iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 05:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

蠕蟲程式CanisterWorm於NPM儲存庫自我複製
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週末資安公司Aqua Security開發的<strong><a href="https://www.ithome.com.tw/news/174601">漏洞掃描工具Trivy遭遇供應鏈攻擊</a></strong>，在資安研究員Paul McCarty揭露此事後，有多家資安公司參與調查並公布結果，後續傳出駭客已發動新一波活動，散布具備自我散播能力的蠕蟲程式。</p> <p>資安公司Aikido在3月20日<strong><a href="https://www.aikido.dev/blog/teampcp-deploys-worm-npm-trivy-compromise">偵測到大量NPM套件被名為CanisterWorm的蠕蟲入侵</a></strong>，該蠕蟲程式的特別之處，在於駭客採用了區塊鏈智慧合約ICP Canister作為C2情報交換點（Dead-drop），當時已有近50個套件受害。Aikido強調，這起事故距離Trivy攻擊活動不到一天，攻擊者就是駭客團體TeamPCP。</p> <p>這波攻擊的源頭，來自對Trivy的供應鏈入侵。攻擊者竊得CI/CD流程的憑證，取得NPM與其他服務的存取權限，進而將惡意程式散布至開發生態系。這些被感染的套件具備3階段的結構，都是透過Node.js預先安裝載入工具植入Python後門，然後再利用ICP代管的交換點動態傳遞蠕蟲有效酬載。CanisterWorm會透過NPM權杖（Token）解析使用者名稱，找出開發者發布的所有套件與版本，然後藉此發布有效酬載。Aikido提到，攻擊者下手的速度相當快，一分鐘內滲透28個套件。</p> <p>論及CanisterWorm最特別的地方，莫過於濫用ICP Canister，駭客採用Internet Computer的Canister作為C2機制，透過去中心化區塊鏈取得後續惡意程式下載位置，此種設計使攻擊基礎設施難以被關閉或封鎖，攻擊者可隨時更新惡意酬載，並持續控制受感染系統。</p> <p>再者，駭客還會輪替惡意程式的有效酬載，他們透過Canister控制器隨時切換URL，然後將新的二進位檔案推送到受害環境。</p> <p>駭客的後門程式只針對Linux作業系統，而且，他們利用systemd建立持續活動的機制，他們部署使用者層級的服務，一旦受害主機重開機，該服務就會隨之啟動。附帶一提的是，駭客將大部分使用的元件，偽裝成與PostgreSQL有關的檔名，目的是降低開發人員的戒心。</p> </div></div></div>
3/24 14:37作者周峻佑https://www.ithome.com.tw/news/174614
蠕蟲活動CanisterWorm升級，TeamPCP針對伊朗進行資料破壞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客組織TeamPCP在成功入侵程式碼掃描工具Trivy不久，就將攻擊目標轉向NPM儲存庫，散布具自我擴散能力的蠕蟲CanisterWorm，事隔兩天，用於這起活動的作案工具功能出現變化，從竊取機密變成對特定地區的環境進行破壞。</p> <p>資安公司Aikido發現<strong><a href="https://www.aikido.dev/blog/teampcp-stage-payload-canisterworm-iran">TeamPCP近期釋出新一波惡意程式</a></strong>，將原本以竊取憑證與後門植入為主的CanisterWorm攻擊，進一步升級為具備破壞能力的資料抹除軟體（Wiper），並明確鎖定伊朗地區的系統。</p> <p>此次新版本的最大變化，在於加入地緣政治導向的破壞機制。惡意程式會檢查系統時區與語系，若判定為伊朗環境，便觸發資料抹除行為；否則維持原本的後門植入與橫向移動功能。在位於伊朗的Kubernetes環境中，攻擊者會部署具高權限的DaemonSet，將惡意容器散布至所有節點，並透過名為kamikaze的容器刪除主機檔案系統，然後強制重開機；若為位於伊朗的非Kubernetes系統，則直接執行指令rm -rf /進行破壞。</p> <p>再者，該惡意程式亦具備多種橫向移動能力，包括利用竊取的SSH金鑰進行散播，以及掃描並濫用未受保護的2375埠Docker API，於內部網路環境進行擴散，顯示其已朝自動化攻擊發展。值得留意的是，這次駭客也濫用數個Cloudflare隧道的網域，來輪替傳送有效酬載的基礎設施。</p> </div></div></div>
3/24 15:13作者周峻佑https://www.ithome.com.tw/news/174617
美國擴大供應鏈管制，外國製路由器納入國安風險清單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國聯邦通訊委員會（Federal Communications Commission，FCC）週一（3/23）將所有來自外國的消費者路由器<a href="https://docs.fcc.gov/public/attachments/DA-26-278A1.pdf" target="_blank">納入受管制設備清單（Covered List）</a>。被列入該清單的設備原則上不得取得FCC認證，因而無法以新設備進入美國市場，但既有機型不受影響，也保留了國安審查例外。</p> <p>Covered List是FCC依《安全可信通訊網路法》（Secure and Trusted Communications Networks Act of 2019）建立的管制機制，用於列出被國安單位認定構成風險的通訊設備與服務。過去多以華為、中興、海康威視、大華等特定企業為對象，近年則擴大至無人機與路由器等設備類別。</p> <p>白宮召集的跨部會國安小組指出，家用與小型辦公室路由器長期存在資安漏洞，且分布廣泛，容易被駭客利用作為入侵跳板，用於網路監控、資料外洩或建立殭屍網路進行攻擊。</p> <p>此外，該小組亦強調供應鏈風險。多數路由器由海外製造，一旦在設計、製造或更新環節存在弱點，可能形成內建後門，進而威脅通訊、能源與交通等關鍵基礎設施。過去包括Volt、Flax與Salt Typhoon等攻擊，均曾利用路由器作為滲透工具。</p> <p>此次的行動並不會影響美國消費者繼續使用他們之前購買的路由器；也不會阻止零售商繼續銷售、進口或推廣先前已通過FCC設備認證流程批准的路由器型號，而是僅適用於新的設備型號。</p> <p>全球消費型路由器市場規模約200億美元。以出貨量計算，來自中國的TP-Link為最大品牌，市占率超過30%，美國的Netgear居次，市占超過10%；臺灣的華碩（Asus）市佔率低於10%，D-Link（臺灣）與Tenda（中國）各約5%以下。整體而言，前五大合計市占約50%至60%，且供應鏈高度集中於亞洲。</p> <p>美國媒體認為，FCC此舉顯示美國已將國安防線延伸至家庭及邊緣設備，而且該項政策可能加速網通設備的供應鏈重組，推動製造回流或轉向友好國家。</p> </div></div></div>
3/24 10:00作者陳曉莉https://www.ithome.com.tw/news/174607
程式碼弱點掃描工具Trivy遭供應鏈攻擊，駭客透過GitHub Actions散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源漏洞掃描工具Trivy近期發生供應鏈攻擊事件，駭客組織TeamPCP入侵其GitHub Actions流程，並植入竊資軟體，可能影響使用該工具進行自動化掃描的開發與企業環境。</p> <p>Trivy由資安公司Aqua Security打造，為廣泛使用的容器與系統漏洞掃描工具，常被整合於CI/CD流程中。此次事件中，攻擊者成功竄改該公司的GitHub Actions工作流程，當開發者執行掃描任務時，即會下載並執行惡意程式。</p> <p>最早察覺此事並提出警告的是<strong><a href="https://www.linkedin.com/posts/mccartypaul_heads-up-trivy-version-0694-has-been-share-7440548547609079808-Uloi/">資安研究員Paul McCarty</a></strong>，他發現0.69.4版Trivy被植入了後門，無論是容器映像檔或是GitHub專案裡的檔案，都遭到滲透。假若用戶在CI裡納入此掃描工具，就有可能受到影響。McCarty表示，Brew版本未受到波及。</p> <p>惡意程式的有效酬載為二進位檔案，Paul McCarty在開源資安社群Open Source Malware<strong><a href="https://opensourcemalware.com/repository/https%3A%2F%2Fgithub.com%2Faquasecurity%2Ftrivy%2F">發布部落格文章指出</a></strong>，攻擊者自稱是TeamPCP Cloud stealer，此惡意程式會試圖從惡意網域scan.aquasecurtiy.org拉取4個Go語言的惡意檔案，其中包含第二階段的有效酬載（網域名稱故意用aquasecurtiy混淆，若真有此網域名稱，應為scan.aquasecurity.org）。</p> <p>此惡意程式主要功能為竊取敏感資訊，包括環境變數、API金鑰與存取權杖（Token）等。由於CI/CD環境通常包含高權限憑證，一旦遭外洩，攻擊者可進一步入侵雲端資源或原始碼儲存庫。</p> <p>在攻擊手法上，駭客利用GitHub Actions的自動執行特性，將惡意程式嵌入既有流程，使攻擊在背景中完成，使用者難以察覺。這類攻擊屬於典型的供應鏈攻擊，影響範圍可能隨工具使用規模擴大。</p> <p>後續資安公司Socket、Wiz，以及Aikido揭露此事的影響規模，Socket指出，<strong><a href="https://socket.dev/blog/trivy-under-attack-again-github-actions-compromise">根據他們的初步調查</a></strong>，這起事故的影響範圍並非局限於0.69.4版，因為Socket看到攻擊者強制推送aquasecurity/trivy-action裡面的75個版本（發行版本全部共76個）標籤，由於GitHub Action官方就使用Trivy掃描CI/CD管線，有超過1萬個工作流程檔案參照，影響範圍恐怕相當廣泛。這些標籤被用於散布竊資軟體，僅有@0.35.0不受影響。</p> <p>值得留意的是，攻擊者並未直接修改Trivy核心程式碼，而是鎖定CI/CD流程的環節，顯示供應鏈攻擊已從套件本身延伸至開發流程基礎設施。Socket指出，攻擊者竊得Trivy憑證後入侵GitHub Actions，但並非像其他攻擊者上架有問題的新版本，或是推送新的分支（Branch），這次攻擊者強制推送75個現有版本的標籤，然後指向惡意提交的內容。這麼做是為了避免發布新版Trivy觸發警示通知，使得Trivy開發工程團隊容易察覺異狀。Socket提及，只有少數跡象能拆穿攻擊者的計謀。</p> <p>Wiz指出<strong><a href="https://www.wiz.io/blog/trivy-compromised-teampcp-supply-chain-attack">Trivy有多個元件遭到入侵</a></strong>，其中包含掃描工具核心程式，以及其GitHub Action（trivy、trivy-action、setup-trivy），駭客在竊取開發人員的憑證之後，會透過Cloudflare隧道傳送至C2。後續駭客也在Docker Hub發布Trivy惡意映像檔，經過進一步追蹤，駭客利用名為CanisterWorm的蠕蟲從NPM套件庫竊得權杖來發動攻擊。</p> <p>Aikido<strong><a href="https://www.aikido.dev/blog/teampcp-deploys-worm-npm-trivy-compromise">對CanisterWorm進行解析</a></strong>，指出他們在NPM儲存庫發現大量套件遭遇新型態蠕蟲感染，此蠕蟲的特色是運用區塊鏈智慧合約ICP Canister作為C2情報交換點（Dead-drop），這是Aikido首度看到採用這種手法的惡意程式。他們指出，這應該是針對Trivy攻擊的後續活動。</p> <p>對此，Aqua Security透過<strong><a href="https://www.aquasec.com/blog/trivy-supply-chain-attack-what-you-need-to-know/">部落格文章</a></strong>和<strong><a href="https://github.com/aquasecurity/trivy/discussions/10425">GitHub公告</a></strong>說明，他們提及相關攻擊行動最早可追溯至2月底，攻擊者利用Trivy的GitHub Actions錯誤環境組態設定，擷取特權存取權杖，並建立進入倉庫自動化與釋出流程的立足點。儘管Trivy團隊察覺此事並在3月1日執行憑證輪替，但後續發現輪替不完全讓攻擊者有機可乘。Aqua Security強調，這起事故影響Trivy開源版本，該公司產品採用的Trivy未受到影響，他們已邀請另一家資安公司Sygnia協助鑑識及修復。</p> </div></div></div>
3/24 10:03作者周峻佑https://www.ithome.com.tw/news/174601
Google將Gemini AI放到暗網蒐集情報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google Cloud本周在RSA大會上<a href="https://cloud.google.com/blog/products/identity-security/rsac-26-supercharging-agentic-ai-defense-with-frontline-threat-intelligence" target="_blank">宣布多項AI安全工具</a>，包括將Gemini AI部署到暗網以提升情報精確性，以及可由代理人蒐集證據的企業安全工具等。</p> <p>現今企業安全團隊的工作挑戰之一在於接收到大量不準確的資料，為了提供更精準的情報給企業客戶，Google從二個方面整合AI代理人和其Google威脅情報（Google Threat Intelligence）。其中之一是由內建最新Gemini模型的一組AI代理人，取代人類進行資料合成及初步的威脅活動分類，讓資安分析員將心力專注在進階分析上。</p> <p>其次，Google Cloud公布暗網情報服務（dark web intelligence）。根據<a href="https://cloud.google.com/blog/products/identity-security/bringing-dark-web-intelligence-into-the-ai-era" target="_blank">Google Cloud成員說明</a>，這項服務是由部署在暗網上的Gemini，蒐集每天上百萬則貼文自主分析，並配合Google資安專家協助建構出專屬特定客戶相關的威脅報告，且Gemini還可回答威脅事件的原因及攻擊手法，使客戶得以更精準提早防範。Google引述內部測試顯示，Google新的暗網威脅情報分析每日外部事件準確率高達98%。目前已有LastPass使用該服務。</p> <p><span style="color:#B22222;"><strong>安全工具整合代理人</strong></span></p> <p>Google在RSA大會上公布的新服務還包括安全代理人自動化，以及AI開發成果安全服務二大面向。首先，Google安全監控服務（Google Security Operations）的代理人自動化已經預覽上線，資安團隊可在工作流程中整理新的分類和調查（Triage and Investigation）代理人，這個代理人能自主調查警報、蒐集證據、提供完整解釋，這些資訊可加速資安工作的決策，例如關閉無風險警示、執行矯正措施。此外，企業客戶現在也可以自建支援MCP伺服器支援的安全代理人。</p> <p><span style="color:#B22222;"><strong>防護AI開發環境</strong></span></p> <p>在防護AI開發成果方面，新宣布包含GCP資安和風險管理平臺Security Command Center現在可整合Vertex AI Agent Engine，偵測代理式威脅，如代理人的未授權存取和資料外洩企圖。其次，LLM防護工具Model Armor現在可整合Google MCP伺服器以擴大涵蓋面，可防護直接/間接提示注入、資料洩露和工具下毒（tool poisoning）等手法。另外還有AI-based的情境分類（如醫療或金融）及物件偵測來防範資料外洩、以及GCP Security Command Center即將以預覽版（preview）提供外部曝險管理，找出攻擊表面和漏洞，減少來自外部的威脅。</p> <p>其他方面，Google Cloud也在雲端網路防火牆（Cloud NGFW）、Cloud Armor加入新政策，並簡化和第三方防火牆裝置整合的功能。企業專用的Chrome Enterprise Premium則是透過和Citrix合作，提供共同客戶鍵盤側錄防護及裝置態勢檢查、以及Chrome Enterprise Premium的剪貼簿擴大到Citrix虛擬App和Web App。</p> </div></div></div>
3/24 10:30作者林妍溱https://www.ithome.com.tw/news/174605
大型語言模型開發工具Langflow存在重大漏洞，未經驗證的攻擊者可用於執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3月17日圖像化大型語言模型（LLM）開發工具Langflow開發工程團隊<strong><a href="https://github.com/langflow-ai/langflow/security/advisories/GHSA-vwmf-pq79-vjvx">發布資安公告</a></strong>，指出此工具存在未經身分驗證的遠端程式碼執行（RCE）漏洞CVE-2026-33017，該漏洞發生的原因在於，特定端點允許任何人在未經身分驗證的狀態下建立公開的工作流程，一旦攻擊者提供選用參數，就可能導致端點使用攻擊者控制的流程資料，而非Langflow資料庫存放的資料。相關的程式碼因此不會通過沙箱處理，並導致未經驗證的遠端程式碼執行，4.0版CVSS風險評為9.3分（滿分10分），影響1.8.1以上版本，開發工程團隊發布1.9.0版修補。</p> <p>除了能讓攻擊者在未通過身分驗證的狀態下，就能以完整的伺服器處理程序存取權限，遠端執行任何程式碼，CVE-2026-33017造成的影響，還包括造成伺服器遭到徹底入侵，使得攻擊者能隨意讀取或寫入檔案、洩露環境變數（API金鑰、資料庫憑證、雲端權杖等）、利用反向Shell建立長期存取管道、在網路環境橫向移動，並洩露工作流程與訊息。</p> <p>通報此事的Amazon資安工程師Aviral Srivastava<strong><a href="https://medium.com/@aviral23/cve-2026-33017-how-i-found-an-unauthenticated-rce-in-langflow-by-reading-the-code-they-already-dc96cdce5896">同日也透過部落格說明細節</a>：</strong>該漏洞存在於Langflow處理public flow的功能，攻擊者可透過/api/v1/build_public_tmp/{flow_id}/flow端點，在未登入情況下觸發流程建構機制，並注入惡意程式碼，最終達成遠端程式碼執行。漏洞核心問題在於系統未對使用者輸入進行適當驗證，即直接將資料交由後端執行。由於Langflow本身設計即允許執行Python程式碼，一旦缺乏限制，攻擊者即可利用此特性取得系統控制權。</p> <p>在攻擊情境中，駭客只需找到對外暴露的Langflow服務，即可發送特製請求，不需帳號或任何互動，即可在伺服器端執行任意程式，進一步進行資料竊取、植入後門或橫向移動。</p> <p>Srivastava提及一年前揭露的資安漏洞CVE-2025-3248，他指出CVE-2026-33017為同類型漏洞，皆屬未經身分驗證的RCE弱點，都是因為端點執行相同的呼叫造成，但兩者各自位於Langflow不同的端點。</p> <p>不過，緩解漏洞的方式，卻無法比照辦理。Srivastava指出，由於存在CVE-2026-33017的端點為公開流程服務，若是像修補CVE-2025-3248加入額外的驗證要求，將會破壞整個公開流程的功能，真正的解決方法，是必須完全移除公開端點的資料參數，使公開流程只能執行伺服器端的流量資料，無法接受攻擊者提供的定義資料，來達到緩解弱點的目的。</p> <p>值得留意的是，CVE-2025-3248在2025年3月Langflow開發工程團隊修補後，5月美國網路安全暨基礎設施安全局（CISA<a href="https://www.ithome.com.tw/news/168806">）警告已遭利用</a>，6月趨勢科技指出，<strong><a href="https://www.ithome.com.tw/news/169626">殭屍網路Flodrix用於綁架Langflow伺服器發動DDoS攻擊</a>，因此</strong>CVE-2026-33017揭露的後續情形，也相當值得關注。</p> </div></div></div>
3/24 10:38作者周峻佑https://www.ithome.com.tw/news/174606
Langflow重大漏洞甫公布就遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週Langflow開發工程團隊<strong><a href="https://www.ithome.com.tw/news/174606">揭露與修補重大風險漏洞CVE-2026-33017</a></strong>，通報此事的研究人員Aviral Srivastava指出，該漏洞發生的原因與一年前揭露CVE-2025-3248雷同，攻擊者都能在未經身分驗證的情況下遠端執行任意程式碼。由於CVE-2025-3248公布不久後就出現攻擊行動，CVE-2026-33017也有可能成為被利用的對象，果不其然，有資安公司發現，駭客在不到一天的時間裡，就試圖尋找存在弱點的Langflow伺服器。</p> <p><strong><a href="https://www.sysdig.com/blog/cve-2026-33017-how-attackers-compromised-langflow-ai-pipelines-in-20-hours">資安公司Sysdig指出</a></strong>，在Langflow於3月17日世界協調時間（UTC）晚間8時發布資安公告後，他們於18日下午4時4分，偵測到第一波嘗試漏洞利用的活動，間隔不到一分鐘，又有另一組人馬加入行列，接著有更多不同來源的端點試圖掃描漏洞，換言之，在漏洞公布約20個小時後，就被用於實際攻擊。Sysdig強調，當時沒有公開的概念驗證（PoC）程式碼能直接套用，這些駭客根據資安公告的內容，建立相關的漏洞利用流程，並開始尋找尚未修補的Langflow主機。</p> <p>Sysdig透過蜜罐陷阱，於兩天內總共看到有6個IP位址嘗試利用CVE-2026-33017，所有攻擊者都採用相同的漏洞利用策略，在成功利用漏洞後就以Python執行Shell指令，透過HTTP將竊得資料外傳。</p> <p>相關的漏洞利用活動，大致可分成3個型態。第一個是透過自動化的方式進行掃描，特別的是，其中有4個IP位址在幾分鐘內開始進行相關活動，傳送的有效酬載也相同，因此Sysdig推測，這些IP位址背後的攻擊者可能是同一組人馬。根據這些IP位址發出的請求內容，駭客使用的掃描工具是Nuclei。</p> <p>另一種是利用自製的漏洞利用指令碼，駭客使用Python打造，其功能是列出受害主機的資料夾與憑證檔案、採集系統指紋，然後試圖傳遞第二階段的有效酬載。</p> <p>第三種是Sysdig認為最進階的攻擊手法，駭客進行更全面的憑證擷取，涵蓋環境變數、列出檔案系統找出設定檔案及資料庫，甚至進一步挖掘其他應用程式的機密資料。</p> </div></div></div>
3/24 11:51作者周峻佑https://www.ithome.com.tw/news/174608
馬自達倉儲資訊系統遭駭，外洩員工、合作夥伴資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本汽車大廠<a href="https://newsroom.mazda.com/en/publicity/release/2026/202603/260319b.pdf" target="_blank">馬自達（Mazda）本週揭露</a>，進口零件相關的倉儲管理系統遭駭客入侵，致使約700筆員工及合作夥伴資訊被竊取。</p> <p>馬自達是在2025年12月中發現該公司一個儲存自泰國採購的汽車零件的倉儲管理系統遭未授權方由外部存取。馬自達除了第一時間採取資安措施、通報主管機關和警方外，也偕同外部資安專家進行調查。</p> <p>本週馬自達公布調查結果，並發出道歉啟事。駭客是利用公司某個營運系統的安全漏洞，得以存取系統資料庫，因此該公司判斷系統儲存的資訊外洩。分析顯示，部分該公司和集團公司員工、以及業務合作夥伴個資外流，總數達692筆。影響的資訊類型包括員工編號、姓名、電子郵件、業務夥伴公司名稱及編號等。</p> <p>馬自達未說明遭到駭入的系統為何，且表示沒有客戶個資外洩。</p> <p>至於本事件是否導致其他損害，馬自達表示沒有間接損害的證據。由於外洩的個資可能日後會導致釣魚或垃圾郵件。該公司呼籲這些人員留心。</p> <p>這是該公司去年年底第二樁駭客攻擊事件。去年11月<a href="https://www.ithome.com.tw/news/172491" target="_blank">馬自達證實</a>美國分公司的Oracle E-Business Suite（EBS）系統遭駭，雖然馬自達名列勒索軟體駭客Cl0p的Oracle EBS資料外洩名單，且這個組織以竊取資料勒索聞名，這家車廠仍稱無法證實資料已外洩。</p> </div></div></div>
3/24 12:05作者林妍溱https://www.ithome.com.tw/news/174609
Anthropic讓Claude接管滑鼠鍵盤，AI代理人正式進入桌面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://claude.com/blog/dispatch-and-computer-use" target="_blank">Anthropic週一（3/23）宣布</a>，在Claude Cowork與Claude Code中推出「電腦使用」（Computer Use）功能，讓AI可直接透過滑鼠、鍵盤與螢幕操作電腦，完成開啟檔案、瀏覽網頁與執行開發工具等任務，正式將AI推向「電腦操作代理人（Computer-using Agents）」階段。</p> <p>Claude Cowork與Claude Code為Anthropic建立於桌面應用程式上的AI工作環境，分別對應一般工作流程與軟體開發場景。Anthropic表示，Claude會優先透過既有整合工具（如Slack或Google Calendar）完成任務，若無法支援，才會改以操作電腦介面的方式執行，例如點擊滑鼠、捲動頁面或輸入文字。所有操作皆需使用者授權，並內建提示注入（Prompt Injection）防護與權限控管機制，以防止AI在執行過程中受到惡意內容誘導而產生非預期行為。</p> <p>該功能目前以研究預覽形式提供，僅開放給付費訂閱用戶（如Pro與Max），且現僅支援macOS。Anthropic提醒，電腦操作能力仍處於早期階段，Claude在複雜任務中可能需要多次嘗試，且透過螢幕逐步操作的效率也低於直接系統整合，建議避免用於敏感資料處理。</p> <p>此次更新亦與Anthropic上週推出的Dispatch功能結合。Dispatch為Claude Cowork中的跨裝置任務機制，可讓使用者從手機指派任務，並由Claude在電腦端持續執行與完成。隨著電腦操作能力加入，AI開始具備在使用者不在場時代為操作系統的能力。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0324-Dispatch-Computer%20Use-claude.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anthropic</span></span></p> <p>電腦操作代理人正逐漸成為AI競爭的新焦點。相較過去著重內容生成，業者開始將AI導入實際工作流程，目標是讓系統能直接完成任務。Anthropic主打本地電腦操作，<a href="https://www.ithome.com.tw/news/167143" target="_blank">OpenAI發展Operator</a>，偏向雲端或瀏覽器環境，Google則透過Project Marinerr來推動瀏覽器自動化能力。</p> </div></div></div>
3/24 12:15作者陳曉莉https://www.ithome.com.tw/news/174610
Anthropic公布Claude Code Channels，開發人員可用Telegram、Discord和Clau…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic上週公布<a href="https://x.com/trq212/status/2034761016320696565" target="_blank">Claude Code Channels功能</a>，讓開發人員利用外部通訊工具如Telegram、Discord和Claude溝通，遠距就能下達指令。</p> <p>Claude Code Channels本質上是一種「事件通道（event channel）」機制，讓開發人員可以把訊息、警示或webhooks從MCP伺服器主動推送進一個正在運行的Claude Code session，而不再只能由使用者在terminal手動輸入，這意謂著即使人不在電腦前也可以操作Claude Code了。</p> <p>Channel的概念是在本地伺服器插入外掛，由此開發人員即能遠端和Claude Code溝通，不論是從外部推送事件進去，或是和Claude雙向互動。目前Channel還在研究預覽版階段，目前支援的Channel包含Telegram及Discord，透過建立Telegram或Discord外掛，開發人員就能以手機傳訊息，遠端控制Claude，如「deploy staging」，後者執行完成也可以Telegram回覆。</p> <p><a href="https://code.claude.com/docs/en/channels-reference" target="_blank">Anthropic提醒</a>，若欲試用Channel，需要安裝Claude Code v2.1.80以後版本，且需登入claude.ai。目前還不支援Console及API key驗證。如果是Teams和Enterprise方案用戶，管理員必須明示啟用。</p> <p>這項新功能讓Claude從被動且相對孤立的AI工具，轉變為可由外部事件驅動、並與外界系統連結的代理型系統，進一步擴展其自動化的觸發範圍與應用場景。相較於OpenClaw這類高度自主的agent架構，Claude Code Channels仍保留較強的人類控制與介入機制，在企業環境中更具可接受性。</p> </div></div></div>
3/24 12:55作者林妍溱https://www.ithome.com.tw/news/174612
WordPress.com開放AI代理寫入網站內容，自然語言可管理文章與頁面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>WordPress.com<a href="https://wordpress.com/blog/2026/03/20/ai-agent-manage-content/">擴大自家MCP（Model Context Protocol）能力</a>，讓外部AI代理不只能讀取網站內容、分析資料與設定，也能在取得使用者確認後，建立、更新或刪除文章與頁面，處理留言，調整分類與標籤，並修改圖片替代文字、標題與說明等媒體中繼資料，讓網站營運者可透過自然語言執行內容管理工作。</p> <p>WordPress.com近期持續擴充MCP支援，官方先是讓AI代理透過MCP讀取站點內容、分析資料與設定，<a href="https://wordpress.com/blog/2026/01/22/connect-ai-agents-to-wordpress-oauth-2-1/">2026年1月再加入OAuth 2.1</a>，簡化Claude、ChatGPT與Cursor等MCP用戶端的連線流程，如今再進一步支援可寫入的內容操作。</p> <p><a href="https://developer.wordpress.com/docs/mcp/tools-reference/">官方將寫入能力整合在單一的Content Authoring工具</a>中，涵蓋文章、頁面、留言、媒體後設資料、分類與標籤等主要內容物件。另一個配套的Site Editor Context工具則可先讀取站點啟用主題的色彩、字型、間距、已套用樣式與可用的區塊類型，讓AI代理在建立頁面或更新內容時，盡量依循現有主題的設計脈絡，而非直接套用固定樣式。</p> <p>依官方規則，所有建立、更新與刪除操作都必須先說明預計變更內容，再取得使用者明確確認後才可執行。新文章與頁面預設會先以草稿建立，要是修改已發布的文章，系統會提醒變更將立即呈現在網站上。</p> <p>刪除機制採分層處理，文章、頁面、留言與媒體刪除後都會先進入垃圾桶，並可在30天內復原。分類與標籤因WordPress本身不支援垃圾桶，刪除屬永久操作，系統會要求額外確認。官方也強調，MCP沿用既有WordPress角色權限，例如Editor可建立與編修文章，但無法更動站點設定，Contributor則可建立文章草稿，不能直接發布。</p> </div></div></div>
3/23 22:00作者李建興https://www.ithome.com.tw/news/174599
【資安日報】3月23日，Oracle發布Identity Manager例外更新引起關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174596"><strong style="font-size: 22px;">Oracle推送緊急更新，修補Identity Manager重大漏洞</strong></a></p> <p>3月20日Oracle提出警告，身分驗證管理平臺Identity Manager與網路服務管理平臺Web Services Manager當中，存在CVSS評分達到9.8（滿分10分）的重大漏洞CVE-2026-21992，並指出攻擊者一旦成功利用，就能遠端執行任意程式碼（RCE），呼籲用戶應根據資安公告採取因應行動。</p> <p>此漏洞影響上述應用系統的12.2.1.4.0和14.1.2.1.0版，起因是Identity Manager的REST WebServices元件，以及Web Services Manager的Web Services Security元件存在弱點，Oracle並未在公告裡說明細節。根據美國國家漏洞資料庫（NVD）登記的資料，該漏洞相當容易利用，未經身分驗證的攻擊者能透過HTTP連線，對存在漏洞的系統進行網路存取，成功利用漏洞後，將導致系統被挾持。</p> <p><a href="https://www.ithome.com.tw/news/174571"><strong style="font-size: 22px;">執法機構出手打擊Aisuru與Kimwolf等大型殭屍網路</strong></a></p> <p>美國司法部上週四（3月19日）宣布，已聯合德國與加拿大執法機構展開同步行動，針對Aisuru、Kimwolf、JackSkid與Mossad等大型殭屍網路進行打擊，重點鎖定其指揮控制（C2）基礎設施，以削弱其持續發動分散式服務阻斷（DDoS）攻擊的能力。</p> <p>根據司法部說明，這些殭屍網路透過感染數位錄影機、網路攝影機，以及Wi-Fi路由器等物聯網設備，建立起橫跨全球的攻擊網路，累計控制裝置已超過300萬臺，其中數十萬臺位於美國境內。駭客透過這些被劫持的裝置，對全球各地目標發動攻擊，並以網路犯罪即服務的租用模式，將攻擊能力提供給其他駭客使用。</p> <p><a href="https://www.ithome.com.tw/news/174584"><strong style="font-size: 22px;">FBI警示Signal通訊軟體釣魚攻擊與俄羅斯情報機構有關，已入侵數千個帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/260318-2 -L.jpg" target="_blank"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/260318-2%20-L.jpg" style="width: 300px; float: right;" /></a></p> <p>美國聯邦調查局（FBI）近日發布警示，提醒民眾注意攻擊者近期鎖定商用通訊軟體（Commercial Messaging Applications，CMA）發動釣魚攻擊，可能與俄羅斯情報機構（Russian Intelligence Services，RIS）有關，目前攻擊者主要針對加密通訊軟體Signal。FBI表示這次攻擊的目標是政府官員、軍方人員、政治人物與記者等具備高情報價值的個人，顯示其背後存在情報收集目的，並證實此類攻擊已入侵全球數千個帳號。</p> <p>FBI指出，攻擊者並未破解通訊軟體的全程加密機制，而是透過社交工程手法，誘騙使用者提供驗證碼或帳戶資訊，進而接管帳戶。一旦成功入侵，駭客可讀取私人訊息與聯絡人名單，甚至冒充受害者發動釣魚攻擊。FBI指出攻擊者目前主要針對Signal，但相同手法亦可用於其他通訊軟體，呼籲使用者保持警惕，注意潛在的網路釣魚活動。</p> <p><a href="https://www.ithome.com.tw/news/174567"><strong style="font-size: 22px;">蘋果發布安全警告，未更新iPhone恐成攻擊目標，涉及DarkSword攻擊鏈</strong></a></p> <p>蘋果（Apple）於3月中旬發布安全支援文件，提醒仍使用舊版iOS的iPhone用戶應儘速更新作業系統，以防範透過惡意網站發動的攻擊行動。資安研究人員指出，這類攻擊主要鎖定未更新裝置，可能導致通訊資料、帳號密碼與加密資產等敏感資訊外洩。</p> <p>此次警告與近期揭露的DarkSword攻擊活動有關。行動資安業者iVerify指出，攻擊者已透過漏洞利用工具組（Exploit Kit）結合遭入侵網站，對舊版iOS裝置發動水坑式攻擊（Watering Hole Attack），可在短時間內取得裝置控制權，並外傳敏感資料。iVerify估計，全球可能有多達2.7億臺iPhone裝置受影響。</p> <p><a href="https://www.ithome.com.tw/news/174570"><strong style="font-size: 22px;">Google強化Android側載安全機制，導入冷靜期與多重驗證防堵詐騙</strong></a></p> <p><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEis2qzrN3la1xfuFPvwKStg8R76u58AZnJ4OoDwO-87e0lPMQKBvNrK8mCePsc-NztvxPG0dkbvAS0XUllxofkeq0EgQu839z8r_8Bip07wL81sQyxwawTqPc2qMFuHiAIupMi8xLsTpXnDZdrmgccr8RyiD1w51Ruc1UXCPHeOzXjpnA-4QoO0xGMopQk/s16000/Blog Post_Static_v2b.png" target="_blank"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEis2qzrN3la1xfuFPvwKStg8R76u58AZnJ4OoDwO-87e0lPMQKBvNrK8mCePsc-NztvxPG0dkbvAS0XUllxofkeq0EgQu839z8r_8Bip07wL81sQyxwawTqPc2qMFuHiAIupMi8xLsTpXnDZdrmgccr8RyiD1w51Ruc1UXCPHeOzXjpnA-4QoO0xGMopQk/s16000/Blog%20Post_Static_v2b.png" style="width: 300px; float: right;" /></a>Google透過Android開發者部落格宣布，將針對側載（Sideload）應用程式導入新的進階流程（Advanced Flow），當使用者嘗試安裝來自未驗證開發者的APK檔案時，系統將不再允許直接安裝，而需經過一連串驗證步驟，以降低詐騙與惡意程式風險。</p> <p>依照Google的規畫，該機制預計於2026年8月推出。未來使用者若從非官方來源下載應用，例如透過網站或訊息接收APK檔案，在點擊安裝時將被導入進階流程。首先，系統將要求使用者先啟用開發者模式，才能繼續安裝，以避免在高壓或誤觸情境下被快速繞過安全機制。</p> <p><a href="https://www.ithome.com.tw/news/174589"><strong style="font-size: 22px;">Aura證實資料外洩事件，近90萬筆客戶聯絡資料遭未授權存取</strong></a></p> <p>主攻消費市場的身分防護服務商Aura，近日證實發生資料外洩事件，一名員工遭目標鎖定型的電話釣魚攻擊手法，導致其帳號遭駭，攻擊者利用該員工帳號，在約一小時內存取近90萬筆客戶聯絡資料，主要為姓名、電子郵件與地址等聯絡資訊。Aura立即停用該帳號，並通報執法單位展開調查，同時將通知受影響用戶。</p> <p>Aura表示，外洩資料來自2021年併購一家公司所使用的行銷聯絡資料，影響現有客戶近兩萬名及前客戶近1.5萬名。不過Aura強調，該公司身分防護應用程式使用的資料庫均未受影響，且用戶的社會安全碼、財務與信用資料、帳號密碼等敏感資料均未外洩。</p> <p><a href="https://www.ithome.com.tw/news/174588"><strong style="font-size: 22px;">研究人員藉由AI推理行為降低瀏覽器防護，誘騙Perplexity Comet存取釣魚網頁</strong></a></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/0323-AI Browsers_AgenticBlabbering_Guardio.png" target="_blank"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/0323-AI%20Browsers_AgenticBlabbering_Guardio.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Guardio研究人員展示，可利用AI瀏覽器Perplexity Comet的運作及防護原理製作更精良的釣魚網站，反讓使用者落入詐騙陷阱。</p> <p>研究人員指出，AI搜尋或瀏覽器雖然有安全上網的策略，但其本質問題Agentic Blabbering（代理式喋喋不休），卻也是其致命缺點。Agentic Blabbering指的是AI系統運作過程，由逐步推理、工具呼叫、截圖、判斷及最後決定「夠安全」點擊組成。研究人員於是「以子之矛、攻子之盾」，利用這套推理機制結合AI模型，生成可繞過其防護邏輯的詐騙訊息與釣魚網站。</p> <p><a href="https://www.ithome.com.tw/news/174514"><strong style="font-size: 22px;">Ubuntu Desktop存在高風險本機權限提升漏洞，可能導致攻擊者接管系統</strong></a></p> <p>維護Linux作業系統Ubuntu的廠商Canonical發布資安公告，用於終端使用者桌面應用的Ubuntu Desktop存在高風險漏洞CVE-2026-3888，CVSS嚴重性評分為7.8。</p> <p>問題出在Linux系統用於管理Snap軟體套件的snapd元件，對Snap私有/tmp目錄中的某些操作出現處理不當的狀況，如果系統用來管理暫存檔案的工具systemd-tmpfiles已啟用自動清理該目錄，闖入本機系統的攻擊者可能利用此漏洞重建目錄，從而提升權限。</p> <p><a href="https://www.ithome.com.tw/news/174591"><strong style="font-size: 22px;">2025圖靈獎頒給量子資訊研究先驅，Charles Bennett與Gilles Brassard共同獲獎</strong></a></p> <p>ACM公布2025圖靈獎（A.M. Turing Award），由IBM Research的Charles H. Bennett與蒙特婁大學的Gilles Brassard共同獲獎，表彰兩人在建立量子資訊科學基礎，以及推進安全通訊與運算上的關鍵角色。圖靈獎被視為電腦科學領域最高榮譽獎項，獎金為100萬美元。</p> <p>ACM這次將圖靈獎頒給Charles Bennett與Gilles Brassard，表彰兩人在量子資訊科學上的基礎研究成果，以及這些工作對密碼學、通訊與計算理論帶來的深遠影響。Charles Bennett長年於IBM研究資訊與物理的關係，Gilles Brassard則在蒙特婁大學從事量子計算、密碼學與量子資訊研究。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fbi-warns-of-handala-hackers-using-telegram-in-malware-attacks/">FBI警告伊朗駭客Handala利用即時通訊軟體Telegram從事惡意軟體攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-orders-feds-to-patch-darksword-ios-flaws-exploited-attacks/">CISA指出DarkSword利用的iOS漏洞已出現攻擊活動，要求聯邦機構兩週內完成修補</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/voidstealer-malware-steals-chrome-master-key-via-debugger-trick/">竊資軟體VoidStealer透過除錯模式愚弄用戶，企圖竊取Chrome主金鑰</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-azure-monitor-alerts-abused-in-callback-phishing-campaigns/">微軟Azure Monitor警示通知被濫用，駭客發送釣魚郵件要收信人回撥電話</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/police-take-down-373-000-fake-csam-sites-in-operation-alice/">歐洲刑警組織主導執法行動Operation Alice，撤下逾37萬個假的兒童色情素材網站</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174556"><strong>【3月20日】DEVCORE警示企業AI應用莫輕忽網頁防護</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174528"><strong>【3月19日】iOS漏洞利用工具DarkSword鎖定加密貨幣資產</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174492"><strong>【3月18日】新型態字型渲染攻擊可騙過AI助理，向使用者顯示惡意內容</strong></a></p> </div></div></div>
3/23 18:09作者周峻佑https://www.ithome.com.tw/news/174602
【資安週報】0316~0320，iOS漏洞利用工具DarkSword再度成為資安圈焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong>【資安新聞編輯室報告】</strong>邁入3月的第3週，資安領域這段期間最引人矚目的新聞，由Google與行動裝置資安公司Lookout、iVerify聯手揭露的iOS漏洞利用工具包DarkSword，且已有多組人馬將其用於實際攻擊，突顯針對iPhone的行動裝置攻擊活動急速升溫，攻擊者可直接購買現成工具來達到目的；再者，隨著美國與以色列從2月底對伊朗進行軍事行動，本週相關網路攻擊也有新的進展。</p> <p>蠕蟲GlassWorm的攻擊活動不斷蔓延，範圍已從原本的VS Code市集及Open VSX套件庫，擴及至4大開發平臺，甚至是瀏覽器延伸套件，由於相關活動仍持續進行，後續發展相當值得留意。</p> <p>在漏洞修補與揭露的方面，本週有Chrome零時差漏洞的修補，再者，思科防火牆管理平臺零時差漏洞、郵件伺服器Zimbra已知漏洞，以及Adobe電商平臺漏洞PolyShell遭到利用或是流傳利用手法的消息，IT管理員也必須提高警覺，採取相關行動。</p> <p>與AI相關的漏洞揭露，本週也有不少消息，其中一個是針對Anthropic平臺的攻擊鏈Claudy Day，另一個被稱為Poisoned Typeface新型態手法，影響多家廠商的AI助理。</p> <p>在國內的資安動態當中，近期資安公司戴夫寇爾（DEVCORE）年度研討會探討的議題，涉及大型語言模型（LLM）應用、Wi-Fi晶片底層弱點，以及軟體套件儲存庫的問題格外受到關注；NAS製造商群暉科技（Synology）對於臺灣企業的資料保護調查提及，對人為失誤造成資料損毀的疑慮大幅增加。</p> <p><strong><span style="color:#A52A2A;">新的iOS漏洞利用工具包能將多個漏洞組成完整攻擊鏈，且已被用於實際攻擊</span></strong></p> <p>繼3月初Google揭露iOS漏洞利用工具包Coruna，本週Google、Lookout、iVerify聯手揭露另一個工具包DarkSword，而成為本週最受到關注的焦點。與兩週前Google公布的Coruna相同，DarkSword也具備完整的漏洞利用鏈，而且已被間諜軟體開發商的客戶、國家級駭客組織，還有以經濟利益為動機的駭客團體利用，讓人不禁懷疑DarkSword是否也和Coruna一樣，由間諜軟體開發公司打造，再轉售給國家級駭客，或是在地下論壇尋找買家。</p> <p>DarkSword與Coruna最明顯不同的地方在於，Coruna主要使用2023至2024年的已知漏洞，而DarkSword大部分使用的都是蘋果在2025年修補的新漏洞，且有其中一個是今年公布的零時差漏洞。再者，Google提及他們在DarkSword相關活動裡，看到駭客使用多款惡意軟體，這也是與Coruna活動不同的地方。值得留意的是，這次蘋果也更積極，<strong><a href="https://www.ithome.com.tw/news/174567">在上述3家公司公布調查結果的隔天</a></strong>，就發布公告呼籲執行舊版iOS的用戶儘速使用最新版本，來防範漏洞利用套件的攻擊。</p> <p><span style="color:#A52A2A;"><strong>美伊衝突地緣政治衝突升溫，引發網路攻擊活動攻防戰</strong></span></p> <p>隨著中東局勢升溫，尤其美國與以色列對伊朗發動軍事行動後，引發親伊朗駭客大規模報復行動，其中在3月上旬美國醫療科技公司Stryker遭網攻出現後續進展，首先，傳出駭客抹除該公司員工電腦與行動裝置的手段，並非使用自製的資料破壞軟體（Wiper），而是濫用Stryker的裝置管理平臺來達到目的，這樣的情況並不常見。</p> <p>再者，宣稱犯案的伊朗駭客組織Handala，他們的網域傳出遭到美國聯邦調查局（FBI）查封，原因很可能與上述事故有關。</p> <p>比較特別的是，這波美伊衝突也有其他國家駭客趁勢發動網路攻擊，例如：俄羅斯有多組人馬表態聲援伊朗，並攻擊以色列系統；中國駭客Camaro Dragon趁這波活動發生不久，以軍事新聞為誘餌攻擊阿拉伯國家卡達。</p> <p><span style="color:#A52A2A;"><strong>針對開源套件的蠕蟲活動GlassWorm擴散至多個生態圈</strong></span></p> <p>去年下半，有兩個大型的蠕蟲攻擊針對開源套件而來，其中受到較多關注的是發生在NPM儲存庫的Shai-Hulud，不過另一個蠕蟲GlassWorm也值得留意，因為近期相關攻擊的規模擴大到多個平臺，本週有多家資安公司警告此事，駭客從原本針對Open VSX與VS Code延伸套件市集，這次也針對NPM、GitHub、PyPI等生態圈，範圍比起去年的事故明顯大上不少。</p> <p>值得留意的是，這波活動駭客進一步伸手染指Chrome延伸套件，代表其攻擊範圍還已經從開發人員延伸到一般使用者。</p> <p><strong><span style="color:#A52A2A;">瀏覽器、防火牆管理軟體、電商平臺零時差漏洞接連傳出遭利用或公布</span></strong></p> <p>本週傳出遭利用的資安漏洞也相當多，首先，與一般使用者最相關的是Chrome零時差漏洞CVE-2026-3909與CVE-2026-3910；再者，思科防火牆管理平臺Secure FMC的滿分漏洞CVE-2026-20131，勒索軟體駭客組織Interlock於公布前一個月用於攻擊行動；郵件伺服器Zimbra資安漏洞CVE-2025-66376，APT28用於網路間諜活動；美國網路安全暨基礎設施安全局（CISA）警告，檔案傳輸軟體Wing FTP資安漏洞CVE-2025-47813已遭利用。</p> <p>值得留意的是，也有漏洞廠商未對一般用戶發布修補程式，網路上卻已流傳利用工具的現象，這個漏洞被稱為PolyShell，存在於Adobe電商平臺Adobe Commerce與Magento。</p> <p>極為容易利用AI漏洞，也有可能成為攻擊者利用的目標，例如：資安公司Oasis Security揭露的Claudy Day，攻擊者可對開箱即用的Claude.ai連線階段（Session）進行對話內容的竊取；另一個是資安公司LayerX揭露的Poisoned Typeface，可導致AI助理誤判網頁的安全性，而這兩種攻擊手法的共通點，在於利用AI與人類使用者看到的內容存在落差，反映AI系統與人類認知的不同，正成為新型攻擊面。</p> <p> </p> <p><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/174425"><strong>【3月16日】歐美多國合作圍剿常駐型代理伺服器網路SocksEscort</strong></a></span></p> <p>上週美國與歐洲6個國家聯手，破壞常駐型代理伺服器（Residential Proxy）網路SocksEscort的運作，此網路規模龐大，範圍遍及163個、已滲透近37萬臺路由器及物聯網裝置</p> <p><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/174452"><strong>【3月17日】駭客透過遠端裝置管理平臺抹除Stryker近8萬臺裝置的資料</strong></a></span></p> <p>為了報復美國攻擊伊朗，一週前駭客團體Handala攻擊美國醫療科技公司Stryker，並抹除員工裝置，但有別於過往其他駭客團體採用自製的資料破壞軟體（Wiper），近日傳出Handala竟是濫用Stryker的裝置管理平臺而得逞</p> <p><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/174492"><strong>【3月18日】新型態字型渲染攻擊可騙過AI助理，向使用者顯示惡意內容</strong></a></span></p> <p>許多針對AI的攻擊手法，主要是透過提示注入（Prompt Injection）來讓AI助理執行有問題的行為，不過近期有一種新型態手法相當特別，是讓AI以為網頁的內容沒有問題，然後向使用者呈現惡意內容</p> <p><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/174528"><strong>【3月19日】iOS漏洞利用工具DarkSword鎖定加密貨幣資產</strong></a></span></p> <p>兩週前Google揭露名為Coruna的iOS漏洞利用工具包引起全球高度關注，後續蘋果特別為舊版作業系統修補遭到利用的資安漏洞，本週又有新的漏洞利用工具DarkSword，與Coruna相同的地方在於，DarkSword原本主要被用於監控，後來被用於獲取經濟利益的網路犯罪活動</p> <p><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/174556"><strong>【3月20日】DEVCORE警示企業AI應用莫輕忽網頁防護</strong></a></span></p> <p>上週臺灣資安公司戴夫寇爾（DEVCORE）舉行年度研討會，其中有3大焦點特別引人注意。其中，他們提及大型語言模型帶來的資安隱憂最值得關注，因為已成為企業Web層面的新破口</p> </div></div></div>
3/23 14:57作者周峻佑https://www.ithome.com.tw/news/174593
Oracle推送緊急更新，修補Identity Manager重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年1月<strong><a href="https://www.ithome.com.tw/taxonomy/term/623/all">Oracle</a></strong>發布2026年第一季例行更新（Critical Patch Update），<strong><a href="https://www.ithome.com.tw/news/174152">修補158個資安漏洞</a></strong>，其中包含13個CVSS風險評分9.0以上的重大漏洞引起關注，上週末Oracle罕見發布例外更新，再度成為資安界的焦點。</p> <p>3月20日<strong><a href="https://blogs.oracle.com/security/alert-cve-2026-21992">Oracle提出警告</a></strong>，身分驗證管理平臺Identity Manager與網路服務管理平臺Web Services Manager當中，存在CVSS評分達到9.8（滿分10分）的重大漏洞CVE-2026-21992，並指出攻擊者一旦成功利用，就能遠端執行任意程式碼（RCE），呼籲用戶應根據<strong><a href="https://www.oracle.com/security-alerts/alert-cve-2026-21992.html">資安公告</a></strong>採取因應行動。</p> <p>此漏洞影響上述應用系統的12.2.1.4.0和14.1.2.1.0版，起因是Identity Manager的REST WebServices元件，以及Web Services Manager的Web Services Security元件存在弱點，Oracle並未在公告裡說明細節。<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-21992">根據美國國家漏洞資料庫（NVD）登記的資料</a></strong>，該漏洞相當容易利用，未經身分驗證的攻擊者能透過HTTP連線，對存在漏洞的系統進行網路存取，成功利用漏洞後，將導致系統被挾持。</p> <p>值得留意的是，雖然Oracle並未透露漏洞是否已遭利用，不過，該公司過去公布的Identity Manager資安漏洞，就傳出修補前被用於攻擊行動的跡象。<strong><a href="https://www.ithome.com.tw/news/172478">資安研究機構SANS指出</a></strong>，去年10月修補的CVE-2025-61757，於8月底至9月上旬有人試圖利用。</p> </div></div></div>
3/23 16:16作者周峻佑https://www.ithome.com.tw/news/174596
將來銀行與中華電信聯手，中華用戶可以電信繳費紀錄作為銀行線上貸款評估參考
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>將來銀行與中華電信合作，提供結合電信數據的信貸方案，鎖定過去較難取得貸款條件的「信用小白」族群，在既有的金融體系之外，提供新的信用評估方式。</p> <p>目前在傳統授信機制中，銀行多仰賴信用卡使用、貸款還款等金融往來紀錄進行評分，但對於剛進入職場或尚未建立信用歷史的年輕族群而言，往往較難取得較佳貸款利率。此次合作將「行動門號電信費繳納紀錄」納入評估，作為輔助性信用指標，讓長期穩定的繳費行為也能反映在信用判斷中。</p> <p>將來銀行指出，信貸服務已從「線上申請」、「MyData資料介接」、「系統自動核准」與「免視訊對保」等流程，進一步發展至「自動撥貸」。在新機制下，符合條件的申請人最快可於申請當日取得資金，整體申貸流程更為即時。</p> <p>根據將來銀行的觀察，「信用小白」主要集中在20至30歲族群，尤其是Z世代。這些族群多具備穩定收入與消費能力，但因缺乏金融往來紀錄，長期面臨申貸門檻較高的情況。此次方案希望透過日常通訊繳費行為，作為建立信用的起點，讓更多人有機會取得金融服務。</p> <p>這項合作採用中華電信提供的用戶電信數據，經用戶授權後納入風險評估模型，補足過去信用資料不足的情況。除可申請信貸外，未來也有機會取得較優惠的利率。將來銀行認為，未來這類替代數據有助於建立不同於傳統金融資料的風險評估方式。</p> <p>中華電信表示，透過系統對接與數據應用機制，將用戶的電信繳費紀錄轉化為可供金融機構參考的信用指標，相關資料應用建立於用戶授權與資訊安全機制之上，讓用戶得以運用良好的電信繳費紀錄，取得將來銀行的信貸優惠。</p> <p>在此之前，中華電信也有過與金融業者合作的案例，例如在用戶的同意之下，將用戶的行動身分認證可用於凱基銀行的信用卡或信貸申請；台灣大哥大也和台北富邦合作，在用戶授權同意下，整合電信用戶數據，來協助銀行評估核卡資格，主要目標為社會新鮮人與自由工作者。</p> </div></div></div>
3/23 18:02作者蘇文彬https://www.ithome.com.tw/news/174600
Amazon收購AI送貨機器人新創業者Rivr
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Amazon收購瑞士AI物流機器人新創公司Rivr，以完整加速商品送貨到府網路，解決最後一哩路（Last Mile）問題。</p> <p><a href="https://www.rivr.ai/" target="_blank">Rivr</a>主打通用實體AI（General Physical AI），其技術能力涵括四腳輪足機器人、模擬環境的強化式學習（reinforcement learning）及真實世界的自監督學習（self-supervised learning），每次送貨蒐集的資料都用以訓練AI提升整體機器人的送貨效率。機器人廂型空間可置放商品，四個輪足的設計遇到階梯也能拾級而上，可將商品運至消費者家門口。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0323-rivr-600.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Rivr</span></span></p> <p><a href="https://www.theinformation.com/articles/amazon-acquires-robotics-startup-boosting-efforts-streamline-deliveries?rc=wf4boz" target="_blank">The Information</a>首先報導此消息。<a href="https://www.cnbc.com/2026/03/19/amazon-acquires-startup-rivr-to-test-robots-for-doorstep-delivery.html" target="_blank">CNBC</a>則報導，Amazon已經向第三方送貨外包商及人員發出測試通知函，指這項技術可改善送貨員安全及整體使用者體驗。Amazon也證實此事。</p> <p>送貨機器人最主要障礙在最後一哩路，例如置放商品、取貨、爬階梯和避開兒童及如何通知消費者等。現行最普及的送貨機器人<a href="https://www.starship.xyz/" target="_blank">Starship</a>和<a href="https://www.serverobotics.com/" target="_blank">Serve</a>多只能走在人行道，無法爬太高的階梯。Amazon<a href="https://www.reuters.com/technology/amazon-abandons-live-tests-scout-home-delivery-robot-2022-10-07/" target="_blank">過去也自行研發</a>送貨機器人Scout，但在2022年終止了三年的測試。</p> </div></div></div>
3/23 14:09作者林妍溱https://www.ithome.com.tw/news/174592
2025圖靈獎頒給量子資訊研究先驅，Charles Bennett與Gilles Brassard共同獲獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>ACM<a href="https://awards.acm.org/turing">公布2025圖靈獎（A.M. Turing Award）</a>，由<a href="https://www.ibm.com/think/news/ibm-scientist-charles-bennett-turing-award">IBM Research的Charles H. Bennett</a>與<a href="https://recherche.umontreal.ca/english/our-researchers/professors-directory/researcher/is/in13606/">蒙特婁大學的Gilles Brassard</a>共同獲獎，表彰兩人在建立量子資訊科學基礎，以及推進安全通訊與運算上的關鍵角色。圖靈獎被視為電腦科學領域最高榮譽獎項，獎金為100萬美元。</p> <p>ACM這次將圖靈獎頒給Charles Bennett與Gilles Brassard，表彰兩人在量子資訊科學上的基礎研究成果，以及這些工作對密碼學、通訊與計算理論帶來的深遠影響。Charles Bennett長年於IBM研究資訊與物理的關係，Gilles Brassard則在蒙特婁大學從事量子計算、密碼學與量子資訊研究。</p> <p>兩人最具代表性的共同成果，是1984年提出的BB84量子密碼協定。<a href="https://research.ibm.com/publications/quantum-cryptography-public-key-distribution-and-coin-tossing">該方法後來成為量子金鑰分配的經典基礎</a>，其概念是通訊雙方可先利用光子等量子訊號交換一串用來加密資料的金鑰。由於量子資訊一旦被觀測就可能改變原本狀態，第三方若在傳輸途中攔截或偷看，便會在訊號中留下異常，也因此通訊雙方即使一開始沒有共享祕密資訊，仍可透過檢查部分傳輸結果，判斷金鑰交換過程是否遭到竊聽。這種作法與傳統密碼系統主要依賴數學難題不同，安全性建立在量子物理本身的性質上。</p> <p>Charles Bennett的貢獻不只有量子密碼學，IBM提到，他自1970年代起即研究可逆計算與資訊處理的物理基礎，該研究與IBM物理學家Rolf Landauer提出的資訊必然具有物理性觀點相互呼應，也讓資訊科學不再只是抽象符號操作的理論問題，而能與物理定律直接相連。</p> <p>除了BB84，IBM與蒙特婁大學資料也都提到，Charles Bennett、Gilles Brassard後續與其他研究者共同發表量子遙傳（Quantum Teleportation）等重要工作，持續擴大量子資訊研究的技術邊界。目前Charles Bennett仍是IBM研究員，Gilles Brassard則仍在蒙特婁大學資訊與作業研究系任教。</p> </div></div></div>
3/23 14:15作者李建興https://www.ithome.com.tw/news/174591
美國起訴違規轉運高階AI伺服器相關人士，美超微聲明未被列為被告，並已對涉案者採取停職處分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國司法部上週四（3/19）<a href="https://storage.courtlistener.com/recap/gov.uscourts.nysd.660027/gov.uscourts.nysd.660027.2.0.pdf" target="_blank">公布起訴書</a>，指控三名與美國伺服器大廠超微（Super Micro Computer，美超微）相關的高層與人士，涉嫌透過第三地轉運方式，將搭載Nvidia高階GPU的AI伺服器非法輸往中國，規避美國出口管制規定。遭起訴者包括董事暨業務發展資深副總裁廖益賢、臺灣區總經理張瑞滄，以及中間掮客孫廷瑋。消息曝光後，美超微3月20日的股價重挫33.32%，跌至20.53美元。</p> <p>為了防止先進技術被用於軍事與監控用途，美國自2022年起強化對中國的AI與高效能運算出口管制，限制高階AI晶片及相關伺服器輸往中國；2023年更進一步將管制擴大到透過第三地轉運的間接出口，並強化對最終用途與最終用戶的審查。</p> <p>至於美超微則是由梁見後等人於1993年在美國創辦，專注於高效能運算及資料中心解決方案，是全球主要的伺服器與AI基礎設施供應商之一。廖益賢也是美超微的共同創辦人之一。</p> <p><a href="https://www.justice.gov/opa/pr/three-charged-conspiring-unlawfully-divert-cutting-edge-us-artificial-intelligence" target="_blank">根據美國司法部的調查</a>，廖益賢及張瑞滄與在中國擁有客戶的掮客孫廷瑋合作，指示一家位於東南亞的A公司向美超微訂購配備特定GPU的伺服器，這些伺服器先在美國組裝，之後運至臺灣工廠，再送至A公司。隨後A公司委託物流重新包裝該伺服器，再運至中國。</p> <p>為了通過美國的出口管制審查，廖益賢、張瑞滄及A公司主管偽造了文件與紀錄，謊稱A公司是這些伺服器的最終用戶，還在租用倉庫放置了大量的假伺服器包裝箱，以應付美國的稽核，而實際設備早已轉運至中國。在被告的指示下，A公司在2024年至2025年間，總計向美超微訂購了價值約25億美元的數千臺高階伺服器。</p> <p>在上述被告中，71歲的廖益賢為美國公民，53歲的張瑞滄跟44歲的孫廷瑋皆為臺灣公民，廖益賢與孫廷瑋皆已被逮捕，張瑞滄仍在逃。</p> <p>美國司法部表示，他們被控串謀違反出口管制、串謀自美國走私貨物，以及串謀詐欺美國的罪名，最高刑責分別是20年、5年及5年監禁。</p> <p><a href="https://www.supermicro.com/zh_tw/pressreleases/super-micro-computer-issues-statement-action-us-attorneys-office" target="_blank">美超微同一天就發布了聲明</a>，強調該公司並未被列為被告，而且已採取行動將廖益賢與張瑞滄停職，同時終止與孫廷瑋的合作關係。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0323-supermicro-600-2.png" style="width: 500px;" /></p> </div></div></div>
3/23 10:05作者陳曉莉https://www.ithome.com.tw/news/174572
回應用戶Microslop批評，微軟承諾縮減Copilot整合、減少更新干擾、垂直工作列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>回應網路上批評微軟亟於將Copilot塞進Windows的作法，<a href="https://blogs.windows.com/windows-insider/2026/03/20/our-commitment-to-windows-quality/" target="_blank">微軟上週發表</a>一系列改善Windows 11品質的措施，包括縮減Copilot在Windows整合幅度、減少Windows Update帶來的干擾、以及提供最多人想要的垂直工作列。</p> <p>近年微軟積極將AI助理Copilot整合進Windows及Office，引發用戶批評。去年以來網路上興起一個名詞Microslop，嘲諷其生成式AI擾人、沒用、無法卸載，並拖慢Windows運作效率。<a href="https://www.pcgamer.com/software/ai/microsoft-banned-the-word-microslop-in-its-copilot-discord-server-then-began-restricting-access-after-users-started-posting-microsl0p-and-other-funnies/" target="_blank">微軟在三週前反制</a>，在其官方Discord論壇上封鎖Microslop一詞，發文中帶有此詞會被系統直接刪除。眾多用戶開始繞過封鎖貼文，例如使用Microsl0p，微軟則進一步祭出封鎖帳號、限制發言、鎖部分頻道或隱藏聊天紀錄措施，甚至<a href="https://www.reddit.com/r/pcmasterrace/comments/1rinifc/microsoft_gets_tired_of_microslop_bans_the_word/" target="_blank">關閉其伺服器</a>，反而促使<a href="https://www.techradar.com/computing/windows/microsoft-hands-copilot-haters-and-microslop-pushers-yet-more-ammunition-with-how-to-videos-that-showcase-an-embarrassing-use-of-ai">媒體</a>跟進<a href="https://cybernews.com/ai-news/microsoft-microslop-copilot-teams/" target="_blank">報導</a>，直到上週微軟回應反彈聲浪，承諾改進。</p> <p>微軟Windows Insider Program主管Pavan Davuluri說，團隊每天都傾聽社群對Windows體驗的想法，過去幾個月也花了很多時間分析用戶回饋意見。微軟決定從自本月到4月提供給Windows Insiders方案用戶的預覽版本導入初步變更。</p> <p>其中，微軟決定在Windows「最有意義」的地方整合Copilot AI，以實際用處和品質為重點。微軟並將自不必要的地方減少Copilot整合，一開始是剪貼工具、相簿、Widgets和記事本（Notepad）。</p> <p>其次，微軟承諾將減少Windows Update的干擾，這主要是提高用戶升級的控制權，例如裝置設定時可跳過升級以加速安裝，重啟或關閉Windows機器時可不需安裝更新，允許必要時暫停更新系統更多天，同時，也將減少自動重啟和通知以降低更新的干擾。</p> <p>微軟也計畫改進工作列客製化彈性，包括可置於桌面上方或呼聲最高的側邊欄。並且、改進Windows Insiders方案，使用戶更了解各頻道差別，更容易取得新功能及新組建，以及改進用戶回饋（Feedback Hub）的使用體驗。其餘包括改善檔案總管，首波重點在加速啟動、流暢動線、提升日常檔案任務的穩定性效能，並且提供widgets更大的操作控制權及個人化等。</p> </div></div></div>
3/23 10:24作者林妍溱https://www.ithome.com.tw/news/174574
蘋果發布安全警告，未更新iPhone恐成攻擊目標，涉及DarkSword攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://support.apple.com/en-us/126776" target="_blank">蘋果（Apple）於3月中旬發布安全支援文件</a>，提醒仍使用舊版iOS的iPhone用戶應儘速更新作業系統，以防範透過惡意網站發動的攻擊行動。資安研究人員指出，這類攻擊主要鎖定未更新裝置，可能導致通訊資料、帳號密碼與加密資產等敏感資訊外洩。</p> <p>此次警告與近期揭露的<a href="https://www.ithome.com.tw/news/174523" target="_blank">DarkSword攻擊活動</a>有關。行動資安業者<a href="https://iverify.io/blog/darksword-ios-exploit-enterprise-risk" target="_blank">iVerify指出</a>，攻擊者已透過漏洞利用工具組（exploit kit）結合遭入侵網站，對舊版iOS裝置發動水坑式攻擊（<wbr></wbr>Watering Hole Attack），可在短時間內取得裝置控制權，並外傳敏感資料。iVerify估計，全球可能有多達2.7億臺iPhone裝置受影響。</p> <p><a href="https://support.apple.com/en-us/126776" target="_blank">蘋果說明</a>，這類攻擊多半透過惡意連結或遭入侵網站散布，當使用者以未更新的裝置瀏覽時，可能觸發漏洞利用流程，進而使裝置遭到入侵。為此，蘋果已在不同版本作業系統中推出修補更新，以降低攻擊風險。</p> <p>針對防護措施，蘋果已於3月11日針對仍使用舊版作業系統的裝置發布額外安全更新，包含<a href="https://support.apple.com/zh-tw/126632" target="_blank">iOS 15.8.7</a>與<a href="https://support.apple.com/zh-tw/126646" target="_blank">iOS 16.7.15</a>。官方指出，無法升級至較新作業系統的裝置，應更新至iOS 15.8.7；仍停留在iOS 16版本的裝置，則建議更新至iOS 16.7.15，以修補相關漏洞。</p> <p>至於支援較新作業系統的裝置，蘋果表示相關漏洞已在<a href="https://support.apple.com/zh-tw/126604" target="_blank">iOS 26.3.1</a>等最新版本中完成修補，使用者只要更新至最新版本，即可獲得完整防護。</p> <p>若短期內無法更新，蘋果也建議可啟用封閉模式（<a href="https://support.apple.com/zh-tw/105120" target="_blank">Lockdown Mode</a>）作為替代防護機制。此功能主要針對高風險使用情境設計，會限制訊息附件、部分網頁技術與陌生來電等可能被濫用的功能，以縮小攻擊面，降低惡意網站攻擊成功的機率。</p> <p>整體而言，蘋果此次安全警告顯示，行動裝置攻擊正持續鎖定未更新系統的使用者。iVerify指出，這類大規模行動攻擊顯示高階漏洞利用技術正快速商品化，已從國家級監控工具轉向可大規模運用的攻擊手法，企業與一般使用者都需重新評估行動裝置的資安防護策略與更新機制。</p> </div></div></div>
3/23 11:02作者王珮瑤https://www.ithome.com.tw/news/174567
研究人員藉由AI推理行為降低瀏覽器防護，誘騙Perplexity Comet存取釣魚網頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者<a href="https://guard.io/labs/agenticblabbering---how-ai-browsers-verbose-reasoning-fuels-the-ultimate-scamming-machine" target="_blank">Guardio研究人員</a>展示，可利用Perplexity的Comet AI瀏覽器的運作及防護原理製作更精良的釣魚網站，反讓使用者落入詐騙陷阱。</p> <p>研究人員指出，AI搜尋或瀏覽器雖然有安全上網的策略，但其本質問題Agentic Blabbering（代理式喋喋不休），卻也是其致命缺點。Agentic Blabbering指的是AI系統發生過程，由逐步推理、工具呼叫、截圖、判斷及最後決定「夠安全」點擊組成。研究人員於是「以子之矛、攻子之盾」，利用這套推理機制結合AI模型，生成可繞過其防護邏輯的詐騙訊息與釣魚網站。。</p> <p>研究人員第一步是攔截Perplexity Comet代理人和AI後端的來回流量，收集其提示、推理過程及決策訊號，以了解它看到什麼、判斷什麼、以及防詐邏輯。接著把這些資料餵給生成對抗網路（generative adversarial networks，GAN）來訓練詐騙生成模型。目標是GAN經由反覆回饋迴圈，直到這個模型能生成足以騙過Comet的詐騙內容。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0323-AI%20Browsers_AgenticBlabbering_Guardio.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／<a href="https://guard.io/labs/agenticblabbering---how-ai-browsers-verbose-reasoning-fuels-the-ultimate-scamming-machine" target="_blank">Guardio</a></span></span></p> <p>研究人員公布其稱為「ScamMachine」的GAN生成的詐騙網站版本，以及對Perplexity Comet的測試結果。一開始生成的釣魚網站版本，Comet很快從擷取登入頁面，判斷是釣魚網站並發出警示。於是研究人員陸續改善網頁視覺效果、提升專業性、並加入個人化問候語、使用更可信的結構、並移除和釣魚手法有關的可疑訊號。結果該生成模型只用了4次迭代，總共僅花了4分鐘就突破Comet的檢查而判定網站可信，而非研究人員預期的數小時。</p> <p>研究人員指出，缺少安全優先的設計，AI瀏覽器反而變成詐騙流通的加速器，除了安全預設及嚴格限制代理人的權限範圍外，也應解決Agentic Blabbering，不要說太多，反讓攻擊者了解防護的策略祕密。</p> </div></div></div>
3/23 12:30作者林妍溱https://www.ithome.com.tw/news/174588
Google強化Android側載安全機制，導入冷靜期與多重驗證防堵詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google上週四（3/19）<a href="https://android-developers.googleblog.com/2026/03/android-developer-verification.html" target="_blank">透過Android開發者部落格宣布</a>，將針對側載（Sideload）應用程式導入新的進階流程（Advanced Flow），當使用者嘗試安裝來自未驗證開發者的APK檔案時，系統將不再允許直接安裝，而需經過一連串驗證步驟，以降低詐騙與惡意程式風險。</p> <p>這是因為近年詐騙手法快速演變，駭客大量結合社交工程，透過電話、訊息或即時通訊工具誘導使用者下載並安裝惡意APK，進而竊取帳密、控制裝置或盜轉資產。根據Global Anti-Scam Alliance在2025年的調查，全球有57%成年人曾遭遇詐騙，造成4,420億美元的損失，顯示此類攻擊已具規模化與高度組織化趨勢。</p> <p>為了預防詐騙，<a href="https://www.ithome.com.tw/news/170805" target="_blank">自2026年9月起</a>，所有要安裝於經Google認證的Android裝置上的應用程式，都必須是由經過身分驗證的開發者所註冊的；而進階流程則是針對側載情境所設計的使用者端防護機制，透過延遲與多重驗證，降低在受騙情境下安裝惡意程式的風險。</p> <p>依照Google的規畫，該機制預計於2026年8月推出。未來使用者若從非官方來源下載應用，例如透過網站或訊息接收APK檔案，在點擊安裝時將被導入進階流程。首先，系統將要求使用者先啟用開發者模式，才能繼續安裝，以避免在高壓或誤觸情境下被快速繞過安全機制。</p> <p>其次，系統會要求確認當前操作並非在他人指導下進行，以防範詐騙者透過通話或遠端操控引導使用者關閉防護。</p> <p>完成初步確認後，裝置還需重新啟動，藉此切斷潛在的遠端連線或持續中的通話監控。此後系統將進入為期一天的等待期，使用者需在冷卻時間結束後，再次以生物辨識（如指紋或臉部辨識）或裝置PIN碼進行身分驗證，確認為本人主動操作。完成上述步驟後，才可開啟安裝未驗證應用的權限。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEis2qzrN3la1xfuFPvwKStg8R76u58AZnJ4OoDwO-87e0lPMQKBvNrK8mCePsc-NztvxPG0dkbvAS0XUllxofkeq0EgQu839z8r_8Bip07wL81sQyxwawTqPc2qMFuHiAIupMi8xLsTpXnDZdrmgccr8RyiD1w51Ruc1UXCPHeOzXjpnA-4QoO0xGMopQk/s16000/Blog%20Post_Static_v2b.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>在第一次成功開啟安裝未驗證應用的權限之後，使用者可以選擇在7天內持續允許安裝未驗證應用，或長期開放該權限。</p> <p>即使完成流程，系統仍會在安裝過程中持續顯示「未經驗證開發者」的風險警告，但允許使用者選擇繼續安裝。Google強調，該設計並非限制側載，而是在保留Android開放性的前提下，提高高風險操作的門檻。</p> <p>Google指出，近年詐騙手法已從單純惡意程式散布，轉向結合社交工程攻擊，透過製造緊急情境誘導使用者下載並安裝APK。這類攻擊通常依賴即時指導與連續操作，一旦使用者進入流程，往往在短時間內完成多個高風險設定。進階流程透過強制延遲與多重驗證，刻意打斷詐騙節奏，讓使用者有時間重新評估風險。</p> </div></div></div>
3/23 09:26作者陳曉莉https://www.ithome.com.tw/news/174570
執法機構出手打擊Aisuru與Kimwolf等大型殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.justice.gov/usao-ak/pr/authorities-disrupt-worlds-largest-iot-ddos-botnets-responsible-record-breaking-attacks" target="_blank">美國司法部上週四（3/19）宣布</a>，已聯合德國與加拿大執法機構展開同步行動，針對Aisuru、Kimwolf、JackSkid與Mossad等大型殭屍網路進行打擊，重點鎖定其指揮控制（C2）基礎設施，以削弱其持續發動分散式服務阻斷（DDoS）攻擊的能力。</p> <p>根據司法部說明，這些殭屍網路透過感染數位錄影機、網路攝影機與Wi-Fi路由器等物聯網設備，建立起橫跨全球的攻擊網路，累計控制裝置已超過300萬臺，其中數十萬臺位於美國境內。駭客透過這些被劫持的裝置，對全球各地目標發動攻擊，並以「網路犯罪即服務」模式，將攻擊能力出租給其他駭客使用。</p> <p>法院文件指出，這些殭屍網路已被用來發動數十萬次DDoS攻擊，部分受害者因此蒙受數萬美元損失，甚至遭到勒索。各殭屍網路的攻擊規模亦相當驚人，其中Aisuru累計發出超過20萬次攻擊指令，Kimwolf超過2.5萬次，JackSkid超過9萬次，Mossad則超過1,000次，顯示其攻擊行為已具高度頻率與規模化特徵。</p> <p>其中，Aisuru在去年第三季的攻擊火力最高達到29.7 Tbps，寫下了新紀錄。<a href="https://www.ithome.com.tw/news/172646" target="_blank">根據Cloudflare的調查</a>，Aisuru攻擊採用UDP地毯式轟炸（Carpet Bombing）手法，透過大量隨機封包與多連接埠掃射，藉此繞過傳統依賴特徵或單一連接埠的防禦機制。此外，Aisuru主要鎖定電信、遊戲、主機代管與金融服務等產業，即使部分業者並非直接攻擊目標，其網路仍可能因攻擊流量經過而出現連線品質下降，顯示這類攻擊已足以影響骨幹網路運作。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0323-ddos-cloudflare-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>另一資安業者<a href="https://www.ithome.com.tw/news/173400" target="_blank">Lumen Technologies則發現</a>，Aisuru與Kimwolf在基礎設施上存在重疊，兩者曾共用或交替使用C2架構，甚至在同一環境託管惡意程式，顯示其背後可能由同一營運體系維運。</p> <p>此次執法行動的核心在於中斷殭屍網路的控制能力。美國國防部監察長辦公室轄下的國防刑事調查局（DCIS）依據法院授權，查扣多個網域名稱與虛擬伺服器，並切斷殭屍網路與受感染裝置之間的通訊，使其無法再接收攻擊指令。FBI亦參與相關調查行動，強化對網路犯罪組織的追查。</p> <p>司法部強調，此次行動展現跨國合作對抗網路威脅的重要性。除了執法機關之外，多家科技與資安業者亦提供協助，共同識別並拆解相關基礎設施。</p> </div></div></div>
3/23 09:42作者陳曉莉https://www.ithome.com.tw/news/174571
前端應用框架Next.js 16.2改善效能與除錯，開發模式啟動加快達4倍速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Vercel發布React<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-variant-emoji: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">應用框架</span><a href="https://nextjs.org/blog/next-16-2">Next.js 16.2</a>，重點放在開發者日常使用時的效能與除錯體驗，官方列出的更新包括next dev開發模式啟動更快、伺服器端算繪效能提升、新版內建錯誤頁面，以及多項協助追查問題的除錯功能。另外，Vercel也同步公布Turbopack與AI代理相關更新。</p> <p>官方表示，該版本的next dev啟動速度可提升約4倍。在相同電腦與同一個專案的測試中，從啟動到localhost:3000可用的時間，比Next.js 16.1縮短約87%。另一項重要改動，則是調整Server Components資料處理方式，減少底層剖析資料時的額外負擔，官方指出，這項變更可讓實際Next.js應用輸出HTML的速度提升25%到60%，改善幅度則視應用程式的資料量而定。</p> <p>除錯則是這次更新另一項重點，Next.js 16.2新增開發期間的Server Function終端機記錄，會顯示函式名稱、傳入參數、執行時間與所在檔案，方便開發者直接從終端機掌握程式執行情況。當伺服器端與瀏覽器端顯示內容不一致時，錯誤畫面也會直接標示差異來源，供開發者更快判斷問題出在哪一邊。</p> <p>官方這次把原本只支援開發模式的Node.js偵錯參數，延伸到啟動正式環境服務時也能使用。也就是說，開發者在以next start啟動正式環境服務時，也能接上偵錯工具，檢查程式執行過程，分析CPU負載與記憶體占用情況。</p> <p>除了效能與除錯，Next.js 16.2也在建立Next.js專案的工具create-next-app中加入AGENTS.md，並支援將開發期間的瀏覽器記錄轉送到終端，減少來回切換視窗的麻煩。另提供實驗性工具next-browser，協助代理工具取得較易處理的瀏覽器端資訊。</p> </div></div></div>
3/21 10:32作者李建興https://www.ithome.com.tw/news/174552
OpenAI規畫推出桌面「超級App」，整合ChatGPT、Codex與瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.wsj.com/tech/openai-plans-launch-of-desktop-superapp-to-refocus-simplify-user-experience-9e19931d?st=RkLFrs&reflink=desktopwebshare_permalink" target="_blank">華爾街日報</a>本週引述消息來源報導，OpenAI正規畫推出一款桌面版的超級App，將ChatGPT、程式開發工具Codex與自家瀏覽器ChatGPT Atlas整合為單一應用，以簡化使用體驗並集中產品資源。而OpenAI隨後亦向<a href="https://www.cnbc.com/2026/03/19/openai-desktop-super-app-chatgpt-browser-codex.html" target="_blank">CNBC</a>證實了此事。</p> <p>根據報導，該專案將由應用執行長Fidji Simo負責，並與總裁Greg Brockman共同推動。Simo在寫給員工的郵件中表示，OpenAI在過去一年推出多項獨立產品，導致資源分散與產品策略不夠聚焦，因此決定透過整併重建產品主軸，旨在減少產品碎片化，提升整體使用一致性。</p> <p>OpenAI計畫在超級App中建立代理人AI能力，以在使用者的電腦上自動執行各種任務，像是編寫軟體或是分析資料。</p> <p>報導指出，此一策略與市場競爭有關，特別是Simo曾在員工大會上提及Anthropic快速受到企業及開發者的青睞，推動OpenAI從多線發展轉向集中策略，試圖在AI代理人與企業應用領域建立更明確的競爭優勢。</p> </div></div></div>
3/21 12:01作者陳曉莉https://www.ithome.com.tw/news/174565
Google整合Antigravity與Firebase，擴展AI Studio全端Web應用開發能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google<a href="https://blog.google/innovation-and-ai/technology/developers-tools/full-stack-vibe-coding-google-ai-studio/?utm_source=tw&utm_medium=social&utm_campaign=og&utm_content=&utm_term=">升級</a>開發工具Google AI Studio中的AI程式開發能力，導入新的Antigravity程式開發代理，並加入Firebase後端整合，讓開發者可在同一個介面中，從提示生成應用原型進一步延伸到具備資料儲存、使用者登入與多人即時互動能力的Web應用。</p> <p>Google指出，這次更新也新增Next.js支援、API密鑰管理與跨裝置續接工作階段等能力，使AI Studio從原本偏向前端原型與AI功能串接的工具，進一步朝較完整的全端應用開發環境靠攏。</p> <p>Google先在2025年10月推出AI Studio的Vibe Coding功能，讓使用者以自然語言描述需求後，由Gemini模型協助串接所需模型與API，產生並修改應用，同年11月又公開新的代理式開發平臺Google Antigravity，主打可跨編輯器、終端機與瀏覽器執行較長的軟體開發任務。現在AI Studio更新，則是把原有Vibe Coding體驗和Antigravity代理整合。</p> <p>但就功能面來看，更值得關注的是Firebase整合，Google表示，當代理判斷應用需要資料庫或登入機制時，經使用者核准後，系統可配置Cloud Firestore與Firebase Authentication，補上許多應用從原型走向可用服務時，常見的後端基礎功能。官方也提到，新版體驗已能建立多人即時互動遊戲、協作工作區與共享工具，支援需要狀態同步與後端服務的Web應用。</p> <p>另一項更新則是納入更多現代Web開發常見元件與框架。代理可依需求安裝外部函式庫，並支援Next.js，讓開發者除了React與Angular之外，也能直接建立Next.js應用。要是應用需要串接外部服務，使用者也可自行帶入API金鑰，並透過設定頁面的Secrets Manager保存。</p> <p>Google提到，這套新版功能過去幾個月已在內部用來建立大量應用，後續還將加入更多整合，包括把Workspace中的Drive與Sheets連到應用，以及讓使用者可將專案從Google AI Studio帶到Google Antigravity。</p> </div></div></div>
3/21 12:04作者李建興https://www.ithome.com.tw/news/174566
【資安日報】3月20日，DEVCORE警示企業AI應用莫輕忽網頁防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174532"><strong style="font-size: 22px;">DEVCORE警示企業AI應用莫輕忽Web防護，剖析Wi-Fi晶片與軟體供應鏈安全</strong></a></p> <p>以紅隊演練聞名的臺灣資安公司戴夫寇爾（DEVCORE），近日舉行年度研討會DEVCORE Conference 2026，今年研討會有3大焦點議題受關注：首先，警示LLM應用已成為企業Web防護的新破口；其次，展現攻擊研究延伸至多個領域的成果，包含探索臺灣Wi-Fi晶片的底層漏洞，以及剖析軟體供應鏈中套件儲存庫（Package Registry）的潛在攻擊面。</p> <p>特別的是，這場攻擊技術研討會也呈現多元視角的技術碰撞。在這場活動上，我們亦看到特別邀請來自外部的專家提供獨到見解，讓研究人員可從不同維度切入思考。例如，Huli技術部落格站長揭示，在特定攻擊情境下，不被Chromium官方視為漏洞的瀏覽器特性（Feature），有可能成為研究人員挖掘深層漏洞的切入點。</p> <p><a href="https://www.ithome.com.tw/news/174526"><strong style="font-size: 22px;">蠕蟲程式GlassWorm染指瀏覽器擴充套件，Chrome外掛恐遭植入遠端控制木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/69baae83b5968e79a2ef8067_Group 21472d56668.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69baae83b5968e79a2ef8067_Group%2021472d56668.jpg" style="width: 300px; float: right;" /></a></p> <p>3月18日資安公司Aikido提出警告，GlassWorm供應鏈攻擊再度升級，攻擊者開始鎖定Chrome延伸套件，並在套件植入以WebSocket為基礎的RAT木馬，進一步擴大感染範圍至終端使用者環境。這起事故的發現，代表攻擊者正全面滲透開發者生態，從開發環境一路延伸至終端使用者。</p> <p>此惡意程式會於瀏覽器載入擴充套件時執行，並透過Google行事曆與C2伺服器建立連線，使攻擊者可遠端控制受害裝置。該RAT具備多項功能，包括Chrome應用程式綁定加密機制的忽略（Chrome App-Bound Encryption bypass）、擷取瀏覽器帳密，也內建HVNC模組，供攻擊者遠端存取受害電腦。</p> <p><a href="https://www.ithome.com.tw/news/174544"><strong style="font-size: 22px;">Google發布電腦版與安卓版Chrome 146更新，修補3項重大漏洞</strong></a></p> <p>3月18日Google發布Chrome 146更新，修補電腦版與安卓版26個資安漏洞，根據嚴重程度，有3個被評為重大、22個有高風險，以及1個有中度風險。用戶應儘速更新至146.0.7680.153或146.0.7680.154版，套用對應的修補機制。這次被評為重大等級的漏洞，包含了CVE-2026-4439、CVE-2026-4440，以及CVE-2026-4441。</p> <p>其中，CVE-2026-4439與CVE-2026-4440都出現在WebGL元件，前者涉及記憶體的越界存取，後者則會造成記憶體越界讀取或是寫入。不過，Google並未在公告說明細節。根據Google在美國漏洞資料庫（NVD）登記的資料，兩者都可透過特製的HTML網頁觸發，CVE-2026-4439會造成沙箱逃逸，而另一個漏洞CVE-2026-4440，攻擊者可任意讀取或寫入資料。</p> <p><a href="https://www.ithome.com.tw/news/174543"><strong style="font-size: 22px;">Adobe電商平臺存在資安漏洞PolyShell</strong></a></p> <p>資安公司Sansec近日揭露名為PolyShell的資安漏洞，攻擊者可濫用Adobe Commerce與Magento的REST API，上傳惡意檔案並植入後門，進而完全控制電商網站。值得留意的是，Adobe目前僅修補預覽版本2.4.9-alpha3，未對正式版本提供相關更新，儘管現在此漏洞沒出現遭利用的跡象，但由於利用的方法已在流傳，接下來可能會出現自動化攻擊，Sansec呼籲網站管理者，必須儘速採取行動因應。</p> <p>PolyShell並非單一漏洞，涉及無限制的檔案上傳、儲存型跨網站指令碼（Stored XSS），以及透過上傳PHP程式碼達到遠端程式碼執行（RCE），有問題的程式碼從Magento 2很早期的版本就被引入。攻擊者利用Magento既有功能觸發PolyShell，通常是濫用產品自訂選項（Custom Options）機制上傳惡意檔案，最終在伺服器執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/174520"><strong style="font-size: 22px;">CISA警告郵件伺服器Zimbra高風險漏洞已被用於攻擊，要求盡速修補</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）近日警告，去年底揭露的高風險漏洞CVE-2025-66376已被實際利用。這意味著，未修補此弱點的Zimbra Collaboration Suite郵件系統的安全風險大增，CISA將其納入已知遭利用漏洞清單（KEV），要求各機構儘速修補。</p> <p>Zimbra是廣獲使用的電子郵件與協作軟體套件，這次CISA警示的CVE-2025-66376漏洞，是Zimbra Classic Web介面的儲存型跨站腳本（XSS）問題，攻擊者可透過特製的HTML電子郵件注入惡意程式碼，進而在用戶開啟郵件時執行任意JavaScript，可能導致用戶工作階段遭劫持，進而造成郵件內容與敏感資料外洩，開發商Zimbra已於2025年11月發布此漏洞的修補程式，尚未更新的用戶應盡速修補，以降低風險。</p> <p><a href="https://www.ithome.com.tw/news/174542"><strong style="font-size: 22px;">郵件伺服器Zimbra的XSS漏洞遭濫用，APT28用於攻擊烏克蘭政府機關</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OperationGhostMail-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/OperationGhostMail-fig1.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Seqrite揭露名為Operation GhostMail的網路間諜行動，俄羅斯駭客組織APT28（Fancy Bear）利用Zimbra郵件系統的跨網站指令碼（XSS）漏洞CVE-2025-66376，鎖定烏克蘭政府機構進行情報蒐集。駭客透過特製電子郵件觸發XSS機制，當受害者在Webmail介面開啟郵件時，惡意JavaScript即會在瀏覽器執行，進而存取帳號內的敏感資料。</p> <p>針對攻擊者接觸目標的過程，他們通常會透過針對性釣魚郵件傳送惡意內容，並將攻擊程式埋藏於HTML。一旦觸發漏洞，攻擊者即可竊取電子郵件內容、聯絡人資訊，甚至包含登入憑證與雙因素驗證（2FA）資料。</p> <p><a href="https://www.ithome.com.tw/news/174546"><strong style="font-size: 22px;">FBI掃蕩伊朗駭客Handala的網站</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/handala-seizure-warrant.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/handala-seizure-warrant.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Bleeping Computer報導，美國聯邦調查局（FBI）近日查封駭客組織Handala的網站，這些網站曾被用來發布攻擊訊息與外洩資料，此舉被視為針對近期Stryker資安事件的執法行動。</p> <p>這些網站分別架設於handala-redwanted[.]to與handala-hack[.]to兩個網域，目前若任何人連至這些網站，皆會看到上面顯示FBI的查封公告，指出該網域已依美國法院核發的扣押令接管，原因是這些網站被用於協助或支持惡意網路活動，且疑似與美國境外的國家級駭客活動有關，為避免出現更多受害者，FBI已採取行動。</p> <p><a href="https://www.ithome.com.tw/news/174551"><strong style="font-size: 22px;">美國與以色列對伊朗發起軍事行動，伊朗駭客發動DDoS攻擊、俄羅斯駭客表態聲援伊朗</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/d99c25530e8ab079fa64a1aed9001bca82b3f704-1999x1214.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/d99c25530e8ab079fa64a1aed9001bca82b3f704-1999x1214.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Intel471表示，在2月28日衝突爆發後數小時內，多個駭客組織即在地下論壇與社群平臺宣稱發動攻擊，顯示地緣政治事件已直接觸發網路攻擊行動。這些攻擊多以意識形態為導向，並與現實世界衝突相互呼應。</p> <p>在攻擊目標方面，有許多駭客聲援伊朗，主要鎖定美國、以色列，以及波斯灣周邊國家，包括政府機構、軍事單位與企業組織，甚至涵蓋航空、科技與基礎設施等關鍵領域。不過，Intel471提到，這些駭客雖然表態支持伊朗，但也有對伊朗資產發動攻擊的情況。</p> <p><a href="https://www.ithome.com.tw/news/174555"><strong style="font-size: 22px;">中國駭客Camaro Dragon假借中東戰爭誘餌攻擊卡達，散布PlugX與Cobalt Strike</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/china-qatar-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-qatar-2.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Check Point指出，具中國背景的國家級駭客組織Camaro Dragon，近期將攻擊焦點轉向卡達，並迅速發動網路間諜行動，顯示地緣政治事件正直接影響網路攻擊態勢。</p> <p>駭客主要透過多階段感染鏈散布惡意軟體，其中一條攻擊鏈會利用LNK檔案啟動後續下載流程，並透過DLL挾持載入合法程式，最終植入PlugX後門。值得留意的是，這些駭客先前就曾使用類似手法，例如，2025年12月以此攻擊土耳其軍事單位。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/open-vsx-extension/">惡意Open VSX延伸套件被用於從GitHub下載惡意軟體，散布RAT木馬與竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/iran-linked-botnet/">伊朗駭客架設殭屍網路，透過15個節點的中繼網路發號施令與從事DDoS攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/invisible-ink-critical-9-6-cvss-jspdf-flaw-xss-cve-2026-31938/">PDF程式庫jsPDF存在重大漏洞，攻擊者有機會用來注入惡意指令碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-langflow-vulnerabilities-rce-file-write-cve-2026-33017/">AI工作流程框架Langflow存在重大層級的RCE與任意檔案寫入漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/03/apple-warns-older-iphones-vulnerable-to.html">蘋果針對iPhone用戶提出警告，指出舊版iOS作業系統容易遭受漏洞利用工具攻擊</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174528"><strong>【3月19日】OS漏洞利用工具DarkSword鎖定加密貨幣資產</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174492"><strong>【3月18日】新型態字型渲染攻擊可騙過AI助理，向使用者顯示惡意內容</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174452"><strong>【3月17日】駭客透過遠端裝置管理平臺抹除Stryker近8萬臺裝置的資料</strong></a></p> </div></div></div>
3/20 16:54作者周峻佑https://www.ithome.com.tw/news/174556
金管會公布「上市櫃公司永續發展路徑圖」最新進展，今年起逾1,600家資本額50億元以下的上市櫃公司應揭露溫室氣體盤查資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為推動2050淨零排放的目標，金管會2022年起推動「上市櫃公司永續發展路徑圖」，按產業特性及實收資本額分三階段推動上市櫃公司從2023年開始在年報及永續報告書中揭露溫室氣體範疇一、二盤查與確信資訊。</p> <p>金管會周四公布「上市櫃公司永續發展路徑圖」最新進展，到去年12月底為止，第一階段企業包括鋼鐵、水泥業以及實收資本額100億元以上的上市櫃公司，約170家已完成個體與合併公司盤查。</p> <p>第二階段企業，包括實收資本額在50億元以上、未達100億元的上市櫃公司，約190家今年起從個體公司應擴大揭露合併子公司的溫室氣體資訊。</p> <p>至於第三階段的企業，實收資本額在50億元以下的上市櫃公司，約有1.654家企業，從今年起開始揭露個體公司的溫室氣體盤查資訊。</p> <p>依照「上市櫃公司永續發展路徑圖」，金管會將全部上市櫃公司，依實收資本額、產業特性分為三階段推動，目標是在2027年完成所有上市櫃公司溫室氣體，2029年完成所有上市櫃公司的溫室氣體確信。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%961(2).jpg" style="width: 600px; height: 321px;" /></p> </div></div></div>
3/20 17:55作者蘇文彬https://www.ithome.com.tw/news/174549
OpenAI收購Astral，AI寫程式邁向開發流程代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/openai-to-acquire-astral/" target="_blank">OpenAI週四（3/19）宣布將</a>收購Python開發工具公司Astral，計畫將其開源工具與工程團隊整合至Codex體系，加速AI在軟體開發全流程的能力布局。雙方並未公布交易金額，仍待監管核准。</p> <p>Astral成立於2021年，由Charlie Marsh於美國創立，是近年快速崛起的Python開源工具公司。其核心產品包括uv、Ruff與ty，分別用於套件與環境管理、程式碼檢查與格式化，以及型別檢查，已成為現代Python開發流程的重要基礎設施，並累積數億次下載。</p> <p>Codex則是OpenAI推出的程式開發AI系統，最初以自動生成程式碼為主，現已轉向「開發代理人」定位，目標是參與整個開發流程，包括需求規畫、修改程式碼、執行工具、驗證結果與後續維護。</p> <p>OpenAI表示，Codex今年用戶數與使用量分別成長3倍與5倍，顯示AI正從輔助工具轉向可實際操作開發流程的系統。Astral的工具正位於開發流程核心，整合後可讓AI直接操作開發者日常使用的工具鏈，提升自動化與可靠性。</p> <p>Astral創辦人<a href="https://astral.sh/blog/openai" target="_blank">Charlie Marsh則說</a>，該公司致力於打造能改變Python開發體驗的工具，加入OpenAI與Codex團隊，將有助於在AI與開發工具交會的前沿持續推進；未來仍會持續投入開源，與社群共同發展Python生態系。</p> <p>OpenAI表示，未來Astral團隊將加入OpenAI，成為Codex核心開發力量之一；將會持續維護Astral的開源專案，同時探索與Codex更緊密的整合方式。</p> <p>市場分析認為，單純的生成程式碼已逐漸商品化，使得真正的競爭優勢轉向AI能否實際操作開發工具與流程，而Astral的工具已成為Python開發流程中的關鍵組成之一。</p> </div></div></div>
3/20 18:06作者陳曉莉https://www.ithome.com.tw/news/174558
臺灣IBM發表第一份金融AI治理框架，提出資安治理外的132項在地化AI控制項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日前臺灣IBM發表了與玉山銀行合作的臺灣第一份金融AI治理框架，結合IBM的治理框架和玉山的實務經驗，完成一套遵循金融現行合規要求的企業級AI治理框架，未來幾個月計畫透過數位金融實務工作圈，推廣給其他金融機構。臺灣IBM早在2年前就展開AI治理框架的在地化工作，要將IBM內部AI治理框架，轉換成可遵循臺灣相關法規要求的版本，去年下旬，進一步和玉山銀行合作，納入第一線金融實務的經驗和需求來調整。</p> <p>玉山銀行是數位金融實務規範工作圈的召集人，這個工作圈的目標之一，就是要建立一套臺灣金融機構的可程式化AI治理框架，包括相關方法論和工具。金管會在2024年6月發布了《金融業運用人工智慧指引》，這些指引大多是原則性的規範，缺乏客觀可量化的評估標準，金融業推動時容易遇到合規舉證的困難，或是不同團隊對相同原則的解讀落差。所以，數位金融實務規範工作圈想要建立一套可以落地執行的AI治理框架，像是不同原則的對應控制措施，量化或質化的評估指標建議等。</p> <p>去年，玉山銀行找上臺灣IBM聯手訂定這套AI治理框架，以IBM的AI治理框架為藍圖，結合玉山推動智慧金融創新應用經驗，完成了這套本土化的金融AI治理框架。</p> <p>臺灣IBM諮詢AI暨數據服務業務主管林桂如指出，這是臺灣第一套金融AI治理框架，要將AI監管的法規指引，轉變成可以落地執行的建議。</p> <p>在這個金融AI治理框架中，提供了一套方法論，針對AI專案的風險量身設計，更貼近AI生命週期流程，提出了AI專案風險管理四大步驟，從評估固有風險、選擇治理控制項、執行治理控制項到評估殘餘風險等步驟。</p> <p>IBM將AI風險分成11種類型，像是公平性、隱私、穩健性、可解釋性的風險類型等，並按照風險程度分成5個等級，包括了禁止使用，高風險、中風險、低風險和無風險，可供企業針對不同風險高度來採取不同強度的控制項手段，而不是一套做法全面套用。</p> <p>這套金融AI治理框架中，IBM整理了132結合實務和監管需求的控制項，林桂如補充，IBM排除企業常見資安標準的控制項，提出了針對AI風險的控制項建議，避免AI風險控管和資安風控做法的重疊。這些控制項可透過金融業常用配套技術實施，目前支援多達96種，企業可以自行選擇。</p> <p>132項AI控制項中，根據實施對象和實施方法，還可以細分成三大類控制項，第一類是與AI治理企業基礎建設相關的企業控制項，來建立AI治理的基礎建設，從企業策略、組織分工、治理流程到變革管理等。這是以企業整體來實施的AI風險對策。</p> <p>另外還有兩類控制項是AI系統層面來看，包括營運控制項和技術控制項，可以適用到AI系統生命週期的各個階段。</p> <p><strong>132項AI控制項可分為三大類，企業控制項、營運控制項和技術控制項。(圖片來源：臺灣IBM)</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%E9%87%91%E8%9E%8DAI%E6%B2%BB%E7%90%86%E6%8E%A7%E5%88%B6%E9%A0%85%E5%88%86%E9%A1%9E-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-IBM.jpeg" /></p> <p><strong>每一個控制項，可以對應到不同的風險類型，更能呼應到金管會的六大AI指引原則。(圖片來源：臺灣IBM)</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%E9%87%91%E8%9E%8DAI%E6%B2%BB%E7%90%86%E6%8E%A7%E5%88%B6%E9%A0%85-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-IBM.jpeg" /></strong></p> <p>不過，臺灣《AI 基本法》在去年底正式發布，數位發展部正在制定臺灣的AI風險管理框架，最快3月底才會完成初稿版本。臺灣IBM的金融AI治理框架，還沒有參考到數發部正在訂定的新版框架，不過，林桂如表示，IBM的金融AI治理框架已有參考臺灣經常借鏡的國際AI規範，再加上也有一套持續修正的PDCA流程設計，等到數發部正式公開新版風險管理框架後，IBM也會盡快迭代更新框架。</p> <p> </p> </div></div></div>
3/20 18:11作者王宏仁https://www.ithome.com.tw/news/174559
FBI掃蕩伊朗駭客Handala的網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3月初，以美國突襲軍事行動導致伊朗一所學校至少175人死亡為由，伊朗駭客Handala進行報復，<strong><a href="https://www.ithome.com.tw/news/174347">對美國醫療科技公司Stryker發動大規模網路攻擊</a></strong>，<strong><a href="https://www.ithome.com.tw/news/174435">滲透裝置管理平臺抹除近8萬臺員工的電腦與行動裝置</a></strong>。現在傳出美國執法機關出手，查封該組織使用的網站。</p> <p>根據資安新聞網站Bleeping Computer報導，<strong><a href="https://www.bleepingcomputer.com/news/security/fbi-seizes-handala-data-leak-site-after-stryker-cyberattack/">美國聯邦調查局（FBI）近日查封駭客組織Handala的網站</a></strong>，這些網站曾被用來發布攻擊訊息與外洩資料，此舉被視為針對近期Stryker資安事件的執法行動。</p> <p>這些網站分別架設於handala-redwanted[.]to與handala-hack[.]to兩個網域，目前若任何人連至這些網站，皆會看到上面顯示FBI的查封公告，指出該網域已依美國法院核發的扣押令接管，原因是這些網站被用於協助或支持惡意網路活動，且疑似與美國境外的國家級駭客活動有關，為避免出現更多受害者，FBI已採取行動。</p> <p>不過，由於FBI並未公開說明此事，因此，該執法機構是否僅接管網域，或已取得相關伺服器及資料，目前不得而知。</p> <p>對此，Handala承認他們的網站遭到扣押，並表示正在建立新的網站，需要更具韌性的基礎設施。</p> </div></div></div>
3/20 12:54作者周峻佑https://www.ithome.com.tw/news/174546
Cursor發布Composer 2模型，強調高階程式開發能力與較低詞元成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI程式開發工具Cursor發布自家模型<a href="https://cursor.com/blog/composer-2">Composer 2</a>，並已在產品中提供使用。該模型主打在維持程式開發能力的同時壓低使用成本，定價為每百萬輸入詞元（Token）0.50美元、每百萬輸出詞元2.50美元。官方還推出另一個較快版本，定價為每百萬輸入詞元1.50美元、每百萬輸出詞元7.50美元，且快速版將成為預設選項。</p> <p>官方公布的CursorBench圖表顯示，Composer 2在較低成本下仍維持61.3分，位置略低於GPT-5.4的high與medium設定，但高於GPT-5.4的low設定，單次任務的中位成本也更低。若與Opus 4.6的high、medium、low三種設定相比，Composer 2則同時位於更高分且較低成本的位置。</p> <p>Composer 2在CursorBench得分61.3，明顯高於Composer 1.5的44.2與Composer 1的38.0，在Terminal-Bench 2.0與SWE-bench Multilingual兩項評測中，Composer 2分別為61.7與73.7，也都高於前兩代。</p> <p>Cursor表示，Composer 2的提升來自新採用的持續預訓練，讓後續強化學習建立在更強的基礎上，之後再針對長任務訓練，使模型能處理需要數百個操作步驟的問題。官方將此類需要連續執行多步驟操作的程式開發工作，稱為長程程式開發任務（Long-horizon Coding Tasks）。</p> <p>當開發者愈來愈常將AI用於程式開發、除錯與推理等工作，詞元成本已成為評估模型時不可忽略的因素。從Cursor這次公布的資料來看，Composer 2的重點除了模型能力提升，也試圖在效能與使用成本之間取得更具吸引力的平衡。</p> <p>不過，這組模型比較結果的測試條件並不完全相同，Cursor指出，Anthropic模型分數採用Claude Code評測執行器，OpenAI模型分數採用Simple Codex評測執行器，Cursor自己的分數則依Terminal-Bench 2.0指定的Harbor評測框架，在預設設定下執行，每組模型與代理組合各測試5次後取平均。因此，這些數據可作為觀察模型表現的參考，但若要直接比較不同模型，仍需考慮代理執行方式與測試條件存在差異。</p> </div></div></div>
3/20 14:35作者李建興https://www.ithome.com.tw/news/174545
微軟評估對Amazon與OpenAI獨家雲端合作採取法律行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ft.com/content/e814f4c3-4fb5-4e2e-90a6-470044436b39?syn-25a6b1a6=1" target="_blank">金融時報報導</a>，微軟考慮提告，以阻止Amazon Web Services（AWS）和OpenAI的AI代理人平臺的獨家合作計畫。</p> <p>上個月<a href="https://openai.com/zh-Hant/index/amazon-partnership/" target="_blank">AWS和OpenAI宣布</a>一項合作計畫。本計畫中，AWS將投資OpenAI 500億美元，且OpenAI將使用其Trainium運算容量以執行Stateful Runtime Environment、Frontier以及其他進階工作負載，OpenAI與Amazon也將合作開發自訂模型，用於支援Amazon的客戶導向應用程式。其中，AWS獲得了Frontier發布的獨家第三方雲端供應商的權利。Frontier為<a href="https://www.ithome.com.tw/news/173797" target="_blank">OpenAI</a>今年初公布的代理人管理平臺，讓企業可開發、部署和管理企業營運用的AI代理人。</p> <p>微軟考慮提告的原因在於，它反對AWS作為Frontier獨家合作供應商的合作事項。微軟認為，AWS上提供Frontier服務可能已違反了微軟和OpenAI合約中的OpenAI模型需經由Azure提供的條款。目前微軟尚未做出最終決定，但已在評估其法律選項，包括是否主張違反合約條款。但消息人士告訴金融時報，如果OpenAI違約，微軟必然會提告。</p> <p><a href="https://www.reuters.com/technology/microsoft-weighs-legal-action-over-50-billion-amazon-openai-cloud-deal-ft-2026-03-18/" target="_blank">路透社</a>引述微軟官方聲明指出，有信心OpenAI理解並且尊重遵守法律義務的重要性。報導指出，雙方在Frontier推出之前曾洽談過並達成共識。</p> <p>在今年二月OpenAI和AWS公布合作後，微軟和OpenAI也在同一年<a href="https://blogs.microsoft.com/blog/2026/02/27/microsoft-and-openai-joint-statement-on-continuing-partnership/" target="_blank">發表</a>共同聲明，指微軟Azure是無狀態OpenAI API的獨家雲端供應商，以便開發人員存取OpenAI模型和智財（IP）。此外，微軟仍然具有OpenAI模型和產品IP的獨家授權和存取權。OpenAI和Amazon的合作也是在和微軟的合作框架下考慮，微軟「很期待看到他們合作的成果」。</p> <p>Amazon和OpenAI都未對此評論。</p> <p>雖然微軟是OpenAI的早期挹注者，但近年彼此都和對方的競爭者尋求合作。隨著OpenAI業務快速擴張，對運算資源的需求激增，公司開始尋求更多元的雲端供應來源，包括AWS。<a href="https://www.ithome.com.tw/news/172340" target="_blank">微軟</a>也於去年11月投資了OpenAI的對手Anthropic 50億美元。</p> </div></div></div>
3/20 14:52作者林妍溱https://www.ithome.com.tw/news/174550
美國與以色列對伊朗發起軍事行動，伊朗駭客發動DDoS攻擊、俄羅斯駭客表態聲援伊朗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4年前烏克蘭戰爭（俄烏戰爭）開打，<strong><a href="https://www.ithome.com.tw/news/149578">聲援烏克蘭和俄羅斯的駭客組織紛紛表達立場</a></strong>，其中惡名昭彰的勒索軟體Conti宣布支持俄羅斯之後，<strong><a href="https://www.ithome.com.tw/news/149598">內部交談內容疑遭成員公布</a></strong>，也傳出有可能是烏克蘭人士所為，種下該組織後續瓦解的原因。如今美國與以色列對伊朗開戰，網路空間也隨即出現明顯變化，全球駭客主義（hacktivism）活動快速升溫，成為衝突延伸的重要戰場。</p> <p><strong><a href="https://www.intel471.com/blog/israeli-us-strikes-against-iran-triggers-a-surge-in-hacktivist-activity">資安公司Intel471表示</a></strong>，在2月28日衝突爆發後數小時內，多個駭客組織即在地下論壇與社群平臺宣稱發動攻擊，顯示地緣政治事件已直接觸發網路攻擊行動。這些攻擊多以意識形態為導向，並與現實世界衝突相互呼應。</p> <p>在攻擊目標方面，有許多駭客聲援伊朗，主要鎖定美國、以色列，以及波斯灣週邊國家，包括政府機構、軍事單位與企業組織，甚至涵蓋航空、科技與基礎設施等關鍵領域。不過，Intel471提到，這些駭客雖然表態支持伊朗，但也有對伊朗資產發動攻擊的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/d99c25530e8ab079fa64a1aed9001bca82b3f704-1999x1214.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/d99c25530e8ab079fa64a1aed9001bca82b3f704-1999x1214.png" style="width: 580px;" /></a></p> <p>相關行動以低門檻且高曝光的攻擊為主，包括分散式阻斷服務（DDoS）、網站竄改，以及宣稱資料外洩等行為。Intel471指出，許多攻擊屬於宣稱型攻擊，實際影響程度不一，主要目的還是在於宣傳與心理戰。</p> <p>Intel471觀察到親伊朗與伊朗相關的駭客組織迅速投入攻擊行動，將自身定位為報復行動的一部分，並透過Telegram等管道擴散攻擊成果與宣傳訊息，放大影響力。不過特別的是，部分親俄羅斯駭客團體也參與相關行動，顯示不同地緣政治陣營之間的網路合作趨勢逐漸浮現，使攻擊規模與複雜度進一步提升。</p> <p>根據Intel471內部追蹤的DDoS活動資料，從2月27日到3月6日，以色列是受影響最嚴重的地區，其次是科威特和約旦。</p> <p>參與的伊朗駭客組織，包含Handala Hack、WeAreUst、UniT 313、Cyber Islamic Resistance，以及曾攻擊美國水力設施的國家級駭客組織Cyber Av3ngers成員等。其中Handala Hack的攻擊範圍最廣，號稱滲透以色列、約旦、沙烏地阿拉伯多個石油與天然氣企業組織。</p> <p>親俄駭客加入行列，他們大部分針對以色列而來，其中，NoName057(16)對以色列企業組織發動攻擊；Z-Pentest Alliance聲稱完全控制以色列某個水資源管理系統與泵浦。比較特別的是，PalachPro表態協助伊朗駭客攻擊以色列與美國的企業組織。</p> <p>整體而言，這起事件反映出網路攻擊已成為現代衝突的重要延伸手段。除了傳統軍事行動外，各方也透過駭客主義團體進行資訊戰與干擾行動，以達成政治與戰略目的。</p> </div></div></div>
3/20 15:02作者周峻佑https://www.ithome.com.tw/news/174551
中國駭客Camaro Dragon假借中東戰爭誘餌攻擊卡達，散布PlugX與Cobalt Strike
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中東政治局勢不斷升溫，2月28日美國與以色列發起史詩狂怒軍事行動（Operation Epic Fury）後，有國家級駭客也趁勢鎖定該區域的國家下手，利用戰爭主題為誘餌散布惡意軟體。</p> <p>資安公司Check Point指出，具中國背景的國家級駭客組織Camaro Dragon，<strong><a href="https://blog.checkpoint.com/research/china-nexus-activity-against-qatar-observed-amid-expanding-regional-tensions/">近期將攻擊焦點轉向卡達</a></strong>，並迅速發動網路間諜行動，顯示地緣政治事件正直接影響網路攻擊態勢。</p> <p>巧合的是，相關攻擊在區域衝突升高後幾乎立即出現。攻擊者利用戰事相關新聞作為誘餌，例如偽裝成巴林美軍基地遭飛彈攻擊的圖片檔案，誘使目標開啟惡意內容，藉此提升社交工程成功率。</p> <p>駭客主要透過多階段感染鏈散布惡意軟體，其中一條攻擊鏈會利用LNK檔案啟動後續下載流程，並透過DLL挾持載入合法程式，最終植入PlugX後門。值得留意的是，這些駭客先前就曾使用類似手法，例如，2025年12月以此攻擊土耳其軍事單位。</p> <p><a href="https://s4.itho.me/sites/default/files/images/china-qatar-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-qatar-2.png" style="width: 580px;" /></a></p> <p>另一波攻擊則透過密碼保護的壓縮檔散布，並利用低品質的AI生成內容冒充以色列政府訊息，投遞Rust開發的惡意程式載入工具，最終部署Cobalt Strike工具，作為後續滲透與橫向移動的基礎。</p> <p>關於Camaro Dragon的來歷，Check Point指出與Earth Preta、Mustang Panda等行動存在重疊，相關惡意程式與基礎設施特徵，也與過去行動一致。</p> <p>Check Point表示，這類攻擊顯示駭客能快速因應重大國際事件，並調整誘餌內容以貼近即時情勢，提高攻擊成功率。過去較少成為主要目標的波灣國家，如今也開始受到關注，顯示攻擊策略出現轉變。</p> </div></div></div>
3/20 15:44作者周峻佑https://www.ithome.com.tw/news/174555
Adobe電商平臺存在資安漏洞PolyShell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在Adobe每月的例行更新裡，電商平臺<strong><a href="https://www.ithome.com.tw/tags/adobe-commerce">Adobe Commerce</a></strong>與<strong><a href="https://www.ithome.com.tw/tags/magento">Magento Open Source</a></strong>（以下簡稱Magento）的相關弱點，經常是該公司呼籲用戶須優先處理的重點項目，現在有資安公司指出，Adobe近期對預覽版本修補的弱點，相關利用方法正在流傳，可能會演變成大規模自動化攻擊。</p> <p>資安公司Sansec近日揭露<strong><a href="https://sansec.io/research/magento-polyshell">名為PolyShell的資安漏洞</a></strong>，攻擊者可濫用Adobe Commerce與Magento的REST API，上傳惡意檔案並植入後門，進而完全控制電商網站。值得留意的是，Adobe目前僅修補預覽版本2.4.9-alpha3，未對正式版本提供相關更新，儘管現在此漏洞沒出現遭利用的跡象，但由於利用的方法已在流傳，接下來可能會出現自動化攻擊，Sansec呼籲網站管理者，必須儘速採取行動因應。</p> <p>PolyShell並非單一漏洞，涉及無限制的檔案上傳、儲存型跨網站指令碼（Stored XSS），以及透過上傳PHP程式碼達到遠端程式碼執行（RCE），有問題的程式碼從Magento 2很早期的版本就被引入。攻擊者利用Magento既有功能觸發PolyShell，通常是濫用產品自訂選項（Custom Options）機制上傳惡意檔案，最終在伺服器執行任意程式碼。</p> <p>這類攻擊的危險之處在於，其行為看似合法操作，容易繞過傳統防護機制。攻擊者可將惡意程式偽裝成正常檔案，例如圖片或附件，在系統未妥善驗證的情況下成功上傳。</p> <p>儘管Adobe已提供了網頁伺服器配置指南，能減少PolyShell帶來的影響，不過，Sansec調查後發現，由於大部分電商網站採用主機代管公司的專屬配置，許多電商平臺上傳資料夾的檔案都暴露在網際網路而有外洩風險，而且，即便網站管理員封鎖檔案的執行，由於上傳的檔案會留存在磁碟裡，未來不論設定變更、伺服器遷移，或是更換網頁伺服器，都有可能因為電商平臺的存取控制不夠周延而持續曝險。</p> </div></div></div>
3/20 11:02作者周峻佑https://www.ithome.com.tw/news/174543
Google發布電腦版與安卓版Chrome 146更新，修補3項重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3月18日Google發布Chrome 146更新，修補<strong><a href="https://chromereleases.googleblog.com/2026/03/stable-channel-update-for-desktop_18.html">電腦版</a></strong>與<strong><a href="https://chromereleases.googleblog.com/2026/03/chrome-for-android-update_18.html">安卓版</a></strong>26個資安漏洞，根據嚴重程度，有3個被評為重大、22個有高風險，以及1個有中度風險。用戶應儘速更新至146.0.7680.153或146.0.7680.154版，套用對應的修補機制。這次被評為重大等級的漏洞，包含了CVE-2026-4439、CVE-2026-4440，以及CVE-2026-4441。</p> <p>其中，CVE-2026-4439與CVE-2026-4440都出現在WebGL元件，前者涉及記憶體的越界存取，後者則會造成記憶體越界讀取或是寫入。不過，Google並未在公告說明細節。根據Google在美國漏洞資料庫（NVD）登記的資料，兩者都可透過特製的HTML網頁觸發，CVE-2026-4439<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-4439">會造成沙箱逃逸</a></strong>，而另一個漏洞CVE-2026-4440，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-4440">攻擊者可任意讀取或寫入資料</a></strong>。</p> <p>第3個重大漏洞CVE-2026-4441影響Base元件，為記憶體釋放後再存取（Use After Free）型態的弱點，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-4441">Google在NVD指出</a></strong>，遠端攻擊者透過特製的HTML網頁，有機會造成記憶體堆積損壞（Heap Corruption）。</p> </div></div></div>
3/20 12:02作者周峻佑https://www.ithome.com.tw/news/174544
Alphabet分拆建築專案協同平臺Anori
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Alphabet X Moonshot Factory本週<a href="https://www.anori.com/" target="_blank">分拆最新一家公司Anori</a>，專門提供建築業設計的專案協同平臺。</p> <p>Anori是專為堪稱最複雜的建築專案而設計。Anori總經理William O'Donnell指出，建築開發專案需要協同多方關係人士、尋求核准、變更計畫，使一個專案動輒拖延數年，甚至一個小改動就會造成專案混亂或失敗，此外若遇到合規問題，所有流程可能都得重新來過。Techcrunch引述X主管Astro Teller指出，Anori旨在解決建築師設計到動工前的2到4年的專案時期，這段被稱為前開發期的期間往往大為燒錢且可能導致專案夭折。</p> <p>Anori就是為解決此類問題而生。它是一個共享AI平臺，可將開發者、設計者、工程人員和市府單位集結於一處，以及早發現衝突或法規問題，確保專案進行。Teller指，Anori一開始專注在3到6樓，集結5到100單元的住宅建築，因為市場上這型態建案需求和混亂問題也最多。此外，該公司也計畫切入醫院以及資料中心等建築型態。</p> <p>Techcrunch<a href="https://techcrunch.com/2026/03/19/alphabets-x-has-a-new-spinout-and-its-going-after-one-of-the-worlds-most-expensive-bureaucratic-nightmares/" target="_blank">報導</a>，Anori獲得全球最大不動產持有公司Prologis及專注建築業的風險投資業者Builders VC領投，並獲得Alphabet X的投資部門Series X Capital等的挹注，共募得2600萬美元。</p> <p>Anori為今年第一家分拆自X的新創公司。前一家是2025年3月的無線光纖開發商Taara。二家公司連同X分拆的另二家公司，包括電網AI管理平臺Tapestry和AI塑膠回收感測系統Materra去年已與巴西里約熱內盧（Rio de Janeiro）市政府建立一項合作。根據<a href="https://convergenciadigital.com.br/inovacao/rio-ai-city-prefeitura-fecha-com-google-um-google-maps-da-rede-eletrica-e-internet-sem-fio-de-alta-velocidade/" target="_blank">報導</a>，本計畫將里約打造為拉丁美洲首個由AI驅動的基礎建設的城市，改善城市的運作效率，特別是在通訊連接（Connectivity）、永續發展、能源以及都市規劃。</p> </div></div></div>
3/20 13:56作者林妍溱https://www.ithome.com.tw/news/174547
從VR轉向手機，Meta調整Horizon Worlds策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta近日調整Horizon Worlds策略。Quest官方社群原本<a href="https://communityforums.atmeta.com/blog/AnnouncementsBlog/updates-to-your-meta-quest-experience-in-2026/1369435" target="_blank">於本週宣布</a>，Horizon Worlds與Events將在3月31日前從Quest商店下架，Quest上的Horizon Worlds app也會在6月15日移除，後續由手機版承接。不過Meta技術長Andrew Bosworth<a href="https://www.instagram.com/stories/highlights/18021076667812693/" target="_blank">隨後澄清</a>，VR版Horizon Worlds在「可預見的未來」仍會存在，意味著Meta並未完全關閉VR版本，只是產品主軸已從VR優先轉向手機優先。</p> <p>Meta在2021年10月正式從臉書（Facebook）<a href="https://www.ithome.com.tw/news/147558" target="_blank">更名為Meta</a>，藉以宣誓公司未來將致力於打造新一代的元宇宙（Metaverse）；同年12月<a href="https://www.ithome.com.tw/news/148300" target="_blank">開放</a>北美用戶測試Horizon Worlds虛擬社交平臺，該平臺允許使用者於虛擬世界中建立自己的世界，打造自己的遊戲，或者是探索與執行他人所建造的世界與遊戲，當時只有Quest頭戴式虛擬裝置用戶才能存取Horizon Worlds，Horizon Worlds也被視為Meta元宇宙願景的重要元素。</p> <p>然而，Horizon Worlds在VR領域的發展似乎不如預期。Meta在2月19日<a href="https://developers.meta.com/horizon/blog/2026-vr-state-of-the-union-horizon-mobile-focus/" target="_blank">宣布</a>，將拆分Quest VR平臺與Horizon Worlds平臺，其中，Quest持續聚焦VR內容與開發者生態，Worlds則幾乎全面轉向行動裝置。</p> <p>Meta解釋，這是因為手機端的成長大幅超越VR。光是在2025年，Horizon Worlds手機端的每月用戶數成長了4倍，手機端專屬的Worlds從0增加到逾2,000個，有4位創作者累計營收突破100萬美元，近百位創作者去年收入達6位數。相較之下，Quest頭戴裝置上有86%的有效使用時間流向第三方應用程式，而非自家Worlds。</p> <p>Bosworth之後則說，VR版Worlds仍會保留既有內容與用戶存取，但未來不再推出新的VR遊戲或大幅擴張內容。換言之，VR端的Horizon Worlds將進入維護模式，未來的成長則押注於手機端。</p> <p>現階段Meta並未完全退出VR，只是把重心從VR/AR<a href="https://www.ithome.com.tw/news/173336" target="_blank">轉向AI</a>，一方面裁撤Reality Labs員工，另一方面<a href="https://www.ithome.com.tw/news/173652" target="_blank">也規畫了</a>1,150億至1,350億美元的資本支出，以用來支援Meta超級智慧實驗室（Meta Superintelligence Labs）及核心業務。</p> </div></div></div>
3/20 14:17作者陳曉莉https://www.ithome.com.tw/news/174548
郵件伺服器Zimbra的XSS漏洞遭濫用，APT28用於攻擊烏克蘭政府機關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週<strong><a href="https://www.ithome.com.tw/news/174520">美國網路安全暨基礎設施安全局（CISA）提出警告</a></strong>，開源郵件伺服器系統Zimbra Collaboration Suite於<strong><a href="https://blog.zimbra.com/2025/11/patch-release-update-zimbra-10-1-13-10-0-18/">去年11月修補</a></strong>的已知漏洞CVE-2025-66376，出現遭到利用的跡象，他們將其列入已遭利用的漏洞名單（KEV），<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2025-66376&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=">要求聯邦機構於4月1日前完成修補</a></strong>，不過究竟該漏洞如何被利用，CISA並未說明。有資安公司透露，俄羅斯APT駭客利用該漏洞滲透烏克蘭政府機構。</p> <p>資安公司Seqrite揭露<strong><a href="https://www.seqrite.com/blog/operation-ghostmail-zimbra-xss-russian-apt-ukraine/">名為Operation GhostMail的網路間諜行動</a></strong>，俄羅斯駭客組織APT28（Fancy Bear）利用上述Zimbra郵件系統的跨網站指令碼（XSS）漏洞，鎖定烏克蘭政府機構進行情報蒐集。駭客透過特製電子郵件觸發XSS機制，當受害者在Webmail介面開啟郵件時，惡意JavaScript即會在瀏覽器執行，進而存取帳號內的敏感資料。由於惡意程式在瀏覽器中執行，而非直接入侵端點電腦，使一般端點防護機制難以偵測。其核心目的是長期監控受害者郵件帳號，進行情報蒐集。</p> <p>針對攻擊者接觸目標的過程，他們通常會透過針對性釣魚郵件傳送惡意內容，並將攻擊程式埋藏於HTML。一旦觸發漏洞，攻擊者即可竊取電子郵件內容、聯絡人資訊，甚至包含登入憑證與雙因素驗證（2FA）資料。</p> <p>在其中一起釣魚郵件攻擊裡，駭客疑似滲透烏克蘭國家國內事務學院（NAVS）學生的電子郵件信箱，於1月22日寄信給烏克蘭國家水文局，聲稱自己是四年級學生，想要了解是否有實習的機會，或是請收信人提供更合適的聯絡窗口。附帶一提的是，駭客表示有可能寄錯人而道歉，這麼做的目的，是與收信人建立信任關係。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OperationGhostMail-fig1.png" style="width: 580px;" /></p> <p>值得留意的是，這封信來自NAVS的基礎設施，而且沒有惡意附件或是連結，不過，駭客直接將惡意程式碼嵌入HTML的主體（Body），透過VirusTotal進行掃描，沒有防毒引擎將其視為有害。</p> <p>然而，一旦收信人透過Zimbra網頁介面開啟釣魚信，就會觸發CVE-2025-66376，啟動JavaScript惡意程式載入工具，然後執行第二階段的有效酬載，載入瀏覽器使用的記憶體區塊，此酬載是竊資軟體，可擷取登入憑證、SOAP連線階段（Session）的權杖（Token）、電子郵件的內文與附件，以及Cookie等。</p> <p>這起攻擊突顯郵件系統仍是國家級駭客的重要目標，由於漏洞可透過寄送郵件遠端觸發，且許多組織未即時更新系統，使攻擊者能以低成本取得高價值情報。</p> </div></div></div>
3/20 10:12作者周峻佑https://www.ithome.com.tw/news/174542
Stripe與Tempo共推MPP，要把AI代理付款接進既有金流體系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Stripe與Tempo<a href="https://stripe.com/blog/machine-payments-protocol">推出</a>協定<a href="https://docs.stripe.com/payments/machine/mpp">MPP（Machine Payments Protocol）</a>，要替AI代理建立一套可程式化的付款流程。MPP的基本機制是當代理向API或其他服務請求付費資源時，伺服器先回傳HTTP 402與付款資訊，代理完成授權後再重新送出請求，便可取得內容與收據。</p> <p>商家可沿用PaymentIntents API處理機器支付（Machine Payments），款項仍可進入原有Stripe餘額，退款、報表與多幣別撥款流程也比照一般交易。對以API、資料或服務存取為主的業者來說，相當於提供了一條讓AI代理按次付費，而不必另建全新結帳系統的路徑。</p> <p>Stripe把傳統支付工具納入同一套代理交易流程，MPP協定本身定義的是代理與服務之間的付款互動方式，實際付款可走不同路徑，例如直接使用加密貨幣，或透過SPT（Shared Payment Tokens）承載卡片、電子錢包等既有支付方式。</p> <p>SPT是由代理代表用戶授予商家的支付憑證，可設定金額上限、幣別與到期時間等使用限制，商家在收到SPT後，便能直接透過PaymentIntents API發動請款完成交易。至於Tempo，則是一條以支付為核心設計的區塊鏈，主打穩定幣支付、低手續費與適合支付情境的高交易吞吐量。藉由MPP機制，包含信用卡、電子錢包以及鏈上原生支付在內的各種支付方式，都能被納入MPP的交易流程中。</p> <p>機器支付與SPT目前為私有預覽，相關功能雖已公開說明與提供整合方式，但仍處於有限開放階段。另外，<a href="https://corporate.visa.com/en/sites/visa-perspectives/innovation/visa-card-specification-sdk-for-machine-payments-protocol.html">Visa</a>從既有的卡片支付網路切入機器支付場景，成為MPP的設計夥伴之一，推出延伸MPP的卡片支付規格與對應SDK，讓以Tempo區塊鏈為代表的穩定幣支付，以及全球卡片組織網路，都能串接同一套機器支付流程。</p> </div></div></div>
3/20 08:37作者李建興https://www.ithome.com.tw/news/174540
蠕蟲程式GlassWorm染指瀏覽器擴充套件，Chrome外掛恐遭植入遠端控制木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週末多家資安公司揭露蠕蟲蠕蟲<strong><a href="https://www.ithome.com.tw/tags/glassworm">GlassWorm</a></strong>最新一波攻擊行動，<strong><a href="https://www.ithome.com.tw/news/174484">資安社群平臺OpenSourceMalware指出</a></strong>，這是同時針對四大開發生態系：GitHub、NPM、VS Code、PyPI的攻擊，後續最新的調查結果發現，此蠕蟲也開始對瀏覽器延伸套件伸出魔掌。</p> <p>3月18日資安公司Aikido提出警告，GlassWorm供應鏈攻擊再度升級，<strong><a href="https://www.aikido.dev/blog/glassworm-chrome-extension-rat">攻擊者開始鎖定Chrome延伸套件</a></strong>，並在套件植入以WebSocket為基礎的RAT木馬，進一步擴大感染範圍至終端使用者環境。這起事故的發現，代表攻擊者正全面滲透開發者生態，從開發環境一路延伸至終端使用者。</p> <p>這波活動鎖定開發者與使用者常用的Chrome延伸套件，攻擊者透過入侵或控制套件發布流程，在新版本加入惡意程式碼，導致使用者在安裝或更新套件時即遭感染。</p> <p>此惡意程式會於瀏覽器載入擴充套件時執行，並透過Google行事曆與C2伺服器建立連線，使攻擊者可遠端控制受害裝置。該RAT具備多項功能，包括Chrome應用程式綁定加密機制的忽略（Chrome App-Bound Encryption bypass）、擷取瀏覽器帳密，也內建HVNC模組，供攻擊者遠端存取受害電腦。此外，駭客也透過特定的二進位檔案，企圖對使用者發動釣魚攻擊，洗劫Ledger和Trezor加密貨幣錢包。</p> <p>Aikido指出，這類攻擊特別危險之處在於，瀏覽器延伸套件通常具備高權限，可存取Cookie、瀏覽記錄與頁面內容，一旦遭濫用，攻擊者可進一步竊取登入憑證與敏感資料。</p> <p>此外，GlassWorm延續其過往攻擊特徵，採用高度隱匿技術，例如混淆程式碼與延遲執行機制，以避開安全檢測。部分樣本也會透過遠端伺服器動態載入惡意模組，使攻擊行為更具彈性。</p> <p>值得留意的是，駭客也打算對應用程式框架React Native下手，<strong><a href="https://www.aikido.dev/blog/glassworm-strikes-react-packages-phone-numbers">Aikido於3月16日發現</a></strong>，GlassWorm感染了兩個適用於該框架的NPM套件，若是開發者不慎安裝，其Windows憑證可能就會被擷取，加密貨幣也會遭到清空。這些NPM套件最近一個月被下載近13.5萬次，影響恐怕相當廣泛。</p> </div></div></div>
3/19 15:10作者周峻佑https://www.ithome.com.tw/news/174526
【資安日報】3月19日，iOS漏洞利用工具DarkSword鎖定加密貨幣資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174523"><strong style="font-size: 22px;">iOS漏洞攻擊鏈DarkSword鎖定加密錢包，攻擊iPhone從網路間諜活動走向牟取經濟利益</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/darksword-ios-exploit-chain-fig1a_max-2200x2200.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/darksword-ios-exploit-chain-fig1a_max-2200x2200.jpg" style="width: 300px; float: right;" /></a></p> <p>科技公司Google、Lookout，以及iVerify揭露名為DarkSword的iOS漏洞攻擊鏈，該攻擊鎖定iPhone用戶，能在短時間內竊取包含加密錢包在內的大量敏感資料。相較過去多數針對iPhone的攻擊以監控與情報蒐集為主，DarkSword不僅具備完整間諜能力，也明確鎖定加密資產，顯示行動裝置攻擊開始從單純監控延伸至以金錢為導向的變現動機。</p> <p>DarkSword攻擊鏈自2025年11月起即被Google觀測到，並持續出現在不同攻擊行動中；Lookout則在後續分析惡意基礎設施時還原出完整攻擊鏈，並與Google及iVerify共同確認，將此漏洞利用工具命名為DarkSword。</p> <p><a href="https://www.ithome.com.tw/news/174512"><strong style="font-size: 22px;">思科防火牆管理平臺零時差漏洞遭勒索軟體駭客Interlock濫用，最早可追溯至一月底</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PR-post-image.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PR-post-image.jpg" style="width: 300px; float: right;" /></a></p> <p>Amazon威脅情報團隊指出，勒索軟體駭客組織Interlock自1月26日開始，就將CVE-2026-20131用於實際攻擊行動，時間是早於思科公布漏洞的36天前。該公司循線調查，認為Interlock手裡握有許多零時差漏洞，使得攻擊者能在企業組織無法察覺之前進行滲透。Amazon發現Interlock不當配置的基礎設施，並在其中找到該組織犯案的完整工具包，從而得知駭客的多階段攻擊鏈、RAT木馬程式、偵察用的指令碼，以及迴避偵測的技術。</p> <p>究竟Interlock如何將漏洞用於實際攻擊？他們對Secure FMC特定路徑發出HTTP請求，請求內容包含Java程式碼的執行，以及兩個嵌入的網址，其中一個網址用於傳送利用漏洞的組態資料，另一個則是讓受害系統發出HTTP PUT請求，並上傳特定檔案，目的是回傳、確認漏洞成功利用。</p> <p><a href="https://www.ithome.com.tw/news/174513"><strong style="font-size: 22px;">GNU Inetutils的telnetd存在重大漏洞，未通過身分驗證的攻擊者可執行任意程式碼</strong></a></p> <p>資安公司Dream Security發布漏洞公告指出，由GNU專案開發的網路工具軟體套件GNU Inetutils，其中的telnetd（telnet daemon）元件存在重大漏洞CVE-2026-32746，攻擊者無需登入或通過身分驗證，即可透過特製封包觸發遠端程式碼執行（RCE），並取得系統最高權限，CVSS評分高達9.8，屬於重大層級。該公司表示，問題出在telnetd處理LINEMODE SLC（Set Local Characters）協商機制時，未正確檢查緩衝區大小，導致典型的記憶體緩衝區溢位。</p> <p>攻擊者只需透過Telnet連線，在連線初始交握的階段傳送特製SLC資料，即可觸發漏洞。此漏洞的根源在於程式在處理SLC參數時，會持續將資料寫入固定大小的緩衝區，但未檢查是否已達上限。攻擊者可透過大量惡意資料覆寫記憶體，進而實現任意寫入，最終達成遠端程式碼執行。</p> <p><a href="https://www.ithome.com.tw/news/174519"><strong style="font-size: 22px;">研究人員揭露攻擊鏈Claudy Day，攻擊者可透過Google搜尋埋藏惡意指令發動</strong></a></p> <p>資安公司Oasis Security揭露名為Claudy Day的攻擊手法，指出攻擊者可串連3種漏洞，在未使用惡意軟體或釣魚郵件的情況下，直接竊取使用者在Claude上的對話資料。該攻擊鏈結合3項弱點，包括隱藏式提示注入、Files API濫用，以及claude.com網站的開放式重新導向漏洞，形成完整的資料外洩攻擊流程。Oasis Security強調，攻擊者無須使用其他工具或MCP伺服器，也不用進行任何整合的工作，針對開箱即用的Claude.ai連線階段（Session）進行對話內容的竊取。對此，Anthropic在接獲通報後，修補了提示注入問題，其餘兩個弱點仍在進行改善。</p> <p>這項攻擊之所以得逞的其中一個原因，在於使用者看到的提示內容，與實際送入AI模型的內容不同，造成AI系統在使用者不知情的情況下執行惡意指令。</p> <p><a href="https://www.ithome.com.tw/news/174479"><strong style="font-size: 22px;">網頁伺服器軟體Nginx第三方管理介面存在重大漏洞，可能導致資料外洩與系統遭到接管</strong></a></p> <p>針對開源網頁伺服器與反向代理軟體Nginx的第三方圖形管理介面工具Nginx UI，近日揭露可能導致資料外洩的重大漏洞CVE-2026-27944，CVSS嚴重性評分達9.8，這個漏洞會影響Nginx UI 2.3.2以前版本，解決方法是升級到2.3.3以後版本。</p> <p>問題出在Nginx UI的/api/backup端點未設置身分驗證機制，以致未經授權的遠端使用者可下載備份檔案，且系統回應內容中同時包含解密金鑰，讓攻擊者可直接還原加密的備份檔案，藉此取得使用者帳號密碼、使用者憑證、會話Tokens、SSL 金鑰、Nginx 系統配置等敏感資訊，進而入侵並接管系統。</p> <p><a href="https://www.ithome.com.tw/news/174420"><strong style="font-size: 22px;">OpenSSH存在GSSAPI金鑰交換導致服務中斷漏洞</strong></a></p> <p>資安研究人員近日揭露，Linux常用的遠端存取工具OpenSSH，存在與GSSAPI（Generic Security Services Application Program Interface）金鑰交換機制相關的漏洞，漏洞編號為CVE-2026-3497，CVSS嚴重性評分6.9，但影響範圍相當大，可能衝擊大量依賴OpenSSH的服務，建議用戶儘速更新。</p> <p>問題出在部分Linux發行版在OpenSSH套件中，額外加入的 GSSAPI Key Exchange修補程式存在缺陷，可能在處理GSSAPI相關驗證與連線時造成錯誤，遠端攻擊者只要建立特製連線，就可能觸發錯誤並導致SSH程序終止，導致服務中斷。</p> <p><a href="https://www.ithome.com.tw/news/174515"><strong style="font-size: 22px;">北韓駭客Konni透過網釣散布惡意軟體EndRAT，企圖利用即時通訊軟體擴大感染範圍</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/[Figure 1-1] Overall Attack Flow.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5BFigure%201-1%5D%20Overall%20Attack%20Flow.png" style="width: 300px; float: right;" /></a></p> <p>韓國資安公司Genians指出，Konni近期發動新一波魚叉式釣魚攻擊，誘騙目標下載惡意檔案，一旦入侵成功，便進一步濫用韓國即時通訊平臺KakaoTalk帳號對外擴散攻擊，使受害電腦成為傳播惡意程式的節點。攻擊者首先透過電子郵件寄送與北韓議題相關的誘餌，內含惡意LNK捷徑檔，當受害者開啟後，電腦會下載後續有效酬載，並植入RAT木馬，讓駭客得以長期潛伏並竊取資料。</p> <p>在取得裝置控制權後，駭客會存取受害者已登入的KakaoTalk應用程式，直接向聯絡人發送惡意檔案。由於訊息來自熟識對象，收件者較不易起疑，進而擴大感染範圍。</p> <p><a href="https://www.ithome.com.tw/news/174524"><strong style="font-size: 22px;">微軟公布解決三星電腦無法存取C槽的方法</strong></a></p> <p>上週部分三星桌上型電腦及筆電在安裝微軟二月份安全更新後無法存取C槽，後續微軟證實此事，並指出原因出在三星公用程式Galaxy Connect，對此，微軟3月16日公布解決方法。</p> <p>微軟指出，用戶可移除Galaxy Connect，然後重開機以管理員帳號登入系統，並依照指引修復C槽的存取權限，藉此排除異常。同日微軟發布Windows 11例外更新，修補24H2與25H2版無法顯示連結藍牙裝置的問題。</p> <p><a href="https://www.ithome.com.tw/news/174449"><strong style="font-size: 22px;">縱觀導致資料損毀的多種因素，臺灣企業對硬體故障與人為失誤的擔憂，超越勒索軟體</strong></a></p> <p>導致企業資料損毀的原因，通常包括勒索軟體等外部攻擊，以及儲存設備故障、人為失誤等內部因素。在勒索軟體的肆虐下，外部攻擊長期被視為主要資料損毀風險來源，不過群暉科技（Synology）發布的2026年《台灣企業資料保護大調查》結果顯示，過去一年內，臺灣企業對於人為失誤導致資料損毀的疑慮大幅增加，已略微超過對勒索軟體的顧慮。</p> <p>群暉的報告顯示，相較於2025年，2026年臺灣企業對資安挑戰的威脅來源認知順位，已有明顯變化。 2025年三大資安挑戰的順位，依序是：勒索軟體、硬體故障，以及人為疏失；2026年的排名，則變動為硬體故障、人為疏失、勒索軟體，其中人為疏失的比例更從40%大幅提高至65.6%，顯示企業對勒索軟體的關注相對下降，而對內部操作風險的重視提高，意味企業資料風險正從外部攻擊轉向內部操作失誤。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/03/cisa-warns-of-zimbra-sharepoint-flaw.html">美國警告Zimbra、SharePoint已知漏洞遭到利用，要求聯邦機構限期修補</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/03/ubuntu-cve-2026-3888-bug-lets-attackers.html">ConnectWise修補遠端管理工具ScreenConnect重大漏洞，攻擊者可未經授權存取及權限提升</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/03/9-critical-ip-kvm-flaws-enable.html">4款平價的KVM裝置存在9項資安漏洞，未經身分驗證的攻擊者有機會取得root權限</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/fancybear-server-leak/">APT28成功入侵烏克蘭、羅馬尼亞、保加利亞等多個歐洲國家的政府機關與軍事單位，竊得逾2,800封電子郵件</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nordstroms-email-system-abused-to-send-crypto-scams-to-customers/">百貨公司Nordstrom電子郵件系統遭濫用，駭客用於加密貨幣詐騙</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174492"><strong>【3月18日】新型態字型渲染攻擊可騙過AI助理，向使用者顯示惡意內容</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174452"><strong>【3月17日】駭客透過遠端裝置管理平臺抹除Stryker近8萬臺裝置的資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174425"><strong>【3月16日】歐美多國合作圍剿常駐型代理伺服器網路SocksEscort</strong></a></p> </div></div></div>
3/19 15:32作者周峻佑https://www.ithome.com.tw/news/174528
DEVCORE警示企業AI應用莫輕忽Web防護，剖析Wi-Fi晶片與軟體供應鏈安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>以紅隊演練聞名的臺灣資安業者戴夫寇爾（DEVCORE），在3月14日（週六）舉行年度研討會DEVCORE Conference 2026，今年已是第五度舉辦，持續探討企業實際資安風險與駭客創新攻擊技法。</p> <p>今年研討會有3大焦點議題受關注：首先，警示LLM應用已成為企業Web防護的新破口；其次，展現攻擊研究延伸至多個領域的成果，包含探索臺灣Wi-Fi晶片的底層漏洞，以及剖析軟體供應鏈中套件儲存庫（Package Registry）的潛在攻擊面。</p> <p>特別的是，這場攻擊技術研討會也呈現多元視角的技術碰撞。在這場活動上，我們亦看到特別邀請來自外部的專家提供獨到見解，讓研究人員可從不同維度切入思考<strong>。</strong>例如，從藍隊角度出發的Cisco Talos專家深度解析EDR偵測邏輯，以及EDR與AI的結合應用，同時也引導聽眾反思自動化防禦的邏輯極限；還有Huli技術部落格站長從前端暨資安人員角度揭示，即便是不被Chromium官方視為漏洞的瀏覽器特性（Feature），在特定攻擊情境下，仍能成為研究人員挖掘深層漏洞的切入點。</p> <h3><strong>重視新興LLM攻擊手法之餘，原有Web防禦同樣需要到位，才不會讓這裡成為破口</strong></h3> <p>在這次大會的首場演說中，戴夫寇爾紅隊主管鍾孟勳（Alan）示警指出：企業LLM應用已成為企業Web防護的新破口。他強調，當今企業正加速導入LLM助理，不論是對外可擔任客服機器人，對內則是知識查詢與工程輔助工具，但這些LLM應用的安全風險必須兼顧，主要有兩大層面，在關注MITRE ATLAS等新興LLM攻擊手法之餘，更不能忽視的是傳統Web攻擊的防禦。若基本防護未做足，這類新興應用極可能成為企業資料外洩或遭駭客入侵的致命破口。</p> <p>鍾孟勳表示，在戴夫寇爾紅隊演練的經驗中，已多次發現這類問題，因此他也以四起實際案例，希望喚起大家對這類風險的重視。</p> <p>在第一個案例中，企業雖然已實施提示注入（Prompt Injection）防護，先透過/check API對使用者輸入做內容檢查，再以/check/complete呼叫後端LLM取得回應，然而，發動攻擊的紅隊人員發現可直接對/check/complete下手的情況，完全繞過檢查機制，導致Prompt防護形同虛設。這在本質上，就是典型的Web邏輯繞過問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）DEVCORE Conference 2026_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89DEVCORE%20Conference%202026_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>第二個案例，發生在一個具備多次戴夫寇爾紅隊演練經驗的單位，按理防線應已相對鞏固。然而，在該單位新部署聊天機器人後，紅隊深入分析發現，其前端JavaScript程式碼竟暴露了一支關鍵API——只需帶入帳號ID，即可取得對應的JWT（JSON Web Token）。後續，戴夫寇爾研究人員進一步結合對該網域帳號命名規則的掌握，批次獲取多組JWT，成功滲透並登入AI應用後臺，該情形導致各個帳號的對話清單與歷史紀錄可被讀取。</p> <p>其餘兩個案例，則是突顯：「與LLM應用相連的元件都可能成為攻擊面」。簡單來說，其中一起案例是向量資料庫成攻擊突破口，戴夫寇爾紅隊透過自動化流程中暴露的憑證，直接入侵雲端儲存與向量資料庫，奪取內部開發文件與RAG知識庫；另一起案例是從Kubernetes容器為攻擊突破口，戴夫寇爾紅隊從Kubernetes容器讀取對話紀錄，發現開發者為優化程式將原始碼與高權限帳號資訊貼入對話，導致紅隊最終成功接管網域控制器與整體網域。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）DEVCORE Conference 2026_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89DEVCORE%20Conference%202026_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖6）DEVCORE Conference 2026_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89DEVCORE%20Conference%202026_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 295px;" /></a></p> <p>綜觀這些實際案例，我們可以發現，戴夫寇爾主要是提醒企業在導入LLM應用時，考量新型態攻擊手法防禦時，切記傳統Web資安風險並未消失。最重要的防禦核心重點，就是「邏輯漏洞、權限控管、資料外洩」，企業應全面盤點系統架構，並防範使用者因過度信任內部系統而上傳機敏資訊，建議定期清查對話與系統紀錄，以評估並防範潛在的資安威脅。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）DEVCORE Conference 2026_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89DEVCORE%20Conference%202026_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h3><strong>鎖定臺廠Wi-Fi晶片安全研究，拓展本土硬體漏洞挖掘新視野</strong></h3> <p>臺灣身為全球網通設備與晶片製造重鎮，網通設備上游的晶片與協定安全亦成為不可忽視的關鍵議題。戴夫寇爾近年積極將研究觸角延伸這一領域，其針對「Wi-Fi安全」的最新研究，亦展現出守護本土關鍵元件安全的決心與實力。</p> <p>戴夫寇爾資安研究員高瑋哲（Ray）指出，國際上有不少研究是針對高通、博通的Wi-Fi晶片而來，因此他們鎖定臺灣大廠聯發科的晶片來研究，並期望提升本土產品安全性。</p> <p>在此演說中，主要藉由挖掘Wi-Fi協定與聯發科驅動程式漏洞（CVE-2025-20674、CVE-2025-20685、CVE-2025-20686、CVE-2025-20710、CVE-2025-20711、CVE-2025-20712）的經驗，說明Wi-Fi實作上的安全問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）DEVCORE Conference 2026_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89DEVCORE%20Conference%202026_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>他並建議其他研究人員，可從「Wi-Fi驅動程式」與「廠商Wi-Fi客製協定」兩大面向著手，將有許多攻擊面可以繼續探索。主要原因在於，各家Wi-Fi晶片廠商都有自己的Wi-Fi實作方式，有些設備廠商也會基於Wi-Fi協議，制定延伸協議。</p> <p>而從這項研究結果來看，也突顯此層面問題需要多方注意。例如，他建議，以設備廠商而言，應預設開啟KASLR、Freelist Hardening等核心防禦機制，提高遠端Heap利用難度，並持續追蹤晶片廠商PSIRT所發布的修補公告。若不確定自家設備安全性是否足夠，也可透過相關服務廠商來提供深入分析；以設備用戶而言，應定期更新設備韌體，並以網段隔離降低任意Data Frame注入的影響。　</p> <h3><strong>聚焦套件儲存庫本身安全，擴展臺灣軟體供應鏈安全研究方向</strong></h3> <p>軟體供應鏈安全的攻擊思維揭露，同樣是本屆研討會的一大亮點。這類研究過往多由國外研究人員發表成果，此次國內專家分享其第一手實務經驗，不僅展現了臺灣的研究能量，也能啟發國內研究人員對於軟體供應鏈安全的思考。</p> <p>特別的是，戴夫寇爾資安研究員黃志仁（splitline）揭示了不同以往的攻擊維度。有別於過往新聞報導常見的開發者帳號遭接管，或是拼字仿冒（Typosquatting）等社交工程手段，他將目光投向了供應鏈源頭的另一重要環節——套件儲存庫（Package Registry）。</p> <p>黃志仁指出，套件儲存庫作為供應鏈源頭的重要一環，開發者們習慣從這些「被廣泛信任的套件儲存庫來源」下載套件，但若儲存庫本身一旦出現破口，影響規模極大。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）DEVCORE Conference 2026_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89DEVCORE%20Conference%202026_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>而黃志仁在這方面的探索，也證明了許多套件儲存庫確實存在不安全的實例。例如：以針對Lua程式語言LuaRocks套件儲存庫的研究為例，由於安裝時依賴manifest與檔名解析版本，進而發現存在Manifest注入與檔名解析錯誤，攻擊者可藉由反斜線跳脫或歧義版本號的處理方式，覆蓋合法套件，達成開發者端的遠端程式碼執行（RCE）。 </p> <p>以Objective-C程式語言的CocoaPods套件儲存庫為例，他發現了開發者註冊時僅以8位數隨機碼驗證且永不過期的狀況，若以生日攻擊（Birthday Attack）結合大量註冊，可將原先需約2.5年才能暴力破解的情境，縮短至約42分鐘即能劫持任意開發者帳號，驗證機制明顯不足。</p> <p>以.NET程式語言的NuGet套件儲存庫為例，檢視其上傳流程，區分為上傳時驗證與背景發布等兩個階段，它們的路徑判斷卻不一致，攻擊者可構造含反斜線路徑的ZIP檔，使驗證放行卻在發布階段將惡意內容當合法套件處理。</p> <p>這些問題在通報廠商後，已經完成修補。換言之，若沒有研究人員發現先通報，就可能被駭客發現利用的空間。他也提到，上述成果僅是研究中的冰山一角，鼓勵大家能持續針對此一領域深入挖掘。</p> <p> </p> </div></div></div>
3/19 17:00作者羅正漢https://www.ithome.com.tw/news/174532
Google DeepMind提出AGI衡量架構，以10項認知能力建構評測基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google DeepMind<a href="https://blog.google/innovation-and-ai/models-and-research/google-deepmind/measuring-agi-cognitive-framework/">發表</a>探討如何衡量AGI進展的論文<a href="https://storage.googleapis.com/deepmind-media/DeepMind.com/Blog/measuring-progress-toward-agi/measuring-progress-toward-agi-a-cognitive-framework.pdf">《Measuring Progress Toward AGI: A Cognitive Taxonomy》</a>，並宣布與Kaggle合作舉辦線上黑客松，試圖替AGI（Artificial General Intelligence）建立一套較有系統的衡量架構，將AI距離通用智慧還有多遠轉成可比較的評測問題。</p> <p>Google DeepMind表示，之所以提出這套架構，是因為目前業界仍缺乏評估系統通用智慧的實證工具。現有評測多半著重單一任務、單一測驗或特定能力表現，較難用來判斷系統是否正朝通用智慧發展，也不易比較不同系統在整體能力上的差異。</p> <p>研究團隊參考心理學、神經科學與認知科學研究，提出一套認知分類法，列出10項關鍵認知能力，包括感知、生成、注意、學習、記憶、推理、後設認知、執行功能、問題解決與社會認知。Google DeepMind認為，要追蹤AI能力進展，不能只看單一任務表現或個別考題分數，而需要用較完整的認知分類描繪系統能力輪廓。</p> <p>Google DeepMind提出三階段評測方法。第一步，是以涵蓋各項認知能力的任務組合評估AI系統，並使用保留測試集避免資料污染；第二步，是針對相同任務，從具人口統計代表性的成人樣本收集人類基準；第三步，則是將AI在各項能力上的表現，對應到人類表現分布中的位置。研究團隊表示，這樣的設計是希望將模型成績放回與人類能力對照的脈絡，而不只看絕對分數。</p> <p>Google DeepMind也與Kaggle合作推出線上黑客松，希望讓這套分類法從理論走向實作。該競賽把重點擺在目前較缺乏評測方法的5類能力，包括學習、後設認知、注意、執行功能與社會認知，參賽者可利用Kaggle新推出的Community Benchmarks平臺設計與測試評估方法。</p> </div></div></div>
3/19 17:28作者李建興https://www.ithome.com.tw/news/174527
北韓駭客Konni透過網釣散布惡意軟體EndRAT，企圖利用即時通訊軟體擴大感染範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>北韓駭客鎖定韓國發動攻擊的情況相當頻繁，例如，外號為Konni的APT駭客組織，<strong><a href="https://www.ithome.com.tw/news/172182">於2025年下半長期監控受害電腦</a></strong>，並濫用韓國即時通訊平臺KakaoTalk對其他用戶散布惡意文件，其中最特別的是運用Find Hub確認受害者的地理位置，並試圖遠端抹除他們的安卓行動裝置。如今傳出這些駭客再度入侵使用者電腦當作跳板，透過KakaoTalk擴大攻擊範圍。</p> <p>韓國資安公司Genians指出，<strong><a href="https://www.genians.co.kr/en/blog/threat_intelligence/kakaotalk">Konni近期發動新一波魚叉式釣魚攻擊</a></strong>，誘騙目標下載惡意檔案，一旦入侵成功，便進一步濫用KakaoTalk帳號對外擴散攻擊，使受害電腦成為傳播惡意程式的節點。攻擊者首先透過電子郵件寄送與北韓議題相關的誘餌，內含惡意LNK捷徑檔，當受害者開啟後，電腦會下載後續有效酬載，並植入RAT木馬，讓駭客得以長期潛伏並竊取資料。</p> <p>在取得裝置控制權後，駭客會存取受害者已登入的KakaoTalk應用程式，直接向聯絡人發送惡意檔案。由於訊息來自熟識對象，收件者較不易起疑，進而擴大感染範圍。</p> <p>Genians指出，駭客透過KakaoTalk向受害者的聯絡人傳送ZIP檔，內含惡意LNK檔，其執行流程是先透過cmd.exe啟動32位元的PowerShell，然後PowerShell指令碼會根據特定檔案的大小來檢查LNK檔，利用XOR演算法解開LNK檔的隱藏資料區域內容，向使用者顯示PDF誘餌，最終從C2伺服器下載AutoIT指令碼，並執行其他惡意指令。</p> <p><a href="https://s4.itho.me/sites/default/files/images/[Figure 1-1] Overall Attack Flow.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5BFigure%201-1%5D%20Overall%20Attack%20Flow.png" style="width: 580px;" /></a></p> <p>研究人員指出，惡意LNK檔帶有PDF文件的標頭，因此使用者點選，會像是在開啟PDF檔案，實際上，後續以PowerShell為基礎的攻擊流程同時在背景運作。也同時在背景運作。</p> <p>駭客從C2下載的檔案當中，包含了AutoIt3.exe與APDNHFU.pdf，不過該PDF檔案實際上是AutoIT的惡意指令碼，駭客設置為期一年的工作排程，每分鐘執行一次上述的惡意指令碼，經分析後此為惡意軟體EndRAT。</p> <p>值得留意的是，這些駭客近期也濫用AI加快攻擊的節奏。<strong><a href="https://www.ithome.com.tw/news/173596">資安公司Check Point今年1月發現</a></strong>，Konni針對區塊鏈與加密貨幣領域，散播AI生成的PowerShell後門程式，範圍擴大到日本、澳洲、印度等亞太地區國家。</p> </div></div></div>
3/19 12:03作者周峻佑https://www.ithome.com.tw/news/174515
研究人員揭露攻擊鏈Claudy Day，攻擊者可透過Google搜尋埋藏惡意指令發動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI工具的廣泛運用，也使得相關弱點引起研究人員的關注，已有不少資安公司發現並揭露各式資安漏洞與攻擊鏈，最近有資安公司找到多個漏洞，並指出可被串連形成完整攻擊流程。</p> <p>資安公司Oasis Security揭露<strong><a href="https://www.oasis.security/blog/claude-ai-prompt-injection-data-exfiltration-vulnerability">名為Claudy Day的攻擊手法</a></strong>，指出攻擊者可串連3種漏洞，在未使用惡意軟體或釣魚郵件的情況下，直接竊取使用者在Claude上的對話資料。該攻擊鏈結合3項弱點，包括隱藏式提示注入、Files API濫用，以及claude.com網站的開放式重新導向漏洞，形成完整的資料外洩攻擊流程。Oasis Security強調，攻擊者無須使用其他工具或MCP伺服器，也不用進行任何整合的工作，對開箱即用的Claude.ai連線階段（Session）進行對話內容的竊取。對此，Anthropic在接獲通報後，修補了提示注入問題，其餘兩個弱點仍在進行改善。</p> <p>在利用Claudy Day的流程中，攻擊者可透過搜尋引擎廣告或偽裝連結，引導使用者點擊已預先填入提示的網址。該網址中的惡意指令會被隱藏在HTML標籤中，使用者在畫面上無法察覺，但實際送往AI模型時會完整執行。</p> <p>一旦提示注入成功，攻擊者即可操控AI助理執行後續動作。研究顯示，攻擊者會利用Anthropic Files API，將使用者對話記錄打包並上傳至攻擊者控制的帳號，達成資料外洩目的。</p> <p>再者，攻擊鏈還結合claude.com的開放重新導向機制，使攻擊者可透過合法網域轉址至惡意頁面，進一步繞過安全防護，並降低使用者察覺異狀的機會。</p> <p>這項攻擊之所以得逞的其中一個原因在於，在於使用者看到的提示內容，與實際送入AI模型的內容不同，造成AI系統在使用者不知情的情況下執行惡意指令。</p> <p>類似針對AI與使用者解讀差異的攻擊手法，近期也有其他資安公司揭露相關發現。<strong><a href="https://www.ithome.com.tw/news/174481">資安公司LayerX揭露名為Poisoned Typeface的攻擊手法</a></strong>，攻擊者僅需透過在網頁上使用自定字型與CSS樣式表，即可讓ChatGPT、Claude、Gemini等AI助理誤判網頁安全性，進而誘導使用者執行惡意指令。</p> </div></div></div>
3/19 12:38作者周峻佑https://www.ithome.com.tw/news/174519
微軟改組Copilot AI部門，整合消費與商務Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟本週宣布改組Copilot AI部門，整併消費者及企業用的Copilot，前Snap主管負責掌理使用者體驗開發，Microsoft AI主管Mustafa Suleyman將專心負責超級智慧的模型開發。</p> <p>微軟在官方部落格展示執行長<a href="https://blogs.microsoft.com/blog/2026/03/17/announcing-copilot-leadership-update/" target="_blank">Satya Nadella對員工公開信</a>說，AI在企業的角色已從簡單的回答問題、建議程式碼，轉為執行多步驟任務且提供清楚的使用者控制點。AI的使用者體驗必須跨越代理人、應用程式和工作流程，減少使用者手動協調工作、提升自動化執行，讓使用者得以專注於更高價值的工作，同時提供組織治理和安全控制能力。</p> <p>為此，微軟此次改組整合消費性及商務用Copilot系統，且整合橫跨4大支柱，包括Copilot體驗、Copilot平臺、Microsoft 365應用程式與AI模型。Nadella說，這將使微軟產品真正成為整合系統，對客戶而言更簡單但更強大。</p> <p>隨著這波改組，消費者及商務Copilot體驗將整併為Microsoft AI「產品與成長」（Product and Growth）部門，由曾任Snap高層的Jacob Andreou晉升為執行副總裁統領，他將向Nadella報告。</p> <p>Microsoft AI主管Mustafa Suleyman則將專注於AI模型開發。Nadella說，微軟將加重投資開發超級智慧（superintelligence），開發協助企業評估、降低成本、推進新研究的模型，同時提供人類控管和代理能力。</p> <p>Suleyman原為Google DeepMind的創始人之一，<a href="https://www.ithome.com.tw/news/161865" target="_blank">於2024年</a>從新創公司Inflection延攬進微軟。Suleyman則說，超級智慧計畫預計在5年內提供世界級模型，以達成支持大規模AI工作負載的目的。</p> <p>微軟啟動AI部門改組，希望能在基礎模型建構迎頭趕上。迄今，微軟在AI模型競賽上，已漸漸被Google、OpenAI、甚至Anthropic、Mistral AI等新創公司拋在後頭。另一方面，這些業者也將AI整進企業生產力軟體，尤其是Google Gemini和Workspace的整合，這將侵蝕微軟的企業應用市場的護城河。</p> <p>若只看聊天機器人，根據市調機構<a href="https://gs.statcounter.com/ai-chatbot-market-share" target="_blank">GlobalStats</a>，截至今年2月，全球AI應用程式用戶數來看，ChatGPT囊括80%，Perplexity和Google Gemini分佔7.88%及7.5%，Anthropic雖以1.37%居第4位，但呈現上揚走勢，目前為3.26%的Copilot，則呈逐步下滑跡象。</p> </div></div></div>
3/19 13:27作者林妍溱https://www.ithome.com.tw/news/174522
Bun 1.3.11新增Bun.cron，可跨平臺註冊OS層級排程工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>JavaScript執行環境Bun發布<a href="https://bun.com/blog/bun-v1.3.11">Bun 1.3.11</a>版本，新增內建的Bun.cron API，可直接在Linux、macOS與Windows上註冊作業系統層級的排程工作，分別對應crontab、launchd與Task Scheduler，讓開發者能用Bun執行環境處理定時工作，並能解析cron排程表示式與移除既有排程。</p> <p>Bun是近年受到JavaScript與TypeScript開發者關注的執行環境，整合程式執行、套件管理、測試與bundler等常用工具。Anthropic已於2025年12月收購Bun，Bun團隊也加入Anthropic，但專案目前仍維持開源與MIT授權，持續以單一工具鏈整合常見開發能力為方向。</p> <p>Bun.cron在排程觸發後，作業系統會啟動指定腳本，再由Bun把排程的時間與規則資訊交給程式處理，讓開發者可在程式中以固定介面接收排程事件。除了可註冊排程工作，Bun也提供排程規則解析功能，用來計算下一個符合條件的執行時間，支援標準五欄位格式、月份與星期名稱，以及年度、每月、每日等常見簡寫。</p> <p>Bun 1.3.11另一項值得注意的更新，是新增Bun.sliceAnsi，該內建函式可依終端機欄寬切割字串，同時保留ANSI控制碼，並正確處理表情符號、結合字元與旗標等複合文字邊界。官方表示，Bun.sliceAnsi可取代slice-ansi與cli-truncate等NPM套件，讓終端機字串切割與截斷功能不再仰賴外部套件。</p> <p>Bun 1.3.11也補強了開發工具與平臺相容性，在Markdown算繪功能上，開發者現在可在自訂清單輸出格式時，直接取得項目順序、巢狀層級，以及是否為有序清單與起始編號等資訊，較容易處理多層清單與編號格式。測試工具bun test則新增可忽略特定目錄或檔案路徑的設定，避免專案在執行測試時，掃描到不需要的測試檔案。</p> <p>此外，Bun也修正macOS上UDP網路通訊相關問題，包括某些Socket選項無法正常運作、尚未先綁定連線資訊就傳送資料時的處理異常，以及錯誤發生時可能出現的資源未釋放情況。Windows ARM64版也調整套件命令的啟動方式，改用原生ARM64版本，減少先前透過x64模擬執行的額外負擔。官方還提到，Linux x64版本的安裝體積再縮小4 MB。</p> </div></div></div>
3/19 13:34作者李建興https://www.ithome.com.tw/news/174521
iOS漏洞攻擊鏈DarkSword鎖定加密錢包，iPhone攻擊開始走向變現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google、Lookout與iVerify周三（3/18）揭露一套名為DarkSword的iOS漏洞攻擊鏈，該攻擊鎖定iPhone用戶，能在短時間內竊取包含加密錢包在內的大量敏感資料。相較過去多數針對iPhone的攻擊以監控與情報蒐集為主，DarkSword不僅具備完整間諜能力，也明確鎖定加密資產，顯示行動裝置攻擊開始從單純監控延伸至以金錢為導向的變現動機。</p> <p>DarkSword攻擊鏈自2025年11月起即被Google觀測到，並持續出現在不同攻擊行動中；Lookout則在後續分析惡意基礎設施時還原出完整攻擊鏈，並與Google及iVerify共同確認該威脅並命名為DarkSword。</p> <p>根據<a href="https://cloud.google.com/blog/topics/threat-intelligence/darksword-ios-exploit-chain" target="_blank">Google威脅情報團隊（GTIG）的分析</a>，DarkSword並非單一漏洞，而是由6個安全漏洞串聯而成的完整攻擊鏈。攻擊首先利用Safari中的JavaScriptCore漏洞CVE-2025-31277與CVE-2025-43529取得遠端程式執行權，接著透過dyld中的CVE-2026-20700繞過Pointer Authentication Code（PAC）記憶體保護機制，為後續權限提升鋪路。</p> <p>在突破初始防護後，攻擊鏈進一步利用CVE-2025-14174從Safari的WebContent程序橫向移動至GPU程序，再透過CVE-2025-43510進一步進入權限更高的系統服務mediaplaybackd，完成沙盒逃逸。最後再利用核心漏洞CVE-2025-43520取得核心層級讀寫權限，實現對裝置的全面控制。整體而言，這6個漏洞分別對應遠端程式執行、防護繞過、沙盒逃逸與核心權限提升等不同階段，影響範圍涵蓋iOS18.4至18.6.2版本。</p> <p>其中，僅CVE-2026-20700在攻擊發生時仍屬零時差漏洞，其他漏洞多為已知弱點，但被駭客串聯運用，形成完整入侵鏈。<a href="https://support.apple.com/en-us/126346" target="_blank">蘋果已於今年2月釋出的安全更新中</a>修補相關問題。</p> <p>DarkSword主要透過所謂的水坑攻擊（Watering Hole Attack）感染裝置。駭客會先入侵合法網站（如新聞網站或政府網站），在頁面中植入惡意iframe。當使用者利用iPhone的Safari瀏覽這些網站時，裝置會在不需額外操作的情況下自動載入惡意程式碼，進而觸發漏洞攻擊鏈，完成入侵。</p> <p>在成功取得系統權限後，DarkSword會載入後續的資料竊取模組，從多個系統服務與應用程式中蒐集敏感資訊。<a href="https://www.lookout.com/threat-intelligence/article/darksword" target="_blank">Lookout指出</a>，該工具可存取包括簡訊與即時通訊紀錄、通訊錄、通話紀錄、電子郵件、照片、iCloud資料、瀏覽紀錄、Wi-Fi設定與密碼等內容，甚至涵蓋裝置位置、健康資料與已儲存的帳號密碼，幾乎可完整還原使用者的數位活動。</p> <p>值得注意的是，DarkSword亦明確鎖定加密資產，能擷取多種主流交易所與錢包應用中的資料，包括Coinbase、Binance、Kraken、MetaMask等服務。Lookout指出，該攻擊在完成資料蒐集後，會在數秒至數分鐘內將資料傳送至遠端伺服器，並清除裝置上的相關痕跡後結束執行，屬於「快速滲透、快速撤離」的攻擊模式，進一步提升偵測與取證難度。</p> <p>整體而言，DarkSword顯示行動裝置攻擊正出現結構性變化。過去高階iOS漏洞多用於針對特定目標的監控與情報蒐集，但此次攻擊同時結合間諜能力與加密資產竊取，顯示駭客開始將手機視為可直接變現的資產入口。</p> <p>研究人員也發現，DarkSword並非由單一駭客使用，而是已被多個威脅行為者採用。這反映出原本多用於高端監控的iOS漏洞攻擊工具，已開始出現跨組織流通與重複利用的情況。隨著高階攻擊能力逐漸擴散，行動裝置所面臨的安全風險亦同步升高。</p> <p>由於該攻擊屬短暫且無感的入侵，一般使用者難以察覺是否遭到感染，研究人員建議，使用者應儘速更新iOS至最新版本，以修補已知漏洞並降低被駭風險。</p> </div></div></div>
3/19 13:53作者陳曉莉https://www.ithome.com.tw/news/174523
微軟公布解決三星電腦無法存取C槽的方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://support.microsoft.com/en-us/topic/recovery-steps-samsung-galaxy-connect-or-samsung-continuity-service-might-cause-loss-of-access-to-the-c-drive-48c242aa-242a-4ddd-a9ad-98ea25fc04c1" target="_blank">微軟本週二（3/16）公布</a>部份三星電腦無法存取Windows 11 C槽的解決方法。</p> <p>一些三星桌機及筆電在安裝二月份安全更新後無法存取C槽，影響所及，使用者無法存取某些檔案及Windows應用程式，例如Outlook、Office、瀏覽器、系統公用程式和快速助手（Quick Assist）。某些情況下，用戶也無法提升權限、卸載更新或收集日誌，原因是權限驗證失敗。<a href="https://www.ithome.com.tw/news/174403" target="_blank">微軟上週澄清</a>問題出在三星一款舊程式Galaxy Connect上。</p> <p>根據微軟公布的指引，用戶可移除舊版Galaxy Connect App，再由Windows修復Windows C槽存取權限來解決問題。</p> <p>首先，從三星移除Galaxy Connect。其次是啟動電腦，需以管理員帳號登入Windows，將「本機磁碟C:」存取權限暫時改成「所有人everyone」。最後製作修復檔，方法是打開記事本App，貼入以下指令，並另存新檔，檔名取為「RestoreAccess.bat」存在桌面上。然後在「RestoreAccess.bat」檔案上按右鍵選擇「以管理員身份執行」，之後再重啟電腦。最後應該可以回復正常運作。</p> <pre> icacls c:\ /grant BUILTIN\Administrators:(OI)(CI)(F) icacls c:\ /grant "NT AUTHORITY\SYSTEM:(OI)(CI)(F)" icacls c:\ /grant BUILTIN\Users:(OI)(CI)(RX) icacls c:\ /grant "NT AUTHORITY\Authenticated Users:(OI)(CI)(IO)(M)" icacls c:\ /grant "NT AUTHORITY\Authenticated Users:(AD)" icacls c:\ /setowner "NT Service\TrustedInstaller" icacls c:\ /remove everyone pause</pre><p>微軟另外也釋出<a href="https://support.microsoft.com/en-gb/topic/march-16-2026-hotpatch-kb5084897-os-builds-26200-7984-and-26100-7984-out-of-band-74c779d7-e666-49a2-a809-1cbb31a79e7f" target="_blank">Windows 11例外功能更新KB5084897</a>修補24H2與25H2版無法顯示連結藍牙裝置的問題。</p> <p>這個非強制的功能累積更新包含hotpatch，用以解決連結PC的藍牙裝置無法顯示於Windows設定及快速設定（Quick Settings）中的「藍牙&裝置」的問題。本問題僅出現在執行Hotpatch更新的企業用戶端裝置。</p> <p><a href="https://support.microsoft.com/en-gb/topic/march-16-2026-hotpatch-kb5084897-os-builds-26200-7984-and-26100-7984-out-of-band-74c779d7-e666-49a2-a809-1cbb31a79e7f" target="_blank">微軟說</a>，最新版本包含了3/10及3/13釋出的所有Windows hotpatch的安全及功能更新。</p> </div></div></div>
3/19 14:07作者林妍溱https://www.ithome.com.tw/news/174524
GNU InetUtils的telnetd存在重大漏洞，未通過身分驗證的攻擊者可執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由GNU專案開發的網路工具軟體套件GNU Inetutils，其中的telnetd（telnet daemon）元件因1月下旬爆出重大漏洞<strong><a href="https://www.ithome.com.tw/tags/cve-2026-24061">CVE-2026-24061</a></strong>（CVSS評分為9.8），而受到高度關注，由於該軟體套件廣泛用於Linux與Unix系統，加上該漏洞從2015年開始引入至今，影響近11年推出的GNU Inetutils，而且<strong><a href="https://www.ithome.com.tw/news/173556">公布後很快就被利用</a></strong>，因此，一旦telnetd再度出現漏洞，隨即成為資安界的焦點。</p> <p>資安公司Dream Security發布漏洞公告指出，<strong><a href="https://dreamgroup.com/vulnerability-advisory-pre-auth-remote-code-execution-via-buffer-overflow-in-telnetd-linemode-slc-handler/">他們發現telnetd服務存在另一個重大漏洞CVE-2026-32746</a></strong>，攻擊者無需登入或通過身分驗證，即可透過特製封包觸發遠端程式碼執行（RCE），並取得系統最高權限，CVSS評分高達9.8，屬於重大層級。該公司表示，問題出在telnetd處理LINEMODE SLC（Set Local Characters）協商機制時，未正確檢查緩衝區大小，導致典型的記憶體緩衝區溢位。</p> <p>攻擊者只需透過Telnet連線，在連線初始交握的階段傳送特製SLC資料，即可觸發漏洞。此漏洞的根源在於程式在處理SLC參數時，會持續將資料寫入固定大小的緩衝區，但未檢查是否已達上限。攻擊者可透過大量惡意資料覆寫記憶體，進而實現任意寫入，最終達成遠端程式碼執行。</p> <p>此漏洞影響2.7版以前的GNU Inetutils。Dream Security強調，由於漏洞利用門檻極低，且系統會因此完全被入侵，加上目前尚未有修補程式，該公司呼籲，企業應立即停用Telnet服務或限制對外存取，並關注後續修補更新。</p> </div></div></div>
3/19 10:46作者周峻佑https://www.ithome.com.tw/news/174513
無人機軟體業者Swarmer登上那斯達克，連兩日股價大漲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://getswarmer.com/news/swarmer-announces-pricing-of-initial-public-offering/" target="_blank">無人機軟體業者Swarmer</a>本週二（3/17）正式登上美國那斯達克股市，股票代號為SWMR的發行價格為每股5美元，但當天就以31美元作收，週三續漲至55美元，股價在兩天內漲了10倍。</p> <p>Swarmer是由烏克蘭工程師Serhii Kupriienko及其團隊在2023年於基輔所創辦，當時是因應俄烏戰爭的需求而設立，之後在美國註冊。這是家以軟體為核心的國防科技公司，專注於無人機群協同及自主作戰系統。該公司並不製造無人機，而是提供可跨不同硬體平臺運作的AI及指揮控制軟體，讓大量低成本的無人機能夠協同執行任務。</p> <p>值得注意的是，Swarmer的技術起源於實戰環境，2024年就開始在烏克蘭戰場部署，累計執行超過10萬次任務，更持續透過實戰資料來優化模型，形成難以於實驗室複製的資料優勢。</p> <p>Swarmer主要的商業模式為軟體授權，將系統提供給無人機製造商及系統整合商，再由後者銷售給政府與軍方客戶，屬於B2B2G模式。此外，該公司已從無人機領域開始拓展至無人車與無人艦艇的多域作戰，並計畫整合飛彈及導引元組件，在2026年的目標是協調空中、地面與海上的數千個系統。</p> <p>儘管Swarmer在週三的市值已達6.8億美元，但這家公司在2024年的營收只有33萬美元，2025年更只有31萬美元，而且這兩年分別虧損了207萬美元與853萬美元。</p> <p>目前並無公開報導顯示Swarmer參與以色列或伊朗相關衝突，其技術仍主要應用於烏克蘭戰場，但隨著中東局勢升溫，市場已將其視為潛在受惠的無人機作戰技術供應商。市場分析認為，Swarmer在股市上的表現意味著資本市場正將國防科技從邊緣題材推向主流投資標的。</p> </div></div></div>
3/19 12:05作者陳曉莉https://www.ithome.com.tw/news/174516
OpenAI傳年底IPO，目標搶占企業用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.wsj.com/tech/ai/openai-chatgpt-side-projects-16b3a825" target="_blank">華爾街日報</a>及<a href="https://www.cnbc.com/2026/03/17/openai-preps-for-ipo-in-2026-says-chatgpt-must-be-productivity-tool.html" target="_blank">CNBC</a>本週報導，OpenAI高層要求員工集中提升企業生產力的產品，目標是取得企業用戶，以便為年底上市做好準備。</p> <p>報導引述OpenAI應用事業群執行長Fidji Simo上週在內部員工大會上的指示，要員工專注於企業導向的核心專案，積極開發提升企業生產力的應用場景，不要為其他旁支計畫分心。她並傳達公司高層如CEO Sam Altman及研究長Mark Chen的意思，要一改OpenAI之前什麼都做的分散策略，取捨資源投入的先後順序。</p> <p>OpenAI新的策略重心聚焦於AI輔助程式設計和企業市場兩大主軸，並以快速推進產品開發和商品化。Simo指出，公司計畫是取得9億用戶並將之轉化為高運算量（high-compute）使用者，務必使ChatGPT轉變成生產力工具。</p> <p>OpenAI這番策略定調是為了實現年底公司上市（IPO），以及確保面對Google及崛起中的Anthropic的競爭力。CNBC報導，OpenAI財務主管已經籌組來自Block和DocuSign的會計財務人才團隊，為年底IPO做準備。</p> <p><a href="https://www.reuters.com/technology/openai-hits-500-billion-valuation-after-share-sale-source-says-2025-10-02/" target="_blank">媒體報導</a>，OpenAI目前估計市值已經超過5000億美元。</p> <p>為了IPO，OpenAI在產品開發力求精準。在Google發表推理、速度、圖像及影片生成皆大獲好評的Google Gemini 3後，去年12月OpenAI公司內部發出紅色警戒，除了Altman要求全面聚焦提升ChatGPT的日常使用體驗、回應速度、可靠性、個人化功能，也擱置非核心專案的開發。而今年該公司收購AI安全測試工具業者Promptfoo、<a href="https://www.ithome.com.tw/news/173981" target="_blank">延攬OpenClaw創辦人</a>Peter Steinberger都有助於強化ChatGPT企業整備度（readiness）。</p> </div></div></div>
3/19 12:09作者林妍溱https://www.ithome.com.tw/news/174517
Mistral AI發布Forge，企業可用專有資料打造理解內部流程的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Mistral AI發布企業級AI模型建置系統<a href="https://mistral.ai/news/forge">Forge</a>，鎖定以企業自有資料訓練客製化模型的需求，官方提到，Forge可讓企業以內部文件、程式碼庫、結構化資料與營運紀錄作為訓練材料，讓模型學習組織內部使用的術語、作業流程、推理模式與限制條件，用於企業代理、決策支援與工具操作等場景。</p> <p>Mistral AI發布的Forge支援模型生命周期多個階段，包括預訓練、後訓練與強化學習，該公司表示，企業可藉此建立具特定領域知識的模型，再依任務需求調整模型行為，並透過強化學習讓模型與代理更貼近內部政策、評估標準與營運目標。Mistral AI也將這類客製化模型能力延伸到代理AI，稱模型不只可生成回應，也能在企業環境中執行多步驟流程與工具操作。</p> <p>現有通用模型多半建立在公開資料上，雖能處理廣泛任務，但企業實際運作依賴的是內部工程規範、法遵政策、歷年決策與專有知識。Forge的設計方向，是把這些企業內部脈絡直接納入模型訓練，而非僅仰賴公開資料建立通用能力。</p> <p>Forge支援稠密架構與混合專家架構MoE，供企業依效能、延遲與算力成本需求選擇，也支援多模態資料訓練。Mistral AI另稱，Forge採代理優先設計，像Mistral Vibe這類自主代理可用自然語言執行模型微調、超參數搜尋、排程工作與產生合成資料，系統並會持續監控評估指標，避免模型在既有基準上退步。</p> <p>在模型、資料與治理機制的控制權方面，Mistral AI表示，企業可在自有基礎設施中訓練與操作模型，並依內部政策、法遵要求與治理框架管理模型行為，以符合受監管產業與大型組織對資料控制、知識資產與自主性的需求。</p> <p>Forge的應用場景涵蓋政府機關、金融機構、軟體團隊、製造業與大型企業，官方指出，組織可用政策文件、風險控管流程、專有程式碼庫、工程規格與維護紀錄等內部資料訓練模型，並用於政策分析、法遵作業、程式開發支援、設備診斷與營運決策等工作。Mistral AI已與ASML、DSO National Laboratories Singapore、Ericsson與European Space Agency等組織合作，運用Forge以專有資料訓練模型。</p> </div></div></div>
3/19 08:24作者李建興https://www.ithome.com.tw/news/174511
思科防火牆管理平臺零時差漏洞遭勒索軟體駭客Interlock濫用，最早可追溯至一月底
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3月4日思科發布資安公告，<strong><a href="https://www.ithome.com.tw/news/174203">揭露防火牆管理平臺Secure Firewall Management Center（Secure FMC）兩個重大漏洞</a></strong>：CVE-2026-20079及CVE-2026-20131，這些漏洞都存在於Secure FMC網頁管理介面，CVSS風險值都達到10分（滿分10分），非常危險，現在有最新的調查結果指出，這些漏洞在思科公布的一個多月前就已被用於實際攻擊。</p> <p>Amazon威脅情報團隊指出，<strong><a href="https://aws.amazon.com/tw/blogs/security/amazon-threat-intelligence-teams-identify-interlock-ransomware-campaign-targeting-enterprise-firewalls/">勒索軟體駭客組織Interlock自1月26日開始</a></strong>，就將CVE-2026-20131用於實際攻擊行動，時間是早於思科公布漏洞的36天前。該公司循線調查，認為Interlock手裡握有許多零時差漏洞，使得攻擊者能在企業組織無法察覺之前進行滲透。Amazon發現Interlock不當配置的基礎設施，並在其中找到該組織犯案的完整工具包，從而得知駭客的多階段攻擊鏈、RAT木馬程式、偵察用的指令碼，以及迴避偵測的技術。</p> <p>CVE-2026-20131是遠端程式碼執行（RCE）漏洞，源自使用者提供的Java位元組串流不安全的反序列化，攻擊者可將特製的序列化Java物件傳送到Secure FMC網頁管理介面，一旦成功觸發漏洞，就有機會在未經身分驗證的情況下，以root身分執行任意的Java程式碼。</p> <p>究竟Interlock如何將漏洞用於實際攻擊？他們對Secure FMC特定路徑發出HTTP請求，請求內容包含Java程式碼的執行，以及兩個嵌入的網址，其中一個網址用於傳送利用漏洞的組態資料，另一個則是讓受害系統發出HTTP PUT請求，並上傳特定檔案，目的是回傳、確認漏洞成功利用。</p> <p>一旦上述的流程完成，攻擊者就會從遠端伺服器擷取ELF二進位檔案並執行，然後下載Interlock的攻擊工具包。駭客也藉此將攻擊流程產生的特定資料，回傳到他們控制的伺服器。</p> </div></div></div>
3/19 09:45作者周峻佑https://www.ithome.com.tw/news/174512
Linux核心存在資安漏洞CrackArmor，攻擊者可取得Root權限、繞過容器隔離機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AppArmor是強化Linux安全的重要機制，一旦設計存在缺陷，反而可能成為攻擊者利用的切入點。</p> <p>資安公司Qualys揭露<strong><a href="https://blog.qualys.com/vulnerabilities-threat-research/2026/03/12/crackarmor-critical-apparmor-flaws-enable-local-privilege-escalation-to-root">一組名為CrackArmor的漏洞</a></strong>，指出AppArmor存在多項設計缺陷，攻擊者可藉此在本機環境將權限提升至root，對系統安全構成重大威脅。</p> <p>Qualys表示，這些漏洞主要屬於混淆代理（Confused Deputy）類型的問題，攻擊者可利用AppArmor在處理權限與資源存取時的邏輯缺陷，繞過既有安全限制，進而取得更高權限。CrackArmor是一組多達9個弱點的集合，部分問題可追溯至2017年，顯示這些風險長期潛伏於Linux系統。</p> <p>在攻擊情境上，未具特權的本機使用者可透過操控AppArmor相關的偽檔案或安全設定，影響系統對應用程式的存取控制判斷，最終達到權限提升的目的。值得留意的是，這些漏洞不僅影響一般Linux主機，在容器環境中也可能被利用來突破隔離機制，增加橫向移動與系統入侵的風險。</p> <p>目前Canonical等Linux發行版業者已針對相關漏洞釋出修補更新，呼籲使用者與企業儘速套用，以降低遭攻擊的風險。</p> </div></div></div>
3/18 14:03作者周峻佑https://www.ithome.com.tw/news/174488
【資安日報】3月18日，新型態字型渲染攻擊可騙過AI助理，向使用者顯示惡意內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174481"><strong style="font-size: 22px;">新字型渲染攻擊手法讓AI助理誤以為網頁無害，可誘騙使用者執行惡意指令</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fonts3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fonts3.png" style="width: 300px; float: right;" /></a></p> <p>資安公司LayerX揭露名為Poisoned Typeface的新型攻擊手法，攻擊者僅透過在網頁上使用自定字型與CSS樣式表，即可讓ChatGPT、Claude、Gemini等AI助理誤判網頁安全性，進而誘導使用者執行惡意指令，凸顯AI在網頁內容判讀的盲點。LayerX強調，這種攻擊不需利用瀏覽器漏洞，也不需JavaScript或惡意程式，瀏覽器行為亦未出現異常。此攻擊手法利用的問題在於，AI系統錯誤假設DOM內容等於使用者所見內容。</p> <p>這種攻擊的核心，在於渲染層與HTML內容的落差。AI系統通常只分析網頁的DOM文字內容，但瀏覽器實際呈現給使用者的畫面，則會經過字型與CSS渲染處理。一旦攻擊者利用這個差異，可使AI看到的是無害內容，但使用者看到的卻是惡意指令。</p> <p><a href="https://www.ithome.com.tw/news/174450"><strong style="font-size: 22px;">工作流程自動化平臺n8n存在沙箱逃逸與未經驗證的表達式評估漏洞</strong></a></p> <p>資安公司Pillar Security指出，他們在n8n發現兩個重大層級的資安漏洞CVE-2026-27493、CVE-2026-27577，其中又以CVE-2026-27493特別危險，因為只要能透過特定HTML渲染流程存取公開的多步驟表單，就有機會在n8n主機下達任意Shell命令，過程中攻擊者無須通過身分驗證，也不需要使用者互動（零點擊）。該公司強調，攻擊者只需透過瀏覽器輸入特定的表達式，就可觸發CVE-2026-27493。此漏洞的4.0版CVSS風險值為9.5分（滿分10分），非常危險。</p> <p>針對兩個漏洞形成的原因，CVE-2026-27577為n8n的表達式編譯器的沙箱逃逸弱點，原因是Abstract Syntax Tree（AST）的重寫機制（Rewriter）當中，有個狀況未妥善處理，導致出現未轉換的錯誤，使得任何通過身分驗證的表達式，皆可能用來發動遠端程式碼執行（RCE）攻擊，風險值為9.4分。</p> <p><a href="https://www.ithome.com.tw/news/174477"><strong style="font-size: 22px;">勒索軟體LeakNet透過被駭網站及ClickFix網釣接觸受害者，利用Deno開發看似無害的惡意程式載入工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure2LeakNetsAttackPaths_whhmqo-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure2LeakNetsAttackPaths_whhmqo-1.png" style="width: 300px; float: right;" /></a></p> <p>資安公司ReliaQuest指出，勒索軟體集團LeakNet近期攻擊行動出現明顯升級，攻擊者導入ClickFix社交工程手法與新型Deno惡意程式載入工具，強化初始入侵與後續滲透能力，顯示該組織正加速擴張攻擊規模。</p> <p>根據該公司的觀察，LeakNet過去取得受害組織的初期入侵管道，多仰賴帳密竊取或初始入侵掮客（IAB），但近期已改為直接發動攻擊，透過遭入侵的合法網站，對使用者進行ClickFix誘騙機制。這種手法會偽裝錯誤訊息或驗證提示，誘使使用者手動執行惡意指令，藉此繞過傳統防護機制。</p> <p><a href="https://www.ithome.com.tw/news/174486"><strong style="font-size: 22px;">歐洲資安公司被鎖定，駭客濫用思科與Cloudflare服務發動網釣攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/phishing-email-.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/phishing-email-.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Specops揭露針對歐洲資安公司的複雜釣魚攻擊行動，母公司Outpost24的威脅情報團隊於3月13日發現，有人假借網路設備大廠思科名義從事複雜的網路釣魚活動，其攻擊手法相當複雜，駭客利用多種受到信任的服務，以及遭入侵的基礎設施，來隱藏網釣的意圖，多階段攻擊將受害者導向合法或曾經受到信賴的網域，降低資安系統封鎖的機會。再者，這些駭客也實作基於Cloudflare的圖靈驗證機制，確保只有真實人類才會看到冒牌的登入網頁。</p> <p>當收信人點選釣魚信或附件裡的連結，會經歷多階段重新導向流程，途中會經過合法或已遭入侵的網站，降低資安系統封鎖這些威脅的機會。值得留意的是，此連結位於secure-web.cisco.com，該網域通常用於改寫電子郵件的連結，確保收件人能安全存取外部網址。</p> <p><a href="https://www.ithome.com.tw/news/174475"><strong style="font-size: 22px;">GlassWorm蠕蟲活動持續蔓延，駭客利用竊得的GitHub權杖將惡意軟體推送到Python儲存庫</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/69b5a7cfcdd57770e90e9159_09-how-forcememo-attack-works.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69b5a7cfcdd57770e90e9159_09-how-forcememo-attack-works.png" style="width: 300px; float: right;" /></a></p> <p>資安公司StepSecurity揭露名為ForceMemo的供應鏈攻擊行動，駭客入侵開發者帳號，已在數百個GitHub上的Python專案植入惡意程式，且攻擊活動仍在持續擴大。這波攻擊最早可追溯至2026年3月8日，攻擊者取得開發者帳號存取權限，對程式庫進行大規模竄改，將惡意程式碼植入多個專案。而這些受害的開發者存在共通點，就是他們的開發環境感染了GlassWorm，攻擊者以此竊得GitHub權杖（Token）而得逞。</p> <p>值得留意的是，駭客並未採用傳統提交方式，而是使用Git的強制推送（Force-push）機制，將惡意程式附加至既有程式碼並覆寫版本記錄。這種作法會保留原本的提交資訊、作者，以及時間，使變更幾乎難以從GitHub介面察覺，大幅提高隱匿性。</p> <p><a href="https://www.ithome.com.tw/news/174484"><strong style="font-size: 22px;">蠕蟲攻擊活動GlassWorm危害規模擴大，橫跨4大平臺、逾430個儲存庫與套件受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/four-arms-one-monster-threat-graph.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/four-arms-one-monster-threat-graph.png" style="width: 300px; float: right;" /></a></p> <p>資安社群平臺OpenSourceMalware揭露，GlassWorm供應鏈攻擊行動持續擴大，最新一波攻擊同時鎖定GitHub、NPM、VS Code，以及PyPI等四大開發生態系，顯示GlassWorm已從原本針對Open VSX與VS Code延伸套件市集，擴大為多管齊下的供應鏈攻擊，透過不同套件庫與開發工具同時散布惡意程式，增加影響範圍與感染機率。</p> <p>OpenSourceMalware指出，2026年3月的新一波GlassWorm攻擊已影響超過433個儲存庫、套件，以及延伸套件功能，且部分受害專案屬於具一定知名度的開源專案，若是使用者拉取駭客提交的內容，可能遭到惡意程式感染。研究人員強調，攻擊面不再只是單一開發環境或主機，而是整個供應鏈。</p> <p><a href="https://www.ithome.com.tw/news/174483"><strong style="font-size: 22px;">蘋果首度發布背景安全改進更新，修補iOS、iPadOS、macOS資安漏洞</strong></a></p> <p>3月17日蘋果發布行動裝置與電腦作業系統更新iOS 26.3.1(a)、iPadOS 26.3.1(a)，以及macOS 26.3.1(a)與26.3.2(a)，這是首個被稱作背景安全改進（Background Security Improvement）的軟體更新，目的是解決可能導致用戶連向惡意網站或洩露密碼的同源政策（Same Origin Policy）繞過漏洞CVE-2026-20643。</p> <p>該漏洞影響WebKit排版引擎中的Navigation API，使惡意網頁得以繞過API的同源政策保護機制，引發跨源（cross-origin）存取。攻擊者可能藉此將用戶重新導向至惡意網站，或是在用戶裝置下載程式碼，以讀取用戶Cookie、帳號密碼或私訊，本次更新改進強化了輸入的驗證來緩解弱點。</p> <p><a href="https://www.ithome.com.tw/news/174488"><strong style="font-size: 22px;">Linux核心存在資安漏洞CrackArmor，攻擊者可取得Root權限、繞過容器隔離機制</strong></a></p> <p>資安公司Qualys揭露一組名為CrackArmor的漏洞，指出AppArmor存在多項設計缺陷，攻擊者可藉此在本機環境將權限提升至root，對系統安全構成重大威脅。</p> <p>Qualys表示，這些漏洞主要屬於混淆代理（Confused Deputy）類型的問題，攻擊者可利用AppArmor在處理權限與資源存取時的邏輯缺陷，繞過既有安全限制，進而取得更高權限。CrackArmor是一組多達9個弱點的集合，部分問題可追溯至2017年，顯示這些風險長期潛伏於Linux系統。</p> <p><a href="https://www.ithome.com.tw/news/174480"><strong style="font-size: 22px;">Google、OpenAI、Anthropic、微軟等AI大廠投入1,250萬美元，強化開源軟體安全計畫Alpha-Omega</strong></a></p> <p>Google、微軟、OpenAI與Anthropic等AI模型及平臺大廠與Linux基金會共同宣布，投入開源軟體安全專案Alpha-Omega，以防止AI驅動的安全威脅。透過這專案，Alpha-Omega與開源軟體安全基金會（OpenSSF）可直接和維護單位及其社群合作，快速修補漏洞，並且提供安全工具或整合進現有專案工作流程中，協助改善開源軟體的安全性。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/operation-camelclone-hackers-abuse-public-cloud-global-cyber-espionage/">駭客發動大規模網路間諜活動Operation CamelClone，同時針對多國政府機關與國防實體下手</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/silent-sabotage-backdoored-react-native-packages-target-developers/">React Native套件遭遇供應鏈攻擊，駭客意圖竊取開發環境資料，並從事挖礦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/jquery-in-ophimcms/">越南內容管理平臺OphimCMS遭遇供應鏈攻擊，駭客透過有問題的套件將用戶重新導向</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/coordinated-wiper-attacks/">伊朗駭客Handala Hack利用遠端桌面連線與NetBird，企圖從事資料破壞攻擊</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174452"><strong>【3月17日】駭客透過遠端裝置管理平臺抹除Stryker近8萬臺裝置的資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174425"><strong>【3月16日】歐美多國合作圍剿常駐型代理伺服器網路SocksEscort</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174389"><strong>【3月13日】蘋果為舊裝置修補遭Coruna利用的資安漏洞</strong></a></p> </div></div></div>
3/18 16:28作者周峻佑https://www.ithome.com.tw/news/174492
Java 26登場，Oracle擴大Java生態工具商業支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Oracle正式<a href="https://www.oracle.com/news/announcement/oracle-releases-java-26-2026-03-17/">發布Java 26</a>，並推出Oracle Java Verified Portfolio（JVP）。該版本具有10項以JDK Enhancement Proposal（JEP）形式發布的功能更新，Oracle也把商業支援範圍從JDK延伸到Java圖形介面框架JavaFX、雲端原生Java微服務框架Helidon，以及適用於VS Code的Java Platform Extension。由於Java 26屬於非LTS版本，Oracle規畫其Premier Support僅至2026年9月，之後預定由Oracle JDK 27接續。</p> <p>JDK 26的更新涵蓋網路通訊、並行程式開發、向量運算、垃圾回收與舊元件清理等面向，例如Java HTTP Client API開始支援HTTP/3、結構化並行（Structured Concurrency）與Vector API持續推進，G1垃圾回收器增強執行效率，Applet API也正式移除。</p> <p>除了10項JEP帶來的新功能，Java 26也納入多項未以JEP形式發布的底層改進。安全性方面，Oracle列舉了混合式公開金鑰加密HPKE、替後量子加密時代預作準備的JAR簽章，以及針對加密演算法與舊式Keystore控制機制的強化。相容性與國際化方面，則更新至Unicode 17.0與CLDR v48。</p> <p>Java 26也進一步調整JVM啟動流程、垃圾回收機制、C2 JIT編譯器與heap管理，目標是改善應用程式啟動速度、執行效率與整體穩定性。開發與維運工具在這一版還加入HttpClient區域式檔案上傳，更嚴格的Runtime映像檔建置機制、改良版JVM Metrics API，以及支援深色模式的JavaDoc。</p> <p>這次較大的產品變動，是Oracle把JDK以外的工具、框架與函式庫另外整理成JVP，Oracle表示，JVP是一套由Oracle提供授權與支援的Java相關元件集合，將不屬於Oracle JDK但企業實際會使用的工具與框架納入支援範圍。Java SE訂閱用戶，以及在Oracle Cloud Infrastructure（OCI）上執行Java工作負載的用戶，都可取得JVP支援。</p> <p>JVP首波納入的元件，除了JavaFX，還包括Helidon與適用於VS Code的Java Platform擴充套件。Oracle<a href="https://www.oracle.com/news/announcement/oracle-releases-java-26-2026-03-17/">表示</a>，Helidon後續發布節奏將配合JDK路線圖調整，並有意提案成為OpenJDK專案，Helidon與適用於VS Code的Java Platform擴充套件仍維持開源。</p> <p>另一項變動則是JavaFX，JavaFX商業支援將重新提供給所有新Java版本，以及仍在Oracle Premier Support期間的LTS版本，JDK 8上的JavaFX支援也延長到2028年3月。JavaFX 25與26現已針對JDK 26提供，JavaFX 21、17與8的後續更新預計於2026年4月中旬發布。</p> <p> </p> </div></div></div>
3/18 16:32作者李建興https://www.ithome.com.tw/news/174490
雙和醫院三年減碳逾10%，成立永續醫療聯盟助地區型醫院力行減碳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在政府推動淨零排放與永續醫療的策略下，國內醫療體系動也開始加速減碳布局。雙和醫院宣布與部立臺北醫院、部立基隆醫院、中英醫院及板英醫院成立「永續醫療聯盟」，並與工研院合作導入能源與碳管理技術，加速國內醫療體系向低碳轉型。</p> <p>在人口老化的趨勢下，醫療體系已成為民眾生活上不可或缺的關鍵基礎建設，且醫院全天24小時運作，耗費大量能源，為推動醫療產業淨零減碳，政府已將醫療納入淨零的關鍵場域之一。環境部指出，醫療院所為高耗能服務業，具有指標性意義；衛生福利部則規劃，未來將逐步把永續指標納入醫院評鑑制度，並推動溫室氣體盤查與碳管理，促使醫療機構朝「綠色醫院」轉型。</p> <p>部立雙和醫院是從2022年推動院內永續政策，該院指出，三年來整體碳排放已降低超過10%，並完成11項碳足跡盤查，涵蓋血液透析等高耗能醫療項目。其中，單次血液透析碳排約7.754 公斤二氧化碳當量，透過優化流程的「綠色腎臟」專案，估計每年可減碳逾36萬公斤。</p> <p>另外，雙和醫院近年推動「一科一永續」，將減碳行動落實到各科室的醫療流程與資源管理。醫院也提升院內的醫療廢棄物再利用率，目前已提升至18.2%，高於產業平均表現，甚至一部分的再生產品還取得環保標章。</p> <p>這次成立聯盟的目的，在於建立可複製的醫療減碳模式。透過雙和醫院減碳的經驗，由醫學中心帶動區域與地區醫院，擴大碳管理與能源治理能力，在不影響醫療品質下推動減碳。</p> <p>技術上則由工研院協助，提供智慧能源管理系統、碳排熱點分析及碳管理平台，協助醫院掌握排放來源並建立管理機制。由於醫院全天候運作、用電密集，透過上述工具數據化與系統化管理，提高減碳的效率。</p> <p>「永續醫療聯盟」未來將聚焦在能源管理、碳盤查、循環經濟，以及永續方面相關人才培育，並擴大與未來和臺北醫學大學附設醫院、萬芳醫院、旗山醫院等加強交流ESG策略。隨著政策推動與科技導入，國內醫療體系也從高耗能服務產業，轉型為具備減碳能力的關鍵基礎設施。</p> <div> </div> </div></div></div>
3/18 17:42作者蘇文彬https://www.ithome.com.tw/news/174495