【資安週報】0511~0515，Linux零時差漏洞攻擊不斷，再爆Dirty Frag漏洞鏈遭鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週資安焦點首推Linux系統面臨的零時差漏洞攻擊威脅。繼先前的Copy Fail漏洞後，近期再度爆發鎖定Dirty Frag漏洞鏈的攻擊行動，甚至還有第三個同樣屬於本機提權漏洞的Fragnesia遭揭露。由於此類威脅波及多個主流Linux發行版，影響範圍之廣，企業維運團隊絕不容輕忽。</p> <p>在資安防禦焦點方面，上週舉行的臺灣資安大會中，多位政府與企業資安專家分享了第一手的治理藍圖與實務經驗。例如，金管會預告即將發布金融業PQC遷移指引，醫療產業對OT資安盤點的分級防護經驗，以及生成式AI時代下的治理挑戰與藍隊防禦實戰成果。這些來自第一線的實戰洞察，為企業在面對技術轉型與威脅加劇的雙重考驗下，提供了關鍵的應對指引。</p> <p> </p> <h1 style="margin: 0px;"><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color:#696969;"><strong>這一星期政策焦點聚焦於金融與醫療產業的資安韌性升級。金管會預告將發布金融業PQC遷移指引，積極應對後量子時代的加密挑戰；醫療端則建議醫學中心的資安預算應占總經費15％至10％，地區醫院至少也要有3%至5%。此外，英國NCSC提醒企業導入AI找漏洞前須先完善漏洞管理，以及AI SBOM最低要素指引的發布，亦提醒企業，須認知漏洞管理與SBOM已是AI治理的基本配置。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175737"><strong>金管會揭金融資安韌性藍圖最新進展，即將發布金融業</strong><strong>PQC</strong><strong>遷移指引</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_164814.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_164814.jpg" style="width: 380px; float: right;" /></a></p> <p>金融資安當前最迫切的挑戰為何？答案是：AI漏洞風暴與後量子密碼遷移。金管會資訊服務處處長林裕泰指出，面對AI加速漏洞攻擊的嚴峻態勢，建議應從三大面向著手：首先是部署AI防禦代理，其次是透過網路分段與零信任架構以「彈性阻斷」，最後則是建立漏洞維運（VulnOps）機制；面對後量子密碼的遷移，去年7月金管會已啟動先導計畫，預計這個月就會發布「金融業後量子密碼遷移參考指引」。此外，金管會亦正積極籌畫多項精進作為，包含建構具備四大治理主軸的金融韌性成熟度分級評估指標，並計畫訂定供應商分級與委外資安責任的參考範本。</p> <p><a href="https://www.ithome.com.tw/news/175707"><strong>金融資安治理、防護與韌性演練都必須持續升級</strong></a></p> <p>強化資安韌性持續成金融業關注焦點，金管會副主委莊琇媛強調AI對資安的影響越發顯現，他提醒國內金融業者，資安治理必須持續升級，防護能力也必須升級，韌性更一定要能演練和驗證，才能讓我們在面對攻擊發生時，能快速因應、盡速恢復。還有供應鏈資安管理這樣的重要課題，需將資安防護的責任，從單一金融機構擴展到整個生態系。</p> <p><a href="https://www.ithome.com.tw/news/175668"><strong>衛福部期中將著重</strong><strong>AI</strong><strong>與資安治理，醫院資安預算至少應編</strong><strong>3%</strong></a></p> <p>醫療產業近年約有95%的資安事件源於人為因素，中山醫學大學附設醫院醫療資訊中心副主任黃冠凱揭露問題之餘，同時強調臺灣多數醫院的資安成熟度，仍停留在第二至三級，亟需向第四級邁進——透過整合威脅情資、自動化回應與AI異常偵測，在攻擊擴散前主動阻斷風險。他並建議，醫院整體資安經費應占總預算3%至15%：地區醫院建議投入3%至5%、區域醫院5%至10%、醫學中心則應達10%至15%。</p> <p><a href="https://www.ithome.com.tw/news/175813"><strong>驅動供應鏈韌性，漢翔憑</strong><strong>CMMC</strong><strong>實戰經驗打造供應鏈資安評級系統</strong></a></p> <p>面對全球資安合規浪潮，漢翔航空工業作為全臺首家獲得美國國防部CMMC Level 2認證的國防大廠，該公司資訊處處長方一定於臺灣資安大會解析供應鏈管理之道，並公布漢翔依據CMMC實戰經驗開發的「供應鏈資訊安全評級系統（AIxSISAS）」。更引發矚目的是，漢翔不僅將此平臺落實於自身供應鏈治理，還期盼能與更多關鍵產業指標企業合作，共築供應鏈資安生態圈</p> <p><a href="https://www.ithome.com.tw/news/175732"><strong>英國</strong><strong>NCSC</strong><strong>提醒企業使用</strong><strong>AI</strong><strong>尋找漏洞前，先完善漏洞管理機制</strong></a></p> <p>英國國家網路安全中心（NCSC）指出，企業使用AI尋找漏洞前，應先完善漏洞管理機制。使用AI模型尋找漏洞，目的應是強化系統安全；企業組織在導入前，應先確認自身是否具備漏洞管理、資產盤點等能力，否則當漏洞回報量增加，反而可能加重資安團隊負擔。</p> <p><a href="https://www.ithome.com.tw/news/175762"><strong>DMTF</strong><strong>的</strong><strong>SPDM</strong><strong>硬體安全驗證標準被納入</strong><strong>FIPS 140-3</strong><strong>規範</strong></a></p> <p>國際非營利標準組織DMTF宣布，SPDM（Security Protocol and Data Model）標準已正式納入FIPS 140-3實作指引參考規範，這代表原本由產業推動的硬體安全驗證機制，開始進入美國聯邦加密驗證體系。SPDM近年已廣泛應用於PCIe裝置、伺服器BMC與SSD等硬體，用於裝置身分驗證、韌體完整性檢測。</p> <p><a href="https://www.ithome.com.tw/news/175770"><strong>CISA</strong><strong>與</strong><strong>G7</strong><strong>共同發布</strong><strong>AI</strong><strong>軟體物料清單入門指引，推動跨國</strong><strong>AI</strong><strong>供應鏈透明化</strong></a></p> <p>CISA與G7集團成員共同發布《AI軟體物料清單最低要素》指引，建立AI系統資訊揭露框架。AI SBOM除列出軟體元件，也涵蓋AI模型、資料集、推論框架與基礎設施等內容，協助企業掌握AI供應鏈依賴關係、漏洞風險與模型來源可信度，將成為AI治理與供應鏈透明化的重要一步。</p> <p><a href="https://www.ithome.com.tw/news/175597"><strong>逾</strong><strong>8</strong><strong>成金融業者已導入</strong><strong>AI</strong><strong>，監管機關最擔心資料隱私與</strong><strong>AI</strong><strong>幻覺風險</strong></a></p> <p>劍橋大學研究指出，81%金融服務業者已導入AI，生成式AI與代理式AI快速普及，但資料隱私、AI幻覺、輸出不可靠與模型可解釋性不足，也成為金融監管機關最關注的風險。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>AI資安</strong></span></h1> <p><span style="color:#696969;"><strong>AI領域正上演攻防兩端的自動化軍備競賽。一方面，OpenAI發表 Daybreak資安防禦方案，微軟公開MDASH多模型代理式AI安全系統，多家業者亦相繼展示利用AI找出大量系統漏洞的實戰成果，涵蓋Curl、開源電子病歷系統OpenEMR等；另一方面，Google首度揭露駭客濫用AI挖掘零時差漏洞並企圖發動大規模攻擊，加上LiteLLM漏洞遭利用、Mistral AI供應鏈攻擊等事件接連爆發，顯示AI生態系已成為駭客的新獵場。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175703"><strong>AI時代資安新風險，東元電機：未來駭客攻擊的不只是系統，而是企業決策</strong></a></p> <p>從資安治理到AI治理，東元電機數位發展處處長胡修武強調，專案只是培養企業能力的一種手段，應以能力成熟度為目標，如今生成式AI快速進入企業營運流程，需重視治理焦點的轉移，並指出資料流動掌控力的重要性，同時強調未來AI時代真正危險的地方是，當AI逐漸成為企業內部的「數位員工」，未來駭客攻擊的目標，也將不再只是系統本身，而是企業的決策能力</p> <p><a href="https://www.ithome.com.tw/news/175726"><strong>用</strong><strong>AI</strong><strong>對抗</strong><strong>AI</strong><strong>，緯創資通藍隊將資安事件回應速度從「小時」縮短至「分鐘」</strong></a></p> <p>面對AI時代日益嚴峻的網路攻擊，緯創資通從2024年即開始嘗試以AI強化藍隊防禦戰力。該公司在2026臺灣資安大會揭露實戰成果，指出過去SOC團隊每月面對將近1,000筆告警，但其中約65％是誤報，容易導致真正的威脅可能延遲處理。在發展初期，他們藉助AI判斷病毒感染與網頁攻擊事件，成效顯著，後續更延伸至複雜的異常登入場景，經長時間調校，正確率終於穩定達平均97.5%，整體處理時間也從4小時壓縮至10分鐘</p> <p><a href="https://www.ithome.com.tw/news/175767"><strong>AI</strong><strong>代理與開源模型正重塑資安風險，企業需建立制度化、自動化的漏洞治理與</strong><strong>AI</strong><strong>責任機制</strong></a></p> <p>面對AI新時代，企業不應僅停留在只是導入AI。元智大學資管系助理教授王仁甫指出，AI不只是工具，本身也是一套系統，而所有系統都存在漏洞。當AI開始具備自主操作、存取資料與呼叫API能力後，資安風險也將進一步擴大至AI代理、開源模型與供應鏈層級。因此，他建議，企業AI治理應聚焦四大核心：資料品質與完整性、透明性與可稽核性、偏誤與公平性管控，以及明確的責任歸屬，從而建立完整的AI治理與資安管理機制。</p> <p><a href="http://www.ithome.com.tw/news/175679"><strong>美國警告LiteLLM</strong></a><strong><a href="http://www.ithome.com.tw/news/175679">重大SQL注入漏洞已被用於實際攻擊</a>【</strong>CVE-2026-42208<strong>】</strong></p> <p>LiteLLM開發團隊4月24日揭露SQL注入漏洞CVE-2026-42208，在公告發布的36小時後，資安公司Sysdig發現有人將其用於實際攻擊，事隔兩週後，美國網路安全暨基礎設施安全局（CISA）將CVE-2026-42208列入已遭利用的漏洞名冊（KEV），要求聯邦機構必須在5月11日前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/175764"><strong>Ollama</strong><strong>重大漏洞影響自架</strong><strong>LLM</strong><strong>部署</strong></a></p> <p>大型語言模型工具Ollama存在CVE-2026-7482重大漏洞，通報此漏洞的資安業者Cyera在5月5日公布漏洞細節，並將之命名為「Bleeding Llama」。值得關注的是，該漏洞於2月2日通報，2月24日Ollama就已發布0.17.1版本完成修補，不過當時新版釋出並未標註修補重大漏洞，且因CVE編號申請延宕，直到近3個月後才浮出檯面。這種情形，恐那些習慣先評估、後更新的企業未能及時警覺。</p> <p><a href="https://www.ithome.com.tw/news/175802"><strong>Mistral AI</strong><strong>的</strong><strong>PyPI</strong><strong>套件遭遇供應鏈攻擊</strong></a></p> <p>AI公司Mistral AI的PyPI套件2.4.6版遭到入侵，5月12日微軟威脅情報團隊提出警告，這波攻擊行動針對Linux開發環境，最終的有效酬載是竊資軟體，但值得留意的是，此惡意軟體在特定國家會出現不同的行為，例如，受害主機在俄語國家，酬載將停止運作；受害主機若位於以色列或伊朗，酬載將有六分之一的機率執行rm -rf /進行破壞。</p> <p><a href="https://www.ithome.com.tw/news/175713"><strong>OpenAI</strong><strong>發表</strong><strong>Daybreak</strong><strong>資安防禦方案，整合</strong><strong>GPT-5.5-Cyber</strong><strong>與</strong><strong>Codex Security</strong></a></p> <p>資安人員迎來新AI戰力，OpenAI發表Daybreak資安防禦方案，其核心理念在於從軟體開發初始階段即介入防護。具體而言，此方案整合GPT-5.5-Cyber與Codex Security，可將安全程式碼審查、威脅建模、修補驗證、相依套件風險分析，以及偵測與修復建議，納入日常軟體開發流程。特別的是，此方案還設計了模型分級存取機制，可依照使用情境與風險程度開放不同能力</p> <p><a href="https://www.ithome.com.tw/news/175789"><strong>AI</strong><strong>自主網攻能力加速，資安任務長度每</strong><strong>4.7</strong><strong>個月翻倍</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_165441.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_165441.jpg" style="width: 380px; float: right;" /></a></p> <p>近年大家對於AI模型進步速度深有所感，最新研究更是顯示，自2024年底以來，先進AI模型可穩定完成的資安任務長度，約每4.7個月翻倍。英國AI安全研究所（AISI）指出，若從Claude Mythos Preview與GPT-5.5的最新測試表現來看，甚至已超出原本的成長趨勢</p> <p><a href="https://www.ithome.com.tw/news/175721"><strong>AI</strong><strong>資安模型</strong><strong>Mythos</strong><strong>首度實戰</strong><strong>curl</strong><strong>專案，發現</strong><strong>1</strong><strong>項漏洞與</strong><strong>20</strong><strong>項程式缺陷</strong></a></p> <p>AI資安模型Mythos首次應用於curl專案的程式碼分析，掃描約17.6萬行程式碼後回報5項漏洞，最終僅1項低嚴重性漏洞獲得確認，其餘為誤判或一般程式缺陷。curl維護者指出，由於他們先前已使用多種工具發現與修補curl中的問題，Mythos要再發現新問題也變得更困難，單純比較漏洞發現數量並不盡公平。</p> <p><a href="https://www.ithome.com.tw/news/175805"><strong>微軟公開自家</strong><strong>MDASH</strong><strong>多模型代理式</strong><strong>AI</strong><strong>安全系統，發現</strong><strong>Windows</strong><strong>軟體</strong><strong>16</strong><strong>個漏洞</strong></a></p> <p>不讓Anthropic Claude Mythos及OpenAI Daybreak專美於前，微軟本週也展現以AI找漏洞的研發成果，他們公開代號MDASH的多模型代理式AI安全系統，並說明將其用於自家產品的漏洞掃描，結果它在StorageDrive驅動程式找出21項微軟刻意植入的漏洞，經過進一步驗證也顯示零誤判，而本週Patch Tuesday修補的Windows網路堆疊及相鄰服務漏洞中，也有16個是來自MDASH的發現。</p> <p><a href="https://www.ithome.com.tw/news/175674"><strong>Firefox</strong><strong>大改版修復的漏洞不只</strong><strong>271</strong><strong>個！</strong><strong>Mozilla</strong><strong>基金會指出其實</strong><strong>多達</strong><strong>423</strong><strong>個</strong></a></p> <p>近期兩大先進AI模型被用於資安漏洞偵測與修補的話題引發熱議，先前Firefox推出150版更新時，提到Mozilla基金會將Claude Mythos Preview用於Firefox，並修復在初步評估發現的271個漏洞。而在5月7日發布的部落格文章，Mozilla基金會揭露強化Firefox資安的幕後花絮，坦言結合AI、模糊測試、人工處理的漏洞其實有423個。</p> <p><a href="https://www.ithome.com.tw/news/175702"><strong>AI</strong><strong>工具</strong><strong>3</strong><strong>個月找出</strong><strong>38</strong><strong>個</strong><strong>OpenEMR</strong><strong>漏洞，包括恐導致敏感資料外洩的滿分重大漏洞</strong></a></p> <p>資安公司Aisle利用AI分析工具，在3個月內找出開源電子病歷系統OpenEMR的38項漏洞，其中2項為CVSS風險評分達10.0的重大漏洞，可能導致敏感資料外洩與遠端程式碼執行。相關漏洞已由OpenEMR維護團隊完成修補，並於程式碼審查流程整合AI審查工具AISLE PRO，強化後續漏洞偵測與修補流程。</p> <p><a href="https://www.ithome.com.tw/news/175722"><strong>Google</strong><strong>揭露駭客濫用</strong><strong>AI</strong><strong>找出零時差漏洞，企圖發動大規模攻擊</strong></a></p> <p>Google威脅情報團隊（GTIG）近日指出，首度偵測到駭客組織企圖利用AI挖掘的零時差漏洞進行大規模攻擊，經與廠商協作及時攔阻，攻擊並未成功。Google指出，發現該攻擊的指令碼內含大量註解說明，並提供一般駭客通常不會標註、疑似捏造的CVSS風險評分，再者，這些程式碼採用結構化、教科書式的Python程式撰寫風格等，這些都是人類駭客在撰寫程式碼不會出現的內容。不過，Google目前尚未揭露受影響的軟體或系統名稱。</p> <p><a href="https://www.ithome.com.tw/news/175660"><strong>因應</strong><strong>AI</strong><strong>輔助開發風險，</strong><strong>GitHub MCP Server</strong><strong>加入提交前機密憑證與相依套件掃描</strong></a></p> <p>針對GitHub MCP Server，GitHub新增了機密憑證與相依套件掃描功能。使用者可為儲存庫啟用GitHub Secret Protection，以協助檢查程式碼變更中是否包含可能外洩的密碼、金鑰、權杖或其他憑證；也可啟用Dependabot警示，由GitHub根據專案的相依套件資訊與GitHub漏洞公告資料庫進行比對，並回報受影響套件、漏洞嚴重程度及建議修補版本。</p> <p><a href="https://www.ithome.com.tw/news/175792"><strong>Meta</strong><strong>推出</strong><strong>Incognito Chat</strong><strong>，主打</strong><strong>AI</strong><strong>對話完全私密</strong></a></p> <p>WhatsApp與Meta AI App將針對AI對話情境新增Incognito Chat隱私聊天模式，Meta指出，隨著使用者開始向AI諮詢健康狀況、貸款、財務及職涯等敏感問題，透過Private Processing技術，可確保對話僅在臨時且隔離的安全環境中進行。該模式預設不儲存紀錄，訊息處理完畢後會自動消失，Meta官方也無法查看內容。</p> <p><a href="https://www.ithome.com.tw/news/175692"><strong>逾</strong><strong>5</strong><strong>千個</strong><strong>Vibe Coding</strong><strong>應用程式可公開存取且毫不設防，可能導致企業資料外洩</strong></a></p> <p>以色列資安業者RedAccess揭露，他們發現逾5千個透過AI輔助Vibe Coding建立的應用程式暴露於網路上，且缺乏驗證與保護機制，可能外洩企業敏感資料。問題源自使用者缺乏安全意識，且將應用程式直接公開部署，部分甚至可被搜尋引擎索引，引發資安疑慮。</p> <p><a href="https://www.ithome.com.tw/news/175775"><strong>Veeam</strong><strong>推出</strong><strong>DataAI Command Platform</strong><strong>，整合</strong><strong>AI</strong><strong>代理治理與資料復原</strong></a></p> <p>因應生成式AI與AI代理應用擴張，備份與資料保護大廠Veeam將防線由資料安全延伸至AI資安，該公司發表DataAI Command Platform，將AI代理治理、DSPM（資料安全態勢管理）、身分管理，以及資料復原功能，整合為統一的AI信任層。強調該平臺可分析敏感資料、AI代理權限與存取風險，並提供精細資料復原能力，降低AI代理錯誤操作帶來的影響。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>資料安全</strong></span></h1> <p><span style="color:#696969;"><strong>這一星期國內焦點為鴻海北美廠遭Nitrogen勒索軟體竊取8TB檔案，引起各界高度關注；國安局示警高德地圖異常蒐集與回傳個資，則引發對跨境傳輸機制的情資重視。國際間則有SailPoint與Trellix接連傳出遇襲，再次突顯資安大廠在資料保護上也面臨嚴峻挑戰。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175745"><strong>勒索軟體組織</strong><strong>Nitrogen</strong><strong>疑似駭入鴻海，取得</strong><strong>8TB</strong><strong>、上千萬份檔案</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_165553.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_165553.jpg" style="width: 380px; float: right;" /></a></p> <p>根據資安媒體Cybernews報導，5月初鴻海美國廠區發生嚴重IT問題後，勒索軟體Nitrogen操作者本週在其暗網網站將鴻海列為受害者。駭客宣稱取得8TB、1100萬份生產及客戶檔案，包括英特爾、蘋果、Dell、Nvidia的機密指令、專案和設計草圖，以及其他眾多檔案。5月12日晚上，鴻海公司在公開資訊觀測站發布重訊，提供有關集團北美部分廠區遭網路攻擊說明，指出資安團隊已啟動應變機制，目前受影響廠區之生產營運均維持正常。</p> <p><a href="https://www.ithome.com.tw/news/175644"><strong>國安局指出高德地圖存在資安問題，使用者通話及個資會回傳中國</strong></a></p> <p>中國導航服務高德地圖竄紅，但其資料來源與個資蒐集方式引發疑慮，4月下旬數發部根據資通安全管理法要求政府機關禁止使用，近日國家安全局也對高德地圖進行檢測，結果發現多項資安問題，例如，不僅持續收集使用者的通訊錄、通話內容、即時視訊影音內容，並回傳到中國伺服器，更值得留意的是，即便使用者將應用程式關閉，高德地圖仍持續回傳用戶資料，因此存在較高的資安風險。</p> <p><a href="https://www.ithome.com.tw/news/175715"><strong>汽車大廠</strong><strong>Skoda</strong><strong>網路商店被駭，疑外洩客戶個資</strong></a></p> <p>捷克汽車大廠Skoda線上商店平臺近期發生遭駭事故，該公司發布公告警示客戶姓名、電子郵件信箱等個資可能遭存取。Skoda指出攻擊者曾取得對網路商店系統的未授權存取權限，並研判駭客是濫用其運行線上商店的標準商店軟體的漏洞，可能存取線上商店平臺處理的資料。</p> <p><a href="https://www.ithome.com.tw/news/175711"><strong>身分驗證管理供應商</strong><strong>SailPoint</strong><strong>的</strong><strong>GitHub</strong><strong>儲存庫遭駭</strong></a></p> <p>身分驗證管理供應商SailPoint向美國證券交易委員會（SEC）提交8-K表單，說明該公司4月20日偵測到部分GitHub儲存庫出現未經授權存取的情況，事件回應團隊隨即阻止未經授權的行為，找出被入侵的原因並予以處置。該公司透露，攻擊者是透過第三方應用程式的弱點而獲得存取管道，目前該漏洞已經修復。根據初步的調查結果，SailPoint未發現客戶資料於生產或臨時環境遭到存取的跡象，亦未出現服務中斷，該公司已通知資料存放在上述儲存庫的客戶。</p> <p><a href="https://www.ithome.com.tw/news/175680"><strong>勒索軟體</strong><strong>RansomHouse</strong><strong>聲稱竊得資安公司</strong><strong>Trellix</strong><strong>的原始碼</strong></a></p> <p>5月初資安公司Trellix傳出原始碼儲存庫遭未經授權存取，外界好奇到底是哪一個駭客組織所為？上週勒索軟體RansomHouse將Trellix列於資料外洩網站，並發布螢幕截圖宣稱他們成功存取該公司的裝置管理系統，該團體聲稱於4月17日成功入侵Trellix。Trellix表示，他們已掌握駭客的說法並著手調查。</p> <p><a href="https://www.ithome.com.tw/news/175683"><strong>Canvas</strong><strong>再被駭客入侵斷線，大學被迫延遲期末考</strong></a></p> <p>學習管理系統Canvas開發商Instructure上週遭勒索軟體組織 ShinyHunters二次入侵。這群駭客將Canvas入口網站置換成勒索訊息，聲稱未接獲Instructure聯繫，並且一再威脅，後續該網站入口更是直接斷線。由於此時正是大學院校舉行期末考期間，斷線也導致使用Canvas平臺的大學院校行程大亂。包含伊利諾大學、貝勒大學及亞利桑納大學等校，均被迫延後或取消期末考試與報告。加州大學系統則宣布全面清查並暫時封鎖所有分校的Canvas存取，以確保系統安全。</p> <p><a href="https://www.ithome.com.tw/news/175757"><strong>Best Western Hotel</strong><strong>遭駭訂房資料外洩長達</strong><strong>6</strong><strong>個月</strong></a></p> <p>總部位於亞利桑納州、旗下擁有逾4,200家旅館的貝斯特韋斯特（Best Western Hotel，BWH）集團，本週發送電子郵件通知資料外洩事件，說明今年4月22日偵測到特定訂房網頁應用出現異常存取，隨即將該系統下線並註銷駭客權限，同時協同外部資安專家展開調查與加固。經調查，去年10月至今年4月間部分客戶資料遭非法存取，受影響資訊涵蓋姓名、電子郵件、電話、住家地址及訂房細節。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color:#696969;"><strong>繼Linux核心Copy Fail漏洞後，近期再度爆發鎖定Dirty Frag漏洞鏈的零時差漏洞攻擊；在Windows方面，亦有研究人員揭露YellowKey零時差漏洞，涉及BitLocker繞過而引發重視。此外，多則消息顯示駭客濫用RMM與資安元件側載DLL建立持久滲透，突顯端點防禦對合法工具濫用的偵測挑戰。</strong></span></p> <p><strong><a href="http://www.ithome.com.tw/news/175646">Linux核心再現本機提權漏洞，發行版修補前攻擊程式已流出</a>【Dirty Frag】【</strong><strong>CVE-2026-43284</strong><strong>、</strong><strong>CVE-2026-43500</strong><strong>】</strong></p> <p><a href="/sites/default/files/images/2026-05-15_165719.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_165719.jpg" style="width: 380px; float: right;" /></a></p> <p>Linux核心漏洞消息連連，繼Copy Fail漏洞之後，資安研究人員Hyunwoo Kim公開名為Dirty Frag的漏洞鏈，值得關注意的是，此漏洞影響所有主流Linux環境且修補尚未釋出，CVE編號也尚未公開，但已有第三方公開部分漏洞細節與攻擊程式。後續最新消息是，該漏洞指向<strong><a href="https://www.ithome.com.tw/news/175672">CVE-2026-43284與CVE-2026-43500</a></strong>，多家IT與資安廠商也紛紛發布相關的觀察分析，並警示影響的產品涵蓋2017年至今的Linux系統核心，以及Ubuntu、RHEL、 CentOS Stream、AlmaLinux、Fedora、openSUSE等Linux發行版，容器平臺OpenShift也面臨這樣的風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/175850">Linux再爆本機提權漏洞，兩週內已經找到第三個</a></strong></p> <p>近兩個禮拜以來，陸續有研究人員揭露涵蓋多個Linux發行版的本機提權漏洞（LPE），最新揭露的漏洞稱為Fragnesia（CVE-2026-46300），CVSS嚴重度評分為7.8，存在Linux核心的XFRM ESP-in-TCP子系統。研究人員已透過V12團隊的GitHub頁面公布利用該漏洞的概念驗證程式（PoC）、緩解與修補方式。目前已有多個Linux發行版本發布相關公告，包含AlmaLinux、Amazon Linux、CloudLinux、Debian、Gentoo、Red Hat Enterprise Linux、SUSE、Ubuntu。</p> <p><a href="https://www.ithome.com.tw/news/175634"><strong>Ivanti</strong><strong>修補裝置管理平臺</strong><strong>EPMM</strong></a><strong><a href="https://www.ithome.com.tw/news/175634">已遭利用的高風險漏洞</a>【CVE-2026-6973】</strong></p> <p>資安公司Ivanti揭露端點管理平臺Endpoint Manager Mobile（EPMM）存在5個高風險漏洞，其中CVE-2026-6973已出現實際攻擊活動。這些漏洞影響12.8.0.0以下版本的EPMM，Ivanti發布12.8.0.1、12.7.0.1、12.6.1.1版修補。該公司呼籲IT人員，應檢查具備管理員權限的帳號，並在必要的情況下輪換憑證。</p> <p><a href="https://www.ithome.com.tw/news/175747"><strong>微軟發布5月份安全例行更新，修補</strong><strong>137</strong><strong>個資安漏洞</strong></a></p> <p>5月份例行更新微軟公開137個由該公司登記CVE編號的漏洞，當中有13個很有可能會成為駭客利用的目標，較為值得留意，權限提升類型的漏洞占大多數，下列四個被評為重大等級：CVE-2026-35435、CVE-2026-40361、CVE-2026-40364、CVE-2026-41103，根據CVSS風險評分來看，最嚴重的是CVE-2026-41103，出現在用於Jira與Confluence的微軟單一登入（SSO）外掛程式，風險值為9.1。</p> <p><a href="https://www.ithome.com.tw/news/175755"><strong>蘋果發布作業系統</strong><strong>26.5</strong><strong>版更新，並為更多行動裝置修補通知服務漏洞</strong></a></p> <p>蘋果針對iOS、iPadOS、macOS、tvOS、watchOS、visionOS發布26.5版更新，從弱點數量來看，macOS有79個最多，iOS與iPadOS有61個居次，其中最受到關注的地方，就是先前為iOS 18與iOS 26修補的通知服務漏洞CVE-2026-28950，這次他們發布iPadOS 17.7.11、iOS與iPadOS的16.7.16、iOS與iPadOS 15.8.8，為更多裝置修補這項弱點。</p> <p><a href="https://www.ithome.com.tw/news/175782"><strong>資安研究員揭露</strong><strong>Windows BitLocker</strong><strong>與</strong><strong>CTFMON</strong></a><strong><a href="https://www.ithome.com.tw/news/175782">的零時差漏洞</a>【YellowKey】【GreenPlasma】</strong></p> <p>研究人員再度公布新的零時差漏洞，一是磁碟加密機制BitLocker的漏洞YellowKey，另一是輸入法元件CTFMON的漏洞GreenPlasma，並釋出部分概念驗證程式碼（PoC）。這兩個漏洞皆影響Windows 11、Windows Server 2022與2025，但Windows 10似乎不受影響。其中值得留意的是YellowKey，Chaotic Eclipse形容它幾乎等同於後門，該漏洞出現在Windows復原環境（WinRE），攻擊者需要將特製的FxTx檔案存放於USB隨身碟或EFI磁碟分割區，就有機會在WinRE環境存取BitLocker保護的檔案。資安專家Kevin Beaumont確認該漏洞的存在，呼籲使用者為BitLocker設置PIN碼，或是採用BIOS密碼保護措施因應。</p> <p><a href="https://www.ithome.com.tw/news/175794"><strong>伊朗駭客</strong><strong>MuddyWater</strong><strong>攻擊韓國電子製造商，濫用</strong><strong>SentinelOne</strong><strong>元件側載</strong><strong>DLL</strong><strong>檔</strong></a></p> <p>賽門鐵克與Carbon Black威脅獵捕團隊揭露伊朗駭客組織MuddyWater最新一波網路間諜活動，範圍橫跨四大洲與9個國家，至少有9家企業組織受害，其中一家是韓國大型電子製造商。這些駭客大量使用DLL側載手法，濫用SentinelOne端點防護系統的二進位檔、富迪科技（Fortemedia）音訊驅動程式工具fmapp.exe，藉此植入竊資軟體ChromElevator，並竊取瀏覽器存放的密碼、cookie，以及付款資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/175648">駭客濫用遠端管理工具Tiflux於受害電腦建立存取管道</a></strong></p> <p>發現駭客使用巴西遠端監控及管理工具Tiflux的活動。威脅情報公司Huntress自今年2月起觀察到，攻擊者先透過網路釣魚活動與誘餌文件檔案建立初期存取管道，再將存取管道串連其他遠端管理工具，如UltraVNC、Splashtop、ScreenConnect。駭客選用Tiflux的關鍵在於該工具不僅鮮為人知，且安裝程式內含過時且具弱點的驅動程式HwRwDrv.sys，其簽章已過期。Huntress 警告，這種利用特定軟體缺陷進行濫用的手法，危險程度已大幅超越一般RMM工具入侵活動。</p> <p><a href="https://www.ithome.com.tw/news/175667"><strong>駭客結合釣魚攻擊與遠端管理工具，影響逾</strong><strong>80</strong><strong>個機構</strong></a></p> <p>資安業者Securonix揭露代號VENOMOUS#HELPER的攻擊行動，駭客透過假冒美國社會安全局的釣魚郵件，誘騙受害者在電腦上安裝SimpleHelp與ScreenConnect等合法RMM遠端管理工具，藉此建立持久遠端存取並規避傳統資安防護，並同時透過兩種RMM工具相互搭配，即使其中之一遭到阻擋，仍能維持遠端存取。駭客相關行為特徵疑似初始存取管道活動模式，與勒索軟體攻擊前兆。</p> <p><a href="https://www.ithome.com.tw/news/175801"><strong>微軟將透過</strong><strong>Windows Update</strong><strong>遠端復原問題驅動程式，減少手動排除故障負擔</strong></a></p> <p>針對透過Windows Update發布後被判定有品質問題的驅動程式，微軟將導入Cloud-Initiated Driver Recovery機制，遠端移除受影響裝置上的問題版本，回復到可正常運作的版本，降低仰賴硬體合作夥伴更新或使用者手動解除安裝的負擔。</p> <p><a href="https://www.ithome.com.tw/news/175719"><strong>iPhone</strong><strong>與</strong><strong>Android</strong><strong>互傳訊息更安全，</strong><strong>iOS 26.5</strong><strong>支援</strong><strong>RCS</strong><strong>端到端加密</strong></a></p> <p>過去Google Messages與iMessage雖各自支援端到端加密（E2EE），但跨平臺的RCS訊息卻始終缺乏保護，隨著Google與蘋果雙方合作將E2EE導入RCS標準，相關功能現已陸續正式上路。不過，目前該功能仍處於Beta階段，實際可用性取決於iPhone使用者是否升級至最新系統、電信商是否支援，以及Android端是否安裝最新版Google Messages。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>網路安全</strong></span></h1> <p><strong style="color: rgb(105, 105, 105);">邊界防護設備風險持續升溫，不僅有攻擊者鎖定Palo Alto防火牆發動零時差漏洞攻擊，還有俄羅斯組織利用SSH-over-Tor手法來規避監控的揭露。此外，德國.de網域因DNSSEC簽章錯誤導致大規模故障，突顯網路韌性風險；而Cloudflare與紅帽積極導入後量子加密（PQC），則顯示網路防禦正加速邁向抗量子時代。</strong></p> <p><a href="https://www.ithome.com.tw/news/175627"><strong>CISA</strong><strong>在</strong><strong>Palo Alto Networks</strong><strong>防火牆重大漏洞揭露當下，即同步納入</strong><strong>KEV</strong></a><strong>【CVE-2026-0300】</strong></p> <p>CISA將Palo Alto Networks防火牆重大漏洞CVE-2026-0300列入KEV清單，顯示該漏洞已遭實際利用。該漏洞影響實體與VM版防火牆的PAN-OS作業系統，可能導致遠端程式碼執行，目前尚未釋出修補程式，用戶需立即採取緩解措施以降低風險。</p> <p><a href="https://www.ithome.com.tw/news/175749"><strong>Fortinet</strong><strong>修補</strong><strong>FortiSandbox</strong><strong>、</strong><strong>FortiAuthenticator</strong><strong>重大</strong><strong>RCE</strong><strong>漏洞</strong></a></p> <p>本週Fortinet發布軟體更新，修補旗下產品FortiSandbox和FortiAuthenticator的RCE漏洞。其中，FortiSandbox最新漏洞是CVE-2026-26083，影響FortiSandbox、FortiSandbox Cloud及FortiSandbox PaaS，FortiAuthenticator則為API端點存取控制不當漏洞CVE-2026-44277，受影響產品為FortiAuthenticator 6.5、6.6、8.0.0/8.0.2，不影響FortiAuthenticator Cloud。</p> <p><a href="https://www.ithome.com.tw/news/175706"><strong>國家級駭客組織</strong><strong>Sandworm</strong><strong>利用</strong><strong>SSH-over-Tor</strong><strong>建立隱蔽通道以長期滲透</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_170343.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_170343.jpg" style="width: 380px; float: right;" /></a></p> <p>當心駭客利用SSH-over-Tor技術建立隱匿遠端通道！資安研究機構警示，俄羅斯駭客組織Sandworm（APT-C-13）在最新攻擊中，利用SSH-over-Tor技術建立隱匿遠端通道，以強化長期滲透能力。攻擊流程從魚叉式網路釣魚展開，透過偽裝PDF的LNK檔與PowerShell指令部署惡意程式，並結合Tor隱藏網路服務與obfs4混淆技術，規避傳統資安監測與追蹤機制。</p> <p><a href="https://www.ithome.com.tw/news/175822"><strong>DNSSEC</strong><strong>簽章錯誤導致德國</strong><strong>.de</strong><strong>網域大規模故障，數百萬網站斷線數小時</strong></a></p> <p>5月5日晚間至5月6日凌晨，德國.de網域曾因DNSSEC簽章錯誤發生大規模故障，導致數百萬網站短暫無法解析。事件源自DENIC在密鑰輪替過程中產生錯誤RRSIG簽章，使驗證型DNS解析器回傳錯誤並拒絕服務。Cloudflare緊急啟用負向信任錨（NTA）暫時略過驗證，協助恢復連線。整起事故約持續數小時，凸顯DNSSEC配置與金鑰管理風險。</p> <p><a href="https://www.ithome.com.tw/news/175688"><strong>2026</strong><strong>年第一季全球網際網路中斷事件偏多，政府斷網、停電與軍事衝突成主因</strong></a></p> <p>網路與資安服務業者Cloudflare發布2026年第一季全球網際網路中斷事件觀察，烏干達、伊朗與剛果共和國都在選舉或衝突背景下發生大規模斷網，古巴則在3月發生3次國家電力系統崩潰，軍事衝突則進一步波及雲端基礎設施。Cloudflare指出，3月初，AWS位於阿拉伯聯合大公國與巴林的資料中心，因無人機攻擊受損。其他中斷原因還包括惡劣天候、海底纜線受損與技術問題。</p> <p><a href="https://www.ithome.com.tw/news/175652"><strong>AWS</strong><strong>美東資料中心傳出供電與冷卻異常，</strong><strong>EC2</strong><strong>與</strong><strong>EBS</strong><strong>服務受影響</strong></a></p> <p>AWS US-EAST-1美東服務區域單一可用區發生供電與冷卻系統異常，導致EC2與EBS服務出現功能降級（impairment）。AWS指出已暫停部分流量並導向其他可用區，並透過額外冷卻資源逐步恢復受影響機架，目前已出現初步復原跡象，但完整恢復時間仍未確定。</p> <p><a href="https://www.ithome.com.tw/news/175690"><strong>Cloudflare</strong><strong>廣域網路即服務開始支援</strong><strong>PQC</strong><strong>，強化企業</strong><strong>WAN</strong><strong>量子威脅防護</strong></a></p> <p>網路服務與資安業者Cloudflare宣布，Cloudflare IPsec後量子加密功能正式上線，採用混合的模組格基式金鑰封裝機制（ML-KEM），結合傳統Diffie-Hellman金鑰交換與後量子演算法，降低未來量子電腦破解現行公開金鑰密碼學的風險。</p> <p><a href="https://www.ithome.com.tw/news/175684"><strong>紅帽新版</strong><strong>RHEL</strong><strong>強化後量子安全準備，導入抗量子簽章與</strong><strong>AI</strong><strong>輔助升級</strong></a></p> <p>Red Hat宣布Red Hat Enterprise Linux（RHEL）10.2與9.8版即將正式推出，將後量子密碼學（Post-Quantum Cryptography，PQC）納入系統基礎，並搭配機密運算與AI輔助自動化處理與系統升級，協助企業在混合雲環境兼顧安全性與維運一致性。</p> <p><a href="https://www.ithome.com.tw/review/175733"><strong>VCF 9.1</strong><strong>增強橫向存取安全，擴充</strong><strong>EDR</strong><strong>整合勒索軟體隔離復原</strong></a></p> <p>支援AI與Kubernetes環境建置的私有雲基礎架構平臺VMware Cloud Foundation（VCF）邁入9.1版，安全面向先從企業最在意、也最難守的內部網路風險下手：新版強化內網橫向存取的防護能力，協助降低入侵後在內網擴散的可乘之隙，博通並強調相關機制不會犧牲網路傳輸頻寬。在勒索軟體威脅方面，VCF延續以隔離資料防護為主的思路：先前已可整合Carbon Black，9.1版再擴充支援CrowdStrike Falcon等端點安全方案。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>應用程式安全</strong></span></h1> <p><span style="color:#696969;"><strong>軟體供應鏈攻擊持續成為資安威脅焦點，本週不僅Checkmarx再傳出Jenkins AST外掛遭竄改，更出現首個具備SLSA 3級見證的惡意NPM套件，以及駭客在Hugging Face冒充OpenAI散布竊資軟體。這些事件顯示，從開發工具到AI模型庫都已成為深層滲透的跳板。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175714"><strong>資安公司</strong><strong>Checkmarx</strong><strong>再傳遭供應鏈攻擊，</strong><strong>Jenkins AST</strong><strong>外掛被竄改</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_170447.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_170447.jpg" style="width: 380px; float: right;" /></a></p> <p>5月9日Checkmarx發布資安公告，因為他們察覺發布於Jenkins延伸套件市集的Jenkins AST外掛程式，出現遭到竄改的跡象，攻擊者發布帶有惡意程式的新版本，呼籲用戶要儘速檢查，確定使用的版本是2025年12月17日發布的2.0.13-829.vc72453fa_1c16，或之前的版本，而非有資安風險的2026.5.09版，才能避免CI/CD環境被滲透。</p> <p><a href="https://www.ithome.com.tw/news/175689"><strong>Hugging Face</strong><strong>出現冒充</strong><strong>OpenAI</strong><strong>的惡意儲存庫，鎖定</strong><strong>Windows</strong><strong>用戶散布竊資軟體</strong></a></p> <p>在Hugging Face發布的Open-OSS/privacy-filter存在惡意程式碼，AI資安公司HiddenLayer指出，他們近日發現該儲存庫複製了OpenAI近日開源的去識別化資料模型Privacy Filter，內容幾乎與正牌的Privacy Filter一模一樣，然而，若依照其指示操作，使用者的電腦就有可能被植入竊資軟體。值得留意的是，該儲存庫在Hugging Face下架前，已被下載超過20萬次，甚至登上熱門排行榜，因此影響範圍恐怕會非常廣泛，研究人員提醒，在完全清除前切勿登入電腦。使用者應將主機隔離，然後將所有存放於瀏覽器、密碼管理工具，以及受害電腦的憑證進行輪換。</p> <p><a href="https://www.ithome.com.tw/news/175724"><strong>網頁應用程式框架</strong><strong>TanStack</strong><strong>的</strong><strong>NPM</strong><strong>套件遭</strong><strong>Mini Shai-Hulud</strong><strong>供應鏈攻擊</strong></a></p> <p>最新一波蠕蟲程式Mini Shai-Hulud攻擊被揭露，TeamPCP針對網頁應用程式框架TanStack的GitHub Actions發布流程，利用挾持的OIDC權杖（token），發布TanStack Router的惡意NPM套件。與先前攻擊的差異在於，這次被滲透的套件，竟然具有軟體供應鏈安全框架SLSA第3級來源見證，使得Mini Shai-Hulud成為第一個可產生有效見證的惡意軟體套件、又有文件記載的NPM蠕蟲。值得留意的是，Mini Shai-Hulud已從TanStack擴散，影響UiPath、DraftLab及其他維護者的套件。</p> <p><a href="https://www.ithome.com.tw/news/175687"><strong>檔案下載工具</strong><strong>JDownloader</strong><strong>網站遭駭，駭客竄改安裝檔下載連結</strong></a></p> <p>提供檔案下載工具軟體JDownloader的官方網站遭駭，最早發現此事的是ID為PrinceOfNightSky的使用者，後續開發這款軟體的廠商AppWork在JDownloader網站發布公告，表明這起事故最早可追溯到世界協調時間（UTC）5月5日半夜，約於23時55分攻擊者首度嘗試竄改檔案下載連結，後續在6日凌晨又有其他連結被竄改。假若使用者在5月6日至7日從Download Alternative Installer下載Windows版安裝檔，或是使用Linux版Shell安裝程式，就有可能從外部網站取得惡意檔案。</p> <p><a href="https://www.ithome.com.tw/news/175638"><strong>Mozilla</strong><strong>發布</strong><strong>Firefox 150.0.2</strong><strong>，修補</strong><strong>3</strong><strong>項高風險漏洞</strong></a></p> <p>Mozilla基金會發布Firefox 150.0.2，共修補3項高風險資安漏洞，分別是CVE-2026-8090、CVE-2026-8092、CVE-2026-8093，皆與記憶體有關，值得留意的是，漏洞管理廠商Tenable認為CVE-2026-8092屬重大層級風險，將此漏洞的嚴重性評為9.8分。</p> <p><a href="https://www.ithome.com.tw/news/175717"><strong>Google</strong><strong>發布</strong><strong>ChromeOS</strong><strong>長期支援版更新，修補多項高風險記憶體漏洞</strong></a></p> <p>Google發布ChromeOS長期支援版（LTS-144）更新，版本升級至144.0.7559.250，修補11項安全漏洞，其中多數為高風險記憶體安全問題。漏洞涵蓋Blink、Media、Network、WebCodecs與WebUSB等元件，包含Compositor元件的重大漏洞（CVSS 9.6分），建議用戶儘速更新，以降低攻擊風險。</p> <p><a href="https://www.ithome.com.tw/news/175748"><strong>Adobe</strong><strong>針對</strong><strong>10</strong><strong>款應用系統發布</strong><strong>5</strong><strong>月更新，呼籲用戶應優先對電商平臺進行處理</strong></a></p> <p>Adobe本月例行更新修補10款應用程式及系統的資安漏洞，涵蓋Premiere Pro、After Effects、Illustrator，以及Adobe Commerce等常見應用程式，弱點數量總共有52個，與上個月55個相當接近。Adobe Commerce是這波漏洞修補數量最多的產品，一共修補15個漏洞，其中有10個被評為重大等級，這些漏洞又以阻斷服務（DoS）類型的最多，從CVSS風險評分來看，最嚴重的漏洞出現在Adobe Connect，這次共修補兩個重大漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175744"><strong>SAP</strong><strong>修補</strong><strong>S/4HANA</strong><strong>與</strong><strong>Commerce Cloud</strong><strong>重大漏洞</strong></a></p> <p>SAP的5月例行更新修補15個資安漏洞，其中有兩項被評為重大等級這些漏洞，其中CVE-2026-34260漏洞存在於SAP S/4HANA，攻擊者可藉此存取資料庫敏感資訊或導致S/4HANA當機；另一是CVE-2026-34263漏洞，影響SAP Commerce Cloud，未經身分驗證的攻擊者能上傳惡意組態及注入程式碼，導致任意程式碼執行。兩者的CVSS風險評分皆為9.6，特別值得留意。</p> <p><a href="https://www.ithome.com.tw/news/175712"><strong>cPanel</strong><strong>身分驗證漏洞被用於散布</strong><strong>RAT</strong><strong>木馬</strong><strong>Filemanager</strong></a></p> <p>上星期駭客鎖定cPanel零時差漏洞（CVE-2026-41940）攻擊的消息不斷，5月初再添一樁！中國資安公司奇安信發現有人利用CVE-2026-41940散布的新惡意程式，此酬載以Go語言撰寫，嵌入疑為AI生成的大量土耳其語事件記錄與訊息，主要功能是將SSH公鑰、惡意PHP與JavaScript程式碼植入cPanel系統，竊取登入憑證，並回傳攻擊者控制的Telegram頻道，最終部署RAT遠端存取木馬Filemanager。</p> <p><a href="https://www.ithome.com.tw/news/175673"><strong>cPanel</strong><strong>新揭露與修補</strong><strong>3</strong><strong>個漏洞</strong></a></p> <p>近期網站主機代管業者常用管理軟體cPanel與Web Host Manager（WHM）重大漏洞CVE-2026-41940，引發一連串資安風波，5月8日這系列產品再度發布漏洞公告，揭露與修補3個新漏洞：CVE-2026-29201、CVE-2026-29202、CVE-2026-29203。當中最需要注意的是CVE-2026-29202與CVE-2026-29203，CVSSv3嚴重度皆為8.8分，都屬於高風險漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175781"><strong>郵件傳輸代理伺服器</strong><strong>Exim</strong><strong>存在重大漏洞，影響採用程式庫</strong><strong>GnuTLS</strong><strong>進行通訊的環境</strong></a></p> <p>5月12日Exim開發團隊發布4.99.3版Exim，修補遠端的記憶體釋放後再存取使用（Use After Free）的漏洞CVE-2026-45185，此漏洞CVSS風險為9.8分，存在於Exim的GnuTLS後端，攻擊者可遠端觸發，並造成記憶體資料損毀。Exim開發團隊強調，呼籲IT人員儘速升級。</p> <p><a href="https://www.ithome.com.tw/news/175761"><strong>Claude</strong><strong>瀏覽器延伸套件存在設計缺陷，攻擊者恐透過惡意套件挾持</strong><strong>AI</strong></a></p> <p>Claude的Chrome延伸套件功能（Claude in Chrome）被資安廠商LayerX發現資安弱點，透過該漏洞，其他延伸套件在無須取得特殊權限的情況下，可注入惡意指令並挾持Claude in Chrome的功能，擷取攻擊者想要的任何資料，並讓Claude的代理程式執行攻擊者指定的操作或任意指令。另要注意的是，LayerX發現Anthropic修補不完整，呼籲用戶應採取行動降低風險，像是引入extension-to-page的身分驗證權杖（token）、限縮受信任的延伸套件名單內容等。</p> <p><a href="https://www.ithome.com.tw/news/175666"><strong>惡意</strong><strong>NuGet</strong><strong>套件冒充中國</strong><strong>.NET</strong><strong>程式庫，企業鎖定開發人員的瀏覽器、加密貨幣錢包發動攻擊</strong></a></p> <p>名為bmrxntfj的開發者上架5個惡意套件，資安公司Socket指出，這些套件冒充中國廣泛使用的.NET程式庫，內含經.NET Reactor保護的竊資軟體，能針對12種瀏覽器、8種加密貨幣錢包的應用程式，以及5種加密貨幣錢包的瀏覽器延伸套件功能，從中竊取機密，然後傳送到特定的C2網域。值得留意的是，這些套件總共被下載超過6.5萬次，影響範圍相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/175669"><strong>惡意程式</strong><strong>ZiChatBot</strong><strong>透過</strong><strong>PyPI</strong><strong>套件散布，針對</strong><strong>Windows</strong><strong>與</strong><strong>Linux</strong><strong>用戶而來</strong></a></p> <p>駭客組織OceanLotus（APT32）自2025年7月上傳一系列的惡意套件至PyPI儲存庫，根據資安公司卡巴斯基的分析，這些套件確實具備駭客宣稱的功能，實際上卻會根據受害電腦的作業系統，執行Windows版或Linux版的惡意程式載入工具（Dropper），最終植入惡意軟體ZiChatBot，該公司向PyPI維護團隊通報後，上述套件已被下架。</p> <p><a href="https://www.ithome.com.tw/news/175662"><strong>WordPress</strong><strong>轉址外掛功能發現潛藏多年後門程式，逾</strong><strong>7</strong><strong>萬網站恐暴險</strong></a></p> <p>下載用戶數量相當大的WordPress轉址外掛程式Quick Page/Post Redirect，被發現潛藏長達5年的後門程式，影響逾7萬個網站，遭竄改版本可透過隱藏更新機制，繞過WordPress.org正常審查流程，自外部來源下載惡意程式碼，進而導致內容注入與惡意程式散播等問題。WordPress.org已緊急將外掛下架，建議用戶立即停用並移除。</p> <p><a href="https://www.ithome.com.tw/news/175686"><strong>非關聯式資料庫</strong><strong>Redis</strong><strong>揭露</strong><strong>5</strong><strong>個漏洞，未修補可能導致遠端執行程式碼攻擊</strong></a></p> <p>Redis資料庫近日修補5項安全漏洞，其中4項為高風險，最嚴重可能導致遠端程式碼執行。漏洞主要涉及RESTORE指令及blocked client處理流程，以及RedisTimeSeries與RedisBloom模組。Redis OSS/CE、Redis Software與Redis Cloud等3種部署版本皆受影響，目前已釋出修補版本，建議用戶盡速升級以降低風險。</p> <p><a href="https://www.ithome.com.tw/news/175795"><strong>微軟修補</strong><strong>Android</strong><strong>版</strong><strong>Teams</strong><strong>漏洞，未更新可能導致偽造攻擊</strong></a></p> <p>微軟近日揭露協作平臺Teams的漏洞CVE-2026-32185，可能被攻擊者用於假冒通訊內容，誘騙用戶並進一步發動社交工程攻擊，此漏洞會影響Android版Teams，微軟已在5月份例行更新（Patch Tuesday）中釋出修補，建議用戶儘速更新。</p> <p><a href="https://www.ithome.com.tw/news/175588"><strong>Telegram Mini Apps</strong><strong>遭濫用於假冒服務詐騙</strong></a></p> <p>攻擊者頻繁濫用Telegram內的輕量化網頁應用（Telegram Mini Apps）與機器人（Telegram Bot）建立釣魚網站與惡意網站，近期資安業者CTM360再揭露一起案例，並將之命名為FEMITBOT的詐騙基礎架構，駭客主要利用Telegram內建網頁瀏覽不必跳轉程式的特性，讓受害者進入假冒頁面，該架構包含逾140個機器人與60個活躍網域，且能隨意更換品牌模板進行大規模詐騙。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>身分安全</strong></span></h1> <p><span style="color:#696969;"><strong>近期兩則身分安全報告值得優先關注：其一指出近三年流入暗網的2.31億個密碼中，有6成能在RTX 5090算力下於一小時內破解MD5雜湊，突顯密碼長度的重要性；另一份2026身分安全現況調查報告則顯示，有6成6的勒索軟體受害者指出事故源頭即為針對身分的攻擊，再次印證身分防護已成為防範勒索威脅的重中之重。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175663"><strong>約六成的密碼</strong><strong>MD5</strong><strong>雜湊值可在一小時內破解</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_170535.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_170535.jpg" style="width: 380px; float: right;" /></a></p> <p>要確保密碼的強度，其中一個關鍵是密碼組成的長度。近日卡巴斯基分析2023年至2026年流入暗網的2.31億個密碼，發現其中六成只需1小時與幾美元的費用就能破解，值得注意的是，有近半數（48%）只要1分鐘就能破解。該公司說明，一般應用系統不會以明文存放密碼，而是經過特定演算法處理，並以雜湊值存放，一旦駭客取得這些雜湊值，而且能解密，就能還原成使用者輸入的密碼。</p> <p><a href="https://www.ithome.com.tw/news/175780"><strong>身分安全威脅成為勒索軟體主要侵入途徑，三分之二受害組織認為勒索軟體攻擊源頭是身分攻擊</strong></a></p> <p>帳號與密碼外洩、遭暴力破解攻擊、漏洞遭濫用等狀況層出不窮，導致勒索軟體攻擊等資安事故持續爆發，資安廠商Sophos最近發布的2026身分安全現況調查報告指出，全球17個國家當中（不包含臺灣），有71%的組織曾遭遇至少一次與身分相關的資安事件；而且有高達66.5％的勒索軟體受害者表示，這類事故是影響最重大的身分攻擊類型。而導致這類攻擊的三大因素，分別為帳號與密碼外洩（占所有案例的42.06％）、遭暴力破解攻擊（15.58％）、漏洞遭濫用（16.04％）。</p> <p><a href="https://www.ithome.com.tw/news/175659"><strong>Microsoft Teams</strong><strong>將針對可疑外部來電示警，防範品牌冒用語音詐騙</strong></a></p> <p>微軟將強化Microsoft Teams通話安全，針對Teams Calling新增品牌冒用防護功能，防範攻擊者透過外部的VoIP網路語音來電假冒企業、客服或其他可信任組織，誘騙使用者回應或進一步提供資訊。</p> <p><a href="https://www.ithome.com.tw/news/175772"><strong>Google</strong><strong>更新</strong><strong>Android</strong><strong>安全與隱私功能，攔截假冒銀行來電</strong></a></p> <p>可透過合作銀行App驗證金融來電真偽，這是Google近期為Android新增多項防護機制中，最受矚目的新功能。首波合作對象包括Revolut、Itaú與Nubank。換言之，除了金融機構需支援此功能外，使用者也必須安裝並登入該銀行App，Android才能在背景驗證來電真偽。此外，其他升級的防護機制還包括惡意App即時行為偵測、APK下載前掃描、手機竊盜防護，以及更細緻的位置與聯絡人權限控管。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>IoT/OT安全</strong></span></h1> <p><span style="color:#696969;"><strong>在IoT/OT安全方面，本週聚焦於AI滲透威脅與產業防禦實務。墨西哥水利系統遭駭事件近期揭露新細節，調查顯示駭客利用Claude模型分析IT與OT環境關聯並尋找滲透途徑，顯見AI已成為跨網段攻擊的利器。此外，國內醫療OT資安議題亦受關注，專家強調應落實資產盤點與分級防護，並提醒避免將 IT 控管思維硬套至醫療現場，以確保設備持續運作與病患安全。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175633"><strong>駭客濫用</strong><strong>Anthropic</strong><strong>與</strong><strong>OpenAI</strong><strong>的模型攻擊墨西哥水力及排水系統</strong></a></p> <p>墨西哥多個政府機關遭遇的大規模入侵事故，攻擊者從利用AI協助從受害組織的IT環境滲透關鍵基礎設施的OT環境。資安公司Gambit Security指出墨西哥政府機構自2025年12月開始遭遇攻擊，對方使用Anthropic Claude與OpenAI GPT模型，Dragos進一步發現，駭客在入侵城市供水與排水公營事業的企業IT環境後，試圖進一步滲透OT環境。</p> <p><a href="https://www.ithome.com.tw/news/175738"><strong>醫院</strong><strong>OT</strong><strong>資安不能照辦公室</strong><strong>IT</strong><strong>那套！應先盤點、縮小範圍，再談防護</strong></a></p> <p>醫院推動OT資安的挑戰為何？擔任亞東紀念醫院、秀傳醫療體系與羅東博愛醫院醫工顧問的張韶良指出，對醫療現場而言，設備持續運作遠比系統登入更重要；此外，病安不等於資安，具備高病安等級的設備不一定有高資安需求。他建議，醫院OT資安落地的第一步是盤點「資安列管醫療儀器」，鎖定需優先保護的邊界設備與控制系統，而非認為每一臺設備都要做同樣等級的防護。他並強調，資安法是通法，醫療器材管理法則是專法，兩者衝突時應以專法為準。</p> <p><a href="https://www.ithome.com.tw/news/175735"><strong>Mirai</strong><strong>變種</strong><strong>xlabs_v1</strong><strong>殭屍網路現蹤，劫持</strong><strong>Android</strong><strong>裝置發動</strong><strong>DDoS</strong><strong>攻擊</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_170910.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_170910.jpg" style="width: 380px; float: right;" /></a></p> <p>資安廠商揭露Mirai變種xlabs_v1殭屍網路，鎖定暴露在網際網路，且啟用ADB（Android Debug Bridge）介面的Android裝置，植入惡意軟體組成DDoS攻擊網路，任何預設啟用ADB且連上網際網路的物聯網硬體設備都可能受到感染，這款惡意軟體還採用商業化運作，能測量受害裝置頻寬，並依此設定收費等級。</p> <p><a href="https://www.ithome.com.tw/news/175739"><strong>奇偶科技影像監控管理軟體存在重大漏洞</strong></a></p> <p>4月27日奇偶科技（GeoVision）GV-VMS V20存在3個資安漏洞，影響20.0.2以下的版本，攻擊者只要發送特製的HTTP請求，就有機會在未經身分驗證的情況下，觸發漏洞執行任意程式碼，該公司發布20.1.0版修補。這些漏洞當中，最嚴重的是CVSS風險達到滿分10分的CVE-2026-42369，另外兩個漏洞CVE-2026-42370、CVE-2026-7372，風險值被評為9.8、9.0，皆為重大等級的資安漏洞。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>資安維運</strong></span></h1> <p><span style="color:#696969;"><strong>資安維運正聚焦於信任治理的轉型，這一星期多則新聞突顯不同的維運議題，包括專家提醒AI雖能輔助效率，但仍無法解決DevSecOps中責任定義與風險標準等核心問題；亦有金融主管提出「三層式資安預算架構」，讓資安投資範疇更為明確；以及電商大廠推出漏洞獎勵計畫並倡議成立R-ISAC。這些舉措顯示，資安維運正與更深層的治理架構及產業協作緊密結合，成為強化企業數位信任的關鍵。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175611"><strong>沒弄清楚</strong><strong>DevSecOps</strong><strong>流程反模式，靠</strong><strong>AI</strong><strong>也解不了四大根本問題</strong></a></p> <p>臺灣企業推動DevSecOps時反模式有哪些？長年擔任企業IT顧問的盧建成在臺灣資安大會上一一道出，並指出隨著生成式AI技術和工具更加成熟，企業開始想用AI解決DevSecOps成效不彰的困境，但仍有四大核心問題是AI無法解決的：責任定義、風險接受標準、例外與特簽機制，以及治理與追蹤。因此他建議，人員要能承接責任，而不是被指派，風險應被深入理解而非僅作分類，資安控管應視為決策過程並確保結果可追蹤，而非一次性處理</p> <p><a href="https://www.ithome.com.tw/news/175742"><strong>資安預算不等於資安部門預算，企業應重新定義資安投資範圍</strong></a></p> <p>針對資安預算占比議題，台新新光金控資安部資深協理方振維指出，各企業對資安定義不一，導致數據難以直接比較。對此他提出三層式資安預算架構：第一層「直接資安預算」，像是防火牆、EDR、IAM與SOC等直接維護 CIA 的資安工具；第二層「可用性基礎設施預算」，包括備份、機房、UPS、備援中心與供電系統等；第三層則是「間接資安預算」，涵蓋AD、變更管理、EOS/EOL汰換與零信任架構與微服務等，雖然不一定由資安部門主導，但與資安風險高度相關</p> <p><a href="https://www.ithome.com.tw/news/175741"><strong>酷澎宣布首個公開版漏洞獎勵計畫，並揭露背後的戰略藍圖</strong></a></p> <p>【臺灣資安大會直擊】酷澎臺灣宣布於HackerOne平臺推出首個公開版漏洞獎勵計畫，這不只是臺灣首個與HackerOne的合作案，也是酷澎全球首發合作專案。酷澎臺灣暨日本資安長陳浩維在臺灣資安大會現場，不僅談及先前韓國酷澎因前中國籍員工外洩個資的事件，也揭露酷澎臺灣近兩年已導入物流隱碼與Passkey技術，並能主動識別外部仿冒網站；同時，他更倡議臺灣應建立零售與旅宿業情資分享中心（R-ISAC）。陳浩維強調，資安團隊必須從建立信任出發，進而蛻變為推動企業成長的「信任引擎」</p> <p><a href="https://www.ithome.com.tw/news/175704"><strong>惡意軟體框架</strong><strong>PCPJack</strong><strong>鎖定雲端基礎設施，封鎖駭客團體</strong><strong>TeamPCP</strong><strong>的存取權限</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_171105.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_171105.jpg" style="width: 380px; float: right;" /></a></p> <p>4月底資安公司SentinelOne發現主要攻擊目標是雲端環境的一段惡意程式碼，其首要工作是驅逐與清理TeamPCP有關的攻擊工具，再加上此惡意工具鎖定目標，類似另一個駭客組織TeamPCP去年12月的攻擊行動Operation PCPcat，因此攻擊者很有可能是TeamPCP的前成員，於是SentinelOne將惡意程式框架命名為PCPJack。</p> <p><a href="https://www.ithome.com.tw/news/175637"><strong>駭客架設假</strong><strong>Claude</strong><strong>網站散布惡意軟體</strong><strong>Beagle</strong></a></p> <p>資安公司Sophos示警留意新的後門程式Beagle，該公司在4月發現冒牌Claude網站的攻擊行動，他們起初認為是PlugX攻擊事故，但進一步調查後發現，駭客使用了過往未曾出現的後門程式，該公司將其命名為Beagle，此後門程式具備多項功能，包括：執行攻擊者下達的指令、上傳或下載檔案、建立資料夾、重新命名檔案、列出所有資料夾等，而在滲透目標的過程中，駭客使用第一階段酬載DonutLoader將其載入。根據駭客不慎曝露的Cloudflare原始來源憑證，假Claude網頁的主機可能在今年3月架設。</p> <p> </p> </div></div></div>
