iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Mirai殭屍網路變種Nexcorium綁架TBK DVR設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年7月資安公司Fortinet揭露<strong><a href="https://www.ithome.com.tw/news/170028">殭屍網路RondoDox活動</a></strong>，駭客鎖定的其中一類裝置，是TBK的數位監控系統主機設備DVR-4104、DVR-4216，他們在網路上掃描作業系統命令注入漏洞CVE-2024-3721（CVSS風險6.3分），藉此綁架這些裝置並用於DDoS攻擊，如今傳出有其他人馬加入漏洞利用行列。</p> <p>Fortinet近日發現<strong><a href="https://www.fortinet.com/blog/threat-research/tracking-mirai-variant-nexcorium-a-vulnerability-driven-iot-botnet-campaign">殭屍網路Nexcorium</a></strong>，此為Mirai的變種，駭客團體Nexus Team試圖操弄mdb與mdc功能參數，藉由觸發CVE-2024-3721漏洞，而能下載指令碼，然後根據目標裝置的系統架構，啟動殭屍網路病毒的有效酬載。Nexcorium的架構與大部分Mirai變種相似，包括採用XOR編碼的組態配置資料、監控模組，以及DDoS攻擊模組。此殭屍網路病毒支援多種類型的DDoS洪水攻擊，包含UDP flood、TCP ACK flood、SMTP flood等11種方法，而且，它還能停止攻擊或是終止相關的處理程序。</p> <p>值得留意的是，Fortinet發現的Nexcorium活動大多針對TBK裝置，不過駭客也嘗試利用另一個<a href="https://www.ithome.com.tw/news/167106">資安漏洞CVE-2017-17215</a>，此弱點存在於華為路由器HG532，CVSS風險評分為8.8。</p> </div></div></div>
4/20 12:45作者周峻佑https://www.ithome.com.tw/news/175173
Mozilla開源Thunderbolt AI客戶端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Mozilla基金會旗下子公司MZLA Technologies Corporation<a href="https://www.thunderbolt.io/announcing-thunderbolt" target="_blank">上週四（4/16）宣布</a>開源AI客戶端Thunderbolt，正式切入企業AI市場。該產品定位為主權AI客戶端，強調企業可在自有基礎設施上部署AI系統，掌握資料與模型控制權，並被外界視為可與ChatGPT Enterprise與Microsoft Copilot競爭的替代選項。</p> <p>Thunderbolt採開源架構，支援跨平臺運行，包括Web、iOS、Android、macOS、Linux與Windows，並允許企業自由選擇AI模型來源，涵蓋商業模型、開源模型與本地模型。系統可連接企業內部資料來源，並透過檢索增強生成（Retrieval-Augmented Generation，RAG）技術進行分析與回應，亦可整合代理人（Agents）與自動化流程，支援報告生成、資料整理與任務觸發等應用。</p> <p>在架構上，Thunderbolt可透過Model Context Protocol（MCP）與Agent Client Protocol（ACP）串接外部系統，亦可整合德國AI公司deepset所開發的Haystack平臺，支援AI任務編排、測試與部署，使企業得以建立從資料、模型到應用流程的一體化AI系統。此類整合模式也被視為將AI從單一工具轉變為可長期運營的企業系統。</p> <p><a href="https://x.com/mozilla/status/2044800535564370367" target="_blank">Mozilla表示</a>，隨著AI逐漸成為企業營運的核心，組織正面臨關鍵抉擇，是要依賴可能帶來策略風險的專有服務，或是建立在自身可掌控的開放基礎設施之上。而Thunderbolt正是建立在該組織數十年來所秉持的核心原則，包括使用者控制、開放標準，以及賦予個人在網路上的自主權。</p> <p>MZLA執行長Ryan Sipes指出，AI不應依賴外部供應商，透過Thunderbolt為企業提供主權AI客戶端，讓企業自行決定AI如何融入自家工作流程，並在自身基礎設施上、使用自身資料運行；而藉由整合Haystack，Thunderbolt可將控制能力延伸至更底層的系統架構。</p> <p>目前Thunderbolt已<a href="https://github.com/thunderbird/thunderbolt" target="_blank">在GitHub開源</a>並開放社群測試，但官方坦言產品仍處於早期開發階段，尚未提供完整推論服務，企業需自行整合模型與相關基礎設施。此外，Thunderbolt正進行安全性審查，並朝企業級部署（Production Readiness）邁進，初期主要鎖定具備自架能力的企業用戶。</p> </div></div></div>
4/20 13:26作者陳曉莉https://www.ithome.com.tw/news/175175
半導體新創Cerebras申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI晶片新創Cerebras Systems已向美國證券交易委員會（SEC）提交<a href="https://www.sec.gov/Archives/edgar/data/2021728/000162828026025762/cerebras-sx1april2026.htm" target="_blank">IPO申請文件</a>，計畫以代號CBRS於那斯達克上市。隨生成式AI帶動算力需求爆發，公司主打晶圓級晶片（Wafer-Scale Engine），試圖以不同於GPU的架構切入由Nvidia主導的AI晶片市場。</p> <p>2016年於美國創立的Cerebras是家專注於AI專用硬體的半導體新創公司，其最具代表性的創新為晶圓級處理器（Wafer-Scale Engine，WSE）架構，把整片矽晶圓當作單一處理器，完全跳脫傳統GPU或CPU以多顆晶片組裝的設計邏輯。該架構使得運算核心、記憶體與內部頻寬高度整合，大幅降低資料搬移延遲，特別適合大型語言模型與科學運算等高強度AI工作負載。</p> <p>根據Cerebras所提交的S1文件，其公司成長反映出市場對AI的採用，營收自2022年的2,460萬美元，成長至2023年的7,870萬美元、2024年的2.9億美元，一直到2025年的5.1億美元，年增76%。同年也轉為淨利2.38億美元（GAAP），相較2024年淨損4.82億美元明顯改善。</p> <p>不過，若排除股票酬勞與金融工具評價變動等非現金與一次性項目，2025年仍虧損7,570萬美元，2024年則為虧損2,180萬美元（non-GAAP），顯示公司核心營運尚未穩定轉盈，且年度間損益波動亦受會計評價因素顯著影響。</p> <p>Cerebras營收高度集中於少數客戶，主要來自大型AI模型開發商、企業與主權AI專案，顯示其已切入高價值算力市場，但也意味著營運仍高度依賴關鍵客戶。已揭露的客戶包括<a href="https://www.ithome.com.tw/news/173382" target="_blank">OpenAI</a>與AWS。</p> <p>其實Cerebras在2024年就曾申請IPO，隨之延後，再於2025年撤回IPO申請，外傳是因美國政府對阿聯科技集團G42入股Cerebras一案進行了國安審查。</p> </div></div></div>
4/20 13:20作者陳曉莉https://www.ithome.com.tw/news/175174
又有第三個Microsoft Defender零時差漏洞被揭露！連同前面兩個皆已傳出已被用於攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安研究員Chaotic Eclipse（在GitHub的名稱為Nightmare-Eclipse）因不滿微軟處理獲報漏洞的做法，先是在4月初公開第一個Microsoft Defender零時差漏洞<strong><a href="https://www.ithome.com.tw/news/174902">BlueHammer</a></strong>，微軟在14日發布<strong><a href="https://www.ithome.com.tw/news/175055">本月例行更新（Patch Tuesday）</a></strong>修補，並登記為CVE-2026-33825列管，該研究員後續又公布新漏洞<strong><a href="https://www.ithome.com.tw/news/175130">RedSun</a></strong>，如今傳出他又公布第三個零時差漏洞，且這些漏洞現在已出現利用活動的跡象。</p> <p>4月17日<strong><a href="https://x.com/HuntressLabs/status/2044882050314817880">威脅情報公司Huntress指出</a></strong>，他們發現該名研究員公布的資安漏洞已遭到利用，除了上述已被媒體報導的BlueHammer和RedSun，還有一個叫做UnDefend的新漏洞，也出現攻擊活動。該公司最早於4月10日發現BlueHammer遭到利用，駭客試圖執行FunnyApp.exe觸發漏洞，結果遭到受害電腦的Microsoft Defender攔截與隔離，因而未能成功。</p> <p>事隔一週，他們在16日看到有人利用RedSun和UnDefend，其中的RedSun觸發Microsoft Defender警示訊息，指出這是EICAR測試檔案；至於另一個漏洞UnDefend，攻擊者則是透過執行檔undef.exe進行利用。駭客在嘗試利用這兩個新漏洞後，就對受害組織進行偵察，攻擊者親自手動操作並下達命令。為了防範攻擊者後續的利用活動，Huntress已將受影響的組織隔離。</p> <p>究竟UnDefend是什麼樣的漏洞？綜合Chaotic Eclipse在<strong><a href="https://deadeclipse666.blogspot.com/2026/04/funny-dos-tool.html">部落格文章</a></strong>和<strong><a href="https://github.com/Nightmare-Eclipse/UnDefend">GitHub</a></strong>的說明，此為阻斷服務（DoS）類型的弱點，他指出微軟得知漏洞後應該會著手修補，但認定漏洞危險程度不高，處理的優先程度較低。不過，研究員提及該漏洞若是搭配BlueHammer一同使用，將會非常危險，攻擊者只要取得管理員權限，就能藉由UnDefend執行任何程式。他在GitHub提供的概念驗證工具（PoC），號稱可導致Microsoft Defender無法接收特徵碼更新，或是讓此防毒軟體停止運作。</p> </div></div></div>
4/20 09:36作者周峻佑https://www.ithome.com.tw/news/175159
惡意軟體ZionSiphon企圖滲透以色列水利設施，恐影響水資源處理與海水淡化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過往水力設施的工業控制系統（ICS）遭到鎖定的事故，已傳出多起，最近一起是<strong><a href="https://www.ithome.com.tw/news/174965">美國遭遇伊朗駭客CyberAv3ngers（Storm-0784、Hydro Kitten、UNC5691）攻擊</a></strong>，如今有資安公司發現專門針對以色列關鍵基礎設施的惡意軟體活動。</p> <p>資安公司Darktrace揭露針對以色列水處理及海水淡化系統的攻擊行動，<strong><a href="https://www.darktrace.com/blog/inside-zionsiphon-darktraces-analysis-of-ot-malware-targeting-israeli-water-systems">駭客打造專為操作科技（OT）環境設計的惡意軟體ZionSiphon</a></strong>，主要的目的是破壞氯氣和壓力控制的能力。此惡意軟體結合了權限升級、透過USB裝置散播、掃描ICS設備等功能。根據駭客指定的IPv4位址範圍，再加上惡意軟體的攻擊目標都與以色列國家水利基礎設施相關，且用Base64編碼的字串隱含攻擊者的意識形態口號，並針對水處理與海水淡化系統進行檢查，這些跡象代表攻擊者的目標非常明確，並非隨機尋找存在弱點的OT環境。</p> <p>關於ZionSiphon採用的攻擊手法，Darktrace發現駭客試圖利用通訊協定Modbus從事破壞，竄改氯氣與壓力控制相關的檔案，並對於子網路的ICS設備進行掃描，顯然駭客想直接與工業流程相關的控制設備互動，進而造成重大損害。</p> <p>值得留意的是，儘管Darktrace取得的惡意軟體檔案無法正確過濾攻擊目標，還有DNP3和S7comm元件存在缺陷，代表目前ZionSiphon可能尚在開發階段，但根據整體的程式碼結構，駭客疑似正在嘗試操縱多個OT通訊協定，建立在OT網路環境長時間活動的方法，並透過外接式裝置擴大感染範圍。</p> </div></div></div>
4/20 09:42作者周峻佑https://www.ithome.com.tw/news/175161
汽車產業資安威脅急速升溫，勒索軟體事故2025年翻倍成長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年9月，印度塔塔汽車（Tata）旗下的英國車廠Jaguar Land Rover（JLR）<strong><a href="https://www.ithome.com.tw/news/170991">遭遇勒索軟體攻擊</a>，而受到全球高度關注</strong>，<strong><a href="https://www.ithome.com.tw/news/171354">工廠被迫停止生產車輛1個月</a></strong>，損失慘重，<strong><a href="https://www.ithome.com.tw/news/171829">金額高達19億英鎊</a></strong>，而成為英國史上損失最大的資安事件，<strong><a href="https://www.ithome.com.tw/news/171431">英國政府提供15億英鎊貸款擔保</a></strong>，以協助JLR供應鏈恢復運作。有資安公司警告，勒索軟體對汽車產業的威脅加劇，過去一年勒索軟體是汽車產業成長最快的資安威脅，每兩起事故約有一起是勒索軟體攻擊。</p> <p>資安公司Halcyon<strong><a href="https://www.halcyon.ai/ransomware-research-reports/forty-four-percent-ransomware-automotive-industry">近日發布調查報告</a></strong>，指出汽車產業的資安事故自2023年開始不斷上升，2025年整體事件數量較2024年多出近50%。值得留意的是，勒索軟體是竄升速度最快的資安威脅，2025年的攻擊行動數量是2024年的兩倍。整體來說，2025年汽車產業遭遇的網路攻擊活動，有44%是勒索軟體攻擊。</p> <p>為何勒索軟體駭客會盯上汽車產業？Halcyon推測有幾個原因，首先是車聯網平臺、OTA更新機制，以及雲端架構的基礎設施，擴大了攻擊面，2025年的資安事故裡，有67%是利用遠端資訊系統、雲端平臺，以及API作為主要攻擊的途徑。</p> <p>再者，汽車工業仰賴各式零件供應商的生態系統，許多小型供應商可取得車廠系統的特殊權限，卻往往缺乏相關資安防護的資訊與落實資安政策。另一方面，汽車製造對停機時間的容忍度相當低，一旦生產中斷或是系統故障，隨即就會帶來重大財務損失，這樣的情況，也使汽車產業成為對駭客極具吸引力的勒索目標。</p> <p>Halcyon列出從2024年6月至今的數起重大勒索軟體攻擊事故，比較特別的地方，在於駭客不光針對汽車製造商、經銷商、零件供應商，以及IT服務供應商從事攻擊，也有遠端挾持車輛，然後要求車主付贖金解鎖的事故。</p> <p>2025年6月，駭客挾持俄羅斯車輛進行遠端控制，將車主鎖在車內、控制車窗及車門，甚至是讓車輛無法發動，要求受害者付錢，才能恢復相關的使用權限。攻擊者針對特定中國汽車的非官方應用程式註冊流程，藉由複製的SIM卡、過期的虛擬編號，以及被註銷的經銷商登入權限而得逞。</p> </div></div></div>
4/20 10:39作者周峻佑https://www.ithome.com.tw/news/175170
OpenAI公布生命科學語言模型GPT-Rosalind進軍藥物開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/introducing-gpt-rosalind/" target="_blank">OpenAI上週公布</a>為生命科學產業訓練的語言模型版本GPT-Rosalind，以加速藥物開發及醫學療法發展進程。</p> <p>GPT-Rosalind是支援生物、藥物發現和轉譯醫學的研究的尖端推理模型系列。傳統上，藥物開發從標的發現到獲得法規許可得耗費10到15年，縮短發現早期的時間花費，有助於目標選定、提高生物假設和高品質實驗。然而前端研究流程相當複雜且耗時，研究人員必須處理大量文獻、專門化資料庫、實驗數據和變動不斷的假設來產生及評估其想法。和許多其他AI模型一樣，GPT-Rosalind也意在加速生物科學研究的進程。</p> <p>該模型名稱源於促進DNA結構發現的英國化學家Rosalind Franklin。這模型以GPT為基礎，結合化學、蛋白質工程與基因知識及工具運用能力，並為生命科學研究流程優化。</p> <p>目前OpenAI已提供藥廠和研究單位包括Amgen、Moderna、艾倫研究所（the Allen Institute）、Thermo Fisher Scientific等將GPT-Rosalind用於研究和開發流程上。在和這些客戶合作的評估中，GPT-Rosalind在化學、生物學的子領域（如化學反應機制、蛋白質結構、突變效應和互動、DNA序列的親緣關係解釋）及實驗設計分析等的核心推理任務上，效能表現優於GPT 5、5.2、5.4。且GPT-Rosalind在多步驟研究流程包括文獻回顧、解釋實驗輸出、辨識蛋白質功能、合成外部資訊、後續實驗設計，都能有效使用科學工具和資料庫來支持其推理。</p> <p>該公司也引用生物資訊學及資料分析標竿測試BixBench的測試結果，顯示GPT-Rosalind還超越Gemini 3.1 Pro、Grok 4.2以及GPT 5、5.2、5.4。在科學研究標竿測試LABBench2上，GPT-Rosalind在6項任務中超過GPT-5.4，其中在DNA和酵素試劑的設計測試CloningQA上進步尤為顯著。而在與Dyno Therapeutics合作的RNA序列預測與生成測試中，新模型在預測任務上超過95%的人類專家，在序列生成上則達到人類專家的84百分位。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0420-GPT%E2%80%91Rosalind-600.png" style="width: 600px;" /></p> <p>現在GPT-Rosalind以研究預覽版經由ChatGPT、Codex和API提供給信賴存取方案的組織單位。他們也提供免費的Codex生命科學研究外掛程式，讓科學家們可連結GPT模型到50多個科學工具和資料源。</p> <p>OpenAI表示，GPT-Rosalind是其生命科學模型系列的第一個模型。未來該公司還會持續改進模型的生物學推理能力、強化對重度使用工具、長週期研究工作流的支援，並和頂尖科學研究機構例合作評估實際效果，例如和洛斯阿拉默斯（Las Alamos Nation Lab）等合作AI導引的蛋白質及催化劑設計。</p> </div></div></div>
4/20 09:30作者林妍溱https://www.ithome.com.tw/news/175158
Anthropic公布設計生成模型Claude Design，可用於簡報、網頁、行銷設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic上週<a href="https://www.anthropic.com/news/claude-design-anthropic-labs" target="_blank">宣布Claude Design</a>，讓網頁設計師和知識工作者可用以製作產品設計圖、原型、簡報、一頁式簡報（one-pager）等文件。</p> <p>Claude Design是以Anthropic剛剛宣布的最新模型Claude Opus 4.7為引擎，以研究預覽版形式逐步部署，以提供給Claude Pro、Max、Team、Enterprise方案訂閱戶。</p> <p>Claude Design提供給沒有設計背景的新創公司、產品經理、行銷人員，協助他們生成視覺元素。Claude Design的用途包括以下：設計師不需程式檢查或Pull Request可蒐集用戶回饋的互動式原型、產品經理能畫出功能流程由Claude Code實作或分享給設計師改進、新創公司創辦人或業務人員可製作說明簡報或送到Canva、行銷人員可設計登入頁、社群平臺貼文、宣傳文案，或由設計人員美化、任何人員都可製作具有語音、影片、3D和著色器和AI的網站原型。</p> <p>他們只要在Claude描述需求，Claude就會生成第一版，再漸次根據和使用者對話、線內（in-line）評論、直接編輯或自訂滑鈕修改到用戶理想狀態。用戶單位組織也可以開放存取權限，讓Claude將使用者設計系統自動套用到所有專案，確保所有設計呈現一致性風格。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0420-claude%20design-1.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0420-claude%20design-3.png" style="width: 600px;" /></p> <p>在實際執行上，在一開始，Claude會讀取用戶codebase和設計檔案以便建立公司專用的設計系統。之後它會套用用戶公司專屬色彩、字型和元件，用戶也可以自行改進。接著在每次專案中，用戶可上傳圖片和文件（DOCX、PPTX、XLSX）或指向自己的codebase，或是使用網頁抓取工具從自己的網站擷取代表公司的元素。在Claude產出第一個版本後，用戶可以針對特定元件直接下線內評論、編輯文字、或以調整功能來修改間隔、色彩、版型等，要求Claude將變更套用到整個設計中。做出的設計可以儲存、透過連結分享其他人讀取或修改，和Claude群組對話來協同設計，或是匯出PDF、PPT或HTML檔，或匯入到Canva。最後成品可交給Claude實作。</p> <p>Anthropic表示再幾個星期內，會公布其他方法，方便Claude Design整合用戶組織既有使用的第三方工具。已為Claude Design站臺的第三方工具商包括AI簡報製作平臺Canva以及互動學習平臺Brilliant。</p> </div></div></div>
4/20 09:41作者林妍溱https://www.ithome.com.tw/news/175160
微軟收購財務AI新創公司Fintool，強化Microsoft 365代理人功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟上週收購AI新創公司Fintool，將整合到Microsoft 365部門並用以強化財務AI代理人功能。</p> <p>Fintool是由執行長Nicolas Bustamante和Edouard Godfrey於2023年創立於舊金山的AI公司。根據<a href="https://www.ycombinator.com/companies/fintool" target="_blank">Y Combinator</a>，該公司有6名員工。Fintool定位為法人投資者的AI財務代理人，可讀取財報資料、分析申報文件並整合成研究報告，找出人力或一般搜尋軟體無法發現的訊號。Fintool獲得數千家避險基金、資產管理業者和投資銀行採用。Bustamante在<a href="https://fintool.com/" target="_blank">公司官網</a>公佈被微軟收購的消息。</p> <p>Fintool可和Microsoft 365生產力套件完全整合。今年一月Fintool第5版可背景自主執行，在Excel建立DCF模型，製作PowerPoint營收報告，也可以產出研究Word檔。</p> <p>雙方未說明收購金額。收購後Fintool將整合進Office產品部門。Fintool創辦人Bustamante指出，知識工作者使用Microsoft 365（M365），而其產品就跑在M365之上。微軟Office產品事業群主管<a href="https://www.linkedin.com/feed/update/urn:li:activity:7451005800518418432/" target="_blank">Sumit Chauhan指出</a>，整合Office套件和Fintool專業化功能，後者技術可完美補足微軟策略。</p> <p>這是AI大廠收購財務AI新創公司的最新案例。上週OpenAI也收購了個人化AI財務助理業者Hiro Finance，原因是這些新創公司的專業財務AI模型，能解決生成式AI幻覺的缺點，提高其AI助理的準確性。</p> </div></div></div>
4/20 09:51作者林妍溱https://www.ithome.com.tw/news/175164
全球記憶體短缺可能會持續到2027年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本經濟新聞（Nikkei Asia，日經）<a href="https://asia.nikkei.com/business/tech/semiconductors/memory-shortage-set-to-run-until-2027-as-chipmakers-focus-on-ai" target="_blank">上週報導</a>，在AI需求帶動下，全球記憶體短缺問題可能延續至2027年前後。</p> <p>根據市場研究機構<a href="https://counterpointresearch.com/en/insights/global-dram-and-hbm-market-share" target="_blank">Counterpoint Research</a>在2025年第四季的全球記憶體市場調查，全球前三大動態記憶體（DRAM）供應商依序是三星（36%）、SK hynix（32%）及美光（Micron）（23%），它們占據了全球9成的記憶體市場。</p> <p>隨著AI對高頻寬記憶體（High Bandwidth Memory，HBM）的需求大幅增加，三大廠優先將產能轉向HBM，壓縮原本用於PC與智慧型手機的通用型記憶體供給，導致市場供不應求並推升價格，2026年第一季記憶體價格季增約90%。</p> <p>報導指出，三星於韓國興建的第四座晶圓廠預計2026年上線，但要到2027年後才會全面量產，第五座HBM廠則最快2028年投產；美光在美國與日本的新廠也將分別於2027年與2028年量產。相較之下，SK hynix於2026年2月啟用的HBM工廠，是三大廠中唯一可在2026年實質增加產能的來源。</p> <p>此外，由於擴產速度仍落後於需求成長，報導指出，在2027年前，DRAM供給可能長期僅能滿足約六成市場需求。</p> </div></div></div>
4/20 10:01作者陳曉莉https://www.ithome.com.tw/news/175166
搭32G記憶體、性價比優於競品，英特爾新增中階專業GPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/arc-pro-b70_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上個月底英特爾舉行<strong><a href="https://newsroom.intel.com/client-computing/intel-core-ultra-series-3-with-vpro-powers-next-gen-pcs-on-18a">商業專業日Intel Pro Day 2026</a></strong>，在這場聚焦企業個人電腦解決方案的產品發表會上，不僅展示<strong><a href="https://newsroom.intel.com/intel-products/intel-launches-new-intel-xeon-600-processors-for-workstation">2月推出的工作站處理器Xeon 600</a></strong>，也包含搭載vPro平臺的商用PC處理器Intel Core Ultra系列3<strong>，</strong>令人意外的是，此次也宣布專業繪圖處理器Arc Pro系列擴展更多產品選擇，提供更強大與超值的運算效能，因應內容創作、工程設計類型工作負載，以及AI推論處理需求。英特爾表示，這批新機型能針對多個使用者與代理人的AI工作負載，提供最佳效能，而且能橫跨工作者與邊緣運算平臺，提供更理想的性價比選擇。</p> <p><a href="/sites/default/files/images/Intel Arc Pro B series-2026 H1.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20Pro%20B%20series-2026%20H1.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/Intel B70-Performance-All.jpg"><img alt="" src="/sites/default/files/images/Intel%20B70-Performance-All.jpg" style="width: 600px;" /></a></p> <p>此次Arc Pro系列新增兩款機型，英特爾先推出B70，從3月25日開始供貨，市面上將有採用英特爾與多家合作廠商品牌的產品，像是<a href="https://asrock.com/news/index.tw.asp?iD=5766">華擎科技（ASRock）</a>、<a href="https://www.sparkle.com.tw/tw/products/view/23a450ddb59E">撼與科技（Sparkle Computer）</a>，英特爾B70的建議售價為949美元起，在此同時，伺服器與邊緣運算設備廠商Supermicro也在SYS-212B-FN2T這款<a href="https://www.supermicro.com/en/support/resources/gpu?rsc=fltr_sku%3DSYS-212B-FN2T">邊緣運算伺服器</a>，將Intel Arc Pro B70列入可搭配的GPU產品。</p> <p>另一款B65預計4月中供貨，也將經由英特爾合作廠商推出產品，<a href="https://www.sparkle.com.tw/tw/products/b9b5114a1db55185761bb52e711294f6?filter=eyJhbW91bnQiOjEwLCJwYWdlcyI6MSwic2VhcmNoIjoiIiwic2VyaWVzIjo2MX0=">華擎</a>和<a href="https://www.linkedin.com/posts/sparkle-computer-co-ltd_sparkle-intelarcpro-intel-activity-7443280737870446593-QrCa/">撼與</a>都已在網站公開這批GPU的資訊。</p> <p><a href="/sites/default/files/images/Intel Arc Pro B70-AIB.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20Pro%20B70-AIB.jpg" style="width: 600px;" /></a></p> <p>相較於去年推出的<a href="https://www.ithome.com.tw/review/171313">Intel Arc Pro B60與B50</a>，今年最新發表的Intel Arc Pro B70與B65同樣導入Xe2-HPG架構，製程也採用TSMC N5，搭配的記憶體是GDDR6，但提供更多GPU核心（B70內建32顆Xe2，B65與B60均為20顆Xe2，B50為16顆Xe2），以及更大容量的GPU記憶體（B70與B65均內建32 GB，B60為24 GB，B50為16 GB）。</p> <p><a href="/sites/default/files/images/Intel Arc B70 and B65.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20B70%20and%20B65.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/Intel Arc Pro B series-SPEC.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20Pro%20B%20series-SPEC.jpg" style="width: 600px;" /></a></p> <p>在運算效能的突破上，英特爾揭露B70的INT8整數運算可達到367 TOPS，B65為197 TOPS，</p> <p><a href="/sites/default/files/images/all Intel Arc Pro GPU Processors SKUs.png"><img alt="" src="/sites/default/files/images/all%20Intel%20Arc%20Pro%20GPU%20Processors%20SKUs.png" style="width: 600px;" /></a></p> <p>稍早（今年2月底）該公司<strong><a href="https://edc.intel.com/content/www/us/en/products/performance/benchmarks/desktop_1/">公布B70的測試比較結果</a></strong>，將配置24 GB GDDR7記憶體的<strong><a href="https://www.nvidia.com/en-us/products/workstations/professional-desktop-gpus/rtx-pro-4000/">Nvidia RTX Pro 4000 Blackwell</a></strong>列為基準。在Llama 3.1 8B模型的測試中，搭配B70的工作站系統可提供2.2倍的脈絡處理長度（context window）；</p> <p><a href="/sites/default/files/images/Intel Arc Pro B70-Context.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20Pro%20B70-Context.jpg" style="width: 600px;" /></a></p> <p>而在Ministral-8B-Instruct-2410模型的多人或多AI代理工作負載，反應速度領先幅度達到6.2倍。</p> <p><a href="/sites/default/files/images/Intel Arc Pro B70-Response.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20Pro%20B70-Response.jpg" style="width: 600px;" /></a></p> <p>而在性價比的效益上，Intel Arc Pro B70提供1.6倍至2倍單位運算效能。以成本來看，Intel Arc Pro B70的價格定為949美元，Nvidia RTX Pro 4000 Blackwell收集8大通路的售價，平均價格定為1,775.94美元；在英特爾的測試環境當中，設置單GPU、雙GPU、四GPU的系統，執行多個大型語言模型，分別是Llama-3.1-8B與Qwen3-8B、Mistral-Small-24B，以及DeepSeek-R1-Distill-Qwen-32B。</p> <p><a href="/sites/default/files/images/Intel Arc Pro B70-KV Cache.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20Pro%20B70-KV%20Cache.jpg" style="width: 600px;" /></a></p> <p>在4月初公布的MLPerf Inference v6.0效能測試結果中，英特爾也提交並被列入<strong><a href="https://newsroom.intel.com/artificial-intelligence/intel-delivers-ai-performance-mlperf-inference-v6-0">搭配4張Intel Arc Pro B70、B60、B50的系統運算效能</a></strong>，同樣執行OpenAI gpt-oss-120b的模型，若以搭配B60的系統為基準，搭配B70的系統推論效能可達到1.8倍。英特爾也透露與其他競爭GPU產品相比，Intel Arc Pro B70足以處理更大的AI模型與多GPU組態系統的脈絡長度，能在執行大型AI模型時，提供1.6倍的KV快取容量。</p> <p><a href="/sites/default/files/images/MLPERF 6_0-Intel Pro B70-text.png"><img alt="" src="/sites/default/files/images/MLPERF%206_0-Intel%20Pro%20B70-text.png" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/MLPERF 6_0-Intel Pro B70.jpg"><img alt="" src="/sites/default/files/images/MLPERF%206_0-Intel%20Pro%20B70.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;">產品資訊</span></p> <p><span style="color:#0000FF;">Intel Arc Pro B65與B70</span><br /> ●原廠：Intel<br /> ●建議售價：B70為949 美元起，AIB合作夥伴版本的價格依最終產品配置而有所不同，B65<br /> ●GPU架構：Intel Xe2<br /> ●GPU晶片製程：TSMC N5<br /> ●GPU核心：B70內建32個Xe2-HPG核心、8個渲染切片、32個光線追蹤單元、256個XMX引擎、256個Xe向量引擎；B65內建20個Xe2-HPG核心、5個渲染切片、20個光線追蹤單元、160個XMX引擎、160個Xe向量引擎<br /> ●GPU運算效能：B70的FP32浮點運算為22.94 TFLOPS，INT8整數運算為367 TOPS；B65的FP32浮點運算為12.28 TFLOPS，INT8整數運算為197 TOPS<br /> ●I/O介面：PCIe 5.0 x16<br /> ●內建記憶體容量：GDDR6，B70與B65均為32 GB<br /> ●記憶體頻寬：B70與B65均為608 GB/s<br /> ●外觀尺寸：B70與B65均為雙槽<br /> ●DisplayPort埠：B70與B65均配備4個2.1版DisplayPort<br /> ●耗電量：B70為230瓦，B65為200瓦<br /> ●支援API：B70與B65均支援DirectX 12 Ultimate，B70支援OpenGL 4.6、OpenCL 3.0、Vulkan 1.3、OpenVINO</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
4/18 15:39作者李宗翰https://www.ithome.com.tw/review/174999
【資安週報】0413~0417，美英加監管機構警戒LLM模型能力提升恐威脅金融舊系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="123" data-start="0">【資安新聞編輯室報告】這一星期最受產業矚目的消息之一，莫過於LLM模型在資安攻防兩端展現的深遠影響力，繼Anthropic Claude Mythos預覽版發布，OpenAI亦擴大GPT-5.4-Cyber的申請範圍，由於Mythos已展現強大的跨系統分析能力，此態勢已引起美、英、加三國監理機關的高度警戒，憂心這類先進模型若早一步被攻擊方利用，將用於金融業者。</p> <p data-end="123" data-start="0">此外，這星期我們也看到因應簡訊OTP難題的最新探討與推動，包括電話號碼認證（PNV）與基於eSIM去電話號碼識別的方案，這些進展均顯示：若要解決這類問題科技業，需與電信業者合作來應對。</p> <p data-end="123" data-start="0"> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 政策法規、技術趨勢、產業脈動 </span></strong></span></h1> <p> </p> <h2><strong>OpenAI擴大提供GPT-5.4-Cyber</strong></h2> <p>繼Anthropic於本月初公布Claude Mythos預覽版後，OpenAI則宣布<a href="https://www.ithome.com.tw/news/175058">擴大其GPT-5.4-Cyber專用模型的申請使用範圍</a>。這款專為網路安全分析優化的模型，現在將開放給更多資安人員申請使用，同時加入進階防護工作的新功能，支援惡意程式分析與逆向工程，協助理解軟體漏洞。</p> <h2><strong>Claude Mythos能力引發多國監理機關關注風險</strong></h2> <p>隨著Claude Mythos預覽版發布，<a href="https://www.ithome.com.tw/news/175081">美國、英國與加拿大主管機關近期已與銀行高層討論相關風險</a>，主因是Claude Mythos這類先進模型能跨系統分析複雜架構，對於企業內部長期累積的舊系統環境而言，過去未被發現的弱點與系統複雜性，現在都可能轉化為可被利用的攻擊面。此外，銀行業大量採用相似的KYC與交易軟體，一旦出現規模化AI攻擊，高度連結的金融體系受到的影響可能迅速擴散。</p> <h2><strong>數發部資安署發布中小企業基本資安指引</strong></h2> <p><a href="/sites/default/files/images/2026-04-17_174928.jpg"><img alt="" src="/sites/default/files/images/2026-04-17_174928.jpg" style="width: 280px; height: 295px; float: right;" /></a></p> <p> </p> <p>繼金管會於2021年底發布「<a href="https://www.ithome.com.tw/news/150803">上市上櫃公司資通安全管控指引</a>」後，為進一步帶動全臺企業重視資安，去年資通安全研究院（資安院）<a href="https://www.ithome.com.tw/news/171253">建立實地資安健檢服務</a>，引進美國加州柏克萊大學Cybersecurity Clinic課程課綱，就是聚焦輔導中小企業而來，近期數發部資安署再發布「<a href="https://moda.gov.tw/ACS/laws/guide/rules-guidelines/904">中小企業基本資安防護指引</a>」及自我檢核表，將專業資安要求轉化為易懂清單，涵蓋帳號管理、設備管理、落實資料備份等實務建議。</p> <p> </p> <h2><strong>解決簡訊OTP難題需與電信業者整合</strong></h2> <p>前陣子大量LINE帳號遭盜用的事件受到廣泛關注，更深層問題是OTP認證碼（一次性密碼）仍普遍應用，目前相關對策仍在持續發展中，但焦點就是要<a href="https://www.ithome.com.tw/news/174936">探討如何與電信業者深度結合，目前已有兩大技術趨勢備受矚目</a>，一是仰賴電話號碼的電話號碼驗證（Phone Number Verification，PNV）機制，另一則是去電話號碼識別，基於eSIM Passkey的技術方案。</p> <h2 style="margin: 0px;"><strong>OpenSSL 4.0發布</strong></h2> <p>作為全球應用最廣泛的開源加密函式庫，<a href="https://www.ithome.com.tw/news/175096"><strong>OpenSSL發布4.0重大版本更新</strong></a>。本次改版聚焦於架構現代化與清理技術債，包括正式移除SSLv3協定與SSLv2 Client Hello支援，並全面廢除Engine機制；此外，部分資料結構與X509相關公開API也調整得更為嚴謹。在安全性強化方面，則新增支援ECH（Encrypted Client Hello）技術及後量子密碼學（PQC）相關功能。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 最新漏洞威脅 </span></strong></span></h1> <p> </p> <p>在漏洞利用消息方面，多家IT大廠發布每月例行安全更新的公告，揭露與修補近期掌握的弱點，其中微軟本月例行安全更新就修補自家產品165個漏洞（包含兩個零時差漏洞，其中一個已遭利用），並修補第三方元件漏洞82個。進一步從整體來看，本星期有5項漏洞發現遭駭客鎖定利用，須優先關注！</p> <h3><span style="color: rgb(178, 34, 34);"><strong>微軟 CVE-2026-32201</strong></span></h3> <p>●零時差漏洞攻擊事件發生，目標是微軟SharePoint Server的漏洞<a href="https://www.ithome.com.tw/news/175055">CVE-2026-32201</a>，微軟發現有鎖定利用情形後於每月例行更新修補，攻擊者身分尚未揭露。已被美國CISA列入KEV。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Apache CVE-2026-34197</strong></span></h3> <p>●Apache基金會4月初修補ActiveMQ的漏洞<a href="https://www.ithome.com.tw/news/175006">CVE-2026-34197</a>，美國CISA在漏洞公開後一星期將之列入KEV，目前尚未有更多攻擊狀況揭露的消息。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Marimo CVE-2026-39987</strong></span></h3> <p style="margin: 0px;">Python資料分析工具Marimo揭露<a href="https://www.ithome.com.tw/news/175134">CVE-2026-39987</a>的漏洞，資安公司Sysdig指出在Marimo發布公告約10小時後，已經發現漏洞利用嘗試的跡象。截稿前尚未被美國CISA列入KEV。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Nginx UI CVE-2026-33032</strong></span></h3> <p>網頁伺服器Nginx的第三方網頁管理介面Nginx UI在3月底揭露的漏洞<a href="https://www.ithome.com.tw/news/175108">CVE-2026-33032</a>，資安公司Recorded Future於兩週後示警，指出Nginx UI團隊已於3月中釋出修補程式，但後續亦在3月發現漏洞利用情形。截稿前尚未被美國CISA列入KEV。</p> <h3 style="margin: 0px;"><span style="color: rgb(178, 34, 34);"><strong>ShowDoc CVE-2025-0520</strong></span></h3> <p>中國技術文件協作平臺ShowDoc在去年4月修補的漏洞<a href="https://www.ithome.com.tw/news/175093">CVE-2025-0520</a>，資安公司VulnCheck揭露有鎖定利用的攻擊活動，近期於蜜罐陷阱看到有攻擊者試圖部署Webshell的情形。中國將此漏洞登記為CNVD-2020-26585列管。截稿前尚未被美國CISA列入KEV。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>RedSun</strong></span></h3> <p>有研究人員提前揭露Microsoft Defender存在名為<a href="https://www.ithome.com.tw/news/175130">RedSun的零時差漏洞</a>，已有攻擊概念驗證（PoC）公開，突顯該漏洞的可利用性。目前微軟尚未揭露相關CVE編號。</p> <p>其他重要修補動向：</p> <p>包括<a href="https://www.ithome.com.tw/news/175079">Apache Tomcat</a>、開源監控平臺<a href="https://www.ithome.com.tw/news/175021">Grafana</a>、DNS伺服器軟體<a href="https://www.ithome.com.tw/news/174754">BIND 9</a>、SSL通訊函式庫<a href="https://www.ithome.com.tw/news/175098">wolfSSL</a>、<a href="https://www.ithome.com.tw/news/174876">OpenSSH</a>、<a href="https://www.ithome.com.tw/news/175089">PHP套件管理器Composer</a>的漏洞修補消息。特別的是，工控軟體大廠<a href="https://www.ithome.com.tw/news/174710">PTC</a>揭露旗下產品生命週期管理系統滿分重大漏洞，目前尚無修補程式，用戶須立即採取緩解措施</p> <h3> </h3> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 重要威脅態勢 </span></strong></span></h1> <p> </p> <div> <h3><span style="color: rgb(178, 34, 34);"><strong>CPUID網頁遭入侵</strong></span></h3> <p>提供硬體監控工具CPU-Z、HWMonitor的<a href="https://www.ithome.com.tw/news/175007">CPUID網頁遭入侵</a>，駭客用來散布惡意軟體STX RAT，經營CPUID的Doc TB表示，初步判斷是網站的某個API工具遭駭，攻擊者約從4月9日至10日入侵約6個小時，導致網站隨機顯示惡意連結。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>瑞典供熱廠去年遭親俄駭客試圖攻擊</strong></span></h3> <p><a href="https://www.ithome.com.tw/news/175103">瑞典民防部長Carl-Oskar Bohlin在當地一場記者會上指出</a>，該國一座供熱廠於2025年春天遭親俄駭客組織攻擊，試圖破壞OT系統營運，由於廠內的資安防護啟動，阻止了該次入侵。瑞典安全部門調查確認，攻擊者可能與俄羅斯情報機構有聯繫。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>中國駭客以ELF後門大肆搜刮雲端憑證</strong></span></h3> <p><a href="https://www.ithome.com.tw/news/175083">資安公司Breakglass發現</a>中國駭客APT41近期打造的ELF後門程式，鎖定建置在AWS、GCP、Azure、阿里雲的Linux雲端工作負載，該後門程式使用郵件通訊協定SMTP常用的25埠建立C2通訊，收集雲端服務供應商的憑證與中繼資料，然後將竊得資料傳送到3個冒充阿里巴巴的網域，這些主機架設於阿里雲新加坡的基礎設施。值得留意的是，VirusTotal納入的防毒引擎均未偵測出惡意程式，再加上駭客導入的C2交握驗證機制，使得Shodan、Censys等物聯網搜尋引擎難以識別受害的工作負載。</p> </div> <h3><span style="color: rgb(178, 34, 34);"><strong>中國駭客網釣範圍擴大至南亞多國</strong></span></h3> <p>之前針對臺灣企業以稅務稽核、雲端電子發票為誘餌從事攻擊的中國駭客組織Silver Fox（亦稱Void Arachne），攻擊範圍已擴散至南亞多國。<a href="https://www.ithome.com.tw/news/174956">資安公司Sekoia指出</a>，該組織自2024年起從早期的經濟利益驅動，轉型為APT偵察活動。在工具使用上，Silver Fox去年放棄慣用的Winos 4.0，改採合法的遠端監控管理工具（RMM）以規避偵測，後續更進一步換裝自研的Python竊資軟體。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Axios供應鏈攻擊事故影響持續擴大</strong></span></h3> <p style="margin: 0px;"><a href="https://www.ithome.com.tw/news/175030">Open AI表示</a>經調查確認受Axios供應鏈攻擊影響，已輪換macOS App簽章憑證、並以新憑證更新App再上架到蘋果App Store，呼籲macOS用戶更新到最新版。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 數字情報 </span></strong></span></h1> <p> </p> <p><span style="font-size: 24px;"><strong><span style="color: rgb(178, 34, 34);"><span style="font-size: 36px;">60%</span></span>組織認技能落差更勝人力不足，AI重塑<span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);">74%</span></span>資安團隊結構</strong></span></p> <p><a href="/sites/default/files/images/2026-04-17_170844.jpg"><img alt="" src="/sites/default/files/images/2026-04-17_170844.jpg" style="width: 260px; float: right;" /></a></p> <p>專門研究與教育的SANS Institute組織發布《<a href="https://www.sans.org/mlp/2026-evolving-cybersecurity-workforce-ai-compliance-talent#download">2026 Cybersecurity Workforce Research Report</a>》，指出資安人力危機已從人數不足（Headcount Gap）轉為技能落差（Skills Gap），今年有60%組織認為「技能落差」是更大挑戰，比例比去年52%更提升。此外，AI正重塑團隊結構：74%資安團隊因AI調整人員規模與角色。更值得關注的是，雖然39%的組織表示職位並未減少，但以SOC與資安分析師的裁減比例最高（32%），其次為威脅情資分析師（26%）、事件應變人員（22%）及開發人員或 DevSecOps（19%）。這些職位的共通點在於，其工作內容包含大量重複性分析與模式識別。但同時新增AI安全專家（34%）、AI安全工程師（32%）等新職位。</p> <p><span style="font-size: 24px;"><strong>Claude Mythos預覽版在CTF專家級任務的成功率達<span style="color: rgb(178, 34, 34);"><span style="font-size: 36px;">73%</span></span></strong></span></p> <p><a href="https://www.ithome.com.tw/news/175037">英國AI安全研究所（AISI）公布Claude Mythos預覽版最新評測結果</a>，指出該模型在資安搶旗賽（CTF）測試中，專家級任務的成功率達73%；而在企業攻擊模擬部分，10次測試中有3次能完成從初始偵察到全面控制系統的32個攻擊流程步驟；至於在OT環境測試中，則未能成功完成攻擊流程。</p> <p><strong><span style="font-size: 24px;">AI暗中違規行為數量暴增，半年出現近<span style="color: rgb(178, 34, 34);"><span style="font-size: 36px;">700起</span></span>事件，暴增近<span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);">5倍</span></span></span></strong></p> <p><a href="https://www.ithome.com.tw/news/174959">英國非營利研究機構長期韌性中心最新研究指出</a>，AI系統在真實環境中違反指示、規避限制的「scheming」行為正快速增加。研究統計，自2025年10月起的5個月內，共辨識出698起相關事件，單月案例數激增4.9倍，報告指出這是AI系統失控風險的早期徵兆。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 專家觀點 </span></strong></span></h1> <p> </p> <p><span style="color: rgb(255, 140, 0);"><span style="font-size: 24px;"><strong>研究人員揭露用Claude模型找出存在13年漏洞的實際經驗</strong></span></span></p> <p>Apache在4月初修補ActiveMQ的漏洞CVE-2026-34197，在一星期後被攻擊者鎖定利用。於3月下旬通報此漏洞的<a href="https://horizon3.ai/attack-research/disclosures/cve-2026-34197-activemq-rce-jolokia/">Horizon3.ai研究人員指</a>出，該弱點其實已存在長達13年，這次成功找出漏洞的關鍵在於Claude模型的進步。他表示，這陣子都會先用Claude來掃描原始碼找漏洞，但大多數時候僅能發現一些有趣的線索，但這一次他只用幾個基本提示就有出色的表現，整體大約有80%是Claude貢獻，僅有20%是人工來綜整。這還是在尚未使用Mythos模型的情況下。</p> <p style="margin: 0px;"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 140, 0);">Fortinet談AI與資安如何打造低碳、可信任的數位轉型</span></strong></span></p> <p>面對AI、資安、ESG交會的時代，Fortinet工控資安產業發展總監陳心怡<a href="https://www.ithome.com.tw/news/174995">在2026數位永續高峰會分享實踐經驗</a>，指出「沒有資安就沒有真正的轉型」。她強調推動平台化資安架構的重要性，將不同安全功能整合於單一平臺，此模式也是契合ESG潮流，能有效減少設備與人力成本、降低整體能耗與碳排，進而提升管理效率與營運韌性。</p> <p style="margin: 0px;"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 140, 0);">AI輔助攻擊最快只要25分鐘，這半年新模型推出將更顯嚴峻</span></strong></span></p> <p>在Mythos模型還沒公布之際，<a href="https://www.paloaltonetworks.com/perspectives/weaponized-intelligence/">Palo Alto Networks執行長Nikesh Arora執行長已示警</a>，指出傳統企業偵測入侵可能需要數天，但AI輔助攻擊從進入系統到竊取資料，最快僅需25分鐘。他強調Anthropic、OpenAI等公司即將推出的模型，具備大規模自動化尋找系統漏洞的能力，預期半年內，發動複雜攻擊的門檻將持續降低。他並認為感測器、AI驅動數據湖（AI-enabled data lakes）與消除零散化（Consolidation）將是防禦體系的重要關鍵。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 重大資安事件 </span></strong></span></h1> <p>上市櫃資安重訊：</p> <p><strong><span style="font-size: 22px;">知名餐飲業<a href="https://mopsov.twse.com.tw/mops/web/t146sb05"><span style="color: rgb(0, 153, 255);">Q Burger</span></a>指出部分內部資訊系統發生異常，初步研判為網路攻擊事件。</span></strong></p> <p><strong><span style="font-size: 22px;">散熱模組廠<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193439&SPOKE_DATE=20260413&COMPANY_ID=3483"><span style="color: rgb(0, 153, 255);">力致</span></a>表示部分資訊系統遭受駭客網路攻擊</span></strong></p> <p><strong><span style="font-size: 22px;">旅遊業<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=152113&SPOKE_DATE=20260413&COMPANY_ID=2745"><span style="color: rgb(0, 153, 255);">五福</span></a>因違反個資法被交通部裁罰100萬元，原因是今年1月遭駭事故導致客戶資料外洩</span></strong></p> <p>國際重要資安事件</p> <p><span style="font-size: 22px;"><strong>線上旅遊訂房平臺<a href="https://www.ithome.com.tw/news/175032"><span style="color: rgb(0, 153, 255);">Booking.com</span></a>部分訂房資料遭未授權存取，導致用戶個資外洩</strong></span></p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 資安活動快訊 </span></strong></span></h1> <p> </p> <h2><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月23日 </span></span>【<a href="https://o11yday.ithome.com.tw/2026/CFP">Observability Day可觀察性技術日】</a></strong><br /> </h2> <h2><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月21~23日 </span></span>【<a href="https://www.teeia.org.tw/tw/news/SEMIE187">SEMI E187半導體設備資安合規實踐研討會</a><a href="https://o11yday.ithome.com.tw/2026/CFP">】</a>4/21台中場、4/22高雄廠、4/23新竹場</strong><br /> </h2> <h2><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月25日 </span></span>【<a href="https://www.twcert.org.tw/newepaper/cp-68-10817-1f929-3.html">資安防護實戰-CTF 資安人才培育課程(台南場)</a>】</strong></h2> <p> </p> <p> </p> <p> </p> </div></div></div>
4/17 18:25作者羅正漢https://www.ithome.com.tw/news/175154
長庚醫療體系從制度與管理面推動數位與ESG並進，打造智慧永續醫院治理架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國內醫療產業加速數位轉型與淨零壓力並行的趨勢下，國內成立將近50年的長庚醫療體系也不例外，長庚醫療財團法人行政中心總執行長潘延健近期在數位永續高峰會分享，長庚醫療體系50年來推動資訊化與永續發展的心得，強調資訊化與永續「從來不是分開的兩條路」，而是共同建立在管理與制度基礎上的雙軸演進。</p> <p>他強調，長庚的資訊化發展核心，始終圍繞在管理與合理化之上，「如果資訊化沒有管理跟合理化，其實它是什麼都達不到」，同樣地，推動節能與ESG需要隨著公司整體的運作發展。</p> <p>長庚醫療體系很早便投入資訊化發展，從1976年台北長庚醫院成立，當時使用大型電腦就安置於台塑大樓，並有一群工程師為長庚醫院寫程式。創辦人王永慶在當時將台塑企業的管理精神帶到醫院。</p> <p>然而從長庚醫療體系發展至今，底下已有11個院區，營運管理日趨複雜之下，儘管體系內醫院共同使用一套資訊系統，但是在不同院區的應用發展還是存在落差。</p> <p>潘延健指出，長庚在推動數位轉型過程中，重點並不僅是系統建置，而是建立可跨院區運作的數據架構，支撐醫療、教學與研究需求。</p> <p>其資訊架構涵蓋電子病歷、資訊系統基礎設施、數據分析與影像系統等多個層面，並進一步朝向「數據中台」發展，以整合不同院區與場景的資料應用。他表示，透過統一架構可以支撐內部治理與多元應用需求。</p> <p><span style="color:#B22222;"><strong>導入國際評估體系，提升智慧醫療成熟度</strong></span></p> <p>為了帶動各個院區的資訊發展成熟度，長庚體系導入國際醫療資訊成熟度評估架構，例如HIMSS與DHI數位健康指標，逐步檢視並提升數位化程度。</p> <p>潘延健提到，這些評估不僅關注系統是否導入，更重視「落地執行」，包括醫療流程數位化、數據治理一致性，以及跨院區的標準化能力。他指出，真正的挑戰在於，即使系統相同，「不同院區在執行與數據運用上仍可能存在落差」。</p> <p>為此，長庚和HIMSS合作，透過白皮書機制來盤點各個院區的數位成熟度差異，檢視評估同一套系統在不同院區間的存在落差，持續不斷優化精進，後來在EMRAM電子病歷方面取得不錯的評級成果。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-17%20%E4%B8%8B%E5%8D%885_40_09.jpeg" style="width: 600px; height: 388px;" /></p> <p><span style="color:#B22222;"><strong>ESG從制度出發，節能不是單一部門責任</strong></span></p> <p>在透過資訊化建立長庚體系的數位治理基礎後，在ESG方面，將ESG視為和數位轉型同一治理架構的不同面向。潘延健強調，節能減碳並非單一單位的責任，而是整體制度的一部分，「節能應該是人人有責」。</p> <p>如同推動數位轉型一樣，長庚也透過制度與全員參與，讓ESG能長期落地執行。節能不只是能源或工務單位的責任，透過制度設計，讓各單位在日常運作中自主管理、持續改善。長庚透過目標設定、日常稽核與跨單位比較機制等等，將節能、數位化與流程優化內化為組織運作的一部分，形成一種強調紀律、標準化與長期累積的治理文化，也讓相關措施能在多院區體系中持續推進而不流於形式。</p> <p>潘延健舉例說明，長庚從早期從從管理制度面逐步導入能源管理與節能措施，例如醫院內的照明系統從傳統燈具逐步升級至LED與感應式控制、空調與冷卻系統優化，以及用水回收與電力系統改善等。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-17%20%E4%B8%8B%E5%8D%885_38_03.jpeg" style="width: 600px; height: 404px;" /></p> <p>同時，體系也導入ISO 14064碳盤查制度，並進一步推動綠建築與既有建築改善，強調永續並非新專案，而是長期管理機制的延伸。</p> <p>在技術應用上，長庚也將AI導入能源管理與營運優化，例如用電預測、契約容量管理，以及空調負載與能耗的優化，中央監控系統智慧調節等，以提升整體能源效率。</p> <p>長庚也從醫療服務流程進行碳足跡盤查，涵蓋門診、住院、手術、檢驗與影像等流程，擴大延伸至上游的採購、營運服務與下游的廢棄物處理，以建立完整碳排放模型。他指出，這些工作高度依賴資訊系統整合，而非人工盤查，「必須透過系統才能持續、正確地進行盤查與計算」。</p> <p><span style="color:#B22222;"><strong>建立數位與永續雙軸轉型的醫療治理模式</strong></span></p> <p>整體而言，長庚醫療體系的發展路徑顯示，數位轉型與ESG並非兩個獨立議題，而是透過同一套治理邏輯推動的雙軸轉型。</p> <p>從資訊系統建置、數據中台整合，到能源管理與碳盤查機制，核心始終圍繞在制度落實與持續改善。潘延健總結指出，醫療體系的長期發展，最終仍回到管理本質與執行力，而數位工具與ESG框架，正是讓制度得以規模化落實的關鍵支撐。</p> </div></div></div>
4/17 18:12作者蘇文彬https://www.ithome.com.tw/news/175151
Anthropic MCP協定遭揭存在設計缺陷，MCP伺服器可被誘導執行任意命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司OX Security<a href="https://www.ox.security/blog/the-mother-of-all-ai-supply-chains-critical-systemic-vulnerability-at-the-core-of-the-mcp/">指出</a>，由Anthropic主導開發的開放標準MCP（Model Context Protocol）在架構設計上存在系統性風險，攻擊者可藉由其STDIO傳輸介面，在MCP伺服器上執行任意作業系統命令，進而取得敏感資料、API金鑰及對話紀錄，研究團隊已針對受影響的下游專案揭露10個以上高風險與重大等級CVE。Anthropic的回應則將相關行為視為預期設計，未修改協定架構。</p> <p>Anthropic MCP協定設計缺陷在於MCP SDK的STDIO介面，該介面原本設計用於啟動本地伺服器程序，但實際運作時，傳入的作業系統命令無論伺服器是否成功啟動都會被執行，過程中沒有任何輸入驗證、過濾或沙箱隔離機制。</p> <p>研究人員指出，該設計邏輯為先執行而後驗證，並強調這並非程式碼層級的錯誤，而是架構層級的設計決策。該缺陷存在於Anthropic官方支援的全部語言SDK，涵蓋Python、TypeScript、Java、Go與Rust等10種主流程式語言。</p> <p>研究人員估計波及超過200個開源專案，相關套件累計下載量超過1.5億次，公開暴露的MCP伺服器超過7,000個，潛在受影響實例多達20萬個。研究團隊在6個正式營運平臺上成功執行概念驗證攻擊，受影響的知名專案包括LiteLLM、LangChain及IBM旗下的LangFlow等。</p> <p>研究人員歸納出四大類攻擊手法，分別是透過AI框架的未授權UI注入、繞過受保護環境的防禦機制，以及針對AI IDE的零點擊提示注入，還有在MCP市集中散布惡意伺服器。其中，團隊實際向11個主要MCP市集上傳概念驗證用的惡意MCP伺服器，結果有9個市集在未經安全審查的情況下直接接受，僅GitHub的託管Registry攔截了提交。</p> <p>OX Security轉述Anthropic的回應表示，MCP的STDIO機制本來就是用來啟動本機子程序，因此未將相關行為視為需要修改協定設計的有效漏洞。LiteLLM、DocsGPT、Bisheng等專案已發布修補，Agent Zero與Fay Framework則仍列為已通報狀態。</p> </div></div></div>
4/17 14:21作者李建興https://www.ithome.com.tw/news/175146
【資安日報】4月17日，APT41鎖定4大雲端環境搜刮憑證與權杖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175083"><strong style="font-size: 22px;">中國駭客APT41使用惡意程式搜刮雲端憑證，範圍涵蓋AWS、GCP、Azure、阿里雲</strong></a></p> <p>資安公司Breakglass指出，他們發現APT41近期打造的ELF後門程式，鎖定建置在AWS、GCP、Azure、阿里雲的Linux雲端工作負載，該後門程式使用郵件通訊協定SMTP常用的25埠建立C2通訊，收集雲端服務供應商的憑證與中繼資料，然後將竊得資料傳送到3個冒充阿里巴巴的網域，這些主機架設於阿里雲新加坡的基礎設施。值得留意的是，VirusTotal納入的防毒引擎均未偵測出惡意程式，再加上駭客導入的C2交握驗證機制，使得Shodan、Censys等物聯網搜尋引擎難以識別受害的工作負載。</p> <p>值得留意的是，這次駭客不再使用HTTPS進行C2通訊，而是刻意採用SMTP常見的連接埠。Breakglass指出，原因可能是雲端環境通常會提供電子郵件服務，因此25埠的流量往往會被視為正常，再加上許多資安工具不會深入檢查SMTP流量，以及各家雲端服務廠商對於25埠出口流量過濾做法不一致，使得相關活動難以被察覺。</p> <p><a href="https://www.ithome.com.tw/news/175134"><strong style="font-size: 22px;">Marimo重大漏洞遭利用，駭客透過Hugging Face散布惡意軟體NKAbuse</strong></a></p> <p>Python互動運算環境Marimo開發團隊上週揭露重大漏洞CVE-2026-39987（CVSS v4.0風險評為9.3分），資安公司Sysdig於10小時後首度看到漏洞利用活動，如今他們提出警告，已有多起漏洞利用攻擊出現。</p> <p>Sysdig指出，他們在4月11日至14日，總共看到有11個IP位址發動662起攻擊，包括反向Shell、擷取憑證與DNS資訊，以及利用竊得憑證橫向移動，駭入資料庫系統PostgreSQL與Redis，其中一起活動引起Sysdig的注意：駭客搭配搶先註冊Hugging Face Spaces服務的方式，散布惡意軟體NKAbuse。這次駭客針對執行Linux或macOS的AI開發工作站而來，並搭配知名AI服務、冒用常見的開發工具名稱，並利用CVE-2026-39987，突顯執行Marimo的開發工作站極具價值，因為通常會存放雲端憑證、SSH金鑰、API權杖（Token），甚至是內部網路的存取權限。</p> <p><a href="https://www.ithome.com.tw/news/175130"><strong style="font-size: 22px;">研究人員對微軟回應BlueHammer感到失望，公布新的Microsoft Defender零時差漏洞RedSun</strong></a></p> <p>4月上旬研究員Chaotic Eclipse疑似對微軟通報漏洞的流程不滿，公布資安漏洞BlueHammer，後續有資安專家與資安公司證實這個漏洞確實存在，並指出問題與內建防毒軟體Microsoft Defender的更新機制有關，攻擊者若是成功利用，能取得SYSTEM權限，微軟在本月例行更新（Patch Tuesday）登記為CVE-2026-33825並提供修補。如今該名研究員想要繼續表達不滿，再度公布新的資安漏洞，目前尚無修補程式。</p> <p>根據資安新聞網站Bleeping Computer報導，Chaotic Eclipse疑似對微軟處理BlueHammer的過程頗有微詞，於4月16日公布新的漏洞RedSun。針對上述研究人員指控，微軟向Bleeping Computer說明，該公司承諾會調查獲報的資安問題，並儘快更新受影響的裝置，保護用戶的安全。這樣的說法，還是相當制式，也無從得知微軟對RedSun掌握的情形。</p> <p><a href="https://www.ithome.com.tw/news/175140"><strong style="font-size: 22px;">思科修補Webex重大漏洞</strong></a></p> <p>思科本週釋出安全更新，修補視訊會議產品Webex漏洞CVE-2026-20184，攻擊者可冒充合法用戶存取目標系統。此漏洞存在於Webex服務的控制臺Control Hub，涉及單一簽入（SSO）整合功能，起因在於憑證驗證不當，讓攻擊者能經由服務端點，以假造的權杖（token）通過身分驗證。成功濫用漏洞的攻擊者可假冒用戶，存取合法Cisco Webex服務，CVSS風險分數達到9.8，屬重大等級漏洞。</p> <p>思科已經更新Webex服務並解決漏洞，不過，為避免服務中斷，使用信任錨點作為SSO整合的使用者，必須上傳新的身分驗證供應商（Identity Provider，IdP）SAML憑證到Control Hub。</p> <p><a href="https://www.ithome.com.tw/news/175108"><strong style="font-size: 22px;">Nginx網頁管理介面元件Nginx UI存在重大漏洞，有資安公司警告已遭積極利用</strong></a></p> <p><a href="/sites/default/files/images/CVE-2026-33032-attack-flow.png" target="_blank"><img alt="" src="/sites/default/files/images/CVE-2026-33032-attack-flow.png" style="width: 300px; float: right;" /></a></p> <p>網頁伺服器Nginx的第三方網頁管理介面Nginx UI存在重大漏洞，後續傳出遭到利用，由於攻擊者可用來在無須通過身分驗證的情況下接管網頁伺服器，這個弱點受到資安界高度關注。</p> <p>這個漏洞被登記為CVE-2026-33032，起因是Nginx UI與模型上下文協定（Model Context Protocol，MCP）整合時，會曝露兩個HTTP端點/mcp與/mcp_message，其中的/mcp同時需要從白名單IP位址並通過身分驗證，才能存取，不過/mcp_message只需透過白名單IP位址就能存取，然而IP位址白名單預設沒有任何內容，再加上中間軟體預設允許所有的存取，導致未經身分驗證的攻擊者能使用所有的MCP工具，將Nginx重新啟動，或是建立、竄改、刪除組態設定檔案，甚至能觸發自動設定重新載入，完全挾持Nginx服務，CVSS風險評為9.8分（滿分10分），相當危險。</p> <p><a href="https://www.ithome.com.tw/news/175093"><strong style="font-size: 22px;">中國技術文件協作平臺ShowDoc存在重大漏洞，已被用於實際攻擊活動</strong></a></p> <p><img alt="" src="/sites/default/files/images/1775923503861.jpg" style="width: 300px; float: right;" />資安公司VulnCheck提出警告，中國技術文件協作平臺ShowDoc已知漏洞CVE-2025-0520出現遭到利用的活動，他們透過蜜罐陷阱看到有人試圖部署Webshell，這是首度出現該漏洞被用於攻擊的情況。</p> <p>CVE-2025-0520屬於未受限制的檔案上傳漏洞，起因是檔案類型的驗證不夠周延，可被攻擊者執行任何PHP指令，從而導致遠端程式碼執行（RCE）的情況，CVSS v4.0風險達到9.4分（滿分10分），屬重大等級，非常危險。ShowDoc開發團隊在2020年10月推出2.8.7版進行修補，當時中國將此漏洞登記為CNVD-2020-26585列管。</p> <p><a href="https://www.ithome.com.tw/news/175104"><strong style="font-size: 22px;">Google發布Chrome瀏覽器更新，修補31個漏洞，含多個重大與高風險漏洞</strong></a></p> <p>Google發布Chrome瀏覽器新版本，將Windows與Mac平臺穩定版更新至147.0.7727.101與147.0.7727.102，Linux版本更新至147.0.7727.101，此次改版修補多個重大與高風險漏洞。這次Chrome更新一共修補31個漏洞，包括5個重大漏洞、22個高風險漏洞，以及4個中度風險漏洞。</p> <p>其中最受矚目的是重大漏洞CVE-2026-6296，為圖形處理元件ANGLE的堆積緩衝區溢位（heap buffer overflow）問題， Google給予通報者9萬美元獎勵，是近幾個月來Chrome漏洞通報中少見的高額獎金。另一個值得關注的重大漏洞是CVE-2026-6297，問題在於跨程序通訊代理層（Proxy），出現記憶體釋放後再存取使用（Use After Free）的狀況，Google給予通報者1萬美元獎金。</p> <p><a href="https://www.ithome.com.tw/news/175117"><strong style="font-size: 22px;">降低基頻高風險攻擊面，Google在Pixel 10系列導入Rust改寫的DNS解析器</strong></a></p> <p>Google在Pixel 10系列基頻（Baseband）韌體中導入記憶體安全語言，具體作法是導入以Rust實作用來解析DNS回應的DNS解析器。Google選用開源Rust函式庫hickory-proto作為基礎，並以體積最佳化設定建置原型後估算，相關Rust程式碼總計約371 KB。</p> <p>開發團隊先從DNS著手，是因為現代行動通訊已轉為數位資料網路，連通話轉接等基本功能都仰賴DNS服務，而DNS協定複雜，必須解析來自網路的不受信任資料，容易衍生漏洞。以Rust重寫DNS解析器，可降低此處與記憶體不安全相關的漏洞風險。</p> <p><a href="https://www.ithome.com.tw/news/175002"><strong style="font-size: 22px;">Gmail全程加密擴展到企業客戶的行動裝置</strong></a></p> <p>在電腦版Gmail導入全程加密（E2EE）2年後，Google近日宣布將此功能推向Android和iOS裝置。不過，目前提供訂閱付費版Workspace的企業用戶使用。現在Google將這項功能透過Workspace Enterprise Plus with Assured Controls版本，或是Assured Controls Plus擴充程式，提供Android及iOS手機的Gmail用戶端加密（Client-side Encryption，CSE）功能。</p> <p>管理員須在CSE管理員介面啟用相關功能，終端用戶若想在任何訊息加入用戶端加密，需先點選Gmail介面的鎖頭圖示、選擇額外加密，之後就能像平常一樣寫郵件和增加附件。</p> <p><a href="https://www.ithome.com.tw/news/175123"><strong style="font-size: 22px;">Palo Alto Networks完成併購Koi Security，強化AI代理時代的端點防護</strong></a></p> <p>今年初傳出Palo Alto Networks有意買下以色列資安新創廠商Koi Security的消息，本週正式宣布完成，Palo Alto Networks將藉由整合Koi Security的技術，為AI代理與自動化工具所帶來的新型資安風險，提供全新的AI代理端點安全（Agentic Endpoint Security，AES）類別解決方案。</p> <p>Palo Alto Networks產品技術長Lee Klarich表示：代理AI為企業帶來巨大機遇，但也創造新的攻擊面，而傳統安全工具難以檢測這些攻擊面。透過併購Koi Security，則能為這項威脅的處理提供新的解決方案。Koi Security執行長兼聯合創辦人Amit Assaraf則表示：加入Palo Alto Networks後，他們將能為用戶提供最全面的解決方案，以保護終端和企業範圍內的所有AI與軟體安全。</p> <p><a href="https://www.ithome.com.tw/news/174936"><strong style="font-size: 22px;">解決簡訊OTP難題，FIDO生態系設法與電信業者整合，電話號碼驗證PNV與eSIM Passkey成新對策</strong></a></p> <p>近期大量LINE帳號遭盜用的事件受到廣泛關注，雖然這次事件主因在於電信業語音信箱採用預設密碼，讓攻擊者有機可乘，但整起事件背後還有其他更深層議題值得探討，因為雲端服務相關身分驗證機制仍仰賴OTP認證碼（一次性密碼）。</p> <p>儘管全球產業早已推動採用更強的多因素驗證（MFA）與Passkey，以降低雲端服務登入遭網釣風險，但許多平臺在帳號註冊或復原的流程中，至今仍經常依賴簡訊OTP作為身分驗證方式。是否已有因應之道？今年3月FIDO臺灣分會舉辦活動，太思科技董事長何俊炘在一場演說剛好談及這方面的議題，揭露全球多國政府陸續禁用OTP的態勢之餘，更強調FIDO聯盟成員正積極與電信業合作的全新發展態勢。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/newly-discovered-powmix-botnet-hits.html">捷克員工遭到殭屍網路PowMix攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/zionsiphon-malware-designed-to-sabotage-water-treatment-systems/">惡意軟體ZionSiphon針對以色列水利設施，恐影響水資源處理與海水淡化工作</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/obsidian-plugin-abuse-delivers.html">筆記軟體Obsidian用戶遭鎖定，駭客意圖散布惡意軟體PhantomPulse RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-athr-vishing-platform-uses-ai-voice-agents-for-automated-attacks/">網釣平臺ATHR運用AI語音代理從事自動化攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/operation-poweroff-identifies-75k-ddos-users-takes-down-53-domains/">歐盟聯手21國從事執法活動Operation PowerOFF，找出逾7.5萬名涉及DDoS平臺的人士</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/automotive-ransomware-attacks/">鎖定汽車產業的的勒索軟體攻擊2025年翻倍</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175111"><strong>【4月16日】17年前的Excel漏洞驚傳遭到利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175084"><strong>【4月15日】微軟、SAP、Adobe發布本月例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175043"><strong>【4月14日】OpenAI證實遭遇Axios供應鏈攻擊波及</strong></a></p> </div></div></div>
4/17 12:34作者周峻佑https://www.ithome.com.tw/news/175139
漏洞數暴增263%，NIST縮減CVE分析範圍轉向風險優先
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國國家標準暨技術研究院<a href="https://www.nist.gov/news-events/news/2026/04/nist-updates-nvd-operations-address-record-cve-growth" target="_blank">（NIST）週三（4/15）宣布</a>，因應CVE（Common Vulnerabilities and Exposures，通用漏洞揭露）數量在2020年至2025年間暴增263%，將調整其國家漏洞資料庫（National Vulnerability Database，NVD）的運作模式，不再對所有漏洞進行完整分析與評分，改採風險優先機制，僅針對已被利用或關鍵系統相關漏洞進行加值處理，且即日起生效。</p> <p>NVD是以CVE為基礎的公開資安資料庫，長期負責為已揭露漏洞補充結構化資訊，包括CVSS（Common Vulnerability Scoring System，通用漏洞評分系統）嚴重性分數、受影響產品（CPE）及弱點分類（CWE），並提供更完整的技術描述，協助企業進行風險評估與修補優先排序，被廣泛視為全球漏洞管理與資安工具的重要依據。</p> <p>NIST表示，此次調整主因在於CVE數量快速成長已超出處理能力，2020年至2025年間漏洞數量暴增263%，2025年新增約4.8萬筆CVE，比前一年多出45%，且即便去年已完成約4.2萬筆漏洞分析，仍無法跟上新增速度；而2026年前三個月提交量亦比去年同期再增加約三分之一，導致NVD持續累積大量未處理案件。</p> <p>在此一情況下，全面為所有漏洞提供分析與評分已不可持續，因此改採風險導向策略，優先處理已被利用或具關鍵影響的漏洞。而未被列入優先分析範圍的CVE，將被歸類為未排程（Not Scheduled）。</p> <p>具體而言，NIST將不再全面分析所有漏洞，而是優先處理已被美國網路安全暨基礎設施安全局（CISA）列為已知遭利用漏洞清單（Known Exploited Vulnerabilities，KEV）的項目，目標是在一個工作天內完成分析，同時也會優先處理政府與關鍵系統相關漏洞。</p> <p>至於其他一般漏洞，雖然仍會收錄在NVD中，但將不再提供評分與完整分析，僅保留基本資訊，只在收到申請或資源允許時才會進一步補充分析，並歸類為未排程（Not Scheduled）。</p> <p>儘管有人認為NVD的改制很可能會擴大漏洞情報落差，影響企業判斷風險的能力，然而，趨勢科技漏洞研究計畫Zero Day Initiative威脅認知負責人Dustin Childs向CyberScoop認為，NIST必須採取行動，因為該組織在CVE分析上已嚴重落後，而且可能永遠跟不上。</p> <p>NIST並未公布到底有多少待處理的CVE，但根據其<a href="https://nvd.nist.gov/general/nvd-dashboard" target="_blank">公開儀表板</a>，自NVD從2005年建立以來總計收錄了344,998筆CVE，現在已有超過10萬筆被列入Not Scheduled。</p> </div></div></div>
4/17 13:26作者陳曉莉https://www.ithome.com.tw/news/175144
Claude Opus 4.7強化開發與影像處理，資安能力刻意低於Mythos模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic正式發布<a href="https://www.anthropic.com/news/claude-opus-4-7">Claude Opus 4.7</a>，主打高難度軟體工程任務的自主完成能力，以及更高解析度的影像處理能力。Anthropic也表示，該模型在訓練階段曾嘗試降低網路安全能力，並先在這類能力較Claude Mythos Preview低的模型上測試新的資安防護措施。</p> <p>Opus 4.7能夠處理過去需要人類密切監督的複雜、長時間執行任務，並在回報結果前自行設計驗證方式檢查輸出正確性。Anthropic指出，早期測試使用者已能將最困難的程式開發工作交由模型獨立完成。此外，該模型在指令遵循能力上有明顯進步，但這也代表針對舊版模型撰寫的提示詞可能產生非預期結果，因為過去被模型忽略或寬鬆解讀的指令，現在會被逐字執行，使用者需重新調整提示詞。</p> <p>視覺處理是Opus另一項重要升級，Opus 4.7支援長邊最高2,576像素，總共約375萬像素的影像輸入，是先前Claude模型的三倍以上。這項改進直接影響需要細緻視覺判讀的應用場景，包括電腦操作代理程式讀取密集螢幕截圖，以及從複雜圖表中擷取資料。不過，由於高解析度影像會消耗更多詞元（Token），不需要額外細節的使用者可在送出前先降低影像解析度。</p> <p>Anthropic在Opus 4.7上測試新的資安防護措施，並在訓練過程中曾嘗試降低其網路安全能力，還加入自動偵測與封鎖機制，攔截禁止或高風險的網路安全用途請求。需要將模型用於弱點研究、滲透測試或紅隊演練等合法用途的資安專業人員，須加入新設立的Cyber Verification Program。</p> <p>Opus 4.7 API定價維持與Opus 4.6相同，每百萬輸入Token為5美元，每百萬輸出Token為25美元，可透過API、Amazon Bedrock、Google Cloud Vertex AI與Microsoft Foundry取用。但官方提醒，新版分詞器（Tokenizer）會使相同輸入對應到更多Token，可能為原本的1至1.35倍，模型在較高推理強度，特別是代理式情境的後續回合，也可能產生更多輸出Token，因此實際Token用量可能上升。</p> <p>Opus 4.7新增介於high與max之間的xhigh推理層級；API也推出任務預算功能公開測試版，讓開發者可替長時間任務設定Token預算。Claude Code則新增/ultrareview指令，用於變更審查，並將自動模式擴大開放給Max方案使用者。</p> </div></div></div>
4/17 13:42作者李建興https://www.ithome.com.tw/news/175136
歐盟即將推出線上年齡驗證App，可確保隱私完成驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ec.europa.eu/commission/presscorner/detail/da/statement_26_817" target="_blank">歐盟宣布</a>年齡驗證應用程式已經開發完成，將可提供用戶在不暴露個人資料下證明年齡，藉此避免未成年人接觸不適宜內容。</p> <p>歐盟主席Ursula von der Leyen昨日公布，該應用程式將遵守歐盟《數位服務法》，規範線上平臺包括限制色情、賭博及酒精相關內容的存取，並防範未成年人接觸到這些內容。目前年齡驗證App技術上已經就緒，很快就能上架供下載。屆時用戶可從應用程式商店下載該應用程式，使用身分證明（如護照或國民身分證）完成驗證。</p> <p>根據歐盟官方，該App及系統類似COVID-19疫情期間使用的數位憑證，讓歐盟用戶在不曝露身分情況下證明疫苗接種狀況。利用新的年齡驗證App，使用者可以利用該資料確認自己在瀏覽受限內容時已超過某個年齡，而不會暴露身分。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0417-EU%20Age%20Verification%20Solution.png" style="width: 600px;" /></p> <p>根據<a href="https://ageverification.dev/" target="_blank">歐盟網站</a>這款App是以歐洲數位身分錢包（European Digital Identity Wallet）框架為基礎開發，可在用戶存取成人適用的服務時證明資格，旨在加速App於各歐盟委員國的適用，可視各國情況客製化。App開發架構遵循開放標準，促進各國家系統互通，且允許線上服務商開發相容解決方案。歐盟的網站也提供了技術文件、整合指引及開源元件。</p> <p>官員表示，該應用程式將完全匿名，並基於開源技術打造，意味著它也可能被歐盟以外的地區採用。</p> </div></div></div>
4/17 14:04作者林妍溱https://www.ithome.com.tw/news/175145
美國醫學期刊研究顯示AI早期診斷錯誤率逾80%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國醫學期刊<a href="https://jamanetwork.com/journals/jamanetworkopen/fullarticle/2847679" target="_blank">JAMA Network Open於本週發布的研究</a>指出，現成大型語言模型（Large Language Models, LLMs）在臨床推理中仍存在明顯限制，特別是在早期的鑑別診斷階段，錯誤率普遍超過80%。</p> <p>JAMA Network Open為美國醫學會（American Medical Association，AMA）旗下的開放取用醫學期刊，採同儕審查機制，在醫學界具一定權威性。不過，本次研究屬於以標準化病例模擬（clinical vignettes）進行的橫斷式評估，主要用於測試AI模型在臨床推理流程中的表現，並非基於真實病患的臨床試驗結果，仍需進一步實證驗證其在實際醫療場景中的適用性。</p> <p>該研究評估21款主流大型語言模型，包括GPT-5、Claude 4.5 Opus、Gemini 3系列與Grok 4，透過29個標準化臨床案例，模擬醫療決策流程，涵蓋鑑別診斷、檢查選擇、最終診斷、治療管理，以及其他臨床推理等五個階段。</p> <p>結果顯示，各模型整體表現仍有差距，但在不同診療階段呈現明顯不均。研究發現，AI在「最終診斷」與「治療管理」的準確率相對較高，而「檢查選擇」與其他臨床推理則居中，但在最早期的「鑑別診斷」表現最差，錯誤率普遍超過80%，成為各模型共同的弱點。</p> <p>進一步分析指出，AI較擅長在資訊已較完整的情況下給出答案，但在資訊不足、需要逐步推理的早期階段，容易過早收斂至單一結論。相較之下，臨床醫師通常會在初期保留多種可能性，並隨著檢查與資料累積逐步修正判斷。研究認為，這種在不確定情境下推理能力的不足，是目前AI尚難直接應用於臨床決策的關鍵限制。</p> </div></div></div>
4/17 14:18作者陳曉莉https://www.ithome.com.tw/news/175147
思科修補Webex重大非授權存取漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-cui-cert-8jSZYhWL" target="_blank">思科本週釋出安全更新</a>，修補視訊會議產品Webex一個能讓駭客存取並冒充合法用戶的漏洞。</p> <p>編號CVE-2026-20184的漏洞是位於Cisco Webex Services控制臺Control Hub的單一簽入（single-sign-on，SSO）整合，可讓未經驗證的遠端攻擊者假冒該服務中的任何用戶。Cisco Webex Services為雲端版本，在被配置成使用信任錨點進行單一登入（SSO），允許用戶以Control Hub管理。該漏洞出在憑證驗證不當，讓攻擊者能經由服務端點，以假造的令牌（token）通過驗證。成功濫用漏洞者可假冒用戶，存取合法Cisco Webex服務。本漏洞屬於CVSS風險分數9.8的重大漏洞。</p> <p>思科已經更新這個Webex服務、解決漏洞。本漏洞沒有暫時性解決方法。不過為避免服務中斷，使用信任錨點作為SSO整合的使用者必須上傳新的身份供應商（identity provider）SAML憑證到Control Hub。</p> <p>本漏洞是思科內部安全測試時發現。思科的產品安全事件回應團隊（PSIRT）未發現漏洞有公開或惡意濫用的情形。</p> </div></div></div>
4/17 12:49作者林妍溱https://www.ithome.com.tw/news/175140
駭客公布McGraw-Hill逾100GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在日前發出警告後，駭客組織昨日公布了知名教育出版商麥格羅希爾（McGraw-Hill）約100GB的內部資料。</p> <p>上週一個駭客組織宣稱取得知名教育出版商麥格羅希爾（McGraw-Hill）Salesforce資料4,500萬筆紀錄，威脅該出版社若未聯繫，將把資料公布網上。</p> <p><a href="https://haveibeenpwned.com/Breach/McGrawHill" target="_blank">Have I Been Pwned昨日發現</a>，麥格羅希爾超100GB的資料已被公開，當中包含多個站點的1350萬筆電子郵件信箱，以及完整度不一的姓名、實體地址和電話等額外欄位。</p> <p>駭客可能是因未接到麥格羅希爾聯繫而公開資料。在駭客貼出公告後，週二這家出版公司<a href="https://www.ithome.com.tw/news/175082" target="_blank">證實</a>其使用的Salesforce系統的確遭未授權存取，並外流一小部份資訊。</p> <p>但麥格羅希爾表示，事件並非出於該公司Salesforce帳號、客戶資料庫、教材系統或內部系統被非授權存取。這公司並說，與外部資安業者合作調查發現，外洩的資訊不包含社會安全碼、財務資訊或教育平臺的學生資料。</p> <p>本事件可能是由ShinyHunterss所為。這個駭客組織同時間開始公開遊戲製造商Rockstar Games的內部資料。ShinyHunters宣稱是藉由從績效分析工具業者Anodot取得Rockstar Games的Snowflake實例憑證得逞。</p> <p>這群駭客還聲稱握有知名飯店集團永利度假村（Wynn Resorts）、加拿大BPO公司<a href="https://www.ithome.com.tw/news/174387" target="_blank">Telus Digital</a>、<a href="https://www.ithome.com.tw/news/174797" target="_blank">歐盟執委會</a>、知名賀卡公司Hallmark Cards、美國國鐵公司Amtrak的資料。</p> </div></div></div>
4/17 13:07作者林妍溱https://www.ithome.com.tw/news/175143
研究人員對微軟回應BlueHammer感到失望，公布新的Microsoft Defender零時差漏洞RedSun
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月上旬研究員Chaotic Eclipse疑似對微軟通報漏洞的流程不滿，<strong><a href="https://www.ithome.com.tw/news/174902">公布資安漏洞BlueHammer</a></strong>，後續有資安專家與資安公司證實這個漏洞確實存在，並指出問題<strong><a href="https://www.ithome.com.tw/news/174989">與內建防毒軟體Microsoft Defender的更新機制有關</a></strong>，攻擊者若是成功利用，能取得SYSTEM權限，微軟在<strong><a href="https://www.ithome.com.tw/news/175055">本月例行更新（Patch Tuesday）</a></strong>登記為CVE-2026-33825進行修補。如今該名研究員想要繼續表達不滿，再度公布新的資安漏洞，目前尚無修補程式。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/microsoft/new-microsoft-defender-redsun-zero-day-poc-grants-system-privileges/">資安新聞網站Bleeping Computer報導</a></strong>，Chaotic Eclipse疑似對微軟處理BlueHammer的過程頗有微詞，於4月16日<strong><a href="https://github.com/Nightmare-Eclipse/RedSun">公布新的漏洞RedSun</a></strong>。針對上述研究人員指控，微軟向Bleeping Computer說明，該公司承諾會調查獲報的資安問題，並儘快更新受影響的裝置，保護用戶的安全。</p> <p>值得留意的是，有資安專家根據Chaotic Eclipse公布的資料，指出該漏洞確實存在。Tharros首席漏洞分析師Will Dormann<strong><a href="https://infosec.exchange/@wdormann/116412019416916182">透過社群網站Mastodon指出</a></strong>，在已套用最新發布更新的Windows 10、Windows 11，以及Windows Server 2019，並啟用Microsoft Defender的情況下，未具備特殊權限的攻擊者的確能將權限提升到SYSTEM層級。Dormann指出，只要作業系統存在cldapi.dll元件，就有可能受到RedSun影響。</p> <p>Dormann透露RedSun其他細節，該漏洞利用了Cloud Files API，攻擊者只要將EICAR寫入使用該API的檔案，然後利用機會鎖定（oplock）贏得與磁碟區陰影複製服務之間的條件競爭，並利用資料夾的交接點或重解析點（junction/reparse point）將檔案重寫，然後重新導向在C:\Windows\system32\TieringEngineService.exe覆寫檔案。此時，Cloud Files基礎設施就會以SYSTEM的權限，執行攻擊者植入的TieringEngineService.exe。</p> <p>而對於揭露RedSun的原因，<strong><a href="https://deadeclipse666.blogspot.com/2026/04/public-disclosure-response-for-cve-2026.html">Chaotic Eclipse在部落格文章說明</a></strong>，在BlueHammer受到資安媒體廣泛報導後，微軟提出了極為制式的回應，突顯該公司並未重視研究員的訴求。Chaotic Eclipse認為，微軟很清楚BlueHammer一定會被公開，雖然獲報後將其立案，但後續還是選擇了駁回。Chaotic Eclipse與微軟安全性回應中心（MSRC）交涉時，發生什麼狀況？顯然有待雙方進一步說明。透過GitHub公開的文件，Chaotic Eclipse解釋發現這個漏洞的動機與原因。首先，他通常只提供概念驗證程式碼（PoC），其他人必須自行解析，但這次他覺得太可笑而決定說明原委，當Microsoft Defender發現惡意檔案具有雲端標籤時，本應隔離惡意軟體的防毒軟體，竟試圖將檔案還原到原本的位置，而他的概念驗證程式碼就是利用上述問題，成功覆蓋系統檔案並取得管理員權限。</p> </div></div></div>
4/17 11:10作者周峻佑https://www.ithome.com.tw/news/175130
Adobe發表Firefly AI Assistant，可跨Photoshop等多款應用執行多步驟創作流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Adobe發表<a href="https://blog.adobe.com/en/publish/2026/04/15/introducing-firefly-ai-assistant-new-way-create-with-our-creative-agent#access_token=eyJhbGciOiJSUzI1NiIsIng1dSI6Imltc19uYTEta2V5LWF0LTEuY2VyIiwia2lkIjoiaW1zX25hMS1rZXktYXQtMSIsIml0dCI6ImF0In0.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.HEHxmz_MT-LMkWtBVGiLdPI_Wyevk5--HuwoKTbQYxze4QfRQRrcyHGsR62cfCkl72U2GclZF4jHflpZla-H0ECtWoKrDxEMbXzHUZ44DfoshG227Y-aGQ40xAbTwDxi--Nvd1IUB1QRQGn8MCJQNO7NW8N78nhvIVPuhJA7kjLa_u6QJkIGO6E3VkSyeqAjE9fwIhKK2Jp1mL3yvU9YQfXe28GZbfWPVqNu0DLCuEwfP-WHWXLRGy63e1LXQv5dGq2Gkigy14mXWR-LfeOPGSHlODbu6JkDXojNM1bTcDzl3-25_oZfezG2H3KpM5te2kx_DXWiaqJa5DcHGR5ZqA&token_type=bearer&expires_in=86399996">Firefly AI Assistant</a>，該新功能由代理驅動，提供對話式操作介面。使用者以自然語言描述想要的成果，由代理在背後跨Photoshop、Premiere、Lightroom、Illustrator、Express與Firefly等Creative Cloud應用程式協調並執行多步驟工作流程，最終輸出仍保有Adobe原生檔案格式，後續可繼續編輯。</p> <p>使用者透過單一對話介面描述創作需求，代理會協調並執行跨應用程式的多步驟流程，並持續呈現結果供使用者迭代。當使用者切換至特定應用程式進行細部編輯，例如進入Photoshop做像素級修圖，對話介面與既有上下文會一同帶入該應用程式，不需重新開始。Adobe表示，代理執行過程中使用者可隨時介入，調整方向或修改輸出細節。</p> <p>Firefly AI Assistant內建Creative Skills技能庫，這是一組針對創意流程預先建置的多步驟工作流程，可用提示詞啟動，使用者也可自訂以符合自身工作習慣，像是社群媒體素材技能，使用者可一次完成主體裁切，運用Generative Extend擴展影像，並依各平臺格式調整尺寸、最佳化檔案大小，最後儲存至Creative Cloud儲存空間，或是將靜態影像轉為動畫。</p> <p>代理也具備情境感知能力，能理解使用者處理的內容類型與結構，官方舉例，編輯森林場景的產品照時，代理可提供滑桿讓使用者調整周圍樹木與植被的多寡，省去複雜編輯步驟。代理會逐步學習使用者常用工具與美學偏好，也可透過Frame.io分享作品供審閱者回饋，再依使用者需求將修改套用至作品中。</p> <p>此功能將於未來數周在Adobe Firefly以公開測試版推出，此為Adobe去年在Adobe MAX預覽的Project Moonlight，在私測版推進後演變而來的版本。Adobe也預告，未來將把Firefly AI Assistant的能力擴展至Anthropic Claude等第三方AI模型。</p> </div></div></div>
4/17 11:42作者李建興https://www.ithome.com.tw/news/175120
Marimo重大漏洞遭利用，駭客透過Hugging Face散布惡意軟體NKAbuse
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月8日Python資料分析工具Marimo開發團隊揭露重大漏洞CVE-2026-39987（CVSS v4.0風險評為9.3分），<strong><a href="https://www.ithome.com.tw/news/175041">資安公司Sysdig於10小時後首度看到漏洞利用活動</a></strong>，如今他們提出警告，已有多起漏洞利用攻擊出現。</p> <p>Sysdig指出，<strong><a href="https://www.sysdig.com/blog/cve-2026-39987-update-how-attackers-weaponized-marimo-to-deploy-a-blockchain-botnet-via-huggingface">他們在4月11日至14日</a></strong>，總共看到有11個IP位址從事了662起攻擊，包括反向Shell、擷取憑證、洩露DNS、以及利用竊得憑證向資料庫系統PostgreSQL與Redis進行橫向移動的情況，其中一起引起Sysdig的注意，駭客搭配搶先註冊Hugging Face Spaces服務的方式，散布惡意軟體NKAbuse。</p> <p>駭客假借VS Code的名義，於Hugging Face Spaces設置專案vsccode-modetx，並上傳install-linux.sh與二進位檔案kagent，此二進位檔案的名稱是模仿Kubernetes的AI代理程式。</p> <p>一旦攻擊者成功利用CVE-2026-39987，他們就會執行curl指令，從Hugging Face Spaces下載install-linux.sh指令碼並執行，由於Hugging Face Spaces是聲譽良好的平臺，通常不太會觸發資安系統的警報。</p> <p>install-linux.sh的實際功能是投放惡意軟體有效酬載kagent，經過分析，此為DDoS惡意軟體NKAbuse的變種，該惡意軟體的活動最早約於2023年出現，使用NKN區塊鏈進行C2通訊而得名。</p> <p>值得留意的是，當年攻擊者鎖定Linux作業系統的物聯網裝置，並利用Apache Struts已知漏洞CVE-2017-5638散布NKAbuse，這次駭客針對執行Linux或macOS的AI開發工作站而來，並搭配知名AI服務、冒用常見的開發工具名稱，並利用CVE-2026-39987，突顯執行Marimo的開發工作站極具價值，因為通常會存放雲端憑證、SSH金鑰、API權杖（Token），甚至是內部網路的存取權限。</p> </div></div></div>
4/17 11:59作者周峻佑https://www.ithome.com.tw/news/175134
OpenAI Codex macOS版App加入電腦工具使用功能，能上網、打字、生成圖片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>因應Anthropic Claude Code挑戰，<a href="https://openai.com/index/codex-for-almost-everything/" target="_blank">OpenAI本週宣布</a>更新Codex macOS版App，加入背景使用電腦工具的功能，不再只能撰寫程式，可理解螢幕、上網和生成圖片，幾乎什麼都能做。Codex並且大幅提升自動化與記憶能力，為開發人員提供更多協助。</p> <p>透過加入背景電腦工具使用能力，Codex現在不只能幫忙寫程式。它能理解螢幕上內容、能以滑鼠點擊App或打字。現在在Mac電腦上多個代理人能同時作業而不干擾其他App運作。對開發人員而言，這能力有助於前端變更、測試App或在不曝露API的應用程式中作業。</p> <p>Codex現在也可原生支援Web。它的App內建瀏覽器。目前用戶可以直接在網頁下評論，藉此提供精準指令給代理人，這有利於前端和遊戲開發工作。OpenAI表示，計畫未來將持續擴大Web支援，使Codex可以完全控制瀏覽器，而不只是操作localhost上的網頁應用程式。</p> <p>Codex也能使用gpt-image-1.5來生成或改良圖片。遊戲或應用程式開發人員可結合螢幕擷圖和程式碼創作產品概念、前端設計、概念原型和遊戲製作視覺效果。</p> <p>OpenAI今天為Codex發表90多個外掛程式，具備技能、App整合和MCP伺服器讓Codex得以執行更多任務。新外掛包括Atlassian Rovo，可管理JIRA、CircleCI、CodeRabbit、GitLab Issues、Microsoft Suite、Neon by Databricks、Remotion、Render、和Superpowers。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0417-codex-macos-plugin-600.jpg" style="width: 550px;" /></p> <p><strong>提升開發協助能力</strong></p> <p>現在Codex支援完整的軟體開發週期各個階段，包括能處理GitHub PR審查評論、執行多個終端Tab和以SSH連結遠端devbox。它還能直接在側邊欄開啟及預覽多種檔案，像是PDF、試算表、簡報、文件檔，並以新的摘要窗追蹤代理人計畫、來源和成品（artifact）。OpenAI表示，這些新增功能將可加速軟體開發週期各個階段，從撰寫程式、檢查輸出、檢視變更、及和代理人協作都可在單一工作空間完成。</p> <p>OpenAI並擴展Codex自動化能力，能重覆利用現有對話串、保留之前的脈絡。它能自我排程未來工作、休息後重啟執行數天或數週的長期任務。開發團隊可利用Codex的自動化功能來處理各種工作，包括開啟pull request到追蹤任務，以及掌握Slack、Gmail和Notion等上的對話。</p> <p>OpenAI也預覽了新的記憶能力，這能力使Codex記得之前工作的脈絡，像是個人喜好、修正的地方，或是花時間蒐集的資訊，省下開發團隊客製化的大量時間。Codex還能根據之前專案的脈絡、連結的外掛和記憶體，建議開發人員如何接續專案作業。例如它會從Google Docs找出評論、從Slack、Notion或codebase取得相關資訊，再提供行動建議。</p> <p>現在這些新功能將部署到桌機版Codex App，使用者登入ChatGPT就能使用。包含脈絡感知建議和記憶的個人化功能，將提供給Enterprise、Edu用戶，很快將推向歐盟和英國。電腦使用功能現在只提供給macOS版，也很快會推向歐盟和英國。</p> </div></div></div>
4/17 12:02作者林妍溱https://www.ithome.com.tw/news/175135
AI Mode進駐Chrome，瀏覽器AI競爭升溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/products-and-platforms/products/search/ai-mode-chrome/" target="_blank">Google週三（4/16）宣布</a>將AI Mode整合進Google Chrome，讓原本存在於搜尋中的對話式AI能力直接進入瀏覽器使用流程。用戶在瀏覽網頁時可即時提問、比較資訊並延伸查詢，無需反覆切換分頁。此舉顯示Google正將AI從搜尋結果頁推向瀏覽器核心場景，迎戰微軟於Microsoft Edge中導入Copilot的策略。</p> <p>AI Mode是Google在搜尋中推出的生成式AI模式，起源於2023年SGE（Search Generative Experience）實驗，並逐步發展為可進行多輪對話與複雜查詢的進階搜尋工具。不同於傳統關鍵字搜尋，AI Mode強調理解使用者需求，整合多個網路來源直接生成答案，並支援延伸追問與跨主題推理。</p> <p>在整合到Chrome之後，AI Mode的操作方式從原本的搜尋頁延伸至實際瀏覽流程。使用者直接於AI Mode中輸入需求後，可在同一畫面開啟網頁，系統會將AI介面與網頁並排呈現，讓用戶在閱讀內容的同時即時提問，例如針對產品規格、文章重點或差異比較進行延伸查詢。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0417-AI%20Mode%20in%20Chrome-600.png" style="width: 515px;" /></p> <p>此外，AI Mode亦支援跨分頁整合，用戶可透過介面中的「＋」功能，將已開啟的多個分頁、圖片或文件（如PDF）納入查詢範圍，由AI統一整理與比較。</p> <p>例如在選購咖啡機時，使用者可先在AI Mode中輸入需求，再開啟產品頁面並即時詢問如「是否容易清潔」等問題，AI會結合當前頁面與網路資訊提供回應，協助做出決策。或是在研究登山步道時，使用者可將已開啟的多個相關網站加入查詢，進一步詢問其他地區是否有適合親子的類似路線。</p> <p>不過，其實微軟早在2023年就將Copilot（當時仍名為Bing Chat）整合進Microsoft Edge側邊欄，讓使用者在瀏覽網頁時可直接進行對話、摘要內容與延伸查詢，開啟了AI與瀏覽器整合的先例。</p> </div></div></div>
4/17 12:20作者陳曉莉https://www.ithome.com.tw/news/175137
降低基頻高風險攻擊面，Google在Pixel 10系列導入Rust改寫的DNS解析器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://security.googleblog.com/2026/04/bringing-rust-to-pixel-baseband.html">Google在Pixel 10系列基頻（Baseband）韌體中導入記憶體安全語言</a>，具體作法是導入以Rust實作用來解析DNS回應的DNS解析器。Google選用開源Rust函式庫hickory-proto作為基礎，並以體積最佳化設定建置原型後估算，相關Rust程式碼總計約371 KB。</p> <p>Google指出，基頻近年已成為攻擊者與資安研究人員的重點目標，自家Project Zero過去就曾透過網際網路，在Pixel基頻上達成遠端程式碼執行。Pixel基頻可執行碼達數十MB，且絕大部分以記憶體不安全語言撰寫，仍可能潛藏其他關鍵記憶體安全漏洞。</p> <p>開發團隊先從DNS著手，是因為現代行動通訊已轉為數位資料網路，連通話轉接等基本功能都仰賴DNS服務，而DNS協定複雜，必須解析來自網路的不受信任資料，容易衍生漏洞。以Rust重寫DNS解析器，可降低此處與記憶體不安全相關的一整類漏洞風險。</p> <p>Google評估多個Rust DNS函式庫後選定hickory-proto，理由包含維護狀況良好、測試覆蓋率超過75%，以及在Rust社群中的高普及度。該函式庫原先不支援嵌入式環境所需的no_std，開發團隊替hickory-proto與其相依的rust-url與ipnet補上支援，相關成果已回饋上游。</p> <p>Google直接把Rust編譯流程接進原本的Pigweed與GN建構系統，開發團隊解釋，這樣做除了比較方便後續擴充，也能避免未來加入更多Rust元件時，在連結階段出現重複符號問題。由於Rust還得和既有的C/C++程式一起運作，團隊也另外處理了記憶體配置與程式異常當機時的銜接機制。</p> <p>等DNS回應完成解析後，Rust程式會再呼叫原本的C函式，更新既有資料結構。Google也提到，整合過程一度出現非預期的功耗與效能問題，原因是compiler_builtins中的memset與memcpy實作，在連結階段取代了基頻韌體內原本針對硬體調校過的版本。團隊最後在連結前移除compiler_builtins相關目標檔，才排除這個問題。</p> <p>程式碼體積是評估過程的重要變數，Google坦言hickory-proto並非為嵌入式環境設計，未針對體積最佳化，但因Pixel基頻記憶體空間相對寬裕，因此以程式碼品質與社群支援為優先。Google表示，這次導入雖僅替換基頻中一個高風險區塊，但已為後續將更多記憶體安全解析器與程式碼帶入基頻建立基礎。</p> </div></div></div>
4/17 10:44作者李建興https://www.ithome.com.tw/news/175117
數發部釋出公部門開源軟體應用參考手冊，彌補公部門對開源軟體的授權、管理資訊不足缺口
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為推動政府數位服務現代化並提升軟體開發治理能力，數位發展部於4月初發布<a href="https://www-api.moda.gov.tw/File/Get/moda/zh-tw/wTyfJVau2bsM8lr">「公部門開源軟體應用參考手冊」</a>，針對公部門在使用開源軟體過程中常見的授權、管理與資安議題，提供系統化指引，作為各級機關落實開源策略的重要依據。</p> <p>數發部自2024年起推動<a href="code.gov.tw">公共程式平臺</a>，透過與政府機關及民間開發社群合作，推動公私協力開發，並鼓勵將成果上架平台供外界使用，以降低各機關重複開發的成本。不過，在推動過程中，軟體授權與管理問題也逐漸浮現，數發部因此意識到，公部門在開源軟體治理上的認知與制度仍有待強化，故而推出參考手冊作為公部門的參考依據。</p> <p>該手冊的推出，可望補足公部門在實務運作上，對於開源授權條款（如GPL、MIT等）的理解仍普遍不足的問題，加上缺乏完善的內部管理流程，容易衍生授權違規、程式碼釋出不當，甚至影響資安與供應鏈風險控管。</p> <p>根據手冊的內容，其重點涵蓋開源軟體的選用評估、授權合規、開發與維運管理，以及對外釋出的原則與流程，並輔以實務案例與操作建議，有助於提升公部門對於開源軟體的認識，降低法律與營運風險，也使開源軟體的使用從過去偏向的技術決策，透過手冊的認識，強化組織對於開源軟體的治理機制。</p> <p>不論是推動公共程式平臺或是推出參考手冊，反映政府數位治理策略的轉向，即從傳統以採購或委外開發為主，進一步趕上國際趨勢，向強調「可重用」、「可審查」與「可協作」的開發模式，較傳統開發更有彈性靈活的作法，透過制度化管理開源軟體，政府可提升系統透明度，促進跨機關資源共享，並有效避免重複開發，進而提升整體行政效率。</p> <p>從國際趨勢來看，開源與公共程式已成為政府數位治理的關鍵策略之一。例如歐盟在European Commission主導下，推動「Public Money, Public Code」理念，強調以公帑開發的軟體應優先開源，以促進跨國共享與數位主權；美國則由White House制定聯邦原始碼政策，強調「先重用、後開發」，要求政府機關在啟動新系統前，須先盤點是否已有可用程式碼，並透過Code.gov統一管理與公開，促進跨機關共享與再利用。</p> </div></div></div>
4/17 10:58作者蘇文彬https://www.ithome.com.tw/news/175126
FIDO結合DBSC等技術來應對Session劫持，並聚焦SSF框架拓展不同身分安全協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期FIDO臺灣分會舉辦活動，除了<a href="https://www.ithome.com.tw/news/175115">解析FIDO聯盟今年的發展路線</a>，從<a href="https://www.ithome.com.tw/news/175116">產業視角深入探討三大核心發展方向</a>，值得關注的是，還有多項FIDO最新技術動態亦成為會中焦點，包括FIDO2標準的最新進展，以及與其他協定合作的動向。對此，全景軟體副總經理陳俊良在會中分享了更多深度觀察。</p> <p>陳俊良指出，回顧半年多來，FIDO2（CTAP2）標準有新的技術演進，新標準允許傳遞更多元參數，讓驗證器在進行身分鑑別的同時，能安全地傳遞可驗證數位憑證（Verifiable Digital Credentials，VDC）、檢查PIN碼複雜度、指定特定認證器，甚至具備儲存加解密金鑰的功能，大幅擴展了其應用場景。此外，支付應用今年也已獨立成立工作小組Payments Working Group（PWG）。</p> <p>在跨協定合作方面，FIDO聯盟企業部署工作小組（EDWG）近期的動態尤為特別，其中有兩大焦點值得業界注目：</p> <h3><strong><span style="color: rgb(178, 34, 34);">DBSC（Device Bound Session Credentials）</span></strong></h3> <p>首先，該小組於2025年5月發布<strong><a href="https://fidoalliance.org/white-paper-dbsc-dpop-as-complementary-technologies-to-fido-authentication/"><span style="color:#696969;">白皮書</span></a></strong>：《DBSC/DPOP as Complementary Technologies to FIDO Authentication》，強調雖然現行FIDO技術雖然防禦了登入階段時的密碼遭網釣威脅，但其他技術環節仍有風險，特別是後驗證（Post-Authentication）階段，使用者登入後獲得的Cookie或Access Token，仍可能被惡意軟體竊取。</p> <p>因此，該白皮書強調FIDO結合W3C正推動的DBSC（Device Bound Session Credentials）標準，以及結合OpenID基金會推動的DPoP（Demonstrating Proof-of-Possession）標準，這兩者主要目的都是要實現裝置綁定（Device Binding），將安全性從登入過程，延伸到後段的Session Security。</p> <p>事實上，近期這方面又有新進展，Google自兩年前<a href="https://www.ithome.com.tw/news/162126">測試DBSC</a>後，<a href="https://www.ithome.com.tw/news/174991">今年4月宣布將其導入於Chrome瀏覽器</a>。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>SSF（Shared Signals Framework）</strong></span></h3> <p>另一項重點是該小組於2025年10月發布的<a href="https://fidoalliance.org/white-paper-fido-and-the-shared-signals-framework/"><strong>白皮書</strong></a>《FIDO and the Shared Signals Framework》，該文件聚焦於OpenID基金會開發的共享訊號框架，目標是將身分與存取管理（IAM）與信任機制深度結合。</p> <p>簡單來說，在傳統架構下，各個IAM系統往往各自為政，這導致使用者在登入後的風險狀態變化，難以即時同步給其他系統，例如Token遺失或帳號遭劫持。而透過FIDO與SSF的結合，透過CAEP（持續存取評估）協定來即時分享設備合規狀態、撤銷Token或強制變更連線Session，透過RISC（風險事件協作）來傳遞帳號盜用與異常行為。陳俊良舉例，當行動裝置管理（MDM）系統偵測到手機環境不合規時，能透過SSF框架即時通知所有串連的應用系統強制登出；在人員入職、離職或調職時，也能確保各系統權限同步自動更新。此外，在執行帳戶復原流程時，配合SSF的訊號偵測，能有效防止攻擊者趁虛而入。</p> <p><a href="/sites/default/files/images/（圖1）FIDO跨協定合作聚焦DBSC與SSF_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89FIDO%E8%B7%A8%E5%8D%94%E5%AE%9A%E5%90%88%E4%BD%9C%E8%81%9A%E7%84%A6DBSC%E8%88%87SSF_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> </div></div></div>
4/16 18:33作者羅正漢https://www.ithome.com.tw/news/175122
後門程式BPFDoor出現變種，駭客透過C2路由與ICMP中繼手法逃過偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在3月底，資安公司Rapid7揭露<strong><a href="https://www.ithome.com.tw/news/174715">中國駭客Red Menshen（Earth Bluecrow）的攻擊行動</a></strong>，駭客鎖定電信網路部署後門程式BPFDoor，長時間潛伏在4G與5G核心網路環境，近期該公司再度公布最新調查結果，指出駭客已發展出多個新的變種，其中導入了C2路由與網際網路控制訊息協定中繼（ICMP Relay）手法，使得該後門程式的活動更加難以追蹤。</p> <p><strong><a href="https://www.rapid7.com/blog/post/tr-new-whitepaper-stealthy-bpfdoor-variants/">Rapid7總共發現7個BPFDoor的變種</a></strong>，其中最重要的兩個是httpShell和icmpShell。該公司指出，駭客使用BPFDoor的時間長達數年，這幾年隨著資安工具的偵測機制出現變化，而調整手法，其中一種就是早期版本的無檔案執行策略，駭客在成功啟動BPFDoor後，就將檔案刪除，目的是讓資安人員難以採集證據；後來EDR具備對應的偵測機制，httpShell的開發團隊就調整手法，不再刪除惡意程式檔案，而是將其混入一般的系統處理程序裡。</p> <p>BPFDoor是執行在Linux系統核心層級的後門程式，其特點就是從作業系統的核心濫用Berkeley封包過濾器（BPF），檢查來自C2的流量，一旦攻擊者透過無狀態協定的隧道傳送特製觸發封包，此後門程式就能在受害企業組織難以偵測的狀態下，持續於網路環境活動。</p> <p>究竟新的變種出現那些變化？其中被稱做httpShell的BPFDoor變種，採用核心層級的封包過濾器，同時驗證IPv4與IPv6的流量，並利用HTTP隧道機制截取隱藏的命令，駭客加入Hidden IP（HIP）欄位進行動態路由。此後門程式具備核心層級的解密機制，透過偏移迴避偵測（Offset Evasion）、IPv6限制等作法，來隱匿相關活動。</p> <p>另一個變種是icmpShell，駭客通常會用於受到高度限制的環境，其特點是設置動態的PTY隧道，連線階段（Session）通常完全運用ICMP協定來進行。此變種會向系統核心注入動態的BPF過濾器，並綁定惡意程式執行的處理程序識別碼（PID），由於每次執行的PID都不同，使得靜態的防火牆規則難以防範。icmpShell另一個特色是具備多種運作模式，除基本的Shell功能，駭客實作了雙向ICMP隧道、UDP與ICMP的打孔（hole-punching）機制，以及RC4加密機制。</p> </div></div></div>
4/16 15:10作者周峻佑https://www.ithome.com.tw/news/175114
從產業界角度看FIDO最新3大趨勢，可驗證數位憑證（VDC）與認識你的Agent（KYA）成關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了幫助國內產業掌握FIDO最新發展態勢，近期FIDO臺灣分會於今年3月舉辦分享活動，邀請多位親赴FIDO巴黎研討會的專家分享第一手觀察，透過解析會議中的關鍵動態，協助國內產業深入了解最新趨勢，為未來的身分識別轉型做好準備。</p> <p>這次活動除了有<strong><a href="https://www.ithome.com.tw/news/175115">工研院專家解析FIDO聯盟正聚焦三大議題</a></strong>：數位憑證（Digital Credential）、代理式AI（Agentic AI）、歐盟CRA（Cyber Resilience Act），現場還有多位產業人士解析FIDO聯盟最新進展，當中同樣有針對上述三大態勢提出深度解析。</p> <p>例如，關於FIDO與數位憑證的發展上，全景軟體副總經理陳俊良表示，FIDO聯盟的政府部署工作小組（GDWG）在去年9月，曾發表一份與數位憑證相關的<strong><a href="https://fidoalliance.org/passkeys-and-verifiable-digital-credentials-a-harmonized-path-to-secure-digital-identity/">白皮書</a></strong>，名為《Passkeys and Verifiable Digital Credentials (VDC): A Harmonized Path to Secure Digital Identity》。</p> <p>陳俊良解釋，這份白皮書在探討通行密鑰（Passkey）與可驗證數位憑證（VDC）如何協調運作。首要重點是，此白皮書開宗明義指出Passkey與VDC是互補的解決方案，而非競爭關係。Passkey作為Web存取的安全門戶，而VDC則在高風險交易中提供驗證資料；其次，Passkey技術本身僅聚焦登入安全，現在則是進一步探討核發前的身分驗證。</p> <p><a href="/sites/default/files/images/（圖6）2026_FIDO台灣分會解析最新態勢_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%892026_FIDO%E5%8F%B0%E7%81%A3%E5%88%86%E6%9C%83%E8%A7%A3%E6%9E%90%E6%9C%80%E6%96%B0%E6%85%8B%E5%8B%A2_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>全景軟體副總經理陳俊良表示，目前趨勢方向是透過VDC來支援Passkey的核發與帳戶復原，提升實名身分認證的可信度。該白皮書也點出，全球已有許多國家正加速布局VDC的發展。</strong></p> <p>對於FIDO應對代理式AI的討論，東擎科技軟體技術二部資安產品經理劉佳明表示，在這次研討會上他也深刻觀察到Agent時代的認證挑戰。他進一步剖析，當AI Agent成為具備執行力的行動者，傳統驗證將出現困境。過去我們驗證的是「人是否為本人」，但在AI Agent時代，當Agent遠端向系統發送請求，系統如何確認它還是那個Agent？</p> <p>針對此態勢，FIDO聯盟成員正積極探討KYA（Know Your Agent），也就是「認識你的代理人」的概念。劉佳明認為，KYA是未來趨勢，是必要的起點，但尚未解決此刻Agent是否可信的問題，像是KYA要求「持續監控Agent行為」，這在現實中是一大挑戰。舉例來說，Passkey可以驗證是本人授權每個動作，但Agent每日執行數百個動作，人類的耐心是有限的。</p> <p>他另提到，從硬體製造角度來看，KYA在發展上還要考量多層防線，像是需要Hardware in the Loop，也就是Agent執行過程中，由硬體層判斷當前狀態是否允許操作，硬體Root of Trust（RoT）同樣是必要條件，確保安全策略不被竄改，並提供完善的憑證保護。另外，雖然KYA驗證了Agent身分，但Agent遭受提示注入或記憶投毒的問題，則是另一層面的嚴峻挑戰。</p> <p>至於FIDO與CRA之間的探討，劉佳明指出，這也是他們硬體廠商非常關注的重要議題。他認為，儘管CRA於2027年正式生效，但漏洞通報規範今年9月率先上路，若等明年相關指引出爐才倉促應對是完全來不及，因此目前其公司內部是以全公司規模去做準備。另外他也推薦，可參考FIDO聯盟提出的「5步驟輕量化CRA合規計畫」。</p> <p><a href="/sites/default/files/images/（圖3）2026_FIDO台灣分會解析最新態勢_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892026_FIDO%E5%8F%B0%E7%81%A3%E5%88%86%E6%9C%83%E8%A7%A3%E6%9E%90%E6%9C%80%E6%96%B0%E6%85%8B%E5%8B%A2_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>東擎科技軟體技術二部資安產品經理劉佳明表示，他注意到FIDO聯盟提出一套「5步驟輕量化CRA合規計畫」，從釐清製造商、界定CRA合規義務歸屬開始，一步步到驗證準備就緒，其流程極具參考價值，足以供外界業者借鏡。</strong></p> </div></div></div>
4/16 16:23作者羅正漢https://www.ithome.com.tw/news/175116
Python後門ViperTunnel被用於勒索軟體DragonForce活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年活動頻頻的勒索軟體DragonForce，<strong><a href="https://www.ithome.com.tw/news/168799">傳出對多家英國零售公司發動攻擊</a></strong>，後續在臺灣<strong><a href="https://www.ithome.com.tw/news/173247">也有企業疑似受害</a></strong>。在最近一起攻擊行動當中，駭客使用新的後門程式來隱匿行蹤，引起資安公司的注意。</p> <p>資安公司InfoGuard<strong><a href="https://labs.infoguard.ch/posts/slithering_through_the_noise">在最近一起DragonForce攻擊行動裡</a></strong>，發現不尋常的現象：其中一個工作排程任務竟在無命令列參數的條件下執行，由於在正常的Windows環境，未下達指令碼的路徑或參數相當少見，該公司起初推測攻擊者使用DLL側載手法，不過進一步調查後發現並非如此，攻擊者濫用Python的自動匯入功能，讓惡意程式碼在電腦啟動時自動執行。</p> <p>駭客使用的惡意程式，是以Python為基礎打造的後門程式ViperTunnel，駭客將其偽裝成系統檔案b5yogiiy3c.dll，不過本質上是以系統程式庫形成建立的Python指令碼，為了避免他人識破，駭客採用3種演算法與壓縮機制進行處理，此後門程式採用SOCKS5隧道建立通訊。根據調查結果，攻擊者的身分是EvilCorp旗下的UNC2165。</p> <p>InfoGuard也提及駭客還會搭配另一個惡意程式ShadowCoil，此為Python打造的竊資軟體，可針對以Chromium為基礎的瀏覽器竊取使用者憑證，後來也支援對Firefox發動攻擊。</p> <p>針對這起事故的調查結果，代表使用ViperTunnel的駭客正在轉型，而兩款惡意程式在混淆手法上出現顯著的技術程度差異，代表開發團隊可能不同。值得留意的是，ShadowCoil近期加入了Linux除錯器檢查機制，顯示駭客可能朝向跨平臺發展。再者，這些惡意程式的基礎設施不採用8000部等常見的通訊連接埠，並搭配偽造的標頭來妨礙偵察，使得攻擊來源更加難以解析。</p> </div></div></div>
4/16 17:04作者周峻佑https://www.ithome.com.tw/news/175119
樹莓派OS新版改變預設行為，sudo指令需輸入密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>樹莓派（Raspberry Pi）釋出作業系統<a href="https://www.raspberrypi.com/news/a-security-update-for-raspberry-pi-os/">Raspberry Pi OS 6.2版本</a>，這是自去年推出的Trixie版本第二次更新，本次版本最受關注的調整在於新安裝系統預設停用無密碼sudo，使用者執行具有管理者權限的指令時，需先輸入當前帳號的密碼。其目的在於封堵一般使用者帳號可直接取得管理者權限的安全缺口。</p> <p>官方強調，此次預設行為變更不會影響既有安裝的升級行為，升級後的系統雖然Control Centre中會出現Admin Password開關，但無密碼sudo仍維持啟用狀態，除非使用者自行關閉。</p> <p>在Linux系統中，一般使用者若需執行管理者層級的操作，通常會在指令前加上sudo作為前綴，讓系統以管理者身分執行該動作。Raspberry Pi OS過去為了便於操作，長期將一般帳號設定為無需輸入密碼即可使用sudo，但此設計也意味著任何能存取該裝置的人，都可從一般帳號直接進行管理者動作，其中包含潛在的惡意操作。</p> <p>從6.2版起，新安裝系統中的一般帳號執行sudo時，終端機會立即出現密碼輸入提示，輸入正確密碼後指令才會繼續執行，輸入錯誤則會被拒絕。桌面環境中涉及管理者權限的操作，例如Control Centre中的部分設定項目，也會跳出對話框要求輸入密碼。官方表示，輸入一次密碼後，5分鐘內的後續sudo操作不會再次詢問，降低重複輸入造成的操作負擔。</p> <p>對於不希望每次被詢問密碼的使用者，Raspberry Pi OS保留了切換選項。桌面版使用者可開啟Control Centre，於System分頁切換Admin Password開關，關閉後系統將還原為過去的無密碼sudo行為。不含桌面環境的Raspberry Pi OS Lite版使用者，則可透過raspi-config工具的System選單調整相同設定。</p> <p>在公告留言區，有使用者抱怨此舉增加操作不便，可能影響無頭（Headless）裝置與自動化腳本等既有使用情境，也有人認為應在映像檔製作或安裝流程中提供切換選項。官方表示，面對網路攻擊威脅日益升高，此類調整可能造成部分習慣原有操作方式的使用者不便，但仍選擇更動預設設定，以提升系統的基本安全性。</p> </div></div></div>
4/16 15:52作者李建興https://www.ithome.com.tw/news/175109
FIDO身分識別觸角擴大，聚焦3大關鍵議題：數位憑證、AI代理、歐盟CRA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>想要了解「網路身分識別」的最新發展，FIDO聯盟揭露的技術路線向來是了解相關產業發展的風向球。相較於前幾年聚焦以通行密鑰（Passkey）取代密碼，以及IoT開放標準協定FDO及支付領域Payment Passkey應用，2026年則展現出全新的探討重心。</p> <p>在今年2月舉行的<a href="https://fidoalliance.org/fido-paris-seminar-2026/">FIDO巴黎研討會</a>中，數位憑證與代理式AI已躍升為核心議題，歐盟網路韌性法案（CRA）亦是討論焦點。這些動向不僅展現FIDO正擴張其接軌範疇，也預示著身分識別在AI代理時代面臨的全新挑戰。</p> <h2><strong>FIDO技術迎來全新布局，從Passkey普及邁向多元生態接軌</strong></h2> <p>有哪些全新發展重點？近期參加FIDO巴黎研討會的工業技術研究院資通所副所長黃維中指出，他在今年會議上觀察到3大核心議題：數位憑證、代理式AI，以及歐盟網路韌性法案（CRA）。</p> <h3><strong><span style="color: rgb(178, 34, 34);">焦點一：數位憑證（Digital Credential）</span></strong></h3> <p>首先是數位憑證與FIDO的結合。黃維中解釋，過去FIDO標準主要聚焦於「身分驗證」動作，相當適用於不需實名認證的場景。然而，隨著數位錢包（Digital Wallet）興起，如何安全存放並使用數位駕照、護照等數位憑證，已成為產業發展的新關鍵。</p> <p>針對此態勢，FIDO聯盟已展開布局。黃維中指出，為因應數位憑證帶來的新需求，FIDO聯盟近兩年陸續推出DocAuth（文件驗證）與Face Verification（人臉驗證）兩大標準，以解決數位憑證在線上註冊（Onboarding）時的信任挑戰。</p> <p>不過，在目前的數位憑證生態系中，FIDO僅扮演其中一個環節，主要負責裝置間的互動。例如，在歐盟eIDAS規範下，App與錢包間的近距離互動即是採用FIDO的CTAP協議。至於數位憑證本身的標準，目前仍多由OpenID基金會、W3C、IETF等組織主導，還有像是ISO 18013中的行動駕照mDL標準。</p> <p>未來有哪些重要變化值得關注？黃維中點出FIDO數位憑證工作小組（DCWG）的最新動向。他表示，在納入數位錢包應用後，多了「驗證者（Verifier）」與「憑證管理器／錢包（Credential Manager）」的角色，因此FIDO的角色也會變得與以往不同。</p> <p>基於此架構，DCWG未來將鎖定兩大發展重點：第一是推動數位錢包的認證，確保其安全性與互通性，第二是驗證者識別規範制定，也就是確認「請求資料的驗證方」是否合法合規，確保憑證交換過程的安全。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>焦點二：代理式AI（Agentic AI）</strong></span></h3> <p>談到這次巴黎研討會最大的收穫，黃維中直言，FIDO與代理式AI的交會點最引人注目，卻也最令專家戒備。他強調，一旦AI代理能在系統面前「像人一樣行動」，身分、授權與責任邊界將同步被放大，風險不容忽視。</p> <p>黃維中轉述會中專家是如何看待代理式AI，首先，FIDO聯盟將AI代理的互動模式歸納為3類，分別是：Delegation（委任）、Impersonation（冒充）、Just-in-Time（及時授權）。</p> <p>在3種互動模式當中，委任模式被認為相對完整且具防禦餘地。例如，使用者以Passkey進行授權後，發出如OAuth Token的憑據給AI代理執行任務。黃維中強調，Passkey是目前唯一能驗證你是真實人類親自在場（Human in the loop）的技術。此外，目前討論熱度高的MCP若搭配OAuth也可行，但需注意OAuth去年針對此類需求新增了條文，企業應採用最新版本以確保完整性。</p> <p>冒充互動模式則被視為高風險區，黃維中指出，現行AI代理出現代理失控案例多與此模式有關，因為使用者在設定檔中將權限完全開放。</p> <p>至於Just-in-Time互動模式，則被視為在效率與人類把關之間折衷的做法。簡單而言，使用者一開始先給最基礎的授權，之後Agent想要執行任何關鍵動作時，再即時進行一次驗證授權。</p> <p>那麼FIDO聯盟在Agentic AI浪潮下將有哪些行動？黃維中指出兩個討論重點：</p> <p>（一）在目前的技術討論中，Passkey被視為極少數能有效確認「使用者親自在場」的技術手段。所以Agent要安全，流程中一定要有Passkey驗證。</p> <p>（二）為了進一步提升AI代理的安全性，FIDO聯盟正規畫制定一套技術規範，將Passkey授權憑證當作Agent的授權證明，從中規範代理能做什麼、不能做什麼。一旦出問題，至少能證明當初授權的範圍，責任歸屬會比較明確。因此，FIDO也將定義這種授權證明的格式，預計這是FIDO聯盟這一兩年會熱烈討論的方向。</p> <p>黃維中也補充，這類以Passkey簽署的授權證明，在臺灣現行環境下，將能與數位簽章制度的適用性討論接軌，強化法律上的證據力，因此，這類技術對於金融、政府與大型平臺業者同樣具參考價值。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>焦點三：歐盟CRA（Cyber Resilience Act）</strong></span></h3> <p>最後一個重點是歐盟網路韌性法案（CRA），就目前聯盟討論方向來看，CRA法案與FIDO的發展路線有重疊與交集之處。</p> <p>首先是技術對齊方面，CRA要求裝置內必須有Root of Trust（信任根），與FIDO聯盟要求一致；其次是流程規範方面，FIDO標準對於各項技術步驟如何生效、如何驗證都有明文規定。</p> <p>第三點是最重要的CRA通報時程要求，也就是業者若發現漏洞必須在24到72小時內向主管機關完成通報，否則面臨巨額罰款或產品禁售。黃維中指出，企業若採用自訂規格需自行發現、追蹤並回報漏洞；相對地，如果企業是採用FIDO標準，FIDO聯盟在漏洞追蹤、提供通報歐盟所需規格文件上，可以更容易合規。這種標準化的價值不僅在 CRA，在歐盟其他合規要求中也一再被提到。</p> </div></div></div>
4/16 15:55作者羅正漢https://www.ithome.com.tw/news/175115
【資安日報】4月16日，17年前的Excel漏洞驚傳遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175102"><strong style="font-size: 22px;">駭客正在利用17年前的Excel漏洞展開攻擊</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）將兩個安全漏洞列入已知遭利用漏洞清單（KEV），要求美國聯邦機構於兩週內修補，一個是微軟甫修補的SharePoint Server漏洞CVE-2026-32201，另一個則是現身於17年前、微軟於2009年修補的Excel漏洞CVE-2009-0238。</p> <p>根據微軟在17年前的公告，CVE-2009-0238是個記憶體毀損漏洞，當使用者開啟包含異常物件的特製Excel檔案時，駭客便能成功利用該漏洞，自遠端執行任意程式碼，進而掌控使用者電腦，包括安裝程式、檢視、變更或刪除資料，或是建立具備完整權限的新帳號。</p> <p><a href="https://www.ithome.com.tw/news/175088"><strong style="font-size: 22px;">CISA在微軟揭露SharePoint漏洞當下即同步納入KEV清單，顯示風險急迫</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）以少見的急迫速度，在微軟於4月14日揭露SharePoint漏洞CVE-2026-32201的同時，便將其納入已知遭利用漏洞清單（KEV），要求各機構立即修補，顯示此漏洞的風險正迅速升高。</p> <p>這個SharePoint漏洞，是微軟4月例行更新修補的165個漏洞之一，屬於輸入驗證不當（Improper Input Validation）類型弱點，攻擊者一旦成功利用此漏洞，將能在未經授權下透過網路執行欺騙操作，會影響SharePoint伺服器訂閱版、SharePoint伺服器2019版與SharePoint Enterprise伺服器2016版，微軟已在更新中提供修補。</p> <p><a href="https://www.ithome.com.tw/news/175099"><strong style="font-size: 22px;">ShinyHunters聲稱從遊戲公司Rockstar Games竊得兩款網路遊戲的內部資料</strong></a></p> <p><a href="/sites/default/files/images/20260414_083628214651146639906719-1.jpg" target="_blank"><img alt="" src="/sites/default/files/images/20260414_083628214651146639906719-1.jpg" style="width: 300px; float: right;" /></a>製作《俠盜獵車手VI（GTA VI）》的知名遊戲公司Rockstar Games傳出資料外洩事故，ShinyHunters於4月11日聲稱入侵了該公司的Snowflake平臺，竊得大量資料，要求4月14日前支付贖金，否則就要公開手中握有的資料。最早揭露此事的資安新聞網站HackRead與Cybersec Guru指出，駭客並非直接對Snowflake發動網攻，而是經由AI績效分析平臺Anodot得逞。</p> <p>後續Rockstar Games坦承有發生資料外洩的情況，不過並未透露其他細節。ShinyHunters已公開竊得資料的部分檔案截圖，Cybersec Guru指出內容多與網路版遊戲有關，涵蓋GTA Online、Red Dead Online兩款遊戲，以及部分玩家的個人可識別資料（PII），再者，這份資料也呈現GTA Online的財務資料，其中光是鯊魚現金卡（Shark Card）就創造了超過50億美元的收入。</p> <p><a href="https://www.ithome.com.tw/news/175103"><strong style="font-size: 22px;">瑞典指控親俄駭客去年試圖攻擊供熱廠</strong></a></p> <p>瑞典民防部長Carl-Oskar Bohlin週三在首都舉行的記者會上指出，該國一座供暖廠於2025年春天，遭到親俄駭客組織攻擊，試圖破壞營運。由於廠內的資安防護啟動，阻止了該次入侵。入侵未遂目標是營運科技（OT）系統，即控制發電廠、水務設施及製造設備等實體基礎設施的工業控制系統。該供暖廠位於瑞典西部，但他並未透露是哪一座廠受到攻擊。瑞典安全部門調查確認，攻擊者可能與俄羅斯情報機構有聯繫。</p> <p>在瑞典的攻擊行動之前，挪威、丹麥、拉脫維亞及波蘭也在先後經歷了類似的攻擊。波蘭官員今年1月發布報告，指出2025年12月29日至30日間，兩座熱電共生（CHP）電廠、負責管理風力與光電設施的再生能源調度系統遭到攻擊，但遭到阻擋。調查結果將矛頭指向親俄駭客組織Sandstorm。</p> <p><a href="https://www.ithome.com.tw/news/175087"><strong style="font-size: 22px;">Chrome Web Store出現108款惡意擴充程式</strong></a></p> <p>資安業者Socket指出，他們在Chrome Web Store發現了108款共用C2基礎設施的惡意擴充程式，這些偽裝成通訊、播放器、遊戲或工具的擴充程式，可竊取使用者的Google帳戶、Telegram帳號或瀏覽行為，並將它們傳送到cloudapi[.]stream。</p> <p>此次揭露的擴充程式涵蓋Telegram擴充工具、影音播放器、翻譯服務及各類小遊戲等常見應用，安裝後仍可正常運作，降低使用者警覺。但實際上會在背景透過OAuth機制擷取Google帳戶的電子郵件、名稱與唯一識別碼（sub），並持續蒐集瀏覽行為資料。</p> <p><a href="https://www.ithome.com.tw/news/175089"><strong style="font-size: 22px;">PHP套件管理器Composer爆兩指令注入漏洞，可觸發任意指令執行</strong></a></p> <p>PHP生態系受廣泛使用的套件管理工具Composer，存在兩個高嚴重性指令注入漏洞CVE-2026-40261與CVE-2026-40176，問題均源自Perforce版本控制整合模組，在建構Shell指令時，未對外部輸入做適當跳脫處理。其中CVSS評分達8.8的CVE-2026-40261，可透過惡意Composer套件儲存庫遠端觸發，且不需要用戶端安裝Perforce即可執行任意指令，形成軟體供應鏈攻擊風險，Composer開發團隊已釋出2.2.27與2.9.6版修補。</p> <p>兩個漏洞的根本成因相似，都是Composer的Perforce驅動程式在組合系統指令時，直接將外部提供的參數嵌入指令字串，未經過濾或跳脫處理，導致攻擊者可藉由在參數中夾帶Shell特殊字元來注入任意指令。</p> <p><a href="https://www.ithome.com.tw/news/175079"><strong style="font-size: 22px;">Apache Tomcat修補多個高風險漏洞，最嚴重漏洞可能導致加密機制遭到繞過</strong></a></p> <p>Apache軟體基金會近日發布安全公告，修補Java應用程式伺服器軟體Apache Tomcat存在的多個漏洞，建議用戶儘速更新。</p> <p>最嚴重的是涉及EncryptInterceptor元件加密機制的2個高風險漏洞，CVSS嚴重性評分均為7.5。以EncryptInterceptor元件的漏洞為例，資安公司Oligo Security研究人員發現的第1個漏洞CVE-2026-29146，問題出在EncryptInterceptor元件預設使用密碼區塊連結（CBC）模式，可能導致攻擊者在特定條件下解密攔截到的流量，但資安公司Striga.ai研究人員發現Apache Tomcat對此漏洞發布的最初修補並不完全，修補機制可能遭到繞過，產生第2個漏洞CVE-2026-34486，必須升級到進一步修補的新版本才能解決問題。</p> <p><a href="https://www.ithome.com.tw/news/175098"><strong style="font-size: 22px;">研究人員揭露wolfSSL函式庫重大漏洞，未修補可能導致不安全憑證通過驗證</strong></a></p> <p>IoT、車用與嵌入式系統常用的SSL通訊函式庫wolfSSL，近日發布安全公告，修補可能導致驗證失效的重大漏洞，攻擊者可利用偽造憑證通過驗證。開發商wolfSSL公司已於4月8日發布wolfSSL 5.9.1版修補此漏洞，由於wolfSSL函式庫廣泛應用於IoT與嵌入式裝置，此漏洞可能影響大量設備，用戶應儘速完成修補，以降低遭攻擊風險。</p> <p>這次修補的漏洞編號為CVE-2026-5194，屬於憑證驗證不當（Improper Certificate Validation）類型弱點，CVSS v4.0嚴重性評分達9.3分，問題源自憑證驗證過程中，未正確檢查憑證hash/digest大小與物件識別碼（Object Identifier，OID）等資訊，從而會降低憑證驗證的安全性，導致系統在特定情況下可能接受不安全的憑證。</p> <p><a href="https://www.ithome.com.tw/news/175096"><strong style="font-size: 22px;">OpenSSL 4.0清理十年技術債，加入後量子密碼與ECH支援</strong></a></p> <p>加密函式庫OpenSSL專案正式釋出4.0版，移除SSLv3協定支援、SSLv2 Client Hello與Engine機制，並新增Encrypted Client Hello（ECH）支援及後量子相關密碼學功能，是改版幅度較大的主要版本更新。</p> <p>本次受矚目的新功能，是依循RFC 9849規範實作的ECH支援。ECH可將TLS交握過程中的敏感Client Hello內容加密，包含實際SNI等資訊，降低網路路徑上第三方辨識連線目標的可能性，強化TLS隱私保護。再者，開發團隊還新增多項密碼學功能，涵蓋中國商用密碼演算法、後量子密碼，以及新的雜湊函式等支援，例如RFC 8998相關功能、sm2sig_sm3、curveSM2、curveSM2MLKEM768、ML-DSA-MU與cSHAKE。在TLS層面，4.0版也新增TLS 1.2的FFDHE金鑰交換協商支援。</p> <p><a href="https://www.ithome.com.tw/news/175081"><strong style="font-size: 22px;">Anthropic新模型Claude Mythos引發金融業資安疑慮，美英加監理機關關注風險</strong></a></p> <p>AI模型開發商Anthropic於4月7日公布Claude Mythos預覽版本，因其具備強大的尋找並利用軟體弱點能力，引起金融業與監理機關注意。根據路透社與金融時報報導，美國、英國與加拿大主管機關近期已與銀行高層討論相關風險，顯示這類具攻防雙重用途的AI模型，正被視為影響企業資安防禦節奏的重要變數。企業AI資安業者Guardrail Technologies執行長TJ Marlin接受路透社採訪時指出，Claude Mythos這類先進模型能夠橫跨複雜系統架構進行分析，包括企業內部長期累積的舊系統環境，使過去未被發現的弱點與系統複雜性，現在都可能轉化為可被利用的攻擊面。此外，銀行業彼此之間高度連結，多數機構採用相似的軟體來進行開戶流程（onboarding）、客戶審查計畫（KYC）驗證與交易處理，一旦攻擊手法可規模化運用，影響可能迅速擴散。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-agingfly-malware-used-in-attacks-on-ukraine-govt-hospitals/">烏克蘭政府、醫院遭到惡意軟體AgingGly攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/wordpress-plugin-suite-hacked-to-push-malware-to-thousands-of-sites/">逾30個WordPress套件被植入惡意程式碼，允許攻擊者未經授權存取網站</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/janelarat-malware-targets-latin.html">拉丁美洲銀行遭遇惡意軟體JanelaRAT攻擊，巴西是主要目標，去年有近1.5萬次活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/north-koreas-apt37-uses-facebook-social.html">北韓駭客APT37濫用臉書從事社交工程攻擊，企圖傳遞惡意軟體RokRAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/n8n-webhooks-abused-since-october-2025.html">工作流程自動化平臺n8n遭到濫用，攻擊者從事網釣長達半年</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175084"><strong>【4月15日】微軟、SAP、Adobe發布本月例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175043"><strong>【4月14日】OpenAI證實遭遇Axios供應鏈攻擊波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175020"><strong>【4月13日】CPUID網頁被入侵，駭客散布木馬程式STX RAT</strong></a></p> </div></div></div>
4/16 13:11作者周峻佑https://www.ithome.com.tw/news/175111
Nginx網頁管理介面元件Nginx UI存在重大漏洞，有資安公司警告已遭積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網頁伺服器Nginx的第三方網頁管理介面Nginx UI存在重大漏洞，後續傳出遭到利用，由於攻擊者可用來在無須通過身分驗證的情況下接管網頁伺服器，這個弱點受到資安界高度關注。</p> <p>這個漏洞被登記為<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-33032">CVE-2026-33032</a></strong>，起因是Nginx UI與模型上下文協定（Model Context Protocol，MCP）整合時，會曝露兩個HTTP端點/mcp與/mcp_message，其中的/mcp同時需要從白名單IP位址並通過身分驗證，才能存取，不過/mcp_message只需透過白名單IP位址就能存取，然而IP位址白名單預設沒有任何內容，再加上中間軟體預設允許所有的存取，導致未經身分驗證的攻擊者能使用所有的MCP工具，將Nginx重新啟動，或是建立、竄改、刪除組態設定檔案，甚至能觸發自動設定重新載入，完全挾持Nginx服務，CVSS風險評為9.8分（滿分10分），相當危險。</p> <p>值得留意的是，無論是<strong><a href="https://github.com/0xJacky/nginx-ui/security/advisories/GHSA-h6c2-x2m2-mwhf">開發者於3週前發布的資安公告</a></strong>，還是美國國家漏洞資料庫<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-33032">於3月30日記錄的內容</a></strong>，都強調該漏洞未有修補程式，不過通報漏洞的資安公司Pluto Security<strong><a href="https://pluto.security/blog/mcp-bug-nginx-security-vulnerability-cvss-9-8/#post-item-10">於4月15日的部落格文章指出</a></strong>，Nginx UI開發團隊<strong><a href="https://github.com/0xJacky/nginx-ui/releases/tag/v2.3.4">已於3月15日發布的2.3.4版</a></strong>完成修補，為何會有這種資訊落差，目前不得而知，為求保險起見，用戶應升級最新版本（目前是2.3.6版）因應。</p> <p>CVE-2026-33032被用於攻擊行動的情況，最早是資安公司Recorded Future<strong><a href="https://www.recordedfuture.com/blog/march-2026-cve-landscape">於4月13日提出警告</a></strong>，他們在3月份發現有31個漏洞遭到駭客積極利用，其中一個就是CVE-2026-33032。至於攻擊者如何利用，該公司並未進一步說明。</p> <p>Pluto Security在部落格文章說明漏洞細節，由於Nginx UI的特定功能缺乏身分驗證流程，使得12種MCP工具曝露，其中一種是能以自動重新載入的方式將Nginx組態設定寫入，攻擊者只要使用一次未經身分驗證的API呼叫，就能注入設定並接管Nginx。</p> <p>該公司將CVE-2026-33032命名為MCPwn，並指出該漏洞的發現，代表開發者將MCP與現有應用程式整合，MCP端點會繼承應用程式的完整功能，卻不一定具備原本的安全機制，而有可能因為能繞過應用程式所有的身分驗證機制，而形成可被利用的後門。Pluto Security透過物聯網搜尋引擎Shodan，在超過50個國家找到2,689個Nginx-UI執行個體（Instance），這些都是攻擊者的潛在目標。</p> <p>利用CVE-2026-33032，攻擊者總共能取得12種工具，其中7種能對Nginx造成破壞，另有5種可用於偵察。而且攻擊流程大致只有兩個步驟，一是利用漏洞建立通過身分驗證的SSE連線，再來是在上述連線狀態下呼叫想要使用的工具，過程裡完全無須通過身分驗證流程。對於該漏洞可能造成的影響，攻擊者可攔截所有流量、挖掘管理員憑證、取得永久存取權限、洩露網站架構，或是終止網站服務的運作。</p> </div></div></div>
4/16 12:20作者周峻佑https://www.ithome.com.tw/news/175108
行政院將建置國家級海洋雷達觀測網，跨部會整合海洋觀測資料，用AI強化海域監測與預警應變能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著海洋活動日益頻繁、海象風險持續升高，因應我國海洋監測量能不足與資訊分散的挑戰。行政院在今天(4/16)通過海洋委員會自去年起啟動的「國家級海洋雷達觀測網」建置計畫，鎖定跨部會資料整合與AI應用兩大核心，試圖打造一套具備即時監測、智慧分析與決策支援能力的海域感知系統。</p> <p>目前國內海洋雷達站分散於不同單位，包括國家海洋研究院、交通部與國科會等機構，各自建置與管理，導致資料格式不一、難以整合，成為我國海洋資訊應用的主要瓶頸。海委會國家海洋研究院長陳璋玲指出，各單位的海洋雷達資料孤島問題，已直接影響航行安全、海域油氣作業、油污染擴散預測，甚至災害預防等關鍵應用。</p> <p>因此，行政院建立國家級海洋雷達觀測網首要任務是完成跨部會雷達資料整合，建立統一的資料交換與治理機制。</p> <p>在建設規模上，該計畫預計於未來4年內（自2025年至2028年）大幅提升雷達覆蓋範圍，從現行約15萬平方公里擴展至21萬平方公里，同時提高訊號回傳密度與資料解析度。這不僅意味著監測範圍的擴張，也代表資料顆粒度的細緻化，海象的變化能被更精準捕捉，提升整體系統的即時性與可靠度。</p> <p>除了整合既有設施，陳璋玲表示，觀測網也將補強過去監測不足的海域盲區，包括彭佳嶼周邊海域、呂宋海峽及臺灣灘等關鍵水域，透過新增雷達站點提升覆蓋完整性。另一方面，系統也將延伸至民生應用場景，針對海灘等高活動熱點提供即時海象資訊，讓民眾可掌握如離岸流等風險，提高國人從事海域活動的安全意識。</p> <p>在技術層面，AI被視為計畫的關鍵加值能力。由於雷達網將持續產生大量即時資料，相關單位已導入AI模型進行資料分析與預測，包括航行安全判斷、油污染擴散路徑模擬，以及海難搜救路徑推估等。此外，針對與民眾安全高度相關的離岸流偵測，也將透過AI模型提升辨識準確度，強化預警能力。</p> <p>這套國家級海洋雷達觀測網不僅是感測基礎設施的升級，更是一項結合資料整合、AI運算與跨域應用的數位工程。未來隨著資料持續累積與模型優化，系統預期將在海域安全、污染防治、搜救應變與防災韌性等面向發揮關鍵作用，並透過對外資訊服務平臺（如GoOcean）降低使用門檻，擴大海洋數據的社會影響力。</p> </div></div></div>
4/16 14:08作者蘇文彬https://www.ithome.com.tw/news/175112
瑞典稱親俄駭客去年試圖攻擊供熱廠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>瑞典官員<a href="https://www.epochtimes.se/svenskt-varmekraftverk-attackerat-av-ryssland" target="_blank">本週表示</a>，該國一座供暖廠2025年春天遭到疑似親俄駭客組織試圖攻擊破壞營運。</p> <p>瑞典民防部長Carl-Oskar Bohlin週三在首都舉行的<a href="https://therecord.media/sweden-hackers-russia-power-plant" target="_blank">記者會上指出</a>，由於廠內的資安防護啟動，阻止了該次入侵。入侵未遂目標是一個營運科技（OT）系統，即控制發電廠、水務設施及製造設備等實體基礎設施的工業軟體。該供暖廠位於瑞典西部，但他並未透露是哪一座廠受到攻擊。瑞典安全部門調查確認，攻擊者可能與俄羅斯情報機構有聯繫。</p> <p>在瑞典的攻擊行動之前，挪威、丹麥、拉脫維亞及波蘭也在先後經歷了類似的攻擊。波蘭官員今年一月<a href="https://www.ithome.com.tw/news/173842" target="_blank">發布報告</a>，指出2025年12月29日至30日間，兩座熱電共生（CHP）電廠以及負責管理風力與光電設施的再生能源調度系統遭到攻擊，但遭到阻擋。調查結果將矛頭指向親俄駭客組織Sandstorm。</p> <p>他相信，過去發動阻斷服務（DoS）攻擊的親俄團體，現在正試圖升高攻擊力道，對歐洲組織發動破壞性網路活動。瑞典官員說，若基礎設施營運系統被駭客成功干擾、摧毀或遠端控制，可對社會帶來重大後果。</p> <p>美國政府於今年聯合公告指出，包括CyberArmyofRussia_Reborn和NoName057（16）等俄羅斯政府支持團體，針對能源、水資源和食品生產等領域的西方基礎設施業者。</p> <p>近日美國又因美伊戰爭，成為伊朗駭客的目標。FBI、CISA、NSA、環境保護署（EPA）、能源部（DOE），以及網路作戰司令部的網路國家任務部隊（CNMF）等6大機構上週<a href="https://www.ithome.com.tw/news/174990" target="_blank">發布聯合警告</a>，伊朗駭客組織CyberAv3ngers（Storm-0784、Hydro Kitten、UNC5691）正在對美國的關鍵基礎設施（CI）發動攻擊。</p> </div></div></div>
4/16 11:38作者林妍溱https://www.ithome.com.tw/news/175103
Google六月起將處罰使用返回鍵劫持手法的網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://developers.google.com/search/blog/2026/04/back-button-hijacking" target="_blank">Google宣布</a>六月起將對以返回鍵劫持（back button hijacking）阻撓用戶的網站開罰，可能導致Google搜尋排序調降。</p> <p>返回鍵劫持是網站阻止用戶按返回鍵離開目前網頁，回到前頁的手法。網站可能將使用者導向他們未曾造訪過的網頁，擅自發送推薦或廣告、或是其他行為。</p> <p>Google指出，返回鍵劫持干擾瀏覽器的功能、破壞預期的使用者旅程，導致使用上的挫折。一如Google過去所說，在使用者上網過程插入欺騙性或操弄性的網頁是違反Google Search Essentials（即過去的Webmaster Guidelines）的行為。因此Google將把垃圾訊息政策擴展到返回鍵劫持上，因為這類行為造成用戶期待和實際結果的不一致，導致欺騙性的用戶體驗，並危及用戶安全或隱私，明顯是Google垃圾訊息政策中的「惡意作法」（malicious practice）。</p> <p>有的返回鍵劫持是源自網站內建的函式庫或廣告平臺，Google鼓勵網站持有人檢查網站的技術實作，若發現有任何使用腳本、程式碼、配置來插入欺騙性或操弄性網頁於用戶瀏覽器歷史紀錄的話，應移除或關閉。</p> <p>Google也給網站持有人2個月的時間檢查網站並調整。從2026年6月15日起，Google將啟動懲處；針對這類網頁，<a href="https://support.google.com/webmasters/answer/9044175" target="_blank">Google將施以</a>人工判決處罰或自動降級，可導致網站在Google搜尋結果頁被調降排序。</p> </div></div></div>
4/16 12:02作者林妍溱https://www.ithome.com.tw/news/175106
Cal.com要閉源了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國開源排程平臺<a href="https://cal.com/blog/calcom-v6-4" target="_blank">Cal.com週三（4/15）宣布</a>，將原本可公開存取的商業版本程式碼轉為閉源，並同步推出名為Cal.diy的開源版本供開發者自行部署，原因是生成式AI進展所帶來的資安風險日益升高。</p> <p>Cal.com成立於2022年，由Bailey Pumfleet與Peer Richelsen共同創辦，主打開源排程服務，提供類似Calendly的預約管理工具，讓用戶可透過連結安排會議、面試或諮詢。與傳統SaaS不同，Cal.com過去採開源核心模式，允許開發者自行部署與客製化系統，並在此基礎上提供雲端與企業服務，被視為開源商業化的代表案例之一。</p> <p>Cal.com說明，此次轉向閉源主要與生成式AI所帶來的資安風險有關。隨著AI程式設計工具普及，開發者可更快速撰寫程式，但同時也讓漏洞掃描與利用門檻大幅降低，特別是對可公開取得的程式碼而言。</p> <p>過去開源模式仰賴社群共同檢視與修補漏洞，但在AI輔助下，駭客同樣可大規模分析程式碼結構，使公開原始碼反而成為潛在弱點來源，進而增加用戶資料外洩風險，迫使其在開放性與安全性之間做出取捨。</p> <p>共同創辦人之一的<a href="https://x.com/pumfleet/status/2044406553508274554" target="_blank">Pumfleet透過X發出</a>了「開源已死」（Open source is dead）的聲明，還說他從沒想過自己會講出這句話。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0416-Bailey%20Pumfleet-600.png" style="width: 500px;" /></p> <p>Pumfleet表示，AI從根本上改變了資安格局，過去需要時間、知識與精心策畫的攻擊流程，現在可以大規模地自動化執行，程式碼不再只是被閱讀，而是被掃描、建模與利用，且成本幾近於零。在那樣的世界裡，透明等於曝露，特別是在大規模的情境下，這使得他們即便再三考量，最後還是決定關閉核心的Cal.com程式碼庫。</p> <p>在新授權的架構下，Cal.com已將原本商業版本的程式碼自公開倉庫移除，改為僅透過私有GitHub儲存庫提供給企業或付費用戶存取，一般開發者將無法再直接檢視核心系統。同時，該公司將原有開源部分重組為Cal.diy，並以MIT授權釋出，供開發者自行部署與實驗。不過，Cal.diy主要定位為社群使用，並不涵蓋完整商業功能，顯示開源版本已由原本的產品核心，轉為功能較為精簡的輔助性質版本。</p> <p>換句話說，Cal.diy是從原本Cal.com開源版本中剝離企業與商業功能之後的精簡版，主要用於自架與開發者實驗，而不再是完整可商用的替代方案。</p> </div></div></div>
4/16 12:20作者陳曉莉https://www.ithome.com.tw/news/175107
ShinyHunters聲稱從遊戲公司Rockstar Games竊得兩款網路遊戲的內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年駭客組織ShinyHunters接連入侵企業組織的雲端CRM平臺Salesforce，頻繁出現在資安新聞版面而成為焦點，最近這些駭客發起新一波攻擊，再度受到關注。</p> <p>製作《俠盜獵車手VI（GTA VI）》的知名遊戲公司Rockstar Games傳出資料外洩事故，ShinyHunters於4月11日聲稱入侵了該公司的Snowflake平臺，竊得大量資料，要求4月14日前支付贖金，否則就要公開手中握有的資料。最早揭露此事的資安新聞網站<strong><a href="https://hackread.com/shinyhunters-rockstar-games-snowflake-breach-anodot/">HackRead</a></strong>與<strong><a href="https://thecybersecguru.com/news/rockstar-games-snowflake-breach/">Cybersec Guru</a></strong>指出，駭客並非直接對Snowflake發動網攻，而是經由AI績效分析平臺Anodot得逞。</p> <p>由於不久前才傳出Anodot發生資安事故，其中一個受影響的SaaS整合平臺就是Snowflake，因此，可能還有其他的企業組織也受到影響。一旦攻擊者若駭入Anodot，就有機會滲透企業已進行整合的SaaS服務環境，若攻擊者成功從Anodot取得憑證而通過身分驗證，即可在無須利用Snowflake弱點的情況下，存取已連結Anodot的Snowflake帳號，這麼做使得攻擊者的存取看起來與合法活動無異，不少受害企業未及時察覺異狀。</p> <p>後續Rockstar Games坦承有發生資料外洩的情況，不過並未透露其他細節。ShinyHunters已公開竊得資料的部分檔案截圖，<strong><a href="https://thecybersecguru.com/news/rockstar-games-snowflake-breach/">Cybersec Guru指出</a></strong>內容多與網路版遊戲有關，涵蓋GTA Online、Red Dead Online兩款遊戲，以及部分玩家的個人可識別資料（PII），再者，這份資料也呈現GTA Online的財務資料，其中光是鯊魚現金卡（Shark Card）就創造了超過50億美元的收入。</p> <p>除此之外，<strong><a href="https://www.bleepingcomputer.com/news/security/stolen-rockstar-games-analytics-data-leaked-by-extortion-gang/">ShinyHunters也向資安新聞網站Bleeping Computer透露</a></strong>，這批檔案的主要內容是內部分析資料，用於監控Rockstar Games網路服務及客服支援工單，不僅包括GTA Online與Red Dead Online的財務資料，可能還有Zendesk的客戶支援分析資料。值得留意的是，<strong><a href="https://www.cyberdaily.au/security/13448-wasted-gta-developer-rockstar-games-confirms-hack-as-shinyhunters-demands-pay-or-leak">這波攻擊活動已傳出有多家企業受害</a></strong>，例如：賀卡公司Hallmark Cards、美國國鐵公司Amtrak，以及<strong><a href="https://www.ithome.com.tw/news/175082">教育出版商麥格羅希爾（McGraw-Hill）</a></strong>。</p> </div></div></div>
4/16 10:02作者周峻佑https://www.ithome.com.tw/news/175099
Google公布macOS版Gemini App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在OpenAI ChatGPT<a href="https://www.ithome.com.tw/news/163657" target="_blank">推出</a>macOS版App將近2年後，Google於昨（4/15）日<a href="https://blog.google/innovation-and-ai/products/gemini-app/gemini-app-now-on-mac-os/" target="_blank">公布macOS版Gemini App</a>，主打可理解螢幕畫面、並能以捷徑隨處開啟。</p> <p>macOS版Gemini App現在可以在<a href="https://gemini.google/mac/" target="_blank">Gemini網頁</a>下載，提供原生的桌機版使用體驗。首先，用戶可在和Gemini問答互動時分享螢幕畫面給它，包括看的網頁或本機檔案。例如用戶可以分享複雜的圖表問Gemini「圖表中三大重點為何」來獲取Gemini的回答。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0416-gemini%20macOS-600.png" style="width: 600px;" /></p> <p>此外macOS版Gemini App欲解決不斷在不同視窗間切換的麻煩。現在在macOS電腦上任何地方按捷徑鍵（Option+Space）即可啟用Gemini而無需切換不同視窗，例如製作市場報告時若用戶想驗證日期或建立預算試算表時，需要正確公式，可以立即叫出Gemini提供正確答案再很快回到工作檔案。用戶也可以透過Gemini以Nano Banana生成圖或以Veo生成影片來強化創作。</p> <p>現在macOS版Gemini App已公開提供全球用戶免費下載，不過macOS版本需在15版以上。Google說Gemini桌機App只是將實現桌機版AI助理的第一步，目前Google正在開發桌機版底層AI模型，以實現真正強大的個人化助理，未來幾個月內Google還會陸續發布相關消息。</p> <p>Google沒有說是否推出Windows版Gemini App。不過OpenAI在macOS及Windows平臺都提供了ChatGPT App。</p> </div></div></div>
4/16 10:37作者林妍溱https://www.ithome.com.tw/news/175100
鞋商轉型AI運算，Allbirds股價大漲580%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國鞋業品牌<a href="https://ir.allbirds.com/news-releases/news-release-details/allbirds-inc-executes-50m-convertible-financing-facility" target="_blank">Allbirds週三（4/15）宣布</a>，已賣掉該品牌及其鞋類資產，並將轉型為GPU即服務（GPU-as-a-Service，GPUaaS），更名為NewBird AI。當天Allbirds股價即大漲582.33%，以16.99美元作收。</p> <p>Allbirds為紐西蘭前職業足球員Tim Brown與生物材料專家Joey Zwillinger在2015年共同創辦，公司主打以天然材料製鞋，例如美麗諾羊毛與甘蔗基泡棉，強調舒適性與永續概念，並迅速在矽谷科技圈走紅。Allbirds在2021年以每股14美元的發行價登上那斯達克（Nasdaq）股市，當年市值一度超過40億美元，然而，激烈的市場競爭讓Allbirds業績與市值雙雙滑落，2025年下半年股價就落到個位數且持續下滑。</p> <p>Allbirds在2026年的3月30日<a href="https://ir.allbirds.com/news-releases/news-release-details/allbirds-signs-definitive-asset-purchase-agreement-american" target="_blank">宣布</a>，將以3,900萬美元把該公司的智慧財產權與資產/負債出售給美國時尚配件及品牌管理業者American Exchange Group，本週再宣布將轉型為GPUaaS。</p> <p>Allbirds表示，已與一機構投資者簽署一項金額為5,000萬美元的可轉換融資協議，預計於今年第二季完成，以將公司轉型為AI運算基礎設施業者，長期目標是成為整合式GPU即服務與AI原生雲端解決方案供應商，並更名為NewBird AI，相關計畫將於5月18日召開的特別股東大會中表決。</p> <p>在完成上述交易後，Allbirds品牌與鞋業將由American Exchange Group接手並持續經營，既有股東可透過特別股利取得資產出售所得，或選擇繼續持有轉型後的NewBird AI股票，參與其AI算力業務發展。</p> <p>過去在區塊鏈與加密貨幣熱潮期間，亦曾出現企業跨足熱門領域以提振股價的案例。然而，考量AI算力產業高度資本密集且技術門檻極高，Allbirds能否在短時間內建立實質營運能力仍有待觀察。</p> </div></div></div>
4/16 10:52作者陳曉莉https://www.ithome.com.tw/news/175101
CISA警告，駭客正在利用17年前的Excel漏洞展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全與基礎設施安全局（CISA）本週二（4/14）<a href="https://www.cisa.gov/news-events/alerts/2026/04/14/cisa-adds-two-known-exploited-vulnerabilities-catalog" target="_blank">將兩個安全漏洞列入已知遭利用漏洞清單</a>（ Known Exploited Vulnerability，KEV），要求美國聯邦機構於兩週內修補，一個是微軟甫於同一天修補的SharePoint Server漏洞<a href="https://www.ithome.com.tw/news/175088" target="_blank">CVE-2026-32201</a>，另一個則是現身於17年前、微軟於2009年修補的Excel漏洞CVE-2009-0238。</p> <p>由CISA所維護的KEV清單，收錄了具高度風險且已被駭客實際利用的安全漏洞，並要求美國聯邦機構在期限內完成修補，從幾天到幾週不等。該清單被視為優先修補指引，CISA亦建議企業比照辦理。</p> <p>根據微軟在17年前的<a href="https://learn.microsoft.com/zh-tw/security-updates/securitybulletins/2009/ms09-009" target="_blank">公告</a>，CVE-2009-0238是個存在於Microsoft Office Excel中的記憶體毀損漏洞，當使用者開啟了一個包含異常物件的特製Excel檔案時，駭客便能成功利用該漏洞，自遠端執行任意程式碼，進而掌控使用者電腦，包括安裝程式、檢視、變更或刪除資料，或是建立具備完整權限的新帳號。</p> <p><a href="https://securityaffairs.com/190852/hacking/u-s-cisa-adds-microsoft-sharepoint-server-and-microsoft-office-excel-flaws-to-its-known-exploited-vulnerabilities-catalog.html" target="_blank">Security Affairs</a>則說，當年CVE-2009-0238的CVSS風險評分高達9.3，只要使用者開啟一個特製的Excel檔案就可能被觸發，導致應用程式存取記憶體中的無效物件，造成記憶體損壞，而讓遠端駭客得以透過使用者權限在受影響的電腦上執行任意程式碼。</p> <p>該漏洞影響多個Office產品版本，涵蓋Microsoft Office 2000SP3、Microsoft Office XPSP3、Microsoft Office 2003SP3、Microsoft Office 2007SP1中的Excel，以及Excel Viewer 2003（含SP3）、Microsoft Office Compatibility Pack 2007SP1，另亦波及Microsoft Office 2004 for Mac與Microsoft Office 2008 for Mac中的Excel元件，而它們多半皆已停止支援。</p> <p>新的KEV清單意味著有部分系統迄今仍在使用受到影響的舊版Office，才會被駭客以17年前的漏洞發動攻擊。而CISA並未透露太多有關CVE-2009-0238如何遭到利用的訊息。</p> </div></div></div>
4/16 11:14作者陳曉莉https://www.ithome.com.tw/news/175102
PHP套件管理器Composer爆兩指令注入高風險漏洞，可遠端觸發任意指令執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>PHP生態系受廣泛使用的套件管理工具Composer，<a href="https://github.com/composer/composer/security/advisories">官方揭露</a>兩個高嚴重性指令注入漏洞<a href="https://github.com/composer/composer/security/advisories/GHSA-gqw4-4w2p-838q" target="_blank">CVE-2026-40261</a>與<a href="https://github.com/composer/composer/security/advisories/GHSA-wg36-wvj6-r67p" target="_blank">CVE-2026-40176</a>，均源自Perforce版本控制整合模組在建構Shell指令時未對外部輸入做適當跳脫處理。其中CVSS評分達8.8的CVE-2026-40261，可透過惡意Composer套件儲存庫遠端觸發，且不需要用戶端安裝Perforce即可執行任意指令，形成軟體供應鏈攻擊風險。官方已釋出Composer 2.2.27與2.9.6修補版本。</p> <p>兩個漏洞的根本成因相似，都是Composer的Perforce驅動程式在組合系統指令時，直接將外部提供的參數嵌入指令字串，未經過濾或跳脫處理，導致攻擊者可藉由在參數中夾帶Shell特殊字元來注入任意指令。</p> <p>CVE-2026-40261涉及Perforce::syncCodeBase()方法，該方法在同步程式碼時將來源參照直接附加到Shell指令中。由於來源參照屬於套件中繼資料的一部分，任何Composer套件儲存庫都能在提供套件資訊時宣告Perforce為來源類型，並夾帶惡意內容。因此只要開發者從遭入侵或蓄意架設的Composer儲存庫安裝套件，就可能在不知情的情況下觸發指令執行。該漏洞可在以原始碼方式安裝或更新相依套件時被利用，包括使用--prefer-source，或安裝dev前綴版本時的預設行為。</p> <p>CVE-2026-40176則出現在Perforce::generateP4Command()方法，該方法在產生P4指令時，將使用者提供的Perforce連線參數包括Port、User與Client直接內嵌至指令字串。攻擊者可透過在composer.json中定義惡意的Perforce VCS儲存庫設定來觸發指令注入。不過該漏洞的攻擊面相對受限，因為VCS儲存庫定義僅從專案根目錄的composer.json或Composer全域設定目錄載入，無法透過已安裝的相依套件間接觸發。</p> <p>兩個漏洞影響Composer 2.0至2.2.26的LTS分支，以及2.3至2.9.5的主線分支，官方已在2.2.27與2.9.6版完成修補。要是開發者暫時無法升級，針對CVE-2026-40261，開發者可改用下載封裝檔的方式安裝套件，避免以原始碼方式取得相依套件，至於CVE-2026-40176，則應避免在來源不明的專案目錄中執行Composer指令。</p> </div></div></div>
4/15 19:22作者李建興https://www.ithome.com.tw/news/175089
OpenSSL 4.0清理十年技術債，加入後量子密碼與ECH支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openssl-library.org/post/2026-04-14-openssl-40-final-release/">加密函式庫OpenSSL專案正式釋出4.0.0版</a>，這版移除SSLv3協定支援、SSLv2 Client Hello與Engine機制，並新增ECH（Encrypted Client Hello）支援及後量子相關密碼學功能，是一次幅度較大的主要版本更新。</p> <p>OpenSSL 4.0新版本清除歷史包袱，SSLv3協定的支援被完全移除，該協定自2015年即被標記為棄用，OpenSSL自1.1.0版起便預設關閉SSLv3，此次4.0版則是徹底將其從程式碼中剔除。同樣被移除的還有SSLv2 Client Hello的支援。</p> <p>另一項影響深遠的改變是完全移除Engine機制。Engine是OpenSSL長期用於對接硬體安全模組（HSM）等外部加密實作的擴充介面，在3.x版本中已逐步被Provider架構取代。 OpenSSL 4.0版正式將no-engine設為唯一選項，OPENSSL_NO_ENGINE巨集為持續啟用狀態，仰賴Engine機制的既有系統必須遷移至Provider架構。</p> <p>此外，OpenSSL 4.0也移除多個早已標記為棄用的API，包括部分加密、摘要與金鑰相關自訂方法、固定版本的SSL/TLS方法函式，以及ERR_get_state()等函式。部分資料結構與X509相關公開API也調整得更嚴格，仰賴舊介面或直接存取內部成員的程式，在升級時可能需要修改。</p> <p>OpenSSL 4.0受矚目的新功能，是依循RFC 9849規範實作的ECH支援。ECH可將TLS交握過程中的敏感Client Hello內容加密，包含實際SNI等資訊，降低網路路徑上第三方辨識連線目標的可能性，強化TLS隱私保護。</p> <p>OpenSSL 4.0還新增多項密碼學功能，涵蓋中國商用密碼演算法、後量子密碼，以及新的雜湊函式等支援，例如RFC 8998相關功能、sm2sig_sm3、curveSM2、curveSM2MLKEM768、ML-DSA-MU與cSHAKE。在TLS層面，4.0版也新增TLS 1.2的FFDHE金鑰交換協商支援。</p> <p>不過，OpenSSL 4.0並非長期支援版本，官方支援期僅至2027年5月14日，下一個版本OpenSSL 4.1預計於2026年10月釋出。</p> </div></div></div>
4/15 19:57作者李建興https://www.ithome.com.tw/news/175096
凱擘推10G/10G，瞄準企業高頻寬與低延遲需求，另以行動網路作為備援網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>旗下提供120萬家戶寬頻服務的凱擘大寬頻今天(4/15)宣布推出新世代寬頻10G，主打10G等級連網能力，並結合Wi-Fi 7、資安防護與智慧家庭管理功能，宣告臺灣邁入新一波寬頻升級階段。</p> <p>隨著OTT網路影視服務興起，有線電視業者面臨剪線潮，有線電視用戶數不斷下滑，有線電視產業面臨轉型，凱擘大寬頻致力於提升網路架構，推動OTT及固網寬頻服務，目前該公司的寬頻營收已超過有線電視營收，顯示該公司正向寬頻網路與加值服務前進。</p> <p>凱擘大寬頻董事長盧榮輝表示，隨著AI應用的快速發展，從資料中心到終端設備的傳輸需求大幅攀升，傳統以影音串流為主的網路使用模式已轉向高度互動、機器對機器（M2M）與AI代理（Agent）運算，頻寬與上下載對稱能力成為關鍵基礎設施。</p> <p>凱擘過去5年投入逾百億元進行網路升級，與Harmonic合作，導入分散式存取架構（DAA）與DOCSIS 3.1 Ultra版本，作為未來邁向DOCSIS 4.0的基礎，以支援更高頻寬與更低延遲。同時，該公司也透過DAA與FTTH混合架構，依不同建築型態提供彈性部署，針對既有住宅與社區，升級既有的網路設備，在降低大規模施工更動線路下提升網速，針對新建案及商辦大數則導入全光纖網路，提供企業10G(R-OLT)及100G(switch技術)。</p> <p>因應AI時代需要高速下載及穩定上行能力，以支援影像生成、即時互動與多裝置連網情境，凱擘公布最新的家庭及商用寬頻服務及費率，其中寬頻服務主打下載及上行的雙向高速對稱服務。</p> <p>家用寬頻方面，300M/300M費率為799元、500M/500M為899元、1G/1G為999元，上述方案搭配Mesh Wi-Fi 6，其中1G/1G相當於提升既有服務的上行頻寬，加量不加價；另外還提供最高3G/1G寬頻，費率為1699元，搭配Wi-Fi 7 AP，並加贈有線電視24個月。</p> <p>在終端服務上，凱擘同步升級家用網路體驗，標配Wi-Fi 6並提供Wi-Fi 7選項，搭配Mesh架構強化全屋覆蓋與無縫漫遊。此外，與趨勢科技合作導入「網路守護家」，將資安防護機制內建於數據機，主打防詐與惡意流量偵測；並結合單一App進行智慧設備管理，因應AI與IoT裝置數量快速增加的需求。</p> <p><span style="color:#B22222;"><strong>企業寬頻上網祭出10G/10G雙向對稱</strong></span></p> <p>至於企業寬頻方面，提供企業上網固定制，除了300M/300M、500M/500M之外，1G/1G費率為3,900元、3G/3G費率為7,900元、5G/5G為9,900元，最高速率10G/10G，費率為19,900元。</p> <p><img alt="" src="/sites/default/files/images/20260415_145140%20(1).jpeg" style="width: 600px; height: 588px;" /></p> <p>比較特別的是，企業寬頻服務標配行固(行動+固網)備援服務，即凱擘大寬頻的企業寬頻服務標配台灣大哥大的行動網路作為備援網路，主要為FWA固定接取服務，預計將在8月提供，企業也可選擇搭配固網備援(雙路由設計)。</p> <p>凱擘大寬頻總經理謝明益表示，對於營運據點分布較廣的企業，當固網寬頻服務出現異常，可透過行動網路備援，確保連網通訊的韌性。</p> <p>在企業市場方面，規畫25G至100G的專線與行固網備援服務，鎖定需要更高速度的企業AI與大量資料傳輸需要。</p> <p>凱擘預計從4月15日先在臺北市優先推出服務，約5月於新北市試營運，其他地區將採分區方式陸續開放供裝。</p> <p>展望未來，凱擘認為1G將成為基本頻寬門檻，並提出「B+O（寬頻+OTT）」與「B+B（寬頻備援）」兩大策略，其中的B+O迎合寬頻服務的OTT內容消費趨勢；B+B則是倡議寬頻業者以合作取代過去的單純競爭，透過和寬頻同業互補，提供客戶寬頻網路備援，凱擘呼籲公部門將異質網路公司(同質網路的同業，或異質網路的異業)的備援電路設計放入標案規格，盼帶動私部門對備援電路的重視，強化網路韌性。</p> <p>相較於凱擘信心滿滿，要將10G推向全區，中華電信的10G寬頻服務儘管技術上可行，但採取針對性供裝策略，主流推廣速率為2G/1G 或1G/1G，針對企業專案提供10G服務。</p> </div></div></div>
4/15 18:06作者蘇文彬https://www.ithome.com.tw/news/175095
中國技術文件協作平臺ShowDoc存在重大漏洞，已被用於實際攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司VulnCheck提出警告，中國技術文件協作平臺ShowDoc已知漏洞CVE-2025-0520出現遭到利用的活動，<a href="https://www.linkedin.com/posts/ccondon_kev-share-7448763057851314176-KaIi/">他們透過蜜罐陷阱看到有人試圖部署Webshell</a>，這是首度出現該漏洞被用於攻擊的情況。</p> <p><strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-0520">CVE-2025-0520</a></strong>屬於未受限制的檔案上傳漏洞，起因是檔案類型的驗證不夠周延，可被攻擊者執行任何PHP指令，從而導致遠端程式碼執行（RCE）的情況，CVSS v4.0風險達到9.4分（滿分10分），屬重大等級，非常危險。ShowDoc開發團隊在2020年10月推出2.8.7版進行修補，當時中國將此漏洞登記為CNVD-2020-26585列管。</p> <p>VulnCheck指出，他們偵測到全球有超過2千個ShowDoc平臺，大部分在中國，不過，該公司發現的漏洞利用活動，出現在美國。值得留意的是，由於2年前有人公布此漏洞的<strong><a href="https://github.com/vulhub/vulhub/tree/master/showdoc/CNVD-2020-26585">概念驗證程式碼（PoC）</a></strong>，代表攻擊者想要利用，門檻將會大幅降低。</p> </div></div></div>
4/15 16:29作者周峻佑https://www.ithome.com.tw/news/175093
校正工作從2個月變1天！AI加速解碼小鼠全腦，找出嗅覺異常與自閉症關聯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中研院分子生物研究所聯手資訊科學研究所，今日（4/15）揭露一款AI加持的全腦自動腦區校正定量分析（BM-auto）系統，主打運用深度學習技術快速、精準辨識腦區位置，將過往需要人工2個月才能完成的工作，縮短為1天。</p> <p>這項技術大幅加速神經科學研究，讓團隊更快找出嗅覺皮質與自閉症的重要關聯，<a href="https://www.nature.com/articles/s41380-025-03340-2">成果不只刊登於國際知名期刊《分子精神病學》</a>，也為自閉症療法帶來新契機。而BM-auto技術接下來也將用於更廣泛的領域，比如其他疾病的小鼠腦部模式，或其他神經科學研究。</p> <h2><strong>為何需要深度學習加速全腦校正</strong></h2> <p>主導此次研究的中研院分子生物研究所特聘研究員薛一蘋，長年專攻自閉症研究。她指出，自閉症成因複雜，比如成千上百種基因突變，或後天環境造成，但共同特徵都指向神經迴路異常。</p> <p>也就是說，每個人出問題的地方可能都不一樣，最後卻呈現很類似的行為表現。也因此，團隊想知道，不論哪些基因突變，最後是不是都影響到大腦中的幾個關鍵腦區，或特定的神經迴路。</p> <p>為此，他們設立了2個研究目標，一是從與人類基因序列相似度接近100%（意味著功能相似度也極高）的小鼠身上，比較不同自閉症的小鼠全腦影像，從中找出關鍵腦區和異常的神經迴路；另一是加速神經迴路分析，他們要優化既有的全腦螢光影像定量系統，要加上AI功能，來提高小鼠500多個腦區的分析效率。</p> <p>薛一蘋進一步解釋，AI是要解決過去研究時的痛點，也就是雖然有BM-auto系統，但團隊仍得花大量時間，手動將小鼠腦部影像的螢光位置，一一比對標準腦部圖譜的位置，通常需要2、3個月才能完成一隻小鼠的全腦影像對齊。</p> <p>於是，他們找上中研院資科所副研究員王建堯團隊，來開發BM-auto系統的AI自動化功能。王建堯團隊以薛一蘋團隊過去5年累積的基準真相（Ground truth）資料來訓練AI模型，克服跨模態對齊的難題，讓模型學會辨識小鼠腦部螢光位置與標準圖譜之間的對應關係，進而能夠自動校正。</p> <p><img alt="" src="/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202026-04-15%20165210.png" /></p> <p>王建堯補充，這套模型辨識出的腦區位置，與標準圖譜的對應位置重疊約9成，意味著對齊效果相當準確，而且自動辨識時間只需10幾分鐘。如此一來，研究人員再人工校正幾十個腦區即可，1天就能完成全腦的校正工作。</p> <h2><strong>找出嗅覺缺陷與自閉症關聯</strong></h2> <p>也因為有了AI加速，薛一蘋團隊得以快速、精準分析每隻鼠腦的500多個腦區，完成3種自閉症小鼠全腦螢光影像定量分析。他們還連結、比對美國艾倫腦科學研究所建構的正常小鼠資料庫，發現3種自閉症小鼠的共同病灶：嗅覺皮質的特定投射神經細胞顯著下降。</p> <p><img alt="" src="/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202026-04-15%20164223.png" /></p> <p>他們進一步驗證，發現雖然3種自閉症小鼠仍保有嗅覺感應能力，能聞到各種氣味，卻失去「分辨氣味異同」的辨別力，導致嗅覺辨別障礙。團隊也進行後續一系列分析與比對，自閉症小鼠嗅覺皮質的異常不但影響嗅覺功能，連帶影響與其他腦區之間的訊息傳遞與連結，證實嗅覺皮質與自閉症病理機制的重要性。</p> <p>而這次研究所建立的BM-auto系統，不只突破傳統全腦影像處理的瓶頸，接下來還能應用於其他腦部疾病的分析研究。</p> <p></p> </div></div></div>
4/15 16:53作者王若樸https://www.ithome.com.tw/news/175094
【資安日報】4月15日，微軟、SAP、Adobe發布本月例行更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175055"><strong style="font-size: 22px;">微軟發布4月例行更新，修補SharePoint、Defender零時差漏洞</strong></a></p> <p>一週前Anthropic發布通用語言模型Claude Mythos預覽版本，聲稱該模型已在常見的作業系統、瀏覽器、開源軟體找出數千個零時差漏洞，並設立Project Glasswing專案號召科技、金融公司、關鍵基礎設施加入，使得4月份的各大IT廠商的安全性例行更新格外受到關注，因為外界預期各廠商將會公布大量的資安漏洞，果不其然，單就今天微軟發布的公告而言，就涵蓋超過200個漏洞。</p> <p>首先，4月微軟例行更新（Patch Tuesday）總共公開165個由微軟登記CVE編號的漏洞，數量較上個月多出一倍，再加上他們修補的第三方元件漏洞，總數將達到247個。</p> <p><a href="https://www.ithome.com.tw/news/175067"><strong style="font-size: 22px;">SAP修補商業規畫與合併財務報表系統、企業資料倉儲系統重大漏洞</strong></a></p> <p>4月14日SAP發布本月例行更新（Security Patch Day），總共揭露19個資安漏洞，其中有1個重大等級、1個高風險等級，其餘為中低風險等級。</p> <p>根據CVSS風險評分，最危險的是SQL注入漏洞CVE-2026-27681，影響商業規畫與合併財務報表系統SAP Business Planning and Consolidation（SAP BPC），以及企業資料倉儲系統SAP Business Warehouse（SAP BW），CVSS風險評為9.9分（滿分10分），屬重大等級。此漏洞形成原因在於上述系統的授權檢查不夠充分，通過身分驗證的攻擊者能執行指定的SQL描述指令（SQL Statement），從而讀取、竄改、刪除資料庫內容。</p> <p><a href="https://www.ithome.com.tw/news/175076"><strong style="font-size: 22px;">Adobe修補55個漏洞，ColdFusion列為最高優先更新</strong></a></p> <p>Adobe於4月14日發布的周二例行性更新中，修補旗下11款產品一共55個漏洞，其中的應用程式伺服器軟體ColdFusion，被列為用戶需要立即更新的等級1（Priority 1），建議用戶在72小時內更新。細部而言，ColdFusion修補7個漏洞，包括CVSS嚴重性評分達9.3分的輸入驗證漏洞CVE-2026-27304，另外還有可能導致路徑遍歷、資源消耗失控等問題的漏洞。</p> <p>列為等級2（Priority 2）的產品則有Acrobat Reader，修補2個原型汙染（Prototype Pollution）問題，建議用戶在30天內儘速修補。在這波更新之前，Adobe也剛於4月11日發布Acrobat Reader的另一個安全更新，修補已遭到攻擊者利用的重大零時差漏洞CVE-2026-34621。</p> <p><a href="https://www.ithome.com.tw/news/175041"><strong style="font-size: 22px;">Python資料分析工具Marimo重大漏洞遭到利用</strong></a></p> <p>4月8日，開發Python互動式運算環境Marimo的團隊揭露重大漏洞CVE-2026-39987，有資安公司發現，公布後不到半天，已出現攻擊行動。</p> <p>資安公司Sysdig指出，在Marimo發布公告約10小時後，他們看到漏洞利用嘗試的跡象，而且駭客在3分鐘之內成功竊得憑證。值得留意的是，當時該漏洞尚無登記CVE編號，也沒有公開的概念驗證程式碼（PoC），攻擊者只有根據資安公告的有限資訊，就成功利用漏洞，並在未經身分驗證的情況下存取終端機端點，然後手動偵察受害環境。</p> <p><a href="https://www.ithome.com.tw/news/175082"><strong style="font-size: 22px;">出版商McGraw-Hill傳出Salesforce系統被入侵，駭客聲稱竊得4500萬筆資料</strong></a></p> <p><img alt="" src="/sites/default/files/images/mcgraw.png" style="width: 300px; float: right;" />根據資安媒體Bleeping Computer報導，駭客組織ShinyHunters近日聲稱，他們從知名教育出版商麥格羅希爾（McGraw-Hill）的Salesforce平臺竊得一批資料，其中包含超過4,500萬筆可識別身分資訊（PII）記錄。駭客要求該出版商在週二之前聯繫，否則將公開這批資訊連同其網路環境漏洞。</p> <p>對此，麥格羅希爾證實有未經授權人士從Salesforce代管的網頁存取部分資料，並研判這事件可能是Salesforce系統配置錯誤的造成，受影響並非只有麥格羅希爾，有多家企業組織遭到攻擊。</p> <p><a href="https://www.ithome.com.tw/news/175058"><strong style="font-size: 22px;">OpenAI公布GPT 5.4-Cyber，開放更多資安人員使用</strong></a></p> <p>OpenAI今年2月公布資安人員合作方案Trusted Access for Cyber（TAC），允許資安廠商及組織使用該公司專為網路安全強化的AI模型。為了不讓Anthropic近期推出的Claude Mythos專美於前，4月14日OpenAI公布專為網路安全分析的模型GPT-5.4-Cyber，此為基於GPT 5.4而成的變形版本，和標準版本相較，GPT-5.4-Cyber降低AI模型的拒絕邊界（refusal boundary）而可用於合法的網路安全任務，並加入進階防護工作的新功能，包括二進位檔逆向工程，這功能允許資安專家分析惡意軟體能力，或是在不需存取原始碼情況下了解系統軟體漏洞及安全性。</p> <p>OpenAI也提供了加入TAC方案的方法。個人用戶可以透過ChatGPT網站，企業用戶可以向OpenAI業務人員申請。審核通過的用戶就可以使用限制更少的模型，讓他們得以執行安全教育、防禦性程式開發和負責任的漏洞研究。</p> <p><a href="https://www.ithome.com.tw/news/175042"><strong style="font-size: 22px;">CISA警告Fortinet FortiClient EMS重大漏洞已被用於攻擊，要求儘速修補</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）近日警告，2月初揭露的重大漏洞CVE-2026-21643已被實際利用，未修補此弱點的端點管理平臺FortiClient EMS風險大增，CISA將其納入已知遭利用漏洞清單（KEV），要求各機構儘速修補。</p> <p>CVE-2026-21643屬於SQL注入型弱點（SQL Injection），CVSS嚴重性評分達9.1分，問題出在SQL指令使用的特殊元件，未妥善過濾輸入（improper neutralization），使得未經身分驗證的攻擊者能藉由特製的HTTP請求，執行未授權的程式碼或指令，會影響7.4.4版FortiClient EMS，解決辦法是升級到7.4.5以後版本。</p> <p><a href="https://www.ithome.com.tw/news/175044"><strong style="font-size: 22px;">NPM套件Axios修補滿分重大漏洞，未更新可能導致遠端執行任意程式碼攻擊</strong></a></p> <p>使用廣泛的HTTP用戶端NPM套件Axios，繼日前傳出的供應鏈攻擊事件後，該套件專案的維護者近日又發布安全公告，修補可能導致遠端執行任意程式碼的重大漏洞，建議用戶儘速更新版本。</p> <p>Axios這次修補的漏洞編號為CVE-2026-40175，CVSS嚴重性等級達到滿分10.0分，問題源自Axios的HTTP標頭處理缺陷，若結合原型污染（Prototype Pollution）問題，將形成可被利用的攻擊鏈。攻擊者可藉由應用程式其他相依套件污染JavaScript的Object.prototype，Axios會在合併設定時自動載入被汙染的惡意屬性，進而觸發HTTP請求挾帶（HTTP Request Smuggling）或伺服器端請求偽造（SSRF）等問題，可能進一步導致遠端執行任意程式碼。利用這個漏洞還可能讓攻擊鏈延伸到AWS雲端服務，導致攻擊者繞過AWS IMDSv2連線權杖保護機制，進而入侵雲端環境。</p> <p><a href="https://www.ithome.com.tw/news/175021"><strong style="font-size: 22px;">開源監控平臺Grafana修補AI助理功能漏洞，防範提示注入攻擊導致資料外洩</strong></a></p> <p><a href="/sites/default/files/images/Noma-Grafana-Blog.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Noma-Grafana-Blog.jpg" style="width: 300px; float: right;" /></a>資安公司Noma研究人員指出，開源監控與資料視覺化平臺Grafana的AI助理功能存在GrafanaGhost漏洞，可透過間接提示注入（Indirect Prompt Injection）手法，誘使AI助理將企業敏感資料外洩至外部伺服器。</p> <p>Grafana平臺內含的AI助理功能，可協助使用者以自然語言查詢與分析系統監控資料。研究人員指出，攻擊者可在Grafana平臺讀取的外部網址嵌入惡意指令，當AI助理功能解析這些資料時，可能被誘導繞過安全防護機制，進而執行對外傳輸請求，將用戶資料附帶於URL參數中，傳送至攻擊者控制的伺服器，由於整個過程不會出現任何錯誤訊息，用戶難以察覺異常。</p> <p><a href="https://www.ithome.com.tw/news/174754"><strong style="font-size: 22px;">DNS伺服器軟體BIND 9修補多個漏洞，未修補可能導致服務中斷等問題</strong></a></p> <p>網際網路系統協會（Internet Systems Consortium，ISC）近日發布安全公告，修補由其開發與維護的BIND 9 DNS伺服器軟體多個漏洞，這些漏洞可能導致服務中斷、記憶體資訊洩漏等問題，使用者須盡速修補。</p> <p>BIND 9是廣獲使用的開源伺服器軟體，這次修補的漏洞一共有4個，其中最嚴重的是CVE-2026-1519，為CVSS嚴重性評分7.5的高風險漏洞，攻擊者可透過特製DNS驗證資料導致系統資源耗盡，進而形成阻斷服務（DoS）攻擊。另一值得注意的漏洞是CVE-2026-3104，CVSS嚴重性評分同為7.5，攻擊者可透過特製的網域名稱，觸發BIND 9 DNS解析器（resolver）記憶體資訊洩漏。</p> <p><a href="https://www.ithome.com.tw/news/174710"><strong style="font-size: 22px;">PTC揭露旗下產品生命週期管理系統滿分重大漏洞，目前尚無修補程式，用戶須立即採取緩解措施</strong></a></p> <p>工業應用軟體廠商PTC近日發布安全公告，揭露旗下產品生命週期管理系統Windchill與FlexPLM存在重大漏洞，可能導致攻擊者藉此發動遠端執行任意程式碼攻擊，由於目前尚無修補程式，建議用戶立即採取緩解措施。</p> <p>PTC揭露的這個漏洞編號是CVE-2026-4681，CVSS 3.1嚴重性等級為滿分10分，屬於CWE-94程式碼注入（Code Injection）弱點，攻擊者可透過不受信任資料反序列化（deserialization of untrusted data），從遠端執行程式碼。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/adobe-patches-55-vulnerabilities-across-11-products/">Adobe修補旗下11款應用程式資安漏洞，呼籲用戶優先處理ColdFusion、Acrobat Reader</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/new-php-composer-flaws-enable-arbitrary.html">PHP編輯器存在高風險漏洞，若不處理攻擊者可注入任何命令</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/mirax-android-rat-turns-devices-into.html">惡意程式Mirax綁架安卓設備，將受害裝置變成SOCKS5固定型代理伺服器</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/190796/data-breach/shinyhunters-claim-the-hack-of-rockstar-games-breach-and-started-leaking-data.html">ShinyHunters聲稱從遊戲公司Rockstar Games竊得8.1 GB內部資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/190716/hacking/iran-linked-group-handala-claims-to-have-breached-three-major-uae-organizations.html">伊朗駭客Handala聲稱對阿拉伯聯合大公國3個重要組織發動網路攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/ransomware-vipertunnel-malware-uk-us-businesses/">Python後門程式ViperTunnel鎖定美英企業，被用於勒索軟體DragonForce活動</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175043"><strong>【4月14日】OpenAI證實遭遇Axios供應鏈攻擊波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175020"><strong>【4月13日】CPUID網頁被入侵，駭客散布木馬程式STX RAT</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174990"><strong>【4月10日】伊朗駭客鎖定美國關鍵基礎設施發動攻擊</strong></a></p> </div></div></div>
4/15 13:50作者周峻佑https://www.ithome.com.tw/news/175084
國泰世華上周五網銀服務延遲近5小時，起因是負載平衡器逼近極限未切換備援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國泰世華銀行於上周五（4/10）發生網路銀行與行動App交易延遲事件，影響時間從當天上午9:31至14:30，影響長達近5小時，導致用戶投訴超過400件。金管會銀行局本周二指出，問題核心並非外部攻擊或突發流量，而是該行內部關鍵設備「負載平衡器」的負載飆高，在流量調度失效下，導致交易請求無法有效分流，而引發大規模延遲。</p> <p>從架構面來看，此次事件發生在銀行對外服務的「入口層」。根據金管會公布的資料，負責分配流量的F5負載平衡器，在正常情況下CPU使用率維持在70%至90%的高檔區間，顯示系統長期處於高負載運行狀態。事發當天CPU瞬間衝至99%，接近設備處理極限，使得新進交易請求無法被有效轉送至後端系統，形成請求堆積與延遲擴散。由於負載平衡器位於系統前端，一旦失效，將影響所有下游服務，包括轉帳、匯款、換匯及證券交割等核心交易。</p> <p>值得注意的是，這起突發事件並未導致系統全面中斷，而是部分可用但效能劣化，使得交易成功率從接近100%下滑至70%至90%，反映系統仍具備基本處理能力，但已進入壅塞狀態。</p> <p>外界關注為何未能即時啟動備援切換，對此，金管會指出，銀行端的考量是，當主設備尚未完全失效時，若直接切換至備援系統，可能將同樣面臨轉移過來的高負載壓力，導致備援節點同步過載。此外，若採取全面重啟策略，將造成約2小時完全中斷，相較之下，銀行選擇維持部分服務運作並逐步調整流量。</p> <p>從高可用設計角度檢視，此次事件暴露三項關鍵問題。首先，入口層設備可能長期的高負載使用，顯示容量規劃方面未預留足夠餘裕。其次，備援機制雖存在，但未能在性能劣化初期自動介入，可能存在health check與切換門檻設計上的不足。第三，系統缺乏即時流量調節限流機制，無法在異常初期有效降低壓力，避免問題擴大。</p> <p>在影響層面，此次事件已引發逾400件客訴，部分用戶因交易延遲面臨匯率或交割損失。金管會已要求銀行依公平待客原則處理補償，並限期在4月21日前提出完整事故報告，以釐清是否涉及人為疏失或SOP未落實，後續不排除開罰。</p> <p>F5則回應，近期個別事件顯示，當系統長期處於高壓運行環境下，若流量成長、服務複雜度與架構調整節奏之間出現失衡，整體平台所承受的壓力將大幅上升，進而影響服務穩定性。這類問題已不僅是單一企業的挑戰，而是在數位轉型與AI應用快速深化的背景下，整體產業都必須正視的共通風險。</p> <p>對此，F5建議企業應從「因應現狀」轉向「預見性規劃」，在系統設計初期即預留充足運算餘裕，以因應高峰負載；同時強化跨部門協作與流量可視化能力，從即時監控進一步走向長期趨勢預測與主動治理。透過建立具彈性且可擴展的基礎架構，企業才能在推動創新的同時，確保未來5至10年的系統穩定與韌性。</p> <p>這起事件可供企業在數位轉型過程中借鏡，除了追求核心交易引擎的性能提升之外，「基礎設施」的流量控制也不容忽視。特別是當服務全面線上化、交易即時性要求提高後，負載平衡、流量調節分流與自動化故障切換能力，已是影響服務穩定性的關鍵。</p> </div></div></div>
4/15 16:15作者蘇文彬https://www.ithome.com.tw/news/175071
中國駭客APT41使用惡意程式搜刮雲端憑證，範圍涵蓋AWS、GCP、Azure、阿里雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年初，國安局點名<strong><a href="https://www.ithome.com.tw/news/173172">多組中國國家級駭客組織鎖定臺灣9大關鍵基礎設施發動攻擊</a></strong>，其中一組就是惡名昭彰的APT41（Winnti），近日有資安公司指出，這些駭客滲透雲端環境多年，範圍涵蓋4大公有雲環境。</p> <p><strong><a href="https://intel.breakglass.tech/post/apt41-winnti-elf-cloud-credential-harvester-alibaba-typosquat">資安公司Breakglass指出</a></strong>，他們發現APT41近期打造的ELF後門程式，鎖定建置在AWS、GCP、Azure、阿里雲的Linux雲端工作負載，該後門程式使用郵件通訊協定SMTP常用的25埠建立C2通訊，收集雲端服務供應商的憑證與中繼資料，然後將竊得資料傳送到3個冒充阿里巴巴的網域，這些主機架設於阿里雲新加坡的基礎設施。值得留意的是，尚無VirusTotal納入的防毒引擎將後門程式視為有害，再加上駭客導入的C2交握驗證機制，使得Shodan、Censys等物聯網搜尋引擎難以識別受害的工作負載。</p> <p>究竟此後門會收集哪些資料？首先，駭客會從AWS查詢身分識別與存取管理（IAM）的角色憑證，接著，他們從GCP的中繼資料伺服器挖掘服務帳號的權杖（Token），並讀取應用程式的預設憑證。</p> <p>針對Azure的部分，駭客會查詢實體中繼資料服務（Instance Metadata Service，IMDS）端點的內容，取得代管的身分識別權杖並讀取設定檔；至於阿里雲，他們會查詢Elastic Compute Service（ECS）的中繼資料，搜刮資源存取管理（Resource Access Management，RAM）的角色憑證，以及命令列介面（CLI）的組態。</p> <p>上述所有竊得的憑證，後門程式都會搭配寫死的（hardcoded）AES-256金鑰進行加密處理，再外傳到攻擊者控制的網域。</p> <p>值得留意的是，這次駭客不再使用HTTPS進行C2通訊，而是刻意採用SMTP常見的連接埠。Breakglass指出，原因可能是雲端環境通常會提供電子郵件服務，因此25埠的流量往往會被視為正常，再加上許多資安工具不會深入檢查SMTP流量，以及各家雲端服務廠商對於25埠出口流量過濾做法不一致，使得相關活動難以被察覺。</p> <p>Breakglass提及C2伺服器實作選擇性交握機制，只有初始的EHLO字串包含來自用戶端提供的有效權杖，才會進行連線，否則就會傳送標準的SMTP橫幅（SMTP Banner）以及表達傳遞成功的狀態訊息220之後關閉連線。這代表物聯網搜尋引擎只會偵測到普通的SMTP伺服器，自動威脅情報平臺不會將IP位址標記為有問題。</p> <p>APT41打造Linux惡意程式並非首例，最早可追溯到6年前的<strong><a href="https://www.ithome.com.tw/news/143239">Pwnlnx</a></strong>，後續他們於2023年打造具雲端識別能力的KeyPlug，<strong><a href="https://www.ithome.com.tw/news/163086">隔年又改進迴避偵測的能力</a></strong>，並首度具備雲端中繼資料收集的能力。由此看來，該組織致力讓Linux版後門成為雲端原生的惡意程式，從早期的基本反向Shell，已經發展成具備專屬的雲端憑證收集工具。</p> </div></div></div>
4/15 13:34作者周峻佑https://www.ithome.com.tw/news/175083
微軟將於五月關閉Outlook Lite App for Android
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://mc.merill.net/message/MC1276508" target="_blank">微軟公告</a>Outlook Lite App for Android將在2026年5月25日完全退役，呼籲用戶改用Outlook Mobile App。</p> <p>Outlook Lite是微軟2022年開發Android裝置專用的精簡App，主打運行更輕巧、更快、更省電，適合當年頻寬較小的電信網路。下載次數約有1000萬次。</p> <p>伴隨關閉Outlook Lite for Android，微軟將切斷以Outlook Lite存取郵件信箱，但仍允許應用程式開啟。微軟呼籲用戶轉用Outlook Mobile，這App支援所有郵件功能和遵循能力。管理員無需任何行動，但必須通知使用者轉換。</p> <p>Outlook Lite for Android的關閉將影響使用較平價手機、頻寬較小的用戶。<a href="https://www.windowscentral.com/microsoft/windows/outlook-lite-android-end-of-life" target="_blank">Windows Central</a>分析，這項決定顯示微軟希望統一各平臺上Outlook的使用經驗。</p> <p>微軟去年9月就宣布退役Outlook Lite的計畫。10月微軟就不再允許下載Outlook Lite。微軟建議想要高效能的用戶改用瀏覽器執行Outlook，或是「購買或管理」手機連網方案。</p> </div></div></div>
4/15 14:35作者林妍溱https://www.ithome.com.tw/news/175086
資安業者揭露Chrome Web Store上共用同一C2基礎設施的108款惡意擴充程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者<a href="https://socket.dev/blog/108-chrome-ext-linked-to-data-exfil-session-theft-shared-c2" target="_blank">Socket週一（4/13）指出</a>，他們在Chrome Web Store上發現了108款共用同一C2基礎設施的惡意擴充程式，這些偽裝成通訊、播放器、遊戲或工具的擴充程式可竊取使用者的Google帳戶、Telegram帳號或瀏覽行為，並將它們傳送到同一個網域cloudapi[.]stream。</p> <p>此次揭露的擴充程式涵蓋Telegram擴充工具、影音播放器、翻譯服務及各類小遊戲等常見應用，安裝後仍可正常運作，降低使用者警覺。但實際上會在背景透過OAuth機制擷取Google帳戶的電子郵件、名稱與唯一識別碼（sub），並持續蒐集瀏覽行為資料。</p> <p>還有部分擴充程式更具備帳號接管能力，例如可每15秒竊取Telegram Web登入Session，讓攻擊者在不需密碼或雙重驗證的情況下直接存取帳號內容。此外，部分外掛內建後門機制，會在瀏覽器啟動時連線至遠端伺服器並接收指令，甚至可開啟任意網頁或動態注入內容。</p> <p>根據統計，有54個擴充程式可透過OAuth2竊取Google帳戶身分；有45個含有通用後門，以於瀏覽器啟動時開啟任意網址；另有1個擴充程式會持續竊取Telegram登入Session。不過，這108個擴充程式總計的下載量大約只有2萬。</p> <p>研究發現，這些擴充程式雖然是由5個不同的開發者所發行，但它們的C2伺服器都位於同一個IP位址，也都使用同一網域，而且不管是程式碼結構、後門機制與回傳機制都高度一致，可能為同一操作者所控制。</p> </div></div></div>
4/15 15:12作者陳曉莉https://www.ithome.com.tw/news/175087
出版商McGraw-Hill疑被竊取Salesforce系統4500萬筆資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一個駭客組織宣稱竊取了4,500萬筆紀錄後，知名教育出版商麥格羅希爾（McGraw-Hill）週二證實其使用的Salesforce環境曾遭未授權存取，但強調不是自己帳號被駭，也沒有客戶資料外洩。</p> <p>麥格羅希爾是美國三大教育出版商之一，總部位於紐約，業務遍布全球28個國家，出版領域涵蓋商管、財經、醫學及自然科學等領域，為教育產品和電子書服務供應商。</p> <p>資安媒體<a href="https://www.bleepingcomputer.com/news/security/mcgraw-hill-confirms-data-breach-following-extortion-threat/" target="_blank">Bleeping Computer報導</a>，一個駭客組織貼出公告，聲稱竊得這家出版商包含可識別身份資訊（PII）超過4,500萬筆Salesforce紀錄。駭客要求該出版商在週二之前聯繫，否則將公開這批資訊連同其網路環境漏洞。</p> <p>麥格羅希爾證實，近日發現有人非授權從Salesforce代管的公司某網頁存取了一小部份資料。這事件可能是Salesforce環境配置錯誤的一環，受影響的有多家組織。</p> <p>但麥格羅希爾出版社說，這起事件並非該公司Salesforce帳號、客戶資料庫、教材系統或內部系統被非授權存取。這公司並說，與外部資安業者合作調查發現，外洩的資訊不包含社會安全碼、財務資訊或教育平臺的學生資料。</p> <p>另外，製作二大知名電玩遊戲《俠盜獵車手Grand Theft Auto V》及《碧血狂殺II/Red Dead Redemption II》的Rockstar Games也在近日傳出被駭。<a href="https://www.cyberdaily.au/security/13448-wasted-gta-developer-rockstar-games-confirms-hack-as-shinyhunters-demands-pay-or-leak" target="_blank">媒體報導</a>，Rockstar Games和麥格羅希爾資料外洩事故皆由ShinyHunters聲稱所為。其他受害者還包括知名賀卡公司Hallmark Cards、美國國鐵公司Amtrak。</p> <p>但兩者被存取的系統不同。Rockstar Games是駭客經由其使用的績效AI分析工具Anodot平臺存取了Rockstar Games的Snowflake實例，但該遊戲出版商<a href="https://mashable.com/article/grand-theft-auto-6-rockstar-games-hack-data-breach" target="_blank">聲稱</a>，外流的是重要性較低的資訊，也沒有遊戲玩家資料。</p> </div></div></div>
4/15 13:26作者林妍溱https://www.ithome.com.tw/news/175082
Google在Chrome導入Skills，將AI提示轉為可重複執行的工作流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/products-and-platforms/products/chrome/skills-in-chrome/" target="_blank">Google週二（4/14）宣布</a>在Chrome中導入Skills功能，讓使用者可將常用的AI提示（Prompt）儲存為可重複使用的操作，並透過一次點擊快速執行。該功能整合於Chrome中的Gemini，支援在當前頁面或多個分頁上運行，進一步強化瀏覽器中的AI應用能力。</p> <p>過去使用者若需重複執行相同AI任務，例如比較產品規格或整理文章內容，往往需要在不同網頁間反覆輸入提示。Skills的推出，將這些提示轉為可儲存的操作單位，用戶可直接從聊天紀錄中建立Skill，並可透過輸入斜線（/）快速調用，顯著降低重複操作成本。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0415-skills-chrome-600-1.png" style="width: 500px;" /></p> <p>Google列出了Skills的多種應用場景，例如在健康領域中快速計算食譜的營養成分、在購物時跨分頁比較商品規格，或在工作中從長篇文件中擷取重點資訊。此外，Google亦同步推出Skills資料庫，提供一系列預設範本，使用者可直接套用或進一步自訂，建立個人化的AI工作流程。</p> <p>在安全設計上，Skills不會自動執行涉及外部操作的任務，相關動作需經使用者確認後才會進行，並結合既有瀏覽器防護與持續測試機制，以降低誤操作與濫用風險，例如新增行事曆事件或寄送電子郵件等操作。</p> <p><a href="https://www.ithome.com.tw/news/171287" target="_blank">Google</a>自2025年9月起將Gemini整合到Chrome瀏覽器中，使其具備AI助理能力，但截至今年3月，<a href="https://workspaceupdates.googleblog.com/2026/03/gemini-in-chrome-expands-to-more-countries-and-languages.html" target="_blank">此一功能</a>仍只支援美國、加拿大、紐西蘭及印度市場，尚未擴及臺灣，而此次推出的Skills則是Gemini in Chrome的功能之一。</p> </div></div></div>
4/15 14:07作者陳曉莉https://www.ithome.com.tw/news/175085
SAP修補商業規畫與合併財務報表系統、企業資料倉儲系統重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月14日SAP發布<strong><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2026.html">本月例行更新（Security Patch Day）</a></strong>，總共揭露19個資安漏洞，其中有1個重大等級、1個高風險等級，其餘為中低風險等級。</p> <p>根據CVSS風險評分，最危險的是SQL注入漏洞CVE-2026-27681，影響商業規畫與合併財務報表系統SAP Business Planning and Consolidation（SAP BPC），以及企業資料倉儲系統SAP Business Warehouse（SAP BW），CVSS風險評為9.9分（滿分10分），屬重大等級。此漏洞形成原因在於上述系統的授權檢查不夠充分，通過身分驗證的攻擊者能執行指定的SQL描述指令（SQL Statement），從而讀取、竄改、刪除資料庫內容。</p> <p>長期觀察並參與SAP漏洞修補的資安公司Onapsis<strong><a href="https://onapsis.com/blog/sap-security-notes-april-2026-patch-day/">也對此漏洞提出說明</a></strong>，低權限的攻擊者只要上傳帶有任何SQL描述指令的檔案，SAP BPC與SAP BW的ABAP程式就會執行，SAP在受影響的應用程式停用可執行的程式碼，以緩解漏洞。若是IT人員無法及時套用修補程式，Onapsis建議可在使用者帳號註銷S_GUI授權物件的上傳權限，不過，該公司強調，此臨時緩解措施有可能對其他應用程式造成影響，再加上漏洞非常嚴重，Onapsis仍呼籲IT人員儘速套用更新。</p> </div></div></div>
4/15 11:29作者周峻佑https://www.ithome.com.tw/news/175067
Meta攜手博通打造自研AI算力體系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/04/meta-partners-with-broadcom-to-co-develop-custom-ai-silicon/" target="_blank">Meta週二（4/14）宣布</a>與博通（Broadcom）擴大合作，雙方將共同開發多個世代的自研AI晶片MTIA（Meta Training and Inference Accelerator），並整合晶片設計、先進封裝與高速網路技術，打造可擴展至多GW等級的AI算力基礎設施，顯示Meta正將自研晶片提升為核心算力戰略，並逐步降低對外部GPU的依賴。</p> <p>Meta在AI算力布局上採多軌策略，一方面依賴外部GPU與雲端資源，另一方面也與博通合作投入自研MTIA晶片，於不同AI工作負載中選擇最適合的加速器，以在效能與總持有成本之間取得最佳平衡。</p> <p>根據雙方所揭露的規畫，此次合作涵蓋了晶片開發、系統架構與大規模部署等層面。其中，雙方將共同開發多個世代的MTIA晶片，包括推理與生成式AI等工作負載，並導入先進製程（如2奈米），以提升效能與能效比。除晶片外，合作亦延伸至先進封裝與高速網路，透過博通的乙太網與XPU平臺，建構可支援大規模運算叢集的低延遲、高頻寬架構。</p> <p>整體系統將以GW等級部署為目標，從初期超過1GW起步，逐步擴展至多GW規模。該合作預計延續至2029年，目標為支撐Meta在WhatsApp、Instagram與Threads等平臺上的生成式AI與推薦系統運作。</p> <p><a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-announces-extended-partnership-meta-deploy-technology" target="_blank">博通解釋</a>，雙方的合作將建立在該公司的XPU（客製化加速器）平臺之上，協助Meta進行多世代MTIA晶片的協同設計，並整合晶片邏輯、記憶體與高速I/O，以支援不同世代的AI運算需求。博通也將提供乙太網路、交換器、光通訊與高速互連等技術，用於建構可支援大規模AI運算叢集的網路架構，並確保在高負載情境下仍能維持低延遲與高頻寬的資料傳輸能力。</p> <p>博通為AI基礎設施關鍵供應商，提供客製化晶片與高速網路技術，長期參與Google自研AI晶片TPU的開發，亦為<a href="https://www.ithome.com.tw/news/171641" target="_blank">OpenAI</a>與<a href="https://www.ithome.com.tw/news/174875" target="_blank">Anthropic</a>的合作夥伴。這一次進一步深化與Meta合作，原任Meta董事的博通執行長Hock Tan亦將轉任顧問，協助規畫客製化晶片發展藍圖。</p> </div></div></div>
4/15 11:35作者陳曉莉https://www.ithome.com.tw/news/175069
Anthropic新模型Claude Mythos引發金融業資安疑慮，美英加監理機關關注風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI模型開發商Anthropic於4月7日公布Claude Mythos Preview後，因其具備尋找並利用軟體弱點的能力，引起金融業與監理機關注意。<a href="https://www.reuters.com/legal/litigation/ai-boosted-hacks-with-anthropics-mythos-could-have-dire-consequences-banks-2026-04-13/" target="_blank">路透社</a>與<a href="https://www.ft.com/content/397bf755-54cf-4018-a01d-8f714d8667c5?syn-25a6b1a6=1" target="_blank">金融時報</a>報導，美國、英國與加拿大主管機關近期已與銀行高層討論相關風險，顯示這類具攻防雙重用途的AI模型，正被視為影響企業資安防禦節奏的重要變數。</p> <p>目前Claude Mythos Preview被視為Anthropic程式撰寫與代理式任務能<wbr></wbr>力最強的模型，可依指示找出並利用作業系統與瀏覽器未公開或未廣泛揭露的弱點。對銀行而言，風險特別顯著，主因在於IT環境同時整合最新工具與運行多年的舊系統，潛藏弱點的範圍更廣。</p> <p>企業AI資安業者Guardrail Technologies執行長TJ Marlin接受<a href="http://www.reuters.com/legal/litigation/ai-boosted-hacks-with-anthropics-mythos-could-have-dire-consequences-banks-2026-04-13/" target="_blank">路透社</a>採訪時指出，Claude Mythos這類先進模型能夠橫跨複雜系統架構進行分析，包括企業內部長期累積的舊系統環境，使過去未被發現的弱點與系統複雜性，現在都可能轉化為可被利用的攻擊面。此外，銀行業彼此之間高度連結，多數機構採用相似的軟體來進行開戶流程（onboarding）、客戶審查計畫（KYC，Know Your Customer）驗證與交易處理，一旦攻擊手法可規模化運用，影響可能迅速擴散。</p> <p>在監理動態方面，美國財政部長Scott Bessent與聯準會主席Jerome Powell已召集大型銀行執行長，提醒留意相關風險；英國國家網路安全中心（National Cyber Security Centre，NCSC）已開始討論其對關鍵系統的影響；加拿大財政部與央行也將其列為資安議題。</p> <p>在產業合作上， Anthropic目前透過<a href="https://www.ithome.com.tw/news/174898" target="_blank">Project Glasswing</a>，讓AWS、Google、微軟等合作夥伴，在受控情境下用於防禦測試，並提供資源協助提前發現與修補弱點。Anthropic<a href="https://red.anthropic.com/2026/mythos-preview/" target="_blank">技術文件</a>指出，Claude Mythos已找出數千個高風險與重大風險漏洞，多數尚未修補，因此未公開細節。</p> <p>英國<a href="https://www.ithome.com.tw/news/175037" target="_blank">AI Security Institute（AISI）評測</a>顯示，Claude Mythos在專家級搶旗競賽任務（CTF）成功率達73%，並可完成32步驟企業攻擊鏈。不過研究人員也指出，測試未納入實際企業防禦機制，因此結果尚不能直接反映真實環境。</p> <p>另一方面，<a href="https://newsroom.ibm.com/2026-04-09-Open-Source,-After-Mythos" target="_blank">IBM發布評論</a>指出，Claude Mythos反映AI在攻防兩端的能力正同步提升，企業若僅依賴封閉測試或單一廠商機制，將難以全面掌握風險，應透過開源與跨組織協作強化防禦。</p> </div></div></div>
4/15 13:08作者王珮瑤https://www.ithome.com.tw/news/175081
微軟發布4月例行更新，修補SharePoint、Defender零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一週前Anthropic發布<strong><a href="https://www.ithome.com.tw/news/174898">通用語言模型Claude Mythos預覽版本</a></strong>，聲稱該模型已在常見的作業系統、瀏覽器、開源軟體找出數千個零時差漏洞，並設立Project Glasswing專案號召科技、金融公司、關鍵基礎設施加入，使得4月份的各大IT廠商的安全性例行更新格外受到關注，因為外界預期，廠商將會公布大量的資安漏洞，果不其然，單就今天微軟發布的公告而言，就涵蓋超過200個漏洞。</p> <p>首先，4月微軟例行更新（Patch Tuesday）總共公開165個該公司登記CVE編號的漏洞，數量較<strong><a href="https://www.ithome.com.tw/news/174321">上個月</a></strong>多出一倍，再加上他們修補的第三方元件漏洞，總數將達到247個。</p> <p>另一個不尋常之處在於，在165個漏洞當中，有兩個被列為零時差漏洞，分別是已遭利用的SharePoint伺服器欺騙弱點<strong><a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-32201">CVE-2026-32201</a></strong>，以及已被公開的Microsoft Defender權限提升漏洞<strong><a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-33825">CVE-2026-33825</a></strong>。</p> <p>針對CVE-2026-32201，微軟僅提及攻擊者一旦成功利用漏洞，就能檢視部分敏感資訊，並對揭露資訊進行變更，導致機密性與完整性受到影響，CVSS風險評分為6.5，該公司將其危險程度評為重要（Important）等級，不過，他們強調，由於利用漏洞無法限制對於特定資源的存取，可用性不受影響。<strong><a href="https://www.rapid7.com/blog/post/em-patch-tuesday-april-2026/">長期分析微軟例行更新的資安公司Rapid7認為</a></strong>，駭客有可能將CVE-2026-32201與其他漏洞串連，形成攻擊鏈加以利用。</p> <p>另一個零時差漏洞CVE-2026-33825，攻擊者若是成功利用，就能得到SYSTEM權限，CVSS風險評為7.8分，危險程度同為重要等級。不過，微軟強調若是用戶停用Microsoft Defender，攻擊者將無法利用這個漏洞。上述的說明，讓人不禁聯想到之前被公布的零時差漏洞<strong><a href="https://www.ithome.com.tw/news/174902">BlueHammer</a></strong>，原因是後來有資安公司指出<strong><a href="https://www.ithome.com.tw/news/174989">該漏洞與Microsoft Defender的更新流程有關</a></strong>。儘管微軟指出此漏洞由兩位研究人員通報，分別是Zen Dodd與Yuanpei XU（HUST），但<strong><a href="https://www.zerodayinitiative.com/blog/2026/4/14/the-april-2026-security-update-review">不過漏洞懸賞專案Zero Day Initiative（ZDI）指出</a></strong>，CVE-2026-33825顯然就是BlueHammer。</p> </div></div></div>
4/15 10:04作者周峻佑https://www.ithome.com.tw/news/175055