iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 4篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 16:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

俄羅斯國家級駭客攻擊關鍵基礎設施，13國呼籲強化路由器防護因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全與基礎設施安全局（CISA）於7月13日，<strong><a href="https://www.ithome.com.tw/news/177281">將CVE-2008-4128列入已遭利用的漏洞列表（KEV）</a></strong>，並緊急要求聯邦機構必須在3天內完成修補，這樣的情況對於一個已公布接近20年的老舊弱點而言相當罕見。而這個漏洞被加入KEV且要求美國所有政府機關必須在短時間內採取行動，很可能與同一天發布的聯合公告有關。</p> <p>美國國家安全局（NSA）、CISA、FBI，與澳洲、紐西蘭、英國、捷克、丹麥等12個國家的資安機構與軍情單位<strong><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-194a">聯手提出警告</a></strong>，俄羅斯聯邦安全局（FSB）第16單位（Center 16）旗下的多個駭客團體，持續鎖定全球組態設定不佳或存在弱點的網路設備，破壞多個關鍵基礎設施的網路環境，範圍涵蓋電信、國防工業基地、能源、金融服務、政府服務與設施、醫療保健與公共衛生等領域。這些被盯上的網路設備主要是路由器，他們透過SNMP協定尋找下手目標。但除了一般的路由器，這些執法機關也提及駭客針對思科IOS與IOS XE的平臺的情形，其中利用的弱點已確定有2個，分別是剛被加入KEV的CVE-2008-4128，以及重大等級的CVE-2018-0171。</p> <p>對此，執法機關呼籲關鍵基礎設施業者採取行動因應，包括實作第3代SNMP通訊協定（SNMP v3）、使用高強度的安全密碼、停用Cisco Smart Install功能，並於防火牆封鎖SNMP、TFTP、SMI等通訊協定。</p> </div></div></div>
7/14 11:51作者周峻佑https://www.ithome.com.tw/news/177289
【臺灣資安大會直擊】從一場虛擬紅隊演練，解構紅隊與藍隊的攻防作為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>對於許多企業而言，每一次進行紅隊演練時，委外的紅隊面對企業內部堅守防禦陣營的藍隊，往往是敵對的狀態，攻擊方想方設法透過內部橫向移動，取得管理員權限，進而建立永久後門並外洩資料；而防守方在面對資訊不對稱的情況下，往往只能被動迎擊，即便無法在第一時間掌握紅隊攻擊的手法和進度，但仍盡可能透過各種蛛絲馬跡找到被入侵的證據，並在有限的資源下，確保企業內重要關鍵資產的安全性。</p> <p>即便紅隊與藍隊因為攻守的立場不同形成對峙的局面，但日前在臺灣資安大會（CYBERSEC 2026）戴夫寇爾（DEVCORE）執行長翁浩正（Allen Own），以及現任美商企業臺灣資安長的陳浩維（HW Chen）共同發表演講，這兩位相識超過二十年好友，在此進行一場虛擬紅隊演練的現場對談。</p> <p>翁浩正提到，他們兩人最早是在網路上的駭客與資安討論區彼此結識；爾後在2007年共同創立輔仁大學的NISRA資安社團，被視為臺灣校園資安社群最早的雛形之一。之後，翁浩正留在臺灣持續深耕，於2012年創立以滲透測試與紅隊服務為核心的戴夫寇爾（DEVCORE）；陳浩維則選擇出國深造，並加入Amazon打造企業內部的藍隊與資安應變團隊，之後轉戰韓國電商巨頭Coupang擔任臺灣資安長，直到今年初才返臺服務。</p> <p>兩位二十年好友，在資安產業同行，從駭客社群相識到攻防兩端各自紮根，兩人不約而同認為，資安不該只是個人或單一企業的責任，而是必須仰賴整個產業與政府協力，才能真正墊高臺灣的整體防禦韌性。</p> <h1><span style="color:#B22222;">第一週的資訊蒐集與資產盲區：一場虛擬紅隊演練</span></h1> <p>為了讓現場聽眾能更具體理解攻防兩端，在同一時間軸上各自看到什麼、又各自在忙什麼，兩人以一個虛構情境切入：陳浩維扮演企業資安長的角色，委託翁浩正的紅隊團隊執行為期一個月的滲透演練。</p> <p>翁浩正說明，紅隊在正式取得任何存取權限之前，第一週的重點是在不驚動防禦方的前提下，盡可能完整地盤點企業的外部攻擊面。</p> <p>具體做法包括透過憑證透明度紀錄（Certificate Transparency Log）追出企業所有歷史子網域，利用Shodan、Censys等工具，以SSL憑證指紋、favicon雜湊值（favicon hash）與自治系統編號反查對外資產；並透過被動式DNS紀錄，找出那些對外已經下線、卻仍在網路上存活的IP位址。</p> <p>此外，從翁浩正的實務經驗也發現，只要在GitHub進行程式碼搜尋，往往能挖出企業員工或前員工不慎外洩的設定檔與commit紀錄，甚至包括離職員工的個人帳號。</p> <p>他也直言，如今許多企業與外包廠商的工程師習慣直接在公開的GitHub儲存庫上進行開發與版本控管，無意間就把公司網域名稱、內部信箱與員工姓名一併攤在陽光下，成為攻擊者最初也最容易取得的情資來源。</p> <p>相對地，陳浩維從防禦方的角度指出，當時企業內部正利用攻擊面管理工具執行盤點，VPN伺服器雖然也被列入清查範圍，但因為仍需維持正常服務而未被真正凍結。</p> <p>他說，更關鍵的是，憑證透明度紀錄的監控並未被納入資安維運中心（SOC）的例行盤點項目，VPN帳號密碼的安全性也未曾被稽核，加上部分漏洞獎勵計畫（Bug Bounty Program）通報的漏洞尚未完成修補。</p> <p>因此，他強調，這個階段真正該做的功課，是強化外部漏洞風險的防護、主動進行OSINT內部資訊的清理，以及補齊日誌監控的完整性。「否則這些看似細瑣的資產缺口，終將成為攻擊者長驅直入的起點。」他說。</p> <h1><span style="color:#A52A2A;">第二週的合法入侵：弱密碼撞庫與VPN滲透</span></h1> <p>進入第二週，紅隊的目標從單純蒐集外部情報，轉為取得一個能被系統認可的合法身分，藉此進入企業內網。</p> <p>翁浩正說明，團隊會從公開的資料外洩資料庫中，篩選出符合企業網域信箱格式的帳號紀錄，藉此掌握員工在其他網站重複使用的弱密碼；同時，團隊也會從GitHub程式碼裡挖出可用的弱密碼，進而找到維護廠商所使用的帳號密碼組合。</p> <p>為了避開防禦方的告警機制，紅隊採取低速、分散式的撞庫策略，刻意拉長間隔並分散來源IP位址，最終成功以外包廠商的合法帳號登入VPN。</p> <p>陳浩維則從藍隊視角補充，當時企業其實已經部署VPN暴力破解偵測機制，但由於攻擊者刻意壓低每個IP位址的嘗試次數，使得偵測門檻始終未被觸發；系統雖然也設有異常地理位置登入的告警，但攻擊者使用的常駐代理IP位址，在偵測系統眼中與合法的家用網路幾乎無異。</p> <p>他表示，更令人憂心的是，維護廠商人員的多因素驗證（MFA）政策僅止於「建議」而非強制，導致這道原本應該存在的最後防線形同虛設，使得一連串異常行為始終沒有觸及任何已定義的偵測規則。</p> <p>陳浩維指出，這正是防禦方必須優先補強的環節，唯有將偵測機制持續優化，並在零信任架構下真正強制導入多因子驗證，才能讓合法帳號被冒用的門檻大幅提高。</p> <h1><span style="color:#B22222;">第三週的橫向移動與示警：從外包工作站到網域控制器</span></h1> <p>接著是第三週，紅隊的目標從一個委外帳號，擴張成整個網域的管理員權限。翁浩正描述，團隊先透過VPN進入內網，並在外包人員的工作站上完成落地，接著使用SharpHound工具建立完整的Active Directory（目錄服務）攻擊圖，盤點權限結構、群組關係與可能的攻擊路徑。</p> <p>攻擊團隊隨後找到一組因群組原則偏好設定（Group Policy Preferences）漏洞，而暴露在SYSVOL中的服務帳號密碼，並發現多臺主機共用同一組本機管理員密碼，因此得以透過Pass-the-Hash這種直接傳遞 Hash，而不是輸入密碼的攻擊技術，橫向移動（Lateral Movement）至網域控制器，最終取得整個Active Directory資料庫（NTDS.dit）的密碼雜湊值。</p> <p>翁浩正坦言，這是許多進階持續性威脅（APT）組織慣用的手法，而企業方往往因為某一臺主機設定疏漏，就讓整條攻擊鏈路一路暢通無阻。值得慶幸的是，防禦方這次並非全然無所察覺。</p> <p>陳浩維進一步說明，此時企業的資安人員注意到，有一個名為jenkins-build的服務帳號出現行為異常，包括：平常只在固定時段、固定主機上運作，卻突然出現在不該出現的伺服器上，且登入時間落在非上班時段。</p> <p>藍隊隨即啟動初步調查後發現，外包工程師的工作站存在異常的PowerShell活動，於是立即隔離該工作站、重設外包帳號密碼，並著手檢視端點行為紀錄、追查橫向移動路徑、停用相關帳號。</p> <p>陳浩維特別提醒，一旦發現攻擊者已經滲透至此，防禦方不能只滿足於處理眼前這一個異常事件，而必須同步啟動更大範圍的調查，釐清這名外包人員的足跡為何會出現在不該出現的位置，並比對是否還有其他相似的行為模式潛藏在其他主機之中。</p> <h1><span style="color:#B22222;">第四週建立持久後門：憑證濫用與資料外傳</span></h1> <p>到了第四週，紅隊的行動開始出現分歧的兩條線。第一條攻擊路線，是濫用憑證管理系統（Active Directory Certificate Services，ADCS）。</p> <p>翁浩正說明，團隊利用Certify工具列出企業內所有憑證範本，找到一個設定錯誤的範本，一個在任何網域使用者都能申請、申請者可自行指定主體別名（Subject Alternative Name，SAN），且用途涵蓋用戶端身分驗證。</p> <p>攻擊團隊便以一個普通使用者帳號申請憑證，並將主體別名指定為網域管理員的使用者主體名稱（UPN），而憑證管理系統竟同意簽發；紅隊便拿著這張憑證，便能以網域管理員身分取得Kerberos票證授權票證（TGT），進而暢行無阻地存取資料庫、Exchange等任何與Active Directory串接的服務，等同在企業內部埋下一道長期可用的後門。</p> <p>陳浩維坦承，防禦方當時正忙於處理前一週事件的事後檢討（post-incident review），而憑證管理系統的稽核紀錄預設處於關閉狀態；即便啟用，龐大的日誌量，也讓資安人員難以從中識別出真正有意義的異常。</p> <p>他認為，更根本的問題是，企業內部完全沒有工具能夠監控「異常的憑證申請行為」。陳浩維直言，這個環節該做的補強，就是同步優化偵測機制、加強對關鍵資產（crown jewel）的防護強度，並持續保持警戒，不能因為上一起事件已經落幕就鬆懈下來。</p> <p>第二條攻擊路線，則是資料外傳。翁浩正指出，紅隊利用剛取得的網域管理員權限登入資料庫伺服器，刻意不下載大量資料，只取部分樣本以降低被偵測風險，並將敏感資料切片後，編碼成DNS查詢封包，經由內部DNS伺服器這條看似合法的路徑，將資料悄悄送出企業邊界。</p> <p>陳浩維接著說明，這時候的防禦方，原本正忙著撰寫上一起事件的報告並向上呈報，一度誤以為資安危機已經解除、戒備等級隨之降低；儘管企業內部仍保有被動式DNS日誌（ Passive DNS Log），卻沒有規則能夠檢測「同一臺內部主機對外部網域發出大量查詢」這種典型的DNS通道（DNS Tunneling）特徵。</p> <p>他指出，資料外洩防護（DLP）規則雖然能攔截常見的外傳管道，如HTTP POST或電子郵件附件，卻完全沒有涵蓋DNS通道這條隱蔽路徑。最終仍是在演練結束後，由紅隊主動告知，藍隊才知道資料外傳確實曾發生。</p> <p>陳浩維認為，企業這時候，應該根據駭客最常用的資料竊取方式，事先在資安監控系統（如 SIEM、EDR 或 SOC）設定各種偵測規則，一旦出現大量壓縮檔案、異常對外傳輸、使用可疑工具上傳資料、DNS Tunneling 或連線至未知雲端儲存服務等行為，就能即時發出警報，讓資安團隊及早發現並阻止資料外洩。</p> <h1><span style="color:#B22222;">攻防認知落差，造成資訊不對稱下沒有真正贏家</span></h1> <p>整場演練攤開在同一條時間軸上，認知落差便一目瞭然。拆解紅藍隊的作為之後，可以發現紅隊在第一週盤點外部資產、進行公開來源情資蒐集時，藍隊當週的日常情資分析並未發現任何異常。</p> <p>但是，從第二週開始，紅隊已取得員工VPN帳號並合法登入內網，防禦方卻毫無察覺；進入第三週後，紅隊雖已取得網域管理員權限，但行動終於被察覺，藍隊也在同一週偵測到服務帳號異常並啟動事件調查。</p> <p>然而，在第四週，當紅隊透過憑證管理系統建立起永久性的存取後門時，藍隊卻已將該起事件結案、著手撰寫事後檢討報告。</p> <p>翁浩正坦言，這正是一場資訊不對稱的戰爭，因為攻擊方永遠握有先手優勢，防禦方幾乎不可能將所有外部情報一一掌握。但他也強調，藍隊真正的價值，不在於這一次是否完全攔下攻擊，而在於能否藉由每一次資安事件與每一次演練，讓組織變得更強韌。</p> <p>不管是翁浩正或是陳浩維，兩人都不約而同提到「紫隊」（Purple Team）的概念，那就是讓紅隊與藍隊坐下來，逐一比對紅隊行動的時間軸，檢視藍隊究竟在哪些節點真正發現異常、又有哪些節點完全錯過。</p> <p>他們都同意，一起坐下來檢視的目的並非究責，而是讓駭客下一次的攻擊變得更困難。陳浩維特別提醒，面對紅隊演練的結果，企業內部的心態不該是互相究責，而應該正向看待每一次落差，把它當成讓組織變得更強的養分。</p> <h1><span style="color:#B22222;">企業常見四大防禦盲點：心態、資源、組織與演練</span></h1> <p>翁浩正進一步歸納出臺灣企業在資安防禦上常見的四大盲點。首先是心態盲點，像是許多企業誤以為合規等於安全，實際上，通過稽核並不代表萬無一失，「但合規終究只是最低標準而非終點，」他說。此外，過度依賴單一供應商的心態也十分普遍，他指出，有不少企業以為只要採購名列Gartner象限的產品就等於安全無虞，卻無力分辨廠商之間的品質優劣。</p> <p>第二是資源盲點。許多企業的預算大量投入工具設備，卻沒有相應投資在人員身上，機房堆滿各式各樣的資安設備，資安人員卻被排山倒海的告警雜訊淹沒。</p> <p>翁浩正也進一步解釋，紅隊真正發動攻擊時，決定成敗的關鍵其實是：資安人員能否根據某一條日誌的線索，判斷是否應該在凌晨兩點叫醒資安長，並不是該公司的設備本身有多先進。</p> <p>第三是組織盲點。資安團隊往往被孤立於企業決策圈之外，難以真正影響資安策略的制定。所以，翁浩正表示，當資安被視為IT部門的延伸業務、而非全公司共同的責任時，員工自然而然把資安問題當成別人的事。此時，就會發生像是：員工看到釣魚郵件仍隨手點擊；密碼寫在便利貼上且貼在螢幕邊等行為，都是這種組織文化下的副作用。</p> <p>第四是演練盲點，因為沒經過演練檢驗過的防禦機制，終究稱不上真正的防禦。翁浩正指出，許多企業從未執行過紅隊演練、桌上型演練或資安事件應變演練，即便事前寫好看似完備的資安應變手冊（Playbook），等到真正出事時才發現，原來手冊裡登載的緊急聯絡電話，竟然是早已離職同仁的舊號碼。</p> <h1><span style="color:#B22222;">從被動防禦邁向主動覺察</span></h1> <p>面對這些盲點，陳浩維以其在Amazon與Coupang等企業建置資安應變團隊的實務經驗，說明資安事件的應變（Incident Response）不該是事後救火，而必須是事前準備與反覆演練的成果。</p> <p>他強調，像是資安應變手冊的核心，在於清楚界定每個角色的職責分工、明確的升級通報條件、如何有效控制情況範圍、如何徹底移除風險，以及最終不可或缺的事後檢討機制。</p> <p>企業無論選擇建置內部應變團隊或委外處理，都需要清楚掌握自身的能量與缺口所在。因此，陳浩維也特別推崇桌上型演練（Tabletop Exercise）帶來的價值。</p> <p>他認為，那是成本最低的一種災難演練形式，不需要任何技術門檻，卻能真實暴露出組織在壓力情境下的實際反應，藉此釐清職責分工、檢視發現的問題，並透過持續性的演練循環不斷改善。</p> <p>談到威脅情資的運用，陳浩維直言，情資不是花錢訂閱資訊來源（feed）就足夠，真正有價值的情資必須是「可行動」的，而非堆積如山、卻無人消化的入侵指標（IOC）。他認為，只有情資能夠實際影響決策、主動引導紅隊測試方向，才稱得上真正發揮威脅情資的價值。</p> <p>不管是翁浩正或是陳浩維，兩人也不約而同呼籲，企業必須從被動防禦轉向主動防禦。這也就意味著，企業不能只是被動等待告警、等待通報、等待資安事件發生；反而應該主動進行威脅獵捕（Threat Hunting），更要假設企業早已被入侵、並持續進行控制驗證（control validation）。</p> <p>翁浩正強調，這場轉變的關鍵從來不是工具，而是思維本身；陳浩維也補充，被入侵在未來將成為常態，重點不在於是否被攻破，而在於企業如何處理與應對：對內要建立正向的團隊文化、給予團隊足夠的資源；對外則展現處理事件的積極度與透明度，唯有願意誠實面對自己，企業才能真正持續改善。</p> <h1><span style="color:#B22222;">紅藍隊演練的真正目的是，驗證原本停留在紙本上的假設</span></h1> <p>面對臺灣資安產業發展的下一步，翁浩正指出，臺灣資安人才的養成速度始終追不上人才流失的速度，呼籲更多人投入資安產業，並持續壯大像臺灣駭客協會與HITCON這樣的社群力量，讓從業者不只是被動等待，而能主動分享、參與與連結彼此。</p> <p>陳浩維則從自身跨國企業資安長的角度分享，他始終認為，即便企業之間存在商業上的競爭關係，但從資安角度來看，所有企業真正的競爭對手其實只有攻擊者。他直言，唯有攜手防禦、共同拉高攻擊者的成本，才是真正有意義的合作。</p> <p>他也鼓勵，所有的資安從業人員不要只是被動等待政策推動，應主動向政府與學界發聲，把資安社群觀察到的有效做法帶入企業；再透過與政府機關的互動，將相關經驗回饋給產業；最後共同促成整體防禦能量的提升。</p> <p>翁浩正強調，紅隊演練的意義從來不是要證明企業失敗，而是讓那些原本停留在紙上的假設，真正被驗證過一次；唯有誠實面對自己的缺口，組織才能透過每一次的改善變得更有韌性。</p> <p>而陳浩維則認為，企業真正的防禦韌性，不在於堆疊多少工具，而在於企業是否培養出主動覺察風險的文化。</p> <p>翁浩正和陳浩維的共同結論則是：紅隊與藍隊終究是同一隊，唯有紅藍無間、攜手同行，臺灣資安才有真正站穩全球最前線的底氣。</p> </div></div></div>
7/14 12:47作者黃彥棻https://www.ithome.com.tw/news/177293
中國駭客團體WP-ShellStorm試圖針對企業的Java基礎設施發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一個月前威脅情報公司SOCRadar發現公開的伺服器137.175.93[.]126，內含Webshell、漏洞利用指令碼、bash執行記錄，以及C2組態資訊，共有434個檔案、大小約800 MB，從而揭露以經濟利益為動機的中國駭客組織WP-ShellStorm，<strong><a href="https://www.ithome.com.tw/news/177253">鎖定逾140萬個WordPress網站</a></strong>的大規模攻擊，不過在這波活動之餘，SOCRadar發現，上述的內容管理系統（CMS）並非唯一駭客鎖定的目標，他們曾對企業組織採用的Java基礎設施下手。</p> <p>SOCRadar<strong><a href="https://socradar.io/blog/wp-shellstorm-expose-1-4m-wordpress-sites/">根據駭客存放的bash記錄資料內容</a></strong>，發現WP-ShellStorm試圖掃描企業組織採用的Apache Nacos、XXL-Job，以及Spring Boot，由於它們是許多微服務與金融科技基礎設施的骨幹，一旦遭到滲透的影響範圍將極為廣泛。基本上，Nacos的設定檔通常包含XXL-Job管理員的網址和存取權杖，若是攻擊者成功繞過Nacos的身分驗證流程，就能得到XXL-Job的有效管理員權杖，然後對執行個體的所有節點遠端執行任何程式碼。</p> <p>這波以Java為核心的活動發生在WordPress網站攻擊之前，駭客在今年5月於9個受害企業組織當中，從11個系統竊得613個組態設定檔，過程裡利用Nacos身分驗證繞過漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-29441">CVE-2021-29441</a></strong>（CVSS風險評為9.8分），攻擊僅花費兩天時間，受害企業遍布金融科技、電子商務、物流、遊戲，以及消費性電子產業。</p> </div></div></div>
7/14 13:07作者周峻佑https://www.ithome.com.tw/news/177294
IBM與紅帽正式推出Lightwell，首波提供逾6,500項完成安全修補與驗證的相依套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>IBM與紅帽（Red Hat）於7月8日宣布，<a href="https://www.redhat.com/en/about/press-releases/ibm-and-red-hat-expand-lightwell-new-offerings-build-trust-infrastructure-ai-era-open-source" target="_blank">正式推出企業開放原始碼軟體供應鏈安全服務Lightwell</a>，延續兩家公司先前公布的Project Lightwell計畫，將紅帽長期累積的企業開放原始碼工程與漏洞修補能力，擴大應用於第三方開放原始碼軟體。</p> <p>其中，Lightwell Network已正式供應，首波提供逾6,500個應用程式層相依套件，均已完成漏洞修補、數位簽章及認證，涵蓋Java與Python等軟體生態系。企業可取得二進位檔、原始碼，以及軟體物料清單（SBOM）等法規遵循所需資料，並將相關套件與資料納入既有的軟體開發、部署及供應鏈管理流程。</p> <p>在修補方式上，紅帽說明，Lightwell採用生成式AI驅動的漏洞修補引擎，結合頂尖與開放AI模型與工程人員的專業經驗，找出、驗證並修補應用程式相依套件中的資安漏洞。這套機制可將關鍵安全修正向後移植（backport）至企業仍在使用的長期版本，讓企業不必為取得安全修正而升級至上游專案的主要版本，降低破壞性變更及冗長迴歸測試造成的負擔。</p> <p>另一項方案Lightwell Clearinghouse Premier目前採限量供應，初期鎖定金融服務業。這項方案由Lightwell擔任受信任的協調中介者，讓符合資格的參與組織可在漏洞資訊公開前在此提報，並在保密期內協調漏洞修補、特定產業的威脅情資與應變，以及指定版本的修補需求。</p> <p>至於修補成果，紅帽表示，Lightwell完成漏洞修補後，會將相關修正提交回原始開放原始碼社群審查與採用，避免各方採用不同修補版本而造成專案碎片化。</p> </div></div></div>
7/14 11:22作者王珮瑤https://www.ithome.com.tw/news/177285
韓國Kakao Pay違法跨境傳輸個資案延燒，警方發動突擊搜查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>韓國最大行動支付平臺<strong><a href="https://www.ithome.com.tw/news/164555">Kakao Pay在2024年被爆出違法傳送個資事件</a></strong>，如今有新進展，<strong><a href="https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=10955#LINK">韓國個人資訊保護委員會（PIPC）今年1月宣布</a></strong>，針對違反個資法跨境傳輸規定的Kakao Pay，處以59億6,800萬韓元行政罰鍰，最近韓國多家媒體報導指出，當地警方自7月6日針對相關事件突擊搜查Kakao Pay的總部，進行為期兩天的搜查和扣押行動。</p> <p>根據PIPC調查揭露，此案源於Kakao Pay、Apple與支付寶（Alipay）的業務合作，由支付寶受託建立評估App Store扣款風險的「NSF分數」模型。然而，在2018年至2024年5月期間，Kakao Pay在未經用戶明確同意的情況下，竟將全體用戶個資每日傳輸至支付寶新加坡電子商務公司。PIPC指出其存在兩項重大違規：首先是未取得個資提供予第三人及跨境傳輸的明確授權；其次是傳輸範圍過大，甚至連從未與Apple生態系互動的Android用戶個資也一併遭到傳送，影響約4千萬Kakao Pay用戶。</p> <p>關於此案的後續進展，根據<a href="https://www.yna.co.kr/view/AKR20260611120751004"><strong>韓聯社報導</strong></a>，首爾行政法院於6月11日針對Kakao Pay提出的撤銷處分訴訟作出初審判決，裁定Kakao Pay敗訴。法院理由指出，用戶在註冊時簽署的通用同意書，並不足以讓其預見個資會被用於建構特定的信用評估模型，因此認定PIPC的行政處分合法。緊接著<a href="https://www.chosun.com/economy/stock-finance/2026/07/09/ME2DKZJYME4TQMZTGBRTAYRVMI/"><strong>朝鮮日報指出</strong></a>，京畿南部警察廳反腐敗與經濟犯罪調查組於7月6日發動強制搜索，此行動是應金融監督院（FSS）於今年3月提出的刑事調查要求，目的是要查明公司內部的決策過程，並確認是否涉及違反《信用資訊法》與《電子金融交易法》。</p> </div></div></div>
7/14 11:34作者羅正漢https://www.ithome.com.tw/news/177283
中國、印度背景駭客分別鎖定巴基斯坦同一警察機關，陳情系統遭植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.sentinelone.com/labs/one-target-china-india-espionage-converge-on-pakistani-law-enforcement/" target="_blank">端點資安業者SentinelOne旗下威脅研究團隊SentinelLABS指出</a>，疑似中國相關的威脅行為者與印度相關的威脅行為者，在2024年2月至2026年4月間，分別對巴基斯坦多個執法機關發動網路間諜攻擊，兩方攻擊行動都曾波及俾路支省（Balochistan）警察機關。</p> <p>研究團隊確認俾路支省警察機關有多項IT資產受到影響，並於2024年6月2日至2026年4月9日間觀察到異常連線，涉及兩臺網路設備、多臺執行俾路支省警方網站應用程式的伺服器，以及1臺Fortinet FortiMail設備。這臺設備先前曾作為主要入站郵件閘道，事發時仍在該機關網路中運作。</p> <p>在具體攻擊手法方面，研究團隊研判，俾路支省警察機關的陳情管理系統（Complaint Management System，CMS）入侵事件，與疑似中國背景攻擊者有關。攻擊者在網站目錄植入2個惡意程式變體，其中一個用於下載及執行後續攻擊酬載，另一個則以反射方式載入遠端控制木馬AsyncRAT的用戶端。由於這套系統同時供警察人員與民眾使用，攻擊者若感染警察人員的設備，可能以此作為入侵警察機關內部網路的跳板；若感染民眾設備，則可能監控曾透過該系統提出陳情的民眾。</p> </div></div></div>
7/14 11:54作者王珮瑤https://www.ithome.com.tw/news/177290
全球經濟學家與科技領袖聯署籲正視AI經濟衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.wemustactnow.ai/" target="_blank">一群經濟學家及科技業人士本周一（7/13）發動一項連署</a>《We Must Act Now—A Statement on AI’s Transformation of the Economy》，指出AI在未來10年內，可能會比今天強大得多，呼籲各界及政策制定者應更積極地因應AI所帶來的風險。</p> <p>根據<a href="https://digitaleconomy.stanford.edu/news/wemustactnow/" target="_blank">史丹佛大學數位經濟實驗室（Stanford Digital Economy Lab，DEL）的說明</a>，此一聲明是由經濟學家Erik Brynjolfsson、Ajay Agrawal、Anton Korinek及Tom Cunningham共同發起，認為能力日益提升的AI系統可能以前所未有的速度重塑全球經濟。雖然AI可望大幅提升生產力及生活水準，但也將對勞工、企業及公共機構帶來重大挑戰。</p> <p>聲明中呼籲經濟學家、政策制定者及科技領袖必須立即行動，深入理解具變革性的AI（Transformative AI）對經濟的影響，並建立適當的誘因（Incentives）、防護機制（Guardrails）及制度（Institutions），引導AI朝向能與人類互補、並使整體社會受益的方向發展。</p> <p>DEL主任Brynjolfsson表示，AI能力提升的速度，遠遠快於我們理解其經濟影響的速度。而這段落差，正蘊藏著這個時代最大的機會。我們必須立即行動，引導AI成為人類的互補者，而不是單純模仿人類，並讓繁榮惠及多數人，而非少數人。</p> <p>諾貝爾經濟學獎得主Michael Spence認為，AI技術進展的規模、範圍及速度，加上其對經濟各領域影響的程度及時機仍充滿高度不確定性，因此需要各界全面投入，共同引導AI朝有利社會的方向發展。</p> <p>目前借調至Anthropic擔任經濟顧問的學者Korinek則說，蒸汽機、電力及電腦都給了社會數十年時間適應，但AI留給人們的時間可能只有幾年，倘若等到變革發生後才臨時建立策略與制度，往往為時已晚。</p> <p>在DEL的號召下，該聲明迄今已獲得數百名專家學者的支持，包括16位諾貝爾獎得主及許多AI研究人員，聲明中並未提出具體政策，而是呼籲各界先就AI可能帶來的經濟衝擊建立共識，設計能引導企業朝有利社會方向使用AI的誘因（Incentives）、降低負面衝擊的防護機制（Guardrails），以及因應AI經濟轉型所需的制度安排（Institutions）。</p> </div></div></div>
7/14 12:00作者陳曉莉https://www.ithome.com.tw/news/177291
別等更好的後量子簽章演算法，Cloudflare主張先採用ML-DSA展開PQC轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雖然美國國家標準暨技術研究院（NIST）仍在評估其他後量子數位簽章候選演算法，但<a href="https://blog.cloudflare.com/ml-dsa-will-have-to-do/" target="_blank">網路基礎設施與資安服務業者Cloudflare認為</a>，不應等待更成熟的方案，應先採用目前已完成標準化的模組格基式數位簽章演算法（ML-DSA），展開後量子密碼學（PQC）第一階段部署，待未來其他標準成熟後，再逐步升級。</p> <p>目前NIST已將9種後量子數位簽章候選演算法推進至第三輪評估，FN-DSA標準草案也預計近期發布。部分候選演算法在簽章尺寸、公開金鑰大小或驗證效率方面優於ML-DSA，但完成標準化後，仍須納入TLS通訊協定及數位憑證標準，並等待密碼學程式庫、作業系統與產品支援，距離廣泛部署可能還要數年。Cloudflare預估，FN-DSA在2033年前恐難以廣泛部署，其他候選方案可能還要更久。</p> <p>ML-DSA雖然公開金鑰與簽章尺寸較大，在簽章及驗證效能方面也未全面占優勢，但仍是目前已由NIST完成標準化、整體取捨較均衡的通用型後量子數位簽章方案，可作為現階段的部署基礎。Cloudflare指出，各種後量子簽章演算法都有不同限制，目前不存在能在公開金鑰大小、簽章尺寸及運算效能等面向全面占優勢的單一方案。</p> </div></div></div>
7/14 10:53作者王珮瑤https://www.ithome.com.tw/news/177279
OpenJS公布Node.js資安進展，以AI協助處理暴增的漏洞通報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openjsf.org/blog/openjs-security-update-q2-2026" target="_blank">OpenJS基金會（OpenJS Foundation）公布2026年第二季資安進展</a>，重點包括Node.js安全更新流程自動化，以及因應AI代理輔助掃描工具帶來的漏洞通報量激增。基金會旗下CVE編號授權機構（CNA）發布的CVE數量，也從2025年下半年的3個增至2026年上半年的49個。</p> <p>首先，Node.js推出重大改版，這個開源軟體專案的安全團隊利用自動化工具，將原本涉及36個步驟的安全更新發布流程縮減至7個，並建立網頁管理介面，集中呈現納入更新的漏洞報告、尚缺少的資料，以及各版本分支檢查清單完成情形。這套仍處於測試階段的工具也導入大型語言模型（LLM），參考Node.js威脅模型、過往已接受的CVE、常見弱點列舉（CWE）模式及歷史通報內容，產生可信度分數與預估CVSS分數，再交由安全團隊審查。Node.js也取消大多數漏洞修補的資訊保密要求，協作者收到通報後即可著手撰寫與測試修補程式，不必等到安全更新發布前才開始處理。</p> <p>AI代理輔助掃描工具也使漏洞通報數量明顯增加。2026年2月，Node.js安全團隊收到的HackerOne通報增至原本的4.6倍，單在3月就收到65件漏洞通報。不過，OpenJS旗下的Node.js網頁應用程式框架Express與JavaScript工具函式庫Lodash收到的通報中，有70％至90％最終遭到駁回。Node.js安全團隊因此更新通報範本，要求通報者以JavaScript提供可重現範例，並利用LLM分類器，在人員審查前先評估通報內容的可信度。</p> </div></div></div>
7/14 11:01作者王珮瑤https://www.ithome.com.tw/news/177280
CISA要求聯邦機構修補思科IOS平臺跨站偽造弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月上旬美國網路安全與基礎設施安全局（CISA）多次表示已掌握漏洞遭到積極利用的證據，然後將它們加入已遭利用的漏洞列表（KEV），這些漏洞存在於微軟SharePoint、Adobe ColdFusion、Langflow，以及多款Joomla外掛程式，皆為最近幾個月公布與修補的資安弱點，且危險程度多為重大等級。不過最近CISA新增至KEV的一項弱點相當特別，因為它是已公布18年的中度風險漏洞。</p> <p>CISA<strong><a href="https://www.cisa.gov/news-events/alerts/2026/07/13/cisa-adds-one-known-exploited-vulnerability-catalog">於7月13日指出</a></strong>，他們發現思科網路設備作業系統IOS的資安漏洞CVE-2008-4128遭積極利用，將其列入KEV並要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2008-4128">在7月16日前</a></strong>完成修補。此弱點存在於12.4版IOS平臺，為跨網站偽造請求（CSRF）類型的漏洞，存在於HTTP Administration元件，攻擊者可發送如show privilege、alias exec等特定請求到指定URI觸發，從而遠端執行任意命令，CVSS風險評為4.3分，為中度風險等級。</p> </div></div></div>
7/14 11:04作者周峻佑https://www.ithome.com.tw/news/177281
Android木馬RedHook出現新變種，濫用ADB無線偵錯取得Shell層級權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2025年7月現身的Android遠端存取木馬（Remote Access Trojan，RAT）RedHook，近期擴大活動範圍並推出新版本。<a href="https://www.group-ib.com/blog/redhook-android-rat-upgraded/" target="_blank">資安業者Group-IB指出</a>，攻擊者濫用Android偵錯橋接器（Android Debug Bridge，ADB）的無線偵錯功能，讓RedHook取得Shell層級權限，進一步安裝或移除應用程式、修改安全設定，並為自身授予敏感權限。</p> <p>攻擊者通常透過電話或通訊軟體主動聯繫受害者，假冒政府機關、金融機構或客服人員，並以完成官方程序或啟用服務為由，誘導對方前往仿冒Google Play商店的網站，下載RedHook惡意APK檔案。RedHook安裝後，會引誘使用者啟用無障礙服務，再自動開啟開發人員選項與ADB無線偵錯，取得裝置顯示的Android無線偵錯配對碼。執行上述操作時，RedHook會以全螢幕覆蓋畫面遮住Android設定介面，使受害者難以察覺裝置設定已遭更動。</p> <p>在權限提升手法上，RedHook採用與開源工具Shizuku相近的運作方式，透過ADB無線偵錯在裝置內建立ADB連線，不需外接電腦或USB電纜，即可啟動具備uid 2000權限的Shell處理程序，藉此執行一般Android應用程式無法使用的系統操作。</p> <p>由於這類攻擊會仿冒政府機關與金融服務網站，研究人員建議金融機構監控使用者連線階段，及早發現裝置感染惡意程式或連線行為異常，並持續追蹤仿冒網站及品牌遭冒用情況。</p> </div></div></div>
7/14 11:11作者王珮瑤https://www.ithome.com.tw/news/177282
新型攻擊GhostCommit將提示注入指令藏進圖片，誘使AI代理外洩機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安研究組織ASSET Research Group公開名為<strong><a href="https://asset-group.github.io/disclosures/ghostcommit/">GhostCommit</a></strong>的概念驗證攻擊，顯示攻擊者可將提示注入指令藏在PNG圖片中，避開只檢查文字差異的AI程式碼審查工具。惡意內容合併至儲存庫後，具備影像理解能力的程式開發代理可能在後續工作中讀取圖片，依照其中指示開啟環境變數設定檔.env，再將檔案內容逐位元組轉為整數序列寫入程式碼。</p> <p>攻擊者先新增代理指示文件AGENTS.md，將圖片指定為建置規格的正式來源，並要求代理讀取docs/images/build-spec.png。AGENTS.md本身不直接提及.env，也未寫出將其內容轉為整數序列的完整程序，因此只分析文字差異的審查工具較難辨識風險。</p> <p>真正的攻擊指令藏在圖片裡，圖片要求代理讀取儲存庫根目錄的.env，將其中每個位元組轉成數字，再以名為_PROV_CANARY的整數序列寫進Python程式。.env常用來保存API金鑰、資料庫連線資訊及雲端存取憑證，一旦整份內容被轉成數字寫入程式碼，攻擊者便可從後續公開的提交紀錄取得資料，將數字還原為原始.env內容。</p> <p>研究團隊表示，若把相同指令直接寫在AGENTS.md中，Cursor Bugbot與CodeRabbit都會判定為高風險，而改藏進圖片後，兩項工具均未提出警告。CodeRabbit的預設設定還會略過PNG圖片，因此無法檢查其中的文字。</p> <p>研究團隊還在攻擊範例中加入驗證程式及虛構的事故紀錄，讓圖片中的要求看起來像既有的建置規範。由於這些周邊檔案本身沒有直接出現惡意指令，可用來通過審查工具對規則與程式碼的一致性檢查。</p> <p>研究團隊在受控環境測試Cursor、Antigravity、Codex CLI及Claude Code等工具，結果顯示，多數工具與模型組合會依照圖片指令，將完整.env內容編碼為整數序列寫入程式碼，而Claude Code搭配不同Claude模型時則拒絕執行。相同模型在不同工具中出現相反結果，顯示執行結果不只取決於AI模型，也受到代理工具及其安全防護設計影響。</p> <p>被寫入程式碼的.env內容以數字序列呈現，也可能避開只比對特定字串格式的機密資料掃描工具。研究團隊已<strong><a href="https://github.com/asset-group/ghostcommit">在GitHub公開攻擊範例與解碼工具</a></strong>。</p> </div></div></div>
7/14 07:45作者李建興https://www.ithome.com.tw/news/177271
英國雙管齊下對抗網路威脅，啟動企業承諾並打造國家級AI盾牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>面對因AI而加劇的網路安全威脅，<a href="https://www.gov.uk/government/news/businesses-across-britain-sign-up-to-cyber-resilience-pledge-as-ministers-urge-firms-to-strengthen-cyber-defences" target="_blank">英國政府與國家網路安全中心（National Cyber Security Centre，NCSC）上周二（7/7）宣布</a>啟動企業的網路韌性承諾（Cyber Resilience Pledge），並<a href="https://www.ncsc.gov.uk/blogs/cyber-shield-the-path-to-an-agentic-ai-future-for-cyber-defence" target="_blank">公布國家級AI網路防禦藍圖Cyber Shield</a>。</p> <p>NCSC的調查資料顯示，英國企業在2025年遭受超過500萬次的網路攻擊，整體年度經濟損失高達147億英鎊（約6,320億元新臺幣）。這使得英國政府鼓勵企業主動提升資安韌性，在今年4月發表網路韌性承諾，邀請企業參與並採取3項具體行動來改善資安，包括將網路安全提升至董事會層級責任，註冊NCSC的免費預警服務，以及強化供應鏈網路安全。</p> <p>上周英國政府正式啟動網路韌性承諾，並宣布已有超過60家企業簽署該承諾，涵蓋零售、金融、媒體與科技等產業，如百貨業者Marks & Spencer、金融機構Nationwide、電視臺ITV及英國電信業者Vodafone等。</p> <p>NCSC表示，網路韌性承諾的3項措施都是切實可行的行動，有助提升組織抵禦網路攻擊及事件復原能力，更能保護客戶；若廣泛推動，也將提升整體英國經濟的韌性。</p> <p>至於Cyber Shield是由NCSC及科學、創新與技術部（DSIT）共同開發的國家級網路防禦藍圖，核心目標是利用最先進的代理人AI，打造一個可大規模、以機器速度自動化運作的國家網路防禦體系。</p> <p>根據規畫，Cyber Shield將具備可靠且可說明決策依據的AI、聯邦式代理人（Federated Agents）、漏洞發現與緩解、協同偵測與回應，以及國家級的掃描與緩解等功能。</p> <p>未來將由紅隊及藍隊AI代理人協同運作，紅隊負責以機器速度發現系統弱點，藍隊則即時偵測、遏制威脅並防禦入侵。這些AI系統初期將以自動發現漏洞與威脅為主，再逐步發展至自動修復；它們可在各自組織的控制與授權下運作，並跨越組織邊界無縫協作，共同提升英國的國家安全。</p> <p>Cyber Shield目前仍處於規畫階段，NCSC將先與政府及關鍵產業合作測試相關能力，再逐步發展為可於全國部署的商業化方案。</p> </div></div></div>
7/13 20:17作者陳曉莉https://www.ithome.com.tw/news/177272
資安桌遊融合CTEM與團隊合作，奧義智慧揭Cybercrete設計概念
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>將複雜的企業資安管理概念融入桌遊，已成為資安教育的新趨勢，先前奧義智慧科技（CyCraft）在此領域的發展引發業界關注，因為他們成功將<strong><a href="https://www.ithome.com.tw/news/139029">MITRE ATT&CK</a></strong>與<a href="https://www.ithome.com.tw/news/144252#Cybercans"><strong>Cyber Defense Matrix（CDM）</strong></a>的資安框架，呈現在遊戲卡牌與桌遊，去年該公司再度推出新作《Cybercrete：守衛資安之路》，進一步將持續威脅曝險（Continuous Threat Exposure Management，CTEM）框架帶到大眾面前，近日奧義智慧資安研究處長陳仲寬特別公開闡釋其幕後設計概念，解析資安框架與遊戲機制的融合重點。</p> <p>陳仲寬表示，《Cybercrete》的設計核心緊扣2022年Gartner提出的「持續性威脅暴露管理」（CTEM）方法論。該框架強調，企業在識別攻擊面時不應視為一次性任務，而需透過持續性的行動，達成動態且具適應性的主動式攻擊面管理。</p> <p><a href="/sites/default/files/images/（圖1）奧義智慧桌遊Cybertete_以CTEM作為核心概念.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E6%A1%8C%E9%81%8ACybertete_%E4%BB%A5CTEM%E4%BD%9C%E7%82%BA%E6%A0%B8%E5%BF%83%E6%A6%82%E5%BF%B5.jpg" style="width: 600px;" /></a></p> <p>具體而言，這款遊戲由奧義智慧資安研究員參與開發，是一套貼合企業真實資安情境的策略模擬遊戲，目的是讓玩家在有限資源下，學習如何持續管理威脅暴露，並在事件發生時有效應對。</p> <p>遊戲流程完整貫穿CTEM的五大步驟：從釐清防禦範圍的「界定」、識別資產風險的「探索」、到決定處理順序的「排序」、確認風險真實性的「驗證」，以及最終動員資源解決問題的「行動」。</p> <p>陳仲寬指出，玩家可以想像，企業必須找到所有資產並識別風險，但資源有限，因此排序至關重要。在遊戲中，玩家可能只能處理前三大風險，必須先驗證其存在再執行應對。而且，各角色如何針對威脅進行應變，更是這套模擬工具要傳達的核心概念。</p> <p><a href="/sites/default/files/images/（圖3）奧義智慧桌遊Cybertete_以CTEM作為核心概念.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E6%A1%8C%E9%81%8ACybertete_%E4%BB%A5CTEM%E4%BD%9C%E7%82%BA%E6%A0%B8%E5%BF%83%E6%A6%82%E5%BF%B5.jpg" style="width: 600px;" /></a></p> <p>這款桌遊的另一大特色是結合「多人合作」與「劇本殺」元素。陳仲寬表示，開發團隊依據美國NICE資安人才框架，設計出6種遊戲角色，包括資安長、安全架構師、IT工程師、資訊安全分析師、威脅情資研究員及SOC工程師，讓玩家扮演不同職能來聯手應對事件。</p> <p>為了模擬大型事件發生時的攻防情境，遊戲地圖呈現企業的網路資產拓樸，並引入遊戲主持人來引導遊戲劇情推進。在執行任務時，每個角色的職能邊界非常明確。陳仲寬舉例：「如果你扮演的是安全分析師，你將無法幫其他人修補漏洞，因為這是IT人員的職能；同樣地，IT人員也無法代替你進行威脅調查。」這種角色功能的嚴格切割，亦可讓玩家深刻體會跨部門溝通與協作的必要性。</p> <p>此外，在規則設計上，開發團隊不僅考量資安概念的融入，更從多款成熟的桌遊玩法中獲得啟發。例如，借鑑策略合作類桌遊《瘟疫危機》的機制，並融入《山中小屋》的劇本殺元素，藉此打造出一款同時具備桌遊趣味性與資安教育意義的作品。</p> <p><a href="/sites/default/files/images/（圖2）奧義智慧桌遊Cybertete_以CTEM作為核心概念.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E6%A1%8C%E9%81%8ACybertete_%E4%BB%A5CTEM%E4%BD%9C%E7%82%BA%E6%A0%B8%E5%BF%83%E6%A6%82%E5%BF%B5.jpg" style="width: 600px;" /></a></p> <p>在追求趣味性的同時，遊戲核心仍緊扣實務需求。陳仲寬強調，《Cybercrete》的首要目標是帶領玩家深入理解CTEM框架，並體認到資安管理的第一步，就是預先瞭解自己內部資產配置與權限。</p> <p>玩家在遊戲過程中，不僅能學習漏洞管理、端點安全、組態配置評估及憑證外洩防護等知識，還能從中領會情資對於資安防禦的重要性，並且深刻體悟「資安不是一個人的事」，每個角色都有其關鍵任務，必須攜手應對。</p> <p> </p> </div></div></div>
7/13 18:36作者羅正漢https://www.ithome.com.tw/news/177268
駭客組織Helix鎖定SharePoint竊取資料，以此向企業索討贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近兩年不斷透過竊得資料向受害組織進行勒索的駭客組織ShinyHunters（UNC6661），近期傳出疑似衍生出新的團體，引起研究人員的注意。威脅情報公司ReliaQuest於7月10日揭露<strong><a href="https://reliaquest.com/blog/threat-spotlight-helix-new-name-in-data-extortion-ecosystem">資料勒索團體Helix</a></strong>，駭客結合語音網釣（vishing）、裝置驗證碼釣魚（device code phishing），以及自動化SharePoint資料竊取手法，對多個企業組織展開攻擊。研究人員研判，Helix極可能是今年4月宣告解散的勒索集團BlackFile（UNC6671）分裂後的團體，其手法與惡名昭彰的勒索集團ShinyHunters也有交集。</p> <p>Helix的攻擊完全以身分盜用為基礎，他們會先透過電話語音網釣（vishing）接觸受害組織員工，在一起事故中，攻擊者偽冒目標的直屬主管撥打電話。取得信任後，攻擊者會誘導受害者完成裝置代碼驗證流程，藉此繞過條件式存取原則（Conditional Access），在不觸碰密碼的情況下，取得已驗證的工作階段權杖（session token）。</p> <p>ReliaQuest指出，這些駭客在部分活動裡，採取戰術性分頭進行的模式，Helix先利用第一個被入侵的帳號偵察並下載SharePoint的資料內容，然後數日或數週後再入侵另一個帳號，透過微軟協作平臺Teams與電子郵件，在受害組織內部發送勒索訊息。研究人員認為，這種作法是為了干擾受害組織進行事件回應，由於兩個帳號彼此無直接關聯，資安團隊即使揪出並停用了負責竊取資料的帳號，另一個帳號仍可能持續運作，大幅增加調查與防堵的難度。</p> </div></div></div>
7/13 17:30作者周峻佑https://www.ithome.com.tw/news/177267
立委提案修法放寬StarLink等低軌衛星業者來臺限制，台灣通訊學會：不能只是鬆綁，也要建立境外業者監管機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>立法院交通委員會今天（7/13）日審查「電信管理法」第36條修正草案，外界關心修法可能為Starlink等低軌衛星業者進入臺灣市場鋪路。對此，台灣通訊學會發出聲明指出，支持引進多元低軌衛星服務，提升國家通訊韌性，但修法若只是放寬外資持股及負責人資格限制，卻未同步建立對境外衛星業者的監理制度，恐在市場開放與公共責任間形成治理缺口。</p> <p>目前「電信管理法」第36條規定，設置使用電信資源的公眾電信網路者，其董事長須具有中華民國國籍，外國人直接持股不得超過49%，直接及間接持股合計不得超過60%。為了放寬低軌衛星業者進入臺灣市場，立委提出6個修正草案版本，希望對於衛星通信業者增訂例外或放寬相關限制。</p> <p>台灣通訊學會指出，近年地緣政治風險升高，加上俄烏戰爭顯示衛星通訊可在地面網路受損時提供重要備援能力，而臺灣國際通訊高度依賴海底電纜，因此有必要建構海纜、微波及衛星等多元備援架構，加速導入非地面網路（NTN），提升國家數位韌性。</p> <p>不過，學會認為，政策討論不應聚焦特定業者，而應以技術中立、風險相稱及公共利益為原則。若僅是調整外資持股與董事長資格，卻未同步建立國家安全審查、在地營運、資料治理、通訊監察、資安、防詐及退場機制等配套，將增加長期治理風險。</p> <p>台灣通訊學會理事長王維菁表示，臺灣需要多元衛星服務，但關鍵通訊控制、用戶資料治理及法律責任，都必須納入在地可監理、可執行的體系。「衛星服務可以跨境，責任不能境外化；市場開放的前提，是政府在平時能監督、事件發生時能介入，並確保服務持續與民眾權益。」</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><strong><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-72683b91-7fff-cbbd-eb93-510293b47e4f"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">可參考日本模式，要求在臺建立實質營運能力</span></span></span></span></strong></h2> <p>針對未來制度設計，學會建議可參考日本模式。日本的KDDI、NTT DOCOMO及SoftBank皆已與Starlink合作推出手機直連衛星服務，將衛星能力納入既有電信服務及公共安全體系。</p> <p>因此台灣通訊學會建議，國際衛星業者進入臺灣市場時，原則上應在臺設立具實質營運與履責能力的法人；若提供手機直連衛星服務，或使用臺灣行動頻率、號碼及核心網路資源，應與本地持照電信業者合作。同時，也應設置境內地面站、閘道器或具有同等監理效力的節點，並承擔用戶服務、緊急通信、個資保護、資安、防詐及司法協力等責任。</p> <p>學會也呼籲主管機關建立透明且可驗證的審查制度，針對業者控制權、供應鏈安全、資料流向、服務持續性及消費者保障訂定審查條件，並保留附加負擔、限期改善、停止服務及撤銷許可等必要監理機制。</p> <p>學會也強調，調整外資持股與負責人資格限制前，應完整檢視國家安全、監理執行及公共利益等配套措施，透過完善制度讓低軌衛星成為我國通訊韌性的關鍵備援，同時維持政府對跨境衛星服務的監理與介入能力。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-72683b91-7fff-cbbd-eb93-510293b47e4f"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">現有衛星服務多採合作模式，修法瞄準業者直接進入市場</span></span></span></span></h2> <p>值得注意的是，目前國內已有低軌及多軌衛星服務布局，但主要是由本地電信業者與國際衛星業者合作，將衛星能力納入既有通信服務體系。例如國內電信業者已導入OneWeb低軌衛星及SES中軌衛星等服務，作為地面網路之外的通信備援方案。</p> <p>在現有的模式下，國際衛星業者主要提供衛星網路、頻寬或衛星系統能力，本地電信業者負責本地服務整合、用戶管理及對主管機關承擔電信服務相關責任。</p> <p>這次「電信管理法」第36條規定多項修正草案則是希望針對「以衛星通信技術設置使用電信資源的公眾電信網路業者」新增例外機制，經主管機關考量國家安全、公眾電信網路安全、電信資源使用及公共利益等因素核准後，可不受原本的限制。</p> <p>兩者最大的差異在於，現有OneWeb、SES等服務主要是「衛星業者提供能力、臺灣電信業者負責服務落地」；而第36條修正草案目的是是否讓具高度國際化股權結構的衛星通信業者，得以直接參與臺灣電信市場，因此引起電信產業、學會的關注。</p> </div></div></div>
7/13 17:50作者蘇文彬https://www.ithome.com.tw/news/177266
【資安日報】7月13日，後門程式WP-ShellStorm大舉入侵140萬WordPress網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/177261#WP-ShellStorm">後門程式WP-ShellStorm試圖滲透全球逾140萬個網站</a><br /> ● <a href="https://www.ithome.com.tw/news/177261#Joolma">CISA要求聯邦機構3天內修補兩款Joolma延伸套件滿分漏洞</a><br /> ● <a href="https://www.ithome.com.tw/news/177261#ShareFile">Progress要求用戶關閉ShareFile特定控制器元件惹議</a><br /> ● <a href="https://www.ithome.com.tw/news/177261#U-Boot">開源開機載入程式U-Boot漏洞恐影響大量設備</a> <br /> ● <a href="https://www.ithome.com.tw/news/177261#1196">中國網軍冒充國際記者對臺政學界進行社交工程攻擊</a> <a id="WP-ShellStorm" name="WP-ShellStorm"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/177253"><span style="font-size: 22px;"><strong>駭客利用後門程式WP-ShellStorm入侵WordPress網站並兜售存取權限，來自臺灣的IP位址存取基礎設施次數居冠引起關注</strong></span></a></p> <p><a href="/sites/default/files/images/request-volume-country-taiwan-ip-server-traffic-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/request-volume-country-taiwan-ip-server-traffic-63.jpg" style="width: 300px; float: right;" /></a></p> <p>威脅情報公司SOCRadar揭露後門程式WP-ShellStorm的大規模攻擊活動，中國駭客鎖定超過140萬個網域、利用27個CVE漏洞，主要目的是在WordPress網站植入Webshell，並將受害網站的存取權限轉賣給其他駭客組織。SOCRadar將這些駭客的活動稱為Webshell Access Brokerage Operation（WABO），並確認正在活動的Webshell超過5,700個。雖然SOCRadar認為攻擊者來自中國，不過他們特別提及存取上述SimpleHTTPServer主機的次數，最多的竟然是臺灣的IP位址113.196.56[.]150，總共發出超過4.2萬次請求，並系統性下載攻擊工具。<a href="https://www.ithome.com.tw/news/177253">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177248"><span style="font-size: 22px;"><strong>澳洲警告多種內容管理平臺遭鎖定，駭客企圖在網站植入Webshell</strong></span></a></p> <p>7月9日澳洲網路安全中心（ACSC）發布重大警訊，指出他們掌握鎖定多種內容管理平臺（CMS）資安漏洞的全球性大規模攻擊活動，其中已有許多澳洲中小型企業受到影響。駭客積極掃描網站，利用影響CMS與外掛程式的各種已知弱點，試圖尋找部署Webshell的機會。一旦成功植入Webshell，駭客就能遠端存取受害主機並進行控制，而有可能破壞網站及中斷運作、擷取網站用戶輸入的憑證或存放的資料、上傳惡意軟體以用於欺騙用戶。<a href="https://www.ithome.com.tw/news/177248">詳全文</a> <a id="Joolma" name="Joolma"></a></p> <p><a href="https://www.ithome.com.tw/news/177238"><span style="font-size: 22px;"><strong>CISA將兩款Joomla延伸套件重大漏洞列入KEV，要求聯邦機構7月13日完成修補</strong></span></a></p> <p>繼前幾天將Joomlack Page Builder與JoomShaper SP Page Builder滿分漏洞列入已遭利用漏洞清單（KEV），美國網路與基礎設施安全局（CISA）於7月10日再度更新已遭利用漏洞清單，加入開放原始碼內容管理系統Joomla兩款外掛套件的漏洞，分別是：iCagenda的CVE-2026-48939，以及Balbooa Forms的CVE-2026-56291，皆因CVSS嚴重度評分為10分漏洞出現遭到積極利用的活動，所以被列入KEV，聯邦機構需在3天內完成漏洞修補。<a href="https://www.ithome.com.tw/news/177238">詳全文</a> <a id="ShareFile" name="ShareFile"></a></p> <p><a href="https://www.ithome.com.tw/news/177255"><span style="font-size: 22px;"><strong>Progress要求ShareFile用戶關閉Storage Zone Controller，因應突發資安威脅</strong></span></a></p> <p>負責營運企業檔案分享平臺ShareFile的廠商Progress於7月10日緊急通知用戶，要求暫時關閉執行Storage Zone Controller的伺服器，以因應外部資安威脅。Progress已暫停受影響帳號的存取權限，並正在調查事件，目前尚未發現任何ShareFile帳號或資料遭未授權存取的跡象，但仍要求用戶採取預防性措施，手動關閉受影響的伺服器，直到收到進一步通知。Progress目前仍未公布這次事件的具體情況或威脅性質，部分用戶在Reddit論壇上表達不滿。<a href="https://www.ithome.com.tw/news/177255">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177242"><span style="font-size: 22px;"><strong>Zimbra爆發嚴重漏洞，攻擊者可透過發送特製郵件在收件者Webmail介面執行惡意程式碼</strong></span></a></p> <p>7月7日Zimbra維護單位釋出Daffodil（v10.1.19）更新版本，修補經典Web用戶端的跨站指令碼（XSS）漏洞，可讓攻擊者傳送特製郵件，以便在用戶執行階段執行惡意腳本程式。但這項漏洞並未被分配CVE漏洞編號，也不知風險值。維護團隊提醒ZCS 10.0.x、9.0.x或8.8.15的用戶，必須先升級到ZCS 10.1.19版，再套用SNMP緩解措施。而ZCS 10.1.x的用戶，若已經施行了SNMP緩解措施則無需任何動作，因SNMP緩解在10.1.19環境仍然有效。<a href="https://www.ithome.com.tw/news/177242">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177237"><span style="font-size: 22px;"><strong>Microsoft Defender零時差漏洞RoguePlanet修補出爐</strong></span></a></p> <p>外號為Nightmare Eclipse的研究人員Chaotic Eclipse於6月上半揭露的RoguePlanet漏洞CVE-2026-50656，微軟7月8日正式提供修補，用戶可確認Microsoft Defender的惡意軟體防護引擎版本是否已升級到1.1.26060.3008或更高版本，若為1.1.26050.11或更老舊的版本，則是受此漏洞影響的版本，須儘快執行Windows更新。CVE-2026-50656存在Microsoft Defender惡意軟體防護引擎，是關於權限提升的重要等級漏洞，CVSS 3.1嚴重度評分為7.8分。<a href="https://www.ithome.com.tw/news/177237">詳全文</a> <a id="U-Boot" name="U-Boot"></a></p> <p><a href="https://www.ithome.com.tw/news/177240"><span style="font-size: 22px;"><strong>開源開機載入程式U-Boot存在6個資安漏洞，大量伺服器、網路設備、物聯網設備均可能受到影響</strong></span></a></p> <p>專精韌體與軟體供應鏈安全的資安研究機構Binarly，7月初揭露開放原始碼開機載入程式（bootloader）U-Boot存在6個漏洞，當中兩個（BRLY-2026-037、BRLY-2026-038）可能導致任意程式碼執行，其餘4個漏洞（BRLY-2026-039、BRLY-2026-040、BRLY-2026-041、BRLY-2026-042）則可能引發服務中斷（DoS）。Binarly警告，U-Boot自2013年7月推出以來，近60個版本都受到影響，若再計入眾多分支版本，這些漏洞對產業的影響將更為廣泛。<a href="https://www.ithome.com.tw/news/177240">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177210"><span style="font-size: 22px;"><strong>Elastic修補Kibana高風險漏洞，影響7.x與8.x分支版本</strong></span></a></p> <p>資安廠商Elastic發布開源資料視覺化與分析工具Kibana更新，修補可能造成日誌內容遭竄改的高風險漏洞CVE-2026-49091。Kibana 7.17.14版以前的7.x版以及8.11.0以前的8.x版都存在前述漏洞，Elastic已為Elastic Cloud Serverless雲端服務完成修補，自行管理（Self-Managed）系統的用戶則應儘速升級至已修補的7.17.15與8.11.1版。CVE-2026-49091的CVSS嚴重性評分為8.0分，可能導致攻擊者透過特製輸入內容，進而竄改日誌檔案。<a href="https://www.ithome.com.tw/news/177210">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177258"><span style="font-size: 22px;"><strong>蘋果控告OpenAI系統性竊取商業機密，揭露已有逾400名前員工跳槽至OpenAI</strong></span></a></p> <p>蘋果於7月10日向美國加州北區聯邦地方法院提告OpenAI、旗下AI硬體新創io Products及兩名前蘋果員工，指稱OpenAI藉由招募、面試及供應鏈合作等方式，持續取得蘋果未公開產品、硬體設計及供應鏈等商業機密，以加速AI硬體業務發展。蘋果指控OpenAI及io竊取與不當使用商業機密，並控告兩名前員工違反保密及智慧財產權協議。兩名涉案前員工是iPhone資深系統電氣工程師Chang Liu，以及iPhone與Apple Watch產品設計副總裁Tang Yew Tan。<a href="https://www.ithome.com.tw/news/177258">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177245"><span style="font-size: 22px;"><strong>OpenMandriva Linux專案傳出遭惡意貢獻者蓄意破壞</strong></span></a></p> <p>開源專案OpenMandriva Linux上周傳出重大事件，貢獻者惡意破壞、刪除專案長達十年、數十個儲存庫，並且破壞GNOME和COSMIC套件，恐危及下游開發人員系統。開發人員Davide Beatrici近日因開發團隊認為沒有必要將專案的儲存庫鏡射到自己的私人雲端平臺，濫用管理員權限刪除該專案於GitHub的部分儲存庫內容，毀掉逾10年的心血，後續將空白套件發布到cooker儲存庫，藉此破壞所有GNOME和COSMIC套件。<a href="https://www.ithome.com.tw/news/177245">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177257"><span style="font-size: 22px;"><strong>拉脫維亞林業公司遭勒索軟體攻擊，系統恢復恐將耗時數週</strong></span></a></p> <p>根據資安新聞網站The Record報導，拉脫維亞國有林業公司（LVM）於6月22日遭到勒索軟體攻擊，事發已逾三週，公司至今仍在修復受影響的資訊系統。LVM技術長Maris Kuzmins近日向當地媒體透露，目前情況已趨於穩定，但要讓營運完全恢復正常，仍相當具有挑戰性，目前仍有約三分之二簽有服務合約的客戶，尚無法使用受影響的系統。Kuzmins表示，攻擊者鎖定某個2年未更新的系統下手，利用特定漏洞而得逞。<a href="https://www.ithome.com.tw/news/177257">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177244"><span style="font-size: 22px;"><strong>荷蘭警方揭露2月電信公司Odido事故調查結果，指出有當地人士涉案</strong></span></a></p> <p>今年2月荷蘭大型電信公司Odido證實遭遇網路攻擊，駭客團體ShinyHunters冒充該公司IT部門的員工從事網釣而得逞，並向當地媒體透露約有620萬名客戶的帳號資料外流。這起事故也引起荷蘭當局的重視並介入調查，近日公布最新調查結果。7月9日荷蘭國家檢察署與荷蘭國家調查與行動單位發布聯合聲明，指出這起事故疑似有荷蘭人涉案。其中一個跡象，就是冒充Odido公司IT人員的駭客，曾打電話給Odido客服中心，這名駭客是使用荷蘭語的男性。<a href="https://www.ithome.com.tw/news/177244">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177260"><span style="font-size: 22px;"><strong>針對5月資料外洩事故，CISA公布後續處理及調查結果</strong></span></a></p> <p>5月中旬資安部落格Krebs On Security、資安公司GitGuardian提出警告，美國網路安全與基礎設施安全局（CISA）的公開GitHub儲存庫，存放多個高權限的AWS GovCloud政府雲端服務帳號，以及大量CISA內部系統憑證，可能成為近期美國政府最嚴重的資料外洩事故而引起外界關注。7月9日CISA發布部落格文章指出，他們在5月15日接獲通報後，已立即著手消除相關資料公開暴露，此GitHub儲存庫並非CISA所有，而是承包商所建立，目前已被下架。<a href="https://www.ithome.com.tw/news/177260">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177246"><span style="font-size: 22px;"><strong>樂扣樂扣等3企業遭韓國個資委員會重罰7億韓元，基礎防護形同虛設</strong></span></a></p> <p>韓國個人資訊保護委員會（PIPC）於7月8日宣布，針對3家違反《個人資訊保護法》資安防護義務的企業：樂扣樂扣（LocknLock）、Ubase及Sunphoto，處以總計7億100萬韓元的行政裁罰金，以及540萬韓元的行政罰鍰。PIPC強調，這些個資外洩事故的主因是企業疏於最基本的安全防護。當中最受關注的是，以保鮮盒聞名的生活用品品牌業者樂扣樂扣，遭裁罰逾5億韓元（約1,071萬元），情節最為嚴重。<a href="https://www.ithome.com.tw/news/177246">詳全文</a> <a id="1196" name="1196"></a></p> <p><a href="https://www.ithome.com.tw/news/177219"><span style="font-size: 22px;"><strong>調查局破獲中國網軍冒充國際記者，對臺政學界進行社交工程攻擊</strong></span></a></p> <p><a href="/sites/default/files/images/0e360cc9aca143ea8afacf607c4f5a98-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0e360cc9aca143ea8afacf607c4f5a98-63.jpg" style="width: 300px; float: right;" /></a></p> <p>針對中國網軍對臺灣政治界、學術界人士進行社交工程攻擊，7月7日法務部調查局宣布破案，網軍偽冒國際記者犯案，藉此刺探及收集機敏資訊，並寄送夾帶惡意程式的電子郵件，意圖入侵及操控受害者的電腦設備。辦案人員搜索約談協助網軍蒐集LINE帳號的愛彼蓋爾公司，士林地檢署今依違反個資法對該公司前後負責人李華倫、陳孟森處分緩起訴。調查局呼籲，民眾除對不明人士加LINE傳訊攀談，或接獲不明郵件、簡訊要提高警覺，也不應將所申請、註冊之手機門號、LINE帳號等提供他人使用，避免涉入幫助犯罪而觸法。<a href="https://www.ithome.com.tw/news/177219">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177249"><span style="font-size: 22px;"><strong>破壞型後門GigaWiper整合磁碟抹除、檔案加密與遠端控制功能</strong></span></a></p> <p>微軟威脅情報團隊揭露針對Windows平臺破壞型後門程式GigaWiper，攻擊者可遠端控制受害電腦，並啟用磁碟抹除、檔案加密及系統破壞功能。研究人員自2025年10月起，觀測到遭入侵環境出現破壞性資料抹除活動。進一步分析發現，這套以Go語言開發的惡意程式，將命令暨控制（C2）、遠端控制及多種系統破壞功能整合至單一後門。GigaWiper整合至少3個原本各自獨立的惡意程式家族，其中一項工具會直接覆寫實體磁碟。<a href="https://www.ithome.com.tw/news/177249">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177221"><span style="font-size: 22px;"><strong>Android惡意軟體RedWing以租賃模式提供買家，協助發動金融詐騙</strong></span></a></p> <p><a href="/sites/default/files/images/RedWing-8-3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/RedWing-8-3-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Zimperium揭露新型Android惡意軟體RedWing，透過Telegram通訊平臺以惡意軟體即服務（Malware-as-a-Service，MaaS）模式出租，讓缺乏技術能力的犯罪者也能從事金融詐騙，目前已有82家機構遭受攻擊，以俄羅斯金融機構為主。RedWing疑似惡意軟體Oblivion新變種，攻擊者可選擇建立仿冒Google Play、Galaxy Store或其他應用程式商店的網頁，藉此誘騙受害者下載惡意程式，而惡意程式則能提供一系列惡意操作，如透過覆蓋畫面（Overlay）偽造銀行應用程式登入頁面。<a href="https://www.ithome.com.tw/news/177221">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177213"><span style="font-size: 22px;"><strong>惡意工具DEBULL濫用Microsoft裝置驗證碼流程，攻擊者可藉此接管受害者M365帳號</strong></span></a></p> <p><a href="/sites/default/files/images/debull_attack_flow-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/debull_attack_flow-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者ZeroBEC揭露駭客在釣魚信件中利用惡意工具DEBULL，濫用Microsoft合法的OAuth裝置授權流程，誘導受害者輸入由攻擊者產生的裝置驗證碼（Device Code），藉此取得OAuth存取權杖，繞過傳統密碼與多因素驗證機制，進而接管受害者Microsoft 365帳號。由於DEBULL的部分元件程式碼含有土耳其語的標記，懷疑程式碼來源可能與土耳其語系開發者有關。DEBULL可能是釣魚即服務（PhaaS）工具，駭客用於搭配GraphSpy或衍生的惡意工具來進行後續攻擊。<a href="https://www.ithome.com.tw/news/177213">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177252"><span style="font-size: 22px;"><strong>語音網釣鎖定Microsoft 365使用者，攻擊者企圖註冊自行控制的通行金鑰</strong></span></a></p> <p><a href="/sites/default/files/images/o-unc-066-recoverykey-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/o-unc-066-recoverykey-63.jpg" style="width: 300px; float: right;" /></a></p> <p>身分與存取管理業者Okta警告，自2026年4月起，代號O-UNC-066的威脅行為者以語音網釣（vishing）手法鎖定多個產業的企業與組織，致電目標企業員工，謊稱對方需要為Microsoft 365帳號註冊新的通行金鑰（passkey），誘騙受害者交出帳號密碼，並配合完成登入所需的多因素驗證（MFA）。若受害者依照指示完成MFA，攻擊者接著可讓假網站顯示仿冒通行金鑰註冊流程的頁面，以及名為「復原金鑰」的頁面，要求使用者保存一組從攻擊者控制的清單產生、包含12個單字的助記詞（mnemonic sentence）。<a href="https://www.ithome.com.tw/news/177252">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177251"><span style="font-size: 22px;"><strong>前勒索軟體談判人員勾結BlackCat，遭判70個月徒刑</strong></span></a></p> <p>美國法院判處前勒索軟體談判人員Angelo Martino 70個月徒刑。他利用工作取得的機密資訊，暗中協助BlackCat（又稱ALPHV）勒索軟體集團向受害組織索取更高贖金，並與兩名前資安從業人員Kevin Martin及Ryan Goldberg合作，共同對美國更多組織部署該勒索軟體。Martino於2026年4月承認一項共謀以勒索手段妨礙州際商業活動罪，法院於7月9日判處70個月徒刑。同案共犯Martin及Goldberg則於5月1日各遭判處48個月徒刑。<a href="https://www.ithome.com.tw/news/177251">詳全文</a> </p> </div></div></div>
7/13 14:56作者周峻佑https://www.ithome.com.tw/news/177261
微軟坦承AI將讓未來Patch Tuesday的修補數量變多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.windows.com/windowsexperience/2026/07/09/evolving-windows-vulnerability-management-to-meet-the-speed-of-ai-powered-discovery/" target="_blank">微軟上周四（7/9）宣布</a>，隨著AI加速漏洞發現，Windows正擴大利用AI提早找出漏洞、加速修補與驗證流程，並預期未來每次安全更新將納入更多修補內容。</p> <p>微軟Windows與裝置部門執行副總裁Pavan Davuluri表示，AI的進步讓漏洞發現的速度與規模大增，為了在駭客利用前搶先防範，Windows正透過全新基礎設施，全面擴大整個平臺內部的漏洞發現與驗證。</p> <p>上述策略的核心為微軟於5月發表的<a href="https://www.ithome.com.tw/news/175805" target="_blank">MDASH多模型代理式AI安全系統</a>，它會掃描Windows重要的二進位檔，並利用多個AI模型驗證潛在漏洞，之後送入Windows專屬流程排除誤報，最後才交由工程師調查。微軟也計畫將MDASH等AI漏洞掃描工具，以及相關的漏洞發現與驗證作法，推廣到Windows以外的產品部門。</p> <p>此外，微軟也將AI導入後續修補流程，協助分析錯誤原因、提出候選修補方式、找出其他相似問題及挑選回歸測試，但修補程式仍須由工程師審查及驗證後才能發布。</p> <p>微軟表示，隨著AI協助防禦方發現更多問題，未來每次Windows安全更新將納入更多修補內容，而修補數量的增加代表漏洞辨識與處理能力提升。也暗示這並非是Windows突然出現更多安全問題。</p> <p>微軟並未透露正式導入AI發現/修補漏洞流程的時間，不過，<a href="https://www.ithome.com.tw/news/176497" target="_blank">今年6月微軟在Patch Tuesday</a>修補約200個自家產品漏洞，較5月約118個大增近7成，也是歷來規模最大的單月安全更新之一。</p> </div></div></div>
7/13 16:22作者陳曉莉https://www.ithome.com.tw/news/177264
Datadog揭露GitHub API偵察行動，Ghost帳號長期掃描企業儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://securitylabs.datadoghq.com/articles/coordinated-github-api-enumeration/" target="_blank">資安業者Datadog上周揭露</a>多起濫用GitHub API的偵察行動，駭客利用建立多年的Ghost帳號，系統性蒐集企業GitHub組織、儲存庫及使用者資訊；部分行動另使用外洩的OAuth Token與個人存取權杖（PAT），有一案例已成功複製私有儲存庫。</p> <p>GitHub提供多種可存取公開資料的API。根據Datadog的調查，駭客利用建立多年的Ghost帳號，透過這些API查詢企業公開儲存庫、組織成員、使用者追蹤關係、Gist及收藏的儲存庫，並大量利用GraphQL查詢及REST API蒐集資訊，以建立企業GitHub組織、開發人員及專案之間的關係圖。由於這些查詢多針對公開資料，不會留下登入失敗或權限不足等明顯錯誤紀錄，因此容易混入一般API流量，不易被企業察覺。</p> <p>自2025年10月以來，Datadog已觀察到超過50個Ghost帳號參與這類偵察活動，這些帳號多建立於2至5年前，長期閒置後突然開始針對多家企業大量發送API請求，通常持續1至3周後再停止活動。此外，Datadog也發現部分攻擊利用外洩的OAuth Token及個人存取權杖（PAT）嘗試存取私有儲存庫，並至少確認一個成功存取及複製私有儲存庫的案例。</p> <p>Datadog建議企業啟用GitHub稽核日誌串流，建立正常User-Agent使用基準，並監控異常API活動、存取權杖及私有儲存庫的查詢、複製與下載行為，以便及早發現未授權存取及資料外洩跡象。</p> </div></div></div>
7/13 15:03作者陳曉莉https://www.ithome.com.tw/news/177262
針對5月資料外洩事故，CISA公布後續處理及調查結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月中旬<strong><a href="https://www.ithome.com.tw/news/175968">資安部落格Krebs On Security</a></strong>、<strong><a href="https://www.ithome.com.tw/news/176012">資安公司GitGuardian</a></strong>提出警告，美國網路安全與基礎設施安全局（CISA）的公開GitHub儲存庫，存放多個高權限的AWS GovCloud政府雲端服務帳號，以及大量CISA內部系統憑證，可能成為近期美國政府最嚴重的資料外洩事故而引起外界關注，此事亦引起美國國會關切。近期CISA公布了這起事故的後續處理結果。</p> <p>7月9日CISA<strong><a href="https://www.cisa.gov/news-events/news/lessons-cisas-cyber-incident">發布部落格文章</a></strong>指出，他們在5月15日接獲通報後，已立即著手消除相關資料公開暴露，以防止進一步的傷害。此GitHub儲存庫並非CISA所有，而是承包商所建立，目前已被下架。CISA也將開發環境下線，並重置相關憑證。此外，他們也撤銷承包商的系統存取權限。根據事件記錄鑑識的結果，洩漏的憑證並未用於CISA以外的環境，沒有客戶或任務資料外洩。</p> <p>針對這起事故發生的原因，是承包商將CISA開發儲存庫複本上傳到私人的GitHub帳號，目的是建造自動化雲端基礎設施，其內容涵蓋了CISA的基礎設施即程式碼（Infrastructure as Code），以及管理員及編譯憑證。對於該承包商曾擔任管理員的環境，CISA將所有憑證都進行輪換，並調整程式碼儲存庫的允許及封鎖名單，限縮使用者上傳至公開儲存庫的能力。</p> </div></div></div>
7/13 13:43作者周峻佑https://www.ithome.com.tw/news/177260
微軟永續報告揭AI時代新挑戰：總體排放增加25%，資料中心能源與零碳電力成關鍵戰場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟近期發布的<a href="https://www.microsoft.com/en-us/corporate-responsibility/topics/sustainability/report/">「2026 Environmental Sustainability Report」</a>，揭露其在2025會計年度（FY2025）的最新環境永續進展。該報告顯示，微軟全球溫室氣體排放量較2020年基準仍增加，其中FY2025排放較前一年增加25%。微軟指出，排放增加主要受到資料中心基礎設施擴張，以及停止採用未綁定（unbundled）的再生能源憑證（Renewable Energy Certificates, REC）等因素影響。</p> <p>從排放結構來看，微軟今年最大的變化是能源相關排放的重要性提高。Scope 2（能源間接排放）占整體排放比例明顯上升，從前一年占比2%，提高至FY2025的13%，反映隨著雲端運算、人工智慧服務及資料中心建設持續擴大，企業面臨的永續挑戰已逐漸從單純提升能源效率，延伸至如何取得足夠且低碳的電力來源。</p> <p><img alt="" src="/sites/default/files/images/emmision-1.jpg" style="width: 600px; height: 526px;" /></p> <p>微軟表示，過去部分再生能源憑證雖可用於排放計算，但未必能實際促成新的潔淨能源供應。因此，微軟逐步停止採用未綁定的再生能源憑證，轉而投入更具額外性（additionality）的零碳能源方案，例如長期能源採購協議（PPA）及支持新增再生能源供應。這也使排放數據更直接反映實際能源使用情況。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-c35928af-7fff-1bbc-87e5-d9407a3f023b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">資料中心永續焦點轉向電力與基礎設施</span></span></span></span></h2> <p>該報告也反映明顯趨勢，AI快速發展正在重新定義資料中心永續策略。</p> <p>過去企業資料中心永續管理多聚焦於PUE（Power Usage Effectiveness）、伺服器效率提升與能源節省，但隨著生成式AI帶動GPU運算需求增加，資料中心面臨更高密度、更高功耗的運算環境，資料中心的永續議題也開始延伸至電力供應、散熱、水資源及供應鏈管理。</p> <p>微軟在報告中強調資料中心的永續設計，例如導入更高效率的冷卻技術，以因應AI工作負載帶來的散熱需求。其中微軟曾在6月分享其資料中心的永續設計，例如晶片層級液冷（chip-level liquid cooling）及封閉式循環冷卻架構，降低高功率運算環境的水資源消耗。</p> <p>相較於傳統依賴空氣冷卻或蒸發式冷卻的資料中心架構，液冷技術能直接將熱量從高功耗元件帶走，更適合未來AI伺服器與高密度GPU機櫃部署，成為下一代資料中心基礎設施的重要技術。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-c35928af-7fff-1bbc-87e5-d9407a3f023b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">Scope 3仍是最大減碳挑戰</span></span></span></span></h2> <p>除了能源使用之外，占比最大的Scope 3（其他間接排放）仍是減碳最大挑戰。</p> <p>對大型雲端業者而言，資料中心建設本身涉及大量供應鏈，包括半導體、伺服器、網通設備、鋼材及混凝土等材料，其製造過程產生的碳排放往往高於資料中心營運階段。</p> <p>因此，微軟持續推動供應商減碳，包括低碳材料、設備再利用及循環經濟措施，希望降低資料中心生命周期中的隱含碳排（embodied carbon）。</p> <p>從微軟2026永續報告揭示，AI時代的資料中心永續競爭不只是比較誰能打造更節能的設備，而是誰能取得足夠的低碳能源、建立更有效率的冷卻架構，以及管理更複雜的供應鏈碳排。</p> <p> </p> </div></div></div>
7/13 14:20作者蘇文彬https://www.ithome.com.tw/news/177254
拉脫維亞林業公司LVM遭勒索軟體攻擊，系統恢復恐將耗時數週
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<strong><a href="https://nra.lv/tehnologijas/525072-lvm-skaidro-kiberuzbrukuma-iespejamibu.htm">資安新聞網站The Record報導</a></strong>，拉脫維亞國有林業公司（LVM）於6月22日遭到勒索軟體攻擊，事發已逾三週，<strong><a href="https://x.com/valstsmezi/status/2075121682973442240">公司至今仍在修復受影響的資訊系統</a></strong>。LVM技術長Maris Kuzmins<strong><a href="https://nra.lv/tehnologijas/525072-lvm-skaidro-kiberuzbrukuma-iespejamibu.htm">近日向當地媒體透露</a></strong>，目前情況已趨於穩定，但要讓營運完全恢復正常，仍相當具有挑戰性，目前仍有約三分之二簽有服務合約的客戶，尚無法使用受影響的系統。Kuzmins表示，攻擊者鎖定某個2年未更新的系統下手，利用特定漏洞而得逞，不過Kuzmins沒有說明系統名稱，並強調他們沒有收到勒索訊息，也不會向駭客低頭付錢。</p> <p>拉脫維亞電腦緊急應變團體CERT.LV<strong><a href="https://cert.lv/lv/2026/06/as-latvijas-valsts-mezi-kiberdrosibas-incidents-aktuala-informacija">介入調查此事</a></strong>，並指出攻擊者是以經濟利益為動機的外國勒索軟體駭客集團，曾對於北約及歐盟的企業與公共機構從事攻擊，這些駭客於網路上公布LVM約44 GB資料，內容涵蓋內部文件、往來電子郵件、專案程式碼、各種系統的憑證與金鑰，以及使用者的帳密資料等。值得留意的是，這起事故受到當地高度關注的原因，在於LVM也參與開發拉脫維亞國會的選舉系統。對此CERT.LV也進行說明，LVM負責電子選民名冊的開發，相關開發工作於獨立的隔離環境進行，原始碼未存放於LVM一般的程式碼儲存庫，並直接交付拉脫維亞國家數位發展局（VDAA）保管，7月初CERT.LV表示經比對交付的程式碼，確認未遭竄改或是未經授權存取，而不受影響。</p> <p>值得留意的是，CERT.LV透露同一組人馬也入侵當地基礎設施供應商Olpha的伺服器，其中至少一個資訊系統遭到未經授權存取，不過檔案未遭到加密。CERT.LV表示，LVM與Olpha事故並無直接關連。</p> </div></div></div>
7/13 13:02作者周峻佑https://www.ithome.com.tw/news/177257
蘋果控告OpenAI系統性竊取商業機密，揭露已有逾400名前員工跳槽至OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>蘋果上周五（7/10）向美國加州北區聯邦地方法院提告OpenAI、旗下AI硬體新創io Products及兩名前蘋果員工，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.474095/gov.uscourts.cand.474095.1.0_1.pdf" target="_blank">指稱OpenAI</a>藉由招募、面試及供應鏈合作等方式，持續取得蘋果未公開產品、硬體設計及供應鏈等商業機密，以加速AI硬體業務發展。蘋果指控OpenAI及io竊取與不當使用商業機密，並控告兩名前員工違反保密及智慧財產權協議。</p> <p>被告的兩名前員工分別是蘋果前iPhone資深系統電氣工程師Chang Liu，以及前iPhone與Apple Watch產品設計副總裁Tang Yew Tan。蘋果指控，兩人分別透過非法存取內部系統及招募、面試等方式，協助OpenAI取得蘋果商業機密。其中，在蘋果任職8年的Liu甫於今年1月離職並加入OpenAI，Liu被指控利用蘋果內部系統的身分驗證漏洞進入蘋果網路儲存系統，同時也利用前同事的蘋果工作電腦存取蘋果系統。</p> <p>而在蘋果任職24年的Tan，曾擔任iPhone及Apple Watch產品設計副總裁，於2024年離職後與前蘋果設計長Jony Ive共同創辦AI硬體新創io。2025年5月，OpenAI宣布以65億美元收購io，Tan隨之出任OpenAI硬體長。蘋果指控，Tan利用自己熟悉的蘋果未公開產品、供應鏈及製造技術，透過招募及面試蘋果員工蒐集未公開產品資訊，甚至要求應徵者攜帶零件及原型參加面試，並利用掌握的供應鏈資訊接觸蘋果合作夥伴，以協助OpenAI發展AI硬體業務。</p> <p>蘋果表示，目前已有超過400名前蘋果員工任職於OpenAI，因此OpenAI部分員工掌握蘋果機密及專有資訊並不令人意外，且這些人本來就有義務對相關資訊保密。然而，OpenAI反而利用這些機密資訊，進一步向仍在蘋果任職的員工及合作夥伴蒐集更多機密，並設計面試流程試圖套取蘋果的機密資訊，同時採取措施掩飾相關行為。</p> <p>OpenAI在媒體的詢問下否認了蘋果的指控，指出他們對其它公司的商業機密沒有任何興趣，將持續專注於打造創新技術。</p> </div></div></div>
7/13 13:11作者陳曉莉https://www.ithome.com.tw/news/177258
澳洲警告多種內容管理平臺遭鎖定，駭客企圖在網站植入Webshell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月9日澳洲網路安全中心（ACSC）<strong><a href="https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/large-scale-exploitation-campaign-targeting-website-content-management-systems-cms">發布重大警訊</a></strong>，指出他們掌握鎖定多種內容管理平臺（CMS）資安漏洞的全球性大規模攻擊活動，其中已有許多澳洲中小型企業受到影響。駭客積極掃描網站，利用影響CMS與外掛程式的各種已知弱點，試圖尋找部署Webshell的機會。這些弱點涵蓋未經身分驗證的檔案上傳、遠端程式碼執行（RCE）、伺服器請求偽造（SSRF），以及反序列化漏洞。一旦成功植入Webshell，駭客就能遠端存取受害主機並進行控制，而有可能破壞網站及中斷運作、擷取網站用戶輸入的憑證或存放的資料、上傳惡意軟體以用於欺騙用戶，甚至有可能將網頁伺服器作為更加廣泛的入侵途徑。</p> <p>這波攻擊行動被鎖定的弱點，大部分存在於WordPress外掛程式，不過也有其他CMS平臺成為攻擊目標，包括：Craft CMS、MaxSite CMS、MetInfo CMS，此外近期公布的Joomla的JCE外掛程式滿分漏洞CVE-2026-48907，也是駭客利用的對象。而在WordPress外掛程式的部分，ACSC提到Simple File List、WavePlayer、BerqWP、WPBookit、Ninja Forms、ThemeREX Addons、Breeze Cache、pay-uz、ACF Extended、Sneeit Framework、WPvivid Backup、Gravity Forms，以及GutenKit與Hunk Companion的弱點，並指出這些漏洞不僅已有公開的CVE編號，且軟體開發團隊皆已提供修補程式，駭客正是利用網站管理者未及時更新的空窗期嘗試滲透網站。</p> </div></div></div>
7/13 11:26作者周峻佑https://www.ithome.com.tw/news/177248
微軟揭GigaWiper破壞型後門，整合磁碟抹除、檔案加密與遠端控制功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.microsoft.com/en-us/security/blog/2026/07/09/gigawiper-anatomy-of-a-destructive-backdoor-assembled-from-multiple-malware/" target="_blank">微軟威脅情報團隊（Microsoft Threat Intelligence）揭露針對Windows平臺破壞型後門程式GigaWiper</a>，攻擊者可遠端控制受害電腦，並啟用磁碟抹除、檔案加密及系統破壞功能。</p> <p>研究人員自2025年10月起，觀測到遭入侵環境出現破壞性資料抹除活動。進一步分析發現，這套以Go語言開發的惡意程式，將命令暨控制（C2）、遠端控制及多種系統破壞功能整合至單一後門。</p> <p>GigaWiper整合至少3個原本各自獨立的惡意程式家族。其中一項工具會直接覆寫實體磁碟，並移除非Windows安裝磁碟的磁碟分割區資訊；另一項功能大量採用Crucio勒索軟體的程式碼，可加密檔案並將副檔名改為.candy，但不會保存隨機產生的金鑰及初始化向量，也不會留下勒索訊息，因此檔案遭加密後無法解密。第三項功能則是以Go語言重新實作磁碟抹除惡意程式FlockWiper，該軟體原本以C語言開發，可用來多次覆寫Windows安裝所在的系統磁碟。除了抹除與加密資料，GigaWiper也具備遠端控制、系統資訊蒐集及資料外傳能力。</p> <p>微軟同時公布與GigaWiper相關的C2伺服器IP位址及惡意程式SHA-256雜湊值，供企業進行偵測與封鎖。在防護方面，研究人員建議企業啟用防竄改與雲端防護功能，並讓端點偵測與回應（EDR）工具以封鎖模式運作。</p> </div></div></div>
7/13 11:26作者王珮瑤https://www.ithome.com.tw/news/177249
樂扣樂扣等3企業遭韓國個資委員會重罰7億韓元，基礎防護形同虛設
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12242#LINK">韓國個人資訊保護委員會（PIPC）於7月8日宣布</a></strong>，針對3家違反《個人資訊保護法》資安防護義務的企業：樂扣樂扣（LocknLock）、Ubase 及 Sunphoto，處以總計7億100萬韓元的行政裁罰金，以及540萬韓元的行政罰鍰。PIPC強調，這些個資外洩事故的主因是企業疏於最基本的安全防護。</p> <p>當中最受關注的是，以保鮮盒聞名的生活用品品牌業者樂扣樂扣，遭裁罰逾5億韓元（約1,071萬元），情節最為嚴重。根據PIPC說明，調查發現駭客於2024年間兩度利用郵件伺服器漏洞入侵其內部系統，導致約130萬名會員及1,111筆員工的敏感個資外洩。</p> <p>其重大缺失包含：（一）未修補自2022年起已公開的伺服器漏洞；（二）多臺核心伺服器共用管理員密碼，缺乏基本帳號管控；（三）未建立異常流量監測與應變機制，直到收到駭客寄來的勒索郵件才驚覺受害；（四）未對高敏感個資採取加密保護措施；（五）未依規銷毀已結束營運門市的客戶個資。</p> <p>至於另外兩家業者，Ubase與Sunphoto則因管理員介面的存取未設IP位址限制且缺乏MFA身分驗證，導致個資外洩。企業客服外包商Ubase因1,852名用戶個資流向Telegram，罰款1億6,800萬韓元；影像設備商Sunphoto則因17萬名會員個資外洩並引發電信詐騙，遭處3,000萬韓元。</p> </div></div></div>
7/13 11:35作者羅正漢https://www.ithome.com.tw/news/177246
前勒索軟體談判人員勾結BlackCat，遭判70個月徒刑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國法院判處前勒索軟體談判人員Angelo Martino 70個月徒刑。他利用工作取得的機密資訊，暗中協助BlackCat（又稱ALPHV）勒索軟體集團向受害組織索取更高贖金，並與兩名前資安從業人員共同對美國更多組織部署該勒索軟體。</p> <p><a href="https://www.justice.gov/opa/pr/florida-ransomware-negotiator-who-extorted-and-attacked-multiple-us-victims-sentenced-prison" target="_blank">美國司法部（D</a><a href="https://www.justice.gov/opa/pr/florida-ransomware-negotiator-who-extorted-and-attacked-multiple-us-victims-sentenced-prison" target="_blank">OJ）指出</a>，現年41歲的Martino曾任職於一家美國資安事件應變公司，自2023年4月起與BlackCat攻擊者勾結。他利用替5個受害組織與勒索軟體組織談判的機會，將客戶的談判策略、保險理賠上限等機密資訊洩露給BlackCat，協助攻擊者索取更高贖金，並從中收取報酬。</p> <p>除了洩露客戶資訊，Martino還與另外兩名前資安從業人員Kevin Martin及Ryan Goldberg合作，在2023年4月至11月間，對美國其他組織部署BlackCat勒索軟體。</p> <p>Martino於2026年4月承認一項共謀以勒索手段妨礙州際商業活動罪，法院於7月9日判處70個月徒刑。同案共犯Martin及Goldberg則於5月1日各遭判處48個月徒刑。</p> <p><a href="https://www.bleepingcomputer.com/news/security/us-ransomware-negotiator-gets-4-years-in-prison-for-blackcat-attacks/" target="_blank">資安媒體Bleeping Computer</a>引述法院文件指出，Martino當時任職於資安事件應變業者DigitalMint。DigitalMint執行長Jonathan Solomon向Bleeping Computer表示，公司發現Martino與Kevin Martin涉案後，便將兩人解雇。</p> <p>這起案件也延續美國執法部門對勒索軟體的追查行動。美國司法部曾於2023年底展開干擾BlackCat勒索軟體行動，過程中，FBI查扣數個由BlackCat營運的網站，並開發解密工具，協助數百個受害組織復原系統，免於支付贖金規模估計約9,900萬美元。</p> </div></div></div>
7/13 11:48作者王珮瑤https://www.ithome.com.tw/news/177251
語音網釣鎖定Microsoft 365使用者，攻擊者企圖註冊自行控制的通行金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.okta.com/en-au/blog/threat-intelligence/vishing-actors-target-microsoft-entra-passkey-enrollment-/" target="_blank">身分與存取管理業者Okta警告</a>，自2026年4月起，代號O-UNC-066的威脅行為者以語音網釣（vishing）手法鎖定多個產業的企業與組織，致電目標企業員工，謊稱對方需要為Microsoft 365帳號註冊新的通行金鑰（passkey），誘騙受害者交出帳號密碼，並配合完成登入所需的多因素驗證（MFA）。研究人員研判，攻擊者企圖藉此接管帳號，並註冊自行控制的通行金鑰。</p> <p>根據Okta對網釣工具的分析，受害者在假網站輸入帳號密碼後，攻擊者可能在數秒內透過微軟的合法登入頁面嘗試存取受害者帳號，再確認系統要求採用哪一種MFA方式，並切換假網站頁面，誘使對方輸入簡訊驗證碼、驗證器應用程式產生的一次性密碼，或在驗證器應用程式輸入攻擊者提供的數字，核准登入要求。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0712-O-UNC-066-phishing-okta.png" style="width: 501px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Okta</span></span></p> <p>若受害者依照指示完成MFA，攻擊者接著可讓假網站顯示仿冒通行金鑰註冊流程的頁面，以及名為「復原金鑰」的頁面，要求使用者保存一組從攻擊者控制的清單產生、包含12個單字的助記詞（mnemonic sentence），而且，這組助記詞是遵守比特幣改進提案第39號標準（Bitcoin Improvement Proposal 39，BIP-39）而產生的內容，類似加密貨幣應用程式產生易於記憶的種子字做法。研究人員指出，這類助記詞與微軟雲端身分識別服務Microsoft Entra ID或通行金鑰註冊流程沒有已知的直接關聯，研判相關頁面是為了讓受害者忙於無關操作，讓攻擊者趁機將自行控制的通行金鑰註冊到真正的Microsoft帳號內。</p> </div></div></div>
7/13 12:01作者王珮瑤https://www.ithome.com.tw/news/177252
後門程式WP-ShellStorm大規模入侵WordPress網站，駭客意圖兜售網站的存取權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>威脅情報公司SOCRadar揭露<strong><a href="https://socradar.io/blog/wp-shellstorm-expose-1-4m-wordpress-sites/">後門程式WP-ShellStorm的大規模攻擊活動</a></strong>，中國駭客鎖定超過140萬個網域、利用27個CVE漏洞，主要目的是在WordPress網站植入Webshell，並將受害網站的存取權限轉賣給其他駭客組織。SOCRadar將這些駭客的活動稱為Webshell Access Brokerage Operation（WABO），並確認正在活動的Webshell超過5,700個。</p> <p>該公司察覺這波攻擊活動的跡象，源自駭客曝露的Python SimpleHTTPServer執行個體，內容呈現了具備專業技能、以經濟利益為動機的網路犯罪團體活動，包括了完整的工具、事件記錄，以及攻擊目標的清單。值得留意的是，雖然駭客的主要目標的WordPress網站，但更引起SOCRadar注意的地方，是另一部分更為低調的活動，駭客的目標是企業的Java基礎設施。</p> </div></div></div>
7/13 12:02作者周峻佑https://www.ithome.com.tw/news/177253
Zimbra爆發嚴重漏洞，攻擊者可透過發送特製郵件在收件者Webmail介面執行惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源郵件及協同平臺Zimbra上周發出安全更新，以修補一個讓攻擊者以惡意郵件在網頁用戶端執行惡意程式的重大漏洞。</p> <p>Zimbra Collaboration Suite（ZCS）為廣受歡迎開源協同平臺，整合電子郵件、行事曆、即時通訊和雲端硬碟功能。最新發現的漏洞為一存在ZCS的經典Web用戶端的跨站指令碼（Cross-Site Scripting，XSS）漏洞，可讓攻擊者傳送特製郵件，以便在用戶執行階段執行惡意腳本程式。但這項漏洞並未被分配CVE漏洞編號，也不知風險值。</p> <p><a href="https://wiki.zimbra.com/wiki/Zimbra_Releases/10.1.19" target="_blank">Zimbra維護單位上周釋出Daffodil（v10.1.19）更新版本</a>，並提醒ZCS 10.0.x、9.0.x或8.8.15的用戶必須先升級到ZCS 10.1.19版，再更新SNMP緩解措施。而ZCS 10.1.x的用戶，若已經施行了SNMP緩解措施則無需任何動作，因SNMP緩解在10.1.19環境仍然有效。</p> <p>Zimbra維護單位並未提及是否有針對本漏洞的濫用行為。<a href="https://thehackernews.com/2026/07/critical-zimbra-flaw-could-let-crafted_0483473395.html" target="_blank">但The Hacker News提醒</a>，Zimbra的XSS漏洞向來是駭客喜愛的攻擊目標，<a href="https://www.ithome.com.tw/news/149713" target="_blank">早在2021年就曾經</a>有駭客武器化Zimbra的XSS漏洞CVE-2022-24682發動名為Operation EmailThief行動，攻擊歐洲政府和媒體。<a href="https://www.ithome.com.tw/news/171603" target="_blank">去年Zimbra又有零時差漏洞CVE-2025-27915</a>被濫用攻擊巴西軍方，可在受害者讀取惡意信件時觸發而可執行任意JavaScript，使駭客得以設定受害者郵件，導致信件重導向或資料外洩。</p> </div></div></div>
7/13 10:35作者林妍溱https://www.ithome.com.tw/news/177242
Meta證實評估跨足AI雲端租賃業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bloomberg.com/news/articles/2026-07-09/meta-s-zuckerberg-says-exploring-ai-cloud-business-makes-sense" target="_blank">彭博報導</a>，Meta執行長祖克柏（Mark Zuckerberg）證實，公司正在思考跨入服務業務，出售多餘的AI雲端基礎架構運算資源。</p> <p>祖克柏稱，出售其Meta Compute多餘的AI運算資源「很合理」，該公司正在研究這項計畫。</p> <p>這項計畫也解釋了Meta何以對AI基礎架構如此雄心勃勃。<a href="https://www.ithome.com.tw/news/173314" target="_blank">Meta今年初啟動</a>Meta Compute計畫，打算在未來10年建置數十GW等級的運算與能源規模，且未來可能成長到數百GW以上。當時業界認為這項規劃的目的，明顯不是為了單一AI公司或模型訓練需求而設計，而是等同Amazon Web Services（AWS）、Microsoft Azure、Google Cloud Platform的基礎架構。<a href="https://finance.yahoo.com/technology/ai/articles/meta-plans-sell-ai-compute-113611740.html" target="_blank">Meta預估</a>今年的AI基礎架構投資金額在1250到1450億美元。</p> <p>同時間Meta積極推動研發AI自有晶片。<a href="https://www.reuters.com/world/asia-pacific/meta-put-ai-chip-into-production-september-it-looks-double-computing-capacity-2026-07-09/" target="_blank">路透社上周報導</a>，Meta為了明年資料中心可提供今年2倍、高達14 gigawatt的運算容量，預計九月起生產第四代MTIA（Meta Training and Inference Accelerators）計畫的晶片，包括代號Iris的自家設計。Meta並和博通合作，共同開發多個世代的MTIA晶片，包括推理與生成式AI等工作負載，也將引進博通的乙太網與XPU平臺，建構可支援大規模運算叢集的低延遲、高頻寬架構。</p> <p>這項計畫可望以其Meta Compute為中心展開，推動公司轉型為企業AI服務供應商，然而也使其成為原有AI架構供應商的競爭者。<a href="https://thenextweb.com/news/meta-zuckerberg-ai-cloud-business-makes-sense" target="_blank">The Next Web報導</a>，報導一出，Meta的新式雲端（neocloud）供應商CoreWeave、Nebius、IREN股價下跌超過10%。<a href="https://thenextweb.com/news/meta-coreweave-21-billion-ai-cloud-deal" target="_blank">其中Meta向CoreWeave採購</a>了350億美元的運算容量，是這家新創業者最大客戶之一。若Meta真的開始銷售運算容量，可能形同作為CoreWeave容量的經銷商。</p> <p>不過媒體也分析，Meta向來是以消費應用為主力，而AI基礎架構需要的是平臺營運維護能力、企業客戶技術支援及服務人力與團隊，這些都不是短期間可養成的能力，若Meta有意跨入服務商領域，也將面臨這些挑戰。</p> </div></div></div>
7/13 10:45作者林妍溱https://www.ithome.com.tw/news/177243
荷蘭警方揭露2月電信公司Odido事故調查結果，指出有當地人士涉案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年2月荷蘭大型電信公司Odido<strong><a href="https://www.odido.nl/veiligheid">證實遭遇網路攻擊</a></strong>，駭客團體ShinyHunters於2月5日至6日，冒充該公司IT部門的員工從事網釣而得逞，並<strong><a href="https://www.nu.nl/binnenland/6385809/gegevens-miljoenen-odido-klanten-gelekt-na-grote-cyberaanval.html">向當地媒體透露</a></strong>約有620萬名客戶的帳號資料外流。這起事故也引起荷蘭當局的重視並介入調查，近日公布最新調查結果。</p> <p>7月9日荷蘭國家檢察署與荷蘭國家調查與行動單位<strong><a href="https://www.politie.nl/nieuws/2026/juli/8/onderzoek-naar-hack-odido-wijst-op-mogelijke-betrokkenheid-nederlanders.html">發布聯合聲明</a></strong>，指出這起事故疑似有荷蘭人涉案。其中一個跡象，就是冒充Odido公司IT人員的駭客，曾打電話給Odido客服中心，這名駭客是使用荷蘭語的男性。對此，荷蘭警方表示正在對涉案人士進一步調查，呼籲這名冒充IT人員的嫌犯出面自首，不排除日後會公布此人的聲音。荷蘭警方表示，他們已在調查初期，關閉駭客用於散布竊得資料的多臺伺服器。</p> </div></div></div>
7/13 10:52作者周峻佑https://www.ithome.com.tw/news/177244
OpenMandriva Linux專案傳出遭惡意貢獻者蓄意破壞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://forum.openmandriva.org/t/statement-regarding-attempted-distribution-sabotage/8997" target="_blank">開源專案OpenMandriva Linux上周傳出重大事件</a>，貢獻者惡意破壞，刪除了專案長達十年、數十個儲存庫，並且破壞GNOME和COSMIC套件，幾乎危及下游開發人員系統。</p> <p>OpenMandriva Linux為Mandriva的開源版本。它繼承Mandriva的易用血統，內建OM Control Center等圖形化管理工具，且預設搭載最新KDE Plasma桌面環境及可自訂視覺介面，讓不熟悉命令列的使用者也能輕鬆上手。它是少數堅持完全使用LLVM/Clang編譯器（而非GCC）打造系統核心的發行版，吸引對編譯技術與效能最佳化感興趣的工程人員。</p> <p>上周三（7/8）OpenMandriva Linux維護暨管理員AngryPenguin透過版上公告欄<a href="https://forum.openmandriva.org/t/statement-regarding-attempted-distribution-sabotage/8997" target="_blank">向社群公佈一起違紀事件及社群警告</a>。開發人員Davide Beatrici加入OpenMandriva Linux以貢獻即時通訊App名為Mumble聞名。Beatrici還建議將OpenMandriva Linux專案搬移到其私人雲端空間OneDev上，不過由於社群成員有疑慮，因此仍在專案架在公開平臺GitHub，但有數十個儲存庫備份及鏡射到其私人雲端執行個體。</p> <p>Beatrici是和另二個友人一起加入OpenMandriva Linux，卻引發專案危機。其中一人在私訊（PM）中，對OpenMandriva Linux的特定用戶和成員表現出攻擊（abusive）行為，導致部份成員和用戶離開。隨後該名人士在社群對話及GitHub上攻擊另一友人。AngryPenguin於是決定將該攻擊者踢出對話群組，雖然並未封鎖他，不過Beatrici為此不悅因而退出專案。</p> <p>OpenMandriva Linux成員認為已經沒有必要再把專案鏡射到Beatrici的私人雲端平臺上，因此出手中斷連線，此事進一步惹惱Beatrici。上周他濫用仍然有效的管理員權限，刪除了專案在GitHub上的部份儲存庫，毀掉了專案超過10年的心血。接著他將空白的套件出版到cooker儲存庫，破壞所有GNOME和COSMIC套件，此舉可能損壞使用這些套件的人的系統。</p> <p>經過全盤檢查，專案小組目前沒有發現其他破壞行為。專案成員目前正在努力重置被刪除的儲存庫，及復原遭破壞的套件功能。他們警告開源社群小心這號人物，同時考慮對他提出法律行動。</p> </div></div></div>
7/13 11:00作者林妍溱https://www.ithome.com.tw/news/177245
AI降低程式撰寫門檻，FT警告開源生態面臨維護斷層
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>生成式AI降低程式撰寫門檻，卻也讓大量低品質程式碼與漏洞回報湧入開源專案。<a href="https://www.ft.com/content/cec8df9e-b43b-4cd1-8feb-c07e804e8d33?syn-25a6b1a6=1" target="_blank">金融時報（Financial Times，FT）</a>在近日刊出的專題報導中指出，相關審查與維護成本正轉嫁給少數維護者，長期恐削弱開源社群協作模式，形成維護斷層。</p> <p>開源工具curl創辦人暨維護者Daniel Stenberg<a href="https://daniel.haxx.se/blog/2026/01/26/the-end-of-the-curl-bug-bounty/" target="_blank">在今年1月終止</a>了curl漏洞獎勵計畫，原因是由AI產生的漏洞報告暴增，大量垃圾提交已對維護者帶來沉重負擔。Stenberg向FT表示，開源軟體是現代軟體得以存在的前提，開發者必須依賴大量通用元件，才能組合出現代各種軟體與數位服務。</p> <p>1996年問世的curl，是個用於在網路上傳輸資料的開源專案，迄今已吸引逾3,000名貢獻者，可讓其他應用具備網路傳輸的核心元件libcurl被安裝超過200億次。Stenberg強調，軟體專案真正的挑戰，從來不是寫出第一版程式，而是日後能否持續維護及修正錯誤；若開發者本身不了解程式碼，就只能一直仰賴AI解決，但現在的AI比較會發現問題，未必有能力妥善解決。</p> <p>FT在此一專題還引用許多其他受到AI衝擊的案例。像是開源白板工具tldraw創辦人Steve Ruiz也因收到大量低品質的AI拉取請求（PR），而<a href="https://tldraw.dev/blog/stay-away-from-my-trash" target="_blank">在今年1月宣布</a>停止接受外部程式碼貢獻。Stack Overflow則發現，ChatGPT問世後，Stack Overflow每月新提問從逾10萬則降至不到1500則，顯示工程師愈來愈傾向直接與AI互動，公開技術知識的累積也逐漸減少。</p> <p>中歐大學今年發表的研究《<a href="https://arxiv.org/abs/2601.15494" target="_blank">Vibe Coding Kills Open Source</a>》指出，AI程式代理會大量下載模型偏好的開源套件，推高使用數據，卻不會像人類使用者一樣提供回饋、捐款、聲譽或後續貢獻。研究者認為，當套件的「人氣」主要來自機器使用，開發者從開源專案獲得的職涯與社群回報將逐漸下降，原本支撐開源協作的誘因也可能因此瓦解。</p> </div></div></div>
7/13 11:16作者陳曉莉https://www.ithome.com.tw/news/177247
【資安週報】0706~0709，漏洞從揭露到被利用的平均時間已驟降至兩小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>漏洞攻防態勢面臨結構性轉折，資安界頻頻引用「Zero Day Clock」網站最新數據，反映漏洞揭露到被利用的時間縮短至僅2小時，而近期Citrix、Adobe的漏洞，在揭露24小時、甚至2小時內，便被資安業者觀察到出現利用的攻擊活動，亦證實上述攻擊態勢。</p> <p>另有FatFs漏洞、中國騰達路由器後門的消息亦值得特別留意，皆存在研究人員或機構通報未得到回應，導致無修補程式可用的情形，突顯物聯網設備資安風險在快攻態勢下更形嚴峻。</p> <p>此外，數發部公布「人工智慧風險分類框架」，以及資安署聚焦臺灣「軟體業」啟動產品漏洞獵捕活動，亦呈現臺灣在AI風險管理與產品資安強化的重要進展。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">IoT/OT安全</strong></h1> <p><span style="color:#696969;"><strong>物聯網設備安全議題受關注，FatFs基礎元件弱點與中國騰達路由器隱藏後門的新聞成焦點，維護者與原廠沒有提供修補程式的狀況，反映出物聯網設備所面臨的挑戰日益嚴峻，用戶需警覺老舊產品生命週期中可能存在的資安缺口。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177089">小型嵌入式裝置檔案系統元件FatFs存在7個弱點，恐影響大量隨身碟與SD記憶卡，以及配備這些儲存裝置的各種物聯網設備</a></strong></p> <p><a href="/sites/default/files/images/2026-07-09_121510.jpg"><img alt="" src="/sites/default/files/images/2026-07-09_121510.jpg" style="width: 400px; float: right;" /></a></p> <p>以網路曝險管理見長的資安廠商runZero，7月初揭露FatFs R0.16與更早的版本存在7個資安漏洞，廣泛影響許多設備，涵蓋消費型物聯網設備、工業控制器、無人機、加密錢包等產品。runZero警告，一旦能對存在漏洞的設備進行實體存取，都會導致系統遭到突破或越獄，尤其是缺乏記憶體位址空間隨機處理（ASLR）與記憶體保護的情況。</p> <p><strong><a href="https://www.ithome.com.tw/news/177098">Google與FBI打擊NetNut常駐代理網路，涉及至少200萬臺家用連網裝置</a></strong></p> <p>Google與FBI聯手打擊大型常駐代理網路NetNut，指出其涉及至少200萬臺智慧電視、串流盒等家用連網裝置，可能被用來轉送攻擊流量、隱藏來源IP位址，並與Popa、Badbox 2.0等殭屍網路活動有關。</p> <p><strong><a href="https://www.ithome.com.tw/news/177173">騰達路由器韌體存在隱藏後門，可繞過驗證取得管理員權限</a></strong></p> <p>美國CERT/CC揭露中國網通設備廠商騰達（Tenda）多款路由器韌體存在隱藏後門漏洞CVE-2026-11405，攻擊者可繞過正常身分驗證流程，直接取得網頁管理介面的管理員權限。其產品亦於臺灣電商上架，但目前受影響設備尚無修補程式，CERT/CC指出騰達未在任何文件或管理介面提及這項替代密碼機制，建議停用遠端網頁管理功能，以降低設備遭入侵的風險。<br /> </p> <h1><strong style="color: rgb(255, 140, 0);">資安維運</strong></h1> <p><span style="color:#696969;"><strong>漏洞從揭露到被利用的時間大幅縮短，成為2026年資安維運的重點議題。Zero Day Clock網站顯示，去年平均尚有21.5天應變時間，今年已縮短至不到1星期甚至不到1天，近期數據更是僅有2小時。此一趨勢顯示，維運團隊勢必得導入自動化機制，方能有效應對當前的威脅挑戰。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177079">Zero Day Clock網站示警：漏洞揭露到被利用的時間已縮短至2小時</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_bzero_day_clock_2026_07_03.jpg?itok=_Ojb3Agk"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_bzero_day_clock_2026_07_03.jpg?itok=_Ojb3Agk" style="width: 400px; float: right;" /></a></p> <p>漏洞從公開到被利用的時間（Time-to-Exploit），已從過去的數月、數日，縮短至如今以小時計算。近期不少專家紛紛引用名為「Zero Day Clock」的網站圖表，均是為了突顯2026年的嚴峻挑戰在於：防禦方的反應時間已被壓縮至新低點。</p> <p><strong><a href="https://www.ithome.com.tw/news/177066">逾400臺SimpleHelp伺服器曝露於滿分重大漏洞風險</a><span style="color: rgb(255, 0, 0);">【CVE-2026-48558】</span></strong></p> <p>遠端管理工具平臺SimpleHelp在5月修補CVSS評為10分的漏洞CVE-2026-48558，迄今仍有不少SimpleHelp伺服器尚未更新而曝險。7月2日Shadowserver基金會警告，截至7月1日為止，網際網路上仍有439個SimpleHelp執行個體尚未修補而曝險。</p> <p><strong><a href="https://www.ithome.com.tw/news/177029">為因應AI加速漏洞的發現，Adobe每月將發布兩次例行更新</a></strong></p> <p>由於頂尖AI模型與AI代理分析工具現在能以遠超傳統方法的速度，在大型程式碼庫找出安全缺陷，Adobe決定將例行更新的發布頻率從每月一次變為兩次，自7月14日起，將會在每月的第二及第四個星期二發布例行更新。</p> <p><strong><a href="https://www.ithome.com.tw/news/177054">AI加速軟體交付，僅有兩成雲原生組織每次發布變更都執行安全驗證</a></strong></p> <p>應用程式安全平臺業者Aikido Security發布《State of AI in Pentesting 2026》報告，指出AI輔助開發正在加快企業軟體變更與發布速度，但以固定週期執行的滲透測試，往往無法反映生產環境最新風險；等報告出爐時，結果多半已過時。</p> <p><strong><a href="https://www.ithome.com.tw/news/177131">Akira勒索軟體攻擊者以SEO Poisoning手法，誘導IT管理員下載惡意安裝程式</a></strong></p> <p>資安事件分析團隊The DFIR Report指出，一起涉及Akira勒索軟體的攻擊案例顯示，駭客透過針對Bing的搜尋引擎最佳化中毒（SEO Poisoning）手法，假冒企業IT維運工具下載頁，鎖定正在搜尋相關工具的IT管理人員，藉此接觸可能具備高權限的企業帳號。</p> <p><strong><a href="https://www.ithome.com.tw/news/177145">駭客鎖定歐亞飯店展開網釣攻擊，濫用Calendly與Google轉址植入TonRAT後門</a></strong></p> <p>飯店與旅宿業注意！有攻擊者發動網釣攻擊，假借客人投訴等名義，並濫用知名預約平臺Calendly的郵件通知系統及Google的網址轉址功能，引誘飯店從業人員下載偽裝成照片檔案的惡意壓縮檔。微軟指出，攻擊者的目標是在受害者電腦中植入TonRAT後門程式，建立長期的遠端控制權限。</p> <p><strong><a href="https://www.ithome.com.tw/news/177135">Java遠端存取木馬QuimaRAT現身，以MaaS模式販售並鎖定Windows、Linux與macOS</a></strong></p> <p>資安業者LevelBlue近日揭露新型Java遠端存取木馬（RAT）QuimaRAT，以惡意程式即服務（MaaS）模式在暗網論壇販售，顯示跨平臺RAT正朝模組化、商業化方向發展。QuimaRAT具備遠端命令執行、檔案傳輸、憑證資料竊取、剪貼簿操作、遠端酬載投遞、外掛模組載入，以及攝影機監控等能力；Windows版本另具備無檔案Shellcode執行能力。</p> <p><strong><a href="https://www.ithome.com.tw/news/177165">ClickFix成2026年3月至5月主要惡意程式投遞手法，首度擴及macOS平臺</a></strong></p> <p>資安業者ReliaQuest於6月30日發布威脅情勢報告指出，ClickFix已成為2026年3月至5月期間主要的惡意程式投遞手法。值得注意的是，ReliaQuest首次觀察到ClickFix攻擊手法延伸至macOS環境。因應這類攻擊，研究人員建議資安團隊從端點遙測資料與系統事件記錄著手，偵測異常跡象。</p> <p><strong><a href="https://www.ithome.com.tw/news/177080">駭客冒充國際刑警組織寄送釣魚郵件，鎖定中小企業散布勒索軟體</a></strong></p> <p>資安業者Bitdefender揭露一起冒用國際刑警組織的釣魚攻擊行動，駭客鎖定中小企業寄送偽造郵件，誘騙收件者透過Proton Drive下載並執行惡意檔案，進而部署勒索軟體並加密系統資料。研究人員指出，攻擊主要針對多地區多產業企業，惡意程式結構雖不複雜，但透過社交工程提高成功率，並要求受害者使用匿名通訊平臺Tox聯繫以進一步勒索。</p> <p><strong><a href="https://www.ithome.com.tw/news/177038">駭客冒充Booking.com攻擊日本旅館業者，利用區塊鏈技術隱匿身分</a></strong></p> <p>趨勢科技本週說明今年5月發現駭客鎖定日本飯店與旅宿業者，假冒Booking.com發送客訴通知信，誘騙員工開啟惡意檔案，目的是在受害電腦植入TONResolver，由於攻擊者採用區塊鏈平臺The Open Network（TON）建立C2通訊，並當作Dead-drop解析器，能隨時更換後端伺服器位址，大幅提高防禦與查緝難度。</p> <p><strong><a href="https://www.ithome.com.tw/news/177101">駭客團體Armored Likho鎖定政府機關、能源產業，散布竊資軟體BusySnake Stealer</a></strong></p> <p>駭客組織Armored Likho攻擊俄羅斯、巴西與哈薩克的政府機構與電力部門組織，利用竊資軟體BusySnake Stealer竊取帳密與Cookie，並在電腦建立反向SSH隧道進行通訊。攻擊者假借心理測驗或人道援助等幌子寄送郵件，引誘點選附件執行檔或LNK檔，若上鉤就會在電腦注入惡意程式，從特定GitHub儲存庫拉取其他作案工具。</p> <p><strong><a href="https://www.ithome.com.tw/news/177094">開源遠端桌面工具UltraVNC修補重大漏洞，未更新可能導致遠端執行程式碼攻擊</a></strong></p> <p>UltraVNC近日發布1.8.2.4版，修補Repeater元件兩項重大漏洞CVE-2026-7839與CVE-2026-7840，可能導致攻擊者可在未經身分驗證情況下取得管理權限或遠端執行程式碼。由於Repeater元件常部署於企業網路邊界，一旦遭利用可能成為入侵內部遠端管理環境的跳板，用戶應儘速更新至已修補版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/177037">Oracle E-Business Suite揭露最新重大漏洞，全球逾900臺執行個體曝險</a></strong></p> <p>甲骨文已於今年5月修補的Oracle商務套裝軟體EBS漏洞CVE-2026-46817，但根據網路安全監控組織Shadowserver基金會觀察，曝露於網際網路的Oracle EBS執行個體還有950臺，北美占超過半數，亞洲超過200臺，臺灣有2臺，但不確定這些機器是否已安裝更新。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177169">調查商業間諜軟體濫用，歐洲議會PEGA委員會成員反遭Pegasus入侵</a></strong></p> <p><strong>●</strong><strong><a href="https://www.ithome.com.tw/news/177031">Splunk Secure Gateway高風險漏洞可讓低權限使用者遠端執行程式碼</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177069">竊資軟體StealC的控制面板存在弱點，資安公司以此協助執法單位查扣伺服器</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177078">惡意程式SocGholish於3年內入侵逾144萬個WordPress網站</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>近幾個月來，持續有不同研究人員發現Linux核心的本機權限提升漏洞，最新是Bad Epoll（CVE-2026-46242）的技術細節揭露，此外，Linux KVM組件與開源防毒軟體ClamAV亦修補潛伏數十年的重大漏洞，顯示基礎架構的陳年隱患仍威脅著端點安全。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177088">Linux核心又被發現新的本機權限提升漏洞Bad Epoll，Android也受到影響</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/bad_epoll-main.png?itok=1O2hmKi_"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/bad_epoll-main.png?itok=1O2hmKi_" style="width: 400px; float: right;" /></a></p> <p>Linux核心epoll子系統存在本機權限漏洞Bad Epoll，編號為CVE-2026-46242，屬7.8分高風險漏洞，多個桌面系統、伺服器與Android均受影響。發現與通報Bad Epoll的人，是韓國首爾大學電腦安全實驗室資安研究員Jaeyoung Chung，修補漏洞的方式已於4月底併入Linux核心主線。</p> <p><strong><a href="https://www.ithome.com.tw/news/177139">研究人員揭露Linux KVM潛藏16年漏洞，恐導致虛擬機跳脫隔離存取底層主機系統</a></strong></p> <p>研究人員揭露Linux KVM潛藏約16年的重大漏洞CVE-2026-53359，源自x86 KVM的Shadow MMU程式缺陷，屬於記憶體安全問題。攻擊者可透過虛擬機內操作破壞KVM記憶體分頁資料結構，造成虛擬機逃逸風險。目前公開PoC已可導致實體主機核心當機，研究人員並指出存在進一步取得主機核心root層級控制能力的利用方式。Linux Kernel已發布修補版本，用戶應儘速更新。</p> <p><strong><a href="https://www.ithome.com.tw/news/177096">思科修補開源防毒軟體ClamAV長達20年的資安漏洞</a></strong></p> <p>思科的開源防毒軟體ClamAV產品線，源自2007年Sourcefire併購ClamAV；思科則於2013年併購Sourcefire後取得該產品線，7月1日思科發布ClamAV更新版（1.5.3與1.4.5版），總共修補7項高風險資安漏洞，最受關注的是，多數漏洞早在約20年前即已引入，影響眾多舊版用戶。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177026">美國CISA更新已列入KEV的CVE-2026-33825（BlueHammer），指出被用於勒索軟體攻擊</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177024">研究揭露AirDrop與Quick Share安全漏洞，允許駭客癱瘓分享功能</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">網路安全</strong></h1> <p><span style="color:#696969;"><strong>網路邊界設備漏洞攻擊備受關注，近期傳出鎖定Citrix設備與Progress Kemp負載平衡器已知漏洞的攻擊活動。此外，FortiBleed憑證竊取活動的後續威脅不容忽視，近期已發現勒索軟體INC Ransom與Lynx濫用相關憑證攻擊企業組織。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177067">類CitrixBleed的新漏洞揭露不到24小時已出現濫用活動</a><span style="color: rgb(255, 0, 0);">【CVE-2026-8451】</span></strong></p> <p><a href="/sites/default/files/images/2026-07-09_120916.jpg"><img alt="" src="/sites/default/files/images/2026-07-09_120916.jpg" style="width: 400px; float: right;" /></a></p> <p>Citrix於6月30日發布資安公告修補6項漏洞，其中的CVE-2026-8451，與2023年曾遭攻擊者大規模濫用的CitrixBleed漏洞（CVE-2023-4966）同屬敏感資料外洩問題，最受矚目。更引發重視的是，資安業者Lupovis在CVE-2026-8451漏洞揭露不到24小時內，即偵測完整的濫用程式，並於7月2日警告此事。</p> <p><strong><a href="https://www.ithome.com.tw/news/177042">資安業者警示負載平衡器Kemp LoadMaster重大漏洞遭實際利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-8037】</span></strong></p> <p>資安業者eSentire指出，Progress旗下Kemp LoadMaster負載平衡器重大漏洞CVE-2026-8037，已出現實際攻擊利用情況。該漏洞為CVSS 9.8分的未經身分驗證遠端程式碼執行問題，可能導致攻擊者執行任意系統指令。Progress已於6月初發布修補版本，用戶應儘速更新，以降低遭入侵與橫向移動風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/177070">思科警告Unified CM的SSRF漏洞遭到利用，用戶應儘速修補</a></strong></p> <p>在上期週報中，威脅情報公司Defused Cyber發現有攻擊者嘗試利用思科Unified CM的漏洞CVE-2026-20230，美國CISA也將之列入KEV。後續，思科於7月1日更新6月初發布的資安公告，確認企業通訊管理平臺Unified CM及Unified CM SME重大漏洞CVE-2026-20230，已被積極利用，建議用戶將系統升級至已修補版本，或採取臨時性緩解措施。</p> <p><strong><a href="https://www.ithome.com.tw/news/177035">FortiBleed憑證竊取活動被用於助長勒索軟體INC Ransom與Lynx攻擊</a></strong></p> <p>大規模憑證外洩事故FortiBleed引起全球高度關注，根據威脅情資公司SOCRadar調查，有12起事故演變成勒索軟體活動，受害組織裡數百臺端點電腦遭到加密。而且，其中一名涉及FortiBleed活動的人員，並積極登入INC Ransom與Lynx勒索軟體的談判介面，與受害組織討論贖金金額與付款方式。</p> <p><strong><a href="https://www.ithome.com.tw/news/177172">駭客團體UAT-7810打造新的惡意軟體架設ORB網路</a></strong></p> <p>ORB網路LapDogs因鎖定臺灣關鍵基礎設施而備受關注，本週思科揭露LapDogs由UAT-7810經營，並透過多個已知漏洞入侵Ruckus無線路由器建立據點，也持續開發惡意程式，在最新版LongLeash加入大量新功能。</p> <p><strong><a href="https://www.ithome.com.tw/news/177060">勒索軟體Anubis利用重大漏洞CitrixBleed 2取得初始存取權限</a></strong></p> <p>資安公司Arctic Wolf追蹤勒索軟體Anubis的活動，6月底公布最新發現，他們觀察到該勒索軟體租用服務（RaaS）旗下的附屬團體，大致透過兩種方法滲透受害組織，其中一種是CitrixBleed 2漏洞（CVE-2025-5777），另一種附屬團體使用的手法，是使用有效的憑證登入思科VPN系統AnyConnect。</p> <p><strong><a href="https://www.ithome.com.tw/news/177136">OpenSSH 10.4正式發布，修補多項漏洞並導入混合式PQC簽章</a></strong></p> <p>最新版OpenSSH正式發布，除修補8項涵蓋ssh、scp、sftp與sshd元件的安全漏洞外，也新增實驗性的混合式後量子數位簽章（Composite Post-Quantum Signature）支援，結合ML-DSA44與Ed25519演算法，兼顧現有SSH相容性及未來量子運算威脅。</p> <p><strong><a href="https://www.ithome.com.tw/news/177134">AWS Certificate Manager支援ACME，自動化公開TLS憑證管理</a></strong></p> <p>雲端服務供應商AWS於6月30日宣布，旗下憑證管理服務AWS Certificate Manager（ACM）支援自動化協定ACME（Automatic Certificate Management Environment），可將TLS憑證申請、網域驗證、續約與撤銷流程自動化與標準化，降低人工管理憑證生命週期的負擔。</p> <p><strong><a href="https://www.ithome.com.tw/news/177160">俄羅斯網路戰鎖定烏克蘭媒體，對電視臺發動DDoS攻擊</a></strong></p> <p>烏克蘭國家安全局（SBU）表示，自俄烏戰爭爆發以來，SBU已阻止超過1.6萬起與俄羅斯有關的網路攻擊與重大資安事件。除了政府、金融及國防單位，新聞媒體也成為俄羅斯駭客的優先攻擊目標。烏克蘭國家特殊通訊與資訊保護局（SSSCIP）報告也指出，俄羅斯駭客對烏克蘭媒體發動超過200起實際造成影響的網路攻擊，手法包括網路釣魚、DDoS攻擊、網站竄改、破壞型惡意程式，以及入侵媒體平臺進而未經授權發布不實資訊。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177032">Cisco修補Catalyst Center漏洞CVE-2026-20191，未更新可能導致攻擊者未授權讀取任意檔案</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177104">WatchGuard修補Firebox防火牆17項漏洞，包含可能導致遠端執行任意程式碼的重大漏洞</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>近期兩項重要進展聚焦AI應用風險管控與產品資安推動，包括數發部公布AI風險分類框架，以及資安署針對臺灣軟體產業啟動軟體產品漏洞獵捕活動。針對PQC遷移議題，微軟亦預告將於2029年前完成相關部署，顯示科技大廠已將2029年視為必須提前布局的關鍵轉型時程。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177184">數發部正式公布人工智慧風險分類框架，畫分3大類20項子類別，並提供4大建議步驟</a></strong></p> <p><a href="/sites/default/files/images/2026-07-09_121325.jpg"><img alt="" src="/sites/default/files/images/2026-07-09_121325.jpg" style="width: 400px; float: right;" /></a></p> <p>隨著《人工智慧基本法》於今年1月正式上路，各目的事業主管機關近期陸續發布AI應用指引，例如衛福部、NCC均已率先展開行動，數位發展部亦於7月7日發布「人工智慧風險分類框架」，預計將帶動更多部會加速推出AI應用指引。數位發展部強調，此框架將成為政府跨部會溝通的共同語言，當中將AI風險類型表歸納為3大類、20項子類別，供目的事業主管機關訂定AI風險管理規範之用。</p> <p><strong><a href="https://www.ithome.com.tw/news/177092">資安署啟動第二屆產品漏洞獵捕活動，臺灣軟體產品成核心目標</a></strong></p> <p>為鼓勵國內業者重視產品資安，資安署與資安院去年舉辦首屆「產品資安漏洞獵捕活動」聚焦ICT硬體產品後，第二屆活動則迎來重大轉型，將核心目標鎖定在臺灣軟體產品，並聚焦政府機關內具高風險的核心軟體及關鍵資安防護工具。活動報名分為兩階段：藍隊（廠商）自7月1日開放報名，紅隊（白帽駭客）則於9月1日開放報名，此次活動將是協助臺灣軟體產業產品資安升級的重要契機，有待國內軟體廠商能共同積極參與。</p> <p><strong><a href="https://www.ithome.com.tw/news/177033">微軟規畫2029年完成產品與服務PQC部署</a></strong></p> <p>在美國政府訂定後量子密碼學（PQC）轉型時程後，微軟也在6月30日宣布加速推動旗下量子安全（Quantum Safe）計畫，目標是在2029年前，完成產品與服務的PQC部署。微軟指出量子運算對現有密碼機制構成的風險，已不再只是長期技術議題，而是各國政府與企業未來數年內必須處理的資安與合規問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/177159">英國推網路韌性承諾計畫，促企業強化董事會治理與供應鏈資安</a></strong></p> <p>英國政府7月7日正式啟動企業網路韌性承諾計畫（Cyber Resilience Pledge），盼藉由大型企業帶頭，推動整體產業供應鏈強化資安防護。首批已有超過60家企業與組織加入，包括微軟英國（Microsoft UK）、Cloudflare、馬莎百貨（M&S）、金融機構Nationwide Building Society，以及商業電視業者ITV。</p> <p><strong><a href="https://www.ithome.com.tw/news/177133">NIST更新系統規畫指引，強化安全、隱私與供應鏈風險治理</a></strong></p> <p>美國國家標準暨技術研究院（NIST）針對組織建立與維護系統規畫文件的指引NIST SP 800-18，6月30日發布更新版本為Rev. 2，NIST指出，新版指引不再只聚焦傳統的系統安全計畫，而是把系統安全計畫、系統隱私計畫，以及網路安全供應鏈風險管理（C-SCRM）計畫，整合為同一套系統計畫架構。</p> <p><strong><a href="https://www.ithome.com.tw/news/177059">AI成歐洲央行年度論壇焦點，金融穩定與資安風險受關注</a></strong></p> <p>各國央行開始重新評估AI技術對金融穩定的影響，在6月底舉行的歐洲央行（ECB）年度論壇上，英格蘭銀行副總裁Sarah Breeden表示，AI技術快速演進，可能使金融市場交易、支付流程與資安攻防等環節加速自動化，讓相關作業以更大規模、更快速度進行；央行在監管金融業導入AI所帶來的風險同時，也需要調整自身的監理工具與工作方式。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177144">伊利諾州跟進紐約與加州，要求頂尖AI模型接受第三方安全稽核</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">應用程式安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>在應用程式安全方面，駭客鎖定近一個月已知漏洞發動攻擊的狀況引發重視，包括Joomla外掛程式、SharePoint及Gitea均成為目標。此外，Adobe修補程式釋出後僅兩小時便出現實際攻擊，更反映此一嚴峻態勢。另有libssh2、Control Web Panel漏洞因PoC程式碼已公開，導致攻擊門檻大幅降低，企業同樣必須優先關注。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177132">Adobe揭露的滿分ColdFusion漏洞傳出兩小時後就出現實際攻擊</a><span style="color: rgb(255, 0, 0);">【CVE-2026-48282】</span></strong></p> <p><a href="/sites/default/files/images/2026-07-09_121908.jpg"><img alt="" src="/sites/default/files/images/2026-07-09_121908.jpg" style="width: 400px; float: right;" /></a></p> <p>威脅情資平臺KEVIntel創辦人Ryan Dewhurst警告，6月底Adobe揭露與修補多達7個10分滿分漏洞，消息公布後不到兩個小時，其中一個存在ColdFusion的漏洞CVE-2026-48282就遭到實際利用，因為KEVIntel設置的蜜罐陷阱已偵測到相關活動，加拿大網路安全中心（CCCS）根據開源威脅情報也指出該漏洞遭利用。後續<a href="https://www.ithome.com.tw/news/177188">美國CISA</a>也將之列入KEV清單。</p> <p><strong><a href="https://www.ithome.com.tw/news/177158">美國警告Joomla外掛滿分漏洞已遭積極利用</a><span style="color: rgb(255, 0, 0);">【</span><span style="color: rgb(255, 0, 0);">CVE-2026-48908、CVE-2026-56290】</span></strong></p> <p>美國網路安全與基礎設施安全局更新已遭利用的漏洞名單（KEV），增列兩項與Joomla外掛程式有關的漏洞，分別是CVE-2026-48908、CVE-2026-56290，而且它們都是CVSS v4.0風險值達到10分滿分的危險弱點，聯邦機構被要求須於7月10日前完成修補，一般用戶也應儘速採取行動因應。</p> <p><strong><a href="https://www.ithome.com.tw/news/177025">SharePoint高風險遠端程式碼執行漏洞遭到利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-45659】</span></strong></p> <p>7月1日美國網路安全與基礎設施安全局（CISA）表示，他們將SharePoint資安漏洞CVE-2026-45659列入已遭利用漏洞名單（KEV），聯邦機構必須在7月4日前完成修補。CVE-2026-45659是微軟在5月份例行更新（Patch Tuesday）揭露與修補的漏洞，CVSS風險評為8.8分，屬於重大漏洞。</p> <p><strong><a href="https://www.ithome.com.tw/news/177163">開源版本控制系統Gitea重大漏洞遭到利用，逾6千臺執行個體恐曝險</a><span style="color: rgb(255, 0, 0);">【CVE-2026-20896】</span></strong></p> <p>前兩週揭露的開源版本控制系統Gitea重大漏洞CVE-2026-20896，資安廠商Sysdig警告，有人已透過VPN嘗試掃描上述弱點，成功利用並取得Gitea的存取權限。利用此漏洞不需先取得密碼或權杖（Token），只需用特定HTTP標頭就能嘗試存取網際網路上的Gitea執行個體，全球目前有近6,200臺Gitea伺服器暴露於公開網路。</p> <p><strong><a href="https://www.ithome.com.tw/news/177097">研究人員未通報開發團隊即公開PoC，涉及SSH函式庫libssh2重大漏洞</a></strong></p> <p>資安媒體Infosecurity Magazine報導，一名匿名資安研究人員近日以bikini帳號，在GitHub公開名為Exploitarium的儲存庫，釋出多項漏洞研究與概念驗證（Proof of Concept，PoC）程式，至少涉及30項軟體產品與開源專案。其中較受關注的漏洞包括SSH函式庫libssh2的CVE-2026-55200，自架Git服務平臺Gitea的Actions執行元件Gitea act_runner漏洞CVE-2026-58053等。</p> <p><strong><a href="https://www.ithome.com.tw/news/177113">研究人員公開Control Web Panel重大漏洞PoC程式，若未及時修補恐遭攻擊者遠端接管伺服器</a></strong></p> <p>資安業者Karma揭露網站主機管理平臺Control Web Panel重大漏洞CVE-2026-57517，並同步公開PoC利用程式，漏洞屬於CVSS 9.8分的未經身分驗證SQL注入，攻擊者可利用Control Web Panel以MySQL root權限執行資料庫操作，最終取得遠端程式碼執行能力。由於PoC已公開，預期後續掃描與攻擊將增加，用戶應儘速升級至已修補版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/177138">北韓駭客Lazarus發動NPM供應鏈攻擊，偽裝Rollup建置工具以竊取機密資料與加密貨幣資產</a></strong></p> <p>資安廠商JFrog發現北韓駭客團體Lazarus於NPM發動攻擊，他們上架偽裝成Rollup建置工具的惡意NPM套件，過程中採用多層次酬載的部署架構，最終將開發者導向遠端存取木馬（RAT），竊取瀏覽器與加密貨幣錢包資料，以及監控剪貼簿，對開發與CI/CD環境構成嚴重威脅。</p> <p><strong><a href="https://www.ithome.com.tw/news/177075">FBI警告駭客組織TeamPCP鎖定軟體開發者，針對開發工具與CI/CD發動供應鏈攻擊</a></strong></p> <p>FBI發布FLASH資安警示，提醒企業留意駭客組織TeamPCP針對軟體供應鏈發動攻擊。攻擊者透過竄改Trivy、KICS、LiteLLM等合法開發工具與套件，植入惡意程式碼，竊取雲端存取權杖、SSH金鑰及Kubernetes Secrets等敏感資訊，並可能進一步從事資料外洩勒索。FBI呼籲企業強化CI/CD流程安全、輪替憑證並啟用多因素驗證（MFA）。</p> <p><strong><a href="https://www.ithome.com.tw/news/177137">北韓駭客發動PolinRider攻擊活動，於NPM、Packagist、Go、Chrome Web Store上架惡意套件</a></strong></p> <p>資安公司Socket揭露供應鏈攻擊活動PolinRider，範圍涵蓋NPM、Packagist、Go模組、Chrome Web Store，滲透108個套件、並發布162個惡意版本。其中受害的套件以Go模組最多，有80個，另有10個Packagist套件與1個Chrome延伸套件。值得留意的是，此攻擊活動仍持續進行，可能還會有新的惡意套件發布。</p> <p><strong><a href="https://www.ithome.com.tw/news/177155">記憶體安全需求推升Rust人氣，首進TIOBE指標前十</a></strong></p> <p>採用具記憶體安全的Rust語言開發，已成為越來越明顯的趨勢，根據TIOBE在2026年7月的程式語言人氣排行榜中，Rust首次進入前十名，排名第10，評分為1.34%，高於去年同期的第18名。TIOBE指出，隨著Rust進入前十，反映記憶體安全已成為程式語言選擇中更受重視的條件之一。</p> <p><strong><a href="https://www.ithome.com.tw/news/177045">假冒Perplexity的Chrome擴充功能可攔截所有搜尋流量</a></strong></p> <p>有假冒Perplexity AI的Chrome擴充功能「Search for perplexity ai」上架，微軟指出該擴充程式不僅取名相近，還註冊與正版相似的perplexity-ai.online網域，以混淆使用者，其惡意行為在於會先偷偷攔截使用者在網址列輸入的搜尋內容、IP位址與瀏覽器裝置環境資訊。</p> <p><strong><a href="https://www.ithome.com.tw/news/177143">curl發布8.21.0版，修補18項漏洞，包括潛藏25年的安全缺陷</a></strong></p> <p>開源網路傳輸工具curl發布8.21.0版，修補18項安全漏洞，其中最受關注的是潛藏約25年的CVE-2026-8932。該漏洞存在於libcurl的mTLS連線管理機制，特定情境下可能造成身分驗證繞過。此外，本次更新也修補Cookie解析、Proxy認證資訊管理及HTTP/2記憶體安全等問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/177028">ColdFusion與Campaign Classic用戶注意！Adobe緊急修補7項滿分重大漏洞</a></strong></p> <p>6月30日Adobe為網頁應用開發平臺ColdFusion、行銷自動化平臺Campaign Classic發布更新，總共修補了12個漏洞，其中有7個是達到10分滿分的弱點而受到關注。Adobe將這次修補的優先程度列為第一級，認定相關的風險較高，建議用戶應在72小時內完成修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/177057">IBM修補Db2重大漏洞，未更新可能導致遠端執行任意程式碼</a></strong></p> <p>IBM於6月23日發布資安公告，修補Db2資料庫可能導致遠端執行程式碼的重大漏洞CVE-2026-10109，問題源自Db2的DRDA資料庫通訊協定初始握手程序（handshake）處理不當，用戶必須升級至包含修補程式、基於最新11.5.9與12.1.4 版的累積特殊版本（CSB）。</p> <p><strong><a href="https://www.ithome.com.tw/news/177049">MariaDB已修補的滿分重大漏洞CVE-2026-49261細節曝光，可能導致資料庫遭到接管</a></strong></p> <p>研究人員揭露MariaDB重大漏洞CVE-2026-49261技術細節，該漏洞於6月初已修補但當時未完整公開影響範圍。最新分析指出，此問題與MariaDB叢集的wsrep_notify_cmd通知機制相關，攻擊者在特定條件下可能透過觸發叢集事件執行外部指令，進一步導致資料庫系統遭接管風險，CVSS評分達10分，用戶應儘速確認修補狀態。</p> <p><strong><a href="https://www.ithome.com.tw/news/177063">Apache修補Tomcat重大漏洞，涉及憑證驗證與安全設定資訊錯誤問題</a></strong></p> <p>Apache發布Tomcat安全更新，修補6項漏洞，其中CVE-2026-55276與CVE-2026-53434的CVSS嚴重性評分均達9.1分。前者可能導致effective web.xml輸出的安全設定資訊不完整，影響管理者判斷；後者則涉及FFM Connector處理憑證撤銷清單（CRL）的驗證機制，可能接受原本應遭撤銷的憑證，影響連線驗證安全，建議用戶儘速更新。</p> <p><strong><a href="https://www.ithome.com.tw/news/177046">資安業者揭露Argo CD儲存庫伺服器重大漏洞，可能導致Kubernetes叢集遭到接管</a></strong></p> <p>資安業者Synacktiv揭露Argo CD儲存庫伺服器（Repo Server）存在重大漏洞，攻擊者可透過特製Git儲存庫，在未經身分驗證情況下觸發遠端程式碼執行，進一步取得伺服器控制權並可能接管Kubernetes叢集。該漏洞於2025年初通報，但目前仍未釋出正式修補版本，僅提供緩解措施，建議用戶透過網路隔離等方式降低風險。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177106">Apache修補HttpComponents Core兩項高風險漏洞，未更新可能導致服務阻斷攻擊</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177177">BeyondTrust修補遠端支援與特權存取產品重大漏洞，攻擊者可藉此繞過存取控制與權限提升</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177077">Microsoft揭露Exchange Online重大漏洞，可能導致權限提升與未授權資料存取</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177162">IBM修補WebSphere Application Server兩項重大漏洞</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177154">微軟發布Edge瀏覽器150版更新，修補43項漏洞</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">AI資安</strong></h1> <p><span style="color:#696969;"><strong>本週AI資安焦點在於AI開發工具的重大漏洞與提示注入風險，同時還有針對AI代理的沙箱突破與權限隔離缺陷的揭露、以及惡意AI代理竊取AI對話與資料的揭露，突顯AI風險各層面的議題持續受到研究人員的高度關注。AI技術也驅動防禦轉型，臺灣資安專家指出，紅隊演練會朝向攻擊預判、威脅情報與AI整合邁進。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177157">CISA要求聯邦機構3天內修補Langflow重大漏洞</a><span style="color: rgb(255, 0, 0);">【CVE-2026-55255】</span></strong></p> <p>7月7日美國網路安全與基礎設施安全局（CISA）發布公告，將存在於圖像化大型語言模型開發工具Langflow的弱點CVE-2026-55255加入已遭利用的漏洞名單（KEV），這項漏洞於6月23日揭露並已經修補。額外一提的是，<strong><a href="https://www.sysdig.com/blog/understanding-langflow-cve-2026-55255-and-why-higher-cvss-vulnerabilities-arent-always-the-most-exploited">Sysdig曾於6月25日</a></strong>首次觀察到該漏洞被利用的跡象。</p> <p><strong><a href="https://www.ithome.com.tw/news/177036">資安研究人員揭露AI開發工具Cursor重大漏洞，攻擊者可經由提示注入突破沙箱並執行任意程式碼</a></strong></p> <p>資安廠商Cato Networks旗下AI安全研究團隊揭露AI程式開發工具Cursor的兩項重大漏洞CVE-2026-50548與CVE-2026-50549，統稱為DuneSlide。攻擊者可透過提示注入誘使AI代理突破沙箱限制，進而在開發者系統執行任意指令。Cursor已於4月發布3.0版修補漏洞，但相關細節直至7月才由研究團隊公開，突顯AI代理的安全隔離風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/177181">資安業者揭露Google Dialogflow CX重大缺陷，攻擊者可透過惡意AI代理竊取AI對話與共享資料</a></strong></p> <p>資安業者Varonis揭露Google Dialogflow CX存在代號「Rogue Agent」的重大漏洞，攻擊者可利用Google Cloud共用執行環境的設計問題，透過惡意AI代理影響同一專案內其他代理，進而存取AI對話、使用者輸入及共享資料。Google已完成修補，目前未發現漏洞遭實際利用，企業仍應檢視AI代理權限與工作流程設定，降低類似風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/177116">Claude Cowork遭指可被濫用取得VM root權限</a></strong></p> <p>Claude Cowork是Anthropic提供給知識工作者的自動化工具，近日資安研究團隊Armadin揭露其沙箱可遭本機攻擊者濫用，問題主要發生於Windows本機服務CoworkVMService，研究人員發現利用DLL側載方式，讓Anthropic簽章的claude.exe載入攻擊者控制的DLL，使攻擊程式碼能在合法Claude程式的程序內執行，進而繞過CoworkVMService對連線程式身分的檢查。對此，Anthropic認為，攻擊者需先取得本機程式執行能力，揭露的研究人員則提出用戶自保之道。</p> <p><strong><a href="https://www.ithome.com.tw/news/177030">Cobalt滲透測試資料顯示，AI應用高風險漏洞占比為整體平均2.7倍</a></strong></p> <p>攻擊面安全與滲透測試服務業者Cobalt發布《2026年AI與滲透測試趨勢報告》（AI and Pentesting Pulse Report 2026），指出企業快速導入大型語言模型（LLM）與AI應用的同時，也導致模型整合、外部資料與工具連接、提示與輸出處理等環節成為新的攻擊入口，使AI應用在滲透測試中呈現較高的漏洞風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/177153">Gartner將主權AI、AI代理風險與AI治理列入未來兩年資料與分析重點趨勢</a></strong></p> <p>市場調查機構Gartner近期建議將六大資料與分析趨勢納入考量，其中有三項與資安有關，分別是：主權AI發展速度加快、藉助決策治理平臺降低AI代理風險、利用AI治理平臺建立信任。Gartner預測，到了2029年，比起未受治理的決策，因為決策智慧平臺的採用，經由明確建模而產生的商業決策將獲得5倍的信任度，而且，完成任務的速度也將快上80%。</p> <p><strong><a href="https://www.ithome.com.tw/news/177115">AI重塑紅隊演練執行模式，DEVCORE指出未來轉變路線</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_devcorehong_dui_yan_lian_dian_fan_zhuan_yi_.jpg?itok=SwMmaQxD"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_devcorehong_dui_yan_lian_dian_fan_zhuan_yi_.jpg?itok=SwMmaQxD" style="width: 400px; float: right;" /></a></p> <p>隨著AI技術重塑資安攻防格局，紅隊演練也正邁向全新的發展階段，臺灣資安公司戴夫寇爾（DEVCORE）執行長翁浩正強調，紅隊演練的執行方式正迎來一場深刻的典範轉移，人機協作將打破過往紅隊演練難以規模化的限制，並預期未來將朝向「攻擊預判、威脅情報與AI」三位一體的執行模式發展，實現更具持續性與預防性的防禦評估。</p> <p><strong><a href="https://www.ithome.com.tw/news/177058">Langflow重大漏洞遭利用，攻擊者試圖將AI基礎設施用於挖取門羅幣</a></strong></p> <p>圖像化大型語言模型開發工具Langflow的遠端程式碼執行（RCE）漏洞CVE-2026-33017，今年3月<a href="https://www.ithome.com.tw/news/174752">美國CISA</a>已將此漏洞列入KEV清單，上週趨勢科技說明已出現利用此漏洞挖取門羅幣的活動，駭客在未經身分驗證的Langflow API端點下達單行Python程式碼，拉取Shell指令碼，目的是下載挖礦程式的二進位檔lambsys.elf。</p> <p><strong><a href="https://www.ithome.com.tw/news/177055">駭客團體JadePuffer濫用AI從事勒索軟體攻擊，利用去年Langflow弱點取得初始入侵管道</a></strong></p> <p>威脅情報公司Sysdig本週揭露駭客團體JadePuffer發動的勒索軟體攻擊，駭客利用已知的Langflow漏洞CVE-2025-3248取得初期入侵管道，展開全自動勒索軟體攻擊。當中採用的惡意酬載程式碼註解，說明每個步驟的執行動機與目標優先順序，而且，採用的AI代理能理解目標環境中的自然語言脈絡，並依此採取合理行動，甚至自行排除問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/177093">Google Cloud擴大機密運算版圖，強化AI推論與提示詞加密防護</a></strong></p> <p>雲端服務供應商Google Cloud於6月下旬宣布擴大機密運算服務，包括推出搭載Nvidia Blackwell架構GPU的Confidential G4 VMs預覽版、用於加密AI提示詞與模型回應的開源Prompt Encryption SDKs，並強化Confidential Space與Confidential VMs等服務，擴大機密運算在多方資料協作、遠端證明驗證與雲端工作負載防護上的應用範圍。</p> <p><strong><a href="https://www.ithome.com.tw/news/177105">Godot更新貢獻規範，禁止AI代理提交程式碼</a></strong></p> <p>為了避免AI產生大量低品質投稿，增加維護者的審查成本、甚至導致安全審核疏漏，以及潛在的供應鏈風險，開源遊戲引擎Godot更新貢獻規範，明確禁止自主AI代理提交程式碼，也限制以Vibe Coding等方式產生大段程式碼後投稿。</p> <p><strong><a href="https://www.ithome.com.tw/news/177073">遭AI資安報告誤指涉入間諜軟體行動，視訊會議新創公司控告Palo Alto子公司</a></strong></p> <p>今年被美國資安巨頭Palo Alto Networks以4億美元收購的Koi Security，遭網路視訊暨會議平臺新創公司MeetingTV提告。MeetingTV指控，Koi Security的資安報告錯誤將其基礎架構與中國關聯網路間諜行動連結，並主張相關錯誤可能與AI幻覺有關。</p> <p><strong>●</strong><strong><a href="https://www.ithome.com.tw/news/177146">惡意軟體框架Avalon以AI打造而成，結合竊資軟體與勒索軟體能力</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177127">研究人員揭露透過提示注入繞過ChatGPT防護機制漏洞，OpenAI已完成修補</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">資料安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>本週資安事故聚焦生技與醫療產業，國內醫材廠商優盛醫學發布重訊表示網站遭受駭客攻擊，以及前幾個月醫材大廠美敦力資料外洩事件的調查出爐。</strong></span></p> <p><strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181457&SPOKE_DATE=20260707&COMPANY_ID=4121">優盛醫學科技網站遭駭客攻擊</a></strong></p> <p><a href="/sites/default/files/images/2026-07-13_095458.jpg"><img alt="" src="/sites/default/files/images/2026-07-13_095458.jpg" style="width: 400px; float: right;" /></a></p> <p>生技廠商優盛醫學科技（4121）於7月7日晚間透過股市資訊公開資訊觀測站發布重大訊息，證實公司網站於當日下午遭受網路駭客攻擊，目前已將受影響網站進行隔離處理，並委由外部資安技術團隊協助調查與復原。目前該網站已暫時停止對外服務，優盛尚未透露網站預計復原的時間。根據初步的調查結果，優盛評估此事件對整體營運、資訊系統安全，以及客戶個資等層面，均無重大影響。</p> <p><strong><a href="https://www.ithome.com.tw/news/177091">醫材大廠美敦力資料外洩事件，影響逾380萬人</a></strong></p> <p>根據醫療器材大廠美敦力（Medtronic）對印地安納檢察長辦公室提交的文件，該公司在4月15日發現IT系統出現異常活動。經過調查，攻擊者在4月13日到4月19日存取該公司部分IT系統，影響超過380萬人，外洩資訊包括姓名、聯絡資訊、出生日期、社會安全號碼及健康紀錄。美敦力已向受影響的客戶提供24個月免費的信用監控、身分竊取或暗網監控服務。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177171">報告揭露美國有政府機關去年支付100萬美元平息資料勒索</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">身分安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>本週身分安全聚焦微軟生態系，涵蓋釣魚平臺ARToken鎖定M365權杖，以及駭客利用Azure CLI發動爆量密碼噴灑攻擊。人機身分治理的發展亦受關注，不僅有微軟Teams加強控管外部機器人，還有思科展示新版Duo IAM的最新發展。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177056">ARToken釣魚即服務平臺鎖定Microsoft 365權杖，支援BEC攻擊操作</a></strong></p> <p>思科（Cisco）旗下威脅情報團隊Talos揭露名為ARToken的釣魚即服務（PhaaS）平臺，指出這套工具鎖定Microsoft 365帳號，並與另一個PhaaS平臺EvilTokens生態系，共用基礎架構、API介面設計與操作模式。研究人員建議企業重新檢視Microsoft 365環境是否有開放裝置碼驗證流程的必要，並透過條件式存取政策限制高風險登入情境。</p> <p><strong><a href="https://www.ithome.com.tw/news/177044">駭客鎖定Microsoft 365帳號發動8,100萬次登入嘗試，利用Azure CLI作為發動密碼噴灑攻擊管道</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/huntress_0.png?itok=1htOb3v2"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/huntress_0.png?itok=1htOb3v2" style="width: 400px; float: right;" /></a></p> <p>資安業者Huntress揭露一起大規模密碼噴灑攻擊，攻擊者利用Azure CLI與ROPC驗證流程，針對Microsoft 365帳號發動超過8,100萬次登入嘗試，成功入侵64個機構至少78個帳號。Huntress指出，部分企業MFA與條件式存取政策配置不足，使攻擊者得以成功登入，呼籲企業全面啟用並正確設定身分驗證防護機制。</p> <p><strong><a href="https://www.ithome.com.tw/news/177176">思科要把零信任存取延伸到AI代理，在臺展示新版AI代理身分管理產品Duo IAM</a></strong></p> <p>人機身分管理持續成焦點，思科併購Duo已經8年，如今深度整合於自家零信任存取產品線中，近期該公司在臺展示新版Duo IAM的預覽，強調支援AI代理身分管理，提供五項代理式IAM功能，涵蓋代理與工具探索、Agent目錄、Agent存取政策、人為權責歸屬，以及生命週期管理，並需搭配Secure Access MCP Gateway來把關。</p> <p><strong><a href="https://www.ithome.com.tw/news/177095">Microsoft Teams加強控管外部機器人，經會議組織者確認後才放行</a></strong></p> <p>微軟6月29日宣布，Microsoft Teams推出新的外部機器人管理政策，當外部機器人嘗試加入會議時，須由會議組織者批准加入。隨著這項功能推出，微軟將逐步淘汰Teams原本用於外部機器人驗證的CAPTCHA機制。</p> <p><strong>●<a href="https://www.ithome.com.tw/news/177147">Apple Hide My Email遭揭露存在隱私漏洞，可能暴露用戶真實信箱地址</a></strong></p> <p><strong>●<a href="https://www.ithome.com.tw/news/177100">JetBrains修補開發環境身分管理平臺重大漏洞，未更新恐導致帳號接管與權限提升</a></strong></p> <p> </p> <p> </p> </div></div></div>
7/10 18:18作者羅正漢https://www.ithome.com.tw/news/177217
OpenClaw存在高風險弱點，攻擊者可透過WhatsApp外部訊息觸發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在GitHub取得38.1萬顆星星、每天有10萬用戶的知名開源AI代理整合平臺OpenClaw，<strong><a href="https://medium.com/@chinmohannayak/i-sent-a-whatsapp-message-to-an-ai-agent-it-ran-my-code-on-the-host-adbbcbb0e0ad">最近研究人員Chinmohan Nayak發現一批資安弱點</a></strong>，涉及環境變數過濾機制、Git傳輸協定，以及沙箱防護功能，攻擊者只要利用偽裝成除錯請求的WhatsApp訊息，就有機會於OpenClaw主機上執行任意程式碼。Nayak強調，這些弱點形成的原因，並非是零時差漏洞或記憶體破壞手法，純粹是利用AI代理程式「照單全收」的特性造成。</p> <p>上述弱點影響2026.6.1版OpenClaw，被登記為<strong><a href="https://github.com/openclaw/openclaw/security/advisories/GHSA-hjr6-g723-hmfm">GHSA-hjr6-g723-hmfm</a></strong>、<strong><a href="https://github.com/openclaw/openclaw/security/advisories/GHSA-9969-8g9h-rxwm">GHSA-9969-8g9h-rxwm</a></strong>、<strong><a href="https://github.com/openclaw/openclaw/security/advisories/GHSA-575v-8hfq-m3mc">GHSA-575v-8hfq-m3mc</a></strong>，尚無CVE編號，CVSS風險評為8.8至8.4分，OpenClaw開發團隊已發布2026.6.6版完成修補。其中GHSA-hjr6-g723-hmfm是繞過環境變數過濾器引起，攻擊者可透過特定解譯器啟動變數注入程式碼；GHSA-9969-8g9h-rxwm與Git ext::傳輸協定有關，攻擊者可利用特製的ext::網址執行任意命令，使得清理機制不會截取特定的參數。</p> <p>GHSA-575v-8hfq-m3mc為沙箱父資料夾繞過類型的弱點，起因OpenClaw會封鎖掛載~/.ssh與~/.aws，卻允許掛載/home和/var，信任度較低的呼叫者或已設定的輸入路徑，有機會執行原本需要更高授權或政策檢查的行為。</p> </div></div></div>
7/13 09:24作者周峻佑https://www.ithome.com.tw/news/177241
Binarly研究人員揭露開源開機載入程式U-Boot存在6個資安漏洞，大量伺服器、網路設備、物聯網設備均可能受到影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">專精韌體與軟體供應鏈安全的資安研究機構Binarly，7月初揭露開放原始碼開機載入程式（bootloader）U-Boot存在6個漏洞，當中兩個（<strong><a href="https://www.binarly.io/advisories/brly-2026-037">BRLY-2026-037</a></strong>、<strong><a href="https://www.binarly.io/advisories/brly-2026-038">BRLY-2026-038</a></strong>）可能導致任意程式碼執行，其餘4個漏洞（<strong><a href="https://www.binarly.io/advisories/brly-2026-039">BRLY-2026-039</a></strong>、<strong><a href="https://www.binarly.io/advisories/brly-2026-040">BRLY-2026-040</a></strong>、<strong><a href="https://www.binarly.io/advisories/brly-2026-041">BRLY-2026-041</a></strong>、<strong><a href="https://www.binarly.io/advisories/brly-2026-042">BRLY-2026-042</a></strong>）則可能引發服務中斷（DoS）。</p> <p style="margin-left:.05pt;">Binarly警告，U-Boot自2013年7月推出以來，近60個版本都受到影響，若再計入眾多下游廠商的分支版本，這些漏洞對產業的影響將更為廣泛。由於U-Boot是全球最廣泛使用的開機載入程式之一，運行於家用路由器、網路攝影機、伺服器基板管理控制器（BMC）等硬體設備，因此，相關產品的安全性都可能面臨風險。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/U-Boot Releases.png"><img alt="" src="/sites/default/files/images/U-Boot%20Releases.png" style="width: 198px;" /></a></p> <p style="margin-left:.05pt;">Binarly已向維護U-Boot的社群通報這些漏洞，並由該公司團隊為所有這些漏洞準備修補程式，經過數輪審查後，這些修補程式最終已套用至U-Boot專案的主分支（main branch），Binarly建議所有受影響的使用者，盡快將這些修補程式套用至產品。</p> <p style="margin-left:.05pt;">根據資安新聞媒體<strong><a href="https://thehackernews.com/2026/07/six-new-u-boot-flaws-could-let.html">The Hacker News</a></strong>的報導，U-Boot雖已於6月合併6個修補程式，但7月的發行版（v2026.07）早在4月便已凍結，因此最終未將這些修補程式納入，下一個發行版v2026.10預計10月才會推出。</p> </div></div></div>
7/12 01:33作者李宗翰https://www.ithome.com.tw/news/177240
CISA將兩款Joolma兩款延伸套件列入KEV，要求聯邦機構7月13日完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">本週美國網路與基礎設施安全局（CISA）再度更新已遭利用漏洞清單（KEV），加入開放原始碼內容管理系統Joomla!兩款外掛套件的漏洞，分別是：iCagenda的<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-48939">CVE-2026-48939</a></strong>，以及Balbooa Forms的<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-56291">CVE-2026-56291</a></strong>，皆因CVSS嚴重度評分為10分漏洞出現遭到積極利用的活動，所以被列入KEV，聯邦機構需在3天內完成漏洞修補。</p> <p style="margin-left:.05pt;">根據NVD與MITRE的CVE網站所示，這兩個漏洞均是使用者可透過檔案附件功能上傳任何檔案，而被歸類為CWE-434：未限制上傳危險類型的檔案，差別在於CVE-2026-48939允許上傳與執行PHP程式碼，CVE-2026-56291允許上傳可執行的檔案，進而導致可藉此發動遠端程式碼執行（RCE）攻擊。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/iCagenda-JED.png"><img alt="" src="/sites/default/files/images/iCagenda-JED.png" style="width: 198px; float: right;" /></a></p> <p style="margin-left:.05pt;">其中的<strong><a href="https://extensions.joomla.org/extension/icagenda/">iCagenda</a></strong>是JoomliC公司開發的事件管理軟體，能在Joomla!網站新增、管理與共用行事曆事件，6月15日該公司偵測到鎖定iCagenda安裝的自動化攻擊，專攻WordPress和Joomla網站管理的平臺業者<strong><a href="https://mysites.guru/blog/icagenda-zero-day-file-upload-rce/">mySites.guru</a></strong>透過審核iCagenda 4.0.7版程式碼，確認漏洞的存在，並在新安裝Joomla 6環境上，以安全的概念驗證方式重現此漏洞，隨即通報JoomliC，當天JoomliC發布已完成修補的<strong><a href="https://www.icagenda.com/docs/changelog/icagenda-4-0-8">iCagenda 4.0.8</a></strong>，隔日推出適用於3.x分支的<strong><a href="https://www.icagenda.com/docs/changelog/icagenda-3-9-15">iCagenda 3.9.15</a></strong>，6月20日正式公開漏洞。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/iCagenda 4_0_8 (Security Release).png"><img alt="" src="/sites/default/files/images/iCagenda%204_0_8%20(Security%20Release).png" style="width: 298px;" /></a> <a href="/sites/default/files/images/iCagenda 3_9_15 (Security Release Joomla 3).png"><img alt="" src="/sites/default/files/images/iCagenda%203_9_15%20(Security%20Release%20Joomla%203).png" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;">mySites.guru提醒，將iCagenda更新到4.0.8版可阻止下一次攻擊嘗試，但此舉對先前上傳的惡意shell無效，因為在修補程式發布之前，漏洞已被積極利用，因此，用戶必須假設其管理的Joomla 6網站已經遭到攻擊並進行檢查，用戶的網站系統如果採用Joomla 5及更早版本，雖然攻擊者無法透過此途徑置入PHP shell，因為網站系統的核心程式會阻止上傳，但還是要檢查，例如確認用戶網站系統當中的images/icagenda/frontend/attachments/資料夾，當中應只存放行事曆事件的附加檔案。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Balbooa Joomla Forms-JED.png"><img alt="" src="/sites/default/files/images/Balbooa%20Joomla%20Forms-JED.png" style="width: 198px; float: right;" /></a></p> <p style="margin-left:.05pt;">另一套<strong><a href="https://extensions.joomla.org/extension/forms/">Balbooa Forms</a></strong>是Balbooa開發、用於Joomla網站的表單建立外掛程式，用戶可透過滑鼠拖放的方式設計網站表單，根據<strong><a href="https://mysites.guru/blog/balbooa-forms-unauthenticated-file-upload-flaw/">mySites.guru對此漏洞的調查報告</a></strong>，之所以發現問題源自mySites.guru的一名客戶收到主機代管業者Hetzner的通知，表示其Joomla網站存在可疑的濫用活動，後續向mySites.guru提供原始的網站伺服器存取紀錄，7月8日mySites.guru確認漏洞存在與重現漏洞利用流程，並通報Balbooa與獲得回覆，隔天Balbooa發布Balbooa Forms 2.4.1版，也公開漏洞編號為CVE-2026-56291，可惜Balbooa在網站的軟體更新記錄僅在標題下方簡單標示此次改版是「已修正」，未提及修補資安漏洞，該公司部落格也沒有相關文章，而在外掛套件網站Joomla! Extensions Directory網站列出的最新版2.4.0，仍是受到CVE-2026-56291影響的版本，用戶若沒注意此次資安漏洞的警示資訊，可能會安裝存在漏洞的版本。</p> <p>值得注意的是，Balbooa Forms即使更新到不受漏洞影響的版本，仍有可能因為先前存在漏洞而遭到滲透，mySites.guru建議用戶檢查上傳資料夾、是否存在可疑的系統管理員帳號，以及尋找網站上的已修改與陌生檔案。</p> <p><a href="/sites/default/files/images/Balbooa Joomla Forms Change Log.png"><img alt="" src="/sites/default/files/images/Balbooa%20Joomla%20Forms%20Change%20Log.png" style="width: 298px;" /></a></p> </div></div></div>
7/11 18:14作者李宗翰https://www.ithome.com.tw/news/177238
微軟打造AI視覺化中介語言Flint，以語意規格簡化圖表生成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://www.microsoft.com/en-us/research/blog/flint-a-visualization-language-for-the-ai-era/">微軟研究院發布開源視覺化中介語言Flint</a></strong>，讓AI代理程式以可由人員直接修改的規格描述圖表，再由編譯器自動補齊日期解析、座標軸、色階、標籤與版面配置等細節。Flint目前能將同一份規格轉換為Vega-Lite、Apache ECharts或Chart.js格式，降低AI直接產生完整圖表規格時容易出錯及難以維護的問題。</p> <p>現有視覺化函式庫提供大量控制選項，可調整比例尺、基準線、數值格式、間距與圖例等設定。不過，精簡規格通常會依賴系統預設值，成品未必適合資料內容，若要求大型語言模型直接產生完整規格，又可能因參數繁多而出現衝突或遺漏。Flint因此將圖表意圖與特定繪圖函式庫的實作細節分開。</p> <p>Flint規格分為資料與圖表兩部分。資料規格可標示年月、價格、百分比、利潤、國家或排名等語意型別，圖表規格則指定圖表種類，以及欄位對應至x軸、y軸、色彩、大小或用來把資料拆成多個小圖表（facet）等位置與樣式。編譯器再依據資料語意、圖表類型與欄位配置，推導解析規則、聚合方式、數值格式、色彩配置及版面安排，例如利潤欄位可採用呈現正負差異的色階，年月欄位則可套用相應的時間解析與座標軸格式。</p> <p>微軟也釋出flint-chart-mcp伺服器，讓支援MCP的AI工具可在聊天或程式開發環境中建立、驗證及渲染圖表，並可嵌入資料或讀取已設定允許存取的本機檔案。產生後的圖表可開啟互動檢視，供使用者檢查與調整。</p> <p>微軟在資料測試中，將Flint與直接產生完整Vega-Lite規格的DirectVL比較，依大型語言模型評分，Flint在GPT-5.1、GPT-5-mini及GPT-4.1三組測試均取得較高總分。Flint目前已用於微軟研究院的Data Formulator，專案網站、flint-chart函式庫及MCP伺服器設定說明也已公開。</p> </div></div></div>
7/11 07:07作者李建興https://www.ithome.com.tw/news/177236
Microsoft Defender零時差漏洞RoguePlanet修補出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">從4月開始，外號為Nightmare Eclipse的研究人員Chaotic Eclipse陸續披露多個針對Microsoft Defender與Windows內建功能的零時差漏洞，而且是以漏洞利用的概念驗證程式發表，震撼整個資安領域，這些漏洞後續大多都已獲得修補，最近於6月上半揭露的<strong><a href="https://www.ithome.com.tw/tags/rogueplanet">RoguePlanet</a></strong>漏洞<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-50656">CVE-2026-50656</a></strong>，微軟本週（7月8日）也正式提供<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50656"><strong>修補機制</strong></a>，用戶可確認Microsoft Defender的惡意軟體防護引擎版本是否已升級到1.1.26060.3008 或更高版本，若為1.1.26050.11或更老舊的版本，則是受此漏洞影響的版本，須儘快執行Windows更新。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/CVE-2026-50656-2026-07-10-2.png"><img alt="" src="/sites/default/files/images/CVE-2026-50656-2026-07-10-2.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/SOCRadar-Nightmare Eclipse.png"><img alt="" src="/sites/default/files/images/SOCRadar-Nightmare%20Eclipse.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">根據微軟針對此漏洞的安全性更新公告，CVE-2026-50656存在Microsoft Defender惡意軟體防護引擎，是關於權限提升的重要等級漏洞，在通用弱點列表（CWE）中，它被歸納在編號為CWE-59的類型，屬於檔案存取前連結解析不當（連結追蹤）的漏洞，CVSS 3.1嚴重度評分為7.8分，屬於高風險漏洞。雖然目前微軟在更新的公告表示，他們尚未發現CVE-2026-50656被利用的跡象，但仍持續警告這個漏洞的利用可能性高，因為用於攻擊的複雜度低、權限要求低且不需要與使用者互動。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/CVE-2026-50656-2026-07-10-1.png"><img alt="" src="/sites/default/files/images/CVE-2026-50656-2026-07-10-1.png" style="width: 400px;" /></a></p> </div></div></div>
7/10 23:18作者李宗翰https://www.ithome.com.tw/news/177237
Meta升級Muse Spark 1.1，強化代理人能力並首度開放Model API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ai.meta.com/blog/introducing-muse-spark-meta-model-api/" target="_blank">Meta周四（7/9）發表Muse Spark 1.1</a>，升級旗下由超級實驗室（Meta Superintelligence Labs，MSL）開發的首款模型Muse Spark，提升模型在代理人任務中的規畫、協調與執行能力，並強化工具使用、程式開發、電腦操作及多模態理解。目前Muse Spark 1.1已登上Meta AI App及meta.ai的Thinking模式，Meta亦首度釋出Meta Model API預覽版供開發者存取。</p> <p>Meta表示，Muse Spark 1.1是一款專為代理人任務打造的多模態推理模型，可跨多個外部應用程式與服務規畫及執行任務。該版本強化多代理人協作，可由主代理人蒐集資訊、制定計畫，再將工作分派給多個子代理人平行執行，以縮短複雜專案的處理時間；同時支援100萬個token的脈絡長度，可在長時間工作流程中保留重要資訊，並擷取較早之前的內容。</p> <p>在電腦操作上，Muse Spark 1.1可跨多個應用程式維持長流程任務，並依情況自行判斷要直接點擊介面、撰寫腳本自動化，或一次執行多個操作步驟，以減少人工介入並提升執行效率。</p> <p>在程式開發上，新版本可診斷及修復複雜程式錯誤、開發新功能及執行大規模程式碼遷移，並能先行規畫開發步驟、分派子任務，且於長時間開發流程中保留重要資訊。Meta說，公司內部開發人員及研究人員已每天使用Muse Spark 1.1協助開發與模型評測。</p> <p>多模態的Muse Spark 1.1可理解圖片、影片、PDF及音訊內容，並將感知結果用於後續操作，例如從商品影片中擷取適合的照片、分析商品資訊，再操作瀏覽器完成Facebook Marketplace刊登。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0710-Muse%20Spark%201_1_2(1).png" style="width: 600px;" /></p> <p>Meta也強調Muse Spark 1.1的安全性，指出已依照內部使用的安全框架《Advanced AI Scaling Framework》完成部署前的安全評估，在化學與生物、網路安全及失控風險等前沿風險領域均維持安全範圍，並提升對提示詞注入、越獄攻擊等攻擊手法的抵抗能力，同時降低幻覺及迎合使用者傾向。</p> <p>依據Meta內部AI安全治理框架<a href="https://ai.meta.com/static-resource/muse-spark-1-1-evaluation-report" target="_blank">《Advanced AI Scaling Framework》</a>，Muse Spark 1.1在代理人、程式開發及一般推理上較前代顯著提升，同時大幅改善信心校準、風險辨識與欺騙傾向，但在部分電腦操作、長脈絡及程式開發評測中仍落後GPT-5.5或Claude Opus 4.8。</p> <p>這次Meta首度開放Meta Model API預覽版，允許一般開發者透過該API存取Muse Spark 1.1，並將模型整合至自有應用程式。過去Muse Spark API屬於封閉預覽，僅供少數開發者使用。</p> </div></div></div>
7/10 14:01作者陳曉莉https://www.ithome.com.tw/news/177231
OpenAI傳應用部門主管Fidji Simo下臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.wsj.com/tech/openai-top-executive-fidji-simo-to-step-down-c3daca47" target="_blank">華爾街日報報導</a>，OpenAI應用部門執行長Fidji Simo將下臺，公司或將重新尋找繼任者。</p> <p>報導指出，Simo在內部公開信中說明，其病假超出原先預期，情況也更嚴重，因此她將辭去現任應用事業群執行長一職，轉為兼任顧問。她是於4月首度披露自己罹患神經免疫方面的疾病而必須請長假。</p> <p><a href="https://www.ithome.com.tw/news/168850" target="_blank">OpenAI於2025年延攬I</a>nstacart執行長Simo擔任應用事業群執行長，在Instacart之前她是臉書廣告部門副總裁。她加入OpenAI的職責是開發消費應用，讓Sam Altman能專注於研究及網路安全工作。Simo上任時，原有OpenAI高層也出現變動。包括長年的營運長Brad Lightcap轉任「特別專案」，財務長Sarah Friar和產品長Kevin Weil相繼離職。</p> <p>這可能迫使OpenAI必須儘速尋找Simo的接替人選。目前OpenAI面臨Anthropic的正面挑戰，根據市調機構<a href="https://www.forbes.com/sites/siladityaray/2026/06/16/claude-makes-more-money-per-user-than-market-leader-chatgpt-report-finds/" target="_blank">SensorTower數據</a>，OpenAI ChatGPT雖然每月用戶市佔仍居第一，但比例已從2024年的81%首度下滑到2025年僅約五成。而在商務用戶市場，Anthropic Claude的程式開發及多步驟代理人能力獲得開發人員及白領工作者喜愛，帶進的每用戶營收為2.76美元是ChatGPT（1.74美元）的1.5倍。Claude App的iOS付費訂閱比例也高於ChatGPT（13%比8%）。</p> <p>OpenAI本周也推出了鎖定一般知識工作者的代理人應用<a href="https://www.ithome.com.tw/news/177224" target="_blank">ChatGPT Work</a>藉此和Anthropic在商務市場競爭。</p> </div></div></div>
7/10 14:12作者林妍溱https://www.ithome.com.tw/news/177233
OpenAI獲准全面推出GPT-5.6系列，登上GitHub Copilot、M365 Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在預覽最新GPT-5.6模型系列近二周後，OpenAI獲得美國政府許可，<a href="https://openai.com/index/gpt-5-6/" target="_blank">周五（7/10）宣布</a>將GPT-5.6旗艦模型Sol及Terra、Luna模型全面推上線，包括合作的GitHub與Microsoft 365 Copilot助理。</p> <p>GPT-5.6號稱能兼顧智能和運作效率，在程式撰寫、知識工作、生命科學及網路安全領域都達到領先（state-of-the-art）等級，在不同領域超越前代模型，或Google Gemini與Anthropic Claude Mythos。OpenAI還新增ultra模式，可運用多個子代理人加速複雜任務的進行。</p> <p><strong>超越Claude Fable 5</strong></p> <p>OpenAI說，Sol具備強大電腦使用及設計判斷能力，是最精良的協同者，可監控代理人執行成果、加以改善、並提供給使用者。根據OpenAI提供的數據，在長程專業工作流程標竿測試Agent's Last Exam適應性推論項目中，Sol以53.6%超越Anthropic最強的Claude Fable 5 13.1%。此外OpenAI強調GPT-5.6眾模型推理成本也都低於Fable 5。而在涵括工作、程式、科學推理及一般能力上，Sol最強推理差對手不到1分，但時間及成本分別少了61%及一半。</p> <p><strong>部署</strong></p> <p>GPT-5.6將在24小時內陸續部署給免費及付費用戶，但享有不同等級功能。免費層級用戶可在ChatGPT新推的Work與Codex存取GPT-5.6 Terra，也可以手動開啟「max」選項，提升Terra的推理能力。但這二方案皆無法在ChatGPT的標準對話中使用最高階的Sol系列旗艦模型。</p> <p>對付費方案Plus、Pro方案用戶而言，新模型即日起隨全球陸續上線。標準ChatGPT對話方面，Plus與Pro用戶可以透過調整推理投入（Effort）設定調用Sol。模型選擇器中會顯示為Medium（標準）、High（延伸）和Extra High（最高）。系統預設日常回覆仍會使用GPT-5.5 Instant，但若遇到複雜任務，ChatGPT的智慧切換功能會自動切換至GPT-5.6 Sol (Medium)來進行深度思考。</p> <p>ChatGPT Work與Codex工作區方面，Plus與Pro用戶擁有完整選擇權，可任意在Sol、Terra、Luna三個模型之間切換、自由調整推理Effort等級，並可開啟max推理設定。付費用戶（Plus/Pro）於Codex程式開發環境可直接開啟ultra推理等級進行高階自動化編碼。</p> <p>最高階的Pro方案及Enterprise用戶享有直接選用GPT-5.6 Sol Pro模型的權利，可用於處理極度困難的跨領域任務、高難度程式編碼、資安弱點分析及長時間運行的自動化工作流（Longer-running workflows）。Pro/Enterprise用戶除了在Codex中，也可於ChatGPT Work額外解鎖ultra推理等級，進一步存取模型的思考能力。（其餘Plus等個人方案在Work中僅能使用max）</p> <p><strong>GitHub Copilot、M365 Copilot</strong></p> <p>GPT-5.6同時也在<a href="https://github.blog/changelog/2026-07-09-openais-gpt-5-6-sol-terra-and-luna-are-now-available-in-github-copilot/" target="_blank">GitHub Copilot</a>及<a href="https://openai.com/index/gpt-5-6-preferred-model-microsoft-365-copilot/" target="_blank">Microsoft 365 (M365)Copilot</a>上線。GitHub開發者用戶可在Visual Studio Code、Visual Studio、Copilot CLI、GitHub Copilot cloud agent、GitHub Copilot App、github.com、GitHub iOS與Android App、JetBrains、Xcode、Eclipse的模型選擇器中選用新模型。GPT-5.6也成為M365應用包括Word、Excel、PowerPoint、Chat和Cowork的優先使用模型。</p> </div></div></div>
7/10 12:43作者林妍溱https://www.ithome.com.tw/news/177229
研究揭LLM攻擊新手法HalluSquatting，可誘使AI程式開發助理安裝惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://sites.google.com/view/agentic-botnets/home" target="_blank">以色列特拉維夫大學（Tel Aviv University）等研究人員揭露一種名為HalluSquatting的新型大型語言模型（LLM）攻擊手法</a>。攻擊者可先找出LLM在查找儲存庫、AI代理技能（skill）等外部資源時容易編造出的錯誤名稱，搶先註冊這些名稱，藉此建立假資源，並植入對抗性提示內容；一旦AI程式開發助理拉取這些假資源，就可能執行攻擊者控制的指令。</p> <p>HalluSquatting攻擊結合LLM幻覺與間接提示注入。當使用者要求AI程式開發助理複製熱門儲存庫或安裝AI代理技能時，若LLM找不到正確資源位置，就可能拉取攻擊者搶註的假資源。由於許多代理式AI應用與AI程式開發助理內建終端機，可在使用者環境執行指令，假資源中的對抗性提示內容可能被AI工具納入後續執行流程，觸發工具呼叫，使AI助理執行攻擊者指定的動作，例如在受害裝置上安裝殭屍網路惡意程式。</p> <p>研究人員測試多款代理式LLM應用程式，驗證這項攻擊可導致遠端工具執行與遠端程式碼執行（RCE）。受測工具包括Cursor、Cursor CLI、Windsurf、GitHub Copilot、Cline、Gemini CLI，以及OpenClaw、ZeroClaw、NanoClaw等AI助理。研究團隊指出，在複製（clone）儲存庫的情境中，模型產生錯誤資源名稱的比例最高可達85%；在安裝AI代理技能資源的情境中，最高可達100%。</p> <p>研究人員認為，這類手法不需要仰賴弱密碼或蠕蟲式擴散，也可能被用於建立大規模殭屍網路，建議開發者要求AI代理在複製、拉取或安裝外部資源前，先執行明確的搜尋與驗證步驟，並檢查代理產生的執行計畫。企業與開發者也應避免讓AI代理在缺乏人工確認的情況下自動執行指令；導入外部儲存庫、套件或技能資源前，也應確認名稱是否對應到原始專案與可信維護者。</p> </div></div></div>
7/10 12:59作者王珮瑤https://www.ithome.com.tw/news/177230
OpenAI升級ChatGPT桌面程式，ChatGPT Atlas瀏覽器將退場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI周四（7/9）宣布升級ChatGPT桌面程式，新版整合原本獨立的Codex程式開發工具，也內建了瀏覽器與電腦操作等功能，並將逐步淘汰去年10月推出的瀏覽器<a href="https://www.ithome.com.tw/news/171807" target="_blank">ChatGPT Atlas</a>。根據<a href="https://www.theverge.com/ai-artificial-intelligence/963654/openai-chatgpt-atlas-ai-browser-shut-down-sunset" target="_blank">The Verge</a>的報導，ChatGPT Atlas預計會在8月9日停止運作。</p> <p>ChatGPT桌面程式最早是在2024年5月隨著GPT-4o的發表<a href="https://www.ithome.com.tw/news/162866" target="_blank">推出macOS版</a>，同年10月再推出Windows版。初期ChatGPT桌面版主要讓使用者可快速叫出ChatGPT，支援文字與語音對話、上傳檔案、擷取螢幕畫面，以及直接針對截圖內容提問，之後也陸續強化與桌面應用程式及外部工具整合的能力。</p> <p>新版ChatGPT桌面程式首先整合原本獨立的Codex App，讓使用者可在同一個程式中使用一般ChatGPT、Codex，以及新發表的<a href="https://www.ithome.com.tw/news/177224" target="_blank">AI代理人ChatGPT Work</a>，不必再分別開啟不同應用程式。</p> <p>它還新增內建瀏覽器，可直接開啟網站、使用網頁工具，並處理Google Workspace與Microsoft 365等線上文件。</p> <p>此外，新版加入更完整的電腦操作能力，可在背景跨應用程式、工具與瀏覽器執行點擊、輸入及搬移檔案等動作。舊版雖已能讀取部分桌面應用程式內容，但新版進一步讓ChatGPT實際操作電腦並完成跨應用程式的工作流程。</p> <p>當初OpenAI推出ChatGPT Atlas，希望以ChatGPT為核心重新設計瀏覽器，讓AI能理解使用者正在瀏覽的網頁內容，並直接摘要資訊、填寫表單或代為執行網路任務。如今OpenAI決定將瀏覽器及網頁操作能力整合至桌面版ChatGPT，獨立的ChatGPT Atlas也將隨之退場。</p> </div></div></div>
7/10 12:13作者陳曉莉https://www.ithome.com.tw/news/177228
金融詐欺攻擊利用ClickFix手法散布SCMBANKER工具包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>社交工程手法ClickFix過去常被用於散布<a href="https://www.ithome.com.tw/news/173653" target="_blank">竊資軟體</a>與<a href="https://www.ithome.com.tw/news/172319" target="_blank">遠端存取木馬</a>，如今也被攻擊者用於金融詐欺。</p> <p><a href="https://www.elastic.co/security-labs/mexican-banking-fraud-scmbanker-ref6045" target="_blank">資安業者Elastic旗下威脅研究團隊揭露代號REF6045的攻擊行動</a>，指出這波攻擊鎖定墨西哥金融服務使用者。攻擊者架設假CAPTCHA驗證頁面，要求使用者完成額外步驟，藉此引導對方將惡意命令貼到Windows的「執行」對話方塊。命令執行後，批次指令碼會開啟假Windows更新畫面作為掩護，並透過Windows內建命令列工具bitsadmin下載SCMBANKER相關元件，再利用Windows登錄機碼Run Key與啟動資料夾（Startup Folder）建立開機自動執行機制，使惡意程式在系統重開機後繼續運作。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0710-clickfix-REF6045-Elastic%20Security%20Labs-600-2.png" style="width: 598px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/Elastic</span></span></p> <p>SCMBANKER植入後，會監看受害者是否開啟網銀或金融服務網站；一旦發現相關活動，攻擊者即可啟用螢幕擷取、剪貼簿竄改與瀏覽器重新導向等功能，將受害者帶往釣魚網站，或替換交易帳號資訊，藉此攔截金融交易。</p> <p>在偵測與防護方面，研究人員建議企業留意端點是否出現可疑PowerShell命令執行、bitsadmin下載行為、異常處理程序啟動，或登錄機碼遭寫入可疑字串等跡象。企業也應加強員工警覺，提醒使用者避免依照網站指示，在Windows執行對話方塊貼上並執行不明PowerShell或cmd命令。</p> </div></div></div>
7/10 12:19作者王珮瑤https://www.ithome.com.tw/news/177227
OpenAI推出ChatGPT Work，AI代理人可跨應用程式自主完成多步驟工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/zh-Hant/index/chatgpt-for-your-most-ambitious-work/" target="_blank">OpenAI周四（7/9）推出ChatGPT Work</a>，將ChatGPT從對話工具擴展為可執行多步驟任務的AI代理人。ChatGPT Work可跨應用程式與檔案蒐集資訊，自主規畫並執行工作流程，定位類似Anthropic的Claude Cowork，主要鎖定企業與知識工作者市場。</p> <p>當使用者交付任務後，ChatGPT Work會尋找所需資料、讀取已連接的企業工具與檔案、拆解執行步驟，並產出文件、簡報或試算表等成果，必要時可持續執行數小時。相較於一般聊天模式，ChatGPT Work可自行規畫並執行完整工作流程，使用者則可查看進度、補充資訊、調整方向及核准重要動作。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0710-chatgpt%20work-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0710-chatgpt%20work-600-2.png" style="width: 600px;" /></p> <p>ChatGPT Work可透過Connectors連接Slack、Microsoft Teams、Google Drive、SharePoint、Salesforce、電子郵件及行事曆等工具，自動擷取並整合企業資料。使用者也可利用排程任務，要求ChatGPT定期監控網站更新、整理Slack訊息、彙整客戶回饋或更新簡報，讓工作在背景持續進行。</p> <p>ChatGPT Work採用最新的GPT-5.6模型，同時支援ChatGPT網頁版、行動版與桌面版，率先向Pro、Enterprise及Edu方案用戶開放，並將於未來幾天擴及Plus及Business方案。其中，桌面版可結合本機檔案、應用程式及內建瀏覽器，提供更完整的工作能力。<span style="font-size:14px;"><span style="color:#696969;">圖片來源/OpenAI</span></span></p> </div></div></div>
7/10 10:42作者陳曉莉https://www.ithome.com.tw/news/177224
歐盟推AI資安行動計畫，強化模型安全評估與網路韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI加速導入各產業與公共服務，<a data-saferedirecturl="https://www.google.com/url?q=https://digital-strategy.ec.europa.eu/en/library/eu-action-plan-cybersecurity-and-artificial-intelligence&source=gmail&ust=1783733725435000&usg=AOvVaw0xGay8e6hMr_SwodVXBD8m" href="https://digital-strategy.ec.europa.eu/en/library/eu-action-plan-cybersecurity-and-artificial-intelligence" target="_blank">歐盟執委會（Europea<wbr></wbr>n Commission）發布「AI與資安行動計畫」（EU Action Plan on Cybersecurity and Artificial Intelligence）</a>，希望提升歐洲整體網路防護能力，<wbr></wbr>同時降低AI遭攻擊者濫用的風險。</p> <p>這項行動計畫列出3大方向，包括安全且負責任地使用先進AI、<wbr></wbr>提升歐盟網路防護與復原能力，以及擴大AI在漏洞分析、<wbr></wbr>威脅偵測與事件應變等資安工作的應用。</p> <p>歐盟將依據《AI法案》（AI Act）強化AI模型進入歐盟市場前的安全評估機制，<wbr></wbr>並與歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）合作，建立先進AI系<wbr></wbr>統用於資安目的之安全存取應用藍圖，並設置安全測試平臺，<wbr></wbr>協助能源、交通、衛生醫療、金融與公共行政等關鍵領域組織，<wbr></wbr>在安全測試環境中驗證並導入AI資安方案。</p> </div></div></div>
7/10 10:56作者王珮瑤https://www.ithome.com.tw/news/177225
GuardFall攻擊鎖定開源AI程式開發代理，可繞過Shell命令防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://adversa.ai/blog/opensource-ai-coding-agents-shell-injection-vulnerability/" target="_blank">AI安全業者Adversa AI於6月30日揭露名為GuardFall的攻擊手法</a>。研究指出，多款開源AI程式開發代理與電腦操作型AI代理在執行Shell命令前，安全檢查主要仰賴原始命令字串比對或阻擋清單，攻擊者可利用Bash等命令列直譯器（Shell）的特性，在實際執行命令前，先展開變數、移除引號並重新解析命令，避開代理程式檢查，讓惡意命令以開發者帳號權限，在開發者主機或CI環境執行。</p> <p>這項研究測試opencode、Goose、Cline等11款熱門開源AI程式開發代理與電腦操作型代理。結果顯示，除Continue外，有10款工具在代理程式將命令交由Bash等命令列直譯器執行的流程中，分別存在防護可被繞過、缺乏靜態命令檢查機制，或切換本機模式後失去容器沙箱保護等問題；僅Continue在預設IDE模式下採用較完整的命令解析與安全檢查機制。</p> <p>不過，GuardFall攻擊並非在所有情境下都會成立，攻擊鏈仍取決於AI模型是否會將惡意內容視為一般開發任務並產生Shell命令，以及代理程式是否允許在缺乏人工確認的情況下自動執行命令。若攻擊成功，可能危及開發者主機上的SSH金鑰、雲端憑證，以及CI環境中的部署金鑰、套件登錄平臺的憑證等敏感資料。</p> <p>對此，Adversa AI建議開發團隊可先關閉--auto-exec、--auto-run、--auto-test等自動執行旗標或功能，避免AI代理在自動執行模式下處理拉取請求（pull request）中的未受信任內容。長期而言，AI代理不應只依賴阻擋清單，而應在命令交給Shell執行前，完成完整的命令解析與安全檢查。</p> </div></div></div>
7/10 11:17作者王珮瑤https://www.ithome.com.tw/news/177226
HP Deskjet 2800印表機韌體漏洞可讓駭客竊取憑證及配置資訊，HP尚未修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://kb.cert.org/vuls/id/828543" target="_blank">CERT/CC協調中心警告</a>，HP家用多功能事務機Deskjet 2800系列傳出韌體存在缺少授權的漏洞CVE-2026-13753，可讓攻擊者可能取得Wi-Fi憑證、管理配置及其他敏感資訊。目前HP尚未修補。</p> <p>HP現代化的印表機都提供Web管理介面，可讓使用者遠端存取以設定Wi-Fi Direct設定、SNMP管理、及裝置安全選項。正常情況下，存取Web管理頁面需要輸入管理員憑證，才會顯示敏感資訊。但在Deskjet 2800系列的問題版本韌體中，攻擊者可以對多個後端API端點直接傳送非經驗證的GET請求，這些端點並未檢查執行階段的狀態或驗證，就回傳了配置資料如Wi-Fi Direct SSID和明文密碼短語（passphrase）、印表機專有序號或服務ID、裝置管理員密碼狀態等。CERT/CC指出，這些資訊甚至在已執行驗證的Web介面都被曝露出來，顯示是API層的授權漏洞。</p> <p>CVE-2026-13753讓遠端攻擊者得以繞過Web介面的驗證要求，並從後端API直接擷取敏感的配置資料。外洩的資料包括Wi-Fi憑證、SNMP配置資訊、裝置身份資訊、雲端服務註冊metadata、及其他和裝置管理安全狀態相關的資料。攻擊者可利用這些資訊，非法存取Wi-Fi網路、執行網路或雲端整合的偵察、冒充合法裝置或協助列印環境的進一步攻擊。</p> <p>這項漏洞風險值7.5，影響韌體版本TBP1CN2612AR及之前版本。</p> <p>CERT/CC尚無法聯繫到HP解決漏洞，這表示尚無韌體修補程式。研究人員建議用戶將印表機放在受信賴或隔離的網路區段，關閉不必要的Wi-Fi Direct，僅允許受信賴網路的SNMP存取，或是完全關閉。並且使用防火牆或存取控制表（access-control list）規則防範非信任主機存取印表機的管理通訊埠，不必要的發現或雲端服務功能應加以關閉。</p> </div></div></div>
7/10 08:31作者林妍溱https://www.ithome.com.tw/news/177222
研究人員展示workflow層級的提示注入手法，繞過護欄讓GitHub Copilot撰寫惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI模型加入安全護欄，已減少提示注入攻擊的可能性。<a href="https://arxiv.org/abs/2607.03968" target="_blank">但研究人員發展出新提示注入手法</a>，將攻擊行為拆成一組工作流（workflow），成功讓GitHub Copilot撰寫出惡意程式碼。</p> <p>研究人員Abhishek Kumar與Carsten Maple將其手法稱為工作流層級越獄建構（workflow-level jailbreak construction）。這種攻擊法是將一個惡意攻擊指令，切成看似一般軟體開發流程的多個階段，這些階段一旦組合起來，就能對GitHub Copilot起作用，按研究人員意思撰寫攻擊程式碼。</p> <p>在測試對象方面，研究人員以Visual Studio Code的GitHub Copilot為代理人，後端模型使用4個閉源模型，包括Claude Sonnet 4、Claude Haiku 4.5、Gemini 3.1 Pro和Gemini 3.5 Flash。在聊天介面、CSV讀取及一步程式修補（single-step code-fix）三種情境下輸入204個惡意提示，直接要求Copilot寫有害程式碼，4個模型產生的816個回應幾乎（8/816）都予以拒絕。</p> <p>研究人員的工作流階層越獄建構中，則是以多個步驟要求GitHub Copilot建立「評估其他模型被惡意提示突破」的標竿測試管線程式（benchmark pipeline）專案。GitHub Copilot首先載入自動化紅隊演練的標準評估框架HarmBench，建立名為ASR的程式。接著，研究人員稱ASR得分太低，要求Copilot自動編寫包含提示／回應的「教學範例」（Teaching Shots），以便改善評估程式。Copilot以為自己正在執行軟工專案任務，於是當它寫出了「範例」的同時，也寫出了能突破其他模型的有害程式，落入研究人員圈套。以新方法，GitHub Copilot搭配4個模型輸出的816個回應中，全部都提供了不安全的程式碼。</p> <p>研究人員結論道，測試結果顯示，對話式拒絕標竿測試（conversational refusal benchmark）可能高估了程式開發代理人的安全性，程式開發代理人的安全必須在工作流層級來評估和執行。因此，未來防護也不能只監控提示和聊天回應，還必須監控IDE開發流程中，生成的檔案、腳本程式、範例、日誌、和當中生成的過渡性物件。</p> </div></div></div>
7/10 08:45作者林妍溱https://www.ithome.com.tw/news/177223
GitHub前執行長創辦Entire，推分散式Git託管網路分流AI代理讀取負載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub前執行長Thomas Dohmke的新創公司Entire，<strong><a href="https://entire.io/blog/an-entirely-new-git-hosting-network">推出分散式Git託管網路</a></strong>，讓使用者可將GitHub上的公開或私有程式碼儲存庫，鏡像到Entire位於不同區域的節點。AI程式代理不必都向原本的GitHub儲存庫大量讀取資料，而可從較近的Entire節點下載程式碼與拉取更新，降低原始儲存庫在高並行存取下的負載。</p> <p>Entire指出，Git原本就是分散式版本控制系統，每一份完整下載的儲存庫，都包含程式碼與歷史紀錄。不過，多數開發團隊仍集中使用GitHub這類託管平臺，過去由人類開發者操作時，通常是下載一次儲存庫、在本機工作一段時間後，再偶爾推送變更，但AI代理加入開發流程後，可能在短時間內同時發出大量請求，使原始儲存庫碰到流量限制，也暴露集中式服務的失效風險。</p> <p>因此Entire透過在GitHub儲存庫之外建立區域鏡像，讓開發者仍可維持原本的GitHub工作流程，AI代理則可改從Entire節點讀取資料。不過，Entire鏡像主要處理的是大量讀取流量，當開發者或AI代理要把變更推送到會同步回GitHub的分支，速度仍受GitHub端處理能力限制。Entire也支援Entire原生分支，可讓特定分支留在區域節點內處理，用來承接較大量的自動化寫入工作。</p> <p>在架構上，Entire以全域控制層處理身分、存取權限與資料放置位置，實際程式碼內容則存放在各區域資料層。使用者或組織可以指定儲存庫鏡像所在區域，讓程式碼讀取更接近實際運算位置，也避免所有代理請求都集中回到同一個原始儲存庫。</p> <p>Entire分散式Git託管網路首波開放給既有Entire使用者，初期區域為美國、歐洲與澳洲。新使用者目前採等待名單，Entire表示會依流量與系統負載逐步放行。使用者需安裝Entire GitHub App並授權儲存庫，再透過Entire命令列工具建立鏡像，之後即可從指定區域節點下載儲存庫。</p> <p>Entire也釋出開源工具ForgeMark，用來測試Git服務在大量AI代理操作模式下，處理並行git-push的吞吐量與延遲。Entire後續計畫支援在其網路上直接託管公開與私有儲存庫，並將Git後端開源，支援使用者自架節點。</p> </div></div></div>
7/10 08:12作者李建興https://www.ithome.com.tw/news/177220
調查局破獲中國網軍冒充國際記者，對臺政學界進行社交工程攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對中國網軍對臺灣政治界、學術界人士進行社交工程攻擊，7月7日<strong><a href="https://www.mjib.gov.tw/news/Details/1/1196">法務部調查局宣布破案</a></strong>，網軍偽冒國際記者犯案，藉此刺探及收集機敏資訊，並寄送夾帶惡意程式的電子郵件，意圖入侵及操控受害者的電腦設備。辦案人員搜索約談協助網軍蒐集LINE帳號的愛彼蓋爾公司，士林地檢署今依違反個資法對該公司前後負責人李華倫、陳孟森處分緩起訴。調查局呼籲，民眾除對不明人士加LINE傳訊攀談，或接獲不明郵件、簡訊要提高警覺，也不應將所申請、註冊之手機門號、LINE帳號等提供他人使用，避免涉入幫助犯罪而觸法。</p> <p>調查局自去年4月開始接獲相關通報，經過調查發現，愛彼蓋爾公司負責人接受中國網軍「廈門市女帝信息科技有限公司」指使，收集臺灣民眾手機門號註冊的LINE帳號，再以每個帳號人民幣1,100元的代價，租給中國網軍運用。</p> <p>一旦中國網軍取得這些帳號，他們就會盜用圖像並設定LINE帳號名稱，假冒國際記者身分，取得臺灣政學界人士的行動電話號碼，加為LINE好友開始攀談，藉新聞採訪為由邀請撰寫稿件，刺探、收集相關機敏資訊。再者，由於記者為了保護消息來源往往會採用加密通訊的管道進行採訪，這些網軍也投其所好，假借提供加密通訊軟體為由寄送電子郵件，藉此誘騙收信人開啟附件檔案，於受害裝置植入惡意軟體並竊取資料。</p> </div></div></div>
7/9 17:42作者周峻佑https://www.ithome.com.tw/news/177219
【資安日報】7月9日，數發部公布人工智慧風險分類框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/177214#AI-Risk">數發部人工智慧風險框架歸納3大類風險</a><br /> ● <a href="https://www.ithome.com.tw/news/177214#F5">F5宣布例行安全性更新週期從每季改成每月</a><br /> ● <a href="https://www.ithome.com.tw/news/177214#Accenture">IT服務公司Accenture傳出資料外洩事故</a><br /> ● <a href="https://www.ithome.com.tw/news/177214#ZohoMurk">與臺灣進行合作的印度政府機關遭到中國駭客滲透</a> <br /> ● <a href="https://www.ithome.com.tw/news/177214#GhostLock">Linux核心7.1修補高風險資安漏洞GhostLock</a> <a id="AI-Risk" name="AI-Risk"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/177184"><span style="font-size: 22px;"><strong>數發部正式公布人工智慧風險分類框架，畫分3大類20項子類別，並提供4大建議步驟</strong></span></a></p> <p>隨著《人工智慧基本法》於今年1月正式上路，各目的事業主管機關近期陸續發布AI應用指引，例如衛福部、NCC均已率先展開行動，先前數位發展部預告將制定相關框架，以便各部會參考，如今這套「人工智慧風險分類框架」正式於7月7日發布，預計將帶動更多部會加速推出AI應用指引。此框架是依據《人工智慧基本法》第16條訂定，供目的事業主管機關訂定AI風險管理規範之用，同時作為產業界及社會大眾理解我國AI風險治理體系之參考文件。<a href="https://www.ithome.com.tw/news/177184">詳全文</a> <a id="F5" name="F5"></a></p> <p><a href="https://www.ithome.com.tw/news/177197"><span style="font-size: 22px;"><strong>F5資安公告發布週期將從每季改為每月，理由是頂尖AI模型大幅提高低中風險漏洞串連利用的能力</strong></span></a></p> <p>繼4月底Oracle宣布將例行安全性更新週期從每季改為每月，網路應用程式交付與資安廠商F5本週也宣布採用類似的做法，該公司產品長Kunal Anand表示，從7月起，將於每個月的第三個星期三定期發布強化安全性的軟體版本（Hardened Software Releases），首發日期為7月15日，並搭配每月發布一次的安全通知（Monthly Security Notification，MSN），當中將說明前一個月發布的強化版本所修補的漏洞，首發日期為8月19日，涵蓋7月15日發布的版本。<a href="https://www.ithome.com.tw/news/177197">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177195"><span style="font-size: 22px;"><strong>CISA據傳使用Mythos掃描政府程式碼庫，找出可能遭濫用的漏洞</strong></span></a></p> <p>美國政府運用AI模型協助發現軟體漏洞的情況，再度受到關注。路透社引述3名知情人士報導，美國網路安全與基礎設施安全局（CISA）正在使用Anthropic Claude Mythos模型，掃描美國政府程式碼儲存庫，找出可能遭外國情報機構或網路犯罪分子利用的資安漏洞。知情人士指出，相關稽核已找出大量潛在漏洞，但未說明漏洞類型與嚴重程度。Anthropic未回應路透社提問；CISA代表先前曾表示會確認能否分享相關資訊，但後續未再回覆。<a href="https://www.ithome.com.tw/news/177195">詳全文</a> <a id="Accenture" name="Accenture"></a></p> <p><a href="https://www.ithome.com.tw/news/177194"><span style="font-size: 22px;"><strong>Accenture證實遭駭，攻擊者聲稱竊得35 GB資料</strong></span></a></p> <p>自稱888的駭客宣稱，IT服務與顧問公司Accenture在2026年7月發生資料外洩事件，遭竊資料超過35 GB，內容包括原始碼、RSA金鑰、SSH金鑰、Azure個人存取權杖（PAT）、Azure Storage存取金鑰，以及組態檔。Accenture向Bleeping Computer證實發生資安事故，並表示這是一起個別情況，已修復問題來源，未影響公司營運與服務交付。這起事件是因有威脅行為者聲稱竊得Accenture資料，並在網路犯罪論壇兜售而曝光。<a href="https://www.ithome.com.tw/news/177194">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177200"><span style="font-size: 22px;"><strong>有鑑於IT服務公司Accenture資料外洩，SOCRadar建議要從4大方向因應相關威脅</strong></span></a></p> <p><a href="/sites/default/files/images/888-forum-listing-accenture-data-breach-socradar-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/888-forum-listing-accenture-data-breach-socradar-63.jpg" style="width: 300px; float: right;" /></a></p> <p>針對IT服務與顧問公司Accenture近日發生的資安事故，威脅情報公司SOCRadar指出，儘管Accenture只承認部分資料外流，然而根據暴露的資料類型，代表企業應平時必須對於開發環境進行防禦性檢查，而對於Accenture此次事故可能會衍生儲存庫或機密資料外洩的情況，應從4個面向降低憑證風險並驗證開發環境的完整性。首先，企業應輪換並撤銷可能被揭露的機密；再者，要檢視Azure等雲端環境的事件記錄，協助判斷暴露的憑證在輪換之前是否遭到利用。<a href="https://www.ithome.com.tw/news/177200">詳全文</a> <a id="ZohoMurk" name="ZohoMurk"></a></p> <p><a href="https://www.ithome.com.tw/news/177205"><span style="font-size: 22px;"><strong>中國駭客Mustang Panda鎖定印度政府，濫用Zoho WorkDrive從事網路間諜活動</strong></span></a></p> <p><a href="/sites/default/files/images/ae59c2f1525abed5a6ef97f666d17da8-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ae59c2f1525abed5a6ef97f666d17da8-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Acronis揭露Mustang Panda最新一波的攻擊行動，他們攻擊與臺灣政府簽署MOU的印度政府機構，以及印度的水力發電機構，過程裡濫用印度政府廣泛採用的雲端檔案共享平臺Zoho WorkDrive建立C2通訊，然後傳遞惡意程式ZohoMurk與MiniRecon。該公司推測，本次攻擊活動具備間諜性質，目的在收集印度對臺灣在國防領域的合作情報，以及印度的水力發電計畫。Acronis確認印度政府多個系統遭到入侵，並與印度電腦緊急應變團隊（CERT-In）合作來因應此事。<a href="https://www.ithome.com.tw/news/177205">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177201"><span style="font-size: 22px;"><strong>假借提供印度稅務申報工具，中國駭客Silver Fox散布木馬程式DcRAT</strong></span></a></p> <p><a href="/sites/default/files/images/Operation-DragonReturn-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Operation-DragonReturn-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Seqrite揭露網路間諜活動Operation DragonReturn，駭客的活動從5月18日首度出現，截至6月17日仍在持續進行，主要目標涵蓋印度各地的企業組織、個人納稅人、稅務會計師（CA）、政府承包商、稅務代理人，以及企業財會團隊等，冒充印度財政部所得稅局寄送釣魚信，並引誘收信人開啟附件，一旦中招，受害電腦就會被植入惡意程式DcRAT。根據駭客使用簡體中文，並比對基礎設施與戰術、手法，以及流程（TTP），Seqrite認為攻擊者很可能就是中國駭客Silver Fox。<a href="https://www.ithome.com.tw/news/177201">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177198"><span style="font-size: 22px;"><strong>郵件伺服器Roundcube已知漏洞遭利用，中國駭客攻擊美國大學物理與工程學系</strong></span></a></p> <p><a href="/sites/default/files/images/Figure 1_ UNK_MassTraction infection chain-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Figure%201_%20UNK_MassTraction%20infection%20chain-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Proofpoint揭露2026年5月起出現的攻擊行動，駭客鎖定美國與加拿大多所大學物理與工程學系的Roundcube郵件伺服器。該公司將此攻擊集團命名為UNK_MassTraction，並研判其為疑似與中國有關聯的網路間諜集團。此波攻擊鎖定美加主要大學中的物理與工程學系，特別針對具有國安相關背景，或從事天文物理與粒子物理研究的部門管理員與教授，部署Webshell或後門程式VShell。此活動與Trellix先前揭露的事故有相似之處，不過，Proofpoint無法確認是否都是UNK_MassTraction所為。<a href="https://www.ithome.com.tw/news/177198">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177207"><span style="font-size: 22px;"><strong>中國惡意軟體驚傳透過USB裝置感染日本陸上自衛隊近一年</strong></span></a></p> <p>根據外流的內部文件顯示，日本陸上自衛隊（JGSDF）在連接敏感軍事網路的電腦上使用遭植入惡意程式的USB隨身碟，且持續接近一年，該惡意程式已被指與中國駭客行動有關。最早揭露此事的是日經亞洲（Nikkei Asia），他們指出日本陸上自衛隊自2024年3月起使用中國製USB隨身碟，直到2025年2月才發現異狀。大紀元時報（The Epoch Times）取得知情人士說法，這起事故現在曝光，很可能與中日政治局勢緊張有關。<a href="https://www.ithome.com.tw/news/177207">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177193"><span style="font-size: 22px;"><strong>駭客冒充IT支援人員，透過微軟Teams散布惡意軟體EtherRAT</strong></span></a></p> <p>資安公司Palo Alto Networks旗下的威脅情報團隊Unit 42指出，他們近日觀察到結合電子郵件釣魚與假冒IT支援的社交工程攻擊活動，攻擊者濫用Microsoft Teams通話，向受害者投遞惡意程式EtherRAT。此攻擊活動以偽造的員工調查郵件為誘餌，隨後由冒充系統管理員的攻擊者透過Teams通話介入，取得受害者電腦的遠端控制權，進而誘騙受害者安裝遠端管理工具（RMM）以建立持久通道，最終部署透過乙太坊智慧合約解析C2位址的區塊鏈後門程式。<a href="https://www.ithome.com.tw/news/177193">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177165"><span style="font-size: 22px;"><strong>ClickFix成2026年3月至5月主要惡意程式投遞手法，已逐步擴及macOS平臺</strong></span></a></p> <p>資安公司ReliaQuest於6月30日發布威脅情勢報告指出，ClickFix已成為2026年3月至5月期間主要的惡意程式投遞手法。ClickFix也是企業初始入侵的重要途徑之一，在魚叉式網路釣魚連結攻擊中占比達14.9%。此外，攻擊者經常搭配命令列混淆、隱藏檔案或指令碼真實用途等規避偵測技巧，使相關防禦規避活動占比接近28%。值得注意的是，ReliaQuest首次觀察到ClickFix攻擊手法延伸至macOS環境，誘使使用者於內建指令碼編輯工具執行惡意指令。<a href="https://www.ithome.com.tw/news/177165">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177188"><span style="font-size: 22px;"><strong>CISA下令聯邦機構於3天內修補ColdFusion滿分漏洞</strong></span></a></p> <p>6月底Adobe修補CVSS嚴重程度評為10分滿分的ColdFusion漏洞CVE-2026-48282，一週後美國政府確認已被用於實際攻擊，並要求聯邦機構緊急修補。7月7日美國網路安全與基礎設施安全局（CISA）表示，他們已掌握該漏洞被積極利用的證據，將其加入已遭利用的漏洞名單（KEV），聯邦機構必須在7月10日前完成修補。值得留意的是，同一天還有其他3個漏洞CVE-2026-48908、CVE-2026-56290、CVE-2026-55255，也被列入KEV。<a href="https://www.ithome.com.tw/news/177188">詳全文</a> <a id="GhostLock" name="GhostLock"></a></p> <p><a href="https://www.ithome.com.tw/news/177191"><span style="font-size: 22px;"><strong>Linux核心7.1修補長達15年的漏洞GhostLock</strong></span></a></p> <p><a href="/sites/default/files/images/race-timeline_light_BdOWiamE-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/race-timeline_light_BdOWiamE-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究團隊Nebula Security揭露Linux核心漏洞GhostLock，此弱點自2011年的2.6.39版引入，潛伏在Linux核心長達15年，為堆疊型記憶體釋放後再存取利用（Stack-UAF）弱點，登記為CVE-2026-43499，CVSS嚴重程度評為7.8分。此漏洞影響所有Linux發行版，攻擊者無需任何特權或特殊核心組態，僅需標準執行緒的系統呼叫即可觸發。Linux開發團隊獲報後，已於Linux核心7.1版完成修補。Nebula Security測試用於權限提升與容器逃逸，結果成功率高達97%。<a href="https://www.ithome.com.tw/news/177191">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177199"><span style="font-size: 22px;"><strong>Google更新Chrome 150穩定版，修補27項漏洞，兩項屬於重大等級</strong></span></a></p> <p>Google針對電腦版與安卓版用戶，發布Chrome瀏覽器新版150.0.7871.114與150.0.7871.115，此次改版共納入27項資安漏洞的修補。本次修補的重大漏洞有兩項，分別是影響平臺抽象層元件Ozone的CVE-2026-15112，以及影響GUI框架元件Views的CVE-2026-15129，都屬於記憶體已釋放卻仍被使用（UAF）問題。綜觀這次修補的漏洞，依舊以記憶體安全類型有17項居多，其中大部分為UAF問題，占13項。<a href="https://www.ithome.com.tw/news/177199">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177204"><span style="font-size: 22px;"><strong>Ubiquiti修補UniFi OS與多款應用程式漏洞，含7項重大漏洞</strong></span></a></p> <p>網通設備商Ubiquiti近日修補旗下UniFi OS管理平臺的25項漏洞，7項為重大等級，最嚴重的是IoT與數位看板管理平臺UniFi Connect漏洞CVE-2026-50746，CVSS評分達10分滿分，為存取控制不當問題。其次是四項9.9分的漏洞，包括影響IP電話管理應用程式UniFi Talk的CVE-2026-50747，門禁管理應用程式UniFi Access的CVE-2026-50748，視訊監控應用程式UniFi Protect的CVE-2026-55115，以及UniFi OS平臺本身的CVE-2026-54402。<a href="https://www.ithome.com.tw/news/177204">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177177"><span style="font-size: 22px;"><strong>BeyondTrust修補遠端支援與特權存取產品重大漏洞，攻擊者可藉此繞過存取控制與權限提升</strong></span></a></p> <p>身分存取安全公司BeyondTrust發布資安公告，修補四項重大漏洞，影響遠端支援及特權存取產品Remote Support（RS）與Privileged Remote Access（PRA），這些漏洞可能導致繞過存取控制、權限提升與服務阻斷等問題，其中最嚴重的是CVSS評分同為9.2分的CVE-2026-40138與CVE-2026-40139，兩者皆源於身分驗證子系統對驗證資料處理不當，可能導致攻擊者繞過存取控制與提升權限，自建版本用戶應儘速升級至25.3.3版以後版本因應。<a href="https://www.ithome.com.tw/news/177177">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177181"><span style="font-size: 22px;"><strong>Google Dialogflow CX曝重大缺陷，攻擊者可透過惡意AI代理竊取AI對話與共享資料</strong></span></a></p> <p><a href="/sites/default/files/images/Dialogflow-diagram-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Dialogflow-diagram-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Varonis近日揭露針對Google對話式AI平臺Dialogflow CX的「Rogue Agent」攻擊手法，具備一定權限的攻擊者，可建立惡意Dialogflow代理，再利用Google Cloud Run共用執行環境的架構缺陷，存取同一專案內其他代理的資訊。Google已修補此問題，目前未發現遭實際利用的跡象。Varonis指出，問題源自同一個GCP專案中，所有使用Playbook Code Block來執行程式的Dialogflow代理，實際上共用同一個Cloud Run執行環境，該環境由Google管理，不受使用者控制。<a href="https://www.ithome.com.tw/news/177181">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177162"><span style="font-size: 22px;"><strong>IBM修補WebSphere Application Server兩項重大漏洞</strong></span></a></p> <p>IBM於6月30日發布Java應用程式伺服器WebSphere Application Server資安公告，修補三項漏洞CVE-2026-11712、CVE-2026-11595與CVE-2026-11708，均存在於管理控制臺的整合輔助說明系統（Integrated Help System），最嚴重的是CVSS評分均為9.3分的CVE-2026-11712與CVE-2026-11708這兩項，均屬於跨網站指令碼問題（Cross-site Scripting，XSS），這兩項漏洞除編號不同外，IBM公告中的描述完全相同，目前無法判斷兩者的區別何在。<a href="https://www.ithome.com.tw/news/177162">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177155"><span style="font-size: 22px;"><strong>記憶體安全需求推升Rust人氣，首進TIOBE指標前十</strong></span></a></p> <p>TIOBE公布2026年7月程式語言人氣指標，Rust首次進入前十名，排名第10，評分為1.34%，高於去年同期的第18名。Rust受到關注的原因，與近年軟體開發對記憶體安全的要求提高有關，此程式語言重視記憶體安全，同時仍能產生高效能程式碼，使其成為C與C++之外受到關注的系統程式語言選項。不過，TIOBE也指出，C與C++社群仍在推動提高程式語言安全性的工作，這些努力能否及時見效，仍有待觀察。<a href="https://www.ithome.com.tw/news/177155">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177153"><span style="font-size: 22px;"><strong>Gartner將主權AI、AI代理風險與AI治理列入未來兩年資料與分析重點趨勢</strong></span></a></p> <p>6月中旬在雪梨舉行的Gartner資料與分析高峰會期間，市場調查機構Gartner研究副總裁Carlie Idoine針對企業兩年內的策略規畫，建議將六大資料與分析趨勢納入考量，其中有三項與資安有關，分別是：主權AI發展速度加快、藉助決策治理平臺降低AI代理風險、利用AI治理平臺建立信任。關於主權AI，資料與分析的控制權能夠以本地需求為主，是推動此過程的重要環節，成為許多組織在邁向AI優先企業的發展規畫中，必須設法妥善因應的外部地緣政治現實。<a href="https://www.ithome.com.tw/news/177153">詳全文</a> </p> </div></div></div>
7/9 15:58作者周峻佑https://www.ithome.com.tw/news/177214
法務部以三層平臺架構串聯算力、法務LLM與AI Agent推動法務主權AI發展，首波應用年底前成形
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在政府推動主權AI政策下，法務部6月甫宣布啟動法務部專屬大型語言模型計畫，目的在打造司法AI平臺。不過，法務部此次並非自行打造一套大型語言模型（LLM），而是希望建立可持續擴充的AI共用平臺，讓未來各個業務單位都能在共同基礎上發展司法AI應用，而不必各自重複建置算力與模型。</p> <p>法務部計畫打造法務領域LLM，與金管會先前聯手16家金融業者啟動金融LLM專案，為少數由政府部會或產業帶頭打造的適用我國法規、價值觀的特定領域專用大語言模型應用案例。</p> <p>具有檢察官經歷的法務部綜合規畫司副司長古慧珍接受iThome採訪時表示，這項為期三年的計畫採取「底層資源共享、應用服務分流」架構，底層算力、模型與資料環境由平台統一提供，上層則依檢察、觀護、行政等不同業務需求，發展各式AI應用，未來也可持續擴充更多司法場景。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><strong><span id="docs-internal-guid-26a3f185-7fff-70cf-0b7f-11f1849eec3b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">三層架構同步推進</span></span></strong></span></span></h2> <p>法務部規畫的法務部專屬大型語言模型計畫共分為三層。第一層為AI基礎設施，包括GPU算力、資料湖（Data Lake）及推論環境；第二層為法務專屬大型語言模型；第三層則是建置各項司法AI Agent及應用服務。計畫分3年推動，2026年為試驗期，申請科發基金支應，經費約9千餘萬元，2027年為推廣期，2028年為優化期。</p> <p><img alt="" src="/sites/default/files/images/%E6%B3%95%E5%8B%99%E5%B0%88%E5%B1%AC%E5%A4%A7%E5%9E%8B%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B%E8%A8%88%E7%95%AB%E4%B9%8B%E4%B8%89%E5%B1%A4%E6%9E%B6%E6%A7%8B.jpeg" style="width: 600px; height: 338px;" /></p> <p>和傳統資訊系統的瀑布式開發不同，法務部並非等待第一層全部完成後才展開第二、三層，而是三層同步推進。</p> <p>古慧珍表示，今年試驗期最重要的目標，是先完成整個三層架構的雛形，希望年底前建立可運作的平臺框架，後續2年再持續擴充各層能力，包括增加算力、導入更新的大型語言模型，以及發展更多司法AI應用。</p> <p>她形容，整體架構更像是一個可持續成長的平臺，未來算力可以擴充、模型可以更換，應用也能持續增加，而不是一次建置完成後便固定不變。</p> <p>目前第一層的算力及資料湖等基礎設施仍在建置中。</p> <p>古慧珍表示，算力將會採取混合模式，第一階段將部分自建、部分租用，同時也評估未來與國家高速網路與計算中心合作，並保留依AI技術演進調整部署策略的彈性。</p> <p>至於資料湖方面，今年才取得科發基金補助，目前仍在採購與建置階段，未來將儲存結構化與非結構化資料，作為模型訓練及知識檢索的重要基礎。</p> <p>儘管第一層尚未完成建置，但第二、三層已同步啟動。</p> <p>古慧珍指出，目前第二層的廠商已開始進行模型選型、建立法務語料、評測方法及模型微調規畫；第三層則同步和各個業務單位合作盤點需求，開發工作流程（Workflow）、AI Agent及系統整合。</p> <p>她也特別說明，資料蒐集與資料湖建置是兩件不同的工作。資料湖只是資料存放平臺，不會自動蒐集資料，因此目前第二、三層團隊已與各業務單位同步整理判決書、卷證、法規及行政文件等資料，待資料湖建置完成後即可逐步匯入。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-26a3f185-7fff-70cf-0b7f-11f1849eec3b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">採多模型策略，兼顧效能與成本</span></span></span></span></h2> <p>第二層的模型方面，法務部並非從零訓練大型語言模型，而是採用開源模型，再結合法務專屬知識持續微調。</p> <p>古慧珍表示，目前模型仍在選型階段，除了評估不同開源模型，也會持續關注新模型推出情況，由於目前AI語言模型技術的發展相當快，因此希望保留更換模型的彈性，而非綁定單一模型。未來可能採用多模型（Multi-LLM）架構，由一個或多個模型共同支援第三層AI應用。</p> <p>法務部排除中國的開源模型，也不採用封閉式的商業模型，以兼顧資料安全與主權AI需求。至於國科會主導的主權AI模型TAIDE，她認為若未來Gemma-3-TAIDE等模型推出符合需求，也會考慮將其納入評估。</p> <p>法務部規畫採用大型語言模型搭配小型語言模型（SLM）的方式，透過模型蒸餾（Distillation）等技術，兼顧模型推論品質與運算成本，讓不同司法場景能依需求選擇合適模型。</p> <h3><span style="font-size:20px;"><span style="color:#B22222;"><strong>法務部模型評測不追求「最強模型」，而是驗證是否符合業務需求</strong></span></span></h3> <p class="isselectedend">在大型語言模型選型上，法務部的目標並非以打造一個各項能力都最強的通用模型為主，而是希望建立符合司法業務需求的評測方式。古慧珍表示，目前不同大型語言模型各有優勢，有的模型擅長推理、有的擅長程式或文件處理，因此評估重點不在於模型整體能力排名，而是「看語言模型有沒有符合我的需求」。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p class="isselectedend">古慧珍指出，每一種應用場景都有不同的評測標準，例如檢察業務需要模型協助處理案件文件、整理卷宗或抽取關鍵資訊，所需能力與其他行政應用並不相同。因此，法務部規劃以實際業務需求建立評測資料與方法，並非是要追求一個涵蓋所有能力的模型。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p class="isselectedend">「我不需要一個全能的，我只需要說我的落地應用哪一塊需要它」，她說。未來法務部將依據不同業務情境，持續評估模型表現，若有新的開源模型推出，也會透過既有的評測資料與方法重新驗證，選擇更符合第一線需求的模型。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p>古慧珍強調，目前法律領域專屬的大型語言模型評測仍在發展階段，因此法務部會逐步累積自身的資料與案例，建立適用於法務場景的評測基準，讓模型能力能真正支援司法工作的實際需求。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-26a3f185-7fff-70cf-0b7f-11f1849eec3b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">第三層聚焦AI Agent</span></span></span></span></h2> <p>第三層應用則聚焦AI Agent。</p> <p>古慧珍表示，AI應用廠商不需要重新訓練大型語言模型，而是負責設計工作流程、整合模型能力，並利用RAG知識檢索、Agent Skills等技術，來完成各項司法業務單位的工作任務。換言之，第二層負責讓模型「變得更聰明」，第三層則負責讓AI「完成工作」。</p> <p>目前規畫中的應用包括AI檢察助理、AI觀護助理及行政AI工具，協助卷證標註、判決書整理、前案資料整理、行政文書及報告草稿生成等等，希望減少第一線法務工作人員的大量重複性文書工作。</p> <p>法務部初步估算，AI導入後可望節省約3成文書作業時間，不過目前仍屬推估值，後續仍需透過實際應用驗證。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-26a3f185-7fff-70cf-0b7f-11f1849eec3b"><span style="font-size: 17pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">全程落地部署，年底完成AI治理規範</span></span></span></h2> <p>由於司法資料涉及高度敏感資訊，法務部此次AI平臺採落地部署（On-premises）架構，不使用公有AI服務處理敏感資料。</p> <p>為降低AI幻覺風險，法務部也規畫透過RAG限制模型引用法務資料庫內容，同時導入Human in the Loop機制，由檢察官、觀護人保留最終決策權，AI僅負責文書整理及輔助分析，不直接取代司法判斷。</p> <p>配合《人工智慧基本法》要求各部會建立AI治理制度，法務部目前已成立AI資料治理諮詢會，討論資料治理、人員管理及內控制度，預計今年10月前完成法務部AI使用規範及內控管理機制，作為未來司法AI落地的重要治理基礎。</p> <p> </p> </div></div></div>
7/9 17:11作者蘇文彬https://www.ithome.com.tw/news/177202
法務部導入AI的背後，從百萬案海到過載的觀護防線，AI Agent 如何拯救燃燒殆盡的司法第一線？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>當社會大眾關注司法正義的落實、關心社會治安的防線是否穩固時，很少人注意到，司法與法務行政第一線人員正面臨一場「過載」的隱形危機。在法務部最新揭露的數據中，數字的背後是基層人員長年投入大量時間與海量公文、卷宗貼身肉搏的真實困境。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>第一線人員工作過載日常</strong></span></span></p> <p>地方檢察署每天需處理大量案件與司法文書。根據法務部統計，2025年地方檢察署新收案件約265萬件，也是法務部規畫導入AI檢察助理的重要背景。許多案件屬高度類型化案件，但卷證往往動輒數百頁、甚至上千頁，第一線檢察人員仍需逐一判讀卷證、比對裁判書與前科資料，以作為定應執行刑等司法作業的依據。檢察相關人員投入大量心力及時間，處理大量重複性的文書整理與資料比對工作，使得相關人員工作量過載，也造成相關人力流失的問題。</p> <p>同樣處於過載風暴中心的，還有身負「防堵再犯」重任的觀護人。2025年全國總受理的觀護案件高達12.5萬件以上，換算下來，平均每位觀護人每年必須面對超過500名受保護管束人。</p> <p>觀護人的核心價值，本應是透過深度晤談建立信任，引導迷途者重返社會，但是在現實中，他們卻被長達數小時的訪談錄音整理、逐字稿打字，還有報告撰寫等「行政庶務」緊緊綁死，導致真正能與個案深度對話的時間，被壓縮得所剩無幾。</p> <p>不只是司法的第一線人員，法務行政與國會聯絡端也同樣面臨考驗。基層人員每天被例行性書狀的生成佔據工時，稽核文件耗費大量精力；另外，每當立法院開議，國會聯絡人員還必須在極短的時間內應對立法委員的質詢。在缺乏智慧化工具的過去，跨單位的資訊落差與繁瑣的會議紀錄追蹤，往往讓備詢準備變成一場極其消耗的疲憊戰。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>以</strong><strong>AI Agent減輕</strong><strong>第一線人員困境</strong></span></span></p> <p>為了將第一線人員從庶務的泥潭中解放，法務部全面導入第三層「司法實務應用服務」，透過結合檢索增強生成（RAG）、Agent 技能與智慧工作流技術，為基層打造專屬的 AI 助理，試圖從三大核心面向徹底打破僵局。</p> <p>首先是透過「自動化」重塑工時價值。以法務部在計畫中規畫的「AI 檢察助理」為例，結合OCR與智慧卷證標籤技術，能自動產製卷證摘要、智慧擷取裁判書資訊並串接系統，將過往耗時數日的繁瑣工作，自動產出的應執行刑表，大幅縮短書類初稿、應執行刑表的製作時間。</p> <p>而「AI 觀護助理」則引進語音轉文字（STT）技術，讓訪談錄音內容自動生成逐字稿與摘要初稿，將觀護人從鍵盤打字的繁瑣的行政作業中釋放出來。同樣地，行政執行與文件審閱助理也透過「行政執行AI知識庫」自動生成例行書狀，直接釋放大量行政工時。</p> <p>其次是落實「決策輔助」。司法與觀護工作需要極高的準確度，AI助理提供智慧防禦的角色。</p> <p>例如「AI 觀護助理」能降低重複作業，讓觀護人可以更深度的面談，並且綜合分析刑案紀錄與獄政系統的跨界資料，提供即時的風險評估，協助觀護人快速精準地掌握高風險案件，達成精準的社會資源媒合，以有效降低再犯風險。</p> <p><img alt="" src="/sites/default/files/images/AI%E8%A7%80%E8%AD%B7%E5%8A%A9%E7%90%86.png" style="width: 600px; height: 338px;" /></p> <p>在檢察端，「AI檢察助理」能夠自動產製證據清單，大幅提升檢索效率的同時，並且降低人工登打錯誤率，確保案件資料的絕對完整。</p> <p><img alt="" src="/sites/default/files/images/AI%E6%AA%A2%E5%AF%9F%E5%8A%A9%E7%90%86.jpg" style="width: 600px; height: 338px;" /></p> <p>針對法務行政工作，透過行政執行AI小幫手，根據知識庫生成例行性書狀，提升行政執行的效率；AI文件審閱助手，可透過AI分析稽核文件，產生報告初稿；至於時效要求極高的國會業務，「立法院資訊AI分析」助理建立了國會知識庫，將複雜的國會議程與會議紀錄自動化彙整，在面對質詢時能顯著提升備詢的準備速度，徹底打破跨單位之間的資訊壁壘，將資訊落差降到最低。</p> <p><img alt="" src="/sites/default/files/images/%E8%A1%8C%E6%94%BF%E5%B9%AB%E6%89%8B600.jpg" style="width: 600px; height: 338px;" /></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>讓科技輔助處理繁瑣業務，讓人類專注專業判斷</strong></span></span></p> <p>法務部這一波AI轉型的核心，並不是為了取代人類的專業判斷，而是透過AI Agent承擔那些例行性、高度繁瑣且海量資料處理工作。運用科技幫忙人員扛下繁重庶務，檢察官才能將目光重新專注於案情偵查，觀護人才能投入更具溫度的深度面談，行政人員也能免於公文轟炸。把時間還給專業，讓司法與行政體系回歸「以人為本」的初衷，實踐更具韌性與社會正義的法治社會。</p> </div></div></div>
7/9 17:13作者蘇文彬https://www.ithome.com.tw/news/177208
中國政府將Claude Code反蒸餾機制定性為安全後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國工業和信息化部旗下網絡安全威脅和漏洞信息共享平臺（NVDB）<a href="https://www.nvdb.org.cn/publicAnnouncement/2074681830578630657?utm_source=chatgpt.com" target="_blank">周三（7/8）發布風險提示</a>，指稱美國AI新創Anthropic的AI程式開發工具Claude Code存在「安全後門隱患」，要求相關單位全面排查，並立即卸載受影響版本或升級至已移除相關程式碼的最新版。</p> <p>公告指出，Claude Code內建監控機制，未經用戶同意即向遠端伺服器傳送地域及身分識別等敏感資訊，受影響版本為Claude Code 2.1.91至2.1.196。</p> <p>NVDB因此建議相關單位及用戶全面排查，立即卸載或升級至已清除後門的最新安全版本；同時加強核心業務網段內開發工具的對外連線權限管理與流量監控，以防止敏感資料違規外傳。</p> <p>不過，此一被中國官方認定為安全後門的機制，正是Anthropic日前承認、<a href="https://www.ithome.com.tw/news/177034" target="_blank">並已移除的實驗性反蒸餾（Distillation）措施</a>。Anthropic今年2月曾公開指控DeepSeek、Moonshot與MiniMax等中國3大AI實驗室針對Claude發動大規模的蒸餾攻擊，總計利用約2.4萬個虛假的帳號，產生超過1,600萬次的對話，繞過區域限制，以非法榨取Claude的核心能力來訓練自己的模型。</p> <p>一名Reddit用戶LegitMichel777上周指出，他逆向分析Claude Code後發現，程式碼中暗藏可偵測環境資訊的隱碼，偵測目標包括改用Proxy/Gateway連線的對象、中國時區、特定網域與中國AI實驗室，並會透過隱寫術將偵測結果藏入系統提示詞。Claude Code技術主管Thariq Shihipar隨後承認此事，說明這是Anthropic於今年3月啟動的一項實驗性防禦機制，本來就打算移除。Anthropic在7月1日釋出的Claude Code 2.1.198已移除該機制，而目前最新版本為2.1.204。</p> <p>其實Anthropic並未在中國市場提供Claude及Claude Code服務，且境外生成式AI服務必須符合中國監管要求才能向境內提供，只是相關工具仍透過代理或海外帳號在中國開發者間流通。中國官方此次公告，等於是針對已安裝Claude Code的單位與使用者提出資安處置建議。</p> </div></div></div>
7/9 15:49作者陳曉莉https://www.ithome.com.tw/news/177212
蘋果與博通達成逾300億美元的晶片合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.apple.com/newsroom/2026/07/apple-to-increase-spend-with-broadcom-to-produce-billions-more-us-chips/" target="_blank">蘋果周三（7/8）宣布</a>，已與博通（Broadcom）簽署新的多年合作協議，雙方將共同設計及生產應用於多項蘋果產品的客製化矽元件及先進無線連接技術，合作規模預計超過300億美元。</p> <p>博通與蘋果合作已數十年，長期供應蘋果無線通訊相關晶片，也是蘋果去年啟動的<a href="https://www.ithome.com.tw/news/170472" target="_blank">美國製造計畫</a>（American Manufacturing Program，AMP）合作夥伴之一。根據新協議，博通將在美國生產客製化矽元件、先進射頻元件及無線連接技術，供應多項蘋果產品使用；蘋果預期，這項合作將帶動超過150億顆美國製晶片的產出，並支援數百個美國就業機會。</p> <p>博通也將擴建並升級位於美國科羅拉多州柯林斯堡（Fort Collins）的生產基地，於當地製造先進射頻元件，包括FBAR濾波器，以及先進無線連接技術。</p> <p>蘋果執行長庫克（Tim Cook）表示，此次合作將進一步加速雙方對美國製造與創新的承諾。博通總裁暨執行長Hock Tan則說，很高興透過蘋果最新承諾，擴大柯林斯堡的製造布局，持續開發可連結全球使用者的關鍵技術。</p> </div></div></div>
7/9 13:56作者陳曉莉https://www.ithome.com.tw/news/177206
中國惡意軟體驚傳透過USB裝置感染日本陸上自衛隊近一年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據外流的內部文件顯示，日本陸上自衛隊（JGSDF）在連接敏感軍事網路的電腦上使用遭植入惡意程式的USB隨身碟，且持續接近一年，該惡意程式已被指與中國駭客行動有關。</p> <p>最早揭露此事的是<strong><a href="https://asia.nikkei.com/spotlight/cybersecurity/japan-defense-forces-used-usb-drives-with-china-linked-virus-nikkei-probe">日經亞洲（Nikkei Asia）</a></strong>，他們指出本陸上自衛隊自2024年3月起使用中國製USB隨身碟，直到2025年2月才發現。在此之前，日本軍方為防止此類網路安全漏洞所採取的多項安全措施，均未能偵測到病毒。該惡意程式被發現的原因，是陸上自衛隊位於大阪近郊伊丹市的成員，留意到一臺電腦運作速度異常緩慢。後續調查發現，送檢的8支USB隨身碟中，有6支含有相同的惡意程式碼，這些惡意隨身碼曾與超過50臺電腦連接，其中近半數電腦用於處理機密資料，包括部隊調動等敏感軍事資訊。</p> <p>調查人員將此惡意程式進行比對，發現與美國資安公司先前記錄的惡意程式家族相符，該惡意軟體由中國駭客組織使用，不過，目前報告中均未公開該惡意程式的名稱，以及駭客組織身分。<strong><a href="https://www.theepochtimes.com/china/japanese-military-used-usb-drives-with-china-linked-virus-report-6054017">大紀元時報（The Epoch Times）</a></strong>取得知情人士說法，這起事故現在曝光，很可能與中日政治局勢緊張有關。他們引述王毅的說法，日本媒體報導此事，代表對於中國利用惡意USB隨身碟入侵日本軍方系統竊取機密情報的情況，日本當局已掌握相關證據。</p> </div></div></div>
7/9 14:11作者周峻佑https://www.ithome.com.tw/news/177207
中國駭客Mustang Panda鎖定印度政府，濫用Zoho WorkDrive從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>被稱為Mustang Panda、Earth Preta、RedDelta、TA416的中國駭客組織，多次為了中國政府的戰略利益從事網路間諜活動，如今有資安公司發現，這些駭客針對與臺灣有簽訂合作協議（MOU）的政府機構下手。</p> <p>資安公司Acronis揭露<strong><a href="https://www.acronis.com/en/tru/posts/mustang-panda-targets-indias-government-and-energy-sectors/">Mustang Panda最新一波的攻擊行動</a></strong>，他們攻擊與臺灣政府簽署MOU的印度政府機構，以及印度的水力發電機構，過程裡濫用印度政府廣泛採用的雲端檔案共享平臺Zoho WorkDrive建立C2通訊，然後傳遞惡意程式ZohoMurk與MiniRecon。該公司推測，本次攻擊活動具備間諜性質，目的在收集印度對臺灣在國防領域的合作情報，以及印度的水力發電計畫。Acronis確認印度政府多個系統遭到入侵，並與印度電腦緊急應變團隊（CERT-In）合作來因應此事。</p> <p>針對這起事故的攻擊流程，駭客最初使用的作案工具是惡意程式載入工具ShardLoader，然後透過DLL側載手法執行其他酬載。其中在針對與臺灣有合作關係的印度政府機關的事故裡，駭客以臺灣MOU資料為誘餌，試圖於受害電腦植入ZohoMurk，此惡意程式濫用Zoho WorkDrive打造通訊基礎設施，使用Zoho OAuth API及指定的OAuth憑證進行身分驗證，並設定使用者代理字串（User Agent）以融入一般的上網流量。另一起事故裡，駭客使用了MiniRecon，經比對是後門程式ToneShell8的變種，最顯著的差異在於C2通訊機制，新惡意程式透過WinHTTP API以HTTPS建立WebSocket連線。</p> </div></div></div>
7/9 12:44作者周峻佑https://www.ithome.com.tw/news/177205