iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 13:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

美國最大行動業者Verizon服務中斷數小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國最大行動電信營運商Verizon在美東時間1月14日中午約12:00（臺灣時間1月15日凌晨00:00）發生大規模服務中斷，美國多地用戶無法使用行動通話、簡訊與行動數據，部分手機畫面顯示「SOS」或完全無訊號。此次異常持續數小時，影響範圍從東岸延伸至西岸，直至撰稿時尚未完全修復。</p> <p>Verizon四度<a href="https://x.com/Verizon" target="_blank">透過X平臺說明處理進展</a>。首則訊息表示，已注意到部分客戶的無線語音與數據服務受到影響，工程師正積極排查並解決問題；後續更新則多為致歉與說明搶修狀況，並強調將持續通宵處理，直到全面恢復為止。</p> <p>根據第三方監控平臺<a href="https://downdetector.com/status/verizon/" target="_blank">Downdetector的數據</a>，事件高峰期間用戶回報數一度超過15萬筆。受影響地區包括紐約、華盛頓特區、紐澤西、賓州、佛羅里達、德州與加州等人口密集區。不少用戶在社群平臺反映，即使短暫恢復訊號，通話與行動上網仍不穩定，服務反覆中斷。</p> <p>由於部分地區的行動通訊功能受限，華盛頓特區與紐約市等地方政府的緊急通報系統也發布提醒，告知民眾若無法透過Verizon裝置撥打緊急電話，可改用其他電信業者、市話，或直接前往警察分局與消防站通報，凸顯大型行動網路中斷對公共安全可能帶來的風險。</p> <p>Verizon在美擁有約1.46億行動門號，規模高於T-Mobile的約1.31億與AT&T的約1.18億。Verizon定位偏向高穩定度、企業與公共安全市場；T-Mobile用戶成長最快，常以較低資費與促銷方案吸引用戶；AT&T則兼顧行動與企業通訊。但不管是在門號數量或營收規模上，目前都由Verizon居冠。</p> </div></div></div>
1/15 12:30作者陳曉莉https://www.ithome.com.tw/news/173376
Google推出個人化Gemini功能可從Gmail、搜尋、相簿擷取資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/products/gemini-app/personal-intelligence/" target="_blank">Google今日（1/15）宣布</a>個人化Gemini功能Personal Intelligence（個人化協助），讓Gemini可從用戶的Gmail、Google Photos或YouTube等服務擷取資訊提供更個人化的答案。這項服務將先推向美國，之後推向全球，但不提供給企業及教育帳號用戶。</p> <p><a href="https://gemini.google/overview/personal-intelligence/" target="_blank">Google指出</a>，Personal Intelligence讓Gemini根據用戶資訊提供更貼近需求的回覆。Gemini會分析用戶輸入的提示、判斷能使用的已儲存的資訊、過往對話，以生成適切、符合用戶興趣和需求的資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0115-Personal%20Intelligence-gemini-google.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Google表示，Personal Intelligence具兩項特色。一是在多種複雜來源之間思考，以及從用戶儲存的資料，像是電子郵件或相片擷取特定細節。它會整合文字、相片和影片來提供個人化答案。</p> <p>為此，Personal Intelligence首先整合的是Google自己的服務。用戶經由Gemini設定選單啟動本功能，即可和列出的Google服務，如Gmail、YouTube、相簿、搜尋或Google Workspace建立連結，以便Gemini從中搜尋資訊生成個人化回應。</p> <p>Google以購買汽車輪胎為例。Gemini不但可從Google Photos中的旅行照片，得知用戶需求，提供日常駕駛及各種天候使用的輪胎、列出輪胎價格及評比。它還能從用戶相片中擷取7位數車牌號碼、並從Gmail中搜尋到車型，以便用戶購買到正確的輪胎。</p> <p>Google強調這項功能確保用戶隱私。用戶可隨時開啟或關閉個人化功能、是否分享個人喜好、對話紀錄功能，這項資料也都安全儲存在Google中。而且Gemini回答時會明確解釋它是從用戶連結的服務取得資訊。用戶也可以完全不啟用個人化，或是使用臨時對話讓Gemini產生回應。</p> <p>Google也加了護欄，避免對敏感資訊如健康主動做出假設。Google並強調Gemini不會直接以用戶Gmail信件或Google相簿作為模型的訓練資料，而僅限使用特定提示及模型回應。</p> <p>目前這項功能以Beta版提供給特定美國付費服務如Google AI Pro和AI Ultra訂閱用戶，未來會持續擴大，最後到免費版。很快也會推向Google搜尋的AI Mode。</p> <p>以個人帳號從Gemini網頁及Android、iOS App版都能使用這項功能，但Google Workspace商務（Business,Enterprise）及教育帳號都無法用，使用者也須年滿18歲。</p> </div></div></div>
1/15 12:50作者林妍溱https://www.ithome.com.tw/news/173377
摩根大通受合作的法務業者連累，外洩數百人資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名跨國銀行摩根大通（JPMorgan Chase）上周<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/59095697-884f-4a1b-9c40-55649102d7bf.html" target="_blank">向美國政府通報</a>去年10月因合作的法律顧問公司發生資安事件，致使摩根大通外洩近700人的個資。</p> <p>摩根大通上周向美國緬因州檢察長辦公室提交報告，並以電子郵件通知受影響的個人。</p> <p>去年10月底摩根大通委託的法律顧問公司Fried, Frank, Harris, Shriver & Jacobson LLP（簡稱Fried Frank）通知其一個網路共享磁碟遭駭，部份檔案被竊取。但是Fried Frank直到12月才通知摩根大通此事。</p> <p>外洩資料期間為2025年10月23日到27日。這家銀行強調，這起事件起源於Fried Frank，銀行本身系統並未被受影響，也保持安全無虞。</p> <p>經由摩根大通和Fried Frank合作，確認事件影響摩根大通的某種基金投資客戶，以及相關個人如配偶或依授權書行事的代理人，總人數為659人。受影響資料包含全名、聯絡資訊（地址、電話或電子郵件）、金融帳戶號碼、社會安全號碼、護照號碼或其他政府核發的身分證號碼。摩根大通為受影響人士提供2年的信用監控服務。</p> <p>這是繼高盛（Goldman Sachs）後，又一知名金融業者受Fried Frank影響而傳出資料外洩。高盛在此事件中外洩人數不詳的投資基金投資人個資。</p> <p>高盛<a href="https://www.bloomberg.com/news/articles/2025-12-24/goldman-warns-fund-clients-about-outside-law-firm-s-data-breach?srnd=phx-technology" target="_blank">告訴彭博</a>，Fried Frank聲稱其網路現已安全，外洩漏洞已被修正，且任何被洩露的資料「不太可能被分發或不當使用」。該銀行也表示該公司系統未受此事件影響，且仍然安全。</p> <p>沒有任何勒索軟體或駭客組織出面承認對Fried Frank的攻擊。</p> <p>已經有高盛客戶<a href="https://www.law.com/newyorklawjournal/2026/01/06/fried-frank-brings-in-debevoise-for-breach-lawsuit-hires-data-security-experts/?slreturn=20260114230402" target="_blank">醞釀對</a>這家法律事務所提出集體訴訟。</p> </div></div></div>
1/15 13:04作者林妍溱https://www.ithome.com.tw/news/173379
Fortinet修補旗下FortiSIEM等產品2重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Fortinet本周釋出安全更新，修補FortiSIEM等多項產品漏洞，包含一個程式碼執行及一個洩露配置資訊的重大風險漏洞。</p> <p>二個重大漏洞分別是FortiSIEM中的CVE-2025-64155，及影響FortiFone的CVE-2025-47855。FortiSIEM為安全資訊與事件管理平臺。<a href="https://fortiguard.fortinet.com/psirt/FG-IR-25-772" target="_blank">CVE-2025-64155</a>是OS指令特別元素中和不當（improper neutralization）漏洞，可讓未經驗證的攻擊者傳送變造的TCP請求，以在受害裝置上執行非授權程式或指令。本漏洞CVSS風險值為9.4。</p> <p>受到影響的產品為FortiSIEM 7.4（含）以下版本。Fortinet已釋出更新版本，廠商呼籲7.1到7.4版用戶升級到最新版。而6.7和7.0版已經過了產品生命週期（EoL），Fortinet建議用戶升級。</p> <p>第二個重大漏洞是<a href="https://www.fortiguard.com/psirt/FG-IR-25-260" target="_blank">CVE-2025-47855</a>，為存在FortiFone Web Portal的存取控管不當漏洞。FortiFone Web Portal是Fortinet FortiVoice系統的集中管理介面，用於遠端配置電話分機、監控通話紀錄與系統效能。這項漏洞可讓未經授權的攻擊者傳送變造的HTTP或HTTPS請求而取得裝置配資訊。漏洞風險值為9.3。</p> <p>CVE-2025-47855影響的版本為FortiFone 7.0及3.0。Fortinet已釋出更新修補。FortiFone 7.2則不受影響。</p> <p>Fortinet另外還修補了4個風險較低的漏洞。包含CVE-2025-25249、CVE-2025-59922、CVE-2025-58693、CVE-2025-67685。其中<a href="https://www.fortiguard.com/psirt/FG-IR-25-084" target="_blank">CVE-2025-25249</a>為存在FortiOS及FortiSwitchManager cw_acd daemon的堆積緩衝溢位漏洞，可讓遠端未經授權的攻擊者傳送變造請求，執行任意程式碼或指令。雖然Fortinet將這項漏洞CVSS風險值列為7.4，但<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-25249" target="_blank">NIST資料庫</a>卻列為9.8。</p> <p><a href="https://www.fortiguard.com/psirt/FG-IR-25-735" target="_blank">CVE-2025-59922</a>為FortiClientEMS中的SQL指令注入漏洞，經驗證、只有最小唯讀管理權限的攻擊者可傳送變造的HTTP/HTTPS請求，執行非授權SQL指令或程式碼。官方將CVSS風險值列為6.8。</p> <p><a href="https://www.fortiguard.com/psirt/FG-IR-25-778" target="_blank">CVE-2025-58693</a>為FortiVoice中的路徑遍歷（path traversal）漏洞，可讓具特權的攻擊者經由發送HTTP或HTTPS請求，刪除底層檔案系統的檔案。CVSS風險值5.7。</p> <p><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-67685" target="_blank">CVE-2025-67685</a>為存在FortiSandbox的伺服器端請求偽造（Server-Side Request Forgery，SSRF）漏洞，可讓經過驗證的攻擊者利用特製HTTP請求，讓FortiSandbox代理存取內部網路中未加密（plaintext）的服務。為CVSS 3.8的低風險漏洞。</p> </div></div></div>
1/15 11:53作者林妍溱https://www.ithome.com.tw/news/173374
Google多模態模型MedGemma升級醫療影像解讀，並發布醫用聽寫模型MedASR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google<a href="https://research.google/blog/next-generation-medical-image-interpretation-with-medgemma-15-and-medical-speech-to-text-with-medasr/">更新開放權重醫療生成式AI模型MedGemma至1.5版</a>，強化醫療影像解讀與醫療文字任務的基準能力，並同步釋出醫療語音轉文字模型MedASR，滿足醫療聽寫與臨床口述的轉錄需求，讓開發者能把語音內容轉成文字後，銜接資訊整理或推理。</p> <p>MedGemma為開發起點而非可直接上線的成品系統，Google提醒，模型輸出不應直接用於臨床診斷或治療決策，落地前仍需依各自場域完成驗證與調校。</p> <p>Google此次先釋出MedGemma 1.5的4B多模態版本，主打較省算力，作為評估與微調的起點，要是需要更複雜的文字型任務或更大模型容量，開發者仍可沿用MedGemma 1的27B版本，包含純文字與多模態兩種變體。相較前一代以2D影像為主，1.5版把支援範圍擴展到高維度影像，包含電腦斷層掃描CT、核磁共振MRI，以及更大尺度的病理影像，並可用多張切片或多個影像區塊搭配提示詞完成任務。</p> <p>Google揭露部分內部基準結果。以疾病相關3D影像所見的分類任務為例，MedGemma 1.5 4B在CT的宏平均準確率由58.2%提升到61.1%，在MRI則由51.3%提升到64.7%。Google也指出，這些能力仍處早期，實務上通常需要以自家資料微調，才能在特定流程中取得更穩定的表現。</p> <p>除高維度影像外，MedGemma 1.5也加強胸部X光的應用情境，例如在不同時間點影像之間進行前後比較，或對影像中的解剖位置做定位。另一個面向是醫療文件理解，例如從檢驗報告抽取結構化資料，方便後續統計分析或系統串接。Google雲端也針對MedGemma提供DICOMweb整合，釋出可接受DICOMweb連結的新容器與部署流程，讓應用能以連結方式在伺服器端讀取與前處理CT、MRI等影像，再交由模型推理，以降低傳輸負擔並貼近臨床系統整合需求。</p> <p>一起釋出的還有MedASR模型，針對醫療詞彙與口述習慣微調的自動語音辨識模型。Google以通用語音辨識模型Whisper v3 Large作為對照，在一組胸部X光相關語音資料集中，Whisper v3 Large的詞錯率為12.5%，MedASR在搭配6-gram語言模型解碼時可降至5.2%。另在多個內部醫療聽寫資料集上，MedASR搭配6-gram語言模型的詞錯率約落在4.6%至6.9%，Whisper v3 Large則約25.3%至33.1%。</p> </div></div></div>
1/15 08:26作者李建興https://www.ithome.com.tw/news/173364
新版Slackbot分階段上線，可整理Slack對話重點並推進後續工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Salesforce重新設計的Slackbot<a href="https://www.salesforce.com/news/press-releases/2026/01/13/slackbot-announcement/">正式上線</a>，自2026年1月13日起以分階段方式推送至Business+與Enterprise+方案用戶。官方指出，在功能全面開放前，Enterprise方案的組織擁有者與管理者可先行設定Slackbot存取權限，並可依公司政策限制或暫停使用，以降低導入風險。</p> <p>Slackbot為內建在Slack內的個人工作助理，主打在既有對話、頻道與檔案等工作訊息中找出答案與重點，並協助整理工作、產出內容、安排會議與執行後續動作，使用者不需另行安裝新工具。Salesforce表示，新版Slackbot在遵循既有角色與存取控制的前提下，可讀取Slack中的對話與檔案資訊，並結合企業系統的客戶資料與後設資料，協助使用者更快取得與工作相關的答案。</p> <p>除了查詢與摘要，Slackbot能在遵循既有權限與存取控制的前提下，利用對話、頻道與檔案脈絡協助使用者產出內容、安排會議並推進後續動作，同時也被規畫成未來與Agentforce及第三方代理協作的主要入口，可透過對話觸發動作並協調既有工作流程。</p> <p>新版Slackbot會遵循既有角色與存取控制，只呈現使用者原本就有權限取得的對話與檔案資訊，Salesforce表示，Enterprise方案的組織擁有者與管理者可在逐步開放期間設定Slackbot存取權限，必要時可限制或暫停使用。另一方面，<a href="https://slack.com/help/articles/39264531104275-Updates-to-feature-availability-and-pricing-for-Slack-plans">Slack在方案與功能更新說明提到</a>，管理者也可在AI功能存取設定中管控各項AI功能的開放對象，或視需要全面關閉相關AI功能，以符合內部政策與治理需求。</p> <p>Slackbot將分階段向指定方案用戶開放，並一路推送到2月。Enterprise方案的組織擁有者與管理者可在Slackbot逐步開放期間先行設定存取權限，並可依公司政策需要隨時調整或暫時停用。</p> </div></div></div>
1/15 08:13作者李建興https://www.ithome.com.tw/news/173359
衛福部公布主權雲八大方針，醫療雲端採購新基準出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過去一年，醫療機構接連成為駭客攻擊目標，從國內醫院遭勒索軟體入侵，到國外大型醫療機構和保險系統發生資料外洩事件，都讓一個問題浮上檯面：醫療資料適合放在雲端嗎？如果要放，怎麼放才安全？</p> <p>衛福部資訊處今日（1/14）首次揭露主權雲政策及八大指導方針，回答了誰管資料、誰管系統、誰握鑰匙等三大關鍵問題，也定義了不同風險的資料，應放在不同等級的雲上。</p> <h2><strong>為什麼醫療資料特別敏感？</strong></h2> <p>衛福部資訊處處長李建璋先是點出，醫療資料和金融資料最大的不同，在於能不能補救。</p> <p>信用卡被盜，可以換卡；帳號外洩，可以重設密碼。但病歷、基因資料、特定疾病紀錄，一旦被看見、被複製、被用來分析，這件事就沒有重來的機會。這些資料幾乎伴隨一個人一輩子，就像是每個人的數位DNA。</p> <p>這類資料一旦外流，不只可能被用來詐騙，還可能影響保險、就業，甚至被拿來做未經同意的AI分析。也因此，衛福部將這類醫療與公共衛生資料定位為「準國安等級」，必須用比一般資訊更嚴格的方式管理。</p> <h2><strong>公雲服務的3大隱形風險</strong></h2> <p>李建璋坦言，現有的商業公有雲技術相當成熟，效能與彈性都有其優勢。但真正的風險，往往不在技術本身，而在治理。</p> <p>他看到的公雲治理風險有3個，首先是共用責任模式的誤解。因為，多數雲端服務只負責底層機房與硬體，帳號權限、資料加密等工作還得靠使用者自己管理。一個設定錯誤，就可能把資料暴露在外。另一個風險是供應鏈漏洞，就算主系統防護嚴密，外包廠商、第三方套件或API串接，仍可能成為破口。</p> <p>第三個風險是跨境法規問題。當資料放在國際雲端業者手中，就可能受到外國法律影響，和本地法規產生衝突。舉例來說，美國雲端法案（Cloud Act）允許美國政府調閱雲端業者所管轄的資料，就算是他國業者託管的資料也算在內。這對醫療資料來說，風險特別高。</p> <h2><strong>主權雲指導方針不是禁用公有雲，而是分級使用</strong></h2> <p>因此，衛福部資訊處提出主權雲概念，強調國家數據和系統需完全受本國法律管轄與保護，而且要是不受外國干涉的運算環境。</p> <p>不過，主權雲指導方針不是要把所有系統都關進封閉環境，而是先把資料分級。比如，一般行政資料、低敏感資訊，還是可以使用符合規範的商業公有雲服務；但病歷、基因資料、傳染病監測等高度敏感資料，則必須放在主權雲或政府專屬雲環境中。簡單來說，就是把不同風險的資料，放在不同等級的雲上。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E6%96%99%E5%88%86%E7%B4%9A.JPG" /></p> <h2><strong>衛福部提出主權雲八大指導方針</strong></h2> <p>在衛福部的定義中，主權雲不只是資料「放在哪裡」，而是回到三個核心問題：誰能管理資料、誰負責系統維運，以及誰握有解密與存取的關鍵權限。</p> <p>根據這個治理思維，衛福部提出「主權雲八大指導方針」，來回應上述三項關鍵問題，並將抽象的主權概念，轉化為可落地的技術與管理要求。以方針內容來看，第一、第四與第六條，分別要求資料全程加密且金鑰由衛福部掌控、數據必須存放於境內，以及資料須完整受我國法律管轄；第五條則進一步規範，關鍵系統的管理權限必須掌握在本國人員手中。第二與第三條，明確界定資料的使用範圍與刪除方式，而最後兩條，則聚焦於主權雲業者的系統韌性與當責能力。</p> <p>完整方針如下：</p> <p>第一，全程加密與金鑰自主：所有資料在儲存與傳輸過程中都要加密，而且加密金鑰必須由衛福部自己掌控，雲端業者無法解密。</p> <p>第二，數據用途限制：原則是無授權、無二次使用，醫療資料只能用在事先說好的用途，禁止雲端廠商拿去訓練AI或做商業分析。</p> <p>第三，不可逆刪除協議：資料不需要時，要能真正刪乾淨，確保無法還原。</p> <p>第四，絕對數據在地化：也就是說，生產數據、中繼資料（Metadata）、備份、備援等，必須物理性存放於中華民國境內，不得有任何形式的跨境傳輸。</p> <p>第五，維運人員主權：雲端高權限管理員，必須具本國籍。這些人員也得通過背景審核，而且廠商要定期揭露名單供衛福部核備。</p> <p>第六，法律優先性：廠商必須以我國法律為最高準則，即《資通安全管理法》和《個資法》，外國法規不能凌駕其上。</p> <p>第七，數位韌性與雙活架構：主權雲必須具備高可用性與備援能力，包括雙活（Dual-Active）或異地多可用區，就算遭攻擊或天災，也不能讓醫療服務停擺。</p> <p>第八，透明化稽核：所有管理行為都要能被稽核與追蹤，確保出了問題找得到人、追得到原因。廠商管理員的操作日誌，必須即時串流至衛福部資安監控中心（SOC）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1%2B4.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2%2B3.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5%2B8.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6%2B8.JPG" /></p> <p>（簡報第6、7條順序與<a href="https://dep.mohw.gov.tw/pro/cp-2731-85139-120.html">衛福部官方新聞稿之八大方針</a>之順序對調，本文以官方新聞稿順序為主）</p> <h2><strong>國際都在做，臺灣選擇「分級治理」</strong></h2> <p>李建璋也舉例，德國、法國、英國、新加坡等國，都已開始為政府與醫療資料建立主權雲架構，但做法不盡相同。臺灣並未選擇全面國營或完全封閉，而是走「分級治理」路線，在使用國際雲端技術的同時，保留關鍵控制權。</p> <p>他強調，主權雲的目的，不是阻擋雲端或AI發展，而是讓醫療體系在數位化過程中，不必用安全與信任去交換效率。這次衛福部把主權雲說明清楚，也意味著臺灣醫療雲治理，正式走向一個可被檢視、也能被落實的新階段。</p> <p></p> </div></div></div>
1/14 17:41作者王若樸https://www.ithome.com.tw/news/173353
【資安日報】1月14日，微軟修補3個零時差漏洞，其中1個已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173342"><strong style="font-size: 22px;">微軟1月修補3個零時差漏洞，其中1個已被用於實際攻擊、2個已公開</strong></a></p> <p>1月13日微軟發布本月例行更新（Patch Tuesday），針對旗下Windows作業系統、Office辦公室套裝軟體，以及Azure雲端服務與開發工具，修補112個安全漏洞，較上個月57個多出一倍。值得留意的是，已有遭到利用與細節被公開的零時差漏洞，用戶應儘速採取行動因應。</p> <p>其中，已被用於實際攻擊行動的是資訊洩露（ID）漏洞CVE-2026-20805，此漏洞出現於桌面視窗管理員（Desktop Window Manager，DWM），一旦遭到利用，取得授權的攻擊者，能在本機電腦上，透過桌面視窗管理員將資料外洩給未經授權的人，洩漏的資訊是進階程序呼叫的一段使用者模式記憶體位址，CVSS風險為5.5分。</p> <p>此漏洞由微軟威脅情報中心（MSTIC）及微軟安全回應中心（MSRC）通報，不過，微軟並未透露漏洞如何遭到利用。長期觀察微軟每月例行更新的Zero Day Initiative（ZDI）推測，攻擊者利用此漏洞洩露特定的記憶體區段位址後，可能會在下個階段啟動攻擊鏈，並能執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/173343"><strong style="font-size: 22px;">SAP發布1月例行更新，修補SQL注入、程式碼注入，以及遠端程式碼執行的重大漏洞</strong></a></p> <p>SAP於1月13日發布本月例行更新（Security Patch Day），總共修補17個資安漏洞，根據危險程度區分，有重大漏洞4個、高風險漏洞4個、中度風險7個，以及低風險兩個。</p> <p>本次修補的重大漏洞為CVE-2026-0501、CVE-2026-0500、CVE-2026-0498，以及CVE-2026-0491，影響ERP系統S/4HANA、應用程式效能監控（APM）平臺Wily Introscope Enterprise Manager，以及資料複製與轉換平臺Landscape Transformation。</p> <p>其中，有兩個漏洞CVE-2026-0501及CVE-2026-0498，同時影響本地建置與雲端版本的S/4HANA，最嚴重的是CVSS風險評分達到9.9的CVE-2026-0501，此為SQL注入漏洞，起因是輸入驗證不夠充分，通過身分驗證的攻擊者可藉由執行特定的SQL查詢，從而讀取、竄改，甚至刪除後端資料庫的內容。</p> <p><a href="https://www.ithome.com.tw/news/173351"><strong style="font-size: 22px;">Adobe為ColdFusion修補Apache Tika滿分漏洞，呼籲用戶優先處理</strong></a></p> <p>1月13日Adobe針對旗下13款應用程式發布更新，總共修補25個漏洞，其中有18個被列為重大層級，比起12月公布的139個漏洞，數量已大幅下降。值得留意的是，本次最為危險而受到高度關注的漏洞，是出現在網頁應用程式開發平臺ColdFusion的CVE-2025-66516，Adobe呼籲企業，應優先安排ColdFusion更新的部署。</p> <p>CVE-2025-66516出現在ColdFusion採用的文件內容分析元件Apache Tika，屬於XML外部實體（XXE）型態的漏洞，攻擊者只要發送嵌入XML Forms Architecture（XFA）表單的特製PDF檔案，就有機會在未經驗證的情況下，遠端讀取伺服器敏感資料，或是對內部系統發送請求，過程完全不需使用者互動，CVSS風險達到10分（滿分10分），Adobe發布ColdFusion 2025 Update 6與ColdFusion 2023 Update 18修補，並將其更新程式的部署優先順序列為第1級。</p> <p>從修補重大漏洞數量來看，DreamWeaver本次修補5個漏洞最多，也相當值得留意。這些漏洞涵蓋作業系統命令注入、輸入驗證不夠周延，以及授權不正確型態的弱點，可被用於執行任意程式碼或任意寫入系統檔案，風險值介於7.8至8.6分。</p> <p><a href="https://www.ithome.com.tw/news/173333"><strong style="font-size: 22px;">Google發布Chrome 144電腦版更新，修補3項高風險漏洞</strong></a></p> <p>Google於1月13日發布電腦版Chrome 144穩定更新，推送版本包含Linux版144.0.7559.59，以及Windows與Mac版144.0.7559.59與144.0.7559.60，更新將於未來幾天至數週內陸續提供給用戶。</p> <p>此次更新共修補10項資安漏洞，這些弱點的CVSS風險分數尚未公布，但Google表明其中包含3項高風險漏洞。最受關注的是CVE-2026-0899，該漏洞出現在V8 JavaScript引擎，屬於越界記憶體存取問題，由外部資安研究人員@p1nky4745通報，Google並提供8,000美元漏洞獎勵。</p> <p>另外兩項高風險漏洞為CVE-2026-0900與CVE-2026-0901，分別涉及V8與Blink元件的不當實作問題，前者由Google內部通報，後者則由資安研究人員Irvan Kurniawan（sourc7）發現。</p> <p><a href="https://www.ithome.com.tw/news/173325"><strong style="font-size: 22px;">工作流程自動化平臺n8n重大漏洞Ni8mare公開近一周，仍有近6萬臺實體尚未修補</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/JJDDy6Rhaj.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/JJDDy6Rhaj.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Cyera近日公開工作流程自動化平臺n8n重大資安漏洞CVE-2026-21858（Ni8mare），n8n也隨後發布公告提醒自架用戶儘速修補。根據Shadowserver掃描結果，截至2026年1月12日，仍有59,020個對外暴露的n8n實體尚未修補，其中有99個位於臺灣，且在週末期間，一度觀測到105,763個曝險的n8n實體。</p> <p>n8n在公告中說明，漏洞只會出現在特定的表單型工作流程。當工作流程同時具備可上傳檔案的表單提交觸發器，且在流程尾端以表單結束節點回傳二進位檔案時，因輸入驗證不當，未經身分驗證的攻擊者在特定條件下可遠端讀取底層檔案系統內容，造成機敏資訊曝光，並可能被用來進一步接管n8n實例，CVSS風險達到10分（滿分10分）。</p> <p>就受影響範圍而言，n8n說明此漏洞主要影響自架版本1.65到1.120.4，並指出雲端託管環境由官方自動升級處理，2.x系列也已內建修補。對仍在上述版本區間的自架用戶，官方建議直接升級到1.121.0或更新版本。要是短期內無法升級，可先限制或停用對外公開的網路回呼與表單端點，降低被掃描與嘗試利用的機會。</p> <p><a href="https://www.ithome.com.tw/news/173330"><strong style="font-size: 22px;">CISA警告Gogs零時差漏洞已被用於實際攻擊</strong></a></p> <p>美國網路安全暨基礎設施安全管理署（CISA）在1月12日，將自架Git平臺Gogs的漏洞CVE-2025-8110納入已遭利用的漏洞列表（KEV），並要求美國聯邦機關在2月2日前完成修補或採取替代措施，以降低既有威脅擴散的風險。</p> <p>Gogs是以Go語言撰寫，主打可自架的輕量Git服務，常見於中小型團隊或內網程式碼託管情境。資安業者Wiz揭露的CVE-2025-8110之所以受到關注，在於攻擊流程貼近實務情境，攻擊者在具備已驗證身分且可建立儲存庫等權限的前提下，可透過PutContents API搭配符號連結（Symbolic Link）繞過既有路徑檢查，將寫入動作導向儲存庫目錄之外，進而在伺服器端達到任意命令執行的效果。</p> <p>Gogs專案已在GitHub程式碼庫提交針對CVE-2025-8110的修補與說明，核心方向是強化符號連結與路徑邊界檢查，避免透過PutContents等寫入流程把檔案更新導向儲存庫之外。企業與開發團隊應先盤點環境內是否仍在使用Gogs，特別是對外服務節點，再依供應商指引評估更新作業或採取等效緩解措施，例如減少對外曝露面與關閉不必要的開放註冊。</p> <p><a href="https://www.ithome.com.tw/news/173328"><strong style="font-size: 22px;">駭客兜售50家大型企業的內部資料，疑透過員工電腦竊得帳密，入侵雲端檔案共用環境而得逞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/sentap_profile.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/sentap_profile.png" style="width: 300px; float: right;" /></a></p> <p>根據威脅情報公司Hudson Rock的調查，代號為Zestix（又名Sentap）的駭客，正於暗網兜售從全球約50家知名企業竊取的機密資料。這場大規模外洩的源頭，並非複雜的系統漏洞，而是基礎的「憑證衛生（Credential Hygiene）」失敗，企業並未落實定期更換密碼，以及沒有採用多因素驗證（MFA）而釀禍。</p> <p>有別於許多資料外洩事故，駭客必須設法取得企業網路環境的初期存取管道，Zestix則是另闢蹊徑：透過廣泛利用竊資軟體，例如：RedLine、Lumma，或是Vidar來感染員工電腦或特定的裝置，然後從竊得的事件記錄資料進行過濾，找到ShareFile、Nextcloud，以及OwnCloud等企業雲端檔案共享服務平臺（EFSS）的入口網站網址與帳密資料，然後輕易從企業偷走大批內部資料。對此，OwnCloud也發布資安公告，指出這起事故並非他們的平臺出現零時差漏洞造成，呼籲用戶立即啟用多因素驗證。</p> <p>受害企業遍布全球多個產業，包括航空、機器人、房地產，以及政府的基礎設施。名單中不乏知名企業如西班牙國家航空（Iberia Airlines）、日本積水房屋（Sekisui House）、列車製造商中車麻薩諸塞（CRRC MA），以及哥倫比亞大型IT整合服務業者CiberC等。</p> <p><a href="https://www.ithome.com.tw/news/173338"><strong style="font-size: 22px;">Google開源Salesforce配置錯誤偵測工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/aurainspector-fig12_max-800x800.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/aurainspector-fig12_max-800x800.png" style="width: 300px; float: right;" /></a>因應去年多家企業Salesforce資料外洩，Google旗下資安服務部門Mandiant開源名為AuraInspector的工具，能偵測導致敏感資訊外洩的Salesforce配置錯誤。</p> <p>針對提供此工具的動機，起因是Mandiant經常發現企業Salesforce的對外平臺體驗雲（Salesforce Experience Cloud），存在配置不當問題而不自知，可讓駭客存取敏感資料，包括信用卡號、身分文件，以及健康資訊等。Mandiant的AuraInspector為命令列工具，可自動偵測Salesforce Aura框架內的存取控制配置錯誤，協助辨識和稽核Salesforce對外網站的配置問題，防範資料外洩。</p> <p>Mandiant指出，Aura的底層權限配置錯誤，很可能引發資料外洩。由於Salesforce物件共享規則可以在好幾層進行配置，想找出錯誤配置變得很困難，企業管理員仍舊面臨挑戰，使得Aura端點成為Salesforce體驗雲中最常被鎖定攻擊的端點。</p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-52694-cvss-10-critical-advantech-sql-injection-exposes-iot-devices/">研華科技修補工業物聯網平臺與設備管理平臺10分重大漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-alert-moxa-switches-exposed-to-openssh-remote-code-execution-cvss-9-8/">Moxa修補工業交換器的OpenSSH元件重大漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/critical-apache-struts-2-flaw/">Apache Struts存在XXE漏洞，恐曝露敏感資料、引發DoS或SSRF攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2026-22184-cvss-9-3-critical-zlib-flaw-opens-door-to-global-buffer-overflow/">資料壓縮程式庫zlib存在重大漏洞，恐造成記憶體全域緩衝區溢位</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/fortinet-critical-alert-cve-2025-64155-rce-config-leaks-exposed/">Fortinet修補SIEM平臺重大漏洞，若不處理恐導致組態配置外流</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173329"><strong>【1月13日】VMware ESXi零時差漏洞恐在兩年前就遭到利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173295"><strong>【1月12日】趨勢修補旗下集中管理平臺Apex Central重大層級漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173257"><strong>【1月9日】思科修補網路存取控制平臺ISE資訊洩露漏洞</strong></a></p> </div></div></div>
1/14 18:02作者周峻佑https://www.ithome.com.tw/news/173352
Polygon Labs收購Coinme與Sequence以切入美國合規支付市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>區塊鏈開發公司<a href="https://polygon.technology/blog/polygon-labs-to-acquire-coinme-and-sequence-to-offer-regulated-stablecoin-payments-in-the-u-s" target="_blank">Polygon Labs周一（1/13）宣布</a>，已簽署最終協議，將收購美國加密支付業者Coinme與區塊鏈錢包基礎設施公司Sequence，以於美國推出受監管的穩定幣支付服務。Polygon Labs並未揭露收購金額，外傳兩項交易總價值超過2.5億美元。</p> <p>Polygon Labs成立於2019年，核心目標是解決Ethereum主鏈在擴充性、手續費與使用體驗上的結構性瓶頸，是以太坊生態中最完整的Layer 2與應用鏈供應商之一。過去主要透過生態補助、企業合作與技術服務支撐營運，近年則加速轉向支付與穩定幣基礎設施，試圖建立以實際金流為核心的營收模式。</p> <p>Coinme成立於2014年，為美國最早專注於加密貨幣與法幣兌換的業者之一。該公司以加密ATM與零售通路起家，讓一般用戶能以現金或金融卡直接購買加密貨幣，並已取得美國多州的資金移轉牌照。Sequence則成立於2020年，總部位於加拿大，專注於區塊鏈錢包與支付基礎設施，核心產品為企業級智慧錢包與嵌入式錢包方案，被視為「讓鏈上支付看起來像一般支付」的關鍵技術供應商。</p> <p>Polygon Labs表示，Coinme帶來美國合規的法幣進出通道與超過100萬名用戶，Sequence則提供錢包基礎設施與一鍵跨鏈交易能力；三者整合後將共同驅動Open Money Stack解決方案，使Polygon Labs得以建立以產品為核心的營收模式，並朝「讓任何人在任何地方都能即時移動資金」的願景邁進。</p> <p><a href="https://x.com/0xPolygon/status/2011076681302446556" target="_blank">具體而言</a>，Coinme在美國48州具備合規的資金移轉能力，並覆蓋全美約5萬個現金兌換加密貨幣的零售據點，等於提供法幣進出加密貨幣世界的重要入口。</p> <p>至於Polygon Labs新發表的Open Money Stack，為一套開放且垂直整合的支付與資金流動架構，結合區塊鏈技術與受監管的金融基礎設施，用於支援合規的穩定幣支付。該架構涵蓋法幣進出通道、企業級錢包與跨鏈支付編排能力，並運行在Polygon區塊鏈之上，目標是讓穩定幣能無縫銜接既有金融系統，同時降低跨境支付的成本與複雜度。</p> <p>Polygon Labs認為，穩定幣實際上已扮演貨幣角色，所欠缺的是能將其乾淨地接入既有金融體系的基礎設施；目前並不存在一種簡單方式，能在不造成系統碎片化、監管不確定性與營運複雜度的情況下，讓傳統系統直接銜接。</p> <p>Polygon Labs表示，Open Money Stack旨在改善這一問題，使支付結算從數天縮短至數秒，資金可如期到帳、在鏈上保持可用並立即投入使用，並期望在未來數年內重塑資金流動的運作方式。</p> </div></div></div>
1/14 16:33作者陳曉莉https://www.ithome.com.tw/news/173350
Adobe為ColdFusion修補Apache Tika滿分漏洞，呼籲用戶應以最優先層級處理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>1月13日Adobe針對旗下13款應用程式發布更新，總共修補25個漏洞，其中有18個被列為重大層級，比起<strong><a href="https://www.ithome.com.tw/news/172759">12月公布的139個漏洞</a></strong>，數量已大幅下降。值得留意的是，本次最為危險而受到高度關注的漏洞，是出現在<strong><a href="https://helpx.adobe.com/security/products/coldfusion/apsb26-12.html">網頁應用程式開發平臺ColdFusion的CVE-2025-66516</a></strong>，Adobe呼籲企業，應最優先安排ColdFusion更新的部署。</p> <p>CVE-2025-66516出現在ColdFusion採用的文件內容分析元件Apache Tika，<strong><a href="https://www.ithome.com.tw/news/172726">為XML外部實體（XXE）型態的漏洞</a></strong>，攻擊者只要發送嵌入XML Forms Architecture（XFA）表單的特製PDF檔案，就有機會在未經驗證的情況下，遠端讀取伺服器敏感資料，或是對內部系統發送請求，過程完全不需使用者互動，CVSS風險達到10分（滿分10分），Adobe發布ColdFusion 2025 Update 6與ColdFusion 2023 Update 18修補，並將其更新程式的部署優先順序列為第1級。</p> <p>從修補重大漏洞數量來看，<strong><a href="https://helpx.adobe.com/security/products/dreamweaver/apsb26-01.html">DreamWeaver本次修補5個漏洞最多</a></strong>，也相當值得留意。這些漏洞涵蓋作業系統命令注入、輸入驗證不夠周延，以及授權不正確型態的弱點，可被用於執行任意程式碼或任意寫入系統檔案，風險值介於7.8至8.6分。</p> </div></div></div>
1/14 16:44作者周峻佑https://www.ithome.com.tw/news/173351
Node.js修補堆疊耗盡DoS風險，React、Next.js與應用效能監控工具受波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Node.js專案釋出<a href="https://nodejs.org/en/blog/vulnerability/december-2025-security-releases">安全更新</a>，修補多項弱點。官方特別提醒<a href="https://nodejs.org/en/blog/vulnerability/january-2026-dos-mitigation-async-hooks">CVE-2025-59466漏洞</a>可能在特定非同步追蹤機制啟用時，讓堆疊耗盡的錯誤處理失效而造成程序異常退出，進而產生DoS風險，影響範圍涵蓋React、Next.js或導入應用效能監控工具（APM）的服務。</p> <p>Node.js安全公告指出，啟用async_hooks相關追蹤機制時發生呼叫堆疊耗盡，錯誤可能走不到一般例外處理流程，連uncaughtException這類未捕捉例外事件也不一定會觸發，導致程序直接退出。要是應用程式存在由外部輸入推高遞迴深度的邏輯，例如處理高度巢狀的JSON，就可能被單一請求觸發堆疊耗盡，導致整個服務中斷或反覆重啟。</p> <p>Node.js也點名常見的觸發情境，React伺服器元件與Next.js經常透過AsyncLocalStorage來保存同一個請求或轉譯流程的脈絡資訊，讓資料能跨多個非同步步驟一路傳下去。而在Node.js 20與22等版本，AsyncLocalStorage建立於async_hooks之上，因此更容易落入該漏洞觸發條件。另一方面，不少APM也會用AsyncLocalStorage或直接呼叫async_hooks.createHook串起跨非同步邊界的追蹤資訊，讓不少應用因導入監控而被動啟用相關機制。</p> <p>由於Node.js 24開始，AsyncLocalStorage改以V8引擎的AsyncContextFrame實作，不再於內部啟用async_hooks.createHook，因此當React與Next.js僅使用AsyncLocalStorage通常不會觸發該漏洞。不過APM或相依套件要是直接啟用async_hooks.createHook，堆疊耗盡仍可能變得不可捕捉而導致崩潰，因此安全更新還是涵蓋24.x與25.x。</p> <p>同一批安全更新也涵蓋其他中高風險議題，Node.js針對25.x、24.x、22.x與20.x版本共修補3項高風險、4項中風險與1項低風險問題，並同步更新相依元件c-ares至1.34.6，以及將undici更新至6.23.0或7.18.0，以處理已公開漏洞。官方也提醒，已終止支援版本在安全釋出期間通常視為同樣受影響，實務上應以仍受支援的版本為主。</p> <p>在高風險項目中，包含使用vm模組的timeout選項時，緩衝區配置可能因競爭狀態而出現未清零的記憶體內容，導致Buffer.alloc或Uint8Array等型別陣列暴露先前資料殘留，帶來機密外洩或資料損壞風險，為CVE-2025-55131，另外，CVE-2025-55130則是Node.js權限模型被發現可透過特製的符號連結路徑，繞過檔案讀寫限制。同批高風險還包含HTTP/2伺服器，在收到畸形HEADERS影格時，可能觸發未妥善處理的TLSSocket錯誤而造成程序崩潰，形成遠端DoS，編號為CVE-2025-59465。</p> </div></div></div>
1/14 16:54作者李建興https://www.ithome.com.tw/news/173341
Anthropic捐150萬美元挺Python基金會，強化PyPI供應鏈防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Python軟體基金會<a href="https://pyfound.blogspot.com/2025/12/anthropic-invests-in-python.html">宣布</a>，已與AI公司Anthropic建立為期兩年的合作關係，Anthropic將在兩年內合計提供150萬美元，支持基金會推進以Python生態系安全工作。基金會指出，這筆資金將用於推動CPython與Python套件索引PyPI的安全強化，同時也會支援基金會維持語言、生態系與社群運作所需的核心工作。</p> <p>基金會把重點放在降低PyPI面臨的供應鏈攻擊風險，官方提到，資金將用來推進既定的安全藍圖，並規畫開發新的自動化工具，針對所有上架到PyPI的套件進行主動審查。該工作的目的在於補足現行流程較偏向事後反應式審查的限制，希望讓平臺能更早攔截可疑套件，降低使用者下載到惡意內容的機率。</p> <p>為了支撐主動審查工具的設計與驗證，基金會也預告將建立一套已知惡意軟體資料集，並以能力分析作為方法基礎，協助後續工具在辨識惡意行為時有可依循的樣本與特徵。同時指出，這些工具與資料集將具可移轉性，未來有機會延伸到其他開源套件儲存庫，先從Python生態系開始，逐步擴大到更多開源社群。</p> <p>在人力編制方面，基金會表示，這項工作將延續基金會駐點安全開發者Seth Larson所提出的安全藍圖，並由PyPI安全與資安工程師Mike Fiedler參與貢獻。基金會指出，Seth Larson與Mike Fiedler兩個職務目前由Alpha-Omega提供資助，Anthropic則透過此次為期兩年的合作，提供總額150萬美元經費，支持基金會推進Python生態系的安全藍圖與相關工作。</p> <p>除了資安專案，Anthropic的支持也涵蓋基金會的日常核心業務，包括駐點開發者計畫以推動對CPython的貢獻，透過補助金與其他方案支持社群活動，以及維運PyPI等關鍵基礎設施。官方強調，PyPI等服務屬於Python生態系的重要基礎，維持其穩定運作與提升安全性，對整體開發者社群影響面廣。</p> </div></div></div>
1/14 17:05作者李建興https://www.ithome.com.tw/news/173344
SAP發布1月例行更新，修補SQL注入、程式碼注入，以及遠端程式碼執行的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>SAP於1月13日發布<strong><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/january-2026.html">本月例行更新（Security Patch Day）</a></strong>，總共修補17個資安漏洞，根據危險程度區分，有重大漏洞4個、高風險漏洞4個、中度風險7個，以及低風險兩個。</p> <p>本次修補的重大漏洞為<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-0501">CVE-2026-0501</a></strong>、<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-0500">CVE-2026-0500</a></strong>、<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-0498">CVE-2026-0498</a></strong>，以及<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-0491">CVE-2026-0491</a></strong>，影響ERP系統S/4HANA、應用程式效能監控（APM）平臺Wily Introscope Enterprise Manager，以及資料複製與轉換平臺Landscape Transformation。</p> <p>其中，有兩個漏洞CVE-2026-0501及CVE-2026-0498，同時影響本地建置與雲端版本的S/4HANA，最嚴重的是CVSS風險評分達到9.9的CVE-2026-0501，此為SQL注入漏洞，起因是輸入驗證不夠充分，通過身分驗證的攻擊者可藉由執行特定的SQL查詢，從而讀取、竄改，甚至刪除後端資料庫的內容。</p> <p>長期追蹤及參與SAP產品修補的<strong><a href="https://onapsis.com/blog/patch-day-january-2026/">資安公司Onapsis指出</a></strong>，針對此漏洞發現的過程，是他們發現某個啟用RFC的功能模組，為了執行原生SQL敘述句（statement），會運用ABAP Database Connectivity框架（ADBC），此SQL敘述句透過輸入參數提供，使得攻擊者有機會執行任意SQL指令，一旦成功利用，系統可被完全攻破。</p> <p>另一個S/4HANA重大漏洞CVE-2026-0498為程式碼注入漏洞，取得管理權限的攻擊者可透過RFC於特定功能模組觸發，從而注入任何ABAP程式碼或作業系統命令，風險值為9.1。通報此事的Onapsis指出，攻擊者可繞過原本需強制執行的必要認證流程，隨意竄改現有程式的原始碼。</p> <p>危險程度第二高的是遠端程式碼執行（RCE）漏洞CVE-2026-0500，發生的原因為Wily Introscope Enterprise Manager採用存在弱點的第三方元件，未經身分驗證的攻擊者只要產生惡意JNLP檔案，且能透過公開的URL存取，即可在受害者點選URL存取Wily Introscope Server的過程裡，於受害電腦執行作業系統命令，風險值為9.6。</p> <p>本次修補的第四個重大漏洞CVE-2026-0491，可用於程式碼注入，趁機影響Landscape Transformation，風險值為9.1。Onapsis指出，SAP修補與CVE-2026-0498相同的功能模組。</p> </div></div></div>
1/14 15:55作者周峻佑https://www.ithome.com.tw/news/173343
微軟1月修補3個零時差漏洞，其中1個已被用於實際攻擊、2個已公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>1月13日微軟發布<strong><a href="https://msrc.microsoft.com/update-guide/releaseNote/2026-Jan">本月例行更新（Patch Tuesday）</a></strong>，針對旗下Windows作業系統、Office辦公室套裝軟體，以及Azure雲端服務與開發工具，修補112個安全漏洞，較<strong><a href="https://www.ithome.com.tw/news/172730">上個月57個</a></strong>多出一倍。值得留意的是，已有遭到利用與細節被公開的零時差漏洞，用戶應儘速採取行動因應。</p> <p>其中，已被用於實際攻擊行動的是資訊洩露（ID）漏洞<strong><a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-20805">CVE-2026-20805</a></strong>，此漏洞出現於桌面視窗管理員（Desktop Window Manager，DWM），一旦遭到利用，取得授權的攻擊者，能在本機電腦上，透過桌面視窗管理員將資料外洩給未經授權的人，洩漏的資訊是進階程序呼叫的一段使用者模式記憶體位址，CVSS風險為5.5分。</p> <p>此漏洞由微軟威脅情報中心（MSTIC）及微軟安全回應中心（MSRC）通報，不過，微軟並未透露漏洞如何遭到利用。<strong><a href="https://www.zerodayinitiative.com/blog/2026/1/13/the-january-2026-security-update-review">長期觀察微軟每月例行更新的Zero Day Initiative（ZDI）推測</a></strong>，攻擊者利用此漏洞洩露特定的記憶體區段位址後，可能會在下個階段啟動攻擊鏈，並能執行任意程式碼。</p> <p>本次有兩個漏洞在修補前就被公開，一個是安全功能繞過漏洞<strong><a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-21265">CVE-2026-21265</a></strong>，另一個是MITRE登記的Agere數據機驅動程式權限提升（EoP）漏洞<strong><a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-31096">CVE-2023-31096</a></strong>。</p> <p>其中，CVE-2026-21265與安全開機有關，一旦成功利用，攻擊者就有機會繞過安全開機機制，CVSS風險為6.4分。該漏洞發生的原因，在於微軟2011年核發的Windows安全開機憑證即將在今年到期，若不處理恐將影響安全開機的相關功能。附帶一提，這些憑證即將到期的資訊，微軟已在半年前發布公告。</p> <p>另一個已被公開的CVE-2023-31096，攻擊者若是利用，就有機會得到SYSTEM權限，風險值為7.8。微軟移除agrsm64.sys和agrsm.sys來因應，針對該廠牌數據機的零時差漏洞處理，已有前例，<strong><a href="https://www.ithome.com.tw/news/171696">微軟在去年10月的例行更新當中</a></strong>，公告已遭利用的CVE-2025-24990，以及在修補前就被公開的CVE-2025-24052。</p> <p>從漏洞類型來看，今年1月修補的漏洞當中，權限提升漏洞有56個最多，其次是資訊洩露與與遠端程式碼執行（RCE）漏洞，分別有22個及21個；另有5個可被用於欺騙的漏洞、3個安全功能繞過漏洞、3個可用於竄改的漏洞，以及2個阻斷服務（DoS）漏洞。從漏洞的危險程度而言，這次有8個為重大層級，其中6個為遠端程式碼執行漏洞，2個為權限提升漏洞。</p> </div></div></div>
1/14 15:07作者周峻佑https://www.ithome.com.tw/news/173342
蘋果推出Apple Creator Studio，整合專業創作工具以進軍訂閱制市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>蘋果周一（1/13）正式<a href="https://www.apple.com/newsroom/2026/01/introducing-apple-creator-studio-an-inspiring-collection-of-creative-apps/" target="_blank">發表Apple Creator Studio</a>，這是一套以訂閱形式提供的創作應用程式組合，整合旗下多款專業級影音、音樂與影像工具，並加入AI相關功能與高階內容，試圖降低專業創作工具的使用門檻，擴大創作者生態系。</p> <p>Apple Creator Studio將在1月28日於App Store上線，月費為12.99美元、年費129美元，並提供一個月免費試用。另針對大專學生與教育人員推出教育方案，月費2.99美元、年費29.99美元，並支援家人共享，最多可供6名家庭成員共用。</p> <p>在應用內容上，Apple Creator Studio涵蓋Mac與iPad平臺上的Final Cut Pro、Logic Pro與Pixelmator Pro，以及Mac限定的Motion、Compressor與MainStage，並為Keynote、Pages、Numbers，以及未來加入的Freeform提供專屬的智慧功能與高階內容。蘋果也同步保留Mac版應用程式的一次性買斷選項，提供使用者不同的付費選擇。</p> <p>此次發表的一大亮點，是Pixelmator Pro首度推出iPad版本。該應用程式原本僅支援Mac，蘋果於2024年底<a href="https://www.ithome.com.tw/news/165827" target="_blank">完成收購</a>後，首次將其拓展至iPad，並重新設計為適合觸控與Apple Pencil操作的工作環境，支援跨Mac與iPad的工作流程，並充份利用蘋果晶片效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-apple-creator-studio-Pixelmator%20Pro.jpg" style="width: 600px;" /></p> <p>在影片創作方面，Final Cut Pro為Mac與iPad加入多項新功能，包括逐字稿搜尋與視覺搜尋，讓使用者可透過文字、物件或動作快速定位影片素材；節拍偵測功能則結合Logic Pro的AI模型，自動分析音樂節奏，協助剪輯流程更精準地與音樂同步。iPad版Final Cut Pro也新增「蒙太奇製作器」，可自動分析素材並生成初步剪輯內容，簡化社群影片的製作流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-apple-creator-studio-Final%20Cut%20Pro.jpg" style="width: 600px;" /></p> <p>音樂製作工具Logic Pro則新增AI Session Player成員Synth Player，可自動產生合成器與和弦低音表現；Chord ID功能可將音訊或MIDI轉換為可編輯的和弦進行，加快創作與編曲速度。Mac版Logic Pro同步擴充音色資料庫，iPad版則加入Quick Swipe Comping錄音剪輯與自然語言搜尋功能，提升行動創作效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-apple-creator-studio-Logic%20Pro-Synth%20Player.jpg" style="width: 600px;" /></p> <p>在影像與生產力工具方面，Apple Creator Studio訂閱者可於Pixelmator Pro中使用全新的Warp影像變形工具；在Keynote、Pages與Numbers中，則可存取全新的Content Hub，取得免版稅圖片、高階模板與主題內容。訂閱方案也解鎖多項AI影像生成功能，可透過文字生成圖片、智慧裁切畫面，並支援簡報初稿生成、簡報備註自動整理，以及Numbers中的Magic Fill資料填入功能。</p> <p>蘋果強調，Keynote、Pages、Numbers與Freeform的基礎功能仍將維持免費，所有使用者皆可持續建立、編輯與協作文件，並獲得介面更新與系統改進。Apple Creator Studio則主要提供進階智慧功能與專業內容，作為完整創作體驗的一部分。</p> <p>市場分析指出，以Mac一次性買斷為例，Final Cut Pro約300美元、Logic Pro約200美元，加上Pixelmator Pro、Motion、Compressor與MainStage，整套接近680美元；Apple Creator Studio年費129美元，約在第5年左右才會與全套買斷成本打平。換言之，長期只用一兩套、而且使用年限很長的專業用戶，買斷仍較便宜。但若同時使用影片、音樂、影像多套工具，或需要iPad版本與AI進階功能，訂閱能以較低初期成本取得完整工具組合，整體更為划算。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
1/14 13:05作者陳曉莉https://www.ithome.com.tw/news/173339
美國正式批准Nvidia出售H200予中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國商務部工業與安全局（Bureau of Industry and Security，BIS）正式發布了<a href="https://public-inspection.federalregister.gov/2026-00789.pdf" target="_blank">《先進運算商品之出口許可審查政策修訂》</a>（Revision to License Review Policy for Advanced Computing Commodities），把出口至中國的先進晶片審查機制從原本的「原則上拒絕」改為「逐案審查」，並即將於1月15日<a href="https://www.federalregister.gov/public-inspection/2026-00789/revision-to-license-review-policy-for-advanced-computing-commodities" target="_blank">登上《聯邦公報》</a>（Federal Register）。</p> <p>根據新規定，對於技術指標低於特定門檻的先進運算商品，例如TPP低於21,000且總DRAM頻寬低於6,500GB/s的產品，像是Nvidia H200與AMD MI325X等高階AI晶片，都可透過逐案審查方式申請出口至中國或澳門。</p> <p>不過，BIS也提出多項放行高階晶片出口的條件，包括出口商必須證明美國境內的相關晶片有充足供應，出口行為不會排擠美國的用量；收貨方亦必須展現足夠的資安與內部控管機制，並承諾晶片不得用於軍事用途。此外，所有要出口的相關晶片，都必須在美國接受獨立的第三方測試，以驗證其實際效能與規格是否符合申報內容。</p> <p>美國總統川普（Donald Trump）<a href="https://www.ithome.com.tw/news/172714" target="_blank">曾在上個月表示</a>，將在中國同意支付相當於交易額25%的費用下，允許相關晶片出口；不過，BIS此次公布的最終規則，並未納入任何費用或抽成機制。</p> <p>另一方面，<a href="https://www.theinformation.com/articles/china-restricts-nvidia-chip-purchases-special-circumstances" target="_blank">The Information</a>引述消息來源報導，中國政府已事先提醒境內的科技業者，該國只會在特定情況下允許它們採購Nvidia的H200晶片，例如學術研究，以優先扶持境內的晶片製造商。</p> </div></div></div>
1/14 13:17作者陳曉莉https://www.ithome.com.tw/news/173340
美國國會電子郵件系統疑似遭中國駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="413" data-start="300">多家媒體報導指出，美國國會幕僚使用的電子郵件系統據報遭中國駭客入侵。這起事件由英國《<a href="https://www.ft.com/content/44f730c4-7de3-4a09-88dd-41ea9c373dcb" target="_blank">金融時報（Financial Times）</a>》於1月7日率先披露，隨後《<a href="https://gbhackers.com/email-systems-breach/" target="_blank">GBHackers</a>》與《<a href="https://www.reuters.com/world/asia-pacific/china-hacked-email-systems-us-congressional-committee-staff-ft-reports-2026-01-08/" target="_blank">路透社（Reuters）</a>》等媒體也相繼跟進報導。</p> <p data-end="497" data-start="415">《金融時報》引述多名熟悉調查情況的消息人士指出，中國駭客已成功入侵美國國會幕僚使用的電子郵件系統，受影響的對象，包括隸屬於多個眾議院（House of Representatives）委員會，且在立法上具有高度影響力的幕僚人員。</p> <p data-end="497" data-start="415">事實上，美國眾議院委員會通常負責國家安全、預算撥款與科技監管等敏感政策領域，長期以來即是外國情報行動高度關注的目標。而對於相關指控，中國外交部發言人毛寧在例行記者會上否認中國涉案。</p> <p data-end="646" data-start="532">美國情報單位過去曾多次指出，中國駭客組織具備執行進階持續性威脅（Advanced Persistent Threat，APT）攻擊的能力，經常鎖定政府與企業網路環境，藉此蒐集立法相關通訊內容、政策討論資料，以及與中國相關計畫的敏感資訊。</p> <p data-end="746" data-start="648">此次事件曝光的時間點，也正值美中雙方在科技政策、貿易限制與國家安全議題上持續緊張之際。近年來，美國政府機構逐步公開更多針對聯邦系統的網路攻擊案例，藉此提高外界對國家級網路威脅規模與複雜程度的警覺。</p> <p data-end="922" data-start="748">資安專家指出，電子郵件系統一旦遭入侵，攻擊者可能接觸到涉及立法、外交與機密資訊的敏感內容，對國家安全構成重大風險。美國政府責任署（U.S. Government Accountability Office，GAO）<a href="https://www.gao.gov/products/gao-25-107795" target="_blank">也曾警告</a>，聯邦機構高度依賴多年未現代化的舊式系統，這些系統存在已知的資安弱點，可能增加遭受網路攻擊的風險，凸顯全面汰換與升級的急迫性。</p> <p data-end="1138" data-start="1022">此外，美國國會預算辦公室（Congressional Budget Office，CBO）<a href="https://www.ithome.com.tw/news/172202" target="_blank">在2025年11月</a>，也曾發生疑似與中國有關的國家級駭客攻擊事件，進一步凸顯國會相關機構在電子郵件與內部系統防護上，仍面臨高度資安風險。</p> </div></div></div>
1/14 13:40作者王珮瑤https://www.ithome.com.tw/news/173335
Google Mandiant開源可偵測Salesforce配置錯誤之工具，避免企業資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>因應去年多家企業Salesforce資料外洩，Google旗下資安服務部門Mandiant本周開源能偵測導致敏感資訊外洩的Salesforce配置錯誤的工具，<a href="https://cloud.google.com/blog/topics/threat-intelligence/auditing-salesforce-aura-data-exposure/" target="_blank">名為AuraInspector</a>。</p> <p>Mandiant經常發現到企業Salesforce對外平臺，即體驗雲（Salesforce Experience Cloud）存在配置不當問題而不自知，可讓駭客存取敏感資料，包括信用卡號、身份文件和健康資訊等。Mandiant的<a href="https://github.com/google/aura-inspector" target="_blank">AuraInspector</a>為一指令行工具，可自動偵測Salesforce Aura框架內的存取控制配置錯誤，協助辨識和稽核Salesforce對外網站的配置問題，防範資料外洩。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0114-AuraInspector-google%20mandiant.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Google</span></span></p> <p>Salesforce體驗雲為面向客戶、合作夥伴與員工的入口網站、論壇、網站，它直接連結Salesforce CRM資料，以提供個人化內容、自助服務。Aura為Salesforce應用程式使用的UI開發框架，以開發可重複使用的模組化元件。Salesforce體驗雲應用和資料取用依賴Aura元件和其後端端點（endpoint）互動實現。使用Aura端點可從後端系統存取各種資訊，包括資料庫的物件紀錄。</p> <p>Mandiant指出，Aura提供合法方法（method）進行資料擷取，但底層權限配置錯誤卻可能引發資料外洩。但是Salesforce管理員的挑戰是，Salesforce物件共享規則可以在好幾層進行配置，想找出錯誤配置變得很困難。這也使得Aura端點成為Salesforce體驗雲中最常被鎖定攻擊的端點。</p> <p>Mandiant說明幾個特色，使得從Salesforce大量竊取資料成為可能。一是Salesforce體驗雲應用的某些元件會悄悄呼叫某些Aura方法來取得紀錄。其次，原本Salesforce有防護機制，使一般資料擷取一次最多只能取得2,000筆記錄。但Mandiant發現Salesforce提供了個GraphQL API，可以避開這個筆記限制，成為資料外洩破口。以已知方法使用GraphQL API，可以將所有紀錄附加在單一物件，而不受限於2,000筆紀錄。</p> <p>Salesforce認為這不是漏洞。但是Mandiant指出，一旦配置錯誤，就能允許攻擊者存取物件任何想要的紀錄筆數。相較使用基本的Aura控制器，使用GraphQL控制器允許一致性的資料擷取，而且比起僅限高權限使用者的SOAP和REST API，GraphQL控制器更易於為駭客存取。</p> <p>值得注意的是，Salesforce對GraphQL Aura控制器（controller）沒有提供官方文件，而容易為管理員忽略。</p> <p>AuraInspector可<a href="https://github.com/google/aura-inspector" target="_blank">在此取得</a>。除了錯誤配置之外，也自動蒐集Salesforce環境的Aura端點、主頁和紀錄表單的URL、以及自助註冊狀態，如果發現啟動了也會顯示URL。</p> <p>Mandiant也建議Salesforce管理員在外網站上，對訪客權限只提供特定物件及欄位的讀取權限；已驗證使用者應只能存取應存取的紀錄和物件；關閉自助註冊（Self-Registration）；遵循Salesforce安全最佳典範，包括使用其安全狀態檢查（<a href="https://help.salesforce.com/s/articleView?id=xcloud.security_health_check.htm&type=5" target="_blank">Security Health Check</a>）工具。</p> </div></div></div>
1/14 12:22作者林妍溱https://www.ithome.com.tw/news/173338
Meta傳裁員Reality Labs 10% 影響VR、Horizon部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.nytimes.com/2026/01/12/technology/meta-layoffs-reality-labs.html" target="_blank">紐約時報</a>、<a href="https://www.bloomberg.com/news/articles/2026-01-13/meta-begins-jobs-cuts-after-shifting-focus-from-metaverse-to-phones" target="_blank">彭博</a>等媒體報導，Meta計畫本周裁撤Reality Labs部門人員超過1,500人，未來將把重心從VR/AR轉向AI。</p> <p>紐時報導指出，這波人事精簡影響總數1.5萬名員工的Reality Labs的10%-15%，主要是開發VR硬體、元宇宙虛擬社群平臺Horizon Worlds的員工。而彭博則報導，部份VR遊戲和內容開發團隊，像是開發知名遊戲死侍VR版、Asgard's Wrath及Resident Evil 4 Quest版的工作室Twisted Pixel、Sanzaru Games及Armature Studio等也將被縮編或關閉。此外，VR健康App Supernatural也不再開發新內容或產品。</p> <p>媒體取得的Meta技術長Andrew Bosworth內部備忘錄指出，未來Reality Labs策略重點及資源投入目標，也將聚焦到開發穿戴裝置，像是整合AI的Ray-Ban智慧眼鏡系列等。受影響的員工據信已在1月13日收到通知。</p> <p>Meta發言人對媒體<a href="https://www.theverge.com/news/861420/meta-reality-labs-layoffs-vr-studios-twisted-pixel-sanzaru-armature" target="_blank">證實</a>此事，表示裁員是公司策略調整的一環，Meta今年投資重點將由元宇宙轉向穿戴裝置等。</p> <p>這波裁員並不令人意外。在公司2020年由Facebook改名Meta全速轉向元宇宙（Metaverse）或VR/AR發展，Meta已投入超過6,000億美元。但這類應用及頭戴裝置並未如執行長祖克柏（Mark Zuckerberg）當初期望地普及於消費端及企業。為了修正新冠疫情公司員額過度擴張的問題，Meta已多次裁減VR/AR業務規模。在這波裁員之前，去年12月媒體<a href="https://www.reuters.com/business/meta-ceo-zuckerberg-plans-deep-cuts-metaverse-efforts-bloomberg-news-reports-2025-12-04/" target="_blank">報導</a>，2026年Meta將大砍30%的元宇宙預算。</p> <p>眼見Google、OpenAI等逐漸在AI發展上超越自己的Meta現在急起直追。去年Meta積極收購多家AI新創公司、向同業重金挖角及成立超級智能實驗室（SuperIntelligence Labs）。上個月Meta就<a href="https://www.ithome.com.tw/news/173091" target="_blank">收購</a>了AI代理人開發商Manus及AI穿戴式裝置開發商<a href="https://www.ithome.com.tw/news/172680" target="_blank">Limitless</a>。</p> <p>本周Meta執行長祖克柏還宣布<a href="https://www.ithome.com.tw/news/173314" target="_blank">啟動Meta Compute</a>專案，欲打造自己的AI基礎架構，打算在未來10年建置數十GW等級的運算與能源規模，且未來可能成長到數百GW以上。</p> </div></div></div>
1/14 11:40作者林妍溱https://www.ithome.com.tw/news/173336
AI資料中心耗電爭議升溫，微軟承諾不轉嫁電費予一般用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI資料中心愈蓋愈多，也有愈來愈多的社區反對資料中心的建置，因為相對於資料中心所創造的就業機會，社區現在更在乎它所帶來的更高的水電費與環境成本，使得美國總統川普（Donald Trump）開始與科技業者協商解決方案，其中，微軟率先於周二（1/13）提出了「<a href="https://blogs.microsoft.com/on-the-issues/2026/01/13/community-first-ai-infrastructure/" target="_blank">社區優先AI基礎設施</a>」（Community-First AI Infrastructure）計畫，承諾不會將電費轉嫁給一般用戶。</p> <p>美國電網屬於共用資產，資料中心接入往往帶動電網升級，成本在平均電價制度下分攤給所有用戶。再加上資料中心全年高負載推高尖峰容量需求，若地方政府提供電價優惠或延後回收，新增成本更容易轉嫁給一般用戶。</p> <p><a href="https://truthsocial.com/@realDonaldTrump/posts/115884759090137876" target="_blank">川普表示</a>，他並不希望美國民眾因為資料中心而支付更高的電費，因此正與美國主要科技業者合作，首先是微軟，微軟將確保美國人不必為其用電埋單，也就是不會以更高的公用事業帳單來承擔資料中心的電力消耗。而未來幾周將會公布其它進展。</p> <p>微軟總裁Brad Smith指出，從運河、鐵路到電網，每個時代都伴隨社區對成本與回報的拉鋸；基礎建設能否持續，取決於在地社區是否認為其帶來的收益大於負擔，並以此作為推動AI資料中心相關承諾的背景。</p> <p>因此，微軟的社區優先AI基礎設施計畫提出5項承諾，包括微軟將支付費用以避免增加社區電費；儘量減少用水量並補充更多的水；替居民創造就業機會；增加地方政府的稅收基礎，讓更多資金能投入在當地的醫院、學校、公園與圖書館等公共設施上；也會藉由投資在地的AI培訓與非營利組織，強化並支持社區發展。</p> <p>在電力規畫上，微軟承諾自行吸收資料中心帶來的新增用電成本，避免推升住宅電價。具體作法包括為資料中心設定可反映實際成本的專屬電價，並自行負擔因用電需求而必須進行的變電站與輸電設施升級。</p> <p>同時，微軟將提前揭露資料中心的用電規畫，與電力公司協調新增供電與發電容量，確保電力供應同步擴張，而不擠壓既有用戶用電，將AI資料中心的電力影響與一般社區電價明確切割。</p> <p>整體而言，微軟的作法並非目前資料中心產業的通行標準，而是在社區反彈與政治壓力升高下，大型雲端業者逐步形成的新模式。隨著AI用電問題從企業投資層面，升高為聯邦政府與地方政府共同關注的公共政策議題，資料中心如何分擔電力與基礎建設成本，預料將成為後續監管與產業競逐的關鍵焦點。</p> </div></div></div>
1/14 11:53作者陳曉莉https://www.ithome.com.tw/news/173337
Google發布Chrome 144桌面版更新，修補3項高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="393" data-start="273"><a href="https://chromereleases.googleblog.com/2026/01/stable-channel-update-for-desktop_13.html" target="_blank">Google於1月13日發布桌面版Chrome 144穩定更新</a>，推送版本包含Linux版144.0.7559.59，以及Windows與Mac版144.0.7559.59與144.0.7559.60，更新將於未來幾天至數週內陸續提供給用戶。</p> <p data-end="518" data-start="395">此次更新共修補10項資安漏洞，這些弱點的CVSS風險分數尚未公布，但Google表明其中包含3項高風險漏洞。最受關注的是CVE-2026-0899，該漏洞出現在V8 JavaScript引擎，屬於越界記憶體存取問題，由外部資安研究人員@p1nky4745通報，Google並提供8,000美元漏洞獎勵。</p> <p data-end="630" data-start="520">另外兩項高風險漏洞為CVE-2026-0900與CVE-2026-0901，分別涉及V8與Blink元件的不當實作問題，前者由Google內部通報，後者則由資安研究人員Irvan Kurniawan（sourc7）發現。</p> <p data-end="756" data-start="632">除了高風險漏洞，Google也修補多項中、低風險弱點，影響範圍涵蓋Downloads、Network、Digital Credentials、Split View等功能，以及ANGLE元件的記憶體釋放後再利用（Use After Free）漏洞。</p> <p data-end="844" data-start="758">Google指出，為避免漏洞遭到進一步濫用，在多數用戶尚未完成更新前，部分漏洞的技術細節將暫時限制公開。官方呼籲Chrome用戶儘速升級至最新版本，以確保瀏覽器與系統安全。</p> </div></div></div>
1/14 10:15作者王珮瑤https://www.ithome.com.tw/news/173333
Apex Legends爆出角色遭遠端操控與強制斷線事件，開發商Respawn已修復但未說明原因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名遊戲Apex Legends近日出現疑似遭遠端干預輸入的安全事件，多名玩家回報在連線狀態正常時，角色仍會出現非本人操作的移動與行為，並伴隨強制斷線與暱稱遭更動等異常。Respawn已在對外承認事件後的數小時內表示問題已排除，但截至目前仍未公開成因、受影響範圍與更多技術細節。</p> <p>綜合玩家回報，異常情況至少自2026年1月9日前後開始出現。社群陸續流傳多段<a href="https://x.com/Juicyshmooves_/status/2009768955741692166?s=20">錄影</a>與<a href="https://www.reddit.com/r/apexlegends/comments/1q7qg6i/someone_hacked_our_match/">貼文</a>，內容顯示角色在非本人操作下自行移動，甚至被引導往地圖邊緣，另有案例指出隊友被依序踢出伺服器，但角色仍留在場上行動，疑似遭他人接手操控。</p> <p>Respawn在2026年1月10日透過社群平臺<a href="https://x.com/Respawn/status/2009795838629814516">回應</a>，表示已注意到一樁進行中的安全事件，外部人士能在遊戲內遠端控制其他玩家輸入。公司同時強調初步調查未發現跡象顯示攻擊者能在玩家電腦上安裝或執行程式碼，因此不像遠端程式碼執行或注入攻擊那類典型情境，並稱正著手處理並將持續更新資訊。</p> <p>在官方宣布修復前，社群仍持續出現新的回報，部分玩家遭伺服器強制斷線，隊友暱稱被替換成RSPN Admin等現象。另也有玩家基於自身觀察推測，問題可能涉及更高權限或伺服器除錯系統遭濫用，但這些說法尚未獲官方證實。</p> <p>在首次承認事件後約6到7小時，Respawn再度發文對外<a href="https://x.com/Respawn/status/2009890509750431865">表示</a>事件已解決，並將反外掛形容為長期攻防，同時感謝社群回報協助團隊更快掌握情況。不過，官方並未在後續聲明補充成因、影響人數，或是否涉及帳號與個人資料遭存取等議題。</p> <p>事實上，Apex Legends在2024年3月的ALGS北美區Regional Finals賽事期間，就曾發生選手在比賽中遭異常干擾，賽事因此中止並延期，引發社群對安全風險的高度關注。最近事件則發生在一般對戰場景，Respawn表示初步未見攻擊者能在玩家電腦上安裝或執行程式碼的跡象。</p> </div></div></div>
1/14 08:40作者李建興https://www.ithome.com.tw/news/173332
駭客兜售50家大型企業的內部資料，疑透過員工電腦竊得帳密，入侵雲端檔案共用環境而得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>竊資軟體（Infostealer）橫行，駭客藉此挖掘有價值的帳密資料與憑證相當常見，然而有人根據竊得的資料，竟然能在大型企業的檔案共用平臺來去自如，並下載企業內部資料進行兜售。</p> <p>根據威脅情報公司Hudson Rock的調查，代號為Zestix（又名Sentap）的駭客，<strong><a href="https://www.infostealers.com/article/dozens-of-global-companies-hacked-via-cloud-credentials-from-infostealer-infections-more-at-risk/">正於暗網兜售從全球約50家知名企業竊取的機密資料</a></strong>。這場大規模外洩的源頭，並非複雜的系統漏洞，而是基礎的「憑證衛生（Credential Hygiene）」失敗，企業並未落實定期更換密碼，以及沒有採用多因素驗證（MFA）而釀禍。</p> <p>有別於許多資料外洩事故，駭客必須設法取得企業網路環境的初期存取管道，Zestix則是另闢蹊徑：透過廣泛利用竊資軟體，例如：RedLine、Lumma，或是Vidar來感染員工電腦或特定的裝置，然後從竊得的事件記錄資料進行過濾，找到ShareFile、Nextcloud，以及OwnCloud等企業雲端檔案共享服務平臺（EFSS）的入口網站網址與帳密資料，然後輕易從企業偷走大批內部資料。對此，<strong><a href="https://owncloud.com/security-advisories/security-advisory-credential-theft-incidents/">OwnCloud也發布資安公告</a></strong>，指出這起事故並非他們的平臺出現零時差漏洞造成，呼籲用戶立即啟用多因素驗證。</p> <p>受害企業遍布全球多個產業，包括航空、機器人、房地產，以及政府的基礎設施。名單中不乏知名企業如西班牙國家航空（Iberia Airlines）、日本積水房屋（Sekisui House）、列車製造商中車麻薩諸塞（CRRC MA），以及哥倫比亞大型IT整合服務業者CiberC等。</p> <p>Hudson Rock確認近20家企業受害，並掌握這些公司外流的資料內容，識別這些企業檔案共用平臺的憑證；駭客另以Sentap名義聲稱握有約30家企業的內部資料，不過該公司尚未確認進一步細節，包括這些企業採用的平臺，或是駭客入侵的管道。</p> <p>這些企業曝露的資料量，檔案大小從數GB到數TB不等，其中規模最大的是醫療機構Maida Health，外洩資料多達2.3 TB，其中涵蓋巴西憲兵的健康記錄，以及身分證、醫療報告與軍人眷屬資料，Hudson Rock認為不僅是對病人的隱私嚴重侵犯，甚至有可能對巴西的國家安全造成風險。</p> <p>針對Zestix的來歷，Hudson Rock指出約從2024年底首度被發現，他在俄文論壇以初始存取管道掮客（IAB）的身分，兜售企業組織的存取權限，並收取比特幣牟利。<strong><a href="https://www.darksignal.co/p/sentap-an-opportunistic-threat-actor">資安研究機構DarkSignal也公布調查結果</a></strong>，此人應為伊朗公民，至少從2021年開始犯案，採取機會主義尋找下手目標，對企業組織曝露的基礎設施及第三方平臺試圖入侵。再者，這名駭客也與名為Funksec的網路犯罪集團存在關聯。</p> </div></div></div>
1/13 17:59作者周峻佑https://www.ithome.com.tw/news/173328
【資安日報】1月13日，VMware ESXi零時差漏洞恐在兩年前就遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173318"><strong style="font-size: 22px;">中國駭客濫用VMware ESXi零時差漏洞，最早可追溯到2024年</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/assets3eb6f92aedf74f109c7b4b0897(3).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/assets3eb6f92aedf74f109c7b4b0897(3).png" style="width: 300px; float: right;" /></a>在2025年12月，資安公司Huntress偵測到攻擊VMware虛擬化平臺ESXi的行動，由中國駭客發起，在該行動最後一個階段，攻擊者濫用了VMware去年3月公告並修補的ESXi漏洞，分別是CVE-2025-22224、CVE-2025-22225，以及CVE-2025-22226（CVSS風險值為9.3、8.2、7.1），當時VMware指出已被用於攻擊行動，現在新的調查結果指出，駭客疑似在2024年就開發漏洞利用工具，並用於實際攻擊。</p> <p>Huntress根據入侵指標，追查出攻擊者複雜的活動路徑：他們先從被駭的SonicWall VPN入侵受害企業的網路環境，並取得內部網路權限，接著利用竊得的網域管理員憑證橫向移動，然後對VMware虛擬化平臺下手。分析其濫用VMware的工具套件，當中二進位檔包含PDB路徑，發現具有簡體中文字串和特殊訊息的文件夾（「全版本逃逸–交付」及ESXI_8.0u3），當中的時戳為2024_02_19，顯示這套攻擊工具可能2024年初就已製作完成，並鎖定ESXi 8.0 Update 3的環境，且開發者可能來自簡體中文使用區域。研究人員相信，這些證據指向資源豐沛的開發組織。</p> <p>針對這項發現，Huntress指出攻擊者的漏洞利用工具包支援155種型態的ESXi，涵蓋5.1至8.0版，若是企業持續使用已終止支援的版本，將成為駭客下手的目標。他們也警告，網路監控存在盲點，因為虛擬機與虛擬機監控程式之間的VSOCK流量，對防火牆和IDS設備來說是隱形的，企業應監控ESXi主機是否出現異常的處理程序來因應。</p> <p><a href="https://www.ithome.com.tw/news/173312"><strong style="font-size: 22px;">為了增加作案成功機率，勒索軟體CrazyHunter被發現設有備用攻擊工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/the-ghost-in-the-machine-crazyhunters-tactics-4.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/the-ghost-in-the-machine-crazyhunters-tactics-4.jpg" style="width: 300px; float: right;" /></a></p> <p>在2025年初先後攻擊馬偕醫院、彰化基督教醫院，以及多家上市櫃公司，引起全臺矚目的勒索軟體駭客組織CrazyHunter，刑事警察局於4月揭露主嫌是中國籍駭客，趨勢科技揭露作案手法，指出駭客大部分工具從GitHub取得，事隔半年多，有其他資安公司公布新的調查結果。</p> <p>資安公司Trellix指出，他們自2024年CrazyHunter出現就開始追蹤，駭客以Go語言開發勒索軟體，專門針對Windows電腦，主要目標就是臺灣的醫療保健產業，不過也有企業組織受害，他們確認至少有6家受害組織。這些駭客通常透過企業組織AD基礎設施的弱點，以及網域帳號和弱密碼作為初期入侵的管道，一旦成功，就會橫向移動及散布惡意軟體。針對具體駭客的攻擊流程，他們會執行批次檔ru.bat進行一連串的活動，首先會執行go.exe與go2.exe停用電腦的防毒軟體或EDR，然後才透過go3.exe執行加密檔案的工作。Trellix提及，攻擊者有可能透過Donut Loader（bb.exe），於記憶體內載入Shellcode，檔名是crazyhunter.sys，目的是避免在磁碟上留下作案痕跡。</p> <p>比較特別的是，攻擊者設計了備用攻擊鏈，若是go.exe無法順利執行，ru.bat就會在受害電腦植入av-1m.exe來停用或阻礙防毒軟體運作；假若go3.exe或bb.exe無法正常運作，攻擊者準備了備用加密工具crazyhunter.exe，藉此增加成功加密檔案的機會。</p> <p><a href="https://www.ithome.com.tw/news/173306"><strong style="font-size: 22px;">中國APT組織UAT-7290鎖定電信產業，邊緣設備成為初始入侵關鍵管道</strong></a></p> <p>思科旗下威脅情報團隊Cisco Talos揭露，一個具中國背景的進階持續性威脅（APT）組織，長期鎖定關鍵通訊基礎設施發動網路間諜行動，並透過濫用邊緣網路設備漏洞，入侵南亞及東南歐地區的電信業者。該組織被追蹤為UAT-7290，過去主要活躍於南亞地區，近期則被觀測到擴大攻擊範圍。</p> <p>研究人員指出，UAT-7290至少自2022年起即持續活動，並兼具間諜行動與初始存取團隊的雙重角色。在多起攻擊行動中，該組織會於受害環境內建立作業中繼節點（Operational Relay Box，ORB）基礎設施，這些節點後續可能被其他具中國背景的威脅行為者利用，作為隱匿來源與轉送攻擊流量的跳板。</p> <p>Cisco Talos發現，UAT-7290在發動入侵前，會先對目標組織進行長時間且深入的技術偵察，隨後結合一日（One-day）漏洞的濫用程式碼，以及針對特定目標設計的SSH暴力破解手法，入侵對外暴露的邊緣網路設備，以取得初始存取權限，並進一步提升系統權限。研究人員也指出，該組織主要依賴已公開的概念驗證（PoC）攻擊程式碼，而非自行開發漏洞利用工具。</p> <p><a href="https://www.ithome.com.tw/news/173316"><strong style="font-size: 22px;">惡意NPM套件鎖定工作流程自動化平臺n8n而來，目的是竊取用戶的Google Ads憑證</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/69614132e82c0f93e69eb43b_a053a5e6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69614132e82c0f93e69eb43b_a053a5e6.png" style="width: 300px; float: right;" /></a></p> <p>能將AI工具與日常工作流程整合，並在無須編寫程式碼的情況下，進行自動化的工具乘勢而起，其中的工作流程自動化NPM套件n8n有不少用戶，最近其開發工程團隊與一家資安公司揭露而成為焦點，如今也有攻擊者鎖定n8n用戶發動供應鏈攻擊，意圖藉此竊取各式憑證資料。</p> <p>資安公司Endor Labs指出，他們發現有人試圖入侵n8n社群節點（Community Node）的生態系統，利用偽裝成能整合Google Ads的惡意NPM套件，引誘用戶在表單輸入OAuth憑證，然後在n8n執行工作流程的期間，暗中將憑證傳送到攻擊者控制的主機。由於n8n允許使用者連結不同的服務，例如：Slack、GitHub，以及Google試算表等建立工作流程，需要儲存大量第三方服務的API金鑰和OAuth憑證，已成為駭客眼中極具價值的目標。</p> <p>駭客上架的惡意NPM套件共有8個，都是偽裝成能夠擴充n8n功能的社群節點，一旦使用者下載並部署到n8n環境，他們會看到看似正常的設定介面，並被誘導在特定表單填寫Google Ads的OAuth憑證，這些資料將會儲存在n8n的憑證庫（Credential Store）。由於惡意套件在執行的過程具備與n8n相關的權限，因此能從系統存取憑證及解密，然後傳送給駭客。</p> <p><a href="https://www.ithome.com.tw/news/173296"><strong style="font-size: 22px;">駭客論壇BreachForums用戶資料外流，32.4萬筆帳號與管理員PGP私鑰曝光</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/592.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/592.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Resecurity指出，名為shinyhunte.rs且以ShinyHunters命名的網站在美西時間1月9日更新內容，釋出與駭客論壇BreachForums相關的用戶資料庫匯出檔，規模約32.4萬筆帳號後設資料。研究人員另提到，該散布資源後續在1月10日公布疑似可解鎖用於簽署管理員官方訊息之PGP私鑰密語（Passphrase），且有研究人員向外媒確認該密語可用。</p> <p>Resecurity表示，此資料庫包含323,986名用戶的後設資料，來源是MyBB論壇軟體相關的MySQL資料表hcclmafd2jnkwmfufmybb_users。研究人員研判，外流可能與網站使用的CMS或相關網頁應用程式弱點，或伺服器配置不當有關，並提醒不要從其他來源下載，以免夾帶惡意程式碼。</p> <p>現任BreachForums管理員N/A也對外回應此事，Bleeping Computer引述其說法，稱MyBB用戶資料表備份在修復流程中曾短暫放在未設防目錄，且該目錄在暴露期間曾被下載。N/A並強調，這批資料屬於2025年8月論壇復原期間的舊用戶資料外流，並非近期新事件。</p> <p><a href="https://www.ithome.com.tw/news/173315"><strong style="font-size: 22px;">俄駭客組織Everest宣稱入侵日本汽車大廠日產，握有900 GB資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nissan-data-breach.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/nissan-data-breach.png" style="width: 300px; float: right;" /></a></p> <p>資安媒體Cybernews發現，親俄勒索軟體駭客組織Everest在暗網宣稱，已取得日本汽車大廠日產（Nissan）的內部資料900 GB，揚言若未依照指示限期支付贖金，就要公開。</p> <p>Everest在1月10日張貼公告，揚言只給5天時間，並張貼了Nissan部分檔案的螢幕擷圖。截圖的資料欄位均已塗黑，但可辨識出是汽車經銷商名冊，包含經銷商名稱、地址、所在城市，以及郵遞區號等資訊。此外，還有Nissan內部文件與失竊車輛報告等。不過，Cybernews並未確認這份資料的真實性。</p> <p>這群駭客近期活動猖獗，去年底曾宣稱取得華碩內部檔案，其中包含相機軟體原始碼，以及美國汽車大廠克萊斯勒內部資料1 TB，部分來自CRM平臺Salesforce。</p> <p><a href="https://www.ithome.com.tw/news/173272"><strong style="font-size: 22px;">CrowdStrike併購SGNL，身分安全邁向即時授權時代</strong></a></p> <p>1月8日雲端資安業者CrowdStrike宣布，已與身分安全業者SGNL達成併購協議，以擴展CrowdStrike Falcon新一代身分安全解決方案。雙方並未公布交易金額，路透社與The Register報導指出，這筆交易價值7.4億美元。</p> <p>CrowdStrike指出，在整合SGNL後，Falcon新一代身分安全將可全面消除人類、非人類與AI代理人身分的常駐高權限，改以即時、短暫、可回收的方式授權，降低身分被盜後的橫向移動與長期潛伏風險。此外，SGNL也將擴展現有即時存取機制的支援範圍，從Active Directory與Entra ID，延伸至AWS IAM、Okta等雲端身分與SaaS系統。</p> <p>AI代理人與機器身分將成為企業數位營運的關鍵基礎，也將成為駭客的新目標。對此，CrowdStrike認為，藉由導入持續動態授權與零常駐權限，期望可在威脅發生前即減少攻擊面，推動新一代以風險為導向的身分安全架構。</p> <p><a href="https://www.ithome.com.tw/news/173274"><strong style="font-size: 22px;">2025年臺灣6家企業加入FIRST資安應變組織，合勤、104、元大證券入列，資安產業亦有來毅、數聯、元盾加入</strong></a></p> <p>隨著資安威脅日益受到重視，對於企業組織的CSIRT、PSIRT團隊而言，參與國際資安協作的意願持續升溫。過去一年以來，全球加入FIRST國際資安應變組織的成員數量，從約莫764個增至829個。</p> <p>臺灣FIRST成員亦持續增加，從25個增加至31個，新加入的公司有資安業者來毅數位科技，以及資安SOC服務業者的數聯資安與元盾資安。更引人注目的是，2025年新增成員擴及不同產業領域，首度出現網通設備業者、服務業，以及證券業代表，分別為合勤科技、一零四資訊科技、元大證券，顯示資安應變與國際合作，已逐漸成為越來越多產業的共同課題。</p> <p>進入2025年，最重要的變化在於本土SOC服務業者正積極投入國際資安應變社群，在中華資安國際之後，如今有數聯資安、元盾資安加入。這類業者服務的對象很廣泛，藉由補強國際威脅情資並進行跨國協作，可提升整體應變效率與防禦能量。而來毅數位科技在加入FIRST的同時，另也成功掛牌興櫃，展現公司於資本市場的重要發展。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/fog-ransomware/">勒索軟體Fog鎖定美國企業組織而來，透過VPN憑證進行滲透</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bad-actor-hijacks-apex-legends-characters-in-live-matches/">駭客入侵知名電玩遊戲《Apex英雄》比賽挾持玩家角色，比賽被迫暫停及延期</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/targets-dev-server-offline-after-hackers-claim-to-steal-source-code/">美國大型零售業者Target驚傳原始碼遭竊，駭客於私人社群兜售</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-gobruteforcer-attack-wave-targets-crypto-blockchain-projects/">殭屍網路GoBrutforcer鎖定AI生成的部署實作而來，利用常見帳密資料滲透Linux主機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/zero-day-chronomaly-exploit-grants-root-access-to-vulnerable-linux-kernels/">安卓核心出現可被用於提升權限的零時差漏洞Chronomaly，攻擊者恐以此取得root權限</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173295"><strong>【1月12日】趨勢修補旗下集中管理平臺Apex Central重大層級漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173257"><strong>【1月9日】思科修補網路存取控制平臺ISE資訊洩露漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173251"><strong>【1月8日】駭客利用React2Shell及FortiWeb資安漏洞從事針對性攻擊</strong></a></p> </div></div></div>
1/13 18:28作者周峻佑https://www.ithome.com.tw/news/173329
CISA警告Gogs零時差漏洞已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全暨基礎設施安全管理署（CISA）在2026年1月12日，將<a href="https://www.ithome.com.tw/news/172793">自架Git服務Gogs的漏洞CVE-2025-8110</a><a href="http://www.cisa.gov/news-events/alerts/2026/01/12/cisa-adds-one-known-exploited-vulnerability-catalog">納入已遭利用的漏洞列表（KEV）</a>，並要求美國聯邦民事行政部門機關在2026年2月2日前完成修補或採取替代措施，以降低既有威脅擴散的風險。</p> <p>Gogs是以Go語言撰寫，主打可自架的輕量Git服務，常見於中小型團隊或內網程式碼託管情境。資安業者Wiz<a href="https://www.wiz.io/blog/wiz-research-gogs-cve-2025-8110-rce-exploit">揭露</a>的CVE-2025-8110之所以受到關注，在於攻擊流程貼近實務情境，攻擊者在具備已驗證身分且可建立儲存庫等權限的前提下，可透過PutContents API搭配符號連結（Symbolic Link）繞過既有路徑檢查，將寫入動作導向儲存庫目錄之外，進而在伺服器端達到任意命令執行的效果。研究人員指出，該問題本質是繞開先前的修補措施，凸顯符號連結與路徑邊界檢查要是不嚴謹，仍可能再次被突破。</p> <p>根據調查，研究人員已辨識出超過700個暴露在網際網路上的Gogs執行個體已出現遭入侵跡象，且時間線可回溯至2025年7月。事實上，Wiz早在2025年7月10日觀察到實際攻擊活動，並於7月17日向Gogs維護團隊通報。隨後CISA在2026年1月12日將CVE-2025-8110納入KEV清單，事件性質也從研究揭露，升級為官方明確列管且已遭利用的弱點項目。</p> <p>Gogs專案已在GitHub程式碼庫提交<a href="https://github.com/gogs/gogs/pull/8078">針對CVE-2025-8110的修補與說明</a>，核心方向是強化符號連結與路徑邊界檢查，避免透過PutContents等寫入流程把檔案更新導向儲存庫之外。企業與開發團隊應先盤點環境內是否仍在使用Gogs，特別是對外服務節點，再依供應商指引評估更新作業或採取等效緩解措施，例如減少對外曝露面與關閉不必要的開放註冊。</p> <p>CISA要求聯邦民事行政部門機關依供應商指引套用緩解措施，雲端服務則依相關指引處理，要是無法取得可行緩解措施就應停止使用該產品。CISA透過KEV機制建議各組織依清單排定弱點修補優先順序，將有限資源優先投入已被證實遭到利用的漏洞。</p> </div></div></div>
1/13 17:16作者李建興https://www.ithome.com.tw/news/173330
惡意NPM套件鎖定工作流程自動化平臺n8n而來，目的是竊取用戶的Google Ads憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>能將AI工具與日常工作流程整合，並在無須編寫程式碼的情況下，進行自動化的工具乘勢而起，其中的工作流程自動化NPM套件n8n有不少用戶，最近所屬的開發工程團隊與一家資安公司揭露多項重大層級漏洞，而成為焦點，如今也有攻擊者鎖定n8n用戶發動供應鏈攻擊，意圖藉此竊取各式憑證資料。</p> <p>資安公司Endor Labs指出，<strong><a href="https://www.endorlabs.com/learn/n8mare-on-auth-street-supply-chain-attack-targets-n8n-ecosystem">他們發現有人試圖入侵n8n社群節點（Community Node）的生態系統</a></strong>，利用偽裝成能整合Google Ads的惡意NPM套件，引誘用戶在表單輸入OAuth憑證，然後在n8n執行工作流程的期間，暗中將憑證傳送到攻擊者控制的主機。由於n8n允許使用者連結不同的服務，例如：Slack、GitHub，以及Google試算表等建立工作流程，需要儲存大量第三方服務的API金鑰和OAuth憑證，已成為駭客眼中極具價值的目標。</p> <p>駭客上架的惡意NPM套件共有8個，都是偽裝成能夠擴充n8n功能的社群節點，一旦使用者下載並部署到n8n環境，他們會看到看似正常的設定介面，並被誘導在特定表單填寫Google Ads的OAuth憑證，這些資料將會儲存在n8n的憑證庫（Credential Store）。由於惡意套件在執行的過程具備與n8n相關的權限，因此能從系統存取憑證及解密，然後傳送給駭客。</p> <p>上述手法能夠得逞，Endor Labs表示，涉及n8n的社群節點與主程式之間，缺乏沙箱隔離機制，這意味著，任何安裝的社群節點套件，都能存取完整的系統環境變數、檔案系統，以及n8n運作時解密的API金鑰。雖然目前的調查顯示，僅有部分特定的Google Ads套件受影響，但Endor Labs警告，這種攻擊模式極易擴大到其他服務。</p> <p>對此，Endor Labs向NPM通報之後，上述惡意套件已經下架，不過，他們還是呼籲用戶採取因應措施來防範相關攻擊，例如：優先使用n8n官方提供的社群節點套件、為工作流程使用的API金鑰與OAuth憑證分配最低必要權限，然後監控n8n伺服器是否出現異常的對外連線等情形。</p> </div></div></div>
1/13 17:44作者周峻佑https://www.ithome.com.tw/news/173316
工作流程自動化平臺n8n Ni8mare漏洞公開近一周，仍有近6萬臺自架實例未修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Cyera近日<a href="https://www.cyera.com/research-labs/ni8mare-unauthenticated-remote-code-execution-in-n8n-cve-2026-21858">公開</a>工作流程自動化平臺n8n重大資安漏洞CVE-2026-21858，n8n也隨後<a href="https://community.n8n.io/t/security-advisory-security-vulnerability-in-n8n-versions-1-65-1-120-4/247305/1">發布公告</a>提醒自架用戶儘速修補。根據Shadowserver<a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=other_range&d1=2026-01-08&d2=2026-01-12&source=http_vulnerable&source=http_vulnerable6&tag=cve-2026-21858%2B&dataset=unique_ips&limit=100&group_by=geo&stacking=stacked&auto_update=on">掃描結果</a>，截至2026年1月12日，仍有59,020個對外暴露的n8n實例尚未修補，其中有99個來自臺灣，且在先前周末期間一度觀測到105,763個暴露實例。</p> <p>n8n常被用來把雲端服務與內部系統串接成視覺化工作流程，成為不少團隊的自動化中樞。由於平臺往往集中保存各式連線憑證與機敏資料，一旦出現未授權存取漏洞，受影響的不只是一條流程，也可能擴及其連動的系統與資料。</p> <p>n8n在公告中說明，漏洞只會出現在特定的表單型工作流程。當工作流程同時具備可上傳檔案的表單提交觸發器，且在流程尾端以表單結束節點回傳二進位檔案時，因輸入驗證不當，未驗證的遠端攻擊者在特定條件下可能讀取底層檔案系統內容，造成機敏資訊曝光，並可能被用來進一步接管n8n實例，實際影響需視部署方式而定。</p> <p>Cyera研究人員將該漏洞命名為Ni8mare，並指出問題與請求內容類型判斷混淆有關，可能讓表單檔案處理走到非預期路徑，進而形成讀取檔案的能力，並在特定環境下被用來擴大影響。</p> <p>從時程來看，該漏洞其實已在去年完成修補，Cyera研究人員表示，他們在2025年11月9日向n8n通報漏洞，n8n於11月18日發布含修補的1.121.0版。CVE編號則在2026年1月6日由n8n完成指派，Cyera於1月7日公開研究內容，n8n在1月8日發布公告，提醒自架用戶盡速升級。</p> <p>就受影響範圍而言，n8n說明此漏洞主要影響自架版本1.65到1.120.4，並指出雲端託管環境由官方自動升級處理，2.x系列也已內建修補。對仍在上述版本區間的自架用戶，官方建議直接升級到1.121.0或更新版本。要是短期內無法升級，可先限制或停用對外公開的網路回呼與表單端點，降低被掃描與嘗試利用的機會。</p> </div></div></div>
1/13 16:43作者李建興https://www.ithome.com.tw/news/173325
為了增加作案成功機率，勒索軟體CrazyHunter被發現設有備用攻擊工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年初先後攻擊<strong><a href="https://www.ithome.com.tw/news/167327">馬偕醫院</a></strong>、<strong><a href="https://www.ithome.com.tw/news/167671">彰化基督教醫院</a></strong>，以及多家上市櫃公司，引起全臺矚目的勒索軟體駭客組織CrazyHunter，4月<strong><a href="https://www.ithome.com.tw/news/168224">刑事警察局揭露主嫌是中國籍駭客</a></strong>，<strong><a href="https://www.ithome.com.tw/news/168479">趨勢科技揭露作案手法</a></strong>，指出駭客大部分工具從GitHub取得，事隔半年多，有其他資安公司公布新的調查結果。</p> <p>資安公司Trellix指出，他們自2024年CrazyHunter出現就開始追蹤，駭客以Go語言開發勒索軟體，專門針對Windows電腦，主要目標就是臺灣的醫療保健產業，不過也有企業組織受害，他們確認至少有6家受害組織。這些駭客通常透過企業組織AD基礎設施的弱點，以及網域帳號和弱密碼作為初期入侵的管道，一旦成功，就會橫向移動及散布惡意軟體，其中一種主要手法，就是利用名為SharpGPOAbuse的工具，藉由群組原則物件（GPO）部勒索軟體的有效酬載。</p> <p>為了提升權限及突破資安防護措施，他們運用自帶驅動程式（BYOVD）手法，將反惡意軟體工具Zemana的驅動程式元件zam64.sys武器化，來達到目的。</p> <p>針對具體駭客的攻擊流程，他們會執行批次檔ru.bat進行一連串的活動，首先會執行go.exe與go2.exe停用電腦的防毒軟體或EDR，然後才透過go3.exe執行加密檔案的工作。Trellix提及，攻擊者有可能透過Donut Loader（bb.exe），於記憶體內載入Shell Code，檔名是crazyhunter.sys，目的是避免在磁碟上留下作案痕跡。</p> <p>比較特別的是，攻擊者設計了備用攻擊鏈，若是go.exe無法順利執行，ru.bat就會在受害電腦植入av-1m.exe來停用或阻礙防毒軟體運作；假若go3.exe或bb.exe無法正常運作，攻擊者準備了備用加密工具crazyhunter.exe，藉此增加成功加密檔案的機會。</p> <p>CrazyHunter的檔案加密工具以勒索軟體Prince為基礎打造而成，採用ChaCha20演算法來執行檔案加密工作，其特點是運用部分加密的機制，每加密1個位元組的資料，就跳過2個位元組不予處理，目的是縮短加密檔案的時間，儘可能癱瘓受害組織較多設備的運作。</p> </div></div></div>
1/13 16:47作者周峻佑https://www.ithome.com.tw/news/173312
OpenAI收購Torch Health，強化ChatGPT健康資料整合能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼於日前發表<a href="https://www.ithome.com.tw/news/173226" target="_blank">ChatGPT Health</a>之後，OpenAI周一（1/12）宣布已<a href="https://x.com/openai/status/2010813780671021106" target="_blank">買下醫療AI新創Torch Health</a>，準備提供全球用戶一個全新的健康認知與管理方式。根據外電報導，該交易價值1億美元，OpenAI是以股票支付。</p> <p>尚處測試階段的ChatGPT Health可供不同等級的OpenAI會員使用，相較於一般的聊天功能，ChatGPT Health擁有獨立的聊天空間，不管是對話、檔案或記憶都是隔離的；標榜具備專屬加密機制，且不會用來作為模型訓練資料；有別於尋常聊天偏向廣泛知識與建議，ChatGPT Health刻意降低了自信式的回答，更重視風險與邊界；且ChatGPT Health可連結病歷、穿戴裝置及各種健康App。</p> <p>2025年創立的Torch Health核心團隊來自於醫療AI公司Forward Health。2016年創立的Forward企圖以科技來革新醫療體驗，目標是結合感測器、行動裝置及AI，讓醫療更可及與個人化，卻在2024年因成本、會員及技術問題而宣告停業；隨後其核心團隊即創立Torch，鎖定整合健康資料，致力將分散在醫院、實驗室、穿戴裝置及消費健康服務的醫療資訊，整合成一個AI醫療記憶體，以讓AI能更全面理解個人健康資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0113-torch%20app%20health.png" style="width: 524px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Torch</span></span></p> <p>從上述脈絡可看出Torch即將於ChatGPT Health中所扮演的角色。</p> <p><a href="https://torchapp.com/" target="_blank">Torch表示</a>，每個人都應該得到現代醫學所能提供的最佳答案，但大家都曾有過摯愛的人，未能在健康上得到真正需要的答案；現在人們對自己身體所擁有的資料比過去任何時候都多，可要整合這些資料卻極為困難。AI是這數十年來最重要的新工具，有潛力將混亂轉化為清晰，但如果健康資料被分散在4家醫院、2個檢驗機構、7個App與3個網頁入口，那麼AI也無從發揮。</p> <p>因此，Torch的任務是替AI打造一套醫療記憶體，將四散的紀錄整合為一脈絡引擎，確保重要資訊不再被雜訊淹沒，加入OpenAI將能以更大的規模來實現此一願景，以在某天幫助到所愛的人。</p> <p>OpenAI則說，Torch可整合檢驗結果、用藥資訊及就診錄音，在結合ChatGPT Health之後，將能以一種全新的方式，協助使用者理解並管理自己的健康。</p> </div></div></div>
1/13 14:22作者陳曉莉https://www.ithome.com.tw/news/173323
3D資料處理程式庫Open3D擴大跨平臺GPU加速，並補齊Python 3.12與NumPy 2支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3D資料處理的開源程式庫Open3D公布0.19版<a href="https://www.open3d.org/2025/01/09/open3d-v0-19-is-out-with-new-features-and-more-gpu-support/">更新</a>，並釋出對應套件。該版更新兩項重點，分別是補上Python 3.12與科學運算函式庫NumPy 2相容性，以及把GPU加速支援，從既有的CUDA延伸到跨平臺方案。</p> <p>Open3D為跨C++與Python的3D資料處理函式庫，提供資料結構、演算法與視覺化元件，常見於點雲處理、網格處理與場景重建等工作。在GitHub平臺上，Open3D專案已被約1.4萬個公開儲存庫引用。</p> <p>Open3D新增以SYCL開放標準為基礎的實驗性跨平臺GPU支援，目標是讓同一套程式碼可在不同類型與廠牌的GPU上執行，包含整合式與獨立圖形處理單元。官方先提供Ubuntu 22.04以上可用的SYCL預覽版Python 3.10 wheel檔，並在其中加入採用Intel Embree的GPU加速光線投射（Raycasting），主打加速幾何計算等常見負載。而SYCL是一套由Khronos Group制定的規範，目標是用現代C++寫出可在CPU與GPU等異質運算裝置上執行的程式，同一份原始碼同時包含主機端與加速器端的程式邏輯。</p> <p>Open3D 0.19版納入CUDA 12支援，並推出macOS同時涵蓋ARM64與x86_64的通用Python套件wheel檔與C++二進位套件，降低跨架構部署的摩擦。對仰賴Python工具鏈的團隊而言，加入Python 3.12與NumPy 2支援，有助於跟上周邊套件升級節奏。</p> <p>Open3D 0.19還加入多項3D資料比較的度量指標，例如Chamfer距離、郝斯多夫距離與F值（F-Score），同時新增FlyingEdges演算法，可從密集3D體積資料抽取等值面（Isosurface）並生成三角網格，也擴充材質貼圖與取樣等功能。</p> <p>在機器學習生態的應用上，Open3D開始支援PyTorch 2.2與TensorFlow 2.16，但官方提醒，Linux平臺上提供的官方Python wheel檔目前僅支援PyTorch，不含TensorFlow。此外，檔案輸入輸出可直接接受Python標準函式庫pathlib.Path，並改善Python文件與型別註解。</p> </div></div></div>
1/13 14:47作者李建興https://www.ithome.com.tw/news/173319
中國駭客濫用VMware ESXi漏洞可能揭露前一年前就有工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.huntress.com/blog/esxi-vm-escape-exploit" target="_blank">資安公司Huntress偵測到</a>中國駭客濫用VMware ESXi 3個漏洞，攻擊活動可能在漏洞揭露前就悄悄展開了。</p> <p>Huntress在2025年12月偵測到一樁和VMware虛擬化平臺ESXi有關的攻擊行動。在該行動最後一個階段中，攻擊者濫用了<a href="https://www.ithome.com.tw/news/167667" target="_blank">VMware去年3月公告並修補</a>的3個ESXi漏洞，分別是CVE-2025-22224（CVSS風險值9.3）、CVE-2025-22225（CVSS風險值8.2）和CVE-2025-22226（CVSS風險值7.1）。成功濫用這些漏洞可讓取得管理員權限的攻擊者從VMX行程洩露記憶體資訊、或是惡意程式從VM沙箱逃逸，而在VMX行程執行。美國資安主管機關CISA則將這些漏洞列為已知遭利用漏洞（KEV）名冊。</p> <p>Huntress分析12月的入侵指標，追查出攻擊者複雜的活動路徑。他先從一個被駭的SonicWall VPN駭入受害者網路，並取得內部網路權限。攻擊者利用竊得的網域管理員憑證在內部網路橫向移動，包括濫用VMware系統。</p> <p>分析其濫用VMware的工具套件，當中二進位檔包含一個PDB路徑，發現一個具有簡體中文字串以及特殊訊息的文件夾（「全版本逃逸–交付」及ESXI_8.0u3），當中的時間為2024_02_19，顯示這套攻擊工具可能2024年初就已製作完成，並鎖定ESXi 8.0 Update 3的環境，且開發者可能來自簡體中文使用區域。研究人員相信，這些證據指向一個資源豐沛的開發組織。</p> <p>如果成功濫用3個ESXi漏洞，使用VM Escape手法的攻擊者可從guest VM逃逸，直接控制ESXi hypervisor，進一步影響該主機上所有VM。</p> <p>研究人員建議管理員應確保VPN等邊界裝置的安全防護、且由於VM隔離無法保證100%安全（因Hypervisor有漏洞），因此必需確保ESXi在最新版本。該攻擊工具套件支援ESXi 5.1到8.0。如果用戶使用的是已過支援期的版本，就可能受害。</p> </div></div></div>
1/13 13:17作者林妍溱https://www.ithome.com.tw/news/173318
Meta算力野心升級，Meta Compute規畫直逼雲端巨頭與國家級規模
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta創辦人暨執行長<a href="https://www.threads.com/@zuck/post/DTa3-B1EbTp" target="_blank">祖克柏（Mark Zuckerberg）周二（1/13）透過Threads宣布</a>，Meta正式成立了一個新的最高層級計畫Meta Compute，打算在未來10年建置數十GW等級的運算與能源規模，且未來可能成長到數百GW以上。</p> <p>以目前產業實際運作規模來看，單一大型AI訓練或推論叢集多落在100MW至500MW等級，僅少數超大型部署接近1GW。即便是OpenAI或Anthropic等前沿模型公司，其主要算力仍多分散建置於雲端服務商既有資料中心體系中，尚未以單一專案形式長期規畫超過數GW的集中式算力園區。</p> <p>若從雲端巨頭的累積規模觀察，外界普遍推估，微軟與Google目前全球資料中心與雲端基礎設施的總用電規模，已達低雙位數GW等級，屬於多年、跨區域逐步累積的成果；Amazon旗下AWS則被認為是全球規模最大的雲端基礎設施體系之一，其資料中心與相關能源需求亦落在高個位數至低雙位數GW的估計區間。</p> <p>在此背景下，祖克柏所提出的數十GW算力與能源規畫，已明顯超出單一AI公司或模型訓練需求的量級，其比較對象不再是OpenAI或Anthropic，而是微軟、Google、AWS等多年累積的全球資料中心總量，甚至上升至國家級算力與電力建設層次。</p> <p>Meta Compute將由Meta資深工程與基礎設施主管Santosh Janardhan，以及負責長期算力容量規畫、供應鏈與夥伴關係的Daniel Gross共同主導。</p> <p>其中，Janardhan將持續負責Meta的技術架構、軟體堆疊、矽晶片計畫、開發者生產力，以及全球資料中心與網路的建置與營運。Gross則會領導一個全新的團隊，專注於長期容量策略、供應商夥伴關係、產業分析、規畫與商業模型。</p> <p><a href="https://about.fb.com/news/2026/01/dina-powell-mccormick-joins-meta-as-president-and-vice-chairman/" target="_blank">本周Meta也宣布</a>延攬擅長整合資源、並曾服務兩任美國總統的Dina Powell McCormick出任Meta總裁暨副董事長。這是因為隨著Meta規模持續擴大，該公司正在打造支撐未來10年運算發展的龐大實體與財務體系，涵蓋資料中心、能源系統，以及全球連線的基礎建設，規模前所未見。</p> <p>McCormick將成為Meta管理團隊的一員，協助公司整體策略與執行，也將與各個運算及基礎設施團隊合作，確保數十億美元的投資符合目標；並主導建立新的策略性資本夥伴關係，探索擴大長期投資能力的創新方式。</p> <p>上述任務之一讓McCormick也會與Janardhan及Gross合作，推動與各國政府及主權機構的合作，共同建置、部署、投資，以及融資Meta的基礎設施。</p> </div></div></div>
1/13 12:25作者陳曉莉https://www.ithome.com.tw/news/173314
駭客揚言公開Nissan 900GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://cybernews.com/security/nissan-900gb-data-leak-ransomware/" target="_blank">媒體Cybernews發現</a>，親俄勒索軟體駭客組織Everest Group本周在暗網上宣稱，已取得日本汽車大廠日產（Nissan）的內部資料900GB，揚言本周內不付贖金就要公開。</p> <p>這個組織是在1月10日張貼公告，並稱Nissan只剩5天時間。駭客並張貼了Nissan部份檔案的螢幕擷圖。公布的資料欄位均已塗黑，但可辨識出是汽車經銷商名冊，包含經銷商名稱、地址、所在城市、郵遞區號等資訊。此外還有Nissan內部文件、失竊車輛報告等。</p> <p>媒體未說明是否能證實這份資料的真實性。</p> <p>Everest Group是近期活動猖獗的駭客組織。這群駭客去年底也先後宣稱<a href="https://www.ithome.com.tw/news/172642" target="_blank">取得華碩</a>內部檔案包含相機軟體原始碼，以及美商<a href="https://www.ithome.com.tw/news/173067" target="_blank">克萊斯勒</a>包含Salesforce等1TB資料。</p> <p>Nissan也多次傳出資料外洩攻擊。<a href="https://www.ithome.com.tw/news/172974" target="_blank">去年12月公告</a>，受IT服務商Red Hat被駭牽連，外洩2.1萬份客戶資料。不確定這次事件和本周駭客公布的是否為同一批資料。</p> <p>此外，去年8月勒索軟體駭客<a href="https://www.ithome.com.tw/news/170849" target="_blank">Qilin也稱</a>入侵日產汽車旗下設計公司CBI，竊取4 TB規模的資料。</p> </div></div></div>
1/13 12:47作者林妍溱https://www.ithome.com.tw/news/173315
從寫程式到交辦工作，Anthropic以Cowork延伸Claude Code
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://claude.com/blog/cowork-research-preview" target="_blank">Anthropic周一（1/12）開始預覽Cowork</a>，這是一種建立在Claude Code之上的新工作模式，目標是讓Claude不再只回應指令，而能實際接手並完成一整段工作流程。</p> <p>由於Cowork是Claude Code能力的延伸，Claude Code僅提供給Claude Max用戶，因此Cowork目前也僅支援Claude Max用戶，並以研究預覽形式於macOS桌面App中測試。</p> <p>Cowork的核心特性，在於讓AI具備實際執行工作的能力。與一般對話式AI不同，使用者可授權Claude存取電腦中特定資料夾，讓AI直接讀取、編輯或建立檔案，而非僅提供文字建議。例如，Claude可自動整理下載資料夾、重新命名檔案，從多張截圖中彙整支出資料並生成試算表，或將零散筆記整理成可用的報告初稿。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0113-Cowork-anthropic-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anthropic</span></span></p> <p>在任務執行方式上，Cowork具備高度自主性。使用者只需描述目標，Claude便會自行拆解工作步驟、規畫執行順序，並持續完成任務，同時回報目前進度，而不需要每一步都由人類反覆下指令。整體互動模式更接近將工作交辦給同事，而非傳統的一問一答。</p> <p>Cowork延續Claude Code的底層架構，可搭配使用者既有的連接器，讓Claude取得外部資訊來源。此外，Anthropic也為Cowork加入初始技能組，強化文件、簡報與檔案產出的能力；若搭配Chrome中的Claude使用，亦可處理需要瀏覽器存取的任務。</p> <p>不過，Anthropic亦提醒，賦予AI更高自主性同時伴隨風險。Cowork在執行任何重大操作前會向使用者確認，但若指令描述不夠明確，仍可能發生誤刪檔案等情況。此外，提示注入等代理安全問題，也仍是整個產業持續面對的挑戰。</p> <p>Cowork並非唯一嘗試將AI推向可交辦、可執行工作模式的產品。微軟近年在Windows與Microsoft 365中強化Copilot，讓AI直接介入郵件、文件與行事曆等工作流程；Google則透過Gemini與Workspace整合，支援跨文件、試算表與簡報的AI協作。另一方面，OpenAI與Zapier等業者，也持續探索具備更高自主性的AI代理人，用於串接工具並執行多步驟任務。</p> <p>不過，多數現行產品仍以雲端服務或特定應用內操作為主，較少直接讓AI在本機檔案層級讀寫並持續執行任務。Cowork則正在測試代理式AI能否安全、穩定地進入日常工作流程，也顯示生成式AI正逐步從「輔助決策」走向「實際代勞」的階段。</p> </div></div></div>
1/13 13:00作者陳曉莉https://www.ithome.com.tw/news/173317
蘋果Apple Intelligence將使用Google Gemini基礎模型、雲端技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/company-news/inside-google/company-announcements/joint-statement-google-apple/" target="_blank">蘋果與Google昨日以簡單聲明</a>，證實蘋果裝置上的Apple Intelligence包括Siri服務，將使用Google雲端技術，並以Gemini為基礎模型。</p> <p><a href="https://www.bloomberg.com/news/articles/2025-08-22/apple-explores-using-google-gemini-ai-to-power-revamped-siri" target="_blank">彭博去年年中首先報導</a>兩大科技龍頭正在研議合作，以Gemini作為蘋果Siri的AI底層技術，協助將Siri進化成AI助理。</p> <p>在本周的聯合聲明中，雙方表示已達成多年合作，使蘋果基礎模型（Apple Foundation Models）將以奠基於Google Gemini模型及雲端技術之上。Gemini模型將協助推動Apple Intelligence未來功能，包括今年將推出更個人化的Siri。</p> <p>經過審慎考量，蘋果認為Google的AI技術能為蘋果基礎模型提供最強大的基礎。蘋果表示對為用戶開創的新體驗感到興奮，並說Apple Intelligence將會持續執行在蘋果裝置及Private Cloud Compute，同時維持領導業界的隱私標準。</p> <p>根據去年彭博報導，蘋果將支付Google每年10億美元換取存取Gemini模型的權利。</p> <p>這項合作的宣布，也讓業界追問已久的問題獲得解答。在Google Gemini、OpenAI ChatGPT成為AI聊天機器人龍頭、蘋果Siri仍未現代化。在iOS 26，蘋果雖然公布Apple Intelligence的簡單AI功能如摘要通知，草擬訊息、搜尋相片等，但卻遲遲不見以AI改造更個人化的Siri。</p> <p>這項合作也是兩家科技巨擘的最新搭檔。蘋果iPhone、iPad和Mac上Safari瀏覽器預設使用Google搜尋引擎，<a href="https://www.macrumors.com/2024/05/01/google-default-search-engine-safari-20-billion/" target="_blank">根據彭博報導</a>，為此蘋果一年可以獲得180-200億美元進帳。</p> <p>最新合作對業界有何影響還不得而知。例如，OpenAI與蘋果2024年的合作下，讓Siri和Apple Intelligence的Writing Tools整合ChatGPT。未來OpenAI的份量可能會受影響。此外，蘋果與Google的結盟，極可能會引發反托拉斯主管機關的關心，一如雙方在網路廣告市場及瀏覽器市場的合作。</p> <p><a href="https://x.com/elonmusk/status/2010785742427979894" target="_blank">xAI執行長馬斯克就表示</a>這簡直是Google權力不合理集中，因為他們已經有了Android和Chrome。xAI先前已對蘋果和OpenAI的合作感到不滿而提出壟斷控告。</p> </div></div></div>
1/13 11:32作者林妍溱https://www.ithome.com.tw/news/173313
Anthropic推出Claude for Healthcare，瞄準醫療行政與臨床試驗流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic周一（1/12）正式<a href="https://www.anthropic.com/news/healthcare-life-sciences" target="_blank">推出Claude for Healthcare</a>，這並非AI看診或健康諮詢服務，而是將生成式AI導入醫療體系與生命科學產業的內部工作流程，協助處理醫療行政、臨床試驗與法規文件等高合規作業。Anthropic藉此宣告，Claude已具備進入醫院、保險公司與藥廠正式流程中使用的商用成熟度，鎖定B2B市場。</p> <p>Anthropic強調，Claude for Healthcare採用符合美國醫療隱私法規《健康保險可攜與責任法案》（Health Insurance Portability and Accountability Act，HIPAA）的設計，讓醫療機構與保險單位能夠在合規前提下，將生成式AI導入內部作業流程。</p> <p>在實際應用上，Claude for Healthcare主要聚焦醫療體系中高度文件導向、流程繁複的行政環節，包括事前授權審查、理賠文件整理、給付規範與臨床指引比對，以及醫療人員與機構資格驗證等作業。Anthropic指出，這類流程往往需要同時查閱多套制度與資料來源，錯誤成本高，也是醫療體系長期的人力負擔來源。</p> <p>在生命科學領域，Anthropic將同一套能力延伸至藥物與醫材研發流程，涵蓋臨床試驗設計、收案與場站管理，以及法規文件準備與補齊。Anthropic表示，不管是醫療行政或臨床試驗，本質皆屬於規則密集、流程冗長且高度受監管的作業場景，適合以單一流程型AI來橫向支援，而非拆分為不同產品線。</p> <p>根據實際應用，這些工具可替使用者節省最多90%時間，例如臨床試驗協議設計從數天縮短至約一小時，Novo Nordisk的臨床文件處理從12周減至10分鐘，Banner Health則有85%醫護人員回報效率提升。</p> <p>為支撐上述應用，Anthropic也強調Claude在模型穩定性與一致性上的提升，重點在於降低事實性錯誤與流程誤判風險，而非提供診斷或治療建議；且Claude在不確定時需能停下來交由人工審核，以符合醫療與法規場景的實際需求。目前Claude已部署於AWS、Google Cloud及微軟三大雲端平臺，未來將持續以「可被納入正式工作流程」為核心策略。</p> </div></div></div>
1/13 10:45作者陳曉莉https://www.ithome.com.tw/news/173311
VS Code 1.108新增Agent Skills，讓Copilot代理可載入工作區技能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟釋出VS Code 2025年12月版<a href="https://code.visualstudio.com/updates/v1_108">1.108</a>，新版更新重點之一是新增實驗性的代理技能Agent Skills，讓GitHub Copilot的程式開發代理在需要時可從工作區載入指引、腳本與資源，以便更理解團隊的開發脈絡。</p> <p>該代理技能的重點，是把代理需要理解的流程與知識整理成資料夾，並以SKILL.md定義技能行為，內容可包含指引、腳本與資源。VS Code會自動從工作區的.github/skills目錄偵測這些技能，並保留對.claude/skills目錄的相容支援，之後在對話需求相關時按需載入至聊天脈絡。該功能目前仍為實驗階段，需在設定中啟用chat.useAgentSkills才會生效。</p> <p>隨著代理技能上線，VS Code也同步強化代理工作階段管理，新版代理工作階段檢視介面改善鍵盤操作與可近用性，並依狀態與時間分組，方便掌握進度。檢視介面也會提示該工作階段涵蓋的檔案變更與關聯的拉取請求，並支援一次封存多個工作階段。聊天的快速選擇器也改以代理工作階段為基礎，使用者可回到既有對話並進行封存、重新命名或刪除。</p> <p>由於要讓代理在終端機執行指令時更可控，VS Code調整了終端機工具的預設核准規則。當使用者啟用自動核准後，一些常見且相對安全的命令型態將預設可自動通過，並在規則被預設或自訂政策拒絕時顯示資訊訊息。另一項更新是加入避免寫入Shell歷史紀錄的機制，在殼層（Shell）整合功能可用時，終端機工具執行的命令預設不會寫入命令列殼層bash、zsh、PowerShell與fish的歷史紀錄，並可透過設定調整是否保留。</p> <p>在日常開發體驗上，該版本也調整終端機智慧提示的預設互動。官方表示，先前建議在輸入時自動彈出的作法影響部分終端機重度使用者的操作習慣，因此新版改為需要明確觸發才顯示建議，並以更直覺的狀態列提示提高可發現性。</p> <p>除了代理與終端機相關變更，1.108也補齊部分團隊協作的細節，例如設定檔可用拖放方式匯入，方便在新環境快速套用既有配置。版本控制方面也新增責任追溯可忽略空白字元變更的設定選項，讓專案在進行大規模程式碼格式調整後，仍能較不受版面差異干擾。</p> </div></div></div>
1/13 10:59作者李建興https://www.ithome.com.tw/news/173301
駭客論壇BreachForums用戶資料外流，32.4萬筆帳號與管理員PGP私鑰曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Resecurity<a href="https://www.resecurity.com/blog/article/doomsday-for-cybercriminals-data-breach-of-major-dark-web-foru">指出</a>，名為shinyhunte.rs且以ShinyHunters命名的網站在美西時間1月9日更新內容，釋出與駭客論壇BreachForums相關的用戶資料庫匯出檔，規模約32.4萬筆帳號後設資料。研究人員另提到，該散布資源後續在1月10日公布疑似可解鎖用於簽署管理員官方訊息之PGP私鑰密語（Passphrase），且有研究人員向外媒確認該密語可用。</p> <p>Resecurity研究人員表示，其分享的資料庫包含323,986名用戶的後設資料，來源是MyBB論壇軟體相關的MySQL資料表hcclmafd2jnkwmfufmybb_users。研究人員研判，外流可能與網站使用的CMS或相關網頁應用程式弱點，或伺服器配置不當有關，並提醒不要從其他來源下載，以免夾帶惡意程式碼。</p> <p>外媒Bleeping Computer則<a href="https://www.bleepingcomputer.com/news/security/breachforums-hacking-forum-database-leaked-exposing-324-000-accounts/">指出</a>，外流內容以名為breachedforum.7z的7 Zip壓縮檔形式散布，內含 shinyhunte.rs-the-story-of-james.txt、databoose.sql、breachedforum-pgp-key.txt.asc 三個檔案，並提到，有自稱ShinyHunters成員向該媒體表示，與散布壓縮檔的網站無關。</p> <p>Bleeping Computer解析databoose.sql，認為其中是MyBB的users資料表mybb_users，共323,988筆會員紀錄，欄位包含顯示名稱、註冊日期、IP位址等內部資訊。該媒體抽樣後指出，多數IP指向本機迴圈位址127.0.0.9，實際追溯價值有限，但仍有70,296筆紀錄不含127.0.0.9，且測試結果可對應到公網IP，可能對部分使用者的作業安全造成壓力，也可能成為執法與研究單位可用的線索。</p> <p>另外，Bleeping Computer指出，壓縮檔內的breachedforum-pgp-key.txt.asc是一把建立於2023年7月25日的PGP私鑰，用於簽署管理員官方訊息，原本因密語保護而難以被濫用。Resecurity研究人員則提到，該散布資源在公布了疑似對應這把PGP私鑰的密語，而Bleeping Computer進一步表示，另有研究人員向其確認該密語可解鎖該私鑰。</p> <p>現任管理員N/A也對外回應此事，Bleeping Computer引述其說法，稱MyBB用戶資料表備份在修復流程中曾短暫放在未設防目錄，且該目錄在暴露期間被下載一次。N/A並強調，這批資料屬於2025年8月論壇復原期間的舊用戶表外流，並非近期新事件。</p> <p>BreachForums是一系列以交易與散布外洩資料為主的地下論壇名稱，曾被用來販售被竊資料，也包含兜售企業網路存取權等非法服務。該論壇在多次執法行動與外流事件後，仍多次以不同網域重新開張，外界也不時質疑其可能成為執法單位的誘捕站。</p> </div></div></div>
1/13 09:36作者李建興https://www.ithome.com.tw/news/173296
中國APT組織UAT-7290鎖定電信產業，邊緣設備成為關鍵入侵管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國駭客組織鎖定電信產業，濫用一日（One-day）漏洞與已公開的概念驗證（PoC）攻擊程式碼，入侵對外服務的邊緣網路設備。</p> <p><a href="https://blog.talosintelligence.com/uat-7290/" target="_blank">思科威脅情報團隊Cisco Talos指出</a>，一個具中國背景的進階持續性威脅（APT）組織，近年持續鎖定電信產業發動網路間諜行動，並將邊緣網路設備作為取得初始存取權限的主要入侵管道。該組織被追蹤為UAT-7290，過去主要活動於南亞地區，近期已被觀察到將攻擊行動擴及東南歐。</p> <p>研究人員表示，UAT-7290至少自2022年起即持續活動，鎖定電信等高價值關鍵基礎設施營運單位。Cisco Talos評估，該組織不僅執行長期情報蒐集與滲透行動，也扮演「初始入侵供應者」角色，為其他具中國背景的威脅組織建立後續攻擊所需的基礎設施，放大整體風險影響。</p> <p><span style="color:#B22222;"><strong>邊緣設備成為高成功率的初始入侵破口</strong></span></p> <p>Talos研究顯示，UAT-7290在發動攻擊前，會先進行長時間偵察，鎖定對外服務的邊緣網路設備，並結合一日漏洞與針對性SSH登入嘗試，取得系統層級的初始存取權限。這類行動並非大規模掃描，而是針對特定設備與管理帳號進行精準嘗試，行為隱蔽且成功率高。</p> <p>一旦邊緣設備遭入侵，攻擊者即可將其作為後續滲透、橫向移動與長期潛伏的跳板，對企業營運與關鍵通訊服務構成實質風險。研究人員也指出，UAT-7290主要依賴已公開的概念驗證（PoC）攻擊程式碼，而非自行投入高成本的零日漏洞開發，顯示即便是已知漏洞，在修補不及的情況下，仍可能被用於高影響力攻擊。</p> <p><strong><span style="color:#B22222;">建立作戰中繼節點，支援其他中國背景攻擊行動</span></strong></p> <p>除了直接執行間諜行動，Talos也觀察到，UAT-7290會在遭入侵的設備上建立「作戰中繼節點」（Operational Relay Box，ORB）基礎設施，作為攻擊跳板，供其他具中國背景的威脅組織使用，以隱匿攻擊來源並提升行動持續性。</p> <p>此外，UAT-7290在攻擊工具上，與多個中國背景APT組織存在高度重疊，主要使用Linux架構惡意程式，並在特定情境下部署RedLeaves與ShadowPad等Windows惡意程式。Talos指出，部分惡意程式使用的TLS憑證，與資安業者Sekoia先前揭露的樣本一致，顯示相關攻擊基礎設施可能在多起行動中被重複使用。</p> <p><span style="color:#B22222;"><strong>一日漏洞風險不容低估</strong></span></p> <p>資安研究人員提醒，一日漏洞指已被公開揭露、甚至已有修補程式的漏洞，但在企業尚未完成修補前，仍可能被攻擊者利用。由於相關技術細節與PoC程式碼多可公開取得，使攻擊門檻大幅降低，特別容易成為電信與關鍵基礎設施的入侵破口。</p> <p>研究人員建議，企業與關鍵基礎設施營運單位，應將邊緣設備視為關鍵執行環境，強化漏洞修補、存取權限與網路分區控管，並納入正式的資安治理與風險管理範疇，以降低一日漏洞遭濫用所帶來的衝擊。</p> </div></div></div>
1/13 09:59作者王珮瑤https://www.ithome.com.tw/news/173306
駭客鎖定配置錯誤的代理伺服器與LLM端點，試圖濫用付費API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安監測業者GreyNoise公布一份基於蜜罐的<a href="https://www.greynoise.io/blog/threat-actors-actively-targeting-llms">觀測結果</a>，指出他們在語言模型開源工具Ollama蜜罐環境中，於2025年10月至2026年1月間記錄到91,403次攻擊會話，並歸納出兩波主要行動。一波以伺服器端請求偽造（SSRF）為主，手法是迫使伺服器對外發出連線，並透過帶外回呼機制確認是否成功，另一波則大規模探測LLM端點，疑似專門尋找配置錯誤的代理伺服器或對外暴露的相容API介面，藉此取得商用付費API的存取機會。</p> <p>研究人員指出，攻擊者鎖定Ollama的模型拉取功能，透過注入惡意註冊庫URL，誘使伺服器替攻擊者對外發出HTTP請求。同一期間也觀測到與Twilio SMS webhook整合相關的探測行為，攻擊者透過操弄MediaUrl參數觸發外連。該行動在耶誕節前後出現尖峰，48小時內累積1,688次會話，攻擊者使用帶外（Out-of-Band）應用程式安全測試OAST的回呼方式確認是否成功，手法常見於漏洞研究與自動化測試，但規模仍值得企業留意。</p> <p>從2025年12月28日開始，僅兩個IP在11天內就產生80,469次會話，系統性探測73種以上LLM模型端點，測試同時涵蓋相容於OpenAI的API格式與Google的Gemini格式。探測提示刻意保持低雜訊，多為問候、空字串或簡單常識題，目的可能是辨識端點背後真正回應的模型類型，同時降低觸發告警的機率。</p> <p>研究人員並指出，這兩個IP在其資料中與大量已知弱點的掃描與利用活動有關聯，因此將這波端點掃描評估為較具組織性的偵察，可能是在建立後續攻擊所需的目標清單。值得注意的是，GreyNoise未提及入侵或資料外洩的具體證據，目前能確認的是針對LLM端點的高強度偵察行為。</p> <p>由於不少團隊為了整合多家模型或降低開發門檻，會架設代理伺服器與相容API端點，一旦權限控管、來源限制或網路邊界設定不完整，服務又暴露在網際網路上，就可能被掃描當成攻擊入口，帶來付費額度被濫用與稽核追溯困難等風險。研究人員也直言，8萬次以上的請求，代表攻擊者願意投入資源繪製地圖，對外暴露的LLM端點很可能已經被納入他們的觀測清單。</p> </div></div></div>
1/13 10:10作者李建興https://www.ithome.com.tw/news/173300
【資安日報】1月12日，趨勢修補旗下集中管理平臺Apex Central重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173278"><strong style="font-size: 22px;">趨勢科技發布Apex Central更新，修補能引發遠端程式碼執行的重大資安漏洞</strong></a></p> <p>1月7日趨勢科技發出安全公告及更新版軟體，修補集中管理控制臺Apex Central資安漏洞CVE-2025-69258、CVE-2025-69259，以及CVE-2025-69260，這些漏洞影響內部建置的Windows版本，該公司發布Build 7190版予以修補。</p> <p>這3項漏洞中，最受到關注的是列為重大層級的CVE-2025-69258，此漏洞存在於LoadLibraryEX元件，可被用於遠端程式碼執行（RCE），CVSS風險值為9.8（滿分10分）。這項漏洞可讓未經驗證的攻擊者利用，在重要的可執行檔載入惡意DLL元件，而能以SYSTEM權限在Apex Central執行攻擊者的程式碼。</p> <p>另外兩項漏洞CVE-2025-69259與CVE-2025-69260，都屬於能引發阻斷服務（DoS）的高風險漏洞，風險值皆為7.5，形成原因有所不同：CVE-2025-69259為訊息未檢查回傳空值（Null）造成；CVE-2025-69260為越界讀取訊息所致。</p> <p><a href="https://www.ithome.com.tw/news/173263"><strong style="font-size: 22px;">CISA警告HPE近期修補的OneView滿分漏洞、15年前的PowerPoint漏洞遭到濫用</strong></a></p> <p>美國網路安全暨基礎設施安全管理署（CISA）發布公告，將兩個漏洞加入已遭利用的漏洞列表（KEV），要求聯邦政府機關於1月28日前完成修補。這些漏洞包括：HPE OneView風險值達到10分的漏洞CVE-2025-37164，以及微軟Office漏洞CVE-2009-0556。</p> <p>CVE-2025-37164存在於HPE基礎架構管理軟體OneView，可讓遠端未經驗證的攻擊者濫用，發動遠端程式碼執行，風險值高達10.0。HPE去年12月已釋出可套用於v5.20至v10.20的安全熱修補程式，並建議用戶升級至已修補的v11.00或更新版本。</p> <p>CVE-2009-0556是微軟2009年就修補的PowerPoint程式碼注入漏洞。攻擊者可傳送變造過的PowerPoint檔案，經由使用者開啟觸發。成功濫用本漏洞可使攻擊者完全控制受害電腦，或新增高權限的使用者帳號。</p> <p><a href="https://www.ithome.com.tw/news/173259"><strong style="font-size: 22px;">GitLab修補多項高風險漏洞，涉及跨站指令碼與權限濫用，自管環境應儘速更新</strong></a></p> <p>程式碼代管與DevOps平臺GitLab於1月7日發布18.7.1、18.6.3與18.5.5版本，修正多項資安漏洞，涵蓋跨站指令碼（XSS）、授權檢查缺失、拒絕服務（DoS），以及資訊洩露等風險，其中部分漏洞風險評分達高風險等級，可能影響GitLab多項核心功能與平臺存取控制機制。</p> <p>GitLab修補兩項高風險跨站指令碼漏洞，其中一項為CVE-2025-9222（CVSS風險分數為8.7），攻擊者可濫用GitLab Flavored Markdown標記語言的占位符（Placeholders）機制，發動儲存型跨站指令碼攻擊；另一項CVE-2025-13761（CVSS風險分數為8.0）則影響Web IDE，可能讓未經身分驗證的攻擊者，誘使使用者造訪特製網頁，在其瀏覽器中執行任意指令碼。</p> <p>另外有多項漏洞涉及授權檢查不足問題，包括Duo Workflows API（CVE-2025-13772）與AI GraphQL突變（CVE-2025-13781）。攻擊者可能透過操控API請求或GraphQL突變（mutation），存取或修改未經授權的AI模型設定，甚至變更整個GitLab執行個體層級的AI功能供應商設定。</p> <p><a href="https://www.ithome.com.tw/news/173270"><strong style="font-size: 22px;">jsPDF修補重大漏洞，Node.js環境恐遭濫用竊取本機敏感資料</strong></a></p> <p>廣泛用於JavaScript應用程式產生PDF文件的函式庫jsPDF，近日被揭露存在一項重大資安漏洞，主要影響在伺服器端使用jsPDF產生PDF文件的應用情境。攻擊者可能透過不當的檔案載入機制，未經授權讀取並外洩伺服器本機檔案系統中的敏感資料。該漏洞已被登記CVE-2025-68428列管，CVSS風險分數高達9.2。</p> <p>這項漏洞屬於本機檔案包含（Local File Inclusion，LFI）與路徑遍歷（Path Traversal）問題，影響jsPDF 4.0.0之前的版本。當應用程式在Node.js環境中，將未經妥善驗證的檔案路徑作為參數，傳入jsPDF的loadFile方法（method）時，攻擊者可能讀取Node.js處理程序權限範圍內可存取的本機檔案，並將檔案內容嵌入到生成的PDF檔案中。</p> <p>針對這項漏洞，jsPDF團隊已在4.0.0版本中完成修補，預設限制對檔案系統的存取，並改為依賴Node.js的權限模式（permission mode）進行控管。官方也指出，在較新的Node.js版本中，可於正式環境啟用--permission旗標，以降低遭到濫用的風險。</p> <p><a href="https://www.ithome.com.tw/news/173279"><strong style="font-size: 22px;">駭客兜售52萬筆臺灣好市多會員個資，業者澄清：非該公司會員資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/5303606_3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/5303606_3.jpg" style="width: 300px; float: right;" /></a></p> <p>去年7月，有人聲稱對全聯福利中心旗下的支付服務公司全支付下手，入侵其測試環境並取得管理員帳密，引發外界對全支付資安防護的關注。如今傳出有人聲稱，他們從另一家臺灣大型零售業者竊得會員個資並兜售。</p> <p>根據自由時報的報導，自稱是Solonik的人士於1月7日宣稱，他握有臺灣Costco（好市多）會員個資52.6萬筆，涵蓋會員姓名、身分證字號、電子郵件信箱，以及明文帳號密碼等資料，打算出售這批資料並公布部分內容取信買家。對此，臺灣好市多表示，經確認這批資料並非該公司會員個資，他們相關系統皆由公司自行開發與維護，資料存放於總公司機房，並未採用外部系統廠商的資料管理程式，好市多強調，保障會員權益為他們的一貫原則。</p> <p>比較特別的是，自由時報提及，有部分會員註冊好市多會員電子郵件信箱結尾是.gov.tw，應為我國政府機關的公務信箱，依照規定不該用來註冊網路購物平臺，由於這類信箱屬政府資產，有可能稽核或調閱，也是駭客偏好用來網釣或詐騙的對象。究竟這種情況是否會帶來更嚴重的衝擊，有待進一步觀察。</p> <p><a href="https://www.ithome.com.tw/news/173291"><strong style="font-size: 22px;">駭客於多個論壇兜售1750萬筆Instagram用戶資料，傳出是4年前的舊資料再度流出</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G-PDpTZXQAcka9a.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G-PDpTZXQAcka9a.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Malwarebytes的社群網站貼文，他們1月10日在X上提出警告，有人竊得1,750萬筆Instagram帳號敏感資料，內容包括使用者名稱、實體地址、電話號碼，以及電子郵件信箱。不過特別的是，他們附上一張重設密碼的電子郵件截圖，似乎意有所指，攻擊者疑似假借重設密碼通知信從事網釣。</p> <p>根據Bleeping Computer、GBHackers On Security，以及SecurityAffairs等多家資安新聞網站的報導，這批資料已經流入多個駭客論壇，並提供用戶下載，而且，駭客已向Instagram用戶從事網釣攻擊，以密碼重設為由寄送電子郵件來犯案。</p> <p>這批資料的內容為何？發布資料的人士聲稱，檔案來自2024年由Instagram的API資料外洩事故，包括17,015,503個ID、16,553,662個使用者名稱、12,418,006個姓名、6,233,162個電子郵件、3,494,383組電話號碼，以及1,335,727個實際地址。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=170444&SPOKE_DATE=20260110&COMPANY_ID=2832"><strong style="font-size: 22px;">臺產驚傳遭網路駭客攻擊</strong></a></p> <p>曾推出第一張防疫保單引發搶購熱潮的臺灣產物保險（2832），於1月10日傍晚發布重大訊息，證實公司網路偵測到異常攻擊事件。該公司表示，在事發第一時間已迅速啟動資安防禦機制與盤查程序，目前已成功阻斷攻擊，初步評估對公司財務及業務並無重大影響。</p> <p><a href="https://www.ithome.com.tw/news/173253"><strong style="font-size: 22px;">【未來四年最重要的資安監理，從根本思維展開大變革】金融資安韌性發展藍圖出爐</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/圖5-四大主軸-圖片來源-金管會.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E5%9B%9B%E5%A4%A7%E4%B8%BB%E8%BB%B8-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%87%91%E7%AE%A1%E6%9C%83.png" style="width: 300px; float: right;" /></a></p> <p>金管會在2025年底最後一場記者會，發布了「金融資安韌性發展藍圖」，作為未來四年，金融產業資安監理最重要的新戰略。這份藍圖的出爐，正式宣告了我國金融資安戰略的改變，跟進全球，從「被動防禦」思維，轉變成「主動韌性」思維。</p> <p>從2020年到2025年，這五年來，金管會的資安監理主要採取以系統為中心的「營運持續」思維，目標是關鍵金融系統提供的服務不會中斷，從合規導向來設計相關規範，來降低、避免和防範各種資安的風險，這是一種盡可能希望資安事故不要發生的角度來考慮。</p> <p>但是，到了2026年，新發布的「金融資安韌性發展藍圖」，金管會的資安監理思維，從本質上有了截然不同的大改變，不是擴大了資安治理的範圍，從系統為中心，轉變為以服務為中心，從關鍵系統的防護，擴大到整個生態，連同供應商、合作夥伴都要納入考量。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/muddywater-launches-rustywater-rat-via.html">殺豬公詐騙出現分工，資安公司揭露專門提供基礎設施與相關工具的租用服務供應商</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-oauth-attack/">鎖定OAuth身分驗證的ConsentFix網釣手法出現變形，新調查發現可繞過Entra ID竊取金鑰</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/bluedelta-hackers-2/">俄羅斯駭客APT28試圖竊取微軟OWA、Google、Sophos SSL VPN憑證</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/muddywater-launches-rustywater-rat-via.html">伊朗駭客MuddyWater鎖定中東而來，透過網釣散布RAT木馬RustyWater</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/whatsapp-worm-spreads-astaroth-banking.html">WhatsApp蠕蟲透過自動語音攻擊巴西用戶，意圖散布金融木馬Astaroth</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173257"><strong>【1月9日】思科修補網路存取控制平臺ISE資訊洩露漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173251"><strong>【1月8日】駭客利用React2Shell及FortiWeb資安漏洞從事針對性攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173221"><strong>【1月7日】殭屍網路Kimwolf透過固定代理伺服器網路進行擴散</strong></a></p> </div></div></div>
1/12 17:17作者周峻佑https://www.ithome.com.tw/news/173295
駭客於多個論壇兜售1750萬筆Instagram用戶資料，傳出是4年前的舊資料再度流出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週名為Solonik的人士在<strong><a href="https://www.ithome.com.tw/news/173279">暗網駭客論壇兜售臺灣Costco（好市多）會員個資</a></strong>，引起國內媒體爭相報導，現在傳出此人握有社群網站Instagram大批資料，並在多個駭客論壇散布，成為全球資安圈的焦點。</p> <p>這個消息最早源自<strong><a href="https://x.com/Malwarebytes/status/2009664994070184282">資安公司Malwarebytes的社群網站貼文</a></strong>，他們1月10日在X上提出警告，有人竊得1,750萬筆Instagram帳號敏感資料，內容包括使用者名稱、實體地址、電話號碼，以及電子郵件信箱。不過特別的是，他們附上一張重設密碼的電子郵件截圖，似乎意有所指，攻擊者疑似假借重設密碼通知信從事網釣。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/instagram-denies-breach-amid-claims-of-17-million-account-data-leak/">Bleeping Computer</a></strong>、<strong><a href="https://gbhackers.com/massive-instagram-data-breach/">GBHackers On Security</a></strong>，以及<strong><a href="https://securityaffairs.com/186765/data-breach/a-massive-breach-exposed-data-of-17-5m-instagram-users.html">SecurityAffairs</a></strong>等多家資安新聞網站的報導，這批資料已經流入多個駭客論壇，並提供用戶下載，而且，駭客已向Instagram用戶從事網釣攻擊，以密碼重設為由寄送電子郵件來犯案。</p> <p>這批資料的內容為何？發布資料的人士聲稱，檔案來自2024年由Instagram的API資料外洩事故，包括17,015,503個ID、16,553,662個使用者名稱、12,418,006個姓名、6,233,162個電子郵件、3,494,383組電話號碼，以及1,335,727個實際地址。<strong><a href="https://x.com/IntCyberDigest/status/2010055422523388088">資安電子報International Cyber Digest指出</a></strong>，這批資料建立的時間在2022年6月，並於2023年3月上傳至雲端服務共用；<strong><a href="https://x.com/seblatombe/status/2009986151419978085">資安研究員Seb也公布相關發現</a></strong>，他提及發布資料的人都宣稱，檔案於2024年公布，來自外號為Solonik的人，但實際上這批是2022年就遭竊的資料，駭客重新發布和上傳到駭客論壇。</p> <p>SecurityAffairs引述<strong><a href="https://thecybersecguru.com/news/instagram-data-breach-17-million/">資安網站The Cybersec Guru的說法</a></strong>，指出已有百萬Instagram用戶收到駭客寄送的密碼重設通知信，並形容這批資料與過往有所不同，駭客用於人肉搜索，與行銷名單、資料掮客，或是其他外洩資料進行比對，將用戶的Instagram ID與真實資料拼湊起來，這些資料並非單純以筆數計價，而是根據用戶地理位置與追蹤者數量銷售，主要目標是網路名人和知名的企業帳號。The Cybersec Guru強調，由於駭客將Instagram用戶的帳號與真實地址連結，這批資料外流的危害程度將超越帳號接管，使得駭客有機會以此進行跟蹤、身分竊盜，甚至進行勒索。</p> <p>GBHackers On Security取得賣家Subkek的說法，這批資料是過去3個月透過公開API抓取。</p> <p>針對這起資料外洩事故，Bleeping Computer取得Meta的說法，對於2022年或2024年有API資料洩露事件的傳聞，Meta表示不清楚，不過，針對能允許攻擊者大量發送密碼重設通知信的弱點，Instagram已著手修補。此外，由於目前外流的資料當中並未包含密碼，用戶光是更換密碼可能難以因應相關威脅。</p> </div></div></div>
1/12 16:26作者周峻佑https://www.ithome.com.tw/news/173291
微軟將允許IT管理員移除公司電腦的Copilot，但僅有一次機會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.windows.com/windows-insider/2026/01/09/announcing-windows-11-insider-preview-build-26220-7535-dev-beta-channels/" target="_blank">微軟上周釋出Windows 11更新</a>Build 26220.7535（KB5072046）預覽版給Windows 11 25H2 Insider方案用戶，以測試新Windows 11功能，包含允許IT管理員移除公司裝置上的Copilot。但僅限移除一次。</p> <p>最新版本目前已釋出到Dev & Beta通道給想搶先試用的Insiders用戶。而如果是Dev通道的Insider方案用戶，現在微軟開放一小段時間可轉到Beta通道。但微軟說這時間很快就會結束。</p> <p>新版本最重要的功能可能是允許IT管理員移除公司列管裝置上的微軟Copilot App。管理員可以藉由啟用一項新政策，名為RemoveMicrosoftCopilotApp來移除Copilot。新政策只提供給企業版本Windows如Enterprise、Pro和EDU SKU。</p> <p>這新政策適用三類情境：安裝Microsoft 365 Copilot及Microsoft Copilot的電腦、非使用者安裝的Microsoft Copilot App、或是過去28天內未曾使用的Microsoft Copilot App。</p> <p>要啟用這個新政策，方法是到群組政策編輯器，選擇「使用者配置」>「管理範本」>「Windows AI」>「移除Microsoft Copilot App」。</p> <p>不過要注意，Microsoft Copilot只能移除一次。而且用戶也可以重新安裝回去。</p> <p>另一項新功能是Copilot可為朗讀程式（Narrator）生成圖片描述。這項功能去年只提供給Copilot+ PC，以幫助視障或弱視用戶理解照片、圖表和其他圖片。在最新版本中，微軟將這功能推向所有Windows 11的朗讀程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-windows%2011-KB5072046.png" style="width: 358px;" /></p> <p>使用方面，按Narrator鍵+Ctrl+D可由AI描述特定圖片，按Narrator鍵+Ctrl+S，可描述整個螢幕上的事物。用戶可在Copilot輸入提示讓它執行任務。微軟強調隱私，只有在用戶選擇描述時將圖片上傳處理。</p> <p><span style="color:#B22222;"><strong>強化與改進功能</strong></span></p> <p>KB5072046並強化了二項功能。一是支援Windows Notification System（WNS）作為額外方式整合Cross Device Resume，讓更多應用可以透過不同裝置間通知機制啟動回復功能，不再僅限於Phone Link應用。其次是Windows Spotlight圖示更新。</p> <p>其他更新方面，包括改善開始功能表顯示問題、檔案總管修正部分導致崩潰情況、解決Snipping Tool使用筆跡時的臭蟲、改善列印介面、及Windows Update設定頁面載入時可能會中斷的情況。</p> </div></div></div>
1/12 15:28作者林妍溱https://www.ithome.com.tw/news/173287
OpenCode用戶回報Claude訂閱使用遭停權，Anthropic打擊偽裝Claude Code用法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源程式開發代理工具OpenCode近期收到<a href="https://github.com/anomalyco/opencode/issues/6930">回報</a>，部分使用者透過OAuth登入並以Claude訂閱方案在第三方工具內使用後，出現服務無法正常使用，也有人回報在升級Claude Max方案後帳號遭停權，導致既有自動化程式開發工作流程中斷。Anthropic Claude Code團隊成員Thariq Shihipar則<a href="https://x.com/trq212/status/2009689809875591565?s=20">表示</a>，Anthropic已加強防護以阻擋偽裝官方Claude Code用戶端的第三方呼叫行為，並指出這類以訂閱帳號驅動的第三方工具使用方式違反服務條款。</p> <p>在OpenCode的GitHub問題回報中，有使用者描述自己依OpenCode官網指引以OAuth方式登入Claude，之後在從Claude Max 5升級至Claude Max 20時，疑似觸發某種審查機制而遭到停權。該回報者表示自己曾在社群上聯繫多位Anthropic工程師後得知，以這種方式讓Claude訂閱帳號介接第三方工具可能違反服務條款，並呼籲OpenCode不應再提供以OAuth登入訂閱方案的路徑，改以API金鑰等正式整合方式使用。</p> <p>Anthropic Claude Code團隊成員Thariq Shihipar在X社群貼文的說法指出，限制措施鎖定的是第三方包裝器偽裝官方用戶端的行為。其理由包含這類流量型態缺乏平臺可用的遙測資訊，容易造成除錯、速率限制與支援判斷困難。Thariq Shihipar同時強調，Anthropic支援的整合方式是使用API，並表示將在OAuth畫面更清楚說明政策，也提到因誤觸濫用偵測而遭停權的已知帳號已解除限制。</p> <p>該事件之所以引發爭議，在於不少開發者原本把Claude的月費訂閱視為可在不同工具介面通用的使用額度，但Anthropic封鎖第三方包裝器透過OAuth操控訂閱帳號的做法，使得部分自動化程式開發工作負載難以再以訂閱型OAuth方式運作，使用者可能需要改採按用量計費的商業API，或回到官方Claude Code。</p> <p>在眾多批評聲音中，Ruby on Rails創辦人DHH也在X社群連番<a href="https://x.com/dhh/status/2009716350374293963?s=20">發文</a>，指控Anthropic刻意封鎖OpenCode等第三方包裝器，試圖把開發者導向Claude Code。他表示自己不排斥模型使用其開源作品來改進，但前提應是工具與學習管道更開放，並以切斷供氧形容此舉，同時把作風類比為早期微軟式的封閉手段。</p> <p>不過他同時也表示理解產業仍在快速變動，認為要是能盡快調整條款與作法，仍有機會把對Anthropic累積的信任傷害降到最低，並公開呼籲Anthropic執行長Dario Amodei正視問題，讓訂閱方案能在OpenCode等工具中正常使用。</p> </div></div></div>
1/12 16:00作者李建興https://www.ithome.com.tw/news/173288
駭客兜售52萬筆臺灣好市多會員個資，業者澄清：非該公司會員資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年7月，有人聲稱對全聯福利中心旗下的支付服務公司全支付下手，<strong><a href="https://www.ithome.com.tw/news/169880">入侵其測試環境並取得管理員帳密</a>，</strong>引發外界對全支付資安防護的關注。如今傳出有人聲稱，他們從另一家臺灣大型零售業者竊得會員個資並兜售。</p> <p>根據自由時報的報導，自稱是Solonik的人士於1月7日宣稱，<strong><a href="https://ec.ltn.com.tw/article/breakingnews/5303606">他握有臺灣Costco（好市多）會員個資52.6萬筆</a></strong>，涵蓋會員姓名、身分證字號、電子郵件信箱，以及明文帳號密碼等資料，並公布部分資料取信買家。對此，臺灣好市多表示，經確認這批資料並非該公司會員個資，他們相關系統皆由公司自行開發與維護，資料存放於總公司機房，並未採用外部系統廠商的資料管理程式，好市多強調，保障會員權益為他們的一貫原則。</p> <p>比較特別的是，自由時報提及，有部分會員註冊好市多會員電子郵件信箱結尾是.gov.tw，應為我國政府機關的公務信箱，依照規定不該用來註冊網路購物平臺，由於這類信箱屬政府資產，有可能稽核或調閱，也是駭客偏好用來網釣或詐騙的對象。究竟這種情況是否會帶來更嚴重的衝擊，有待進一步觀察。</p> <p>回顧2025年，鎖定零售業者的網路攻擊事故頻傳，其中英國瑪莎百貨（Marks & Spencer，M&S）、連鎖超市Co-op、精品百貨公司哈洛德（Harrods）<strong><a href="https://www.ithome.com.tw/news/168799">於兩週內連續傳出遭到網路攻擊</a></strong>，幕後黑手疑為成為勒索軟體DragonForce附屬組織的Scattered Spider；去年12月<strong><a href="https://www.ithome.com.tw/news/172539">酷澎爆發3,370萬會員個資外洩</a></strong>，疑為中國籍前員工所為，<strong><a href="https://www.ithome.com.tw/news/172807">執行長朴大俊（Park Dae-jun）宣布辭職以示負責</a></strong>，該公司<strong><a href="https://www.ithome.com.tw/news/173094">向用戶賠償11.7億美元</a></strong>。</p> </div></div></div>
1/12 13:59作者周峻佑https://www.ithome.com.tw/news/173279
Google推出UCP，為代理人商務建立跨平臺交易標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google周日（1/11）宣布<a href="https://blog.google/products/ads-commerce/agentic-commerce-ai-tools-protocol-retailers-platforms/" target="_blank">推出Universal Commerce Protocol（UCP）</a>，為代理人商務（Agentic Commerce）建立一套跨平臺的開放標準，讓AI代理人能在搜尋、對話與應用程式中，代表使用者完成從商品探索、下單到付款的完整購物流程。使AI不再僅止於推薦角色，而是可實際參與交易流程</p> <p>UCP是一套通用協定，目的在於為AI代理人、零售商系統與支付服務提供者建立共通語言。在UCP架構下，代理人不需要為每一家商店或平臺各自客製串接，而是透過標準化介面，就能存取商品資訊、啟動結帳流程，並完成後續交易與支援。Google表示，UCP設計可跨產業使用，並相容既有的代理人與支付相關協定，以降低導入門檻。</p> <p>在實際運作上，UCP將率先應用於Google搜尋的AI模式與Gemini應用程式中。當消費者在研究商品時，AI代理人可直接呼叫符合資格的零售商商品列表，並在不跳轉外部網站的情況下完成結帳。付款部分以Google Pay為核心，使用者可沿用已儲存在Google Wallet中的付款方式與寄送資訊，後續也將支援PayPal。Google強調，零售商仍是銷售主體，負責履約、訂單處理與售後服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-Universal%20Commerce%20Protocol%20(UCP)-google.jpg" style="width: 600px;" /></p> <p>UCP的另一個重點，是代理人之間的協作能力。透過統一協定，不同來源的AI代理人可在同一購物流程中分工合作，例如一個代理人負責搜尋與比較，另一個代理人負責結帳與付款，降低流程中斷的風險。Google將此定位為代理人商務能真正規模化的關鍵基礎設施。</p> <p>UCP是由Google與多家大型零售商與平臺共同開發，包括Shopify、Etsy、Wayfair、Target與Walmart；也已獲得多家支付與零售相關業者支持，如Adyen、American Express、Best Buy、Flipkart、Macy's、Mastercard、Stripe、The Home Depot、Visa與Zalando。其合作陣容被視為UCP具備實際落地條件的重要指標。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-Universal%20Commerce%20Protocol%20(UCP)-google-2.png" style="width: 600px;" /></p> <p>Google也同步推出Business Agent，讓零售商能在搜尋結果中以品牌專屬AI代理人的形式，直接與消費者互動。該代理人可回答產品問題、提供建議，並在未來支援直接購買與代理人結帳，進一步強化UCP在前端互動與交易轉換上的角色。另推出Direct Offers廣告服務，讓零售商可於AI模式中直接呈現專屬折扣，在系統判斷購買意圖即時曝光，協助提升轉換率並降低棄單。</p> <p>相較於OpenAI推出的<a href="https://www.ithome.com.tw/news/171432" target="_blank">Agentic Commerce Protocol（ACP）</a>，兩者方向相近，但定位不同。ACP主要聚焦於AI在單一對話介面中完成下單與付款的能力，處理的是交易成立的瞬間；UCP則試圖涵蓋整個購物生命週期，並成為多個代理人、平臺與支付系統之間的通用底層規則。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
1/12 12:34作者陳曉莉https://www.ithome.com.tw/news/173285
Walmart攜手Wing擴大無人機送貨，全美150家門市納入配送網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Alphabet旗下無人機配送公司<a href="https://wing.com/news/wing-walmart-expand-drone-delivery-coast-to-coast" target="_blank">Wing周日（1/11）宣布</a>，將把Walmart無人機送貨服務擴展至全美另外150家門市，計畫在2027年前建立超過270個無人機配送營運據點，服務範圍橫跨美國東西岸，預計可觸及超過4,000萬名消費者。</p> <p>這項合作並非首次嘗試。Wing與Walmart早已在達拉斯—沃斯堡與亞特蘭大都會區進行常態化營運，當地消費者已逐步將無人機送貨視為日常選項。Wing在官方公告中指出，其前25%的重度用戶平均每周下單約3次，過去6個月整體配送量成長3倍，顯示服務已從示範階段，邁向可規模化複製的商業運作。</p> <p>Wing的無人機系統是此次擴張的技術核心。其機型鎖定輕量、高頻配送需求，可承載約2至2.5公斤的小型包裹，適合食品、日用品與非處方藥等即時需求商品。無人機採全自動飛行設計，從起飛、航線規畫、避障到投遞皆由系統完成，不需人工遙控，並以懸掛繩索的垂直投放方式交付包裹，避免降落對住宅環境造成干擾。</p> <p>Walmart是Wing目前最重要且規模最大的合作夥伴，雙方的合作模式亦展示了零售與無人機物流合作的典範，除了美國之外，Wing也曾與澳洲、英國及芬蘭的商家合作。</p> <p>至於亞馬遜的無人機服務Amazon Prime Air仍處於較分散、逐步部署的階段。Prime Air以亞馬遜自有物流體系為基礎，自營配送服務，已在美國德州College Station與部分加州地區實際提供短距離配送，但其覆蓋範圍與常態化程度尚不及Wing與Walmart的全國性擴展規模。</p> <p>美國的第三大無人機配送服務為Zipline。Zipline最初以醫療物資配送著稱，累積龐大的飛行與交付經驗，並逐步拓展至一般消費品配送。與Wing不同，Zipline的商用重點在於高可靠性與遠距配送，其技術能支援跨區域、較長距離的航線，適合偏遠地區與急單需求。</p> <p>目前無人機配送仍面臨監管、安全及天氣限制等挑戰，業者需要在技術優化與法規適應之間找到平衡，才能讓無人機送貨真正從科幻走入日常。</p> </div></div></div>
1/12 13:05作者陳曉莉https://www.ithome.com.tw/news/173286
趨勢科技修補Apex Central重大RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://success.trendmicro.com/en-US/solution/KA-0022071" target="_blank">趨勢科技上周（1/7）發出安全公告及更新版軟體</a>，以修補Apex Central 3個漏洞，包含一個重大的遠端程式碼執行（Remote Code Execution，RCE）漏洞。</p> <p>Apex Central為趨勢科技的Web化集中式管理控制臺，可管理位於閘道、郵件伺服器、檔案伺服器和企業桌面端的趨勢科技產品和服務。Apex Central和Apex One是管理控制臺分別安裝於本地部署及代管/雲端環境的產品。</p> <p>趨勢科技最新修補的三項Apex Central漏洞包含CVE-2025-69258、CVE-2025-69259與CVE-2025-69260，影響Windows平臺的Apex Central本地部署（on-premise）版本，Build 7190以下皆在影響範圍內，Build 7190為已修補的最新版本。</p> <p>這三項漏洞中，CVE-2025-69258為LoadLibraryEX遠端程式碼執行（RCE）漏洞，風險值9.8。這項漏洞可讓未經驗證的攻擊者載入惡意DLL到關鍵的可執行檔，而以SYSTEM權限在被駭裝置上執行攻擊者提供的程式碼。</p> <p>CVE-2025-69259則是一個阻斷服務（Denial of Service，DoS）漏洞，CVSS風險值7.5。<a href="https://www.esecurityplanet.com/threats/trend-micro-apex-central-flaws-enable-remote-code-execution/" target="_blank">根據資安部落格說明</a>，本漏洞出在對傳入訊息處理不當，成功濫用的遠端攻擊者可引發NULL回傳，而讓Apex Central服務當機或無回應，進而擾亂安全軟體運作。</p> <p>CVE-2025-69260則是訊息越界讀取（out-of-bounds read）阻斷服務漏洞，CVSS風險值同為7.5。和CVE-2025-69259類似，本漏洞也是遠端攻擊者透過傳訊息觸發DoS狀態。</p> <p>值得注意的是，雖然CVE-2025-69259和CVE-2025-69260的風險值並非重大，但趨勢科技提醒，攻擊者不需驗證，即可濫用這二個漏洞。</p> <p>趨勢科技呼籲用戶儘速安裝Build 7190確保安全。濫用漏洞需要攻擊者實際或遠端存取裝置，針對未能及時安裝最新版本的用戶，趨勢科技提醒用戶檢查關鍵系統是否有可疑的遠端存取活動，並確保安全政策和周邊安全軟體保持在最新版本。</p> </div></div></div>
1/12 11:37作者林妍溱https://www.ithome.com.tw/news/173278
Cloudflare拒絕封鎖盜版網站被義大利開罰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>義大利負責電信、廣播、網路及數位服務的通訊暨媒體覽監督機構<a href="https://www.agcom.it/comunicazione/comunicati-stampa/comunicato-stampa-71" target="_blank">AGCOM（Autorità per le Garanzie nelle Comunicazioni）上周四（1/8）宣布</a>，提供CDN、DNS、反向代理與資安服務的Cloudflare因未能封鎖盜版網站，將被處以逾1,400萬歐元（1,700萬美元）的行政罰款。此事惹得Cloudflare共同創辦人暨執行長<a href="https://x.com/eastdakota/status/2009654937303896492" target="_blank">Matthew Prince發火</a>，強調將繼續抗爭，並說將考慮退出義大利市場。</p> <p>義大利根據反盜版法令，於2024年2月啟用了Piracy Shield反盜版封鎖平臺，由權利人即時通報盜版網站與IP，要求DNS、ISP及VPN等服務供應商在30分鐘內將其封鎖，主要鎖定體育賽事與即時串流的盜版內容。迄今已封鎖超過6.5萬個網域名稱，以及1.4萬個可存取非法內容的IP位址。</p> <p>AGCOM自2024年起，即多次要求Cloudflare在Piracy Shield平臺上，註冊1.1.1.1公共DNS服務，以配合封鎖措施，但Cloudflare認為1.1.1.1屬於全球性的公共DNS，若只為單一國家執行過濾，將會影響全球DNS解析效能及穩定性，因而加以拒絕；這使得AGCOM在2025年2月，正式要求Cloudflare封鎖特定盜版網站與IP，Cloudflare依舊拒絕配合，而讓AGCOM祭出大筆罰款。</p> <p>AGCOM指出，Cloudflare即使在接獲命令通知後，仍未採取任何措施，放任其服務被用於散布非法內容，持續違反義大利的反盜版法與實施規定，最高可處以該公司年營收的2%，這次的裁罰則是Cloudflare年營收的1%。</p> <p>Prince則批評了Piracy Shield，指出該平臺要求業者在收到通知的30分鐘內，將某個神祕的歐洲媒體菁英小圈子認定不符合其利益的網站，全面從網際網路上消失；沒有司法監督、沒有正當程序、沒有申訴、沒有透明度。它不只要求我們移除客戶，還要求審查我們的1.1.1.1 DNS解析器，意味著任何網站都有被全面斷線的風險；而且不僅限於義大利，而是要求全球封鎖。</p> <p>Prince說，先前Cloudflare就已針對該制度提出多起法律挑戰，現在也會針對此一不公正的罰款進行抗爭，而且也在考慮終止替所有義大利用戶供應Cloudflare的免費資安服務，或是撤出所有設於義大利的伺服器，以及取消於義大利設置Cloudflare辦公室或任何投資計畫，也可能會撤銷替米蘭冬奧提供數百萬美元公益資安服務的計畫。</p> <p>Prince不僅指責義大利「玩愚蠢的遊戲，就會得到愚蠢的下場」，還說Cloudflare在2024年來自義大利的營收不到800萬美元，但該國制度卻允許以Cloudflare全球營收的2%作為裁罰基礎，荒謬至極。</p> </div></div></div>
1/12 12:07作者陳曉莉https://www.ithome.com.tw/news/173280
【資安週報】0105~0109，臺灣能源業遭受中共網駭情形在2025年暴增10倍，中國APT已形成舉國體制承包商生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>回顧2026年1月第二星期資安新聞，近期兩項報告揭露中國駭客的威脅態勢，引發資安界高度關注。</p> <p>（一）國安局揭露過去一年威脅態勢，發布《2025年中共對我國關鍵基礎設施網駭威脅分析》報告，指出國安情報團隊在2025年掌握的我國政府及民間網駭案中，態勢最嚴峻的是「能源」產業，比前一年度成長10倍，其次是緊急救護與醫院、通訊傳播。<a href="https://www.ithome.com.tw/news/166901">與2024年度態勢相比，當時最嚴重是電信業</a>，其次為交通與國防供應鏈，突顯中共新興網駭重點的轉變。</p> <p>（二）臺灣情資公司TeamT5發布《2025年亞太地區進階持續性威脅（APT）威脅形勢報告》，指出臺灣遭APT攻擊最頻繁，其次為韓國、越南、印度、日本與菲律賓。報告顯示，中國APT已形成「舉國體制+承包商」的生態系：頂層由公安部、國安部與解放軍設定目標並接收情報，中層為民間資安承包商分工執行掃描、武器開發、滲透與中繼建置，底層由個人駭客與研究人員參與。即使單一承包商被制裁，整體仍能迅速轉移任務，使傳統防禦難以應對。</p> <p>在資安事件方面，國內有兩則焦點事件，涵蓋上市公司遭勒索軟體攻擊，以及客運跑馬燈資訊被操控，國際間也有多起個資外洩的消息。我們整理如下：<br /> ●上市公司榮成紙業於1月2日發布重大訊息，揭露當日發生資訊系統遭受勒索病毒攻擊，已啟動防禦與復原作業。<br /> ●桃園機場巴士車上電子看板遭駭，有民眾在跨年夜發現車上的到站資訊跑馬燈出現統戰口號。大有巴士表示當日上午接獲民眾通報後已排除異常；交通部公路局亦說明是客運的配合廠商後端系統遭入侵。<br /> ●美國保險公司Aflac發布資安事故調查報告，揭露2025年6月遭駭，如今確認有2,265萬保戶的個資遭未經授權存取。<br /> ●美國會計師事務所Sax通報主管機關發生個資外洩，揭露2024年8月公司系統遭駭，將近23萬人個資外洩。<br /> ●東京FM廣播（Tokyo FM Broadcasting）傳出遭駭，該公司指出是第三方雲端分析服務資安事故影響的事件。<br /> 此外，還有臺灣好市多驚傳會員資料外洩的消息，多家國內媒體報導此事，同時指出該公司已確認非其會員個資，後續狀態待釐清。</p> <p>在漏洞攻擊方面，最要留意是去年12月HPE修補基礎架構管理軟體OneView的滿分10分漏洞CVE-2025-37164，相關修補釋出後，就有研究人員分析其hotfix方式並解釋如何觸發漏洞，如今確認有攻擊者利用此已知漏洞的跡象；還有鎖定EoL產品攻擊的態勢需留意，包括微軟PowerPoint老舊漏洞CVE-2009-0556則被列入KEV清單，以及漏洞情報公司VulnCheck示警，五年前就有DNSChanger惡意程式鎖定D-Link DSL路由器漏洞（CVE-2026-0625）攻擊，如今又有攻擊活動出現。</p> <p>其他重要漏洞消息，我們特別關注n8n與思科的修補。首先是工作流程自動化平臺n8n同時修補兩項重大漏洞，通報的研究人員以Ni8mare（CVE-2026-21858）、N8scape（CVE-2025-68668）稱之，兩者CVSS風險評分分別為10分與9.9分，由於n8n常被部署為企業自動化中樞，一旦漏洞遭利用，影響恐相當廣泛；思科修補網路存取控制平臺ISE漏洞（CVE-2026-20029）也不容輕忽，雖然CVSS僅4.9分，但該公司示警，已出現公開的漏洞利用概念驗證程式碼（PoC），須盡速修補因應。</p> <p>在資安防禦動態方面，有一則重要新聞持續成為本期的熱門焦點。美國NIST公開「Cyber AI應用藍圖（Cyber AI Profile）」草案，作為CSF 2.0因應AI風險的延伸配套。鑑於企業組織在導入AI時日益關注相關風險管理，該藍圖內容聚焦三大面向：（一）確保AI系統安全，（二）運用AI強化網路防禦能力，（三）抵禦AI賦能的網路攻擊。</p> <p>還有兩則重要消息，與打擊犯罪、修補揭露機制有關：一是非洲網路犯罪危害與日俱增，國際刑警組織協調非洲19國執法機構聯手逮捕574名嫌犯，下架逾6千個惡意連結，並成功解密6種不同的勒索軟體變種；一是Android安全修補與揭露機制從2025年下半已經調整，如今每月Security Bulletin僅揭露高風險與重大漏洞，完整名單改為每季公布。此舉雖可降低駭客反推風險，但也犧牲透明度，並可能影響第三方ROM與研究人員的即時性。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/173162"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月5日】臺灣處於亞太APT威脅風暴核心，受害次數占全球三分之一</span></strong></a></h3> <p>近期臺灣情資公司TeamT5（杜浦數位安全）揭露針對亞太地區的APT威脅情勢調查結果，他們在過去一年追蹤510起攻擊，並指出臺灣是駭客的頭號目標，每三起就有一起發生在臺灣</p> <h3><a href="https://www.ithome.com.tw/news/173184"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月6日】中國APT駭客鎖定臺灣關鍵基礎設施而來，能源產業是頭號目標</span></strong></a></h3> <p>在國際局勢持續升溫的態勢下，中國國家級駭客攻擊臺灣各類關鍵基礎設施的情況加劇，平均每天侵擾多達263萬次，其中，能源領域成為2025年的主要目標，原因是駭客企圖藉此了解臺灣的能源與物資規畫</p> <h3><a href="https://www.ithome.com.tw/news/173221"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月7日】殭屍網路Kimwolf透過固定代理伺服器網路進行擴散</span></strong></a></h3> <p>針對殭屍網路Kimwolf的活動，資安公司Synthient公布最新調查結果，指出此殭屍網路主要的感染途徑，是透過固定代理伺服器（Residential Proxy）的網路環境，於安卓裝置植入病毒，保守估計已有200萬臺裝置受到感染</p> <h3><a href="https://www.ithome.com.tw/news/173251"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月8日】駭客利用React2Shell及FortiWeb資安漏洞從事針對性攻擊</span></strong></a></h3> <p>React2Shell（CVE-2025-55182）重大漏洞再度傳出攻擊活動，不過與其他資安事故有所不同，這次駭客同時針對網頁應用程式防火牆FortiWeb下手，並部署滲透測試框架Sliver來控制受害主機</p> <h3><a href="https://www.ithome.com.tw/news/173257"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月9日】思科修補網路存取控制平臺ISE資訊洩露漏洞</span></strong></a></h3> <p>這兩天思科公布CVSS風險評分僅有4.9分的資安漏洞CVE-2026-20029引起各大資安媒體報導，此漏洞有幾個值得留意的地方，首先，思科指出已有概念驗證程式碼（PoC），再者，攻擊者有可能讀取連管理員都無法存取的敏感資料</p> <p> </p> </div></div></div>
1/12 10:10作者羅正漢https://www.ithome.com.tw/news/173276
jsPDF修補重大漏洞，Node.js環境恐遭濫用竊取本機敏感資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>廣泛用於JavaScript應用程式產生PDF文件的函式庫jsPDF，近日被揭露存在一項重大資安漏洞，主要影響在伺服器端使用jsPDF產生PDF文件的應用情境。攻擊者可能透過不當的檔案載入機制，未經授權讀取並外洩伺服器本機檔案系統中的敏感資料。該漏洞已被編號為<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-68428" target="_blank">CVE-2025-68428</a>，CVSS風險分數高達9.2。</p> <p class="rtecenter"><a href="http://github.com/parallax/jsPDF/security/advisories/GHSA-f8cm-6447-x5h2" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-jsPDF-600-1.png" style="width: 600px;" /></a></p> <p>這項漏洞屬於本機檔案包含（Local File Inclusion）與路徑穿越（Path Traversal）問題，影響jsPDF 4.0.0之前的版本。當應用程式在Node.js環境中，將未經妥善驗證的檔案路徑作為參數，傳入jsPDF的loadFile方法（method）時，攻擊者可能讀取Node.js處理程序權限範圍內可存取的本機檔案，並將檔案內容嵌入到生成的PDF檔案中。</p> <p>除了loadFile之外，jsPDF的addImage、html與addFont等方法，同樣可能在底層呼叫該檔案載入機制，因此也受到這項漏洞影響。不過，根據官方說明，該問題僅影響jsPDF的Node.js版本，包括dist/jspdf.node.js與dist/jspdf.node.min.js，瀏覽器端版本則不在影響範圍內。</p> <p>jsPDF是一套在npm生態系中被大量採用的套件，每週下載次數超過350萬次。<a href="https://www.endorlabs.com/learn/cve-2025-68428-critical-path-traversal-in-jspdf#:~:text=Successful%20exploitation%20results,of%209.2." target="_blank">資安研究人員指出</a>，若jsPDF部署於伺服器端環境，且使用者輸入可直接影響上述受影響方法的檔案路徑參數，便可能導致設定檔、環境變數、憑證資訊等敏感資料外洩。</p> <p>針對這項漏洞，<a href="https://github.com/parallax/jsPDF/security/advisories/GHSA-f8cm-6447-x5h2" target="_blank">jsPDF團隊已在4.0.0版本中完成修補</a>，預設限制對檔案系統的存取，並改為依賴Node.js的權限模式（permission mode）進行控管。官方也指出，在較新的Node.js版本中，可於正式環境啟用--permission旗標，以降低遭到濫用的風險。該功能自Node.js v20.0.0起以實驗性方式提供，並自v22.13.0、v23.5.0與v24.0.0起趨於穩定。</p> <p>不過，<a href="https://www.endorlabs.com/learn/cve-2025-68428-critical-path-traversal-in-jspdf#:~:text=Permission%20mode%20affects%20the%20entire%20process.%20Enabling%20%2D%2Dpermission%20is%20not%20scoped%20to%20jsPDF%20alone.%20Every%20filesystem%20read%20operation%20in%20your%20application%20requires%20an%20explicit%20grant." target="_blank">資安研究人員也提醒</a>，啟用--permission旗標將影響整個Node.js處理程序，而非僅限於jsPDF本身，實際部署時需留意對既有應用行為的影響。此外，若在--allow-fs-read設定中給予過於寬鬆的檔案系統讀取權限，將可能削弱此次修補的防護效果。</p> <p>對於仍使用舊版Node.js的環境，jsPDF團隊建議在應用程式處理使用者輸入時，特別留意檔案路徑的來源與合法性，避免將未經檢查的路徑直接交由jsPDF處理，以降低潛在風險。</p> </div></div></div>
1/12 10:38作者王珮瑤https://www.ithome.com.tw/news/173270
愛爾蘭外交部軟體更新出錯，被迫召回1.3萬本少印國家代碼的護照
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>愛爾蘭外交部護照服務局（Passport Services）列印護照的軟體更新出包，造成近期印發的近1.3萬本護照，少印了重要代碼，上周官方緊急公告召回重發。</p> <p>根據<a href="https://www.ireland.ie/en/passport-returns/" target="_blank">愛爾蘭外交部說明</a>，由於軟體更新的技術錯誤，使得2025年12月23日到2026年1月6日印發的護照，無法完全符合國際旅行標準，這些護照的持有人有可能在使用eGate自動通關系統，或是海關人工驗照時無法通過。</p> <p><img alt="" src="https://assets.ireland.ie/images/passportreturns.width-1000.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://www.ireland.ie/en/passport-returns/" target="_blank"><span style="color:#696969;">愛爾蘭外交部</span></a></span></p> <p><a href="https://www.irishtimes.com/ireland/2026/01/09/thousands-of-irish-passports-recalled-due-to-printing-error/" target="_blank">愛爾蘭時報報導</a>，列印系統更新後，導致上述期間列印的護照都少了IRL字母。而受影響的護照有12,904本。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/ireland-recalls-almost-13-000-passports-over-missing-irl-code/" target="_blank">BleepingComputer檢視</a>，可能是護照檔案頁下方的機讀區編碼少了國家代碼IRL字母，而無法滿足國際民用航空組織（ICAO）的旅行文件規範。</p> <p>愛爾蘭外交部護照服務局要求這時段期間辦護照或取得護照的民眾繳回，以獲得免費補發。這些民眾最快在10天獲得新護照。</p> </div></div></div>
1/12 11:08作者林妍溱https://www.ithome.com.tw/news/173277
Databricks提出企業資料搜尋新方法，讓RAG更能遵循時間與來源等限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Databricks旗下Mosaic研究團隊公布<a href="https://www.databricks.com/blog/instructed-retriever-unlocking-system-level-reasoning-search-agents">Instructed Retriever研究</a>，主張把系統規格（System Specification）帶入搜尋與回覆生成流程，讓企業搜尋代理更能遵循使用者指令。研究人員表示，在一套企業問答資料集組合的評測中，Instructed Retriever相較傳統RAG的回覆品質提升超過70%。</p> <p>研究人員認為，企業情境常同時要求時間新鮮度、文件類型、資料來源範圍與回覆長度等限制，但多數RAG做法，只用使用者問題進行單步擷取，查詢生成後便難以保留這些規格，使得後續擷取與重排序往往回到文字相似度，容易忽略更細緻的意圖與資料來源差異。</p> <p>Instructed Retriever的重點，是把系統規格當成工作管線必須遵守的共同前提，而不是只在一開始影響使用者問題的改寫。研究團隊將這些系統規格整理成三類，第一類是使用者指令，例如偏好近幾年的資料或排除某些品牌，第二類是標註範例，用來界定哪些文件在此任務中算相關或不相關，而第三類則是索引描述，也就是搜尋系統實際提供哪些欄位與中繼資料可用，讓代理知道什麼條件能被轉成可執行的過濾條件。</p> <p>由於把自然語言的限制，轉換成可執行查詢，團隊強調代理需具備把複合需求拆解成多個搜尋子任務的能力，並能在指令脈絡下判斷相關性，同時把去年這類描述轉成時間戳記等欄位過濾條件。</p> <p>在效果驗證上，Databricks以半結構化擷取基準STaRK（Semi-Structured Retrieval Benchmark）為基礎，建立StaRK-Instruct資料集，刻意把常見的企業需求納入問題裡，包括指定必須具備的條件、明確排除的條件，以及偏好較新的資料等，藉此檢驗模型能否產生同時包含關鍵字與欄位過濾的結構化查詢。</p> <p>研究人員指出，與直接用原始問題去搜尋相比，改採指令式查詢生成後，StaRK-Instruct上的召回率可提升35%到50%，而在題目多半未特別註明時間新鮮度或排除條件等限制的StaRK-Amazon上，召回率也約提升一成。</p> <p>Databricks已在自家Agent Bricks的Knowledge Assistant導入Instructed Retriever方法，用來打造可附引用來源的文件型問答聊天機器人。至於量化成效，研究團隊在多步搜尋代理評測中指出，Knowledge Assistant作為工具相較以RAG作為工具可帶來超過30%的品質提升，平均任務完成時間降低8%。</p> </div></div></div>
1/12 08:55作者李建興https://www.ithome.com.tw/news/173271
採用AMD MI350平臺與Pollara 400網卡，雲達推新款AI伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/yun_da_quantagrid_d75t-7u_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年6月AMD發表<a href="https://www.amd.com/en/blogs/2025/amd-instinct-mi350-series-and-beyond-accelerating-the-future-of-ai-and-hpc.html">新款資料中心GPU平臺</a>（採用Instinct MI350X系列），前一個月的2025台北電腦展期間，就有多家伺服器廠商宣布推出相關產品，例如，雲達科技（QCT）就在活動現場展出導入這個平臺的兩款機型：7U機箱、採用氣冷散熱的QuantaGrid D75T-7U，以及5U機箱、採用液冷散熱的QuantaGrid D75M-5U，它們均搭配兩顆AMD EPYC 9004/9005系列處理器，最高可搭配熱設計功耗（TDP）為500瓦的款式，單一伺服器能提供384顆實體核心、768顆執行緒；系統記憶體方面，這兩款機型都內建24個DDR5記憶體插槽，支援6400 MT/s，若全部使用128 GB容量的記憶體，整臺伺服器可提供到3 TB記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D75T-D75M-2025-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D75T-D75M-2025-05.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/D75T-7U-CPU.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/QCT-GPU SERVERS-2025-10-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/QCT-GPU%20SERVERS-2025-10-1.jpg" style="width: 600px;" /></a></p> <p>至於GPU，它們皆搭配單張基板（baseboard）的元件形式，匯集8個最新推出的Instinct MI350X（HBM3E記憶體個別為288 GB，總量為2.3 TB，記憶體總頻寬為8 TB/s），或<a href="https://www.amd.com/en/newsroom/press-releases/2024-10-10-amd-delivers-leadership-ai-performance-with-amd-in.html">2024年10月上市的Instinct MI325X</a>（HBM3E記憶體個別為256 GB，總量為2 TB，記憶體總頻寬為6 TB/s）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D75T-7U-GPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D75T-7U-GPU.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/qct-AMD%20Instinct%20MI350X%20vs%20MI325X.png" style="width: 600px;" /></p> <p>在雲達的網站上，我們只看到D75T-7U的產品介紹與細部規格，該公司表示，現階段聚焦D75T-7U進行市場宣傳，D75M-5U目前不是主力產品，所以沒放在官網，若客戶有實際需求可討論。</p> <p><a href="https://s4.itho.me/sites/default/files/images/QCT-GPU SERVERS-2025-10-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/QCT-GPU%20SERVERS-2025-10-2.jpg" style="width: 600px;" /></a></p> <p>對照ML Commons組織在2025年公布的AI伺服器效能測試結果，也可以呼應上述市場主打產品策略。例如，6月揭露的MLPerf Training v5.0，9月推出的MLPerf Inference v5.1，11月發布的MLPerf Training v5.1，都可以看到雲達提交D75T-7U的AI運算效能表現。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ML TRAINING 5_0-D75T-7U.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ML%20TRAINING%205_0-D75T-7U.png" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ML INFERENCE 5_1-D75T-7U.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ML%20INFERENCE%205_1-D75T-7U.png" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/ML%20TRAINING%205_1-D75T-7U.png" style="width: 298px;" /></p> <p>而在AMD主導的AI伺服器市場行銷活動中，D75T-7U已列入2025年6月更新的<a href="https://www.amd.com/content/dam/amd/en/documents/products/accelerators/instinct/amd-instinct-solution-catalog.pdf">認證GPU伺服器型錄</a>，在支援MI350與MI300的產品列表當中，雲達有一款QuantaGrid D74T-7U，上面的超連結指向D75T-7U的網頁介紹。而在12月AMD推出的<a href="https://www.amd.com/en/blogs/2025/pollara400ainicreadyserverplatforms.html">AI網路卡就緒伺服器平臺計畫</a>，雲達的D75T-7U也恰巧是<a href="https://www.amd.com/content/dam/amd/en/documents/pensando-technical-docs/other/pensando-pollara-400-ai-nic-ready-server-platforms-catalog.pdf">當中列出</a>的18款機型之一，可搭配<a href="https://www.ithome.com.tw/review/165555">AMD Pensando Pollara 400</a>，能藉此運用超乙太網路聯盟（UEC）發展的多項網路加速功能，像是智慧型封包濺散處理（Intelligent Packet Spray）、亂序封包處理（out-of-order packet handling）、訊息依序傳遞至GPU（in-order message delivery）、有選擇能力的網路重新傳輸（Selective Retransmission），以及具有路徑感知能力的網路壅塞預防（Path Aware Congestion Avoidance）。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;">雲達QuantaGrid D75T-7U</span><br /> ●原廠：雲達科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：7U<br /> ●處理器：2顆，AMD第五代EPYC，9005系列（最高搭配熱設計功耗500瓦機型）<br /> ●記憶體：24個DDR5-6400插槽，最大可擴充至3 TB<br /> ●儲存配置：18臺2.5吋NVMe固態硬碟<br /> ●搭配GPU：8個AMD Instinct MI350X、MI325X<br /> ●I/O擴充介面：8個PCIe 5.0 x16介面卡（半高半長）、2個PCIe 5.0 x16介面卡（全高半長）、2個M.2 2280（開機儲存區）<br /> ●電源供應器：6臺4000瓦（4+2備援）<br /> ●系統風扇：8臺雙轉子風扇（15+1個轉子）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
1/11 18:37作者李宗翰https://www.ithome.com.tw/review/173275
2025年臺灣6家企業加入FIRST資安應變組織，合勤、104、元大證券入列，資安產業亦有來毅、數聯、元盾加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著資安威脅日益受到重視，對於企業組織的CSIRT、PSIRT團隊而言，參與國際資安協作的意願持續升溫。過去一年以來，全球加入FIRST國際資安應變組織的成員數量，從約莫764個增至829個。</p> <p>臺灣FIRST成員亦持續增加，從25個增加至31個，新加入的公司有資安業者來毅數位科技，以及資安SOC服務業者的數聯資安與元盾資安。更引人注目的是，2025年新增成員擴及不同產業領域，首度出現網通設備業者、服務業，以及證券業代表，分別為合勤科技、一零四資訊科技、元大證券，顯示資安應變與國際合作，已逐漸成為越來越多產業的共同課題。</p> <h3><strong>更多臺灣SOC業者加入，展現資安監控服務接軌國際</strong></h3> <p>臺灣企業對於資安應變的重視程度越來越顯著，FIRST成員數量增加反映了這項趨勢，也展現與國際企業資安社群的接軌。</p> <p>綜觀臺灣FIRST成員，在資安業者方面，先前已有7家是FIRST成員，從早期的趨勢科技、安華聯網、奧義智慧，到近年加入的微智安聯、杜浦數位安全、中華資安國際，以及睿控網安。</p> <p>進入2025年，臺灣有3家本土資安業者的應變團隊加入FIRST，分別為5月的來毅數位科技Keypasco CSC，以及11月的數聯資安ISSDU-CSIRT、元盾資安MSS CSIRT。</p> <p>最重要的變化在於，本土SOC服務業者正積極投入國際資安應變社群，在中華資安國際之後，如今有數聯資安、元盾資安加入。這類業者服務的對象很廣泛，藉由補強國際威脅情資並進行跨國協作，可提升整體應變效率與防禦能量。</p> <h3><strong>2025新亮點是更多領域投入，涵蓋服務、證券、網通業</strong></h3> <p>若從其他產業來看，這幾年來，最具代表性的當屬電子科技產業，自從<a href="https://www.ithome.com.tw/news/152011">群創光電加入</a>，<a href="https://www.ithome.com.tw/news/160961">台積電、廣達、日月光，以及聯發科</a>、<a href="https://www.ithome.com.tw/news/166451">鴻騰、威強電、華碩</a>等也成為FIRST成員；金融領域也相當積極，先前已有F-ISAC、台新銀行。</p> <p>2025年的特色在於：網通產業、證券業首次加入FIRST，更難得是服務業首度參與，而且是人力資源市場業者。包括：10月合勤科技Zyxel以PSIRT角色加入FIRST，12月元大證券YSTW-CSIRT，以及一零四資訊科技104 CSIRT。</p> <p>為何這些業者重視FIRST組織？我們特別詢問這3家公司的發展狀況。</p> <p><strong><span style="color: rgb(178, 34, 34);">一零四資訊科技</span></strong></p> <p>放眼全球FIRST會員，人力銀行業者非常罕見，在臺灣，一零四資訊科技不只是第一家加入FIRST的人力銀行，也是不同行業中首間加入的服務業，有別於資安業者與科技大廠。這也讓人好奇：他們為什麼決定加入？</p> <p>104 CSIRT團隊表示，主要是為了確保事件應變流程符合國際標準，降低重大資安事故衝擊，以因應APT、供應鏈攻擊等高風險場景。希望加速取得國際威脅情資與最佳實務，並建立跨國合作機制。而我們也從FIRST公開資訊得知，該公司自2017年起即成立CSIRT團隊來強化內部資安應變能力。</p> <p>值得一提的是，他們回憶這次評估加入FIRST的過程，104 CSIRT團隊發現全球FIRST成員當中，人力銀行業者加入的前例相當少，因此，他們當時主要借鑑華碩在CYBERSEC臺灣資安大會分享的入會經驗，以及相關報導與公開資料。</p> <p>雖然可供參考的同業經驗有限，反而強化他們的決心。對於高度仰賴個資的人力銀行產業而言，104 CSIRT團隊認為，這樣的投入有助於展現其在資安的領先位置，以及對客戶資料保護的重視。</p> <p>而在實際申請過程中，他們也順勢精進自家CSIRT的能力，例如，由於必須符合其準則規範，這也促使內部檢視並優化事件分類、通報及跨部門協作流程，並補強資安治理文件，使應變流程更貼近國際標準。他們另提到，過程中獲得TWCERT/CC與安華聯網的協助，兩者在資格審核與實務經驗分享上，都提供了不少具體建議。</p> <p><span style="color: rgb(178, 34, 34);"><strong>元大證券</strong></span></p> <p>另一個以CSIRT身分加入的企業是元大證券，金融業整體資安要求本就嚴格，但相較於銀行業，證券業在資安實務推動上，仍稍有差距。近年來，國內已有F-ISAC與台新銀行加入FIRST，展現對資安應變的重視，元大證券後續也積極跟進，成為臺灣首家加入FIRST的證券業者。</p> <p>元大證券YSTW-CSIRT團隊表示，他們關注的重點在於實質提升事件應變能力、跨組織協作效率，以及CSIRT流程在高度監理環境下的可運作性與成熟度；策略上，主要促進資安從「被動防禦」轉向「主動預警」。</p> <p>YSTW-CSIRT團隊進一步解釋，元大證券近年持續強化資安監控與事件應變能力，自2022年成立獨立資安部門、採風險導向治理，2023年建置7×24資安監控中心（SOC），2025年再導入SOAR，讓部分攻擊與事件可自動分析處置，將資安人力聚焦關鍵決策與演練。</p> <p>在這三年的發展過程中，他們觀察到，資安風險具有時間敏感與跨國跨組織屬性，因此，需尋求更具效率的協作管道，目標是及早掌握威脅趨勢、攻擊手法與弱點情資，提前完成風險評估、緩解規畫與更新準備，為營運爭取必要的緩衝時間，而加入FIRST正是他們因應這項需求的重要選擇。</p> <p>成為FIRST成員後，元大證券期望在既有完整的情資處理與事件應變流程基礎上，進一步強化即時威脅與弱點情資的應處能力。而在加入與審核過程中，也產生實際效益，例如，加入FIRST的過程中，需透過第三方進行客觀評估，再由現有FIRST成員從外部檢視政策規範、流程落地情形與整體成熟度，這不僅驗證公司事件應變治理、制度設計與實際運作，也獲得如「提供應變參與層級」等具體建議，這方面他們也感謝中華資安國際與勤業眾信聯合會計師的事務協助。</p> <p>元大證券強調，加入FIRST主要基於明確的實務需求與長期投入的策略規畫。公司未來將以更前瞻且可驗證的方式提升事件應變成熟度，同時在合規與資訊分享可控的前提下，推動跨組織協作與聯防韌性。元大也期望藉此拋磚引玉，帶動更多證券同業投入，共同強化臺灣證券業的資安協作。</p> <p><span style="color: rgb(178, 34, 34);"><strong>合勤科技</strong></span></p> <p>我們2025年12月報導<a href="https://www.ithome.com.tw/news/172774">合勤產品資安的實務經驗</a>，曾詢問加入FIRST的問題，與上述FIRST成員不同的是，身為網通產品大廠的合勤，是以PSIRT（產品資安事件應變小組）身分加入。差異在於，CSIRT專注組織資安風險，PSIRT專注產品安全。</p> <p>合勤投控資安長游政卿表示，主要考量自家網通產品行銷全球，需掌握國際資安情報，而他們的CSIRT已與國內調查局、資安院等單位合作，儘管有些企業可能以兩種角色身分加入，不過，他們最終選擇以PSIRT加入。</p> <p>游政卿指出，近年合勤持續強化產品資安，例如，2021年成立「資訊暨產品安全管理處」，建立完整架構以負責CSIRT與PSIRT事務，2024年更是簽署CISA的Secure by Design Pledge計畫。在此基礎上，合勤近期正式加入FIRST，他表示，將有助於進一步精進PSIRT的實務運作與國際協作能力。</p> <h3><strong>了解自身應變能力，可借助SIM3成熟度評估共通標準</strong></h3> <p>事實上，<a href="https://www.ithome.com.tw/news/160961#JOINFIRST">我們兩年前報導相關議題時，TWCERT/CC即指出</a>，要成為FIRST成員須滿足幾個必要的條件，包括：需要兩位FIRST成員推薦，並且還有SIM3問卷評估與實地訪視。</p> <p>游政卿近期特別針對SIM3提出進一步說明，他指出，SIM3是資安事件管理成熟度模型，全名是Security Incident Management Maturity Model，用於衡量組織處理安全事件的能力，目前最新版本為v2，共畫分出45項檢視參數。</p> <p>歐洲網路與資訊安全局（ENISA）亦採用此模型，作為其成員國強化事件回應成熟度的依據；FIRST組織也將SIM3中的11項關鍵參數指標，視為加入成員所需的最低標準。</p> <p>因此，合勤在申請過程中，也以此促使公司再次對齊國際標準，確保資安應變機制達到全球水準；加入後，還能取得資安聯盟的共享情資，正式邁入國際情資交換的核心圈。</p> <p>游政卿強調，製造商需要為自己的產品負責，不論是成立PSIRT、建立漏洞揭露政策（VDP）、落實Secure by Design，他並建議，可透過定期SIM3自評檢視PSIRT與CSIRT的運作成效。即便非FIRST成員，亦可透過SIM3-Check線上工具，了解成熟度後再制定改進計畫，以提升資安應變。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）FIRST Membership Baselin SIM3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89FIRST%20Membership%20Baselin%20SIM3.jpg" style="width: 600px;" /></a></p> <p><strong>關於申請加入FIRST，華碩在2025年5月舉行的臺灣資安大會曾分享經驗，並提及如何利用資安事件管理成熟度模型SIM3 v2自評，合勤也在9月產品資安論壇介紹此模型涵蓋45種檢視指標，其中11項是FIRST成員基本要求，並鼓勵大家透過<a href="https://sim3-check.opencsirt.org/#/"><span style="color:#0000CD;">SIM3-Check線上工具</span></a>來提升資安應變。</strong></p> <p> </p> </div></div></div>
1/10 11:17作者羅正漢https://www.ithome.com.tw/news/173274
OpenAI對ShadowLeak攻擊的防護未完全封堵，研究人員再揭露ChatGPT新濫用手法ZombieAgent
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI去年8月修補了可以ShadowLeak手法濫用ChatGPT的瑕疵，不過並未修補完全，研究人員又<a href="https://www.radware.com/blog/threat-intelligence/zombieagent/" target="_blank">發現新的濫用方法</a>，名為ZombieAgent，促使該公司又在12月再次修補。</p> <p>去年OpenAI修補由資安廠商Radware發現的ChatGPT濫用方法，<a href="https://www.ithome.com.tw/news/171326" target="_blank">名為ShadowLeak</a>。ShadowLeak為間接提示注入方法，利用ChatGPT深入研究（Deep Research）功能，當使用者授權存取Gmail與瀏覽器工具時，攻擊者傳送一封變造過的HTML郵件，如Gmail郵件，ChatGPT就可能自動將Gmail（或Outlook或Google Drive）的敏感資訊，以URL參數形式傳送到外部伺服器，無須使用者任何點擊，也不會顯示警告。OpenAI已在8月解決這個問題，限制ChatGPT只能依照提供的方式開啟URL，拒絕為其添加參數。</p> <p>但<a href="https://www.radware.com/blog/threat-intelligence/zombieagent/" target="_blank">Radware研究人員</a>本周揭露繞過這個限制的方法，稱為ZombieAgent。</p> <p>研究人員說明ZombieAgent手法。他們建立了數行預先建構的網址清單，每個網址後附帶單一數字、英文字母，例如example.com/a、example.com/b...如此類推到/z，還有example.com/0到example.com/9。特殊符號則以$代替空格，如example.com/$代替空格。最後將這一清單送入ChatGPT。</p> <p>結果就能讓ChatGPT尋找敏感資訊，並正規化（小寫字母，以$代替空格），再一個字母一個字母傳送給攻擊者列出的網址。例如敏感字串是AB cd，ChatGPT即會以example.com/a、example.com/b、example.com/a、example.com/$、example.com/c、example.com/d的順序，把字串傳送出去。Radware甚至為重複字元量身準備「索引化的URL」（例如a0 ~ a9等）來區分相同字母出現的不同位置以維持正確的字串順序。這讓ChatGPT逐字外洩資料。</p> <p>ZombieAgent之所以能運作，是利用OpenAI開發人員沒有限制URL上附加單一字母。</p> <p>在Radware 9月通報後，OpenAI在12月的最新修補中，為ChatGPT加入限制，使ChatGPT無法開啟任何來自電子郵件的連結來緩解ZombieAgent攻擊，除非出現在知名公開索引中或使用者直接在聊天提示中提供連結。此調整旨在阻止代理開啟導致攻擊者控制網域的基礎網址。</p> </div></div></div>
1/10 06:00作者林妍溱https://www.ithome.com.tw/news/173273
老舊音響SoundTouch走向終止支援，Bose釋出API文件讓社群接手開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Bose<a href="https://www.bose.com/soundtouch-end-of-life">更新SoundTouch音響終止支援公告</a>，把雲端支援結束日延後到2026年5月6日，並同步釋出SoundTouch的<a href="https://assets.bosecreative.com/m/496577402d128874/original/SoundTouch-Web-API.pdf">API文件</a>，表示將公開技術規格，讓獨立開發者能夠製作相容的工具與功能，替這批已進入生命周期末段的音響保留延續使用的空間。</p> <p>SoundTouch雲端支援仍會結束，但Bose表示在聽取用戶意見後，將原先公告的2月18日延後到5月6日。Bose也說明，SoundTouch應用程式在雲端終止前會收到自動更新，並會在5月6日自動切換到可在不依賴雲端運作的版本。用戶不需要手動操作，只要開啟應用程式就會自動套用更新。</p> <p>Bose將SoundTouch從依賴雲端的整合控制，調整為以本機網路為主的運作模式。雲端終止後，SoundTouch應用程式仍可在同一個WiFi網路內進行系統設定與基本控制，例如播放暫停、音量調整與多裝置群組。聽音樂則改由各音樂服務的應用程式發起，再透過藍牙、AirPlay、Spotify Connect或AUX將音訊送到SoundTouch裝置。SoundTouch系統於2013年進入市場，Bose表示因技術演進，已無法持續支撐這一代產品所依賴的雲端基礎架構開發與支援。</p> <p>官方指出，產品本體與應用程式內的預設按鍵會失效，使用者也無法再從SoundTouch應用程式內直接瀏覽或播放音樂服務內容。Bose同時提醒，雲端結束後系統不再接收安全性與軟體更新，建議用戶在安全的私人網路環境中使用，並在2026年5月6日前先更新到最新韌體。</p> <p>Bose對外提供技術規格，讓獨立開發者能打造SoundTouch相容工具與功能，並提供SoundTouch API文件下載。社群仍有機會以第三方控制器或整合系統，把老裝置納入既有的家庭自動化或音訊播放流程，至少不必完全仰賴原廠應用程式的長期維護承諾。</p> <p>該公告在Hacker News引發<a href="https://news.ycombinator.com/item?id=46541892">討論</a>，重點之一是企業在終止支援時應如何降低對既有用戶的衝擊。有人認為Bose至少提供公開技術規格與API文件，讓社群有機會在雲端終止後延續裝置的使用，也有人提醒不必過度解讀，並指出外界常把這次更新描述成產品開源，但實際上是公開API文件與技術規格，與開源軟體或韌體仍有差距。</p> </div></div></div>
1/10 06:00作者李建興https://www.ithome.com.tw/news/173264
Artificial Analysis改版智慧指標v4.0，新增幻覺風險與研究級推理評測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>獨立模型評測機構Artificial Analysis<a href="https://x.com/ArtificialAnlys/status/2008570658608099604">更新</a>智慧指標（Intelligence Index）至v4.0，調整評測組合，讓評測重心更貼近實務任務與可靠性行為。官方同時提醒，合成指標可用來比較模型，但仍有侷限，不必然能直接套用到每一個使用案例，並在方法論中強調評測應兼顧公平性與真實世界適用性。</p> <p>Intelligence Index v4.0移除MMLU-Pro、AIME2025與LiveCodeBench等常見測試，改採新的評測組合，試圖重新拉開模型差距。</p> <p><a href="https://artificialanalysis.ai/?intelligence=">在Intelligence Index v4.0的前26個模型中</a>，GPT-5.2（xhigh）以51分居首，Claude 4.5 Opus為49分，Gemini 3 Pro Preview（high）48分，GPT-5.1（high）47分，Gemini 3 Flash 46分。第二梯隊大致落在40分上下，包含Claude 4.5 Sonnet與GLM-4.7各42分，Grok 4與DeepSeek v3.2各41分，Kimi K2 Thinking 40分。其後分數逐步拉開，末段模型已降到20分以下，例如K2-V2（high）21分，Llama 4 Maverick 19分，Falcon-H1R-7B 16分。</p> <p>v4.0受關注的新增項目之一是GDPval-AA，這是基於OpenAI提出的GDPval資料集，題目取自專業人士的真實工作產出，涵蓋44種職務與9大產業，用來觀察模型在具經濟價值的知識工作任務上能達到的程度。OpenAI也指出，這類任務能更清楚呈現模型是否真能支援日常工作，而不只是把題目答對。</p> <p>AA-Omniscience以6,000題、涵蓋六大領域共42個主題的題庫衡量知識正確性與幻覺行為，並透過扣分機制懲罰亂猜，同時讓不回答維持中性分數，鼓勵模型在不確定時選擇不答。Artificial Analysis也指出，高正確率不必然代表低幻覺率，而且不同領域的領先模型不盡相同，選擇模型仍需貼近情境。</p> <p>在科學推理面向，加入CritPt主打未公開的研究級物理推理挑戰，由50位以上在職研究者共同設計。Artificial Analysis公開的CritPt排行榜<a href="https://artificialanalysis.ai/evaluations/critpt">顯示</a>，目前表現最佳的模型正確率也僅約一成出頭，例如GPT-5.2（xhigh）為11.6%，其餘多數知名模型皆落在個位數百分比甚至接近零，顯示模型要運用長鏈推理獲得可驗證的最終答案，仍有一段路要走。</p> <p>當系統允許使用程式執行與網頁搜尋等工具後，模型的正確率提升，但CritPt研究團隊同時<a href="https://arxiv.org/html/2509.26574v3">指出</a>，這種工具輔助只帶來小幅前進，仍不足以跨過核心推理瓶頸。</p> <p>不過，Artificial Analysis也再度提醒，任何排名都只能作為起點，最後仍要以自家資料、流程與風險門檻做驗證。</p> </div></div></div>
1/10 06:00作者李建興https://www.ithome.com.tw/news/173267
CrowdStrike收購SGNL，身分安全邁向即時授權時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端資安業者<a href="https://www.crowdstrike.com/en-us/blog/crowdstrike-to-acquire-sgnl/" target="_blank">CrowdStrike周四（1/8）宣布</a>，已與身分安全業者SGNL達成收購協議，以擴展CrowdStrike Falcon新一代身分安全解決方案。雙方並未公布交易金額，但根據<a href="https://www.reuters.com/technology/crowdstrike-buy-identity-security-startup-sgnl-740-million-tackle-ai-threats-2026-01-08/" target="_blank">路透社</a>（Reuters）與<a href="https://www.theregister.com/2026/01/08/crowdstrikes_740m_sgnl_deal_proves/" target="_blank">The Register</a>的報導，這筆交易價值7.4億美元。</p> <p>SGNL是由Scott Kriz與Erik Gustavson在2021年共同創辦，聚焦於解決雲端、SaaS與AI時代下授權失效的結構性問題；主打身分即時授權（Continuous Authorization）與零常駐權限（Zero Standing Privileges）架構，讓人類、非人類，以及AI代理人，都只在必要時取得最小權限，並可依據風險變化隨時撤銷。</p> <p>擔任SGNL執行長的Kriz解釋，傳統的身分與存取管理（Identity and Access Management，IAM）體系主要提供兩種解法：特權存取管理（Privileged Access Management，PAM）與身分治理與管理（Identity Governance and Administration，IGA）。前者著重鎖住高權限帳號的憑證，卻帶來大量操作摩擦，且帳號本身依然長期持有高權限；後者則聚焦於合規與帳號配置，但其運作採批次流程，實際的存取決策往往延遲數小時、數天，甚至數周，與當下的存取行為脫節。</p> <p>Kriz認為，不管是PAM或IGA都屬於過去的時代，PAM是替已消失的網路邊界而設計，IGA則是為永遠落後現況的季度存取審查而存在。企業真正需要的，是一種全新的、可根據即時訊號，於瞬間作出決策的持續與情境化授權，而這正是SGNL成立的原因。</p> <p>SGNL的客戶已全面移除關鍵系統的常駐權限，以基於真實情境的即時存取，取代PAM的靜態保險庫。一家全球汽車製造商取消人工核准流程，將存取決策時間從數十分鐘或數小時，縮短到幾秒鐘。另一家《財星》50大跨國企業，透過SGNL消除雲端環境的常駐權限，並將原本3萬個靜態角色設定，簡化為6條具情境感知的政策。</p> <p>至於CrowdStrike Falcon則為一雲端原生資安平臺，從最初的端點防護擴展至身分安全、雲端及工作負載防護、威脅獵捕與事件回應，成為以身分及行為為核心的整合式資安平臺。</p> <p>CrowdStrike指出，在整合SGNL後，Falcon新一代身分安全將可全面消除人類、非人類與AI代理人身分的常駐高權限，改以即時、短暫、可回收的方式授權，降低身分被盜後的橫向移動與長期潛伏風險。此外，SGNL也將擴展現有即時存取機制的支援範圍，從Active Directory與Entra ID，延伸至AWS IAM、Okta等雲端身分與SaaS系統。</p> <p>CrowdStrike認為，AI代理人與機器身分將成為企業數位營運的關鍵基礎，也將成為駭客的新目標。藉由導入持續動態授權與零常駐權限，期望可在威脅發生前即減少攻擊面，推動新一代以風險為導向的身分安全架構。</p> </div></div></div>
1/10 06:00作者陳曉莉https://www.ithome.com.tw/news/173272
GitLab修補多項高風險漏洞，涉及跨站指令碼與權限濫用，自管環境應儘速更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>程式碼代管與DevOps平臺GitLab於1月7日<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/" target="_blank">發布18.7.1、18.6.3與18.5.5版本</a>，修正多項資安漏洞，涵蓋跨站指令碼（XSS）、授權檢查缺失、拒絕服務（DoS）與資訊洩露等風險，其中部分漏洞風險評分達高風險等級，可能影響GitLab多項核心功能與平臺存取控制機制。官方強烈建議採用自管（self-managed）部署的用戶，儘速升級以降低風險。至於GitLab.com已完成更新，GitLab Dedicated用戶則不受影響。</p> <p class="rtecenter"><a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-gitlab-600-1.png" style="width: 600px;" /></a></p> <p><span style="color:#B22222;"><strong>影響版本與適用範圍</strong></span></p> <p>GitLab指出，本次修補涵蓋多數自管環境，包含Omnibus套件、原始碼安裝與Helm Chart等部署方式，除非特別註明排除，否則皆在影響範圍內。</p> <p>受影響版本包含GitLab 社群版（Community Edition，CE）與企業版（Enterprise Edition，EE）多個歷史版本分支，最早可回溯至8.x與10.x系列，用戶需依所屬版本線，升級至18.7.1、18.6.3或18.5.5。</p> <p><span style="color:#B22222;"><strong>重點漏洞一次看</strong></span></p> <p>本次修補的高風險漏洞，主要集中於GitLab多項常用功能：</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 跨站指令碼（XSS）漏洞 </span></span></strong></p> <p>GitLab修補兩項高風險跨站指令碼漏洞，其中一項為<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#cve-2025-10569---denial-of-service-issue-in-import-functionality-impacts-gitlab-ceee:~:text=CVE%2D2025%2D9222,bug%20bounty%20program" target="_blank">CVE-2025-9222</a>（CVSS風險分數為8.7），攻擊者可濫用GitLab Flavored Markdown標記語言的占位符（Placeholders）機制，發動儲存型跨站指令碼攻擊；另一項<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#cve-2025-10569---denial-of-service-issue-in-import-functionality-impacts-gitlab-ceee:~:text=CVE%2D2025%2D13761,bug%20bounty%20program" target="_blank">CVE-2025-13761</a>（CVSS風險分數為8.0）則影響Web IDE，可能讓未經身分驗證的攻擊者，誘使使用者造訪特製網頁，在其瀏覽器中執行任意指令碼。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 授權檢查缺失與權限濫用 </span></strong></span></p> <p>另外有多項漏洞涉及授權檢查不足問題，包括Duo Workflows API（<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#cve-2025-10569---denial-of-service-issue-in-import-functionality-impacts-gitlab-ceee:~:text=CVE%2D2025%2D13772,member%20Jessie%20Young" target="_blank">CVE-2025-13772</a>）與AI GraphQL突變（<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#cve-2025-10569---denial-of-service-issue-in-import-functionality-impacts-gitlab-ceee:~:text=CVE%2D2025%2D13781,bug%20bounty%20program." target="_blank">CVE-2025-13781</a>）。攻擊者可能透過操控API請求或GraphQL突變（mutation），存取或修改未經授權的AI模型設定，甚至變更整個GitLab執行個體層級的AI功能供應商設定，影響範圍以GitLab EE為主。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 拒絕服務與存取控制問題 </span></strong></span></p> <p>GitLab也修補一項與匯入功能相關的拒絕服務漏洞（<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#cve-2025-10569---denial-of-service-issue-in-import-functionality-impacts-gitlab-ceee:~:text=CVE%2D2025%2D10569,bug%20bounty%20program." target="_blank">CVE-2025-10569</a>），已通過身分驗證的使用者，可能藉由對外部API呼叫提供特製回應，使系統資源耗盡。此外，GraphQL runnerUpdate突變的存取控制粒度不足（<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#:~:text=CVE%2D2025%2D11246,bug%20bounty%20program" target="_blank">CVE-2025-11246</a>），可能讓具備特定權限的使用者，移除不相關專案的Runner資源。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 資訊洩露風險 </span></strong></span></p> <p>另一項低風險漏洞與Mermaid圖表渲染機制有關（<a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#cve-2025-10569---denial-of-service-issue-in-import-functionality-impacts-gitlab-ceee:~:text=CVE%2D2025%2D3950,bug%20bounty%20program." target="_blank">CVE-2025-3950</a>），攻擊者可能透過可繞過資產代理防護的特製圖片，洩露敏感連線資訊。</p> <p><span style="color:#B22222;"><strong>官方建議作法</strong></span></p> <p>GitLab強調，所有使用受影響版本的自管環境，應儘速升級至最新修補版本，以維持良好的資安衛生。單節點（single-node）環境在升級期間，可能因資料庫遷移而需要短暫停機，多節點（multi-node）環境則可依循GitLab提供的零停機（zero-downtime）升級流程進行更新。</p> <p>此外，GitLab也建議管理者檢視官方文件所列的資安最佳實務，包括持續套用修補更新、強化對外存取防護設定，並針對涉及Markdown、Web IDE、AI相關功能與匯入流程的異常活動加強監控。</p> <p>GitLab表示，漏洞詳細技術資訊將於修補發布30天後，陸續於官方議題追蹤系統公開，協助社群進一步檢視與防範相關風險。</p> <p><span style="color:#FFFF00;"><span style="font-size:22px;"><strong><span style="background-color:#000000;"> 修補節奏可預期，關鍵在於企業是否「接得住」 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>從治理與實務角度來看，GitLab此次修補也凸顯修補節奏管理的重要性。</strong></span><strong><span style="color:#696969;">根據</span><a href="https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/#:~:text=GitLab%20releases%20fixes,posts%20here." target="_blank"><span style="color:#696969;">GitLab官方說明</span></a><span style="color:#696969;">，修補分為每月定期發布，以及針對高嚴重度漏洞提供的臨時重大修補；其中定期修補通常落在每月第二與第四個星期三。</span></strong></p> <p><span style="color:#696969;"><strong>企業內部是否能把這個節奏納入管理機制，例如明確的修補時程要求、有固定的變更窗口可套用例行修補，以及在遇到高風險漏洞時，是否具備快速決策與風險接受的流程。沒有內建這套節奏，修補就只能靠臨時應變，風險自然難以控管。</strong></span></p> </div></div></div>
1/9 20:44作者王珮瑤https://www.ithome.com.tw/news/173259