iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Fortinet公布已被積極利用的FortiCloud單一登入新漏洞，並釋出部分版本的更新程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年12月，Fortinet<strong><a href="http://www.ithome.com.tw/news/172750">修補兩項重大層級的資安漏洞CVE-2025-59718與CVE-2025-59719</a></strong>（CVSS風險皆為9.8分），影響多款啟用FortiCloud單一登入（SSO）機制的設備，包括防火牆FortiGate、網頁應用程式防火牆FortiWeb、網頁安全閘道FortiProxy，以及網路設備管理平臺FortiSwitchManager。然而，一個月後，即傳出<strong><a href="http://www.ithome.com.tw/news/173541">攻擊者自1月15日開始，仍可透過單一登入帳號竄改防火牆組態</a></strong>，22日Fortinet<strong><a href="http://www.ithome.com.tw/news/173577">坦承先前修補不完整</a>，並發現已修補上述漏洞的防火牆被入侵</strong>，該公司於27日將駭客利用的攻擊途徑登記新的CVE編號列管。</p> <p>根據Fortinet發布的最新資安公告，<a href="http://www.fortiguard.com/psirt/FG-IR-26-060">FortiCloud單一登入存在身分驗證繞過漏洞CVE-2026-24858</a>。該漏洞影響FortiOS 7.0版以上的防火牆、FortiProxy、FortiSwitchManager，以及安全事件記錄分析與報告平臺FortiAnalyzer；FortiOS、FortiSwitchManager、FortiAnalyzer 6.4版不受影響。Fortinet評估其CVSS風險值為9.4分，<strong><a href="http://nvd.nist.gov/vuln/detail/CVE-2026-24858">美國國家漏洞資料庫（NVD）則標示為9.8分</a></strong>。同日，美國網路安全暨基礎設施安全局（CISA）<strong><a href="http://www.cisa.gov/news-events/alerts/2026/01/27/cisa-adds-one-known-exploited-vulnerability-catalog">將此漏洞列入已遭利用漏洞清單（KEV）</a></strong>，要求聯邦機構於1月30日前完成因應措施。</p> <p>Fortinet指出，CVE-2026-24858正是其PSIRT團隊在調查攻擊事件時，所發現的全新攻擊途徑，攻擊者可針對已完成修補CVE-2025-59718與CVE-2025-59719的設備繼續發動攻擊。該漏洞屬於「替代路徑或頻道」導致的身分驗證繞過弱點，攻擊者可利用已註冊的裝置及FortiCloud帳號，登入其他同樣啟用FortiCloud SSO功能的設備。</p> <p>雖然相關設備預設並未啟用FortiCloud單一登入機制，但若管理員在註冊裝置至技術支援服務平臺FortiCare時，未於註冊頁面手動關閉「允許使用FortiCloud SSO進行管理員登入」選項，系統便會在裝置註冊過程中自動啟用該功能，進而擴大風險曝露面。</p> <p>針對漏洞遭實際利用的情況，Fortinet透露已發現兩個惡意FortiCloud帳號，並於1月22日將其封鎖。隨後，該公司在1月26日一度全面停用FortiCloud單一登入機制，並於27日重新啟用，但僅允許已完成修補CVE-2026-24858的裝置使用。Fortinet同時公布入侵指標（IoC），指出攻擊者使用的FortiCloud帳號與來源IP位址，並說明駭客在成功入侵後，會於受害設備建立多個本機管理員帳號，並下載設備組態設定檔。</p> <p>在修補進度方面，Fortinet目前僅針對部分版本釋出更新，包括FortiOS 7.4.11、FortiManager 7.4.10，以及FortiAnalyzer 7.4.10，其餘版本對應的修補程式，尚未正式發布。</p> </div></div></div>
1/28 12:29作者周峻佑https://www.ithome.com.tw/news/173629
Moonshot AI開源Kimi K2.5，可自動生成最多100個子代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國AI新創<a href="https://www.kimi.com/blog/kimi-k2-5.html" target="_blank">Moonshot AI近日宣布</a>開源新一代模型Kimi K2.5，並將其定位為「視覺型代理智慧（Visual Agentic Intelligence）」，宣稱是目前能力最強的開源模型之一，不僅具備原生多模態能力，還能在處理複雜任務時，自動生成並協調最多100個子代理，平行處理大規模工作流程。</p> <p>Moonshot AI的中文名稱為「月之暗面」，在2023年於北京創立，同年即推出<a href="https://www.kimi.com/" target="_blank">Kimi聊天機器人</a>，主要開發「可實際完成工作的AI」，甫於去年<a href="https://www.ithome.com.tw/news/170033" target="_blank">開源Kimi K2模型</a>。</p> <p>新一代的Kimi K2.5是在Kimi K2基礎上持續預訓練而成，並額外使用約15兆個混合文字及視覺的Token進行訓練，且從模型架構上便採用原生多模態設計，使得它能同時理解文字、圖片與影片內容。Moonshot AI說，在足夠規模下，視覺與文字能力不再需要取捨，而是同步提升，替真實應用場景提供穩定基礎。</p> <p>Kimi K2.5最大的特色為「代理群（Agent Swarm）」，當任務複雜度提高時，K2.5可自行拆解問題，動態生成最多100個子代理，並行執行搜尋、程式撰寫、資料整理與驗證等工作，最多可協調1,500次工具呼叫。</p> <p>此外，整個代理群由模型自動建立與調度，無需事先定義角色或人工設計工作流程，相較於單一代理模式，代理群可將整體執行時間最多縮短4.5倍。</p> <p>Kimi K2.5也具備結合視覺的程式能力，可根據自然語言指令，直接生成完整的前端介面，包含互動式版面與動畫效果，並能透過圖片或影片進行程式生成與視覺除錯。</p> <p>Kimi K2.5已可透過Kimi.com、Kimi App、API與Kimi Code使用。Kimi.com與Kimi App目前提供K2.5 Instant、K2.5 Thinking、K2.5 Agent與K2.5 Agent Swarm的4種模式，其中的Agent Swarm仍處於測試階段，僅開放高階付費用戶試用。研究或開發人員也可透過<a href="https://huggingface.co/moonshotai/Kimi-K2.5" target="_blank">Hugging Face下載</a>Kimi K2.5模型的權重與配置。</p> </div></div></div>
1/28 12:33作者陳曉莉https://www.ithome.com.tw/news/173630
微軟調查Windows 11安全更新引發的電腦無法開機問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟一月針對Windows 10及Windows 11釋出的安全更新又傳出包，引發部分PC無法正常開機。微軟表示已經著手調查。</p> <p>微軟於上周二（1/13）釋出針對Windows 11 24H2及25H2的安全更新<a href="https://support.microsoft.com/zh-tw/topic/2026-%E5%B9%B4-1-%E6%9C%88-13-%E6%97%A5-kb5074109-%E4%BD%9C%E6%A5%AD%E7%B3%BB%E7%B5%B1%E7%B5%84%E5%BB%BA-26200-7623-%E8%88%87-26100-7623-3ec427dd-6fc4-4c32-a471-83504dd081cb#id0enbd=windows_update" target="_blank">KB5074109</a>。這個版本旨在解決WSL鏡像網路失敗、Azure虛擬桌面環境中啟動RemoteApp連線失敗、解決數據機驅動程式相容性問題、強化安全啟動、並解決Windows核心元件WinSqlite3.dll安全漏洞等。然而<a href="https://learn.microsoft.com/zh-tw/answers/questions/5724404/kb5074109" target="_blank">用戶抱怨</a>安裝後出現各種毛病。但本周<a href="https://www.neowin.net/news/windows-11-patch-tuesday-horrors-continue-as-some-pcs-now-cannot-boot/" target="_blank">Neowin</a>首先報導，有些用戶安裝本更新後，Windows 11電腦無法開機，成為繼上周引發眾多大小問題後最為嚴重的麻煩。</p> <p>媒體<a href="https://www.askwoody.com/forums/topic/reports-of-boot-failures-with-the-january-2026-security-update-and-later-updates/" target="_blank">Askwoody</a>發現微軟在管理員中心通知中證實，接獲少部分用戶通報此事。這些裝置安裝1月13日釋出的KB5074109及之後更新後發生無法開機，以及顯示「UNMOUNTABLE_BOOT_VOLUME」的錯誤訊息。受影響裝置顯示黑色螢幕（即「死亡螢幕」）及一行「裝置發生問題，必須重新啟動。」的訊息。但用戶試圖重啟時，裝置卻無法完成啟動，需要手動回復步驟。</p> <p>微軟說，迄今的通報顯示問題只侷限在實體裝置，沒有客戶反映問題出現在虛擬機器，此外，問題僅影響安裝Windows 11 24H2及25H2的用戶端OS，不影響伺服器。</p> <p>微軟表示正在調查本問題，看看是否為Windows更新引發的回歸問題。微軟承諾會再更新資訊。</p> <p>這是針對Windows 11 24H2/25H2發布的1月Patch Tuesday所引發的最新麻煩。在此之前，微軟已經釋出二次例外（out-of-band,OOB）更新修補問題。第一次更新修補Windows 11電腦無法成功關閉、休眠、或在遠端連線下無法登入。<a href="https://www.windowscentral.com/microsoft/windows-11/windows-11-second-emergency-out-of-band-update-kb5078127-released-address-outlook-bugs" target="_blank">微軟周末釋出</a>第二次例外更新KB5078127/KB5078132/KB5078131，解決了Windows App無法順利開啟或儲存檔案到OneDrive，以及Outlook儲存PST檔到OneDrive時，Outlook無法順利開啟的問題。</p> <p>其他包括鎖定畫面登入選項看不到密碼圖示等小問題，微軟表示會持續尋找解決方案，並會再更新資訊。</p> </div></div></div>
1/28 11:41作者林妍溱https://www.ithome.com.tw/news/173628
ISC修補BIND 9高風險漏洞CVE-2025-13878，惡意DNS紀錄可導致服務當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Internet Systems Consortium（ISC）揭露，旗下開源DNS伺服器軟體BIND 9存在高風險漏洞CVE-2025-13878。攻擊者可透過惡意構造的DNS資源紀錄，遠端觸發named服務程序異常終止，造成名稱解析服務中斷，形成阻斷服務（DoS）風險。ISC已發布修補版本，建議管理者儘速升級。</p> <p><a href="https://kb.isc.org/docs/cve-2025-13878" target="_blank">ISC於1月21日發布安全公告指出</a>，該漏洞源於BIND處理BRID與HHIT類型DNS資源紀錄的方式當中，存在驗證邏輯的缺陷。在特定條件下，BIND可能因檢查失敗而直接中止服務程序，進而影響DNS解析的可用性。攻擊者不需通過驗證，即可從遠端觸發該問題。</p> <p>BIND 9是廣泛使用的開源DNS伺服器軟體，常部署為遞迴解析器或權威DNS伺服器，支撐網站、電子郵件與各類網路服務的名稱解析需求。由於DNS屬於關鍵基礎設施，一旦解析服務中斷，影響範圍可能擴及多項對外服務。</p> <p><span style="color:#B22222;"><strong>漏洞影響多個BIND 9版本，CVSS評為高風險</strong></span></p> <p>根據ISC公告，CVE-2025-13878影響多個仍在維護中的BIND 9版本，包括9.18.40至9.18.43、9.20.13至9.20.17，以及9.21.12至9.21.16，亦波及相對應的預覽版本。</p> <p><a href="https://www.cve.org/CVERecord?id=CVE-2025-13878" target="_blank">CVE資料顯示</a>，該漏洞的CVSS風險分數為7.5，屬於高風險等級。攻擊者可在無需使用者互動的情況下遠端觸發漏洞，主要影響系統可用性。</p> <p><span style="color:#B22222;"><strong>ISC釋出更新，建議管理者儘速修補</strong></span></p> <p>ISC已釋出修補版本BIND 9.18.44、9.20.18與9.21.17，建議管理者儘速完成升級。對於短期內無法更新的環境，管理者可評估限制不必要的DNS功能與存取範圍，並加強服務監控，以降低遭濫用風險。</p> <p>資安廠商<a href="https://www.sentinelone.com/vulnerability-database/cve-2025-13878/" target="_blank">SentinelOne則提醒</a>，實務上風險較高的情境，主要出現在對外公開的遞迴DNS解析器或權威DNS伺服器。若DNS服務允許來自任意來源的查詢請求，攻擊者即可遠端送出特製封包觸發漏洞，導致名稱解析服務中斷，因此相關部署模式更容易成為阻斷服務攻擊的目標。</p> <p>雖然ISC的公告未提及是否已有大規模攻擊行為，但由於DNS在網路服務中的關鍵角色，相關漏洞仍可能被用於阻斷服務攻擊，管理者應及早評估環境風險並完成修補。</p> </div></div></div>
1/28 11:47作者王珮瑤https://www.ithome.com.tw/news/173622
Amazon將關閉Amazon Go、Fresh實體無人超市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.aboutamazon.com/news/company-news/amazon-fresh-go-stores-closing-expanding-whole-foods" target="_blank">Amazon宣布</a>將關閉智慧超市Amazon Go、Amazon Fresh，以強化線上零售同日遞送及Whole Foods Market的經營。</p> <p><a href="https://www.ithome.com.tw/news/126004" target="_blank">Amazon Go</a>與<a href="https://www.ithome.com.tw/news/162115" target="_blank">Amazon Fresh</a>分別在2018年及2020年開設首家店面。兩個實體店面品牌都標榜以智慧科技如電腦視覺、感測器、AI及自動化系統，如自動結帳系統Just Walk Out取代人力結帳，提供免排隊、快速而方便的自助購物體驗。</p> <p>Amazon表示，雖然Amazon實體超市展現令人振奮的訊號，但公司仍未能創造真正獨特客戶體驗，以及大量擴展所需的經濟模式。在審慎評估下。公司被迫做出困難決定，關閉Amazon Go和Amazon Fresh實體店面。未來這些據點將轉為同屬Amazon集團的有機食品超市連鎖Whole Foods Markets店面。Amazon Fresh線上銷售則不受影響。</p> <p>雖然Amazon強調實體店面的科技創新，像是閘門式無人結帳系統Just Walk Out，但其實2024年Amazon就已<a href="https://www.ithome.com.tw/news/162115" target="_blank">停用</a>本方案，而改使用較小的智慧購物車Dash Cart方案。</p> <p>未來，Amazon將把資源聚焦在高成長領域，包括Amazon電商平臺的同日遞送（Same-Day Delivery）以及Whole Foods Markets。<a href="https://www.ithome.com.tw/news/114980" target="_blank">Whole Foods Market</a>為Amazon 2017年收購，目前有550多個地方設有據點。年銷售額成長率達40%。Amazon也計畫將生鮮商店同日遞送推向更多社區。</p> <p>另一方面，伴隨Amazon強化AI資料中心及服務的投資、以及辧公室導入AI，這家電商巨人近年也開始削減人事及其他成本。<a href="https://www.reuters.com/business/world-at-work/amazon-plans-thousands-more-corporate-job-cuts-next-week-sources-say-2026-01-22/" target="_blank">路透社</a>上周引述消息人士報導 Amazon計畫裁減3萬白領員工，而在去年裁員1.4萬人後，Amazon可能在本周還會進行第二波裁員。</p> </div></div></div>
1/28 10:57作者林妍溱https://www.ithome.com.tw/news/173624
微軟緊急修補已遭利用的Office零日漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21509" target="_blank">微軟周一（1/26）緊急修補</a>了位於Office中、已遭駭客利用的CVE-2026-21509零日漏洞。該漏洞也被美國網路安全暨基礎設施安全局（CISA）納入已遭利用漏洞(Known Exploited Vulnerabilities，KEV)目錄，<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">要求政府機構</a>在2月16日以前完成修補。</p> <p class="rtecenter"><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog#:~:text=MICROSOFT%20%7C%20OFFICE,CWE%3A%20CWE%2D807" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0128-CVE-2026-21509-office-600.png" style="width: 600px;" /></a></p> <p>CVE-2026-21509是一個安全性功能繞過漏洞，源自於Microsoft Office在進行安全判斷時依賴不可信的輸入，導致未經授權的駭客可在本機情境下繞過原本用於防護的OLE/COM緩解機制。駭客必須將惡意的Office檔案傳送給使用者，同時誘導使用者開啟該檔案，才能成功利用CVE-2026-21509。</p> <p>COM的全名為元件物件模型（Component Object Model），為Windows上的軟體架構標準，用來讓不同程式與不同語言撰寫的功能模組，能以一致的方式彼此呼叫與互通；而物件連結與嵌入（Object Linking and Embedding，OLE）則建立在COM之上，允許不同應用程式的內容可於同一份文件中被嵌入、連結與互動。</p> <p>該漏洞影響多個Office版本，包括Office 2016、Office 2019、Office LTSC 2021、Office LTSC 2024，以及Microsoft 365 Apps等。微軟已經釋出Office 2016與Office 2019的官方更新，微軟亦從伺服器端更新了Office 2021與之後的版本，使用者只要重啟便能生效。</p> </div></div></div>
1/28 09:27作者陳曉莉https://www.ithome.com.tw/news/173623
Nvidia擴大Earth-2開放模型家族，涵蓋15天全球預報與短時即時預報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Nvidia在美國氣象學會年會<a href="https://blogs.nvidia.com/blog/nvidia-earth-2-open-models/">公布</a>Earth-2開放模型家族，將氣象與氣候AI所需的模型、函式庫與框架整理成一套開放軟體堆疊。新一批模型涵蓋最長可達15天的全球中期預報，以及0到6小時的臨近預報，用於支援地方尺度的風暴與危害性天氣判讀。</p> <p>過去高品質天氣預報多仰賴以物理為基礎的數值天氣預報模式與大型運算資源，Nvidia表示，把AI預報定位為降低計算成本與時間的一條路徑，讓更多國家、氣象服務單位與企業能建置更貼近自身情境的預報系統，而不是只依賴少數大型中心的運算能力。</p> <p>新公布的三個核心模型分別對應氣象流程的不同環節，Earth-2 Medium Range採用名為Atlas的模型架構，用於中期預報，涵蓋溫度、氣壓、風與濕度等70種以上變數。Earth-2 Nowcasting採用StormScope架構，以生成式AI學習衛星與雷達資料，將國家尺度的預報轉為公里等級解析度，並在數分鐘內產出0到6小時的地方風暴預報。Earth-2 Global Data Assimilation則採用HealDA架構，負責把多來源觀測資料轉成預報所需的初始條件，並宣稱可在GPU上以秒級產出，縮短傳統超級電腦資料同化（Data Assimilation）的耗時。</p> <p>除了新增模型，Nvidia也把既有的開放模型放在同一個Earth-2脈絡下，包含用於降尺度的Earth-2 CorrDiff，以及用於多種氣象變數預測的Earth-2 FourCastNet3。Nvidia同時提到，Earth-2也可整合ECMWF、微軟、Google等單位釋出的開放模型，並以PhysicsNeMo作為訓練與微調的開源Python框架，讓研究或企業能在自有基礎設施上延伸既有能力。</p> <p>Nvidia也點出目前已參與或評估的用戶，包括臺灣中央氣象署、以色列氣象服務機構、The Weather Company與美國國家氣象局NWS等預報單位，以及能源預報與電網營運相關的TotalEnergies、Eni與GCL等。另外還有能源交易、保險與風險評估等業者，該工具鏈不只能用於研究，也支援需要天氣資訊作為決策輸入的應用場景。</p> <p>Nvidia表示，Earth-2 Medium Range與Earth-2 Nowcasting已透過Earth2Studio開放取得，並同步在GitHub與Hugging Face提供預訓練模型與相關工具。Earth-2 Global Data Assimilation則預計在今年稍晚釋出。</p> </div></div></div>
1/28 09:45作者李建興https://www.ithome.com.tw/news/173620
GitHub釋出Copilot SDK，供應用程式內嵌Copilot CLI代理執行迴圈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://github.blog/news-insights/company-news/build-an-agent-into-any-app-with-the-github-copilot-sdk/" target="_blank">GitHub公布</a>Copilot SDK技術預覽版，將GitHub Copilot CLI背後的代理執行迴圈封裝成可程式化介面，讓開發者能在自家應用程式中執行多回合任務，並由Copilot負責規畫步驟、呼叫工具、編輯檔案與執行命令。GitHub強調，該SDK沿用Copilot CLI的執行核心，目標是降低團隊自行開發規畫器、工具迴圈與執行環境的負擔。</p> <p>官方直言，從零開始打造代理式工作流程並不容易，在真正開發產品邏輯之前，通常就得先處理一整套共通的工程問題。而Copilot SDK的目標，是把這些基礎能力做成現成可用的元件，讓團隊把心力放到應用設計。</p> <p>Copilot SDK首波支援Node.js與TypeScript、Python、Go與.NET。開發者可沿用既有GitHub Copilot訂閱，也可採自備金鑰模式，並延續Copilot CLI對多個AI模型的支援，官方也提到，SDK支援MCP伺服器整合、GitHub身分驗證與即時串流輸出，方便在互動介面呈現回應與執行進度。</p> <p>官方儲存庫文件指出，各語言SDK透過JSON-RPC與Copilot CLI的伺服器模式溝通，SDK會管理CLI程序生命周期，也可改連接外部CLI伺服器。這使Copilot CLI原本在終端機內完成的工具呼叫與檔案操作，能以程式呼叫方式嵌入桌面程式、網頁服務或內部系統。</p> <p>不過，GitHub也提醒，Copilot SDK在預設設定下會啟用Copilot CLI的第一方工具組合，也就是說，代理具備檔案系統操作、Git操作與網際網路請求等能力。開發者可透過SDK明確指定可以使用與需停用的工具，以配合權限模型與風險控管需求。</p> </div></div></div>
1/28 08:59作者李建興https://www.ithome.com.tw/news/173619
【資安日報】1月27日，金管會資安監理政策2026年六大新重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173594"><strong style="font-size: 22px;">金管會資安監理政策2026年六大新重點</strong></a></p> <p>金管會在去年底最後一場記者會中，發表了未來四年金融資安監理的新政策框架「金融資安韌性發展藍圖」，涵蓋四大主軸共10類工作項目，可以細分成29項措施，值得留意的是，其中有多項是2026年就會發布，或是2027年開始實施，但企業早在2026年就得開始準備的工作項目。</p> <p>其中，金管會預計在2026年底前完成的重點工作，包括訂出「API安全基準」、「AI系統安全防護及檢測參考指引」和「後量子密碼（PQC）遷移參考指引」，另外也會訂定「供應商分級及委外資安責任參考範本」。金管會在2026年還增加了三項對金融業的新資安監理要求，包括了明定金融資安長的權責、零信任架構從鼓勵轉為必備，以及必須建立軟體供應鏈安全機制如SBOM。</p> <p><a href="https://www.ithome.com.tw/news/173599"><strong style="font-size: 22px;">為協助警方辦案，微軟傳出曾提供BitLocker復原金鑰給FBI惹議</strong></a></p> <p>根據富比士的報導，2025年微軟將3臺筆電的BitLocker加密磁碟之復原金鑰交給了FBI。FBI為了偵辦一起發生於關島的失業救濟金詐騙案，需要存取嫌犯筆電上的資料，因而向微軟出示搜索票，這被視為首度公開揭露微軟向執法單位提供BitLocker復原金鑰的案例。微軟向媒體證實，如果接到有效的法律命令，的確會提供BitLocker復原金鑰。微軟發言人並說，該公司平均每年會接獲20件提供復原金鑰的請求。</p> <p>迫於警方或法院命令交出金鑰，此舉仍引發商業倫理與用戶隱私層面的爭議，因為這留有行政濫權的空間。約翰霍普金斯大學教授Matt Green認為，蘋果、Google，以及Meta等科技巨頭皆未曾向執法單位低頭，並因無法取得金鑰為由拒絕提供，微軟是唯一沒有這麼做的公司，既然FBI與其他政府機構已經知道微軟會配合類似關島案的搜查令，未來勢必會向該公司提出更多加密金鑰的要求。</p> <p><a href="https://www.ithome.com.tw/news/173596"><strong style="font-size: 22px;">北韓駭客Konni利用AI生成PowerShell惡意軟體，鎖定區塊鏈開發人員而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image2.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Check Point揭露針對軟體開發人員與工程團隊的網路釣魚活動，此攻擊由北韓駭客組織Konni發起，利用區塊鏈與加密貨幣相關的專案文件作為誘餌，散播AI生成的PowerShell後門程式。這象徵北韓攻擊者的技術手段有了重大演進，AI在網路攻擊中已從實驗階段正式進入實戰運用，並擴張了駭客在亞太地區的攻擊範圍。</p> <p>為何Check Point會發現後門由AI生成？原因在於其程式碼結構與邏輯具有明顯的AI生成特徵，結構極其工整，擁有異常清晰、人員容易理解的註解說明，充分描述指令碼的功能；再者，該後門採用模組化設計，當中使用大量AI助理常見的程式碼格式；另外，程式碼當中包含類似「此處應填入特定功能」的占位修飾符號或教學式註解，這也是程式碼由AI生成的重要特徵。</p> <p><a href="https://www.ithome.com.tw/news/173588"><strong style="font-size: 22px;">惡意PyPI套件仿冒SymPy，鎖定Linux主機投放挖礦程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/5ce5e8e6539d13424c1a0a2aa4c24180.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/5ce5e8e6539d13424c1a0a2aa4c24180.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Socket威脅研究團隊揭露，Python套件庫PyPI近期出現名為sympy-dev的惡意套件，刻意仿冒知名符號數學函式庫SymPy的專案描述與呈現方式，誘使開發者在搜尋或安裝時誤用。</p> <p>攻擊者2026年1月17日在PyPI發布4個版本，從1.2.3到1.2.6皆含惡意程式碼，發布者資訊顯示為Nanit。該套件上架首日下載數即突破1,000次，研究人員強調，下載數雖不等於實際感染數，但足以顯示其可能已進入部分開發者工作站，或自動化建置與測試環境。</p> <p><a href="https://www.ithome.com.tw/news/173536"><strong style="font-size: 22px;">憑證機構LiteSSL遭揭ACME驗證資料重用漏洞，已撤銷143張憑證</strong></a></p> <p>憑證機構LiteSSL在Mozilla CA Program的公開合規事件追蹤中被點名，外部研究人員指稱其ACME自動化簽發服務的網域驗證資料可被不當重用，導致在憑證簽發時，出現未重新確認網域控制權就核發萬用字元憑證的風險。</p> <p>Mozilla Bugzilla上的初步事故報告則指出，TrustAsia在2026年1月21日收到社群通報後調查確認，LiteSSL的ACME服務存在與網域驗證資料重用相關的漏洞。影響範圍涵蓋2025年12月29日之後以ACME簽發的憑證，原因是ACME驗證授權資料曾跨不同ACME帳號被重用，合計影響143張，TrustAsia表示目前已全數撤銷且完成修補，服務已恢復。</p> <p><a href="https://www.ithome.com.tw/news/173613"><strong style="font-size: 22px;">Pwn2Own Automotive 2026發出逾百萬美元獎金，電動車充電樁成最大攻擊面</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Leaderboard Day 3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Leaderboard%20Day%203.png" style="width: 300px; float: right;" /></a></p> <p>由趨勢科技旗下Zero Day Initiative（ZDI）主辦的Pwn2Own Automotive 2026，日前於日本東京Automotive World舉行，為期三天的競賽共揭露76個獨立零日漏洞，發出總獎金104.7萬美元，吸引來自全球的資安研究團隊，共提交73次攻擊嘗試，規模創下汽車主題Pwn2Own新高。</p> <p>本屆比賽項目涵蓋車載資訊娛樂系統（In-Vehicle Infotainment，IVI）、特斯拉（Tesla）資訊娛樂USB實體攻擊、電動車Level 2與Level 3充電樁，以及車用作業系統Automotive Grade Linux，受測對象均為實際商用產品，反映汽車與充電生態在高度軟體化下的真實攻擊面。</p> <p><a href="https://www.ithome.com.tw/news/173505"><strong style="font-size: 22px;">21種傳統攻擊手法因AI進化，網域冒充問題加劇需正視</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）微軟數位防禦報告_攻擊者用AI提升21項傳統攻擊技術_圖片來源微軟.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A_%E6%94%BB%E6%93%8A%E8%80%85%E7%94%A8AI%E6%8F%90%E5%8D%8721%E9%A0%85%E5%82%B3%E7%B5%B1%E6%94%BB%E6%93%8A%E6%8A%80%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 300px; float: right;" /></a></p> <p>去年底微軟發布新一年度數位防禦報告，一共列出21項受到AI加持的攻擊手法或技術，這些傳統攻擊手法受到AI加持，威脅程度大增，涵蓋自動化詐騙、自動化魚叉式網路釣魚、語言翻譯、深偽技術（Deepfake）、合成身分建立、網域冒充等，正提高網路攻擊的速度、規模，以及精密度。</p> <p>近期微軟印度暨南亞區首席資安顧問Anujh Tewari亦針對這方面進行解析。他強調，現在攻擊者正隨著AI時代進步，利用AI來擴大攻擊規模，一旦發現某次攻擊效果不錯，就可以迅速複製攻擊模式。</p> <p><a href="https://www.ithome.com.tw/news/173615"><strong style="font-size: 22px;">生命週期結束的晶睿通訊網路攝影機存在重大漏洞</strong></a></p> <p>上週資安業者Akamai指出，他們透過AI逆向工程工具，在數十款晶睿通訊（Vivotek）已終止支援的網路攝影機當中，發現未經授權的命令注入漏洞CVE-2026-22755，此漏洞允許未經身分驗證的攻擊者，遠端以root權限執行任意指令，4.0版CVSS風險評分達到9.3分（滿分10分），相當危險。對此，我們連繫晶睿並詢問此事，該公司表示，本次涉及之機型為已停止支援之舊款產品，其產品生命週期已結束，不在韌體與資安更新的支援範圍，對於仍在使用該類機型的用戶，該公司建議將設備部署於受保護的內部網路環境，避免直接對外連線，並儘速更換以確保資訊安全。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=155443&SPOKE_DATE=20260126&COMPANY_ID=5511"><strong style="font-size: 22px;">營造業者德昌子公司經典國際遭網路攻擊</strong></a></p> <p>上櫃建築營造公司德昌營造（5511）於1月26日發布重大訊息，其重要子公司經典國際發生資訊系統遭受網路攻擊，察覺後立即啟動相關防禦機制，目前營運尚未受重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nearly-800-000-telnet-servers-exposed-to-remote-attacks/">近8萬臺採用GNU InetUtils建置的Telnet伺服器存在重大漏洞CVE-2026-24061</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cloudflare-misconfiguration-behind-recent-bgp-route-leak/">針對BGP路由洩露的事故，Cloudflare表示是組態設定出錯造成</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/187340/data-breach/shinyhunters-claims-2-million-crunchbase-records-company-confirms-breach.html">駭客組織ShinyHunters聲稱竊得創業公司資料庫Crunchbase逾200萬筆記錄</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-patches-actively-exploited-office-zero-day-vulnerability/">微軟修補已遭利用的辦公室軟體Office高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/phishing-attack-uses-stolen-credentials.html">駭客假借Greenvelope發送邀請函，企圖在受害組織部署遠端管理工具LogMeIn進行滲透</a></strong></p> <p></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173582"><strong>【1月26日】ShinyHunters鎖定Okta、Google、微軟單一登入從事語音網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173553"><strong>【1月23日】Fortinet單一簽入功能重大漏洞傳出攻擊活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173528"><strong>【1月22日】駭客冒充員工對IT服務臺發動社交工程攻擊，轉走員工薪資</strong></a></p> </div></div></div>
1/27 16:49作者周峻佑https://www.ithome.com.tw/news/173616
兩款VS Code AI程式開發助理延伸套件遭指洩漏資料，安裝量合計約150萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Koi Security發布<a href="https://www.koi.ai/blog/maliciouscorgi-the-cute-looking-ai-extensions-leaking-code-from-1-5-million-developers">研究報告</a>，指出兩款上架於微軟Visual Studio Marketplace的VS Code AI程式開發助理延伸套件，除了提供程式碼問答與自動完成功能，還會在未明確告知的情況下蒐集使用者工作區檔案內容與行為資料，並回傳至位於中國的伺服器。研究人員將該活動命名為MaliciousCorgi，並稱兩套件合計安裝量約150萬。</p> <p>被點名的延伸套件為ChatGPT - 中文版與ChatGPT - ChatMoss（CodeMoss）。研究人員指出，兩者含有相同的惡意程式碼與後端架構，只是以不同發行者身分在市集中流通。以2026年1月27日Marketplace頁面為準，ChatGPT - 中文版累計1,340,885次安裝，ChatGPT - ChatMoss（CodeMoss）則超過15萬次。</p> <p>兩套件具有三個外傳資料的管道，其一是即時監控，使用者只要開啟檔案，延伸套件就會讀取整份內容並送出，且在每次編輯時持續回傳更新後內容。其二是伺服器端可下指令觸發批次蒐集，研究人員提到，惡意套件可在不需使用者額外操作下，一次性蒐集工作區多個檔案，最高可達50個。其三則是行為剖析，報告稱延伸套件內嵌頁面會載入多個分析服務的程式碼，用於彙整使用者行為與裝置特徵。</p> <p>編輯器延伸套件安裝門檻低，不少開發者只看評分與安裝量就決定採用，研究人員提醒，AI助理需要讀取部分程式碼才能回覆，但仍應要求揭露資料傳輸範圍與目的，並以內部政策限制延伸套件的安裝來源。此外，要是開發環境包含商業機密或客戶資料，風險與處理成本會更高。</p> <p>在企業開發環境中，工作區常同時包含程式碼庫、組態檔與各式機密資料，例如環境變數檔、API金鑰與SSH金鑰等。依研究人員分析，這些資料可能在使用者開啟檔案或遭批次蒐集時一併被回傳，目的地為位於中國的伺服器。</p> </div></div></div>
1/27 18:31作者李建興https://www.ithome.com.tw/news/173617
政府永續長聯盟論壇，鄭麗君：淨零光能與氣候調適雙軸治理為政府永續政策關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>環境部舉辦「115年政府永續長聯盟論壇」，聚集中央政府機關及地方政府、國營事業永續長齊聚一堂，行政院長鄭麗君也以行政院永續長的身分出席；她指出，面對2050淨零排放與極端氣候加劇的雙重挑戰，政府正以「淨零轉型」與「氣候調適」作為永續治理的兩大主軸，透過制度設計、跨部會協作與科技工具導入，強化臺灣社會與產業的整體韌性。</p> <p data-end="379" data-start="254">今年論壇聚焦「淨零光能」、「深度節能」、「建築能效」及「韌性治理」四大議題，政府永續政策已從單一能源或環保措施，轉向涵蓋能源、建築、國土與資料治理的系統性工程。鄭麗君指出，相關議題必須由中央、地方政府、國營事業及產業界共同參與，才能將政策目標落實為可執行的治理架構。</p> <p><span style="color:#B22222;"><strong>公部門帶頭，新舊建築需設置太陽光電設施</strong></span></p> <p data-end="538" data-start="381">在能源政策上，「淨零光能」是臺灣能源轉型的重要技術路徑之一。除持續推動地面型太陽光電外，近年政策重心逐步轉向屋頂型與立面型太陽光電，以降低土地使用爭議，並提升分散式能源比例。</p> <p>根據經濟部盤點，中央公部門與國營事業既有及潛在可建置的屋頂型太陽光電容量合計可達1GW，被視為政府推動光電政策的重要示範場域。</p> <p data-end="658" data-start="540">為制度化推動光電與建築整合，政府也調整相關法規。鄭麗君指出，內政部與經濟部已完成協調，要求建築面積1,000平方公尺以上的新建築，須增設屋頂型太陽光電，相關規定已於去年底公告，預計會在今年8月實施，未來光電設計將成為大型建築的基本配置之一。</p> <p>針對既有建築方面則以「老宅延壽計畫」，在提升結構安全、無障礙設施與管線更新的同時，將其納入屋頂型、立面型太陽光電的設置。鄭麗君指出，這類光電設施除可躉售電力外，未來也可朝向公共設施或住戶自用發展，有助於降低用電成本、提升能源自主性，同時兼具降溫與建築保護效果，形成減碳與環境調適的複合解方。</p> <p><span style="color:#B22222;"><strong>以資料整合、科技分析強化環境的永續治理</strong></span></p> <p data-end="935" data-start="807">在氣候調適政策上，鄭麗君強調，政府已將調適視為與減碳同等重要的治理工作。行政院已成立「行政院水及流域永續推動小組」，規劃為期6年的「水及流域永續發展行動計畫」，嘗試以資料整合與科技分析，從傳統工程導向的治水模式，轉向以風險管理與國土韌性為核心的治理思維。</p> <p data-end="1041" data-start="937">她指出，政府將透過氣候、水文、土砂、都市排水與滯洪等資料的圖資套疊，盤點包括大規模崩塌潛勢區、河川污染測站、高風險取水口水質改善，以及汙水下水道與再生水建設等優先治理項目，作為跨部會與中央地方協作的決策依據。</p> <p data-end="1158" data-start="1043">鄭麗君也提到，未來將調整過往由地方單向向中央爭取預算的模式，改以由上而下，以及由下而上交叉盤點的方式，提升政策資源配置的精準度，並加快調適行動的落實速度。相關計畫仍有賴國會預算支持，待預算通過後，將啟動新一波水環境與供水系統改善工程。</p> <p>她最後指出，氣候調適範疇已超越水資源，涵蓋國土、公共安全、健康與社會韌性等面向。在環境部推動的國家調適行動計畫指引下，政府將持續強化政策整合與科技治理，透過永續長聯盟平台，讓淨零與調適政策從目標設定走向可衡量、可執行的治理機制。</p> </div></div></div>
1/27 18:55作者蘇文彬https://www.ithome.com.tw/news/173618
生命週期結束的晶睿通訊網路攝影機存在重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客鎖定已終止支援（EOL）的物聯網裝置挖掘漏洞，並從事漏洞利用的情況，最近兩到三年頻頻出現，由於廠商不再支援，因此漏洞通常不會得到修補，而成為攻擊者偏好的目標。若有研究人員公開揭露相關漏洞，也隨即吸引外界關注，因為接下來可能會有人試圖利用這些已公開的漏洞。</p> <p>上週資安業者Akamai指出，他們透過AI逆向工程工具，在數十款晶睿通訊（Vivotek）已終止支援的網路攝影機當中，<strong><a href="https://www.akamai.com/blog/security-research/2026/jan/command-injection-vivotek-legacy-firmware-need-to-know">發現未經授權的命令注入漏洞CVE-2026-22755</a></strong>，此漏洞允許未經身分驗證的攻擊者，遠端以root權限執行任意指令，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-22755">4.0版CVSS風險評分達到9.3分</a></strong>（滿分10分），相當危險。對此，我們連繫晶睿並詢問此事，該公司表示，本次涉及之機型為已停止支援之舊款產品，其產品生命週期已結束，不在韌體與資安更新的支援範圍，對於仍在使用該類機型的用戶，該公司建議將設備部署於受保護的內部網路環境，避免直接對外連線，並儘速更換以確保資訊安全。</p> <p>針對漏洞的核心問題，Akamai指出，問題在於upload_map.cgi指令碼對使用者輸入的處理不當。系統在處理上傳檔案時，會使用snprintf()功能函式將使用者提供的檔名組合成殼層指令，隨後直接將字串傳遞給system()功能函式執行。由於缺乏對檔名的過濾與驗證，攻擊者可以透過在檔名中注入分號等殼層元字元，藉此中斷原本的指令，並執行惡意程式碼。</p> <p>雖然這項漏洞相當危險，不過，Akamai指出，想要利用這個漏洞，須具備必要條件，首先，攻擊者上傳的檔案必須小於5 MB，而且要通過韌體驗證檢查；再者，韌體特定的二進位檔案必須維持完整狀態，駭客必須利用內建的Boa Web Server，使用專用的非標準環境變數，將資料傳送到cgi-bin；最後，呼叫的指令碼必須是upload_map.cgi。</p> </div></div></div>
1/27 17:41作者周峻佑https://www.ithome.com.tw/news/173615
滲透合作公司員工郵件帳號發SharePoint文件共用信，能源公司遭多階段AiTM網釣與BEC鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期鎖定能源產業而來的攻擊行動不時傳出，最近一起是<strong><a href="https://www.ithome.com.tw/news/173597">波蘭電力系統12月底遭遇俄羅斯駭客Sandworm攻擊</a></strong>，駭客使用資料破壞軟體（Wiper）試圖進行破壞，不過並未得逞。現在有駭客對這類產業發動商業郵件詐騙（BEC）攻擊，引起研究人員的關注。</p> <p>微軟21日揭露一起<a href="https://www.microsoft.com/en-us/security/blog/2026/01/21/multistage-aitm-phishing-bec-campaign-abusing-sharepoint/"><strong>鎖定能源產業的大規模攻擊</strong></a>，駭客結合了對手中間人攻擊（AiTM）與商業郵件詐騙，過程裡運用SharePoint檔案共用服務發送釣魚的有效酬載，並依賴電子郵件系統的收件匣規則，讓使用者難以察覺異狀。一旦攻擊者成功入侵，他們就會利用受害組織能夠信任的內部使用者身分，<br /> 近期鎖定能源產業而來的攻擊行動不時傳出，藉此擴大活動範圍。針對這起事故，微軟指出駭客展現了對手中間人攻擊手法的複雜性，而且，採用的攻擊手段超越一般身分驗證的入侵方式，受害企業光是重設密碼不足以因應，必須撤銷尚在使用的連線階段（Session）及Cookie，並清除攻擊者建立的收件匣規則。</p> <p>在這起事故發生的過程中，攻擊者已事先取得某個可信組織的電子郵件帳號，利用該帳號發送看似正常的SharePoint連結，誘使收信人查看共享文件。由於SharePoint是企業常用的協作工具，容易讓人信以為真。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AiTM-BEC-20.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/AiTM-BEC-20.png" style="width: 580px;" /></a></p> <p>一旦收信人點擊郵件中的SharePoint連結時，就會啟動對手中間人攻擊流程。他們會被引導到偽造的登入網頁。這個頁面會記錄使用者的憑證，並進一步竊取多因素認證（MFA）驗證過程資料，使攻擊者得以建立合法的連線階段，從而入侵收信人的電子郵件信箱。</p> <p>攻擊者登入後，會在被入侵的收件匣裡建立郵件規則，例如自動刪除新郵件或標示為已讀，避免受害者察覺帳號異常。透過這個已被控制的信箱，攻擊者向受害者的內部與外部聯絡人寄出超過600封釣魚信，擴大攻擊範圍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AiTM-BEC-1.jpg" style="width: 580px;" /></p> <p>除了加入特定規則，駭客也監控受害者的電子郵件信箱內容，並將未送達或是非公務郵件，從封存（Archive）資料夾刪除。再者，駭客使用商業郵件詐騙常見的手法，針對聯絡人對釣魚郵件的真實性提出質疑的來信，進行回覆，來誤導受害者及聯絡人，而無法察覺實際上信件是攻擊者所寄送。若是聯絡人點選釣魚郵件的網址，就會再衍生新一輪的對手中間人攻擊。</p> </div></div></div>
1/27 18:10作者周峻佑https://www.ithome.com.tw/news/173612
Pwn2Own Automotive 2026落幕，電動車充電樁成最大攻擊面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由趨勢科技（Trend Micro）旗下Zero Day Initiative（ZDI）<a href="https://www.zerodayinitiative.com/blog/2026/1/23/pwn2own-automotive-2026-day-three-results-and-the-master-of-pwn" target="_blank">主辦的Pwn2Own Automotive 2026</a>，日前於日本東京Automotive World結束。為期三天的競賽共揭露76個獨立零日漏洞，發出總獎金104.7萬美元，吸引來自全球的資安研究團隊，共提交73次攻擊嘗試，規模創下汽車主題Pwn2Own新高。</p> <p><a href="https://www.zerodayinitiative.com/Pwn2OwnAuto2026Rules.html" target="_blank">本屆比賽項目</a>涵蓋車載資訊娛樂系統（In-Vehicle Infotainment，IVI）、特斯拉（Tesla）資訊娛樂USB實體攻擊、電動車Level 2與Level 3充電樁，以及車用作業系統Automotive Grade Linux，受測對象均為實際商用產品，反映汽車與充電生態在高度軟體化下的真實攻擊面。</p> <p>根據ZDI在這3天所公布的成功攻擊案例，電動車充電樁類別合計34件，高於一般IVI系統的28件，成為本屆競賽中最密集的攻擊面。另外，特斯拉資訊娛樂USB攻擊與Automotive Grade Linux各有一次成功的攻擊案例。</p> <p>充電樁的成功案例分布於Autel、ChargePoint、Phoenix Contact、Grizzl-E與Alpitronic等多個品牌與型號，顯示充電樁不僅數量多，且在不同設備上反覆出現可被利用的弱點。相關攻擊涵蓋系統層控制、韌體更新機制與充電通訊訊號操控。研究人員不僅能取得管理權限，還可干預充電流程，甚至在設備上執行任意程式，顯示充電樁一旦被入侵，風險已從單一設備擴及整體充電基礎設施。</p> <p>至於IVI的攻擊多集中於媒體解析與系統服務層，例如USB、藍牙或檔案處理流程中的緩衝區溢位、命令注入與權限提升。研究人員可藉此取得車機的程式碼執行權限，但影響通常侷限於資訊娛樂系統本身。相較充電樁，IVI風險較偏向隱私與系統完整性，而非直接影響車輛或基礎設施運作。</p> <p>此次第一名的隊伍為來自歐洲的Fuzzware.io團隊，該團隊取得了28分的成績，抱走21.5萬美元的獎金；第二名則是跨國團隊Team DDOS，拿到17.25分的成績與約10萬美元的獎金；第三名的Synacktiv為法國資安公司，雖然只帶走8.5萬美元的獎金，卻是唯一透過USB攻陷特斯拉資訊娛樂系統的團隊。</p> </div></div></div>
1/27 15:57作者陳曉莉https://www.ithome.com.tw/news/173613
Claude導入MCP Apps，AI工具整合邁向可視化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI新創Anthropic周一（1/26）宣布，旗下AI聊天機器人<a href="https://claude.com/blog/interactive-tools-in-claude" target="_blank">Claude正式導入MCP Apps</a>，能將第三方工具的互動介面直接嵌入Claude中，使Claude從以文字為主的協作工具，進一步走向可視化的工作介面，現已支援Asana、Box、Figma及Slack等9種工具，亦計畫支援Salesforce。</p> <p><a href="https://www.ithome.com.tw/news/166199" target="_blank">MCP（Model Context Protocol）</a>是Anthropic所釋出的開放標準，用來定義AI如何安全連接外部工具、取得脈絡並執行動作；MCP Apps則是建立在MCP之上的官方擴充，讓工具不只被AI呼叫，還能把互動式介面直接嵌入AI對話中，讓使用者與AI即時共同操作同一個工作畫面。</p> <p>Claude過去已能透過MCP連接外部工具，代表使用者建立任務或執行操作，但實際流程多半以文字回饋呈現，工具本身的操作狀態並不透明；而MCP Apps則進一步允許工具供應商將自身的互動式UI一併提供給聊天機器人顯示與操作。</p> <p>在實際操作上，使用者可於Claude對話中直接看到並操作Asana的專案與時程，於格式化預覽中編修Slack訊息，在Figma FigJam中將文字提示轉為流程圖或甘特圖，或透過Hex即時探索含互動式圖表的資料分析結果。Anthropic指出，這樣的設計讓使用者能與AI共同操作同一個工作畫面，而非僅等待AI完成任務後回報結果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-MCP%20App-%EF%BC%92.png" style="width: 600px;" /></p> <p>目前MCP Apps所支援的互動式操作工具包括：Amplitude、Asana、Box、Canva、Clay、Figma、Hex、monday.com與Slack等，涵蓋專案管理、設計、資料分析與企業協作等常見工作場景。Anthropic預計很快就會加入Salesforce，透過Agentforce 360替Claude導入更完整的企業情境與資料整合能力。</p> <p>MCP Apps延續了Anthropic對開放標準的布局，讓工具不只提供API結果，而能在AI介面中呈現原生操作體驗。外界認為，這將有助於開發者透過同一套標準，降低跨AI平臺整合的成本。</p> </div></div></div>
1/27 13:33作者陳曉莉https://www.ithome.com.tw/news/173601
傳中國政府介入調查可能造成Meta/Manus收購案生變
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bloomberg.com/news/articles/2026-01-23/china-deepens-review-of-meta-s-landmark-2-billion-manus-buyout" target="_blank">彭博報導</a>，中國監管機關深入調查Meta和AI代理人新創公司Manus的收購案是否合法、以及是否涉及技術輸出與資料外流，可能造成收購的推遲甚至取消。</p> <p>由中國創業家肖弘創立Manus提供AI代理人服務，能為企業生成網站原型、內部工具，甚至簡單的業務自動化，而不必具備完整程式開發技能。在2025年3月發表後引發關注。<a href="https://www.ithome.com.tw/news/173091" target="_blank">Meta去年12月底宣布</a>，買下AI代理人開發商Manus，以加速企業人工智慧創新。外傳這起交易價值數十億美元。彭博則稱價值為20億美元。</p> <p><a href="https://www.bloomberg.com/news/articles/2026-01-07/china-reviews-meta-s-2-billion-deal-to-buy-ai-startup-manus" target="_blank">中國商務部本月初宣布</a>將對這項收購案與相關合規性展開評估初步調查。最新宣布中，中國政府將全面審查。審查範圍由技術出口、對外投資合法性，擴大到深入評估Manus收購是否涉及中國技術輸出，以及是否可能導致AI訓練資料外洩等面向。</p> <p>中國官方將深入審查是否涉及中國技術或演算法，是否可能違反《出口管制法》。外國投資調查可能涵括Meta支付收購款項、資金流向、相關外匯和投資報備手續是否符合規定。</p> <p>此外，中國官方也關注Manus AI處理的大量數據。是否會存在未經許可的數據跨境流動或個人資料外洩，審查可能涉及對公司資料架構、儲存及傳輸路徑的評估。</p> <p>最後，報導指出，中國政府可能調查交易是否涉及中國創始人、員工或原始研發貢獻包含中國來源技術，在跨境合併後是否仍然受制於中國法律管轄，並進一步評估有無違規。</p> <p><a href="https://www.worldjournal.com/wj/story/121474/9257709" target="_blank">報導引述專家分析</a>，此舉顯示中方希望加強AI敏感技術出口管控，審查恐耗時半年，且中國官方還可能考量是否若Meta在AI技術或市場上獲得顯著優勢，可能會有反壟斷方面的考量。</p> <p>為避開美中貿易紛爭，Manus母公司Butterfly Effect於2025年中將總部遷往新加坡，營運實體改為Butterfly Effect Pte. Ltd.（新加坡），原本在中國的團隊、業務則逐步縮減或調整。</p> <p><a href="https://www.idnfinancials.com/news/60321/china-investigates-metas-acquisition-of-ai-startup-manus" target="_blank">Meta發言人表示</a>，此交易後，Manus AI將不再有中國所有權，Manus AI也將停止在中國的服務與營運。</p> </div></div></div>
1/27 14:20作者林妍溱https://www.ithome.com.tw/news/173610
Maia 200正式亮相，用以強化微軟自家AI推論基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.microsoft.com/blog/2026/01/26/maia-200-the-ai-accelerator-built-for-inference/" target="_blank">微軟周一（1/26）發表</a>新一代的推論AI加速晶片Maia 200，這是微軟在第一方的AI晶片計畫中，首個進入大規模商用部署的版本；同時，隨著生成式AI進入實際營運階段，微軟正將AI運算從單點效能競賽，推進到長期可擴展、可控成本的雲端基礎設施層級。</p> <p>Maia並非通用GPU的替代品，而是專為大規模AI推論而設計的雲端加速器，<a href="https://www.ithome.com.tw/news/159884" target="_blank">首次於2023年</a>Ignite大會對外揭露。</p> <p>新一代的Maia 200採用台積電3奈米製程打造，內建原生FP4與FP8 Tensor核心，並配置216GB HBM3e、7TB/s記憶體頻寬與272MB晶片內SRAM，整體設計明確鎖定低精度推論與高Token吞吐需求。微軟指出，Maia 200在FP4運算效能上約為第三代AWS Trainium的3倍，FP8效能亦高於Google第七代TPU，且在其資料中心實際部署中，效能成本比提升約30%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-Maia%20200-microsoft-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>儘管Maia 200在硬體形態上是一顆AI加速器晶片，但其設計並未止於晶片本身。微軟在開發過程中，同步定義了晶片的互連方式、資料中心網路拓撲、機架配置與散熱方案，使Maia 200能直接融入Azure資料中心，作為可規模化的AI推論運算單位。</p> <p>現階段微軟已將Maia 200部署於Azure資料中心，用於支援包括OpenAI最新GPT-5.2系列模型、Microsoft 365 Copilot與Microsoft Foundry等服務。Maia 200主要承擔高頻率的Token生成任務，作為GPU之外的另一條推論運算路徑，降低對單一硬體平臺的依賴，並提升AI服務在高負載狀態下的成本可預測性。</p> <p>此外，微軟內部的超智慧團隊亦使用Maia 200進行合成資料生成與強化學習，支援下一代自研模型的研發流程。這使Maia不僅服務於既有產品推論，也被納入模型開發與優化體系之中。</p> </div></div></div>
1/27 12:17作者陳曉莉https://www.ithome.com.tw/news/173598
俄羅斯國家級駭客Sandworm鎖定波蘭電力產業，利用惡意軟體DynoWiper抹除資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年12月底波蘭傳出電力系統遭遇大規模網路攻擊，近日有資安公司指出，攻擊者的身分就是俄羅斯駭客Sandworm。</p> <p>1月23日<strong><a href="https://www.welivesecurity.com/en/eset-research/eset-research-sandworm-cyberattack-poland-power-grid-late-2025/">資安公司ESET表示</a></strong>，去年底波蘭能源系統遭到大規模網路攻擊，根據他們的調查結果，<strong><a href="https://bsky.app/profile/esetresearch.bsky.social/post/3md44r4veyc2e">這起事故發生在12月29日</a></strong>，其特徵與Sandworm過往發動的資料破壞攻擊高度重疊，因此研判應該是這些俄羅斯駭客所為。這次駭客使用的資料破壞軟體（Wiper），ESET命名為DynoWiper。對於整起事故發生的完整過程，該公司表示尚在進一步調查當中，不過，目前尚未出現災情。</p> <p>針對駭客的動機，很可能是Sandworm鎖定能源設施發動攻擊正好滿10週年。2015年12月，該組織攻擊烏克蘭電網，<strong><a href="https://www.ithome.com.tw/news/103331">使用惡意軟體BlackEnergy入侵變電站重要系統</a></strong>，導致約有70萬人停電數小時，而這是首度電力系統因惡意軟體攻擊造成的停擺的事故。</p> <p>這起資安事故的曝光<strong><a href="https://www.reuters.com/sustainability/climate-energy/massive-cyberattack-polish-power-system-december-failed-minister-says-2026-01-13/">源自於路透社的報導</a></strong>，1月13日波蘭能源部長Milosz Motyka透露，該國電力系統於12月的最後一週，遭遇近幾年最大規模的網路攻擊，有別於過往針對大型發電機組或是電力運輸網路下手，這次駭客意圖打亂再生能源設施與配電營運公司之間的通訊，但並未得逞。雖然Motyka當時並未透露攻擊者的身分，不過，路透社認為很有可能是俄羅斯駭客所為，ESET公布的資料，印證了這樣的推測。</p> <p>除了上述的網路攻擊事故，自2022年烏克蘭戰爭爆發，俄羅斯駭客攻擊波蘭關鍵基礎設施的活動顯著增加。路透社取得政府官員的說法指出，2025年俄羅斯軍事情報機構為對波蘭採取網路攻擊的資源，增加了三倍。</p> </div></div></div>
1/27 12:31作者周峻佑https://www.ithome.com.tw/news/173597
微軟傳曾提供BitLocker復原金鑰給FBI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>媒體<a href="https://www.forbes.com/sites/thomasbrewster/2026/01/22/microsoft-gave-fbi-keys-to-unlock-bitlocker-encrypted-data/" target="_blank">Forbes報導</a>，微軟曾將Windows硬碟加密技術BitLocker的復原金鑰交給美國聯邦調查局（FBI），以利警方蒐集偵查案件所需的資料。</p> <p>BitLocker是微軟在Windows 10/11筆電的磁碟加密功能，透過加密整個磁碟機來保護資料安全，避免裝置遺失或被竊時未經授權的第三方存取資料。當登入微軟帳戶時，BitLocker通常會預設自動開啟。</p> <p>使用者可選擇將BitLocker的加密金鑰儲存在個人微軟帳號，或是企業的Active Directory或Azure AD下，以便用戶電腦開機失敗或重置TPM晶片、變更UEFI設定時BitLocker自動加密，由微軟伺服器中取回復原（或修復）金鑰解鎖磁碟。</p> <p>根據報導，2025年微軟將3臺筆電的BitLocker加密/回復金鑰交給了FBI。FBI為了偵辦一起發生於關島的失業救濟金詐騙案，需要存取嫌犯筆電上的資料，因而向微軟出示搜索票。</p> <p>微軟向媒體證實，如果接到有效的法律命令，的確會提供BitLocker回復金鑰。微軟發言人並說，該公司平均每年會接獲20件提供復原金鑰的使用者請求。</p> <p>迫於警方或法院命令交出金鑰雖然情有可原，但從商業及法律倫理來看似乎說不過去，因為這留有行政濫權的空間。另一方面，蘋果也曾面臨執法機關交出資料解密金鑰的壓力。<a href="https://www.ithome.com.tw/news/104023" target="_blank">最著名的</a>是2016年蘋果和FBI因一起槍擊案歹徒的iPhone解鎖事件鬧上法院，原因在於iPhone的安全設計，讓手機資料加密後連蘋果也無法存取。</p> <p>此外Google在Android加入的裝置全資料加密（Full-Disk Encryption）功能，也不會傳送加/解密金鑰到Google伺服器。</p> <p>報導引述約翰霍普金斯大學教授Matt Green說法，蘋果和Google都能做到，微軟卻是唯一一家大廠沒這麼做的。他說，如果廠商能存取到金鑰，執法機關就會找上門來。</p> </div></div></div>
1/27 12:32作者林妍溱https://www.ithome.com.tw/news/173599
Nvidia強化與CoreWeave合作，再以20億美元入股
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://nvidianews.nvidia.com/news/nvidia-and-coreweave-strengthen-collaboration-to-accelerate-buildout-of-ai-factories" target="_blank">Nvidia周一（1/26）宣布</a>，擴大與美國雲端GPU服務供應商CoreWeave的合作，協助該公司在2030年前加速建置超過5GW規模的AI工廠，同時以每股87.2美元的價格、總計20億美元認購CoreWeave股票。根據<a href="https://www.sec.gov/Archives/edgar/data/1045810/000104581026000008/xslSCHEDULE_13G_X01/primary_doc.xml" target="_blank">CoreWeave提交</a>給美國證券交易委員會的文件，這讓Nvidia所持有的CoreWeave股份增加至11.5%。</p> <p>CoreWeave成立於2017年，當時公司名稱為Atlantic Crypto，所聚集的GPU資源主要用來開採加密貨幣。在加密貨幣於2018年崩盤之後，即更名為CoreWeave，並轉型對外供應基於GPU的運算資源，搭上了AI風潮列車。現在的CoreWeave定位為專為AI打造的雲端服務供應商，在美國與歐洲經營超過30個資料中心，部署逾25萬張Nvidia GPU，以支援AI雲端部署。</p> <p>根據美國媒體報導，Nvidia是在2023年首度投資CoreWeave，當時約注資1億美元，每股價格低於6美元；在2025年CoreWeave進行IPO之前，再加碼認購，<a href="https://www.sec.gov/edgar/search/#/q=CoreWeave%252C%2520Inc.%252013D&sort=desc" target="_blank">當時Nvidia</a>總計持有約7%的CoreWeave股份；最近一次的20億美元，讓Nvidia的持股比例增加至11.5%。</p> <p>Nvidia表示，此一投資反映出該公司對CoreWeave業務模式、團隊及成長策略的信心，也認定它是個以Nvidia基礎設施為核心的雲端平臺；為了回應市場對運算資源的需求，雙方將進一步深化在基礎設施、軟體及平臺上的整合。</p> <p>根據雙方的規畫，CoreWeave將負責建置與經營AI工廠，並採用Nvidia的加速運算平臺技術，涵蓋Nvidia Rubin平臺、Nvidia Vera CPU，以及Nvidia BlueField儲存系統；同時Nvidia也將透過其財務實力，協助CoreWeave加速AI工廠在土地、電力與建築等基礎設施層面的投入與採購。</p> <p>周一消息傳出後，CoreWeave當天股價上漲5.73%，以98.31美元作收。CoreWeave在2025年3月28日IPO時的發行價為40美元。</p> </div></div></div>
1/27 12:52作者陳曉莉https://www.ithome.com.tw/news/173600
微軟揭露AI使網釣點擊率飆升4.5倍，竊資軟體興起亦備受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在去年10月發布的微軟2025數位防禦報告中，揭示近期網路犯罪手法出現一項重要變化，正從傳統的系統入侵，大幅轉向竊取合法身分後進行非法登入。對此，微軟印度暨南亞區首席資安顧問Anujh Tewari也進一步解析，指出「社交工程」、「初始存取」、「AI」與「竊資軟體」是企業必須關注的四大重點。</p> <p>首先，我們從新興的竊資軟體（InfoStealer）威脅來看，Anujh Tewari指出，這類惡意威脅幾年前未被視為重要的網路攻擊類別，但2025年微軟觀察到「竊資軟體即服務（InfoStealer as a Service）」模式大量出現，大幅降低攻擊門檻。</p> <p>對此態勢，我們並不感到意外。事實上，過去兩三年來，iThome已多次報導資安公司揭露不同竊資軟體活動的消息。這類惡意威脅不僅能竊取瀏覽器存放的帳號密碼與憑證，亦可存取瀏覽器中的Cookie；部分能力更強的變種，甚至能直接劫持Session Cookie，利用已完成驗證的登入狀態來繞過MFA的防護。</p> <p>值得注意的是，不常接觸資安的人可能誤以為竊資軟體是「偷資料」的惡意軟體。事實上，這裡竊取的「資」是指身分驗證相關的「資訊」（Information），而非一般的「資料（Data）」。更具體地說，InfoStealer竊取的是所謂的憑證（Credentials），包含登入帳密、瀏覽器紀錄的密碼、加密貨幣錢包相關憑證，以及至關重要的Session Cookie。因此，攻擊者並非直接竊取文件，而是先奪取身分權限。一旦身分失守，後續威脅將不再侷限於資料外洩，更可能演變為深度的企業滲透、惡意加密、資料刪除，甚至導致整體的業務停擺與商譽損失。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9）微軟數位防禦報告2025_Phishing Landscape_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A2025_Phishing%20Landscape_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p>另一更關鍵的威脅態勢，在於社交工程、初始存取、AI的交互作用。Anujh Tewari引用具體數據說明其嚴重性。微軟發現，AI加持下的網釣攻擊點擊率高達54%，相較於傳統釣魚手法的12%，大幅高出4.5倍。他並表示，這顯示一般用戶難以辨別真偽，情況令人憂心。</p> <p>長期以來，社交工程與初始存取一直是網路攻擊的核心戰術，網釣攻擊至今仍是最常見的攻擊管道之一，但現在的狀況是，攻擊者愈來愈頻繁運用AI，打造高度逼真的社交工程誘騙手法，過去許多資安業者都針對此一威脅態勢示警，例如去年<a href="http://www.ithome.com.tw/news/168949">Google在臺揭露</a>攻擊者運用AI真實現況，亦曾提到AI已成為強化社交工程攻擊的常見手法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9B）微軟數位防禦報告2025_Phishing Landscape_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969B%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A2025_Phishing%20Landscape_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p>對於社交工程、初始存取、AI的融合攻擊態勢演變，Anujh Tewari指出，2025年的主要威脅已不再侷限於電子郵件，駭客開始利用Teams等協作工具撥打語音電話，冒充IT人員直接騙取存取權限，這類手法正變得愈來愈常見。近年來，我們也多次報導駭客團體Scattered Spider的攻擊事件，以及駭客假扮外部供應商員工透過Microsoft Teams電話發動網釣攻擊，也印證這類威脅日益增加的趨勢。</p> <p>綜合來看，上述攻擊手段最終都指向同一個目標：突破身分權限。根據微軟報告指出，超過97%的身分識別攻擊源自「密碼攻擊」。僅在2025年上半年，身分識別類攻擊便激增32%，顯示企業遭遇的大多數惡意登入嘗試，駭客多半是利用已外洩的帳密資料庫，發動大規模撞庫攻擊。</p> <p>然而，微軟現也指出，利用外洩憑證嘗試非法登入並非唯一的攻擊手段，竊資軟體的使用量在2025年顯著上升，逐漸成為駭客取得初始存取權的重要途徑；此外，Anujh Tewari還提醒，雲端身分濫用呈現增加趨勢，同樣是值得企業持續關注的面向。</p> <p> </p> </div></div></div>
1/27 11:25作者羅正漢https://www.ithome.com.tw/news/173584
微軟發布2025數位防禦報告，臺灣遭網路威脅影響排名全球第十名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟去年10月底發布「數位防禦報告2025」揭露全球威脅態勢，兩個月後，他們透過線上研討會說明報告重點，過程中，他們揭露幾項威脅的數據與臺灣有關。</p> <p>首先，從全球威脅焦點來看，網路犯罪持續是全球最大的地下經濟體，國家級駭客的行動版圖也在持續擴張，微軟印度暨南亞區首席資安顧問Anujh Tewari指出，他們觀察到，美國客戶遭受網路威脅的影響程度全球排名第一，占全球總量的24.8%，其次為英國（5.6%）、以色列（3.5%）、德國（3.3%）、烏克蘭（2.8%）、加拿大（2.6%）、日本（2.6%）、印度（2.3%）、阿拉伯聯合大公國（2.0%）。</p> <p>臺灣也名列其中，與澳洲並列為第10大受威脅程度最嚴重的國家，比例為1.8%。換言之，上述受威脅程度居高不下的國家，正處於這場數位防禦戰的最前線。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）微軟數位防禦報告揭露2025年臺灣客戶遭受網路威脅影響排名全球第十名_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A%E6%8F%AD%E9%9C%B22025%E5%B9%B4%E8%87%BA%E7%81%A3%E5%AE%A2%E6%88%B6%E9%81%AD%E5%8F%97%E7%B6%B2%E8%B7%AF%E5%A8%81%E8%84%85%E5%BD%B1%E9%9F%BF%E6%8E%92%E5%90%8D%E5%85%A8%E7%90%83%E7%AC%AC%E5%8D%81%E5%90%8D_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p>若從產業別來看，全球遭受攻擊最多的產業為「政府機關與服務」及「IT公司」。這類機構掌握大量關鍵公共服務的敏感資料，涵蓋醫療、研究學術、交通與公共安全等範疇，同時吸引出於地緣政治動機的國家級攻擊者，以及以金錢利益為目的的網路犯罪分子，因此成為駭客的首要攻擊目標。</p> <p>不過，Anujh Tewari更想強調的是，「研究與學術機構」雖然僅排名第三，但近年遭受攻擊的情況明顯加劇，相較過往是嚴重許多，主要與其掌握大量研究資料與國際合作資訊有關。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2026-01-26_180710.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2026-01-26_180710.jpg" style="width: 600px;" /></a></p> <p>從攻擊動機與目標層面來看，「資料」持續是攻擊者鎖定的重點。Anujh Tewari指出，在過去一年微軟處理的所有被動事件處理案件中，高達8成比例都存在資料搜集的行為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2026-01-15_174152.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2026-01-15_174152.jpg" style="width: 600px;" /></a></p> <p>再從攻擊者鎖定的存取管道來看，遠端桌面協定（RDP）仍是最常被利用的入侵途徑，占比高達53%，其次則是企業的遠端存取入口，占比為26%。因此Anujh Tewari強調，企業需要重視零信任網路安全策略（Zero Trust），以及部署SASE類型的網路架構，評估其如何協助強化整體企業環境的安全性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）微軟數位防禦報告RDP Access_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8ARDP%20Access_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p>此外，Anujh Tewari也進一步說明這些數據的蒐集方式與背景，解釋相關觀察主要來自微軟在全球所偵測到的風險態勢。其偵測範圍與能量涵蓋每天處理約100兆個安全訊號、在身分識別層面每日執行約3,800萬次風險偵測，並結合超過15,000家合作夥伴的情資。另外，微軟也從2023年新啟動SFI（安全未來倡議）計畫，這方面目標主要是提升微軟產品、服務與整體營運的安全性，以對應日益增長的網路攻擊規模與風險。</p> <p>他還提到該公司近年投入約34,000名全職工程師來應對資安，展現對資安的重視。儘管這項數據並非在討論威脅情勢，但從資源投入的規模來看，反映資安人才市場需求的規模不小，單是一家公司所編制的資安團隊規模，就超過許多個別大型企業的員工總數。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2026-01-15_174027(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2026-01-15_174027(1).jpg" style="width: 600px;" /></a></p> <p> </p> </div></div></div>
1/27 11:34作者羅正漢https://www.ithome.com.tw/news/173589
北韓駭客Konni利用AI生成PowerShell惡意軟體，鎖定區塊鏈開發人員而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客利用AI打造惡意軟體的情況越來越常見，過往大多是軟體開發能力不足的新手採用這種方法，不過現在也有國家級駭客將其用於實際攻擊活動。</p> <p>資安業者Check Point揭露<strong><a href="https://research.checkpoint.com/2026/konni-targets-developers-with-ai-malware/">針對軟體開發人員與工程團隊的網路釣魚活動</a></strong>，此攻擊由北韓駭客組織Konni發起，利用區塊鏈與加密貨幣相關的專案文件作為誘餌，散播AI生成的PowerShell後門程式。這象徵北韓攻擊者的技術手段有了重大演進，AI在網路攻擊中已從實驗階段正式進入實戰運用，並擴張了駭客在亞太地區的攻擊範圍。</p> <p>Konni的攻擊活動最早可追溯到2014年，這些駭客向來的主要目標，是針對韓國的政府、外交、非政府組織（NGO），以及學術界，通常利用朝鮮半島局勢等地緣政治議題，作為誘餌並從事網釣。不過，本次駭客攻擊範圍擴大到整個亞太地區，日本、澳洲，以及印度傳出受害。</p> <p>這些誘餌文件的內容，明確與區塊鏈相關技術有關，內含專案資料，包含架構、技術堆疊、開發時程，以及部分預算與交付里程碑等技術細節。本次活動Konni似乎針對開發工程團隊而來，意圖破壞開發環境，藉此取得敏感資產的存取權限，包括基礎設施、API憑證、加密貨幣錢包，以及加密貨幣資產。Check Point指出，這種針對區塊鏈與加密貨幣的活動，雖然很容易被認定是其他北韓駭客所為，不過Konni過往也有基於財務動機鎖定相關領域的情形。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image1-2048x1337.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image1-2048x1337.png" style="width: 580px;" /></a></p> <p>針對攻擊行動的流程，是從Discord伺服器的連結開始，使用者點選後，將下載ZIP檔，其內容包含誘餌PDF檔，以及Windows捷徑檔（LNK），一旦啟動LNK檔，電腦就會執行PowerShell惡意程式載入工具，解出Word文件與CAB檔，並開啟文件檔案誘餌，以轉移使用者注意力，然後擷取CAB檔內容，包括：PowerShell後門、批次檔案，以及用來繞過使用者存取控制（UAC）的工具，最終駭客啟動後門程式，以進行下個階段的活動。不過，對於駭客如何引誘使用者點選Discord連結啟動感染鏈，Check Point並未說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image2.png" style="width: 580px;" /></a></p> <p>當PowerShell後門程式啟動時，會先檢查受害電腦的環境，防止在研究人員的分析環境或沙箱運作，其中包括檢查硬體資源是否達到最低門檻，以及掃描IDA、Wireshark、Promon等分析及監控工具。此外，該後門還會監控滑鼠的活動，確認使用者點選動作必須達到一定次數才繼續執行。</p> <p>接著，後門將確認取得的權限，若是一般使用者，該後門將會執行UAC繞過工具來提升權限；假如是管理員，則會在防毒軟體Microsoft Defender將惡意程式列入白名單，並執行另一個批次檔；如果後門得到SYSTEM層級權限，就會部署遠端管理工具SimpleHelp。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image7.png" style="width: 580px;" /></a></p> <p>為何Check Point會發現後門由AI生成？原因在於其程式碼結構與邏輯具有明顯的AI生成特徵，結構極其工整，擁有異常清晰、人員容易理解的註解說明，充分描述指令碼的功能；再者，該後門採用模組化設計，當中使用大量AI助理常見的程式碼格式；另外，程式碼當中包含類似「此處應填入特定功能」的占位修飾符號或教學式註解，這也是程式碼由AI生成的重要特徵。</p> </div></div></div>
1/27 11:47作者周峻佑https://www.ithome.com.tw/news/173596
Clawdbot走紅，顯示AI助理正從聊天工具走向行動代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源AI代理專案<a href="https://github.com/clawdbot/clawdbot" target="_blank">Clawdbot</a>近日在開發者社群迅速竄紅，成為AI代理浪潮中的代表案例之一。該專案由奧地利軟體工程師、PSPDFKit共同創辦人Peter Steinberger於2026年1月對外發布，主打「可由使用者自行掌控、部署於本地的個人AI助理」，而非依賴單一雲端產品或專屬介面。</p> <p>Clawdbot的核心概念，是讓大型語言模型從被動回應，進一步成為能實際執行任務的行動代理。使用者可將Clawdbot部署在自己的電腦或伺服器上，並串接OpenAI、Anthropic等大型語言模型API，再透過Telegram、WhatsApp、Slack、Discord、Microsoft Teams等既有通訊平臺與其互動。AI在取得明確授權後，可執行檔案讀寫、終端機指令、網頁抓取與流程自動化等操作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0126-Clawdbot-600(1).png" style="width: 471px;" /></p> <p>與多數雲端AI服務不同，Clawdbot並不強制使用專屬網頁介面，而是融入使用者原本的工作與通訊流程。其架構以Gateway作為控制平面，負責訊息轉發與權限管理，實際的行動能力則來自部署於本地的代理與工具模組。</p> <p>Clawdbot開源後迅速在GitHub累積大量關注，同時引發社群對「本地AI代理」與「行動型AI」的廣泛討論。部分使用者也在社群平臺分享實驗案例，例如創業家<a href="https://x.com/AlexFinn/status/2015133627043270750" target="_blank">Alex Finn表示</a>，他將Clawdbot部署於本地，用於內容腳本、電子報與競品研究等流程自動化；研究人員<a href="https://x.com/heyshrutimishra/status/2015327280911073789" target="_blank">Shruti Mishra則指出</a>，透過權限與工具配置，Clawdbot可讓大型語言模型不只生成文字，而是進一步執行檔案處理與網路操作等實際行動。</p> <p>整體而言，Clawdbot目前仍更接近一個開發者框架與實驗場，而非成熟的消費級產品。其影響力，或許不在於短期實際用戶數，而在於清楚示範了一種可能性：未來的AI助理，未必只能存在於雲端聊天框，而是能在使用者可控的環境中，真正參與並推動工作流程。</p> </div></div></div>
1/27 11:50作者陳曉莉https://www.ithome.com.tw/news/173578
金融CIO和CISO必看！金管會資安監理政策2026年六大新重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>金管會在去年底最後一場記者會中，發表了未來四年金融資安監理的新政策框架「金融資安韌性發展藍圖」，涵蓋四大主軸共10類工作項目，可以細分成29項措施，其中，有7項延續了2.0方案，延續且擴大或強化的措施也有10項，其餘新增措施則多達了12項。</p> <p>雖然這是一份長達四年的資安監理政策，其中有多項是2026年就會發布，或是2027年開始實施，但企業早在2026年就得開始準備的工作項目。所以，我們整理了一份CIO和CISO一定要知道的2026年金管會資安監理最新重點措施。</p> <p>2026年底前，金管會已經宣布將完成的重點工作是，訂出「API安全基準」、「AI系統安全防護及檢測參考指引」和「後量子密碼（PQC）遷移參考指引」，另外也會訂定「供應商分級及委外資安責任參考範本」。</p> <p>2026年，還增加了三項對金融業的新資安監理要求，包括了明定金融資安長的權責、零信任架構從鼓勵轉為必備，以及必須建立軟體供應鏈安全機制如SBOM。</p> <h2><strong>新資安監理要求1：明定資安長權責</strong></h2> <p>先來看治理面的資安長新權責要求，原本在「金融資安行動方案」中，只要求一定規模的金融業要設立資安長，董事會則要有資安專業的成員，沒有針對資安長的職責有更多細緻的規範。從2026年開始，金管會進一步強化了資安長的職責和權責要求，明確要求金融機構得明定資安長職責，包括了在資安治理、風險管理、事件應對上的具體職責，資安長也要簽署保證資安業務合規的聲明書。</p> <p>金管會更要求，每一年，資安長必須到董事會報告前一年資安執行情況，金管會甚至列出了一定要報告的項目，包括了資安計畫執行及變更情況，重大資安事件與改善措施、現行資安風險評估情形和控制措施的有效性、資安預算的運用與資源配置。這個要求，也將資安預算的討論拉高到董事會層級。</p> <p>值得觀察的是，雖然，金管會在去年底記者會中沒有透露，明定資安長權責的新要求，是否會延續擴大到上市櫃公司。金管會在2021年要求金融機構設置資安長之後，不到一年也跟著要求大型上市櫃公司跟進，比照金融業設置資安長。所以，上市櫃公司也不可忽視，也得開始因應這項新金融資安監理規範預先做合規的準備。</p> <h2><strong>新資安監理要求2：零信任架構成為必備</strong></h2> <p>金管會從金融資安行動方案2.0開始鼓勵金融業導入，也訂出了四階段的零信任成熟度分級，並提出六個鼓勵金融業者導入的高風險場域，包括遠距辦公、雲端存取、系統維運管理、應用系統管理、服務供應商和跨機構協作。根據金管會調查，多數金融機構至少有1個場域導入或是規畫要導入零信任架構，最多金融業導入的場域是遠距辦公，其次是系統維運管理。</p> <p>到了2026年的韌性發展藍圖，零信任架構從鼓勵導入政策，轉為必須導入的要求，而上述六大鼓勵導入場域，也變成了六大優先導入場域，金管會也要求金融機構要逐漸提高零信任架構的成熟度階段。<br /> 雖然金管會還沒有明確訂出零信任架構的導入時程，但金管會已經預告，未來會逐漸將零信任實作的參考原則，納入金融業的資安基礎規範，零信任架構已經成為金融業者的資安必備架構。</p> <h2><strong>新資安監理要求3：軟體供應鏈安全機制</strong></h2> <p>根據我們去年2025年CIO大調查，金融業對於軟體物料清單SBOM技術的採用，雖然是各產業最高者，但也只有14%，每七家金融業者只有一家採用。但在金管會新的資安韌性發展藍圖中，SBOM將成為金融業未來非導入不可的新監理要求。</p> <p>在這份藍圖中，金管會將資安左移、安全納入設計列為新的監理重點，其中，資安左移屬於鼓勵導入的項目，但是軟體供應鏈透明化和弱點追蹤機制，則列為必須建立的項目，不過，金管會沒有明定出金融業者必須導入SBOM的時間，只列入四年持續達成的新措施。</p> <p>金管會提出的SBOM應用場景，則用於金融業者完成程式碼後，透過軟體成分分析，識別出這段程式碼所用的組件，包括開源元件或第三方元件，產生一份軟體物料清單（SBOM），同時也要連結到弱點資料庫(CVE)或是已知被利用的漏洞來比對，像是CISA的KEV清單，可以建立一個漏洞管理與即時版本更新的機制。 </p> <p>除了三項明確的新資安監理要求之外，金管會更明確宣布，2026年將完成的多項指引和資安基準，包括了針對金融業者的「API安全基準」、「AI系統安全防護及檢測參考指引」和「後量子密碼（PQC）遷移參考指引」，以及提供金融業管理IT供應商的新措施「供應商分級及委外資安責任參考範本」。</p> <h2><strong>2026年新金融資安基準：API安全基準、容器服務監控基準</strong></h2> <p>API安全基準是資安左移措施下的一項配套要求，金管會原有針對金融科技應用，責成銀行公會制定了一套開放銀行Open API規範，用來規範特定項目的開放金融API，包括了公開資料查詢、消費者資訊查詢和少數交易面資訊的API應用。</p> <p>金管會預定進一步擴大這份Open API規範，訂定更完整而且涵蓋了與對外合作夥伴串接用的Partner API以及對內的Internal API的安全基準，以存取資料的機敏程度和對象來分類和分級。這一套金融對內對外的API安全基準，是必將成為銀行等金融業者API通用基準，有意與金融業往來的IT供應商也勢必得遵循同一套API基準。</p> <p>換句話說，金管會預計在2026年要訂定的API安全基準，有可能成為臺灣業界自願遵循的API安全通則。</p> <p>金管會對資安基準的強化不只如此，原有的雲端資安監控基準規範，2026年也將新增容器服務，這是微服務和GAI應用最常用的雲原生運算資源，2027年還會擴增更多PaaS範疇，像是雲端資料庫、無伺服器應用、雲端SOAR等，未來都會納入到統一的監控規範中。</p> <p>雲端資安監控基準的制定，等於統一了金融業所用的雲端服務監控指標，形成一套金融業界通用的可觀察性指標，也有助跨機構的監控數據的互通，來強化跨機構的韌性協作或資安聯防。</p> <p>這兩套新的資安基準，更意味著，金融業通用的資安基準涵蓋範圍，從傳統的VM型應用，延伸擴大到雲原生應用。</p> <h2><strong>2026年新興技術資安指引：AI系統安全防護及檢測和PQC遷移資安指引</strong></h2> <p>資安基準的調整是為了因應金融IT現代化的發展，金融主流IT技術，從VM型應用，轉向了容器應用為主的雲原生浪潮。而另外針對新興科技的發展，金管會更積極要在2026年，訂出兩套新興技術的資安參考指引，包括了AI系統的安全防護及檢測參考指引，以及後量子演算法遷移的參考指引。</p> <p>針對「AI系統安全防護及檢測參考指引」，將是一套涵蓋從系統設計到服務提供等AI生命週期的治理機制，金管會計畫參考國際組織OWASP 的生成式AI 安全性專案、AI進階威脅框架MITRE ATLAS 等國際AI資安框架的安全設計及檢測機制。</p> <p>而後量子密碼則已在2025年7月找來少數金融機構，設立先導小組，目前正在持續進行密碼學技術清單的建立，也會建立相關業務風險的評估機制等。金管會同樣預定在2026年發布金融業PQC遷移的參考指引。<br /> 這兩項參考指引同樣領先各產業主管機關，勢必成為其他產業跟進的參考目標。不只金融業者，就連其他產業或相關資訊業者，這兩份指引都相當值得參考。 </p> <h2><strong>2026年新金融IT委外措施：供應商分級及委外資安責任參考範本</strong></h2> <p>早在2019年，金管會修正金融委外規定，開放金融業可以上雲，2023年更進一步鬆綁，放寬金融上境外公雲的規範。這是過去幾年最重要的兩次金融委外辦法修正，也促成了臺灣金融產業的上雲潮。</p> <p>2026年，金融委外辦法即將再一次的重大修正，金管會要訂定委外資安責任參考範本，針對銀行與第三方供應商的委外契約，訂出參考範本。不是採取一體適用的契約，而將針對金融產業特性、供應商所接觸的系統類別、資料敏感度等面向來提供不同資安責任等級的參考委外契約，這等於也訂定了一套新的金融IT供應商分級管理制度。 </p> <p>這份契約範本預計涵蓋資安服務水準會議(SLA)、資料保護責任、對於資安事件之通報時限及資安風險揭露等，另外也會要求供應商必須提供軟體產品的軟體物料清單（SBOM），違反的業者將有罰則。這個措施，賦予了供應鏈透明化要求的法源，影響不只金融業者，而擴大到與金融業有往來的所有第三方IT供應商。</p> <h1><span style="color:#FF0000;"><strong>2026年金管會新增的重點資安監理要求</strong></span></h1> <ol> <li> <h3>明定資安長權責，每年，資安長必須到董事會報告前一年資安執行情況。</h3> </li> <li> <h3>金融業要建立軟體供應鏈安全機制，如SBOM表。</h3> </li> <li> <h3>零信任架構成為必備，優先導入六大高風險場域</h3> </li> <li> <h3>2026訂定新金融資安基準：API安全基準、容器服務監控基準</h3> </li> <li> <h3>2026公布新興技術資安指引：AI系統安全防護及檢測參考指引、PQC遷移資安指引</h3> </li> <li> <h3>2026年新金融IT委外措施：供應商分級、委外資安責任參考範本</h3> </li> </ol> <h3><span style="font-size: 13px;">資料來源：金管會</span></h3> </div></div></div>
1/27 09:29作者王宏仁https://www.ithome.com.tw/news/173594
CISA警告VMware vCenter重大漏洞CVE-2024-37079已遭濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全暨基礎設施管理署（CISA）上周（1/23）正式將2024年修補的VMware vCenter Server重大漏洞，<a href="https://www.cisa.gov/news-events/alerts/2026/01/23/cisa-adds-one-known-exploited-vulnerability-catalog" target="_blank">加入已知遭濫用漏洞（KEV）清單</a>，要求聯邦政府機關限期完成軟體的防護措施。</p> <p>CVE-2024-37079為存在VMware vCenter Server中對DCERPC實作的堆積溢位漏洞，具有vCenter Server存取權限的攻擊者可傳送變造的網路封包觸發本漏洞，進而遠端執行程式碼，而無需系統高級權限或使用者互動。這項漏洞CVSS風險值達9.8。<a href="https://www.ithome.com.tw/news/163541" target="_blank">VMware在2024年</a>6月已釋出更新版解決該漏洞。</p> <p>CISA在安全公告指出，CVE-2024-37079屬於越界寫入漏洞，是常見的網路攻擊向量，對聯邦政府及相關機關造成重大危害，因此要求在2月13日之前完成IT環境盤查和軟體升級。</p> <p>VMware的新東家博通也<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24453#:~:text=Notes" target="_blank">更新了CVE-2024-37079的安全公告</a>，說明已接獲本漏洞可能遭到濫用的資訊。</p> <p>不過目前濫用本漏洞的惡意活動為何或背後組織尚不得而知。</p> </div></div></div>
1/27 10:37作者林妍溱https://www.ithome.com.tw/news/173595
Kubernetes祕密管理工具External Secrets Operator爆重大漏洞，恐跨命名空間外洩身分憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Kubernetes生態系常用的祕密管理元件External Secrets Operator（ESO）近日被揭露存在重大資安漏洞。在特定條件下，攻擊者可能繞過原有的命名空間隔離機制，存取不屬於自身命名空間的Kubernetes Secret。該漏洞已被編號為CVE-2026-22822，CVSS風險分數達9.3分，屬於重大（Critical）等級漏洞。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>範本函式設計疏失，破壞Kubernetes命名空間隔離</strong></span></span></p> <p>External Secrets Operator是一款部署於Kubernetes環境中的控制器，主要用途是將雲端祕密管理服務或第三方金鑰系統中的敏感資料，同步為Kubernetes Secret，讓應用程式不必直接持有外部祕密存取能力。</p> <p>根據<a href="https://github.com/external-secrets/external-secrets/security/advisories/GHSA-77v3-r3jw-j2v2" target="_blank">官方GitHub安全公告</a>與美國國家漏洞資料庫<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-22822" target="_blank">（NVD）</a>的說明，CVE-2026-22822的問題出在External Secrets Operator提供的一項範本函式getSecretKey。該函式原本用於支援特定祕密管理後端，但在設計上，卻允許控制器在既有的權限邊界下，執行跨命名空間讀取Kubernetes Secret的行為。</p> <p><a href="http://github.com/external-secrets/external-secrets/security/advisories/GHSA-77v3-r3jw-j2v2" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-external-secrets-CVE-2026-22822-600.png" style="width: 600px;" /></a></p> <p data-end="771" data-start="684">在錯誤設定或遭到惡意運用的情境下，攻擊者可透過ExternalSecret資源，間接存取其他命名空間中的敏感資料，進而破壞Kubernetes核心安全假設之一的命名空間隔離。</p> <p data-end="912" data-start="773">External Secrets Operator開發團隊指出，該漏洞影響v0.20.2以上、v1.2.0以前的多個版本。由於問題源自功能設計本身，而非單純的程式實作錯誤，官方最終選擇在v1.2.0版本中，完全移除getSecretKey相關功能，改以其他受控方式存取祕密資料。</p> <p><strong><span style="color:#B22222;"><span style="font-size:28px;">位於祕密存取關卡，一旦失守，不只影響單一工作負載</span></span></strong></p> <p>從系統架構來看，External Secrets Operator負責集中處理祕密同步流程，讓應用程式僅需讀取Kubernetes Secret，而不必直接存取雲端金鑰或祕密管理服務。由於該元件通常部署於正式環境，並管理多個服務共用的敏感資料，一旦其功能設計或存取行為出現缺陷，影響就可能擴大至整個叢集。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>尚未觀測到大規模濫用，建議儘速升級並檢視控制器行為範圍</strong></span></span></p> <p data-end="1228" data-start="1130">目前尚未有明確證據顯示CVE-2026-22822已遭大規模濫用。不過研究人員指出，凡是能突破命名空間隔離、跨範圍讀取Secret的漏洞，本質上都具備高度攻擊價值，特別是在多租戶或共用叢集環境中。</p> <p data-end="1376" data-start="1230">External Secrets Operator開發團隊已建議使用者儘速升級至v1.2.0以上版本，並重新盤點該控制器實際可執行的行為與祕密存取範圍，確認其運作方式是否仍符合原本的命名空間隔離與最小權限設計假設。資安人員也應將祕密管理控制器視為高敏感元件，納入例行的設定稽核與行為檢視範圍。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>為何這類漏洞比一般Kubernetes漏洞更危險</strong></span></span></p> <p>資安界指出，CVE-2026-22822的風險關鍵，不在於單一功能出錯，而是動搖Kubernetes賴以成立的命名空間隔離前提。由於External Secrets Operator本身掌握祕密同步與存取能力，一旦設計邊界失守，影響範圍便不再侷限於單一服務，而可能導致多個工作負載共用的憑證與金鑰遭非預期存取。對多租戶或共用叢集環境而言，其實際衝擊往往高於僅影響單一元件的Kubernetes漏洞。</p> </div></div></div>
1/27 09:57作者王珮瑤https://www.ithome.com.tw/news/173593
K8s新設Checkpoint Restore工作組，強化搶占與跨節點調度的狀態保存
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Kubernetes社群<a href="https://www.kubernetes.dev/blog/2026/01/21/introducing-checkpoint-restore-wg/">成立檢查點與還原（Checkpoint/Restore）工作組</a>，推進檢查點與還原能力與Kubernetes的整合，並作為Kubernetes貢獻者與CRIU（Checkpoint/Restore In Userspace）社群討論需求的協作平臺。官方在公告中點出多個將優先被帶進討論的方向，包含互動式工作負載的資源使用最佳化、縮短長初始化應用的啟動時間、長時間工作負載的容錯，以及中斷感知排程（Interruption-aware Scheduling）與跨節點搬遷。</p> <p>檢查點與還原是在程序或容器仍在執行時，先保存一份可恢復的執行狀態，必要時再從保存點接續運作。以快啟動為例，公告提到Java應用與大型語言模型推論服務等情境，在啟動階段需要較長的初始化，要是能在初始化完成後建立檢查點，之後擴展或重啟就有機會從接近就緒的狀態直接開始，降低等待時間與資源浪費。</p> <p>可搶占排程的情境，是讓排程更能處理中斷。在資源緊張時，叢集可能需要讓出資源給較高優先級Pod，而較低優先級Pod只能透過重新啟動回到可用狀態，工作組提出的方向是中斷感知排程搭配透明的檢查點與還原，讓較低優先級Pod在被搶占前先保存執行狀態，待資源允許後再還原繼續執行，讓搶占帶來的中斷成本更可預期。</p> <p>至於Pod搬遷，公告中提到因為負載平衡與節點維護的需求，過去搬遷常伴隨重啟或短暫中斷，對互動式工作負載不友善，工作組希望透過檢查點保存運行狀態，並在另一個節點完成還原並接續運行，讓跨節點搬遷在不干擾工作負載的前提下更可行，也讓叢集維運與資源調度更有彈性。</p> <p>至於Pod搬遷，公告列出的情境之一是因負載平衡與節點維護而需要跨節點重新安排Pod。若以重建或重啟的方式重新安排，對互動式工作負載可能造成中斷。工作組希望透過檢查點保存運行狀態，並在另一個節點完成還原後接續運行，讓跨節點搬遷在不干擾工作負載的前提下更可行，也讓叢集維運與資源調度更有彈性。</p> <p>除以上三項重點，工作組也把周期性檢查點列為容錯手段，對分散式模型訓練等長時間工作負載，可在失效後回到最近保存點，減少重算成本。同時也提出鑑識用檢查點，強調在網路攻擊、資料外洩或未授權存取等資安事件發生後，保存當下狀態以便後續分析。</p> </div></div></div>
1/27 08:25作者李建興https://www.ithome.com.tw/news/173592
跨平臺工具鏈導入Windows現代API門檻降低，微軟winapp CLI公開預覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<a href="https://blogs.windows.com/windowsdeveloper/2026/01/22/announcing-winapp-the-windows-app-development-cli/">宣布</a>Windows App Development CLI（winapp）進入公開預覽階段，該開源命令列工具針對跨平臺框架，以及不以Visual Studio或MSBuild為核心的開發流程，把Windows應用程式常見的環境準備與封裝作業整合成一致的指令介面，使得不同工具鏈更容易使用Windows AI等現代API功能。</p> <p>微軟指出，Windows開發往往得管理多個SDK版本，處理資訊清單與憑證，並面對複雜的封裝要求。對Electron和CMake等工具鏈而言，這些前置作業容易成為程式進入Windows平臺的阻力，而winapp的方向是把分散的步驟集中到單一CLI，降低手動設定造成的錯誤與時間成本。</p> <p>Winapp提供以單一指令完成初始化與還原的機制，開發者可下載所需SDK套件並建立基本設定，也支援在GitHub Actions與Azure DevOps等CI/CD流程中自動安裝，讓團隊或多臺機器可重建一致的環境狀態。</p> <p>官方強調，包含Windows AI、安全性與通知等多項Windows API，常要求應用程式具備套件身分。過去開發者需要先完整封裝並安裝應用程式才能測試相關功能，導致除錯迴圈變長，但是winapp提供建立除錯用身分的能力，讓既有可執行檔在除錯階段也能取得所需身分，縮短驗證路徑。</p> <p>在封裝與簽署上，winapp以命令列介面提供MSIX封裝與簽署能力，官方表示，工具可從建置輸出產生可供商店提交或側載的套件，並把封裝與簽署串成較一致的流程，讓不使用MSBuild的專案也能用相近方式產出Windows套件。</p> <p>針對Electron生態，微軟也把winapp以npm套件形式提供，並加入用來串接Node.js與Windows原生程式碼的相關指令，協助開發者建立原生附加元件，同時在需要套件身分的情境下，仍能維持較順暢的除錯流程。微軟也透露，已開始利用這套CLI建置實驗性的Node.jsAPI投影（Projection），讓Node.js程式能以較貼近JavaScript的方式呼叫Windows AI等相關能力。</p> <p>微軟強調winapp仍處於早期階段，仍有多種Windows開發情境在規畫與實作中，此次先釋出公開預覽版，主要用意是蒐集實際使用回饋與功能需求。現階段winapp已在GitHub提供文件、指南與問題回報管道。安裝方面，官方提供透過Windows Package Manager的WinGet安裝，也提供NPM套件供Electron專案導入。</p> </div></div></div>
1/26 18:27作者李建興https://www.ithome.com.tw/news/173591
【資安日報】1月26日，ShinyHunters鎖定Okta、Google、微軟單一登入從事語音網釣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173581"><strong style="font-size: 22px;">身分驗證服務供應商Okta警告竊取單一登入憑證的語音網釣攻擊活動，傳出是ShinyHunters所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mermaid-vishing-ss-wm.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mermaid-vishing-ss-wm.png" style="width: 300px; float: right;" /></a></p> <p>身分驗證業者Okta偵測到有開發團隊以租用服務形式提供客製化的網釣套件，駭客再以此攻擊Google、微軟、Okta，以及加密貨幣供應商的用戶。這些網釣套件能攔截目標使用者的憑證，並誘騙他們進行多因素驗證（MFA），而且，攻擊者還能即時調整並控制釣魚網頁顯示的內容，目的是在攻擊者試圖登入受害者帳號的過程裡，同步掌握指令碼執行的進度。對此，Okta呼籲用戶要提高警覺，並參考最佳實作因應。</p> <p>雖然Okta並未提及攻擊者的身分，但是有資安媒體指出，這起攻擊行動是去年曾針對Salesforce平臺的駭客組織ShinyHunters所為。資安新聞網站Bleeping Computer指出，他們得知駭客從1月19日開始，打電話給受害企業的員工，竊得Okta單一登入憑證，受害企業向Okta通報此事。該媒體得知駭客冒充受害企業的IT團隊打電話給員工，宣稱協助設置Okta單一登入的通行金鑰（Passkey）。</p> <p>對此，ShinyHunters後來聲稱這波攻擊行動是他們所為，並表示他們不光針對Okta，也攻擊Google與微軟Entra單一登入（SSO）平臺的用戶。Google與微軟對此說法表示，目前沒有發現相關系統遭到利用的跡象。</p> <p><a href="https://www.ithome.com.tw/news/173577"><strong style="font-size: 22px;">Fortinet坦承FortiCloud SSO漏洞修補不全，將再釋出更新</strong></a></p> <p>在企業用戶反映遭駭及資安廠商揭露後，Fortinet上週證實去年12月修補的FortiCloud單一登入（SSO）整合漏洞，發生修補不全的問題，承諾將再釋出更新軟體。</p> <p>今年1月15日起，資安公司Arctic Wolf發現新一波針對FortiGate裝置的惡意活動，不明人士濫用CVE-2025-59718，擅自以管理者帳號經由FortiCloud SSO登入FortiGate，再經由GUI介面下載防火牆配置，接著攻擊者新增次要管理員帳號以維持持久存取。攻擊者從[email protected]及[email protected]兩個帳號登入防火牆。建立的後門帳號包括secadmin、itadmin、support等。由於相關活動僅間隔數秒，Arctic Wolf判斷可能是自動化指令碼程式或工具執行。</p> <p>對此，Fortinet指出有部分攻擊事故發生在已完成修補的設備，研判有新的攻擊途徑，該公司產品安全團隊聲稱已經找出問題，正在趕製修補程式，待修補範圍及時程確定後，將發布新的安全公告。Fortinet強調，目前僅有該廠牌的單一登入功能遭濫用，不過這項弱點也可能影響其他實作SAML單一登入的環境。</p> <p><a href="https://www.ithome.com.tw/news/173576"><strong style="font-size: 22px;">未設密碼防護的資料庫系統暴露在公開網路，iCloud、Gmail、Netflix等近1.5億筆憑證曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/149m-infostealer-data-exposed-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/149m-infostealer-data-exposed-3.png" style="width: 300px; float: right;" /></a></p> <p>VPN業者ExpressVPN指出，資安研究員Jeremiah Fowler發現有1.49億筆帳密資料的雲端資料庫，該資料庫未設置密碼或套用加密防護，使Gmail、Outlook、iCloud、Netflix、Facebook等主要雲端服務及知名平臺的憑證曝險。</p> <p>Jeremiah Fowler估計，公開的資料涵括主要雲端郵件服務及雲端服務，其中Gmail最多，有4,800萬筆、Yahoo與Outlook居次，分別為400萬筆及150萬筆，iCloud有9萬筆。此外，其他常見的社群網站或服務包含臉書、Instagram、Netflix、抖音、幣安（Binance），以及OnlyFans，分別有1,700萬、650萬、340萬、78萬、42萬，以及10萬筆。值得留意的是，學術機構（.edu網域）平臺的憑證，有140萬筆。</p> <p>此外還有.gov網域相關的憑證，研究人員指出，雖然不是所有政府帳號都能存取敏感系統，但這些憑證可能被用作精準釣魚、冒充或被用以登入政府網路，而.gov憑證外洩的增加，可能還會影響國家安全和公共安全。</p> <p><a href="https://www.ithome.com.tw/news/173575"><strong style="font-size: 22px;">駭客宣稱駭入Nike竊得近19萬份檔案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WorldLeaks-Nike.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/WorldLeaks-Nike.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究人員Dominic Alvieri發現，駭客組織WorldLeaks在網站張貼公告，宣稱駭入知名運動品牌Nike，竊得18.8萬份檔案、共1.4 TB資料。</p> <p>為了取信買家，駭客張貼螢幕擷圖來證明。根據截圖內容，外洩的資料可能來自其中一家Nike的分公司，至少包含製造端，像是多個系列的製造和工廠資料。從螢幕截圖的倒數日期來判斷，WorldLeaks疑似向Nike施壓，若不在時限前聯繫或支付贖金，就會公開手中的資料。</p> <p>對此，Nike對媒體表示，該公司非常重視消費者隱私和資料安全，現已著手調查可能的資料安全事故及評估狀況。</p> <p><a href="https://www.ithome.com.tw/news/173573"><strong style="font-size: 22px;">惡意軟體測試服務AVCheck遭瓦解，荷蘭警方逮捕疑似實際營運者</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dutch-Police-Arrest-33-Year-Old-Suspect-Linked-to-AVCheck-Malware-Network-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dutch-Police-Arrest-33-Year-Old-Suspect-Linked-to-AVCheck-Malware-Network-1.jpg" style="width: 300px; float: right;" /></a></p> <p>多國執法單位在2025年中旬瓦解惡意軟體測試服務AVCheck後，近期出現新進展。資安媒體HackRead引述執法單位消息指出，荷蘭警方本月在阿姆斯特丹逮捕33歲荷蘭籍男子，疑似為AVCheck實際營運者。</p> <p>另依荷蘭檢察署Openbaar Ministerie發布的官方聲明，該名嫌犯涉嫌長期營運一項支援網路犯罪的線上服務，內容包括協助測試惡意軟體是否能避開防毒軟體偵測的測試功能，並被認為與AVCheck平臺的實際營運有關，相關調查目前仍在進行中。</p> <p>荷蘭警方說明，AVCheck屬於所謂的「反防毒測試服務（Counter Antivirus，CAV）」，主要供惡意軟體開發者測試其程式是否會被主流防毒產品偵測。使用者可將惡意程式樣本上傳至平臺，比對多款防毒引擎的掃描結果，再依據回饋內容調整程式碼，以降低被攔截的機率。</p> <p><a href="https://www.ithome.com.tw/news/173572"><strong style="font-size: 22px;">歐盟擬修訂網路安全法案，強化供應鏈資安管理並限制高風險供應商</strong></a></p> <p>歐盟執委會（European Commission）於1月20日公布新一波「網路安全包裹法案（Cybersecurity Package）」，內容包括修訂《歐盟網路安全法》（EU Cybersecurity Act）、擴大歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）職權，以及推動供應鏈去風險化措施。歐盟藉此希望把過去僅具政策指引性質、各成員國執行程度不一的供應鏈風險管理，納入具法律拘束力的共同規範。</p> <p>此次推動修法與2020年推出的「5G網路安全工具箱」（EU 5G Security Toolbox）執行成效有限有關。該工具箱屬於自願性措施，各成員國在限制高風險供應商的作法與進度上落差明顯，使歐盟難以在整體層級確保通訊網路與關鍵基礎設施的安全水準，也促使執委會轉而尋求具有法律拘束力的制度途徑。</p> <p>在實際執行層面，成員國將針對歐盟界定的18個關鍵領域，共同評估供應商原屬國、企業治理結構與潛在國安影響等因素。待歐盟完成高風險供應商認定後，行動通訊網路營運商須在最遲36個月內，分階段汰換核心或敏感網路環節使用的相關設備。</p> <p><a href="https://www.ithome.com.tw/news/173559"><strong style="font-size: 22px;">愛爾蘭新法草案允許警察使用間諜軟體惹議</strong></a></p> <p>愛爾蘭一項新法案允許警方使用間諜軟體來截取人民所有通訊內容，以偵辦及防範犯罪及國家安全危害事件。</p> <p>這項法案名為通訊攔截與合法存取法案（Communications Interception and Lawful Access Bill）是由愛爾蘭司法、內政暨移民部提出的新法草案，本法案旨在反映現代通訊技術環境的變化，將更新並取代20多年前制訂的《郵政包裹與電信訊息法Regulation Act》，以作為「合法攔截通訊」的法規框架。</p> <p>愛爾蘭民權協會（Irish Council for Civil Liberties）認為，新法案將賦予愛爾蘭警方「深度侵入性」的權力。全球加密聯盟（Global Encryption Coalition）則警告法案可能削弱整體通訊加密強度與安全性，是對廣泛使用者造成風險。公開信中還指出一些歐盟成員國已經對愛爾蘭參與的聊天控管（Chat Control）措施表態反對，稱其對隱私構成重大威脅。</p> <p><a href="https://www.ithome.com.tw/news/173570"><strong style="font-size: 22px;">約10萬個WordPress網站使用的ACF Extended外掛，存在高風險漏洞可讓攻擊者取得管理權限</strong></a></p> <p>WordPress外掛ACF Extended近日被揭露存在高風險資安漏洞，未經驗證的攻擊者在特定條件下，可能直接建立具備管理員權限的帳號，進而取得完整網站控制權。該漏洞已被編號為CVE-2025-14533，CVSS風險評分高達9.8分，屬於重大（Critical）等級。</p> <p>CVE-2025-14533漏洞最早由資安研究人員Andrea Bocchetti通報。根據資安媒體Bleeping Computer與WordPress資安公司Wordfence的分析，問題出在ACF Extended處理「新增或更新使用者」的前端表單時，未在後端正確驗證可指派的使用者角色。</p> <p>即便網站管理者已在外掛設定中，限制前端表單可指派的使用者角色，攻擊者仍可透過自行構造的請求，指定帳號角色為administrator，成功建立或升級為具備最高權限的管理員帳號。Wordfence指出，該漏洞僅在網站實際啟用包含使用者管理欄位的ACF Extended前端表單，且該表單對外開放存取時，才具備可被濫用的條件。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/konni-hackers-target-blockchain-engineers-with-ai-built-malware/">北韓駭客Konni利用AI生成PowerShell惡意軟體，鎖定區塊鏈開發人員及工程師而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/new-osiris-ransomware-emerges-as-new.html">勒索軟體Osiris鎖定東南亞餐飲加盟廠商，利用惡意驅動程式Poortry迴避偵測</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/multi-stage-phishing-campaign-targets.html">惡意軟體Amnesia RAT與勒索軟體鎖定俄羅斯而來，駭客濫用Defendbot停用防毒</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/under-armour-looking-into-data-breach-affecting-customers-email-addresses/">運動品牌Under Armour調查客戶電子郵件信箱外洩事故</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-android-malware-uses-ai-to-click-on-hidden-browser-ads/">安卓點擊詐欺木馬利用機器學習模型TensorFlow，自動偵測並與廣告互動</a></strong></p> <p></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173553"><strong>【1月23日】Fortinet單一簽入功能重大漏洞傳出攻擊活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173528"><strong>【1月22日】駭客冒充員工對IT服務臺發動社交工程攻擊，轉走員工薪資</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173507"><strong>【1月21日】中國蘋果代工組裝廠立訊傳出遭勒索軟體RansomHub攻擊</strong></a></p> </div></div></div>
1/26 17:40作者周峻佑https://www.ithome.com.tw/news/173582
【幕後技術】直播臺北101徒手攀登的關鍵，Netflix如何打造千萬人直播的IT架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>站在508公尺高的臺北101大樓最高點，昨天全球Netflix觀眾都看到了美國徒手攀岩大神霍諾德的英姿。這是Netflix直播節目距離地面最高的一個直播現場。</p> <p>早在3年前，2022年中，全球串流影音龍頭Netflix，Netflix問了自己一個問題，能不能用直播來娛樂全世界？要如何做到？</p> <p>這一問，啟動了Netflix一項全新的節目形式：直播節目。第一場就是2023年3月4日開播的現場喜劇表演「克里斯洛克的「抓狂有道」，後續更一連直播了數百場節目，從美式足球比賽，到全球最賺錢YouTuber與前世界拳王泰森對決直播，最熱烈的這場拳賽，更吸引超過6500萬人線上同步收看。甚至美國職業摔角聯盟WWE的比賽，每一個禮拜都在Netflix平臺獨家直播到全球。Netflix甚至已經開始計畫，明年在加拿大地區提供，世界盃女子足球比賽的全賽事直播。</p> <p>昨天剛落幕的霍諾德徒手攀登臺北101大樓，正是這系列直播節目的其中一場，但是這一次的直播現場，是拍攝現場距離地面最高的一次。不只有高空的直升機、無人機，還有從臺北101吊掛鋼索，跟著霍諾德一步步升高的高空攝影師，就吊掛在距離霍諾德幾公尺旁運鏡。101大樓不同高度的露臺，更設置了不少攝影機，來拍攝更多角度的畫面，光是用來傳輸節目的光纖長度就超過900公尺，還特地從英國空運來臺設置。</p> <p>根據美國媒體推測，Netflix直播節目收看人數最高的一場是2024年11月，27歲網紅和前世界拳王泰森的直播表演賽，吸引超過6千萬戶家庭，同時上線人數最高達到6,500萬人。美國媒體推測，光靠這場比賽，Netflix第四季的訂戶就暴增了1千萬人。</p> <p>為了確保直播順暢，Netflix採用了許多開源技術和自製的大規模即時監控技術，每秒可以處理最多到3800萬個資料事件，才足以因應如此龐大規模的全球直播活動。</p> <p>2022年中，推出串流影音服務超過15年的Netflix，開始思考一個問題，能不能用直播來娛樂全球，也展開了相關的技術架構準備。因為全球規模的直播活動，與Netflix原本的影音串流架構有很大的不同，甚至可說，當時的Netflix技術架構，還無法支撐起全球性的直播活動。</p> <p>所以，Netflix先用一場劇場中的喜劇節目作為試點，也就是主持過奧斯卡頒獎的克里斯、洛克的脫口秀「抓狂有道」。</p> <p>不過，Netflix下定決心要做直播節目時，距離這場脫口秀，只剩下9個月的時間準備，需要快速執行，同時又要考慮得日後的規模化和多樣性，來進行架構設計。他們決定要從直播生命週期的角度，涵蓋製作到螢幕播放的全程，來設計這款新的影音節目產品。</p> <h2><span style="color:#FF0000;"><strong>顛覆Netflix既有模式的挑戰，直播節目與按需播放的五大不同</strong></span></h2> <p>從技術層面來看，Netflix擅長的是Video On Demand（按需播放）形式，這和直播節目的Live Streaming形式，有五大不同。從取材角度來看，第一的不同是，從拍攝鏡頭到觀眾螢幕的時間大不同。按需播放形式往往可以擁有好幾天到好幾個月的時間，但是，直播只有幾秒鐘，得完成從畫面捕捉，轉碼，處理成不同影音串流可用的內容形式。</p> <p>從觀眾角度來說，兩種模式提供的使用者體驗也很不一樣，按需播放提供的是隨時、隨地，隨意裝置都可以收看的內容，但是，直播是預先排定的固定時間，更需要許多事前宣傳和促銷活動。</p> <p>更進一步來看技術面，第三個不同是觀看模式的差異，這也會帶來截然不同的網路流量高峰變化。按需播放模式有週期性，定期會出現流量高峰，可以善用像CDN來預先配置資源，或是參考歷史流量記錄，運用公雲來分流。但是，直播節目的流量，是完全不確定的爆量，隨時都可以爆量，需要更即時回應和規模調整的負載平衡能力。</p> <p>回放暫存單位的差異是第四項不同點，按需播放形式的暫存單位以「分鐘」為單位來快取，可以有幾分鐘的快取，但是，直播必須以秒為單位來處理延遲。<br /> 最後一項是兩者的運作模式也大不相同。按需播放形式採取了「待命模式（On-call）」，觀眾有需要才會播放，沒人看甚至都不用播放，但是，直播是即時性的節目，一旦有問題得，就得在最快時間內恢復播放。</p> <p>Netflix的目標是，盡可能支援最多種類的裝置，都可以流暢的播放，也要有能力支援當時全球超過3億名用戶的收看規模。</p> <h2><strong><span style="color:#FF0000;">為支援全球任何地點直播，NetFlix如何設計直播技術架構</span></strong></h2> <p>為了支援日後可能在全球任何地方舉行的節目，（當初應該沒有想到，有一天會在508公尺的高空拍攝），因為不見得每一個地點都有充足的現場直播設施或是妥善的網路連線。Netflix直播技術團隊，採取了分散式的廣播營運中心（Broadcast Operations Center）架構，搭配可以用來偵測和截取訊號、同時又可以處理字幕、圖文和廣告管理的專用系統。盡可能採取可重複利用和高度自動化的架構。</p> <p>整個直播節目的技術運作架構如下，從直播製作，廣播維運中心（取得影音和檢查），直播編碼流程（進行轉碼，封裝，播放），再將內容傳送到分散式CDN服務，再發送到使用者端的裝置。另外還有一套內容處理的雲端服務，涵蓋了訊息推送，回放服務，探索內容服務（例如推薦功能）。</p> <p><strong>Netflix直播節目的技術運作架構，關鍵是製作和播放區分成兩套架構。圖片來源：Netflix</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netlix%E7%9B%B4%E6%92%AD-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.jpeg" /></p> <p>Netflix直播節目的設計是將製作和播放區分開來，現場直播節目製造組，只需要將節目內容傳送到播放單位，也就是廣播維運中心，後續全部由廣播維運中心來負責。</p> <p>廣播維運中心收到的來源，包含了已製作完成的節目，但是還需進行編碼和打包等多項數位處理，才能串流傳輸到不同裝置。這些處理全都透過公雲的服務來處理，舉例來說，透過公雲服務將內容轉碼成各種視訊品質等級的內容版本，可以針對每個節目設計不同的視訊品質。例如第一檔直播的喜劇節目Chris Rock: Selective Outrage，採用了每秒30幀的超高清畫質，而在去年舉辦的多場NFL美國美式足球聯盟聖誕大賽中，則採用了每秒59.94幀的高清畫質，同時包括4種語言的聲音和廣告。數位版權管理 (DRM)、內容管理和內容交付服務也都部署在公雲上。</p> <p>交付內容時，主要透過Netflix自行開發的CDN服務Open Connect，在靠近觀眾的6千個地點上，建置了超過18,000臺CDN伺服器，並透過專用的 Open Connect骨幹網路，連接到公雲業者的句點，串接影音來源的主機。光是這套Open Connect及時交付架構，Netflix過去十多年來投入超過10億美元的投資。</p> <p>為了讓多數用戶，不用需升級串流媒體的設備，就可以存取直播節目，Netflix三年前就決定相容性最廣的HTTPS Live Streaming。採用了AVC和HEVC視訊編解碼器，可以支援從高清到 4K畫質等多種影音品質等級的影音轉碼。為了兼顧壓縮效率、基礎設施的負載和傳輸延遲的考量，Netflix最後採取了2秒片段時長的快取設計。直播節目進行時，還有數十隻雲端服務，提供播放配置、個人化調整以及相關顧客數據指標的搜集。</p> <h2><strong><span style="color:#FF0000;">直播架構大量依靠開源技術，也自行開發多套串流工具平臺</span></strong></h2> <p>直播節目所用的即時監控系統，採用了Netflix內部開發的工具，像是即時串流分析工具Atlas、串流處理即服務平臺Mantis、自助式儀表板工具Lumen，也採用了開源 Kafka和Druid來建置，曾經支援過最大型的直播活動，整套Netflix直播系統，每秒可以處理高達3,800萬個事件，只要幾秒鐘，就可以提供關鍵指標和營運分析。</p> <p>在每一場直播節目開播之前，他們也有不少準備工作。像是會事先進行收視率預測，來預先配置可能需要的雲端資源和CDN容量，也會提前與ISP業者和雲端合作夥伴共享預測結果，讓他們可以規畫網路和運算資源。</p> <p>在雲端也有一套即時擴充系統，可以用彌補預測系統的不同，即時擴充系統可以針對不同的使用者行為，如註冊、登入、內容發現和播放服務的變化，即時因應來擴充對應服務的可用資源，來因應超出原本預測收視率，所做的準備工作。</p> <p>在大型活動現場，也會與關鍵系統的工程負責人設立現場發布室。為了快速檢測和回應可能的問題，Netflix直播團隊會事先制定出一整套的問題指標，作為問題的先期指標，也針對常見的操作問題，預先制定了詳盡的緊急應變手冊，提前演練故障的應對。這份直播緊急應變手冊，不只限於工程部門的操作，還涵蓋了通報到高階主管、客戶服務、生產、傳播或社交等不同部門的協調項目。</p> <p>在這次臺北101徒手攀登直播開播之前，Netflix就預告，會有10秒鐘的時間延遲，以便有任何突發事故時，可以中斷或調整直播內容。</p> <h2><span style="color:#FF0000;"><strong>10秒延遲的應變關鍵，一站式的播放中控系統關鍵平臺Control Room</strong></span></h2> <p>前面提到Netflix將節目製作和節目播放區分開來，在直播播放團隊有一套Netflix自行開發的播放中控系統，稱為「控制室」（Control Room），可以用來控制和調度，各種直播活動的資源配置。調度人員可以在這個控制室系統上，監看各種數據和畫面，來因應10秒延遲時間出現的各種變化。</p> <p><strong>Netflix自行開發的播放中控系統，稱為「控制室」（Control Room）。圖片來源：Netflix</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netlix%E7%9B%B4%E6%92%AD2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.jpeg" /></p> <p>這套「控制室」系統，提供了一個統一的控制介面，可以用來監看和控制一場直播活動的雙區域播放架構。每一檔節目都採取了雙雲端區域架構的備援，同時透過兩個公雲區域中心，來播放。</p> <p>操作人員透過控制室可以協調兩個雲端區域的資源，也可以監控關鍵指標。一旦出現故障，也有故障轉移的手動切換機制，像是其中一個雲端區域塞爆或當機，操作員只要幾秒鐘就能將流量導向另一個正常運作的區域來提供串流服務。</p> <p>一檔直播活動還可以細分成三個階段，直播前準備階段、編碼和直播階段、支播後清理階段。在這套控制室系統上，操作人員可以監看每一個階段的所有狀態資訊，也能確保觀眾看到的節目時間表，和預先排定節目表一致。因為直播節目沒有預定的結束時間（後面也不會像電視有下一檔節目要播），需要透過人工操作，啟動「結束指令」，來結束這一檔直播節目。</p> <p>若直播發生中斷，在控制室中也預先安排了不同的中斷事件圖卡，來告知觀眾，目前處於什麼樣的狀態，接下來又會如何接續，是中斷節目，還是稍後多久可以重啟直播等。</p> <p>Netflix原本的直播節目團隊，只是一個小團隊，但現在已經發展成一個數十團隊協作，來打造和維運這一整套的直播系統，包括了營運和可靠性團隊、開發團隊、內容交付團隊、設備播放團隊、串流媒體演算法團隊、UI工程團隊、搜尋和發現服務、訊息傳輸技術團隊、內容促銷和配銷團隊、資料平臺團隊、雲端基礎架構團隊、資料科學和工程團隊、PM團隊、全球化部門、消費者洞察團隊、廣告團隊、資安團隊、支付團隊、直播產品團隊、體驗設計團隊、產品行銷和客服團隊等。</p> <p>從這個團隊清單，更可以看出Netflix為一檔直播節目所下的投資和決心，可說是串流之後的戰略級新娛樂模式。</p> <p> </p> </div></div></div>
1/26 16:10作者王宏仁https://www.ithome.com.tw/news/173586
【資安週報】0119~0123，臺灣7家業者接連受駭引發關注，中國立訊也傳遭勒索，駭客甚至威脅公開蘋果、Nvidia、…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>回顧2026年1月第三星期的資安新聞，有多起資安事故消息浮上檯面，顯現企業受駭態勢持續擴大，有昭輝實業、億力光電、永擎電子3家公司發布重訊揭露狀況，還有4家未上市公司也傳出遭駭情形。</p> <p>●汽車塑膠零組件大廠昭輝在18日發布資安重訊，說明有部分電腦遭不明駭客入侵，且部分伺服器資料遭加密，已啟動防禦與復原機制。<br /> ●LED封裝大廠億光19日代子公司億力光電公告遭遇資安事故，部分資訊系統遭受駭客網路攻擊，由於提到啟動復原作業，可能是遭到勒索軟體攻擊。<br /> ●1月20日我們蒐集勒索軟體情資發現臺灣受害公司竟多達5家，包括：勒索軟體集團Everest宣稱入侵吉興工程顧問、萬機鋼鐵工業、上市公司永擎電子，勒索軟體集團Qilin宣稱入侵志邦企業，勒索軟體集團Gentlemen宣稱入侵寶華貿易。當日上午我們發信向各家公司求證，均未獲得回覆。兩日後永擎電子發布資安重訊，指出外包廠商帳密外流，內部清查後受影響權限僅涉及官網資料與特定產測程式。</p> <p>此外，我們另發現台新新光金發布個資方面的重訊，說明其子公司新光人壽因業務檢查缺失，遭金管會認定違反保險法及個人資料保護法，裁罰新台幣395萬元。</p> <p>國際間亦有多起重大資安事故，中國代工巨頭立訊精密遭駭事件震驚全球，勒索組織RansomHub宣稱已入侵該公司系統，並威脅將公開蘋果、Nvidia與特斯拉的資料，目前立訊精密尚未回應此事；還有勒索軟體Everest聲稱入侵印度麥當勞，並公布運動服飾品牌Under Armour大量客戶資料。</p> <p>至於其他重大事故有3起，包括：歐鐵通行證Eurail Pass荷蘭營運商Eurail B.V.揭露資料外洩事故，旅客個資、訂位或護照等資料遭未經授權存取，以及加拿大投資監管組織CIRO揭露去年8月遭網釣攻擊，導致75萬投資人個資外洩；IT業者Ingram Micro通報主管機關去年7月遭勒索軟體攻擊，有4.2萬人個資外流。</p> <p>在威脅態勢方面，首要焦點在於國家級駭客威脅態勢的揭露，微軟指出，近年臺灣面臨的國家級駭客活動事件數達143起，居於全球第6名，僅次於美國、以色列、烏克蘭、阿拉伯聯合大公國、英國。</p> <p>社交工程威脅同樣不可輕忽，去年多家資安業者指出，越來越多攻擊者假冒員工，誘騙IT服務臺人員發動語音網釣，目的是重設系統密碼與新增MFA裝置綁定，當時我們曾提醒，攻擊者後續可操弄的環節仍相當多元，如今出現竄改薪資帳戶資訊的案例，其後段手法與BEC詐騙類似，但仍有差異，這次是駭客直接修改銀行帳戶號碼。至於其他社交工程威脅還涵蓋工具假冒、魚叉式網釣等，我們整理如下：</p> <p>●資安公司Palo Alto Networks揭露薪水海盜行動，駭客利用語音網釣騙過IT服務臺獲取權限後，進而竄改薪資系統銀行帳號以盜取薪資，薪水遲付才發現異常。<br /> ●人資及ERP系統用戶當心！有攻擊者鎖定Workday、NetSuite、SuccessFactors等用戶，推出可簡化多帳號管理或加速工作流程的惡意Chrome延伸套件，實際可劫持用戶Session Cookie取得存取權限，已有2,300人受害。<br /> ●有APT組織利用後門程式PDFSider滲透財星百大企業，資安公司Resecurity指出，駭客透過魚叉式網釣發送ZIP檔，並以DLL側載技術規避防毒與EDR監控。<br /> ●駭客利用串接千個ZIP檔手法散布惡意軟體載入工具GootLoader，MDR業者Expel警告，該檔僅在Windows檔案總管開啟時才啟動，企圖迴避防毒軟體偵測。<br /> ●密碼管理服務LastPass安全團隊示警，有攻擊者寄送釣魚郵件假借服務維修通知，要求用戶24小時內備份，實則引導至釣魚網站竊取主密碼。</p> <p>在漏洞消息方面，這一星期約有1,268個CVE漏洞揭露，當中有1個是已遭利用的零時差漏洞：思科已針對Unified CM及Webex修補漏洞CVE-2026-20045。</p> <p>已知漏洞方面則有6個需特別留意，攻擊者鎖定未修補用戶持續攻擊的嚴峻態勢居高不下，例如：Fortinet日前修補FortiSIEM漏洞CVE-2025-64155，兩日後資安廠商Defused表示在蜜罐陷阱發現有攻擊者開始針對該漏洞濫用。</p> <p>其他已知漏洞的目標包括：Zimbra Collaboration Suite的漏洞（CVE-2025-68645），Versa Concerto的漏洞（CVE-2025-34026），VMware vCenter Server的漏洞（CVE-2024-37079）；攻擊者亦鎖定開源工具攻擊，包括Vitejs開源專案的漏洞（CVE-2025-31125），還有熱門NPM套件eslint-config-prettier去年7月因被暗藏惡意程式碼而修補的漏洞（CVE-2025-54313），現在被美國CISA列入KEV清單。</p> <p>在資安防禦方面，有多個重要消息發布，涵蓋加速NTLMv1棄用、強化雲端身分安全、歐盟網路安全法改版、MITRE針對嵌入式系統發表ESTM框架。此外，短效臨時憑證漸成主流，去年<a href="https://www.ithome.com.tw/news/169608#long-termcredentialsrisk">我們注意到AWS資安長強調，<strong>應消除長期憑證風險</strong></a>，以臨時憑證與角色存取機制確保最小權限原則，如今Let’s Encrypt亦有同樣的行動。</p> <p>●去年6月微軟宣布棄用身分驗證通訊協定NTLM，近期Google Mandiant公布Net-NTLMv1彩虹表，主要透過展示其易受破解的風險，以加速NTLMv1棄用。<br /> ●歐盟計畫修訂歐盟網路安全法（EU Cybersecurity Act），改版方向聚焦將網路安全與地緣政治信任連結，降低供應鏈中高風險國家供應商的威脅。<br /> ●美國白宮推動雲端身分安全強化，NIST發布IR 8587草案，聚焦Token與Assertions的安全防護，為既有的NIST SP 800-53提供雲端面的IAM實務指引。<br /> ●MITRE發表嵌入式系統威脅矩陣（Embedded Systems Threat Matrix，ESTM），由MITRE與美國空軍網路韌性武器系統辦公室合作開發，主要借鑑ATT&CK模式，目標是強化工業設備、機器人及電信等關鍵基礎設施的資安韌性。<br /> ●Let’s Encrypt宣布推出效期160小時的短效TLS憑證，並新增IP位址憑證，以縮短憑證存續時間，降低私鑰外洩與濫用風險，並減少對憑證撤銷機制的依賴。</p> <p style="margin: 0px;">此外，企業瀏覽器持續成為市場關注焦點，CrowdStrike傳出以4.2億美元併購瀏覽器資安業者Seraphic，希望瀏覽器執行層的即時安全防護技術整合到企業安全架構。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/173440"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月19日】人資及ERP系統用戶遭到惡意Chrome延伸套件鎖定</span></strong></a></h3> <p>透過瀏覽器延伸套件發動攻擊的情況，近期已有多起事故傳出，最近有一起事故特別引起關注，原因是該活動相當有針對性，駭客專門對Workday、NetSuite，以及SuccessFactors的用戶下手</p> <h3><a href="https://www.ithome.com.tw/news/173483"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月20日】惡意軟體GootLoader透過ZIP串接手法迴避防毒軟體與EDR偵測</span></strong></a></h3> <p>資安廠商提出警告，去年11月再度活動的惡意軟體GootLoader，駭客利用名為ZIP檔案串接技術（ZIP Concatenation）手法，使得有效酬載只有Windows檔案總管（File Explorer）能解開，從而迴避使用資安工具與第三方解壓縮工具的資安人員檢查</p> <h3><a href="https://www.ithome.com.tw/news/173507"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月21日】中國蘋果代工組裝廠立訊傳出遭勒索軟體RansomHub攻擊</span></strong></a></h3> <p>為蘋果、特斯拉等知名企業代工的中國精密製造業者立訊精密（Luxshare），近日勒索軟體組織RansomHub聲稱從其內部網路環境竊得眾多設計及生產資料，並揚言若未收到贖金，將公開與客戶相關的機密資訊，而成為各界的焦點</p> <h3><a href="https://www.ithome.com.tw/news/173528"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月22日】駭客冒充員工對IT服務臺發動社交工程攻擊，轉走員工薪資</span></strong></a></h3> <p>近日資安公司Palo Alto Networks發現一起相當特別的攻擊行動，駭客鎖定IT服務臺從事社交工程活動，而能在未入侵企業內部網路環境的情況下存取薪資系統，並將部分員工的薪水轉走</p> <h3><a href="https://www.ithome.com.tw/news/173553"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月23日】Fortinet單一簽入功能重大漏洞傳出攻擊活動</span></strong></a></h3> <p>一個月前Fortinet修補的重大漏洞CVE-2025-59718與CVE-2025-59719，近日有資安公司發現，駭客試圖利用自動化滲透手法利用漏洞，從而竄改防火牆的配置，以便建立長期存取的管道</p> <p> </p> </div></div></div>
1/26 16:30作者羅正漢https://www.ithome.com.tw/news/173574
惡意PyPI套件仿冒SymPy，鎖定Linux主機投放挖礦程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Socket威脅研究團隊<a href="https://socket.dev/blog/pypi-package-impersonates-sympy-to-deliver-cryptomining-malware">揭露</a>，Python套件庫PyPI近期出現名為sympy-dev的惡意套件，刻意仿冒知名符號數學函式庫SymPy的專案描述與呈現方式，誘使開發者在搜尋或安裝時誤用。研究人員指出，sympy-dev針對Linux環境並會執行加密貨幣挖礦程式XMRig。</p> <p>攻擊者2026年1月17日在PyPI發布4個版本，從1.2.3到1.2.6皆含惡意程式碼，發布者資訊顯示為Nanit。該套件上架首日下載數即突破1,000次，研究人員強調，下載數雖不等於實際感染數，但足以顯示其可能已進入部分開發者工作站或自動化建置與測試環境。</p> <p>該攻擊結合近年開源生態常見的誤植名稱（Typosquat）與專案頁面仿冒攻擊手法，由於開發者平時透過pip安裝相依套件時，往往仰賴套件名稱與頁面描述作為快速判斷依據，而攻擊者藉由相似名稱與複製內容提高誤導開發者安裝機率。研究人員提到，SymPy套件使用情境涵蓋研究、教育與工程等領域，屬於高曝光套件，仿冒者不需要很大的散布量，只要有少量開發者被誘騙安裝，就能在特定社群與流程中擴散。</p> <p>sympy-dev安裝後不會立刻啟動惡意行為，攻擊者是在惡意套件內，將下載與執行的程式碼埋進仿造SymPy多項式模組的程式碼路徑，等到使用者呼叫特定多項式相關函式時才觸發。觸發後，程式會先取得遠端設定檔並寫入本機，再下載Linux用的可執行檔，並以偏向在記憶體中啟動的方式降低落地痕跡，但並非完全不留檔。</p> <p>研究人員透過動態分析觀察到，sympy-dev被下載與啟動的第二階段程式為XMRig挖礦程式，並依設定導向以加密連線方式連到挖礦服務端點。攻擊者透過網路端點位址提供設定與載入程式，因此攻擊者可隨時更換遠端提供的內容，即使不再更新PyPI上的版本，也能調整後續投放的程式型態與目的。</p> <p>Socket表示已向PyPI安全團隊通報，並要求下架套件及處理發布者帳號。依目前PyPI專案頁面回應狀態，sympy-dev已無法下載或檢視，頁面顯示找不到資源。</p> </div></div></div>
1/26 17:09作者李建興https://www.ithome.com.tw/news/173588
身分驗證服務供應商Okta警告竊取單一登入憑證的語音網釣攻擊活動，傳出是ShinyHunters所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對身分驗證資安業者用戶而來的攻擊行動，不時有相關事故傳出，例如：<strong><a href="https://www.ithome.com.tw/news/173522">密碼管理業者LastPass發現有人假冒他們的名義寄送釣魚信</a></strong>，聲稱伺服器即將進行維修，用戶應在一天內備份密碼保險庫因應，但若是照做，攻擊者就可能取得使用者的主密碼。現在又有類似的事故傳出。</p> <p>消息來自身分驗證業者Okta，因為<strong><a href="http://www.okta.com/blog/threat-intelligence/phishing-kits-adapt-to-the-script-of-callers/">他們偵測到有開發團隊以租用服務形式提供客製化的網釣套件</a></strong>，駭客再以此攻擊Google、微軟、Okta，以及加密貨幣供應商的用戶。這些網釣套件能攔截目標使用者的憑證，並誘騙他們進行多因素驗證（MFA），而且，攻擊者還能即時調整並控制釣魚網頁顯示的內容，目的是在攻擊者試圖登入受害者帳號的過程裡，同步掌握指令碼執行的進度。對此，Okta呼籲用戶要提高警覺，並參考最佳實作因應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/vishing-mspanel-lowres-wm.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vishing-mspanel-lowres-wm.png" style="width: 580px;" /></a></p> <p>雖然Okta並未特別說明，不過多家資安媒體普遍認為，駭客的最終目的，就是打算竊取單一登入（SSO）憑證。</p> <p>對於攻擊發生的流程，Okta指出通常駭客會針對目標進行偵察，掌握使用者姓名、常用的應用程式，以及IT服務臺的電話號碼，然後設置專屬的釣魚網頁，並假借企業IT支援部門或客服部門，向攻擊目標撥打電話。</p> <p>攻擊過程是這樣進行的：駭客假借IT支援或是資安需求，誘騙使用者打開瀏覽器存取釣魚網站，並輸入使用者名稱及密碼。此時，這些資料會即時自動轉送到駭客的Telegram頻道。</p> <p>接著，駭客就會在實際的登入網頁輸入帳密資料，在出現需要進行多因素驗證的流程當中，他們也即時更新釣魚網站，藉此要求受害者輸入動態密碼（OTP）、同意登入的推播通知，或是執行其他對應的進階身分驗證項目。</p> <p><a href="https://s4.itho.me/sites/default/files/images/mermaid-vishing-ss-wm.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mermaid-vishing-ss-wm.png" style="width: 580px;" /></a></p> <p>由於駭客能進一步控制整個攻擊流程，例如：遇到推播通知可利用電話告訴受害者，並搭配釣魚網頁內容的調整，顯示推播訊息已經發送，使得受害者更難以察覺有異，而依照駭客的指示繼續操作。</p> <p>雖然Okta並未提及攻擊者的身分，但是有資安媒體指出，這起攻擊行動是去年曾針對Salesforce平臺的駭客組織ShinyHunters所為。<strong><a href="https://www.bleepingcomputer.com/news/security/okta-sso-accounts-targeted-in-vishing-based-data-theft-attacks/">資安新聞網站Bleeping Computer指出</a></strong>，他們得知駭客從1月19日開始，打電話給受害企業的員工，竊得Okta單一登入憑證，受害企業向Okta通報此事。該媒體得知駭客冒充受害企業的IT團隊打電話給員工，宣稱協助設置Okta單一登入的通行金鑰（Passkey）。</p> <p>接著，駭客發動對手中間人攻擊（AiTM），誘騙員工存取特製的釣魚網站，並截取單一登入憑證及動態密碼，這些網站通常以受害公司命名，網址包含internal或my。假若得逞，駭客就會試圖檢視該名員工能夠存取的應用程式，並挖掘內部資料；若是活動東窗事發，駭客便隨即向受害公司發送勒索信，要求支付贖金換取資料不被公開。知情人士指出，部分勒索信署名是ShinyHunters。</p> <p>對此，<strong><a href="https://www.bleepingcomputer.com/news/security/shinyhunters-claim-to-be-behind-sso-account-data-theft-attacks/">ShinyHunters後來聲稱這波攻擊行動是他們所為</a></strong>，但否認Okta公布的網釣工具平臺與他們有關，該團體強調他們的工具是內部自行打造。再者，ShinyHunters表示他們不光針對Okta，也攻擊Google與微軟Entra單一登入（SSO）平臺的用戶。Google與微軟對此說法表示，目前沒有發現相關系統遭到利用的跡象。</p> </div></div></div>
1/26 16:09作者周峻佑https://www.ithome.com.tw/news/173581
駭客宣稱駭入Nike竊得近19萬份檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>運動鞋及服飾巨擘Nike遭傳被駭，竊走近19萬份資料，已展開調查。</p> <p>知名資安研究人員<a href="https://x.com/AlvieriD/status/2014387992249487793" target="_blank">Dominic Alvieri上周發現</a>駭客組織WorldLeaks在其官網張貼公告，宣稱駭入Nike，竊得18.8萬份檔案、共1.4TB資料。</p> <p>駭客還貼出了螢幕擷圖以證實所言。根據貼圖，外洩的資料可能來自一家分公司，至少包含製造端，像是多個系列的製造和工廠資料。從研究人員張貼的駭客貼文擷圖中的倒數日期來判斷，WorldLeaks駭客可能是威脅Nike，若不在時限前聯繫或支付贖金，就會公開手中的資料。</p> <p><a href="https://securityaffairs.com/187303/data-breach/nike-is-investigating-a-possible-data-breach-after-worldleaks-claims.html" target="_blank">Nike對媒體表示，</a>公司非常重視消費者隱私和資料安全，現已著手調查可能的資料安全事故及評估狀況。</p> <p><a href="https://www.pcmag.com/news/nike-probes-potential-breach-after-threat-from-hacking-group" target="_blank">資安業者指出</a>，WorldLeaks原以Hunters International之名活動，他們透過勒索軟體加密竊取企業用戶資料，藉此勒索贖金。去年這個組織在警方加強查緝後改為現名，並在ShinyHunters成員被捕後興起。</p> <p><a href="https://www.securityweek.com/nike-probing-potential-security-incident-as-hackers-threaten-to-leak-data/" target="_blank">SecurityWeek報導</a>，WorldLeaks官網列出了100多家受害企業，包括Dell及德國珠寶品牌CHRIST Juweliere。</p> <p>這是近期發生資料外洩的服飾品牌。去年Everest宣稱駭入Under Armour取得343GB資料，疑似<a href="https://www.ithome.com.tw/news/173515" target="_blank">公開</a>7,270萬筆電子郵件信箱紀錄，內有姓名、出生日期、性別、地址和購買資訊等。這家美國品牌業者<a href="https://www.securityweek.com/under-armour-looking-into-data-breach-affecting-customers-email-addresses/" target="_blank">表示</a>已啟動調查。</p> <p>德國運動服飾及鞋類品牌愛迪達（Adidas）則是於去年5月<a href="https://www.ithome.com.tw/news/169222" target="_blank">自曝</a>，因第三方的客戶服務供應商之故外洩了部分消費者資料。之後資安廠商Malwarebytes<a href="https://www.malwarebytes.com/blog/news/2025/08/how-google-adidas-and-more-were-breached-in-a-salesforce-scam" target="_blank">指出</a>，可能是Salesforce系統被存取。</p> </div></div></div>
1/26 11:34作者林妍溱https://www.ithome.com.tw/news/173575
惡意軟體測試服務AVCheck遭瓦解後，荷蘭警方逮捕疑似實際營運者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>多國執法單位<a href="https://www.ithome.com.tw/news/169290" target="_blank">在2025年中旬</a>瓦解惡意軟體測試服務AVCheck後，近期出現新進展。資安媒體<a href="https://hackread.com/operation-endgame-dutch-police-arrest-avcheck-operator/" target="_blank">Hackread</a>引述執法單位消息指出，荷蘭警方本月在阿姆斯特丹逮捕33歲荷蘭籍男子，疑似為AVCheck實際營運者。</p> <p>另依荷蘭檢察署Openbaar Ministerie<a href="https://www.om.nl/actueel/nieuws/2026/01/12/verdachte-aangehouden-in-onderzoek-naar-cybercriminaliteit" target="_blank">發布的官方聲明</a>，該名嫌犯涉嫌長期營運一項支援網路犯罪的線上服務，內容包括協助測試惡意軟體是否能避開防毒軟體偵測的測試功能，並被認為與AVCheck平臺的實際營運有關，相關調查目前仍在進行中。</p> <p><span style="color:#B22222;"><strong>AVCheck在網路犯罪中的角色</strong></span></p> <p><a href="https://www.politie.nl/en/news/2025/may/30/key-service-for-malware-developers-taken-offline.html" target="_blank">荷蘭警方說明</a>，AVCheck屬於所謂的「反防毒測試服務」（Counter Antivirus，CAV），主要供惡意軟體開發者測試其程式是否會被主流防毒產品偵測。使用者可將惡意程式樣本上傳至平臺，比對多款防毒引擎的掃描結果，再依據回饋內容調整程式碼，以降低被攔截的機率。</p> <p>這類服務常被用於勒索軟體、木馬程式等惡意程式的開發過程，屬於攻擊前的準備環節。透過反覆測試與修改，攻擊者可提高惡意程式在實際攻擊中成功取得初始存取權限的機率，使AVCheck成為網路犯罪即服務生態系中的關鍵基礎服務之一。</p> <p>警方指出，也正因為這類平臺能協助惡意程式避開防護機制，才成為執法單位優先鎖定的目標。相較於在攻擊發生後才進行應變，從源頭打擊這類支援型服務，更有助於降低後續實際攻擊事件的發生風險。</p> <p>AVCheck相較於同樣提供檔案分析的病毒掃描服務VirusTotal，有何差異？VirusTotal是合法資安分析平臺，主要服務對象是資安研究人員與企業資安團隊，<a href="https://www.ithome.com.tw/news/163823" target="_blank">過去曾被</a>惡意軟體開發者採用，測試其檔案是否能被防毒引擎偵測，但對攻擊者而言，VirusTotal過於公開且對防守方友善，目的是共享情資、強化集體防禦，攻擊者若將檔案上傳至此進行驗證，等於主動把樣本送給全世界的防禦方，而AVCheck是為惡意軟體開發者量身打造的工具，不共享樣本、不回饋給防毒廠商、不留下可追蹤紀錄，攻擊者可以「放心」在此調整，而非幫防守方練功。</p> <p><span style="color:#B22222;"><strong>從關閉服務到追究營運責任</strong></span></p> <p>荷蘭警方強調，此次行動的重點不僅在於下架單一平臺，而是進一步釐清其營運模式、資金流向與使用者網絡。警方在前次取締行動中已蒐集到大量數位證據，目前正持續分析，並不排除擴大追查其他涉案人員或關聯服務。</p> <p>執法單位指出，若僅止於關閉服務，類似平臺往往能以不同形式快速重現，因此同步鎖定營運者與其背後的組織結構，才能對地下產業形成實質嚇阻效果。</p> <p><span style="color:#B22222;"><strong>Operation Endgame下的供應鏈打擊策略</strong></span></p> <p>警方也說明，AVCheck案件是跨國執法行動<a href="https://www.google.com/search?q=Operation+Endgame+site%3Awww.ithome.com.tw%2Fnews&num=10&lr=&as_qdr=all&sxsrf=ANbL-n55xqL-ERqW27XYNDrgE23WujOFuA%3A1769258410333&tbs=cdr%3A1%2Ccd_min%3A1%2F1%2F2024%2Ccd_max%3A1%2F24%2F2026&tbm=" target="_blank">Operation Endgame</a>的一環。該行動由多國執法機關合作推動，鎖定支撐網路犯罪生態系的關鍵基礎服務，包括惡意程式的測試、加殼、加密與散布等環節，藉此從供應鏈層面削弱地下產業的運作能力。</p> <p>警方指出，這類針對上游服務的執法策略，目標是在惡意程式尚未大規模散布前即介入處理，降低後續攻擊對企業與組織造成的實際衝擊。</p> </div></div></div>
1/26 11:56作者王珮瑤https://www.ithome.com.tw/news/173573
未設密碼防護的雲端資料庫外洩，iCloud、Gmail、Netflix等近1.5億筆憑證曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.expressvpn.com/blog/149m-infostealer-data-exposed/" target="_blank">研究人員揭露</a>一個雲端資料庫未加密碼防護，使Gmail、Outlook、iCloud、Netflix、Facebook等主要雲端服務及知名平臺的帳號、密碼等近1.5億筆憑證曝險。</p> <p>這個資料庫是由ExpressVPN研究人員Jeremiah Fowler發現，資料庫內有149,404,754筆不重複登入帳號及密碼，資料量達96GB。研究人員抽取的部分資料，顯示內含電子郵件信箱地址、使用者名稱、密碼和URL。</p> <p>研究人員估計公開的資料涵括主要雲端郵件服務及雲端服務。包括Gmail 4,800萬、Yahoo 400萬、Outlook 150萬、iCloud 9萬筆以及.edu平臺憑證140萬筆。其他重要資料源包含Facebook 1,700萬、Netflix 340萬、IG 650萬、TikTok 78萬、Binance 42萬和OnlyFans 10萬筆。</p> <p>此外還有.gov網域相關的憑證，研究人員指出，雖然不是所有政府帳號都能存取敏感系統，但這些憑證可能被用作精準釣魚、冒充或被用以登入政府網路，而.gov憑證外洩的增加可能影響國家安全和公共安全。</p> <p>這個資料庫沒有持有者的相關資訊，研究人員在聯繫多個單位及代管業者將近一個月後，無法得知持有者是某個犯罪組織或個人或是研究單位。研究人員也無從得知該資料庫無密碼存在多久。最後該代管資料庫被停權，使個人用戶憑證免於公開。</p> </div></div></div>
1/26 12:00作者林妍溱https://www.ithome.com.tw/news/173576
Fortinet坦承FortiCloud SSO漏洞修補不全將再釋出更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在企業用戶反映遭駭及資安廠商揭露後，Fortinet<a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse-on-fortios" target="_blank">上周證實</a>去年<a href="https://www.ithome.com.tw/news/172862" target="_blank">12月修補</a>的FortiCloud單一簽入漏洞修補不全，承諾將再釋出更新軟體。</p> <p>今年1月15日起Arctic Wolf研究人員發現，新一波針對FortiGate裝置的惡意活動。有不明人士濫用，利用CVE-2025-59718非授權以FortiCloud SSO登入FortiGate，再經由GUI介面下載防火牆配置，接著攻擊者就新增次要管理員帳號以維持持久存取。攻擊者從[email protected]及[email protected]兩個帳號登入防火牆。建立的後門帳號包括secadmin、itadmin、support等。由於皆間隔數秒、研究人員判斷可能是自動化腳本程式或工具執行。</p> <p>於此同時，有些Fortinet產品用戶反映FortiGate遭人利用在安裝CVE-2025-59718登入。但是其裝置都是安裝Fortinet去年12月釋出，已修補CVE-2025-59718及CVE-2025-59719漏洞的FortiOS 7.4.9版本。</p> <p>Fortinet指出，近日一小部分客戶Fortinet裝置的異常登入活動和去年12月的問題非常類似。該公司證實，多起攻擊案例是發生在軟體完全更新到最新版本的產品，他們判斷可能有新的攻擊路徑。</p> <p>網路觀察組織<a href="https://dashboard.shadowserver.org/statistics/iot-devices/map/?date_range=1&vendor=fortinet&model=forticloud+sso&data_set=count&scale=log" target="_blank">Shadowserver的偵測</a>，在揭露近2個月後，現今全球還有超過1萬臺Fortinet裝置未補漏洞，而臺灣也還有99臺曝險。</p> <p>Fortinet產品安全團隊聲稱已經找出問題，並且正在趕製修補程式。等修補範圍及時程確定後，Fortinet會再公布安全公告。Fortinet強調此時只有觀察到FortiCloud SSO功能遭濫用。但是本問題影響任何具有SAML SSO實作的環境。</p> <p>在釋出完整修補程式前，Fortinet建議用戶實行安全政策，將邊緣網路裝置管理員權限縮小到受信賴的IP位址。由於還沒有修程式，企業用戶應關閉Fortinet裝置上的FortiCloud SSO功能。若企業用戶已觀察到前述入侵指標，Fortinet建議用戶應立即輪換憑證（所有LDAP/AD帳號）並重設配置。</p> </div></div></div>
1/26 12:08作者林妍溱https://www.ithome.com.tw/news/173577
AI應用開發框架Chainlit爆高風險漏洞，恐遭濫用入侵雲端環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="335" data-start="217">每月<a href="https://pypistats.org/packages/chainlit" target="_blank">下載</a>量達數十萬次、廣泛用於打造對話式與代理型AI服務的開源框架Chainlit，近日被資安研究人員揭露存在兩項高風險資安漏洞。在特定部署條件下，相關弱點可能遭攻擊者濫用，導致未經授權存取應用資料，甚至成為入侵雲端環境的切入點，已引發資安社群關注。</p> <p data-end="614" data-start="337">根據美國國家漏洞資料庫（NVD）公布的資訊，Chainlit相關漏洞分別被指派為<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-22218" target="_blank">CVE-2026-22218</a>與<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-22219" target="_blank">CVE-2026-22219</a>。其中，CVE-2026-22218為任意檔案讀取漏洞，源於存取控制機制不足，在特定情況下，已通過身分驗證的攻擊者，可能藉由框架的自定元素端點讀取伺服器的檔案內容，CVSS風險分數為7.1分。另一項CVE-2026-22219則屬於伺服器端請求偽造（Server-Side Request Forgery，SSRF）類型漏洞，可能被用來對內部或雲端服務發送未預期的請求，CVSS風險分數高達8.3分，兩者皆被評為高風險等級。</p> <p data-end="776" data-start="616">揭露這組漏洞的雲端資安公司<a href="https://www.zafran.io/resources/chainleak-critical-ai-framework-vulnerabilities-expose-data-enable-cloud-takeover" target="_blank">Zafran將其命名為「Chainleak」</a>，並指出當Chainlit被部署於多租戶或雲端原生環境時，相關風險將進一步放大。研究人員表示，在缺乏額外防護措施的情況下，攻擊者不僅可能存取AI應用處理的對話內容、API金鑰或模型輸出結果，還可能藉由漏洞進行橫向移動，進一步影響雲端環境的整體安全性。</p> <p data-end="936" data-start="778">針對這些問題，<a href="https://github.com/Chainlit/chainlit/releases/tag/2.9.4" target="_blank">Chainlit專案團隊已發布Chainlit 2.9.4版進行修補</a>。官方說明指出，新版本已強化存取控制邏輯，並修正可能導致跨使用者資料暴露與不當請求轉送的安全風險。開發團隊呼籲所有使用者，特別是在雲端或對外公開環境中部署Chainlit的組織，應儘速升級至2.9.4或以上版本，以降低遭到攻擊的風險。</p> <p data-end="936" data-start="778"><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-chainlit-600-1.png" style="width: 600px;" /></p> <p data-end="1084" data-start="938">目前尚未有明確證據顯示上述漏洞已遭到大規模實際利用，但資安研究人員提醒，隨著漏洞細節與修補資訊已公開，未來不排除出現實際濫用案例。建議企業除更新套件版本外，也應重新檢視AI應用的雲端部署架構，避免將敏感金鑰或高權限設定直接暴露於應用層，並落實最小權限原則及額外的存取控管機制，以降低潛在風險。</p> </div></div></div>
1/26 10:48作者王珮瑤https://www.ithome.com.tw/news/173563
約10萬個WordPress網站使用的ACF Extended外掛，存在高風險漏洞可讓攻擊者取得管理權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>WordPress外掛ACF Extended近日被揭露存在高風險資安漏洞，未經驗證的攻擊者在特定條件下，可能直接建立具備管理員權限的帳號，進而取得完整網站控制權。該漏洞已被編號為<a href="http://nvd.nist.gov/vuln/detail/CVE-2025-14533" target="_blank">CVE-2025-14533</a>，CVSS風險評分高達9.8分，屬於重大（Critical）等級。</p> <p>ACF Extended定位為補強Advanced Custom Fields功能的WordPress外掛，主要用於協助網站開發者建立自訂內容欄位，並延伸前端表單的應用情境，例如讓訪客或會員透過表單提交內容，甚至進行使用者資料的新增與更新。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>後端驗證不足，使用者角色限制可被繞過</strong></span></span></p> <p>CVE-2025-14533漏洞最早由資安研究人員Andrea Bocchetti通報。根據資安媒體<a href="http://www.bleepingcomputer.com/news/security/acf-plugin-bug-gives-hackers-admin-on-50-000-wordpress-sites/" target="_blank">Bleeping Computer</a>與WordPress資安公司<a href="http://www.wordfence.com/blog/2026/01/100000-wordpress-sites-affected-by-privilege-escalation-vulnerability-in-advanced-custom-fields-extended-wordpress-plugin/" target="_blank">Wordfence</a>的分析，問題出在ACF Extended處理「新增或更新使用者」的前端表單時，未在後端正確驗證可指派的使用者角色。</p> <p>即便網站管理者已在外掛設定中，限制前端表單可指派的使用者角色，攻擊者仍可透過自行構造的請求，指定帳號角色為administrator，成功建立或升級為具備最高權限的管理員帳號。Wordfence指出，該漏洞僅在網站實際啟用包含使用者管理欄位的ACF Extended前端表單，且該表單對外開放存取時，才具備可被濫用的條件。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>偵察活動升溫，尚未觀測到大規模濫用</strong></span></span></p> <p>雖然目前尚未觀測到針對CVE-2025-14533的實際大規模攻擊行為，但網路流量分析業者<a href="http://www.labs.greynoise.io/grimoire/2026-01-19-creepy-crawlers-hunting-those-who-hunt-for-wordpress-plugins/index.html" target="_blank">GreyNoise</a>指出，透過其感測與流量分析系統觀測，自2025年10月下旬至2026年1月中，出現大規模針對WordPress外掛的偵察行為。</p> <p>GreyNoise表示，相關活動來自近1,000個IP位址，橫跨145個自治系統編號（ASN），針對超過700款WordPress外掛進行列舉掃描，累計次數逾4萬次，顯示攻擊者仍在進行前期盤點與目標篩選行動。該公司也指出，這類掃描行為未必針對單一漏洞，而是常見於實際攻擊行動前的準備階段。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>官方已修補，建議盤點前端使用者管理功能</strong></span></span></p> <p>ACF Extended開發團隊已於<a href="https://www.wordfence.com/blog/2026/01/100000-wordpress-sites-affected-by-privilege-escalation-vulnerability-in-advanced-custom-fields-extended-wordpress-plugin/#:~:text=We%20provided%20full,and%20timely%20patch." target="_blank">去年12月14日發布0.9.2.2版本</a>，修補上述權限提升漏洞。Wordfence建議，仍在使用舊版外掛的網站管理者，應立即更新至0.9.2.2或以上版本，並確認是否有前端表單提供新增或更新使用者帳號的功能，避免該類功能在未妥善控管的情況下對外公開。</p> <p>Bleeping Computer引述<a href="http://wordpress.org/plugins/acf-extended/advanced/" target="_blank">WordPress官方外掛平臺</a>資料指出，目前約有10萬個網站啟用ACF Extended外掛。相較於0.9.2.2版本於12月14日釋出後至今年1月20日期間，僅約5萬次的下載量，顯示仍有相當比例的網站尚未更新至修補版本。</p> <p>資安業者提醒，凡是涉及使用者角色或權限設定的前端功能，若對外開放存取，皆應視為高風險項目。除定期更新外掛與套件外，也應搭配存取控管、行為監控與最小權限原則，以降低帳號遭冒用及網站遭接管的風險。</p> </div></div></div>
1/26 10:49作者王珮瑤https://www.ithome.com.tw/news/173570
歐盟擬修訂網路安全法案，強化供應鏈資安管理並限制高風險供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐盟執委會（European Commission）於1月20日公布新一波「網路安全包裹法案（<a href="http://ec.europa.eu/commission/presscorner/detail/en/ip_26_105" target="_blank">Cybersecurity Package</a>）」，內容包括<a href="https://digital-strategy.ec.europa.eu/en/library/proposal-regulation-eu-cybersecurity-act" target="_blank">修訂《歐盟網路安全法》</a>（EU Cybersecurity Act）、擴大歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）職權，以及推動供應鏈去風險化措施。歐盟藉此希望把過去僅具政策指引性質、各成員國執行程度不一的供應鏈風險管理，納入具法律拘束力的共同規範。</p> <p class="rtecenter"><a href="https://ec.europa.eu/commission/presscorner/api/files/document/print/en/ip_26_105/IP_26_105_EN.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-Cybersecurity%20Package-600-PDF.png" style="width: 500px;" /></a></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>5G安全工具箱落實程度不一</strong></span></span><span style="color:#B22222;"><span style="font-size:28px;"><strong>，成為推動修法的關鍵原因</strong></span></span></p> <p>歐盟此次推動修法，與2020年推出的「5G網路安全工具箱」（<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_20_123" target="_blank">EU 5G Security Toolbox</a>）執行成效有限有關。該工具箱屬於自願性措施，各成員國在限制高風險供應商的作法與進度上落差明顯，使歐盟難以在整體層級確保通訊網路與關鍵基礎設施的安全水準，也促使執委會轉而尋求具有法律拘束力的制度途徑。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>地緣政治與網路威脅升高，供應鏈安全成為國安議題</strong></span></span></p> <p>歐盟執委會指出，近年地緣政治情勢與網路威脅持續升高，國家級行為者與犯罪組織對關鍵產業的滲透與攻擊風險增加，供應鏈安全已不再只是技術層面的問題，而是牽涉對特定國家或供應來源的依賴，以及外國勢力介入的整體國安風險。這也反映出，供應鏈資安在歐盟政策中，正被提升為與國防、外交與產業安全同等重要的制度議題。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>明確歐盟層級權限，統一推動風險評估與限制措施</strong></span></span></p> <p>依修法規畫，歐盟將明確訂定歐盟執委會在供應鏈安全上的權限，使其可在歐盟層級統一推動風險評估，並視情況對敏感基礎設施使用的特定設備或技術提出限制，甚至要求禁用。相關評估可由歐盟執委會主導，或在至少3個成員國提出要求後啟動。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>執行面要求更具體，營運商最遲36個月內完成汰換</strong></span></span></p> <p>在實際執行層面，成員國將針對歐盟界定的18個關鍵領域，共同評估供應商原屬國、企業治理結構與潛在國安影響等因素。待歐盟完成高風險供應商認定後，行動通訊網路營運商須在最遲36個月內，分階段汰換核心或敏感網路環節使用的相關設備。</p> <p>歐盟官方文件並未點名特定國家或企業，但外界普遍認為，這項修法延續了歐盟近年對「高風險供應商」的管制作法，與過<a href="https://digital-strategy.ec.europa.eu/en/library/communication-commission-implementation-5g-cybersecurity-toolbox" target="_blank">去在5G安全議題上</a>對部分中國電信設備商的疑慮一脈相承。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>擴大ENISA職權，強化預警、通報與跨國應變</strong></span></span></p> <p>除供應鏈規範外，這項包裹法案也同步擴大ENISA的職權，使其在威脅預警、資安事故通報與跨國應變協調上扮演更關鍵角色。未來ENISA將可發布歐盟層級的早期威脅警示，並負責營運統一的資安事故通報機制，協助企業與各國主管機關即時掌握重大事件。</p> <p>在勒索軟體等跨境攻擊應變方面，ENISA也將與歐洲刑警組織Europol及各國電腦緊急應變團隊（CSIRT）加強合作，提供技術與協調支援。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>修法仍待完成立法程序</strong></span></span></p> <p>依歐盟立法流程，修訂版《歐盟網路安全法》仍須經歐洲議會（European Parliament）與歐盟理事會（Council of the EU）審議通過後，才能正式生效。法案完成立法程序後，成員國也將依規定時程，調整各自的國內法制與監管措施。</p> <p>資安媒體<a href="https://www.bleepingcomputer.com/news/security/eu-plans-cybersecurity-overhaul-to-block-foreign-high-risk-suppliers/" target="_blank">Bleeping Computer</a>與隱私與法遵專業組織<a href="https://iapp.org/news/a/a-view-from-brussels-europe-gears-up-toward-tougher-cybersecurity-rules" target="_blank">IAPP</a>（International Association of Privacy Professionals）指出，若修法順利推進，歐盟在高風險供應商管理與供應鏈資安治理上的作法，將從過去以建議與協調為主，轉為具法律拘束力的共同規範，對電信、雲端與其他關鍵產業的設備採購與技術選擇，勢必產生長期影響。</p> </div></div></div>
1/26 10:51作者王珮瑤https://www.ithome.com.tw/news/173572
Android Studio Otter 3擴大代理式開發支援，可改用第三方與本機模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google釋出Android應用程式整合開發環境<a href="https://android-developers.googleblog.com/2026/01/llm-flexibility-agent-mode-improvements.html">Android Studio Otter 3 Feature Drop 2025.2.3穩定版</a>，其更新重點放在代理式開發工作流程，讓IDE內建AI功能可改用開發團隊自選的大型語言模型，涵蓋第三方遠端模型與本機模型兩種方式。另外，也強化代理模式Agent Mode的裝置互動與變更審查機制，並加入以自然語言撰寫的旅程測試，以及透過MCP協定串接外部工具等功能。</p> <p>Android Studio新增遠端模型介接機制，用戶可在IDE內配置第三方模型供應商並使用既有API端點與金鑰。除了OpenAI的GPT與Anthropic的Claude等遠端模型，也支援透過LM Studio或Ollama等提供者使用本機模型，對連線受限或希望降低資料洩漏的環境提供替代途徑。</p> <p>Google提醒，IDE在使用AI功能時可能會把輸入內容送往所選模型供應商，而Gemini仍會是預設建議，改用其他模型實際體驗與可用能力會因供應商而異。</p> <p>Android Studio Otter 3將代理的工作範圍延伸到驗證修改結果。代理可將應用部署到連接裝置，讀取畫面並截圖，檢視Logcat錯誤訊息，並與正在執行的應用互動，協助反覆修正並確認改動是否生效。Android Studio新增集中管理代理修改的變更清單，會把代理動過的檔案彙整列出，讓開發者直接在IDE內檢視差異，並可逐一保留或撤回修改，同時也支援多個對話串，讓不同任務分開進行，避免互相干擾。</p> <p>除代理模式外，Google也把端對端測試與外部工具串接納入同一代理流程。新的旅程測試（Journeys）功能，可讓開發者以自然語言描述使用者旅程的步驟與檢查條件，再由AI在裝置上執行互動並輸出結果。Android Studio還支援連接MCP遠端伺服器，讓代理直接取用外部服務。</p> <p>其他更新則與介面開發、建置除錯與函式庫發行相關。Compose預覽面板新增代理式協助入口，可用於產生與調整介面並修正常見UI檢查問題。App Links Assistant則加入代理輔助，協助產生深度連結導向到App內指定畫面（Deep Link）與相關測試。</p> <p>在除錯方面，Android Studio Otter 3 Feature Drop提供自動堆疊回溯還原，可在R8啟用時自動還原Logcat中的堆疊資訊。另一方面，Android Gradle Plugin 9.0提供融合函式庫外掛，可把多個Android函式庫模組封裝成單一可發布的AAR，讓使用者端以單一相依項目導入。</p> </div></div></div>
1/26 08:43作者李建興https://www.ithome.com.tw/news/173568
採用Xeon 6、提供6TB記憶體，AWS擴增記憶體最佳執行個體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_amazon_ec2_x8i-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在去年12月初舉行的re:Invent大會期間，AWS發表新的記憶體最佳化執行個體服務Amazon EC2 X8i預覽版，當中採用訂製版的英特爾Xeon 6處理器平臺，可提供公有雲領域最高的運算效能與最快的記憶體存取，適用的工作負載類型，包括記憶體內資料庫與資料分析系統、大型傳統資料庫系統、電子設計自動化系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS X8i-C8ine.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20X8i-C8ine.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Intel-2025-12-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Intel-2025-12-1.jpg" style="width: 600px;" /></a></p> <p>相較於上一代X2i執行個體，X8i記憶體容量最高可提供到1.5倍（4 TB vs. 6 TB），記憶體頻寬增長至3.4倍。至於8月上市的<a href="https://www.ithome.com.tw/review/170919">R8i</a>，同樣採用訂製版的英特爾Xeon 6處理器，記憶體容量最高可提供到3 TB。</p> <p>此時SAP也宣布認證X8i的應用系統效能測試數據，AWS表示，相較於X2i執行個體，X8i的效能領先幅度為46％。若用於某些類型的工作負載，X8i效能比X2i高出35％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS X8i-2025-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20X8i-2025-12.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SAP Benchmark-2025-12-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SAP%20Benchmark-2025-12-2.jpg" style="width: 600px;" /></a></p> <p>到了今年1月中，AWS宣布X8i正式上線，初期在4個雲端區域供應：美國東部（北維吉尼亞）、美國西部（俄亥俄）、美國西部（奧勒岡）、歐洲（法蘭克福），採用的訂製型Xeon 6處理器，所有核心的時脈均維持在3.9 GHz，而在硬體規格與效能突破方面，對比於X2i，X8i的最大記憶體容量如預告為1.5倍，記憶體頻寬增長3.4倍，用於某些工作負載的效能領先幅度為43％，而在SAP應用系統效能標準測試的效能上，可達到50％的增長，PostgreSQL資料庫效能加快47％，記憶體內快取系統Memcached效能提升88％，AI推論效能也增加了46％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SAP Benchmark-2025-12-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SAP%20Benchmark-2025-12-1.jpg" style="width: 600px;" /></a></p> <p>在硬體組態上，X8i提供14種執行個體，當中包含兩種裸機型態的選擇：x8i.metal-48xl、x8i.metal-96xl，能用於部署需直接存取實體系統資源的工作負載，而且，就單臺執行個體而言，最大可配置384顆vCPU、6,144 GB容量的記憶體、100 Gbps網路頻寬（搭配EFA網路卡），存取雲端區塊儲存服務EBS的吞吐量為80 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EC2 X8i-console.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20X8i-console.jpg" style="width: 600px;" /></a></p> <p>如同AWS近期推出的第8代雲端運算服務，如<a href="https://www.ithome.com.tw/review/172803">M8a、R8a、C8a</a>，以及<a href="https://www.ithome.com.tw/review/173033">C8i與C8i-flex</a>，X8i也支援<a href="https://docs.aws.amazon.com/ebs/latest/userguide/instance-bandwidth-configuration.html?trk=d8ec3b19-0f37-4f8c-8c12-189f913e205c&sc_channel=el">執行個體的頻寬設定（IBC）功能</a>，用戶可在網路與EBS頻寬之間進行調配，最多可增加25％，藉此提升資料庫效能、查詢處理速度，以及事件記錄效率。X8i也導入AWS自行研發的IT基礎架構I/O卸載技術：第六代Nitro平臺，能透過專屬的軟硬體架構，幫忙分攤CPU虛擬化，以及儲存與網路功能的負荷，強化工作負載的效能與安全性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Intel-2025-12-2.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/AWS Nitro v6-2026-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Nitro%20v6-2026-01.jpg" style="width: 298px;" /></a></p> </div></div></div>
1/25 16:49作者李宗翰https://www.ithome.com.tw/review/173571
增設8個GbE埠機型，HPE大幅擴充CX入門級交換器陣容
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_networking_cx_6000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2021年，HPE針對遠端辦公室與中小企業市場<a href="https://www.businesswire.com/news/home/20210622005321/en/Aruba-ESP-Improves-Network-Agility-for-Organizations-Adapting-to-New-Business-Realities">增設</a>專用的入門級L2交換器設備，名為Aruba CX 6000系列，長年提供48埠、24埠、12埠的GbE交換器組態，總共有6款機型，其中4款支援乙太網路供電（PoE）。在2023年5月發布的此系列硬體規格改款公告中，產品名稱從原本的Aruba CX 6000 Switch Series換成HPE Aruba Networking CX 6000 Switch Series。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Aruba CX6000.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Aruba%20CX6000.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE CX PORTFOLIO-2025-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20CX%20PORTFOLIO-2025-12.jpg" style="width: 600px;" /></a></p> <p>到了今年1月中的全美年度最大零售業聯盟展（NRF），HPE展示其零售解決方案之餘，也宣布HPE Aruba Networking CX交換器在這當中扮演重要角色，而他們採取的具體行動就是<a href="https://www.hpe.com/us/en/newsroom/press-release/2026/01/hpe-helps-retail-customers-ensure-business-continuity-and-enhance-security-with-expanded-hpe-networking-and-hpe-compute-portfolios.html">大幅擴充CX 6000系列</a>產品線，機型數量一口氣提升到22款之多，最顯著的改變在於，此系列開始提供8埠的GbE交換器組態，可支援零售業的POS終端機、物聯網設備，以及員工操作系統的安全連網需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 6000 Models-2026-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%206000%20Models-2026-3.png" style="width: 600px;" /></a></p> <p>改款的CX 6000系列同樣有不少機型支援PoE，因此，不僅便於部署無線網路基地臺、網路視訊監控攝影機，以及環境狀態感測器，也能藉此建置門市店面內部的多種數位服務，像是電子看板、智慧結帳系統，以及邊緣運算分析系統。透過上述硬體設備與應用系統的協助，企業可獲得進階遙測、物聯網探測，以及全方位的系統監控能力，實現自主式的實體商店營運型態，對於店面環境能源耗用的洞察分析，也可以變得更精確。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba Networking CX 6000 8p-2026.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Networking%20CX%206000%208p-2026.jpg" style="width: 398px; float: right;" /></a></p> <p>單就8埠的CX 6000系列交換器而言，HPE標榜下列幾項特色。首先，它們採用無風扇的散熱設計，可放置在靠近使用者的空間，例如，能夠懸掛在牆壁、鄰近收銀櫃臺、教室或病患候診室；若採用支援PoE的機型，可藉此提供網路與電力的整合連接，便於設置監控攝影機、Wi-Fi網路基地臺、智慧照明設備，以及其他連網設備。相較之下，企業若要滿足上述需求，往往需要搭配專屬的網路與電力連線機櫃。</p> <p>除此之外，它們採用的系統軟體平臺是<a href="https://arubanetworking.hpe.com/techdocs/AOS-CX/Consolidated_RNs/HTML-6000/Content/10_17/overview-1017x.htm">AubaOS-CX （AOS-CX）</a>，提供企業級的網路應用功能，包含服務品質管理（QoS）、存取控制清單（ACL）、靜態路由、IPv6支援，以及彈性的管理機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AOS-CX%2010_16.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">HPE Aruba Networking CX 6000系列</span><br /> ●原廠：HPE<br /> ●建議售價：516.53美元起<br /> ●網路埠組態：8埠、12埠、24埠、48埠（10/100/1000BASE-T）<br /> ●機型數量：22款，其中14款支援PoE<br /> ●機箱尺寸：1U<br /> ●網路交換容量：最大104 Gbps<br /> ●MAC位址數量：均為8,192個<br /> ●封包緩衝記憶體：均為12.38 MB<br /> ●處理器：均為Arm Cortex A9雙核心1016 MHz<br /> ●記憶體：DDR3，16款為2GB，6款為4GB</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
1/24 15:02作者李宗翰https://www.ithome.com.tw/review/173558
Windows Kerberos驗證恐被DNS別名誘導，微軟補強HTTP服務防中繼攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Cymulate研究團隊<a href="https://cymulate.com/blog/kerberos-authentication-relay-via-cname-abuse/">揭露</a>，Windows在進行Kerberos服務驗證時，建構服務主體名稱（Service Principal Name，SPN）的流程會跟隨DNS回應的CNAME別名，並以別名主機名稱向票證授權服務TGS索取服務票證。研究人員指出，要是攻擊者能在網路路徑上攔截或竄改受害者的DNS查詢，就可能誘導用戶端替攻擊者指定的SPN索取票證，再把票證中繼到未強制簽章或未強制通道（Channel）綁定權杖CBT的服務，達到冒用使用者身分存取資源的效果。</p> <p>該風險的前提在於攻擊者能介入或改寫受害者的DNS流量，例如透過ARP欺騙、DHCPv4或DHCPv6投毒等手法取得中間人位置，以影響DNS回應內容。研究人員指出，他們在多個已更新的Windows版本上都觀察到一致行為，並以SMB檔案分享與HTTP類服務為例說明，只有在服務端未強制簽章或未強制通道綁定權杖CBT時，中繼攻擊（Relay Attack）才較可能成立。</p> <p>研究人員指出，該手法的風險在於降低了Kerberos中繼攻擊的既有限制。過去攻擊者往往難以左右用戶端會為哪一個服務主體名稱SPN索取服務票證，但一旦能利用DNS的CNAME別名影響SPN的主機名稱部分，用戶端就可能在不知情的情況下，將取得的服務票證送往攻擊者控制的端點。至於中繼是否能進一步得逞，仍取決於目標服務端是否已把簽章或通道綁定權杖CBT等防中繼機制設為強制要求。</p> <p>研究人員已於2025年10月通報並經微軟確認。微軟在2026年1月的安全性更新中，替Windows的HTTP.sys補上通道綁定權杖CBT支援，並把修補套用到仍受支援的Windows Server版本。該漏洞以CVE-2026-20929編號追蹤，微軟在2026年1月安全性更新中針對HTTP.sys加入通道綁定權杖CBT支援，藉此提升HTTP類服務端面對Kerberos中繼的抵抗力。</p> <p>不過，研究人員也指出，Windows用戶端跟隨DNS CNAME別名建構SPN的底層行為仍未改變。企業即使推進停用NTLM或以Kerberos取代，也不代表中繼攻擊風險會自動消失。企業仍須檢視各服務端的設定與更新狀態，同時盤點環境中仍允許未簽章或未綁定驗證的服務端點並加以修正。</p> </div></div></div>
1/24 09:27作者李建興https://www.ithome.com.tw/news/173567
Yelp以3億美元收購AI客服Hatch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>全球在地生活評論巨頭<a href="https://www.businesswire.com/news/home/20260121295483/en/Yelp-Accelerates-Strategy-with-Acquisition-of-AI-Lead-Management-Platform-Hatch" target="_blank">Yelp周三（1/21）宣布</a>，已與AI潛在客戶管理暨通訊（Lead Management and Communication）平臺Hatch簽署併購協議，將以3億美元的現金收購Hatch，以加速Yelp的AI轉型。</p> <p>成立於2004年的Yelp是全球最大的在地商家評論平臺，透過用戶真實的星級評價與照片，成為消費者找餐廳、水電修繕或各類生活服務的首選；隨後進化為全方位商務平臺，讓用戶直接於App中完成預約、點餐、或傳訊索取服務報價。根據Yelp在2025年第三季的<a href="https://www.yelp-ir.com/news/press-releases/news-release-details/2025/Yelp-Reports-Third-Quarter-2025-Results/" target="_blank">財報</a>，該季Yelp締造3.76億美元的營收，成長4%，獲利3,900萬美元；其中有95%為廣告營收，另外的5%屬於資料授權等其它營收。</p> <p>至於創立於2018年的Hatch則是家專注於AI驅動的通訊及潛在客戶管理業者，著重於協助客戶有效地回覆大量湧入的諮詢。Hatch所開發的SaaS平臺利用AI技術，可自動發起與客戶的對話，涵蓋簡訊、電子郵件與電話等多種管道，且除了罐頭回覆外，也能進行個人化的雙向溝通，引導潛在客戶完成預約或確認需求，從而大幅提升轉化率並降低營運成本。</p> <p>Yelp共同創辦人兼執行長Jeremy Stoppelman表示，收購Hatch是YelpAI轉型的重要一步，這將加速該公司替在地店家提供強大AI工具的戰略佈局。Hatch解決了服務業在潛在客戶管理與溝通上的棘手痛點，相信透過雙方的整合，將可協助服務供應商提升營運效率並實現成長。</p> <p>根據雙方的協議，Yelp將以約2.7億美元現金收購Hatch，並另提供3000萬美元的員工留任獎勵；Hatch的年化經常性收入約為2500萬美元，年增率達70%，現金流略為負值。雙方預計於今年2月完成交易，之後Hatch將成為Yelp的全資子公司。</p> </div></div></div>
1/24 09:01作者陳曉莉https://www.ithome.com.tw/news/173569
愛爾蘭新法草案允許警察使用間諜軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gov.ie/en/department-of-justice-home-affairs-and-migration/press-releases/minister-jim-ocallaghan-strengthens-lawful-interception-powers/" target="_blank">愛爾蘭一項新法案</a>允許警方使用間諜軟體來截取人民所有通訊內容，以偵辦及防範犯罪及國家安全危害事件。</p> <p>這項法案名為通訊攔截與合法存取法案（Communications Interception and Lawful Access Bill）是由愛爾蘭司法、內政暨移民部提出的新法草案，本法案旨在反映現代通訊技術環境的變化，將更新並取代20多年前制訂的《郵政包裹與電信訊息法Regulation Act》，以作為「合法攔截通訊」的法規框架。</p> <p>愛爾蘭司法大臣Jim O'Callaghan指出，因應重大犯罪及安全威脅，該國具有迫切需求以新法規框架支持合法攔截通訊。</p> <p>本法案可允許執法機關針對任何能傳送及接收訊息的數位裝置和服務進行合法截聽，包括物聯網、電子郵件和數位通訊服務，不論這些通訊是否有加密，也允許執法單位取得內容、相關metadata（包括收發人士、地點、來源及目的地IP），也可用於包裹服務。</p> <p>在技術面，新法案提供框架，允許執法機關使用隱蔽的間諜軟體（spyware）合法攔截通訊內容，也允許使用某些電子掃描設備在特定區域定位與記錄移動設備的識別數據。</p> <p>愛爾蘭官員並聲稱，政府會設立司法授權機制，攔截和監控須得到法院許可，而不是無限制的行政授權。合法截聽也伴隨必要的隱私、加密和數位安全防護。此外，官員表示，新法有助於該國和其他歐盟國家在犯罪防治及安全的國際合作。</p> <p>不過本法案引來隱私權團體反對。<a href="https://www.laois-nationalist.ie/minister-seeking-to-give-garda%C3%AD-profoundly-intrusive-powers-iccl-warns_arid-84708.html" target="_blank">愛爾蘭民權協會</a>（Irish Council for Civil Liberties）認為將賦予愛爾蘭警方「深度侵入性」的權力。<a href="https://www.globalencryption.org/2025/10/open-letter-irish-communications-interception-and-lawful-access-bill/" target="_blank">全球加密聯盟</a>（Global Encryption Coalition）則警告法案可能削弱整體通訊加密強度與安全性，是對廣泛使用者造成風險。公開信中還指出一些歐盟成員國已經對愛爾蘭參與的聊天控管（Chat Control）措施表態反對，稱其對隱私構成重大威脅。</p> <p>不過<a href="https://techcrunch.com/2026/01/22/ireland-proposes-new-law-allowing-police-to-use-spyware/" target="_blank">Techcrunch</a>報導，其他國家雖然沒有明文支持使用間諜軟體，但政府使用相當普遍。<a href="https://www.ithome.com.tw/news/169558" target="_blank">義大利</a>、<a href="https://www.ithome.com.tw/news/148629" target="_blank">波蘭</a>政府、<a href="https://www.ccc.de/en/updates/2011/staatstrojaner" target="_blank">德國</a>被發現使用間諜軟體來監控異議人士和記者。</p> </div></div></div>
1/23 15:21作者林妍溱https://www.ithome.com.tw/news/173559
Waymo無人計程車服務擴張至邁阿密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://waymo.com/blog/2026/01/miami-your-waymo-ride-is-ready" target="_blank">Waymo周四（1/22）宣布</a>，即日起向一般民眾開放在邁阿密搭乘其全自動駕駛計程車服務，成為該市首個對公眾提供無人計程車服務的業者。</p> <p>迄今Waymo在全美已於舊金山、洛杉磯、鳳凰城、奧斯汀及亞特蘭大五大城市穩定營運。總車隊規模約2,500輛，每週載客超過45萬次。另也於英國倫敦與日本東京等海外城市展開測試。</p> <p>外界認為進軍邁阿密可視為Waymo的重要里程碑。因為邁阿邁不僅有強烈的太陽與暴雨等惡劣天氣，也有複雜的交通，可替Waymo的技術進行壓力測試，也是Waymo進入全國化複製的關鍵分水嶺。</p> <p>此外，Waymo也強調，根據超過1.27億英里的全自動行駛數據，Waymo在營運區內的嚴重受傷事故率較人類駕駛降低了10倍。</p> <p>目前Waymo於邁阿密的服務採用分階段邀請制，首波僅支援60平方英里的服務區域，從Design District、Wynwood到Brickell與Coral Gables，很快就會擴展至邁阿密國際機場，目前當地已有接近1萬名居民完成註冊。</p> </div></div></div>
1/23 15:33作者陳曉莉https://www.ithome.com.tw/news/173560
【資安日報】1月23日，Fortinet單一簽入功能重大漏洞傳出攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173541"><strong style="font-size: 22px;">Fortinet單一登入整合功能的重大漏洞傳出攻擊活動，防火牆遭變更組態</strong></a></p> <p>Fortinet去年12月公布並修補FortiCloud單一登入（SSO）漏洞，近日被安全研究人員發現網路上又再度出現濫用活動，篡改受害FortiGate裝置配置。</p> <p>從今年1月15日起，Arctic Wolf研究人員發現，新一波針對FortiGate裝置的惡意活動為自動執行，在非授權情況下變更防火牆配置，主要目的在建立新的通用帳號以便持久存取，變更防火牆配置可讓攻擊者以VPN存取這些帳號及外洩防火牆配置。</p> <p>遭到利用的是Fortinet上個月修補的重大驗證繞過漏洞：CVE-2025-59718與CVE-2025-59719，在開啟FortiCloud單一登入功能的Fortinet設備上，攻擊者傳送變造的SAML訊息，就有機會繞過單一登入機制存取裝置，CVSS風險值皆高達9.8。</p> <p><a href="https://www.ithome.com.tw/news/173548"><strong style="font-size: 22px;">IT服務臺Zendesk遭到濫用，駭客以此發動大規模垃圾郵件攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/zendesk-emails.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/zendesk-emails.png" style="width: 300px; float: right;" /></a></p> <p>駭客為了取得入侵企業網路環境的管道，透過社交工程攻擊的情況相當常見，其中一種手法在去年特別引人注目，那就是冒充公司員工對IT服務臺下手，因此，只要與此種類型平臺有關的攻擊活動，都相當值得留意。</p> <p>根據資安新聞網站Bleeping Computer的報導，近期有許多人收到大量來自Zendesk寄出的不明郵件，儘管這些信件沒有惡意連結或是其他明顯的網釣特徵，然而這些郵件主題怪異，有些假裝是執法請求或取消訂單，也有提供免費Discord Nitro服務，甚至有求救信，以採用加粗的Unicode字體或夾雜多種語言的字體，而且數量相當龐大，還是讓不少使用者感到混亂，並擔心可能成為駭客鎖定的目標。</p> <p>這些信件來自多家企業組織的Zendesk系統，涵蓋軟體服務業者、政府機關、健康照護，以及交通產業，包括：Discord、Tinder、Riot Games、Dropbox、CD Projekt（2k.com）、Maya Mobile、NordVPN、美國田納西州勞工部、田納西州稅務局、Lightspeed、CTL、Kahoot、Headspace，以及Lime。</p> <p><a href="https://www.ithome.com.tw/news/173526"><strong style="font-size: 22px;">臺灣面臨的國家級駭客活動事件數量居全球第6，IT產業是中國駭客主要目標</strong></a></p> <p>關於國家級駭客的威脅態勢，每年微軟數位防禦報告都會針對此議題提出觀察，該報告點名的政府資助（State-Sponsored）駭客組織，主要涉及俄羅斯、中國、伊朗與北韓等。</p> <p>值得關注的是，在先前的年度報告中，微軟曾指出臺灣名列國家級駭客活動影響較為顯著的地區之一，排名依序是美國、以色列、烏克蘭、阿拉伯聯合大公國、英國、臺灣。而在最新報告中，我們看到微軟進一步公布更具體的統計數字，呈現各國境內被觀察到的國家級駭客活動事件情形。以事件數來看，在美國、以色列被觀察到的國家級駭客活動事件數最多，分別達623起、603起，其次為烏克蘭的277起、阿拉伯聯合大公國的166起、英國的144起，以及臺灣的143起。</p> <p>若從地區來看，以東南亞與太平洋地區而言，臺灣面臨的威脅嚴峻程度則是居於第一名，其次為南韓的126起、印度的100起。值得我們注意的是，回顧2023年的報告內容，當時南韓被攻擊的事件數量是東南亞與太平洋地區最高的，臺灣居次。如今排名出現變化，顯示臺灣與南韓同樣位於國家級駭客行動的主要關注範圍內，但臺灣所面臨的威脅態勢也更值得持續關注。</p> <p><a href="https://www.ithome.com.tw/news/173546"><strong style="font-size: 22px;">AI生成漏洞通報氾濫，Curl維護者終止抓蟲獎勵方案</strong></a></p> <p>由於接到太多外界以AI生成的低品質漏洞報告，Curl專案維護者宣布終止抓漏獎勵方案。</p> <p>Curl創辦人暨維護者Daniel Stenberg宣布，該專案漏洞通報獎勵方案將在2026年1月底結束。Curl專案不再針對外界通報的臭蟲或漏洞提供任何獎勵。他們也不再援助經由其他來源解決Curl問題的研究人員。Stenberg解釋，抓漏獎勵讓一些人惡意尋找並杜撰漏洞，造成專案的不必要負擔和濫用。</p> <p>對於杜撰漏洞的情況，該專案近日在16小時內收到7則漏洞通報，經過相當長時間的檢視，卻發現沒有一則是真正的漏洞。Stenberg表示，他們從2026年起已收到20則這類通報。</p> <p><a href="https://www.ithome.com.tw/news/173472"><strong style="font-size: 22px;">微軟1月例行更新出錯，引發Windows裝置無法開機、遠端連線</strong></a></p> <p>上周發布的一月份例行安全更新（Patch Tuesday），造成眾多消費者及企業版本Windows裝置無法開機、遠端登入等災情，微軟周末發出例外（Out-of-Band，OOB）修補更新。</p> <p>微軟在周末證實此事，緊急針對Windows 11釋出更新，解決KB5073455引發的問題。微軟說明，安裝KB5073455引發的問題包括了，具備「安全啟動」（secure launch）的部分裝置無法關機或休眠，而是重新啟動，受影響的版本為Windows 11 23H2。</p> <p>此外，另些用戶在遠端桌面連線時無法登入。這問題發生在Windows遠端桌面系統App的驗證步驟，影響Azure Virtual Desktop和Windows 365。這問題影響Windows 11 25H2、Windows 10 22H2，以及Windows Server 2025、2022、2019。</p> <p><a href="https://www.ithome.com.tw/news/173453"><strong style="font-size: 22px;">Let's Encrypt六天短效TLS憑證與IP位址憑證正式上線</strong></a></p> <p>憑證機構Let's Encrypt宣布，短效憑證現已正式提供，一張憑證的有效期為160小時，略高於六天，並採選用方式啟用。Let's Encrypt也推出IP位址憑證，並規定IP位址憑證一律採短效憑證形式簽發。此新選項可縮短私鑰外洩或遭竊後的暴露時間，並延續Let's Encrypt未來數年把預設有效期逐步從90天降至45天的既定方向。</p> <p>Let's Encrypt表示，推動短效憑證的主要理由，是縮短憑證遭濫用時的風險窗口。過往公開信任TLS憑證多採最長90天有效期，當私鑰外洩或被竊取時，傳統作法多仰賴憑證撤銷來降低衝擊，但撤銷在實務上常被認為不夠可靠，導致部分憑證依賴方仍可能在憑證到期前接受已受損的憑證。改採約六天的有效期後，即使撤銷未能即時生效，暴露時間也會因憑證較快到期而縮短。</p> <p>不過，Let's Encrypt也強調短效憑證暫時不會成為預設值，原因在於各組織的自動化程度差異很大。對已把憑證申請與續期納入自動流程的組織而言，改用短效憑證相對可行，但對仍仰賴半手動更新的環境，六天有效期意味著更密集的維運節奏，也更需要監控與警示，降低憑證過期導致服務中斷的風險。</p> <p><a href="https://www.ithome.com.tw/news/173493"><strong style="font-size: 22px;">以國家安全為由，中國要求企業停用美國、以色列的資安軟體</strong></a></p> <p>在美中緊張關係再次升溫之際，路透社、彭博等媒體報導，中國政府基於國家安全風險，要求國內企業不要使用美國及以色列公司的資安軟體，影響Check Point、Palo Alto Networks等10多家廠商。</p> <p>遭到中國主管機關禁用的美國公司包括：VMware、Palo Alto Networks、Fortinet、Mandiant、CrowdStrike、SentinelOne、McAfee、Recorded Future、Claroty、Rapid7和Wiz。名列禁用名單的以色列公司則有：Check Point、CyberArk、Orca Security、Cato Networks，以及Imperva（現為法商Thales所有）等。</p> <p>媒體無法取得有多少中國企業接獲主管機關的通知。但多家被點名的資安業者表示影響不大。例如，CrowdStrike、Recorded Future、SentinelOne，以及Claroty表示，他們未在中國設立營運據點、或是沒有顯著來自中國的營收。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=114551&SPOKE_DATE=20260122&COMPANY_ID=7711"><strong style="font-size: 22px;">永擎電子外包廠商發生帳密資料外流事故</strong></a></p> <p>主攻AI伺服器主機板與系統開發的永擎電子（7711）於1月22日上午發布重大訊息，說明其外包廠商帳號密碼外流，外洩的帳密僅涉及該公司網站的資料，再者，該公司提及，被公開的資訊，為需要搭配特定硬體才能運作的產測程式。針對這起事故帶來的影響，該公司表示營運不受影響，且受影響範圍未包含公司機密文件、重大財務資訊，以及客戶或員工的個人資料，沒有相關資料外洩情事發生。</p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/bind-9-flaw-crashes-servers/">DNS伺服器BIND 9存在高風險漏洞，攻擊者可利用惡意DNS記錄造成當機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/cuda-flaw-enables-code-execution/">NVIDIA CUDA Toolkit漏洞可被用於命令注入、任意程式碼執行</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2026-22822-critical-flaw-in-external-secrets-operator-breaks-namespace-isolation/">K8s工具External Secrets Operator存在重大漏洞，攻擊者可充當後門竊取敏感資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2026-0622-hardcoded-secret-exposes-open5gs-5g-core-networks/">5G核心網路元件Open5GS存在憑證寫死的重大漏洞</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173528"><strong>【1月22日】駭客冒充員工對IT服務臺發動社交工程攻擊，轉走員工薪資</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173507"><strong>【1月21日】中國蘋果代工組裝廠立訊傳出遭勒索軟體RansomHub攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173483"><strong>【1月20日】惡意軟體GootLoader透過ZIP串接手法迴避防毒軟體與EDR偵測</strong></a></p> </div></div></div>
1/23 14:32作者周峻佑https://www.ithome.com.tw/news/173553
Dell翻新8-GPU運算系統，採用Blackwell架構HGX B300平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_xe9780_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年3月GTC大會，<a href="https://nvidianews.nvidia.com/news/nvidia-blackwell-ultra-ai-factory-platform-paves-way-for-age-of-ai-reasoning">Nvidia發表新一代的Blackwell Ultra平臺</a>，當中包含整櫃型融合式GPU伺服器系統GB300 NVL72，以及8-GPU伺服器系統HGX B300，預計下半年將會透過多家伺服器廠商供應，Dell正是其中之一，而在5月舉行的<a href="https://www.dell.com/en-us/dt/corporate/newsroom/announcements/detailpage.press-releases~usa~2025~05~dell-technologies-and-nvidia-unveil-next-generation-enterprise-ai-solutions.htm#/filter-on/Country:en-us">Dell Technologies World年度大會</a>期間，該公司預告將推出搭配Nvidia HGX B300的4款伺服器，氣冷機型是XE9780與XE9785，導入直接液冷的機型是XE9780L與XE9785L，透過這些產品建構AI工廠解決方案，支撐大型AI應用系統，獲得因應嚴苛運算需求，以及多個模型推論工作負載的運算能力。</p> <p>到了9月下半的Dell Technologies Forum 2025，Dell正式在臺介紹上述4款機型，可惜的是，當時他們並未在活動陳列這些硬體設備，而是在現場展示的GPU伺服器旁邊XE7745，放了指示牌。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-09-Dell Forum Taipei-AI Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-09-Dell%20Forum%20Taipei-AI%20Server.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell Forum-2025-09-AI Server1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Forum-2025-09-AI%20Server1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell Forum-2025-09-AI Server2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Forum-2025-09-AI%20Server2.jpg" style="width: 298px;" /></a></p> <p>之後，他們也陸續在網站公布<a href="https://www.delltechnologies.com/asset/en-us/products/servers/technical-support/poweredge-xe9780-technical-guide.pdf">XE9780</a>、<a href="https://www.delltechnologies.com/asset/en-us/products/servers/technical-support/poweredge-xe9785l-technical-guide.pdf">XE9785L</a>、<a href="https://www.delltechnologies.com/asset/en-us/products/servers/technical-support/poweredge-xe9785-technical-guide.pdf">XE9785</a>的技術指南。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell AI Server-2026-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20AI%20Server-2026-01.jpg" style="width: 600px;" /></a></p> <p> </p> <p>就體型而言，XE9780與XE9785均採用10U尺寸機箱，前者搭配兩顆英特爾Xeon 6系列處理器（最多86核心），以及32支DDR5-6400記憶體（最多4 TB），後者搭配兩顆AMD EPYC 9005系列處理器（最多192核心）與24支DDR5-6400記憶體（最多6 TB）；XE9785L採用3OU尺寸機箱，處理器與記憶體規格比照XE9785L。</p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell Forum-2025-09-AI Server3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Forum-2025-09-AI%20Server3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell Forum-2025-09-AI Server4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Forum-2025-09-AI%20Server4.jpg" style="width: 600px;" /></a></p> <p>前一代機型<a href="https://www.ithome.com.tw/review/156425">XE9680</a>採用6U尺寸機箱，搭配兩顆英特爾第五代Xeon Scalable系列處理器（最多64核心），以及32支DDR5-5600記憶體（最多4 TB）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/XE%209x80%20Comparsion-2.jpg" style="width: 600px;" /></p> <p>關於GPU平臺，最新上市的XE9780可搭配Nvidia HGX B300或Nvidia HGX B200，XE9785與XE9785L均可搭配Nvidia HGX B300或AMD Instinct MI355X平臺。值得注意的是，Nvidia HGX B300整合<a href="https://www.ithome.com.tw/review/173167">ConnectX-8 SuperNIC</a>，因此，若XE9780與XE9785搭配這個8-GPU平臺，也預設有8個ConnectX-8網路介面（OSFP埠）。回顧前一代機型<a href="https://www.ithome.com.tw/review/156425">XE9680</a>，最初主打搭配Nvidia HGX H100 8-GPU，後續可選擇Nvidia HGX H200、Nvidia HGX H20、Nvidia HGX A100，或是8個加速器組態的AMD Instinct MI300X、<a href="https://www.ithome.com.tw/review/162428">Intel Gaudi3</a>，</p> <p><a href="https://s4.itho.me/sites/default/files/images/XE 9x80 Comparsion-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XE%209x80%20Comparsion-1.jpg" style="width: 600px;" /></a></p> <p>到了11月，MLCommons發布<a href="https://infohub.delltechnologies.com/en-us/p/dell-technologies-showcases-leadership-in-mlperf-tm-training-v5-1-driving-ai-performance-forward/">MLPerf Training 5.1</a>的效能測試結果， XE9780也是當中列出的一款機型，Dell標榜這是首批公開通過驗證、採用Nvidia Blackwell架構GPU的量產型伺服器，可提供2.1 TB容量的GPU記憶體（每個Nvidia B300內建270 GB記憶體），並採用第五代NVLink互連技術，提供14.4 TB/s的匯聚頻寬，能確保多個GPU之間的超快速存取，FP8運算效能可達到72 PFLOPS、FP4運算效能為144 PFLOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Training-HGX B300.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Training-HGX%20B300.jpg" style="width: 600px;" /></a></p> <p>最近我們看到Nvidia合格系統目錄當中，終於將HGX B300列入，Dell的XE9780也是首波被認可的伺服器系統產品之一。不過，我們注意到Nvidia在這裡的GPU組態，標示為HGX B300 NVL8 144GB Air-Cooled，意思是8個記憶體容量為144 GB的B300組成，記憶體總容量為1,152GB，但這和HGX B300目前公告的規格有出入。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Quailifed System Catalog-B300.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Quailifed%20System%20Catalog-B300.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#008080;">Dell PowerEdge XE9780</span><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：10U<br /> ●處理器：2顆，Xeon 6系列（最高搭配86核心機型，熱設計功耗500瓦）<br /> ●記憶體：32個DDR5-6400插槽，最大可擴充至4 TB<br /> ●儲存配置：16臺E3.S外形NVMe固態硬碟（245.76 TB）、10臺2.5吋U.2外形NVMe固態硬碟（153.6 TB）<br /> ●搭配GPU：Nvidia HGX B300，8個SXM7形式GPU（270 GB記憶體），或是Nvidia HGX B200，8個SXM6形式GPU（180 GB記憶體）<br /> ●I/O擴充介面：搭配Nvidia B300，可擴充4張PCIe 5.0 x16全高半長介面卡（熱設計功耗均為150瓦）；搭配Nvidia B200，可擴充12張PCIe 5.0 x16全高半長介面卡（熱設計功耗8張75瓦、4張150瓦）<br /> ●電源供應器：12臺3200瓦<br /> ●系統管理介面：iDRAC10</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
1/23 14:48作者李宗翰https://www.ithome.com.tw/review/173530
特斯拉無人計程車正式上路了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>特斯拉執行長馬斯克（Elon Musk）本周四（1/22）<a href="https://x.com/elonmusk/status/2014397578352226423" target="_blank">透過X平臺宣布</a>，特斯拉無人計程車（Robotaxi）服務在德州奧斯汀（Austin）邁出關鍵一步，正式開始提供無車內安全監管員的乘客載運服務。</p> <p>特斯拉Robotaxi於2025年6月正式在德州奧斯汀<a href="https://www.ithome.com.tw/news/169692" target="_blank">展開初步測試</a>，最初採邀請制並由Model Y車型組成。乘客需透過專屬的Robotaxi App註冊叫車，上車後可藉由車內觸控螢幕自訂空調、座椅及音樂，雖然沒有駕駛員，但前方座位仍設置一名人類安全監督員。隨後特斯拉將該服務擴展至加州，迄今總計已有超過200輛Robotaxi上路。</p> <p>特斯拉AI主管Ashok Elluswamy<a href="https://x.com/aelluswamy/status/2014398853991301538" target="_blank">在同一天表示</a>，目前正將無人監管的Robotaxi車輛逐步混入現有的測試車隊中，之後將持續增加無人監管車輛的比例與總數。</p> <p>不過，儘管車隊規模持續擴大，但目前僅有奧斯汀獲准移除安全監管員，加州車隊依法仍須配備人類駕駛員。</p> <p>特斯拉面臨Alphabet旗下Waymo的強力競爭。與特斯拉剛起步的混合部署不同，Waymo的全數車隊皆為完全無人駕駛，且早已在舊金山、鳳凰城與洛杉磯等地常態性經營超過1,500輛無人車，在本周進軍邁阿密，甚至已<a href="https://www.ithome.com.tw/news/172221" target="_blank">獲准駛上高速公路</a>。</p> <p>市場分析指出，相較於Waymo依賴昂貴的光學雷達（LiDAR）與高精地圖，特斯拉堅持純視覺路線試圖壓低成本。這場競爭不僅是技術路線之爭，也是商用化完整度與法規適應力的對決。</p> </div></div></div>
1/23 15:03作者陳曉莉https://www.ithome.com.tw/news/173557
英特爾營收下滑4%，盤後股價大跌12%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英特爾（Intel）於周四（1/22）<a href="https://www.intc.com/news-events/press-releases/detail/1759/intel-reports-fourth-quarter-and-full-year-2025-financial" target="_blank">公布2025年第四季財報</a>，該季營收為137億美元，較前一年同期下滑4%。由於受到供應鏈短缺與保守展望影響，英特爾盤後股價下滑12%，跌至47.8美元。</p> <p>在營收表現上，該季用戶端運算事業群（CCG）創下82億美元營收，下滑7%；資料中心與AI事業群（DCAI）營收為47億美元，比前一年同期成長9%；英特爾晶圓代工（Intel Foundry）營收45億美元，成長4%，但部門間交易抵銷為43億美元。</p> <p>英特爾在2025年第四季虧損了6億美元，高於去年同期1億美元的虧損。</p> <p>至於英特爾2025全年營收為529億美元，與2024年基本持平。受惠於成本重組計畫，全年淨虧損由前一年度的188億美元大幅收斂至2.67億美元。其中，英特爾晶圓代工（Intel Foundry）全年營運虧損高達103億美元，彰顯出英特爾正利用設計晶片的獲利來補貼代工業務的巨大支出。</p> <p>英特爾執行長陳立武表示，英特爾對CPU在AI時代的核心地位充滿信心，18A製程在美已進入高產量製造，是轉型的重要里程碑，未來將透過強化執行力與工程卓越，全面捕捉AI市場的龐大機遇。</p> <p>Intel 18A為英特爾1.8奈米製程的代號，被視為是該公司重返全球半導體領導地位的關鍵，它導入了可精確控制電流並減少漏電的RibbonFET電晶體技術，以及背面供電技術PowerVia，將同時用來生產自家及代工晶片；首款基於Intel 18A製程的<a href="https://www.ithome.com.tw/news/173187" target="_blank">英特爾CPU為Panther Lake</a>，目標是讓Windows筆電在AI運算效能與電池續航上，能全面擊敗高通與蘋果。</p> <p>不過，英特爾財務長David Zinsner坦承，英特爾正處於新舊製程交替的陣痛期，可交付給客戶的成品供應量將在2026年第一季觸底，隨後在第二季及以後才會逐步改善。</p> <p>英特爾為美國本土唯一具備尖端製程開發與量產能力的半導體業者，卻因先進製程研發多次延宕，導致技術領先地位首度遭到對手反超。隨著<a href="https://www.ithome.com.tw/news/170785" target="_blank">美國政府取得</a>9.9%的英特爾股份，<a href="https://www.ithome.com.tw/news/171281" target="_blank">Nvidia對英特爾</a>的50億美元投資（估計占5.1%股份）及合作，再加上大規模瘦身與資產重組，都讓一度衰退的英特爾再現生機。</p> </div></div></div>
1/23 13:57作者陳曉莉https://www.ithome.com.tw/news/173555
GNU Inetutils套件中的telnetd服務可讓攻擊者取得Root權限的重大漏洞近日遭人企圖濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安廠商<a href="https://viz.greynoise.io/tags/inetutils-telnetd--f-auth-bypass-attempt?days=1" target="_blank">Greynoise發現</a>，GNU Inetutils套件中的telnetd服務一項11年後才被發現的漏洞，近日已有企圖濫用存取系統。</p> <p>研究人員觀察到從1月22日起24小時內，開始有數個IP位址企圖登入GNU Inetutils telnetd程式，可能為惡意活動。</p> <p>telnetd程式在啟動使用者登入時，會讀取並傳遞客戶端提供的環境變數（USER）。編號CVE-2026-24061的漏洞，出在GNU Inetutils的telnetd（telnet daemon）對USER變數驗證不當，使攻擊者透過在輸入中加入-f root值，得以繞過驗證流程，獲得root權限。<a href="https://ccb.belgium.be/advisories/warning-critical-authentication-bypass-gnu-inetutils-telnetd-patch-immediately" target="_blank">比利時網路安全中心警告</a>，濫用本漏洞可能讓攻擊者讀取敏感資料、修改系統配置、執行任意指令、毁損系統可用性。</p> <p>根據<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-24061" target="_blank">NIST漏洞資料庫</a>，本漏洞風險值達9.8。原因是本漏洞可讓非經驗證的攻擊者從網路遠端發動，易於操作、且不需使用者互動，而且濫用後果嚴重性高。</p> <p><a href="https://www.theregister.com/2026/01/22/root_telnet_bug/" target="_blank">The Register</a>指出，這漏洞是導因於2015年該軟體引入的變更，直到現在才被研究人員揭露。</p> <p>最新漏洞影響GNU InetUtils 1.9.3到2.7，GNU已提供修補程式碼修正telnetd中的參數注入問題，已合併到上游原始碼中。但是需要下游OS業者將修補程式整合進其軟體並釋出更新版。目前<a href="https://linuxsecurity.com/advisories/debian/inetutils-dsa-6106-1-2026-24061" target="_blank">Debian已公告</a>釋出新版本。</p> <p><a href="https://www.cyber.gc.ca/en/alerts-advisories/gnu-security-advisory-av26-047" target="_blank">加拿大</a>、比利時等主管機關皆發出安全公告。比利時政府呼籲用戶更新軟體，或是關閉Telnet，啟用防火牆存取政策、使用VPN或ZNTA存取裝置。</p> </div></div></div>
1/23 14:23作者林妍溱https://www.ithome.com.tw/news/173556
TikTok完成美國重組，推薦演算法與核心控制權落地美國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://newsroom.tiktok.com/announcement-from-the-new-tiktok-usds-joint-venture-llc?lang=en" target="_blank">TikTok今日（1/23）宣布</a>，已依據美國總統川普（Donald Trump）的行政命令，正式成立TikTok USDS Joint Venture合資公司；如同<a href="https://www.ithome.com.tw/news/172913" target="_blank">先前的規畫</a>，由甲骨文等美國業者取得大多數股權，母公司字節跳動（ByteDance）僅保留19.9%的少數股權。</p> <p>川普在今年9月<a href="https://www.whitehouse.gov/fact-sheets/2025/09/fact-sheet-president-donald-j-trump-saves-tiktok-while-protecting-national-security/" target="_blank">祭出的行政命令</a>要求字節跳動持股降至20%以下，且必須在甲骨文雲端環境中，由美國團隊利用本土數據重新訓練演算法，確保內容推薦不受外部操縱，以在維持2億用戶使用權的同時，徹底解決數據與資訊安全的疑慮。</p> <p>新成立的TikTok USDS採用複雜的股權結構，美國資本及國際資本總計占了50%，字節跳動既有的投資者占了30.1%，字節跳動則占了19.9%。其中，甲骨文、銀湖資本（Silver Lake）與MGX各取得了15%的股權，屬於具備實際影響力的管理投資者（Managing Investor）。</p> <p>TikTok USDS將服務超過2億名美國用戶以及750萬家在地企業。新公司由TikTok原營運主管Adam Presser出任執行長，並由7人組成的董事會領導，其中大多數為美國成員，包括甲骨文執行副總裁Kenneth Glueck與銀湖資本共同執行長Egon Durban。新實體的職責不僅限於資料保護，還涵蓋演算法安全、內容審核以及軟體保證（Software Assurance），將平臺的所有關鍵控制環節正式落地於美國境內。</p> <p>在實際運作上，新公司將把TikTok核心推薦演算法部署於甲骨文的雲端環境中，並針對美國用戶的互動數據進行重新訓練，以切斷其受字節跳動或其他外部因素影響的可能性。</p> <p>此外，雖然TikTok Global仍負責全球市場的產品整合與商業營運，例如TikTok Shop與廣告業務，但美國市場的演算法治理與軟體更新程式碼，必須通過美方安全團隊以及甲骨文的審查與驗證。</p> <p><a href="https://www.bloomberg.com/news/articles/2026-01-23/tiktok-seals-deal-to-create-us-venture-with-oracle-silver-lake" target="_blank">彭博社</a>（Bloomberg）分析指出，這筆交易對甲骨文而言是巨大的商業勝利，不僅替該公司帶來長期雲端業務營收，更確立其在美國社交媒體資安領域的樞紐地位。</p> <p>美國媒體則普遍認為，此一結果反映了川普在國安疑慮與政治現實間的權衡。透過將技術監管移交給甲骨文等盟友，川普成功在保留2億用戶支持度的同時，也達成了削弱母公司字節跳動影響力的目標。</p> </div></div></div>
1/23 11:24作者陳曉莉https://www.ithome.com.tw/news/173549
IT服務臺Zendesk遭到濫用，駭客以此發動大規模垃圾郵件攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客為了取得入侵企業網路環境的管道，透過社交工程攻擊的情況相當常見，其中一種手法在去年特別引人注目，那就是冒充公司員工對IT服務臺下手，因此，只要與此種類型平臺有關的攻擊活動，都相當值得留意。</p> <p>根據資安新聞網站Bleeping Computer的報導，<strong><a href="https://www.bleepingcomputer.com/news/security/zendesk-ticket-systems-hijacked-in-massive-global-spam-wave/">近期有許多人收到大量來自Zendesk寄出的不明郵件</a></strong>，儘管這些信件沒有惡意連結或是其他明顯的網釣特徵，然而這些郵件主題怪異，有些假裝是執法請求或取消訂單，也有提供免費Discord Nitro服務，甚至有求救信，以採用加粗的Unicode字體或夾雜多種語言的字體，而且數量相當龐大，還是讓不少使用者感到混亂，並擔心可能成為駭客鎖定的目標。</p> <p>這些信件來自多家企業組織的Zendesk系統，涵蓋軟體服務業者、政府機關、健康照護，以及交通產業，包括：Discord、Tinder、Riot Games、Dropbox、CD Projekt（2k.com）、Maya Mobile、NordVPN、美國田納西州勞工部、田納西州稅務局、Lightspeed、CTL、Kahoot、Headspace，以及Lime。</p> <p>攻擊者濫用Zendesk允許未經驗證用戶提交支援工單的功能，工單會自動產生，並發送到攻擊者控制的電子郵件地址。由於Zendesk會透過自動回覆的方式，確認收到工單，攻擊者能透過大量電子郵件信箱建立假客服工單，將這些系統變成大規模垃圾郵件平臺。由於這些信件來自合法公司的Zendesk，因此它們繞過了垃圾郵件過濾器，比一般垃圾郵件更具侵略性。</p> <p>對此，已有多家公司確認受到這波垃圾郵件影響，其中包含Dropbox與CD Projekt，他們透過回覆工單的內容，呼籲使用者不要恐慌，直接忽略這些郵件即可。</p> <p>Zendesk也對此表示，為防範這種垃圾郵件活動，他們正在引入新的安全功能。值得留意的是，<strong><a href="https://support.zendesk.com/hc/en-us/articles/9833274501786-Important-notice-about-recent-spam-emails-via-Zendesk">該公司曾在一個月前對類似活動提出警告</a></strong>，指出攻擊者是利用中繼垃圾信（relay spam）手法，透過Zendesk系統寄送大量垃圾郵件。該公司也呼籲企業組織應限縮能建立工單的人員，並移除電子郵件或工單主旨等欄位（placeholders），來防範IT服務臺遭到濫用。</p> </div></div></div>
1/23 12:17作者周峻佑https://www.ithome.com.tw/news/173548
蘋果調動硬體負責人John Ternus職務，傳是替接手執行長鋪路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bloomberg.com/news/articles/2026-01-22/apple-hardware-chief-john-ternus-now-overseeing-design-tim-cook-ceo-succession?embedded-checkout=true" target="_blank">彭博社（Bloomberg）本周報導</a>，蘋果執行長庫克（Tim Cook）已於2025年年底，低調擴張硬體工程高級副總裁John Ternus的職權，委任其全面統籌公司的設計團隊。此舉被外界視為是鞏固了Ternus作為庫克繼任者的領跑地位。</p> <p>Ternus在1997年畢業於賓夕法尼亞大學機械工程系，在2001年即加入蘋果產品設計團隊，曾參與第一代iPad的原始開發，並主導AirPods與歷代iPhone的硬體工程；他在2021年升任硬體工程高級副總裁，正式進入蘋果核心決策圈；在蘋果內部並以「情緒穩定」及「低調謙遜」著稱。</p> <p><a href="https://www.macworld.com/article/3040394/apples-john-ternus-just-became-the-new-jony-ive.html" target="_blank">Macworld指出</a>，這代表Ternus同時管轄蘋果的硬體工程與軟體介面設計團隊，此一跨界的職權廣度，在蘋果歷史上僅有前首席設計長Jony Ive等極少數核心人物曾擁有。顯示出庫克正刻意將Ternus曝露於更多元的營運範疇，以替未來接任執行長進行全方位培訓。</p> <p>其實在Ive離職之後，蘋果設計團隊是由營運長Jeff Williams負責監督與管理，但Williams在去年<a href="https://www.ithome.com.tw/news/169957" target="_blank">退休</a>了，庫克並未把設計團隊交給新的營運長Sabih Khan，而是轉交給了Ternus。</p> <p><a href="https://gizmodo.com/yeah-this-guys-looking-like-the-frontrunner-for-new-ceo-of-apple-2000713135" target="_blank">Gizmodo則分析</a>，Ternus被視為與庫克高度一致的務實主義者，曾於iPhone產品策略中展現精準的成本與市場洞察，例如提議僅在高端機型加入高階感測技術，而非全線配備。</p> <p>有部分員工與評論家認為，若Ternus最終接掌帥印，意謂著蘋果或將延續務實穩健的路線，相較於賈伯斯時代的突破性開創，未來可能更專注於現有產品的細緻優化與商業穩定。</p> </div></div></div>
1/23 10:58作者陳曉莉https://www.ithome.com.tw/news/173545
AI生成漏洞通報氾濫 Curl維護者終止抓蟲獎勵方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由於接到太多外界以AI生成的低品質漏洞報告，Curl專案維護者本周<a href="https://github.com/curl/curl/blob/cc8df2b13d057a5d1e68380089eec220d7d0cef2/docs/BUG-BOUNTY.md" target="_blank">宣布終止抓漏獎勵方案</a>。</p> <p>Curl是廣受歡迎的開源、跨平臺的命令列網路資料傳輸專案，它支援HTTP/HTTPS、FTP/FTPS、SCP/SFTP、SMTP/IMAP/POP3、DAP、SMB、MQTT等協定可用於呼叫REST API、下載/上傳檔案、測試Web服務，或進行資安研究和除錯。</p> <p>Curl創辦人暨維護者Daniel Stenberg本周宣布Curl漏洞通報獎勵方案將在2026年1月底結束。Curl專案不再針對外界通報的臭蟲或漏洞提供任何獎勵。他們也不再援助經由其他來源解決Curl問題的研究人員。Stenberg解釋，抓漏獎勵讓一些人惡意尋找並杜撰漏洞，造成專案的不必要負擔和濫用。</p> <p>Curl專案從2019年起透過主要平臺如HackerOne及Internet Bug Bounty等實施漏洞通報獎勵方案，以回饋通報curl及libcurl漏洞的研究人員。</p> <p>但<a href="https://lists.haxx.se/pipermail/daniel/2026-January/000143.html" target="_blank">Stenberg上周說明</a>，近日在16小時內收到7則漏洞通報，經過相當長時間的檢視，發現沒有一則是真正的漏洞。從2026年起該專案已收到20則這類通報。</p> <p>例如他和一位「研究人員」來回爭論許久，之後他公開在社群平臺揶揄對方以AI生成品質粗糙的漏洞報告。雖然Stenberg未指明對方身份，但對方則堅持他的發言「毁了他們的專業生涯」。</p> <p>Stenberg在另一篇<a href="https://mastodon.social/@bagder/115937745037450670" target="_blank">社群貼文</a>說明Curl專案在2025年接到的通報率超過其他開源專案，並形容其中不少是「垃圾」。</p> <p>說，關閉抓漏獎勵方案主要是關閉低品質、不嚴謹通報的誘因，不論是不是AI生成的。現有低品質通報氾濫已對curl安全團隊形成重大負擔。因此這決定是為了移除這類「噪音」，讓真正有價值的報告更易於提出和處理。</p> <p>這決定意謂著Curl專案將退出HackerOne。<a href="https://www.bleepingcomputer.com/news/security/curl-ending-bug-bounty-program-after-flood-of-ai-slop-reports/" target="_blank">Bleeping Computer</a>報導，Curl專案將在1月底結束任何報酬支付，現有審查中的報告仍會被處理。2月1日起，Curl專案不再經由HackerOne，而要求研究人員直接透過GitHub通報問題。Stenberg說，希望即使不再未付酬勞後，還能接到真正的漏洞通報。</p> </div></div></div>
1/23 11:10作者林妍溱https://www.ithome.com.tw/news/173546
Fortinet SSO登入漏洞再現濫用活動 FortiGate遭變更組態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Fortinet去年12月公布並修補FortiCloud SSO登入漏洞，近日被<a href="https://www.securityweek.com/new-wave-of-attacks-targeting-fortigate-firewalls/" target="_blank">安全研究人員發現</a>網路上又再度出現濫用活動，篡改受害FortiGate裝置配置。</p> <p>從今年1月15日起<a href="https://arcticwolf.com/resources/blog/arctic-wolf-observes-malicious-configuration-changes-fortinet-fortigate-devices-via-sso-accounts/" target="_blank">Arctic Wolf</a>研究人員發現，新一波針對FortiGate裝置的自動執行的惡意活動，在非授權情況下變更防火牆配置。</p> <p>這波攻擊主要目的在建立新的通用帳號以便持久存取，變更防火牆配置可讓攻擊者以VPN存取這些帳號及外洩防火牆配置。</p> <p>遭到存取的是<a href="https://www.ithome.com.tw/news/172750" target="_blank">Fortinet上個月修補</a>的重大驗證繞過漏洞：CVE-2025-59718與CVE-2025-59719。二個漏洞可讓攻擊者傳送變造的SAML訊息繞過單一簽入（SSO）登入驗證登入裝置（假如已開啟FortiCloud SSO登入功能）。兩漏洞風險值皆高達9.8，影響產品涵括FortiOS、FortiWeb、FortiProxy及FortiSwitchManager。</p> <p>兩個漏洞在公布後不到一周就發生濫用情形。到12月底網路上還有超過2萬台裝置曝險。</p> <p>在最新的攻擊中，在利用FortiCloud SSO登入後，就經由GUI介面下載防火牆配置，接著攻擊者就新增次要管理員帳號以維持持久存取。上述階段之間皆間隔數秒、顯示可能是自動化腳本程式或工具執行。</p> <p>由於這是還在進行的事件，有許多細節目前還不清楚。研究人員目前追查出的入侵指標包括二個登入防火牆的惡意帳號、數個連線來源IP位址，包括來自美國、歐洲及Cloudflare的伺服器（但可能作為代理節點或被濫用），以及駭客建立的後門管理員帳號（如secadmin、itadmin、support等）。</p> <p>研究人員建議管理員將Fortinet軟體升級到最新版本、檢查是否有異常SSO登入與配置下載行為，重設受影響防火牆系統的憑證與密碼，並且將裝置管理介面權限縮限到受信賴的內部使用者。</p> <p>針對尚未能修補漏洞的企業，研究人員建議管理員關閉FortiCloud SSO登入功能。</p> </div></div></div>
1/23 10:14作者林妍溱https://www.ithome.com.tw/news/173541
GitLab修補雙因素驗證繞過與多項DoS漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitLab<a href="https://about.gitlab.com/releases/2026/01/21/patch-release-gitlab-18-8-2-released/">發布</a>社群版與企業版18.8.2、18.7.2、18.6.4版本更新，修正可在特定條件下繞過雙因素驗證的高風險漏洞，以及多項可能導致拒絕服務（DoS）的安全弱點。官方呼籲自管部署儘速升級到上述任一修補版本。GitLab.com已套用修補版本，GitLab Dedicated用戶不需採取行動。</p> <p>這次更新共涵蓋5項安全修正，其中3項為高風險、2項為中度風險。影響面主要為DoS情境，包含未經驗證者可觸發的請求型攻擊，也有在特定條件下由已登入使用者引發的情境，可能影響服務可用性，另外一項是與身分驗證服務回傳值處理相關的問題，可能在特定條件下影響雙因素驗證的防護效果。</p> <p>在高風險項目中，GitLab修補CVE-2026-0723，該問題與驗證服務回傳值處理不完整有關。官方說明，要是攻擊者已掌握受害者的憑證識別碼，可能透過偽造裝置回應，在特定條件下繞過雙因素驗證。</p> <p>另外兩項高風險漏洞屬於DoS，CVE-2025-13927出現在Jira Connect整合，未經驗證者可能送出帶有格式異常驗證資料的特製請求造成DoS。CVE-2025-13928則與Releases API的授權檢查不正確有關，GitLab指出，未經驗證者可能利用API端點的授權檢查缺陷觸發DoS。</p> <p>中度風險漏洞方面，CVE-2025-13335與Wiki重新導向流程有關，在特定狀況下，已登入使用者可透過設定格式異常的Wiki文件，繞過迴圈偵測機制，導致系統陷入無限迴圈進而形成DoS。另一項CVE-2026-1102則涉及SSH驗證請求，官方說明，未經驗證者可能透過反覆送出格式異常的SSH驗證請求，造成API端點DoS。</p> <p>GitLab提醒這次修補版包含資料庫搬遷，可能影響升級時程安排，單節點部署在升級過程中需要等待搬遷完成，GitLab服務才能啟動，因此通常會需要停機處理，多節點部署若依照零停機升級流程進行，可把服務中斷風險降到較低。18.7.2版本則包含部署後搬遷，也就是可在完成程式升級後再執行資料庫搬遷。</p> </div></div></div>
1/23 08:04作者李建興https://www.ithome.com.tw/news/173531
憑證機構LiteSSL遭揭ACME驗證資料重用漏洞，官方稱已撤銷143張憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>憑證機構LiteSSL在Mozilla相Mozilla CA Program的公開合規事件追蹤中被<a href="https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/EiuXvY3m_gU/m/BSEzPfNaFwAJ">點名</a>，外部研究人員指稱其ACME自動化簽發服務的網域驗證資料可被不當重用，導致在憑證簽發時，出現未重新確認網域控制權就核發萬用字元憑證的風險。</p> <p>研究人員提出兩項問題，其中一項是ACME伺服器的IP節流政策設計不良，可能造成簽發經常失敗。更受關注的是第二項指控，也就是研究者懷疑DNS-01驗證挑戰的狀態被長時間保留，且伺服器在後續簽發時疑未檢核請求是否出自同一個ACME帳號，因而可能出現未重新驗證網域控制權就取得他人網域萬用字元憑證的風險。由於萬用字元憑證可涵蓋大量子網域，一旦被未授權取得，潛在影響通常比單一網域憑證更大。</p> <p>研究人員在公開貼文<a href="https://archive.ph/u6U2p">表示</a>，他先以自建的臨時網域完成DNS-01驗證以重現流程，接著再從crt.sh的簽發清單隨機挑選含萬用字元網域的既有憑證作為示範目標，文中舉例為*.vaadd.com。crt.sh顯示，與vaadd.com及*.vaadd.com相關的憑證在2026年1月21日被記錄到憑證透明度日誌，其簽發者顯示為TrustAsia Technologies旗下的LiteSSL ECC CA 2025。</p> <p>DNS-01是ACME常見的網域控制權驗證方式之一，做法是要求申請者在DNS中放置指定TXT紀錄，以證明其能控制該網域的DNS設定。一旦DNS-01的驗證結果與憑證申請身分之間的對應關係出現瑕疵，就可能動搖CA簽發憑證前必須確認網域控制權的基本前提。</p> <p>Mozilla Bugzilla上的初步事故報告則<a href="https://bugzilla.mozilla.org/show_bug.cgi?id=2011713">指出</a>，TrustAsia在2026年1月21日收到社群通報後調查確認，LiteSSL的ACME服務存在與網域驗證資料重用相關的漏洞。影響範圍涵蓋2025年12月29日之後以ACME簽發的憑證，原因是ACME驗證授權資料曾跨不同ACME帳號被重用，合計影響143張，TrustAsia表示目前已全數撤銷且完成修補，服務已恢復。</p> </div></div></div>
1/23 08:11作者李建興https://www.ithome.com.tw/news/173536