iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

SpaceX以750億美元創IPO紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>SpaceX周五（6/12）完成首次公開發行（IPO），以每股135美元發行5.56億股股票，募資規模達750億美元，刷新全球IPO紀錄，公司估值達1.77兆美元。</p> <p>這次IPO不僅超越阿里巴巴2014年在美國上市時約250億美元的募資紀錄，也超越Saudi Aramco 2019年在沙烏地上市時約294億美元的全球IPO紀錄。SpaceX掛牌首日股價大漲19.22%，以160.95美元作收，市值突破2兆美元。</p> <p>SpaceX由馬斯克於2002年創立，早期目標是降低太空發射成本，之後陸續發展可重複使用火箭、載人太空任務、Starlink衛星網路服務，並透過併購xAI跨入AI基礎設施領域。SpaceX去年營收為186.7億美元，較前一年成長33%，但仍虧損49.4億美元，其中，Starlink是目前唯一獲利的服務。</p> <p>2兆美元的市值讓SpaceX一躍成為美國第六大企業，僅次於Nvidia、Alphabet、蘋果、微軟及Amazon。不過，這些業者去年營收介於約1,300億至7,200億美元之間，淨利也都超過500億美元，與營收不到200億美元且仍處於虧損狀態的SpaceX形成對比。</p> <p>這也顯示投資人相中的並非SpaceX現階段的財務表現，而是其未來成長題材，包括Starlink衛星網路服務、新一代可重複使用火箭Starship，以及併購xAI後延伸出的AI基礎設施布局。</p> </div></div></div>
6/15 09:19作者陳曉莉https://www.ithome.com.tw/news/176588
中國駭客瞄準缺乏EDR防護的邊界設備，藉Brickstorm後門潛伏18個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Volexity<strong><a href="https://www.volexity.com/blog/2026/06/04/verdantbamboo-just-another-brickstorm-in-the-firewall/">揭露</a></strong>，中國相關駭客組織VerdantBamboo（UNC5221）在一起長期入侵事件中，將惡意程式放在企業邊界與基礎設施設備上，再利用Brickstorm後門提供的代理連線能力和遭竊憑證，存取受害組織的Microsoft 365環境。該做法讓攻擊流量更像來自企業內部網路，進而避開原本用來限制外部登入的條件式存取政策。</p> <p>研究人員是在調查異常網路流量時，發現這起VerdantBamboo入侵事件。受害環境中有一臺執行Egnyte Storage Sync的Linux虛擬機器設備，該設備未連往Egnyte相關網域，而是連到攻擊者控制並透過Cloudflare代理的網域。研究人員後續取得系統快照分析，確認該設備已遭植入Brickstorm。</p> <p>調查發現，攻擊者使用Storage Sync系統上的服務帳號登入設備。該組密碼原本已由受害組織的委外管理服務供應商變更，因此Volexity研判攻擊者應是從該供應商取得這組憑證。攻擊者接著利用帳號權限設定上的缺陷，取得可寫入系統目錄的能力，將Brickstorm放進需要高權限才能操作的位置，並在需要時手動啟動後門。</p> <p>研究人員指出，Brickstorm與另一個備援用的AGENTPSD惡意程式，至少已在Storage Sync設備上存在18個月。AGENTPSD以Python撰寫，功能較簡單，可讓攻擊者在主要後門失效時重新取得遠端命令執行能力，但在這起事件未被觀察到實際運作。</p> <p>受害組織初步處置後，VerdantBamboo又重新進入網路。研究人員發現，受害組織防火牆的管理介面暴露在網際網路上，攻擊者使用未受多因素驗證保護的管理員憑證登入，啟用網頁式SSL VPN，再轉進內部系統，將另一個後門PLENET部署到Synology NAS。PLENET以.NET Core開發，並使用Native AOT編譯成獨立Linux執行檔，可執行互動式命令、檔案操作與切換指揮控制伺服器。</p> <p>受害組織的委外管理服務供應商環境中，也發現pfSense防火牆遭到入侵，並被部署FreeBSD版本的Brickstorm，研究人員評估，受害組織可能是被已遭入侵的供應商波及。</p> <p>在該事件中，VerdantBamboo鎖定的是防火牆、網路儲存設備、檔案同步系統等較少安裝端點偵測與回應工具的設備。研究人員認為，這些設備通常較難完整監控，也不一定讓企業取得完整系統權限，因此更容易成為長期潛伏據點。Volexity已將Egnyte Storage Sync的本機權限提升問題通報Egnyte，該問題後續在Storage Sync v13.13修補。</p> </div></div></div>
6/13 08:09作者李建興https://www.ithome.com.tw/news/176583
麥肯錫：88%企業導入AI、只有39%看見實際效益，關鍵在於改變流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>生成式AI（GenAI）熱浪席捲各行各業，從聊天機器人、Copilot到AI代理（AI Agent）應用都百花齊放。企業導入AI早已不是新鮮事，但如何將零散的AI單點試驗，擴大為大規模應用、真正創造商業價值，仍是許多企業面臨的挑戰。</p> <p>麥肯錫全球董事合夥人李曉廬（Denise Lee）在Computex 2026中指出，全球已有88%的企業在至少一個部門導入AI，但真正做到企業規模化應用的企業只有約三分之一，而能從AI創造明確商業價值的企業，也只有39%。</p> <p>她認為，企業下一階段的競爭關鍵，不再是導入多少AI工具，而是能否將AI融入核心營運流程，並重新設計工作模式和組織運作方式。</p> <h2><strong>未來不是人類抵抗AI，而是人類、Agent和機器人一起工作</strong></h2> <p>談到AI對工作的影響時，李曉廬認為，電影中常見的「人類對抗機器」情節其實與現實相差甚遠。</p> <p>她指出，未來工作模式將由人才、AI代理（Agent）和機器人共同組成。企業不該只把員工視為人力編制，而是將整體勞動力，看成人類與智慧系統共同運作的混合團隊。</p> <p>麥肯錫研究顯示，以現有技術來看，企業員工日常工作中約57%的任務，可由AI代理和機器人協助完成。不過，仍有43%的工作需要仰賴人類的判斷力、創造力、同理心與複雜決策能力。</p> <p><img alt="" src="/sites/default/files/images/ppl.JPG" /></p> <p>她以護理人員與設備維護人員為例說明，AI與感測器可以協助蒐集資訊、找出問題，但真正的診斷、判斷與決策仍仰賴人類完成。因此，重點並非人類被AI取代，而是如何讓人類、AI代理與機器人形成更有效率的協作模式。</p> <p>李曉廬也引用麥肯錫分析近7,000項職場技能的研究，未來72%的工作技能，會需要人類與AI共同協作。例如，AI負責蒐集資料、整理資訊與產生分析結果，人類負責溝通協調、處理例外狀況和做出最終決策。這意味著，AI並非取代人才技能，而是改變技能的使用方式與工作分工。</p> <h2><strong>AI能力需求2年暴增7倍，企業需要懂得管理AI的人才</strong></h2> <p>這些研究結果點出，隨著AI進入企業工作流程，企業對相關能力的需求，也快速提高。</p> <p>尤其，李曉廬指出，AI Fluency（AI素養）的需求在短短2年間成長7倍。除了AI與機器學習、資料工程及雲端架構等技術能力外，人員管理和流程優化也成為成長最快的能力之一。</p> <p>這顯示，企業導入AI後，最大的挑戰往往不是技術本身，而是組織與流程的改變。</p> <p data-end="1538" data-start="1381">李曉廬指出，流程優化並非AI可以自行完成的工作，因為它需要對特定領域具備深厚知識。例如，不了解研發流程的人，很難知道該如何優化研發工作；同樣地，AI也無法憑空替企業設計更好的流程。</p> <p data-end="1592" data-start="1540">她進一步指出，隨著AI逐漸接手部分執行工作，人類的角色將更偏向需求定義、跨部門協調、規格制定與決策判斷。</p> <p data-end="1719" data-start="1594">因此，企業未來將需要更多AI調度者（AI Orchestrator）角色。這些人未必是AI工程師，而是能理解業務需求、設計工作流程、安排人機分工，並協調人類與AI共同完成工作的管理者。</p> <h2><strong>AI最大價值不在聊天機器人，而在企業核心營運領域</strong></h2> <p>談到企業最容易忽略的問題時，李曉廬指出，目前不少企業將AI應用於客服、文件整理、會議紀錄等場景，雖然有助於提升效率，但真正能創造競爭優勢的地方，其實是企業核心營運流程。</p> <p>她引用麥肯錫研究，到了2030年，AI每年可創造17兆至26兆美元的全球經濟價值。其中，生成式AI新增約4.4兆美元價值，而生產力提升又能額外帶來數兆美元效益。</p> <p data-end="1966" data-start="1948">不過，更重要的問題是，這些價值來自哪裡。</p> <p data-end="2082" data-start="1968">麥肯錫分析發現，無論是哪個產業，AI帶來的最大價值，幾乎都集中在企業的核心營運領域。以製造業來說，就是研發、先進製造與供應鏈；對軟體業而言，則是產品開發與軟體工程。</p> <p data-end="2197" data-start="2084">她強調，如果企業只是零星導入AI工具，很難獲得顯著投資報酬率（ROI）。真正的機會在於重新設計產品開發、生產、供應鏈與服務流程，從根本改變企業運作方式。</p> <h2><strong>多數企業還在試水溫，真正做到規模化的仍是少數</strong></h2> <p>不過，企業距離這個願景還有一段路要走。</p> <p>李曉廬在專訪中坦言，目前企業對AI Agent的準備度其實不高。</p> <p>她引用麥肯錫數據，雖然全球已有88%的企業導入AI，但真正做到企業級規模化的企業，僅約三分之一，而能從AI創造明確商業價值的企業，也只有39%。</p> <p>她觀察，不少企業仍處於試驗與探索階段。各部門各自嘗試不同AI工具，希望找到適合的應用場景，但還沒形成整體策略。</p> <p data-end="2425" data-start="2395">在她看來，許多企業面臨的第一個問題，是以工具導向思維看待AI。企業往往認為只要購買新的AI工具或建立一個AI代理，就能解決問題，卻忽略了工作流程本身是否需要重新設計，「很多企業是工具導向，但真正成功的企業是流程導向。」另一方面，AI技術變化速度極快，企業也必須持續學習與調整應用方式。</p> <h2 data-end="2852" data-section-id="1mgl7sl" data-start="2830"><strong>企業擁抱AI的認知落差：CEO關心商業價值，CIO關心技術落地</strong></h2> <p data-end="2890" data-start="2854">李曉廬也觀察到，企業高階主管與資訊主管在推動AI時，常關注不同的事情。</p> <p data-end="2890" data-start="2854">「CEO關心的是業務績效，CIO關心的是技術。」她認為，這不是誰對誰錯，而是雙方需要建立共同語言。</p> <p data-end="2890" data-start="2854">比如對CIO而言，必須幫助企業領導者理解AI的重要性，並從策略角度思考如何創造商業價值；對CEO而言，則應主動了解AI的能力與限制，並親自支持組織文化與變革管理。</p> <p data-end="3173" data-start="3100">尤其在亞洲企業文化中，如果最高管理者不支持變革，很難推動大規模轉型。</p> <h2><strong>臺灣下一波競爭優勢不只來自晶片，而是如何把AI用進企業裡</strong></h2> <p data-end="3286" data-start="3208">就臺灣科技業下一波AI競爭優勢來說，李曉廬認為，不會只來自更先進的晶片或更強大的硬體，而是企業能否率先將AI導入工廠、研發與供應鏈，打造真正的人機協作模式。</p> <p data-end="3404" data-start="3288">她分享一個硬體製造商案例，該公司先從建立AI代理自動化加班申請等小型應用開始，累積成功經驗後，再進一步推動品質管理流程重塑，最終完成端到端的品質管理轉型。</p> <p data-end="3428" data-start="3406">最後，李曉廬也向企業領導者拋出3個問題：</p> <p data-end="3583" data-start="3430">第一，企業是否正在重新想像未來的價值來源，而不只是利用AI優化既有流程；第二，是否將AI視為核心業務轉型的一部分，而非交由IT部門負責的技術專案；第三，是否開始培養一批能夠協調人類與AI共同工作的AI調度者。</p> <p data-end="3638" data-start="3585">她認為，AI最大的挑戰從來不只是技術，而是企業是否願意重新設計流程、調整組織文化，並由領導者親自推動變革。</p> <p data-end="3701" data-is-last-node="" data-is-only-node="" data-start="3640">「真正能勝出的企業，不是擁有最多GPU的公司，而是那些敢於重新設計流程、重新定義工作方式，並打造能與AI共同工作的組織，」她說。</p> <p></p> </div></div></div>
6/12 14:29作者王若樸https://www.ithome.com.tw/news/176584
套件管理器Homebrew調整套件來源信任機制，6.0.0強化供應鏈安全與Linux沙箱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>套件管理器Homebrew專案發布<strong><a href="https://brew.sh/2026/06/11/homebrew-6.0.0/">Homebrew 6.0.0</a></strong>，這次更新開發團隊把重點放在套件來源信任、安全隔離與更新效率。新版增加第三方套件來源信任機制（tap trust），將內部JSON API設為預設，並在Linux導入Bubblewrap沙箱。Homebrew現在會在執行第三方tap程式碼前先確認信任狀態，並透過沙箱限制部分安裝流程，以降低惡意或遭入侵來源帶來的風險。</p> <p>Homebrew是macOS與Linux常用的套件管理器，開發者可用來安裝命令列工具、函式庫與應用程式。過去使用者若加入第三方套件來源（tap），就可能在安裝套件前，讓來源中的Ruby程式碼先在本機被讀取或執行。Homebrew團隊指出，這類第三方來源可以包含任意且未經沙箱隔離的程式碼，因此6.0.0開始要求使用者在執行相關程式碼前，先明確信任該來源。</p> <p>該變更主要影響非官方套件來源，新版會在評估套件定義與應用程式安裝項目前檢查來源信任狀態，也停止自動加入未受信任來源。官方維護的Homebrew來源仍預設為受信任。</p> <p>Homebrew 6.0.0還把內部JSON API改為預設，原本Homebrew 5.0.0可由使用者選用，到了6.0.0則已成為預設設定。該機制會把Homebrew需要的中繼資料整合成單一下載，減少更新時的網路請求，讓套件清單更新與安裝前檢查更快。</p> <p>Linux支援方面，Homebrew加入Bubblewrap沙箱，讓建置、測試與安裝後處理等階段能在更受限制的環境中執行，接近macOS既有的安全隔離作法。新版也強化安裝階段的沙箱保護，並把應用程式安裝流程中的可執行處理納入隔離範圍。</p> <p>Homebrew預告macOS Intel支援退場時程。由於macOS 27（Golden Gate）將不支援Intel處理器，Homebrew將在2026年9月把macOS Intel x86_64降為第三支援層級（Tier 3），不再提供自動化測試與建置支援，也不再建立新的預先編譯二進位套件。到2027年9月，Homebrew將完全停止支援macOS Intel x86_64，並移除相關程式碼。</p> </div></div></div>
6/12 19:21作者李建興https://www.ithome.com.tw/news/176578
企業需要AI即戰力，但新鮮人只會用AI改履歷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週落幕的Computex以「AI Together」為主題，輝達（Nvidia）執行長黃仁勳更在演講中宣示「AI is now useful」，意味著AI已從技術展示正式走向產業應用階段，不會使用AI的人，將被「會使用AI的人」所取代。</p> <p>資策會副執行長兼數位轉型研究所院長林玉凡表示，在這樣的時代背景下，「我們到底是被AI打敗，還是要擁抱它？」她點出關鍵：未來最有競爭力的人才，不只會用AI，更要能將AI轉化為產業價值，而這正是臺灣職場當前最稀缺的能力。</p> <p>「市場不是沒有人才，而是缺少企業看得懂、用得上的AI能力表現。」資策會教研所主任劉錦芳坦言，人才供給端與需求端之間，缺乏的不是意願，而是一套可以跨越雙方的能力語言。</p> <h1><span style="color: rgb(178, 34, 34);">AI不只是工具，更是重新定義工作的契機</span></h1> <p>林玉凡走訪製造、文創、醫療等多個產業公協會，並試圖從中抽煉出未來人才的共同輪廓。她以「數位轉型3.0」為題的架構圖作為產業共識，其中所勾勒的並非單一技術能力，而是一座涵蓋五個維度的能力屋。</p> <p>最頂端的屋脊是「重新想像數位世界的商業策略能力」（Reimagine），支撐其下的三根柱子分別是顧客體驗設計、資料實驗與生態系策略，而整棟建築的地基，則是「可信任的數位裝置與平臺架構能力」。</p> <p>「如果你對未來沒有想像，你就沒有在數位世界中重新建構場景的能力，」林玉凡說，「因為數位和現實生活會不斷融合，怎麼樣在這個過程中重新想像我們的商業模式，不管是中年的人還是年輕人，都需要面對這個課題。」</p> <p>她進一步點出，醫療現場的挑戰尤具代表性。當AI能夠協助診斷、整理資料，醫護人員真正的價值，在於理解病人的體驗，設計照護服務，將大量的醫療資料轉化為高品質的服務內容。「這些才是未來高薪工作的定義，」她說，「也是引導我們在校學習與永續學習的方向。」</p> <p>因此，林玉凡表示，AI不會直接取代所有工作，面對AI浪潮，真正重要的不是與AI競爭，而是學會如何與AI協作，並重新定義自己的專業價值。「但能善用AI的人，將逐漸取代無法運用AI創造價值的人。」她說。</p> <p><img alt="" src="/sites/default/files/images/600-%E6%9E%97%E7%8E%89%E5%87%A1%E7%B0%A1%E5%A0%B1_%E9%BB%83%E5%BD%A5%E6%A3%BB%E6%94%9D.jpg" style="width: 600px; height: 343px;" /></p> <h1><span style="color: rgb(178, 34, 34);">人才問題不在於找不到人，而是找不到對的人</span></h1> <p>觀察當前AI人才市場發展，資策會教研所主任劉錦芳直接點破一個最弔詭的現象：「大家都說找不到人，但其實人都在。問題是，找不到『對的人』。」</p> <p>劉錦芳強調，所謂「對的人」，指的是企業能夠理解、且能立即上手的AI能力。而這個能力的匱乏，並非出自個人的怠惰，而是整個人才培育體系尚未建立起與產業需求對話的「共同語言」。</p> <p>她認為，AI時代的人才難題，供需兩端都有問題。在供給端，許多校園已開始導入AI學習、學生也會使用工具，但能力呈現不一致，更根本的問題是懂AI不等於懂工作場景；在需求端，企業持續拉高徵才期待，尤其看重AI的協作、治理與應用能力，以及可立即上手的跨領域人才。</p> <p>「人才培育不是在教工具，」劉錦芳說，「而是要貼近產業，了解產業的趨勢，工具在實際工作流程裡要怎麼用，才是問題所在。」她以資策會在奇美醫院的合作為例，醫院內的醫師、護理師、行政人員對AI的使用情境各不相同。</p> <p>像是醫師需要理解AI建議並評估臨床適用性；護理師的重點在於協助流程優化，同時維持照護判斷與病患互動；行政人員則著重資料與流程作業的支援效率。「三種職類的AI學習路徑必須差異化設計，才能真正落地。」她說。</p> <p>金融業的案例，同樣說明了AI應用的複雜性。資策會與中信商銀的合作重點不只是「會不會用AI」，而是能不能讓AI安全地進入工作流程。</p> <p>她舉例，從客戶服務的智能客服、市場分析的趨勢預測，到AI Agent在文件摘要與跨系統整合的應用，整個培訓計畫累計完成超過一萬三千份企業內部評測、逾九十人參與實體培訓、三百三十名員工取得認證，更打造出十項AI自動化流程實作案例。</p> <h1><span style="color: rgb(178, 34, 34);">AI職缺需求熱，學用落差仍是痛點</span></h1> <p>1111人力銀行發言人曾仲葳根據1111人力銀行資料庫，在2023至2025年間，應徵AI相關職缺的人數大幅成長了103%；而光是2026年第一季的應徵人數，就已達2025年全年的九成。</p> <p>此外，她表示，在需求端，今年第一季開出的AI相關職缺近三萬五千筆，相當於2024年全年的六成至九成。「等於市場對AI人才的需求非常旺盛，求職者的競爭也更趨激烈，」曾仲葳說。</p> <p>企業端目前最急需的三大AI人才類型，依序為：AI基礎架構與維運人才（37.24%）、AI資安與倫理治理人才（33.15%），以及AI跨領域商業與戰略人才（30.89%）。更有超過四成企業預期，未來兩至三年，AI人才需求將持續明顯增加。</p> <p>在應屆新鮮人這一端，AI工具確實已成為求職的日常配備。調查顯示，超過七成（73.2%）的受訪者認為，AI工具對求職有實際幫助，最常見的使用場景包括修改自傳（60.5%）、撰寫履歷（56.5%）及模擬面試（28.9%）；近三成受訪者表示，AI工具大幅降低面試前的焦慮感。</p> <p>不過，學用落差的問題依然顯著。雖然各大學已普遍開設AI相關課程，但僅有11%的新鮮人認為，在校所學能完全滿足職場需求；超過六成認為只有部分符合，甚至超過三成認為，在校學到的AI技能無法充分應用於工作。</p> <p>為了彌補這個落差，多數人選擇透過線上學習平臺自主進修，或是主動考取AI相關證照。此外，超過八成新鮮人希望未來企業能提供完善的AI培訓資源。</p> <p>值得注意的是，大約有五成五的新鮮人表示，AI工具出現後，有機會尋找非自己畢業科系的相關工作，曾仲葳表示，這是過去難以想像的求職彈性。與此同時，AI「取代工作」的焦慮也已明顯下降，以往認為AI會取代自身工作的比例，已從AI剛出現時的約九成，降至現在的二成（22%）左右。</p> <h1><span style="color: rgb(178, 34, 34);">從三個案例，看AI如何改變一般工作者的日常</span></h1> <p>首先，擔任平面設計師張小姐坦言，AI出現之初，曾有過強烈的中年職場危機感。「AI可能只需五秒鐘，就可以解決之前要花五個小時才能完成的任務，」她說。但在實際操作AI工具的過程中，她逐漸發現現實遠比想像複雜。</p> <p>她解釋，因為沒有任何單一工具可以直接完成所有工作，必須根據不同的輸出需求交錯搭配；輸出的成果有時包含大量用不到的元素，反而要花時間手動刪減。經歷與AI的協作後，她認為，手繪的技術、個人的創作風格，這些還是不會被取代的，因為這真的是你會的東西。</p> <p>現任職於幼兒園的蘇小姐，從護理師轉職為衛教師，AI則協助她改變衛教內容製作的工作流程。</p> <p>過去，她需要花費大量時間從網路搜尋適合幼兒閱讀的素材、自行製作簡報，因為要做到適合小朋友看的呈現方式，光是修改就耗時甚久。</p> <p>有了AI之後，她先透過ChatGPT整理思路、構建初稿，再搭配Notebook LM、Suno、Gamma等工具，將素材轉換成她想要的格式。「相對減少很多從頭做的時間，可以把更多時間省下來，留給小孩子做互動，」蘇小姐說，「我覺得AI不是取代我的工作，而是讓我有更多時間做更重要的事。」</p> <p>最後則是心理系畢業、從事專案管理工作的Elise，花了約一個半月的時間，以自學方式考取了經濟部i PAS AI應用規畫師證照。</p> <p>她的學習方法是自己動手建立一個簡易的AI Agent，專門負責將她在備考過程中遇到的專業詞彙與難懂概念，用白話文重新解釋，並協助她反覆練習題目。</p> <p>對於非本科系出身的她，相關知識都是從自己的背景去理解，Elise表示，這種方式讓她可以用AI共同學習，並在過程中取得這張證照。她也說，這張證照，也成為她爭取加薪的籌碼。</p> <h1><span style="color: rgb(178, 34, 34);">資策會推「數位職能護照，讓你的能力被企業看見</span></h1> <p>如何讓個人的AI能力被企業「看見」，資策會教研所所長何玲玲表示，為了累積產業端與學校教育端的成果，做到整合、辨識，並轉化為人才發展的共同語言，資策會推出了「數位職能護照」。</p> <p>這份電子版職能護照的設計邏輯就是，每當持有人完成某項課程訓練、通過某項證照考試，或受企業指派完成特定實作專案，相關記錄都會累積在護照之中。「企業在找人才的時候，其實不只看學經歷，更看重他曾經做過什麼，因為實務經驗才是能幫助工作完成的東西，」何玲玲說。</p> <p>目前，數位職能護照已累計發放超過兩萬五千本，涵蓋AI應用、辦公室工具、美術設計等類別，並已依不同產業設計出客製化的護照版本，包括醫療領域和金融領域的企業，都已採用各自的護照版本作為人才能力的辨識指標。護照採電子形式，完全可攜帶——無論轉職、換工作或前往其他服務單位，過去的所有歷練都能一併跟著走。</p> <h1><span style="color: rgb(178, 34, 34);">從4I 框架，學習轉化AI的價值</span></h1> <p>劉錦芳認為，未來最有競爭力的人才，不只會用AI，更能把AI轉化為價值。要怎麼做到？可以參考「4I框架」，包括：想像力（Imagination）、整合力（Integration）、影響力（Impact）、投資未來（Investment）。</p> <p>她解釋，「想像力」是在AI的輔助下，看見機會、提出新的可能；「整合力」是串聯資源、讓工具真正落地的能力；「影響力」是創造改變、帶動組織與產業前進的能力；而「投資未來」更是持續學習、投資自己的決心。</p> <p>劉錦芳也預告，資策會教研所與1111人力銀行將於今年11月聯合發布《2027未來人才白皮書》，針對醫療、金融、製造、服務四大產業，盤點未來的職缺方向與關鍵能力需求，並建立可衡量的人才標準指標，期望為臺灣的人才培育與就業媒合提供更有系統的參考依據。</p> </div></div></div>
6/12 17:21作者黃彥棻https://www.ithome.com.tw/news/176579
環境部推全新的循環標誌，預計7月開放申請，今年還將納入政府綠色採購
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>環境部即將推動全新的「循環標誌」在今天(6/12)舉辦的循環商品展中正式亮相，適逢立法院於6月剛三讀通過「資源循環推動法」形成政策連動。相較於既有環保標章多涵蓋空氣、水資源與能源管理等廣泛環境指標，新的「循環標誌」則聚焦產品本身的循環設計條件，包括單一或天然材料使用、易拆解設計以及再生材料導入等，核心目標在於提升資源循環利用效率並減少廢棄物產生。</p> <p>環境部資源循環署長賴瑩瑩表示，循環標誌的核心不只是產品識別工具，也希望從設計端引導減廢與資源再利用，提升產品在生命週期中的循環效率，並降低廢棄物產生。</p> <p>在制度設計上，循環標誌採申請制，由業者向主管機關提出申請並通過審查後即可使用，標誌將直接標示於產品上，未來並規劃結合QR Code數位資訊系統，提供產品材料來源、循環設計與再利用資訊，類似「產品履歷」的透明機制。</p> <p><span style="font-size:22px;"><strong><span style="color:#B22222;">納入綠色採購績效，以公帶私向市場推廣循環商品</span></strong></span></p> <p>政策面部分，循環標誌被納入政府綠色採購與績效評核架構。自今年起，政府機關與學校若採購具循環標誌的產品或服務，將可納入綠色採購績效計算，透過制度誘因引導公部門優先選用循環產品，進一步擴大市場需求。</p> <p>循環署指出，這項設計目的在於以政府採購作為初期市場支點，逐步帶動企業投入循環設計、維修延壽與再生材料應用。</p> <p>循環標誌被視為一種可辨識的「永續信任標記」，希望降低消費者與採購端對循環產品資訊不對稱的障礙，並強化綠色採購決策依據。標誌外型設計以蝸牛意象呈現，象徵循環經濟持續推進與資源再生的概念。</p> <p>今年5月循環署先公布首波「循環產品及循環服務技術規格」，內容涵蓋紡織品、塑膠類、玻璃容器、循環服務及無機材料等五大類別，共計12項技術規格。</p> <p>從今年7月起，符合相關循環特性技術規格的產品與服務即可提出申請，進入循環標誌審查與認證流程。該制度目標在於建立一致性的循環產品識別體系，讓公私部門在採購時能以明確標準辨識產品循環特性，以引導市場優先選擇具備循環設計與資源再利用能力的產品與服務。</p> <p>賴瑩瑩指出，目前已有部分業者投入資源循環聯盟相關產品設計，未來將可透過標誌驗證機制進入政府與企業採購體系，形成由政策驅動的需求市場。</p> <p>值得注意的是，循環標誌涵蓋的首波產品類別僅涵蓋上述的5大類別，目前循環標誌只是剛起步，尚未涵蓋ICT電子產品，未觸及IT設備產品供應鏈，不排除未來循環標誌可能擴大產品類別。</p> <p><span style="font-size:22px;"><strong><span style="color:#B22222;">從「資源循環推動法」看循環經濟趨勢</span></strong></span></p> <p>循環標誌作為採購與供應間的識別標誌，其目的在推廣循環產品，從源頭減廢，用意與未來即將上路的「資源循環推動法」不謀而合，循環標誌可以說是「資源循環推動法」及配套子法上路前，循環產品及服務的識別工具，引導民間消費、政府及企業綠色採購的重要工具。</p> <p>前身為「資源回收再利用法」的「資源循環推動法」，為建立資源循環的法源依據，推廣「循環經濟」的目標下，授權主管機關環境部可以做的事，包含綠色設計制度、再生料使用規範、產品延壽與維修、循環採購制度、以及「產品循環相關標示制度」。</p> <p>「資源循環推動法」為循環經濟建立法制基礎，而循環產品及循環服務標誌則是其市場化工具，儘管目前仍以民生產品為主，但已透過綠色採購機制逐步導入政府採購體系，為未來電子產品與IT供應鏈納入循環管理預留制度空間。</p> </div></div></div>
6/12 17:46作者蘇文彬https://www.ithome.com.tw/news/176580
【資安週報】0608-0612，全球漏洞治理迎來新變革，美國CISA開始勒令高風險漏洞3天內須修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼上週印度CERT-In提出極嚴格的修補時間要求，各國是否將跟進並納入監管規範成為焦點，如今美國網路安全暨基礎設施安全局（CISA）亦祭出行動，調整漏洞管理規則，要求最高風險漏洞須在3天內完成修補。</p> <p>Anthropic發表威力等同於Mythos的新模型Claude Fable 5亦成焦點，其特色在於標榜加入安全防護機制，避免用於惡意網路攻擊。</p> <p>在威脅態勢方面，近期針對Check Point與思科網路設備的零時差漏洞攻擊消息，反映出攻擊者正持續鎖定邊緣裝置作為突破口，此外，多家網站傳出可疑的Polyfill登入提示，Miasma供應鏈攻擊也持續引發高度關注。</p> <h1><strong style="color: rgb(255, 140, 0);">AI資安</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>Anthropic發表新模型Claude Fable 5備受矚目，針對AI加速漏洞武器化所帶來的危機，業界也頻頻發出示警，包括使N-day風險縮短至N小時等級，以及倡議前沿AI開發者應建立協調暫停機制以防失控，必要時一起放慢或暫停開發。此外，開源社群領袖於臺灣舉行的Computex 2026上，提醒AI也將放大軟體供應鏈問題，呼籲企業應參與開源專案並改善安全。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176463" target="_blank">Anthropic警告AI可在數小時內打造漏洞攻擊程式</a></strong></p> <p><a href="/sites/default/files/images/Anthropic LLM N-day.jpg"><img alt="" src="/sites/default/files/images/Anthropic%20LLM%20N-day.jpg" style="width: 400px; float: right;" /></a></p> <p>Anthropic在6月8日發表最新研究報告《Measuring LLMs' impact on N-day exploits》，指出N-day漏洞問題將變得非常嚴峻，以往修補程式發布到漏洞被利用往往需要數週甚至數月時間，因為駭客通常需要投入大量逆向工程與漏洞研究工作，如今最新模型只要比較修補前後版本差異，知道漏洞元件名稱及相關測試環境，就能建立概念驗證程式，最快案例耗時甚至不到1小時。這也顯示，N-day漏洞問題將變成「N-hour」風險，因為修補資訊公開後數小時內就可能被武器化，傳統以月為單位的修補發布與部署模式將面臨挑戰。</p> <p><strong><a href="https://www.ithome.com.tw/news/176499" target="_blank">Anthropic發表新模型Claude Fable 5，威力等同於Mythos並加入安全防護</a></strong></p> <p>Anthropic正式發布威力等同Claude Mythos的模型Claude Fable 5，但加入安全防護以確保公眾安全，其價格也是Opus 4.8的2倍，該公司也宣布推出少數專家及研究人員專用的最新版模型Mythos 5。Fable 5除了標榜加入防護機制，其能力也是Anthropic現有公開模型最強大的，在所有AI標竿測試項目幾乎皆為最強，在軟體工程、知識工作、視覺、科學研究等領域效能優異，而且任務愈長、愈複雜，Fable 5的領先幅度愈大。</p> <p><strong><a href="https://www.ithome.com.tw/news/176410" target="_blank">OpenSSF前總經理Brian Behlendorf：AI對開源的依賴愈深，將放大軟體供應鏈問題</a></strong></p> <p>AI浪潮讓開源軟體的重要性攀上新高，但也讓軟體供應鏈安全問題變得更加嚴峻。OpenSSF前總經理Brian Behlendorf受邀在Computex 2026的活動論壇中指出，從Log4j漏洞、XZ後門事件到PyTorch供應鏈攻擊，AI並未帶來新的資安威脅，而是將既有的開源供應鏈風險「推上火箭」，放大到前所未有的規模。他呼籲企業除了使用開源軟體，也應投入資源協助改善開源專案安全，共同建立可信任的AI基礎設施。</p> <p><strong><a href="https://www.ithome.com.tw/news/176389" target="_blank">Anthropic稱內部逾8成正式程式碼由Claude撰寫，倡議先進AI開發者建立協調暫停機制</a></strong></p> <p>Anthropic近日發表報告《When AI builds itself》，不僅揭露該公司合併至正式程式碼庫的程式碼已有逾8成由Claude撰寫，同時主張全球應建立可驗證的協調機制，讓主要前沿AI開發者在必要時，具備共同減速或暫停開發的選項。這是因為未來可能出現「遞迴式自我改進」（Recursive Self-Improvement）的情況，也就是AI能夠自行設計與改進自己的後繼模型，若真的發生，可能成為科技史上的重大轉折，一方面可加速科學與醫療等領域進展，另一方面也可能提高人類失去控制的風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176423" target="_blank">多倫多大學研究示警，駭客可用免費AI模型提高蠕蟲程式擴散能力</a></strong></p> <p>加拿大多倫多大學（University of Toronto）發布研究指出，攻擊者即使未掌握先進AI模型或龐大運算資源，仍可能利用開放權重（open-weight）模型，開發具備自主調整攻擊策略能力的惡意程式，提醒企業與使用者應落實基本資安措施。</p> <p><strong><a href="https://www.ithome.com.tw/news/176460" target="_blank">美國要求聯邦機構限期修補LiteLLM的命令注入漏洞</a>【</strong>CVE-2026-42271<strong>】</strong></p> <p>美國網路安全與基礎設施安全局（CISA）更新已遭利用的漏洞名單（KEV），增列項目之一為開源大型語言模型串接套件LiteLLM於6月8日揭露的漏洞CVE-2026-42271，這是一個命令注入類型的弱點，開發團隊BerriAI發布1.83.7版修補。同日還有另一個Check Point揭露的VPN零時差漏洞CVE-2026-50751也被納入。究竟駭客如何利用漏洞，CISA並未說明，不過在此公告之前，威脅情報公司<a href="https://www.ithome.com.tw/news/176569">Horizon3.ai亦針對</a>LiteLLM高風險漏洞CVE-2026-42271提出警告，若攻擊者串連另一個已知漏洞，將形成CVSS風險值10分的漏洞利用鏈。</p> <p><strong><a href="https://www.ithome.com.tw/news/176440" target="_blank">公開AI代理技能市集掃描機制難擋惡意技能，OpenClaw、Cisco與Vercel相關檢測皆遭繞過</a></strong></p> <p>資安廠商Trail of Bits近期揭露了一項研究，針對包括OpenClaw的ClawHub技能市集、思科開源的skill-scanner工具，以及Vercel旗下skills.sh市集整合的Gen Agent Trust Hub、Socket與Snyk掃描服務進行測試後，發現多個惡意技能套件均可通過上述檢測。研究人員分析指出，問題的核心並非單一掃描規則的疏漏，而是AI代理技能套件本質上混合了程式碼、文件與自然語言指令，導致現有掃描工具難以完整判斷其隱藏意圖。</p> <p><strong><a href="https://www.ithome.com.tw/news/176414" target="_blank">研究人員以1千美元用AI發現FFmpeg 21項零時差漏洞</a></strong></p> <p>廣泛用於各類軟體的影音核心FFmpeg，被資安業者Depthfirst以AI代理掃描發現21項零時差漏洞，而且總成本僅約1,000美元（是Anthropic使用Mythos成本的10%）。該團隊主要撰寫代理人系統來深度掃描FFmpeg的程式，並經過測試證實漏洞，目前這21項漏洞中，已有9個獲得派發CVE編號，其餘漏洞尚未獲得編號。</p> <p><strong><a href="https://www.ithome.com.tw/news/176538" target="_blank">OpenSSL修補高風險漏洞，研究人員在AI協助下發現可導致RCE問題</a></strong></p> <p>OpenSSL近日修補18項安全漏洞，近半數由Anthropic公司協助發現，再次凸顯AI工具在發現與修補弱點方面的效益。其中高風險漏洞CVE-2026-45447尤為關鍵，研究人員透過Claude AI識別出可能導致記憶體已釋放卻仍被使用（UAF）問題，除此項外，Anthropic亦參與其餘7項漏洞的通報與修補，顯示AI驅動的分析技術已成為現代漏洞研究不可或缺的核心工具。</p> <p><strong><a href="https://www.ithome.com.tw/news/176413" target="_blank">AI工具發現Redis重大漏洞，協助修補可能導致遠端程式碼執行的記憶體問題</a></strong></p> <p>自主AI工具發現軟體漏洞再添案例。Redis近日修補高風險漏洞CVE-2026-23479，這項潛伏超過2年的遠端程式碼執行漏洞，是由Theori旗下自主式AI工具Xint Code所發現。Theori表示，Xint Code可自行分析大型程式碼庫並輸出結果，顯示AI已逐漸具備發掘複雜漏洞的能力。</p> <p><strong><a href="https://www.ithome.com.tw/news/176424" target="_blank">OpenAI為ChatGPT引進Lockdown模式，透過限制部分工具存取降低提示注入攻擊風險</a></strong></p> <p>OpenAI近日為ChatGPT導入新的Lockdown Mode安全模式，透過限制網頁瀏覽、Deep Research、Agent Mode等高風險功能，降低提示注入（Prompt Injection）造成資料外洩的風險。OpenAI表示，這項功能主要針對處理敏感資料的使用情境，核心目標並非阻止提示注入本身，而是限制AI模型存取連接網站或外部服務，降低提示注入造成的風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176474" target="_blank">Google更新NotebookLM，新增代理式研究與多格式輸出</a></strong></p> <p>NotebookLM升級，Google表示將改用Gemini 3.5並在Antigravity上運作，更重要是替每個筆記本配置安全雲端運算環境。因此，這次升級不只採用更強的模型能力，也能使NotebookLM能夠撰寫及執行程式碼，幫助使用者進行更深入與複雜的研究分析。</p> <p><strong><a href="https://www.ithome.com.tw/news/176539" target="_blank">OpenAI、Visa合作共推AI代理安全支付技術</a></strong></p> <p>各AI業者及雲端平臺公司都在嘗試推出自有代理支付技術以搶佔關鍵位置，國際支付卡組織Visa在6月10日宣布與OpenAI合作，將把其支付網路及安全、身分驗證技術整合到OpenAI ChatGPT使用體驗中，以實現消費者及企業AI代理式支付的安全及流暢性。雙方也計畫將支付安全機制整合到開發或業務流程中，這項合作讓開發人員或店家得以接受由AI代理啟動的Visa支付。</p> <p><strong><a href="https://www.ithome.com.tw/news/176425" target="_blank">Anthropic揭露惡意帳號濫用Claude趨勢，中度風險以上AI輔助攻擊者占比已逾五成</a></strong></p> <p>AI公司Anthropic於6月3日發布AI輔助網路威脅分析報告，指出攻擊者濫用AI模型發動網路攻擊的情況持續增加，風險也逐步升高。該公司分析2025年3月至2026年3月間，因違反使用政策遭停權、且具備足夠活動細節可供分析的832個帳號，發現濫用Claude輔助網路攻擊的風險升高──中度以上風險行為者占比不到一年從約33%升至約56%，約為前期的1.7倍，顯示AI正在降低攻擊者執行複雜攻擊行動的門檻。</p> <p><strong><a href="https://www.ithome.com.tw/news/176438" target="_blank">假冒Claude Code安裝網站散布惡意軟體事件又一樁，開發環境憑證遭鎖定</a></strong></p> <p>資安公司Cyderes旗下研究團隊Howler Cell揭露，攻擊者透過偽冒Claude Code安裝網站，結合SEO污染與ClickFix社交工程手法，誘導開發者執行惡意命令，進而部署無檔案形式的.NET竊資軟體。研究人員指出，熱門AI開發工具正逐漸成為攻擊者的誘餌，鎖定開發者環境發動攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/176442" target="_blank">惡意Chrome擴充套件鎖定AI平臺互動內容，收集對話與敏感資料</a></strong></p> <p>資安業者G DATA研究人員揭露，部分Chrome瀏覽器擴充套件內含惡意元件，會監控使用者與ChatGPT、Claude、Copilot等AI平臺互動內容，收集提示詞、對話紀錄與敏感資訊並外傳。這起案例顯示，攻擊者已開始將AI對話內容視為新的高價值資料來源，利用瀏覽器擴充功能竊取資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/176547" target="_blank">AI代理同樣存在遭社交工程欺騙風險，研究人員揭露OpenClaw AI代理可遭釣魚郵件誘騙洩漏敏感資料</a></strong></p> <p>Varonis研究團隊針對開源AI代理平臺OpenClaw進行安全測試，發現攻擊者可透過冒名郵件等社交工程手法，誘騙AI代理外洩AWS金鑰、資料庫憑證及客戶資料。研究顯示，AI代理雖能有效辨識惡意連結與偽造OAuth頁面，但在驗證人員身分、組織關係及授權範圍等社交層面仍相當脆弱，顯示AI代理同樣面臨社交工程風險。</p> <h1><strong style="color: rgb(255, 140, 0);">資料安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>本週資料安全焦點在於Oracle PeopleSoft伺服器漏洞遭駭客鎖定，值得關注的是，這起事件恐有100多家組織遇害，同時也反映勒索軟體駭客組織ShinyHunters持續帶來的資料外洩威脅。此外，隱私強化技術（PETs）的發展亦成焦點，日前Computex活動亦展示與具身機器人結合的應用。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176529" target="_blank">ShinyHunters宣稱駭入上百家Oracle PeopleSoft伺服器</a></strong></p> <p>勒索軟體駭客組織ShinyHunters鎖定商用軟體Oracle PeopleSoft伺服器漏洞發動攻擊，該組織宣稱這波行動成功存取一百多家組織、超過300個PeopleSoft執行個體，結合軟體的舊漏洞及先前未知的零時差漏洞展開攻擊，遭駭者大部分是教育機構，其中一家受害學校是英國諾丁罕大學，根據BBC報導，該校已證實遭到網路攻擊，學校的校園方案系統遭遇非授權活動，致使課程系統儲存的「大量」學員包括現任學生、校友個資遭到存取。</p> <p><strong><a href="https://www.ithome.com.tw/news/176534" target="_blank">ServiceNow安全缺陷遭濫用，攻擊者查詢部分客戶執行個體資料</a></strong></p> <p>企業雲端工作流程平臺業者ServiceNow傳出安全事件，攻擊者濫用一項安全漏洞，可讓未經身分驗證的使用者在特定情況下，取得超出範圍的ServiceNow執行個體存取權限，並透過組態不良的API端點，查詢部分客戶執行個體的資料表，ServiceNow已通知受影響客戶。</p> <p><strong><a href="https://www.ithome.com.tw/news/176462" target="_blank">學校求職網站第三方平臺漏洞遭駭，導致牛津大學學生個資外洩</a></strong></p> <p>英國名校爆發資料外洩事件，本週牛津大學發布公告，說明求職平臺CareerConnect供應商GTI於5月28日通知學校遭到第三方人士未授權存取系統，致使用戶的姓名、電子郵件地址，以及未以單一簽入（SSO）登入系統的學生加密密碼遭駭客存取，使用SSO登入CareerConnect系統的學生密碼則不受影響。CareerConnect平臺的攻擊者身分尚未被辨識或公開。校方也提醒學生留意陌生信件或訊息，避免遭釣魚攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/176498" target="_blank">幫助具身機器人巡檢兼顧隱私，帝濶智慧科技展示PriviSphere Robotics平臺</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_bang_zhu_ju_shen_ji_qi_ren_xun_jian_jian_gu_yin_si_di_kuo_ke_ji_zhan_shi_privisphere_roboticsping_tai_.jpg?itok=9B8gdgkS"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_bang_zhu_ju_shen_ji_qi_ren_xun_jian_jian_gu_yin_si_di_kuo_ke_ji_zhan_shi_privisphere_roboticsping_tai_.jpg?itok=9B8gdgkS" style="width: 400px; float: right;" /></a></p> <p>隱私強化技術（PETs）發展持續備受關注，鈺創科技旗下專注於差分隱私技術的帝濶智慧科技（DeCloak），於Computex 2026現場揭示最新隱私防護技術發展，展示可將監控影像中的人物即時模糊化，並整合各類具身機器人協作應用的「PriviSphere Robotics」平臺，建構一套具備隱私感知能力的機器人協作體系。</p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>本週適逢每月例行更新發布，其中微軟6月修補數量達568個最受矚目，而Microsoft Defender零時差漏洞RoguePlanet的揭露亦引發熱議。此外，趨勢科技回應Deep Security Agent防護功能失效的消息，以及微軟EDR更新機制的調整，也反映端點安全防護韌性與更新效率正受各界高度重視。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176497" target="_blank">微軟發布6月例行更新，修補逾560個漏洞</a></strong></p> <p>本週微軟發布本月例行安全性更新，總共揭露與修補568個漏洞，微軟本身處理的漏洞多達206個，由第三方登記CVE編號的漏洞更是多達362個，相較於過往，單次公告的漏洞數量可說是大爆增。附帶一提的是，第三方元件漏洞有360個皆與Chrome有關，其餘兩個是由Arm與CERT/CC登記的弱點。根據CVSS風險評分來看，最嚴重的是HTTP.sys遠端程式碼執行漏洞CVE-2026-47291，風險值為9.8，而同被歸類於重大漏洞的則有3個，分別是遠端桌面遠端程式碼執行漏洞CVE-2026-42985、Windows圖形元件遠端程式碼執行漏洞CVE-2026-44803與CVE-2026-44812。</p> <p><strong><a href="https://www.ithome.com.tw/news/176500" target="_blank">微軟修補近期受熱議的三大零時差漏洞</a></strong></p> <p>微軟6月例行更新中最受關注的焦點之一，莫過於3個先前已遭公開的零時差漏洞。其中兩個是研究人員Chaotic Eclipse（Nightmare-Eclipse）公布的GreenPlasma與YellowKey，另一個是HTTP/2 Bomb。隨著修補釋出，CVE編號也正式公開，GreenPlasma的正式漏洞編號為CVE-2026-45586，CVSS風險評為7.8分；YellowKey的漏洞編號是CVE-2026-50507，風險值為6.8分；HTTP/2 Bomb則是CVE-2026-49160，CVSS風險評為7.5分。</p> <p><strong><a href="https://www.ithome.com.tw/news/176503" target="_blank">研究人員揭露新的Microsoft Defender零時差漏洞RoguePlanet</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_wekphancgl.jpg?itok=8RHJCbZd"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_wekphancgl.jpg?itok=8RHJCbZd" style="width: 400px; float: right;" /></a></p> <p>在微軟發布本月例行更新數個小時之後，Chaotic Eclipse公開名為RoguePlanet的Microsoft Defender零時差漏洞，他表示，這屬於遠端程式碼執行漏洞，攻擊者利用的條件是需要引誘使用者在遠端的SMB伺服器開啟VHD或VHDX虛擬磁碟檔，成功利用漏洞後，Microsoft Defender就會覆寫該防毒軟體相關的檔案，導致遠端程式碼執行。另一種觸發RoguePlanet的結果，是造成繞過BitLocker，攻擊者必須在防毒軟體讀取特定檔案的過程裡，推送不同的資料給NTFS.sys。後續有資安公司指出漏洞確實有效，但也有資安公司指出，微軟似乎在研究員公布前已完成修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/176537" target="_blank">Linux核心再傳nftables本機權限提升漏洞CVE-2026-23111</a></strong></p> <p>威脅情報公司Exodus Intelligence近期揭露存在於Linux核心nftables子系統的CVE-2026-23111漏洞細節，指出這項漏洞是在2025年初發現，並在2026年2月獲得修補與分配CVE編號。這項揭露的特殊點在於，漏洞源於nft_map_catchall_activate()函式中多出的一個驚嘆號（!），這個邏輯反轉錯誤導致核心在處理交易終止時，因錯誤跳過必要程序，造成鏈結參考計數異常遞減。一旦計數歸零將會進而引發UAF漏洞。</p> <p><strong><a href="https://www.ithome.com.tw/news/176494" target="_blank">針對研究人員揭露Deep Security Agent防護功能暫時失效問題，趨勢科技表示重新載入機制屬既有設計，無須修補</a></strong></p> <p><a href="http://www.ithome.com.tw/news/176446">資安研究人員0xMatheuZ揭露</a>，趨勢科技Linux版Deep Security Agent存在保護繞過問題，攻擊者可透過大量檔案操作觸發bmhook與tmhook元件重新載入，造成防護功能短暫失效。後續趨勢正式回應，強調相關情形屬於產品既有設計，而非安全漏洞。該公司表示，當系統因大量檔案系統事件超過資源限制時，會自動重新啟動與載入，以維持系統穩定性。趨勢科技同時表示，將持續改善檔案處理效率，降低觸發重新載入機制的機率。</p> <p><strong><a href="https://www.ithome.com.tw/news/176541" target="_blank">俄羅斯駭客利用WinRAR已知漏洞對烏克蘭發動攻擊</a></strong></p> <p>WinRAR已知漏洞CVE-2025-8088持續遭到攻擊者鎖定利用，趨勢科技追查到兩個俄羅斯駭客組織Gamaredon（UAC-0010、Shuckworm、Earth Dahu），以及UAC-0226（Shadow-Earth-066）的漏洞利用活動，至少延續至今年4月。Gamaredon至少從去年9月起，利用此漏洞向使用者傳遞惡意HTA檔，UAC-0226則是自今年2月起，透過此漏洞散布竊資軟體GiftedCrook。</p> <p><strong><a href="https://www.ithome.com.tw/news/176454" target="_blank">微軟調整Defender for Endpoint EDR更新機制，改由Microsoft Update派送</a></strong></p> <p>微軟將調整企業端點安全服務Microsoft Defender for Endpoint在Windows裝置上的端點偵測與回應（EDR）更新機制。未來EDR更新將改採獨立更新機制，並由Microsoft Update提供，不再隨Windows每月例行安全更新一併發布。這項變更已於2026年5月下旬率先部署至Windows 10裝置，接下來會逐步擴及Windows 11，之後再涵蓋其他仍受Microsoft Defender for Endpoint支援的Windows版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/176553" target="_blank">Proxmox Virtual Environment發布9.2版，修補5項備受關注的Linux核心漏洞</a></strong></p> <p>開源虛擬化平臺Proxmox Virtual Environment（Proxmox VE）發布9.2版更新，除了新增動態負載平衡等功能，也整合Linux核心修補程式，修正Copy Fail、Dirty Frag、Fragnesia、PinTheft及ssh-keysign-pwn等5項近期受到關注的漏洞。由於這些漏洞可能導致本機權限提升或敏感資訊外洩，使用Proxmox VE的用戶應儘速更新。</p> <h1><strong style="color: rgb(255, 140, 0);">網路安全</strong></h1> <p><span style="color:#696969;"><strong>網路邊界防禦持續面臨嚴峻考驗，Check Point VPN與思科SD-WAN雙雙遭零時差漏洞攻擊，其中前者已被勒索軟體Qilin用於針對性攻擊，後者的攻擊者身分尚未被揭露，這些狀況的發生，也持續反映攻擊者鎖定網路邊界設備作為發動漏洞攻擊的主要目標。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176461" target="_blank">Check Point VPN遭零時差漏洞攻擊，已被用於勒索軟體Qilin活動</a>【</strong>CVE-2026-50751<strong>】</strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_luf6wb2b3r.jpg?itok=LDyBPS1D"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_luf6wb2b3r.jpg?itok=LDyBPS1D" style="width: 400px; float: right;" /></a></p> <p>6月8日資安公司Check Point示警，最新修補的漏洞CVE-2026-50751已遭廣泛利用，呼籲用戶儘速採取行動因應。Check Point表示是在6月4日察覺可疑活動，調查後認為相關活動最早在5月7日出現，6月初漏洞嘗試利用活動數量增加，而在完成漏洞利用步驟後，駭客下載Linux版勒索軟體Qilin的二進位檔案。值得注意的是，Check Point調查攻擊基礎設施後，透露有人針對全球數十個組織發動攻擊，並預估駭客也打算利用Palo Alto Networks、Fortinet、F5等廠牌的VPN系統弱點。<a href="http://www.ithome.com.tw/news/176452">同日該公司發布資安公告</a>修補安全閘道設備Security Gateway與Spark Firewall的兩項資安漏洞，除了前述遭利用的漏洞，還修補CVE-2026-50752。<a href="https://www.ithome.com.tw/news/176460" target="_blank">美國CISA將之列入KEV並要求</a>聯邦機構4天內修補<strong>。</strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176419" target="_blank">思科SD-WAN遭零時差漏洞攻擊，今年第7個零時差漏洞</a>【</strong>CVE-2026-20245<strong>】</strong></p> <p>6月4日思科發布資安公告，指出Catalyst SD-WAN Manager的漏洞CVE-2026-20245已遭利用，發現少數的漏洞利用活動，此為思科SD-WAN平臺今年公布的第7個零時差漏洞，該漏洞目前尚無修補程式，也沒有其他緩解措施，預計在未來的版本解決此問題，用戶應將Catalyst SD-WAN Manager升級至5月14日發布的最新版本，持續驗證邊緣裝置的組態設定是否有未經授權變更，並密切關注後續修補公告。<a href="http://www.ithome.com.tw/news/176527">後續美國CISA將此漏洞列入KEV</a>。</p> <p><strong><a href="https://www.ithome.com.tw/news/176542" target="_blank">Arista EOS網路作業系統存在已遭利用漏洞，原廠選擇緩解措施而不發布修補程式</a></strong></p> <p>Arista Extensible Operating System（EOS）網路作業系統存在已遭實際利用的漏洞CVE-2026-7473，CISA亦已將其列入KEV清單，問題源自隧道流量解封裝機制未驗證協定類型，可能錯誤接受並處理非預期的封裝流量。由於修補可能影響既有部署環境與設定，Arista表示不計畫發布修補程式，而是建議用戶透過ACL限制封裝流量，以降低遭攻擊風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176531" target="_blank">Ivanti修補安全閘道Sentry重大漏洞，可讓攻擊者以root權限執行程式碼</a></strong></p> <p>企業軟體與資安設備業者Ivanti於6月9日發布安全公告，修補Ivanti Sentry兩項重大（Critical）風險等級漏洞，分別為CVE-2026-10520與CVE-2026-10523，前者是作業系統命令注入漏洞，CVSS風險分數為10.0分，可能導致攻擊者以root權限執行程式碼。後者則是驗證繞過漏洞，CVSS風險分數為9.9分，可能讓未通過身分驗證的遠端攻擊者建立任意管理員帳號，進而取得完整管理員權限。</p> <p><strong><a href="https://www.ithome.com.tw/news/176411" target="_blank">思科企業通訊管理平臺Unified CM存在重大SSRF漏洞，恐遭用於權限提升攻擊</a></strong></p> <p>思科修補企業通訊管理平臺Unified CM的重大漏洞CVE-2026-20230，若未修補，該漏洞可讓未登入攻擊者透過特製HTTP請求寫入檔案，日後可能被濫用於root權限提升。思科PSIRT提醒，雖然此已知漏洞尚未發現惡意利用案例，但已有概念驗證利用程式碼公開。目前Unified CM SME 14版的修補版本為14SU6，15版則為15SU5，預計於2026年9月提供，或可使用版本對應的COP修補程式。</p> <p><strong><a href="https://www.ithome.com.tw/news/176466" target="_blank">Ubiquiti UniFi管理平臺軟體存在重大漏洞鏈，可讓攻擊者免帳密取得root權限</a></strong></p> <p>網通設備業者Ubiquiti的UniFi管理平臺軟體UniFi OS Server存在重大漏洞鏈，涵蓋CVE-2026-34908、CVE-2026-34909與CVE-2026-34910，通報的資安業者Bishop Fox指出，其風險在於攻擊者在可連到管理介面的情況下，可能不需帳密即可繞過驗證，對系統下達指令並取得root權限。Ubiquiti已於5.0.8版修補，建議盡速更新；若更新前已遭入侵，須防範攻擊者恐已複製權杖簽章金鑰而仍可偽造管理員登入。</p> <h1><strong style="color: rgb(255, 140, 0);">資安維運</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>本週資安維運焦點在於群創光電揭露將資安部門提升至執行長直轄的組織轉型，以及趨勢科技推出能將風險即時轉化為損失金額的量化方案，反映資安治理與風險量化管理已成為企業維運的核心。此外，智慧資安與池安量子合作推動國內PQC遷移工程，亦提醒企業需及早啟動相關作業。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176441" target="_blank">將資安風險即時轉化為可能損失金額，趨勢科技首度公開CRQ預覽版</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/（圖6）趨勢科技Cyber Risk Quantification，CRQ_將風險程度量化成金額_攝影羅正漢.jpg"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Cyber%20Risk%20Quantification%EF%BC%8CCRQ_%E5%B0%87%E9%A2%A8%E9%9A%AA%E7%A8%8B%E5%BA%A6%E9%87%8F%E5%8C%96%E6%88%90%E9%87%91%E9%A1%8D_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 400px; float: right;" /></a></p> <p>在網路風險治理與AI驅動之下，趨勢科技首度公開CRQ預覽版，用AI幫助即時計算風險損失金額。具體而言，CRQ可透過Trend Vision One平臺XDR偵測到的實際威脅次數、針對性攻擊預測，以及比對威脅者的TTPs，同時也會結合網路風險曝險，即時計算威脅頻率與衝擊，並能細緻針對勒索軟體與資料加密或資料外洩等威脅情境，或是針對帳號管理（AC-02）、邊界保護（SC-07）等NIST CSF防護項目，預估個別項目的風險可能損失金額。</p> <p><strong><a href="https://www.ithome.com.tw/news/176390">群創光電重新定義資安的價值，從「花錢的部門」到公司治理核心</a></strong></p> <p>群創光電因應資安轉型，在2025年將資安部門從MIS底下獨立，提升為執行長下設的資安室，並設立資安長一職，直接向執行長報告。藉由組織的轉型，也帶動該公司資安作業流程的轉變。群創光電資通安全部資深副理蔡秉諺在臺灣資安大會2026分享這段轉型的心路歷程，他坦言：「當老闆問你，你做這件事情的價值在哪裡？」這是所有資安人最難回答的一題。</p> <p><a href="https://www.ithome.com.tw/news/176225"><strong>智慧資安攜手池安量子，啟動臺灣後量子資安元年</strong></a></p> <p>全球各界對於後量子密碼遷移需求大增，在此態勢下，精誠資訊旗下智慧資安科技（uniXecure）與池安量子資安（CHELPIS）日前正式宣布展開策略合作，將共同推動臺灣企業的後量子密碼（PQC）遷移工程。在合作架構上，智慧資安扮演在地通路、維運與服務的角色，提供涵蓋24x7全天候監控、系統整合顧問、以及IT與資安維運的完整支援體系；池安量子則以全球領先的PQC技術堆疊為核心，帶入NIST認證的演算法函式庫、自動化盤點工具PQScan、以及橫跨通訊與儲存的全方位防護產品矩陣。</p> <p><strong><a href="https://www.ithome.com.tw/news/176532" target="_blank">Fortinet修補沙箱系統指令注入漏洞</a></strong></p> <p>Fortinet本週揭露與修補CVE-2026-25089漏洞，影響的產品是該公司提供的沙箱檢測系統FortiSandbox，涵蓋內部與雲端部署的產品形式，廠商已針對問題版本釋出安全更新。CVE-2026-25089為FortiSandbox產品的OS指令注入漏洞，CVSS風險值達9.1。</p> <h1><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><strong style="color: rgb(105, 105, 105);">因應AI加速網路攻擊，繼印度CERT-In提出極嚴格的修補要求，現在美國CISA也宣布修改漏洞管理規則，改以實際攻擊風險決定優先順序，要求最高風險漏洞需在3天內修補完成。這反映出企業須調整漏洞管理流程，具備更快速、頻繁且大規模部署更新的能力，以因應資安應變時效的新常態。</strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176536" target="_blank">美國CISA改漏洞管理規則，最高風險漏洞3天內須修補</a></strong></p> <p><a href="/sites/default/files/images/2026-06-12_150704.jpg"><img alt="" src="/sites/default/files/images/2026-06-12_150704.jpg" style="width: 400px; float: right;" /></a></p> <p>面對AI漏洞風暴，美國網路安全暨基礎設施安全局（CISA）也調整漏洞修補政策。具體而言，過去美聯邦漏洞修補期限依兩套規則：對外公開系統按CVSS風險評級設定修補期限，重大30天、高風險60天；KEV已遭利用漏洞則由CISA個別要求，多數為14至21天。如今新版BOD 26-04指令整合兩套規則，改以實際攻擊風險決定優先順序。若漏洞同時涉及多項高風險條件的重大風險，必須在3天內完成修補，且不限工作天。</p> <p><a href="https://www.ithome.com.tw/news/176445"><strong>資安院與微軟建立國家級合作關係，公私協力資安框架邁入新紀元</strong></a></p> <p>促進公私協力有新成果，國家資通安全研究院（資安院）與微軟簽署合作備忘錄，建立國家級戰略夥伴關係，合作框架將以試點模式推動，採取階段性、可擴展的方式逐步落地，不追求表面上的快速推進，而是著眼於能夠持續生根的實質成果，這份備忘錄涵蓋的主軸包括「深化情資共享機制」、「零信任架構的規模化落地」、「AI賦能的關鍵基礎設施防護」與「AI代理治理」。林盈達透露，此合作源於微軟北亞區負責人Marcus Bartley Johns與國安會的一次見面，提到微軟在全球幾個國家已有夥伴關係，但跟臺灣還沒有建立。由於微軟以此模式建立合作關係的國家並不多，可說是屈指可數，因此臺灣能夠獲得這樣的合作機會，更顯其重要性。</p> <p><strong><a href="https://www.ithome.com.tw/article/175205">國家安全會議諮詢委員李育杰：國家資通安全戰略2025的訂定，是臺灣資安體制的轉型</a></strong></p> <p>「外國人看臺灣，就像我們看臺灣治安一樣，有酒駕、有偷竊，但沒有大暴動，整體印象是正面的。我們的資安也是這樣——有資料外洩、有網路攻擊，可是基本運作看起來OK。」國家安全會議諮詢委員李育杰說，「問題是，我在這個位置，我的擔心是：敵人可能已經布好局了，只是現在還不是他的關鍵時刻。」他強調，全社會防衛韌性為資安首要支柱，資安已提升至國安與民生層次。若能培養基本驗證與查證習慣，將可以阻擋八到九成的一般性攻擊；個資外洩與詐騙問題密切相關，關鍵在全民資安意識，資安是全民責任，需公私協力推動，並警惕科技便利背後的隱私風險以提升警覺，建立國家資安防線。</p> <p><strong><a href="https://www.ithome.com.tw/article/175242">數位發展部部長林宜敬：從「資安蜜罐」到「民主供應鏈」，臺灣是自由民主世界資安前哨站</a></strong></p> <p>每天遭受逾260萬次駭客攻擊，臺灣已成「自由民主世界的資安蜜罐」，數位發展部部長林宜敬表示，全球ICT供應鏈已分裂為「民主」與「紅色」兩大體系，而以台積電為核心的民主供應鏈，正成為駭客透過供應商植入病毒的首要目標。為應對此威脅，臺灣主導制定了首個國際資安標準SEMI E187，要求各國加入供應鏈必須通過驗證。此標準不僅提升防禦，更為資安業者創造認證、輔導及軟硬體整合的三重商機，推動「資安廠商賺錢，同時解決國家問題」的良性生態系循環。面對2026年AI劇變，他主張以「速度」與「團隊合作」的棒球哲學帶領公部門，為臺灣留下健全的數位發展資產。</p> <p><strong><a href="https://www.ithome.com.tw/news/176406" target="_blank">加拿大發布《AI for All》戰略，目標2034年企業AI採用率達6成</a></strong></p> <p>加拿大總理Mark Carney在6月4日發布國家AI戰略《AI for All》，希望透過立法、投資與人才培育，加速AI在企業、教育及公共服務領域的應用。這項戰略聚焦3大推動方向，（一）建立信任，加拿大計畫更新消費者隱私與線上安全相關法規，加強保護兒童個資與線上活動，並打擊深偽（Deepfake）等AI濫用行為；（二）推出全國AI素養計畫，提供全民入門AI教育，並讓100萬名大專學生接觸AI訓練課程；（三）強化主權，希望降低對外國AI平臺與雲端服務的依賴，計畫興建公共AI超級電腦、擴充主權運算與雲端基礎設施，並持續投資AI人才與資料基礎建設。</p> <p><strong><a href="https://www.ithome.com.tw/news/176374" target="_blank">Computex首設開源臺灣館，開源安全亦成焦點</a></strong></p> <p>臺灣開源社群長期活躍於Linux、Kubernetes、Apache等國際專案，卻鮮少以臺灣整體生態系的名義出現在大型科技展。今年Computex電腦展中首度設立「開源臺灣館」，集結臺灣在地的開源社群能量組成臺灣隊，向國際來訪的參觀者展現臺灣開源社群的活力。現場不僅集合了15件臺灣開源社群推動的成果，今年活動也邀請Apache Software Foundation與OpenSSF的開源社群領袖來臺演說與交流，涵蓋開源治理（Open Source Governance）、開源安全（Open Source Security）、軟硬體整合以及社群協作等議題。這些主題近年已逐漸成為企業IT部門關注的重點，尤其在《歐盟網路韌性法》（Cyber Resilience Act，CRA）等法規陸續上路後，企業對開源元件管理與軟體供應鏈安全的重視程度明顯提高。</p> <h1><strong style="color: rgb(255, 140, 0);">應用程式安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>供應鏈攻擊風暴正席捲軟體開發生態系。首先，Polyfill.io網域遭收購並轉變為惡意腳本來源，除已波及無印良品、東芝等國際品牌，我們另也發現臺灣部分網站亦有同樣狀況，值得留意；其次，是惡意程式Miasma（Shai-Hulud 變種）發動威脅性更高的蠕蟲式攻擊，本週相關攻擊活動與災情揭露不斷，已成為當前軟體供應鏈安全的一大警訊。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176420" target="_blank">無印良品、東芝等多家網站傳出可疑的Polyfill登入提示</a></strong></p> <p>在前端網頁開發中，用於補足瀏覽器功能的Polyfill.io，在2024年一家中國公司收購Polyfill.io網域後演變為供應鏈攻擊工具，維護Polyfill專案的原作者提醒大家儘快移除該連結。6月初日本電子電機廠商東芝（Toshiba）、無印良品（Muji）突然發布公告，指出旗下網站出現可疑的跳出式登入提示視窗，要求用戶輸入使用者名稱及密碼，意在蒐集用戶輸入憑證。根據兩家公司的調查，登入頁皆是由已變成惡意網站的https://polyfill[.]io生成，並經由CDN推送腳本程式。</p> <p><strong><a href="https://www.ithome.com.tw/news/176502" target="_blank">Miasma蠕蟲原始碼外洩，供應鏈攻擊工具包現身GitHub</a></strong></p> <p>惡意程式Shai-Hulud變種Miasma的擴散持續引發關注，如今Miasma蠕蟲原始碼更是出現在GitHub，資安業者SafeDep揭露此狀況並示警指出，Miasma不只是蠕蟲，而是一套完整的供應鏈攻擊工具包，內建多種模組化攻擊能力，更令人訝異的發現是，它完全不依賴傳統的C2伺服器，而是將GitHub的提交搜尋功能當作指揮通道，攻擊者可透過3條獨立的加密頻道下達指令，完全避開網路監控。</p> <p><strong><a href="https://www.ithome.com.tw/news/176392" target="_blank">WordPress表單外掛Everest Forms Pro漏洞遭積極利用</a></strong><strong>【</strong>CVE-2026-3300<strong>】</strong></p> <p>WordPress外掛程式的資安漏洞揭露，最近頻頻受到矚目，專攻此領域的資安公司Wordfence近日對表單外掛程式Everest Forms Pro用戶發布警示，因為3月底公開揭露的漏洞CVE-2026-3300，開發商WPEverest於3月18日發布1.9.13版修補，但在5月16日出現大規模漏洞利用嘗試活動，當天有超過17,900次攻擊，截至目前為止已出現逾29,300次活動。對此，Wordfence呼籲用戶，應儘速升級新版外掛程式因應。</p> <p><strong><a href="https://www.ithome.com.tw/news/176448" target="_blank">Gogs修補重大零時差漏洞</a></strong></p> <p>自建Git程式碼版本管理系統Gogs在上個月底傳出存在重大漏洞的消息，Gogs開發團隊6月7日發布0.14.3版進行修補。但此漏洞尚無CVE編號，開發團隊表示已申請並等待指派。此為參數注入類型的弱點，CVSS v4.0評分達到9.4，通過身分驗證的攻擊者，可藉此在合併前重設程式碼基礎的操作流程中，建立採用惡意分支（branch）名稱的拉取請求，進而發動RCE攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/176387" target="_blank">研究人員直接公開VS Code資安漏洞，並表明對微軟漏洞通報流程失去信任</a></strong></p> <p>資安研究人員向IT廠商通報資安漏洞的互動不良狀況，近期引發熱議，尤其是研究人員Chaotic Eclipse（Nightmare-Eclipse）與微軟之間的衝突後，如今另一位資安研究員Ammar Askar公布Visual Studio Code（VS Code）一項零時差漏洞，他同樣並未依照微軟提供的通報管道處理，而是在VS Code的GitHub專案提出議題（issue），以及發布部落格文章的方式公開漏洞。微軟在上述資訊發布後，於6月3日先後兩次進行緊急修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/176422" target="_blank">NPM套件再傳遭惡意程式Miasma供應鏈攻擊，AI程式碼工具被鎖定</a></strong></p> <p><a href="/sites/default/files/images/NPM套件再傳遭惡意程式Miasma供應鏈攻擊.jpg"><img alt="" src="/sites/default/files/images/NPM%E5%A5%97%E4%BB%B6%E5%86%8D%E5%82%B3%E9%81%AD%E6%83%A1%E6%84%8F%E7%A8%8B%E5%BC%8FMiasma%E4%BE%9B%E6%87%89%E9%8F%88%E6%94%BB%E6%93%8A.jpg" style="width: 400px; float: right;" /></a></p> <p>Miasma供應鏈攻擊引發高度關注！6月1日出現惡意程式Shai-Hulud的變種Miasma攻擊行動，駭客鎖定與Red Hat雲端服務相關的NPM套件，於6月3日至5日出現最新一波的Miasma攻擊，有57個套件被入侵，駭客上傳超過286個版本的惡意套件。其中最受到關注的部分，是感染了由社群維護的NPM套件ai-sdk-ollama，用於串接LLM框架Ollama與雲端AI網頁程式開發平臺Vercel AI，每月下載量超過12萬次；另一個Vapi推出的AI語音助理開發套件vapi-ai/server-sdk亦受研究人員關注，根據StepSecurity指出，該套件每月下載量逾40.8萬次，是本次事故受害最嚴重的套件。</p> <p><strong><a href="https://www.ithome.com.tw/news/176426" target="_blank">惡意程式Miasma透過新型態手法Phantom Gyp發動攻擊</a></strong></p> <p>關於惡意程式Shai-Hulud變種Miasma發動的第二波供應鏈攻擊，資安公司StepSecurity指出，這次的攻擊手法與兩天前針對紅帽的事故相當不同，駭客使用了全新攻擊手法Phantom Gyp，他們利用一個僅有157位元組的檔案，而非一般資安工具會掃描的安裝指令碼，藉此逃過大部分生命週期掃描工具的偵測，另也追蹤到資料外洩路徑指向GitHub帳戶liuende501。資安公司Wiz也對這種手法進行分析，指出先前駭客是將惡意程式碼注入package.json，而這次的手段是利用指令延伸機制，藉由名為binding.gyp的檔案，使得惡意套件在進行設定的過程裡，會在背景執行經過處理的混淆安裝程式。</p> <p><strong><a href="https://www.ithome.com.tw/news/176432" target="_blank">微軟遭遇Miasma蠕蟲供應鏈攻擊，73個儲存庫在2分鐘遭到停用</a></strong></p> <p>Miasma蠕蟲供應鏈攻擊危害持續擴大！資安社群平臺OpenSourceMalware指出，GitHub於6月5日停用了微軟73個儲存庫，涵蓋Azure Functions、Durable Task，以及一系列AI範例應用程式，雖然用戶存取這些儲存庫只會看到此儲存庫已被停用的訊息，宣稱儲存庫違反GitHub服務條款，使得該公司停用存取權限，但原因疑似是感染Miasma。</p> <p><strong><a href="https://www.ithome.com.tw/news/176427" target="_blank">惡意程式Miasma藉由六階段攻擊流程竊取開發環境各式憑證</a></strong></p> <p>上週發生惡意程式Miasma攻擊ai-sdk-ollama、vapi-ai/server-sdk等AI工具NPM套件的事件，資安公司OX Security指出，這次的攻擊流程變得更加複雜，駭客利用多達15種惡意酬載來挖掘受害者資料。資安公司OX Security強調，一般的NPM供應鏈攻擊流程多半為3個階段，但這次活動多達6個階段。值得留意的是，駭客在Miasma載入工具進行了混淆與加密兩種手法進行雙重處理。</p> <p><strong><a href="https://www.ithome.com.tw/news/176515" target="_blank">Miasma蠕蟲攻擊延伸到PyPI儲存庫</a></strong></p> <p>Shai-Hulud蠕蟲的變種Miasma肆虐，後續危害範圍延伸到PyPI生態圈！資安公司Socket揭露最新一波活動Hades，駭客至少上傳了37個PyPI惡意套件，這些惡意套件挾帶特定檔案，會在開發環境的Python啟動時自動執行，下載JavaScript執行環境Bun，然後執行經混淆處理的惡意酬載_index.js。</p> <p><strong><a href="https://www.ithome.com.tw/news/176517" target="_blank">Miasma蠕蟲透過8階段攻擊滲透PyPI開發環境</a></strong></p> <p>針對供應鏈蠕蟲Miasma將攻擊範圍延伸到PyPI儲存庫，資安公司StepSecurity指出，這次駭客使用的手法非常複雜，從開發環境不慎植入惡意套件後的攻擊流程，總共可分成8個階段，該攻擊手法不僅會打亂AI資安工具的檢測能力，若是受害者察覺想要轉換金鑰，還會對開發環境進行破壞。</p> <p><strong><a href="https://www.ithome.com.tw/news/176506" target="_blank">SAP修補NetWeaver與Commerce重大漏洞</a></strong></p> <p>SAP本月例行更新共修補15個資安漏洞，其中有4個是重大等級的漏洞CVE-2026-44748、CVE-2026-27671、CVE-2026-22732、CVE-2026-40128，格外引起矚目。其中最嚴重的是CVE-2026-44748，此為SAML身分驗證當中的XML簽章包裝漏洞，影響NetWeaver AS ABAP與ABAP平臺，CVSS風險值為9.9。</p> <p><strong><a href="https://www.ithome.com.tw/news/176447" target="_blank">相依管理工具Bundler加入冷卻期機制，供Ruby專案避開剛發布的高風險套件版本</a></strong></p> <p>為應對供應鏈攻擊的潛在風險，RubyGems專案近期針對套件相依管理工具發布Bundler 4.0.13版，正式引入套件冷卻期（cooldown）機制。此機制的運作原理在於，當Ruby專案安裝或更新相依套件時，預設將暫時避開剛發布、缺乏市場觀察的新版本，優先選用已公開一段時間且較為穩定的版本。這項冷卻期機制的導入，目的是降低套件維護者帳號遭挾持後，惡意套件剛上架即被大量部署的供應鏈資安風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176433" target="_blank">ASF董事Justin Mclean：只用開源卻不參與，企業恐承擔更高風險</a></strong></p> <p>「開源讓人感覺是免費的，也讓人感覺是安全的，但事實上兩者都不是。」在Computex 2026一場論壇活動，Apache Software Foundation董事Justin Mclean直言，開源最大的風險不是程式碼，而是治理。他強調，當企業將開源視為關鍵基礎設施，卻從未參與相關社群時，不僅無法影響技術發展方向，也難以提前掌握重大變化，反而可能承擔更高的技術與營運風險。他另指出，參與開源社群並不只是出於公益精神，更是一種商業策略，確保自身業務需求能被納入考量，並將成為企業競爭力的一部分。</p> <p><strong><a href="https://www.ithome.com.tw/news/176519" target="_blank">套件管理器NPM 12收緊安裝預設行為，相依腳本、Git與遠端網址來源將需明確允許</a></strong></p> <p>GitHub旗下套件管理器NPM團隊宣布，將調整NPM install預設安全行為，預計在7月推出的下一個主要版本NPM v12推出。這項預設安全的改變，也就是將會預設封鎖未允許的相依套件腳本，並停止預設解析Git與遠端網址套件來源。為了幫助開發團隊用戶提前應對，NPM已在11.16.0以上版本提供升級前的警示機制，可以先檢查警告以掌握受影響的套件，並盤點安裝流程與相依來源。</p> <h1><strong style="color: rgb(255, 140, 0);">身分安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>郵件身分冒用新威脅浮現！Ghost-Sender漏洞可導致冒用任意身分發送網釣信件，Exchange Online（含混合部署）用戶若整合第三方過濾機制都要特別留意；先前曝光的Meta AI客服漏洞，如今公布影響2萬用戶，突顯AI自動化有可能成為身分安全隱形破口的挑戰，需要企業重視。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176535" target="_blank">研究人員揭露Exchange Online資安漏洞Ghost-Sender，攻擊者能偽造任意電子郵件地址</a></strong></p> <p><a href="/sites/default/files/images/研究人員揭露Exchange Online資安漏洞Ghost-Sender.jpg"><img alt="" src="/sites/default/files/images/%E7%A0%94%E7%A9%B6%E4%BA%BA%E5%93%A1%E6%8F%AD%E9%9C%B2Exchange%20Online%E8%B3%87%E5%AE%89%E6%BC%8F%E6%B4%9EGhost-Sender.jpg" style="width: 400px; float: right;" /></a></p> <p>隨企業軟體SaaS化，其架構漏洞亦成為資安研究焦點，6月9日資安公司InfoGuard針對Exchange Online（含混合部署）用戶警告，只要其服務整合第三方過濾機制，攻擊者有機會利用MX紀錄漏洞發動欺騙攻擊，冒用任意身分發送網釣信件。必須注意的是，這項問題似乎已出現遭到積極利用的跡象，但微軟目前尚未修補，InfoGuard呼籲用戶儘速確認是否受到影響，另架設專屬網站提供檢測工具。</p> <p><strong><a href="https://www.ithome.com.tw/news/176524" target="_blank">網路攻擊組織UNC3753鎖定法律與金融業，假冒IT人員竊資勒索</a></strong></p> <p>Google Cloud旗下資安團隊Mandiant與GTIG揭露駭客組織UNC3753的語音網釣攻擊活動，指出今年1月至5月間有數十個美國組織成為其目標，影響遍及專業服務、法律與金融服務業，攻擊者初始入侵手法是，冒充企業IT服務臺或資安人員，透過電話社交工程誘使員工開啟視訊會議或螢幕分享軟體，進而安裝遠端管理工具，搜尋並竊取敏感資料。而在冒充致電受害員工之前，攻擊者會以日常業務信件作為開場，例如先以個人email帳號在即時通訊發送簡短訊息，內容沒有惡意檔案，目的是建立後續來電的情境</p> <p><strong><a href="https://www.ithome.com.tw/news/176505" target="_blank">Meta證實有2萬個Instagram帳號因Meta AI漏洞被盜，時間長達1.5個月</a></strong></p> <p>先前傳出攻擊者濫<a href="https://www.ithome.com.tw/news/176275">用Meta AI客服支援機制</a>並接管他人IG帳號，Meta本週證實此事源自Meta AI支援工具存在一項漏洞遭濫用，Meta在5月31日發現此事後，立即將該AI支援工具關閉，並將所有密碼重設連結註銷。估計從4月中到5月，超過2萬用戶受害。根據Meta向美國緬因州檢察長辦公室的通報文件，該漏洞影響時間從2026年4月17日到5月31日止，受害者人數為20,225人。</p> <p><strong><a href="https://www.ithome.com.tw/news/176507" target="_blank">蘋果Safari能自動變更外洩密碼、通知網站新動態、還能生成用戶想要的外掛</a></strong></p> <p>本週登場的蘋果開發者大會期間，該公司宣布Safari新增功能，包含能自動變更密碼的代理人Passwords、及告知網頁新資訊的代理人Notify Me，以及讓用戶口說生成外掛的Describe an Extension及依主題組織分頁的新功能。以密碼安全性強化功能而言，Safari原本就能針對弱密碼及外洩密碼發出警告，如今在Apple Intelligence協助之下，新增了代理人功能Passwords，能代替用戶登入網站並更新為強密碼。</p> <p><strong><a href="https://www.ithome.com.tw/news/176394" target="_blank">NTLM協定安全問題又一樁，Windows Search URI問題可能導致NTLM驗證資訊外洩</a></strong></p> <p>微軟已宣布將在未來Windows版本中關閉不安全的NTLM協定，但在NTLM完全退場前，企業仍需持續面對相關威脅。資安公司Huntress研究人員近日便揭露一項新的NTLM相關安全問題，源自Windows Search URI處理程序，攻擊者可利用特製連結，誘使Windows自動對遠端SMB位置發起驗證，導致Net-NTLMv2資訊外洩，此問題再度凸顯NTLM機制帶來的安全風險。</p> <h1><strong style="color: rgb(255, 140, 0);">IoT/OT安全</strong></h1> <p><span style="color:#696969;"><strong>自動儲槽計量系統（ATG）的曝露風險，以及老舊DD-WRT開源路由器韌體遭殭屍網路大規模利用的消息，顯示威脅情勢正持續升溫，成為本週IoT/OT安全關注焦點。此外，無人機產業防禦發展亦受關注，聚焦導入PQC與強化無線通訊在面對干擾與訊號覆蓋攻擊時的抗性。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176400" target="_blank">美國政府示警自動儲槽計量系統遭鎖定，籲ATG用戶移除網際網路曝露介面</a></strong></p> <p><a href="/sites/default/files/images/2026-06-12_151123.jpg"><img alt="" src="/sites/default/files/images/2026-06-12_151123.jpg" style="width: 400px; float: right;" /></a></p> <p>當心鎖定ATG系統的惡意網路活動，美國CISA與FBI等機關發布警示，指出常用於能源、化工、食品與農業、運輸等產業的自動儲槽計量系統（Automatic Tank Gauge，ATG），近日發現成為攻擊活動鎖定目標，駭客先找尋曝露在網際網路上的ATG系統，入侵後透過指令執行修改系統，因此這項警報建議相關業者：不要將ATG序列埠或其他Web介面直接曝露於網際網路，若業務上必須遠端存取，業者應透過防火牆、存取控制清單或VPN限制可連線來源。若有預設密碼也務必立刻更換，並在可行情況下導入多因素驗證。</p> <p><strong><a href="https://www.ithome.com.tw/news/176469" target="_blank">殭屍網路C0XMO利用老舊DD-WRT漏洞，擴散並感染DVR與Android等裝置</a></strong></p> <p>發現Gafgyt殭屍網路的最新變種C0XMO有新惡意活動，正在利用DD-WRT開源路由器韌體於2021年揭露的CVE-2021-27137漏洞入侵未更新修補的路由器，並進一步感染缺乏安全更新的DVR與Android等裝置，資安業者Fortinet指出，駭客準備了適用於ARM、MIPS、PowerPC、SuperH、x86與x86_64等多種架構的C0XMO版本，擴大感染的意圖相當顯著，因此建議企業與使用者應更新韌體、關閉不必要服務，避免裝置被用來發動DDoS攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/176468" target="_blank">池安量子資安推PQ-SDN安全無線通訊模組，結合PQC建構無人載具高韌性網路</a></strong></p> <p>無人機應用日益蓬勃發展，如何在複雜環境維持網路通訊穩定並確保資安防護，已成為產業關注焦點。池安量子資安首度公開展示專為無人自主系統打造的「PQ-SDN安全無線通訊模組」，其特色在於可導入PQC演算法，並支援Mesh無線網路通訊架構，具有自動建構網路與自動修復能力。特別的是，針對無線通訊常見的干擾與蓋臺問題，該模組還結合PQ-UxV安全功能，並透過軟體定義無線電（SDR）技術，提供1 GHz至6 GHz的頻率設定彈性。</p> <p><strong><a href="https://www.ithome.com.tw/news/176384" target="_blank">RondoDox殭屍網路鎖定華碩路由器舊漏洞，CVE-2018-5999出現實際濫用跡象</a>【</strong>CVE-2018-5999<strong>】</strong></p> <p>資安漏洞情報業者VulnCheck於5月17日觀察到，殭屍網路RondoDox開始利用華碩（Asus）路由器漏洞CVE-2018-5999，這項漏洞可讓未經身分驗證的攻擊者以root權限遠端執行程式碼，早在2018年已有公開利用程式，但VulnCheck表示，這是該公司首度觀察到實際濫用跡象。</p> <p><strong><a href="https://www.ithome.com.tw/news/176437" target="_blank">部分App內嵌Bright Data SDK，讓手機與智慧電視成為第三方網頁爬蟲代理</a></strong></p> <p>住宅代理的爭議再受關注，上月底荷蘭執法單位破獲大型殭屍網路就傳出疑似涉及此類議題的消息，如今資安公司Include Security揭露另一起事件，指出部分App開發者會在應用程式內嵌入SDK，使用者若同意App內與Bright Data相關的說明或選項，其手機或智慧電視會成為住宅代理（Residential Proxy）網路的一部分，協助第三方客戶透過一般家庭IP位址執行網頁資料抓取，成為網頁爬蟲業者避開封鎖的一種方式。研究者質疑，相關說明未必能讓一般使用者理解實際用途與影響。</p> <p><strong><a href="https://www.ithome.com.tw/news/176533" target="_blank">西門子6月工控安全公告揭露影響多款產品的OpenSSL重大漏洞</a></strong></p> <p>工控系統業者西門子（Siemens）於6月9日發布安全公告，說明OpenSSL重大風險漏洞CVE-2025-15467對多款產品的影響，並已針對部分產品提供修補版本。此漏洞CVSS v3.1風險分數為9.8分，可能導致應用程式崩潰進而造成阻斷服務，或在特定情境下造成遠端程式碼執行。</p> <p> </p> </div></div></div>
6/12 17:51作者羅正漢https://www.ithome.com.tw/news/176582
【資安日報】6月12日，Oracle PeopleSoft零時差漏洞被用於大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176556"><strong style="font-size: 22px;">Oracle針對PeopleSoft重大漏洞提出警告</strong></a></p> <p>6月10日Oracle發布資安公告，可用於人力資源管理、財務與供應鏈管理、校務系統、客戶關係管理等領域的企業應用系統平臺PeopleSoft PeopleTools，存在重大等級的資安漏洞CVE-2026-35273，未經身分驗證的攻擊者可遠端利用，一旦成功，就有機會導致遠端程式碼執行。該漏洞影響8.61與8.62版PeopleSoft Enterprise PeopleTools，PeopleSoft Enterprise Applications用戶也可能受影響。</p> <p><a href="https://www.ithome.com.tw/news/176558"><strong style="font-size: 22px;">Oracle PeopleSoft零時差漏洞遭駭客組織ShinyHunters積極利用</strong></a></p> <p><a href="/sites/default/files/images/peoplesoft-shinyhunters_max-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/peoplesoft-shinyhunters_max-63.jpg" style="width: 300px; float: right;" /></a></p> <p>Mandiant與Google威脅情報團隊（GTIG）公布調查結果，於5月27日至6月9日期間，發現ShinyHunters（UNC6240）發動入侵及勒索的攻擊，目標是Oracle PeopleSoft應用系統基礎設施，過程中利用了CVE-2026-35273。兩個團隊察覺掃描與利用漏洞的活動後，向全球超過100個可能成為目標的組織通報此事，這些組織大部分位於美國，68%是高等教育組織。攻擊者會架設自己的MeshCentral代理程式，並偽裝成合法雲端服務的端點，用途是執行管理員級的命令查詢，並部署橫向移動與從事破壞的指令碼。</p> <p><a href="https://www.ithome.com.tw/news/176563"><strong style="font-size: 22px;">英國諾丁漢大學資料外洩，可能影響45萬學生</strong></a></p> <p>在勒索軟體ShinyHunters宣稱竊取資料後，英國諾丁漢大學（University of Nottingham）6月11日證實，學生紀錄系統中的大量資料遭外部第三方組織存取，呼籲學生留意陌生的電子郵件、訊息或電話，並確保使用強密碼。對於外流的資料規模，ShinyHunters聲稱竊得40 GB資料，密碼外洩查詢網站Have I Been Pwned透露，外洩資料達到45.5萬筆，涵蓋學生及校友姓名、住家地址、電子郵件、電話、種族、身體特徵，以及護照號碼等資訊。</p> <p><a href="https://www.ithome.com.tw/news/176559"><strong style="font-size: 22px;">ServiceNow公布安全事件初步調查，稱資料查詢活動可能來自研究人員</strong></a></p> <p>企業雲端工作流程平臺業者ServiceNow於6月上旬傳出安全事件，ServiceNow於6月10日發布安全公告說明，多名客戶於6月3日至4日轉交漏洞獎勵計畫通報，內容涉及一項可能讓未經身分驗證使用者存取ServiceNow執行個體資訊的安全問題，且與4月22日提交至ServiceNow漏洞獎勵計畫的保密通報相似。該公司調查後發現，部分客戶的執行個體自6月2日起出現不明活動。資安媒體SC Media也引述多名資安業者看法指出，用戶不應降低對事件影響的評估。</p> <p><a href="https://www.ithome.com.tw/news/176572"><strong style="font-size: 22px;">甫修補的Ivanti Sentry滿分重大漏洞已被用於實際攻擊</strong></a></p> <p><a href="/sites/default/files/images/HKer5fQXkAAL5Cv-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/HKer5fQXkAAL5Cv-63.jpg" style="width: 300px; float: right;" /></a></p> <p>6月9日資安公司Ivanti修補Ivanti Sentry資安漏洞CVE-2026-10520，該漏洞CVSS風險達到滿分10分，相當危險，事隔兩天，Shadowserver基金會提出警告，他們觀察到大規模利用CVE-2026-10520的嘗試行為，總共找到19臺存在弱點的Ivanti Sentry執行個體（instance），這些系統疑似都遭到入侵，其中有兩臺已被植入後門。該基金會表示，他們本次的偵測率偏低，很有可能是因為在掃描過程有許多Ivanti Sentry系統無法存取，因此若用戶尚未修補，很有可能已經被入侵。</p> <p><a href="https://www.ithome.com.tw/news/176566"><strong style="font-size: 22px;">研究人員揭露BitLocker零時差漏洞GreatXML</strong></a></p> <p><a href="/sites/default/files/images/GreatXML-screenshot1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/GreatXML-screenshot1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>研究人員Chaotic Eclipse（Nightmare-Eclipse）於微軟發布6月例行更新（Patch Tuesday）當天，公布Microsoft Defender零時差漏洞RoguePlanet。根據資安新聞網站SecurityWeek報導，事隔兩天該研究員又公開另一個零時差漏洞GreatXML，並指出該弱點可被用於繞過BitLocker磁碟加密機制。針對這項漏洞出現的情境，該名研究員指出，電腦在防毒軟體Microsoft Defender啟動離線掃描的狀態下，攻擊者無須登入Windows作業系統就有機會利用GreatXML，有可能在BitLocker磁區產生不受限制存取的Shell。</p> <p><a href="https://www.ithome.com.tw/news/176554"><strong style="font-size: 22px;">Google發布Chrome 149更新，修補近30個弱點</strong></a></p> <p>6月11日Google發布電腦版與Android版Chrome 149更新，總共修補28個資安弱點，其中有5個為重大等級，用戶應儘速升級至149.0.7827.114或149.0.7827.115版修補。值得留意的是，此為Google在一週內第二次發布更新，距離上次更新只有3天，相當罕見。從漏洞的類型來看，記憶體相關的弱點占多數，其中又以記憶體釋放後再存取使用（Use After Free）有12個最多。未受信任輸入驗證不充分的弱點居次，有5個。</p> <p><a href="https://www.ithome.com.tw/news/176568"><strong style="font-size: 22px;">Palo Alto Networks發布6月安全更新，修補11項漏洞</strong></a></p> <p>資安公司Palo Alto Networks本週發布六月份安全更新，修補11項漏洞，高風險漏洞占兩項，其中之一為CVE-2026-0274，影響Palo Alto Networks安全協調、自動化與回應（SOAR）平臺Cortex XSOAR。問題出自於Cortex XSOAR/XSIAM與Commvault Security IQ整合模組的身分驗證機制不當，可能讓未通過身分驗證的攻擊者存取或修改受保護資料，本漏洞CVSS風險值8.1，影響Cortex XSIAM/XSOAR Commvault Security IQ Marketplace。</p> <p><a href="https://www.ithome.com.tw/news/176553"><strong style="font-size: 22px;">Proxmox Virtual Environment發布9.2版，修補5項近期備受關注的Linux核心漏洞</strong></a></p> <p>開源虛擬化平臺Proxmox Virtual Environment（Proxmox VE）近期推出9.2版，除了導入動態負載平衡等新功能之外，也整合Linux修補程式，一口氣修補5項近期受到關注的Linux核心漏洞，包括編號CVE-2026-31431的Copy Fail漏洞，由CVE-2026-43284與CVE-2026-43500等兩部分構成的Dirty Frag漏洞，編號CVE-2026-46300的Fragnesia漏洞，編號CVE-2026-43494的PinTheft漏洞，以及編號CVE-2026-46333的ssh-keysign-pwn漏洞。</p> <p><a href="https://www.ithome.com.tw/news/176569"><strong style="font-size: 22px;">LiteLLM高風險已知漏洞可與另一個漏洞串連，形成CVSS風險10分的漏洞利用鏈</strong></a></p> <p>威脅情報公司Horizon3.ai指出，攻擊者利用LiteLLM已知漏洞CVE-2026-42271的基本條件，就是通過身分驗證，然而他們發現，若是搭配存在於Python非同步（ASGI）框架Starlette的中度風險漏洞CVE-2026-48710，就有可能在依賴自架Gitea的開發環境裡，形成CVSS風險10分滿分的重大弱點，完全繞過LiteLLM的身分驗證請求，從而導致遠端程式碼執行，讓攻擊者以LiteLLM代理程式執行指令，呼籲用戶應儘速更新LiteLLM與Starlette因應。</p> <p><a href="https://www.ithome.com.tw/news/176542"><strong style="font-size: 22px;">Arista EOS網路作業系統存在已遭利用漏洞，原廠選擇緩解措施而不發布修補程式</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）在6月9日提出警告，將Arista EOS網路作業系統的CVE-2026-7473漏洞，列入已遭利用的漏洞名單（KEV），此漏洞Arista於5月上旬揭露，存在於EOS的隧道（Tunnel）流量解封裝機制，系統未驗證封裝流量所使用的隧道協定類型，CVSS評為5.8分。雖然已被實際利用，但為了避免破壞（breaking）用戶部署環境的現有配置，該公司不打算透過升級軟體或熱修補（Hotfix）的方式修補，建議用戶採取緩解措施。</p> <p><a href="https://www.ithome.com.tw/news/176565"><strong style="font-size: 22px;">施耐德電機修補多項高風險漏洞，影響EcoStruxure與PowerLogic等產品</strong></a></p> <p>工業自動化與能源管理業者施耐德電機（Schneider Electric）於6月9日發布3份安全公告，揭露資料中心監控軟體EcoStruxure IT Data Center Expert、遠端終端裝置與控制器EasyLogic T150／Saitel DP RTU，以及電力保護與控制平臺PowerLogic P7的多項漏洞，並針對受影響產品提供已修補的版本。其中，該公司為PowerLogic P7修補3項漏洞，CVE-2026-9716與CVE-2026-9717為高風險漏洞，CVSS v4.0分數分別為8.7分與8.6分，可能造成阻斷服務。</p> <p><a href="https://www.ithome.com.tw/news/176547"><strong style="font-size: 22px;">AI代理同樣存在遭社交工程欺騙風險，研究人員揭露OpenClaw AI代理可遭釣魚郵件誘騙洩漏敏感資料</strong></a></p> <p>資安廠商Varonis旗下威脅研究團隊近日發布報告，揭露針對開源AI代理平臺OpenClaw進行的安全測試研究，結果發現，即使為AI代理設定明確的安全政策，攻擊者仍可透過社交工程手法，誘騙AI代理洩漏敏感資訊。針對測試結果，Varonis表示AI代理在部分情境下的安全性，已超過許多真人用戶，能有效識別可疑URL、虛假登入入口網站、惡意OAuth提示與冒充網域。但在社交層面上，AI代理在判斷人員身分、組織關係與授權範圍等情境，仍相當脆弱。</p> <p><a href="https://www.ithome.com.tw/news/176570"><strong style="font-size: 22px;">越南駭客OceanLotus發動供應鏈攻擊，鎖定投資人散布SpectralViper後門</strong></a></p> <p><a href="/sites/default/files/images/OceanLotus-figure-5-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/OceanLotus-figure-5-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者ESET於6月11日揭露，越南駭客組織OceanLotus（APT32）自2025年10月至2026年3月，入侵越南投資軟體FireAnt Metakit更新伺服器，透過偽造軟體更新向股票投資人散布SpectralViper後門程式。駭客利用了FireAnt Metakit更新機制中的多項安全缺陷，例如：該軟體更新設定檔缺乏數位簽章或完整性驗證機制、更新過程仍使用未加密的HTTP通訊。此外，OceanLotus亦長期入侵當地一家基礎建設及交通工程公司，可能是藉由微軟SQL Server遠端程式碼執行漏洞取得初始存取權限。</p> <p><a href="https://www.ithome.com.tw/news/176512"><strong style="font-size: 22px;">攻擊者假冒IT支援人員，透過Microsoft Teams發動社交工程攻擊</strong></a></p> <p>資安業者Palo Alto Networks指出，攻擊者利用Microsoft Teams等企業協作工具發動社交工程與網釣攻擊，藉由員工對內部溝通平臺的信任，假冒IT支援人員或服務供應商誘騙受害者。攻擊者可能透過Teams傳送外部聊天邀請，聲稱使用者帳號出現異常，要求對方核准多因素驗證（MFA）請求，或依指示重設憑證。由於訊息出現在Teams而非電子郵件，員工可能降低戒心。該公司強調，這類手法並非個案，已有駭客組織APT29、UNC6692用於實際活動。</p> <p><a href="https://www.ithome.com.tw/news/176442"><strong style="font-size: 22px;">惡意Chrome擴充套件鎖定AI平臺互動內容，收集對話與敏感資料</strong></a></p> <p>隨著使用者與生成式AI的互動逐漸成為企業工作流程的一部分，攻擊者也開始將AI對話內容視為新的資料來源。近期出現主動監控用戶與AI平臺互動內容的惡意或可疑Chrome擴充套件，藉此收集使用者輸入的對話紀錄與敏感資訊。資安公司G DATA指出，部分看似具有正常功能的Chrome擴充套件，會監視用戶與ChatGPT、Claude、Copilot、DeepSeek、Gemini等生成式AI平臺的對話，並從中收集對話內容，再將這些資訊傳送到外部端點。</p> <p><a href="https://www.ithome.com.tw/news/176524"><strong style="font-size: 22px;">網路攻擊組織UNC3753鎖定法律與金融業，假冒IT人員竊資勒索</strong></a></p> <p>Google Cloud旗下資安團隊Mandiant與Google威脅情報團隊（GTIG）揭露，網路攻擊組織UNC3753在2026年1月至5月間鎖定美國數十個組織，包括專業服務、法律與金融服務業，發動以資料竊取勒索為目的的攻擊活動。攻擊者冒充企業IT服務臺或資安人員，透過電話社交工程誘使員工開啟螢幕分享、安裝遠端管理工具，搜尋並竊取敏感資料。研究人員建議企業加強使用者訓練、外部技術人員身分驗證、訪客陪同制度、遠端存取控管等措施因應。</p> <p><a href="https://www.ithome.com.tw/news/176525"><strong style="font-size: 22px;">駭客偽冒開源資安工具網站散布惡意軟體，並利用流量分發系統篩選攻擊目標</strong></a></p> <p>為了提高散布惡意軟體的效率，攻擊者已不再採取無差別投放惡意連結的方式，而開始透過流量分發系統（Traffic Distribution System，TDS）篩選攻擊目標，資安業者Check Point近日揭露這類型的大規模攻擊活動，攻擊者仿冒Ghidra、dnSpy與SpiderFoot等開源資安工具的下載網站，並結合點擊劫持手法來誤導造訪這些網站的使用者，同時結合偽冒下載網站、點擊劫持（Click Hijacking），以及流量分發系統，企圖藉此提高攻擊成功率。</p> <p><a href="https://www.ithome.com.tw/news/176469"><strong style="font-size: 22px;">殭屍網路C0XMO利用老舊DD-WRT漏洞，擴散並感染DVR與Android等裝置</strong></a></p> <p>資安業者Fortinet披露，Gafgyt殭屍網路的最新變種C0XMO正在利用DD-WRT開源路由器韌體於2021年揭露的CVE-2021-27137漏洞，在攻陷未更新的路由器後，再藉由獨立的Python掃描模組進一步感染數位錄影機（DVR）、網路影音管理平臺及Android裝置等多種裝置。與傳統殭屍網路不同的是，C0XMO將掃描與擴散功能拆成獨立Python腳本，使駭客更容易針對不同系統架構與裝置類型調整攻擊手法。</p> <p><a href="https://www.ithome.com.tw/news/176567"><strong style="font-size: 22px;">酷澎個資外洩案波及3,755萬人，遭韓國重罰逾6,246億韓元</strong></a></p> <p>針對電商平臺酷澎（Coupang）於2025年11月揭露的大規模個資外洩事故，韓國個資保護委員會（PIPC）於6月11日公告，對酷澎處以6,246億8,100萬韓元（約4.09億美元）罰鍰。PIPC調查認定，酷澎因身分驗證簽章金鑰管理、存取控制等基本安全管理措施不足，導致約3,755萬人個資外洩。此外，酷澎在事件應變與後續處置過程中，也出現未履行外洩通知義務、未依規定銷毀資料、未充分確保個資保護長（CPO）職務獨立性，以及妨礙調查等多項問題，PIPC另對酷澎處以1,680萬韓元罰款。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176543"><strong>【6月11日】Exchange Online傳出可被用於欺騙的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176520"><strong>【6月10日】Anthropic推出具有Mythos能力的Claude Fable 5</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176470"><strong>【6月9日】Check Point VPN零時差漏洞被用於勒索軟體攻擊</strong></a></p> </div></div></div>
6/12 15:10作者周峻佑https://www.ithome.com.tw/news/176576
Splunk 6月安全更新修補一項讓攻擊者清空檔案的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://advisory.splunk.com/" target="_blank">思科旗下Splunk本星期發布安全更新</a>，修補12項漏洞，包括一項允許未經驗證的攻擊者建立或清空檔案的重大漏洞。</p> <p>本月Splunk修補了1項重大漏洞為CVE-2026-20253，影響Splunk Enterprise 與Splunk Cloud Platform的部分版本。該漏洞出在這些軟體的PostgreSQL sidecar服務端點缺乏驗證控制，可讓任何連網的攻擊者，未經驗證就能透過PostgreSQL sidecar服務在系統上建立或清空任意檔案。本漏洞風險值達到9.8。</p> <p>Splunk另外修補了CVE-2026-20251、CVE-2026-20252及CVE-2026-20258三個高風險漏洞。其中CVE-2026-20251為影響Splunk Secure Gateway App的不安全反序列化（Deserialization）漏洞，可讓低權限Splunk使用者利用Splunk Secure Gateway App，在Splunk伺服器上執行任意程式碼（RCE）。該漏洞風險值8.8。</p> <p>CVE-2026-20252影響Splunk Enterprise，可讓低權限使用者透過Dashboard Studio PDF輸出功能，繞過安全檢查傳送請求到任意內部機器，引發伺服器端請求偽造（Server-Side Request Forgery），得以越界存取內部系統或資源，本漏洞風險值7.6。</p> <p>CVE-2026-20258是一個儲存型跨站指令碼（Stored Cross-Site Scripting）漏洞，影響Splunk Enterprise與Splunk Cloud的Classic Dashboard HTML Panel。低權限使用者可在Splunk Dashboard中植入惡意JavaScript，並發送連結給受害者。當受害者瀏覽該Dashboard時，惡意程式碼便會在其瀏覽器中執行。漏洞風險值為CVSS 7.1。</p> <p><a href="https://advisory.splunk.com/advisories/SVD-2026-0610" target="_blank">Splunk也發布Splunk Enterprise第三方套件更新</a>，當中修補了Golang、PostgreSQL、MongoDB及Cloudflare的相關漏洞。</p> </div></div></div>
6/12 15:42作者林妍溱https://www.ithome.com.tw/news/176577
Ivanti甫修補的滿分重大漏洞已出現實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月9日<strong><a href="https://www.ithome.com.tw/news/176531">資安公司Ivanti發布公告</a></strong>，針對保護企業後端系統與遠端行動裝置之間流量的安全閘道設備Ivanti Sentry發布更新，修補兩項CVSS評分達到10分與9.9分的重大漏洞CVE-2026-10520與CVE-2026-10523，值得留意的是，滿分漏洞CVE-2026-10520已被用於實際攻擊。</p> <p>Shadowserver基金會於11日提出警告，<strong><a href="https://x.com/Shadowserver/status/2064802147833643157">他們觀察到大規模利用CVE-2026-10520的嘗試行為</a></strong>，總共找到19臺存在弱點的Ivanti Sentry實體（instance），這些系統疑似都遭到入侵，其中有兩臺已被植入後門。該基金會表示，<strong><a href="https://x.com/Shadowserver/status/2064802150413214159">他們本次的偵測率偏低</a></strong>，很有可能是因為在掃描過程有許多Ivanti Sentry系統無法存取，因此若是用戶若是尚未修補，很有可能已經被入侵。</p> </div></div></div>
6/12 14:38作者周峻佑https://www.ithome.com.tw/news/176572
衛福部揭5,050筆臺灣專用LOINC對照表，打造全國共通醫學檢驗語言、為醫療AI鋪路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為解決不同醫院檢驗資料格式不一、資訊難以交換的問題，衛福部在2025年啟動全國醫學檢驗資料標準化工程，歷經數十家醫院、154位專家共同參與，完成5,050筆臺灣版LOINC對照表，健保核價檢驗項目涵蓋率近99%，衛福部也在本月10日揭露成果。</p> <p>衛福部資訊處處長李建璋表示，這項工程是把臺灣醫院平常使用的健保檢驗碼，對應到國際通用的醫學檢驗標準LOINC。但，LOINC資料庫收錄超過10萬筆代碼，同一項檢驗還可能因檢體來源、檢驗方法或檢測目的不同，而對應不同代碼。過去若由各家醫院自行比對，不但耗時，代碼也可能不一致。現在，衛福部已完成對照表，醫院接下來可直接引用，不必從頭建立自己的LOINC對照機制。</p> <p>李建璋點出，統一檢驗標準碼，不只利於跨院資料交換、減少重複檢驗，還能支援FHIR病歷互通、精準醫療與醫療AI等應用。</p> <h2><strong>為何臺灣需要LOINC？</strong></h2> <p>LOINC是目前全球最廣泛使用的醫學檢驗標準之一，由美國Regenstrief Institute制定，主要用來統一檢驗項目的名稱與代碼，讓不同醫療機構能以相同語意交換資料。</p> <p>不過，LOINC資料庫本身收錄超過10萬筆代碼，同一項檢驗也可能因檢體種類、檢驗方法或量測方式不同，而對應不同LOINC代碼。對醫院來說，要從龐大的國際資料庫中找出正確代碼並不容易。</p> <p>此外，臺灣醫療體系長期以健保核價碼作為檢驗管理、申報基礎，不同醫院，又使用不同品牌的檢驗設備、實驗室資訊系統（LIS）和醫院資訊系統（HIS），所以，即使是同一項檢驗，也可能有不同名稱、代碼或資料格式，讓跨院資料交換和整合更困難。</p> <p>例如同樣是糖化血色素（HbA1c）檢驗，不同醫院系統中的欄位名稱與代碼可能不同。對醫護人員來說，他們也許一眼就知道是同一項檢驗，但對IT系統而言，卻可能視為完全不同的資料。這就是醫療資料互通的一大障礙，即使資料能傳送，接收端未必能正確理解內容。這也是為何，衛福部希望統一全臺檢驗檢查代碼的原因之一。</p> <p>不過，LOINC也不是第一次在臺灣應用。早在2007年，衛生署資訊中心就輔導特定醫院進行電子病歷交換、試辦導入LOINC。2013年，疾管署推動防疫雲，其中傳染病實驗室自動通報系統（LARS）就導入LOINC作為檢驗資料交換標準，當時還成功輔導20家醫學中心使用。在COVID-19疫情間，以LOINC標準通報的檢測數據，更幫助疾管署掌握疫情動態，證實這項標準，在公衛緊急應變中的實用性。</p> <p>不過，這些實例多半是特定專案或特定領域使用，缺乏全國一致的對照機制。因此，衛福部資訊處在2025年發起LOINC對照專案計畫，要建置全臺通用的LOINC對照表。</p> <h2><strong>邀集醫檢專家和廠商，短短數月完成LOINC對照表</strong></h2> <p>該專案在2025年底啟動，由衛福部資訊處與臺灣醫事檢驗學會共同推動，邀集數十家醫院、154位醫學檢驗與相關領域專家參與。他們也找來檢驗試劑與儀器廠商，由廠商提供各項檢驗試劑對應的LOINC資訊，再由醫檢專家團隊進行驗證與審查。</p> <p><img alt="" src="/sites/default/files/images/IMG_8045%E6%8B%B7%E8%B2%9D.JPG" /></p> <p>審查的流程是，團隊先盤點健保給付檢驗項目，再逐一比對檢驗目的、檢體種類、檢驗方法及量測單位等資訊，最後對應到適合的LOINC代碼。</p> <p><img alt="" src="/sites/default/files/images/IMG_8046%E6%8B%B7%E8%B2%9D.JPG" /></p> <p>據統計，這次專案共整理超過3.9萬筆候選資料，完成超過2萬筆檢驗項目編碼作業，還透過Claude等AI工具輔助，最後在今年收斂為5,050筆臺灣版LOINC對照表。</p> <p><img alt="" src="/sites/default/files/images/IMG_8050%E6%8B%B7%E8%B2%9D.JPG" /></p> <p>過程中也發現，不少健保檢驗碼無法直接對應單一LOINC代碼。例如細菌培養鑑定檢驗（13007C），可能涵蓋傷口、呼吸道、尿液、生殖道等63種不同檢體來源；特異過敏原免疫檢驗（30022C）則可對應267個不同LOINC代碼。</p> <p>也因此，這次工程不只是建立代碼對照表，更是重新整理國內檢驗資料的語意與分類方式。</p> <p>有了這份對照表，未來醫療院所可直接引用，減少重複建置對照表和維護成本。</p> <h2><strong>不只做對照表，也做FHIR轉換工具</strong></h2> <p>除了建立對照表，衛福部也透露，他們還同步開發支援FHIR格式的檢驗項目輔助對應平臺及API轉換模組，也與國內主要HIS和LIS廠商進行介接測試。</p> <p>這意味著，未來醫療院所可透過這些工具，將既有檢驗資料快速轉換成符合LOINC及FHIR標準的格式，不必從零開始建置系統。</p> <p>衛福部後續也規畫建置LOINC專區，提供代碼查詢、教材與技術支援，並開發AI輔助編碼工具，協助醫院進行檢驗項目對照。</p> <p>就應用來說，目前，LOINC標準化成果，已開始導入部分實際應用。例如，健保署應用於次世代基因定序（NGS）檢測收案，以及癌症用藥事前審查作業，提高資料交換與審查效率。</p> <p>李建璋表示，檢驗資料是醫療資料中最常交換、也最常被使用的資料之一。隨著FHIR病歷互通持續進展，以及更多醫療院所採用LOINC標準，檢驗資料也能更好在不同醫療機構間互通，還能進一步支援臨床決策、精準醫療研究與醫療AI應用。</p> <p></p> </div></div></div>
6/12 14:57作者王若樸https://www.ithome.com.tw/news/176573
GitLab修補12個漏洞，最高風險可能導致帳號接管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-0-2-released/" target="_blank">GitLab周三（6/10）發布安全更新</a>，釋出GitLab社群版（GitLab Community Edition，CE）與企業版（GitLab Enterprise Edition，EE）的19.0.2、18.11.5及18.10.8，以修補12個安全漏洞，其中最嚴重的兩項漏洞CVSS風險評分皆達8.7分，可能導致帳號遭接管或在受害者瀏覽器中執行惡意程式碼。</p> <p>GitLab為一開源DevSecOps平臺，提供程式碼代管、CI/CD、安全掃描與專案管理等功能，分為社群版CE與企業版EE。GitLab採固定安全更新機制，通常於每月發布一次安全修補更新，並同步為多個受支援版本分支提供修補程式。</p> <p>此次修補的安全漏洞中，有兩個CVSS風險評分都高達8.7分。首先是與Group SAML有關的CVE-2026-6552，Group SAML是GitLab EE提供的企業身分驗證功能，可讓企業透過安全聲明標記語言（Security Assertion Markup Language，SAML）單一登入機制，來管理GitLab群組成員身分。</p> <p>在特定條件下，擁有Group Owner權限的已驗證使用者，可濫用Group SAML Identity API的權限控管缺陷，竄改群組成員的SAML身分對應關係，進而接管對方的GitLab帳號。</p> <p>另一項8.7分的高風險漏洞為CVE-2026-10087，影響GitLab EE的Analytics Dashboard功能。具Developer權限的已驗證使用者，可利用該跨網站指令碼（XSS）漏洞，在受害者瀏覽器中執行任意JavaScript程式碼。</p> <p>其它兩個被列為高風險漏洞的分別是可導致服務中斷CVE-2026-7250，以及可發送未經授權電子郵件的HTML Injection漏洞CVE-2026-8589，它們的CVSS風險評分分別為7.5與7.3分。此次修補的12個漏洞中，有4個被列為高風險，皆影響GitLab EE，其中CVE-2026-7250也波及GitLab CE。</p> </div></div></div>
6/12 15:10作者陳曉莉https://www.ithome.com.tw/news/176575
LiteLLM高風險已知漏洞可與另一個漏洞串連，形成CVSS風險10分的漏洞利用鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月8日美國網路安全與基礎設施安全局（CISA）表示已掌握漏洞被積極利用的證據，將LiteLLM高風險漏洞CVE-2026-42271<strong><a href="https://www.ithome.com.tw/news/176460">加入已遭利用漏洞列表（KEV）</a></strong>，要求聯邦機構於6月22日前完成修補，究竟駭客如何利用漏洞，CISA並未說明。然而在此之前，有資安公司警告，若是攻擊者串連另一個已知漏洞，將能變成威力極為強大的武器。</p> <p>上週<strong><a href="https://horizon3.ai/attack-research/vulnerabilities/cve-2026-42271-chained-with-cve-2026-48710/">威脅情報公司Horizon3.ai指出</a></strong>，攻擊者利用CVE-2026-42271的基本條件，就是通過身分驗證，然而他們發現，若是搭配存在於Python非同步（ASGI）框架Starlette的中度風險漏洞CVE-2026-48710，就有可能在依賴自架Gitea的開發環境裡，形成CVSS風險10分滿分的重大弱點，完全繞過LiteLLM的身分驗證請求，從而導致遠端程式碼執行，讓攻擊者以LiteLLM代理程式執行指令，呼籲用戶應儘速更新LiteLLM與Starlette因應。</p> <p>雖然Starlette並非架設LiteLLM的必要元件，但由於LiteLLM提供代理伺服器模式，再加上指引文件經常以FastAPI範例，<strong><a href="https://fastapi.tiangolo.com/">FastAPI</a></strong>就是以Starlette和Pydanic開發而成，因此，不少LiteLLM用戶選擇採用Starlette設置代理伺服器或API閘道，使得Horizon3.ai提出的漏洞利用環境很可能出現在實際的LiteLLM平臺。</p> </div></div></div>
6/12 13:18作者周峻佑https://www.ithome.com.tw/news/176569
越南駭客OceanLotus發動供應鏈攻擊，鎖定投資人散布SpectralViper後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.welivesecurity.com/en/eset-research/oceanlotus-external-espionage-domestic-targeting/" target="_blank">資安業者ESET周四（6/11）揭露</a>，越南駭客組織OceanLotus（APT32）自2025年10月至2026年3月，入侵越南投資軟體FireAnt Metakit更新伺服器，透過偽造軟體更新向股票投資人散布SpectralViper後門程式。</p> <p>OceanLotus為一現身於2012年的網路間諜組織，外界普遍認為其活動與越南政府利益相關，過去主要以中國及東南亞國家為目標，攻擊對象涵蓋企業、人權倡議人士及政府機構。然而，ESET發現，過去多次被揭露從事跨國網路間諜活動的OceanLotus在這兩年將重心移至越南國內，針對境內的基礎建設、交通工程公司及股票投資人發動攻擊。</p> <p>FireAnt Metakit為越南金融科技公司FireAnt所推出的股市行情資料工具，可將即時與歷史市場資料傳送至AmiBroker、MetaStock等技術分析軟體。OceanLotus入侵了FireAnt Metakit更新伺服器，並以惡意程式取代合法更新檔案，在使用者下載更新時，於電腦中安裝SpectralViper後門。</p> <p>研究人員指出，駭客利用了FireAnt Metakit更新機制中的多項安全缺陷，包括該軟體更新設定檔缺乏數位簽章或完整性驗證機制，無法確認下載檔案是否遭竄改；而且更新過程仍使用未加密的HTTP通訊，而非HTTPS。</p> <p>至於SpectralViper是OceanLotus自行開發的後門程式，可與C&C伺服器通訊，回傳受害電腦資訊，接收遠端指令，也具備載入其他程式、程序注入與橫向移動能力。</p> <p>ESET表示，雖然FireAnt Metakit是廣泛使用的投資工具，理論上可能影響大量投資人，但他們實際只觀察到少數最終收到並執行SpectralViper後門的受害者，因此判斷OceanLotus並不是無差別散布，而是在供應鏈感染後再篩選目標。</p> <p>除了FireAnt之外，ESET還發現OceanLotus亦長期入侵當地一家基礎建設及交通工程公司，可能是藉由Microsoft SQL Server遠端程式碼執行漏洞取得初始存取權限，並於企業網路內部署多個SpectralViper變種。</p> </div></div></div>
6/12 13:52作者陳曉莉https://www.ithome.com.tw/news/176570
Palo Alto發佈6月安全更新修補11項漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://security.paloaltonetworks.com/" target="_blank">網路資安業者Palo Alto Networks本週發佈六月份安全更新</a>，修補11項漏洞，其中包含2項高風險安全更新。廠商呼籲管理員儘速更新到最新版本。</p> <p>這2項高風險安全更新中，一項為CVE-2026-0274，影響Palo Alto安全協調、自動化與回應（SOAR）平臺Cortex XSOAR。它出於Cortex XSOAR/XSIAM與Commvault Security IQ整合模組的身分驗證機制不當，可能讓未經授權的攻擊者偽裝成合法系統，存取或修改受保護資料。本漏洞CVSS風險值8.1，影響Cortex XSIAM/XSOAR Commvault Security IQ Marketplace。</p> <p>其次為針對Palo Alto專屬Chromium-based瀏覽器Prisma Browser的安全更新，為Palo Alto每月例行發布，可能修補不只一項漏洞。本安全更新CVSS風險值8.4。</p> <p>Palo Alto在6月3日修補的CVE-2026-0257為影響PAN-OS SSL VPN服務GlobalProtect的驗證繞過漏洞，CVSS風險值7.8。值得注意的是，該漏洞已遭到濫用，<a href="https://www.ithome.com.tw/news/176253" target="_blank">美國網路安全暨基礎設施安全管理署（CISA）5月底</a>，要求聯邦機構在6月1日完成修補。</p> <p>Palo Alto並在5月底修補了三個CVSS風險值7.2的漏洞，分別為CVE-2026-0263、CVE-2026-0264及CVE-2026-0265。這三項漏洞還影響PAN-OS及防火牆Cloud NGFW。</p> <p>其中CVE-2026-0263和CVE-2026-0264皆為遠端程式碼執行（RCE）漏洞，前者存在IKEv2處理過程中，後者為DNS Proxy及DNS Server的堆積式緩衝溢位（Heap-based Buffer Overflow）而導致RCE。CVE-2026-0265則是在啟用雲端驗證服務（Cloud Authentication Service,CAS）的系統上，允許駭客繞過驗證機制。</p> </div></div></div>
6/12 12:47作者林妍溱https://www.ithome.com.tw/news/176568
【臺灣資安大會直擊】當Physical AI走進現實，一張傳單就可讓機器人出拳攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>當資安威脅從數位世界脫殼而出，轉化為具有物理動量的攻擊力時，我們正面臨一個前所未有的轉折點。專精車用資安與機器人資安的VicOne執行長鄭奕立指出，過去數位世界的入侵，最壞的結果或許是系統重灌、資料外洩；但在Physical AI（物理AI）的世界裡，機器人的手腳可能會直接傷害人類，而那絕對不是按下一個「還原鍵」就能解決的問題。</p> <p>針對機器人資安VicOne成立專屬研究實驗室Lab R7，就是為了在世界還在討論機器人落地的可能時，先行著手拆解並防禦其潛在的脆弱性。例如日前在臺灣資安大會CyberSec 2026現場，VicOne Lab R7研究人員就針對機器狗實測Demo，展示讓全場屏息的攻擊場景。</p> <p>這隻機器狗被訓練了一套視覺語言動作模型（Vision-Language-Action Model，VLA Model）：看到拳擊手圖片，它擺出攻擊姿態；看到微笑女性圖片，它比出愛心。就在現場觀眾以為這只是輕鬆的互動展示時，研究人員突然拿出一張專為CYBERSEC 2026設計的傳單，疊放在那張微笑女性圖片的前方，傳單排版並不特別，但其中夾雜著關於戰鬥姿態、戰備狀態、敵意偵測的放大粗體文字。而當機器狗的攝影鏡頭掃描到傳單內容後，機器狗的模型會重新執行推論，不一會，原本應該比心的機器狗，就變成舉拳出擊的機器狗了。</p> <p>鄭奕立說：「很多人Demo特別是中國的機器人或機器狗，都用遙控的；但VicOne Lab R7測試的機器狗，卻是真真實實透過模型訓練出來的。」這是令人警醒的事件，那就是：機器人的安全，並不是只靠關掉遙控器就解決的問題；當模型本身被操縱了，而操縱模型的可能只需要一張看起來不起眼的傳單，因為這麼做就可以達到操縱機器人的目的了。</p> <p><img alt="" src="/sites/default/files/images/600-%E7%9C%8B%E5%88%B0%E7%BE%8E%E5%A5%B3%E6%AF%94%E5%BF%83_%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E6%8F%90%E4%BE%9B.jpg" style="width: 600px; height: 400px;" /></p> <blockquote><p>VicOne Lab R7訓練的機器狗，看到美女的照片，前肢會左右畫一個半邊的心型，組成一個心，對美女表示喜歡之意。</p> <p>照片來源：臺灣資安大會提供</p> </blockquote> <p> </p> <p><img alt="" src="/sites/default/files/images/600-%E5%82%B3%E5%96%AE%E6%94%BB%E6%93%8A_%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E6%8F%90%E4%BE%9B.jpg" style="width: 600px; height: 400px;" /></p> <blockquote><p>VicOne Lab R7測試的機器狗，在美女照片上放上內含攻擊指令的傳單，機器狗掃描到傳單內容後，原本看到美女「比心」的動作，就會重新推論為「出拳」。</p> <p>照片來源：臺灣資安大會提供</p> </blockquote> <p> </p> <p><img alt="" src="/sites/default/files/images/600-%E5%82%B3%E5%96%AE%E6%94%BB%E6%93%8A_%E9%BB%83%E5%BD%A5%E6%A3%BB%E6%94%9D.jpg" style="width: 600px; height: 337px;" /></p> <blockquote><p>更清楚看見，攻擊者如何將內含攻擊指令的傳單內容，如何放置在美女照片上，讓機構口接收掃描到相關的攻擊訊息。</p> <p>照片來源：黃彥棻攝</p> </blockquote> <p> </p> <h1><span style="color:#B22222;">從提示詞注入到AI指令劫持，機器人如何被環境文字操控？</span></h1> <p>要理解這張傳單為何如此危險，我們必須先理解AI機器人的決策架構。鄭奕立解釋，AI機器人的決策由三個環節組成：感知（看到什麼）、理解（判斷其意義）與行動（執行什麼）。</p> <p>其中，VLA模型的工作，是將視覺輸入轉換為語義判斷，再由語義判斷驅動動作輸出。在這條決策鏈中，負責「理解」的那一層，本質上就是大型語言模型（LLM）或視覺語言模型（VLM）的運算結果。</p> <p>語言模型的本質是高度服從語言指令，這讓它既強大，也相對脆弱。當環境出現帶有命令語意的文字時，模型可能將其解讀為有效指令，即使那段文字只是傳單上的視覺資訊，甚至是機器人的主人從未下達過的相關命令。</p> <p>這正是資安界所稱的提示詞注入攻擊（Prompt Injection）在物理世界中的延伸形式，針對AI機器人的版本，則有個更具體的名稱：AI指令劫持（Command Hijacking against embodied AI，CHAI）。</p> <p>攻擊者若要完成這類攻擊，作法其實並不複雜。第一步是研究目標機器人採用的AI模型。由於機器人產業大量採用開源模型，其架構與訓練方式往往都是公開資訊。</p> <p>第二步則是利用AI尋找AI的盲區，自動化測試各種圖片與語句組合，並根據模型輸出結果持續調整，直到找到能夠觸發異常判定的輸入組合。</p> <p>第三步則是將這些盲區製作成現實世界的攻擊載體，例如海報、廣告文字或貼紙等，使機器人在毫無察覺的情況下，執行攻擊者預先設計的行為。</p> <p>鄭奕立表示，相較於純粹的數位資安威脅，機器人的AI指令劫持更難防範，因為人們無法控制機器人視野範圍內的所有環境輸入。</p> <p>例如，未來家中的機器人看到報紙廣告上的一段文字，人類看來或許毫無異狀，對機器人而言卻可能是一道攻擊指令；當這種情況發生時，家中成員便可能在毫不知情的情況下陷入危險。</p> <h1><span style="color:#B22222;">從硬體到模型，機器人面臨的五大資安攻擊面</span></h1> <p>AI模型被操縱，只是機器人資安風險中的一層。鄭奕立以過去18個月的真實資安事件為基礎，拆解出機器人面臨的五大風險來源。</p> <p>首先，物理實體層面是最直接的入口，而機器人本體上的各種實體埠口、電子元件，只要能接觸到，就可能成為滲透起點。</p> <p>過去18個月已出現有文獻記載的中國機器人後門事件，而目前AI機器人最廣泛採用的運算平臺Nvidia Jetson，也出現兩個重大等級的CVE漏洞，分別涉及開機流程的權限提升，以及隨行運算模組的安全問題。</p> <p>其次，感測器層面的風險，這是源自機器人用來感知世界的各類傳感設備，包括：攝影機、麥克風、雷達、GPS，每一個感測介面都是潛在的欺騙目標，容易受到惡意干擾或欺騙，進而讓機器人對環境產生錯誤感知。</p> <p>這個層面的威脅在航空領域已造成可見影響，像是GNSS訊號干擾使荷蘭航空班機導航出現異常，GPS欺騙（GPS spoofing）攻擊波及印度多個機場超過800個航班，駕駛艙GNSS訊號混淆事件也被CNN報導。</p> <p>鄭奕立表示，值得警惕的是，感測器層面的攻擊事件目前幾乎沒有對應的CVE漏洞記錄，這意味著業界對於此類風險的系統性防護，幾乎還是空白。</p> <p>第三，AI模型層面，也就是Demo展示的那一層，是目前最新興、也最難防範的攻擊維度。攻擊者可針對模型弱點下手，干擾甚至操縱機器人的決策；在機器人AI的決策架構中，任何能影響模型語義理解的輸入，都是潛在攻擊面。</p> <p>過去18個月以來，AI指令劫持（CHAI）相關的攻擊研究已出現多個里程碑。在2025年7月，由康乃爾大學（Cornell University）維護的免費學術論文預印本平臺arXiv，上面就有人發布系統性的Prompt Injection 2.0研究框架；同年9月，AI指令劫持（CHAI）攻擊模型正式被提出；2026年2月，更具針對性的CHAI v2誤導文字攻擊方法被揭露。鄭奕立指出，模型層面同樣缺乏CVE追蹤體系，防護的建立幾乎需要從零開始。</p> <p>第四，軟體與雲端應用層面是漏洞記錄最密集的層面，像是機器人的作業系統、驅動程式、應用軟體與中介軟體，都是攻擊者熟悉的目標，若這些軟體組件存在已知漏洞或後門，攻擊者可取得未經授權的控制權。</p> <p>廣泛應用於機器人通訊的DDS中介軟體，在2025年11月單次被揭露13個CVE漏洞；ROS 2機器人作業系統的供應鏈攻擊概念驗證也在同月被公開；Unitree（中國宇樹科技）機器人被發現將資料回傳境外伺服器，並在2026年2月揭露多個遠端程式執行漏洞；中國Ecovacs（科沃斯）家用機器人系列同樣出現OTA（Over-the-Air）更新機制的漏洞，讓攻擊者得以在更新流程植入惡意程式。</p> <p>最後，鄭奕立表示，無線通訊層面是過去18個月CVE記錄最多的層面，累計達8個已登錄漏洞。這包括機器人對外連線的所有無線介面——藍牙、WiFi與遙控通訊協定——都可能成為攻擊途徑，從攔截未加密連線，到利用未妥善配對與金鑰管理的近距離無線通訊等。</p> <p>在2025年下半年，資安研究人員已公開揭露UniPwn嚴重資安漏洞，透過低功耗藍牙（BLE）漏洞取得宇樹科技（Unitree）機器人的root權限，影響範圍包括四足機器人（如Go2、B2）及人形機器人（如G1、H1）。</p> <p>另外，廣泛應用於無人機（UAV）與地面控制站之間進行通訊的輕量級協議MAVLink，出現高危險CVE漏洞；開源飛控系統PX4也被發現，存在無需身分認證（no-auth）即可連接的漏洞，可讓任何處於通訊範圍內的攻擊者都能直接取得控制權。</p> <p>這五個層面疊加起來，構成一個從感測器到電路板、從模型到雲端幾乎無處不暴露的攻擊曲面。鄭奕立說：「機器人不像電腦，電腦被攻擊，你可以執行還原（Restore）；機器人被攻擊，它的手可能已經傷到人了。」</p> <h1><span style="color:#B22222;">從汽車到機器人，VicOne的底氣從何而來？</span></h1> <p>VicOne於2022年從趨勢科技分拆獨立，初創之時切入臺灣ICT產業相對陌生的市場：車用資安。當汽車走向軟體定義車輛（Software-Defined Vehicle，SDV）與連網汽車的過程中，車上的電子控制單元、車載網路、OTA更新系統到雲端連接，每一個環節都是潛在攻擊面，且軟硬體深度整合的特性讓純軟體資安廠商難以切入。</p> <p>鄭奕立指出，VicOne在這個領域建立旁人難以複製的技術縱深，包括全球前20大乘用車品牌中，有7個採用VicOne的解決方案；三年累計發現174個汽車零時差漏洞，使用Anthropic前沿AI技術挖掘漏洞，讓VicOne成為這個垂直領域的全球研究領導者。</p> <p>鄭奕立表示，VicOne從車用資安進入物理AI資安這個幾乎還沒有人系統性建立的領域，背後的底氣來自一個關鍵發現：車用資安與機器人資安，底層軟硬體架構高度重疊，大概有八成是一樣的。</p> <p>例如汽車使用的CANBus通訊協定，同樣被應用於機器人控制系統；車用DDS中介軟體也被機器人採用；甚至高階車輛使用的TSN時間敏感網路，部分高階機器人也開始導入。「我們其實很幸運，用四年把軟硬體結合的技術弄得非常好，接下來做機器人，根本就是同一套邏輯。」他說。</p> <p>正是基於這個判斷，VicOne成立了Lab R7。這個研究實驗室的工作方式，與一般資安研究機構的最大不同，在於它不只是分析已知漏洞，而是真實購入各類機器人，自行訓練模型，從攻擊者的角度去測試這些模型的邊界，再從防禦者的角度建立對應的保護機制。</p> <p>VicOne Lab R7也展示基於Nvidia Isaac Sim的模擬測試環境，讓資安測試得以在虛擬空間中進行——研究人員可以選取不同品牌與形態的機器人模型，模擬各種攻擊情境，觀察AI模型在異常輸入下的反應，行為異常時即時標記。</p> <p>鄭奕立表示，這個方法最大的價值在於成本結構的改變，因為一臺機器人要在外面實體做測試，成本非常高；但若可以在模擬環境做測試，就可以讓機器人出場的品質更好，而且是成本更低。</p> <h1><span style="color:#B22222;">臺灣機器人服務要落地，必須同步先做好資安</span></h1> <p>對於臺灣的機器人產業而言，要讓機器人可以在產業領域落地提供服務，資安就是關鍵因素。</p> <p>以帝濶智慧科技（DeCloak Intelligences）的四足自主巡邏機器狗為例，由於巡邏機器狗會在場域持續移動，鏡頭所及範圍內的人員都可能被拍攝，因此「去識別化」成為機器人AI極為重要的一環。</p> <p>帝濶的核心技術是自主研發的「隱私強化AI」，其運算架構能在本地端完成影像辨識與決策，不需將原始影像上傳雲端，從源頭切斷資料外洩的可能。有了這個設計，讓帝濶的自主巡邏系統得以進入醫院、展覽館、校園與機場這類對隱私要求極高的場域，而不必在效能與合規之間做出妥協。</p> <p>VicOne與帝濶的合作，是將資安防護與隱私保護整合成一套完整方案，確保自主巡邏系統在面對資安威脅時，敏感資料不會因攻擊、操控或系統弱點而外洩。</p> <p>帝濶總經理鄒耀東表示，公共與敏感場域的客戶在導入自主巡邏系統時，隱私、合規與行為穩定性必須同步被驗證，而不是出事後才補救，與VicOne的合作正是帝濶對客戶的一項具體承諾，讓每一套部署上線的系統都是經過驗證、可預期、可信賴的。</p> <p>長聯科技的醫療AI機器人「愛寶」則代表著另一種路徑。「愛寶」以生成式AI與大型語言模型為核心，能理解醫護語境、協助病患衛教諮詢、執行院內任務遞送，目前已實際部署於中部某醫學大學附屬長照中心，在走廊上行走、與病患互動。</p> <p>VicOne與長聯科技的合作，聚焦協助愛寶符合歐盟網路韌性法案（Cyber Resilience Act，CRA）的法規要求，同時保護醫療AI機器人上的AI模型免受對抗性攻擊。</p> <p>長聯科技商務營運總監蔡述先強調，醫療與長照場域需要高度穩定、可靠且合規的AI服務，透過與VicOne的合作，希望讓醫療AI機器人在實際場域中更安心地被部署與使用。</p> <p>鄭奕立表示，VicOne和這兩個臺灣機器人業者合作，也證明資安不是機器人落地之後才需要補足的功能，而是從設計端（Security by Design）就必須一起考量的基礎建設。</p> <p><img alt="" src="/sites/default/files/images/600-%E9%95%B7%E8%81%AF%E6%84%9B%E5%AF%B6_%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E6%8F%90%E4%BE%9B.jpg" style="width: 600px; height: 900px;" /></p> <blockquote><p>長聯科技的醫療機器人愛寶，透過與VicOne的合作，主要是要符合歐盟網路韌性法（CRA）的規範。</p> <p>照片來源：臺灣資安大會提供</p> </blockquote> <h1><span style="color:#B22222;">機器人從一個口令一個動作，變成能跨場景做任務</span></h1> <p>鄭奕立表示，過去12個月以來，機器人AI模型發展速度飛快，同時帶動機器人資安威脅的緊迫性。</p> <p>2025年4月，Physical Intelligence的機器人AI模型π0.5，讓機器人從以往換個地方就不會做事的情況，首次不必事先看過環境，也能理解並完成任務，這也是通用型機器人（General Purpose Robotics）的重要里程碑。</p> <p>同年6月，Meta FAIR的V-JEPA 2以超過百萬小時的網路影片訓練出潛在世界模型（World Model），讓機器人從過去「看見才反應」，進步到「看見後能預測」，不僅動作更加流暢，也讓機器手臂在跨實驗室環境中，面對完全未訓練過的零樣本（Zero-Shot）任務時，仍可達到八成的取放成功率，代表機器人已具備一定程度的舉一反三能力。</p> <p>同年7月，Skild AI的Skild Brain，讓單一模型能同時驅動四足機器人、人形機器人、機械手臂與自走車底盤，改善以往每種機器人都要獨立開發各自模型的情境。</p> <p>進入2026年，Google DeepMind的Gemini ER 1.6搭載空間推理能力（Spatial Reasoning），會知道哪裡可以走、哪裡有障礙及如何繞路等。Boston Dynamics的Spot機器狗搭載Gemini ER 1.6，被用於石化廠、電廠等工廠巡檢，負責讀取各種壓力表、溫度表和液位計等，而其儀表讀數準確率高達98%，表示機器狗已能接近人類巡檢員能力。</p> <p>而Physical Intelligence的π0.7，則實現了組合式泛化（Compositional Generalization）——機器人能自行混合既有技能，完成從未見過的新任務，這是最重要的突破。</p> <p>過去一年的機器人AI模型的發展，從以往「只能執行預先編寫流程的自動化設備」，逐步演進為：具備世界理解、空間推理、技能遷移與自主學習能力的通用實體AI（Physical AI）；透過這些「機器人基礎模型（Robot Foundation Model）」，讓機器人真正具備跨場景、跨任務、跨機體的通用智能。</p> <h1><span style="color:#B22222;">四大基礎設施生態系成形，誰將主導機器人時代？</span></h1> <p>由於大多數機器人業者不會從零開始建構所有技術能力，而是直接採用NVIDIA的Jetson與Isaac平臺、Google的機器人AI模型、Qualcomm的邊緣AI處理器，以及Hugging Face的開源模型與資料集等既有生態系資源，藉此加速產品開發與商業化進程。</p> <p>而這些支撐新一代機器人發展的產業生態系與基礎設施的業者，被稱為：Robot Infrastructure Providers（機器人基礎設施供應商）。這些進展的背後，是四大生態系的基礎設施支撐。</p> <p>Nvidia透過機器人開發平臺Isaac，讓開發者能先在虛擬環境中訓練機器人，然後部署至實體設備；再搭配專為AI運算、機器視覺與自主導航設計的Jetson模組，打造出全球最成熟的機器人開發平臺之一，幾乎所有機器人新創都能直接採用，中國更有約五成機器人使用其技術。</p> <p>AI大腦Gemini Robotics，建立在Google DeepMind的Gemini模型之上，其多模態模型，不只可以理解文字，還能理解：圖像、聲音、空間和動作，已與Boston Dynamics的機器狗Spot整合，目標就是做到：讓任何機器人都能共用同一套智能核心。</p> <p>相較於Nvidia偏向高性能、高功耗和高價格，Qualcomm以邊緣AI晶片主打中階市場，強調低功耗、低成本和大規模部署，因為未來很多服務型機器人，並不需要超級強大的AI，更重視電池續航和成本控制。</p> <p>Hugging Face則代表開源機器人生態系，藉由提供開源模型、資料集與機器人開發框架，協助研究機構、新創團隊乃至個人開發者快速建構機器人系統，讓具備複雜任務能力的機器人不再是大型企業的專利，進一步降低機器人開發的技術與資源門檻。</p> <p>以現在的機器人產業競爭來看，已經不只是比誰能造出一臺機器人，而是在比誰能建立最完整的「AI模型＋晶片＋開發工具＋開源社群」生態系。鄭奕立認為，未來能主導機器人市場的企業，很有可能不是製造機器人的公司，而是掌握底層平臺與生態系的基礎設施供應商。</p> <p>當2022、2023年ChatGPT 3.5推出時，大家突然發現AI技術真的可以做到、可以大量普及。鄭奕立說：「而現在機器人發展已經到了一個類似的節點——模型成長已經到了快要起飛的時候。」</p> <p>技術快速演進的結果，是機器人部署速度持續加快；而部署速度愈快，也意味著每一個尚未解決的資安問題，都將更快速地進入真實場域，走向真實的人群。</p> <p> </p> </div></div></div>
6/12 11:24作者黃彥棻https://www.ithome.com.tw/news/176562
英國諾丁漢大學資料外洩，可能影響45萬學生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在勒索軟體ShinyHunters宣稱竊取資料後，<a href="https://su.nottingham.ac.uk/news/article/data-breach" target="_blank">英國諾丁漢大學（University of Nottingham）昨日（6/11）證實發生網路攻擊事件</a>，造成大量學生資訊外流。</p> <p>諾丁漢大學為知名學府，<a href="https://www.topuniversities.com/universities/university-nottingham" target="_blank">根據全球學校評等網站</a>，該校排名為英國前20大，全球前一百大。</p> <p><a href="https://www.ithome.com.tw/news/176529" target="_blank">根據報導</a>，勒索軟體駭客組織ShinyHunters點名竊取了諾丁漢大學40GB資料，包含學生、校友及職員個資及財務資料，並已公開了部份學生資訊。</p> <p>諾丁漢大學證實，學生紀錄系統中的大量資料遭外部第三方組織存取，呼籲學生留意陌生的電子郵件、訊息或電話，並確保使用強密碼。</p> <p>校方未公布外洩的資料規模和型態。<a href="https://haveibeenpwned.com/Breach/UniversityOfNottingham" target="_blank">根據Have I Been Pwned</a>，該校被ShinyHunters外洩的資料筆數達45.5萬筆，包含學生及校友姓名、住家地址、電子郵件、電話、種族、身體特徵、護照號碼、以及報名有關的財務資訊等。</p> <p>諾丁漢大學是ShinyHunters宣稱PeopleSoft資料外洩案的受害者之一。這群駭客本週公告經由Oracle PeopleSoft漏洞存取了100多個組織、300多個應用執行個體。PeopleSoft的開發商甲骨文（Oracle）已在昨日發布安全公告，並針對一個新的零時差漏洞緊急釋出緩解方案。</p> </div></div></div>
6/12 11:28作者林妍溱https://www.ithome.com.tw/news/176563
OpenAI收購Ona，打造企業AI代理人雲端執行環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/openai-to-acquire-ona/" target="_blank">OpenAI周四（6/11）宣布收購AI代理人雲端執行平臺Ona</a>，將其安全雲端執行與協調技術整合至Codex生態系，讓AI代理人可在安全、持久且由客戶控制的雲端環境中長時間執行任務。此一收購案仍待監管機關核准，雙方並未揭露交易金額。</p> <p>Ona前身為Johannes Landgraf與Christian Weichel在2020年共同創辦的Gitpod，最初主打雲端開發環境，讓開發人員可直接於瀏覽器中寫程式與測試，減少本機環境設定負擔，累計服務超過200萬名開發者，並在2025年9月更名為Ona<a href="https://ona.com/stories/gitpod-is-now-ona" target="_blank">，轉型為AI代理人雲端執行平臺</a>。</p> <p>當時Landgraf認為，IDE定義了上一個時代，而下一個時代將由代理人定義。隨著軟體開發從工程師親自撰寫程式，轉向由工程師指派任務、審查結果與作出產品決策，也促使Gitpod轉型為Ona，以協助開發人員管理AI軟體工程代理人。</p> <p>Ona提供由客戶控制的AI代理人雲端執行環境，讓企業可在自有或受其控管的雲端基礎設施中建立工作區，供AI代理人執行開發、測試與自動化任務。企業也可自行管理代理人的執行位置、存取權限、憑證範圍、活動紀錄及審查流程，以符合安全與治理需求。</p> <p>OpenAI表示，隨著AI代理人能力提升，越來越多工作需要耗費數小時甚至數天完成，而非侷限於單次對話或工作階段。Ona提供的執行環境可讓代理人在使用者離線後持續推進任務，並讓使用者隨時查看進度、提供指示、做出決策及審查成果。</p> <p>此外，目前每周已有超過500萬人使用Codex進行研究、分析、開發與工作流程自動化，較今年初成長400%。未來Ona團隊將加入OpenAI，協助擴展Codex在企業環境中的執行能力，支援測試、除錯、應用程式現代化、漏洞修補及其他長時間工作流程。</p> </div></div></div>
6/12 11:32作者陳曉莉https://www.ithome.com.tw/news/176564
施耐德電機修補多項高風險漏洞，影響EcoStruxure與PowerLogic等產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.se.com/ww/en/work/support/cybersecurity/security-notifications/" target="_blank">工業自動化與能源管理業者施耐德電機（Schneider Electric）於6月9日發布3份安全公告</a>，揭露資料中心監控軟體EcoStruxure IT Data Center Expert、遠端終端裝置與控制器EasyLogic T150／Saitel DP RTU，以及電力保護與控制平臺PowerLogic P7的多項漏洞，並針對受影響產品提供已修補的版本。</p> <p><a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2026-160-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-160-01.pdf" target="_blank">EcoStruxure IT Data Center Expert方面</a>，施耐德發布9.1.2版更新，修補CVE-2026-8045。此漏洞CVSS v4.0分數為7.1分，列為高風險，原因是XML外部實體參照（XXE）限制不當，具備Data Center Expert使用者帳號的攻擊者，可對SOAP服務端點提交特製XML資料酬載，導致伺服器端檔案內容外洩。</p> <p><a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2026-160-02&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-160-02.pdf" target="_blank">在EasyLogic T150／Saitel DP RTU安全公告中</a>，施耐德揭露CVE-2026-9650與CVE-2026-9651，CVSS v4.0分數分別為8.7分與6.7分，屬於高度與中度風險。其中，CVE-2026-9650涉及憑證保護不足，未通過身分驗證的攻擊者可能存取韌體或系統檔案中的憑證；若後續取得裝置的實體存取權，可能進一步危及裝置完整性與運作。施耐德已提供EasyLogic T150 11.06.32與Saitel DP RTU 11.06.38新版韌體。</p> <p><a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2026-160-03&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-160-03.pdf" target="_blank">PowerLogic P7則修補3項漏洞</a>。其中CVE-2026-9716與CVE-2026-9717皆為高風險漏洞，CVSS v4.0分數分別為8.7分與8.6分，可能造成阻斷服務，導致人機介面（HMI）與設定功能無法操作，或讓具備權限且已通過身分驗證的使用者，在未獲授權的情況下執行特權指令。另一項CVE-2026-9718可能讓已通過身分驗證的攻擊者透過特製請求觸發阻斷服務。修補版本為V02.004.001.000；若暫時無法更新，施耐德建議限制PowerLogic P7服務端點，也就是限制TCP/IP連接埠8080的網路存取，並依最小權限原則控管管理存取權限。</p> </div></div></div>
6/12 11:39作者王珮瑤https://www.ithome.com.tw/news/176565
研究人員揭露BitLocker零時差漏洞GreatXML
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>研究人員Chaotic Eclipse（Nightmare-Eclipse）於微軟發布6月例行更新（Patch Tuesday）當天，公布Microsoft Defender零時差漏洞<strong><a href="https://www.ithome.com.tw/news/176503">RoguePlanet</a></strong>。根據<a href="https://www.securityweek.com/greatxml-zero-day-exploit-bypasses-bitlocker/"><strong>資安新聞網站SecurityWeek報導</strong></a>，事隔兩天該研究員又公開<strong><a href="https://github.com/MSNightmare/GreatXML">另一個零時差漏洞GreatXML</a>，並指出該弱點</strong>可被用於繞過BitLocker磁碟加密機制。</p> <p>針對這項漏洞出現的情境，該名研究員指出，電腦在防毒軟體Microsoft Defender啟動離線掃描的狀態下，攻擊者無須登入Windows作業系統就有機會利用GreatXML。攻擊者需將特定檔案與資料夾複製到復原分割磁區，然後重開機執行Windows復原環境（WinRE），有可能在BitLocker磁區產生不受限制存取的Shell。</p> <p>多次驗證該名研究員零時差漏洞的<strong><a href="https://cyberplace.social/@[email protected]/116729310202595851">Tharros首席漏洞分析師Will Dormann認為</a></strong>，Chaotic Eclipse揭露的弱點可能有問題，因為產生Shell是在第二次Microsoft Defender啟動離線掃描過程出現，然而要執行掃描工作，攻擊者必須登入Windows且取得管理員權限。但若是已具備這類權限，攻擊者可以直接關閉BitLocker。Dormann使用3個版本的Windows 11進行測試，無法重現GreatXML。</p> </div></div></div>
6/12 11:45作者周峻佑https://www.ithome.com.tw/news/176566
Coupang個資外洩案波及3,755萬人，遭韓國重罰逾6,246億韓元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對電商平臺<a href="https://www.ithome.com.tw/news/174032" target="_blank">酷澎（Coupang）於2025年11月</a>揭露的大規模個資外洩事故，<a href="https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12171" target="_blank">韓國個資保護委員會（Personal Information Protection Commission，PIPC）於6月11日公告</a>，對酷澎處以6,246億8,100萬韓元（約4.09億美元）罰鍰。</p> <p>PIPC調查認定，酷澎因身分驗證簽章金鑰管理、存取控制等基本安全管理措施不足，導致約3,755萬人個資外洩。主管機關進一步指出，酷澎在事件應變與後續處置過程中，也出現未履行外洩通知義務、未依規定銷毀資料、未充分確保個資保護長（CPO）職務獨立性，以及妨礙調查等多項問題，因此另對酷澎處以1,680萬韓元罰款。</p> <p>此外，PIPC調查也發現，酷澎在未取得適當授權的情況下，蒐集約1,117萬名會員於第三方網站及App上的活動資訊，包括瀏覽網址、App名稱、連線時間及IP位址等資料。PIPC另指出，酷澎物流服務（Coupang Fulfillment Service，CFS）也因個資蒐集、利用與敏感資料處理限制違規，遭處以2億4,800萬韓元罰鍰。</p> <p><a href="https://www.bleepingcomputer.com/news/security/south-korea-hits-coupang-with-record-409-million-fine-over-data-breach/" target="_blank">BleepingComputer則指出</a>，這是韓國史上最嚴重的個資外洩事故之一，酷澎遭PIPC裁罰的金額也創下韓國個資外洩案紀錄。<a href="https://www.ithome.com.tw/news/174032" target="_blank">數位發展部先前針對酷澎韓國資料外洩事故調查後確認</a>，臺灣有超過20萬名用戶受影響。</p> </div></div></div>
6/12 11:49作者王珮瑤https://www.ithome.com.tw/news/176567
Oracle針對PeopleSoft重大漏洞提出警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月10日Oracle發布資安公告，可用於人力資源管理、財務與供應鏈管理、校務系統、客戶關係管理等領域的企業應用系統平臺PeopleSoft PeopleTools，<strong><a href="https://www.oracle.com/security-alerts/alert-cve-2026-35273.html">存在重大等級的資安漏洞CVE-2026-35273</a></strong>，未經身分驗證的攻擊者可遠端利用，一旦成功，就有機會導致遠端程式碼執行。該漏洞影響8.61與8.62版PeopleSoft Enterprise PeopleTools，PeopleSoft Enterprise Applications用戶也可能受影響。由於這個公告在<strong><a href="https://www.ithome.com.tw/news/176529">ShinyHunters宣稱滲透上百家組織的Oracle PeopleSoft伺服器</a></strong>之後發布，很容易讓人認為這兩者有所關連。</p> <p>不過，CVE-2026-35273是否已遭到利用，該公告並未進一步說明，僅呼籲用戶應立即採取行動緩解弱點。</p> </div></div></div>
6/12 10:14作者周峻佑https://www.ithome.com.tw/news/176556
貝佐斯AI新創Prometheus募資120億美元，瞄準工程與製造AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由亞馬遜（Amazon）創辦人貝佐斯（Jeff Bezos）共同創立的AI新創Prometheus週四（6/11）宣布完成120億美元B輪融資，公司估值達410億美元。參與投資者包括摩根大通（JPMorgan Chase）、貝萊德（BlackRock）、高盛（Goldman Sachs）、DST Global、Arch Venture Partners及貝佐斯本人。</p> <p>Prometheus由Jeff Bezos與Alphabet旗下生命科學公司Verily共同創辦人Vik Bajaj於2025年創立，兩人共同擔任執行長。Prometheus將自身定位為「實體經濟的AI」（AI for the Physical Economy），希望利用人工智慧協助工程師設計、開發及製造各類實體產品，涵蓋機器人、噴射引擎、藥物及資料中心等應用領域。</p> <p>該公司長期維持低調運作，直到本週才透過Axios與CNBC專訪首度對外公開募資與業務進展。<a href="https://www.axios.com/2026/06/11/prometheus-bezos-industrial-ai" target="_blank">Axios率先披露</a>Prometheus完成120億美元B輪融資、估值達410億美元；<a href="https://www.cnbc.com/2026/06/11/project-prometheus-bezos-bajaj-live-updates.html" target="_blank">CNBC則在舊金山總部專訪貝佐斯與Bajaj</a>，進一步揭露Prometheus正在開發協助工程師設計與製造實體產品的AI工具。</p> <p>貝佐斯表示，Prometheus的目標是打造「Artificial General Engineer」（AI通用工程師），利用AI縮短產品從構想到量產的開發週期。目前聚焦於原型設計（Prototyping）與量產前製造（Pre-production Manufacturing）階段，希望透過AI協助工程師快速產生設計方案、優化製造流程及提升研發效率。貝佐斯認為，相關工具未來可望將工程開發速度提升10倍以上。</p> <p>成立不到一年的Prometheus目前約有150名員工，迄今已募得超過180億美元，貝佐斯說，這是他現階段投入最多時間的新事業，新資金將主要用來擴充運算能力與研發AI模型。</p> </div></div></div>
6/12 10:29作者陳曉莉https://www.ithome.com.tw/news/176557
Oracle PeopleSoft零時差漏洞遭駭客組織ShinyHunters積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Oracle於6月10日警告企業應用系統平臺PeopleSoft PeopleTools<strong><a href="https://www.ithome.com.tw/news/176556">存在重大漏洞CVE-2026-35273</a></strong>，呼籲用戶應立刻採取行動緩解風險，雖然沒有說明漏洞是否已遭到利用，然而時間點與<strong><a href="https://www.ithome.com.tw/news/176529">ShinyHunter聲稱的攻擊行動</a></strong>相當接近，很容易讓人聯想這些駭客利用的零時差漏洞，就是CVE-2026-35273，如今有資安研究團隊證實此事。</p> <p><strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/shinyhunters-targets-education-sector-oracle-exploit">Mandiant與Google威脅情報團隊（GTIG）公布調查結果</a></strong>，他們於5月27日至6月9日，看到ShinyHunters（UNC6240）積極針對Oracle PeopleSoft應用系統基礎設施入侵及勒索的活動，過程中利用了CVE-2026-35273。兩個團隊察覺掃描與利用漏洞的活動後，向全球超過100個可能成為目標的組織通報此事，這些組織大部分位於美國，68%的PeopleSoft在高等教育組織運作。攻擊者會架設代管自己的MeshCentral代理程式，並偽裝成合法雲端服務的端點，用途是執行管理員級的命令查詢，並部署橫向移動與從事破壞的指令碼。</p> </div></div></div>
6/12 10:43作者周峻佑https://www.ithome.com.tw/news/176558
ServiceNow公布安全事件初步調查，稱資料查詢活動可能來自研究人員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176534" target="_blank">企業雲端工作流程平臺業者ServiceNow於6月上旬傳出安全事件</a>，先前有網友在Reddit轉貼的ServiceNow客戶支援公告指出，未經身分驗證的使用者疑似可在特定情況下透過API端點，查詢部分客戶執行個體的資料，6月5日ServiceNow表示，已對代管客戶執行個體套用安全更新。</p> <p><a href="https://trust.servicenow.com/notifications/1205429e-fea3-4cbf-b37b-8cd3a4e07aef" target="_blank">ServiceNow於6月10日發布安全公告說明</a>，多名客戶於6月3日至4日轉交漏洞獎勵計畫通報，內容涉及一項可能讓未經身分驗證使用者存取ServiceNow執行個體資訊的安全問題，且與4月22日提交至ServiceNow漏洞獎勵計畫的保密通報相似。該公司調查後發現，部分客戶執行個體自6月2日起出現尚不明活動，且曾遭成功查詢；ServiceNow已通知觀察到相關活動的客戶，並部署安全更新協助保護客戶環境。</p> <p>6月7日，兩名資安研究人員也向ServiceNow漏洞獎勵計畫提交報告。ServiceNow表示，根據截至目前的調查，該公司認為觀察到的活動可能與資安研究人員有關，或客戶自行進行的安全研究，而非已確認的攻擊者入侵。研究人員則向ServiceNow表示，相關活動僅用於安全研究，未截圖、使用或保留任何成功查詢所得資料。</p> <p><a href="https://www.scworld.com/news/servicenow-says-security-researchers-not-hackers-accessed-data" target="_blank">資安媒體SC Media也引述多名資安業者看法</a>，提醒企業不宜因ServiceNow初步認為異常存取活動來自研究人員，就降低對事件影響的評估。企業仍需釐清哪些資料曾可被查詢，透過記錄確認實際影響範圍，並主動聯繫供應商的業務或技術支援窗口，確認自身環境是否受到影響。</p> <p>ServiceNow表示，緩解措施已完成部署，但調查仍在進行中，後續將視需要提供更新。</p> </div></div></div>
6/12 10:43作者王珮瑤https://www.ithome.com.tw/news/176559
微軟Secure Boot舊版憑證2026年陸續到期，紅帽提醒RHEL用戶更新韌體信任資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.redhat.com/en/blog/expiration-secure-boot-signing-certificates-2026" target="_blank">開源軟體與企業Linux業者紅帽（Red Hat）6月10日提醒</a>，微軟安全開機（Secure Boot）機制使用的多張2011年版簽章憑證，<a href="https://www.ithome.com.tw/news/173897" target="_blank">將於2026年陸續到期</a>，企業應確認UEFI（Unified Extensible Firmware Interface）韌體中的Secure Boot資料庫（db）是否已納入2023年版憑證，以確保後續可取得開機安全相關更新。若系統韌體的Secure Boot 資料庫（db）沒有包含2023年版憑證，未來可能無法啟動新的開機元件。</p> <p>Secure Boot是UEFI韌體的安全機制，用來驗證開機元件的數位簽章，防止未受信任的bootkit或rootkit在作業系統啟動前載入。在安全開機進行的過程中，裝置製造商會將已知的公開憑證註冊至其韌體中的安全開機資料庫，以Red Hat Enterprise Linux（RHEL）為例，安裝時會啟動名為shim的小型第一階段開機載入程式，shim會驗證後續的應用程式，並僅允許同樣完成正確簽署程序的應用程式執行，而紅帽提供的shim內嵌一個或多個專屬於RHEL的公開憑證，有了這些憑證，可允許後續階段進行開機：包括GRUB開機載入程式、系統核心、統一核心映像（UKI）等。若這個信任鏈中的任何元件未經正確簽署，開機程序將無法繼續。</p> <p>所謂的shim，是指Linux發行版為了相容UEFI Secure Boot而設計的「過渡式（bridge）」第一階段開機程式。在大部分電腦上，UEFI韌體內建信任的是微軟的Secure Boot憑證，而不是各家Linux發行版的憑證。因此 Linux社群想要在不要求使用者手動關閉Secure Boot的情況下開機，就需要被微軟簽署過的小型程式，而shim是由微軟的Secure Boot憑證簽署的元件，當微軟停止使用2011憑證簽署新的shim後，Linux發行版必須改用新的2023憑證。</p> <p><a href="https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e" target="_blank">微軟於5月更新Secure Boot憑證支援說明</a>，包括Microsoft Corporation KEK CA 2011、Microsoft UEFI CA 2011，以及Microsoft Windows Production PCA 2011等憑證，將分別於2026年6月至10月到期；對應的新憑證包括Microsoft Corporation KEK 2K CA 2023、Windows UEFI CA 2023，以及Microsoft Option ROM UEFI CA 2023。</p> <p class="rtecenter"><a href="http://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e" target="_blank"><img alt="" src="/sites/default/files/images/0612-%20Secure%20Boot-600.png" style="width: 500px;" /></a></p> <p>微軟表示，未更新至2023年憑證的Windows裝置仍可正常開機並接收一般Windows更新，但未來將無法取得Windows開機管理程式（Windows Boot Manager）、Secure Boot資料庫與撤銷清單等開機程序信任鏈相關更新，也可能無法部署開機層級漏洞的防護措施。</p> <p><a href="http://www.redhat.com/en/blog/expiration-secure-boot-signing-certificates-2026" target="_blank">紅帽則提醒RHEL用戶</a>，微軟自2025年10月起，以2011年與2023年兩組金鑰簽署Linux開機載入器shim，分別為Microsoft Windows UEFI Driver Publisher（2011年憑證），以及Microsoft UEFI CA 2023（2023年憑證）；但2026年6月之後，新版shim將僅以2023年金鑰簽署。Red Hat已為受支援的RHEL 9與RHEL 10提供雙簽署shim，RHEL 8也預計於2026年6月取得更新。該公司建議管理員更新韌體中的Secure Boot資料庫，以及shim元件，但不應移除或撤銷2011年憑證。</p> </div></div></div>
6/12 11:13作者王珮瑤https://www.ithome.com.tw/news/176561
Google發布Chrome 149更新，修補近30個弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月11日Google發布<strong><a href="https://chromereleases.googleblog.com/2026/06/stable-channel-update-for-desktop_01962725236.html">電腦版</a></strong>與<strong><a href="https://chromereleases.googleblog.com/2026/06/chrome-for-android-update_0543402751.html">Android版</a></strong>Chrome 149更新，總共修補28個資安弱點，其中有5個為重大等級，用戶應儘速升級至149.0.7827.114或149.0.7827.115版修補。值得留意的是，此為Google在一週內第二次發布更新，距離<strong><a href="https://www.ithome.com.tw/news/176455">上次更新</a></strong>只有3天，相當罕見。</p> <p>從漏洞的類型來看，記憶體相關的弱點占多數，其中又以記憶體釋放後再存取使用（Use After Free）有12個最多。未受信任輸入驗證不充分的弱點居次，有5個。</p> <p>這次修補的5個重大漏洞，分別存在於Core、DigitalCredentials、Accessibility、GPU，以及WebMIDI元件，被登記為<strong><a href="https://www.tenable.com/cve/CVE-2026-12007">CVE-2026-12007</a></strong>、<strong><a href="https://www.tenable.com/cve/CVE-2026-12008">CVE-2026-12008</a></strong>、<strong><a href="https://www.tenable.com/cve/CVE-2026-12009">CVE-2026-12009</a></strong>、<strong><a href="https://www.tenable.com/cve/CVE-2026-12010">CVE-2026-12010</a></strong>、<strong><a href="https://www.tenable.com/cve/CVE-2026-12010">CVE-2026-12011</a></strong>，雖然Google沒有透露風險評分，但根據漏洞管理解決方案公司Tenable的資料庫，僅有CVE-2026-12007的CVSS評分為8.8，其餘4個都是達到9.6分的高危險漏洞。</p> <p> </p> </div></div></div>
6/12 09:25作者周峻佑https://www.ithome.com.tw/news/176554
Apple釋出Mac專用容器工具Container 1.0，強化長駐型Linux環境管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Apple釋出Mac用容器工具<strong><a href="https://github.com/apple/container">Container 1.0</a></strong>，該命令列工具以Swift撰寫，可在搭載Apple Silicon晶片的Mac上建立與執行Linux容器。新版加入可保留狀態的Linux環境管理功能，讓開發者能在Mac上保留較固定的容器執行環境，並改善設定、輸出格式與檔案傳輸等日常操作。</p> <p>Container是Apple在WWDC25期間公開的工具，底層使用Apple另一套Swift容器技術套件<strong><a href="https://github.com/apple/containerization">Containerization</a></strong>，處理低階容器、映像檔與程序管理。該工具支援OCI相容容器映像檔，開發者可從標準容器映像檔登錄庫拉取並執行映像檔，也能將建立好的映像檔推送至登錄庫，供其他OCI相容應用程式使用。</p> <p>在Mac上執行Linux容器，通常需要先啟動Linux虛擬機器，再把多個容器放在同一個環境中。Apple的Container專案採取不同做法，會替每個容器建立獨立的輕量虛擬機器，讓容器之間有較清楚的隔離，也只把必要的主機資料提供給對應的容器使用，因此Mac能以較接近原生工具的方式執行Linux容器，同時維持虛擬機器層級的隔離。</p> <p>新版增加容器機器（container machine）功能，讓開發者建立可保留狀態的Linux環境，相較於一般Container執行工作負載時建立的暫時性VM，容器機器保留檔案系統，並可停止後再啟動，適合固定開發環境、測試服務或反覆執行相同工作流程。新版也改用TOML格式設定檔，取代原本透過系統屬性命令管理設定的方式。</p> <p>Apple也整理多項命令輸出，讓容器、映像、網路與儲存空間的查詢結果更容易被自動化工具讀取。新版加入主機與容器之間的檔案複製命令，方便開發者把檔案放進容器，或從容器取回執行結果。</p> <p>Container使用條件有明確限制，需要搭載Apple Silicon的Mac，主要支援目標是macOS 26，因為工具使用該版本新增或強化的虛擬化與網路能力。官方提到，macOS 15雖可執行，但功能受限，包括容器之間無法透過虛擬網路通訊，部分網路命令也不能使用。記憶體管理方面，macOS底層虛擬化機制對動態回收記憶體的支援仍有限，要是長時間執行多個高負載容器，可能需要重新啟動容器來釋放記憶體。</p> </div></div></div>
6/12 09:36作者李建興https://www.ithome.com.tw/news/176551
Waymo推出訂閱會員服務Waymo Premier
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://waymo.com/blog/2026/06/waymo-premier/" target="_blank">自駕計程車業者Waymo周四（6/11）發表全新訂閱會員方案Waymo Premier</a>，鎖定經常使用Waymo自駕叫車服務的重度用戶。目前Premier採邀請制，會員每月支付29.99美元後，即可享有優先派車、搭車回饋、搶先體驗新城市服務及免費取消行程等專屬權益。</p> <p>現階段Premier會員可享有4項主要福利，首先是優先派車，會員可獲得優先車輛配對資格，縮短等待時間；其次是搭車回饋，每趟行程可獲得10%的Waymo Cash回饋，繁忙時段回饋比例還可能進一步提高。此外，會員可在Waymo拓展至新城市時搶先取得使用資格，並享有每月最多5次免費取消行程的彈性。</p> <p>Waymo表示，該方案是根據用戶回饋所設計，希望為最常使用Waymo服務的乘客提供更穩定且具價值的搭乘體驗。Waymo Premier初期將開放給舊金山、洛杉磯及鳳凰城部分受邀用戶使用。Waymo表示，會員資格可跨城市適用，未來隨著服務範圍持續擴張，也將逐步開放給更多支援Waymo App的城市乘客。</p> <p>Waymo現為美國自駕計程車市場商業化程度最高的業者之一，迄今已在舊金山、洛杉磯、鳳凰城、奧斯汀及亞特蘭大等城市提供商業化自駕叫車服務，每周約提供50萬趟付費服務。此次推出訂閱會員方案，也顯示Waymo除了持續擴大營運規模之外，開始嘗試透過會員制度提高用戶黏著度，並建立更穩定的經常性收入來源。</p> </div></div></div>
6/12 10:05作者陳曉莉https://www.ithome.com.tw/news/176555
從ATM到自駕車，ISACA點出為何數位信任企業治理熱門焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>數位信任（Digital Trust）已不再僅是資安防護的附屬品，而是企業維繫營運與品牌價值的核心資產。在2026臺灣資安大會中，ISACA臺灣分會副會長陳政龍特別強調，數位信任的熱度之所以持續攀升，是因為它直接關乎提供者與消費者在數位生態系統中的互動品質。</p> <p>陳政龍首先引用全球知名信任議題專家Rachel Botsman的觀點，指出「信任是對未知建立一種有信心的關係」。他舉例，1967年首臺自動櫃員機（ATM）的問世，解決了非營業時間的提款需求，使大眾對銀行的信任成功轉化為對機器自動化邏輯的信賴；時至今日則有無人自駕車的發展，使用者從最初的疑慮，到觀察機器自動轉彎避障後的放鬆，體現人類對數位科技從未知走向信賴的心理轉變。</p> <p>然而，數位信任的建立雖需長期積累，瓦解卻往往在轉瞬之間。陳政龍透過三個層面的案例，深度解析數位信任的脆弱性：</p> <p>首先，資安業者CrowdStrike在2024年因產品更新疏忽，引發全球大規模IT故障，這起事件突顯供應鏈信任關係的脆弱；其次，英國工程顧問公司Arup的香港子公司遭遇Deepfake視訊會議詐騙，會計人員在會議中見到的公司主管與聽到的聲音皆與真人無異，最終導致兩億港幣的巨額損失，這顯示當視覺與聽覺皆能被完美模擬時，遠端身分的信任根基已然動搖。</p> <p>最後則是北捷導入AI客服系統的案例，該系統遭網友刻意引導，轉而利用其運算資源撰寫程式，甚至以安全理由騙過基本控制。這類AI客服系統偏離原用途的狀況反映出，在推動AI轉型時，治理與控制必須與功能開發同步進行，否則技術帶來的便利，隨時可能轉化為數位信任的危機。</p> <p style="margin: 0px;">陳政龍強調，上述案例皆顯示技術帶來的便利，隨時可能演變為數位信任的危機，躍升為企業營運中不可忽視的核心風險。在AI與數位化浪潮的驅動下，傳統的「安全防護」僅是基礎，建立「數位信任」才是真正的競爭力所在。他舉例，ISACA近年提出<a href="https://www.ithome.com.tw/news/176548">「數位信任生態系框架」（Digital Trust Ecosystem Framework，DTEF）</a>，也是聚焦數位信任而來，期望透過系統化的治理架構，幫助企業組織重新思考數位信任架構下的治理思維。</p> <p style="margin: 0px;"> </p> </div></div></div>
6/12 10:06作者羅正漢https://www.ithome.com.tw/news/176552
【臺灣資安大會直擊】當數位信任躍升企業戰略核心，國際電腦稽核協會推動以DTEF框架落實韌性與企業治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著數位科技深度滲透社會，數位信任已成為企業維繫營運與競爭力的重要條件。國際電腦稽核協會（ISACA）臺灣分會副會長陳政龍在2026臺灣資安大會，針對管理階層如何促進數位信任進行深度剖析，並介紹ISACA近年推動的「數位信任生態系框架」（Digital Trust Ecosystem Framework，DTEF），帶領產業重新思考數位信任架構下的治理思維。</p> <h3><strong>促進數位信任，管理階層可優先掌握五大原則</strong></h3> <p>數位信任已成當代社會的基石，陳政龍強調，在未來的企業營運中，使用者的信任將成為最重要的核心資產。對於企業董事會與管理高層而言，這將是不容輕忽的核心課題。</p> <p>何謂數位信任？陳政龍指出，就是在數位生態系統中，提供者與消費者之間對於彼此關係、互動與交易完整性的信心，這將涵蓋人員、組織、流程、資訊與技術等面向。而要建構一個可信賴的生態系統，從消費者角度來看，主要考量六大因素：品質、安全與隱私、可靠性、道德和誠信、透明與正直，以及信心。</p> <p>因此，對於治理機構的高階管理層而言，促進數位信任需要重視的層面不少，除了財務成本與風險控管，更需考量如何透過信任增強顧客關係、強化商譽與品牌忠誠度，即使發生負面事件，若企業處理得當並展現透明度，依然能維持甚至提升信任。而且，企業內部還要優化業務流程，強化安全性與合規落實，縮短事件反應時間，並且持續學習與成長。</p> <p>如何實踐是企業組織關注的重點，陳政龍指出，數位信任的關鍵在於「組織文化的形塑」與「確保合適的工具已啟用」，而非單純的技術問題。他將數位信任的五大原則歸納為兩大層面：首先，董事會應承擔「系統化思維、風險治理、認知意識」三大職責，致力於將數位信任融入現有的隱私與資安框架，避免疊床架屋；其次，董事會則期望管理階層採用「適切的框架」與落實「風險管理」，以確保治理方針能有效轉化為執行力。</p> <p><a href="/sites/default/files/images/（圖2）ISACA數位信任DTEF框架_ISACA台灣分會副會長陳政龍.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89ISACA%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BBDTEF%E6%A1%86%E6%9E%B6_ISACA%E5%8F%B0%E7%81%A3%E5%88%86%E6%9C%83%E5%89%AF%E6%9C%83%E9%95%B7%E9%99%B3%E6%94%BF%E9%BE%8D.jpg" style="width: 600px;" /></a></p> <h3><strong>解析DTEF框架，從4大節點6大領域出發</strong></h3> <p>為了落實董事會對「適切框架」的期望，ISACA提出的DTEF框架成為企業建構數位信任的重要指南，且其設計強調與現有框架結合使用，以避免框架過載的管理負擔。</p> <p>在深入應用DTEF之前，陳政龍強調，企業必須先釐清四個重要觀念：（一）DTEF的建構具有整體性，任何環節的異動都可能影響其他部分；（二）DTEF是基於組織特定的價值觀、使命、願景及目標而設定，因此企業不應直接複製套用；（三）將數位信任定位為企業級議題，不應僅將其視為IT、資安或隱私議題，而應是整個企業關注的核心；（四）深入了解業務背景，並明確界定數位信任的重要性與能見度。</p> <p>究竟DTEF框架的模型架構為何？根據陳政龍展示的框架圖示，我們可以看出該框架是如何將抽象的信任概念，轉化為具體的運作邏輯。</p> <p><a href="/sites/default/files/images/（圖3）ISACA數位信任DTEF框架_ISACA台灣分會副會長陳政龍.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89ISACA%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BBDTEF%E6%A1%86%E6%9E%B6_ISACA%E5%8F%B0%E7%81%A3%E5%88%86%E6%9C%83%E5%89%AF%E6%9C%83%E9%95%B7%E9%99%B3%E6%94%BF%E9%BE%8D.jpg" style="width: 600px;" /></a></p> <p>具體而言，DTEF模型是由四大節點構成核心，涵蓋人員、流程、技術、組織，並由六大領域作為節點之間的連結，包括文化、新興態勢、賦能與支援、人為因素、指導與監督、架構。</p> <p>為了讓框架能精準落地，DTEF拆解出具備操作性的層級體系，涵蓋領域（Domain）、信任因素（Trust Factor）、實踐（Practice）、活動（Activity）與成果（Outcome）。陳政龍對此說明，IT技術與設備只是DTEF層級中最根本的節點，接下來要做的事情還很多，要透過領域的界定與信任因素的納入，經過實踐與驗證後，才能產出成果。</p> <p><a href="/sites/default/files/images/（圖7）ISACA數位信任DTEF框架_ISACA台灣分會副會長陳政龍.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89ISACA%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BBDTEF%E6%A1%86%E6%9E%B6_ISACA%E5%8F%B0%E7%81%A3%E5%88%86%E6%9C%83%E5%89%AF%E6%9C%83%E9%95%B7%E9%99%B3%E6%94%BF%E9%BE%8D.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/（圖4）ISACA數位信任DTEF框架_ISACA台灣分會副會長陳政龍.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89ISACA%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BBDTEF%E6%A1%86%E6%9E%B6_ISACA%E5%8F%B0%E7%81%A3%E5%88%86%E6%9C%83%E5%89%AF%E6%9C%83%E9%95%B7%E9%99%B3%E6%94%BF%E9%BE%8D.jpg" style="width: 600px;" /></a></p> <p>此外，陳政龍亦點出「文化」在信任治理中的關鍵地位，並藉此說明DTEF提供的實體層級控制項極為精細。他以「CU.01.01識別和評估文化」為例，當中將進一步細分一般性控制、關鍵績效指標（KPI）、關鍵風險指標（KRI）以及與其他領域的關聯，確保管理動作能精準對接組織現況。</p> <p>至於框架實施方面，DTEF採行五大階段的循環運作模式：從瞭解業務環境、瞭解數位環境開始，進而制定數位信任策略，以及計畫並實施數位信任，最後則是監控、衡量與改善。</p> <p>面對當前的AI浪潮，陳政龍還提到，可運用DTEF框架來實現值得信賴的AI，將AI的設計、開發與部署流程與DTEF框架結合，並納入AI風險登錄，協助組織以全面性的方式來規畫AI專案。</p> <p><a href="/sites/default/files/images/（圖6）ISACA數位信任DTEF框架_ISACA台灣分會副會長陳政龍.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89ISACA%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BBDTEF%E6%A1%86%E6%9E%B6_ISACA%E5%8F%B0%E7%81%A3%E5%88%86%E6%9C%83%E5%89%AF%E6%9C%83%E9%95%B7%E9%99%B3%E6%94%BF%E9%BE%8D.jpg" style="width: 600px;" /></a></p> <p>在描繪DTEF框架的樣貌之餘，陳政龍亦強調，韌性是DTEF框架中的核心原則之一，在遭遇資安攻擊、資料外洩、系統故障等重大干擾時，組織必須具備快速恢復與持續運作的能力，甚至在危機中強化自身競爭力。</p> <p>透過DTEF可協助組織預先規畫「最壞情境」，導入一套系統化的回應機制與復原實務，讓組織不僅能快速修復損害，更能持續進化、強化對未來威脅的抵抗力。</p> <p> </p> </div></div></div>
6/12 10:09作者羅正漢https://www.ithome.com.tw/news/176548
對抗AI用電飆升，歐盟有意為資料中心設立能源效率門檻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著生成式AI與雲端服務快速擴張，資料中心過去被視為「數位基礎設施」，但是隨著資料中心耗用資源的增加，已逐漸升級為歐盟能源與氣候政策的關注的焦點。</p> <p><a href="https://www.reuters.com/sustainability/eu-proposes-energy-standards-data-centers-2026-06-04/?utm_source=chatgpt.com" target="_blank">根據路透社報導</a>，歐盟執委會近日提出新一輪的政策草案，有意為資料中心建立最低能源效率標準，並同步推動「永續標籤制度」，要求業者揭露用電效率、水資源使用與再生能源占比等指標，以提升透明度並降低環境衝擊。</p> <h3 dir="ltr" style="line-height:1.38;margin-top:14pt;margin-bottom:4pt;"><span style="font-size:18px;"><span style="color:#B22222;"><strong><span id="docs-internal-guid-4a751737-7fff-deed-5a5c-3069eafa4ed3"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">AI驅動用電飆升，資料中心成能源壓力來源</span></span></strong></span></span></h3> <p>歐盟此舉的背景，來自資料中心用電需求的快速上升。根據歐盟執委會與路透社引述的數據，歐盟資料中心總容量預計將在2030年前從約12GW倍增至28GW，使其在整體電力消耗中的占比顯著上升。同時，全球AI與雲端運算需求被視為主要驅動力，預估在已開發經濟體中，資料中心將貢獻約兩成的新增電力需求。</p> <p>這樣的成長，使資料中心不再只是IT議題，或是企業ESG治理層面，而是直接牽動整體的電網負載、再生能源調度與碳排放路徑的能源問題。</p> <h3 dir="ltr" style="line-height:1.38;margin-top:14pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:18px;"><span id="docs-internal-guid-4a751737-7fff-deed-5a5c-3069eafa4ed3"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">歐盟政策背景：從氣候目標走向「數位基礎設施治理」</span></span></span></span></h3> <p>這項新的政策草案並非單一措施，而是歐盟既有能源轉型與推動數位主權戰略的延伸。</p> <p>歐盟長期以來就透過「能源效率指令」（Energy Efficiency Directive）與「歐洲綠色政綱」推動減碳目標，承諾2030年前相較1990年減排至少55%。資料中心被納入監管範圍，代表數位基礎設施正式成為能源政策的一部分。</p> <p>此外，歐盟近年也推動資料中心「統一評級與資料庫制度」，希望建立跨越多個成員國家的一致能耗評估方式，讓政府與企業能比較不同資料中心的能源效率表現，並引導採購與投資流向更永續的設施。</p> <h3 dir="ltr" style="line-height:1.38;margin-top:14pt;margin-bottom:4pt;"><span style="font-size:18px;"><span style="color:#B22222;"><strong><span id="docs-internal-guid-4a751737-7fff-deed-5a5c-3069eafa4ed3"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">從「透明揭露」走向「強制標準」</span></span></strong></span></span></h3> <p>與過去偏向自願揭露不同，此次草案的關鍵變化在於，歐盟開始評估導入最低性能標準（minimum performance standards），未來可能適用於新建與既有的資料中心。</p> <p>同時，歐盟也規劃建立永續標籤制度，涵蓋能源使用效率（PUE等指標）、再生能源使用比例、水資源消耗（特別是冷卻用水）、與電網整合效率。</p> <p>不過，目前的相關政策仍存在爭議，例如如何認定使用核能供電的資料中心是否屬於「低碳」範疇，目前仍在內部討論中，導致部分制度延後定案。</p> <p>歐盟試圖在兩種壓力間找到平衡，一方面，歐盟希望擴大AI與雲端產業能量，降低對美國大型雲端服務商的依賴；另一方面，資料中心擴張又可能推升電價、壓迫電網並增加碳排放，削弱能源轉型成果。透過這項政策，歐盟嘗試建立一個「可擴張但受控」的數位基礎設施框架，一方面允許AI基礎建設成長，另方面又透過效率標準與透明揭露，將能源與環境成本內部化。</p> </div></div></div>
6/11 18:06作者蘇文彬https://www.ithome.com.tw/news/176550
【資安日報】6月11日，Exchange Online傳出可被用於欺騙的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176535"><strong style="font-size: 22px;">研究人員揭露Exchange Online資安漏洞Ghost-Sender，攻擊者能偽造任意電子郵件地址</strong></a></p> <p>6月9日資安公司InfoGuard針對Exchange Online用戶提出警告，他們發現名為Ghost-Sender的資安漏洞，Exchange Online或採用混合模式部署的Exchange郵件系統，只要搭配第三方的郵件伺服器防護措施或垃圾信過濾機制，而使得Exchange Online與外部的MX紀錄整合，攻擊者就有機會對目標租戶發動詐欺攻擊，以任意寄件人的名義，發送信件給任何收件者，將其用於網釣活動，值得留意的是，這項問題似乎已出現遭到積極利用的跡象，但目前微軟尚未修補。</p> <p><a href="https://www.ithome.com.tw/news/176530"><strong style="font-size: 22px;">微軟修補已遭利用的Exchange Server零時差漏洞</strong></a></p> <p>5月14日微軟揭露Exchange Server重大漏洞CVE-2026-42897，並指出已遭到利用，6月9日微軟更新公告內容，呼籲用戶儘速安裝Exchange的2026年6月安全更新來防範漏洞。CVE-2026-42897為欺騙（Spoofing）類型的弱點，攻擊者可藉此發送特製的電子郵件給用戶，一旦使用者透過Outlook Web Access開啟並執行特定的互動，攻擊者就有機會經由瀏覽器執行任意JavaScript指令碼，CVSS風險評為8.1分。</p> <p><a href="https://www.ithome.com.tw/news/176534"><strong style="font-size: 22px;">ServiceNow安全缺陷遭濫用，攻擊者查詢部分客戶執行個體資料</strong></a></p> <p>企業雲端工作流程平臺業者ServiceNow傳出安全事件。資安新聞媒體Bleeping Computer於6月9日報導，ServiceNow已通知受影響客戶，攻擊者濫用一項安全漏洞，可讓未經身分驗證的使用者在特定情況下，取得超出範圍的ServiceNow執行個體存取權限，並透過組態不良的API端點，查詢部分客戶執行個體的資料表。根據Reddit使用者轉貼的ServiceNow客戶支援公告內容，該公司已於6月5日對代管客戶執行個體套用安全更新。</p> <p><a href="https://www.ithome.com.tw/news/176529"><strong style="font-size: 22px;">ShinyHunters宣稱駭入上百家Oracle PeopleSoft伺服器</strong></a></p> <p>根據資安新聞媒體Bleeping Computer報導，勒索軟體駭客組織ShinyHunters近日利用漏洞，駭入上百家組織的Oracle PeopleSoft伺服器，包括至少一家英國知名大學。該組織在這波行動中，成功存取了100多家組織、300多個PeopleSoft執行個體，大部份是教育機構。駭客表示，他們是結合軟體的舊漏洞及先前未知的零時差漏洞展開攻擊，其中一家受害學校是英國諾丁罕大學，該組織於網站上宣稱，已竊得該校員工、學生、與校友資料共40 GB。</p> <p><a href="https://www.ithome.com.tw/news/176528"><strong style="font-size: 22px;">Adobe發布6月例行更新，呼籲用戶優先修補ColdFusion與Campaign Classic</strong></a></p> <p>6月9日Adobe發布本月例行更新，為旗下11款應用系統提供修補程式，總共修補123個資安漏洞。值得留意的是，該公司將企業行銷自動化與客戶關係管理（CRM）平臺Campaign Classic、網頁應用程式開發平臺ColdFusion的修補優先順序列為第一級，呼籲用戶必須特別優先處理。從漏洞的嚴重程度而言，這次Adobe為Campaign Classic修補兩個CVSS風險皆達到10分滿分的重大漏洞CVE-2026-48303、CVE-2026-47938，而受到高度關注。</p> <p><a href="https://www.ithome.com.tw/news/176531"><strong style="font-size: 22px;">Ivanti修補安全閘道Sentry重大漏洞，可讓攻擊者以root權限執行程式碼</strong></a></p> <p>企業軟體與資安設備業者Ivanti於6月9日發布安全公告，修補Ivanti Sentry兩項重大風險等級漏洞，分別為CVE-2026-10520與CVE-2026-10523。其中，CVE-2026-10520是作業系統命令注入漏洞，CVSS風險分數為10.0分，攻擊者可在未經驗證的情況下遠端利用此漏洞，以root權限執行程式碼。另一項CVE-2026-10523是身分驗證繞過漏洞，CVSS風險分數為9.9分，可能讓未通過身分驗證的攻擊者遠端建立任意管理員帳號，進而取得完整管理員權限。</p> <p><a href="https://www.ithome.com.tw/news/176532"><strong style="font-size: 22px;">Fortinet修補沙箱系統指令注入漏洞</strong></a></p> <p>Fortinet本週發布安全更新，修補FortiSandbox雲端及本地部署3個版本的重大指令注入漏洞CVE-2026-25089。此為FortiSandbox產品的OS指令注入漏洞，CVSS風險值達9.1，源於Web介面的start vnc功能在處理輸入的JSON指令時，未進行適當的特殊字元過濾與中性化（Neutralization）。這讓攻擊者得以傳送變造的HTTP請求，透過輸入欄位傳送惡意OS命令，進而在Fortinet系統上未授權執行。</p> <p><a href="https://www.ithome.com.tw/news/176521"><strong style="font-size: 22px;">Mozilla發布Firefox 151.0.3版更新，修補文字顯示與JavaScript引擎漏洞</strong></a></p> <p>Mozilla近日發布Firefox瀏覽器的資安公告，揭露兩項涉及文字顯示元件與JavaScript引擎的漏洞，並提供已修補完成的151.0.3版，其中第一項漏洞是CVE-2026-10701，CVSS嚴重性評分達7.5分，問題源自負責文字顯示的Graphics: Text元件，存在邊界條件（Boundary Conditions）處理不當問題。第二項漏洞是CVE-2026-10702，CVSS嚴重性評分為4.3分，為JavaScript引擎JIT元件的錯誤編譯（Miscompilation）問題。</p> <p><a href="https://www.ithome.com.tw/news/176538"><strong style="font-size: 22px;">OpenSSL修補高風險漏洞，研究人員在AI協助下發現可導致遠端程式碼執行問題</strong></a></p> <p>OpenSSL專案日前發布資安公告，修補18項漏洞，值得注意的是，其中1項高風險漏洞CVE-2026-45447，是研究人員在Anthropic的Claude AI協助下發現，顯示AI已成為漏洞研究與程式碼分析的重要工具，此外，Anthropic公司人員也參與另外7項漏洞的發現與通報。CVE-2026-45447的CVSS嚴重性評分達8.8分，存在於PKCS#7簽章驗證流程，可能導致記憶體已釋放卻仍被使用（UAF）問題，在特定情況下甚至可能導致遠端程式碼執行。</p> <p><a href="https://www.ithome.com.tw/news/176537"><strong style="font-size: 22px;">Linux核心再傳nftables本機權限提升漏洞CVE-2026-23111，攻擊者可升級為root並突破容器</strong></a></p> <p><a href="/sites/default/files/images/2nd-image-scaled-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/2nd-image-scaled-63.jpg" style="width: 300px; float: right;" /></a></p> <p>威脅情報公司Exodus Intelligence近日透露，他們於2025年初發現資安漏洞CVE-2026-23111，此弱點存在於Linux核心的nftables子系統，漏洞存在於nftables的nft_map_catchall_activate()功能函式，由於條件判斷中多出一個驚嘆號（!），由於驚嘆號會翻轉程式碼處理的邏輯，導致核心在處理交易終止（abort）時錯誤地跳過部分必要程序，相關鏈結（chain）的參考計數持續下降。一旦計數歸零，系統可能釋放仍被其他物件引用的記憶體區域，進而產生記憶體釋放後再存取利用（Use After Free）的現象，Linux開發團隊獲報後於2月5日完成修補。</p> <p><a href="https://www.ithome.com.tw/news/176533"><strong style="font-size: 22px;">西門子6月工控安全公告揭露影響多款產品的OpenSSL重大漏洞</strong></a></p> <p>工控系統業者西門子（Siemens）於6月9日發布安全公告，說明OpenSSL重大風險漏洞CVE-2025-15467對多款產品的影響，並已針對部分產品提供修補版本。此漏洞發生於OpenSSL解析帶有惡意AEAD參數的CMS AuthEnvelopedData訊息時，可能觸發堆疊緩衝區溢位，導致應用程式崩潰進而造成阻斷服務，或在特定情境下造成遠端程式碼執行，CVSS v3.1風險分數為9.8分，屬重大風險等級。</p> <p><a href="https://www.ithome.com.tw/news/176527"><strong style="font-size: 22px;">CISA警告Chrome與思科SD-WAN零時差漏洞被用於攻擊活動</strong></a></p> <p>6月9日美國網路安全與基礎設施安全局（CISA）提出警告，他們掌握3個資安漏洞遭到積極利用的證據，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構於6月23日完成修補。其中一個是思科上週揭露的CVE-2026-20245，此漏洞存在於Catalyst SD-WAN Manager，為輸出不當編碼或逃逸漏洞，CVSS風險評為7.8分；另一個漏洞是CVE-2026-11645，存在於Chrome的JavaScript引擎V8，為記憶體越界讀取與寫入漏洞，CVSS風險為8.8分。</p> <p><a href="https://www.ithome.com.tw/news/176541"><strong style="font-size: 22px;">俄羅斯駭客利用WinRAR已知漏洞對烏克蘭發動攻擊</strong></a></p> <p><a href="/sites/default/files/images/CVE-2025-8088-fig2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/CVE-2025-8088-fig2-63.jpg" style="width: 300px; float: right;" /></a></p> <p>趨勢科技近期發現有兩個俄羅斯駭客組織開始利用CVE-2025-8088，其中一個是Gamaredon（UAC-0010、Shuckworm、Earth Dahu），他們利用此漏洞向使用者傳遞惡意HTA檔，但也有在電腦啟動資料夾寫入VBS、VBE檔，藉此從特定Cloudflare Tunnel截取惡意HTA檔並執行的情況，這些駭客利用此漏洞的活動，至少可追溯到2025年9月。另一個駭客組織是UAC-0226（Shadow-Earth-066），他們自今年2月開始，透過此漏洞散布竊資軟體GiftedCrook。這些駭客的漏洞利用活動，至少延續至今年4月。</p> <p><a href="https://www.ithome.com.tw/news/176536"><strong style="font-size: 22px;">美國CISA改漏洞管理規則，最高風險漏洞3天內須修補</strong></a></p> <p><a href="/sites/default/files/images/BOD_26-04_Graphic_Remediation_Timelines-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/BOD_26-04_Graphic_Remediation_Timelines-63.jpg" style="width: 300px; float: right;" /></a></p> <p>美國網路安全與基礎設施安全局（CISA）於6月10日，發布新版強制營運指令BOD 26-04，要求聯邦文職機關改採風險導向漏洞管理制度；未來最高風險漏洞必須在3天內採取因應措施，包括完成修補、停用或移除，較以往動輒數週的修補期限大幅縮短，以因應AI加速漏洞攻擊所帶來的新威脅。過去美國聯邦漏洞管理主要分成兩套規則：對外公開系統依漏洞嚴重度評分（CVSS）決定修補期限，已遭實際利用的漏洞（KEV）則由CISA個別設定修補期限，BOD 26-04整合兩者，以實際攻擊風險決定優先順序。</p> <p><a href="https://www.ithome.com.tw/news/176519"><strong style="font-size: 22px;">套件管理器NPM 12收緊安裝預設行為，相依腳本、Git與遠端網址來源將需明確允許</strong></a></p> <p>GitHub旗下套件管理器NPM團隊宣布，下一個主要版本NPM v12將調整NPM install預設安裝行為，把部分目前會自動執行或自動解析的動作，改為必須明確允許。該變更預估在2026年7月推出，主要影響相依套件的安裝腳本、Git來源相依，以及透過遠端網址取得的套件封裝檔。NPM 12預設行為從自動執行或解析改為明確授權，將使專案在升級前需要重新檢視相依來源與安裝流程，特別是仍相依Git套件、遠端網址套件，或安裝期間需執行編譯動作的專案。</p> <p><a href="https://www.ithome.com.tw/news/176463"><strong style="font-size: 22px;">Anthropic警告AI可在數小時內打造漏洞攻擊程式</strong></a></p> <p>AI新創Anthropic本週發表研究報告Measuring LLMs' impact on N-day exploits，指出大型語言模型（LLM）已大幅縮短已知漏洞（N-day）的武器化時間，其最新模型Claude Mythos Preview已可在數小時內自主分析修補程式、找出漏洞成因，並開發出可實際運作的漏洞攻擊程式。Anthropic指出，過去N-day漏洞利用開發最大的限制在於逆向工程專業人才稀缺，但AI正快速消除這項瓶頸，漏洞修補資訊公開後數小時內就可能被武器化。</p> <p><a href="https://www.ithome.com.tw/news/176510"><strong style="font-size: 22px;">歐盟網路韌性法案9月啟動漏洞與資安事件通報義務，Linux基金會示警全球軟體生態系準備不足</strong></a></p> <p>Linux基金會研究部門（Linux Foundation Research）與開放原始碼安全基金會（OpenSSF）近日發布報告指出，全球軟體與開放原始碼生態系對歐盟網路韌性法案（Cyber Resilience Act，CRA）的認知與準備仍明顯不足。這項調查於2026年初進行，共有843名來自歐洲、北美、亞太等地區的軟體產業與開放原始碼相關人員參與。結果顯示，有66%受訪者表示不熟悉CRA。在製造商準備程度方面，僅32%製造商已經對所有產品建立軟體物料清單（SBOM）。</p> <p><a href="https://www.ithome.com.tw/news/176540"><strong style="font-size: 22px;">加拿大提出社群媒體安全法案，首度將AI聊天機器人納管</strong></a></p> <p>加拿大政府於6月10日提出安全社交媒體法（Safe Social Media Act），最受到關注的部分在於，打算禁止16歲以下青少年使用社交媒體，但與其他國家已成立相關法案有所不同的地方是，加拿大首度將AI聊天機器人納入同一套數位安全監管框架。該法案要求，業者必須設立數位安全委員會，並降低聊天機器人傳播有害內容或出現有害行為的風險，並在使用者表達自殘或傷害他人意圖等危機情境時，公開說明其通報與處理門檻。</p> <p><a href="https://www.ithome.com.tw/news/176514"><strong style="font-size: 22px;">主打區域數位主權，歐盟版Office上線</strong></a></p> <p>6月9日歐盟版生產力軟體Office EU公布網頁版，提供類似Microsoft 365及Google Workspace的生產力軟體套件，目前僅接受非營利組織或中小企業申請邀請碼加入使用。就本質而言，Office EU強調歐洲數位主權概念，技術完全自主且資訊不受控外國政府。Office EU由歐盟IT業者及開源專案組織聯合開發，並代管於歐洲的資料中心，強調不受外國政府監控。而且，其核心100%為開源，且較傳統開源生產力套件更能相容Microsoft 365或Google Workspace。</p> <p><a href="https://www.ithome.com.tw/news/176473"><strong style="font-size: 22px;">歐盟科技自主權向前走，加速發展歐洲半導體、AI、雲端產業</strong></a></p> <p>歐盟執委會（European Commission）近期提出歐洲科技主權方案（European Technological Sovereignty Package），以半導體、人工智慧（AI）、雲端運算與開源軟體為核心，整合政策與法案，以強化歐洲數位自主能力，降低關鍵技術對外部供應商的依賴。該方案涵蓋《晶片法案2.0》、《雲端與AI發展法案》、《開源策略》，以及《能源領域數位化與AI戰略路線圖》等多項政策工具。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176520"><strong>【6月10日】Anthropic推出具有Mythos能力的Claude Fable 5</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176470"><strong>【6月9日】Check Point VPN零時差漏洞被用於勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176439"><strong>【6月8日】趨勢科技成首家加入Anthropic Project Glasswing的臺灣資安公司</strong></a></p> </div></div></div>
6/11 15:17作者周峻佑https://www.ithome.com.tw/news/176543
Anthropic調整Mythos級模型資料留存政策，提示詞與輸出將保留30天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://support.claude.com/en/articles/15425996-data-retention-practices-for-mythos-class-models">Anthropic調整包括Claude Mythos 5與Claude Fable 5模型的資料留存政策</a></strong>，基於其信任與安全目的，保留使用者提交給這類模型的提示詞與模型輸出30天。該政策已於2026年6月9日起生效，主要影響原本採用零資料留存（Zero Data Retention，ZDR）的企業與雲端服務客戶；其他模型與未採用ZDR的使用情境，則維持既有條款。</p> <p>該資料留存政策適用於Claude Mythos 5、Claude Fable 5，以及之後由Anthropic指定，具備類似能力的模型。Anthropic表示，Claude Mythos 5模型能力大幅提高，部分能力可能同時被用於正當用途與惡意用途。Claude Fable 5則與Claude Mythos 5使用相同底層模型，但在網路安全與生物領域加入額外防護，以便讓模型供更廣泛場景使用。</p> <p>Anthropic解釋，部分濫用行為無法只從單一次請求判斷，必須跨多次提示詞與輸出觀察模式，例如Best-of-N越獄攻擊會送出大量微調後的提示詞，尋找可能繞過限制的版本。而規模更大的濫用，包括由國家支持的間諜活動或資料勒索活動，也可能需要安全防護分類器從多次請求中比對行為脈絡。因此，Anthropic暫時留存相關資料，以便把多次互動放在一起分析。</p> <p>該變更不影響Claude Free、Pro與Max等一般消費者方案，Anthropic表示，這些服務原本就會為安全目的保留輸入與輸出。受影響的是已在Claude Console設定ZDR工作區，還有在Claude Enterprise以ZDR使用Claude Code，以及透過AWS Bedrock、Google Cloud Agent Platform與Microsoft Foundry等雲端平臺以ZDR存取Claude的組織。</p> <p>Anthropic強調，員工不能任意存取使用者對話，除非內容被標記為可能造成嚴重危害，或客戶提出書面要求。相關審查只能由少數核准人員透過受控工具執行，工具會限制匯出、複製或下載，所有存取也會記錄在審查人員無法修改的稽核紀錄中。資料原則上會在30天後自動刪除，但若涉及安全調查或法律要求，可能例外保存。</p> <p>外媒<strong><a href="https://www.theverge.com/report/947575/microsoft-claude-fable-5-restricted-internally">The Verge報導指出</a></strong>，微軟因Anthropic新的資料留存政策，已限制員工在內部GitHub Copilot模型選單使用Claude Fable 5。報導稱，微軟仍向GitHub Copilot與Foundry客戶提供Claude Fable 5，但公司法務團隊顧慮客戶資料與機密資訊，正在評估相關資料政策。</p> </div></div></div>
6/11 16:33作者李建興https://www.ithome.com.tw/news/176545
俄羅斯駭客利用WinRAR已知漏洞對烏克蘭發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年7月，<strong><a href="https://www.ithome.com.tw/news/170567">軟體開發業者Rarlab修補WinRAR路徑遍歷漏洞CVE-2025-8088</a></strong>，由於WinRAR並未提供自動更新機制，許多用戶並未手動升級新版而暴險，迄今已有多個俄羅斯與中國國家級駭客加入漏洞利用行列，如今有資安公司警告，有兩個俄羅斯駭客將其用於攻擊烏克蘭政府機軍事單位。</p> <p>趨勢科技近期發現<strong><a href="https://www.trendmicro.com/en_us/research/26/f/old-winrar-flaw-fuels-attacks-on-ukraine.html">有兩個俄羅斯駭客組織開始利用CVE-2025-8088</a></strong>，其中一個是Gamaredon（UAC-0010、Shuckworm、Earth Dahu），他們利用此漏洞向使用者傳遞惡意HTA檔，但也有在電腦啟動資料夾寫入VBS、VBE檔，藉此從特定Cloudflare Tunnel截取惡意HTA檔並執行的情況，這些駭客利用此漏洞的活動，至少可追溯到2025年9月。另一個駭客組織是UAC-0226（Shadow-Earth-066），他們自今年2月開始，透過此漏洞散布竊資軟體GiftedCrook。這些駭客的漏洞利用活動，至少延續至今年4月。</p> </div></div></div>
6/11 14:32作者周峻佑https://www.ithome.com.tw/news/176541
華納音樂買下Sureel，強化AI時代音樂版權追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.prnewswire.com/news-releases/warner-music-group-acquires-sureel-ai-302796705.html" target="_blank">華納音樂集團（Warner Music Group，WMG）周三（6/10）宣布收購AI版權追蹤新創Sureel</a>，藉由Sureel的AI DNA技術追蹤歌曲及藝人聲音、肖像等內容如何被用於AI模型訓練及生成內容，強化AI時代的音樂版權管理、權利歸屬與收益分配能力。</p> <p>Sureel成立於2022年，專注於AI內容歸因（Attribution）與版權追蹤技術。該公司開發的專利技術可為音樂作品建立所謂的AI DNA，將歌曲拆解為不同組成元素，追蹤這些內容如何被AI模型用於訓練或生成新作品，並提供版權來源追溯、稽核報告、法規遵循及AI商業情報等服務。</p> <p>隨後Sureel也將技術擴展至姓名、肖像與形象（Name, Image and Likeness，NIL）管理領域，可追蹤藝人的聲音、外貌與表演風格在AI訓練及生成內容中的使用情況。該公司長期主張AI產業應建立獨立的第三方歸因機制，讓創作者能掌握作品使用情況並分享AI創造的收益。</p> <p>相較於其它唱片業者，華納近年已由早期對生成式AI音樂的法律訴訟，逐步轉向授權與收益分配模式，主張透過作品歸因與授權機制，讓創作者分享AI帶來的新收入來源。</p> <p>華納音樂執行長Robert Kyncl表示，AI正在為音樂產業帶來新的商業模式與粉絲互動機會，因此創作者對作品、聲音與形象的控制權也變得更加重要。華納音樂希望透過Sureel的技術，提升對智慧財產權及藝人身分資產的追蹤與管理能力，讓創作者在AI時代仍能掌握自身權益。</p> <p>不過，<a href="https://www.billboard.com/pro/warner-music-group-acquires-sureel-ai/" target="_blank">Billboard指出</a>，AI歸因目前仍是業界高度爭議的技術領域。支持者認為，若能準確追蹤AI模型使用哪些作品進行訓練或生成內容，未來有機會建立依使用量分配收益的授權機制；但也有研究人員質疑，在數以千萬計作品共同參與訓練的情況下，是否真能精確判定單一作品對模型輸出的實際貢獻。</p> <p>雙方並未揭露交易金額，收購後Sureel仍將維持獨立平臺形式營運，服務音樂與AI產業生態系。</p> </div></div></div>
6/11 15:18作者陳曉莉https://www.ithome.com.tw/news/176544
OpenAI、Visa合作共推AI代理人安全支付技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://corporate.visa.com/en/sites/visa-perspectives/innovation/visa-openai-partnership.html" target="_blank">國際支付卡組織Visa宣布與OpenAI合作</a>，將把其支付網路及安全、身分驗證技術整合到OpenAI ChatGPT使用體驗中，以實現消費者及企業AI代理式支付的安全及流暢性。雙方也計畫將支付安全機制整合到開發或業務流程中。</p> <p>這項合作讓開發人員或店家得以接受由AI代理人啟動的Visa支付。而Visa將提供底層全球支付網路、支付憑證記號化（tokenization）、授權、代理人識別及風險管理基礎架構以確保交易安全性。</p> <p><a href="https://investor.visa.com/news/news-details/2026/Visa-Partners-with-OpenAI-to-Power-the-Next-Generation-of-AI-Commerce/default.aspx" target="_blank">Visa說明</a>，雙方提供的代理人交易將在明確的護欄、政策與控制下進行，包括使用者核准、支付上限、商家類別、必要取得許可的門檻，以及其他核准規定。所有交易都會使用經記號化處理的Visa憑證、即時授權，並經過詐欺監控，以提供交易安全及消費者保障。</p> <p>Visa主管表示，透過整合OpenAI和Visa將使消費者支付像Apple Pay支付一樣簡單。</p> <p>雙方並表示，這項技術合作可為企業及開發商開闢新的應用型態。除了B2C代理人商務外，OpenAI和Visa計畫探索在OpenAI Codex使用經驗以及對話式業務工作流（workflow）中嵌入支付原始型別（primitives）以及可信任的代理人身分訊號，以協助未來開發及作業過程的代理人自動化作業。這套代理人支付基礎架構未來甚至可以推向持卡人權益、頂級消費者、和小企業信用產品，以及其他從OpenAI平臺衍生的使用場景。</p> <p>不過雙方都未提供明確的推出時程，以及確切的使用介面。</p> <p><a href="https://www.ithome.com.tw/news/171432" target="_blank">OpenAI去年公布</a>ChatGPT服務購買商品及即時結帳（Instant Checkout）服務，讓使用者可透過代理人向Etsy、Walmart或Shopify下單購物。<a href="https://www.cnbc.com/2026/03/24/openai-revamps-shopping-experience-in-chatgpt-after-instant-checkout.html" target="_blank">但CNBC報導</a>，該功能因無法和店家原有結帳系統整合，未能吸引商家加入。</p> <p>各AI業者及雲端平臺公司都在嘗試推出自有代理支付技術以搶佔關鍵位置，包括Stripe與Tempo也共推MPP（Machine Payments Protocol）協定、OpenAI開源代理商務協議（Agentic Commerce Protocol，ACP）。Google則有代理人支付協定（Agent Payments Protocol，AP2）及推出Universal Commerce Protocol（UCP）代理人商務跨平臺標準。</p> </div></div></div>
6/11 12:36作者林妍溱https://www.ithome.com.tw/news/176539
加拿大提出《Safe Social Media Act》，擬禁止16歲以下使用社交媒體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.canada.ca/en/canadian-heritage/news/2026/06/government-of-canada-introduces-legislation-to-make-social-media-services-and-ai-chatbots-safer-for-children.html" target="_blank">加拿大政府周三（6/10）提出《安全社交媒體法》（Safe Social Media Act）</a>，擬禁止16歲以下青少年使用社交媒體，並首度將AI聊天機器人納入同一套數位安全監管框架。</p> <p><a href="https://www.canada.ca/en/canadian-heritage/services/safe-social-media-act.html" target="_blank">根據法案內容</a>，社交媒體服務未來不得允許16歲以下兒童持有帳號，但若業者能證明已建立充分的兒童保護措施，仍可向監管機關申請豁免。法案也要求平臺在設計產品與功能時優先考量兒童安全，降低兒童接觸有害內容與高風險互動的機會。</p> <p>新法將要求社交媒體平臺評估並降低7類有害內容風險，包括兒童性剝削、未經同意散布私密影像、誘導兒童自殘、霸凌兒童、仇恨內容、煽動暴力，以及恐怖主義或暴力極端主義內容。平臺也必須標示AI生成內容，提供檢舉與封鎖工具，並快速移除兒童性剝削內容、未經同意散布的私密影像及Deepfake性影像。</p> <p>此外，AI聊天機器人也將受到規範。業者必須降低聊天機器人傳播有害內容或出現有害行為的風險，並在使用者表達自殘或傷害他人意圖等危機情境時，公開說明其通報與處理門檻。法案中亦包含設立新的數位安全委員會，以負責監督業者遵循情況、制定線上安全標準及處理使用者申訴。</p> <p>加拿大衛生部長Marjorie Michel表示，社交媒體平臺與AI聊天機器人的設計目的在於吸引用戶注意力，已成為許多年輕加拿大人焦慮、孤立與憂鬱等心理健康問題的來源。</p> <p>除了加拿大之外，<a href="https://www.ithome.com.tw/news/166276" target="_blank">澳洲</a>、<a href="https://www.ithome.com.tw/news/174273" target="_blank">印尼</a>等國也已陸續限制16歲以下青少年使用社交媒體，<a href="https://www.ithome.com.tw/news/174937" target="_blank">希臘</a>則規畫自2027年起禁止15歲以下兒童使用社交媒體。</p> </div></div></div>
6/11 12:44作者陳曉莉https://www.ithome.com.tw/news/176540
研究人員揭露Exchange Online資安漏洞Ghost-Sender，攻擊者能偽造任意電子郵件地址
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月9日資安公司InfoGuard針對Exchange Online用戶<strong><a href="https://labs.infoguard.ch/posts/ghost-sender/">提出警告</a></strong>，他們發現名為Ghost-Sender的資安漏洞，Exchange Online或採用混合模式部署的Exchage郵件系統，只要搭配第三方的郵件伺服器防護措施或垃圾信過濾機制，而使得Exchange Online與外部的MX紀錄整合，攻擊者就有機會對目標租戶發動欺騙攻擊，以任意的寄件人的名義，發送信件給任何收件者，將其用於網釣活動，例如：寄送假帳單到其他企業組織，或是冒充公司的執行長進行詐欺行為等。值得留意的是，這項問題似乎已出現遭到積極利用的跡象，但目前微軟尚未修補，對此，InfoGuard呼籲Exchange Online用戶，應儘速採取行動確認是否受到影響，並根據該公司提供的指引進行緩解，InfoGuard也架設<strong><a href="https://ghost-sender.com/">專屬網站</a></strong>提供檢測工具。</p> <p>針對Ghost-Sender的性質，InfoGuard指出是普遍存在的系統性錯誤配置，根據該公司的初步調查，約有半數的Exchange Online環境已採取緩解措施，但仍有超過20%可能存在該弱點。</p> </div></div></div>
6/11 11:28作者周峻佑https://www.ithome.com.tw/news/176535
美國CISA改漏洞管理規則，最高風險漏洞3天內須修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk#Note9" target="_blank">美國網路安全暨基礎設施安全局（CISA）週三（6/10）發布新版《強制營運指令》（BOD）26-04</a>，要求聯邦文職機關改採風險導向漏洞管理制度；未來最高風險漏洞必須在3天內完成修補、停用或移除，較以往動輒數週的修補期限大幅縮短，以因應AI加速漏洞攻擊所帶來的新威脅。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0611-CISA-600-1.png" style="width: 600px;" /></p> <p>過去美國聯邦漏洞管理主要分成兩套規則：對外公開系統依漏洞嚴重度評分（CVSS）決定修補期限，重大漏洞通常須在30天內修補，高風險漏洞則為60天；已遭實際利用的漏洞（Known Exploited Vulnerabilities，KEV）則由CISA個別設定修補期限，多數介於14至21天之間。新版BOD 26-04則整合兩套規則，改以實際攻擊風險決定優先順序。</p> <p>新版BOD 26-04改以4項指標判斷漏洞修補優先順序，包括受影響資產是否對外公開、漏洞是否已列入KEV目錄、攻擊是否可自動化執行，以及成功利用後攻擊者可取得部分或完整控制權。CISA依這些條件將漏洞修補期限分為3天、14天、60天及下次系統升級時處理等不同等級。</p> <p>依照CISA所列出的圖表，若漏洞同時涉及多項高風險條件，例如影響對外公開系統、已遭實際利用並可自動化攻擊，或雖無法自動化攻擊但可讓攻擊者取得完整控制權，都會被歸納為重大風險，必須在3天內完成修補，且不限工作天。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0611-CISA-600-2.png" style="width: 600px;" /></p> <p>CISA指出，美國正面臨持續且日益複雜的惡意網路攻擊，攻擊者長期利用未修補漏洞入侵政府與關鍵基礎設施系統，而AI的使用可能進一步縮短修補程式發布到漏洞遭利用之間的反應時間。因此，聯邦政府必須立即調整漏洞修補政策，將有限資源集中在最高風險系統，而非把所有漏洞與系統一視同仁。</p> <p>CISA要求各機關須於60天內完成漏洞管理流程更新，並在180天內全面導入新制度。</p> </div></div></div>
6/11 11:49作者陳曉莉https://www.ithome.com.tw/news/176536
Linux核心再傳nftables本機權限提升漏洞CVE-2026-23111，攻擊者可升級為root並突破容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>最近一個多月有許多資安團隊公布Linux核心本機權限提升（LPE）類型的資安漏洞，由於大部分漏洞影響多個常見的Linux發行版而影響廣泛，受到外界高度關注。最近有資安公司揭露一年前找到的弱點，並公布相關細節。</p> <p>威脅情報公司Exodus Intelligence於2025年初發現<strong><a href="https://blog.exodusintel.com/2026/06/08/off-by-exploiting-a-use-after-free-in-the-linux-kernel/">資安漏洞CVE-2026-23111</a></strong>，此弱點存在於Linux核心的nftables子系統，漏洞存在於nftables的nft_map_catchall_activate()功能函式，由於條件判斷中多出一個驚嘆號（!），導致核心在處理交易終止（abort）時錯誤地跳過部分必要程序，相關鏈結（chain）的參考計數持續下降。一旦計數歸零，系統可能釋放仍被其他物件引用的記憶體區域，進而產生記憶體釋放後再存取利用（Use After Free）的現象。Linux開發團隊獲報後於2月5日完成修補，</p> </div></div></div>
6/11 12:09作者周峻佑https://www.ithome.com.tw/news/176537
Fortinet修補沙箱系統指令注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.fortiguard.com/psirt/FG-IR-26-141" target="_blank">Fortinet本週發布安全更新</a>，修補其FortiSanbox雲端及本地部署三個版本的重大指令注入漏洞。<a href="https://www.ithome.com.tw/news/175749" target="_blank">在5月</a>，該公司也針對FortiSandbox系列修補遠端程式碼執行（RCE）漏洞。</p> <p>編號CVE-2026-25089由Fortinet產品安全部門研究人員發現及通報，為FortiSandbox產品的OS指令注入漏洞，CVSS風險值達9.1，源於Web介面的start vnc功能在處理輸入的JSON指令時，未進行適當的特殊字元過濾與中性化（Neutralization）。這讓攻擊者得以傳送變造的HTTP請求，透過輸入欄位傳送惡意OS命令，進而在Fortinet系統上未授權執行。</p> <p>CVE-2026-25089影響FortiSandbox、FortiSandbox Cloud與FortiSandbox PaaS，FortiSandbox除最新的5.2版外都受影響。FortiSandbox Cloud、FortiSandbox PaaS則只影響5.0版，廠商已針對問題版本釋出安全更新。</p> </div></div></div>
6/11 10:33作者林妍溱https://www.ithome.com.tw/news/176532
西門子6月工控安全公告揭露影響多款產品的OpenSSL重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.siemens.com/en-us/content/cert-services/#6cOXgBJ3xa94mcOefayaUh" target="_blank">工控系統業者西門子（Siemens）於6月9日發布安全公告</a>，說明OpenSSL重大風險漏洞<a href="https://www.ithome.com.tw/news/173642" target="_blank">CVE-2025-15467</a>對多款產品的影響，並已針對部分產品提供修補版本。此漏洞CVSS v3.1風險分數為9.8分，屬重大（Critical）風險等級。</p> <p><a href="https://cert-portal.siemens.com/productcert/html/ssa-434797.html" target="_blank">西門子指出</a>，此漏洞發生於OpenSSL解析帶有惡意AEAD參數的CMS AuthEnvelopedData訊息時，可能觸發堆疊緩衝區溢位，導致應用程式崩潰進而造成阻斷服務，或在特定情境下造成遠端程式碼執行。西門子已針對部分產品提供新版，仍未提供修補的產品，則建議用戶避免讓受影響系統處理來自外部、不受信任的CMS／PKCS#7內容，並遵循產品安全強化設定。</p> <p><a href="https://cert-portal.siemens.com/productcert/html/ssa-967325.html" target="_blank">西門子同日也更新工業環境應用程式託管平臺RUGGEDCOM APE1808安全公告</a>，指出執行Palo Alto Networks PAN-OS的Ruggedcom APE1808裝置，受到多項PAN-OS漏洞影響，包括CVE-2026-0256、CVE-2026-0257、CVE-2026-0258、CVE-2026-0261、CVE-2026-0262、CVE-2026-0264、CVE-2026-0265、CVE-2026-0300，其中嚴重度最高為CVE-2026-0300，CVSS v3.1將其評估為10.0分（NVD資料庫登記為9.8分），CVSS v4.0則為9.3分。西門子表示相關修補版本仍在準備中，建議客戶在修補尚未提供前，先查閱並套用上游廠商Palo Alto Networks安全公告提供的緩解措施。</p> </div></div></div>
6/11 10:41作者王珮瑤https://www.ithome.com.tw/news/176533
ServiceNow安全缺陷遭濫用，攻擊者查詢部分客戶執行個體資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>企業雲端工作流程平臺業者ServiceNow傳出安全事件。<a href="https://www.bleepingcomputer.com/news/security/servicenow-discloses-security-incident-exposing-customer-data/" target="_blank">Bleeping Computer於6月9日報導</a>，ServiceNow已通知受影響客戶，攻擊者濫用一項安全漏洞，可讓未經身分驗證的使用者在特定情況下，取得超出範圍的ServiceNow執行個體存取權限，並透過組態不良的API端點，查詢部分客戶執行個體的資料表。</p> <p><a href="https://www.reddit.com/r/servicenow/comments/1u0c45c/comment/oqpciyl/" target="_blank">根據Reddit使用者轉貼的ServiceNow客戶支援公告內容</a>，ServiceNow已於6月5日對代管客戶執行個體套用安全更新，將相關API端點設定改為僅允許通過身分驗證的使用者存取。該公司表示，已在部分客戶環境觀察到執行個體資料表遭成功查詢的證據。這項問題主要影響使用<a href="https://www.servicenow.com/docs/r/release-notes/family-release-notes.html">Australia發行版本</a>的客戶，或是使用Australia之前版本、且曾對執行個體做過特定設定變更的客戶。ServiceNow目前尚未公開完整技術細節，也仍在評估是否發布CVE。</p> <p>BleepingComputer引述<a href="https://www.reddit.com/r/servicenow/comments/1u0c45c/comment/oqoo9wj/" target="_blank">Reddit上ServiceNow管理員討論</a>指出，這項問題疑似與「/api/now/related_list_edit/create」這個REST端點有關，有留言者聲稱該端點原本設定為requires_authentication = false，可能讓未經身分驗證的請求存取執行個體資料。可疑活動指標包含來自IP位址51.159.98.241、針對「/api/now/related_list_edit」路徑的API請求。</p> <p>由於ServiceNow執行個體通常可能存放IT支援票單、員工紀錄、內部文件、資產清單、安全事件報告與企業系統設定等敏感資訊，受影響組織應檢查相關記錄，盤點可能暴露的資料，並輪替曾出現在支援流程中的憑證、API權杖，以及更新相關機密資訊。</p> </div></div></div>
6/11 10:51作者王珮瑤https://www.ithome.com.tw/news/176534
Adobe發布6月例行更新，呼籲用戶優先修補ColdFusion與Campaign Classic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月9日Adobe發布本月例行更新，為旗下11款應用系統提供修補程式，總共修補123個資安漏洞。值得留意的是，該公司將<strong><a href="https://helpx.adobe.com/security/products/campaign/apsb26-66.html">企業行銷自動化與客戶關係管理（CRM）平臺Campaign Classic</a></strong>、<strong><a href="https://helpx.adobe.com/security/products/coldfusion/apsb26-64.html">網頁應用程式開發平臺ColdFusion</a></strong>的修補優先順序列為第一級，呼籲用戶必須特別優先處理。</p> <p>從漏洞的嚴重程度而言，這次Adobe為Campaign Classic修補兩個CVSS風險皆達到10分滿分的重大漏洞CVE-2026-48303、CVE-2026-47938，相當值得留意，這些都是與不正確授權有關的問題，攻擊者有機會用於執行任意程式碼。</p> <p>針對ColdFusion的部分，一共修補了7項漏洞，其中有6項危險程度評為重大等級，根據CVSS評分，最嚴重的是輸入驗證不充分漏洞CVE-2026-47928，風險值為9.6。</p> </div></div></div>
6/11 09:44作者周峻佑https://www.ithome.com.tw/news/176528
ShinyHunters宣稱駭入上百家Oracle PeopleSoft伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bleepingcomputer.com/news/security/oracle-peoplesoft-servers-hacked-in-shinyhunters-data-theft-attacks/" target="_blank">媒體報導</a>，勒索軟體駭客組織ShinyHunters近日利用漏洞，駭入Oracle PeopleSoft上百家組織伺服器，包括至少一家英國知名大學。</p> <p>PeopleSoft是甲骨文旗下提供人力資源(HR)、財務管理、供應鏈與客戶關係管理的軟體套件，其客戶涵括知名企業、學校、金融及製造業。</p> <p>BleepingComputer報導，近日多家組織傳出接到勒索信件後，ShinyHunters駭客宣稱是其所為。駭客表示，最初是為了「澄清已廣為散布的不實資訊並發表聲明」而駭入美國聯邦調查局（FBI）的PeopleSoft系統，但並未成功，隨後向其他組織發動攻擊。</p> <p>ShinyHunters成員表示，其在這波行動中成功存取了100多家組織的300多個PeopleSoft執行個體，大部份是教育機構。駭客表示，他們是結合軟體的舊漏洞及先前未知的零時差漏洞展開攻擊，但非所有系統都成功，可能是各組織的配置差異所致。</p> <p>ShinyHunters指稱其中一家受害學校是英國諾丁罕大學。<a href="https://cyberinsider.com/university-of-nottingham-confirms-hackers-accessed-student-data/" target="_blank">媒體報導</a>，駭客已在其資料公開網站上將該校列為受害者名單，宣稱取得了其員工、學生、與校友資料共40GB，而資料來源涵括諾丁罕大學英國及馬來西亞、中國校區資料。取得的資料包含學生聯絡資訊、出生日期、IP位址、學號及員工ID、課程資料、英國健保資料、個人特徵、及財務資訊。媒體報導，ShinyHunters已公布了其中19GB資訊。</p> <p>諾丁罕大學是英國最大的大學之一，學生數高達數萬。</p> <p><a href="https://www.bbc.com/news/articles/ckg0lkp042zo" target="_blank">BBC報導</a>，諾丁罕大學已證實遭到網路攻擊。諾丁罕大學說明學校的校園方案系統遭遇非授權活動，致使課程系統儲存的「大量」學員包括現任學生、校友個資遭到存取。</p> <p>Oracle的E-Business去年則被另一個<a href="https://www.ithome.com.tw/news/171630" target="_blank">駭客組織Clop利用漏洞</a>，入侵多家知名企業及大學，如哈佛、賓州大學等。</p> <p><a href="https://www.ithome.com.tw/news/176462" target="_blank">英國牛津大學本週稍早也傳出資料外洩</a>。其使用的求職平臺CareerConnect供應商GTI於遭到第三方人士未授權存取系統，致使用戶的姓名、電子郵件地址，以及未以單一簽入（Single Sign-On，SSO）登入系統的學生加密密碼遭駭客存取。在此之前，牛津大學使用的Canvas 5月份也遭ShinyHunters攻擊，導致該校資料被竊。</p> </div></div></div>
6/11 10:04作者林妍溱https://www.ithome.com.tw/news/176529
微軟修補已遭利用的Exchange Server零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月14日微軟揭露Exchange Server重大漏洞<strong><a href="https://www.ithome.com.tw/news/175877">CVE-2026-42897</a></strong>，並指出已遭到利用，6月9日微軟<strong><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42897">更新公告內容</a></strong>，呼籲用戶儘速安裝6月的安全更新來防範漏洞。不過，對於已採取緩解措施的用戶，該公司也指出安裝修補程式後<strong><a href="https://techcommunity.microsoft.com/blog/exchange/released-june-2026-exchange-server-security-updates/4524491">緩解措施應予以保留</a></strong>，理由是該措施提供後額外的防禦能力，有助於在他們進一步強化Exchange Server安全性的過程持續提供保護。該公司強調，更新程式不會自動移除相關緩解措施。</p> <p>CVE-2026-42897為欺騙（Spoofing）類型的弱點，攻擊者可藉此發送特製的電子郵件給用戶，一旦使用者透過Outlook Web Access開啟並執行特定的互動，攻擊者就有機會透過瀏覽執行任意JavaScript指令碼，CVSS風險評為8.1分。</p> </div></div></div>
6/11 10:19作者周峻佑https://www.ithome.com.tw/news/176530
Ivanti修補安全閘道Sentry重大漏洞，可讓攻擊者以root權限執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Sentry-CVE-2026-10520-CVE-2026-10523?language=en_US" target="_blank">企業軟體與資安設備業者Ivanti於6月9日發布安全公告</a>，修補Ivanti Sentry兩項重大（Critical）風險等級漏洞，分別為CVE-2026-10520與CVE-2026-10523。Ivanti Sentry前身為MobileIron Sentry，是用於保護企業後端系統與遠端行動裝置之間流量的安全閘道設備。</p> <p>其中，CVE-2026-10520是作業系統命令注入漏洞，CVSS風險分數為10.0分。Ivanti指出，攻擊者可在未經驗證的情況下遠端利用此漏洞，以root權限執行程式碼。另一項CVE-2026-10523則是驗證繞過漏洞，CVSS風險分數為9.9分，可能讓未通過身分驗證的遠端攻擊者建立任意管理員帳號，進而取得完整管理員權限。</p> <p>受影響版本包括Ivanti Sentry 10.5.1、10.6.1、10.7.0及更早版本。Ivanti已釋出10.5.2、10.6.2與10.7.1版，建議客戶將設備更新至修補版本。Ivanti表示，在公告揭露時，尚未掌握有客戶遭攻擊者濫用這兩項漏洞的情況，目前也沒有已知公開濫用活動，因此無法提供入侵指標清單。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-max-severity-ivanti-sentry-flaw-allows-code-execution-as-root/" target="_blank">Bleeping Computer指出</a>，由於Ivanti產品過去多次成為攻擊者鎖定目標，且這次修補的漏洞可導致攻擊者以root權限執行程式碼，或取得完整管理員權限，企業仍應優先盤點Ivanti Sentry部署情況，確認是否執行受影響版本，並儘速完成更新。</p> </div></div></div>
6/11 10:19作者王珮瑤https://www.ithome.com.tw/news/176531
CISA警告Chrome與思科SD-WAN零時差漏洞被用於攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月9日美國網路安全與基礎設施安全局（CISA）提出警告，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/09/cisa-adds-three-known-exploited-vulnerabilities-catalog">他們掌握3個資安漏洞遭到積極利用的證據</a></strong>，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構於6月23日完成修補。</p> <p>其中有兩個資安漏洞特別值得注意，一個是思科上週揭露的<strong><a href="https://www.ithome.com.tw/news/176419">CVE-2026-20245</a>，此漏洞存在於</strong>Catalyst SD-WAN Manager，為輸出不當編碼或逃逸漏洞，CVSS風險評為7.8分，該公司已開始為部分版本提供修補程式；另一個漏洞是<strong><a href="https://www.ithome.com.tw/news/176455">CVE-2026-11645</a></strong>，存在於Chrome的JavaScript引擎V8，為記憶體越界讀取與寫入漏洞，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-11645">CVSS風險為8.8分</a></strong>。</p> <p> </p> </div></div></div>
6/11 09:18作者周峻佑https://www.ithome.com.tw/news/176527
網路攻擊組織UNC3753鎖定法律與金融業，假冒IT人員竊資勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google Cloud旗下資安業者Mandiant與GTIG（Google Threat Intelligence Group）<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/targeted-campaign-us-law-firms">揭露</a></strong>，網路攻擊組織UNC3753在2026年1月至5月間鎖定美國數十個組織，包括專業服務、法律與金融服務業，發動以資料竊取勒索為目的的攻擊活動。攻擊者冒充企業IT服務臺或資安人員，透過電話社交工程誘使員工開啟螢幕分享、安裝遠端管理工具，搜尋並竊取敏感資料。</p> <p>攻擊者會以日常業務信件作為開場，研究人員舉例，攻擊者以個人電子郵件帳號寄出簡短訊息，內容沒有惡意檔案，目的在於建立後續來電的情境。之後，攻擊者會致電受害員工，冒稱內部IT支援或資安團隊，聲稱要處理安全問題或協助資料搬遷，進一步要求對方加入Zoom、Microsoft Teams和Quick Assist等螢幕分享或遠端支援工作階段。</p> <p>在初次互動後，攻擊者進一步誘導受害者下載AnyDesk、Bomgar與Zoho Assist等遠端監控與管理工具，並用於搜尋其本機目錄、OneDrive資料夾、網路磁碟與文件管理系統。攻擊者也曾在iManage等文件儲存環境中搜尋美國稅務表單、稽核檔案、企業客戶協議與社會安全號碼等資料，並將結果暫存在受害者可存取的Downloads資料夾或使用者設定檔路徑。</p> <p>竊取資料方式包括透過瀏覽器上傳至攻擊者控制的雲端檔案分享帳號，或使用WinSCP、Rclone等工具傳輸資料。攻擊者通常在成功竊取資料後不久寄出勒索信，有時在離開受害環境後30分鐘內就開始施壓，威脅公開資料。</p> <p>部分事件甚至有攻擊者疑似冒充IT技術人員進入企業辦公室，聲稱需要替裝置建立完整備份，以處理安全問題，而在取得端點存取權後，再嘗試把企業資料複製到外接儲存裝置。不過，研究人員也保守表示，由於證據有限，且部分事件沒有後續勒索行為，因此僅評估這些實體入侵可能與UNC3753活動有關。</p> <p>研究人員建議企業加強使用者訓練、外部技術人員身分驗證、訪客陪同制度、遠端存取條件式存取控管，以及未授權RMM與螢幕分享、遠端控制工具的執行限制。此外，企業也應限制USB大量儲存裝置讀寫能力，並監控文件儲存庫的大量搜尋、下載與異常存取行為。</p> </div></div></div>
6/10 20:46作者李建興https://www.ithome.com.tw/news/176524
環境部預告減碳與氣候調適補助辦法，可補助企業導入節能、CCUS、低碳製程，但碳盤查與自主減量計畫不在補助範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>環境部今天（6/10）<a href="https://enews.moenv.gov.tw/DisplayFile.aspx?FileID=DFF4F491101F4664" target="_blank">預告《溫室氣體減量技術及氣候變遷調適補助辦法》草案</a>，未來將透過「溫室氣體管理基金」提供補助，加速企業投入減碳技術及氣候變遷調適工作。這也是國內首次徵收碳費後，將碳費回饋企業減碳投資的重要配套措施之一。</p> <p>根據草案內容，補助對象包括事業、各級學校、公立研究機構及財團法人學術研究機構等，未來將依環境部公告的補助計畫及申請程序提出申請。</p> <h3><span style="color:#B22222;"><strong>低碳製程、節能措施與碳捕捉技術納入補助</strong></span></h3> <p>草案列出的補助項目，涵蓋企業目前推動淨零轉型的重要技術方向。</p> <p>其中包括低碳燃料轉換及低碳製程改善、節能及抑低尖峰用電措施，以及二氧化碳捕捉、利用與封存（CCUS）技術。環境部也將負排放技術（Negative Emission Technologies）納入補助範圍，希望協助高排放產業布局深度減碳能力。</p> <p>此外，因應國際碳邊境調整機制的相關措施，以及溫室氣體減量與氣候變遷調適的創新技術研發，同樣列為可申請項目。</p> <p>從產業角度來看，此次補助項目已從過去常見的設備改善或能源管理措施，進一步延伸至CCUS、負碳技術及國際碳管理能力建置等領域，反映環境部希望將資源投入較具長期減碳效益及技術創新的方向。</p> <h3><span style="color:#B22222;"><strong>碳盤查、自主減量計畫與碳足跡不予補助</strong></span></h3> <p>不過，草案也明確界定哪些項目不在補助範圍內。依據規畫，企業依法必須執行的工作原則上不予補助，包括溫室氣體排放源盤查、登錄與查驗作業，以及增量抵換措施等。</p> <p>此外，碳費徵收對象為取得優惠費率而提出的自主減量計畫，以及依法應辦理的產品碳足跡盤查或標示，也都被排除在補助範圍之外。</p> <p>換言之，環境部希望將有限的基金資源用於促進額外減量效果與技術創新，而非協助企業完成法規要求的基本義務。</p> <p>因此對於目前正投入碳盤查系統建置、第三方查驗或自主減量計畫申請的企業而言，相關支出仍需自行負擔，無法透過本辦法取得補助。</p> <h3><span style="color:#B22222;"><strong>首筆碳費收入近50億元，將成補助主要財源</strong></span></h3> <p>此次補助辦法的經費來源，來自《氣候變遷因應法》設立的溫室氣體管理基金。依照現行制度，企業繳交的碳費必須專款專用，全數納入溫室氣體管理基金運用於減碳及氣候調適相關工作。今年6月國內完成首次碳費徵收結果，共有240家企業、461座工廠完成繳費，總收入約49.7億元，其中半導體產業繳納金額約22億元，占整體收入逾四成。</p> <p>環境部表示，目前已初步規畫自溫室氣體管理基金編列約20億元，補助事業及地方政府推動溫室氣體減量及氣候調適工作，另規畫約5億元作為企業減碳投資貸款的利息補貼及信用保證措施。此次預告的補助辦法，正是未來運用碳費收入支持企業減碳技術與調適措施的重要法源依據。</p> <p>從政策方向來看，環境部此次將補助重點放在低碳製程、節能技術、CCUS、負排放技術及氣候調適措施，同時排除碳盤查與法遵工作，顯示未來碳費收入的運用將更偏向支持實質減碳與技術創新，而非協助企業完成法規要求的基本義務。</p> </div></div></div>
6/10 18:23作者蘇文彬https://www.ithome.com.tw/news/176523
【資安日報】6月10日，Anthropic推出具有Mythos能力的Claude Fable 5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176499"><strong style="font-size: 22px;">Anthropic發表Claude Fable 5，為所有用戶提供Mythos等級的能力</strong></a></p> <p><a href="/sites/default/files/images/1e65982497d7d4891219ed0e83141625a291b860-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1e65982497d7d4891219ed0e83141625a291b860-63.jpg" style="width: 300px; float: right;" /></a>4月初Anthropic發布Claude Mythos Preview，由於挖掘資安漏洞的能力過於強大，甚至能串連多個漏洞形成攻擊鏈，當時僅提供特定的作業系統與軟體開發廠商與團隊，以及金融巨頭使用，兩個月後，該公司向社會大眾正式發布威力等同於Mythos的Claude Fable 5，為了防範該模型被濫用，此模型加入了防護措施，在處理部分主題會使用Claude Opus 4.8回應。而對於資安防護領域，Anthropic也為特定網路防禦者及基礎設施供應商提供與Claude Fable 5能力相同的Claude Mythos 5。</p> <p><a href="https://www.ithome.com.tw/news/176497"><strong style="font-size: 22px;">微軟發布6月例行更新，破紀錄修補逾560個漏洞</strong></a></p> <p>6月9日微軟發布本月例行更新（Patch Tuesday），公開206個由該公司登記CVE編號的漏洞，數量明顯較過往都要來得多，若是加上該公司修補362個第三方登記CVE編號的漏洞，總數將達到568個，無論是微軟登記CVE的漏洞，還是修補第三方漏洞的數量，都創下史上最多的記錄。附帶一提的是，由於第三方元件漏洞有360個與Chrome有關，微軟僅列出兩個由Arm與CERT/CC登記的弱點，這樣的做法也是首度出現。</p> <p><a href="https://www.ithome.com.tw/news/176500"><strong style="font-size: 22px;">微軟修補已被公開的零時差漏洞GreenPlasma、YellowKey、HTTP/2 Bomb</strong></a></p> <p>本週二微軟發布6月例行更新（Patch Tuesday），修補多達568個資安漏洞，值得留意的是，這次有3個是已被公開的零時差漏洞，根據資安新聞網站Bleeping Computer的報導，其中有2個是研究人員Chaotic Eclipse（Nightmare-Eclipse）公布的零時差漏洞。其中，CVE-2026-45586就是Chaotic Eclipse揭露的GreenPlasma，CVE-2026-50507是YellowKey。另一個已被公開的零時差漏洞CVE-2026-49160，為資安研究發布平臺Calif揭露的HTTP/2 Bomb。</p> <p><a href="https://www.ithome.com.tw/news/176503"><strong style="font-size: 22px;">研究人員揭露新的Microsoft Defender零時差漏洞RoguePlanet</strong></a></p> <p>根據資安新聞網站Bleeping Computer報導，Chaotic Eclipse在微軟發布6月例行更新數個小時之後，公開名為RoguePlanet的Microsoft Defender零時差漏洞，並表示該弱點涉及競爭條件（Race Condition），攻擊者利用的條件是需要引誘使用者在遠端的SMB伺服器開啟VHD或VHDX虛擬磁碟檔，成功利用漏洞後，Microsoft Defender就會覆寫該防毒軟體相關的檔案，導致遠端程式碼執行。資安公司ThreatLocker向Bleeping Computer透露，該漏洞確實有效。</p> <p><a href="https://www.ithome.com.tw/news/176506"><strong style="font-size: 22px;">SAP修補NetWeaver與Commerce重大漏洞</strong></a></p> <p>6月9日SAP發布本月例行更新（Security Patch Day），總共修補15個資安漏洞，其中有4個是重大等級。根據CVSS風險評分，最危險的是CVE-2026-44748，此為SAML身分驗證當中的XML簽章包裝漏洞，影響NetWeaver AS ABAP與ABAP平臺，CVSS風險值為9.9。具備正常權限的認證攻擊者可取得有效的簽章訊息，並將修改後的XML檔案傳送給驗證者，而有可能導致被竄改的身分資訊被受理，進而導致攻擊者能未經授權存取敏感用戶資料。</p> <p><a href="https://www.ithome.com.tw/news/176502"><strong style="font-size: 22px;">Miasma蠕蟲原始碼外洩，供應鏈攻擊工具包現身GitHub</strong></a></p> <p>資安業者SafeDep於6月9日警告，軟體供應鏈蠕蟲Miasma透過遭入侵的開發者帳號出現在GitHub，等同於把這套攻擊工具公開化。SafeDep取得其中一份已遭下架的原始碼分析指出，Miasma不只是蠕蟲，而是一套完整的供應鏈攻擊工具包。如今，駭客透過遭入侵的開發者帳號發布名為「Miasma-Open-Source-Release」的GitHub儲存庫，將這套攻擊工具的原始碼在網路上公開。資安社群擔心，這可能重演Shai-Hulud原始碼公開後變種快速湧現的情況。</p> <p><a href="https://www.ithome.com.tw/news/176515"><strong style="font-size: 22px;">Miasma蠕蟲攻擊延伸到PyPI儲存庫</strong></a></p> <p><a href="/sites/default/files/images/80f85f1278d4b68075d7edd3617ee427833021b3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/80f85f1278d4b68075d7edd3617ee427833021b3-63.jpg" style="width: 300px; float: right;" /></a>本月初Shai-Hulud蠕蟲出現變種Miasma，最早攻擊Red Hat雲端服務的NPM套件引起多家資安公司注意，後續染指AI程式碼工具ai-sdk-ollama、@vapi-ai/server-sdk等NPM套件，並導致微軟73個儲存庫遭GitHub停用，如今傳出該蠕蟲危害範圍延伸到PyPI生態圈。6月7日資安公司Socket指出，他們在PyPI發現新一波攻擊活動Hades，駭客入侵了19個套件，並上傳了37個惡意版本的套件，這些惡意套件會在開發環境的Python啟動時自動執行，下載執行環境Bun，然後執行經混淆處理的惡意酬載_index.js。</p> <p><a href="https://www.ithome.com.tw/news/176517"><strong style="font-size: 22px;">Miasma蠕蟲透過8階段攻擊滲透PyPI開發環境</strong></a></p> <p><a href="/sites/default/files/images/6a2677f7a70270fa09fcca1a_image-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/6a2677f7a70270fa09fcca1a_image-63.jpg" style="width: 300px; float: right;" /></a></p> <p>軟體供應鏈蠕蟲Miasma近日出現Hades活動，將攻擊範圍延伸到PyPI儲存庫，資安公司StepSecurity指出，駭客的手段較過往Miasma活動更加複雜，從開發環境不慎植入惡意套件後的攻擊流程，總共可分成8個階段，不僅試圖透過特定的文字區塊進行對抗性的提示注入，指示任何解析程式碼的大型語言模型忽略其下方混淆內容，誤導AI分析工具，還會在受害開發環境透過4種機制建立長期存取管道，並阻礙資安團隊撤銷被竊憑證，一旦發現權杖被撤銷，就會執行資料抹除指令。</p> <p><a href="https://www.ithome.com.tw/news/176505"><strong style="font-size: 22px;">Meta證實有2萬個Instagram帳號因Meta AI漏洞被盜，時間長達1.5個月</strong></a></p> <p>Meta本週證實Meta AI支援工具存在一項漏洞，讓駭客得以在AI助理協助下，盜走Instagram（IG）帳號，估計從4月中到5月，超過2萬用戶受害。根據Meta向美國緬因州檢察長辦公室的通報文件，該漏洞影響時間從2026年4月17日到5月31號止。受害者人數為20,225人。漏洞出在Meta AI的IG帳號回覆系統High Touch Support（HTS），問題發生在Meta AI程式碼路徑，使系統未驗證請求重設密碼的信箱和帳號持有人的關聯，使攻擊者能取得密碼重設連結。</p> <p><a href="https://www.ithome.com.tw/news/176507"><strong style="font-size: 22px;">蘋果Safari未來能自動變更遭外洩的密碼</strong></a></p> <p>本週蘋果舉辦WWDC26，除了受到各界矚目的Siri AI，蘋果也宣布將為Safari新增功能，包含能自動變更密碼的代理人Passwords、及告知網頁新資訊的代理人Notify Me，以及讓用戶口說生成外掛的Describe an Extension及依主題組織分頁的新功能。其中，Safari原本就能針對弱密碼及外洩密碼發出警告，現在新增了代理人功能Passwords，能代用戶登入網站並更新為強密碼。相關功能預計於今年秋季發布的iOS 27、macOS 27等作業系統正式提供。</p> <p><a href="https://www.ithome.com.tw/news/176480"><strong style="font-size: 22px;">VMware VCF Operations管理平臺修補多項高風險漏洞，未更新可能導致跨網站指令碼攻擊</strong></a></p> <p>Broadcom近日發布資安公告，修補VMware Cloud Foundation Operations（VCF Operations）管理平臺的3項高風險漏洞，建議用戶盡速更新。這次VCF Operations修補的漏洞包括CVE-2026-41722、CVE-2026-41723與CVE-2026-41724等3項，CVSS嚴重性評分均為8.0分，均屬於儲存型跨網站指令碼（Stored Cross-Site Scripting）類型問題，可能導致擁有建立政策、檢視或文字元件（Text Widget）等管理權限的惡意攻擊者，藉由注入指令碼觸發漏洞。</p> <p><a href="https://www.ithome.com.tw/news/176518"><strong style="font-size: 22px;">Apache HTTP Server修補13項漏洞，涉及記憶體安全、跨網站指令碼與阻斷服務問題</strong></a></p> <p>Apache軟體基金會近日發布網頁伺服器Apache HTTP Server最新2.4.68版，並修補13項漏洞，涵蓋記憶體安全、跨網站指令碼（XSS）、權限提升、阻斷服務（DoS）與越界存取等問題，建議2.4.x版的用戶儘速升級到新版本。這次修補的Apache HTTP Server漏洞中，其中一個是影響多種主流網頁伺服器產品的HTTP/2 Bomb漏洞，Apache軟體基金會登記為CVE-2026-49975，攻擊者可利用HTTP/2請求耗盡伺服器資源，導致服務無法回應。</p> <p><a href="https://www.ithome.com.tw/news/176472"><strong style="font-size: 22px;">MariaDB資料庫修補多項漏洞，含CVSS滿分10分重大漏洞</strong></a></p> <p>關聯式資料庫MariaDB近日發布資安公告，修補開源社群版（Community Server）與商用企業版（Enterprise Server）的多項漏洞，最受關注的是CVSS嚴重性10.0分的CVE-2026-49261，另外還有兩項CVSS嚴重性評分均為8.0的高風險漏洞，分別為CVE-2026-48165與 CVE-2026-48163，MariaDB目前尚未公開這些漏洞的細節與影響範圍。此外，相較於社群版，企業版公告還多列出一項CVSS評分8.0的漏洞CVE-2026-44168。</p> <p><a href="https://www.ithome.com.tw/news/176466"><strong style="font-size: 22px;">Ubiquiti UniFi管理平臺軟體存在重大漏洞鏈，可讓攻擊者免帳密取得root權限</strong></a></p> <p>資安業者Bishop Fox揭露，網通設備業者Ubiquiti的UniFi管理平臺軟體UniFi OS Server存在一組重大漏洞利用鏈，攻擊者只要能連到管理介面，可能不需帳號密碼就能繞過驗證對系統下達指令，最終取得root權限。研究人員已在UniFi OS Server 5.0.6測試環境驗證完整攻擊鏈，並確認5.0.8已修補相關問題。攻擊鏈涉及的漏洞包括CVE-2026-34908、CVE-2026-34909與CVE-2026-34910，前兩項可讓攻擊者避開前端驗證，後一項則出現在套件更新服務。</p> <p><a href="https://www.ithome.com.tw/news/176508"><strong style="font-size: 22px;">Progress修補Sitefinity平臺多項重大漏洞，包含CVSS滿分10分的憑證外洩問題</strong></a></p> <p>企業內容管理平臺（CMS）Sitefinity開發商Progress發布資安公告，修補5項重大與高風險漏洞，並對目前仍在支援中的Sitefinity版本發布修補，包括15.4.8630、15.3.8531、15.2.8441、15.1.8335、15.0.8234、14.4.8152及13.3.7652等版本，用戶應儘速更新。最嚴重的是CVE-2026-7312，CVSS嚴重性評分達滿分10分，問題源自Web服務憑證保護不足，可能導致未經驗證的遠端攻擊者，取得用於連接Sitefinity Insight服務的明文憑證。</p> <p><a href="https://www.ithome.com.tw/news/176501"><strong style="font-size: 22px;">Veeam修補Backup & Replication備份軟體重大漏洞，未修補可能導致備份伺服器遭受遠端程式碼攻擊</strong></a></p> <p>備份與資料保護軟體廠商Veeam日前發布資安公告，揭露旗下備份軟體產品Veeam Backup & Replication 12.x版重大漏洞，可能導致已通過身分驗證的網域用戶，在備份伺服器上執行遠端程式碼。由於備份伺服器通常掌握企業資料備份與復原權限，相關漏洞可能成為攻擊者的重要目標，建議用戶儘速更新。這項漏洞的編號是CVE-2026-44963，由資安公司WatchTowr研究人員發現與通報，CVSS嚴重性評分達9.4分。</p> <p><a href="https://www.ithome.com.tw/news/176494"><strong style="font-size: 22px;">針對研究人員揭露Deep Security Agent防護功能暫時失效問題，趨勢科技表示重新載入機制屬既有設計，無須修補</strong></a></p> <p>上週Linux版Deep Security Agent（DSA）傳出存在可能導致防護功能暫時失效的問題，趨勢科技6月8日發布正式回應，他們強調相關行為屬於產品既有設計，並非安全漏洞，不需要緊急修補。趨勢科技表示，DSA的ds_am程序會嚴格控制資源耗用，設有CPU、記憶體與檔案處理（file handle，fd）等資源使用上限，以避免影響受保護主機的正常運作。針對高負載環境中的DSA運作，趨勢科技建議用戶適度提高檔案處理（fd）上限設定，並強化縱深防護因應。</p> <p><a href="https://www.ithome.com.tw/news/176454"><strong style="font-size: 22px;">微軟調整Defender for Endpoint EDR更新機制，改由Microsoft Update派送</strong></a></p> <p>微軟6月5日公告，將調整企業端點安全服務Microsoft Defender for Endpoint在Windows裝置上的EDR更新機制。未來EDR更新將改採獨立更新機制，並由Microsoft Update提供，不再隨Windows每月例行安全更新一併發布。這項變更已於2026年5月下旬率先部署至Windows 10裝置，接下來會逐步擴及Windows 11，之後再涵蓋其他仍受Microsoft Defender for Endpoint支援的Windows版本。</p> <p><a href="https://www.ithome.com.tw/news/176498"><strong style="font-size: 22px;">幫助具身機器人巡檢兼顧隱私，帝濶智慧科技展示PriviSphere Robotics平臺</strong></a></p> <p><a href="/sites/default/files/images/PriviSphere-Robotics-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/PriviSphere-Robotics-63.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著AI應用爆發，如何在數據採集與隱私保護之間取得平衡，已成為科技演進的關鍵課題。專注於差分隱私技術、資料去識別化的帝濶智慧科技（DeCloak），於Computex 2026現場揭示最新隱私防護技術發展。該公司以隱私感知決策系統「DeCloak Brain」為核心技術，並透過「PriviSphere Robotics」平臺以整合各類具身機器人的協作應用，建構出一套具備隱私感知能力的機器人協作體系。此外，針對具身機器人可能帶來的資安疑慮，帝濶智慧也與VicOne合作，以防範機器人遭駭客入侵控制。</p> <p><a href="https://www.ithome.com.tw/news/176504"><strong style="font-size: 22px;">沙場點兵，數位備戰，臺灣必須走入國際網路攻防演練</strong></a></p> <p>【臺灣資安大會直擊】國防大學理工學院電機系兼任副教授、曾經擔任漢光演習網路戰實兵操演裁判長的張克勤指出，好的網路安全演習已經成為數位國家防禦準備度的重要指標，對照國外的網路安全演習，不論從立陶宛到愛沙尼亞甚至美國，全球頂尖網安演習正在重塑國家韌性；而臺灣已站上起跑線，有自己的大規模、二年一次的網安演習CODE，但仍可借鑒國外優勢，進一步強化自身演習深度與強度。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176470"><strong>【6月9日】Check Point VPN零時差漏洞被用於勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176439"><strong>【6月8日】趨勢科技成首家加入Anthropic Project Glasswing的臺灣資安公司</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176404"><strong>【6月5日】伺服器管理晶片廠商於Computex 2026積極展現資安布局</strong></a></p> </div></div></div>
6/10 16:18作者周峻佑https://www.ithome.com.tw/news/176520
PwC：企業減碳進入績效與韌性時代，AI資料中心用電與供應鏈碳排成新挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>PwC發布《2026年減碳報告》(PwC's Third Annual State of Decarbonization Report)指出，企業減碳已從過去著重目標宣示，轉向財務紀律、營運韌性與商業價值的整合管理。隨著AI資料中心推升能源需求、供應鏈風險升高，以及範疇三排放治理難度增加，企業正將能源管理、供應鏈透明化、產品設計與AI應用視為下一階段永續轉型的核心策略。</p> <p>隨著全球企業面臨能源價格波動、供應鏈不確定性及地緣政治風險，減碳已不再只是ESG或法遵議題，而逐漸成為企業營運與財務管理的重要課題。報告指出，企業減碳正從設定長期目標的階段，轉向檢視投資效益、執行能力與營運韌性的實戰階段。</p> <p>該報告分析數千份企業公開揭露文件及資料庫後發現，雖然外部環境充滿挑戰，仍有82%的企業維持或加速減碳進程，僅18%的企業因成本上升、資金限制及政策不確定性而放緩氣候目標(下圖，來源：PwC's Third Annual State of Decarbonization Report)。相較於前兩年，2025年新宣布減碳目標的企業成長率已降至7%，反映企業逐漸從追求目標數量，轉為以更務實態度審慎評估執行能力與資源配置。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96(40).JPG" style="width: 600px; height: 249px;" /></p> <p>資誠永續發展服務公司董事長李宜樺表示，投資人對減碳成果的要求已從承諾轉向具體績效，企業若要在不確定環境下持續推動減碳，必須將策略投資、執行力與利害關係人溝通能力整合為核心競爭力。</p> <h3><span style="color:#B22222;"><strong>AI資料中心擴張，能源韌性成企業新課題</strong></span></h3> <p>從IT與數位基礎設施角度來看，AI帶來的能源需求成長，正成為企業永續策略的重要變數。</p> <p>在範疇二排放管理方面，許多企業透過採購再生能源、再生能源憑證（REC）及虛擬購電協議（vPPA）降低用電碳排。然而，隨著生成式AI快速普及，超大規模資料中心業者持續擴建運算設施，使全球電力需求顯著增加，加重企業取得潔淨能源的競爭壓力。</p> <p>報告指出，AI資料中心需求暴增、電網投資不足及監管政策變動，已推升美國部分地區電價上漲7%至25%，直接影響企業獲利能力。近幾年因為俄烏戰爭、美國制裁委內瑞拉、伊朗封鎖荷姆茲海峽，導致能源供應及價格波動，能源供應的穩定性與價格風險，已躍升為董事會層級的關鍵議題。</p> <p>這些趨勢與企業IT部門近幾年關注的資料中心永續化方向高度一致。除了提高伺服器使用效率與採用液冷等節能技術外，企業也開始將能源管理納入數位轉型規畫，藉由能源監測平臺、智慧調度與需求預測系統降低電力成本與碳排放風險。</p> <p>報告也指出，2020年至2025年間，全球工業領域能源效率投資已增加45%，達300億美元，反映企業積極透過技術手段降低能源依賴與價格波動帶來的衝擊。</p> <h3><span style="color:#B22222;"><strong>範疇三排放成最大難題，供應鏈數據治理的重要性增加</strong></span></h3> <p>相較於企業自身營運產生的範疇一與範疇二排放，供應鏈與產品生命週期相關的範疇三排放，仍是多數企業最大的減碳挑戰。</p> <p>目前僅56%的企業有機會依照既定時程完成範疇三減碳目標。由於相關排放涉及到供應商、物流夥伴、客戶與產品使用階段，企業難以直接控制，因此減碳成效高度仰賴整體生態系合作。</p> <p>對企業IT而言，這也代表供應鏈數據治理的重要性正在提高。PwC建議企業不應只掌握第一層供應商資訊，而應要求供應商揭露更上游的合作夥伴與原料來源，並透過資料平臺與數位工具建立更深層的供應鏈能見度。</p> <p>在實務上，越來越多企業開始導入供應鏈碳管理平臺、數位產品護照（Digital Product Passport）及供應商資料交換機制，希望建立更完整的碳排資料基礎，以支援未來的永續揭露與減碳決策。</p> <h3><span style="color:#B22222;"><strong>永續產品設計成減碳與成長雙引擎</strong></span></h3> <p>另報告也發現，產品設計已成為企業推動範疇三減碳的重要槓桿。</p> <p>根據PwC分析《財富》500強企業的公開資料，在範疇三減碳進度符合預期的企業中，有31%已大規模將永續性納入產品策略；反觀減碳落後企業，比例僅19%。</p> <p>資誠永續發展服務公司執行董事張嘉宏指出，許多產業的主要碳排來源來自產品使用階段，例如電器耗電、工業設備運轉或交通工具燃料消耗，因此提升產品能源效率、推動電氣化及降低資源消耗，已成為企業減碳的重要策略。</p> <p>對科技產業而言，這代表軟硬體設計必須同步考量能源效率、可維修性與產品生命週期管理，不再只是追求效能提升。</p> <h3><span style="color:#B22222;"><strong>AI減碳潛力仍待開發</strong></span></h3> <p>除了帶來龐大能源需求外，AI本身也被視為企業下一階段減碳的重要工具。</p> <p>PwC指出，目前許多企業已運用機器學習進行能源監控、設備預測維護及流程優化，但多數仍停留在第一代AI應用階段。事實上，新一代AI已具備大規模碳排驗證、環境變化高解析度分析及快速生成氣候預測等能力。</p> <p>然而，僅約20%的企業已將下一代AI技術納入減碳策略規畫，真正量化AI減碳效益的企業不到1%。(下圖，來源：PwC's Third Annual State of Decarbonization Report)</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96(39).JPG" style="width: 600px; height: 437px;" /></p> <p>這顯示企業目前仍處於AI永續應用的早期階段。未來若能進一步將AI結合能源管理、碳盤查、自動化報告生成與供應鏈風險分析，不僅有機會提升減碳效率，也可協助企業建立更即時的永續治理能力。</p> <p>未來五至十年間，PwC認為企業永續發展將聚焦5大方向，包括以務實減碳取代目標宣示、強化能源韌性、推動供應鏈去風險化、將減碳融入產品設計，以及擴大AI的減碳應用。</p> <p>從IT角度來看，上述趨勢意味永續已不再只是CSR或ESG部門的責任，而是逐漸成為資訊、營運、採購與財務等部門共同參與的轉型工程。隨著AI、資料中心與供應鏈數據治理的重要性持續提高，永續能力逐漸成為企業數位競爭力的一部分。</p> </div></div></div>
6/10 17:34作者蘇文彬https://www.ithome.com.tw/news/176522
套件管理器NPM 12收緊安裝預設行為，相依腳本、Git與遠端網址來源將需明確允許
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub旗下<strong><a href="https://github.blog/changelog/2026-06-09-upcoming-breaking-changes-for-npm-v12/">套件管理器NPM團隊宣布</a></strong>，下一個主要版本NPM v12將調整NPM install預設安全行為，把部分目前會自動執行或自動解析的動作，改為必須明確允許。該變更預估在2026年7月推出，主要影響相依套件的安裝腳本、Git來源相依，以及透過遠端網址取得的套件封裝檔。</p> <p>NPM是Node.js生態系常用的套件管理工具，許多JavaScript專案會透過它安裝開發所需的函式庫。過去在安裝套件時，部分相依套件可自動執行安裝前（preinstall）、安裝中（install）或安裝後（postinstall）腳本，用來完成編譯、檢查環境或產生必要檔案。NPM 12之後，這類腳本若未被專案明確允許，安裝時將不再自動執行，另外，來自Git、file與link相依的prepare腳本，也會受到相同限制。</p> <p>對腳本行為調整會影響部分需要原生模組編譯的Node.js套件。即使套件本身沒有明確寫出安裝腳本，只要安裝過程需要執行隱含的編譯動作，也會被視為需要事先允許的行為，例如含有binding.gyp，但未明列install腳本的套件。</p> <p>除了安裝腳本，NPM 12也將收緊非一般套件登錄來源的相依項目。未來NPM安裝程序不會預設解析Git相依，也不會預設解析來自遠端網址的套件檔案，除非使用者或專案透過--allow-git或--allow-remote旗標明確允許。官方說明，Git相依曾存在即使關閉腳本執行，仍可能透過設定覆寫Git執行檔的風險，因此在12版一併調整預設信任範圍。</p> <p>NPM已在11.16.0以上版本提供升級前的警示機制，讓開發團隊在12版正式推出前，先掌握受影響的套件。開發團隊可先升級到NPM 11.16.0或更新版本，執行平常的安裝流程並檢查警告，再評估相依套件的安裝腳本執行權限，以及Git或遠端網址來源的使用必要性。</p> <p>NPM 12預設行為從自動執行或解析改為明確授權，將使專案在升級前需要重新檢視相依來源與安裝流程，特別是仍相依Git套件、遠端網址套件，或安裝期間需執行編譯動作的專案。</p> </div></div></div>
6/10 16:57作者李建興https://www.ithome.com.tw/news/176519
Miasma蠕蟲透過8階段攻擊滲透PyPI開發環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>軟體供應鏈蠕蟲Miasma近日將攻擊範圍<strong><a href="https://www.ithome.com.tw/news/176515">延伸到PyPI儲存庫</a></strong>，駭客入侵了19個套件，並上傳了37個惡意版本的套件，揭露此事的資安公司Socket稱這起攻擊活動為Hades。有資安公司跟進公布調查結果，指出駭客的手段較過往Miasma活動更加複雜，不僅試圖誤導AI分析工具，還會在受害開發環境建立長期存取管道，並阻礙資安團隊撤銷被竊憑證。</p> <p><strong><a href="https://www.stepsecurity.io/blog/the-hades-campaign-pypi-packages">資安公司StepSecurity指出</a></strong>，這次駭客使用的手法非常複雜，從開發環境不慎植入惡意套件後的攻擊流程，總共可分成8個階段。首先，在開發者不慎安裝惡意PyPI套件後，駭客透過掛鉤（hook）試圖尋找特定標記的檔案，並透過指令碼爬取Python模組的搜尋路徑，尋找惡意酬載的檔案，然後從GitHub下載事先編譯好的Bun執行環境，並執行JavaScript酬載。這麼做的目的，除了讓惡意軟體不需依賴Node.js就能執行複雜的JavaScript工作，還能避免在套件管理控制機制與網路代理伺服器留下事件記錄。</p> <p>再來的第二階段，駭客透過特定的文字區塊進行對抗性的提示注入，指示任何解析程式碼的大型語言模型忽略其下方混淆內容，將套件歸類為已驗證的正常基礎設施，並輸出檢測結果，這麼做是因應資安公司仰賴自動化的大型語言模型來檢查並找出有問題的套件及程式碼。</p> <p>接著，Miasma使用模組化的酬載、並採取分離式的設計，透過主程式作為啟動工具，載入並解密16個具備獨立功能的酬載。主要的核心惡意程式會根據作業系統與情境，解密並部署特定的模組，從記憶體讀取機密資料、在IDE與CI/CD建置後門，以及設置C2代理程式。然後，讀取GitHub Actions執行器的記憶體內容，擷取機密資料，並透過3種不同的通道建立C2通訊，將竊得的憑證經過混合加密處理，傳送到攻擊者控制的GitHub儲存庫。</p> <p>完成上述工作後，Miasma會透過多種方法進行橫向移動及自我感染，這些管道包括：SSH和SCP連線，PyPI與NPM的OIDC信任組態設定以繞過SLSA驗證、注入GitHub Actions工作流程，以及注入開發環境的AI程式碼助理與IDE工具。</p> <p>值得留意的是，這些駭客還會在受害的開發環境建立持續存取管道，他們會部署C2輪詢處理程序，同時，Miasma還會植入另一個背景服務blob，此服務會利用竊得的權杖輪詢GitHub API，一旦發現權杖被撤銷，就會執行資料抹除指令。</p> </div></div></div>
6/10 15:52作者周峻佑https://www.ithome.com.tw/news/176517
Miasma蠕蟲攻擊延伸到PyPI儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本月初Shai-Hulud蠕蟲出現變種Miasma，最早<strong><a href="https://www.ithome.com.tw/news/176301">攻擊Red Hat雲端服務的NPM套件</a></strong>引起多家資安公司注意，後續<strong><a href="https://www.ithome.com.tw/news/176422">染指AI程式碼工具ai-sdk-ollama、@vapi-ai/server-sdk</a></strong>等NPM套件，並導致<strong><a href="https://www.ithome.com.tw/news/176432">微軟73個儲存庫遭GitHub停用</a>，</strong>如今傳出該蠕蟲危害範圍延伸到PyPI生態圈。</p> <p>6月7日<strong><a href="https://socket.dev/blog/shai-hulud-descends-to-hades-miasma-pypi-wave#Hades-adapts-Miasma-tradecraft-for-PyPI">資安公司Socket指出</a></strong>，他們在PyPI發現新一波攻擊活動Hades，駭客入侵了19個套件，並上傳了37個惡意版本的套件，這些惡意套件挾帶特定檔案，會在開發環境的Python啟動時自動執行，下載JavaScript執行環境Bun，然後執行經混淆處理的惡意酬載_index.js。此酬載主要的功能是竊取開發環境與CI/CD管線的憑證與秘密，涵蓋GitHub、NPM、PyPI、RubyGems、JFrog、CircleCI、Anthropic、AWS、GCP、Azure、Kubernetes、Vault、SSH金鑰、Docker組態設定、shell執行記錄、環境變數檔案、Claude與MCP設定，以及其他本機或使用者可存取的憑證。</p> <p>此次攻擊的特徵是跨執行環境，惡意程式不依賴既有的Node.js或Python，而是在受害電腦強制安裝Bun作為執行環境，顯示出高度適應能力。外洩路徑主要透過GitHub儲存庫與GitHub Actions工作流程。此外，惡意程式還偽裝成向Anthropic API發送流量，以混淆網路監控。受影響的套件多為生物資訊研究工具，如dynamo-release、spateo-release、coolbox、napari-ufish、ufish 等，累計下載量達數十萬次，顯示攻擊者鎖定高價值研究機構。</p> </div></div></div>
6/10 14:15作者周峻佑https://www.ithome.com.tw/news/176515
歐盟要求Meta恢復競爭對手AI助理免費接入WhatsApp
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1276" target="_blank">歐盟執委會（European Commission，EC）周二（6/9）宣布</a>，已對Meta採取臨時措施（Interim Measures），要求Meta在5個工作天內恢復競爭對手通用型AI助理對WhatsApp Business API的免費存取權，並在EC作出最終裁決前維持相關措施。</p> <p><a href="https://www.ithome.com.tw/news/171751" target="_blank">Meta於2025年10月修改</a>WhatsApp商業解決方案使用條款，規定自2026年1月15日起，禁止AI供應商直接或間接存取WhatsApp Business Solution，等同禁止ChatGPT、Perplexity、Luzia或Poke等第三方通用型聊天機器人透過企業帳號在WhatsApp上提供AI助理服務，只留下Meta自家的Meta AI。</p> <p>歐盟執委會則於2025年12月展開反壟斷調查，檢視Meta是否濫用其在通訊應用市場的支配地位，藉由WhatsApp限制AI助理市場競爭。Meta隨後修正政策，重新允許第三方通用型AI助理使用WhatsApp Business API，但改為向AI供應商收費。<a href="https://developers.facebook.com/documentation/business-messaging/whatsapp/pricing/ai-providers/" target="_blank">根據Meta開發者文件</a>，相關AI供應商收費政策自2026年2月16日起生效。</p> <p>不過，EC認為，該收費機制在實務上與先前的存取禁令效果相當，因此仍可能限制市場競爭。</p> <p>EC表示，Meta在歐洲消費者通訊應用市場初步具有支配地位，而WhatsApp是AI助理接觸用戶的重要入口；通用型AI助理市場仍在發展初期，若Meta限制競爭對手使用WhatsApp，可能削弱新創及較小AI業者挑戰大型平臺的機會，並對市場競爭造成難以彌補的損害。</p> <p>因此，EC要求Meta恢復第三方通用型AI助理對WhatsApp Business API的存取權，並依照2025年10月15日前的條件提供服務，包括維持免費使用，相關措施將持續至EC完成此案的最終裁決。Meta若未遵守臨時措施，可能面臨最高達前一會計年度全球營收10%的罰款。</p> </div></div></div>
6/10 14:33作者陳曉莉https://www.ithome.com.tw/news/176516
Google推出Gemini 3.5 Live Translate，支援70多種語言即時翻譯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/models-and-research/gemini-models/gemini-live-3-5-translate/" target="_blank">Google周二（6/9）發表全新語音模型Gemini 3.5 Live Translate</a>，可在超過70種語言之間提供接近即時的語音對語音翻譯能力。Google表示，新模型可自動辨識語言，並在翻譯過程中保留原始講者的語調、語速與音高，讓跨語言對話聽起來更自然。相關功能即日起陸續導入Google翻譯App、Google Meet及Gemini Live API。</p> <p>Google的Live Translate最早源自Pixel Buds耳機的即時翻譯功能，當時需搭配Pixel手機與Google Translate使用。<a href="https://www.ithome.com.tw/news/172816" target="_blank">2025年底Google將該功能擴大至所有耳機裝置</a>，而此次推出的Gemini 3.5 Live Translate，則是以新的Gemini音訊模型強化既有即時語音翻譯能力。</p> <p>新的Gemini 3.5 Live Translate可直接處理串流語音輸入，不需手動設定語言，並具備較佳的背景噪音容忍能力，可應用於跨語言通話、會議、教學、直播與現場口譯等場景。Google表示，與傳統需等講者說完整句話再翻譯的系統不同，Gemini 3.5 Live Translate能持續接收語音並同步產生譯文，在翻譯品質與延遲之間取得平衡，通常僅落後講者數秒。</p> <p>Google Meet未來也將改採Gemini 3.5 Live Translate作為語音翻譯核心。Google表示，相較於先前Google Meet語音翻譯功能僅支援5種語言，新版本將擴大至70多種語言與2,000多種語言組合，並提供更快速的翻譯啟用介面。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0610-Google%20Meet%20with%20Gemini%203_5%20Live%20Translate-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/Google</span></span></p> <p>開發者則可利用Gemini Live API，搭配Agora、LiveKit、Pipecat等即時媒體平臺快速建置語音翻譯應用。Google翻譯App用戶只要連接耳機，即可進行雙向即時語音翻譯。</p> <p>所有由模型產生的音訊都會嵌入SynthID數位浮水印，以利辨識AI生成內容，降低深偽音訊與假訊息濫用風險。</p> <p>目前叫車平臺Grab已測試利用該模型，讓司機與乘客在接送過程中進行近即時跨語言溝通。Gemini 3.5 Live Translate支援英文、中文、日文、韓文、西班牙文、法文、德文等逾70語言。</p> </div></div></div>
6/10 13:25作者陳曉莉https://www.ithome.com.tw/news/176513
歐盟版Office上線，限量開放企業組織申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://github.com/Euro-Office" target="_blank">歐盟版生產力軟體Office EU已在6月9日公布Office EU Web版</a>，提供類似Microsoft 365及Google Workspace的生產力軟體套件。目前僅接受非營利組織或中小企業申請邀請碼加入使用。</p> <p>Office EU先前名為Euro-Office，本質上是要提供類似Microsoft 365或Google Workspace的生產力軟體，但主打歐洲數位主權概念，技術完全自主且資訊不受控外國政府。Office EU由歐盟IT業者及開源專案組織聯合開發，並代管於歐洲的資料中心，強調得以不受外國政府監控。其核心100%為開源，且較傳統開源生產力套件更能相容Microsoft 365或Google Workspace。</p> <p>在功能方面，Office EU提供EU Docs、EU Spreadsheet、EU Presentation、EU Calendar、EU Talk、EU Email，並提供雲端硬碟空間EU Drive。<a href="https://github.com/Euro-Office" target="_blank">根據其GitHub網頁</a>，Office EU目前為Web應用，支援格式包括DOCX、 PPTX、XLSX、PDF、ODT、ODS、ODP及TXT等，允許即時和他人共同編輯文件、試算表和簡報。EU-Office聯盟正在開發手機及桌機版本。</p> <p>Office EU開發聯盟EU- Office聯盟並未提供硬碟空間規格。</p> <p>Office EU將提供歐盟27國及英國、瑞士及挪威約5.3億人士使用。不過現階段Office EU僅以早鳥（Early Access）方式<a href="https://office.eu/request-invitation" target="_blank">開放組織申請邀請碼加入試用</a>。</p> </div></div></div>
6/10 13:31作者林妍溱https://www.ithome.com.tw/news/176514
蘋果Safari能自動變更外洩密碼、通知網站新動態、還能生成用戶想要的外掛
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在WWDC上，除了Siri AI，<a href="https://www.apple.com/newsroom/2026/06/apple-intelligence-brings-powerful-ai-capabilities-into-everyday-experiences/" target="_blank">蘋果也宣布Safari新增功能</a>，包含能自動變更密碼的代理人Passwords、及告知網頁新資訊的代理人Notify Me，以及讓用戶口說生成外掛的Describe an Extension及依主題組織分頁的新功能。</p> <p>Safari在Apple Intelligence協助下新增智慧代理人功能。Safari原本就能針對弱密碼及外洩密碼發出警告，現在新增了代理人功能Passwords，能代用戶登入網站並更新為強密碼。</p> <p>Notify Me則為資訊通知代理人。這類似Google於Google I/O大會上公布的<a href="https://www.ithome.com.tw/news/175950" target="_blank">資訊代理人</a>（Information Agent），為長時間運作的自主網頁代理人。用戶可要求Safari的Notify Me代為關注某個網頁，在某個條件如產品補貨或降價時發出通知。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0610-Notify%20Me-safari.jpg" style="width: 450px;" /></p> <p>Describe an Extension功能則讓用戶可以描述想要什麼功能，Safari就能在工具列中生成自訂外掛，例如用戶「想要一個能儲存並對嘗試過的食譜進行評分的按鈕」，Safari就會建立出這麼一個按鍵出來。最後，Safari可以將用戶開啟的一大堆分頁以更有系統方式組織起來。假設用戶正在規劃旅行。Safari可將這些分頁按照主題組合起來，隨著用戶開啟更多分頁，Safari也會適時建立新主題群組。</p> <p>新版Safari已在WWDC發表當天（6/8）釋出開發者測試版，絕大多數一般用戶適用的版本，要等到今年秋天隨著新系統（iOS 27、macOS 27）正式推送。</p> </div></div></div>
6/10 12:24作者林妍溱https://www.ithome.com.tw/news/176507