iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 28篇
近 24 小時: 31篇
近 7 天: 135篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 17:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 131 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

中國駭客Earth Lusca打造惡意軟體SprySOCKS變種，於政府機關從事攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">一般而言，Windows作業系統是駭客主要的攻擊目標，他們會專門為該平臺打造惡意程式，後續為擴大攻擊範圍，再移植、開發Linux與macOS平臺版本，不過最近有駭客組織反其道而行，製作Linux惡意程式的Windows變種，來從事攻擊活動。 <a href="https://www.welivesecurity.com/en/eset-research/fishmongers-arsenal-upgraded-sprysocks-windows/">資安公司ESET指出</a>，他們發現中國駭客組織Earth Lusca（TAG-22、Aquatic Panda、FishMonger），將原本針對Linux環境的後門程式SprySOCKS，開發出衍生的Windows版本，他們起初在VirusTotal發現惡意檔案，進一步比對遙測資料，結果這些駭客在2023至2024年用於攻擊行動，受害組織主要是政府機關，範圍涵蓋臺灣、宏都拉斯、泰國和巴基斯坦。 ESET一共看到兩種Windows版的SprySOCKS變種，駭客命名為WIN_DRV與WIN_PLUS，兩者都嵌入寫死的（Hardcoded）C2組態設定，支援TCP、UDP、WebSocket通訊協定，攻擊者可下達超過30種命令，涵蓋系統資訊收集、列出正在執行的所有處理程序，以及對受害電腦的檔案管理能力。其中又以WIN_DRV較為特別，此惡意程式內建核心驅動程式RawWNPF，可隱藏後門的網路連線、執行程序、相關檔案及機碼，並啟用TCP流量轉發功能，使攻擊者無需知道後門真實監聽連接埠，即可透過受害裝置電腦開放的任何TCP埠發送指令。 值得留意的是，在部分活動裡，SprySOCKS攻擊情境疑似涉及UEFI開機流程，駭客有可能利用CVE-2023-24932繞過安全開機防護機制。 </div></div></div>
6/17 12:21作者周峻佑https://www.ithome.com.tw/news/176684
Linux基金會成立由Databricks貢獻的OpenSharing專案，推動AI資產與資料交換標準化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.linuxfoundation.org/press/linux-foundation-announces-opensharing-project-to-standardize-ai-asset-and-data-exchange" target="_blank">Linux基金會（The Linux Foundation）於6月10日宣布成立OpenSharing Project</a>，這項專案源自資料與AI平臺業者Databricks的貢獻，是一個強調開放與廠商中立（vendor-neutral）的交換協定，用於建立跨雲端、跨資料平臺的共通交換規範，讓企業能安全分享資料、AI模型與代理技能（Agent Skills）等資產。 Linux基金會指出，企業導入代理型AI時，若缺乏共通交換協定，往往必須依賴點對點整合或專有市集，限制跨組織協作與AI資產交換。OpenSharing以<a href="https://www.databricks.com/company/newsroom/press-releases/databricks-unveils-delta-sharing-the-worlds-first-open-protocol-for-real-time-secure-data-sharing-and-collaboration-between-organizations" target="_blank">Databricks於2021年推出的Delta Sharing開放協定</a>為基礎，將原本用於跨組織資料分享的能力，延伸至代理型AI應用所需的非結構化資料、AI模型與代理技能。 <a href="https://github.com/OpenSharing-IO/OpenSharing" target="_blank">根據OpenSharing在GitHub儲存庫的說明</a>，該協定採零複製分享（zero-copy sharing）模式，資產仍保留在資料提供者的儲存環境，由分享伺服器核發短效、限定存取範圍的雲端憑證，讓接收方直接存取資料表、檔案目錄、機器學習模型或代理技能。 Linux基金會也說明，OpenSharing將延續Delta Sharing既有連接器生態系，並擴大對Apache Iceberg等開放資料表格式的支援，提升互通性。透過Linux基金會託管，OpenSharing也將以社群治理方式推動，降低企業在不同資料湖、資料倉儲或分析平臺之間重複開發與維護客製化整合方案的需求。 </div></div></div>
6/16 10:24作者王珮瑤https://www.ithome.com.tw/news/176634
【資安日報】6月15日，美國政府禁止外國人士使用Claude Fable
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176598">美政府要求封鎖他國用戶存取Claude Fable與Mythos，Anthropic全面暫停提供</a> 甫於6月9日發表的Claude Fable 5與Mythos 5模型，Anthropic於12日表示暫時必須被迫對所有用戶關閉，原因是他們接獲美國政府發出的出口管制命令，要求中止所有非美國籍人士存取這些模型，無論這些用戶位於美國境內或境外，即使是Anthropic的外籍員工，也在管制命令的範圍裡。美國政府祭出管制命令的原因，Anthropic認為可能與模型遭到越獄有關。該公司強調，Opus 4.8與其他模型存取不受影響。 <a href="https://www.ithome.com.tw/news/176545">Anthropic調整Mythos級模型資料留存政策，提示詞與輸出將保留30天</a> Anthropic調整包括Claude Mythos 5與Claude Fable 5模型的資料留存政策，基於其信任與安全目的，保留使用者提交給這類模型的提示詞與模型輸出30天。該政策已於2026年6月9日起生效，主要影響原本採用零資料留存（Zero Data Retention，ZDR）的企業與雲端服務客戶；其他模型與未採用ZDR的使用情境，則維持既有條款。制訂這項新政策的原因，在於部分濫用行為無法只從單一次請求判斷，必須跨多次提示詞與輸出觀察模式才能確認。 <a href="https://www.ithome.com.tw/news/176585">製藥巨擘諾和諾德遭駭，外洩臨床試驗病患資料</a> 丹麥製藥業巨擘諾和諾德（Novo Nordisk）於6月11日公告，內部IT系統遭未授權存取，導致參加臨床試驗的病人資料外洩。駭客存取了部分IT系統，並且複製部分未公開資訊。諾和諾德說明，事件影響了參與公司某些臨床測試的病患資訊。但該公司強調，這些資訊並未直接連結這些病患的姓名或其他可辨識身分的屬性，這是因為可辨識身分的資訊需要其他存取管道。因此這家藥廠相信，這次事件不會造成受測者身分曝光。 <a href="https://www.ithome.com.tw/news/176591">九州電力送配電遺失備份裝置，1,090萬用戶資料面臨外洩風險</a> 日本九州電力旗下九州電力送配電於6月8日公告，用來備份部分系統資料的外接儲存裝置遺失，內含最多1,090萬用電帳戶的資料，包括姓名、供電地址、用電量，以及電話號碼等，但未含銀行帳戶及信用卡資訊。該公司在4月27日完成備份後，確認已將外接儲存裝置放在櫃子內，但5月26日要再進行定期備份時，就找不到該裝置了。九州電力送配電也曾詢問在這期間曾經出入機房的人員並進行現場調查，迄今仍未尋獲。 <a href="https://www.ithome.com.tw/news/176587">駭客宣稱竊走Dynatrace數百個GitHub儲存庫，外洩原始碼、公司資料</a> <a href="/sites/default/files/images/dynatrace-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/dynatrace-1-63.jpg" style="width: 300px; float: right;" /></a> AI基礎架構效能監控及安全供應商Dynatrace傳出GitHub儲存庫遭竊，駭客存取246個儲存庫，導致公司基礎架構資訊、軟體原始碼與員工資料外流。代號為xpI0itrs駭客在駭客論壇上張貼Dynatrace GitHub資料的兜售訊息，宣稱是利用廠商私有存取令牌（PAT）得逞，內容包含內部基礎架構、CI/CD管線、Kubernetes叢集管理資訊、敏感基礎架構細節、組織架構，以及特定專案的員工資訊，檔案大小為8.46 GB，開價1.2萬美元。不過，迄今Dynatrace尚未對外針對此事作出說明。 <a href="https://www.ithome.com.tw/news/176592">Arch Linux套件庫AUR爆供應鏈攻擊，孤兒套件遭接管，被用於散布惡意程式</a> 以提供用戶高度自由的Linux發行版Arch Linux，其社群軟體套件庫Arch User Repository（AUR）傳出供應鏈攻擊事件。軟體供應鏈安全業者Sonatype於6月11日揭露，攻擊者鎖定存放在AUR的無人維護套件，在接手合法套件後修改PKGBUILD或安裝指令，使使用者在建置或安裝套件時，透過NPM下載惡意套件atomic-lockfile，進而執行Linux惡意酬載。Sonatype後續更新指出，初步估計受影響套件總數可能接近1,500個。 <a href="https://www.ithome.com.tw/news/176589">法國政府通訊平臺Tchap發生帳號冒用事件，逾7.3萬名公部門人員受影響</a> 法國政府加密即時通訊平臺Tchap發生安全事件。負責Tchap的營運單位法國跨部會數位事務局（Direction interministérielle du numérique，DINUM）於6月8日公告，6月7日其中一個Tchap使用者帳號遭冒用，攻擊者藉此查看該帳號可存取的公開對話內容。DINUM表示，已與法國國家資訊系統安全局（ANSSI）協調分析此事，並封鎖涉案帳號。DINUM估計，Tchap超過82.5萬名使用者中，有73,467人可能受影響，占整體近9%。 <a href="https://www.ithome.com.tw/news/176600">澳洲第二大製糖業者Mackay Sugar遭網路攻擊，兩糖廠營運停擺並迫使農戶暫停收割</a> 澳洲第二大製糖公司Mackay Sugar遭遇嚴重資安事故，導致昆士蘭麥凱地區的兩座糖廠營運中斷。由於該公司生產的粗糖經常外銷至亞太多個國家的精煉廠，這起事件不僅突顯農工業供應鏈面臨網路威脅時的脆弱，後續是否影響國際市場與產業鏈，亦值得持續關注。這起攻擊事件發生於6月10日，正值磨坊榨糖作業（crushing）剛啟動之際，造成該公司Farleigh與Racecourse糖廠的製糖與甘蔗運輸作業全面停擺，甚至被迫向麥凱地區的種植者發出停止收割通知。 <a href="https://www.ithome.com.tw/news/176603">中國駭客組織Velvet Ant滲透關鍵基礎設施，潛伏隔離網路環境近十年</a> 資安公司Sygnia在兩年前揭露中國駭客組織Velvet Ant的網路間諜活動，這些駭客曾利用F5 BIG-IP負載平衡設備建立持續存取管道，也有利用思科網路設備作業系統零時差漏洞CVE-2024-20399滲透受害組織的記錄，然而該公司發現，這些駭客也染指隔離網路環境，潛伏近十年才被發現。Sygina近日公布Operation Highland攻擊行動，Velvet Ant至少從2016年開始，在完全與網際網路隔離的關鍵基礎設施網路潛伏將近十年而未被察覺。 <a href="https://www.ithome.com.tw/news/176583">中國駭客瞄準缺乏EDR防護的邊界設備，藉Brickstorm後門潛伏18個月</a> 資安業者Volexity揭露，中國駭客組織UNC5221（VerdantBamboo）在長期入侵事件中，將惡意程式放在企業邊緣與基礎設施，再利用Brickstorm後門提供的代理連線能力和遭竊憑證，存取受害組織的Microsoft 365環境。該做法讓攻擊流量更像來自企業內部網路，進而避開原本用來限制外部登入的條件式存取政策。Volexity察覺此事的過程，在於他們發現受害的Egnyte Storage Sync系統，此平臺連到攻擊者控制並透過Cloudflare代理的網域。 <a href="https://www.ithome.com.tw/news/176593">AI開發平臺Langflow路徑遍歷漏洞已被用於實際攻擊</a> <a href="/sites/default/files/images/1781017392750-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1781017392750-63.jpg" style="width: 300px; float: right;" /></a> 近日資安公司VulnCheck警告，他們於6月8日發現有人嘗試利用CVE-2026-5027的跡象，此為大型語言模型開發工具Langflow的路徑遍歷漏洞，攻擊者有機會用來遠端執行任意程式碼，該公司看到有人在蜜罐陷阱試圖利用漏洞，並成功進行路徑遍歷，寫入看起來像是測試用的檔案。Langflow開發團隊於3月底發布0.8.3版langflow-base元件首度處理該問題，後續開發團隊於6月11日向Tenable回覆，已在Langflow 1.9.0完成修正。VulnCheck強調，由於Langflow預設允許未經授權的自動登入，因此攻擊者有機會在沒有事先取得憑證的情況下存取Lagflow的端點，進而利用弱點。 <a href="https://www.ithome.com.tw/news/176590">CISA將Oracle PeopleSoft零時差漏洞列入KEV</a> 上週Oracle警告企業應用系統平臺PeopleSoft PeopleTools存在重大漏洞CVE-2026-35273，呼籲用戶應立刻採取行動緩解風險，Mandiant與Google威脅情報團隊（GTIG）指出，駭客組織ShinyHunters（UNC6240）在Oracle發布公告之前就積極利用，6月12日美國網路安全與基礎設施安全局（CISA）表示已掌握CVE-2026-35273遭積極利用的證據，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構於6月15日前完成修補。 <a href="https://www.ithome.com.tw/news/176601">遠端管理工具SimpleHelp修補重大身分驗證繞過漏洞，未更新可能導致攻擊者取得管理權限</a> 遠端管理工具平臺SimpleHelp近日發布更新，修補重大身分驗證繞過漏洞CVE-2026-48558，CVSS嚴重性評分達滿分10.0，未經驗證的遠端攻擊者可利用漏洞偽造身分資訊，建立技術人員（Technician）帳號，甚至繞過多因素驗證（MFA），受影響版本包括5.5.15與更早版本，以及6.0系列預覽版本，問題源自SimpleHelp的OpenID Connect（OIDC）身分驗證流程，未正確驗證身分權杖（Identity Token）的加密簽章而導致存在弱點。 <a href="https://www.ithome.com.tw/news/176577">Splunk發布6月安全更新，修補可讓攻擊者清空檔案的重大漏洞</a> 思科旗下Splunk本星期發布安全更新，修補12項漏洞，包括重大漏洞CVE-2026-20253，此弱點允許未經驗證的攻擊者建立或清空檔案，影響Splunk Enterprise與Splunk Cloud Platform部分版本。該漏洞發生的原因，在於資料庫元件PostgreSQL的sidecar服務端點缺乏身分驗證控制，可讓任何能存取網際網路的攻擊者，未經驗證就能透過PostgreSQL sidecar服務在系統上建立或清空任意檔案。本漏洞CVSS風險值達到9.8。 <a href="https://www.ithome.com.tw/news/176575">GitLab修補12個漏洞，最高風險可能導致帳號接管</a> 資安業者Palo Alto Networks指出，攻擊者利用Microsoft Teams等企業協作工具發動社交工程與網釣攻擊，藉由員工對內部溝通平臺的信任，假冒IT支援人員或服務供應商誘騙受害者。攻擊者可能透過Teams傳送外部聊天邀請，聲稱使用者帳號出現異常，要求對方核准多因素驗證（MFA）請求，或依指示重設憑證。由於訊息出現在Teams而非電子郵件，員工可能降低戒心。該公司強調，這類手法並非個案，已有駭客組織APT29、UNC6692用於實際活動。 <a href="https://www.ithome.com.tw/news/176596">供應鏈安全框架SLSA解析Mini Shai-Hulud事件，驗證NPM套件安全不能只看簽章</a> 軟體供應鏈安全框架SLSA（Supply-chain Levels for Software Artifacts）專案於5月15日發布文章，針對Mini Shai-Hulud NPM供應鏈攻擊，說明SLSA能協助驗證什麼，以及它無法單獨解決哪些問題。開源軟體安全基金會OpenSSF也於6月10日轉載這篇由Red Hat工程師Andrew McNamara撰寫的文章，提醒開源社群，即使NPM套件附有可驗證的來源證明（provenance），建置與發布流程還是有可能遭到攻擊者介入或濫用。 <a href="https://www.ithome.com.tw/news/176561">微軟Secure Boot舊版憑證2026年陸續到期，紅帽提醒RHEL用戶更新韌體信任資料庫</a> 開源軟體與企業Linux業者紅帽（Red Hat）6月10日提醒，微軟安全開機（Secure Boot）機制使用的多張2011年版簽章憑證，將於2026年陸續到期，企業應確認UEFI韌體中的Secure Boot資料庫是否已納入2023年版憑證，以確保後續可取得開機安全相關更新。若系統韌體的Secure Boot 資料庫沒有包含2023年版憑證，未來可能無法啟動新的開機元件。前述問題與名為shim的第一階段開機程式有關，此為由微軟的Secure Boot憑證簽署的元件。 <a href="https://www.ithome.com.tw/news/176548">當數位信任躍升企業戰略核心，國際電腦稽核協會推動以DTEF框架落實韌性與企業治理</a> 【臺灣資安大會直擊】隨著數位科技深度滲透社會，數位信任已成為企業維繫營運與競爭力的重要條件。國際電腦稽核協會（ISACA）臺灣分會副會長陳政龍在2026臺灣資安大會，針對管理階層如何促進數位信任進行深度剖析，並介紹ISACA近年推動的「數位信任生態系框架」（Digital Trust Ecosystem Framework，DTEF），帶領產業重新思考數位信任架構下的治理思維。具體而言，DTEF模型是由四大節點構成核心，並由六大領域作為節點之間的連結。 <a href="https://www.ithome.com.tw/news/176433">Apache軟體基金會董事Justin Mclean指出，企業只用開源卻不參與，恐承擔更高風險</a> Apache軟體基金會（ASF）董事Justin Mclean在Computex論壇活動指出，開源已成為AI與數位基礎設施的核心，企業面臨的問題已從過往的是否採用，演變成選擇成為被動的使用者，或是積極參與的貢獻者。當企業將開源視為關鍵基礎設施，卻從未參與相關社群時，不僅無法影響技術發展方向，也難以提前掌握重大變化，反而可能承擔更高的技術與營運風險。當關鍵功能調整、架構改版或維護策略改變時，企業往往只能被動接受結果。 <a href="https://www.ithome.com.tw/news/176473">新加坡揭露公共服務導入AI代理的風險</a> 新加坡政府日前發表AI Agents Sandbox白皮書，揭露與Google合作的AI代理沙盒測試成果，評估AI代理是否能安全應用於公共服務場景。該計畫是在2025年8月啟動、歷時約4個月，重點測試可操作電腦與瀏覽器的AI代理，在政府服務流程中執行多步驟任務的能力與風險。結果顯示，AI代理在政府網站品質檢測中表現穩定，但是在長篇回應記錄時，仍可能出現資訊遺漏或幻覺問題。此外，AI代理具備瀏覽與操作外部網站能力，需防範間接提示注入等攻擊手法。 近期資安日報 <a href="https://www.ithome.com.tw/news/176576">【6月12日】Oracle PeopleSoft零時差漏洞被用於大規模攻擊</a> <a href="https://www.ithome.com.tw/news/176543">【6月11日】Exchange Online傳出可被用於欺騙的資安漏洞</a> <a href="https://www.ithome.com.tw/news/176520">【6月10日】Anthropic推出具有Mythos能力的Claude Fable 5</a> </div></div></div>
6/15 16:16作者周峻佑https://www.ithome.com.tw/news/176604
中國駭客組織Velvet Ant滲透關鍵基礎設施，潛伏隔離網路環境近十年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">資安公司Sygnia在兩年前揭露中國駭客組織Velvet Ant的網路間諜活動，這些駭客<a href="https://www.ithome.com.tw/news/163512">曾利用F5 BIG-IP負載平衡設備建立持續存取管道</a>，也有利用思科網路設備作業系統零時差漏洞<a href="https://www.ithome.com.tw/news/163736">CVE-2024-20399</a>滲透受害組織的記錄，然而該公司發現，這些駭客也染指隔離網路環境，潛伏近十年才被發現。 Sygina近日公布<a href="https://www.sygnia.co/blog/operation-highland-velvet-ant/">Operation Highland攻擊行動</a>，Velvet Ant至少從2016年開始，在完全與網際網路隔離的關鍵基礎設施網路潛伏將近十年而未被察覺。Sygina認為，這是迄今Velvet Ant最為複雜精密的攻擊活動。 在整個攻擊活動裡，Velvet Ant採取三階段滲透策略，逐步突破層層防線。首先，他們在面向網際網路的伺服器上部署GS-Netcat，作為反向Shell及SOCKS5代理伺服器，並將其偽裝成Chrome服務或系統處理程序，以規避資安偵測，建立初始存取管道。接著，該組織利用Nginx與FastCGI建立執行命令的橋樑，透過HTTP請求穿越IT網路環境，在無需對目標建立直接連線的情況下，即可抵達隔離網路環境的關鍵基礎設施網段。最終，攻擊者篡改Linux PAM認證模組與OpenSSH程式，植入後門密碼並竊取憑證，同時在authorized_keys中植入公鑰，建立三重持久化機制，將整個環境置於自身掌控之下。 此次行動最引起Sygina注意的地方，在於攻擊者選擇控制身分驗證的環節，而非僅在系統上留下惡意程式。Sygnia在多臺主機發現9種不同版本的後門化PAM模組，這些惡意模組透過完全不同的開發環境編譯而成，顯示此攻擊行動背後有龐大資源支撐、組織高度嚴密，且具備針對不同目標環境量身打造工具的能力。由於攻擊者控制管理員用來遠端管理主機的核心元件，光是執行更換密碼等傳統應變措施，在此幾乎完全失效。該公司提及，若是受害組織的IT人員處理不慎，有可能被鎖死在系統外，甚至造成關鍵基礎設施的系統服務中斷。 </div></div></div>
6/15 13:02作者周峻佑https://www.ithome.com.tw/news/176603
Arch Linux AUR爆供應鏈攻擊，孤兒套件遭接手散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">Arch Linux社群套件庫AUR（Arch User Repository）傳出供應鏈攻擊事件。<a href="https://www.sonatype.com/blog/atomic-arch-npm-campaign-adds-malicious-dependency" target="_blank">軟體供應鏈安全業者Sonatype於6月11日揭露</a>，攻擊者鎖定存放在AUR的無人維護套件，在接手合法套件後修改PKGBUILD或安裝指令，使使用者在建置或安裝套件時，透過NPM下載惡意套件atomic-lockfile，進而執行Linux惡意酬載。 <a href="https://thehackernews.com/2026/06/over-400-arch-linux-aur-packages.html" target="_blank">The Hacker News報導指出</a>，社群已盤點超過400個AUR套件遭接手並竄改建置腳本，Arch Linux官方套件庫未受影響。Sonatype後續更新指出，相關活動可能已擴大為多次攻擊，初步估計受影響套件總數可能接近1,500個，且調查仍在進行。 <a href="https://socket.dev/npm/package/atomic-lockfile">根據NPM套件安全平臺Socket安全分析報告頁面顯示</a>，NPM安全團隊已將包含惡意程式碼的atomic-lockfile 1.4.2版自NPM套件登錄庫移除；目前Socket列出的是安全保留版本0.0.1-security。Sonatype指出，6月12日又出現第二波活動，部分遭竄改的AUR套件改用Bun安裝路徑，並透過js-digest、lockfile-js等惡意套件散布酬載，顯示攻擊者已更換安裝路徑與惡意依賴組合。 <a href="https://ioctl.fail/preliminary-analysis-of-aur-malware/" target="_blank">獨立研究人員Whanos分析</a>，惡意程式主要鎖定開發者工作站與建置環境，可蒐集Slack、Microsoft Teams等協作與通訊軟體資料，以及GitHub、NPM、HashiCorp Vault權杖、SSH金鑰、Docker／Podman憑證，還包括VPN設定檔。 The Hacker News引述研究分析提醒，曾執行相關酬載的主機應視為憑證可能外洩，並全面輪替帳號憑證、權杖與金鑰。<a href="https://lists.archlinux.org/archives/list/[email protected]/thread/FGXPCB3ZVCJIV7FX323SBAX2JHYB7ZS4/" target="_blank">Arch Linux社群維護者表示</a>，正陸續重設或刪除惡意提交，並封鎖涉案帳號。 </div></div></div>
6/15 10:54作者王珮瑤https://www.ithome.com.tw/news/176592
中國駭客瞄準缺乏EDR防護的邊界設備，藉Brickstorm後門潛伏18個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">資安業者Volexity<a href="https://www.volexity.com/blog/2026/06/04/verdantbamboo-just-another-brickstorm-in-the-firewall/">揭露</a>，中國相關駭客組織VerdantBamboo（UNC5221）在一起長期入侵事件中，將惡意程式放在企業邊界與基礎設施設備上，再利用Brickstorm後門提供的代理連線能力和遭竊憑證，存取受害組織的Microsoft 365環境。該做法讓攻擊流量更像來自企業內部網路，進而避開原本用來限制外部登入的條件式存取政策。 研究人員是在調查異常網路流量時，發現這起VerdantBamboo入侵事件。受害環境中有一臺執行Egnyte Storage Sync的Linux虛擬機器設備，該設備未連往Egnyte相關網域，而是連到攻擊者控制並透過Cloudflare代理的網域。研究人員後續取得系統快照分析，確認該設備已遭植入Brickstorm。 調查發現，攻擊者使用Storage Sync系統上的服務帳號登入設備。該組密碼原本已由受害組織的委外管理服務供應商變更，因此Volexity研判攻擊者應是從該供應商取得這組憑證。攻擊者接著利用帳號權限設定上的缺陷，取得可寫入系統目錄的能力，將Brickstorm放進需要高權限才能操作的位置，並在需要時手動啟動後門。 研究人員指出，Brickstorm與另一個備援用的AGENTPSD惡意程式，至少已在Storage Sync設備上存在18個月。AGENTPSD以Python撰寫，功能較簡單，可讓攻擊者在主要後門失效時重新取得遠端命令執行能力，但在這起事件未被觀察到實際運作。 受害組織初步處置後，VerdantBamboo又重新進入網路。研究人員發現，受害組織防火牆的管理介面暴露在網際網路上，攻擊者使用未受多因素驗證保護的管理員憑證登入，啟用網頁式SSL VPN，再轉進內部系統，將另一個後門PLENET部署到Synology NAS。PLENET以.NET Core開發，並使用Native AOT編譯成獨立Linux執行檔，可執行互動式命令、檔案操作與切換指揮控制伺服器。 受害組織的委外管理服務供應商環境中，也發現pfSense防火牆遭到入侵，並被部署FreeBSD版本的Brickstorm，研究人員評估，受害組織可能是被已遭入侵的供應商波及。 在該事件中，VerdantBamboo鎖定的是防火牆、網路儲存設備、檔案同步系統等較少安裝端點偵測與回應工具的設備。研究人員認為，這些設備通常較難完整監控，也不一定讓企業取得完整系統權限，因此更容易成為長期潛伏據點。Volexity已將Egnyte Storage Sync的本機權限提升問題通報Egnyte，該問題後續在Storage Sync v13.13修補。 </div></div></div>
6/13 08:09作者李建興https://www.ithome.com.tw/news/176583
套件管理器Homebrew調整套件來源信任機制，6.0.0強化供應鏈安全與Linux沙箱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">套件管理器Homebrew專案發布<a href="https://brew.sh/2026/06/11/homebrew-6.0.0/">Homebrew 6.0.0</a>，這次更新開發團隊把重點放在套件來源信任、安全隔離與更新效率。新版增加第三方套件來源信任機制（tap trust），將內部JSON API設為預設，並在Linux導入Bubblewrap沙箱。Homebrew現在會在執行第三方tap程式碼前先確認信任狀態，並透過沙箱限制部分安裝流程，以降低惡意或遭入侵來源帶來的風險。 Homebrew是macOS與Linux常用的套件管理器，開發者可用來安裝命令列工具、函式庫與應用程式。過去使用者若加入第三方套件來源（tap），就可能在安裝套件前，讓來源中的Ruby程式碼先在本機被讀取或執行。Homebrew團隊指出，這類第三方來源可以包含任意且未經沙箱隔離的程式碼，因此6.0.0開始要求使用者在執行相關程式碼前，先明確信任該來源。 該變更主要影響非官方套件來源，新版會在評估套件定義與應用程式安裝項目前檢查來源信任狀態，也停止自動加入未受信任來源。官方維護的Homebrew來源仍預設為受信任。 Homebrew 6.0.0還把內部JSON API改為預設，原本Homebrew 5.0.0可由使用者選用，到了6.0.0則已成為預設設定。該機制會把Homebrew需要的中繼資料整合成單一下載，減少更新時的網路請求，讓套件清單更新與安裝前檢查更快。 Linux支援方面，Homebrew加入Bubblewrap沙箱，讓建置、測試與安裝後處理等階段能在更受限制的環境中執行，接近macOS既有的安全隔離作法。新版也強化安裝階段的沙箱保護，並把應用程式安裝流程中的可執行處理納入隔離範圍。 Homebrew預告macOS Intel支援退場時程。由於macOS 27（Golden Gate）將不支援Intel處理器，Homebrew將在2026年9月把macOS Intel x86_64降為第三支援層級（Tier 3），不再提供自動化測試與建置支援，也不再建立新的預先編譯二進位套件。到2027年9月，Homebrew將完全停止支援macOS Intel x86_64，並移除相關程式碼。 </div></div></div>
6/12 19:21作者李建興https://www.ithome.com.tw/news/176578
【資安週報】0608-0612，全球漏洞治理迎來新變革，美國CISA開始勒令高風險漏洞3天內須修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">繼上週印度CERT-In提出極嚴格的修補時間要求，各國是否將跟進並納入監管規範成為焦點，如今美國網路安全暨基礎設施安全局（CISA）亦祭出行動，調整漏洞管理規則，要求最高風險漏洞須在3天內完成修補。 Anthropic發表威力等同於Mythos的新模型Claude Fable 5亦成焦點，其特色在於標榜加入安全防護機制，避免用於惡意網路攻擊。 在威脅態勢方面，近期針對Check Point與思科網路設備的零時差漏洞攻擊消息，反映出攻擊者正持續鎖定邊緣裝置作為突破口，此外，多家網站傳出可疑的Polyfill登入提示，Miasma供應鏈攻擊也持續引發高度關注。 <h1>AI資安</h1> Anthropic發表新模型Claude Fable 5備受矚目，針對AI加速漏洞武器化所帶來的危機，業界也頻頻發出示警，包括使N-day風險縮短至N小時等級，以及倡議前沿AI開發者應建立協調暫停機制以防失控，必要時一起放慢或暫停開發。此外，開源社群領袖於臺灣舉行的Computex 2026上，提醒AI也將放大軟體供應鏈問題，呼籲企業應參與開源專案並改善安全。 <a href="https://www.ithome.com.tw/news/176463" target="_blank">Anthropic警告AI可在數小時內打造漏洞攻擊程式</a> <a href="/sites/default/files/images/Anthropic LLM N-day.jpg"><img alt="" src="/sites/default/files/images/Anthropic%20LLM%20N-day.jpg" style="width: 400px; float: right;" /></a> Anthropic在6月8日發表最新研究報告《Measuring LLMs' impact on N-day exploits》，指出N-day漏洞問題將變得非常嚴峻，以往修補程式發布到漏洞被利用往往需要數週甚至數月時間，因為駭客通常需要投入大量逆向工程與漏洞研究工作，如今最新模型只要比較修補前後版本差異，知道漏洞元件名稱及相關測試環境，就能建立概念驗證程式，最快案例耗時甚至不到1小時。這也顯示，N-day漏洞問題將變成「N-hour」風險，因為修補資訊公開後數小時內就可能被武器化，傳統以月為單位的修補發布與部署模式將面臨挑戰。 <a href="https://www.ithome.com.tw/news/176499" target="_blank">Anthropic發表新模型Claude Fable 5，威力等同於Mythos並加入安全防護</a> Anthropic正式發布威力等同Claude Mythos的模型Claude Fable 5，但加入安全防護以確保公眾安全，其價格也是Opus 4.8的2倍，該公司也宣布推出少數專家及研究人員專用的最新版模型Mythos 5。Fable 5除了標榜加入防護機制，其能力也是Anthropic現有公開模型最強大的，在所有AI標竿測試項目幾乎皆為最強，在軟體工程、知識工作、視覺、科學研究等領域效能優異，而且任務愈長、愈複雜，Fable 5的領先幅度愈大。 <a href="https://www.ithome.com.tw/news/176410" target="_blank">OpenSSF前總經理Brian Behlendorf：AI對開源的依賴愈深，將放大軟體供應鏈問題</a> AI浪潮讓開源軟體的重要性攀上新高，但也讓軟體供應鏈安全問題變得更加嚴峻。OpenSSF前總經理Brian Behlendorf受邀在Computex 2026的活動論壇中指出，從Log4j漏洞、XZ後門事件到PyTorch供應鏈攻擊，AI並未帶來新的資安威脅，而是將既有的開源供應鏈風險「推上火箭」，放大到前所未有的規模。他呼籲企業除了使用開源軟體，也應投入資源協助改善開源專案安全，共同建立可信任的AI基礎設施。 <a href="https://www.ithome.com.tw/news/176389" target="_blank">Anthropic稱內部逾8成正式程式碼由Claude撰寫，倡議先進AI開發者建立協調暫停機制</a> Anthropic近日發表報告《When AI builds itself》，不僅揭露該公司合併至正式程式碼庫的程式碼已有逾8成由Claude撰寫，同時主張全球應建立可驗證的協調機制，讓主要前沿AI開發者在必要時，具備共同減速或暫停開發的選項。這是因為未來可能出現「遞迴式自我改進」（Recursive Self-Improvement）的情況，也就是AI能夠自行設計與改進自己的後繼模型，若真的發生，可能成為科技史上的重大轉折，一方面可加速科學與醫療等領域進展，另一方面也可能提高人類失去控制的風險。 <a href="https://www.ithome.com.tw/news/176423" target="_blank">多倫多大學研究示警，駭客可用免費AI模型提高蠕蟲程式擴散能力</a> 加拿大多倫多大學（University of Toronto）發布研究指出，攻擊者即使未掌握先進AI模型或龐大運算資源，仍可能利用開放權重（open-weight）模型，開發具備自主調整攻擊策略能力的惡意程式，提醒企業與使用者應落實基本資安措施。 <a href="https://www.ithome.com.tw/news/176460" target="_blank">美國要求聯邦機構限期修補LiteLLM的命令注入漏洞</a>【CVE-2026-42271】 美國網路安全與基礎設施安全局（CISA）更新已遭利用的漏洞名單（KEV），增列項目之一為開源大型語言模型串接套件LiteLLM於6月8日揭露的漏洞CVE-2026-42271，這是一個命令注入類型的弱點，開發團隊BerriAI發布1.83.7版修補。同日還有另一個Check Point揭露的VPN零時差漏洞CVE-2026-50751也被納入。究竟駭客如何利用漏洞，CISA並未說明，不過在此公告之前，威脅情報公司<a href="https://www.ithome.com.tw/news/176569">Horizon3.ai亦針對</a>LiteLLM高風險漏洞CVE-2026-42271提出警告，若攻擊者串連另一個已知漏洞，將形成CVSS風險值10分的漏洞利用鏈。 <a href="https://www.ithome.com.tw/news/176440" target="_blank">公開AI代理技能市集掃描機制難擋惡意技能，OpenClaw、Cisco與Vercel相關檢測皆遭繞過</a> 資安廠商Trail of Bits近期揭露了一項研究，針對包括OpenClaw的ClawHub技能市集、思科開源的skill-scanner工具，以及Vercel旗下skills.sh市集整合的Gen Agent Trust Hub、Socket與Snyk掃描服務進行測試後，發現多個惡意技能套件均可通過上述檢測。研究人員分析指出，問題的核心並非單一掃描規則的疏漏，而是AI代理技能套件本質上混合了程式碼、文件與自然語言指令，導致現有掃描工具難以完整判斷其隱藏意圖。 <a href="https://www.ithome.com.tw/news/176414" target="_blank">研究人員以1千美元用AI發現FFmpeg 21項零時差漏洞</a> 廣泛用於各類軟體的影音核心FFmpeg，被資安業者Depthfirst以AI代理掃描發現21項零時差漏洞，而且總成本僅約1,000美元（是Anthropic使用Mythos成本的10%）。該團隊主要撰寫代理人系統來深度掃描FFmpeg的程式，並經過測試證實漏洞，目前這21項漏洞中，已有9個獲得派發CVE編號，其餘漏洞尚未獲得編號。 <a href="https://www.ithome.com.tw/news/176538" target="_blank">OpenSSL修補高風險漏洞，研究人員在AI協助下發現可導致RCE問題</a> OpenSSL近日修補18項安全漏洞，近半數由Anthropic公司協助發現，再次凸顯AI工具在發現與修補弱點方面的效益。其中高風險漏洞CVE-2026-45447尤為關鍵，研究人員透過Claude AI識別出可能導致記憶體已釋放卻仍被使用（UAF）問題，除此項外，Anthropic亦參與其餘7項漏洞的通報與修補，顯示AI驅動的分析技術已成為現代漏洞研究不可或缺的核心工具。 <a href="https://www.ithome.com.tw/news/176413" target="_blank">AI工具發現Redis重大漏洞，協助修補可能導致遠端程式碼執行的記憶體問題</a> 自主AI工具發現軟體漏洞再添案例。Redis近日修補高風險漏洞CVE-2026-23479，這項潛伏超過2年的遠端程式碼執行漏洞，是由Theori旗下自主式AI工具Xint Code所發現。Theori表示，Xint Code可自行分析大型程式碼庫並輸出結果，顯示AI已逐漸具備發掘複雜漏洞的能力。 <a href="https://www.ithome.com.tw/news/176424" target="_blank">OpenAI為ChatGPT引進Lockdown模式，透過限制部分工具存取降低提示注入攻擊風險</a> OpenAI近日為ChatGPT導入新的Lockdown Mode安全模式，透過限制網頁瀏覽、Deep Research、Agent Mode等高風險功能，降低提示注入（Prompt Injection）造成資料外洩的風險。OpenAI表示，這項功能主要針對處理敏感資料的使用情境，核心目標並非阻止提示注入本身，而是限制AI模型存取連接網站或外部服務，降低提示注入造成的風險。 <a href="https://www.ithome.com.tw/news/176474" target="_blank">Google更新NotebookLM，新增代理式研究與多格式輸出</a> NotebookLM升級，Google表示將改用Gemini 3.5並在Antigravity上運作，更重要是替每個筆記本配置安全雲端運算環境。因此，這次升級不只採用更強的模型能力，也能使NotebookLM能夠撰寫及執行程式碼，幫助使用者進行更深入與複雜的研究分析。 <a href="https://www.ithome.com.tw/news/176539" target="_blank">OpenAI、Visa合作共推AI代理安全支付技術</a> 各AI業者及雲端平臺公司都在嘗試推出自有代理支付技術以搶佔關鍵位置，國際支付卡組織Visa在6月10日宣布與OpenAI合作，將把其支付網路及安全、身分驗證技術整合到OpenAI ChatGPT使用體驗中，以實現消費者及企業AI代理式支付的安全及流暢性。雙方也計畫將支付安全機制整合到開發或業務流程中，這項合作讓開發人員或店家得以接受由AI代理啟動的Visa支付。 <a href="https://www.ithome.com.tw/news/176425" target="_blank">Anthropic揭露惡意帳號濫用Claude趨勢，中度風險以上AI輔助攻擊者占比已逾五成</a> AI公司Anthropic於6月3日發布AI輔助網路威脅分析報告，指出攻擊者濫用AI模型發動網路攻擊的情況持續增加，風險也逐步升高。該公司分析2025年3月至2026年3月間，因違反使用政策遭停權、且具備足夠活動細節可供分析的832個帳號，發現濫用Claude輔助網路攻擊的風險升高──中度以上風險行為者占比不到一年從約33%升至約56%，約為前期的1.7倍，顯示AI正在降低攻擊者執行複雜攻擊行動的門檻。 <a href="https://www.ithome.com.tw/news/176438" target="_blank">假冒Claude Code安裝網站散布惡意軟體事件又一樁，開發環境憑證遭鎖定</a> 資安公司Cyderes旗下研究團隊Howler Cell揭露，攻擊者透過偽冒Claude Code安裝網站，結合SEO污染與ClickFix社交工程手法，誘導開發者執行惡意命令，進而部署無檔案形式的.NET竊資軟體。研究人員指出，熱門AI開發工具正逐漸成為攻擊者的誘餌，鎖定開發者環境發動攻擊。 <a href="https://www.ithome.com.tw/news/176442" target="_blank">惡意Chrome擴充套件鎖定AI平臺互動內容，收集對話與敏感資料</a> 資安業者G DATA研究人員揭露，部分Chrome瀏覽器擴充套件內含惡意元件，會監控使用者與ChatGPT、Claude、Copilot等AI平臺互動內容，收集提示詞、對話紀錄與敏感資訊並外傳。這起案例顯示，攻擊者已開始將AI對話內容視為新的高價值資料來源，利用瀏覽器擴充功能竊取資料。 <a href="https://www.ithome.com.tw/news/176547" target="_blank">AI代理同樣存在遭社交工程欺騙風險，研究人員揭露OpenClaw AI代理可遭釣魚郵件誘騙洩漏敏感資料</a> Varonis研究團隊針對開源AI代理平臺OpenClaw進行安全測試，發現攻擊者可透過冒名郵件等社交工程手法，誘騙AI代理外洩AWS金鑰、資料庫憑證及客戶資料。研究顯示，AI代理雖能有效辨識惡意連結與偽造OAuth頁面，但在驗證人員身分、組織關係及授權範圍等社交層面仍相當脆弱，顯示AI代理同樣面臨社交工程風險。 <h1>資料安全</h1> 本週資料安全焦點在於Oracle PeopleSoft伺服器漏洞遭駭客鎖定，值得關注的是，這起事件恐有100多家組織遇害，同時也反映勒索軟體駭客組織ShinyHunters持續帶來的資料外洩威脅。此外，隱私強化技術（PETs）的發展亦成焦點，日前Computex活動亦展示與具身機器人結合的應用。 <a href="https://www.ithome.com.tw/news/176529" target="_blank">ShinyHunters宣稱駭入上百家Oracle PeopleSoft伺服器</a> 勒索軟體駭客組織ShinyHunters鎖定商用軟體Oracle PeopleSoft伺服器漏洞發動攻擊，該組織宣稱這波行動成功存取一百多家組織、超過300個PeopleSoft執行個體，結合軟體的舊漏洞及先前未知的零時差漏洞展開攻擊，遭駭者大部分是教育機構，其中一家受害學校是英國諾丁罕大學，根據BBC報導，該校已證實遭到網路攻擊，學校的校園方案系統遭遇非授權活動，致使課程系統儲存的「大量」學員包括現任學生、校友個資遭到存取。 <a href="https://www.ithome.com.tw/news/176534" target="_blank">ServiceNow安全缺陷遭濫用，攻擊者查詢部分客戶執行個體資料</a> 企業雲端工作流程平臺業者ServiceNow傳出安全事件，攻擊者濫用一項安全漏洞，可讓未經身分驗證的使用者在特定情況下，取得超出範圍的ServiceNow執行個體存取權限，並透過組態不良的API端點，查詢部分客戶執行個體的資料表，ServiceNow已通知受影響客戶。 <a href="https://www.ithome.com.tw/news/176462" target="_blank">學校求職網站第三方平臺漏洞遭駭，導致牛津大學學生個資外洩</a> 英國名校爆發資料外洩事件，本週牛津大學發布公告，說明求職平臺CareerConnect供應商GTI於5月28日通知學校遭到第三方人士未授權存取系統，致使用戶的姓名、電子郵件地址，以及未以單一簽入（SSO）登入系統的學生加密密碼遭駭客存取，使用SSO登入CareerConnect系統的學生密碼則不受影響。CareerConnect平臺的攻擊者身分尚未被辨識或公開。校方也提醒學生留意陌生信件或訊息，避免遭釣魚攻擊。 <a href="https://www.ithome.com.tw/news/176498" target="_blank">幫助具身機器人巡檢兼顧隱私，帝濶智慧科技展示PriviSphere Robotics平臺</a> <a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_bang_zhu_ju_shen_ji_qi_ren_xun_jian_jian_gu_yin_si_di_kuo_ke_ji_zhan_shi_privisphere_roboticsping_tai_.jpg?itok=9B8gdgkS"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_bang_zhu_ju_shen_ji_qi_ren_xun_jian_jian_gu_yin_si_di_kuo_ke_ji_zhan_shi_privisphere_roboticsping_tai_.jpg?itok=9B8gdgkS" style="width: 400px; float: right;" /></a> 隱私強化技術（PETs）發展持續備受關注，鈺創科技旗下專注於差分隱私技術的帝濶智慧科技（DeCloak），於Computex 2026現場揭示最新隱私防護技術發展，展示可將監控影像中的人物即時模糊化，並整合各類具身機器人協作應用的「PriviSphere Robotics」平臺，建構一套具備隱私感知能力的機器人協作體系。 <h1>端點安全</h1> 本週適逢每月例行更新發布，其中微軟6月修補數量達568個最受矚目，而Microsoft Defender零時差漏洞RoguePlanet的揭露亦引發熱議。此外，趨勢科技回應Deep Security Agent防護功能失效的消息，以及微軟EDR更新機制的調整，也反映端點安全防護韌性與更新效率正受各界高度重視。 <a href="https://www.ithome.com.tw/news/176497" target="_blank">微軟發布6月例行更新，修補逾560個漏洞</a> 本週微軟發布本月例行安全性更新，總共揭露與修補568個漏洞，微軟本身處理的漏洞多達206個，由第三方登記CVE編號的漏洞更是多達362個，相較於過往，單次公告的漏洞數量可說是大爆增。附帶一提的是，第三方元件漏洞有360個皆與Chrome有關，其餘兩個是由Arm與CERT/CC登記的弱點。根據CVSS風險評分來看，最嚴重的是HTTP.sys遠端程式碼執行漏洞CVE-2026-47291，風險值為9.8，而同被歸類於重大漏洞的則有3個，分別是遠端桌面遠端程式碼執行漏洞CVE-2026-42985、Windows圖形元件遠端程式碼執行漏洞CVE-2026-44803與CVE-2026-44812。 <a href="https://www.ithome.com.tw/news/176500" target="_blank">微軟修補近期受熱議的三大零時差漏洞</a> 微軟6月例行更新中最受關注的焦點之一，莫過於3個先前已遭公開的零時差漏洞。其中兩個是研究人員Chaotic Eclipse（Nightmare-Eclipse）公布的GreenPlasma與YellowKey，另一個是HTTP/2 Bomb。隨著修補釋出，CVE編號也正式公開，GreenPlasma的正式漏洞編號為CVE-2026-45586，CVSS風險評為7.8分；YellowKey的漏洞編號是CVE-2026-50507，風險值為6.8分；HTTP/2 Bomb則是CVE-2026-49160，CVSS風險評為7.5分。 <a href="https://www.ithome.com.tw/news/176503" target="_blank">研究人員揭露新的Microsoft Defender零時差漏洞RoguePlanet</a> <a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_wekphancgl.jpg?itok=8RHJCbZd"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_wekphancgl.jpg?itok=8RHJCbZd" style="width: 400px; float: right;" /></a> 在微軟發布本月例行更新數個小時之後，Chaotic Eclipse公開名為RoguePlanet的Microsoft Defender零時差漏洞，他表示，這屬於遠端程式碼執行漏洞，攻擊者利用的條件是需要引誘使用者在遠端的SMB伺服器開啟VHD或VHDX虛擬磁碟檔，成功利用漏洞後，Microsoft Defender就會覆寫該防毒軟體相關的檔案，導致遠端程式碼執行。另一種觸發RoguePlanet的結果，是造成繞過BitLocker，攻擊者必須在防毒軟體讀取特定檔案的過程裡，推送不同的資料給NTFS.sys。後續有資安公司指出漏洞確實有效，但也有資安公司指出，微軟似乎在研究員公布前已完成修補。 <a href="https://www.ithome.com.tw/news/176537" target="_blank">Linux核心再傳nftables本機權限提升漏洞CVE-2026-23111</a> 威脅情報公司Exodus Intelligence近期揭露存在於Linux核心nftables子系統的CVE-2026-23111漏洞細節，指出這項漏洞是在2025年初發現，並在2026年2月獲得修補與分配CVE編號。這項揭露的特殊點在於，漏洞源於nft_map_catchall_activate()函式中多出的一個驚嘆號（!），這個邏輯反轉錯誤導致核心在處理交易終止時，因錯誤跳過必要程序，造成鏈結參考計數異常遞減。一旦計數歸零將會進而引發UAF漏洞。 <a href="https://www.ithome.com.tw/news/176494" target="_blank">針對研究人員揭露Deep Security Agent防護功能暫時失效問題，趨勢科技表示重新載入機制屬既有設計，無須修補</a> <a href="http://www.ithome.com.tw/news/176446">資安研究人員0xMatheuZ揭露</a>，趨勢科技Linux版Deep Security Agent存在保護繞過問題，攻擊者可透過大量檔案操作觸發bmhook與tmhook元件重新載入，造成防護功能短暫失效。後續趨勢正式回應，強調相關情形屬於產品既有設計，而非安全漏洞。該公司表示，當系統因大量檔案系統事件超過資源限制時，會自動重新啟動與載入，以維持系統穩定性。趨勢科技同時表示，將持續改善檔案處理效率，降低觸發重新載入機制的機率。 <a href="https://www.ithome.com.tw/news/176541" target="_blank">俄羅斯駭客利用WinRAR已知漏洞對烏克蘭發動攻擊</a> WinRAR已知漏洞CVE-2025-8088持續遭到攻擊者鎖定利用，趨勢科技追查到兩個俄羅斯駭客組織Gamaredon（UAC-0010、Shuckworm、Earth Dahu），以及UAC-0226（Shadow-Earth-066）的漏洞利用活動，至少延續至今年4月。Gamaredon至少從去年9月起，利用此漏洞向使用者傳遞惡意HTA檔，UAC-0226則是自今年2月起，透過此漏洞散布竊資軟體GiftedCrook。 <a href="https://www.ithome.com.tw/news/176454" target="_blank">微軟調整Defender for Endpoint EDR更新機制，改由Microsoft Update派送</a> 微軟將調整企業端點安全服務Microsoft Defender for Endpoint在Windows裝置上的端點偵測與回應（EDR）更新機制。未來EDR更新將改採獨立更新機制，並由Microsoft Update提供，不再隨Windows每月例行安全更新一併發布。這項變更已於2026年5月下旬率先部署至Windows 10裝置，接下來會逐步擴及Windows 11，之後再涵蓋其他仍受Microsoft Defender for Endpoint支援的Windows版本。 <a href="https://www.ithome.com.tw/news/176553" target="_blank">Proxmox Virtual Environment發布9.2版，修補5項備受關注的Linux核心漏洞</a> 開源虛擬化平臺Proxmox Virtual Environment（Proxmox VE）發布9.2版更新，除了新增動態負載平衡等功能，也整合Linux核心修補程式，修正Copy Fail、Dirty Frag、Fragnesia、PinTheft及ssh-keysign-pwn等5項近期受到關注的漏洞。由於這些漏洞可能導致本機權限提升或敏感資訊外洩，使用Proxmox VE的用戶應儘速更新。 <h1>網路安全</h1> 網路邊界防禦持續面臨嚴峻考驗，Check Point VPN與思科SD-WAN雙雙遭零時差漏洞攻擊，其中前者已被勒索軟體Qilin用於針對性攻擊，後者的攻擊者身分尚未被揭露，這些狀況的發生，也持續反映攻擊者鎖定網路邊界設備作為發動漏洞攻擊的主要目標。 <a href="https://www.ithome.com.tw/news/176461" target="_blank">Check Point VPN遭零時差漏洞攻擊，已被用於勒索軟體Qilin活動</a>【CVE-2026-50751】 <a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_luf6wb2b3r.jpg?itok=LDyBPS1D"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_luf6wb2b3r.jpg?itok=LDyBPS1D" style="width: 400px; float: right;" /></a> 6月8日資安公司Check Point示警，最新修補的漏洞CVE-2026-50751已遭廣泛利用，呼籲用戶儘速採取行動因應。Check Point表示是在6月4日察覺可疑活動，調查後認為相關活動最早在5月7日出現，6月初漏洞嘗試利用活動數量增加，而在完成漏洞利用步驟後，駭客下載Linux版勒索軟體Qilin的二進位檔案。值得注意的是，Check Point調查攻擊基礎設施後，透露有人針對全球數十個組織發動攻擊，並預估駭客也打算利用Palo Alto Networks、Fortinet、F5等廠牌的VPN系統弱點。<a href="http://www.ithome.com.tw/news/176452">同日該公司發布資安公告</a>修補安全閘道設備Security Gateway與Spark Firewall的兩項資安漏洞，除了前述遭利用的漏洞，還修補CVE-2026-50752。<a href="https://www.ithome.com.tw/news/176460" target="_blank">美國CISA將之列入KEV並要求</a>聯邦機構4天內修補。 <a href="https://www.ithome.com.tw/news/176419" target="_blank">思科SD-WAN遭零時差漏洞攻擊，今年第7個零時差漏洞</a>【CVE-2026-20245】 6月4日思科發布資安公告，指出Catalyst SD-WAN Manager的漏洞CVE-2026-20245已遭利用，發現少數的漏洞利用活動，此為思科SD-WAN平臺今年公布的第7個零時差漏洞，該漏洞目前尚無修補程式，也沒有其他緩解措施，預計在未來的版本解決此問題，用戶應將Catalyst SD-WAN Manager升級至5月14日發布的最新版本，持續驗證邊緣裝置的組態設定是否有未經授權變更，並密切關注後續修補公告。<a href="http://www.ithome.com.tw/news/176527">後續美國CISA將此漏洞列入KEV</a>。 <a href="https://www.ithome.com.tw/news/176542" target="_blank">Arista EOS網路作業系統存在已遭利用漏洞，原廠選擇緩解措施而不發布修補程式</a> Arista Extensible Operating System（EOS）網路作業系統存在已遭實際利用的漏洞CVE-2026-7473，CISA亦已將其列入KEV清單，問題源自隧道流量解封裝機制未驗證協定類型，可能錯誤接受並處理非預期的封裝流量。由於修補可能影響既有部署環境與設定，Arista表示不計畫發布修補程式，而是建議用戶透過ACL限制封裝流量，以降低遭攻擊風險。 <a href="https://www.ithome.com.tw/news/176531" target="_blank">Ivanti修補安全閘道Sentry重大漏洞，可讓攻擊者以root權限執行程式碼</a> 企業軟體與資安設備業者Ivanti於6月9日發布安全公告，修補Ivanti Sentry兩項重大（Critical）風險等級漏洞，分別為CVE-2026-10520與CVE-2026-10523，前者是作業系統命令注入漏洞，CVSS風險分數為10.0分，可能導致攻擊者以root權限執行程式碼。後者則是驗證繞過漏洞，CVSS風險分數為9.9分，可能讓未通過身分驗證的遠端攻擊者建立任意管理員帳號，進而取得完整管理員權限。 <a href="https://www.ithome.com.tw/news/176411" target="_blank">思科企業通訊管理平臺Unified CM存在重大SSRF漏洞，恐遭用於權限提升攻擊</a> 思科修補企業通訊管理平臺Unified CM的重大漏洞CVE-2026-20230，若未修補，該漏洞可讓未登入攻擊者透過特製HTTP請求寫入檔案，日後可能被濫用於root權限提升。思科PSIRT提醒，雖然此已知漏洞尚未發現惡意利用案例，但已有概念驗證利用程式碼公開。目前Unified CM SME 14版的修補版本為14SU6，15版則為15SU5，預計於2026年9月提供，或可使用版本對應的COP修補程式。 <a href="https://www.ithome.com.tw/news/176466" target="_blank">Ubiquiti UniFi管理平臺軟體存在重大漏洞鏈，可讓攻擊者免帳密取得root權限</a> 網通設備業者Ubiquiti的UniFi管理平臺軟體UniFi OS Server存在重大漏洞鏈，涵蓋CVE-2026-34908、CVE-2026-34909與CVE-2026-34910，通報的資安業者Bishop Fox指出，其風險在於攻擊者在可連到管理介面的情況下，可能不需帳密即可繞過驗證，對系統下達指令並取得root權限。Ubiquiti已於5.0.8版修補，建議盡速更新；若更新前已遭入侵，須防範攻擊者恐已複製權杖簽章金鑰而仍可偽造管理員登入。 <h1>資安維運</h1> 本週資安維運焦點在於群創光電揭露將資安部門提升至執行長直轄的組織轉型，以及趨勢科技推出能將風險即時轉化為損失金額的量化方案，反映資安治理與風險量化管理已成為企業維運的核心。此外，智慧資安與池安量子合作推動國內PQC遷移工程，亦提醒企業需及早啟動相關作業。 <a href="https://www.ithome.com.tw/news/176441" target="_blank">將資安風險即時轉化為可能損失金額，趨勢科技首度公開CRQ預覽版</a> <a href="https://www.ithome.com.tw/sites/default/files/images/（圖6）趨勢科技Cyber Risk Quantification，CRQ_將風險程度量化成金額_攝影羅正漢.jpg"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Cyber%20Risk%20Quantification%EF%BC%8CCRQ_%E5%B0%87%E9%A2%A8%E9%9A%AA%E7%A8%8B%E5%BA%A6%E9%87%8F%E5%8C%96%E6%88%90%E9%87%91%E9%A1%8D_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 400px; float: right;" /></a> 在網路風險治理與AI驅動之下，趨勢科技首度公開CRQ預覽版，用AI幫助即時計算風險損失金額。具體而言，CRQ可透過Trend Vision One平臺XDR偵測到的實際威脅次數、針對性攻擊預測，以及比對威脅者的TTPs，同時也會結合網路風險曝險，即時計算威脅頻率與衝擊，並能細緻針對勒索軟體與資料加密或資料外洩等威脅情境，或是針對帳號管理（AC-02）、邊界保護（SC-07）等NIST CSF防護項目，預估個別項目的風險可能損失金額。 <a href="https://www.ithome.com.tw/news/176390">群創光電重新定義資安的價值，從「花錢的部門」到公司治理核心</a> 群創光電因應資安轉型，在2025年將資安部門從MIS底下獨立，提升為執行長下設的資安室，並設立資安長一職，直接向執行長報告。藉由組織的轉型，也帶動該公司資安作業流程的轉變。群創光電資通安全部資深副理蔡秉諺在臺灣資安大會2026分享這段轉型的心路歷程，他坦言：「當老闆問你，你做這件事情的價值在哪裡？」這是所有資安人最難回答的一題。 <a href="https://www.ithome.com.tw/news/176225">智慧資安攜手池安量子，啟動臺灣後量子資安元年</a> 全球各界對於後量子密碼遷移需求大增，在此態勢下，精誠資訊旗下智慧資安科技（uniXecure）與池安量子資安（CHELPIS）日前正式宣布展開策略合作，將共同推動臺灣企業的後量子密碼（PQC）遷移工程。在合作架構上，智慧資安扮演在地通路、維運與服務的角色，提供涵蓋24x7全天候監控、系統整合顧問、以及IT與資安維運的完整支援體系；池安量子則以全球領先的PQC技術堆疊為核心，帶入NIST認證的演算法函式庫、自動化盤點工具PQScan、以及橫跨通訊與儲存的全方位防護產品矩陣。 <a href="https://www.ithome.com.tw/news/176532" target="_blank">Fortinet修補沙箱系統指令注入漏洞</a> Fortinet本週揭露與修補CVE-2026-25089漏洞，影響的產品是該公司提供的沙箱檢測系統FortiSandbox，涵蓋內部與雲端部署的產品形式，廠商已針對問題版本釋出安全更新。CVE-2026-25089為FortiSandbox產品的OS指令注入漏洞，CVSS風險值達9.1。 <h1>政策法規</h1> 因應AI加速網路攻擊，繼印度CERT-In提出極嚴格的修補要求，現在美國CISA也宣布修改漏洞管理規則，改以實際攻擊風險決定優先順序，要求最高風險漏洞需在3天內修補完成。這反映出企業須調整漏洞管理流程，具備更快速、頻繁且大規模部署更新的能力，以因應資安應變時效的新常態。 <a href="https://www.ithome.com.tw/news/176536" target="_blank">美國CISA改漏洞管理規則，最高風險漏洞3天內須修補</a> <a href="/sites/default/files/images/2026-06-12_150704.jpg"><img alt="" src="/sites/default/files/images/2026-06-12_150704.jpg" style="width: 400px; float: right;" /></a> 面對AI漏洞風暴，美國網路安全暨基礎設施安全局（CISA）也調整漏洞修補政策。具體而言，過去美聯邦漏洞修補期限依兩套規則：對外公開系統按CVSS風險評級設定修補期限，重大30天、高風險60天；KEV已遭利用漏洞則由CISA個別要求，多數為14至21天。如今新版BOD 26-04指令整合兩套規則，改以實際攻擊風險決定優先順序。若漏洞同時涉及多項高風險條件的重大風險，必須在3天內完成修補，且不限工作天。 <a href="https://www.ithome.com.tw/news/176445">資安院與微軟建立國家級合作關係，公私協力資安框架邁入新紀元</a> 促進公私協力有新成果，國家資通安全研究院（資安院）與微軟簽署合作備忘錄，建立國家級戰略夥伴關係，合作框架將以試點模式推動，採取階段性、可擴展的方式逐步落地，不追求表面上的快速推進，而是著眼於能夠持續生根的實質成果，這份備忘錄涵蓋的主軸包括「深化情資共享機制」、「零信任架構的規模化落地」、「AI賦能的關鍵基礎設施防護」與「AI代理治理」。林盈達透露，此合作源於微軟北亞區負責人Marcus Bartley Johns與國安會的一次見面，提到微軟在全球幾個國家已有夥伴關係，但跟臺灣還沒有建立。由於微軟以此模式建立合作關係的國家並不多，可說是屈指可數，因此臺灣能夠獲得這樣的合作機會，更顯其重要性。 <a href="https://www.ithome.com.tw/article/175205">國家安全會議諮詢委員李育杰：國家資通安全戰略2025的訂定，是臺灣資安體制的轉型</a> 「外國人看臺灣，就像我們看臺灣治安一樣，有酒駕、有偷竊，但沒有大暴動，整體印象是正面的。我們的資安也是這樣——有資料外洩、有網路攻擊，可是基本運作看起來OK。」國家安全會議諮詢委員李育杰說，「問題是，我在這個位置，我的擔心是：敵人可能已經布好局了，只是現在還不是他的關鍵時刻。」他強調，全社會防衛韌性為資安首要支柱，資安已提升至國安與民生層次。若能培養基本驗證與查證習慣，將可以阻擋八到九成的一般性攻擊；個資外洩與詐騙問題密切相關，關鍵在全民資安意識，資安是全民責任，需公私協力推動，並警惕科技便利背後的隱私風險以提升警覺，建立國家資安防線。 <a href="https://www.ithome.com.tw/article/175242">數位發展部部長林宜敬：從「資安蜜罐」到「民主供應鏈」，臺灣是自由民主世界資安前哨站</a> 每天遭受逾260萬次駭客攻擊，臺灣已成「自由民主世界的資安蜜罐」，數位發展部部長林宜敬表示，全球ICT供應鏈已分裂為「民主」與「紅色」兩大體系，而以台積電為核心的民主供應鏈，正成為駭客透過供應商植入病毒的首要目標。為應對此威脅，臺灣主導制定了首個國際資安標準SEMI E187，要求各國加入供應鏈必須通過驗證。此標準不僅提升防禦，更為資安業者創造認證、輔導及軟硬體整合的三重商機，推動「資安廠商賺錢，同時解決國家問題」的良性生態系循環。面對2026年AI劇變，他主張以「速度」與「團隊合作」的棒球哲學帶領公部門，為臺灣留下健全的數位發展資產。 <a href="https://www.ithome.com.tw/news/176406" target="_blank">加拿大發布《AI for All》戰略，目標2034年企業AI採用率達6成</a> 加拿大總理Mark Carney在6月4日發布國家AI戰略《AI for All》，希望透過立法、投資與人才培育，加速AI在企業、教育及公共服務領域的應用。這項戰略聚焦3大推動方向，（一）建立信任，加拿大計畫更新消費者隱私與線上安全相關法規，加強保護兒童個資與線上活動，並打擊深偽（Deepfake）等AI濫用行為；（二）推出全國AI素養計畫，提供全民入門AI教育，並讓100萬名大專學生接觸AI訓練課程；（三）強化主權，希望降低對外國AI平臺與雲端服務的依賴，計畫興建公共AI超級電腦、擴充主權運算與雲端基礎設施，並持續投資AI人才與資料基礎建設。 <a href="https://www.ithome.com.tw/news/176374" target="_blank">Computex首設開源臺灣館，開源安全亦成焦點</a> 臺灣開源社群長期活躍於Linux、Kubernetes、Apache等國際專案，卻鮮少以臺灣整體生態系的名義出現在大型科技展。今年Computex電腦展中首度設立「開源臺灣館」，集結臺灣在地的開源社群能量組成臺灣隊，向國際來訪的參觀者展現臺灣開源社群的活力。現場不僅集合了15件臺灣開源社群推動的成果，今年活動也邀請Apache Software Foundation與OpenSSF的開源社群領袖來臺演說與交流，涵蓋開源治理（Open Source Governance）、開源安全（Open Source Security）、軟硬體整合以及社群協作等議題。這些主題近年已逐漸成為企業IT部門關注的重點，尤其在《歐盟網路韌性法》（Cyber Resilience Act，CRA）等法規陸續上路後，企業對開源元件管理與軟體供應鏈安全的重視程度明顯提高。 <h1>應用程式安全</h1> 供應鏈攻擊風暴正席捲軟體開發生態系。首先，Polyfill.io網域遭收購並轉變為惡意腳本來源，除已波及無印良品、東芝等國際品牌，我們另也發現臺灣部分網站亦有同樣狀況，值得留意；其次，是惡意程式Miasma（Shai-Hulud 變種）發動威脅性更高的蠕蟲式攻擊，本週相關攻擊活動與災情揭露不斷，已成為當前軟體供應鏈安全的一大警訊。 <a href="https://www.ithome.com.tw/news/176420" target="_blank">無印良品、東芝等多家網站傳出可疑的Polyfill登入提示</a> 在前端網頁開發中，用於補足瀏覽器功能的Polyfill.io，在2024年一家中國公司收購Polyfill.io網域後演變為供應鏈攻擊工具，維護Polyfill專案的原作者提醒大家儘快移除該連結。6月初日本電子電機廠商東芝（Toshiba）、無印良品（Muji）突然發布公告，指出旗下網站出現可疑的跳出式登入提示視窗，要求用戶輸入使用者名稱及密碼，意在蒐集用戶輸入憑證。根據兩家公司的調查，登入頁皆是由已變成惡意網站的https://polyfill[.]io生成，並經由CDN推送腳本程式。 <a href="https://www.ithome.com.tw/news/176502" target="_blank">Miasma蠕蟲原始碼外洩，供應鏈攻擊工具包現身GitHub</a> 惡意程式Shai-Hulud變種Miasma的擴散持續引發關注，如今Miasma蠕蟲原始碼更是出現在GitHub，資安業者SafeDep揭露此狀況並示警指出，Miasma不只是蠕蟲，而是一套完整的供應鏈攻擊工具包，內建多種模組化攻擊能力，更令人訝異的發現是，它完全不依賴傳統的C2伺服器，而是將GitHub的提交搜尋功能當作指揮通道，攻擊者可透過3條獨立的加密頻道下達指令，完全避開網路監控。 <a href="https://www.ithome.com.tw/news/176392" target="_blank">WordPress表單外掛Everest Forms Pro漏洞遭積極利用</a>【CVE-2026-3300】 WordPress外掛程式的資安漏洞揭露，最近頻頻受到矚目，專攻此領域的資安公司Wordfence近日對表單外掛程式Everest Forms Pro用戶發布警示，因為3月底公開揭露的漏洞CVE-2026-3300，開發商WPEverest於3月18日發布1.9.13版修補，但在5月16日出現大規模漏洞利用嘗試活動，當天有超過17,900次攻擊，截至目前為止已出現逾29,300次活動。對此，Wordfence呼籲用戶，應儘速升級新版外掛程式因應。 <a href="https://www.ithome.com.tw/news/176448" target="_blank">Gogs修補重大零時差漏洞</a> 自建Git程式碼版本管理系統Gogs在上個月底傳出存在重大漏洞的消息，Gogs開發團隊6月7日發布0.14.3版進行修補。但此漏洞尚無CVE編號，開發團隊表示已申請並等待指派。此為參數注入類型的弱點，CVSS v4.0評分達到9.4，通過身分驗證的攻擊者，可藉此在合併前重設程式碼基礎的操作流程中，建立採用惡意分支（branch）名稱的拉取請求，進而發動RCE攻擊。 <a href="https://www.ithome.com.tw/news/176387" target="_blank">研究人員直接公開VS Code資安漏洞，並表明對微軟漏洞通報流程失去信任</a> 資安研究人員向IT廠商通報資安漏洞的互動不良狀況，近期引發熱議，尤其是研究人員Chaotic Eclipse（Nightmare-Eclipse）與微軟之間的衝突後，如今另一位資安研究員Ammar Askar公布Visual Studio Code（VS Code）一項零時差漏洞，他同樣並未依照微軟提供的通報管道處理，而是在VS Code的GitHub專案提出議題（issue），以及發布部落格文章的方式公開漏洞。微軟在上述資訊發布後，於6月3日先後兩次進行緊急修補。 <a href="https://www.ithome.com.tw/news/176422" target="_blank">NPM套件再傳遭惡意程式Miasma供應鏈攻擊，AI程式碼工具被鎖定</a> <a href="/sites/default/files/images/NPM套件再傳遭惡意程式Miasma供應鏈攻擊.jpg"><img alt="" src="/sites/default/files/images/NPM%E5%A5%97%E4%BB%B6%E5%86%8D%E5%82%B3%E9%81%AD%E6%83%A1%E6%84%8F%E7%A8%8B%E5%BC%8FMiasma%E4%BE%9B%E6%87%89%E9%8F%88%E6%94%BB%E6%93%8A.jpg" style="width: 400px; float: right;" /></a> Miasma供應鏈攻擊引發高度關注！6月1日出現惡意程式Shai-Hulud的變種Miasma攻擊行動，駭客鎖定與Red Hat雲端服務相關的NPM套件，於6月3日至5日出現最新一波的Miasma攻擊，有57個套件被入侵，駭客上傳超過286個版本的惡意套件。其中最受到關注的部分，是感染了由社群維護的NPM套件ai-sdk-ollama，用於串接LLM框架Ollama與雲端AI網頁程式開發平臺Vercel AI，每月下載量超過12萬次；另一個Vapi推出的AI語音助理開發套件vapi-ai/server-sdk亦受研究人員關注，根據StepSecurity指出，該套件每月下載量逾40.8萬次，是本次事故受害最嚴重的套件。 <a href="https://www.ithome.com.tw/news/176426" target="_blank">惡意程式Miasma透過新型態手法Phantom Gyp發動攻擊</a> 關於惡意程式Shai-Hulud變種Miasma發動的第二波供應鏈攻擊，資安公司StepSecurity指出，這次的攻擊手法與兩天前針對紅帽的事故相當不同，駭客使用了全新攻擊手法Phantom Gyp，他們利用一個僅有157位元組的檔案，而非一般資安工具會掃描的安裝指令碼，藉此逃過大部分生命週期掃描工具的偵測，另也追蹤到資料外洩路徑指向GitHub帳戶liuende501。資安公司Wiz也對這種手法進行分析，指出先前駭客是將惡意程式碼注入package.json，而這次的手段是利用指令延伸機制，藉由名為binding.gyp的檔案，使得惡意套件在進行設定的過程裡，會在背景執行經過處理的混淆安裝程式。 <a href="https://www.ithome.com.tw/news/176432" target="_blank">微軟遭遇Miasma蠕蟲供應鏈攻擊，73個儲存庫在2分鐘遭到停用</a> Miasma蠕蟲供應鏈攻擊危害持續擴大！資安社群平臺OpenSourceMalware指出，GitHub於6月5日停用了微軟73個儲存庫，涵蓋Azure Functions、Durable Task，以及一系列AI範例應用程式，雖然用戶存取這些儲存庫只會看到此儲存庫已被停用的訊息，宣稱儲存庫違反GitHub服務條款，使得該公司停用存取權限，但原因疑似是感染Miasma。 <a href="https://www.ithome.com.tw/news/176427" target="_blank">惡意程式Miasma藉由六階段攻擊流程竊取開發環境各式憑證</a> 上週發生惡意程式Miasma攻擊ai-sdk-ollama、vapi-ai/server-sdk等AI工具NPM套件的事件，資安公司OX Security指出，這次的攻擊流程變得更加複雜，駭客利用多達15種惡意酬載來挖掘受害者資料。資安公司OX Security強調，一般的NPM供應鏈攻擊流程多半為3個階段，但這次活動多達6個階段。值得留意的是，駭客在Miasma載入工具進行了混淆與加密兩種手法進行雙重處理。 <a href="https://www.ithome.com.tw/news/176515" target="_blank">Miasma蠕蟲攻擊延伸到PyPI儲存庫</a> Shai-Hulud蠕蟲的變種Miasma肆虐，後續危害範圍延伸到PyPI生態圈！資安公司Socket揭露最新一波活動Hades，駭客至少上傳了37個PyPI惡意套件，這些惡意套件挾帶特定檔案，會在開發環境的Python啟動時自動執行，下載JavaScript執行環境Bun，然後執行經混淆處理的惡意酬載_index.js。 <a href="https://www.ithome.com.tw/news/176517" target="_blank">Miasma蠕蟲透過8階段攻擊滲透PyPI開發環境</a> 針對供應鏈蠕蟲Miasma將攻擊範圍延伸到PyPI儲存庫，資安公司StepSecurity指出，這次駭客使用的手法非常複雜，從開發環境不慎植入惡意套件後的攻擊流程，總共可分成8個階段，該攻擊手法不僅會打亂AI資安工具的檢測能力，若是受害者察覺想要轉換金鑰，還會對開發環境進行破壞。 <a href="https://www.ithome.com.tw/news/176506" target="_blank">SAP修補NetWeaver與Commerce重大漏洞</a> SAP本月例行更新共修補15個資安漏洞，其中有4個是重大等級的漏洞CVE-2026-44748、CVE-2026-27671、CVE-2026-22732、CVE-2026-40128，格外引起矚目。其中最嚴重的是CVE-2026-44748，此為SAML身分驗證當中的XML簽章包裝漏洞，影響NetWeaver AS ABAP與ABAP平臺，CVSS風險值為9.9。 <a href="https://www.ithome.com.tw/news/176447" target="_blank">相依管理工具Bundler加入冷卻期機制，供Ruby專案避開剛發布的高風險套件版本</a> 為應對供應鏈攻擊的潛在風險，RubyGems專案近期針對套件相依管理工具發布Bundler 4.0.13版，正式引入套件冷卻期（cooldown）機制。此機制的運作原理在於，當Ruby專案安裝或更新相依套件時，預設將暫時避開剛發布、缺乏市場觀察的新版本，優先選用已公開一段時間且較為穩定的版本。這項冷卻期機制的導入，目的是降低套件維護者帳號遭挾持後，惡意套件剛上架即被大量部署的供應鏈資安風險。 <a href="https://www.ithome.com.tw/news/176433" target="_blank">ASF董事Justin Mclean：只用開源卻不參與，企業恐承擔更高風險</a> 「開源讓人感覺是免費的，也讓人感覺是安全的，但事實上兩者都不是。」在Computex 2026一場論壇活動，Apache Software Foundation董事Justin Mclean直言，開源最大的風險不是程式碼，而是治理。他強調，當企業將開源視為關鍵基礎設施，卻從未參與相關社群時，不僅無法影響技術發展方向，也難以提前掌握重大變化，反而可能承擔更高的技術與營運風險。他另指出，參與開源社群並不只是出於公益精神，更是一種商業策略，確保自身業務需求能被納入考量，並將成為企業競爭力的一部分。 <a href="https://www.ithome.com.tw/news/176519" target="_blank">套件管理器NPM 12收緊安裝預設行為，相依腳本、Git與遠端網址來源將需明確允許</a> GitHub旗下套件管理器NPM團隊宣布，將調整NPM install預設安全行為，預計在7月推出的下一個主要版本NPM v12推出。這項預設安全的改變，也就是將會預設封鎖未允許的相依套件腳本，並停止預設解析Git與遠端網址套件來源。為了幫助開發團隊用戶提前應對，NPM已在11.16.0以上版本提供升級前的警示機制，可以先檢查警告以掌握受影響的套件，並盤點安裝流程與相依來源。 <h1>身分安全</h1> 郵件身分冒用新威脅浮現！Ghost-Sender漏洞可導致冒用任意身分發送網釣信件，Exchange Online（含混合部署）用戶若整合第三方過濾機制都要特別留意；先前曝光的Meta AI客服漏洞，如今公布影響2萬用戶，突顯AI自動化有可能成為身分安全隱形破口的挑戰，需要企業重視。 <a href="https://www.ithome.com.tw/news/176535" target="_blank">研究人員揭露Exchange Online資安漏洞Ghost-Sender，攻擊者能偽造任意電子郵件地址</a> <a href="/sites/default/files/images/研究人員揭露Exchange Online資安漏洞Ghost-Sender.jpg"><img alt="" src="/sites/default/files/images/%E7%A0%94%E7%A9%B6%E4%BA%BA%E5%93%A1%E6%8F%AD%E9%9C%B2Exchange%20Online%E8%B3%87%E5%AE%89%E6%BC%8F%E6%B4%9EGhost-Sender.jpg" style="width: 400px; float: right;" /></a> 隨企業軟體SaaS化，其架構漏洞亦成為資安研究焦點，6月9日資安公司InfoGuard針對Exchange Online（含混合部署）用戶警告，只要其服務整合第三方過濾機制，攻擊者有機會利用MX紀錄漏洞發動欺騙攻擊，冒用任意身分發送網釣信件。必須注意的是，這項問題似乎已出現遭到積極利用的跡象，但微軟目前尚未修補，InfoGuard呼籲用戶儘速確認是否受到影響，另架設專屬網站提供檢測工具。 <a href="https://www.ithome.com.tw/news/176524" target="_blank">網路攻擊組織UNC3753鎖定法律與金融業，假冒IT人員竊資勒索</a> Google Cloud旗下資安團隊Mandiant與GTIG揭露駭客組織UNC3753的語音網釣攻擊活動，指出今年1月至5月間有數十個美國組織成為其目標，影響遍及專業服務、法律與金融服務業，攻擊者初始入侵手法是，冒充企業IT服務臺或資安人員，透過電話社交工程誘使員工開啟視訊會議或螢幕分享軟體，進而安裝遠端管理工具，搜尋並竊取敏感資料。而在冒充致電受害員工之前，攻擊者會以日常業務信件作為開場，例如先以個人email帳號在即時通訊發送簡短訊息，內容沒有惡意檔案，目的是建立後續來電的情境 <a href="https://www.ithome.com.tw/news/176505" target="_blank">Meta證實有2萬個Instagram帳號因Meta AI漏洞被盜，時間長達1.5個月</a> 先前傳出攻擊者濫<a href="https://www.ithome.com.tw/news/176275">用Meta AI客服支援機制</a>並接管他人IG帳號，Meta本週證實此事源自Meta AI支援工具存在一項漏洞遭濫用，Meta在5月31日發現此事後，立即將該AI支援工具關閉，並將所有密碼重設連結註銷。估計從4月中到5月，超過2萬用戶受害。根據Meta向美國緬因州檢察長辦公室的通報文件，該漏洞影響時間從2026年4月17日到5月31日止，受害者人數為20,225人。 <a href="https://www.ithome.com.tw/news/176507" target="_blank">蘋果Safari能自動變更外洩密碼、通知網站新動態、還能生成用戶想要的外掛</a> 本週登場的蘋果開發者大會期間，該公司宣布Safari新增功能，包含能自動變更密碼的代理人Passwords、及告知網頁新資訊的代理人Notify Me，以及讓用戶口說生成外掛的Describe an Extension及依主題組織分頁的新功能。以密碼安全性強化功能而言，Safari原本就能針對弱密碼及外洩密碼發出警告，如今在Apple Intelligence協助之下，新增了代理人功能Passwords，能代替用戶登入網站並更新為強密碼。 <a href="https://www.ithome.com.tw/news/176394" target="_blank">NTLM協定安全問題又一樁，Windows Search URI問題可能導致NTLM驗證資訊外洩</a> 微軟已宣布將在未來Windows版本中關閉不安全的NTLM協定，但在NTLM完全退場前，企業仍需持續面對相關威脅。資安公司Huntress研究人員近日便揭露一項新的NTLM相關安全問題，源自Windows Search URI處理程序，攻擊者可利用特製連結，誘使Windows自動對遠端SMB位置發起驗證，導致Net-NTLMv2資訊外洩，此問題再度凸顯NTLM機制帶來的安全風險。 <h1>IoT/OT安全</h1> 自動儲槽計量系統（ATG）的曝露風險，以及老舊DD-WRT開源路由器韌體遭殭屍網路大規模利用的消息，顯示威脅情勢正持續升溫，成為本週IoT/OT安全關注焦點。此外，無人機產業防禦發展亦受關注，聚焦導入PQC與強化無線通訊在面對干擾與訊號覆蓋攻擊時的抗性。 <a href="https://www.ithome.com.tw/news/176400" target="_blank">美國政府示警自動儲槽計量系統遭鎖定，籲ATG用戶移除網際網路曝露介面</a> <a href="/sites/default/files/images/2026-06-12_151123.jpg"><img alt="" src="/sites/default/files/images/2026-06-12_151123.jpg" style="width: 400px; float: right;" /></a> 當心鎖定ATG系統的惡意網路活動，美國CISA與FBI等機關發布警示，指出常用於能源、化工、食品與農業、運輸等產業的自動儲槽計量系統（Automatic Tank Gauge，ATG），近日發現成為攻擊活動鎖定目標，駭客先找尋曝露在網際網路上的ATG系統，入侵後透過指令執行修改系統，因此這項警報建議相關業者：不要將ATG序列埠或其他Web介面直接曝露於網際網路，若業務上必須遠端存取，業者應透過防火牆、存取控制清單或VPN限制可連線來源。若有預設密碼也務必立刻更換，並在可行情況下導入多因素驗證。 <a href="https://www.ithome.com.tw/news/176469" target="_blank">殭屍網路C0XMO利用老舊DD-WRT漏洞，擴散並感染DVR與Android等裝置</a> 發現Gafgyt殭屍網路的最新變種C0XMO有新惡意活動，正在利用DD-WRT開源路由器韌體於2021年揭露的CVE-2021-27137漏洞入侵未更新修補的路由器，並進一步感染缺乏安全更新的DVR與Android等裝置，資安業者Fortinet指出，駭客準備了適用於ARM、MIPS、PowerPC、SuperH、x86與x86_64等多種架構的C0XMO版本，擴大感染的意圖相當顯著，因此建議企業與使用者應更新韌體、關閉不必要服務，避免裝置被用來發動DDoS攻擊。 <a href="https://www.ithome.com.tw/news/176468" target="_blank">池安量子資安推PQ-SDN安全無線通訊模組，結合PQC建構無人載具高韌性網路</a> 無人機應用日益蓬勃發展，如何在複雜環境維持網路通訊穩定並確保資安防護，已成為產業關注焦點。池安量子資安首度公開展示專為無人自主系統打造的「PQ-SDN安全無線通訊模組」，其特色在於可導入PQC演算法，並支援Mesh無線網路通訊架構，具有自動建構網路與自動修復能力。特別的是，針對無線通訊常見的干擾與蓋臺問題，該模組還結合PQ-UxV安全功能，並透過軟體定義無線電（SDR）技術，提供1 GHz至6 GHz的頻率設定彈性。 <a href="https://www.ithome.com.tw/news/176384" target="_blank">RondoDox殭屍網路鎖定華碩路由器舊漏洞，CVE-2018-5999出現實際濫用跡象</a>【CVE-2018-5999】 資安漏洞情報業者VulnCheck於5月17日觀察到，殭屍網路RondoDox開始利用華碩（Asus）路由器漏洞CVE-2018-5999，這項漏洞可讓未經身分驗證的攻擊者以root權限遠端執行程式碼，早在2018年已有公開利用程式，但VulnCheck表示，這是該公司首度觀察到實際濫用跡象。 <a href="https://www.ithome.com.tw/news/176437" target="_blank">部分App內嵌Bright Data SDK，讓手機與智慧電視成為第三方網頁爬蟲代理</a> 住宅代理的爭議再受關注，上月底荷蘭執法單位破獲大型殭屍網路就傳出疑似涉及此類議題的消息，如今資安公司Include Security揭露另一起事件，指出部分App開發者會在應用程式內嵌入SDK，使用者若同意App內與Bright Data相關的說明或選項，其手機或智慧電視會成為住宅代理（Residential Proxy）網路的一部分，協助第三方客戶透過一般家庭IP位址執行網頁資料抓取，成為網頁爬蟲業者避開封鎖的一種方式。研究者質疑，相關說明未必能讓一般使用者理解實際用途與影響。 <a href="https://www.ithome.com.tw/news/176533" target="_blank">西門子6月工控安全公告揭露影響多款產品的OpenSSL重大漏洞</a> 工控系統業者西門子（Siemens）於6月9日發布安全公告，說明OpenSSL重大風險漏洞CVE-2025-15467對多款產品的影響，並已針對部分產品提供修補版本。此漏洞CVSS v3.1風險分數為9.8分，可能導致應用程式崩潰進而造成阻斷服務，或在特定情境下造成遠端程式碼執行。 </div></div></div>
6/12 17:51作者羅正漢https://www.ithome.com.tw/news/176582
【資安日報】6月12日，Oracle PeopleSoft零時差漏洞被用於大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176556">Oracle針對PeopleSoft重大漏洞提出警告</a> 6月10日Oracle發布資安公告，可用於人力資源管理、財務與供應鏈管理、校務系統、客戶關係管理等領域的企業應用系統平臺PeopleSoft PeopleTools，存在重大等級的資安漏洞CVE-2026-35273，未經身分驗證的攻擊者可遠端利用，一旦成功，就有機會導致遠端程式碼執行。該漏洞影響8.61與8.62版PeopleSoft Enterprise PeopleTools，PeopleSoft Enterprise Applications用戶也可能受影響。 <a href="https://www.ithome.com.tw/news/176558">Oracle PeopleSoft零時差漏洞遭駭客組織ShinyHunters積極利用</a> <a href="/sites/default/files/images/peoplesoft-shinyhunters_max-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/peoplesoft-shinyhunters_max-63.jpg" style="width: 300px; float: right;" /></a> Mandiant與Google威脅情報團隊（GTIG）公布調查結果，於5月27日至6月9日期間，發現ShinyHunters（UNC6240）發動入侵及勒索的攻擊，目標是Oracle PeopleSoft應用系統基礎設施，過程中利用了CVE-2026-35273。兩個團隊察覺掃描與利用漏洞的活動後，向全球超過100個可能成為目標的組織通報此事，這些組織大部分位於美國，68%是高等教育組織。攻擊者會架設自己的MeshCentral代理程式，並偽裝成合法雲端服務的端點，用途是執行管理員級的命令查詢，並部署橫向移動與從事破壞的指令碼。 <a href="https://www.ithome.com.tw/news/176563">英國諾丁漢大學資料外洩，可能影響45萬學生</a> 在勒索軟體ShinyHunters宣稱竊取資料後，英國諾丁漢大學（University of Nottingham）6月11日證實，學生紀錄系統中的大量資料遭外部第三方組織存取，呼籲學生留意陌生的電子郵件、訊息或電話，並確保使用強密碼。對於外流的資料規模，ShinyHunters聲稱竊得40 GB資料，密碼外洩查詢網站Have I Been Pwned透露，外洩資料達到45.5萬筆，涵蓋學生及校友姓名、住家地址、電子郵件、電話、種族、身體特徵，以及護照號碼等資訊。 <a href="https://www.ithome.com.tw/news/176559">ServiceNow公布安全事件初步調查，稱資料查詢活動可能來自研究人員</a> 企業雲端工作流程平臺業者ServiceNow於6月上旬傳出安全事件，ServiceNow於6月10日發布安全公告說明，多名客戶於6月3日至4日轉交漏洞獎勵計畫通報，內容涉及一項可能讓未經身分驗證使用者存取ServiceNow執行個體資訊的安全問題，且與4月22日提交至ServiceNow漏洞獎勵計畫的保密通報相似。該公司調查後發現，部分客戶的執行個體自6月2日起出現不明活動。資安媒體SC Media也引述多名資安業者看法指出，用戶不應降低對事件影響的評估。 <a href="https://www.ithome.com.tw/news/176572">甫修補的Ivanti Sentry滿分重大漏洞已被用於實際攻擊</a> <a href="/sites/default/files/images/HKer5fQXkAAL5Cv-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/HKer5fQXkAAL5Cv-63.jpg" style="width: 300px; float: right;" /></a> 6月9日資安公司Ivanti修補Ivanti Sentry資安漏洞CVE-2026-10520，該漏洞CVSS風險達到滿分10分，相當危險，事隔兩天，Shadowserver基金會提出警告，他們觀察到大規模利用CVE-2026-10520的嘗試行為，總共找到19臺存在弱點的Ivanti Sentry執行個體（instance），這些系統疑似都遭到入侵，其中有兩臺已被植入後門。該基金會表示，他們本次的偵測率偏低，很有可能是因為在掃描過程有許多Ivanti Sentry系統無法存取，因此若用戶尚未修補，很有可能已經被入侵。 <a href="https://www.ithome.com.tw/news/176566">研究人員揭露BitLocker零時差漏洞GreatXML</a> <a href="/sites/default/files/images/GreatXML-screenshot1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/GreatXML-screenshot1-63.jpg" style="width: 300px; float: right;" /></a> 研究人員Chaotic Eclipse（Nightmare-Eclipse）於微軟發布6月例行更新（Patch Tuesday）當天，公布Microsoft Defender零時差漏洞RoguePlanet。根據資安新聞網站SecurityWeek報導，事隔兩天該研究員又公開另一個零時差漏洞GreatXML，並指出該弱點可被用於繞過BitLocker磁碟加密機制。針對這項漏洞出現的情境，該名研究員指出，電腦在防毒軟體Microsoft Defender啟動離線掃描的狀態下，攻擊者無須登入Windows作業系統就有機會利用GreatXML，有可能在BitLocker磁區產生不受限制存取的Shell。 <a href="https://www.ithome.com.tw/news/176554">Google發布Chrome 149更新，修補近30個弱點</a> 6月11日Google發布電腦版與Android版Chrome 149更新，總共修補28個資安弱點，其中有5個為重大等級，用戶應儘速升級至149.0.7827.114或149.0.7827.115版修補。值得留意的是，此為Google在一週內第二次發布更新，距離上次更新只有3天，相當罕見。從漏洞的類型來看，記憶體相關的弱點占多數，其中又以記憶體釋放後再存取使用（Use After Free）有12個最多。未受信任輸入驗證不充分的弱點居次，有5個。 <a href="https://www.ithome.com.tw/news/176568">Palo Alto Networks發布6月安全更新，修補11項漏洞</a> 資安公司Palo Alto Networks本週發布六月份安全更新，修補11項漏洞，高風險漏洞占兩項，其中之一為CVE-2026-0274，影響Palo Alto Networks安全協調、自動化與回應（SOAR）平臺Cortex XSOAR。問題出自於Cortex XSOAR/XSIAM與Commvault Security IQ整合模組的身分驗證機制不當，可能讓未通過身分驗證的攻擊者存取或修改受保護資料，本漏洞CVSS風險值8.1，影響Cortex XSIAM/XSOAR Commvault Security IQ Marketplace。 <a href="https://www.ithome.com.tw/news/176553">Proxmox Virtual Environment發布9.2版，修補5項近期備受關注的Linux核心漏洞</a> 開源虛擬化平臺Proxmox Virtual Environment（Proxmox VE）近期推出9.2版，除了導入動態負載平衡等新功能之外，也整合Linux修補程式，一口氣修補5項近期受到關注的Linux核心漏洞，包括編號CVE-2026-31431的Copy Fail漏洞，由CVE-2026-43284與CVE-2026-43500等兩部分構成的Dirty Frag漏洞，編號CVE-2026-46300的Fragnesia漏洞，編號CVE-2026-43494的PinTheft漏洞，以及編號CVE-2026-46333的ssh-keysign-pwn漏洞。 <a href="https://www.ithome.com.tw/news/176569">LiteLLM高風險已知漏洞可與另一個漏洞串連，形成CVSS風險10分的漏洞利用鏈</a> 威脅情報公司Horizon3.ai指出，攻擊者利用LiteLLM已知漏洞CVE-2026-42271的基本條件，就是通過身分驗證，然而他們發現，若是搭配存在於Python非同步（ASGI）框架Starlette的中度風險漏洞CVE-2026-48710，就有可能在依賴自架Gitea的開發環境裡，形成CVSS風險10分滿分的重大弱點，完全繞過LiteLLM的身分驗證請求，從而導致遠端程式碼執行，讓攻擊者以LiteLLM代理程式執行指令，呼籲用戶應儘速更新LiteLLM與Starlette因應。 <a href="https://www.ithome.com.tw/news/176542">Arista EOS網路作業系統存在已遭利用漏洞，原廠選擇緩解措施而不發布修補程式</a> 美國網路安全與基礎設施安全局（CISA）在6月9日提出警告，將Arista EOS網路作業系統的CVE-2026-7473漏洞，列入已遭利用的漏洞名單（KEV），此漏洞Arista於5月上旬揭露，存在於EOS的隧道（Tunnel）流量解封裝機制，系統未驗證封裝流量所使用的隧道協定類型，CVSS評為5.8分。雖然已被實際利用，但為了避免破壞（breaking）用戶部署環境的現有配置，該公司不打算透過升級軟體或熱修補（Hotfix）的方式修補，建議用戶採取緩解措施。 <a href="https://www.ithome.com.tw/news/176565">施耐德電機修補多項高風險漏洞，影響EcoStruxure與PowerLogic等產品</a> 工業自動化與能源管理業者施耐德電機（Schneider Electric）於6月9日發布3份安全公告，揭露資料中心監控軟體EcoStruxure IT Data Center Expert、遠端終端裝置與控制器EasyLogic T150／Saitel DP RTU，以及電力保護與控制平臺PowerLogic P7的多項漏洞，並針對受影響產品提供已修補的版本。其中，該公司為PowerLogic P7修補3項漏洞，CVE-2026-9716與CVE-2026-9717為高風險漏洞，CVSS v4.0分數分別為8.7分與8.6分，可能造成阻斷服務。 <a href="https://www.ithome.com.tw/news/176547">AI代理同樣存在遭社交工程欺騙風險，研究人員揭露OpenClaw AI代理可遭釣魚郵件誘騙洩漏敏感資料</a> 資安廠商Varonis旗下威脅研究團隊近日發布報告，揭露針對開源AI代理平臺OpenClaw進行的安全測試研究，結果發現，即使為AI代理設定明確的安全政策，攻擊者仍可透過社交工程手法，誘騙AI代理洩漏敏感資訊。針對測試結果，Varonis表示AI代理在部分情境下的安全性，已超過許多真人用戶，能有效識別可疑URL、虛假登入入口網站、惡意OAuth提示與冒充網域。但在社交層面上，AI代理在判斷人員身分、組織關係與授權範圍等情境，仍相當脆弱。 <a href="https://www.ithome.com.tw/news/176570">越南駭客OceanLotus發動供應鏈攻擊，鎖定投資人散布SpectralViper後門</a> <a href="/sites/default/files/images/OceanLotus-figure-5-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/OceanLotus-figure-5-1-63.jpg" style="width: 300px; float: right;" /></a> 資安業者ESET於6月11日揭露，越南駭客組織OceanLotus（APT32）自2025年10月至2026年3月，入侵越南投資軟體FireAnt Metakit更新伺服器，透過偽造軟體更新向股票投資人散布SpectralViper後門程式。駭客利用了FireAnt Metakit更新機制中的多項安全缺陷，例如：該軟體更新設定檔缺乏數位簽章或完整性驗證機制、更新過程仍使用未加密的HTTP通訊。此外，OceanLotus亦長期入侵當地一家基礎建設及交通工程公司，可能是藉由微軟SQL Server遠端程式碼執行漏洞取得初始存取權限。 <a href="https://www.ithome.com.tw/news/176512">攻擊者假冒IT支援人員，透過Microsoft Teams發動社交工程攻擊</a> 資安業者Palo Alto Networks指出，攻擊者利用Microsoft Teams等企業協作工具發動社交工程與網釣攻擊，藉由員工對內部溝通平臺的信任，假冒IT支援人員或服務供應商誘騙受害者。攻擊者可能透過Teams傳送外部聊天邀請，聲稱使用者帳號出現異常，要求對方核准多因素驗證（MFA）請求，或依指示重設憑證。由於訊息出現在Teams而非電子郵件，員工可能降低戒心。該公司強調，這類手法並非個案，已有駭客組織APT29、UNC6692用於實際活動。 <a href="https://www.ithome.com.tw/news/176442">惡意Chrome擴充套件鎖定AI平臺互動內容，收集對話與敏感資料</a> 隨著使用者與生成式AI的互動逐漸成為企業工作流程的一部分，攻擊者也開始將AI對話內容視為新的資料來源。近期出現主動監控用戶與AI平臺互動內容的惡意或可疑Chrome擴充套件，藉此收集使用者輸入的對話紀錄與敏感資訊。資安公司G DATA指出，部分看似具有正常功能的Chrome擴充套件，會監視用戶與ChatGPT、Claude、Copilot、DeepSeek、Gemini等生成式AI平臺的對話，並從中收集對話內容，再將這些資訊傳送到外部端點。 <a href="https://www.ithome.com.tw/news/176524">網路攻擊組織UNC3753鎖定法律與金融業，假冒IT人員竊資勒索</a> Google Cloud旗下資安團隊Mandiant與Google威脅情報團隊（GTIG）揭露，網路攻擊組織UNC3753在2026年1月至5月間鎖定美國數十個組織，包括專業服務、法律與金融服務業，發動以資料竊取勒索為目的的攻擊活動。攻擊者冒充企業IT服務臺或資安人員，透過電話社交工程誘使員工開啟螢幕分享、安裝遠端管理工具，搜尋並竊取敏感資料。研究人員建議企業加強使用者訓練、外部技術人員身分驗證、訪客陪同制度、遠端存取控管等措施因應。 <a href="https://www.ithome.com.tw/news/176525">駭客偽冒開源資安工具網站散布惡意軟體，並利用流量分發系統篩選攻擊目標</a> 為了提高散布惡意軟體的效率，攻擊者已不再採取無差別投放惡意連結的方式，而開始透過流量分發系統（Traffic Distribution System，TDS）篩選攻擊目標，資安業者Check Point近日揭露這類型的大規模攻擊活動，攻擊者仿冒Ghidra、dnSpy與SpiderFoot等開源資安工具的下載網站，並結合點擊劫持手法來誤導造訪這些網站的使用者，同時結合偽冒下載網站、點擊劫持（Click Hijacking），以及流量分發系統，企圖藉此提高攻擊成功率。 <a href="https://www.ithome.com.tw/news/176469">殭屍網路C0XMO利用老舊DD-WRT漏洞，擴散並感染DVR與Android等裝置</a> 資安業者Fortinet披露，Gafgyt殭屍網路的最新變種C0XMO正在利用DD-WRT開源路由器韌體於2021年揭露的CVE-2021-27137漏洞，在攻陷未更新的路由器後，再藉由獨立的Python掃描模組進一步感染數位錄影機（DVR）、網路影音管理平臺及Android裝置等多種裝置。與傳統殭屍網路不同的是，C0XMO將掃描與擴散功能拆成獨立Python腳本，使駭客更容易針對不同系統架構與裝置類型調整攻擊手法。 <a href="https://www.ithome.com.tw/news/176567">酷澎個資外洩案波及3,755萬人，遭韓國重罰逾6,246億韓元</a> 針對電商平臺酷澎（Coupang）於2025年11月揭露的大規模個資外洩事故，韓國個資保護委員會（PIPC）於6月11日公告，對酷澎處以6,246億8,100萬韓元（約4.09億美元）罰鍰。PIPC調查認定，酷澎因身分驗證簽章金鑰管理、存取控制等基本安全管理措施不足，導致約3,755萬人個資外洩。此外，酷澎在事件應變與後續處置過程中，也出現未履行外洩通知義務、未依規定銷毀資料、未充分確保個資保護長（CPO）職務獨立性，以及妨礙調查等多項問題，PIPC另對酷澎處以1,680萬韓元罰款。 近期資安日報 <a href="https://www.ithome.com.tw/news/176543">【6月11日】Exchange Online傳出可被用於欺騙的資安漏洞</a> <a href="https://www.ithome.com.tw/news/176520">【6月10日】Anthropic推出具有Mythos能力的Claude Fable 5</a> <a href="https://www.ithome.com.tw/news/176470">【6月9日】Check Point VPN零時差漏洞被用於勒索軟體攻擊</a> </div></div></div>
6/12 15:10作者周峻佑https://www.ithome.com.tw/news/176576
微軟Secure Boot舊版憑證2026年陸續到期，紅帽提醒RHEL用戶更新韌體信任資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.redhat.com/en/blog/expiration-secure-boot-signing-certificates-2026" target="_blank">開源軟體與企業Linux業者紅帽（Red Hat）6月10日提醒</a>，微軟安全開機（Secure Boot）機制使用的多張2011年版簽章憑證，<a href="https://www.ithome.com.tw/news/173897" target="_blank">將於2026年陸續到期</a>，企業應確認UEFI（Unified Extensible Firmware Interface）韌體中的Secure Boot資料庫（db）是否已納入2023年版憑證，以確保後續可取得開機安全相關更新。若系統韌體的Secure Boot 資料庫（db）沒有包含2023年版憑證，未來可能無法啟動新的開機元件。 Secure Boot是UEFI韌體的安全機制，用來驗證開機元件的數位簽章，防止未受信任的bootkit或rootkit在作業系統啟動前載入。在安全開機進行的過程中，裝置製造商會將已知的公開憑證註冊至其韌體中的安全開機資料庫，以Red Hat Enterprise Linux（RHEL）為例，安裝時會啟動名為shim的小型第一階段開機載入程式，shim會驗證後續的應用程式，並僅允許同樣完成正確簽署程序的應用程式執行，而紅帽提供的shim內嵌一個或多個專屬於RHEL的公開憑證，有了這些憑證，可允許後續階段進行開機：包括GRUB開機載入程式、系統核心、統一核心映像（UKI）等。若這個信任鏈中的任何元件未經正確簽署，開機程序將無法繼續。 所謂的shim，是指Linux發行版為了相容UEFI Secure Boot而設計的「過渡式（bridge）」第一階段開機程式。在大部分電腦上，UEFI韌體內建信任的是微軟的Secure Boot憑證，而不是各家Linux發行版的憑證。因此 Linux社群想要在不要求使用者手動關閉Secure Boot的情況下開機，就需要被微軟簽署過的小型程式，而shim是由微軟的Secure Boot憑證簽署的元件，當微軟停止使用2011憑證簽署新的shim後，Linux發行版必須改用新的2023憑證。 <a href="https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e" target="_blank">微軟於5月更新Secure Boot憑證支援說明</a>，包括Microsoft Corporation KEK CA 2011、Microsoft UEFI CA 2011，以及Microsoft Windows Production PCA 2011等憑證，將分別於2026年6月至10月到期；對應的新憑證包括Microsoft Corporation KEK 2K CA 2023、Windows UEFI CA 2023，以及Microsoft Option ROM UEFI CA 2023。 <a href="http://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e" target="_blank"><img alt="" src="/sites/default/files/images/0612-%20Secure%20Boot-600.png" style="width: 500px;" /></a> 微軟表示，未更新至2023年憑證的Windows裝置仍可正常開機並接收一般Windows更新，但未來將無法取得Windows開機管理程式（Windows Boot Manager）、Secure Boot資料庫與撤銷清單等開機程序信任鏈相關更新，也可能無法部署開機層級漏洞的防護措施。 <a href="http://www.redhat.com/en/blog/expiration-secure-boot-signing-certificates-2026" target="_blank">紅帽則提醒RHEL用戶</a>，微軟自2025年10月起，以2011年與2023年兩組金鑰簽署Linux開機載入器shim，分別為Microsoft Windows UEFI Driver Publisher（2011年憑證），以及Microsoft UEFI CA 2023（2023年憑證）；但2026年6月之後，新版shim將僅以2023年金鑰簽署。Red Hat已為受支援的RHEL 9與RHEL 10提供雙簽署shim，RHEL 8也預計於2026年6月取得更新。該公司建議管理員更新韌體中的Secure Boot資料庫，以及shim元件，但不應移除或撤銷2011年憑證。 </div></div></div>
6/12 11:13作者王珮瑤https://www.ithome.com.tw/news/176561
Apple釋出Mac專用容器工具Container 1.0，強化長駐型Linux環境管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">Apple釋出Mac用容器工具<a href="https://github.com/apple/container">Container 1.0</a>，該命令列工具以Swift撰寫，可在搭載Apple Silicon晶片的Mac上建立與執行Linux容器。新版加入可保留狀態的Linux環境管理功能，讓開發者能在Mac上保留較固定的容器執行環境，並改善設定、輸出格式與檔案傳輸等日常操作。 Container是Apple在WWDC25期間公開的工具，底層使用Apple另一套Swift容器技術套件<a href="https://github.com/apple/containerization">Containerization</a>，處理低階容器、映像檔與程序管理。該工具支援OCI相容容器映像檔，開發者可從標準容器映像檔登錄庫拉取並執行映像檔，也能將建立好的映像檔推送至登錄庫，供其他OCI相容應用程式使用。 在Mac上執行Linux容器，通常需要先啟動Linux虛擬機器，再把多個容器放在同一個環境中。Apple的Container專案採取不同做法，會替每個容器建立獨立的輕量虛擬機器，讓容器之間有較清楚的隔離，也只把必要的主機資料提供給對應的容器使用，因此Mac能以較接近原生工具的方式執行Linux容器，同時維持虛擬機器層級的隔離。 新版增加容器機器（container machine）功能，讓開發者建立可保留狀態的Linux環境，相較於一般Container執行工作負載時建立的暫時性VM，容器機器保留檔案系統，並可停止後再啟動，適合固定開發環境、測試服務或反覆執行相同工作流程。新版也改用TOML格式設定檔，取代原本透過系統屬性命令管理設定的方式。 Apple也整理多項命令輸出，讓容器、映像、網路與儲存空間的查詢結果更容易被自動化工具讀取。新版加入主機與容器之間的檔案複製命令，方便開發者把檔案放進容器，或從容器取回執行結果。 Container使用條件有明確限制，需要搭載Apple Silicon的Mac，主要支援目標是macOS 26，因為工具使用該版本新增或強化的虛擬化與網路能力。官方提到，macOS 15雖可執行，但功能受限，包括容器之間無法透過虛擬網路通訊，部分網路命令也不能使用。記憶體管理方面，macOS底層虛擬化機制對動態回收記憶體的支援仍有限，要是長時間執行多個高負載容器，可能需要重新啟動容器來釋放記憶體。 </div></div></div>
6/12 09:36作者李建興https://www.ithome.com.tw/news/176551
【資安日報】6月11日，Exchange Online傳出可被用於欺騙的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176535">研究人員揭露Exchange Online資安漏洞Ghost-Sender，攻擊者能偽造任意電子郵件地址</a> 6月9日資安公司InfoGuard針對Exchange Online用戶提出警告，他們發現名為Ghost-Sender的資安漏洞，Exchange Online或採用混合模式部署的Exchange郵件系統，只要搭配第三方的郵件伺服器防護措施或垃圾信過濾機制，而使得Exchange Online與外部的MX紀錄整合，攻擊者就有機會對目標租戶發動詐欺攻擊，以任意寄件人的名義，發送信件給任何收件者，將其用於網釣活動，值得留意的是，這項問題似乎已出現遭到積極利用的跡象，但目前微軟尚未修補。 <a href="https://www.ithome.com.tw/news/176530">微軟修補已遭利用的Exchange Server零時差漏洞</a> 5月14日微軟揭露Exchange Server重大漏洞CVE-2026-42897，並指出已遭到利用，6月9日微軟更新公告內容，呼籲用戶儘速安裝Exchange的2026年6月安全更新來防範漏洞。CVE-2026-42897為欺騙（Spoofing）類型的弱點，攻擊者可藉此發送特製的電子郵件給用戶，一旦使用者透過Outlook Web Access開啟並執行特定的互動，攻擊者就有機會經由瀏覽器執行任意JavaScript指令碼，CVSS風險評為8.1分。 <a href="https://www.ithome.com.tw/news/176534">ServiceNow安全缺陷遭濫用，攻擊者查詢部分客戶執行個體資料</a> 企業雲端工作流程平臺業者ServiceNow傳出安全事件。資安新聞媒體Bleeping Computer於6月9日報導，ServiceNow已通知受影響客戶，攻擊者濫用一項安全漏洞，可讓未經身分驗證的使用者在特定情況下，取得超出範圍的ServiceNow執行個體存取權限，並透過組態不良的API端點，查詢部分客戶執行個體的資料表。根據Reddit使用者轉貼的ServiceNow客戶支援公告內容，該公司已於6月5日對代管客戶執行個體套用安全更新。 <a href="https://www.ithome.com.tw/news/176529">ShinyHunters宣稱駭入上百家Oracle PeopleSoft伺服器</a> 根據資安新聞媒體Bleeping Computer報導，勒索軟體駭客組織ShinyHunters近日利用漏洞，駭入上百家組織的Oracle PeopleSoft伺服器，包括至少一家英國知名大學。該組織在這波行動中，成功存取了100多家組織、300多個PeopleSoft執行個體，大部份是教育機構。駭客表示，他們是結合軟體的舊漏洞及先前未知的零時差漏洞展開攻擊，其中一家受害學校是英國諾丁罕大學，該組織於網站上宣稱，已竊得該校員工、學生、與校友資料共40 GB。 <a href="https://www.ithome.com.tw/news/176528">Adobe發布6月例行更新，呼籲用戶優先修補ColdFusion與Campaign Classic</a> 6月9日Adobe發布本月例行更新，為旗下11款應用系統提供修補程式，總共修補123個資安漏洞。值得留意的是，該公司將企業行銷自動化與客戶關係管理（CRM）平臺Campaign Classic、網頁應用程式開發平臺ColdFusion的修補優先順序列為第一級，呼籲用戶必須特別優先處理。從漏洞的嚴重程度而言，這次Adobe為Campaign Classic修補兩個CVSS風險皆達到10分滿分的重大漏洞CVE-2026-48303、CVE-2026-47938，而受到高度關注。 <a href="https://www.ithome.com.tw/news/176531">Ivanti修補安全閘道Sentry重大漏洞，可讓攻擊者以root權限執行程式碼</a> 企業軟體與資安設備業者Ivanti於6月9日發布安全公告，修補Ivanti Sentry兩項重大風險等級漏洞，分別為CVE-2026-10520與CVE-2026-10523。其中，CVE-2026-10520是作業系統命令注入漏洞，CVSS風險分數為10.0分，攻擊者可在未經驗證的情況下遠端利用此漏洞，以root權限執行程式碼。另一項CVE-2026-10523是身分驗證繞過漏洞，CVSS風險分數為9.9分，可能讓未通過身分驗證的攻擊者遠端建立任意管理員帳號，進而取得完整管理員權限。 <a href="https://www.ithome.com.tw/news/176532">Fortinet修補沙箱系統指令注入漏洞</a> Fortinet本週發布安全更新，修補FortiSandbox雲端及本地部署3個版本的重大指令注入漏洞CVE-2026-25089。此為FortiSandbox產品的OS指令注入漏洞，CVSS風險值達9.1，源於Web介面的start vnc功能在處理輸入的JSON指令時，未進行適當的特殊字元過濾與中性化（Neutralization）。這讓攻擊者得以傳送變造的HTTP請求，透過輸入欄位傳送惡意OS命令，進而在Fortinet系統上未授權執行。 <a href="https://www.ithome.com.tw/news/176521">Mozilla發布Firefox 151.0.3版更新，修補文字顯示與JavaScript引擎漏洞</a> Mozilla近日發布Firefox瀏覽器的資安公告，揭露兩項涉及文字顯示元件與JavaScript引擎的漏洞，並提供已修補完成的151.0.3版，其中第一項漏洞是CVE-2026-10701，CVSS嚴重性評分達7.5分，問題源自負責文字顯示的Graphics: Text元件，存在邊界條件（Boundary Conditions）處理不當問題。第二項漏洞是CVE-2026-10702，CVSS嚴重性評分為4.3分，為JavaScript引擎JIT元件的錯誤編譯（Miscompilation）問題。 <a href="https://www.ithome.com.tw/news/176538">OpenSSL修補高風險漏洞，研究人員在AI協助下發現可導致遠端程式碼執行問題</a> OpenSSL專案日前發布資安公告，修補18項漏洞，值得注意的是，其中1項高風險漏洞CVE-2026-45447，是研究人員在Anthropic的Claude AI協助下發現，顯示AI已成為漏洞研究與程式碼分析的重要工具，此外，Anthropic公司人員也參與另外7項漏洞的發現與通報。CVE-2026-45447的CVSS嚴重性評分達8.8分，存在於PKCS#7簽章驗證流程，可能導致記憶體已釋放卻仍被使用（UAF）問題，在特定情況下甚至可能導致遠端程式碼執行。 <a href="https://www.ithome.com.tw/news/176537">Linux核心再傳nftables本機權限提升漏洞CVE-2026-23111，攻擊者可升級為root並突破容器</a> <a href="/sites/default/files/images/2nd-image-scaled-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/2nd-image-scaled-63.jpg" style="width: 300px; float: right;" /></a> 威脅情報公司Exodus Intelligence近日透露，他們於2025年初發現資安漏洞CVE-2026-23111，此弱點存在於Linux核心的nftables子系統，漏洞存在於nftables的nft_map_catchall_activate()功能函式，由於條件判斷中多出一個驚嘆號（!），由於驚嘆號會翻轉程式碼處理的邏輯，導致核心在處理交易終止（abort）時錯誤地跳過部分必要程序，相關鏈結（chain）的參考計數持續下降。一旦計數歸零，系統可能釋放仍被其他物件引用的記憶體區域，進而產生記憶體釋放後再存取利用（Use After Free）的現象，Linux開發團隊獲報後於2月5日完成修補。 <a href="https://www.ithome.com.tw/news/176533">西門子6月工控安全公告揭露影響多款產品的OpenSSL重大漏洞</a> 工控系統業者西門子（Siemens）於6月9日發布安全公告，說明OpenSSL重大風險漏洞CVE-2025-15467對多款產品的影響，並已針對部分產品提供修補版本。此漏洞發生於OpenSSL解析帶有惡意AEAD參數的CMS AuthEnvelopedData訊息時，可能觸發堆疊緩衝區溢位，導致應用程式崩潰進而造成阻斷服務，或在特定情境下造成遠端程式碼執行，CVSS v3.1風險分數為9.8分，屬重大風險等級。 <a href="https://www.ithome.com.tw/news/176527">CISA警告Chrome與思科SD-WAN零時差漏洞被用於攻擊活動</a> 6月9日美國網路安全與基礎設施安全局（CISA）提出警告，他們掌握3個資安漏洞遭到積極利用的證據，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構於6月23日完成修補。其中一個是思科上週揭露的CVE-2026-20245，此漏洞存在於Catalyst SD-WAN Manager，為輸出不當編碼或逃逸漏洞，CVSS風險評為7.8分；另一個漏洞是CVE-2026-11645，存在於Chrome的JavaScript引擎V8，為記憶體越界讀取與寫入漏洞，CVSS風險為8.8分。 <a href="https://www.ithome.com.tw/news/176541">俄羅斯駭客利用WinRAR已知漏洞對烏克蘭發動攻擊</a> <a href="/sites/default/files/images/CVE-2025-8088-fig2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/CVE-2025-8088-fig2-63.jpg" style="width: 300px; float: right;" /></a> 趨勢科技近期發現有兩個俄羅斯駭客組織開始利用CVE-2025-8088，其中一個是Gamaredon（UAC-0010、Shuckworm、Earth Dahu），他們利用此漏洞向使用者傳遞惡意HTA檔，但也有在電腦啟動資料夾寫入VBS、VBE檔，藉此從特定Cloudflare Tunnel截取惡意HTA檔並執行的情況，這些駭客利用此漏洞的活動，至少可追溯到2025年9月。另一個駭客組織是UAC-0226（Shadow-Earth-066），他們自今年2月開始，透過此漏洞散布竊資軟體GiftedCrook。這些駭客的漏洞利用活動，至少延續至今年4月。 <a href="https://www.ithome.com.tw/news/176536">美國CISA改漏洞管理規則，最高風險漏洞3天內須修補</a> <a href="/sites/default/files/images/BOD_26-04_Graphic_Remediation_Timelines-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/BOD_26-04_Graphic_Remediation_Timelines-63.jpg" style="width: 300px; float: right;" /></a> 美國網路安全與基礎設施安全局（CISA）於6月10日，發布新版強制營運指令BOD 26-04，要求聯邦文職機關改採風險導向漏洞管理制度；未來最高風險漏洞必須在3天內採取因應措施，包括完成修補、停用或移除，較以往動輒數週的修補期限大幅縮短，以因應AI加速漏洞攻擊所帶來的新威脅。過去美國聯邦漏洞管理主要分成兩套規則：對外公開系統依漏洞嚴重度評分（CVSS）決定修補期限，已遭實際利用的漏洞（KEV）則由CISA個別設定修補期限，BOD 26-04整合兩者，以實際攻擊風險決定優先順序。 <a href="https://www.ithome.com.tw/news/176519">套件管理器NPM 12收緊安裝預設行為，相依腳本、Git與遠端網址來源將需明確允許</a> GitHub旗下套件管理器NPM團隊宣布，下一個主要版本NPM v12將調整NPM install預設安裝行為，把部分目前會自動執行或自動解析的動作，改為必須明確允許。該變更預估在2026年7月推出，主要影響相依套件的安裝腳本、Git來源相依，以及透過遠端網址取得的套件封裝檔。NPM 12預設行為從自動執行或解析改為明確授權，將使專案在升級前需要重新檢視相依來源與安裝流程，特別是仍相依Git套件、遠端網址套件，或安裝期間需執行編譯動作的專案。 <a href="https://www.ithome.com.tw/news/176463">Anthropic警告AI可在數小時內打造漏洞攻擊程式</a> AI新創Anthropic本週發表研究報告Measuring LLMs' impact on N-day exploits，指出大型語言模型（LLM）已大幅縮短已知漏洞（N-day）的武器化時間，其最新模型Claude Mythos Preview已可在數小時內自主分析修補程式、找出漏洞成因，並開發出可實際運作的漏洞攻擊程式。Anthropic指出，過去N-day漏洞利用開發最大的限制在於逆向工程專業人才稀缺，但AI正快速消除這項瓶頸，漏洞修補資訊公開後數小時內就可能被武器化。 <a href="https://www.ithome.com.tw/news/176510">歐盟網路韌性法案9月啟動漏洞與資安事件通報義務，Linux基金會示警全球軟體生態系準備不足</a> Linux基金會研究部門（Linux Foundation Research）與開放原始碼安全基金會（OpenSSF）近日發布報告指出，全球軟體與開放原始碼生態系對歐盟網路韌性法案（Cyber Resilience Act，CRA）的認知與準備仍明顯不足。這項調查於2026年初進行，共有843名來自歐洲、北美、亞太等地區的軟體產業與開放原始碼相關人員參與。結果顯示，有66%受訪者表示不熟悉CRA。在製造商準備程度方面，僅32%製造商已經對所有產品建立軟體物料清單（SBOM）。 <a href="https://www.ithome.com.tw/news/176540">加拿大提出社群媒體安全法案，首度將AI聊天機器人納管</a> 加拿大政府於6月10日提出安全社交媒體法（Safe Social Media Act），最受到關注的部分在於，打算禁止16歲以下青少年使用社交媒體，但與其他國家已成立相關法案有所不同的地方是，加拿大首度將AI聊天機器人納入同一套數位安全監管框架。該法案要求，業者必須設立數位安全委員會，並降低聊天機器人傳播有害內容或出現有害行為的風險，並在使用者表達自殘或傷害他人意圖等危機情境時，公開說明其通報與處理門檻。 <a href="https://www.ithome.com.tw/news/176514">主打區域數位主權，歐盟版Office上線</a> 6月9日歐盟版生產力軟體Office EU公布網頁版，提供類似Microsoft 365及Google Workspace的生產力軟體套件，目前僅接受非營利組織或中小企業申請邀請碼加入使用。就本質而言，Office EU強調歐洲數位主權概念，技術完全自主且資訊不受控外國政府。Office EU由歐盟IT業者及開源專案組織聯合開發，並代管於歐洲的資料中心，強調不受外國政府監控。而且，其核心100%為開源，且較傳統開源生產力套件更能相容Microsoft 365或Google Workspace。 <a href="https://www.ithome.com.tw/news/176473">歐盟科技自主權向前走，加速發展歐洲半導體、AI、雲端產業</a> 歐盟執委會（European Commission）近期提出歐洲科技主權方案（European Technological Sovereignty Package），以半導體、人工智慧（AI）、雲端運算與開源軟體為核心，整合政策與法案，以強化歐洲數位自主能力，降低關鍵技術對外部供應商的依賴。該方案涵蓋《晶片法案2.0》、《雲端與AI發展法案》、《開源策略》，以及《能源領域數位化與AI戰略路線圖》等多項政策工具。 近期資安日報 <a href="https://www.ithome.com.tw/news/176520">【6月10日】Anthropic推出具有Mythos能力的Claude Fable 5</a> <a href="https://www.ithome.com.tw/news/176470">【6月9日】Check Point VPN零時差漏洞被用於勒索軟體攻擊</a> <a href="https://www.ithome.com.tw/news/176439">【6月8日】趨勢科技成首家加入Anthropic Project Glasswing的臺灣資安公司</a> </div></div></div>
6/11 15:17作者周峻佑https://www.ithome.com.tw/news/176543
Linux核心再傳nftables本機權限提升漏洞CVE-2026-23111，攻擊者可升級為root並突破容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">最近一個多月有許多資安團隊公布Linux核心本機權限提升（LPE）類型的資安漏洞，由於大部分漏洞影響多個常見的Linux發行版而影響廣泛，受到外界高度關注。最近有資安公司揭露一年前找到的弱點，並公布相關細節。 威脅情報公司Exodus Intelligence於2025年初發現<a href="https://blog.exodusintel.com/2026/06/08/off-by-exploiting-a-use-after-free-in-the-linux-kernel/">資安漏洞CVE-2026-23111</a>，此弱點存在於Linux核心的nftables子系統，漏洞存在於nftables的nft_map_catchall_activate()功能函式，由於條件判斷中多出一個驚嘆號（!），導致核心在處理交易終止（abort）時錯誤地跳過部分必要程序，相關鏈結（chain）的參考計數持續下降。一旦計數歸零，系統可能釋放仍被其他物件引用的記憶體區域，進而產生記憶體釋放後再存取利用（Use After Free）的現象。Linux開發團隊獲報後於2月5日完成修補， </div></div></div>
6/11 12:09作者周峻佑https://www.ithome.com.tw/news/176537
【資安日報】6月10日，Anthropic推出具有Mythos能力的Claude Fable 5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176499">Anthropic發表Claude Fable 5，為所有用戶提供Mythos等級的能力</a> <a href="/sites/default/files/images/1e65982497d7d4891219ed0e83141625a291b860-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1e65982497d7d4891219ed0e83141625a291b860-63.jpg" style="width: 300px; float: right;" /></a>4月初Anthropic發布Claude Mythos Preview，由於挖掘資安漏洞的能力過於強大，甚至能串連多個漏洞形成攻擊鏈，當時僅提供特定的作業系統與軟體開發廠商與團隊，以及金融巨頭使用，兩個月後，該公司向社會大眾正式發布威力等同於Mythos的Claude Fable 5，為了防範該模型被濫用，此模型加入了防護措施，在處理部分主題會使用Claude Opus 4.8回應。而對於資安防護領域，Anthropic也為特定網路防禦者及基礎設施供應商提供與Claude Fable 5能力相同的Claude Mythos 5。 <a href="https://www.ithome.com.tw/news/176497">微軟發布6月例行更新，破紀錄修補逾560個漏洞</a> 6月9日微軟發布本月例行更新（Patch Tuesday），公開206個由該公司登記CVE編號的漏洞，數量明顯較過往都要來得多，若是加上該公司修補362個第三方登記CVE編號的漏洞，總數將達到568個，無論是微軟登記CVE的漏洞，還是修補第三方漏洞的數量，都創下史上最多的記錄。附帶一提的是，由於第三方元件漏洞有360個與Chrome有關，微軟僅列出兩個由Arm與CERT/CC登記的弱點，這樣的做法也是首度出現。 <a href="https://www.ithome.com.tw/news/176500">微軟修補已被公開的零時差漏洞GreenPlasma、YellowKey、HTTP/2 Bomb</a> 本週二微軟發布6月例行更新（Patch Tuesday），修補多達568個資安漏洞，值得留意的是，這次有3個是已被公開的零時差漏洞，根據資安新聞網站Bleeping Computer的報導，其中有2個是研究人員Chaotic Eclipse（Nightmare-Eclipse）公布的零時差漏洞。其中，CVE-2026-45586就是Chaotic Eclipse揭露的GreenPlasma，CVE-2026-50507是YellowKey。另一個已被公開的零時差漏洞CVE-2026-49160，為資安研究發布平臺Calif揭露的HTTP/2 Bomb。 <a href="https://www.ithome.com.tw/news/176503">研究人員揭露新的Microsoft Defender零時差漏洞RoguePlanet</a> 根據資安新聞網站Bleeping Computer報導，Chaotic Eclipse在微軟發布6月例行更新數個小時之後，公開名為RoguePlanet的Microsoft Defender零時差漏洞，並表示該弱點涉及競爭條件（Race Condition），攻擊者利用的條件是需要引誘使用者在遠端的SMB伺服器開啟VHD或VHDX虛擬磁碟檔，成功利用漏洞後，Microsoft Defender就會覆寫該防毒軟體相關的檔案，導致遠端程式碼執行。資安公司ThreatLocker向Bleeping Computer透露，該漏洞確實有效。 <a href="https://www.ithome.com.tw/news/176506">SAP修補NetWeaver與Commerce重大漏洞</a> 6月9日SAP發布本月例行更新（Security Patch Day），總共修補15個資安漏洞，其中有4個是重大等級。根據CVSS風險評分，最危險的是CVE-2026-44748，此為SAML身分驗證當中的XML簽章包裝漏洞，影響NetWeaver AS ABAP與ABAP平臺，CVSS風險值為9.9。具備正常權限的認證攻擊者可取得有效的簽章訊息，並將修改後的XML檔案傳送給驗證者，而有可能導致被竄改的身分資訊被受理，進而導致攻擊者能未經授權存取敏感用戶資料。 <a href="https://www.ithome.com.tw/news/176502">Miasma蠕蟲原始碼外洩，供應鏈攻擊工具包現身GitHub</a> 資安業者SafeDep於6月9日警告，軟體供應鏈蠕蟲Miasma透過遭入侵的開發者帳號出現在GitHub，等同於把這套攻擊工具公開化。SafeDep取得其中一份已遭下架的原始碼分析指出，Miasma不只是蠕蟲，而是一套完整的供應鏈攻擊工具包。如今，駭客透過遭入侵的開發者帳號發布名為「Miasma-Open-Source-Release」的GitHub儲存庫，將這套攻擊工具的原始碼在網路上公開。資安社群擔心，這可能重演Shai-Hulud原始碼公開後變種快速湧現的情況。 <a href="https://www.ithome.com.tw/news/176515">Miasma蠕蟲攻擊延伸到PyPI儲存庫</a> <a href="/sites/default/files/images/80f85f1278d4b68075d7edd3617ee427833021b3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/80f85f1278d4b68075d7edd3617ee427833021b3-63.jpg" style="width: 300px; float: right;" /></a>本月初Shai-Hulud蠕蟲出現變種Miasma，最早攻擊Red Hat雲端服務的NPM套件引起多家資安公司注意，後續染指AI程式碼工具ai-sdk-ollama、@vapi-ai/server-sdk等NPM套件，並導致微軟73個儲存庫遭GitHub停用，如今傳出該蠕蟲危害範圍延伸到PyPI生態圈。6月7日資安公司Socket指出，他們在PyPI發現新一波攻擊活動Hades，駭客入侵了19個套件，並上傳了37個惡意版本的套件，這些惡意套件會在開發環境的Python啟動時自動執行，下載執行環境Bun，然後執行經混淆處理的惡意酬載_index.js。 <a href="https://www.ithome.com.tw/news/176517">Miasma蠕蟲透過8階段攻擊滲透PyPI開發環境</a> <a href="/sites/default/files/images/6a2677f7a70270fa09fcca1a_image-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/6a2677f7a70270fa09fcca1a_image-63.jpg" style="width: 300px; float: right;" /></a> 軟體供應鏈蠕蟲Miasma近日出現Hades活動，將攻擊範圍延伸到PyPI儲存庫，資安公司StepSecurity指出，駭客的手段較過往Miasma活動更加複雜，從開發環境不慎植入惡意套件後的攻擊流程，總共可分成8個階段，不僅試圖透過特定的文字區塊進行對抗性的提示注入，指示任何解析程式碼的大型語言模型忽略其下方混淆內容，誤導AI分析工具，還會在受害開發環境透過4種機制建立長期存取管道，並阻礙資安團隊撤銷被竊憑證，一旦發現權杖被撤銷，就會執行資料抹除指令。 <a href="https://www.ithome.com.tw/news/176505">Meta證實有2萬個Instagram帳號因Meta AI漏洞被盜，時間長達1.5個月</a> Meta本週證實Meta AI支援工具存在一項漏洞，讓駭客得以在AI助理協助下，盜走Instagram（IG）帳號，估計從4月中到5月，超過2萬用戶受害。根據Meta向美國緬因州檢察長辦公室的通報文件，該漏洞影響時間從2026年4月17日到5月31號止。受害者人數為20,225人。漏洞出在Meta AI的IG帳號回覆系統High Touch Support（HTS），問題發生在Meta AI程式碼路徑，使系統未驗證請求重設密碼的信箱和帳號持有人的關聯，使攻擊者能取得密碼重設連結。 <a href="https://www.ithome.com.tw/news/176507">蘋果Safari未來能自動變更遭外洩的密碼</a> 本週蘋果舉辦WWDC26，除了受到各界矚目的Siri AI，蘋果也宣布將為Safari新增功能，包含能自動變更密碼的代理人Passwords、及告知網頁新資訊的代理人Notify Me，以及讓用戶口說生成外掛的Describe an Extension及依主題組織分頁的新功能。其中，Safari原本就能針對弱密碼及外洩密碼發出警告，現在新增了代理人功能Passwords，能代用戶登入網站並更新為強密碼。相關功能預計於今年秋季發布的iOS 27、macOS 27等作業系統正式提供。 <a href="https://www.ithome.com.tw/news/176480">VMware VCF Operations管理平臺修補多項高風險漏洞，未更新可能導致跨網站指令碼攻擊</a> Broadcom近日發布資安公告，修補VMware Cloud Foundation Operations（VCF Operations）管理平臺的3項高風險漏洞，建議用戶盡速更新。這次VCF Operations修補的漏洞包括CVE-2026-41722、CVE-2026-41723與CVE-2026-41724等3項，CVSS嚴重性評分均為8.0分，均屬於儲存型跨網站指令碼（Stored Cross-Site Scripting）類型問題，可能導致擁有建立政策、檢視或文字元件（Text Widget）等管理權限的惡意攻擊者，藉由注入指令碼觸發漏洞。 <a href="https://www.ithome.com.tw/news/176518">Apache HTTP Server修補13項漏洞，涉及記憶體安全、跨網站指令碼與阻斷服務問題</a> Apache軟體基金會近日發布網頁伺服器Apache HTTP Server最新2.4.68版，並修補13項漏洞，涵蓋記憶體安全、跨網站指令碼（XSS）、權限提升、阻斷服務（DoS）與越界存取等問題，建議2.4.x版的用戶儘速升級到新版本。這次修補的Apache HTTP Server漏洞中，其中一個是影響多種主流網頁伺服器產品的HTTP/2 Bomb漏洞，Apache軟體基金會登記為CVE-2026-49975，攻擊者可利用HTTP/2請求耗盡伺服器資源，導致服務無法回應。 <a href="https://www.ithome.com.tw/news/176472">MariaDB資料庫修補多項漏洞，含CVSS滿分10分重大漏洞</a> 關聯式資料庫MariaDB近日發布資安公告，修補開源社群版（Community Server）與商用企業版（Enterprise Server）的多項漏洞，最受關注的是CVSS嚴重性10.0分的CVE-2026-49261，另外還有兩項CVSS嚴重性評分均為8.0的高風險漏洞，分別為CVE-2026-48165與 CVE-2026-48163，MariaDB目前尚未公開這些漏洞的細節與影響範圍。此外，相較於社群版，企業版公告還多列出一項CVSS評分8.0的漏洞CVE-2026-44168。 <a href="https://www.ithome.com.tw/news/176466">Ubiquiti UniFi管理平臺軟體存在重大漏洞鏈，可讓攻擊者免帳密取得root權限</a> 資安業者Bishop Fox揭露，網通設備業者Ubiquiti的UniFi管理平臺軟體UniFi OS Server存在一組重大漏洞利用鏈，攻擊者只要能連到管理介面，可能不需帳號密碼就能繞過驗證對系統下達指令，最終取得root權限。研究人員已在UniFi OS Server 5.0.6測試環境驗證完整攻擊鏈，並確認5.0.8已修補相關問題。攻擊鏈涉及的漏洞包括CVE-2026-34908、CVE-2026-34909與CVE-2026-34910，前兩項可讓攻擊者避開前端驗證，後一項則出現在套件更新服務。 <a href="https://www.ithome.com.tw/news/176508">Progress修補Sitefinity平臺多項重大漏洞，包含CVSS滿分10分的憑證外洩問題</a> 企業內容管理平臺（CMS）Sitefinity開發商Progress發布資安公告，修補5項重大與高風險漏洞，並對目前仍在支援中的Sitefinity版本發布修補，包括15.4.8630、15.3.8531、15.2.8441、15.1.8335、15.0.8234、14.4.8152及13.3.7652等版本，用戶應儘速更新。最嚴重的是CVE-2026-7312，CVSS嚴重性評分達滿分10分，問題源自Web服務憑證保護不足，可能導致未經驗證的遠端攻擊者，取得用於連接Sitefinity Insight服務的明文憑證。 <a href="https://www.ithome.com.tw/news/176501">Veeam修補Backup & Replication備份軟體重大漏洞，未修補可能導致備份伺服器遭受遠端程式碼攻擊</a> 備份與資料保護軟體廠商Veeam日前發布資安公告，揭露旗下備份軟體產品Veeam Backup & Replication 12.x版重大漏洞，可能導致已通過身分驗證的網域用戶，在備份伺服器上執行遠端程式碼。由於備份伺服器通常掌握企業資料備份與復原權限，相關漏洞可能成為攻擊者的重要目標，建議用戶儘速更新。這項漏洞的編號是CVE-2026-44963，由資安公司WatchTowr研究人員發現與通報，CVSS嚴重性評分達9.4分。 <a href="https://www.ithome.com.tw/news/176494">針對研究人員揭露Deep Security Agent防護功能暫時失效問題，趨勢科技表示重新載入機制屬既有設計，無須修補</a> 上週Linux版Deep Security Agent（DSA）傳出存在可能導致防護功能暫時失效的問題，趨勢科技6月8日發布正式回應，他們強調相關行為屬於產品既有設計，並非安全漏洞，不需要緊急修補。趨勢科技表示，DSA的ds_am程序會嚴格控制資源耗用，設有CPU、記憶體與檔案處理（file handle，fd）等資源使用上限，以避免影響受保護主機的正常運作。針對高負載環境中的DSA運作，趨勢科技建議用戶適度提高檔案處理（fd）上限設定，並強化縱深防護因應。 <a href="https://www.ithome.com.tw/news/176454">微軟調整Defender for Endpoint EDR更新機制，改由Microsoft Update派送</a> 微軟6月5日公告，將調整企業端點安全服務Microsoft Defender for Endpoint在Windows裝置上的EDR更新機制。未來EDR更新將改採獨立更新機制，並由Microsoft Update提供，不再隨Windows每月例行安全更新一併發布。這項變更已於2026年5月下旬率先部署至Windows 10裝置，接下來會逐步擴及Windows 11，之後再涵蓋其他仍受Microsoft Defender for Endpoint支援的Windows版本。 <a href="https://www.ithome.com.tw/news/176498">幫助具身機器人巡檢兼顧隱私，帝濶智慧科技展示PriviSphere Robotics平臺</a> <a href="/sites/default/files/images/PriviSphere-Robotics-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/PriviSphere-Robotics-63.jpg" style="width: 300px; float: right;" /></a> 隨著AI應用爆發，如何在數據採集與隱私保護之間取得平衡，已成為科技演進的關鍵課題。專注於差分隱私技術、資料去識別化的帝濶智慧科技（DeCloak），於Computex 2026現場揭示最新隱私防護技術發展。該公司以隱私感知決策系統「DeCloak Brain」為核心技術，並透過「PriviSphere Robotics」平臺以整合各類具身機器人的協作應用，建構出一套具備隱私感知能力的機器人協作體系。此外，針對具身機器人可能帶來的資安疑慮，帝濶智慧也與VicOne合作，以防範機器人遭駭客入侵控制。 <a href="https://www.ithome.com.tw/news/176504">沙場點兵，數位備戰，臺灣必須走入國際網路攻防演練</a> 【臺灣資安大會直擊】國防大學理工學院電機系兼任副教授、曾經擔任漢光演習網路戰實兵操演裁判長的張克勤指出，好的網路安全演習已經成為數位國家防禦準備度的重要指標，對照國外的網路安全演習，不論從立陶宛到愛沙尼亞甚至美國，全球頂尖網安演習正在重塑國家韌性；而臺灣已站上起跑線，有自己的大規模、二年一次的網安演習CODE，但仍可借鑒國外優勢，進一步強化自身演習深度與強度。 近期資安日報 <a href="https://www.ithome.com.tw/news/176470">【6月9日】Check Point VPN零時差漏洞被用於勒索軟體攻擊</a> <a href="https://www.ithome.com.tw/news/176439">【6月8日】趨勢科技成首家加入Anthropic Project Glasswing的臺灣資安公司</a> <a href="https://www.ithome.com.tw/news/176404">【6月5日】伺服器管理晶片廠商於Computex 2026積極展現資安布局</a> </div></div></div>
6/10 16:18作者周峻佑https://www.ithome.com.tw/news/176520
歐盟網路韌性法案9月啟動漏洞與資安事件通報義務，Linux基金會示警全球軟體生態系準備不足
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://openssf.org/resources/publications/2026-cra-awareness-and-readiness-report/" target="_blank">Linux基金會研究部門（Linux Foundation Research）與開放原始碼安全基金會（OpenSSF）於6月發布報告</a>，指出全球軟體與開放原始碼生態系對歐盟網路韌性法案（Cyber Resilience Act，CRA）的認知與準備仍明顯不足。這項調查於2026年初進行，共有843名來自歐洲、北美、亞太等地區的軟體產業與開放原始碼相關人員參與。結果顯示，有66%受訪者表示不熟悉CRA。 歐盟網路韌性法案涵蓋多數可連接裝置或網路的硬體與軟體產品。依CRA實施時程，法規將於2027年12月11日全面適用，但製造商必須自2026年9月11日起，通報遭積極利用的產品漏洞與嚴重資安事件。 在製造商準備程度方面，<a href="https://openssf.org/wp-content/uploads/2026/06/2026_CRA_Awareness_Readiness_Report.pdf" target="_blank">報告指出</a>，目前只有32%受訪製造商已經針對所有產品建立軟體物料清單（SBOM），僅34%定期評估所使用開源元件的安全管理實務，與CRA要求製造商主動管理第三方元件風險的方向仍有落差。 報告也分析Linux基金會旗下專案資料平臺LFX的資料，在CVE趨勢部分，以LFX索引的14,204個開放原始碼專案為樣本，發現2026年第1季新公開CVE數量較去年同期增加394%，高嚴重性漏洞則增加811%。研究人員指出，這波成長可能與AI自動化漏洞掃描工具普及、納入索引的專案範圍擴大，以及CRA監管壓力促使企業展開軟體相依元件的內部盤點，導致過去未被記錄的潛在問題逐漸浮現。 </div></div></div>
6/10 12:54作者王珮瑤https://www.ithome.com.tw/news/176510
【資安日報】6月9日，Check Point VPN零時差漏洞被用於勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176452">Check Point修補防火牆設備VPN的資安漏洞，其中一個已遭利用</a> 6月8日資安公司Check Point發布兩則資安公告，旗下的VPN系統存在資安漏洞CVE-2026-50751與CVE-2026-50752，這些弱點皆與已棄用的IKEv1通訊協定有關，影響該公司安全閘道設備Security Gateway與Spark Firewall系列，Check Point已為作業系統Gaia採用R81.20、R82，以及R82.10版的用戶發布修補程式，並警告CVE-2026-50751已遭廣泛利用，此漏洞為使用者身分驗證繞過漏洞，攻擊者可利用Remote Access VPN與Mobile Access的憑證驗證邏輯缺陷，無須輸入有效的使用者密碼就能建立VPN連線。 <a href="https://www.ithome.com.tw/news/176461">Check Point VPN零時差漏洞已被用於勒索軟體Qilin活動</a> 針對近日修補的資安漏洞CVE-2026-50751，Check Point透過部落格說明遭到利用的情形，指出有人針對全球數十個組織發動攻擊。Check Point在6月4日察覺可疑活動，經過事件回應團隊稽核事件記錄與檢視組態配置之後，他們認為相關活動最早在5月7日出現，6月初漏洞嘗試利用活動數量增加，而在完成漏洞利用步驟後，駭客下載Linux版勒索軟體Qilin的二進位檔案。而在Check Point調查攻擊基礎設施後，預估駭客也打算利用Palo Alto Networks、Fortinet、F5等廠牌的VPN系統弱點。 <a href="https://www.ithome.com.tw/news/176460">美國要求聯邦機構4天內修補Check Point VPN零時差漏洞</a> 資安公司Check Point揭露零時差漏洞CVE-2026-50751，並指出該漏洞已被積極利用，美國網路安全與基礎設施安全局（CISA）也證實此事，6月8日將其加入已遭利用的漏洞名單（KEV），要求聯邦機構必須在6月11日前完成修補。同日還有另一個漏洞CVE-2026-42271也被列入KEV，這是一個命令注入類型的弱點，出現在開源大型語言模型串接套件LiteLLM，CVSS風險為8.8分，開發團隊BerriAI發布1.83.7版修補。 <a href="https://www.ithome.com.tw/news/176448">Gogs修補重大零時差漏洞</a> 5月底資安公司Rapid7揭露自建Git程式碼版本管理系統Gogs重大漏洞，並指出他們向Gogs開發團隊通報後未收到回應，於是決定公布細節並呼籲用戶採取行動，依照該公司提供的指引降低風險。在公布一個禮拜後，Gogs開發團隊終於受理Rapid7提供的修補程式碼，並於6月7日發布0.14.3版更新予以修補。不過，此漏洞尚無CVE編號，開發團隊表示已申請並等待指派。此為參數注入類型的弱點，通過身分驗證的攻擊者，可發動遠端執行任意程式碼（RCE）攻擊，CVSS v4.0評分達到9.4。 <a href="https://www.ithome.com.tw/news/176446">研究人員揭露趨勢Deep Security Agent存在繞過保護機制問題，攻擊者可暫時避開防護功能</a> <a href="/sites/default/files/images/trend-deepsecurity-architecture-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/trend-deepsecurity-architecture-63.jpg" style="width: 300px; float: right;" /></a>資安研究人員0xMatheuZ近日揭露，趨勢科技的Linux版企業端點防護產品Deep Security Agent，攻擊者可利用產品核心元件的重新載入（Reload）機制缺陷，繞過安全防護功能。問題源自Linux版Deep Security Agent的部分模組重新載入程序，攻擊者可在被保護的Linux主機上，大量執行檔案建立、寫入、截短（truncate）、重新命名等操作，迫使Deep Security Agent卸載與重新載入bmhook與tmhook這兩項元件。針對前述安全研究報告，趨勢科技表示第一時間已了解影響範圍版本，預計最晚6月9日會釋出修補方式。 <a href="https://www.ithome.com.tw/news/176455">Google發布Chrome 149穩定版更新，修補74項安全問題</a> Google發布Chrome瀏覽器新版本，將電腦版更新至149.0.7827.102與149.0.7827.103，此次改版共納入74項資安漏洞的修補，Google警示高風險漏洞CVE-2026-11645已遭到廣泛利用。本次發布的重大漏洞有17項，涉及藍牙裝置元件Bluetooth、跨平臺視窗顯示元件Ozone、使用者介面元件框架Views、網站應用程式元件Web Apps等，其中Bluetooth元件相關問題就占3項。至於在類型方面，則全面集中於記憶體安全問題，其中記憶體已釋放卻仍被使用（UAF）漏洞就占16項。 <a href="https://www.ithome.com.tw/news/176453">微軟修補Edge三項漏洞，涵蓋遠端程式碼執行與偽冒風險</a> 微軟於5月15日發布Microsoft Edge 148.0.3967.70版安全更新，修補3項漏洞，涵蓋安全功能繞過、偽冒與遠端程式碼執行。這3項漏洞皆由臺灣資安公司戴夫寇爾（DEVCORE）首席資安研究員Orange Tsai發現，透過TrendAI的Zero Day Initiative協助通報。風險最高的是遠端程式碼執行漏洞CVE-2026-45495，CVSS風險分數為8.8，屬高（High）風險。微軟指出，此漏洞可從網際網路遠端利用，攻擊複雜度低，若遭成功利用後，可能對機密性、完整性與可用性造成重大影響。 <a href="https://www.ithome.com.tw/news/176430">研究人員揭露Hugging Face Transformers高風險RCE漏洞</a> <a href="/sites/default/files/images/img-under-hood-kill-chain-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/img-under-hood-kill-chain-63.jpg" style="width: 300px; float: right;" /></a> 資安業者Pluto Security指出，Hugging Face旗下函式庫Transformers存在遠端程式碼執行漏洞CVE-2026-4372，駭客只需於模型設定檔config.json中植入特製欄位，即可在使用者載入模型時執行任意程式碼，甚至繞過Hugging Face長期以來作為安全防線的trust_remote_code=False機制。漏洞源自於Transformers載入模型時會先讀取config.json，並將其中欄位寫入內部組態物件。駭客可在config.json中加入名為_attn_implementation_internal的特殊欄位，讓Transformers誤以為需要載入外部Kernel套件，進而從Hugging Face Hub下載並匯入駭客所控制的Python程式碼。 <a href="https://www.ithome.com.tw/news/176462">學校求職網站第三方平臺漏洞遭駭，導致牛津大學學生個資外洩</a> 牛津大學本週公告，求職平臺CareerConnect供應商GTI於5月28日，通知學校遭到第三方人士未授權存取系統，致使用戶的姓名、電子郵件地址，以及未以單一簽入登入系統的學生密碼雜湊資料遭存取。使用SSO登入CareerConnect系統的學生密碼則不受影響，成為英國名校近三個月來第二次資料外洩事件。事件起於GTI平臺的漏洞遭到駭客濫用。該公司表示已修補漏洞且強化了安全措施。至於校友、研究人員及僱用單位的密碼已經被GTI重置，將要求用戶下次登入前重設密碼。 <a href="https://www.ithome.com.tw/news/176438">假冒Claude Code安裝網站散布惡意軟體事件又一樁，攻擊者鎖定開發環境竊取憑證</a> <a href="/sites/default/files/images/claude-code-mshta-image001-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/claude-code-mshta-image001-63.jpg" style="width: 300px; float: right;" /></a>資安公司Cyderes近日揭露，攻擊者透過偽冒Claude Code安裝網站，利用開發人員對AI程式開發工具的需求，誘使受害者下載內含惡意指令的安裝檔。攻擊者建立仿冒安裝Claude Code的網站，利用SEO技術將假網站推升到搜尋排序位置前段，再利用ClickFix社交工程手法，以安裝Claude Code為由，誘導受害者自行執行指令，實際上卻是透過Windows內建mshta程式下載並執行惡意HTML應用程式檔案（HTA）。特別的是，受害者下載的HTA檔案並不是單純的惡意程式，該檔案前段4.7 MB偽裝為正常MP3檔案，可藉此逃避安全工具的檢查。 <a href="https://www.ithome.com.tw/news/176437">部分App內嵌Bright Data SDK，讓手機與智慧電視成為第三方網頁爬蟲代理</a> 資安公司Include Security揭露，部分消費性App可能透過Bright Data的SDK，在取得使用者同意後，讓手機或智慧電視成為固定型代理伺服器（Residential Proxy）網路的一部分，藉此讓Bright Data客戶透過一般住家IP位址執行網頁資料抓取。儘管部分合作發布商會在隱私權政策中揭露與Bright Data的關係，但對智慧電視使用者而言，隱私權政策文件未必是有效的告知方式。智慧電視通常透過遙控器操作，使用者不易在電視畫面閱讀完整法律文件，未必能理解Bright Data客戶可能透過家裡網路環境抓取網頁。 <a href="https://www.ithome.com.tw/news/176440">公開AI代理技能市集掃描機制難擋惡意技能，OpenClaw、Cisco與Vercel相關檢測皆遭繞過</a> 資安廠商Trail of Bits測試公開AI代理技能市集與相關安全掃描工具後，發現多個惡意技能套件可通過檢測，其測試範圍涵蓋OpenClaw的ClawHub技能市集、思科（Cisco）開源的skill-scanner工具，以及Vercel旗下skills.sh市集整合的Gen Agent Trust Hub、Socket與Snyk掃描服務。研究人員認為，問題不只在於某一套掃描規則不足，而是AI代理技能套件本身混合了程式碼、文件與自然語言指令，使掃描工具很難完整判斷意圖，建議企業敏感環境仍需控管技能套件來源、鎖定特定版本，並建立內部審核與核准流程。 <a href="https://www.ithome.com.tw/news/176429">Brave推付費極簡版瀏覽器，移除附加服務，使用者反應兩極</a> 隱私瀏覽器開發商Brave於6月4日發表全新付費產品Brave Origin，以一次性59.99美元價格提供更精簡的瀏覽器版本，保留阻擋網站追蹤與部分廣告載入的核心功能，但移除或停用AI、VPN、加密貨幣錢包（Wallet）等多項附加服務，引發使用者兩極反應。有使用者批評，Brave花了許多年移除了Chrome擁有的功能，又在自家瀏覽器加入大量附加服務，最終卻還要用戶花錢購買乾淨的瀏覽器；不過也有使用者認為，他們並不介意付費購買喜歡且經常使用的產品，也願意藉此支持開發團隊。 <a href="https://www.ithome.com.tw/news/176389">Anthropic稱內部逾8成正式程式碼由Claude撰寫，倡議先進AI開發者建立協調暫停機制</a> AI新創Anthropic近日發表報告When AI builds itself，揭露該公司合併至正式儲存庫的程式碼中，已有超過80%由Claude撰寫，顯示AI正逐步參與AI模型本身的開發流程。Anthropic並主張，全球應建立可驗證的協調機制，讓主要前沿AI開發者在必要時具備共同減速或暫停開發的選項。Anthropic強調，單一實驗室片面暫停效果有限，真正有意義的暫停，必須由多個擁有充足資源、接近前沿水準的實驗室共同參與，並能確認彼此確實遵守。 <a href="https://www.ithome.com.tw/news/176431">eBPF基金會推動eBPF安全稽核，強化雲端原生底層技術安全</a> Linux基金會旗下、推動eBPF生態發展的eBPF基金會，近日揭露eBPF安全強化進展，該組織在開源安全計畫Alpha-Omega支持下，透過外部安全評估與執行階段（runtime）強化，改善eBPF技術堆疊的安全防護。這次精進eBPF安全性的工作，分為兩大主軸。第一項是由STAR Labs主導的外部安全評估，聚焦eBPF的JIT後端與驗證器之間的互動。評估涵蓋x86-64與arm64 eBPF JIT編譯器，並分析驗證器與JIT後端之間的共用假設。這項評估共發現14項問題，包括8項高風險、2項中風險與4項低風險問題。 <a href="https://www.ithome.com.tw/news/176456">VS Code新增擴充套件自動更新延遲機制，降低供應鏈攻擊風險</a> 微軟在6月3日發布整合式開發環境Visual Studio Code（VS Code）1.123版，新增擴充套件自動更新延遲機制（Delayed extension auto-updates），一般擴充套件新版本發布後，VS Code將延後2小時再自動安裝新版擴充套件，降低惡意或異常版本影響開發環境的風險。這項機制是防範軟體供應鏈風險的額外保護，適用於一般擴充套件發布流程；來自微軟、GitHub、OpenAI等受信任的發布者的擴充套件，仍會維持立即更新。使用者若有立即更新需求，也可前往擴充套件頁面，手動安裝最新版本。 <a href="https://www.ithome.com.tw/news/176447">相依管理工具Bundler加入冷卻期機制，供Ruby專案避開剛發布的高風險套件版本</a> Ruby社群套件庫RubyGems專案相依管理工具Bundler 4.0.13新增套件冷卻期機制，讓Ruby專案在安裝或更新相依套件時，可以暫時避開剛發布，尚未經過觀察的新版本。開發團隊可自行設定等待天數，Bundler在選擇套件版本時，會略過發布時間未達門檻的版本，改用已經公開一段時間的可用版本。該功能主要針對套件供應鏈攻擊造成的風險，不會判斷套件內容是否惡意，也不是取代雙因素驗證或可信發布機制，而是在安裝端增加一段等待時間，降低新版本剛上架就被大量採用的風險。 <a href="https://www.ithome.com.tw/news/176441">將資安風險即時轉化為可能損失金額，趨勢科技首度公開CRQ預覽版</a> 今年臺北國際電腦展（Computex 2026）舉行，在資安議題方面，趨勢科技於展覽現場揭露兩項關鍵的全新預覽功能，一是網路風險量化（Cyber Risk Quantification，CRQ），另一是AI風險洞察（AI Risk Insight），展現AI時代下的企業如何深度結合資安管理與經營決策。首項功能主要受FAIR模型（Factor Analysis of Information Risk）啟發。具體而言，FAIR模型透過風險發生可能性（Likelihood）與風險衝擊（Impact）兩大維度，最終推導出貨幣風險（Monetary Risk），即具體的可能損失金額。 <a href="https://www.ithome.com.tw/news/176468">池安量子資安推PQ-SDN安全無線通訊模組，結合PQC與MANET技術建構無人載具高韌性網路</a> 無人機應用日益蓬勃發展，如何在複雜環境維持網路通訊穩定並確保資安防護，已成為產業關注焦點。致力於後量子密碼學（PQC）的池安量子資安（Chelpis），於Computex 2026首度公開展示其最新打造的無人機解決方案「安全無線通訊模組PQ-SDN」，不僅具備PQC演算法，也標榜強大的抗干擾特性與Mesh網路架構支援。PQ-SDN的核心特色之一，是導入池安量子資安設計的演算法函式庫實作，這項技術近期通過美國國家標準暨技術研究院（NIST）CAVP驗證。 <a href="https://www.ithome.com.tw/news/176445">資安院與微軟建立國家級合作關係，公私協力資安框架邁入新紀元</a> 國家資通安全研究院與臺灣微軟於6月8日正式簽署合作備忘錄，由資安院院長林盈達與微軟全球公共事務北亞區負責人Marcus Bartley Johns代表雙方簽署，並由數位發展部次長楊佳玲共同見證。國安會諮詢委員李育杰、資安院董事長李德財及資安署署長蔡福隆亦親自出席儀式。這份備忘錄涵蓋資安威脅情資共享、AI賦能資安防禦、關鍵基礎設施韌性強化，以及零信任架構落地等四大核心面向，標誌著臺灣資安治理體系在國際公私協力層面跨出里程碑式的一步。 近期資安日報 <a href="https://www.ithome.com.tw/news/176439">【6月8日】趨勢科技成首家加入Anthropic Project Glasswing的臺灣資安公司</a> <a href="https://www.ithome.com.tw/news/176404">【6月5日】伺服器管理晶片廠商於Computex 2026積極展現資安布局</a> <a href="https://www.ithome.com.tw/news/176372">【6月4日】HTTP/2 Bomb影響多款主流網頁伺服器系統</a> </div></div></div>
6/9 14:54作者周峻佑https://www.ithome.com.tw/news/176470
殭屍網路C0XMO利用老舊DD-WRT漏洞，擴散並感染DVR與Android等裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">資安業者Fortinet旗下的威脅研究與情報團隊<a href="https://www.fortinet.com/blog/threat-research/inside-cross-platform-propagation-of-new-gafgyt-variant-c0xmo" target="_blank">FortiGuard Labs上週披露</a>，Gafgyt殭屍網路的最新變種C0XMO正在利用DD-WRT開源路由器韌體於2021年揭露的CVE-2021-27137漏洞，在攻陷未更新的路由器後，再藉由獨立的Python掃描模組進一步感染數位錄影機（DVR）、網路影音管理平臺及Android裝置等多種裝置。 DD-WRT為一開源Linux路由器韌體，可取代原廠韌體，提供VPN、流量控管、無線橋接、進階防火牆等功能。它支援多家品牌的路由器，常見於技術玩家與中小型網路環境，目前版本是2026年5月發布的r64764。而CVE-2021-27137影響的是DD-WRT 45723版以前韌體，可讓駭客透過UPnP服務漏洞，自遠端控制未修補的DD-WRT路由器。 研究人員指出，C0XMO保留Gafgyt變種常見特徵，包括針對Telnet與SSH服務進行弱密碼暴力破解、內建命令注入漏洞攻擊模組，以及支援多種分散式阻斷服務（DDoS）攻擊。不過，與傳統殭屍網路不同的是，C0XMO將掃描與擴散功能拆成獨立Python腳本，使駭客更容易針對不同系統架構與裝置類型調整攻擊手法。 C0XMO攻陷路由器後，會先建立持久化，再下載Python掃描器對外尋找新目標。該掃描器會檢查Telnet、SSH、HTTP與Android Debug Bridge（ADB）等服務，並透過弱密碼或已知漏洞入侵其他裝置。成功入侵後，掃描器會偵測目標處理器架構，下載對應版本的C0XMO惡意程式。 FortiGuard Labs發現，駭客準備了適用於ARM、MIPS、PowerPC、SuperH、x86與x86_64等多種架構的C0XMO版本，顯示其目標涵蓋路由器、DVR、網路影音管理平臺及Android裝置等。 C0XMO在受害主機上執行後，還會掃描系統程序，終止其他殭屍網路、安全工具與紅隊工具，並刪除相關檔案與自動啟動設定，以排除競爭對手、獨占受害裝置。完成感染後，C0XMO會連線至指揮暨控制（C2）伺服器，並支援19種分散式阻斷服務（DDoS）攻擊手法，包括TCP Flood、UDP Flood、SYN Flood、NTP放大攻擊、Memcached放大攻擊及HTTP Flood等。 Fortinet則建議企業更新網路與物聯網裝置韌體，停用不必要的Telnet與UPnP服務，強化帳號密碼管理，並監控異常對外掃描與連線行為。 </div></div></div>
6/9 14:24作者陳曉莉https://www.ithome.com.tw/news/176469
Check Point VPN零時差漏洞已被用於勒索軟體Qilin活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">6月8日<a href="https://www.ithome.com.tw/news/176452">資安公司Check Point發布公告</a>，針對安全閘道設備Security Gateway與Spark Firewall修補兩個資安漏洞，並表示其中的CVE-2026-50751已遭利用，這樣的情況也<a href="https://www.ithome.com.tw/news/176460">得到美國政府證實</a>，要求聯邦機構4天內完成修補。究竟駭客如何利用CVE-2026-50751，Check Point同步<a href="https://blog.checkpoint.com/security/check-point-releases-important-hotfix-for-vulnerabilities-in-deprecated-ikev1-vpn-protocol">透過部落格文章</a>說明細節，透露有人針對全球數十個組織發動攻擊。 Check Point在6月4日察覺可疑活動，經過事件回應團隊稽核事件記錄與檢視組態配置之後，他們認為相關活動最早在5月7日出現，6月初漏洞嘗試利用活動數量增加，而在完成漏洞利用步驟後，駭客下載Linux版勒索軟體Qilin的二進位檔案。Check Point研判，這群駭客犯案的動機，很有可能是為了經濟利益，而在Check Point調查攻擊基礎設施後，預估駭客也打算利用Palo Alto Networks、Fortinet、F5等廠牌的VPN系統弱點。 值得留意的是，Check Point特別提及駭客使用虛擬專屬伺服器（VPS）的現象，而且，在部分活動當中，駭客使用的VPS與受害組織存在地理位置的關聯，若以針對臺灣受害組織的攻擊活動為例，這些駭客可能會使用設置於臺灣的攻擊基礎設施。 </div></div></div>
6/9 12:40作者周峻佑https://www.ithome.com.tw/news/176461
微軟推出Coreutils for Windows，讓開發者在Windows原生執行常用Linux命令列工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://blogs.windows.com/windowsdeveloper/2026/06/02/build-2026-furthering-windows-as-the-trusted-platform-for-development/#:~:text=Announcing%20general%20availability%20of%20Coreutils%20for%20Windows" target="_blank">微軟於Build 2026開發者大會宣布正式推出Coreutils for Windows</a>，讓Windows 11開發者可在命令提示字元（CMD）、PowerShell與Windows終端機（Windows Terminal）中，原生執行多數常用Linux／UNIX風格命令列工具。 Coreutils for Windows是由微軟維護的UNIX風格命令列工具套件，目標是降低開發者在Windows、Linux、macOS、WSL與容器環境之間切換時，因工具與操作方式不一致造成的不便與學習成本，讓既有命令、旗標、管線與指令碼可在Windows環境延續使用。 <a href="https://learn.microsoft.com/en-us/windows/core-utils/overview" target="_blank">根據微軟說明</a>，Coreutils for Windows是以Rust語言開發而成，並以uutils/coreutils專案為基礎，該專案為GNU coreutils的跨平臺重新實作版本，也是部分現代Linux發行版採用的實作基礎。微軟則維護Windows專用版本，將coreutils、findutils（包含find與xargs）以及GNU相容版本的grep整合為單一套件，同時整合原始DOS版sort與find的移植版本，讓依賴/switch風格語法的既有CMD指令碼，也能與UNIX風格命令並存運作。 不過，<a href="https://www.infoworld.com/article/4181357/microsoft-makes-linux-developers-feel-more-at-home-in-windows-with-coreutils-release.html" target="_blank">InfoWorld報導</a><a href="https://www.infoworld.com/article/4181357/microsoft-makes-linux-developers-feel-more-at-home-in-windows-with-coreutils-release.html" target="_blank">指出</a>，<a href="https://learn.microsoft.com/en-us/windows/core-utils/commands" target="_blank">微軟目前列出</a>75項Coreutils for Windows支援工具，但並非所有Linux命令都可在Windows環境使用。<a href="https://github.com/microsoft/coreutils#:~:text=Several%20commands%20share%20names%20with%20built%2Dins%20in%20CMD%20and%20PowerShell.%20Whether%20the%20Coreutils%20version%20runs%20depends%20on%20the%20shell%2C%20the%20PATH%20order%2C%20and%20(for%20PowerShell)%20the%20alias%20table." target="_blank">微軟也提醒</a>，實際執行的是哪個版本，仍可能受到shell內建命令、PATH設定順序，以及PowerShell別名機制等因素影響。 </div></div></div>
6/9 11:42作者王珮瑤https://www.ithome.com.tw/news/176457
eBPF基金會推動eBPF安全稽核，強化雲端原生底層技術安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://ebpf.foundation/strengthening-ebpf-security-progress-on-audit-and-runtime-hardening/">Linux基金會旗下、推動eBPF生態發展的eBPF基金會揭露eBPF安全強化進展</a>，說明該組織在開源安全計畫Alpha-Omega支持下，透過外部安全評估與執行階段（runtime）強化，改善eBPF技術堆疊的安全防護。 eBPF是源自Linux核心的技術，可讓通過驗證的沙箱程式在Linux核心安全執行，常用於高效能網路、可觀測性、安全監控與效能分析。隨著eBPF逐漸成為雲端原生與資安工具的重要基礎技術，eBPF基金會指出，其安全模型高度仰賴執行在Linux核心的驗證器（kernel verifier），以及各硬體架構專屬的即時編譯器（Just-in-Time compiler，JIT）是否正確運作。 這次精進eBPF安全性的工作，分為兩大主軸。第一項是由STAR Labs主導的外部安全評估，聚焦eBPF的JIT後端與驗證器之間的互動。評估涵蓋x86-64與arm64 eBPF JIT編譯器，並分析驗證器與JIT後端之間的共用假設。初步結果顯示，研究人員並未在x86-64、arm64或riscv64的JIT實作本身當中，發現獨立安全漏洞，但也確認eBPF安全性不只取決於JIT，驗證器正確性同樣關鍵。 截至目前，這項評估共發現14項問題，包括8項高風險、2項中風險與4項低風險問題。相關問題涵蓋驗證器繞過、記憶體與指標洩漏、可能造成記憶體毀損的競爭條件，以及影響驗證器行為的阻斷服務問題。其中2項低風險問題已在上游完成修補，其餘問題仍在揭露與修補流程中。 第二項工作，聚焦改善核心位址清理器（Kernel Address Sanitizer，KASAN）對於經JIT編譯的eBPF程式的支援。KASAN是用於偵測越界存取與釋放後使用等記憶體安全錯誤的工具，eBPF基金會表示，相關工程仍在開發中，目標是將KASAN涵蓋範圍延伸至經JIT編譯的eBPF執行路徑，強化eBPF程式經JIT轉譯後，在核心執行路徑中的記憶體錯誤偵測能力。 </div></div></div>
6/8 14:26作者王珮瑤https://www.ithome.com.tw/news/176431
Brave推59.99美元極簡版瀏覽器，引發使用者兩極反應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://brave.com/blog/brave-origin/" target="_blank">隱私瀏覽器開發商Brave上周四（6/4）發表全新付費產品Brave Origin</a>，以一次性59.99美元價格提供更精簡的瀏覽器版本，保留阻擋網站追蹤與部分廣告載入的核心功能，但移除或停用AI、VPN、加密貨幣錢包（Wallet）等多項附加服務，引發使用者兩極反應。 Brave成立於2015年，由JavaScript程式語言發明者、前Mozilla執行長Brendan Eich與Brian Bondy共同創辦。該公司以隱私保護為核心定位，主張封鎖跨站追蹤與侵入式廣告，但並非完全排斥廣告，而是試圖建立不依賴蒐集使用者資料的廣告與加值服務模式。Brave宣稱每月活躍用戶已超過1.15億人。 相較於Chrome、Safari或Firefox等主流瀏覽器，原版Brave瀏覽器內建功能更為多元，除了基本瀏覽與隱私保護外，也整合Brave Search搜尋引擎、Leo AI助理、Brave News新聞聚合、Brave Talk視訊會議、Brave VPN、Brave Wallet加密貨幣錢包與Brave Rewards獎勵計畫等服務。其中Brave VPN、部分Leo AI功能與Brave Search Premium屬於付費或進階服務。 Brave表示，Brave Origin是為了回應使用者對極簡瀏覽器的需求而推出。這些使用者希望保留Brave的隱私保護能力，但不想管理AI、加密貨幣、VPN等附加功能，因此Brave改以付費產品提供更精簡的瀏覽器選項。 Brave Origin保留Brave Shields廣告與追蹤防護機制、Chromium安全更新與其他核心隱私功能，但移除Leo AI、Brave News、Brave Rewards、Brave Wallet、Brave VPN、Brave Talk、Tor私密視窗等功能，主打更簡潔的使用體驗，未來新增的非核心功能也會預設排除在Origin之外。Brave Origin採一次性59.99美元收費模式，購買後可在不限數量的個人裝置上啟用。 Brave Origin支援Windows、macOS、Android、iOS及Linux等平臺，其中，Brave Origin for Linux可免費使用。 此事引發了使用者的兩極回應，<a href="https://www.reddit.com/r/browsers/comments/1sps2dg/brave_charged_5999_to_give_you_back_the_browser/" target="_blank">有使用者批評</a>，Brave花了許多年移除了Chrome擁有的功能，又在自家瀏覽器加入大量附加服務，最終卻還要用戶花錢購買一個乾淨的Brave；<a href="https://www.reddit.com/r/brave/comments/1skpnro/brave_origin/" target="_blank">不過也有使用者認為</a>他並不介意付費購買喜歡且經常使用的產品，也願意支持創作者。 </div></div></div>
6/8 13:40作者陳曉莉https://www.ithome.com.tw/news/176429
【資安日報】6月5日，伺服器管理晶片廠商於Computex 2026積極展現資安布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176369">導入Caliptra 2.x安全架構，信驊於Computex 2026積極展現晶片級資安布局，PQC支援亦成焦點</a> <a href="/sites/default/files/images/Aspeed-Computex-Caliptra-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Aspeed-Computex-Caliptra-63.jpg" style="width: 300px; float: right;" /></a>以伺服器管理晶片BMC產品聞名全球的臺廠信驊科技，在本週舉行的Computex展示以Caliptra安全架構為核心的產品布局。Caliptra是由OCP（Open Compute Project）主導的開源硬體信任根標準，信驊這次展出的多款新一代產品，也使其成為全球首家將Caliptra 2.x版本整合至晶片的廠商，宣示資安防禦已從軟體層全面深化至晶片層，該公司並預期，未來有更多廠商也會跟進。新版晶片亦全面支援後量子密碼學（PQC），確保伺服器韌體在未來量子運算時代，仍能防範韌體遭竄改。 <a href="https://www.ithome.com.tw/news/176374">Computex首設開源臺灣館，向國際展現臺灣開源社群實力</a> 今年Computex首次設立「開源臺灣館」（Open Source Team Taiwan），成為與硬體產品截然不同的展區。事實上，開源已經成為現代IT的重要基礎，因此，企業關注的焦點不再只是是否使用開源軟體，而是如何參與開源專案、建立開源治理能力，以及在供應鏈中維持軟體安全。本次大會亦邀請Apache軟體基金會（ASF）與開放原始碼安全基金會（OpenSSF）社群領袖來臺演說、交流，涵蓋開源治理、開源安全、軟硬體整合以及社群協作等議題。 <a href="https://www.ithome.com.tw/news/176367">Perplexity發表混合式本地伺服器推論技術，將敏感資料留在本機處理</a> <a href="/sites/default/files/images/0604-intel perplexity-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0604-intel%20perplexity-63.jpg" style="width: 300px; float: right;" /></a>在Computex 2026的Intel主題演講裡，AI模型廠商Perplexity展示混合式本地伺服器推論協調器，此為該公司混合式代理推論（hybrid agentic inference）的實作，訴求是部署AI系統需在準確性、隱私、成本三種要求間取得平衡。Perplexity指出，這項方案適合處理敏感資訊，但需要龐大AI分析的應用，包括財務記錄、健康資訊和個人資料。一般來說，準確性需要最強大的模型，但這類模型往往在雲端而難以兼顧隱私，藉由混合式本地伺服器推論協調器，將能把這類機敏資料留在本機處理。 <a href="https://www.ithome.com.tw/news/176394">NTLM協定安全問題又一樁，Windows Search URI問題可能導致NTLM驗證資訊外洩</a> 資安公司Huntress近日揭露Windows Search URI導致NTLM雜湊值洩漏的弱點，此問題源自Windows的search-ms: URI處理程序，當使用者點擊包含惡意參數的連結時，系統會解析該URI並自動發起連線至攻擊者控制的SMB伺服器，Windows可能在連線過程中自動發起NTLMv2驗證流程，導致Net-NTLMv2雜湊值洩漏給攻擊者。值得留意的是，此問題的性質與嚴重性，與微軟在4月修補CVE-2026-33829相同，但通報後卻未獲得微軟採納與修補。 <a href="https://www.ithome.com.tw/news/176387">研究人員直接公開VS Code資安漏洞，並表明對微軟漏洞通報流程失去信任</a> <a href="/sites/default/files/images/github-dev-dropdown-option-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/github-dev-dropdown-option-63.jpg" style="width: 300px; float: right;" /></a>資安研究員Ammar Askar於6月2日公布Visual Studio Code（VS Code）一項零時差漏洞，並指出攻擊者只要誘導使用者點選惡意連結，就能竊得GitHub OAuth權杖（token），進而存取使用者的公開與私有儲存庫。這項漏洞之所以受到關注，在於Askar並未依照微軟提供的通報管道處理，而是選擇在VS Code的GitHub專案提出議題（issue），以及發布部落格文章的方式公開漏洞，並表明這麼做的原因，就是他多年前向微軟安全回應中心（MSRC）通報漏洞的不愉快經驗。 <a href="https://www.ithome.com.tw/news/176392">WordPress表單外掛Everest Forms Pro漏洞遭積極利用</a> <a href="/sites/default/files/images/everest-forms-pro-rce-howto-wordfence-firewall-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/everest-forms-pro-rce-howto-wordfence-firewall-63.jpg" style="width: 300px; float: right;" /></a>6月5日資安公司Wordfence提出警告，他們於3月底公開揭露的表單外掛程式Everest Forms Pro漏洞CVE-2026-3300，於4月13日首度偵測到漏洞利用的跡象，並在5月16日出現大規模漏洞利用嘗試活動，當天有超過17,900次攻擊，截至目前為止已出現逾29,300次活動。Wordfence指出，攻擊者會嘗試在具有此漏洞的網站建立新的管理員帳號，而且多半會使用特定的使用者名稱或電子郵件信箱，該公司也提供入侵指標，讓系統管理者檢查網站是否已遭滲透。 <a href="https://www.ithome.com.tw/news/176391">Google發布Chrome 149穩定版更新，修補429項安全問題</a> Google發布Chrome瀏覽器新版本，將Windows與Mac平臺穩定版更新至149.0.7827.53與149.0.7827.54，Linux版本更新至149.0.7827.53，此次改版同時納入429項安全修正，其中包括22項重大漏洞的修補，而最為顯眼的是3項通報者獲頒獎金的重大漏洞。首先是CVE-2026-10881，為圖形處理元件ANGLE的記憶體越界讀取與寫入（Out of bounds read and write）問題，Google給予通報者9.7萬美元獎勵，是近幾個月來Chrome漏洞通報中相對少見的高額獎金。 <a href="https://www.ithome.com.tw/news/176356">Google發布ChromeOS長期支援版更新，修補多項重大記憶體安全漏洞</a> Google推出ChromeOS作業系統長期支援版LTS-144更新144.0.7559.254版，當中修補15項漏洞，有3項漏洞被評為有重大風險，11項有高風險，1項有中度風險。這3項重大漏洞皆為記憶體已釋放卻仍被使用（UAF）問題，嚴重性最高的是CVSS評分達9.0的CVE-2026-9891，問題出在擴充功能（Extensions），其次是CVSS嚴重性評分同為8.8的CVE-2026-9887與CVE-2026-9873，分別存在於代理伺服器（Proxy）與網路元件（Network）。 <a href="https://www.ithome.com.tw/news/176382">宏碁Wave 7路由器存在2項滿分重大漏洞</a> 宏碁本週發布安全公告，預告將對Wave 7家用路由器發布韌體更新，修補2個CVSS風險值10分的安全漏洞。這兩項漏洞編號分別為CVE-2026-49200及CVE-2026-49201。其中CVE-2026-49200屬於存取控制缺陷。攻擊者未經驗證也可經由Web介面存取裝置韌體中的acer_cgi.log檔。這個檔案包含明碼的Web及Telnet登入憑證，而導致非授權存取系統；CVE-2026-49201則是發生在負責處理裝置備份的upload.cgi，當中包含寫死的AES加密金鑰。 <a href="https://www.ithome.com.tw/news/176397">Google Gemini語音助理存在漏洞，攻擊者可透過訊息通知來挾持AI</a> 資安公司SafeBreach揭露Google Gemini存在一種新型態的弱點Fake Context Alignment，攻擊者藉由WhatsApp、Slack、簡訊等管道發送通知，並將惡意指令隱藏到另一種國家語言或是靜音連結（muted hyperlinks），就可能讓語音助理執行未經授權的行為。這種弱點可被用於控制智慧家庭裝置、啟動未經授權的影片串流，甚至偽造受信任的聯絡人進行大規模社交工程攻擊，或是污染AI長期記憶內容、建立持續存取的管道而影響廣泛。 <a href="https://www.ithome.com.tw/news/176380">新型SymJack攻擊鏈盯上AI程式開發代理，藉核准提示隱藏真正寫入目標</a> 資安公司Adversa AI揭露SymJack新型攻擊鏈，能對於多款協助開發者寫程式、修改檔案與執行命令的AI程式開發代理下手，因此該公司研判是普遍存在的設計瑕疵，而非單一產品問題。攻擊者可準備惡意程式碼儲存庫，讓AI代理執行看似普通的檔案複製動作，但實際內容可能被寫入代理工具的設定檔，並在代理下次啟動時執行攻擊者指定的程式。研究團隊建議，AI程式開發代理應在檔案寫入前解析符號連結的真正目標，避免只依命令文字判斷操作是否安全。 <a href="https://www.ithome.com.tw/news/176393">NPM套件遭供應鏈攻擊，感染惡意程式IronWorm</a> 資安公司JFrog揭露竊資軟體IronWorm的攻擊行動，這是以Rust打造的大型惡意程式，能從開發環境抓取多達86種機密資訊，本身可隱匿在eBPF核心rootkit背後運作，並透過Tor連線向操作員回報執行結果。與Shai-Hulud相同的地方在於，IronWorm使用竊得的憑證作為傳播機制，悄悄將惡意程式碼提交至受害者的GitHub儲存庫，並透過受信任的開發者工作流程GitHub Actions發布到NPM儲存庫。JFrog指出，這次攻擊者特別針對加密貨幣與Web3領域而來。 <a href="https://www.ithome.com.tw/news/176384">RondoDox殭屍網路鎖定華碩路由器舊漏洞，CVE-2018-5999出現實際濫用跡象</a> 資安漏洞情報業者VulnCheck於5月17日觀察到，殭屍網路RondoDox開始利用華碩路由器漏洞CVE-2018-5999。這項漏洞早在2018年已有公開利用程式，但VulnCheck表示，這是該公司首度觀察到實際濫用跡象。BankInfoSecurity報導指出，這項漏洞可讓未經身分驗證的攻擊者以root權限遠端執行程式碼；VulnCheck技術長Jacob Baines也對BankInfoSecurity表示，有超過100萬臺華碩路由器連接網際網路，形成相當可觀的攻擊面。 <a href="https://www.ithome.com.tw/news/176375">駭客入侵大型證券交易所高層電子郵件帳號，潛伏5個月竊取商業情報</a> Broadcom旗下Symantec與Carbon Black團隊，近日揭露一起鎖定全球大型證券交易所的網路間諜活動。相關跡象最早可追溯至2025年10月，此時攻擊者已取得SYSTEM權限，並部署偽裝成Adobe Acrobat Reader與OneDrive元件的惡意程式，用於展開後續攻擊活動。在5個月的時間中，攻擊者始終專注於逐步竊取單一Outlook信箱的內容，其中內容足以讓攻擊者建構出組織發展方向等重要商業資訊，而無須進一步橫向移動。 <a href="https://www.ithome.com.tw/news/176363">駭客利用美國愛國者形象經營社群頻道，掩護詐騙活動，結合生成式AI擴大攻擊行動</a> 透過生成式AI的協助，以往需要一組團隊才能完成的複雜網路攻擊行動，現在單一攻擊者便能執行。趨勢科技研究團隊近日揭露一起以「美國愛國者」形象的Telegram社群頻道為掩護，長達5年的社群操作與網路詐欺活動，近期攻擊者還進一步利用遭越獄（Jailbreak）的Google Gemini AI模型與遭竊API金鑰，將生成式AI用於社群頻道內容生成、憑證竊取、帳號入侵等工作，在Gemini協助下完成大規模的自動化攻擊活動。 <a href="https://www.ithome.com.tw/news/176373">惡意NPM套件藉自動化流量灌水下載量，偽裝成活躍維護專案</a> 資安業者Tenable揭露一種名為download pumping的NPM套件操弄手法，攻擊者會在短時間內大量發布套件新版本，藉此觸發套件庫鏡像站、安全掃描器與分析機器人等自動化系統下載，拉高下載次數與版本歷史，讓惡意套件看起來像是持續維護、具有使用基礎的專案。Tenable舉出惡意套件ambar-src為例，攻擊者曾在兩小時內密集發布428個看似正常的版本，3天後才上傳含有惡意程式碼的新版本，該套件後來累積至724個版本，下載量被推升至約5萬次。 <a href="https://www.ithome.com.tw/news/176364">Let's Encrypt規畫2027年建立後量子憑證架構</a> 免費憑證簽發機構Let's Encrypt規畫以MTC（Merkle Tree Certificates）作為Web PKI導入後量子身分驗證的主要方案，目標是在2026年稍晚建立可簽發MTC的測試環境，並在2027年建立可供生產使用的環境。該計畫不會立即改變現有Let's Encrypt憑證的申請與續期流程，但顯示Web PKI後量子憑證開始進入具體工程規畫階段。Let's Encrypt並非單純把既有X.509憑證改用後量子簽章，因為這麼做將導致TLS交握需要傳送的驗證資料大幅增加。 <a href="https://www.ithome.com.tw/news/176317">HPE將AI對話式互動帶進災難復原管理，Zerto新增AI助理與第3方AI平臺整合</a> HPE旗下備份與資料保護平臺Zerto近日推出10.9版，新增兩項與AI相關的新功能，包括內建的對話式AI助理（AI Assistant），以及與外部AI用戶端的整合機制Zerto Context Protocol。其中的Zerto Context Protocol，允許外部AI用戶端環境透過標準化介面連接Zerto的ZVM管理平臺。在這個應用架構下，外部AI用戶端是透過OAuth 2授權機制與TLS 1.2+加密通訊協定，來與Zerto的ZVM連線，可透過對話式互動方式，提供系統資訊與功能操作。 <a href="https://www.ithome.com.tw/news/176390">群創光電重新定義資安的價值，從「花錢的部門」到公司治理核心</a> 【臺灣資安大會直擊】在2025年，群創光電悄悄完成一項組織變革，對於群創光電、對於臺灣製造業的資安史上，這是一個值得記錄的里程碑。群創光電的資通安全部正式從MIS（資訊系統）部門獨立出來，直屬執行長辦公室，並設立資安長（CISO）一職，邀請學者型高階主管林宜隆擔綱。這個組織圖上的移動，看似只是幾條線的重新連接，卻牽動一整套思維方式的根本翻轉——資訊安全，不再只是IT部門底下一個防堵漏洞的執行單位，而是公司戰略決策的核心機制。 <a href="https://www.ithome.com.tw/news/175244">【2026臺灣資安年鑑｜國家資通安全研究院院長林盈達】揭露資安院2.0轉型願景，林盈達以AI築數位長城</a> 在臺灣數位發展體系中，隸屬於數位發展部的法人機構國家資通安全研究院，長期扮演技術支援與政策智庫的關鍵角色。不同於一般以研發導向為主的法人單位，資安院自成立以來便肩負著貼近第一線的任務，既要支援政府機關的資安防護，也要回應快速變動的數位威脅環境。如今，在第二任院長林盈達的帶領下，資安院正邁入一場被稱為「資安院2.0」的深層轉型，試圖重新定義國家級資安機構的角色與價值。 近期資安日報 <a href="https://www.ithome.com.tw/news/176372">【6月4日】HTTP/2 Bomb影響多款主流網頁伺服器系統</a> <a href="https://www.ithome.com.tw/news/176332">【6月3日】紅帽NPM套件遭遇蠕蟲Miasma供應鏈攻擊</a> <a href="https://www.ithome.com.tw/news/176297">【6月2日】捷克參議院率團訪臺前夕，傳出中國駭客從事網路間諜活動</a> </div></div></div>
6/5 15:33作者周峻佑https://www.ithome.com.tw/news/176404
【資安日報】6月4日，HTTP/2 Bomb影響多款主流網頁伺服器系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176351">HTTP/2 Bomb攻擊手法影響主流網頁伺服器，恐遭用於DoS攻擊</a> 研究人員於6月3日揭露名為HTTP/2 Bomb的遠端阻斷服務（DoS）攻擊手法，影響多款主流網頁伺服器與代理伺服器，包括Nginx、Apache httpd、Microsoft IIS、Envoy與Cloudflare Pingora。資安研究發布平臺Calif指出，這項攻擊手法的成形，源於研究人員使用OpenAI程式開發代理Codex，嘗試將兩種已知手法進行串連而得到，這些被發現至今長達10年的手法，分別是：HTTP/2標頭壓縮機制HPACK的壓縮炸彈，以及類似Slowloris的連線占用手法。 <a href="https://www.ithome.com.tw/news/176362">Minecraft玩家遭惡意軟體WeedHack鎖定，逾11萬臺設備被感染</a> <a href="/sites/default/files/images/Screenshot-2026-05-28-at-9_15_17 AM-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Screenshot-2026-05-28-at-9_15_17%E2%80%AFAM-63.jpg" style="width: 300px; float: right;" /></a>近年來遊戲玩家不斷成為駭客鎖定的目標，如今出現攻擊特定遊戲族群的惡意軟體租用服務（Malware-as-a-Service），提供買家對特定遊戲的玩家發動攻擊。資安公司McAfee揭露惡意軟體租用服務WeedHack，該平臺從今年1月開始出現，專門針對Minecraft玩家，迄今已確認有116,464臺電腦受害，而且遭感染的電腦數量每天會增加2千至3千臺。一旦遭到感染，攻擊者可竊取帳密資料並挾持Discord與Minecraft帳號，洗劫加密貨幣資產，甚至即時存取受害者的視訊鏡頭、螢幕畫面，以及電腦檔案。 <a href="https://www.ithome.com.tw/news/176370">惡意軟體租用服務WeedHack提供免費試用，已成為青少年竊取Minecraft玩家財務、霸凌同儕的工具</a> <a href="/sites/default/files/images/Screenshot-2026-05-28-at-8_43_12 AM-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Screenshot-2026-05-28-at-8_43_12%E2%80%AFAM-63.jpg" style="width: 300px; float: right;" /></a>資安公司McAfee揭露針對Minecraft玩家的惡意軟體WeedHack，網路罪犯採用租用模式（Malware-as-a-Service）經營，不過有別於其他提供惡意軟體租用的服務，每個月費用需要數百美元，McAfee指出，任何人只要有Discord帳號與網路連線，就能免費使用WeedHack，竊取玩家的帳密資料及挾持帳號，若是一個月支付5美元的買家，還能進一步即時存取受害者的電腦螢幕畫面、視訊鏡頭，以及檔案。McAfee發現，買家不僅利用WeedHack獲得經濟利益，還進一步騷擾和霸凌同儕。 <a href="https://www.ithome.com.tw/news/176357">WordPress惡意軟體感染近2,000個網站，駭客濫用Steam平臺建立C2通訊管道</a> <a href="/sites/default/files/images/ascii_art_comment1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ascii_art_comment1-63.jpg" style="width: 300px; float: right;" /></a>為了隱匿攻擊活動，駭客濫用合法雲端服務建立C2通訊的情況極為氾濫，然而最近有一起相當不尋常的活動引起資安研究人員的注意，因為遊戲平臺提供的功能也遭到利用。網站代管平臺GoDaddy資安團隊上週公布鎖定WordPress網站的惡意軟體活動，駭客利用Steam社群的個人資料（profile）留言區嵌入C2資料，將惡意基礎設施隱藏在Valve合法的平臺之中。該公司最早於2025年7月偵測到相關活動，迄今約有1,980個WordPress網站被植入惡意軟體。 <a href="https://www.ithome.com.tw/news/176336">新興勒索軟體The Gentlemen濫用Windows排程工作提升權限，具備自我擴散能力加速大規模感染</a> 微軟資安威脅情報團隊近日揭露新興勒索軟體The Gentlemen，指出相較於傳統勒索軟體，The Gentlemen有兩項特點。首先，具備濫用Windows排程工作（Scheduled Task）功能，建立SYSTEM權限的排程工作，藉此再次以SYSTEM的權限層級執行惡意軟體本身，還會透過排程工作與修改登錄檔，建立持久運作機制，在系統重啟後仍能運作；其次，擁有強大的自我散播能力，會嘗試使用WMI、PsExec與PowerShell多種遠端執行方式，在網路中橫向移動。 <a href="https://www.ithome.com.tw/news/176337">駭客Storm-2949接管雲端帳號，濫用Azure權限滲透正式環境竊取資料</a> 微軟揭露濫用雲端身分入侵事件，駭客組織Storm-2949先透過社交工程接管Microsoft Entra ID帳號，再濫用受害者原本就具有的Azure角色型存取控制（Azure RBAC）權限，存取Microsoft 365應用程式、雲端檔案服務，以及Azure託管正式環境中的資料與雲端資源。該攻擊疑似與自助密碼重設流程遭濫用有關，攻擊者可能假冒內部IT支援人員，鎖定IT人員與高階主管，要求目標使用者核准看似正常的多因素驗證（MFA）提示而得逞。 <a href="https://www.ithome.com.tw/news/176353">4年前的Linux核心漏洞已遭利用，恐被用於供應鏈攻擊</a> 6月2日美國網路安全與基礎設施安全局（CISA）警告，幾年前揭露的Linux核心權限提升漏洞CVE-2022-0492已遭到積極利用，他們將其納入已遭利用漏洞名單（KEV），要求聯邦機構於6月5日前完成修補。巧合的是，在CISA將此漏洞納入KEV之前，在卡巴斯基本週揭露的容器用於供應鏈攻擊初期管道研究，CVE-2022-0492剛好是其中一個被提到遭利用的漏洞，攻擊者將其用於容器逃逸。 <a href="https://www.ithome.com.tw/news/176350">美國政府證實Magento快取外掛Mirasvit Cache Warmer重大漏洞已遭利用</a> 上週資安公司Sansec提出警告，Magento網頁快取外掛程式Mirasvit Cache Warmer存在重大漏洞CVE-2026-45247，攻擊者在未經身分驗證的情況下，可在PHP物件進行注入，CVSS風險評為9.8分，用戶應儘速更新因應。本週美國網路安全與基礎設施安全局（CISA）指出，他們已掌握漏洞遭積極利用的證據。6月3日CISA將上述漏洞加入已遭利用的漏洞名單（KEV），要求聯邦機構必須在6月6日前完成修補。 <a href="https://www.ithome.com.tw/news/176349">CISA將Android框架零時差漏洞列入已遭利用漏洞名單</a> Google發布6月Android例行更新（Android Security Bulletin），修補的對象包含存在於Android框架的權限提升漏洞CVE-2025-48595，公告指出該漏洞已被鎖定目標的局部活動所利用，隨後美國網路安全與基礎設施安全局（CISA）也證實CVE-2025-48595被用於實際攻擊的情況。6月2日CISA發布公告，他們掌握兩個漏洞遭到積極利用的證據，將它們加入已遭利用漏洞列表（KEV），其中一個就是CVE-2025-48595，聯邦機構必須在6月5日前完成修補。 <a href="https://www.ithome.com.tw/news/176352">老舊系統威脅持續惡化，歐洲逾半數工業組織的資安事件涉及舊版Windows系統</a> 工業環境中的老舊系統（Legacy Systems）風險持續成焦點，TXOne Networks近期針對歐洲揭露其2026年度OT資安報告研究細節，解析當地工業領域面臨的挑戰。報告指出，過去一年有超過半數（51%）的歐洲工業組織，曾經歷涉及老舊Windows系統的資安事件，這項數據相較於2025年的43%有明顯增長。值得注意的是，約25%受訪者表示相關資安事故在一年內發生不只一次，反映出舊系統漏洞已成為駭客眼中持續且活躍的攻擊面。 <a href="https://www.ithome.com.tw/news/176316">歐盟網路安全局發布NIS360報告，太空與鐵路關鍵性攀升</a> 歐盟網路安全局（ENISA）發布NIS360報告，針對歐盟NIS2指令所涵蓋的高關鍵性部門，建立年度評估架構。報告指出，隨著組織積極應對演進中的政策要求與網路威脅，歐盟關鍵領域部門的資安成熟度正穩步提升；然而，受地緣政治與數位化影響，太空與鐵路部門的關鍵性（Criticality）顯著攀升，被列入資安防禦的重點關注區域。鐵路、飲用水及廢水處理這三個部門，先前僅處於風險區邊緣，今年則正式進入風險區內，顯示其防護成熟度需要積極提升。 <a href="https://www.ithome.com.tw/news/176278">逾9成資安長重視網路威脅情資，但不到3成將其列入決策依據</a> 資安教育與研究機構SANS Institute於5月發布調查報告指出，企業已普遍將網路威脅情資（Cyber Threat Intelligence，CTI）納入資安計畫，但許多組織仍未把情資分析結果，轉化為預算分配、風險排序與高層決策依據。91%的資安長認為CTI具備價值，但僅26%表示CTI會明顯影響高層決策。SANS認為，這反映CTI目前面臨的主要挑戰，不是情資可信度不足，而是對於分析結果的認知尚未反映至對於決策制定的影響。 <a href="https://www.ithome.com.tw/news/176339">Veeam 13.0.2解決備份伺服器高可用性與跨平臺支援問題</a> 備份與資料保護廠商Veeam近日推出Veeam Backup & Replication 13.0.2版，這次更新聚焦於備份基礎設施高可用性、跨平臺支援，以及復原能力的修正。在跨平臺支援方面，13.0.2版也修正搭配不同平臺時的作業問題，例如Hyper-V環境的複本VM無法啟動，以及Linux平臺的代理程式，無法安裝在RHEL 9.8、RHEL 10.2與Ubuntu 26.04 LTS等Linux發行版。上述狀況改善後，能使這些系統的資料受到保護。 <a href="https://www.ithome.com.tw/news/176358">WordPress熱門外掛Kirki爆權限提升漏洞，未登入攻擊者可劫持管理員帳號</a> 資安業者Wordfence揭露，WordPress外掛Kirki含有未經身分驗證即可利用的權限提升漏洞CVE-2026-8206，CVSS分數為9.8，影響6.0.0至6.0.6版，開發團隊已在Kirki 6.0.7修補。攻擊者不必登入網站，就可透過外掛的密碼重設功能，讓任意已註冊使用者帳號的密碼重設連結，寄到攻擊者控制的電子郵件信箱，進而接管管理員帳號。由於該漏洞是在Kirki 6.0主要版本引入，Wordfence在6月1日估計約15萬個網站使用受影響版本。 <a href="https://www.ithome.com.tw/news/176340">Google Workspace擴大網域外檔案警示，降低敏感資料外洩與釣魚攻擊風險</a> Google宣布強化Google Workspace安全功能，擴大既有的網域外檔案警示（Out-of-Domain file-level warnings）適用範圍，新增支援行動裝置App、檔案共享通知等情境。Google表示，這項預設啟動的功能，可協助用戶更清楚辨識所處理的檔案，並降低外洩敏感資料及遭遇網路釣魚攻擊的風險。現在擴大支援範圍，涵蓋Android版與iOS版的Google雲端硬碟、Google文件、Google試算表與Google簡報，也延伸至電子郵件的評論通知與檔案共享的郵件通知。 <a href="https://www.ithome.com.tw/news/176277">Anthropic提出AI代理人零信任框架，因應AI加速攻擊風險</a> Anthropic發布AI代理人零信任安全框架，主張企業部署具自主操作能力的AI代理人時，應從一開始就以「預想遭駭」為前提，規畫整體系統與安全架構。Anthropic提出的AI代理人零信任安全框架依組織成熟度與風險承受能力分為3層，分別是基礎、企業與進階。基礎層級涵蓋短效存取權杖、具備密碼學驗證機制的代理人身分識別、以身分為核心的工作負載隔離，以及可自動執行初步事件分流的安全機制。 <a href="https://www.ithome.com.tw/news/176311">思科打造AI代理時代IT營運平臺，內建身分、政策與零信任防護</a> 思科（Cisco）推出統一營運平臺Cisco Cloud Control，將旗下網路、資安、AI基礎架構、可觀測性與協作等產品能力，整合到單一操作介面。這項平臺也透過Cloud Control Studio串接第三方工具與既有IT環境，讓企業可在同一套介面中管理跨產品組合的維運工作。該平臺提供標準化API與MCP介面，並整合身分識別、政策控管、遙測資料與執行期間控管點；同時促使每項AI代理的行為透明、可被稽核（auditable）、能受到限制（bounded）、可被追溯（reversible），並且必須經過人類批准，降低AI代理直接操作企業環境可能帶來的風險。 <a href="https://www.ithome.com.tw/news/176334">川普簽署AI資安行政命令，要求業者自願提供前沿模型供政府測試</a> 美國總統川普於6月2日簽署AI資安行政命令，要求聯邦政府建立前沿AI模型自願測試機制，最終版本已較白宮原先考慮的方案大幅縮減。這項行政命令正式名稱為《促進先進人工智慧創新與安全》（Promoting Advanced Artificial Intelligence Innovation and Security），重點包括成立AI資安資訊交換中心（AI Cybersecurity Clearinghouse），要求美國網路安全與基礎設施安全局（CISA）擴大AI資安工具與服務，建立「列管前沿模型」（Covered Frontier Model）認定標準。 <a href="https://www.ithome.com.tw/news/176333">微軟9月強化Entra ID自助式密碼重設，僅允許已註冊驗證方法</a> 微軟預告，身分識別與存取管理服務Microsoft Entra ID的自助式密碼重設（Self-Service Password Reset，SSPR）流程，將自2026年9月7日起調整。企業使用者透過SSPR重設密碼並驗證身分時，僅能使用事先完成註冊的驗證方法。若手機號碼、公司電話或備用電子郵件僅存在於目錄屬性中，未正式註冊為驗證方法，政策生效後將無法再用於密碼重設。2026年7月6日起，系統將提醒受影響使用者與系統管理員註冊驗證方法；9月7日起正式強制執行。 <a href="https://www.ithome.com.tw/article/175242">【2026臺灣資安年鑑｜數位發展部部長林宜敬】從「資安蜜罐」到「民主供應鏈」，臺灣是自由民主世界資安前哨站</a> 在2026年4月初，數位發展部部長林宜敬甫自美國舊金山RSA Conference（RSAC）資安會議返臺，帶回一股強烈的信念：臺灣資安產業的黃金時代，就在當下。「Taiwan is a honey pot of free world.（臺灣是自由世界的蜜罐）」。首創這句話的林宜敬表示，這是他對臺灣資安現況觀察的真實寫照。此次RSAC之旅臺灣的角色已悄然翻轉──在擁擠的展覽館裡，臺灣廠商告訴國際訪客「We are the expert of Chinese APT」，令現場人群立刻停下腳步關注。 近期資安日報 <a href="https://www.ithome.com.tw/news/176332">【6月3日】紅帽NPM套件遭遇蠕蟲Miasma供應鏈攻擊</a> <a href="https://www.ithome.com.tw/news/176297">【6月2日】捷克參議院率團訪臺前夕，傳出中國駭客從事網路間諜活動</a> <a href="https://www.ithome.com.tw/news/176267">【6月1日】偽冒FIFA世足的詐騙網域激增</a> </div></div></div>
6/4 15:34作者周峻佑https://www.ithome.com.tw/news/176372
Computex首設開源臺灣館，向國際展現臺灣開源社群實力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">臺灣開源社群長期活躍於Linux、Kubernetes、Apache等國際專案，卻鮮少以臺灣整體生態系的名義出現在大型科技展。今年Computex電腦展中首度設立「開源臺灣館」，集結臺灣在地的開源社群能量組成臺灣隊，向國際來訪的參觀者展現臺灣開源社群的活力，而在AI時代下，開源技術與開源治理也逐漸成為產業關注焦點。 當今年Computex展場充滿AI伺服器、資料中心基礎設施、大型語言模型、商業軟體解決方案相關展示時，在南港展覽2館中出現了一個與硬體產品截然不同的展區，首次設立的「開源臺灣館」（Open Source Team Taiwan）。 相較於各家廠商展示新一代GPU、AI伺服器或企業AI平臺，這個展區展示的並非單一產品，匯聚長年參與國際開源專案的開發者、社群組織與企業技術團隊。對許多臺灣開源社群成員而言，這是很不一樣的地方，Computex提供了國際舞臺，集合臺灣的開源社群，對外展現臺灣的軟實力。 臺灣擁有相當活躍的開源文化。從2000年代初期Linux社群興起，到2006年COSCUP開源人年會創立，臺灣逐漸形成完整的開源生態圈。多年來，不少臺灣工程師持續參與Linux Kernel、Apache、Kubernetes、OpenStack等國際專案，也有人擔任專案維護者（Maintainer）或核心貢獻者。 但是相較於臺灣半導體產業在全球供應鏈中的高能見度，國內開源社群的貢獻往往分散在不同專案之中，外界較少意識到許多全球開源技術背後其實有臺灣開發者參與其中。 因此，今年Computex首次出現開源臺灣館，某種程度上也象徵臺灣開源社群從幕後走向前臺。 值得注意的是，這樣的轉變與近年AI發展趨勢密切相關。 過去開源軟體經常被視為開發者文化的一部分，但是當雲端原生（Cloud Native）、Kubernetes、生成功能AI模型與AI開發框架快速普及，開源已經成為現代IT的重要基礎。從PyTorch、TensorFlow到近年的Llama、Mistral等開放模型，許多AI創新的基礎都建立在開源生態之上。 也因此，企業關注的焦點不再只是是否使用開源軟體，而是如何參與開源專案、建立開源治理能力，以及在供應鏈中維持軟體安全。 除了開源臺灣館，今年活動也邀請Apache Sofeware Foudation與Open SSF的開源社群領袖來臺演說、交流，涵蓋開源治理（Open Source Governance）、開源安全（Open Source Security）、軟硬體整合以及社群協作等議題。這些主題近年已逐漸成為企業IT部門關注的重點，尤其在《歐盟網路韌性法》（Cyber Resilience Act，CRA）等法規陸續上路後，企業對開源元件管理與軟體供應鏈安全的重視程度明顯提高。 開源臺灣館展示了幾個在地開源社群參與開源專案的成果，或是由在地社群主導的開源專案，例如在地化AI發展成果，雲端及私有雲平臺、資料處理。 熟悉臺灣在地文化、語境的AI 目前國際上開源的大語言模型，雖然理解中文語意內容，但是多採用中文簡體內容訓練而成，因此對於臺灣使用的正體中文、臺灣的觀點並不完成理解，因此由國科會主導，中研院推動的臺灣在地大語言模型TAIDE，在今年2月釋出Gemma-3-TAIDE-12b-Chat-2602模型，TAIDE模型累積下載已達到24萬次，除了展示教育、醫療等應用，還包括政府公部門專用的G-TAIDE。TAIDE未來將朝多模態發展。 另外，國內的資訊經理人協會(IMA)也展示Taiwan Tongues臺灣通用語料庫，目的在建立臺灣文化內容的資料集，目的在邀請文學作家提供作品內容授權，以建立可供國內外大型語言模型訓練使用的臺灣文學內容語料，提升國際大語言模型對臺灣用語文化的理解。 另外，致力於推廣正體中文開源語言模型的社群Twinkle AI，目標為打造適合臺灣語境的大型語言模型（LLM），並讓模型可在手機、桌機甚至各種終端設備上執行。Twinkle AI現場還展示將AI接上政府開放資料，讓AI代理人可協助查詢政府標案、房價登錄等資料。 社群成員Bobson Lin指出，過去一年團隊持續驗證大型語言模型能否在iPhone、Android等行動裝置執行，並推Littlestar的開源應用程式，作為模型部署與推論平臺。該專案已開源釋出，未來將會持續強化推論效能、多模型支援以及跨裝置運作能力。 Twinkle AI目前採用GGUF格式模型與llama.cpp等開源推論框架，透過模型量化、記憶體優化與推論加速技術，使模型能在資源有限的終端設備運作。該團隊也正在開發新的推論架構與加速機制，希望能提升手機端的推論速度與使用體驗。 <img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-06-04%20%E4%B8%8B%E5%8D%884_27_32.jpeg" style="width: 600px; height: 348px;" /> 有鑑於AI向邊緣裝置發展的趨勢，Bobson Lin表示，許多個人資料原本就儲存在手機等終端設備中，若能直接在本地端完成推論，不僅可降低對雲端的依賴，也有助於提升隱私保護能力。 此外，Twinkle AI也持續投入臺灣本地化模型訓練，希望模型能更理解臺灣的用語、文化與使用情境。未來除文字模型外，也將朝向語音、多模態模型發展，並以Ambient Intelligence環境智慧為其長期願景，希望AI能更自然地融入使用者周遭環境與日常生活。 打造企業級雲原生基礎架構平臺 除了推動AI的在地化發展，擴展臺灣在AI時代的能見度，企業級工具也是展出的另一項重點。 例如Bigstack展示旗下開源專案CubeCOS，CubeCOS定位為企業級的雲原生基礎架構平臺，以協助企業簡化私有雲、邊緣運算與AI工作負載的部署與管理。 Bigstack表示，許多企業雖然希望採用Kubernetes等雲原生技術，但實際導入時往往需要處理身分管理、儲存、網路、監控、維運等大量整合工作，門檻相當高。因此，CubeCOS希望將這些基礎能力整合成標準化平臺，讓企業能更容易建置自己的雲端環境。 在技術架構上，CubeCOS建立於Kubernetes生態系上，扮演類似基礎作業平臺的角色，向上承載虛擬機、容器及各類應用服務，向下則整合不同硬體與基礎設施資源。 該公司對於CubeCOS採取開源模式開發，相關功能會優先回饋至上游開源專案，因此維持開源社群與商業服務並行模式。商業版本與開源版本差異在於企業維運管理、整合工具與技術支援服務。 該公司也提到，近年邊緣運算需求增加，加上企業對自主可控基礎架構的需求提升，使得開源雲原生平臺獲得更多關注。部分客戶已將CubeCOS應用於AI推論、醫療影像等需要在地部署的場景。 OpenSource4You把臺灣工程師帶進全球開源資料平臺生態系 而本地知名開源社群opensource4you也展示參與Apache Kafka、Airflow、Flyte、Ray等開源專案的成果，其中的分散式串流資料分析的Kafka為知名的開源專案，IBM曾以110億美元買下資料串流平臺台巨頭Confluent，Confluent創辦人即為Kafka開源專案原始共同創造者，該公司員工也是Kafka專案的核心與最大貢獻者，而opensource4you社群貢獻度約為Confluent的三分之一，為Kafka專案的主要工獻社群之一。 在BI商業智慧洞察分析方面，為突破AI通用語義缺乏對企業的商業情境上下文理解限制，易開科技開發商業情境AI的WrenAI。 易開科技軟體工程師、開源專案核心維護者陳品旭指出，企業導入AI Agent後，最大挑戰已不再是讓 AI 能夠存取資料庫，而是如何讓 AI 理解企業內部的商業語意與資料定義。他舉例，當使用者詢問「本季活躍客戶成長率」時，AI 雖然可以從資料表取得數據，卻未必知道企業如何定義活躍客戶、是否需排除試用帳號或內部帳號，以及季度計算方式等商業規則，因此容易產生看似合理卻不符合企業實際定義的答案。 為解決這類問題，WrenAI提出Context Layer，希望在AI Agent與資料庫間建立可供機器理解的企業知識層，將商業術語、指標定義、資料使用規範、團隊慣例與歷史分析經驗等資訊結構化管理，讓AI不僅能查詢資料，還能理解資料背後的商業情境。他認為，過去企業建立的Semantic Layer要解決資料模型與指標定義問題，而在Agent時代，還需要進一步納入企業知識與商業脈絡，才能提升AI回答商業問題的準確度與可信度。 陳品旭認為，隨著越來越多企業開始導入AI Agent查詢資料與產生分析結果，資料治理也從資料表管理延伸到知識治理（Knowledge Governance）。WrenAI透過開源方式發展 Context Layer 架構，讓企業能將原本散落在文件、會議紀錄、SQL腳本與員工經驗中的知識，轉換成可供AI存取與重複利用的上下文資訊，降低因AI錯誤理解的判斷風險。 中研院長期投入YOLO物件偵測技術研發 另外，中研院長期投入電腦視覺與深度學習應用領域長期，其中在YOLO物件偵測架構專案上，中研院是YOLOv4、v7、v9 的核心研發團隊之一。目前著重於模型輕量化、推論效率優化，以及在邊緣裝置上的部署可行性。 <img alt="" src="/sites/default/files/images/20260603_145302.jpeg" style="width: 300px; height: 400px;" /> 中研院現場展示即時影像分析場景，例如監控、交通辨識等智慧城市應用，或是在室內物件偵測的成果。中研院持續將YOLO相關技術與本地產業及開源生態接軌，推動從研究模型走向實際應用系統的轉譯，例如結合嵌入式運算平台與AI推論加速框架，使即時物件偵測能在低功耗設備上穩定運行。 全球首個5G核網開源專案free5GC 陽明交大資工系教授陳健介紹全球第一套開源的5G核網專案free5GC，其原本的核心目標是建立一套開源5G核心網路實驗平臺，讓研究與產業不再只能依賴昂貴且封閉的商用系統。free5GC是以3GPP Release 15標準為基礎，提供完整的5G Core（5GC核網）實作，讓研究人員能直接在平台上進行網路功能驗證、協定測試與PoC開發，縮短從學術研究到實際應用的距離。 <img alt="" src="/sites/default/files/images/20260603_143210.jpeg" style="width: 600px; height: 450px;" /> 在產業與應用驗證方面，free5GC成為企業建立5G專網或進行PoC測試的重要工具。企業可利用開源架構來模擬真實電信網路環境，進行如智慧工廠、車聯網、邊緣運算等應用測試，以降低導入前的試錯成本。同時，由於其開放特性，也便於與SDN、雲原生平臺整合，加速網路功能虛擬化（NFV）與雲端化部署。 在生態系價值上，free5GC透過開源社群，累積大量來自學界與產業的修補與功能擴充，使其不只是單一研究成果，而逐漸成為5G核心網路開源基礎設施。這也讓使用者能在一致的平台上進行標準對齊、互通性測試與創新實驗，提升整體5G技術發展的協作效率與速度。 陳健強調free5GC的價值不僅在於可用的開源核心網路，更是打造一個可持續演進的研究與產業協作基礎。透過開放原始碼與社群共創，目前free5GC已被用於智慧工廠、智慧醫療、車聯網與專網（private 5G）等場景驗證，並且也朝向下一代行網路6G研究的重要基礎設施之一，使臺灣在核心網路技術上從過去較少著力的領域，轉向具全球影響力的開源平臺貢獻者。 Ai輔助IC設計，縮短迭代設計時間 台大團隊的陳祈介紹SiliconMind-V1，主軸聚焦於將AI導入IC設計流程中的自動化與推理能力，特別針對晶片設計週期長、驗證成本高的痛點提出解法。他指出，傳統 IC 設計流程有高達6至7成時間耗費在設計驗證與除錯，而SiliconMind-V1透過多代理蒸餾（multi-agent distillation）與debug推理流程，讓模型能同時具備「生成設計」與「自我測試與修正」能力，縮短設計迭代時間。 <img alt="" src="/sites/default/files/images/20260603_150210.jpeg" style="width: 600px; height: 450px;" /> SiliconMind-V1採取開源策略，強調可在本地端或企業內部環境部署，降低對雲端AI與敏感設計資料外流的依賴。在實測結果上，該模型在使用更少訓練資料與顯著較低的算力情況下，仍能在特定IC設計任務上超越部分的既有模型表現，並透過與多模態工具鏈整合，進一步強化從規格理解到RTL生成的完整流程，展現AI在半導體設計自動化上的潛力。 相較於過去電腦展展示產品，今年Computex電腦展中設立開源臺灣館，集合15件臺灣的開源社群參與及主導的開源專案成果，透過電腦展的國際舞臺，讓外界也能看到默默付出的臺灣開源社群活力及貢獻，此外，也在AI時代基礎技術建設，從模型、資料內容到雲原生基礎架構，都能看到臺灣開發者的身影。 </div></div></div>
6/4 16:35作者蘇文彬https://www.ithome.com.tw/news/176374
4年前的Linux核心漏洞已遭利用，恐被用於供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">6月2日美國網路安全與基礎設施安全局（CISA）警告，幾年前揭露的Linux核心權限提升漏洞CVE-2022-0492<a href="https://www.cisa.gov/news-events/alerts/2026/06/02/cisa-adds-two-known-exploited-vulnerabilities-catalog">已遭到積極利用</a>，，他們將其納入已遭利用漏洞名單（KEV），要求聯邦機構<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-0492">於6月5日前</a>完成修補。由於上個月有多名研究人員與資安公司揭露Linux核心權限提升漏洞，使得CVE-2022-0492被利用的最新消息，也相當引人關注。 CVE-2022-0492<a href="https://www.openwall.com/lists/oss-security/2022/02/04/1">在2022年2月</a>首度揭露，為權限提升漏洞，存在於cgroups v1 release_agent的功能，攻擊者在特定情況下，可用於提升權限並繞過名稱空間（namespace）隔離機制，<a href="https://nvd.nist.gov/vuln/detail/cve-2022-0492">CVSS風險評分為7.8</a>，根據3年前<a href="https://www.hackthebox.com/blog/cve-2022-04920-carpe-diem-explained">資安公司Hack The Box公布的分析結果</a>，該漏洞也能被用於容器逃逸，而且攻擊者無需取得特定的授權就能利用。巧合的是，在CISA將此漏洞納入KEV之前，<a href="http://securelist.com/container-attack-vectors/120010/">在卡巴斯基本週揭露的容器用於供應鏈攻擊初期管道研究</a>，CVE-2022-0492剛好是其中一個被提到遭利用的漏洞。 </div></div></div>
6/4 12:42作者周峻佑https://www.ithome.com.tw/news/176353
【資安日報】6月3日，紅帽NPM套件遭遇蠕蟲Miasma供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176301">紅帽雲端服務NPM套件遭Shai-Hulud變種Miasma入侵，恐外洩GitHub與雲端憑證</a> <a href="/sites/default/files/images/Miasma-30-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Miasma-30-63.jpg" style="width: 300px; float: right;" /></a>資安公司OX Security與Aikido揭露，紅帽（Red Hat）在NPM套件庫的雲端服務相關套件遭植入惡意程式Miasma，此為Shai-Hulud新變種，開發者一旦安裝遭污染的套件，電腦或開發環境中的登入權杖、雲端服務憑證及其他敏感資料，都可能被惡意程式讀取並外傳。OX Security研究人員分析，該事件影響@redhat-cloud-services至少31個套件，GitHub上也已發現超過210個含有遭竊憑證的儲存庫。Aikido指出，受影響範圍可能達32個套件、96個版本。 <a href="https://www.ithome.com.tw/news/176318">俄羅斯駭客GreyVibe濫用生成式AI，攻擊烏克蘭企業組織</a> <a href="/sites/default/files/images/greyvibe-8-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/greyvibe-8-63.jpg" style="width: 300px; float: right;" /></a>隨著AI應用普及，許多駭客也開始濫用這些工具，從事網路攻擊活動。最近資安公司WithSecure揭露的俄羅斯駭客組織GreyVibe，就屬這種型態的例子。活動最早可追溯到2025年8月，駭客利用多種攻擊途徑，攻擊烏克蘭軍事機構、政府機關、企業組織，以及一般民眾。值得留意的是，GreyVibe在整個運作的過程裡，系統性地運用生成式AI與大型語言模型（LLM），這些駭客高度依賴大型語言模型，並反覆發生操作安全錯誤，其中一款該組織開發的惡意程式LegionRelay，存在設計上的缺陷。 <a href="https://www.ithome.com.tw/news/176330">GreyVibe借助生成式AI，發起3種型態的攻擊行動</a> <a href="/sites/default/files/images/greyvibe-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/greyvibe-1-63.jpg" style="width: 300px; float: right;" /></a>資安公司WithSecure近日揭露俄羅斯駭客團體GreyVibe，並指出這些駭客借助AI與大型語言模型（LLM）的力量從事網路攻擊活動，值得留意的是，這些駭客至少透過3種管道散布惡意軟體。其中最早出現的是PhantomMail網釣活動，GreyVibe從2025年8月開始，至今已發動6次攻擊；GreyVibe於2025年10月初短暫嘗試ClickFix手法的攻擊行動PhantomClick，他們利用假的CAPTCHA驗證網頁來散布惡意軟體；還有一種是GreyVibe假冒女性引誘烏克蘭軍人上當的PrincessClub。 <a href="https://www.ithome.com.tw/news/176305">國家級駭客濫用ROADtools，鎖定微軟雲端身分識別環境</a> <a href="/sites/default/files/images/word-image-336300-181397-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/word-image-336300-181397-1-63.jpg" style="width: 300px; float: right;" /></a>網路資安廠商Palo Alto Networks旗下威脅情報團隊Unit 42指出，原本用於紅隊演練與資安研究的開源工具組ROADtools，已被攻擊者整合至雲端攻擊行動，用於列舉Microsoft Entra ID、註冊Entra ID裝置，以及取得、交換與操控Microsoft Entra ID權杖。攻擊者利用ROADtools時，並非透過記憶體破壞漏洞或在主機植入惡意程式，而是濫用企業日常使用的驗證流程與API，因此防禦重點應放在身分識別控管。企業可啟用Microsoft Entra ID權杖保護、透過條件式存取限制裝置驗證碼流程等措施因應。 <a href="https://www.ithome.com.tw/news/176320">駭客組織DriveSurge劫持數千個合法網站，結合運用ClickFix與FakeUpdates手法散布惡意軟體</a> 以軟體更新或修復問題為誘餌，誘導受害者下載惡意軟體或執行惡意指令的FakeUpdates與ClickFix攻擊手法，近來出現結合運用的案例。資安公司Silent Push近日發布報告，揭露新興網路犯罪組織DriveSurge劫持數千個合法網站，藉此發動大規模惡意軟體散布活動，並能分析受害者情境，切換使用FakeUpdates與ClickFix手法來誘導受害者。DriveSurge主要扮演初始入侵管道掮客（IAB）角色，採用按安裝次數計費（Pay-Per-Install，PPI）模式運作。 <a href="https://www.ithome.com.tw/news/176296">Windows銀行木馬Grandoreiro出現新進化，利用WebRTC網頁即時通訊與DLL側載技術強化隱匿能力</a> 肆虐近十年的Windows銀行木馬軟體Grandoreiro，出現新一波攻擊活動。資安業者WatchGuard近日揭露Grandoreiro出現強化隱匿性的新版本，並鎖定歐洲與拉丁美洲金融服務與銀行用戶發動攻擊。Grandoreiro具備竊取銀行認證資訊、攔截金融交易等能力，WatchGuard發現的新版本進一步提高規避偵測能力，使用網頁即時通訊技術WebRTC，以及常用於視訊會議的STUN協定（Session Traversal Utilities for NAT）進行通訊，藉此降低活動被偵測到的機率。 <a href="https://www.ithome.com.tw/news/176299">Android遠端控制木馬BTMOB鎖定金融服務用戶，可竊取帳號資訊與遠端控制受害裝置</a> 資安業者ESET上週發布警示，呼籲大家注意針對Android平臺的遠端控制木馬BTMOB正在拉丁美洲散播，這款惡意程式是從早期銀行木馬SpySolr演化而來，其功能不僅限於竊取金融憑證，已擴展為具備完整遠端控制能力的Android惡意程式，並具備跨區域擴散潛力。BTMOB主要透過假冒串流服務、加密貨幣與熱門網站等釣魚網頁散布，誘導受害者安裝惡意APK套件。安裝完成後，BTMOB會濫用Android無障礙服務（Accessibility Services）取得高權限。 <a href="https://www.ithome.com.tw/news/176314">Google發布6月Android例行更新，修補存在於系統框架的零時差漏洞</a> 6月1日Google發布Android每月例行更新（Android Security Bulletin），總共修補124個資安漏洞，從危險程度來看，有19個是重大等級，其餘大部分為高風險等級。值得留意的是，該公司提及，其中一個漏洞已被用於目標式攻擊。這項弱點的編號是CVE-2025-48595，存在於Android系統的框架元件，為高風險等級的權限提升漏洞，影響Android 14、15、16，以及16-qpr2版作業系統。不過，對於攻擊者如何利用弱點，Google並未進一步說明。 <a href="https://www.ithome.com.tw/news/176310">CISA警告兩年前修補的Oracle WebLogic Server高風險漏洞已被用於攻擊行動</a> 6月1日美國網路安全暨基礎設施安全局（CISA）發布公告，他們已掌握CVE-2024-21182遭到積極利用的證據，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構必須在6月4日前完成修補。CVE-2024-21182存在於Oracle WebLogic Server的核心元件，未通過身分驗證的攻擊者，只要透過T3或IIOP協定進行網路存取，就有機會入侵WebLogic Server，CVSS風險評為7.5分，為高風險等級，Oracle於2024年7月每季例行更新修補。 <a href="https://www.ithome.com.tw/news/176313">Oracle首度發布每月例行更新，修補77個漏洞</a> 5月28日Oracle發布5月份當月更新（CSPU），提供35個修補程式，這些受影響的應用程式涵蓋：Oracle Communications Unified Assurance、Oracle Database Server、Oracle E-Business Suite、Oracle Hospitality OPERA 5 Property Services，以及Oracle REST Data Services。雖然Oracle公布了35個漏洞的危險程度及影響範圍，但部分修補程式同時也解決了另外42個資安弱點，因此實際上該公司本次修補的漏洞數量，總共達到77個。 <a href="https://www.ithome.com.tw/news/176319">Anthropic修補Claude Code GitHub Actions權限繞過弱點，降低權杖外洩風險</a> <a href="/sites/default/files/images/claude_code_github_actions_attack-flow-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/claude_code_github_actions_attack-flow-63.jpg" style="width: 300px; float: right;" /></a>Anthropic修補Claude Code GitHub Actions的權限繞過與設定錯誤風險，資安公司GMO Flatt Security指出，該問題可能讓攻擊者透過GitHub議題或拉取請求（Pull Request）提交惡意內容，誘導Claude Code在自動化開發流程中讀取不應外洩的資訊，取得權杖或其他機密資料。該工具原本會檢查觸發者是否具有儲存庫寫入權限，但過去在代理模式下，對GitHub應用程式的檢查不夠嚴格。攻擊者可自行建立GitHub應用程式，並以該App的安裝權杖在公開儲存庫建立議題或拉取請求觸發弱點。 <a href="https://www.ithome.com.tw/news/176304">Gitea修補套件登錄庫漏洞，逾3萬自架站點恐暴露私有容器映像檔</a> 開源程式碼託管平臺Gitea釋出1.26.2版，修補與套件登錄庫權限有關的安全漏洞CVE-2026-27771。資安業者NoScope指出，該漏洞可能讓自行架設Gitea的組織，在未要求使用者登入的情況下，讓外部人員存取原本應屬私有的容器映像檔。研究人員估算，公開可從網際網路找到的受影響站點可能超過3萬個。若管理者無法立即更新，可暫時啟用所有內容都必須登入後才能查看的設定，降低未登入者存取內容的風險。 <a href="https://www.ithome.com.tw/news/176312">Project Glasswing擴大範圍至15國，近150個合作夥伴可使用Claude Mythos找出漏洞</a> Anthropic周二（6月2日）宣布Project Glasswing擴大實施，將具備強大資安能力的Claude Mythos Preview提供給15國將近150家企業組織使用。這批合作夥伴多半是關鍵基礎架構相關領域，包括電力、供水、通訊、醫療及硬體業的企業，或是協助其他單位（如政府）維護程式碼的非營利機構，這些組織攸關國家社會運作，一旦遭網路攻擊可能影響全球穩定及國家安全。不過，他們必須符合Anthropic的安全要求，才能使用此前沿語言模型。 <a href="https://www.ithome.com.tw/news/176252">Mistral AI助理改名為Vibe，預告將推出程式碼遠端代理功能</a> 法國AI新創公司Mistral AI宣布，旗下AI聊天機器人Le Chat改名為Vibe，預計將新增工作（Work Mode）及程式碼（Code Mode）模式的代理功能，其中尚未推出的程式模式，其代理機制將可在用戶電腦關機時自主執行任務。Mistral AI將以單獨的網頁應用程式，提供用戶執行Vibe程式模式以啟動遠端代理，代理程式會在隔離沙箱執行工作階段，確保資料安全，開發人員可連結GitHub管理專案，即使電腦關機仍會繼續運作。 <a href="https://www.ithome.com.tw/news/176306">微軟推出.NET版MCP治理擴充套件，強化AI代理工具呼叫控管</a> 微軟公開預覽適用於.NET的Agent Governance Toolkit MCP擴充套件，支援.NET 8以上應用程式，並可搭配官方MCP C# SDK使用，協助開發者在MCP伺服器加入工具定義掃描、工具呼叫政策控管與回應內容清理機制。微軟表示，Agent Governance Toolkit可為AI代理系統提供治理層，用於執行政策、檢查輸入與輸出，並讓工具呼叫的信任判斷更明確。此擴充套件可透過WithGovernance()方法，將相關控管整合到既有IMcpServerBuilder管線。 <a href="https://www.ithome.com.tw/news/176269">員工自建Vibe Coding應用成影子AI新風險，有兩千個企業用途工具暴露敏感資料</a> 資安業者Red Access先前向媒體揭露，大量透過Vibe Coding方式建立的網路應用程式缺乏身分驗證等基本安全措施，導致企業敏感資料可能暴露於公開網路。該公司後續發布完整研究報告指出，影子AI風險已從員工將敏感資料輸入AI聊天工具，擴大到員工自行建立AI應用、匯入內部資料，甚至串接正式生產系統。Red Access發現，數量多達2,000個應用系統，含有企業營運、個人或敏感資料，卻未設置基本身分驗證與存取控管機制。 <a href="https://www.ithome.com.tw/news/176300">MITRE將自動化攻擊模擬平臺Caldera移交Apache基金會</a> 開源自動化模擬工具Caldera自多年前MITRE ATT&CK框架興起以來，即備受資安人員關注，開發該平臺的美國非營利組織MITRE於5月20日宣布，將這項發展近十年的平臺正式捐贈給Apache軟體基金會（ASF），並進入孵化器（Incubator）階段。MITRE表示，轉移至ASF的主要目的，是為了擴大全球資安與開源社群的協作、提升平臺普及率，並透過「廠商中立」的治理模式，確保Caldera能持續成長為全球性的資安資源。 <a href="https://www.ithome.com.tw/news/176295">譴責Chaotic Eclipse未經協調公開零時差漏洞惹議，微軟說明不會對公布成果的研究員採取法律行動</a> 5月27日微軟資安回應中心（MSRC）發布部落格文章，公開譴責研究人員Chaotic Eclipse（Nightmare-Eclipse）在未經協調揭露的情況下，公布BlueHammer、RedSun、UnDefend等一系列零時差漏洞的行為，該文引起資安圈高度關注，原因在於微軟提及可能會對該名研究員採取法律行動，引起不少研究人員討論其漏洞通報制度的問題，對此，6月1日MSRC在X發布推文表示，他們無意對研究人員採取法律行動。 <a href="https://www.ithome.com.tw/news/176294">衛福部發布醫療GenAI指引，聚焦6大風險與供應鏈透明度</a> 衛福部在5月29日發布首份《醫療機構應用生成式人工智慧指引》，針對醫院與診所導入生成式AI提出風險治理框架，涵蓋風險盤點、資料保護、系統驗證、供應商管理與持續監測等面向。衛福部除了聚焦模型偏差、資料品質、AI幻覺、資安攻擊、使用者過度依賴及服務中斷等6類常見生成式AI風險，也首度要求醫療機構建立AI產品與系統清冊，掌握院內生成式AI系統的用途、應用場景、風險等級及管理措施，並依臨床影響程度進行分級管理。 <a href="https://www.ithome.com.tw/article/175205">【2026臺灣資安年鑑｜國家安全會議諮詢委員李育杰】國家資通安全戰略2025的訂定，是臺灣資安體制的轉型</a> 國家安全會議諮詢委員李育杰說：「2025年，每日臺灣遭受到的網路侵擾大約263萬次。但民眾出門都覺得臺灣運作得好好的。」他提醒，「缺乏危機意識」就是臺灣最危險的地方。目前最大的威脅，不只是中共網軍的日夜叩關，更是臺灣社會對於「表面和平」的習以為常。李育杰將駭客區分為兩類：一是以勒索與竊密為目的的網路犯罪集團，另一是國家級駭客，目標在於關鍵時刻癱瘓防空雷達、電網與通訊系統。他直言：「所有的戰爭都從網路上先發生。」 近期資安日報 <a href="https://www.ithome.com.tw/news/176297">【6月2日】捷克參議院率團訪臺前夕，傳出中國駭客從事網路間諜活動</a> <a href="https://www.ithome.com.tw/news/176267">【6月1日】偽冒FIFA世足的詐騙網域激增</a> <a href="https://www.ithome.com.tw/news/176217">【5月29日】Linux傳出新的本機權限提升漏洞CIFSwitch</a> </div></div></div>
6/3 14:55作者周峻佑https://www.ithome.com.tw/news/176332
【資安日報】6月2日，捷克參議院率團訪臺前夕，傳出中國駭客從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176280">網路間諜行動Dragon Weave鎖定捷克與臺灣，疑中國有關駭客所為</a> <a href="/sites/default/files/images/image-0-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/image-0-1-63.jpg" style="width: 300px; float: right;" /></a>資安公司Seqrite於5月29日揭露代號為Operation Dragon Weave的網路間諜攻擊活動，攻擊者鎖定捷克與臺灣的官員與民眾，透過魚叉式網釣郵件投遞Adaptix C2代理程式，藉此進行資料外洩與遠端控制。這波攻擊鎖定政府、研究、學術、科技與金融服務等領域，攻擊者會寄送內含ZIP附件的電子郵件，壓縮檔解開後包含多個看似正常的檔案，但實際上是感染鏈的一部分。 <a href="https://www.ithome.com.tw/news/176271">日本象印揭露臺灣子公司遭駭！客戶與員工個資外洩</a> 日本知名家電用品大廠象印（Zojirushi Corporation）近日發布資安公告，揭露其臺灣子公司「台象」遭到第三方發動的網路攻擊入侵。在經歷為期約一個月的數位鑑識與事故調查後，證實已發生臺灣客戶個資外洩事件，惟目前尚未公布受影響的具體數量與規模。根據日本象印說明，這起網路攻擊事件始於4月13日，受影響的伺服器於5月4日完成系統重建與資料復原。另在外部資安專業機構協助調查下，鑑識結果於5月11日出爐，確認台象存在資料外洩風險。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=74120&SPOKE_DATE=20260602&COMPANY_ID=6192">工業控制解決方案供應商巨路資訊系統遭網路攻擊</a> 跨足工業流程控制（Process Control）與電子通訊領域的巨路國際（6192），於今日（6月2日）上午於股市公開觀測站發布資安重訊，指出部分資訊系統遭到網路攻擊，該公司在偵測到異狀時，已啟動資安防禦及通報機制因應。目前對相關系統進行全面性掃描與檢測，確認安全無虞後，再利用日常備份資料恢復運作。針對這起事故可能帶來的影響，巨路表示根據初步評估，對營運無重大影響，尚未發現個資或機密資料外洩的情形。 <a href="https://www.ithome.com.tw/news/176290">仿英國ETA簽證申請的代辦網站外洩10萬護照！AWS儲存桶配置錯誤，通報後業者派律師而非先釐清</a> 科技媒體TechCrunch近日揭露，名為「UK Visa Portal」的第三方簽證代辦網站發生嚴重資安疏漏，導致至少10萬份申請人的護照掃描檔與自拍照，被暴露在可公開存取的Amazon S3儲存桶中，且至今業者應對態度仍相當消極。這是典型的雲端儲存配置錯誤案例，只要知道個別檔案的網址，任何人都能直接存取並讀取內容。通報者進一步指出，該網站後端存在弱點，攻擊者能藉此獲取儲存桶內的檔案清單，進而導致大規模的資料外流。後續該媒體聯繫業者，但業者並未積極修復漏洞，反而委託律師與公關公司交涉。 <a href="https://www.ithome.com.tw/news/176275">Meta的AI客服驚傳遭到濫用，駭客用於接管用戶IG帳號</a> 近日傳出有駭客濫用了Meta的AI客服服務，謊稱自己的Instagram（IG）帳號遭竊，以啟動帳號復原程序，成功取得各種獨特的IG帳號，並透過Telegram銷售。Meta向衛報證實此事，表示該漏洞已被解決，且正在保護受影響的帳號，不過，該公司未透露遭到波及的帳號規模與細節。加密貨幣圈匿名的鏈上調查員ZachXBT直言，Meta AI擁有過多的權限，而讓駭客能夠重設任何未設定2FA的帳號密碼，而且它根本不會驗證申請者的身分。 <a href="https://www.ithome.com.tw/news/176283">Python資料分析工具Marimo重大漏洞持續成攻擊目標，駭客透過AI代理滲透內部資料庫</a> <a href="/sites/default/files/images/6a15dfd7a00e09d8b7c33ad8_image (13)-63-2.jpg" target="_blank"><img alt="" src="/sites/default/files/images/6a15dfd7a00e09d8b7c33ad8_image%20(13)-63-2.jpg" style="width: 300px; float: right;" /></a>開發Python互動式運算環境Marimo的團隊於4月上旬，揭露重大漏洞CVE-2026-39987，當時公告不到半天就出現嘗試利用的跡象，後續有多組人馬加入漏洞利用的行列，如今資安公司Sysdig指出，他們在5月10日發現最新一波攻擊，駭客利用CVE-2026-39987成功入侵Marimo主機，並截取兩個雲端憑證，突破下游的SSH防禦主機，並在2分鐘內擷取內部PostgreSQL資料庫的結構與全部內容。整個攻擊流程在一個小時內完成，並出現駭客濫用大型語言模型（LLM）的多種跡象。 <a href="https://www.ithome.com.tw/news/176279">Windows Netlogon服務RCE漏洞傳出遭到積極利用</a> 微軟於5月例行更新（Patch Tuesday）當中，一口氣修補137個由該公司登記CVE編號的漏洞，當時沒有已遭揭露或利用的零時差漏洞，這樣的情況相當罕見。比利時網路安全中心（Centre for Cybersecurity Belgium，CCB）於5月29日，更新13日對微軟5月例行更新的資安警示內容，指出重大等級的資安漏洞CVE-2026-41089遭到積極利用。對於攻擊者如何利用漏洞，CCB並未進一步說明，微軟也沒有更新CVE-2026-41089公告內容，說明該漏洞是否已遭利用。 <a href="https://www.ithome.com.tw/news/176268">俄羅斯駭客組織Secret Blizzard將Kazuar後門程式擴展成殭屍網路，提升隱匿性與持續運作能力</a> <a href="/sites/default/files/images/Fig1-Kazuar-delivery-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Fig1-Kazuar-delivery-63.jpg" style="width: 300px; float: right;" /></a>與俄羅斯政府有關的駭客組織Secret Blizzard，正持續擴展後門程式Kazuar的能力，微軟資安威脅研究團隊（Microsoft Threat Intelligence）近日發布報告指出，Secret Blizzard已將原本主要作為遠端控制工具的Kazuar，已從單體框架（single monolithic framework），升級為具備殭屍網路特性的分散式架構，藉此提升隱匿性，並適用於更廣泛的攻擊任務。新版Kazuar將任務分散到3種不同的模組——核心（Kernel）、橋接（Bridge）與工作模組（Worker），彼此明確分工，藉此降低可觀測性。 <a href="https://www.ithome.com.tw/news/176273">駭客利用假冒Gemini與Claude安裝網站散布惡意軟體，竊取開發者帳號與開發環境資料</a> <a href="/sites/default/files/images/SEO Poisining 1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/SEO%20Poisining%201-63.jpg" style="width: 300px; float: right;" /></a>隨著AI輔助程式開發的風行，Gemini CLI與Claude Code成為炙手可熱的開發工具，駭客也開始利用開發者對這類新工具的需求發動攻擊。資安廠商EclecticIQ日前發布報告，揭露駭客偽造Gemini CLI與Claude Code安裝網站，並透過操縱搜尋引擎排名的SEO Poisoning手法，引誘開發者從偽造網站下載木馬化安裝程式，進一步執行惡意PowerShell指令。這波攻擊最初是由獨立資安研究者@g0njxa揭露，而後EclecticIQ跟進調查發現，相關網路威脅活動自今年3月開始出現。 <a href="https://www.ithome.com.tw/news/176292">ChatGPT存在資安弱點ChatGPhish，恐使網頁摘要被用於釣魚活動</a> 為了加速理解網路上的內容，使用者透過AI整理摘要的作法非常普遍，然而，攻擊者若是利用系統的弱點，就有可能從事網路釣魚活動，誘騙使用者上當。資安公司Permiso Security揭露資安弱點ChatGPhish，此問題源自ChatGPT的回應渲染器信任AI助理摘要的網頁內容裡，取得第三方網頁裡的Markdown連結與圖片URL。攻擊者只要在網頁當中，附加小型的惡意酬載，就有機會進行跨來源資訊洩露、網路釣魚、顯示偽造的系統警示訊息。 <a href="https://www.ithome.com.tw/news/176291">新型惡意軟體VoidStealer可繞過Chrome瀏覽器安全機制，竊取Cookie與帳號資訊</a> <a href="/sites/default/files/images/chrome-application-bound-encryption-bypass-voidstealer-01-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/chrome-application-bound-encryption-bypass-voidstealer-01-63.jpg" style="width: 300px; float: right;" /></a>資安業者卡巴斯基發布報告，揭露新出現的資訊竊取惡意軟體VoidStealer，可繞過Google在Chrome瀏覽器引進的應用程式綁定加密（Application-Bound Encryption，ABE）安全機制，直接取得瀏覽器儲存的Cookie、登入資訊與其他敏感資料。該惡意程式直接以除錯器模式附加至Chrome處理程序，並利用中斷點（Breakpoint）監控其解密流程。當Chrome將解密所需的金鑰載入記憶體時，該惡意程式便會強制暫停瀏覽器執行，並直接擷取記憶體中的金鑰。 <a href="https://www.ithome.com.tw/news/176287">Samba修補列印與身分驗證功能重大漏洞，未更新可能導致攻擊者執行任意程式碼</a> 開源檔案與列印服務軟體Samba近日發布資安公告，修補列印子系統（printing subsystem）與檔案伺服器功能中，可能導致遠端執行程式碼的2項重大漏洞CVE-2026-4480、CVE-2026-4408，雖然兩者都需滿足特定設定條件，但可能遭未授權攻擊者遠端利用， Samba專案團隊給予這2項漏洞的CVSS嚴重性評分，都是最嚴重的10分滿分，並於4.22.10、4.23.8與4.24.3版完成修補，由於Samba廣泛用於Linux檔案共享與列印環境，用戶應儘速更新。 <a href="https://www.ithome.com.tw/news/176288">電商平臺Magento快取外掛存在重大漏洞，攻擊者可用於遠端程式碼執行攻擊</a> 鎖定電商平臺Adobe Commerce與Magento的攻擊活動接連傳出，一旦這種平臺的外掛程式出現嚴重漏洞，很有可能成為駭客下手的目標。例如，最近資安公司Sansec揭露的CVE-2026-45247，此漏洞出現在網頁快取外掛程式Mirasvit Cache Warmer，為未通過身分驗證的PHP物件注入漏洞，攻擊者只要發送特製的cookie進行storefront請求，就能觸及攻擊者控制的資料，過程無需任何身分驗證，也無須管理員權限或特殊設定，即有機會遠端執行任意程式碼。 <a href="https://www.ithome.com.tw/news/176284">荷蘭瓦解由1,700萬臺裝置組成的殭屍網路</a> 荷蘭國家網路安全中心（NCSC）宣布，已與警方聯手瓦解由逾1,700萬臺裝置組成的殭屍網路，並找出200臺C&C伺服器，駭客利用這些裝置來發動網路攻擊。當地媒體NL Times則報導，該殭屍網路疑似與住宅代理服務Asocks有關。NCSC表示，當初他們是先收到研究人員的通報，接著通知警方共同展開偵辦，才發現該殭屍網路至少包含1,700萬臺裝置，且用來支援其運作的200臺C2伺服器，皆位於荷蘭境內。 <a href="https://www.ithome.com.tw/news/176281">北約網路衝突國際會議CyCon登場，臺灣官員首度登臺分享城市韌性與通訊備援實務</a> 北約網路衝突國際會議（CyCon）是國際資安與國防領域的年度指標性會議，今年第18屆活動於5月26日至29日舉行，吸引全球50國、近800名與會者參與，議程涵蓋AI驅動的網路衝突、關鍵基礎設施韌性與公私協作等面向，特別的是，這項活動首度有臺灣官員獲邀於CyCon登臺分享，象徵臺灣與國際在網路防衛議題上的交流更趨緊密。數位發展部資通安全署表示，此次最受矚目的進展，在於國家安全會議諮詢委員李育杰受邀於大會專題工作坊擔任共同與談人。 <a href="https://www.ithome.com.tw/news/176276">工控資安廠商Dragos併購xOT安全業者Phosphorus</a> 營運科技（OT）資安業者Dragos本週宣布，他們買下Extended IoT（xOT）安全方案供應商Phosphorus，以擴大防護關鍵基礎設施及其他網路中的嵌入式連網裝置。Dragos表示，併購Phosphorus後，可使該公司聯網裝置防護能力擴大到整個xOT環境，提供客戶更深層的資產可視度、自動化修補及持續降低風險。該公司並承諾會持續支援Phosphorus客戶，其方案也更能整合Dragos方案。Dragos估計，其潛在市場機會來到500億美元。 <a href="https://www.ithome.com.tw/news/176274">Google將裝置綁定連線階段憑證防護措施提供給所有Chrome用戶</a> 繼4月份Google公布裝置綁定連線階段憑證（Device Bound Session Credentials，DBSC）技術，並整合到Windows版Chrome 146，上週Google宣布全面提供給所有Chrome用戶，包括Windows版及下一版macOS版Chrome。由於DBSC需要生態體系夥伴的支援，Google從一開始就計畫和微軟聯手設計DBSC，並推動標準化程序。兩家公司執行的測試計畫，現在已有多家網頁應用程式平臺業者參與，其中一家是身分驗證解決方案廠商Okta。 <a href="https://www.ithome.com.tw/news/176254">台積電營運韌性再進化，2025年報揭BCM與危機管理整合框架</a> 營運持續與資安韌性，已成為當前企業不容忽視的核心議題。作為全球半導體龍頭，台積電（TSMC）在這些領域的推動，具備指標意義。在該公司最新發布的2025年年報中，進一步揭露其營運持續管理（BCM）與危機管理（CM）的最新架構，不僅彰顯其對韌性經營的重視，更為國內企業提供了具體的實踐借鏡。綜觀此項新變化，顯然已調整為營運持續與危機管理政策整合的架構，同時讓其涵蓋構面能夠更廣泛。 <a href="https://www.ithome.com.tw/article/174569">【關鍵資安議題｜AI代理安全】數位代理人的崛起與危機：API、AI Agent與你看不見的資安威脅</a> 企業花了大量資源守護人類帳號——多因素驗證、密碼政策、特權存取管理，一道道關卡設得滴水不漏。然而，有一類身分正在企業環境中以數十倍的數量悄然增生，它具有行使各種任務的權限，卻幾乎沒有人在管；它叫做非人類身分（Non-Human Identity，NHI）。根據最新研究，企業環境中NHI與人類身分的比例已達45:1至82:1，在雲端原生環境中甚至高達40,000:1。但超過六成的組織坦承，這些身分處於監控不足的狀態。 <a href="https://www.ithome.com.tw/article/175016">【2026臺灣資安年鑑｜數位發展部資通安全署署長蔡福隆】從制度革新到全民覺醒，守住數位國土的最後一道防線</a> 在臺灣邁入全面數位化與AI時代的關鍵節點，資通安全早已不再只是工程師或資訊部門的專業領域，而是攸關國家安全、產業發展與社會信任的核心基礎。數位發展部資通安全署署長蔡福隆表示：「資安就是一個務實、落實的事情。你說的東西再好聽，沒有把它落實下去，都是假的。」若要說過去一年資安署最具里程碑意義的成果，修正《資通安全管理法》絕對名列前茅，蔡福隆坦言，這次修法不只是條文調整，而是涉及政策、產業與國際接軌的全面工程。 近期資安日報 <a href="https://www.ithome.com.tw/news/176267">【6月1日】偽冒FIFA世足的詐騙網域激增</a> <a href="https://www.ithome.com.tw/news/176217">【5月29日】Linux傳出新的本機權限提升漏洞CIFSwitch</a> <a href="https://www.ithome.com.tw/news/176187">【5月28日】數發部資安署揭露實測高德地圖等四款中國App結果</a> </div></div></div>
6/2 16:22作者周峻佑https://www.ithome.com.tw/news/176297
【資安日報】6月1日，偽冒FIFA世足的詐騙網域激增
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176264">偽冒FIFA世足詐騙網域4月激增逾2,700個，釣魚網站遭撤下又能迅速重啟</a> 網路詐騙橫行，近期網路犯罪者利用即將到來的2026年世界盃足球賽（FIFA World Cup），偽冒相關名義架設大量釣魚網站。總部位於中東巴林的外部數位風險防護業者CTM360近日示警，指出針對該賽事的網路詐騙呈現爆炸性增長，目前已偵測到超過7,000個偽冒網域，並有逾1,000個惡意或詐騙網站處於活躍狀態。CTM360表示，這波攻擊具備高度組織性與韌性，其最大威脅在於：即便遭下架（Takedown）也能迅速重啟，導致相關危害難以杜絕。 <a href="https://www.ithome.com.tw/news/176265">佯稱ChatGPT、Claude內容分享功能故障，駭客藉由假安裝程式散布惡意軟體</a> <a href="/sites/default/files/images/ChatGPT-image4-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ChatGPT-image4-63.jpg" style="width: 300px; float: right;" /></a>資安公司Push Security揭露新型態攻擊手法LLMShare，該手法源於他們3個月前介紹的ClickFix變形攻擊InstallFix，新手法濫用AI聊天機器人的共享內容功能，攻擊者多半會建置看起來像ChatGPT或Claude的安裝指引，或是偽裝成提供系統服務的更新，然後透過惡意廣告或是搜尋引擎最佳化中毒，將使用者導向這些內容，藉此散布惡意酬載。值得留意的是，LLMShare攻擊行動仍持續進行，Push Security迄今不斷偵測到相關活動。 <a href="https://www.ithome.com.tw/news/176246">駭客假借提供常見系統工具、濫用AI聊天機器人接觸受害者，意圖發動挖礦攻擊</a> <a href="/sites/default/files/images/image-107-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/image-107-63.jpg" style="width: 300px; float: right;" /></a>近期微軟發現最新一波挖礦攻擊活動，駭客引誘使用者存取惡意網站的方法，除了一般常見的搜尋引擎最佳化中毒之外，也透過AI聊天機器人來達到目的，使得社交工程手法能超出原本的搜尋結果，並提升惡意軟體推薦的能見度。微軟特別提及受害者被導向惡意網域之前，有可能與大型語言模型（LLM）工具互動，因此他們認為，受害者應該是向AI聊天機器人詢問軟體下載的建議再根據機器人的回應而連至誤以為無安全疑慮的網址（但實際上這些網址是由攻擊者控制的網域組成），而因此遭駭。 <a href="https://www.ithome.com.tw/news/176250">Palo Alto Networks警告GlobalProtect身分驗證繞過漏洞已遭利用</a> 資安公司Palo Alto Networks在5月14日公布的GlobalProtect身分驗證繞過漏洞CVE-2026-0257，兩週後該公司警告，目前已出現少量嘗試利用的跡象，攻擊者針對尚未修補或採取緩解措施的PAN-OS防火牆作業系統，嘗試利用該漏洞，呼籲IT人員應儘速採取行動因應。CVE-2026-0257存在PAN-OS的GlobalProtect入口網站及閘道，攻擊者可藉此繞過安全限制，並建立未經授權的VPN連線，CVSS風險評為7.8分，為高風險等級。 <a href="https://www.ithome.com.tw/news/176253">CISA警告Palo Alto Networks旗下GlobalProtect資安漏洞已遭利用</a> 5月30日資安公司Palo Alto Networks更新針對CVE-2026-0257的資安公告內容，警示已發現有人嘗試利用漏洞的跡象，不過在此之前，美國網路安全暨基礎設施安全局（CISA）於5月29日指出，已掌握該漏洞遭到積極利用的證據，將CVE-2026-0257列入已遭利用的漏洞名單（KEV），並要求聯邦機構必須在6月1日前完成修補。值得留意的是，美國國家漏洞資料庫（NVD）認定該漏洞達到重大等級的風險程度，將其CVSS風險值評為9.1分。 <a href="https://www.ithome.com.tw/news/176260">Palo Alto Networks揭露的GlobalProtect漏洞已被用於實際攻擊</a> 上週末美國網路安全暨基礎設施安全局（CISA）、資安公司Palo Alto Networks提出警告，5月14日公布的CVE-2026-0257已出現實際利用的情況。資安公司Rapid7表示，他們發現採用代管偵測與應變服務（MDR）的客戶遭到攻擊，最早出現的利用活動發生在5月17日，距離Palo Alto Networks發布公告僅有3天。Rapid7於世界協調時間（UTC）18日凌晨開始事件應變的處理工作，當時偵測到可疑的VPN身分驗證活動，攻擊者以非人類的身分憑證登入本機帳號。 <a href="https://www.ithome.com.tw/news/176257">9年前PHPUnit舊漏洞CVE-2017-9841持續遭濫用，30天內偵測逾8萬次攻擊嘗試</a> 漏洞情資業者VulnCheck於5月19日發布分析報告，主題是PHP單元測試框架PHPUnit在2017年揭露的遠端程式碼執行漏洞CVE-2017-9841（CVSS評分為9.8分），至今仍是攻擊者經常鎖定的目標之一。根據VulnCheck部署在全球的Canary誘捕節點網路資料，截至5月11日的前30天，該公司共偵測到80,119次相關攻擊嘗試，其中最近10天就有36,543次，顯示這類活動並非零星掃描，而是持續針對外部可存取的PHP應用程式進行探測與攻擊。 <a href="https://www.ithome.com.tw/news/176263">WordPress外掛WP Maps Pro存在重大漏洞，駭客已用於實際攻擊活動</a> 用於在網站嵌入自定Google地圖的WordPress外掛程式WP Maps Pro，資安公司Wordfence對其發布警告，內容是揭露當中存在權限提升漏洞CVE-2026-8732，攻擊者一旦利用，就能在網站建立不需通過密碼等驗證身分程序的管理員帳號，進而全面控制這個WordPress網站，CVSS風險評為9.8分，開發團隊WePlugins獲報後，發布WP Maps Pro的6.1.1版提供完整修補。值得留意的是，Wordfence於5月29日警告已出現攻擊行動，他們在一天內阻擋了2,676次攻擊。 <a href="https://www.ithome.com.tw/news/176255">美國律師事務所遭鎖定，FBI呼籲提高警覺，因駭客不僅假冒IT人員甚至派人上門偷資料</a> 美國聯邦調查局（FBI）上週對全國律師事務所發布警告，要求業者注意網路犯罪集團Silent Ransom Group（SRG）升級的攻擊活動。攻擊者假冒受害公司IT人員，透過電話或郵件接觸員工，要求回電聯繫，並誘導其安裝遠端存取工具，進而控制受害者電腦。最特別的是，若誘導安裝遠端工具的嘗試失敗，攻擊者還可能派人前往受害公司進行實體入侵，以因應釣魚郵件威脅或備份資料需求為由，要求接觸電腦設備，隨後利用USB隨身碟或外接硬碟竊取資料。 <a href="https://www.ithome.com.tw/news/176228">微軟譴責Chaotic Eclipse未經協調逕自公開多項零時差漏洞</a> 研究人員Chaotic Eclipse（Nightmare-Eclipse）疑似因不滿微軟的漏洞通報流程，從4月初開始公布一系列漏洞，5月27日微軟資安回應中心（MSRC）發布一篇部落格文章，指控這些漏洞被不負責任地公開，已帶來不必要的資安風險，他們堅決反對這些行為，特別強調他們的數位犯罪調查部門會持續對助長網路犯罪的人士提出訴訟，並視需要與全球執法機關進行協調。這樣的說法不禁讓人認為，微軟已經打算透過該部門和執法機構來對付Chaotic Eclipse。 <a href="https://www.ithome.com.tw/news/176248">AI推論躋身企業重要應用系統，F5最新報告點出多模型並用治理風險，以及身分管理成為企業採用AI代理的最大顧慮</a> AI當道，隨著AI模型與代理式AI日益普及，網路應用程式交付與資安廠商F5今年5月最新發布的報告顯示，企業目前提供與防護應用系統的方式已因此徹底改變，高達78%的企業正自行在公司內部營運AI 推論作業（亞太、中國和日本地區企業的比例為50%）；每家企業在正式環境或進行主動評估過程中，平均採用7個AI模型（亞太、中國和日本地區企業為3到4個）。基於上述結果，F5認為，AI不再是企業的實驗項目，而是正式環境的工作負載。 <a href="https://www.ithome.com.tw/news/176212">Artificial Analysis與IBM推出ITBench-AA，後續將擴展到資安領域的應用</a> AI模型評測業者Artificial Analysis與科技大廠IBM推出企業IT任務基準測試ITBench-AA，首波聚焦網站可靠性工程（Site Reliability Engineering，SRE）情境，針對Kubernetes容器叢集事件，評估AI代理是否能透過日誌、指標、追蹤資料與系統拓撲，判斷造成服務異常的根本原因。ITBench-AA是Artificial Analysis與IBM開發的AI模型評測項目，其底層資料集由IBM軟體創新實驗室（IBM Software Innovation Lab）建立，並納入IBM在企業IT維運與事件處理上的經驗。 <a href="https://www.ithome.com.tw/news/176182">Google Cloud正式推出GKE Agent Sandbox，發表Agent Substrate開源專案</a> AI代理自動執行程式碼與工具呼叫的應用升溫，Google Cloud宣布，專為這類任務設計、可部署於Google Kubernetes Engine（GKE）的沙箱環境GKE Agent Sandbox正式開放使用，並同步提出開源基礎架構專案Agent Substrate，以因應超大規模AI代理在執行與排程上的需求。GKE Agent Sandbox定位為AI代理的基礎執行層，這項服務建置於Kubernetes之上，強調讓開發者能在自有基礎架構上部署AI代理工作負載，並透過沙箱機制降低執行風險。 <a href="https://www.ithome.com.tw/news/176245">Linux基金會與OpenSSF發布網路安全技能框架，協助企業盤點IT職務資安能力</a> 為了協助企業因應資安人才不足，以及IT職務安全能力標準不明確的問題，Linux基金會（The Linux Foundation）與開放原始碼安全基金會（OpenSSF）於5月14日發布網路安全技能框架（Cybersecurity Skills Framework），這套框架由OpenSSF與Linux基金會教育部門共同製作，涵蓋應用程式開發人員、網站開發人員、DevOps工程師、網路工程師、資料庫工程師、平臺架構師、IT專案經理，以及治理、風險與法遵（GRC）經理等角色。 <a href="https://www.ithome.com.tw/news/176063">微軟推出VS Code 1.121，能將敏感身分資訊輸入局限在終端機指令介面上進行</a> 微軟發布整合式開發軟體VS Code最新版1.121，其中一項特色是改善AI代理使用終端機時的安全處理方式。當終端機指令介面要求輸入密碼、通行片語、PIN碼或驗證碼時，若開發者直接在此輸入上述資訊，有可能導致敏感身分機密暴露而產生資安風險，因為AI代理可能會不慎擷取，或當它想要自行處理提示詞時，也可能再次在終端機介面顯示這些身分資料。在新版VS Code中，終端機的指令遇到敏感提示時，會攔截該指令。 <a href="https://www.ithome.com.tw/news/176140">為強化記憶體安全責任揭露，微軟規畫調整C#的unsafe模型</a> 近日微軟.NET團隊透露，他們正在調整C#處理不安全（unsafe）程式碼的設計，讓可能影響記憶體安全的責任更明確地出現在程式碼中，並由編譯器協助檢查。該變更暫定列為C# 16功能，計畫在.NET 11提供預覽，並在.NET 12正式推出，初期在專案層級設定可選啟用，未來可能成為預設模式。新模型調整後，unsafe不再只是允許開發者使用指標語法，而是用來標示程式碼涉及編譯器無法自行驗證的記憶體安全條件。 <a href="https://www.ithome.com.tw/news/176259">AWS Shield Advanced服務新增DDoS Attack Flow Logs功能，強化攻擊流量分析與事件調查能力</a> AWS近日宣布旗下的Shield Advanced DDoS防護服務，新增DDoS Attack Flow Logs功能，讓企業在遭遇分散式阻斷服務攻擊（DDoS）時，可以取得更細緻的攻擊流量記錄與分析能力，而且，目前在所有支援AWS Shield Advanced服務的區域，都能使用這項新功能。AWS表示，藉由新增的Flow Logs功能，一旦發生DDoS攻擊的期間，Shield Advanced服務將能為用戶提供封包層級（packet-level）的DDoS流量資訊，以5分鐘為間隔持續輸出記錄。 <a href="https://www.ithome.com.tw/news/176225">智慧資安攜手池安量子，啟動臺灣後量子資安元年</a> <a href="/sites/default/files/images/uniXecure-CHELPIS-MOU-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/uniXecure-CHELPIS-MOU-63.jpg" style="width: 300px; float: right;" /></a>精誠資訊旗下智慧資安科技（uniXecure）與池安量子資安（CHELPIS）日前正式宣布展開策略合作，將共同推動臺灣企業的後量子密碼（PQC）遷移工程。智慧資安計畫以精誠集團的四萬家客戶、五千名IT專業人員為基礎，結合池安量子的國際認證技術，打造臺灣企業的PQC遷移服務入口，並逐步輻射至東南亞市場。智慧資安董事長詹伊正和池安量子資安創辦人暨執行長池明洋共同簽署合作備忘錄，不只是兩家公司的結盟，更是臺灣資安產業在量子時代來臨前的一次集體表態。 <a href="https://www.ithome.com.tw/news/176185">Google搜尋翻新當周，主打隱私保護的iOS版DuckDuckGo的應用程式在美下載量激增33%</a> Google上周I/O大會上宣布，他們將引入AI翻新搜尋服務，為網際網路界投下震撼彈，部分用戶因此尋求非AI的搜尋。主打隱私保護的搜尋業者DuckDuckGo向科技媒體9to5mac透露，在Google I/O當周，該公司iOS App在美國下載次數較前一周增加33%，是所有平臺之冠。其iOS App平均周成長率為18.1%。此外，DuckDuckGo的NO AI搜尋版本的周造訪流量也成長了22.7%。DuckDuckGo非AI版本中，關閉了由AI輔助回答及移除AI生成的圖片。 <a href="https://www.ithome.com.tw/article/175015">【2026臺灣資安年鑑｜數位發展部數位產業署署長林俊秀】從防禦前線到規則制定者，臺灣資安產業的質變與雄心</a> 美軍在對伊朗的軍事行動中，曾滲透伊朗境內的監視器網路，透過分析IP Camera的影像與流量數據，精準定位目標人物的日常行蹤、開會地點與行動路線。這不是電影情節，而是發生在現實世界的情報操作。數位發展部數位產業署署長林俊秀面對這一系列國際局勢時，有著深刻的體悟。他表示，這場戰爭徹底驗證了資安產業的戰略價值，因為資安防護失守的代價，已經從單純的「資料外洩」，升級為對「人的資產」的直接威脅。 近期資安日報 <a href="https://www.ithome.com.tw/news/176217">【5月29日】Linux傳出新的本機權限提升漏洞CIFSwitch</a> <a href="https://www.ithome.com.tw/news/176187">【5月28日】數發部資安署揭露實測高德地圖等四款中國App結果</a> <a href="https://www.ithome.com.tw/news/176159">【5月27日】互動資通OTP簡訊平臺EVERY8D遭駭</a> </div></div></div>
6/1 17:19作者周峻佑https://www.ithome.com.tw/news/176267
Linux基金會與OpenSSF發布網路安全技能框架，協助企業盤點IT職務資安能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">為了協助企業因應資安人才不足，以及IT職務安全能力標準不明確的問題，Linux基金會（The Linux Foundation）與開放原始碼安全基金會（Open Source Security Foundation，OpenSSF）於5月14日<a data-saferedirecturl="https://www.google.com/url?q=https://openssf.org/press-release/2025/05/14/linux-foundation-and-openssf-release-cybersecurity-skills-framework-to-strengthen-enterprise-readiness/&source=gmail&ust=1780193659527000&usg=AOvVaw3Fg8oIikTPA3gwzYlWvZkp" href="https://openssf.org/press-release/2025/05/14/linux-foundation-and-openssf-release-cybersecurity-skills-framework-to-strengthen-enterprise-readiness/" target="_blank">發布網路安全技能框架（Cybersecurity Skills Framework）</a>，提供企業可依組織需求調整的全球參考指南，協助管理者將網路安全能力對應到不同IT職務角色，進一步盤點組織內部技能缺口。 近年美國國家標準暨技術研究院（NIST）推動的<a data-saferedirecturl="https://www.google.com/url?q=https://www.ithome.com.tw/news/156705&source=gmail&ust=1780193659527000&usg=AOvVaw1g2xqkV59I_XtMFZylBiab" href="https://www.ithome.com.tw/news/156705" target="_blank">NICE網路安全人才框架</a>，以及歐盟網路安全局（ENISA）發布的<a data-saferedirecturl="https://www.google.com/url?q=https://www.ithome.com.tw/news/156746&source=gmail&ust=1780193659527000&usg=AOvVaw25gaIIkB-yfzLaNLy_KPJ6" href="https://www.ithome.com.tw/news/156746" target="_blank">歐洲網路安全技能框架（ECSF）</a>，都試圖以共同語言定義資安職務角色、任務與能力需求。<a data-saferedirecturl="https://www.google.com/url?q=https://www.ithome.com.tw/news/156757&source=gmail&ust=1780193659527000&usg=AOvVaw3tCHya4Vz5aNxev3UMolYA" href="https://www.ithome.com.tw/news/156757" target="_blank">臺灣金融監督管理委員會與教育部</a>也分別針對金融領域與新興資安產業，發展出個別領域的資安人才職能地圖。Linux基金會與OpenSSF最新推出的Cybersecurity Skills Framework，則延續上述框架的應用方向，協助企業把網路安全能力落實到不同IT職務，而不僅限於專職資安人員。 這套框架由OpenSSF與Linux基金會教育部門（Linux Foundation Education）共同製作，涵蓋應用程式開發人員、網站開發人員、DevOps工程師、網路工程師、資料庫工程師、平臺架構師、IT專案經理，以及治理、風險與法遵（GRC）經理等角色。基本上，此框架的設計重點，是將網路安全能力從資安團隊擴展到更廣泛的技術團隊，使開發、維運、架構設計與管理角色都能對應所需的安全能力。 Linux基金會指出，企業面對的網路安全威脅規模與複雜度持續升高，但人才準備度仍有落差。根據Linux基金會《2024年科技人才現況報告》，64%的組織表示應徵者缺乏必要技能，新進技術人員從招募到完成培訓，平均需要10.2個月。Linux基金會另一項研究也顯示，在眾多開源專案負責人當中，有74%的人員維持正式的網路安全報告機制，但仍有62%缺乏專門負責安全事件應變的人員。 從設計方式來看，<a href="https://cybersecurityframework.io/" target="_blank">Cybersecurity Skills Framework</a>將實務網路安全能力分為基礎、中階與進階熟練度，並對應到美國國防部8140網路人力管理指令（DoD 8140）、美國網路安全暨基礎設施安全局的NICE框架（CISA NICE Framework），以及歐洲電子能力框架（ICT e-CF）等標準。企業可透過免費網頁介面選擇職務族群、調整技能分類、刪除不適用項目，或加入自定技能需求。 <a href="https://cybersecurityframework.io/" target="_blank"><img alt="" src="/sites/default/files/images/0530-Cybersecurity%20Skills%20Framework.png" style="width: 600px;" /></a> Linux基金會與OpenSSF表示，未來將每年更新這套框架，並接受社群回饋。對企業而言，這類框架的意義不只是建立職務清單，而是讓不同IT角色能更清楚理解自身在安全設計、法遵、漏洞管理與事件回應等面向的責任，讓安全責任更明確地落實到不同技術職務。 </div></div></div>
6/1 07:00作者王珮瑤https://www.ithome.com.tw/news/176245
【資安日報】5月29日，Linux傳出新的本機權限提升漏洞CIFSwitch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176209">Linux核心存在本機權限提升漏洞CIFSwitch</a> 資安研究員Asim Manizada揭露資安漏洞CIFSwitch，問題源於Linux核心CIFS模組與執行在作業系統使用者空間的輔助工具cifs-utils之間的處理，Linux核心未驗證金鑰描述來源，導致攻擊者可偽造描述並啟動具有root權限的輔助程式，因此，攻擊者可透過request_key()提供假描述，讓具有root權限的輔助工具在攻擊者命名空間（namespace）執行，並透過NSS模組載入惡意程式碼。 <a href="https://www.ithome.com.tw/news/176202">Gogs存在尚未修補的零時差漏洞，攻擊者可用於遠端執行任意程式碼</a> 談到自建Git程式碼版本管理系統，除了GitHub與GitLab，許多開發團隊採用主打輕量化的Gogs，近日資安公司Rapid7表示，兩個月前他們向Gogs開發團隊通報的重大漏洞，迄今尚未修補，並警告一旦攻擊者成功利用此漏洞，就可能入侵伺服器、跨租戶竊取資料與身分憑證、橫向移動，甚至發動供應鏈攻擊，無須事先取得管理員權限，利用漏洞的過程也不需與使用者互動，甚至能完全自動化執行，CVSS v4.0評分達到9.4，用戶應採取行動因應。 <a href="https://www.ithome.com.tw/news/176207">FortiClient EMS被鎖定，駭客假借提供修補程式散布竊資軟體EKZ Infostealer</a> <a href="/sites/default/files/images/fortinet-patch-fig02-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/fortinet-patch-fig02-63.jpg" style="width: 300px; float: right;" /></a>資安公司Fortinet於4月4日發布端點管理平臺FortiClient EMS更新，修補重大等級的資安漏洞CVE-2026-35616，並表示已掌握漏洞遭利用的跡象，本週資安公司Arctic Wolf於今年5月發現最新一波惡意活動，駭客利用CVE-2026-35616，針對透過FortiClient EMS管理的端點裝置傳送竊資軟體EKZ Infostealer，此惡意程式的有效酬載被偽裝成Fortinet端點更新檔案（修補程式），但實際的功能是從瀏覽器竊取帳密資料。一旦執行，電腦就會在背景執行PowerShell，並啟動惡意執行檔，發起一系列攻擊流程。 <a href="https://www.ithome.com.tw/news/176195">CrowdStrike與Google聯手，破壞軟體供應鏈蠕蟲GlassWorm基礎設施</a> <a href="/sites/default/files/images/Blog-Glassworm-2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Blog-Glassworm-2-63.jpg" style="width: 300px; float: right;" /></a>從去年10月曝光的軟體供應鏈蠕蟲GlassWorm，最早在Visual Studio Code（VS Code）市集、Open VSX儲存庫散布，後續活動範圍擴大到PyPI、NPM、GitHub相關儲存庫，同時針對四大開發生態系展開多管齊下的攻擊，甚至出現染指瀏覽器擴充套件、整合開發環境（IDE）的現象。5月26日資安公司CrowdStrike宣布，他們與Google和Shadowserver基金會聯手，破壞GlassWorm背後的殭屍網路，以及4種C2通道，從而切斷駭客向受害電腦傳遞惡意程式的管道。 <a href="https://www.ithome.com.tw/news/176201">Google發布Chrome 148更新，修補逾150個資安漏洞</a> 5月27日Google發布Chrome電腦版與Android版更新，一口氣修補了151個資安漏洞，數量較一週前的安全更新修補16個漏洞多出不少。從危險程度來看，這次有22個重大漏洞、123個高風險漏洞，其餘6個評為中度風險。從漏洞的類型來看，記憶體相關的漏洞仍是大宗，其中又以記憶體釋放後再存取利用（Use After Free）類型的弱點66個最多，數量超過本次修補漏洞的三分之一。對未信任輸入的驗證不充分與不當實作類型的弱點，各有17與15個。 <a href="https://www.ithome.com.tw/news/176189">微軟修補VS Code高風險漏洞，攻擊者可藉MCP安裝對話框取得開發者電腦控制權</a> 非人類身分（NHI）安全業者Oasis Security於5月21日揭露，微軟程式碼編輯器Visual Studio Code的MCP安裝對話框存在高風險漏洞CVE-2026-41613，攻擊者可透過特製安裝連結，在開發者電腦上執行指令。問題在於，VS Code安裝預覽畫面只顯示部分MCP設定，但實際寫入工作區的內容還包含未顯示的組態項目，由於VS Code也不會檢查內容或提醒使用者，因此，攻擊者可把惡意內容藏入未顯示的組態項目，讓使用者在安裝前無從察覺。 <a href="https://www.ithome.com.tw/news/176191">Veeam Backup & Replication推出13.0.2版，修補可能導致權限提升與寫入任意檔案的重大漏洞</a> 備份與資料保護軟體廠商Veeam，日前發布主力備份軟體產品Veeam Backup & Replication最新13.0.2版，除強化高可用性、遠端控制臺等功能外，也修補2項重大漏洞CVE-2026-32996、CVE-2026-32997。這兩項漏洞存在於Veeam的Windows代理程式與Linux版Veeam備份伺服器（Linux-based Veeam Backup & Replication server），影響13.0.1.2067版以前，所有Veeam Backup & Replication 13.x版，用戶應儘速更新已完成修補的13.0.2版。 <a href="https://www.ithome.com.tw/news/176178">開源AI代理框架PraisonAI公布高風險漏洞數小時後，即遭遇駭客鎖定掃描</a> 駭客利用漏洞的速度越來越快，企業修補漏洞以免曝險的時間窗口也越來越短，AI代理應用框架PraisonAI近日修補高風險漏洞CVE-2026-44338的事件，便是例證，在PraisonAI發布修補漏洞公告後，資安公司Sysdig發現僅僅相隔3小時44分，就偵測到稱作CVE-Detector/1.0的工具，開始掃描暴露於網際網路上的PraisonAI主機端點，Sysdig認為此活動屬於偵測與驗證性質，確認漏洞是否存在，並標記主機，以便日後進行後續攻擊。 <a href="https://www.ithome.com.tw/news/176183">逾100萬個WordPress網站受影響，Avada Builder外掛程式修補執行任意程式碼與SQL注入漏洞</a> 擁有百萬等級部署規模的WordPress網站主題工具Avada，其附屬的圖形化頁面建構外掛程式Avada Builder，近日修補4項安全漏洞CVE-2026-6279、CVE-2026-4798、CVE-2026-4782、CVE-2026-1543。考量到整個Avada生態系統擁有超過100萬個網站部署規模，因此，相關漏洞可能影響大量採用Avada的WordPress網站。Avada是WordPress平臺上具有高銷量的付費主題，很多用戶也會搭配圖形化頁面編輯外掛Avada Builder。 <a href="https://www.ithome.com.tw/news/176205">遊輪旅行業者Carnival、有線電視業者Charter證實資料被竊</a> 在勒索軟體駭客組織ShinyHunters宣稱自己的戰果後，全球最大遊輪營運業者Carnival、美國第三大有線電視業者Charter先後證實發生資料外洩事件。ShinyHunters於4月份聲稱竊得Carnival子公司荷美遊輪（Holland America）客戶資料，本週Carnival向美國緬因州政府檢察長辦公室通報資料外洩事件；另一起駭客聲稱透過語音網釣，得手Charter員工Microsoft Entra帳號，於4月1日從Salesforce平臺匯出大批資料。 <a href="https://www.ithome.com.tw/news/176208">美物流業者SpeedX敏感資料庫網上曝光，內含8.4億筆消費者、司機資料</a> 美國最後一哩（Last Mile）電商物流業者SpeedX（極速達）內含超過8.4億筆送貨資料的雲端儲存桶，被發現因配置問題曝露於網際網路，可能影響電商客戶、包裹及送貨司機。資安媒體Cybernews報導，該公司研究人員三月間發現，屬於SpeedX的Microsoft Azure儲存桶曝露於網際網路上。問題出於該公司的Azure Blob儲存桶配置設定為公開，任何只要知道該儲存桶名稱的人，無需特定權限或路徑即可直接存取。 <a href="https://www.ithome.com.tw/news/176211">因應AI加速網路攻擊，印度要求企業組織在漏洞公布12小時內完成修補</a> 印度電腦緊急應變團隊（CERT-In）近日發布指導方針（CISG-2026-02）指出，AI輔助工具加速攻擊者尋找、武器化和濫用漏洞、曝露服務、弱點、不安全API和配置錯誤系統，漏洞公開後數小時內就被武器化會變成常態。其中，若得知風險值9.0的重大漏洞或是影響內部系統的已知漏洞，應於24小時內修補，已遭公開利用（Known Exploited）且暴露在網際網路上的「核心關鍵資產（Crown Jewel）」系統，更須在發現後12小時內進行修補、緩解或隔離。 <a href="https://www.ithome.com.tw/news/176206">IBM與Red Hat推出企業開源軟體供應鏈安全服務Project Lightwell，標榜AI輔助第三方套件漏洞修補</a> IBM與Red Hat（紅帽）合作推出企業開放原始碼軟體供應鏈安全服務Project Lightwell，標榜結合AI輔助漏洞分析，協助企業處理第三方開放原始碼套件漏洞，並將已驗證的修補整合至既有軟體供應鏈。這項服務延伸IBM與紅帽過去在Red Hat Enterprise Linux、OpenShift等企業開源平臺上的維護模式，將過去針對平臺內開放原始碼元件提供的生命週期管理、漏洞修補驗證與發布工程（release engineering），擴大到企業應用程式常用的第三方開放原始碼函式庫、程式語言工具鏈、AI框架與資料串流平臺。 <a href="https://www.ithome.com.tw/news/176192">Google Cloud推出AI資安防禦平臺，整合Gemini、Wiz與Mandiant處理漏洞風險排序與修補</a> <a href="/sites/default/files/images/Final_-_BLOG-ALT_AIThreatChart_156_v2.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Final_-_BLOG-ALT_AIThreatChart_156_v2.jpg" style="width: 300px; float: right;" /></a>Google Cloud宣布推出Google AI Threat Defense，定位為AI驅動的自主式資安防禦平臺，目標是協助企業因應AI加速漏洞發現與攻擊自動化的趨勢，從曝險盤點、風險排序、漏洞修補到持續監控，提升漏洞管理流程的自動化與處理速度。Google AI Threat Defense並非只著重於以AI找出漏洞，而是進一步納入實際曝險情境，判斷哪些風險最可能影響企業環境，協助資安與工程團隊排定修補優先順序，並縮短後續處理時間。 <a href="https://www.ithome.com.tw/news/176210">Hadrian開源AI漏洞研究框架OpenHack，可搭配Claude Code與Cursor執行白箱安全審查</a> 荷蘭資安公司Hadrian宣布開源AI漏洞研究框架OpenHack，協助研究人員自動化執行原始碼安全審查與白箱滲透測試（White-box Pentesting）。OpenHack採用以情境（Scenario）為核心的多代理人工作流程。系統先由偵察代理人（Recon Agent）找出可能的攻擊面，再由路由代理人（Router Agent）將其轉換為特定測試情境，接著交由專門負責不同漏洞類型的專家代理人（Expert Agent）進行驗證，最後再由獨立的複核代理人（Triage Agent）重新審查結果。 <a href="https://www.ithome.com.tw/news/176203">GitLab 19.0推出SBOM相依性掃描，鎖定間接相依套件的漏洞風險</a> 第三方套件與AI產生的程式碼大量進入企業專案，也讓軟體供應鏈風險更難追蹤。DevSecOps平臺業者GitLab於5月26日說明GitLab 19.0的新功能，正式推出以軟體物料清單（SBOM）為基礎的相依性掃描（dependency scanning），協助企業盤點直接與間接相依套件，將專案使用的第三方函式庫與套件整理成SBOM，並以CycloneDX格式輸出SBOM檔案，再與GitLab維護的漏洞資料庫GitLab Advisory Database比對，標示已知漏洞。 <a href="https://www.ithome.com.tw/news/176184">Anthropic公布自管代理人沙箱、Claude安全指引外掛、治理工具</a> Anthropic於5月27日公布Claude Managed Agents新功能，包括可讓代理人執行在企業內部建置雲端平臺的自管沙箱（self-hosted）及MCP隧道（MCP tunnel）。這兩項安全功能可允許Claude託管的代理，執行在由企業控制的沙箱，並以MCP隧連結到私有MCP伺服器。新推出的自管沙箱功能，可將協同作業留在Anthropic端，但工具執行端可搬到企業用戶控制的基礎架構上，使代理人程式碼、檔案系統及網路出口（egress）都留在用戶環境內。 <a href="https://www.ithome.com.tw/news/176199">NetApp擴展Red Hat OpenShift平臺的資料保護支援，強化容器與VM工作負載的備份與還原能力</a> 隨著Broadcom併購VMware後的銷售政策調整，也促成虛擬化應用領域的重大變化，原本圍繞著VMware生態系建立的虛擬化相關備份、復原等資料保護應用，也逐漸擴增至其他雲端原生平臺，NetApp與Red Hat近日共同發布的OpenShift平臺備份復原解決方案，便是典型的案例。本次NetApp宣布擴展兩款解決方案，其中一款是NetApp Backup and Recovery解決方案支援OpenShift與OpenShift Virtualization環境。 <a href="https://www.ithome.com.tw/news/176166">NIST公布PQC數位簽章標準化新進展，9款候選演算法挺進第三輪</a> 美國國家標準與技術研究院（NIST）近日宣布「額外數位簽章方案（Additional Digital Signature Schemes）」的PQC競賽，共有9項演算法晉級第三輪標準化評選，以避免單一數學基礎遭破解而產生系統性的風險。NIST表示，本次入選第三輪的演算法包含：FAEST、HAWK、MAYO、MQOM、QR-UOV、SDitH、SNOVA、SQIsign與UOV，預計接下來將展開為期兩年的評估，檢驗各演算法的計算效率、簽章大小、驗證速度，以及對於旁路攻擊的抵禦能力。 <a href="https://www.ithome.com.tw/news/176193">【臺灣資安大會直擊】面對開發速度暴衝引發的新挑戰，中華電信建構ChainStrike AI驗證閘門，加速資安檢測</a> 善用生成式AI強化資安已非口號，近年國內外科技大廠陸續分享早期實務經驗，今年臺灣資安大會（CYBERSEC 2026）亦有不少臺灣企業公開AI資安應用成果，其中，作為國內電信與資通訊服務龍頭的中華電信，其發展進度亦受外界關注。中華電信資訊技術分公司資訊安全應用處資安產品股股長吳明峰針對AI驅動日常工作提出實務經驗，並針對資安檢測難以跟上開發速度的挑戰，揭露團隊打造AI資安驗證閘門的新作法。 近期資安日報 <a href="https://www.ithome.com.tw/news/176187">【5月28日】數發部資安署揭露實測高德地圖等四款中國App結果</a> <a href="https://www.ithome.com.tw/news/176159">【5月27日】互動資通OTP簡訊平臺EVERY8D遭駭</a> <a href="https://www.ithome.com.tw/news/176130">【5月26日】馬偕醫院再傳遭駭客竊取資料，院方表示疑為去年舊案</a> </div></div></div>
5/29 15:04作者周峻佑https://www.ithome.com.tw/news/176217
Linux核心存在本機權限提升漏洞CIFSwitch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">自4月底資安廠商Theori<a href="https://www.ithome.com.tw/news/175481">揭露Linux系統核心本機權限提升（LPE）漏洞Copy Fail</a>（CVE-2026-31431），許多研究人員跟進調查，結果發現其他變種弱點，例如：<a href="https://www.ithome.com.tw/news/175646">Dirty Frag</a>（CVE-2026-43284與CVE-2026-43500）、<a href="https://www.ithome.com.tw/news/175850">Fragnesia</a>（CVE-2026-46300）、<a href="https://www.ithome.com.tw/news/175919">DirtyDecrypt</a>、<a href="https://www.ithome.com.tw/news/176044" style="font-weight: bold;">PinTheft</a>，以及<a href="https://www.ithome.com.tw/news/176047">CVE-2026-46333</a>等，如今又有新的Linux系統核心本機權限提升漏洞揭露。 資安研究員Asim Manizada<a href="https://heyitsas.im/posts/cifswitch/">揭露資安漏洞CIFSwitch</a>，漏洞源於CIFS與使用者空間輔助工具（cifs-utils）交互的過程，Linux核心未驗證金鑰描述來源，導致攻擊者可偽造描述並啟動具有root權限的輔助程式，此問題的核心，在於cifs.spnego金鑰類型未強制檢查描述合法性，允許非核心來源的描述，攻擊者可透過request_key()提供假描述，讓root輔助工具在攻擊者命名空間（namespace）執行，並透過NSS模組載入惡意程式碼。Manizada指出，這項問題自2007年被引入，影響許多採用6.14版以上Linux核心的發行版，再者，他也提及開發團隊在其他漏洞修補的過程裡，也可能將這項弱點引入舊版作業系統。 對於CIFSwitch的影響範圍，涵蓋採用Cinnamon桌面環境的Linux Mint、搭載GNOME桌面環境CentOS Stream 9、Rocky Linux 9、Kali Linux、AlmaLinux、SUSE Linux Enterprise Server for SAP Applications（SLES for SAP）15/16，且在預設的SELinux或AppArmor資安防護配置下，存在相關風險；部分發行版如：Ubuntu 26.04、Fedora 40+、CentOS Stream 10、openSUSE Leap 16，則因預設安全政策阻擋，不受CIFSwitch影響。 </div></div></div>
5/29 12:38作者周峻佑https://www.ithome.com.tw/news/176209
IBM與Red Hat推出企業開源軟體供應鏈安全服務Project Lightwell，標榜AI輔助第三方套件漏洞修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a data-saferedirecturl="https://www.google.com/url?q=https://newsroom.ibm.com/2026-05-28-ibm-and-red-hat-commit-5-billion-to-redefine-the-future-of-open-source-in-the-ai-era&source=gmail&ust=1780104758727000&usg=AOvVaw1BV4Hr0JAQ7yIpka7yeCfo" href="https://newsroom.ibm.com/2026-05-28-ibm-and-red-hat-commit-5-billion-to-redefine-the-future-of-open-source-in-the-ai-era" target="_blank">IBM</a>與<a data-saferedirecturl="https://www.google.com/url?q=https://www.redhat.com/en/about/press-releases/project-lightwell-secure-open-source&source=gmail&ust=1780104758727000&usg=AOvVaw0LWVm0GBDBAr6hKA2GXqhF" href="https://www.redhat.com/en/about/press-releases/project-lightwell-secure-open-source" target="_blank">Red Hat（紅帽）</a>合作推出企業開放原始碼軟體供應鏈安全服務Project Lightwell，標榜結合AI輔助漏洞分析，協助企業處理第三方開放原始碼套件漏洞，並將已驗證的修補整合至既有軟體供應鏈。 這項服務延伸IBM與紅帽過去在Red Hat Enterprise Linux、OpenShift等企業開源平臺上的維護模式，將過去針對平臺內開放原始碼元件提供的生命週期管理、漏洞修補驗證與發布工程（release engineering），擴大到企業應用程式常用的第三方開放原始碼函式庫、程式語言工具鏈、AI框架與資料串流平臺。IBM與紅帽表示，Project Lightwell將透過商業訂閱方式提供相關能力，讓企業能將這類套件漏洞修補納入既有的軟體供應鏈管理流程。 Project Lightwell鎖定的問題，是如何把漏洞發現轉化為企業可實際部署的修補成果。依IBM說明，企業可在可信任的中介框架下，回報實際使用版本中發現的敏感安全問題；IBM與紅帽則結合工程團隊與AI能力，針對企業實際使用的開放原始碼套件版本，進行漏洞審查、分流、優先排序、修補開發與驗證，並交付針對正式環境最佳化的已驗證修補，涵蓋紅帽產品與獨立社群程式碼。 Project Lightwell也把上游通報與修正協調納入運作流程，讓IBM與紅帽在完成企業所需的套件漏洞修補後，可將相關修正內容回饋給上游開放原始碼社群，供社群納入後續長期維護。這種模式讓企業可委託IBM與紅帽處理關鍵安全問題，同時透過負責任揭露，降低企業自行維護修補分支的負擔，並強化整體開源生態系。 IBM並將Project Lightwell定位為既有漏洞掃描與程式碼安全工具的補強，而非取代Snyk、Sonatype、GitHub Advanced Security等工具。其差異在於，Project Lightwell交付的是針對企業既有套件版本完成修補、具備簽章驗證且納入服務水準協議（SLA）的套件，協助企業從發現漏洞進一步進入可部署到正式環境的修補階段。 Project Lightwell的設計也參考<a data-saferedirecturl="https://www.google.com/url?q=https://www.anthropic.com/glasswing&source=gmail&ust=1780104758727000&usg=AOvVaw2DZwbdRMZB5dfNZbGxawis" href="https://www.anthropic.com/glasswing" target="_blank">Anthropic Project Glasswing</a>與<a data-saferedirecturl="https://www.google.com/url?q=https://openai.com/zh-Hant/index/trusted-access-for-cyber/&source=gmail&ust=1780104758727000&usg=AOvVaw17vguOTr8oab4dEtS1fHxZ" href="https://openai.com/zh-Hant/index/trusted-access-for-cyber/" target="_blank">OpenAI Trusted Access for Cyber</a>等計畫經驗，IBM希望藉此把代理式安全技術用於開放原始碼套件風險管理，協助企業保護支撐現代應用程式與AI系統的基礎開放原始碼元件。技術支援範圍方面，<a data-saferedirecturl="https://www.google.com/url?q=https://www.ibm.com/products/lightwell&source=gmail&ust=1780104758727000&usg=AOvVaw2ssciZGYWL0JE354HcHBl7" href="https://www.ibm.com/products/lightwell" target="_blank">Project Lightwell</a>初期鎖定Maven與Java生態系，未來預計擴展至PyPI、NPM、Go等更多套件生態系。 IBM與紅帽已與一批早期採用企業合作，包括Bank of America、Goldman Sachs、JPMorganChase、Mastercard、Morgan Stanley、Royal Bank of Canada、Visa與Wells Fargo等。雙方表示，這些初期部署經驗，將作為Project Lightwell在複雜軟體供應鏈中，大規模識別、驗證與修補開放原始碼套件漏洞的參考。 </div></div></div>
5/29 11:33作者王珮瑤https://www.ithome.com.tw/news/176206
Gogs存在尚未修補的零時差漏洞，攻擊者可用於遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">談到自建Git程式碼版本管理系統，除了GitHub與GitLab，許多開發團隊採用主打輕量化的Gogs，近日資安公司Rapid7表示，兩個月前他們向Gogs開發團隊通報的重大漏洞，迄今尚未修補，並警告一旦攻擊者成功利用此漏洞，就可能入侵伺服器、跨租戶竊取資料與身分憑證、橫向移動，甚至發動供應鏈攻擊。 資安公司Rapid7<a href="https://www.rapid7.com/blog/post/ve-authenticated-rce-via-argument-injection-gogs-unfixed/">發布部落格文章</a>提出警告，這個被歸類為參數注入（argument injection）漏洞，Rapid7是在3月下旬找到，通過身分驗證的攻擊者，可藉此在合併前重設程式碼基礎（Rebase before merging）的操作流程中，建立具有惡意分支（branch）名稱的拉取請求，之後就有機會遠端執行任意程式碼（RCE），無須事先取得管理員權限，利用漏洞的過程也不需與使用者互動，甚至能完全自動化執行，CVSS v4.0評分達到9.4（滿分10分），該弱點目前尚未登記CVE編號。由於Gogs開發團隊尚未進行修補，他們呼籲用戶應採取行動因應，包括：限制用戶註冊與建立儲存庫，以及審核合併及重設程式碼基礎的組態設定。 關於漏洞的影響範圍，Rapid7指出，無論在Windows、macOS、Linux作業系統上建置，以及採用預先組建二進位檔、Docker或用原始碼等安裝方式的Gog，都無法例外；而在Gog的版本上，他們驗證0.14.2版與0.15.0+dev都存在相同的資安風險——他們在Ubuntu 24.04架設Docker環境，並建置最新的0.14.2版Gogs成功驗證此漏洞，並發現測試版本0.15.0+dev也存在相同的資安風險。 </div></div></div>
5/29 12:19作者周峻佑https://www.ithome.com.tw/news/176202
Google發布Chrome 148更新，修補逾150個資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">5月27日Google發布Chrome<a href="https://chromereleases.googleblog.com/2026/05/stable-channel-update-for-desktop_0877304591.html">電腦版</a>與<a href="https://chromereleases.googleblog.com/2026/05/chrome-for-android-update_0815229315.html">Android版</a>更新，一口氣修補了151個資安漏洞，數量較一週前的安全更新<a href="https://www.ithome.com.tw/news/176039">修補16個漏洞</a>多出不少。從危險程度來看，這次有22個重大漏洞、123個高風險漏洞，其餘6個評為中度風險。用戶應儘速更新，Windows版為148.0.7778.216或148.0.7778.217、macOS版為148.0.7778.215或148.0.7778.216，Linux與Android版為148.0.7778.215。 從漏洞的類型來看，記憶體相關的漏洞仍是大宗，其中又以記憶體釋放後再存取利用（Use After Free）類型的弱點66個最多，數量超過本次修補漏洞的三分之一。未受信任的使用者輸入驗證不充分與不當實作類型的弱點，各有17與15個；記憶體越界寫入與讀取各有12個弱點，整數溢位類型弱點有11個。 根據出現弱點的元件來看，ANGLE（Almost Native Graphics Layer Engine）有33個，數量位居第一，GPU、Skia、WebGL分別有12個、11個、9個。 </div></div></div>
5/29 10:19作者周峻佑https://www.ithome.com.tw/news/176201
【資安日報】5月28日，數發部資安署揭露實測高德地圖等四款中國App結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176165">數發部資安署實測四款中國App，同是導航地圖，高德比Google Maps更危險</a> <a href="/sites/default/files/images/wdze3jic_dwf-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/wdze3jic_dwf-63.jpg" style="width: 300px; float: right;" /></a>數位發展部資通安全署（資安署）5月27日召開記者會，公布對高德地圖、嗶哩嗶哩（Bilibili）、愛奇藝（iQIYI）及BIMOBIMO等四款中國App的資安檢測結果，結果顯示，高德地圖在Android平臺驗出高達十一項高風險行為，iOS平臺也有八項，是本次檢測中風險最高的應用程式。而同樣是地圖導航類App，Google Maps在相同的測試框架下，卻未發現高德地圖最具爭議的行為，尤其在使用者未主動操作的情況下，高德地圖會「主動擷取剪貼簿」內容。 <a href="https://www.ithome.com.tw/news/176158">Google示警中國PhaaS犯罪服務平臺升級，具AI生成偽冒網站能力</a> <a href="/sites/default/files/images/phaas-fig1_max-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/phaas-fig1_max-63.jpg" style="width: 300px; float: right;" /></a>過去一年，使用中文為主要語言的駭客族群，其主導的網路釣魚即服務（PhaaS）迅速擴張。Google威脅情報小組（GTIG）近期警告，中文PhaaS平臺正運用AI提升全球網釣能力，並規避釣魚網站偵測。GTIG指出，PhaaS市場過去長期由俄語駭客包辦，現今中文地下犯罪體系興起，需要全球戒備。而且這些平臺提供的釣魚範本，宣稱能支援全球100多國的釣魚活動，但皆以非中國品牌為目標，顯示其刻意避開中國境內以降低查緝風險。 <a href="https://www.ithome.com.tw/news/176161">中國網釣即服務平臺YY Lai Yu崛起，日本成首要網釣目標</a> <a href="/sites/default/files/images/phaas-fig2_max-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/phaas-fig2_max-63.jpg" style="width: 300px; float: right;" /></a>對於中國網釣即服務平臺的危害，近日Google威脅情報小組（GTIG）公布相關案例，指出名為YY Lai Yu（YY来鱼）的PhaaS平臺，正利用高度自動化的「在地化即服務（Localization-as-a-Service）」模式，大規模發動精準的網路釣魚攻擊。「YY来鱼」自2024年8月開始活躍，宣稱支援全球119國的網釣活動。其核心目標目前鎖定日本市場，專為中文攻擊者提供滲透日本消費生態系所需的在地化工具。 <a href="https://www.ithome.com.tw/news/176171">中國駭客利用新式惡意程式Showboat、JFMBackdoor攻擊電信業者，鎖定Linux與Windows系統展開滲透</a> <a href="/sites/default/files/images/img-blog-bll-newmalware-figure7-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/img-blog-bll-newmalware-figure7-63.jpg" style="width: 300px; float: right;" /></a>自2022年起，亞太與中東地區的電信業者，特別是哈薩克、阿富汗與印度等地，便持續受到疑似中國駭客組織的攻擊。美國電信業者Lumen的資安研究團隊，與會計事務所PwC的資安威脅研究部門聯合進行調查後，近日發布報告，指出這些攻擊與中國駭客組織Red Lamassu有關，並使用新發現的Linux與Windows惡意程式Showboat、JFMBackdoor，以維持長期滲透與遠端控制能力，這些新型工具很可能在多個中國駭客組織間流通與共享。 <a href="https://www.ithome.com.tw/news/176128">透過微軟Teams散布惡意程式的攻擊又一樁！駭客假冒IT支援發動ModeloRAT攻擊，誘騙企業員工執行遠端工具</a> 資安公司Rapid7近日揭露利用ModeloRAT惡意程式的活動，攻擊者透過微軟Teams平臺假冒IT支援人員進行社交工程，誘騙企業員工執行遠端管理工具，進而植入惡意程式並控制受害電腦。這波攻擊的入侵起點，是濫用Teams允許跨租戶直接對話的外部存取（external access）功能，攻擊者藉此假冒IT支援部門與受害者聯繫，誘使受害者執行PowerShell指令，從Dropbox雲端空間下載與執行Python惡意程式。 <a href="https://www.ithome.com.tw/news/176139">駭客濫用Google廣告與Claude.ai對話分享頁面，對macOS用戶散布惡意程式</a> 許多IT使用者都會透過搜尋引擎，來尋找感興趣軟體的操作與安裝方式，連帶也出現針對這類使用行為的攻擊手法，攻擊者針對意圖搜尋特定軟體的用戶，透過Google廣告將其誘導到偽造的釣魚網站，藉此散布惡意軟體。根據資安媒體BleepingComputer最近的報導，有攻擊者以AI工具Claude Code為誘餌，濫用Claude平臺的對話公開分享（Shared Chats）功能，結合Google廣告，從而向macOS用戶散布惡意軟體。 <a href="https://www.ithome.com.tw/news/176174">CISA要求聯邦機構4天內修補cPanel外掛LiteSpeed重大漏洞</a> 上週網頁伺服器系統開發商LiteSpeed揭露與修補權限提升漏洞CVE-2026-48172，此漏洞存在於該公司提供cPanel用戶的外掛程式，CVSS v4.0風險達到滿分10分，LiteSpeed強調已被積極利用，呼籲用戶儘速採取行動，如今美國政府也證實這樣的情形。5月26日美國網路安全暨基礎設施安全局（CISA）發出公告，將CVE-2026-48172加入已遭利用的漏洞名單（KEV），聯邦機構必須在5月29日前完成修補。 <a href="https://www.ithome.com.tw/news/176175">CISA要求聯邦機構對近期發生的軟體供應鏈事故採取行動</a> 5月27日美國網路安全暨基礎設施安全局（CISA）將CVE-2026-8398、CVE-2026-45321、CVE-2026-48027等3個漏洞列入已遭利用的漏洞名單（KEV），值得留意的是，這些漏洞並非一般的軟體弱點，而是因供應鏈攻擊導致軟體被植入惡意程式碼的情況。值得留意的是，CISA給予聯邦機構因應威脅的期限有所不同，其中最短的是虛擬光碟機軟體Daemon Tools Lite嵌入惡意程式碼弱點CVE-2026-8398，聯邦機構必須在5月30日前完成修補。 <a href="https://www.ithome.com.tw/news/176087">Gemini 3.5刪除近3萬行程式碼，修改設定，用戶系統斷線半小時</a> Google上周發表最新版AI模型系列Gemini 3.5，不過開發人員dvrkstar卻自曝，原本他要求Gemini在內部管理入口網站中，修復在檢查中標示出的8個特定server-action驗證問題，理應更動3個檔案、8項功能、約70行程式碼，結果Gemini變更340個檔案，加入400多行程式碼的同時，竟刪除28,745行程式碼，導致整個營運網站出現404的錯誤訊息，直到使用者察覺異狀手動進行復原，經歷33分鐘後才回復運作。 <a href="https://www.ithome.com.tw/news/176155">壓縮工具7-Zip發布新版本，修補惡意NTFS映像檔可能導致執行任意程式碼的重大漏洞</a> 廣獲使用的開源壓縮工具7-Zip近日更新26.01版，修補可能導致執行任意程式碼的重大漏洞CVE-2026-48095，攻擊者可能利用特製NTFS映像檔（NTFS image）觸發記憶體處理缺陷，進而造成程式當機，甚至執行任意程式碼，影響7-Zip 26.00版以前的所有版本，存在於7-Zip處理NTFS映像檔的過程中，對NTFS壓縮資料流緩衝區（NTFS compressed stream buffer）的記憶體配置不足，CVSS嚴重性評分達8.8分。 <a href="https://www.ithome.com.tw/news/176154">微軟修補SharePoint高風險漏洞，已通過身分驗證攻擊者可遠端執行程式碼</a> 微軟於5月21日發布安全更新，修補企業協作與文件管理平臺SharePoint的遠端程式碼執行漏洞CVE-2026-45659，問題源自SharePoint系統可允許對不受信任資料的反序列化處理（Deserialization of Untrusted Data），使具備存取權限的攻擊者可透過網路執行程式碼，CVSS風險分數為8.8，受影響產品包括SharePoint Server Subscription Edition、SharePoint Server 2019，以及SharePoint Enterprise Server 2016。 <a href="https://www.ithome.com.tw/news/176148">PuTTY發布0.84版，修補可能導致拒絕服務攻擊的SSH金鑰交換與數位簽章驗證漏洞</a> 歷史悠久、廣獲使用的開源SSH遠端終端機工具PuTTY，近日發布0.84版更新，修補多項安全性問題，包括SSH金鑰交換、ECDSA數位簽章與Telnet處理等，建議用戶儘速升級。PuTTY這次更新主要修補3項安全性問題，其中一個是RSA金鑰交換過程中，可遠端觸發的雙重釋放漏洞（double-free），系統可能因惡意特製的金鑰，而錯誤地兩次釋放相同記憶體結構，導致當機。 <a href="https://www.ithome.com.tw/news/176180">GitHub釋出Enterprise Server 3.20.3，修補多項重大漏洞</a> 開發社群平臺GitHub釋出GitHub Enterprise Server（GHES）3.20.3，修補多項重大及高風險漏洞，包括2個伺服器請求偽造（SSRF）漏洞，以及和上周資安事件與Linux核心漏洞Dirty Frag（CVE-2026-43284、CVE-2026-43500）有關的問題。其中一個重大漏洞CVE-2026-9312，為預先驗證（pre-authentication）SSRF漏洞，攻擊者可傳送變造的請求到內部服務，進而成功存取內部服務並曝露敏感憑證。 <a href="https://www.ithome.com.tw/news/176084">Splunk修補多項高風險漏洞，未更新可能導致資料外洩與拒絕服務攻擊</a> 資安與日誌分析平臺業者Splunk近日發布一系列公告，修補3項自家平臺與應用套件的安全漏洞，以及多項涉及第三方元件的應用套件漏洞。這次修補的漏洞中，最重要的是這3項：CVE-2026-20238、CVE-2026-20239與CVE-2026-20240。其中風險最高的漏洞，是可能導致洩漏日誌敏感資料的CVE-2026-20239，CVSS嚴重性評分達7.5分，影響Splunk Enterprise與Splunk Cloud Platform這兩大產品。 <a href="https://www.ithome.com.tw/news/176164">ExifTool修補macOS指令注入漏洞，未更新可能導致惡意圖片中繼資料觸發執行任意指令</a> 在多媒體工作流程廣泛使用的開源影像metadata處理工具ExifTool，2月修補重大漏洞CVE-2026-3102，若不修補，攻擊者可透過特製圖片檔的metadata，在macOS環境下注入作業系統指令（OS Command Injection），進而執行任意指令。此漏洞影響ExifTool 13.49以前版本，已在13.50版修補，由於許多影像管理軟體、數位資產管理等平臺也都直接整合ExifTool，企業用戶也需確認相關平臺是否已升級新版ExifTool。 <a href="https://www.ithome.com.tw/news/176176">Health-ISAC警告Claude Mythos加快漏洞研究，醫療健康產業修補壓力升高</a> 醫療健康產業資安情資分享組織Health-ISAC於5月12日發布報告，警告AI模型開發商Anthropic的Claude Mythos Preview已展現高度漏洞研究能力。Health-ISAC指出，這類模型若維持嚴格控管，可協助防禦方更快找出並修補弱點；但一旦外流，也可能像Cobalt Strike與Brute Ratel C4（BRC4）等合法資安工具一樣，遭威脅行為者濫用。再者，中國企業可能在6至12個月內發展出接近Mythos的漏洞發現能力。 <a href="https://www.ithome.com.tw/news/176157">Microsoft Defender for Endpoint測試自動隔離被駭端點功能</a> 微軟目前正在端點安全產品Microsoft Defender for Endpoint當中，預覽一項能自動隔離被駭端點的新功能「自動攻擊阻斷」（automatic attack disruption），一旦特定裝置遭受感染或被駭，會立即從公司網路斷線，該裝置只會和Microsoft Defender for Endpoint服務保持連線，由該服務持續監控受害裝置，目的是能防止攻擊者或惡意程式橫向移動，以防範資料外洩、勒索軟體蔓延。 <a href="https://www.ithome.com.tw/news/176172">Anthropic揭露Claude代理安全設計，以環境邊界限制損害範圍</a> Anthropic近日公開說明Claude代理產品的安全設計，指出當AI代理取得檔案、命令列、網路與外部工具存取能力後，不能只依賴模型判斷或人工批准，而要透過執行環境隔離、檔案系統邊界與網路出口管制，限制代理遭誤用、遭攻擊或執行非預期動作時的損害範圍。其中，在Claude網頁服務中，程式執行被放在伺服器端的暫時性隔離容器，檔案系統只存在於單一工作階段，代理不會直接接觸使用者本機環境。 <a href="https://www.ithome.com.tw/news/176151">Red Hat推出強化容器映像檔，內建SBOM提升供應鏈透明度</a> 開放原始碼解決方案供應商Red Hat（紅帽）於5月12日宣布，Red Hat Hardened Images正式推出。這項服務源自Red Hat先前推動的Project Hummingbird，該專案原本鎖定降低容器攻擊面的需求，如今已發展成可用於正式環境的強化容器映像檔，現階段提供超過45個項目、涵蓋超過150種變體，建置於紅帽管理的受信任（trusted）軟體管線，涵蓋企業工作負載常用的程式語言、執行環境、資料庫、網頁伺服器與工具。 <a href="https://www.ithome.com.tw/review/176173">Fortinet擴增G系列次世代防火牆，同時連線數可達競品13.7倍</a> 近幾年以來，Fortinet持續推出更多款次世代防火牆FortiGate G系列，例如去年底我們介紹的FortiGate 700G，時至今年5月的此刻，該公司宣布擴增兩款機型，分別是用於資料中心環境的3500G系列，以及用於企業網路邊緣環境的400G系列。以FortiGate 3500G系列而言，Fortinet提供兩款機型：FG-3500G、FG-3501G，均內建兩個400GbE埠。 近期資安日報 <a href="https://www.ithome.com.tw/news/176159">【5月27日】互動資通OTP簡訊平臺EVERY8D遭駭</a> <a href="https://www.ithome.com.tw/news/176130">【5月26日】馬偕醫院再傳遭駭客竊取資料，院方表示疑為去年舊案</a> <a href="https://www.ithome.com.tw/news/176130">【5月25日】GitHub內部儲存庫的程式碼外流，確認遭供應鏈攻擊事故波及</a> </div></div></div>
5/28 16:20作者周峻佑https://www.ithome.com.tw/news/176187
GitHub釋出Enterprise Server 3.20.3修補多項重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.20.3" target="_blank">開發社群平臺GitHub本周釋出GitHub Enterprise Server（GHES）3.20.3</a>，修補多項重大及高風險漏洞，包括2個SSRF漏洞，以及和上周資安事件與Linux Dirty Frag有關的問題。 最新版更新修補的兩項重大漏洞，其一為編號CVE-2026-9312，為存在上傳端點的前驗證（pre-authentication）伺服器端請求偽造（server-side request forgery，SSRF）漏洞，起於輸入驗證不足，本漏洞讓攻擊者可傳送變造的請求到內部服務，進而成功存取內部服務並曝露敏感憑證。欲濫用本漏洞，攻擊者需要能存取GHES執行個體。 第二項漏洞沒有編號，而是因應5月份資安事件的補強作業。<a href="https://www.ithome.com.tw/news/176006" target="_blank">在該事件中</a>，GitHub一名員工裝置因安裝了遭植入惡意軟體的VS Code擴充套件，讓駭客得以竊取約3,800個內部儲存庫資料。在新版軟體中，GitHub更新了GHES發行套件的所有簽章金鑰。未來新版也只能以新金鑰簽發。GitHub Enterprise Server管理員必須在更新修補程式之前輪換執行個體的GPG（GNU Privacy Guard）公鑰。 GitHub Enterprise Server 3.20.3另外還修補了3個高風險漏洞。其中兩個是和代號Dirty Frag的Linux核心漏洞CVE-2026-43284及CVE-2026-43500有關，二者分別影響IPsec ESP和RxRPC子系統元件。新版軟體則包含了解決漏洞的Linux底層。 第三項高風險漏洞編號<a href="https://www.tenable.com/cve/CVE-2026-8606" target="_blank">CVE-2026-8606</a>。這是影響GHES的SSRF漏洞，能讓攻擊者以安全公告套件查詢（lookup）功能誘發伺服器向內部服務發送HTTP請求，然後攻擊者結合第二步手法，量測服務回應時間差（如回應的秒數），藉此推測出敏感環境變項值，包括簽章密碼或私鑰。要濫用本漏洞，執行個體必須先啟用GitHub套件。 值得說明的是，這個漏洞風險很高。私有模式（Private Mode）關閉時，攻擊者不需要登入，可從外網直接發送請求就能發動SSRF，而啟用時也擋不住最低權限者攻擊。為了最徹底解決，GHES 3.20.3版本直接把這整個受影響的功能API移除。 但GitHub也說明新版本已知問題。包括自訂防火牆規則會被清空；管理員後臺（Management Console）登入失敗被鎖時不會自動解鎖，必須用SSH進後臺手動處理。其次，Actions與雲端儲存可能卡死：如果GitHub Actions有連動AWS S3或Google Cloud Storage（OIDC驗證），升級過程中可能會報錯中斷，需要進後臺下指令手動修補。最後，GitHub提醒，如果在企業最高層級「一鍵啟用」全公司的Secret/Code Scanning，會因為瞬間載入量過大導致系統卡死，GitHub建議到各個組織（Org）分批開啟。 </div></div></div>
5/28 12:12作者林妍溱https://www.ithome.com.tw/news/176180
Deno 2.8強化Node.js相容性，新增套件管理與CI流程CLI命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">JavaScript執行環境Deno團隊發布<a href="https://deno.com/blog/v2.8">Deno 2.8</a>，這次更新重點放在強化Node.js與NPM套件系統的相容性，並新增多項CLI命令，讓開發者能在Deno中處理套件安裝、自動化建置、版本更新、相依關係查詢與套件發布流程，讓既有Node.js專案更容易搭配Deno工具鏈一起使用。 Deno主打安全預設與單一執行檔工具鏈，不過，若要讓更多Node.js專案順利使用Deno，仍需要提高相容性，並補強套件安裝、建置與發布等流程。Deno 2.8對Node.js官方測試套件的通過率，從Deno 2.7約42%提高到76.4%，在4,457項測試中通過3,405項，擴大對Node.js常用功能的支援範圍。 Deno 2.8調整CLI使用方式，開發者透過命令列加入或安裝套件時，未加來源前綴的套件名稱會預設視為NPM套件。官方提到，該功能調整的目的，是讓命令列操作更接近多數JavaScript開發者熟悉的使用習慣。 新版新增的CLI命令，則補強開發到交付之間的常見工作。Deno 2.8加入適合CI環境的安裝模式，能依照鎖定檔安裝相依項目，避免自動化建置時意外改變套件版本，並也新增套件打包（deno pack）能力，可將專案產生為NPM可接受的發布封裝。開發者也能查詢某個套件是透過哪一層相依關係被帶入專案，較容易判斷套件來源與版本關係。 其他新增命令則處理漏洞修補、版本更新與程式轉換。新版可在版本限制允許的範圍內，自動升級受已知漏洞影響的NPM套件，也能更新專案設定檔中的版本號。對需要預先產生JavaScript檔案的場景，Deno 2.8提供將TypeScript、JSX或TSX轉成JavaScript的命令。 Deno 2.8也改善執行效能與除錯能力，根據官方公布的Linux測試顯示，冷啟動NPM安裝時間由Deno 2.7.1的3,319毫秒降至906毫秒。新版也支援在Chrome DevTools中檢視Deno程式的網路流量，方便開發者觀察程式對外連線與請求狀況。 Deno 2.8內建TypeScript 6.0.3，型別檢查、打包（deno bundle）、語言伺服器與編譯功能會自動使用新版本。新版也加入工作區集中管理套件版本的能力，方便大型專案在多個子專案之間維持一致相依項目版本，並支援只安裝正式環境需要的套件，供部署與CI流程使用。 </div></div></div>
5/27 16:23作者李建興https://www.ithome.com.tw/news/176163
【資安日報】5月27日，互動資通OTP簡訊平臺EVERY8D遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176142">互動資通OTP簡訊平臺EVERY8D遭駭，F-ISAC發布黃燈級資安事件警訊</a> <a href="/sites/default/files/images/hu_dong_zi_tong_bfwai_xie_zi_xun-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/hu_dong_zi_tong_bfwai_xie_zi_xun-63.jpg" style="width: 300px; float: right;" /></a>國內企業簡訊與通訊軟體供應商互動資通（Teamplus）日前疑似遭受嚴重的網路攻擊與勒索軟體侵害，導致其核心業務、市占第一的EVERY8D企業簡訊平臺全面癱瘓。金融資安資訊分享與分析中心（F-ISAC）於5月26日下午，正式對此一資安事件發布黃燈等級的資安事件警訊，並要求所有會員機構必須採取「先釐清暴露面，再進行應變處置」的緊急手段，同時發布五點防禦指引作為會員機構的防禦參考。這場風暴的開端可追溯至5月21日，身分不明的駭客在知名駭客地下論壇中，以「SELLING」為標題，公開兜售互動資通的上市公司網域控制器帳號，以及EVERY8D企業簡訊平臺的相關資料。 <a href="https://www.ithome.com.tw/news/176141">臺馬二號海纜完成搶修，東引脫離「單一備援」狀態</a> 數發部於5月26日表示，中華電信已於25日通報完成臺馬二號海纜修復作業，將今年3月7日臺馬二號海纜距離淡水沙崙約23.6公里處的全斷障礙正式排除，目前東引地區語音、行動通訊及網際網路服務已恢復透過海底電纜傳輸，結束近一個月主要依靠微波備援系統支撐的狀態。此次修復之所以受到關注，原因在於東引及馬祖地區近來接連遭遇海纜故障事件，首先是臺馬二號海纜在去年10月7日部分芯線受損障礙，後續臺馬二號海纜又在今年的3月7日於距沙崙23.6公里處發生斷纜，使得當地通訊只能仰賴臺馬三號海纜支援。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=182848&SPOKE_DATE=20260526&COMPANY_ID=5287">數字科技發布資安重訊，揭露開發測試流程疏失導致原始碼與個資外流</a> 旗下擁有591房屋交易網、8591、518熊班與小雞上工等知名平臺的數字科技（5287），於5月26日晚間發布資安重訊，揭露因開發測試流程疏失導致的原始碼與個資外流事件。根據數字科技說明，公司今年5月25日進行內部活動網頁開發與測試作業時，因程式碼管理設定不當，致使部分尚未去識別化的測試原始碼曾短暫被推送至外部平臺，而這些內容涉及特定專案的會員姓名、身分證字號及電子郵件等敏感資訊。 <a href="https://www.ithome.com.tw/news/176146">日本學習管理系統KnowledgeDeliver存在零時差漏洞，駭客用於部署Godzilla</a> 日本常見的學習管理系統（LMS）KnowledgeDeliver存在資安重大漏洞CVE-2026-5426，根據Google旗下的Mandiant與威脅情報團體（GTIG）最新揭露，起因是2025年底發生的資安事故。Google表示他們發現有駭客組織濫用相關權限，在KnowledgeDeliver平臺注入惡意程式碼，目的是感染存取該網站的使用者裝置。駭客在成功取得存取權限後，就會在該平臺植入以.NET打造的Webshell，此惡意程式被稱為Godzilla（BlueBeam）。 <a href="https://www.ithome.com.tw/news/176122">北韓駭客Lazarus鎖定金融與加密貨幣機構，散布惡意軟體RemotePE</a> <a href="/sites/default/files/images/remotepe_diagram-4-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/remotepe_diagram-4-63.jpg" style="width: 300px; float: right;" /></a>資安公司Fox IT指出，北韓駭客組織Lazarus從原本使用惡意程式ThemeForestRAT和PondRAT，更換為僅在記憶體運作的工具組，涵蓋3種惡意程式DPAPILoader、RemotePELoader，以及RemotePE。具體來說，這些工具可形成一系列攻擊鏈，Lazarus通常會濫用Windows服務，或是透過側載方式啟動DPAPILoader，該惡意程式再濫用作業系統內建的Windows Data Protection API（DPAPI），解密並載入另一支惡意程式RemotePELoader，最終啟動遠端存取木馬（RAT）RemotePE。 <a href="https://www.ithome.com.tw/news/176145">7-Eleven資料外洩事故外流逾18.5萬客戶個資</a> 在4月17日，駭客組織ShinyHunters聲稱從便利商店龍頭7-Eleven竊得超過60萬筆資料，開價25萬美元兜售；一個月後，7-Eleven向美國緬因州檢察長辦公室通報資料外洩事故，並指出事故發生在4月8日，該公司自5月1日起通知受影響人士。近日密碼外洩查詢網站Have I Been Pwned（HIBP）將這起資安事故加入資料庫，並指出有18.53萬個帳號受到影響，其中包括電子郵件信箱、姓名、實體地址、出生日期、電話號碼。 <a href="https://www.ithome.com.tw/news/176124">2026世界盃倒數一個月，當心鎖定球迷的偽冒FIFA網站</a> <a href="/sites/default/files/images/sitio-falso-fifa-mundial-26-2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/sitio-falso-fifa-mundial-26-2-63.jpg" style="width: 300px; float: right;" /></a>不到一個月後，2026年世界盃足球賽將於美國、加拿大與墨西哥舉行。資安公司ESET近日發出警示，發現多個偽冒FIFA（國際足總）官方網站的釣魚網站，攻擊者透過註冊與官方名稱相近的網域，鎖定正在尋找門票、住宿或官方商品的球迷，藉此騙取個資與信用卡資訊。這些攻擊活動並非零星個案，而是有組織的運作。攻擊者註冊了多種變體的偽冒網域，即使部分網站因被檢舉而下架，仍能透過其他備用網域維持詐騙活動運作。 <a href="https://www.ithome.com.tw/news/176119">鎖定SonicWall防火牆的掃描活動激增，疑為利用新漏洞前兆</a> <a href="/sites/default/files/images/6a0e0c0afd965436cf1294ba_GreyNoise-Q1-Activity-Spikes-Preceded-CVE-2026-0400-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/6a0e0c0afd965436cf1294ba_GreyNoise-Q1-Activity-Spikes-Preceded-CVE-2026-0400-63.jpg" style="width: 300px; float: right;" /></a>威脅情報公司GreyNoise發現，近二週鎖定SonicWall防火牆管理介面的掃描活動顯著增加，最高一天將近60萬次，有可能是新漏洞或零時差漏洞即將被利用的前兆，對此，他們呼籲IT人員立即採取行動因應。由於這個現象和今年初掃描激增現象頗為相似，因此GreyNoise認為，之後可能會出現新漏洞。今年初，GreyNoise團隊1月18日、30日及2月14日先後觀察到掃描高峰，10天後就發現了CVE-2026-0400。因此GreyNoise指出，兩週來的掃描次數激增可能是漏洞揭露的前兆。 <a href="https://www.ithome.com.tw/news/176072">TeamPCP滲透資料圖形化程式庫AntV，影響逾600個套件</a> <a href="/sites/default/files/images/e24a7f4437ee577d2d69db1e54b2cdc6f3cfe1b3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/e24a7f4437ee577d2d69db1e54b2cdc6f3cfe1b3-63.jpg" style="width: 300px; float: right;" /></a>多家資安公司Aikido、Endor Labs、Socket、Step Security提出警告，駭客團體於5月19日發起最新一波Mini Shai-Hulud供應鏈攻擊活動，主要目標是阿里巴巴資料圖形化程式庫AntV生態系統套件，由於被入侵的NPM帳號維護的套件每週下載次數達到150萬，因此，受影響的套件數量快速增加，Socket確認駭客滲透323個套件，上架639個惡意套件。Step Security指出，這些套件內含經混淆處理的惡意酬載，會讀取記憶體中的GitHub Actions執行程序內容，挖掘其中的CI/CD機密資料，從AWS、GCP、Azure、Kubernetes、HashiCorp Vault、加密貨幣錢包及開發者工具等超過130種管道收集憑證，然後透過兩種機制外流。 <a href="https://www.ithome.com.tw/news/176152">Anthropic擴大Project Glasswing合作對象，有意將Claude Mythos推向一般企業</a> 4月初Anthropic發布Claude Mythos預覽版，由於該模型威力極為強大，該公司決定限縮使用範圍，透過Project Glasswing專案讓特定科技及金融廠商用來挖掘資安漏洞，本週Anthropic宣布，將把Project Glasswing擴及更多政府等組織，終極目標是將該模型公開推出。Anthropic將Project Glasswing擴大到更多關鍵合作夥伴，包括美國及盟國政府，一旦該公司具備更強大的安全防護機制，將有可能把Mythos等級的模型公開（general release）給大眾使用。 <a href="https://www.ithome.com.tw/news/176133">OpenSSF發布Python安全程式開發指南，可用於開發者培訓、資安研究與AI工具評測</a> 開源軟體安全基金會（OpenSSF）於5月12日發布《Python安全程式開發指南》（Secure Coding Guide for Python，pyscg）首版，內容涵蓋9大章節、超過50項規則，並以可執行程式碼範例示範常見弱點與修正方式，可用於開發者培訓、資安研究，以及大型語言模型與靜態分析工具評測。這份指南聚焦CPython 3.9及之後版本與標準函式庫，避免依賴特定網頁框架或第三方模組，讓不同技術堆疊的團隊都能套用當中揭示的原則。 <a href="https://www.ithome.com.tw/news/176131">NIST發布製造業資安實務指南草案，聚焦ICS網路攻擊事件應變與復原</a> 為了強化製造業資安，在5月21日，美國國家標準暨技術研究院（NIST）國家網路安全卓越中心（NCCoE）公開《製造業網路攻擊回應與復原：資安實務指南》初版草案，文件編號為NIST SP 1800-41，聚焦工業控制系統（ICS）環境，說明製造業者如何依據NIST網路安全框架2.0版（NIST CSF 2.0）建立事件回應與復原流程，以降低停機與營運衝擊。這份指南也參考NIST另外兩份文件，分別是：《NISTIR 8428》以及《NIST SP 800-61r3》。 <a href="https://www.ithome.com.tw/news/176115">CDM發明人推AI Defense Matrix，建構AI安全配套框架</a> 隨著生成式AI浪潮席捲全球，企業在導入AI技術的同時，也面臨前所未有的安全挑戰。知名資安專家、網路防禦矩陣（Cyber Defense Matrix，CDM）發明人Sounil Yu，於5月中旬宣布與資安專家Lenny Zeltser攜手合作，發表全新的AI防禦矩陣（AI Defense Matrix），目的是協助資安主管識別防禦缺口、確立權責歸屬，並針對AI系統選擇精準的控管措施。同時，對於資安供應商而言，這套框架亦能協助其釐清產品價值定位，並擬定更具策略性的產品發展藍圖。 <a href="https://www.ithome.com.tw/news/176104">CIS發布Benchmark安全設定基準更新，涵蓋PostgreSQL、Kubernetes與SQL Server</a> 非營利的資安組織網際網路安全中心（Center for Internet Security，CIS），近日發布CIS Benchmarks更新，新增多項針對雲端、容器與作業系統環境的安全設定基準，涵蓋PostgreSQL、Kubernetes、SQL Server、AWS、微軟Office 365等平臺，協助企業進行系統安全強化（Hardening），降低設定錯誤的風險。CIS Benchmarks是CIS發布的安全設定與強化基準，涵蓋作業系統、雲端服務、資料庫、網路設備與容器平臺等環境，廣泛被用於資安稽核、法規遵循與系統安全檢查。 <a href="https://www.ithome.com.tw/news/176089">CIS推出支援AI與HPC的強化映像檔，協助企業在AWS部署安全雲端環境</a> 許多組織準備的AI執行環境所採用的組態標準不一，甚至等系統部署後才回頭補強安全措施，不僅增加風險，也讓安全與營運團隊更難維持一致的防護狀態。為了降低這類部署風險，非營利資安組織網際網路安全中心（CIS）將既有CIS Hardened Images產品線延伸到AI與高效能運算（HPC）場景。CIS Hardened Images是依據CIS Benchmarks建立的預先配置虛擬機器映像檔，可在主要雲端平臺提供預設具備安全組態的作業系統環境。 <a href="https://www.ithome.com.tw/news/176088">Underminr濫用共享CDN架構，讓惡意連線偽裝成可信網域流量</a> 資安業者ADAMnetworks揭露藏匿在內容傳遞網路（CDN）基礎架構中的安全漏洞Underminr，宣稱駭客可利用該漏洞繞過安全偵測，估計影響全球約8,800萬個網域。惡意程式可讓受害裝置先查詢一個被允許的可信網域A，取得它背後的CDN邊緣IP位址；但真正連到該IP位址時，卻在TLS SNI（伺服器名稱指示）與HTTP Host中指定另一個同樣位於該CDN共享邊緣上的惡意網域B。這麼做使惡意程式可把C2通訊、資料外洩或代理流量偽裝成正常連線。 <a href="https://www.ithome.com.tw/news/176143">蘋果OS新推出的基礎密碼學程式庫內建兩種量子安全演算法，並推出形式驗證工具</a> 在蘋果的安全工程與架構團隊（SEAR）與硬體技術正式驗證團隊的合作之下，針對作業系統發布新的基礎密碼學程式庫corecrypto，當中實作兩種量子安全演算法：ML-KEM、ML-DSA，以及該公司建立的數學證明，以確保它們符合FIPS 203與FIPS 204這兩種美國聯邦資訊處理標準的要求，供專家獨立評估。在此同時，為了提升關鍵軟體安全保障，使其達到最先進的水準，蘋果也發布自行建立的形式驗證（formal verification）程式庫與工具。 <a href="https://www.ithome.com.tw/news/176011">微軟開源RAMPART，讓代理安全測試CI化</a> 微軟開源測試AI代理安全性的工具RAMPART，讓工程團隊把資安團隊在模擬攻擊中發現的問題，或實際AI事件中的風險情境，轉成可以反覆執行的自動化測試，並放進持續整合流程，也就是每次程式變更時都能一起檢查，避免修正過的安全問題之後又重新出現。該公司也開源Clarity，協助團隊在正式開發前釐清開發假設、可能出錯的情境與重要設計決策。兩項工具處理的階段不同，RAMPART偏向開發中的安全測試，Clarity則偏向開發前的問題釐清與決策記錄。 <a href="https://www.ithome.com.tw/news/176042">Flipper公布Flipper One計畫</a> 主要開發開源硬體與資安工具產品的Flipper Devices，因推出Flipper Zero可攜式資安裝置在資安研究者、硬體玩家與創客社群間快速走紅，近日他們公布新專案Flipper One，目標是打造全球最開放、文件最完整的ARM電腦，完整支援Linux主線核心（Mainline Linux Kernel）。Flipper宣稱Flipper One與Flipper Zero定位完全不同，Flipper Zero偏向近距離通訊與裝置訊號分析，Flipper One則聚焦IP網路與Linux運算能力。 <a href="https://www.ithome.com.tw/news/176065">CISA宣布提供研究人員通報漏洞已遭利用的管道</a> 5月21日美國網路安全暨基礎設施安全局（CISA）發布公告，表示為了讓研究人員、供應商，以及產業合作夥伴能更容易通報遭到利用的漏洞，他們推出已遭利用漏洞列表（KEV）的漏洞提報表單（Nomination Form）系統，期望這種新的通報機制能增加CISA快速識別、驗證、共享KEV相關的重要威脅情資。CISA設立KEV的漏洞提報表單平臺的目的，就是鼓勵研究人員進行誠信的資安研究，並促進透明、協調的網路風險修復。 近期資安日報 <a href="https://www.ithome.com.tw/news/176130">【5月26日】馬偕醫院再傳遭駭客竊取資料，院方表示疑為去年舊案</a> <a href="https://www.ithome.com.tw/news/176130">【5月25日】GitHub內部儲存庫的程式碼外流，確認遭供應鏈攻擊事故波及</a> <a href="https://www.ithome.com.tw/news/176053">【5月22日】微軟修補防毒軟體零時差漏洞</a> </div></div></div>
5/27 16:33作者周峻佑https://www.ithome.com.tw/news/176159
Red Hat推出強化容器映像檔，內建SBOM提升供應鏈透明度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">開放原始碼解決方案供應商<a href="https://www.redhat.com/en/about/press-releases/red-hat-hardened-images-accelerates-cloud-native-development-and-zero-cve-strategies" target="_blank">Red Hat（紅帽）於5月12</a><a href="https://www.redhat.com/en/about/press-releases/red-hat-hardened-images-accelerates-cloud-native-development-and-zero-cve-strategies" target="_blank">日宣布</a>，Red Hat Hardened Images正式推出。這項服務源自Red Hat先前推動的Project Hummingbird，該專案原本鎖定降低容器攻擊面的需求，如今已發展成可用於正式環境的強化容器映像檔，現階段提供超過45個項目、涵蓋超過150種變體，並建置於紅帽管理的受信任（trusted）軟體管線之上。 Red Hat表示，這批正式供應的強化映像檔涵蓋企業工作負載常用的程式語言、執行環境、資料庫、網頁伺服器與工具，包括Python、Node.js、Go、Java、.NET、PostgreSQL、Valkey、Nginx與HAProxy等。 <img alt="" src="/sites/default/files/images/0527-Red%20Hat%20Hardened%20Images-1.png" style="width: 600px;" /> Red Hat推出這項服務，主要是因應容器基礎映像檔帶來的軟體供應鏈風險。<a href="https://www.redhat.com/en/blog/red-hat-hardened-images" target="_blank">Red Hat</a><a href="https://www.redhat.com/en/blog/red-hat-hardened-images" target="_blank">在部落格中指出</a>，目前平均每天約有160個通用漏洞揭露（Common Vulnerabilities and Exposures，CVE）編號被公開，加上自動化掃描工具與AI輔助漏洞發掘工具普及，企業後續可能需要處理更多漏洞警示。單一容器掃描就可能列出數百個漏洞項目，使資安團隊必須花費大量時間判斷哪些漏洞真正影響應用程式。 Red Hat Hardened Images的核心設計包括distroless架構、可信任相依套件、自動化修補與多雲可攜性。所謂distroless架構，是指預設不包含命令列Shell、套件管理工具與非必要元件，藉此縮小攻擊者可利用的攻擊面。Red Hat也提供多種映像檔變體，包括兼顧distroless原則與上游映像檔相容性的預設版本、保留安全強化但允許安裝套件以利客製化建置的Builder版本，以及面向受監管環境的美國聯邦資訊處理標準（Federal Information Processing Standards，FIPS）驗證變體；部署架構則涵蓋AMD64與Arm64。 在供應鏈透明度方面，Red Hat Hardened Images內建軟體物料清單（Software Bill of Materials，SBOM），讓企業更容易掌握映像檔組成內容，並支援法遵稽核與報告需求。Red Hat也表示，這些映像檔的相依套件來自Red Hat的SLSA第3級建置管線（Supply-chain Levels for Software Artifacts Level 3，SLSA3），維持從原始碼到成品的可驗證信任鏈；合規相關設定可透過開源組態與合規掃描工具OpenSCAP驗證。Red Hat也指出，這些映像檔可在公有雲與內部部署基礎架構維持一致的操作體驗，協助降低企業遭特定供應商綁定的風險。 Red Hat表示，Red Hat Hardened Images提供的每個映像檔都可免費使用，並可用於任何Linux發行版、任何Kubernetes版本或任何容器引擎。對於需要較長生命週期的使用者，該公司也預計後續提供長期支援（Long-Term Support，LTS）映像檔，並以選購訂閱模式供應。 </div></div></div>
5/27 11:36作者王珮瑤https://www.ithome.com.tw/news/176151
收錄近600個歷史作業系統的虛擬作業系統博物館開幕了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">一名加拿大獨立開發人員<a href="https://virtualosmuseum.org/" target="_blank">Andrew Warkentin在上周發表了Virtual OS Museum</a>，這是一個跨平臺與互動式的虛擬作業系統博物館，蒐集了逾570種作業系統，橫跨超過250種平臺，總計收錄逾1,700個虛擬機安裝環境。Windows、macOS或Linux用戶下載後，即可透過Linux虛擬機與內建模擬器，啟動多種歷史作業系統環境。 Warkentin是位作業系統與模擬器收藏者，他花了二十多年來收集模擬器、磁碟映像檔，以及舊時代的作業系統環境。<a href="http://andreww591.blogspot.com/2026/05/ive-released-virtual-museum-with-nearly.html" target="_blank">他表示</a>，雖然近年已有不少歷史軟體保存專案與古老平臺模擬器，但一般使用者往往仍得自行處理繁複的安裝與設定；部分作業系統甚至只適用特定版本的模擬器，若模擬器更新後出現相容性退化，就可能無法正常執行。因此，Virtual OS Museum的目標，是把分散各處的歷史系統整理成可直接啟動、容易體驗的形式。 Virtual OS Museum中所收錄的系統橫跨整個電腦發展史，從1948年的Manchester Baby、早期大型主機系統CTSS、Multics，到Unix、早期Windows NT、Classic Mac OS、NeXTSTEP、PalmOS、Symbian、Windows CE、QNX，以及各種BSD與Linux發行版。也包含Xerox Star Pilot/ViewPoint這類早期圖形介面系統，讓使用者可直接體驗作業系統從大型主機、個人電腦到行動與嵌入式裝置的演進。 Warkentin表示，Virtual OS Museum幾乎納入所有知名作業系統與平臺，也包括許多冷門平臺。他已針對每個模擬器至少測試過一個客體安裝環境，並確認所有客體系統過去都曾在他的電腦上成功執行；不過，整合進Virtual OS Museum後，逾1,700個安裝環境目前仍在測試中，迄今僅完成不到一半。 使用者可下載完整版或簡易版的Virtual OS Museum。其中，完整版已預先下載所有內容，檔案大小約為170GB，可離線使用；簡易版（Lite）則只有20GB，只包含基礎的Linux系統、安裝器、模擬器與啟動器，至於各種作業系統的虛擬機映像檔，則會在第一次執行時下載。 Warkentin表示，手上仍有許多安裝映像檔，未來將持續替Virtual OS Museum新增虛擬機安裝環境，數量可望超過2,000個。 開發者社群對Virtual OS Museum感到驚豔。<a href="https://www.osnews.com/story/145006/the-virtual-os-museum/" target="_blank">OSNews說</a>明，這類「下載即可使用」的懷舊收藏在遊戲領域並不陌生，但將數百個歷史作業系統整合成單一體驗平臺的案例卻很少見；<a href="https://forums.libretro.com/t/the-virtual-os-museum/50466" target="_blank">Libretro論壇用戶則說</a>這個讓數百個作業系統可直接開箱使用的Virtual OS Museum專案令人驚豔；<a href="https://www.theregister.com/oses/2026/05/23/the-virtual-os-museum-opens-its-doors/5243459" target="_blank">The Register則指出</a>，該專案還提供了快照還原功能，若使用者把模擬系統弄壞，可快速回復到正常狀態。 </div></div></div>
5/27 11:49作者陳曉莉https://www.ithome.com.tw/news/176153
【資安日報】5月26日，馬偕醫院再傳遭駭客竊取資料，院方表示疑為去年舊案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176129">馬偕醫院再傳遭駭客竊取資料，該院表示疑為2025年舊案</a> 馬偕醫院再傳出遭駭客攻擊事件。今日國內多家媒體報導，有駭客組織宣稱取得馬偕全臺5家醫院1.2TB醫療資料。馬偕醫院今日發布聲明強調，經了解後疑似為2025年舊案，目前並未發現網路流量異常現象，並在得知此事的第一時間向臺北市調查處報案。 <a href="https://www.ithome.com.tw/news/176081">秘魯國家級緊急預警系統遭駭，破口是供應商帳號遭入侵</a> <a href="/sites/default/files/images/（主圖）秘魯緊急預警訊息系統遭駭_SISMATE.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%A7%98%E9%AD%AF%E7%B7%8A%E6%80%A5%E9%A0%90%E8%AD%A6%E8%A8%8A%E6%81%AF%E7%B3%BB%E7%B5%B1%E9%81%AD%E9%A7%AD_SISMATE.jpg" style="width: 380px; float: right;" /></a> 國家級緊急預警系統是政府傳遞警報的工具，若被不肖分子駭入並用於散布社會恐慌，將帶來動盪。近日秘魯的緊急預警訊息系統（SISMATE）便發生嚴重資安事故，因供應商帳號遭未經授權存取，導致大量民眾收到虛假預警。秘魯交通與通訊部（MTC）發布聲明指出，有攻擊者透過系統供應商Consorcio Everbridge的帳號非法存取SISMATE系統，發送虛假地震、海嘯警報，並夾帶與緊急應變無關的內容。 <a href="https://www.ithome.com.tw/news/176127">賓士德國、土耳其分公司均傳資安事件，外洩數十萬客戶資料</a> 汽車大廠賓士（Mercedes-Benz）土耳其分公司疑似近日遭到勒索軟體攻擊，資安業者VECERT指出，有駭客組織將賓士土耳其分公司Mercedes-Benz Türk列入勒索外洩名單，研判外洩資訊可能來自賓士公司自行開發的Xentry車輛診斷系統的資料。此外，研究人員亦在4月間也發現涉及德國賓士分公司的資料外洩事件。目前賓士集團尚未證實資料外洩或資安事件一事。 <a href="https://www.ithome.com.tw/news/176076">Anthropic公布Project Glasswing實施一個月成果，Claude Mythos已找出超過三萬個資安漏洞</a> Project Glasswing計畫執行一個月後，Anthropic於5月22日公布成效，指出近50家合作夥伴利用Mythos預覽版找出逾1萬個漏洞，Anthropic亦運用Mythos掃描逾千個開源專案，共找出23,019個漏洞。另一關注焦點在於漏洞挖掘的品質，經6家資安公司與Anthropic審核其中1,752個高風險項目，確認有1,587個（90.6%）為有效弱點，並有1,094個（62.4%）被認定為高風險或重大漏洞。 <a href="https://www.ithome.com.tw/news/176096">資安業者Elastic揭露新型銀行木馬TCLBanker</a> 資安業者Elastic揭露新型銀行木馬TCLBanker，研判這是既有Maverick／Sorvepotel惡意軟體家族的大幅升級版本。值得注意的是，該惡意程式會偽裝成Logitech軟體安裝程式，鎖定巴西59個銀行與加密貨幣網站，並能進行鍵盤側錄、螢幕截圖與遠端操控等遠端控制。目前該惡意軟體雖然專門針對巴西用戶，但仍存在跨區域散播的風險。 <a href="https://www.ithome.com.tw/news/176082">PHP開發框架Laravel的語言套件遭挾持，駭客植入竊資軟體</a> PHP開發框架Laravel的第三方語言套件專案Laravel Lang，其GitHub儲存庫近期遭到入侵，攻擊者針對三個套件，分別是laravel-lang/lang、laravel-lang/attributes、laravel-lang/http-statuses，發布指向帶有惡意程式碼版本的標籤，並在這些程式碼注入可竊取憑證的程式碼，並藉由composer元件的自動載入功能執行。根據資安公司Aikido的調查分析，由於惡意程式碼未曾提交到Laravel的官方儲存庫，而特別難以察覺，資安公司Socket、Step Security也著手調查此事，並指出還有一個專案Laravel-Lang/actions也遭遇攻擊。 <a href="https://www.ithome.com.tw/news/176093">GitHub出現大規模自動化活動Megalodon，六小時推送近6千筆惡意提交、5,500個儲存庫受害</a> <a href="/sites/default/files/images/2026-05-26_161037.jpg"><img alt="" src="/sites/default/files/images/2026-05-26_161037.jpg" style="width: 380px; float: right;" /></a> GitHub面臨大規模自動化攻擊Megalodon，攻擊者在5月18日，於5,561個儲存庫提交5,718次惡意內容。揭露此攻擊活動的資安公司OX Security與SafeDep指出，這次駭客透過已棄用的帳號與偽造的作者身分，將經Base64編碼處理的bash酬載注入GitHub Actions的工作流程，並將CI機密、雲端憑證、SSH金鑰、OIDC權杖（token），以及原始碼等敏感資料偷偷傳出，整個過程僅花了6小時。 <a href="https://www.ithome.com.tw/news/176113">TrapDoor供應鏈攻擊透過NPM、PyPI、Crates散布竊資軟體</a> 資安公司Socket揭露一起攻擊行動TrapDoor，目標鎖定加密貨幣、去中心化金融（DeFi）、Solana，以及AI社群開發者，駭客於NPM、PyPI、Crates滲透34個套件，上傳至少384個惡意套件版本，目的是竊取開發者的機密資料，包括加密貨幣錢包、SSH金鑰、雲端憑證、瀏覽器資料，以及環境變數。 <a href="https://www.ithome.com.tw/news/176103">Packagist遭遇供應鏈攻擊，8個套件被感染，駭客意圖透過GitHub散布Linux惡意軟體</a> 過往軟體供應鏈攻擊多半針對NPM或PyPI儲存庫而來，如今有人將目標轉移到Packagist。資安公司Socket揭露針對Packagist的供應鏈攻擊事故，有8個套件受到影響，這些套件上游的儲存庫遭到竄改，被植入相同的惡意指令碼，其功能是從特定的GitHub網址下載Linux二進位檔案，並於系統背景執行。進一步追查攻擊者GitHub帳號，在17小時內發現777個惡意檔案，此結果顯示整起攻擊活動的規模比預期的更大。 <a href="https://www.ithome.com.tw/news/176112">內容管理系統Ghost的SQL注入漏洞被用於發動ClickFix網釣攻擊</a> 內容管理平臺未及時修補的資安漏洞，有可能讓攻擊者有機可乘。中國資安公司奇安信揭露鎖定Ghost平臺的大規模攻擊活動，駭客利用已知漏洞CVE-2026-26980，取得網站的API金鑰，接著透過API大量竄改文章內容，於頁面植入惡意JavaScript載入工具，目的是建置假的Cloudflare人機驗證網頁（FakeCaptcha），進行ClickFix網釣攻擊，引誘瀏覽網頁的使用者在本機執行惡意命令。 <a href="https://www.ithome.com.tw/news/176116">Universal Robots修補工控機器人重大漏洞</a> 全球主要協作機器人（cobot）廠商之一的Universal Robots，近日修補工控機器人作業系統PolyScope 5中的重大漏洞CVE-2026-8153，CVSS評分高達9.8分，漏洞存在於Dashboard Server介面，攻擊者可能透過命令注入遠端控制機器人與周邊設備。CISA也已對此漏洞發布ICS安全公告，呼籲企業儘速更新並強化網段隔離。 <a href="https://www.ithome.com.tw/news/176120">網路流量分析工具Wireshark發布新版本</a> 知名開源網路流量分析工具Wireshark近日發布4.6.6版更新，修補ROHC與MACsec協定解析器漏洞，攻擊者可能利用特製封包造成程式當機與阻斷服務，主要問題影響4.6與4.4系列版本，新版本也同步修正Windows相容性與安裝問題，建議用戶儘速升級。 <a href="https://www.ithome.com.tw/news/176107">向量資料庫ChromaDB存在重大漏洞引發關注</a> 開源向量資料庫ChromaDB Python FastAPI伺服器存在重大漏洞CVE-2026-45829，在GitHub相關回報中有人特別提到，這項漏洞主要影響Python實作部署方式後端，建議ChromaDB用戶改用不受影響的Rust實作版本。資安業者HiddenLayer更是指出，該漏洞從ChromaDB 1.0.0就存在，至1.5.8仍未修補，最新1.5.9也沒有明確說明是否修補。 <a href="https://www.ithome.com.tw/news/176091">Ubiquiti修補UniFi OS平臺三項滿分重大漏洞</a> 網通設備商Ubiquiti修補旗下UniFi OS管理平臺的重大漏洞，這次修補包含3項CVSS嚴重性評分10.0滿分的漏洞，包括CVE-2026-34908、CVE-2026-34909、CVE-2026-34910，未修補可能導致攻擊者執行任意指令、存取系統底層敏感資訊等問題。 <a href="https://www.ithome.com.tw/news/176121">FBI警告Kali365釣魚即服務竊取Microsoft 365權杖</a> <a href="/sites/default/files/images/2026-05-26_160832.jpg"><img alt="" src="/sites/default/files/images/2026-05-26_160832.jpg" style="width: 380px; float: right;" /></a> 美國聯邦調查局（FBI）5月21日警告，Kali365釣魚即服務（PhaaS）正鎖定Microsoft 365環境。FBI強調，這類攻擊活動主要濫用Microsoft身分驗證機制中的合法裝置代碼流程（Device Code Flow），進而冒充可信任的雲端生產力或文件共享服務，郵件內含裝置代碼，並引導使用者前往真正的Microsoft驗證頁面輸入代碼，受害者完成驗證後，實際上是授權攻擊者控制的裝置存取其帳號。 <a href="https://www.ithome.com.tw/news/176125">AI是否加速Linux漏洞發現受關注，OpenSSF專家稱約三成漏洞通報為重複案例</a> 近期Linux核心漏洞接連曝光，開源安全社群與Linux核心維護者怎麼看待？OpenSSF首席安全架構師Christopher Robinson即表示，隨著更多人使用AI工具進行漏洞研究，回報的Linux資安漏洞約有30%是重複案例。CloudLinux執行長Igor Seletskiy則指出，過去通常每年只會出現一、兩個影響多個Linux發行版的LPE漏洞，但近期一週內就出現兩個類似漏洞值得企業留意，並認為這類趨勢可能還會持續數月。 <a href="https://www.ithome.com.tw/news/176019">臺灣AI治理將從政府擴及產業與資料治理</a> 臺灣《人工智慧基本法》共有20條，其中多項條文涉及全新的AI治理制度設計，國科會前瞻及應用科技處處長蔡妙慈表示，政府正討論建立資料開放、共享與再利用機制，但前提仍須兼顧個資與隱私保護。她強調，AI發展速度極快，政府希望透過《人工智慧基本法》的落實，以及國科會、數發部與各部會的分工協作，建立可信任的AI治理生態系，讓臺灣不只是AI技術供應者，也成為具備治理能力的AI應用國家。 <a href="https://www.ithome.com.tw/news/176108">Visa揭示支付威脅新趨勢：犯罪集團轉向攻擊「人」而非破解技術</a> 支付安全新挑戰浮現，Visa於5月20日發布2026年春季半年度威脅報告，指出網路層面的技術防護雖有成效，但罪犯已將矛頭轉向利用AI與社交工程，誘騙使用者自行授權付款。報告中指出，詐騙已成為成長最快的受害類型，在2025年7月至12月間，共偵測到近10億美元的詐騙相關企圖。Visa指出，防禦重心必須從「偵測遭竊憑證」，轉向「偵測並瓦解欺騙行為」。 <a href="https://www.ithome.com.tw/news/176118">NIST發布SP 800-172第三版修訂，強化對抗APT韌性</a> <a href="/sites/default/files/images/（主圖）NIST SP 800-172r3.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89NIST%20SP%20800-172r3.jpg" style="width: 380px; float: right;" /></a> 美國國家標準與技術研究院（NIST）更新SP 800-172，於5月13日發布第三版。這套指南是建立在現行的SP 800-171基礎合規框架之上，專為保護關鍵計畫與高價值資產（HVA）所設計的增強型規範，目的是協助建立抵禦進階持續性威脅（APT）的深層防線。無論企業是為了支援CMMC的合規、強化供應鏈韌性、與風險管理框架（RMF）對接，將可參考新版指引來行動。 <a href="https://www.ithome.com.tw/news/176111">微軟推.NET版MCP代理治理套件，控管AI代理工具呼叫風險</a> 微軟推出.NET版MCP代理治理擴充套件預覽版，其特色是，讓開發者在建置MCP伺服器時，就能加入治理機制，控管工具是否能被呼叫、呼叫時是否符合政策，以及啟動前掃描、回應內容遮蔽，以及稽核與指標蒐集機制，降低代理誤用工具或接收惡意輸出的風險。 近期資安日報 <a href="https://www.ithome.com.tw/news/176094">【5月25日】GitHub內部儲存庫的程式碼外流，確認遭供應鏈攻擊事故波及</a> <a href="https://www.ithome.com.tw/news/176053">【5月22日】微軟修補防毒軟體零時差漏洞</a> <a href="https://www.ithome.com.tw/news/176020">【5月21日】近兩個月研究人員公布的零時差漏洞已能串成攻擊鏈</a> </div></div></div>
5/26 16:30作者羅正漢https://www.ithome.com.tw/news/176130
AI是否加速Linux漏洞發現受關注，OpenSSF專家稱約三成漏洞通報為重複案例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">近期<a href="https://www.ithome.com.tw/news/175481" target="_blank">Copy Fail</a>、<a href="https://www.ithome.com.tw/news/175646" target="_blank">Dirty Frag</a>與<a href="https://www.ithome.com.tw/news/175919" target="_blank">Fragnesia</a>等Linux核心漏洞接連曝光，引發外界關注AI工具是否正在改變漏洞發現與通報速度。 <a href="https://www.theregister.com/security/2026/05/23/ai-eyes-scanning-for-bugs-create-a-worrisome-linux-security-trend/5244742" target="_blank">The Register</a>在探討AI增加Linux資安通報壓力的報導中，引述Linux核心維護者、開源安全社群與業界人士的看法。Linux創始人Linus Torvalds在北美開源高峰會（Open Source Summit North America）上指出，Linux核心社群過去發現漏洞時，常會私下通知各發行版更新，但不詳細公開漏洞內容。然而，在AI加速漏洞分析之下，核心社群釋出修補後，外部研究人員可能很快就能寫出分析文章，說明修補涉及的漏洞影響。他認為，透過AI工具發現的漏洞，基本上已難以再視為祕密；若仍以私密郵件清單處理，不僅浪費各方時間，也可能使重複通報問題更加嚴重。 不過，Linux穩定版核心維護者Greg Kroah-Hartman對漏洞數量是否明顯增加，態度較為保留。他表示，近期案例多半屬於很輕微的問題，而且允許不受信任使用者登入或操作的系統已不如過去常見；從實際修補情況來看，他未明顯感受到漏洞修補量增加。他也指出，Linux社群本來每天都在修補這類問題，只是現在更多人傾向替漏洞命名，並公開漏洞利用程式。 開源軟體安全基金會（Open Source Security Foundation，OpenSSF）首席安全架構師Christopher Robinson則從維護者負擔角度提出警訊。他表示，隨著更多人使用AI工具進行漏洞研究，回報的Linux資安漏洞約有30%是重複案例。 Red Hat技術長Chris Wright也提醒，資安漏洞本就存在不同嚴重程度，企業不能將所有通報視為同等風險。有些漏洞需要立即處理，有些則屬於較低嚴重性的長尾問題。 CloudLinux執行長Igor Seletskiy指出，過去通常每年只會出現一、兩個影響多個Linux發行版及其不同版本線的核心層級本機權限提升（local privilege escalation，LPE）漏洞，但近期一週內就出現兩個類似漏洞。他認為，這類趨勢可能還會持續數月；若情況持續，企業可能面臨更頻繁重新啟動伺服器的維運壓力，甚至需要每週安排重啟作業。 從整體漏洞利用趨勢來看，<a href="https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026" target="_blank">Google Cloud旗下Mandiant在M-Trends 2026</a><a href="https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026" target="_blank">報告</a>中指出，2025年平均漏洞利用時間（Time to Exploit，TTE）已降至估計-7天，代表攻擊者利用漏洞的時間點，平均已早於修補程式發布時間。 在漏洞利用速度加快的環境下，系統管理員與開發者不能只仰賴事後修補，也需要強化預設安全設定、修補管理與系統隔離。Red Hat技術長<a href="https://www.linkedin.com/posts/chris-wright-b733851_you-know-about-selinux-and-security-controls-activity-7462987258854404096-23G1/">Chris Wright</a>建議，組織可評估將SELinux從寬容模式（permissive）切換到更嚴格的<a href="https://docs.redhat.com/en/documentation/red_hat_enterprise_linux_for_sap_solutions/9/html-single/using_selinux_for_sap_hana/index#:~:text=Red%20Hat%20recommends%20that%20you%20use%20SELinux%20in%20enforcing%20mode%20to%20configure%20your%20RHEL%20systems%20running%20on%20SAP%20HANA.%20This%20document%20describes%20the%20necessary%20configuration%20changes%20that%20you%20must%20make.">強制執行模式（enforcing）</a>。雖然更嚴格的安全控管會增加維運成本，但若等到攻擊造成系統受損後才重新建置容器與伺服器，代價可能更高；相較之下，提前落實安全設定仍是風險較低的作法。 </div></div></div>
5/26 13:18作者王珮瑤https://www.ithome.com.tw/news/176125
鎖定SonicWall防火牆的掃描活動激增，可能將出現新漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.greynoise.io/blog/sonicwall-scanning-spike-echoes-pattern-preceded-cve-2026-0400" target="_blank">資安業者GreyNoise發現</a>近二周網路上鎖定防火牆業者SonicWall管理介面的掃描活動最高一天將近60萬次，可能是發現新漏洞或零時差漏洞的前兆。 業者在今年5月9日到5月18日之間觀察到針對SonicWall SonicOS管理介面的掃描活動出現高峰。其中5月12日，達到597,000次，是SonicOS API Scanner報告90天觀測值最高的一天，是平時次數的將近46倍。 <img alt="" src="/sites/default/files/images/0526-SonicWall-CVE-2026-0400-GreyNoise.png" style="width: 600px;" /> 這個現象和今年初掃描激增現象頗為相似，而後可能會出現新漏洞。今年初，GreyNoise團隊1月18日、30日及2月14日先後觀察到掃描高峰，10天後就發現了<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-0400" target="_blank">CVE-2026-0400</a>。因此GreyNoise指出，兩周來的掃描次數激增可能是漏洞揭露的前兆。 5月中、上旬的掃描中，99%的請求載有同一個瀏覽器使用者代理（User-Agent）字串：Linux x86_64上的Chrome 119。這指紋特徵與今年第一季針對SonicWall設備進行大量掃描時的特徵相同（當時94.5%的流量有此特徵）。這顯示攻擊者使用的工具/腳本沒有改變。 觀測到的連線階段（sessions）集中來自兩個國家的網路，分別是荷蘭（56%）及烏克蘭（44%）。此外，流量高度集中於單一自治系統（ASN），光是AS211736就承載了總連線量近一半（約50%），且其IP位址大多數被GreyNoise標示為「可疑」。最後，幾乎所有的掃描行為集中對網路設備的Port 80/ 8080（HTTP協定）進行，顯示為大規模、組織性的掃描活動。 資安業者說明，掃描次數升高的漏洞揭露的關係並非絕對。掃描活動上升可能是漏洞前兆、或第1季多波攻擊串的第一波、也可能是不相干的活動。 雖然資安業者未咬定一定是駭客濫用漏洞前的偵察活動，但應該相去不遠，因此研究人員提醒SonicWall設備管理員應立即行動。立即行動包括限縮只有管理員才能存取SonicOS管理API和SSL VPN入口網站，避免管理介面的公開曝露。其次，應要求所有SSL VPN帳號啟用多因素驗證（MFA），並且稽核2026年5月1日以後建立的新管理帳號，以及在網路邊緣裝置套用動態IP黑名單。 長期建議安全措施，包括時時留意SonicWall產品資安事件回應團隊（PSIRT）發送的安全公告，儘可能在漏洞揭露24小時內修補。此外，應該增加SonicWall裝置的日誌保留期，及增加對外流量的警告。 </div></div></div>
5/26 12:02作者林妍溱https://www.ithome.com.tw/news/176119
Packagist遭遇供應鏈攻擊，8個套件被感染，駭客意圖透過GitHub散布Linux惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">過往軟體供應鏈攻擊多半針對NPM或PyPI儲存庫而來，如今有人將目標轉移到Packagist。資安公司Socket揭露<a href="https://socket.dev/blog/malicious-postinstall-hook-found-across-700-github-repos">針對Packagist的供應鏈攻擊事故</a>，有8個套件受到影響，這些套件上游的儲存庫遭到竄改，被植入相同的惡意指令碼，其功能是從特定的GitHub網址下載Linux二進位檔案，並於系統背景執行。 這些遭到滲透的套件皆屬於透過Composer安裝與管理的套件，不過Socket指出，攻擊者理應惡意程式碼植入composer.json，實際上卻選擇將其植入package.json，顯示攻擊目標鎖定同時採用JavaScript建置工具與PHP程式碼的專案。這種跨生態系統的配置引起他們的注意，原因是開發團隊或資安人員在審核PHP相依性的過程，很可能只留意Composer的中繼資料，忽略套件綁定與生命週期有關的掛鉤（lifecycle hooks）。 值得留意的是，Socket進一步在GitHub搜尋攻擊者控制的帳號，結果在17個小時內找到777個檔案，其中有許多來自Node.js儲存庫，不過，該公司尚未確認有多少來自不同的入侵、分叉或是重複的套件，但上述結果可能顯示整起攻擊活動的規模比預期的更大。 在所有惡意套件的指令碼當中，具備多種高風險的特徵，像是運用curl並停用TLS憑證的驗證機制，從GitHub下載特定的二進位檔案，將其寫入至特定資料夾，並採用偽裝成SSH處理程序的隱藏檔名。此外，該指令碼還會抑制錯誤輸出，執行特定檔案並於背景運作。Socket表示，儘管他們無法取得位於GitHub的第二階段酬載，但根據第一階段的酬載，就足以認定是惡意行為。 </div></div></div>
5/25 20:35作者周峻佑https://www.ithome.com.tw/news/176103
CIS推出支援AI與HPC的強化映像檔，協助企業在AWS部署安全雲端環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">企業導入AI工作負載時，對於所採用的雲端基礎架構，不僅須注意是否能充分支援GPU執行個體與分散式運算，也要關切是否能銜接模型訓練、推論與生產環境部署流程，同時維持一致的安全組態。 非營利資安組織網際網路安全中心（CIS）指出，許多組織準備的AI執行環境所採用的組態標準不一，甚至等系統部署後才回頭補強安全措施，不僅增加風險，也讓安全與營運團隊更難維持一致的防護狀態。 為了降低這類部署風險，<a href="https://www.cisecurity.org/about-us/media/press-release/cis-expands-hardened-images-to-support-ai-and-high-performance-computing" target="_blank">CIS將既有CIS Hardened Images產品線延伸到AI與高效能運算（HPC）場景</a>。CIS Hardened Images是依據CIS Benchmarks建立的預先配置虛擬機器映像檔，可在主要雲端平臺提供預設具備安全組態的作業系統環境。CIS Benchmarks則是CIS制定的安全組態建議，屬於全球認可的IT系統與資料保護最佳實務之一。CIS表示，這類映像檔可協助組織降低組態錯誤風險、簡化法規遵循工作，並加快安全雲端環境的部署。 CIS已於AWS Marketplace推出<a href="https://www.cisecurity.org/cis-hardened-images/secure-foundations-for-ai-workloads/scale-secure-ai-cloud-infrastructure" target="_blank">CIS Hardened Images for AI系列產品</a>，目前提供兩款強化映像檔，基礎作業系統涵蓋Amazon Linux 2023與Ubuntu 24.04。其中，CIS Hardened Images for AI Workloads鎖定機器學習、模型訓練與推論任務，CIS Hardened Images for Supercomputing則適用於HPC與分散式運算情境，包括大規模的模擬與平行處理。 在應用層面上，這項產品可支援商業與公共部門需求，作為安全雲端基礎。企業可將其用於AI平臺基礎架構、資料處理、詐欺偵測、風險建模，以及正式上線環境中的AI系統，政府與國防組織則可藉此讓AI環境對齊既有安全標準，以及法規遵循要求，例如常作為資安風險管理依據的美國國家標準暨技術研究院（NIST）指引。 </div></div></div>
5/25 12:33作者王珮瑤https://www.ithome.com.tw/news/176089
【資安週報】0518~0522，近期Windows零時差漏洞連環揭露，資安公司警告已能串成攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">近期微軟Windows多項零時差漏洞接連曝光，從BlueHammer、RedSun、UnDefend到YellowKey與GreenPlasma，因其能被串聯成完整攻擊鏈，已引發資安業者強烈示警，成為本星期持續關注的重點。此外，駭客組織鎖定思科Catalyst SD-WAN零時差漏洞CVE-2026-20182發動攻擊，同樣備受各界關注。 在防禦端，資料領域底層的PQC導入動向成焦點。NVM Express聯盟預計2026年完成規格更新，擴充儲存傳輸協定支援的加密演算法；WD則考量儲存設備生命週期長達五年以上，因此已開始針對硬碟韌體與開機程序導入後量子密碼學，從核心層級建構防禦韌性。 <h1>政策法規</h1> AI進步加劇漏洞威脅，資安署示警：攻擊成本驟降使威脅無差別化，冷門漏洞與閒置系統成為新破口，企業防禦重心應轉向迅速復原，全球多國政府也抱持警戒，德、日兩國已提升AI防禦至國家與金融監理層級。此外，國內推動AI人才治理指引與資安長跨機關共識，亦成政策焦點，突顯從治理端提升數位韌性已是關鍵配套。 <a href="https://www.ithome.com.tw/news/175978" target="_blank">面對AI漏洞風暴！資安署提出三項應對作為，並強調資安實務已從預防被打轉向迅速復原</a> 面對先進AI模型引發的資安威脅，各國政府高度關切，臺灣數位發展部資通安全署（資安署）揭示即將採取三項應對作為之餘，更是呼籲國內企業與政府機關全面檢視資安策略，並給出三大關鍵提醒：（一）攻擊成本驟降使威脅趨於「無差別化」，上市櫃公司、中小型企業與地方政府機關都可能成為目標；（二）「冷門漏洞」與「閒置系統」可能被AI重新利用，代表原本排在修補清單末端的項目亦可能成為主要攻擊目標；（三）企業應從「預防被打」轉向「迅速復原」。 <a href="https://www.ithome.com.tw/news/176000" target="_blank">德國聯邦金融監理總署示警AI與量子運算推升金融業網路風險，將對金融機構加強IT重點檢查</a> 德國聯邦金融監理總署（BaFin）將網路空間風險列為金融業重要風險之一，指出AI與量子運算等技術快速發展，這類風險不只威脅金融機構本身的穩定，也可能影響消費者能否順利取得金融服務。為了強化監理量能，BaFin已擴大金融業資安與科技部門，後續將針對金融業者進行更聚焦的IT查核。BaFin強調，在監理過程中已發現修補管理等問題，將藉由這類查核協助金融業衡量風險並強化韌性。 <a href="https://www.ithome.com.tw/news/175837" target="_blank">日本啟動內閣層級資安戰略檢討，因應先進AI帶來的新型防禦挑戰</a> 日本首相高市早苗於5月12日內閣會議中，宣布啟動內閣層級資安戰略檢討，以因應先進AI帶來的防禦挑戰，她指示網路安全擔當大臣松本尚與相關內閣成員採取行動，檢查政府系統是否具備偵測與修補漏洞的能力，並研擬協助關鍵基礎設施營運者強化防禦的措施。 <a href="https://www.ithome.com.tw/news/175935" target="_blank">數發部發表AI人才認定指引3.0，新增AI治理與協作能力</a> <img alt="" src="/sites/default/files/images/2026-05-22_172206.jpg" style="width: 380px; float: right;" /> 現代資安治理與AI治理息息相關，數發部在5月19日發布「AI產業人才認定指引3.0」，就特別將AI治理素養與AI協作開發等能力納入，讓AI人才培育的推動更為健全，並期望建立一套可被企業、人力平臺與教育機構共同採用的能力標準。對於AI治理的重要性，數發部長林宜敬與數產署簡任視察吳嶽森指出，重點在於協助人才建立人工智慧應用風險的框架與意識，他並強調，AI能力已不只是會操作工具，而是如何與AI協作、理解風險，並具備負責任使用AI的能力。 <a href="https://www.ithome.com.tw/news/175998" target="_blank">Meta平臺占今年1至4月詐騙案件高達8成以上，政府要求強化演算法從源頭攔截詐騙訊息</a> 針對Meta平臺防騙不力的現況，行政院打擊詐欺指揮中心（打詐指揮中心）揭露最新數據，指出近四個月的詐騙案件中，高達8成與Meta旗下平臺有關。 打詐指揮中心強調，Meta平臺防詐效果甚差，因為許多內容在被檢舉移除後，短時間內又會以完全相同的圖文重複上架，詐騙方可以如此簡單手段繼續進行詐騙，顯見Meta的防詐偵測系統存在嚴重的技術缺口。為此，打詐指揮中心向Meta發出嚴正要求，促其必須調整演算法並升級偵測系統，至少要建立「重複詐騙內容識別機制」、對已知詐騙內容進行即時攔截、降低詐騙內容曝光與擴散速度。 <a href="https://www.ithome.com.tw/news/176005" target="_blank">資安署擴大資安長共識營規模，首度邀集五院建立資安治理共識</a> 建立跨機關的資安治理共識已成為國家韌性的關鍵，數位發展部資通安全署近日擴大舉辦「115年度政府機關資安長共識營」，今年最大不同點在於，資安署顯著擴大了參與規模，首度邀請總統府、國安會及立、司、考、監五院資安長共同參與，不僅協助各資安長掌握新興威脅趨勢與防禦思維，也透過與CYBERSEC臺灣資安大會合作，安排實地參訪臺灣資安館及人才培訓專區。綜觀這場共識營的推動，治理端的現況認知對齊仍是核心，擴大跨機關參與規模更是具備重要意義，幫助化解認知落差，掌握一致的技術脈動與政策方向。 <a href="https://www.ithome.com.tw/news/175916" target="_blank">歐盟《網路韌性法案》今年9月施行，產品安全通報時限成法遵門檻，僅四分之一企業將SBOM驗證納入自動化</a> 歐盟網路韌性法案（Cyber Resilience Act，CRA）將於2026年9月進入正式施行階段，企業除了盤點產品是否落入規範範圍，也得重新檢視既有產品安全機制，是否足以支撐漏洞調查、限期通報與後續稽核要求。軟體套件與元件管理平臺業者Cloudsmith調查指出，多數企業雖已能產出軟體物料清單（SBOM），但相關管理與治理流程仍未完成自動化，對《網路韌性法》的法遵與供應鏈風險準備仍存在落差。 <a href="https://www.ithome.com.tw/news/175975" target="_blank">執法行動Operation Ramz查封53臺惡意軟體及網釣伺服器</a> 國際刑警組織（Interpol）於5月18日宣布，首度在中東及北非地區展開大規模執法行動。在13國執法機關的合作之下，針對網路釣魚與惡意軟體活動進行調查，並瓦解惡意基礎設施，共逮捕201名嫌犯，另確認有382人涉及從事網路犯罪活動，查扣53臺伺服器。趨勢科技、Group-IB、卡巴斯基、Team Cymru，以及Shadowserver基金會也都參與這項行動。 <h1>AI資安</h1> 臺灣企業在應對AI技術固有風險之餘，若員工於企業網路使用中國AI模型工具，將帶來額外威脅。最新調查顯示全臺逾6萬企業未封鎖中國模型，且中小企業封鎖比例低，成為資安隱憂。此外，AI模型進步正加速漏洞發掘與修補需求，已有調查指出多家軟體供應商CVE揭露數量明顯成長，還有今年首季GitHub私下漏洞通報量更較前一季增加逾4倍，顯示AI正深刻影響漏洞研究生態，迫使企業須強化自動化防禦以應對威脅。 <a href="https://www.ithome.com.tw/news/175926" target="_blank">7成大型企業封鎖中國模型，中小企僅27%跟進成隱憂，全臺逾6萬企業未封鎖中國模型</a> <img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1_%E8%87%BA%E7%81%A3%E8%B6%85%E5%A4%A7%E5%9E%8B%E4%BC%81%E6%A5%AD7%E6%88%90%E5%9A%B4%E9%98%B2%E4%B8%AD%E5%9C%8BAI%E5%B7%A5%E5%85%B7%EF%BC%8C%E4%B8%AD%E5%B0%8F%E4%BC%81%E6%A5%AD%E5%83%85%E6%9C%8927%25%EF%BC%8C%E6%81%90%E6%88%90%E4%BE%9B%E6%87%89%E9%8F%88%E8%B3%87%E5%AE%89%E9%9A%B1%E6%86%82_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 380px; float: right;" /> 【臺灣資安大會直擊】中華電信從電信視角剖析臺灣企業AI輪廓，指出企業規模越龐大，資安管控措施也越趨嚴謹，但中小企業在管控上則有明顯落差。整體而言，更有超過6萬家臺灣企業，因員工私下使用AI工具而形成的影子AI現象，暴露於具備資安爭議的中國AI模型風險之中。這些企業必須認清一件事：這意味著企業本身在應對AI技術的固有風險之餘，更被迫直面地緣政治與特定供應鏈下，中國AI模型帶來的額外威脅，讓企業資安防線承受更為棘手的複合風險。 <a href="https://www.ithome.com.tw/news/175863" target="_blank">AI原生架構快速崛起，32%企業要用AI增強軟體工程</a> 關於2026年臺灣企業軟體開發策略布局的轉變，代理式AI與DevSecOps成為企業最重視的兩大方向。根據iThome《2026 CIO & CISO大調查》顯示，今年企業開發模式出現明顯變化，其中代理式AI的採用率成長幅度最大，較去年增加15個百分點；其次則是結合安全機制的DevSecOps，採用率由去年的9％提升至16％，增加7個百分點。相較之下，傳統DevOps採用率僅增加1個百分點，成長幅度並不高。 <a href="https://www.ithome.com.tw/news/175929" target="_blank">Cloudflare測試Claude Mythos，能串聯多個低風險漏洞形成攻擊鏈</a> Claude Mythos能力持續受關注，近期Cloudflare揭露參與Project Glasswing計畫的測試結果，指出他們將最新模型導入50個內部程式碼儲存庫後，發現Mythos預覽版最明顯的進步是，可將多個低嚴重性漏洞串聯成完整攻擊鏈，而非只停留在漏洞描述階段，甚至自動撰寫、編譯與執行PoC。Cloudflare強調，企業應從整體系統架構層面調整防禦策略，例如在應用程式前方部署防護機制、降低單一漏洞橫向擴散的能力，並建立可同步部署修補的基礎設施。同時提醒，若因修補時程壓縮而跳過完整回歸測試，反而可能衍生新的風險。 <a href="https://www.ithome.com.tw/news/175936" target="_blank">多家軟體供應商2026年以來CVE揭露量攀升，Chrome大增563.2%，AI輔助漏洞發掘影響浮現</a> 漏洞情資業者VulnCheck發布分析指出，2026年以來，多家軟體供應商的CVE揭露數量明顯增加，其中Google瀏覽器Chrome年增563.2%，VMware、Apache、Mozilla、HPE與F5也都出現顯著成長。該公司認為，這波變化與AI輔助漏洞發掘工具逐漸成熟的趨勢相符，但目前仍屬初步跡象，尚不能將所有成長直接歸因於AI。 <a href="https://www.ithome.com.tw/news/175980" target="_blank">AI開始進入漏洞研究與通報生態，Mozilla、微軟、GitHub與Curl案例受關注</a> AI開始進入漏洞研究與通報生態，漏洞情資業者VulnCheck發布分析指出，除了多家業者2026年以來的CVE揭露量出現變化，Mozilla、微軟等案例受關注。自2月起，Firefox團隊持續使用先進AI模型，尋找並修補瀏覽器中潛藏的安全漏洞。GitHub安全公告資料庫團隊指出，2026年1月至3月，GitHub上面的私下漏洞通報量相較於去年10月至12月增加超過4倍。Chrome的CVE揭露量也暴增逾5倍。 <a href="https://www.ithome.com.tw/news/175873" target="_blank">AI持續降低自動化網路攻擊門檻，2025惡意機器人活動霸佔全球網際網路流量4成</a> 根據資安廠商Thales發布的2026年惡意機器人報告，2025年機器人（bots）已主導網際網路，占據網路總流量的一半以上（53％），而有高達40％流量被歸類為惡意機器人。他們在2025年每天封鎖的AI驅動機器人攻擊達到2,500萬次，而在2024年每天緩解這類攻擊次數僅200萬次，暴增至12.5倍，因此他們決定新增自動化流量觀察類別：AI機器人（AI bots），主要原因在於AI與LLM的快速普及，導致機器人開發更容易上手，即使是技術水平較低的人也能做到。 <a href="https://www.ithome.com.tw/news/175962" target="_blank">IBM擴大AI資安工具布局，參與廣泛使用軟體漏洞識別與修補</a> IBM宣布擴大企業資安工具與服務，以因應攻擊者利用先進AI加快偵察、漏洞發現利用等攻擊流程的趨勢，涵蓋運用AI輔助漏洞管理的應用程式風險管理平臺IBM Concert、顧問服務IBM Consulting，以及採多代理架構的資安服務IBM Autonomous Security，另外IBM也參與AI業者Anthropic推動的關鍵軟體基礎架構安全計畫Project Glasswing。 <a href="https://www.ithome.com.tw/news/175881" target="_blank">Akamai將斥資2.05億美元收購LayerX，強化AI與瀏覽器安全</a> 瀏覽器安全與AI使用控管技術成焦點！Akamai宣布併購以色列瀏覽器安全新創LayerX Security，主要看重其在輕量級安全擴充功能的部署方式，就可進行Session級深度行為檢測，以及控管影子AI的資料外洩問題，可透過在網頁端即時動態遮蔽員工輸入提示詞中的機密原始碼或個資。 <a href="https://www.ithome.com.tw/news/175951" target="_blank">Meta MBBRC首度登臺！祭30萬美元獎金鎖定AI代理等安全</a> Meta年度Bug Bounty研究者大會（MBBRC）首度在臺舉行！這場盛事匯集來自26國、80多位全球頂尖資安研究人員，其中並有10位臺灣高手同場競技。本屆活動有兩大新重點受矚目，一是開放研究人員針對Ads AI、Messenger、WhatsApp上的Business AI，以及Meta AI的代理框架進行深度檢測；一是首度推出濫用行為專項計畫，針對資料爬取與誠信風險等非傳統漏洞進行嘗試。特別的是，現場Meta與Nvidia宣布合作，將於6月正式啟動GPU Kernel Module Bug Bounty計畫，首度將Nvidia產品與服務納入MBBRC測試範圍。 <a href="https://www.ithome.com.tw/news/175893" target="_blank">駭客濫用Langflow漏洞與NATS訊息中介系統，竊取AI與雲端環境存取金鑰</a> 開源AI工作流程平臺Langflow近期爆發新一波攻擊事件，CVE-2026-33017漏洞<a href="https://www.ithome.com.tw/news/174752">在3月就已確認遭利用</a>並呼籲儘速修補，如今再傳攻擊者鎖定未修補用戶攻擊。資安業者Sysdig指出，他們發現新一波攻擊行動，駭客利用此漏洞入侵系統，並竊取AWS與OpenAI等AI服務API金鑰，特別的是，攻擊者在攻擊中使用開源訊息系統NATS，作為持久化控制與資料傳輸通道。 <a href="https://www.ithome.com.tw/news/175889" target="_blank">OpenClaw存在漏洞攻擊鏈Claw Chain，攻擊者可用於竄改組態並植入後門</a> 資安公司Cyera近期在開源AI代理整合平臺OpenClaw發現一系列共4個資安漏洞，分別是：CVE-2026-44112、CVE-2026-44113、CVE-2026-44115、CVE-2026-44118，涉及檔案系統隔離、權限提升與資料暴露風險。從個別漏洞的危險程度來看，風險最高的是CVE-2026-44112，CVSS風險評分達到9.6分。Cyera指出此漏洞發生的原因在於，驗證與寫入的工作分開進行，攻擊者可藉由將驗證路徑指向沙箱邊界以外的符號連結來觸發弱點，將寫入操作導向原本預期的檔案系統根目錄以外的地方，從而影響系統的完整性。 <a href="https://www.ithome.com.tw/news/176024" target="_blank">Nvidia修補Triton推論伺服器多項重大漏洞，若未更新可能導致拒絕服務、資料洩漏或執行任意程式碼等攻擊</a> Nvidia修補Triton Inference Server的8項安全漏洞，漏洞類型包括驗證繞過、路徑遍歷、記憶體越界與整數溢位，最嚴重的漏洞CVSS達9.8分，可能導致資料外洩、拒絕服務、權限提升，甚至執行任意程式碼，影響企業AI模型推論與生成式AI部署環境，建議用戶儘速升級至已修補的26.03版。 <h1>資料安全</h1> 這一星期資料安全焦點在於NVMe協定與WD相繼導入PQC技術，前者推動儲存傳輸協定加密演算法更新，後者強調落實資安須從硬體信任根源（Root of Trust）強化防禦，突顯資料安全防線正聚焦於底層升級。此外，資料保護解決方案也正隨AI時代資安風險而進化。 <a href="https://www.ithome.com.tw/news/175970" target="_blank">NVMe協定啟動後量子密碼學規格更新，因應量子運算時代加密威脅</a> <a href="/sites/default/files/images/2026-05-22_173045.jpg"><img alt="" src="/sites/default/files/images/2026-05-22_173045.jpg" style="width: 380px; float: right;" /></a> NVM Express聯盟宣布著手NVMe協定的後量子密碼學（PQC）規格更新，以因應未來量子電腦可能破解現有加密機制的威脅。新版規格將導入NIST PQC演算法、更長金鑰長度與新版加密協定定義，聯盟預計於2026年完成PQC支援並納入NVMe正式標準。 <a href="https://www.ithome.com.tw/news/175955" target="_blank">因應AI時代資安風險，Dell整合資料保護平臺並擴展威脅偵測能力</a> Dell推出全新資料保護平臺PowerProtect One，結合既有PowerProtect Data Manager（PPDM）與PowerProtect Data Domain（PPDD）兩款產品，強化備份、還原管理能力。同時，Dell也將原本應用於Cyber Recovery的CyberSense威脅分析能力，延伸發展為Cyber Detect，並整合至PowerStore與PowerMax主儲存陣列，用於快照複本分析與偵測。 <a href="https://www.ithome.com.tw/news/175925" target="_blank">WD為硬碟韌體保護導入後量子數位簽章技術，硬碟安全進入抗量子時代</a> WD宣布為新一代企業級硬碟Ultrastar DC HC6100 UltraSMR導入後量子密碼學（PQC）技術，為硬碟控制器的安全開機（Secure Boot）與韌體，採用ML-DSA-87後量子數位簽章，並結合傳統RSA-3072簽章構成雙重簽章架構，以兼顧現有相容性與未來抗量子運算威脅需求。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=200141&SPOKE_DATE=20260511&COMPANY_ID=6865" target="_blank">偉康科技發布資安重訊，說明遭遇網路攻擊</a> 專注於金融科技與資安解決方案的偉康科技（6865）於5月11日晚間發布資安重訊，透露遭到駭客攻擊的情形。該公司透露事發後已啟動防禦機制因應，對於這起事故可能會造成的影響，該公司初步評估對公司營運無重大影響。罕見的是，偉康特別提及已投保了資安險，有可能會獲得理賠，但金額將根據最終鑑定結果及保單條款而定。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=172008&SPOKE_DATE=20260520&COMPANY_ID=6606" target="_blank">建德工業發布資安重訊，指出資訊系統遭網路攻擊</a> 5月20日精密工具設備製造商建德工業（6606）於股市公開觀測站發布重大訊息，指出資訊系統疑似遭到網路攻擊，事發當下該公司立即啟動相關防護機制因應。針對這起事故可能造成的影響，該公司根據初步評估，對公司營運無重大影響，目前無個資或機密資料外洩發生的跡象。針對防範未來相關資安事故的做法，建德表示將增加軟硬體設備，以提升資訊安全層級。 <a href="https://www.ithome.com.tw/news/175914" target="_blank">7-Eleven證實資料被駭，疑外洩加盟店資訊</a> 7-Eleven近日向美國緬因州檢察長辦公室通報資料外洩，並於5月1日以電子郵件通知受影響人員。根據7-Eleven的通知，2026年4月8日該公司發現一個未經授權的第三方人員存取該公司儲存加盟店文件的部分系統，導致相關資料遭到外洩。7-Eleven調查顯示，駭客存取的資料包括姓名、地址，以及其他未公開的資料類別。目前，該公司官方文件並未揭露受影響總人數。惡名昭彰的駭客組織ShinyHunters聲稱從其Salesforce系統竊取超過60萬筆資料。 <a href="https://www.ithome.com.tw/news/175928" target="_blank">美國最大公立醫院醫療資訊、指紋、信用卡資料被竊走，影響180萬人</a> 美國最大市立醫療體系NYC Health + Hospitals 3月在網上公告遭駭，他們表示，在2月間發現非授權人士存取特定系統並且竊走資料。該院已重設所有受影響人士的帳號並導入強化的安全防範。經過調查，存取時間為2025年11月25日到2026年2月11日。該院認為原因是第三方系統廠商發生安全事件，讓攻擊者得以存取網路及系統，並複製走資料。根據美國健康與公共服務部網頁，NYC Health + Hospitals外洩事件影響180萬人。 <a href="https://www.ithome.com.tw/news/175876" target="_blank">TeamPCP兜售近450個Mistral AI程式碼儲存庫</a> 法國AI新創公司Mistral AI於5月12日發布資安公告，證實NPM與PyPI套件先後遭到入侵，指出該公司是TanStack供應鏈攻擊事故而受到波及，如今傳出駭客團體TeamPCP於網路犯罪論壇宣稱，他們竊得Mistral AI近5 GB的內部儲存庫與原始碼資料，這些是用於訓練、微調、基準測試、模型交付、實驗推論，以及未來專案的檔案，總計涉及450個儲存庫的內容。 <a href="https://www.ithome.com.tw/news/175878" target="_blank">Grafana Labs存取權杖外洩導致其GitHub程式碼庫遭竊與勒索</a> Grafana Labs揭露近期發現有一個未經授權的團體取得該公司GitHub環境的存取權杖，使攻擊者得以下載該公司的程式碼庫。<a href="https://www.ithome.com.tw/news/176015">該公司後續調查指出</a>，攻擊者入侵其GitHub環境的事故，源於TanStack供應鏈攻擊，當時他們在5月11日偵測到惡意活動，隨即啟動事件應變流程，迅速輪換大量與GitHub工作流程相關權杖，但仍有部分未被更換，使得攻擊者能夠存取他們的GitHub儲存庫。 <a href="https://www.ithome.com.tw/news/175852" target="_blank">美政府外包商遭解僱員工被控刪除96個政府資料庫，還問AI如何刪除Log</a> 美國司法部起訴政府IT外包商前員工，指出該嫌因不滿被解僱，竟然濫用職權刪除聯邦政府資料庫。根據檢察官起訴書顯示，在一小時內刪除了約96個由Opexus代管的美國政府資料庫，包含與資訊自由法相關資料及屬於聯邦機構的敏感調查檔案，其中一個資料庫還是屬於美國國土安全部。甚至在刪除資料庫後，該嫌還曾詢問AI，如何刪除作案的Windows Server及SQL Server的系統日誌（log）檔。 <a href="https://www.ithome.com.tw/news/175907" target="_blank">工業測試設備製造商Fluke資料外洩波及1.85萬人，駭客竊取身分與身障等敏感資訊</a> 美國工業測試設備製造商Fluke，近日通報一起可追溯至2025年8月的資料外洩事件，約1.85萬人的個資遭駭客存取，該公司已知會受害者，並提供信用監控等緩解措施。勒索軟體組織Clop聲稱此資料外洩事件是他們所為，但Fluke未予以回應。 <a href="https://www.ithome.com.tw/news/176012" target="_blank">CISA暴露的GitHub儲存庫公開844 MB機密資料</a> 美國CISA因GitHub儲存庫Private-CISA暴露在網際網路，而有大量機密資料外洩的可能，資安公司GitGuardian先發現此事，19日公布更多調查細節，指出他們一開始是透過例行的GitHub監控察覺此事，發現Private-CISA儲存庫的資料量為844 MB，內含明文密碼、AWS憑證，以及Entra ID的SAML憑證，並且已暴露了約半年。至於這段期間是否有其他人存取這些資料，GitGuardian表示目前尚未發現有駭客早一步存取的跡象。 <h1> </h1> <h1>端點安全</h1> 這一星期Windows端點安全面臨嚴峻挑戰，多項零時差漏洞連環爆。其中MiniPlasma漏洞被揭露多年前已通報修補，現卻仍處於未修補狀態，還有研究人員警告BlueHammer與YellowKey等五項漏洞已能串連成完整攻擊鏈。此外，還有Linux再傳出DirtyDecrypt漏洞的事件也引發關注。 <a href="https://www.ithome.com.tw/news/175888" target="_blank">Windows存在零時差漏洞MiniPlasma，攻擊者可取得SYSTEM權限</a> <a href="/sites/default/files/images/2026-05-22_173145.jpg"><img alt="" src="/sites/default/files/images/2026-05-22_173145.jpg" style="width: 380px; float: right;" /></a> 早在多年前通報的漏洞卻未得到修補！日前資安研究員Chaotic Eclipse公布資安漏洞MiniPlasma，並強調該漏洞並非他首度發現，而是Google Project Zero團隊於2020年9月向微軟通報，該漏洞被登記為CVE-2020-17103，微軟在2020年12月例行安全性更新已發布更新軟體。對於MiniPlasma的出現，Chaotic Eclipse推測可能是修補程式碼在某個時間點被撤回或覆蓋（rollback），但也不排除是微軟根本沒修補，實際原因為何，有待微軟進一步說明。 <a href="https://www.ithome.com.tw/news/176002" target="_blank">微軟公布BitLocker零時差漏洞YellowKey緩解措施</a> 關於有研究人員在5月中揭露磁碟加密機制BitLocker的零時差漏洞YellowKey，並形容它幾乎等同於後門，相當危險。後續微軟將YellowKey登記為CVE-2026-45585，並指出利用漏洞存在必要條件，那就是攻擊者需實際接觸目標裝置，才能觸發漏洞並存取經加密處理的資料。目前尚未有修補發布，但已公布緩解措施，包括修改Windows復原環境（WinRE）映像檔、設置BitLocker的PIN碼，而對於磁碟尚未加密的電腦，應設置TPM的PIN碼因應。 <a href="https://www.ithome.com.tw/news/176004" target="_blank">資安公司警告研究員Chaotic Eclipse公布的零時差漏洞已能串成攻擊鏈</a> 近期多項Windows系統的5個零時差漏洞陸續被揭露，但更令人擔憂的是，攻擊者已可藉這些漏洞建立完整的攻擊流程。資安公司LevelBlue指出，BlueHammer（CVE-2026-33825）、RedSun、UnDefend、YellowKey（CVE-2026-45585）、GreenPlasma等5個漏洞，涵蓋取得初始存取管道、權限提升、迴避偵測，以及資料竊取等攻擊階段，幾乎已可視為一套完整的攻擊工具。 <a href="https://www.ithome.com.tw/news/175919" target="_blank">Linux核心再傳新的權限提升漏洞DirtyDecrypt</a> 根據V12資安團隊透露，他們在5月9日發現名為DirtyDecrypt（或DirtyCBC）的漏洞，此為Copy Fail、Dirty Frag、Fragnesia的變形，他們在通報後收到Linux核心開發團隊回覆，表示這是重複通報的弱點。對此，V12在確認該漏洞已得到修補後，公布了概念驗證程式碼（PoC），並指出此漏洞形成的原因，在於rxgk_decrypt_skb缺少COW保護機制，導致rxgk頁面快取可被寫入。 <a href="https://www.ithome.com.tw/news/175948" target="_blank">Ivanti修補裝置管理平臺EPM高風險漏洞</a> 資安廠商Ivanti修補裝置管理平臺Ivanti Endpoint Manager（EPM）3項資安漏洞，分別是CVE-2026-8109、CVE-2026-8110、CVE-2026-8111，其中最危險的是CVE-2026-8111，此為SQL注入漏洞，攻擊者在通過身分驗證的情況下，即可遠端執行程式碼，CVSS風險為8.8分；另一個高風險漏洞是CVE-2026-8110，涉及代理程式不正確的權限分配，攻擊者在本機通過身分驗證後，有可能提升權限，風險評分為7.8。 <a href="https://www.ithome.com.tw/news/175947" target="_blank">博通修補VMware Fusion高風險漏洞</a> 執行在macOS電腦的個人端虛擬化軟體VMware Fusion，最近被揭露與修補高風險漏洞，根據5月14日博通（Broadcom）發布的資安公告，VMware Fusion存在權限提升漏洞CVE-2026-41702，此為SETUID二進位檔運作因檢查時間及使用時間不一致（TOCTOU）造成的弱點，攻擊者在取得非管理員使用者權限的情況下，可用來將權限升級為root，CVSS風險評為7.8分，博通已發布26H1版予以修補。 <a href="https://www.ithome.com.tw/news/175921" target="_blank">Reaper竊資程式混合冒充蘋果、微軟、Google，攻擊macOS用戶並建立後門</a> 近年來以macOS為目標的竊資程式愈來愈多，SentinelOne最近發現的Reaper為竊資程式SHub Stealer的變種，使用以WeChat和線上協作白板Miro安裝程式為誘餌的手法和前版相似，手法更複雜，竊取目標也更多。值得一提的是，Reaper感染鏈在每個階段都冒充不同大廠。首先，它的惡意程式託管在一個誤植域名（typo-squatted）的假微軟網域，冒充蘋果安全更新執行，之後經由假的Google軟體更新目錄進行持續性（persistent）攻擊。 <a href="https://www.ithome.com.tw/news/175883" target="_blank">Dell SupportAssist服務引發Windows BSOD災情</a> 端點安全仰賴持續的軟體更新，但更新過程中的相容性錯誤可能導致嚴重的服務中斷。有用戶在Dell用戶論壇反映，在5月8日安裝Dell Update 5.5.16.0及其內建的SupportAssist Remediation 5.5.16.0和Dell SupportAssist OS Recovery外掛後，系統每30分鐘出現藍色死亡螢幕（BSOD）後無預警自動重啟的狀態。Dell官方表示已經獲知狀況，正在解決問題。 <h1>網路安全</h1> 鎖定企業網路邊緣的零時差漏洞攻擊仍是本週焦點，思科修補已遭國家級駭客利用的Catalyst SD-WAN漏洞CVE-2026-20182，攻擊者可向存在漏洞的系統發送特製請求，以觸發漏洞。此外，還有攻擊者利用公開PoC持續針對已知漏洞發動攻擊，突顯企業未修補漏洞將使曝險演變為受害。 <a href="https://www.ithome.com.tw/news/175836" target="_blank">思科Catalyst SD-WAN遭遇零時差漏洞攻擊【CVE-2026-20182】</a> <a href="/sites/default/files/images/2026-05-22_173250.jpg"><img alt="" src="/sites/default/files/images/2026-05-22_173250.jpg" style="width: 380px; float: right;" /></a> 新一起零時差漏洞攻擊引發關注！思科揭露與修補Catalyst SD-WAN控制器漏洞CVE-2026-20182，美國網路安全暨基礎設施安全局（CISA）隨即將其列入已遭利用漏洞名冊（KEV）。該漏洞CVSS風險評為10分，一旦遭利用，攻擊者可向存在漏洞的系統發送特製請求觸發漏洞。後續思科威脅情報團隊<a href="https://www.ithome.com.tw/news/175840">Talos亦公布調查結果</a>，並指出利用該漏洞的駭客組織，就是2月揭露、曾利用另一個漏洞CVE-2026-20127發動攻擊的駭客組織UAT-8616。 <a href="https://www.ithome.com.tw/news/175845" target="_blank">今年2月修補的思科SD-WAN系統高風險漏洞，已有多組人馬用於實際攻擊</a> 有駭客利用公開PoC持續攻擊未修補已知漏洞的企業！從今年3月至4月，思科威脅情報團隊Talos掌握一系列駭客團體活動，他們利用今年2月下旬修補的任意檔案覆寫漏洞CVE-2026-20122、權限提升漏洞CVE-2026-20126，以及資訊洩露漏洞CVE-2026-20133（CVSS風險值為7.1、7.8、7.5），攻擊尚未修補的思科SD-WAN系統，Talos一共看到10波攻擊活動共通點是駭客透過公開的概念驗證程式碼（PoC）利用上述漏洞。 <a href="https://www.ithome.com.tw/news/175835" target="_blank">思科Catalyst SD-WAN控制器曝重大身分認證繞過漏洞</a> 思科公告旗下的SD-WAN解決方案存在重大資安漏洞CVE-2026-20182，CVSS風險評為10分，相當危險，受影響產品為Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage），涵蓋本地建置的SD-WAN環境與思科代管的雲端版本。令人憂心的是已發現遭到利用的跡象，該公司已發布修正版完成修補，並強調沒有其他解決方法，呼籲用戶儘速更新。 <a href="https://www.ithome.com.tw/news/175915" target="_blank">Palo Alto Networks修補防火牆作業系統身分驗證繞過漏洞</a> 資安公司Palo Alto Networks揭露與修補防火牆作業系統PAN-OS的高風險漏洞CVE-2026-0265，指出在啟用雲端身分驗證服務（CAS）的情況下，PAN-OS存在身分驗證繞過漏洞，未經身分驗證的攻擊者，經由網路存取就能繞過防火牆的身分驗證控制。受影響設備涵蓋PA系列的實體設備、VM系列的虛擬防火牆，以及防火牆管理平臺Panorama。值得注意的是，Hacktron AI資安研究員<a href="https://www.ithome.com.tw/news/175918">指出該漏洞危險程度恐被低估</a>，而且經過其測試，已成功利用這項漏洞進入多家主要公司的VPN環境。 <a href="https://www.ithome.com.tw/news/176016" target="_blank">華為路由器疑似零時差漏洞引發DoS攻擊，盧森堡去年通訊中斷逾3小時</a> 盧森堡國營電信POST Luxembourg去年發生長達3小時的全國性通訊中斷，近日資安媒體The Record報導更多詳情，指出去年年中華為企業路由器一個軟體漏洞遭到攻擊，但事件過後10個月，沒有相關漏洞或事件資訊公開，廠商華為也沒有對其他同一款設備的電信用戶發布警告。如今媒體報導揭露，事發初期以為是DDoS攻擊，調查後發現，該事件是攻擊者利用POST Luxembourg為中繼站，由它將超大規模流量轉送（relay）出去，並非以其為目標。不過這個階段，華為路由器卻未能順利將流量轉送出去，而是發生不知名的故障，導致陷入重啟動循環及停止運作。 <h1>應用程式安全</h1> 應用程式安全威脅頻傳，首要焦點為Exchange Server出現已遭利用的零時差漏洞，微軟緊急發布CVE-2026-42897緩解措施。同時，Nginx一週前修補的CVE-2026-42945漏洞亦傳出遭積極利用；而Mini Shai-Hulud蠕蟲引發大規模NPM與PyPI供應鏈攻擊，其危害亦不容小覷，已傳出OpenAI與Mistral AI受波及的消息。 <a href="https://www.ithome.com.tw/news/175877" target="_blank">微軟揭露Exchange Server存在8.1分重大漏洞，並已偵測到漏洞利用活動</a>【CVE-2026-42897】 <a href="/sites/default/files/images/（圖X）CVE-2026-42897.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89CVE-2026-42897.jpg" style="width: 380px; float: right;" /></a> 發生零時差漏洞攻擊事件，微軟緊急發布公告說明Exchange Server重大漏洞CVE-2026-42897已遭利用，美國CISA亦將此列入KEV清單。特別要注意的是，目前微軟先公布兩種緩解措施，截稿前尚未釋出修補。受此漏洞影響的產品主要是部署於企業內部環境的Exchange Server 2016、Exchange Server 2019，以及Exchange Server訂閱版（SE），Exchange Online不受影響。 <a href="https://www.ithome.com.tw/news/175882" target="_blank">Nginx重大漏洞已被用於攻擊</a>【CVE-2026-42945】 網頁伺服器Nginx在一星期前修補的重大漏洞CVE-2026-42945，後續有研究人員警告已偵測到積極利用的現象。VulnCheck漏洞研究員Patrick Garrity於職場社群網站LinkedIn示警，因為他們在5月16日於蜜罐陷阱首度偵測到CVE-2026-42945被積極利用的跡象。雖然Nginx伺服器必須導入特定的重新寫入組態設定才會受到影響，但由於攻擊者無須通過身分驗證就能利用，再加上全球約有570萬臺伺服器尚未套用新版程式，用戶應儘速採取防範措施。 <a href="https://www.ithome.com.tw/news/176009" target="_blank">Drupal修補重大SQL注入漏洞，並破例為已停止支援版本發布更新</a> 內容管理系統Drupal開發團隊本週揭露與修補重大漏洞CVE-2026-9082，目前尚未公布CVSS嚴重度評分，但團隊公布Drupal本身的風險評估結果為20分（滿分25分），被評為最危險的超重大等級（Highly Critical），影響8.9.0以上版本的Drupal，開發團隊呼籲用戶儘速因應。Drupal強調此漏洞只影響採用PostgreSQL的網站，不過他們也對第三方元件Symfony與Twig進行修補，因此對於不受CVE-2026-9082影響的網站，他們呼籲用戶還是要升級新版Drupal。 <a href="https://www.ithome.com.tw/news/175854" target="_blank">TeamPCP利用蠕蟲Mini Shai-Hulud滲透逾400個NPM與PyPI套件</a> 多家資安公司指出，本週TanStack的NPM套件、Mistral AI的PyPI套件遭遇供應鏈攻擊，其實是4月底蠕蟲活動Mini Shai-Hulud的延續。 SafeDep強調，這是今年規模最大的程式碼儲存庫攻擊事件，而且範圍同時涵蓋NPM與PyPI。根據Socket的統計，截至5月15日，已累計出現416個惡意套件。Snyk也表示，TanStack的路由器套件系列是駭客最早入侵的管道，隨後蠕蟲透過自我散播的特性，迅速造成大規模感染。 <a href="https://www.ithome.com.tw/news/175856" target="_blank">OpenAI遭TanStack供應鏈攻擊波及</a> OpenAI公告有兩名員工的裝置受到Mini Shai-Hulud供應鏈攻擊影響，不慎安裝遭植入惡意程式碼的TanStack套件，該公司察覺後迅速展開調查，並採取措施保護系統。由於受影響的原始碼儲存庫包含應用程式簽署憑證，為求謹慎OpenAI將輪換憑證，macOS用戶必須因此而更新應用程式，否則等到OpenAI在6月12日完全撤銷現有憑證後，相關應用程式將無法使用，Windows與iOS用戶則不受影響。 <a href="https://www.ithome.com.tw/news/175927" target="_blank">RubyGems遭遇大規模惡意攻擊，暫停開發者註冊新帳號因應</a> 上週RubyGems儲存庫遭遇大規模攻擊，一度暫停帳號註冊服務作為因應措施，對此事件，Ruby Central開源長Marty Haught提出事故處理說明，他表示RubyGems正在處理垃圾套件活動，先前已暫停新帳號註冊，並限制使用Webhook，後續將改進相關檢測機制。後續RubyGems再透露，用於這起攻擊事故的機器人帳號已遭移除，這段期間攻擊者推送超過500個惡意套件，也全數下架。 <a href="https://www.ithome.com.tw/news/175931" target="_blank">針對RubyGems遭遇大規模垃圾套件攻擊事故，傳出駭客的目的是洩露英國政府機關網站資料</a> 關於RubyGems儲存庫發生垃圾套件投放攻擊事故，實際上這起事故源自另一起攻擊活動，駭客將RubyGems充當資料外送的管道。資安公司Socket指出，他們觀察到的攻擊行動GemStuffer，駭客使用超過100個Gem套件，但與許多供應鏈攻擊不同，這些套件主要用途並非對開發人員散布惡意軟體，而是將RubyGems充當資料傳輸的管道。Socket指出這些套件大多未被開發人員下載，其內含的指令碼，會從英國多個地方政府的入口網站擷取頁面，將收集的回應打包成有效的資料封裝，並利用特定API金鑰將這些資料上傳到RubyGems。 <a href="https://www.ithome.com.tw/news/175977" target="_blank">沙箱函式庫SandboxJS修補CVSS滿分重大漏洞</a> 開源JavaScript沙箱函式庫SandboxJS近日修補重大漏洞CVE-2026-43898，CVSS評分達10.0滿分，漏洞源自createFunction()隔離機制缺陷，攻擊者可突破沙箱限制，取得主機端Function建構函式，進而在主機端環境執行任意JavaScript程式碼，用戶應儘速升級到已修補的0.9.6版。 <a href="https://www.ithome.com.tw/news/175938" target="_blank">PostgreSQL資料庫發布更新，修補11項漏洞與60多項程式錯誤</a> PostgreSQL資料庫近日同步更新14.x至18.x等所有主要支援版本，修補11項漏洞與60多項程式錯誤，其中包括4項CVSS評分達8.8分的重大漏洞，可能導致執行任意程式碼或覆寫檔案，影響所有主要版本，已在14.23、15.18、16.14、17.10與18.4等新版本完成修補，建議用戶儘速更新，以降低風險。 <a href="https://www.ithome.com.tw/news/175995" target="_blank">GitLab發布安全更新，修補25項資安漏洞</a> GitLab近日發布安全更新，修補CE與EE版本共25項漏洞，包含多項涉及跨網站指令碼（XSS）、拒絕服務與存取控制的問題，其中4項XSS漏洞CVSS評分達8.7分，分別源自分析儀表板（Analytics dashboard）、全域搜尋（Global Search）與AI代理功能Duo Agent。GitLab建議採用self-managed部署的用戶儘速更新至已修補的18.11.3、18.10.6與18.9.7等版本。雲端版GitLab.com則已完成更新。 <a href="https://www.ithome.com.tw/news/175860" target="_blank">Google發布電腦版Chrome 148更新，修補79個資安漏洞</a> 本週Google發布電腦版Chrome更新148.0.7778.167、148.0.7778.168，總共修補79個漏洞，從嚴重程度來看，有14個是重大等級、37個屬於高風險等級，其餘28個為中度風險。 <a href="https://www.ithome.com.tw/news/175874" target="_blank">Mozilla推出Firefox 150.0.3，修補多項JavaScript高風險漏洞</a> Firefox 150.0.3更新上周釋出，總共修補5個高風險漏洞CVE-2026-8388、CVE-2026-8389、CVE-2026-8390、CVE-2026-8391、CVE-2026-8401。美國CISA指出，最危險的漏洞是CVE-2026-8401，此沙箱逃逸類型的弱點，存在Firefox個人設定檔備份元件，CVSS風險評為9.8分。 <a href="https://www.ithome.com.tw/news/175965" target="_blank">Mozilla發布Firefox 151更新，修補逾30項資安漏洞</a> 5月19日Mozilla基金會發布Firefox版本更新，151版修補了31個資安漏洞（高風險漏洞有6個、中度風險12個、低風險13個）。 上述高風險漏洞當中，有兩個是有關記憶體安全的臭蟲，值得注意的是，美國網路安全暨基礎設施安全局授權資料發布單位（CISA-ADP）對它們的CVSS嚴重度評分，都達到9.8。 <a href="https://www.ithome.com.tw/news/176013" target="_blank">Hitachi Vantara修補Pentaho資料整合與分析平臺重大漏洞</a> Hitachi Vantara修補旗下Pentaho資料整合與分析平臺重大風險漏洞CVE-2025-11159，CVSS達9.1分，可能導致攻擊者執行外部程式碼，進而存取敏感資料或發動遠端程式碼執行攻擊。Hitachi Vantara已於10.2.0.7與11.0.0.0版移除存在漏洞的元件，呼籲企業儘速更新至已修補版本。 <a href="https://www.ithome.com.tw/news/175897" target="_blank">臺灣資安廠商DEVCORE奪下Pwn2Own Berlin 2026破解大師殊榮</a> 在上週舉行的2026年度資安漏洞利用競賽Pwn2Own柏林場，一共找到47個零時差漏洞，主辦單位ZDI共頒發1,298,250美元獎金。臺灣資安公司戴夫寇爾（DEVCORE）在Chrome/Edge + Sandbox Escape，Exchange Server，Microsoft Office 365等項目表現出色，以總分50.5分獲得壓倒性勝利，拿下本次競賽的破解大師（Master of Pwn）殊榮，並贏得505,000美元獎金。 <h1>身分安全</h1> 驗證機制進化與憑證濫用威脅是本週身分安全焦點，相關消息涵蓋經濟部推動行動工商憑證，以及微軟瓦解惡意簽章平臺Fox Tempest。此外，微軟個人帳號停用簡訊驗證碼，顯現科技大廠正加速擺脫簡訊OTP來驗證風險。另要注意的是，網釣威脅態勢依然嚴峻，兩起揭露指出駭客正持續利用Tycoon 2FA與新型裝置碼釣魚手法。 <a href="https://www.ithome.com.tw/news/175909" target="_blank">經濟部推行動工商憑證，讓手機化身「數位大小章」，瞄準企業授權與金融應用</a> 實體工商憑證卡施行已久，如今經濟部商業發展署新推行動工商憑證，該憑證具備三大功能，包括身分驗證、數位簽章與資料加密。其最大改變是將原本實體卡片與公司大小章，進一步整合進手機裝置中，憑證儲存在手機安全區域，同時結合手機生物辨識，並支援MAS Level 2認證等級，以鞏固其安全性。此外，行動工商憑證也將朝向串接數位憑證皮夾發展，未來甚至延伸至金融場景，畢竟目前金融業大量使用OTP驗證，若能以行動工商憑證取代部分OTP機制，可望降低銀行驗證成本，同時提升交易安全性。 <a href="https://www.ithome.com.tw/news/176003" target="_blank">微軟個人帳號將開始停用簡訊傳送OTP驗證碼</a> <a href="/sites/default/files/images/（圖X）Microsoft to stop sending SMS codes for personal accounts.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89Microsoft%20to%20stop%20sending%20SMS%20codes%20for%20personal%20accounts.jpg" style="width: 380px; float: right;" /></a> 以簡訊（SMS）為基礎的驗證方式成為詐騙主要來源，微軟希望協助使用者更全面採用無密碼帳號、通行密鑰（passkey）和經驗證的電子郵件信箱，收取雙因素驗證（2FA）驗證碼，藉此降低威脅同時簡化帳號登入作業。為此，微軟宣布Windows 11個人版微軟帳號的驗證及帳號回復，將開始停用以簡訊作為處理這些程序的管道，並將導引用戶以簡易方式加入經過驗證的email帳號及設定通行密鑰。之後登入微軟帳號或是復原帳號，而不再需要用到簡訊，而且手機掉了也可以安全回復帳號。 <a href="https://www.ithome.com.tw/news/175961" target="_blank">微軟修改Edge瀏覽器密碼管理機制，避免開機即載入明文密碼</a> 微軟宣布調整Microsoft Edge瀏覽器密碼管理機制，未來瀏覽器啟動時，將不再載入所有已儲存密碼到記憶體，而改為僅在使用者需要時才進行處理。這項修改源自研究人員揭露Edge過去會在啟動時預載全部密碼，微軟表示新版機制已先於Edge Canary測試版本提供，後續將透過Edge 148版推送給所有用戶。 <a href="https://www.ithome.com.tw/news/175974" target="_blank">微軟破獲惡意軟體簽章服務平臺Fox Tempest</a> 自2025年開始運作的惡意軟體簽章服務（Malware-Signing-as-a-Service，MSaaS）平臺，經營者是以經濟利益為動機的駭客團體Fox Tempest，他們濫用微軟的Artifact Signing系統為惡意程式簽章，藉此偽造應用程式身分，使其能暫時躲過資安系統的偵測，5月19日微軟宣布成功瓦解。根據調查，Fox Tempest偽造超過1千個憑證，並透過數百個Azure租戶來提供相關服務。今年5月微軟在資安公司Resecurity的協助之下，中斷這些駭客的業務，並撤銷超過1千個偽造憑證。 <a href="https://www.ithome.com.tw/news/175906" target="_blank">Tycoon 2FA被用於裝置驗證碼網釣，駭客搭配Trustifi追蹤器挾持M365帳號</a> eSentire發現新一波Tycoon 2FA攻擊，駭客利用合法郵件安全平臺Trustifi規避閘道攔阻，並透過Cloudflare Workers多層轉址，誘騙用戶在微軟裝置登入頁面完成授權。此攻擊特殊之處是，過程不需詢問密碼，而是利用偽裝成官方程式的OAuth客戶端竊取權杖，進而掌控 Exchange Online與OneDrive等服務。 <a href="https://www.ithome.com.tw/news/175885" target="_blank">新駭客基礎架構出現，加速裝置碼釣魚、竊取Microsoft 365權杖</a> Proofpoint發現新型裝置碼釣魚攻擊，新手法改在使用者點擊連結的瞬間動態產生驗證碼，而不像以往先有驗證碼再騙取，藉此規避15分鐘內未輸入即過期的機制。此惡意活動最早從2025年秋天出現，更受關注的是，此手法已整合至EvilTokens 與 Tycoon 等釣魚平臺，並在今年4月衍生出7種變種。攻擊組織TA4903已利用此技術針對M365進行商業電子郵件詐騙（BEC），但也有少部分以Google憑證為目標。 <h1>IoT/OT安全</h1> 關於智慧設備的韌體安全與機器人控制風險，近日就有重大隱患揭露，而且是發生在割草機器人系統。有鑑於未來智慧連網裝置將更為普及，這方面的防禦機制與韌體開發規範更顯重要。 <a href="https://www.ithome.com.tw/news/175831" target="_blank">Yarbo割草機器人存在可被遠端控制的重大漏洞，用戶需升級新版韌體</a> 研究人員揭露Yarbo割草機器人系統韌體存在安全隱患，該品牌所有設備系統均有寫死root密碼的狀況，且預留遠端控制的後門，攻擊者可能藉此從遠端接管設備，甚至同時控制整個機器人群組。Yarbo原廠已更新韌體，並承諾進一步改進安全機制。 <h1>資安維運</h1> 資安維運管理存在不同層面議題，近期消息顯現跨國資安治理、資安長人力落差的挑戰。專家強調全球資安治理核心在於跨文化協作與認知對齊（Alignment）；調查則顯示全球CISO人力落差高達1比1萬，職責隨AI與法規壓力擴大。 <a href="https://www.ithome.com.tw/news/175847" target="_blank">專家談跨國企業資安治理：真正難的不是技術，而是跨文化協作</a> 【臺灣資安大會直擊】與不同國家的團隊合作，建立一致的風險認知與協作模式，才是全球資安治理真正困難之處。保瑞藥業全球資安經理Jesse Ku指出，全球資安治理的核心在於「對齊（Alignment）」， 英文能力只是第一層障礙，真正困難是不同文化背景下對同一句話的不同解讀，華人常用的「No no no」或「Actually」就是一例。還有職場文化差異，臺灣企業通常追求效率與執行速度，歐洲團隊則更看重邏輯辯論與說服過程，而加拿大與澳洲同事則相對重視工作與生活的平衡。因此，當跨國企業持續擴張、併購與整合日益頻繁，資安團隊不只要面對技術威脅，還必須處理語言、文化、組織與管理上的「隱形障礙」。 <a href="https://www.ithome.com.tw/news/175864" target="_blank">2026年全球資安長人力落差約1比1萬，AI與法規壓力擴大CISO職責</a> Sophos與Cybersecurity Ventures合作發布《2026 CISO Report》，顯示AI、勒索軟體、供應鏈攻擊、後量子密碼學轉換與法規壓力，正持續擴大資安長（CISO）的職責範圍，而目前全球CISO估計約有3.5萬名，僅較2023年的3.2萬名小幅增加；但全球營運中的企業約達3.59億家，相當於平均1名CISO需對應約1萬家企業，凸顯資安領導人才缺口依舊明顯。 <a href="https://www.ithome.com.tw/news/175932" target="_blank">仍有將近3500臺Wazuh主機未修補CVE-2026-30893漏洞，持續暴露於攻擊風險下</a> <a href="/sites/default/files/images/wazuh_CVE-2026-30893_shadowserver.jpg"><img alt="" src="/sites/default/files/images/wazuh_CVE-2026-30893_shadowserver.jpg" style="width: 380px; float: right;" /></a> Wazuh開源資安監控平臺於4月底揭露的重大漏洞CVE-2026-30893，可能導致執行遠端程式碼，並允許攻擊者進行橫向移動與覆寫系統，雖然4.14.4修補版本已釋出，但截至5月17日，仍有約3500臺Wazuh主機未更新，並直接暴露於網路，臺灣亦有19臺受影響，顯示漏洞修補進度嚴重落後。 <a href="https://www.ithome.com.tw/news/176008" target="_blank">為了推廣Azure Arc混合雲管理架構，微軟開放部分版本Windows Server 2025用戶使用熱修補功能</a> 微軟正式開放Windows Server 2025用戶透過Azure Arc啟用Hotpatch熱修補功能，讓企業可在多數安全更新時無須重新開機，將伺服器重啟頻率降至每季一次。過去微軟僅限於Azure版本Windows提供熱修補功能，如今則擴展至地端環境，也反映微軟推動Windows Server管理雲端化的方向。 </div></div></div>
5/22 18:36作者羅正漢https://www.ithome.com.tw/news/176056
【資安日報】5月22日，微軟修補防毒軟體零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176030">微軟修補兩個已遭利用的Microsoft Defender零時差漏洞</a> 5月19日微軟發布資安公告，指出防毒軟體Microsoft Defender存在兩個已遭利用的零時差漏洞，並發布更新修補。第一個漏洞是CVE-2026-41091，此為權限提升漏洞，問題出現在檔案存取之前的連結解析，導致取得授權的攻擊者能夠在本機提升權限，CVSS風險評為7.8分；另一個是阻斷服務（DoS）類型的弱點，被登記為CVE-2026-45498，影響1.1.26030.3008以前版本的防毒軟體元件Microsoft Defender Antimalware Platform，CVSS風險為4.0分。 <a href="https://www.ithome.com.tw/news/176032">CISA將Microsoft Defender零時差漏洞列入KEV</a> 5月20日美國網路安全暨基礎設施安全局（CISA）發布公告，將7個資安漏洞納入已遭利用的漏洞名冊（KEV），聯邦機構必須在6月3日前完成修補。其中最受到關注的，就是微軟前一天公布的兩項Microsoft Defender零時差漏洞，其中一個是權限提升漏洞CVE-2026-41091，另一個是阻斷服務漏洞CVE-2026-45498。其餘皆為公布超過16年的已知漏洞，這些漏洞是CVE-2008-4250、CVE-2009-1537、CVE-2009-3459、CVE-2010-0249、CVE-2010-0806。 <a href="https://www.ithome.com.tw/news/176033">針對微軟近日修補的Microsoft Defender零時差漏洞，有專家指出已在一個月前就有概念驗證程式碼</a> 本週微軟修補Microsoft Defender零時差漏洞，並表示已偵測到漏洞遭利用的跡象，從上述漏洞的類型及特徵來看，也令外界聯想到研究員Chaotic Eclipse一個月前公布的零時差漏洞RedSun、UnDefend，隨即有專家證實這樣的推測。微軟最有價值專家（Microsoft MVP）Fabian Bader於社群平臺X指出，CVE-2026-41091與CVE-2026-45498，分別就是Chaotic Eclipse在4月上旬公布概念驗證程式（PoC）的RedSun、UnDefend，這些漏洞在微軟發布公告前就被公開，而且也都遭到利用。 <a href="https://www.ithome.com.tw/news/176031">思科修補Secure Workload滿分API未授權存取漏洞</a> 思科釋出安全更新，修補雲端零信任安全產品Secure Workload風險值10.0的重大漏洞CVE-2026-20223，該漏洞允許駭客以管理員權限透過API存取網站資源。遠端攻擊者只需對API端點發送變造的存取請求，就能濫用漏洞。成功濫用的攻擊者將可以取得Site Admin的管理員權限，跨租戶讀取敏感資訊，或竄改組態配置。該漏洞影響Secure Workload多個版本，涵括SaaS及本地部署環境，問題僅存在產品內部的REST API，不影響網頁管理介面。 <a href="https://www.ithome.com.tw/news/176044">Linux作業系統存在權限提升漏洞PinTheft，攻擊者可在Arch Linux取得root權限</a> <a href="/sites/default/files/images/b6833436fb7afc84-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/b6833436fb7afc84-63.jpg" style="width: 300px; float: right;" /></a>本週V12資安團隊於GitHub公布新的Linux核心本機權限提升（LPE）漏洞PinTheft，Linux核心開發團隊收到他們的通報後已完成修補，目前沒有登記CVE編號。此漏洞出現在Reliable Datagram Sockets（RDS）通訊協定，問題源於零複製（zerocopy）傳送路徑。目前僅Arch Linux預設部署相關的RDS核心模組而存在風險，用戶若未使用RDS，最好將其停用；Canonical在部落格文章指出，根據他們的評估，CVSS評分為7.8，為高風險等級的漏洞。 <a href="https://www.ithome.com.tw/news/176047">研究人員揭露存在9年的Linux本機權限提升漏洞CVE-2026-46333</a> 資安公司Qualys揭露權限提升漏洞CVE-2026-46333，此問題存在於Linux核心的ptrace路徑，可將權限提升至root，或導致洩露憑證，CVSS風險評為7.1分，Linux核心開發團隊已於5月14日完成修補。值得留意的是，此漏洞由2016年11月發布的Linux核心4.10-rc1版引入，因此影響範圍非常廣泛，而且，已有研究人員公布概念驗證（PoC）程式碼。Qualys強調，雖然利用此漏洞之前，需要實際接觸本機，但造成的影響相當嚴重。 <a href="https://www.ithome.com.tw/news/176037">趨勢科技修補端點防護系統Apex One已遭利用的路徑遍歷漏洞</a> 5月21日趨勢科技發布資安公告指出，端點防護平臺Apex One、Apex One as a Service、Vision One Endpoint Security - Standard Endpoint Protection（SEP）存在一系列的資安漏洞，其中一個漏洞CVE-2026-34926，已出現遭到利用的跡象。該漏洞存在於Apex One伺服器，為資料夾路徑遍歷弱點，已事先通過身分驗證的本機攻擊者可竄改伺服器上的重要資料表，從而在列管的端點電腦注入惡意程式碼，CVSS風險為6.7分。 <a href="https://www.ithome.com.tw/news/176038">CISA將趨勢科技端點防護系統Apex One路徑遍歷漏洞列入KEV</a> 趨勢科技於5月21日修補端點防護平臺Apex One多項資安漏洞，並指出中度風險的路徑遍歷漏洞CVE-2026-34926已遭到利用，同一天美國網路安全暨基礎設施安全局（CISA）將其列入已遭利用的漏洞名冊（KEV），要求聯邦機構於6月4日以前完成修補。同日，CISA的KEV也列入大型語言模型開發工具Langflow的重大漏洞CVE-2025-34291，此弱點影響1.6.9以前版本的Langflow，攻擊者可用來盜用帳號並遠端執行任意程式碼，CVSS v4.0風險評為9.4分。 <a href="https://www.ithome.com.tw/news/176024">Nvidia修補Triton推論伺服器多項重大漏洞，若未更新可能導致阻斷服務、資料洩漏或執行任意程式碼等攻擊</a> Nvidia近日發布資安公告，修補Triton推論伺服器（Inference Server）的8項漏洞，其中包含可能導致執行任意程式碼、阻斷服務，或資料遭竄改、外洩的重大漏洞，建議用戶儘速升級至已修補的26.03版。這次Nvidia修補的8項漏洞中，最嚴重的是CVE-2026-24207，CVSS嚴重性評分達9.8分，攻擊者可藉此繞過身分驗證，進而促成權限提升、阻斷服務、資料竄改、外洩等風險，甚至遠端執行任意程式碼。 <a href="https://www.ithome.com.tw/news/176018">AI推論框架SGLang遭揭3重大漏洞，未驗證攻擊者恐遠端執行程式碼</a> 資安公司Antiproof揭露開源AI推論框架SGLang存在3項高風險漏洞，可能讓未經驗證的攻擊者在執行SGLang的伺服器遠端執行任意程式碼，或將檔案寫入伺服器程序具有權限存取的位置。卡內基美隆大學電腦網路危機處理暨協調中心（CERT/CC）已發布漏洞通報，將Antiproof的發現歸納為2項遠端程式碼執行漏洞，以及1項路徑遍歷漏洞，並建議使用者在修補程式釋出前，限制相關服務介面的存取。 <a href="https://www.ithome.com.tw/news/176010">Anthropic悄悄修補Claude Code沙箱繞過漏洞，研究人員批評陷用戶於風險中</a> Wyze Labs資安研究員Aonan Guan指出，Anthropic在近半年的時間裡，悄悄修補去年10月發現的Claude Code兩個沙箱繞過漏洞，卻未曾以公告或任何方式發出提醒，使廣大開發商及企業用戶暴露於攻擊風險。其中一個被登記為CVE-2025-66479，該公司於去年11月修補，另一個未登記CVE編號的漏洞，則是直到今年4月才完成修補。對此，Guan呼籲用戶應升級Claude Code至2.1.90以上版本，並應檢查連線事件記錄，並輪換憑證因應以降低風險。 <a href="https://www.ithome.com.tw/news/176039">Google發布Chrome 148更新，修補16個資安漏洞</a> Google發布Chrome瀏覽器新版本148.0.7778.178與148.0.7778.179，此次改版共修補16個安全性問題，分別是兩個重大漏洞、9個高風險漏洞，以及5個中度風險漏洞。這次Chrome修補的漏洞中，最值得注意的是重大漏洞，首先是CVE-2026-9111，存在於即時通訊元件WebRTC，屬記憶體釋放後再存取使用（Use After Free）問題；另一個是CVE-2026-9110，存在於使用者介面（UI），攻擊者能藉由特製HTML頁面進行介面欺騙（UI spoofing）。 <a href="https://www.ithome.com.tw/news/176028">GraphWorm惡意程式濫用微軟OneDrive作為C2通道，利用雲端服務隱藏攻擊流量</a> <a href="/sites/default/files/images/webworm-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/webworm-1-63.jpg" style="width: 300px; float: right;" /></a>資安業者ESET近日發布報告指出，與中國有關的駭客組織Webworm，透過新型惡意程式GraphWorm向歐洲政府機構發動攻擊，這款惡意程式利用微軟Graph API存取雲端檔案共享與儲存服務OneDrive空間，作為命令與控制（C2）通道，藉由受信任的雲端服務隱藏惡意流量，提高偵測難度。除了GraphWorm，ESET還發現Webworm採用的另一個新型惡意程式EchoCreep，它將社群通訊平臺Discord作為C2通道。 <a href="https://www.ithome.com.tw/news/176021">新版Gremlin竊資程式以XOR編碼隱藏惡意內容，提高靜態分析難度</a> <a href="/sites/default/files/images/word-image-328655-180614-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/word-image-328655-180614-1-63.jpg" style="width: 300px; float: right;" /></a>Palo Alto Networks威脅情報團隊Unit 42揭露新版Gremlin竊資軟體，攻擊者已強化隱匿手法，將惡意酬載藏入.NET資源區段，並以XOR編碼遮蔽，使資安工具在不執行程式的情況下，以致於很難從檔案內容找出可疑字串、API呼叫與命令控制伺服器設定。新版加入Discord權杖竊取模組，並具備加密貨幣剪貼簿竄改能力，當使用者複製加密貨幣錢包地址時，惡意程式可能偵測剪貼簿內容，並將地址替換成攻擊者控制的錢包地址。 <a href="https://www.ithome.com.tw/news/176036">執法機關瓦解犯罪VPN服務First VPN，FBI稱至少25個勒索軟體組織曾用於偵察與入侵</a> 多國執法機關宣布查緝並關閉First VPN，這項VPN服務長期活躍於俄語網路犯罪論壇。歐洲刑警組織（Europol）指出，近年在重大網路犯罪調查中，幾乎都曾出現First VPN的蹤跡；犯罪分子藉此掩飾身分並隱匿攻擊基礎架構，從事勒索軟體攻擊、大規模詐欺、資料竊取與其他重大犯罪活動。美國聯邦調查局（FBI）發布FLASH資安通報指出，First VPN約自2014年開始運作，截至今年4月，仍在約27個國家提供32臺VPN出口節點伺服器（exit node servers）。 <a href="https://www.ithome.com.tw/news/176019">數發部負責AI風險分類框架，將參考歐盟高風險AI標準</a> 行政院5月21日聽取國科會報告，公布《人工智慧基本法》後續推動時程與部會分工。行政院將設立國家人工智慧戰略特別委員會，由行政院長擔任召集人，政務委員及各部會首長、學者及民間產業代表將擔任委員，由國科會負責統籌AI治理與研擬國家發展綱領，待行政院通過後，數發部近期也將公布AI風險分類框架，未來各部會也須依據AI風險建立產業管理規範與公部門的內控制度。數發部次長侯宜秀表示，目前AI風險分類框架已送交行政院審查，並完成跨部會意見整合，預計在近期就會公告。 <a href="https://www.ithome.com.tw/news/176022">加速政府朝向AI智慧化治理的發展基礎，行政院6月將發布「AI公務人才認定指引」</a> <a href="/sites/default/files/images/moda-1(6)-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/moda-1(6)-63.jpg" style="width: 300px; float: right;" /></a>為建立臺灣AI人才能力標準與培育體系，行政院5月21日通過由數發部提出的「AI產業人才認定指引3.0」，該指引建立3類AI人才、5大AI能力架構，也因應《人工智慧基本法》與代理式AI的快速發展，新增AI治理素養與AI協作開發能力。同時，政府也預告6月將會發布「AI公務人才認定指引」，將AI人才培育進一步延伸至公部門。行政院長卓榮泰在院會中要求，數發部與人事總處如期完成發布作業，以作為後續政府部門辦理AI人才培育的推動依據。 <a href="https://www.ithome.com.tw/news/176029">SAS CIO揭內部GenAI實戰經驗：AI正在改變漏洞管理節奏</a> SAS資訊長Jay Upchurch日前接受專訪時特別提到AI對資安的衝擊。他指出，近期包括Anthropic等業者開始展示AI驅動的漏洞發掘能力，甚至能在存在數十年的老舊系統中找出潛藏漏洞。這意味著，企業漏洞管理流程將被迫進一步AI化。因為，過去漏洞修補往往需要發現漏洞、等待patch、安排更新、測試和再次驗證，但現在，攻擊者可能在AI找到漏洞後幾分鐘內，就發動攻擊。Jay Upchurch坦言，「漏洞管理再也不一樣了。」也因此，SAS開始用AI進行漏洞掃描、安全檢測和弱點管理，要跟上AI發現漏洞的速度。 <a href="https://www.ithome.com.tw/news/176027">新加坡政府公布AI代理沙盒測試結果，評估公共服務應用效益與治理風險</a> 為了解AI代理能否實際用於公共服務，以及導入前需要處理哪些風險，新加坡網路安全局（Cyber Security Agency of Singapore，CSA）、新加坡政府科技局（Government Technology Agency of Singapore，GovTech Singapore）與新加坡資訊通信媒體發展局（Infocomm Media Development Authority，IMDA）於5月20日共同發布AI Agents Sandbox白皮書，揭露與Google合作的沙盒測試成果。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=162917&SPOKE_DATE=20260521&COMPANY_ID=3131">半導體廠弘塑公布勒索軟體攻擊事故調查結果，損失約2,200萬元</a> 半導體濕製程設備製造商弘塑科技（3131）於5月21日發布資安重訊，指出4月10日資訊系統遭勒索軟體攻擊事故的後續處理情形。該公司表示，當下察覺網路異常立即中斷公司網路對外連結，並借助外部專業團隊復原營運所需資料。本次事故對公司生產及進出貨未造成重大影響，公司商業機密及重要資訊迄今未發現外洩，但這起事故還是造成損失，主要在報廢及修復受影響之軟硬體設施，再加上聘請外部專業團隊及復原資料的費用，估計金額約為2,200萬元。 近期資安日報 <a href="https://www.ithome.com.tw/news/176020">【5月21日】近兩個月研究人員公布的零時差漏洞已能串成攻擊鏈</a> <a href="https://www.ithome.com.tw/news/175981">【5月20日】CISA驚傳暴露AWS GovCloud金鑰與內部系統憑證</a> <a href="https://www.ithome.com.tw/news/175933">【5月19日】Linux核心再傳Copy Fail新變種漏洞</a> </div></div></div>
5/22 15:23作者周峻佑https://www.ithome.com.tw/news/176053
Linux作業系統存在權限提升漏洞PinTheft，攻擊者可在Arch Linux取得root權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">本週V12資安團隊於GitHub公布新的Linux核心本機權限提升（LPE）漏洞<a href="https://github.com/v12-security/pocs/tree/main/pintheft">PinTheft</a>，Linux核心開發團隊收到他們的通報後已完成修補，目前沒有登記CVE編號。 此漏洞出現在Reliable Datagram Sockets（RDS）通訊協定，問題源於零複製（zerocopy）傳送路徑。原本rds_message_zcopy_from_user()會逐一釘選（pin）使用者的頁面，然而只要過程中出現異常，錯誤的路徑會捨棄已釘選的頁面，後續的RDS訊息清理作業又會再次清除這些頁面，因為在零複製通知器被清除後，散列清單條目及其計數器仍保持有效，結果導致只要有零複製訊息發送失敗，就有可能從第一個頁面中竊取一個來引用。V12利用io_uring元件進行概念驗證（PoC），並利用小型ELF酬載覆寫頁面快取內容，使得攻擊者只要執行該SUID二進位檔案，就能取得root shell。 關於PinTheft的影響範圍，V12表示，目前只有Arch Linux這個發行版本預設部署相關的RDS核心模組而存在風險，用戶若未使用RDS，最好將其停用；<a href="https://ubuntu.com/blog/pintheft-linux-kernel-vulnerability-mitigation">Canonical在部落格文章指出</a>，此為引用計數造成的錯誤，允許攻擊者以惡意內容汙染頁面快取，根據他們的評估，CVSS評分為7.8，為高風險等級的漏洞，RDS通常運用於高效能運算（HPC）環境，因此影響相對有限，他們確認所有版本的Ubuntu預設配置不受影響，16.04 LTS以前的版本完全不存在PinTheft，Ubuntu 18.04 LTS並搭配Linux核心5.4以上的版本，則透過預設組態進行緩解。 Tharros首席漏洞分析師Will Dormann透過<a href="https://infosec.exchange/@wdormann/116602497250448701">社群網站Mastodon指出</a>，該漏洞確實存在，他在Arch Linux以外的發行版也進行測試，結果在Fedora 44系統當中成功利用PinTheft。 </div></div></div>
5/22 15:05作者周峻佑https://www.ithome.com.tw/news/176044
研究人員揭露存在9年的Linux本機權限提升漏洞CVE-2026-46333
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">資安公司Qualys揭露<a href="https://blog.qualys.com/vulnerabilities-threat-research/2026/05/20/cve-2026-46333-local-root-privilege-escalation-and-credential-disclosure-in-the-linux-kernel-ptrace-path">權限提升漏洞CVE-2026-46333</a>，此問題存在於Linux核心的ptrace路徑，可將權限提升至root，或導致洩露憑證，CVSS風險評為7.1分，Linux核心開發團隊已於5月14日完成修補。值得留意的是，此漏洞由2016年11月發布的Linux核心4.10-rc1版引入，因此影響範圍非常廣泛，而且，已有研究人員已公布概念驗證（PoC）程式碼，用戶應儘速套用相關更新。 此漏洞的問題根源在於Linux核心_ptrace_may_access()函數中的邏輯缺陷，使得攻擊者在取得一般使用者帳號後，就能讀取與外洩敏感資料，並以root權限執行任何命令。Qualys為此製作了4個漏洞利用程式進行驗證，結果在Debian 13、Ubuntu 24.04與26.04、Fedora 43與44等作業系統成功觸發漏洞。Qualys強調，雖然利用此漏洞需要從實際接觸本機，但造成的影響相當嚴重，因為，因為只要攻擊者能使用一般權限shell，都能以此讀取/etc/shadow檔案、竊取SSH主機私鑰，甚至透過劫持的D-Bus連線，進而以root身分執行任意命令。 </div></div></div>
5/22 15:10作者周峻佑https://www.ithome.com.tw/news/176047
Flipper公布Flipper One計畫，要打造最開放ARM電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://blog.flipper.net/flipper-one-we-need-your-help/" target="_blank">Flipper Devices週四（5/21）公布新專案Flipper One</a>，目標是打造全球最開放、文件最完整的ARM電腦，完整支援Linux主線核心（Mainline Linux Kernel）。同時強調這並非知名掌上型工具Flipper Zero的後繼產品，而是一個全新的開放Linux平臺。 Flipper Devices由Pavel Zhovner等人於2019年創立，主要開發開源硬體與資安工具產品。該公司最知名的產品為Flipper Zero，於2020年透過Kickstarter募資推出，售價199美元，支援NFC、RFID、Sub-1GHz無線電、紅外線與GPIO等功能，可用於測試門禁系統、IoT設備與電子訊號。 Flipper Zero後來因可攜式設計與高度擴充能力，在資安研究者、硬體玩家與創客社群間快速走紅，也因外界擔憂其可能被濫用而引發爭議，<a href="https://www.ithome.com.tw/news/156318" target="_blank">甚至曾遭Amazon下架</a>。Flipper迄今已賣出100萬臺Flipper Zero裝置。 Flipper宣稱Flipper One是款與Flipper Zero定位完全不同的產品，兩者主要差異在於應用層級。Flipper Zero偏向近距離通訊與裝置訊號分析，例如NFC、RFID、紅外線遙控器與無線感測器等；Flipper One則聚焦IP網路與Linux運算能力，包括Wi-Fi、乙太網路、5G、衛星通訊與本機AI運算等。Flipper甚至以自訂的Layer 0及Layer 1概念區分兩者，解釋前者研究設備如何傳送訊號，後者則研究資料如何在網路中流動。 在硬體上，Flipper One採用雙處理器架構，包括負責執行Linux系統的8核心Rockchip RK3576處理器，以及一顆Raspberry Pi RP2350微控制器（Microcontroller Unit，MCU）。其中CPU主要負責Linux、AI與高效能運算，MCU則控制顯示器、按鍵與電源管理，因此即使Linux尚未啟動，裝置仍能維持基本操作。 Flipper One內建M.2擴充插槽，使用者可像替電腦加裝配件一樣，額外加入5G網路、更多儲存空間、無線電分析或AI運算能力。亦整合了雙Gigabit Ethernet、Wi-Fi 6E與USB網路，可當成路由器、VPN閘道器或網路分析工具。另計畫支援離線大型語言模型，在沒有網路的狀態下仍能取得設定及操作建議。 Flipper One目前仍處於開發階段，尚未公布上市時間與正式售價。不過共同創辦人Pavel Zhovner對外透露，希望未來價格控制在約350美元左右。 </div></div></div>
5/22 11:56作者陳曉莉https://www.ithome.com.tw/news/176042
【資安日報】5月21日，近兩個月研究人員公布的零時差漏洞已能串成攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176004">針對研究員Chaotic Eclipse公布的多個零時差漏洞，資安公司警告已能串成攻擊鏈</a> 研究人員Chaotic Eclipse先後公布多個零時差漏洞，包括BlueHammer（CVE-2026-33825）、RedSun、UnDefend、YellowKey（CVE-2026-45585）、GreenPlasma，目前微軟僅修補BlueHammer，並公布YellowKey的緩解措施，但資安公司LevelBlue指出，Chaotic Eclipse揭露的5個漏洞，涵蓋取得初始存取管道、權限提升、迴避偵測，以及資料竊取等攻擊階段，幾乎已可視為一套完整的攻擊工具。 <a href="https://www.ithome.com.tw/news/176002">微軟公布BitLocker零時差漏洞YellowKey緩解措施</a> 不滿微軟漏洞通報流程的研究人員Chaotic Eclipse（Nightmare-Eclipse），在微軟發布5月例行安全更新（Patch Tuesday）之後，公布磁碟加密機制BitLocker的零時差漏洞YellowKey，並形容該漏洞幾乎等同於後門，相當危險。5月19日微軟將YellowKey登記為CVE-2026-45585，並指出這是BitLocker安全功能繞過漏洞，該公司提供一系列的緩解措施，包含修改Windows復原環境（WinRE）映像檔、設置BitLocker的PIN碼，以及設置TPM的PIN碼等。 <a href="https://www.ithome.com.tw/news/176009">Drupal修補重大SQL注入資安漏洞，並破例為已停止支援版本發布更新</a> 5月20日內容管理系統Drupal開發團隊發布資安公告，修補超重大等級（Highly Critical）資安漏洞CVE-2026-9082，此為SQL注入類型的弱點，存在於Drupal Core的特定資料庫抽象API，該API的主要功能是清理資料庫所執行的查詢語句，防範SQL注入攻擊。然而若是利用這項漏洞，攻擊者可在搭配PostgreSQL資料庫的Drupal網站進行SQL注入攻擊，可能造成資訊洩露，甚至讓攻擊者提升權限，或是遠端執行任意程式碼。 <a href="https://www.ithome.com.tw/news/176012">CISA暴露的GitHub儲存庫公開844 MB機密資料</a> <a href="/sites/default/files/images/58-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/58-63.jpg" style="width: 300px; float: right;" /></a>美國網路安全暨基礎設施安全局（CISA）上週被發現在GitHub不慎公開一個原應設為限制私有的儲存庫Private-CISA，導致大量機密資料暴露，由於內容含有AWS GovCloud政府雲端服務帳號，以及CISA內部系統憑證，相當危險，而可能成為近期美國政府最嚴重的資料外洩事故，此事經知名資安部落格Krebs On Security報導後，引起外界關注，GitGuardian後續公布更多調查細節，指出這批上傳到GitHub的時間點，可追溯至2025年11月，換言之，相關資料已暴露了約半年。 <a href="https://www.ithome.com.tw/news/176006">Mini Shai-Hulud供應鏈攻擊波及GitHub，近3,800個內部儲存庫遭外洩</a> <a href="/sites/default/files/images/TeamPCP-GitHub-breach-claims-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/TeamPCP-GitHub-breach-claims-63.jpg" style="width: 300px; float: right;" /></a>5月20日GitHub指出，其內部近3,800個原始碼儲存庫遭到未授權存取，起因是一名員工安裝惡意VS Code擴充套件。雖然GitHub並未揭露細節，但外界猜測這是駭客組織TeamPCP針對JavaScript開源工具集TanStack發動供應鏈攻擊的連鎖效應，攻擊沿著開發者工具鏈逐步滲透，最終進入GitHub內部。根據<a href="https://www.bleepingcomputer.com/news/security/github-investigates-internal-repositories-breach-claimed-by-teampcp/">資安新聞網站Bleeping Computer報導</a>，TeamPCP於駭客論壇聲稱從GitHub竊得約4千個內部儲存庫，以底價5萬美元兜售。 <a href="https://www.ithome.com.tw/news/176015">Grafana Labs資安事故調查結果出爐，起因是TanStack事故波及</a> 開放原始碼IT系統監控與分析平臺業者Grafana Labs上週末透露，有網路犯罪集團未經授權存取GitHub儲存庫，下載程式碼庫的資料，然後向其勒索。事隔3天，該公司公布最新調查結果，指出他們是因為遭到TanStack供應鏈攻擊事故波及，因權杖（token）未及時輪換而釀禍。而對於這起事故的影響範圍，先前該公司的認定主要是原始碼的部分，不過他們現在發現，尚有其他資料遭竊，其中包含部分Grafana Labs人員協作與儲存的內部營運資訊、其他業務細節，以及工作業務聯絡人的姓名和電子郵件信箱。 <a href="https://www.ithome.com.tw/news/176016">華為路由器疑似零時差漏洞引發DoS攻擊，盧森堡去年通訊中斷逾3小時</a> 資安媒體The Record報導，去年7月，華為企業級路由器軟體漏洞遭到攻擊，引發歐洲國家盧森堡國營電信公司POST Luxembourg的固網、行動電話，以及緊急通訊，全國性通訊中斷超過3小時，該國檢調單位及警方、資安專家團隊調查後發現，這起事故實際上是駭客將電信公司充當中繼站，並轉送巨量流量。值得留意的是，在事件過後10個月，遭到利用的弱點非但沒有漏洞編號、也未被公開揭露或有任何公開資訊，華為也沒有警告其他同款設備的電信用戶。 <a href="https://www.ithome.com.tw/news/176013">Hitachi Vantara修補Pentaho資料整合與分析平臺重大漏洞，未更新可能導致遠端執行程式碼攻擊</a> Hitachi Vantara近日發布資安公告，修補旗下Pentaho Data Integration & Analytics產品的第三方元件重大漏洞，建議用戶升級至已修補的10.2.0.7與11.0.0.0以上版本。此漏洞源自Pentaho平臺內含的H2資料庫JDBC驅動程式問題，會在JDBC的資料來源管理者建立新連線時產生漏洞，漏洞編號CVE-2025-11159，CVSS嚴重性達9.1分，可能導致攻擊者藉此執行外部指令碼（external script），而得以存取敏感檔案與執行遠端程式碼。 <a href="https://www.ithome.com.tw/news/175977">沙箱函式庫SandboxJS修補CVSS滿分重大漏洞，未更新可能導致執行任意程式碼</a> 在5月初，開源JavaScript沙箱函式庫SandboxJS專案發布資安公告，揭露重大漏洞CVE-2026-43898，攻擊者可藉此突破沙箱限制，直接在主機端執行任意JavaScript程式碼。這個漏洞影響0.9.5版以前的SandboxJS，已在0.9.6版中修補，CVSS達到10.0滿分，問題源自SandboxJS提供沙箱內程式使用的createFunction()函式，其隔離機制存在嚴重缺陷，攻擊者可藉由偽造上下文（context）與物件參數，呼叫主機端的Function建構函式，進而突破沙箱隔離。 <a href="https://www.ithome.com.tw/news/175995">GitLab發布安全更新，修補可能導致執行任意JavaScript程式碼、拒絕服務攻擊的多項重大漏洞</a> 全球主要DevOps開發平臺之一的GitLab，近日發布更新，修補Community Edition（CE）與Enterprise Edition（EE）版的25項漏洞，包含多項重大漏洞，可能導致駭客得以執行任意JavaScript程式碼，或是發動拒絕服務攻擊。GitLab建議採用自行管理（self-managed）版本的用戶儘速升級。這次修補的漏洞中，最嚴重的是CVE-2026-7481、CVE-2026-5297、CVE-2026-6073與CVE-2026-7377等4個，CVSS嚴重性評分均為8.7分。 <a href="https://www.ithome.com.tw/news/175998">Meta平臺占今年1至4月詐騙案件高達8成以上，政府要求強化演算法從源頭攔截詐騙訊息</a> 行政院打擊詐欺指揮中心（打詐指揮中心）指出，Meta旗下Facebook、Instagram與Threads已成臺灣詐騙主要來源管道，占比超過8成，造成財損超過13億元。政府要求平臺必須從演算法與偵測機制著手，採「源頭阻斷」策略，否則不排除修法加重平臺責任與罰則。2026年1月至4月期間，臺灣涉及Meta所屬社群平臺的詐騙案件數為1.4萬件，占比高達84.31%，包含Facebook、Instagram與Threads等平臺造成的財損占比，更達86.2%，金額約13.6億元。 <a href="https://www.ithome.com.tw/news/176005">資安署擴大資安長共識營規模，首度邀集五院建立資安治理共識</a> 面對日益嚴峻的資安挑戰，建立跨機關的資安治理共識已成為國家韌性的關鍵。數位發展部資通安全署近日擴大舉辦「115年度政府機關資安長共識營」，今年最大不同點在於，資安署顯著擴大了參與規模，首度邀請總統府、國安會及立、司、考、監五院資安長共同參與，有別於去年活動對象主要聚焦於行政院所屬機關及地方政府。其用意顯然是為了強化國家資安聯防，使防禦體系從原本的行政體系延伸至全政府層次，藉此化解各機關之間的資安認知落差。 <a href="https://www.ithome.com.tw/news/175935">數發部發表AI人才認定指引3.0，新增AI治理與協作能力</a> 面對生成式AI快速普及與企業導入的需求升溫，數發部發布「AI產業人才認定指引3.0」，進一步擴充AI人才能力架構，新增AI治理素養與AI協作開發等能力項目，並結合大學、民間學習平臺與產業機構，推動AI人才培育生態系。數發部長林宜敬表示，臺灣AI與軟體產業的創新，不應由政府強力主導，而應仰賴民間產業自由競爭。他指出，無論美國或中國，AI產業最終仍是由民間企業帶動，政府更重要的角色是建立適合AI產業發展的環境。 <a href="https://www.ithome.com.tw/news/176000">德國聯邦金融監理總署示警AI與量子運算推升金融業網路風險，將對金融機構加強IT重點檢查</a> 德國聯邦金融監理總署（BaFin）總裁Mark Branson於5月12日舉行年度記者會，將網路空間風險列為金融業重要風險之一。他指出，這類風險不只威脅金融機構本身的穩定，也可能影響消費者能否順利取得金融服務，因此已成為金融監理必須正視的議題。路透社進一步指出，這項背景與AI業者Anthropic開發的Mythos有關；該模型已引發全球銀行業關注，部分美國銀行已取得存取權，監理機關也正檢視相關資安風險，以及金融機構是否已有足夠準備。 <a href="https://www.ithome.com.tw/news/175980">AI開始進入漏洞研究與通報生態，Mozilla、微軟、GitHub與Curl案例受關注</a> <a href="/sites/default/files/images/security-bug-fixes-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/security-bug-fixes-1-63.jpg" style="width: 300px; float: right;" /></a>在AI輔助漏洞發掘推升CVE揭露量的跡象浮現後，另一個更值得觀察的問題是，AI究竟如何進入軟體供應商與開源專案的漏洞研究流程。漏洞情資業者VulnCheck於5月14日發布分析指出，除了多家業者2026年以來的CVE揭露量出現變化，Mozilla、微軟、Apache、Curl與Palo Alto Networks等案例也顯示，AI模型已開始被用於漏洞發掘、驗證與修補。GitHub安全公告資料庫團隊的Madison Oliver Ficorilli指出，2026年1月至3月，GitHub上面的私下漏洞通報量相較於去年10月至12月增加超過4倍。 <a href="https://www.ithome.com.tw/news/175982">Gartner預估2026年全球AI支出達2.6兆美元，AI資安支出增加近1倍</a> 市場研究機構Gartner發布最新全球AI支出預測，2026年全球AI支出將達2.6兆美元，較2025年的1.8兆美元成長47%。從Gartner公布的AI支出分類來看，AI基礎架構規模最大，2025年支出為9,755.8億美元，2026年預估增至1.4兆美元；AI服務支出將從2025年的4,363.5億美元，增加至2026年的5,855.3億美元；AI軟體支出則將從2025年的2,829.0億美元，成長至2026年的4,532.1億美元。其他細項也呈現成長，包括AI資安支出從2025年的259.2億美元，增加至2026年的513.5億美元。 <a href="https://www.ithome.com.tw/news/175999">Confluent強化即時資料串流安全，新增個資防護與安全連線功能</a> IBM旗下資料串流業者Confluent擴增多種功能，當中涵蓋個資偵測與遮蔽，以及Azure Private Link私有連線等功能，讓企業在建置即時AI應用時，可降低敏感資料外洩與公開網路連線風險。針對資料隱私防護的部分，Confluent新增內建機器學習函式，可在即時資料處理工具Flink SQL中偵測並遮蔽個人可識別資訊（PII），讓開發者在資料仍處於串流處理流程時，不必另外撰寫客製程式、串接外部服務，或先把資料搬到資料倉儲，就可處理敏感資料。該項PII偵測與遮蔽功能目前在Confluent Intelligence提供早期存取。 <a href="https://www.ithome.com.tw/news/176008">微軟開放Windows Server 2025用戶使用熱修補功能，進一步推廣Azure Arc混合雲管理架構</a> 微軟近日宣布，正式開放Windows Server 2025用戶透過Azure Arc管理平臺，啟用熱修補（Hotpatch）功能，讓企業可在伺服器系統不需重新啟動的情況下，就能安裝更新程式，減少因此導致服務中斷的頻率與時間。原則上，透過熱修補功能，可將重新開機頻率降為每季一次，可幫助企業資料中心減少系統服務停機時間，並降低系統更新對於VM、叢集、高可用性系統運作的影響。 <a href="https://www.ithome.com.tw/news/176003">微軟個人帳號將開始停用簡訊傳送驗證碼</a> 根據科技新聞網站Windows Latest報導，微軟將開始停用以簡訊作為Windows 11個人版微軟帳號的驗證及帳號回復機制，要求用戶改用通行密鑰等無密碼驗證方式。該公司在網站上說明，簡訊（SMS）為基礎的驗證方式現在已成為詐騙主要來源，微軟希望協助使用者移轉為無密碼帳號、通行密鑰（passkey）和經驗證的電子郵件信箱收取雙因素驗證（2FA）驗證碼，藉此降低威脅同時簡化帳號登入作業。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=172008&SPOKE_DATE=20260520&COMPANY_ID=6606">建德工業發布資安重訊，指出資訊系統遭網路攻擊</a> 5月20日精密工具設備製造商建德工業（6606）於股市公開觀測站發布重大訊息，指出資訊系統疑似遭到網路攻擊，事發當下該公司立即啟動相關防護機制因應。針對這起事故可能造成的影響，該公司根據初步評估，對公司營運無重大影響，目前無個資或機密資料外洩發生的跡象。針對防範未來相關資安事故的做法，建德表示將增加軟硬體設備，以提升資訊安全層級。 近期資安日報 <a href="https://www.ithome.com.tw/news/175981">【5月20日】CISA驚傳暴露AWS GovCloud金鑰與內部系統憑證</a> <a href="https://www.ithome.com.tw/news/175933">【5月19日】Linux核心再傳Copy Fail新變種漏洞</a> <a href="https://www.ithome.com.tw/news/175908">【5月18日】臺灣資安廠商DEVCORE於柏林場Pwn2Own奪冠</a> </div></div></div>
5/21 15:15作者周峻佑https://www.ithome.com.tw/news/176020
【資安日報】5月20日，CISA驚傳暴露AWS GovCloud金鑰與內部系統憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/175968">CISA於GitHub暴露AWS GovCloud金鑰、內部系統憑證</a> <a href="/sites/default/files/images/privatecisa-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/privatecisa-63.jpg" style="width: 300px; float: right;" /></a>根據資安部落格Krebs On Security報導，資安公司GitGuardian發現美國網路安全暨基礎設施安全局（CISA）的公開GitHub儲存庫，存在多個高權限的AWS GovCloud政府雲端服務帳號，以及大量CISA內部系統憑證，由於儲存庫公開的資料透露CISA如何在內部建置、測試及部署軟體，而可能成為近年來美國政府最為嚴重的資料外洩事故，對此，CISA發言人表示，他們已知悉此事並著手調查。此儲存庫被命名為Private-CISA，內容為大量內部CISA與國土安全部（DHS）的憑證與檔案，包括雲端金鑰、權杖（token）、明文密碼、事件記錄，以及其他敏感的CISA資產，疑為承包商維護。 <a href="https://www.ithome.com.tw/news/175954">GitHub內部儲存庫遭未授權存取，官方稱客戶資料未受影響</a> GitHub在社群平臺X證實，該公司正在調查內部儲存庫遭未授權存取事件。目前官方尚未公布事件時間、入侵途徑與受影響儲存庫數量，僅表示尚無證據顯示GitHub內部儲存庫以外的客戶資訊受到影響。該起事件與GitHub內部儲存庫的未授權存取有關，GitHub在這則說明中未提及事件發生時間、入侵途徑、受影響的內部儲存庫數量，也未說明是否涉及憑證、存取權限或內部系統設定等資訊，僅表示正密切監控基礎設施是否出現異常活動。 <a href="https://www.ithome.com.tw/news/175974">微軟破獲惡意軟體簽章服務平臺Fox Tempest</a> <a href="/sites/default/files/images/image-78-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/image-78-63.jpg" style="width: 300px; float: right;" /></a>5月19日微軟宣布成功瓦解自2025年開始運作的惡意軟體簽章服務（Malware-Signing-as-a-Service，MSaaS）平臺，經營者是以經濟利益為動機的駭客團體Fox Tempest，他們濫用微軟的Artifact Signing系統為惡意程式簽章，使其能暫時躲過資安系統的偵測。值得留意的是，由於Rhysida、INC、Qilin、Akira等勒索軟體駭客組織都採用Fox Tempest的服務簽署惡意程式，進而成功入侵全球數以千計的電腦，這項瓦解網路犯罪服務的活動，將重創網路犯罪生態。 <a href="https://www.ithome.com.tw/news/175975">執法行動Operation Ramz查封53臺惡意軟體及網釣伺服器</a> <a href="/sites/default/files/images/77547d076db5-Jordan-photo-3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/77547d076db5-Jordan-photo-3-63.jpg" style="width: 300px; float: right;" /></a>5月18日國際刑警組織（Interpol）宣布，他們在中東及北非13國執法機關的合作之下，於2025年10月至2026年2月28日展開Operation Ramz行動，針對網路釣魚與惡意軟體活動進行調查，並瓦解惡意基礎設施，共逮捕201名嫌犯，另確認有382人涉及從事網路犯罪活動，查扣53臺伺服器，受害者達到3,867人，這也是國際刑警組織首度在中東及北非地區主導的大規模執法行動。 <a href="https://www.ithome.com.tw/news/175961">微軟修改Edge瀏覽器密碼管理機制，避免開機即載入明文密碼</a> 微軟近日宣布修改Microsoft Edge瀏覽器的密碼管理機制，未來瀏覽器啟動時，將不再將所有已儲存密碼以明文（cleartext）載入記憶體，而是改為僅在用戶需要時再進行處理，以降低由此產生的風險。這項變更源自資安研究人員Tom Jøran Sønstebyseter Rønning早先的揭露，指出Edge啟動時，會將所有儲存密碼以明文形式載入記憶體。相較之下，多數Chromium架構的瀏覽器，通常僅在使用者需要的時候，才會解密與載入特定密碼。 <a href="https://www.ithome.com.tw/news/175965">Mozilla發布Firefox 151更新，修補逾30項資安漏洞</a> 5月19日Mozilla基金會發布Firefox版本更新，151版強化新分頁Firefox Home的內容呈現方式，並支援用戶在無須關閉視窗的狀態下，清除無痕瀏覽模式（Private Browsing Mode）的連線階段（session）資料，並強化Standard Enhanced Tracking Protection的反追蹤機制，限縮裝置與瀏覽器所能提供的資訊，同時也修補了31個資安漏洞。高風險漏洞有2個是有關記憶體安全的臭蟲，分別被登記為CVE-2026-8973與CVE-2026-8975，值得留意的是，美國網路安全暨基礎設施安全局授權資料發布單位（CISA-ADP）對這兩個漏洞的CVSS嚴重度評分，都達到9.8（滿分10分）。 <a href="https://www.ithome.com.tw/news/175947">博通修補VMware Fusion高風險漏洞</a> 5月14日博通（Broadcom）發布資安公告，執行在macOS電腦的個人端虛擬化軟體VMware Fusion存在權限提升漏洞CVE-2026-41702，此為SETUID二進位檔運作因檢查時間及使用時間不一致（TOCTOU）造成的弱點，攻擊者在取得非管理員使用者權限的情況下，可用來將權限升級為root，CVSS風險評為7.8分，為高風險等級，影響25H2版的VMware Fusion，博通已發布26H1版予以修補。 <a href="https://www.ithome.com.tw/news/175948">Ivanti修補裝置管理平臺EPM高風險漏洞</a> 資安廠商Ivanti針對裝置管理平臺Ivanti Endpoint Manager（EPM）發布5月例行安全性更新，這次一共修補3項資安漏洞CVE-2026-8109、CVE-2026-8110、CVE-2026-8111，一旦成功被利用，可能導致洩漏資訊、提升權限，或是遠端執行任意程式碼（RCE），該公司發布2024 SU6版更新予以修補。從危險程度來看，這次修補的漏洞有兩個是高風險等級、一個中度風險等級，其中最危險的是CVE-2026-8111，此為SQL注入漏洞，攻擊者在通過身分驗證的情況下，即可遠端執行程式碼，CVSS風險為8.8分。 <a href="https://www.ithome.com.tw/news/175938">PostgreSQL資料庫發布更新，修補11項漏洞與60多項程式錯誤</a> PostgreSQL資料庫全球開發團隊近日發布更新，同步針對所有仍受支援的主要版本提供更新版進行修補，涵蓋14.x、15.x、16.x、17.x與18.x等5個版本，並修補11項漏洞與超過60項程式錯誤。這次PostgreSQL修補的11個漏洞中，最嚴重的是CVE-2026-6637、CVE-2026-6473、CVE-2026-6475與CVE-2026-6477等4個漏洞，CVSS嚴重性評分均為8.8分。 <a href="https://www.ithome.com.tw/news/175932">仍有將近3500臺Wazuh主機未修補執行任意程式碼漏洞，暴露於攻擊風險下，用戶需儘速更新</a> 4月底揭露的開源資安監控平臺Wazuh重大漏洞CVE-2026-30893，可能導致攻擊者在受害者網路上橫向移動、覆寫系統檔案，以及執行任意程式碼，CVSS嚴重性評分達9.9分，Wazuh專案已釋出4.14.4版修補。但時隔超過兩週時間後，仍有大量Wazuh用戶尚未完成修補。依據資安監測組織Shadowserver基金會的掃描資料，截至5月17日為止，仍有多達3,416臺未修補前述漏洞的Wazuh主機，暴露於網際網路上，其中臺灣有19臺。 <a href="https://www.ithome.com.tw/news/175956">Pwn2Own Berlin 2026爆滿，傳出無法報名的研究員報復性揭露漏洞</a> 根據資安新聞網站HackRead報導，在5月14日至16日於資安大型會議OffensiveCon舉辦的漏洞挖掘競賽Pwn2Own Berlin 2026，傳出因主辦單位Zero Day Initiative（ZDI）無法再處理更多參賽隊伍報名，提早於5月7日停止受理，這種現象在Pwn2Own舉行19年以來首度出現。由於許多研究人員未能參與，他們選擇報復性公開漏洞資訊（revenge disclosure），將手上的漏洞資訊直接提供給軟體開發者，並將細節在網路上公開。 <a href="https://www.ithome.com.tw/news/175951">Meta MBBRC首度登臺！祭30萬美元獎金鎖定AI代理等安全</a> Meta近日於臺北舉辦年度Bug Bounty研究者大會（Meta Bug Bounty Researcher Conference，MBBRC），該場活動首度移師臺灣，於5月6日到5月9日舉行。本屆大會匯集來自26國、80多位全球頂尖資安研究人員，其中包含10位臺灣研究人員，共同進行為期數日的技術研討與漏洞挖掘，參與者若發現漏洞，最遲須在5月29日前提交。Meta現場也祭出重金，針對活動期間發現的漏洞，提供最高30萬美元的獎金。 <a href="https://www.ithome.com.tw/news/175962">IBM擴大AI資安工具布局，參與廣泛使用軟體漏洞識別與修補</a> IBM宣布擴大企業資安工具與服務，以因應攻擊者利用先進AI加快偵察、漏洞發現與利用等攻擊流程的趨勢。這次公告涵蓋運用AI輔助漏洞管理的應用程式風險管理平臺IBM Concert、顧問服務IBM Consulting，以及採多代理架構的資安服務IBM Autonomous Security；IBM也參與AI業者Anthropic推動的Project Glasswing，識別與修補廣泛使用軟體的漏洞，並透過協調式揭露、向上游的開放原始碼專案提交修補程式，以及分享最佳實務等方式，將成果回饋給社群。 <a href="https://www.ithome.com.tw/news/175936">多家軟體供應商2026年以來CVE揭露量攀升，Chrome大增563.2%，AI輔助漏洞發掘影響浮現</a> <a href="/sites/default/files/images/2026-cve-trends-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/2026-cve-trends-63.jpg" style="width: 300px; float: right;" /></a>漏洞情資業者VulnCheck於5月14日發布分析指出，2026年以來，多家軟體供應商的CVE揭露數量明顯增加，其中Google瀏覽器Chrome年增563.2%，VMware、Apache、Mozilla、HPE與F5也都出現顯著成長。該公司認為，這波變化與AI輔助漏洞發掘工具逐漸成熟的趨勢相符，但不能將所有成長直接歸因於AI。至於這波漏洞揭露高峰是否會持續下去，還是只是先進AI模型導入不同程式碼庫後形成的短期現象，仍有待觀察。 <a href="https://www.ithome.com.tw/news/175978">面對AI漏洞風暴！資安署籲企業重視基本功，並強調從「預防被打」轉向「迅速復原」</a> 面對先進AI模型引發的資安威脅，已成為各國政府高度關切的重點。例如：美、英、加監理機關與銀行高層，陸續傳出對於相關風險的研討，英國國家網路安全中心（NCSC）亦特別提醒企業，必須先完善內部的漏洞管理機制再嘗試使用AI尋找漏洞。如今臺灣數位發展部資通安全署（資安署）亦發布應對作為，強調在AI用於漏洞挖掘與攻擊的能力快速增長態勢下，政府與企業應強化資安基本功，全面強化數位安全韌性。 <a href="https://www.ithome.com.tw/news/175955">因應AI時代資安風險，Dell整合資料保護平臺並擴展威脅偵測能力</a> 隨著AI工具與AI代理應用快速普及，企業面臨AI驅動攻擊與誤操作風險也同步升高，也讓事故發生後的資料復原能力愈加重要，必須提升復原架構的效率，並確保乾淨可用的複本。針對這方面的需求，Dell在近日舉行的Dell Technologies World大會中，發表新的資料保護平臺PowerProtect One，並為PowerStore與PowerMax等兩大主力儲存產品線，新增Cyber Detect威脅偵測服務。 <a href="https://www.ithome.com.tw/news/175970">NVMe協定啟動後量子密碼學規格更新，因應量子運算時代加密威脅</a> 負責NVMe儲存協定標準制定的NVM Express聯盟近日表示，正著手更新NVMe協定規格，導入後量子密碼學（PQC）支援，以因應未來量子運算對於現有加密技術的威脅。在日前發表的部落格文章中，NVMe管理介面工作組主席John Geldman說明NVMe協定支援PQC的具體方式與時程，包括採用NIST PQC演算法，還將支援長度更大的金鑰、寬度更大的欄位，以及修訂加密協定的定義，以符合NIST與CNSA 2.0等標準的要求。 <a href="https://www.ithome.com.tw/news/175976">微軟預覽伺服器Linux發行版Azure Linux 4.0，可藉此強化安全性</a> 微軟本週在北美開源高峰會（Open Source Summit North America）2026上公布執行於Azure VM上的Azure Linux 4.0預覽版，成為該公司首個執行在雲端伺服器版Linux作業系統。微軟指出，藉由精簡套件、供應鏈透明化強化安全性，並使效能指標從主機到容器一致化。好處是可減少法規限制或敏感性工作負載面臨的攻擊面，且Linux發行版由營運Azure雲端服務的同一團隊維護，也有助於縮小兩個環境的安全空窗。微軟表示，在公開環境開發，並且以上游優先（upstream first）原則貢獻，強化Azure Linux安全性有助於生態體系的擴大。 <a href="https://www.ithome.com.tw/news/175934">Redis推出AI代理情境引擎Iris，提供專為資料安全設計的上下文檢索器</a> 即時資料平臺公司Redis推出Redis Iris，整合5項情境與記憶工具，讓AI代理安全檢索企業資料並保存互動記憶，並透過資料同步、語意快取與搜尋取得更新任務情境。其中新推出、以預覽形式提供的Context Retriever，主要用來讓代理存取結構化企業資料，開發者可先定義資料中的實體、欄位、關係與存取規則，系統再自動產生代理可呼叫的MCP工具。代理執行時會以限定範圍的金鑰驗證身分，只能看到被授權的工具，並透過Redis與Redis Search執行索引查詢，伺服器端也會套用列層級過濾。 <a href="https://www.ithome.com.tw/news/175966">強化臺灣的通訊基礎韌性，遠傳與Amazon Leo合作引進低軌衛星網路服務</a> 遠傳電信宣布與已和Amazon的旗下低軌衛星網路服務Amazon Leo簽署合作協議，成為其在臺灣的授權經銷商，將高速低軌衛星服務引進臺灣市場，未來將鎖定政府及企業客戶，提供高韌性通訊服務。遠傳總經理井琪表示，低地球軌道（LEO）衛星具備廣覆蓋、低延遲特性，能在山區、海域或極端天候等傳統網路不易涵蓋的環境中提供連線能力，也適合海事、農業與礦業等特殊場域需求。遠傳希望透過導入Amazon Leo，進一步強化臺灣的通訊基礎韌性。 近期資安日報 <a href="https://www.ithome.com.tw/news/175933">【5月19日】Linux核心再傳Copy Fail新變種漏洞</a> <a href="https://www.ithome.com.tw/news/175908">【5月18日】臺灣資安廠商DEVCORE於柏林場Pwn2Own奪冠</a> <a href="https://www.ithome.com.tw/news/175857">【5月15日】思科SD-WAN裝置重大漏洞被用於攻擊行動</a> </div></div></div>
5/20 16:31作者周峻佑https://www.ithome.com.tw/news/175981
微軟預覽伺服器Linux發行版Azure Linux 4.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">微軟本週在北美開源高峰會（Open Source Summit North America）2026上<a href="https://opensource.microsoft.com/blog/2026/05/18/from-open-source-to-agentic-systems-microsoft-at-open-source-summit-north-america-2026/" target="_blank">公佈執行於Azure VM上的Azure Linux 4.0預覽版</a>，成為該公司首個執行在雲端伺服器版Linux OS。 微軟同時宣佈為執行於容器最佳化的Linux，名為Azure Container Linux（ACL）全面上線（General Availability，GA），預計6月初擴大部署。微軟指出，<a href="https://forms.cloud.microsoft/pages/responsepage.aspx?id=v4j5cvGGr0GRqy180BHbR4tGI-RsmUBFl6S5RxP0DBtUNUZOUzlGNlZKQlZRUTA1SDVKNktOSjNWSS4u&route=shorturl" target="_blank">Azure Linux 4.0</a>和ACL將提供開發人員為雲端原生和AI應用打造的強化Linux發行版。 微軟在2009年首次將Hyper-V驅動程式2萬多行程式碼開源提供給Linux核心，迄今超過2/3的Azure客戶以Linux為底層執行Kubernetes應用如Microsoft 365、GitHub和OpenAI ChatGPT。 為了讓Azure的主機及容器OS環境得以執行現代化工作負載如AI，微軟公布這兩項作業系統更新。微軟指出，藉由精簡套件、供應鏈透明化強化安全性，並使效能指標從主機到容器一致化。好處是可減少法規限制或敏感性工作負載面臨的攻擊面，且Linux發行版由營運Azure雲端服務的同一團隊維護，也有助於縮小兩個環境的安全空窗。 Azure Linux 4.0由微軟建置與維護，但其核心已由微軟專門的Linux專案改成Fedora、RPM-based Linux發行版，為專為Azure優化的開源免費版。Azure Container Linux則是源自微軟的Flatcar專案，用於執行容器應用。Azure Linux 4.0允許在Azure VM上執行多種應用（如資料庫、網頁伺服器、AI訓練、Web應用）。<a href="https://www.zdnet.com/article/microsoft-releases-its-first-server-linux-distribution-azure-linux-4-0/" target="_blank">ZDNet形容</a>它是微軟首個伺服器版Linux發行版。 最後，微軟強調和Linux生態體系的關係。微軟表示「在公開環境開發，並且以上游優先（upstream first）原則貢獻」，強化Azure Linux安全性有助於生態體系的擴大。 微軟前CEO Steve Ballmer曾經稱Linux是癌（Linux is a cancer）。但該公司之後改擁抱開源，並在2016年<a href="https://www.ithome.com.tw/news/109644" target="_blank">加入Linux基金會</a>，並開始貢獻程式碼及資金給開源社群。微軟並重申其對開源組織的貢獻，包括對OpenSSF、<a href="https://www.ithome.com.tw/news/174480" target="_blank">Alpha-Omega基金會</a>多階段投資，利用AI開源安全方案如代理人技術確保供應鏈安全。微軟也擔任GitHub Secure Open Source Fund基金會的創始夥伴，也是CNCF專案最大公有雲貢獻者及第二大貢獻者，光是上游貢獻就包括Kubernetes、Helm、containerd、Istio和Envoy等專案。而微軟發展並捐出和雲端有關的開源專案還包括Dapr、KAITO、KubeFleet、Radius、Drasi、Copacetic、Dalec、Flatcar、Headlamp、Inspektor等。 </div></div></div>
5/20 15:50作者林妍溱https://www.ithome.com.tw/news/175976
Pwn2Own Berlin 2026爆滿，傳出無法報名的研究員報復性揭露漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">自Anthropic<a href="https://www.ithome.com.tw/news/174898">發布Claude Mythos Preview</a>開始，AI徹底改變原本仰賴人工挖掘漏洞的資安產業生態，連帶原本鼓勵研究人員找出資安漏洞的資安競賽，也出現前所未見的現象。 根據<a href="https://hackread.com/pwn2own-berlin-2026-hits-capacity-hackers-0-days/">資安新聞網站HackRead報導</a>，在5月14日至16日於資安大型會議OffensiveCon舉辦的<a href="https://www.ithome.com.tw/news/175897">漏洞挖掘競賽Pwn2Own Berlin 2026</a>，傳出因主辦單位Zero Day Initiative（ZDI）無法再處理更多參賽隊伍報名，提早於5月7日停止受理，這種現象在Pwn2Own舉行19年以來首度出現。由於許多研究人員未能參與，他們選擇報復性公開漏洞資訊（revenge disclosure），將手上的漏洞資訊直接提供給軟體開發者，並將細節在網路上公開。 之所以無法受理更多參賽隊伍報名，原因主要是比賽的舉行必須有固定的時間表，由於參賽隊伍必須即時展示及利用漏洞，ZDI團隊也要檢查隊伍提供的資料，並提供所需的硬體，然後觀察整個攻擊流程。因此，在3天的賽程裡，ZDI僅能安排有限次數的漏洞利用嘗試。最早警告此事的是Ikotas Labs代表董事辻知希（Satoki Tsuji），<a href="https://x.com/satoki00/status/2053662361983353207">他在社群網站X指出</a>，由於研究人員透過AI發現大量零時差漏洞，導致想要參賽的隊伍暴增，遠超出ZDI規畫，許多握有零時差漏洞的研究人員被拒絕，因此這些無法參賽的團隊，開始公開手上的漏洞。 5月12日資安電子報媒體International Cyber Digest<a href="https://x.com/IntCyberDigest/status/2053802477019906058">彙整了研究團隊因無法參賽即將直接通報及公開的漏洞</a>，其中的<a href="https://xchglabs.com/">Xchg Labs</a>手上握有最多零時差漏洞（86個），涵蓋PyTorch、NVIDIA、Linux KVM、Oracle、Docker、Ollama、Chroma、LiteLLM等領域，該團隊已直接向廠商通報，並在修補程式發布後公布細節；另一名研究員ggwhyp，則握有可攻擊Windows版Firefox的完整漏洞濫用鏈；資安研究員RyotaK傳出花費3週時間嘗試報名，但得到ZDI回復：參賽隊伍已達上限，他們無法再增加比賽的時間。International Cyber Digest指出，根據資安社群的統計，這次想要報名參加Pwn2Own Berlin 2026的研究人員，超過150組。 </div></div></div>
5/20 11:57作者周峻佑https://www.ithome.com.tw/news/175956
Google公布Gemini 3.5 Flash推理模型，主打代理人開發作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">在週二舉行Google I/O 2026大會上，<a href="https://blog.google/innovation-and-ai/models-and-research/gemini-models/gemini-3-5/" target="_blank">Google宣布Gemini 3.5 Flash模型全面上線</a>，主打能讓企業及開發商開發強大代理人，並試圖挑戰OpenAI GPT 5.5及Anthropic Claude Opus 4.7。 3.5 Flash最大亮點是大幅提升開發代理人模型的能力，它是Gemini 3.5系列第一個推出的版本，Google並預告正在內部測試及使用旗艦版3.5 Pro，預定下個月問世。 3.5 Flash是輕量級模型，但在多個推理及程式撰寫等面向上超越更大的模型。它在程式開發和代理人相關標竿測試Terminal-Bench 2.1（76.2%）、GDPval-AA（1656 Elo）及MCP Atlas（83.6%）都超越Gemini 3.1 Pro。 它還越級挑戰旗艦模型OpenAI GPT 5.5及Anthropic Claude Opus 4.7。雖然在程式撰寫測試及綜合推理與知識兩項，仍是由兩個旗艦模型領先，但在AI代理及工具調用標竿測試MCP Atlas中，3.5 Flash得分83.6%，超越GPT 5.5和Claude Opus 4.7（75.3%和79.1%）。其多模態能力尤其突出，在MMMU-Pro及CharXiv Reasoning中它分別取得83.6%及84.2%也超越舊版及競爭對手。Artificial Analysis Intelligence指標及輸出速度象限中，3.5 Flash以分析能力和速度兼具獨居右上象限。 依據其速度和推理、多模態能力，3.5 Flash擅於處理多步驟工作流程、大規模部署子代理（Sub-agents）以及長期運行的複雜任務。新模型配合升級版的Antigravity執行框架成強大引擎，能夠部署多個協同運作的子代理人（Subagents），執行複雜的應用場景任務。在人類監督下，得以執行多步驟工作流程及程式撰寫任務。它能快速規劃、打造和重新嘗試以解決真實世界的問題，不論是開發新應用、維護程式或協助準備財務報表。過去開發人員或稽核者幾天或幾個星期的工作，都能大幅縮短。 Gemini 3.5 Flash目前已全面部署到Gemini App及Google Search的AI模式。其中，Google Search新增的個人AI搜尋代理人Gemini Spark，底層即為3.5 Flash。而在開發人員，新模型已經由開發平臺Google Antigravity及Google AI Studio及Android Studio的Gemini API提供。而企業也可以透過Gemini Enterprise Agent Platform和Gemini Enterprise存取。 <a href="https://siliconangle.com/2026/05/19/google-accelerates-agent-native-software-development-expanded-antigravity-platform/" target="_blank">Google同時公布Antigravity 2.0</a>。它是一款全新獨立桌面應用程式，提供開發者集中工作空間，來引導、自訂和協調代理人，而不需依賴IDE。目前已公布macOS、Linux及Windows版。Antigravity 2.0可<a href="https://antigravity.google/download" target="_blank">在此下載</a>。 </div></div></div>
5/20 10:22作者林妍溱https://www.ithome.com.tw/news/175949
【資安日報】5月19日，Linux核心再傳Copy Fail新變種漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/175919">Linux核心再傳新的權限提升漏洞DirtyDecrypt</a> 繼4月底至5月上旬，陸續有資安廠商與研究人員揭露Linux核心的本機權限提升（LPE）漏洞，而引起廣泛討論，最早出現的是命名為Copy Fail的弱點，後續又出現該漏洞的變種Dirty Frag與Fragnesia，現在有人表示他們一週前向Linux核心開發團隊通報新的變種漏洞。根據資安新聞網站Bleeping Computer報導，V12資安團隊透露新變種漏洞DirtyDecrypt（或DirtyCBC），並公布概念驗證程式碼（PoC），Tharros首席漏洞分析師Will Dormann推測，DirtyDecrypt可能就是4月下旬列入美國國家漏洞資料庫（NVD）的CVE-2026-31635。 <a href="https://www.ithome.com.tw/news/175915">Palo Alto Networks修補防火牆作業系統身分驗證繞過漏洞</a> 5月14日資安公司Palo Alto Networks發布公告指出，防火牆作業系統PAN-OS在啟用雲端身分驗證服務（Cloud Authentication Service，CAS）的情況下，存在身分驗證繞過漏洞CVE-2026-0265，未經身分驗證的攻擊者，經由網路存取就能繞過防火牆的身分驗證控制。此漏洞的CVSS v4.0基礎評分（CVSS-B）為9.2分，但若改為基礎評分加上威脅程度的CVSS-BT評估，風險降為7.2分，無論PA系列的實體設備、VM系列的虛擬防火牆，以及防火牆管理平臺Panorama都受到影響。 <a href="https://www.ithome.com.tw/news/175918">研究人員警告PAN-OS身分驗證繞過漏洞的危險程度恐被低估</a> 上週Palo Alto Networks公布防火牆作業系統PAN-OS身分驗證繞過漏洞CVE-2026-0265，通報此事的研究人員透過社群網站發聲，認為該資安公告可能讓用戶低估漏洞造成的風險。Hacktron AI資安研究員Harsh Jaiswal於社群網站X指出，CVE-2026-0265應為重大（critical）等級的身分驗證繞過漏洞，相當危險，而且它的影響範圍不只有PAN-OS，同時影響同廠牌的VPN系統GlobalProtect。經過測試，該研究員已成功利用這項漏洞進入多家主要公司的VPN環境。針對漏洞細節，他打算本週發布部落格文章說明。 <a href="https://www.ithome.com.tw/news/175914">7-Eleven證實資料被駭，疑外洩加盟店資訊</a> 7-Eleven近日向美國緬因州檢察長辦公室通報資料外洩，並於5月1日以電子郵件通知受影響人員。根據7-Eleven的通知，2026年4月8日該公司發現未經授權第三方人士存取該公司儲存加盟店文件的某些系統，導致資料外洩，不過，他們並未透露受影響人數等其他細節。資安新聞網站SecurityWeek報導指出，惡名昭彰的ShinyHunters於4月17日聲稱握有這家連鎖便利商店龍頭的資料，疑似從其Salesforce系統竊得，資料筆數超過60萬，計畫以25萬美元出售。 <a href="https://www.ithome.com.tw/news/175928">美國最大公立醫院醫療資訊、指紋、信用卡資料被竊走，影響180萬人</a> 全美最大公立醫院體系紐約公立醫院系統NYC Health + Hospitals公告發生系統被駭客存取，致使近180萬人極敏感的醫療資料、指紋、信用卡資訊、帳密及社會安全號碼等被竊走。這起事故在2月被察覺，院方重設所有受影響的帳號，並導入經強化的安全防範。經過調查，攻擊者存取時間為2025年11月25日到2026年2月11日。該院在3月在網上公告此事，他們相信是第三方系統廠商發生安全事件，讓攻擊者得以存取院方的網路及系統，並竊取資料。 <a href="https://www.ithome.com.tw/news/175921">竊資軟體Reaper冒充蘋果、微軟、Google，攻擊macOS用戶並建立後門</a> <a href="/sites/default/files/images/SHub_reaper_3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/SHub_reaper_3-63.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne研究人員發現竊資程式Reaper，冒充蘋果、微軟和Google以攻擊macOS裝置用戶，並竊取其瀏覽器、擴充程式、電子錢包、機密文件。此惡意程式為SHub Stealer變種，使用以微信（WeChat）和線上協作白板Miro安裝程式為誘餌，但手法更複雜，竊取目標也更多。值得一提的是，Reaper感染鏈在每個階段都冒充不同科技大廠。首先，駭客將惡意程式託管在假微軟網域，冒充蘋果安全更新執行，之後經由假的Google軟體更新目錄進行持續性攻擊。 <a href="https://www.ithome.com.tw/news/175893">駭客濫用Langflow漏洞與NATS訊息中介系統，竊取AI與雲端環境存取金鑰</a> 3月底揭露的圖像化大型語言模型（LLM）開發工具Langflow重大漏洞CVE-2026-33017，近日出現新一波攻擊活動，資安廠商Sysdig發布報告指出，駭客正利用這項漏洞結合訊息中介系統NATS，構成新型攻擊手法，竊取AWS雲端憑證及OpenAI、Anthropic等AI服務的API金鑰。這波攻擊的特別之處在於，攻擊者還會部署NATS（Neural Autonomic Transport System）工作節點（Workers），作為指令與資料傳輸通道。 <a href="https://www.ithome.com.tw/news/175927">RubyGems遭遇大規模惡意攻擊，暫停開發者註冊新帳號因應</a> 根據資安新聞網站The Hacker News報導，上週RubyGems儲存庫遭遇大規模攻擊，一度暫停帳號註冊服務作為因應措施。這起事故最早是Mend.io軟體供應鏈安全資深產品經理Maciej Mensfeld社群網站X透露，5月11日他們從RubyGems移除超過120個惡意套件，他認為駭客鎖定RubyGems而來，企圖發動跨網站指令碼（XSS）攻擊，或是進行資料洩露，目標並非一般的使用者。後續RubyGems透露，用於這起攻擊事故的機器人帳號已遭移除，這段期間攻擊者推送超過500個惡意套件，也全數下架。RubyGems在16日宣布，這起事故已獲得解決，他們重新開放帳號註冊。 <a href="https://www.ithome.com.tw/news/175931">針對RubyGems遭遇大規模垃圾套件攻擊事故，傳出駭客的目的是洩露英國政府機關網站資料</a> 資安公司Socket揭露攻擊行動GemStuffer，過程裡駭客使用超過100個Gem套件，不過值得留意的是，與許多供應鏈攻擊不同，這些套件主要用途並非對開發人員散布惡意軟體，而是將RubyGems充當資料傳輸的管道。Socket指出這些套件大多未被開發人員下載，其內含的指令碼，會從英國多個地方政府的入口網站擷取頁面，將收集的回應打包成有效的資料封裝，並利用特定API金鑰將這些資料上傳到RubyGems。 <a href="https://www.ithome.com.tw/news/175929">Cloudflare測試Claude Mythos，串聯多個低風險漏洞形成攻擊鏈</a> <a href="/sites/default/files/images/Cloudflare-Mythos6-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Cloudflare-Mythos6-63.jpg" style="width: 300px; float: right;" /></a>繼英國AI安全研究所（AI Security Institute，AISI）評測Anthropic最新模型Claude Mythos Preview之後，5月18日網路基礎架構及資安服務業者Cloudflare也公布測試結果，指出該模型不僅能找出程式碼漏洞，還能將多個低風險漏洞串聯成可執行的攻擊鏈，並自行撰寫與執行概念驗證（PoC）程式，顯示先進AI在漏洞研究上的能力已明顯提升。Cloudflare表示，Mythos Preview最明顯的進步，在於能將多個低風險漏洞組合成完整攻擊鏈，而非只停留在漏洞描述階段。 <a href="https://www.ithome.com.tw/news/175916">歐盟《網路韌性法案》今年9月施行，產品安全通報時限成法遵門檻，僅四分之一企業將SBOM驗證納入自動化</a> 歐盟《網路韌性法案》（Cyber Resilience Act，CRA）將於2026年9月進入正式施行階段，對準備在歐盟銷售含有軟體、韌體或連網功能產品的企業而言，產品安全已不只是開發流程中的技術問題，也直接牽動法規遵循能力。軟體套件與元件管理平臺業者Cloudsmith發布年度調查報告《Artifact Management Report 2026》指出，，95%的受訪企業已能產出軟體物料清單（SBOM），但只有25%的工程團隊真正把SBOM驗證整合進安全控管流程並加以自動化。 <a href="https://www.ithome.com.tw/news/175808">思科營收成長12%，宣布裁撤近4,000名員工，資安業務持平</a> 網路設備大廠思科（Cisco）近日公布截至4月25日的2026財年第三季財報，該季思科創下158億美元營收，比去年同期成長12%，優於市場預期。思科也宣布，因應AI時代的投資重整，公司將於第四季裁減近4000名員工。其中，在產品營收中，網路業務仍是最大來源，達88.15億美元，成長25%；資安業務為20.08億美元，與去年同期持平；協作業務為10.24億美元，減少1%；可觀測性業務為2.69億美元，成長3%。 <a href="https://www.ithome.com.tw/news/175769">UiPath整合程式開發代理，AI建立的自動化流程也納入企業治理</a> 企業自動化廠商UiPath宣布推出UiPath for Coding Agents，將Claude Code與OpenAI Codex這類AI程式開發代理工具整合進自家平臺，讓企業可用這些工具建立自動化流程，再由UiPath平臺納入測試、部署、執行、權限控管與稽核流程。UiPath for Coding Agents的設計重點，是讓不同部門可使用各自偏好的AI程式開發代理工具，但後續執行與管理仍回到UiPath平臺。UiPath強調，無論自動化流程是由人類開發者建立，或由AI程式開發代理工具產生，都會套用相同的政策執行、操作紀錄、憑證保管、角色權限與執行階段控制。 <a href="https://www.ithome.com.tw/news/175730">GitLab啟動Act 2策略調整，改造AI代理開發平臺並縮減人力</a> GitLab執行長Bill Staples宣布啟動名為Act 2的組織重整與產品策略調整，核心方向是因應AI代理參與軟體開發後，程式碼提交、合併請求與CI/CD流程可能從人類速度轉向機器速度。Act 2策略延續GitLab今年1月所宣布GitLab Duo Agent Platform正式可用的方向，主打在軟體開發生命周期中協調AI代理，涵蓋規畫、程式碼、CI/CD與安全等工作，並提供Planner Agent、Security Analyst Agent與自訂代理等能力。 <a href="https://www.ithome.com.tw/news/175887">Raindrop AI推出開放原始碼工具Workshop，支援AI代理本機除錯與評估</a> 代理式AI逐漸進入程式開發流程，也讓AI代理的除錯、追蹤與評估成為新的開發課題。可觀測性新創業者Raindrop AI推出開放原始碼工具Workshop，定位為AI代理本機除錯與評估工具，可將AI代理執行過程中的追蹤記錄，即時串流到瀏覽器介面，協助開發者檢查AI代理執行過程中的大型語言模型呼叫、工具呼叫、決策過程，以及發生錯誤的原因。 <a href="https://www.ithome.com.tw/news/175766">Anthropic為Claude for Legal新增外掛、MCP連接器</a> 4月Anthropic推出以Claude Opus 4.7為基礎開發法務人士專用的AI代理工具Claude for Legal，5月中旬該公司再為這工具新增外掛（plugin）及MCP整合連接器進一步強化其功能。其中，新增外掛有12項，包括法規法務類、隱私法務類、處理和隱私法規（如GDPR）、訴訟法務，以及學習及其他法務行政等。此外，本次Claude for Legal新增20多項MCP連接器，能串接更多外部應用程式，如DocuSign、Ironclad、Box等。 <a href="https://www.ithome.com.tw/news/175925">WD為硬碟韌體保護導入後量子數位簽章技術，硬碟安全進入抗量子時代</a> WD近日宣布推出業界首款支援PQC的硬碟Ultrastar DC HC6100 UltraSMR，針對硬碟的安全開機程序（secure boot）與韌體層級，引進基於PQC演算法的數位簽章，強化硬碟底層的安全。WD這次是針對硬碟韌體與開機程序層級，提供PQC密碼學保護技術的升級，導入ML-DSA-87（NIST FIPS 204）PQC數位簽章演算法，以預防日後攻擊者利用量子電腦破解RSA/ECC數位簽章、透過偽造韌體更新的數位簽章，以散布惡意韌體。 <a href="https://www.ithome.com.tw/news/175909">經濟部推行動工商憑證，讓手機化身「數位大小章」，瞄準企業授權與金融應用</a> <a href="/sites/default/files/images/20260518_142004-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/20260518_142004-63.jpg" style="width: 300px; float: right;" /></a>為推動企業數位身分與商務流程的行動化，經濟部商業發展署正式推出「行動工商憑證」服務，讓企業不再受限於讀卡機與IC實體卡片，只要透過手機即可完成身分驗證、數位簽章與授權作業。經濟部表示，未來手機將成為企業的「數位大小章」，除可應用於公司登記、報稅與政府補助申請，甚至可延伸到證券下單、企業金融與保險等場景。對於外界關心的安全問題，行動工商憑證強調安全性比實體卡更高。憑證會儲存在手機的安全儲存區中，無法被匯出或複製，同時結合手機生物辨識，例如指紋或臉部辨識驗證。 <a href="https://www.ithome.com.tw/news/175926">【臺灣資安大會直擊】電信流量揭臺灣企業AI風險：7成大型企業封鎖中國模型，6萬家陷資安隱憂</a> 當政府持續示警中國AI模型存在過度蒐集資料、內容偏誤，甚至容易在開發過程中生成惡意程式碼等資安風險時，臺灣企業內部的真實使用情況究竟如何？中華電信近期首度揭露一項驚人的企業觀測統計：在全臺約30萬家企業線路中，AI工具的滲透率已高達66％，意即有近20萬家臺灣企業的員工正在使用AI工具。然而，其中更有超過6萬家企業，正因員工私下使用AI工具而形成的影子AI現象，暴露於具備資安爭議的中國AI模型風險之中。 <a href="https://www.ithome.com.tw/news/175863">【2026 CIO&CISO大調查】臺灣企業積極布局代理式AI與DevSecOps</a> 關於2026年臺灣企業軟體開發策略布局的轉變，代理式AI與DevSecOps成為企業最重視的兩大方向。根據iThome《2026 CIO & CISO大調查》顯示，今年企業開發模式出現明顯變化，其中代理式AI的採用率成長幅度最大，較去年增加15個百分點；其次則是結合安全機制的DevSecOps，採用率由去年的9％提升至16％，增加7個百分點。相較之下，傳統DevOps採用率僅增加1個百分點，成長幅度並不高。 近期資安日報 <a href="https://www.ithome.com.tw/news/175908">【5月18日】臺灣資安廠商DEVCORE於柏林場Pwn2Own奪冠</a> <a href="https://www.ithome.com.tw/news/175857">【5月15日】思科SD-WAN裝置重大漏洞被用於攻擊行動</a> <a href="https://www.ithome.com.tw/news/175803">【5月14日】Exim修補可導致任意程式碼執行的重大漏洞</a> </div></div></div>
5/19 14:51作者周峻佑https://www.ithome.com.tw/news/175933
多家軟體供應商2026年以來CVE揭露量攀升，Chrome大增563.2%，AI輔助漏洞發掘影響浮現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.vulncheck.com/blog/ai-assisted-vulnerability-discovery" target="_blank">漏洞情資業者VulnCheck於5月14日發布分析指出</a>，2026年以來，多家軟體供應商的CVE揭露數量明顯增加，其中Google瀏覽器Chrome年增563.2%，VMware、Apache、Mozilla、HPE與F5也都出現顯著成長。該公司認為，這波變化與AI輔助漏洞發掘工具逐漸成熟的趨勢相符，但目前仍屬初步跡象，尚不能將所有成長直接歸因於AI。 VulnCheck表示，自2026年初以來，該公司的漏洞回報服務收到大量提交通報，起初部分通報內容品質不高，但近幾個月回報品質已明顯改善，且整體數量並未減少。到了4月7日，AI模型業者Anthropic宣布Project Glasswing與Claude Mythos Preview後，相關討論也迅速聚焦於AI輔助漏洞發掘可能帶來的影響。 這也引發資安產業關注，AI輔助漏洞發掘究竟已發展到多大規模，以及這樣的變化會如何反映在公開漏洞揭露數量上。為了進一步掌握這類變化，VulnCheck研究人員開始追蹤疑似由Anthropic模型發掘的CVE，並整理相關清單，並回顧過去5年20家主要CVE編號授權機構（CVE Numbering Authorities，CNA）的CVE核發量。 <img alt="" src="/sites/default/files/images/2026-cve-trends.png" style="width: 600px;" /> 圖片來源／VulnCheck 從主要軟體供應商的CVE統計圖表來看，2026年截至目前的揭露量並未全面同步上升，而是呈現明顯差異。若以揭露總量來看，Linux核心專案網站kernel.org以1,617筆居冠，但較去年同期減少21.3%；微軟則有597筆，年增18%。若以年增幅觀察，Chrome今年已揭露378筆CVE，年增563.2%；Mozilla為185筆，年增156.9%；VMware為59筆，年增180.9%；Apache為200筆，年增170.3%；HPE為72筆，年增132.3%；F5為62筆，年增113.8%。此外，QNAP年增560.0%、Canonical年增700.0%、TP-Link年增8,000%，雖然揭露總量相對較低，但增幅同樣明顯。 另一方面，Apple年減18.4%、IBM年減26.4%、Qualcomm年減47.5%、Intel年減50.0%、Fortinet年減38.9%，SAP與Android則持平，顯示不同供應商之間的揭露變化幅度不一。VulnCheck表示，這些跡象似乎顯示，新一代AI模型可能已讓軟體供應商與資安研究人員得以找出並修補更多原本可能被忽略的漏洞，但現階段仍難以將所有變化直接歸因於AI。 對企業而言，VulnCheck建議應假設漏洞回報與待處理清單可能持續增加，因此更需要提早修補、盡快更新版本，並搭配威脅情報，優先處理已出現實際濫用跡象，或高度可能遭利用的新興威脅。至於這波漏洞揭露高峰是否會持續下去，還是只是先進AI模型導入不同程式碼庫後形成的短期現象，仍有待觀察。 </div></div></div>
5/19 15:57作者王珮瑤https://www.ithome.com.tw/news/175936
Linux核心再傳新的權限提升漏洞DirtyDecrypt
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">繼4月底至5月上旬，陸續有資安廠商與研究人員揭露Linux核心的本機權限提升（LPE）漏洞，而引起廣泛討論，最早出現的是命名為<a href="https://www.ithome.com.tw/news/175481">Copy Fail</a>（CVE-2026-31431）的弱點，後續又出現該漏洞的變種<a href="https://www.ithome.com.tw/news/175646">Dirty Frag</a>（<a href="https://www.ithome.com.tw/news/175672">CVE-2026-43284與CVE-2026-43500</a>）、<a href="https://www.ithome.com.tw/news/175850">Fragnesia</a>（CVE-2026-46300），現在有人表示他們一週前向Linux核心開發團隊通報新的變種漏洞。 根據<a href="https://www.bleepingcomputer.com/news/security/exploit-available-for-new-dirtydecrypt-linux-root-escalation-flaw/">資安新聞網站Bleeping Computer報導</a>，V12資安團隊透露在5月9日發現名為<a href="https://github.com/v12-security/pocs/tree/main/dirtydecrypt">DirtyDecrypt</a>（或DirtyCBC）的漏洞，此為Copy Fail、Dirty Frag、Fragnesia的變種，在完成通報後，他們收到Linux核心開發團隊回覆，表示這是重複通報的弱點。對此，V12在確認該漏洞已得到修補後，公布了概念驗證程式碼（PoC），並指出此漏洞形成的原因，在於rxgk_decrypt_skb缺少COW保護機制，導致rxgk頁面快取可被寫入。<a href="https://infosec.exchange/@wdormann/116590183546060687">Tharros首席漏洞分析師Will Dormann推測</a>，DirtyDecrypt可能就是4月下旬列入美國國家漏洞資料庫（NVD）的<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-31635">CVE-2026-31635</a>，Linux核心開發團隊於4月8日與18日多次提交修補程式碼。 不過，有別於上述提及的Copy Fail、Dirty Frag、Fragnesia廣泛影響所有常見的Linux發行版，Dormann認為DirtyDecrypt影響較為有限，因為利用此弱點須具備特定條件，<a href="https://infosec.exchange/@wdormann/116590860115662310">那就是作業系統存在CONFIG_RXGK元件</a>，而大部分的發行版並未包含。經過測試，Dormann發現Fedora受到DirtyDecrypt影響，其他執行主要版本（Mainline）Linux核心的發行版，也可能受到影響。<a href="https://infosec.exchange/@decio/116590741505627020">另一名資安人員Decio指出</a>，執行Linux核心7.0的環境會受到影響，攻擊者可藉此取得root權限；不過，他在搭載6.8版核心的Ubuntu 24.04進行驗證，確認不受影響。針對存在漏洞風險的Linux環境，Dormann呼籲用戶應儘速安裝新版Linux核心因應；若是無法及時修補，可<a href="https://infosec.exchange/@wdormann/116591857330104400">套用Dirty Frag的臨時緩解措施</a>因應。 </div></div></div>
5/19 11:16作者周峻佑https://www.ithome.com.tw/news/175919
Bun核心程式碼轉向Rust，重寫成果已併入主分支
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">JavaScript執行環境Bun的核心程式碼正轉向Rust，Bun專案將名為<a href="https://github.com/oven-sh/bun/pull/30412">Rewrite Bun in Rust的大型拉取請求併入主分支</a>，讓該重寫工程進入主分支後續開發階段。根據Bun主要作者Jarred Sumner在X平臺的<a href="https://x.com/jarredsumner/status/2053047748191232310?s=20">說法</a>，Rust提供的型別與生命周期檢查，可讓編譯器協助預防部分記憶體錯誤，減少團隊處理記憶體洩漏、崩潰與穩定性問題的負擔。 Jarred Sumner表示，Rust重寫版本在Linux x64 glibc環境中，已通過Bun既有測試套件的99.8%。他也提到，重寫後大致仍是相同程式碼基礎，但現在可以由編譯器協助檢查型別的生命周期，並在需要時使用解構子處理資源釋放，而原本較難處理的部分也會以unsafe標示出來，讓需要重構的程式碼更容易被看見。 Bun原本以Zig語言開發，並採用Apple開源的JavaScriptCore作為JavaScript執行引擎，可同時作為JavaScript執行環境、套件管理器與測試工具，讓開發者在部分情境下以Bun取代Node.js。 Jarred Sumner說明重寫原因時提到，他已厭倦持續擔心並花費大量時間修正記憶體洩漏、崩潰與穩定性問題，希望程式語言本身能提供更強的預防工具。他另稱，這次重寫規模約96萬行程式碼，Linux測試套件已能通過，其他平臺也將接續跟進，後續還會分享重構對Bun的效能、記憶體使用與可維護性等部分造成的影響。 從目前狀態來看，Bun已將Rust重寫成果併入主分支，但Jarred Sumner也提醒，這項工作在進入非Canary版本前仍需進行最佳化與清理。也就是說，Rust重寫雖已進入主線開發流程，但穩定版Bun還未全面改用Rust。 另外，除了Bun核心以Rust重寫的資訊，官方還釋出<a href="https://bun.com/blog/bun-v1.3.14">Bun 1.3.14</a>版本，更新包括新增圖片處理功能Bun.Image，加入全域虛擬套件儲存機制，讓不同專案的套件透過符號連結指向全域儲存位置，減少重複複製套件檔案，也替Bun.serve加入實驗性HTTP/3支援，並重寫檔案變更監看功能。該版本也升級JavaScriptCore，改善執行環境底層相容性與效能表現，並縮小Linux與Windows版Bun可執行檔體積，macOS版變化則不大。 </div></div></div>
5/18 15:20作者李建興https://www.ithome.com.tw/news/175896
Raindrop AI推出開放原始碼工具Workshop，支援AI代理本機除錯與評估
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">代理式AI逐漸進入程式開發流程，也讓AI代理的除錯、追蹤與評估成為新的開發課題。可觀測性新創業者Raindrop AI推出開放原始碼工具Workshop，定位為AI代理本機除錯與評估工具，可將AI代理執行過程中的追蹤記錄，即時串流到瀏覽器介面，協助開發者檢查AI代理執行過程中的大型語言模型呼叫、工具呼叫、決策過程，以及發生錯誤的原因。 <a href="https://github.com/raindrop-ai/workshop" target="_blank">Workshop採MIT授權釋出</a>，官方提供macOS與Linux的一鍵安裝方式，GitHub Releases頁面也提供Windows x64可執行檔。<a href="https://venturebeat.com/technology/developers-can-now-debug-and-evaluate-ai-agents-locally-with-raindrops-open-source-tool-workshop" target="_blank">根據VentureBeat報導</a>，Workshop以本機常駐服務程式搭配使用者介面運作，預設可在localhost:5899開啟介面，並將每個權杖、工具呼叫與決策寫入單一SQLite資料庫檔案，讓開發者可在本機檢查AI代理在哪個步驟出錯、何時出錯，以及可能的失敗原因。 <a href="https://www.raindrop.ai/blog/introducing-workshop/" target="_blank">Raindrop在官方部落格指出</a>，AI代理除錯的困難在於，失敗原因經常藏在多層巢狀的span（追蹤區段）記錄。開發者只能查看終端機輸出，或必須仰賴延遲呈現的SaaS儀表板，最後仍要手動閱讀大量追蹤記錄並撰寫評估測試。Workshop則提供兩種介面，一是本機即時追蹤記錄檢視器，二是透過模型上下文協定（MCP）連接Claude Code，讓AI程式開發代理讀取同一批追蹤記錄。 這套工具另一項重點，是Raindrop稱為「自我修復評估循環」的機制。當AI代理執行失敗，Workshop會保留完整執行軌跡，Claude Code可讀取這些記錄，依據實際失敗案例產生評估測試，找出提示詞或程式碼中的邏輯問題，再重新執行代理，直到測試條件通過。Raindrop強調，這種做法讓開發者可根據實際發生過的故障進行測試，而不是自行推測可能情境。 在相容性方面，Raindrop說明Workshop支援TypeScript、Python、Go與Rust，並可整合Vercel AI SDK、OpenAI Agents SDK、Anthropic SDK、Claude Agent SDK、LangChain、LangGraph與CrewAI等SDK與框架，也能搭配Claude Code、Codex、Devin、Cursor與OpenCode等程式開發代理使用。Raindrop另指出，Workshop沿用與其正式環境除錯體系相同的追蹤架構。 </div></div></div>
5/18 11:49作者王珮瑤https://www.ithome.com.tw/news/175887