iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

駭客論壇BreachForums用戶資料外流，32.4萬筆帳號與管理員PGP私鑰曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Resecurity<a href="https://www.resecurity.com/blog/article/doomsday-for-cybercriminals-data-breach-of-major-dark-web-foru">指出</a>，名為shinyhunte.rs且以ShinyHunters命名的網站在美西時間1月9日更新內容，釋出與駭客論壇BreachForums相關的用戶資料庫匯出檔，規模約32.4萬筆帳號後設資料。研究人員另提到，該散布資源後續在1月10日公布疑似可解鎖用於簽署管理員官方訊息之PGP私鑰密語（Passphrase），且有研究人員向外媒確認該密語可用。</p> <p>Resecurity研究人員表示，其分享的資料庫包含323,986名用戶的後設資料，來源是MyBB論壇軟體相關的MySQL資料表hcclmafd2jnkwmfufmybb_users。研究人員研判，外流可能與網站使用的CMS或相關網頁應用程式弱點，或伺服器配置不當有關，並提醒不要從其他來源下載，以免夾帶惡意程式碼。</p> <p>外媒Bleeping Computer則<a href="https://www.bleepingcomputer.com/news/security/breachforums-hacking-forum-database-leaked-exposing-324-000-accounts/">指出</a>，外流內容以名為breachedforum.7z的7 Zip壓縮檔形式散布，內含 shinyhunte.rs-the-story-of-james.txt、databoose.sql、breachedforum-pgp-key.txt.asc 三個檔案，並提到，有自稱ShinyHunters成員向該媒體表示，與散布壓縮檔的網站無關。</p> <p>Bleeping Computer解析databoose.sql，認為其中是MyBB的users資料表mybb_users，共323,988筆會員紀錄，欄位包含顯示名稱、註冊日期、IP位址等內部資訊。該媒體抽樣後指出，多數IP指向本機迴圈位址127.0.0.9，實際追溯價值有限，但仍有70,296筆紀錄不含127.0.0.9，且測試結果可對應到公網IP，可能對部分使用者的作業安全造成壓力，也可能成為執法與研究單位可用的線索。</p> <p>另外，Bleeping Computer指出，壓縮檔內的breachedforum-pgp-key.txt.asc是一把建立於2023年7月25日的PGP私鑰，用於簽署管理員官方訊息，原本因密語保護而難以被濫用。Resecurity研究人員則提到，該散布資源在公布了疑似對應這把PGP私鑰的密語，而Bleeping Computer進一步表示，另有研究人員向其確認該密語可解鎖該私鑰。</p> <p>現任管理員N/A也對外回應此事，Bleeping Computer引述其說法，稱MyBB用戶資料表備份在修復流程中曾短暫放在未設防目錄，且該目錄在暴露期間被下載一次。N/A並強調，這批資料屬於2025年8月論壇復原期間的舊用戶表外流，並非近期新事件。</p> <p>BreachForums是一系列以交易與散布外洩資料為主的地下論壇名稱，曾被用來販售被竊資料，也包含兜售企業網路存取權等非法服務。該論壇在多次執法行動與外流事件後，仍多次以不同網域重新開張，外界也不時質疑其可能成為執法單位的誘捕站。</p> </div></div></div>
1/13 09:36作者李建興https://www.ithome.com.tw/news/173296
中國APT組織UAT-7290鎖定電信產業，邊緣設備成為關鍵入侵管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國駭客組織鎖定電信產業，濫用一日（One-day）漏洞與已公開的概念驗證（PoC）攻擊程式碼，入侵對外服務的邊緣網路設備。</p> <p><a href="https://blog.talosintelligence.com/uat-7290/" target="_blank">思科威脅情報團隊Cisco Talos指出</a>，一個具中國背景的進階持續性威脅（APT）組織，近年持續鎖定電信產業發動網路間諜行動，並將邊緣網路設備作為取得初始存取權限的主要入侵管道。該組織被追蹤為UAT-7290，過去主要活動於南亞地區，近期已被觀察到將攻擊行動擴及東南歐。</p> <p>研究人員表示，UAT-7290至少自2022年起即持續活動，鎖定電信等高價值關鍵基礎設施營運單位。Cisco Talos評估，該組織不僅執行長期情報蒐集與滲透行動，也扮演「初始入侵供應者」角色，為其他具中國背景的威脅組織建立後續攻擊所需的基礎設施，放大整體風險影響。</p> <p><span style="color:#B22222;"><strong>邊緣設備成為高成功率的初始入侵破口</strong></span></p> <p>Talos研究顯示，UAT-7290在發動攻擊前，會先進行長時間偵察，鎖定對外服務的邊緣網路設備，並結合一日漏洞與針對性SSH登入嘗試，取得系統層級的初始存取權限。這類行動並非大規模掃描，而是針對特定設備與管理帳號進行精準嘗試，行為隱蔽且成功率高。</p> <p>一旦邊緣設備遭入侵，攻擊者即可將其作為後續滲透、橫向移動與長期潛伏的跳板，對企業營運與關鍵通訊服務構成實質風險。研究人員也指出，UAT-7290主要依賴已公開的概念驗證（PoC）攻擊程式碼，而非自行投入高成本的零日漏洞開發，顯示即便是已知漏洞，在修補不及的情況下，仍可能被用於高影響力攻擊。</p> <p><strong><span style="color:#B22222;">建立作戰中繼節點，支援其他中國背景攻擊行動</span></strong></p> <p>除了直接執行間諜行動，Talos也觀察到，UAT-7290會在遭入侵的設備上建立「作戰中繼節點」（Operational Relay Box，ORB）基礎設施，作為攻擊跳板，供其他具中國背景的威脅組織使用，以隱匿攻擊來源並提升行動持續性。</p> <p>此外，UAT-7290在攻擊工具上，與多個中國背景APT組織存在高度重疊，主要使用Linux架構惡意程式，並在特定情境下部署RedLeaves與ShadowPad等Windows惡意程式。Talos指出，部分惡意程式使用的TLS憑證，與資安業者Sekoia先前揭露的樣本一致，顯示相關攻擊基礎設施可能在多起行動中被重複使用。</p> <p><span style="color:#B22222;"><strong>一日漏洞風險不容低估</strong></span></p> <p>資安研究人員提醒，一日漏洞指已被公開揭露、甚至已有修補程式的漏洞，但在企業尚未完成修補前，仍可能被攻擊者利用。由於相關技術細節與PoC程式碼多可公開取得，使攻擊門檻大幅降低，特別容易成為電信與關鍵基礎設施的入侵破口。</p> <p>研究人員建議，企業與關鍵基礎設施營運單位，應將邊緣設備視為關鍵執行環境，強化漏洞修補、存取權限與網路分區控管，並納入正式的資安治理與風險管理範疇，以降低一日漏洞遭濫用所帶來的衝擊。</p> </div></div></div>
1/13 09:59作者王珮瑤https://www.ithome.com.tw/news/173306
駭客鎖定配置錯誤的代理伺服器與LLM端點，試圖濫用付費API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安監測業者GreyNoise公布一份基於蜜罐的<a href="https://www.greynoise.io/blog/threat-actors-actively-targeting-llms">觀測結果</a>，指出他們在語言模型開源工具Ollama蜜罐環境中，於2025年10月至2026年1月間記錄到91,403次攻擊會話，並歸納出兩波主要行動。一波以伺服器端請求偽造（SSRF）為主，手法是迫使伺服器對外發出連線，並透過帶外回呼機制確認是否成功，另一波則大規模探測LLM端點，疑似專門尋找配置錯誤的代理伺服器或對外暴露的相容API介面，藉此取得商用付費API的存取機會。</p> <p>研究人員指出，攻擊者鎖定Ollama的模型拉取功能，透過注入惡意註冊庫URL，誘使伺服器替攻擊者對外發出HTTP請求。同一期間也觀測到與Twilio SMS webhook整合相關的探測行為，攻擊者透過操弄MediaUrl參數觸發外連。該行動在耶誕節前後出現尖峰，48小時內累積1,688次會話，攻擊者使用帶外（Out-of-Band）應用程式安全測試OAST的回呼方式確認是否成功，手法常見於漏洞研究與自動化測試，但規模仍值得企業留意。</p> <p>從2025年12月28日開始，僅兩個IP在11天內就產生80,469次會話，系統性探測73種以上LLM模型端點，測試同時涵蓋相容於OpenAI的API格式與Google的Gemini格式。探測提示刻意保持低雜訊，多為問候、空字串或簡單常識題，目的可能是辨識端點背後真正回應的模型類型，同時降低觸發告警的機率。</p> <p>研究人員並指出，這兩個IP在其資料中與大量已知弱點的掃描與利用活動有關聯，因此將這波端點掃描評估為較具組織性的偵察，可能是在建立後續攻擊所需的目標清單。值得注意的是，GreyNoise未提及入侵或資料外洩的具體證據，目前能確認的是針對LLM端點的高強度偵察行為。</p> <p>由於不少團隊為了整合多家模型或降低開發門檻，會架設代理伺服器與相容API端點，一旦權限控管、來源限制或網路邊界設定不完整，服務又暴露在網際網路上，就可能被掃描當成攻擊入口，帶來付費額度被濫用與稽核追溯困難等風險。研究人員也直言，8萬次以上的請求，代表攻擊者願意投入資源繪製地圖，對外暴露的LLM端點很可能已經被納入他們的觀測清單。</p> </div></div></div>
1/13 10:10作者李建興https://www.ithome.com.tw/news/173300
【資安日報】1月12日，趨勢修補旗下集中管理平臺Apex Central重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173278"><strong style="font-size: 22px;">趨勢科技發布Apex Central更新，修補能引發遠端程式碼執行的重大資安漏洞</strong></a></p> <p>1月7日趨勢科技發出安全公告及更新版軟體，修補集中管理控制臺Apex Central資安漏洞CVE-2025-69258、CVE-2025-69259，以及CVE-2025-69260，這些漏洞影響內部建置的Windows版本，該公司發布Build 7190版予以修補。</p> <p>這3項漏洞中，最受到關注的是列為重大層級的CVE-2025-69258，此漏洞存在於LoadLibraryEX元件，可被用於遠端程式碼執行（RCE），CVSS風險值為9.8（滿分10分）。這項漏洞可讓未經驗證的攻擊者利用，在重要的可執行檔載入惡意DLL元件，而能以SYSTEM權限在Apex Central執行攻擊者的程式碼。</p> <p>另外兩項漏洞CVE-2025-69259與CVE-2025-69260，都屬於能引發阻斷服務（DoS）的高風險漏洞，風險值皆為7.5，形成原因有所不同：CVE-2025-69259為訊息未檢查回傳空值（Null）造成；CVE-2025-69260為越界讀取訊息所致。</p> <p><a href="https://www.ithome.com.tw/news/173263"><strong style="font-size: 22px;">CISA警告HPE近期修補的OneView滿分漏洞、15年前的PowerPoint漏洞遭到濫用</strong></a></p> <p>美國網路安全暨基礎設施安全管理署（CISA）發布公告，將兩個漏洞加入已遭利用的漏洞列表（KEV），要求聯邦政府機關於1月28日前完成修補。這些漏洞包括：HPE OneView風險值達到10分的漏洞CVE-2025-37164，以及微軟Office漏洞CVE-2009-0556。</p> <p>CVE-2025-37164存在於HPE基礎架構管理軟體OneView，可讓遠端未經驗證的攻擊者濫用，發動遠端程式碼執行，風險值高達10.0。HPE去年12月已釋出可套用於v5.20至v10.20的安全熱修補程式，並建議用戶升級至已修補的v11.00或更新版本。</p> <p>CVE-2009-0556是微軟2009年就修補的PowerPoint程式碼注入漏洞。攻擊者可傳送變造過的PowerPoint檔案，經由使用者開啟觸發。成功濫用本漏洞可使攻擊者完全控制受害電腦，或新增高權限的使用者帳號。</p> <p><a href="https://www.ithome.com.tw/news/173259"><strong style="font-size: 22px;">GitLab修補多項高風險漏洞，涉及跨站指令碼與權限濫用，自管環境應儘速更新</strong></a></p> <p>程式碼代管與DevOps平臺GitLab於1月7日發布18.7.1、18.6.3與18.5.5版本，修正多項資安漏洞，涵蓋跨站指令碼（XSS）、授權檢查缺失、拒絕服務（DoS），以及資訊洩露等風險，其中部分漏洞風險評分達高風險等級，可能影響GitLab多項核心功能與平臺存取控制機制。</p> <p>GitLab修補兩項高風險跨站指令碼漏洞，其中一項為CVE-2025-9222（CVSS風險分數為8.7），攻擊者可濫用GitLab Flavored Markdown標記語言的占位符（Placeholders）機制，發動儲存型跨站指令碼攻擊；另一項CVE-2025-13761（CVSS風險分數為8.0）則影響Web IDE，可能讓未經身分驗證的攻擊者，誘使使用者造訪特製網頁，在其瀏覽器中執行任意指令碼。</p> <p>另外有多項漏洞涉及授權檢查不足問題，包括Duo Workflows API（CVE-2025-13772）與AI GraphQL突變（CVE-2025-13781）。攻擊者可能透過操控API請求或GraphQL突變（mutation），存取或修改未經授權的AI模型設定，甚至變更整個GitLab執行個體層級的AI功能供應商設定。</p> <p><a href="https://www.ithome.com.tw/news/173270"><strong style="font-size: 22px;">jsPDF修補重大漏洞，Node.js環境恐遭濫用竊取本機敏感資料</strong></a></p> <p>廣泛用於JavaScript應用程式產生PDF文件的函式庫jsPDF，近日被揭露存在一項重大資安漏洞，主要影響在伺服器端使用jsPDF產生PDF文件的應用情境。攻擊者可能透過不當的檔案載入機制，未經授權讀取並外洩伺服器本機檔案系統中的敏感資料。該漏洞已被登記CVE-2025-68428列管，CVSS風險分數高達9.2。</p> <p>這項漏洞屬於本機檔案包含（Local File Inclusion，LFI）與路徑遍歷（Path Traversal）問題，影響jsPDF 4.0.0之前的版本。當應用程式在Node.js環境中，將未經妥善驗證的檔案路徑作為參數，傳入jsPDF的loadFile方法（method）時，攻擊者可能讀取Node.js處理程序權限範圍內可存取的本機檔案，並將檔案內容嵌入到生成的PDF檔案中。</p> <p>針對這項漏洞，jsPDF團隊已在4.0.0版本中完成修補，預設限制對檔案系統的存取，並改為依賴Node.js的權限模式（permission mode）進行控管。官方也指出，在較新的Node.js版本中，可於正式環境啟用--permission旗標，以降低遭到濫用的風險。</p> <p><a href="https://www.ithome.com.tw/news/173279"><strong style="font-size: 22px;">駭客兜售52萬筆臺灣好市多會員個資，業者澄清：非該公司會員資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/5303606_3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/5303606_3.jpg" style="width: 300px; float: right;" /></a></p> <p>去年7月，有人聲稱對全聯福利中心旗下的支付服務公司全支付下手，入侵其測試環境並取得管理員帳密，引發外界對全支付資安防護的關注。如今傳出有人聲稱，他們從另一家臺灣大型零售業者竊得會員個資並兜售。</p> <p>根據自由時報的報導，自稱是Solonik的人士於1月7日宣稱，他握有臺灣Costco（好市多）會員個資52.6萬筆，涵蓋會員姓名、身分證字號、電子郵件信箱，以及明文帳號密碼等資料，打算出售這批資料並公布部分內容取信買家。對此，臺灣好市多表示，經確認這批資料並非該公司會員個資，他們相關系統皆由公司自行開發與維護，資料存放於總公司機房，並未採用外部系統廠商的資料管理程式，好市多強調，保障會員權益為他們的一貫原則。</p> <p>比較特別的是，自由時報提及，有部分會員註冊好市多會員電子郵件信箱結尾是.gov.tw，應為我國政府機關的公務信箱，依照規定不該用來註冊網路購物平臺，由於這類信箱屬政府資產，有可能稽核或調閱，也是駭客偏好用來網釣或詐騙的對象。究竟這種情況是否會帶來更嚴重的衝擊，有待進一步觀察。</p> <p><a href="https://www.ithome.com.tw/news/173291"><strong style="font-size: 22px;">駭客於多個論壇兜售1750萬筆Instagram用戶資料，傳出是4年前的舊資料再度流出</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G-PDpTZXQAcka9a.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G-PDpTZXQAcka9a.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Malwarebytes的社群網站貼文，他們1月10日在X上提出警告，有人竊得1,750萬筆Instagram帳號敏感資料，內容包括使用者名稱、實體地址、電話號碼，以及電子郵件信箱。不過特別的是，他們附上一張重設密碼的電子郵件截圖，似乎意有所指，攻擊者疑似假借重設密碼通知信從事網釣。</p> <p>根據Bleeping Computer、GBHackers On Security，以及SecurityAffairs等多家資安新聞網站的報導，這批資料已經流入多個駭客論壇，並提供用戶下載，而且，駭客已向Instagram用戶從事網釣攻擊，以密碼重設為由寄送電子郵件來犯案。</p> <p>這批資料的內容為何？發布資料的人士聲稱，檔案來自2024年由Instagram的API資料外洩事故，包括17,015,503個ID、16,553,662個使用者名稱、12,418,006個姓名、6,233,162個電子郵件、3,494,383組電話號碼，以及1,335,727個實際地址。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=170444&SPOKE_DATE=20260110&COMPANY_ID=2832"><strong style="font-size: 22px;">臺產驚傳遭網路駭客攻擊</strong></a></p> <p>曾推出第一張防疫保單引發搶購熱潮的臺灣產物保險（2832），於1月10日傍晚發布重大訊息，證實公司網路偵測到異常攻擊事件。該公司表示，在事發第一時間已迅速啟動資安防禦機制與盤查程序，目前已成功阻斷攻擊，初步評估對公司財務及業務並無重大影響。</p> <p><a href="https://www.ithome.com.tw/news/173253"><strong style="font-size: 22px;">【未來四年最重要的資安監理，從根本思維展開大變革】金融資安韌性發展藍圖出爐</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/圖5-四大主軸-圖片來源-金管會.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E5%9B%9B%E5%A4%A7%E4%B8%BB%E8%BB%B8-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%87%91%E7%AE%A1%E6%9C%83.png" style="width: 300px; float: right;" /></a></p> <p>金管會在2025年底最後一場記者會，發布了「金融資安韌性發展藍圖」，作為未來四年，金融產業資安監理最重要的新戰略。這份藍圖的出爐，正式宣告了我國金融資安戰略的改變，跟進全球，從「被動防禦」思維，轉變成「主動韌性」思維。</p> <p>從2020年到2025年，這五年來，金管會的資安監理主要採取以系統為中心的「營運持續」思維，目標是關鍵金融系統提供的服務不會中斷，從合規導向來設計相關規範，來降低、避免和防範各種資安的風險，這是一種盡可能希望資安事故不要發生的角度來考慮。</p> <p>但是，到了2026年，新發布的「金融資安韌性發展藍圖」，金管會的資安監理思維，從本質上有了截然不同的大改變，不是擴大了資安治理的範圍，從系統為中心，轉變為以服務為中心，從關鍵系統的防護，擴大到整個生態，連同供應商、合作夥伴都要納入考量。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/muddywater-launches-rustywater-rat-via.html">殺豬公詐騙出現分工，資安公司揭露專門提供基礎設施與相關工具的租用服務供應商</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-oauth-attack/">鎖定OAuth身分驗證的ConsentFix網釣手法出現變形，新調查發現可繞過Entra ID竊取金鑰</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/bluedelta-hackers-2/">俄羅斯駭客APT28試圖竊取微軟OWA、Google、Sophos SSL VPN憑證</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/muddywater-launches-rustywater-rat-via.html">伊朗駭客MuddyWater鎖定中東而來，透過網釣散布RAT木馬RustyWater</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/whatsapp-worm-spreads-astaroth-banking.html">WhatsApp蠕蟲透過自動語音攻擊巴西用戶，意圖散布金融木馬Astaroth</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173257"><strong>【1月9日】思科修補網路存取控制平臺ISE資訊洩露漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173251"><strong>【1月8日】駭客利用React2Shell及FortiWeb資安漏洞從事針對性攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173221"><strong>【1月7日】殭屍網路Kimwolf透過固定代理伺服器網路進行擴散</strong></a></p> </div></div></div>
1/12 17:17作者周峻佑https://www.ithome.com.tw/news/173295
駭客於多個論壇兜售1750萬筆Instagram用戶資料，傳出是4年前的舊資料再度流出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週名為Solonik的人士在<strong><a href="https://www.ithome.com.tw/news/173279">暗網駭客論壇兜售臺灣Costco（好市多）會員個資</a></strong>，引起國內媒體爭相報導，現在傳出此人握有社群網站Instagram大批資料，並在多個駭客論壇散布，成為全球資安圈的焦點。</p> <p>這個消息最早源自<strong><a href="https://x.com/Malwarebytes/status/2009664994070184282">資安公司Malwarebytes的社群網站貼文</a></strong>，他們1月10日在X上提出警告，有人竊得1,750萬筆Instagram帳號敏感資料，內容包括使用者名稱、實體地址、電話號碼，以及電子郵件信箱。不過特別的是，他們附上一張重設密碼的電子郵件截圖，似乎意有所指，攻擊者疑似假借重設密碼通知信從事網釣。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/instagram-denies-breach-amid-claims-of-17-million-account-data-leak/">Bleeping Computer</a></strong>、<strong><a href="https://gbhackers.com/massive-instagram-data-breach/">GBHackers On Security</a></strong>，以及<strong><a href="https://securityaffairs.com/186765/data-breach/a-massive-breach-exposed-data-of-17-5m-instagram-users.html">SecurityAffairs</a></strong>等多家資安新聞網站的報導，這批資料已經流入多個駭客論壇，並提供用戶下載，而且，駭客已向Instagram用戶從事網釣攻擊，以密碼重設為由寄送電子郵件來犯案。</p> <p>這批資料的內容為何？發布資料的人士聲稱，檔案來自2024年由Instagram的API資料外洩事故，包括17,015,503個ID、16,553,662個使用者名稱、12,418,006個姓名、6,233,162個電子郵件、3,494,383組電話號碼，以及1,335,727個實際地址。<strong><a href="https://x.com/IntCyberDigest/status/2010055422523388088">資安電子報International Cyber Digest指出</a></strong>，這批資料建立的時間在2022年6月，並於2023年3月上傳至雲端服務共用；<strong><a href="https://x.com/seblatombe/status/2009986151419978085">資安研究員Seb也公布相關發現</a></strong>，他提及發布資料的人都宣稱，檔案於2024年公布，來自外號為Solonik的人，但實際上這批是2022年就遭竊的資料，駭客重新發布和上傳到駭客論壇。</p> <p>SecurityAffairs引述<strong><a href="https://thecybersecguru.com/news/instagram-data-breach-17-million/">資安網站The Cybersec Guru的說法</a></strong>，指出已有百萬Instagram用戶收到駭客寄送的密碼重設通知信，並形容這批資料與過往有所不同，駭客用於人肉搜索，與行銷名單、資料掮客，或是其他外洩資料進行比對，將用戶的Instagram ID與真實資料拼湊起來，這些資料並非單純以筆數計價，而是根據用戶地理位置與追蹤者數量銷售，主要目標是網路名人和知名的企業帳號。The Cybersec Guru強調，由於駭客將Instagram用戶的帳號與真實地址連結，這批資料外流的危害程度將超越帳號接管，使得駭客有機會以此進行跟蹤、身分竊盜，甚至進行勒索。</p> <p>GBHackers On Security取得賣家Subkek的說法，這批資料是過去3個月透過公開API抓取。</p> <p>針對這起資料外洩事故，Bleeping Computer取得Meta的說法，對於2022年或2024年有API資料洩露事件的傳聞，Meta表示不清楚，不過，針對能允許攻擊者大量發送密碼重設通知信的弱點，Instagram已著手修補。此外，由於目前外流的資料當中並未包含密碼，用戶光是更換密碼可能難以因應相關威脅。</p> </div></div></div>
1/12 16:26作者周峻佑https://www.ithome.com.tw/news/173291
微軟將允許IT管理員移除公司電腦的Copilot，但僅有一次機會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.windows.com/windows-insider/2026/01/09/announcing-windows-11-insider-preview-build-26220-7535-dev-beta-channels/" target="_blank">微軟上周釋出Windows 11更新</a>Build 26220.7535（KB5072046）預覽版給Windows 11 25H2 Insider方案用戶，以測試新Windows 11功能，包含允許IT管理員移除公司裝置上的Copilot。但僅限移除一次。</p> <p>最新版本目前已釋出到Dev & Beta通道給想搶先試用的Insiders用戶。而如果是Dev通道的Insider方案用戶，現在微軟開放一小段時間可轉到Beta通道。但微軟說這時間很快就會結束。</p> <p>新版本最重要的功能可能是允許IT管理員移除公司列管裝置上的微軟Copilot App。管理員可以藉由啟用一項新政策，名為RemoveMicrosoftCopilotApp來移除Copilot。新政策只提供給企業版本Windows如Enterprise、Pro和EDU SKU。</p> <p>這新政策適用三類情境：安裝Microsoft 365 Copilot及Microsoft Copilot的電腦、非使用者安裝的Microsoft Copilot App、或是過去28天內未曾使用的Microsoft Copilot App。</p> <p>要啟用這個新政策，方法是到群組政策編輯器，選擇「使用者配置」>「管理範本」>「Windows AI」>「移除Microsoft Copilot App」。</p> <p>不過要注意，Microsoft Copilot只能移除一次。而且用戶也可以重新安裝回去。</p> <p>另一項新功能是Copilot可為朗讀程式（Narrator）生成圖片描述。這項功能去年只提供給Copilot+ PC，以幫助視障或弱視用戶理解照片、圖表和其他圖片。在最新版本中，微軟將這功能推向所有Windows 11的朗讀程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-windows%2011-KB5072046.png" style="width: 358px;" /></p> <p>使用方面，按Narrator鍵+Ctrl+D可由AI描述特定圖片，按Narrator鍵+Ctrl+S，可描述整個螢幕上的事物。用戶可在Copilot輸入提示讓它執行任務。微軟強調隱私，只有在用戶選擇描述時將圖片上傳處理。</p> <p><span style="color:#B22222;"><strong>強化與改進功能</strong></span></p> <p>KB5072046並強化了二項功能。一是支援Windows Notification System（WNS）作為額外方式整合Cross Device Resume，讓更多應用可以透過不同裝置間通知機制啟動回復功能，不再僅限於Phone Link應用。其次是Windows Spotlight圖示更新。</p> <p>其他更新方面，包括改善開始功能表顯示問題、檔案總管修正部分導致崩潰情況、解決Snipping Tool使用筆跡時的臭蟲、改善列印介面、及Windows Update設定頁面載入時可能會中斷的情況。</p> </div></div></div>
1/12 15:28作者林妍溱https://www.ithome.com.tw/news/173287
OpenCode用戶回報Claude訂閱使用遭停權，Anthropic打擊偽裝Claude Code用法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源程式開發代理工具OpenCode近期收到<a href="https://github.com/anomalyco/opencode/issues/6930">回報</a>，部分使用者透過OAuth登入並以Claude訂閱方案在第三方工具內使用後，出現服務無法正常使用，也有人回報在升級Claude Max方案後帳號遭停權，導致既有自動化程式開發工作流程中斷。Anthropic Claude Code團隊成員Thariq Shihipar則<a href="https://x.com/trq212/status/2009689809875591565?s=20">表示</a>，Anthropic已加強防護以阻擋偽裝官方Claude Code用戶端的第三方呼叫行為，並指出這類以訂閱帳號驅動的第三方工具使用方式違反服務條款。</p> <p>在OpenCode的GitHub問題回報中，有使用者描述自己依OpenCode官網指引以OAuth方式登入Claude，之後在從Claude Max 5升級至Claude Max 20時，疑似觸發某種審查機制而遭到停權。該回報者表示自己曾在社群上聯繫多位Anthropic工程師後得知，以這種方式讓Claude訂閱帳號介接第三方工具可能違反服務條款，並呼籲OpenCode不應再提供以OAuth登入訂閱方案的路徑，改以API金鑰等正式整合方式使用。</p> <p>Anthropic Claude Code團隊成員Thariq Shihipar在X社群貼文的說法指出，限制措施鎖定的是第三方包裝器偽裝官方用戶端的行為。其理由包含這類流量型態缺乏平臺可用的遙測資訊，容易造成除錯、速率限制與支援判斷困難。Thariq Shihipar同時強調，Anthropic支援的整合方式是使用API，並表示將在OAuth畫面更清楚說明政策，也提到因誤觸濫用偵測而遭停權的已知帳號已解除限制。</p> <p>該事件之所以引發爭議，在於不少開發者原本把Claude的月費訂閱視為可在不同工具介面通用的使用額度，但Anthropic封鎖第三方包裝器透過OAuth操控訂閱帳號的做法，使得部分自動化程式開發工作負載難以再以訂閱型OAuth方式運作，使用者可能需要改採按用量計費的商業API，或回到官方Claude Code。</p> <p>在眾多批評聲音中，Ruby on Rails創辦人DHH也在X社群連番<a href="https://x.com/dhh/status/2009716350374293963?s=20">發文</a>，指控Anthropic刻意封鎖OpenCode等第三方包裝器，試圖把開發者導向Claude Code。他表示自己不排斥模型使用其開源作品來改進，但前提應是工具與學習管道更開放，並以切斷供氧形容此舉，同時把作風類比為早期微軟式的封閉手段。</p> <p>不過他同時也表示理解產業仍在快速變動，認為要是能盡快調整條款與作法，仍有機會把對Anthropic累積的信任傷害降到最低，並公開呼籲Anthropic執行長Dario Amodei正視問題，讓訂閱方案能在OpenCode等工具中正常使用。</p> </div></div></div>
1/12 16:00作者李建興https://www.ithome.com.tw/news/173288
駭客兜售52萬筆臺灣好市多會員個資，業者澄清：非該公司會員資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年7月，有人聲稱對全聯福利中心旗下的支付服務公司全支付下手，<strong><a href="https://www.ithome.com.tw/news/169880">入侵其測試環境並取得管理員帳密</a>，</strong>引發外界對全支付資安防護的關注。如今傳出有人聲稱，他們從另一家臺灣大型零售業者竊得會員個資並兜售。</p> <p>根據自由時報的報導，自稱是Solonik的人士於1月7日宣稱，<strong><a href="https://ec.ltn.com.tw/article/breakingnews/5303606">他握有臺灣Costco（好市多）會員個資52.6萬筆</a></strong>，涵蓋會員姓名、身分證字號、電子郵件信箱，以及明文帳號密碼等資料，並公布部分資料取信買家。對此，臺灣好市多表示，經確認這批資料並非該公司會員個資，他們相關系統皆由公司自行開發與維護，資料存放於總公司機房，並未採用外部系統廠商的資料管理程式，好市多強調，保障會員權益為他們的一貫原則。</p> <p>比較特別的是，自由時報提及，有部分會員註冊好市多會員電子郵件信箱結尾是.gov.tw，應為我國政府機關的公務信箱，依照規定不該用來註冊網路購物平臺，由於這類信箱屬政府資產，有可能稽核或調閱，也是駭客偏好用來網釣或詐騙的對象。究竟這種情況是否會帶來更嚴重的衝擊，有待進一步觀察。</p> <p>回顧2025年，鎖定零售業者的網路攻擊事故頻傳，其中英國瑪莎百貨（Marks & Spencer，M&S）、連鎖超市Co-op、精品百貨公司哈洛德（Harrods）<strong><a href="https://www.ithome.com.tw/news/168799">於兩週內連續傳出遭到網路攻擊</a></strong>，幕後黑手疑為成為勒索軟體DragonForce附屬組織的Scattered Spider；去年12月<strong><a href="https://www.ithome.com.tw/news/172539">酷澎爆發3,370萬會員個資外洩</a></strong>，疑為中國籍前員工所為，<strong><a href="https://www.ithome.com.tw/news/172807">執行長朴大俊（Park Dae-jun）宣布辭職以示負責</a></strong>，該公司<strong><a href="https://www.ithome.com.tw/news/173094">向用戶賠償11.7億美元</a></strong>。</p> </div></div></div>
1/12 13:59作者周峻佑https://www.ithome.com.tw/news/173279
Google推出UCP，為代理人商務建立跨平臺交易標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google周日（1/11）宣布<a href="https://blog.google/products/ads-commerce/agentic-commerce-ai-tools-protocol-retailers-platforms/" target="_blank">推出Universal Commerce Protocol（UCP）</a>，為代理人商務（Agentic Commerce）建立一套跨平臺的開放標準，讓AI代理人能在搜尋、對話與應用程式中，代表使用者完成從商品探索、下單到付款的完整購物流程。使AI不再僅止於推薦角色，而是可實際參與交易流程</p> <p>UCP是一套通用協定，目的在於為AI代理人、零售商系統與支付服務提供者建立共通語言。在UCP架構下，代理人不需要為每一家商店或平臺各自客製串接，而是透過標準化介面，就能存取商品資訊、啟動結帳流程，並完成後續交易與支援。Google表示，UCP設計可跨產業使用，並相容既有的代理人與支付相關協定，以降低導入門檻。</p> <p>在實際運作上，UCP將率先應用於Google搜尋的AI模式與Gemini應用程式中。當消費者在研究商品時，AI代理人可直接呼叫符合資格的零售商商品列表，並在不跳轉外部網站的情況下完成結帳。付款部分以Google Pay為核心，使用者可沿用已儲存在Google Wallet中的付款方式與寄送資訊，後續也將支援PayPal。Google強調，零售商仍是銷售主體，負責履約、訂單處理與售後服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-Universal%20Commerce%20Protocol%20(UCP)-google.jpg" style="width: 600px;" /></p> <p>UCP的另一個重點，是代理人之間的協作能力。透過統一協定，不同來源的AI代理人可在同一購物流程中分工合作，例如一個代理人負責搜尋與比較，另一個代理人負責結帳與付款，降低流程中斷的風險。Google將此定位為代理人商務能真正規模化的關鍵基礎設施。</p> <p>UCP是由Google與多家大型零售商與平臺共同開發，包括Shopify、Etsy、Wayfair、Target與Walmart；也已獲得多家支付與零售相關業者支持，如Adyen、American Express、Best Buy、Flipkart、Macy's、Mastercard、Stripe、The Home Depot、Visa與Zalando。其合作陣容被視為UCP具備實際落地條件的重要指標。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-Universal%20Commerce%20Protocol%20(UCP)-google-2.png" style="width: 600px;" /></p> <p>Google也同步推出Business Agent，讓零售商能在搜尋結果中以品牌專屬AI代理人的形式，直接與消費者互動。該代理人可回答產品問題、提供建議，並在未來支援直接購買與代理人結帳，進一步強化UCP在前端互動與交易轉換上的角色。另推出Direct Offers廣告服務，讓零售商可於AI模式中直接呈現專屬折扣，在系統判斷購買意圖即時曝光，協助提升轉換率並降低棄單。</p> <p>相較於OpenAI推出的<a href="https://www.ithome.com.tw/news/171432" target="_blank">Agentic Commerce Protocol（ACP）</a>，兩者方向相近，但定位不同。ACP主要聚焦於AI在單一對話介面中完成下單與付款的能力，處理的是交易成立的瞬間；UCP則試圖涵蓋整個購物生命週期，並成為多個代理人、平臺與支付系統之間的通用底層規則。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
1/12 12:34作者陳曉莉https://www.ithome.com.tw/news/173285
Walmart攜手Wing擴大無人機送貨，全美150家門市納入配送網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Alphabet旗下無人機配送公司<a href="https://wing.com/news/wing-walmart-expand-drone-delivery-coast-to-coast" target="_blank">Wing周日（1/11）宣布</a>，將把Walmart無人機送貨服務擴展至全美另外150家門市，計畫在2027年前建立超過270個無人機配送營運據點，服務範圍橫跨美國東西岸，預計可觸及超過4,000萬名消費者。</p> <p>這項合作並非首次嘗試。Wing與Walmart早已在達拉斯—沃斯堡與亞特蘭大都會區進行常態化營運，當地消費者已逐步將無人機送貨視為日常選項。Wing在官方公告中指出，其前25%的重度用戶平均每周下單約3次，過去6個月整體配送量成長3倍，顯示服務已從示範階段，邁向可規模化複製的商業運作。</p> <p>Wing的無人機系統是此次擴張的技術核心。其機型鎖定輕量、高頻配送需求，可承載約2至2.5公斤的小型包裹，適合食品、日用品與非處方藥等即時需求商品。無人機採全自動飛行設計，從起飛、航線規畫、避障到投遞皆由系統完成，不需人工遙控，並以懸掛繩索的垂直投放方式交付包裹，避免降落對住宅環境造成干擾。</p> <p>Walmart是Wing目前最重要且規模最大的合作夥伴，雙方的合作模式亦展示了零售與無人機物流合作的典範，除了美國之外，Wing也曾與澳洲、英國及芬蘭的商家合作。</p> <p>至於亞馬遜的無人機服務Amazon Prime Air仍處於較分散、逐步部署的階段。Prime Air以亞馬遜自有物流體系為基礎，自營配送服務，已在美國德州College Station與部分加州地區實際提供短距離配送，但其覆蓋範圍與常態化程度尚不及Wing與Walmart的全國性擴展規模。</p> <p>美國的第三大無人機配送服務為Zipline。Zipline最初以醫療物資配送著稱，累積龐大的飛行與交付經驗，並逐步拓展至一般消費品配送。與Wing不同，Zipline的商用重點在於高可靠性與遠距配送，其技術能支援跨區域、較長距離的航線，適合偏遠地區與急單需求。</p> <p>目前無人機配送仍面臨監管、安全及天氣限制等挑戰，業者需要在技術優化與法規適應之間找到平衡，才能讓無人機送貨真正從科幻走入日常。</p> </div></div></div>
1/12 13:05作者陳曉莉https://www.ithome.com.tw/news/173286
趨勢科技修補Apex Central重大RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://success.trendmicro.com/en-US/solution/KA-0022071" target="_blank">趨勢科技上周（1/7）發出安全公告及更新版軟體</a>，以修補Apex Central 3個漏洞，包含一個重大的遠端程式碼執行（Remote Code Execution，RCE）漏洞。</p> <p>Apex Central為趨勢科技的Web化集中式管理控制臺，可管理位於閘道、郵件伺服器、檔案伺服器和企業桌面端的趨勢科技產品和服務。Apex Central和Apex One是管理控制臺分別安裝於本地部署及代管/雲端環境的產品。</p> <p>趨勢科技最新修補的三項Apex Central漏洞包含CVE-2025-69258、CVE-2025-69259與CVE-2025-69260，影響Windows平臺的Apex Central本地部署（on-premise）版本，Build 7190以下皆在影響範圍內，Build 7190為已修補的最新版本。</p> <p>這三項漏洞中，CVE-2025-69258為LoadLibraryEX遠端程式碼執行（RCE）漏洞，風險值9.8。這項漏洞可讓未經驗證的攻擊者載入惡意DLL到關鍵的可執行檔，而以SYSTEM權限在被駭裝置上執行攻擊者提供的程式碼。</p> <p>CVE-2025-69259則是一個阻斷服務（Denial of Service，DoS）漏洞，CVSS風險值7.5。<a href="https://www.esecurityplanet.com/threats/trend-micro-apex-central-flaws-enable-remote-code-execution/" target="_blank">根據資安部落格說明</a>，本漏洞出在對傳入訊息處理不當，成功濫用的遠端攻擊者可引發NULL回傳，而讓Apex Central服務當機或無回應，進而擾亂安全軟體運作。</p> <p>CVE-2025-69260則是訊息越界讀取（out-of-bounds read）阻斷服務漏洞，CVSS風險值同為7.5。和CVE-2025-69259類似，本漏洞也是遠端攻擊者透過傳訊息觸發DoS狀態。</p> <p>值得注意的是，雖然CVE-2025-69259和CVE-2025-69260的風險值並非重大，但趨勢科技提醒，攻擊者不需驗證，即可濫用這二個漏洞。</p> <p>趨勢科技呼籲用戶儘速安裝Build 7190確保安全。濫用漏洞需要攻擊者實際或遠端存取裝置，針對未能及時安裝最新版本的用戶，趨勢科技提醒用戶檢查關鍵系統是否有可疑的遠端存取活動，並確保安全政策和周邊安全軟體保持在最新版本。</p> </div></div></div>
1/12 11:37作者林妍溱https://www.ithome.com.tw/news/173278
Cloudflare拒絕封鎖盜版網站被義大利開罰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>義大利負責電信、廣播、網路及數位服務的通訊暨媒體覽監督機構<a href="https://www.agcom.it/comunicazione/comunicati-stampa/comunicato-stampa-71" target="_blank">AGCOM（Autorità per le Garanzie nelle Comunicazioni）上周四（1/8）宣布</a>，提供CDN、DNS、反向代理與資安服務的Cloudflare因未能封鎖盜版網站，將被處以逾1,400萬歐元（1,700萬美元）的行政罰款。此事惹得Cloudflare共同創辦人暨執行長<a href="https://x.com/eastdakota/status/2009654937303896492" target="_blank">Matthew Prince發火</a>，強調將繼續抗爭，並說將考慮退出義大利市場。</p> <p>義大利根據反盜版法令，於2024年2月啟用了Piracy Shield反盜版封鎖平臺，由權利人即時通報盜版網站與IP，要求DNS、ISP及VPN等服務供應商在30分鐘內將其封鎖，主要鎖定體育賽事與即時串流的盜版內容。迄今已封鎖超過6.5萬個網域名稱，以及1.4萬個可存取非法內容的IP位址。</p> <p>AGCOM自2024年起，即多次要求Cloudflare在Piracy Shield平臺上，註冊1.1.1.1公共DNS服務，以配合封鎖措施，但Cloudflare認為1.1.1.1屬於全球性的公共DNS，若只為單一國家執行過濾，將會影響全球DNS解析效能及穩定性，因而加以拒絕；這使得AGCOM在2025年2月，正式要求Cloudflare封鎖特定盜版網站與IP，Cloudflare依舊拒絕配合，而讓AGCOM祭出大筆罰款。</p> <p>AGCOM指出，Cloudflare即使在接獲命令通知後，仍未採取任何措施，放任其服務被用於散布非法內容，持續違反義大利的反盜版法與實施規定，最高可處以該公司年營收的2%，這次的裁罰則是Cloudflare年營收的1%。</p> <p>Prince則批評了Piracy Shield，指出該平臺要求業者在收到通知的30分鐘內，將某個神祕的歐洲媒體菁英小圈子認定不符合其利益的網站，全面從網際網路上消失；沒有司法監督、沒有正當程序、沒有申訴、沒有透明度。它不只要求我們移除客戶，還要求審查我們的1.1.1.1 DNS解析器，意味著任何網站都有被全面斷線的風險；而且不僅限於義大利，而是要求全球封鎖。</p> <p>Prince說，先前Cloudflare就已針對該制度提出多起法律挑戰，現在也會針對此一不公正的罰款進行抗爭，而且也在考慮終止替所有義大利用戶供應Cloudflare的免費資安服務，或是撤出所有設於義大利的伺服器，以及取消於義大利設置Cloudflare辦公室或任何投資計畫，也可能會撤銷替米蘭冬奧提供數百萬美元公益資安服務的計畫。</p> <p>Prince不僅指責義大利「玩愚蠢的遊戲，就會得到愚蠢的下場」，還說Cloudflare在2024年來自義大利的營收不到800萬美元，但該國制度卻允許以Cloudflare全球營收的2%作為裁罰基礎，荒謬至極。</p> </div></div></div>
1/12 12:07作者陳曉莉https://www.ithome.com.tw/news/173280
【資安週報】0105~0109，臺灣能源業遭受中共網駭情形在2025年暴增10倍，中國APT已形成舉國體制承包商生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>回顧2026年1月第二星期資安新聞，近期兩項報告揭露中國駭客的威脅態勢，引發資安界高度關注。</p> <p>（一）國安局揭露過去一年威脅態勢，發布《2025年中共對我國關鍵基礎設施網駭威脅分析》報告，指出國安情報團隊在2025年掌握的我國政府及民間網駭案中，態勢最嚴峻的是「能源」產業，比前一年度成長10倍，其次是緊急救護與醫院、通訊傳播。<a href="https://www.ithome.com.tw/news/166901">與2024年度態勢相比，當時最嚴重是電信業</a>，其次為交通與國防供應鏈，突顯中共新興網駭重點的轉變。</p> <p>（二）臺灣情資公司TeamT5發布《2025年亞太地區進階持續性威脅（APT）威脅形勢報告》，指出臺灣遭APT攻擊最頻繁，其次為韓國、越南、印度、日本與菲律賓。報告顯示，中國APT已形成「舉國體制+承包商」的生態系：頂層由公安部、國安部與解放軍設定目標並接收情報，中層為民間資安承包商分工執行掃描、武器開發、滲透與中繼建置，底層由個人駭客與研究人員參與。即使單一承包商被制裁，整體仍能迅速轉移任務，使傳統防禦難以應對。</p> <p>在資安事件方面，國內有兩則焦點事件，涵蓋上市公司遭勒索軟體攻擊，以及客運跑馬燈資訊被操控，國際間也有多起個資外洩的消息。我們整理如下：<br /> ●上市公司榮成紙業於1月2日發布重大訊息，揭露當日發生資訊系統遭受勒索病毒攻擊，已啟動防禦與復原作業。<br /> ●桃園機場巴士車上電子看板遭駭，有民眾在跨年夜發現車上的到站資訊跑馬燈出現統戰口號。大有巴士表示當日上午接獲民眾通報後已排除異常；交通部公路局亦說明是客運的配合廠商後端系統遭入侵。<br /> ●美國保險公司Aflac發布資安事故調查報告，揭露2025年6月遭駭，如今確認有2,265萬保戶的個資遭未經授權存取。<br /> ●美國會計師事務所Sax通報主管機關發生個資外洩，揭露2024年8月公司系統遭駭，將近23萬人個資外洩。<br /> ●東京FM廣播（Tokyo FM Broadcasting）傳出遭駭，該公司指出是第三方雲端分析服務資安事故影響的事件。<br /> 此外，還有臺灣好市多驚傳會員資料外洩的消息，多家國內媒體報導此事，同時指出該公司已確認非其會員個資，後續狀態待釐清。</p> <p>在漏洞攻擊方面，最要留意是去年12月HPE修補基礎架構管理軟體OneView的滿分10分漏洞CVE-2025-37164，相關修補釋出後，就有研究人員分析其hotfix方式並解釋如何觸發漏洞，如今確認有攻擊者利用此已知漏洞的跡象；還有鎖定EoL產品攻擊的態勢需留意，包括微軟PowerPoint老舊漏洞CVE-2009-0556則被列入KEV清單，以及漏洞情報公司VulnCheck示警，五年前就有DNSChanger惡意程式鎖定D-Link DSL路由器漏洞（CVE-2026-0625）攻擊，如今又有攻擊活動出現。</p> <p>其他重要漏洞消息，我們特別關注n8n與思科的修補。首先是工作流程自動化平臺n8n同時修補兩項重大漏洞，通報的研究人員以Ni8mare（CVE-2026-21858）、N8scape（CVE-2025-68668）稱之，兩者CVSS風險評分分別為10分與9.9分，由於n8n常被部署為企業自動化中樞，一旦漏洞遭利用，影響恐相當廣泛；思科修補網路存取控制平臺ISE漏洞（CVE-2026-20029）也不容輕忽，雖然CVSS僅4.9分，但該公司示警，已出現公開的漏洞利用概念驗證程式碼（PoC），須盡速修補因應。</p> <p>在資安防禦動態方面，有一則重要新聞持續成為本期的熱門焦點。美國NIST公開「Cyber AI應用藍圖（Cyber AI Profile）」草案，作為CSF 2.0因應AI風險的延伸配套。鑑於企業組織在導入AI時日益關注相關風險管理，該藍圖內容聚焦三大面向：（一）確保AI系統安全，（二）運用AI強化網路防禦能力，（三）抵禦AI賦能的網路攻擊。</p> <p>還有兩則重要消息，與打擊犯罪、修補揭露機制有關：一是非洲網路犯罪危害與日俱增，國際刑警組織協調非洲19國執法機構聯手逮捕574名嫌犯，下架逾6千個惡意連結，並成功解密6種不同的勒索軟體變種；一是Android安全修補與揭露機制從2025年下半已經調整，如今每月Security Bulletin僅揭露高風險與重大漏洞，完整名單改為每季公布。此舉雖可降低駭客反推風險，但也犧牲透明度，並可能影響第三方ROM與研究人員的即時性。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/173162"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月5日】臺灣處於亞太APT威脅風暴核心，受害次數占全球三分之一</span></strong></a></h3> <p>近期臺灣情資公司TeamT5（杜浦數位安全）揭露針對亞太地區的APT威脅情勢調查結果，他們在過去一年追蹤510起攻擊，並指出臺灣是駭客的頭號目標，每三起就有一起發生在臺灣</p> <h3><a href="https://www.ithome.com.tw/news/173184"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月6日】中國APT駭客鎖定臺灣關鍵基礎設施而來，能源產業是頭號目標</span></strong></a></h3> <p>在國際局勢持續升溫的態勢下，中國國家級駭客攻擊臺灣各類關鍵基礎設施的情況加劇，平均每天侵擾多達263萬次，其中，能源領域成為2025年的主要目標，原因是駭客企圖藉此了解臺灣的能源與物資規畫</p> <h3><a href="https://www.ithome.com.tw/news/173221"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月7日】殭屍網路Kimwolf透過固定代理伺服器網路進行擴散</span></strong></a></h3> <p>針對殭屍網路Kimwolf的活動，資安公司Synthient公布最新調查結果，指出此殭屍網路主要的感染途徑，是透過固定代理伺服器（Residential Proxy）的網路環境，於安卓裝置植入病毒，保守估計已有200萬臺裝置受到感染</p> <h3><a href="https://www.ithome.com.tw/news/173251"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月8日】駭客利用React2Shell及FortiWeb資安漏洞從事針對性攻擊</span></strong></a></h3> <p>React2Shell（CVE-2025-55182）重大漏洞再度傳出攻擊活動，不過與其他資安事故有所不同，這次駭客同時針對網頁應用程式防火牆FortiWeb下手，並部署滲透測試框架Sliver來控制受害主機</p> <h3><a href="https://www.ithome.com.tw/news/173257"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月9日】思科修補網路存取控制平臺ISE資訊洩露漏洞</span></strong></a></h3> <p>這兩天思科公布CVSS風險評分僅有4.9分的資安漏洞CVE-2026-20029引起各大資安媒體報導，此漏洞有幾個值得留意的地方，首先，思科指出已有概念驗證程式碼（PoC），再者，攻擊者有可能讀取連管理員都無法存取的敏感資料</p> <p> </p> </div></div></div>
1/12 10:10作者羅正漢https://www.ithome.com.tw/news/173276
jsPDF修補重大漏洞，Node.js環境恐遭濫用竊取本機敏感資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>廣泛用於JavaScript應用程式產生PDF文件的函式庫jsPDF，近日被揭露存在一項重大資安漏洞，主要影響在伺服器端使用jsPDF產生PDF文件的應用情境。攻擊者可能透過不當的檔案載入機制，未經授權讀取並外洩伺服器本機檔案系統中的敏感資料。該漏洞已被編號為<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-68428" target="_blank">CVE-2025-68428</a>，CVSS風險分數高達9.2。</p> <p class="rtecenter"><a href="http://github.com/parallax/jsPDF/security/advisories/GHSA-f8cm-6447-x5h2" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-jsPDF-600-1.png" style="width: 600px;" /></a></p> <p>這項漏洞屬於本機檔案包含（Local File Inclusion）與路徑穿越（Path Traversal）問題，影響jsPDF 4.0.0之前的版本。當應用程式在Node.js環境中，將未經妥善驗證的檔案路徑作為參數，傳入jsPDF的loadFile方法（method）時，攻擊者可能讀取Node.js處理程序權限範圍內可存取的本機檔案，並將檔案內容嵌入到生成的PDF檔案中。</p> <p>除了loadFile之外，jsPDF的addImage、html與addFont等方法，同樣可能在底層呼叫該檔案載入機制，因此也受到這項漏洞影響。不過，根據官方說明，該問題僅影響jsPDF的Node.js版本，包括dist/jspdf.node.js與dist/jspdf.node.min.js，瀏覽器端版本則不在影響範圍內。</p> <p>jsPDF是一套在npm生態系中被大量採用的套件，每週下載次數超過350萬次。<a href="https://www.endorlabs.com/learn/cve-2025-68428-critical-path-traversal-in-jspdf#:~:text=Successful%20exploitation%20results,of%209.2." target="_blank">資安研究人員指出</a>，若jsPDF部署於伺服器端環境，且使用者輸入可直接影響上述受影響方法的檔案路徑參數，便可能導致設定檔、環境變數、憑證資訊等敏感資料外洩。</p> <p>針對這項漏洞，<a href="https://github.com/parallax/jsPDF/security/advisories/GHSA-f8cm-6447-x5h2" target="_blank">jsPDF團隊已在4.0.0版本中完成修補</a>，預設限制對檔案系統的存取，並改為依賴Node.js的權限模式（permission mode）進行控管。官方也指出，在較新的Node.js版本中，可於正式環境啟用--permission旗標，以降低遭到濫用的風險。該功能自Node.js v20.0.0起以實驗性方式提供，並自v22.13.0、v23.5.0與v24.0.0起趨於穩定。</p> <p>不過，<a href="https://www.endorlabs.com/learn/cve-2025-68428-critical-path-traversal-in-jspdf#:~:text=Permission%20mode%20affects%20the%20entire%20process.%20Enabling%20%2D%2Dpermission%20is%20not%20scoped%20to%20jsPDF%20alone.%20Every%20filesystem%20read%20operation%20in%20your%20application%20requires%20an%20explicit%20grant." target="_blank">資安研究人員也提醒</a>，啟用--permission旗標將影響整個Node.js處理程序，而非僅限於jsPDF本身，實際部署時需留意對既有應用行為的影響。此外，若在--allow-fs-read設定中給予過於寬鬆的檔案系統讀取權限，將可能削弱此次修補的防護效果。</p> <p>對於仍使用舊版Node.js的環境，jsPDF團隊建議在應用程式處理使用者輸入時，特別留意檔案路徑的來源與合法性，避免將未經檢查的路徑直接交由jsPDF處理，以降低潛在風險。</p> </div></div></div>
1/12 10:38作者王珮瑤https://www.ithome.com.tw/news/173270
愛爾蘭外交部軟體更新出錯，被迫召回1.3萬本少印國家代碼的護照
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>愛爾蘭外交部護照服務局（Passport Services）列印護照的軟體更新出包，造成近期印發的近1.3萬本護照，少印了重要代碼，上周官方緊急公告召回重發。</p> <p>根據<a href="https://www.ireland.ie/en/passport-returns/" target="_blank">愛爾蘭外交部說明</a>，由於軟體更新的技術錯誤，使得2025年12月23日到2026年1月6日印發的護照，無法完全符合國際旅行標準，這些護照的持有人有可能在使用eGate自動通關系統，或是海關人工驗照時無法通過。</p> <p><img alt="" src="https://assets.ireland.ie/images/passportreturns.width-1000.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://www.ireland.ie/en/passport-returns/" target="_blank"><span style="color:#696969;">愛爾蘭外交部</span></a></span></p> <p><a href="https://www.irishtimes.com/ireland/2026/01/09/thousands-of-irish-passports-recalled-due-to-printing-error/" target="_blank">愛爾蘭時報報導</a>，列印系統更新後，導致上述期間列印的護照都少了IRL字母。而受影響的護照有12,904本。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/ireland-recalls-almost-13-000-passports-over-missing-irl-code/" target="_blank">BleepingComputer檢視</a>，可能是護照檔案頁下方的機讀區編碼少了國家代碼IRL字母，而無法滿足國際民用航空組織（ICAO）的旅行文件規範。</p> <p>愛爾蘭外交部護照服務局要求這時段期間辦護照或取得護照的民眾繳回，以獲得免費補發。這些民眾最快在10天獲得新護照。</p> </div></div></div>
1/12 11:08作者林妍溱https://www.ithome.com.tw/news/173277
Databricks提出企業資料搜尋新方法，讓RAG更能遵循時間與來源等限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Databricks旗下Mosaic研究團隊公布<a href="https://www.databricks.com/blog/instructed-retriever-unlocking-system-level-reasoning-search-agents">Instructed Retriever研究</a>，主張把系統規格（System Specification）帶入搜尋與回覆生成流程，讓企業搜尋代理更能遵循使用者指令。研究人員表示，在一套企業問答資料集組合的評測中，Instructed Retriever相較傳統RAG的回覆品質提升超過70%。</p> <p>研究人員認為，企業情境常同時要求時間新鮮度、文件類型、資料來源範圍與回覆長度等限制，但多數RAG做法，只用使用者問題進行單步擷取，查詢生成後便難以保留這些規格，使得後續擷取與重排序往往回到文字相似度，容易忽略更細緻的意圖與資料來源差異。</p> <p>Instructed Retriever的重點，是把系統規格當成工作管線必須遵守的共同前提，而不是只在一開始影響使用者問題的改寫。研究團隊將這些系統規格整理成三類，第一類是使用者指令，例如偏好近幾年的資料或排除某些品牌，第二類是標註範例，用來界定哪些文件在此任務中算相關或不相關，而第三類則是索引描述，也就是搜尋系統實際提供哪些欄位與中繼資料可用，讓代理知道什麼條件能被轉成可執行的過濾條件。</p> <p>由於把自然語言的限制，轉換成可執行查詢，團隊強調代理需具備把複合需求拆解成多個搜尋子任務的能力，並能在指令脈絡下判斷相關性，同時把去年這類描述轉成時間戳記等欄位過濾條件。</p> <p>在效果驗證上，Databricks以半結構化擷取基準STaRK（Semi-Structured Retrieval Benchmark）為基礎，建立StaRK-Instruct資料集，刻意把常見的企業需求納入問題裡，包括指定必須具備的條件、明確排除的條件，以及偏好較新的資料等，藉此檢驗模型能否產生同時包含關鍵字與欄位過濾的結構化查詢。</p> <p>研究人員指出，與直接用原始問題去搜尋相比，改採指令式查詢生成後，StaRK-Instruct上的召回率可提升35%到50%，而在題目多半未特別註明時間新鮮度或排除條件等限制的StaRK-Amazon上，召回率也約提升一成。</p> <p>Databricks已在自家Agent Bricks的Knowledge Assistant導入Instructed Retriever方法，用來打造可附引用來源的文件型問答聊天機器人。至於量化成效，研究團隊在多步搜尋代理評測中指出，Knowledge Assistant作為工具相較以RAG作為工具可帶來超過30%的品質提升，平均任務完成時間降低8%。</p> </div></div></div>
1/12 08:55作者李建興https://www.ithome.com.tw/news/173271
採用AMD MI350平臺與Pollara 400網卡，雲達推新款AI伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/yun_da_quantagrid_d75t-7u_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年6月AMD發表<a href="https://www.amd.com/en/blogs/2025/amd-instinct-mi350-series-and-beyond-accelerating-the-future-of-ai-and-hpc.html">新款資料中心GPU平臺</a>（採用Instinct MI350X系列），前一個月的2025台北電腦展期間，就有多家伺服器廠商宣布推出相關產品，例如，雲達科技（QCT）就在活動現場展出導入這個平臺的兩款機型：7U機箱、採用氣冷散熱的QuantaGrid D75T-7U，以及5U機箱、採用液冷散熱的QuantaGrid D75M-5U，它們均搭配兩顆AMD EPYC 9004/9005系列處理器，最高可搭配熱設計功耗（TDP）為500瓦的款式，單一伺服器能提供384顆實體核心、768顆執行緒；系統記憶體方面，這兩款機型都內建24個DDR5記憶體插槽，支援6400 MT/s，若全部使用128 GB容量的記憶體，整臺伺服器可提供到3 TB記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D75T-D75M-2025-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D75T-D75M-2025-05.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/D75T-7U-CPU.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/QCT-GPU SERVERS-2025-10-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/QCT-GPU%20SERVERS-2025-10-1.jpg" style="width: 600px;" /></a></p> <p>至於GPU，它們皆搭配單張基板（baseboard）的元件形式，匯集8個最新推出的Instinct MI350X（HBM3E記憶體個別為288 GB，總量為2.3 TB，記憶體總頻寬為8 TB/s），或<a href="https://www.amd.com/en/newsroom/press-releases/2024-10-10-amd-delivers-leadership-ai-performance-with-amd-in.html">2024年10月上市的Instinct MI325X</a>（HBM3E記憶體個別為256 GB，總量為2 TB，記憶體總頻寬為6 TB/s）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D75T-7U-GPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D75T-7U-GPU.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/qct-AMD%20Instinct%20MI350X%20vs%20MI325X.png" style="width: 600px;" /></p> <p>在雲達的網站上，我們只看到D75T-7U的產品介紹與細部規格，該公司表示，現階段聚焦D75T-7U進行市場宣傳，D75M-5U目前不是主力產品，所以沒放在官網，若客戶有實際需求可討論。</p> <p><a href="https://s4.itho.me/sites/default/files/images/QCT-GPU SERVERS-2025-10-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/QCT-GPU%20SERVERS-2025-10-2.jpg" style="width: 600px;" /></a></p> <p>對照ML Commons組織在2025年公布的AI伺服器效能測試結果，也可以呼應上述市場主打產品策略。例如，6月揭露的MLPerf Training v5.0，9月推出的MLPerf Inference v5.1，11月發布的MLPerf Training v5.1，都可以看到雲達提交D75T-7U的AI運算效能表現。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ML TRAINING 5_0-D75T-7U.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ML%20TRAINING%205_0-D75T-7U.png" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ML INFERENCE 5_1-D75T-7U.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ML%20INFERENCE%205_1-D75T-7U.png" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/ML%20TRAINING%205_1-D75T-7U.png" style="width: 298px;" /></p> <p>而在AMD主導的AI伺服器市場行銷活動中，D75T-7U已列入2025年6月更新的<a href="https://www.amd.com/content/dam/amd/en/documents/products/accelerators/instinct/amd-instinct-solution-catalog.pdf">認證GPU伺服器型錄</a>，在支援MI350與MI300的產品列表當中，雲達有一款QuantaGrid D74T-7U，上面的超連結指向D75T-7U的網頁介紹。而在12月AMD推出的<a href="https://www.amd.com/en/blogs/2025/pollara400ainicreadyserverplatforms.html">AI網路卡就緒伺服器平臺計畫</a>，雲達的D75T-7U也恰巧是<a href="https://www.amd.com/content/dam/amd/en/documents/pensando-technical-docs/other/pensando-pollara-400-ai-nic-ready-server-platforms-catalog.pdf">當中列出</a>的18款機型之一，可搭配<a href="https://www.ithome.com.tw/review/165555">AMD Pensando Pollara 400</a>，能藉此運用超乙太網路聯盟（UEC）發展的多項網路加速功能，像是智慧型封包濺散處理（Intelligent Packet Spray）、亂序封包處理（out-of-order packet handling）、訊息依序傳遞至GPU（in-order message delivery）、有選擇能力的網路重新傳輸（Selective Retransmission），以及具有路徑感知能力的網路壅塞預防（Path Aware Congestion Avoidance）。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;">雲達QuantaGrid D75T-7U</span><br /> ●原廠：雲達科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：7U<br /> ●處理器：2顆，AMD第五代EPYC，9005系列（最高搭配熱設計功耗500瓦機型）<br /> ●記憶體：24個DDR5-6400插槽，最大可擴充至3 TB<br /> ●儲存配置：18臺2.5吋NVMe固態硬碟<br /> ●搭配GPU：8個AMD Instinct MI350X、MI325X<br /> ●I/O擴充介面：8個PCIe 5.0 x16介面卡（半高半長）、2個PCIe 5.0 x16介面卡（全高半長）、2個M.2 2280（開機儲存區）<br /> ●電源供應器：6臺4000瓦（4+2備援）<br /> ●系統風扇：8臺雙轉子風扇（15+1個轉子）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
1/11 18:37作者李宗翰https://www.ithome.com.tw/review/173275
2025年臺灣6家企業加入FIRST資安應變組織，合勤、104、元大證券入列，資安產業亦有來毅、數聯、元盾加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著資安威脅日益受到重視，對於企業組織的CSIRT、PSIRT團隊而言，參與國際資安協作的意願持續升溫。過去一年以來，全球加入FIRST國際資安應變組織的成員數量，從約莫764個增至829個。</p> <p>臺灣FIRST成員亦持續增加，從25個增加至31個，新加入的公司有資安業者來毅數位科技，以及資安SOC服務業者的數聯資安與元盾資安。更引人注目的是，2025年新增成員擴及不同產業領域，首度出現網通設備業者、服務業，以及證券業代表，分別為合勤科技、一零四資訊科技、元大證券，顯示資安應變與國際合作，已逐漸成為越來越多產業的共同課題。</p> <h3><strong>更多臺灣SOC業者加入，展現資安監控服務接軌國際</strong></h3> <p>臺灣企業對於資安應變的重視程度越來越顯著，FIRST成員數量增加反映了這項趨勢，也展現與國際企業資安社群的接軌。</p> <p>綜觀臺灣FIRST成員，在資安業者方面，先前已有7家是FIRST成員，從早期的趨勢科技、安華聯網、奧義智慧，到近年加入的微智安聯、杜浦數位安全、中華資安國際，以及睿控網安。</p> <p>進入2025年，臺灣有3家本土資安業者的應變團隊加入FIRST，分別為5月的來毅數位科技Keypasco CSC，以及11月的數聯資安ISSDU-CSIRT、元盾資安MSS CSIRT。</p> <p>最重要的變化在於，本土SOC服務業者正積極投入國際資安應變社群，在中華資安國際之後，如今有數聯資安、元盾資安加入。這類業者服務的對象很廣泛，藉由補強國際威脅情資並進行跨國協作，可提升整體應變效率與防禦能量。</p> <h3><strong>2025新亮點是更多領域投入，涵蓋服務、證券、網通業</strong></h3> <p>若從其他產業來看，這幾年來，最具代表性的當屬電子科技產業，自從<a href="https://www.ithome.com.tw/news/152011">群創光電加入</a>，<a href="https://www.ithome.com.tw/news/160961">台積電、廣達、日月光，以及聯發科</a>、<a href="https://www.ithome.com.tw/news/166451">鴻騰、威強電、華碩</a>等也成為FIRST成員；金融領域也相當積極，先前已有F-ISAC、台新銀行。</p> <p>2025年的特色在於：網通產業、證券業首次加入FIRST，更難得是服務業首度參與，而且是人力資源市場業者。包括：10月合勤科技Zyxel以PSIRT角色加入FIRST，12月元大證券YSTW-CSIRT，以及一零四資訊科技104 CSIRT。</p> <p>為何這些業者重視FIRST組織？我們特別詢問這3家公司的發展狀況。</p> <p><strong><span style="color: rgb(178, 34, 34);">一零四資訊科技</span></strong></p> <p>放眼全球FIRST會員，人力銀行業者非常罕見，在臺灣，一零四資訊科技不只是第一家加入FIRST的人力銀行，也是不同行業中首間加入的服務業，有別於資安業者與科技大廠。這也讓人好奇：他們為什麼決定加入？</p> <p>104 CSIRT團隊表示，主要是為了確保事件應變流程符合國際標準，降低重大資安事故衝擊，以因應APT、供應鏈攻擊等高風險場景。希望加速取得國際威脅情資與最佳實務，並建立跨國合作機制。而我們也從FIRST公開資訊得知，該公司自2017年起即成立CSIRT團隊來強化內部資安應變能力。</p> <p>值得一提的是，他們回憶這次評估加入FIRST的過程，104 CSIRT團隊發現全球FIRST成員當中，人力銀行業者加入的前例相當少，因此，他們當時主要借鑑華碩在CYBERSEC臺灣資安大會分享的入會經驗，以及相關報導與公開資料。</p> <p>雖然可供參考的同業經驗有限，反而強化他們的決心。對於高度仰賴個資的人力銀行產業而言，104 CSIRT團隊認為，這樣的投入有助於展現其在資安的領先位置，以及對客戶資料保護的重視。</p> <p>而在實際申請過程中，他們也順勢精進自家CSIRT的能力，例如，由於必須符合其準則規範，這也促使內部檢視並優化事件分類、通報及跨部門協作流程，並補強資安治理文件，使應變流程更貼近國際標準。他們另提到，過程中獲得TWCERT/CC與安華聯網的協助，兩者在資格審核與實務經驗分享上，都提供了不少具體建議。</p> <p><span style="color: rgb(178, 34, 34);"><strong>元大證券</strong></span></p> <p>另一個以CSIRT身分加入的企業是元大證券，金融業整體資安要求本就嚴格，但相較於銀行業，證券業在資安實務推動上，仍稍有差距。近年來，國內已有F-ISAC與台新銀行加入FIRST，展現對資安應變的重視，元大證券後續也積極跟進，成為臺灣首家加入FIRST的證券業者。</p> <p>元大證券YSTW-CSIRT團隊表示，他們關注的重點在於實質提升事件應變能力、跨組織協作效率，以及CSIRT流程在高度監理環境下的可運作性與成熟度；策略上，主要促進資安從「被動防禦」轉向「主動預警」。</p> <p>YSTW-CSIRT團隊進一步解釋，元大證券近年持續強化資安監控與事件應變能力，自2022年成立獨立資安部門、採風險導向治理，2023年建置7×24資安監控中心（SOC），2025年再導入SOAR，讓部分攻擊與事件可自動分析處置，將資安人力聚焦關鍵決策與演練。</p> <p>在這三年的發展過程中，他們觀察到，資安風險具有時間敏感與跨國跨組織屬性，因此，需尋求更具效率的協作管道，目標是及早掌握威脅趨勢、攻擊手法與弱點情資，提前完成風險評估、緩解規畫與更新準備，為營運爭取必要的緩衝時間，而加入FIRST正是他們因應這項需求的重要選擇。</p> <p>成為FIRST成員後，元大證券期望在既有完整的情資處理與事件應變流程基礎上，進一步強化即時威脅與弱點情資的應處能力。而在加入與審核過程中，也產生實際效益，例如，加入FIRST的過程中，需透過第三方進行客觀評估，再由現有FIRST成員從外部檢視政策規範、流程落地情形與整體成熟度，這不僅驗證公司事件應變治理、制度設計與實際運作，也獲得如「提供應變參與層級」等具體建議，這方面他們也感謝中華資安國際與勤業眾信聯合會計師的事務協助。</p> <p>元大證券強調，加入FIRST主要基於明確的實務需求與長期投入的策略規畫。公司未來將以更前瞻且可驗證的方式提升事件應變成熟度，同時在合規與資訊分享可控的前提下，推動跨組織協作與聯防韌性。元大也期望藉此拋磚引玉，帶動更多證券同業投入，共同強化臺灣證券業的資安協作。</p> <p><span style="color: rgb(178, 34, 34);"><strong>合勤科技</strong></span></p> <p>我們2025年12月報導<a href="https://www.ithome.com.tw/news/172774">合勤產品資安的實務經驗</a>，曾詢問加入FIRST的問題，與上述FIRST成員不同的是，身為網通產品大廠的合勤，是以PSIRT（產品資安事件應變小組）身分加入。差異在於，CSIRT專注組織資安風險，PSIRT專注產品安全。</p> <p>合勤投控資安長游政卿表示，主要考量自家網通產品行銷全球，需掌握國際資安情報，而他們的CSIRT已與國內調查局、資安院等單位合作，儘管有些企業可能以兩種角色身分加入，不過，他們最終選擇以PSIRT加入。</p> <p>游政卿指出，近年合勤持續強化產品資安，例如，2021年成立「資訊暨產品安全管理處」，建立完整架構以負責CSIRT與PSIRT事務，2024年更是簽署CISA的Secure by Design Pledge計畫。在此基礎上，合勤近期正式加入FIRST，他表示，將有助於進一步精進PSIRT的實務運作與國際協作能力。</p> <h3><strong>了解自身應變能力，可借助SIM3成熟度評估共通標準</strong></h3> <p>事實上，<a href="https://www.ithome.com.tw/news/160961#JOINFIRST">我們兩年前報導相關議題時，TWCERT/CC即指出</a>，要成為FIRST成員須滿足幾個必要的條件，包括：需要兩位FIRST成員推薦，並且還有SIM3問卷評估與實地訪視。</p> <p>游政卿近期特別針對SIM3提出進一步說明，他指出，SIM3是資安事件管理成熟度模型，全名是Security Incident Management Maturity Model，用於衡量組織處理安全事件的能力，目前最新版本為v2，共畫分出45項檢視參數。</p> <p>歐洲網路與資訊安全局（ENISA）亦採用此模型，作為其成員國強化事件回應成熟度的依據；FIRST組織也將SIM3中的11項關鍵參數指標，視為加入成員所需的最低標準。</p> <p>因此，合勤在申請過程中，也以此促使公司再次對齊國際標準，確保資安應變機制達到全球水準；加入後，還能取得資安聯盟的共享情資，正式邁入國際情資交換的核心圈。</p> <p>游政卿強調，製造商需要為自己的產品負責，不論是成立PSIRT、建立漏洞揭露政策（VDP）、落實Secure by Design，他並建議，可透過定期SIM3自評檢視PSIRT與CSIRT的運作成效。即便非FIRST成員，亦可透過SIM3-Check線上工具，了解成熟度後再制定改進計畫，以提升資安應變。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）FIRST Membership Baselin SIM3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89FIRST%20Membership%20Baselin%20SIM3.jpg" style="width: 600px;" /></a></p> <p><strong>關於申請加入FIRST，華碩在2025年5月舉行的臺灣資安大會曾分享經驗，並提及如何利用資安事件管理成熟度模型SIM3 v2自評，合勤也在9月產品資安論壇介紹此模型涵蓋45種檢視指標，其中11項是FIRST成員基本要求，並鼓勵大家透過<a href="https://sim3-check.opencsirt.org/#/"><span style="color:#0000CD;">SIM3-Check線上工具</span></a>來提升資安應變。</strong></p> <p> </p> </div></div></div>
1/10 11:17作者羅正漢https://www.ithome.com.tw/news/173274
OpenAI對ShadowLeak攻擊的防護未完全封堵，研究人員再揭露ChatGPT新濫用手法ZombieAgent
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI去年8月修補了可以ShadowLeak手法濫用ChatGPT的瑕疵，不過並未修補完全，研究人員又<a href="https://www.radware.com/blog/threat-intelligence/zombieagent/" target="_blank">發現新的濫用方法</a>，名為ZombieAgent，促使該公司又在12月再次修補。</p> <p>去年OpenAI修補由資安廠商Radware發現的ChatGPT濫用方法，<a href="https://www.ithome.com.tw/news/171326" target="_blank">名為ShadowLeak</a>。ShadowLeak為間接提示注入方法，利用ChatGPT深入研究（Deep Research）功能，當使用者授權存取Gmail與瀏覽器工具時，攻擊者傳送一封變造過的HTML郵件，如Gmail郵件，ChatGPT就可能自動將Gmail（或Outlook或Google Drive）的敏感資訊，以URL參數形式傳送到外部伺服器，無須使用者任何點擊，也不會顯示警告。OpenAI已在8月解決這個問題，限制ChatGPT只能依照提供的方式開啟URL，拒絕為其添加參數。</p> <p>但<a href="https://www.radware.com/blog/threat-intelligence/zombieagent/" target="_blank">Radware研究人員</a>本周揭露繞過這個限制的方法，稱為ZombieAgent。</p> <p>研究人員說明ZombieAgent手法。他們建立了數行預先建構的網址清單，每個網址後附帶單一數字、英文字母，例如example.com/a、example.com/b...如此類推到/z，還有example.com/0到example.com/9。特殊符號則以$代替空格，如example.com/$代替空格。最後將這一清單送入ChatGPT。</p> <p>結果就能讓ChatGPT尋找敏感資訊，並正規化（小寫字母，以$代替空格），再一個字母一個字母傳送給攻擊者列出的網址。例如敏感字串是AB cd，ChatGPT即會以example.com/a、example.com/b、example.com/a、example.com/$、example.com/c、example.com/d的順序，把字串傳送出去。Radware甚至為重複字元量身準備「索引化的URL」（例如a0 ~ a9等）來區分相同字母出現的不同位置以維持正確的字串順序。這讓ChatGPT逐字外洩資料。</p> <p>ZombieAgent之所以能運作，是利用OpenAI開發人員沒有限制URL上附加單一字母。</p> <p>在Radware 9月通報後，OpenAI在12月的最新修補中，為ChatGPT加入限制，使ChatGPT無法開啟任何來自電子郵件的連結來緩解ZombieAgent攻擊，除非出現在知名公開索引中或使用者直接在聊天提示中提供連結。此調整旨在阻止代理開啟導致攻擊者控制網域的基礎網址。</p> </div></div></div>
1/10 06:00作者林妍溱https://www.ithome.com.tw/news/173273
老舊音響SoundTouch走向終止支援，Bose釋出API文件讓社群接手開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Bose<a href="https://www.bose.com/soundtouch-end-of-life">更新SoundTouch音響終止支援公告</a>，把雲端支援結束日延後到2026年5月6日，並同步釋出SoundTouch的<a href="https://assets.bosecreative.com/m/496577402d128874/original/SoundTouch-Web-API.pdf">API文件</a>，表示將公開技術規格，讓獨立開發者能夠製作相容的工具與功能，替這批已進入生命周期末段的音響保留延續使用的空間。</p> <p>SoundTouch雲端支援仍會結束，但Bose表示在聽取用戶意見後，將原先公告的2月18日延後到5月6日。Bose也說明，SoundTouch應用程式在雲端終止前會收到自動更新，並會在5月6日自動切換到可在不依賴雲端運作的版本。用戶不需要手動操作，只要開啟應用程式就會自動套用更新。</p> <p>Bose將SoundTouch從依賴雲端的整合控制，調整為以本機網路為主的運作模式。雲端終止後，SoundTouch應用程式仍可在同一個WiFi網路內進行系統設定與基本控制，例如播放暫停、音量調整與多裝置群組。聽音樂則改由各音樂服務的應用程式發起，再透過藍牙、AirPlay、Spotify Connect或AUX將音訊送到SoundTouch裝置。SoundTouch系統於2013年進入市場，Bose表示因技術演進，已無法持續支撐這一代產品所依賴的雲端基礎架構開發與支援。</p> <p>官方指出，產品本體與應用程式內的預設按鍵會失效，使用者也無法再從SoundTouch應用程式內直接瀏覽或播放音樂服務內容。Bose同時提醒，雲端結束後系統不再接收安全性與軟體更新，建議用戶在安全的私人網路環境中使用，並在2026年5月6日前先更新到最新韌體。</p> <p>Bose對外提供技術規格，讓獨立開發者能打造SoundTouch相容工具與功能，並提供SoundTouch API文件下載。社群仍有機會以第三方控制器或整合系統，把老裝置納入既有的家庭自動化或音訊播放流程，至少不必完全仰賴原廠應用程式的長期維護承諾。</p> <p>該公告在Hacker News引發<a href="https://news.ycombinator.com/item?id=46541892">討論</a>，重點之一是企業在終止支援時應如何降低對既有用戶的衝擊。有人認為Bose至少提供公開技術規格與API文件，讓社群有機會在雲端終止後延續裝置的使用，也有人提醒不必過度解讀，並指出外界常把這次更新描述成產品開源，但實際上是公開API文件與技術規格，與開源軟體或韌體仍有差距。</p> </div></div></div>
1/10 06:00作者李建興https://www.ithome.com.tw/news/173264
Artificial Analysis改版智慧指標v4.0，新增幻覺風險與研究級推理評測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>獨立模型評測機構Artificial Analysis<a href="https://x.com/ArtificialAnlys/status/2008570658608099604">更新</a>智慧指標（Intelligence Index）至v4.0，調整評測組合，讓評測重心更貼近實務任務與可靠性行為。官方同時提醒，合成指標可用來比較模型，但仍有侷限，不必然能直接套用到每一個使用案例，並在方法論中強調評測應兼顧公平性與真實世界適用性。</p> <p>Intelligence Index v4.0移除MMLU-Pro、AIME2025與LiveCodeBench等常見測試，改採新的評測組合，試圖重新拉開模型差距。</p> <p><a href="https://artificialanalysis.ai/?intelligence=">在Intelligence Index v4.0的前26個模型中</a>，GPT-5.2（xhigh）以51分居首，Claude 4.5 Opus為49分，Gemini 3 Pro Preview（high）48分，GPT-5.1（high）47分，Gemini 3 Flash 46分。第二梯隊大致落在40分上下，包含Claude 4.5 Sonnet與GLM-4.7各42分，Grok 4與DeepSeek v3.2各41分，Kimi K2 Thinking 40分。其後分數逐步拉開，末段模型已降到20分以下，例如K2-V2（high）21分，Llama 4 Maverick 19分，Falcon-H1R-7B 16分。</p> <p>v4.0受關注的新增項目之一是GDPval-AA，這是基於OpenAI提出的GDPval資料集，題目取自專業人士的真實工作產出，涵蓋44種職務與9大產業，用來觀察模型在具經濟價值的知識工作任務上能達到的程度。OpenAI也指出，這類任務能更清楚呈現模型是否真能支援日常工作，而不只是把題目答對。</p> <p>AA-Omniscience以6,000題、涵蓋六大領域共42個主題的題庫衡量知識正確性與幻覺行為，並透過扣分機制懲罰亂猜，同時讓不回答維持中性分數，鼓勵模型在不確定時選擇不答。Artificial Analysis也指出，高正確率不必然代表低幻覺率，而且不同領域的領先模型不盡相同，選擇模型仍需貼近情境。</p> <p>在科學推理面向，加入CritPt主打未公開的研究級物理推理挑戰，由50位以上在職研究者共同設計。Artificial Analysis公開的CritPt排行榜<a href="https://artificialanalysis.ai/evaluations/critpt">顯示</a>，目前表現最佳的模型正確率也僅約一成出頭，例如GPT-5.2（xhigh）為11.6%，其餘多數知名模型皆落在個位數百分比甚至接近零，顯示模型要運用長鏈推理獲得可驗證的最終答案，仍有一段路要走。</p> <p>當系統允許使用程式執行與網頁搜尋等工具後，模型的正確率提升，但CritPt研究團隊同時<a href="https://arxiv.org/html/2509.26574v3">指出</a>，這種工具輔助只帶來小幅前進，仍不足以跨過核心推理瓶頸。</p> <p>不過，Artificial Analysis也再度提醒，任何排名都只能作為起點，最後仍要以自家資料、流程與風險門檻做驗證。</p> </div></div></div>
1/10 06:00作者李建興https://www.ithome.com.tw/news/173267
CrowdStrike收購SGNL，身分安全邁向即時授權時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端資安業者<a href="https://www.crowdstrike.com/en-us/blog/crowdstrike-to-acquire-sgnl/" target="_blank">CrowdStrike周四（1/8）宣布</a>，已與身分安全業者SGNL達成收購協議，以擴展CrowdStrike Falcon新一代身分安全解決方案。雙方並未公布交易金額，但根據<a href="https://www.reuters.com/technology/crowdstrike-buy-identity-security-startup-sgnl-740-million-tackle-ai-threats-2026-01-08/" target="_blank">路透社</a>（Reuters）與<a href="https://www.theregister.com/2026/01/08/crowdstrikes_740m_sgnl_deal_proves/" target="_blank">The Register</a>的報導，這筆交易價值7.4億美元。</p> <p>SGNL是由Scott Kriz與Erik Gustavson在2021年共同創辦，聚焦於解決雲端、SaaS與AI時代下授權失效的結構性問題；主打身分即時授權（Continuous Authorization）與零常駐權限（Zero Standing Privileges）架構，讓人類、非人類，以及AI代理人，都只在必要時取得最小權限，並可依據風險變化隨時撤銷。</p> <p>擔任SGNL執行長的Kriz解釋，傳統的身分與存取管理（Identity and Access Management，IAM）體系主要提供兩種解法：特權存取管理（Privileged Access Management，PAM）與身分治理與管理（Identity Governance and Administration，IGA）。前者著重鎖住高權限帳號的憑證，卻帶來大量操作摩擦，且帳號本身依然長期持有高權限；後者則聚焦於合規與帳號配置，但其運作採批次流程，實際的存取決策往往延遲數小時、數天，甚至數周，與當下的存取行為脫節。</p> <p>Kriz認為，不管是PAM或IGA都屬於過去的時代，PAM是替已消失的網路邊界而設計，IGA則是為永遠落後現況的季度存取審查而存在。企業真正需要的，是一種全新的、可根據即時訊號，於瞬間作出決策的持續與情境化授權，而這正是SGNL成立的原因。</p> <p>SGNL的客戶已全面移除關鍵系統的常駐權限，以基於真實情境的即時存取，取代PAM的靜態保險庫。一家全球汽車製造商取消人工核准流程，將存取決策時間從數十分鐘或數小時，縮短到幾秒鐘。另一家《財星》50大跨國企業，透過SGNL消除雲端環境的常駐權限，並將原本3萬個靜態角色設定，簡化為6條具情境感知的政策。</p> <p>至於CrowdStrike Falcon則為一雲端原生資安平臺，從最初的端點防護擴展至身分安全、雲端及工作負載防護、威脅獵捕與事件回應，成為以身分及行為為核心的整合式資安平臺。</p> <p>CrowdStrike指出，在整合SGNL後，Falcon新一代身分安全將可全面消除人類、非人類與AI代理人身分的常駐高權限，改以即時、短暫、可回收的方式授權，降低身分被盜後的橫向移動與長期潛伏風險。此外，SGNL也將擴展現有即時存取機制的支援範圍，從Active Directory與Entra ID，延伸至AWS IAM、Okta等雲端身分與SaaS系統。</p> <p>CrowdStrike認為，AI代理人與機器身分將成為企業數位營運的關鍵基礎，也將成為駭客的新目標。藉由導入持續動態授權與零常駐權限，期望可在威脅發生前即減少攻擊面，推動新一代以風險為導向的身分安全架構。</p> </div></div></div>
1/10 06:00作者陳曉莉https://www.ithome.com.tw/news/173272
GitLab修補多項高風險漏洞，涉及跨站指令碼與權限濫用，自管環境應儘速更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>程式碼代管與DevOps平臺GitLab於1月7日<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/" target="_blank">發布18.7.1、18.6.3與18.5.5版本</a>，修正多項資安漏洞，涵蓋跨站指令碼（XSS）、授權檢查缺失、拒絕服務（DoS）與資訊洩露等風險，其中部分漏洞風險評分達高風險等級，可能影響GitLab多項核心功能與平臺存取控制機制。官方強烈建議採用自管（self-managed）部署的用戶，儘速升級以降低風險。至於GitLab.com已完成更新，GitLab Dedicated用戶則不受影響。</p> <p class="rtecenter"><a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-gitlab-600-1.png" style="width: 600px;" /></a></p> <p><span style="color:#B22222;"><strong>影響版本與適用範圍</strong></span></p> <p>GitLab指出，本次修補涵蓋多數自管環境，包含Omnibus套件、原始碼安裝與Helm Chart等部署方式，除非特別註明排除，否則皆在影響範圍內。</p> <p>受影響版本包含GitLab 社群版（Community Edition，CE）與企業版（Enterprise Edition，EE）多個歷史版本分支，最早可回溯至8.x與10.x系列，用戶需依所屬版本線，升級至18.7.1、18.6.3或18.5.5。</p> <p><span style="color:#B22222;"><strong>重點漏洞一次看</strong></span></p> <p>本次修補的高風險漏洞，主要集中於GitLab多項常用功能：</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 跨站指令碼（XSS）漏洞 </span></span></strong></p> <p>GitLab修補兩項高風險跨站指令碼漏洞，其中一項為<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#cve-2025-10569---denial-of-service-issue-in-import-functionality-impacts-gitlab-ceee:~:text=CVE%2D2025%2D9222,bug%20bounty%20program" target="_blank">CVE-2025-9222</a>（CVSS風險分數為8.7），攻擊者可濫用GitLab Flavored Markdown標記語言的占位符（Placeholders）機制，發動儲存型跨站指令碼攻擊；另一項<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#cve-2025-10569---denial-of-service-issue-in-import-functionality-impacts-gitlab-ceee:~:text=CVE%2D2025%2D13761,bug%20bounty%20program" target="_blank">CVE-2025-13761</a>（CVSS風險分數為8.0）則影響Web IDE，可能讓未經身分驗證的攻擊者，誘使使用者造訪特製網頁，在其瀏覽器中執行任意指令碼。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 授權檢查缺失與權限濫用 </span></strong></span></p> <p>另外有多項漏洞涉及授權檢查不足問題，包括Duo Workflows API（<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#cve-2025-10569---denial-of-service-issue-in-import-functionality-impacts-gitlab-ceee:~:text=CVE%2D2025%2D13772,member%20Jessie%20Young" target="_blank">CVE-2025-13772</a>）與AI GraphQL突變（<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#cve-2025-10569---denial-of-service-issue-in-import-functionality-impacts-gitlab-ceee:~:text=CVE%2D2025%2D13781,bug%20bounty%20program." target="_blank">CVE-2025-13781</a>）。攻擊者可能透過操控API請求或GraphQL突變（mutation），存取或修改未經授權的AI模型設定，甚至變更整個GitLab執行個體層級的AI功能供應商設定，影響範圍以GitLab EE為主。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 拒絕服務與存取控制問題 </span></strong></span></p> <p>GitLab也修補一項與匯入功能相關的拒絕服務漏洞（<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#cve-2025-10569---denial-of-service-issue-in-import-functionality-impacts-gitlab-ceee:~:text=CVE%2D2025%2D10569,bug%20bounty%20program." target="_blank">CVE-2025-10569</a>），已通過身分驗證的使用者，可能藉由對外部API呼叫提供特製回應，使系統資源耗盡。此外，GraphQL runnerUpdate突變的存取控制粒度不足（<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#:~:text=CVE%2D2025%2D11246,bug%20bounty%20program" target="_blank">CVE-2025-11246</a>），可能讓具備特定權限的使用者，移除不相關專案的Runner資源。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 資訊洩露風險 </span></strong></span></p> <p>另一項低風險漏洞與Mermaid圖表渲染機制有關（<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#cve-2025-10569---denial-of-service-issue-in-import-functionality-impacts-gitlab-ceee:~:text=CVE%2D2025%2D3950,bug%20bounty%20program." target="_blank">CVE-2025-3950</a>），攻擊者可能透過可繞過資產代理防護的特製圖片，洩露敏感連線資訊。</p> <p><span style="color:#B22222;"><strong>官方建議作法</strong></span></p> <p>GitLab強調，所有使用受影響版本的自管環境，應儘速升級至最新修補版本，以維持良好的資安衛生。單節點（single-node）環境在升級期間，可能因資料庫遷移而需要短暫停機，多節點（multi-node）環境則可依循GitLab提供的零停機（zero-downtime）升級流程進行更新。</p> <p>此外，GitLab也建議管理者檢視官方文件所列的資安最佳實務，包括持續套用修補更新、強化對外存取防護設定，並針對涉及Markdown、Web IDE、AI相關功能與匯入流程的異常活動加強監控。</p> <p>GitLab表示，漏洞詳細技術資訊將於修補發布30天後，陸續於官方議題追蹤系統公開，協助社群進一步檢視與防範相關風險。</p> <p><span style="color:#FFFF00;"><span style="font-size:22px;"><strong><span style="background-color:#000000;"> 修補節奏可預期，關鍵在於企業是否「接得住」 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>從治理與實務角度來看，GitLab此次修補也凸顯修補節奏管理的重要性。</strong></span><strong><span style="color:#696969;">根據</span><a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#:~:text=GitLab%20releases%20fixes,posts%20here." target="_blank"><span style="color:#696969;">GitLab官方說明</span></a><span style="color:#696969;">，修補分為每月定期發布，以及針對高嚴重度漏洞提供的臨時重大修補；其中定期修補通常落在每月第二與第四個星期三。</span></strong></p> <p><span style="color:#696969;"><strong>企業內部是否能把這個節奏納入管理機制，例如明確的修補時程要求、有固定的變更窗口可套用例行修補，以及在遇到高風險漏洞時，是否具備快速決策與風險接受的流程。沒有內建這套節奏，修補就只能靠臨時應變，風險自然難以控管。</strong></span></p> </div></div></div>
1/9 20:44作者王珮瑤https://www.ithome.com.tw/news/173259
手機、雲端、IoT、AI應用接連爆發，身分管理大失控狂潮來襲！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據2025年10月公布的<a href="https://r.itho.me/25svcyb">《iThome 2025 CIO & CISO大調查報告書資安篇》</a>，臺灣企業與組織的前三大機密性資安風險，依序為個人資料外洩、機敏資料外洩、內部人員（現任或前任員工）發動攻擊，前三大完整性資安風險，依序為網路釣魚／社交工程手段、資安漏洞（如零時差漏洞攻擊）濫用、商業郵件詐騙（BEC），絕大多數都跟身分安全有關；然而，在各種資安防護技術的採用率上，身分存取與管理（IAM）排名第八，就產業類型而言，金融業與服務業較重視這類技術的投資，有超過與逼近一半的公司表示，他們有意持續強化IAM。</p> <h2><strong><span style="color:#0000FF;">機器身分數量暴增，企業若無法有效管理，恐將成為資安大患</span></strong></h2> <p>身分安全顯然很重要，然而，企業與組織面臨的挑戰越來越巨大。根據資安廠商CyberArk去年發布的<a href="https://www.cyberark.com/press/new-cyberark-research-rapid-growth-of-machine-identities-ai-adoption-and-cloud-native-innovations-leave-organizations-more-vulnerable-to-attacks/">報告</a>，有一半的企業資安領導者表示，他們因為<a href="https://www.cyberark.com/what-is/machine-identity/">機器身分（Machine Identity）</a>遭駭，導致發生資安事故，而且，超過一半的比例預估未來一年機器身分的數量<a href="file:///C:/Users/user/Downloads/New%20CyberArk%20Research:%20Rapid%20Growth%20of%20Machine%20Identities,%20AI%20Adoption%20and%20Cloud%20Native%20Innovations%20Leave%20Organizations%20More%20Vulnerable%20to%20Attacks">將成長50％</a>。綜合該公司近幾年定期揭露的身分安全情勢報告當中，我們也可以看到機器身分與人員身分（Human Identity）數量的比例巨大變化，從<a href="https://www.cyberark.com/press/cyberark-report-massive-growth-of-digital-identities-is-driving-rise-in-cybersecurity-debt/">45比1</a>暴增至<a href="https://www.cyberark.com/press/machine-identities-outnumber-humans-by-more-than-80-to-1-new-report-exposes-the-exponential-threats-of-fragmented-identity-security/">82比1</a>，單就金融業而言，比例高到<a href="https://www.cyberark.com/resources/blog/the-cybersecurity-investment-most-organizations-are-failing-to-secure">96比1</a>，以國家地區來看，英國甚至達到100比1。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk 2025 Report1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%202025%20Report1.png" style="width: 600px;" /></a></p> <p>何謂機器身分？CyberArk亞太及日本區業務工程副總裁霍超文（Jeffrey Kok）表示，基本上，只要不是有人操作、有人使用的身分，都是屬於機器身分，為什麼機器身分需要特別獨立看待？因為人可以更改密碼、人可以用多因素驗證（MFA），但機器並不能這麼做，傳統的控制在此並不存在。</p> <p>而且，研發或開發新系統的方式也改變了，目前已經有很多系統是基於Kubernetes、Serverless、Microservices等架構而成，這些應用系統都需要有身分來對接，不論是與人、行動App，或者與後端的其他服務對接，所以才會產生大量機器身分。</p> <p>而且，引進App的速度越來越快，很多企業採用的SaaS雲端服務也越來越多。以前沒有SaaS，企業開發一個App可能需要一年半載，有了SaaS的存在，現在企業可以快速引進5或10個App。</p> <p>霍超文說，改變最大的就是AI，過去機器的身分是固定的，每個App提供專屬的功能，到了AI領域，功能更多元，可做的事情很多，可以產生其他AI的身分，而且，AI身分也遠遠超越一般的機器身分，因為它不僅可以自行建立、也能自己產生，也可以透過代理人的身分執行工作，因此，造成機器身分數量高速爆發。</p> <p>機器身分之所以大量增加，也和不同系統的連接有關，例如，App與App的對接、App與AI的對接，因此，身分數量更是倍增。舉例來說，企業原本有10個應用系統，若增加到20個，增加的身分數量可能不只10個，因為這些系統彼此連接，所以又會產生更多身分，甚至呈指數增加。</p> <p>事實上，很多企業無法充分識別本身掌管的身分，霍超文說，向CIO詢問公司管理的身分數量時，對方通常可以回答，不過，對於AI身分與非AI身分的數量，可能就無法回答，因為兩者很難區分。而且，更大的問題在於，有些企業並未妥善管理機器身分，所以他們無法掌握身分數量。若從人員身分來看，當CIO被問到公司的員工，他通常都會很明確知道數量與所屬部門，但若被問到機器，可能就不清楚了，部分原因在於他不一定清楚知道它們的存在，然而，無法掌握機器身分也是一種資安風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk-Jeffrey Kok-iThome-3-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk-Jeffrey%20Kok-iThome-3-web.jpg" style="width: 600px;" /></a></p> <p>為了避免身分安全態勢陷入越來越混亂的局面，企業該怎麼做？霍超文建議，先了解問題，我們才可以提供正確的策略、優先順序、流程，而且，必須了解管理身分的方式，一些大型企業早就開始著手解決這類問題，因此，他們能夠明確知道自己掌管的身分。</p> <p>除此之外，企業需要透過多元的方式去處理身分管理。首先，公司的領導階層要了解這個議題的重要性，尤其是董事會必須有足夠的認知，因為董事會若能提出這類問題，CIO就必須做足準備才能回答。</p> <p>在組織底層運作的部分，相關人員必須知道如何妥善管理與設置機器身分；公司的稽核與治理也扮演重要角色，例如，稽核人員必須能提出正確的問題，否則相關人員對於身分議題的處理，不會採取主動、積極態度，也不會有後續追蹤，而且，稽核人員都是依據法規的要求行事，以中國為例，假設銀監會（中國銀行業監督管理委員會）未要求管理身分，銀行不一定會主動解決問題。</p> <p>霍超文說，很多國家法規治理的要求都已經擴大解釋，先前政府可能僅要求企業管理人員的身分，但現在也開始要求要同時管理非人的身分<a href="https://www.cyberark.com/what-is/non-human-identity/">（Non-human Identities，NHI）</a>，所以這是整個生態環境都需要關注的發展面向，如此一來，才會提高企業對機器身分的管理能力，進而控制它的風險，否則會有越來越大、越來越多的問題發生。</p> <p>身分管理是企業不能忽視的議題，霍超文提醒，越晚開始著手管控，問題會越來越大，相反地，越早導入好的流程，至少企業能夠瞭解身分的問題嚴重程度，更充分掌握管理不足之處，也能採用好的技術，協助減低管理負擔。</p> <h2><span style="color:#0000FF;"><strong>導入最佳實務，重新建立更強固的身分安全系統</strong></span></h2> <p>除了平時及早做好事前準備，該如何做好身分安全的事中應變與事後矯正？霍超文談到他們幫助客戶的方式。當企業察覺本身受到網路攻擊的時候，首先會啟動事故應變的程序，設法控制攻擊者所能存取的範圍，將攻擊者從自家環境驅離，後續若要進行威脅的緩解，就會開始啟動事故矯正的程序，並與事故應變相互配合。</p> <p>過程中，企業勢必要重新產生「乾淨」的身分系統，若非如此，受到「汙染」的部分可能會繼續存在，資安廠商也會納入正確的處理流程與解決方案。此時企業該如何自建、從何處著手、運用哪些概念？霍超文說，CyberArk在九年前已經開始跟大家分享應該怎麼考量，因應環境的快速變化，他們每年都更新相關概念、處理方式、優先順序，以及散布的作法，而且，這些工作CyberArk已做了二十多年，也不停地教導客戶可執行的身分安全方法。</p> <p>他們將這套強化身分防護的最佳實務稱之為<a href="https://www.cyberark.com/zh-hant/blueprint/">CyberArk Blueprint</a>，如果企業要從頭開始強化身分安全，可參考他們提供的設計藍圖，背後包含來自客戶的意見回饋、學習到的教訓，以及事故應變者可以參考的經驗與建議。</p> <p>霍超文強調，同一套藍圖，不論用於身分系統的重新建置或事故應變、事故矯正等階段，最終仍指向企業如何掌管最重要的部分與去除風險。然而，這也跟各國法規遵循的要求有關，企業一般只需向當局的主管機關申報，不一定要公開所有的細節，相較之下，在美國、新加坡只要遇到與個人識別資訊（PII）有關，企業為了遵循法令，就必須強制披露資訊（Mandatory Disclosure），由於政府對於透明度要求很高，所以企業會公開發布報告，揭露不同時間發生的事情，以及組織人員的活動。</p> <h2><span style="color:#0000FF;"><strong>AI應用大爆發，企業機器身分管理風險升溫</strong></span></h2> <p>關於身分安全的管控，霍超文表示，全世界都會面臨這些挑戰，問題在於機率有多大，以及控制力道有多強。以密碼安全為例，理想的做法是強制實施強式密碼，並且用系統去管控，話雖如此，但所有的企業、所有的身分未必都有同樣的識別機制，大部分企業是做不到100％的一致；更何況密碼只是一種身分安全的作法，也可以是API金鑰、數位憑證，企業環境當中存在多種身分，若能妥善管理到90％，已經是產業最佳實務。</p> <p>事實上，很多企業根本不知道自家公司身分的妥善管理程度，就算是最先進的企業，也可能有疏漏之處，例如可能沒控管新型態或新出現的身分，霍超文表示，對於攻擊者而言，並不需要拿到全部的身分與掌握全部的存取管道，甚至能取得其中一個就夠了。</p> <p>以幾個月前發生的Salesloft Drift事故為例，多數企業認為採用OAuth這樣的身分存取授權流程應該是安全的，但由於會用到存取權杖（Access Token），一旦這個元件遭到竊取，攻擊者就可以冒用這個授權進行非法存取。</p> <p>此外，大部分企業也會認為這是廠商層面的資安風險，但不一定能更完整意識到整體的影響範疇。因為廠商提供的應用服務原本應該經由企業知曉的管道進到內部系統，因此，授予的權杖若被用於其他地方，企業又無法識別這樣的異常用途，就會產生風險；相關的存取權杖有效期限如果太長，也是個問題；權杖被用在特定系統的存取，以及所從事的活動，也必須受到監督，因為若是攻擊者拿到權杖，往往會以此做出超過合理範圍的行為。霍超文認為，這些都是企業必須識別的身分使用狀態，也是典型的機器身分管理議題，上述專攻對話式AI和銷售自動化領域的Salesloft Drift也是一種AI應用，所以，AI與機器身分的風險也能在這樣的例子突顯，而且，接下來，這類狀況會越來越多，因為企業對傳統的身分已經提供妥善的保護，但有心人士只需攻擊弱點，而身分管理弱點顯然會相對容易出現在新的系統，像是AI。</p> <p>霍超文之所以會有這樣的推測，一方面也是因為AI新創公司如雨後春筍冒出，<a href="https://fortune.com/2025/08/13/ai-creating-billionaire-boom-record-pace-now-498-ai-unicorns-worth-2-7-trillion/">市值10億美元以上的企業有接近五百多家</a>，在這些公司提供的解決方案當中，資安或機器身分管理不一定是優先關注的部分，能把產品賣出去是重點，若本身有資安防護的特色，通常是因為客戶不接受安全性不足而加上去的，對於攻擊者而言，這些都是很好的目標或帶來很好的機會，一方面因為客戶很快採用此類產品，另一方面則是解決方案不夠安全。</p> <p>以2025年開始風行的AI瀏覽器為例，帶來更多方便之餘，也令人擔憂身分委派給AI處理，若使用者遇上提示注入攻擊（prompt injection），後續可能會出現失控與難以預期的危險狀況。霍超文說，因為當我們將權限、密碼、身分交給AI，它怎麼運用？它傳到哪裡？我們是不知道的，而且當你提供這些資訊之後，很多時候無法收回或撤下，因此，若要避免這樣的狀況，可能就是透過<a href="https://www.cyberark.com/what-is/just-in-time-access/">即時身分存取（Just-In-Time Access）</a>來管制，當存取系統時需要通過身分驗證，當下才提供身分或提升權限，或用來驗證身分、授權的權杖、密碼會不停改變，這麼一來，就算這些憑證不小心被洩漏，產生的風險也會受到抑制。</p> <p>而在AI應用日益普及的狀況之下，企業早已面臨員工自備AI（BYOAI）的管理難題，許多員工想用AI提高工作效率，但公司不開放或提供AI，於是私自採用AI，增加生產力，隨著代理型AI應用的崛起，使用者可能會將公司IT系統的身分委派給AI使用，如果企業無法識別這是本人或AI代理使用，可能也會產生風險。與其讓員工自備AI，CyberArk也看到很多企業加速自身提供AI服務的腳步，促使每個員工都能有自己的AI專案與AI主控臺，以便能控制與管理風險。</p> <h2><span style="color:#0000FF;"><strong>強化整體身分安全，企業必須能實施多元的防護與管理策略</strong></span></h2> <p>除了最普遍應用的密碼，CyberArk的2025機器身分安全狀態報告指出，涉及資安事故的六大機器身分類型，分別是API金鑰（34％）、SSL/TLS憑證（34％）、IoT裝置憑證（29％）、SSH憑證（28％）、服務帳號權杖（27％）、密鑰（20％），而且，<a href="https://www.cyberark.com/resources/blog/tls-certificate-validity-cut-to-47-days-what-you-need-to-know">高達72％的組織承認</a>，他們在2024年至少經歷1次憑證相關的事故，發生多次事故的組織比例有34％，有一半組織曾通報發生與機器身分遭駭有關的資安事故或資料外洩。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk 2025 Report2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%202025%20Report2.png" style="width: 600px;" /></a></p> <p>針對多種身分的管理，霍超文表示，這分成幾個層次：首先，有些身分必須要透過密碼進行驗證，例如，對於電腦、路由器、App，使用者一開始登記或註冊時，一定需要建立一組主密碼（Master Password），因為在特定的狀況下，除了密碼，沒有其他方法能夠認證使用者身分，因為若未設定第一個應用，後續不可能設置FIDO安全金鑰或Passkey，所以，一般都會有這類故障保險（fail-safe）的設置；這組主密碼應該要很長、以亂數產生，並採用安全的保存方式，而且，平時應該不需要用到這組密碼。</p> <p>接下來是高權限身分的密碼，也需要管控，是由20個或100個大小寫字母、數字、特殊符號組成，以亂數產生，只要系統能夠接受，並將這類密碼保存在保險箱即可，這類密碼平時也不會用到。</p> <p>至於日常使用的身分，我們可以透過零信任的概念建置FIDO安全金鑰或Passkey。沒通過身分認證之前，使用者沒有得到任何存取系統的權限，一旦通過FIDO安全金鑰或Passkey的認證，系統才能開放權限給使用者。經過多年的發展與推廣，企業與使用者越來越熟悉相關概念，解決方案也越來越普遍。</p> <p>例如，安卓與蘋果手機先前無法原生保存Passkey，<a href="https://support.apple.com/zh-tw/guide/iphone/iphf538ea8d0/26/ios/26">這幾年來已經陸續內建支援</a>；新的使用者登入<a href="https://support.google.com/accounts/answer/13548313?hl=en">Google</a>、<a href="https://support.microsoft.com/en-us/account-billing/signing-in-with-a-passkey-09a49a86-ca47-406c-8acc-ed0e3c852c6d">微軟</a>等雲端服務帳戶時，使用者可設定Passkey強化身分防護。Passkey不只是出現在消費型應用，企業IT環境也可以運用，很多大型平臺都已支援，FIDO安全金鑰也是如此。霍超文認為IT消費化（Consumerization）是好事，因為一般使用者習慣這些技術、概念、操作流程之後，當企業要在內部環境推動這樣的身分應用新模式時，會變得更加容易。而且，FIDO安全金鑰與Passkey只是身分識別方式的幾種類型，只要企業的應用系統支援單一登入整合（Single Sign-On，SSO），而且，這項集中登入機制支援FIDO安全金鑰與Passkey，企業可跟員工討論要信任何種身分驗證機制，霍超文表示，<a href="https://www.cyberark.com/zh-hant/press/cyberark-elevates-passwordless-experience-with-new-passkeys-authentication/">在蘋果跟安卓還沒有提供相關支援之前</a>，CyberArk就已支援<a href="https://community.cyberark.com/s/article/Does-CyberArk-Identity-support-hardware-MFA-tokens">FIDO安全金鑰</a>與<a href="https://docs.cyberark.com/identity/latest/en/content/userportal/user-setup-passkey.htm">Passkey</a>。</p> <p>企業該如何著手推動這樣的身分應用支援？霍超文簡單描述導入的過程。首先，就是使用前，一定要進行註冊（enrollment）的步驟，需要知道代表某個使用者的FIDO安全金鑰與Passkey，讓系統知道這是某個使用者的多因素認證機制；完成登記之後，當員工透過單一登入整合機制存取企業應用系統，或是Salesforce、M365等公司租用的SaaS雲端服務時，就能在不需要輸入密碼的狀況下，搭配FIDO安全金鑰與Passkey進行身分驗證，甚至可直接完成通關程序。簡而言之，當使用者的身分未通過企業系統的多因素驗證，就不會獲得權限，但如果預先進行上述流程的設定，使用者只需點選圖示就能一鍵登入系統，兼顧多因素驗證的防護之餘，又不會影響系統的操作體驗。</p> <p>若企業需要CyberArk提供這方面的協助，該公司在亞太地區的服務團隊成員持續增加，從三、四個人增加到幾十個人，霍超文說，他們也不停地培訓合作夥伴，因為很多企業都是外包給這些廠商負責，CyberArk的教育訓練與技術認證的體系已涵蓋上述需求，對於支援聯合身分、SAML等多種單一登入整合機制的現代化網站應用系統，可提供協助；若面對的是傳統應用系統，CyberArk會建議企業改成長度很長的密碼，儲存在單一登入整合機制，當使用者透過Passkey想通過系統身分驗證時，CyberArk的產品可協助代為登入，而且密碼不會外露。</p> <p>當IT系統面臨突發攻擊導致身分安全面臨重大危機，而必須實施密碼或API金鑰的輪換（rotation），若變動幅度不大，還能透過人工手動處理，但如果規模大、金鑰有效期間短，就需要自動化處理。對此，霍超文說，輪換是很古老的策略，CyberArk認為，可以用<a href="https://www.cyberark.com/what-is/zero-standing-privileges/">零常設權限（Zero Standing Privileges，ZSP）</a>的概念來解決這類問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20ZSP-2023.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20ZSP1.png" style="width: 600px;" /></p> <p>簡而言之，使用者就算握有正確的API金鑰、能夠存取系統的帳號，雖然可登入系統，但什麼事都不能做，因為，接下來必須透過CyberArk驗證身分、執行批准存取的程序，使用者的API和身分才能獲得有使用期限的存取權限，時間一到，這些權限就會收回，因此，就算API金鑰被偷，對方也無法永久有效地運用。</p> <p>在這樣的控管方式之下，企業不需刻意隱藏任何API權杖，使用者提出需求時，可以提供，若系統確定使用者身分是可信任的，就會給予一次或短期的存取權限、ID或API金鑰，超過有效期限後，這些資訊就算被保留下來，也不會有作用。這麼一來，企業也能運用不同的策略去處理這類狀況。</p> <h2><strong><span style="color:#0000FF;">與時俱進，掌握身分安全最新發展態勢及可用的管理方式</span></strong></h2> <p>在大部分身分安全出狀況的情境當中，霍超文說，許多企業並不知道有新的作法可用，於是，就只能以古老的方式處理上述身分安全的挑戰，因此，CyberArk遇到相關的需求時，最先希望了解的部分是對方想解決的問題，而非僅考量如何促使密碼與金鑰的輪換作業更加便利。事實上，若能更充分地掌握這些情報，才能繼續討論市場上更創新、更有效的因應策略與解決方案。</p> <p>舉例來說，消費者想買燃油車，霍超文此時會詢問對方要駕車前往的地方，因為這不一定是駕駛一輛燃油車所能滿足的需求，而可能是電動車、自駕車或其他方案，然而，如果消費者不瞭解這類產品，他們就不會想到有其他可能性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk-Jeffrey Kok-iThome-2-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk-Jeffrey%20Kok-iThome-2-web.jpg" style="width: 600px;" /></a></p> <p>關於市場與身分安全概念的推廣，CyberArk合作的對象很廣泛，包括美國聯邦政府、新加坡金管局等多國政府機構，AWS等IT業者，以及雲端安全聯盟（CSA）、FIDO聯盟等組織，彼此交流新的概念與策略，CyberArk每年都會定期匯報近期的更新進展，這些單位會再以各自決定的方法去進行強化身分管理與安全的工作。</p> <p>而在實際的法規遵循作業上，以支付卡產業資料安全標準（PCI-DSS）的應用為例，CyberArk也會接觸合格安全評估員（QSA）與稽核人員，因為找到問題之後，接下來企業就必須設法解決，相關人員若能更充分了解身分安全的最新概念與做法，將有助於協助企業達到法規的要求。</p> <p>霍超文表示，他們一直在推廣這些概念，希望有更多業界與執行業務目標的人了解到新的方案，推廣的對象也涵蓋制定決策的人，提升每個人對於身分安全的認知，體認到身分其實是橫切、貫穿IT的每個層面，因為不論資料庫、應用系統或網路，都一定會有身分，但還是有許多企業不熟悉身分橫跨整個IT平臺的概念，他們仍認為身分只是IT基礎架構一個很小、孤立的部分，只要管好密碼與多因素驗證就可以了。</p> <p>如果想要持續掌握身分安全的最新發展動向，霍超文推薦他們提供的兩種資源，首先是前面提到的CyberArk Blueprint，可提供具體落實身分安全的細部作法，而且會定期更新，客戶可自己使用，若需要協助，可洽詢CyberArk的合作夥伴，全球四大會計師事務所也都會參考這當中提到的概念，各自發展相關的策略。</p> <p>另一個是CyberArk在<a href="https://www.cyberark.com/zh-hant/press/cyberark-launches-essential-new-companion-guide-the-identity-security-imperative/">2025年2月</a>推出的一本書<a href="https://www.cyberark.com/identity-security-imperative/">《The Identity Security Imperative》</a>，提供PDF檔、實體書籍、Kindle電子書版、Kindle有聲書版，可協助企業與組織了解身分安全的基礎與重要性，在組織實踐身分安全計畫的實務建議與策略，以及展望與準備因應AI與量子運算帶來的衝擊。</p> </div></div></div>
1/9 19:27作者李宗翰https://www.ithome.com.tw/news/173269
台灣健康網路平臺正式揭牌，要串接醫院、健檢、長照建立民眾的健康數據旅程，發展健康照護應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>台灣健康網路平臺(TwHealth Nexus)在今天(1/9)正式揭牌，結合GUID去識別化技術及以區塊鏈為基礎的動態同意書，未來在民眾同意的條件下，串接醫院、健檢、長照，甚至是民眾個人的健康數據，以數據為基礎推動AI、健康等相關應用發展。</p> <p>台灣健康網路平臺的成立，是去年行政院BTC會議主持人政務委員吳誠文宣布，政府計畫成立健康數據服務公司，目的在整合國內的健康數據，以推動健康相關的應用發展。</p> <p>台灣健康網路平臺的成立，背後由國發會及緯創資通、可成、台達電、義隆、廣達5家科技業者投入資金，公司資本額預期為18億元。響應政府政策，加入台灣健康網路平臺的醫院包括臺大醫院、成大醫院、北榮、高醫大等等，其他還有健檢、長照業者。</p> <p>該公司董事長由中研院士楊泮池擔任，執行長為蔡秉晃醫師，今天揭牌儀式上，行政院政務委員吳誠文、中研院長陳建仁、衛福部長石崇良、健保署長陳亮妤，以及台達電、緯創資、台大醫院、成大醫院等人士到場支持。</p> <p>楊泮池表示，台灣的醫療資訊長期存在結構上的困境，儘管健保資料庫累積民眾的健保資料，但是臨床病歷、健檢資料、長照資料分散在各機構，這些資料不互動形成數據孤島，這方面台灣已落後國外發展。他認為國人的健康據必需留在台灣，成為國家、民眾的資產。過去本地的研究者要向外部付費，才能取得國內民眾的資料，不僅阻礙AI研發，也威脅國家的數據主權。</p> <p>因此台灣健康網路平臺希望打破數據孤島的現況，平臺的核心之一是「資料不離院」( Data Never Leaves The Hospital)，資料仍由各家業者保管，利用GUID(全球唯一識別碼)為底層技術，以不可逆的轉換方式，將民眾的健康數據轉為GUID識別碼，無法還原原始身分，以符合GDPR、HIPAA的隱私保護要求，讓跨院資訊整合成為可能。</p> <p>台灣健康網路平臺執行長蔡秉晃指出，台灣健康網路平臺扮演如同輸油管的角色，串接合作醫院、診所、健檢、長照業者的健康資訊，為降低合作業者的負擔，平臺提供將民眾的健康資料轉換為GUID識別碼的工具，包括協助業者的IT部門建置GUID識別碼的資料庫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20260109_151837.jpeg" style="width: 600px; height: 328px;" /></p> <p>台灣健康網路平臺也以Web 3的區塊鏈技術來打造「動態同意」(Dynamic Consent)，讓民眾可以動態的調整資料供二次使用的同意權，隨時選擇同意或不同意，利用區塊鏈技術達到不可竄改的同意紀錄，作為第三方稽核紀錄。</p> <p>台灣健康網路平臺計畫串接醫院的醫療健康資料，例如EHR/EMR、醫療影像、病理報告、檢驗紀錄，以及健檢業者的民眾健檢資料，長照機構的民眾長照資料。因此需取得民眾的同意，除了透過健康存摺鼓勵民眾授權個人健康資料，也會透過合作的醫院、健檢、長照業者協助，獲民眾的同意下取得資料。</p> <p>蔡秉晃直言，台灣健康網路平臺剛成立，目前合作的醫院約有10家，未來希望更多的醫院及診所、健檢、長照業者，或是民眾個人同意加入，來整合散布在各處的民眾健康數據。</p> <p>台灣健康網路平臺也提出三個階段，未來發展亞洲首個深度醫療基礎模型，第一階段是先建立信任及連結，建立健康資料互通的基礎；第二階段是預測與模擬，透過取得的健康數據，建立民眾個人的健康數位孿生；第三階段是行動與照護，透過虛實整合提供主動式的個人照護。</p> <p>蔡秉晃表示，AI研發需要算力、資料、算法，目前在政府及民間的推動下，算力資源不是問題，以醫院擁有的資源而言，算法也不是較大的問題，最大挑戰在於資料整合，也是台灣健康網路平臺所要解決的問題。</p> <p>未來該平臺將建立醫療基礎模型，蒐集完整的民眾健康數據旅程(Journey)，不只是醫院就醫的生病後數據，也包括健檢的生病前數據、個人日常健康數據，作為未來發展醫療基礎模型的基礎，蔡秉晃認為，至少需要蒐集500萬人的健康數據，才能供發展基礎模型使用。</p> <p>至於台灣健康網路平臺的獲利來源，不會只靠提供去識別化後的健康資料供商業使用，更大的目的是發展出醫療基礎模型，讓民眾付費使用主動、個人化的照護服務，就像個人的貼身醫療照護顧問，隨時可以根據你的健康數據變化，提醒生活上的作息、飲食、運動應如何調整，保持健康的身體狀況。</p> </div></div></div>
1/9 17:51作者蘇文彬https://www.ithome.com.tw/news/173265
受AI衝擊，Tailwind CSS工程團隊裁撤75%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>以開源CSS框架Tailwind CSS聞名的Tailwind Labs，近日在GitHub的拉取請求討論串中透露工程團隊大幅縮編。Tailwind CSS創辦人Adam Wathan於1月7日回應提案時<a href="https://github.com/tailwindlabs/tailwindcss.com/pull/2388#issuecomment-3717222957">指出</a>，工程團隊有75%成員在前一天失去工作，原因是AI對公司營運帶來強烈衝擊。他表示，自己必須把時間優先投入在扭轉營運，並確保仍在職者能持續領到薪資，同時支撐框架的長期維護。</p> <p>這段回應出現在一個關於是否要在tailwindcss.com新增/llms.txt端點的拉取請求討論，提案者主張將Tailwind CSS文件以建置階段整併成單一純文字檔，供大型語言模型更容易讀取與使用，並表示能涵蓋所有文件頁面且保留程式碼區塊內容。</p> <p>Adam Wathan也提到，Tailwind雖然比以往更受歡迎，但官方文件流量自2023年初以來約下滑40%。他表示，文件幾乎是使用者得知其商業產品的主要入口，要是缺乏足夠的付費客戶，團隊就難以負擔框架的長期維護成本。他強調希望能找到對模型友善的文件形式，但在尚未緩解營運壓力前，暫時不會把這類工作列為優先，並對於在現階段推出可能讓文件流量問題更惡化的作法感到猶豫。</p> <p>同一討論串中，Adam Wathan也補充，Tailwind目前的成長速度與使用規模都創新高，但營收下滑幅度接近80%。他指出，現階段讓Tailwind更容易使用，並不必然讓框架開發變得更可持續。當無法先把商業模式拉回可支撐的狀態，專案最終可能走向無人受薪維護的停滯。</p> <p>這並非社群首次要求提供單一檔案形式的文件。在tailwindcss儲存庫的GitHub Discussions中，早在2024年10月就有人<a href="https://github.com/tailwindlabs/tailwindcss/discussions/14677">提議</a>，希望官方能提供單一大型PDF或MDX檔，方便匯入ChatGPT等工具使用，並指出坊間自行整理的版本容易過時。討論串後續也有人以DaisyUI等專案為例，提到在提供免費llms.txt的同時，搭配付費方案來延伸商業模式。</p> <p>在該討論串中，也有人提出分級式構想，主張以免費的llms.txt作為基礎入口，內容涵蓋核心語法並連回官方文件，同時在其中加入Tailwind Plus的導流設計。另一部分則提議發展付費的Tailwind MCP Server，提供更完整且可即時更新的文件內容與整合能力，作為新的營收來源。</p> <p>AI快速改變人們取得資訊的方式後，開源工具原本依賴文件流量帶動商業轉換的模式正面臨壓力。不過，就Adam Wathan的說法，裁撤75%指的是工程團隊規模的縮減，並非直接等同整家公司裁員75%。</p> </div></div></div>
1/9 15:24作者李建興https://www.ithome.com.tw/news/173261
CISA警告15年前的PowerPoint舊漏洞、HPE近期修補的OneView滿分漏洞已遭濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全暨基礎設施安全管理署（CISA）本周公告將兩個漏洞，包括微軟Office一個2009年的老漏洞，以及HPE風險值10.0的漏洞，列入已發生攻擊或濫用活動名單，呼籲聯邦政府機關儘速修補。</p> <p>這兩個剛被CISA<a href="https://www.cisa.gov/news-events/alerts/2026/01/07/cisa-adds-two-known-exploited-vulnerabilities-catalog" target="_blank">加入已知遭利用漏洞目錄</a>（Known Exploited Vulnerability，KEV）的漏洞，分別是CVE-2009-0556以及CVE-2025-37164。</p> <p>CVE-2009-0556是微軟<a href="https://learn.microsoft.com/en-us/security-updates/securitybulletins/2009/ms09-017" target="_blank">2009年就修補</a>的PowerPoint程式碼注入漏洞。攻擊者可傳送變造過的PowerPoint檔案，經由使用者開啟觸發。成功濫用本漏洞可使攻擊者完全控制受害電腦，可安裝程式、讀取、變更或刪除資料，或新增高權限的使用者帳號。</p> <p>CVE-2025-37164存在於HPE基礎架構管理軟體OneView，可讓遠端未經驗證的攻擊者濫用，發動遠端程式碼執行，風險值高達10.0。<a href="https://www.ithome.com.tw/news/172935" target="_blank">HPE去年12月</a>已釋出可套用於v5.20至v10.20的安全熱修補程式，並建議用戶升級至已修補的v11.00或更新版本。</p> <p>HPE當時未說明本漏洞是否有濫用的情形。該公司也尚未回應<a href="https://www.theregister.com/2026/01/08/cisa_oneview_powerpoint_bugs" target="_blank">The Register</a>，攻擊是否發生在客戶端、有多少組織受影響，或是造成什麼後果。</p> <p>CISA同時發布安全公告BOD 22-01，要求聯邦政府機構儘速完成環境盤點及安裝修補程式。</p> </div></div></div>
1/9 14:47作者林妍溱https://www.ithome.com.tw/news/173263
OpenAI買下企業顧問AI工具商Convogo的團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://techcrunch.com/2026/01/08/openai-to-acquire-the-team-behind-executive-coaching-ai-tool-convogo/" target="_blank">Techcrunch報導</a>，OpenAI最近收購了開發企業顧問AI工具開發商Convogo，並取得開發產品的背後團隊。</p> <p>Convogo主要業務是提供幫助高階主管教練、顧問、人力資源等專業角色自動化領導力評估、回饋報告等工具的企業應用平臺。該公司據稱已和數千家企業顧問及「領導人才發展」公司合作過。</p> <p>OpenAI對媒體表示，該收購著眼於聘僱其團隊，用於公司的「AI雲端面的工作」，而非取得其IP或技術。Convogo的三名創辦人也將加入OpenAI。</p> <p>從官方聲明來看，這個SaaS產品不會被OpenAI繼續運營或整合進自身服務，但創辦人指出，收購完成後該公司會持續「讓AI更易於為所有產業專業人士使用」。</p> <p>Techcrunch報導，這是OpenAI透過收購聘僱制（acqui-hire）收購的第9家公司。之前有的是產品整合進OpenAI的產品線，如Mac AI介面開發商Sky、產品測試工具商Statsig，有的是完全收攤，包括AI個人理財與投資助理Roi、AI模型評估與分析工具Context.ai、與AI推薦與個性化系統Crossing Minds。</p> </div></div></div>
1/9 13:50作者林妍溱https://www.ithome.com.tw/news/173260
從對話到成交，微軟以Copilot Checkout與Brand Agents重塑電商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟正式將交易帶進AI對話場景，<a href="https://about.ads.microsoft.com/en/blog/post/january-2026/conversations-that-convert-copilot-checkout-and-brand-agents" target="_blank">於本周四（1/8）推出</a>Copilot Checkout與Brand Agents兩項商務功能，宣示生成式AI不再只是搜尋與推薦工具，而是直接參與成交流程，重新定義電商從決策到下單的結構。</p> <p>其中，Copilot Checkout率先在美國市場推出，已於Copilot.com上線。消費者在與Copilot對話詢問、比較商品時，可直接完成結帳，不需跳轉至外部網站。且微軟強調，商家仍是交易主體，負責收款、訂單處理與顧客資料，Copilot僅作為降低摩擦與加速決策的交易入口。</p> <p>目前Copilot Checkout已整合PayPal、Stripe及Shopify等支付與電商平臺。Shopify商家將自動納入Copilot Checkout生態，無須額外整合；使用PayPal或Stripe的商家則可申請加入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-Copilot%20Checkout-%E5%BE%AE%E8%BB%9F-2.png" style="width: 363px;" /></p> <p>至於Brand Agents則是微軟替品牌官網打造的AI導購系統，定位為商店自家網站的AI店員，它以品牌語調與商品資料為基礎，回應消費者提問、協助比較與理解差異，讓官網本身具備對話式銷售能力。</p> <p>目前Brand Agents僅開放給Shopify商家使用，需先於官網上安裝免費行為分析工具Microsoft Clarity，並於Clarity後臺申請啟用，通過後即可在不需額外整合的情況下，將AI導購功能部署到品牌網站上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-Brand%20Agents-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p>ChatGPT近來也<a href="https://www.ithome.com.tw/news/171432" target="_blank">開始提供</a>對話內購物與結帳功能，讓使用者在聊天中直接完成交易，亦與PayPal、Stripe、Etsy及Shopify等業者合作，兩者雖然同樣源自於OpenAI的大型語言模型技術，底層皆以GPT系列模型為核心進行理解與推理，但在產品實作與商務路徑上已走向不同方向。</p> </div></div></div>
1/9 14:20作者陳曉莉https://www.ithome.com.tw/news/173262
【資安日報】1月9日，思科修補網路存取控制平臺ISE資訊洩露漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173256"><strong style="font-size: 22px;">思科修補網路存取控制平臺ISE資安漏洞，並表示已有概念驗證程式碼出現，恐將被用於實際攻擊</strong></a></p> <p>去年思科公布及修補多項網路存取控制（NAC）平臺Identity Services Engine（ISE）資安漏洞，其中有多個CVSS風險評分接近或達到滿分10分，相當危險而引起外界高度關注，現在他們公布另一個僅有4.9分的中度風險漏洞，並指出已有概念驗證工具（PoC），消息一出，各大資安新聞媒體跟進報導。</p> <p>1月7日思科發布資安公告揭露CVE-2026-20029，此為ISE與ISE被動身分識別連接器（ISE Passive Identity Connector，ISE-PIC）的資訊洩露漏洞，存在於授權（licensing）的功能，通過身分驗證且具有管理權限的攻擊者能遠端觸發漏洞，存取敏感資訊，CVSS風險值為4.9分，他們特別提及，已有公開的漏洞利用概念驗證程式碼，使得攻擊者可將漏洞用於實際攻擊。此漏洞影響3.4版以下的ISE與ISE-PIC，思科發布3.2 Patch 8、3.3 Patch 8，以及3.4 Patch 4版修補，3.5版用戶不受影響。</p> <p>這個漏洞發生的原因，在於ISE與ISE-PIC的網頁管理介面對於XML檔案處理不當，攻擊者可上傳惡意檔案至應用程式觸發，一旦成功利用，就有機會從作業系統底層讀取任何檔案，其中包括管理員都無法存取的敏感資料。不過，利用漏洞存在必要條件，那就是攻擊者必須事先取得有效的管理員憑證。</p> <p><a href="https://www.ithome.com.tw/news/173215"><strong style="font-size: 22px;">俄羅斯駭客以假藍色當機畫面發動ClickFix攻擊，鎖定旅館業者而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PHALT-BLYX-image5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PHALT-BLYX-image5.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Securonix發現，近來俄羅斯駭客以包含假造Windows藍色當機畫面（BSOD）的ClickFix手法攻擊旅館業者，以便在受害電腦執行遠端指令。</p> <p>研究人員自數個月前追蹤到這波攻擊，並將之命名為Phalt#Blyx。這波行動包含多階段感染。攻擊行動鎖定歐洲旅館業者，特別是處理訂房事宜的員工。一開始，攻擊者假造以Booking.com取消訂房為名義的釣魚信件，信中包含上千歐元的收費，以誘使受害者點擊其中的連結。連結導向假冒Booking.com的釣魚網站，此網站顯示圖靈驗證機制（CAPTCHA）取信受害者，若是依照指示操作及點選後，電腦螢幕就會被假的BSOD頁面覆蓋，要求受害者按照指示打開Windows執行視窗（Win + R），貼上已複製到剪貼簿中的惡意PowerShell命令執行。</p> <p>此PowerShell指令碼會在用戶裝置執行下載v.proj專案檔，並呼叫合法微軟工具MSBuild.exe，來編譯與執行有效酬載。最終部署DCRat遠端存取木馬（RAT）。</p> <p><a href="https://www.ithome.com.tw/news/173222"><strong style="font-size: 22px;">兩款惡意Chrome擴充套件洩漏ChatGPT與DeepSeek對話內容，累計安裝超過90萬次</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-143.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-143.png" style="width: 300px; float: right;" /></a></p> <p>資安業者OX Security指出，Chrome線上應用程式商店出現兩款惡意擴充套件，會將使用者在ChatGPT與DeepSeek的對話內容連同瀏覽資料外傳至攻擊者控制的伺服器。兩個套件在商店頁面分別顯示約60萬與30萬名使用者，合計超過90萬。研究人員另指出，其中一款曾帶有Chrome線上應用程式商店的精選徽章，增加其在搜尋結果與推薦位置的曝光機會。</p> <p>遭研究人員點名的兩款擴充套件分別為Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI，以及AI Sidebar with Deepseek, ChatGPT, Claude and more。這兩款套件標榜可在瀏覽器內提供AI側邊欄，讓使用者在任何網頁上直接呼叫ChatGPT、DeepSeek等模型進行對話與輔助寫作，或是進行網頁內容摘要等工作。</p> <p>這兩款擴充功能除了會外傳使用者的AI對話內容，還同時蒐集所有Chrome分頁的完整網址，並以約每30分鐘一次的頻率彙整後批次送往攻擊者控制的伺服器。由於網址往往包含搜尋關鍵字與各種參數，一旦外洩，攻擊者就可能據此拼湊出使用者的瀏覽輪廓與工作情境。惡意程式會以蒐集匿名分析資料為由引導使用者同意，但實際外傳的是完整對話內容與瀏覽資訊。</p> <p><a href="https://www.ithome.com.tw/news/173245"><strong style="font-size: 22px;">釣魚郵件改以HTML表格繪製QR Code，目的是規避相關手法的偵測機制</strong></a></p> <p>資安顧問公司Nettles Consulting研究人員指出，近期觀察到一波實際流入收件匣的釣魚郵件活動，這些郵件並未直接以圖片嵌入QR Code，而是使用HTML表格的儲存格逐格指定黑白背景色，在郵件內文中繪製可掃描的QR Code圖樣。由於不少郵件安全產品對QR Code網釣的偵測與解析，長期以影像內容為主要分析對象，這類無影像QR Code的呈現方式，將有機會降低既有偵測規則的命中率，成為QR Code釣魚的另一種繞過途徑。</p> <p>研究人員分析提到，惡意使用QR Code在實體與電子郵件中早已常見，掃描後導向釣魚頁面的效果與點擊網址連結並無不同。隨著安全廠商陸續強化對郵件內含QR Code影像的偵測與分析，攻擊者也持續尋找替代呈現方式，試圖避開以圖片為核心的檢測流程。</p> <p>樣本郵件寄送時間落在2025年12月22日至26日，版面設計相對簡單，通常只有數行文字搭配一個置中的QR圖樣。從使用者視角看起來，郵件中的QR Code外觀與常見圖片相近，僅略顯壓縮，但實際上並沒有任何影像檔或內嵌圖片，而是由大量表格列與儲存格組成。</p> <p><a href="https://s4.itho.me/sites/default/files/images/26-01-07-message.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/26-01-07-message.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/173224"><strong style="font-size: 22px;">NPM被當成釣魚基礎設施，27個惡意套件鎖定企業帳密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2f4d54017438e14ca4c606e9a3a64432.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2f4d54017438e14ca4c606e9a3a64432.png" style="width: 300px; float: right;" /></a></p> <p>聚焦開源軟體供應鏈安全的美國資安新創Socket近日揭露高度客製化的魚叉式網釣攻擊行動，駭客利用6個不同的NPM帳號，上傳至少27個惡意NPM套件，這些套件被用來投放可在瀏覽器中執行的釣魚頁面，先偽裝成企業文件分享流程，再引導至仿冒的微軟登入畫面，以竊取受害者的微軟帳號憑證。</p> <p>遭到駭客鎖定的受害者會先收到網釣電子郵件，主題多為文件分享、詢價單，或合約資料，郵件內含文件連結，但實際指向NPM生態系的官方內容傳遞網路（CDN），如unpkg或jsDelivr；點擊後，頁面宣稱需要先驗證身分才能檢視文件，隨後轉至偽造的微軟登入畫面，而且已預先填入目標對象的電子郵件地址，以登入逾時為由要求受害者重新登入並輸入密碼，假若照做，該憑證即被傳送至駭客所控制的伺服器。</p> <p>值得注意的是，這些惡意套件中直接寫入特定對象的電子郵件地址，顯示駭客在發動攻擊之前，已事先鎖定受害者並量身設計釣魚流程，至少有25名目標對象被鎖定，高度集中於製造、工業自動化、塑膠與醫療產業中的業務與商業開發人員，且主要分布於美國與其盟國，包括臺灣、奧地利、英國、比利時、加拿大、法國、德國、義大利、瑞典、葡萄牙，以及西班牙。</p> <p><a href="https://www.ithome.com.tw/news/173231"><strong style="font-size: 22px;">Totolink無線訊號強波器重大漏洞，可讓攻擊者完全控制裝置</strong></a></p> <p>Totolink無線訊號強波器（Wireless Extender）EX200 Extender存在重大漏洞，能讓遠端攻擊者全權接管系統。</p> <p>這項漏洞編號CVE-2025-65606，存在於生命週期已經結束（EOL）的Totolink EX200，影響韌體上傳處理單元。根據CERT/CC說明，該機制在處理某些變造過的韌體檔案時會發生異常。此時，Totolink裝置會啟動，在無須通過身分驗證的情況下以root權限執行telnet服務。由於一般而言Telnet介面是關閉的，而且不應曝露在網際網路，因此該行為會產生不應出現的遠端執行介面。</p> <p>雖然利用漏洞存在必要條件，攻擊者必須事先通過網頁管理介面的身分驗證，才能存取韌體上傳功能利用漏洞，然而一旦錯誤條件被觸發，就能讓未經驗證的Telnet服務大開方便門，讓攻擊者掌握裝置完整控制權。Totolink表明不會發布安全更新，用戶應更換裝置因應。</p> <p><a href="https://www.ithome.com.tw/news/173247"><strong style="font-size: 22px;">針對電子零件製造商信邦遭網攻，勒索軟體DragonForce聲稱是他們所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dragonforce0201-e1767350929658.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dragonforce0201-e1767350929658.png" style="width: 300px; float: right;" /></a></p> <p>製作連接線組與連接器的電子零件整合設計暨製造商信邦電子（Sinbon Electronics），在12月24日於股市公開觀測站發布資安重訊，指出該集團與海外子公司的部分資訊系統遭到網攻，本月初有駭客組織聲稱犯案，竊得該公司與半導體大廠之間的合作文件。</p> <p>根據Cybersecurity News Everyday、Ransomware.Live，以及RedPacket Security等威脅情報網站公布的消息，勒索軟體駭客組織DragonForce於1月2日宣稱，他們入侵了總部位於新北市的Sinbon Electronics（www.sinbon.com），竊得847.32 GB資料，約有65萬個檔案，這些資料來自臺灣總部與美國子公司。駭客揚言，若是信邦不予理會，他們將在兩週後公布竊得資料。針對此事，國內媒體民視新聞網前幾天也跟進報導，不過詭異的是，該新聞目前已下架。</p> <p>究竟信邦被DragonForce宣稱竊走哪些內部機密資料？對方聲稱，這批資料包含了財務與會計記錄、用戶資料與個人資訊、生產記錄、產品缺陷細節，以及公司財務狀況報告等，其中，他們特別提及信邦與半導體裝置製造商艾司摩爾（ASML Holding N.V.）的合作文件。</p> <p><a href="https://www.ithome.com.tw/news/173227"><strong style="font-size: 22px;">英國車廠Jaguar Land Rover銷售下滑43%，網路攻擊事故是主因</strong></a></p> <p>受到去年9月網路攻擊事件，導致工廠停工將近一個月，以及美國關稅影響，英國車廠Jaguar Land Rover（JLR）上季全球車輛批發及零售出貨，分別驟降43%及25%。</p> <p>根據JLR的會計年度2026年第三季財報，批發出貨為5.9萬輛，較前一年減少43.3%，較上季減10.6%。零售出貨則為7.96萬輛，年減25.1%。</p> <p>JLR最新財報說明，網攻事件後該公司直到11月中旬，生產才回復到平日水準，加上車輛配銷全球的時間遞延，因而導致上季衰退的批發與零售數字。其他原因還包括上季該公司在推出新款Jaguar前，採取計畫性減產舊款Jaguar，以及今年美國關稅對JLR美國市場出口的負面影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trellix.com/blogs/research/the-ghost-in-the-machine-crazyhunters-stealth-tactics/">針對去年連續攻擊臺灣大型醫療機構的勒索軟體CrazyHunter，資安公司Trellix公布其迴避偵測手法</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-china-linked-hackers-breach-telcos-using-edge-device-exploits/">中國駭客UAT-7290鎖定南亞電信業者而來，透過邊緣裝置散布Linux惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-esxi-zero-days-likely-exploited-a-year-before-disclosure/">中國駭客利用遭到入侵的SonicWall SSL VPN設備，散布VMware零時差漏洞利用工具包</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/email-systems-breach/">中國駭客Salt Typhoon傳出入侵美眾議院郵件系統，鎖定參與國安事務的委員會從事網路間諜活動</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173251"><strong>【1月8日】駭客利用React2Shell及FortiWeb資安漏洞從事針對性攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173221"><strong>【1月7日】殭屍網路Kimwolf透過固定代理伺服器網路進行擴散</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173184"><strong>【1月6日】中國APT駭客鎖定臺灣關鍵基礎設施而來，能源產業是頭號目標</strong></a></p> </div></div></div>
1/9 10:56作者周峻佑https://www.ithome.com.tw/news/173257
針對電子零件製造商信邦遭網攻，勒索軟體DragonForce聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>製作連接線組與連接器的電子零件整合設計暨製造商信邦電子（Sinbon Electronics），在12月24日於股市公開觀測站<strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=152737&SPOKE_DATE=20251224&COMPANY_ID=3023">發布資安重訊</a></strong>，指出該集團與海外子公司的部分資訊系統遭到網攻，本月初有駭客組織聲稱犯案，竊得該公司與半導體大廠之間的合作文件。</p> <p>根據<strong><a href="https://www.hendryadrian.com/sinbon-electronics-hit-by-dragonforce-ransomware-attack/">Cybersecurity News Everyday</a></strong>、<strong><a href="https://www.ransomware.live/id/U0lOQk9OIEVsZWN0cm9uaWNzIENvLiwgTHRkQGRyYWdvbmZvcmNl">Ransomware.Live</a></strong>，以及<strong><a href="https://www.redpacketsecurity.com/dragonforce-ransomware-victim-sinbon-electronics-co-ltd/">RedPacket Security</a></strong>等威脅情報網站公布的消息，勒索軟體駭客組織DragonForce於1月2日宣稱，他們入侵了總部位於新北市的Sinbon Electronics（www.sinbon.com），竊得847.32 GB資料，約有65萬個檔案，這些資料來自臺灣總部與美國子公司。駭客揚言，若是信邦不予理會，他們將在兩週後公布竊得資料。針對此事，國內媒體民視新聞網前幾天也跟進報導，不過詭異的是，該新聞目前已下架。</p> <p>究竟信邦被DragonForce宣稱竊走哪些內部機密資料？對方聲稱，這批資料包含了財務與會計記錄、用戶資料與個人資訊、生產記錄、產品缺陷細節，以及公司財務狀況報告等，其中，他們特別提及信邦與半導體裝置製造商艾司摩爾（ASML Holding N.V.）的合作文件。</p> <p>在公布竊得的資料內容之外，DragonForce聲稱他們入侵信邦的環境長達數週，提及該公司資訊人員有意對高層及主管機關隱瞞實際受害情形。DragonForce揚言除非他們介入處理，否則沒有人能將其加密的檔案復原。究竟事實為何，有待後續信邦進一步提出說明。</p> <p>勒索軟體DragonForce去年犯案連連，該團體<strong><a href="https://www.ithome.com.tw/news/168743">以橫向聯盟（cartel）的名義找尋合作對象</a></strong>，駭客可使用自己的名義犯案。其中，<strong><a href="https://www.ithome.com.tw/news/168799">5月英國多家大型零售業者遭駭</a></strong>，傳出就是成為DragonForce附屬組織的Scattered Spider（也被稱為0ktapus、Octo Tempest、UNC3944）所為；<strong><a href="https://www.ithome.com.tw/news/170463">8月勒索軟體DevMan一口氣聲稱入侵4家臺灣企業</a></strong>，該團體的加密工具也來自DragonForce。</p> </div></div></div>
1/9 11:14作者周峻佑https://www.ithome.com.tw/news/173247
AI Overview正式進駐Gmail，Google將生成式AI帶入收件匣核心體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/products-and-platforms/products/gmail/gmail-is-entering-the-gemini-era/" target="_blank">Google周四（1/8）宣布</a>，旗下電子郵件服務Gmail正式導入AI Overview功能，象徵這套原本用於搜尋體驗的生成式AI回答機制，開始進入個人郵件與私有資料場景。相關功能目前已在美國市場以英文介面率先推出，未來幾個月將逐步擴展至其他語言與地區。</p> <p>此次更新被Google定位為「Gmail進入Gemini時代」的重要里程碑。在郵件數量持續成長、對話串愈來愈長的情況下，Gmail不再只強化搜尋與分類，而是嘗試讓AI直接理解郵件內容，協助使用者快速掌握重點並完成決策。</p> <p>首先推出的是「AI Overview對話摘要功能」。當使用者開啟一封包含大量往返信件的郵件時，系統會自動整合整段對話內容，萃取關鍵結論與重要資訊，生成簡要摘要，讓使用者無須逐封閱讀即可掌握全貌。這項功能屬於被動式摘要，已免費提供給所有Gmail使用者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-gmail-ai%20overview-1.png" style="width: 600px;" /></p> <p>另一項更進階的功能則是「向收件匣提問」。使用者可直接以自然語言詢問整個收件匣，例如查找過去的報價、合作對象或事件背景，由AI Overview進行跨郵件搜尋、關聯與推理後給出答案。由於涉及更高強度的運算與理解能力，這項主動式問答功能僅開放給Google AI Pro與Ultra訂閱用戶。</p> <p>在郵件撰寫上，Google亦擴充多項AI輔助工具。其中，Help Me Write可協助使用者從零開始撰寫郵件，或針對既有內容進行潤飾；Suggested Replies則是智慧回覆的升級版，會依據對話上下文與使用者慣用語氣，提供更貼近個人風格的一鍵回覆建議。這兩項功能同樣免費提供。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-gmail-ai%20overview-2.png" style="width: 600px;" /></p> <p>至於Proofread功能，則被定位為進階付費服務。該功能不僅檢查拼字與基本文法，還會針對語氣、風格與表達清楚度進行整體優化，適合正式或重要的郵件溝通，目前僅提供給Google AI Pro與Ultra訂閱用戶。</p> <p>市場分析指出，AI Overview進駐Gmail的短期焦點仍在使用體驗升級，但中長期勢必對第三方Gmail外掛與郵件SaaS形成結構性壓力，特別是郵件摘要、搜尋與寫信輔助等原本高度依賴外掛解決的功能，正逐步被Google原生AI能力內建取代。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
1/9 11:35作者陳曉莉https://www.ithome.com.tw/news/173258
思科修補網路存取控制平臺ISE資安漏洞，並表示已有概念驗證程式碼出現，恐將被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年思科公布及修補多項網路存取控制（NAC）平臺Identity Services Engine（ISE）資安漏洞，其中有多個CVSS風險評分接近或達到滿分10分，相當危險而引起外界高度關注，現在他們公布另一個僅有中度風險的漏洞，並指出已有概念驗證工具（PoC）而成為焦點。</p> <p>1月7日思科發布資安公告揭露<strong><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-xxe-jWSbSDKt">CVE-2026-20029</a></strong>，此為ISE與ISE被動身分識別連接器（ISE Passive Identity Connector，ISE-PIC）的資訊洩露漏洞，存在於授權（licensing）的功能，通過身分驗證且具有管理權限的攻擊者能遠端觸發漏洞，存取敏感資訊，CVSS風險值為4.9分，他們特別提及，已有公開的漏洞利用概念驗證程式碼，使得攻擊者可將漏洞用於實際攻擊。此漏洞影響3.4版以下的ISE與ISE-PIC，思科發布3.2 Patch 8、3.3 Patch 8，以及3.4 Patch 4版修補，3.5版用戶不受影響。</p> <p>這個漏洞發生的原因，在於ISE與ISE-PIC的網頁管理介面對於XML檔案處理不當，攻擊者可上傳惡意檔案至應用程式觸發，一旦成功利用，就有機會從作業系統底層讀取任何檔案，其中包括管理員都無法存取的敏感資料。不過，利用漏洞存在必要條件，那就是攻擊者必須事先取得有效的管理員憑證。</p> <p>由於沒有其他替代緩解措施，思科呼籲用戶儘速套用新版軟體因應。回顧2025，該公司於6月初修補<strong><a href="https://www.ithome.com.tw/news/169401">風險值達9.9的CVE-2025-20286</a></strong>，後續於6月底至7月初，修補風險值滿分的<strong><a href="https://www.ithome.com.tw/news/169766">CVE-2025-20281、CVE-2025-20282</a></strong>，以及<strong><a href="https://www.ithome.com.tw/news/170123">CVE-2025-20337</a>；</strong>Amazon威脅情報團隊發現，國家級駭客在思科公布CVE-2025-20337之前，<strong><a href="https://www.ithome.com.tw/news/172219">已用於實際攻擊</a></strong>。</p> </div></div></div>
1/9 10:52作者周峻佑https://www.ithome.com.tw/news/173256
WinUI XAML原型工具XAML Studio開源，納入.NET基金會種子專案推進更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由開發者Michael Hawker維護的WinUI XAML原型工具XAML Studio，於2026年1月6日宣布在GitHub<a href="https://github.com/dotnet/XAMLStudio/discussions/26">開源</a>，並以.NET基金會種子專案形式運作，程式碼以MIT授權釋出。專案目前把主要開發重心放在v2開發上，邀請社群透過GitHub Discussions與Issues回報功能需求與問題，作為後續穩定版發展方向。</p> <p>XAML Studio是一款WinUI開發的獨立工具，讓開發者不必先把程式整合進專案，就能用即時編輯與互動預覽快速驗證XAML版面與元件行為，再把驗證過的XAML內容複製回Visual Studio專案整合。Michael Hawker也提醒，Microsoft Store目前仍以1.1版作為最後一次公開釋出，近年的改版與功能實驗主要累積在dev分支的v2程式碼庫。</p> <p>根據專案公開說明，v2版的變更重點主要是工具介面與編輯輔助能力的更新，包含導入Fluent UI風格的新介面，補回早期原型曾有但v1未完整支援的資料夾工作流程，以及把即時屬性面板與視覺樹狀結構、視覺狀態檢視等能力整合到同一套檢視介面中，讓開發者在預覽階段能更直接觀察與調整UI狀態。</p> <p>由於XAML Studio在開源前，部分基礎元件已分階段以Windows Community Toolkit與其實驗專案形式對外釋出。Michael Hawker指出，這些元件多源自XAML Studio在編輯器與複雜版面操作上的需求，例如用於版面調整的Sizer控制項，以及用於覆蓋式視覺輔助的XAML Adorners等。此次把應用程式本體與相關程式碼庫一併公開，也相當於把過去分散在不同專案與套件中的成果，整合到同一個可被社群共同維護的開發流程。</p> <p>XAML Studio起源可追溯到2017年7月的駭客松原型XamlPad+，後續透過Microsoft Garage管道發展，並在2019年1月推出v1.0與後續更新。專案在2025年8月啟動透過.NET基金會推動的開源流程，並於2026年1月6日正式在GitHub公開程式碼，成為.NET基金會的種子專案。</p> <p>專案目前以蒐集回饋與收斂v2功能為優先，並預告待功能與品質成熟後，目標在2026年稍晚推出v2穩定版並再度上架Microsoft Store。</p> </div></div></div>
1/9 09:07作者李建興https://www.ithome.com.tw/news/173252
【未來四年最重要的資安監理，從根本思維展開大變革】金融資安韌性發展藍圖出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一起資安事件最極端的損失有多大？25億美元，相當於臺幣775億元。哪一家金融公司，承受得起如此巨額的損失？</p> <p>兩年前，國際貨幣基金組織（IMF）的一份報告，顛覆了全球金融業面對資安威脅最根本的態度。</p> <p>根據IMF這份「2024年全球金融穩定報告」指出，多數資安災情的規模，大約50萬美元（約臺幣1,500萬元）的損失，但是，也有可能出現極端情況，一起資安事件，就會出現高達25億美元的損失，大約是一般金融公司年營收的8倍。不只是影響一家金融機構，就算只是一次的網路攻擊，若造成金融交易平臺的短暫停擺，也足以衝擊整個金融市場，甚至波及不同的金融交易市場，產生連鎖性的壓力，例如帶來整體股市的劇烈波動。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>金融資安監理思維大轉變</strong></span></span></p> <p>國際貨幣基金組織這份報告讓許多國家認清了當前資安威脅的重大影響，加速了各國金融資安監理思維的轉變，邁向更全面、更主動的資安戰略，從風險可能發生的「事前防範」作為，轉變為「威脅必然發生」的「事後韌性」對策，希望提升金融機構因應極端情境的營運韌性。</p> <p>金管會在2025年底最後一場記者會，發布了「金融資安韌性發展藍圖」，作為未來四年，金融產業資安監理最重要的新戰略。這份藍圖的出爐，正式宣告了我國金融資安戰略的改變，跟進全球，從「被動防禦」思維，轉變成「主動韌性」思維。</p> <p>金管會資訊服務處處長林裕泰在發布時強調：「這份資安發展藍圖涵蓋了最新的國際資安監理趨勢，以及國內資安戰略焦點。」</p> <hr /> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E6%94%B9%E8%AE%8A-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%87%91%E7%AE%A1%E6%9C%83.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>金管會在2025年底最後一場記者會，發布了「金融資安韌性發展藍圖」，作為未來四年，金融產業資安監理最重要的新戰略。這份藍圖的出爐，正式宣告了我國金融資安戰略的改變，跟進全球，從「被動防禦」思維，轉變成「主動韌性」思維。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／金管會</span></p> <hr /> <p>舉例來說，國際資安監理趨勢，近兩年焦點包括了強化高層責任和資安成熟度提升，也要推動資安左移和軟體物料管理（SBOM），新興科技則聚焦AI資安和後量子密碼遷移，對於金融供應商管理和營運韌性也越來越重視。</p> <p>國內則以去年公布的國家資通安全戰略2025和國家資通安全發展方案的焦點為主，像是零信任、後量子密碼、AI技術、供應鏈管理、關鍵系統備援轉型、第三方資安實兵演練和桌上兵推等。</p> <p>早在五年前，金管會開始更有架構性地規畫臺灣的金融資安監理策略，2020年8月時發布了「金融資安行動方案1.0」，願景是安全便利不中斷的金融服務，主要目的是建立金融業重視資安的組織和文化，來提升資安治理和持續營運能力，最明顯的要求是資安長成為金融業必要設置，主要KPI不到2年就達標超過8成。</p> <hr /> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%87%91%E7%AE%A1%E6%9C%83(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>金管會2020年8月發布「金融資安行動方案1.0」，主要KPI不到2年就達標超過8成。2022年底的2.0方案開始鼓勵金融業部署零信任網路。在2025年底最後一場記者會則發布了「金融資安韌性發展藍圖」。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／金管會</span></span></p> <hr /> <p>金管會隨之在2022年底發表了精進的2.0方案，延續1.0方案的願景，增加十多項資安精進措施，最重要的一項是開始鼓勵金融業部署零信任網路。到了2024年7月，金管會公布了「金融業導入零信任架構參考指引」，提出四階段零信任分級導入策略，讓金融業者更清楚如何擁抱零信任。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從災難預防，轉為假設災難必然發生的因應</strong></span></span></p> <p>從2020年到2025年，這五年來，金管會的資安監理主要採取以系統為中心的「營運持續」思維，目標是關鍵金融系統提供的服務不會中斷，從合規導向來設計相關規範，來降低、避免和防範各種資安的風險，這是一種盡可能希望資安事故不要發生的角度來考慮。</p> <p>但是，到了2026年，新發布的「金融資安韌性發展藍圖」，金管會的資安監理思維，從本質上有了截然不同的大改變，不是擴大了資安治理的範圍，從系統為中心，轉變為以服務為中心，從關鍵系統的防護，擴大到整個生態，連同供應商、合作夥伴都要納入考量。</p> <p>資安戰略的思維也從災難預防，轉變為假設災難必然發生的前提，來設計新的資安監理戰略，將資安議題的高度，從最低的合規標準要求，上升到公司治理層級，</p> <p>金管會透過這份資安韌性發展藍圖，希望金融機構遭遇資安災難時，可以更主動、更有韌性、快速恢復，更有效的控制災情，降低損失。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安韌性發展藍圖有四大主軸，有根本性的改變</strong></span></span></p> <p>光是比較過去方案和未來藍圖的架構，就可以看到本質上的變化，同樣採取了四大主軸的設計，資安行動方案包括了「建立資安監理」、「深化資安治理」、「精實金融韌性」、「發揮資安聯防」四大構面，而金融資安韌性發展藍圖則區分成「目標治理」、「全域防護」、「生態聯防」和「堅實韌性」。過去多是「點」的做法，如資安長設置，或是「線」的策略，例如資安聯防。新的藍圖則擴大到「面」的戰略，例如生態聯防。</p> <p>「面對資安威脅不斷提升，資安不應該只是合規，我們需要有更先進的目標。」林裕泰強調。</p> <hr /> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E5%9B%9B%E5%A4%A7%E4%B8%BB%E8%BB%B8-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%87%91%E7%AE%A1%E6%9C%83.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>金融資安韌性發展</strong></span><span style="color: rgb(51, 102, 255);"><strong>藍圖區分成「目標治理」、「全域防護」、「生態聯防」和「堅實韌性」四大主軸，分成10類工作項目，包括了29項措施，其中有7項延續了2.0方案，延續且擴大或強化的措施也有10項，其餘新增措施則多達了12項。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／金管會</span></p> <hr /> <p><span style="text-align: center;">在「目標治理」主軸上，要打造一個可以衡量和提升的治理體系，主要從強化高層問責、法規調適、提高人才韌性開始推動。而在「全域防護」主軸上，則要實現從安全設計到技術韌性的全鏈防護，打造一個可以持續演化的安全技術藍圖，所以，金管會要推動資安左</span></p> <p><span style="text-align: center;">與零信任架構，而且開始因應AI、PQC新興技術的部署。在第三項主軸「生態聯防」上，新的藍圖想提升整體生態系的資安成熟度，而不只是單一公司而已，從強化供應鏈資安管理、資安情資分析合作著手，甚至要深化國際性的聯防，從前三項主軸，要來支撐最後一項主軸「堅實韌性」的實踐，以確保關鍵服務持續與快速恢復。</span></p> <p>從四大主軸，分成10類工作項目，包括了29項措施，其中有7項延續了2.0方案，延續且擴大或強化的措施也有10項，其餘新增措施則多達了12項。</p> <p>延續措施，像是資安人才培育做法，如資安人才職能地圖、鼓勵取得資安證照等。對企業鼓勵導入國際營運持續管理標準等，鼓勵持續實施DDoS攻防演練、紅藍隊演練。</p> <p>在資安情資分享上，金管會也將持續加強金融資安的國際合作，例如與國際夥伴分享我國資安攻擊案例等。</p> <p>2.0方案原有的金融產業資安攻防演練和相關培訓，如金融機構DDoS、網路攻防演練、重大事件應變情境演練等，也都會持續辦理。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安納入企業的治理核心</strong></span></span></p> <p>對原有金融資安行動2.0方案的持續或擴大措施，主要改變是在企業治理上，林裕泰補充，下一階段的重點是，讓資安長負起更高的責任和賦權機制。</p> <p>金管會將參考美國紐約州金融服務署（NYDFS）所推動的金融機構資安長職責聲明要求。</p> <p>例如企業要明訂出資安長在資安治理、風險管理、事件應對等方面之具體職責要求，每年資安長也要向董事會報告前一年度的資安整體執行情形，報告內容涵蓋資安計畫執行成果，重大資安事件的改善、資安風險評估、資安預算和資源的運用情況等，換句話說，這也讓企業管理高層更了解企業整體資安狀態，也能負起對應的責任。</p> <p>新發展藍圖更要求金融機構，必須適度授權給資安長，可以提出改善方案或相當的控制措施，金管會在未來四年的資安監理上，希望金融機構可以建立「責任、權限、資源」三位一體的金融資安治理架構，來強化問責鏈。這是延續過去資安治理，但又進一步強化資安長權責的新做法。</p> <p>另一個持續推動的措施是各項資安監控和防護有效性的措施，像是金管會在2024年就規畫將資安監控及組態基準，延伸到雲端服務環境，2025年3月先發布了多項公雲服務相關的參考基準。</p> <p>未來兩年，金管會預計在2026年增加容器服務，2027年增加尚未涵蓋的PaaS服務範疇，例如雲端資料庫、無伺服器應用、雲端SOAR等，讓金融機構在雲地維持一致的資安防護高水準。</p> <p>最後來看12項新措施的新亮點，包括了資安左移和軟體供應鏈管理（SBOM）、新興科技採用指引（AI安全和後量子遷移）、積極推動零信任架構、多層次備援架構的強化等。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從鼓勵到正式推動零信任，高風險場域先導</strong></span></span></p> <p>金融機構零信任架構的採用。金管會早在2.0方案就開始鼓勵金融業部署零信任網路，2024年中更發布了「金融業導入零信任參考指引」，同樣採取鼓勵而非強制的做法，訂出分階段導入的建議做法，並且提出了六大高風險場域，鼓勵金融業者優先導入零信任架構，像是遠距辦公、雲端存取、系統維運管理、應用系統管理、服務供應商、跨機構協作等。</p> <p>根據金管會2025年的調查，多數金融機構已經陸續導入或規畫要導入到至少一個場域中，多數機構是針對遠距辦公場景。下一階段藍圖中，金管會轉由從「鼓勵」態度，轉為積極推動高風險場域的零信任架構導入。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安左移和軟體供應鏈管理是兩大新亮點</strong></span></span></p> <p>金管會要鼓勵金融機構導入軟體安全開發和相關的CI/CD流程，將安全納入設計的資安左移策略，像是軟體分析設計階段，就進行風險評估或威脅建模，並將安全控制嵌入到開發生命週期的多個階段，從設計、開發、測試與部署流程中，也要安全性工具如SAST和DAST，整合到後續的CI/CD流程，善用軟體成分分析來識別所用的相關元件，產生軟體物料清單(SBOM)，來提高軟體組件透明度與可追溯性，還要連結弱點資料庫，來進行漏洞管理與即時版本更新。這些是國外大型科技公司常見的現代化安全開發做法，金管會希望金融機構也能具備同樣的安全開發流程和能力。</p> <hr /> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E8%B3%87%E5%AE%89%E5%B7%A6%E7%A7%BB-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%87%91%E7%AE%A1%E6%9C%83(1).png" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>金管會要鼓勵金融機構導入軟體安全開發和相關的CI/CD流程，可以將安全控制嵌入到開發生命週期的多個階段，從設計、開發、測試與部署流程中。金管會希望金融機構也能具備不輸科技大廠的安全開發流程和能力。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／金管會</span></p> <hr /> <p>未來一年，金管會更計畫要委託銀行公會，在現有開放銀行Open API規範基礎上，訂出更完整，可以涵蓋金融機構外部夥伴API和內部API的一套新的API安全基準。</p> <p>因為金融機構越來越依賴第三方供應商或外包商，尤其許多AI服務來自第三方業者，金融供應鏈的組成也比過去更加複雜化。在發展藍圖上，金管會打算要訂定供應商分級及委外資安責任參考範本，訂出不同風險等級供應商，各自必要的資安條款，這不只可以簡化金融委外的複雜性，也將對資安產業帶來新的統一規範能力。</p> <p>其中，SBOM（軟體物料清單），也將成為金融軟體供應商的未來標準配備，來強化金融機構對於軟體供應鏈的安全管理。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>AI資安與後量子遷移的前瞻部署</strong></span></span></p> <p>這份發展藍圖規畫了未來四年的金融資安監理政策方向，也將未來四年金融機構必須面對的新興科技議題，納入考量，尤其是AI資安和更長遠的後量子演算法遷移（PQC）做法。</p> <hr /> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E6%96%B0%E8%88%88%E7%A7%91%E6%8A%80-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%87%91%E7%AE%A1%E6%9C%83.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>這份發展藍圖將未來四年金融機構必須面對的新興科技議題，納入考量，尤其是AI資安和更長遠的後量子演算法遷移（PQC）做法。計畫用一年時間訂定AI系統安全防護及檢測參考指引和金融業PQC遷移參考指南。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／金管會</span></p> <hr /> <p>金管會計畫用一年時間，訂出，來加速金融機構的AI採用，將參考國際組織OWASP的生成式AI安全性專案、AI進階威脅框架MITRE ATLAS等國際AI資安框架的安全設計及檢測機制，引導金融機構在AI系統設計階段，就納入風險評估和威脅建模，以便搭配相關防護機制，來降低AI的曝險程度。</p> <p>而在後量子密碼課題上，雖然這是一個更長遠的資安議題，不過，金管會已經在2025年7月就籌設了一個先導小組，透過F-ISAC建立溝通機制，來研擬PQC遷移的準備工作，未來還會陸續建立加密技術清單，鑑別金融機構所用的加密技術，以便來評估安全等級和可能的業務風險。一年後要訂出一份金融業PQC遷移參考指南。金管會也會持續辦理相關的遷移準備工作，像是PQC人才培訓、供應商調查、訂定系統汰換採購策略等。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>關鍵服務加強多層次備援架構</strong></span></span></p> <p>最後一項值得關注的新亮點措施是，關鍵金融服務的備援機制，將進一步發展成多層次備援機制。金管會在2.0方案中，對金融機構傳統慣用的本地、異地的備份、備援做法，增加了第三方或雲端資料保存要求，到了韌性發展藍圖，金管會計畫更細緻的設計不同備援情境的韌性要求，將依據不同情境的最小復原需求，來訂定復原時間目標、資料復原點目標，作為備援設計和資源分配的依據，金融機構未來可以針對不同備援情境或災難，來設計多層次不同的應變和恢復做法。</p> <p>不只是金融機構自己關鍵服務的備援，還要擴大考慮到金融服務生態系的運作和備援，例如核心系統業者、電信業者、支付處理機構、API介接對象等供應鏈夥伴，都將成為金融機構多層次備援機制的考量環節。</p> <p>這份影響臺灣未來四年所有金融機構，甚至軟體產業、資安產業的金融資安發展藍圖，透過產業規範和最佳實務的做法，雙軌並行來提升金融機構的資安治理成熟度，也從管理面和技術面，雙管齊下，要來強化金融機構的軟體安全與供應鏈管理。</p> <p>「金融資安韌性發展藍圖最終目標是，期望金融業建立一套可執行、可量測、可提升、可國際接軌的韌性治理模式。」林裕泰在記者會上如此強調，也揭開了臺灣金融資安監理的新時代。</p> <p><a href="https://www.ithome.com.tw/article/173254" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1268-feng_mian_gu_shi_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=ElRT2otf" style="width: 600px;" /></a></p> </div></div></div>
1/9 09:31作者王宏仁https://www.ithome.com.tw/news/173253
釣魚郵件改以HTML表格繪製QR Code，恐規避影像偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安顧問公司Nettles Consulting研究人員<a href="https://isc.sans.edu/diary/32606">指出</a>，近期觀察到一波實際流入收件匣的釣魚郵件活動，這些郵件並未以圖片嵌入QR Code，而是使用HTML表格的儲存格逐格指定黑白背景色，在郵件內文中繪製可掃描的QR Code圖樣。由於不少郵件安全產品對QR Code的偵測與解析長期以影像內容為主要分析對象，這類無影像QR Code的呈現方式有機會降低既有偵測規則的命中率，成為QR Code釣魚的另一種繞過途徑。</p> <p>研究人員分析提到，惡意使用QR Code在實體與電子郵件中早已常見，掃描後導向釣魚頁面的效果與點擊網址連結並無不同。隨著安全廠商陸續強化對郵件內含QR Code影像的偵測與分析，攻擊者也持續尋找替代呈現方式，試圖避開以圖片為核心的檢測流程。</p> <p>他取得的樣本郵件寄送時間落在2025年12月22日至26日，版面設計相對簡單，通常只有數行文字搭配一個置中的QR圖樣。從使用者視角看起來，郵件中的QR Code外觀與常見圖片相近，僅略顯壓縮，但實際上並沒有任何影像檔或內嵌圖片，而是由大量表格列與儲存格組成，每個儲存格以HTML屬性指定黑色或白色背景，逐點拼成QR矩陣。研究人員指出，這種以表格呈現QR Code的技巧並非新發明，但過去較不為人熟悉。</p> <p>QR Code所編碼的連結導向同一個惡意網域的不同子網域。研究人員指出，最早一個樣本使用看似雲端檔案服務相關的子網域名稱，其餘樣本的連結結構則更偏向客製化，會把收件者電子郵件的網域名稱、十進位或十六進位字串，以及隨機路徑片段組合進網址中，尾端再附上收件者的電子郵件資訊。</p> <p>研究人員強調，該案例提醒防禦端，部分技術控制仍可能隱含對惡意內容呈現方式的假設，例如將QR Code主要視為影像內容來處理。當攻擊者改以純HTML結構在內文中重建圖樣時，既有流程就可能出現防禦空隙。</p> </div></div></div>
1/9 06:39作者李建興https://www.ithome.com.tw/news/173245
【資安日報】1月8日，駭客利用React2Shell及FortiWeb資安漏洞從事針對性攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173232"><strong style="font-size: 22px;">駭客利用React2Shell並攻擊網頁應用程式防火牆FortiWeb，運用Sliver框架建立C2通道</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Sliver-FortiWeb-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sliver-FortiWeb-2.png" style="width: 300px; float: right;" /></a></p> <p>12月初React開發工程團隊揭露重大漏洞React2Shell（CVE-2025-55182），隨即就有國家級駭客用於實際攻擊行動，也有殭屍網路用來綁架Next.js應用程式伺服器，從事挖礦與DDoS攻擊，現在有人結合網頁應用程式防火牆（WAF）的資安漏洞從事活動。</p> <p>資安研究團隊Ctrl-Alt-Int3l指出，他們從資安公司Censys的威脅獵補情資當中，發現曝露滲透測試框架Sliver C2資料庫與事件記錄的駭客團體，研究團隊根據這些資料庫、事件記錄，以及對應的基礎設施，掌握駭客成功入侵網頁應用程式防火牆FortiWeb並部署Sliver，過程裡利用了React2Shell，再者，他們也透過Fast Reverse Proxy（FRP）曝露受害組織的本地服務。</p> <p>Ctrl-Alt-Int3l總共看到30個IP位址被植入了Beacon，其中有許多受害組織集中於巴基斯坦與孟加拉，涉及金融產業與政府機關。此外，駭客也在與FortiWeb無關的中國主機植入Sliver。針對這起活動的發現，突顯了邊緣設備普遍缺乏EDR與防毒軟體的保護，而成為企業組織察覺資安威脅的盲點。</p> <p><a href="https://www.ithome.com.tw/news/173225"><strong style="font-size: 22px;">D-Link多款停產DSL路由器曝重大漏洞，已出現攻擊利用跡象</strong></a></p> <p>友訊科技（D-Link）多款已達產品生命週期終止（EoL）的DSL路由器，被揭露存在高風險命令注入漏洞，且相關攻擊行為已在蜜罐環境中被觀測到。該漏洞被編列為CVE-2026-0625，CVSS風險分數高達9.3，屬於重大層級。</p> <p>D-Link已針對CVE-2026-0625，於1月6日發布安全公告，說明目前尚無法僅依產品型號判斷是否受影響，必須直接檢視設備韌體內容，因此正同步檢視已停產與仍受支援平臺的多個韌體版本，作為內部調查的一部分。此外，受影響的dnscfg.cgi端點，也與名為DNSChanger的惡意程式有關。</p> <p>通報此事的漏洞情報公司VulnCheck指出，CVE-2026-0625源於路由器韌體中dnscfg.cgi端點對DNS設定參數的輸入驗證不足，導致未經身分驗證的遠端攻擊者可注入並執行任意Shell指令，進而造成遠端程式碼執行風險（RCE）。在VulnCheck於2025年12月16日向D-Link通報之前，資安研究機構Shadowserver基金會已於2025年11月27日，在其蜜罐系統中觀測到針對該漏洞的攻擊行為證據。</p> <p><a href="https://www.ithome.com.tw/news/173233"><strong style="font-size: 22px;">Veeam揭露旗下v13版備份軟體重大風險，須盡速更新修補漏洞</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於1月6日揭露影響其Veeam Backup & Recovery備份軟體的4項漏洞，並釋出修補。</p> <p>這4項漏洞中，最嚴重的是編號為CVE-2025-59470的漏洞，為CVSS嚴重性等級評分9.0的重大漏洞，會導致備份或磁帶操作者，透過發送惡意間隔或順序參數，以postgres使用者身分遠端執行程式碼。</p> <p>另3個漏洞CVE-2025-55125、CVE-2025-59468與CVE-2025-59469，為CVSS嚴重性等級評分7.2、6.7與7.2的漏洞。CVE-2025-55125若遭到濫用，可能會導致備份或磁帶操作者透過建立惡意備份設定檔；CVE-2025-59468允許以root身分執行遠端程式碼，若攻擊者假冒備份管理者的身分，可透過發送惡意的密碼參數，以postgres使用者身分遠端執行程式碼；CVE-2025-59469的存在，允許備份或磁帶操作者以root身分寫入檔案，有心人士可濫用此漏洞，非法將資料灌入備份系統中。</p> <p><a href="https://www.ithome.com.tw/news/173235"><strong style="font-size: 22px;">工作流程自動化平臺n8n爆滿分漏洞Ni8mare，攻擊者可藉表單流程存取底層檔案</strong></a></p> <p>開源工作流程自動化平臺n8n官方公開重大資安漏洞CVE-2026-21858，CVSS風險評為10分（滿分10分）。n8n在GitHub安全通報中指出，CVE-2026-21858影響版本為1.65.0含以前版本，並已在1.121.0版修補，建議使用者升級至1.121.0或更新版本。開發工程團隊說明，問題出在對外提供的表單相關流程，存在不當的Webhook請求處理行為，使未經驗證的遠端攻擊者有機會觸發特定流程，讀取底層伺服器檔案內容。</p> <p>資安業者Cyera Research Labs研究人員發現該漏洞，將漏洞命名為Ni8mare，並評估此弱點可導致本機部署的n8n實例遭到接管，推估可能影響全球約10萬臺伺服器，同時強調沒有替代緩解方案，處置重點仍是升級到1.121.0或更新版本。</p> <p>針對漏洞發生的原因，n8n說明問題出在對外提供的表單相關流程中，存在不當的Webhook請求處理行為，導致攻擊者可在不需帳號密碼的情況下，觸發流程存取主機上的檔案內容。由於n8n常被用來串接各式系統與雲端服務，一旦底層檔案可被讀取，外洩的可能不只是單一資料，而是足以影響後續存取控制的關鍵資訊。</p> <p><a href="https://www.ithome.com.tw/news/173236"><strong style="font-size: 22px;">工作流程自動化平臺n8n曝9.9分重大漏洞N8scape，成功利用恐波及整體執行環境安全</strong></a></p> <p>開源工作流程自動化平臺n8n被揭露存在多項重大資安漏洞，其中一個可能讓已通過身分驗證、且具備建立或修改流程權限的使用者，在特定條件下於執行n8n的主機上執行任意系統指令。該漏洞編號為CVE-2025-68668，CVSS風險評分高達9.9。</p> <p>該漏洞由Cyera Research Labs研究人員Vladimir Tokarev與Ofek Itach發現並通報，研究人員將其命名為N8scape。漏洞被歸類為防護機制失效案例，影響範圍涵蓋n8n 1.0.0至2.0.0之前的所有版本，n8n維護團隊已於2.0.0版中完成修補。</p> <p>根據n8n維護團隊與研究人員說明，問題出在n8n使用Pyodide實作的Python Code Node。在原本設計中，該節點應透過沙箱機制限制程式碼執行範圍，但研究人員發現，具備流程編輯權限的使用者，仍可在特定情境下繞過隔離限制，直接在主機層級執行作業系統指令。</p> <p><a href="https://www.ithome.com.tw/news/173196"><strong style="font-size: 22px;">東京FM電臺證實外部雲端服務洩露部分用戶個資</strong></a></p> <p>駭客宣稱駭入日本廣播電臺東京FM，並竊取300萬筆記錄。不過東京FM澄清公司內部系統並未遭駭；外洩資訊是來自該公司使用的第三方雲端分析服務。</p> <p>資安業者Hackmanac在1月1日發現駭客論壇上名為victim的人士，宣稱駭入東京FM廣播（Tokyo FM Broadcasting），竊得的300萬筆記錄。外洩的個資包含姓名、電子郵件、出生日期、IP、使用者代理字串（User Agent）、工作資訊，以及多個內部系統的登入ID。</p> <p>資安公司根據開放網際網路及暗網蒐集的資料做出分析，並且透過社群平臺發出警示。不過，東京FM於6日發出聲明指出，傳言和事實有所出入。</p> <p><a href="https://www.ithome.com.tw/news/173238"><strong style="font-size: 22px;">桃國機場巴士跨年看板出現統戰標語，公路局表示是後端廠商遭駭所致</strong></a></p> <p>根據TVBS新聞網的報導，有民眾在12月31日清晨搭乘從桃園機場往捷運新店站方向的客運，發現原本用於顯示到站資訊的跑馬燈，竟然出現「台獨勢力必亡」、「翹首以盼待回歸」等統戰口號，由於中國解放軍在29日至31日，以演習的名義在臺灣周邊海域滋擾，發生的時間相當巧合，引起民眾在Threads等社群網站的熱烈討論。對此，大有巴士表示他們於同日上午9時接獲乘客通報，並向中華電信工程師進行了解，在一個小時後成功排除異常。</p> <p>大有巴士進一步調查及說明，客運上的跑馬燈設備控管中心，由中華電信維運，這起事故發生在31日凌晨1時，伺服器遭不明人士入侵。再者，這起事故傳出還有另一家客運公司發生相同情形，不過當時該公司並未發車。</p> <p>這起事故也引起交通部公路局注意，他們表示已第一時間派員前往大有巴士查核，掌握此事是配合廠商的後端系統遭到入侵，並非該客運公司所為。公路局也透過各區監理所，要求客運公司進行全面盤查，並於每日出車前檢查看板，是否因遭駭而出現不當資訊的情況。</p> <p><a href="https://www.ithome.com.tw/news/173234"><strong style="font-size: 22px;">Palo Alto Networks有意以4億美元買下以色列資安新創Koi Security</strong></a></p> <p>資安大廠Palo Alto Networks於2025年買下多家資安公司，並與Google簽訂多年協議進行更進一步的合作，近日傳出該公司打算併購甫成立不久的資安新創，引起科技及資安業界的高度關注。</p> <p>這項消息最早由以色列科技新聞網站CTech報導，Palo Alto Networks執行長Nikesh Arora去年12月前往以色列，與身分驗證解決方案公司CyberArk的員工會面，討論併購後續事宜的同時，也評估當地的資安新創是否有交易的機會。結果傳出Palo Alto Networks有意以4億美元的價格，買下2024年成立的Koi Security，若是這項消息屬實，代表Koi Security的投資者將快速獲利。對此，Palo Alto Networks與Koi Security皆未發表評論。</p> <p>對於Palo Alto Networks有意併購Koi Security的原因，主要是因為AI技術對資安領域帶來快速的變化，於是他們打算透過買下Koi Security，進一步整合XDR與EDR等資安防護方案。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/fake-notepad-websites/">駭客團體Black Cat架設冒牌Notepad++網站，散布惡意軟體並竊取用戶資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/fake-docusign-login/">FBI警告冒牌DocuSign登入網站的大規模網釣活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/cloudeye-maas/">惡意軟體下載及加殼工具CloudEyE感染全球逾10萬用戶</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-tags-max-severity-hpe-oneview-flaw-as-actively-exploited/">CISA警告HPE OneVew重大層級漏洞已被用於實際攻擊</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173221"><strong>【1月7日】殭屍網路Kimwolf透過固定代理伺服器網路進行擴散</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173184"><strong>【1月6日】中國APT駭客鎖定臺灣關鍵基礎設施而來，能源產業是頭號目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173162"><strong>【1月5日】臺灣處於亞太APT威脅風暴核心，受害次數占全球三分之一</strong></a></p> </div></div></div>
1/8 18:40作者周峻佑https://www.ithome.com.tw/news/173251
桃國機場巴士跨年看板出現統戰標語，公路局表示是後端廠商遭駭所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>四年前美眾議院議長裴洛西（Nancy Pelosi）率團訪問臺灣引發中國不滿，不僅解放軍發動72小時環臺軍事演習侵擾，<strong><a href="https://www.ithome.com.tw/news/152491">中國駭客也以散布假訊息、發動DDoS攻擊，以及網頁置換（Deface）等手法</a></strong>，對臺進行網路攻擊，其中一種引起民眾關注的手法，<strong><a href="https://www.ithome.com.tw/news/152269">是置換電子看板的內容</a></strong>，如今這類手法再度出現，引起社會大眾的注意。</p> <p>根據<strong><a href="https://news.tvbs.com.tw/politics/3087955">TVBS新聞網的報導</a></strong>，有民眾在12月31日清晨搭乘從桃園機場往捷運新店站方向的客運，發現原本用於顯示到站資訊的跑馬燈，竟然出現「台獨勢力必亡」、「翹首以盼待回歸」等統戰口號，由於<strong><a href="https://zh.wikipedia.org/zh-tw/2025%E5%B9%B412%E6%9C%88%E7%92%B0%E5%8F%B0%E8%BB%8D%E4%BA%8B%E6%BC%94%E7%B7%B4">中國解放軍在29日至31日</a></strong>，以演習的名義在臺灣周邊海域滋擾，發生的時間相當巧合，引起民眾在Threads等社群網站的熱烈討論。對此，大有巴士表示他們於同日上午9時接獲乘客通報，並向中華電信工程師進行了解，在一個小時後成功排除異常。</p> <p>大有巴士進一步調查及說明，客運上的跑馬燈設備控管中心，由中華電信維運，這起事故發生在31日凌晨1時，伺服器遭不明人士入侵。再者，這起事故傳出還有另一家客運公司發生相同情形，不過當時該公司並未發車。</p> <p>這起事故也引起交通部公路局注意，<strong><a href="https://www.thb.gov.tw/News_Content_table.aspx?n=12181&s=288182">他們表示已第一時間派員前往大有巴士查核</a></strong>，掌握此事是配合廠商的後端系統遭到入侵，並非該客運公司所為。公路局也透過各區監理所，要求客運公司進行全面盤查，並於每日出車前檢查看板，是否因遭駭而出現不當資訊的情況。</p> <p>中國軍事活動伴隨駭客網攻侵擾臺灣的現象，<strong><a href="https://ppg.ly.gov.tw/ppg/sittings/2026010209/details?meetingDate=115/01/08">近日國家安全局在立法院報告的調查分析結果</a></strong>，也反映情勢很嚴峻，他們指出，軍事活動的首日，駭客侵擾政府機關網路服務約208萬次，較前一天約154萬次多出逾三成，其中又以APT24、黑科技（BlackTech）兩個團體的活動最為頻繁。</p> </div></div></div>
1/8 17:23作者周峻佑https://www.ithome.com.tw/news/173238
macOS VoiceOver漏洞可被濫用於繞過隱私控管，Apple已在12月更新修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安研究人員Mickey Jin<a href="https://jhftss.github.io/CVE-2025-43530/">公開揭露</a>CVE-2025-43530，指出macOS內建螢幕閱讀器VoiceOver相關的私有框架ScreenReader.framework內部，存在用來判斷呼叫端是否可信任的邏輯瑕疵，可能讓一般應用程式在不該被放行的情境下，取得較高權限的跨程序自動化能力，進而形成繞過Apple TCC（Transparency、Consent、Control）隱私授權控管的缺口。</p> <p>Apple的安全性內容文件顯示，CVE-2025-43530已在2025年12月釋出的macOS Tahoe 26.2、macOS Sequoia 15.7.3、macOS Sonoma 14.8.3，以及iOS 18.7.3、iPadOS 18.7.3中完成修補。</p> <p>依Apple安全性內容文件的分類，macOS端把此漏洞列在VoiceOver項目下，影響描述為應用程式可能存取敏感使用者資料，並以改進檢查方式修補。iOS與iPadOS端則把同一CVE列在設定項目下，修補方式同樣是改進檢查。</p> <p>研究人員把焦點放在名為com.apple.scrod的系統服務。依其說明，這是VoiceOver相關元件提供的MIG Mach服務，系統會在登入視窗或使用者登入後，依工作階段自動啟動對應的scrod程序。由於scrod本身帶有多項敏感的TCC權限宣告，包含AppleEvents等可用來進行跨程序自動化互動的能力，因此，該服務對外介面採用何種方式判斷呼叫端是否可信任，直接左右整體安全邊界的強度。</p> <p>研究人員指出，問題出在服務端的可信任判斷流程。原始實作在判斷呼叫端身分時，可能退回改以程序路徑取得靜態簽署資訊，並以anchor apple這種等同認定程式由Apple簽署的條件，把呼叫端視為可信任，未能全程以稽核權杖把身分與當下連線綁定。研究者因此提醒，這類以路徑為核心的驗證方式，除了可能引入TOCTOU（Time of Check to Time of Use）時間差風險，也可能讓攻擊者透過對Apple簽署可執行檔的程式碼注入來借用其簽署身分。</p> <p>一旦這套可信任判斷被繞過，攻擊者就可能透過該服務執行任意AppleScript檔案，並向目標程序送出AppleEvents。由於TCC原本就是用來限制這類跨程序自動化互動的隱私控管機制，當帶有較高權限的系統服務被誤用，就可能形成繞過使用者授權流程的缺口。</p> <p>研究人員並指出，macOS 26.2的修補方向是改為要求呼叫端具備com.apple.private.accessibility.scrod entitlement，並透過稽核權杖驗證呼叫端身分，避免再走以路徑為核心的靜態簽署檢查，降低TOCTOU類型繞過的空間。</p> </div></div></div>
1/8 17:30作者李建興https://www.ithome.com.tw/news/173237
工作流程自動化平臺n8n曝9.9分重大漏洞，成功利用恐波及整體執行環境安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源工作流程自動化平臺n8n被揭露存在一項重大資安漏洞，可能讓已通過身分驗證、且具備建立或修改流程權限的使用者，在特定條件下於執行n8n的主機上執行任意系統指令。<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-68668" target="_blank">該漏洞編號為CVE-2025-68668</a>，CVSS風險評分高達9.9。</p> <p>該漏洞由Cyera Research Labs研究人員<a href="https://www.linkedin.com/posts/vladimir-eliezer-tokarev_discovered-a-99-cvss-critical-rce-sandbox-activity-7414258542179864576-P0LE/" target="_blank">Vladimir Tokarev</a>與Ofek Itach發現並通報，研究人員將其命名為N8scape。漏洞被歸類為防護機制失效案例，影響範圍涵蓋n8n 1.0.0至2.0.0之前的所有版本，<a href="https://github.com/n8n-io/n8n/security/advisories/GHSA-62r4-hw23-cc8v" target="_blank">n8n維護團隊已於2.0.0版中完成修補</a>。<span style="color:#696969;">（編按：n8n 2.0.0也一併修補近期公告的二項資安漏洞，分別為：</span><a href="https://www.ithome.com.tw/news/173235" target="_blank"><span style="color:#696969;">CVE-2026-21858</span></a><span style="color:#696969;">、</span><a href="https://www.ithome.com.tw/news/173006" target="_blank"><span style="color:#696969;">CVE-2025-68613</span></a><span style="color:#696969;">）</span></p> <p><span style="color:#B22222;"><strong>Python Code Node沙箱隔離可被繞過</strong></span></p> <p>根據n8n維護團隊與研究人員說明，問題出在n8n使用Pyodide實作的Python Code Node。在原本設計中，該節點應透過沙箱機制限制程式碼執行範圍，但研究人員發現，具備流程編輯權限的使用者，仍可在特定情境下繞過隔離限制，直接在主機層級執行作業系統指令。</p> <p>一旦漏洞遭到濫用，指令將以n8n行程本身的權限執行，風險不僅限於單一工作流程，而是可能影響整個n8n執行環境。</p> <p><span style="color:#B22222;"><strong>可能波及憑證、API金鑰與多項整合系統</strong></span></p> <p>美國國家標準與技術研究院（NIST）將資安研究人員Rhoda Smart的分析文章納入CVE-2025-68668<a href="http://nvd.nist.gov/vuln/detail/CVE-2025-68668" target="_blank">漏洞參考</a>資訊，根據其<a href="http://www.smartkeyss.com/post/cve-2025-68668-breaking-out-of-the-python-sandbox-in-n8n#:~:text=An%20attacker%20can%20read%20and%20write%20files%2C%20spawn%20processes%2C%20inspect%20environment%20variables%2C%20and%20initiate%20network%20connections.%20In%20practice%2C%20this%20often%20includes%20access%20to%20configuration%20files%2C%20application%20secrets%2C%20API%20keys%2C%20database%20credentials%2C%20and%20webhook%20tokens%20available%20to%20the%20n8n%20runtime." target="_blank">說明</a>，攻擊者成功利用該漏洞後，可讀寫主機檔案、建立或操控程序、存取環境變數，並發起對外網路連線。實務上，這往往代表可接觸到n8n執行環境中的設定檔、應用程式機密資訊、API金鑰、資料庫帳密與Webhook權杖。</p> <p>由於n8n常被部署為企業自動化中樞，整合多項雲端服務與內部系統，一旦n8n行程遭到掌控，風險可能進一步擴散至雲端帳號、內部API、資料庫與第三方服務，形成跨系統的連鎖影響。</p> <p><span style="color:#B22222;"><strong>容器化與多租戶環境風險更高</strong></span></p> <p>在容器化部署情境下，實際影響程度取決於容器的安全強化設定。研究人員提醒，若容器存在廣泛檔案系統存取權限、掛載持久性磁碟，或權限設定不當，攻擊者可能進一步影響主機或竄改持久性資料。</p> <p>在共享或多租戶環境中，風險尤為顯著。任何具備流程編輯權限的使用者，都可能藉由該漏洞影響整個平臺上的其他使用者與專案，破壞原本的隔離設計。</p> <p>此外，由於攻擊可被嵌入於排程或事件觸發的工作流程中，也可能形成持續性存取，不需額外部署外部惡意程式，即可長期存在於正常營運行為之中。</p> <p><span style="color:#B22222;"><strong>官方修補與暫時性因應建議</strong></span></p> <p>n8n表示，自1.111.0版起，已引入以<a href="https://docs.n8n.io/hosting/configuration/task-runners/#setting-up-external-mode" target="_blank">任務執行器（task runner）</a>為基礎的原生Python實作，作為可選功能，以提升執行隔離與安全性；並於2.0.0版中，進一步將該機制設為預設。</p> <p>在尚未升級前，n8n建議使用者採取下列因應措施降低風險：</p> <ul> <li data-end="1315" data-start="1251"> <p data-end="1315" data-start="1253">透過設定環境變數NODES_EXCLUDE: ["n8n-nodes-base.code"]，停用Code Node</p> </li> <li data-end="1370" data-start="1316"> <p data-end="1370" data-start="1318">設定N8N_PYTHON_ENABLED=false，關閉Code Node中的Python支援</p> </li> <li data-end="1446" data-start="1371"> <p data-end="1446" data-start="1373">啟用以任務執行器為基礎的Python沙箱機制，設定N8N_RUNNERS_ENABLED與N8N_NATIVE_PYTHON_RUNNER</p> </li> </ul> <hr /> <p><span style="color:#FFFF00;"><span style="font-size:22px;"><strong><span style="background-color:#000000;"> 自動化平臺控管成為企業資安必修課題 </span></strong></span></span></p> <p><strong><a href="https://www.smartkeyss.com/post/cve-2025-68668-breaking-out-of-the-python-sandbox-in-n8n#:~:text=The%20vulnerability%20is%20notable%20not%20because%20it%20relies%20on%20obscure%20exploitation%20techniques%2C%20but%20because%20it%20uses%20intended%20functionality%20exactly%20as%20provided.%20This%20makes%20it%20easy%20to%20exploit%2C%20hard%20to%20detect%2C%20and%20highly%20impactful%20in%20real%2Dworld%20environments%20where%20n8n%20operates%20as%20a%20central%20automation%20engine." target="_blank"><span style="color:#696969;">資安研究人員</span></a><span style="color:#696969;">認為n8n重大漏洞凸顯出，工作流程自動化平臺在企業環境中的實際風險定位，長期可能遭到低估。當此類平臺同時具備程式執行能力，卻未妥善劃清安全邊界時，便不再只是輔助性工具，而可能轉變為高風險的執行環境。</span></strong></p> <p><strong><span style="color:#696969;">該漏洞並非來自複雜的攻擊技巧，而是源於原本設計即允許的功能本身，使得攻擊門檻偏低，且相關行為不易被察覺。研究人員因此提醒，企業與組織應將自動化平臺正式納入資安治理與權限控管範疇，並重新檢視其在整體系統架構中的信任層級。</span></strong></p> </div></div></div>
1/8 17:38作者王珮瑤https://www.ithome.com.tw/news/173236
工作流程自動化平臺n8n又爆重大漏洞，攻擊者可藉表單流程存取底層檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源工作流程自動化平臺n8n官方公開重大資安漏洞<a href="https://github.com/n8n-io/n8n/security/advisories/GHSA-v4pr-fm98-w9pg">CVE-2026-21858</a>，嚴重度達CVSS 10.0。n8n在GitHub安全通報中指出，CVE-2026-21858影響版本為1.65.0含以前版本，並已在1.121.0版修補，建議使用者升級至1.121.0或更新版本。官方說明問題出在對外提供的表單相關流程，存在不當的Webhook請求處理行為，使未經驗證的遠端攻擊者有機會觸發特定流程而讀取底層伺服器檔案內容。</p> <p>資安業者Cyera Research Labs研究人員<a href="https://www.cyera.com/research-labs/ni8mare-unauthenticated-remote-code-execution-in-n8n-cve-2026-21858">發現</a>該漏洞，將漏洞命名為Ni8mare，並評估此弱點可導致本機部署的n8n實例遭到接管，推估全球可能影響約10萬臺伺服器，同時強調沒有官方替代緩解方案，處置重點仍是升級到1.121.0或更新版本。</p> <p>CVE-2026-21858漏洞影響範圍為1.65.0以前版本，n8n說明，問題出在對外提供的表單相關流程中，存在不當的Webhook請求處理行為，導致攻擊者可在不需帳號密碼的情況下，觸發流程存取主機上的檔案內容。由於n8n常被用來串接各式系統與雲端服務，一旦底層檔案可被讀取，外洩的可能不只是單一資料，而是足以影響後續存取控制的關鍵資訊。</p> <p>Cyera研究人員將問題歸咎於內容類型處理不一致所引發的解析混淆，讓表單流程在處理檔案上傳或附件資料時，可能在非預期的資料結構下繼續往下執行，進而讓攻擊者有機會把流程原本要處理的上傳檔，替換成主機上的既有檔案。研究人員也指出，在取得檔案讀取能力後，要是環境中還存在可用來建立管理者存取或執行命令的條件，整體風險就可能從資訊外洩擴大為完整接管。</p> <p>由於該漏洞沒有官方替代緩解方案，要是短期內無法升級，暫行作法是限制或停用對外公開的Webhook與表單端點，避免讓未驗證使用者可直接觸發相關流程，並在完成升級前檢視是否存在公開可用的表單工作流程。</p> <p>n8n在2025年12月也曾公告修補另一個高風險遠端程式碼執行漏洞<a href="https://www.ithome.com.tw/news/173006">CVE-2025-68613</a>，CVSS 9.9，影響0.211.0至1.120.3版，在特定部署與權限配置下，攻擊者可能藉由工作流程表達式評估機制取得執行任意程式碼的機會，進一步造成工作流程遭竄改、敏感憑證外洩，甚至擴大為整個n8n實例被接管。</p> </div></div></div>
1/8 17:10作者李建興https://www.ithome.com.tw/news/173235
駭客利用React2Shell並攻擊網頁應用程式防火牆FortiWeb，運用Sliver框架建立C2通道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>12月初React開發工程團隊揭露重大漏洞React2Shell（CVE-2025-55182），隨即就有國家級駭客用於實際攻擊行動，也有殭屍網路用來綁架Next.js應用程式伺服器，從事挖礦與DDoS攻擊，現在有人結合網頁應用程式防火牆（WAF）的資安漏洞從事活動。</p> <p>資安研究團隊Ctrl-Alt-Int3l指出，他們從資安公司Censys的威脅獵補情資當中，<strong><a href="https://ctrlaltintel.com/threat%20research/FortiWeb-Sliver/">發現曝露滲透測試框架Sliver C2資料庫與事件記錄的駭客團體</a></strong>，研究團隊根據這些資料庫、事件記錄，以及對應的基礎設施，掌握駭客成功入侵網頁應用程式防火牆FortiWeb並部署Sliver，過程裡利用了React2Shell，再者，他們也透過Fast Reverse Proxy（FRP）曝露受害組織的本地服務。</p> <p>Ctrl-Alt-Int3l總共看到30個IP位址被植入了Beacon，其中有許多受害組織集中於巴基斯坦與孟加拉，涉及金融產業與政府機關。此外，駭客也在與FortiWeb無關的中國主機植入Sliver。針對這起活動的發現，突顯了邊緣設備普遍缺乏EDR與防毒軟體的保護，而成為企業組織察覺資安威脅的盲點。</p> <p>對於駭客取得初期入侵的管道，研究人員推測是針對已知弱點下手，對於能透過網際網路存取的主機部署Sliver，過程裡利用了React2Shell，同時也對FortiWeb設備進行滲透，不過由於無法復原概念驗證攻擊工具（PoC），Ctrl-Alt-Int3l無法確定駭客利用的漏洞，僅有提及受害的FortiWeb主機大多為過時設備。</p> <p>特別的是，駭客部署的Sliver端點，還會同時設置誘餌網站來混淆研究人員，其中一個是Ubuntu套件網站，另一個為具有孟加拉招募空軍文宣的網頁，因此研究人員認為，孟加拉可能是攻擊者的主要目標。</p> <p>一旦他們成功部署了Sliver，就會在受害主機植入FRP，目的是建置代理伺服器的基礎設施，而且，駭客也使用開源工具microsock。</p> </div></div></div>
1/8 15:34作者周峻佑https://www.ithome.com.tw/news/173232
Palo Alto Networks有意以4億美元買下以色列資安新創Koi Security
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安大廠Palo Alto Networks於2025年買下多家資安公司，並<strong><a href="https://www.ithome.com.tw/news/172960">與Google簽訂多年協議進行更進一步的合作</a></strong>，近日傳出該公司打算併購甫成立不久的資安新創，引起科技及資安業界的高度關注。</p> <p>這項消息最早由<strong><a href="https://www.calcalistech.com/ctechnews/article/hj48m0vebe">以色列科技新聞網站CTech報導</a></strong>，Palo Alto Networks執行長Nikesh Arora去年12月前往以色列，與身分驗證解決方案公司CyberArk的員工會面，討論併購後續事宜的同時，也評估當地的資安新創是否有交易的機會。結果傳出Palo Alto Networks有意以4億美元的價格，買下2024年成立的Koi Security，若是這項消息屬實，代表Koi Security的投資者將快速獲利。對此，Palo Alto Networks與Koi Security皆未發表評論。</p> <p>對於Palo Alto Networks有意併購Koi Security的原因，主要是因為AI技術對資安領域帶來快速的變化，於是他們打算透過買下Koi Security，進一步整合XDR與EDR等資安防護方案。</p> <p>Koi Security由以色列國防軍8200情報兵團技術單位的校友於2024年成立，主要專精於企業端點防護的領域，最近幾個月他們的調查結果不斷登上新聞版面，其中包含多次現身於微軟Visual Studio Code延伸套件市集，以及Open VSX套件儲存庫的<strong><a href="https://www.ithome.com.tw/news/171854">蠕蟲程式GlassWorm</a></strong>，該惡意程式已將目標從Windows<strong><a href="https://www.ithome.com.tw/news/173132">轉向macOS用戶</a></strong>；另一個該公司多次公布的資安事故，是透過瀏覽器延伸套件散布惡意軟體的活動，其中又以先後發起<strong><a href="https://www.ithome.com.tw/news/172570">ShadyPanda</a></strong>、<strong><a href="https://www.ithome.com.tw/news/172985">GhostPoster</a></strong>，以及<strong><a href="https://www.ithome.com.tw/news/173220">Zoom Stealer</a></strong>的中國駭客DarkSpectre最引人注目，此外，他們也揭露有瀏覽器延伸套件<strong><a href="https://www.ithome.com.tw/news/172964">會攔截AI對話資料</a></strong>的現象。</p> <p>回顧2025年，Palo Alto Networks買下多家資安公司，其中金額最高的是<strong><a href="https://www.ithome.com.tw/news/170334">以250億美元併購CyberArk</a></strong>，再者，他們<strong><a href="https://www.ithome.com.tw/news/172585">以33.5億美元買下可觀測性平臺供應商Chronosphere</a></strong>；該公司於去年4月<strong><a href="https://www.ithome.com.tw/news/168652">入主新創公司Protect AI</a></strong>，外傳出價5億美元。</p> </div></div></div>
1/8 15:35作者周峻佑https://www.ithome.com.tw/news/173234
外傳Anthropic打算融資100億美元，估值達3,500億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>華爾街日報（Wall Street Journal，WSJ）<a href="https://www.wsj.com/tech/ai/anthropic-raising-10-billion-at-350-billion-value-62af49f4?st=kuwp8Q&reflink=desktopwebshare_permalink" target="_blank">本周引述消息來源報導</a>，AI聊天機器人Claude開發商Anthropic計畫以3,500億美元的估值，募集100億美元，接近2025年9月1,830億美元估值的兩倍。</p> <p>Anthropic是一家成立於2021年的美國人工智慧公司，由Dario Amodei與Daniela Amodei等前OpenAI成員共同創辦，其核心理念是透過明確原則來約束模型行為，降低偏誤、幻覺與濫用風險。Anthropic的主要產品為Claude系列大型語言模型，2025年底的目標是實現90億美元的年度經常性收入，更預期該數字到了2026年將達3倍。</p> <p>目前全球估值最高的前三大AI新創，依序是OpenAI、Anthropic與xAI。其中，OpenAI在2025年10月的估值為5,000億美元，但2026年初新展開的募資提案，就提高到7,500億美元左右；居次的即是Anthropic的3,500億美元；由馬斯克（Elon Musk）領軍的<a href="https://www.ithome.com.tw/news/173214" target="_blank">xAI在最近一次融資前</a>的估值為2,300億美元。</p> <p>英國金融時報（Financial Times，FT）<a href="https://www.ithome.com.tw/news/173136" target="_blank">曾報導</a>，OpenAI與Anthropic最快都可能在2026年首度公開發行股票（Initial Public Offering，IPO）。至於xAI則尚未傳出IPO計畫。</p> </div></div></div>
1/8 13:41作者陳曉莉https://www.ithome.com.tw/news/173230
TOTOLINK無線訊號強波器重大漏洞，可讓攻擊者完全控制裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>TOTOLINK已停產的無線訊號強波器（Wireless Extender）EX200 Extender存在一項重大漏洞，能讓遠端攻擊者全權接管系統。</p> <p>這項漏洞編號CVE-2025-65606，存在於已經EoL（End of Life）的TOTOLINK EX200韌體的韌體上傳（firmware-upload）處理單元（handler）。<a href="https://kb.cert.org/vuls/id/295169" target="_blank">根據CERT/CC說明</a>，該機制在處理某些變造過的韌體檔案時會發生異常。此時，TOTOLINK裝置會啟動，以root權限執行一個telnet服務，而且不需要驗證。一般情況下telnet介面是關閉的，而且不應曝露在網際網路上，因此該行為會產生不應出現的遠端執行介面。</p> <p>本漏洞是由研究人員Leandro Kogan通報。</p> <p>攻擊者若想利用本漏洞，他必須已是Web管理介面驗證過的使用者，才能存取韌體上傳功能。但一旦錯誤條件被觸發，就能讓未經驗證的telnet服務大開方便門，讓攻擊者掌握裝置完整控制權。攻擊者可能執行各種惡意行為，包括變更配置、執行任意指令、或在受害裝置建立持久的網路存取管道。</p> <p>TOTOLINK已證實EX200為停產產品，不會為此發布安全更新。因此用戶最好換新裝置，如果未能及時換新裝置，應立即限制管理介面僅允許受信任網路存取，以免有心人士存取管理介面，並留心陌生的telnet活動。</p> <p>本周<a href="https://www.ithome.com.tw/news/173225" target="_blank">D-Link也傳出</a>舊款DSL路由器產品發生指令注入漏洞CVE-2026-0625，為CVSS風險值9.3的重大漏洞。研究人員已在蜜罐環境中觀測到攻擊行為。</p> </div></div></div>
1/8 14:11作者林妍溱https://www.ithome.com.tw/news/173231
高通發表機器人開發平臺Dragonwing IQ10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在本周消費電子大展（CES）上，<a href="https://www.qualcomm.com/news/releases/2026/01/qualcomm-introduces-a-full-suite-of-robotics-technologies-power" target="_blank">高通（Qualcomm）宣布</a>Dragonwing IQ10作為家用及生產用機器人的開發平臺，加入人型機器人熱潮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0108-Dragonwing%20IQ10(1).png" style="width: 495px;" /></p> <p>這是在最新單系統PC晶片<a href="https://www.qualcomm.com/laptops/products/snapdragon-x2-plus" target="_blank">Snapdragon X2 Plus</a>外，高通另一個跨足新領域的宣示。X2 Plus整合CPU、NPU及GPU，CPU時脈達4.04GHz，較前代快35%，但功耗降低43%，可支援筆電運行數天。其NPU具備80 TOPS算力，時脈達1.7GHz。X2 Plus鎖定中階筆電和PC，搭載這款晶片的PC產品預計今年下半問世。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0108-Snapdragon%20X2%20Plus.png" style="width: 495px; height: 252px;" /></p> <p>高通指出，Dragonwing IQ10是以其安全等級的高效能單系統晶片（SoC）為基礎的實體AI全新端到端架構，提供高效能、低耗電的機器人AI大腦，支援開發各種form factor的機器人，從產線用的自主移動機器人（autonomous mobile robot,AMR）到真人大小的人型機器人或其他通用型機器人。</p> <p>Dragonwing IQ10包含高通的晶片與硬體架構及AI工具形成的技術堆疊。<a href="https://www.qualcomm.com/internet-of-things/products/iq10-series" target="_blank">根據官網</a>，IQ10硬體元件為一高整合度的機器人SoC系統，包括Oryon CPU，最高可到18核心、Hexagon NPU，算力最高可達700 TOPS、Adreno GPU（可用於繪圖及GPGPU負載）、支援多種OS及SDK、以及（最多可支援20多個）攝影感測器。高通的SDK則提供辨識物體/障礙物、方位辨識的視覺感知模型；抓取與放置、工具操作的動作與技能模組、機器人規劃行走路徑相關的路徑規劃與控制模組，以及結合視覺、語言、動作等AI模型的複合AI模型。</p> <p>這家晶片商宣稱使用IQ10的通用機器人架構具備強大的異質邊緣運算能力、邊緣AI、混合關鍵性系統（mixed-criticality systems）、機器學習運算及AI資料飛輪（flywheel），具備豐富開發工具套件的支援，並獲得眾多合作夥伴響應。這使得機器人能輕易理解物理環境、並夠智慧可適應空間及時間環境，而且能為不同尺寸機器人優化。</p> <p>高通也展示了一家越南機器人公司Vinmotion使用其前一代IQ9技術開發的Motions 2通用型人型機器人。影片中，Motions 2能蹲下來撿起一隻泰迪熊、單手擊破木板，或是背後下腰等高度擬人化動作。這家業者已計畫大量部署這款機器人。</p> <p>已經有多家機器人開發商與高通簽訂合作，包括Figure、研華（Advantech）、APLUX、Autocore、Booster Robotics及Robotech.ai等，同時也正和知名機器人業者庫卡（Kuka Robotics）討論開發次世代機器人的計畫。</p> </div></div></div>
1/8 12:57作者林妍溱https://www.ithome.com.tw/news/173229
英國車廠Jaguar Land Rover銷售下滑43%，網路攻擊事故是主因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>受到去年9月網路攻擊事件，導致工廠停工將近一個月，以及美國關稅影響，英國車廠Jaguar Land Rover上季全球車輛批發及零售出貨分別驟降43%及25%。</p> <p>根據Jaguar Land Rover（JLR）的<a href="https://media.jaguarlandrover.com/news/2026/01/jlr-q3-sales-impacted-cyber-incident-previously-indicated" target="_blank">會計年度2026年第三季財報</a>，批發出貨為5.9萬輛，較前一年減少43.3%，較上季減10.6%。零售出貨則為7.96萬輛，年減25.1%。</p> <p>JLR最新財報說明，網攻事件後該公司直到11月中旬，生產才回復到平日水準，加上車輛配銷全球的時間遞延，因而導致上季衰退的批發與零售數字。其他原因還包括上季該公司在推出新款Jaguar前，採取計畫性減產舊款Jaguar，以及今年美國關稅對JLR美國市場出口的負面影響。</p> <p>以各區域市場成績來看，上季JLR北美市場出貨受創最深，大減64.4%，歐洲及中國區則年減47.6%及46.0%，英國市場則衰退0.9%。</p> <p>JLR去年9月2日發生資安事故，被迫關閉系統並且暫停部份工廠營運。路透社報導JLR在英國的三座工廠，每天能生產1,000部Land Rover，每停工一星期將損失6,800萬美元，而網攻事件可能造成JLR兩座英國境內工廠停工。</p> <p><a href="https://www.ithome.com.tw/news/171829" target="_blank">第三方研究機構估計</a>，網攻事件對JLR造成約19億英鎊損失，為英國史上損失最大的資安事件。</p> </div></div></div>
1/8 11:24作者林妍溱https://www.ithome.com.tw/news/173227
不防外流也能防濫用，研究提出資料摻雜新作法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一群來自新加坡與中國的研究人員，近日發表一篇名為《<a href="https://arxiv.org/abs/2601.00274" target="_blank">Making Theft Useless: Adulteration-Based Protection of Proprietary Knowledge Graphs in GraphRAG Systems</a>》的論文，著重於在企業既有的知識圖譜（Knowledge Graph，KG）中摻雜資料，使得就算在資料外洩後，若駭客企圖利用GraphRAG（Graph Retrieval-Augmented Generation）將KG接上大型語言模型（LLM）進行推理，也只會得到錯誤或失真的結果。</p> <p>知識圖譜為一種結構化的知識表示方式，以實體（人、物、概念）以及它們之間的關係為核心，形成可被機器理解的知識網路。根據一份德國學者<a href="https://ceur-ws.org/Vol-2180/ISWC_2018_Outrageous_Ideas_paper_10.pdf" target="_blank">Heiko Paulheim的研究</a>，由專家人工撰寫的通用型知識圖譜專案Cyc的每筆Triple（KG基本單位）的成本約為5.71美元，就算是基於社群協作的Freebase每筆Triple成本也要2.25美元，相較之下，自動化KG的每筆Triple成本，只介於0.01至0.15美元之間。</p> <p>研究人員指出，企業內部所建立的知識圖譜往往屬於極具價值的智慧財產，因此面臨遭竊後被私下使用的高度風險，為了解決相關問題，他們提出了「藉由資料摻雜主動削弱可用性」（Active Utility Reduction via Adulteration，AURA）的作法，在原始的知識圖譜中，有策略地注入看似合理，結構且語意皆一致，但實際上錯誤的節點或關係。</p> <p>因此，當駭客使用被竊的知識圖譜進行GraphRAG檢索時，這些摻雜資料會被一併取回，進而誤導大型語言模型，導致推理錯誤、答案失真，讓整體系統可靠度大幅下降。</p> <p>AURA的關鍵在於資訊不對稱。對合法使用者而言，AURA會在每個節點與關係上嵌入加密的中繼資料標記，並搭配只有擁有者掌握的秘密金鑰，在檢索後、送入模型前，精準過濾所有摻雜內容，確保輸出結果與原始乾淨知識圖譜完全一致。</p> <p>而實驗結果顯示，AURA可將未授權系統的準確率壓低至5.3%，同時對合法系統幾乎不造成效能負擔。此外，就算駭客企圖透過各種方法來清理或修正被摻雜的知識圖譜，也會有大約80%由AURA摻入的假資料無法被移除。</p> </div></div></div>
1/8 12:05作者陳曉莉https://www.ithome.com.tw/news/173228
OpenAI發表ChatGPT Health 強調不會以用戶資料訓練模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/zh-Hant/index/introducing-chatgpt-health/" target="_blank">OpenAI昨日（1/7）宣布</a>ChatGPT健康（ChatGPT Health），提供使用者一個和ChatGPT專門討論或尋找健康資訊的地方，強調確保用戶健康資訊隱私與安全，不會以用戶對話和資料訓練基礎模型。</p> <p>OpenAI指出，全球迄今每周有2.3億用戶在ChatGPT上詢問健康和福祉相關的問題，ChatGPT Health因此應運而生，讓ChatGPT可依據用戶健康資料來提供回應。</p> <p>ChatGPT Health是OpenAI和60個國家260多位醫師和專科醫師合作，花費兩年時間打造並改進回應內容，著重安全、清晰度、健康助益及對個人的尊重。</p> <p>病歷及健康資訊極為敏感，OpenAI特別強調ChatGPT Health整合了隱私和安全設計。用戶健康資訊將儲存在ChatGPT的專屬空間，擁有自己的記憶體和隱私保護。ChatGPT中的對話和檔案在傳送（transit）及儲存（rest）狀態原本都已經過加密，而ChatGPT Health還額外加入專門的加密及隔離防護。OpenAI並承諾，ChatGPT Health中的對話都不會被用於訓練其基礎模型。</p> <p>ChatGPT Health定位為健康與醫療資訊的助理，用戶可將目前使用的健康紀錄或App，像是Apple Health、Function和MyFitnessPal等連結到ChatGPT Health，用它來了解最新體檢報告、檢驗數據、了解自己的健康狀況（如飲食、運動習慣）、比較保險方案、代用戶掛號，或是釐清醫療術語。</p> <p>另一方面，OpenAI強調ChatGPT Health目的是輔助而非取代專業醫療人員，也不提供醫療診斷或治療建議。</p> <p>ChatGPT Health預計在未來幾個星期內逐步開放，想使用的用戶需先在等候清單註冊。等到可以使用時，在側邊欄中選擇「健康（Health）」啟用，並可選擇將ChatGPT Health和健康記錄及App連結。之後就能如同一般ChatGPT使用這項新服務。除了上述知名App，ChatGPT Health也可串接Weight Watchers、AllTrails、Instacart、Peloton等健康/生活相關App。</p> </div></div></div>
1/8 10:39作者林妍溱https://www.ithome.com.tw/news/173226
D-Link多款停產DSL路由器曝重大漏洞，已出現攻擊利用跡象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="545" data-start="431">友訊科技（D-Link）多款已達產品生命週期終止（EoL）的DSL路由器，被揭露存在高風險命令注入漏洞，且相關攻擊行為已在蜜罐環境中被觀測到。<a href="https://www.cve.org/cverecord?id=CVE-2026-0625" target="_blank">該漏洞被編列為CVE-2026-0625</a>，CVSS風險分數高達9.3，屬於高風險等級。</p> <p data-end="685" data-start="547">漏洞情報公司<a href="https://www.vulncheck.com/advisories/dlink-dsl-command-injection-via-dns-configuration-endpoint" target="_blank">VulnCheck指出</a>，CVE-2026-0625源於路由器韌體中dnscfg.cgi端點對DNS設定參數的輸入驗證不足，導致未經身分驗證的遠端攻擊者可注入並執行任意Shell指令，進而造成遠端程式碼執行風險（Remote Code Execution，RCE）。</p> <p data-end="819" data-start="687">D-Link已針對CVE-2026-0625，<a href="http://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10488" target="_blank">於1月6日發布安全公告</a>，說明目前尚無法僅依產品型號判斷是否受影響，必須直接檢視設備韌體內容，因此正同步檢視已停產與仍受支援平臺的多個韌體版本，作為內部調查的一部分。此外，受影響的dnscfg.cgi端點，也與名為DNSChanger的惡意程式有關。</p> <p data-end="954" data-start="821">研究人員指出，DNSChanger是一類專門入侵路由器並竄改DNS設定的惡意程式，在2016年至2019年間，曾被用於針對DSL-2740R、DSL-2640B、DSL-2780B與DSL-526B等型號的多個韌體版本發動攻擊行動，顯示該類弱點並非首次被攻擊者關注。</p> <p data-end="1077" data-start="956">在VulnCheck於2025年12月16日向D-Link通報CVE-2026-0625之前，資安研究機構Shadowserver基金會已於2025年11月27日，在其蜜罐系統中觀測到針對該漏洞的攻擊行為證據。</p> <p data-end="1160" data-start="1079">D-Link證實，下列產品與韌體版本受到CVE-2026-0625影響，並已於2020年初宣告達到產品生命週期終止與服務終止，因此不再提供任何韌體更新或安全修補：</p> <p data-end="1255" data-start="1162">．DSL-526B：韌體版本≤2.01<br data-end="1184" data-start="1181" /><br /> ．DSL-2640B：韌體版本≤1.07<br data-end="1207" data-start="1204" /><br /> ．DSL-2740R：韌體版本<1.17<br data-end="1230" data-start="1227" /><br /> ．DSL-2780B：韌體版本≤1.01.14</p> <p data-end="1417" data-start="1257">研究人員提醒，dnscfg.cgi屬於路由器管理介面的CGI端點，若管理介面被誤設為可從外部網路存取，或使用者在內部網路環境中誤觸惡意內容，皆可能提高漏洞遭到濫用的風險。因此，仍在使用受影響DSL路由器的用戶應立即汰換設備；若無法即時更換，至少應將設備部署於非關鍵、隔離的網路環境中，並關閉遠端管理功能，以降低資安風險。</p> </div></div></div>
1/8 10:41作者王珮瑤https://www.ithome.com.tw/news/173225
第三方AI模型評測平臺LMArena完成1.5億美元A輪募資，估值達17億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名第三方AI模型評測平臺LMArena<a href="https://news.lmarena.ai/series-a/">宣布</a>完成1.5億美元A輪募資，募資由Felicis與加州大學投資機構UC Investments共同領投。路透社報導指出，該公司估值在約8個月內成長至約17億美元。</p> <p>LMArena表示，近一年生成式AI競爭加劇，讓可重現、可驗證的模型評測需求變得更迫切。模型開發團隊需要更具體的回饋來改善模型，企業用戶也需要更可靠的依據，以判斷哪一種模型在自身情境下表現較好，因此LMArena選擇在此時點加碼投資評測基礎設施，並擴充產品與研究能量。 </p> <p>該公司最早以研究計畫形式起步，核心概念是把不同模型的回覆以匿名方式並排呈現，讓使用者在看完回答後投票選出較佳的一方，並將結果彙整成公開排行榜，反映更接近真實使用情境的人類偏好。</p> <p>LMArena官方將平臺成長歸因於社群參與，並表示自2025年5月宣布完成1億美元種子輪募資後，社群規模在不到一年內成長超過25倍，且在文字、視覺、網頁開發、搜尋、影片與影像等任務型態累積5,000萬次投票，新增超過400項模型評測，並釋出14.5萬筆開源對戰資料點，涵蓋文字、多模態、專家與職務類別等資料集。</p> <p>LMArena在公告中指出，AI實驗室之間的競爭帶動對嚴謹且可重現評測的需求，平臺希望提供更貼近日常工作情境的測試環境與資料，協助開發者理解模型在不同任務下的差異，並讓評測結果更能對齊實際使用方式。官方表示，將把新增資金用於平臺營運擴張，擴編技術團隊，並強化研究能力，以支撐更大規模、可重現的評測工作。</p> <p>LMArena也向參與者致意，點名測試、投票、回報問題與提供建議的使用者，認為這些真實互動構成平臺能持續運作的資料基礎。對外在募資與產品擴張之外，公司也承諾2026年將持續把平臺功能與研究方法往可驗證、可擴充的方向推進。</p> </div></div></div>
1/8 08:08作者李建興https://www.ithome.com.tw/news/173223
整合4署1院資源力推IT組改，環境部要讓IT部門成為AI推手
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著工業製造產生大量的環境污染物，加上極端氣候帶來的暴雨、強風，大型氣候造成的災情影響民眾的生命安全及財產，對經濟也造成莫大的損失，環境治理成為各國當前面臨的挑戰，為加強對我國環境保護及氣候變遷的治理能力，國內已有35年以上歷史的行政院環保署，終於在2023年升格為環境部，透過升格為部會，挹注更多資源強化環境治理及氣候變遷的應變能力。</p> <p>從行政院環保署到環境部，代表政府對加強環境保護的重視，也代表環境治理從早期的工業廢水、廢氣等環境公害、環境衛生處理到更大的環境治理，從環保署成立不久便加入，在環保部門工作已超過30年之久的環境部環境資訊科技司長張順欽，深深體會環境治理和資訊科技發展有著難以切割的關係。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>環境監測能力仰賴資訊科技發展</strong></span></span></p> <p>張順欽回想他在1989年進入環保署時，當時的部門稱為環境監測及資訊處，由於當時的資訊科技還不普及，無線網路通訊也不發達，環境監測需與資訊單位緊密合作，他以空氣品質監測為例，當時環保署在全臺建置19個空氣品質監測站，光是蒐集各地的空氣品質監測數據，當時對他們而言就是一大挑戰，例如必需設法蒐集遠在高雄或是玉山上的空氣監測數據，必需克服電力供應、網路通訊才能將數據蒐集回來。</p> <p>「對於現在習慣使用通訊網路的年輕人而言，資料傳輸是很容易事情，但是在當時資料傳輸卻是不得了的事情」，張順欽說。</p> <p>在那時網路並不普及的年代，環保署為了蒐集各地測站的數據，先採用分散式處理，各地監測數據先計算出小時平均值再回傳；張順欽回想當時仍採用大型主機架構，假日仍需要人員值班蒐集數據，僅僅是蒐集各地回傳的資料就是一項負荷頗重的工作，後續製作報表、列印等等，才能掌握各地的空氣品質狀態，提供環境治理上的決策參考。</p> <p>隨著資訊科技快速發展、高速網路普及、無線通訊傳輸技術突破之下，現今空氣品質監測站已遍布各地多達80站，無線網路寬頻通訊技術也突破固定網路的傳輸限制，不只是定點的監測站，還有行動監測車移動到各個地蒐集當地空氣品質數據，使空氣品質數據涵蓋更廣泛的地區。</p> <p>80個空氣品質監測站遍布各地，每個測站十多個測試項目數，每天24小時全天候監測，數據量相當可觀，更高度仰賴IT資訊科技來協助蒐集這些數據，早期各地監測站計算回傳每小時平均值，現在已能做到每6秒回傳一次數據，在環境部官網上除了呈現每小時平均值之外，還提供每分鐘的空氣品質資料，讓重視空氣品質的民眾每天生活能夠更即時了解空氣品質變化，降低因空氣中污染物濃度影響健康的風險，也有助於政府環境保護的治理決策。</p> <p>在環境監測及資訊部門超過30年的工作經歷，張順欽深深體會過去30多年來政府機關的資訊化發展過程，特別是IT工作的重要性，在環保署升格為環境部後，接任環境部監測資訊司長，一肩扛下環境部今後科技治理轉型的重責大任。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>成立環境資訊科技司推動部內AI發展</strong></span></span></p> <p>2025年10月中旬，環境部正式成立環境資訊科技司，其前身正是監測資訊司，張順欽則擔任環境資訊科技司首位司長，新成立的環境資訊科技司更被視為環境部內的AI司，首要任務便是整合環境部內的IT資源來加速推動AI應用，以提升行政辦公效率，並強化環境治理工作。</p> <p>張順欽指出，彭啟明部長有感近期人工智慧技術發展相當快速，不論國內或國外都積極想要趕上這股風潮，AI也被形容為第四次工作革命，如同行動電話從早期的黑金鋼到現在成為大家每天生活中重要的溝通工具，IT資訊科技的應用將會愈來愈頻繁。</p> <p>但是在環境資訊科技司成立之前，原來的監測資訊司底下僅有兩個科，而在環境部下的4署1院，氣候變遷署、資源循環署、化學物質管理署、環境管理署及國家環境研究院，署院各自有1個簡易的資訊科，環境部內部的IT編制分散及人力資源有限之下，難以支援環境部的AI治理的趨勢下。</p> <p>以推動AI發展最基礎的是資料治理為例，各署院資訊人力資源分散且有限，對於推動AI發展缺乏效率，各署院分散的IT單位也容易重覆投入資源，需要集中分散的IT資源提高效率。「導入AI的過程中，如果有專門的部門來協助各署院，遇到的困難會少一些」，張順欽說。</p> <p>因此環境部從環保署升格僅僅2年多的時間，又在人事行政總處及數發部支持之下，花費數個月的時間調整現有規程，旋即成立環境資訊科技司，這個在環境部內被稱為AI司的資訊部門，將原本監測資訊司原本的環境監測單位轉移到其他單位，保留原本的資訊單位及資安業務，還整合其他署院的IT單位，整合整個部內的資訊人力資源，目前環境資訊科技司底下有6個科。</p> <hr /> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1268-CIO-600-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <hr /> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>大力推動AI應用提升環境治理效率</strong></span></span></p> <p>近幾年由於極端氣候引發的災情，環境治理工作變得更為龐雜繁重，更是受到外界不小的關注，環境保護部門承受不小的壓力。</p> <p>以2025年下半年為例，國內發生不少與環境治理相關的重大議題，例如丹娜絲颱風於7月來襲，產生大量石棉瓦廢棄物，如何清運以降低對環境的衝擊；此外，丹娜絲颱風造成高達12.1萬片的太陽能光電板受損，部分的太陽能光電板設置於水庫等環境高度保護的地區，大量光電板廢棄物如何清運，以及可能對周遭環境產生的影響評估引發關注。</p> <p>而在花蓮光復鄉因上游堰塞湖潰堤造成溢流導致的嚴重災情，事後復原工作該如何清理大量泥沙，以及從受災民眾家中清出的大量泡水廢棄物；還有臺中養豬場爆發非洲豬瘟事件，所引發的廚餘管理問題等等，這些都和環境治理有著難以切分的關係。</p> <p>「AI已形成一個重要的趨勢，如何導入AI來協理處理日益龐雜的環境治理業務，已成為現代環境治理上的重要思考切入點，不僅是部長的期待，也是行政院推動行創新AI內閣的目標」，張順欽說。</p> <p>環境資訊科技司的成立也突顯部長彭啟明的大力支持，對於IT部門協助各單位推動AI應用發展的高度重視。</p> <p>張順欽透露來自民間產業的部長相當重視效率，對於簡報的要求比較高，同仁製作的簡報，有時部長不滿意又想避免造成同仁負擔，甚至會自己製作簡報，或運用AI工具，部長也時常在會議中關心在業務中如何導入AI以提升效率。</p> <p>張順欽回想彭部長於2024年5月20日上任時，來自民間的部長已使用ChatGPT一段時間，他曾詢問同仁是否使用ChatGPT，那時很少人使用過，因此部長相當重視導入AI工具來提升業務效率。</p> <p>為了鼓勵員工使用AI，他們先在2024年開始推動AI的培力計畫，提供訓練課程為各單位部門培訓種子人員，培養學習正確使用AI工具及觀念，避免可能帶來的風險，再由種子人員在各單位推廣如何在公務上使用AI工具，強調以人為本的協作模式。</p> <p>環境部也在2025年3月開始在信箱導入Google的Gemini，現在已有7成的環境部員工習慣使用Gemini協助處理公務，例如協助草擬致詞稿、製作會議紀錄等等。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>建立資料倉儲平臺為未來AI發展打下基礎</strong></span></span></p> <p>推動AI發展的基礎是先做好資料治理，過去在環保署時期已建立資料基礎，例如空氣、水、土壤等監測資料，並且已與其他機關建立資料交換的機制，但是資料可能分散各個業務部門管理，不容易尋找及利用。</p> <p>為了進一步深化資料治理，他們在幾年前已建置資料倉儲平臺，一方面整合各單位自建資料庫的分散資料，另一方面讓沒有建立資料庫的部門單位將資料匯進資料倉儲，例如環境部經常委外調查，委託研究單位或民間公司調查所蒐集的資料，這些資料並沒有建置專門的資料庫，僅以Excel紀錄下來，可能因承辦人或委託公司後續異動找不到資料，環境部現在對外委託調查，在合約中要求外部單位提供蒐集的資料。</p> <p>張順欽指出，資料治理首先是將環境部內各司署院單位資料收攏回來，其次是跨部會的資料蒐集，是今後環境部的資料治理重點。目前先匯整分散的資料，所有資料收進資料倉儲後，再檢視資料的品質並建立詮釋資料，為日後資料利用奠定基礎。</p> <p>環境資訊科技司成立後，整合有限的資訊人力，內部成立一個科專門負責資料治理相關的工作；此外，環境資訊科技司推動AI應用發展，需要和業務單位緊密合作，未來可能提供顧問建議的方式參與業務單位AI應用發展，從跨單位的角度評估合適作法，避免重複或過度投資的問題。</p> <p>目前環境部內已發展一些AI應用，例如AI的自動公文分文，減輕人工分文的負擔；另外，環境部目前也在測試AI輔助公文製作，由於人員流動快速，人員不一定熟悉特定公文的製作，由AI找出過去公文範本、辦理流程等等，讓不熟悉的員工參考學習如何製作公文，至於會計部門則有智慧請購。</p> <p>未來也規畫發展對外的AI應用，例如24小時全天候的智慧客服。另外，環境部邀請各界參與的環境評估會議或調查，利用AI檢視相關環評書件資料的格式、內容等等。</p> <p>張順欽表示，未來環境資訊科技司會和業務單位合作，盤點重覆性高且繁雜的工作，未來希望每年推動至少3項AI應用驗證示範計畫。環境資訊科技司也會扮演部內顧問輔導的角色，協助各業務單位的AI應用發展，做好風險控管，將驗證成果輔導業務單位運作。導入AI的目的為減少重工與重複流程，提升跨單位資料共享與決策效率，除了建立AI治理標準與風險評估，並培養AI導入能量與制度化流程。</p> <p>除了加速導入AI提升行政效率、對外溝通及民眾服務體驗，也會建立內部AI倫理規範，建立審查機制、風險評估及影響分析，部內也建立AI治理中心，定期審議落實的情形。文⊙蘇文彬</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> CIO小檔案 </span></strong></span></p> <p><strong>環境部環境資訊科技司長張順欽</strong></p> <p>學歷：中央大學環境工程所博士</p> <p>經歷：1989年進入行政院環保署工作，1992年升任環保署環境監測及資訊處科長，隨後歷任副處長、處長等職務，後續轉任環境檢驗所所長，2023年環保署升格為環境部，轉任國家環境研究院代理院長、大氣司長、監測資訊司長等工作，2025年10月擔任環境資訊科技司長。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1268-CIO-300-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 機關檔案 </span></strong></span></p> <p><strong>環境部</strong></p> <p>●地址：臺北市中正區中華路一段83號</p> <p>●網址：https://www.moenv.gov.tw/</p> <p>●成立時間：2023年由環保署升格為環境部</p> <p>●主要業務：因應國際淨零排放趨勢及全球環境變遷，系統性處理氣候變遷、資源循環、化學物質管理、環境品質管理及強化環境科研等五大環境議題</p> <p>●部長：彭啟明</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：張順欽</p> <p>●資訊部門主管姓名：環境資訊科技司</p> <p>●IT預算：約9,800萬元</p> <p>●資訊部門人數：24人</p> <p>●資訊部門分工：業務資訊服務科、資料科學分析科、行政資訊服務科、資訊科技應用科、資料治理發展科、資安防護管理科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> IT大事記 </span></strong></span></p> <p>●2002年：空氣品質監測網上線</p> <p>●2013年：推出環境即時通APP</p> <p>●2021年：稽查平臺自動推播環境異常警報功能上線</p> <p>●2022年：環境資料開放平臺改版上線</p> <p>●2023年：環保署升格為環境部，「監測資訊處」改為「監測資訊司」</p> <p>●2024年：啟動環境部數位轉型推動計畫</p> <p>●2025年：成立人工智慧與資料治理中心；「監測資訊司」轉型為「環境資訊科技司」；建置智慧客服平臺及環境資料匯流展示平臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1268-cio-she_ying_-hong_zheng_wei_-960.jpg" width="960" height="420" alt="" title="環境部環境資訊科技司長張順欽　（攝影／洪政偉）" /></div></div></div>
1/8 06:00作者蘇文彬https://www.ithome.com.tw/people/173139
npm被當成釣魚基礎設施，27個惡意套件鎖定企業帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>聚焦開源軟體供應鏈安全的美國資安新創<a href="https://socket.dev/blog/spearphishing-campaign-abuses-npm-registry" target="_blank">Socket近日揭露</a>一起高度客製化的魚叉式網釣攻擊行動，駭客利用6個不同的npm帳號，上傳至少27個惡意npm套件，這些套件被用來投放可在瀏覽器中執行的釣魚頁面，先偽裝成企業文件分享流程，再引導至仿冒的微軟登入畫面，以竊取受害者的微軟帳號憑證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0108-npm-2-by%20Socket.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><a href="https://socket.dev/blog/spearphishing-campaign-abuses-npm-registry" target="_blank"><span style="color:#696969;">Socket</span></a></span></p> <p>遭到駭客鎖定的受害者會先收到網釣電子郵件，主題多為文件分享、詢價單或合約資料，郵件內含一個文件連結，但實際指向npm生態系的官方內容傳遞網路（CDN），如unpkg或jsDelivr；點擊後，頁面宣稱需要先驗證身分才能查看文件，隨後轉至偽造的微軟登入畫面，而且已預先填入目標對象的電子郵件地址，以登入逾時為由要求受害者重新登入並輸入密碼，該憑證即被傳送至駭客所控制的伺服器。</p> <p>值得注意的是，這些惡意的npm套件中直接硬編碼特定對象的電子郵件地址，顯示駭客在發動攻擊之前，已事先鎖定受害者並量身設計釣魚流程，至少有25名目標對象被鎖定，高度集中於製造、工業自動化、塑膠與醫療產業中的業務與商業開發人員，且主要分布於美國與其盟國，包括臺灣、奧地利、英國、比利時、加拿大、法國、德國、義大利、瑞典、葡萄牙及西班牙等。</p> <p>研究人員分析，這些角色平常即頻繁處理詢價單、文件分享及對外聯繫，透露出駭客是特意選擇會實際點開郵件的人下手；另也猜測遭到鎖定的企業人員的資料很可能是因為參展而外洩。</p> <p>Socket指出，與一般惡意套件不同，這次攻擊並不要求受害者實際安裝npm套件，其真正目的在於將npm及其官方CDN重新用作釣魚頁面的託管基礎設施。此舉不僅較不容易遭企業資安設備封鎖，也能在不需安裝任何程式的情況下降低受害者戒心；即使套件遭下架，攻擊者仍可快速更換帳號與套件名稱，持續發動攻擊。</p> </div></div></div>
1/8 06:01作者陳曉莉https://www.ithome.com.tw/news/173224
兩款惡意Chrome擴充套件洩漏ChatGPT與DeepSeek對話內容，累計安裝超過90萬次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者OX Security<a href="https://www.ox.security/blog/malicious-chrome-extensions-steal-chatgpt-deepseek-conversations/">指出</a>，Chrome線上應用程式商店出現兩款惡意擴充套件，會將使用者在ChatGPT與DeepSeek的對話內容連同瀏覽資料外傳至攻擊者控制的伺服器。兩個套件在商店頁面分別顯示約60萬與30萬名使用者，合計超過90萬。研究人員另指出，其中一款曾帶有Chrome線上應用程式商店的精選徽章，增加其在搜尋結果與推薦位置的曝光機會。</p> <p>遭研究人員點名的兩款擴充套件分別為Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI，以及AI Sidebar with Deepseek, ChatGPT, Claude and more。這兩款套件在商店頁面主打可在瀏覽器內提供AI側邊欄，讓使用者在任何網頁上直接呼叫ChatGPT、DeepSeek等模型進行對話與輔助寫作、摘要等工作。</p> <p>研究人員指出，攻擊者正是利用這類看似便利的AI側邊欄功能作為包裝，仿冒Aitopia的合法AI側邊欄擴充套件外觀與描述，讓套件看似可正常使用以降低戒心，並在背景蒐集及外傳資料。而且攻擊者利用AI驅動的網頁開發平臺Lovable架設隱私政策與解除安裝導流等頁面，增加追查來源的難度。</p> <p>雖然套件名稱與介面宣稱支援包括Claude等多個模型服務，但研究人員在這次分析中，主要確認遭外傳的是使用者在ChatGPT與DeepSeek的對話內容，以及瀏覽分頁網址等資料。</p> <p>這兩款擴充功能除了會外傳使用者的AI對話內容，還同時蒐集所有Chrome分頁的完整網址，並以約每30分鐘一次的頻率彙整後批次送往攻擊者控制的伺服器。由於網址往往包含搜尋關鍵字與各種參數，一旦外洩，攻擊者就可能據此拼湊出使用者的瀏覽輪廓與工作情境。惡意程式會以蒐集匿名分析資料為由引導使用者同意，但實際外傳的是完整對話內容與瀏覽資訊。</p> <p>研究人員已於2025年12月29日向Google通報，並在12月30日收到回覆稱案件正在審查。研究人員建議已安裝者盡速移除相關擴充套件，並回溯近期在ChatGPT或DeepSeek輸入過的敏感內容，視情況更新可能暴露的帳號憑證與存取金鑰。組織端則可將瀏覽器擴充套件納入資安稽核與白名單管理，並以權限需求與資料處理揭露作為基本檢核點，避免僅因商店排名或標章而放寬安裝門檻。</p> </div></div></div>
1/8 06:11作者李建興https://www.ithome.com.tw/news/173222
【資安日報】1月7日，殭屍網路Kimwolf透過固定代理伺服器網路進行擴散
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173212"><strong style="font-size: 22px;">殭屍網路Kimwolf勢力擴大，透過代理伺服器服務的網路環境綁架逾200萬臺安卓裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/9fec4b913297666efa24d4d470e38cfc.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/9fec4b913297666efa24d4d470e38cfc.png" style="width: 300px; float: right;" /></a></p> <p>半個月前，中國資安公司奇安信揭露感染逾180萬臺電視盒與數位電視的大型殭屍網路Kimwolf，並推測就是最近兩年多次發動大規模DDoS攻擊的殭屍網路Aisuru另起爐灶，現在有其他資安公司加入調查的行列，並公布新的發現。</p> <p>資安公司Synthient指出，Kimwolf大約從2025年8月開始積極活動，迄今他們確認至少有超過200萬臺安卓裝置遭到感染，主要的感染途徑是透過固定代理伺服器（Residential Proxy）的網路環境，對於曝露在公開網路環境、啟用Android Debug Bridge（ADB）服務的裝置，部署殭屍網路病毒。由於此殭屍網路仰賴固定代理伺服器擴大勢力，因此，該公司呼籲所有代理伺服器供應商，封鎖高風險的連接埠，並限制本地網路環境的存取；他們也提供使用者檢測工具，確認電視盒是否遭到感染。</p> <p>針對Kimwolf快速成長的原因，Synthient認為是利用固定代理伺服器網路的漏洞而得逞，該公司根據他們設下的蜜罐陷阱，看到來自江蘇艾迪信息科技代理伺服器服務IPIDEA的攻擊活動，並在11月12日出現增加的現象，駭客鎖定的網域名稱，會特別針對指向執行代理伺服器軟體開發套件（SDK）的裝置進行解析。</p> <p><a href="https://www.ithome.com.tw/news/173183"><strong style="font-size: 22px;">殭屍網路RondoDox將重大漏洞React2Shell納入武器庫，綁架Next.js應用程式伺服器</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6952657e1aadf4796887d7c3_7db22137.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6952657e1aadf4796887d7c3_7db22137.png" style="width: 300px; float: right;" /></a></p> <p>鎖定物聯網裝置資安漏洞而來的殭屍網路RondoDox，最早是半年前資安公司Fortinet發現相關活動，當時他們看到駭客大肆掃描TKB的DVR設備作業系統命令注入漏洞CVE-2024-3721，以及中國網路設備廠商廈門四信科技工控路由器命令注入漏洞CVE-2024-12856，如今有資安公司指出，此殭屍網路的活動最早可追溯到2025年3月。</p> <p>威脅情報公司CloudSEK指出，RondoDox從12月上旬開始轉換主要攻擊目標，利用CVE-2025-55182（React2Shell）綁架Next.js應用程式伺服器，後續進一步更換基礎設施從事相關活動，該公司從12月13日起，不到一週，已發現超過40起重複的攻擊活動。此殭屍網路病毒迄今已發展出超過10個變種，CloudSEK也確認有6臺C2伺服器用於相關活動。</p> <p>RondoDox鎖定Next.js應用程式伺服器的漏洞利用活動，大致可分成兩個階段，12月8日至16日進行漏洞掃描，尋找存在React2Shell的伺服器，接著從12月13日開始，透過Node.js於目標主機植入殭屍網路病毒，隨後下載ELF二進位檔案並於背景執行。這些ELF檔包含Mirai變種、挖礦軟體，以及殭屍網路載入工具。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/173220"><strong style="font-size: 22px;">中國駭客DarkSpectre鎖定Chrome、Edge，以及Firefox用戶散布惡意軟體，880萬用戶恐曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/694d293748a0145573112281_code2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/694d293748a0145573112281_code2.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Koi Security近日公布Zoom Stealer攻擊行動，中國駭客組織DarkSpectre針對Chrome、Edge，以及Firefox用戶而來，將惡意程式偽裝成會議工具並上架延伸套件市集Chrome Web Store、Edge Add-ons，以及Firefox Add-ons，目的是蒐集企業組織的會議情報，並建立能夠搜尋的資料庫。一旦使用者不慎安裝這些延伸套件，瀏覽器就會要求超過28種視訊會議平臺的存取授權，並透過WebSocket將線上會議的內容傳送給攻擊者，這些有問題的套件已被下載220萬次。值得留意的是，前幾個月出現的攻擊活動ShadyPanda與GhostPoster，也是這組人馬所為，三波活動的惡意套件總計被安裝了880萬次。</p> <p>針對發現Zoom Stealer的過程，起因是Koi Security對於ShadyPanda進行後續追蹤，結果發現名為Twitter X Video Downloader的怪異套件，此套件與ShadyPanda共用核心基礎設施，但特徵與行為卻有所不同，不僅會監控使用者及外洩資料，還會進一步從視訊會議平臺收集會議情報，因此該公司認定是獨立於ShadyPanda的攻擊行動，並命名為Zoom Stealer，他們一共找到18個惡意套件，這些套件皆具備駭客宣稱的功能，其中一款稱為Chrome Audio Capture的套件，下載次數最多，突破80萬次。</p> <p>Koi Security也公布另外兩起活動的最新調查結果，其中，ShadyPanda的惡意套件先前確認已被下載430萬次，他們後續找到另外一百多個有關的延伸套件，有9個出現明顯的惡意行為，另有85個目前無害的套件，駭客後續將會透過更新進行武器化，相關套件累積被下載560萬次。</p> <p><a href="https://www.ithome.com.tw/news/173217"><strong style="font-size: 22px;">加密貨幣錢包Trust Wallet的Chrome延伸套件遭駭，起因是開發環境遭Shai-Hulud供應鏈攻擊釀禍</strong></a></p> <p>去年底加密貨幣錢包服務Trust Wallet的Chrome延伸套件遭駭，許多用戶於社群回報資產被洗劫，當時經營團隊推測，攻擊者疑似透過外流的Chrome Web Store API金鑰得逞，從外部提交惡意版本，以便繞過發布流程的檢查作業，究竟駭客如何取得金鑰，後續Trust Wallet指出，可能與近期發生的軟體供應鏈攻擊有關。</p> <p>12月30日Trust Wallet公布新的調查結果，指出攻擊者取得金鑰的來源，應該就是11月發生的NPM蠕蟲供應鏈攻擊活動Sha1-Hulud（Shai-Hulud 2.0），他們藉此取得延伸套件的原始碼，以及API金鑰，從而在Chrome Web Store發布具有後門的惡意延伸套件，收集用戶的錢包敏感資料。</p> <p>該維運團隊也進一步說明影響範圍，凡是在12月24日至26日期間，曾使用2.68版Chrome延伸套件登入錢包的使用者，就有可能遭殃，他們已在這些用戶套件上顯示警訊，估計有2,520個錢包遭到掏空，損失達到約850萬美元，駭客使用17個錢包移轉這些資產。</p> <p><a href="https://www.ithome.com.tw/news/173190"><strong style="font-size: 22px;">Google修補Chrome高風險漏洞，WebView安全缺陷恐遭濫用</strong></a></p> <p>Google於1月6日發布桌面版Chrome穩定通道更新，涵蓋Windows（143.0.7499.192）、macOS（143.0.7499.193），以及Linux（143.0.7499.192）平臺，並將於未來數天至數週內分批推送。此次更新共修補1項高風險資安漏洞CVE-2026-0628。</p> <p>Google指出，CVE-2026-0628源於WebView標籤中的政策落實不足，在特定情境下，可能被攻擊者濫用以繞過既有的安全限制。由於該漏洞被評為高風險等級，Google表示，在多數使用者完成更新前，將暫時限制漏洞細節與相關連結的公開。</p> <p>該漏洞由外部資安研究人員Gal Weizman於2025年11月通報，Google未提及是否出現漏洞濫用活動，而且，目前其CVSS風險評分尚未公布，美國NVD、歐盟EUVD等漏洞資料庫也沒有此漏洞的細部資訊。</p> <p><a href="https://www.ithome.com.tw/news/173028"><strong style="font-size: 22px;">ChatGPT Atlas代理模式更新，引入對抗式訓練防提示詞注入攻擊</strong></a></p> <p>OpenAI在ChatGPT Atlas的代理模式推出安全更新，替瀏覽器代理導入新的對抗式訓練模型檢查點，並強化周邊防護機制。OpenAI表示，更新主因是透過內部自動化紅隊演練發現一類新的提示詞注入攻擊手法，因此先行修補，以降低代理在執行使用者任務時被誤導的風險。</p> <p>所謂代理模式，是讓系統在使用者瀏覽器中讀取網頁內容並代為點擊與輸入，也可能在處理郵件、文件或行事曆等工作流程中接觸到大量外部內容。OpenAI提醒，當代理能在登入狀態與既有工作脈絡下採取動作，攻擊者就可能把惡意指令混入郵件、附件、共享文件或一般網頁，誘使代理把不受信任的文字誤當成應遵循的指令，導致偏離使用者原本的要求。</p> <p>當自動化紅隊發現新的有效攻擊模式，防守端就把這些案例納入對抗式訓練，並把攻擊軌跡用來改善模型以外的防護堆疊，例如監控機制、放入模型脈絡的安全指示，以及系統層保護措施，讓代理在接觸不受信任內容時更能維持以使用者意圖為優先的判斷，並在關鍵動作前要求確認。</p> <p><a href="https://www.ithome.com.tw/news/173182"><strong style="font-size: 22px;">CISA針對Whill電動輪椅重大漏洞提出警告，攻擊者恐透過藍牙裝置接管</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）發布工業控制系統醫療資安通報，指出日本行動輔具業者Whill的電動輪椅Model C2與Model F，存在嚴重藍牙弱點CVE-2025-14346，CVSS v3.1分數為9.8，屬重大風險等級。一旦遭利用，攻擊者只要在藍牙有效範圍內，就可能接管裝置控制。</p> <p>該漏洞根源在於裝置未對藍牙連線功能落實身分驗證，裝置在設計上可能接受未經授權的連線或指令請求，使得近距離的第三方有機會介入控制。CISA將影響範圍列為Model C2與Model F的所有版本，並提醒部署單位先做影響分析與風險評估，再決定採取的防護措施與更新節奏。CISA也在通報中說明，該漏洞由資安研究團隊QED Secure Solutions發現。</p> <p>CISA表示，目前尚未收到針對該漏洞的公開已知利用案例回報。不過由於評分與影響面向偏高，組織仍應依資產盤點與漏洞管理流程，確認院內或據點是否使用相關型號，並持續追蹤廠商更新與緩解資訊。通報也提到Whill已於2025年12月29日部署緩解措施，並建議需要更多資訊可直接聯繫原廠。</p> <p><a href="https://www.ithome.com.tw/news/173080"><strong style="font-size: 22px;">Airoha藍牙音訊晶片曝三漏洞，可能讓攻擊者控制耳機並冒充連上手機</strong></a></p> <p>資安研究人員Dennis Heinze與Frieder Steinmetz公開Airoha藍牙音訊系統單晶片相關研究的完整技術細節，指出多款採用該廠牌SoC的藍牙耳機與無線耳機，可能因三項漏洞被攻擊者在藍牙距離內濫用，不只可能影響耳機本身，還可能在特定條件下進一步冒充耳機與使用者手機建立受信任連線，衍生出竊聽與通話操控等風險。</p> <p>該研究重點在於CVE-2025-20700、CVE-2025-20701，以及CVE-2025-20702，前兩者與低功耗藍牙與經典藍牙有關，部分裝置未強制要求已配對裝置才能連線或存取服務，使攻擊者在附近即可嘗試連接並互動。</p> <p>CVE-2025-20702進一步指向自訂RACE協定的高風險能力，研究團隊指出該協定原本用於工廠測試或除錯，卻可能透過藍牙通道被外界存取，並提供讀寫RAM與快閃記憶體等能力，讓攻擊面從一般音訊控制，擴大到資料擷取與持久性改寫。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-d-link-flaw-in-legacy-dsl-routers-actively-exploited-in-attacks/">D-Link已終止支援路由器出現重大層級的零時差漏洞，已被用於實際攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/two-chrome-extensions-caught-stealing.html">惡意Chrome延伸套件竊取ChatGPT與DeepSeek交談內容，90萬用戶受影響</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/jaguar-land-rover-wholesale-volumes-down-43-percent-after-cyberattack/">英國車廠Jaguar Land Rover銷售下滑43%，網路攻擊事故是主要因素</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/new-n8n-vulnerability-99-cvss-lets.html">工作流程自動化工具n8n出現近滿分重大漏洞N8scape，取得權限的攻擊者可竄改工作流程</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/veeam-patches-critical-rce-flaws-in-latest-backup-replication-release/">Veeam發布備份軟體更新，修補高風險RCE與權限提升漏洞</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173184"><strong>【1月6日】中國APT駭客鎖定臺灣關鍵基礎設施而來，能源產業是頭號目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173162"><strong>【1月5日】臺灣處於亞太APT威脅風暴核心，受害次數占全球三分之一</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173134"><strong>【1月2日】第三波蠕蟲Shai Hulud變種現身NPM儲存庫</strong></a></p> </div></div></div>
1/7 17:23作者周峻佑https://www.ithome.com.tw/news/173221
中國駭客DarkSpectre鎖定Chrome、Edge，以及Firefox用戶散布惡意軟體，880萬用戶恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客透過瀏覽器延伸套件散布惡意軟體的現象，最近一起是針對<strong><a href="https://www.ithome.com.tw/news/173096">加密貨幣錢包Trust Wallet的Chrome延伸套件事故</a></strong>，攻擊者透過<strong><a href="https://www.ithome.com.tw/news/172494">NPM軟體供應鏈攻擊活動Sha1-Hulud（Shai-Hulud 2.0）</a></strong>，<strong><a href="https://www.ithome.com.tw/news/173217">竊得開發團隊的特定API金鑰</a></strong>，而能直接於Chrome Web Store冒名發布惡意套件。不過，也有駭客組織採取自行上架套件的策略，建立用戶的長期信任，待時機成熟再透過版本更新機制，部署有問題的惡意版本。</p> <p>資安公司Koi Security近日公布<strong><a href="https://www.koi.ai/blog/darkspectre-unmasking-the-threat-actor-behind-7-8-million-infected-browsers">Zoom Stealer攻擊行動</a></strong>，中國駭客組織DarkSpectre針對Chrome、Edge，以及Firefox用戶而來，將惡意程式偽裝成會議工具並上架延伸套件市集Chrome Web Store、Edge Add-ons，以及Firefox Add-ons，目的是蒐集企業組織的會議情報，並建立能夠搜尋的資料庫。一旦使用者不慎安裝這些延伸套件，瀏覽器就會要求超過28種視訊會議平臺的存取授權，並透過WebSocket將線上會議的內容傳送給攻擊者，這些有問題的套件已被下載220萬次。值得留意的是，前幾個月出現的攻擊活動<strong><a href="https://www.ithome.com.tw/news/172570">ShadyPanda</a></strong>與<strong><a href="https://www.ithome.com.tw/news/172985">GhostPoster</a></strong>，也是這組人馬所為，三波活動的惡意套件總計被安裝了880萬次。</p> <p>針對發現Zoom Stealer的過程，起因是Koi Security對於ShadyPanda進行後續追蹤，結果發現名為Twitter X Video Downloader的怪異套件，此套件與ShadyPanda共用核心基礎設施，但特徵與行為卻有所不同，不僅會監控使用者及外洩資料，還會進一步從視訊會議平臺收集會議情報，因此該公司認定是獨立於ShadyPanda的攻擊行動，並命名為Zoom Stealer，他們一共找到18個惡意套件，這些套件皆具備駭客宣稱的功能，其中一款稱為Chrome Audio Capture的套件，下載次數最多，突破80萬次。</p> <p>Koi Security也公布另外兩起活動的最新調查結果，其中，ShadyPanda的惡意套件先前確認已被下載430萬次，他們後續找到另外一百多個有關的延伸套件，有9個出現明顯的惡意行為，另有85個目前無害的套件，駭客後續將會透過更新進行武器化，相關套件累積被下載560萬次；對於GhostPoster活動，他們最初發現駭客針對Firefox用戶，後續獲報有Opera瀏覽器用戶受害的情況，DarkSpectre於延伸套件市集Opera Addons上架名為Google Translate by charliesmithbons的套件，已被下載約100萬次。</p> </div></div></div>
1/7 17:14作者周峻佑https://www.ithome.com.tw/news/173220
近兩周約3,200個組織遭鎖定，駭客假冒Google通知發動釣魚攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Check Point<a href="https://blog.checkpoint.com/research/phishing-campaign-leverages-trusted-google-cloud-automation-capabilities-to-evade-detection/">揭露</a>一波近兩周活躍的網路釣魚攻擊，駭客把釣魚郵件包裝成企業日常Google系統通知，例如語音信箱提醒、檔案存取或權限開通，藉此降低收件者戒心。研究人員指出，攻擊者在過去14天內送出9,394封釣魚郵件，鎖定約3,200個組織，且寄件位址為[email protected]，使郵件外觀更像一般系統通知。</p> <p>該波攻擊不是透過偽造寄件網域或入侵Google基礎設施，而是濫用Google Cloud的工作流程自動化功能來投遞郵件。研究人員根據郵件特徵與寄送基礎設施研判，攻擊者疑似利用Google Cloud Application Integration中的寄送電子郵件任務來投遞郵件。該類任務原本用於系統通知與流程自動化，可依整合流程設定把郵件送往指定收件者，因此攻擊者得以使用Google所屬網域寄信，進一步提高進入收件匣的機率。</p> <p>攻擊者刻意在信件貼近Google通知的排版與措辭，並以需要立即處理的工作情境作為誘餌，例如提醒使用者有新的語音留言，或宣稱已取得共享檔案的存取權。對多數企業資訊人員來說，這類通知原本就高頻出現，要是再加上寄件位址看似來自google.com，更容易當成例行作業而點擊連結。</p> <p>研究人員指出，攻擊鏈採多段轉址設計，第一步先把點擊導向可信的Google Cloud儲存服務頁面，以降低收件者疑慮，接著再轉往其他Google相關網域，呈現假CAPTCHA或影像式驗證畫面，用來拖延或阻擋自動化掃描工具。最後才把使用者導向非微軟網域上的偽造微軟登入頁，藉此蒐集帳號密碼。</p> <p>Check Point統計這段觀測期間，鎖定產業以製造與工業約19.6%最多，其次是科技與軟體即服務約18.9%，以及金融與銀行保險約14.8%。地理分布則以美國約48.6%為主，亞太約20.7%、歐洲約19.8%緊追在後，也顯示這類利用雲端通知外觀的釣魚手法，在高度依賴自動化通知與文件協作流程的組織中特別有效。</p> <p>Google則回應，已封鎖多起利用該通知功能的釣魚活動，事件源於工作流程自動化工具遭到濫用，而非Google基礎設施被攻破。Google也表示已針對此類攻擊加入防護，並將採取額外措施降低後續被再次濫用的可能。</p> </div></div></div>
1/7 17:32作者李建興https://www.ithome.com.tw/news/173219
殭屍網路Kimwolf勢力擴大，透過代理伺服器服務的網路環境綁架逾200萬臺安卓裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>半個月前，中國資安公司奇安信揭露<strong><a href="https://www.ithome.com.tw/news/172916">感染逾180萬臺電視盒與數位電視的大型殭屍網路Kimwolf</a></strong>，並推測就是最近兩年多次發動大規模DDoS攻擊的殭屍網路Aisuru另起爐灶，現在有其他資安公司加入調查的行列，並公布新的發現。</p> <p>資安公司Synthient指出，Kimwolf大約從2025年8月開始積極活動，<strong><a href="https://synthient.com/blog/a-broken-system-fueling-botnets">迄今他們確認至少有超過200萬臺安卓裝置遭到感染</a></strong>，主要的感染途徑是透過固定代理伺服器（Residential Proxy）的網路環境，對於曝露在公開網路環境、啟用Android Debug Bridge（ADB）服務的裝置，部署殭屍網路病毒。由於此殭屍網路仰賴固定代理伺服器擴大勢力，因此，該公司呼籲所有代理伺服器供應商，封鎖高風險的連接埠，並限制本地網路環境的存取；他們也提供使用者檢測工具，確認電視盒是否遭到感染。</p> <p>針對Kimwolf快速成長的原因，Synthient認為是利用固定代理伺服器網路的漏洞而得逞，該公司根據他們設下的蜜罐陷阱，看到來自江蘇艾迪信息科技代理伺服器服務IPIDEA的攻擊活動，並在11月12日出現增加的現象，駭客鎖定的網域名稱，會特別針對指向執行代理伺服器軟體開發套件（SDK）的裝置進行解析。</p> <p>該公司也分析部分位於IPIDEA代理伺服器群組的設備，發現竟有三分之二的安卓裝置未使用身分驗證機制，攻擊者可用於遠端執行任意程式碼，而且，這些裝置多半在出廠就預載了代理伺服器供應商的SDK，一旦它們被接入代理伺服器群組的環境，Kimwolf就有可能在幾分鐘之內就掃描到這些裝置並對其進行滲透。</p> <p>Synthient認為，Kimwolf感染裝置的數量應該遠超過200萬臺，原因是他們每週會看到約1200萬個IP位址，受害設備在越南、巴西、印度，以及沙烏地阿拉伯最多。從裝置的類型來看，TV BOX、HiDPTAndroid，以及SMART_TV的比例最高。</p> <p>該公司進一步分析裝置的型號與名稱，結果發現，有不少的設備疑似出廠就預載有問題的SDK，而成為Kimwolf感染的對象，他們也購入部分裝置進行分析，證實這樣的推測。除了Kimwolf，駭客也使用Plainproxies Byteconnect SDK，將受害裝置的頻寬出售牟利。</p> <p>雖然IPIDEA是Kimwolf的主要目標，不過還有其他大型代理伺服器服務公司受到影響。Synthient總共向11家廠商通報此事，其中部分廠商的網路環境弱點，允許攻擊者存取區域網域上的其他裝置。該公司強調，他們尚未掌握Kimwolf所有合作廠商名單，意味著駭客可能還有其他兜售代理伺服器節點流量的管道。Kimwolf活動的發現，並非單純的個別裝置安全防護不足，同時曝露固定代理伺服器供應鏈的系統性漏洞。</p> </div></div></div>
1/7 12:51作者周峻佑https://www.ithome.com.tw/news/173212
加密貨幣錢包Trust Wallet的Chrome延伸套件遭駭，起因是開發環境遭Shai-Hulud供應鏈攻擊釀禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年底<strong><a href="https://www.ithome.com.tw/news/173096">加密貨幣錢包服務Trust Wallet的Chrome延伸套件遭駭</a></strong>，許多用戶於社群回報資產被洗劫，當時經營團隊推測，攻擊者疑似透過外流的Chrome Web Store API金鑰得逞，從外部提交惡意版本，以便繞過發布流程的檢查作業，究竟駭客如何取得金鑰，後續Trust Wallet指出，可能與近期發生的軟體供應鏈攻擊有關。</p> <p>12月30日Trust Wallet<strong><a href="https://trustwallet.com/blog/announcements/trust-wallet-browser-extension-v268-incident-community-update">公布新的調查結果</a></strong>，指出攻擊者取得金鑰的來源，應該就是<strong><a href="https://www.ithome.com.tw/news/172494">11月發生的NPM蠕蟲供應鏈攻擊活動Sha1-Hulud（Shai-Hulud 2.0）</a></strong>，他們藉此取得延伸套件的原始碼，以及API金鑰，從而在Chrome Web Store發布具有後門的惡意延伸套件，收集用戶的錢包敏感資料。</p> <p>在11月的供應鏈攻擊當中，Trust Wallet開發團隊的GitHub機密被流出，使得攻擊者藉此掌握Chrome Web Store的API完整存取權限，能夠直接上傳有問題的延伸套件。再者，這些駭客在犯案之前，也註冊metrics-trustwallet.com及api.metrics-trustwallet.com，以便在攻擊行動裡代管惡意程式碼，供惡意延伸套件進行參照。值得留意的是，攻擊者上傳的惡意套件（2.68版），竟然能通過Chrome Web Store的審核流程並自動上架，但為何如此，Trust Wallet並未進一步說明。</p> <p>該維運團隊也進一步說明影響範圍，凡是在12月24日至26日期間，曾使用2.68版Chrome延伸套件登入錢包的使用者，就有可能遭殃，他們已在這些用戶套件上顯示警訊，估計有2,520個錢包遭到掏空，損失達到約850萬美元，駭客使用17個錢包移轉這些資產。值得留意的是，他們也發現攻擊者同時在移轉與本次事故無關的其他加密貨幣資產，不過並未透露其他細節。1月3日Trust Wallet透過社群網站X透露，<strong><a href="https://x.com/TrustWallet/status/2007475482313244989">仍有約3.6萬個錢包存在弱點而曝險</a></strong>，占用戶總數的0.016%，呼籲用戶應捨棄舊錢包，儘速將資產轉移到新錢包因應。</p> </div></div></div>
1/7 15:37作者周峻佑https://www.ithome.com.tw/news/173217
Nvidia發表DLSS 4.5更新超解析度模型，動態多重影格生成預計春季登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Nvidia在CES 2026<a href="https://www.nvidia.com/en-us/geforce/news/dlss-4-5-dynamic-multi-frame-gen-6x-2nd-gen-transformer-super-res/">推出</a>DLSS 4.5，導入第二代Transformer超解析度模型。現階段所有GeForce RTX顯卡用戶可透過Nvidia App測試版，在支援DLSS的遊戲與應用中套用新模型，無需遊戲端改動既有DLSS整合即可改善畫面細節、邊緣品質與動態清晰度。另一方面，針對GeForce RTX 50系列，DLSS 4.5也新增動態多重影格生成，以及最高6倍的多重影格生成模式，相關功能預計於2026年春季推出。</p> <p>Nvidia提到，DLSS第二代Transformer模型相較初代使用約5倍運算量，並以更大且更高精度的訓練資料集完成訓練，其目標是更充分利用遊戲引擎提供的像素取樣與動作資訊，改善高對比場景的亮暗層次，並降低動態畫面常見的殘影與閃爍，官方表示，新模型算力足以在不壓縮資料的情況下控制不穩定，因而能更完整保留高對比場景的亮部層次與暗部細節。</p> <p>GeForce RTX 40與RTX 50系列因採用較新架構的張量核心，並支援FP8精度，可提升推論吞吐量。官方也提到，畫質改善會涵蓋畫質與平衡模式，但在效能與超高效能等輸入像素較少的設定下差異更明顯。</p> <p>在多重影格生成方面，DLSS 4.5新增6倍模式，可在每1張傳統算繪影格之外，再生成最多5張影格。官方表示，該模式鎖定高更新率螢幕與路徑追蹤（Path Tracing）等高負載情境，Nvidia表示，在GeForce RTX 50系列上，從4倍提升到6倍多重影格生成，於4K路徑追蹤作品中最高可帶來約35%的影格率提升。Nvidia透過導入更多遊戲引擎資料，讓部分遊戲的靜態介面元素更清晰，例如小地圖等細節在高速畫面中更不易糊成一片。</p> <p>另一項動態多重影格生成則是把倍數控制改為即時調節，Nvidia解釋，系統會持續監看GPU實際輸出與螢幕更新率的差距，在負載升高時提高生成倍數補足落差，負載下降時再降低倍數，避免不必要的生成，以維持流暢度、畫質與操作回饋之間的平衡。</p> <p>DLSS 4於CES 2025登場，採用Transformer架構的超解析度並支援4倍多重影格生成，DLSS 4.5延續既有DLSS整合方式，現階段所有GeForce RTX用戶已可透過Nvidia App測試版，在支援DLSS的遊戲中套用DLSS 4.5的超解析度新模型，正式版更新預計於1月13日釋出。至於動態多重影格生成與6倍多重影格生成模式，則預計於2026年春季先在GeForce RTX 50系列推出。</p> </div></div></div>
1/7 15:28作者李建興https://www.ithome.com.tw/news/173213