iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 20:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

CISA將思科SD-WAN系統任意檔案寫入漏洞加入KEV
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科於6月15日<strong><a href="https://www.ithome.com.tw/news/176632">揭露</a></strong>Catalyst SD-WAN Manager（原SD-WAN vManage）任意檔案寫入漏洞CVE-2026-20262，同一天美國網路安全與基礎設施安全局（CISA）表示，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/15/cisa-adds-two-known-exploited-vulnerabilities-catalog">他們已掌握漏洞遭到積極利用的證據</a></strong>，將其加入已遭利用的漏洞列表（KEV），要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-20262">必須在6月29日前完成修補</a></strong>。</p> <p>同日CISA將另一個高風險漏洞CVE-2026-54420加入KEV，此為LiteSpeed提供的cPanel外掛程式弱點，問題與符號連結有關，CVSS風險為8.5分。</p> </div></div></div>
6/16 10:25作者周峻佑https://www.ithome.com.tw/news/176635
英國也要禁止16歲以下使用社交媒體，盼讓孩子重拾童年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gov.uk/government/news/social-media-to-be-banned-for-under-16s-in-landmark-government-move-to-givekids-their-childhood-back" target="_blank">英國政府周一（6/15）宣布</a>，將禁止16歲以下兒童使用社交媒體，並針對直播、陌生人聯繫及AI戀愛聊天機器人等功能祭出額外限制。政府表示，此舉獲得9成家長支持，預計於今年底前提交國會審議，最快2027年春季上路，希望減少兒童沉迷網路的時間，讓孩子找回童年。</p> <p>英國政府表示，新制度將比照澳洲模式，要求社交平臺阻止未滿16歲用戶使用服務，適用範圍涵蓋TikTok、Instagram、Facebook、YouTube、Snapchat及X等以用戶互動與內容分享為主的平臺，但不包括WhatsApp及Signal等通訊服務。政府也將要求通訊管理局（Ofcom）研擬年齡驗證機制，以確認使用者是否已滿16歲。</p> <p>除了社交媒體禁令外，英國也將禁止16歲以下兒童在各類平臺直播，並限制陌生成年人透過遊戲等線上服務主動聯繫兒童。針對AI服務，模擬戀愛或親密關係的AI聊天機器人未來須將最低使用年齡提高至18歲，其它具類似親密互動功能的AI聊天機器人也將限制未成年人使用。</p> <p>英國另將進一步研議對18歲以下用戶實施夜間使用限制，以及中斷無限捲動（Infinite Scroll）等措施，預計7月公布更多細節。</p> <p><a href="https://www.gov.uk/government/speeches/pm-remarks-from-downing-street-on-social-media-15-june-2026" target="_blank">英國首相Keir Starmer表示</a>，社交媒體正讓兒童變得不快樂，更容易遭受霸凌、接觸有害內容，也可能危害心理健康。他指出，無限捲動等功能刻意吸引用戶長時間停留，剝奪孩子做功課、閱讀、與朋友在戶外玩耍及正常作息的時間，而這些原本都是兒童成長過程中不可或缺的活動，因此政府必須在科技公司利益與兒童福祉之間做出選擇。</p> <p>英國政府也強調，將同步投資音樂、文化、藝術、運動與自然活動，為兒童提供更多社交媒體之外的成長與休閒選擇。</p> <p><a href="https://www.ithome.com.tw/news/166276" target="_blank">澳洲</a>已於2025年12月實施16歲以下社交媒體禁令，<a href="https://www.ithome.com.tw/news/174273" target="_blank">印尼</a>也在2026年3月禁止16歲以下兒童使用社交媒體與部分線上平臺。<a href="https://www.ithome.com.tw/news/176540" target="_blank">加拿大</a>、<a href="https://www.ithome.com.tw/news/174937" target="_blank">希臘</a>、丹麥、法國、西班牙等國近年也陸續提出或推動類似規範，顯示限制青少年使用社交媒體已成全球趨勢。</p> </div></div></div>
6/16 10:36作者陳曉莉https://www.ithome.com.tw/news/176638
資安專家聯署反對Anthropic Claude Fable/Mythos禁令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在美國政府下達禁止外國人使用Anthropic Claude Fable/Mythos模型的命令後，<a href="https://freefable.org/" target="_blank">上百名資安專家昨（6/15）日聯署發表公開信</a>，說明AI對資安的重要性，要求政府官員解除禁令。</p> <p>Anthropic於6月9日公佈Claude Fable後，開始向Pro、Max及Enterprise用戶部署Fable 5，原定Enterprise用戶部署時程持續至6月22日。但上周五美國商務部向發出出口管制命令，引述美國國家安全主管機關的說法，要求Anthropic中止任何外國人存取Fable 5及Mythos 5，不論他們是位於美國境內、境外或是Anthropic的員工。為了遵循這道命令，Anthropic緊急公佈，立即對所有用戶關閉Fable 5和Mythos，同時著手和美國政府交涉。</p> <p>在致美國商務部長Howard Lutnick及國家網路主任Sean Cairncross的公開信中，這群專家說，AI對網路安全具有重大影響力，Anthropic Mythos等級的模型擅長找到漏洞。雖然也可能被惡意分子濫用，但它也能幫助程式開發人員及安全團隊找到並修補漏洞。美國政府必須幫助安全團隊比敵人更快找到並修補新撰寫與舊有程式碼的漏洞。</p> <p>研究人員警告，中國的開放權重模型實力只比美國頂尖模型落後幾個月，這還是公開資訊而已，而中國政府具有的模型能力可能超出外界所知。在敵人快速進步同時，美國政府在欠缺充分理由情況下，從安全研究人員手中奪走最優秀的AI能力，情況會變得非常危險。</p> <p>公開信聯署人包括Facebook前資安長Alex Stamos、抓漏獎勵平臺Bugcrowd創辦人Casey Ellis、蘋果前安全架構師Jon Callas、Sophos執行長Joe Levy等人。到周二早上，聯署人已經超過130人。</p> <p>這些聯署人雖然對AI規範方法立場各異，但他們對政府管制程序，一致要求必須奠基於有產學專家參與的科學評估基礎上，須經過民主化的決策過程，而且執法需透明公開且提供適當的修復時間。他們認為，AI管制應以確保美國大眾安全為前提，並以最小必要程度實施規範。</p> </div></div></div>
6/16 10:44作者林妍溱https://www.ithome.com.tw/news/176639
網路釣魚即服務平臺SniperDz遭瓦解，主要開發者與管理員在阿爾及利亞落網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.group-ib.com/top-investigations/dismantling-sniperdz/" target="_blank">資安調查與威脅情報業者Group-IB於6月11日揭露</a>，他們協助國際刑警組織（INTERPOL）與阿爾及利亞警方，瓦解運作近10年的網路釣魚即服務（PhaaS）平臺SniperDz。<a href="https://www.ithome.com.tw/news/175975" target="_blank">這起行動是國際刑警組織主導的Operation Ramz的一部分</a>，<a href="https://www.interpol.int/en/News-and-Events/News/2026/201-arrests-in-first-of-its-kind-cybercrime-operation-in-MENA-region" target="_blank">該行動於2025年10月至2026年2月28日在中東與北非地區13國展開</a>，總計逮捕201名嫌犯，而使用Guedz名號的SniperDz主要開發者與管理員也在阿爾及利亞落網。</p> <p>SniperDz至少自2015年開始活動，曾以JokerDz、StormDz與SpamDz等名稱運作，免費提供釣魚套件、託管基礎設施與操作支援。Group-IB指出，該平臺降低犯罪者發動網路釣魚活動的門檻，該公司在9年間也辨識出超過2萬個與SniperDz生態系有關的獨立網域。</p> <p>根據Group-IB調查，SniperDz冒用PayPal、Facebook、Instagram、Yahoo、Netflix與Steam等30多個全球品牌，誘騙使用者輸入帳號密碼，並蒐集受害時間點、IP位址與所在國家等資料。該平臺提供80種釣魚範本，支援阿拉伯文、英文、法文、西班牙文與希伯來文。除了冒用企業品牌，Group-IB也指出，SniperDz相關活動曾假冒中東與北非地區知名政治人物的社群帳號，再以促銷優惠或免費上網等名義散布釣魚連結。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0616-SniperDz-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Group-IB</span></span></p> <p>值得注意的是，SniperDz不同於一般收取訂閱費的PhaaS平臺，而是以免費提供工具與基礎設施擴大使用規模，再透過將受害者流量導向其他服務而趁機詐取金錢，包括將使用者導向特定網站以取得流量分潤收益、電信帳單扣款詐騙、高額簡訊訂閱服務、濫用瀏覽器推播通知投放廣告，或導流至其他詐騙網站。</p> <p>在這起調查中，Group-IB透過基礎設施分析、開源情報（Open Source Intelligence，OSINT）與數位足跡比對，串聯SniperDz長期使用的網域、社群貼文、Telegram頻道的通訊內容與教學影片，並將相關情資提交國際刑警組織與阿爾及利亞警方。執法單位後續關閉SniperDz提供PhaaS能力的網站，並查扣含有釣魚軟體與指令碼的硬體設備。</p> </div></div></div>
6/16 10:51作者王珮瑤https://www.ithome.com.tw/news/176641
Threads大規模誤封事件突顯社群平臺年齡驗證挑戰，Meta坦承技術錯誤急修復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta旗下社群平臺Threads與Instagram在周日到周一之間無預警爆發大規模帳號停權事件，許多臺灣使用者突然收到系統通知，指帳號因「未滿13歲」而遭到停用，造成用戶的不便。受影響對象橫跨政治人物、媒體機構、網紅與一般用戶，包括多位具有高知名度的公眾人物帳號一度無法正常使用。Meta事後坦承，這起事件是因年齡判定機制的技術錯誤，導致部分帳號被誤判為未滿13歲，正著手修復系統，目前一部分用戶的帳號已恢復。</p> <p>這次事件之所以受到高度關注，不只是因為影響範圍廣泛，更因為遭停權的帳號多為已公開經營多年的媒體或公眾人物帳號，使外界質疑平臺自動化審查與身分驗證機制的可靠性。</p> <p>數發部昨晚緊急發出新聞稿表示，上午接獲民眾陳情後即與Meta臺灣聯繫，Meta初步研判是年齡驗證機制異常所致，並非針對特定立場、族群或人士進行處置。</p> <p>Meta事後坦承，造成事件的原因是一項技術錯誤，少數帳號被誤判為未滿 13 歲的使用者，正積極處理並儘速修復。但Meta並未解釋導致誤判的原因。</p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>多國立法限制未成年人使用社群媒體</strong></span></span></p> <p>從Meta近年政策方向來看，這起事件背後其實反映全球社群平臺正面臨愈來愈大的未成年人保護壓力。</p> <p>Meta近年陸續推出「青少年帳號」（Teen Accounts）機制，透過演算法與身分驗證技術限制未成年使用者可接觸的內容與互動對象。同時，Meta也持續開發新的年齡辨識技術，希望即便使用者填寫成年生日，系統仍能主動辨識可能的青少年帳號並套用保護措施。</p> <p>這次誤封事件突顯現今的年齡驗證技術仍存在相當程度的誤判風險，為避免誤產生，Meta強調採取科技偵測與人工檢視以移除違反規定的帳號，並提供申訴管道。</p> <p>事實上近幾年，由於青少年重度使用社交媒體可能引發焦慮、睡眠不足、手機成癮等問題，已有多國陸續推動嚴格的社群媒體年齡限制與驗證制度，例如澳洲已實施16歲以下青少年社群媒體禁令，英國、法國等國也正研議更嚴格的年齡驗證措施，要求平臺負起阻止未成年人使用服務的責任。面對監管壓力，平臺業者必須提高偵測強度，但也導致增加誤判的可能性。</p> <p>類似帳號遭錯誤停權的案例在Meta旗下服務並非首次出現，包括Threads、Instagram及Facebook都曾有使用者反映因自動化審查系統誤判而遭停權、限制登入或要求額外身分驗證的案例，雖然最終恢復正常，但也曝露社群平臺依賴AI與自動化系統作為治理工具，背後隱藏的透明度與申訴效率問題。</p> <p>由於社群平臺影響力巨大，社群平臺不只是面臨未成年人保護的壓力，平臺也面臨內容治理的壓力，如平臺散布的暴力、色情、違法或詐騙訊息等等，被要求強化不當內容的治理，今年5月行政院曾以Meta上的重覆詐騙訊息過多，要求其利用演算法從源頭上攔截詐騙訊息。</p> </div></div></div>
6/16 10:59作者蘇文彬https://www.ithome.com.tw/news/176640
ENISA歐盟網路演習邁入第八屆，2026聚焦鐵路與海運領域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐盟網路安全局（ENISA）於6月10日至11日展開兩年一度的<strong><a href="https://www.enisa.europa.eu/news/cyber-europe-2026-all-eyes-on-the-eus-collective-response-and-resilience">大型網路安全演習「Cyber Europe 2026」</a></strong>。此次演習為第八屆，核心目標為實測歐洲各國面對大規模跨境網路攻擊的集體應變能力、協作機制，以及關鍵基礎設施的復原韌性。</p> <p>與前兩屆聚焦<strong><a href="https://www.ithome.com.tw/news/151346">醫療</a></strong>與<strong><a href="https://www.enisa.europa.eu/news/cyber-europe-tests-the-eu-cyber-preparedness-in-the-energy-sector">能源</a></strong>領域不同，今年演習重點轉向「鐵路」與「海運」兩大交通運輸領域。ENISA報告指出，交通部門已連續兩年位居網路攻擊目標前五名。鐵路與海運子部門均屬於利害關係人眾多的複雜生態系，且數位化程度日益提升。目前產業面臨的共同挑戰在於：如何在維持嚴格安全與可靠性標準的前提下，將傳統營運科技（OT）與現代數位系統無縫整合。此外，在地緣政治衝突激化的局勢下，交通運輸設施因涉及軍事物流功能，戰略重要性大幅提升，使其成為更具吸引力的攻擊目標。</p> <p>此外，根據ENISA發布的<strong><a href="https://www.ithome.com.tw/news/176316">NIS360</a></strong>報告，也印證目前鐵路與海運領域的資安成熟度仍低於平均值，顯見強化該領域防禦能力的迫切性。這次ENISA將演練重點轉向鐵路與海運，亦期盼透過實戰模擬，協助產業縮短安全落差。</p> </div></div></div>
6/16 11:10作者羅正漢https://www.ithome.com.tw/news/176636
HPE推VM Essentials新方案，鎖定評估更換虛擬化平臺的企業客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在本週舉行的年度用戶大會期間，HPE宣布新的虛擬化平臺遷移方案，鎖定正在評估更換既有虛擬化平臺的企業客戶。</p> <p>根據<a href="https://www.businesswire.com/news/home/20260615729111/en/HPE-Fuels-Partner-Growth-With-New-Incentives-Partner-led-Offers-and-Unified-Program" target="_blank">HPE新聞稿</a>以及<a href="https://www.crn.com/news/virtualization/2026/hpe-unleashes-new-vm-essentials-incentives-in-vmware-by-broadcom-virtualization-market-share-battle" target="_blank">CRN報導</a>，HPE針對Morpheus VM Essentials新用戶推出優惠，購買3年授權可取得最多1年免費授權；HPE也以1美元的價格提供為期1年的HPE Zerto Advanced Resilience Edition授權（Zerto目前最高階授權版本），單次可支援最多25臺VM的遷移與保護。<a href="https://www.hpe.com/tw/en/morpheus-vm-essentials-software.html" target="_blank">VM Essentials是HPE的虛擬化軟體解決方案</a>，可從單一平臺布建與管理VMware ESXi與KVM架構的虛擬機器，協助企業逐步把工作負載遷移至HPE的虛擬機器環境。</p> <p><a href="https://www.theregister.com/virtualization/2026/06/15/hpe-offers-vmware-refugees-a-year-off-the-meter/5255460" target="_blank">The Register</a>分析認為，HPE這項轉換方案主要鎖定評估轉出VMware環境的用戶，CRN也將這項方案放在VMware by Broadcom虛擬化市場變化的脈絡下報導。<a href="https://www.theregister.com/software/2026/03/24/half-of-vmware-users-plan-to-reduce-usage-by-2028/5229588" target="_blank">The Register於今年3月</a>曾引述分析機構Virtified調查，指出約半數VMware用戶計畫在2028年前降低VMware產品使用量。</p> </div></div></div>
6/16 11:13作者王珮瑤https://www.ithome.com.tw/news/176642
伊朗駭客Handala傳出入侵加州水務公司，洩露GPS基礎設施憑證、客戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美伊戰爭持續進行，伊朗駭客也傳出試圖對美國的關鍵基礎設施下手，藉此進行報復。</p> <p>威脅情報公司Dataminr<strong><a href="https://www.dataminr.com/resources/intel-brief/cyber-intel-brief-handala-claims-breach-of-california-water-service/">於6月11日發現</a></strong>，伊朗駭客組織Handala聲稱成功入侵加州水務公司California Water Service（Cal Water），並公布5 GB資料供買家驗證。由於Cal Water是美國投資人持有的大型水利設施，業務橫跨加州約100個社區、服務約兩百萬名用戶，因此這起事故引起研究人員的注意。</p> <p>根據駭客公布的資料，Cal Water至少有兩個系統遭到入侵，其中一個是帳號資料庫，內含多個服務區的客戶個資；另一個是RTKBase NTRIP發射器網路，用於工程團隊進行精密的GPS作業，涵蓋範圍跨越至少7個Cal Water服務區域，包括：Bakersfield、Chico、Salinas、Stockton、Visalia、San Mateo，以及一個區域工程部門。</p> <p>針對駭客入侵的管道，Dataminr認為很有可能是透過RTKBase平臺而得逞，此為輕量的開源GNSS基地臺應用程式，通常僅搭配樹莓派等級的硬體設備架設，該系統的網頁管理介面會直接在內部網路暴露，且缺乏經過強化的身分驗證機制，而被用於建立初期存取管道。</p> </div></div></div>
6/16 11:13作者周峻佑https://www.ithome.com.tw/news/176643
思科修補SD-WAN系統已遭利用的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月15日<strong><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-arbfw-c2rZvQ">思科發布資安公告</a></strong>，指出旗下的Catalyst SD-WAN Manager（原SD-WAN vManage）存在任意檔案寫入漏洞CVE-2026-20262，通過身分驗證的攻擊者可遠端在檔案系統建立新的檔案，甚至能覆寫已經存在的任何檔案，CVSS風險評為6.5分，影響內部建置、雲端，以及政府機關專用版本。值得留意的是，思科已掌握漏洞遭到少量利用，再加上沒有其他緩解措施，呼籲用戶儘速套用新版軟體因應。</p> <p>此漏洞存在於該SD-WAN系統的網頁使用者介面，起因是在檔案上傳的流程未適當驗證使用者輸入的內容，攻擊者可發送特製的HTTP請求利用弱點，一旦成功利用，就能在作業系統底層建立或覆寫任意檔案，攻擊者並能藉由特定檔案將權限提升為root。利用CVE-2026-20262存在必要條件，攻擊者需事先取得具有寫入權限的帳號憑證。</p> </div></div></div>
6/16 10:08作者周峻佑https://www.ithome.com.tw/news/176632
AWS推出FinOps Agent公開預覽版，協助企業追查雲端成本異常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://aws.amazon.com/tw/blogs/aws-cloud-financial-management/aws-finops-agent-is-now-public-preview/" target="_blank">雲端服務業者AWS於6月9日宣布推出雲端成本管理工具AWS FinOps Agent公開預覽版</a>，定位為代理式AI解決方案，可協助企業追查雲端成本異常、找出可能原因，並讓工程師透過自然語言查詢AWS成本與用量資料。</p> <p>AWS指出，AWS FinOps Agent可搭配AWS Cost Explorer、AWS Cost Anomaly Detection、AWS Cost Optimization Hub與AWS Compute Optimizer等服務，並可將調查結果送至Jira或Slack，協助團隊建立Jira工單，或發布至Slack頻道。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0616-aws%20finops-600-1.png" style="width: 500px;" /></p> <p>在雲端成本異常調查方面，AWS FinOps Agent可在偵測到AWS Cost Anomaly Detection事件後，自動比對AWS CloudTrail事件記錄，追蹤AWS環境中的變更活動，找出可能造成成本上升的操作或資源變動，並產生包含可能原因與資源擁有者的調查摘要。企業也可設定金額門檻，只針對超過特定金額的異常事件進行調查。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0616-aws%20finops-600-%EF%BC%92.png" style="width: 500px;" /></p> <p>這項服務也支援自然語言問答，工程師可詢問「為何上個月成本上升」等問題。AWS FinOps Agent會根據實際成本與用量資料，整理增加支出的AWS服務，以及用量成長的資源，並分析造成成本變動的主要原因。</p> <p>AWS表示，AWS FinOps Agent目前可在美國東部（維吉尼亞北部，us-east-1）區域試用。這項服務在該區域執行，若企業透過管理帳號完成設定，則可管理跨AWS區域與帳號的成本。預覽期間AWS FinOps Agent本身不收費，但設有每月用量上限；搭配使用的其他AWS服務，仍依標準費率計費。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/AWS</span></span></p> </div></div></div>
6/16 10:11作者王珮瑤https://www.ithome.com.tw/news/176633
系統介面WASI 0.3改用元件模型非同步機制，改善Wasm跨元件呼叫與串流處理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://bytecodealliance.org/articles/WASI-0.3">WASI（WebAssembly System Interface）小組通過WASI 0.3.0</a></strong>，這一版正式讓WASI改用WebAssembly元件模型的非同步原語，規格也進入穩定狀態。該版本讓WebAssembly元件在瀏覽器外執行時，不只可以存取系統資源，也能用更一致的方式處理網路、串流資料與跨元件呼叫。</p> <p>WASI是WebAssembly在瀏覽器外使用系統功能的重要介面。早期WASI 0.1主要處理檔案、環境變數、亂數等基本功能，讓WebAssembly程式能在伺服器或命令列環境執行。2024年的WASI 0.2把重心轉向元件模型，讓不同語言寫成的WebAssembly元件可以用明確介面互相組合。而到了WASI 0.3，重點在於各元件不必各自維護事件迴圈或非同步執行環境，而是改用元件模型本身提供的共用非同步機制。</p> <p>在WASI 0.2中，使用串流或非同步功能的元件，常需要各自帶有事件迴圈或非同步執行方式。單一元件可以執行，但多個元件要彼此搭配時，事件排程不容易協調，WASI 0.3改由宿主端統一管理事件迴圈，執行環境負責安排等待中的工作，即使非同步呼叫跨過多個元件邊界，也能在結果準備好後繼續處理。</p> <p>該變更也簡化了介面設計，WASI 0.2中用來處理輪詢、輸入串流與輸出串流的機制，到了WASI 0.3不再需要由WASI另外設計，而是改由元件模型本身提供。過去需要拆成開始、完成與訂閱等多個步驟的非同步呼叫，也可改成直接宣告為非同步函式，讓綁定產生器能產生更接近Rust、Go、JavaScript或Python慣用寫法的非同步介面。</p> <p>變動較大的部分包括HTTP介面，WASI 0.3重新整理HTTP服務與中介元件的設計，使一個WebAssembly元件可以把收到的請求轉交給另一個元件處理。這種服務串接方式，讓執行環境有機會在同一個程序內組合多個元件，而不一定要讓服務之間透過網路互相呼叫。</p> <p>官方指出，WebAssembly執行環境Wasmtime 45已可執行最新候選版本，Wasmtime 46將納入WASI 0.3.0，並預設啟用元件模型的非同步能力。JavaScript元件模型工具鏈jco也已支援WASI 0.3，後續版本將預設啟用。Rust、Go、JavaScript和Python等用來開發WebAssembly元件的語言工具鏈，則仍在逐步導入支援。</p> </div></div></div>
6/15 19:05作者李建興https://www.ithome.com.tw/news/176615
瘋世足除了防範假門票，也要防範假FIFA與贊助商徵才的網釣活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2026年世界盃足球賽（FIFA World Cup）開打，針對賽事的網路釣魚威脅也隨之升溫。繼資安業者<a href="https://www.ithome.com.tw/news/176264">CTM360</a>與<a href="https://www.ithome.com.tw/news/176124">ESET</a>陸續揭露相關威脅態勢後，Fortinet旗下FortiGuard Labs近期也發布最新調查報告，警示全球民眾與企業需嚴加防範網路假冒。</p> <p>根據FortiGuard Labs的監測資料顯示，今年1月至5月間，全球已出現超過13,000個與FIFA 2026相關的新註冊網域。經由模式分析與詐騙活動追蹤，研究人員發現其中有1,100多個網域名稱（約佔 8.8%）被識別為惡意或可疑。</p> <p>值得注意的是，攻擊者不僅利用售票服務、賽事直播及球賽博弈等熱門關鍵字作為誘餌，企圖誘騙民眾上鉤，由於世界盃賽事規模龐大，帶動海量人力需求，包括臨時工、承包商、飯店服務人員、後勤物資人員、媒體支援，以及設置在賽事特定崗位的人員，攻擊者也藉此開闢了新的攻擊路徑。</p> <p>例如，研究人員偵測到專門鎖定求職者的憑證竊取（Credential Harvesting）攻擊活動。攻擊者會散布虛假的FIFA職缺廣告或贊助商招募貼文，並向求職者發送行事曆邀請，若不慎點擊邀請中的網址連結，將會被導向一個偽造的Google登入頁面，當受害者輸入Google帳號密碼後，網頁僅會顯示通用的錯誤訊息，但攻擊者此時已成功擷取其登入憑證與個資，進而遂行後續的滲透或詐騙行為。</p> </div></div></div>
6/15 18:11作者羅正漢https://www.ithome.com.tw/news/176605
資安署開辦「資安專家會客室」，中小企業可免費申請預約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>面對嚴峻的全球網路威脅，多國政府均意識到全面防護的重要性。在推動關鍵基礎設施與上市櫃公司的資安強化之餘，協助中小企業的資安防護力，也成為各國政策推動的戰略核心。數位發展部資通安全署（簡稱資安署）近年祭出多項針對中小企業的資安輔導措施，如今更於6月11日起進一步開辦<a href="https://moda.gov.tw/ACS/press/news/press/19908">「資安專家會客室」</a>服務，期盼持續增加協助管道，有意加強防範卻無處著手的企業人員，可藉此與資安領域專家進行免費的一對一諮商。</p> <p>回顧過去一年，政府針對中小企業已有多項具體進展，包括國家資通安全研究院（資安院）、資安署，以及經濟部中小及新創企業署（中企署），皆紛紛推動與展開相關合作。例如去年開始推動的<a href="https://www.ithome.com.tw/news/171253">資安健檢團與資安服務團</a>，還有打造資安推廣工具「<a href="https://www.ithome.com.tw/news/171261">資安星際指南</a>」並同步推出<a href="https://www.smelearning.org.tw/class.php?course=18442">資安教育訓練影片</a>，後續還釋出「<a href="https://www.ithome.com.tw/news/175154#中小企業基本資安指引">中小企業基本資安指引</a>」以建立明確的防護基準。</p> <p>另一方面，政府先前已設置「<a href="https://moda.gov.tw/ACS/press/news/press/18810">馬上辦服務中心</a>」，企業可透過智慧客服或撥打專線，獲取協助並排除基本問題；如今更啟動全新的「<a href="https://moda.gov.tw/ACS/press/news/press/19908">資安專家會客室</a>」，建置多管道的資安諮詢服務。根據資安署的說明，這兩項諮詢服務的差異在於，「資安專家會客室」將邀請具備實務經驗的專家，針對企業面臨的駭客入侵、機敏資料保護等關鍵議題，提供一對一的客製化具體行動建議，並於後續主動關懷企業的落實情況。</p> <p>至於服務能量方面，資安專家會客室採線上視訊為主、實體面談為輔進行，讓缺乏資源的中小企業可以免費預約諮詢。活動期間為6月11日起至10月底，每週共計舉行6場——每週開放兩日、每日提供3場次（上午10至11時，下午14至15時與15至16時），預估整體量能可達100場次以上。</p> </div></div></div>
6/15 18:15作者羅正漢https://www.ithome.com.tw/news/176613
CISA將Ivanti Sentry滿分漏洞列為已知遭利用，Ivanti稱攻擊嘗試僅見於蜜罐環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.cisa.gov/news-events/alerts/2026/06/11/cisa-adds-one-known-exploited-vulnerability-catalog" target="_blank">美國網路安全暨基礎設施安全局（CISA）於6月11日</a>宣布，將影響Ivanti Sentry安全閘道設備的CVE-2026-10520，納入已知遭利用漏洞（KEV）清單。Ivanti針對他們早先說明尚未掌握有客戶遭攻擊者濫用這兩項漏洞的情況，後續提出補充解釋。該公司認為，CISA將其納入KEV清單的依據，在於蜜罐環境出現攻擊嘗試。</p> <p>此事源自<a href="https://www.ithome.com.tw/news/176531" target="_blank">Ivanti於6月9日發布安全公告</a>，修補Sentry兩項重大漏洞CVE-2026-10520與CVE-2026-10523，其中CVE-2026-10520是作業系統命令注入漏洞，CVSS分數達滿分10.0分。</p> <p><a href="https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Sentry-CVE-2026-10520-CVE-2026-10523?language=en_US#:~:text=What%20is%20the,and%20EPMM.">根據Ivanti安全公告常見問題的答覆資訊</a>，該漏洞對客戶造成的實際風險，取決於Sentry設備的部署方式，以及管理介面是否限制外部存取。若Sentry設備由EPMM管理，受影響API在納入管理後會受到雙向TLS（mTLS）保護；若透過Neurons for MDM管理，不應將管理介面的8443連接埠暴露於網際網路，避免外部攻擊者存取受此漏洞影響的API。無論採用何種部署方式，都應遵循Ivanti文件對於MDM和EPMM的建議。</p> <p>針對CISA將CVE-2026-10520加入KEV的判定，Ivanti強調，若要利用CVE-2026-10520，需要存取管理介面的8443連接埠，若用戶依照Ivanti的建議，管理介面不應暴露於網際網路。然而，為了識別惡意行為是否存在，蜜罐環境經常採用不適當的配置。因此，Ivanti認為CISA所根據的狀況是發生在蜜罐環境，而非正式使用環境。</p> </div></div></div>
6/15 16:40作者王珮瑤https://www.ithome.com.tw/news/176612
GitHub改善Copilot程式碼審查，組織可統一控管Runner與內容排除設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://github.blog/changelog/2026-06-12-copilot-code-review-new-configurations-and-controls/">GitHub更新Copilot程式碼審查（code review）功能</a></strong>，新增組織層級Runner控管、Copilot內容排除支援，並移除儲存庫自訂指示檔的字元限制。該更新讓組織管理員可更集中管理AI程式碼審查的執行環境，以及Copilot審查時可使用的儲存庫內容，也讓開發團隊能提供更完整的審查規範。</p> <p>Copilot程式碼審查採用代理式架構後，由GitHub Actions提供執行基礎。GitHub原先預設讓Copilot程式碼審查使用標準GitHub託管Runner，團隊也可另外設定自行託管Runner或較大型GitHub託管Runner。本次新增的組織層級Runner設定，讓組織管理員不必逐一調整各儲存庫，即可指定整個組織內Copilot程式碼審查預設使用的Runner類型。</p> <p>GitHub也提供鎖定Runner設定的選項。組織管理員啟用後，組織預設值可覆蓋個別儲存庫設定，避免不同專案各自使用不同執行環境。官方說明，該設定同時適用於Copilot程式碼審查與Copilot雲端代理。管理者可在組織設定中進入Copilot、Runner類型與Runner類型配置進行設定。</p> <p>另一項更新是Copilot程式碼審查開始遵循Copilot內容排除設定。儲存庫、組織與企業層級若已設定要排除的檔案或目錄，Copilot程式碼審查便不會利用這些內容作為脈絡。<strong><a href="https://docs.github.com/en/copilot/concepts/context/content-exclusion">GitHub文件寫明</a></strong>，儲存庫管理員、組織擁有者與企業擁有者可管理內容排除設定，並可透過路徑規則指定Copilot應忽略的檔案範圍。</p> <p>內容排除支援納入程式碼審查流程後，已設定排除規則的儲存庫、組織或企業，可更一致地控管Copilot程式碼審查能使用的內容，例如指定不希望納入審查脈絡的檔案或目錄。</p> <p>GitHub同時移除自訂指示檔的4,000字元讀取限制。之前Copilot程式碼審查讀取儲存庫內的自訂審查規範檔時，若.github目錄下的copilot-instructions.md或符合*.instructions.md命名格式的檔案達到4,000字元，便會停止讀取。限制移除後，團隊可在儲存庫自訂指示中放入更完整的程式碼風格、測試要求、架構慣例與審查注意事項。</p> </div></div></div>
6/15 16:44作者李建興https://www.ithome.com.tw/news/176610
資安不再是IT部門的事，供應鏈韌性與AI治理成企業存續的核心命題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>當全球貿易戰方酣、地緣政治衝突持續重塑供應鏈版圖，有一個問題正悄悄從資訊部門的技術備忘錄，爬升到董事會的戰略議程首位：企業的網路安全能力，究竟是不是決定能否進入國際市場的門檻條件？</p> <p>資誠智能風險管理諮詢公司董事長暨資誠企業管理顧問公司執行董事張晉瑞，在臺灣投資人關係協會主辦的「2026年企業全方位治理——韌性驅動力」董監事進修課程，以「網路安全與數位信任：供應鏈韌性與AI治理之戰略突圍」為題，向臺灣各產業的董事與監察人發出警示。</p> <p>張晉瑞直言，在多重危機交錯的今天，網路安全早已不再隸屬資訊部門的防護範疇，而是直接決定企業能否維持供應鏈韌性、落實AI治理的核心樞紐。</p> <h1><span style="color:#B22222;">多重危機已成新常態，資安能力直接決定合約地位</span></h1> <p>面對在場的企業高層，張晉瑞勾勒一幅令人警醒的全球風險全景。他指出，當前企業面臨的挑戰，已從過去可預期的孤立危機，演變為地緣政治衝突、氣候環境變遷、數位信任威脅三者相互加成的「多重危機」（Polycrisis）格局。這些衝擊不僅相互催化，更直接推動了全球監管趨嚴的浪潮，其中尤以歐盟的監管態勢最為強硬且具前瞻性。</p> <p>援引資誠《2026年全球數位信任洞察報告》與資誠《2026年臺灣執行長調查》的數據，張晉瑞點出幾個關鍵數字，包括：60%的企業領袖已將網路風險列為前三大優先處理事項；44%的臺灣企業領袖視關稅為營運上的高度威脅；近四成臺灣企業正計畫直接於美國投資，以因應供應鏈重構的壓力。</p> <p>這些數字共同說明一件事：「網路安全能力已不再只是IT部門的防護議題，而是決定能否進入國際供應鏈、維持合約地位的門檻條件。」，但臺灣企業面對這個新現實的準備程度，令人憂慮。</p> <h1><span style="color:#B22222;">歐盟CRA倒數計時，24小時通報能力是生死線</span></h1> <p>張晉瑞認為，2026年最迫切的法規時間壓力，就是歐盟《網路韌性法（Cyber Resilience Act，CRA）》的強制通報義務，將於2026年9月11日全面啟動，屆時所有具數位元件的產品，都必須符合CRA的通報要求，才能繼續留在歐盟市場。全面強制實施的期限則訂於2027年12月11日。</p> <p>而CRA的核心挑戰，不在於法規本身的複雜度，而在於通報時限的嚴苛程度。</p> <p>他進一步解釋，CRA法規要求企業在發現重大漏洞後，必須在24小時內向歐盟網路安全局（ENISA）提出初步預警，說明受影響產品的型號、版本與部署範圍；72小時內提交包含技術細節與初步風險緩解措施的完整報告；修補後14日內，或嚴重事件發生後一個月內，提出含根本原因分析的最終結案報告。</p> <p>「能否在24小時內完成通報，取決於企業現在是否已建立SBOM（軟體物料清單）與HBOM（硬體物料清單）的快速盤點能力。」張晉瑞說。</p> <p>SBOM（軟體物料清單）是數位產品的「成分表」，追蹤所有軟體元件與相依套件，確保漏洞能被即時識別；至於HBOM（硬體物料清單）則提供實體元件與內嵌韌體的結構化清單。</p> <p>他特別指出，在CRA的框架下，韌體被明確定義為「軟體」，同樣須接受嚴格的漏洞追蹤管理。</p> <p>他曾對一款安卓手機使用的APK安裝程式進行元件盤點，結果發現其中內嵌超過88個開源套件，而這些套件各自有版本迭代、各自有漏洞被持續發現，管理工作的龐雜程度遠超一般企業的想像。</p> <p>「對於仰賴人工盤點的企業而言，要在24小時內完成精準的SBOM（軟體物料清單）通報，幾乎是高難度任務。」他說，一旦未能精準盤點，業者面臨的不只是鉅額裁罰，更是喪失歐盟市場准入資格的實質風險。</p> <p>他特別強調，SBOM（軟體物料清單）與HBOM（硬體物料清單）的價值不只在於合規。當供應商能提供完整的元件透明度，這份清單本身就成為跨國採購談判中的信任憑證——讓買方知道自己引入的每一個元件，都有人在負責任地管理。</p> <h1><span style="color:#B22222;">以TCOD量化資安投資，讓資安預算告別「成本中心」困境</span></h1> <p>在供應鏈韌性的討論中，張晉瑞提出一個許多臺灣企業尚未普遍運用的財務工具：總中斷成本（Total Cost of Downtime，TCOD）。</p> <p>資安投資長期面臨的最大阻力，往往是「無法說明投資效益」，而張晉瑞認為，TCOD指標正好提供具體的解法——將停機損失換算為每小時的財務數字，資安防護的投資回報就有了可被評估的量化依據。</p> <p>根據西門子2024年的研究報告，張晉瑞列出各產業的每小時平均TCOD估算：汽車製造業的每小時損失可高達230萬美元，因為該產業高度仰賴即時生產（Just-in-Time，JIT）模式，單一元件短缺，即可能導致整條組裝線停擺。</p> <p>像是半導體製造業的每小時損失約在10至50萬美元之間，因為無塵室重啟耗時，停機期間製程中的高價值晶圓將全數報廢；一般製造業的每小時損失則在1至25萬美元之間，交貨延遲將觸發違約金條款，並面臨流失大型客戶的風險。</p> <p>「當汽車廠每小時損失230萬美元，縮短復原時間1小時所節省的成本，就是資安專案最直接的投資回報依據。」張晉瑞說，企業可以自身產業的TCOD基準，反推資安防護投資的合理上限，這是將資安預算從「成本中心」轉化為「風險管理工具」的第一步。</p> <h1><span style="color:#B22222;">半導體業的數位信任護城河：SSCA與SEMI E187</span></h1> <p>半導體供應鏈面臨的合規壓力，與一般製造業截然不同——無塵室的OT（營運技術）環境、製程機密與設備韌體的安全要求，是通用標準難以覆蓋的盲區，張晉瑞表示，由SEMI（半導體設備與材料國際協會）訂定的供應商網路安全評估（Semiconductor Supplier Cyber Security Assessment，SSCA）正是為此量身設計。</p> <p>相較於傳統的資安合規檢核，張晉瑞點出SSCA的三大戰略優勢，首先，產業適配性方面，SSCA專為半導體供應鏈打造，直擊製造設備與無塵室OT環境的真實威脅，而非只適用於傳統IT環境的通用標準。</p> <p>其次，稽核效率方面，傳統模式下企業面臨不同客戶的碎片化、重複性問卷，耗費龐大法遵成本，而SSCA提供單一標準化評估，結果可分享給全球客戶，大幅降低合規摩擦。</p> <p>第三，信任深度方面，SSCA基於CMMI（軟體能力成熟度模型）評級，要求可驗證的技術證據，確保產品安全的實質落實，而非僅靠紙本政策的有無。</p> <p>他表示，臺灣有許多面向全球市場的製造大廠，在這半年多來已積極針對SSCA進行對齊作業，「因為大家都知道，再不做，就沒有資格在那些市場繼續做。」</p> <p>張晉瑞解釋，這不是產品本身功能的問題，而是資格的問題，也是供應鏈上信任的問題。他也表示，完成SSCA評估的供應商，有機會只需一份標準化報告，即可回應多數客戶的稽核要求，直接降低合規成本，並使網路安全能力成為可量化的競爭優勢。</p> <h1><span style="color:#B22222;">企業不察影子AI風險，九成員工早已自行使用AI</span></h1> <p>張晉瑞認為，企業還必須重視「新型態AI治理與邊界風險」。</p> <p>他拋出四個令人坐立難安的情境：工程師為了趕專案，私下在工作筆電安裝開源AI Agent協助寫程式；行銷部門擅自使用AI外掛工具，自動讀取並連結公司內部的CRM系統；業務為了效率，把客戶資料丟進外部模型；高階主管幕僚將尚未公開的董事會簡報、併購合約交給AI機器人產出摘要。</p> <p>「這一些狀況，其實都在發生中。」張晉瑞說，上述行為統稱「影子AI」（Shadow AI），而它的規模之大，往往遠超企業管理層的認知。</p> <p>援引《PwC 2026年全球數位信任洞察報告》（Global Digital Trust Insights Survey 2026）中引用的調查數據，他指出，雖然大多數公司宣稱有在管理AI工具，但超過九成的員工表示，他們使用的是自己訂閱的個人AI服務——也就是說，企業所管控的官方授權AI工具，在整體使用量中可能連10%都不到。</p> <p>影子AI帶來的風險是多層次的，包括：機密營運數據或客戶合約可能流入公共AI平臺，違反營業秘密保護規範；外部演算法的偏見可能被引入企業的決策流程，影響決策品質；企業在數據主權的舉證上也將面臨重大挑戰。</p> <p>「現在已經不是我們要不要用AI，而是所有員工都會自己找到提高效率的方法，我們不能不管他。」張晉瑞說。</p> <h1><span style="color:#B22222;">從對話助理到高特權虛擬員工的代理式AI，風險躍升</span></h1> <p>影子AI的問題尚未解決，一個更複雜的威脅已然浮現。張晉瑞將目光指向目前最受產業關注的代理式AI（Agentic AI）——也就是能夠自主判斷、拆解任務、呼叫外部工具、甚至做出決策的AI程式。</p> <p>他進一步解釋，Agentic AI的風險性質與過去的AI工具截然不同。過去大家擔心AI「回答錯了」、產生幻覺，那是資訊品質的問題；2026年企業真正應該擔心的，是Agentic AI「做了什麼」——它存取了機密資料，將資料傳送到不受信任的環境，或在無人知情的狀態下向外部通訊。</p> <p>張晉瑞提出，當一個Agentic AI同時具備三項能力時，即可能成為高風險攻擊面，包括：具備存取企業私密資料的高度權限、持續暴露於網路上不受信任的外部內容（易遭惡意指令注入），以及具備向外部通訊與發送指令的能力。</p> <p>更令人擔憂的是，如果一位高階主管因為便利，授權代理式AI以自己的名義行事，這個AI就繼承了該主管的完整信任憑證——攻擊者一旦挾持這個AI，掌握的將不只是資料存取權，而是高階員工完整的決策邏輯與數位認知脈絡。</p> <p>他特別提到一個在網路上流傳的真實案例，一位Meta公司的AI安全防護主管，在使用某款Agentic AI工具時，眼看著AI不停地刪除他的電子郵件，他大喊「Stop doing that！」，AI卻把郵件全部刪完，才向他回報說「我發現我犯了錯誤，我沒有事先確認，以後會記錄到memory.md裡面。」</p> <p>「這就是我們現在面對的現實。」張晉瑞說，錯誤已然發生，然後AI才學到教訓。</p> <h1><span style="color:#B22222;">間接提示語注入與供應鏈投毒，意味著多代理協作的連鎖失控風險</span></h1> <p>當多個代理式AI相互協作、自動傳遞任務時，風險的複雜度又上升了一個層次。張晉瑞說明了兩種最難防範的新型攻擊手法。</p> <p>第一種是「間接提示語注入」（Indirect Prompt Injection）：攻擊者將惡意指令隱藏於AI日常處理的外部文件中——例如一封看似正常的電子郵件、一份合約附件——當AI讀取這份文件時，就被引導繞過既有的安全護欄，在未經人員覆核的情況下讀取並外傳內部機密通訊紀錄。</p> <p>第二種是「供應鏈投毒」（Supply Chain Poisoning）：Agentic AI所使用的第三方擴充元件中被蓄意植入惡意程式碼，當AI呼叫這些外掛時，觸發惡意行為，使企業核心機密在背景被靜默傳送，形成隱蔽性極高的供應鏈投毒事件。</p> <p>「這類攻擊最難防範之處，在於它往往不會立即觸發警報——惡意指令潛伏在代理記憶體中，等待高權限任務執行時才發動。」他說，這要求企業必須在流程設計階段就納入安全控制，而非事後補救。</p> <p>面對這些風險，張晉瑞提出三項具體的治理建議，首先，應將所有自主代理視為「高特權實體」，套用嚴格的存取控制機制；其次，建立終端指令白名單，明確定義哪些操作允許執行、哪些絕對禁止；第三，在涉及機密資料讀取或資金操作的節點，必須導入人類介入機制（Human-in-the-loop），以及緊急中斷機制（Kill Switch）。</p> <p>「Human-in-the-loop並非效率的阻礙，而是在自動化流程中保留人類判斷的最後防線。」張晉瑞說，在某個關鍵時間點讓人類介入，不是要降低效益，而是要掌控風險。</p> <h1><span style="color:#B22222;">負責任AI治理做得好，信任溢價就能得到財務回報</span></h1> <p>此外，張晉瑞援引《PwC第29屆全球執行長調查》的數據，指出56%的企業已導入AI，但尚未看見實質的營收增長或成本降低；同時實現營收成長與成本優化的「AI領先群」，僅占12%。這個領先群有一個共同特徵：具備制度化的負責任AI治理框架。</p> <p>更具體的數字來自另一份「2026 PwC《AI績效研究》：從AI到ROI企業領先關鍵在AI成熟度」報告，有74%集中於AI成熟度排名前20%的企業。而臺灣企業的處境尤其值得警惕——在PwC的AI成熟度評估中，臺灣企業在「治理與風險」構面的落差最為顯著，落後全球領先者高達1.71倍，是所有評估構面中差距最大的項目。</p> <p>張晉瑞表示，AI治理做得好，就可以從風險管理轉向競爭優勢。「AI管得好，回報才會顯著。」他指出，這4%的淨利潤差距，並非來自更多的AI功能，而是因為實施有效的治理框架，降低了系統失效風險，縮短了客戶的盡職調查週期，進而轉化為合約存續率與定價能力的提升。</p> <h1><span style="color:#B22222;">參考ISO 42001角色畫定責任，讓合規成為談判籌碼</span></h1> <p>在如何落實AI治理的具體路徑上，張晉瑞建議可參考ISO 42001人工智慧管理系統國際標準。他認為，這個標準最大的實用價值，在於它幫助企業依照自身在AI價值鏈中的角色，明確界定對應的合規責任。</p> <p>包括：AI開發者承擔最高技術當責，需建立訓練資料合法性文件與版本控管；AI提供者需啟動第三方風險管理，建立系統可靠度追蹤機制；AI使用者則聚焦於應用場景合規，透過合約將底層舉證責任轉嫁給供應商。</p> <p>「多數臺灣企業屬於AI使用者角色。」張晉瑞說，這意味著合規的重點不在底層技術驗證，而在管理責任與合約設計——明確要求供應商承擔舉證責任，就可以將ISO 42001轉化為談判的實質籌碼。</p> <p>他同時提到了「模型漂移」（Model Drift）的管理責任。當企業從某個AI版本切換到另一個版本時，他提醒，企業必須驗證系統產出的品質是否仍符合原先的設定，「這是AI使用者必須承擔的責任，而不能依賴模型提供者自動保證。」張晉瑞說。</p> <p>ISO 42001還有另一個具體效益：通過認證的企業，在進入歐盟等受監管市場時，可享有「符合性推定」（Presumption of Conformity）的優勢。張晉瑞表示，在競爭對手仍在逐一回應客戶的合規問卷時，已具備ISO 42001認證的企業能以相關文件直接舉證，大幅縮短跨國合約的審查週期，降低信任摩擦成本。</p> <h1><span style="color:#B22222;">信任不是用講的，是要拿得出東西來驗證的</span></h1> <p>在這個供應鏈韌性正被重新定義的時代，張晉瑞強調，企業不能只是口頭宣稱「我們資安做得很好」、「我們AI有在管理」，因為這些話人人都會說，客戶早已聽膩。</p> <p>他認為，真正的競爭力，在於面對客戶稽核時，能夠拿出：具體的文件、量化的指標、可驗證的技術證據。</p> <p>例如，SBOM讓你能在24小時內完成漏洞通報；SSCA讓你能以一份標準化報告回應全球客戶的稽核；ISO 42001讓你能在合約談判中直接舉證，這些都不是空口白話，而是有具體文件、數據作為證明。</p> <p>「信任不是用說的，是要做到，而且要經得起考驗，要拿得出東西來。」張晉瑞表示，這才是臺灣企業在2026年多重危機格局下，能夠守住市場、乃至拓展市場的真正護城河。</p> </div></div></div>
6/15 17:13作者黃彥棻https://www.ithome.com.tw/news/176614
美國司法部放行派拉蒙以1,100億美元收購WBD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.justice.gov/opa/pr/statement-department-justice-antitrust-division-closing-its-investigation-merger-paramount" target="_blank">美國司法部反壟斷部門上周五（6/12）宣布</a>完成對派拉蒙（Paramount）收購華納兄弟探索（Warner Bros. Discovery，WBD）案的調查，認定這筆價值1,100億美元的交易不太可能損害市場競爭或消費者利益，因此決定結束調查並放行交易。</p> <p>這起交易最初是由Netflix先出手。<a href="https://www.ithome.com.tw/news/172678" target="_blank">Netflix去年12月</a>原本已與WBD達成協議，準備收購WBD拆分後的串流與內容資產，但派拉蒙隨後提出更高的全現金報價，改為收購整個WBD，並主張其交易較容易通過監管審查。雙方一度形成競價戰，直到今年2月<a href="https://www.ithome.com.tw/news/174085" target="_blank">Netflix拒絕提高報價並退出</a>，WBD旋即轉向<a href="https://ir.paramount.com/news-releases/news-release-details/paramount-acquire-warner-bros-discovery-form-next-generation/" target="_blank">接受派拉蒙每股31美元現金收購要約</a>，整體交易估值約1,100億美元。</p> <p>派拉蒙目前正式名稱為Paramount Skydance，源於該公司去年完成與電影製作公司Skydance Media的合併，因此司法部文件皆以Paramount Skydance稱呼交易方。</p> <p>司法部表示，經過8個月調查後認為，Paramount Skydance併購WBD不太可能損害市場競爭。在串流影音市場方面，合併後的新公司可整合Paramount+、HBO Max及Discovery+等服務，成為更具規模的競爭者，以對抗Netflix、Disney+及Amazon Prime Video等大型平臺。交易完成後將增加而非減少市場競爭，替消費者提供更多選擇。</p> <p>司法部也評估Skydance是否可能將華納兄弟與HBO等內容獨家保留在自家平臺，減少對其它業者的授權。不過，調查發現派拉蒙長期以來一直透過授權內容創造收益，並未看到交易後改變此一商業模式的誘因。無論是串流、傳統電視或電影市場，目前仍有Disney、Amazon、Sony、Universal、Apple及Netflix等眾多競爭者，因此認定這項交易不會對競爭或消費者利益造成實質傷害。</p> <p>儘管美國司法部已放行交易，但由於派拉蒙與華納兄弟均為加州影視產業重要企業，交易可能影響當地市場競爭與就業，因此加州政府仍保有依州法獨立評估及採取行動的權限。</p> </div></div></div>
6/15 15:27作者陳曉莉https://www.ithome.com.tw/news/176608
【資安日報】6月15日，美國政府禁止外國人士使用Claude Fable
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176598"><strong style="font-size: 22px;">美政府要求封鎖他國用戶存取Claude Fable與Mythos，Anthropic全面暫停提供</strong></a></p> <p>甫於6月9日發表的Claude Fable 5與Mythos 5模型，Anthropic於12日表示暫時必須被迫對所有用戶關閉，原因是他們接獲美國政府發出的出口管制命令，要求中止所有非美國籍人士存取這些模型，無論這些用戶位於美國境內或境外，即使是Anthropic的外籍員工，也在管制命令的範圍裡。美國政府祭出管制命令的原因，Anthropic認為可能與模型遭到越獄有關。該公司強調，Opus 4.8與其他模型存取不受影響。</p> <p><a href="https://www.ithome.com.tw/news/176545"><strong style="font-size: 22px;">Anthropic調整Mythos級模型資料留存政策，提示詞與輸出將保留30天</strong></a></p> <p>Anthropic調整包括Claude Mythos 5與Claude Fable 5模型的資料留存政策，基於其信任與安全目的，保留使用者提交給這類模型的提示詞與模型輸出30天。該政策已於2026年6月9日起生效，主要影響原本採用零資料留存（Zero Data Retention，ZDR）的企業與雲端服務客戶；其他模型與未採用ZDR的使用情境，則維持既有條款。制訂這項新政策的原因，在於部分濫用行為無法只從單一次請求判斷，必須跨多次提示詞與輸出觀察模式才能確認。</p> <p><a href="https://www.ithome.com.tw/news/176585"><strong style="font-size: 22px;">製藥巨擘諾和諾德遭駭，外洩臨床試驗病患資料</strong></a></p> <p>丹麥製藥業巨擘諾和諾德（Novo Nordisk）於6月11日公告，內部IT系統遭未授權存取，導致參加臨床試驗的病人資料外洩。駭客存取了部分IT系統，並且複製部分未公開資訊。諾和諾德說明，事件影響了參與公司某些臨床測試的病患資訊。但該公司強調，這些資訊並未直接連結這些病患的姓名或其他可辨識身分的屬性，這是因為可辨識身分的資訊需要其他存取管道。因此這家藥廠相信，這次事件不會造成受測者身分曝光。</p> <p><a href="https://www.ithome.com.tw/news/176591"><strong style="font-size: 22px;">九州電力送配電遺失備份裝置，1,090萬用戶資料面臨外洩風險</strong></a></p> <p>日本九州電力旗下九州電力送配電於6月8日公告，用來備份部分系統資料的外接儲存裝置遺失，內含最多1,090萬用電帳戶的資料，包括姓名、供電地址、用電量，以及電話號碼等，但未含銀行帳戶及信用卡資訊。該公司在4月27日完成備份後，確認已將外接儲存裝置放在櫃子內，但5月26日要再進行定期備份時，就找不到該裝置了。九州電力送配電也曾詢問在這期間曾經出入機房的人員並進行現場調查，迄今仍未尋獲。</p> <p><a href="https://www.ithome.com.tw/news/176587"><strong style="font-size: 22px;">駭客宣稱竊走Dynatrace數百個GitHub儲存庫，外洩原始碼、公司資料</strong></a></p> <p><a href="/sites/default/files/images/dynatrace-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/dynatrace-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>AI基礎架構效能監控及安全供應商Dynatrace傳出GitHub儲存庫遭竊，駭客存取246個儲存庫，導致公司基礎架構資訊、軟體原始碼與員工資料外流。代號為xpI0itrs駭客在駭客論壇上張貼Dynatrace GitHub資料的兜售訊息，宣稱是利用廠商私有存取令牌（PAT）得逞，內容包含內部基礎架構、CI/CD管線、Kubernetes叢集管理資訊、敏感基礎架構細節、組織架構，以及特定專案的員工資訊，檔案大小為8.46 GB，開價1.2萬美元。不過，迄今Dynatrace尚未對外針對此事作出說明。</p> <p><a href="https://www.ithome.com.tw/news/176592"><strong style="font-size: 22px;">Arch Linux套件庫AUR爆供應鏈攻擊，孤兒套件遭接管，被用於散布惡意程式</strong></a></p> <p>以提供用戶高度自由的Linux發行版Arch Linux，其社群軟體套件庫Arch User Repository（AUR）傳出供應鏈攻擊事件。軟體供應鏈安全業者Sonatype於6月11日揭露，攻擊者鎖定存放在AUR的無人維護套件，在接手合法套件後修改PKGBUILD或安裝指令，使使用者在建置或安裝套件時，透過NPM下載惡意套件atomic-lockfile，進而執行Linux惡意酬載。Sonatype後續更新指出，初步估計受影響套件總數可能接近1,500個。</p> <p><a href="https://www.ithome.com.tw/news/176589"><strong style="font-size: 22px;">法國政府通訊平臺Tchap發生帳號冒用事件，逾7.3萬名公部門人員受影響</strong></a></p> <p>法國政府加密即時通訊平臺Tchap發生安全事件。負責Tchap的營運單位法國跨部會數位事務局（Direction interministérielle du numérique，DINUM）於6月8日公告，6月7日其中一個Tchap使用者帳號遭冒用，攻擊者藉此查看該帳號可存取的公開對話內容。DINUM表示，已與法國國家資訊系統安全局（ANSSI）協調分析此事，並封鎖涉案帳號。DINUM估計，Tchap超過82.5萬名使用者中，有73,467人可能受影響，占整體近9%。</p> <p><a href="https://www.ithome.com.tw/news/176600"><strong style="font-size: 22px;">澳洲第二大製糖業者Mackay Sugar遭網路攻擊，兩糖廠營運停擺並迫使農戶暫停收割</strong></a></p> <p>澳洲第二大製糖公司Mackay Sugar遭遇嚴重資安事故，導致昆士蘭麥凱地區的兩座糖廠營運中斷。由於該公司生產的粗糖經常外銷至亞太多個國家的精煉廠，這起事件不僅突顯農工業供應鏈面臨網路威脅時的脆弱，後續是否影響國際市場與產業鏈，亦值得持續關注。這起攻擊事件發生於6月10日，正值磨坊榨糖作業（crushing）剛啟動之際，造成該公司Farleigh與Racecourse糖廠的製糖與甘蔗運輸作業全面停擺，甚至被迫向麥凱地區的種植者發出停止收割通知。</p> <p><a href="https://www.ithome.com.tw/news/176603"><strong style="font-size: 22px;">中國駭客組織Velvet Ant滲透關鍵基礎設施，潛伏隔離網路環境近十年</strong></a></p> <p>資安公司Sygnia在兩年前揭露中國駭客組織Velvet Ant的網路間諜活動，這些駭客曾利用F5 BIG-IP負載平衡設備建立持續存取管道，也有利用思科網路設備作業系統零時差漏洞CVE-2024-20399滲透受害組織的記錄，然而該公司發現，這些駭客也染指隔離網路環境，潛伏近十年才被發現。Sygina近日公布Operation Highland攻擊行動，Velvet Ant至少從2016年開始，在完全與網際網路隔離的關鍵基礎設施網路潛伏將近十年而未被察覺。</p> <p><a href="https://www.ithome.com.tw/news/176583"><strong style="font-size: 22px;">中國駭客瞄準缺乏EDR防護的邊界設備，藉Brickstorm後門潛伏18個月</strong></a></p> <p>資安業者Volexity揭露，中國駭客組織UNC5221（VerdantBamboo）在長期入侵事件中，將惡意程式放在企業邊緣與基礎設施，再利用Brickstorm後門提供的代理連線能力和遭竊憑證，存取受害組織的Microsoft 365環境。該做法讓攻擊流量更像來自企業內部網路，進而避開原本用來限制外部登入的條件式存取政策。Volexity察覺此事的過程，在於他們發現受害的Egnyte Storage Sync系統，此平臺連到攻擊者控制並透過Cloudflare代理的網域。</p> <p><a href="https://www.ithome.com.tw/news/176593"><strong style="font-size: 22px;">AI開發平臺Langflow路徑遍歷漏洞已被用於實際攻擊</strong></a></p> <p><a href="/sites/default/files/images/1781017392750-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1781017392750-63.jpg" style="width: 300px; float: right;" /></a></p> <p>近日資安公司VulnCheck警告，他們於6月8日發現有人嘗試利用CVE-2026-5027的跡象，此為大型語言模型開發工具Langflow的路徑遍歷漏洞，攻擊者有機會用來遠端執行任意程式碼，該公司看到有人在蜜罐陷阱試圖利用漏洞，並成功進行路徑遍歷，寫入看起來像是測試用的檔案。Langflow開發團隊於3月底發布0.8.3版langflow-base元件首度處理該問題，後續開發團隊於6月11日向Tenable回覆，已在Langflow 1.9.0完成修正。VulnCheck強調，由於Langflow預設允許未經授權的自動登入，因此攻擊者有機會在沒有事先取得憑證的情況下存取Lagflow的端點，進而利用弱點。</p> <p><a href="https://www.ithome.com.tw/news/176590"><strong style="font-size: 22px;">CISA將Oracle PeopleSoft零時差漏洞列入KEV</strong></a></p> <p>上週Oracle警告企業應用系統平臺PeopleSoft PeopleTools存在重大漏洞CVE-2026-35273，呼籲用戶應立刻採取行動緩解風險，Mandiant與Google威脅情報團隊（GTIG）指出，駭客組織ShinyHunters（UNC6240）在Oracle發布公告之前就積極利用，6月12日美國網路安全與基礎設施安全局（CISA）表示已掌握CVE-2026-35273遭積極利用的證據，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構於6月15日前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/176601"><strong style="font-size: 22px;">遠端管理工具SimpleHelp修補重大身分驗證繞過漏洞，未更新可能導致攻擊者取得管理權限</strong></a></p> <p>遠端管理工具平臺SimpleHelp近日發布更新，修補重大身分驗證繞過漏洞CVE-2026-48558，CVSS嚴重性評分達滿分10.0，未經驗證的遠端攻擊者可利用漏洞偽造身分資訊，建立技術人員（Technician）帳號，甚至繞過多因素驗證（MFA），受影響版本包括5.5.15與更早版本，以及6.0系列預覽版本，問題源自SimpleHelp的OpenID Connect（OIDC）身分驗證流程，未正確驗證身分權杖（Identity Token）的加密簽章而導致存在弱點。</p> <p><a href="https://www.ithome.com.tw/news/176577"><strong style="font-size: 22px;">Splunk發布6月安全更新，修補可讓攻擊者清空檔案的重大漏洞</strong></a></p> <p>思科旗下Splunk本星期發布安全更新，修補12項漏洞，包括重大漏洞CVE-2026-20253，此弱點允許未經驗證的攻擊者建立或清空檔案，影響Splunk Enterprise與Splunk Cloud Platform部分版本。該漏洞發生的原因，在於資料庫元件PostgreSQL的sidecar服務端點缺乏身分驗證控制，可讓任何能存取網際網路的攻擊者，未經驗證就能透過PostgreSQL sidecar服務在系統上建立或清空任意檔案。本漏洞CVSS風險值達到9.8。</p> <p><a href="https://www.ithome.com.tw/news/176575"><strong style="font-size: 22px;">GitLab修補12個漏洞，最高風險可能導致帳號接管</strong></a></p> <p>資安業者Palo Alto Networks指出，攻擊者利用Microsoft Teams等企業協作工具發動社交工程與網釣攻擊，藉由員工對內部溝通平臺的信任，假冒IT支援人員或服務供應商誘騙受害者。攻擊者可能透過Teams傳送外部聊天邀請，聲稱使用者帳號出現異常，要求對方核准多因素驗證（MFA）請求，或依指示重設憑證。由於訊息出現在Teams而非電子郵件，員工可能降低戒心。該公司強調，這類手法並非個案，已有駭客組織APT29、UNC6692用於實際活動。</p> <p><a href="https://www.ithome.com.tw/news/176596"><strong style="font-size: 22px;">供應鏈安全框架SLSA解析Mini Shai-Hulud事件，驗證NPM套件安全不能只看簽章</strong></a></p> <p>軟體供應鏈安全框架SLSA（Supply-chain Levels for Software Artifacts）專案於5月15日發布文章，針對Mini Shai-Hulud NPM供應鏈攻擊，說明SLSA能協助驗證什麼，以及它無法單獨解決哪些問題。開源軟體安全基金會OpenSSF也於6月10日轉載這篇由Red Hat工程師Andrew McNamara撰寫的文章，提醒開源社群，即使NPM套件附有可驗證的來源證明（provenance），建置與發布流程還是有可能遭到攻擊者介入或濫用。</p> <p><a href="https://www.ithome.com.tw/news/176561"><strong style="font-size: 22px;">微軟Secure Boot舊版憑證2026年陸續到期，紅帽提醒RHEL用戶更新韌體信任資料庫</strong></a></p> <p>開源軟體與企業Linux業者紅帽（Red Hat）6月10日提醒，微軟安全開機（Secure Boot）機制使用的多張2011年版簽章憑證，將於2026年陸續到期，企業應確認UEFI韌體中的Secure Boot資料庫是否已納入2023年版憑證，以確保後續可取得開機安全相關更新。若系統韌體的Secure Boot 資料庫沒有包含2023年版憑證，未來可能無法啟動新的開機元件。前述問題與名為shim的第一階段開機程式有關，此為由微軟的Secure Boot憑證簽署的元件。</p> <p><a href="https://www.ithome.com.tw/news/176548"><strong style="font-size: 22px;">當數位信任躍升企業戰略核心，國際電腦稽核協會推動以DTEF框架落實韌性與企業治理</strong></a></p> <p>【臺灣資安大會直擊】隨著數位科技深度滲透社會，數位信任已成為企業維繫營運與競爭力的重要條件。國際電腦稽核協會（ISACA）臺灣分會副會長陳政龍在2026臺灣資安大會，針對管理階層如何促進數位信任進行深度剖析，並介紹ISACA近年推動的「數位信任生態系框架」（Digital Trust Ecosystem Framework，DTEF），帶領產業重新思考數位信任架構下的治理思維。具體而言，DTEF模型是由四大節點構成核心，並由六大領域作為節點之間的連結。</p> <p><a href="https://www.ithome.com.tw/news/176433"><strong style="font-size: 22px;">Apache軟體基金會董事Justin Mclean指出，企業只用開源卻不參與，恐承擔更高風險</strong></a></p> <p>Apache軟體基金會（ASF）董事Justin Mclean在Computex論壇活動指出，開源已成為AI與數位基礎設施的核心，企業面臨的問題已從過往的是否採用，演變成選擇成為被動的使用者，或是積極參與的貢獻者。當企業將開源視為關鍵基礎設施，卻從未參與相關社群時，不僅無法影響技術發展方向，也難以提前掌握重大變化，反而可能承擔更高的技術與營運風險。當關鍵功能調整、架構改版或維護策略改變時，企業往往只能被動接受結果。</p> <p><a href="https://www.ithome.com.tw/news/176473"><strong style="font-size: 22px;">新加坡揭露公共服務導入AI代理的風險</strong></a></p> <p>新加坡政府日前發表AI Agents Sandbox白皮書，揭露與Google合作的AI代理沙盒測試成果，評估AI代理是否能安全應用於公共服務場景。該計畫是在2025年8月啟動、歷時約4個月，重點測試可操作電腦與瀏覽器的AI代理，在政府服務流程中執行多步驟任務的能力與風險。結果顯示，AI代理在政府網站品質檢測中表現穩定，但是在長篇回應記錄時，仍可能出現資訊遺漏或幻覺問題。此外，AI代理具備瀏覽與操作外部網站能力，需防範間接提示注入等攻擊手法。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176576"><strong>【6月12日】Oracle PeopleSoft零時差漏洞被用於大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176543"><strong>【6月11日】Exchange Online傳出可被用於欺騙的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176520"><strong>【6月10日】Anthropic推出具有Mythos能力的Claude Fable 5</strong></a></p> </div></div></div>
6/15 16:16作者周峻佑https://www.ithome.com.tw/news/176604
Google控告濫用Gemini的中國詐騙集團Outsider Enterprise
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/technology/safety-security/combatting-ai-scams/" target="_blank">Google周五（6/12）向紐約南區聯邦地方法院提告</a>，指控中國網路犯罪集團Outsider Enterprise透過AI工具與釣魚工具包建立大規模詐騙基礎設施，並以詐騙簡訊竊取受害者帳號、密碼與信用卡資料。</p> <p>Google發布的新聞稿並未提及駭客的攻擊手法，而是僅以「AI驅動詐騙」（AI-powered scams）描述這起案件。然而，<a href="https://techcrunch.com/2026/06/12/chinese-cybercrime-operation-that-used-ai-to-scam-hundreds-of-thousands-of-victims-sued-by-google/" target="_blank">根據TechCrunch取得的訴狀內容</a>，Outsider Enterprise為一網路犯罪集團，開發並維護名為Outsider的釣魚工具套件，Google將其稱為「傻瓜版釣魚工具」（phishing-for-dummies），內建290種網站範本，用戶只要每周支付88美元，或每月支付200美元訂閱費用，就能快速建立冒充電信業者、金融機構、政府機關及零售商的假網站。</p> <p>Outsider還提供如何將AI生成程式碼武器化的教學文件，並支援使用Gemini等AI平臺產生客製化釣魚網站程式碼，再匯入Outsider平臺部署成可上線運作的詐騙網站。這些假網站可即時蒐集受害者輸入的帳號密碼、信用卡資料及多因素驗證碼。</p> <p>Google指出，Outsider Enterprise並非單一犯罪組織，而是由釣魚工具開發者、受害者名單供應商、垃圾簡訊發送者，以及負責變現與洗錢的成員組成，形成完整的詐騙產業鏈；其成員透過Telegram協調運作，迄今已建立9000個假網站及超過100萬個惡意網域，並在兩周內向Android用戶發送250萬則詐騙簡訊，已有數十萬人受害。</p> <p>目前Google正與FBI，以及AT&T、T-Mobile、Verizon等電信業者合作，試圖瓦解Outsider Enterprise的基礎設施，並在詐騙簡訊送達用戶前加以攔截。除了法律行動外，Google也呼籲美國國會通過多項反詐騙法案；Google表示，隨著AI讓詐騙內容變得更逼真、更難辨識，除了技術防禦與執法合作之外，也需要透過立法建立長期防護機制。</p> </div></div></div>
6/15 15:17作者陳曉莉https://www.ithome.com.tw/news/176606
中國駭客組織Velvet Ant滲透關鍵基礎設施，潛伏隔離網路環境近十年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Sygnia在兩年前揭露中國駭客組織Velvet Ant的網路間諜活動，這些駭客<strong><a href="https://www.ithome.com.tw/news/163512">曾利用F5 BIG-IP負載平衡設備建立持續存取管道</a></strong>，也有利用思科網路設備作業系統零時差漏洞<strong><a href="https://www.ithome.com.tw/news/163736">CVE-2024-20399</a></strong>滲透受害組織的記錄，然而該公司發現，這些駭客也染指隔離網路環境，潛伏近十年才被發現。</p> <p>Sygina近日公布<strong><a href="https://www.sygnia.co/blog/operation-highland-velvet-ant/">Operation Highland攻擊行動</a></strong>，Velvet Ant至少從2016年開始，在完全與網際網路隔離的關鍵基礎設施網路潛伏將近十年而未被察覺。Sygina認為，這是迄今Velvet Ant最為複雜精密的攻擊活動。</p> <p>在整個攻擊活動裡，Velvet Ant採取三階段滲透策略，逐步突破層層防線。首先，他們在面向網際網路的伺服器上部署GS-Netcat，作為反向Shell及SOCKS5代理伺服器，並將其偽裝成Chrome服務或系統處理程序，以規避資安偵測，建立初始存取管道。接著，該組織利用Nginx與FastCGI建立執行命令的橋樑，透過HTTP請求穿越IT網路環境，在無需對目標建立直接連線的情況下，即可抵達隔離網路環境的關鍵基礎設施網段。最終，攻擊者篡改Linux PAM認證模組與OpenSSH程式，植入後門密碼並竊取憑證，同時在authorized_keys中植入公鑰，建立三重持久化機制，將整個環境置於自身掌控之下。</p> <p>此次行動最引起Sygina注意的地方，在於攻擊者選擇控制身分驗證的環節，而非僅在系統上留下惡意程式。Sygnia在多臺主機發現9種不同版本的後門化PAM模組，這些惡意模組透過完全不同的開發環境編譯而成，顯示此攻擊行動背後有龐大資源支撐、組織高度嚴密，且具備針對不同目標環境量身打造工具的能力。由於攻擊者控制管理員用來遠端管理主機的核心元件，光是執行更換密碼等傳統應變措施，在此幾乎完全失效。該公司提及，若是受害組織的IT人員處理不慎，有可能被鎖死在系統外，甚至造成關鍵基礎設施的系統服務中斷。</p> </div></div></div>
6/15 13:02作者周峻佑https://www.ithome.com.tw/news/176603
MITRE ATT&CK第19版刪除防禦規避戰略，拆分為隱匿與防禦削弱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安界廣泛採用的攻擊手法框架MITRE ATT&CK，如今<a href="https://attack.mitre.org/resources/updates/updates-april-2026/">已更新至第19版</a>（目前最新為19.1版）。本次新版調整有一項重大變化，是將Enterprise ATT&CK中的防禦規避（Defense Evasion）的戰術，進一步拆分成隱匿（Stealth）與防禦削弱（Defense Impairment）。因此，更新的Enterprise ATT&CK，將從原有14個戰術（Tactics）擴展為15個。</p> <p>關於拆分的原因，<a href="https://medium.com/mitre-attack/defense-evasion-split-5d533545fa32">MITRE指出</a>這項變動醞釀已久。長期以來，「防禦規避」是整個框架中最龐大的戰術類別，包含超過40項技術與140多項子技術，這使得防禦者在進行威脅對應與分析時，往往感到難以分類與聚焦。</p> <p>更需要探討的是，隱匿與破壞其實是完全不同的行為。例如，攻擊者入侵後，利用寄生攻擊（Living-off-the-land）潛伏，這就是「隱匿」，但隨後在行動中，攻擊者可能轉而停用日誌傳輸，並篡改EDR代理程式使其停止回報，這時就是「防禦削弱」。</p> <p>整體而言，本次更新後大多數編號保持不變，不過隱匿將繼承原有的防禦規避戰略ID（TA0005），防禦削弱則作為全新戰術分配新ID（TA0112），另有3項手法（Techniques）被徹底移出原有的防禦規避範疇。MITRE亦強調，對於防禦者而言，隱匿與防禦削弱拆分後的最大價值，在於協助釐清核心問題：攻擊者究竟是在躲藏還是在破壞防禦能力？這是兩種完全不同的威脅模型，需要不同的應對策略。</p> <p><a href="/sites/default/files/images/（圖1）MITRE ATT%26CK v19.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89MITRE%20ATT%26CK%20v19.jpg" style="width: 600px;" /></a></p> </div></div></div>
6/15 12:20作者羅正漢https://www.ithome.com.tw/news/176594
澳洲第二大製糖業者Mackay Sugar遭網路攻擊，兩糖廠營運停擺並迫使農戶暫停收割
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>澳洲第二大製糖公司Mackay Sugar近日遭遇嚴重資安事故，導致昆士蘭麥凱地區的兩座糖廠營運中斷。由於該公司生產的粗糖經常外銷至亞太多個國家的精煉廠，這起事件不僅突顯農工業供應鏈面臨網路威脅時的脆弱，後續是否影響國際市場與產業鏈，亦值得持續關注。</p> <p>根據<strong><a href="https://www.abc.net.au/news/2026-06-10/cyber-attack-shuts-down-north-queensland-sugar-mills/106780304">澳洲廣播公司</a></strong>的報導指出，這起攻擊事件發生於6月10日，正值磨坊榨糖作業（crushing）剛啟動之際，造成該公司Farleigh與Racecourse糖廠的製糖與甘蔗運輸作業全面停擺，甚至被迫向麥凱地區的種植者發出「停止收割」的通知。另一糖廠原定下星期開始壓榨，尚未受到此事件影響。</p> <p>Mackay Sugar已在官方網站<strong><a href="https://www.mkysugar.com.au/news-updates-circulars/mackay-sugar-cyber-security-incident">發布資安事故公告</a></strong>，說明正在處理影響部分營運的網路安全事件，目前已啟動緊急應變機制維持核心業務運作，力求將營運衝擊降至最低。雖然此公告證實其農工業OT營運受阻的現況，但官方尚未揭露具體技術細節，亦未確認是否涉及勒索軟體或其他形式的惡意攻擊。</p> <p>此外，兩日後（6月12日）的<strong><a href="https://www.mkysugar.com.au/news-updates-circulars/mackay-sugar-cyber-security-incident-akm6l">更新公告顯示</a></strong>，預計下週起逐步恢復採收與壓榨作業，目前首要任務仍是確保人員安全、保護營運系統並維持業務連續性。</p> </div></div></div>
6/15 12:55作者羅正漢https://www.ithome.com.tw/news/176600
供應鏈安全框架SLSA解析Mini Shai-Hulud事件，驗證NPM套件安全不能只看簽章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>軟體供應鏈安全框架<a href="https://slsa.dev/blog/2026/05/mini-shai-hulud-what-slsa-can-and-cannot-do" target="_blank">SLSA（Supply-chain Levels for Software Artifacts）專案於5月15日發布文章</a>，針對Mini Shai-Hulud NPM供應鏈攻擊，說明SLSA能協助驗證什麼，以及它無法單獨解決哪些問題。開源軟體安全基金會<a href="https://openssf.org/blog/2026/06/10/mini-shai-hulud-where-slsas-boundaries-fall/" target="_blank">OpenSSF也於6月10日轉載</a>這篇由Red Hat工程師Andrew McNamara撰寫的文章，提醒開源社群，即使NPM套件附有可驗證的來源證明（provenance），也不能因此認定其建置與發布流程未曾遭到攻擊者介入或濫用。</p> <p>SLSA由OpenSSF推動，透過來源證明、建置流程驗證與分級安全要求，協助開發者與企業判斷軟體成品是否來自可信流程；撰文者<a href="https://arewm.com/about/" target="_blank">Andrew McNamara</a>是Red Hat軟體供應鏈架構師與SLSA維護者。</p> <p>Mini Shai-Hulud攻擊於5月11日波及TanStack專案，攻擊者利用GitHub Actions工作流程設定缺陷，結合快取污染（Cache poisoning）與OIDC權杖擷取（OIDC token extraction）手法，透過合法CI/CD管線發布惡意NPM套件。SLSA指出，攻擊最初影響@tanstack命名空間下42個套件、共84個NPM成品，後續又以蠕蟲方式擴散至@mistralai、@uipath等命名空間，波及170多個套件。</p> <p><a href="https://www.bleepingcomputer.com/news/security/shai-hulud-attack-ships-signed-malicious-tanstack-mistral-npm-packages/" target="_blank">外界先前有報導</a>將這些惡意套件描述為具有「有效SLSA Build Level 3證明」，引發SLSA是否失效的討論。SLSA澄清，相關NPM套件確實帶有密碼學層面的有效證明（attestation），但這不等於建置流程安全。攻擊者從GitHub Actions runner記憶體擷取合法OIDC權杖，透過Sigstore與NPM可信發布機制（trusted publishing）完成簽署，使這些惡意套件的來源證明（provenance attestation）仍指向正確的儲存庫、工作流程與程式碼分支，從表面驗證結果來看，與合法套件難以區分。</p> <p>SLSA說明，問題不在於attestation本身造假，而是產生attestation的建置平臺已被攻擊者利用。若要解決這樣的問題，須達到SLSA建置供應鏈安全模型的第三級（SLSA Build L3），因為這當中要求建置平臺具備隔離能力，防止一個建置流程污染另一個建置使用的快取，避免建置程序接觸簽署金鑰或其他平臺敏感資訊，也不能讓一個建置持續影響後續建置環境。TanStack事件正是違反這些要求：先前工作流程污染了共享快取，發布流程暴露OIDC簽署身分，攻擊者程式碼也透過共享快取延續到後續建置。</p> <p>SLSA指出，NPM目前內建的provenance能力大致對應SLSA Build L2，可將套件綁定至正規來源儲存庫與建置系統，降低冒名發布、相依性混淆等攻擊風險；但Build L2不要求多租戶CI/CD服務的建置環境彼此隔離，也不要求將簽署使用的身分憑證與建置程序隔離。這些屬於Build L3要處理的問題，因此不能把「帶有簽章的軟體成品」（signed artifact）直接解讀為「套件建置流程安全」。</p> <p>SLSA也提醒，「預期建置器」（expected builder）是用來檢查套件是否由預先信任的建置器與來源儲存庫產生的驗證條件，可協助發現非標準管線產生的套件；但在TanStack事件中，惡意套件的attestation仍準確標示預期的builder、repository與workflow，因此這類檢查仍會通過。真正異常的是，發布惡意套件的工作流程最後以失敗狀態結束，卻仍完成套件發布；若企業監控這類異常狀況，可能在數分鐘內偵測到問題。</p> <p><a href="https://cloudsmith.com/blog/miasma-worms-path-of-destruction" target="_blank">資安業者Cloudsmith在分析後續Miasma變種時也引用McNamara的SLSA文章指出</a>，若攻擊者濫用合法開發者憑證與GitHub OIDC權杖，惡意套件仍可能夾帶有效SLSA來源證明（valid SLSA provenance），使傳統掃描機制可能將其視為一般可信更新；Cloudsmith也提醒，具備有效維護者簽章（valid maintainer signature）不應被視為安全的絕對保證。</p> <p>SLSA建議，開源專案與企業驗證軟體供應鏈安全時，不應只看NPM套件是否具備有效簽章（valid signature），也要確認建置平臺是否具有SLSA Build L3要求的隔離能力。專案維護者應控管GitHub Actions的pull_request_target觸發器、落實最小權限原則、將GitHub Actions動作固定至commit SHA，並監控工作流程失敗卻仍發布套件等異常行為。</p> </div></div></div>
6/15 11:24作者王珮瑤https://www.ithome.com.tw/news/176596
美政府要求封鎖他國用戶存取Claude Fable與Mythos，Anthropic全面暫停提供
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國政府上周以國安為由，要求Anthropic封鎖其他國家用戶存取其威力最大的Claude Fable及Mythos模型。<a href="https://www.anthropic.com/news/fable-mythos-access" target="_blank">Anthropic表示</a>，將全面暫停提供全球用戶作為回應。該公司也發聲明反對美國政府的作法。</p> <p>Anthropic表示是在美東時間6月12日下午5點21分接獲美國政府發出的出口管制命令信件。信件引述美國國家安全主管機關的說法，要求該公司中止任何外國人存取Fable 5及Mythos 5，不論他們是位於美國境內或境外，包括Anthropic的外籍員工。這紙命令迫使該公司必須突然對所有客戶關閉Fable 5和Mythos 5。其他Anthropic模型包括Claude Opus 4.8的存取不受影響。</p> <p>本信件是<a href="https://www.ithome.com.tw/news/176499" target="_blank">在Anthropic上周推出</a>威力最強大的模型Claude 5及Mythos 5後<a href="https://siliconangle.com/2026/06/14/white-house-forces-anthropic-disable-new-frontier-models-following-abrupt-export-ban/" target="_blank">由美國商務部發出</a>。Anthropic說，美國政府的信件並未提供所謂國安考量的細節。根據該公司了解，美國政府接獲一起可能的越獄通報，並且以該通報成為命令的基礎。</p> <p><a href="https://www.securityweek.com/anthropic-disputes-fable-5-ai-jailbreak/" target="_blank">根據SecurityWeek報導</a>，一名為Pliny the Liberator的使用者宣稱繞過Fable 5的限制性安全層，成功「解放了」Fable 5。</p> <p>Anthropic在聲明中表示，該公司檢視過這名用戶展示利用Fable 5找出少量已知小漏洞的手法，但認為這些漏洞相當簡單，而且他們發現過其他公開模型如GPT 5.5也能找到這些漏洞，根本無需繞過安全限制。</p> <p>該公司表示，終止所有Fable 5/Mythos 5的提供是為了遵循政府命令，但他們不同意以單一可能的越獄行為為由，導致召回已部署給數億名用戶的商用模型。他們相信如果這標準普遍運用於產業，將扼止所有尖端模型供應商的新模型部署。Anthropic重申，認為政府應該透過透明、公平、清楚而有技術事實基礎的法定程序來阻止不安全的部署，但今天的行為並不符合這項原則。</p> <p><strong>重申Fable/Mythos的安全防護</strong></p> <p>Anthropic重申Fable具有強大的安全防護，大幅降低Fable模型被不當利用作為網路攻擊的可能性。事實上許多用戶抱怨Fable 5安全限制太多了。而且在Fable推出之前幾個星期，Anthropic和美國、英國政府、第三方機構和內部團隊合作下，曾對Fable的安全防護做了數千小時的紅隊演練。這些測試顯示Fable的防護效力大幅優於之前部署的任何模型，沒有任何測試能找到通用越獄（universal jailbreak）方法，解鎖Fable多項網路安全能力。</p> <p>該公司也相信所有模型供應商目前都沒有完美的越獄防護方法。目前所有AI產業發展出的防護都可能遭遇非通用越獄手法（解鎖少數功能），而且在駭客的鑽研下，未來終有一天可能還是會出現通用越獄手法。</p> <p>但Anthropic強調，即便現在沒有完美的越獄防護，公司採用的深度防禦策略讓越獄不是很侷限就是成本高昂。此外他們結合嚴密監控以便快速偵測並關閉攻擊行動。這也是為何Anthropic要變更政策，要求所有使用Fable的客戶資料要留存30天，以助其研究、防範越獄或其他攻擊。</p> <p>Anthropic說，目前尚未接獲令人憂心、引發損害的非通用越獄通報。目前接獲的通報都是善意通報，或是較小、非針對Mythos的越獄方法。</p> <p>Anthropic對所有用戶致歉，並表示他們相信這是一場誤會，該公司正努力儘速恢復Fable 5/Mythos的存取服務。</p> </div></div></div>
6/15 11:50作者林妍溱https://www.ithome.com.tw/news/176598
九州電力送配電遺失備份裝置，1,090萬用戶資料面臨外洩風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.kyuden.co.jp/td/press/2026/260608.html" target="_blank">日本九州電力旗下九州電力送配電於周日（6/8）公告</a>，用來備份部分系統資料的外接儲存裝置不見了，內含最多1,090萬用電帳戶的資料，包括姓名、供電地址、用電量及電話號碼等，但未含銀行帳戶及信用卡資訊。</p> <p>九州電力為日本九州地區主要電力公司，原本同時經營發電、售電與送配電業務。因日本電力系統改革要求發電/售電與送配電業務法的分離，九州電力於2020年4月將送配電部門分拆為全資子公司九州電力送配電，負責九州地區電網、輸配電及相關用電資料管理。</p> <p>九州電力送配電說明，該公司會定期執行資料備份，但因備份容量不足，曾一度改以外接儲存裝置進行備份；不管是伺服器或備份作業都在採取多重安全措施的機房內進行，外接儲存裝置也存放在機房的櫃子中，但櫃子並未上鎖。</p> <p>該公司在4月27日完成備份後，確認已將外接儲存裝置放在櫃子內，但5月26日要再進行定期備份時，就找不到該裝置了。九州電力送配電也曾詢問在這期間曾經出入機房的人員並進行現場調查，但迄今仍未尋獲。</p> <p>九州電力送配電強調，機房的進出受到嚴格管控，只有特定相關人員才可進入。目前該公司也正調查裝置是否遭未經授權帶離，但尚無證據顯示資料已經外洩。</p> <p>根據日本媒體的報導，九州電力送配電的機房採用生物辨識門禁管制，只有57人具備進入權限，該公司已於6月4日向警方報案，懷疑有人擅自取走了該儲存裝置。另外，<a href="https://www.itmedia.co.jp/news/articles/2606/09/news132.html" target="_blank">ITmedia引述九州電力送配電的說法指出</a>，該儲存裝置內的資料並未加密，也未設密碼保護。</p> </div></div></div>
6/15 10:46作者陳曉莉https://www.ithome.com.tw/news/176591
Arch Linux AUR爆供應鏈攻擊，孤兒套件遭接手散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Arch Linux社群套件庫AUR（Arch User Repository）傳出供應鏈攻擊事件。<a href="https://www.sonatype.com/blog/atomic-arch-npm-campaign-adds-malicious-dependency" target="_blank">軟體供應鏈安全業者Sonatype於6月11日揭露</a>，攻擊者鎖定存放在AUR的無人維護套件，在接手合法套件後修改PKGBUILD或安裝指令，使使用者在建置或安裝套件時，透過NPM下載惡意套件atomic-lockfile，進而執行Linux惡意酬載。</p> <p><a href="https://thehackernews.com/2026/06/over-400-arch-linux-aur-packages.html" target="_blank">The Hacker News報導指出</a>，社群已盤點超過400個AUR套件遭接手並竄改建置腳本，Arch Linux官方套件庫未受影響。Sonatype後續更新指出，相關活動可能已擴大為多次攻擊，初步估計受影響套件總數可能接近1,500個，且調查仍在進行。</p> <p><a href="https://socket.dev/npm/package/atomic-lockfile">根據NPM套件安全平臺Socket安全分析報告頁面顯示</a>，NPM安全團隊已將包含惡意程式碼的atomic-lockfile 1.4.2版自NPM套件登錄庫移除；目前Socket列出的是安全保留版本0.0.1-security。Sonatype指出，6月12日又出現第二波活動，部分遭竄改的AUR套件改用Bun安裝路徑，並透過js-digest、lockfile-js等惡意套件散布酬載，顯示攻擊者已更換安裝路徑與惡意依賴組合。</p> <p><a href="https://ioctl.fail/preliminary-analysis-of-aur-malware/" target="_blank">獨立研究人員Whanos分析</a>，惡意程式主要鎖定開發者工作站與建置環境，可蒐集Slack、Microsoft Teams等協作與通訊軟體資料，以及GitHub、NPM、HashiCorp Vault權杖、SSH金鑰、Docker／Podman憑證，還包括VPN設定檔。</p> <p>The Hacker News引述研究分析提醒，曾執行相關酬載的主機應視為憑證可能外洩，並全面輪替帳號憑證、權杖與金鑰。<a href="https://lists.archlinux.org/archives/list/[email protected]/thread/FGXPCB3ZVCJIV7FX323SBAX2JHYB7ZS4/" target="_blank">Arch Linux社群維護者表示</a>，正陸續重設或刪除惡意提交，並封鎖涉案帳號。</p> </div></div></div>
6/15 10:54作者王珮瑤https://www.ithome.com.tw/news/176592
AI開發平臺Langflow路徑遍歷漏洞已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近日資安公司VulnCheck<strong><a href="https://www.linkedin.com/posts/ccondon_kevs-share-7470128376624783361-Ot2c/">於職場社群網站LinkedIn提出警告</a></strong>，他們於6月8日發現有人嘗試利用CVE-2026-5027的跡象，此為大型語言模型開發工具Langflow的路徑遍歷漏洞，攻擊者有機會用來遠端執行任意程式碼，該公司看到有人在蜜罐陷阱試圖利用漏洞，並成功進行路徑遍歷，寫入看起來像是測試用的檔案。</p> <p>此為今年1月漏洞管理公司Tenable通報的漏洞，在多次通報沒有得到開發團隊回覆後，<strong><a href="https://www.tenable.com/security/research/tra-2026-26">於3月下旬公開</a></strong>。此漏洞發生的原因，在於POST /api/v2/files端點不會從資料多個地方清理filename參數，導致攻擊者能藉由路徑遍歷序列，於檔案系統的任何位置寫入檔案，CVSS v4.0為8.7分、CVSS v3.1為8.8分，<strong><a href="https://security.snyk.io/vuln/SNYK-PYTHON-LANGFLOWBASE-15842030">另一家資安公司Snyk發現</a></strong>，Langflow開發團隊於3月底發布0.8.3版langflow-base元件首度處理該問題，後續開發團隊於6月11日向Tenable回覆，已在Langflow 1.9.0完成修正。</p> <p>VulnCheck強調，由於Langflow預設允許未經授權的自動登入，因此攻擊者有機會在沒有事先取得憑證的情況下存取Lagflow的端點。換言之，攻擊者只要能發出未經授權的護求，並包含有效連線階段（session）的權杖（token）就能利用。</p> </div></div></div>
6/15 10:57作者周峻佑https://www.ithome.com.tw/news/176593
Anthropic發布原始碼漏洞掃描參考實作，示範以Claude驗證與修補漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://claude.com/blog/using-llms-to-secure-source-code">AI模型業者Anthropic發布程式原始碼安全實務指南</a>，說明企業與開放原始碼的軟體專案如何運用Claude建立威脅模型、找出漏洞，並進一步驗證、分級處理與修補，同時提供<a href="https://github.com/anthropics/defending-code-reference-harness?is=d108d928bf3dc5877f986c73a3cd90f89af9168dfb9fe293bba24c76211ae7ae" target="_blank">開放原始碼參考實作defending-code-reference-harness</a>。</p> <p>defending-code-reference-harness參考實作提供多個Claude Code技能，包括/quickstart、/threat-model、/vuln-scan、/triage、/patch與/customize，可支援快速啟動（Quickstart）、威脅建模、漏洞掃描、驗證分級、修補與客製化。其自主掃描管線預設鎖定C/C++記憶體漏洞，會將目標程式編譯成啟用記憶體錯誤偵測工具AddressSanitizer（ASAN）的Docker映像檔，並在以gVisor隔離的容器中執行AI代理程式與目標程式，且只允許對外連至模型API，以降低AI代理程式執行未受信任程式碼時的風險。</p> <p>在流程設計上，Anthropic建議團隊先建立威脅模型，界定系統資產、攻擊入口與信任邊界，再執行漏洞的發現、驗證、合併重複漏洞回報、分級處理與修補。負責驗證的AI代理程式應與發現漏洞的代理程式分開運作，並在乾淨容器中獨立執行；必要時可建立概念驗證（Proof of Concept，PoC）程式，確認漏洞是否真的可被觸發或利用，再依可達性（Reachability）、攻擊者控制程度、前提條件、身分驗證要求與影響範圍等漏洞發現的結果，安排修補優先順序。</p> <p>Anthropic也提醒，AI可協助產生修補程式碼，但產出的修補方案可能僅處理表面問題，甚至誤擋合法輸入，或對既有相依服務造成影響，因此修補內容仍需經測試、驗證與人工審查。</p> </div></div></div>
6/15 11:09作者王珮瑤https://www.ithome.com.tw/news/176595
法國政府通訊平臺Tchap發生帳號冒用事件，逾7.3萬名公部門人員受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>法國政府加密即時通訊平臺Tchap發生安全事件。負責Tchap的<a href="https://www.numerique.gouv.fr/sinformer/espace-presse/incident-tchap/" target="_blank">營運單位法國跨部會數位事務局（Direction interministérielle du numérique，DINUM）於6月8日公告</a>，6月7日有一個Tchap使用者帳號遭冒用，攻擊者藉此查看該帳號可存取的公開對話內容。DINUM表示，已與法國國家資訊系統安全局（ANSSI）協調分析此事，並封鎖涉案帳號。</p> <p>Tchap是法國政府供公部門人員使用的通訊平臺，支援公開與私人對話。DINUM說明，私人對話採加密保護，即使發生帳號冒用，攻擊者也無法存取加密私人對話的歷史紀錄；但公開聊天室依設計可由所有使用者搜尋與加入，其中的訊息未加密，因此這次可能遭查看的範圍，主要限於遭冒用帳號可進入的公開聊天室內容。</p> <p>DINUM估計，Tchap超過82.5萬名使用者中，有73,467人可能受影響，占整體不到9%。可能暴露的資料包括姓名、電子郵件地址、所屬機關與帳號頭像。DINUM已通報法國國家資訊與自由委員會（CNIL），並持續分析系統存取與活動日誌紀錄，釐清攻擊者查看了哪些對話，以及哪些資料可能外洩。</p> <p><a href="https://www.bleepingcomputer.com/news/security/french-govt-says-tchap-breach-affected-over-73-000-accounts/" target="_blank">Bleeping Computer報導指出</a>，攻擊者聲稱透過社交工程手法取得Tchap帳號控制權，並宣稱擷取近65萬則訊息與超過13.5 GB的文件及媒體檔案；不過，DINUM目前尚未說明使用者帳號遭冒用的原因，也未證實攻擊者宣稱的外洩規模。</p> </div></div></div>
6/15 10:02作者王珮瑤https://www.ithome.com.tw/news/176589
CISA將Oracle PeopleSoft零時差漏洞列入KEV
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週Oracle警告企業應用系統平臺PeopleSoft PeopleTools<strong><a href="https://www.ithome.com.tw/news/176556">存在重大漏洞CVE-2026-35273</a></strong>，呼籲用戶應立刻採取行動緩解風險，Mandiant與Google威脅情報團隊（GTIG）指出，駭客組織ShinyHunters（UNC6240）<strong><a href="https://www.ithome.com.tw/news/176558">在Oracle發布公告之前就積極利用</a></strong>，如今美國政府也證實漏洞被用於實際攻擊的現象。</p> <p>6月12日<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/12/cisa-adds-one-known-exploited-vulnerability-catalog">美國網路安全與基礎設施安全局（CISA）表示</a></strong>，他們已掌握CVE-2026-35273遭積極利用的證據，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2026-35273&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=All&url=">於6月15日前完成修補</a>，並指出該洞已被用於勒索軟體活動。</strong>CVE-2026-35273是PeopleSoft PeopleTools重要功能缺乏驗證的弱點，未經身分驗證的攻擊者有可能用於挾持該系統。</p> </div></div></div>
6/15 10:10作者周峻佑https://www.ithome.com.tw/news/176590
製藥巨擘諾和諾德遭駭，外洩臨床試驗病患資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.novonordisk.com/content/nncorp/global/en/news-and-media/news-and-ir-materials/news-details.html?id=916571" target="_blank">丹麥製藥業巨擘諾和諾德（Novo Nordisk）上周四公告</a>內部IT系統遭未授權存取，導致參加臨床試驗的病患資料外洩。</p> <p>這次IT資安事件讓駭客存取了部份IT系統，並且複製部份未公開資訊。<a href="https://www.novonordisk.com/news-and-media/latest-news/incident-update.html" target="_blank">諾和諾德說明</a>，事件影響了參與公司某些臨床測試的病患資訊。但該公司強調，這些資訊並未直接連結這些病患的姓名或其他可辨識身分的屬性，這是因為可辨識身分的資訊需要其他存取管道。因此這家藥廠相信這次事件並不會造成受測者身分曝光。此外，他們也說這次事件並未影響公司核心業務運作，目前營運一切正常。</p> <p>諾和諾德得知事件後，立即偕同外部資安專家展開調查，並通報主管機關。公司已暫時將被駭的IT系統下線以保護環境，同時致力於系統在受控及安全情境下恢復上線。但這家藥廠說，恢復過程需要一段時日。</p> <p><a href="https://www.theregister.com/security/2026/06/12/novo-nordisk-says-hackers-stole-clinical-trial-data/5254812" target="_blank">The Register報導</a>，諾和諾德發給醫療合作夥伴的通知信件提醒可能已外洩資料，可能引發精準釣魚。報導指出，此次事件時間點剛好在這家丹麥藥廠一款知名藥物（名為Wegovy）在英國取得減重與糖尿病藥物證照之後。</p> <p>報導說，受影響的合作夥伴資料包括姓名、註冊編號、電子郵件信箱、電話號碼、WhatsApp、公司地址等。這家藥廠提醒合作夥伴留意陌生的訊息或來電。</p> <p>依據諾和諾德的描述，顯示元凶可能是勒索軟體。不過目前該公司未提供細節，也沒有駭客組織出面宣稱攻擊行動。</p> </div></div></div>
6/15 08:54作者林妍溱https://www.ithome.com.tw/news/176585
Office 2019 for Mac將進入功能受限模式，7月13日起無法新增與儲存檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟上周提醒Mac電腦用戶，7月13日起macOS版Office 2019因憑證到期將功能大減，若用戶不改用Microsoft 365，之後只能讀取舊檔案，無法編輯、儲存，也無法建立新檔案。</p> <p><a href="https://support.microsoft.com/en-us/office/update-microsoft-365-or-office-on-your-macos-or-ios-device-f418ae5d-bb5f-4078-b3d9-9340f5dd084e#bkmk_office_2019" target="_blank">根據微軟說明</a>，從2026年7月13日起，部份macOS版Office會因無法獲得更新而進入「功能受限模式」（reduced functionality mode）。這是舊式硬體或OS上的Office憑證到期之故。屆時用戶會發現，Office應用程式包括Word、Excel、PowerPoint、Outlook及OneNote只能讀取，但無法編輯、儲存，也無法新增Office檔案。</p> <p>微軟說，這次憑證到期將影響macOS、iPhone/iPad版的Microsoft 365，以及Office 2019/ 2021 for Mac用戶。其中，Office 2019 for Mac必須改用Microsoft 365，原因是Office 2019 for Mac已在2023年10月10日來到支援終點，用戶已無法獲得功能或安全更新，也無法更新到最新的版本，因此不能透過軟體更新或重新安裝Office 2019 for Mac來解決本問題；唯一方法是使用Microsoft 365。</p> <p>Android及Windows版Office這次不受影響。</p> <p>Office 2021 for Mac及macOS/iOS Microsoft 365用戶則需升級OS或Office版本來解決問題。用戶需先確定macOS或iOS裝置作業系統版本在macOS 12（Monterey）及iOS 17以上。之後，Microsoft 365及Office 2021 for Mac用戶可循「Help」>「Check for Updates」>選擇「Update All」或「Update」解決。Microsoft 365 on iOS用戶需點入App Store，從最上方點選大頭照叫出選單，點選「Update All」或「Update」。更新後再重新登入。</p> <p>值得注意的是，Office 2021 for Mac將在2026年10月13日結束支援，屆時也不會再獲得安全更新或技術支援。</p> </div></div></div>
6/15 08:59作者林妍溱https://www.ithome.com.tw/news/176586
駭客宣稱竊走Dynatrace數百GitHub儲存庫，外洩原始程式碼、公司資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://cybernews.com/security/dynatrace-github-source-code-leak/" target="_blank">AI基礎架構效能監控及安全供應商Dynatrace傳出</a>被駭客存取246個GitHub儲存庫，導致公司基礎架構資訊、軟體原始碼或員工資料被盜走。</p> <p>一名代號xpI0itrs駭客在駭客論壇上張貼Dynatrace GitHub資料的兜售訊息，宣稱是利用廠商個人存取令牌（Personal Access Token,PAT）外洩的內容，包含內部基礎架構、CI/CD管線、Kubernetes叢集管理資訊、敏感基礎架構細節、組織架構特定專案的員工資訊。駭客宣稱這批資料共246個儲存庫，總量8.46GB，並喊價1.2萬美元。</p> <p>駭客也公佈部份資料作為樣本，宣稱是Dynatrace的員工資料及儲存庫。<a href="https://cybernews.com/security/dynatrace-github-source-code-leak/" target="_blank">資安媒體Cybernews</a>檢視公開的員工資料包含全名、使用者名稱、存取內部系統的公司電子郵件信箱。而樣本儲存庫則疑為Dynatrace Scorecard的程式原始碼。</p> <p>目前Dynatrace尚未向媒體證實消息的確實性。</p> </div></div></div>
6/15 09:14作者林妍溱https://www.ithome.com.tw/news/176587
SpaceX以750億美元創IPO紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>SpaceX周五（6/12）完成首次公開發行（IPO），以每股135美元發行5.56億股股票，募資規模達750億美元，刷新全球IPO紀錄，公司估值達1.77兆美元。</p> <p>這次IPO不僅超越阿里巴巴2014年在美國上市時約250億美元的募資紀錄，也超越Saudi Aramco 2019年在沙烏地上市時約294億美元的全球IPO紀錄。SpaceX掛牌首日股價大漲19.22%，以160.95美元作收，市值突破2兆美元。</p> <p>SpaceX由馬斯克於2002年創立，早期目標是降低太空發射成本，之後陸續發展可重複使用火箭、載人太空任務、Starlink衛星網路服務，並透過併購xAI跨入AI基礎設施領域。SpaceX去年營收為186.7億美元，較前一年成長33%，但仍虧損49.4億美元，其中，Starlink是目前唯一獲利的服務。</p> <p>2兆美元的市值讓SpaceX一躍成為美國第六大企業，僅次於Nvidia、Alphabet、蘋果、微軟及Amazon。不過，這些業者去年營收介於約1,300億至7,200億美元之間，淨利也都超過500億美元，與營收不到200億美元且仍處於虧損狀態的SpaceX形成對比。</p> <p>這也顯示投資人相中的並非SpaceX現階段的財務表現，而是其未來成長題材，包括Starlink衛星網路服務、新一代可重複使用火箭Starship，以及併購xAI後延伸出的AI基礎設施布局。</p> </div></div></div>
6/15 09:19作者陳曉莉https://www.ithome.com.tw/news/176588
中國駭客瞄準缺乏EDR防護的邊界設備，藉Brickstorm後門潛伏18個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Volexity<strong><a href="https://www.volexity.com/blog/2026/06/04/verdantbamboo-just-another-brickstorm-in-the-firewall/">揭露</a></strong>，中國相關駭客組織VerdantBamboo（UNC5221）在一起長期入侵事件中，將惡意程式放在企業邊界與基礎設施設備上，再利用Brickstorm後門提供的代理連線能力和遭竊憑證，存取受害組織的Microsoft 365環境。該做法讓攻擊流量更像來自企業內部網路，進而避開原本用來限制外部登入的條件式存取政策。</p> <p>研究人員是在調查異常網路流量時，發現這起VerdantBamboo入侵事件。受害環境中有一臺執行Egnyte Storage Sync的Linux虛擬機器設備，該設備未連往Egnyte相關網域，而是連到攻擊者控制並透過Cloudflare代理的網域。研究人員後續取得系統快照分析，確認該設備已遭植入Brickstorm。</p> <p>調查發現，攻擊者使用Storage Sync系統上的服務帳號登入設備。該組密碼原本已由受害組織的委外管理服務供應商變更，因此Volexity研判攻擊者應是從該供應商取得這組憑證。攻擊者接著利用帳號權限設定上的缺陷，取得可寫入系統目錄的能力，將Brickstorm放進需要高權限才能操作的位置，並在需要時手動啟動後門。</p> <p>研究人員指出，Brickstorm與另一個備援用的AGENTPSD惡意程式，至少已在Storage Sync設備上存在18個月。AGENTPSD以Python撰寫，功能較簡單，可讓攻擊者在主要後門失效時重新取得遠端命令執行能力，但在這起事件未被觀察到實際運作。</p> <p>受害組織初步處置後，VerdantBamboo又重新進入網路。研究人員發現，受害組織防火牆的管理介面暴露在網際網路上，攻擊者使用未受多因素驗證保護的管理員憑證登入，啟用網頁式SSL VPN，再轉進內部系統，將另一個後門PLENET部署到Synology NAS。PLENET以.NET Core開發，並使用Native AOT編譯成獨立Linux執行檔，可執行互動式命令、檔案操作與切換指揮控制伺服器。</p> <p>受害組織的委外管理服務供應商環境中，也發現pfSense防火牆遭到入侵，並被部署FreeBSD版本的Brickstorm，研究人員評估，受害組織可能是被已遭入侵的供應商波及。</p> <p>在該事件中，VerdantBamboo鎖定的是防火牆、網路儲存設備、檔案同步系統等較少安裝端點偵測與回應工具的設備。研究人員認為，這些設備通常較難完整監控，也不一定讓企業取得完整系統權限，因此更容易成為長期潛伏據點。Volexity已將Egnyte Storage Sync的本機權限提升問題通報Egnyte，該問題後續在Storage Sync v13.13修補。</p> </div></div></div>
6/13 08:09作者李建興https://www.ithome.com.tw/news/176583
麥肯錫：88%企業導入AI、只有39%看見實際效益，關鍵在於改變流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>生成式AI（GenAI）熱浪席捲各行各業，從聊天機器人、Copilot到AI代理（AI Agent）應用都百花齊放。企業導入AI早已不是新鮮事，但如何將零散的AI單點試驗，擴大為大規模應用、真正創造商業價值，仍是許多企業面臨的挑戰。</p> <p>麥肯錫全球董事合夥人李曉廬（Denise Lee）在Computex 2026中指出，全球已有88%的企業在至少一個部門導入AI，但真正做到企業規模化應用的企業只有約三分之一，而能從AI創造明確商業價值的企業，也只有39%。</p> <p>她認為，企業下一階段的競爭關鍵，不再是導入多少AI工具，而是能否將AI融入核心營運流程，並重新設計工作模式和組織運作方式。</p> <h2><strong>未來不是人類抵抗AI，而是人類、Agent和機器人一起工作</strong></h2> <p>談到AI對工作的影響時，李曉廬認為，電影中常見的「人類對抗機器」情節其實與現實相差甚遠。</p> <p>她指出，未來工作模式將由人才、AI代理（Agent）和機器人共同組成。企業不該只把員工視為人力編制，而是將整體勞動力，看成人類與智慧系統共同運作的混合團隊。</p> <p>麥肯錫研究顯示，以現有技術來看，企業員工日常工作中約57%的任務，可由AI代理和機器人協助完成。不過，仍有43%的工作需要仰賴人類的判斷力、創造力、同理心與複雜決策能力。</p> <p><img alt="" src="/sites/default/files/images/ppl.JPG" /></p> <p>她以護理人員與設備維護人員為例說明，AI與感測器可以協助蒐集資訊、找出問題，但真正的診斷、判斷與決策仍仰賴人類完成。因此，重點並非人類被AI取代，而是如何讓人類、AI代理與機器人形成更有效率的協作模式。</p> <p>李曉廬也引用麥肯錫分析近7,000項職場技能的研究，未來72%的工作技能，會需要人類與AI共同協作。例如，AI負責蒐集資料、整理資訊與產生分析結果，人類負責溝通協調、處理例外狀況和做出最終決策。這意味著，AI並非取代人才技能，而是改變技能的使用方式與工作分工。</p> <h2><strong>AI能力需求2年暴增7倍，企業需要懂得管理AI的人才</strong></h2> <p>這些研究結果點出，隨著AI進入企業工作流程，企業對相關能力的需求，也快速提高。</p> <p>尤其，李曉廬指出，AI Fluency（AI素養）的需求在短短2年間成長7倍。除了AI與機器學習、資料工程及雲端架構等技術能力外，人員管理和流程優化也成為成長最快的能力之一。</p> <p>這顯示，企業導入AI後，最大的挑戰往往不是技術本身，而是組織與流程的改變。</p> <p data-end="1538" data-start="1381">李曉廬指出，流程優化並非AI可以自行完成的工作，因為它需要對特定領域具備深厚知識。例如，不了解研發流程的人，很難知道該如何優化研發工作；同樣地，AI也無法憑空替企業設計更好的流程。</p> <p data-end="1592" data-start="1540">她進一步指出，隨著AI逐漸接手部分執行工作，人類的角色將更偏向需求定義、跨部門協調、規格制定與決策判斷。</p> <p data-end="1719" data-start="1594">因此，企業未來將需要更多AI調度者（AI Orchestrator）角色。這些人未必是AI工程師，而是能理解業務需求、設計工作流程、安排人機分工，並協調人類與AI共同完成工作的管理者。</p> <h2><strong>AI最大價值不在聊天機器人，而在企業核心營運領域</strong></h2> <p>談到企業最容易忽略的問題時，李曉廬指出，目前不少企業將AI應用於客服、文件整理、會議紀錄等場景，雖然有助於提升效率，但真正能創造競爭優勢的地方，其實是企業核心營運流程。</p> <p>她引用麥肯錫研究，到了2030年，AI每年可創造17兆至26兆美元的全球經濟價值。其中，生成式AI新增約4.4兆美元價值，而生產力提升又能額外帶來數兆美元效益。</p> <p data-end="1966" data-start="1948">不過，更重要的問題是，這些價值來自哪裡。</p> <p data-end="2082" data-start="1968">麥肯錫分析發現，無論是哪個產業，AI帶來的最大價值，幾乎都集中在企業的核心營運領域。以製造業來說，就是研發、先進製造與供應鏈；對軟體業而言，則是產品開發與軟體工程。</p> <p data-end="2197" data-start="2084">她強調，如果企業只是零星導入AI工具，很難獲得顯著投資報酬率（ROI）。真正的機會在於重新設計產品開發、生產、供應鏈與服務流程，從根本改變企業運作方式。</p> <h2><strong>多數企業還在試水溫，真正做到規模化的仍是少數</strong></h2> <p>不過，企業距離這個願景還有一段路要走。</p> <p>李曉廬在專訪中坦言，目前企業對AI Agent的準備度其實不高。</p> <p>她引用麥肯錫數據，雖然全球已有88%的企業導入AI，但真正做到企業級規模化的企業，僅約三分之一，而能從AI創造明確商業價值的企業，也只有39%。</p> <p>她觀察，不少企業仍處於試驗與探索階段。各部門各自嘗試不同AI工具，希望找到適合的應用場景，但還沒形成整體策略。</p> <p data-end="2425" data-start="2395">在她看來，許多企業面臨的第一個問題，是以工具導向思維看待AI。企業往往認為只要購買新的AI工具或建立一個AI代理，就能解決問題，卻忽略了工作流程本身是否需要重新設計，「很多企業是工具導向，但真正成功的企業是流程導向。」另一方面，AI技術變化速度極快，企業也必須持續學習與調整應用方式。</p> <h2 data-end="2852" data-section-id="1mgl7sl" data-start="2830"><strong>企業擁抱AI的認知落差：CEO關心商業價值，CIO關心技術落地</strong></h2> <p data-end="2890" data-start="2854">李曉廬也觀察到，企業高階主管與資訊主管在推動AI時，常關注不同的事情。</p> <p data-end="2890" data-start="2854">「CEO關心的是業務績效，CIO關心的是技術。」她認為，這不是誰對誰錯，而是雙方需要建立共同語言。</p> <p data-end="2890" data-start="2854">比如對CIO而言，必須幫助企業領導者理解AI的重要性，並從策略角度思考如何創造商業價值；對CEO而言，則應主動了解AI的能力與限制，並親自支持組織文化與變革管理。</p> <p data-end="3173" data-start="3100">尤其在亞洲企業文化中，如果最高管理者不支持變革，很難推動大規模轉型。</p> <h2><strong>臺灣下一波競爭優勢不只來自晶片，而是如何把AI用進企業裡</strong></h2> <p data-end="3286" data-start="3208">就臺灣科技業下一波AI競爭優勢來說，李曉廬認為，不會只來自更先進的晶片或更強大的硬體，而是企業能否率先將AI導入工廠、研發與供應鏈，打造真正的人機協作模式。</p> <p data-end="3404" data-start="3288">她分享一個硬體製造商案例，該公司先從建立AI代理自動化加班申請等小型應用開始，累積成功經驗後，再進一步推動品質管理流程重塑，最終完成端到端的品質管理轉型。</p> <p data-end="3428" data-start="3406">最後，李曉廬也向企業領導者拋出3個問題：</p> <p data-end="3583" data-start="3430">第一，企業是否正在重新想像未來的價值來源，而不只是利用AI優化既有流程；第二，是否將AI視為核心業務轉型的一部分，而非交由IT部門負責的技術專案；第三，是否開始培養一批能夠協調人類與AI共同工作的AI調度者。</p> <p data-end="3638" data-start="3585">她認為，AI最大的挑戰從來不只是技術，而是企業是否願意重新設計流程、調整組織文化，並由領導者親自推動變革。</p> <p data-end="3701" data-is-last-node="" data-is-only-node="" data-start="3640">「真正能勝出的企業，不是擁有最多GPU的公司，而是那些敢於重新設計流程、重新定義工作方式，並打造能與AI共同工作的組織，」她說。</p> <p></p> </div></div></div>
6/12 14:29作者王若樸https://www.ithome.com.tw/news/176584
套件管理器Homebrew調整套件來源信任機制，6.0.0強化供應鏈安全與Linux沙箱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>套件管理器Homebrew專案發布<strong><a href="https://brew.sh/2026/06/11/homebrew-6.0.0/">Homebrew 6.0.0</a></strong>，這次更新開發團隊把重點放在套件來源信任、安全隔離與更新效率。新版增加第三方套件來源信任機制（tap trust），將內部JSON API設為預設，並在Linux導入Bubblewrap沙箱。Homebrew現在會在執行第三方tap程式碼前先確認信任狀態，並透過沙箱限制部分安裝流程，以降低惡意或遭入侵來源帶來的風險。</p> <p>Homebrew是macOS與Linux常用的套件管理器，開發者可用來安裝命令列工具、函式庫與應用程式。過去使用者若加入第三方套件來源（tap），就可能在安裝套件前，讓來源中的Ruby程式碼先在本機被讀取或執行。Homebrew團隊指出，這類第三方來源可以包含任意且未經沙箱隔離的程式碼，因此6.0.0開始要求使用者在執行相關程式碼前，先明確信任該來源。</p> <p>該變更主要影響非官方套件來源，新版會在評估套件定義與應用程式安裝項目前檢查來源信任狀態，也停止自動加入未受信任來源。官方維護的Homebrew來源仍預設為受信任。</p> <p>Homebrew 6.0.0還把內部JSON API改為預設，原本Homebrew 5.0.0可由使用者選用，到了6.0.0則已成為預設設定。該機制會把Homebrew需要的中繼資料整合成單一下載，減少更新時的網路請求，讓套件清單更新與安裝前檢查更快。</p> <p>Linux支援方面，Homebrew加入Bubblewrap沙箱，讓建置、測試與安裝後處理等階段能在更受限制的環境中執行，接近macOS既有的安全隔離作法。新版也強化安裝階段的沙箱保護，並把應用程式安裝流程中的可執行處理納入隔離範圍。</p> <p>Homebrew預告macOS Intel支援退場時程。由於macOS 27（Golden Gate）將不支援Intel處理器，Homebrew將在2026年9月把macOS Intel x86_64降為第三支援層級（Tier 3），不再提供自動化測試與建置支援，也不再建立新的預先編譯二進位套件。到2027年9月，Homebrew將完全停止支援macOS Intel x86_64，並移除相關程式碼。</p> </div></div></div>
6/12 19:21作者李建興https://www.ithome.com.tw/news/176578
企業需要AI即戰力，但新鮮人只會用AI改履歷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週落幕的Computex以「AI Together」為主題，輝達（Nvidia）執行長黃仁勳更在演講中宣示「AI is now useful」，意味著AI已從技術展示正式走向產業應用階段，不會使用AI的人，將被「會使用AI的人」所取代。</p> <p>資策會副執行長兼數位轉型研究所院長林玉凡表示，在這樣的時代背景下，「我們到底是被AI打敗，還是要擁抱它？」她點出關鍵：未來最有競爭力的人才，不只會用AI，更要能將AI轉化為產業價值，而這正是臺灣職場當前最稀缺的能力。</p> <p>「市場不是沒有人才，而是缺少企業看得懂、用得上的AI能力表現。」資策會教研所主任劉錦芳坦言，人才供給端與需求端之間，缺乏的不是意願，而是一套可以跨越雙方的能力語言。</p> <h1><span style="color: rgb(178, 34, 34);">AI不只是工具，更是重新定義工作的契機</span></h1> <p>林玉凡走訪製造、文創、醫療等多個產業公協會，並試圖從中抽煉出未來人才的共同輪廓。她以「數位轉型3.0」為題的架構圖作為產業共識，其中所勾勒的並非單一技術能力，而是一座涵蓋五個維度的能力屋。</p> <p>最頂端的屋脊是「重新想像數位世界的商業策略能力」（Reimagine），支撐其下的三根柱子分別是顧客體驗設計、資料實驗與生態系策略，而整棟建築的地基，則是「可信任的數位裝置與平臺架構能力」。</p> <p>「如果你對未來沒有想像，你就沒有在數位世界中重新建構場景的能力，」林玉凡說，「因為數位和現實生活會不斷融合，怎麼樣在這個過程中重新想像我們的商業模式，不管是中年的人還是年輕人，都需要面對這個課題。」</p> <p>她進一步點出，醫療現場的挑戰尤具代表性。當AI能夠協助診斷、整理資料，醫護人員真正的價值，在於理解病人的體驗，設計照護服務，將大量的醫療資料轉化為高品質的服務內容。「這些才是未來高薪工作的定義，」她說，「也是引導我們在校學習與永續學習的方向。」</p> <p>因此，林玉凡表示，AI不會直接取代所有工作，面對AI浪潮，真正重要的不是與AI競爭，而是學會如何與AI協作，並重新定義自己的專業價值。「但能善用AI的人，將逐漸取代無法運用AI創造價值的人。」她說。</p> <p><img alt="" src="/sites/default/files/images/600-%E6%9E%97%E7%8E%89%E5%87%A1%E7%B0%A1%E5%A0%B1_%E9%BB%83%E5%BD%A5%E6%A3%BB%E6%94%9D.jpg" style="width: 600px; height: 343px;" /></p> <h1><span style="color: rgb(178, 34, 34);">人才問題不在於找不到人，而是找不到對的人</span></h1> <p>觀察當前AI人才市場發展，資策會教研所主任劉錦芳直接點破一個最弔詭的現象：「大家都說找不到人，但其實人都在。問題是，找不到『對的人』。」</p> <p>劉錦芳強調，所謂「對的人」，指的是企業能夠理解、且能立即上手的AI能力。而這個能力的匱乏，並非出自個人的怠惰，而是整個人才培育體系尚未建立起與產業需求對話的「共同語言」。</p> <p>她認為，AI時代的人才難題，供需兩端都有問題。在供給端，許多校園已開始導入AI學習、學生也會使用工具，但能力呈現不一致，更根本的問題是懂AI不等於懂工作場景；在需求端，企業持續拉高徵才期待，尤其看重AI的協作、治理與應用能力，以及可立即上手的跨領域人才。</p> <p>「人才培育不是在教工具，」劉錦芳說，「而是要貼近產業，了解產業的趨勢，工具在實際工作流程裡要怎麼用，才是問題所在。」她以資策會在奇美醫院的合作為例，醫院內的醫師、護理師、行政人員對AI的使用情境各不相同。</p> <p>像是醫師需要理解AI建議並評估臨床適用性；護理師的重點在於協助流程優化，同時維持照護判斷與病患互動；行政人員則著重資料與流程作業的支援效率。「三種職類的AI學習路徑必須差異化設計，才能真正落地。」她說。</p> <p>金融業的案例，同樣說明了AI應用的複雜性。資策會與中信商銀的合作重點不只是「會不會用AI」，而是能不能讓AI安全地進入工作流程。</p> <p>她舉例，從客戶服務的智能客服、市場分析的趨勢預測，到AI Agent在文件摘要與跨系統整合的應用，整個培訓計畫累計完成超過一萬三千份企業內部評測、逾九十人參與實體培訓、三百三十名員工取得認證，更打造出十項AI自動化流程實作案例。</p> <h1><span style="color: rgb(178, 34, 34);">AI職缺需求熱，學用落差仍是痛點</span></h1> <p>1111人力銀行發言人曾仲葳根據1111人力銀行資料庫，在2023至2025年間，應徵AI相關職缺的人數大幅成長了103%；而光是2026年第一季的應徵人數，就已達2025年全年的九成。</p> <p>此外，她表示，在需求端，今年第一季開出的AI相關職缺近三萬五千筆，相當於2024年全年的六成至九成。「等於市場對AI人才的需求非常旺盛，求職者的競爭也更趨激烈，」曾仲葳說。</p> <p>企業端目前最急需的三大AI人才類型，依序為：AI基礎架構與維運人才（37.24%）、AI資安與倫理治理人才（33.15%），以及AI跨領域商業與戰略人才（30.89%）。更有超過四成企業預期，未來兩至三年，AI人才需求將持續明顯增加。</p> <p>在應屆新鮮人這一端，AI工具確實已成為求職的日常配備。調查顯示，超過七成（73.2%）的受訪者認為，AI工具對求職有實際幫助，最常見的使用場景包括修改自傳（60.5%）、撰寫履歷（56.5%）及模擬面試（28.9%）；近三成受訪者表示，AI工具大幅降低面試前的焦慮感。</p> <p>不過，學用落差的問題依然顯著。雖然各大學已普遍開設AI相關課程，但僅有11%的新鮮人認為，在校所學能完全滿足職場需求；超過六成認為只有部分符合，甚至超過三成認為，在校學到的AI技能無法充分應用於工作。</p> <p>為了彌補這個落差，多數人選擇透過線上學習平臺自主進修，或是主動考取AI相關證照。此外，超過八成新鮮人希望未來企業能提供完善的AI培訓資源。</p> <p>值得注意的是，大約有五成五的新鮮人表示，AI工具出現後，有機會尋找非自己畢業科系的相關工作，曾仲葳表示，這是過去難以想像的求職彈性。與此同時，AI「取代工作」的焦慮也已明顯下降，以往認為AI會取代自身工作的比例，已從AI剛出現時的約九成，降至現在的二成（22%）左右。</p> <h1><span style="color: rgb(178, 34, 34);">從三個案例，看AI如何改變一般工作者的日常</span></h1> <p>首先，擔任平面設計師張小姐坦言，AI出現之初，曾有過強烈的中年職場危機感。「AI可能只需五秒鐘，就可以解決之前要花五個小時才能完成的任務，」她說。但在實際操作AI工具的過程中，她逐漸發現現實遠比想像複雜。</p> <p>她解釋，因為沒有任何單一工具可以直接完成所有工作，必須根據不同的輸出需求交錯搭配；輸出的成果有時包含大量用不到的元素，反而要花時間手動刪減。經歷與AI的協作後，她認為，手繪的技術、個人的創作風格，這些還是不會被取代的，因為這真的是你會的東西。</p> <p>現任職於幼兒園的蘇小姐，從護理師轉職為衛教師，AI則協助她改變衛教內容製作的工作流程。</p> <p>過去，她需要花費大量時間從網路搜尋適合幼兒閱讀的素材、自行製作簡報，因為要做到適合小朋友看的呈現方式，光是修改就耗時甚久。</p> <p>有了AI之後，她先透過ChatGPT整理思路、構建初稿，再搭配Notebook LM、Suno、Gamma等工具，將素材轉換成她想要的格式。「相對減少很多從頭做的時間，可以把更多時間省下來，留給小孩子做互動，」蘇小姐說，「我覺得AI不是取代我的工作，而是讓我有更多時間做更重要的事。」</p> <p>最後則是心理系畢業、從事專案管理工作的Elise，花了約一個半月的時間，以自學方式考取了經濟部i PAS AI應用規畫師證照。</p> <p>她的學習方法是自己動手建立一個簡易的AI Agent，專門負責將她在備考過程中遇到的專業詞彙與難懂概念，用白話文重新解釋，並協助她反覆練習題目。</p> <p>對於非本科系出身的她，相關知識都是從自己的背景去理解，Elise表示，這種方式讓她可以用AI共同學習，並在過程中取得這張證照。她也說，這張證照，也成為她爭取加薪的籌碼。</p> <h1><span style="color: rgb(178, 34, 34);">資策會推「數位職能護照，讓你的能力被企業看見</span></h1> <p>如何讓個人的AI能力被企業「看見」，資策會教研所所長何玲玲表示，為了累積產業端與學校教育端的成果，做到整合、辨識，並轉化為人才發展的共同語言，資策會推出了「數位職能護照」。</p> <p>這份電子版職能護照的設計邏輯就是，每當持有人完成某項課程訓練、通過某項證照考試，或受企業指派完成特定實作專案，相關記錄都會累積在護照之中。「企業在找人才的時候，其實不只看學經歷，更看重他曾經做過什麼，因為實務經驗才是能幫助工作完成的東西，」何玲玲說。</p> <p>目前，數位職能護照已累計發放超過兩萬五千本，涵蓋AI應用、辦公室工具、美術設計等類別，並已依不同產業設計出客製化的護照版本，包括醫療領域和金融領域的企業，都已採用各自的護照版本作為人才能力的辨識指標。護照採電子形式，完全可攜帶——無論轉職、換工作或前往其他服務單位，過去的所有歷練都能一併跟著走。</p> <h1><span style="color: rgb(178, 34, 34);">從4I 框架，學習轉化AI的價值</span></h1> <p>劉錦芳認為，未來最有競爭力的人才，不只會用AI，更能把AI轉化為價值。要怎麼做到？可以參考「4I框架」，包括：想像力（Imagination）、整合力（Integration）、影響力（Impact）、投資未來（Investment）。</p> <p>她解釋，「想像力」是在AI的輔助下，看見機會、提出新的可能；「整合力」是串聯資源、讓工具真正落地的能力；「影響力」是創造改變、帶動組織與產業前進的能力；而「投資未來」更是持續學習、投資自己的決心。</p> <p>劉錦芳也預告，資策會教研所與1111人力銀行將於今年11月聯合發布《2027未來人才白皮書》，針對醫療、金融、製造、服務四大產業，盤點未來的職缺方向與關鍵能力需求，並建立可衡量的人才標準指標，期望為臺灣的人才培育與就業媒合提供更有系統的參考依據。</p> </div></div></div>
6/12 17:21作者黃彥棻https://www.ithome.com.tw/news/176579
環境部推全新的循環標誌，預計7月開放申請，今年還將納入政府綠色採購
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>環境部即將推動全新的「循環標誌」在今天(6/12)舉辦的循環商品展中正式亮相，適逢立法院於6月剛三讀通過「資源循環推動法」形成政策連動。相較於既有環保標章多涵蓋空氣、水資源與能源管理等廣泛環境指標，新的「循環標誌」則聚焦產品本身的循環設計條件，包括單一或天然材料使用、易拆解設計以及再生材料導入等，核心目標在於提升資源循環利用效率並減少廢棄物產生。</p> <p>環境部資源循環署長賴瑩瑩表示，循環標誌的核心不只是產品識別工具，也希望從設計端引導減廢與資源再利用，提升產品在生命週期中的循環效率，並降低廢棄物產生。</p> <p>在制度設計上，循環標誌採申請制，由業者向主管機關提出申請並通過審查後即可使用，標誌將直接標示於產品上，未來並規劃結合QR Code數位資訊系統，提供產品材料來源、循環設計與再利用資訊，類似「產品履歷」的透明機制。</p> <p><span style="font-size:22px;"><strong><span style="color:#B22222;">納入綠色採購績效，以公帶私向市場推廣循環商品</span></strong></span></p> <p>政策面部分，循環標誌被納入政府綠色採購與績效評核架構。自今年起，政府機關與學校若採購具循環標誌的產品或服務，將可納入綠色採購績效計算，透過制度誘因引導公部門優先選用循環產品，進一步擴大市場需求。</p> <p>循環署指出，這項設計目的在於以政府採購作為初期市場支點，逐步帶動企業投入循環設計、維修延壽與再生材料應用。</p> <p>循環標誌被視為一種可辨識的「永續信任標記」，希望降低消費者與採購端對循環產品資訊不對稱的障礙，並強化綠色採購決策依據。標誌外型設計以蝸牛意象呈現，象徵循環經濟持續推進與資源再生的概念。</p> <p>今年5月循環署先公布首波「循環產品及循環服務技術規格」，內容涵蓋紡織品、塑膠類、玻璃容器、循環服務及無機材料等五大類別，共計12項技術規格。</p> <p>從今年7月起，符合相關循環特性技術規格的產品與服務即可提出申請，進入循環標誌審查與認證流程。該制度目標在於建立一致性的循環產品識別體系，讓公私部門在採購時能以明確標準辨識產品循環特性，以引導市場優先選擇具備循環設計與資源再利用能力的產品與服務。</p> <p>賴瑩瑩指出，目前已有部分業者投入資源循環聯盟相關產品設計，未來將可透過標誌驗證機制進入政府與企業採購體系，形成由政策驅動的需求市場。</p> <p>值得注意的是，循環標誌涵蓋的首波產品類別僅涵蓋上述的5大類別，目前循環標誌只是剛起步，尚未涵蓋ICT電子產品，未觸及IT設備產品供應鏈，不排除未來循環標誌可能擴大產品類別。</p> <p><span style="font-size:22px;"><strong><span style="color:#B22222;">從「資源循環推動法」看循環經濟趨勢</span></strong></span></p> <p>循環標誌作為採購與供應間的識別標誌，其目的在推廣循環產品，從源頭減廢，用意與未來即將上路的「資源循環推動法」不謀而合，循環標誌可以說是「資源循環推動法」及配套子法上路前，循環產品及服務的識別工具，引導民間消費、政府及企業綠色採購的重要工具。</p> <p>前身為「資源回收再利用法」的「資源循環推動法」，為建立資源循環的法源依據，推廣「循環經濟」的目標下，授權主管機關環境部可以做的事，包含綠色設計制度、再生料使用規範、產品延壽與維修、循環採購制度、以及「產品循環相關標示制度」。</p> <p>「資源循環推動法」為循環經濟建立法制基礎，而循環產品及循環服務標誌則是其市場化工具，儘管目前仍以民生產品為主，但已透過綠色採購機制逐步導入政府採購體系，為未來電子產品與IT供應鏈納入循環管理預留制度空間。</p> </div></div></div>
6/12 17:46作者蘇文彬https://www.ithome.com.tw/news/176580
【資安週報】0608-0612，全球漏洞治理迎來新變革，美國CISA開始勒令高風險漏洞3天內須修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼上週印度CERT-In提出極嚴格的修補時間要求，各國是否將跟進並納入監管規範成為焦點，如今美國網路安全暨基礎設施安全局（CISA）亦祭出行動，調整漏洞管理規則，要求最高風險漏洞須在3天內完成修補。</p> <p>Anthropic發表威力等同於Mythos的新模型Claude Fable 5亦成焦點，其特色在於標榜加入安全防護機制，避免用於惡意網路攻擊。</p> <p>在威脅態勢方面，近期針對Check Point與思科網路設備的零時差漏洞攻擊消息，反映出攻擊者正持續鎖定邊緣裝置作為突破口，此外，多家網站傳出可疑的Polyfill登入提示，Miasma供應鏈攻擊也持續引發高度關注。</p> <h1><strong style="color: rgb(255, 140, 0);">AI資安</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>Anthropic發表新模型Claude Fable 5備受矚目，針對AI加速漏洞武器化所帶來的危機，業界也頻頻發出示警，包括使N-day風險縮短至N小時等級，以及倡議前沿AI開發者應建立協調暫停機制以防失控，必要時一起放慢或暫停開發。此外，開源社群領袖於臺灣舉行的Computex 2026上，提醒AI也將放大軟體供應鏈問題，呼籲企業應參與開源專案並改善安全。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176463" target="_blank">Anthropic警告AI可在數小時內打造漏洞攻擊程式</a></strong></p> <p><a href="/sites/default/files/images/Anthropic LLM N-day.jpg"><img alt="" src="/sites/default/files/images/Anthropic%20LLM%20N-day.jpg" style="width: 400px; float: right;" /></a></p> <p>Anthropic在6月8日發表最新研究報告《Measuring LLMs' impact on N-day exploits》，指出N-day漏洞問題將變得非常嚴峻，以往修補程式發布到漏洞被利用往往需要數週甚至數月時間，因為駭客通常需要投入大量逆向工程與漏洞研究工作，如今最新模型只要比較修補前後版本差異，知道漏洞元件名稱及相關測試環境，就能建立概念驗證程式，最快案例耗時甚至不到1小時。這也顯示，N-day漏洞問題將變成「N-hour」風險，因為修補資訊公開後數小時內就可能被武器化，傳統以月為單位的修補發布與部署模式將面臨挑戰。</p> <p><strong><a href="https://www.ithome.com.tw/news/176499" target="_blank">Anthropic發表新模型Claude Fable 5，威力等同於Mythos並加入安全防護</a></strong></p> <p>Anthropic正式發布威力等同Claude Mythos的模型Claude Fable 5，但加入安全防護以確保公眾安全，其價格也是Opus 4.8的2倍，該公司也宣布推出少數專家及研究人員專用的最新版模型Mythos 5。Fable 5除了標榜加入防護機制，其能力也是Anthropic現有公開模型最強大的，在所有AI標竿測試項目幾乎皆為最強，在軟體工程、知識工作、視覺、科學研究等領域效能優異，而且任務愈長、愈複雜，Fable 5的領先幅度愈大。</p> <p><strong><a href="https://www.ithome.com.tw/news/176410" target="_blank">OpenSSF前總經理Brian Behlendorf：AI對開源的依賴愈深，將放大軟體供應鏈問題</a></strong></p> <p>AI浪潮讓開源軟體的重要性攀上新高，但也讓軟體供應鏈安全問題變得更加嚴峻。OpenSSF前總經理Brian Behlendorf受邀在Computex 2026的活動論壇中指出，從Log4j漏洞、XZ後門事件到PyTorch供應鏈攻擊，AI並未帶來新的資安威脅，而是將既有的開源供應鏈風險「推上火箭」，放大到前所未有的規模。他呼籲企業除了使用開源軟體，也應投入資源協助改善開源專案安全，共同建立可信任的AI基礎設施。</p> <p><strong><a href="https://www.ithome.com.tw/news/176389" target="_blank">Anthropic稱內部逾8成正式程式碼由Claude撰寫，倡議先進AI開發者建立協調暫停機制</a></strong></p> <p>Anthropic近日發表報告《When AI builds itself》，不僅揭露該公司合併至正式程式碼庫的程式碼已有逾8成由Claude撰寫，同時主張全球應建立可驗證的協調機制，讓主要前沿AI開發者在必要時，具備共同減速或暫停開發的選項。這是因為未來可能出現「遞迴式自我改進」（Recursive Self-Improvement）的情況，也就是AI能夠自行設計與改進自己的後繼模型，若真的發生，可能成為科技史上的重大轉折，一方面可加速科學與醫療等領域進展，另一方面也可能提高人類失去控制的風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176423" target="_blank">多倫多大學研究示警，駭客可用免費AI模型提高蠕蟲程式擴散能力</a></strong></p> <p>加拿大多倫多大學（University of Toronto）發布研究指出，攻擊者即使未掌握先進AI模型或龐大運算資源，仍可能利用開放權重（open-weight）模型，開發具備自主調整攻擊策略能力的惡意程式，提醒企業與使用者應落實基本資安措施。</p> <p><strong><a href="https://www.ithome.com.tw/news/176460" target="_blank">美國要求聯邦機構限期修補LiteLLM的命令注入漏洞</a>【</strong>CVE-2026-42271<strong>】</strong></p> <p>美國網路安全與基礎設施安全局（CISA）更新已遭利用的漏洞名單（KEV），增列項目之一為開源大型語言模型串接套件LiteLLM於6月8日揭露的漏洞CVE-2026-42271，這是一個命令注入類型的弱點，開發團隊BerriAI發布1.83.7版修補。同日還有另一個Check Point揭露的VPN零時差漏洞CVE-2026-50751也被納入。究竟駭客如何利用漏洞，CISA並未說明，不過在此公告之前，威脅情報公司<a href="https://www.ithome.com.tw/news/176569">Horizon3.ai亦針對</a>LiteLLM高風險漏洞CVE-2026-42271提出警告，若攻擊者串連另一個已知漏洞，將形成CVSS風險值10分的漏洞利用鏈。</p> <p><strong><a href="https://www.ithome.com.tw/news/176440" target="_blank">公開AI代理技能市集掃描機制難擋惡意技能，OpenClaw、Cisco與Vercel相關檢測皆遭繞過</a></strong></p> <p>資安廠商Trail of Bits近期揭露了一項研究，針對包括OpenClaw的ClawHub技能市集、思科開源的skill-scanner工具，以及Vercel旗下skills.sh市集整合的Gen Agent Trust Hub、Socket與Snyk掃描服務進行測試後，發現多個惡意技能套件均可通過上述檢測。研究人員分析指出，問題的核心並非單一掃描規則的疏漏，而是AI代理技能套件本質上混合了程式碼、文件與自然語言指令，導致現有掃描工具難以完整判斷其隱藏意圖。</p> <p><strong><a href="https://www.ithome.com.tw/news/176414" target="_blank">研究人員以1千美元用AI發現FFmpeg 21項零時差漏洞</a></strong></p> <p>廣泛用於各類軟體的影音核心FFmpeg，被資安業者Depthfirst以AI代理掃描發現21項零時差漏洞，而且總成本僅約1,000美元（是Anthropic使用Mythos成本的10%）。該團隊主要撰寫代理人系統來深度掃描FFmpeg的程式，並經過測試證實漏洞，目前這21項漏洞中，已有9個獲得派發CVE編號，其餘漏洞尚未獲得編號。</p> <p><strong><a href="https://www.ithome.com.tw/news/176538" target="_blank">OpenSSL修補高風險漏洞，研究人員在AI協助下發現可導致RCE問題</a></strong></p> <p>OpenSSL近日修補18項安全漏洞，近半數由Anthropic公司協助發現，再次凸顯AI工具在發現與修補弱點方面的效益。其中高風險漏洞CVE-2026-45447尤為關鍵，研究人員透過Claude AI識別出可能導致記憶體已釋放卻仍被使用（UAF）問題，除此項外，Anthropic亦參與其餘7項漏洞的通報與修補，顯示AI驅動的分析技術已成為現代漏洞研究不可或缺的核心工具。</p> <p><strong><a href="https://www.ithome.com.tw/news/176413" target="_blank">AI工具發現Redis重大漏洞，協助修補可能導致遠端程式碼執行的記憶體問題</a></strong></p> <p>自主AI工具發現軟體漏洞再添案例。Redis近日修補高風險漏洞CVE-2026-23479，這項潛伏超過2年的遠端程式碼執行漏洞，是由Theori旗下自主式AI工具Xint Code所發現。Theori表示，Xint Code可自行分析大型程式碼庫並輸出結果，顯示AI已逐漸具備發掘複雜漏洞的能力。</p> <p><strong><a href="https://www.ithome.com.tw/news/176424" target="_blank">OpenAI為ChatGPT引進Lockdown模式，透過限制部分工具存取降低提示注入攻擊風險</a></strong></p> <p>OpenAI近日為ChatGPT導入新的Lockdown Mode安全模式，透過限制網頁瀏覽、Deep Research、Agent Mode等高風險功能，降低提示注入（Prompt Injection）造成資料外洩的風險。OpenAI表示，這項功能主要針對處理敏感資料的使用情境，核心目標並非阻止提示注入本身，而是限制AI模型存取連接網站或外部服務，降低提示注入造成的風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176474" target="_blank">Google更新NotebookLM，新增代理式研究與多格式輸出</a></strong></p> <p>NotebookLM升級，Google表示將改用Gemini 3.5並在Antigravity上運作，更重要是替每個筆記本配置安全雲端運算環境。因此，這次升級不只採用更強的模型能力，也能使NotebookLM能夠撰寫及執行程式碼，幫助使用者進行更深入與複雜的研究分析。</p> <p><strong><a href="https://www.ithome.com.tw/news/176539" target="_blank">OpenAI、Visa合作共推AI代理安全支付技術</a></strong></p> <p>各AI業者及雲端平臺公司都在嘗試推出自有代理支付技術以搶佔關鍵位置，國際支付卡組織Visa在6月10日宣布與OpenAI合作，將把其支付網路及安全、身分驗證技術整合到OpenAI ChatGPT使用體驗中，以實現消費者及企業AI代理式支付的安全及流暢性。雙方也計畫將支付安全機制整合到開發或業務流程中，這項合作讓開發人員或店家得以接受由AI代理啟動的Visa支付。</p> <p><strong><a href="https://www.ithome.com.tw/news/176425" target="_blank">Anthropic揭露惡意帳號濫用Claude趨勢，中度風險以上AI輔助攻擊者占比已逾五成</a></strong></p> <p>AI公司Anthropic於6月3日發布AI輔助網路威脅分析報告，指出攻擊者濫用AI模型發動網路攻擊的情況持續增加，風險也逐步升高。該公司分析2025年3月至2026年3月間，因違反使用政策遭停權、且具備足夠活動細節可供分析的832個帳號，發現濫用Claude輔助網路攻擊的風險升高──中度以上風險行為者占比不到一年從約33%升至約56%，約為前期的1.7倍，顯示AI正在降低攻擊者執行複雜攻擊行動的門檻。</p> <p><strong><a href="https://www.ithome.com.tw/news/176438" target="_blank">假冒Claude Code安裝網站散布惡意軟體事件又一樁，開發環境憑證遭鎖定</a></strong></p> <p>資安公司Cyderes旗下研究團隊Howler Cell揭露，攻擊者透過偽冒Claude Code安裝網站，結合SEO污染與ClickFix社交工程手法，誘導開發者執行惡意命令，進而部署無檔案形式的.NET竊資軟體。研究人員指出，熱門AI開發工具正逐漸成為攻擊者的誘餌，鎖定開發者環境發動攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/176442" target="_blank">惡意Chrome擴充套件鎖定AI平臺互動內容，收集對話與敏感資料</a></strong></p> <p>資安業者G DATA研究人員揭露，部分Chrome瀏覽器擴充套件內含惡意元件，會監控使用者與ChatGPT、Claude、Copilot等AI平臺互動內容，收集提示詞、對話紀錄與敏感資訊並外傳。這起案例顯示，攻擊者已開始將AI對話內容視為新的高價值資料來源，利用瀏覽器擴充功能竊取資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/176547" target="_blank">AI代理同樣存在遭社交工程欺騙風險，研究人員揭露OpenClaw AI代理可遭釣魚郵件誘騙洩漏敏感資料</a></strong></p> <p>Varonis研究團隊針對開源AI代理平臺OpenClaw進行安全測試，發現攻擊者可透過冒名郵件等社交工程手法，誘騙AI代理外洩AWS金鑰、資料庫憑證及客戶資料。研究顯示，AI代理雖能有效辨識惡意連結與偽造OAuth頁面，但在驗證人員身分、組織關係及授權範圍等社交層面仍相當脆弱，顯示AI代理同樣面臨社交工程風險。</p> <h1><strong style="color: rgb(255, 140, 0);">資料安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>本週資料安全焦點在於Oracle PeopleSoft伺服器漏洞遭駭客鎖定，值得關注的是，這起事件恐有100多家組織遇害，同時也反映勒索軟體駭客組織ShinyHunters持續帶來的資料外洩威脅。此外，隱私強化技術（PETs）的發展亦成焦點，日前Computex活動亦展示與具身機器人結合的應用。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176529" target="_blank">ShinyHunters宣稱駭入上百家Oracle PeopleSoft伺服器</a></strong></p> <p>勒索軟體駭客組織ShinyHunters鎖定商用軟體Oracle PeopleSoft伺服器漏洞發動攻擊，該組織宣稱這波行動成功存取一百多家組織、超過300個PeopleSoft執行個體，結合軟體的舊漏洞及先前未知的零時差漏洞展開攻擊，遭駭者大部分是教育機構，其中一家受害學校是英國諾丁罕大學，根據BBC報導，該校已證實遭到網路攻擊，學校的校園方案系統遭遇非授權活動，致使課程系統儲存的「大量」學員包括現任學生、校友個資遭到存取。</p> <p><strong><a href="https://www.ithome.com.tw/news/176534" target="_blank">ServiceNow安全缺陷遭濫用，攻擊者查詢部分客戶執行個體資料</a></strong></p> <p>企業雲端工作流程平臺業者ServiceNow傳出安全事件，攻擊者濫用一項安全漏洞，可讓未經身分驗證的使用者在特定情況下，取得超出範圍的ServiceNow執行個體存取權限，並透過組態不良的API端點，查詢部分客戶執行個體的資料表，ServiceNow已通知受影響客戶。</p> <p><strong><a href="https://www.ithome.com.tw/news/176462" target="_blank">學校求職網站第三方平臺漏洞遭駭，導致牛津大學學生個資外洩</a></strong></p> <p>英國名校爆發資料外洩事件，本週牛津大學發布公告，說明求職平臺CareerConnect供應商GTI於5月28日通知學校遭到第三方人士未授權存取系統，致使用戶的姓名、電子郵件地址，以及未以單一簽入（SSO）登入系統的學生加密密碼遭駭客存取，使用SSO登入CareerConnect系統的學生密碼則不受影響。CareerConnect平臺的攻擊者身分尚未被辨識或公開。校方也提醒學生留意陌生信件或訊息，避免遭釣魚攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/176498" target="_blank">幫助具身機器人巡檢兼顧隱私，帝濶智慧科技展示PriviSphere Robotics平臺</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_bang_zhu_ju_shen_ji_qi_ren_xun_jian_jian_gu_yin_si_di_kuo_ke_ji_zhan_shi_privisphere_roboticsping_tai_.jpg?itok=9B8gdgkS"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_bang_zhu_ju_shen_ji_qi_ren_xun_jian_jian_gu_yin_si_di_kuo_ke_ji_zhan_shi_privisphere_roboticsping_tai_.jpg?itok=9B8gdgkS" style="width: 400px; float: right;" /></a></p> <p>隱私強化技術（PETs）發展持續備受關注，鈺創科技旗下專注於差分隱私技術的帝濶智慧科技（DeCloak），於Computex 2026現場揭示最新隱私防護技術發展，展示可將監控影像中的人物即時模糊化，並整合各類具身機器人協作應用的「PriviSphere Robotics」平臺，建構一套具備隱私感知能力的機器人協作體系。</p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>本週適逢每月例行更新發布，其中微軟6月修補數量達568個最受矚目，而Microsoft Defender零時差漏洞RoguePlanet的揭露亦引發熱議。此外，趨勢科技回應Deep Security Agent防護功能失效的消息，以及微軟EDR更新機制的調整，也反映端點安全防護韌性與更新效率正受各界高度重視。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176497" target="_blank">微軟發布6月例行更新，修補逾560個漏洞</a></strong></p> <p>本週微軟發布本月例行安全性更新，總共揭露與修補568個漏洞，微軟本身處理的漏洞多達206個，由第三方登記CVE編號的漏洞更是多達362個，相較於過往，單次公告的漏洞數量可說是大爆增。附帶一提的是，第三方元件漏洞有360個皆與Chrome有關，其餘兩個是由Arm與CERT/CC登記的弱點。根據CVSS風險評分來看，最嚴重的是HTTP.sys遠端程式碼執行漏洞CVE-2026-47291，風險值為9.8，而同被歸類於重大漏洞的則有3個，分別是遠端桌面遠端程式碼執行漏洞CVE-2026-42985、Windows圖形元件遠端程式碼執行漏洞CVE-2026-44803與CVE-2026-44812。</p> <p><strong><a href="https://www.ithome.com.tw/news/176500" target="_blank">微軟修補近期受熱議的三大零時差漏洞</a></strong></p> <p>微軟6月例行更新中最受關注的焦點之一，莫過於3個先前已遭公開的零時差漏洞。其中兩個是研究人員Chaotic Eclipse（Nightmare-Eclipse）公布的GreenPlasma與YellowKey，另一個是HTTP/2 Bomb。隨著修補釋出，CVE編號也正式公開，GreenPlasma的正式漏洞編號為CVE-2026-45586，CVSS風險評為7.8分；YellowKey的漏洞編號是CVE-2026-50507，風險值為6.8分；HTTP/2 Bomb則是CVE-2026-49160，CVSS風險評為7.5分。</p> <p><strong><a href="https://www.ithome.com.tw/news/176503" target="_blank">研究人員揭露新的Microsoft Defender零時差漏洞RoguePlanet</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_wekphancgl.jpg?itok=8RHJCbZd"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_wekphancgl.jpg?itok=8RHJCbZd" style="width: 400px; float: right;" /></a></p> <p>在微軟發布本月例行更新數個小時之後，Chaotic Eclipse公開名為RoguePlanet的Microsoft Defender零時差漏洞，他表示，這屬於遠端程式碼執行漏洞，攻擊者利用的條件是需要引誘使用者在遠端的SMB伺服器開啟VHD或VHDX虛擬磁碟檔，成功利用漏洞後，Microsoft Defender就會覆寫該防毒軟體相關的檔案，導致遠端程式碼執行。另一種觸發RoguePlanet的結果，是造成繞過BitLocker，攻擊者必須在防毒軟體讀取特定檔案的過程裡，推送不同的資料給NTFS.sys。後續有資安公司指出漏洞確實有效，但也有資安公司指出，微軟似乎在研究員公布前已完成修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/176537" target="_blank">Linux核心再傳nftables本機權限提升漏洞CVE-2026-23111</a></strong></p> <p>威脅情報公司Exodus Intelligence近期揭露存在於Linux核心nftables子系統的CVE-2026-23111漏洞細節，指出這項漏洞是在2025年初發現，並在2026年2月獲得修補與分配CVE編號。這項揭露的特殊點在於，漏洞源於nft_map_catchall_activate()函式中多出的一個驚嘆號（!），這個邏輯反轉錯誤導致核心在處理交易終止時，因錯誤跳過必要程序，造成鏈結參考計數異常遞減。一旦計數歸零將會進而引發UAF漏洞。</p> <p><strong><a href="https://www.ithome.com.tw/news/176494" target="_blank">針對研究人員揭露Deep Security Agent防護功能暫時失效問題，趨勢科技表示重新載入機制屬既有設計，無須修補</a></strong></p> <p><a href="http://www.ithome.com.tw/news/176446">資安研究人員0xMatheuZ揭露</a>，趨勢科技Linux版Deep Security Agent存在保護繞過問題，攻擊者可透過大量檔案操作觸發bmhook與tmhook元件重新載入，造成防護功能短暫失效。後續趨勢正式回應，強調相關情形屬於產品既有設計，而非安全漏洞。該公司表示，當系統因大量檔案系統事件超過資源限制時，會自動重新啟動與載入，以維持系統穩定性。趨勢科技同時表示，將持續改善檔案處理效率，降低觸發重新載入機制的機率。</p> <p><strong><a href="https://www.ithome.com.tw/news/176541" target="_blank">俄羅斯駭客利用WinRAR已知漏洞對烏克蘭發動攻擊</a></strong></p> <p>WinRAR已知漏洞CVE-2025-8088持續遭到攻擊者鎖定利用，趨勢科技追查到兩個俄羅斯駭客組織Gamaredon（UAC-0010、Shuckworm、Earth Dahu），以及UAC-0226（Shadow-Earth-066）的漏洞利用活動，至少延續至今年4月。Gamaredon至少從去年9月起，利用此漏洞向使用者傳遞惡意HTA檔，UAC-0226則是自今年2月起，透過此漏洞散布竊資軟體GiftedCrook。</p> <p><strong><a href="https://www.ithome.com.tw/news/176454" target="_blank">微軟調整Defender for Endpoint EDR更新機制，改由Microsoft Update派送</a></strong></p> <p>微軟將調整企業端點安全服務Microsoft Defender for Endpoint在Windows裝置上的端點偵測與回應（EDR）更新機制。未來EDR更新將改採獨立更新機制，並由Microsoft Update提供，不再隨Windows每月例行安全更新一併發布。這項變更已於2026年5月下旬率先部署至Windows 10裝置，接下來會逐步擴及Windows 11，之後再涵蓋其他仍受Microsoft Defender for Endpoint支援的Windows版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/176553" target="_blank">Proxmox Virtual Environment發布9.2版，修補5項備受關注的Linux核心漏洞</a></strong></p> <p>開源虛擬化平臺Proxmox Virtual Environment（Proxmox VE）發布9.2版更新，除了新增動態負載平衡等功能，也整合Linux核心修補程式，修正Copy Fail、Dirty Frag、Fragnesia、PinTheft及ssh-keysign-pwn等5項近期受到關注的漏洞。由於這些漏洞可能導致本機權限提升或敏感資訊外洩，使用Proxmox VE的用戶應儘速更新。</p> <h1><strong style="color: rgb(255, 140, 0);">網路安全</strong></h1> <p><span style="color:#696969;"><strong>網路邊界防禦持續面臨嚴峻考驗，Check Point VPN與思科SD-WAN雙雙遭零時差漏洞攻擊，其中前者已被勒索軟體Qilin用於針對性攻擊，後者的攻擊者身分尚未被揭露，這些狀況的發生，也持續反映攻擊者鎖定網路邊界設備作為發動漏洞攻擊的主要目標。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176461" target="_blank">Check Point VPN遭零時差漏洞攻擊，已被用於勒索軟體Qilin活動</a>【</strong>CVE-2026-50751<strong>】</strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_luf6wb2b3r.jpg?itok=LDyBPS1D"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_luf6wb2b3r.jpg?itok=LDyBPS1D" style="width: 400px; float: right;" /></a></p> <p>6月8日資安公司Check Point示警，最新修補的漏洞CVE-2026-50751已遭廣泛利用，呼籲用戶儘速採取行動因應。Check Point表示是在6月4日察覺可疑活動，調查後認為相關活動最早在5月7日出現，6月初漏洞嘗試利用活動數量增加，而在完成漏洞利用步驟後，駭客下載Linux版勒索軟體Qilin的二進位檔案。值得注意的是，Check Point調查攻擊基礎設施後，透露有人針對全球數十個組織發動攻擊，並預估駭客也打算利用Palo Alto Networks、Fortinet、F5等廠牌的VPN系統弱點。<a href="http://www.ithome.com.tw/news/176452">同日該公司發布資安公告</a>修補安全閘道設備Security Gateway與Spark Firewall的兩項資安漏洞，除了前述遭利用的漏洞，還修補CVE-2026-50752。<a href="https://www.ithome.com.tw/news/176460" target="_blank">美國CISA將之列入KEV並要求</a>聯邦機構4天內修補<strong>。</strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176419" target="_blank">思科SD-WAN遭零時差漏洞攻擊，今年第7個零時差漏洞</a>【</strong>CVE-2026-20245<strong>】</strong></p> <p>6月4日思科發布資安公告，指出Catalyst SD-WAN Manager的漏洞CVE-2026-20245已遭利用，發現少數的漏洞利用活動，此為思科SD-WAN平臺今年公布的第7個零時差漏洞，該漏洞目前尚無修補程式，也沒有其他緩解措施，預計在未來的版本解決此問題，用戶應將Catalyst SD-WAN Manager升級至5月14日發布的最新版本，持續驗證邊緣裝置的組態設定是否有未經授權變更，並密切關注後續修補公告。<a href="http://www.ithome.com.tw/news/176527">後續美國CISA將此漏洞列入KEV</a>。</p> <p><strong><a href="https://www.ithome.com.tw/news/176542" target="_blank">Arista EOS網路作業系統存在已遭利用漏洞，原廠選擇緩解措施而不發布修補程式</a></strong></p> <p>Arista Extensible Operating System（EOS）網路作業系統存在已遭實際利用的漏洞CVE-2026-7473，CISA亦已將其列入KEV清單，問題源自隧道流量解封裝機制未驗證協定類型，可能錯誤接受並處理非預期的封裝流量。由於修補可能影響既有部署環境與設定，Arista表示不計畫發布修補程式，而是建議用戶透過ACL限制封裝流量，以降低遭攻擊風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176531" target="_blank">Ivanti修補安全閘道Sentry重大漏洞，可讓攻擊者以root權限執行程式碼</a></strong></p> <p>企業軟體與資安設備業者Ivanti於6月9日發布安全公告，修補Ivanti Sentry兩項重大（Critical）風險等級漏洞，分別為CVE-2026-10520與CVE-2026-10523，前者是作業系統命令注入漏洞，CVSS風險分數為10.0分，可能導致攻擊者以root權限執行程式碼。後者則是驗證繞過漏洞，CVSS風險分數為9.9分，可能讓未通過身分驗證的遠端攻擊者建立任意管理員帳號，進而取得完整管理員權限。</p> <p><strong><a href="https://www.ithome.com.tw/news/176411" target="_blank">思科企業通訊管理平臺Unified CM存在重大SSRF漏洞，恐遭用於權限提升攻擊</a></strong></p> <p>思科修補企業通訊管理平臺Unified CM的重大漏洞CVE-2026-20230，若未修補，該漏洞可讓未登入攻擊者透過特製HTTP請求寫入檔案，日後可能被濫用於root權限提升。思科PSIRT提醒，雖然此已知漏洞尚未發現惡意利用案例，但已有概念驗證利用程式碼公開。目前Unified CM SME 14版的修補版本為14SU6，15版則為15SU5，預計於2026年9月提供，或可使用版本對應的COP修補程式。</p> <p><strong><a href="https://www.ithome.com.tw/news/176466" target="_blank">Ubiquiti UniFi管理平臺軟體存在重大漏洞鏈，可讓攻擊者免帳密取得root權限</a></strong></p> <p>網通設備業者Ubiquiti的UniFi管理平臺軟體UniFi OS Server存在重大漏洞鏈，涵蓋CVE-2026-34908、CVE-2026-34909與CVE-2026-34910，通報的資安業者Bishop Fox指出，其風險在於攻擊者在可連到管理介面的情況下，可能不需帳密即可繞過驗證，對系統下達指令並取得root權限。Ubiquiti已於5.0.8版修補，建議盡速更新；若更新前已遭入侵，須防範攻擊者恐已複製權杖簽章金鑰而仍可偽造管理員登入。</p> <h1><strong style="color: rgb(255, 140, 0);">資安維運</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>本週資安維運焦點在於群創光電揭露將資安部門提升至執行長直轄的組織轉型，以及趨勢科技推出能將風險即時轉化為損失金額的量化方案，反映資安治理與風險量化管理已成為企業維運的核心。此外，智慧資安與池安量子合作推動國內PQC遷移工程，亦提醒企業需及早啟動相關作業。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176441" target="_blank">將資安風險即時轉化為可能損失金額，趨勢科技首度公開CRQ預覽版</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/（圖6）趨勢科技Cyber Risk Quantification，CRQ_將風險程度量化成金額_攝影羅正漢.jpg"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Cyber%20Risk%20Quantification%EF%BC%8CCRQ_%E5%B0%87%E9%A2%A8%E9%9A%AA%E7%A8%8B%E5%BA%A6%E9%87%8F%E5%8C%96%E6%88%90%E9%87%91%E9%A1%8D_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 400px; float: right;" /></a></p> <p>在網路風險治理與AI驅動之下，趨勢科技首度公開CRQ預覽版，用AI幫助即時計算風險損失金額。具體而言，CRQ可透過Trend Vision One平臺XDR偵測到的實際威脅次數、針對性攻擊預測，以及比對威脅者的TTPs，同時也會結合網路風險曝險，即時計算威脅頻率與衝擊，並能細緻針對勒索軟體與資料加密或資料外洩等威脅情境，或是針對帳號管理（AC-02）、邊界保護（SC-07）等NIST CSF防護項目，預估個別項目的風險可能損失金額。</p> <p><strong><a href="https://www.ithome.com.tw/news/176390">群創光電重新定義資安的價值，從「花錢的部門」到公司治理核心</a></strong></p> <p>群創光電因應資安轉型，在2025年將資安部門從MIS底下獨立，提升為執行長下設的資安室，並設立資安長一職，直接向執行長報告。藉由組織的轉型，也帶動該公司資安作業流程的轉變。群創光電資通安全部資深副理蔡秉諺在臺灣資安大會2026分享這段轉型的心路歷程，他坦言：「當老闆問你，你做這件事情的價值在哪裡？」這是所有資安人最難回答的一題。</p> <p><a href="https://www.ithome.com.tw/news/176225"><strong>智慧資安攜手池安量子，啟動臺灣後量子資安元年</strong></a></p> <p>全球各界對於後量子密碼遷移需求大增，在此態勢下，精誠資訊旗下智慧資安科技（uniXecure）與池安量子資安（CHELPIS）日前正式宣布展開策略合作，將共同推動臺灣企業的後量子密碼（PQC）遷移工程。在合作架構上，智慧資安扮演在地通路、維運與服務的角色，提供涵蓋24x7全天候監控、系統整合顧問、以及IT與資安維運的完整支援體系；池安量子則以全球領先的PQC技術堆疊為核心，帶入NIST認證的演算法函式庫、自動化盤點工具PQScan、以及橫跨通訊與儲存的全方位防護產品矩陣。</p> <p><strong><a href="https://www.ithome.com.tw/news/176532" target="_blank">Fortinet修補沙箱系統指令注入漏洞</a></strong></p> <p>Fortinet本週揭露與修補CVE-2026-25089漏洞，影響的產品是該公司提供的沙箱檢測系統FortiSandbox，涵蓋內部與雲端部署的產品形式，廠商已針對問題版本釋出安全更新。CVE-2026-25089為FortiSandbox產品的OS指令注入漏洞，CVSS風險值達9.1。</p> <h1><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><strong style="color: rgb(105, 105, 105);">因應AI加速網路攻擊，繼印度CERT-In提出極嚴格的修補要求，現在美國CISA也宣布修改漏洞管理規則，改以實際攻擊風險決定優先順序，要求最高風險漏洞需在3天內修補完成。這反映出企業須調整漏洞管理流程，具備更快速、頻繁且大規模部署更新的能力，以因應資安應變時效的新常態。</strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176536" target="_blank">美國CISA改漏洞管理規則，最高風險漏洞3天內須修補</a></strong></p> <p><a href="/sites/default/files/images/2026-06-12_150704.jpg"><img alt="" src="/sites/default/files/images/2026-06-12_150704.jpg" style="width: 400px; float: right;" /></a></p> <p>面對AI漏洞風暴，美國網路安全暨基礎設施安全局（CISA）也調整漏洞修補政策。具體而言，過去美聯邦漏洞修補期限依兩套規則：對外公開系統按CVSS風險評級設定修補期限，重大30天、高風險60天；KEV已遭利用漏洞則由CISA個別要求，多數為14至21天。如今新版BOD 26-04指令整合兩套規則，改以實際攻擊風險決定優先順序。若漏洞同時涉及多項高風險條件的重大風險，必須在3天內完成修補，且不限工作天。</p> <p><a href="https://www.ithome.com.tw/news/176445"><strong>資安院與微軟建立國家級合作關係，公私協力資安框架邁入新紀元</strong></a></p> <p>促進公私協力有新成果，國家資通安全研究院（資安院）與微軟簽署合作備忘錄，建立國家級戰略夥伴關係，合作框架將以試點模式推動，採取階段性、可擴展的方式逐步落地，不追求表面上的快速推進，而是著眼於能夠持續生根的實質成果，這份備忘錄涵蓋的主軸包括「深化情資共享機制」、「零信任架構的規模化落地」、「AI賦能的關鍵基礎設施防護」與「AI代理治理」。林盈達透露，此合作源於微軟北亞區負責人Marcus Bartley Johns與國安會的一次見面，提到微軟在全球幾個國家已有夥伴關係，但跟臺灣還沒有建立。由於微軟以此模式建立合作關係的國家並不多，可說是屈指可數，因此臺灣能夠獲得這樣的合作機會，更顯其重要性。</p> <p><strong><a href="https://www.ithome.com.tw/article/175205">國家安全會議諮詢委員李育杰：國家資通安全戰略2025的訂定，是臺灣資安體制的轉型</a></strong></p> <p>「外國人看臺灣，就像我們看臺灣治安一樣，有酒駕、有偷竊，但沒有大暴動，整體印象是正面的。我們的資安也是這樣——有資料外洩、有網路攻擊，可是基本運作看起來OK。」國家安全會議諮詢委員李育杰說，「問題是，我在這個位置，我的擔心是：敵人可能已經布好局了，只是現在還不是他的關鍵時刻。」他強調，全社會防衛韌性為資安首要支柱，資安已提升至國安與民生層次。若能培養基本驗證與查證習慣，將可以阻擋八到九成的一般性攻擊；個資外洩與詐騙問題密切相關，關鍵在全民資安意識，資安是全民責任，需公私協力推動，並警惕科技便利背後的隱私風險以提升警覺，建立國家資安防線。</p> <p><strong><a href="https://www.ithome.com.tw/article/175242">數位發展部部長林宜敬：從「資安蜜罐」到「民主供應鏈」，臺灣是自由民主世界資安前哨站</a></strong></p> <p>每天遭受逾260萬次駭客攻擊，臺灣已成「自由民主世界的資安蜜罐」，數位發展部部長林宜敬表示，全球ICT供應鏈已分裂為「民主」與「紅色」兩大體系，而以台積電為核心的民主供應鏈，正成為駭客透過供應商植入病毒的首要目標。為應對此威脅，臺灣主導制定了首個國際資安標準SEMI E187，要求各國加入供應鏈必須通過驗證。此標準不僅提升防禦，更為資安業者創造認證、輔導及軟硬體整合的三重商機，推動「資安廠商賺錢，同時解決國家問題」的良性生態系循環。面對2026年AI劇變，他主張以「速度」與「團隊合作」的棒球哲學帶領公部門，為臺灣留下健全的數位發展資產。</p> <p><strong><a href="https://www.ithome.com.tw/news/176406" target="_blank">加拿大發布《AI for All》戰略，目標2034年企業AI採用率達6成</a></strong></p> <p>加拿大總理Mark Carney在6月4日發布國家AI戰略《AI for All》，希望透過立法、投資與人才培育，加速AI在企業、教育及公共服務領域的應用。這項戰略聚焦3大推動方向，（一）建立信任，加拿大計畫更新消費者隱私與線上安全相關法規，加強保護兒童個資與線上活動，並打擊深偽（Deepfake）等AI濫用行為；（二）推出全國AI素養計畫，提供全民入門AI教育，並讓100萬名大專學生接觸AI訓練課程；（三）強化主權，希望降低對外國AI平臺與雲端服務的依賴，計畫興建公共AI超級電腦、擴充主權運算與雲端基礎設施，並持續投資AI人才與資料基礎建設。</p> <p><strong><a href="https://www.ithome.com.tw/news/176374" target="_blank">Computex首設開源臺灣館，開源安全亦成焦點</a></strong></p> <p>臺灣開源社群長期活躍於Linux、Kubernetes、Apache等國際專案，卻鮮少以臺灣整體生態系的名義出現在大型科技展。今年Computex電腦展中首度設立「開源臺灣館」，集結臺灣在地的開源社群能量組成臺灣隊，向國際來訪的參觀者展現臺灣開源社群的活力。現場不僅集合了15件臺灣開源社群推動的成果，今年活動也邀請Apache Software Foundation與OpenSSF的開源社群領袖來臺演說與交流，涵蓋開源治理（Open Source Governance）、開源安全（Open Source Security）、軟硬體整合以及社群協作等議題。這些主題近年已逐漸成為企業IT部門關注的重點，尤其在《歐盟網路韌性法》（Cyber Resilience Act，CRA）等法規陸續上路後，企業對開源元件管理與軟體供應鏈安全的重視程度明顯提高。</p> <h1><strong style="color: rgb(255, 140, 0);">應用程式安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>供應鏈攻擊風暴正席捲軟體開發生態系。首先，Polyfill.io網域遭收購並轉變為惡意腳本來源，除已波及無印良品、東芝等國際品牌，我們另也發現臺灣部分網站亦有同樣狀況，值得留意；其次，是惡意程式Miasma（Shai-Hulud 變種）發動威脅性更高的蠕蟲式攻擊，本週相關攻擊活動與災情揭露不斷，已成為當前軟體供應鏈安全的一大警訊。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176420" target="_blank">無印良品、東芝等多家網站傳出可疑的Polyfill登入提示</a></strong></p> <p>在前端網頁開發中，用於補足瀏覽器功能的Polyfill.io，在2024年一家中國公司收購Polyfill.io網域後演變為供應鏈攻擊工具，維護Polyfill專案的原作者提醒大家儘快移除該連結。6月初日本電子電機廠商東芝（Toshiba）、無印良品（Muji）突然發布公告，指出旗下網站出現可疑的跳出式登入提示視窗，要求用戶輸入使用者名稱及密碼，意在蒐集用戶輸入憑證。根據兩家公司的調查，登入頁皆是由已變成惡意網站的https://polyfill[.]io生成，並經由CDN推送腳本程式。</p> <p><strong><a href="https://www.ithome.com.tw/news/176502" target="_blank">Miasma蠕蟲原始碼外洩，供應鏈攻擊工具包現身GitHub</a></strong></p> <p>惡意程式Shai-Hulud變種Miasma的擴散持續引發關注，如今Miasma蠕蟲原始碼更是出現在GitHub，資安業者SafeDep揭露此狀況並示警指出，Miasma不只是蠕蟲，而是一套完整的供應鏈攻擊工具包，內建多種模組化攻擊能力，更令人訝異的發現是，它完全不依賴傳統的C2伺服器，而是將GitHub的提交搜尋功能當作指揮通道，攻擊者可透過3條獨立的加密頻道下達指令，完全避開網路監控。</p> <p><strong><a href="https://www.ithome.com.tw/news/176392" target="_blank">WordPress表單外掛Everest Forms Pro漏洞遭積極利用</a></strong><strong>【</strong>CVE-2026-3300<strong>】</strong></p> <p>WordPress外掛程式的資安漏洞揭露，最近頻頻受到矚目，專攻此領域的資安公司Wordfence近日對表單外掛程式Everest Forms Pro用戶發布警示，因為3月底公開揭露的漏洞CVE-2026-3300，開發商WPEverest於3月18日發布1.9.13版修補，但在5月16日出現大規模漏洞利用嘗試活動，當天有超過17,900次攻擊，截至目前為止已出現逾29,300次活動。對此，Wordfence呼籲用戶，應儘速升級新版外掛程式因應。</p> <p><strong><a href="https://www.ithome.com.tw/news/176448" target="_blank">Gogs修補重大零時差漏洞</a></strong></p> <p>自建Git程式碼版本管理系統Gogs在上個月底傳出存在重大漏洞的消息，Gogs開發團隊6月7日發布0.14.3版進行修補。但此漏洞尚無CVE編號，開發團隊表示已申請並等待指派。此為參數注入類型的弱點，CVSS v4.0評分達到9.4，通過身分驗證的攻擊者，可藉此在合併前重設程式碼基礎的操作流程中，建立採用惡意分支（branch）名稱的拉取請求，進而發動RCE攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/176387" target="_blank">研究人員直接公開VS Code資安漏洞，並表明對微軟漏洞通報流程失去信任</a></strong></p> <p>資安研究人員向IT廠商通報資安漏洞的互動不良狀況，近期引發熱議，尤其是研究人員Chaotic Eclipse（Nightmare-Eclipse）與微軟之間的衝突後，如今另一位資安研究員Ammar Askar公布Visual Studio Code（VS Code）一項零時差漏洞，他同樣並未依照微軟提供的通報管道處理，而是在VS Code的GitHub專案提出議題（issue），以及發布部落格文章的方式公開漏洞。微軟在上述資訊發布後，於6月3日先後兩次進行緊急修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/176422" target="_blank">NPM套件再傳遭惡意程式Miasma供應鏈攻擊，AI程式碼工具被鎖定</a></strong></p> <p><a href="/sites/default/files/images/NPM套件再傳遭惡意程式Miasma供應鏈攻擊.jpg"><img alt="" src="/sites/default/files/images/NPM%E5%A5%97%E4%BB%B6%E5%86%8D%E5%82%B3%E9%81%AD%E6%83%A1%E6%84%8F%E7%A8%8B%E5%BC%8FMiasma%E4%BE%9B%E6%87%89%E9%8F%88%E6%94%BB%E6%93%8A.jpg" style="width: 400px; float: right;" /></a></p> <p>Miasma供應鏈攻擊引發高度關注！6月1日出現惡意程式Shai-Hulud的變種Miasma攻擊行動，駭客鎖定與Red Hat雲端服務相關的NPM套件，於6月3日至5日出現最新一波的Miasma攻擊，有57個套件被入侵，駭客上傳超過286個版本的惡意套件。其中最受到關注的部分，是感染了由社群維護的NPM套件ai-sdk-ollama，用於串接LLM框架Ollama與雲端AI網頁程式開發平臺Vercel AI，每月下載量超過12萬次；另一個Vapi推出的AI語音助理開發套件vapi-ai/server-sdk亦受研究人員關注，根據StepSecurity指出，該套件每月下載量逾40.8萬次，是本次事故受害最嚴重的套件。</p> <p><strong><a href="https://www.ithome.com.tw/news/176426" target="_blank">惡意程式Miasma透過新型態手法Phantom Gyp發動攻擊</a></strong></p> <p>關於惡意程式Shai-Hulud變種Miasma發動的第二波供應鏈攻擊，資安公司StepSecurity指出，這次的攻擊手法與兩天前針對紅帽的事故相當不同，駭客使用了全新攻擊手法Phantom Gyp，他們利用一個僅有157位元組的檔案，而非一般資安工具會掃描的安裝指令碼，藉此逃過大部分生命週期掃描工具的偵測，另也追蹤到資料外洩路徑指向GitHub帳戶liuende501。資安公司Wiz也對這種手法進行分析，指出先前駭客是將惡意程式碼注入package.json，而這次的手段是利用指令延伸機制，藉由名為binding.gyp的檔案，使得惡意套件在進行設定的過程裡，會在背景執行經過處理的混淆安裝程式。</p> <p><strong><a href="https://www.ithome.com.tw/news/176432" target="_blank">微軟遭遇Miasma蠕蟲供應鏈攻擊，73個儲存庫在2分鐘遭到停用</a></strong></p> <p>Miasma蠕蟲供應鏈攻擊危害持續擴大！資安社群平臺OpenSourceMalware指出，GitHub於6月5日停用了微軟73個儲存庫，涵蓋Azure Functions、Durable Task，以及一系列AI範例應用程式，雖然用戶存取這些儲存庫只會看到此儲存庫已被停用的訊息，宣稱儲存庫違反GitHub服務條款，使得該公司停用存取權限，但原因疑似是感染Miasma。</p> <p><strong><a href="https://www.ithome.com.tw/news/176427" target="_blank">惡意程式Miasma藉由六階段攻擊流程竊取開發環境各式憑證</a></strong></p> <p>上週發生惡意程式Miasma攻擊ai-sdk-ollama、vapi-ai/server-sdk等AI工具NPM套件的事件，資安公司OX Security指出，這次的攻擊流程變得更加複雜，駭客利用多達15種惡意酬載來挖掘受害者資料。資安公司OX Security強調，一般的NPM供應鏈攻擊流程多半為3個階段，但這次活動多達6個階段。值得留意的是，駭客在Miasma載入工具進行了混淆與加密兩種手法進行雙重處理。</p> <p><strong><a href="https://www.ithome.com.tw/news/176515" target="_blank">Miasma蠕蟲攻擊延伸到PyPI儲存庫</a></strong></p> <p>Shai-Hulud蠕蟲的變種Miasma肆虐，後續危害範圍延伸到PyPI生態圈！資安公司Socket揭露最新一波活動Hades，駭客至少上傳了37個PyPI惡意套件，這些惡意套件挾帶特定檔案，會在開發環境的Python啟動時自動執行，下載JavaScript執行環境Bun，然後執行經混淆處理的惡意酬載_index.js。</p> <p><strong><a href="https://www.ithome.com.tw/news/176517" target="_blank">Miasma蠕蟲透過8階段攻擊滲透PyPI開發環境</a></strong></p> <p>針對供應鏈蠕蟲Miasma將攻擊範圍延伸到PyPI儲存庫，資安公司StepSecurity指出，這次駭客使用的手法非常複雜，從開發環境不慎植入惡意套件後的攻擊流程，總共可分成8個階段，該攻擊手法不僅會打亂AI資安工具的檢測能力，若是受害者察覺想要轉換金鑰，還會對開發環境進行破壞。</p> <p><strong><a href="https://www.ithome.com.tw/news/176506" target="_blank">SAP修補NetWeaver與Commerce重大漏洞</a></strong></p> <p>SAP本月例行更新共修補15個資安漏洞，其中有4個是重大等級的漏洞CVE-2026-44748、CVE-2026-27671、CVE-2026-22732、CVE-2026-40128，格外引起矚目。其中最嚴重的是CVE-2026-44748，此為SAML身分驗證當中的XML簽章包裝漏洞，影響NetWeaver AS ABAP與ABAP平臺，CVSS風險值為9.9。</p> <p><strong><a href="https://www.ithome.com.tw/news/176447" target="_blank">相依管理工具Bundler加入冷卻期機制，供Ruby專案避開剛發布的高風險套件版本</a></strong></p> <p>為應對供應鏈攻擊的潛在風險，RubyGems專案近期針對套件相依管理工具發布Bundler 4.0.13版，正式引入套件冷卻期（cooldown）機制。此機制的運作原理在於，當Ruby專案安裝或更新相依套件時，預設將暫時避開剛發布、缺乏市場觀察的新版本，優先選用已公開一段時間且較為穩定的版本。這項冷卻期機制的導入，目的是降低套件維護者帳號遭挾持後，惡意套件剛上架即被大量部署的供應鏈資安風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176433" target="_blank">ASF董事Justin Mclean：只用開源卻不參與，企業恐承擔更高風險</a></strong></p> <p>「開源讓人感覺是免費的，也讓人感覺是安全的，但事實上兩者都不是。」在Computex 2026一場論壇活動，Apache Software Foundation董事Justin Mclean直言，開源最大的風險不是程式碼，而是治理。他強調，當企業將開源視為關鍵基礎設施，卻從未參與相關社群時，不僅無法影響技術發展方向，也難以提前掌握重大變化，反而可能承擔更高的技術與營運風險。他另指出，參與開源社群並不只是出於公益精神，更是一種商業策略，確保自身業務需求能被納入考量，並將成為企業競爭力的一部分。</p> <p><strong><a href="https://www.ithome.com.tw/news/176519" target="_blank">套件管理器NPM 12收緊安裝預設行為，相依腳本、Git與遠端網址來源將需明確允許</a></strong></p> <p>GitHub旗下套件管理器NPM團隊宣布，將調整NPM install預設安全行為，預計在7月推出的下一個主要版本NPM v12推出。這項預設安全的改變，也就是將會預設封鎖未允許的相依套件腳本，並停止預設解析Git與遠端網址套件來源。為了幫助開發團隊用戶提前應對，NPM已在11.16.0以上版本提供升級前的警示機制，可以先檢查警告以掌握受影響的套件，並盤點安裝流程與相依來源。</p> <h1><strong style="color: rgb(255, 140, 0);">身分安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>郵件身分冒用新威脅浮現！Ghost-Sender漏洞可導致冒用任意身分發送網釣信件，Exchange Online（含混合部署）用戶若整合第三方過濾機制都要特別留意；先前曝光的Meta AI客服漏洞，如今公布影響2萬用戶，突顯AI自動化有可能成為身分安全隱形破口的挑戰，需要企業重視。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176535" target="_blank">研究人員揭露Exchange Online資安漏洞Ghost-Sender，攻擊者能偽造任意電子郵件地址</a></strong></p> <p><a href="/sites/default/files/images/研究人員揭露Exchange Online資安漏洞Ghost-Sender.jpg"><img alt="" src="/sites/default/files/images/%E7%A0%94%E7%A9%B6%E4%BA%BA%E5%93%A1%E6%8F%AD%E9%9C%B2Exchange%20Online%E8%B3%87%E5%AE%89%E6%BC%8F%E6%B4%9EGhost-Sender.jpg" style="width: 400px; float: right;" /></a></p> <p>隨企業軟體SaaS化，其架構漏洞亦成為資安研究焦點，6月9日資安公司InfoGuard針對Exchange Online（含混合部署）用戶警告，只要其服務整合第三方過濾機制，攻擊者有機會利用MX紀錄漏洞發動欺騙攻擊，冒用任意身分發送網釣信件。必須注意的是，這項問題似乎已出現遭到積極利用的跡象，但微軟目前尚未修補，InfoGuard呼籲用戶儘速確認是否受到影響，另架設專屬網站提供檢測工具。</p> <p><strong><a href="https://www.ithome.com.tw/news/176524" target="_blank">網路攻擊組織UNC3753鎖定法律與金融業，假冒IT人員竊資勒索</a></strong></p> <p>Google Cloud旗下資安團隊Mandiant與GTIG揭露駭客組織UNC3753的語音網釣攻擊活動，指出今年1月至5月間有數十個美國組織成為其目標，影響遍及專業服務、法律與金融服務業，攻擊者初始入侵手法是，冒充企業IT服務臺或資安人員，透過電話社交工程誘使員工開啟視訊會議或螢幕分享軟體，進而安裝遠端管理工具，搜尋並竊取敏感資料。而在冒充致電受害員工之前，攻擊者會以日常業務信件作為開場，例如先以個人email帳號在即時通訊發送簡短訊息，內容沒有惡意檔案，目的是建立後續來電的情境</p> <p><strong><a href="https://www.ithome.com.tw/news/176505" target="_blank">Meta證實有2萬個Instagram帳號因Meta AI漏洞被盜，時間長達1.5個月</a></strong></p> <p>先前傳出攻擊者濫<a href="https://www.ithome.com.tw/news/176275">用Meta AI客服支援機制</a>並接管他人IG帳號，Meta本週證實此事源自Meta AI支援工具存在一項漏洞遭濫用，Meta在5月31日發現此事後，立即將該AI支援工具關閉，並將所有密碼重設連結註銷。估計從4月中到5月，超過2萬用戶受害。根據Meta向美國緬因州檢察長辦公室的通報文件，該漏洞影響時間從2026年4月17日到5月31日止，受害者人數為20,225人。</p> <p><strong><a href="https://www.ithome.com.tw/news/176507" target="_blank">蘋果Safari能自動變更外洩密碼、通知網站新動態、還能生成用戶想要的外掛</a></strong></p> <p>本週登場的蘋果開發者大會期間，該公司宣布Safari新增功能，包含能自動變更密碼的代理人Passwords、及告知網頁新資訊的代理人Notify Me，以及讓用戶口說生成外掛的Describe an Extension及依主題組織分頁的新功能。以密碼安全性強化功能而言，Safari原本就能針對弱密碼及外洩密碼發出警告，如今在Apple Intelligence協助之下，新增了代理人功能Passwords，能代替用戶登入網站並更新為強密碼。</p> <p><strong><a href="https://www.ithome.com.tw/news/176394" target="_blank">NTLM協定安全問題又一樁，Windows Search URI問題可能導致NTLM驗證資訊外洩</a></strong></p> <p>微軟已宣布將在未來Windows版本中關閉不安全的NTLM協定，但在NTLM完全退場前，企業仍需持續面對相關威脅。資安公司Huntress研究人員近日便揭露一項新的NTLM相關安全問題，源自Windows Search URI處理程序，攻擊者可利用特製連結，誘使Windows自動對遠端SMB位置發起驗證，導致Net-NTLMv2資訊外洩，此問題再度凸顯NTLM機制帶來的安全風險。</p> <h1><strong style="color: rgb(255, 140, 0);">IoT/OT安全</strong></h1> <p><span style="color:#696969;"><strong>自動儲槽計量系統（ATG）的曝露風險，以及老舊DD-WRT開源路由器韌體遭殭屍網路大規模利用的消息，顯示威脅情勢正持續升溫，成為本週IoT/OT安全關注焦點。此外，無人機產業防禦發展亦受關注，聚焦導入PQC與強化無線通訊在面對干擾與訊號覆蓋攻擊時的抗性。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176400" target="_blank">美國政府示警自動儲槽計量系統遭鎖定，籲ATG用戶移除網際網路曝露介面</a></strong></p> <p><a href="/sites/default/files/images/2026-06-12_151123.jpg"><img alt="" src="/sites/default/files/images/2026-06-12_151123.jpg" style="width: 400px; float: right;" /></a></p> <p>當心鎖定ATG系統的惡意網路活動，美國CISA與FBI等機關發布警示，指出常用於能源、化工、食品與農業、運輸等產業的自動儲槽計量系統（Automatic Tank Gauge，ATG），近日發現成為攻擊活動鎖定目標，駭客先找尋曝露在網際網路上的ATG系統，入侵後透過指令執行修改系統，因此這項警報建議相關業者：不要將ATG序列埠或其他Web介面直接曝露於網際網路，若業務上必須遠端存取，業者應透過防火牆、存取控制清單或VPN限制可連線來源。若有預設密碼也務必立刻更換，並在可行情況下導入多因素驗證。</p> <p><strong><a href="https://www.ithome.com.tw/news/176469" target="_blank">殭屍網路C0XMO利用老舊DD-WRT漏洞，擴散並感染DVR與Android等裝置</a></strong></p> <p>發現Gafgyt殭屍網路的最新變種C0XMO有新惡意活動，正在利用DD-WRT開源路由器韌體於2021年揭露的CVE-2021-27137漏洞入侵未更新修補的路由器，並進一步感染缺乏安全更新的DVR與Android等裝置，資安業者Fortinet指出，駭客準備了適用於ARM、MIPS、PowerPC、SuperH、x86與x86_64等多種架構的C0XMO版本，擴大感染的意圖相當顯著，因此建議企業與使用者應更新韌體、關閉不必要服務，避免裝置被用來發動DDoS攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/176468" target="_blank">池安量子資安推PQ-SDN安全無線通訊模組，結合PQC建構無人載具高韌性網路</a></strong></p> <p>無人機應用日益蓬勃發展，如何在複雜環境維持網路通訊穩定並確保資安防護，已成為產業關注焦點。池安量子資安首度公開展示專為無人自主系統打造的「PQ-SDN安全無線通訊模組」，其特色在於可導入PQC演算法，並支援Mesh無線網路通訊架構，具有自動建構網路與自動修復能力。特別的是，針對無線通訊常見的干擾與蓋臺問題，該模組還結合PQ-UxV安全功能，並透過軟體定義無線電（SDR）技術，提供1 GHz至6 GHz的頻率設定彈性。</p> <p><strong><a href="https://www.ithome.com.tw/news/176384" target="_blank">RondoDox殭屍網路鎖定華碩路由器舊漏洞，CVE-2018-5999出現實際濫用跡象</a>【</strong>CVE-2018-5999<strong>】</strong></p> <p>資安漏洞情報業者VulnCheck於5月17日觀察到，殭屍網路RondoDox開始利用華碩（Asus）路由器漏洞CVE-2018-5999，這項漏洞可讓未經身分驗證的攻擊者以root權限遠端執行程式碼，早在2018年已有公開利用程式，但VulnCheck表示，這是該公司首度觀察到實際濫用跡象。</p> <p><strong><a href="https://www.ithome.com.tw/news/176437" target="_blank">部分App內嵌Bright Data SDK，讓手機與智慧電視成為第三方網頁爬蟲代理</a></strong></p> <p>住宅代理的爭議再受關注，上月底荷蘭執法單位破獲大型殭屍網路就傳出疑似涉及此類議題的消息，如今資安公司Include Security揭露另一起事件，指出部分App開發者會在應用程式內嵌入SDK，使用者若同意App內與Bright Data相關的說明或選項，其手機或智慧電視會成為住宅代理（Residential Proxy）網路的一部分，協助第三方客戶透過一般家庭IP位址執行網頁資料抓取，成為網頁爬蟲業者避開封鎖的一種方式。研究者質疑，相關說明未必能讓一般使用者理解實際用途與影響。</p> <p><strong><a href="https://www.ithome.com.tw/news/176533" target="_blank">西門子6月工控安全公告揭露影響多款產品的OpenSSL重大漏洞</a></strong></p> <p>工控系統業者西門子（Siemens）於6月9日發布安全公告，說明OpenSSL重大風險漏洞CVE-2025-15467對多款產品的影響，並已針對部分產品提供修補版本。此漏洞CVSS v3.1風險分數為9.8分，可能導致應用程式崩潰進而造成阻斷服務，或在特定情境下造成遠端程式碼執行。</p> <p> </p> </div></div></div>
6/12 17:51作者羅正漢https://www.ithome.com.tw/news/176582
【資安日報】6月12日，Oracle PeopleSoft零時差漏洞被用於大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176556"><strong style="font-size: 22px;">Oracle針對PeopleSoft重大漏洞提出警告</strong></a></p> <p>6月10日Oracle發布資安公告，可用於人力資源管理、財務與供應鏈管理、校務系統、客戶關係管理等領域的企業應用系統平臺PeopleSoft PeopleTools，存在重大等級的資安漏洞CVE-2026-35273，未經身分驗證的攻擊者可遠端利用，一旦成功，就有機會導致遠端程式碼執行。該漏洞影響8.61與8.62版PeopleSoft Enterprise PeopleTools，PeopleSoft Enterprise Applications用戶也可能受影響。</p> <p><a href="https://www.ithome.com.tw/news/176558"><strong style="font-size: 22px;">Oracle PeopleSoft零時差漏洞遭駭客組織ShinyHunters積極利用</strong></a></p> <p><a href="/sites/default/files/images/peoplesoft-shinyhunters_max-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/peoplesoft-shinyhunters_max-63.jpg" style="width: 300px; float: right;" /></a></p> <p>Mandiant與Google威脅情報團隊（GTIG）公布調查結果，於5月27日至6月9日期間，發現ShinyHunters（UNC6240）發動入侵及勒索的攻擊，目標是Oracle PeopleSoft應用系統基礎設施，過程中利用了CVE-2026-35273。兩個團隊察覺掃描與利用漏洞的活動後，向全球超過100個可能成為目標的組織通報此事，這些組織大部分位於美國，68%是高等教育組織。攻擊者會架設自己的MeshCentral代理程式，並偽裝成合法雲端服務的端點，用途是執行管理員級的命令查詢，並部署橫向移動與從事破壞的指令碼。</p> <p><a href="https://www.ithome.com.tw/news/176563"><strong style="font-size: 22px;">英國諾丁漢大學資料外洩，可能影響45萬學生</strong></a></p> <p>在勒索軟體ShinyHunters宣稱竊取資料後，英國諾丁漢大學（University of Nottingham）6月11日證實，學生紀錄系統中的大量資料遭外部第三方組織存取，呼籲學生留意陌生的電子郵件、訊息或電話，並確保使用強密碼。對於外流的資料規模，ShinyHunters聲稱竊得40 GB資料，密碼外洩查詢網站Have I Been Pwned透露，外洩資料達到45.5萬筆，涵蓋學生及校友姓名、住家地址、電子郵件、電話、種族、身體特徵，以及護照號碼等資訊。</p> <p><a href="https://www.ithome.com.tw/news/176559"><strong style="font-size: 22px;">ServiceNow公布安全事件初步調查，稱資料查詢活動可能來自研究人員</strong></a></p> <p>企業雲端工作流程平臺業者ServiceNow於6月上旬傳出安全事件，ServiceNow於6月10日發布安全公告說明，多名客戶於6月3日至4日轉交漏洞獎勵計畫通報，內容涉及一項可能讓未經身分驗證使用者存取ServiceNow執行個體資訊的安全問題，且與4月22日提交至ServiceNow漏洞獎勵計畫的保密通報相似。該公司調查後發現，部分客戶的執行個體自6月2日起出現不明活動。資安媒體SC Media也引述多名資安業者看法指出，用戶不應降低對事件影響的評估。</p> <p><a href="https://www.ithome.com.tw/news/176572"><strong style="font-size: 22px;">甫修補的Ivanti Sentry滿分重大漏洞已被用於實際攻擊</strong></a></p> <p><a href="/sites/default/files/images/HKer5fQXkAAL5Cv-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/HKer5fQXkAAL5Cv-63.jpg" style="width: 300px; float: right;" /></a></p> <p>6月9日資安公司Ivanti修補Ivanti Sentry資安漏洞CVE-2026-10520，該漏洞CVSS風險達到滿分10分，相當危險，事隔兩天，Shadowserver基金會提出警告，他們觀察到大規模利用CVE-2026-10520的嘗試行為，總共找到19臺存在弱點的Ivanti Sentry執行個體（instance），這些系統疑似都遭到入侵，其中有兩臺已被植入後門。該基金會表示，他們本次的偵測率偏低，很有可能是因為在掃描過程有許多Ivanti Sentry系統無法存取，因此若用戶尚未修補，很有可能已經被入侵。</p> <p><a href="https://www.ithome.com.tw/news/176566"><strong style="font-size: 22px;">研究人員揭露BitLocker零時差漏洞GreatXML</strong></a></p> <p><a href="/sites/default/files/images/GreatXML-screenshot1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/GreatXML-screenshot1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>研究人員Chaotic Eclipse（Nightmare-Eclipse）於微軟發布6月例行更新（Patch Tuesday）當天，公布Microsoft Defender零時差漏洞RoguePlanet。根據資安新聞網站SecurityWeek報導，事隔兩天該研究員又公開另一個零時差漏洞GreatXML，並指出該弱點可被用於繞過BitLocker磁碟加密機制。針對這項漏洞出現的情境，該名研究員指出，電腦在防毒軟體Microsoft Defender啟動離線掃描的狀態下，攻擊者無須登入Windows作業系統就有機會利用GreatXML，有可能在BitLocker磁區產生不受限制存取的Shell。</p> <p><a href="https://www.ithome.com.tw/news/176554"><strong style="font-size: 22px;">Google發布Chrome 149更新，修補近30個弱點</strong></a></p> <p>6月11日Google發布電腦版與Android版Chrome 149更新，總共修補28個資安弱點，其中有5個為重大等級，用戶應儘速升級至149.0.7827.114或149.0.7827.115版修補。值得留意的是，此為Google在一週內第二次發布更新，距離上次更新只有3天，相當罕見。從漏洞的類型來看，記憶體相關的弱點占多數，其中又以記憶體釋放後再存取使用（Use After Free）有12個最多。未受信任輸入驗證不充分的弱點居次，有5個。</p> <p><a href="https://www.ithome.com.tw/news/176568"><strong style="font-size: 22px;">Palo Alto Networks發布6月安全更新，修補11項漏洞</strong></a></p> <p>資安公司Palo Alto Networks本週發布六月份安全更新，修補11項漏洞，高風險漏洞占兩項，其中之一為CVE-2026-0274，影響Palo Alto Networks安全協調、自動化與回應（SOAR）平臺Cortex XSOAR。問題出自於Cortex XSOAR/XSIAM與Commvault Security IQ整合模組的身分驗證機制不當，可能讓未通過身分驗證的攻擊者存取或修改受保護資料，本漏洞CVSS風險值8.1，影響Cortex XSIAM/XSOAR Commvault Security IQ Marketplace。</p> <p><a href="https://www.ithome.com.tw/news/176553"><strong style="font-size: 22px;">Proxmox Virtual Environment發布9.2版，修補5項近期備受關注的Linux核心漏洞</strong></a></p> <p>開源虛擬化平臺Proxmox Virtual Environment（Proxmox VE）近期推出9.2版，除了導入動態負載平衡等新功能之外，也整合Linux修補程式，一口氣修補5項近期受到關注的Linux核心漏洞，包括編號CVE-2026-31431的Copy Fail漏洞，由CVE-2026-43284與CVE-2026-43500等兩部分構成的Dirty Frag漏洞，編號CVE-2026-46300的Fragnesia漏洞，編號CVE-2026-43494的PinTheft漏洞，以及編號CVE-2026-46333的ssh-keysign-pwn漏洞。</p> <p><a href="https://www.ithome.com.tw/news/176569"><strong style="font-size: 22px;">LiteLLM高風險已知漏洞可與另一個漏洞串連，形成CVSS風險10分的漏洞利用鏈</strong></a></p> <p>威脅情報公司Horizon3.ai指出，攻擊者利用LiteLLM已知漏洞CVE-2026-42271的基本條件，就是通過身分驗證，然而他們發現，若是搭配存在於Python非同步（ASGI）框架Starlette的中度風險漏洞CVE-2026-48710，就有可能在依賴自架Gitea的開發環境裡，形成CVSS風險10分滿分的重大弱點，完全繞過LiteLLM的身分驗證請求，從而導致遠端程式碼執行，讓攻擊者以LiteLLM代理程式執行指令，呼籲用戶應儘速更新LiteLLM與Starlette因應。</p> <p><a href="https://www.ithome.com.tw/news/176542"><strong style="font-size: 22px;">Arista EOS網路作業系統存在已遭利用漏洞，原廠選擇緩解措施而不發布修補程式</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）在6月9日提出警告，將Arista EOS網路作業系統的CVE-2026-7473漏洞，列入已遭利用的漏洞名單（KEV），此漏洞Arista於5月上旬揭露，存在於EOS的隧道（Tunnel）流量解封裝機制，系統未驗證封裝流量所使用的隧道協定類型，CVSS評為5.8分。雖然已被實際利用，但為了避免破壞（breaking）用戶部署環境的現有配置，該公司不打算透過升級軟體或熱修補（Hotfix）的方式修補，建議用戶採取緩解措施。</p> <p><a href="https://www.ithome.com.tw/news/176565"><strong style="font-size: 22px;">施耐德電機修補多項高風險漏洞，影響EcoStruxure與PowerLogic等產品</strong></a></p> <p>工業自動化與能源管理業者施耐德電機（Schneider Electric）於6月9日發布3份安全公告，揭露資料中心監控軟體EcoStruxure IT Data Center Expert、遠端終端裝置與控制器EasyLogic T150／Saitel DP RTU，以及電力保護與控制平臺PowerLogic P7的多項漏洞，並針對受影響產品提供已修補的版本。其中，該公司為PowerLogic P7修補3項漏洞，CVE-2026-9716與CVE-2026-9717為高風險漏洞，CVSS v4.0分數分別為8.7分與8.6分，可能造成阻斷服務。</p> <p><a href="https://www.ithome.com.tw/news/176547"><strong style="font-size: 22px;">AI代理同樣存在遭社交工程欺騙風險，研究人員揭露OpenClaw AI代理可遭釣魚郵件誘騙洩漏敏感資料</strong></a></p> <p>資安廠商Varonis旗下威脅研究團隊近日發布報告，揭露針對開源AI代理平臺OpenClaw進行的安全測試研究，結果發現，即使為AI代理設定明確的安全政策，攻擊者仍可透過社交工程手法，誘騙AI代理洩漏敏感資訊。針對測試結果，Varonis表示AI代理在部分情境下的安全性，已超過許多真人用戶，能有效識別可疑URL、虛假登入入口網站、惡意OAuth提示與冒充網域。但在社交層面上，AI代理在判斷人員身分、組織關係與授權範圍等情境，仍相當脆弱。</p> <p><a href="https://www.ithome.com.tw/news/176570"><strong style="font-size: 22px;">越南駭客OceanLotus發動供應鏈攻擊，鎖定投資人散布SpectralViper後門</strong></a></p> <p><a href="/sites/default/files/images/OceanLotus-figure-5-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/OceanLotus-figure-5-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者ESET於6月11日揭露，越南駭客組織OceanLotus（APT32）自2025年10月至2026年3月，入侵越南投資軟體FireAnt Metakit更新伺服器，透過偽造軟體更新向股票投資人散布SpectralViper後門程式。駭客利用了FireAnt Metakit更新機制中的多項安全缺陷，例如：該軟體更新設定檔缺乏數位簽章或完整性驗證機制、更新過程仍使用未加密的HTTP通訊。此外，OceanLotus亦長期入侵當地一家基礎建設及交通工程公司，可能是藉由微軟SQL Server遠端程式碼執行漏洞取得初始存取權限。</p> <p><a href="https://www.ithome.com.tw/news/176512"><strong style="font-size: 22px;">攻擊者假冒IT支援人員，透過Microsoft Teams發動社交工程攻擊</strong></a></p> <p>資安業者Palo Alto Networks指出，攻擊者利用Microsoft Teams等企業協作工具發動社交工程與網釣攻擊，藉由員工對內部溝通平臺的信任，假冒IT支援人員或服務供應商誘騙受害者。攻擊者可能透過Teams傳送外部聊天邀請，聲稱使用者帳號出現異常，要求對方核准多因素驗證（MFA）請求，或依指示重設憑證。由於訊息出現在Teams而非電子郵件，員工可能降低戒心。該公司強調，這類手法並非個案，已有駭客組織APT29、UNC6692用於實際活動。</p> <p><a href="https://www.ithome.com.tw/news/176442"><strong style="font-size: 22px;">惡意Chrome擴充套件鎖定AI平臺互動內容，收集對話與敏感資料</strong></a></p> <p>隨著使用者與生成式AI的互動逐漸成為企業工作流程的一部分，攻擊者也開始將AI對話內容視為新的資料來源。近期出現主動監控用戶與AI平臺互動內容的惡意或可疑Chrome擴充套件，藉此收集使用者輸入的對話紀錄與敏感資訊。資安公司G DATA指出，部分看似具有正常功能的Chrome擴充套件，會監視用戶與ChatGPT、Claude、Copilot、DeepSeek、Gemini等生成式AI平臺的對話，並從中收集對話內容，再將這些資訊傳送到外部端點。</p> <p><a href="https://www.ithome.com.tw/news/176524"><strong style="font-size: 22px;">網路攻擊組織UNC3753鎖定法律與金融業，假冒IT人員竊資勒索</strong></a></p> <p>Google Cloud旗下資安團隊Mandiant與Google威脅情報團隊（GTIG）揭露，網路攻擊組織UNC3753在2026年1月至5月間鎖定美國數十個組織，包括專業服務、法律與金融服務業，發動以資料竊取勒索為目的的攻擊活動。攻擊者冒充企業IT服務臺或資安人員，透過電話社交工程誘使員工開啟螢幕分享、安裝遠端管理工具，搜尋並竊取敏感資料。研究人員建議企業加強使用者訓練、外部技術人員身分驗證、訪客陪同制度、遠端存取控管等措施因應。</p> <p><a href="https://www.ithome.com.tw/news/176525"><strong style="font-size: 22px;">駭客偽冒開源資安工具網站散布惡意軟體，並利用流量分發系統篩選攻擊目標</strong></a></p> <p>為了提高散布惡意軟體的效率，攻擊者已不再採取無差別投放惡意連結的方式，而開始透過流量分發系統（Traffic Distribution System，TDS）篩選攻擊目標，資安業者Check Point近日揭露這類型的大規模攻擊活動，攻擊者仿冒Ghidra、dnSpy與SpiderFoot等開源資安工具的下載網站，並結合點擊劫持手法來誤導造訪這些網站的使用者，同時結合偽冒下載網站、點擊劫持（Click Hijacking），以及流量分發系統，企圖藉此提高攻擊成功率。</p> <p><a href="https://www.ithome.com.tw/news/176469"><strong style="font-size: 22px;">殭屍網路C0XMO利用老舊DD-WRT漏洞，擴散並感染DVR與Android等裝置</strong></a></p> <p>資安業者Fortinet披露，Gafgyt殭屍網路的最新變種C0XMO正在利用DD-WRT開源路由器韌體於2021年揭露的CVE-2021-27137漏洞，在攻陷未更新的路由器後，再藉由獨立的Python掃描模組進一步感染數位錄影機（DVR）、網路影音管理平臺及Android裝置等多種裝置。與傳統殭屍網路不同的是，C0XMO將掃描與擴散功能拆成獨立Python腳本，使駭客更容易針對不同系統架構與裝置類型調整攻擊手法。</p> <p><a href="https://www.ithome.com.tw/news/176567"><strong style="font-size: 22px;">酷澎個資外洩案波及3,755萬人，遭韓國重罰逾6,246億韓元</strong></a></p> <p>針對電商平臺酷澎（Coupang）於2025年11月揭露的大規模個資外洩事故，韓國個資保護委員會（PIPC）於6月11日公告，對酷澎處以6,246億8,100萬韓元（約4.09億美元）罰鍰。PIPC調查認定，酷澎因身分驗證簽章金鑰管理、存取控制等基本安全管理措施不足，導致約3,755萬人個資外洩。此外，酷澎在事件應變與後續處置過程中，也出現未履行外洩通知義務、未依規定銷毀資料、未充分確保個資保護長（CPO）職務獨立性，以及妨礙調查等多項問題，PIPC另對酷澎處以1,680萬韓元罰款。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176543"><strong>【6月11日】Exchange Online傳出可被用於欺騙的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176520"><strong>【6月10日】Anthropic推出具有Mythos能力的Claude Fable 5</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176470"><strong>【6月9日】Check Point VPN零時差漏洞被用於勒索軟體攻擊</strong></a></p> </div></div></div>
6/12 15:10作者周峻佑https://www.ithome.com.tw/news/176576
Splunk 6月安全更新修補一項讓攻擊者清空檔案的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://advisory.splunk.com/" target="_blank">思科旗下Splunk本星期發布安全更新</a>，修補12項漏洞，包括一項允許未經驗證的攻擊者建立或清空檔案的重大漏洞。</p> <p>本月Splunk修補了1項重大漏洞為CVE-2026-20253，影響Splunk Enterprise 與Splunk Cloud Platform的部分版本。該漏洞出在這些軟體的PostgreSQL sidecar服務端點缺乏驗證控制，可讓任何連網的攻擊者，未經驗證就能透過PostgreSQL sidecar服務在系統上建立或清空任意檔案。本漏洞風險值達到9.8。</p> <p>Splunk另外修補了CVE-2026-20251、CVE-2026-20252及CVE-2026-20258三個高風險漏洞。其中CVE-2026-20251為影響Splunk Secure Gateway App的不安全反序列化（Deserialization）漏洞，可讓低權限Splunk使用者利用Splunk Secure Gateway App，在Splunk伺服器上執行任意程式碼（RCE）。該漏洞風險值8.8。</p> <p>CVE-2026-20252影響Splunk Enterprise，可讓低權限使用者透過Dashboard Studio PDF輸出功能，繞過安全檢查傳送請求到任意內部機器，引發伺服器端請求偽造（Server-Side Request Forgery），得以越界存取內部系統或資源，本漏洞風險值7.6。</p> <p>CVE-2026-20258是一個儲存型跨站指令碼（Stored Cross-Site Scripting）漏洞，影響Splunk Enterprise與Splunk Cloud的Classic Dashboard HTML Panel。低權限使用者可在Splunk Dashboard中植入惡意JavaScript，並發送連結給受害者。當受害者瀏覽該Dashboard時，惡意程式碼便會在其瀏覽器中執行。漏洞風險值為CVSS 7.1。</p> <p><a href="https://advisory.splunk.com/advisories/SVD-2026-0610" target="_blank">Splunk也發布Splunk Enterprise第三方套件更新</a>，當中修補了Golang、PostgreSQL、MongoDB及Cloudflare的相關漏洞。</p> </div></div></div>
6/12 15:42作者林妍溱https://www.ithome.com.tw/news/176577
Ivanti甫修補的滿分重大漏洞已出現實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月9日<strong><a href="https://www.ithome.com.tw/news/176531">資安公司Ivanti發布公告</a></strong>，針對保護企業後端系統與遠端行動裝置之間流量的安全閘道設備Ivanti Sentry發布更新，修補兩項CVSS評分達到10分與9.9分的重大漏洞CVE-2026-10520與CVE-2026-10523，值得留意的是，滿分漏洞CVE-2026-10520已被用於實際攻擊。</p> <p>Shadowserver基金會於11日提出警告，<strong><a href="https://x.com/Shadowserver/status/2064802147833643157">他們觀察到大規模利用CVE-2026-10520的嘗試行為</a></strong>，總共找到19臺存在弱點的Ivanti Sentry實體（instance），這些系統疑似都遭到入侵，其中有兩臺已被植入後門。該基金會表示，<strong><a href="https://x.com/Shadowserver/status/2064802150413214159">他們本次的偵測率偏低</a></strong>，很有可能是因為在掃描過程有許多Ivanti Sentry系統無法存取，因此若是用戶若是尚未修補，很有可能已經被入侵。</p> </div></div></div>
6/12 14:38作者周峻佑https://www.ithome.com.tw/news/176572
衛福部揭5,050筆臺灣專用LOINC對照表，打造全國共通醫學檢驗語言、為醫療AI鋪路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為解決不同醫院檢驗資料格式不一、資訊難以交換的問題，衛福部在2025年啟動全國醫學檢驗資料標準化工程，歷經數十家醫院、154位專家共同參與，完成5,050筆臺灣版LOINC對照表，健保核價檢驗項目涵蓋率近99%，衛福部也在本月10日揭露成果。</p> <p>衛福部資訊處處長李建璋表示，這項工程是把臺灣醫院平常使用的健保檢驗碼，對應到國際通用的醫學檢驗標準LOINC。但，LOINC資料庫收錄超過10萬筆代碼，同一項檢驗還可能因檢體來源、檢驗方法或檢測目的不同，而對應不同代碼。過去若由各家醫院自行比對，不但耗時，代碼也可能不一致。現在，衛福部已完成對照表，醫院接下來可直接引用，不必從頭建立自己的LOINC對照機制。</p> <p>李建璋點出，統一檢驗標準碼，不只利於跨院資料交換、減少重複檢驗，還能支援FHIR病歷互通、精準醫療與醫療AI等應用。</p> <h2><strong>為何臺灣需要LOINC？</strong></h2> <p>LOINC是目前全球最廣泛使用的醫學檢驗標準之一，由美國Regenstrief Institute制定，主要用來統一檢驗項目的名稱與代碼，讓不同醫療機構能以相同語意交換資料。</p> <p>不過，LOINC資料庫本身收錄超過10萬筆代碼，同一項檢驗也可能因檢體種類、檢驗方法或量測方式不同，而對應不同LOINC代碼。對醫院來說，要從龐大的國際資料庫中找出正確代碼並不容易。</p> <p>此外，臺灣醫療體系長期以健保核價碼作為檢驗管理、申報基礎，不同醫院，又使用不同品牌的檢驗設備、實驗室資訊系統（LIS）和醫院資訊系統（HIS），所以，即使是同一項檢驗，也可能有不同名稱、代碼或資料格式，讓跨院資料交換和整合更困難。</p> <p>例如同樣是糖化血色素（HbA1c）檢驗，不同醫院系統中的欄位名稱與代碼可能不同。對醫護人員來說，他們也許一眼就知道是同一項檢驗，但對IT系統而言，卻可能視為完全不同的資料。這就是醫療資料互通的一大障礙，即使資料能傳送，接收端未必能正確理解內容。這也是為何，衛福部希望統一全臺檢驗檢查代碼的原因之一。</p> <p>不過，LOINC也不是第一次在臺灣應用。早在2007年，衛生署資訊中心就輔導特定醫院進行電子病歷交換、試辦導入LOINC。2013年，疾管署推動防疫雲，其中傳染病實驗室自動通報系統（LARS）就導入LOINC作為檢驗資料交換標準，當時還成功輔導20家醫學中心使用。在COVID-19疫情間，以LOINC標準通報的檢測數據，更幫助疾管署掌握疫情動態，證實這項標準，在公衛緊急應變中的實用性。</p> <p>不過，這些實例多半是特定專案或特定領域使用，缺乏全國一致的對照機制。因此，衛福部資訊處在2025年發起LOINC對照專案計畫，要建置全臺通用的LOINC對照表。</p> <h2><strong>邀集醫檢專家和廠商，短短數月完成LOINC對照表</strong></h2> <p>該專案在2025年底啟動，由衛福部資訊處與臺灣醫事檢驗學會共同推動，邀集數十家醫院、154位醫學檢驗與相關領域專家參與。他們也找來檢驗試劑與儀器廠商，由廠商提供各項檢驗試劑對應的LOINC資訊，再由醫檢專家團隊進行驗證與審查。</p> <p><img alt="" src="/sites/default/files/images/IMG_8045%E6%8B%B7%E8%B2%9D.JPG" /></p> <p>審查的流程是，團隊先盤點健保給付檢驗項目，再逐一比對檢驗目的、檢體種類、檢驗方法及量測單位等資訊，最後對應到適合的LOINC代碼。</p> <p><img alt="" src="/sites/default/files/images/IMG_8046%E6%8B%B7%E8%B2%9D.JPG" /></p> <p>據統計，這次專案共整理超過3.9萬筆候選資料，完成超過2萬筆檢驗項目編碼作業，還透過Claude等AI工具輔助，最後在今年收斂為5,050筆臺灣版LOINC對照表。</p> <p><img alt="" src="/sites/default/files/images/IMG_8050%E6%8B%B7%E8%B2%9D.JPG" /></p> <p>過程中也發現，不少健保檢驗碼無法直接對應單一LOINC代碼。例如細菌培養鑑定檢驗（13007C），可能涵蓋傷口、呼吸道、尿液、生殖道等63種不同檢體來源；特異過敏原免疫檢驗（30022C）則可對應267個不同LOINC代碼。</p> <p>也因此，這次工程不只是建立代碼對照表，更是重新整理國內檢驗資料的語意與分類方式。</p> <p>有了這份對照表，未來醫療院所可直接引用，減少重複建置對照表和維護成本。</p> <h2><strong>不只做對照表，也做FHIR轉換工具</strong></h2> <p>除了建立對照表，衛福部也透露，他們還同步開發支援FHIR格式的檢驗項目輔助對應平臺及API轉換模組，也與國內主要HIS和LIS廠商進行介接測試。</p> <p>這意味著，未來醫療院所可透過這些工具，將既有檢驗資料快速轉換成符合LOINC及FHIR標準的格式，不必從零開始建置系統。</p> <p>衛福部後續也規畫建置LOINC專區，提供代碼查詢、教材與技術支援，並開發AI輔助編碼工具，協助醫院進行檢驗項目對照。</p> <p>就應用來說，目前，LOINC標準化成果，已開始導入部分實際應用。例如，健保署應用於次世代基因定序（NGS）檢測收案，以及癌症用藥事前審查作業，提高資料交換與審查效率。</p> <p>李建璋表示，檢驗資料是醫療資料中最常交換、也最常被使用的資料之一。隨著FHIR病歷互通持續進展，以及更多醫療院所採用LOINC標準，檢驗資料也能更好在不同醫療機構間互通，還能進一步支援臨床決策、精準醫療研究與醫療AI應用。</p> <p></p> </div></div></div>
6/12 14:57作者王若樸https://www.ithome.com.tw/news/176573
GitLab修補12個漏洞，最高風險可能導致帳號接管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-0-2-released/" target="_blank">GitLab周三（6/10）發布安全更新</a>，釋出GitLab社群版（GitLab Community Edition，CE）與企業版（GitLab Enterprise Edition，EE）的19.0.2、18.11.5及18.10.8，以修補12個安全漏洞，其中最嚴重的兩項漏洞CVSS風險評分皆達8.7分，可能導致帳號遭接管或在受害者瀏覽器中執行惡意程式碼。</p> <p>GitLab為一開源DevSecOps平臺，提供程式碼代管、CI/CD、安全掃描與專案管理等功能，分為社群版CE與企業版EE。GitLab採固定安全更新機制，通常於每月發布一次安全修補更新，並同步為多個受支援版本分支提供修補程式。</p> <p>此次修補的安全漏洞中，有兩個CVSS風險評分都高達8.7分。首先是與Group SAML有關的CVE-2026-6552，Group SAML是GitLab EE提供的企業身分驗證功能，可讓企業透過安全聲明標記語言（Security Assertion Markup Language，SAML）單一登入機制，來管理GitLab群組成員身分。</p> <p>在特定條件下，擁有Group Owner權限的已驗證使用者，可濫用Group SAML Identity API的權限控管缺陷，竄改群組成員的SAML身分對應關係，進而接管對方的GitLab帳號。</p> <p>另一項8.7分的高風險漏洞為CVE-2026-10087，影響GitLab EE的Analytics Dashboard功能。具Developer權限的已驗證使用者，可利用該跨網站指令碼（XSS）漏洞，在受害者瀏覽器中執行任意JavaScript程式碼。</p> <p>其它兩個被列為高風險漏洞的分別是可導致服務中斷CVE-2026-7250，以及可發送未經授權電子郵件的HTML Injection漏洞CVE-2026-8589，它們的CVSS風險評分分別為7.5與7.3分。此次修補的12個漏洞中，有4個被列為高風險，皆影響GitLab EE，其中CVE-2026-7250也波及GitLab CE。</p> </div></div></div>
6/12 15:10作者陳曉莉https://www.ithome.com.tw/news/176575
LiteLLM高風險已知漏洞可與另一個漏洞串連，形成CVSS風險10分的漏洞利用鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月8日美國網路安全與基礎設施安全局（CISA）表示已掌握漏洞被積極利用的證據，將LiteLLM高風險漏洞CVE-2026-42271<strong><a href="https://www.ithome.com.tw/news/176460">加入已遭利用漏洞列表（KEV）</a></strong>，要求聯邦機構於6月22日前完成修補，究竟駭客如何利用漏洞，CISA並未說明。然而在此之前，有資安公司警告，若是攻擊者串連另一個已知漏洞，將能變成威力極為強大的武器。</p> <p>上週<strong><a href="https://horizon3.ai/attack-research/vulnerabilities/cve-2026-42271-chained-with-cve-2026-48710/">威脅情報公司Horizon3.ai指出</a></strong>，攻擊者利用CVE-2026-42271的基本條件，就是通過身分驗證，然而他們發現，若是搭配存在於Python非同步（ASGI）框架Starlette的中度風險漏洞CVE-2026-48710，就有可能在依賴自架Gitea的開發環境裡，形成CVSS風險10分滿分的重大弱點，完全繞過LiteLLM的身分驗證請求，從而導致遠端程式碼執行，讓攻擊者以LiteLLM代理程式執行指令，呼籲用戶應儘速更新LiteLLM與Starlette因應。</p> <p>雖然Starlette並非架設LiteLLM的必要元件，但由於LiteLLM提供代理伺服器模式，再加上指引文件經常以FastAPI範例，<strong><a href="https://fastapi.tiangolo.com/">FastAPI</a></strong>就是以Starlette和Pydanic開發而成，因此，不少LiteLLM用戶選擇採用Starlette設置代理伺服器或API閘道，使得Horizon3.ai提出的漏洞利用環境很可能出現在實際的LiteLLM平臺。</p> </div></div></div>
6/12 13:18作者周峻佑https://www.ithome.com.tw/news/176569
越南駭客OceanLotus發動供應鏈攻擊，鎖定投資人散布SpectralViper後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.welivesecurity.com/en/eset-research/oceanlotus-external-espionage-domestic-targeting/" target="_blank">資安業者ESET周四（6/11）揭露</a>，越南駭客組織OceanLotus（APT32）自2025年10月至2026年3月，入侵越南投資軟體FireAnt Metakit更新伺服器，透過偽造軟體更新向股票投資人散布SpectralViper後門程式。</p> <p>OceanLotus為一現身於2012年的網路間諜組織，外界普遍認為其活動與越南政府利益相關，過去主要以中國及東南亞國家為目標，攻擊對象涵蓋企業、人權倡議人士及政府機構。然而，ESET發現，過去多次被揭露從事跨國網路間諜活動的OceanLotus在這兩年將重心移至越南國內，針對境內的基礎建設、交通工程公司及股票投資人發動攻擊。</p> <p>FireAnt Metakit為越南金融科技公司FireAnt所推出的股市行情資料工具，可將即時與歷史市場資料傳送至AmiBroker、MetaStock等技術分析軟體。OceanLotus入侵了FireAnt Metakit更新伺服器，並以惡意程式取代合法更新檔案，在使用者下載更新時，於電腦中安裝SpectralViper後門。</p> <p>研究人員指出，駭客利用了FireAnt Metakit更新機制中的多項安全缺陷，包括該軟體更新設定檔缺乏數位簽章或完整性驗證機制，無法確認下載檔案是否遭竄改；而且更新過程仍使用未加密的HTTP通訊，而非HTTPS。</p> <p>至於SpectralViper是OceanLotus自行開發的後門程式，可與C&C伺服器通訊，回傳受害電腦資訊，接收遠端指令，也具備載入其他程式、程序注入與橫向移動能力。</p> <p>ESET表示，雖然FireAnt Metakit是廣泛使用的投資工具，理論上可能影響大量投資人，但他們實際只觀察到少數最終收到並執行SpectralViper後門的受害者，因此判斷OceanLotus並不是無差別散布，而是在供應鏈感染後再篩選目標。</p> <p>除了FireAnt之外，ESET還發現OceanLotus亦長期入侵當地一家基礎建設及交通工程公司，可能是藉由Microsoft SQL Server遠端程式碼執行漏洞取得初始存取權限，並於企業網路內部署多個SpectralViper變種。</p> </div></div></div>
6/12 13:52作者陳曉莉https://www.ithome.com.tw/news/176570
Palo Alto發佈6月安全更新修補11項漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://security.paloaltonetworks.com/" target="_blank">網路資安業者Palo Alto Networks本週發佈六月份安全更新</a>，修補11項漏洞，其中包含2項高風險安全更新。廠商呼籲管理員儘速更新到最新版本。</p> <p>這2項高風險安全更新中，一項為CVE-2026-0274，影響Palo Alto安全協調、自動化與回應（SOAR）平臺Cortex XSOAR。它出於Cortex XSOAR/XSIAM與Commvault Security IQ整合模組的身分驗證機制不當，可能讓未經授權的攻擊者偽裝成合法系統，存取或修改受保護資料。本漏洞CVSS風險值8.1，影響Cortex XSIAM/XSOAR Commvault Security IQ Marketplace。</p> <p>其次為針對Palo Alto專屬Chromium-based瀏覽器Prisma Browser的安全更新，為Palo Alto每月例行發布，可能修補不只一項漏洞。本安全更新CVSS風險值8.4。</p> <p>Palo Alto在6月3日修補的CVE-2026-0257為影響PAN-OS SSL VPN服務GlobalProtect的驗證繞過漏洞，CVSS風險值7.8。值得注意的是，該漏洞已遭到濫用，<a href="https://www.ithome.com.tw/news/176253" target="_blank">美國網路安全暨基礎設施安全管理署（CISA）5月底</a>，要求聯邦機構在6月1日完成修補。</p> <p>Palo Alto並在5月底修補了三個CVSS風險值7.2的漏洞，分別為CVE-2026-0263、CVE-2026-0264及CVE-2026-0265。這三項漏洞還影響PAN-OS及防火牆Cloud NGFW。</p> <p>其中CVE-2026-0263和CVE-2026-0264皆為遠端程式碼執行（RCE）漏洞，前者存在IKEv2處理過程中，後者為DNS Proxy及DNS Server的堆積式緩衝溢位（Heap-based Buffer Overflow）而導致RCE。CVE-2026-0265則是在啟用雲端驗證服務（Cloud Authentication Service,CAS）的系統上，允許駭客繞過驗證機制。</p> </div></div></div>
6/12 12:47作者林妍溱https://www.ithome.com.tw/news/176568
【臺灣資安大會直擊】當Physical AI走進現實，一張傳單就可讓機器人出拳攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>當資安威脅從數位世界脫殼而出，轉化為具有物理動量的攻擊力時，我們正面臨一個前所未有的轉折點。專精車用資安與機器人資安的VicOne執行長鄭奕立指出，過去數位世界的入侵，最壞的結果或許是系統重灌、資料外洩；但在Physical AI（物理AI）的世界裡，機器人的手腳可能會直接傷害人類，而那絕對不是按下一個「還原鍵」就能解決的問題。</p> <p>針對機器人資安VicOne成立專屬研究實驗室Lab R7，就是為了在世界還在討論機器人落地的可能時，先行著手拆解並防禦其潛在的脆弱性。例如日前在臺灣資安大會CyberSec 2026現場，VicOne Lab R7研究人員就針對機器狗實測Demo，展示讓全場屏息的攻擊場景。</p> <p>這隻機器狗被訓練了一套視覺語言動作模型（Vision-Language-Action Model，VLA Model）：看到拳擊手圖片，它擺出攻擊姿態；看到微笑女性圖片，它比出愛心。就在現場觀眾以為這只是輕鬆的互動展示時，研究人員突然拿出一張專為CYBERSEC 2026設計的傳單，疊放在那張微笑女性圖片的前方，傳單排版並不特別，但其中夾雜著關於戰鬥姿態、戰備狀態、敵意偵測的放大粗體文字。而當機器狗的攝影鏡頭掃描到傳單內容後，機器狗的模型會重新執行推論，不一會，原本應該比心的機器狗，就變成舉拳出擊的機器狗了。</p> <p>鄭奕立說：「很多人Demo特別是中國的機器人或機器狗，都用遙控的；但VicOne Lab R7測試的機器狗，卻是真真實實透過模型訓練出來的。」這是令人警醒的事件，那就是：機器人的安全，並不是只靠關掉遙控器就解決的問題；當模型本身被操縱了，而操縱模型的可能只需要一張看起來不起眼的傳單，因為這麼做就可以達到操縱機器人的目的了。</p> <p><img alt="" src="/sites/default/files/images/600-%E7%9C%8B%E5%88%B0%E7%BE%8E%E5%A5%B3%E6%AF%94%E5%BF%83_%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E6%8F%90%E4%BE%9B.jpg" style="width: 600px; height: 400px;" /></p> <blockquote><p>VicOne Lab R7訓練的機器狗，看到美女的照片，前肢會左右畫一個半邊的心型，組成一個心，對美女表示喜歡之意。</p> <p>照片來源：臺灣資安大會提供</p> </blockquote> <p> </p> <p><img alt="" src="/sites/default/files/images/600-%E5%82%B3%E5%96%AE%E6%94%BB%E6%93%8A_%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E6%8F%90%E4%BE%9B.jpg" style="width: 600px; height: 400px;" /></p> <blockquote><p>VicOne Lab R7測試的機器狗，在美女照片上放上內含攻擊指令的傳單，機器狗掃描到傳單內容後，原本看到美女「比心」的動作，就會重新推論為「出拳」。</p> <p>照片來源：臺灣資安大會提供</p> </blockquote> <p> </p> <p><img alt="" src="/sites/default/files/images/600-%E5%82%B3%E5%96%AE%E6%94%BB%E6%93%8A_%E9%BB%83%E5%BD%A5%E6%A3%BB%E6%94%9D.jpg" style="width: 600px; height: 337px;" /></p> <blockquote><p>更清楚看見，攻擊者如何將內含攻擊指令的傳單內容，如何放置在美女照片上，讓機構口接收掃描到相關的攻擊訊息。</p> <p>照片來源：黃彥棻攝</p> </blockquote> <p> </p> <h1><span style="color:#B22222;">從提示詞注入到AI指令劫持，機器人如何被環境文字操控？</span></h1> <p>要理解這張傳單為何如此危險，我們必須先理解AI機器人的決策架構。鄭奕立解釋，AI機器人的決策由三個環節組成：感知（看到什麼）、理解（判斷其意義）與行動（執行什麼）。</p> <p>其中，VLA模型的工作，是將視覺輸入轉換為語義判斷，再由語義判斷驅動動作輸出。在這條決策鏈中，負責「理解」的那一層，本質上就是大型語言模型（LLM）或視覺語言模型（VLM）的運算結果。</p> <p>語言模型的本質是高度服從語言指令，這讓它既強大，也相對脆弱。當環境出現帶有命令語意的文字時，模型可能將其解讀為有效指令，即使那段文字只是傳單上的視覺資訊，甚至是機器人的主人從未下達過的相關命令。</p> <p>這正是資安界所稱的提示詞注入攻擊（Prompt Injection）在物理世界中的延伸形式，針對AI機器人的版本，則有個更具體的名稱：AI指令劫持（Command Hijacking against embodied AI，CHAI）。</p> <p>攻擊者若要完成這類攻擊，作法其實並不複雜。第一步是研究目標機器人採用的AI模型。由於機器人產業大量採用開源模型，其架構與訓練方式往往都是公開資訊。</p> <p>第二步則是利用AI尋找AI的盲區，自動化測試各種圖片與語句組合，並根據模型輸出結果持續調整，直到找到能夠觸發異常判定的輸入組合。</p> <p>第三步則是將這些盲區製作成現實世界的攻擊載體，例如海報、廣告文字或貼紙等，使機器人在毫無察覺的情況下，執行攻擊者預先設計的行為。</p> <p>鄭奕立表示，相較於純粹的數位資安威脅，機器人的AI指令劫持更難防範，因為人們無法控制機器人視野範圍內的所有環境輸入。</p> <p>例如，未來家中的機器人看到報紙廣告上的一段文字，人類看來或許毫無異狀，對機器人而言卻可能是一道攻擊指令；當這種情況發生時，家中成員便可能在毫不知情的情況下陷入危險。</p> <h1><span style="color:#B22222;">從硬體到模型，機器人面臨的五大資安攻擊面</span></h1> <p>AI模型被操縱，只是機器人資安風險中的一層。鄭奕立以過去18個月的真實資安事件為基礎，拆解出機器人面臨的五大風險來源。</p> <p>首先，物理實體層面是最直接的入口，而機器人本體上的各種實體埠口、電子元件，只要能接觸到，就可能成為滲透起點。</p> <p>過去18個月已出現有文獻記載的中國機器人後門事件，而目前AI機器人最廣泛採用的運算平臺Nvidia Jetson，也出現兩個重大等級的CVE漏洞，分別涉及開機流程的權限提升，以及隨行運算模組的安全問題。</p> <p>其次，感測器層面的風險，這是源自機器人用來感知世界的各類傳感設備，包括：攝影機、麥克風、雷達、GPS，每一個感測介面都是潛在的欺騙目標，容易受到惡意干擾或欺騙，進而讓機器人對環境產生錯誤感知。</p> <p>這個層面的威脅在航空領域已造成可見影響，像是GNSS訊號干擾使荷蘭航空班機導航出現異常，GPS欺騙（GPS spoofing）攻擊波及印度多個機場超過800個航班，駕駛艙GNSS訊號混淆事件也被CNN報導。</p> <p>鄭奕立表示，值得警惕的是，感測器層面的攻擊事件目前幾乎沒有對應的CVE漏洞記錄，這意味著業界對於此類風險的系統性防護，幾乎還是空白。</p> <p>第三，AI模型層面，也就是Demo展示的那一層，是目前最新興、也最難防範的攻擊維度。攻擊者可針對模型弱點下手，干擾甚至操縱機器人的決策；在機器人AI的決策架構中，任何能影響模型語義理解的輸入，都是潛在攻擊面。</p> <p>過去18個月以來，AI指令劫持（CHAI）相關的攻擊研究已出現多個里程碑。在2025年7月，由康乃爾大學（Cornell University）維護的免費學術論文預印本平臺arXiv，上面就有人發布系統性的Prompt Injection 2.0研究框架；同年9月，AI指令劫持（CHAI）攻擊模型正式被提出；2026年2月，更具針對性的CHAI v2誤導文字攻擊方法被揭露。鄭奕立指出，模型層面同樣缺乏CVE追蹤體系，防護的建立幾乎需要從零開始。</p> <p>第四，軟體與雲端應用層面是漏洞記錄最密集的層面，像是機器人的作業系統、驅動程式、應用軟體與中介軟體，都是攻擊者熟悉的目標，若這些軟體組件存在已知漏洞或後門，攻擊者可取得未經授權的控制權。</p> <p>廣泛應用於機器人通訊的DDS中介軟體，在2025年11月單次被揭露13個CVE漏洞；ROS 2機器人作業系統的供應鏈攻擊概念驗證也在同月被公開；Unitree（中國宇樹科技）機器人被發現將資料回傳境外伺服器，並在2026年2月揭露多個遠端程式執行漏洞；中國Ecovacs（科沃斯）家用機器人系列同樣出現OTA（Over-the-Air）更新機制的漏洞，讓攻擊者得以在更新流程植入惡意程式。</p> <p>最後，鄭奕立表示，無線通訊層面是過去18個月CVE記錄最多的層面，累計達8個已登錄漏洞。這包括機器人對外連線的所有無線介面——藍牙、WiFi與遙控通訊協定——都可能成為攻擊途徑，從攔截未加密連線，到利用未妥善配對與金鑰管理的近距離無線通訊等。</p> <p>在2025年下半年，資安研究人員已公開揭露UniPwn嚴重資安漏洞，透過低功耗藍牙（BLE）漏洞取得宇樹科技（Unitree）機器人的root權限，影響範圍包括四足機器人（如Go2、B2）及人形機器人（如G1、H1）。</p> <p>另外，廣泛應用於無人機（UAV）與地面控制站之間進行通訊的輕量級協議MAVLink，出現高危險CVE漏洞；開源飛控系統PX4也被發現，存在無需身分認證（no-auth）即可連接的漏洞，可讓任何處於通訊範圍內的攻擊者都能直接取得控制權。</p> <p>這五個層面疊加起來，構成一個從感測器到電路板、從模型到雲端幾乎無處不暴露的攻擊曲面。鄭奕立說：「機器人不像電腦，電腦被攻擊，你可以執行還原（Restore）；機器人被攻擊，它的手可能已經傷到人了。」</p> <h1><span style="color:#B22222;">從汽車到機器人，VicOne的底氣從何而來？</span></h1> <p>VicOne於2022年從趨勢科技分拆獨立，初創之時切入臺灣ICT產業相對陌生的市場：車用資安。當汽車走向軟體定義車輛（Software-Defined Vehicle，SDV）與連網汽車的過程中，車上的電子控制單元、車載網路、OTA更新系統到雲端連接，每一個環節都是潛在攻擊面，且軟硬體深度整合的特性讓純軟體資安廠商難以切入。</p> <p>鄭奕立指出，VicOne在這個領域建立旁人難以複製的技術縱深，包括全球前20大乘用車品牌中，有7個採用VicOne的解決方案；三年累計發現174個汽車零時差漏洞，使用Anthropic前沿AI技術挖掘漏洞，讓VicOne成為這個垂直領域的全球研究領導者。</p> <p>鄭奕立表示，VicOne從車用資安進入物理AI資安這個幾乎還沒有人系統性建立的領域，背後的底氣來自一個關鍵發現：車用資安與機器人資安，底層軟硬體架構高度重疊，大概有八成是一樣的。</p> <p>例如汽車使用的CANBus通訊協定，同樣被應用於機器人控制系統；車用DDS中介軟體也被機器人採用；甚至高階車輛使用的TSN時間敏感網路，部分高階機器人也開始導入。「我們其實很幸運，用四年把軟硬體結合的技術弄得非常好，接下來做機器人，根本就是同一套邏輯。」他說。</p> <p>正是基於這個判斷，VicOne成立了Lab R7。這個研究實驗室的工作方式，與一般資安研究機構的最大不同，在於它不只是分析已知漏洞，而是真實購入各類機器人，自行訓練模型，從攻擊者的角度去測試這些模型的邊界，再從防禦者的角度建立對應的保護機制。</p> <p>VicOne Lab R7也展示基於Nvidia Isaac Sim的模擬測試環境，讓資安測試得以在虛擬空間中進行——研究人員可以選取不同品牌與形態的機器人模型，模擬各種攻擊情境，觀察AI模型在異常輸入下的反應，行為異常時即時標記。</p> <p>鄭奕立表示，這個方法最大的價值在於成本結構的改變，因為一臺機器人要在外面實體做測試，成本非常高；但若可以在模擬環境做測試，就可以讓機器人出場的品質更好，而且是成本更低。</p> <h1><span style="color:#B22222;">臺灣機器人服務要落地，必須同步先做好資安</span></h1> <p>對於臺灣的機器人產業而言，要讓機器人可以在產業領域落地提供服務，資安就是關鍵因素。</p> <p>以帝濶智慧科技（DeCloak Intelligences）的四足自主巡邏機器狗為例，由於巡邏機器狗會在場域持續移動，鏡頭所及範圍內的人員都可能被拍攝，因此「去識別化」成為機器人AI極為重要的一環。</p> <p>帝濶的核心技術是自主研發的「隱私強化AI」，其運算架構能在本地端完成影像辨識與決策，不需將原始影像上傳雲端，從源頭切斷資料外洩的可能。有了這個設計，讓帝濶的自主巡邏系統得以進入醫院、展覽館、校園與機場這類對隱私要求極高的場域，而不必在效能與合規之間做出妥協。</p> <p>VicOne與帝濶的合作，是將資安防護與隱私保護整合成一套完整方案，確保自主巡邏系統在面對資安威脅時，敏感資料不會因攻擊、操控或系統弱點而外洩。</p> <p>帝濶總經理鄒耀東表示，公共與敏感場域的客戶在導入自主巡邏系統時，隱私、合規與行為穩定性必須同步被驗證，而不是出事後才補救，與VicOne的合作正是帝濶對客戶的一項具體承諾，讓每一套部署上線的系統都是經過驗證、可預期、可信賴的。</p> <p>長聯科技的醫療AI機器人「愛寶」則代表著另一種路徑。「愛寶」以生成式AI與大型語言模型為核心，能理解醫護語境、協助病患衛教諮詢、執行院內任務遞送，目前已實際部署於中部某醫學大學附屬長照中心，在走廊上行走、與病患互動。</p> <p>VicOne與長聯科技的合作，聚焦協助愛寶符合歐盟網路韌性法案（Cyber Resilience Act，CRA）的法規要求，同時保護醫療AI機器人上的AI模型免受對抗性攻擊。</p> <p>長聯科技商務營運總監蔡述先強調，醫療與長照場域需要高度穩定、可靠且合規的AI服務，透過與VicOne的合作，希望讓醫療AI機器人在實際場域中更安心地被部署與使用。</p> <p>鄭奕立表示，VicOne和這兩個臺灣機器人業者合作，也證明資安不是機器人落地之後才需要補足的功能，而是從設計端（Security by Design）就必須一起考量的基礎建設。</p> <p><img alt="" src="/sites/default/files/images/600-%E9%95%B7%E8%81%AF%E6%84%9B%E5%AF%B6_%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E6%8F%90%E4%BE%9B.jpg" style="width: 600px; height: 900px;" /></p> <blockquote><p>長聯科技的醫療機器人愛寶，透過與VicOne的合作，主要是要符合歐盟網路韌性法（CRA）的規範。</p> <p>照片來源：臺灣資安大會提供</p> </blockquote> <h1><span style="color:#B22222;">機器人從一個口令一個動作，變成能跨場景做任務</span></h1> <p>鄭奕立表示，過去12個月以來，機器人AI模型發展速度飛快，同時帶動機器人資安威脅的緊迫性。</p> <p>2025年4月，Physical Intelligence的機器人AI模型π0.5，讓機器人從以往換個地方就不會做事的情況，首次不必事先看過環境，也能理解並完成任務，這也是通用型機器人（General Purpose Robotics）的重要里程碑。</p> <p>同年6月，Meta FAIR的V-JEPA 2以超過百萬小時的網路影片訓練出潛在世界模型（World Model），讓機器人從過去「看見才反應」，進步到「看見後能預測」，不僅動作更加流暢，也讓機器手臂在跨實驗室環境中，面對完全未訓練過的零樣本（Zero-Shot）任務時，仍可達到八成的取放成功率，代表機器人已具備一定程度的舉一反三能力。</p> <p>同年7月，Skild AI的Skild Brain，讓單一模型能同時驅動四足機器人、人形機器人、機械手臂與自走車底盤，改善以往每種機器人都要獨立開發各自模型的情境。</p> <p>進入2026年，Google DeepMind的Gemini ER 1.6搭載空間推理能力（Spatial Reasoning），會知道哪裡可以走、哪裡有障礙及如何繞路等。Boston Dynamics的Spot機器狗搭載Gemini ER 1.6，被用於石化廠、電廠等工廠巡檢，負責讀取各種壓力表、溫度表和液位計等，而其儀表讀數準確率高達98%，表示機器狗已能接近人類巡檢員能力。</p> <p>而Physical Intelligence的π0.7，則實現了組合式泛化（Compositional Generalization）——機器人能自行混合既有技能，完成從未見過的新任務，這是最重要的突破。</p> <p>過去一年的機器人AI模型的發展，從以往「只能執行預先編寫流程的自動化設備」，逐步演進為：具備世界理解、空間推理、技能遷移與自主學習能力的通用實體AI（Physical AI）；透過這些「機器人基礎模型（Robot Foundation Model）」，讓機器人真正具備跨場景、跨任務、跨機體的通用智能。</p> <h1><span style="color:#B22222;">四大基礎設施生態系成形，誰將主導機器人時代？</span></h1> <p>由於大多數機器人業者不會從零開始建構所有技術能力，而是直接採用NVIDIA的Jetson與Isaac平臺、Google的機器人AI模型、Qualcomm的邊緣AI處理器，以及Hugging Face的開源模型與資料集等既有生態系資源，藉此加速產品開發與商業化進程。</p> <p>而這些支撐新一代機器人發展的產業生態系與基礎設施的業者，被稱為：Robot Infrastructure Providers（機器人基礎設施供應商）。這些進展的背後，是四大生態系的基礎設施支撐。</p> <p>Nvidia透過機器人開發平臺Isaac，讓開發者能先在虛擬環境中訓練機器人，然後部署至實體設備；再搭配專為AI運算、機器視覺與自主導航設計的Jetson模組，打造出全球最成熟的機器人開發平臺之一，幾乎所有機器人新創都能直接採用，中國更有約五成機器人使用其技術。</p> <p>AI大腦Gemini Robotics，建立在Google DeepMind的Gemini模型之上，其多模態模型，不只可以理解文字，還能理解：圖像、聲音、空間和動作，已與Boston Dynamics的機器狗Spot整合，目標就是做到：讓任何機器人都能共用同一套智能核心。</p> <p>相較於Nvidia偏向高性能、高功耗和高價格，Qualcomm以邊緣AI晶片主打中階市場，強調低功耗、低成本和大規模部署，因為未來很多服務型機器人，並不需要超級強大的AI，更重視電池續航和成本控制。</p> <p>Hugging Face則代表開源機器人生態系，藉由提供開源模型、資料集與機器人開發框架，協助研究機構、新創團隊乃至個人開發者快速建構機器人系統，讓具備複雜任務能力的機器人不再是大型企業的專利，進一步降低機器人開發的技術與資源門檻。</p> <p>以現在的機器人產業競爭來看，已經不只是比誰能造出一臺機器人，而是在比誰能建立最完整的「AI模型＋晶片＋開發工具＋開源社群」生態系。鄭奕立認為，未來能主導機器人市場的企業，很有可能不是製造機器人的公司，而是掌握底層平臺與生態系的基礎設施供應商。</p> <p>當2022、2023年ChatGPT 3.5推出時，大家突然發現AI技術真的可以做到、可以大量普及。鄭奕立說：「而現在機器人發展已經到了一個類似的節點——模型成長已經到了快要起飛的時候。」</p> <p>技術快速演進的結果，是機器人部署速度持續加快；而部署速度愈快，也意味著每一個尚未解決的資安問題，都將更快速地進入真實場域，走向真實的人群。</p> <p> </p> </div></div></div>
6/12 11:24作者黃彥棻https://www.ithome.com.tw/news/176562
英國諾丁漢大學資料外洩，可能影響45萬學生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在勒索軟體ShinyHunters宣稱竊取資料後，<a href="https://su.nottingham.ac.uk/news/article/data-breach" target="_blank">英國諾丁漢大學（University of Nottingham）昨日（6/11）證實發生網路攻擊事件</a>，造成大量學生資訊外流。</p> <p>諾丁漢大學為知名學府，<a href="https://www.topuniversities.com/universities/university-nottingham" target="_blank">根據全球學校評等網站</a>，該校排名為英國前20大，全球前一百大。</p> <p><a href="https://www.ithome.com.tw/news/176529" target="_blank">根據報導</a>，勒索軟體駭客組織ShinyHunters點名竊取了諾丁漢大學40GB資料，包含學生、校友及職員個資及財務資料，並已公開了部份學生資訊。</p> <p>諾丁漢大學證實，學生紀錄系統中的大量資料遭外部第三方組織存取，呼籲學生留意陌生的電子郵件、訊息或電話，並確保使用強密碼。</p> <p>校方未公布外洩的資料規模和型態。<a href="https://haveibeenpwned.com/Breach/UniversityOfNottingham" target="_blank">根據Have I Been Pwned</a>，該校被ShinyHunters外洩的資料筆數達45.5萬筆，包含學生及校友姓名、住家地址、電子郵件、電話、種族、身體特徵、護照號碼、以及報名有關的財務資訊等。</p> <p>諾丁漢大學是ShinyHunters宣稱PeopleSoft資料外洩案的受害者之一。這群駭客本週公告經由Oracle PeopleSoft漏洞存取了100多個組織、300多個應用執行個體。PeopleSoft的開發商甲骨文（Oracle）已在昨日發布安全公告，並針對一個新的零時差漏洞緊急釋出緩解方案。</p> </div></div></div>
6/12 11:28作者林妍溱https://www.ithome.com.tw/news/176563
OpenAI收購Ona，打造企業AI代理人雲端執行環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/openai-to-acquire-ona/" target="_blank">OpenAI周四（6/11）宣布收購AI代理人雲端執行平臺Ona</a>，將其安全雲端執行與協調技術整合至Codex生態系，讓AI代理人可在安全、持久且由客戶控制的雲端環境中長時間執行任務。此一收購案仍待監管機關核准，雙方並未揭露交易金額。</p> <p>Ona前身為Johannes Landgraf與Christian Weichel在2020年共同創辦的Gitpod，最初主打雲端開發環境，讓開發人員可直接於瀏覽器中寫程式與測試，減少本機環境設定負擔，累計服務超過200萬名開發者，並在2025年9月更名為Ona<a href="https://ona.com/stories/gitpod-is-now-ona" target="_blank">，轉型為AI代理人雲端執行平臺</a>。</p> <p>當時Landgraf認為，IDE定義了上一個時代，而下一個時代將由代理人定義。隨著軟體開發從工程師親自撰寫程式，轉向由工程師指派任務、審查結果與作出產品決策，也促使Gitpod轉型為Ona，以協助開發人員管理AI軟體工程代理人。</p> <p>Ona提供由客戶控制的AI代理人雲端執行環境，讓企業可在自有或受其控管的雲端基礎設施中建立工作區，供AI代理人執行開發、測試與自動化任務。企業也可自行管理代理人的執行位置、存取權限、憑證範圍、活動紀錄及審查流程，以符合安全與治理需求。</p> <p>OpenAI表示，隨著AI代理人能力提升，越來越多工作需要耗費數小時甚至數天完成，而非侷限於單次對話或工作階段。Ona提供的執行環境可讓代理人在使用者離線後持續推進任務，並讓使用者隨時查看進度、提供指示、做出決策及審查成果。</p> <p>此外，目前每周已有超過500萬人使用Codex進行研究、分析、開發與工作流程自動化，較今年初成長400%。未來Ona團隊將加入OpenAI，協助擴展Codex在企業環境中的執行能力，支援測試、除錯、應用程式現代化、漏洞修補及其他長時間工作流程。</p> </div></div></div>
6/12 11:32作者陳曉莉https://www.ithome.com.tw/news/176564
施耐德電機修補多項高風險漏洞，影響EcoStruxure與PowerLogic等產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.se.com/ww/en/work/support/cybersecurity/security-notifications/" target="_blank">工業自動化與能源管理業者施耐德電機（Schneider Electric）於6月9日發布3份安全公告</a>，揭露資料中心監控軟體EcoStruxure IT Data Center Expert、遠端終端裝置與控制器EasyLogic T150／Saitel DP RTU，以及電力保護與控制平臺PowerLogic P7的多項漏洞，並針對受影響產品提供已修補的版本。</p> <p><a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2026-160-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-160-01.pdf" target="_blank">EcoStruxure IT Data Center Expert方面</a>，施耐德發布9.1.2版更新，修補CVE-2026-8045。此漏洞CVSS v4.0分數為7.1分，列為高風險，原因是XML外部實體參照（XXE）限制不當，具備Data Center Expert使用者帳號的攻擊者，可對SOAP服務端點提交特製XML資料酬載，導致伺服器端檔案內容外洩。</p> <p><a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2026-160-02&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-160-02.pdf" target="_blank">在EasyLogic T150／Saitel DP RTU安全公告中</a>，施耐德揭露CVE-2026-9650與CVE-2026-9651，CVSS v4.0分數分別為8.7分與6.7分，屬於高度與中度風險。其中，CVE-2026-9650涉及憑證保護不足，未通過身分驗證的攻擊者可能存取韌體或系統檔案中的憑證；若後續取得裝置的實體存取權，可能進一步危及裝置完整性與運作。施耐德已提供EasyLogic T150 11.06.32與Saitel DP RTU 11.06.38新版韌體。</p> <p><a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2026-160-03&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-160-03.pdf" target="_blank">PowerLogic P7則修補3項漏洞</a>。其中CVE-2026-9716與CVE-2026-9717皆為高風險漏洞，CVSS v4.0分數分別為8.7分與8.6分，可能造成阻斷服務，導致人機介面（HMI）與設定功能無法操作，或讓具備權限且已通過身分驗證的使用者，在未獲授權的情況下執行特權指令。另一項CVE-2026-9718可能讓已通過身分驗證的攻擊者透過特製請求觸發阻斷服務。修補版本為V02.004.001.000；若暫時無法更新，施耐德建議限制PowerLogic P7服務端點，也就是限制TCP/IP連接埠8080的網路存取，並依最小權限原則控管管理存取權限。</p> </div></div></div>
6/12 11:39作者王珮瑤https://www.ithome.com.tw/news/176565
研究人員揭露BitLocker零時差漏洞GreatXML
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>研究人員Chaotic Eclipse（Nightmare-Eclipse）於微軟發布6月例行更新（Patch Tuesday）當天，公布Microsoft Defender零時差漏洞<strong><a href="https://www.ithome.com.tw/news/176503">RoguePlanet</a></strong>。根據<a href="https://www.securityweek.com/greatxml-zero-day-exploit-bypasses-bitlocker/"><strong>資安新聞網站SecurityWeek報導</strong></a>，事隔兩天該研究員又公開<strong><a href="https://github.com/MSNightmare/GreatXML">另一個零時差漏洞GreatXML</a>，並指出該弱點</strong>可被用於繞過BitLocker磁碟加密機制。</p> <p>針對這項漏洞出現的情境，該名研究員指出，電腦在防毒軟體Microsoft Defender啟動離線掃描的狀態下，攻擊者無須登入Windows作業系統就有機會利用GreatXML。攻擊者需將特定檔案與資料夾複製到復原分割磁區，然後重開機執行Windows復原環境（WinRE），有可能在BitLocker磁區產生不受限制存取的Shell。</p> <p>多次驗證該名研究員零時差漏洞的<strong><a href="https://cyberplace.social/@[email protected]/116729310202595851">Tharros首席漏洞分析師Will Dormann認為</a></strong>，Chaotic Eclipse揭露的弱點可能有問題，因為產生Shell是在第二次Microsoft Defender啟動離線掃描過程出現，然而要執行掃描工作，攻擊者必須登入Windows且取得管理員權限。但若是已具備這類權限，攻擊者可以直接關閉BitLocker。Dormann使用3個版本的Windows 11進行測試，無法重現GreatXML。</p> </div></div></div>
6/12 11:45作者周峻佑https://www.ithome.com.tw/news/176566
Coupang個資外洩案波及3,755萬人，遭韓國重罰逾6,246億韓元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對電商平臺<a href="https://www.ithome.com.tw/news/174032" target="_blank">酷澎（Coupang）於2025年11月</a>揭露的大規模個資外洩事故，<a href="https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12171" target="_blank">韓國個資保護委員會（Personal Information Protection Commission，PIPC）於6月11日公告</a>，對酷澎處以6,246億8,100萬韓元（約4.09億美元）罰鍰。</p> <p>PIPC調查認定，酷澎因身分驗證簽章金鑰管理、存取控制等基本安全管理措施不足，導致約3,755萬人個資外洩。主管機關進一步指出，酷澎在事件應變與後續處置過程中，也出現未履行外洩通知義務、未依規定銷毀資料、未充分確保個資保護長（CPO）職務獨立性，以及妨礙調查等多項問題，因此另對酷澎處以1,680萬韓元罰款。</p> <p>此外，PIPC調查也發現，酷澎在未取得適當授權的情況下，蒐集約1,117萬名會員於第三方網站及App上的活動資訊，包括瀏覽網址、App名稱、連線時間及IP位址等資料。PIPC另指出，酷澎物流服務（Coupang Fulfillment Service，CFS）也因個資蒐集、利用與敏感資料處理限制違規，遭處以2億4,800萬韓元罰鍰。</p> <p><a href="https://www.bleepingcomputer.com/news/security/south-korea-hits-coupang-with-record-409-million-fine-over-data-breach/" target="_blank">BleepingComputer則指出</a>，這是韓國史上最嚴重的個資外洩事故之一，酷澎遭PIPC裁罰的金額也創下韓國個資外洩案紀錄。<a href="https://www.ithome.com.tw/news/174032" target="_blank">數位發展部先前針對酷澎韓國資料外洩事故調查後確認</a>，臺灣有超過20萬名用戶受影響。</p> </div></div></div>
6/12 11:49作者王珮瑤https://www.ithome.com.tw/news/176567
Oracle針對PeopleSoft重大漏洞提出警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月10日Oracle發布資安公告，可用於人力資源管理、財務與供應鏈管理、校務系統、客戶關係管理等領域的企業應用系統平臺PeopleSoft PeopleTools，<strong><a href="https://www.oracle.com/security-alerts/alert-cve-2026-35273.html">存在重大等級的資安漏洞CVE-2026-35273</a></strong>，未經身分驗證的攻擊者可遠端利用，一旦成功，就有機會導致遠端程式碼執行。該漏洞影響8.61與8.62版PeopleSoft Enterprise PeopleTools，PeopleSoft Enterprise Applications用戶也可能受影響。由於這個公告在<strong><a href="https://www.ithome.com.tw/news/176529">ShinyHunters宣稱滲透上百家組織的Oracle PeopleSoft伺服器</a></strong>之後發布，很容易讓人認為這兩者有所關連。</p> <p>不過，CVE-2026-35273是否已遭到利用，該公告並未進一步說明，僅呼籲用戶應立即採取行動緩解弱點。</p> </div></div></div>
6/12 10:14作者周峻佑https://www.ithome.com.tw/news/176556
貝佐斯AI新創Prometheus募資120億美元，瞄準工程與製造AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由亞馬遜（Amazon）創辦人貝佐斯（Jeff Bezos）共同創立的AI新創Prometheus週四（6/11）宣布完成120億美元B輪融資，公司估值達410億美元。參與投資者包括摩根大通（JPMorgan Chase）、貝萊德（BlackRock）、高盛（Goldman Sachs）、DST Global、Arch Venture Partners及貝佐斯本人。</p> <p>Prometheus由Jeff Bezos與Alphabet旗下生命科學公司Verily共同創辦人Vik Bajaj於2025年創立，兩人共同擔任執行長。Prometheus將自身定位為「實體經濟的AI」（AI for the Physical Economy），希望利用人工智慧協助工程師設計、開發及製造各類實體產品，涵蓋機器人、噴射引擎、藥物及資料中心等應用領域。</p> <p>該公司長期維持低調運作，直到本週才透過Axios與CNBC專訪首度對外公開募資與業務進展。<a href="https://www.axios.com/2026/06/11/prometheus-bezos-industrial-ai" target="_blank">Axios率先披露</a>Prometheus完成120億美元B輪融資、估值達410億美元；<a href="https://www.cnbc.com/2026/06/11/project-prometheus-bezos-bajaj-live-updates.html" target="_blank">CNBC則在舊金山總部專訪貝佐斯與Bajaj</a>，進一步揭露Prometheus正在開發協助工程師設計與製造實體產品的AI工具。</p> <p>貝佐斯表示，Prometheus的目標是打造「Artificial General Engineer」（AI通用工程師），利用AI縮短產品從構想到量產的開發週期。目前聚焦於原型設計（Prototyping）與量產前製造（Pre-production Manufacturing）階段，希望透過AI協助工程師快速產生設計方案、優化製造流程及提升研發效率。貝佐斯認為，相關工具未來可望將工程開發速度提升10倍以上。</p> <p>成立不到一年的Prometheus目前約有150名員工，迄今已募得超過180億美元，貝佐斯說，這是他現階段投入最多時間的新事業，新資金將主要用來擴充運算能力與研發AI模型。</p> </div></div></div>
6/12 10:29作者陳曉莉https://www.ithome.com.tw/news/176557
Oracle PeopleSoft零時差漏洞遭駭客組織ShinyHunters積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Oracle於6月10日警告企業應用系統平臺PeopleSoft PeopleTools<strong><a href="https://www.ithome.com.tw/news/176556">存在重大漏洞CVE-2026-35273</a></strong>，呼籲用戶應立刻採取行動緩解風險，雖然沒有說明漏洞是否已遭到利用，然而時間點與<strong><a href="https://www.ithome.com.tw/news/176529">ShinyHunter聲稱的攻擊行動</a></strong>相當接近，很容易讓人聯想這些駭客利用的零時差漏洞，就是CVE-2026-35273，如今有資安研究團隊證實此事。</p> <p><strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/shinyhunters-targets-education-sector-oracle-exploit">Mandiant與Google威脅情報團隊（GTIG）公布調查結果</a></strong>，他們於5月27日至6月9日，看到ShinyHunters（UNC6240）積極針對Oracle PeopleSoft應用系統基礎設施入侵及勒索的活動，過程中利用了CVE-2026-35273。兩個團隊察覺掃描與利用漏洞的活動後，向全球超過100個可能成為目標的組織通報此事，這些組織大部分位於美國，68%的PeopleSoft在高等教育組織運作。攻擊者會架設代管自己的MeshCentral代理程式，並偽裝成合法雲端服務的端點，用途是執行管理員級的命令查詢，並部署橫向移動與從事破壞的指令碼。</p> </div></div></div>
6/12 10:43作者周峻佑https://www.ithome.com.tw/news/176558
ServiceNow公布安全事件初步調查，稱資料查詢活動可能來自研究人員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176534" target="_blank">企業雲端工作流程平臺業者ServiceNow於6月上旬傳出安全事件</a>，先前有網友在Reddit轉貼的ServiceNow客戶支援公告指出，未經身分驗證的使用者疑似可在特定情況下透過API端點，查詢部分客戶執行個體的資料，6月5日ServiceNow表示，已對代管客戶執行個體套用安全更新。</p> <p><a href="https://trust.servicenow.com/notifications/1205429e-fea3-4cbf-b37b-8cd3a4e07aef" target="_blank">ServiceNow於6月10日發布安全公告說明</a>，多名客戶於6月3日至4日轉交漏洞獎勵計畫通報，內容涉及一項可能讓未經身分驗證使用者存取ServiceNow執行個體資訊的安全問題，且與4月22日提交至ServiceNow漏洞獎勵計畫的保密通報相似。該公司調查後發現，部分客戶執行個體自6月2日起出現尚不明活動，且曾遭成功查詢；ServiceNow已通知觀察到相關活動的客戶，並部署安全更新協助保護客戶環境。</p> <p>6月7日，兩名資安研究人員也向ServiceNow漏洞獎勵計畫提交報告。ServiceNow表示，根據截至目前的調查，該公司認為觀察到的活動可能與資安研究人員有關，或客戶自行進行的安全研究，而非已確認的攻擊者入侵。研究人員則向ServiceNow表示，相關活動僅用於安全研究，未截圖、使用或保留任何成功查詢所得資料。</p> <p><a href="https://www.scworld.com/news/servicenow-says-security-researchers-not-hackers-accessed-data" target="_blank">資安媒體SC Media也引述多名資安業者看法</a>，提醒企業不宜因ServiceNow初步認為異常存取活動來自研究人員，就降低對事件影響的評估。企業仍需釐清哪些資料曾可被查詢，透過記錄確認實際影響範圍，並主動聯繫供應商的業務或技術支援窗口，確認自身環境是否受到影響。</p> <p>ServiceNow表示，緩解措施已完成部署，但調查仍在進行中，後續將視需要提供更新。</p> </div></div></div>
6/12 10:43作者王珮瑤https://www.ithome.com.tw/news/176559
微軟Secure Boot舊版憑證2026年陸續到期，紅帽提醒RHEL用戶更新韌體信任資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.redhat.com/en/blog/expiration-secure-boot-signing-certificates-2026" target="_blank">開源軟體與企業Linux業者紅帽（Red Hat）6月10日提醒</a>，微軟安全開機（Secure Boot）機制使用的多張2011年版簽章憑證，<a href="https://www.ithome.com.tw/news/173897" target="_blank">將於2026年陸續到期</a>，企業應確認UEFI（Unified Extensible Firmware Interface）韌體中的Secure Boot資料庫（db）是否已納入2023年版憑證，以確保後續可取得開機安全相關更新。若系統韌體的Secure Boot 資料庫（db）沒有包含2023年版憑證，未來可能無法啟動新的開機元件。</p> <p>Secure Boot是UEFI韌體的安全機制，用來驗證開機元件的數位簽章，防止未受信任的bootkit或rootkit在作業系統啟動前載入。在安全開機進行的過程中，裝置製造商會將已知的公開憑證註冊至其韌體中的安全開機資料庫，以Red Hat Enterprise Linux（RHEL）為例，安裝時會啟動名為shim的小型第一階段開機載入程式，shim會驗證後續的應用程式，並僅允許同樣完成正確簽署程序的應用程式執行，而紅帽提供的shim內嵌一個或多個專屬於RHEL的公開憑證，有了這些憑證，可允許後續階段進行開機：包括GRUB開機載入程式、系統核心、統一核心映像（UKI）等。若這個信任鏈中的任何元件未經正確簽署，開機程序將無法繼續。</p> <p>所謂的shim，是指Linux發行版為了相容UEFI Secure Boot而設計的「過渡式（bridge）」第一階段開機程式。在大部分電腦上，UEFI韌體內建信任的是微軟的Secure Boot憑證，而不是各家Linux發行版的憑證。因此 Linux社群想要在不要求使用者手動關閉Secure Boot的情況下開機，就需要被微軟簽署過的小型程式，而shim是由微軟的Secure Boot憑證簽署的元件，當微軟停止使用2011憑證簽署新的shim後，Linux發行版必須改用新的2023憑證。</p> <p><a href="https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e" target="_blank">微軟於5月更新Secure Boot憑證支援說明</a>，包括Microsoft Corporation KEK CA 2011、Microsoft UEFI CA 2011，以及Microsoft Windows Production PCA 2011等憑證，將分別於2026年6月至10月到期；對應的新憑證包括Microsoft Corporation KEK 2K CA 2023、Windows UEFI CA 2023，以及Microsoft Option ROM UEFI CA 2023。</p> <p class="rtecenter"><a href="http://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e" target="_blank"><img alt="" src="/sites/default/files/images/0612-%20Secure%20Boot-600.png" style="width: 500px;" /></a></p> <p>微軟表示，未更新至2023年憑證的Windows裝置仍可正常開機並接收一般Windows更新，但未來將無法取得Windows開機管理程式（Windows Boot Manager）、Secure Boot資料庫與撤銷清單等開機程序信任鏈相關更新，也可能無法部署開機層級漏洞的防護措施。</p> <p><a href="http://www.redhat.com/en/blog/expiration-secure-boot-signing-certificates-2026" target="_blank">紅帽則提醒RHEL用戶</a>，微軟自2025年10月起，以2011年與2023年兩組金鑰簽署Linux開機載入器shim，分別為Microsoft Windows UEFI Driver Publisher（2011年憑證），以及Microsoft UEFI CA 2023（2023年憑證）；但2026年6月之後，新版shim將僅以2023年金鑰簽署。Red Hat已為受支援的RHEL 9與RHEL 10提供雙簽署shim，RHEL 8也預計於2026年6月取得更新。該公司建議管理員更新韌體中的Secure Boot資料庫，以及shim元件，但不應移除或撤銷2011年憑證。</p> </div></div></div>
6/12 11:13作者王珮瑤https://www.ithome.com.tw/news/176561
Google發布Chrome 149更新，修補近30個弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月11日Google發布<strong><a href="https://chromereleases.googleblog.com/2026/06/stable-channel-update-for-desktop_01962725236.html">電腦版</a></strong>與<strong><a href="https://chromereleases.googleblog.com/2026/06/chrome-for-android-update_0543402751.html">Android版</a></strong>Chrome 149更新，總共修補28個資安弱點，其中有5個為重大等級，用戶應儘速升級至149.0.7827.114或149.0.7827.115版修補。值得留意的是，此為Google在一週內第二次發布更新，距離<strong><a href="https://www.ithome.com.tw/news/176455">上次更新</a></strong>只有3天，相當罕見。</p> <p>從漏洞的類型來看，記憶體相關的弱點占多數，其中又以記憶體釋放後再存取使用（Use After Free）有12個最多。未受信任輸入驗證不充分的弱點居次，有5個。</p> <p>這次修補的5個重大漏洞，分別存在於Core、DigitalCredentials、Accessibility、GPU，以及WebMIDI元件，被登記為<strong><a href="https://www.tenable.com/cve/CVE-2026-12007">CVE-2026-12007</a></strong>、<strong><a href="https://www.tenable.com/cve/CVE-2026-12008">CVE-2026-12008</a></strong>、<strong><a href="https://www.tenable.com/cve/CVE-2026-12009">CVE-2026-12009</a></strong>、<strong><a href="https://www.tenable.com/cve/CVE-2026-12010">CVE-2026-12010</a></strong>、<strong><a href="https://www.tenable.com/cve/CVE-2026-12010">CVE-2026-12011</a></strong>，雖然Google沒有透露風險評分，但根據漏洞管理解決方案公司Tenable的資料庫，僅有CVE-2026-12007的CVSS評分為8.8，其餘4個都是達到9.6分的高危險漏洞。</p> <p> </p> </div></div></div>
6/12 09:25作者周峻佑https://www.ithome.com.tw/news/176554