【資安週報】0720~0724，以供應鏈韌性與依賴關係為核心的治理模式，成為多國資安策略發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週資安新聞最重要的焦點在於，強化關鍵基礎設施防護之餘，全球多國現已轉向以供應鏈韌性與依賴關係為核心的治理模式，不僅要辨識跨領域的相互依存網路，還要跨機關、產業共同合作，預期這也將是臺灣整體國家韌性的重要課題。</p> <p>Hugging Face遭AI代理意外攻擊的事件成為本週熱門話題，後續OpenAI揭露是測試模型能力意外造成，當中突顯AI為達成任務而不擇手段的風險，已是不容忽視的事實，防範此類危害也是當前資安界最迫切的課題。</p> <p>漏洞攻擊持續佔據本週新聞版面，包括有駭客鎖定Check Point設備發動零時差漏洞攻擊，促使業者趕緊修補，亦有駭客針對甫修補的wp2shell、SharePoint與ServiceNow等漏洞迅速鎖定利用的狀況。此外，近期揭露的十大熱門漏洞分析亦顯示，舊有已知漏洞只要仍有未修補的暴露系統便仍會成為攻擊目標，尤其PHP與Web應用程式的已知漏洞最須當心。</p> <h1><strong style="color: rgb(255, 140, 0);">IoT/OT安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>防護關鍵基礎設施不能只看單點，從烏俄戰爭與臺灣815大停電的經驗來看，防禦重點已轉向關鍵供應鏈節點的「依賴網路關係」。此外，近期日本冷鏈巨頭Nichirei遭駭後，對當地依賴其物流服務的上千家民生業者造成廣泛衝擊，亦顯現出關鍵節點失效將引發跨產業的連鎖衝擊。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177540">烏俄戰爭向臺灣示範的一堂課：真正需要防護的不只是關鍵設施，而是支撐國家運作的依賴網路</a></strong></p> <p><a href="/sites/default/files/images/依賴網路關係_級聯效應分類概覽_TxOne.jpg"><img alt="" src="/sites/default/files/images/%E4%BE%9D%E8%B3%B4%E7%B6%B2%E8%B7%AF%E9%97%9C%E4%BF%82_%E7%B4%9A%E8%81%AF%E6%95%88%E6%87%89%E5%88%86%E9%A1%9E%E6%A6%82%E8%A6%BD_TxOne.jpg" style="width: 400px; float: right;" /></a></p> <p>去年赴北大西洋公約組織交流期間，TXOne Networks資安威脅與產品防禦中心資深經理鄭仲倫（Mars Cheng），從烏俄戰爭體會到：真正癱瘓國家的，往往不是飛彈或惡意程式，而是平時鮮少被看見、卻深刻影響能源、通訊、交通、醫療與政府運作的「依賴關係」。他以2017年臺灣815大停電事件為例，指出天然氣、電力、通訊等系統彼此高度相依的現實，並強調未來關鍵CI治理的重點，不只是保護單一設備或系統，而是建立持續更新的依賴關係圖，提升整體國家韌性。</p> <p><strong><a href="https://www.ithome.com.tw/news/177580">Nichirei資安事故有新進展，冷鏈物流完全恢復預計要將近兩週，勒索軟體組織RansomHouse宣稱是其所為</a></strong></p> <p>日本冷鏈龍頭Nichirei遭駭後導致日本大規模冷凍食品供應受影響，持續引發外界重視，此事件正反映出民生消費供應鏈在「依賴網路關係」層面的關鍵節點風險。後續消息顯示，駭客組織RansomHouse宣稱此攻擊事件是他們所為，而面對駭客威脅與系統中斷危機，Nichirei至今已發布四波關於此事件的公告，根據公告內容，從事故發生到復原系統，Nichirei物流服務中斷至少達4天，而要達成全面復原的目標，整體耗時預計將近兩週。</p> <p><strong><a href="https://www.ithome.com.tw/news/177375">可口可樂旗下乳品公司遭勒索軟體攻擊，美國生產作業停擺</a></strong></p> <p>Fairlife是可口可樂旗下乳品生產子公司，根據可口可樂向美國證管會（SEC）提交的報告，fairlife於7月16日發現在一次和勒索軟體有關的事件中，第三方行為者未授權存取了公司部分系統，包括和生產相關的系統。該公司立即啟動事件回應措施及業務永續程序，並在外部顧問及資安專家協助下展開調查，也通知了執法單位。</p> <p><strong><a href="https://www.ithome.com.tw/news/177542">開源路由器韌體DD-WRT已知漏洞出現攻擊行動</a><span style="color: rgb(255, 0, 0);">【CVE-2021-27137】</span></strong></p> <p>2021年揭露的8.1分高風險漏洞CVE-2021-27137，今年6月曾被用於攻擊搭載開源韌體DD-WRT的路由器設備，7月21日美國網路安全與基礎設施安全局（CISA）警告，他們掌握CVE-2021-27137遭積極利用的證據，將此漏洞列入已遭利用的漏洞名單（KEV），聯邦機構必須在7月24日前完成修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/177530">荷蘭揭俄羅斯駭入IP攝影機追蹤援烏軍運，情報已用於攻擊烏軍</a></strong></p> <p>荷蘭情報單位警告，俄羅斯國家駭客正針對防護不足的IP攝影機大量入侵，入侵設備後將其作為蒐集軍事情資的工具。這場網路間諜行動的攻擊目標相當廣泛，涵蓋荷蘭、其他歐盟與北約成員國，以及烏克蘭，雖然目前研判駭客藉此自動辨識軍車、貨物及人員位置，將情報用於攻擊烏克蘭的軍事行動，但認為相同手法未來可能被俄羅斯軍事單位用於其他衝突。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">資安維運</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>協調式漏洞揭露計畫指引的發布、PR3TACK預先防禦知識庫的推出，以及微軟開源OAST平臺Dusseldorf，為漏洞溝通、威脅獵捕與主動偵測提供新工具；CIS與SAFECode發布的軟體安全實務評估指引，亦再次強調Security by Design的重要性。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177445">美日荷英網路安全機構發布協調式漏洞揭露指引，協助業者與資安研究人員合作</a></strong></p> <p>7月15日美國網路安全暨基礎設施安全局（CISA）與美國國家安全局（NSA）、日本電腦緊急應變小組協調中心（JPCERT/CC）、荷蘭國家網路安全中心（NCSC-NL）及英國國家網路安全中心（NCSC-UK），共同發布《建立與資安研究人員合作的協調式漏洞揭露計畫指引》，可供軟體製造商及線上服務供應商採用，作為建立或改善協調式漏洞揭露（CVD）計畫的參考。</p> <p><strong><a href="https://www.ithome.com.tw/news/177546">開源威脅知識庫PR3TACK收錄潛在攻擊技術，協助資安團隊提前部署防禦</a></strong></p> <p><a href="/sites/default/files/images/開源威脅知識庫PR3TACK收錄潛在攻擊技術.jpg"><img alt="" src="/sites/default/files/images/%E9%96%8B%E6%BA%90%E5%A8%81%E8%84%85%E7%9F%A5%E8%AD%98%E5%BA%ABPR3TACK%E6%94%B6%E9%8C%84%E6%BD%9B%E5%9C%A8%E6%94%BB%E6%93%8A%E6%8A%80%E8%A1%93.jpg" style="width: 400px; float: right;" /></a></p> <p>Atlassian資安研究人員Vishal Thakur於FIRST國際資安應變組織年度大會FIRSTCON26公開發表開源「預先防禦戰術與反制措施知識庫」，整理技術上可行、但尚未普遍出現在實際攻擊中的潛在手法，協助資安團隊提前規畫偵測、威脅獵捕與防禦措施。</p> <p><strong><a href="https://www.ithome.com.tw/news/177470">微軟發布開源Dusseldorf資安測試平臺，協助偵測SSRF等頻外漏洞</a></strong></p> <p>微軟推出開源Dusseldorf專案，這是一套用於Out-of-band應用程式安全測試（OAST）的平臺，可協助資安研究人員偵測與驗證SSRF、XSS、SSTI及XXE等漏洞。Dusseldorf可自行部署，監聽DNS、HTTP與HTTPS流量，並透過圖形介面或REST API檢視請求與回應，協助企業建立私有的漏洞測試環境。</p> <p><strong><a href="https://www.ithome.com.tw/news/177505">CIS更新安全設計指引，以開發活動紀錄評估軟體安全</a></strong></p> <p>非營利資安組織網際網路安全中心（CIS）與安全軟體開發倡議組織SAFECode於7月9日發布《安全設計：軟體安全實務評估指引》1.1版，協助開發組織及軟體使用者查核開發過程留下的佐證資料，評估安全設計與安全開發措施是否落實。</p> <p><strong><a href="https://www.ithome.com.tw/news/177576">F5揭露2026年6月十大熱門漏洞，多個舊漏洞仍名列最常遭掃描利用榜單</a></strong></p> <p>F5發布2026年6月十大熱門漏洞分析，指出網路攻擊活動單月增加55.5%，而攻擊者持續鎖定廣泛部署的舊漏洞。前十名中包括2021年揭露的Exchange ProxyLogon漏洞，以及存在超過20年的phpSysInfo漏洞，顯示漏洞新舊並非攻擊者選擇目標的關鍵。即使漏洞公開多年，只要仍有大量未修補的暴露系統，依然可能成為自動化掃描與攻擊的目標。</p> <p><strong><a href="https://www.ithome.com.tw/news/177581">剖析2026上半年漏洞攻擊趨勢，F5警示PHP與Exchange舊漏洞持續遭到鎖定</a></strong></p> <p>F5分析近6個月蜜罐資料發現，攻擊者持續鎖定長期存在的PHP與Web應用程式漏洞，CVE-2024-4577每月攻擊量超過1.2萬次，Exchange ProxyLogon漏洞CVE-2021-26855也在6月創下觀測期間新高。同時，攻擊類型出現變化，資訊洩漏、路徑遍歷與可預測資源位置攻擊持續增加，顯示攻擊者的活動重心逐漸轉向特定資源的枚舉與漏洞利用。</p> <p><strong><a href="https://www.ithome.com.tw/news/177478">惡意郵件成勒索軟體首要入侵管道，與網路釣魚合計占五成</a></strong></p> <p>資安業者Sophos發布《2026勒索軟體現況報告》，顯示惡意郵件是最常見的勒索軟體初始入侵管道，占26%；其次是網路釣魚及登入憑證遭竊，分別占24%與23%，暴力破解攻擊則占6%。相較之下，利用漏洞入侵的比例降至18%，較2025年減少14個百分點。</p> <p><strong><a href="https://www.ithome.com.tw/news/177524">Palo Alto Networks宣布併購Embrace，為可觀測性平臺提供高精度真實使用者監控能力</a></strong></p> <p>Palo Alto Networks宣布計畫併購數位體驗可觀測性業者Embrace，將其高精度真實使用者監控（RUM）能力整合至自身可觀測性平臺，將可觀測性從終端使用者互動延伸至應用程式、後端軟體與基礎設施，協助企業減少監控盲點，及早發現服務問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/177548">GitHub公開漏洞懸賞獎金至少減半，VIP重大漏洞3萬美元起</a></strong></p> <p>AI等工具已降低安全研究的門檻，並造成未驗證及AI生成的低品質通報大增，GitHub宣布自2026年7月27日起重整漏洞懸賞計畫，公開計畫獎金至少減少一半，並採固定獎金制，重大漏洞獎金降至1萬美元，同時將採HackerOne的研究員信譽評分門檻，限制未達門檻者的報告提交數量。這次變化的另一重點是，將較高獎勵改集中於邀請制VIP計畫，並確立為永久性的邀請制計畫。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">資料安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>資料外洩威脅消息不斷，本週以哥倫比亞石油公司遭駭最受關注，單一攻擊即衝擊集團15家公司，規模相當罕見。臺灣拍付國際公布事故調查，揭露其主機防火牆漏洞遭利用的入侵成因，以及事後導入端點偵測與回應（EDR）的處置，突顯國內金融產業防護水準不一的現況。此外，美國EY與醫療軟體商Craneware等事件，亦突顯第三方系統的安全風險與管理挑戰。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177433">哥倫比亞石油公司Ecopetrol遭勒索軟體攻擊，雖擋下惡意加密，但集團旗下15家公司資訊遭竊</a></strong></p> <p>哥倫比亞國家石油公司Ecopetrol S.A.傳出重大資安危機，該公司於7月17日發布聲明，揭露遭遇未經授權的網路存取事件，初步調查結果顯示，集團內約15家子公司（含公司本身）的雲端檔案儲存環境遭入侵，並導致3,300個用戶帳戶相關的資料遭非法下載。由於單一事件衝擊集團內15家公司，影響規模相當罕見。</p> <p><strong><a href="https://www.ithome.com.tw/news/177544">拍付國際資安事故調查出爐，防火牆漏洞遭駭客利用成破口，已補強防禦並導入EDR強化監控</a></strong></p> <p>拍付國際（Pi拍錢包）資安事故歷經半個月調查後於7月15日公布，該公司說明主機防火牆漏洞遭駭客利用是本次事件的破口，駭客藉此取得防火牆權限後，並非法存取內部員工的檔案伺服器，造成部分日常作業檔案外洩，其中涵蓋2019年與2022年專案上線的部分會員資料（姓名、手機號碼及車牌號碼）。該公司已於數位部行政檢查下落實改善，完成防火牆修補升級並導入端點偵測與回應（EDR）。</p> <p><strong><a href="https://www.ithome.com.tw/news/177446">松上電子部分資訊系統遭駭</a></strong></p> <p>7月17日晚間，印刷電路板（PCB）與磁性元件廠商松上電子（6156）在股市公開資訊觀測站發布重大訊息，指出公司部分資訊系統遭受網路攻擊，資訊部門發現異常後已啟動防禦與復原機制因應。</p> <p><strong><a href="https://www.ithome.com.tw/news/177464">車用電子廠淳安遭勒索軟體攻擊</a></strong></p> <p>7月20日晚間，車用電子廠淳安電子（6283）發布重大訊息，說明公司近期發生網路資安事件。淳安表示，資安單位於接獲異常通報後，經查證確認為勒索軟體檔案加密攻擊，已即時啟動資安應變機制因應。</p> <p><strong><a href="https://www.ithome.com.tw/news/177577">瑞士施泰德鐵路遭Everest勒索軟體攻擊，嚴拒支付贖金</a></strong></p> <p>瑞士鐵路巨擘Stadler Rail（施泰德鐵路）是全球鐵道車輛跨國製造商，本週該公司公告遭駭客組織Everest竊取資訊及勒索，於7月中透過入侵資料交換平臺竊走Stadler特定技術資料，並向其勒贖1,000萬瑞士法郎（約1,230萬美元），但Stadler拒絕支付贖金並將提告。</p> <p><strong><a href="https://www.ithome.com.tw/news/177552">可口可樂旗下乳製品品牌Fairlife遭駭，勒索軟體Anubis宣稱是他們所為</a></strong></p> <p>7月16日可口可樂向美國證券交易委員會（SEC）提交8-K表單，表示旗下乳製品公司Fairlife遭勒索軟體攻擊，7月20日勒索軟體Anubis將Fairlife與可口可樂列於資料外洩網站，聲稱他們鎖住多臺伺服器，並竊得1 TB的機密資料。可口可樂目前並未針對此事評論。</p> <p><strong><a href="https://www.ithome.com.tw/news/177490">英國醫療軟體商Craneware遭駭，逾2,000家美國醫院客戶資料恐受影響</a></strong></p> <p>英國醫療軟體商Craneware揭露資安事件，部分資料環境遭未經授權存取，大量員工資料及部分客戶與合作夥伴紀錄遭竊。由於Craneware服務超過2,000家美國醫院及近1萬家診所與零售藥局，此事件可能牽涉廣泛醫療產業客戶。目前該公司營運與醫療服務未受影響，仍在評估資料外洩範圍。</p> <p><strong><a href="https://www.ithome.com.tw/news/177427">美國EY第三方支援工單系統傳出遭到入侵，臺灣用戶不受影響</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_xbm7simgon.jpg?itok=xDQ2KJWz"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_xbm7simgon.jpg?itok=xDQ2KJWz" style="width: 400px; float: right;" /></a></p> <p>全球四大會計師事務所之一的EY（Ernst & Young）近日向客戶發出通知，IT部門使用的第三方支援工單（support ticket）系統遭到未經授權存取，攻擊者下載含有客戶稅務資訊的文件。7月中旬EY已通報美國加州及佛蒙特州主管機關，目前該公司表示臺灣客戶未受影響。</p> <p><strong><a href="https://www.ithome.com.tw/news/177429">DigiCert資料外洩事故傳出是中國駭客GoldenEyeDog旗下子團體所為</a></strong></p> <p>4月初數位憑證機構DigiCert遭遇社交工程攻擊，3個月後的此刻，資安公司Expel透露，攻擊者的身分，是中國網路犯罪集團GoldenEyeDog（APT-Q-27）旗下的子團體，他們命名為CylindricalCanine（Expel-TA-0002）並進行追蹤。</p> <p><strong><a href="https://www.ithome.com.tw/news/177435">亞培傳出遭兩組駭客團體入侵，其中一組是ShinyHunters</a></strong></p> <p>7月16日醫療科技巨頭亞培（Abbott Laboratories）發布公告指出，他們正在調查一起資安事故，原因是該公司的癌症診斷業務當中，出現少數內部系統遭未經授權存取。根據資安新聞網站Bleeping Computer報導，有兩個駭客組織宣稱入侵亞培：ShinyHunters、ShadowByt3$。</p> <p><strong><a href="https://www.ithome.com.tw/news/177480">晶片設計軟體廠Synopsys傳出遭駭，該公司否認並聲稱未發現資料洩漏跡象</a></strong></p> <p>近日勒索軟體駭客組織D1R將晶片設計軟體廠新思科技（Synopsys）與德國工程以及科技巨頭博世（Bosch）列於資料外洩網站。D1R聲稱利用新思科技網站的漏洞，存取含有4萬筆記錄的企業客戶資料庫，又從竊得的資料入侵博世，號稱取得智慧財產資料。對此，新思科技表示，根據他們持續監控網路環境與調查，未發現該公司或客戶的技術資料遭未經授權存取的跡象。</p> <p><strong>■<a href="https://www.ithome.com.tw/news/177556">雅詩蘭黛終於證實去年Oracle EBS被駭，員工資料遭竊</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177441">基因檢測服務業者23andMe資料外洩案以1,800萬美元與美國多州和解</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">AI資安</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>OpenAI揭露其受測模型為達成任務，竟自主利用零時差漏洞逃出隔離環境，進而入侵Hugging Face，以及駭客僅需6分鐘便能利用Gemini CLI建立殭屍網路的消息，均成為本週熱門新聞。在防禦面，亦可留意Gemini 3.5 Flash Cyber、鎖定漏洞定位的Antares小模型、新版AI控制矩陣（AICM）及白宮Gold Eagle威脅共享平臺等重要消息。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177484">面對AI浪潮，資安人該如何練出「打不倒」的生存能力</a></strong></p> <p>「如果AI今天也能通過CISSP考試，你的價值是什麼？」ISC2臺北分會理事長唐任威不僅反覆拋出這個問題，同時也提及證照開始質變，從知識壟斷到「AI協作」。此外，他強調，技能缺口比人才缺口更急迫， 軟實力與判斷力才是AI時代真正的護城河，資安工作沒有被AI取代而不見，只是你是否認得出它轉變後的樣貌，並建議資安人才朝向「T型韌性人才」發展。</p> <p><strong><a href="https://www.ithome.com.tw/news/177507">尚無修補程式的Langflow重大漏洞已被實際利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-0770】</span></strong></p> <p>7月21日CISA指出，已掌握Langflow尚未修補的漏洞CVE-2026-0770遭積極利用的證據，而列入已遭利用的漏洞列表（KEV），聯邦機構須在7月24日前進行處理。此為遠端程式碼執行（RCE）漏洞，攻擊者無須通過身分驗證就能利用，CVSS評分達到9.8分，屬重大等級。</p> <p><strong><a href="https://www.ithome.com.tw/news/177479">開源LLM推理框架SGLang存在重大反序列化漏洞，可能導致遠端執行程式碼攻擊</a></strong></p> <p>美國CERT/CC揭露，開源LLM推理框架SGLang存在CVSS 9.1的遠端執行程式碼漏洞CVE-2026-14890，攻擊者可利用Expert-Parallel backup子系統通訊介面的驗證與反序列化防護不足，傳送惡意Pickle資料，在伺服器執行任意程式碼。目前尚無修補版本，建議用戶限制服務介面存取，並停用Pickle IPC功能。</p> <p><strong><a href="https://www.ithome.com.tw/news/177454">資安業者Mindgard揭露Cursor存在未修補漏洞，開發者開啟惡意儲存庫恐遭執行任意程式碼</a></strong></p> <p>資安業者Mindgard揭露，AI輔助開發工具Cursor在載入專案時，會從工作目錄尋找Git執行檔，攻擊者只要在儲存庫根目錄放置同名的惡意git.exe，便可能在用戶開啟專案時觸發任意程式碼執行。Mindgard已多次通報Cursor，但至今仍未獲得回應，因而公開研究結果提醒用戶注意。</p> <p><strong><a href="https://www.ithome.com.tw/news/177477">Cursor等AI程式代理曝沙箱繞過風險，工作區檔案可透過開發工具與Docker越界執行</a></strong></p> <p>最新AI程式代理安全研究出爐，資安業者Pillar指出，Cursor、OpenAI Codex CLI、Google Gemini CLI及Antigravity等開發工具，出現多條可跨越沙箱邊界的途徑。值得關注的是，多數案例並非AI代理直接突破沙箱，而是先在程式專案資料夾內建立或修改檔案，再由沙箱外的開發工具或Git功能執行。此外，另有案例是代理透過位於沙箱外的Docker服務，在特定設定下間接取得主機操作能力。</p> <p><strong><a href="https://www.ithome.com.tw/news/177504">Hugging Face遭駭案，OpenAI證實是自家模型所為</a></strong></p> <p><a href="/sites/default/files/images/hugging-face-model-evaluation-security-incident.jpg"><img alt="" src="/sites/default/files/images/hugging-face-model-evaluation-security-incident.jpg" style="width: 400px; float: right;" /></a></p> <p>當AI為達成任務而不擇手段！日前<a href="https://www.ithome.com.tw/news/177440">Hugging Face揭露遭自主AI代理入侵</a>，OpenAI在7月21日證實此入侵案是由其受測模型所為。根據OpenAI調查，在要求模型設計攻擊鏈的ExploitGym測試中，原本是在與外界隔離的測試環境中進行，但模型為求取答案，發現OpenAI內部用來下載套件的第三方軟體存在零時差漏洞，進而在研究環境中提升權限及橫向移動，隨後模型連上公開網際網路，並推斷Hugging Face可能存放ExploitGym相關資料，於是攻擊Hugging Face以搜尋並取得機密資訊的方法。</p> <p><strong><a href="https://www.ithome.com.tw/news/177583">Google推出Gemini 3.5 Flash Cyber資安模型，專攻漏洞發現與修補</a></strong></p> <p>Google發表3款新模型，在Gemini 3.6 Flash、Gemini 3.5 Flash-Lite之外，還推出Gemini 3.5 Flash Cyber，這款以Gemini 3.5 Flash為基礎、針對資安任務調整的輕量化模型，可搭配AI代理CodeMender多次分析程式碼，探索更多漏洞路徑，以較低推理成本達到與更大型模型相近的漏洞發現能力。Google也已將其用於Chrome、Android與雲端服務等內部程式碼庫，協助發現與修補漏洞。</p> <p><strong><a href="https://www.ithome.com.tw/news/177529">思科釋出Antares模型權重，專攻程式碼漏洞定位</a></strong></p> <p>軟體漏洞檢測再添利器！思科宣布推出開源AI資安小型語言模型Antares，專門處理的是漏洞定位（Vulnerability Localization），將已知弱點資訊對應至實際程式碼，也可整合至CI/CD流程，協助開發團隊找出應優先檢查的檔案。目前已經釋出Antares-350M及Antares-1B兩款模型的權重。此外，為了評估模型，思科亦建立漏洞定位基準測試（VLoc Bench）。</p> <p><strong><a href="https://www.ithome.com.tw/news/177519">美國白宮推出Gold Eagle平臺，建立AI網路威脅資訊共享機制</a></strong></p> <p>美國總統川普6月初簽署行政命令後，AI漏洞和修補資訊的協同共享中心Gold Eagle平臺也隨之生效。Gold Eagle旨在協助各種規模企業組織搜尋和獲知AI工具發現的漏洞，並在被駭客發現或濫用前修補。白宮表示，這項新的營運模式將運用頂尖AI能力，減少重複掃描作業，為聯邦政府機構和民間組織提供漏洞優先順序，以及可行的威脅和修補資訊。</p> <p><strong><a href="https://www.ithome.com.tw/news/177407">1Password替Claude加上受控登入功能，AI代理能登入網站卻看不到密碼</a></strong></p> <p>繼1Password兩個月前宣布整合OpenAI Codex後，該公司近日也與Anthropic合作推出1Password for Claude，此功能將讓Claude執行瀏覽器任務時，可在使用者授權下登入網站，但密碼與一次性驗證碼不會提供給模型，也不會進入Claude的上下文、記憶或Anthropic系統。1Password表示，該機制保護的是憑證的儲存、授權、傳送與填入，成功登入後，Claude如何操作網站，仍由代理本身的安全措施負責。</p> <p><strong><a href="https://www.ithome.com.tw/news/177551">建立可信任的AI防線，CSA台灣分會會長蔡一郎導讀AICM最新1.1版</a></strong></p> <p>針對雲端安全聯盟（CSA）去年發布AI控制矩陣（AICM），今年6月<a href="http://www.ithome.com.tw/news/177442">新推出的1.1版本</a>，該聯盟台灣分會長蔡一郎介紹AICM的特色與最新變化，指出AICM主要涵蓋18個控制領域，目前最新版本為今年6月推出的1.1版，新版在維持原有類別下，將控制項從243個增加至247個，並強調AICM與雲端控制矩陣（CCM）這兩者具備高度互補性，需要同時搭配來看。</p> <p><strong><a href="https://www.ithome.com.tw/news/177475">俄羅斯駭客濫用Google Gemini CLI，6分鐘內建立殭屍網路</a></strong></p> <p>使用俄語的駭客Bandcampro去年濫用Google Gemini的命令列工具（CLI），為了越獄並突破Google設下的安全機制，他將自己設定為經授權的滲透測試員（authorized pentester）達到目的。趨勢科技進一步分析駭客與Gemini CLI的對話記錄，7月揭露AI在6分鐘內協助此人建立殭屍網路，以及遷移C2基礎設施。</p> <p><strong><a href="https://www.ithome.com.tw/news/177434">駭客用傳統文字加鹽手法，騙過新式AI郵件防護</a></strong></p> <p>資安業者Barracuda示警，有駭客正利用名為「文字加鹽」（Text Salting）的手法，將惡意訊息藏在大量隱藏的無害文字中，干擾機器學習與LLM判斷，使釣魚信可能被誤認為正常郵件。該公司強調，自今年4月以來，已偵測到逾100萬次相關釣魚攻擊，並建議企業採用多層式郵件防護，不應只依賴關鍵字或AI內容分析。</p> <p><strong><a href="https://www.ithome.com.tw/news/177486">AI代理長期記憶成新攻擊面，單封郵件植入假資訊成功率最高87.5%</a></strong></p> <p>AI代理攻擊框架MemGhost發表，由新加坡南洋理工、A*STAR與美國約翰霍普金斯大學研究人員提出，揭露了隱蔽記憶注入（stealth memory injection）的新手法，指出攻擊者可透過郵件將假資訊寫入AI長期記憶，並在未來調用時隱蔽地改變AI的決策與行為。研究團隊建議，代理應記錄記憶來源，在寫入敏感記憶前要求使用者確認，區隔外部內容與可信記憶，並保留記憶修改的稽核紀錄。</p> <p><strong><a href="https://www.ithome.com.tw/news/177513">AWS Kiro漏洞可被網頁隱藏指令利用，繞過核准執行任意程式碼</a></strong></p> <p>AWS代理式整合開發環境Kiro漏洞被揭露，資安公司Kodem Security與Intezer的研究人員在通報與確認修補後公布研究結果，指出這是一項可繞過使用者核准機制的漏洞，攻擊者可在網頁或文件中藏入提示注入指令，誘使Kiro在未獲使用者同意下改寫MCP伺服器設定，並在開發者電腦上執行任意程式碼。</p> <p><strong><a href="https://www.ithome.com.tw/news/177469">Aikido評測13款AI模型漏洞辨識能力，發現能力與成本未必成正比</a></strong></p> <p>應用程式安全業者Aikido Security近日公布13款AI模型的漏洞辨識能力評測結果，比較不同模型的漏洞辨識能力與執行成本。結果顯示，GPT-5.6系列彙整3次執行結果後，最高辨識26項漏洞中的23項，在受測模型中居冠；Grok 4.5辨識20項，Claude Opus系列模型辨識15至18項，開放權重模型GLM-5.2則辨識16項，表現與部分專有模型相近。</p> <p><strong><a href="https://www.ithome.com.tw/news/177383">近8成組織將AI用於資安，但僅36%建立正式AI風險管理計畫</a></strong></p> <p>資安教育與研究機構SANS Institute於7月發布調查報告指出，企業在資安工作中採用AI的比例大幅上升，但AI治理機制尚未同步成熟。調查顯示，將AI納入資安策略的組織比例，從2025年的50%升至2026年的78%；建立正式AI風險管理與法規遵循計畫的組織比例，則僅從2025年的35%微幅增至2026年的36%。在已採用AI的組織中，僅27%的受訪者表示，AI部署已進入成熟階段，並融入日常作業。</p> <p><strong>■<a href="https://www.ithome.com.tw/news/177438">GitHub強化Copilot程式碼審查隔離，預設防火牆並拆分執行器設定</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177498">研究人員借助GPT5.6 Sol Ultra的力量找出WordPress重大漏洞wp2shell</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177501">OpenAI內部一款通用模型出現沙箱逃逸行為，曾促使團隊暫停存取</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177461">Manifold警示Claude for Chrome仍存在與ClaudeBleed類似的漏洞，攻擊者可濫用瀏覽器擴充套件讀取Gmail信件</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177523">駭客團體JadePuffer攻擊升溫，打造專門針對AI環境的勒索軟體EncForge</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>本週端點安全聚焦於高隱蔽性後門威脅，其中以Daxin與Stupig鎖定跨國製造業的臺灣子公司的揭露最受矚目，GoSerpent則被發現長期監控東南亞政府機構。此外，濫用M365行事曆建立C2通道的HollowGraph，以及ClickLock、偽裝字型檔載入器與OkoBot等威脅，同樣不容忽視。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177390">高階後門Daxin、Stupig鎖定臺灣製造業發動攻擊</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/daxin-dark-156.jpg?itok=SvDIXvbf"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/daxin-dark-156.jpg?itok=SvDIXvbf" style="width: 400px; float: right;" /></a></p> <p>Symantec and Carbon Black威脅獵捕團隊今年5月，在一家跨國高科技製造公司的臺灣子公司發現後門程式Daxin活動，後續調查找到另一個後門程式Stupig，兩支程式可能已潛伏長達13年。研究團隊表示，兩款惡意程式在同一主機上部署，功能相輔相成，且開發手法相似，背後的攻擊者可能是同批人馬。</p> <p><strong><a href="https://www.ithome.com.tw/news/177443">後門程式GoSerpent攻擊東南亞政府與外交機構，持續蒐集資料數周後再外傳</a></strong></p> <p>卡巴斯基全球研究與分析團隊（GReAT）揭露有攻擊者正使用後門程式GoSerpent發動網路攻擊，已有東南亞政府及外交機構遭鎖定。GReAT指出，今年5月觀察到其攻擊手法改變，改用從開放原始碼框架客製化而來的Stowaway，並部署TmcLoader及TmcPayload，會先將資料傳往指定的網路共享位置，數週後再偷偷對外傳送。</p> <p><strong><a href="https://www.ithome.com.tw/news/177448">ClickLock鎖定Mac，癱瘓系統逼使用者輸入登入密碼</a></strong></p> <p>新型Mac竊資惡意程式ClickLock Stealer被揭露，資安業者Group-IB指出，在發現ClickLock樣本時，VirusTotal上的防毒引擎均未將其判定為惡意，其惡意能力為持續關閉使用者能操作的應用程式，讓Mac幾乎無法使用，並會展示偽造的macOS密碼視窗誘騙受害者，進而竊取瀏覽器、密碼管理擴充套件及加密貨幣錢包資料。相關攻擊行動從今年5月開始，已造成33國至少100名使用者受害。</p> <p><strong><a href="https://www.ithome.com.tw/news/177450">Fortinet揭露偽裝為TrueType字型檔的惡意軟體載入器，藉此降低偵測機率</a></strong></p> <p>Fortinet揭露一波大規模網路釣魚攻擊，攻擊者以商業合作與付款等主題散布惡意壓縮檔，並將Lua惡意軟體載入器偽裝成TrueType字型檔，降低被資安工具偵測的機率。攻擊者可藉此在Windows主機記憶體中部署Agent Tesla、Remcos、XWorm等遠端木馬與鍵盤側錄程式。</p> <p><strong><a href="https://www.ithome.com.tw/news/177485">研究人員揭露新型惡意軟體HollowGraph，利用M365行事曆建立隱蔽C2通道</a></strong></p> <p>資安業者Group-IB揭露新型Windows惡意軟體HollowGraph，攻擊者利用遭入侵的Microsoft 365帳號及其行事曆，搭配Microsoft Graph API建立隱蔽C2通道，透過行事曆事件與附件傳遞指令及回傳竊取資料。HollowGraph並利用DNS隧道取得Entra ID憑證，研究人員認為其指令格式與Cavern後門框架高度相似。</p> <p><strong><a href="https://www.ithome.com.tw/news/177489">Kaspersky揭露惡意軟體框架OkoBot，可結合多種元件竊取加密貨幣錢包與敏感資訊</a></strong></p> <p>Kaspersky揭露惡意軟體框架OkoBot，攻擊者利用ClickFix社交工程與GitHub偽裝軟體散布，受害者感染後，OkoBot會透過SSH連線從攻擊者伺服器下載不同惡意元件，竊取加密貨幣錢包、瀏覽器Cookie與憑證，並可加入鍵盤側錄、瀏覽器監控及攻擊硬體錢包等功能，已有25國數百人受害。</p> <p><strong><a href="https://www.ithome.com.tw/news/177531">Check Point揭露伊朗駭客組織新武器Cavern，提供因應不同環境的模組化後門框架</a></strong></p> <p>Check Point揭露與伊朗有關的駭客組織Cavern Manticore使用Cavern模組化後門框架，主要鎖定以色列政府與IT服務業者。這套以.NET開發的框架以Cavern Agent為核心，可搭配6種功能模組，提供檔案操作、資料庫存取、AD偵察、網路掃描與通道建立等能力，近期發現的HollowGraph可能是Cavern框架的另一變種。</p> <p><strong><a href="https://www.ithome.com.tw/news/177539">俄羅斯駭客組織UAC-0145利用ClickFix攻擊烏克蘭，誘導受害者自行執行惡意指令</a></strong></p> <p>烏克蘭電腦緊急應變小組（CERT-UA）揭露，與俄羅斯軍事情報總局（GRU）相關的駭客組織UAC-0145，近期利用ClickFix手法鎖定烏克蘭用戶。至少10個網站遭植入偽造CAPTCHA驗證頁面，誘導受害者將PowerShell指令貼入終端機執行，進而感染多款惡意軟體。攻擊者並利用動態修改網頁內容，搭配流量過濾服務，只向特定目標顯示惡意驗證頁面。</p> <p><strong>■<a href="https://www.ithome.com.tw/news/177426">Windows 11 24H2的技術支援將在10月到期</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177506">惡意程式加密封裝服務Cruciferra以逾90種加密方式隱藏木馬及竊資軟體</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177509">Ubuntu發布更新，修補Snap應用程式管理元件2個高風險漏洞</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">網路安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>駭客鎖定網路邊緣設備攻擊的消息不斷，本週最受矚目的是，</strong></span><strong style="color: rgb(105, 105, 105);">有駭客鎖定Check Point設備發動零時差漏洞攻擊，該公司發現少數威脅事故後已迅速釋出熱修補程式因應。在重要防禦態勢上，包括機密運算環境相關的持續遠端驗證、將eBPF導入全球邊緣網路，以及網路安全設備硬體防禦效能強化等新布局。</strong></p> <p><strong><a href="https://www.ithome.com.tw/news/177547">Check Point發布7月安全性更新，公布已遭利用的重大漏洞</a><span style="color: rgb(255, 0, 0);">【CVE-2026-16232】</span></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_33utzkdcqs.jpg?itok=M6w5tiE0"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/_33utzkdcqs.jpg?itok=M6w5tiE0" style="width: 400px; float: right;" /></a></p> <p>7月22日資安公司Check Point發布本月安全性更新，針對防火牆與管理系統釋出熱修補程式，涵蓋大量安全性修正與功能強化，也修補3個漏洞，包括重大漏洞CVE-2026-16232與CVE-2026-62144，以及高風險漏洞CVE-2026-62145。其中最引人注意的是CVE-2026-16232，原因在於已有少數客戶面臨漏洞利用的情況。美國網路安全與基礎設施安全局（CISA）也已將此漏洞<a href="http://www.ithome.com.tw/news/177550">列入KEV清單</a>。</p> <p><strong><a href="https://www.ithome.com.tw/news/177444">鎖定AI與機密運算負載，MITRE攜手產業推持續遠端驗證框架草案</a></strong></p> <p>為填補現代資安防禦在動態驗證上的缺口，美國非營利研究機構MITRE公布「機密運算環境下的持續遠端驗證框架」草案，強調現有許多驗證機制僅發生在系統啟動時，但這並不足以應對現代威脅，執行時信任仍極為重要，如今推動分層遠端驗證方法，並積極徵詢各界意見，期盼業界能共同完善制定這套守護未來運算環境的關鍵標準。</p> <p><strong><a href="https://www.ithome.com.tw/news/177391">Cloudflare以eBPF整合DDoS防護、流量分流與系統觀測</a></strong></p> <p>Cloudflare將Linux核心可程式化技術eBPF導入全球邊緣網路，用於DDoS防護、流量分流、服務不中斷的重新啟動，以及系統運作狀態觀測，根據Linux基金會旗下eBPF基金會本週公布的Cloudflare eBPF部署案例，這套架構可因應Anycast網路及數百萬個IP位址的管理需求，並減少Cloudflare對客製化Linux核心修補及特定硬體的依賴。</p> <p><strong><a href="https://www.ithome.com.tw/news/177425">OpenSSL存在DDoS漏洞HollowByte，攻擊者可利用11個位元組的酬載癱瘓運作</a></strong></p> <p>7月16日身分驗證解決方案廠商Okta揭露名為HollowByte的漏洞，未通過身分驗證的攻擊者只需遠端傳送11個位元組的惡意封包，可迫使OpenSSL伺服器在完成任何安全交握前，配置遠超乎比例的記憶體空間，最終有可能耗盡記憶體造成阻斷服務的現象。</p> <p><strong><a href="https://www.ithome.com.tw/news/177430">HTTP/2伺服器存在流量控制漏洞恐引發DoS攻擊，影響Apache Traffic Server、Citrix、F5</a></strong></p> <p>部分HTTP/2伺服器實作存在流量控制漏洞，未通過身分驗證的遠端攻擊者可傳送特製HTTP請求，可能造成記憶體資源耗盡及阻斷服務（DoS），受影響對象包括Apache Traffic Server專案、Citrix、F5、Meta、Red Hat、SUSE Linux及Yahoo，多家業者已發布更新或緩解措施。</p> <p><strong><a href="https://www.ithome.com.tw/news/177520">勒索軟體Qilin利用Palo Alto Networks的VPN漏洞入侵</a></strong></p> <p>資安公司Arctic Wolf在6月調查多起勒索軟體Qilin的攻擊活動，他們發現這些事件的共通點在於，駭客都透過Palo Alto Networks的GlobalProtect VPN漏洞CVE-2026-0257，作為初期入侵的管道，並在取得存取權後迅速橫向擴散、竊取憑證，最終於受害環境部署勒索軟體進行檔案加密。</p> <p><strong><a href="https://www.ithome.com.tw/news/177421">彙整、強化與擴展旗下多種資安產品線，Sophos打造AI原生網路安全防禦系統</a></strong></p> <p>7月中，旗下擁有多種資安產品與服務的Sophos，發表AI原生網路安全防禦系統Sophos Fusion，針對AI時代的資安威脅而設計，提供協同一致的防禦與回應能力。Sophos Fusion整合端點防護系統、EDR、XDR、新世代SIEM、ITDR、MDR、網路安全系統、電子郵件安全系統、雲端安全服務，以及資安顧問服務。</p> <p><strong><a href="https://www.ithome.com.tw/news/177514">Intel攜手Fortinet開發Security Processor 6，推進資安專用ASIC晶片布局</a></strong></p> <p>Intel Foundry晶圓代工首個外部客戶合作案例，透露強化網路安全設備硬體防禦效能的新動向。Intel與Fortinet宣布展開策略合作，共同開發新一代資安專用處理器Security Processor 6（SP6）。雙方將結合Fortinet在安全處理器與ASIC設計方面的能力，以及Intel的半導體設計、先進封裝與製造技術，打造高度整合的資安處理器，因應日益複雜的資安服務與企業對高效能運算的需求。</p> <p><strong>■<a href="https://www.ithome.com.tw/news/177541">網路間諜框架Project CAV3RN濫用Outlook行事曆，打造隱蔽C2通道</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177437">F5修補8項Nginx與BIG-IP漏洞，重大漏洞若遭利用將導致堆疊緩衝區溢位與程式碼執行</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">應用程式安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>駭客發動漏洞攻擊的速度越來越快，近日WordPress、SharePoint與ServiceNow相關弱點，在公開或修補後不久即出現概念驗證攻擊程式碼（PoC），並已遭駭客積極利用，其中WordPress wp2shell更是成為本週資安界關注的首要焦點。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177500">重大漏洞wp2shell已被用於實際攻擊，駭客上傳惡意外掛、搜刮管理員帳號、存取後臺</a><span style="color: rgb(255, 0, 0);">【CVE-2026-63030、CVE-2026-60137】【wp2shell】</span></strong></p> <p><a href="/sites/default/files/images/重大漏洞wp2shell%2Cjpg.jpg"><img alt="" src="/sites/default/files/images/%E9%87%8D%E5%A4%A7%E6%BC%8F%E6%B4%9Ewp2shell%2Cjpg.jpg" style="width: 400px; float: right;" /></a></p> <p>WordPress日前<a href="http://www.ithome.com.tw/news/177424">修補兩個漏洞CVE-2026-63030與CVE-2026-60137</a>，漏洞公開不久後，就出現概念驗證攻擊程式碼（PoC），根據資安公司Wiz的觀察，已有多個駭客組織利用wp2shell，攻擊雲端環境的WordPress執行個體，在成功利用漏洞後，執行上傳惡意外掛的方式植入後門，或是發送請求收集管理員的使用者名稱和電子郵件信箱。美國網路安全與基礎設施安全局（CISA）也已將這兩個漏洞<a href="http://www.ithome.com.tw/news/177497">列入KEV清單</a>。</p> <p><strong><a href="https://www.ithome.com.tw/news/177511">SharePoint重大漏洞被用於竊取機器金鑰</a><span style="color: rgb(255, 0, 0);">【CVE-2026-50522】</span></strong></p> <p>威脅情報公司watchTowr發現SharePoint漏洞CVE-2026-50522利用的概念驗證程式碼（PoC），隨後在數小時內在蜜罐陷阱發現，有人以此PoC進行漏洞利用嘗試，攻擊者透過單一請求，企圖拉取SharePoint的機器金鑰。因此watchTowr警告，IT人員套用修補程式不足以緩解威脅，也要輪換可能暴露的資產憑證。美國CISA也已將此漏洞列入<a href="http://www.ithome.com.tw/news/177543">KEV清單</a>。</p> <p><strong><a href="https://www.ithome.com.tw/news/177466">甫公開的ServiceNow重大漏洞傳出遭到利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-6875】</span></strong></p> <p>上週企業流程自動化廠商ServiceNow<a href="http://www.ithome.com.tw/news/177439">公布AI平臺的沙箱逃逸漏洞CVE-2026-6875</a>， CVSS v4.0評分達到9.5分，相當危險。事隔數日，威脅情報公司Defused Cyber於職場社群網站LinkedIn警告，因為該公司於7月17日偵測到實際漏洞利用活動，呼籲ServiceNow用戶提高警覺。</p> <p><strong><a href="https://www.ithome.com.tw/news/177555">Oracle發布2026年7月關鍵安全修補更新，共修補1,235個漏洞，含多個CVSS滿分重大漏洞</a></strong></p> <p>Oracle發布2026年7月份Critical Patch Update，修補1,235個獨立漏洞，涵蓋1,449項修補程式，創下該公司季度修補規模歷史新高，數量約為今年4月更新的3倍。此次更新涵蓋32個產品家族，修補數量前三大產品線為E-Business Suite、Fusion Middleware與Communications；其中Fusion Middleware包含多個CVSS滿分10.0漏洞，且近半數修補涉及可在無須身分驗證下透過網路利用的問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/177512">駭客利用多個SharePoint漏洞從事攻擊，部署Webshell並竊取IIS機器金鑰</a></strong></p> <p>資安公司Resecurity針SharePoint伺服器近期遭大規模攻擊的調查指出，駭客會設法利用多個已知漏洞，取得程式碼執行的權限後，通常會將ASP.NET製作的Webshell置入SharePoint的特定網頁應用程式資料夾，以迴避偵測，然後利用Webshell或反射式的.NET程式碼，讀取ASP.NET底層網站伺服器IIS的機器金鑰。</p> <p><strong><a href="https://www.ithome.com.tw/news/177465">7-Zip修補遠端程式碼執行漏洞，若不處理攻擊者可透過惡意壓縮檔觸發</a></strong></p> <p>檔案壓縮軟體7-Zip釋出更新版本26.02版，修補CVSS評分7.0的遠端程式碼執行（RCE）漏洞CVE-2026-14266，7-Zip維護單位已發布7-Zip 26.02版本解決漏洞。</p> <p><strong><a href="https://www.ithome.com.tw/news/177571">Adobe Acrobat瀏覽器延伸套件存在漏洞，超過3億用戶的WhatsApp資料恐遭竊</a></strong></p> <p>Acrobat的Chrome瀏覽器延伸套件存在資安漏洞HermeticReader，根據資安公司Guardio Labs的調查，此漏洞一旦遭利用，攻擊者可竊取使用者WhatsApp聊天內容與聯絡人名單。由於全球有3.29億個瀏覽器安裝此套件，影響範圍將有可能極為廣泛。Adobe獲報後於今年6月修補，並將此問題登記為CVE-2026-48294。</p> <p><strong><a href="https://www.ithome.com.tw/news/177419">NPM套件Jscrambler被入侵，駭客用於散布Rust竊資軟體</a></strong></p> <p>JavaScript程式碼保護工具Jscrambler的NPM套件7月11日遭入侵，一旦開發者安裝惡意套件，攻擊者加入的掛鉤（hook）就會引入新的檔案，然後根據受害電腦的作業系統平臺，透過經混淆處理的CSI容器載入Windows、macOS，或Linux專屬的二進位檔案，最終植入Rust竊資軟體。</p> <p><strong><a href="https://www.ithome.com.tw/news/177420">針對NPM套件供應鏈攻擊事故，Jscrambler開發團隊公布調查結果</a></strong></p> <p>7月11日JavaScript程式碼保護工具Jscrambler的NPM套件遭入侵，7月16日發布事故檢討報告，指出攻擊者取得NPM套件的GitHub儲存庫的寫入權限，並透過GitHub Actions工作流程洩露了開發團隊用於發布NPM套件的權杖（token），後續攻擊者濫用此權杖，直接在NPM儲存庫發布竄改後的套件版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/177508">Hide My Email漏洞現已修補，Apple宣稱修補兩週後仍一度可查出真實信箱</a></strong></p> <p>Apple的iCloud+隱藏電子郵件地址功能Hide My Email被發現存在隱私漏洞，通報指問題的資料移除服務EasyOptOuts研究人員表示，攻擊者可以利用該漏洞來取得原本隱藏的郵件地址。值得注意的是，這項漏洞自去年6月通報後，蘋果於7月14日回覆確認問題，不過今年3月3日、6月30日蘋果回覆表示已經修補，但研究人員仍接連發現此漏洞問題仍然能夠重現。</p> <p><strong>■<a href="https://www.ithome.com.tw/news/177374">Google發布Chrome 150更新，修補3個重大等級漏洞</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177502">Google更新Chrome 150穩定版，修補12項高風險漏洞</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177549">Mozilla發布Firefox 153版更新，修補63個漏洞</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177432">Zoom修補Windows版產品4個漏洞，包括可能導致帳號遭接管的重大漏洞</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>國際間多項規範即將落地或調整：G7發布金融業PQC路線圖以六階段為要點；歐盟AI法案第50條8月2日生效，聚焦深偽須主動揭露；美國CMMC第二階段要求太高，導致檢討對中小型與非傳統承包商法規遵循負擔過重的問題。此外，密碼演算法敏捷性與金鑰管理仍是重要議題，新研究指出多數PQC框架在此方面仍顯不足。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177380">G7提出金融業PQC轉型路線，以2035年為整體參考目標</a></strong></p> <p><a href="/sites/default/files/images/G7-PQC-timeline.jpg"><img alt="" src="/sites/default/files/images/G7-PQC-timeline.jpg" style="width: 400px; float: right;" /></a></p> <p>G7網路專家小組提出金融業後量子密碼學（PQC）轉型路線圖，並建議組織建立密碼學敏捷性（Crypto-Agility），使系統日後更換密碼演算法時，不必重新設計整體架構。G7將後量子密碼轉型分為6個階段，包括風險認知與準備、探查與資產盤點、風險評估與規畫、執行PQC轉型、轉型測試，以及驗證與持續監控。組織應盤點關鍵系統與敏感資料、各系統採用的密碼演算法與通訊協定，以及對第三方產品與服務的相依關係，再依系統重要性與曝險程度決定轉型的優先次序。</p> <p><strong><a href="https://www.ithome.com.tw/news/177472">PQC轉型框架多偏重資產盤點，學者籲強化密碼演算法敏捷性與金鑰管理</a></strong></p> <p>德國國家應用資安研究中心ATHENE與歐洲多個學術單位組成的研究團隊，分析22套較完整的後量子密碼學（PQC）轉型框架，發現多數仍偏重密碼資產辨識與前期規畫，對實際轉型、後續維護、密碼演算法敏捷性及金鑰管理著墨不足，顯示PQC轉型仍缺乏可涵蓋各階段的共同框架。</p> <p><strong><a href="https://www.ithome.com.tw/news/177468">歐盟AI透明規範8月上路，聊天機器人與深偽內容須主動揭露</a></strong></p> <p>歐盟《AI法案》第50條即將在8月2日生效，這項規範界定AI系統提供者與部署者的責任，當中要求提供者若設計直接與自然人互動的AI系統，須在首次互動開始時，清楚告知使用者正在與AI互動。生成式AI系統提供者也須為AI生成或修改的文字、聲音、圖片及影片，加入可靠互通的機器可讀標記。而在發布深偽內容方面，最晚須在閱聽者首次接觸內容時，還要以可看見或聽見的方式揭露，讓使用者能夠明確瞭解，不能只依賴檔案內嵌的機器可讀標記。</p> <p><strong><a href="https://www.ithome.com.tw/news/177389">美國戰爭部暫停CMMC第二階段，檢討國防承包商資安認證制度</a></strong></p> <p>7月13日美國戰爭部宣布，立即暫停網路安全成熟度模型認證（CMMC）第二階段要求。第二階段原定今年11月10日實施，部分處理受控非機密資訊（CUI）的國防承包商，屆時必須通過CMMC第2級第三方評估，才能參與適用這項要求的國防採購案。如今戰爭部將重新檢討第三方評估方式及制度實施安排，以減輕中小型與非傳統承包商的法規遵循負擔，進階指引將於為期60天的審查結束後頒布。</p> <p><strong><a href="https://www.ithome.com.tw/news/177431">中國籌組全球AI治理組織，29國加入</a></strong></p> <p>美中在AI治理路線上的角力持續升溫，隨著美國推動「AI機會聯合聲明」獲得35國支持，中國外交部在7月16日宣布成立世界人工智慧合作組織WAICO並獲得29國響應，目前雙方參與國僅有哈薩克重疊。</p> <p><strong><a href="https://www.ithome.com.tw/news/177476">英國衛福部將重罰非法讀取病患資料的醫護員工</a></strong></p> <p>月初，英格蘭國家衛生服務部（NHS）英格蘭執行長 Jim Mackey透過內部公開信警告，醫護人員暨醫療院所員工因個人原因或出於好奇讀取病患醫療紀錄「法理不容」，是破壞病患信任及觸法行為，NHS絕不寬貸。此時NHS英格蘭頒布一項防範及監控未授權存取病患資訊的新指引，要求全英國NHS機構調查及通報。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">身分安全</strong></h1> <p><strong style="color: rgb(105, 105, 105);">數位身分被盜用或仿冒的威脅持續引發重視。FBI示警Deepfake仿冒FBI高層、鎖定二次受害的網釣攻擊；臺灣則有地方政府警察局開始嘗試導入冒名偵測，監控冒用農產品牌與首長名義的詐騙，力求接觸民眾前即阻斷，而非待受害後才偵辦。</strong></p> <p><strong><a href="https://www.ithome.com.tw/news/177492">醫療零售首例！杏一醫療將FIDO導入會員端，年底更將延伸至供應商平臺與企業內部</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_xing_yi_yi_liao_dao_ru_fidoyu_hui_yuan_duan_nian_di_geng_jiang_yan_shen_zhi_gong_ying_shang_ping_tai_yu_qi_ye_nei_bu_.jpg?itok=PvvfrF_M"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_xing_yi_yi_liao_dao_ru_fidoyu_hui_yuan_duan_nian_di_geng_jiang_yan_shen_zhi_gong_ying_shang_ping_tai_yu_qi_ye_nei_bu_.jpg?itok=PvvfrF_M" style="width: 400px; float: right;" /></a></p> <p>隨著電子商務會員帳號安全日益受重視，不只是金融業，提供各類醫療、保健與護理用品的「杏一醫療」（MedFirst），自去年起亦導入FIDO無密碼登入機制。該公司近日分享會員端的導入實務經驗，並透露年底將把FIDO技術進一步延伸，應用於供應商系統登入及企業帳號管理。</p> <p><strong><a href="https://www.ithome.com.tw/news/177503">雲林縣政府引進AI防詐模型，及早監控冒名在地農產品牌與首長詐騙</a></strong></p> <p>冒名企業組織的詐騙不斷出現，依賴人工檢舉與客訴通報的方式效率太慢，雲林縣政府警察局宣布導入「AI防詐監控模型」，針對冒用雲林縣各鄉鎮農會、在地優質農產品牌以及政府首長名義的網路社交工程與詐騙行為，建立及早預警的機制，目標是讓網路偽冒案件的處理模式，從「受害後處理偵辦」提前到「接觸前阻斷」。</p> <p><strong><a href="https://www.ithome.com.tw/news/177482">詐騙集團假冒FBI，鎖定受害者二次行騙</a></strong></p> <p>假冒檢察官與執法單位的詐騙手法屢見不鮮，如今更加入深偽（Deepfake）技術來增加真實感。美國 FBI 近日發出警告，有詐騙集團專挑曾遭詐騙的受害者二次下手。常見手法包括假冒公司或執法機構，透過電子郵件、電話、社群媒體或網路論壇主動聯繫受害者，謊稱可協助追回款項，藉此再次騙取資產與個資；另一種升級手法，則是利用AI打造假冒FBI高層的Deepfake影片，誘導受害者前往假IC3網站報案。</p> <p><strong><a href="https://www.ithome.com.tw/news/177553">美速食連鎖Chick-fil-A遭憑證填充攻擊導致多州客戶資料外洩</a></strong></p> <p>美國知名雞肉速食餐廳連鎖Chick-fil-A本週通知客戶，遭駭客入侵系統，該公司判斷，攻擊者是利用由第三方資料源取得的用戶帳號憑證（包括電子郵件和密碼），在6月17日到6月19日之間對其網站和手機應用程式發動自動化攻擊。雖然Chick-fil-A在第一時間立即採取預防措施，但他們相信駭客成功在7月13日存取了客戶帳號資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/177493">駭客的伺服器設定疏忽，意外暴露3起針對Microsoft 365的Evilginx釣魚攻擊活動</a></strong></p> <p>法國資安公司Lexfo發現，攻擊者因伺服器設定疏忽，意外暴露3起利用客製化Evilginx框架，鎖定Microsoft 365用戶的釣魚攻擊活動。攻擊者透過AiTM攻擊與濫用Device Code Flow繞過多因素驗證，竊取帳號憑證與驗證權杖，其中一項攻擊活動持續超過1年，已造成12國218個帳號受害。</p> <p> </p> </div></div></div>
