-coeur-dune-mysterieuse-enquete-pour-contre-espionnage-et-piratage-16-12-2025-7765URZED5HJTD5LCFUAXWFGZA.php" target="_blank">Le Parisien指出</a>，這起事件源自於義大利國安局收到一份情報，宣稱兩名疑似間諜的男子潛伏在Fantastic上，他們持有精密電子設備，已感染了渡輪的電腦系統並植入RAT。</p> <p>接獲通知的法國巴黎檢察官辦公室於是指示執法人員上船逮捕了兩名二十多歲的嫌犯，並搜出一個像是隨身碟的間諜設備，他們分別是拉脫維亞及保加利亞國籍，後者為Fantastic僱員，經訊問後已被釋放，前者則是實習水手，被指控犯有為外國勢力服務的陰謀罪、企圖入侵電腦系統，以及持有干擾導航系統設備等罪名，已被拘留。</p> <p>海事資安專家Olivier Jacq<a href="https://www.leparisien.fr/high-tech/ferry-pirate-par-un-logiciel-espion-le-risque-dune-vraie-prise-de-controle-a-distance-est-proche-du-zero-16-12-2025-T6OCZPOTEVHL3PPAZJB6BT672U.php" target="_blank">向Le Parisien表示</a>，船上的電腦系統預設並未連至網路，只有極少數的船載電腦擁有永久網路連線，這使得船舶被遠端控制的風險幾乎為零，因為其操作非常困難，迄今尚未傳出有船隻遭到網路劫持的事件。</p> <p>至於GNV則<a href="https://en.ilsole24ore.com/art/italian-ship-detained-france-had-malware-on-board-detained-two-people-AI83xOR" target="_blank">向Il Sole 24 Ore表示</a>，該公司已發現並阻止了一起入侵企圖，公司系統並未受到任何影響。</p> <p>法國目前懷疑該名間諜受僱於俄羅斯，因為克里姆林宮的情報機構經常於東歐國家招募特工，以於法國境內從事間諜或破壞活動。</p> <p>近日<a href="https://www.ithome.com.tw/news/172840" target="_blank">法國內政部</a>也傳出遭到網路攻擊，駭客成功入侵了該部門的郵件伺服器，矛頭亦指向俄羅斯。</p> </div></div></div>
2025/12/19 13:59作者陳曉莉https://www.ithome.com.tw/news/172918
法國逮捕涉嫌對內政部發動網攻的22歲男子
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.tribunal-de-paris.justice.fr/sites/default/files/2025-12/20251217CPCYBERMININT.pdf" target="_blank">法國執法機關本周宣布逮捕</a>了一名涉嫌於上周，對該國內政部發動網路攻擊的男子。</p> <p>法國檢察官辦公室發出聲明，這名22歲男子於12月17日落網，原因是涉嫌參與組織犯罪集團攻擊國家機關的自動化個人資料處理系統。上周<a href="https://www.ithome.com.tw/news/172840" target="_blank">內政部遭遇網路攻擊</a>事件後，巴黎檢察官辦公室網路犯罪部門展開調查。該罪名最高可判處10年有期徒刑。</p> <p>法國政府並未透露這名男子的身份或國籍，僅透露嫌犯出生於2003年，之前曾因類似罪行於2025年被定罪，因而留有前科。</p> <p>法國內政部上周遭不明人士存取數臺郵件伺服器上某些檔案，但無法斷言資料已被竊走。本案由法國負責調查和打擊網絡犯罪的OFAC持續調查中。法國警方將嫌犯結束最長48小時的拘留後發布進一步聲明。</p> <p><a href="https://www.bleepingcomputer.com/news/security/france-arrests-suspect-tied-to-cyberattack-on-interior-ministry/" target="_blank">Bleeping Computer報導</a>，在法國內政部遭駭同時，一度因警方取締行動關閉的駭客論壇BreachForums又重新上線。其中一名管理員公開宣稱法國內政部一案為其所為。這名成員表示，為了報復友人被逮捕，他們成功駭入了「MININT」，即法國內政部。他還貼出三張系統螢幕擷圖以支持其說法。</p> <p>這名人士指的逮捕事件可能是2025年法國警方逮捕BreachForums 5名管理員及版主的行動。</p> <p>報導指出，5名就逮的人士在BreachForums各化名為「ShinyHunters」、「IntelBroker」等人，但這化名「ShinyHunters」可能不是真正勒索軟體組織「ShinyHunters」成員。這個組織犯下多起攻擊行動，包括最近的成人內容網站<a href="https://www.ithome.com.tw/news/172860" target="_blank">PornHub的資料外洩</a>一案。</p> </div></div></div>
2025/12/19 11:28作者林妍溱https://www.ithome.com.tw/news/172915
TikTok終於敲定美國業務重組方案，2026年完成轉移
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>多家美國媒體宣稱已看到或拿到TikTok執行長周受資本周四（12/18）對內發布的備忘錄，指出已簽署一項具約束力的協議，準備將美國業務轉移到一家新的、由美國企業組成的合資公司，預計於2026年的1月22日完成。</p> <p>根據<a href="https://www.reuters.com/business/american-investor-consortium-acquire-tiktok-us-entity-axios-reports-2025-12-18/" target="_blank">路透社（Reuters）</a>的報導，新合資公司的名稱為TikTok USDS Joint Venture LLC，將由甲骨文（Oracle）、Silver Lake、阿布達比的MGX，以及其它參與者持有50%的股份，其中，這3家業者各占了15%。另有30.1%的股份是由字節跳動（ByteDance）既有投資者的關係企業取得，字節跳動亦將保留19.9%的股份。</p> <p>2012年成立於北京的字節跳動是在2016年推出抖音，2017年推出TikTok，這兩個短影音平臺分別風靡了中國及全球市場。根據<a href="https://www.pewresearch.org/internet/2025/11/20/americans-social-media-use-2025/" target="_blank">Pew Research Center今年的調查</a>，美國有37%的成人使用TikTok，29歲以下使用TikTok的比例更達到59%。</p> <p>TikTok在美國的爭議可<a href="https://www.ithome.com.tw/news/139211" target="_blank">追溯至2019年</a>，該應用的快速崛起讓美國政府開始關注其母公司字節跳動的中國背景，質疑字節跳動可能迎合中國政府的要求，交出TikTok用戶資料。於是美國先是禁止軍方安裝TikTok，接著禁止所有聯邦裝置安裝TikTok，在2024年更進一步要求TikTok出售或改變控制權，否則便要將它封鎖。</p> <p>為了因應，<a href="https://www.ithome.com.tw/news/151518" target="_blank">TikTok同意</a>將美國用戶資料遷移到甲骨文雲端，並多次透過訴訟挑戰美國的強制要求，另也持續與美國企業展開協商，直至今日雙方才達成最終協議。</p> <p>根據<a href="https://www.cnbc.com/2025/12/18/tik-tok-us-sale-china.html" target="_blank">CNBC的報導</a>，TikTok USDS採用7人董事會，其中多數為美國人，此外，新公司的運作受限於明確條款，用以保護美國用戶資料及美國國家安全。</p> <p>新的TikTok USDS負責保護美國用戶資料，確保其核心演算法、內容審核與軟體安全，並由甲骨文負責驗證新公司是否遵循彼此協議的國家安全條款。其中，新公司將以美國用戶資料重新訓練TikTok的內容推薦演算法，以確保這些推薦不受外部操縱。</p> </div></div></div>
2025/12/19 10:49作者陳曉莉https://www.ithome.com.tw/news/172913
CISA警告華碩更新工具舊漏洞遭到攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全暨基礎設施安全局（CISA）本周警告，華碩已經停產的即時更新工具（Asus Live Update）一項重大漏洞發生駭客濫用事件。</p> <p>CISA是在本周將編號CVE-2025-59374的漏洞加入<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">已知遭濫用漏洞（Known Exploited Vulnerability）目錄</a>，警告聯邦政府機構強化安全防護。</p> <p>這項漏洞為Asus Live Update工具的嵌入式惡意程式碼漏洞，CVSS分數為9.3。CISA警告，本工具用戶端遭人透過供應鏈破壞進行非授權修改。被竄改過的軟體可能造成滿足特定攻擊條件的裝置執行非預期行為。CISA呼籲所有聯邦行政部門機構需在2026年1月7日前處理或停用受影響軟體。</p> <p>CVE-2025-59374曾在2019年，被卡巴斯基研究人員發現名為<a href="https://www.ithome.com.tw/news/129590" target="_blank">Operation ShadowHammer的濫用</a>，時間點在2018年6到11月之間，推斷是中國駭客組織發動，以其漏洞散布後門程式。但華碩已在同年3月發布更新版本。</p> <p>不確定這波濫用來源為何，但CISA安全公告指出並非勒索軟體。</p> <p>根據美國<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-59374" target="_blank">NIST的漏洞資料庫</a>，Live Update的用戶端軟體已在2021年10月終止服務（End of Service），較新近的硬體應該不會受影響。</p> <p>華碩在2021年10月的官方表定時程後仍持續提供支援，但該公司<a href="https://www.asus.com/tw/support/faq/1018727/" target="_blank">本月4日發布公告</a>，將停止對Asus Live Update支援。最後一個版本為3.6.15。</p> <p>根據華碩<a href="https://www.asus.com/us/support/faq/1018727/" target="_blank">說明</a>，現有Asus Live Update用戶可繼續使用ASUS Live Update服務，不會受到任何影響。</p> <p>華碩承諾會不斷提供即時更新，幫助用戶保護和強化設備安全。使用者可以通過Asus Live Update軟體獲取自動且即時的軟體更新。該公司呼籲用戶更新Asus Live Update至V3.6.8或者更高的版本。</p> </div></div></div>
2025/12/19 11:07作者林妍溱https://www.ithome.com.tw/news/172914
醫院GenAI應用加速規模化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過去一年來，臺灣企業級生成式AI應用，開始展現了百花齊放的成果，去年，企業想的是「找出適用場景」，今年則是更進一步聚焦於「高ROI效益的場景」。企業投入GenAI的目標，更加明確了，不只要用得對，還得用得有成效。</p> <p>從iThome今年度的CIO大調查結果，可以看到，<a href="https://www.ithome.com.tw/article/170488" target="_blank"><span style="color: rgb(51, 102, 255);">臺灣大型企業已有15%企業，約每六家就有一家，在正式環境中導入GenAI</span></a>。不過，有少數，約5%的臺灣企業，開始擴大規模，又以醫療業GenAI應用，最令我驚艷。</p> <p>這兩年，我跑了不少企業，實地採訪、參觀他們如何運用最夯的生成式AI應用。去年，IT資源充沛的金融業積極投入，受限於相對嚴格且繁多的法遵規範，金融業對於GenAI的採用，一直是大膽驗證，小心落地，可以看到各式各樣的GenAI驗證測試，但真正落地的應用，卻不多。常見有系統性的GenAI管理和開發框架，但少見有全集團、全面性的應用實例。</p> <p>幾年前，不少醫院大力擁抱AI，嘗試用AI來判讀醫療影像，也有不少實例，但是這類分析式的AI，需要大量資深、專業醫師投入人工標記作業，想要擴大規模，延伸更多應用場景，非常困難。從我們的大調查也可以看到，醫院的AI預算一度緊縮，醫院高層無法看到規模化的成效，不願意繼續加碼。直到生成式AI出現，醫院AI應用彷彿找到了第二春。這一次，不需要一開始先投資鉅額硬體設備，也能透過雲端訂閱展開各種實驗。醫院是臺灣各產業中，非常積極採用生成式AI的一群。</p> <p>不只是積極嘗試，醫院也是目前最有成果的產業。同樣從我們今年的大調查結果可以看到，各產業生成式AI的領先企業比例，以醫療業最高，達到22%之多，平均每五家醫院，就有一家落地使用，比金融業的16%，還高了6個百分點。</p> <p>醫院讓我驚訝的不只是採用者踴躍，更看到不少規模化、深度整合到原有醫療流程的應用。例如<a href="https://www.ithome.com.tw/article/171990" target="_blank"><span style="color:#3366ff;">先前報導過中山附醫的免程式碼生成式AI平臺</span></a>，已有超過6百款AI助手。<a href="https://www.ithome.com.tw/article/172910" target="_blank"><span style="color: rgb(51, 102, 255);">在這期封面故事，我們醫療IT主編王若樸要來介紹臺大醫院的生成式AI轉型</span></a>。</p> <p>臺大醫院現有超過300個GenAI專案正在進行，其中有100個已經正式落地。應用場景遍及全院所有醫療行政相關的流程作業，裝置從PC、推車筆電到手機等都能用。其中有五種，是他們認為最能發揮GenAI長處的場景，包括了整理病歷重點、輔助生成報告、解析結構化資料、即時問答，以及管理審核。</p> <p>臺大醫院由下而上，從一個一個的應用案例，逐漸累積到現在的數百個專案。他們對於生成式AI的定位，很不一樣，不是運用LLM的知識庫，而是看上了LLM處理非結構化資料的能力。</p> <p>醫院有很多資訊斷點，各式各樣的文字報告、電子病歷、醫療影像等非結構資料，分散在不同系統的畫面、報表之中，過去只能靠醫生手動彙整，這是非常耗時也耗人力的工作。</p> <p>臺大醫院正是利用LLM來解析這些各種非結構資料，透過特徵擷取，轉化成結構化資料，結合HIS系統，來解決原本只能靠人工處理的資訊斷點，甚至進一步做到大量自動化的處理。</p> <p>像他們每年要收治高達3到4千位心臟衰竭高風險病患，其中2千位可能併發心房顫動，導致中風、大出血，甚至死亡。原本中風風險評估時，手動計算一個病患的風險分數，得花5到10分鐘，現在改用GenAI自動評估搭配人工驗證，不用1分鐘就可以完成，臺大醫院平均一天收治超過100名病患，每天都可以省下近1.5小時。</p> <p>臺大醫院導入GenAI的做法也很特別，他們一開始就比照醫院人體研究的高標準審查作業方式，來評估GenAI應用的導入，將GenAI技術的採用，視為一項人體相關的研究計畫，來進行研究倫理、法規的詳細審查。</p> <p>這麼做一開始雖然很慢，花了半年審查才獲得許可，但在過程中確保了各項合規性的要求，成了後來大規模應用的基礎，才能快速增加到數百個GenAI專案。</p> <p>臺大醫院的GenAI轉型經驗和規模化做法，同樣也適用於其他醫院、整個醫療產業，甚至可以成為其他產業加速GenAI應用規模化的借鏡。</p> <p><a href="https://www.ithome.com.tw/article/172910" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1265-feng_mian_-p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=GZYsnYF0" style="width: 600px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/171990" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1258-feng_mian_gu_shi_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=c8fjrXDE" style="width: 600px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/170511" target="_blank"><span style="font-size: 14px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1246-feng_mian_gu_shi_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=_LBzFdXM" style="width: 600px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%87%BA%E5%A4%A7%E9%86%AB%E9%99%A2">臺大醫院</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item even"><a href="/tags/genai">GenAI</a></div><div class="field-item odd"><a href="/tags/%E9%86%AB%E7%99%82it">醫療IT</a></div></div></div>
2025/12/19 11:18作者王宏仁https://www.ithome.com.tw/voice/172912
未設驗證MongoDB資料庫曝16 TB職涯資料，近43億筆含大量LinkedIn個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安媒體Cybernews的研究團隊<a href="https://cybernews.com/security/database-exposes-billions-records-linkedin-data/">發現</a>一個未啟用存取驗證的MongoDB資料庫，對外公開曝露於網際網路上。研究團隊指出，該資料庫總量約16.14TB，累計近43億筆紀錄，內容多為用於潛在顧客開發（Lead Generation）的職場與企業相關資料，包含大量疑似取自LinkedIn的個人資料欄位，例如LinkedIn網址與帳號識別、任職資訊與聯絡方式等。</p> <p>研究團隊表示，他們於2025年11月23日發現該資料庫並進行通報，資料庫在兩天內被關閉或完成強化，但在研究團隊發現前，資料對外曝露的實際時間無法確認。</p> <p>該洩漏資料庫的結構完整，研究團隊因此推測其更像是透過自動化流程蒐集、彙整與補強的專業人士與企業關係資料，而非零散匯入的檔案。研究人員在其中辨識出多個資料集，至少有三個資料集含可識別個資，合計接近20億筆，欄位涵蓋姓名、電子郵件、電話、職稱、雇主與任職歷程、教育背景、地理位置、語言與技能，以及社群帳號等。</p> <p>Cybernews指出，資料庫內容呈現出以爬蟲抓取並彙整LinkedIn職涯資料的特徵，且部分欄位出現Apollo ID等識別資訊，但目前仍無法確認該欄位的確切意義，只能從資料型態推測其可能整合多種潛在顧客開發資料到同一套資料模型中。至於資料新舊，研究人員表示資料庫的時間戳記顯示內容曾在2025年被更新或蒐集，並推測可能在近兩年內逐步累積。</p> <p>資料庫歸屬同樣是事件的關鍵不確定點，Cybernews表示，他們在資料中看到可將專業人士資料與企業資料等路徑對應到特定潛在顧客開發公司網站，且該公司對外宣稱可連結超過7億名專業人士，與資料庫中7.32億筆含照片集合的量級接近。報導指出研究團隊通知對方後，曝露的資料庫隔天便被關閉。不過，Cybernews也保留立場，認為僅憑目前線索尚不足以完成歸因，也不排除該公司只是被他人蒐集或再整理的資料來源之一。</p> <p>研究團隊點出其中實務風險，攻擊者可從資料中挑出企業高層進行冒名詐騙，或以企業員工名單為基礎撰寫更逼真的釣魚郵件與社交工程話術。</p> </div></div></div>
2025/12/19 08:47作者李建興https://www.ithome.com.tw/news/172911
Docker開源DHI安全強化映像檔，主打透明揭露CVE與供應鏈可驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Docker<a href="https://www.docker.com/blog/docker-hardened-images-for-every-developer/">宣布</a>先前在5月推出的Docker安全強化映像檔（Docker Hardened Images，DHI）改為免費釋出，並以Apache 2.0授權開源。Docker指出，這是容器基礎映像檔的安全預設值調整，試圖讓開發團隊從第一次拉取映像檔，就能獲得較小的攻擊面與較完整的可驗證資訊。</p> <p>Docker將DHI視為容器基礎映像檔的安全預設選項，同時強調透明度，包含每個映像檔都提供可驗證的軟體物料清單（SBOM）、SLSA第3級建置來源證明（Provenance），以及以公開CVE資料進行弱點揭露與評估。Docker也提到，不會為了讓弱點掃描器維持綠燈而刻意隱藏弱點，即使修補仍在進行，也會維持揭露。</p> <p>DHI採用無發行版（Distroless）執行環境來縮小攻擊面，同時保留開發與執行常見工作負載所需的基本工具。Docker要求映像檔的組成、建置過程、簽章與弱點狀態都要能被外部檢查與驗證，並稱相較一般映像檔，DHI能明顯降低CVE數量，並可讓映像檔體積最高縮小95%。</p> <p>DHI以Alpine與Debian基礎建立，並強調高相容性與低搬遷成本。官方也提到，Docker的實驗性AI助理可掃描既有容器並建議對應的強化映像檔，該功能目前標示為實驗性質。</p> <p>Docker提供DHI三層服務符合不同合規與維運需求，免費開源版本提供無限制使用的基礎強化映像檔。DHI Enterprise則面向合規與高敏感產業，主打關鍵CVE在7天內修補的服務承諾，並提供FIPS等需求的映像檔版本與更多客製化能力。至於延長生命周期支援（ELS）則作為Enterprise的加購項目，即便在上游停止支援後，仍可再延伸最多5年的安全修補與可稽核資料更新，用於回應掃描、稽核與合規框架對可驗證修補的需求。</p> <p>Docker把強化安全的範圍，從基礎映像檔推進到Kubernetes與代理式應用相關元件。既有的Hardened Helm Charts讓用戶在Kubernetes環境中採用DHI，這次則新增Hardened MCP Servers，先提供Mongo、Grafana與GitHub等常用MCP伺服器的強化版本，並納入後續將全面強化的MCP伺服器目錄規畫。 </p> </div></div></div>
2025/12/19 08:00作者李建興https://www.ithome.com.tw/news/172903
【資安日報】12月18日，日本電商Askul公布勒索軟體攻擊事故調查結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172877"><strong style="font-size: 22px;">日本電商Askul公布勒索軟體攻擊調查報告，物流與備份系統遭加密，外洩約74萬筆資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/oT2eYeFXpW.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/oT2eYeFXpW.png" style="width: 300px; float: right;" /></a></p> <p>日本辦公用品與電商業者Askul公布勒索軟體事件調查報告，確認公司物流與內部系統遭加密並造成大規模服務中斷，同時有資料外洩。目前企業客戶端已恢復部分商品受理訂單，並在確認穩定後逐步擴大出貨作業。依Askul的彙整，確認外洩的資訊包含企業客戶約59萬筆、個人服務客戶約13.2萬筆，以及部分合作夥伴資料約1.5萬筆，合計約74萬筆，另還包含員工等約2,700筆資料。 </p> <p>對攻擊者身分，Askul官方文件並未點名特定組織。不過外媒The Japan Times報導指出，自稱RansomHouse的組織在暗網發布聲明宣稱犯案，Askul則對外表示已知悉該聲明並正在查證事實。 </p> <p>Askul物流系統與公司內系統確認遭勒索軟體感染，部分資料包含備份資料被加密而一度無法使用，且部分資料遭竊取並被公開，導致物流中心出貨業務全面停止。Askul指出，後續也發現外部雲端的客服詢問管理系統帳號遭竊取並被入侵，相關資訊同樣有外洩情形。在目前的鑑識結論中，主要業務系統與面向客戶的電子商務網站與合作夥伴服務未發現被入侵跡象。 </p> <p><a href="https://www.ithome.com.tw/news/172897"><strong style="font-size: 22px;">思科電子郵件閘道與網頁安全閘道存在滿分零時差漏洞，中國駭客已用於部署後門程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AquaPurge.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/AquaPurge.png" style="width: 300px; float: right;" /></a></p> <p>12月17日思科發布資安公告，指出旗下執行作業系統AsyncOS的資安設備存在重大漏洞CVE-2025-20393，此漏洞允許攻擊者使用root權限，於作業系統底層執行任何指令，CVSS風險達到滿分10分，影響該公司郵件閘道設備Secure Email Gateway，以及郵件暨網頁安全閘道Secure Email and Web Manager。值得留意的是，他們提及中國駭客組織UAT-9686已用於實際攻擊，積極針對上述兩種資安設備下手，植入能長期存取的隱密通道，而能遠端存取受害設備，呼籲IT人員儘速採取行動因應。</p> <p>無論實體或虛擬型態的閘道設備，以及任何版本的AsyncOS，都可能曝露於上述漏洞的資安風險當中。不過，思科提及該漏洞的形成須滿足一定條件，首先，就是閘道器啟用垃圾郵件隔離區的功能，再者，該功能可透過網際網路存取。對此，他們呼籲IT人員，應確認該功能是否啟用，以判斷是否存在相關風險。思科提及，他們確認雲端版郵件安全閘道Cisco Secure Email Cloud不受影響，目前網頁安全閘道Cisco Secure Web未出現漏洞利用活動的跡象。不過，該公司並未針對漏洞發布軟體更新。</p> <p>關於CVE-2025-20393如何被利用，思科旗下的威脅情報團隊Talos發布調查報告指出，他們在12月10日察覺UAT-9686的活動，駭客針對執行AsyncOS的資安設備下手，利用漏洞執行系統層級的指令，部署基於Python的後門程式AquaShell，此外，他們也部署隧道工具AquaTunnel和Chisel，以及竄改事件記錄工具AquaPurge。</p> <p><a href="https://www.ithome.com.tw/news/172891"><strong style="font-size: 22px;">SonicWall旗下VPN設備的管理主控臺存在零時差漏洞，已被用於攻擊行動</strong></a></p> <p>12月17日防火牆製造商SonicWall發布資安公告，指出SSL VPN系統SMA1000的設備管理主控臺（Appliance Management Console，AMC）存在中度風險的本機權限提升漏洞，此漏洞登記為CVE-2025-40602列管，起因是授權不夠完備造成，CVSS風險為6.6分。值得留意的是，該公司已掌握漏洞遭到利用的現象，有人結合今年1月修補的預先身分驗證遠端程式碼執行漏洞CVE-2025-23006（CVSS風險值9.8）加以利用，而能在未經身分驗證的情況下，以root權限遠端執行程式碼。美國網路安全暨基礎設施安全局（CISA）同日警告漏洞已遭利用，將其列入已遭利用的漏洞列表（KEV），限期聯邦機構一週內（12月24日）完成修補。</p> <p>此漏洞由Google威脅情報團隊（GTIG）通報，SonicWall強調漏洞僅影響AMC，不影響防火牆，他們已發布12.4.3-03245與12.5.0-02283版軟體予以修補。若是IT人員無法及時套用新版軟體，應透過限制存取AMC的方式來緩解相關風險，其中包括：僅允許透過VPN或特定的管理IP位址進行SSH連線、禁止從網際網路存取SSL VPN的管理介面，或是進行SSH連線。</p> <p>根據Shadowserver基金會的掃描，全球約有952臺SMA1000設備可從網際網路存取，其中以北美有602臺最多，歐洲和亞洲分別有222臺及127臺，IT人員應儘速採取行動因應。</p> <p><a href="https://www.ithome.com.tw/news/172889"><strong style="font-size: 22px;">勒索軟體Weaxor加入利用React滿分漏洞的行列</strong></a></p> <p>本月初React開發工程團隊修補滿分資安漏洞CVE-2025-55182（React2Shell），不久後就有多組中國國家級駭客用於實際攻擊，接續傳出北韓駭客、殭屍網路，以及挖礦軟體加入利用行列的消息，現在傳出也有勒索軟體運用這個漏洞的情況。</p> <p>企業情報暨風險顧問公司S-RM發現，有基於財務動機犯案的駭客組織對他們客戶下手，企圖部署勒索軟體Weaxor，過程裡使用React2Shell取得初期的存取管道。駭客在12月5日成功入侵後，隨即執行經混淆處理的PowerShell指令，下載Cobalt Strike並部署Beacon，以建立C2通訊。接著，他們停用Windows內建防毒軟體Microsoft Defender的即時防護功能，部署勒索軟體有效酬載。</p> <p>值得留意的是，駭客從成功入侵到執行勒索軟體，僅花了不到一分鐘的時間，這代表所有攻擊流程可能透過自動化執行，此外，他們並未進一步橫向移動到其他內部系統，也沒有竊取資料或是外洩。後續受害主機遭到其他駭客入侵，並部署自己的C2通訊機制，不過，S-RM並未透露這些駭客的身分，也沒有說明相關細節。</p> <p><a href="https://www.ithome.com.tw/news/172901"><strong style="font-size: 22px;">大量React2Shell概念驗證工具出現在GitHub，突顯漏洞極為容易利用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/P0wncHzdfF.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/P0wncHzdfF.jpg" style="width: 300px; float: right;" /></a></p> <p>React開發工程團隊兩週前公布及修補的滿分資安漏洞CVE-2025-55182（React2Shell）引起全球高度關注，不僅公布後數小時就出現實際攻擊行動，特別的是，網路上也出現大量的漏洞利用概念驗證（PoC）程式碼，這樣的情況並不常見。</p> <p>首先公布概念驗證攻擊工具數量規模的研究，是趨勢科技於12月10日發布的調查報告，他們一共識別145個公開的概念驗證攻擊工具，不過品質參差不齊，大部分無法觸發漏洞；後續另一家資安公司VulnCheck公布更詳盡的調查結果，他們在GitHub上總共看到128個概念驗證攻擊工具，並指出已有採用不同程式語言打造的版本。</p> <p>VulnCheck提及，在React開發工程團隊公布漏洞的當天（12月3日），大部分的漏洞利用工具或概念驗證攻擊工具其實都是由AI產生，並未具備利用漏洞的能力，但到了隔天，名為maple3142的開發者發布真正能觸發漏洞的概念驗證攻擊工具，接下來的幾天，有其他研究人員以此進行改良。</p> <p><a href="https://www.ithome.com.tw/news/172890"><strong style="font-size: 22px;">微軟12月安全更新造成IIS伺服器與MSMQ功能無法運作</strong></a></p> <p>微軟昨（17）日公告，本月的安全例行更新（Patch Tuesday），造成Windows 10及舊版Windows Server的IIS及訊息佇列（Message Queuing，MSMQ）失常，出現資源不足的錯誤訊息，微軟正在調查原因。</p> <p>出現問題的更新是KB5071546。部分用戶安裝於Windows機器後，MSMQ無法運作。這問題也影響運作中的叢集MSMQ環境。</p> <p>這問題症狀包括，MSMQ訊息佇列靜止不動、IIS網站無法展開，帶有「執行運作的資源不足」的錯誤訊息、應用程式無法寫入佇列、應用程式撰寫訊息檔案時出現「C:\Windows\System32\msmq\storage*.mq無法建立」的錯誤訊息，以及一些像是「磁碟空間或記憶體不足」的訊息。</p> <p><a href="https://www.ithome.com.tw/news/172841"><strong style="font-size: 22px;">Windows RasMan零時差漏洞恐導致服務中斷，尚無官方修補程式</strong></a></p> <p>資安廠商ACROS Security在研究微軟十月修補的提權（EoP）漏洞CVE-2025-59230時，於遠端存取連線管理員（Remote Access Connection Manager，RasMan）發現新的阻斷服務（DoS）漏洞。</p> <p>這個尚未被指派CVE的漏洞，存在於RasMan服務處理遠端連線管理請求的邏輯中。攻擊者可在本機透過RasMan特定介面，對管理請求中的參數進行特殊組合，觸發服務在處理特定連線或裝置資訊時發生錯誤，導致RasMan服務異常終止。</p> <p>一旦RasMan停止運作，系統的VPN、撥號，或其他遠端連線功能將暫時無法使用，形成阻斷服務的現象。對此，ACROS Security釋出微修補程式（micropatch），為0patch平臺免費及其付費服務用戶提供防護。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/LlOkWGi53Xw?si=B4GZXRbE8VgDwI8z" title="YouTube video player" width="560"></iframe></p> <p><a href="https://www.ithome.com.tw/news/172753"><strong style="font-size: 22px;">駭客濫用GitHub個人存取權杖，竊取Actions機密憑證攻擊雲端控制平面</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1765223463-1_11.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1765223463-1_11.png" style="width: 300px; float: right;" /></a></p> <p>雲端資安業者Wiz揭露多起事件，指出駭客鎖定開發者GitHub個人存取權杖（PAT），再利用GitHub Actions機密憑證取得雲端帳號權限，讓程式碼庫中的權杖外洩升級為企業雲端環境的資安事故。</p> <p>研究人員觀察到，這次分析的多起攻擊案例，多半是從取得一組具備一般開發權限的PAT開始。駭客利用這組權杖呼叫GitHub程式碼搜尋功能，在組織內檢索工作流程檔，從工作流程中Secrets呼叫語法推得正在使用的Actions Secrets名稱。Wiz統計顯示，約73%使用GitHub Actions Secrets的企業會在其中存放雲端服務憑證，讓這一步的偵察直接關聯到雲端環境安全。</p> <p>在掌握Secrets名稱且PAT具備寫入權限時，攻擊者會修改或新增GitHub Actions工作流程，讓惡意程式碼在Runner上執行並使用這些機密憑證。GitHub雖會在工作流程紀錄中自動遮罩Secrets內容，但研究人員指出，實務上已有攻擊者透過編碼或轉送到外部服務等方式繞過保護，取得可直接用於雲端服務的金鑰，甚至在雲端控制平面內建立新的存取憑證，作為長期後門。</p> <p><a href="https://www.ithome.com.tw/news/172775"><strong style="font-size: 22px;">【產品資安實務經驗：威聯通】主動公開與修補CVE弱點，再以漏洞懸賞與安全設計鞏固防線</strong></a></p> <p>談到產品安全與漏洞因應，國內NAS大廠皆相當積極，包括群暉科技、威聯通科技（QNAP），都在2017年加入MITRE的CNA計畫，是臺灣最早可自行指派產品CVE漏洞編號的業者，並藉此建立起與外部資安研究人員更直接的溝通與漏洞揭露管道。</p> <p>從漏洞因應到強化整體產品資安，威聯通科技軟體研發中心暨軟體安全架構部研發經理黃士展表示，他們很早就將NAS視為完整的電腦系統，而非一般網路周邊產品，這促使團隊更早投入資安議題，更關鍵是，他們認知到「漏洞必然存在」，這會是必然要面對的問題。回顧威聯通的產品資安推進歷程，大致可分為四個重要階段。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/hamas-hackers-ashtag-malware-diplomats/">哈瑪斯駭客鎖定中東外交官與政府實體而來，散布惡意軟體AshTag</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/chrome-security-update-fixes-flaws/">Google發布Chrome 143更新，修補高風險WebGPU及V8漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-screenconnect-flaw-cvss-9-1-risks-config-exposure-untrusted-extension-installation/">遠端管理工具ScreenConnect重大漏洞恐曝露敏感組態設定資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/windows-admin-center-flaw-cve-2025-64669-how-a-simple-folder-permission-opened-the-door-to-system-access/">Windows Admin Center存在高風險提權漏洞，問題源自資料夾權限配置不當</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/nvidia-isaac-lab-flaw-enables-remote-code-execution/">Nvidia機器人模擬與開發框架存在反序列化漏洞，攻擊者可發動RCE攻擊</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172883"><strong>【12月17日】MITRE公布最危險的漏洞類型，XSS居冠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172853"><strong>【12月16日】更多中國駭客加入利用React2Shell的行列</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172834"><strong>【12月15日】開發人員在Docker Hub曝露大量憑證，有人將其收集並在地下論壇兜售</strong></a></p> </div></div></div>
2025/12/18 17:32作者周峻佑https://www.ithome.com.tw/news/172902
MIC 2026科技預測：AI投資增加、技術、市場、法規驅動下，邊緣AI硬體滲透率明年將接近2成；低軌衛星全球寬頻用戶…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資策會產業情報研究所(MIC)今天發布2026年十大科技趨勢，預期AI需求持續增加下，帶動對半導體的新製程產能成長、AI伺服器出貨可望增加至450萬臺，由於產業AI運算需求旺盛，將帶動邊緣AI硬體滲透率成長至接近2成，此外，全球低軌衛星寬頻用戶將突破1千萬。</p> <p>MIC資通訊產業科技中心主任林柏齊表示，全球從2022年埋下兩個對科技趨勢影響的重要因子，一個是俄烏戰爭爆發，讓國家或企業提高對強化的韌性的重要性，另一個是ChatGPT問世所帶動的生成式AI浪潮；政府及企業持續投資建構韌性及AI發展，並且延續到2026年。</p> <p>MIC提出2026年的十大科技趨勢，涵蓋AI、無人機、人形機器人、低軌衛星、AI資安攻防、量子運算、資訊服務等面向。</p> <p><span style="color:#B22222;"><strong>AI帶動半導體先進製程、AI伺服器、邊緣運算成長</strong></span></p> <p>首先是AI的發展快速，MIC指出，在半導體產業方面，晶片大廠與CSP業者自研晶片，優先綁定半導體先進製程，半導體市場供應鏈集中於3奈米以下先進製程，使得3奈米以下先進製程產能連續4成年長率超過4成，另外還衍生出國際地緣政、供應鏈風險的相關議題，例如美國在地緣政治風險增加之下，希望獲得更多晶片產能。</p> <p>AI的需求不僅影響晶片產能，也在大型雲端服務商、新創及各國爭相發展主權AI下，擴大資料中心、採用外部AI算力服務，推升AI伺服器出貨，MIC預期AI伺服器出貨將可達到450萬臺，占整體1,500萬臺伺服器出貨約3成比重，也為臺灣廠商帶來市場商機。</p> <p>除了資料中心、雲端的AI算力需求增加，在企業營運、生產的邊緣端，由於邊緣AI晶片算力不斷增加，中小AI模型精度提升，大幅改善邊緣端AI技術發展，另方面，垂直產業如製造、醫療對高效能、低延遲AI應用需求浮現，其他還有整體邊緣運算市場成長、法規面對隱私、AI主權的興起，也帶動邊緣AI的需求。</p> <p>MIC特別提到在AI 邊緣運算中興起的AI Box，其AI Box定義為採用GPU、NPU、ASIC，適用於產業地端推論的硬體，AI Box包括高中低階的算力產品，例如Nvidia推出的高階AI Box產品DGX Spark，強調邊緣端運用強大AI推論算力，還有原本研華、凌華等IPC工業電腦業者推出的中階算力AI Box產品，以及耐能等新創業者自研NPU晶片推出的中低階AI Box。</p> <p>林柏齊指出，在AI晶片算力提升、中小模型等條件促成下，以及全球地緣政治緊張，生產進入全球布局，也會帶動邊緣AI硬體滲透率提升，預估2026年將在整體邊緣硬體產品占比接近2成。</p> <p>在消費端產品上，相較於AI PC、AI手機受到記憶體漲價，缺乏較大的市場成長驅動力；MIC看好AI智慧眼鏡出貨增加，特別是已推出3款眼鏡的Meta，以及1款眼鏡的Google，Google著眼於Android XR生態系，運用Android生態系扶植AI眼鏡，其他還有Samsung、Vivo、華為等手機品牌也推出相關產品，AI眼鏡市場將大幅增長，MIC預估智慧眼鏡出貨量可達到950萬副。</p> <p><span style="color:#B22222;"><strong>AI帶動資安及資服市場成長</strong></span></p> <p>另外，AI也對企業資安市場帶來影響，對於攻防兩端的競逐，MIC看好相關資安產值將增加12%。MIC認為企業對於即時偵測、自動化應變的資安產品需求增加，包括事前、事中、事後的AI資安產品，過去仰賴資安人力處理對抗資安攻擊，林柏齊指出，過去仰賴人力的資安對抗會愈來愈沒有效力，資安導入AI技術將變得愈來愈重要。</p> <p>此外，MIC預期AI資安需求增加，將使得代管服務、攻防自動化與模型驗證成為企業必備，連帶推升臺灣的資安市場成長；MIC預期臺灣的資安產值將從2025年的604億元，成長到2027年的749億元。</p> <p>在資訊服務方面，根據MIC的調查，我國企業投資AI家數比重，整體而言，從2024年的16.8%提高到2025年的24.4%，如果含影子AI則提高至34%，顯示企業對於AI投資的興趣大增，而從產業別來看，金融業比重從35.2%提高到49.1%，近半數金融業投資AI，為產業中最高者，其次是營建業從23.3%提高到30%，製造業從14.4%提高至23%。</p> <p>進一步細看企業的AI應用工具類型占比，其中以文字生成最高，占比達89.6%，其次是企業AI平臺(17.9%)、程式碼生成(16.4%)、決策式AI(14.2%)等等。</p> <p>MIC認為企業這波AI投資，由於企業自身IT能量有限，透過資服業者導入AI應用，將使得資服產業營收上看7,200億元，資服產業商機。。</p> <p><strong><span style="color:#B22222;">俄烏戰爭提高對無人機的需求、通訊韌性的重視</span></strong></p> <p>而俄烏戰爭的爆發，提高各國對軍事無人機的投資，例如美國要投入10億美元採購30萬架低成本單程攻擊無人機、日本也以2026年投入1000億日圓部署國防無人機，臺灣也準備2026年到2027年投入500億台幣採購軍用商規無人機，無人機全球市場規模上看250億美元。</p> <p>另一個受到戰爭啟發的則是衛星通訊建立的韌性。林柏齊指出，在Starlink、Amazon Leo、OneWeb等積極增加低軌衛星數量下，今年估計已有1萬顆衛星，2026年在更多服務商加入下，將達到近1.2萬顆，服務超過1,000萬寬頻用戶。而隨著低軌衛星數量增加，服務涵蓋地區擴大，過去低軌衛星通訊被視為備援，但是在偏鄉或新興市場已成為主要通訊選項，例如美國政府的寬頻補助計畫，衛星已成為第二大補助的寬頻技術。</p> <p>其他2026年科技趨勢還有預期量子電腦在2026年進入商業驗證，促成量子及AI應用的大量出現，以及人形機器人在技術發展，科技巨頭及各國競相投資下，2030年人形機器人出貨可望達到百萬臺。</p> </div></div></div>
2025/12/18 18:52作者蘇文彬https://www.ithome.com.tw/news/172908
大量React2Shell概念驗證工具出現在GitHub，突顯漏洞極為容易利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>React開發工程團隊兩週前公布及修補的滿分資安漏洞CVE-2025-55182（React2Shell）引起全球高度關注，不僅公布後數小時就出現實際攻擊行動，特別的是，網路上也出現大量的漏洞利用概念驗證（PoC）程式碼，這樣的情況並不常見。</p> <p>其實，<strong><a href="https://www.ithome.com.tw/news/172651">最早揭露攻擊行動的雲端業者AWS</a></strong>就曾提及這種現象，因為他們當時不僅看到許多駭客使用能公開取得、但實際上無法觸發漏洞的概念驗證程式嘗試攻擊，也在GitHub上面，看到許多對漏洞理解錯誤的概念驗證程式碼，認為駭客選擇以快速攻擊為策略，並非經過徹底測試才正式上場。不過，對於有多少概念驗證工具出現，當時AWS並未進一步說明。</p> <p>首先公布概念驗證攻擊工具數量規模的研究，是趨勢科技於12月10日發布的調查報告，<strong><a href="https://www.trendmicro.com/en_us/research/25/l/CVE-2025-55182-analysis-poc-itw.html">他們一共識別145個公開的概念驗證攻擊工具</a></strong>，不過品質參差不齊，大部分無法觸發漏洞；後續<strong><a href="https://www.vulncheck.com/blog/react2shell-github">另一家資安公司VulnCheck公布更詳盡的調查結果</a></strong>，他們在GitHub上總共看到128個概念驗證攻擊工具，並指出已有採用不同程式語言打造的版本。</p> <p>VulnCheck提及，在React開發工程團隊公布漏洞的當天（12月3日），大部分的漏洞利用工具或概念驗證攻擊工具其實都是由AI產生，並未具備利用漏洞的能力，但到了隔天，名為maple3142的開發者發布真正能觸發漏洞的概念驗證攻擊工具，接下來的幾天，有其他研究人員以此進行改良。</p> <p>要逐一驗證一百多個工具都確實具備開發者標榜的功能，並不容易。VulnCheck根據這些概念驗證工具在GitHub取得的星星數量當作指標，結果發現，72個工具未得到星星，21個得到一顆星。得到最多星星的工具，是其中一個最早公開的專案，後續研究人員提供了完整的說明與以Python打造的工具，該專案得到1120顆星（現有1258個）。</p> <p>得到次多肯定的有787個星（現有927個），研究人員使用Google開發的掃描工具Tsunami Security Scanner，打造3種JavaScript漏洞利用工具。</p> <p>第三熱門的工具有238個星（現為256個），研究人員採用bash打造簡易的命令列工具，標榜能在Next.js應用程式偵測及利用React2Shell。</p> <p>由於上述3款最熱門的概念驗證工具採用的程式語言完全不同，這可能意謂著底層漏洞React2Shell相當容易利用，偏好不同語言的開發者，都能以自己慣用的程式語言實作概念驗證工具。而根據開發者使用的程式語言，Python最大宗，但也有使用JavaScript、Shell、Go語言、TypeScript、Lua、Rust，以及Perl的情況，其中最特別的部分，是有人將相關工具打包成Docker環境的相關檔案：Dockerfile與docker-compose，用途是建立存在弱點的環境。VulnCheck指出，雖然這種檔案無法直接觸發漏洞，進行遠端程式碼執行（RCE）攻擊，因此，並非傳統意義上的漏洞利用工具，但能用於檢測弱點。</p> </div></div></div>
2025/12/18 17:24作者周峻佑https://www.ithome.com.tw/news/172901
OpenShift GitOps存在重大提權漏洞，多租戶叢集恐遭跨命名空間接管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Red Hat<a href="https://access.redhat.com/security/cve/cve-2025-13888">公開</a>OpenShift GitOps重大提權弱點CVE-2025-13888，指出在既有權限條件下，攻擊者可能突破命名空間隔離並擴張授權範圍，最嚴重導致叢集層級接管。此風險在多租戶或分權管理環境特別高，Red Hat已釋出對應分支更新並建議升級後檢視相關權限綁定。</p> <p>該漏洞由Red Hat提供CVSS 3.1基礎分數9.1，在NVD被列為Critical，攻擊者雖需具備較高既有權限，但一旦成功，影響會跨越原本授權範圍並對機密性、完整性與可用性造成高衝擊。 </p> <p>根據<a href="https://bugzilla.redhat.com/show_bug.cgi?id=2418361">Bugzilla的漏洞描述</a>，問題核心在於OpenShift GitOps運算子處理ArgoCD自訂資源的方式，導致命名空間隔離可能被繞過。回報內容指出，只要使用者在自己可管理的命名空間內，具備建立ArgoCD自訂資源的權限，就可能透過設定讓運算子接管其他命名空間的部分管理關係，進而在目標命名空間建立對應的權限綁定。當目標命名空間本身具備較寬鬆或特權的安全性內容限制條件SCC（Security Context Constraints）時，該權限路徑便可能被放大，成為叢集層級接管的跳板。 </p> <p>該漏洞打破了多人共用叢集時仰賴的命名空間隔離。在不少企業使用情境中，平臺團隊會讓應用團隊擁有各自命名空間的管理權，並以GitOps工具協助部署與維運，而一旦命名空間層級的管理者能透過平臺元件取得跨命名空間的額外權限，實務上就會把原本用來分工的界線變成風險邊界。 </p> <p>針對修補進度，NVD的<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-13888">參考連結</a>已列出Red Hat在2025-12-15發布的多份安全公告，對應OpenShift GitOps不同分支版本。Red Hat發布的RHSA安全公告指出，OpenShift GitOps已分別推出v1.18.2、v1.17.3與v1.16.5的安全更新，且各公告的CVE清單均納入CVE-2025-13888。 </p> <p>Red Hat在v1.18.2與v1.16.5等公告中，也特別標註升級後需採取的動作，建議管理者執行稽核腳本檢視命名空間層級的Role與RoleBinding，確認僅有預期的命名空間具備跨命名空間存取權，並點出這類綁定可能是由.spec.sourceNamespaces等功能所建立，也就是說，漏洞修補不只需更新映像檔，也需要確認既有權限綁定是否已被過度放大或留下不符合現況的授權。</p> </div></div></div>
2025/12/18 17:27作者李建興https://www.ithome.com.tw/news/172900
SonicWall旗下VPN設備的管理主控臺存在零時差漏洞，已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>最近一年，勒索軟體駭客鎖定SonicWall防火牆的SSL VPN功能下手，利用資安漏洞作為入侵受害企業組織的管道，如今有人針對VPN專用設備的特定元件漏洞而來，用於實際攻擊行動。</p> <p>12月17日防火牆製造商SonicWall發布資安公告，指出SSL VPN系統SMA1000的設備管理主控臺（Appliance Management Console，AMC）<strong><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0019">存在中度風險的本機權限提升漏洞</a></strong>，此漏洞登記為CVE-2025-40602列管，起因是授權不夠完備造成，CVSS風險為6.6分。值得留意的是，該公司已掌握漏洞遭到利用的現象，有人結合<strong><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0002">今年1月修補的預先身分驗證遠端程式碼執行漏洞CVE-2025-23006</a></strong>（CVSS風險值9.8）加以利用，而能在未經身分驗證的情況下，以root權限遠端執行程式碼。美國網路安全暨基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2025/12/17/cisa-adds-three-known-exploited-vulnerabilities-catalog">同日警告漏洞已遭利用</a></strong>，將其列入已遭利用的漏洞列表（KEV），限期聯邦機構一週內（12月24日）完成修補。</p> <p>此漏洞由Google威脅情報團隊（GTIG）通報，SonicWall強調漏洞僅影響AMC，不影響防火牆，他們已發布12.4.3-03245與12.5.0-02283版軟體予以修補。若是IT人員無法及時套用新版軟體，應透過限制存取AMC的方式來緩解相關風險，其中包括：僅允許透過VPN或特定的管理IP位址進行SSH連線、禁止從網際網路存取SSL VPN的管理介面，或是進行SSH連線。</p> <p>根據<strong><a href="https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=7&vendor=ivanti&model=epm&dataset=count&limit=100&group_by=geo&stacking=stacked">Shadowserver基金會的掃描</a></strong>，全球約有952臺SMA1000設備可從網際網路存取，其中以北美有602臺最多，歐洲和亞洲分別有222臺及127臺，IT人員應儘速採取行動因應。</p> <p>回顧過去，駭客針對SonicWall旗下資安設備從事攻擊的情況，不時傳出。7月下旬，勒索軟體Akira鎖定SonicWall防火牆SSL VPN已知重大漏洞CVE-2024-40766從事攻擊，引起資安公司<strong><a href="https://www.ithome.com.tw/news/170409">Arctic Wolf</a></strong>、Rapid7，以及<strong><a href="https://www.ithome.com.tw/news/171147">澳洲網路安全中心（ACSC）</a></strong>提出警告；9月份防火牆組態備份服務MySonicWall發生資料外洩事故，<strong><a href="https://www.ithome.com.tw/news/172080">SonicWall確認攻擊者是國家級駭客</a></strong>。</p> </div></div></div>
2025/12/18 12:16作者周峻佑https://www.ithome.com.tw/news/172891
思科電子郵件閘道與網頁安全閘道存在滿分零時差漏洞，中國駭客已用於部署後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科的網路設備與資安設備，廣泛受到企業組織採用，一旦出現資安漏洞，很容易吸引大家關注，最近一年該公司公布多項旗下產品的重大漏洞，其中有許多出現實際攻擊行動而成為焦點。如今又有CVSS風險達到滿分的零時差漏洞，出現遭到利用的情形。</p> <p>12月17日思科發布資安公告，指出旗下執行作業系統AsyncOS的資安設備<strong><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sma-attack-N9bf4">存在重大漏洞CVE-2025-20393</a></strong>，此漏洞允許攻擊者使用root權限，於作業系統底層執行任何指令，CVSS風險達到滿分10分，影響該公司郵件閘道設備Secure Email Gateway，以及郵件暨網頁安全閘道Secure Email and Web Manager。值得留意的是，他們提及中國駭客組織UAT-9686已用於實際攻擊，積極針對上述兩種資安設備下手，植入能長期存取的隱密通道，而能遠端存取受害設備，呼籲IT人員儘速採取行動因應。</p> <p>無論實體或虛擬型態的閘道設備，以及任何版本的AsyncOS，都可能曝露於上述漏洞的資安風險當中。不過，思科提及該漏洞的形成須滿足一定條件，首先，就是閘道器啟用垃圾郵件隔離區的功能，再者，該功能可透過網際網路存取。對此，他們呼籲IT人員，應確認該功能是否啟用，以判斷是否存在相關風險。思科提及，他們確認雲端版郵件安全閘道Cisco Secure Email Cloud不受影響，目前網頁安全閘道Cisco Secure Web未出現漏洞利用活動的跡象。不過，該公司並未針對漏洞發布軟體更新。</p> <p>關於CVE-2025-20393如何被利用，<strong><a href="https://blog.talosintelligence.com/uat-9686/">思科旗下的威脅情報團隊Talos發布調查報告指出</a></strong>，他們在12月10日察覺UAT-9686的活動，駭客針對執行AsyncOS的資安設備下手，利用漏洞執行系統層級的指令，部署基於Python的後門程式AquaShell，此外，他們也部署隧道工具AquaTunnel和Chisel，以及竄改事件記錄工具AquaPurge。</p> <p>經過Talos比對戰術、手法與流程（TTP），以及基礎設施和攻擊標的，他們發現UAT-9686與其他中國國家級駭客重疊。由於該組織採用的AquaTunnel，也與APT41和UNC5174等組織的手法相符，因此他們研判，UAT-9686可能來自中國。</p> <p>回顧今年，思科公布多個風險值達到滿分的資安漏洞，例如，在今年6月底至7月初，他們修補網路存取控制（NAC）平臺Identity Services Engine（ISE），以及ISE被動身分識別連接器（ISE Passive Identity Connector，ISE-PIC）的滿分漏洞<strong><a href="https://www.ithome.com.tw/news/169766">CVE-2025-20281、CVE-2025-20282</a></strong>，以及<strong><a href="https://www.ithome.com.tw/news/170123">CVE-2025-20337</a></strong>；7月初該公司針對旗下整合通訊管理平臺Unified Communications Manager（Unified CM，或縮寫成CUCM），<strong><a href="https://www.ithome.com.tw/news/169862">修補CVE-2025-20309</a></strong>。</p> </div></div></div>
2025/12/18 15:31作者周峻佑https://www.ithome.com.tw/news/172897
OpenAI開放開發者送審ChatGPT內第三方App，上架後將可在目錄被搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI<a href="https://openai.com/index/developers-can-now-submit-apps-to-chatgpt/">開放</a>開發者提交ChatGPT內第三方應用程式（ChatGPT App）送審，通過審核後可在ChatGPT內發布，並由使用者透過新上線的內建App目錄搜尋與探索。OpenAI表示，App可在對話中引入額外情境並執行動作，例如協助下單採買雜貨，將大綱轉為簡報或是協助找房等。 </p> <p>當使用者連結特定App後，可在對話中用@提及App名稱觸發，也可從工具選單手動選用。OpenAI同時透露正在測試，依對話脈絡、App使用型態與使用者偏好等訊號，在對話中建議可能有幫助的App，並提供更清楚的回饋管道。 </p> <p>針對開發者端，OpenAI強調應以對話為核心設計體驗，並提供仍處於測試版的Apps SDK作為開發工具。官方也整理多項資源，包括打造高品質App的最佳實務、開源範例、開源的介面函式庫，以及快速入門指南與開發者資源中心，助開發者完成設計與實作。</p> <p>OpenAI表示，開發者可在OpenAI Developer Platform提交App並追蹤審核進度。送審資料將包含模型情境協定MCP的連線資訊、測試指引、目錄所需的中繼資料，以及上架地區設定。OpenAI並說明，第一批通過審核的App預計在明年起逐步推出。 </p> <p>由於目前仍在前期階段，僅先允許開發者從App連結到自家網站或原生App，完成實體商品交易，至於更完整的變現方式，OpenAI坦言仍在探索中，未承諾明確時程，並提到包含數位商品等方向會在後續分享。 </p> <p>OpenAI要求所有開發者遵循提交規範中關於安全、隱私與透明度的要求，App需符合OpenAI使用政策，並在存取第三方內容時遵守對方服務條款。同時，開發者必須在每次送審時提供清楚的隱私政策，且只能索取讓App運作所需的最低限度資訊。當使用者連結新的App時，ChatGPT會揭露可能分享給第三方的資料類型，並提供隱私政策供檢視。使用者也可隨時解除連結，一旦解除，App將立即失去存取權限。</p> <p>該功能讓ChatGPT的第三方整合，從先前以示範與有限合作夥伴為主的階段，進入可送審、上架並在目錄中被搜尋與探索的機制。OpenAI在公告中指出，開發者即日起可依照規範送審App，使用者則可在ChatGPT工具選單中找到App目錄，或直接前往chatgpt.com/apps瀏覽。 </p> </div></div></div>
2025/12/18 14:20作者李建興https://www.ithome.com.tw/news/172894
Coursera與Udemy宣布合併，打造AI時代全球技能學習平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國線上學習平臺Coursera及Udemy周三（12/17）宣布，<a href="https://investor.coursera.com/news/news-details/2025/Coursera-to-Combine-with-Udemy-to-Empower-the-Global-Workforce-with-Skills-for-the-AI-Era/default.aspx" target="_blank">雙方已簽署最終合併協議</a>，將以全股票方式合併。交易完成後將以Coursera作為存續公司，並持續於紐約股市交易。</p> <p>Coursera是2012年由Andrew Ng與Daphne Koller兩位史丹佛大學電腦科學教授共同於加州創辦，最早是以大規模開放線上課程（Massive Open Online Course，MOOC）問世，將頂尖大學課程搬上網路。隨後從單一課程平臺擴大至涵蓋課程、專項證書、專業證照與線上學位的完整學習生態，合作對象包括超過375所大學與產業夥伴，也逐漸商業化。目前Coursera提供超過1.5萬門課程，約有逾300門課程是免費的。</p> <p>至於Udemy則現身於2010年，一開始就定位為開放式線上技能市集，任何專業人士都能於該平臺自行開課，內容高度貼近實務及市場需求，強調即學即用與快速更新，有超過8.5萬名講師提供逾25萬種課程。</p> <p>Coursera執行長Greg Hart指出，AI正重新定義各行各業所需的技能，全球的個人與組織都需要一個足夠敏捷的學習平臺。透過結合Coursera與Udemy高度互補的優勢，合併後公司將加快創新速度，並為學習者、企業、學校與政府客戶提供更具價值的學習體驗與成果。</p> <p>在Coursera的<a href="https://investor.coursera.com/news/news-details/2025/Coursera-Reports-Third-Quarter-2025-Financial-Results/default.aspx" target="_blank">第三季財報</a>中，該季Coursera創下1.94億美元的營收，成長10%，其中，消費者部門占了1.3億美元（67%），成長13%，企業部門占了6,390萬美元（33%），成長6%，淨虧損為860萬美元，少於去年同期的1,370萬美元虧損。</p> <p>至於Udemy<a href="https://investors.udemy.com/news-releases/news-release-details/udemy-reports-third-quarter-2025-results" target="_blank">今年第三季</a>則創下1.957億美元的營收，與去年同期相當，其中，企業端營收占了1.33億美元（68%），成長5%，消費者端則占了6,287萬美元（32%），下滑9%。</p> <p>從營收結構與產品定位來看，Coursera偏向學位與證書導向的制度型學習，而Udemy則以企業訂閱與即用型技能訓練見長，形成明顯互補。</p> <p>根據雙方的協議，Udemy股東每持有一股Udemy普通股，將可換得0.8股的Coursera普通股，交易完成後，Coursera股東將持有合併後公司的59%股權，Udemy股東則持有新公司的41%股權。雙方董事會已通過該協議，預計於2026年下半年完成交易。消息曝光的當天，Coursera股價下滑1.26%，以7.84美元作收，Udemy股價上漲了12.66%，收在6.05美元。</p> </div></div></div>
2025/12/18 15:14作者陳曉莉https://www.ithome.com.tw/news/172896
Opal進駐Gemini，成為Gem建置工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/technology/google-labs/mini-apps-opal-gemini-app-experiment/" target="_blank">Google周三（12/17）宣布</a>，已將用來建置AI迷你應用的Opal工具整合至Gemini網頁版，讓使用者可透過Opal建立AI助理Gem。</p> <p>Opal是Google Labs於2025年7月發表的<a href="https://developers.googleblog.com/introducing-opal/" target="_blank">無程式碼AI應用建置工具</a>，定位為「AI流程與迷你應用的編排層」，可將一連串AI指令整理成固定流程，封裝為可重複使用的AI迷你應用。Google最初為Opal設置獨立入口網站（opal.google），讓使用者以視覺化方式串接提示、模型與工具，但並未揭露其背後實際的模型存取與執行細節。</p> <p>Gems則是Google在Gemini中推出的客製化AI助理機制，讓使用者能依特定任務、情境或工作習慣，建立可重複使用的專屬AI專家。其核心在於將使用者反覆輸入的指令與偏好固定下來，形成一個可長期呼叫的AI角色。</p> <p>Google本周將Opal整合至Gemini網頁版後，Gems的建立方式也隨之升級。使用者只要進入Gemini網頁，從側邊欄開啟Gems管理器並選擇以Opal建立Gem，Opal便會以內嵌方式啟動。使用者可直接用文字描述所要完成的任務，Opal會自動將描述拆解為多個步驟，並允許逐步編輯提示內容與流程順序。</p> <p>使用者亦可在畫面中調整各步驟邏輯而無需撰寫程式碼，若需進階控制，則可切換至opal.google的進階編輯介面。流程儲存後即會成為一個Gem，之後可在Gemini對話中直接選擇並反覆套用同一套AI流程。</p> </div></div></div>
2025/12/18 13:29作者陳曉莉https://www.ithome.com.tw/news/172893
YouTube獲得奧斯卡獎的全球獨家轉播權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國電影藝術與科學學院（The Academy of Motion Picture Arts and Sciences，The Academy）周三（12/17）<a href="https://press.oscars.org/news/academy-partners-youtube-exclusive-global-rights-oscarsr-and-other-academy-content-starting）及YouTube（https://blog.youtube/news-and-events/hollywoods-biggest-night-is-coming-to-youtube/" target="_blank">簽署一項合作協議</a>，YouTube自2029年起將獲得奧斯卡金像獎（Oscars）的全球獨家轉播權，從2029年的第101屆開始，一直持續至2033年。</p> <p>成立於1927年的The Academy是一個由電影專業人士組成的非營利組織，並於1929年創立奧斯卡金像獎，成為全球最具影響力的電影獎項，旨在表彰電影藝術與技術上的卓越成就。奧斯卡長期採取傳統電視網轉播模式，在美國自1976年起由ABC負責播出，現行合約將於2028年到期；國際市場則由迪士尼旗下的Buena Vista International負責發行與授權。此次The Academy決定將美國與全球的奧斯卡轉播權全面交由YouTube，也象徵奧斯卡首次以數位平臺作為核心發布管道。</p> <p>根據合作內容，奧斯卡金像獎頒獎典禮將在全球於YouTube免費直播，美國觀眾則可同時透過Google於當地推出的付費線上電視服務YouTube TV收看，內容涵蓋紅毯、幕後花絮與州長舞會等延伸活動。此外，The Academy的多項官方活動也將透過奧斯卡YouTube頻道獨家提供，包括州長獎、入圍名單公布、入圍者午宴、學生奧斯卡，以及會員與電影人訪談與Podcast等。</p> <p>The Academy亦將與Google Arts & Culture合作，推動部分奧斯卡電影博物館展覽、教育計畫與學院典藏的數位化。該典藏規模超過5,200萬件，是全球最大的電影相關收藏之一，內容涵蓋電影拷貝、劇本、服裝、道具、照片與技術資料，並將提供全球使用者存取。</p> <p>The Academy執行長Bill Kramer與主席Lynette Howell Taylor表示，這項多層面的全球合作將使YouTube成為奧斯卡金像獎及學院全年節目的主要平臺，讓The Academy得以觸及前所未有的觀眾規模，並為奧斯卡與其他學院節目帶來新的互動形式。</p> <p><a href="https://www.reuters.com/business/media-telecom/oscar-awards-be-streamed-exclusively-youtube-2029-2025-12-17/" target="_blank">路透社（Reuters）指出</a>，奧斯卡近年在傳統電視上的收視率持續下滑，在觀眾逐步轉向串流平臺的趨勢下，The Academy決定自2029年起改由YouTube全球獨家播出，被外界視為這是因應觀眾觀看行為改變的結果。</p> </div></div></div>
2025/12/18 13:49作者陳曉莉https://www.ithome.com.tw/news/172895
汽車零件大廠LKQ通報Oracle EBS資料外洩影響近萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國汽車零件大廠大豪<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/0f46ebfd-5508-426d-88f9-3ad07e6ef483.html" target="_blank">（LKQ）本周向主管機關通報</a>Oracle E-Business Suite（EBS）遭駭，外洩將近一萬人個資。</p> <p>LKQ是Cl0p勒索軟體駭客於網上公布的受害者清單的知名企業之一。Cl0p駭客10月<a href="https://www.dexpose.io/clop-ransomware-strikes-lkq-corporation/" target="_blank">揚言</a>要公開這家汽車元件廠的資料。</p> <p>根據LKQ向緬因州檢察長辦公室提交的文件，該公司在甲骨文9月份公布零時差漏洞後，於10月3日在第三方資安鑑識業者協助下展開調查，發現資料外洩事件，時間點落在9月8日。LKQ一察覺此事隨即切斷系統連線。LKQ相信沒有Oracle EBS以外的系統環境受影響。</p> <p>LKQ團隊於12月1日完成分析，他們判斷Oracle EBS中的LKQ獨資供貨商資料遭到存取。受影響總人數為9,070人。外洩資料類型包含僱主識別碼（Employer Identification Number）或社會安全碼。該公司也在本周通知受影響的個人。</p> <p>去年11月LKQ也<a href="https://www.bleepingcomputer.com/news/security/auto-parts-giant-lkq-says-cyberattack-disrupted-canadian-business-unit/" target="_blank">遭到網路攻擊</a>，導致加拿大分公司運作中斷。但攻擊者是否為勒索軟體不得而知。</p> </div></div></div>
2025/12/18 13:07作者林妍溱https://www.ithome.com.tw/news/172892
勒索軟體Weaxor加入利用React滿分漏洞的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本月初React開發工程團隊修補滿分資安漏洞CVE-2025-55182（<a href="https://www.ithome.com.tw/tags/react2shell">React2Shell</a>），不久後就有<strong><a href="https://www.ithome.com.tw/news/172651">多組中國國家級駭客</a></strong>用於實際攻擊，接續傳出<strong><a href="https://www.ithome.com.tw/news/172743">北韓駭客</a></strong>、<strong><a href="https://www.ithome.com.tw/news/172683">殭屍網路</a></strong>，以及<strong><a href="https://www.ithome.com.tw/news/172756">挖礦軟體</a></strong>加入利用行列的消息，現在傳出也有勒索軟體運用這個漏洞的情況。</p> <p>企業情報暨風險顧問公司S-RM發現，有基於財務動機犯案的駭客組織對他們客戶下手，<strong><a href="https://www.s-rminform.com/latest-thinking/react2shell-used-as-initial-access-vector-for-weaxor-ransomware-deployment">企圖部署勒索軟體Weaxor</a></strong>，過程裡使用React2Shell取得初期的存取管道。駭客在12月5日成功入侵後，隨即執行經混淆處理的PowerShell指令，下載Cobalt Strike並部署Beacon，以建立C2通訊。接著，他們停用內建防毒Microsoft Defender的即時防護功能，部署勒索軟體有效酬載。</p> <p>值得留意的是，駭客從成功入侵到執行勒索軟體，僅花了不到一分鐘的時間，這代表所有攻擊流程可能透過自動化執行，此外，他們並未進一步橫向移動到其他內部系統，也沒有竊取資料或是外洩。後續受害主機遭到其他駭客入侵，並部署自己的C2通訊機制，不過，S-RM並未透露這些駭客的身分，也沒有說明相關細節。</p> <p>針對Weaxor的來歷，S-RM指出此為去年出現的勒索軟體，很可能是勒索軟體Mallox改名而成。儘管Mallox曾以租用服務（Ransomware-as-a-Service）提供買家運用，不過，Weaxor並未採用這種型態的經營模式，使用此勒索軟體的駭客，通常會鎖定能透過網際網路存取的網頁伺服器發動攻擊。</p> </div></div></div>
2025/12/18 10:55作者周峻佑https://www.ithome.com.tw/news/172889
微軟12月安全更新造成Windows 10 PC、舊版Server IIS、MQ功能無法運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://learn.microsoft.com/en-gb/windows/release-health/status-windows-10-22h2#message-queuing--msmq--might-fail-with-the-december-2025-windows-security-update" target="_blank">微軟昨（17）日公告</a>，本月的安全更新，造成Windows 10及舊版Windows Server的IIS及訊息佇列（Message Queuing，MSMQ）失常，出現資源不足錯誤訊息，微軟正在調查原因。</p> <p>出現問題的是Patch Tuesday中釋出的KB5071546。部分用戶安裝於Windows機器後，MSMQ無法運作。這問題也影響運作中的叢集MSMQ環境。</p> <p>這問題症狀包括，MSMQ訊息佇列靜止不動、IIS網站無法展開，帶有「執行運作的資源不足」的錯誤訊息、應用程式無法寫入佇列、應用程式撰寫訊息檔案時出現「C:\Windows\System32\msmq\storage*.mq無法建立」的錯誤訊息，以及一些誤導log像是「磁碟空間或記憶體不足」，但事實並非如此。</p> <p>微軟推測原因可能是，近日該公司對MSMQ安全模型及C:\Windows\System32\MSMQ\storage資料夾NTFS權限進行的變更所致。MSMQ用戶現在必須具備寫入權限才能存取，通常只有管理員才符合資格。因此如果用戶企圖透過MSMQ API傳送訊息，將觸發上述資源不足的錯誤。</p> <p>這問題主要影響企業或託管的IT環境，一般使用Windows Home或Pro版的個人用戶碰到這的機會很低。</p> <p>受影響的Windows平臺涵括用戶端及伺服器端。用戶端包含Windows 10 1607、1809、Windows 10 21H2、22H2。伺服器端則有Windows Server 2012/2012 R2、2016及2019。</p> <p>微軟目前提供暫時性解法，但用戶必須<a href="https://support.serviceshub.microsoft.com/supportforbusiness/onboarding" target="_blank">聯絡</a>微軟支援團隊。該公司已著手調查，表示會儘快提供進一步資訊。</p> </div></div></div>
2025/12/18 11:28作者林妍溱https://www.ithome.com.tw/news/172890
Google發表Gemini 3 Flash模型比2.5 Pro還強大、更有效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在上個月發表<a href="https://www.ithome.com.tw/news/172349" target="_blank">Gemini 3</a>，以及OpenAI公布GPT 5.2、<a href="https://www.ithome.com.tw/news/172861" target="_blank">GPT Image 1.5</a>後，Google周三（12/17）<a href="https://blog.google/products/gemini/gemini-3-flash/" target="_blank">宣布Gemini 3 Flash</a>版本，強調高效能、且在多項測試中比Gemini 2.5 Pro還強、更有效率。現在已可在Gemini App使用。</p> <p>Google說，剛剛推出的Gemini 3在複雜推理、多模態及視覺理解能力展現極高效能，Gemini 3 Flash保留這項優點為基礎，並整合Gemini 3 Pro等級的推理、以及Flash系列的低延遲性、效率及成本效益。它不只能支援日常任務，也是代理式工作流程「最令人印象深刻」的模型。</p> <p>現在開發人員可以經由Google AI Studio、Gemini CLI、代理人開發平臺Google Antigravity的Gemini API使用Gemini 3 Flash（目前為gemini-3-flash-preview）。一般用戶可在Gemini App及Google搜尋的AI模式使用。而大型企業則能經由Vertex AI及Gemini Enterprise存取最新Flash模型。</p> <p>高效能是Gemini 3 Flash的主打特色。在Artificial Analysis的標竿測試中，Gemini 3 Flash速度是2.5 Pro的3倍。但另一方面，Google也強調輕巧並不減損博士級的推理和知識能力。例如在GPQA Diamond（90.4%）及Human’s Last Exam（33.7%）以及AIME 2025、MMMU-Pro等測試的成績，都超越Gemini 2.5 Pro，幾乎匹敵Gemini 3 Pro。在長文本推理、視覺理解能力測試都具備高水準表現。</p> <p>Gemini 3 Flash還能平衡思考品質和成本、速度。在最高思維等級運行時，Gemini 3 Flash可調整思維方式，複雜性較高的任務中能思考比較久，而在一般任務中，Gemini 3 Flash使用的token平均較2.5 Pro少30% 。</p> <p>在開發效益上，Google說，Gemini 3 Flash的推理、工具使用及多模態能力可協助複雜影像分析、資料擷取和視覺QA，可支援遊戲輔助或A/B測試實驗。Gemini 3 Flash在SWE-bench Verified、和T2 Bench代理人對話智能測試和Gemini 3 Pro相近，Toolathon軟工測試甚至也超越GPT 5.2。</p> <p>價格而言，Gemini 3 Flash每百萬token的輸入/輸出價為0.5/3美元，比<a href="https://ai.google.dev/gemini-api/docs/pricing?hl=zh-tw#gemini-2.5-flash" target="_blank">2.5 Flash</a>（0.3/2.5）高，聲音輸入則同為1美元。</p> <p>現在知名開發商JetBrains、Figma及投資公司橋水基金（Bridgewater Associates）已經採用了Gemini 3 Flash。</p> <p>在個人用戶方面，Gemini 3 Flash現在已取代2.5 Flash成為Gemini App的預設模型，也開始部署到Search的AI模式，推向一般用戶。</p> </div></div></div>
2025/12/18 10:25作者林妍溱https://www.ithome.com.tw/news/172888
Meta發表SAM Audio模型以多模態提示分離指定聲源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta發表其最新音訊分離模型<a href="https://ai.meta.com/blog/sam-audio/">SAM Audio</a>，主打以提示方式從混合音訊中抽離特定音源，並支援文字提示、畫面點選與時間區段標記3種互動。Meta表示，SAM Audio與其背後的技術引擎PE-AV（Perception Encoder Audiovisual）即日起提供使用，同時也把SAM Audio放進Segment Anything Playground，讓用戶可直接選用平臺素材或上傳自己的影音內容操作。另外，Meta也提供模型下載，模型權重則需申請存取。</p> <p>SAM Audio提供3種提示，對應不同素材與工作情境。文字提示適合直接描述目標聲音，例如輸入狗叫聲或歌聲來抽取聲源。視覺提示則針對影音內容，使用者可在影片畫面上點選正在發聲的人或物件，讓系統利用畫面線索協助鎖定聲音。時間段提示則讓使用者在時間軸上標記目標聲音出現的區段，Meta稱這是業界首見的時間段提示設計，且3種提示可單獨使用，也能混合搭配以取得更符合需求的分離結果。</p> <p>Meta舉例可在樂團演出影片中點選吉他以抽離其聲音，也可用文字提示過濾戶外錄影的車流噪音，或用時間段提示一次處理整段Podcast錄音中的特定干擾聲。Meta表示，這些能力可用於音訊清理、背景噪音移除等聲音編輯。</p> <p>SAM Audio為統一音訊分離模型，核心採用生成式架構，會把混合音訊與一個或多個提示編碼到共享特徵中，再產生目標音軌與其餘殘留音軌。Meta也說明為了取得足夠的訓練資料，建立資料引擎，結合音訊混音、自動產生多模態提示，以及以模型輔助建立標註的流程，產生更貼近真實情境的訓練資料。</p> <p>支撐SAM Audio的另一個關鍵是PE-AV，Meta指出，PE-AV建立在其今年稍早釋出的開源Perception Encoder之上，並延伸到視覺與音訊的整合，用來強化SAM Audio在仰賴畫面線索時的分離能力。PE-AV會抽取逐格的影片特徵，並與音訊特徵進行時序對齊，把看到的與聽到的在同一時間點連結起來，讓系統能更準確分離畫面中可被指認的聲源，例如螢幕上的講者或樂器，也能從場景線索推測畫面外的事件。</p> <p>Meta列出SAM Audio的限制，包括目前不支援以音訊作為提示，且模型並非設計在沒有提示的情況下，自動分離混合音訊中的所有聲源。對於高度相似的聲音事件分離，例如從合唱中挑出單一歌手或從管弦樂中分離單一樂器，仍是較具挑戰的情境。</p> </div></div></div>
2025/12/18 08:36作者李建興https://www.ithome.com.tw/news/172887
日本電商Askul公布勒索軟體攻擊調查報告，物流與備份系統遭加密外洩約74萬筆資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本辦公用品與電商業者Askul<a href="https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf">公布</a>勒索軟體事件調查報告，確認公司物流與內部系統遭加密並造成大規模服務中斷，同時有資料外洩。<a href="https://www.askul.co.jp/snw/newsDispView/?newsId=18364">目前企業客戶端已恢復部分商品受理訂單</a>，並在確認穩定後逐步擴大出貨作業。依Askul的彙整，確認外洩的資訊包含企業客戶約59萬筆、個人服務客戶約13.2萬筆，以及部分合作夥伴資料約1.5萬筆，合計約74萬筆，另還包含員工等約2,700筆資料。 </p> <p>對攻擊者身分，Askul官方文件並未點名特定組織。不過外媒<a href="https://www.japantimes.co.jp/business/2025/10/31/companies/russia-hacker-askul">The Japan Times報導</a>指出，自稱RansomHouse的組織在暗網發布聲明宣稱犯案，Askul則對外表示已知悉該聲明並正在查證事實。 </p> <p>Askul物流系統與公司內系統確認遭勒索軟體感染，部分資料包含備份資料被加密而一度無法使用，且部分資料遭竊取並被公開，導致物流中心出貨業務全面停止。Askul指出，後續也發現外部雲端的客服詢問管理系統帳號遭竊取並被入侵，相關資訊同樣有外洩情形。在目前的鑑識結論中，主要業務系統與面向客戶的電子商務網站與合作夥伴服務未發現被入侵跡象。 </p> <p>Askul在報告中也坦言，因部分通訊與存取紀錄遺失，難以完整界定攻擊者實際瀏覽的資訊範圍，因此以已確認外洩作為對外揭露的基準，並表示已向主管機關提交報告，並逐一通知受影響的客戶與合作夥伴，同時將持續長期監控，要是後續確認攻擊者有公開新的資料，會依影響範圍判斷是否需要再對外說明。</p> <p>Askul在調查報告中點出外界關注的管理缺口。報告指出，因業務委外端有管理者帳號被列為例外而未啟用多因素認證，導致該帳號的ID與密碼外洩後遭人冒用，並已確認曾被用來進行未授權存取。另一方面，遭入侵的資料中心伺服器當時未導入EDR，也未建立24小時監控機制，使得異常行為與入侵跡象難以及早被發現。至於復原時間拉長，Askul則說明既有備份架構並非以勒索軟體情境設計，造成部分備份資料也遭加密，進一步增加復原作業的難度。</p> <p>基於不助長犯罪行為的社會責任，Askul未與攻擊者接觸，也未支付贖金，並強調不進行任何交涉。該公司表示會以NIST網路安全框架（NIST CSF）為基礎，系統化強化存取控制、紀錄與監控等措施。</p> </div></div></div>
2025/12/18 06:11作者李建興https://www.ithome.com.tw/news/172877
【資安日報】12月17日，MITRE公布最危險的漏洞類型，XSS居冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172868"><strong style="font-size: 22px;">MITRE公布2025最危險軟體弱點前25名，XSS居冠、記憶體緩衝區溢位相關項目新入榜</strong></a></p> <p>MITRE公布2025年CWE Top 25最危險軟體弱點清單，盤點最常成為弱點的原因，以及在實務上帶來高風險的軟體弱點類型。排行顯示，跨網站指令碼（XSS）維持第1名，SQL注入與跨網站請求偽造（CSRF）分居第2與第3名。另外，今年榜單出現多個記憶體緩衝區溢位相關項目，包含典型緩衝區溢位首度進入第11名，以及堆疊緩衝區溢位、堆積緩衝區溢位，分別列在第14名與第16名。 </p> <p>從前10名來看，網頁與命令注入比重高，除XSS與SQL注入外，OS命令注入位居第9名，程式碼注入排第10名。缺少授權檢查今年升至第4名，排名相較2024年上升5名。記憶體安全面向則以越界寫入排第5名、釋放後使用排第7名、越界讀取排第8名，顯示傳統記憶體錯誤仍是高風險類型。 </p> <p>今年榜單調整映射處理方式，官方說明，CWE Top 25以往會先把資料中的CWE映射正規化回View-1003，也就是NVD常用來簡化對應的130種弱點集合。2025年則首度改用CVE Records中原始保留的CWE映射資料，不再強制歸入View-1003的父類別，並結合CNA（CVE Numbering Authority）社群複核部分資料，讓榜單更貼近實務映射慣例。MITRE指出，這項改動使榜單更貼近實務的映射慣例，也讓更低階且更具可行動性的弱點類型有機會進入CWE Top 25，其中緩衝區溢位相關項目便成為今年新入榜的代表。</p> <p><a href="https://www.ithome.com.tw/news/172862"><strong style="font-size: 22px;">甫修補的FortiCloud SSO重大漏洞已遭駭客濫用</strong></a></p> <p>Fortinet上周修補影響旗下防火牆、閘道器等產品的兩個重大漏洞CVE-2025-59718及CVE-2025-59719，傳出已經遭人濫用。本週資安公司Arctic Wolf指出，他們在12月12日開始，觀察到有防火牆設備FortiGate出現惡意單一簽入（SSO）登入的跡象。</p> <p>這兩項漏洞CVE-2025-59718及CVE-2025-59719，皆為加密簽章不當驗證造成，未經身分驗證的攻擊者可發送特製的SAML訊息，即可繞過FortiCloud單一簽入的身分驗證機制，啟用此單一簽入機制的FortiOS、FortiWeb、FortiProxy，或是FortiSwitchManager都會受影響。這兩項漏洞CVSS風險分數皆達9.8。</p> <p>Arctic Wolf分析攻擊來源的IP位址，是來自數家代管業者，包括The Constant Company LLC, BL Networks及Kaopu Cloud HK Limited，意謂可能是協同攻擊。一如常見惡意登入，這幾波存取的目標也是管理員帳號。而攻擊者在成功登入後，就將系統配置資訊（像是憑證及裝置設定）利用GUI介面傳到來源IP位址。</p> <p><a href="https://www.ithome.com.tw/news/172860"><strong style="font-size: 22px;">成人網站PornHub合作的資料分析服務公司傳出遭ShinyHunters入侵，部分付費會員資料恐外流</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/help_pornhub_com_hc_en-us_articles_47334442459283-Important-Message-From-Pornhub.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/help_pornhub_com_hc_en-us_articles_47334442459283-Important-Message-From-Pornhub.png" style="width: 300px; float: right;" /></a></p> <p>11月底資料分析服務廠商Mixpanel傳出部分系統遭到入侵，導致部分客戶的帳號及分析資料外流，當時OpenAI表明旗下使用API的客戶資料受到影響，如今又有新的消息傳出。</p> <p>根據資安新聞網站Bleeping Computer的報導，12月12日成人影音平臺PornHub發布公告，指出他們的第三方資料分析服務廠商Mixpanel發生資安事故，導致該平臺部分Pornhub Premium付費用戶分析資料外洩。PornHub強調，他們的系統並未遭到入侵，密碼、付款資訊，以及財務資料沒有被外洩。Bleeping Computer報導指出，駭客組織ShinyHunters聲稱這起攻擊行動是他們所為，並向包含PornHub在內的多家Mixpanel客戶進行勒索。</p> <p>其中，針對Pornhub的部分，ShinyHunters宣稱從Mixpanel竊得94 GB資料，內含超過2億筆（201,211,943筆）記錄，包括Pornhub Premium會員的搜尋記錄、觀看記錄，以及下載活動。該新聞網站取得部分資料進行檢視，Mixpanel分析的資料含有大量敏感資訊，包含會員的電子郵件信箱、活動類型、地理位置、活動記錄，以及影片名稱、網址、關鍵字。而在活動記錄的事件類型，包含會員觀看與下載影片，以及檢視頻道內容，ShinyHunters宣稱當中也有搜尋記錄。</p> <p><a href="https://www.ithome.com.tw/news/172873"><strong style="font-size: 22px;">俄駭客Sandworm鎖定西方國家能源與雲端基礎設施，透過邊緣設備配置不當發動攻擊</strong></a></p> <p>Amazon威脅情報團隊持續追蹤俄羅斯駭客組織Sandworm對西方國家的關鍵基礎設施活動，他們發現今年對方的攻擊戰術出現重大的變化，過往這些駭客偏好利用資安漏洞來入侵受害組織，但他們現在明顯傾向針對邊緣裝置配置不當的情況下手，原因是這麼做能減少攻擊者曝光的機率，並降低所需使用的資源，同時達到相同的攻擊目的，以及收集各式憑證、在受害組織進行橫向移動。對此，AWS呼籲企業組織應優先保護邊緣裝置，監控憑證重放攻擊的活動，來因應相關威脅。</p> <p>這波攻擊行動從2021年開始，駭客特別偏好針對西方國家的能源機構，但也會攻擊北美與歐洲的關鍵基礎設施供應商、經營雲端代管網路基礎設施的企業組織。他們尋找下手的目標，包含企業的路由基礎設施、VPN集中器與遠端存取閘道、網路設備管理平臺、協作與維基（Wiki）平臺，以及採用雲端為基礎的專案管理系統。</p> <p>Sandworm鎖定配置錯誤及管理介面能從網路直接存取的裝置下手，相關手法最早在2022年就已出現，不過AWS強調，駭客在今年特別專注運用這種策略，並減少對於漏洞利用（包含已知和零時差漏洞）的投資。AWS指出，相較之下，漏洞利用容易被偵測，使得攻擊活動面臨曝光的風險。</p> <p><a href="https://www.ithome.com.tw/news/172879"><strong style="font-size: 22px;">WinRAR路徑穿越漏洞出現實際攻擊，3組人馬發起網釣活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/paper-werewolf-tech-site-08-2025-pic-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/paper-werewolf-tech-site-08-2025-pic-1.png" style="width: 300px; float: right;" /></a></p> <p>12月9日CISA發布公告，將兩個漏洞加入KEV，其中一個就是WinRAR路徑遍歷漏洞CVE-2025-6218，並要求聯邦機構必須在12月30日前完成修補。此路徑遍歷漏洞有可能讓攻擊者執行任意程式碼，影響Windows作業系統相關版本，不過，利用漏洞存在必要條件，那就是需經由使用者操作如開啟或解壓縮來源不明的壓縮檔案，才能被濫用，並非自動觸發型攻擊。雖然CISA未說明漏洞如何遭到利用，但根據多家資安業者的觀察，已有數個駭客組織將其用於實際攻擊。</p> <p>最早警告已被用於攻擊行動的是俄羅斯資安公司BI.Zone，他們於8月指出，被稱作Paper Werewolf或Goffee的駭客發起魚叉式釣魚活動，駭客聲稱是某個俄羅斯研究所的員工，寄送帶有RAR檔附件的電子郵件，當時他們就利用CVE-2025-6218，以及後來被修補的另一個漏洞CVE-2025-8088。</p> <p>後來整合數位風險護廠商Foresiet、印度資安公司SecPod，以及中國資安公司360數字安全發現，被稱作APT-C-08或Bitter的駭客組織，將CVE-2025-6218用於攻擊南亞國家的政府機構；資安研究員Robin發現，被稱為Gamaredon、Primitive Bear，以及Armageddon的俄羅斯駭客，用於攻擊烏克蘭企業組織。</p> <p><a href="https://www.ithome.com.tw/news/172858"><strong style="font-size: 22px;">WatchGuard修補防火牆產品Firebox多項重大資安漏洞</strong></a></p> <p>在12月4日，網路防火牆廠商WatchGuard發布多則安全性公告，揭露其Firebox防火牆與Fireware OS存在多項重大資安漏洞，影響系統完整性驗證流程、管理介面指令，以及VPN相關元件，對企業網路安全構成顯著風險。</p> <p>首先需要留意的是開機完整性檢查繞過漏洞CVE-2025-13940，可讓攻擊者繞過Fireware OS在開機階段執行的系統完整性驗證機制。其CVSS風險評分為6.7，屬於中度風險。當系統偵測到完整性異常時，攻擊者可阻止Firebox正常關機，使已遭惡意修改的系統持續運作。受影響版本包括Fireware OS 12.8.1至12.11.4，以及2025.1至2025.1.2。</p> <p>WatchGuard這次針對Firebox與Fireware OS修補中，還包含三項越界寫入（Out-of-Bounds Write）類型的高風險漏洞，可讓已驗證且具備高權限的使用者執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/172854"><strong style="font-size: 22px;">IP電話管理系統FreePBX多重漏洞可被串連濫用，攻擊者恐取得遠端執行程式碼能力</strong></a></p> <p>Sangoma修補旗下開源IP電話管理系統FreePBX多項資安漏洞，包含特定驗證模式下的身分驗證繞過漏洞CVE-2025-66039、SQL注入漏洞CVE-2025-61675，以及可被濫用的檔案上傳問題CVE-2025-61678。資安廠商Horizon3.ai指出，在特定設定與條件下，攻擊者可串連這些漏洞，在FreePBX主機上取得遠端執行程式碼的能力。</p> <p>這組漏洞的發現，源於Horizon3.ai追蹤10月已出現實際攻擊行為的CVE-2025-57819時，分析FreePBX的驗證流程，進而辨識出另一條獨立的攻擊路徑。當系統的驗證類型被設定為網頁伺服器時，FreePBX會將身分驗證責任交由網頁伺服器Apache處理，應用程式本身僅檢查請求中是否包含Basic Authorization標頭。此設計導致只要提供有效的使用者名稱，即使密碼錯誤，仍可能建立工作階段並存取部分功能。</p> <p>由於FreePBX預設採用使用者管理模組作為驗證機制，因此在未調整設定的情況下，不會因CVE-2025-66039直接曝險。不過，一旦管理者改用網頁伺服器或關閉驗證，系統的攻擊面便會明顯擴大，使後續弱點更容易被利用。</p> <p><a href="https://www.ithome.com.tw/news/172867"><strong style="font-size: 22px;">針對2022年密碼管理服務商LastPass資料外洩事故，英國開罰120萬英鎊</strong></a></p> <p>英國資訊委員會辦公室（ICO）基於160萬英國用戶個資外洩，針對3年前密碼管理解決方案業者LastPass的資安事故，判罰120萬英鎊（約新臺幣5.03億元）。ICO指出，其調查發現LastPass導入的技術和資安措施完備性不足，最終導致駭客非授權存取備份資料庫，而且沒有證據顯示起因存在用戶裝置上的未加密密碼所致。</p> <p>根據英國政府的調查，2022年8月LastPass發生兩次資安事件。先是LastPass歐洲區員工公司筆電被駭，駭客進入公司開發環境。當時沒有個資被存取，但竊走了加密的公司憑證。那次LastPass措施奏效，金鑰存放在四名資深員工（包含第二次的受害員工）的帳號保管庫（account vaults）之外，未被駭客存取。</p> <p>第二次事件中，駭客利用第三方程式漏洞，在LastPass美國員工個人電腦植入鍵盤側錄程式，並盜走雲端資料儲存金鑰，開啟禍端。駭客從該公司的AWS S3儲存庫竊走客戶資料備份，包括公司名稱、電子郵件、IP位址、網頁書籤、密碼及加密資料等。此事並造成用戶遭釣魚攻擊等後續資安事件。</p> <p><a href="https://www.ithome.com.tw/news/172774"><strong style="font-size: 22px;">【產品資安實務經驗：合勤科技】不能只當漏洞救火隊，更要落實「設計即安全」</strong></a></p> <p>在產品資安推動上，身為臺灣知名網通設備業者的合勤科技可說經驗豐富，關鍵轉捩點是2016年的一場危機：當時他們有一家歐洲電信客戶遭受Mirai殭屍網路攻擊，導致大規模路由器癱瘓，當中包括合勤產品，這也使得產品漏洞問題演變為信任危機。</p> <p>近年合勤多次公開這方面推動經驗，這次我們更深入介紹實務作法與最新進展。例如，合勤去年10月簽署美國網路安全暨基礎設施安全局（CISA）推動的「設計即安全（Secure by Design）」承諾，目前響應這項號召的臺灣廠商屈指可數；此外他們提到近3年KEV（已知漏洞遭利用）的數量已逐年下降。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ghostposter-attacks-hide-malicious-javascript-in-firefox-addon-logos/">攻擊行動GhostPoster鎖定Firefox用戶而來，將惡意JavaScript指令碼埋藏在附加元件圖示</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cellik-android-malware-builds-malicious-versions-from-google-play-apps/">安卓惡意軟體Cellik號稱能捆綁於Google Play市集的任何應用程式，打造惡意版本APK檔案</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-santastealer-malware-steals-data-from-browsers-crypto-wallets/">竊資軟體SantaStealer號稱完全在記憶體內運作，疑似駭客組織東山再起</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/nvidia-merlin-vulnerabilities/">Nvidia機器學習框架Merlin存在高風險漏洞，可被用於執行惡意程式碼、存取敏感資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-pgadmin-rce-cve-2025-13780-flaw-bypasses-fix-allowing-server-takeover-via-malicious-database-restore/">PostgreSQL管理工具pgAdmin存在重大漏洞，攻擊者可透過惡意還原挾持資料庫</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172853"><strong>【12月16日】更多中國駭客加入利用React2Shell的行列</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172834"><strong>【12月15日】開發人員在Docker Hub曝露大量憑證，有人將其收集並在地下論壇兜售</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172801"><strong>【12月12日】惡意軟體NanoRemote濫用Google Drive的API從事通訊</strong></a></p> </div></div></div>
2025/12/17 17:40作者周峻佑https://www.ithome.com.tw/news/172883
數位憑證皮夾試營運上路，免帶實體證件憑手機就能在超商領包裏、進出企業辦公室、旅館
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>數發部籌畫多時的數位憑證皮夾在今天(12/17)進入試營運，即日起民眾可以下載App，安裝電信商的電信卡或是企業的員工卡，免帶證件在超商領取包裏或是進出旅館、辦公室，為我國推動數位身分創新應用，未來還可能與國際接軌，在國外租車或代替護照出示身分資料。</p> <p>數位憑證皮夾是一種數位身分的發行、自主管理、驗證架構，民眾於手機下載安裝數位憑證皮夾App，可以在App裡安裝政府或學校、民間企業所發行的各種數位身分憑證，例如駕照、工商憑證、技術士證照、學生證、畢業證書或是員工門禁卡，當需要使用第三方服務，需驗證身分證明文件時，民眾能夠自主管理手機上數位憑證皮夾內的各種身分資料，授權予第三方服務提供者驗證。</p> <p>數發部今天宣布數位憑證皮夾開始試營運，從今年底到明年底的一年時間，開放民眾下載App，安裝數位身分憑證後，在第三方服務需要驗證身分時，使用手機上的數位憑證皮夾，選擇想要授權第三方存取的身分資料，快速完成身分驗證。</p> <p>數發部長林宜敬表示，未來的世界絕對是高度數位化的世界，許多活動或服務在數位世界進行，就需要使用者證明自己的身分，例如證明自己是哪間學校的學生、畢業證書，或是出示擁有合格技能的證明文件，例如駕照、調酒師證照等等，一方面需要證明身分，另一方面也擔心曝露個人隱私。</p> <p>林宜敬指出，數發部過去一兩年積極推動數位憑證皮夾計畫，數位憑證皮夾的核心精神是選擇性揭露，讓民眾能夠自主選擇授權最少的資訊達到使用服務的目的，而不會洩露其他的身分訊息，例如父母姓名、是否結婚、配偶姓名或是住家地址，傳統上常見的影印身分證件，存在洩露個資的風險。另外，數位憑證皮夾也採用分散式架構，身分資訊存在民眾的手機，藉此保障民眾的隱私。</p> <p>未來不只是國內使用，由於數位憑證皮夾採用國際的數位身分驗證標準，林宜敬指出，未來也可能在國外應用，例如進出酒吧等限制年齡的場所，不需提出護照證明符合年齡限制，或是使用臺灣的駕照在國外租車等等。</p> <p>目前數位憑證皮夾已與三大電信業者合作，民眾安裝數位憑證皮夾App後，可以憑個人的手機門號，在數位憑證皮夾上向電信商申請電信卡，由於當初申辦個人手機門號均通過身分驗證，電子卡內包括姓名、手機門號末幾碼，可在7-11、全家兩大超商出示QR Code供店員掃描，領取已付款的包裏。</p> <p>全家超商已宣布即日起全國4,400家門市已可接受使用數位憑證皮夾領取包裏，至於7-11目前只在部分門市開放，預計在12月24日後全門市可接受。</p> <p>數位憑證皮夾開放試營運後，將會逐步上架開放民眾下載的數位身分憑證，例如駕照、學生證、畢業證書、工商憑證。</p> <p>數發部今天也展示數位憑證皮夾的幾個可能的應用情境，除了在超商以QR Cod代替身分證來領取已付款包裏，還有與特定旅館業者合作，房客可以在皮夾內下載房卡，代替實體的鑰匙或房卡，憑手機出入旅館房間。</p> <p>另外，未來學校也可利用數位憑證皮夾，發行數位學生證供學生使用，目前陽明交大已準備在明年第二季，開放學生證下載至數位憑證皮夾App，代替學生證出入宿舍、圖書館等；教育部也準備在明年上半年，推動學校開放畢業證書進入數位憑證皮夾，數發部也邀請104、1111等人力銀行，接受求職者用數位憑證皮夾提出畢業學校證明。</p> <p>數發部也和交通部合作，讓駕照也進入數位憑證皮夾內，並與Loop、ZOCHA等租車業者合作，未來也會和iRent合作，讓民眾授權租車業者取得數位駕照資料，簡化線上租車的身分驗證過程。此外，數發部也和經濟部聯手，讓工商憑證支援數位憑證皮夾，未來可用於台電用電戶身分驗證，申請過戶等服務異動。</p> <p>數發部也強調，數位憑證皮夾App採取密碼、指紋、臉部辨識等多因子驗證，確保使用數位憑證皮夾者的身分，當民眾選擇要授權的身分資料後，需要再次經過身分驗證，授權第三方存取資料。身分資料存放在手機內，當第三方要求驗證身分時，由使用者與第三方間完成身分驗證、存取資料，發行身分憑證的政府機關並不會知道民眾的行為，確保民眾的隱私。</p> <p>不過，數位憑證皮夾App也因為身分憑證資料都與手機綁定，當手機遺失或民眾換新手機時，需要逐一向各機關申請掛失，並且重新在新手機上安裝數位憑證皮夾App，再重新下載原先的數位憑證，對民眾而言並不是那麼方便。對此，數發部表示，未來將透過試營運，掌握民眾試用後的建議，明年也將研議透過備分方式，讓民眾能夠簡便的轉移至新手機。</p> </div></div></div>
2025/12/17 18:19作者蘇文彬https://www.ithome.com.tw/news/172886
俄駭客Sandworm鎖定西方國家能源與雲端基礎設施，透過邊緣設備配置不當發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>受到俄羅斯總情報局（GRU）指揮的國家級駭客，長年鎖定西方國家發動網路攻擊，最常見的入侵受害組織的管道，就是利用已經公布、但企業組織尚未修補資安漏洞而得逞，不過，這樣的態勢已經開始出現變化。</p> <p>Amazon威脅情報團隊持續追蹤<strong><a href="https://aws.amazon.com/tw/blogs/security/amazon-threat-intelligence-identifies-russian-cyber-threat-group-targeting-western-critical-infrastructure/">俄羅斯駭客組織Sandworm對西方國家的關鍵基礎設施活動</a></strong>，他們發現今年對方的攻擊戰術出現重大的變化，過往這些駭客偏好利用資安漏洞來入侵受害組織，但他們現在明顯傾向針對邊緣裝置配置不當的情況下手，原因是這麼做能減少攻擊者曝光的機率，並降低所需使用的資源，同時達到相同的攻擊目的，以及收集各式憑證、在受害組織進行橫向移動。對此，AWS呼籲企業組織應優先保護邊緣裝置，監控憑證重放攻擊的活動，來因應相關威脅。</p> <p>這波攻擊行動從2021年開始，駭客特別偏好針對西方國家的能源機構，但也會攻擊北美與歐洲的關鍵基礎設施供應商、經營雲端代管網路基礎設施的企業組織。他們尋找下手的目標，包含企業的路由基礎設施、VPN集中器與遠端存取閘道、網路設備管理平臺、協作與維基（Wiki）平臺，以及採用雲端為基礎的專案管理系統。</p> <p>Sandworm鎖定配置錯誤及管理介面能從網路直接存取的裝置下手，相關手法最早在2022年就已出現，不過AWS強調，駭客在今年特別專注運用這種策略，並減少對於漏洞利用（包含已知和零時差漏洞）的投資。AWS指出，相較之下，漏洞利用容易被偵測，使得攻擊活動面臨曝光的風險。</p> <p>Sandworm活動的確很隱匿，AWS表示並未直接觀察到相關活動，但根據多種跡象研判，Sandworm可能透過封包截取和流量分析來收集憑證，例如：透過裝置被入侵與使用者試圖進行身分驗證的時間差，攻擊者從特定服務收集憑證；再者，他們使用受害組織的憑證存取線上服務，代表相關憑證之所以取得，可能是因為攔截使用者身分驗證的流量。</p> <p>此外，受害組織在AWS雲端環境建置的基礎設施，也出現遭到入侵的跡象，Sandworm透過用戶配置錯誤的裝置，入侵EC2執行個體（Instance），並建立持久連線，而這些EC2的用途，就是執行企業的網路設備軟體。</p> <p>值得留意的是，Sandworm除直接嘗試入侵受害企業組織的基礎設施，也有系統性攻擊他們使用的線上服務的情況，駭客進行憑證重放攻擊來達到目的，他們入侵由AWS代管的邊緣設備，並試圖利用與受害組織網域有關的憑證，對特定線上服務進行身分驗證，不過並未成功。</p> <p>針對Sandworm使用的基礎設施，AWS指出與<strong><a href="https://www.ithome.com.tw/news/172049">防毒廠商Bitdefender揭露的另一組人馬Curly COMrades</a></strong>有所交集，很可能是廣泛的GRU網路攻擊之間的互補：由Sandworm建立初期的存取管道，然後交由Curly COMrades於虛擬化環境部署惡意軟體，來迴避EDR偵測。回顧Sandworm的攻擊行動，<strong><a href="https://www.ithome.com.tw/news/171985">資安公司賽門鐵克發現他們入侵大型商業服務公司與政府機關</a></strong>；今年4月，<strong><a href="https://www.ithome.com.tw/news/170657">挪威水壩閘門控制系統遭到入侵</a></strong>，傳出攻擊者的身分就是Sandworm。</p> </div></div></div>
2025/12/17 15:46作者周峻佑https://www.ithome.com.tw/news/172873
WinRAR路徑穿越漏洞出現實際攻擊，3組人馬發起網釣活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年6月<strong><a href="https://www.ithome.com.tw/news/169822">軟體開發業者Rarlab發布7.12版WinRAR</a></strong>，修補路徑遍歷漏洞CVE-2025-6218（CVSS風險為7.8分），近期美國網路安全暨基礎設施安全局（CISA）警告此漏洞已被用於實際攻擊，列入已遭利用的漏洞名單（KEV），使得此漏洞再度受到關注。</p> <p>12月9日CISA發布公告，<strong><a href="https://www.cisa.gov/news-events/alerts/2025/12/09/cisa-adds-two-known-exploited-vulnerabilities-catalog">將兩個漏洞加入KEV</a></strong>，其中一個就是CVE-2025-6218，並要求聯邦機構必須在12月30日前完成修補。此路徑遍歷漏洞有可能讓攻擊者執行任意程式碼，影響Windows作業系統相關版本，不過，利用漏洞存在必要條件，那就是需經由使用者操作如開啟或解壓縮來源不明的壓縮檔案，才能被濫用，並非自動觸發型攻擊。雖然CISA未說明漏洞如何遭到利用，但根據多家資安業者的觀察，已有數個駭客組織將其用於實際攻擊。</p> <p>最早警告已被用於攻擊行動的是俄羅斯資安公司BI.Zone，他們於8月指出，<strong><a href="https://bi.zone/expertise/blog/paper-werewolf-atakuet-rossiyu-s-ispolzovaniem-uyazvimosti-nulevogo-dnya-v-winrar/">被稱作Paper Werewolf或Goffee的駭客發起魚叉式釣魚活動</a></strong>，駭客聲稱是某個俄羅斯研究所的員工，寄送帶有RAR檔附件的電子郵件，當時他們就利用CVE-2025-6218，以及後來被修補的另一個漏洞<strong><a href="https://www.ithome.com.tw/news/170567">CVE-2025-8088</a></strong>。</p> <p>後來<strong><a href="https://foresiet.com/blog/apt-c-08-winrar-directory-traversal-exploit/">整合數位風險護廠商Foresiet</a></strong>、<strong><a href="https://www.secpod.com/blog/archive-terror-dissecting-the-winrar-cve-2025-6218-exploit-apt-c-08s-stealth-move/">印度資安公司SecPod</a></strong>，以及<strong><a href="https://www.ctfiot.com/278343.html">中國資安公司360數字安全</a></strong>發現，被稱作APT-C-08或Bitter的駭客組織，將CVE-2025-6218用於攻擊南亞國家的政府機構，藉由RAR檔挾帶特定的指令碼或惡意Word範本檔案，一旦使用者開啟，駭客的作案工具就會被秘密地存放於敏感的系統資料夾，其中包含Windows的啟動資料夾。</p> <p>當使用者登入電腦，或是啟動Word的時候，惡意檔案就會自動執行，從C2伺服器下載有效酬載，其中包含ZxxZ、WmRAT，以及MiyaRAT等遠端存取木馬（RAT）。</p> <p>值得留意的是，俄羅斯駭客也傳出加入漏洞利用的行列。資安研究員Robin發現，被稱為Gamaredon、Primitive Bear，以及Armageddon的駭客組織，<strong><a href="https://blog.synapticsystems.de/how-a-russian-threat-actor-uses-recent-winrar-vulnerability-in-their-ukraine-operations/">用於攻擊烏克蘭企業組織</a></strong>，他們傳送的RAR檔案通常會挾帶假的PDF檔案，以及命名方式相當怪異的HTML應用程式（HTA）檔案。一旦使用者開啟，WinRAR就會將HTA檔解壓縮到啟動資料夾，電腦在重開機後，內嵌於HTA檔的VBScript指令碼，就會在受害電腦下載其他惡意軟體。Robin強調，利用CVE-2025-6218只需極少量的使用者互動，大部分情況只需誘騙他們開啟惡意RAR檔，就能達到目的。</p> <p>對於指令碼執行的流程，首先攻擊者會建立WScript.Shell執行個體（instance），然後定義有效酬載的命令，透過寄生攻擊（LOLBin）手法，濫用mshta.exe存取特定URL取得有效酬載並執行，這些酬載可能是HTA、VBS，或是EXE檔案，最終在受害電腦植入模組化後門Pteranodon或GammaLoad。</p> </div></div></div>
2025/12/17 17:22作者周峻佑https://www.ithome.com.tw/news/172879
STOC 2026學術會議試辦投稿前AI先幫論文抓錯，改過再送審
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google研究院<a href="https://research.google/blog/gemini-provides-automated-feedback-for-theoretical-computer-scientists-at-stoc-2026/">揭露</a>一項理論計算機科學社群的實驗結果，針對STOC 2026投稿，提供投稿前的自動化回饋，目標是在論文送交程序委員會審閱前，先協助作者找出證明或推導中可能的錯誤、符號不一致與表述不清之處，讓研究團隊能在截止前完成必要修正與潤稿。 </p> <p>STOC 2026這項實驗計畫採自願加入，主辦方也強調回饋用於投稿前的自我檢查與潤稿，目的在於不干擾正式同儕審閱的獨立性。回饋主要提供給作者參考，僅在維運所需的最低範圍內由主辦團隊接觸。</p> <p>Google表示該工具針對數學嚴謹性做過最佳化，採用推論運算擴展（Inference Scaling）的設計，會同時探索多條推理與評估路徑，再彙整成較一致的結論，以降低模型常見的幻覺與遺漏。論文作者收到的回饋也以固定結構呈現，通常包含對論文貢獻的摘要，並指出可能錯誤與可改進之處，以及較細碎的用語與錯字修正。 </p> <p>該工具能抓到的問題範圍從變數命名不一致這類低階瑕疵，到計算錯誤、不等式使用不當、證明邏輯缺陷等較深層的技術風險。文中也引用作者回饋，指出模型曾找出讓整個證明不成立的關鍵漏洞，而且是團隊長期未察覺的簡單錯誤。</p> <p>Google也公布初步調查資料，表示有120多位參與者在同意下回覆問卷，在實驗結束時超過80%投稿選擇加入，97%認為回饋有幫助，97%表示未來還會再用，81%認為改善了可讀性或清晰度。另有75%受訪者認為此工具具教學價值，可讓學生更快收到對嚴謹性與表達的即時指正，並有88%表示希望在整個研究過程中持續使用。 </p> <p>不過，STOC實驗計畫頁面<a href="https://acm-stoc.org/stoc2026/stoc2026-LLM_feedback.html">提醒</a>，模型主要評估論文前後一致的數學嚴謹性，並不具備外部領域常識或口耳相傳但未明文寫下的已知結果，因此可能把依賴未寫出前提的段落誤判為錯誤。Google也指出，模型在解析複雜記號或圖表時仍可能失準，因此輸出應被視為協助檢查的線索，由作者自行驗證與取捨。隱私方面，實驗計畫頁面寫明論文不會被記錄、保存或用於訓練，僅供一次性產生回饋之用，且存取以自動化流程為主，僅在罕見故障除錯時才由極少數主辦者接觸內容。</p> </div></div></div>
2025/12/17 16:47作者李建興https://www.ithome.com.tw/news/172874
成人網站PornHub合作的資料分析服務公司傳出遭ShinyHunters入侵，部分付費會員資料恐外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>11月底資料分析服務廠商Mixpanel傳出部分系統遭到入侵，導致部分客戶的帳號及分析資料外流，當時<strong><a href="https://www.ithome.com.tw/news/172518">OpenAI表明旗下使用API的客戶資料受到影響</a></strong>，如今又有新的消息傳出。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/pornhub-extorted-after-hackers-steal-premium-member-activity-data/">資安新聞網站Bleeping Computer的報導</a></strong>，12月12日成人影音平臺PornHub發布公告，<strong>指出</strong>他們的第三方資料分析服務廠商Mixpanel發生資安事故，導致該平臺部分Pornhub Premium付費用戶分析資料外洩。PornHub強調，他們的系統並未遭到入侵，密碼、付款資訊，以及財務資料沒有被外洩。Bleeping Computer報導指出，駭客組織ShinyHunters聲稱這起攻擊行動是他們所為，並向包含PornHub在內的多家Mixpanel客戶進行勒索。</p> <p>Pornhub是全球最大的成人影片網站，成立於2007年，總部位於加拿大蒙特婁。它的運作模式類似YouTube，提供免費影片瀏覽、用戶上傳功能，以及付費會員服務，後來2010年被MindGeek公司買下，該平臺2018年用戶存取達到335億次、2019年達到420億次，換算下來每天會有超過1億次瀏覽、觀看影片。一旦用戶的資料曝光，他們的性取向及觀看影片的偏好可能會被揭露，因而影響人際關係，甚至成為歹徒向其勒索的把柄。</p> <p><a href="https://s4.itho.me/sites/default/files/images/help_pornhub_com_hc_en-us_articles_47334442459283-Important-Message-From-Pornhub.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/help_pornhub_com_hc_en-us_articles_47334442459283-Important-Message-From-Pornhub.png" style="width: 580px;" /></a></p> <p>Bleeping Computer掌握ShinyHunters在上週開始勒索Mixpanel客戶的情報，駭客發送開頭為「我們是ShinyHunters」的電子郵件，要脅若是不支付贖金，將會公開竊得資料。</p> <p>其中，針對Pornhub的部分，ShinyHunters宣稱從Mixpanel竊得94 GB資料，內含超過2億筆（201,211,943筆）記錄，包括Pornhub Premium會員的搜尋記錄、觀看記錄，以及下載活動。該新聞網站取得部分資料進行檢視，Mixpanel分析的資料含有大量敏感資訊，包含會員的電子郵件信箱、活動類型、地理位置、活動記錄，以及影片名稱、網址、關鍵字。而在活動記錄的事件類型，包含會員觀看與下載影片，以及檢視頻道內容，ShinyHunters宣稱當中也有搜尋記錄。</p> <p>值得留意的是，PornHub自2021年起不再與Mixpanel合作，代表駭客竊得的資料並非最新。Mixpanel在Bleeping Computer報導此事後提出進一步說明，他們認為這些資料外流與11月發生的資安事故無關。該公司指出，這批資料最後一次存取的時間在2023年，由PornHub母公司的合法員工帳號取用，若是資料遭到外流，Mixpanel認為並非本次資安事故造成。</p> <p>針對Mixpanel遭到入侵的事故，目前已有加密貨幣投資平臺CoinTracker、OpenAI，以及PornHub傳出用戶資料受到波及。音訊串流平臺SoundCloud近日也傳出服務中斷與VPN連線異常，並出現部分用戶資料外洩，<strong><a href="https://www.bleepingcomputer.com/news/security/soundcloud-confirms-breach-after-member-data-stolen-vpn-access-disrupted/">Bleeping Computer掌握此事也與ShinyHunters有關</a></strong>，但是否因Mixpanel事故引起，有待進一步釐清。</p> </div></div></div>
2025/12/17 11:35作者周峻佑https://www.ithome.com.tw/news/172860
MITRE公布2025最危險軟體弱點前25名，XSS居冠、緩衝區溢位相關項目新入榜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>MITRE<a href="https://cwe.mitre.org/top25/archive/2025/2025_cwe_top25.html">公布</a>2025年CWE Top 25最危險軟體弱點清單，盤點最常成為弱點的原因，以及在實務上帶來高風險的軟體弱點類型。排行顯示，跨站腳本（XSS）維持第1名，SQL注入與跨站請求偽造（CSRF）分居第2與第3名。另外，今年榜單出現多個緩衝區溢位相關項目，包含典型緩衝區溢位首度進入第11名，以及堆疊緩衝區溢位與堆積緩衝區溢位分別列在第14名與第16名。 </p> <p>從前10名來看，Web與命令注入比重高，除XSS與SQL注入外，OS命令注入位居第9名，程式碼注入排第10名。缺少授權檢查今年升至第4名，排名相較2024年上升5名。記憶體安全面向則以越界寫入排第5名、釋放後使用排第7名、越界讀取排第8名，顯示傳統記憶體錯誤仍是高風險類型。 </p> <p>今年榜單調整映射處理方式，官方說明，CWE Top 25以往會先把資料中的CWE映射正規化回View-1003，也就是NVD常用來簡化對應的130種弱點集合。2025年則首度改用CVE Records中原始保留的CWE映射資料，不再強制歸入View-1003的父類別，並結合CNA（CVE Numbering Authority）社群複核部分資料，讓榜單更貼近實務映射慣例。MITRE指出，這項改動使榜單更貼近實務的映射慣例，也讓更低階且更具可行動性的弱點類型有機會進入CWE Top 25，其中緩衝區溢位相關項目便成為今年新入榜的代表。</p> <p>MITRE也提到2025年首次引入大型語言模型工具，協助對部分CVE Records提出更細緻的CWE映射建議，作為後續人工複核與修正的參考依據。MITRE強調，這類工具僅提供建議，不會直接作為最終映射結果，但可用來協助識別過於抽象或容易被誤用的對應，並引導映射朝更低階且較能反映根本原因的弱點類型調整，以提升描述的精準度。</p> <p>該清單由CISA贊助、HSSEDI管理，MITRE營運的CWE專案發布，CISA把優先處理CWE Top 25弱點納入安全設計原則（Secure by Design）與需求驅動安全（Secure by Demand）倡議的脈絡，呼籲各組織將這份清單用於規畫軟體安全策略。依CISA<a href="https://www.cisa.gov/news-events/alerts/2025/12/11/2025-cwe-top-25-most-dangerous-software-weaknesses">說明</a>，CWE Top 25被視為跨角色的共通參考，開發與產品團隊可據此辨識高優先弱點類型，資安團隊可納入弱點管理與應用程式安全測試流程，採購與風險管理者也可把Top 25作為評估供應商與產品安全性的基準。</p> </div></div></div>
2025/12/17 14:26作者李建興https://www.ithome.com.tw/news/172868
Databricks進行L輪融資，創下1,340億美元市值
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資料與AI業者<a href="https://www.databricks.com/company/newsroom/press-releases/databricks-surpasses-4-8b-revenue-run-rate-growing-55-year-over-year" target="_blank">Databricks周二（12/16）宣布</a>，該公司正在進行L輪融資，準備募資逾40億美元，而此次募資所估算的公司市值達到1,340億美元。</p> <p>2013年在美國創立的Databricks，主要開發整合資料工程、機器學習與分析能力的Lakehouse平臺，結合資料湖與資料倉儲的優勢，協助企業高效處理大規模資料並開發AI模型。Databricks今年第三季的年化營收突破48億美元，比去年同期成長了55%，其中，資料倉儲與AI分別貢獻了10億美元的年化營收。</p> <p>此外，該公司甫於今年6月推出的雲端資料庫服務Lakebase，在不到半年的時間即吸引數千家客戶，其營收成長速度為資料倉儲產品的2倍。目前已有超過700家客戶的年化營收貢獻超過100萬美元。</p> <p>Databricks表示，隨著直覺程式開發（Vibe Coding）與生成式AI同步崛起，企業內部的資料智慧型應用開發正加速進行中，藉由此次的融資，Databricks可望進一步協助各組織於自有資料上進行AI創新，由Lakebase、Databricks Apps與Agent Bricks提供統一的基礎，讓客戶得以大規模建置可靠且高效能的資料智慧型應用（Data Intelligent Applications）。</p> <p>其中的Lakebase號稱是首個專為AI時代打造的無伺服器Postgres資料庫；Databricks Apps則是個受控的應用平臺，可用來建置與部署資料暨AI應用程式；Agent Bricks允許組織於自有資料上建立並治理多個AI代理人，是個可讓多個AI代理人分工合作的企業級服務。</p> <p>根據<a href="https://www.wsj.com/articles/databricks-is-raising-funds-at-134-billion-valuation-4a2efaea" target="_blank">華爾街日報（WSJ）的報導</a>，Databricks這幾年一直被外界視為潛在的IPO名單，不過，Databricks共同創辦人暨執行長Ali Ghodsi向該報透露，目前還未決定上市時間。</p> </div></div></div>
2025/12/17 15:01作者陳曉莉https://www.ithome.com.tw/news/172871
Windows Server 2025正式加入NVMe支援 IOPS提升最高80%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://techcommunity.microsoft.com/blog/windowsservernewsandbestpractices/announcing-native-nvme-in-windows-server-2025-ushering-in-a-new-era-of-storage-p/4477353" target="_blank">微軟宣布</a>Windows Server 2025加入NVMe原生支援，可望最多提高NVMe輸出、輸入效能80%。</p> <p>微軟於2024年4月首度公布，Windows Server 2025將原生支援NVMe（非揮發性記憶體Express），可大幅提升IOPS (I/O per second)。這項功能連同10月份Server 2025的累積更新（cumulative update，CU）KB5066835部署給企業用戶，但當時這功能是關閉的。</p> <p>周二微軟正式宣布Server 2025原生NVMe支援全面提供（generally available，GA），以提升現代NVMe SSD在Windows Server中的運作效能。</p> <p>微軟說Windows Server 2025原生支援NVMe，是公司工程團隊和軟硬體夥伴合作的結果。為了原生支援NVMe，Windows儲存堆疊經過重新設計，不再將所有儲存裝置當成SCSI（Small Computer System Interface）來處理，後者是早期速度較慢的儲存裝置所用的介面。新設計不再需要將NVMe指令轉成SCSI指令的過程，讓Windows Server得以降低處理效能需求及延遲性。此外，微軟也重新設計整體I/O處理流程，以支援極端高速運作。</p> <p>由於少了指令翻譯層和舊式系統限制，這原生支援可望大幅提升IOPS、減少CPU運算負載、降低延遲性，且支援進階NVMe功能如多佇列及直接提交（direct submission），享受次世代儲存功能。</p> <p>不過NVMe原生支援全面部署到Server 2025，還是屬於選擇性功能（預設關閉）。管理員必須手動開啟。</p> <p>微軟並提供以DiskSpd.exe執行NTFS volume的4K隨機讀取測試（4K Random Read）的數據。其中的8 I/O執行緒的測試條件中，Server 2025比Server 2022提升78%，而在16 I/O執行緒的測試條件也提升了71%。而在8執行緒及16執行緒的測試條件中，Server 2025每次I/O所需CPU週期（CPU cycles per I/O）各比Server 2022省下41%及47%，顯示其在高併發I/O情境下能以更低的CPU耗用處理相同的儲存工作負載。</p> <p>微軟舉例，原生支援NVMe的Server 2025適合的使用場景，包括SQL Server資料庫運算/OLTP、Hyper-V及虛擬化、高效能檔案伺服器及AI/ML與資料分析等應用。</p> <p>對想使用新功能的IT人員，其儲存裝置必須要能支援NVMe，並安裝Windows NVMe driver (StorNVMe.sys)。欲使用這項新功能，企業IT必須安裝2510-B及之後的新版累積更新（CU），並透過PowerShell指令加入機碼：</p> <pre> reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides /v 1176759950 /t REG_DWORD /d 1 /f</pre><p>或是利用群組政策（Group Policy）MSI加入政策，並以群組政策編輯器（Group Policy Editor）來啟用Native NVMe。</p> <p> </p> </div></div></div>
2025/12/17 13:20作者林妍溱https://www.ithome.com.tw/news/172865
OpenAI推出可衡量專家級科學推理能力的AI基準測試FrontierScience
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI周二（12/16）<a href="https://openai.com/index/frontierscience/" target="_blank">發表全新研究基準FrontierScience</a>，用於評估AI在物理、化學與生物等領域中，執行專家級科學推理與研究任務的能力。</p> <p>OpenAI解釋，一項由博士級專家撰寫的科學基準GPQA在2023年11月推出時，GPT-4僅獲得39%的成績，低於人類專家70%的平均值，但2025年的GPT-5.2在GPQA已拿到92%。顯示出模型能力的快速進化，已使既有以選擇題為主、難度趨於飽和的科學評測，不足以用來衡量AI是否真能加速科學研究。</p> <p>由物理、化學及生物領域專家撰寫並驗證的FrontierScience基準測試，包含了數百道具備高難度、原創性與實質意義的題目，它設計了兩種不同的測試方向，一是用來衡量奧林匹亞競賽風格之科學推理能力的Olympiad，它是由國際奧林匹亞競賽獎牌得主設計的短答題，用於評估模型在受限條件下，是否能進行精確、嚴謹且可驗證的科學推理。</p> <p>二是衡量真實世界科學研究能力的Research，它由博士級研究人員設計，題型為多步驟、開放式研究任務，要求模型分析問題、展開推論並給出完整解釋，並透過10分制量表評估其推理過程與結論是否合理。</p> <p><a href="https://x.com/OpenAI/status/2000975294694613200" target="_blank">GPT-5.2在Olympiad的得分為77%</a>，領先Gemini 3 Pro的76.1%、Claude Opus 4.5的71.4%與Grok 4的66.2%；在Research的得分為25%，大幅領先Claude Opus 4.5的17.5%、Grok 4的15.9%，以及Gemini 3 Pro的12.4%。對科學家而言，這代表現有模型已能支援研究中涉及結構化推理的部分，但在開放思考方面仍有大量改進空間。</p> <p>OpenAI認為，衡量AI科學能力最重要的標準，應是它能促成多少全新的科學發現，FrontierScience並非最終驗證工具，用來在研究成果出現之前，檢視模型推理能力進展、辨識不足之處的評測基準，協助研究團隊確認模型是否朝正確方向發展。</p> </div></div></div>
2025/12/17 13:43作者陳曉莉https://www.ithome.com.tw/news/172866
針對2022年密碼管理服務商LastPass資料外洩事故，英國開罰120萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國資料隱私主管機關本周就三年前發生大量資料外洩事件，<a href="https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2025/12/password-manager-provider-fined/" target="_blank">判罰密碼管理方案業者LastPass 120萬英鎊</a>。</p> <p>英國資訊委員會辦公室（Information Commissioner's Office,ICO）基於160萬英國用戶個資外洩，判罰LastPass 120萬英鎊。</p> <p>ICO指出，其調查發現LastPass導入的技術和資安措施完備性不足，最終導致駭客非授權存取備份資料庫，而且沒有證據顯示起因存在用戶裝置上的未加密密碼所致。</p> <p>根據英國政府的調查，2022年8月LastPass發生兩次資安事件。先是LastPass歐洲區員工公司筆電被駭，駭客進入公司開發環境。當時沒有個資被存取，但竊走了加密的公司憑證。那次LastPass措施奏效，金鑰存放在四名資深員工（包含第二次的受害員工）的帳號保管庫（account vaults）之外，未被駭客存取。</p> <p>第二次事件中，駭客利用第三方程式漏洞，在LastPass美國員工個人電腦植入鍵盤側錄程式，並盜走雲端資料儲存金鑰，開啟禍端。駭客從該公司的AWS S3儲存庫竊走客戶資料備份，包括公司名稱、電子郵件、IP位址、網頁書籤、密碼及加密資料等。此事並造成用戶遭釣魚攻擊等後續資安事件。</p> <p>ICO提醒，企業應確保內部安全政策，考慮並處理資料外洩風險，特別像是在家遠端工作的辦公情境。</p> </div></div></div>
2025/12/17 14:13作者林妍溱https://www.ithome.com.tw/news/172867
Google測試可匯報郵件、行事曆、文件內容的AI代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google旗下實驗室<a href="https://blog.google/technology/google-labs/cc-ai-agent/" target="_blank">Google Labs本周宣布</a>一項新的實驗性AI生產力代理人CC，可為使用者整理Gmail、行事曆、甚至網頁內容重點，為使用者匯報每日重點。</p> <p>當用戶註冊加入後。CC會連結用戶使用的Google服務，包括Gmail、Google Calendar、Google Drive及網頁，它有點像個人祕書，能理解使用者一天活動，整理出「前日重點（Your Day Ahead）」寄到Gmail，方便用戶隔日一早檢閱。這份簡報把用戶每日行程、主要工作及進展整理成簡單明瞭的重點，幫助使用者更快決定接下來的動作，像是付帳單或準備看診。必要時CC也能草擬郵件或行事曆連結，加速使用者作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1217-CC-AI%20productivity%20agent-Gmail_Calendar_Drive_2.png" style="width: 600px;" /></p> <p>用戶也可以透過自訂命令讓CC直接回覆、或提供更多資料來訓練CC、或是要求它記住某些想法或待辦事項，以加速它在某些情況下的處理速度。</p> <p>目前CC是一項早期實驗，開放18歲以上的美國及加拿大消費者加入測試，但現在僅對Google AI Ultra及付費訂閱戶開放。有興趣的人必須先報名<a href="http://labs.google/cc" target="_blank">加入等候清單</a>。</p> </div></div></div>
2025/12/17 13:13作者林妍溱https://www.ithome.com.tw/news/172864
WatchGuard修補防火牆產品Firebox多項重大資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在12月4日，網路防火牆廠商WatchGuard<a href="https://www.watchguard.com/wgrd-psirt/advisories" target="_blank">發布多則安全性公告</a>，揭露其Firebox防火牆與Fireware OS存在多項重大資安漏洞，影響系統完整性驗證流程、管理介面指令，以及VPN相關元件，對企業網路安全構成顯著風險。</p> <p>首先需要留意的是開機完整性檢查繞過漏洞<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00026" target="_blank">CVE-2025-13940</a>，可讓攻擊者繞過Fireware OS在開機階段執行的系統完整性驗證機制。其CVSS風險評分為6.7，屬於中度風險。當系統偵測到完整性異常時，攻擊者可阻止Firebox正常關機，使已遭惡意修改的系統持續運作。受影響版本包括Fireware OS 12.8.1至12.11.4，以及2025.1至2025.1.2。</p> <p>WatchGuard這次針對Firebox與Fireware OS修補中，還包含三項越界寫入（Out-of-Bounds Write）類型的高風險漏洞，可讓已驗證且具備高權限的使用者執行任意程式碼。</p> <p>首先是存在於Fireware OS命令列介面（CLI）的<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00020" target="_blank">CVE-2025-12196</a>，以及<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00019" target="_blank">CVE-2025-12195</a>，兩者CVSS評分皆達8.6。另一項高風險越界寫入漏洞是<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00017" target="_blank">CVE-2025-12026</a>（CVSS 8.6），存在於Fireware OS憑證請求指令，在成功被利用情況下，同樣可能被高權限使用者用來執行惡意程式碼。</p> <p>這波安全修補當中，還包含兩項高風險漏洞，第一個是<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00018" target="_blank">CVE-2025-11838</a>，CVSS評分達8.7。此一記憶體毀損漏洞影響Mobile User VPN與Branch Office VPN在使用動態閘道對等節點時的IKEv2實作，未經驗證的攻擊者即可觸發阻斷服務（DoS）。第兩項高風險漏洞<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00025" target="_blank">CVE-2025-1545</a>（CVSS 8.2），允許未經驗證的遠端攻擊者，透過Web CGI介面的XPath注入手法，竊取敏感的系統設定資料，進一步增加Firebox防火牆遭入侵的風險。</p> <p>WatchGuard已於12月4日，針對受上述安全弱點影響的產品線，發布完整修補更新，並建議使用Fireware OS的組織，依部署情況立即升級至2025.1.3、12.11.5或12.5.14版本。WatchGuard也提醒，Fireware OS 11.x版本已正式終止支援，不再提供任何安全更新。</p> <p>目前上述漏洞在WatchGuard安全公告網頁皆標示為「已修正」，且沒有替代緩解措施。WatchGuard強調，防火牆屬於關鍵基礎架構，一旦遭入侵恐導致整體系統完全失守，企業資安團隊應優先完成此次更新。</p> </div></div></div>
2025/12/17 11:42作者王珮瑤https://www.ithome.com.tw/news/172858
OpenAI更新ChatGPT Images，影像生成速度提升4倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/new-chatgpt-images-is-here/" target="_blank">OpenAI周二（12/16）更新了ChatGPT Images</a>，新一代的GPT Image 1.5能更可靠地遵循使用者的指令，影像生成速度為上一代GPT Image 1.0的4倍，目前該模型已整合至所有用戶可使用的ChatGPT，並同步釋出GPT Image 1.5 API，供開發者與企業導入應用。</p> <p>根據OpenAI說明，GPT Image 1.5在影像生成與編輯準確度上均有明顯提升。使用者不僅可從零開始生成圖片，也能對既有照片進行編輯，而模型在多次修改過程中，仍能維持光線、構圖與人物外觀等關鍵元素的一致性，降低反覆調整所帶來的品質流失問題。</p> <p>此次更新的一大重點，是ChatGPT內新增專屬的Images創作空間，提供預設風格、濾鏡與提示，讓影像探索與創作流程更貼近實際創意工作室的使用情境。</p> <p>在技術能力上，GPT Image 1.5對指令的遵循度明顯改善。當使用者要求編輯圖片時，模型能更精準地只修改指定部分，其餘內容則完整保留，使照片修圖、服裝與髮型試穿、風格轉換等應用更為自然。此外，新模型也支援新增、移除、混合與轉置等進階編輯操作，並兼顧原始影像品質。</p> <p>文字呈現能力亦是此次升級的重點之一。OpenAI表示，GPT Image 1.5在處理密集或小尺寸文字時更為穩定，並能更自然地將文字融入影像中，有助於資訊圖表、海報與品牌視覺素材的製作。</p> <p>在API端，GPT Image 1.5同樣提供上述改進，且影像輸入與輸出成本較前一代降低約20%。OpenAI指出，這使該模型特別適合用於行銷設計、品牌視覺、標誌製作，以及由單一來源圖片生成多樣化電商產品圖庫等場景。</p> <p>OpenAI產品長Fidji Simo表示，人類的想法往往以影像、聲音、動作與模式呈現，而不只是文字，若AI要真正釋放人類潛能，就必須以更貼近人類自然認知方式的介面來互動，ChatGPT正從文字工具轉向直覺型任務介面。</p> </div></div></div>
2025/12/17 11:55作者陳曉莉https://www.ithome.com.tw/news/172861
Fortinet甫修補的漏洞已遭駭客濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Fortinet上周修補影響旗下防火牆、閘道器等產品的<a href="https://fortiguard.fortinet.com/psirt/FG-IR-25-647" target="_blank">兩個重大漏洞</a>已經遭人濫用。</p> <p>這兩項漏洞CVE-2025-59718及CVE-2025-59719，皆為加密簽章不當驗證造成，未經身分驗證的攻擊者可發送特製的SAML訊息，即可繞過FortiCloud單一簽入（SSO）的身分驗證機制，啟用此單一簽入機制的FortiOS、FortiWeb、FortiProxy，或是FortiSwitchManager都會受影響。這兩項漏洞CVSS風險分數皆達9.8。</p> <p>早在Fortinet修補兩個漏洞後兩日，即12月12日資安業者<a href="https://arcticwolf.com/resources/blog/arctic-wolf-observes-malicious-sso-logins-following-disclosure-cve-2025-59718-cve-2025-59719/" target="_blank">Arctic Wolf</a>就開始觀察到閘道器FortiGate裝置，出現惡意單一簽入登入（SSO login）的跡象。</p> <p>分析存取IP位置是來自數家代管業者，包括The Constant Company LLC, BL Networks及Kaopu Cloud HK Limited，意謂可能是協同攻擊。一如常見惡意登入，這幾波存取的目標也是管理員帳號。而攻擊者在成功登入後，就將系統配置資訊（像是憑證及裝置設定）利用GUI介面傳到來源IP位址。</p> <p>研究人員建議受影響的Fortinet用戶應重設防火牆憑證，不可因憑證多半經過雜湊處理而心存僥倖，特別是如果憑證屬於弱密碼，可能容易遭到字典攻擊破解。此外，企業應將防火牆、VPN裝置的管理介面存取權，限縮於少數受信託的內部使用者。</p> <p>研究人員也呼籲Fortinet用戶升級到最新版軟體。此外Fortinet建議尚未安裝更新的用戶，應先關閉FortiCloud 登入。</p> </div></div></div>
2025/12/17 12:13作者林妍溱https://www.ithome.com.tw/news/172862
Atlassian修補旗下產品46項漏洞，Apache Tika滿分XXE入列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Atlassian發布<a href="https://confluence.atlassian.com/security/security-bulletin-december-11-2025-1689616574.html">12月資安公告</a>，表示過去一個月針對旗下資料中心與伺服器自託管產品更新版本，累計修補37項高嚴重度漏洞，與9項關鍵嚴重度的第三方元件漏洞。Atlassian建議用戶將系統升級至最新版，或至少升到公告所列已修補版本，以消除受影響的相依套件風險。 </p> <p>在本次公告列出的多項漏洞中，<a href="https://www.ithome.com.tw/news/172726">CVSS 10分的Apache Tika XXE弱點CVE-2025-66516</a>最受關注。Atlassian在Bamboo、Confluence、Jira Software、Jira Service Management等條目列出此CVE，並同樣出現在Crowd與Fisheye/Crucible的條目中。Atlassian也提醒，這屬第三方相依套件弱點，依其評估在自家產品的實際使用情境下風險較低，但仍已隨新版納入修補。</p> <p>Apache Tika是常見的內容分析與中繼資料抽取工具，企業系統常用於後端自動解析使用者上傳或批次匯入的文件。依NVD描述，CVE-2025-66516屬於透過PDF內特製XFA內容，觸發XML外部實體（XML External Entity，XXE）漏洞的問題。當後端解析流程處理到該檔案時，攻擊者可能藉此讀取敏感資料，或觸發對內部資源或第三方伺服器的非預期請求，風險包含資訊外洩與伺服器端請求偽造（Server-Side Request Forgery，SSRF）。</p> <p>Atlassian列出各產品CVE-2025-66516修補版本，Bamboo在12.0.2、10.2.12 LTS與9.6.20 LTS後完成修補，Confluence則對應10.2.1 LTS、9.2.12與8.5.30 LTS，Jira Software與Jira Service Management建議升級至11.3.0 LTS或10.3.15 LTS等已修補版本。Atlassian同時強調，資安公告所揭露的CVE已評估對客戶屬非關鍵風險，要是出現需要立即處置的漏洞，會改以關鍵資安通報另行發布。</p> <p>除了Apache Tika之外，Atlassian也在同一份公告列出多項影響面較廣的修補，例如Confluence修補了SSRF漏洞CVE-2024-29415，並處理loader-utils相關的原型污染風險CVE-2022-37601。Jira與Jira Service Management除了列入CVE-2025-66516，也在同一份公告中列出XXE相關的CVE-2025-54988，以及axios相依套件的SSRF風險CVE-2025-27152。Bitbucket方面，Atlassian指出已在新版本修補一項第三方相依套件的阻斷服務漏洞CVE-2024-7254。</p> </div></div></div>
2025/12/17 09:13作者李建興https://www.ithome.com.tw/news/172857
Let's Encrypt明年起導入Generation Y憑證鏈，新憑證不再支援TLS用戶端驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>非營利憑證機構Let’s Encrypt將<a href="https://community.letsencrypt.org/t/upcoming-changes-to-let-s-encrypt-certificates/243873">自2026年起分階段調整憑證發行與效期政策</a>，重點包括導入新一代Generation Y根憑證與中繼CA階層，並逐步讓新簽發憑證不再包含TLS用戶端驗證的延伸金鑰用途（EKU），讓憑證用途更聚焦在TLS伺服器（tlsserver）驗證。同時也將依產業規範，逐步縮短憑證有效期。</p> <p>官方指出，多數僅用於網站HTTPS的使用者預期不需採取行動，但要是曾將Let’s Encrypt憑證用於mTLS等用戶端身分驗證情境，則應提前盤點並調整。</p> <p>Generation Y不是單指一張新憑證，而是一套新的簽發階層，包含2張新根憑證與6張新中繼CA。Let’s Encrypt說明，這套階層在<a href="https://letsencrypt.org/2025/11/24/gen-y-hierarchy.html">2025年9月的儀式（Key Ceremony）</a>中產生，接下來會逐步用來簽發憑證並送交各大根憑證信任計畫（Root Program）納入信任存放區。為了降低相容性風險，新根憑證也會由既有根憑證交叉簽發，在既有信任鏈仍可運作的環境下平順過渡。</p> <p>Generation Y的特別之處在於用途切割，官方提到，新一代中繼CA不再包含TLS Web Client Authentication相關延伸金鑰用途，無法再簽發含clientAuth用途的終端憑證。也就是說，即使同樣是Let’s Encrypt簽出的憑證，未來會更明確地只對準TLS伺服器驗證用途，而不再同時涵蓋用戶端驗證用途。官方將以ACME簽發設定分流影響範圍，待TLS用戶端驗證用途退場後，再把新中繼CA擴大用於所有簽發。 </p> <p>依官方時程，2026年2月11日起預設憑證簽發設定（Classic Profile）新簽發的憑證將移除TLS Client Authentication EKU。需要更長緩衝期者可改用TLS用戶端驗證專用簽發設定，但該profile僅提供到2026年5月13日。至於Generation Y的導入，Let’s Encrypt表示初期將優先用於TLS伺服器與短效期憑證設定，並推進短效期憑證選項，包含在憑證中納入IP位址作為識別類型。</p> <p>在效期方面，Let’s Encrypt規畫將憑證有效期從現行90天逐步縮短至45天。自2026年5月13日起，只要選用ACME的TLS 伺服器專用設定檔，新簽發憑證就會改為45天效期，供早期採用者與測試使用，2027年2月10日起，預設的設定檔新簽發憑證效期將降為64天，並在2028年2月16日再降為45天。</p> <p>官方也提醒，這些日期是針對新簽發憑證生效，使用者通常會在下一次續期時才看到效期變短，效期縮短後自動化續期與監控也會更重要，建議及早確認既有憑證管理機制能因應更新頻率變化。</p> </div></div></div>
2025/12/17 08:00作者李建興https://www.ithome.com.tw/news/172856
【資安日報】12月16日，更多中國駭客加入利用React2Shell的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172844"><strong style="font-size: 22px;">5個中國國家級駭客加入利用React2Shell的行列，部署後門及隧道工具控制受害主機</strong></a></p> <p>12月13日Google威脅情報團隊（GTIG）揭露中國駭客組織UNC6586、UNC6588、UNC6595、UNC6600，以及UNC6603的全球攻擊活動，共通點在於，過程裡駭客都使用了CVSS風險高達10分的React伺服器元件（RSC）漏洞CVE-2025-55182（React2Shell）而得逞。</p> <p>其中，較為特別的是UNC6600的活動，他們利用React2Shell漏洞來傳送隧道工具MinoCat。他們執行bash指令碼來建立隱藏的資料夾，清除特定名稱的處理程序，然後下載MinoCat的二進位檔案，駭客於特定的使用者Shell組態插入惡意命令，來啟動MinoCat，此為Go語言打造的64位元ELF執行檔，搭載自製的wrapper元件NSS，以及開源的Fast Reverse Proxy（FRP）用戶端元件，來處理隧道通訊。為了能讓隧道工具持續運作，UNC6600建立新的cron工作排程，並濫用systemd服務。</p> <p>另一個惡意程式下載工具Snowlight的活動，也相當值得留意，UNC6586利用漏洞執行命令，或是接收指令碼，然後下載Snowlight，此為Go語言後門程式Vshell的元件，駭客用於對C2發送HTTP GET請求，從C2基礎設施取得其他的有效酬載。值得留意的是，已有外號為UNC5174或CL-STA-1015中國駭客組織，利用React2Shell散布Snowlight與Vshell，然後竊取AWS組態及憑證檔案，揭露此事的資安公司Palo Alto Networks指出，他們確認至少有30家企業受害。</p> <p><a href="https://www.ithome.com.tw/news/172833"><strong style="font-size: 22px;">滿分資安漏洞React2Shell利用活動急速升溫</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BLOG-3096_2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BLOG-3096_2.png" style="width: 300px; float: right;" /></a></p> <p>兩週前React開發團隊發布更新，修補CVSS風險高達10分的React伺服器元件（RSC）漏洞CVE-2025-55182（React2Shell），引起資安圈高度關注，大型雲端公司、資安公司，以及研究機構隨即發現漏洞熱烈遭到利用的現象，中國與北韓國家級駭客、殭屍網路，以及挖礦軟體皆加入利用行動，如今有新的調查指出，漏洞公布一週後，威脅出現急劇升溫的現象。</p> <p>上週資安公司Cloudflare公布分析結果，指出利用漏洞的攻擊者，主要鎖定特定地區或國家的網路環境，明確聚焦在臺灣、新疆維吾爾、越南、日本，以及紐西蘭，想要利用多種公開可用的工具、商用產品，企圖藉此找出具有高價值的應用程式伺服器，針對政府機關、學術研究機構，以及經營關鍵基礎設施的廠商，其中包含負責鈾、稀有金屬，以及核燃料進出口的政府單位。再者，駭客偏好針對企業採用的密碼管理工具與安全儲存庫，以及採用React為基礎開發的SSL VPN設備管理介面，藉此增加漏洞帶來的危害。</p> <p>附帶一提的是，攻擊者不光透過基本的特徵（Fingerprint）識別存在弱點的環境，還會根據SSL憑證資料，來更加精確找出攻擊目標，並安排下手的優先順序。Cloudflare提及，駭客刻意過濾中國的IP位址，顯然是避免將自己國家的基礎設施列為攻擊目標，再加上他們看到的掃描與漏洞嘗試利用行為，與多個亞洲駭客組織使用的IP位址有關，因此該公司認為，攻擊者可能是亞洲地區的駭客組織。</p> <p><a href="https://www.ithome.com.tw/news/172851"><strong style="font-size: 22px;">有人假借提供React2Shell掃描工具的名義，於GitHub散布惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1765371409528.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1765371409528.jpg" style="width: 300px; float: right;" /></a></p> <p>兩週前React開發工程團隊修補滿分資安漏洞CVE-2025-55182（React2Shell）引起全球資安圈高度關注，不僅在公布數小時後開始出現攻擊活動，網路上也出現大量的概念驗證（PoC）工具，這種極為不尋常的情況，也出現有人趁亂打劫，對研究人員散布惡意軟體。</p> <p>根據資安新聞網站HackRead報導，上週資安研究員Saurabh在職場社群網站LinkedIn提出警告，他們在GitHub看到有人假借提供React2Shell漏洞掃描工具的名義，意圖散布惡意軟體，埋藏在「資安工具」當中的有效酬載，就會執行mshta.exe，然後將研究人員帶往釣魚網域https://py-installer[.]cc，進行後續的攻擊活動。對此，他們呼籲研究人員，在執行任何網路上的資安工具之前，務必閱讀相關說明或是公告。</p> <p>HackRead根據Saurabh發文的螢幕截圖指出，駭客使用的指令，包含了隱藏的有效酬載，其功能是從遠端抓取第二階段攻擊的惡意軟體。此惡意軟體嵌入於Base64編碼的字串，攻擊者以PowerShell命令解開並執行，濫用合法Windows工具執行惡意指令碼，並將使用者導向另一個存放在GitHub的指令碼，過程裡不需使用者互動。</p> <p><a href="https://www.ithome.com.tw/news/172840"><strong style="font-size: 22px;">法國內政部遭網路攻擊，駭客入侵郵件伺服器</strong></a></p> <p>法國內政部長Laurent Nunez證實上週發生網路攻擊，駭客入侵了郵件伺服器。他向法國廣播電臺RTL指出，事件發生於2025年12月11日晚間至12日，攻擊者存取數臺郵件伺服器上的檔案，但是無法確認資料是否已經失竊。</p> <p>針對攻擊者的身分，外傳很有可能是俄羅斯駭客所為。RTL引述法國國家資訊系統安全局（ANSSI）今年4月發表的報告，相信十多起針對法國組織包括部長級機構、地方政府、法國國防技術與工業生產商、航空航太機構、研究機構、智庫，以及經濟和金融單位的攻擊，是由與俄羅斯軍事情報組織有關的駭客組織APT28所為。</p> <p>本周德國外交部長也指控俄羅斯駭客組織Fancy Bear去年駭入德國飛航控制系統，此外今年初俄國駭客也入侵選務機關企圖影響大選結果，因此傳喚俄羅斯大使解釋。</p> <p><a href="https://www.ithome.com.tw/news/172822"><strong style="font-size: 22px;">安卓惡意程式DroidLock鎖定西班牙語用戶，可全面接管裝置向使用者勒索</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/8Takeover.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/8Takeover.png" style="width: 300px; float: right;" /></a></p> <p>美國專注於行動資安的Zimperium揭露安卓惡意程式DroidLock，鎖定講西班牙文用戶展開攻擊。該惡意程式並未利用任何安全漏洞，而是透過取得無障礙服務（Accessibility）權限，最終接管受害者手機並進行勒索。</p> <p>DroidLock主要透過釣魚網站散布，誘使使用者側載APK檔案，常偽裝成系統更新或合法應用程式。使用者一旦安裝，惡意程式會先要求啟用無障礙服務，並以偽造的更新畫面來引導操作。由於無障礙服務原本就被設計用來協助身障使用者操作裝置，一經授權，便能讀取畫面內容、模擬點擊與輸入，等同於替使用者操作整支手機。</p> <p>至此，駭客已能鎖住裝置、變更裝置PIN碼或生物辨識設定，或是執行原廠重置；DroidLock也具備勒索軟體功能，駭客可透過遠端指令於手機上顯示覆蓋全螢幕的勒索畫面，要求使用者在24小時內聯絡指定電子郵件並支付贖金，否則將會清除裝置資料。</p> <p><a href="https://www.ithome.com.tw/news/172842"><strong style="font-size: 22px;">Google將在2026年初關閉暗網報告通知服務</strong></a></p> <p>Google本周預告，可通報使用者個資流入駭客社群的暗網報告（Dark Web Report）服務將在2026年2月終止服務。從2026年1月15日起，這服務將停止掃描新資料外洩於暗網的案例。而在2月16日起，整個暗網報告服務就會下線。之後所有和該服務相關的資料都會被刪除，用戶也可以提早自行到暗網報告刪除，但一旦用戶刪除了自己的資料檔案，就無法再存取暗網報告了。</p> <p>暗網報告首於2023年推出，主要是用來協助使用者監控於暗網中流傳的個資，如姓名、地址、電話號碼與電子郵件帳戶。只要啟用該功能，每當Google於暗網中發現使用者個資時，便會通知用戶。該功能原本只提供給付費的Google One訂閱用戶，但去年擴及所有Google帳戶用戶，臺灣也是支援的市場之一。</p> <p>Google說明，暗網報告服務雖然提供概略資訊，但使用者回饋意見反映，它並沒有提供有用的後續步驟。因此Google決定，將心力投入在能提供更清楚、可行步驟的工具，以保護用戶線上資訊。Google說，將會打造新的工具以執行追蹤和防範網路威脅，包括暗網。</p> <p><a href="https://www.ithome.com.tw/news/172792"><strong style="font-size: 22px;">Brave測試AI代理上網功能，加入多項安全隱私機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/brave-AI-agent-task.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/brave-AI-agent-task.jpg" style="width: 300px; float: right;" /></a></p> <p>12月11日Brave開發工程團隊宣布AI上網功能提供測試，強調多項安全及隱私設計。</p> <p>最新的AI上網功能是Brave最新代理人功能，將整合在其AI助理Leo中，可根據用戶提示建議上網行動。現在新功能透過Brave Nightly早期測試版釋出。和所有AI功能一樣，AI上網功能預設關閉，使用者必須開啟brave://flags的「Brave AI browsing」啟用。</p> <p>該公司強調Brave AI上網功能的隱私和安全設計。為防範代理人上網的二大風險，包括提示注入及模型行為不慎造成使用者傷害。AI上網功能的儲存將和一般上網紀錄，如cookies、登入狀態、快取、和其他資料隔離開來，以免影響資料安全及隱私。</p> <p><a href="https://www.ithome.com.tw/news/172848"><strong style="font-size: 22px;">數位情報網再升級，跨界聯防共築全民防線：網詐通報查詢網3.0全新改版</strong></a></p> <p>為了展現政府運用數位科技打擊網路詐騙的強大決心與行動力，數位發展部（簡稱數發部）在萬眾矚目下，日前正式宣布「網路詐騙通報查詢網」（簡稱網詐網）已全面改版升級至3.0版本，這個前所未有的防禦升級行動，更被數位發展部部長林宜敬定義為意義深遠的「情資聯防元年」。</p> <p>林宜敬強調，打詐的本質是「好人跟壞人之間不斷的攻防」。他指出，政府作為「好人一方」，持續致力於堵塞各種詐騙的可能管道，然而，詐騙集團作為「壞人一方」，則會不斷地去尋找新的漏洞。</p> <p>面對這場永恆的數位戰役，林宜敬明確指出，「好人隊」要取得優勢，需要更堅強的隊友與更多資源。對此，他表示，此次的版本升級也意味著，臺灣防詐戰略已從過去單點的技術防守，躍升為跨部會、跨地方、跨產業的公私協力聯防體系。</p> <p><a href="https://www.ithome.com.tw/news/172773"><strong style="font-size: 22px;">【當資安已成產品「內建」基本要求】漏洞風險與法規遵循壓力與日俱增，臺廠做好產品資安刻不容緩</strong></a></p> <p>產品資安漏洞是企業面臨的首要資安風險之一，也讓消費者暴露於網路攻擊之下，真正承受後果的往往是終端使用者，而問題根源則多半出在產品本身。在這樣的風險態勢下，多年來，外界不斷呼籲產品業者正視產品上市後的維護責任，主動運用CVE機制公開漏洞，並提供緩解與修補方案，讓漏洞被登記、可被追蹤，同時也讓用戶得以及時更新，才能有效降低風險。</p> <p>然而，現實中仍存在多項結構性挑戰，使得產品漏洞問題的解決始終是一項永遠無法停止的工程。長年以來，我們陸續報導各種漏洞攻擊事件，廠商發布安全性更新，以及產業在漏洞應變與安全開發的最新態勢。有些廠商雖然重視資安且肩負社會責任，主動投入產品資安改善的工程；但也有不少廠商缺乏動力，出貨後缺乏漏洞管理機制，在開發決策上，優先考量功能、將安全排在最後，甚至認為漏洞是家醜不可外揚。</p> <p>也正因為如此，近兩年可看到國際間開始以立法方式強化產品資安，尤其是歐盟網路韌性法（Cyber Resilience Act，CRA），已在去年 12 月正式生效，並將在2027年全面強制執行。對於臺灣產品業者而言，產品資安的重要性與日俱增，甚至已成為法規明文要求的基本門檻，因此，必須積極因應相關要求。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/askul-confirms-theft-of-740k-customer-records-in-ransomhouse-attack/">日本電商公司Askul遭駭傳出是勒索軟體RansomHouse所為，74萬筆客戶記錄遭竊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/185661/data-breach/experts-found-an-unsecured-16tb-database-containing-4-3b-professional-records.html">未受保護的大型MongoDB資料庫存放16 TB資料，43億筆職場社群網站LinkedIn個資曝光</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pornhub-extorted-after-hackers-steal-premium-member-activity-data/">成人網站PornHub合作的資料分析服務公司遭ShinyHunters入侵，部分付費會員資料恐外流</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/uk-ico-fine-lastpass-2022-security-breach/">針對2022年密碼管理服務商LastPass資料外洩，英國開罰120萬英鎊</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/atlassian-patches-critical-apache-tika-flaw/">Atlassian為旗下應用系統修補Apache Tika滿分漏洞</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172834"><strong>【12月15日】開發人員在Docker Hub曝露大量憑證，有人將其收集並在地下論壇兜售</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172801"><strong>【12月12日】惡意軟體NanoRemote濫用Google Drive的API從事通訊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172761"><strong>【12月11日】React2Shell攻擊活動持續擴大，北韓駭客、挖礦軟體、殭屍網路加入行列</strong></a></p> </div></div></div>
2025/12/16 16:22作者周峻佑https://www.ithome.com.tw/news/172853
有人假借提供React2Shell掃描工具的名義，於GitHub散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>兩週前React開發工程團隊修補滿分資安漏洞CVE-2025-55182（React2Shell）引起全球資安圈高度關注，不僅在公布數小時後開始出現攻擊活動，網路上也出現大量的概念驗證（PoC）工具，這種極為不尋常的情況，也出現有人趁亂打劫，對研究人員散布惡意軟體。</p> <p><strong><a href="https://hackread.com/github-scanner-react2shell-cve-2025-55182-malware/">根據資安新聞網站HackRead報導</a></strong>，上週<strong><a href="https://www.linkedin.com/posts/saurabh-b294b21aa_react2shell-activity-7404504370694037504-WRZ9/">資安研究員Saurabh在職場社群網站LinkedIn提出警告</a></strong>，他們在GitHub看到有人假借提供React2Shell漏洞掃描工具的名義，意圖散布惡意軟體，埋藏在「資安工具」當中的有效酬載，就會執行mshta.exe，然後將研究人員帶往釣魚網域https://py-installer[.]cc，進行後續的攻擊活動。對此，他們呼籲研究人員，在執行任何網路上的資安工具之前，務必閱讀相關說明或是公告。</p> <p>HackRead根據Saurabh發文的螢幕截圖指出，駭客使用的指令，包含了隱藏的有效酬載，其功能是從遠端抓取第二階段攻擊的惡意軟體。此惡意軟體嵌入於Base64編碼的字串，攻擊者以PowerShell命令解開並執行，濫用合法Windows工具執行惡意指令碼，並將使用者導向另一個存放在GitHub的指令碼，過程裡不需使用者互動。</p> <p>針對React2Shell概念驗證攻擊工具大量出現的現象，有資安公司公布相關規模，趨勢科技12月10日指出，<strong><a href="https://www.trendmicro.com/en_us/research/25/l/CVE-2025-55182-analysis-poc-itw.html">他們一共識別145個概念驗證攻擊工具</a></strong>，不過品質參差不齊，大部分無法觸發漏洞；另一家資安公司VulnCheck發現，<strong><a href="https://www.vulncheck.com/blog/react2shell-github">GitHub上總共有128個概念驗證攻擊工具</a></strong>，一開始大部分都是使用AI產生的無用工具，到了12月4日，名為maple3142的開發者發布真正能觸發漏洞的概念驗證攻擊工具，而被其他研究人員進行改良（同時也被駭客濫用）。再者，VulnCheck也看到以Python、JavaScript，以及bash等多種語言打造的概念驗證攻擊工具，突顯React2Shell是相當容易利用的資安漏洞，使得偏好特定程式語言的研究人員，都能輕易開發攻擊程式。</p> </div></div></div>
2025/12/16 15:55作者周峻佑https://www.ithome.com.tw/news/172851
Ai2推出完全開放的Bolmo位元組模型，不再仰賴固定詞彙表切詞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國艾倫人工智慧研究所Ai2<a href="https://allenai.org/blog/bolmo">發表</a>Bolmo 7B（70億）與Bolmo 1B（10億）兩款新語言模型，改以UTF-8位元組作為輸入與生成單位，並在模型內部動態決定文字分段，降低對既有子詞分詞器（Subword Tokenizer）與固定詞彙表的依賴。研究人員指出，子詞分詞雖普遍，但在字元層理解、空白與罕見字詞處理，以及多語支援公平性等面向仍有代價，因此嘗試以位元組層設計補足。 </p> <p>多數大型語言模型仍仰賴子詞分詞機制，將原始文字轉換為模型可處理的表示形式，雖有效降低序列長度與計算成本，但也帶來字元層理解不足、空白與拼寫處理不穩定，以及對不同語言支援不均等問題。Ai2指出，位元組層模型可直接處理原始文字結構，有助於改善傳統分詞方法的限制，但過去多半需要從零開始訓練，成本高昂，難以跟上主流模型的演進速度。</p> <p>與多數從零訓練的位元組模型不同，Bolmo採位元組化既有模型的策略。Ai2以公開的Olmo 3 7B檢查點為基礎製作Bolmo 7B，並將Olmo 2 1B改造成Bolmo 1B，透過較短的追加訓練把原本子詞模型的骨幹與能力轉為可在UTF-8位元組層運作的架構。Ai2稱Bolmo是首批完全開放的位元組層語言模型，並表示在多數任務上可與同級子詞模型相當，同時在強調字元處理的基準測試上呈現明顯提升。</p> <p>Ai2公開模型檢查點與相關資源，並把Bolmo放進其Olmo生態系，包含以Dolma 3資料混合為主要訓練來源，搭配開放程式碼資料與少量字元導向資料。官方也提供技術報告、資料與程式碼，讓外界可重現把強勢子詞模型轉為位元組模型的流程。</p> <p>研究人員進一步說明，Bolmo會先在模型內以輕量的局部編碼器處理位元組，再由邊界預測器動態決定分段位置，將可變長度的區塊（Patch）送入沿用的Transformer骨幹處理。該動態池化（Pooling）設計用來在位元組數量增加時維持推論效率，並可透過調整平均每個區塊包含的位元組數，在速度與表現之間做取捨。</p> <p>Ai2同時示範，Bolmo可繼承既有Olmo 3的後訓練成果，例如指令遵循能力，透過權重合併方式移植，降低導入位元組模型的額外成本。</p> </div></div></div>
2025/12/16 16:50作者李建興https://www.ithome.com.tw/news/172849
川普啟動U.S. Tech Force，推動聯邦政府科技現代化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.opm.gov/news/news-releases/opm-launches-us-tech-force-to-implement-president-trumps-vision-for-technology-leadership/" target="_blank">美國人事管理局（U.S. Office of Personnel Management，OPM）周一（12/15）宣布</a>，已與管理與預算辦公室（Office of Management and Budget，OMB）、總務管理署（General Services Administration，GSA）、白宮科學與科技政策辦公室（Office of Science and Technology Policy，OSTP），以及政府各部門首長協調，共同成立「美國科技力量」（United States Tech Force，Tech Force），目標是集中招募頂尖科技人才，推動聯邦政府的科技現代化。</p> <p><a href="https://techforce.gov/" target="_blank">Tech Force</a>預計招募1,000名技術專家，涵蓋軟體工程、人工智慧、網路安全、資料分析與技術專案管理等領域，還希望這些專家擁有強大的問題解決能力及對公共服務的熱情；這些人才將會被分配到各個聯邦機構，主要任務為各種高影響力的技術計畫，包含導入AI、應用程式開發、將資料現代化，以及橫跨各個聯邦機構的數位服務交付，年薪預計介於15萬~20萬美元之間。</p> <p>有趣的是，Tech Force為一只有2年任期的人才計畫，由政府招募工程師與技術專才進入聯邦機構服務，並由私人企業作為合作夥伴，負責提供技術訓練及管理經驗；在2年的任期結束後，合作企業會考慮錄用這些人才；同時企業也可推薦自家員工短期進入政府服務，形成制度化與雙向的人才流動。</p> <p>初步合作夥伴包括Adobe、AWS、AMD、蘋果、Coinbase、Databricks、Dell、Google、IBM、Meta、微軟、Nvidia、OpenAI、甲骨文、Palantir、SAP、Uber、xAI及Zoom等業者。</p> <p>簡單地說，Tech Force是一個由美國聯邦政府統籌的人才集中招募計畫，將年輕科技人才與來自私人企業的資深工程主管組成混合團隊，派駐至各部會以執行高影響力的政府科技與AI專案。Tech Force會持續存在，但人才則有2年任期。</p> <p>多數媒體認為，美國聯邦政府確實嚴重缺乏AI與工程執行力，Tech Force至少回應了這項問題，是一項必要但高風險的制度實驗，其成敗關鍵不在於所招募的人才是否足夠優秀，而在於權責劃分與監督界線是否清楚。</p> </div></div></div>
2025/12/16 17:07作者陳曉莉https://www.ithome.com.tw/news/172855
IP電話管理系統FreePBX多重漏洞可被串連濫用，攻擊者恐取得遠端執行程式碼能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Sangoma旗下開源IP電話管理系統<a href="https://horizon3.ai/attack-research/the-freepbx-rabbit-hole-cve-2025-66039-and-others/">FreePBX存在多項資安漏洞</a>，包含特定驗證模式下的身分驗證繞過漏洞CVE-2025-66039、多處SQL注入漏洞CVE-2025-61675，以及可被濫用的檔案上傳問題CVE-2025-61678。資安廠商Horizon3.ai研究人員指出，在特定設定與條件下，攻擊者可串連這些漏洞，在FreePBX主機上取得遠端執行程式碼的能力。Sangoma已針對相關問題釋出修補，涵蓋FreePBX 16.0.42、16.0.92、17.0.6與17.0.22等版本。</p> <p>研究人員表示，這組漏洞的發現源於團隊追蹤10月已出現實際攻擊行為的CVE-2025-57819時，分析FreePBX的驗證流程，進而辨識出另一條獨立的攻擊路徑。當系統的驗證類型被設定為網頁伺服器時，FreePBX會將身分驗證責任交由網頁伺服器Apache處理，應用程式本身僅檢查請求中是否包含Basic Authorization標頭。此設計導致只要提供有效的使用者名稱，即使密碼錯誤，仍可能建立工作階段並存取部分功能。</p> <p>研究人員也特別強調，FreePBX預設採用使用者管理模組作為驗證機制，因此在未調整設定的情況下，不會因CVE-2025-66039直接曝險。不過，一旦管理者改用網頁伺服器或關閉驗證，系統的攻擊面便會明顯擴大，使後續弱點更容易被利用。</p> <p>在實際可被串連的攻擊環節中，研究聚焦於Endpoint Manager模組。該模組多個設定介面存在SQL注入點，攻擊者在取得可用工作階段後，便可對後端資料庫進行讀寫操作，進而新增管理者帳號，或將惡意指令寫入排程相關資料表。研究同時指出，該模組的自訂韌體上傳功能未妥善限制檔案路徑與內容，可能讓攻擊者上傳惡意檔案至可被Web存取的位置，形成執行惡意程式碼的落腳處。</p> <p>相關問題已在FreePBX 16.0.42、16.0.92，以及17.0.6、17.0.22等版本獲得修正。研究人員建議用戶避免使用網頁伺服器驗證模式，並在必要時改回預設的使用者管理模組。此外，針對已部署系統則可檢查是否出現不明的管理帳號、異常排程工作，或Web目錄下未預期的檔案，以降低攻擊者在系統中長期滯留的風險。</p> </div></div></div>
2025/12/16 17:18作者李建興https://www.ithome.com.tw/news/172854
數位情報網再升級，跨界聯防共築全民防線：網詐通報查詢網3.0版全新改版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了展現政府運用數位科技打擊網路詐騙的強大決心與行動力，數位發展部（簡稱數發部）在萬眾矚目下，日前正式宣布「網路詐騙通報查詢網」（簡稱網詐網）已全面改版升級至3.0版本，這個前所未有的防禦升級行動，更被數位發展部部長林宜敬定義為意義深遠的「情資聯防元年」。</p> <p>林宜敬強調，打詐的本質是「好人跟壞人之間不斷的攻防」。他指出，政府作為「好人一方」，持續致力於堵塞各種詐騙的可能管道，然而，詐騙集團作為「壞人一方」，則會不斷地去尋找新的漏洞。</p> <p>面對這場永恆的數位戰役，林宜敬明確指出，「好人隊」要取得優勢，需要更堅強的隊友與更多資源。對此，他表示，此次的版本升級也意味著，臺灣防詐戰略已從過去單點的技術防守，躍升為跨部會、跨地方、跨產業的公私協力聯防體系。</p> <h2><strong>從全民通報到情資聯防，攔阻「尚未發生」的危機</strong></h2> <p>回顧「網詐通報查詢網」的發展歷程，數發部早在2024年9月30日便首次公開測試此平臺，其核心概念是結合全民的力量，讓民眾在臉書（Meta）、Google、或Line等網路平臺，看到可疑訊息、懷疑其為詐騙時，能夠將該網址複製下來，貼到查詢網中進行查核。民眾不僅能在此得知該訊息是否已被通報，或確認為詐騙訊息，若尚未有人通報，民眾也能夠當場進行通報，為防詐貢獻一份「工人智慧」的力量。</p> <p>這種公私協作的模式推出以來，已展現出相當不錯的成果。根據數發部統計，自2024年9月30日公開測試至2025年11月11日，平臺累計接收超過439,598次的通報數，其中，經過確認的詐騙訊息數量已超過214,618件。</p> <p>數發部同時進行了效益統計，將所有建置與系統開發經費除以下架的訊息量，目前每件詐騙訊息下架的平均成本大約是新臺幣192元。</p> <p>林宜敬明確表示，希望未來能持續將這個金額繼續往下壓縮，這不僅是降低政府的營運成本，更重要的是：透過快速下架，能夠有效地墊高詐騙集團的犯罪成本，從而達到嚇阻效果。</p> <p>然而，攔阻超過21萬件詐騙訊息，究竟避免多少金額損失？林宜敬以「守備範圍」的概念來解釋數發部的戰略位置。他將整個詐騙流程比喻為棒球場上的守備，詐騙集團的流程是先在「開放式平臺」（如Facebook、Google）發布廣告，將民眾騙到「封閉性群組」（如Line）。他坦言，數發部的守備範圍，正是要防止民眾在「開放平臺階段」被騙入封閉群組。</p> <p>由於「網詐通報查詢網」主要是阻絕尚未發生的詐騙，因此無法統計具體的攔阻金額。但林宜敬假設，如果每件被攔阻的詐騙，都可能讓受害者損失1萬元，那麼，攔阻21萬件詐騙訊息，就相當於防堵了21億元的潛在損失。</p> <p>他認為，這項工作的重要性，直接體現在將可疑訊息數量降到最低，從而減輕後續檢警和金管會的負擔。</p> <p>林宜敬也觀察到，由於網路上的直接詐騙受到抑制，詐騙集團正轉向其他方式，例如：線下的假警調或直接拜訪。因此，數發部在後續階段利用科技協助其他部會，例如利用AI方式協助金管會監控「異常金流」，或協助內政部警政署進行數位稽證來抓捕壞人。</p> <p>針對43萬多件通報數中，剩餘的22萬件是否未被處理的疑慮，數位發展部數位產業署組長林青嶔澄清，所有通報事實上都已在處理。未下架的原因主要分為三類：第一類是經查核後確定屬於民眾多心或錯誤通報的「非詐騙訊息」；第二類是尚未確定為詐騙，但系統會對民眾示警「高風險警示」；第三類是仍有部分案件，需要經由各部會確認中。林青嶔強調，由於「下架」是一種行政處分，必須確認無誤後才能執行。</p> <h2><strong>詐騙態樣從大額詐騙轉到小額詐騙，通報難度驟增</strong></h2> <p>林青嶔表示，「網詐通報查詢網3.0版」升級的必要性，來自詐騙態樣的快速變異與民眾通報量的暴增。</p> <p>在持續的宣導推廣下，民眾已逐漸開始習慣運用這樣的平臺進行通報。數發部觀察到，民眾的通報意願與頻率顯著增長，在2025年8月前，民眾的通報數每月平均約有2.8萬件；但到了2025年9月，通報數暴增「翻倍」達到約6萬件。</p> <p>面對如此龐大的案件數，林青嶔認為，如何確保訊息的準確性、提升效率，並更擴大地來把這些訊息下架，成為數發部持續面臨的挑戰。</p> <p>林青嶔坦言，網詐網更關鍵的挑戰，來自詐騙集團戰略的改變。他指出，過去民眾較為熟悉的，多是鎖定大額金額的金融投資或身分冒充詐騙，例如冒充財經網紅或謝金河先生等；然而，在數發部不斷針對這類名人詐騙廣告進行強力下架後，詐騙集團的模式開始發生重大轉變。</p> <p>林青嶔提到，現在「產品服務」類型的詐騙有增多的趨勢。他以「吊車大王」被冒用來販賣護膚產品為例，連當事人本人都必須出面澄清，親自表明自己並未銷售相關護膚產品。他說：「這個現象，顯示了詐騙模式的多樣性和不斷變異。」</p> <p>更值得注意的是，詐騙集團已從過去追求「大額、少數」的模式，轉變為鎖定「小額、量多」的案件。林青嶔解釋，現在詐騙集團利用服務或產品詐騙，可能僅涉及新臺幣一、兩千元的小額詐騙，而詐騙集團正是利用這種不斷欺騙受害者的方式，達到「積少成多」的效果，累積龐大的詐騙金額。</p> <p>因此，網詐通報查詢網的系統功能，必須能夠即時反映這些多變的詐騙態樣，並接收來自不同部會的專業通報，才能達成大量下降詐騙廣告的目標。</p> <h2><strong>網詐網3.0聯防戰略，從自主AI到情資共享</strong></h2> <p>為了應對詐騙集團的集團化運作和快速變異，網詐通報查詢網的系統開發，經歷了嚴謹的迭代歷程。</p> <p>最早2023年12月推出的「Phase 0」階段，由於詐騙情勢成型，系統主要依賴自主的AI掃描，主動偵測並通報平臺業者下架詐騙訊息；隨後在2024年5月，數發部針對謝金河等名人建立了專屬的通報機制，開放公眾人物反詐專用郵箱進行通報。</p> <p>在2024年9月推出「Phase 1」階段則是一個關鍵轉捩點，當時網詐通報查詢網1.0版的公開測試，正式開放民眾通報檢舉各種網路詐騙，標誌著從單純的「人工智慧」轉向結合「工人智慧」（民眾回饋）的模式。</p> <p>到了2025年5月推出的「Phase 2」階段，則是網詐通報查詢網2.0版正式上線，為了確保與跨部會之間的連結更為順暢，系統也開始開放部會通報，聯合衛福部、金管會等部會，彼此做情資通報。<br /> 林青嶔指出，雖然2.0版已結合AI與民眾力量，但仍不足以應對當前的情勢。因此，數發部在2025年11月正式上線推出的「3.0版」最大的核心價值，就是將情資的聯防推向極致。</p> <p>數發部目前推動的「Phase 3」階段，除了開放縣市政府通報外，也進一步在系統中整合了第三方機構，包括臺灣事實查核中心（TFC）、趨勢科技（AI防詐達人）、走著瞧（Gogolook）等業者的情資，透過這些公私部門的夥伴攜手合作，可以在網詐通報查詢網進行情資交換與情資分享。</p> <h2><strong>八大情資來源成為編織密實的聯防蜘蛛網</strong></h2> <p>林青嶔強調，這張防詐大網，若想要做到防堵所有可能的詐騙廣告與訊息，就必須將「蜘蛛網弄得很密」才行。因此，網詐網3.0版啟動後，防詐體系涵蓋公私協力，讓情資來源從原本的「民眾通報」、「資安院AI巡檢」和「公眾人物專屬通報」等三個來源，一口氣擴充到八個。</p> <p>林青嶔表示，另外擴充的五個來源，首先前兩個來源就是整合中央部會和地方政府的通報聯防。網詐網串接包括：金管會、內政部、衛福部等中央部會進行通報；並將地方政府納入通報來源，涵蓋臺北市、臺東市、嘉義市等多個地方政府，加速詐騙案件處理時效。</p> <p>此外，第三個來源就是由網詐網藉由加強產業協防，串接四大網路廣告平臺業者，以及電商、遊戲、第三方支付等，並納入包括Gogolook、趨勢科技等業者的情資，提升產業協防能力。</p> <p>同時，第四個來源則是，網詐網透過與其他公協會的合作，包含：臺灣數位安全發展協會、事實查核教育基金會和無店面工會等，擴大對民眾服務的範圍，做到強化公司協防。最後也是最關鍵的來源就是「全民通報」，要做到提升民眾防詐意識，讓全民都成為詐騙通報來源，共同構築詐騙防護網。</p> <p>其中，數發部與趨勢科技、Gogolook的合作當中，還會利用AI技術，預先進行「風險分析」與「預判」，判別訊息為詐騙的可能性有多大。但林宜敬也強調，最終的確認仍需透過人工，例如詢問名人本人或秘書，確保「百分之百」的準確性，避免行政處分錯誤。</p> <h2><strong>網詐網改版核心，從前端阻絕到加速後端執法</strong></h2> <p>林青嶔特別點出，本次3.0版改版的核心，體現在下列四個關鍵面向的強化，目的是加速行政流程、擴大情資涵蓋範圍，並提升全民的防詐警覺。</p> <p>面向一，做到讓通報更全面。他表示，新版網詐網除了新增第三方情資來源，擴大接受企業、民間單位情資外，也強化了「公眾人物與企業專屬通報機制」，讓遭冒用者可以即時回報，使得防詐廣告能夠快速攔截。</p> <p>面向二，讓審查更快速。數發部強化了跨部會API串接，目前金管會已可依自身程序快速處理詐騙通報情資，未來希望擴大到其他部會，如衛福部等；同時，數發部也將協助地方政府導入相關系統，讓各地的地方政府和派出所等，也能直接審查、通報，全面提升第一線的處理效率。</p> <p>面向三，下架更及時。為了解決詐騙在封閉平臺上的傳播問題，林青嶔表示，網詐網3.0版實現了LINE API直連，確認通報的真實性後，就可直接停權詐騙帳號，大幅提升效率。</p> <p>此外，相關的行政處分採用了「電子送達」方式，確保地方政府能快速送達平臺，落實執法，讓整個行政處分流程更加快速，避免延誤。</p> <p>林青嶔指出，數發部也依據《詐欺犯罪危害防制條例》第32.1.1條針對付費廣告，和第33條針對其他類型的相關規定，可以通知各平臺迅速下架網路詐騙訊息，以達成「即時查詢」、「主動通報」、「AI掃描」及「快速下架」四大目的。</p> <p>面向四，讓民眾覺得更好用，優化UI和UX。數發部進行了新版網詐網UI和UX的升級，使介面操作更直覺，讓民眾可以「一眼看懂、一鍵完成」通報或查詢，提升使用者體驗。</p> <p>在此同時，系統新增了「重大防詐訊息即時推播」功能，做到讓宣導更即時，例如，先前有詐騙集團利用「普發現金」等社會重大事件的詐騙訊息，系統會以蓋版頁面的方式即時推播，並透過新增的小鈴鐺提醒有重要公告以提升社會警覺，告知民眾當前流行的詐騙態樣。此外，當民眾輸入通報的詐騙網址後，系統也能夠即時判斷風險高低，並在後臺進行處理。</p> <h2><strong>納入提供情資與代表公民社會的聯防夥伴</strong></h2> <p>網詐網升級新版的過程中，最重要的關鍵在於：納入其他更多的合作夥伴。臺灣數位安全發展協會理事長劉彥伯表示，該協會雖然成立僅約三個月，但成員都是來自民間的高手，包含Meta、Dcard、Line等平臺業者、區塊鏈貨幣分析師和法律專家等。</p> <p>劉彥伯讚揚網詐通報查詢網是個非常好的大平臺，將這些潛伏在各界的民間高手聚集在一起，將能量整合，開啟新的防詐篇章。他強調，透過整合的方式，讓好人隊能更有效地打擊詐騙集團「多樣態、跨國、跨平臺」的攻擊方式，真正做到團結力量大。</p> <p>趨勢科技行銷部協理陳亭妏認為，當詐騙集團已進入「集團化」運作時，好人隊除了集結力量外，更必須善用新的科技。因此，趨勢科技在對抗詐騙時，除了採用全球最領先的AI技術外，還結合在地的情資，用來了解本土詐騙手法。</p> <p>她強調，趨勢科技的核心價值，便是將AI技術和經過「驗證的」（Validation）情資，透過數發部網詐網這個全民大平臺，實現最好的聯防機制，共同打造全民的詐騙守護網。</p> <p>臺灣事實查核中心（TFC）董事兼執行長邱家宜則從公民社會的角度，提出了更深的倡議。她沉痛地指出，詐騙每年造成臺灣社會上千億元的損失，傷害了許多民眾的血汗錢和退休金，臺灣事實查核中心雖然是小型組織，但代表公民社會的力量，希望盡一份心力協助防治詐騙。</p> <p>然而，臺灣事實查核目前看到的詐騙多是「下游氾濫成災」，邱家宜期望政府能透過法治框架，加強「平臺的課責治理責任」（Platform Accountability），從中游、上游著手，進行更有效率的數位治理。</p> <p>她坦言，目前許多工作是在狀況很糟、民眾受騙後才進行通報，甚至還不一定能成功下架，這有些事倍功半，因此希望政府能做得更多。</p> <p>走著瞧（Gogolook）雲端技術總監池凱琳則強調，面對無孔不入的詐騙，單靠單一企業的力量是遠遠不夠的，「這是一場全民戰爭。」他指出，Gogolook的用戶不僅是服務的使用者，更是防詐的「吹哨者」（whistleblowers），所以，他們願意在第一時間發現威脅時就啟動通報機制。</p> <p>他認為，這種來自民間、最即時的防詐情資，就是防詐拼圖中不可或缺的一塊拼圖。因此，Gogolook積極響應，要將這股擁有700萬用戶的力量，導入到數發部的詐騙防禦體系中，一起加入這個「更強的國家隊」。</p> <p>網詐通報查詢網3.0版的啟動，意味著：臺灣數位防詐戰略從單一部會的技術應對，升級為全面的「情資聯防」體系。林宜敬表示，透過八大情資來源的整合，以及四項關鍵功能強化，數發部不僅成功提高了民眾參與度，也將防線前推至詐騙集團得手前的第一線，有效地提升了行政處分的效率與速度。</p> </div></div></div>
2025/12/16 15:22作者黃彥棻https://www.ithome.com.tw/news/172848
5個中國國家級駭客加入利用React2Shell的行列，部署後門及隧道工具控制受害主機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本月3日React開發工程團隊修補風險值達到10分的資安漏洞CVE-2025-55182（React2Shell），此漏洞發生在React Server Components（RSC）元件，最早傳出<strong><a href="https://www.ithome.com.tw/news/172651">Earth Lamia（UNC5454）與Jackpot Panda等多組中國國家級駭客試圖利用</a></strong>，後續也有多家資安公司發現該國駭客的相關活動，現在有新的調查結果出爐，指出有5組中國駭客加入漏洞利用行列。</p> <p>12月13日Google威脅情報團隊（GTIG）揭露<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/threat-actors-exploit-react2shell-cve-2025-55182/">中國駭客組織UNC6586、UNC6588、UNC6595、UNC6600，以及UNC6603的全球攻擊活動</a></strong>，共通點在於，過程裡駭客都使用了React2Shell而得逞。</p> <p>其中，較為特別的是UNC6600的活動，他們利用React2Shell漏洞來傳送隧道工具MinoCat。他們執行bash指令碼來建立隱藏的資料夾，清除特定名稱的處理程序，然後下載MinoCat的二進位檔案，駭客於特定的使用者Shell組態插入惡意命令，來啟動MinoCat，此為Go語言打造的64位元ELF執行檔，搭載自製的wrapper元件NSS，以及開源的Fast Reverse Proxy（FRP）用戶端元件，來處理隧道通訊。為了能讓隧道工具持續運作，UNC6600建立新的cron工作排程，並濫用systemd服務。</p> <p>另一個惡意程式下載工具Snowlight的活動，也相當值得留意，UNC6586利用漏洞執行命令，或是接收指令碼，然後下載Snowlight，此為Go語言後門程式Vshell的元件，駭客用於對C2發送HTTP GET請求，從C2基礎設施取得其他的有效酬載。值得留意的是，<strong><a href="https://www.ithome.com.tw/news/172683">已有外號為UNC5174或CL-STA-1015中國駭客組織</a></strong>，利用React2Shell散布Snowlight與Vshell，然後竊取AWS組態及憑證檔案，揭露此事的資安公司Palo Alto Networks指出，他們確認至少有30家企業受害。</p> <p>GTIG看到後門程式Hisonic與Compood的活動，其中，UNC6603藉由React2Shell散布Hisonic，鎖定亞太地區的AWS與阿里雲等雲端基礎設施的實體（instance）而來。此後門程式以Go語言開發，其特點是濫用Cloudflare Pages和GitLab等合法服務，存放加密相關的組態配置，這麼做的目的，就是將惡意流量埋入合法的網路活動。</p> <p>另一個後門Compood的活動，是名為UNC6588的駭客組織所為，他們執行特定的指令碼下載後門程式的有效酬載，並將其偽裝成文字編輯工具Vim。儘管後續駭客並未採取其他活動，無從判斷意圖，不過，中國駭客使用Compood可追溯至2022年，當時在臺灣、越南，以及中國都出現活動。</p> <p>最後一支惡意程式是AngryRebel.Linux，UNC6595利用安裝指令碼b.sh部署，並試圖將其偽裝成合法的OpenSSH處理程序，主要攻擊目標是虛擬專用伺服務（VPS）。</p> </div></div></div>
2025/12/16 12:41作者周峻佑https://www.ithome.com.tw/news/172844
Nvidia收購Slurm幕後推手SchedMD，強化AI與HPC叢集控制層
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.nvidia.com/blog/nvidia-acquires-schedmd/" target="_blank">Nvidia周一（12/15）宣布</a>，已收購高效能運算（HPC）開源排程系統Slurm的主要開發與維護者SchedMD，未來將持續維持Slurm的開源及中立角色，同時強化Nvidia在AI與HPC叢集層級的軟體控制能力。雙方並未對外披露交易金額。</p> <p><a href="https://www.schedmd.com/about-schedmd/slurm-history/" target="_blank">Slurm</a>最早於2002年由美國勞倫斯利佛摩國家實驗室（Lawrence Livermore National Laboratory，LLNL）開發，是一套負責叢集資源配置、作業排程與佇列管理的開源系統。在TOP500超級電腦中，有65%的系統採用Slurm，已被視為HPC管理軟體的業界標準，隨著大型語言模型與生成式AI的訓練規模持續擴大，Slurm也逐漸成為AI訓練與推論不可或缺的基礎設施。</p> <p>至於成立於2010年的SchedMD並非是Slurm的原始發明者，而是隨著Slurm廣泛被學術研究及產業的採用，承接其長期維護、功能開發與商業支援的公司，主導了Slurm的版本演進、主要功能與發布節奏。</p> <p>Nvidia表示，該公司與SchedMD的合作已超過10年，未來將持續投資Slurm的開發，以維持Slurm於HPC及AI領域開源排程器的領先地位，另也將加速SchedMD及Slurm接觸新一代的Nvidia系統，最佳化整體運算基礎架構上的工作負載，並會支援多元硬體與軟體，以讓客戶能以Slurm運行異質叢集。</p> <p>Nvidia也將持續為SchedMD現有的數百家客戶，提供Slurm的開源軟體支援、訓練與開發服務。</p> <p>市場分析認為，相較於Nvidia旗下的CUDA、NCCL等加速運算軟體負責提升GPU效能，Slurm位於更上層的位置，負責工作負載如何排隊、如何分配CPU與GPU資源，以及如何於異質叢集中進行調度，隨著AI叢集規模快速擴張，排程與資源治理已直接影響訓練效率與整體成本。透過這起收購，Nvidia的角色也從單純的AI硬體供應商，進一步擴展至資料中心與AI叢集的核心控制層。</p> </div></div></div>
2025/12/16 13:49作者陳曉莉https://www.ithome.com.tw/news/172847
Cloudflare揭露，AI爬蟲已占全球逾4%的HTML流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>CDN與資安服務業者Cloudflare周一（12/15）公布<a href="https://radar.cloudflare.com/year-in-review/2025" target="_blank">2025 Cloudflare Radar Year in Review年度網路觀測報告</a>，顯示AI爬蟲已占全球逾4%的HTML流量，而全球最受歡迎的前五大生成式AI服務依序是：OpenAI的ChatGPT、Anthropic的Claude、Perplexity、Google Gemini，以及Character.AI 。</p> <p>從2024年開始，全球網路上的機器人流量便已超過了人類流量，而在2025年的網路流量中，有47.9%的流量來自機器人，包括搜尋引擎、SEO工具、監測服務、廣告/分析系統，或是自動化程式等；人類流量占了43.5%；Googlebot為4.5%；各種AI Bot為4.2%。</p> <p>其中，用來抓取網站內容以支援搜尋引擎及AI訓練的Googlebot，是Cloudflare所檢測到的最活躍的機器人，占據了逾28%來自已驗證機器人的流量；OpenAI的GPTBot在活躍度上排名第二，貢獻7.5%的已驗證機器人流量。</p> <p>如果把Googlebot也算進AI Bot，那麼全球網路流量中，已有接近9%為AI所用。此外，在排名前1萬個網域中，有3,879個robots.txt文件出現了有關AI爬蟲的設定，涵蓋完全或部分允許，以及完全或部分禁止等不同管理方式，顯示此一原本針對搜尋引擎設計的文件，已將AI爬蟲視為不同且獨立的爬蟲。</p> <p>值得注意的是，<a href="https://blog.cloudflare.com/ai-search-crawl-refer-ratio-on-radar/#how-does-this-measurement-work" target="_blank">Cloudflare也探究</a>了搜尋/AI爬蟲對網頁的抓取量及回導流量之比例（Crawl-to-Refer Ratio），顯示Claude爬蟲抓了超過7萬次才導流一次，OpenAI是1,600:1，Perplexity是202:1，微軟是40:1，Yandex為18:1，Google是9.4:1，百度是1:1。</p> <p>市場分析認為，此一看來失衡的流量也反映出平臺角色的轉變，搜尋引擎仍以導流來支撐內容生態，但生成式AI將內容直接內化為服務價值，改變了既有的交換關係，未來的關鍵不在限制抓取，而在建立授權、回饋或分潤機制，重新定義AI與內容產業的合作模式。</p> <p>Cloudflare也列出了全球前十大生成式AI服務，它們依序為ChatGPT、Claude、Perplexity、Google Gemini、Character.AI、GitHub Copilot、Windsurf AI、QuillBot、xAI的Grok，以及來自中國的DeepSeek。</p> </div></div></div>
2025/12/16 12:46作者陳曉莉https://www.ithome.com.tw/news/172845
Nvidia公布Nemotron 3系列、Nano版先問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Nvidia昨（15）日<a href="https://nvidianews.nvidia.com/news/nvidia-debuts-nemotron-3-family-of-open-models" target="_blank">宣布最新一代Nemotron 3開放模型家族</a>，包含Nano、Super和Ultra三個版本，以及相關工具和資料集，強調採用新混合專家(MoE)架構準確率更高，協助開發代理式AI應用程式。</p> <p>Nvidia強調Nemotron 3家族為開發特化型代理式AI應用而設計。<a href="https://developer.nvidia.com/blog/inside-nvidia-nemotron-3-techniques-tools-and-data-that-make-it-efficient-and-accurate/" target="_blank">新一代模型主打</a>整合了雜糅式Mamba-Transformer混合專家（hybrid mixture-of-experts，MoE）架構、互動環境中的強化式學習（reinforcement learning，RL）及原生100萬token脈絡長度的能力，可支援多代理人應用程式執行高傳輸率、長視野（long-horizon）推理。Nvidia也開放了模型權重、資料集、訓練方法及框架。</p> <p>Nvidia指出，使用創新的雜糅式Mamba-Transformer架構，使Nemotron 3具備100萬token的脈絡長度，得以支援大型程式庫、超長文件、長對話以及整合各處擷取而來的內容，使模型第一次能像人類專家一樣，在完整資料的狀態下，持續、連貫推理，而不再像以前靠切碎、拼湊、反覆遺忘來完成。</p> <p>技術特性而言，Mamba層擅長追蹤長程相依性，但只有很少的記憶使用量，在處理數十萬token仍具有高效能，適合長文本推理與序列建模。Transformer模型層則輔之以詳細注意力機制，可捕捉程式操作、數學推理和複雜模等任務需要的結構及邏輯關係。而MoE則可在不增加密集運算成本的情況下有效計算參數，有助提升大規模運算效率。</p> <p>Nemotron 3在後訓練階段，於NeMo Gym使用強化式學習，以評估及強化其執行包含一系列行為的真實代理人行為時，如呼叫正確工具、撰寫功能程式碼及生成多部份規劃的能力。</p> <p>Nemotron 3家族中，Nano為300億參數小模型，可一次啟動最多30億參數高效執行特定任務，強調低運算成本且高效。Super為近1000億參數的高準確率推理模型，一個token可啟動最多100億參數，適合多代理人應用。Ultra則為約5000億參數的大型推理引擎，單一token可啟動500億參數，能支援需要深度研究和策略規劃的高複雜性AI應用。</p> <p>最小的Nemotron 3 Nano今天已經<a href="https://huggingface.co/blog/nvidia/nemotron-3-nano-efficient-open-intelligent-models" target="_blank">在Hugging Face問世</a>，是為軟體除錯、內容摘錄重點、AI助理工作流程及資訊擷取等任務最佳化。Nemotron 3 Nano每秒執行token傳輸量是前代Nano模型的4倍，而推理token生成數減少最高60%，大幅降低推論成本。100萬token的脈絡長度，使其更準確串連多步驟任務的資訊。</p> <p>Nvidia聲稱其Nemotron 3 Nano版本在多項測試中，優於Qwen3-30B及GPT-OSS-20B。</p> </div></div></div>
2025/12/16 13:04作者林妍溱https://www.ithome.com.tw/news/172846