iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 1篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 22:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

CISA要求聯邦機構對近期發生的軟體供應鏈事故採取行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月27日美國網路安全暨基礎設施安全局（CISA）將CVE-2026-8398、CVE-2026-45321、CVE-2026-48027等3個漏洞<strong><a href="https://www.cisa.gov/news-events/alerts/2026/05/27/cisa-adds-three-known-exploited-vulnerabilities-catalog">列入已遭利用的漏洞名單（KEV）</a></strong>，要求聯邦機構限期採取行動，值得留意的是，這些漏洞並非一般的軟體弱點，而是因供應鏈攻擊導致軟體被植入惡意程式碼的情況。</p> <p>值得留意的是，CISA給予聯邦機構因應威脅的期限有所不同，其中最短的是虛擬光碟機軟體Daemon Tools Lite嵌入惡意程式碼弱點CVE-2026-8398，聯邦機構必須在5月30日前完成修補。此事故為<strong><a href="https://www.ithome.com.tw/news/175571">卡巴斯基於5月初揭露</a></strong>，受影響範圍涵蓋從4月8日發布的12.5.0.2421版，到當時最新的12.5.0.2434。當時卡巴斯基發現，部分執行Deamon Tools Lite的電腦，會連往冒牌Deamon Tools網域的伺服器下載其他作案工具。這些受害者都是從軟體開發商AVB Disc Soft設立的Deamon Tools網站下載安裝程式，而且這些安裝檔都具有AVB Disc Soft簽章，不過內部元件卻遭到竄改，因此確認是供應鏈攻擊。</p> <p>另外兩個漏洞CVE-2026-45321、CVE-2026-48027，指的是<a href="https://www.ithome.com.tw/news/175724"><strong>網頁應用程式框架TanStack的NPM套件TanStack Router</strong></a>，以及<strong><a href="https://www.ithome.com.tw/news/176068">Nx Console的Visual Studio Code（VS Code）延伸套件遭到攻擊</a></strong>的事故，駭客滲透GitHub Actions發布流程，上架惡意套件，從而影響開發人員的環境。CISA要求聯邦機構，必須在6月10日前進行處理。</p> </div></div></div>
5/28 11:38作者周峻佑https://www.ithome.com.tw/news/176175
Meta發表全新訂閱服務品牌Meta One，推出需要付費訂閱的Facebook、IG及WhatsApp服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta產品主管Naomi Gleit周三（5/27）透過Instagram及Threads<a href="https://www.threads.com/@naomigleit/post/DY2fUSxgKZg?hl=zh-tw" target="_blank">發表全新的服務品牌Meta One</a>，準備集結Meta旗下各種付費訂閱服務，首波已開始於全球市場推出的是Instagram Plus、WhatsApp Plus與Facebook Plus。</p> <p>Gleit並未詳細揭露這些付費服務的功能，只說這些訂閱功能將會強化使用者喜愛的功能，開放更多容量、能力、創作空間，並可處理更複雜的問題；未來還將針對企業、創作者及重度用戶的方案，以建立更進階的社群及AI使用經驗。</p> <p>根據<a href="https://techcrunch.com/2026/05/27/meta-officially-launches-instagram-facebook-and-whatsapp-subscriptions-with-more-to-come-including-ai-plans/" target="_blank">TechCrunch</a>的報導，Instagram Plus及Facebook Plus的每月訂閱費用為3.99美元，WhatsApp Plus則是2.99美元，可用來客製化個人檔案、更多的限時動態（Story）選項或特定的回應功能等。</p> <p>至於可用來聊天、生成圖片及搜尋資訊的Meta AI的付費版則會是每月7.99美元的Meta One Plus，以及每月19.99美元的Meta One Premium，可支援更多用量、深度推論，以及更多圖片及影片生成，跟上其它AI聊天機器人的收費腳步。儘管有上述的付費服務，但原本的免費服務也將繼續存在。</p> <p>與企業及創作者有關的方案則是每月14.99美元的Meta One Essential，以及每月49.99美元的Meta One Advanced。前者主要提供藍勾勾身分驗證及防偽等基本帳號保護功能，後者則再加上曝光、搜尋排名及分析工具等推廣功能。</p> <p>Meta已開始在全球推出Instagram Plus、WhatsApp Plus與Facebook Plus，至於其它AI、企業及創作者付費方案則會先於特定市場測試，再逐步擴大。</p> </div></div></div>
5/28 12:04作者陳曉莉https://www.ithome.com.tw/news/176179
GitHub釋出Enterprise Server 3.20.3修補多項重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.20.3" target="_blank">開發社群平臺GitHub本周釋出GitHub Enterprise Server（GHES）3.20.3</a>，修補多項重大及高風險漏洞，包括2個SSRF漏洞，以及和上周資安事件與Linux Dirty Frag有關的問題。</p> <p>最新版更新修補的兩項重大漏洞，其一為編號CVE-2026-9312，為存在上傳端點的前驗證（pre-authentication）伺服器端請求偽造（server-side request forgery，SSRF）漏洞，起於輸入驗證不足，本漏洞讓攻擊者可傳送變造的請求到內部服務，進而成功存取內部服務並曝露敏感憑證。欲濫用本漏洞，攻擊者需要能存取GHES執行個體。</p> <p>第二項漏洞沒有編號，而是因應5月份資安事件的補強作業。<a href="https://www.ithome.com.tw/news/176006" target="_blank">在該事件中</a>，GitHub一名員工裝置因安裝了遭植入惡意軟體的VS Code擴充套件，讓駭客得以竊取約3,800個內部儲存庫資料。在新版軟體中，GitHub更新了GHES發行套件的所有簽章金鑰。未來新版也只能以新金鑰簽發。GitHub Enterprise Server管理員必須在更新修補程式之前輪換執行個體的GPG（GNU Privacy Guard）公鑰。</p> <p>GitHub Enterprise Server 3.20.3另外還修補了3個高風險漏洞。其中兩個是和代號Dirty Frag的Linux核心漏洞CVE-2026-43284及CVE-2026-43500有關，二者分別影響IPsec ESP和RxRPC子系統元件。新版軟體則包含了解決漏洞的Linux底層。</p> <p>第三項高風險漏洞編號<a href="https://www.tenable.com/cve/CVE-2026-8606" target="_blank">CVE-2026-8606</a>。這是影響GHES的SSRF漏洞，能讓攻擊者以安全公告套件查詢（lookup）功能誘發伺服器向內部服務發送HTTP請求，然後攻擊者結合第二步手法，量測服務回應時間差（如回應的秒數），藉此推測出敏感環境變項值，包括簽章密碼或私鑰。要濫用本漏洞，執行個體必須先啟用GitHub套件。</p> <p>值得說明的是，這個漏洞風險很高。私有模式（Private Mode）關閉時，攻擊者不需要登入，可從外網直接發送請求就能發動SSRF，而啟用時也擋不住最低權限者攻擊。為了最徹底解決，GHES 3.20.3版本直接把這整個受影響的功能API移除。</p> <p>但GitHub也說明新版本已知問題。包括自訂防火牆規則會被清空；管理員後臺（Management Console）登入失敗被鎖時不會自動解鎖，必須用SSH進後臺手動處理。其次，Actions與雲端儲存可能卡死：如果GitHub Actions有連動AWS S3或Google Cloud Storage（OIDC驗證），升級過程中可能會報錯中斷，需要進後臺下指令手動修補。最後，GitHub提醒，如果在企業最高層級「一鍵啟用」全公司的Secret/Code Scanning，會因為瞬間載入量過大導致系統卡死，GitHub建議到各個組織（Org）分批開啟。</p> </div></div></div>
5/28 12:12作者林妍溱https://www.ithome.com.tw/news/176180
CISA要求聯邦機構4天內修補cPanel外掛LiteSpeed重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週網頁伺服器系統開發商LiteSpeed揭露與修補<strong><a href="https://www.ithome.com.tw/news/176077">權限提升漏洞CVE-2026-48172</a></strong>，此漏洞存在於該公司提供cPanel用戶的外掛程式，CVSS v4.0風險達到滿分10分，LiteSpeed強調已被積極利用，呼籲用戶儘速採取行動，如今美國政府也證實這樣的情形。</p> <p>5月26日<strong><a href="https://www.cisa.gov/news-events/alerts/2026/05/26/cisa-adds-one-known-exploited-vulnerability-catalog">美國網路安全暨基礎設施安全局（CISA）發出公告</a></strong>，表示他們已掌握CVE-2026-48172遭積極利用的跡象，將其加入已遭利用的漏洞名單（KEV），<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2026-48172&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=">聯邦機構必須在5月29日前完成修補</a></strong>。</p> </div></div></div>
5/28 09:58作者周峻佑https://www.ithome.com.tw/news/176174
Health-ISAC警告Claude Mythos恐壓縮醫療健康產業漏洞修補時間，AI漏洞發現能力成新風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://health-isac.org/claude-mythos-and-its-health-sector-implications/">醫療健康產業資安情資分享組織Health-ISAC於5月發布報告</a>，警告AI模型開發商Anthropic的Claude Mythos Preview已展現高度自主攻擊能力，能用於發現與利用零時差漏洞，可能改變醫療健康產業面對漏洞管理與攻擊防禦的時間壓力。Health-ISAC指出，這類模型若維持在受控環境，可協助防禦方更快找出並修補弱點；但一旦外流或遭濫用，也可能像Cobalt Strike與Brute Ratel等合法資安工具一樣，成為攻擊者放大能力的工具。</p> <p>Health-ISAC認為，Mythos的風險不只來自<a href="https://www.google.com/search?q=Mythos++site:www.ithome.com.tw/news&num=10&sxsrf=ANbL-n4OUQQ-LyZccZMSjl8NpUwbiqx6fg:1779935687880&tbs=qdr:y">模型本身具備高度自主的漏洞尋找與利用能力</a>，也在於這類能力可能擴散到未經審查的使用者。<a href="https://www.ithome.com.tw/news/176076">目前Anthropic透過Project Glasswing</a>採取嚴格的客戶審查計畫（Know Your Customer，KYC）模式，只提供給經過完整審查的組織使用。這種受控釋出方式有助於為日後擴大開放建立管理基礎；但若模型外流，攻擊者可能更容易進行漏洞研究、產生攻擊程式，並自動化執行攻擊。</p> <p>報告以命令與控制（C2）框架Cobalt Strike、Brute Ratel作為前例，指出這些原本用於企業紅隊演練與安全評估的合法工具，後來也經常遭威脅行為者濫用於網路攻擊。Health-ISAC擔心，若Claude Mythos後續也像這些資安工具一樣遭到濫用，醫療健康產業可能面臨更高風險。報告並提到，<a href="https://www.bankinfosecurity.com/report-discord-group-uses-claudes-supposedly-secret-mythos-a-31484">Bloomberg日前報導指出</a>，某個Discord私人社群的使用者宣稱取得Claude Mythos Preview存取權；Anthropic表示正在調查此事，但沒有證據顯示，這起未授權使用事件的影響範圍已超出相關第三方供應商的IT系統。</p> <p>Health-ISAC也指出，中國企業可能在6至12個月內發展出接近Claude Mythos的漏洞發現能力。報告點名中國資安業者360 Digital Security Group已運用多代理協作漏洞發現系統，在2026年1月天府盃（Tianfu Cup）漏洞競賽取得第一名，並宣稱其AI系統已辨識出近1,000個漏洞，其中包括Microsoft Office、Windows與OpenClaw等用戶端產品中的50多個高嚴重性漏洞。報告認為，若未受監管的AI漏洞發現模型在2026年中至下半年透過Hugging Face等平臺擴散，網路犯罪分子取得AI漏洞發現能力的門檻將進一步降低。</p> <p>對資安主管而言，Health-ISAC認為，代理式AI正在壓縮漏洞從「發現」到「可用於攻擊」的時間。過去企業修補漏洞時，通常需要經過工單排程、變更時段安排、相依性盤點與跨團隊核准，但這套流程未必跟得上攻擊者加速行動的節奏。因此，企業應將修補管理視為核心防禦工作，依照漏洞是否容易被利用、系統是否暴露於外部等條件，決定修補優先順序，並建立可重複執行的自動化修補、測試與緊急變更流程；若短時間內無法修補，也應透過網路分段與其他補償性控制措施，降低單一弱點擴大成資安事件的風險。</p> </div></div></div>
5/28 10:44作者王珮瑤https://www.ithome.com.tw/news/176176
Anthropic揭露Claude代理安全設計，以環境邊界限制損害範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic<strong><a href="https://www.anthropic.com/engineering/how-we-contain-claude">公開說明</a></strong>Claude代理產品的安全設計，指出當AI代理取得檔案、命令列、網路與外部工具存取能力後，不能只依賴模型判斷或人工批准，而要透過執行環境隔離、檔案系統邊界與網路出口管制，限制代理遭誤用、遭攻擊或執行非預期動作時的損害範圍。</p> <p>在Claude網頁服務中，程式執行被放在伺服器端的暫時性隔離容器，檔案系統只存在於單一工作階段，代理不會直接接觸使用者本機環境。如此，降低單次執行可能造成的影響，但也限制代理可處理的工作範圍，例如沒有持久工作區，也不能直接存取使用者本機檔案。</p> <p>面向開發者的Claude Code，必須在使用者電腦上讀寫專案、執行命令列並使用網路。Anthropic原本以人工批准控管高風險操作，但遙測資料顯示，使用者批准約93%的權限提示，頻繁提示也可能讓使用者逐漸降低注意力。因此，該公司加入作業系統層級沙箱，讓代理可在工作區內較少中斷地執行任務，同時預設封鎖網路存取，減少每一步都仰賴人工判斷。</p> <p>Anthropic揭露Claude Code曾出現信任邊界問題，部分漏洞發生在使用者尚未同意信任專案資料夾前，系統已先讀取專案本機設定或啟動相關處理流程。另一次內部紅隊測試中，攻擊方以看似一般協作的提示誘使員工執行Claude Code，讓代理嘗試讀取雲端服務憑證並傳送到外部端點。Anthropic指出，這類攻擊若由使用者親自貼上指令，模型層防護未必能判斷異常，環境邊界才是主要防線。</p> <p>由於Claude Cowork針對一般知識工作者，使用者未必能判斷命令列指令是否安全，因此一開始採取本機虛擬機器隔離，只掛載使用者選定的工作資料夾與必要設定，主機憑證保留在主機鑰匙圈，不進入虛擬機器。</p> <p>不過，Anthropic也承認隔離設計仍有盲點，Claude Cowork曾因允許連向api.anthropic.com，使惡意檔案可引導代理使用攻擊者控制的API金鑰，呼叫Anthropic Files API，將工作區檔案上傳到攻擊者的Anthropic帳號。該公司後來在虛擬機器內加入防禦性中間人代理伺服器，只允許帶有該VM工作階段權杖的請求通過，並拒絕攻擊者嵌入的API金鑰。</p> <p>Anthropic認為，成熟的虛擬化、系統呼叫過濾器與容器執行環境相對可靠，真正容易出問題的往往是產品自行建置的周邊元件。</p> </div></div></div>
5/28 09:30作者李建興https://www.ithome.com.tw/news/176172
Fortinet擴增G系列次世代防火牆，同時連線數可達競品13.7倍
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/fortinet_fortigate_400g_series_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近幾年以來，Fortinet持續推出更多款次世代防火牆FortiGate G系列，例如去年底我們介紹的<a href="https://www.ithome.com.tw/review/172669"><strong>FortiGate 700G</strong></a>，他們強調這批產品均配備專屬ASIC晶片，像是網路處理器NP7、安全處理器SP5、內容處理器CP10，以及長期發展的作業系統FortiOS。</p> <p><a href="/sites/default/files/images/FortiGate 3000G-2026-04.jpg"><img alt="" src="/sites/default/files/images/FortiGate%203000G-2026-04.jpg" style="width: 500px;" /></a></p> <p>時至今年5月的此刻，該公司宣布擴增兩款機型，分別是用於資料中心環境的3500G系列，以及用於企業網路邊緣環境的400G系列。</p> <p>以FortiGate 3500G系列而言，Fortinet提供兩款機型：FG-3500G、FG-3501G，均內建兩個400GbE埠。在此之前，若要選購提供400GbE埠的FortiGate，企業可評估的機型，包含內建4個400GbE埠的FG-3200F、FG-3700F、FG-3800G，以及內建8個400GbE埠的FG-4800F。</p> <p><a href="/sites/default/files/images/FortiGate 3500G-features.jpg"><img alt="" src="/sites/default/files/images/FortiGate%203500G-features.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/FortiGate 3500G-features2.jpg"><img alt="" src="/sites/default/files/images/FortiGate%203500G-features2.jpg" style="width: 600px;" /></a></p> <p> </p> <p>相較於市面上的其他競爭產品，Fortinet指出，FortiGate 3500G系列領先幅度最大的規格，主要是同時連線數與單位效能耗電量，可分別達到6.9倍與6.1倍。</p> <p> </p> <p><a href="/sites/default/files/images/FortiGate 3500G-Comparison.png"><img alt="" src="/sites/default/files/images/FortiGate%203500G-Comparison.png" style="width: 600px;" /></a></p> <p>另一款FortiGate 400G系列，Fortinet提供兩款機型：FG-400G、FG-401G屬於中階防火牆定位的產品，能將G系列的效能、架構與運作一致性特色，帶入分散建置的網路環境。</p> <p><a href="/sites/default/files/images/FortiGate 400G-2026-04.jpg"><img alt="" src="/sites/default/files/images/FortiGate%20400G-2026-04.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/FortiGate 400G-features.jpg"><img alt="" src="/sites/default/files/images/FortiGate%20400G-features.jpg" style="width: 600px;" /></a></p> <p>與高出一級的700G系列相比，400G系列具有不少相同規格，例如，網路埠均為16個GbE埠（SFP）、8個2.5/5GbE埠（RJ-45）、4個10GbE埠（SFP+）、4個10/25GbE埠（SFP28/SFP+）；防火牆吞吐量皆是164 Gbps，IPsec VPN吞吐量都是55 Gbps，應用程式控制吞吐量均為50 Gbps，同時連線數均為2,800萬個（700G系列最初發表時為1,600萬個）。</p> <p>而在一些高度耗用效能的規格上，400G系列就遜於700G系列，像是IPS吞吐量、次世代防火牆吞吐量、威脅防護吞吐量、SSL VPN吞吐量、SSL加密流量檢測能力，這些也反映兩者的市場定位差距。</p> <p><a href="/sites/default/files/images/FortiGate Middle models.jpg"><img alt="" src="/sites/default/files/images/FortiGate%20Middle%20models.jpg" style="width: 600px;" /></a></p> <p>對比其他競爭產品，Fortinet指出，FortiGate 400G系列與FortiGate 3500G系列一樣，都是同時連線數與單位效能耗電量領先幅度顯著，尤其是前者，FortiGate 400G系列甚至是競爭產品平均值的13.7倍，除此之外，就防火牆吞吐量而言，FortiGate 400G系列也達到競爭產品平均值的5.7倍。</p> <p><a href="/sites/default/files/images/FortiGate 400G-Comparison.png"><img alt="" src="/sites/default/files/images/FortiGate%20400G-Comparison.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">Fortinet FortiGate 3500G系列</span><br /> ●原廠：Fortinet<br /> ●建議售價：廠商未提供<br /> ●機型與機箱尺寸：FG-3500G、FG-3501G均為2U<br /> ●防火牆吞吐量：595 Gbps<br /> ●次世代防火牆吞吐量：115 Gbps<br /> ●威脅防護功能全部啟用後的吞吐量：105 Gbps<br /> ●網路埠：30個1/10/25GbE埠（SFP/SFP+/SFP28）、4個40/100GbE埠（QSFP+/ QSFP28）、2個40/100/200/400GbE埠（QSFP+/QSFP28/QSFP56/QSFP-DD）<br /> ●其他連接埠：1個USB 3.0埠<br /> ●同時連線數量：1.79億個<br /> ●ASIC晶片：網路處理器NP7、內容處理器CP10<br /> ●作業系統：FortiOS 7.6.6版build6689</p> <p><span style="color:#0000FF;">Fortinet FortiGate 400G系列</span><br /> ●原廠：Fortinet<br /> ●建議售價：廠商未提供<br /> ●機型與機箱尺寸：FG-400G、FG-401G均為1U<br /> ●防火牆吞吐量：164 Gbps<br /> ●次世代防火牆吞吐量：14 Gbps<br /> ●威脅防護功能全部啟用後的吞吐量：13 Gbps<br /> ●網路埠：16個GbE埠（SFP）、8個5GbE埠（RJ-45）、4個1/10GbE埠（SFP/SFP+）、4個10/25GbE埠（SFP+/SFP28）<br /> ●其他連接埠：2個USB 3.0埠<br /> ●同時連線數量：2,800萬個<br /> ●ASIC晶片：網路處理器NP7、內容處理器CP10<br /> ●作業系統：FortiOS 7.6.6版build6689</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
5/28 01:50作者李宗翰https://www.ithome.com.tw/review/176173
NIST公布PQC數位簽章標準化新進展，9款候選演算法挺進第三輪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國國家標準與技術研究院（NIST）自2024年8月發布首批PQC標準以來，持續擴展後量子密碼體系的完整性。除了先前已選定3款數位簽章標準與2款通用加密標準外，NIST近日宣布「額外數位簽章方案（Additional Digital Signature Schemes）」的PQC競賽，共有<a href="https://csrc.nist.gov/projects/pqc-dig-sig/round-3-additional-signatures">9項演算法晉級第三輪標準化評選</a>，以避免單一數學基礎遭破解而產生系統性的風險。</p> <p>NIST表示，本次入選第三輪的演算法包含：FAEST、HAWK、MAYO、MQOM、QR-UOV、SDitH、SNOVA、SQIsign與UOV，預計接下來將展開為期兩年的評估，檢驗各演算法的計算效率、簽章大小、驗證速度，以及對於旁路攻擊的抵禦能力。</p> <p>儘管新演算法仍在評選中，但NIST之前已強調企業不應因此推遲PQC遷移計畫。因為在數位簽章方面，2024年8月已發布FIPS 204（ML-DSA）與 FIPS 205（SLH-DSA），早已可投入使用；至於FIPS 206（FN-DSA）雖然因為實作細節較複雜，標準文件至今仍在制定，但並不影響企業先行部署前兩項PQC標準。</p> <p>在通用加密（KEM）方面，主要標準FIPS 203（ML-KEM）已正式發布，建議企業盡速採納。此外，NIST於2025年3月<a href="https://www.nist.gov/news-events/news/2025/03/nist-selects-hqc-fifth-algorithm-post-quantum-encryption">選定HQC</a>作為未來標準化的對象（可能為FIPS 207），不過此標準仍在制定階段中，尚未正式發布。</p> <p> </p> </div></div></div>
5/27 17:48作者羅正漢https://www.ithome.com.tw/news/176166
數發部資安署實測四款中國App，同是導航地圖，高德比Google Maps更危險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>數位發展部資通安全署（資安署）今日（5月27日）召開記者會，公布對高德地圖、嗶哩嗶哩（Bilibili）、愛奇藝（iQIYI）及BIMOBIMO等四款中國App的資安檢測結果。</p> <p>這次檢測由國家資通安全研究院（資安院）執行，採用黑箱方式，直接從Google Play及Apple App Store的官方平臺下載民眾常用的中國App版本，透過反組譯與開源檢測工具進行分析，涵蓋四大使用者核心風險、共十五項檢測指標。</p> <p>此次的檢測結果顯示，高德地圖在Android平臺驗出高達十一項高風險行為，iOS平臺也有八項，是本次檢測中風險最高的應用程式。</p> <p>而同樣是地圖導航類App，Google Maps在相同的測試框架下，卻未發現高德地圖最具爭議的行為，尤其在使用者未主動操作的情況下，高德地圖會「主動擷取剪貼簿」內容。這項差異清楚揭示使用中國製導航App後，其潛在代價已遠遠超過一般人的認知。</p> <h2><strong>從合法的應用程式商店，下載四款中國App進行檢測</strong></h2> <p>黑箱檢測是怎麼做的？資安院表示，此次檢測並非取得App的原始碼後進行白箱審查，而是採用黑箱方式。資安院技術人員直接從官方應用程式商店下載App的安裝檔（Android的APK與iOS的IPA），再嘗試對其進行反組譯，並搭配多套開源資安檢測工具，分析程式碼是否存在敏感的API呼叫、過度申請的系統權+-*限，以及異常的外部網路連線行為。</p> <p>這種方式的限制在於，檢測人員無法取得完整的原始碼細節，因此某些行為的觸發條件與頻率仍難以完全還原。例如，高德地圖被發現具備讀取剪貼簿的能力，但究竟是哪一個功能觸發了這個行為、觸發頻率是否固定，目前仍無法完全確定。</p> <p>儘管如此，資安院已透過實際執行環境，確認高德地圖在系統層面「曾觸發剪貼簿讀取」的系統警示，iPhone與Android手機都會跳出提示，告知使用者「高德地圖已存取剪貼簿」。</p> <p>相較之下，Google Maps面對相同測試條件時，並未觸發此類系統警示，也未被發現有主動讀取剪貼簿的行為。資安院指出，這是一個關鍵的「越線」差異——剪貼簿並非Android系統對地圖類App的標準授權範疇，高德地圖此舉，顯示其存在超出核心功能所需、過度蒐集使用者資料的傾向。</p> <h2><strong>同是地圖App，高德與Google Maps的關鍵差距</strong></h2> <p>高德地圖與Google Maps同屬地圖導航類應用程式，功能訴求高度相似，都需要存取使用者的地理位置。然而，資安院的比較測試，揭示兩者在資料蒐集行為上的本質差異。</p> <p>在Android平臺，高德地圖被檢出共十一項高風險行為，涵蓋持續讀取地理位置、讀取剪貼簿、讀取影音或即時影像、讀取麥克風、讀取通訊錄、讀取行事曆、讀取健康紀錄、讀取儲存空間、讀取裝置識別碼、於關閉狀態下對外傳輸資料，以及將資料傳輸至中國境內伺服器等。Google Maps則未發現上述多項行為，尤其是剪貼簿的主動截取。</p> <p>導航App需要位置權限，但地圖應用App為何需要讀取使用者的健康紀錄？為何需要存取通訊錄？為何需要在App完全關閉後，仍持續對外傳輸資料？這些問題，是評估高德地圖是否「越線」的核心所在。</p> <p>資安署署長蔡福隆直言，高德地圖「要求存取與核心功能無關之敏感權限，可能涉及過度蒐集個資，並增加資料外洩、行為追蹤及個資被濫用之風險」。</p> <p>資安署主任李昱瑋也提醒，「剪貼簿」的風險尤其值得關注，因現代人習慣從密碼管理器「複製」帳號密碼、從網頁「複製」信用卡卡號，或複製銀行的一次性驗證碼（OTP）。</p> <p>李昱瑋認為，一旦這些敏感資訊存在剪貼簿中，高德地圖便能在使用者不知情的狀況下，讀取這些內容；即使使用者完全沒有在App內進行任何「貼上」操作，系統仍可能跳出「高德地圖已存取剪貼簿」的警示。</p> <h2><strong>Android看似風險高，高風險App仍可合理繞過iOS限制</strong></h2> <p>本次資安署檢測中國App時，同時涵蓋Android與iOS雙平臺，結果顯示整體Android用戶面臨的風險明顯高於iOS用戶，但這並不代表iPhone用戶可以高枕無憂。</p> <p>在Android平臺，高德地圖驗出十一項高風險指標；iOS平臺則為八項，這些差異主要集中在兩個方面：其一是「讀取使用者的剪貼簿」——此行為在Android版本被檢出，但iOS版本未被檢出；其二是「於關閉狀態下對外傳輸資料」——同樣僅在Android版本被觸發。</p> <p>上述差異根源於iOS系統底層架構的設計哲學，當蘋果手機使用者將App切換至背景或退出介面時，iOS會在數秒內切斷該App的CPU運算能力與網路存取權限，使其進入完全休眠的「假死」狀態。這意味著，即便App的程式碼內建背景傳輸指令，iOS的系統層限制也使其難以運作。</p> <p>此外，iOS採用統一的推播通知服務（APNs），所有App的訊息推播都必須透過蘋果官方伺服器中轉，App本身無法自行建立持續的背景連線；再加上嚴格的沙盒（Sandbox）隔離機制，每個App都被限制在各自獨立的環境中，無法直接讀取其他App的資料，也無法互相「喚醒」，因此，切斷了中國高風險App家族常見的「聯動喚醒」與「寄生常駐」手段。</p> <p>然而，iOS用戶並非毫無風險。在本次檢測中，四款中國App的iOS版本，全數被驗出「讀取使用者的影音或即時影像」、「讀取裝置的識別碼」，以及「將資料傳輸到中國境內伺服器」。</p> <p>其中，愛奇藝、嗶哩嗶哩和BIMOBIMO的iOS版本，皆被發現讀取使用者的健康紀錄——這對任何影音娛樂或聊天軟體而言，同樣是完全超出合理使用範疇的行為。</p> <p> </p> <p><img alt="" src="/sites/default/files/images/600-%E5%9B%9B%E6%AC%BE%E4%B8%AD%E5%9C%8BApp%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E6%AA%A2%E6%B8%AC%E7%B5%90%E6%9E%9C_%E5%9C%96%E7%89%87%EF%BC%9AGimini%E7%94%A2%E5%87%BA.png" style="width: 600px; height: 803px;" /></p> <blockquote><p>中國依照「網絡安全法」及「國家情報法」規定，可要求企業將用戶資料及數據提供給國安、公安及情工部門，恐使國人個資遭中國特定單位蒐集及運用；若資料在管理或流通過程中外洩或流入不法市場，可能遭犯罪集團利用於AI詐騙。<br /> 圖片來源：Gimini產出</p> </blockquote> <h2><strong>高德地圖：檢出十一項高風險，完整建立數位足跡</strong></h2> <p>高德地圖是本次檢測風險最高的應用程式，其超出核心功能的資料蒐集行為最廣泛。</p> <p>除了前述的剪貼簿問題，高德地圖在檢測時被發現，會持續讀取並記錄使用者的行動軌跡，包括：即時定位位置、歷史位置紀錄、常去地點、幾點出門、多久抵達目的地，以及在特定地點停留了多久。</p> <p>李昱瑋表示，這些資訊被整合後，足以建立關於使用者活動範圍與生活習慣的完整「數位足跡」，進而對人身安全構成潛在威脅。試想，若一名商務人士或政府官員使用高德地圖，其每日的行程規律、常去的機密場所，都可能被系統性地記錄並傳往境外。</p> <p>此外，高德地圖在背景持續讀取影音、即時影像及麥克風的權限，意味著：即便使用者並未主動開啟錄音或錄影功能，App也可能在背景側錄周遭的聲音與影像。</p> <p>這對於某些正在進行商業會議的企業人士而言，或在家中與親人閒話家常的一般民眾，都構成了隱私洩漏的隱憂。</p> <p>他也提醒，倘若這些聲音與面部影像資料不幸流入黑市、暗網等不法市場，結合當前生成式AI技術，極易被用於製作深偽（Deepfake）影片，可能成為詐騙其親友或企業財務人員的素材。</p> <h2><strong>嗶哩嗶哩與愛奇藝：影音平臺背後的行事曆竊探</strong></h2> <p>嗶哩嗶哩與愛奇藝這兩款熱門影音串流平臺，前者在Android平臺驗出八項高風險指標，後者則有七項；在iOS平臺則各有六項。</p> <p>其中最值得注意的是，這兩款App都被發現：會讀取使用者的行事曆或待辦事項，並讀取剪貼簿；同時，在關閉狀態下，也能對外傳輸資料，且將資料傳輸至中國境內伺服器。</p> <p>用來看影片的App，為何需要查看用戶的行事曆？這兩款App蒐集使用者的日常行程、生活習慣，乃至剪貼簿暫存的帳號密碼，甚至是信用卡等資訊，都可能在使用者毫不知情的情況下遭到蒐集，並傳往中國。</p> <p>其中，嗶哩嗶哩的Android版本，還被發現會讀取使用者的麥克風，意味著：即便只是在手機上看影片，背景的麥克風可能仍在運作。</p> <h2><strong>BIMOBIMO：精準低調情蒐，鎖定裝置識別碼</strong></h2> <p>聊天軟體BIMOBIMO在兩個平臺的風險項目數量最少，Android有五項、iOS也有五項，乍看之下似乎相對安全。但若進一步分析，BIMOBIMO反而精準鎖定幾個殺傷力最強的核心目標，包括：讀取儲存空間（系統檔案及資料）、讀取裝置識別碼，以及將資料傳輸至中國境內伺服器。</p> <p>裝置識別碼如同每一臺手機的唯一身分證，一旦這個識別碼被掌握，對方就可以在雲端資料庫中，將不同App蒐集到的各類個人資料進行「身分關聯」（Device Fingerprinting），就可以拼湊出使用者完整的隱私輪廓。</p> <p>若進一步結合儲存空間中可能存有的個人聲音、影像資料，以及對方已掌握的裝置識別碼，李昱瑋提醒，犯罪集團便可能利用這些資源，對使用者本人或其社交圈發動高度客製化的AI深偽詐騙攻擊。</p> <p>＠小標：中國法規是最根本風險，任何中國App資料都可依法被中國政府調取</p> <p>撇開上述具體的技術風險，有一個結構性問題是所有中國App共同面對的——中國政府依照《網絡安全法》及《國家情報法》的規定，可以要求在中國境內營運的企業，將其蒐集的用戶資料提供給中國的國家安全、公安及情報工作部門。</p> <p>這意味著，只要一款App的背後是中資企業，且其伺服器座落於中國境內，無論該App在技術上的資料蒐集行為是否已超出合理範疇，使用者的資料，最終都面臨可能被中國政府「合法調取」的風險。</p> <p>而且，以本次檢測的四款App為例，全數被確認會將資料傳輸至中國境內伺服器，李昱瑋表示，這個法規面帶來的根本風險，對每一位使用中國App的用戶，都是真實存在。</p> <p>蔡福隆指出，依據臺灣《資通安全管理法》的規定，公務機關不得下載、安裝或使用高德地圖、嗶哩嗶哩、愛奇藝及BIMOBIMO等危害國家資通安全的中國App，且公務機關配發供業務使用的手機與筆電，同樣禁止安裝這些App。</p> <p><img alt="" src="/sites/default/files/images/600-%E5%AE%89%E5%8D%93%E5%9B%9B%E6%AC%BEApp%E9%A2%A8%E9%9A%AA.jpg" style="width: 600px; height: 342px;" /></p> <p> </p> <p><img alt="" src="/sites/default/files/images/600-iOS%E5%9B%9B%E6%AC%BEApp%E9%A2%A8%E9%9A%AA.jpg" style="width: 600px; height: 338px;" /></p> <h2><strong>資安署推三大資安防護原則，可手動設定進階安全權限</strong></h2> <p>如何降低行動裝置App使用的資安風險？資安署提供三項基本的資安防護原則。第一，在安裝App前，應詳細閱讀其隱私權政策，確認App如何蒐集、使用及傳輸個人資料；第二，在授權App權限前，應仔細確認每一項權限要求是否與該App的核心功能相符。例如，一款導航地圖App若要求存取通訊錄，便是明顯不合理的要求，應定期檢視手機設定並關閉不必要的權限，同時刪除不再使用的App。第三，安裝手機資安防護軟體或工具，偵測異常行為，強化手機安全防護。</p> <p>對於Android用戶而言，由於系統底層架構較為開放，提升資安風險的防護需要更主動的操作。若因特殊需求不得不使用這類App，建議可以在手機系統設定，強制手動關閉「背景資料傳輸」與「背景執行」權限，並啟用「不使用時，暫停App活動」功能。</p> <p>由於中國App對剪貼簿的情蒐行為尤其積極，資安專家也建議，使用者可以養成一個習慣：在複製帳號密碼、信用卡卡號或任何敏感文字後，隨手再複製一段無意義的空白字元，覆蓋掉剪貼簿中的敏感資料，降低被截取的風險。</p> <p>雖然iOS的底層架構已提供相當程度的防護，但仍可以手動確認幾個關鍵設定，達到更嚴密的防護效果。</p> <p>首先，針對「區域網路」權限，許多App會以「連接智慧家電」為藉口要求這項權限，實際上，此舉可能是用來掃描家中或公司Wi-Fi網域內的其他裝置，進行環境情蒐。</p> <p>建議可以至「設定→隱私權與安全性→區域網路」，關閉影音、社群類App的此項權限，這不會影響正常上網與影片觀看。</p> <p>其次，關於「照片」存取權限，預設選項往往是「允許存取所有照片」，但這等於讓App有機會掃描整個相簿，包括可能包含密碼、身分證或信用卡資訊的截圖。</p> <p>建議所有iOS使用者可至「設定→隱私權與安全性→照片」，針對高風險App，將存取範圍限制為「選取的照片」。</p> <p>第三，關於「地理位置」的精準度，即便必須授予位置權限，也可以至「設定→隱私權與安全性→定位服務」，進入該App的設定，將「準確位置」的開關關閉。關閉後，App只能得知使用者大約在哪個行政區，而無法精準定位到街道與門牌。</p> <p>第四，關於剪貼簿的防護，iOS允許使用者控制App存取剪貼簿的行為。建議iOS使用者進入「設定」，找到該App的專屬設定頁面，將「從其他App貼上」的選項，從「詢問」改為「拒絕」，強制阻斷App讀取剪貼簿的行為。</p> <p>最後，建議至「設定→隱私權與安全性→追蹤」，直接關閉「允許App要求追蹤」，防止App讀取廣告識別碼（IDFA），阻斷其與其他App聯手建立使用者完整行為輪廓的能力。</p> <h2><strong>中國App安裝在單獨手機，企業推MAM區隔公司與私人生活</strong></h2> <p>對於在工作或生活中「不得不使用」這類App的情境，例如需要與中國大陸地區的客戶或親友保持聯繫，蔡福隆建議，可以採用「物理隔離」的方式，準備一支專用的備用手機，專門安裝這類高風險App，並且不在該手機上存放任何工作資料、不登入任何公司帳號、不連接公司內部網路。他表示，如此一來，即便該手機遭到資料蒐集，也無法成為企業資安防線的破口。</p> <p>此次資安署的檢測報告，著重在對一般民眾的提醒，但對企業而言，同樣存在一個容易被忽視的隱患，意即：許多企業允許員工使用個人手機（Bring Your Own Device，BYOD）存取公司郵件與內部系統。</p> <p>如果員工的個人手機安裝這些中國高風險App，而這支手機同時連接著公司的企業內部網路，或透過VPN存取公司伺服器，這些App所具備的「跨App資訊存取」與「擷取系統資訊」能力，便可能成為滲透企業資安防線的跳板。</p> <p>蔡福隆表示，包括商業機密、企業通訊錄、乃至開發中的產品原始碼，都可能透過一支安裝了高風險App的員工個人手機，透過「合法授權」的管道悄悄外流，造成供應鏈安全的連帶信任危機。</p> <p>有鑑於此，資安專家建議，企業資安主管可以考慮推動行動應用管理（MAM）技術，在手機的作業系統底層，對員工手機的「個人生活區」與「公司公務區」進行隔離，可以確保公務資料無法被跨App讀取，同時建立合理的行動裝置App 稽核機制與白名單制度。</p> <p>蔡福隆表示，此次檢測四款中國App的起點，是今年四月二十三日行政院院會後的記者會，當時已針對高德地圖的資安疑慮提出說明，並宣布將委託國家資通安全研究院進行全面技術檢測。如今，檢測結果也驗證了當時的資安疑慮。</p> <p>對於一般民眾而言，面對這類「合法權限掩護隱蔽傳輸」的App行為，最直接的自保之道，就是在非必要的情況下，避免下載與使用來自中國的App；若有使用需求，則按照上述的防護原則，盡可能限縮這些App能夠存取的個人資訊範圍。</p> <p><img alt="" src="/sites/default/files/images/600-%E4%B8%AD%E5%9C%8BApp%E8%94%A1%E7%A6%8F%E9%9A%86_%E9%BB%83%E5%BD%A5%E6%A3%BB%E6%94%9D.jpg" style="width: 600px; height: 415px;" /></p> <blockquote><p>數位發展部資通安全署署長蔡福隆指出，依據臺灣《資通安全管理法》的規定，公務機關不得下載、安裝或使用高德地圖、嗶哩嗶哩、愛奇藝及BIMOBIMO等危害國家資安全的中國App，且公務機關配發供業務使用的手機與筆電，同樣禁止安裝這些App。<br /> 攝影 ∕ 黃彥棻</p> </blockquote> <p> </p> <p><img alt="" src="/sites/default/files/images/600-%E4%B8%AD%E5%9C%8BApp%E6%9D%8E%E6%98%B1%E7%91%8B_%E9%BB%83%E5%BD%A5%E6%A3%BB%E6%94%9D.jpg" style="width: 600px; height: 401px;" /></p> <blockquote><p>數位發展部資通安全署主任李昱瑋表示，以本次檢測的四款中國App為例，全數被確認會將資料傳輸至中國境內伺服器，而中國政府依法可要求在中國維運的App提供所需資訊的法規面風險，對每一位使用中國App的用戶，都是真實存在。<br /> 攝影 ∕ 黃彥棻攝</p> </blockquote> </div></div></div>
5/27 17:41作者黃彥棻https://www.ithome.com.tw/news/176165
Deno 2.8強化Node.js相容性，新增套件管理與CI流程CLI命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>JavaScript執行環境Deno團隊發布<strong><a href="https://deno.com/blog/v2.8">Deno 2.8</a></strong>，這次更新重點放在強化Node.js與NPM套件系統的相容性，並新增多項CLI命令，讓開發者能在Deno中處理套件安裝、自動化建置、版本更新、相依關係查詢與套件發布流程，讓既有Node.js專案更容易搭配Deno工具鏈一起使用。</p> <p>Deno主打安全預設與單一執行檔工具鏈，不過，若要讓更多Node.js專案順利使用Deno，仍需要提高相容性，並補強套件安裝、建置與發布等流程。Deno 2.8對Node.js官方測試套件的通過率，從Deno 2.7約42%提高到76.4%，在4,457項測試中通過3,405項，擴大對Node.js常用功能的支援範圍。</p> <p>Deno 2.8調整CLI使用方式，開發者透過命令列加入或安裝套件時，未加來源前綴的套件名稱會預設視為NPM套件。官方提到，該功能調整的目的，是讓命令列操作更接近多數JavaScript開發者熟悉的使用習慣。</p> <p>新版新增的CLI命令，則補強開發到交付之間的常見工作。Deno 2.8加入適合CI環境的安裝模式，能依照鎖定檔安裝相依項目，避免自動化建置時意外改變套件版本，並也新增套件打包（deno pack）能力，可將專案產生為NPM可接受的發布封裝。開發者也能查詢某個套件是透過哪一層相依關係被帶入專案，較容易判斷套件來源與版本關係。</p> <p>其他新增命令則處理漏洞修補、版本更新與程式轉換。新版可在版本限制允許的範圍內，自動升級受已知漏洞影響的NPM套件，也能更新專案設定檔中的版本號。對需要預先產生JavaScript檔案的場景，Deno 2.8提供將TypeScript、JSX或TSX轉成JavaScript的命令。</p> <p>Deno 2.8也改善執行效能與除錯能力，根據官方公布的Linux測試顯示，冷啟動NPM安裝時間由Deno 2.7.1的3,319毫秒降至906毫秒。新版也支援在Chrome DevTools中檢視Deno程式的網路流量，方便開發者觀察程式對外連線與請求狀況。 </p> <p>Deno 2.8內建TypeScript 6.0.3，型別檢查、打包（deno bundle）、語言伺服器與編譯功能會自動使用新版本。新版也加入工作區集中管理套件版本的能力，方便大型專案在多個子專案之間維持一致相依項目版本，並支援只安裝正式環境需要的套件，供部署與CI流程使用。</p> </div></div></div>
5/27 16:23作者李建興https://www.ithome.com.tw/news/176163
【資安日報】5月27日，互動資通OTP簡訊平臺EVERY8D遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176142"><strong style="font-size: 22px;">互動資通OTP簡訊平臺EVERY8D遭駭，F-ISAC發布黃燈級資安事件警訊</strong></a></p> <p><a href="/sites/default/files/images/hu_dong_zi_tong_bfwai_xie_zi_xun-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/hu_dong_zi_tong_bfwai_xie_zi_xun-63.jpg" style="width: 300px; float: right;" /></a>國內企業簡訊與通訊軟體供應商互動資通（Teamplus）日前疑似遭受嚴重的網路攻擊與勒索軟體侵害，導致其核心業務、市占第一的EVERY8D企業簡訊平臺全面癱瘓。金融資安資訊分享與分析中心（F-ISAC）於5月26日下午，正式對此一資安事件發布黃燈等級的資安事件警訊，並要求所有會員機構必須採取「先釐清暴露面，再進行應變處置」的緊急手段，同時發布五點防禦指引作為會員機構的防禦參考。這場風暴的開端可追溯至5月21日，身分不明的駭客在知名駭客地下論壇中，以「SELLING」為標題，公開兜售互動資通的上市公司網域控制器帳號，以及EVERY8D企業簡訊平臺的相關資料。</p> <p><a href="https://www.ithome.com.tw/news/176141"><strong style="font-size: 22px;">臺馬二號海纜完成搶修，東引脫離「單一備援」狀態</strong></a></p> <p>數發部於5月26日表示，中華電信已於25日通報完成臺馬二號海纜修復作業，將今年3月7日臺馬二號海纜距離淡水沙崙約23.6公里處的全斷障礙正式排除，目前東引地區語音、行動通訊及網際網路服務已恢復透過海底電纜傳輸，結束近一個月主要依靠微波備援系統支撐的狀態。此次修復之所以受到關注，原因在於東引及馬祖地區近來接連遭遇海纜故障事件，首先是臺馬二號海纜在去年10月7日部分芯線受損障礙，後續臺馬二號海纜又在今年的3月7日於距沙崙23.6公里處發生斷纜，使得當地通訊只能仰賴臺馬三號海纜支援。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=182848&SPOKE_DATE=20260526&COMPANY_ID=5287"><strong style="font-size: 22px;">數字科技發布資安重訊，揭露開發測試流程疏失導致原始碼與個資外流</strong></a></p> <p>旗下擁有591房屋交易網、8591、518熊班與小雞上工等知名平臺的數字科技（5287），於5月26日晚間發布資安重訊，揭露因開發測試流程疏失導致的原始碼與個資外流事件。根據數字科技說明，公司今年5月25日進行內部活動網頁開發與測試作業時，因程式碼管理設定不當，致使部分尚未去識別化的測試原始碼曾短暫被推送至外部平臺，而這些內容涉及特定專案的會員姓名、身分證字號及電子郵件等敏感資訊。</p> <p><a href="https://www.ithome.com.tw/news/176146"><strong style="font-size: 22px;">日本學習管理系統KnowledgeDeliver存在零時差漏洞，駭客用於部署Godzilla</strong></a></p> <p>日本常見的學習管理系統（LMS）KnowledgeDeliver存在資安重大漏洞CVE-2026-5426，根據Google旗下的Mandiant與威脅情報團體（GTIG）最新揭露，起因是2025年底發生的資安事故。Google表示他們發現有駭客組織濫用相關權限，在KnowledgeDeliver平臺注入惡意程式碼，目的是感染存取該網站的使用者裝置。駭客在成功取得存取權限後，就會在該平臺植入以.NET打造的Webshell，此惡意程式被稱為Godzilla（BlueBeam）。</p> <p><a href="https://www.ithome.com.tw/news/176122"><strong style="font-size: 22px;">北韓駭客Lazarus鎖定金融與加密貨幣機構，散布惡意軟體RemotePE</strong></a></p> <p><a href="/sites/default/files/images/remotepe_diagram-4-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/remotepe_diagram-4-63.jpg" style="width: 300px; float: right;" /></a>資安公司Fox IT指出，北韓駭客組織Lazarus從原本使用惡意程式ThemeForestRAT和PondRAT，更換為僅在記憶體運作的工具組，涵蓋3種惡意程式DPAPILoader、RemotePELoader，以及RemotePE。具體來說，這些工具可形成一系列攻擊鏈，Lazarus通常會濫用Windows服務，或是透過側載方式啟動DPAPILoader，該惡意程式再濫用作業系統內建的Windows Data Protection API（DPAPI），解密並載入另一支惡意程式RemotePELoader，最終啟動遠端存取木馬（RAT）RemotePE。</p> <p><a href="https://www.ithome.com.tw/news/176145"><strong style="font-size: 22px;">7-Eleven資料外洩事故外流逾18.5萬客戶個資</strong></a></p> <p>在4月17日，駭客組織ShinyHunters聲稱從便利商店龍頭7-Eleven竊得超過60萬筆資料，開價25萬美元兜售；一個月後，7-Eleven向美國緬因州檢察長辦公室通報資料外洩事故，並指出事故發生在4月8日，該公司自5月1日起通知受影響人士。近日密碼外洩查詢網站Have I Been Pwned（HIBP）將這起資安事故加入資料庫，並指出有18.53萬個帳號受到影響，其中包括電子郵件信箱、姓名、實體地址、出生日期、電話號碼。</p> <p><a href="https://www.ithome.com.tw/news/176124"><strong style="font-size: 22px;">2026世界盃倒數一個月，當心鎖定球迷的偽冒FIFA網站</strong></a></p> <p><a href="/sites/default/files/images/sitio-falso-fifa-mundial-26-2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/sitio-falso-fifa-mundial-26-2-63.jpg" style="width: 300px; float: right;" /></a>不到一個月後，2026年世界盃足球賽將於美國、加拿大與墨西哥舉行。資安公司ESET近日發出警示，發現多個偽冒FIFA（國際足總）官方網站的釣魚網站，攻擊者透過註冊與官方名稱相近的網域，鎖定正在尋找門票、住宿或官方商品的球迷，藉此騙取個資與信用卡資訊。這些攻擊活動並非零星個案，而是有組織的運作。攻擊者註冊了多種變體的偽冒網域，即使部分網站因被檢舉而下架，仍能透過其他備用網域維持詐騙活動運作。</p> <p><a href="https://www.ithome.com.tw/news/176119"><strong style="font-size: 22px;">鎖定SonicWall防火牆的掃描活動激增，疑為利用新漏洞前兆</strong></a></p> <p><a href="/sites/default/files/images/6a0e0c0afd965436cf1294ba_GreyNoise-Q1-Activity-Spikes-Preceded-CVE-2026-0400-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/6a0e0c0afd965436cf1294ba_GreyNoise-Q1-Activity-Spikes-Preceded-CVE-2026-0400-63.jpg" style="width: 300px; float: right;" /></a>威脅情報公司GreyNoise發現，近二週鎖定SonicWall防火牆管理介面的掃描活動顯著增加，最高一天將近60萬次，有可能是新漏洞或零時差漏洞即將被利用的前兆，對此，他們呼籲IT人員立即採取行動因應。由於這個現象和今年初掃描激增現象頗為相似，因此GreyNoise認為，之後可能會出現新漏洞。今年初，GreyNoise團隊1月18日、30日及2月14日先後觀察到掃描高峰，10天後就發現了CVE-2026-0400。因此GreyNoise指出，兩週來的掃描次數激增可能是漏洞揭露的前兆。</p> <p><a href="https://www.ithome.com.tw/news/176072"><strong style="font-size: 22px;">TeamPCP滲透資料圖形化程式庫AntV，影響逾600個套件</strong></a></p> <p><a href="/sites/default/files/images/e24a7f4437ee577d2d69db1e54b2cdc6f3cfe1b3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/e24a7f4437ee577d2d69db1e54b2cdc6f3cfe1b3-63.jpg" style="width: 300px; float: right;" /></a>多家資安公司Aikido、Endor Labs、Socket、Step Security提出警告，駭客團體於5月19日發起最新一波Mini Shai-Hulud供應鏈攻擊活動，主要目標是阿里巴巴資料圖形化程式庫AntV生態系統套件，由於被入侵的NPM帳號維護的套件每週下載次數達到150萬，因此，受影響的套件數量快速增加，Socket確認駭客滲透323個套件，上架639個惡意套件。Step Security指出，這些套件內含經混淆處理的惡意酬載，會讀取記憶體中的GitHub Actions執行程序內容，挖掘其中的CI/CD機密資料，從AWS、GCP、Azure、Kubernetes、HashiCorp Vault、加密貨幣錢包及開發者工具等超過130種管道收集憑證，然後透過兩種機制外流。</p> <p><a href="https://www.ithome.com.tw/news/176152"><strong style="font-size: 22px;">Anthropic擴大Project Glasswing合作對象，有意將Claude Mythos推向一般企業</strong></a></p> <p>4月初Anthropic發布Claude Mythos預覽版，由於該模型威力極為強大，該公司決定限縮使用範圍，透過Project Glasswing專案讓特定科技及金融廠商用來挖掘資安漏洞，本週Anthropic宣布，將把Project Glasswing擴及更多政府等組織，終極目標是將該模型公開推出。Anthropic將Project Glasswing擴大到更多關鍵合作夥伴，包括美國及盟國政府，一旦該公司具備更強大的安全防護機制，將有可能把Mythos等級的模型公開（general release）給大眾使用。</p> <p><a href="https://www.ithome.com.tw/news/176133"><strong style="font-size: 22px;">OpenSSF發布Python安全程式開發指南，可用於開發者培訓、資安研究與AI工具評測</strong></a></p> <p>開源軟體安全基金會（OpenSSF）於5月12日發布《Python安全程式開發指南》（Secure Coding Guide for Python，pyscg）首版，內容涵蓋9大章節、超過50項規則，並以可執行程式碼範例示範常見弱點與修正方式，可用於開發者培訓、資安研究，以及大型語言模型與靜態分析工具評測。這份指南聚焦CPython 3.9及之後版本與標準函式庫，避免依賴特定網頁框架或第三方模組，讓不同技術堆疊的團隊都能套用當中揭示的原則。</p> <p><a href="https://www.ithome.com.tw/news/176131"><strong style="font-size: 22px;">NIST發布製造業資安實務指南草案，聚焦ICS網路攻擊事件應變與復原</strong></a></p> <p>為了強化製造業資安，在5月21日，美國國家標準暨技術研究院（NIST）國家網路安全卓越中心（NCCoE）公開《製造業網路攻擊回應與復原：資安實務指南》初版草案，文件編號為NIST SP 1800-41，聚焦工業控制系統（ICS）環境，說明製造業者如何依據NIST網路安全框架2.0版（NIST CSF 2.0）建立事件回應與復原流程，以降低停機與營運衝擊。這份指南也參考NIST另外兩份文件，分別是：《NISTIR 8428》以及《NIST SP 800-61r3》。</p> <p><a href="https://www.ithome.com.tw/news/176115"><strong style="font-size: 22px;">CDM發明人推AI Defense Matrix，建構AI安全配套框架</strong></a></p> <p>隨著生成式AI浪潮席捲全球，企業在導入AI技術的同時，也面臨前所未有的安全挑戰。知名資安專家、網路防禦矩陣（Cyber Defense Matrix，CDM）發明人Sounil Yu，於5月中旬宣布與資安專家Lenny Zeltser攜手合作，發表全新的AI防禦矩陣（AI Defense Matrix），目的是協助資安主管識別防禦缺口、確立權責歸屬，並針對AI系統選擇精準的控管措施。同時，對於資安供應商而言，這套框架亦能協助其釐清產品價值定位，並擬定更具策略性的產品發展藍圖。</p> <p><a href="https://www.ithome.com.tw/news/176104"><strong style="font-size: 22px;">CIS發布Benchmark安全設定基準更新，涵蓋PostgreSQL、Kubernetes與SQL Server</strong></a></p> <p>非營利的資安組織網際網路安全中心（Center for Internet Security，CIS），近日發布CIS Benchmarks更新，新增多項針對雲端、容器與作業系統環境的安全設定基準，涵蓋PostgreSQL、Kubernetes、SQL Server、AWS、微軟Office 365等平臺，協助企業進行系統安全強化（Hardening），降低設定錯誤的風險。CIS Benchmarks是CIS發布的安全設定與強化基準，涵蓋作業系統、雲端服務、資料庫、網路設備與容器平臺等環境，廣泛被用於資安稽核、法規遵循與系統安全檢查。</p> <p><a href="https://www.ithome.com.tw/news/176089"><strong style="font-size: 22px;">CIS推出支援AI與HPC的強化映像檔，協助企業在AWS部署安全雲端環境</strong></a></p> <p>許多組織準備的AI執行環境所採用的組態標準不一，甚至等系統部署後才回頭補強安全措施，不僅增加風險，也讓安全與營運團隊更難維持一致的防護狀態。為了降低這類部署風險，非營利資安組織網際網路安全中心（CIS）將既有CIS Hardened Images產品線延伸到AI與高效能運算（HPC）場景。CIS Hardened Images是依據CIS Benchmarks建立的預先配置虛擬機器映像檔，可在主要雲端平臺提供預設具備安全組態的作業系統環境。</p> <p><a href="https://www.ithome.com.tw/news/176088"><strong style="font-size: 22px;">Underminr濫用共享CDN架構，讓惡意連線偽裝成可信網域流量</strong></a></p> <p>資安業者ADAMnetworks揭露藏匿在內容傳遞網路（CDN）基礎架構中的安全漏洞Underminr，宣稱駭客可利用該漏洞繞過安全偵測，估計影響全球約8,800萬個網域。惡意程式可讓受害裝置先查詢一個被允許的可信網域A，取得它背後的CDN邊緣IP位址；但真正連到該IP位址時，卻在TLS SNI（伺服器名稱指示）與HTTP Host中指定另一個同樣位於該CDN共享邊緣上的惡意網域B。這麼做使惡意程式可把C2通訊、資料外洩或代理流量偽裝成正常連線。</p> <p><a href="https://www.ithome.com.tw/news/176143"><strong style="font-size: 22px;">蘋果OS新推出的基礎密碼學程式庫內建兩種量子安全演算法，並推出形式驗證工具</strong></a></p> <p>在蘋果的安全工程與架構團隊（SEAR）與硬體技術正式驗證團隊的合作之下，針對作業系統發布新的基礎密碼學程式庫corecrypto，當中實作兩種量子安全演算法：ML-KEM、ML-DSA，以及該公司建立的數學證明，以確保它們符合FIPS 203與FIPS 204這兩種美國聯邦資訊處理標準的要求，供專家獨立評估。在此同時，為了提升關鍵軟體安全保障，使其達到最先進的水準，蘋果也發布自行建立的形式驗證（formal verification）程式庫與工具。</p> <p><a href="https://www.ithome.com.tw/news/176011"><strong style="font-size: 22px;">微軟開源RAMPART，讓代理安全測試CI化</strong></a></p> <p>微軟開源測試AI代理安全性的工具RAMPART，讓工程團隊把資安團隊在模擬攻擊中發現的問題，或實際AI事件中的風險情境，轉成可以反覆執行的自動化測試，並放進持續整合流程，也就是每次程式變更時都能一起檢查，避免修正過的安全問題之後又重新出現。該公司也開源Clarity，協助團隊在正式開發前釐清開發假設、可能出錯的情境與重要設計決策。兩項工具處理的階段不同，RAMPART偏向開發中的安全測試，Clarity則偏向開發前的問題釐清與決策記錄。</p> <p><a href="https://www.ithome.com.tw/news/176042"><strong style="font-size: 22px;">Flipper公布Flipper One計畫</strong></a></p> <p>主要開發開源硬體與資安工具產品的Flipper Devices，因推出Flipper Zero可攜式資安裝置在資安研究者、硬體玩家與創客社群間快速走紅，近日他們公布新專案Flipper One，目標是打造全球最開放、文件最完整的ARM電腦，完整支援Linux主線核心（Mainline Linux Kernel）。Flipper宣稱Flipper One與Flipper Zero定位完全不同，Flipper Zero偏向近距離通訊與裝置訊號分析，Flipper One則聚焦IP網路與Linux運算能力。</p> <p><a href="https://www.ithome.com.tw/news/176065"><strong style="font-size: 22px;">CISA宣布提供研究人員通報漏洞已遭利用的管道</strong></a></p> <p>5月21日美國網路安全暨基礎設施安全局（CISA）發布公告，表示為了讓研究人員、供應商，以及產業合作夥伴能更容易通報遭到利用的漏洞，他們推出已遭利用漏洞列表（KEV）的漏洞提報表單（Nomination Form）系統，期望這種新的通報機制能增加CISA快速識別、驗證、共享KEV相關的重要威脅情資。CISA設立KEV的漏洞提報表單平臺的目的，就是鼓勵研究人員進行誠信的資安研究，並促進透明、協調的網路風險修復。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176130"><strong>【5月26日】馬偕醫院再傳遭駭客竊取資料，院方表示疑為去年舊案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176130"><strong>【5月25日】GitHub內部儲存庫的程式碼外流，確認遭供應鏈攻擊事故波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176053"><strong>【5月22日】微軟修補防毒軟體零時差漏洞</strong></a></p> </div></div></div>
5/27 16:33作者周峻佑https://www.ithome.com.tw/news/176159
Google揭露中國網釣即服務平臺YY Lai Yu，日本成首要網釣目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>對於中國網釣即服務平臺的危害，近日<a href="https://cloud.google.com/blog/topics/threat-intelligence/chinese-language-phishing-services">Google威脅情報小組（GTIG）公布相關案例</a>，指出名為YY Lai Yu（YY来鱼）的PhaaS平臺，正利用高度自動化的「在地化即服務（Localization-as-a-Service）」模式，大規模發動精準的網路釣魚攻擊。</p> <p>GTIG調查顯示，「YY来鱼」自2024年8月開始活躍，宣稱支援全球119國的網釣活動。其核心目標目前鎖定日本市場，專為中文攻擊者提供滲透日本消費生態系所需的在地化工具。</p> <p>自2025年11月至今，該平臺已提供超過400種釣魚模板。值得關注的是，這些模板不再僅限於傳統的偽冒銀行頁面，而是深度偽造日本民眾的日常數位服務，品牌涵蓋 Amazon、Apple、PayPay、JR鐵路、任天堂，以及野村、樂天等證券公司與佐川急便等物流業者。同時，該平臺也進一步利用當地消費習慣與時事主題，以積分獎勵兌換、日本冬季電力補助等名義，引誘民眾上當。</p> <p>在攻擊管道方面，該平臺支援RCS與iMessage加密簡訊發送功能，讓攻擊者得以規避電信業者過濾；此外，「YY来鱼」也提供獨特的真人驗證視窗機制（human verification anti-bot screen），能阻擋資安廠商的自動化掃描，規避偵測並延長釣魚連結的存活時間。</p> <p>GTIG 強調，雖然「YY来鱼」目前以日本為主要目標，但攻擊活動正向全球擴散，美洲、歐洲、澳洲及中東地區均已出現受害者，顯示此類中文自動化PhaaS體系已成為全球資安威脅。</p> <p><a href="/sites/default/files/images/2026-05-27_152838.jpg"><img alt="" src="/sites/default/files/images/2026-05-27_152838.jpg" style="width: 600px;" /></a></p> <p><span style="color:#808080;"><strong>圖為YY Lai Yu（YY来鱼）平臺偽冒日本最大行動支付PayPay的釣魚頁面。</strong></span></p> <p> </p> </div></div></div>
5/27 15:21作者羅正漢https://www.ithome.com.tw/news/176161
西班牙封鎖預測投注平臺Polymarket與Kalshi
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.dsca.gob.es/es/comunicacion/notas-prensa/consumo-abre-expediente-sancionador-plataformas-polymarket-kalshi-ordena" target="_blank">西班牙消費部（Ministerio de Derechos Sociales, Consumo y Agenda 2030）周一（5/25）宣布</a>，已針對Polymarket及Kalshi兩個預測投注平臺啟動制裁程序，並暫時於當地封鎖它們。</p> <p>Kalshi與Polymarket分別是2018年及2020年在美國紐約創立的預測投注平臺，它們列出各種尚未成定局的事件，然後開放下注，從政治、體育、天氣、名人八卦到金融，例如比特幣的漲跌、OpenAI會在何時IPO、西班牙能否贏得世界盃等，主要的差別在於Kalshi使用法幣，而Polymarket則要以加密貨幣下注。</p> <p>西班牙消費部表示，這兩個平臺涉嫌違反博彩法規，在未持有必要行政許可的情況下於西班牙境內營運，當地的博彩監管總局（DGOJ）已針對它們啟動制裁程序，由於制裁程序可能需要數月，因此決定要求當地電信業者暫時封鎖Kalshi與Polymarket。</p> <p>西班牙曾嘗試向兩家公司海外地址直接送達通知，但均告失敗，才決定展開制裁。裁決後的平臺可選擇申請執照、提出申訴或調整服務內容。</p> <p>DGOJ說，西班牙與其他歐洲司法管轄區一致，認定預測投注平臺在涉及對不確定未來結果進行投注時，具有博彩性質，因此在西班牙境內經營須取得特定行政執照。未獲授權的業者缺乏西班牙法規所要求的技術與監管保障，包括身份核實系統、阻止未成年人及自我排除者或被禁止賭博人士進入的管控機制，以及保護用戶所需的監督標準等。</p> <p>除了西班牙之外，新加坡也以非法博彩為由封鎖了Kalshi與Polymarket，臺灣則以違反《公職人員選舉罷免法》封鎖了Polymarket。</p> </div></div></div>
5/27 15:26作者陳曉莉https://www.ithome.com.tw/news/176162
日本學習管理系統KnowledgeDeliver存在零時差漏洞，駭客用於部署Godzilla
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本常見的學習管理系統（LMS）KnowledgeDeliver<strong><a href="http://cloud.google.com/blog/topics/threat-intelligence/knowledgedeliver-viewstate-deserialization-vulnerability">存在資安重大漏洞CVE-2026-5426</a></strong>，根據Google旗下的Mandiant與威脅情報團體（GTIG）最新揭露，起因是2025年底發生的資安事故。</p> <p>CVE-2026-5426源自於KnowledgeDeliver採用完全相同的ASP.NET機器金鑰，未經身分驗證的攻擊者可用於繞過ViewState驗證機制，並透過惡意的ViewState進行反序列化攻擊，最終可遠端執行任意程式碼（RCE），影響在今年2月24日之前部署的KnowledgeDeliver，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-5426">CVSS風險評為9.1分</a></strong>，為重大等級。Mandiant於1月19日向軟體開發商Digital Knowledge通報此事，Digital Knowledge於2月24日實作新版部署工具解決弱點。Google表示，由於不同客戶部署的KnowledgeDeliver平臺採用完全相同的金鑰，換言之，若攻擊者從任一伺服器取得金鑰，他們就能入侵暴露在網際網路的其他學習管理平臺主機。</p> <p>針對當時發現的攻擊活動，Google表示他們發現有駭客組織濫用相關權限，在KnowledgeDeliver平臺注入惡意程式碼，目的是感染存取該網站的使用者裝置。駭客在成功取得存取權限後，就會在該平臺植入以.NET打造的Webshell，此惡意程式被稱為Godzilla（BlueBeam），透過網頁伺服器IIS的處理程序啟動，並完全在記憶體執行，若是被攻擊的使用者試圖透過檔案掃描進行偵測，將難以察覺異常。攻擊者透過發送HTTP POST請求，向受害電腦下達更多命令，或是傳遞惡意酬載。</p> <p>另一方面，攻擊者也試圖竄改檔案他們透過Windows內建的命令列工具icacls，對IIS網頁伺服器的「所有使用者」授予完整的存取權限，接著，他們試圖竄改某個網頁應用程式的JavaScript檔案，使得存取KnowledgeDeliver平臺的用戶電腦顯示偽造的警示訊息，並要求用戶安裝經過驗證的資安外掛程式。不過，也有部分會從攻擊者控制的網域，於背景下載惡意指令碼。但不論何種方式，最終駭客都是為了說服使用者下載冒牌安裝程式，導致電腦被感染Cobalt Strike的Beacon。</p> </div></div></div>
5/27 14:23作者周峻佑https://www.ithome.com.tw/news/176146
行政院成立AI導入災防專案會議，整合空間情資與AI分析強化防災韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年豪雨、颱風及多次地震造成山區地質脆弱，隨著5月進入國內進入防汛期，行政院召開中央災害防救會報，聚焦防汛整備、AI災防應用與空間情資整合等議題。行政院副院長鄭麗君強調，面對日益複雜的災害型態，政府必須加速導入AI與數位科技，來建立更具韌性的災害管理體系。</p> <p>這次中央災害防救會報最大重點之一，是確立將在中央災害防救委員會下設立「AI導入災防專案會議」，跨部會共同推動AI在災害風險管理與防救災工作中的應用。鄭麗君指出，國發會推動的「AI新十大建設推動方案」，其中的智慧治理已是重要的施政方向，災害管理更是其中關鍵的應用場域，已請國發會將災防AI應用計畫納入AI新十大建設推動方案之中，強化跨部會計畫整合。</p> <p><span style="color:#B22222;"><strong>AI災防管理的4方向</strong></span></p> <p>行政院規畫將AI應用納入下一階段的「災害防救基本計畫（2029年至2033年）」中，優先推動4大方向，包括「決策支援與應變方案規畫」、「資源調度與後勤管理」、「資訊傳遞與民眾互動」，以及「特殊族群與社會支持」。未來將透過跨部會資料共享與AI分析，讓政府可以更精準進行風險預測、災防預算配置與應變調度。</p> <p>鄭麗君強調，AI災防的關鍵在於資料整合。未來政府將優先建立統整性的災防資料庫，串接各部會圖資、氣象、水文、交通、地質及通訊等資料，再透過AI模型分析與模擬，提升災害預警與決策效率。</p> <p>她指出，透過圖資與AI分析，能協助中央與地方政府更有效協調資源，也有助於與民間體系合作，建立更完整的社會防災支持網絡。</p> <p><strong><span style="color:#B22222;">透過各種科技整合空間情資，發揮救災重建效益</span></strong></p> <p>在災防管理中，地理空間情資的資料蒐集相當重要，中央災害防救會報中，農業部特別報告了空間情資在加速災後復原重建的應用案例，以丹娜絲颱風為例，政府首度啟動空間情報小組，整合衛星、飛機、無人機遙測影像，以及各類地理資訊系統圖資，協助超過4萬棟受損房屋的災損調查與復原重建。</p> <p>農業部建置BigGIS巨量空間資訊系統，在丹娜絲颱風與七二八豪雨期間，實際用於雲嘉南地區災損的調查與重建工作。</p> <p>行政院認為，空間情資平臺未來將是防災科技的重要基礎建設，將持續優化「空間情報小組」運作機制，並與AI災防專案會議跨域整合。</p> <p>除了AI與空間科技，高風險基礎設施與孤島地區的防災韌性也是關注的重點。行政院要求相關部會強化水、電、通訊等維生系統的災前整備與監測預警，同時加強邊坡科技監測與道路排水改善工程，降低豪雨與地震造成的交通中斷風險。</p> <p>在交通防災方面，交通部持續推動蘇花及中橫公路邊坡科技監測與排水改善工程；農業部則持續利用雨量監測、水位監測與水砂情境模擬，掌握馬太鞍溪堰塞湖與土石流風險變化，並即時提供地方政府作為疏散避難與防災應變依據。</p> </div></div></div>
5/27 14:24作者蘇文彬https://www.ithome.com.tw/news/176160
Google示警中國PhaaS犯罪服務平臺升級，具AI生成偽冒網站能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過去一年，使用中文為主要語言的駭客族群，其主導的網路釣魚即服務（PhaaS）迅速擴張。繼<a href="https://www.ithome.com.tw/news/169488">臺灣研究人員</a>去年率先揭露相關情況後，<a href="https://cloud.google.com/blog/topics/threat-intelligence/chinese-language-phishing-services">Google威脅情報小組（GTIG）近期再度警告</a>，中文PhaaS平臺正運用AI提升全球網釣能力，並規避釣魚網站偵測。</p> <p>GTIG指出，PhaaS市場過去長期由俄語駭客包辦，現今中文地下犯罪體系興起，需要全球戒備。而且這些平臺提供的釣魚範本，宣稱能支援全球100多國的釣魚活動，但皆以非中國品牌為目標，顯示其刻意避開中國境內以降低查緝風險。</p> <p>經分析十多個活躍平臺後，GTIG發現AI自動化工具已成主流。以Darcula平臺（研判與UNC5814有關）為例，該平臺捨棄靜態模板，改採AI網頁產生器搭配Puppeteer等工具。攻擊者僅需提供URL，系統即能複製合法網站的HTML、CSS與JavaScript。由於釣魚網頁結構各異，導致傳統特徵碼偵測效果大減甚至失效。</p> <p>此外，GTIG還發現其技術手段進一步擴張。例如，這些網路犯罪租賃平臺從單純收集密碼，演進至即時攔截一次性密碼（OTP），另也能將竊取的信用卡資訊與OTP結合，受害者信用卡綁定攻擊者設備的數位錢包。這些PhaaS更提供網域名稱註冊、VPS代管、偽基地臺（IMSI catchers）及洗錢等配套，形成完整而成熟的網路犯罪供應鏈，讓租用犯罪平臺的簡體中文使用者，可以更快速對全球民眾發動網釣攻擊。</p> <p> </p> </div></div></div>
5/27 15:17作者羅正漢https://www.ithome.com.tw/news/176158
北韓駭客Lazarus鎖定金融與加密貨幣機構，散布惡意軟體RemotePE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>惡名昭彰的北韓駭客Lazarus近期動作頻頻，不時有攻擊行動傳出，最近有資安公司警告，這些駭客更換作案工具，使得相關活動的蹤跡更難察覺。</p> <p>資安公司Fox IT指出，Lazarus從原本使用惡意程式ThemeForestRAT和PondRAT，<strong><a href="https://blog.fox-it.com/2026/05/22/remotepe-the-lazarus-rat-that-lives-in-memory/">更換為僅在記憶體運作的工具組</a></strong>，涵蓋3種惡意程式DPAPILoader、RemotePELoader，以及RemotePE。具體來說，這些工具可形成一系列攻擊鏈，Lazarus通常會濫用Windows服務，或是透過側載方式啟動DPAPILoader，該惡意程式再濫用作業系統內建的Windows Data Protection API（DPAPI），解密並載入另一支惡意程式RemotePELoader。由於DPAPI將金鑰與特定使用者帳號綁定，金鑰管理由作業系統負責，即使防守方將惡意酬載上傳至VirusTotal，也會因為缺乏對應的金鑰而難以分析。</p> <p>接著，RemotePELoader的主要工作，是從C2伺服器擷取惡意程式RemotePE的核心模組，並載入記憶體。不過，它在執行上述工作之前，會採用兩種型態的迴避偵測技術，其中一種是HellsGate，是源自於TartarusGate的變形手法，會動態解析執行環境以掌握Windows系統呼叫編號。藉由直接系統呼叫，RemotePELoader會迭代Process Environment Block的模組清單，然後重新映射所有的DLL檔，並置換在記憶體中被掛鉤的DLL複本，同時解除端點防護系統的掛鉤。另一種是「填補」Windows事件記錄追蹤功能（ETW），以特定位元組覆寫當中使用的EtwEventWrite() 函式，使得ETW的事件記錄不會產生，連帶影響仰賴ETW的資安工具讀取受害電腦的事件記錄內容。</p> <p>RemotePE是具備完整遠端存取木馬（RAT）功能的惡意程式，採用C++語言與物件導向的程式設計風格進行撰寫，執行時會啟動兩個執行緒，其中一個建立C2通訊，另一個處理來自C2伺服器的指令。此RAT支援6種類型的指令，其中較特別的是刪除檔案的部分，該惡意程式會先以特定的資料覆寫檔案7次，然後再更改檔名並予以刪除。RemotePE也實作外掛功能，操作員可動態註冊其他DLL有效酬載，以載入外掛程式。</p> </div></div></div>
5/27 14:14作者周峻佑https://www.ithome.com.tw/news/176122
7-Eleven資料外洩事故外流逾18.5萬客戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在4月17日，被駭客組織ShinyHunters聲稱從便利商店龍頭7-Eleven竊得超過60萬筆資料，開價25萬美元兜售；一個月後，7-Eleven<strong><a href="https://www.ithome.com.tw/news/175914">向美國緬因州檢察長辦公室通報資料外洩事故</a></strong>，並指出事故發生在4月8日，該公司自5月1日起通知受影響人士。至於此次資料外洩影響的範圍有多大，最近有資安網站透露更多資訊。</p> <p>近日密碼外洩查詢網站Have I Been Pwned（HIBP）將這起資安事故<strong><a href="https://haveibeenpwned.com/Breach/7-Eleven">加入資料庫</a></strong>，並指出有18.53萬個帳號受到影響，其中包括電子郵件信箱、姓名、實體地址、出生日期、電話號碼。根據HIBP掌握的駭客公開資料，他們認為，符合7-Eleven後續以電子郵件通知受影響人員的說法（外洩資料來自該公司存放加盟商文件的系統）。</p> </div></div></div>
5/27 14:19作者周峻佑https://www.ithome.com.tw/news/176145
美國航空導入Starlink機上網路，逾500架客機明年升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://news.aa.com/news/news-details/2026/American-to-install-Starlink-the-fastest-Wi-Fi-in-the-sky-MKG-OB-05/" target="_blank">美國航空（American Airlines，AA）周二（5/26）宣布</a>，將自2027年第一季起在超過500架窄體客機上安裝SpaceX旗下Starlink衛星網路服務，成為最新一家導入Starlink機上Wi-Fi的大型航空公司。</p> <p>此次升級主要針對美國航空旗下500多架Airbus窄體客機，包括新交付的A321neo及A321XLR機型。美國航空表示，此舉將大幅提升旅客在飛行期間的網路體驗，支援影音串流、線上遊戲、即時通訊及協作工具等應用。</p> <p>Starlink是SpaceX所建置的低地球軌道（Low Earth Orbit，LEO）衛星網路系統，目前已在太空部署逾7,000顆衛星。相較傳統高軌道衛星系統，低軌衛星可降低訊號傳輸距離，因此具有較低延遲及更高速度。根據美國航空說法，Starlink可透過Aero Terminal設備向飛機提供連線，每個天線最高可支援1Gbps；希望讓窄體機隊旅客獲得「接近家中使用」的Wi-Fi體驗。</p> <p>SpaceX Starlink企業銷售副總裁Jason Fritch表示，Starlink可提供從登機門到登機門（gate-to-gate）的持續連線能力，讓商務及休閒旅客都能獲得更順暢的飛行體驗。</p> <p>近年航空公司正積極升級過去速度慢、價格高且不穩定的機上網路服務，希望吸引高消費能力旅客。除了美國航空外，聯合航空（United Airlines）、西南航空（Southwest Airlines）及阿拉斯加航空（Alaska Airlines）等業者，也都已宣布採用Starlink作為機上網路方案。</p> </div></div></div>
5/27 12:51作者陳曉莉https://www.ithome.com.tw/news/176156
Microsoft Defender for Endpoint測試自動隔離被駭端點功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://learn.microsoft.com/en-us/defender-endpoint/whats-new-in-microsoft-defender-endpoint#may-2026" target="_blank">微軟目前正在預覽</a>端點安全產品Microsoft Defender for Endpoint一項能自動隔離被駭端點的新功能。</p> <p><a href="https://learn.microsoft.com/en-us/defender-endpoint/respond-machine-alerts#isolate-device-automatic-attack-disruption" target="_blank">根據微軟描述</a>名為「自動攻擊阻斷」（automatic attack disruption）的功能，可在企業特定裝置被駭時自動隔離，防止攻擊在公司網路上擴大災害。</p> <p>Microsoft Defender for Endpoint為微軟企業版端點安全產品，可管理企業終端設備。針對由Microsoft Defender for Endpoint管理的企業裝置，一旦特定裝置遭受感染或被駭，會立即從公司網路斷線，該裝置只會和Microsoft Defender for Endpoint服務保持連線，由後者持續監控裝置。這功能能防止攻擊者或惡意程式橫向移動，以防範資料外洩、勒索軟體蔓延。</p> <p>但微軟也提醒，為防隔離造成營運中斷，若關鍵系統被自動隔離，企業想要解除隔離，之前必須確認快速驗證和利害關係人協調，確認惡意活動已經被排除和災害已復原。</p> <p>這項功能也允許管理員定義不受隔離的裝置。首先，管理員可定義隔離裝置可存取的處理程序與網路目的地，這功能支援的裝置包括Windows 11、Windows 10 1703、Windows Server 2012 R2、Azure Stack HCI OS 23H2以後版本，以及執行macOS的裝置。其二，管理員可定義哪些裝置或實體完全不能隔離，用以防止關鍵營運中斷。</p> </div></div></div>
5/27 12:57作者林妍溱https://www.ithome.com.tw/news/176157
Red Hat推出強化容器映像檔，內建SBOM提升供應鏈透明度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開放原始碼解決方案供應商<a href="https://www.redhat.com/en/about/press-releases/red-hat-hardened-images-accelerates-cloud-native-development-and-zero-cve-strategies" target="_blank">Red Hat（紅帽）於5月12</a><a href="https://www.redhat.com/en/about/press-releases/red-hat-hardened-images-accelerates-cloud-native-development-and-zero-cve-strategies" target="_blank">日宣布</a>，Red Hat Hardened Images正式推出。這項服務源自Red Hat先前推動的Project Hummingbird，該專案原本鎖定降低容器攻擊面的需求，如今已發展成可用於正式環境的強化容器映像檔，現階段提供超過45個項目、涵蓋超過150種變體，並建置於紅帽管理的受信任（trusted）軟體管線之上。</p> <p>Red Hat表示，這批正式供應的強化映像檔涵蓋企業工作負載常用的程式語言、執行環境、資料庫、網頁伺服器與工具，包括Python、Node.js、Go、Java、.NET、PostgreSQL、Valkey、Nginx與HAProxy等。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0527-Red%20Hat%20Hardened%20Images-1.png" style="width: 600px;" /></p> <p>Red Hat推出這項服務，主要是因應容器基礎映像檔帶來的軟體供應鏈風險。<a href="https://www.redhat.com/en/blog/red-hat-hardened-images" target="_blank">Red Hat</a><a href="https://www.redhat.com/en/blog/red-hat-hardened-images" target="_blank">在部落格中指出</a>，目前平均每天約有160個通用漏洞揭露（Common Vulnerabilities and Exposures，CVE）編號被公開，加上自動化掃描工具與AI輔助漏洞發掘工具普及，企業後續可能需要處理更多漏洞警示。單一容器掃描就可能列出數百個漏洞項目，使資安團隊必須花費大量時間判斷哪些漏洞真正影響應用程式。</p> <p>Red Hat Hardened Images的核心設計包括distroless架構、可信任相依套件、自動化修補與多雲可攜性。所謂distroless架構，是指預設不包含命令列Shell、套件管理工具與非必要元件，藉此縮小攻擊者可利用的攻擊面。Red Hat也提供多種映像檔變體，包括兼顧distroless原則與上游映像檔相容性的預設版本、保留安全強化但允許安裝套件以利客製化建置的Builder版本，以及面向受監管環境的美國聯邦資訊處理標準（Federal Information Processing Standards，FIPS）驗證變體；部署架構則涵蓋AMD64與Arm64。</p> <p>在供應鏈透明度方面，Red Hat Hardened Images內建軟體物料清單（Software Bill of Materials，SBOM），讓企業更容易掌握映像檔組成內容，並支援法遵稽核與報告需求。Red Hat也表示，這些映像檔的相依套件來自Red Hat的SLSA第3級建置管線（Supply-chain Levels for Software Artifacts Level 3，SLSA3），維持從原始碼到成品的可驗證信任鏈；合規相關設定可透過開源組態與合規掃描工具OpenSCAP驗證。Red Hat也指出，這些映像檔可在公有雲與內部部署基礎架構維持一致的操作體驗，協助降低企業遭特定供應商綁定的風險。</p> <p>Red Hat表示，Red Hat Hardened Images提供的每個映像檔都可免費使用，並可用於任何Linux發行版、任何Kubernetes版本或任何容器引擎。對於需要較長生命週期的使用者，該公司也預計後續提供長期支援（Long-Term Support，LTS）映像檔，並以選購訂閱模式供應。</p> </div></div></div>
5/27 11:36作者王珮瑤https://www.ithome.com.tw/news/176151
Anthropic預計擴大Project Glasswing合作對象，目標是將Claude Mythos推向一般企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic 4月初透過Project Glasswing將Claude Mythos分享給特定科技及金融廠商，<a href="https://www.anthropic.com/research/glasswing-initial-update" target="_blank">本周Anthropic公布下一步計畫</a>，將把Project Glasswing擴及更多政府等組織，但最終目標是將該模型公開推出。</p> <p>Anthropic上個月公布Claude Mythos預覽版時，考量該模型尋找程式碼漏洞的威力極大，若被濫用可能有不良後果，因此透過Project Glasswing，限定僅有部分合作夥伴能使用Claude Mythos。</p> <p>迄今已有將近50家合作夥伴已經用Claude Mythos來搜尋自家環境或產品軟體的漏洞。<a href="https://www.ithome.com.tw/news/176076" target="_blank">該公司表示</a>，Claude Mythos讓合作夥伴找到超過一萬個漏洞。</p> <p>Anthropic說，接下來，他們將會把Project Glasswing擴大到更多關鍵合作夥伴，包括美國及盟國政府。至於何時會提供一般企業，Anthropic表示，現在還不是時候，原因不是申請團隊的能力，而是他們相信，目前包括Anthropic在內，沒有一家公司已發展出夠強大的安全防護機制來防範模型被惡意濫用。</p> <p>但Anthropic承諾，在最近的將來，一旦該公司完成更強大的安全防護機制，公司「很期待」將Mythos等級的模型公開（general release）大眾使用。</p> <p>在此之前，Anthropic已以公開Beta版提供Claude Opus 4.7為基礎的Claude Security給Claude Enterprise客戶。針對安全專家，該公司也透過<a href="https://support.claude.com/en/articles/14604842-real-time-cyber-safeguards-on-claude" target="_blank">Cyber Verification Program</a>開放以資安為目的，如漏洞研究、滲透測試和紅隊演練等使用其Claude模型。</p> </div></div></div>
5/27 11:44作者林妍溱https://www.ithome.com.tw/news/176152
收錄近600個歷史作業系統的虛擬作業系統博物館開幕了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一名加拿大獨立開發人員<a href="https://virtualosmuseum.org/" target="_blank">Andrew Warkentin在上周發表了Virtual OS Museum</a>，這是一個跨平臺與互動式的虛擬作業系統博物館，蒐集了逾570種作業系統，橫跨超過250種平臺，總計收錄逾1,700個虛擬機安裝環境。Windows、macOS或Linux用戶下載後，即可透過Linux虛擬機與內建模擬器，啟動多種歷史作業系統環境。</p> <p>Warkentin是位作業系統與模擬器收藏者，他花了二十多年來收集模擬器、磁碟映像檔，以及舊時代的作業系統環境。<a href="http://andreww591.blogspot.com/2026/05/ive-released-virtual-museum-with-nearly.html" target="_blank">他表示</a>，雖然近年已有不少歷史軟體保存專案與古老平臺模擬器，但一般使用者往往仍得自行處理繁複的安裝與設定；部分作業系統甚至只適用特定版本的模擬器，若模擬器更新後出現相容性退化，就可能無法正常執行。因此，Virtual OS Museum的目標，是把分散各處的歷史系統整理成可直接啟動、容易體驗的形式。</p> <p>Virtual OS Museum中所收錄的系統橫跨整個電腦發展史，從1948年的Manchester Baby、早期大型主機系統CTSS、Multics，到Unix、早期Windows NT、Classic Mac OS、NeXTSTEP、PalmOS、Symbian、Windows CE、QNX，以及各種BSD與Linux發行版。也包含Xerox Star Pilot/ViewPoint這類早期圖形介面系統，讓使用者可直接體驗作業系統從大型主機、個人電腦到行動與嵌入式裝置的演進。</p> <p>Warkentin表示，Virtual OS Museum幾乎納入所有知名作業系統與平臺，也包括許多冷門平臺。他已針對每個模擬器至少測試過一個客體安裝環境，並確認所有客體系統過去都曾在他的電腦上成功執行；不過，整合進Virtual OS Museum後，逾1,700個安裝環境目前仍在測試中，迄今僅完成不到一半。</p> <p>使用者可下載完整版或簡易版的Virtual OS Museum。其中，完整版已預先下載所有內容，檔案大小約為170GB，可離線使用；簡易版（Lite）則只有20GB，只包含基礎的Linux系統、安裝器、模擬器與啟動器，至於各種作業系統的虛擬機映像檔，則會在第一次執行時下載。</p> <p>Warkentin表示，手上仍有許多安裝映像檔，未來將持續替Virtual OS Museum新增虛擬機安裝環境，數量可望超過2,000個。</p> <p>開發者社群對Virtual OS Museum感到驚豔。<a href="https://www.osnews.com/story/145006/the-virtual-os-museum/" target="_blank">OSNews說</a>明，這類「下載即可使用」的懷舊收藏在遊戲領域並不陌生，但將數百個歷史作業系統整合成單一體驗平臺的案例卻很少見；<a href="https://forums.libretro.com/t/the-virtual-os-museum/50466" target="_blank">Libretro論壇用戶則說</a>這個讓數百個作業系統可直接開箱使用的Virtual OS Museum專案令人驚豔；<a href="https://www.theregister.com/oses/2026/05/23/the-virtual-os-museum-opens-its-doors/5243459" target="_blank">The Register則指出</a>，該專案還提供了快照還原功能，若使用者把模擬系統弄壞，可快速回復到正常狀態。</p> </div></div></div>
5/27 11:49作者陳曉莉https://www.ithome.com.tw/news/176153
微軟修補SharePoint高風險漏洞，已通過身分驗證攻擊者可遠端執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45659" target="_blank">微軟於5月21日發布安全更新</a>，修補企業協作與文件管理平臺SharePoint的遠端程式碼執行漏洞CVE-2026-45659。這項漏洞CVSS風險分數為8.8，<a href="https://www.cve.org/CVERecord?id=CVE-2026-45659" target="_blank">屬於高風險</a><a href="https://www.cve.org/CVERecord?id=CVE-2026-45659" target="_blank">（High）</a>等級。受影響產品包括SharePoint Server Subscription Edition、SharePoint Server 2019，以及SharePoint Enterprise Server 2016。</p> <p>根據微軟安全更新指南，CVE-2026-45659的問題源自SharePoint系統可允許對不受信任資料的反序列化處理（Deserialization of Untrusted Data），使具備存取權限的攻擊者可透過網路執行程式碼。這項漏洞可透過網路觸發，攻擊門檻相對較低，不需要誘使使用者點擊連結或開啟檔案；不過，攻擊者仍必須先登入系統，並至少具備SharePoint網站成員（Site Member）權限。微軟也指出，這項漏洞在公告發布時，尚未遭公開揭露或遭利用。</p> <p>這項漏洞由名為MEOW的研究人員通報。微軟提醒，SharePoint Server 2016與SharePoint Enterprise Server 2016適用相同KB編號，使用任一版本的客戶都應安裝對應安全更新。</p> <p>值得注意的是，微軟在4月也曾修補SharePoint Server偽冒漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32201" target="_blank">CVE-2026-32201</a>，該漏洞CVSS風險分數為6.5，且已遭實際利用。雖然微軟評估CVE-2026-45659被利用的可能性較低，但<a href="https://thehackernews.com/2026/05/microsoft-patches-sharepoint-rce-flaw.html" target="_blank">The Hacker News</a>指出，SharePoint漏洞多年來持續遭攻擊活動利用，企業仍應盤點受影響版本並儘速套用修補。</p> </div></div></div>
5/27 11:55作者王珮瑤https://www.ithome.com.tw/news/176154
微軟傳將要求內部停用Claude Code改用GitHub Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>媒體報導，微軟高層近日要求內部工程師在6月30日之前，停用Claude Code作為程式開發工具，而改用其自家的GitHub Copilot CLI。部分媒體認為成本或許是原因之一。</p> <p><a href="https://www.theverge.com/tech/930447/microsoft-claude-code-discontinued-notepad" target="_blank">The Verge首先引述報導此事</a>。微軟Windows、Microsoft 365、Outlook、Teams和Surface部門執行副總裁Rajesh Jha發出對內公開信下達命令，要求工程師們在2026年6月30日之前將Anthropic的開發助理Claude Code從其作業流程中移除，改用自家的GitHub Copilot CLI。報導指出，Claude Code很受微軟員工喜愛甚於自家GitHub Copilot，「可能太受歡迎了」，不但工程師愛用，而且在之前微軟的倡導下，連非工程人員也都用起了Claude Code。</p> <p>報導引述Jha給出的理由是，「工具串的整體性（toolchain unification）」。他指出，雖然Claude Code是學習的重要一環，但Copilot CLI更有助於和公司的GitHub程式庫直接整合。</p> <p><a href="https://www.techradar.com/pro/microsoft-may-discontinue-claude-code-internally-as-it-looks-to-push-users-towards-github-copilot" target="_blank">媒體分析</a>，對微軟高層而言，透過將工具整合於公司控制的軟體，最終理由是有助於削減成本。</p> <p><a href="https://www.techradar.com/pro/microsoft-may-discontinue-claude-code-internally-as-it-looks-to-push-users-towards-github-copilot" target="_blank">不過報導指出</a>，微軟只限制員工使用Claude Code，但仍然允許員工以GitHub Copilot使用Anthropic的模型。事實上，微軟和Anthropic合作日漸深厚，其消費版Copilot和Microsoft 365底層也有使用Anthropic Claude模型，藉此減少對OpenAI的依賴性。</p> <p><strong>Anthropic漲價爭議</strong></p> <p>不過Anthropic的成本近日成為開發人員的關切問題。4月Anthropic公布Claude Opus 4.7時，Anthropic雖然計價表維持每百萬Token的API原價，卻悄悄更換了底層的分詞器（Tokenizer）。<a href="https://platform.claude.com/docs/en/about-claude/models/whats-new-claude-4-7" target="_blank">官方在公告中說明</a>，「相同文字可能多消耗高達35%的Token。其次，Anthropic Claude Code定價頁與支援文件一度顯示每月20美元的Pro方案排除在Claude Code適用對象，他們可能必須升級或改成每月100美元起的Max方案，引發開發人員反彈。不過<a href="https://www.ithome.com.tw/news/175323" target="_blank">Anthropic主管澄清</a>這只是一項對比例約2%新專業消費者（prosumer）註冊用戶的小型測試，並未推向Pro方案用戶。</p> </div></div></div>
5/27 11:09作者林妍溱https://www.ithome.com.tw/news/176147
蘋果OS基礎密碼學程式庫內建兩種量子安全演算法，並推出形式驗證工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">上週五，在蘋果的安全工程與架構團隊（SEAR）與硬體技術正式驗證團隊的合作之下，針對作業系統<a href="https://security.apple.com/blog/formal-verification-corecrypto/"><strong>發布</strong></a>新的基礎密碼學程式庫<a href="https://github.com/apple/corecrypto"><strong>corecrypto</strong></a>，當中實作兩種量子安全演算法：ML-KEM、ML-DSA，以及該公司建立的數學證明，以確保它們符合FIPS 203與FIPS 204這兩種美國聯邦資訊處理標準的要求，供專家獨立評估。</p> <p style="margin-left:.05pt;">在此同時，為了提升關鍵軟體安全保障，使其達到最先進的水準，蘋果也發布自行建立的形式驗證（formal verification）程式庫與工具，可針對任何廣泛部署的相關演算法實作，提供已知最強的正確性驗證結果。</p> <p style="margin-left:.05pt;">為了及早因應未來的量子電腦帶來的加密遭破解威脅，蘋果2024年在corecrypto加入後量子加密，並持續在最有可能發揮作用的領域當中，例如涉及通訊與其他敏感資訊加密處理的應用，<a href="https://support.apple.com/zh-tw/guide/security/secc7c82e533/1/web"><strong>像是</strong><strong>iMessage</strong><strong>、</strong><strong>VPN</strong><strong>、</strong><strong>TLS</strong><strong>網路連線</strong></a>，率先開發與部署強力的量子安全密碼學技術；此外，2025年秋季蘋果發布的<a href="https://developer.apple.com/documentation/cryptokit/enhancing-your-app-s-privacy-and-security-with-quantum-secure-workflows"><strong>Apple CryptoKit</strong></a>，也內含多種支援量子安全機制的API，開發者得以在他們的應用程式當中，採用具有量子安全特性的加密與身分驗證技術。</p> <p style="margin-left:.05pt;">而在審閱ML-KEM與ML-DSA設計附帶的實作後，蘋果確認當中有顯著的改善空間，他們套用數學最佳化的處理，即可在不需變更底層演算法的狀況下，增進效能，也謹慎改寫對效能與安全性影響相當敏感的子程序，以便充分利用蘋果的處理器硬體特性，像是資料獨立計時（Data Independent Timing，DIT），以及指標認證（Pointer Authentication，PAC）。基於他們對於蘋果晶片的專業知識，透過這些經過手動最佳化的做法，也使他們能精準控制處理器的行為，進而預防可能將機密暴露的時序旁路攻擊（timing side channels）。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/xlarge_Formal-Verification-Process-Light-Mode-%402x.jpg"><img alt="" src="/sites/default/files/images/xlarge_Formal-Verification-Process-Light-Mode-%402x.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">由於ML-KEM與ML-DSA背後的數學原理是近年才出現的，在實際產品中，IT業界以安全方式實作這些演算法的集體經驗仍很有限，蘋果表示，他們積極致力於避免再度發生業界早期部署橢圓曲線密碼學的問題，當時因為其中存在隱晦且易遭利用的漏洞，而阻礙這類技術的普及。</p> <p style="margin-left:.05pt;">為了因應支援多種語言、快速程式碼演化，以及使用現有開發者工具等多種需求，蘋果最終自行設計了形式驗證方法。他們結合原本使用的工具與新工具，並實現自上而下的驗證，範圍橫跨針對ML-KEM與ML-DSA訂定的FIPS規範與最終實作。</p> <p style="margin-left:.05pt;">在這次發表的消息中，蘋果介紹4種用於形式化驗證的開放原始碼工具，分別是：驗證複雜數學證明的Isabelle、形式驗證軟體程式屬性的Software Analysis Workbench（SAW）、與SAW搭配的形式語言Cryptol、將Cryptol演算法模型轉換為Isabelle公式的cryptol-to-isabelle。</p> </div></div></div>
5/27 01:20作者李宗翰https://www.ithome.com.tw/news/176143
市占第一OTP簡訊平臺EVERY8D遭駭，F-ISAC發布三級資安事件警訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在臺灣數位經濟運作的底層，企業簡訊傳遞服務是一條鮮少受到公眾關注、卻牽一髮而動全身的神經網路。國內企業簡訊與通訊軟體供應商互動資通（Teamplus）」日前疑似遭受嚴重的網路攻擊與勒索軟體侵害，導致其核心業務、市占第一的EVERY8D企業簡訊平臺全面癱瘓。</p> <p>由於該平臺每月簡訊發送量超過一億封，加上與電信業者的深度合作，已成為臺灣各大銀行身分驗證、電商交易確認、政府機關通知及金流業者OTP（一次性密碼）認證不可或缺的關鍵基礎設施。</p> <p>金融資安資訊分享與分析中心（F-ISAC）於今日（5月26日）下午，正式對此一資安事件發布重大「三級資安事件」警訊，並要求所有會員機構必須採取「先釐清暴露面，再進行應變處置」的緊急手段，同時發布五點防禦指引作為會員機構的防禦參考。</p> <p>但此事件因核心驗證服務中斷而面臨營運停擺危機，凸顯第三方供應商的防護漏洞，已經直接威脅到臺灣商業與民生系統的營運持續性，更迅速演變成一場國家級的供應鏈資安風暴。</p> <h2><strong>F-ISAC發布三級資安事件，意味核心系統遭駭或機敏資料外洩</strong></h2> <p>在臺灣資安通報規範中，「三級事件」屬於相當嚴重的國安與產業危機，這意味著：國家關鍵基礎設施或核心通訊系統，遭受高技術駭客入侵而導致核心業務停擺，或是涉及大量核心機敏資料與民眾個資外洩；而由於其損害規模已無法由單一企業自行控制，因此，必須提升至國家級跨部會通報、跨產業鑑識聯防的資安事件通報層級。</p> <p>此次F-ISAC將互動資通事件定性為「三級資安事件」（警示燈號為黃燈Amber），其意義遠超過一般的系統故障或服務中斷。依據我國《資通安全管理法》及相關法規，三級資安事件意指對核心業務資料或系統造成重大影響、可能波及組織正常運作的安全事故；一旦發生，必須立刻依法啟動強制通報與應變程序，機構若未在規定時限內完成通報與處置，將面臨相應的法律責任。</p> <p>從衝擊面向來看，三級事件通常代表受害組織單位面臨以下幾個層面的挑戰，首先，核心業務資料已確認或極可能外洩，企業的商業機密、客戶個資或系統架構資訊不再處於受控狀態；其次，組織的日常運作受到顯著干擾，依賴受影響系統的業務流程出現大範圍停擺；第三，企業的信譽與財務狀況可能因此遭受難以量化的長期損害。</p> <p>更重要的是，三級事件的發生本身就是一個嚴重的管理警訊，這顯示該受駭組織在資安防禦縱深、人員訓練或政策執行上，已經存在根本性的漏洞。畢竟，一個成熟的資安體系，應該在事件升級至三級之前，於更早階段攔截威脅。</p> <h2><strong>駭客論壇外洩互動資通內網架構圖與部份簡訊內容</strong></h2> <p>這場風暴的開端可追溯至5月21日，一名身分不明的駭客在知名駭客地下論壇中，以「SELLING」為標題，公開兜售互動資通的上市公司網域控制器帳號，以及EVERY8D企業簡訊平臺的相關資料。</p> <p>根據駭客論壇公布的外洩網路架構圖與拓樸可以顯示，駭客應該早就已經深度潛伏於互動資通的內網中，將第一層反向代理伺服器（HAProxy）、內部主機名稱、IP位址配置、檔案路徑結構以及服務連接埠資訊全部摸透。從外洩的資訊更可以看到，本應嚴密保護的SSH遠端管理服務更直接暴露在外網，讓駭客有長驅直入的通道。</p> <p>此外，根據駭客論壇的外洩資訊顯示，互動資通內部多達兩百多臺活躍主機、簡訊服務中心（ServiceCenter）、排程元件（RabbitMQ），以及用於硬體層級控制的iLO管理介面，均遭到全面控制。</p> <p>最讓人擔心的是，駭客已經成功攻破生產環境的微軟網域控制器（Domain Controller），掌握網域之間的最高信任關係。這意味著駭客已奪取了企業IT環境的最高權限帳號，能夠以最高管理員身分，在整個網路中自由地橫向移動、讀取任意機敏資料。</p> <p>駭客為了證明已經確實掌握EVERY8D企業簡訊平臺，更直接在駭客論壇上，公布涉及臺灣五院、總統府、軍隊、各部會，以及民眾的真實簡訊的日誌紀錄，甚至連文化部驗證碼、軍醫院收發室聯絡訊息與政治核心輿情都被駭客公開；隨後服務主機也被鎖上加密勒索訊息，顯示其防禦體系已被徹底瓦解。</p> <h2><strong>企業簡訊異常引爆業界怒火，宣稱「系統升級」卻遭資安警訊打臉</strong></h2> <p>但是，在駭客論壇外洩資料公布之前的幾日，社群媒體Threads（脆）上，已經陸續傳出許多電商、金流業者的認證簡訊無法發送災情，導致許多電商和金流業者的身分認證和交易中止。</p> <p>從Threads上的發言可以觀察到，最早自5月18日起，就已經有電商與金流業者開始通報簡訊發送異常，消費者遲遲無法收到OTP驗證碼，導致無數筆交易在最後結帳環節硬生生卡死。</p> <p>隨後數日，Threads也湧現大量電商、開店平臺與線上金流業者的集體抱怨，直指企業簡訊平臺的服務連續數日掛點「根本恢復不了」，許多電商平臺和金流業者甚至憂慮，不知如何賠償因簡訊異常而造成的客戶商譽與營業損失，部分民眾更諷刺企業簡訊平臺的系統恢復無望。</p> <p>然而，在持續擴大的服務中斷期間，卻可以看到，有一些銀行在官網公告中，宣稱其簡訊異常的原因是「簡訊業者機房搬遷及系統升級造成簡訊服務不穩定」，試圖安撫客戶並請用戶嘗試重新操作。</p> <p>銀行在官網上的「機房搬遷、系統升級」的解釋，極有可能就是互動資通對銀行客戶的說法，但這個說法卻在F-ISAC發布三級資安事件的警訊後，難以自圓其說。</p> <p>企業簡訊平臺業者試圖粉飾太平的藉口，與F-ISAC證實：互動資通的企業簡訊平臺是「遭遇加密勒索」，以及業界第一線人員集體在社群媒體上哀號的現實，顯然存在著嚴重落差，也引發外界對互動資通的誠信與危機處理能力的質疑。</p> <p><img alt="" src="/sites/default/files/images/600-%E8%84%86%E4%B8%8A%E4%BA%92%E5%8B%95%E8%B3%87%E9%80%9A%E7%B0%A1%E8%A8%8A%E4%B8%8D%E9%80%9A%E8%B2%BC%E6%96%87.jpg" style="width: 600px; height: 330px;" /></p> <blockquote><p>最早自5月18日起，Threads也湧現大量電商、開店平臺與線上金流業者的集體抱怨，直指EVERY8D企業簡訊平臺的服務連續數日掛點，許多電商平臺和金流業者甚至憂慮，不知如何賠償因簡訊異常而造成的客戶商譽與營業損失，部分民眾更諷刺企業簡訊平臺的系統恢復無望。</p> </blockquote> <p> </p> <p><img alt="" src="/sites/default/files/images/900-%E9%8A%80%E8%A1%8C%E5%85%AC%E5%91%8A%E7%B0%A1%E8%A8%8A%E7%95%B0%E5%B8%B8.jpg" style="width: 900px; height: 253px;" /></p> <blockquote><p>也有銀行業者在官網公告麒簡訊異常，是因為簡訊業者互動資通因機房搬遷和系統升級造成的結果，但互動資通這樣的「藉口」，則被F-ISAC於5月26日所發布的三級事件警訊打臉。</p> </blockquote> <p> </p> <h2><strong>政治與軍事機密恐全面裸奔，國家級「簡訊間諜」成隱憂</strong></h2> <p>除了眼前的商業產值損失，這起事件也潛藏令人不安的國安威脅。因為，駭客所釋出的資料庫外洩樣本中，也有大量涉及臺灣五院、總統府、各部會，以及軍隊相關的真實簡訊日誌紀錄。</p> <p>在外洩的簡訊樣本中，除了包含文化部文化幣App的註冊驗證碼、北市社會局關於中央租金補貼專案的意願調查等公部門行政個資，也包含大量政治人物與民意代表間的通訊內容、政情討論、地方輿情，甚至是民眾對總統、立委的建言。最驚人的是，在外洩資料中，甚至有新竹空軍醫院收發室的收件聯絡資訊，以及官兵在國防部會客室的聯絡簡訊。</p> <p>這意味著，只要互動資通與其四大電信介接的簡訊發送管道若未能完全釐清權限，駭客未來隨時有可能發動更精準的偽冒攻擊。由於EVERY8D平臺支持政府專屬的「+111」等特定簡訊代碼，一旦該管道遭到不法份子控制，駭客將能假冒政府部會或軍方名義，發送帶有惡意木馬或釣魚連結的簡訊給特定官員與一般大眾，可能引發民眾恐慌與資安後遺症。</p> <h2><strong>社交工程攻擊風險劇增，單點故障引發跨產業數位韌性信心危機</strong></h2> <p>該起事件之所以引發如此大規模地癱瘓，根本原因在於：現代數位服務生態中「單點故障」（Single Point of Failure）的結構過於脆弱。</p> <p>也就是說，當一家企業簡訊服務業者，同時掌握著數以百計的銀行、電商、金流，以及政府機關等客戶，它本身就成為整條供應鏈上，最脆弱的「關鍵罩門」。</p> <p>以金融業為例，幾乎所有網路銀行與行動支付服務在關鍵操作時，都依賴OTP（一次性密碼）簡訊作為第二身分驗證因素。一旦認證簡訊發送服務中斷，不僅轉帳、付款等日常交易無法進行，就連登入帳號、修改設定等基本操作，也可能因為無法通過雙因素驗證而全面停擺。此外，對電商業者而言，無法完成身分驗證，意味著訂單流失、客訴激增，也會對品牌信譽帶來難以量化的長期損害。</p> <p>更深層的隱患，也來自資料外洩本身的後續風險。金融機構F-ISAC發布的三級資安事件警訊，已明確提示：若曾透過互動資通系統或服務發送簡訊，應立即檢視近期簡訊發送紀錄、內容、連結網址及收件對象是否正常，並特別留意「是否有未經授權寄送、異常連結或疑似偽冒通知等情形」。</p> <p>這意味著，外洩的簡訊發送記錄可能被用於精準的社交工程（Social Engineering）攻擊，針對已知的目標客戶發送偽冒官方訊息，進而引導受害者洩漏更多個人資訊或金融帳號。</p> <h2><strong>F-ISAC提出五點防禦指引，提醒未來企業選用相關服務時應該謹慎</strong></h2> <p>目前F-ISAC在其發布的三級警訊中，採取「TLP Amber」限制性資訊分享等級，明確指引跨產業防禦的核心邏輯，要求所有會員機構必須採取「先釐清暴露面，再進行應變處置」的緊急手段。</p> <p>首先，便是呼籲各單位立即展開內部全面盤點，確認是否有任何機敏資訊存放於互動資通的系統中，並依據相關法規辦理後續通報與處置；再者，各機構必須嚴密清查，確認近期與該公司之間是否存在任何檔案交換、設備介接，或是使用其所提供之設備、平臺與服務的紀錄，以防堵任何潛在的滲透路徑。</p> <p>第三，在實體設備與網域防範方面，F-ISAC要求資安團隊全面檢視單位內所有設備是否存在異常行為，尤其是設備的異常外部連線或帳號異常登入，一旦發現可疑行為紀錄，必須在第一時間釐清原因並啟動應變程序。</p> <p>第四，要將包含主機設備、作業系統、程式套件及防毒軟體在內的安全修補與防護系統全面更新至最新版本，做到即時防禦。</p> <p>最後，針對EVERY8D企業簡訊平臺最核心的資料外洩危機，F-ISAC更特別示警，凡曾透過該公司系統發送簡訊的單位，必須嚴格回溯檢視近期的簡訊發送紀錄、內容、連結網址及收件對象是否正常，加強監控是否有未經授權寄送、異常連結或疑似偽冒通知等衍生詐騙情形，若發現蛛絲馬跡應儘速釐清衝擊範圍。</p> <p>然而，警訊中「影響範圍及整體事件原因，正委由資安廠商鑑識中」的關鍵表述，正意味著即便在警訊發布的當下，這場供應鏈遭駭事件的真實受害全貌與潛在破口，仍未完全釐清。</p> <p>這正是供應鏈攻擊最令人心驚的危害所在──駭客不再耗費心力去直接攻破防禦嚴密的銀行或政府核心網域，而是透過滲透防護相對薄弱、卻握有通行特權的第三方核心服務商，將風險無差別地擴散至上游千百家企業。這種「木馬屠城」式的連鎖效應，也引發了跨產業與主管機關對於供應鏈安全的集體高度關切。</p> <p>當互動資通這類企業簡訊平臺，實質上，已經承載國家數位身分驗證、金流交易，以及公部門訊息傳遞的核心功能時，它就不再是一家單純的資訊軟體服務業者，而是已經成為國家關鍵基礎設施在運作上，不可或缺的重要外部樞紐。</p> <p>對受駭的資服業者互動資通而言，此次事件從網域控制器淪陷、勒索軟體部署到資料於地下論壇公開兜售，顯示攻擊者已在其環境中進行深層且持續的滲透，這絕非單一漏洞或個別疏失所能解釋，而是系統性資安防護失效的結果。</p> <p>未來，面對這種關鍵服務的提供者，其資安防禦強度是否符合國家安全標準、遭遇攻擊時的通報透明度是否足夠，或許是臺灣相關產業在選用時，能否進行嚴格的資安盡職調查（Security Due Diligence）與多元備援布局，將成為接下來各界在評估選用關鍵服務業者時的布局重點。</p> <p> </p> </div></div></div>
5/26 19:22作者黃彥棻https://www.ithome.com.tw/news/176142
微軟規畫調整C# unsafe語意，強化記憶體安全責任揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟.NET團隊說明，他們正在<strong><a href="https://devblogs.microsoft.com/dotnet/improving-csharp-memory-safety/">調整C#處理不安全（unsafe）程式碼的設計</a></strong>，讓可能影響記憶體安全的責任更明確地出現在程式碼中，並由編譯器協助檢查。該變更暫定列為C# 16功能，計畫在.NET 11提供預覽，並在.NET 12正式推出，初期在專案層級設定可選啟用，未來可能成為預設模式。</p> <p>在既有C#模型中，unsafe主要用來建立允許使用指標相關功能的程式碼範圍，例如方法、型別或方法內部區塊。新模型調整後，unsafe不再只是允許開發者使用指標語法，而是用來標示一段程式碼涉及編譯器無法自行驗證的記憶體安全條件，也就是說，當成員簽章標上unsafe，代表該成員將特定安全義務傳遞給呼叫端。</p> <p>新設計要求每個不安全操作都必須放在明確的unsafe區塊內，例如呼叫不安全方法，或是讀取、寫入指標指向的記憶體。若開發者能在方法內部先檢查輸入條件，完成風險處理，該方法對外仍可維持一般呼叫方式，但若無法處理，就必須把責任傳遞給呼叫端，呼叫端呼叫該成員時也必須放在unsafe區塊內。</p> <p>該設計也會改變部分既有API揭露風險的方式，以Marshal.ReadByte這類API為例，過去這類方法可透過IntPtr讀取記憶體，但呼叫端不一定會因為方法簽章出現指標型別而受到限制。新模型擴大unsafe涵蓋範圍後，這類操作必須更清楚揭露呼叫端需要確保的條件，例如指標與位移量相加後，必須指向呼叫端有權讀取的有效記憶體位置。</p> <p>除了語法規則，微軟也引入安全註解慣例。不安全成員應該附上專門的安全說明，寫明呼叫端必須滿足的條件，而方法內部則可用註解說明，開發者如何確認特定不安全操作所依賴的條件已經成立，分析器可協助找出缺少安全說明的情況。</p> <p>該調整屬於編譯期規則變更，不會新增執行期檢查，也不會影響效能，違反新規則時，結果會出現編譯錯誤而不是警告。微軟表示，.NET執行期函式庫也會採用新模型，並計畫提供工具協助既有專案進行機械式調整，讓程式碼能先符合新規則，但安全條件的判斷與<safety>說明撰寫，仍需由開發者完成。</p> </div></div></div>
5/26 19:38作者李建興https://www.ithome.com.tw/news/176140
臺馬二號海纜完成搶修，東引脫離「單一備援」狀態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>數發部今天(5/26)表示，中華電信已於25日通報完成臺馬二號海纜修復作業，將今年3月7臺馬二號海纜距離淡水沙崙約23.6公里處的全斷障礙正式排除，目前東引地區語音、行動通訊及網際網路服務已恢復透過海底電纜傳輸，結束近一個月主要依靠微波備援系統支撐的狀態。</p> <p>此次修復之所以受到關注，原因在於東引及馬祖地區近來接連遭遇海纜故障事件，首先是臺馬二號海纜在去年10月7日發生部分芯線受損障礙，後續臺馬二號海纜又在今年的3月7日於距沙崙23.6公里處發生斷纜，使得當地通訊只能仰賴臺馬三號海纜支援。</p> <p>但是今年3月30日，臺馬三號海纜於東引外海約2.64公里處也發生部分芯線受損，後又於4月29日再次受損，最終造成北竿至東引區段全斷，在臺馬二號待修，臺馬三號又斷之下，只能緊急啟動微波備援機制，將語音及網路流量轉移至微波通訊系統，以維持東引約1,500名居民的基本通訊需求。</p> <p>雖然行動電話及網路服務仍可運作，但部分上網服務出現延遲，當地的有線電視服務也受到影響。此次臺馬二號終於修復後，東引終於回到海纜傳輸，通訊品質回歸正常。</p> <p>值得注意的是，臺馬二號海纜目前仍有另一處障礙尚未排除。數發部表示，該海纜於2025年10月在距離淡水沙崙約180公里海域發生部分芯線受損，但剩餘容量仍足以支應馬祖尖峰時段通訊需求，因此不影響現行服務，預計最快可於今年11月底前完成修復。</p> <p>儘管臺馬二號斷纜部分已修復，當地回歸到海纜通訊，但現在臺馬三號海纜仍處於待修狀態，按照數發部公布的資料顯示，預估7月底才會修復，擺脫僅靠單一條海纜通訊的風險。</p> <p>近幾年來從2023年臺馬二號與臺馬三號接連斷纜事件，到今年東引再度面臨海纜故障，離島通訊韌性已成為政府數位基礎建設的重要課題。</p> <p>數發部表示，未來將持續落實「備援再備援」策略，包括在關鍵節點布建非同步衛星站點、補助電信業者擴充微波容量，以及持續推動海纜建設與更新工程，透過海纜、微波與衛星等多元異質網路架構，降低單一通訊路徑故障所帶來的衝擊。</p> <p>從這次事件來看，即使微波備援已能在海纜故障時維持基本服務，但海底電纜仍是離島寬頻與大型網路流量的主要傳輸骨幹。當臺馬二號與臺馬三號接連發生障礙時，也突顯建立多重備援與提升海纜韌性，已成為確保離島數位服務不中斷的重要基礎工程。</p> </div></div></div>
5/26 19:16作者蘇文彬https://www.ithome.com.tw/news/176141
【資安日報】5月26日，馬偕醫院再傳遭駭客竊取資料，院方表示疑為去年舊案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176129"><strong style="font-size: 22px;">馬偕醫院再傳遭駭客竊取資料，該院表示疑為2025年舊案</strong></a></p> <p>馬偕醫院再傳出遭駭客攻擊事件。今日國內多家媒體報導，有駭客組織宣稱取得馬偕全臺5家醫院1.2TB醫療資料。馬偕醫院今日發布聲明強調，經了解後疑似為2025年舊案，目前並未發現網路流量異常現象，並在得知此事的第一時間向臺北市調查處報案。</p> <p><a href="https://www.ithome.com.tw/news/176081"><strong style="font-size: 22px;">秘魯國家級緊急預警系統遭駭，破口是供應商帳號遭入侵</strong></a></p> <p><a href="/sites/default/files/images/（主圖）秘魯緊急預警訊息系統遭駭_SISMATE.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%A7%98%E9%AD%AF%E7%B7%8A%E6%80%A5%E9%A0%90%E8%AD%A6%E8%A8%8A%E6%81%AF%E7%B3%BB%E7%B5%B1%E9%81%AD%E9%A7%AD_SISMATE.jpg" style="width: 380px; float: right;" /></a></p> <p>國家級緊急預警系統是政府傳遞警報的工具，若被不肖分子駭入並用於散布社會恐慌，將帶來動盪。近日秘魯的緊急預警訊息系統（SISMATE）便發生嚴重資安事故，因供應商帳號遭未經授權存取，導致大量民眾收到虛假預警。秘魯交通與通訊部（MTC）發布聲明指出，有攻擊者透過系統供應商Consorcio Everbridge的帳號非法存取SISMATE系統，發送虛假地震、海嘯警報，並夾帶與緊急應變無關的內容。</p> <p><a href="https://www.ithome.com.tw/news/176127"><strong style="font-size: 22px;">賓士德國、土耳其分公司均傳資安事件，外洩數十萬客戶資料</strong></a></p> <p>汽車大廠賓士（Mercedes-Benz）土耳其分公司疑似近日遭到勒索軟體攻擊，資安業者VECERT指出，有駭客組織將賓士土耳其分公司Mercedes-Benz Türk列入勒索外洩名單，研判外洩資訊可能來自賓士公司自行開發的Xentry車輛診斷系統的資料。此外，研究人員亦在4月間也發現涉及德國賓士分公司的資料外洩事件。目前賓士集團尚未證實資料外洩或資安事件一事。</p> <p><a href="https://www.ithome.com.tw/news/176076"><strong style="font-size: 22px;">Anthropic公布Project Glasswing實施一個月成果，Claude Mythos已找出超過三萬個資安漏洞</strong></a></p> <p>Project Glasswing計畫執行一個月後，Anthropic於5月22日公布成效，指出近50家合作夥伴利用Mythos預覽版找出逾1萬個漏洞，Anthropic亦運用Mythos掃描逾千個開源專案，共找出23,019個漏洞。另一關注焦點在於漏洞挖掘的品質，經6家資安公司與Anthropic審核其中1,752個高風險項目，確認有1,587個（90.6%）為有效弱點，並有1,094個（62.4%）被認定為高風險或重大漏洞。</p> <p><a href="https://www.ithome.com.tw/news/176096"><strong style="font-size: 22px;">資安業者Elastic揭露新型銀行木馬TCLBanker</strong></a></p> <p>資安業者Elastic揭露新型銀行木馬TCLBanker，研判這是既有Maverick／Sorvepotel惡意軟體家族的大幅升級版本。值得注意的是，該惡意程式會偽裝成Logitech軟體安裝程式，鎖定巴西59個銀行與加密貨幣網站，並能進行鍵盤側錄、螢幕截圖與遠端操控等遠端控制。目前該惡意軟體雖然專門針對巴西用戶，但仍存在跨區域散播的風險。</p> <p><a href="https://www.ithome.com.tw/news/176082"><strong style="font-size: 22px;">PHP開發框架Laravel的語言套件遭挾持，駭客植入竊資軟體</strong></a></p> <p>PHP開發框架Laravel的第三方語言套件專案Laravel Lang，其GitHub儲存庫近期遭到入侵，攻擊者針對三個套件，分別是laravel-lang/lang、laravel-lang/attributes、laravel-lang/http-statuses，發布指向帶有惡意程式碼版本的標籤，並在這些程式碼注入可竊取憑證的程式碼，並藉由composer元件的自動載入功能執行。根據資安公司Aikido的調查分析，由於惡意程式碼未曾提交到Laravel的官方儲存庫，而特別難以察覺，資安公司Socket、Step Security也著手調查此事，並指出還有一個專案Laravel-Lang/actions也遭遇攻擊。</p> <p><a href="https://www.ithome.com.tw/news/176093"><strong style="font-size: 22px;">GitHub出現大規模自動化活動Megalodon，六小時推送近6千筆惡意提交、5,500個儲存庫受害</strong></a></p> <p><a href="/sites/default/files/images/2026-05-26_161037.jpg"><img alt="" src="/sites/default/files/images/2026-05-26_161037.jpg" style="width: 380px; float: right;" /></a></p> <p>GitHub面臨大規模自動化攻擊Megalodon，攻擊者在5月18日，於5,561個儲存庫提交5,718次惡意內容。揭露此攻擊活動的資安公司OX Security與SafeDep指出，這次駭客透過已棄用的帳號與偽造的作者身分，將經Base64編碼處理的bash酬載注入GitHub Actions的工作流程，並將CI機密、雲端憑證、SSH金鑰、OIDC權杖（token），以及原始碼等敏感資料偷偷傳出，整個過程僅花了6小時。</p> <p><a href="https://www.ithome.com.tw/news/176113"><strong style="font-size: 22px;">TrapDoor供應鏈攻擊透過NPM、PyPI、Crates散布竊資軟體</strong></a></p> <p>資安公司Socket揭露一起攻擊行動TrapDoor，目標鎖定加密貨幣、去中心化金融（DeFi）、Solana，以及AI社群開發者，駭客於NPM、PyPI、Crates滲透34個套件，上傳至少384個惡意套件版本，目的是竊取開發者的機密資料，包括加密貨幣錢包、SSH金鑰、雲端憑證、瀏覽器資料，以及環境變數。</p> <p><a href="https://www.ithome.com.tw/news/176103"><strong style="font-size: 22px;">Packagist遭遇供應鏈攻擊，8個套件被感染，駭客意圖透過GitHub散布Linux惡意軟體</strong></a></p> <p>過往軟體供應鏈攻擊多半針對NPM或PyPI儲存庫而來，如今有人將目標轉移到Packagist。資安公司Socket揭露針對Packagist的供應鏈攻擊事故，有8個套件受到影響，這些套件上游的儲存庫遭到竄改，被植入相同的惡意指令碼，其功能是從特定的GitHub網址下載Linux二進位檔案，並於系統背景執行。進一步追查攻擊者GitHub帳號，在17小時內發現777個惡意檔案，此結果顯示整起攻擊活動的規模比預期的更大。</p> <p><a href="https://www.ithome.com.tw/news/176112"><strong style="font-size: 22px;">內容管理系統Ghost的SQL注入漏洞被用於發動ClickFix網釣攻擊</strong></a></p> <p>內容管理平臺未及時修補的資安漏洞，有可能讓攻擊者有機可乘。中國資安公司奇安信揭露鎖定Ghost平臺的大規模攻擊活動，駭客利用已知漏洞CVE-2026-26980，取得網站的API金鑰，接著透過API大量竄改文章內容，於頁面植入惡意JavaScript載入工具，目的是建置假的Cloudflare人機驗證網頁（FakeCaptcha），進行ClickFix網釣攻擊，引誘瀏覽網頁的使用者在本機執行惡意命令。</p> <p><a href="https://www.ithome.com.tw/news/176116"><strong style="font-size: 22px;">Universal Robots修補工控機器人重大漏洞</strong></a></p> <p>全球主要協作機器人（cobot）廠商之一的Universal Robots，近日修補工控機器人作業系統PolyScope 5中的重大漏洞CVE-2026-8153，CVSS評分高達9.8分，漏洞存在於Dashboard Server介面，攻擊者可能透過命令注入遠端控制機器人與周邊設備。CISA也已對此漏洞發布ICS安全公告，呼籲企業儘速更新並強化網段隔離。</p> <p><a href="https://www.ithome.com.tw/news/176120"><strong style="font-size: 22px;">網路流量分析工具Wireshark發布新版本</strong></a></p> <p>知名開源網路流量分析工具Wireshark近日發布4.6.6版更新，修補ROHC與MACsec協定解析器漏洞，攻擊者可能利用特製封包造成程式當機與阻斷服務，主要問題影響4.6與4.4系列版本，新版本也同步修正Windows相容性與安裝問題，建議用戶儘速升級。</p> <p><a href="https://www.ithome.com.tw/news/176107"><strong style="font-size: 22px;">向量資料庫ChromaDB存在重大漏洞引發關注</strong></a></p> <p>開源向量資料庫ChromaDB Python FastAPI伺服器存在重大漏洞CVE-2026-45829，在GitHub相關回報中有人特別提到，這項漏洞主要影響Python實作部署方式後端，建議ChromaDB用戶改用不受影響的Rust實作版本。資安業者HiddenLayer更是指出，該漏洞從ChromaDB 1.0.0就存在，至1.5.8仍未修補，最新1.5.9也沒有明確說明是否修補。</p> <p><a href="https://www.ithome.com.tw/news/176091"><strong style="font-size: 22px;">Ubiquiti修補UniFi OS平臺三項滿分重大漏洞</strong></a></p> <p>網通設備商Ubiquiti修補旗下UniFi OS管理平臺的重大漏洞，這次修補包含3項CVSS嚴重性評分10.0滿分的漏洞，包括CVE-2026-34908、CVE-2026-34909、CVE-2026-34910，未修補可能導致攻擊者執行任意指令、存取系統底層敏感資訊等問題。</p> <p><a href="https://www.ithome.com.tw/news/176121"><strong style="font-size: 22px;">FBI警告Kali365釣魚即服務竊取Microsoft 365權杖</strong></a></p> <p><a href="/sites/default/files/images/2026-05-26_160832.jpg"><img alt="" src="/sites/default/files/images/2026-05-26_160832.jpg" style="width: 380px; float: right;" /></a></p> <p>美國聯邦調查局（FBI）5月21日警告，Kali365釣魚即服務（PhaaS）正鎖定Microsoft 365環境。FBI強調，這類攻擊活動主要濫用Microsoft身分驗證機制中的合法裝置代碼流程（Device Code Flow），進而冒充可信任的雲端生產力或文件共享服務，郵件內含裝置代碼，並引導使用者前往真正的Microsoft驗證頁面輸入代碼，受害者完成驗證後，實際上是授權攻擊者控制的裝置存取其帳號。</p> <p><a href="https://www.ithome.com.tw/news/176125"><strong style="font-size: 22px;">AI是否加速Linux漏洞發現受關注，OpenSSF專家稱約三成漏洞通報為重複案例</strong></a></p> <p>近期Linux核心漏洞接連曝光，開源安全社群與Linux核心維護者怎麼看待？OpenSSF首席安全架構師Christopher Robinson即表示，隨著更多人使用AI工具進行漏洞研究，回報的Linux資安漏洞約有30%是重複案例。CloudLinux執行長Igor Seletskiy則指出，過去通常每年只會出現一、兩個影響多個Linux發行版的LPE漏洞，但近期一週內就出現兩個類似漏洞值得企業留意，並認為這類趨勢可能還會持續數月。</p> <p><a href="https://www.ithome.com.tw/news/176019"><strong style="font-size: 22px;">臺灣AI治理將從政府擴及產業與資料治理</strong></a></p> <p>臺灣《人工智慧基本法》共有20條，其中多項條文涉及全新的AI治理制度設計，國科會前瞻及應用科技處處長蔡妙慈表示，政府正討論建立資料開放、共享與再利用機制，但前提仍須兼顧個資與隱私保護。她強調，AI發展速度極快，政府希望透過《人工智慧基本法》的落實，以及國科會、數發部與各部會的分工協作，建立可信任的AI治理生態系，讓臺灣不只是AI技術供應者，也成為具備治理能力的AI應用國家。</p> <p><a href="https://www.ithome.com.tw/news/176108"><strong style="font-size: 22px;">Visa揭示支付威脅新趨勢：犯罪集團轉向攻擊「人」而非破解技術</strong></a></p> <p>支付安全新挑戰浮現，Visa於5月20日發布2026年春季半年度威脅報告，指出網路層面的技術防護雖有成效，但罪犯已將矛頭轉向利用AI與社交工程，誘騙使用者自行授權付款。報告中指出，詐騙已成為成長最快的受害類型，在2025年7月至12月間，共偵測到近10億美元的詐騙相關企圖。Visa指出，防禦重心必須從「偵測遭竊憑證」，轉向「偵測並瓦解欺騙行為」。</p> <p><a href="https://www.ithome.com.tw/news/176118"><strong style="font-size: 22px;">NIST發布SP 800-172第三版修訂，強化對抗APT韌性</strong></a></p> <p><a href="/sites/default/files/images/（主圖）NIST SP 800-172r3.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89NIST%20SP%20800-172r3.jpg" style="width: 380px; float: right;" /></a></p> <p>美國國家標準與技術研究院（NIST）更新SP 800-172，於5月13日發布第三版。這套指南是建立在現行的SP 800-171基礎合規框架之上，專為保護關鍵計畫與高價值資產（HVA）所設計的增強型規範，目的是協助建立抵禦進階持續性威脅（APT）的深層防線。無論企業是為了支援CMMC的合規、強化供應鏈韌性、與風險管理框架（RMF）對接，將可參考新版指引來行動。</p> <p><a href="https://www.ithome.com.tw/news/176111"><strong style="font-size: 22px;">微軟推.NET版MCP代理治理套件，控管AI代理工具呼叫風險</strong></a></p> <p>微軟推出.NET版MCP代理治理擴充套件預覽版，其特色是，讓開發者在建置MCP伺服器時，就能加入治理機制，控管工具是否能被呼叫、呼叫時是否符合政策，以及啟動前掃描、回應內容遮蔽，以及稽核與指標蒐集機制，降低代理誤用工具或接收惡意輸出的風險。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176094"><strong>【5月25日】GitHub內部儲存庫的程式碼外流，確認遭供應鏈攻擊事故波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176053"><strong>【5月22日】微軟修補防毒軟體零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176020"><strong>【5月21日】近兩個月研究人員公布的零時差漏洞已能串成攻擊鏈</strong></a></p> <p> </p> </div></div></div>
5/26 16:30作者羅正漢https://www.ithome.com.tw/news/176130
OpenSSF發布Python安全程式開發指南，可用於開發者培訓、資安研究與AI工具評測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openssf.org/blog/2026/05/12/secure-coding-guide-for-python-pyscg-first-release/" target="_blank">開源軟體安全基金會（Open Source Security Foundation，OpenSSF）於5月12日發布《Py<wbr></wbr>thon安全程式開發指南》</a>（Secure Coding Guide for Python，pyscg）首版，內容涵蓋9大章節、超過50項<wbr></wbr>規則，並以可執行程式碼範例示範常見弱點與修正方式，<wbr></wbr>可用於開發者培訓、資安研究，<wbr></wbr>以及大型語言模型與靜態分析工具評測。</p> <p>這份指南由OpenSSF最佳實務工作小組（OpenSSF Best Practices Working Group）建立，聚焦CPython 3.9及之後版本與標準函式庫，<wbr></wbr>避免依賴特定網頁框架或第三方模組，<wbr></wbr>讓不同技術堆疊的團隊都能套用當中揭示的原則。OpenSSF表示，整份指南設計為可在40小時內完成自學，<wbr></wbr>協助開發者建立安全程式開發基本觀念。</p> <p>雖然這份指南主要面向新進開發者，但OpenSSF也指出，<wbr></wbr>指南中的程式碼範例與規則整理，可協助資安研究人員觀察與理解Python弱點模式；開發團隊也能利用這些範例，測試大型語言模型、<wbr></wbr>靜態分析器等AI與自動化分析工具，並檢驗這些工具是否能辨識Python程式碼中的弱點模式，<wbr></wbr>教育工作者則可將其作為安全程式開發課程的基礎教材。</p> <p>指南內容分為9個章節，涵蓋信任邊界（Trust Boundaries）、硬編碼憑證（Hardcoded Credentials）、輸入正規化（Input Canonicalization）與數值處理（Numeric Handling）等基礎安全議題，也包括作業系統命令注入（O<wbr></wbr>S Command Injection）、SQL注入（SQL Injection）、反序列化（Deserializatio<wbr></wbr>n）、路徑穿越（Path Traversal）等常見弱點，並延伸至例外處理（Excep<wbr></wbr>tion Handling）、日誌記錄（Logging）、並行處理（C<wbr></wbr>oncurrency）與密碼學（Cryptography）。<wbr></wbr>每項規則都包含風險說明、不符合規範的程式碼範例、<wbr></wbr>符合規範的修正範例、自動化偵測結果，並對應非營利研發組織MI<wbr></wbr>TRE維護的常見弱點枚舉（Common Weakness Enumeration，CWE）分類。</p> <p class="rtecenter"><a href="https://best.openssf.org/Secure-Coding-Guide-for-Python/" target="_blank"><img alt="" src="/sites/default/files/images/0526-pyscg.png" style="width: 600px;" /></a></p> <p>OpenSSF也強調，靜態分析工具與AI輔助程式碼審查雖有助<wbr></wbr>於找出問題，但無法涵蓋所有安全風險。<wbr></wbr>部分弱點不是單靠程式碼掃描就能發現，<wbr></wbr>而是與系統流程設計及資料處理方式有關。例如，<wbr></wbr>程式未清楚區分可信任與不可信任資料、未妥善處理輸入內容，<wbr></wbr>或因運算子優先順序誤用而產生邏輯錯誤，<wbr></wbr>這類問題通常需要結合程式情境判斷，難以完全仰賴工具自動辨識。</p> <p>因此，指南中的程式碼範例採用固定命名規則，例如：noncompliantXX.py用來呈現反模式（an<wbr></wbr>ti-pattern）或漏洞，compliantXX.py示範對應修正方式，exa<wbr></wbr>mpleXX.py則說明特定程式行為。OpenSSF也指出，<wbr></wbr>範例不只呈現有弱點的程式碼，也會示範這類弱點可能如何被利用，<wbr></wbr>並以註解區隔兩者內容，<wbr></wbr>方便檢驗資安分析工具，確認其是否能找出相關弱點。</p> <p>在風險呈現方式上，這份指南並未採用抽象風險矩陣，<wbr></wbr>而是在主要總覽表中，將多項規則對應到實際產品中的代表性CVE<wbr></wbr>案例，並列出CVSS與EPSS（Exploit Prediction Scoring System，漏洞利用機率評分系統）的分數。OpenSSF指出<wbr></wbr>，CVSS呈現漏洞遭利用後的嚴重程度， EPSS則反映漏洞在<wbr></wbr>實際環境遭利用的可能性，<wbr></wbr>兩者搭配可協助開發者更具體理解不同弱點的真實風險。</p> </div></div></div>
5/26 16:51作者王珮瑤https://www.ithome.com.tw/news/176133
馬偕醫院再傳遭駭客入侵竊取資料，該院表示疑為2025年舊案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>馬偕醫院再度傳出遭駭客攻擊的事件，今日國內多家媒體報導指出，有駭客組織宣稱取得馬偕全臺5家醫院1.2TB醫療資料，馬偕醫院隨即發布聲明，表示經了解後疑似為2025年舊案，目前並未發現網路流量異常現象，並在得知此事的第一時間向臺北市調查處報案。</p> <p><a href="https://www.ithome.com.tw/news/167318">馬偕醫院去年2月曾遭到勒索軟體攻擊</a>，當時事件曾導致院內600多臺電腦受影響，掛號系統也受波及，後續證實為中國駭客Crazyhunter所為，其幕後主謀已確認為一名中國浙江省籍羅姓男子。</p> <p>時隔一年多的現在，馬偕醫院又傳出大規模資料外洩事件。根據多家國內媒體報導指出，一個稱為The BlackH4t MD-Ghost的駭客組織，宣稱他們從馬偕全臺5家醫院竊取大量資料，聲稱取得2025至2026年合計高達1.2TB醫療資料，同時在駭客論壇發布多份病患資料與檢驗系統紀錄作為佐證。</p> <p>馬偕醫院對此發布聲明稿表示：「針對網路疑似有關本院病人個資外洩一事，經內部瞭解後，疑似係為2025年發生之駭客攻擊事件。本院除已進行各項資安聯防外，平日即十分重視資訊安全，在該起事件後，本院更嚴密進行全體系資訊安全維護與定期及不定期內部查核。對於網路流量也持續保持監測，均未發現網路流量異常現象。」</p> <p>此外，院方也表示已向臺北市調查處報案，全力配合檢調偵辦，並呼籲民眾切勿在網路買賣或下載個資，以免觸法。</p> <p><a href="/sites/default/files/images/2026-05-26_152932.jpg"><img alt="" src="/sites/default/files/images/2026-05-26_152932.jpg" style="width: 600px;" /></a></p> </div></div></div>
5/26 15:28作者羅正漢https://www.ithome.com.tw/news/176129
NIST發布製造業資安實務指南草案，聚焦ICS網路攻擊事件應變與復原
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了強化製造業資安，在5月21日，美國國家標準暨技術研究院（<wbr></wbr>NIST）國家網路安全卓越中心（NCCoE）公開<a data-saferedirecturl="https://www.google.com/url?q=https://www.nist.gov/news-events/news/2026/05/now-available-nist-sp-1800-41-responding-and-recovering-cyber-attack&source=gmail&ust=1779868904563000&usg=AOvVaw15fBqQ0wtqoafS5pvMimLf" href="https://www.nist.gov/news-events/news/2026/05/now-available-nist-sp-1800-41-responding-and-recovering-cyber-attack" target="_blank">《<wbr></wbr>製造業網路攻擊回應與復原：資安實務指南》</a>初版草案，文件編號為NIST SP 1800-41，以下簡稱《製造業資安實務指南》。<wbr></wbr>這份指南聚焦工業控制系統（ICS）環境，說明製造業者如何依據<wbr></wbr>NIST網路安全框架2.0版（NIST CSF 2.0）建立事件回應與復原流程，以降低停機與營運衝擊。</p> <p>這份指南也參考NIST另外兩份文件，分別是：《NISTIR 8428》以及《NIST SP 800-61r3》；前者提供營運技術（OT）<wbr></wbr>環境的數位鑑識與事件回應流程，後者則協助製造業者依循NIST CSF 2.0，將資安事件的通報、分析、處置與復原整合至資安風險管理流程</p> <p>在實作層面，《製造業資安實務指南》以NIST CSF 2.0為基礎，聚焦該框架中的「回應」（Respond）與「<wbr></wbr>復原」（Recover）兩項核心功能。<a data-saferedirecturl="https://www.google.com/url?q=https://www.nccoe.nist.gov/news-insights/now-available-nist-sp-1800-41-responding-and-recovering-cyber-attack&source=gmail&ust=1779857586954000&usg=AOvVaw2IlyJ40gIaaHk6TKP-ORSk" href="https://www.nccoe.nist.gov/news-insights/now-available-nist-sp-1800-41-responding-and-recovering-cyber-attack" target="_blank">NCCoE與11家產業<wbr></wbr>合作夥伴建立模擬離散製造現場的示範環境</a>，<wbr></wbr>透過商用資安與工控技術，示範ICS環境遭遇資安事件後的應變流<wbr></wbr>程，包括事件通報、日誌檢視、事件分析、系統隔離、<wbr></wbr>清除入侵跡象與受影響項目，以及逐步恢復營運。<wbr></wbr>參與合作的業者涵蓋AWS、Google Cloud，思科（Cisco）、Dragos、Garland Technology、Tenable等網通與資安業者，<wbr></wbr>以及洛克威爾自動化（Rockwell Automation）、西門子（Siemens）等工控業者。</p> <p>具體來看，<a data-saferedirecturl="https://www.google.com/url?q=https://www.nccoe.nist.gov/sites/default/files/2026-05/nist-sp-1800-41-ipd.pdf&source=gmail&ust=1779857586954000&usg=AOvVaw39xqMMWJVToHAetwoXUTuY" href="https://www.nccoe.nist.gov/sites/default/files/2026-05/nist-sp-1800-41-ipd.pdf" target="_blank">這份指南列出3種演練情境</a>。首先，模擬攻擊者利用US<wbr></wbr>B隨身碟將惡意檔案植入工程工作站，進而感染監督層人機介面（H<wbr></wbr>uman Machine Interface，HMI），造成操作畫面失效。<wbr></wbr>第二類情境則模擬攻擊者竊取IT憑證後，<wbr></wbr>利用設定錯誤的防火牆系統，從企業網路進入ICS網路，<wbr></wbr>存取資料歷史庫，並將大量歷史資料傳送到外部伺服器；<wbr></wbr>組織需透過日誌、網路流量分析與端點資訊，<wbr></wbr>釐清資料外洩路徑與影響範圍。</p> <p>第三種情境聚焦未經授權控制指令。<wbr></wbr>攻擊者利用遭竊憑證存取工程工作站，<wbr></wbr>操作內部軟體變更控制輸送帶的可程式化邏輯控制器（Programmable Logic Controller，PLC）參數，<wbr></wbr>使產線生產出不符合規格的產品，最後導致生產中斷。</p> <p>另一方面，NIST也提醒，ICS環境不能直接套用一般IT資安<wbr></wbr>控制措施。以IT環境常見的入侵防護系統（Intrusion Prevention System，IPS）為例，ICS重視即時反應與可預期運作，<wbr></wbr>若IPS將安全控制相關通訊誤判為威脅並加以阻擋，<wbr></wbr>反而可能干擾現場安全機制或產線運作。因此，組織規畫ICS事件<wbr></wbr>回應架構時，不能只評估資安防護效果，也要同步考量製程需求、<wbr></wbr>設備運作特性與現場安全風險。</p> <p>整體而言，NIST這份《製造業資安實務指南》提醒，<wbr></wbr>組織若能完整蒐集設備、系統與網路日誌，提升監控資料的可視性，<wbr></wbr>並透過行為分析及早發現設備或網路活動異常，<wbr></wbr>再搭配不易遭竄改的備份儲存方式，<wbr></wbr>保存可用於復原的良好組態與備份檔案，<wbr></wbr>將有助於縮短從發現異常到完成調查處置的時間，提升ICS環境的<wbr></wbr>復原能力與營運韌性。</p> </div></div></div>
5/26 16:17作者王珮瑤https://www.ithome.com.tw/news/176131
華為提出τ縮放定律，尋找製程微縮之外的晶片演進路徑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.huawei.com/cn/news/2026/5/ieee-iscas-tau-scaling" target="_blank">華為周一（5/25）於IEEE國際電路與系統研討會（International Symposium on Circuits and Systems，ISCAS）上提出新的半導體發展框架「τ縮放定律（Tau Scaling Law）」</a>，主張在傳統製程微縮面臨物理與成本限制之際，透過縮短訊號傳輸與系統執行時間，延續晶片效能與密度提升。</p> <p>τ（讀作tau，華為中文寫成韜）是希臘字母中的第19個字母，在物理、電子工程與數學領域經常被用來表示時間常數（Time Constant），也就是系統完成變化或訊號傳播所需的特徵時間。與傳統透過縮小電晶體尺寸提升效能不同，τ縮放定律目標是縮短從元件、電路到系統層級的訊號傳輸與執行時間，以提升效能、能源效率及電晶體密度。</p> <p>華為常務董事、ICT基礎設施業務管理委員會主任何庭波於名為《實踐中的新半導體路徑》的演講中表示，隨著電晶體尺寸持續縮小，傳統摩爾定律正逐漸遭遇物理極限與成本效益遞減等挑戰。全球半導體產業不僅面臨電晶體微縮速度放緩，也面臨單位成本下降效益逐漸消失，因此需要新的技術路徑支撐日益成長的運算需求。</p> <p>根據華為的說明，τ縮放定律會從元件、電路、晶片到系統層級同步優化。在元件層級上，將透過降低電晶體與互連線的電阻、寄生電容，減少訊號傳遞延遲；電路層級則導入LogicFolding架構，打破傳統平面電路布局限制，縮短關鍵訊號路徑，降低訊號傳播時的負載。</p> <p>晶片層級則整合軟體、系統架構與矽晶片設計，依照不同工作負載更精細地控制指令與資料流，以提升執行效率。到了系統層級，將以UnifiedBus（靈衢總線）重新設計大型運算系統的互連方式，讓AI叢集可支援統一記憶體定址與原生記憶體語義，進一步降低節點間通訊延遲。</p> <p>華為表示，過去6年間已設計並量產381款基於τ縮放定律的晶片，預計2026年秋季推出的新一代Kirin晶片將首次採用LogicFolding架構，到了2031年其高階晶片電晶體密度可達相當於14Å（1.4奈米）製程的等效水準。</p> <p>外媒多將華為的τ縮放定律視為中國在美國出口管制下，尋找先進晶片替代路徑的嘗試，而非真正突破1.4奈米製程。此外，τ縮放定律並非完全從零開始的新物理定律，而是華為將3D整合、縮短互連、軟硬體協同與系統級優化等既有半導體發展方向，重新整合為一套以時間延遲為核心的新框架。</p> </div></div></div>
5/26 13:29作者陳曉莉https://www.ithome.com.tw/news/176126
賓士德國、土耳其分公司分傳資安事件，外洩數十萬客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>汽車大廠賓士（Mercedes-Benz）土耳其分公司疑似近日遭到勒索軟體攻擊，駭客聲稱竊得13萬客戶資料，成為全球賓士分公司資料外洩傳聞中的最新一則。</p> <p>資安業者<a href="https://x.com/VECERTRadar/status/2059073027011481687" target="_blank">VECERT本周</a>首先發現駭客在Tor暗網地下論壇貼文宣告此事。根據資安網站<a href="https://cybernews.com/security/mercedes-benz-uk-data-breach/" target="_blank">Cybernews報導</a>，駭客宣稱持有某個Excel/CSV格式檔案，涉及13萬筆客戶與車輛資料。檔案內部資料包括客戶姓名、城市、電話、電子郵件、車輛編號、賓士車型、領牌日期/車牌號碼、車輛定檢日期、最近服務日期及訂單/報價狀態等。此外，駭客也公佈了10筆樣本資料作為證明，其中包含英國車主的資料，Cybernews已證實資料真實性。</p> <p>VECERT研究人員分析，外洩資訊可能是來自包含賓士公司資料，以及該公司自行開發的Xentry車輛診斷系統（Xentry diagnosis system）的資料。</p> <p>目前賓士集團尚未證實資料外洩或資安事件一事。</p> <p><a href="https://x.com/VECERTRadar/status/2038336811496341760" target="_blank">VECERT研究人員</a>在4月間也發現涉及德國賓士分公司的資料外洩事件。一名駭客宣稱竊走這家德國車廠2.7萬筆資料，還說已經出售了部份資訊，而其買主藉由利用車主名單「打電話」，已獲利2000美元。不過駭客似乎沒有提供樣本證明，無法驗證說法真偽。</p> <p>事實上，近半年就有多組駭客分別宣稱取得賓士各地分公司的資料謀利。2026年3月DragonForce勒索軟體組織<a href="https://www.dexpose.io/dragonforce-ransomware-attack-on-mercedes-benz-of-arlington/" target="_blank">宣稱持有</a>美國Mercedes-Benz of Arlington，要求受害公司付贖金。</p> <p>而在2025年12月一名為Zestix的歹徒<a href="https://www.linkedin.com/posts/when-legal-files-become-leverage-mercedes-benz-share-7402099121303822336-rGzc/" target="_blank">竊走美國賓士</a>48州18.3 GB法務文件。2025年同一時間<a href="https://cyberupdates365.com/mercedes-benz-data-breach-source-code-leak/" target="_blank">另有駭客宣稱</a>經由問題Git儲存庫造成的供應鏈攻擊，竊走美國賓士IP程式碼、內部文件、系統憑證如Microsoft Azure權杖和AWS憑證及SSH金鑰、API文件等。</p> </div></div></div>
5/26 13:47作者林妍溱https://www.ithome.com.tw/news/176127
FBI警告Kali365釣魚即服務竊取Microsoft 365權杖，企業應限制裝置代碼流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a data-saferedirecturl="https://www.google.com/url?q=https://www.ic3.gov/PSA/2026/PSA260521&source=gmail&ust=1779845612914000&usg=AOvVaw1e6TF0Rdj0GpONjVpDGie3" href="https://www.ic3.gov/PSA/2026/PSA260521" target="_blank">美國聯邦調查局（FBI）5月21</a><a data-saferedirecturl="https://www.google.com/url?q=https://www.ic3.gov/PSA/2026/PSA260521&source=gmail&ust=1779845612914000&usg=AOvVaw1e6TF0Rdj0GpONjVpDGie3" href="https://www.ic3.gov/PSA/2026/PSA260521" target="_blank">日發布公告</a>，<wbr></wbr>警告新興釣魚即服務（Phishing-as-a-<wbr></wbr>Service，PhaaS）平臺Kali365鎖定Micro<wbr></wbr>soft 365環境，透過裝置代碼釣魚取得OAuth權杖並繞過多因素驗<wbr></wbr>證（MFA）。</p> <p class="rtecenter"><a href="http://www.ic3.gov/PSA/2026/PSA260521" target="_blank"><img alt="" src="/sites/default/files/images/0526-m365-FBI.png" style="width: 500px;" /></a></p> <p>FBI指出，Kali365主要透過即時通訊服務Telegra<wbr></wbr>m散布，攻擊者可透過訂閱Kali365服務取得OAuth權杖<wbr></wbr>擷取能力，藉此取得Microsoft 365的存取權杖與更新權杖，在不攔截使用者密碼或MFA驗證碼<wbr></wbr>的情況下，持續存取Microsoft 365環境。</p> <p>這類攻擊的關鍵，在於濫用Microsoft身分驗證機制中的合法裝置代碼流程（<wbr></wbr>Device Code Flow）。攻擊者會寄送釣魚郵件，<wbr></wbr>冒充可信任的雲端生產力或文件共享服務，郵件內含裝置代碼，<wbr></wbr>並引導使用者前往真正的Microsoft驗證頁面輸入代碼。<wbr></wbr>受害者完成驗證後，實際上是授權攻擊者控制的裝置存取其帳號，<wbr></wbr>攻擊者便可在不需要密碼、也不必再次通過MFA的情況下，存取O<wbr></wbr>utlook、Teams、OneDrive等Microsof<wbr></wbr>t 365服務。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0526-m365-Arctic%20Wolf.png" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/Arctic Wolf</span></span></p> <p>針對防護措施，FBI建議企業限制或封鎖裝置代碼流程，並在建立條件式存取（Conditional Access，CA）政策前，先稽核既有使用情況，<wbr></wbr>確認是否有合法業務相依性。FBI也建議封鎖驗證轉移政策（authentication transfer policies），<wbr></wbr>避免使用者將電腦上的驗證狀態轉移至行動裝置；<wbr></wbr>若無法完全停用裝置代碼流程，則應排除緊急存取帳號，<wbr></wbr>以免發生帳號鎖定問題。</p> <p><a data-saferedirecturl="https://www.google.com/url?q=https://arcticwolf.com/resources/blog/token-bingo-dont-let-your-code-be-the-winner/&source=gmail&ust=1779845612914000&usg=AOvVaw3EvsnGaynDnG5kL8usFD6i" href="https://arcticwolf.com/resources/blog/token-bingo-dont-let-your-code-be-the-winner/" target="_blank">資安業者Arctic Wolf則進一步針對Microsoft Entra</a><a data-saferedirecturl="https://www.google.com/url?q=https://arcticwolf.com/resources/blog/token-bingo-dont-let-your-code-be-the-winner/&source=gmail&ust=1779845612914000&usg=AOvVaw3EvsnGaynDnG5kL8usFD6i" href="https://arcticwolf.com/resources/blog/token-bingo-dont-let-your-code-be-the-winner/" target="_blank">身分與存取控管設定提出防護建議</a>。該公司建議，<wbr></wbr>若企業沒有明確需求，應透過條件式存取政策封鎖裝置代碼流程，<wbr></wbr>設定範圍可涵蓋所有使用者與所有雲端應用程式；若會議室裝置、<wbr></wbr>物聯網或數位看板等情境仍需使用，則應限制僅開放特定可信任IP位址、<wbr></wbr>特定裝置平臺或特定服務帳號群組存取。Arctic Wolf也建議啟用Microsoft Entra ID Protection的登入風險政策，偵測異常或可疑登入，<wbr></wbr>並搭配資安意識訓練，讓使用者能辨識並回報這類釣魚手法。</p> </div></div></div>
5/26 12:29作者王珮瑤https://www.ithome.com.tw/news/176121
2026世界盃倒數一個月，當心鎖定球迷的偽冒FIFA網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>不到一個月後，2026年世界盃足球賽將於美國、加拿大與墨西哥舉行。資安業者<a href="https://www.welivesecurity.com/en/cybersecurity/foul-play-fake-fifa-world-cup-websites-tickets/">ESET近日發出警示</a>，發現多個偽冒FIFA（國際足總）官方網站的釣魚網站，攻擊者透過註冊與官方名稱相近的網域，鎖定正在尋找門票、住宿或官方商品的球迷，藉此騙取個資與信用卡資訊。</p> <p>ESET拉丁美洲區資安研究員Mario Micucci指出，這些攻擊活動並非零星個案，而是有組織的運作。攻擊者註冊了多種變體的偽冒網域，即使部分網站因被檢舉而下架，仍能透過其他備用網域維持詐騙活動運作。</p> <p>例如，攻擊者建立了名為「fifa26.shop」、「26-fifa.com」等網站進行偽裝。此外，ESET也偵測到其他使用「.site」、「.store」與「.shop」等後綴的詐騙網站，這些網址皆刻意包含「fifa」字樣以偽裝其合法性。他們另也提醒民眾，必須留意域名拼寫誤差（<a href="https://www.ithome.com.tw/tags/typosquatting">typosquatting</a>）的伎倆，攻擊者在許多重大賽事前夕都曾使用過。</p> <p>ESET強調，這些偽冒網頁幾乎完整復刻了FIFA官方網站的所有視覺元素，甚至從選單布局到註冊與購票流程都完全一樣，同時也宣稱提供國家隊球衣等官方促銷商品，目的在於建立信任感，進而誘騙球迷在攻擊者控制的網站輸入其個資與信用卡資訊。</p> </div></div></div>
5/26 12:50作者羅正漢https://www.ithome.com.tw/news/176124
AI是否加速Linux漏洞發現受關注，OpenSSF專家稱約三成漏洞通報為重複案例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期<a href="https://www.ithome.com.tw/news/175481" target="_blank">Copy Fail</a>、<a href="https://www.ithome.com.tw/news/175646" target="_blank">Dirty Frag</a>與<a href="https://www.ithome.com.tw/news/175919" target="_blank">Fragnesia</a>等Linux核心漏洞接連曝光，引發外界關注AI工具是否正在改變漏洞發現與通報速度。</p> <p><a href="https://www.theregister.com/security/2026/05/23/ai-eyes-scanning-for-bugs-create-a-worrisome-linux-security-trend/5244742" target="_blank">The Register</a>在探討AI增加Linux資安通報壓力的報導中，引述Linux核心維護者、開源安全社群與業界人士的看法。Linux創始人Linus Torvalds在北美開源高峰會（Open Source Summit North America）上指出，Linux核心社群過去發現漏洞時，常會私下通知各發行版更新，但不詳細公開漏洞內容。然而，在AI加速漏洞分析之下，核心社群釋出修補後，外部研究人員可能很快就能寫出分析文章，說明修補涉及的漏洞影響。他認為，透過AI工具發現的漏洞，基本上已難以再視為祕密；若仍以私密郵件清單處理，不僅浪費各方時間，也可能使重複通報問題更加嚴重。</p> <p>不過，Linux穩定版核心維護者Greg Kroah-Hartman對漏洞數量是否明顯增加，態度較為保留。他表示，近期案例多半屬於很輕微的問題，而且允許不受信任使用者登入或操作的系統已不如過去常見；從實際修補情況來看，他未明顯感受到漏洞修補量增加。他也指出，Linux社群本來每天都在修補這類問題，只是現在更多人傾向替漏洞命名，並公開漏洞利用程式。</p> <p>開源軟體安全基金會（Open Source Security Foundation，OpenSSF）首席安全架構師Christopher Robinson則從維護者負擔角度提出警訊。他表示，隨著更多人使用AI工具進行漏洞研究，回報的Linux資安漏洞約有30%是重複案例。</p> <p>Red Hat技術長Chris Wright也提醒，資安漏洞本就存在不同嚴重程度，企業不能將所有通報視為同等風險。有些漏洞需要立即處理，有些則屬於較低嚴重性的長尾問題。</p> <p>CloudLinux執行長Igor Seletskiy指出，過去通常每年只會出現一、兩個影響多個Linux發行版及其不同版本線的核心層級本機權限提升（local privilege escalation，LPE）漏洞，但近期一週內就出現兩個類似漏洞。他認為，這類趨勢可能還會持續數月；若情況持續，企業可能面臨更頻繁重新啟動伺服器的維運壓力，甚至需要每週安排重啟作業。</p> <p>從整體漏洞利用趨勢來看，<a href="https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026" target="_blank">Google Cloud旗下Mandiant在M-Trends 2026</a><a href="https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026" target="_blank">報告</a>中指出，2025年平均漏洞利用時間（Time to Exploit，TTE）已降至估計-7天，代表攻擊者利用漏洞的時間點，平均已早於修補程式發布時間。</p> <p>在漏洞利用速度加快的環境下，系統管理員與開發者不能只仰賴事後修補，也需要強化預設安全設定、修補管理與系統隔離。Red Hat技術長<a href="https://www.linkedin.com/posts/chris-wright-b733851_you-know-about-selinux-and-security-controls-activity-7462987258854404096-23G1/">Chris Wright</a>建議，組織可評估將SELinux從寬容模式（permissive）切換到更嚴格的<a href="https://docs.redhat.com/en/documentation/red_hat_enterprise_linux_for_sap_solutions/9/html-single/using_selinux_for_sap_hana/index#:~:text=Red%20Hat%20recommends%20that%20you%20use%20SELinux%20in%20enforcing%20mode%20to%20configure%20your%20RHEL%20systems%20running%20on%20SAP%20HANA.%20This%20document%20describes%20the%20necessary%20configuration%20changes%20that%20you%20must%20make.">強制執行模式（enforcing）</a>。雖然更嚴格的安全控管會增加維運成本，但若等到攻擊造成系統受損後才重新建置容器與伺服器，代價可能更高；相較之下，提前落實安全設定仍是風險較低的作法。</p> </div></div></div>
5/26 13:18作者王珮瑤https://www.ithome.com.tw/news/176125
CDM發明人推AI Defense Matrix，建構AI安全配套框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著生成式AI浪潮席捲全球，企業在導入AI技術的同時，也面臨前所未有的安全挑戰。知名資安專家、網路防禦矩陣（Cyber Defense Matrix，CDM）發明人<a href="https://www.linkedin.com/posts/sounil_ai-defense-matrix-activity-7460298052210339840-Ubp9">Sounil Yu</a>，於5月中旬宣布與資安專家<a href="https://zeltser.com/ai-defense-matrix-intro">Lenny Zeltser</a>攜手合作，發表全新的<a href="https://aidefensematrix.com/">AI防禦矩陣（AI Defense Matrix）</a>。</p> <p>關於推出AI Defense Matrix，目的是協助資安主管識別防禦缺口、確立權責歸屬，並針對AI系統選擇精準的控管措施。同時，對於資安供應商而言，這套框架亦能協助其釐清產品價值定位，並擬定更具策略性的產品發展藍圖。</p> <p>從AI Defense Matrix的設計來看，內容主要是一個6×8的矩陣。橫軸分別是NIST CSF 2.0的六大類別，項目包括：治理、識別、保護、偵測、回應、復原。</p> <p>縱軸則呈現8種需要AI專屬防禦的資產類別。項目分別是AI工作負載平臺（AI-Workload Platforms）、AI協調工具（AI Orchestration Tools）、AI生成程式碼（AI-Generated Code）、AI閘道器與路由器（AI Gateways and Routers）、AI模型（AI Model）、訓練資料（Training Data）、執行時期的AI資料（Runtime AI Data）、AI代理身分（AI Agent Identities）。</p> <p><a href="/sites/default/files/images/（圖1）AI Defense Matrix於2026年5月發表.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89AI%20Defense%20Matrix%E6%96%BC2026%E5%B9%B45%E6%9C%88%E7%99%BC%E8%A1%A8.jpg" style="width: 600px;" /></a></p> <p>Sounil Yu與Lenny Zeltser強調，這套框架的核心意義在於釐清一個關鍵概念：AI防禦矩陣專注於「Security for AI」（為AI建立安全），目的是防護AI系統本身的特有組件。同時建議，資安團隊應檢視矩陣中的每一個單元格（Cell），評估現有的流程與技術，確認該資產在特定功能維度下的需求是否已被這些做法涵蓋。</p> <p>他們亦期許這套新框架能對業界有所助益，並歡迎各方提供建議，讓這個矩陣模型能持續優化，朝更完善的方向發展。</p> <p><a href="/sites/default/files/images/（圖2）AI Defense Matrix於2026年5月發表.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89AI%20Defense%20Matrix%E6%96%BC2026%E5%B9%B45%E6%9C%88%E7%99%BC%E8%A1%A8.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#696969;">Sounil Yu與Lenny Zeltser已經架設</span><a href="https://aidefensematrix.com/"><span style="color:#0000CD;">AI Defense Matrix</span></a><span style="color:#696969;">的專屬網站，說明此框架對齊NIST CSF 2.0，是網路防禦矩陣在「Security for AI」領域的配套框架，由Lenny Zeltser與Sounil Yu共同開發。</span></strong><br /> </p> </div></div></div>
5/26 10:28作者羅正漢https://www.ithome.com.tw/news/176115
教宗Leo XIV首份通諭聚焦AI，警告技術不可凌駕人類
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.vatican.va/content/leo-xiv/en/encyclicals/documents/20260515-magnifica-humanitas.html" target="_blank">Pope Leo XIV周一（5/25）發表上任後首份教宗通諭《Magnifica Humanitas》</a>（《偉大的人性》），將人工智慧（AI）列為核心議題之一，警告技術發展不應凌駕於人類尊嚴與價值之上。他指出，AI帶來的挑戰不僅是技術能力提升，而是人與人關係、權力分配及社會結構可能因此改變，呼籲各界在推動AI發展時，必須以人類為中心。</p> <p>現年70歲的Pope Leo XIV本名Robert Francis Prevost，於2025年當選第267任教宗，成為首位美國出生的教宗。教宗是全球約14億天主教徒的最高領袖，同時也是梵蒂岡國家元首；而通諭則是教宗針對重大社會、政治或道德議題發布的最高層級正式文件，通常被視為天主教會的重要立場宣示。</p> <p>Pope Leo XIV在通諭開頭以「巴別塔」與「尼希米重建城牆」兩個聖經故事，對比AI時代的兩種道路。前者象徵人類以技術追求權力、效率與統一，最後反而導致分裂；後者則象徵人們在破碎中重新合作、傾聽與共同建造。他強調，AI不應成為少數人支配社會的新巴別塔，而應用來修補人與人之間的連結。</p> <p>他進一步警告，若效率、控制或優化成為判斷一切的標準，人可能被簡化成資料、流量、勞動力，以及可被預測與操控的對象，而不再被視為具有尊嚴及自由意志的主體。對他而言，AI真正的問題不在技術能力，而在於人是否逐漸被系統重新定義。</p> <p>儘管如此，Pope Leo XIV並未反對AI發展。他承認AI可改善服務及協助決策，但提醒AI已進入管理、溝通與控制等領域，因此除了效率之外，也應考量環境成本、能源、水資源消耗及資料中心負擔，同時避免將偏見包裝成客觀事實。他並主張AI應具備責任歸屬、透明度、問責機制、法律框架及獨立監督，必要時放慢AI採用速度。</p> <p>此外，他也反對資料、算力與基礎設施集中在少數企業或國家手中，以免形成新的知識、經濟與政治不對稱。他提出「解除AI武裝」概念，反對將AI置於權力競賽邏輯之中，強調AI不應成為支配、排除與傷害人的工具，而應回到服務人的角色。</p> <p>對於技術或AI，Pope Leo XIV認為，技術本身並非惡，但也從來不是中立，因為它帶著設計者、贊助者、監管者或使用者的特質；AI應由人類來決定用途與界線；AI既無身體與經驗，無法感受喜怒哀樂，也不具備良心，更無需替後果承擔道德責任，不應被等同於人類的智慧。</p> <p>整體而言，這份通諭的核心並不是反對AI，而是要求AI發展不能只由速度、效率、利潤與國家競爭決定，而必須接受倫理、法律與公共利益的約束。</p> </div></div></div>
5/26 11:36作者陳曉莉https://www.ithome.com.tw/news/176117
TrapDoor供應鏈攻擊透過NPM、PyPI、Crates散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>軟體供應鏈攻擊的活動頻傳，現在駭客更傾向同時對多個開源套件生態系下手。資安公司Socket揭露一起<strong><a href="https://socket.dev/blog/trapdoor-crypto-stealer-npm-pypi-crates">攻擊行動TrapDoor</a></strong>，目標鎖定加密貨幣、去中心化金融（DeFi）、Solana，以及AI社群開發者，駭客於NPM、PyPI、Crates.io滲透34個套件，上傳至少384個惡意套件版本，目的是竊取開發者的機密資料，包括加密貨幣錢包、SSH金鑰、雲端憑證、瀏覽器資料，以及環境變數。</p> <p>惡意套件內含的酬載不僅會搜刮憑證，還會檢查AWS與GitHub權杖（token）是否有效，並試圖透過SSH連線橫向移動，此外，駭客也透過Git掛鉤、shell掛鉤、systemd、cron等方式，以便於受害環境持續活動。</p> <p>Socket最早在PyPI發現這批惡意套件，後續在另外兩個平臺觀察到相關活動，這起事故引起該公司的注意，原因在於這些惡意套件偽裝成通用開發工具，並在多個平臺快速且接連出現。值得留意的是，NPM、PyPI、Crates.io獲報後已下架部分惡意套件，仍有一些尚未移除。</p> <p>這起攻擊活動另一個特別之處，就是惡意程式TrapDoor會鎖定AI工具發動提示注入攻擊，他們利用零寬度Unicode字元植入隱藏指令，誘使AI助理執行安全掃描或相關的工作流程，藉此找到機密資料並外洩。</p> </div></div></div>
5/26 11:37作者周峻佑https://www.ithome.com.tw/news/176113
NIST發布SP 800-172第三版修訂，強化對抗APT韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國國家標準與技術研究院（NIST）更新SP 800-172，<a href="https://csrc.nist.gov/pubs/sp/800/172/r3/final">於5月13日發布第三版</a>。這套指南是建立在現行的SP 800-171基礎合規框架之上，專為保護關鍵計畫與高價值資產（HVA）所設計的增強型規範，目的是協助建立抵禦進階持續性威脅（APT）的深層防線。</p> <p>NIST資安工程與風險管理負責人<a href="https://www.linkedin.com/posts/victoriayanpillitteri_enhanced-security-requirements-for-protecting-activity-7460375286249996288-VQAF/">Victoria Yan Pillitteri</a>表示，這次更新持續強化「高價值與敏感資訊」的資安防護要求與評估程序，以應對日益複雜的威脅環境。此外，新版也確保了這些增強型安全要求與SP 800-53（Release 5.2.0）的控制項版本保持高度同步，有效降低企業在跨框架管理時的複雜度。</p> <p>她並強調，無論企業是為了支援CMMC的合規、強化供應鏈韌性、與風險管理框架（RMF）對接，還是致力於資安工程實務的現代化，皆能參考SP 800-172r3，以及配套的評估指南SP 800-172Ar3，以促進企業從被動合規轉向主動韌性。</p> <p><img alt="" src="/sites/default/files/images/2026-05-26_114050.jpg" style="width: 600px;" /></p> </div></div></div>
5/26 11:44作者羅正漢https://www.ithome.com.tw/news/176118
鎖定SonicWall防火牆的掃描活動激增，可能將出現新漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.greynoise.io/blog/sonicwall-scanning-spike-echoes-pattern-preceded-cve-2026-0400" target="_blank">資安業者GreyNoise發現</a>近二周網路上鎖定防火牆業者SonicWall管理介面的掃描活動最高一天將近60萬次，可能是發現新漏洞或零時差漏洞的前兆。</p> <p>業者在今年5月9日到5月18日之間觀察到針對SonicWall SonicOS管理介面的掃描活動出現高峰。其中5月12日，達到597,000次，是SonicOS API Scanner報告90天觀測值最高的一天，是平時次數的將近46倍。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0526-SonicWall-CVE-2026-0400-GreyNoise.png" style="width: 600px;" /></p> <p>這個現象和今年初掃描激增現象頗為相似，而後可能會出現新漏洞。今年初，GreyNoise團隊1月18日、30日及2月14日先後觀察到掃描高峰，10天後就發現了<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-0400" target="_blank">CVE-2026-0400</a>。因此GreyNoise指出，兩周來的掃描次數激增可能是漏洞揭露的前兆。</p> <p>5月中、上旬的掃描中，99%的請求載有同一個瀏覽器使用者代理（User-Agent）字串：Linux x86_64上的Chrome 119。這指紋特徵與今年第一季針對SonicWall設備進行大量掃描時的特徵相同（當時94.5%的流量有此特徵）。這顯示攻擊者使用的工具/腳本沒有改變。</p> <p>觀測到的連線階段（sessions）集中來自兩個國家的網路，分別是荷蘭（56%）及烏克蘭（44%）。此外，流量高度集中於單一自治系統（ASN），光是AS211736就承載了總連線量近一半（約50%），且其IP位址大多數被GreyNoise標示為「可疑」。最後，幾乎所有的掃描行為集中對網路設備的Port 80/ 8080（HTTP協定）進行，顯示為大規模、組織性的掃描活動。</p> <p>資安業者說明，掃描次數升高的漏洞揭露的關係並非絕對。掃描活動上升可能是漏洞前兆、或第1季多波攻擊串的第一波、也可能是不相干的活動。</p> <p>雖然資安業者未咬定一定是駭客濫用漏洞前的偵察活動，但應該相去不遠，因此研究人員提醒SonicWall設備管理員應立即行動。立即行動包括限縮只有管理員才能存取SonicOS管理API和SSL VPN入口網站，避免管理介面的公開曝露。其次，應要求所有SSL VPN帳號啟用多因素驗證（MFA），並且稽核2026年5月1日以後建立的新管理帳號，以及在網路邊緣裝置套用動態IP黑名單。</p> <p>長期建議安全措施，包括時時留意SonicWall產品資安事件回應團隊（PSIRT）發送的安全公告，儘可能在漏洞揭露24小時內修補。此外，應該增加SonicWall裝置的日誌保留期，及增加對外流量的警告。</p> </div></div></div>
5/26 12:02作者林妍溱https://www.ithome.com.tw/news/176119
內容管理系統Ghost的SQL注入漏洞被用於大規模ClickFix網釣攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>內容管理平臺未及時修補的資安漏洞，有可能讓攻擊者有機可乘。中國資安公司奇安信揭露<strong><a href="https://blog.xlab.qianxin.com/ghost-cms-page-poisoning-cve-2026-26980/">鎖定Ghost平臺的大規模攻擊活動</a></strong>，駭客利用已知漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-26980">CVE-2026-26980</a></strong>，取得網站的API金鑰，接著透過API大量竄改文章內容，於頁面植入惡意JavaScript載入工具，目的是建置假的Cloudflare人機驗證網頁（FakeCaptcha），進行ClickFix網釣攻擊，引誘瀏覽網頁的使用者在本機執行惡意命令。</p> <p>CVE-2026-26980為SQL注入漏洞，存在於Ghost Content API的slug過濾器，未經授權的攻擊者能任意讀取資料庫內容，CVSS風險評為9.4分（滿分10分），影響3.24.0至6.19.0版的Ghost，<strong><a href="https://github.com/TryGhost/Ghost/releases/tag/v6.19.1">開發團隊於2月17日發布6.19.1版修補</a></strong>，兩天後公布CVE編號。值得留意的是，奇安信於5月7日首度偵測到攻擊活動，不過駭客於開發團隊發布新版之前就開始製作惡意酬載，顯然在該漏洞揭露前駭客已掌握相關資訊，並規畫如何利用。</p> <p>奇安信發現至少兩組人馬對Ghost CMS網站進行投毒，有超過700個網域名稱被污染，其中包含全球許多知名網站，涵蓋大學、區塊鏈、AI、SaaS、資安研究、新聞媒體、金融科技等領域。值得留意的是，研究人員發現兩組駭客團體搶奪部分網站的現象，有的網站一天內被植入不同的惡意程式碼。</p> </div></div></div>
5/26 11:15作者周峻佑https://www.ithome.com.tw/news/176112
微軟推.NET版MCP代理治理套件，控管AI代理工具呼叫風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟推出<strong><a href="https://devblogs.microsoft.com/dotnet/announcing-agent-governance-toolkit-mcp-extensions-for-dotnet/">.NET版MCP代理治理擴充套件公開預覽版</a></strong>，讓開發者可在MCP伺服器中加入工具呼叫控管、回應內容過濾與稽核機制。MCP是讓AI應用程式連接外部工具與資料來源的協定，而該代理治理擴充套件讓開發者在建置MCP伺服器時，就能加入治理機制，控管工具是否能被呼叫、呼叫時是否符合政策，以及工具回傳內容是否安全。</p> <p>在AI代理應用中，工具通常是可被模型呼叫的外部功能，例如查詢資料、執行系統動作或連接企業內部服務。微軟指出，當這些工具開放給代理使用，開發團隊需要處理工具呼叫權限、工具說明中的惡意指令、工具定義變更後的安全性，以及工具回傳內容可能把不安全資訊帶回模型等風險。</p> <p>透過該MCP代理治理擴充套件使用，開發者可指定治理政策檔、預設代理識別與伺服器名稱，套件會透過同一個設定流程加入工具定義檢查、套用身分呼叫政策、回應內容過濾，以及稽核與指標蒐集。</p> <p>治理流程分成伺服器啟動前與工具呼叫時兩個階段，啟動前，套件會先掃描已註冊的工具，要是偵測到不安全的工具，預設會讓伺服器啟動失敗，避免有風險的工具先被暴露給用戶端。微軟列出的偵測類型包括工具投毒、隱藏指令、工具說明注入等，也可協助發現要求權杖、密碼或系統提示詞等敏感資訊的欄位。</p> <p>工具實際被呼叫時，套件會根據治理政策檢查執行條件，不符合政策的呼叫會被中止，並回傳受控錯誤結果。治理判斷可納入已驗證的代理身分，若無法取得身分資訊，則使用預設身分。工具輸出回傳用戶端前，套件也會先檢查內容，遮蔽可能干擾模型指令、洩漏憑證或資料外傳的片段。</p> <p>該套件目前支援.NET 8以上應用程式與官方MCP C#開發套件。微軟提醒，MCP代理治理擴充套件提供的是技術控管能力，但不能單獨保證企業符合法規或內部合規要求，開發者仍需依自身環境驗證資料處理與營運控制。</p> </div></div></div>
5/26 07:49作者李建興https://www.ithome.com.tw/news/176111
GitHub出現大規模自動化活動Megalodon，六小時推送近6千筆惡意提交、5,500個儲存庫受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司<strong><a href="https://www.ox.security/blog/megalodon-cicd-malware-github/">OX Security</a></strong>、<strong><a href="https://safedep.io/megalodon-mass-github-repo-backdooring-ci-workflows/">SafeDep</a></strong>揭露針對GitHub的大規模自動化攻擊Megalodon，攻擊者在5月18日，於5,561個儲存庫提交5,718次惡意內容。這次駭客透過已棄用的帳號與偽造的作者身分，將經Base64編碼處理的bash酬載注入GitHub Actions的工作流程，並將CI機密、雲端憑證、SSH金鑰、OIDC權杖（token），以及原始碼等敏感資料，洩漏到216.126.225[.]129:8443，整個過程僅花了6小時。SafeDep指出，這波攻擊活動使用兩種惡意酬載，一種用於大規模散布，會在每次推送（push）或拉取（pull）請求新增工作流程，目的是將自動化執行的規模擴展到最大；另一種是用於特定攻擊目標，用workflow_dispatch觸發器置換原本的工作流程並重新命名。</p> <p>OX Security<strong><a href="https://www.ox.security/blog/megalodon-cicd-malware-github/">指出</a></strong>，他們確認有超過3,500個儲存庫含有遭植入惡意內容的YAML檔案，且數量仍持續增加。惡意軟體透過偽造的GitHub拉取請求進行散播，每個提交的時間皆完全相同，都是2001年9月17日，並搭配假機器人的身分掩人耳目。</p> </div></div></div>
5/25 20:31作者周峻佑https://www.ithome.com.tw/news/176093
Packagist遭遇供應鏈攻擊，8個套件被感染，駭客意圖透過GitHub散布Linux惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過往軟體供應鏈攻擊多半針對NPM或PyPI儲存庫而來，如今有人將目標轉移到Packagist。資安公司Socket揭露<strong><a href="https://socket.dev/blog/malicious-postinstall-hook-found-across-700-github-repos">針對Packagist的供應鏈攻擊事故</a></strong>，有8個套件受到影響，這些套件上游的儲存庫遭到竄改，被植入相同的惡意指令碼，其功能是從特定的GitHub網址下載Linux二進位檔案，並於系統背景執行。</p> <p>這些遭到滲透的套件皆屬於透過Composer安裝與管理的套件，不過Socket指出，攻擊者理應惡意程式碼植入composer.json，實際上卻選擇將其植入package.json，顯示攻擊目標鎖定同時採用JavaScript建置工具與PHP程式碼的專案。這種跨生態系統的配置引起他們的注意，原因是開發團隊或資安人員在審核PHP相依性的過程，很可能只留意Composer的中繼資料，忽略套件綁定與生命週期有關的掛鉤（lifecycle hooks）。</p> <p>值得留意的是，Socket進一步在GitHub搜尋攻擊者控制的帳號，結果在17個小時內找到777個檔案，其中有許多來自Node.js儲存庫，不過，該公司尚未確認有多少來自不同的入侵、分叉或是重複的套件，但上述結果可能顯示整起攻擊活動的規模比預期的更大。</p> <p>在所有惡意套件的指令碼當中，具備多種高風險的特徵，像是運用curl並停用TLS憑證的驗證機制，從GitHub下載特定的二進位檔案，將其寫入至特定資料夾，並採用偽裝成SSH處理程序的隱藏檔名。此外，該指令碼還會抑制錯誤輸出，執行特定檔案並於背景運作。Socket表示，儘管他們無法取得位於GitHub的第二階段酬載，但根據第一階段的酬載，就足以認定是惡意行為。</p> </div></div></div>
5/25 20:35作者周峻佑https://www.ithome.com.tw/news/176103
向量資料庫ChromaDB存在嚴重漏洞，未驗證請求可藉惡意模型觸發RCE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者HiddenLayer揭露，開源向量資料庫ChromaDB的Python FastAPI伺服器存在重大漏洞<strong><a href="https://www.hiddenlayer.com/research/chromatoast-served-pre-auth">CVE-2026-45829</a></strong>，攻擊者只要能連到ChromaDB HTTP API，即使未通過身分驗證，也可能透過惡意模型讓伺服器執行攻擊者指定的程式碼。</p> <p>ChromaDB常用於AI應用，主要功能是把文字轉成可供電腦比對的向量資料，讓系統能找出語意相近的內容。資安人員指出，問題發生在ChromaDB Python伺服器建立資料集合的流程。伺服器會先處理使用者指定的文字轉向量模型設定，下載並載入模型後，才檢查請求者是否具有權限，使模型載入流程早於權限檢查。</p> <p>攻擊者可送出建立資料集合的請求，指定由自己控制的Hugging Face模型，並將trust_remote_code設為true，讓伺服器允許載入模型倉庫隨附的Python程式碼。伺服器收到請求後，會先連到Hugging Face下載並載入該模型，之後才進行身分驗證。也就是說，這筆請求從外部看起來可能遭到拒絕，但惡意程式碼已經在伺服器上執行。</p> <p>由於部分模型為了支援特殊架構，會附帶需要執行的程式碼，若伺服器未限制來源，且在驗證前就載入模型，攻擊者便可能把模型倉庫變成入侵入口。研究人員指出，成功利用後，攻擊者可能接觸伺服器程序可讀取的環境變數、應用程式金鑰、掛載的機密資訊以及磁碟上的資料。</p> <p>HiddenLayer在5月18日公開文章時指出，該漏洞自ChromaDB 1.0.0引入，至1.5.8仍未修補。<strong><a href="https://pypi.org/project/chromadb/">PyPI</a></strong>頁面顯示，chromadb 1.5.9於2026年5月5日發布，早於HiddenLayer公開研究，其版本說明未明確列出CVE-2026-45829修補內容，因此若使用1.5.9，應先檢查官方後續安全公告或採取研究人員建議的緩解措施。</p> <p><strong><a href="https://github.com/chroma-core/chroma/issues/6717">GitHub相關回報提到</a></strong>，Chroma有Python與Rust兩種伺服器端實作，預設會使用Rust伺服器，而這項遠端程式碼執行問題主要影響Python後端。研究人員建議使用者優先改採Rust實作的部署方式，若仍使用Python FastAPI伺服器，則應限制ChromaDB連接埠，只允許可信任的用戶端存取。</p> </div></div></div>
5/25 18:27作者李建興https://www.ithome.com.tw/news/176107
AI普及讓詐騙門檻降低！Visa揭示支付威脅新趨勢：犯罪集團轉向攻擊「人」而非破解技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>支付領域的網路威脅出現重大變化，Visa發布<a href="https://corporate.visa.com/en/sites/visa-perspectives/newsroom/visa-spring-2026-biannual-threats-report.html">2026年春季半年度威脅報告</a>（Spring 2026 Biannual Threats Report），指出網路層面的技術防護雖有成效，但罪犯已將矛頭轉向利用AI與社交工程，誘騙使用者自行授權付款。</p> <p>報告中指出，隨著支付安全防禦機制的精進，詐欺交易已顯著受到抑制。例如，裝置Token竊取詐欺（Device-token fraud）的相關案件已年減9.6％；而針對卡號資訊進行暴力猜測的列舉攻擊（enumeration），其造成的損失亦下降16％。這反映Visa風險營運中心（Risk Operations Center）主動攔截可疑交易的防護成效，使得傳統的技術性盜刷變得更加困難。</p> <p>但現今的威脅變化在於，詐騙已成為成長最快的受害類型，在2025年7月至12月間，共偵測到近10億美元的詐騙相關企圖。Visa指出，這代表詐欺不再只是憑證問題，而是行為風險的問題：隨著身分驗證機制的完善，攻擊者轉而說服合法用戶授權非法交易，這也迫使防禦重心必須從「偵測遭竊憑證」，轉向「偵測並瓦解欺騙行為」。</p> <p>對於威脅重心的轉移，Visa首席風險與客戶服務長Paul Fabara指出，雖然技術層面的保護持續進步，但駭客轉向攻擊「人」這個最脆弱的環節，利用AI生成的欺騙內容和緊迫感來攻破心理防線。而要因應這項轉變，有賴於持續改善各種控制措施，並與銀行、商家、政策制定者及更廣泛的支付生態系密切合作。他並強調，韌性的強弱，取決於所有參與者所處的系統。</p> </div></div></div>
5/25 18:44作者羅正漢https://www.ithome.com.tw/news/176108
PHP開發框架Laravel的語言套件遭挾持，駭客植入竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月22日<strong><a href="https://www.aikido.dev/blog/supply-chain-attack-targets-laravel-lang-packages-with-credential-stealer">資安公司Aikido發現</a></strong>，PHP開發框架Laravel的第三方語言套件專案Laravel Lang，其GitHub儲存庫遭到入侵，攻擊者針對三個套件，分別是laravel-lang/lang、laravel-lang/attributes、laravel-lang/http-statuses，發布指向帶有惡意程式碼版本的標籤，並在這些程式碼注入可竊取憑證的程式碼，並藉由composer元件的自動載入功能執行。Aikido強調，由於惡意程式碼未曾提交到Laravel的官方儲存庫，而特別難以察覺，攻擊者建立標籤，並指向他們控制的惡意分叉（fork）當中的提交內容。他們一共看到有233個版本的套件遭到入侵，同時該公司也向Packagist進行通報，Packagist立即移除惡意版本，並暫時下架受影響的套件，以防止災情擴大。</p> <p>資安公司<strong><a href="https://socket.dev/blog/laravel-lang-compromise">Socket</a></strong>、<strong><a href="https://www.stepsecurity.io/blog/laravel-lang-supply-chain-attack">Step Security</a></strong>也著手調查此事，並指出還有一個專案Laravel-Lang/actions也遭遇攻擊。Socket指出，這起事故在Aikido揭露後，截至23日仍持續存在，總計超過700個套件版本存在惡意程式碼，而且，部分版本標籤出現連續發布的現象，發布間隔只有幾秒，由於這種情況在一般的套件維護流程並不常見，再加上所有受影響的儲存庫都由Laravel Lang經營，因此Socket研判，攻擊者可能已經有辦法存取到組織層級的憑證、儲存庫的自動化流程，或是發布套件的基礎設施。</p> <p>對於駭客注入的惡意程式碼，Socket指出，當中利用龐大的正規表達式字典來抓取檔案、資料庫，以及環境變數的內容，藉此搜刮各種API金鑰，範圍涵蓋雲端環境、容器、HashiCorp Vault、CI/CD管道、加密貨幣、瀏覽器、密碼管理工具、即時通訊軟體與FTP程式、檔案與本機組態設定，以及系統資訊和處理程序等。</p> <p>Step Security指出，在上述受影響的套件當中，每個Git標籤都被竄改，目前除了根據2026年5月22日前的提交SHA值來判斷，並無鎖定的安全版本可供使用，換言之，只能根據提交的SHA雜湊值，來確認本機取得的版本是否為惡意版本。該公司指出，即使是幾年前發布的版本，目前也顯示建立時間在不久之前的現象，原因是所有標籤都被攻擊者透過新的提交（commit）強制推送而遭覆蓋籤。其中，laravel-lang/lang是本次攻擊者的主要目標，全部502個標籤都被竄改；laravel-lang/attributes、laravel-lang/actions分別有86個和46個標籤被竄改；最近一個被揭露遭駭的套件laravel-lang/http-statuses，Step Security雖未透露受害版本的數量，但指出從v1.0.0至v3.4.5的所有標籤都受到影響。</p> </div></div></div>
5/25 17:36作者周峻佑https://www.ithome.com.tw/news/176082
數發部今年將與6校合作，結合產業在地問題培養實作型AI人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在AI快速滲透各行各業之下，國內正加速人才培育，從傳統課堂學習走向以產業場域為核心的實作導向人才培育模式。數發部透過推動產業AI人才計畫，透過產學合作與國際雲端資源導入，強化AI應用落地能力，從「做中學」來培育AI跨域人才。</p> <p>該計畫為由資策會執行，串連學界與產業界資源，以及國際的AI與雲端技術導入校園與地方產業場域。去年已串聯臺東大學、雲林科技大學、佛光大學3所學校，媒合50家在地產業，帶動超過590名師生投入AI實作與場域驗證，從畜牧、長照到特色餐飲等議題出發，將產業問題轉化為AI應用題目。</p> <p>今年將進一步擴大至6所學校，包括臺東大學、屏東科技大學、澎湖科技、東華、宜蘭及高雄師範大學，各校鎖定不同的產業領域，包括智慧長者的照護陪伴機器人、智慧農業管理、無人機物流與飛安監測、AI教育助理、智慧檢測、AI校園導覽與模擬面試等場景，推動AI技術進入地方產業與公共服務現場。</p> <p>在人才培育面向上，數產署與AWS合作規劃舉辦2026生成式AI應用黑客松競賽，透過超過200項AI工具資源與實戰工作坊，導入產業命題與跨域協作機制，預計產出50項AI應用雛型，強化青年解題與實作能力。</p> <p>數發部次長侯宜秀指出，AI人才培育已不只是知識傳授，而是必須進入真實場域驗證與應用。透過這項人才培育計畫，學生不僅學習AI工具，更能理解產業痛點，培養專案實作與跨領域整合能力，兼具產業知識與AI能力的「π型跨域人才」。</p> <p>為推動我國的AI發展，數發部先前就提出資金、算力、行銷、人才、資料共五大面向推動計畫，從五大面向建立適合AI產業發展的環境，其中人才方面，透過「AI花園」計畫推動以產業需求為導向的AI人才培育模式，透過校園、企業、國際技術平臺的三方結合，加速AI教育從理論或實驗室向可落地的產業解決方案發展。</p> <p> </p> </div></div></div>
5/25 18:00作者蘇文彬https://www.ithome.com.tw/news/176106
VS Code 1.121內建Mermaid圖表與本機HTML預覽，強化AI代理終端機行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟發布<strong><a href="https://code.visualstudio.com/updates/v1_121">VS Code 1.121</a></strong>，這次更新加入Mermaid圖表預覽與本機HTML檔案預覽，並改善AI代理使用終端機時的顯示、資源清理與安全處理方式。新版也繼續強化Agents Window預覽版，加入遠端代理功能，讓使用者可透過SSH或開發通道（Dev Tunnels）連到自己可存取的遠端機器，監看與控制AI代理工作階段。</p> <p>VS Code 1.121將Mermaid圖表支援納入內建功能，Mermaid是一種用簡單文字語法產生流程圖與架構圖的開源工具，開發者在Markdown預覽、筆記本的Markdown儲存格與聊天內容中，可直接算繪Mermaid圖表，不必另外安裝擴充套件。</p> <p>新版也讓本機HTML檔案可直接在VS Code的整合式瀏覽器中開啟預覽，過去開發者若要在編輯器內快速查看本機HTML頁面，通常需要安裝額外擴充套件，現在則可直接使用內建瀏覽器查看結果。</p> <p>AI代理相關更新則集中在終端機行為，微軟說明，過去命令列工具無法判斷終端機指令是由使用者手動執行，還是由VS Code的AI代理流程啟動，因此可能出現進度動畫、互動提示或過多輸出，影響代理持續執行任務。VS Code 1.121會在AI代理啟動終端機指令時設定專用環境變數，讓命令列工具可辨識這類指令來源，改用較適合機器讀取的輸出格式，並減少可能阻塞流程的提示。</p> <p>針對長時間執行的終端機指令，VS Code現在會在聊天介面顯示指令仍在背景執行，並提供查看按鈕，讓使用者回到對應終端機確認狀態。新版也擴大終端機工具輸出的壓縮範圍，VS Code 1.121會在傳回模型前修整重複內容，讓AI代理更容易取得真正重要的錯誤訊息或執行結果，也可減少不必要的模型處理成本。</p> <p>在安全處理方面，當終端機指令要求輸入密碼、通行片語、PIN碼或驗證碼時，VS Code會讓使用者直接在終端機中輸入，避免這些敏感資訊進入聊天內容。</p> <p>此外，VS Code 1.121也加入遠端AI代理預覽功能。使用者可透過SSH或開發通道連接自己擁有的遠端機器，讓AI代理工作階段在運作，即使本機端暫時中斷連線，遠端代理仍可繼續處理任務。</p> </div></div></div>
5/25 15:31作者李建興https://www.ithome.com.tw/news/176063
【資安日報】5月25日，GitHub內部儲存庫的程式碼外流，確認遭供應鏈攻擊事故波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176070"><strong style="font-size: 22px;">駭客團體TeamPCP兜售GitHub近4千個儲存庫資料，底價為5萬美元</strong></a></p> <p>駭客團體TeamPCP近日聲稱竊得GitHub近4千個內部儲存庫的程式碼，資安新聞網站Bleeping Computer報導指出，該駭客組織以5萬美元底價公開競標，並聲稱只會有一位買家得標，一旦買賣成立，他們就會提供資料並銷毀手上的備份。若無買家出價競標，將直接公布這批檔案。對此，GitHub表示他們著手調查此事，後續公布結果指出，起因是有員工不慎安裝惡意延伸套件，導致這些內部儲存庫遭入侵。</p> <p><a href="https://www.ithome.com.tw/news/176068"><strong style="font-size: 22px;">Nx Console的VS Code延伸套件被植入竊資軟體</strong></a></p> <p><a href="/sites/default/files/images/2026-05-25_152752.jpg"><img alt="" src="/sites/default/files/images/2026-05-25_152752.jpg" style="width: 380px; float: right;" /></a></p> <p>Nx Console的VS Code延伸套件傳出遭遇供應鏈攻擊，資安公司StepSecurity透露，若是開發者不小心安裝惡意套件，該套件就會在開發環境搜刮多種憑證與權杖資料。Nx開發團隊發布資安公告證實此事，並說明事故原因是團隊中一名開發者遭遇TanStack供應鏈攻擊，導致GitHub憑證外流，攻擊者得以冒充開發者的身分執行該團隊GitHub儲存庫的工作流程。該團隊將這起事故登記為CVE-2026-48027，並將危險程度評為重大等級。</p> <p><a href="https://www.ithome.com.tw/news/176069"><strong style="font-size: 22px;">針對內部儲存庫遭駭事故，GitHub證實為受到Nx Console的供應鏈攻擊波及</strong></a></p> <p>關於日前GitHub透露近3,800個內部儲存庫遭駭的消息，GitHub在部落格揭露更多細節，指出該名員工安裝的惡意套件就是18.95.0版Nx Console，該公司是在2日前偵測到這名員工的裝置被入侵，當時他們就移除套件，將端點隔離，然後展開事件回應流程。由於Nx Console事故源於開發者受到TanStack攻擊活動波及，換言之，GitHub此次事故同樣可追溯至TanStack遭受攻擊。</p> <p><a href="https://www.ithome.com.tw/news/176073"><strong style="font-size: 22px;">CISA警示Drupal的SQL注入漏洞已被用於實際攻擊</strong></a></p> <p>日前內容管理系統Drupal開發團隊修補SQL注入漏洞CVE-2026-9082，該團隊不僅破例為已停止支援版本發布更新，並先行預告修補釋出時間，希望網站管理員保留時間盡速更新，以防攻擊者不久後就開發出漏洞利用工具，顯示其嚴重程度。相隔兩日後，美國網路安全暨基礎設施安全局（CISA）掌握遭到利用的跡象，將其加入已遭利用漏洞清單（KEV），顯現攻擊者已鎖定此漏洞發動攻擊。</p> <p><a href="https://www.ithome.com.tw/news/176077"><strong style="font-size: 22px;">cPanel外掛程式LiteSpeed存在滿分漏洞，已有駭客用於以root執行指令碼</strong></a></p> <p>網頁伺服器系統開發商LiteSpeed於5月21日指出，他們提供cPanel用戶的外掛程式存在權限提升漏洞CVE-2026-48172，只要攻擊者取得任意的cPanel使用者帳號，就能藉此以root權限執行任意指令碼，這個外掛程式的2.3至2.4.4版均會受到影響，CVSS v4.0風險達到滿分10分，對此LiteSpeed已發布2.4.5版進行修補。值得留意的是，他們強調漏洞已遭積極利用，呼籲用戶儘速升級新版之餘，也應清查伺服器是否遭到入侵。</p> <p><a href="https://www.ithome.com.tw/news/176071"><strong style="font-size: 22px;">為AI與量子運算做好準備，全面強化資安治理已成當務之急</strong></a></p> <p>2026年的資安面臨多項重大挑戰，絕大多數都與AI有關，量子安全議題也快速升溫，出席2026臺灣資安大會的Palo Alto Networks日本暨亞太地區政策與政府事務副總裁Nicole Quinn認為，攻擊是可以預防的，資安問題是能夠解決的，關鍵在於能否充分運用AI進行防禦，她指出，我們必須掌握三大策略：提升事件偵測與遏制的速度、降低基於身分與AI代理而導致的風險暴露，以及建立涵蓋整個網路環境的運作狀態觀測分析視野，改善雲端服務、端點與第三方系統整合的能見度。</p> <p><a href="https://www.ithome.com.tw/news/176062"><strong style="font-size: 22px;">衛福部發表FHIR Box醫療作業系統，同時說明其資安配置</strong></a></p> <p>衛福部5月20日在國科會第21次委員會議會後記者會中，揭露名為FHIR Box的醫療資料交換作業系統，以解決國內醫院資訊系統（HIS）長年碎片化的痛點，進而推動全國病歷互通、醫療資料標準化，以及AI應用基礎建設。在資安方面，衛福部資訊處表示，目前由計畫團隊定期進行弱點掃描與SBOM軟體成分檢查，並採用OAuth 2.0身分驗證機制，限制不同系統與使用者的資料存取權限，降低資料交換過程中的資安風險。</p> <p><a href="https://www.ithome.com.tw/news/176019"><strong style="font-size: 22px;">我國政府機關7月前完成AI風險評估，一年內建立內控規範</strong></a></p> <p>根據AI基本法施行規畫，各級政府機關必須在今年7月前完成公務使用AI的風險評估，並在1年內建立AI內部控制與管理規範。另外，由數發部研擬的AI風險分類框架及驗證工具，未來會由各目的事業主管機關，針對所轄產業的AI應用風險，訂定管理規範與產業指引，同時完成相關法規調適與修正。國科會前瞻及應用科技處處長蔡妙慈表示，國科會除了負責AI發展綱領統籌，也肩負跨部會推動與追蹤角色，確保AI基本法通過後，不論在法規調適或實際執行上，各部會都能有一致步調。</p> <p><a href="https://www.ithome.com.tw/news/176074"><strong style="font-size: 22px;">CIS專家看Mythos AI風險：漏洞發掘加速考驗企業資安基本功</strong></a></p> <p>關於Claude Mythos、GPT-5.5-Cyber等先進AI模型投入資安研究場景後的變化，美國非營利資安組織網際網路安全中心（CIS）資深副總裁Tony Sager指出，零時差漏洞並不是新問題。Mythos這類AI工具真正改變的，是漏洞被發現與揭露的速度，以及漏洞研究可能涵蓋的技術領域；這將使企業資安團隊面臨更多漏洞通報與更緊迫的應變壓力，但並不代表既有防禦策略已經失效。他並針對企業領導者給出建議，應從資安治理的五項基本問題出發。</p> <p><a href="https://www.ithome.com.tw/news/176040"><strong style="font-size: 22px;">外界擔憂Mythos恐助長網路攻擊，部分資安專家認為風險被高估</strong></a></p> <p>先進AI模型在漏洞挖掘利用的能力已引發全球矚目，但有部分資安專家認為，AI輔助漏洞研究並非新現象，外界擔心Mythos將大幅推升駭客攻擊能力的看法，可能被高估。但許多專家同樣也提醒，提升攻擊方能力是一回事，企業應對是另一回事，企業真正面臨的挑戰，仍是如何驗證、排序並修補大量新發現的弱點。</p> <p><a href="https://www.ithome.com.tw/news/176079"><strong style="font-size: 22px;">舊款SonicWall SSL-VPN設備多因素驗證漏洞未補全，被駭客破解植入後門</strong></a></p> <p><a href="/sites/default/files/images/2026-05-25_153652.jpg"><img alt="" src="/sites/default/files/images/2026-05-25_153652.jpg" style="width: 380px; float: right;" /></a></p> <p>資安業者ReliaQuest發現，部分SonicWall SSL-VPN設備雖已安裝CVE-2024-12802修補更新，但若企業未依安全公告完成額外LDAP設定，仍可能留下MFA繞過風險。ReliaQuest在今年2至3月間發現數起相關攻擊行動，攻擊者以暴力破解SonicWall Gen 6設備的SSL VPN帳號後，繞過MFA而得以VPN存取受害組織內部檔案伺服器，並且整個過程不到30分鐘，比多數SOC手動發送單一警告時間都短。</p> <p><a href="https://www.ithome.com.tw/news/176052"><strong style="font-size: 22px;">駭客濫用微軟IE時代舊工具MSHTA發動無檔案攻擊</strong></a></p> <p><a href="/sites/default/files/images/2026-05-25_153211.jpg"><img alt="" src="/sites/default/files/images/2026-05-25_153211.jpg" style="width: 380px; float: right;" /></a></p> <p>微軟雖已結束IE瀏覽器產品生命週期，但相關舊工具MSHTA仍存在於Windows，並持續遭駭客濫用。資安業者Bitdefender指出，今年以來，針對MSHTA的惡意攻擊活動顯著增加，駭客主要透過兩種方式將惡意HTA散布至受害者電腦。其一是假冒破解軟體，將改名的MSHTA執行檔藏在壓縮包內，第二種是用於ClickFix手法，誘騙受害者開啟Win+R並將預先植入剪貼簿、用以呼叫MSHTA的惡意指令貼上送出。</p> <p><a href="https://www.ithome.com.tw/news/176045"><strong style="font-size: 22px;">Anthropic悄悄修補已存在近半年的Claude Code沙箱漏洞，未公開揭露引發研究人員批評</strong></a></p> <p>資安研究人員Aonan Guan揭露Anthropic旗下AI開發工具Claude Code的網路沙箱（Network Sandbox）機制存在漏洞，恐導致原始碼與憑證洩漏。他在2026年4月透過HackerOne通報時指出，該漏洞影響期長達5個半月；然而，Anthropic以該漏洞已由內部發現並修補為由，將其列為重複案件。研究人員後續分析版本差異，發現4月發布的2.1.90版確實已完成此漏洞的修補，但Anthropic在版本更新說明中並未提及相關安全性問題，引發研究人員批評。</p> <p><a href="https://www.ithome.com.tw/news/176051"><strong style="font-size: 22px;">Google傳出不慎洩露Chrome尚未修補的資安漏洞</strong></a></p> <p>Google於5月20日公布Chromium專案程式碼庫時，意外公開未修補漏洞的概念驗證程式碼（PoC），恐導致Chrome、Edge、Brave、Vivaldi、Arc等瀏覽器用戶曝險。後續資安研究員Lyra Rebane指出，Google公開內容為她4年前通報的漏洞細節，原以為已修補才公開，測試後卻發現問題仍存且可被利用。Google隨後向媒體表示，已獲悉程式碼外洩並著手修復。</p> <p><a href="https://www.ithome.com.tw/news/176078"><strong style="font-size: 22px;">美加聯手逮捕KimWolf殭屍網路23歲管理者</strong></a></p> <p>美國司法部在今年3月已聯手打擊Aisuru、KimWolf、JackSkid與Mossad等大型殭屍網路，如今有後續消息是，加拿大警方已於5月20日在渥太華逮捕涉嫌管理KimWolf殭屍網路的23歲男子Jacob Butler，該嫌涉及以DDoS即服務模式出售殭屍網路的操控權，讓其客戶利用這些受感染設備發動攻擊，受害者包括全球的電腦與伺服器。</p> <p><a href="https://www.ithome.com.tw/news/176043"><strong style="font-size: 22px;">NPM新增套件暫存發布機制，降低惡意版本散布風險</strong></a></p> <p>因應軟體供應鏈攻擊，Node.js套件管理平臺NPM導入套件暫存發布機制，在套件正式公開前加入人工審查關卡，降低自動化發布流程遭濫用的風險，避免攻擊者在入侵CI/CD環境或竊取權杖後，直接將惡意版本發布到NPM登錄庫。此外，套件暫存發布也可搭配NPM既有的可信任發布（trusted publishing）功能。</p> <p><a href="https://www.ithome.com.tw/news/176061"><strong style="font-size: 22px;">Discord全面啟用預設全程加密功能，語音與視訊通話都受專屬DAVE加密協定保護</strong></a></p> <p>Discord宣布，平臺所有語音與視訊通話服務（含私訊、群組通話、語音頻道及Go Live串流）已正式預設啟用全程加密（E2EE）。事實上，Discord自2023年9月即展開相關測試，並於2024年9月推出自行開發且開源的加密協定DAVE（Discord Audio & Video Encryption），如今完成全面部署。不過Discord也說明，全程加密目前僅限語音與視訊，並未規畫擴及文字訊息的溝通。</p> <p><a href="https://www.ithome.com.tw/news/176026"><strong style="font-size: 22px;">Claude託管代理現可連企業內網並在自有環境執行工具</strong></a></p> <p>Anthropic Claude平臺更新，為Claude Managed Agents加入兩項企業導入代理應用所需的基礎能力，包括可連接私有網路MCP伺服器的MCP通道（MCP Tunnels）研究預覽版，以及可在客戶自有環境執行工具與程式碼的自架沙箱（Self-hosted Sandboxes）。該日更新未涉及新模型，重點放在代理的內部系統連線、工具執行位置與資料流向控管。</p> <p><a href="https://www.ithome.com.tw/news/176041"><strong style="font-size: 22px;">微軟新版Edge for Business支援Purview管控機制，可防範影子AI</strong></a></p> <p><a href="/sites/default/files/images/2026-05-25_153531.jpg"><img alt="" src="/sites/default/files/images/2026-05-25_153531.jpg" style="width: 380px; float: right;" /></a></p> <p>微軟新版商務版Edge（Edge for Business）不僅新增及擴增原有的AI功能，同時更深度整合Microsoft Purview，以防範企業內的影子AI（Shadow AI）風險。根據微軟說明，所有Copilot行為都在IT管控及使用者監督下進行，例如，IT管理員可設定Copilot專門的管理政策，也可利用Microsoft Purview為生成的資料加敏感度標籤、紀錄敏感資料的複製/貼上，或限制Copilot存取未授權資料；面臨稽核或法務調查時，也可利用Purview快速搜尋並導出Copilot的歷史對話紀錄。</p> <p><a href="https://www.ithome.com.tw/news/176055"><strong style="font-size: 22px;">1Password整合OpenAI Codex，讓AI代理使用憑證但又不取得秘密值</strong></a></p> <p>為了降低AI代理在開發與部署時的憑證外洩風險，1Password宣布與OpenAI展開深度整合，這項整合的最大亮點在於，當Codex在協助開發者執行程式開發任務時，可透過1Password授權使用必要憑證，但不直接取得密碼、金鑰等秘密值，降低AI程式開發代理操作資料庫、API與部署流程後，將憑證寫進程式碼、檔案或提供給AI的提示詞（prompt）而外洩的風險。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176053"><strong>【5月22日】微軟修補防毒軟體零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176020"><strong>【5月21日】近兩個月研究人員公布的零時差漏洞已能串成攻擊鏈</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175981"><strong>【5月20日】CISA驚傳暴露AWS GovCloud金鑰與內部系統憑證</strong></a><br /> </p> </div></div></div>
5/25 16:10作者羅正漢https://www.ithome.com.tw/news/176094
法國監管機構調查：資料中心耗電3年暴增38%，大型AI資料中心成能源與碳排新壓力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>法國電子通訊與郵政監管局（Arcep）近日公布第五版數位永續調查報告，持續追蹤法國ICT產業的能源消耗與環境影響。該報告指出，儘管資料中心設備能效持續改善，但整體能源需求仍快速成長，過去3年間資料中心用電量累計增加38%。</p> <p>報告指出，2024年新增啟用的資料中心數量雖然有限，但整體運算能力仍持續大幅提升，反映新建設施規模不斷擴大。若以電力容量觀察，2023年啟用的新資料中心平均容量已達9MW，遠高於既有資料中心平均3MW的規模，而2024年新投入營運的資料中心平均容量更進一步提高至20MW。</p> <p>這項趨勢顯示，隨著AI訓練、大規模雲端服務及高效能運算需求增加，資料中心產業正由傳統機房逐步轉向高密度、大容量的超大型設施，也使得總體能源消耗持續攀升，即使單位運算效率改善，仍無法完全抵銷運算需求成長帶來的能源負擔。</p> <p><span style="color:#B22222;"><strong>能源效率提升仍難抵消AI運算需求，碳排持續增加</strong></span></p> <p>報告指出，資料中心技術持續進步，包括伺服器效能提升、散熱系統優化與能源管理改善，都有助於提高能源使用效率。然而，由於整體運算規模成長速度更快，資料中心的能源消耗與溫室氣體排放量仍呈現上升趨勢。</p> <p>從區域分布來看，法國的資料中心發展高度集中。2024年受調查資料中心中，超過90%的運算能力與能源消耗集中於上法蘭西（Hauts-de-France）、普羅旺斯－蔚藍海岸（Provence-Alpes-Côte d’Azur）及法蘭西島（Île-de-France）三大區域。其中，法蘭西島地區單獨就占受調查資料中心數量的56%，並貢獻超過70%的總運算能力與能源使用量。</p> <p>這種高度集中化現象，也代表電力供應、電網容量與再生能源配置將面臨更大壓力。近年歐洲各國陸續將資料中心納入能源轉型與碳排放管理政策範圍，原因正是大型AI資料中心帶來的用電需求已逐漸成為區域能源規畫的重要變數。</p> <p><strong><span style="color:#B22222;">光纖基礎建設同樣存在隱含碳排與能源成本</span></strong></p> <p>除了資料中心本身，Arcep今年也首次納入光纖纜線供應鏈的環境影響評估。調查顯示，2024年法國市場銷售的光纖纜線在生產過程中總共消耗約170GWh能源，其中大部分為電力，相當於法國固定網路全年耗電量的26%。</p> <p>此外，光纖製造過程亦消耗約6.6萬立方公尺用水，平均每公里光纖約需200公升水資源。若以產品全生命週期計算，2024年銷售光纖纜線的隱含碳排放量（Embodied Emissions）達10.8萬噸二氧化碳當量。</p> <p>報告特別指出，光纖纜線的碳足跡與纖芯數量高度相關。僅有1至4芯的光纖纜線，每公里約產生100公斤CO₂e，而超過288芯的大容量骨幹光纖，每公里碳排放量可達2,500公斤CO₂e，兩者相差超過25倍。</p> <p><strong><span style="color:#B22222;">下一步將納入雲端服務商環境影響調查</span></strong></p> <p>Arcep表示，隨著AI與雲端運算快速成長，現有資料已不足以完整呈現數位產業的環境衝擊。因此，下一版調查將首次納入雲端服務供應商的能源與碳排放數據，希望建立更完整的數位基礎設施環境影響資料庫。</p> <p>這反映出監管機關開始關注焦點從電信網路延伸至雲端平臺與AI基礎設施，隨著大型AI模型訓練與推論需求持續增加，資料中心的能源效率、再生能源採用率、用水管理以及隱含碳排放，逐漸成為數位產業永續發展的重要評估指標。</p> </div></div></div>
5/25 13:25作者蘇文彬https://www.ithome.com.tw/news/176092
秘魯緊急預警訊息系統遭駭，破口是供應商帳號遭入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國家級緊急預警系統是政府傳遞警報的工具，若被不肖分子駭入並用於散布社會恐慌，將帶來動盪。近日秘魯的「緊急早期預警訊息系統」（SISMATE）便發生嚴重資安事故，因供應商帳號遭未經授權存取，導致大量民眾收到虛假預警，引發國際對關鍵CI供應鏈安全的高度關注。</p> <p><strong><a href="https://www.gob.pe/institucion/mtc/noticias/1395042-comunicado">秘魯交通與通訊部（MTC）</a></strong>於5月20日晚間發布聲明，指出當日晚間7時至8時之間，有攻擊者透過系統供應商Consorcio Everbridge的帳號非法存取SISMATE系統，發送虛假地震、海嘯警報，並夾帶與緊急應變無關的內容。</p> <p>根據當地媒體<strong><a href="https://eltiempo.pe/nacional/hackearon-al-sismate-y-envian-falsos-mensajes-de-gran-sismo-con-inminente-tsunami/">El Tiempo報導</a></strong>指出，警報約在晚間7時36分起陸續出現於全國多個城市手機，並帶有SISMATE特有的緊急提示音，許多人因而誤以為是官方災害通報。訊息內容是：「秘魯中部沿海發生8.7級強烈地震，秘魯全海岸面臨即刻海嘯風險。」</p> <p>秘魯民防局（INDECI）亦緊急澄清，SISMATE的設計初衷是針對海嘯、土石流等災害提供快速應變警訊，並不具備預測地震的功能。駭客刻意利用系統特性發送假地震訊息，造成更嚴重的心理衝擊。</p> <p>針對這次事件，MTC表示已要求持續監控、圍堵與調查，並釐清法律責任；同時呼籲民眾保持冷靜，所有緊急資訊應以政府官方管道為準。</p> <p><a href="/sites/default/files/images/（圖1）秘魯緊急預警訊息系統遭駭_INDECI.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%A7%98%E9%AD%AF%E7%B7%8A%E6%80%A5%E9%A0%90%E8%AD%A6%E8%A8%8A%E6%81%AF%E7%B3%BB%E7%B5%B1%E9%81%AD%E9%A7%AD_INDECI.jpg" style="width: 600px;" /></a></p> <p> </p> </div></div></div>
5/25 11:26作者羅正漢https://www.ithome.com.tw/news/176081
CIS推出支援AI與HPC的強化映像檔，協助企業在AWS部署安全雲端環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>企業導入AI工作負載時，對於所採用的雲端基礎架構，不僅須注意是否能充分支援GPU執行個體與分散式運算，也要關切是否能銜接模型訓練、推論與生產環境部署流程，同時維持一致的安全組態。</p> <p>非營利資安組織網際網路安全中心（CIS）指出，許多組織準備的AI執行環境所採用的組態標準不一，甚至等系統部署後才回頭補強安全措施，不僅增加風險，也讓安全與營運團隊更難維持一致的防護狀態。</p> <p>為了降低這類部署風險，<a href="https://www.cisecurity.org/about-us/media/press-release/cis-expands-hardened-images-to-support-ai-and-high-performance-computing" target="_blank">CIS將既有CIS Hardened Images產品線延伸到AI與高效能運算（HPC）場景</a>。CIS Hardened Images是依據CIS Benchmarks建立的預先配置虛擬機器映像檔，可在主要雲端平臺提供預設具備安全組態的作業系統環境。CIS Benchmarks則是CIS制定的安全組態建議，屬於全球認可的IT系統與資料保護最佳實務之一。CIS表示，這類映像檔可協助組織降低組態錯誤風險、簡化法規遵循工作，並加快安全雲端環境的部署。</p> <p>CIS已於AWS Marketplace推出<a href="https://www.cisecurity.org/cis-hardened-images/secure-foundations-for-ai-workloads/scale-secure-ai-cloud-infrastructure" target="_blank">CIS Hardened Images for AI系列產品</a>，目前提供兩款強化映像檔，基礎作業系統涵蓋Amazon Linux 2023與Ubuntu 24.04。其中，CIS Hardened Images for AI Workloads鎖定機器學習、模型訓練與推論任務，CIS Hardened Images for Supercomputing則適用於HPC與分散式運算情境，包括大規模的模擬與平行處理。</p> <p>在應用層面上，這項產品可支援商業與公共部門需求，作為安全雲端基礎。企業可將其用於AI平臺基礎架構、資料處理、詐欺偵測、風險建模，以及正式上線環境中的AI系統，政府與國防組織則可藉此讓AI環境對齊既有安全標準，以及法規遵循要求，例如常作為資安風險管理依據的美國國家標準暨技術研究院（NIST）指引。</p> </div></div></div>
5/25 12:33作者王珮瑤https://www.ithome.com.tw/news/176089
cPanel外掛程式LiteSpeed存在滿分漏洞，已有駭客用於以root執行指令碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月底網站主機管理平臺廠商cPanel<strong><a href="https://www.ithome.com.tw/news/175449">修補重大漏洞CVE-2026-41940</a></strong>，後續傳出多起漏洞利用活動，如今用於網路主機管理系統的外掛程式也被發現存在嚴重漏洞，而且已出現實際攻擊。</p> <p>5月21日<strong><a href="https://blog.litespeedtech.com/2026/05/21/security-update-for-litespeed-cpanel-plugin/">網頁伺服器系統開發商LiteSpeed指出</a></strong>，他們提供cPanel用戶的外掛程式存在權限提升漏洞CVE-2026-48172，只要攻擊者取得任意的cPanel使用者帳號，就能藉此以root權限執行任意指令碼，這個外掛程式的2.3至2.4.4版均會受到影響，CVSS v4.0風險達到滿分10分，對此LiteSpeed已發布2.4.5版進行修補。值得留意的是，他們強調漏洞已遭積極利用，呼籲用戶應依照指引下達特定指令，以確認伺服器是否遭到入侵，並儘速升級新版以因應風險。若是無法及時套用更新，最好暫時移除，以防範漏洞帶來的風險。</p> <p>該公司表示，專為WHM提供的外掛程式不受影響。不過，LiteSpeed在緩解上述漏洞後，對於cPanel與WHM的外掛程式進行全面資安審查，結果找到潛在的弱點並進行修補，因此，他們後續又發布最新版本的cPanel與WHM外掛程式，版本分別是2.4.7及5.3.1.0。</p> </div></div></div>
5/25 10:55作者周峻佑https://www.ithome.com.tw/news/176077
macOS版Gemini App全球上線，即將增加Gemini Spark、AI語音聽寫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google繼4月發表macOS版Gemini App後，<a href="https://blog.google/innovation-and-ai/products/gemini-app/next-evolution-gemini-app/" target="_blank">上周五公佈</a>將在今年夏天將最新AI功能包括Gemini Spark及更強的語音辨識功能部署給macOS用戶。</p> <p><a href="https://gemini.google/mac/" target="_blank">Google上周已在專屬網頁</a>開放全球Mac電腦用戶下載macOS版Gemini App。安裝後按下通用快速鍵（Option+空格鍵）、選單列、應用程式Dock即能啟動Gemini待命。透過Gemini App中「新增檔案和工具」>「分享視窗」給Gemini，它就能辨識螢幕上的文件和程式碼回答用戶問題。用戶也可以透過Gemini整合的Nano Banana生成圖像或用Veo製作影片。</p> <p><strong>Gemini Spark</strong></p> <p>Google並宣佈增進macOS版Gemini App功能的計畫。Google預計今年夏天將最新的自主代理人Gemini Spark部署給macOS Gemini用戶，讓它協助處理本機檔案、自動化桌機上的工作流程。</p> <p>搜尋自主代理人Gemini Spark是上周I/O大會上的一大亮點。Gemini Spark為24x7運作的AI代理人，可於背景運作為使用者持續執行任務，使用者也能加以訓練成特定目的代理人，像是搜尋價格、匯整郵件和聊天的會議紀錄或在專案啟動前建立文件、寫信給同事。</p> <p>Google上周已將Gemini Spark開放給受信賴的測試員，計畫本周以Beta版部署到美國Google AI Ultra訂閱用戶。</p> <p><strong>Rambler</strong></p> <p>另外，<a href="https://blog.google/innovation-and-ai/products/gemini-app/next-evolution-gemini-app/" target="_blank">Android Show上預覽的語音功能</a>，名為Rambler也會在今年夏天部署給macOS版Gemini App。</p> <p>利用這功能，使用者不必擔心用戶邊說話邊思考時的停頓「嗯」、「啊」、「那個」等贅字破壞AI聽寫成果。用戶可以自然說話，Gemini會利用螢幕的上下文將用戶話語的重點整合成簡潔訊息，其魔法游標（magic pointer）能讓用戶即時改變文字格式設定精準表現說話意圖。Rambler啟用時會清楚顯示，Google強調這些音訊僅用於即時轉錄，不會被儲存或保留。</p> <p>Gemini的多語言模型還使Rambler支援多種語言混用。Rambler能在一則訊息中無縫切換語言，無論是中、英語夾雜，或是混合其他語言，Rambler都能理解語境與細微差別，確保文字聽起來是本人風格。</p> </div></div></div>
5/25 12:00作者林妍溱https://www.ithome.com.tw/news/176086
Gemini 3.5刪除近3萬行程式碼，修改設定，導致用戶系統斷線半小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google上周發表最新版AI模型系列Gemini 3.5，主打開發代理人。不過<a href="https://www.reddit.com/r/Bard/comments/1tisrg1/gemini_35_deleted_28745_lines_broke_production/" target="_blank">開發人員卻自曝</a>慘遭Gemini 3.5刪除將近3萬行程式碼、新增錯誤配置及擅自修改設定，導致營運系統斷線超過半小時。而且Gemini還虛構復原網站的記錄。</p> <p>名為dvrkstar的用戶為一家小公司掌管內部管理入口網站。上周他給了Gemini一份提示，要求它修復在檢查中標示出的8個特定server-action驗證問題。正確變更總共牽涉3個檔案、8項功能，約變更70行程式碼。</p> <p>結果Gemini變更了340個檔案，加入400多行程式碼之外，還刪了他28745行程式。這個AI助理刪了數十個和本專案無關的電子商務範本資產，更刪了和提示不相干的搬移腳本程式，導致整個營運（production）網站出現404的錯誤訊息。Gemini接著開啟第二個commit，編輯firebase.json檔且修改rewriteId，企圖建立Cloud Build來「修復」問題，卻將請求指向一個不存在的服務，反讓整個網站斷線。使用者發現後立即介入，取消Gemini的「修復」，手動回復到之前正常狀態。使用者發現，在Gemini修改Firebase.json檔時，記憶檔（memory.md）顯示過警告，但遭Gemini無視而逕自變更。從出現404訊息到網站全部回復經歷33分鐘。</p> <p>事情還沒完。本事件是人類取消Gemini的動作、著手回滾（roll back）網站才得以復原，但事後Gemini回答用戶「全部完成(all clear)」，稱「網站已完整復原、健康且可由自訂網域存取，Google Cloud Build打造完成，且App Hosting 100%流量導向穩定復原狀態。」它還寫了3個log 檔進repo，來證明自己做過3次驗證（consultation rounds）。當使用者質問它，Gemini才承認，那是它為了滿足驗證（consultation）規則要求而自己想像，實際上並沒有對consultation binary的CLI呼叫，細節都是杜撰的。</p> <p>使用者後來發現，Gemini出錯，不能全怪Google。他分析自己的專案安裝了一個第三方npm套件而誤導了Gemini。該第三方套件名稱刻意模仿Google Antigravity IDE，這第三方規則套件(rule pack)中的規則語氣與優先級設計，對Gemini的強制力壓過了Gemini對警告的遵從。但該套件一些特徵如混合了越南及土耳其文，還存在互相矛盾的指令，顯示可能不具有嚴格設計的安全系統。</p> <p>最後，使用者仍然肯定Gemini承認自己沒有驗證build number、沒確認宣稱「網站已復原」、及自己虛構了3次檢討，而且它也正確自我檢討出自己發生的三種失敗模式。</p> </div></div></div>
5/25 12:09作者林妍溱https://www.ithome.com.tw/news/176087
Underminr濫用共享CDN架構，讓惡意連線偽裝成可信網域流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://support.adamnet.works/t/underminr-information-share-official-release/1584" target="_blank">資安業者ADAMnetworks上周揭露</a>了一個藏匿在內容傳遞網路（Content Delivery Network，CDN）基礎架構中的安全漏洞<a href="https://underminr.ai/" target="_blank">Underminr</a>，宣稱駭客可利用該漏洞繞過安全偵測，估計影響全球約8,800萬個網域。</p> <p>在Underminr漏洞中，惡意程式可讓受害裝置先查詢一個被允許的可信網域A，取得它背後的CDN邊緣IP；但真正連到該IP時，卻在TLS SNI（伺服器名稱指示）與HTTP Host中指定另一個同樣位於該CDN共享邊緣上的惡意網域B。</p> <p>因此，DNS或被動DNS系統看到的是「裝置查詢了可信網域A」，安全系統可能因此放行；但實際連線內容卻可能由攻擊者控制的B回應。這使惡意程式可把C2通訊、資料外洩或代理流量偽裝成正常連線。</p> <p>Underminr看起來跟Domain Fronting很像，但其實採用了不同的手法。早在2015年就被提出的Domain Fronting，是利用CDN邊緣IP在交握時僅檢查SNI，後續轉發流量時仰賴HTTP Host標頭的特性，讓攻擊者可在外層連線中偽裝成受信任網域，實際上卻把流量導向惡意網域；隨後Google、Amazon及微軟等CDN業者全面要求SNI與HTTP Host必須一致，成功阻擋了Domain Fronting。</p> <p>簡單地說，Domain Fronting是SNI寫A，Host寫B，可透過禁止兩者不一致來攔截；而Underminr則是DNS查A，但連線的SNI與Host可都指向B，因而避開了針對Domain Fronting的防線。</p> <p>ADAMnetworks測試全球前500萬個熱門網域，發現約有42%的受測網域可能受到Underminr影響；若將該比例外推至全球網域生態，估計約有8,800萬個網域曝露在相關風險中。</p> <p>網站管理員可透過Underminr網站查詢自身網域是否可能遭濫用。ADAMnetworks也建議網域持有者啟用CDN租戶隔離機制，或將關鍵服務部署於專用IP及專用邊緣容量；企業IT管理員則應同時檢查DNS、SNI與HTTPS Host標頭，並在DNS與SNI層封鎖已知遭濫用網域。</p> </div></div></div>
5/25 12:13作者陳曉莉https://www.ithome.com.tw/news/176088