iThome

台灣·科技與 3C·持續收錄

今日收錄: 37篇
近 24 小時: 37篇
近 7 天: 137篇

報導關鍵字

近 7 天

最新收錄

篩選「IT」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

Google太空資料中心計畫邁入實測，下周發射首顆AI衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/models-and-research/google-research/google-project-suncatcher-facts/">Google周四（9/24）宣布</a>，旗下太空AI運算專案「太陽捕手」（Project Suncatcher）即將進入實際測試階段，預計下周透過SpaceX的Transporter-18任務，發射首顆搭載Google張量處理器（TPU）的原型衛星，測試AI晶片在太空中的運作表現。</p> <p>Project Suncatcher是<a href="https://www.ithome.com.tw/news/172059">Google於2025年11月發表的長期研究專案</a>，目標是將AI運算基礎設施部署至低地球軌道，利用太空近乎持續的日照提供電力，並透過高速雷射通訊將多顆搭載TPU的衛星連結成衛星星座，共同處理大型AI工作負載。低地球軌道的太陽能發電量最高可達地面的8倍，可望替日益成長的AI運算需求提供新的基礎設施選擇。</p> <p>這次任務由Google與衛星業者Planet合作開發，主要目的是蒐集TPU在軌道上的實際運作資料，觀察晶片能否承受火箭發射時的劇烈震動，以及太空中的輻射與極端溫度。火箭進入低地球軌道約需10分鐘，期間太空船承受的加速度最高可達地球重力的10倍，TPU等個別零組件甚至可能承受50至100倍重力。Google已在地面進行3軸震動測試，確認硬體能承受模擬火箭發射時的震動。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0925-Testing%20AI%20chips%20in%20space-Google-Project%20Suncatcher.png" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源/Google</span></p> <p>在輻射測試上，Google曾於加州大學戴維斯分校的Crocker核子實驗室，利用質子束照射執行AI工作負載的TPU，觀察輻射造成的位元翻轉等錯誤是否影響運算。初步結果顯示，Trillium TPU可承受的總游離輻射劑量，超過5年太空任務期間預期接收的劑量。這次實際發射將進一步驗證地面測試結果，蒐集TPU在真實太空環境中的運作數據。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0925-AI%20chips-3-Google-Project%20Suncatcher.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源/Google</span></span></p> <p>除了確認AI硬體能否在太空正常運作，Google未來建置太空資料中心仍須克服散熱與衛星間高速通訊等工程挑戰。TPU在運算時會產生大量熱能，但太空處於真空環境，無法利用空氣流動散熱。Google正研究結合熱管與散熱器的冷卻系統，並已在模擬太空溫度及真空環境的熱真空艙中進行測試，後續將持續驗證及改良設計。</p> <p>在衛星通訊上，Google規畫未來每顆衛星搭載數十顆TPU，並透過高速雷射通訊連結成衛星星座，共同執行大型AI運算。然而，現有太空雷射通訊技術多針對長距離、低頻寬傳輸設計，Google則需要在極短距離內實現極高頻寬，且衛星持續移動，必須精確掌握彼此的相對位置，才能維持穩定連線。</p> <p>Google計畫於2027年發射兩顆衛星，實際驗證衛星間的高速雷射通訊技術。Google表示，這次首顆衛星發射主要是確認AI硬體能否承受太空環境，找出可能的故障環節，並將測試結果應用於後續任務，逐步朝建置可擴充的太空AI運算基礎設施邁進。</p> </div></div></div>
9/25 15:29陳曉莉https://www.ithome.com.tw/news/179228
Google推出Gemini Live Avatar，讓AI代理人有臉、有表情，還能即時對話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/models-and-research/gemini-models/gemini-3-8-live-with-live-avatar/">Google周四（9/24）宣布推出Gemini 3.8 Live with Live Avatar</a>，為對話式AI加入即時生成的虛擬人物形象，讓AI代理人不只能聽、能說，還能透過臉部表情及嘴型與使用者互動，並在對話過程中呼叫工具執行任務，目前已於Gemini Enterprise中提供。</p> <p>Live Avatar是Google繼上周<a href="https://blog.google/innovation-and-ai/models-and-research/gemini-models/gemini-3-8-live-gemini-3-8-live-extended-thinking/">推出Gemini 3.8 Live</a>後，進一步擴充的即時對話功能。它結合低延遲影片生成與語音模型，讓AI代理人以動態虛擬人物的形式出現，能同時處理使用者的影像及聲音輸入，並以同步的語音、嘴型及表情回應，讓互動更接近真人面對面交談。</p> <p>Google表示，Live Avatar主要鎖定企業應用，包括客戶服務、互動式操作導覽及飯店接待等情境。企業可選用預設虛擬角色，也能提供高品質參考圖片，建立符合品牌風格的專屬角色，並保留原始人物外貌或角色特徵。不過，自定角色功能目前僅開放取得許可的企業使用。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0925-Gemini%203_8%20Live%20with%20Live%20Avatar-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/Google</span></span></p> <p>除了視覺互動，Live Avatar也支援非同步工具呼叫（Asynchronous Tool Calling），可在持續與使用者交談的同時，於背景呼叫工具及擷取資料。例如飯店旅客辦理入住時，AI代理人可一邊回答問題，一邊透過工具完成入住作業，不必為了執行任務而中斷對話。</p> <p>在多語言能力方面，Live Avatar支援97種語言，可在對話中切換語言，並同步調整嘴型與表情，維持影片品質及影音同步。</p> <p>針對AI生成內容可能引發的身分冒用問題，Google表示，Live Avatar產生的音訊及影片均嵌入SynthID數位浮水印，以協助辨識AI生成內容，降低錯誤資訊及身分冒用風險。開發人員現可透過Gemini Enterprise及Live API整合相關功能。</p> </div></div></div>
9/25 15:38陳曉莉https://www.ithome.com.tw/news/179229
Anthropic向Akamai採購116億美元CPU算力，取得最高5%認股權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端服務暨資安業者<a href="https://www.globenewswire.com/news-release/2026/09/24/3368729/0/en/akamai-announces-11-6-billion-multi-year-agreement-with-anthropic-to-support-growing-demand.html">Akamai周四（9/24）宣布</a>，擴大與Anthropic的合作，後者將在未來7年採購總值116億美元的雲端運算服務，以滿足持續成長的CPU工作負載需求。雙方合作規模未來還可能增加至約200億美元，Anthropic並取得認購Akamai最高約5%股權的權利。當天Akamai的盤後股價大漲21.36%至133.99美元。</p> <p>Akamai成立於1998年，原本以內容傳遞網路（CDN）及網路安全服務聞名，2022年以9億美元<a href="https://www.akamai.com/newsroom/press-release/akamai-to-acquire-linode">收購雲端服務業者Linode</a>，進一步跨足雲端運算市場，並利用原有的全球網路基礎設施，發展從核心資料中心延伸至邊緣節點的分散式雲端平臺。</p> <p>隨著AI從聊天機器人走向能夠自主執行任務的AI代理人，運算需求也開始改變。除了仰賴GPU進行模型訓練及推論，AI代理人還需要CPU支援工具呼叫、程式執行及檔案處理等工作。Akamai指出，AI代理人多達90%的執行時間可能花在非GPU工作。此次合作便是利用Akamai Cloud的分散式雲端基礎設施，支援Anthropic日益增加的CPU運算需求。</p> <p>除了採購算力，這筆交易也包含股權安排。Akamai已向Anthropic發行認股權證，允許其以每股111.33美元的價格，認購可轉換為Akamai普通股的無表決權特別股，相當於流通在外普通股的約5%。其中約2%的認股權將隨此次採購承諾而歸屬，其餘約3%則與後續採購規模掛鉤。</p> <p><a href="https://uk.finance.yahoo.com/news/anthropic-strikes-12-billion-ai-201613478.html">彭博社（Bloomberg ）報導</a>，這是Akamai歷來最大合約，也反映該公司從傳統CDN及資安服務向雲端運算轉型的進展。Akamai執行長Tom Leighton表示，隨著雲端業務快速成長，相關營收可能在不久後超越其他業務。不過，彭博社也指出，部分華爾街投資人對AI產業的循環交易提出疑慮，亦即企業在相互採購產品及服務的同時，也彼此投資，使市場更難衡量AI需求的真實規模。</p> </div></div></div>
9/25 15:54陳曉莉https://www.ithome.com.tw/news/179230
Anthropic動用近千Claude代理搜尋DNA，21小時找出新型ART酵素系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic<strong><a href="https://www.anthropic.com/news/claude-discovers-novel-enzyme-system">公開</a></strong>生命科學研究團隊首批成果，近950個Claude AI代理搜尋大量DNA資料，找出過去未被描述的酵素系統ART（array-associated reverse transcriptases）。ART包含反轉錄酶、相鄰蛋白質與規律排列的DNA重複序列，DNA重複序列具有類似基因編輯工具CRISPR的排列特徵。ART的生物功能尚未確認，Anthropic已展開實驗研究。</p> <p>Anthropic在2026年春季成立生命科學研究團隊與生物實驗室，研究方式是先由Claude搜尋DNA資料、提出候選目標，再由科學家進行實驗。ART涉及的反轉錄酶可將RNA轉換成DNA，相關反轉錄酶在先前研究中被發現，Claude找到的新線索，是反轉錄酶附近還有一組規律排列的非編碼DNA重複序列，以及功能未知的蛋白質。</p> <p>搜尋工作約執行21小時，使用近950個Claude代理，消耗約2.1億個詞元，Claude代理整理超過20萬個反轉錄酶，從中篩出3,500個可能代表新系統的候選項目，再縮小到20個進行深入分析。分析過程中，一個Claude代理檢查反轉錄酶附近的DNA時，發現一串規律重複的序列，後續再比對已知反轉錄酶系統與既有研究，最後交由Anthropic科學家檢查。</p> <p>ART主要出現在噬菌體，也就是感染細菌的病毒。ART由反轉錄酶、相鄰基因，以及一長串間隔規律的DNA重複序列組成。CRISPR系統也有規律排列的重複序列，研究團隊檢查ART是否存在相似機制。</p> <p>初步實驗發現，ART的DNA重複序列會產生多段短RNA。不過，現有結果尚未確認ART是否具有類似CRISPR的作用機制，也未釐清反轉錄酶、短RNA與相鄰基因編碼蛋白質的關係。</p> <p>Anthropic的研究流程由Claude負責大規模資料搜尋與候選分析，科學家負責審查候選項目與實際實驗。研究團隊將繼續確認ART的生物功能與作用機制。</p> </div></div></div>
9/25 11:03李建興https://www.ithome.com.tw/news/179222
AWS CloudWatch Omni納入AI代理品質測試，可比較模型與提示詞表現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS<strong><a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-cloudwatch-omni-ai-powered-observability-for-generative-ai-and-agentic-workloads/">擴充</a></strong>Amazon CloudWatch可觀測性服務，推出CloudWatch Omni，將AI代理與應用程式監控整合到同一環境。除了記錄延遲、詞元（Token）用量與工具呼叫等執行情況，CloudWatch Omni還能評估代理回答品質，並比較不同提示詞、模型與代理設定的結果，協助開發團隊找出版本變更後的品質退化問題。</p> <p>一般應用程式監控多半透過錯誤、延遲等指標判斷系統是否正常，但AI代理即使順利完成執行，回答內容或工具選擇仍可能出錯。CloudWatch Omni內建17種評估器，可檢查回答連貫性、實用性、內容與依據資料是否相符，以及處理路徑是否正確等項目，開發人員也能從實際執行紀錄建立測試資料集，重複測試不同設定。</p> <p>CloudWatch Omni會記錄代理處理請求的過程，包括模型呼叫與工具呼叫，並以時間順序呈現，開發人員可查看各步驟的輸入、輸出、詞元用量與延遲，也能並排比較兩次執行結果，檢查修改提示詞或代理設定後產生的差異。</p> <p>測試功能可使用同一份資料，比較兩個代理版本的回答評分、延遲與詞元用量。提示詞管理功能則能保存不同版本，方便開發團隊在新版表現不如預期時回復舊版。工作階段瀏覽功能可查看完整的多輪對話，代理拓撲檢視則會呈現代理、子代理與工具之間的連接關係。</p> <p>CloudWatch Omni除了AI代理，也提供應用程式監控與分析功能，開發人員可透過VS Code與Kiro擴充套件查看代理執行紀錄與評估結果，維運人員則可使用獨立網頁介面，不必進入AWS Management Console。</p> <p>CloudWatch Omni支援LangChain、LangGraph、CrewAI、OpenAI SDK、Strands與Vercel AI SDK等開發框架與工具，涵蓋Python與TypeScript應用。代理可執行在AWS Lambda、ECS、EKS或其他雲端環境，監測機制採用OpenInference與AWS Distro for OpenTelemetry（ADOT）。</p> </div></div></div>
9/25 11:13李建興https://www.ithome.com.tw/news/179226
Docker Cloud Sandboxes上線，AI代理環境可在本機與雲端雙向搬移
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Docker<strong><a href="https://www.docker.com/blog/introducing-cloud-sandboxes-start-on-your-laptop-finish-in-the-cloud/">推出</a></strong>Cloud Sandboxes雲端沙箱服務，將原本在開發者電腦執行的Docker Sandboxes隔離環境延伸到Docker管理的雲端運算資源。開發者可讓AI程式開發代理在雲端執行大型程式修改、測試等工作，並使用sbx move指令，在本機與雲端之間搬移沙箱環境。</p> <p>AI程式開發代理開始執行需要數小時完成的工作後，開發環境也不一定適合持續綁在開發者電腦，筆電休眠、關機或網路中斷，都可能影響長時間工作。Cloud Sandboxes將運算工作交給Docker管理的雲端資源，開發者可關閉本機連線，之後再回來檢查代理執行結果，也能同時啟動多個獨立沙箱處理不同工作。</p> <p>Cloud Sandboxes維持Docker Sandboxes的隔離方式，每個沙箱使用獨立微型虛擬機，擁有Linux核心、檔案系統、網路環境與Docker背景服務。AI代理可在沙箱內安裝套件、執行指令或啟動容器，無法存取開發者沒有開放的主機資源，開發者掛載進沙箱的專案目錄則可由代理讀寫。</p> <p>本機與雲端之間的搬移不會保留執行中的行程，sbx move會保存沙箱檔案系統，製作成容器映像檔，再於目的端建立新沙箱，因此正在執行的程式與記憶體內容無法一起移動。本機掛載目錄、透過sbx管理的金鑰與網路存取規則也不會跟著搬移，目的端需要使用獨立設定，原本的沙箱則會保留。</p> <p>Cloud Sandboxes提供多種預先設定的AI代理環境，涵蓋Claude Code、Codex、GitHub Copilot、Google Antigravity、OpenCode與Hermes，開發者也能建立自訂環境。沙箱可透過模型情境協定（MCP）連接Jira、Linear、Grafana等外部工具，服務需要的金鑰在發出請求時注入，不直接交給AI代理保存。</p> <p>雲端沙箱採使用量計費，運算時間按秒計算，沙箱暫停期間不計算運算費用，AI模型費用由模型供應商另外收取。Docker提供1至16個虛擬CPU的運算規格，公告價格從每小時0.07美元至1.12美元，單次雲端沙箱工作階段最長可設定24小時。</p> <p>Cloud Sandboxes需要sbx 0.45.1以上版本，目前提供Docker Personal與Pro帳號使用隨用隨付方案，本機Docker Sandboxes維持免費使用，也不需要安裝Docker Desktop。</p> </div></div></div>
9/25 11:18李建興https://www.ithome.com.tw/news/179227
Google AI代理PageBreak找出自家Web應用程式逾500個XSS漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google近日公布內部AI代理<a href="https://blog.google/security/agentic-hacks-real-proofs-inside-googles-pagebreak-project/" target="_blank">PageBreak的漏洞研究成果</a>，這套AI代理由Google產品安全團隊開發，用於尋找Google第一方Web應用程式的安全漏洞。目前PageBreak已在這些Web應用程式找出超過500個跨站指令碼（XSS）漏洞，部分漏洞出現在敏感網域。PageBreak找出疑似漏洞後，會交由專門的驗證工具執行實際酬載，確認漏洞能否成功利用。Google表示，這項驗證機制讓PageBreak的誤判率接近零。</p> <p>大型語言模型（LLM）雖能協助尋找漏洞，但也可能提出大量疑似漏洞，其中包含誤判，產品團隊仍需逐一確認這些問題能否實際利用。PageBreak因此使用非AI撰寫的專用工具，驗證XSS、SQL注入、路徑穿越、遠端程式碼執行（RCE）及伺服器端請求偽造（SSRF）等疑似漏洞。PageBreak不會將這類尚未驗證的疑似漏洞送交產品團隊，藉此減少產品團隊處理誤判結果的負擔。</p> <p><a href="https://bughunters.google.com/blog/pagebreak-real-world-findings" target="_blank">Google也公布PageBreak找出的3個高嚴重性漏洞案例</a>，這3個案例涉及的應用程式過去都曾由Google資安工程師及外部漏洞研究人員檢查，但當時並未發現相關漏洞。其中，PageBreak在admin.google.com發現一項XSS，但攻擊者若要成功利用漏洞，請求必須帶有有效簽章。PageBreak接著找到另一個端點，可讓該應用程式替帶有惡意內容的參數產生有效簽章。攻擊者便能取得這組簽章，用來建立漏洞利用URL，繞過原本的簽章保護並觸發XSS。Google認為，這類案例顯示LLM已逐漸能找出需要經過多個步驟才能成功利用的漏洞。</p> </div></div></div>
9/25 09:00王珮瑤https://www.ithome.com.tw/news/179224
CRA全面適用倒數15個月，西班牙Applus+帶來CRA協調標準與公告機構最新一線進展，呼籲臺灣企業及早展開產品分類…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐盟《網路韌性法》（Cyber Resilience Act，CRA）將於2027年12月11日全面適用，對產品銷往歐洲的臺灣業者而言，如何因應CRA已成為迫切課題。目前正申請成為CRA公告機構（NB）的西班牙業者Applus+ Laboratories，近日在臺說明CRA在歐洲的最新進展與第一線觀察。</p> <p>距CRA全面適用僅剩約15個月，Applus+ Laboratories資安事業處總監José Ruiz Gualda提醒，即使相關配套仍在成形，臺灣企業也應及早行動，不要等到制度全部到位後才開始準備。今年初與該公司建立合作關係、最近成為其認可實驗室的安合規律檢驗公司（Secure Vectors Surveillance），也從臺灣業者實務角度補充CRA合規前期準備重點，並強調企業須留意法規全面適用前可能出現的驗證量能瓶頸。</p> <h3><strong>協調標準與NB</strong><strong>體系仍在建置，企業不能等制度到位才準備</strong></h3> <p>關於CRA相關配套措施的最新進展，José Ruiz Gualda指出，目前CRA仍有兩項關鍵工作持續推進，一是相關協調標準（Harmonised Standards）的制定，二是公告機構（Notified Body，NB）第三方符合性評估體系的建立。</p> <p>以CRA協調標準的制定進度而言，José Ruiz Gualda表示，他日前才收到標準相關會議因意見過多而延期的通知，因此第一批相關技術標準的完成時間可能落到11月。目前歐盟正同時推進約40項CRA相關標準，工作量相當龐大。</p> <p>他也直言，歐洲的標準制定程序相當複雜。CRA相關標準由CEN、CENELEC、ETSI等歐洲標準化組織分工推進，過程中還涉及產業參與及各國投票。即使標準完成制定並發布，也不代表已取得歐盟協調標準地位，後續仍須經過歐盟執委會相關程序。他甚至認為，部分產品別標準能否在2027年年中前完全底定，目前仍難以確定。</p> <p><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%A5%BF%E7%8F%AD%E7%89%99Applus%2B%20Laboratories%E5%9C%A8%E8%87%BA%E6%8F%AD%E9%9C%B2CRA%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95%E8%88%87%E7%AC%AC%E4%B8%80%E7%B7%9A%E8%A7%80%E5%AF%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Applus%2B%20Laboratories.jpg" style="width: 600px;" /></p> <p>另一項仍在推進中的關鍵配套，就是負責第三方符合性評估的公告機構（NB）體系。目前CRA公告機構的認可與通知程序仍在進行中，預期產業首批CRA公告機構（NB）最快於今年底陸續就緒。</p> <p>儘管相關制度仍在成形，José Ruiz Gualda提醒，企業現在就要採取行動。若在合規檢視後，企業發現產品需要修改設計，單就工程調整本身，可能耗費相當長的時間；若在法規全面適用前，企業才發現產品需要公告機構進行第三方評估，屆時CRA公告機構（NB）因案件大量湧入，而可能造成企業被迫排隊等待，而延誤商機。</p> <p><a href="/sites/default/files/images/（圖3）西班牙Applus%2B Laboratories在臺揭露CRA最新進展與第一線觀察_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%A5%BF%E7%8F%AD%E7%89%99Applus%2B%20Laboratories%E5%9C%A8%E8%87%BA%E6%8F%AD%E9%9C%B2CRA%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95%E8%88%87%E7%AC%AC%E4%B8%80%E7%B7%9A%E8%A7%80%E5%AF%9F_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/（圖4B）西班牙Applus%2B Laboratories在臺揭露CRA最新進展與第一線觀察_圖片來源Applus%2B Laboratories.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964B%EF%BC%89%E8%A5%BF%E7%8F%AD%E7%89%99Applus%2B%20Laboratories%E5%9C%A8%E8%87%BA%E6%8F%AD%E9%9C%B2CRA%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95%E8%88%87%E7%AC%AC%E4%B8%80%E7%B7%9A%E8%A7%80%E5%AF%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Applus%2B%20Laboratories.jpg" style="width: 295px;" /></a> <a href="/sites/default/files/images/（圖4H）西班牙Applus%2B Laboratories在臺揭露CRA最新進展與第一線觀察_圖片來源Applus%2B Laboratories.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964H%EF%BC%89%E8%A5%BF%E7%8F%AD%E7%89%99Applus%2B%20Laboratories%E5%9C%A8%E8%87%BA%E6%8F%AD%E9%9C%B2CRA%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95%E8%88%87%E7%AC%AC%E4%B8%80%E7%B7%9A%E8%A7%80%E5%AF%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Applus%2B%20Laboratories.jpg" style="width: 295px;" /></a></p> <h3><strong>先判定產品分類，</strong><strong>Applus+</strong><strong>估約9</strong><strong>成產品可採自我評估</strong></h3> <p>至於該從哪裡著手？José Ruiz Gualda建議，產品分類是第一道關卡。企業現階段首先應確認產品在CRA下的分類，釐清究竟屬於Default、Important Class I、Important Class II或Critical，因為不同分類將直接影響後續可採取的符合性評估方式。</p> <p>他進一步說明，CRA並非所有產品都採同一套符合性評估方式。依據CRA Article 32與Annex VIII規定，不同產品分類適用的符合性評估（Conformity Assessment）路徑也有所不同。其中，Module A由製造商自行進行內部控制與符合性評估；若需要第三方介入，則可採Module B＋C，由公告機構先進行EU型式檢驗，再由製造商確保量產產品持續符合核准型式；或採Module H，由公告機構評估並持續監督企業的品質管理系統。</p> <p>José Ruiz Gualda指出，在這套架構下，依據Applus+的估計，納入CRA規範的產品中，約90%屬於Default類別，通常可採Module A自我評估，無須第三方驗證。</p> <p>但他也特別提醒，可以自我評估，不代表CRA合規就很簡單。即使是Default產品，企業仍須自行確認產品是否符合CRA要求；若企業本身缺乏資安或產品認證經驗，光是第一次建立完整的風險評估，就可能面臨不小挑戰。</p> <p>此外，在分類上，不應因產品包含某個Important或Critical元件，就直接把整項產品歸入相同類別，關鍵仍在產品的核心功能（core functionality）。企業可從產品預期用途、實際使用情境、使用說明書、技術文件，以及行銷與銷售資料等資訊，判斷產品真正的核心功能，再與CRA的產品分類項目進行比對。</p> <p>完成分類後，下一步是資安風險評估。風險評估是所有產品都必須執行的程序，企業應依產品預期用途、運作環境、需保護的關鍵資產及生命週期，判斷哪些CRA基本資安要求適用；若判定某項要求不適用，也必須留下合理說明與判斷依據。</p> <p>技術文件也應同步準備，包括產品與設計資訊、開發與生產流程、漏洞處理、風險評估、測試報告及採用標準等，並建立各項要求與佐證資料之間的可追溯關係。</p> <p>至於CRA協調標準尚未齊備的問題，他建議企業不必因此停下來等待。現階段仍可先參考EN 18031、FITCEM、SESIP、IEC 62443、PCI等既有標準，再以CRA Annex I（附錄一）所列的基本資安要求（Essential Cybersecurity Requirements）為基準進行落差分析，並盡量善用既有測試與驗證成果。</p> <p><a href="/sites/default/files/images/（圖5）西班牙Applus%2B Laboratories在臺揭露CRA最新進展與第一線觀察_圖片來源Applus%2B Laboratories.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E8%A5%BF%E7%8F%AD%E7%89%99Applus%2B%20Laboratories%E5%9C%A8%E8%87%BA%E6%8F%AD%E9%9C%B2CRA%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95%E8%88%87%E7%AC%AC%E4%B8%80%E7%B7%9A%E8%A7%80%E5%AF%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Applus%2B%20Laboratories.jpg" style="width: 600px; height: 323px;" /></a></p> <h3><strong>第三方評估量能恐成瓶頸，企業應提早盤點資產並善用既有方法與驗證成果</strong></h3> <p>針對CRA後續可能面臨的第三方評估量能問題，安合規律檢驗執行長黃廷弘補充，據其估計，CRA影響全歐洲販售中與新上市的數位產品約達2,000萬件，約1成屬Important與Critical類型產品，須經公告機構（NB）進行第三方符合性評估，沒有自我宣告的選項；其餘約9成為Default類型產品，可採自我宣告，而Important Class I則須在適用的協調標準到位且完整符合的前提下，才能自我宣告。</p> <p>他藉此突顯第三方評估需求的龐大規模，並提醒多數協調標準仍在草案階段，公告機構（NB）與實驗室量能也有限，若大量產品集中在法規全面適用前的最後幾個月送驗、進行評估，公告機構與實驗室的驗證量能恐成為瓶頸，必須及早行動。</p> <p><a href="/sites/default/files/images/（圖8）安和規律檢驗_西班牙Applus%2B Laboratories_CRA合規路徑選擇_圖片來源Applus%2B Laboratories.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%AE%89%E5%92%8C%E8%A6%8F%E5%BE%8B%E6%AA%A2%E9%A9%97_%E8%A5%BF%E7%8F%AD%E7%89%99Applus%2B%20Laboratories_CRA%E5%90%88%E8%A6%8F%E8%B7%AF%E5%BE%91%E9%81%B8%E6%93%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Applus%2B%20Laboratories.jpg" style="width: 600px; height: 315px;" /></a></p> <p><a href="/sites/default/files/images/（圖6）西班牙Applus%2B Laboratories_安合規律檢驗_CRA_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E8%A5%BF%E7%8F%AD%E7%89%99Applus%2B%20Laboratories_%E5%AE%89%E5%90%88%E8%A6%8F%E5%BE%8B%E6%AA%A2%E9%A9%97_CRA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>黃廷弘同樣呼籲臺灣企業及早行動，並提出幾項現階段即可著手的準備方向。例如，在風險評估方法上，黃廷弘指出，CRA並未強制指定單一方法，企業可參考仍在草案階段的prEN 40000-1-2，從產品情境、風險接受準則、風險評估到風險處理，作為建立風險管理流程的參考。他也以刷卡機為例說明，CRA下的產品邊界未必只是一臺實體設備。現代支付終端可能同時涉及終端上的應用程式與後端系統，企業必須先釐清哪些元件與服務屬於同一產品範圍。</p> <p>至於資產盤點，企業也不一定需要完全從零開始。黃廷弘指出，既有ISO/IEC 27001資產管理架構可作為基礎，再補上CRA所需的產品邊界、SBOM與版本管理、支援生命週期，以及介接與相依關係等資訊。若已有依EN 18031建立的產品資安測試或驗證成果，也可利用既有資產盤點、風險分析與測試資料，再依CRA要求重新對應並補足落差。</p> <p><a href="/sites/default/files/images/（圖7）西班牙Applus%2B Laboratories_安合規律檢驗_CRA_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E8%A5%BF%E7%8F%AD%E7%89%99Applus%2B%20Laboratories_%E5%AE%89%E5%90%88%E8%A6%8F%E5%BE%8B%E6%AA%A2%E9%A9%97_CRA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>安合規律檢驗副總經理吳玉婷則將企業現階段的準備工作，歸納為三個重點：（一）產品分類是起點，企業應先確認產品屬於Default、Important Class I、Important Class II或Critical，並界定產品邊界與製造商責任，才能確認合規路徑；（二）釐清Module A、Module B＋C與Module H等不同符合性評估方式的差異；（三）不要等到2027年才開始，而應現在就著手準備風險評估、測試、佐證資料與相關流程。若企業對產品分類或評估路徑仍不確定，她認為也可在前期透過外部專業意見先行釐清。</p> <p>她強調，產品分類不是終點，而是決定後續符合性評估路徑的起點；愈早完成前期準備，日後正式符合性評估時，就愈能降低重複作業與修改成本。</p> <p> </p> </div></div></div>
9/24 18:32羅正漢https://www.ithome.com.tw/news/179218
迎合6G網路整合NTN通訊技術趨勢，6G Summit Taipei：中華電信、遠傳展示多軌衛星通訊布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2026 6G Summit Taipei在本周在臺北舉行，國內電信業者中華電信、遠傳電信也參與，並展示對下一代6G行動通訊的技術布局成果。中華電信與遠傳電信各自展示其在非地面網路（Non-Terrestrial Network, NTN）與多軌衛星通訊的布局發展，反映6G發展趨勢正從單純提升傳輸能力，轉向地面網路、衛星網路與AI技術融合的架構。</p> <p>全球行動通訊產業正從5G Advanced逐步邁向6G技術布局階段。相較於5G主要強調高速率、低延遲與大規模物聯網連結，6G發展方向已進一步延伸至AI原生（AI-Native）網路、天地融合通訊、整合感測與通訊（ISAC）、非地面網路（NTN）等技術，希望讓通訊網路從單純提供連線能力，轉變為具備智慧化、自主化能力的數位基礎設施。</p> <p data-end="557" data-start="315">由6G產業論壇（6GIF）與台灣資通產業標準協會（TAICS）共同舉辦的2026 6G Summit Taipei，在經濟部產業技術司指導，聯發科技、中華電信、遠傳電信共同主辦。此次活動以「Towards the AI-Native 6G Era」為主題，邀集國內外產業、學研與國際6G推動組織代表，討論AI原生網路、國際標準、關鍵技術及產業應用。</p> <p>中華電信以「Towards the AI-Native 6G Era」為主題參與。中華電信總經理林榮賜表示，6G的突破並非單一硬體或軟體技術，而是打造跨產業協作的次世代數位生態系。相較於5G聚焦高速率、低延遲與大規模物聯網，6G進一步朝向AI原生網路發展，讓AI從應用層延伸到通訊基礎設施。</p> <p>該公司展出「多軌衛星通訊服務」，結合高軌（GEO）、中軌（MEO）、低軌（LEO）衛星及衛星電話能力，以及地面網路協同運作。依不同軌道衛星所具備的不同特性，例如低軌衛星具有較低延遲優勢，高軌衛星則具有較廣泛涵蓋能力，多軌整合建構海、地、星、空的通訊備援架構。</p> <p>結合衛星與行動網路的天、地融合通訊架構，主要應用於提升關鍵場域的通訊可靠度，例如偏遠地區、海域、災害應變或地面網路受損時的備援連線。中華電信指出，未來6G結合AI-RAN、整合感測與通訊（ISAC）及非地面網路等技術，將進一步擴大智慧連網範圍。</p> <h2><strong><span style="font-size:20px;"><span style="color:#B22222;">多軌衛星補強網路韌性</span></span></strong></h2> <p>遠傳電信也以多軌道融合的新世代通訊韌性為主題，展出低軌衛星、高軌衛星通訊設備，以及衛星用戶終端設備（User Terminal, UT），介紹不同軌道衛星的技術特性與應用情境。</p> <p>遠傳網路技術暨營運群副總經理盧祖耀在論壇上分享該公司次世代網路布局。他指出，未來通訊發展將朝地面網路與衛星通訊融合方向前進，衛星網路將可補足傳統地面基地台難以覆蓋的區域。</p> <p>低軌衛星具有低延遲、高覆蓋等特性，可應用於偏鄉、離島、海域及特殊場域的連網需求；此外，衛星通訊也可作為基地台回傳（Backhaul）鏈路，作為天然災害或緊急事件時提供緊急替代通訊路徑，提升整體網路韌性。</p> <p>相較於單一衛星軌道架構，遠傳認為多軌道（Multi-Orbit）模式可透過低軌與高軌衛星互補，在即時性、覆蓋範圍與服務穩定度間找到平衡，並與地面網路協同運作，為未來6G網路的重要基礎。</p> <p>這次6G Summit Taipei，兩家電信業者皆展示，迎合下一代6G行動通訊的趨勢，衛星通訊將不再只是偏遠地區的單一特殊連線方案，而是逐漸發展為下一代通訊架構的一部分。隨著3GPP等國際標準組織持續推動非地面NTN網路技術標準，電信業者提前布局6G時代的網路架構。</p> <p>中華電信目前著重AI-Native 6G、國際標準參與與多軌衛星服務整合；遠傳則強調衛星通訊與地面網路融合後，如何提升網路備援能力與數位韌性。兩家業者將衛星視為未來6G從「地面連網」走向「天、地融合」的重要技術方向。</p> </div></div></div>
9/24 18:38蘇文彬https://www.ithome.com.tw/news/179220
【資安週報】0921~0924，首屆「台灣資安日」登場，倡議從實體防災延伸至數位防災
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>適逢中秋連假前夕，本週最受矚目的資安焦點，莫過於中國駭客組織Red Heron近期的一連串攻擊，例如利用Gitea重大漏洞CVE-2026-60004發動攻擊，臺灣、加拿大、美國等多國組織受害，其中臺灣一家工業自動化業者更遭竊取數百個程式碼儲存庫；GreyNoise也揭露另一波利用兆勤（Zyxel）GS1900交換器漏洞CVE-2026-7273的攻擊，疑與Red Heron有關，全球996臺設備遭入侵，臺灣受害數量排名第三。</p> <p>在資安防禦上，9月21日適逢國家防災日，今年也首度有了「台灣資安日」，台灣數位信任協會攜手產官學研共同倡議，希望將既有防災觀念延伸至數位環境，提升全民資安與防詐意識。國際間也有重要制度動向，例如韓國著手改革ISMS-P認證制度，重新檢討資訊安全與個資保護管理體系的認證方式。此外，德國法院近日作出指標性判決，要求Meta為平臺上的冒名詐騙廣告負責。</p> <p>其他重要資安動向還包括，NIST發布製造業供應鏈追溯框架，聚焦強化產品與零組件來源流向追蹤；CISA則首度發布網路誘餌實務指南，協助及早發現已入侵環境的攻擊者。技術面上，微軟警示ASCII走私手法已被用於網路釣魚郵件，促使郵件安全產品強化隱形字元偵測；思科Talos開源CAIRN工具，試圖從AI使用痕跡追蹤新型惡意程式。此外，HTTP QUERY也已成為HTTP新標準，企業應重新檢視既有安全控制是否支援。</p> <p style="margin: 0px;"> </p> <h1><strong style="color: rgb(255, 140, 0);">網路安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>企業網路設備近期持續遭駭客鎖定，本週更接連出現3起零時差漏洞攻擊，分別鎖定Check Point、F5與Arista設備；此外，兆勤與Check Point甫修補的漏洞，也在一至三天內遭利用，突顯廠商必須更早發現並修補漏洞，企業也得縮短更新部署時間。還要留意的是，國內有機關因設備交接與盤點疏失，未掌握防火牆已進入EOS，最終成為內網破口；TWNIC則提醒企業將網路信任納入資安治理。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/179106">與中國駭客Red Heron有關的攻擊者滲透近1,000臺GS1900兆勤交換器，臺灣受害數量排名第3</a><span style="color: rgb(255, 0, 0);">【CVE-2026-7273、CVE-2026-56271、CVE-2023-54391、CVE-2026-54569、CVE-2026-79756】</span></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/6ab19fbcfbb4d0483a90782a_open-season-kapibala-exploitation-timeline_2-156.jpg?itok=_P34PIOw"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/6ab19fbcfbb4d0483a90782a_open-season-kapibala-exploitation-timeline_2-156.jpg?itok=_P34PIOw" style="width: 400px; float: right;" /></a></p> <p>美國網路安全與基礎設施安全局（CISA）於9月21日，<a href="http://www.ithome.com.tw/news/179104">將兆勤（Zyxel）GS1900系列交換器資安漏洞CVE-2026-7273列入已遭利用的漏洞名單（KEV）</a>，值得留意的是，同日威脅情報公司GreyNoise揭露大規模利用該漏洞的攻擊活動，攻擊者在8月17日於48個國家發動攻擊，成功入侵全球996臺GS1900交換器並竊取敏感資料，從受害交換器的地理位置分布來看，臺灣受害交換器數量排名第三。GreyNoise並指出，這批攻擊者可能就是不久前Acronis揭露的中國駭客Red Heron，或與其相關的團體。</p> <p>另外值得留意的是，GreyNoise整理該攻擊者自6月至9月初的活動，記錄10波針對不同產品或技術的攻擊，其中仍有4項已遭利用的漏洞尚未被列入CISA KEV清單，包括FlowiseAI的CVE-2026-56271、Nuclio的CVE-2026-79756、SENAITE LIMS的CVE-2026-54569，以及Proxmox VE的CVE-2023-54391。</p> <p><strong><a href="https://www.ithome.com.tw/news/179183">Check Point警告兩個重大漏洞遭積極利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-85102、CVE-2026-93616】</span></strong></p> <p>美國網路安全與基礎設施安全局（CISA）9月22日發布警示，內容是出現新的漏洞遭積極利用情況，點名Check Point系統的兩個漏洞：CVE-2026-85102、CVE-2026-93616，根據Check Point發布的警訊，CVE-2026-93616在7月23日出現少數的精準攻擊事件，另一個漏洞CVE-2026-85102則自9月12日開始遭到利用。</p> <p><strong><a href="https://www.ithome.com.tw/news/179151">F5揭露及修補已遭利用的BIG-IP APM重大漏洞</a><span style="color: rgb(255, 0, 0);">【CVE-2026-94127】</span></strong></p> <p>F5揭露BIG-IP元件Access Policy Manager（APM）在特定配置下會受到資安漏洞CVE-2026-94127影響，CVSS嚴重程度評為9.8分。值得留意的是，F5警示已發現漏洞遭到利用，美國網路安全與基礎設施安全局（CISA）將其列入已遭利用的漏洞名單（KEV）。該公司主動通知我們這項公告發布，並表示已依照流程通知客戶。</p> <p><strong><a href="https://www.ithome.com.tw/news/179154">Arista公布SD-WAN集中管理平臺VCO滿分漏洞，並警告已遭利用</a><span style="color: rgb(255, 0, 0);">【</span><span style="color: rgb(255, 0, 0);">CVE-2026-93952】</span></strong></p> <p>9月22日Arista揭露企業內部網路環境建置的SD-WAN集中管理平臺VeloCloud Orchestrator（VCO）存在重大漏洞CVE-2026-93952，遠端攻擊者可用於存取內部特權功能，CVSS嚴重程度評為滿分10分，值得留意的是，Arista表示該弱點由外部研究人員通報，且已遭到積極利用。</p> <p><strong><a href="https://www.ithome.com.tw/news/179118">資安署揭機關老舊防火牆遭駭事件，設備交接不全、未掌握EOS成內網破口</a></strong></p> <p>資安署揭露一起機關資安事件，指出攻擊者入侵一臺已超過原廠支援期限的防火牆，不僅取得控制權、竄改最高管理者帳密，更利用該設備進一步連線至機關內部網路。資安署以此案例示警，問題不只是設備老舊，而是業務移轉時設備狀態未完整交接，接手後資產盤點與汰換追蹤也未落實，最終導致已過原廠支援期限（EOS）的設備成為內網入侵破口。</p> <p><strong><a href="https://www.ithome.com.tw/news/179047">TWNIC籲企業將網域納入資安治理，臺灣DNSSEC部署率僅2.47%</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/（圖1）DNSSEC Deployment Report_亞太地區_2026年9月中統計.jpg"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89DNSSEC%20Deployment%20Report_%E4%BA%9E%E5%A4%AA%E5%9C%B0%E5%8D%80_2026%E5%B9%B49%E6%9C%88%E4%B8%AD%E7%B5%B1%E8%A8%88.jpg" style="width: 400px; float: right;" /></a></p> <p>隨著釣魚、假冒網站與網域挾持等威脅增加，台灣網路資訊中心（TWNIC）近日呼籲企業將網域、DNS與路由面的數位信任納入資安治理，特別是了解DNSSEC、RPKI及Registry Lock等機制的部署情形。最新統計顯示，在路由層級部署RPKI方面，臺灣ROA覆蓋率達98.06%，ROV過濾率55.98%，但DNSSEC部署率僅2.47%，Registry Lock目前約24個核心域名啟用。</p> <p>■<strong><a href="https://www.ithome.com.tw/news/179043">BIND 9修補14個弱點，其中包含可透過DNS-over-HTTPS造成服務中斷的漏洞</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179079">Check Point修補安全管理與日誌伺服器重大漏洞，若未更新可能導致攻擊者取得root權限</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">身分安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>多起事件與身分盜用問題有關，首先是郵件行銷平臺Brevo內部高權限Cloudflare API金鑰遭竊，引發供應鏈攻擊，駭客進而在使用Brevo服務的客戶網站注入惡意程式；另一是義大利地方政府信箱遭盜用，被用於身分冒用與社交工程，攻擊者藉由盜用的合法政府信箱，向金融科技業者索取客戶資料。其他事件還包括WSO2 API管理產品漏洞遭利用，以及友訊網站遭大量帳密嘗試登入。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/179005">WSO2重大JWT身分驗證漏洞出現攻擊嘗試，成功利用可能造成帳號接管</a><span style="color: rgb(255, 0, 0);">【CVE-2026-5430】</span></strong></p> <p>企業軟體業者WSO2旗下API管理產品重大（Critical）風險漏洞CVE-2026-5430近期出現實際濫用跡象。根據SecurityWeek報導，資安業者watchTowr於9月13日觀測到相關攻擊嘗試，攻擊者使用偽造JSON Web Token（JWT）發動攻擊。該漏洞CVSS風險分數最高為10.0分，成功利用可能造成未經授權的系統存取，甚至導致管理員帳號遭入侵及帳號完全遭到接管。</p> <p><strong><a href="https://www.ithome.com.tw/news/179189">行銷平臺Brevo高權限Cloudflare API金鑰遭竊，客戶網站被注入ClickFix惡意程式</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/brevo_supply_chain_attack.png?itok=FB4acaN5"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/brevo_supply_chain_attack.png?itok=FB4acaN5" style="width: 400px; float: right;" /></a></p> <p>電子郵件行銷平臺Brevo發生供應鏈攻擊，攻擊者竊取高權限Cloudflare API金鑰後，在網頁內容傳送給訪客的過程中注入惡意JavaScript，連帶影響使用Brevo表單、聊天元件等服務的客戶網站。受影響訪客可能遭遇ClickFix誘騙，已登入WordPress管理後臺的使用者還可能遭安裝惡意外掛，整體影響時間約5個半小時。</p> <p><strong><a href="https://www.ithome.com.tw/news/179169">義大利政府信箱遭盜用，駭客冒充地方政府機關向Revolut索取資料</a></strong></p> <p>英國金融科技業者Revolut近日發生一起客戶資料外洩事件，攻擊者並非直接入侵Revolut系統，而是先盜用義大利政府的認證電子郵件（PEC）帳號，再冒充政府機關向Revolut提出客戶資料調閱要求。義大利政府目前已確認，雷焦卡拉布里亞省長公署的PEC電子郵件信箱遭到入侵，Revolut也確認共有680名客戶的資料被提供給未經授權者。</p> <p><strong><a href="https://www.ithome.com.tw/news/179102">友訊網站遭大量帳密嘗試登入</a></strong></p> <p>網通設備公司友訊（2332）9月18日發布資安重大訊息指出，公司網站監控機制偵測到異常登入記錄，該公司進一步調查後確認，外部攻擊者利用既有登入機制，以大量帳號密碼進行網站登入驗證。友訊發現異常後立即啟動緊急應變機制，同步進行系統登入記錄清查、可疑連線封鎖，以及全站程式碼安全檢視，目前尚未再發現以相同方式進行的異常登入行為，網站服務也維持正常運作。</p> <p><strong><a href="https://www.ithome.com.tw/news/179139">SolarWinds修補ARM高風險漏洞，寫死金鑰恐造成遠端程式碼執行</a></strong></p> <p>網路、系統與IT管理軟體業者SolarWinds揭露旗下存取權限稽核系統Access Rights Manager（ARM）的高風險漏洞CVE-2026-28326，該漏洞CVSS風險分數為8.8分，影響ARM 2026.2及之前所有版本。漏洞源自ARM採用寫死的靜態金鑰，未經身分驗證的攻擊者可能藉此遠端執行程式碼。對此，SolarWinds已在9月17日發布ARM 2026.2.1修補漏洞。</p> <p><strong><a href="https://www.ithome.com.tw/news/178973">英國政府單一登入服務擴大推行通行金鑰，逾2,300萬人可使用</a></strong></p> <p>英國政府擴大在政府服務單一登入系統GOV.UK One Login推行通行金鑰（Passkey），超過2,300萬名使用者可選擇以通行金鑰登入政府服務，透過裝置的指紋、臉部辨識或PIN碼解鎖通行金鑰，登入時不必再輸入密碼及安全驗證碼。</p> <p><strong><a href="https://www.ithome.com.tw/node/179044">支援身分聯合服務與Passkey，兆勤網管雲大幅強化登入安全</a></strong></p> <p>兆勤科技（Zyxel Networks）雲端網路管理平臺Nebula近期20.10版上線，支援兆勤Nebula身分聯合服務，能整合第三方身分識別服務，如Microsoft Entra ID；經由Nebula雲端身分驗證伺服器建立的身分憑證，支援通行金鑰（Passkey），為企業與MSP提供無密碼（passwordless）安全登入Nebula的機制。</p> <p><strong><a href="https://www.ithome.com.tw/news/179089">NPM新增僅限暫存發布權杖，為2027年收緊自動發布權限做準備</a></strong></p> <p>NPM開始為2027年收緊自動發布權限預作準備。新增加的「僅限暫存發布（Stage-only）」權限，將自動化送審與正式發布拆開：CI/CD可以先送出新版套件，但最後仍須由維護者人工審查並通過2FA才能正式上架。對目前仍依賴權杖自動發布的團隊來說，這也提供一個在2027年新制上路前的過渡方案。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color:#696969;"><strong>在政策面，歐盟正面臨網路攻擊等混合威脅加劇的挑戰，因而提出建立緊急安全協議的構想；臺灣則在9月21日發起首屆「台灣資安日」，號召全民提倡資安意識。其他制度與規範進展，包括NIST發布製造業供應鏈追溯框架，強化產品來源與完整性驗證；韓國今年則重新檢視認證制度實效，改革ISMS-P制度並強化現場審查與認證後持續管理。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/179081">921防災日延伸數位防災，台灣數位信任協會倡議「台灣資安日」提升全民資安意識</a></strong></p> <p>實體要防災，數位世界同樣需要防災。適逢921國家防災日，台灣數位信任協會聯合產官學界發起首屆「台灣資安日」，將實體防災觀念延伸至數位安全領域，力求打破大眾普遍存在的資安「假性自信」。台灣數位信任協會理事長詹婷怡強調，此舉將防線從傳統機房與系統端拉回日常生活，從反詐騙、假訊息識讀、個人隱私保護及數位自主權等面向深化全民素養，促使民眾從旁觀者轉變為數位世界的第一線防衛者。</p> <p><strong><a href="https://www.ithome.com.tw/news/179023">歐盟擬建立緊急安全協議，共同因應網路攻擊等混合威脅</a></strong></p> <p>歐盟執委會主席馮德萊恩9月16日在2026年歐盟國情咨文提出，歐洲面臨的網路攻擊、破壞活動、縱火及無人機侵擾等混合威脅持續增加，因此主張建立緊急安全協議（Emergency Security Protocol），讓成員國面臨尚未達到武裝侵略程度、但已威脅國家安全的事件時，能共同協調因應措施。依照目前提出的緊急安全協議構想，由一個歐盟成員國啟動後，所有成員國將召開會議，協調歐盟共同因應措施，以遏止事態進一步升高並減輕影響。這項協議的具體啟動條件及執行方式有待歐盟進一步公布。</p> <p><strong><a href="https://www.ithome.com.tw/news/179052">NIST發布IR 8536製造業供應鏈追溯框架，以密碼學機制建立可驗證追溯紀錄</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/0922-nist_ir_8536-960.jpg?itok=osbIrfFU"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/0922-nist_ir_8536-960.jpg?itok=osbIrfFU" style="width: 400px; float: right;" /></a></p> <p>美國國家標準技術研究所（NIST）旗下國家網路安全卓越中心（NCCoE）於9月9日發布NIST IR 8536正式版。這份文件提出不限定特定技術的製造業供應鏈追溯架構，可銜接各產業既有標準，讓供應鏈上下游交換並驗證產品追溯資訊，協助企業確認產品來源與完整性。</p> <p><strong><a href="https://www.ithome.com.tw/news/179076">韓國ISMS或ISMS-P認證企業近年仍爆資安事故，政府改革認證制度，強化現場審查</a></strong></p> <p>韓國近年多家取得ISMS或ISMS-P認證的企業，接連爆發重大資安與外洩事故，引發外界對認證實效性的質疑。為此，韓國個人資料保護委員會（PIPC）持續推動ISMS-P制度改革，最新提出《個人資料保護法施行令》修正草案，將改善過往偏重書面及特定時間點查核的問題，轉向更持續地檢視企業實際運作狀況，並進一步強化現場驗證、技術審查與認證後的持續管理。</p> <p><strong><a href="https://www.ithome.com.tw/news/179085">德國法院要求Meta對臉書及IG上的假廣告負責</a></strong></p> <p>針對社群冒名詐騙廣告，德國法院近日祭出指標性判決。知名財經資訊網站Finanzfluss創辦人不滿Meta長期放任其肖像遭冒用投放假廣告，憤而提告；法蘭克福地方法院9月16日判決Meta敗訴。法院認定Meta透過演算法與競價系統掌握廣告分發的控制力，不得援引《數位服務法》（DSA）免責，除須賠償損失外，未來更必須主動過濾同類侵權廣告。</p> <p><strong><a href="https://www.ithome.com.tw/news/179158">針對CRA開源責任，OpenSSF以3類角色協助開源社群判斷義務</a></strong></p> <p>歐盟CRA陸續進入實施階段，不同開源軟體參與者究竟需要承擔哪些責任，也成為開源社群關注的問題。開源安全基金會（OpenSSF）9月15日推出「Grow CRA Readiness」CRA準備指南，協助開源社群判斷自身義務，依據開源維護者／貢獻者、開源軟體管理者，以及含數位元素產品的製造商，提供對應這3種不同角色的準備路徑與資源。</p> <p><strong><a href="https://www.ithome.com.tw/news/179101">澳洲通訊局提醒企業在推動PQC轉型過程中，不僅需更換演算法，也面臨既有系統改造</a></strong></p> <p>澳洲通訊局（ASD）公布後量子密碼學（PQC）轉型系列第四階段建議，說明這段時期開始進行實際的系統調整。組織需根據先前完成的密碼學資產盤點、風險評估及轉型優先順序，開始規畫並導入抗量子密碼演算法。</p> <p><strong><a href="https://www.ithome.com.tw/news/178983">美國要求金融機構加強防範詐騙，並打擊支援東南亞詐騙中心的犯罪市集Xinbi</a></strong></p> <p>美國財政部金融犯罪執法網（FinCEN）近期要求金融機構提高警覺，加強偵測、辨識及通報與數位資產投資詐騙中心及相關非法所得洗錢活動有關的可疑交易。FinCEN指出，這類詐騙中心多由位於東南亞的跨國犯罪組織經營，背後還有網路犯罪與洗錢服務市集等地下犯罪生態系提供支援。美國政府也對支援東南亞詐騙中心的非法線上市集Xinbi Guarantee展開跨部門執法行動，美國財政部外國資產控制辦公室（OFAC）將其列入制裁名單。司法部查扣相關Telegram頻道及2個Xinbi收款錢包，合計約1,200萬美元。</p> <p><strong><a href="https://www.ithome.com.tw/news/179112">Google位置資料處理違反GDPR，遭愛爾蘭重罰4.03億歐元</a></strong></p> <p>使用者關閉Google位置記錄後，位置資料仍可能持續被蒐集，愛爾蘭資料保護委員會（DPC）調查發現，Google仍可能透過「網路和應用程式活動」等設定取得使用者位置資訊，且相關說明、法律依據及資料保存方式未符合GDPR要求，因此對Google開罰4.03億歐元，並要求6個月內完成改善。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">AI資安</strong></h1> <p><strong><a href="https://www.ithome.com.tw/news/179072">Google證實Gemini代理人也駭入外部公司網站</a></strong></p> <p>根據華爾街日報與路透社報導，Google Gemini在5月與Irregular合作進行的AI內部測試中，發生代理人逃出沙箱連到外部網站，曾在內部測試時駭入其他3家公司的內部網路，並登入系統，成為Google第一起公開的代理人行為偏差的事件，Google安全程式副總裁Heather Adkins證實此事。</p> <p><strong><a href="https://www.ithome.com.tw/news/179063">研究人員利用Claude開發漏洞利用程式，可操作OpenAI內部程式碼儲存庫</a></strong></p> <p>資安新創Hacktron近期揭露一項針對OpenAI的安全研究，研究人員利用Anthropic Claude協助開發漏洞利用程式，在不到72小時的研究過程中，先發現OpenAI社群論壇使用的圖片處理元件存在安全問題，該論壇處理使用者上傳的HEIC/HEIF圖片時，所使用的圖片解碼程式庫libheif存在堆積緩衝區溢位漏洞，接著研究人員透過Claude Opus 5開發出漏洞利用程式，進而控制多名OpenAI員工的ChatGPT帳號，最終取得存取OpenAI內部程式碼儲存庫的能力。</p> <p><strong><a href="https://www.ithome.com.tw/news/179006">西班牙爆發首起因AI代理人攻擊造成的個資外洩</a></strong></p> <p>西班牙資料保護管理局（AEPD）警示，有第三方行動者部署使用「知名語言模型」（LLM）的AI代理人對一家組織發動攻擊。這個代理人先在通用檔案中搜尋漏洞，之後代理取得系統存取權限後，進一步自主尋找應用程式漏洞，最終修改個人資料並存取發票，但西班牙政府並未說明發動攻擊的代理人源自哪個LLM。</p> <p><strong><a href="https://www.ithome.com.tw/news/179145">企業AI程式開發助手工作階段遭劫持，Shai-Hulud蠕蟲擴散至約百個內部程式碼儲存庫</a></strong></p> <p>Google旗下資安業者Mandiant揭露一起AI程式開發工具相關攻擊事件。攻擊者入侵一家未具名的軟體即服務（SaaS）業者後，劫持開發人員正在使用的AI程式開發助手工作階段。這起攻擊最終讓Shai-Hulud蠕蟲擴散至約100個內部程式碼儲存庫。</p> <p><strong><a href="https://www.ithome.com.tw/news/179020">勿盲目追逐頂尖AI模型，F5亞太技術長籲企業打好雲端原生基礎、聚焦控制與一致性</a></strong></p> <p>企業若要將AI小規模導入轉為正式運作，F5亞太地區、中國和日本首席技術長Mohan Veloo認為，企業須釐清責任歸屬、檢視模型治理及關注執行時期的能見度，因為資安考量也隨之改變，需檢視API與資料控制，並應確保企業專注於一次建好可共享的AI能力，所有企業都需要一個共通的控制層，用以處理模型路由、AI護欄、資料管控、效能評估、遠端監測，以及成本管理。</p> <p><strong><a href="https://www.ithome.com.tw/news/179162">Anthropic推出Claude Opus 5.5，AI越界行為減少85%</a></strong></p> <p>Anthropic推出新一代旗艦模型Claude Opus 5.5，在安全性測試中，試圖規避限制邊界的行為相較於Opus 5及Claude Mythos 5.1減少約85%。除此之外，Opus 5.5也改善沙箱逃逸、偏誤推理等行為，典型工作負載成本較Opus 5降低40%，輸出速度提高超過30%。</p> <p><strong><a href="https://www.ithome.com.tw/news/179012">OpenAI建立AI模型失準揭露機制，公布6起最新案例</a></strong></p> <p>面對過去半年發生的6起越界案例，OpenAI不再只是事後在技術報告中零星交代，而是正式建立專門的「模型失準（Misalignment）揭露機制」，並公開這些AI Agent的脫序行為——從擅自搜尋外洩金鑰、跨代理人密謀協作，到掩飾造假與違規外傳檔案。OpenAI表示，已陸續修補環境與工具邊界，並將失準監控擴大至所有訓練樣本，及早防堵模型越權與規避限制等異常行為。</p> <p><strong><a href="https://www.ithome.com.tw/news/179042">Hugging Face事件爆發前有跡象！SentinelOne揭露OpenAI代理人的未授權活動細節</a></strong></p> <p><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/0918-openai-sentinelone-960.jpg?itok=vvNi7M9-" style="width: 400px; float: right;" /></p> <p>Hugging Face遭攻擊事件揭露後，OpenAI調查結果顯示其兩個代理人利用這個線上平臺曝露的帳號憑證寫入檔案和部署代理伺服器(proxy) Spaces，SentinelOne本週公布報告指出，早在5月13日至5月26日，OpenAI的代理人已利用外洩憑證劫持Hugging Face的0Time與Nyx9帳號。</p> <p><strong><a href="https://www.ithome.com.tw/news/179125">攻擊手法BragJack透過惡意延伸套件挾持AI瀏覽器</a></strong></p> <p>資安公司Forever Security揭露新型態駭入系統的手法BragJack，攻擊者只需在目標瀏覽器安裝惡意延伸套件，就有機會挾持Chrome、Edge、Perplexity Comet、Opera Neon等瀏覽器，部分情況甚至不需要使用者點擊，相關漏洞目前已登錄為CVE-2026-0628與CVE-2026-55945。</p> <p><strong><a href="https://www.ithome.com.tw/news/179082">OpenAI Codex程式開發代理工具曝雙漏洞，唯讀模式也可越界執行命令</a></strong></p> <p>OpenAI Codex被揭露存在兩項沙箱逃逸漏洞。AI代理平臺業者Accomplish的資安研究人員指出，8月通報後OpenAI已完成修補，如今正式揭露漏洞細節。其中「Heapjack」漏洞能讓攻擊者在最嚴格的唯讀模式下竊取信任權杖，無須經使用者核准即可驅動主機端程式；另一項「Overpatch」漏洞則因權限判斷瑕疵，可突破工作區限制越界寫入惡意指令，兩者皆能讓攻擊者在沙箱外執行任意程式。</p> <p>■<strong><a href="https://www.ithome.com.tw/news/178903">Kiteworks併購Bonfy.AI，補強AI代理資料安全控管</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179057">AIUC募資4,000萬美元，安全稽核將從AI代理擴及頂尖AI模型</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179062">Comp AI募資3,400萬美元，從法規遵循自動化延伸至資安與AI代理安全</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><strong><a href="https://www.ithome.com.tw/news/179074">CISA將3個Linux核心漏洞列入KEV清單</a><span style="color: rgb(255, 0, 0);">【CVE-2025-39682、CVE-2026-53266、CVE-2025-39964】</span></strong></p> <p>美國網路安全與基礎設施安全局（CISA）9月18日接連發布兩份公告，將3個Linux核心漏洞列入已知遭利用漏洞清單（KEV），表示已有證據顯示這些漏洞遭到實際利用，要求聯邦機構在9月21日前完成修補。這3個漏洞分別是CVSS評分9.8分的CVE-2025-39682，CVSS評分8.8分的CVE-2026-53266，以及CVSS評分7.8分的CVE-2025-39964。</p> <p><strong><a href="https://www.ithome.com.tw/news/179011">Google修補已遭利用的Pixel漏洞</a><span style="color: rgb(255, 0, 0);">【CVE-2026-58704】</span></strong></p> <p>9月15日Google為旗下Pixel手機系統發布資安更新，套用最新的Android作業系統修補之餘，也修補110個屬於Pixel的資安漏洞，其中有63個為重大等級，46個為高風險等級，值得留意的是，該公司特別提及其中一個漏洞CVE-2026-58704，疑似被用於針對性攻擊，後續<a href="http://www.ithome.com.tw/news/179014">美國CISA也已將該漏洞列入KEV名單</a>。</p> <p><strong><a href="https://www.ithome.com.tw/news/179084">研究人員揭露4個Linux核心本機權限提升漏洞並公開PoC</a><span style="color: rgb(255, 0, 0);">【DirtyAH6、TUNderflow、PPPoEject、DiagSpill】</span></strong></p> <p>資安研究人員Asim Manizada揭露Linux核心的4個本機權限提升漏洞DirtyAH6、TUNderflow、PPPoEject及DiagSpill，均可讓低權限使用者取得root權限，CVSS評分皆為7.8。研究人員已於7月通報Linux核心團隊，修補程式陸續納入各主要Kernel分支，並於9月18日公開研究及PoC。</p> <p><strong><a href="https://www.ithome.com.tw/news/179123">Rambus推出支援Caliptra規範的CryptoManager信任根</a></strong></p> <p><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/cryptomanager.png?itok=1UlMuGCm" style="width: 400px; float: right;" /></p> <p>Rambus推出支援Caliptra規範的CryptoManager信任根，為資料中心及AI SoC提供硬體安全機制，整合安全開機、裝置身分、金鑰管理、韌體驗證與遠端驗證等功能，並支援傳統及後量子加密演算法，可應用於CPU、GPU、AI加速器、DPU及網路設備等。</p> <p><strong><a href="https://www.ithome.com.tw/news/179025">DDRop攻擊手法利用DDR5寫入漏洞，突破Intel TDX與AMD SEV-SNP機密運算防護</a></strong></p> <p>研究人員揭露DDRop攻擊手法，利用DDR5記憶體介面的設計弱點，攔截並丟棄寫入命令，使機密運算環境讀取過時資料，進而突破Intel TDX與AMD SEV-SNP的記憶體防護。研究團隊已在實際平臺驗證攻擊，但須具備伺服器實體存取與特權軟體執行能力，目前主要緩解方式仍是限制實體存取與強化硬體管理。</p> <p><strong><a href="https://www.ithome.com.tw/news/179099">Google推出AndroidX Security State程式庫，企業可掌握裝置實際修補情況</a></strong></p> <p>Android裝置的多個系統元件可分別透過不同機制取得安全更新，因此企業若只查看裝置顯示的安全性修補程式等級（Security Patch Level，SPL），不一定能完整掌握各元件的修補情況。Google近期推出AndroidX旗下Security State及Security State Provider程式庫的穩定版本，讓應用程式能進一步掌握裝置的修補狀態。</p> <p><strong><a href="https://www.ithome.com.tw/news/179013">Windows Server 2022將於10月結束主流支援，安全更新仍持續至2031年</a></strong></p> <p>Windows Server 2022將於10月13日結束主流支援，進入延伸支援，屆時仍可免費取得安全性更新至2031年10月14日，但不再提供新功能及非資安更新，企業可開始規畫升級至Windows Server 2025。</p> <p><strong><a href="https://www.ithome.com.tw/news/179077">群暉修補DSM作業系統8個漏洞，含兩個可能導致服務阻斷攻擊的重大漏洞</a></strong></p> <p>國產儲存設備廠商群暉（Synology）於9月18日發布旗下NAS產品的DSM作業系統更新，修補8個漏洞，包括兩個可能導致服務阻斷、任意讀寫檔案的重大漏洞，影響DSM 7.2.1、7.2.2、7.3與7.4等版本，用戶應依使用版本升級至已完成修補的版本。</p> <p>■<strong><a href="https://www.ithome.com.tw/news/179050">Docker沙箱環境存在重大漏洞，攻擊者可趁機讀取及竄改macOS主機檔案</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179045">Parallels Desktop存在漏洞ParaShells，取得本機帳號的攻擊者能以root執行程式碼</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179155">Google發布Chrome 154，修補108個漏洞</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179041">Google發布Chrome 153更新，修補16個資安漏洞</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179051">任天堂修補Switch高風險弱點，鄰近的攻擊者可透過QR Code執行程式碼</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">資安維運</strong></h1> <p><strong><a href="https://www.ithome.com.tw/news/179046">CISA發布首份網路誘餌實務指南，協助關鍵基礎設施及早偵測已入侵攻擊者</a></strong></p> <p><a href="/sites/default/files/images/CISA發布首份網路誘餌實務指南.jpg"><img alt="" src="/sites/default/files/images/CISA%E7%99%BC%E5%B8%83%E9%A6%96%E4%BB%BD%E7%B6%B2%E8%B7%AF%E8%AA%98%E9%A4%8C%E5%AF%A6%E5%8B%99%E6%8C%87%E5%8D%97.jpg" style="width: 400px; float: right;" /></a>美國CISA發布「使用網路誘餌強化偵測與應變能力」的指南，說明在主動防禦策略中導入假帳號、假憑證、誘餌檔案及Honeytoken等欺敵策略，有助於關鍵基礎設施及早偵測潛伏在環境中的攻擊者。該指南涵蓋誘餌類型、規畫架構到成效評估的具體做法，並結合MITRE Engage與ATT&CK框架，引導組織對照攻擊者行為與戰術目標，有系統地部署誘敵機制。</p> <p><strong><a href="https://www.ithome.com.tw/news/179091">排除使郵件呈現看似正常的新型內容混淆手法，網擎郵件安全閘道新增隱形字元偵測功能</a></strong></p> <p>9月初微軟發布警示，呼籲各界注意ASCII走私（ASCII Smuggling），因這類手法如今擴展至網路釣魚郵件，兩週後，網擎資訊發布消息，呼應這樣的網路威脅趨勢，並宣布旗下的郵件安全防護系統MailGates支援ASCII走私偵測，透過近期發布的6.2.11.062版軟體，助企業自動辨識並處理信件中的隱形Unicode字元，排除隱形字元造成的內容混淆。</p> <p><strong><a href="https://www.ithome.com.tw/news/179176">思科開源CAIRN工具，透過AI使用痕跡追蹤新型惡意程式</a></strong></p> <p><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/0923-cisco-cairn-960.jpg?itok=3liiZqVO" style="width: 400px; float: right;" /></p> <p>思科Talos宣布開源AI惡意程式研究工具CAIRN，其特色是採「中繼資料優先」架構，利用VirusTotal的檔案資訊、字串及沙箱行為紀錄，找出疑似AI整合型惡意程式，並透過樣本關聯追蹤惡意程式家族與攻擊活動。CAIRN目前另提供最多24種篩選條件，結合YARA規則、語意分群及關聯圖譜分析；但最終判定仍須經逆向工程驗證。</p> <p><strong><a href="https://www.ithome.com.tw/news/179019">Google提出雲端事故處理建議，即便服務狀態頁面顯示正常，企業仍需自行排查</a></strong></p> <p>企業上雲比例節節高升，雲端服務的運作狀態往往也會影響企業IT運作，近期Google Cloud提出雲端可靠性事故處理建議，提醒企業不能只依賴雲端業者提供的服務狀態資訊，平時就應建立監控與事故應變機制，以便在雲端服務發生異常時自行排查問題並採取應變措施。</p> <p><strong><a href="https://www.ithome.com.tw/news/179039">Cloudflare揭露4波惡意JavaScript攻擊，依環境條件啟動提高偵測難度</a></strong></p> <p>網路服務暨資安業者Cloudflare近期揭露4波惡意JavaScript攻擊活動，共涉及8個惡意酬載。Cloudflare後續透過VirusTotal及URLScan等安全掃描服務檢視這些攻擊活動，發現其中7個酬載未出現在VirusTotal，URLScan也未將8個酬載中的任何一個判定為惡意。這些惡意JavaScript會依不同攻擊活動設定不同的啟動條件，其中一波還會避開企業網路或VPN連線等特定網路環境，並移除New Relic、Hotjar及Microsoft Clarity等網站監控與分析工具的相關指令碼。由於惡意功能不會對所有訪客啟動，掃描時若未觸發攻擊條件，就可能無法發現實際的惡意行為。</p> <p><strong><a href="https://www.ithome.com.tw/news/179147">攻擊者利用假冒LastPass驗證器散布竊資程式Rapuncel，濫用微軟簽署驅動程式關閉防毒軟體</a></strong></p> <p>LastPass與Delphos Labs發現GitHub出現假冒LastPass Authenticator的惡意安裝程式，攻擊者利用SEO誘騙Windows使用者下載，再透過DLL側載及微軟簽署的易受攻擊驅動程式關閉防毒與EDR，並部署Rapuncel資訊竊取程式，竊取瀏覽器密碼、加密貨幣錢包及應用程式工作階段等資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/178945">駭客濫用Google Docs發動ClickFix攻擊，同時鎖定Windows與macOS</a></strong></p> <p>攻擊者利用Google Docs引導使用者執行ClickFix操作，將Google文件變成惡意程式感染流程的一環。資安業者Huntress近日揭露一起針對資安研究人員的攻擊活動。攻擊者假冒加密貨幣媒體CoinDesk行銷主管，透過X接觸資安研究人員並傳送惡意Google Docs文件；文件會利用Google Apps Script建立側邊欄，先要求使用者輸入所謂的加密金鑰，再顯示解密失敗訊息，引導使用者執行命令或下載所謂的更新程式，進一步在Windows或macOS電腦植入惡意程式。</p> <p><strong><a href="https://www.ithome.com.tw/news/179150">Check Point、F5、Arista應用系統漏洞遭積極利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-85102、CVE-2026-93616、CVE-2026-93952、CVE-2026-94127】</span></strong></p> <p>美國網路安全與基礎設施安全局已遭利用的漏洞名單（KEV）新增4個漏洞，分別是：影響Check Point多個產品的CVE-2026-85102與CVE-2026-93616，以及影響Arista VeloCloud Orchestrator的CVE-2026-93952、以及影響F5 BIG-IP APM的CVE-2026-94127，須在9月25日前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/179104"><strong>美國CISA警告兆勤交換器高風險漏洞遭積極利用</strong></a><span style="color: rgb(255, 0, 0);"><strong>【CVE-2026-7273】</strong></span></p> <p>美國網路安全與基礎設施安全局（CISA）9月21日更新已遭利用的漏洞名單（KEV），列入兆勤（Zyxel）GS1900交換器高風險漏洞CVE-2026-7273，CVSS嚴重程度評分為8.8，兆勤已於今年6月中旬發布新版韌體修補，聯邦機構需在9月24日前完成修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/179034">資安業者揭露北韓駭客組織Lazarus區分六大群組展開攻擊活動</a></strong></p> <p>資安業者Sekoia揭露，過去統稱為Lazarus的北韓駭客活動，可依攻擊手法與任務拆分為6個子群，分別側重網路間諜、金融犯罪、加密貨幣竊盜及假IT人員滲透等活動，目標涵蓋政府、國防、金融、科技與加密貨幣產業。研究顯示北韓已形成分工的網路攻擊能力。</p> <p><strong><a href="https://www.ithome.com.tw/news/179132">印度IT供應商遭後門程式FlatRoof、RoofDeck入侵，疑為北韓駭客Jade Sleet所為</a></strong></p> <p>北韓駭客組織Jade Sleet對DevOps工程師發動攻擊，根據資安公司SentinelOne對印度IT服務廠商遭駭事故的調查，駭客透過假求職面試與武器化Terraform專案誘導開發人員執行惡意程式，然後在其MacBook植入macOS後門程式FlatRoof、RoofDeck，竊取雲端憑證、原始碼及瀏覽器資料，藉此入侵該廠商環境。</p> <p>■<strong><a href="https://www.ithome.com.tw/news/179080">北韓駭客組織WaterPlum利用假冒求職感染全球至少3萬臺裝置，竊取千萬美元加密貨幣</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179174">納米比亞國防單位遭入侵，Nam-CSIRT證實與RansomHouse有關</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179073">ShinyHunters駭入勒索軟體Clop網站</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">應用程式安全</strong></h1> <p><strong><a href="https://www.ithome.com.tw/news/179107">中國駭客Red Heron利用Gitea重大漏洞攻擊臺灣，工業自動化業者遭竊數百個程式碼儲存庫</a></strong></p> <p>日前資安公司Acronis揭露Gitea重大漏洞CVE-2026-60004的利用活動，並確認臺灣、加拿大、阿根廷、美國及斯里蘭卡均有組織遭到中國駭客Red Heron入侵，值得關注的是，臺灣不僅是這波攻擊鎖定的重點之一，其中一家工業自動化業者更有數百個程式碼儲存庫遭到竊取，是研究人員發現遭竊資料量最大的受害案例；另一家臺灣工業自動化業者則遭攻擊者自Gitea環境進一步橫向移動至Proxmox虛擬化環境，被研究人員形容為整起行動中滲透最深入的橫向移動案例。</p> <p><a href="https://www.ithome.com.tw/news/179201"><strong>WordPress路徑遍歷漏洞揭露當天即出現嘗試利用活動</strong></a><span style="color: rgb(255, 0, 0);"><strong>【CVE-2026-87902】</strong></span></p> <p>9月22日<a href="https://www.ithome.com.tw/news/179196">WordPress發布的7.1.2版甫修補重大層級的路徑遍歷漏洞</a>，資安公司Patchstack當天就已發現嘗試利用這個漏洞的活動，當時的攻擊流量主要是用於偵察，攻擊者主要目的是確認網站是否存在漏洞；截至9月23日，攻擊流量已較第一波增加逾10倍，並進一步出現寫入PHP檔案及執行命令的攻擊行為。</p> <p><strong><a href="https://www.ithome.com.tw/news/179144">工作流程編排平臺Orkes Conductor重大漏洞遭積極利用，一天之內出現近8,000次活動</a><span style="color: rgb(255, 0, 0);">【CVE-2026-58138】</span></strong></p> <p>工作流程編排平臺Orkes Conductor正持續遭遇大規模攻擊，資安廠商Fortinet對此於9月上半月兩度提出警告，例如，9月9日該公司曾表示，其防火牆的防入侵偵測系統（IPS）一週內已封鎖6,696次嘗試利用活動，當天多達1,290次，9月15日再度發布新的警訊，到了9月21日，Fortinet的IPS系統在24小時內已封鎖約7,900次攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/179087">新HTTP QUERY方法逐步進入既有Web生態系，SANS ISC提醒安全控制需重新檢視</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_bietfyu_2026nian_6yue_fa_bu_rfc_10008zheng_shi_ding_yi_xin_de_http_queryfang_fa_.jpg?itok=qUGiuHUa"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_bietfyu_2026nian_6yue_fa_bu_rfc_10008zheng_shi_ding_yi_xin_de_http_queryfang_fa_.jpg?itok=qUGiuHUa" style="width: 400px; float: right;" /></a></p> <p>HTTP新方法QUERY今年6月正式納入標準，補足過去GET與POST在複雜查詢情境下的使用落差。不過，SANS網路風暴中心（ISC）提醒，隨著部分Web元件開始支援QUERY，WAF、API Gateway、CSRF防護及快取等既有安全控制，也需要確認是否跟上這項新標準，並能正確處理QUERY，避免既有檢查規則未完整套用，形成新的防護落差。</p> <p><strong><a href="https://www.ithome.com.tw/news/179114">WordPress漏洞Click2Shell可被用於強制安裝佈景主題，若不處理恐被串連導致程式碼執行</a></strong></p> <p>尚未登記CVE編號的資安漏洞Click2Shell是WordPress佈景主題預覽注入弱點，可被串連用於遠端程式碼執行（RCE）攻擊。資安公司Pwn.ai通報該弱點後，WordPress開發團隊於9月17日發布7.1.1版修補，並支付300美元的抓漏獎勵。</p> <p><strong><a href="https://www.ithome.com.tw/news/179167">WordPress存在資安漏洞Comment2Shell，攻擊者可經由匿名留言發動遠端執行程式碼攻擊</a></strong></p> <p>9月17日內容管理平臺WordPress發布7.1.1版，共修補11個資安弱點，其中一個是資安公司Pwn.ai揭露的重大漏洞Click2Shell，另一個引發關注的漏洞，是由資安研究員Rafie Muhammad通報的Comment2Shell（CVE-2026-93485），駭客可藉此透過匿名的特製留言，發動遠端程式碼執行（RCE）攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/179086">npm惡意套件避開GitHub安裝指令碼防護，改於執行時期發動攻擊</a></strong></p> <p>Checkmarx揭露10個惡意npm套件，累計獲數百萬次下載，其中indexed-btree偽裝成熱門函式庫，將惡意程式碼藏入套件功能，未使用傳統install-script，因此避開npm v12的安裝指令碼防護，改在應用程式執行特定功能時發動攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/179141">Rust熱門套件維護者遭鎖定，假工作邀約搭配視訊通話成駭客入侵管道</a></strong></p> <p>Rust安全應變工作小組與crates.io團隊示警，指出Rust專案成員與熱門套件擁有者近期接連遭到駭客鎖定，成為社交工程攻擊的目標，攻擊者先以工作、專案或合約合作名義接觸，再安排視訊通話，誘使受害者安裝惡意軟體或執行指令，目前尚無法確定6月、8月與9月事件是否屬於同一波攻擊。</p> <p>■<strong><a href="https://www.ithome.com.tw/news/179163">IBM MQ修補兩個重大漏洞，包含可能導致遠端執行任意程式碼的CVSS滿分漏洞</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179153">60萬個網站採用的WordPress行事曆外掛曝兩項重大RCE漏洞</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179030">Oracle發布Java 27，強化TLS 1.3後量子密碼學支援</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179175">Node.js 26.10增強函式呼叫控制，補上PKCS#12憑證解析</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">IoT/OT安全</strong></h1> <p><strong><a href="https://www.ithome.com.tw/news/179109">科羅拉多州供水企業遭駭，攻擊者直接干擾OT系統</a></strong></p> <p>美國科羅拉多州兩家私人供水企業8月底遭外國攻擊者入侵，攻擊者修改設備設定、停用遠端存取與警報，並改變抽水週期，所幸未造成供水服務或公共安全問題。這起事件也延續7月以來美國供水及污水處理業者遭攻擊的趨勢，凸顯供水系統OT設備成為駭客攻擊目標。</p> <p><strong><a href="https://www.ithome.com.tw/news/179156">CISA針對西門子SIPLUS與SIMATIC產品漏洞發出ICS公告</a></strong></p> <p>CISA發布ICS安全公告，警告西門子SIPLUS與SIMATIC系列部分產品有資安風險，原因是這些設備可能受到Linux核心Copy Fail漏洞CVE-2026-31431的影響，該漏洞CVSS評分7.8，可能讓本機低權限攻擊者取得root權限，西門子已提供修補版本，建議用戶儘速更新。</p> <p><strong><a href="https://www.ithome.com.tw/news/179122">工控資安公司Dragos買下NetRise與runZero，打造xOT資安平臺</a></strong></p> <p>OT與工業控制系統資安廠商Dragos近期完成對runZero與NetRise的併購，建立延伸營運技術（xOT）資安能力。runZero主要提供曝險管理能力，NetRise可協助找出裝置潛藏的漏洞，讓企業掌握執行於OT裝置的軟體。Dragos將結合兩家公司與6月買下的Phosphorus，建立涵蓋資產盤點、風險識別、軟體分析與修復的xOT資安平臺。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">資料安全</strong></h1> <p><strong><a href="https://www.ithome.com.tw/news/179018">因中東戰事受創的AWS巴林與阿聯資料中心，部分資料確認無法復原</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/aws_uae.png?itok=BhAVSDbt"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/aws_uae.png?itok=BhAVSDbt" style="width: 400px; float: right;" /></a></p> <p>AWS證實，中東戰事造成巴林服務區域的多個可用區受損，部分資料與資源已無法復原；阿拉伯聯合大公國一個可用區也確定無法恢復，但另兩個可用區仍在搶修。事件凸顯即使AWS也有可用性極限，多可用區（Multi-AZ）架構仍無法完全抵禦大範圍災害。</p> <p><strong><a href="https://www.ithome.com.tw/news/178970">CenterPoint Energy證實客戶資料外洩，攻擊者宣稱取得749萬筆紀錄</a></strong></p> <p>在美國4州提供能源服務、客戶數約700萬的公用事業業者CenterPoint Energy證實發生資安事件，未經授權的第三方經由其一套對外系統擷取部分客戶的個人資訊。CenterPoint Energy已找來第三方資安專家調查，並在9月14日向美國證券交易委員會（SEC）提交文件，但目前仍未公布受影響客戶範圍、遭擷取的資料種類及具體攻擊手法，僅表示電力及天然氣服務未受影響。</p> <p><strong><a href="https://www.ithome.com.tw/news/179110">資安公司CrowdSec坦承原始碼遭竊，疑與TanStack供應鏈攻擊有關</a></strong></p> <p>資安廠商CrowdSec坦承其使用的GitHub儲存庫5月發生原始碼外洩，涵蓋約300個GitHub儲存庫，當中有超過130個是公開儲存庫，其餘的私有儲存庫內含SaaS主控臺原始碼、部分AWS Cloud執行環境，以及連接器與自動化工具，原因可能與TanStack供應鏈攻擊事故有關。該公司強調，這起事故僅影響內部，無客戶資料、帳密、使用者名稱等個資外流。</p> <p><strong><a href="https://www.ithome.com.tw/news/179103">萬達寵物客戶傳出個資外洩</a></strong></p> <p>9月19日上櫃寵物零售公司萬達寵物（6968）發布資安重大訊息，該公司接獲客戶反映，疑似有第三人取得消費資料並透過電子郵件聯繫，初步研判可能涉及個資外洩，對此該公司已針對相關系統進行資料保存，並著手調查。值得留意的是，萬達寵物曾於7月底發布資安重訊，透露合作廠商資訊系統遭入侵，導致疑似發生部分資料外洩的情形，兩起事故是否有所關連，有待該公司進一步說明。</p> <p><strong><a href="https://www.ithome.com.tw/news/179116">互動教學平臺Mathspace遭駭，逾107萬人個資外洩</a></strong></p> <p>數學教學平臺Mathspace遭駭，逾107萬名澳洲與紐西蘭學生、家長及教職員個資外洩。攻擊者利用未修補的Metabase漏洞入侵內部報表系統，取得姓名、電子郵件及帳號資訊。Mathspace已將受駭系統下線並撤銷相關憑證，但目前尚未發現外洩資料遭公開或濫用。</p> <p><strong><a href="https://www.ithome.com.tw/news/179164">ShinyHunters傳駭入FBI，宣稱竊取探員個資及應徵者資料</a></strong></p> <p>駭客組織ShinyHunters在暗網網站上宣稱駭入美國聯邦調查局（FBI）網站，ShinyHunters聲稱其動機是不滿FBI於5月警告，當局表示ShinyHunters攻擊線上學習管理系統，擾亂教育機構和學生服務、竊取隱私資訊，用以製作精準釣魚內容。ShinyHunters為此要求FBI撤下「不實指控」，並聲稱手上有數TB與FBI探員相關的資訊。後續，<a href="http://www.ithome.com.tw/news/179192">FBI證實已知悉FBIjobs.gov遭未授權活動的相關聲言並展開調查</a>。</p> <p>■<strong><a href="https://www.ithome.com.tw/news/179159">MongoDB修補14個漏洞，包含可能導致刪除資料與破壞記憶體的重大漏洞</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/179168">兩年前失竊的320萬筆俄國漢堡王客戶資料流入網路</a></strong></p> <p> </p> <p> </p> </div></div></div>
9/24 17:26羅正漢https://www.ithome.com.tw/news/179217
【資安日報】9月24日，OpenAI代理人也駭進澳洲政府網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/node/179213#AU">OpenAI代理人也駭進澳洲政府網站</a><br /> ● <a href="https://www.ithome.com.tw/node/179213#FBI">路透社揭露ShinyHunters竊得FBI資料，包含負責中俄情報人員個資</a><br /> ● <a href="https://www.ithome.com.tw/node/179213#Brevo">行銷平臺Brevo Cloudflare API金鑰遭竊，客戶網站被注入惡意程式</a><br /> ● <a href="https://www.ithome.com.tw/node/179213#CP">Check Point警告兩個重大漏洞遭積極利用</a><br /> ● <a href="https://www.ithome.com.tw/node/179213#WP">WordPress發布7.1.2版，修補重大層級的路徑遍歷漏洞</a> <a id="AU" name="AU"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/179208"><span style="font-size: 22px;"><strong>OpenAI代理人也駭進澳洲政府網站</strong></span></a></p> <p>澳洲總理Anthony Albanese於9月24日在紐約出席聯合國大會期間召開記者會，揭露OpenAI旗下AI代理人於6月18日未經授權進入澳洲政府醫療服務網站Medicare，繞過網站安全限制，存取公開及非公開資料，甚至在內部伺服器寫入檔案。Albanese已親自致電OpenAI執行長Sam Altman表達嚴重關切，並宣布成立專案小組調查事件。據Albanese說明，OpenAI研究團隊於6月18日利用內部模型，上網研究公開的藥品支出資訊。AI代理人在查詢Medicare Statistics Reporting Service時反覆遭到阻擋，卻自行尋找其他取得資訊的方法，最終繞過網站限制。OpenAI直到9月10日才通知澳洲政府，距事件發生已近3個月，而且只是將電子郵件寄至Services Australia的公開信箱。Services Australia於9月15日將事件通報澳洲網路安全中心，Albanese及其辦公室則直到該週的週末才獲悉。Albanese批評OpenAI通報太晚，通報方式也令人無法接受。Altman在雙方通話時承認，公司相關程序未達應有標準。<a href="https://www.ithome.com.tw/news/179208">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179192"><span style="font-size: 22px;"><strong>駭客聲稱竊得大量FBI員工個資，FBI回應正在調查</strong></span></a></p> <p>9月22日駭客組織ShinyHunters在暗網網站上宣稱入侵美國FBI網站，竊得包含幾乎所有探員及應徵者個資的數TB資料。FBI於數小時後向路透社、CNN、CBC等媒體發表聲明，表示已知悉關於FBIjobs.gov網站涉及未授權活動的聲稱，目前正在進行調查。路透社在報導中指出，FBI的招聘網站（FBIjobs.gov）與特別探員申請人入口網站（Special Agent Applicant Portal），在9月22日確實曾出現暫時無法存取的訊息。路透社取得駭客提供的竊得資料樣本後進行查證，發現至少10筆資料似乎與真實人物吻合，但無法確認這些個資的來源如ShinyHunters所稱，是從FBI內部系統竊得。<a href="https://www.ithome.com.tw/news/179192">詳全文</a> <a id="FBI" name="FBI"></a></p> <p><a href="https://www.ithome.com.tw/news/179206"><span style="font-size: 22px;"><strong>外界關注ShinyHunters竊得FBI資料，路透社最新揭露其中包含負責中俄情報業務的機密人員個資</strong></span></a></p> <p>駭客組織ShinyHunters入侵FBI竊取個資事件持續發酵，路透社9月23日報導指出，ShinyHunters聲稱竊得的FBI資料中，包含部分敏感情報任務的人員資訊。路透社檢視一份含有約5,000筆資料的外洩樣本試算表後發現，其中不僅有FBI員工的姓名、住址、電話、出生日期、社會安全號碼及緊急聯絡人等個資，也包含人員所屬辦公室及工作單位，並涉及敏感的情報業務部門，例如針對中國、俄羅斯、伊朗、真主黨、販毒集團的情報單位，以及網路、電信監控與人力情報收集單位的人員個資。ShinyHunters稱前述樣本資料，僅是其宣稱竊得2至3TB資料的一小部分。<a href="https://www.ithome.com.tw/news/179206">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179169"><span style="font-size: 22px;"><strong>義大利政府信箱遭盜用，駭客成功冒充地方政府機關向Revolut索取客戶資料</strong></span></a></p> <p>英國金融科技業者Revolut近日發生一起客戶資料外洩事件，攻擊者並非直接入侵Revolut系統，而是先盜用義大利政府的認證電子郵件（PEC）帳號，再冒充政府機關向Revolut提出客戶資料調閱要求。義大利政府目前已確認，雷焦卡拉布里亞省長公署（Prefettura di Reggio Calabria）的PEC電子郵件信箱遭到入侵，Revolut也確認共有680名Revolut客戶資料被提供給未經授權者。這起事件最早由TechCrunch於9月12日揭露，Revolut證實發生資料外洩事件，原因是未經授權的第三方利用合法政府機關網域的電子郵件信箱，向Revolut提出偽造的客戶資料調閱要求，導致其在誤認為合法政府要求的情況下，不慎提供部分客戶資料。該公司在發現異常後，已通報相關政府機構，並表示Revolut自身系統和客戶資金均不受影響。<a href="https://www.ithome.com.tw/news/179169">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179174"><span style="font-size: 22px;"><strong>納米比亞國防單位遭入侵，Nam-CSIRT證實與RansomHouse有關</strong></span></a></p> <p>位於非洲西南部的納米比亞（Namibia）傳出國防部門遭駭，由於受害對象涉及國家國防體系，事件也引發外界關注。當地媒體The Namibian於9月18日報導，勒索軟體組織RansomHouse已在暗網將納米比亞國防暨退伍軍人事務部列為受害者，並揚言公開從該部取得的資料。隔日該媒體進一步指出，納米比亞國家資安事件應變小組（Nam-CSIRT）已證實，該單位電腦網路出現未授權活動，經分析受影響的系統後，研判攻擊與RansomHouse有關，正與國防暨退伍軍人事務部合作調查事件、提供技術支援並復原受影響系統，同時檢討此次事件並強化該部的資安防護。<a href="https://www.ithome.com.tw/news/179174">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179205"><span style="font-size: 22px;"><strong>駭客用3套AI工具大規模攻擊電商，竊取超過60萬筆信用卡資料</strong></span></a></p> <p><a href="/sites/default/files/images/Crian.png" target="_blank"><img alt="" src="/sites/default/files/images/Crian.png" style="width: 300px; float: right;" /></a>資安業者Gambit Security揭露一波利用AI代理發動的大規模網路攻擊，攻擊者使用3套開源AI工具鎖定線上零售商，攻擊活動從7月延續至今，Gambit Security發布報告時表示活動仍在進行。光是9月10日至15日就啟動105個攻擊專案，至少27家公司遭入侵，攻擊者還從兩家受害企業竊取超過60萬筆尚未到期的信用卡資料，並在多個電商網站植入信用卡資料竊取程式。攻擊使用Strix、Cairn與Hermes分工，Strix負責尋找漏洞，Cairn接收目標網域，以及取得伺服器控制權、管理員權限等任務，再測試可行的攻擊方法，Hermes則負責安排攻擊工作與後續操作。人類操作者多半只輸入簡短簡體中文指令，漏洞探測、入侵、提升權限與存取資料等工作交由AI工具執行。<a href="https://www.ithome.com.tw/news/179205">詳全文</a> <a id="Brevo" name="Brevo"></a></p> <p><a href="https://www.ithome.com.tw/news/179189"><span style="font-size: 22px;"><strong>行銷平臺Brevo高權限Cloudflare API金鑰遭竊，客戶網站被注入ClickFix惡意程式</strong></span></a></p> <p><a href="/sites/default/files/images/brevo_supply_chain_attack.png" target="_blank"><img alt="" src="/sites/default/files/images/brevo_supply_chain_attack.png" style="width: 300px; float: right; height: 150px;" /></a> 電子郵件行銷平臺Brevo發生供應鏈攻擊，攻擊者取得可控制Brevo Cloudflare帳號的API金鑰，在Cloudflare傳送網頁內容給訪客的過程中插入惡意JavaScript程式碼。使用Brevo表單、聊天元件等服務的客戶網站也受到影響，訪客可能看到ClickFix假驗證頁面，已登入WordPress管理員帳號的訪客還可能遭安裝攻擊者提供的外掛。Brevo記錄的整體影響時間約5個半小時。Brevo調查發現，遭竊的API金鑰為長效期，而且具有Cloudflare帳號的完整權限，金鑰還直接寫在應用程式原始碼。攻擊者取得金鑰後，可以新增網路設定及修改網站回傳內容。受影響範圍包括Brevo網站、Brevo提供的網頁表單，以及客戶可嵌入網站的聊天元件和SDK載入程式。<a href="https://www.ithome.com.tw/news/179189">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179166"><span style="font-size: 22px;"><strong>TeamPCP供應鏈攻擊內幕曝光，Google研究人員曾臥底核心群組</strong></span></a></p> <p>Google旗下資安業者Mandiant研究人員曾以臥底身分進入駭客組織TeamPCP的核心群組，掌握該組織的攻擊動向，Google據此通知相關服務供應商及受害組織，並聯絡服務供應商撤銷遭竊憑證，降低攻擊者繼續利用這些憑證的風險。這名研究人員以臥底身分與一名駭客建立聯繫，經過數月取得對方信任。該駭客後來獲邀加入TeamPCP，研究人員也因此在今年3月進入TeamPCP的核心聊天群組CanisterWorm。臥底期間，Google還發現TeamPCP核心成員利用AI協助開發零時差漏洞利用程式，鎖定一款廣泛使用的開源Web系統管理工具。Google先前以UNC6780追蹤TeamPCP。Google威脅情報小組（GTIG）的分析顯示，該組織自今年3月起接連發動大規模開源軟體供應鏈攻擊，鎖定PyPI、NPM及Docker Hub等生態系，也透過提示詞注入誘導AI程式開發助手執行惡意命令或指令碼。<a href="https://www.ithome.com.tw/news/179166">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179194"><span style="font-size: 22px;"><strong>健身服務公司柏文對外服務系統遭到自動化攻擊</strong></span></a></p> <p>9月23日上市健身服務公司柏文（8462）於股市公開資訊觀測站發布重大訊息，系統委外廠商通知該公司的對外服務系統遭自動化攻擊，駭客試圖對客戶資料表進行分頁擷取，其中部分涉及柏文員工與會員個資。該公司獲報後已啟動處理流程，並通報相關主管機關，根據初步評估，對公司營運無重大影響。<a href="https://www.ithome.com.tw/news/179194">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179168"><span style="font-size: 22px;"><strong>兩年前失竊的320萬筆俄國漢堡王客戶資料流入網路</strong></span></a></p> <p>涉及約320萬筆不重複電子郵件地址的俄國漢堡王（Burger King Russia）客戶資料近日可能流入網上。Have I Been Pwned本週將這家速食業者的數百萬筆俄國顧客資料加入外洩資料庫。外洩的個人資訊包括名字、出生日期、電子郵件信箱、性別、地理區域及電話號碼等。這批資料出自2024年8月Mindbox行銷自動化平臺的攻擊事件，該起攻擊導致其企業客戶大量敏感資料外洩，其中最著名的受害者為俄羅斯漢堡王（Burger King Russia）。同年10月俄國漢堡王證實客戶資料可能受到影響，但該公司表示外洩的資料不包括財務資料，因為Mindbox並不存取支付資訊及護照號碼。<a href="https://www.ithome.com.tw/news/179168">詳全文</a> <a id="CP" name="CP"></a></p> <p><a href="https://www.ithome.com.tw/news/179183"><span style="font-size: 22px;"><strong>Check Point警告兩個重大漏洞遭積極利用</strong></span></a></p> <p>美國網路安全與基礎設施安全局（CISA）於9月22日表示，已掌握4個重大漏洞遭積極利用的情況，其中有兩個漏洞CVE-2026-85102、CVE-2026-93616存在於Check Point系統，因此受到關注。同一天Check Point發布警訊，表示兩個漏洞被用於不同的攻擊活動，呼籲客戶根據指引採取行動。其中零時差漏洞CVE-2026-93616的利用活動發生時間較早，Check Point觀察到在7月23日出現少數的精準攻擊事件；另一個漏洞CVE-2026-85102遭到利用的情況，是發生在該公司發布修補程式之後，Check Point從9月12日開始，看到針對Spark用戶的漏洞利用嘗試。<a href="https://www.ithome.com.tw/news/179183">詳全文</a> <a id="WP" name="WP"></a></p> <p><a href="https://www.ithome.com.tw/news/179196"><span style="font-size: 22px;"><strong>WordPress發布7.1.2版，修補重大層級的路徑遍歷漏洞</strong></span></a></p> <p>9月22日WordPress開發團隊發布安全性更新7.1.2版，修補一個嚴重程度達到重大等級的路徑遍歷弱點，在特定條件下，未經身分驗證的攻擊者可讓網頁範本解析位於本機的PHP檔案，該檔案存放於已啟用的佈景主題資料夾外部，而且能夠被讀取，攻擊者就能透過伺服器環境與啟用的佈景主題，遠端執行任意程式碼（RCE），該弱點由資安研究員Robert Ressl通報，並登記為CVE-2026-87902列管，CVSS v4.0嚴重程度評為9.2分，開發團隊呼籲網站管理員應立即套用更新。<a href="https://www.ithome.com.tw/news/179196">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179201"><span style="font-size: 22px;"><strong>WordPress路徑遍歷漏洞揭露當天即出現嘗試利用活動</strong></span></a></p> <p>9月22日WordPress開發團隊發布7.1.2版，修補重大等級的路徑遍歷漏洞CVE-2026-87902，通報漏洞的資安研究員Robert Ressl也公布細節與概念驗證程式碼（PoC）。然而，就在該漏洞揭露及修補程式發布後的幾個小時內，就出現嘗試利用的情況。資安公司Patchstack警告，他們在世界協調時間（UTC）9月22日11時49分首度發現嘗試利用的活動，當時的攻擊流量主要是用於偵察，主要目的是確認網站是否存在漏洞；截至9月23日，攻擊流量已較第一波增加逾10倍，並進一步出現寫入PHP檔案及執行命令的攻擊行為。<a href="https://www.ithome.com.tw/news/179201">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179167"><span style="font-size: 22px;"><strong>WordPress存在資安漏洞Comment2Shell，攻擊者可經由匿名留言發動遠端執行程式碼攻擊</strong></span></a></p> <p>9月17日內容管理平臺WordPress發布7.1.1版，一共修補11個資安弱點，其中一個是資安公司Pwn.ai揭露尚未取得CVE編號的重大漏洞Click2Shell，當中還有另一個引發關注的漏洞是由資安研究員Rafie Muhammad通報。Muhammad指出，他在9月上旬向WordPress通報資安漏洞Comment2Shell（CVE-2026-93485），此為零點擊弱點，攻擊者可透過匿名的特製留言，在未通過身分驗證的狀態下，在特定的區塊或佈景主題的呈現過程，使用即時的JavaScript事件處理程式，把良性的HTML轉換成惡意的HTML內容，進而將跨網站指令碼（XSS）轉變成遠端程式碼執行（RCE）攻擊，CVSS嚴重程度評為7.1分。<a href="https://www.ithome.com.tw/news/179167">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179202"><span style="font-size: 22px;"><strong>D-Link警告路由器DIR-822A存在近乎滿分的零時差漏洞</strong></span></a></p> <p>9月18日臺灣網通設備廠商D-Link發布資安公告，揭露兩個嚴重程度接近滿分的零時差漏洞。該公司先獲報路由器DIR-822A重大漏洞CVE-2026-86296，此為記憶體堆積緩衝區溢位類型的弱點，存在於udhcpcd元件，攻擊者不僅能遠端利用，且無須通過身分驗證，利用過程完全不需使用者互動，CVSS v3.1與v4.0嚴重程度評分皆達到滿分10分，而且網路上已有公開的概念驗證程式碼（PoC）。該公司正著手調查，在完成調查前，用戶應避免在非必要的情況下，將路由器直接暴露在網際網路，並使用防火牆或網路存取控制系統，僅允許受信任的系統與使用者能夠存取管理介面。<a href="https://www.ithome.com.tw/news/179202">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179200"><span style="font-size: 22px;"><strong>pgAdmin 4修補重大身分驗證繞過漏洞，若未更新可能導致攻擊者冒充管理員</strong></span></a></p> <p>開源PostgreSQL資料庫管理工具pgAdmin 4於9月17日發布9.18版，修補4個漏洞，其中最嚴重的是可能導致繞過身分驗證的CVE-2026-86863，影響6.2至9.17版，建議用戶儘速升級。CVE-2026-86863的CVSS 3.1嚴重性評分達9.8分，問題源自pgAdmin 4的Webserver驗證模組，當環境變數設定問題導致系統無法從WSGI或CGI介面獲得身分資訊時，會改從HTTP請求標頭讀取相關資訊，但HTTP標頭內容可由用戶端自行控制，攻擊者可藉此偽造任意用戶身分，甚至冒充管理員登入。<a href="https://www.ithome.com.tw/news/179200">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179152"><span style="font-size: 22px;"><strong>NIST投入逾170萬美元培育資安人才，美國8州新增9項RAMPS計畫</strong></span></a></p> <p><a href="/sites/default/files/images/NICE.png" target="_blank"><img alt="" src="/sites/default/files/images/NICE.png" style="width: 300px; float: right;" /></a> 美國國家標準暨技術研究院（NIST）於9月18日宣布，將投入超過170萬美元，在美國8州資助9項RAMPS資安人才培育計畫，透過地方雇主、教育機構及社群組織合作，培養符合當地需求的資安人才。RAMPS是NIST既有的區域資安人才培育合作機制，透過多方參與建立地方人才培育夥伴關係，並運用NICE網路安全人才框架（NICE Workforce Framework for Cybersecurity），協助教育與訓練內容對應資安工作所需技能。這批計畫涵蓋高中、大學及專業層級的資安教育與訓練，除了發展相關課程，也將透過實習、學徒培訓、實作專案、工作坊、訓練營、競賽及黑客松等方式，增加實務學習機會。<a href="https://www.ithome.com.tw/news/179152">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179149"><span style="font-size: 22px;"><strong>提示詞注入仍難可靠防範，澳洲通訊局公布AI代理權限控管原則</strong></span></a></p> <p><a href="/sites/default/files/images/0924-asd-960.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0924-asd-960.jpg" style="width: 300px; float: right;" /></a> 澳洲政府情報與資安機構澳洲通訊局（ASD）發布代理型AI安全指引，當中指出，若要防範大型語言模型（LLM）將外部內容解讀成指令的提示詞注入（Prompt Injection），目前仍無完全可靠的技術方法，ASD建議企業在部署代理型AI時，不應只依賴LLM本身的安全機制，還需限制AI代理存取資源的範圍及可執行的操作，降低提示詞注入造成的影響。對於LLM之外、負責讓AI代理連接外部資料、使用工具及存取其他系統的軟體機制，ASD稱為Agentic AI harness，這套機制也負責AI代理的權限控管及相關安全控制。ASD建議企業依照最小權限原則，限制AI代理存取正式系統、敏感資料及網路服務，並只提供執行任務所需的工具及權限，敏感或可能造成重大影響的操作則需經過人工核准。企業也應完整保留提示詞、模型回應、工具呼叫、人工核准及組態異動等紀錄。<a href="https://www.ithome.com.tw/news/179149">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179173"><span style="font-size: 22px;"><strong>Red Hat OpenShift 4.22導入ML-KEM，下一步推進抗量子數位簽章ML-DSA</strong></span></a></p> <p>企業開源軟體業者Red Hat（紅帽）公布OpenShift的後量子密碼學（PQC）最新進展，OpenShift 4.22已預設支援模組格基式金鑰封裝機制（ML-KEM），讓支援相關能力的TLS 1.3連線可採用抗量子密碼演算法建立金鑰，降低攻擊者現在先擷取加密流量，未來再利用量子電腦解密的風險。紅帽接下來將推進抗量子數位簽章演算法ML-DSA，這項轉型牽涉的既有系統將比ML-KEM更多，例如ML-KEM不需更換既有憑證，ML-DSA則會牽動X.509憑證，以及程式碼、容器映像檔等項目的數位簽章，負責驗證這些憑證或簽章的相關元件也必須支援ML-DSA。紅帽規畫在過渡期間同時維持傳統與ML-DSA憑證鏈，待相關元件陸續支援ML-DSA後，再逐步淘汰傳統憑證鏈。<a href="https://www.ithome.com.tw/news/179173">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179176"><span style="font-size: 22px;"><strong>思科開源CAIRN工具，透過AI使用痕跡追蹤新型惡意程式</strong></span></a></p> <p><a href="/sites/default/files/images/CRIAN TALOS.png" target="_blank"><img alt="" src="/sites/default/files/images/CRIAN%20TALOS.png" style="width: 300px; float: right; height: 180px;" /></a> 思科（Cisco）旗下資安研究團隊Talos於9月22日宣布開源AI惡意程式研究工具CAIRN，可透過AI提示詞、API端點及其他使用痕跡，搜尋、分類及追蹤整合AI功能的惡意程式，無須下載或執行惡意程式檔案即可進行初步分析。CAIRN全名為認知特徵情報研究網路（Cognitive Artifact Intelligence Research Network），主要用來辨識及追蹤整合AI功能的惡意程式，這些惡意程式可能利用大型語言模型（LLM）分析受害電腦的環境、產生指令，甚至自主決定下一步攻擊行動。CAIRN的研究範圍也涵蓋專門攻擊AI系統、竊取AI服務憑證及濫用AI生態系的惡意程式。Talos已將CAIRN的程式碼、YARA偵測規則、樣本搜尋條件及惡意程式家族研究報告公布於GitHub，採MIT授權，供資安研究人員使用及改進。不過，開源版本並不包含Talos所蒐集的樣本資料庫。<a href="https://www.ithome.com.tw/news/179176">詳全文</a></p> </div></div></div>
9/24 14:49張明德https://www.ithome.com.tw/news/179213
Nightmare Eclipse揭露Microsoft Defender零時差漏洞BigDiskBuster
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>多次槓上微軟的研究人員Nightmare Eclipse，近日再度公布新的Microsoft Defender<strong><a href="https://git.projectnightcrawler.dev/NightmareEclipse/BigDiskBuster">零時差漏洞BigDiskBuster</a></strong>，此為阻斷服務（DoS）類型的弱點，他表示概念驗證程式（PoC）與<strong><a href="https://www.ithome.com.tw/news/175159">UnDefend</a></strong>（<strong><a href="https://www.ithome.com.tw/news/176033">CVE-2026-45498</a></strong>）類似，若是成功執行，就會阻止該防毒軟體執行平臺與相關簽章的更新，所有版本的Windows作業系統都可能受到影響。Tharros首席漏洞分析師Will Dormann指出，<strong><a href="https://infosec.exchange/@wdormann/117310375368910275">該漏洞確實存在</a></strong>，該名研究員的概念驗證程式會讓Microsoft Defender無法成功更新。</p> <p>值得留意的是，<strong><a href="https://x.com/MSNightmare2000/status/2099082012996858204">該名研究員在不久前透露自己的身分</a></strong>，並表明他公布一系列零時差漏洞源自微軟的不公平待遇。他的本名是Abdelhamid Naceri，曾在微軟德國、英國分公司擔任資安研究員，他指控微軟於2024年9月以傷害客戶為由將他解僱，卻並未說明具體原因，該公司主管揚言將他列為黑名單，並寫信讓他再也找不到工作。由於Naceri沒有歐洲護照，遭解僱發生在能夠獲得歐盟永久居留權數個月前，於是雙方走上法庭，微軟最終提出支付5.5萬歐元加上一年薪資要Naceri撤告，但遭到拒絕。Naceri聲稱已為官司耗費20萬歐元，拒絕微軟提供的條件實在不是明智之舉，但該研究員認為，微軟原本可以協助他留在德國，再者則是微軟始終沒有進一步說明解僱的理由，並強調這麼做是為了其他同樣也無緣無故遭到解僱的人。</p> </div></div></div>
9/24 17:08周峻佑https://www.ithome.com.tw/news/179219
英國擴大Google搜尋監管，ChatGPT、Perplexity有望成為預設選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國競爭與市場管理局（Competition and Markets Authority，CMA）周三（9/23）<a href="https://www.gov.uk/government/news/cma-strengthens-proposals-allowing-people-choice-over-their-search-service">公布強化版Google搜尋監管提案</a>，擬要求Google在Android手機及Chrome瀏覽器提供預設搜尋服務選擇畫面，並納入符合條件的AI助理，讓使用者未來有機會選擇ChatGPT、Perplexity等AI服務，取代傳統搜尋引擎作為預設搜尋入口。</p> <p>繼<a href="https://www.ithome.com.tw/news/178567" target="_blank">歐盟將ChatGPT納入《數位服務法》</a>（Digital Services Act，DSA）的搜尋引擎監管範疇後，英國也進一步把AI助理納入搜尋市場的競爭架構。CMA今年1月原已提議要求Google在Android及Chrome提供預設搜尋服務選擇畫面，讓使用者自行選擇搜尋引擎；隨著ChatGPT、Perplexity等AI服務日益普及，CMA這次進一步將AI助理納入選擇範圍。</p> <p>根據新提案，Google必須在使用者首次使用Android手機或開啟Chrome瀏覽器時，提供預設搜尋服務選擇畫面，之後每年還須重新詢問使用者。AI助理須符合相關技術及安全要求才能列入選項，而所有入選的搜尋服務都必須公平、正確地標示出版商內容來源，讓使用者能辨識資訊出處並前往原始內容。</p> <p>CMA執行長Sarah Cardell表示，民眾搜尋資訊的方式正在改變，新興服務為創新與競爭帶來機會。CMA已聽取出版商、搜尋服務業者及消費者團體的意見，並因應AI助理日益普及的趨勢調整提案，確保使用者能自行選擇所需的搜尋服務。</p> <p>目前該措施仍處於諮詢階段，CMA將徵詢各界意見至10月9日，預計今年底作出最終決定。</p> </div></div></div>
9/24 15:24陳曉莉https://www.ithome.com.tw/news/179214
Next.js修補ImageResponse元件重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>9月22日Next.js開發團隊<strong><a href="https://nextjs.org/blog/nextjs-security-update-september-22-2026">發布緊急安全更新</a></strong>，修補重大等級的遠端程式碼執行漏洞CVE-2026-94545，該弱點形成的原因與Next.js實作ImageResponse元件有關，在特定環境下，該元件採用的程式庫Satori會在生成SVG圖檔時出現逃逸的現象，而有可能導致攻擊者遠端執行程式碼，<strong><a href="https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j">CVSS v4.0嚴重程度評為9.5分</a></strong>，影響16.2.0至16.3.5版Next.js。雖然15.x版不受影響，不過Next.js還是發布15.5.26以導入有關的強化措施。</p> <p>Next.js進一步在漏洞公告說明該弱點帶來的影響，指出受影響的應用程式在圖檔產生的過程裡，會傳遞攻擊者控制的數值到SVG檔的內容、屬性，以及樣式；若是應用程式改以Edge元件實作，或是不會傳送攻擊者控制的數值到SVG的內容、屬性，或是樣式，則不受影響。</p> </div></div></div>
9/24 15:25周峻佑https://www.ithome.com.tw/news/179215
中國駭客UTA0565架設假網站，搭配Chrome與Windows零時差漏洞利用鏈攻擊亞洲政府機關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>兩週前，資安公司<strong><a href="https://www.ithome.com.tw/news/178838">Proofpoint</a></strong>、<strong><a href="https://www.ithome.com.tw/news/178917">Volexity</a></strong>揭露多組中國駭客串連Chrome與Windows零時差漏洞的攻擊行動，Proofpoint將利用這些弱點的工具包命名為BlueMoon，其中利用的漏洞包括：Chrome類型混淆漏洞CVE-2026-85046、沙箱逃逸漏洞CVE-2026-87491，以及Windows權限提升漏洞CVE-2026-85880。本週Volexity提出警告，<strong><a href="https://www.volexity.com/blog/2026/09/21/mind-the-patch-gap-part-2-fake-websites-used-to-deploy-chrome-windows-0-day-exploits/">有新的駭客組織加入利用相關漏洞行列</a></strong>，代表這組工具可能已在中國網路犯罪圈共享及利用。</p> <p>Volexity在揭露UTA0560、APT31（Violet Typhoon、TA412、JungleBamboo）利用上述的漏洞利用鏈之後，掌握第3組中國駭客UTA0565的攻擊行動，與先前公布的兩個組織最大的不同，在於UTA0565架設了假網站來欺騙使用者。相關攻擊發生在9月3日至4日，當時其中一封寄往亞洲政府機關的釣魚信，內容使用正體中文，呼籲收信人聲援被囚禁的香港大律師<strong><a href="https://zh.wikipedia.org/zh-tw/%E9%84%92%E5%B9%B8%E5%BD%A4">鄒幸彤</a></strong>（Chow Hang-tung），以傳揚該律師的信念為由引誘收信人點選連結。另一封釣魚信使用英文，駭客冒充美國智庫美國進步中心（Center for American Progress）。而這兩封信的共通點，就是都包含連往詐欺網域的連結，Volexity解析UTA0565的網站，確認其中的HTML元素實作上述的漏洞利用鏈，並指出UTA0565嵌入的二進位檔案，與該公司先前揭露的攻擊活動一致，而且，核心的漏洞利用邏輯、版本檢查，以及攻擊流程的順序也相同，最終於受害電腦植入名為CleanGulp的惡意程式。</p> </div></div></div>
9/24 12:34周峻佑https://www.ithome.com.tw/news/179207
ChatGPT Voice升級，可用語音操作AI代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI周四（9/24）<a href="https://x.com/OpenAI/status/2102808325742322002">宣布升級ChatGPT Voice</a>，除了支援GPT-6系列模型，也能透過語音使用外掛（Plugins），並整合ChatGPT Work，讓使用者直接以說話的方式交辦AI代理人執行工作，包括建立文件、簡報、網站及試算表，或操作瀏覽器完成複雜任務。新功能即日起陸續開放給全球用戶。</p> <p>ChatGPT Voice是OpenAI於2023年推出的語音對話功能，整合於ChatGPT網頁版及行動App，只要點選輸入框右邊那個聲波圖示，就可啟動語音對話，直接以說話交辦工作，無須輸入文字，也能隨時打斷AI的回答或接續提問。過去Voice主要是用來和AI進行語音聊天，這次更新則進一步整合外掛及AI代理人，讓使用者不只可以與AI聊天，也能直接透過語音交辦工作。</p> <p><a href="https://help.openai.com/en/articles/6825453-chatgpt-release-notes">根據OpenAI官方更新紀錄</a>，Voice現在可使用帳號已連接的外掛，包括電子郵件、行事曆及Slack等服務。例如，使用者可以直接詢問明天的行程，或要求ChatGPT搜尋電子郵件，不必切換至文字模式，相關文字回應也會顯示在聊天介面中。</p> <p>這次更新的另一項重點，是Voice正式整合ChatGPT Work。使用者可在網頁及行動裝置上，以語音要求AI建立文件、簡報及試算表，也能交辦需要操作瀏覽器的多步驟任務。即使結束語音通話，尚未完成的工作仍可繼續透過文字模式執行。</p> <p>此外，Voice也支援GPT-6 Astra、Sol及Luna等模型。OpenAI表示，免費版及Go方案使用者也能透過語音使用其方案支援的外掛，但語音操作ChatGPT Work的功能，僅開放給具備Work使用權限的用戶。</p> </div></div></div>
9/24 14:29陳曉莉https://www.ithome.com.tw/news/179210
VS Code讓AI代理在遠端Dev Container執行，擴及SSH、Tunnel與WSL主機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<strong><a href="https://code.visualstudio.com/updates/v1_139">發布</a></strong>Visual Studio Code 1.139穩定版，擴充AI代理使用Dev Container的範圍，代理工作階段可在SSH、Tunnel與WSL主機上的Dev Container執行，使用專案容器內的工具與相依套件建置及測試程式。新版並改善大量代理工作階段的載入速度與管理介面。</p> <p>Dev Container讓開發團隊把專案需要的工具、相依套件與環境設定放進容器，VS Code代理進入遠端專案的Dev Container後，可使用專案既有環境建置及測試程式，不必在開發者電腦或遠端主機重複準備相同工具鏈。VS Code先前的Dev Container代理工作階段僅限本機資料夾，1.139將使用範圍延伸到SSH、Tunnel與WSL主機。</p> <p>遠端Dev Container功能目前限代理視窗使用，遠端資料夾必須包含VS Code支援的Dev Container設定，遠端主機也需要Docker。微軟採分階段方式開放功能，部分使用者需要手動開啟。</p> <p>VS Code 1.139也調整代理工作階段清單的載入方式，Agent Host改用中央目錄保存工作階段與對話的輕量中繼資料，建立清單時不必開啟每一份完整對話資料庫。完整對話內容仍保存在各自的工作階段與對話資料庫，舊版建立清單的處理量會隨工作階段數量增加，工作階段數量越多，新版載入速度的改善越明顯。</p> <p>微軟以約645個工作階段測試，VS Code啟動後第一次列出工作階段的時間從1.3秒降至0.1秒，重新整理清單則從0.6秒降至0.15秒，官方提醒，工作階段數量較少時，速度差異會縮小。舊版建立的工作階段不需手動轉換，VS Code會在背景完成移轉。</p> <p>工作階段清單另加入精簡檢視，可縮減每筆工作階段占用的畫面空間，並支援隱藏空白群組及直接重新命名工作階段與對話。VS Code 1.139還修正企業代理政策控管，組織透過帳號政策停用代理模式後，使用者無法再透過code --agents等其他入口繞過限制開啟代理視窗。</p> </div></div></div>
9/24 15:05李建興https://www.ithome.com.tw/news/179212
D-Link警告路由器DIR-822A存在近乎滿分的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>9月18日臺灣網通設備廠商D-Link<strong><a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10516">發布資安公告</a></strong>，指出他們獲報路由器DIR-822A重大漏洞CVE-2026-86296，此為記體堆積緩衝區溢位類型的弱點，存在於udhcpcd元件，攻擊者不僅能遠端利用，且無須通過身分驗證，利用過程完全不需使用者互動，CVSS v3.1與v4.0嚴重程度評分皆達到滿分10分，而且，網路上已有公開的概念驗證程式碼（PoC）。該公司正著手調查，在他們完成調查前，用戶應避免在非必要的情況下，將路由器直接曝露在網際網路，並使用防火牆或網路存取控制系統，來限縮只有受信任的系統與使用者能夠存取管理介面。</p> <p>值得留意的是，D-Link在同一則公告也表示，他們同時調查另一個重大漏洞CVE-2026-86510，該弱點涉及越界寫入，存在於L2TP Control Message Parser元件的特定功能，CVSS v3.1與v4.0嚴重程度評分為9.9與9.4，而且，網路上也同樣有公開的概念驗證程式碼。</p> </div></div></div>
9/24 11:41周峻佑https://www.ithome.com.tw/news/179202
駭客用3套AI工具大規模攻擊電商，竊取超過60萬筆信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Gambit Security<strong><a href="https://gambit.security/blog-posts/autonomous-ai-agents-online-retailers-25-a-company">揭露</a></strong>一波利用AI代理發動的大規模網路攻擊，攻擊者使用3套開源AI工具鎖定線上零售商，攻擊活動從7月延續至今，Gambit Security發布報告時表示活動仍在進行。光是9月10日至15日就啟動105個攻擊專案，至少27家公司遭入侵，攻擊者還從兩家受害企業竊取超過60萬筆尚未到期的信用卡資料，並在多個電商網站植入信用卡資料竊取程式。</p> <p>攻擊使用Strix、Cairn與Hermes分工，Strix負責尋找漏洞，Cairn接收目標網域與取得伺服器控制權、管理員權限等任務，再測試可行的攻擊方法，Hermes則負責安排攻擊工作與後續操作。人類操作者多半只輸入簡短簡體中文指令，漏洞探測、入侵、提升權限與存取資料等工作交由AI工具執行。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/FireShot%20Capture%20127%20-%20AI%20Agents%20Are%20Hacking%20Online%20Retailers%20for%20%2425%20a%20Company%20-%20%5Bgambit_security%5D.jpg" style="width: 580px; height: 481px;" /></p> <p>研究人員取得的Cairn紀錄顯示，AI代理會依各網站環境選擇攻擊方式，其中一個案例由SQL注入漏洞開始，攻擊者讀取一次性密碼資料繞過多因素驗證，進入管理介面後利用檔案上傳功能取得伺服器程式執行權限，再取得最高系統權限。攻擊一路延伸至NFS共享空間、WordPress資料庫與AWS Secrets Manager，最後進入Magento使用的Aurora資料庫，取得金鑰並解開信用卡資料。</p> <p>攻擊者透過OpenRouter使用AI模型，攻擊者留下的成本紀錄涵蓋101次完成的掃描工作，平均每次花費25.46美元，最低3.13美元，最高79.31美元。</p> <p>取得網站權限後，攻擊者會在結帳頁面植入信用卡資料竊取程式，手法包括修改既有JavaScript檔案、插入外部指令碼、竄改網站內容、利用S3儲存空間，以及修改Kubernetes部署設定。一家美國葡萄酒零售商重新部署應用程式後，結帳頁面的惡意程式遭移除，但攻擊者留下的排程工作會檢查檔案並重新植入程式碼。</p> <p>攻擊者使用的AI代理在入侵後會執行資料清理，一家自行車零售商遭入侵後，代理建立名稱以ZQ開頭的暫存資料表，後續清理程序依名稱刪除180張資料表，但刪除條件也涵蓋名稱含有Backup的資料表，導致受害企業管理員建立的備份資料表遭到誤刪。</p> </div></div></div>
9/24 12:26李建興https://www.ithome.com.tw/news/179205
OpenAI代理人也駭進了澳洲政府網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>澳洲總理Anthony Albanese周四（9/24）在紐約出席聯合國大會期間召開記者會，<a href="https://www.pm.gov.au/media/press-conference-new-york">揭露OpenAI旗下AI代理人於6月18日未經授權進入澳洲政府的Medicare醫療統計網站</a>，繞過網站安全限制，存取公開及非公開資料，甚至在內部伺服器寫入檔案。Albanese已親自致電OpenAI執行長Sam Altman表達嚴重關切，並宣布成立專案小組調查事件。</p> <p>根據Albanese的說明，OpenAI研究團隊於6月18日利用內部模型，上網研究公開的藥品支出資訊。AI代理人在查詢Medicare Statistics Reporting Service時反覆遭到阻擋，卻自行尋找其他取得資訊的方法，最終繞過網站限制。Albanese形容，AI代理人沒有接受網站的拒絕，而是自行尋找突破限制的方法。</p> <p>OpenAI直到9月10日才通知澳洲政府，距離事件發生已近3個月，而且只是將電子郵件寄至Services Australia的公開信箱。Services Australia於9月15日將事件通報澳洲網路安全中心，Albanese及其辦公室則直到上周末才獲悉。Albanese批評OpenAI通報太晚，通報方式也令人無法接受。Altman在雙方通話時承認，公司相關程序未達應有標準。</p> <p><a href="https://www.abc.net.au/news/2026-09-24/ai-agent-accessed-australian-government-site-pm-says/107189078">OpenAI向澳洲廣播公司ABC解釋</a>，公司在檢視模型於訓練及評估期間出現的失準行為（Misalignment）時，發現旗下模型曾在內部評估過程中，為了查找澳洲相關問題的答案及統計資料，存取多個澳洲政府網站，並採取了公司未曾預期的行動。模型取得的資料包括彙整後的健康統計數據及內部檔案名稱，但目前沒有證據顯示曾存取個別病患的醫療紀錄。OpenAI已通知相關機構，並提供技術資訊協助調查及修補潛在資安漏洞。</p> <p><a href="https://www.ithome.com.tw/news/178490">OpenAI先前曾揭露</a>旗下模型在內部網路安全評估期間入侵Hugging Face系統，隨後擴大檢視模型於訓練及評估期間的網路活動，並陸續通知受影響的第三方。此次澳洲政府網站的異常存取，也是OpenAI在擴大調查模型失準行為時發現，但該公司尚未說明兩起事件是否涉及同一輪模型測試。</p> </div></div></div>
9/24 12:37陳曉莉https://www.ithome.com.tw/news/179208
WordPress路徑遍歷漏洞揭露當天即出現嘗試利用活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>9月22日WordPress開發團隊<strong><a href="https://www.ithome.com.tw/news/179196">發布7.1.2版</a></strong>，修補重大等級的路徑遍歷漏洞CVE-2026-87902，通報漏洞的資安研究員Robert Ressl也<strong><a href="https://ressl.ch/blog/cve-2026-87902-wordpress/">公布細節</a></strong>與<strong><a href="https://github.com/ressl/cve-2026-87902-poc">概念驗證程式碼（PoC）</a></strong>。然而，就在該漏洞揭露及修補程式發布幾個小時後，就出現嘗試利用的情況。</p> <p><strong><a href="https://patchstack.com/articles/cve-2026-87902-attackers-started-probing-wordpress-sites-hours-after-the-patch/">資安公司Patchstack警告</a></strong>，他們在世界協調時間（UTC）9月22日11時49分首度發現嘗試利用的活動，當時的攻擊流量主要是用於偵察，當時攻擊者主要透目的是確認網站是否存在漏洞；截至9月23日，攻擊流量已較第一波增加逾10倍，並進一步出現寫入PHP檔案及執行命令的攻擊行為。</p> <p>攻擊活動目前可分成三個階段。第一階段是確認漏洞是否可利用，攻擊者將目標指向部分WordPress核心檔案，藉由回應判斷本機檔案包含（LFI）攻擊手法是否成功。第二階段則開始測試伺服器是否存在PEAR的pearcmd.php，並利用register_argc_argv設定讓查詢字串參數傳遞給該程式，以確認後續執行條件。</p> <p>第三階段則是將攻擊者控制的PHP內容寫入/tmp或/var/tmp目錄，其中部分檔案只是寫入特定字串，用來建立可利用主機清單；但部分惡意酬載內含執行Shell命令的內容，代表攻擊已不再只是漏洞探測，而是進入實際程式碼執行的階段。</p> </div></div></div>
9/24 11:30周峻佑https://www.ithome.com.tw/news/179201
WordPress發布7.1.2版，修補重大層級的路徑遍歷漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>9月22日WordPress開發團隊<strong><a href="https://wordpress.org/news/2026/09/wordpress-7-1-2-release/">發布安全性更新7.1.2版</a></strong>，修補一個嚴重程度達到重大等級的路徑遍歷弱點，在特定條件下，未通過身分驗證的攻擊者可讓網頁範本解析包含一個本機PHP檔案，該檔案存放於已啟用的佈景主題資料夾外部，且能夠讀取，攻擊者就能透過伺服器環境與啟用的佈景主題，遠端執行任意程式碼（RCE），該弱點由資安研究員Robert Ressl通報，<strong><a href="https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp">並登記為CVE-2026-87902列管</a></strong>，CVSS v4.0嚴重程度評為9.2分，開發團隊呼籲網站管理員應立即套用更新。</p> <p>究竟形成CVE-2026-87902的特定條件是什麼？<strong><a href="https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp">根據漏洞公告的說明有兩個</a></strong>，一個是啟用的佈景主題上層資料夾名稱開頭為page-或page-templates，該公告提及，採用經典佈景主題Twenty Twelve、Twenty Fourteen，以及熱門第三方佈景主題Neve、Hestia、Sydney的網站，都可能受到影響；另一個是網頁伺服器帳號能夠讀取前述指定的本機檔案，因此WordPress官方的Docker映像檔受到影響，預設的cPanel組態搭配8.5版之前的PHP也會曝險。</p> </div></div></div>
9/24 10:09周峻佑https://www.ithome.com.tw/news/179196
GitLab.com流量限制改採方案分級，匿名請求降至每小時60次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitLab將於10月19日起<strong><a href="https://about.gitlab.com/blog/rate-limit-change-2026/">調整</a></strong>GitLab.com流量限制，Free方案與未經驗證的請求率先套用新規則，Premium與Ultimate方案預定2027年1月跟進。未經驗證的一般網頁與API請求，單一IP位址每小時最多60次，GitLab表示，GitLab.com需求快速成長，今年平臺負載預期增加數倍，因此需要調整流量限制，因應包含自動化工具與AI代理在內的各類工作負載。</p> <p>新制會依訂閱方案決定可用的請求量，Free方案的已驗證請求每小時最多5,000次，每分鐘上限100次，Premium每小時15,000次、每分鐘1,250次，而Ultimate每小時25,000次、每分鐘2,000次。每分鐘的限制主要用來控制短時間大量請求，長時間使用仍受每小時總量限制。</p> <p>未經驗證的流量受到的變化較大，GitLab.com目前一般未驗證流量的限制為單一IP位址每分鐘500次，新制生效後，一般網頁與API請求降為每小時60次。不過，未經驗證的Git HTTPS流量不計入這60次額度，仍維持現有限制。</p> <p>新制也不會取代GitLab.com原有的各項限制，系統會同時檢查訂閱方案與個別功能的既有上限，如果某項API或功能原本限制更嚴格，仍以較低的上限為準。</p> <p>自動化工具即使存取付費方案下的資源，只要沒有附上驗證資訊，仍會被視為未經驗證流量。開發者可使用個人存取權杖、OAuth權杖或CI/CD作業權杖驗證請求，讓流量改採帳號所屬方案的額度。程式超過限制時，GitLab.com會回傳HTTP 429錯誤與Retry-After標頭，開發者可依指定等待時間後重試。</p> <p>GitLab將在10月7日及14日先短暫啟用新限制，讓使用者檢查既有程式與自動化工作是否會受到影響，10月19日正式套用Free方案與未經驗證流量的新規則。該調整只適用GitLab.com，自行架設的GitLab與GitLab Dedicated不受影響。</p> </div></div></div>
9/24 11:03李建興https://www.ithome.com.tw/news/179197
Meta發表100公克VR眼鏡，支援虛擬多螢幕與AI操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/09/introducing-meta-vr-glasses-3d-movies-immersive-live-sports-100-grams/">Meta周三（9/23）發表新一代虛擬實境眼鏡Meta VR Glasses</a>，將原本笨重的VR頭戴裝置縮小成約100公克的眼鏡，讓使用者可隨時在眼前開啟虛擬電影院或工作空間。新產品預計2027年春季上市，售價1,299.99美元。</p> <p>Meta VR Glasses採用兩件式設計，將顯示器及感測器保留在眼鏡本體，處理器、電池及儲存裝置則移至外接運算裝置（Puck），兩者透過光纖線連接。眼鏡本體重量約為Meta Quest 3的1/5，Puck則重約300公克，使用者可將外接裝置夾在口袋或背包上。</p> <p>Puck搭載Qualcomm Snapdragon Reality Elite處理器，具備48 TOPS的AI運算能力，可在裝置端執行大型語言模型及視覺模型，並支援Meta AI代理人。它配備12GB記憶體及128GB儲存空間，可透過microSD擴充至1TB，內建電池可提供最長3小時的高解析度影音播放，並支援45W快速充電。</p> <p>Meta VR Glasses透過內建的micro-OLED顯示器及Pancake光學鏡片，讓使用者看到彷彿懸浮在眼前的虛擬影像。眼鏡也配備彩色透視攝影機，將周遭環境即時呈現在螢幕上，讓使用者能同時看見真實環境與虛擬畫面。不過，為了縮小眼鏡體積，其水平視野只有70度，遠低於Meta Quest 3的約110度。</p> <p>Meta也將Meta AI代理人直接整合至眼鏡作業系統，使用者可透過語音、眼球及自然手勢播放電影、開啟應用程式、調整工作空間或搜尋資訊，不必另外使用控制器。</p> <p>透過Meta VR Glasses，使用者可在眼前開啟一個或多個虛擬螢幕，建立個人化的多螢幕工作空間，還能將任何平坦表面變成虛擬鍵盤及觸控板，不必攜帶實體鍵盤及滑鼠，就能隨時隨地工作。</p> <p>Meta將與Disney+、Prime Video、YouTube、HBO Max及Paramount+等業者合作，提供電影及串流影音內容，其中Disney+預計今年11月起在部分國家推出3D電影，至2027年眼鏡上市時，全球將有數千部影片可供觀看。Meta亦與ESPN、MLB、NBC Sports及TNT Sports等業者合作，提供8K串流及180度沉浸式運動賽事直播，讓使用者彷彿坐在球場第一排，預計每年提供超過100場賽事。</p> <p>實測了Meta VR Glasses的<a href="https://www.theverge.com/tech/999517/meta-vr-glasses-connect-2026-hands-on">The Verge編輯認為</a>，它像是更輕巧的Apple Vision Pro；在Meta VR Glasses上體驗了NBA賽事、虛擬多螢幕工作及手勢操作的<a href="https://www.axios.com/2026/09/23/hands-on-with-metas-next-vr-headset">Axios編輯則說</a>，他覺得這是相當實用的產品；專業VR媒體<a href="https://roadtovr.com/meta-vr-glass-hands-onconnect-2026/">Road to VR則說</a>，該款眼鏡的水平視野只有70度，可能影響使用者的沉浸感。</p> <p>Meta產品副總裁Angela Chang向Axios透露，Meta將VR Glasses定位為通用裝置，並非針對特定用途設計。公司對初期銷量的預期相對保守，更重視的是能否吸引原本對Quest沒有興趣的非遊戲使用者，藉此擴大VR的使用族群。</p> </div></div></div>
9/24 11:12陳曉莉https://www.ithome.com.tw/news/179198
Meta預覽AI裝置Muse Charm
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta創辦人暨執行長祖克柏（Mark Zuckerberg）周三（9/23）在一年一度的<a href="https://www.meta.com/zh-tw/connect/#watch">Meta Connect技術發表大會上展示了（影片53分處）全新的AI裝置Muse Charm</a>，它看起來就像是一個由錶面與掛繩組成的鑰匙圈，可與使用者即時語音交流，預計會在今年12月的聖誕購物季發售。</p> <p>祖克柏表示，Meta在Muse Charm上整合了完整的<a href="https://www.ithome.com.tw/news/178809">Muse體驗</a>，包括即時語音及虛擬角色系統；使用者只要觸碰裝置角落的指紋感測器，就能開始與之對話，不必解鎖手機或開啟App。</p> <p>他說，Meta在Muse Charm上使用了大量技術，對於沒有配戴AI眼鏡的人來說，Muse Charm將是與Muse交談，以及讓Muse了解周遭環境最快的方式。儘管Meta只製造了少量的原型機，但使用體驗已讓團隊感到非常開心。</p> <p><a href="https://www.bloomberg.com/news/articles/2026-09-23/meta-debuts-a-dedicated-palm-sized-muse-charm-device-to-use-ai-on-the-go">根據彭博社的報導</a>，Muse Charm約AirPods充電盒大小，配備約2吋OLED觸控螢幕、前後攝影機、麥克風、喇叭及USB-C充電埠，並內建5G數據機。螢幕可顯示Muse的虛擬角色，使用者能自定角色外觀、服裝及聲音。裝置可放入口袋或掛在鑰匙圈上，並透過iPhone或Android上的Muse App進行設定與同步，售價可能跟智慧手錶差不多。</p> <p>祖克柏並未公布Muse Charm的規格或售價，表示還沒確定最終外殼材質或內部元件配置，但希望趕在今年12月購物旺季前出貨。</p> </div></div></div>
9/24 11:18陳曉莉https://www.ithome.com.tw/news/179199
健身服務公司柏文對外服務系統遭到自動化攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>9月23日上市健身服務公司柏文（8462）於股市公開資訊觀測站<strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=175401&SPOKE_DATE=20260923&COMPANY_ID=8462">發布重大訊息</a></strong>，系統委外廠商通知該公司的對外服務系統遭自動化攻擊，駭客試圖對客戶資料表進行分頁擷取，其中部分涉及柏文員工與會員個資。該公司獲報後已啟動處理流程，並通報相關主管機關，根據初步評估，柏文表示對公司營運無重大影響。</p> <p>這則重訊特別提及，為防範個資遭到濫用而導致客戶遭受損失，柏文已透過多種管道進行反詐騙宣導，這些管道是：公司網站、臉書、Instagram，以及會員App。</p> </div></div></div>
9/24 09:53周峻佑https://www.ithome.com.tw/news/179194
微軟測試新的OneDrive依用量計費儲存方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟目前正在測試，將為OneDrive新增依用量付費的（Pay-as-you-go，PAYG）計費服務。根據微軟的產品藍圖網頁，這項服務已在今年7月推出預覽版，預計11月正式上線。</p> <p>現有企業或個人OneDrive計費方式都是在訂閱方案後，獲得一定容量的雲端硬碟空間。若用戶儲存物件過多用罄雲端空間就無法再上傳。<a href="https://learn.microsoft.com/zh-tw/microsoft-365/commerce/add-storage-space?view=o365-worldwide">微軟於6月公布</a>Microsoft 365 OneDrive Storage，這是一項按用量付費的彈性計費方式，讓管理員能為OneDrive帳號在原有授權配額之外，增購儲存空間。</p> <p>微軟指出，使用PAYG依耗用計費方案時，IT管理員可以控制哪個OneDrive帳號有資格在用量超過儲存上限時加購雲端空間。由於這方案僅適用於用罄原有硬碟容量的情境，因此企業不能跳過訂閱OneDrive或Microsoft 365方案來採購本方案。</p> <p>使用本方案付費之前，管理員必須到Microsoft 365系統管理中心計費節點的「設定或斷開隨用付費」完成付費設定。至於費率，由於尚未正式推出，台灣微軟官方未顯示定價。根據<a href="https://blog-en.topedia.com/2026/09/onedrive-pay-as-you-go-storage-as-a-new-microsoft-billing-service/">部落格Topedia列出的微軟官方頁面</a>，OneDrive Storage為每月每GB收費0.20美元。</p> <p>管理員必須具備Azure訂閱用戶及資源群組身分，也必須是訂閱方案的擁有者或貢獻者。而要存取M365系統管理中心，用戶必須擁有SharePoint管理員或全域管理員身分。</p> </div></div></div>
9/24 10:01林妍溱https://www.ithome.com.tw/news/179195
提示詞注入仍難可靠防範，澳洲通訊局提AI代理權限控管原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>澳洲政府情報與資安機構澳洲通訊局<a href="https://www.cyber.gov.au/business-government/secure-design/artificial-intelligence/agentic-ai-harnesses" target="_blank">（ASD）發布代理型AI安全指引</a>，警告目前仍沒有完全可靠的技術方法可以防範大型語言模型（LLM）將外部內容解讀成指令的提示詞注入（Prompt Injection）。ASD因此建議企業在部署代理型AI時，不應只依賴LLM本身的安全機制，還需限制AI代理存取資源的範圍及可執行的操作，降低提示詞注入造成的影響。</p> <p>ASD將LLM之外、負責讓AI代理連接外部資料、使用工具及存取其他系統的軟體機制稱為Agentic AI harness，這套機制也負責AI代理的權限控管及相關安全控制。Agentic AI harness可能由企業自行開發，也可能由商業產品或服務提供。</p> <p>ASD建議企業依照最小權限原則，限制AI代理存取正式系統、敏感資料及網路服務，並只提供執行任務所需的工具及權限，敏感或可能造成重大影響的操作則需經過人工核准。企業也應完整保留提示詞、模型回應、工具呼叫、人工核准及組態異動等紀錄。若多代理系統中的一個元件遭到入侵，影響可能透過共用的上下文及信任關係波及其他元件，因此ASD建議企業將整套多代理系統視為單一代理進行安全評估。</p> <p>英國國家網路安全中心（NCSC）<a href="https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection" target="_blank">先前也曾分析提示詞注入的安全問題</a>。NCSC指出，SQL注入可透過參數化查詢等方式明確區分資料與程式指令，但LLM處理輸入內容時並沒有這樣的區隔機制，因此難以用相同方式防範提示詞注入。NCSC認為，現階段的防護重點，是降低提示詞注入成功的可能性，並減輕攻擊可能造成的影響。</p> </div></div></div>
9/24 08:00王珮瑤https://www.ithome.com.tw/news/179149
NIST投入逾170萬美元培育資安人才，美國8州新增9項RAMPS計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.nist.gov/news-events/news/2026/09/nist-awards-more-17-million-support-cybersecurity-workforce-development" target="_blank">美國國家標準暨技術研究院（NIST）於9月18日宣布</a>，將投入超過170萬美元，在美國8州資助9項RAMPS資安人才培育計畫，透過地方雇主、教育機構及社群組織合作，培養符合當地需求的資安人才。</p> <p>RAMPS是NIST既有的區域資安人才培育合作機制，透過多方參與建立地方人才培育夥伴關係，並運用<a href="https://www.ithome.com.tw/news/156705" target="_blank">NICE網路安全人才框架（NICE Workforce Framework for Cybersecurity）</a>，協助教育與訓練內容對應資安工作所需技能。</p> <p>這批計畫涵蓋高中、大學及專業層級的資安教育與訓練，除了發展相關課程，也將透過實習、學徒培訓、實作專案、工作坊、訓練營、競賽及黑客松等方式，增加實務學習機會。加上這次新增的9項計畫後，全美26州已建立55個RAMPS社群。</p> <p>RAMPS的特色之一，是讓地方雇主直接參與資安人才培育。<a href="https://www.nist.gov/news-events/news/2026/05/deadline-approaching-new-funding-fuel-your-cybersecurity-workforce" target="_blank">NIST公布的申請條件</a>要求，合作團隊須納入至少一家地方雇主，或一家關鍵基礎設施所有者或營運者，以及至少一家教育、政府、非營利或訓練機構，讓培訓內容對應地方實際的資安人才需求。</p> </div></div></div>
9/24 08:00王珮瑤https://www.ithome.com.tw/news/179152
TeamPCP供應鏈攻擊內幕曝光，Google研究人員曾臥底核心群組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google旗下資安業者Mandiant研究人員曾以臥底身分進入駭客組織TeamPCP的核心群組，掌握該組織的攻擊動向。<a href="https://arstechnica.com/security/2026/09/an-undercover-google-analyst-infiltrated-a-notorious-supply-chain-hacking-gang/" target="_blank">根據Ars Technica轉載的WIRED報導</a>，Google據此通知相關服務供應商及受害組織，並聯絡服務供應商撤銷遭竊憑證，降低攻擊者繼續利用這些憑證的風險。</p> <p>這名研究人員以臥底身分與一名駭客建立聯繫，經過數月取得對方信任。對方後來獲邀加入TeamPCP，研究人員也因此在今年3月進入TeamPCP的核心聊天群組CanisterWorm。臥底期間，Google還發現TeamPCP核心成員利用AI協助開發零時差漏洞利用程式，鎖定一款廣泛使用的開源Web系統管理工具，這項漏洞利用程式可繞過該工具的雙因素驗證（2FA）機制。Google取得相關程式碼並測試後，確認只需稍加修改即可運作，隨即通知軟體開發商修補漏洞。</p> <p>Google先前以UNC6780追蹤TeamPCP。<a href="https://cloud.google.com/blog/topics/threat-intelligence/from-prompting-to-autonomy-the-evolution-of-adversarial-ai" target="_blank">Google威脅情報小組（GTIG）的分析顯示</a>，該組織自今年3月起接連發動大規模開源軟體供應鏈攻擊，鎖定PyPI、NPM及Docker Hub等生態系，也透過提示詞注入誘導AI程式開發助手執行惡意命令或指令碼。</p> <p>針對TeamPCP相關攻擊，<a href="https://www.ithome.com.tw/news/178998" target="_blank">澳洲執法機關於8月底逮捕</a>兩名涉嫌參與攻擊的男子，其中一人另遭美國司法部起訴。根據澳洲與美國執法機關的調查估計，TeamPCP可能已入侵全球逾1,000個組織，並竊取超過50萬組憑證及至少300GB資料。</p> </div></div></div>
9/24 08:00王珮瑤https://www.ithome.com.tw/news/179166
Red Hat OpenShift 4.22導入ML-KEM，下一步推進抗量子數位簽章ML-DSA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>企業開源軟體業者Red Hat（紅帽）公布<a href="https://www.redhat.com/en/blog/road-to-quantum-safe-cryptography-red-hat-openshift" target="_blank">OpenShift的後量子密碼學（PQC）最新進展</a>，OpenShift 4.22已預設支援模組格基式金鑰封裝機制（ML-KEM），讓支援相關能力的TLS 1.3連線可採用抗量子密碼演算法建立金鑰，降低攻擊者現在先擷取加密流量，未來再利用量子電腦解密的風險。</p> <p>OpenShift導入ML-KEM，有賴底層軟體陸續加入PQC支援，包括Go 1.24支援ML-KEM及X25519MLKEM768混合式金鑰建立機制、RHEL 9.8與10.2加入ML-KEM支援，以及OpenShift控制層從4.19開始支援TLS 1.3。在支援相關能力的連線中，系統會透過TLS 1.3自動協商X25519MLKEM768，不需額外設定。相較於一年前相關功能仍處於發展藍圖階段，ML-KEM目前已成為OpenShift 4.22的預設功能。</p> <p>紅帽接下來將推進抗量子數位簽章演算法ML-DSA，這項轉型將比ML-KEM牽涉更多既有系統。ML-KEM不需更換既有憑證；ML-DSA則會牽動X.509憑證，以及程式碼、容器映像檔等項目的數位簽章，負責驗證這些憑證或簽章的相關元件也必須支援ML-DSA。紅帽規畫在過渡期間同時維持傳統與ML-DSA憑證鏈，待相關元件陸續支援ML-DSA後，再逐步淘汰傳統憑證鏈。</p> <p>在ML-DSA全面導入前，紅帽建議企業先盤點密碼學資產，包括應用程式產生的憑證、CI/CD流程使用的簽章金鑰，以及身分提供者核發的JWT權杖。企業也應掌握既有憑證的數量與輪替方式，以及輪替失敗可能影響的範圍，為後續重新核發憑證做準備。</p> </div></div></div>
9/24 08:00王珮瑤https://www.ithome.com.tw/news/179173
環境部與金管會聯手調整IFRS永續揭露準則，將強制適用企業縮減至560家、優先聚焦高排放與大型企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>金管會與環境部今天（9/23）共同宣布調整上市櫃公司接軌IFRS永續揭露準則的相關規定，在國家永續目標不變的前提下，參考歐盟及亞洲近期簡化永續揭露要求的趨勢，改採較符合企業準備程度的分層推動方式。此次的調整，強制適用IFRS永續揭露準則的上市櫃公司，將由原規劃約1,970家縮減至約560家，主要鎖定實收資本額20億元以上，以及受環境部納管、需進行溫室氣體盤查及查驗的企業。</p> <p>金管會表示，雖然強制適用的家數降低，但納入企業的市值仍占全體上市櫃公司逾87%，涵蓋資本市場主要企業。這次調整並非降低永續揭露要求，而是重新安排接軌順序，先協助大型企業建立符合國際準則的永續資訊揭露能力，再逐步推動其他企業提升相關能力。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><strong><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-3d53aa16-7fff-ce23-88d2-4634eaef2b29"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">因應國際簡化趨勢，調整國內永續揭露接軌節奏</span></span></span></span></strong></h2> <p>國內在2023年發布「我國接軌IFRS永續揭露準則藍圖」，原規劃上市櫃公司依實收資本額分三階段導入IFRS永續揭露準則，並於年報中以專章方式揭露永續相關財務資訊。第一、二階段的大型上市櫃公司已依原定時程推進，第三階段則因企業數量較多、資源相對有限，因此重新檢視適用方式。</p> <p>此次調整主要受到國際永續揭露政策變化影響。金管會指出，歐盟2026年實施Omnibus I指令後，大幅縮減企業永續報導指令（CSRD）的適用範圍，強制適用企業數由約5萬家降至約5,000家，並減少部分強制揭露資料點；另方面，日、韓、澳等鄰近市場也採取依企業規模分階段推動方式。</p> <p>金管會透過IFRS永續揭露準則認可諮詢小組進行調查時也發現，企業普遍反映氣候以外永續資訊判斷困難，且供應鏈資料取得不易，尤其範疇三（Scope 3）溫室氣體排放涉及價值鏈上下游資料蒐集，對資源有限企業形成較大挑戰。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-3d53aa16-7fff-ce23-88d2-4634eaef2b29"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">強制適用對象改為560家，小型企業維持氣候基本揭露</span></span></span></span></h2> <p>依照這次的修正，IFRS永續揭露準則強制適用範圍調整為，實收資本額20億元以上上市櫃公司。實收資本額未達20億元，但屬環境部公告應盤查登錄及查驗的排放源上市櫃公司。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-09-23%20%E4%B8%8B%E5%8D%886_02_48.jpeg" style="width: 600px; height: 316px;" /></p> <p>金管會估計，符合條件企業約560家，其中535家為實收資本額20億元以上企業，約25家為環境部所列管的企業。</p> <p>至於資本額未達20億元、且非環境部納管的上市櫃公司，雖不強制完整適用IFRS永續揭露準則，但仍須揭露氣候相關基本資訊，包括氣候治理、氣候風險管理，以及溫室氣體範疇一與範疇二排放資訊。</p> <p>金管會未來將提供簡易揭露範例，並透過ESG評鑑加分等方式，以鼓勵小型上市櫃公司自願接軌永續準則。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-3d53aa16-7fff-ce23-88d2-4634eaef2b29"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">延後非氣候永續資訊與Scope 3要求，減輕企業資料蒐集壓力</span></span></span></span></h2> <p>除了調整適用範圍，金管會也同步調整第三階段企業揭露內容。</p> <p>原規定第三階段企業於接軌第二年起，需依IFRS S1準備氣候以外永續資訊，在這次調整之後，企業前2年僅需揭露氣候相關資訊，第3年起才需逐步納入其他永續議題。</p> <p>原規劃第三階段企業自120年度開始盤查Scope 3溫室氣體排放，並於後續年度揭露相關資訊，將改為企業自願揭露。</p> <p>金管會表示，Scope 3涉及供應鏈上下游排放資料，資料取得難度較高，目前日本、新加坡、香港、韓國等市場也未強制要求規模較小的上市櫃公司揭露，因而暫採自願方式。</p> <p>不過，Scope 3要求延後並不代表企業無須建立供應鏈碳管理能力。金管會後續將與環境部合作，優化產品碳足跡係數資料庫，以降低企業取得價值鏈排放資料的成本。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><strong><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-3d53aa16-7fff-ce23-88d2-4634eaef2b29"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">調整確信與申報期限，降低制度導入負擔</span></span></span></span></strong></h2> <p>在確信要求方面，第二、第三階段公司原需就母公司個體溫室氣體範疇一、範疇二排放資訊取得第三方確信，這次因未來永續揭露將以合併集團資訊為主要揭露對象，因此取消母公司個體層級確信要求。</p> <p>此外，上市櫃公司在接軌前2年過渡期間，若永續專章無法與財務報告同步於3月底申報，可延後到年報申報期限，即股東會前14日完成申報，以減輕企業調整作業流程與人力配置壓力。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-09-23%20%E4%B8%8B%E5%8D%886_06_07.jpeg" style="width: 600px; height: 321px;" /></p> <p>金管會表示，此次的調整措施將同步修正「我國接軌IFRS永續揭露準則及政策藍圖」及「上市櫃公司永續發展路徑圖」，並預計年底前修正年報準則及相關規定。未來也將持續觀察國際趨勢、國內企業準備情況與揭露品質，2030年再次檢討相關措施。</p> </div></div></div>
9/23 18:23蘇文彬https://www.ithome.com.tw/news/179184
行銷平臺Brevo高權限Cloudflare API金鑰遭竊，客戶網站被注入ClickFix惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>電子郵件行銷平臺Brevo<strong><a href="https://status.brevo.com/incidents/01M266V1CZKJQNGZRNEGFD5CQE/write-up">發生</a></strong>供應鏈攻擊，攻擊者取得可控制Brevo Cloudflare帳號的API金鑰，在Cloudflare傳送網頁內容給訪客的過程中插入惡意JavaScript程式碼。使用Brevo表單、聊天元件等服務的客戶網站也受到影響，訪客可能看到ClickFix假驗證頁面，已登入WordPress管理員帳號的訪客還可能遭安裝攻擊者提供的外掛。Brevo記錄的整體影響時間約5個半小時。</p> <p>Brevo調查發現，遭竊的API金鑰為長效期，而且具有Cloudflare帳號的完整權限，金鑰還直接寫在應用程式原始碼。攻擊者取得金鑰後，可以新增網路設定及修改網站回傳內容。攻擊者沒有更動Brevo原始伺服器上的檔案，而是在Cloudflare把網頁送到訪客瀏覽器時加入惡意程式碼，因此Brevo原本檢查伺服器檔案是否遭竄改的機制沒有發現異常。</p> <p>受影響範圍包括Brevo網站、Brevo提供的網頁表單，以及客戶可嵌入網站的聊天元件和SDK載入程式。Brevo表示，主要應用程式app[.]brevo[.]com、API、電子郵件傳送功能及平臺保存的客戶帳號資料不在此次事件影響範圍。</p> <p>一般訪客載入遭污染的程式碼後，可能遭遇ClickFix攻擊，頁面會偽裝成Cloudflare驗證人類畫面，要求Windows使用者開啟執行視窗，再貼上剪貼簿中的命令，使用者照做後，電腦便可能下載惡意程式。ClickFix無須利用瀏覽器漏洞，而是透過誘使使用者自行執行惡意命令，達到入侵目的。</p> <p>惡意程式碼還會檢查訪客是否已登入WordPress管理員帳號，要是偵測到管理員身分，程式碼會嘗試利用現有登入權限，安裝並啟用攻擊者提供的WordPress外掛。資安業者Sansec<strong><a href="http://sansec.io/research/brevo-supply-chain-attack">估計</a></strong>，使用相關Brevo元件的網站超過10萬個，不過該數字代表可能載入受影響程式的網站規模，並非已遭安裝外掛的網站數量。</p> <p>Brevo在9月14日20時30分UTC移除惡意Cloudflare Worker及相關路由，撤銷遭竊API金鑰與攻擊者利用該金鑰建立的存取憑證，也把原本寫在原始碼中的Cloudflare憑證，改成權限較小、有效時間較短的存取權杖。若WordPress網站使用Brevo元件，而且管理員9月14日曾在登入狀態下造訪網站，Brevo建議檢查當天是否出現不明外掛安裝或啟用紀錄。</p> </div></div></div>
9/23 18:59李建興https://www.ithome.com.tw/news/179189
【資安日報】9月23日，ShinyHunters傳駭入FBI，宣稱竊得探員個資及應徵者資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/node/179171#FBI">ShinyHunters傳駭入FBI，宣稱竊得探員個資及應徵者資料</a><br /> ● <a href="https://www.ithome.com.tw/node/179171#AI">AI程式開發助手遭劫持，Shai-Hulud蠕蟲擴散至約百個程式碼儲存庫</a><br /> ● <a href="https://www.ithome.com.tw/node/179171#Mongo">MongoDB修補14個漏洞，包含可能導致刪除資料的重大漏洞</a><br /> ● <a href="https://www.ithome.com.tw/node/179171#GDPR">Google位置資料處理違反GDPR，遭愛爾蘭重罰4.03億歐元</a><br /> ● <a href="https://www.ithome.com.tw/node/179171#Pass">假LastPass驗證器散布竊資程式，濫用微軟簽署驅動程式關防毒軟體</a> <a id="FBI" name="FBI"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/179164"><span style="font-size: 22px;"><strong>ShinyHunters傳駭入FBI，宣稱竊得探員個資及應徵者資料</strong></span></a></p> <p>駭客組織ShinyHunters在暗網網站上宣稱駭入美國聯邦調查局（FBI）的網站，竊得包含幾乎所有探員及應徵者個資的數TB資料。404 Media首先於9月22日報導這項消息，並自稱取得外流的探員及其配備資訊樣本，包括姓名、地址和電話號碼，且已驗證資料的真實性。稍後TechCrunch也跟進報導，指出ShinyHunters宣稱取得FBI內部幾乎所有探員的資料，並置換FBI招聘入口網站網頁。據報導，ShinyHunters聲稱攻擊並非為了金錢，而是不滿FBI今年5月發布的一份公開警告，指稱ShinyHunters攻擊線上學習管理系統，擾亂教育機構和學生服務、竊取隱私資訊，用以製作精準釣魚內容。ShinyHunters要求FBI撤下前述「不實指控」，但未說明若要求遭拒將採取何種行動。路透社最新報導指出，FBI已公開回應，表示已獲悉涉及FBIjobs.gov網站的未授權活動，目前正在調查。<a href="https://www.ithome.com.tw/news/179164">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179132"><span style="font-size: 22px;"><strong>印度IT供應商遭後門程式FlatRoof、RoofDeck入侵，疑為北韓駭客Jade Sleet所為</strong></span></a></p> <p><a href="/sites/default/files/images/Jade Sleet.png" target="_blank"><img alt="" src="/sites/default/files/images/Jade%20Sleet.png" style="float: right; height: 150px; width: 300px;" /></a> 上週美、日、澳、德發布聯合公告，揭露北韓駭客WaterPlum（Contagious Interview）以假求職活動感染超過3萬臺裝置，攻擊範圍遍及全球逾100個國家。同一天資安公司SentinelOne揭露印度一家IT服務廠商遭駭事故，表示相關攻擊已延伸至加密貨幣領域以外的產業。SentinelOne指出隸屬於Lazarus集團、以經濟利益為動機的北韓駭客組織Jade Sleet（又稱UNC4899、TraderTraitor），透過假求職面試與武器化Terraform專案誘導開發人員執行惡意程式，然後在其MacBook上植入macOS後門程式FlatRoof、RoofDeck，進一步竊取雲端憑證、原始碼及瀏覽器資料，藉此入侵該IT服務廠商的環境。SentinelOne認為，這代表Jade Sleet擴大攻擊範圍，從原本加密貨幣領域延伸到一般的IT與DevOps環境。<a href="https://www.ithome.com.tw/news/179132">詳全文</a> <a id="GDPR" name="GDPR"></a></p> <p><a href="https://www.ithome.com.tw/news/179112"><span style="font-size: 22px;"><strong>Google位置資料處理違反GDPR，遭愛爾蘭重罰4.03億歐元</strong></span></a></p> <p>愛爾蘭資料保護委員會（Data Protection Commission，DPC）於9月21日宣布，Google處理使用者位置資料的方式違反歐盟《一般資料保護規則》（GDPR），包括資料處理的合法性、公平性、透明度及保存期限等規定，決定對Google開罰4.03億歐元，並要求Google在6個月內改善相關資料處理方式，使其符合GDPR規定。DPC調查認定，Google的位置資料處理方式，違反GDPR的合法性、公平性及透明度原則，Google未能向使用者充分說明不同設定如何控制位置資料，也未清楚交代在各種情況下蒐集位置資料的法律依據，使使用者難以理解Google何時會取得位置資訊，以及這些資料之後將如何被使用。Google的位置資料保存方式也被認為違反GDPR，DPC指出，Google取得的位置資料，保存時間超過原定處理目的所需的期限，不符合GDPR要求個人資料不得保存超過必要時間的「儲存限制」原則。<a href="https://www.ithome.com.tw/news/179112">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179150"><span style="font-size: 22px;"><strong>Check Point、F5、Arista應用系統漏洞遭積極利用</strong></span></a></p> <p>9月22日美國網路安全與基礎設施安全局（CISA）表示，已掌握4個漏洞遭積極利用的證據，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構必須在9月25日前完成修補。這些漏洞是：Check Point憑證驗證不當漏洞CVE-2026-85102、路徑遍歷漏洞CVE-2026-93616，以及Arista VeloCloud Orchestrator輸入驗證不當漏洞CVE-2026-93952、F5 BIG-IP APM記憶體堆積緩衝區溢位漏洞CVE-2026-94127。<a href="https://www.ithome.com.tw/news/179150">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179151"><span style="font-size: 22px;"><strong>F5揭露及修補已遭利用的BIG-IP APM重大漏洞</strong></span></a></p> <p>9月22日F5發布資安公告，指出BIG-IP元件Access Policy Manager（APM）在特定配置下會受到資安漏洞CVE-2026-94127影響，此為記憶體堆積緩衝區溢位類型的弱點，存在於將APM設置為OAuth授權伺服器的模式，當APM的存取政策與OAuth設定檔同時套用於虛擬伺服器時，攻擊者就有機會利用惡意流量遠端執行任意程式碼（RCE），CVSS嚴重程度評為9.8分（CVSS v4.0為9.3分）。值得留意的是，F5警示已發現漏洞遭到利用，美國網路安全與基礎設施安全局（CISA）隨即將此弱點列入已遭利用的漏洞名單（KEV）。<a href="https://www.ithome.com.tw/news/179151">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179154"><span style="font-size: 22px;"><strong>Arista公布SD-WAN集中管理平臺VCO滿分漏洞，並警告已遭利用</strong></span></a></p> <p>9月22日Arista發布資安公告，於企業內部網路環境建置的SD-WAN集中管理平臺VeloCloud Orchestrator（VCO）存在重大漏洞CVE-2026-93952，遠端攻擊者可用於存取內部特權功能，影響VCO及其資料的機密性、完整性與可用性，CVSS嚴重程度評為滿分10分（CVSS v4.0為9.5分），值得留意的是，Arista表示該弱點由外部研究人員通報，且已遭到積極利用，同一天美國網路安全與基礎設施安全局（CISA）也將其列入已遭利用的漏洞名單（KEV），要求聯邦機構緊急在3天內完成修補。<a href="https://www.ithome.com.tw/news/179154">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179144"><span style="font-size: 22px;"><strong>工作流程編排平臺Orkes Conductor重大漏洞遭積極利用，一天之內出現近8,000次活動</strong></span></a></p> <p><a href="/sites/default/files/images/FPDlnx0vD9(1).jpg" target="_blank"><img alt="" src="/sites/default/files/images/FPDlnx0vD9(1).jpg" style="width: 300px; float: right;" /></a> 資安公司Fortinet於9月上半兩度提出警告，工作流程編排平臺Orkes Conductor遭遇大規模攻擊，攻擊者向存在弱點的工作流程API提交特製工作流程定義檔案，試圖利用6月修補的資安漏洞CVE-2026-58138，呼籲用戶應儘速採取行動，並將Conductor升級至3.30.2以上版本因應。Fortinet最早於9月9日，指出CVE-2026-58138遭積極利用的現象，該公司防火牆的防入侵偵測系統（IPS）在一週內封鎖6,696次嘗試利用活動，從遭到攻擊的地區來看，大部分受害系統位於德國、香港、印尼、阿拉伯聯合大公國，以及印度。事隔一週，Fortinet再於15日針對CVE-2026-58138利用活動發布新警訊，指出相關活動仍持續進行，近24小時Fortinet的IPS封鎖約7,900次攻擊，香港達到2,400次最嚴重，英國近800次居次，接下來依序是義大利、美國、德國。<a href="https://www.ithome.com.tw/news/179144">詳全文</a> <a id="AI" name="AI"></a></p> <p><a href="https://www.ithome.com.tw/news/179145"><span style="font-size: 22px;"><strong>企業AI程式開發助手工作階段遭劫持，Shai-Hulud蠕蟲擴散至約百個內部程式碼儲存庫</strong></span></a></p> <p>Google旗下資安業者Mandiant揭露一起AI程式開發工具相關攻擊事件。攻擊者入侵一家未具名軟體即服務（SaaS）業者後，劫持開發人員正在使用的AI程式開發助手工作階段，最終讓Shai-Hulud蠕蟲擴散至約100個內部程式碼儲存庫。據Mandiant調查，在遭劫持的工作階段中，AI程式開發助手建議開發人員安裝已遭攻擊者污染的外部軟體套件，開發人員接受建議後，攻擊者繼續利用遭劫持的AI程式開發助手工作階段，透過遭污染的PyPI套件安裝資訊竊取程式，並擷取GitHub OAuth權杖。攻擊者隨後部署可自行擴散的Shai-Hulud蠕蟲，自動竊取內部程式碼儲存庫中的機密資訊，並竊走該公司產品的專有原始碼。攻擊者還污染受害企業官方命名空間內的套件，另一員工之後拉取遭污染的套件版本，造成第二次感染。<a href="https://www.ithome.com.tw/news/179145">詳全文</a> <a id="Pass" name="Pass"></a></p> <p><a href="https://www.ithome.com.tw/news/179147"><span style="font-size: 22px;"><strong>攻擊者利用假冒LastPass驗證器散布竊資程式Rapuncel，濫用微軟簽署驅動程式關閉防毒軟體</strong></span></a></p> <p>密碼管理服務商LastPass與資安威脅情報業者Delphos Labs於8月13日發現假冒LastPass驗證器的駭客組織，並於9月17日公布調查結果，指出攻擊者以同一套基礎設施至少冒用40個軟體品牌，誘騙搜尋相關軟體的Windows使用者下載惡意程式。攻擊者透過SEO讓仿冒GitHub頁面出現在搜尋結果前列，下載連結再重新導向至攻擊者控制的伺服器。受害者下載的假冒LastPass驗證器壓縮檔，內含重新命名的微軟除錯工具，可透過DLL側載手法傳遞惡意程式，並於取得SYSTEM權限後，安裝透過Microsoft Windows Hardware Compatibility Publisher簽章的核心驅動程式，可關閉145種防毒及EDR程式，接著再利用竊資程式Rapuncel竊取瀏覽器密碼、數位錢包、特定文件等資料。<a href="https://www.ithome.com.tw/news/179147">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179163"><span style="font-size: 22px;"><strong>IBM MQ修補兩個重大漏洞，包含可能導致遠端執行任意程式碼的CVSS滿分漏洞</strong></span></a></p> <p>IBM於9月10日與17日先後發布兩份資安公告，修補訊息中介軟體IBM MQ的兩個重大漏洞CVE-2026-10747與CVE-2026-10858，分別影響IBM MQ Appliance 9.4及10.0部分版本，以及IBM MQ for HPE NonStop的8.1.0到8.1.0.40等版本，其中MQ Appliance應升級至已修補的9.4.0.26、9.4.5.3或10.0.0.5以上版本，MQ for HPE NonStop則應升級至8.1.0.41版，建議用戶立即更新。前述兩個IBM MQ漏洞中，CVE-2026-10747是MQ Appliance處理通訊協定訊息時的堆積緩衝區溢位漏洞，CVSS評分達10.0分，未經身分驗證的攻擊者可藉此造成服務阻斷或執行任意程式碼。<a href="https://www.ithome.com.tw/news/179163">詳全文</a> <a id="Mongo" name="Mongo"></a></p> <p><a href="https://www.ithome.com.tw/news/179159"><span style="font-size: 22px;"><strong>MongoDB修補14個漏洞，包含可能導致刪除資料與破壞記憶體的重大漏洞</strong></span></a></p> <p>資料庫軟體業者MongoDB於9月18日及19日陸續揭露並修補14個資安漏洞，涵蓋Mongoid、MongoDB C Driver及Entity Framework Core Provider等元件，使用者應依所採用元件升級至修補版本。這次MongoDB修補的漏洞中，最嚴重的是兩個CVSS v4.0評分均為9.2分的漏洞，其中CVE-2026-93762存在於Mongoid處理內嵌文件的查詢路徑，因未妥善處理外部提供的欄位名稱，未經身分驗證的攻擊者可能藉此讀取非預期資料或刪除資料；CVE-2026-93393則是Windows版C Driver TLS傳輸層的堆積緩衝區溢位漏洞，遠端端點可在TLS交握完成後觸發記憶體破壞、讀取鄰近堆積資料，或使程序終止。<a href="https://www.ithome.com.tw/news/179159">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179153"><span style="font-size: 22px;"><strong>60萬網站採用的WordPress行事曆外掛曝兩項重大RCE漏洞</strong></span></a></p> <p>資安業者Wordfence揭露WordPress行事曆外掛The Events Calendar兩項重大遠端程式碼執行（RCE）漏洞。兩項漏洞編號為CVE-2026-78006與CVE-2026-78159，風險評分均達9.8分。前者影響6.17.4及之前版本，後者影響6.17.3及之前版本，兩項漏洞的攻擊方式不同，但都從The Events Calendar處理活動頁留言的方式切入，受影響版本的網站若在活動頁開啟留言功能，攻擊者不需登入帳號，也不用等管理員核准留言，就可能在伺服器執行任意命令或接管網站。The Events Calendar開發團隊已釋出修補版本，建議使用者升級至6.17.4.1或更新版本。<a href="https://www.ithome.com.tw/news/179153">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179155"><span style="font-size: 22px;"><strong>Google發布Chrome 154，修補108個漏洞</strong></span></a></p> <p>9月22日Google發布Chrome大改版154，總共修補108個資安漏洞，其中有11個重大等級、25個是高風險等級。Windows與macOS版用戶應更新至154.0.8037.57或154.0.8037.58，Linux與Android版用戶應更新至154.0.8037.57以套用相關修補。從弱點類型來看，記憶體釋放後再存取使用（Use After Free）最多，有23個，授權不正確與缺乏授權分別有12個、11個。<a href="https://www.ithome.com.tw/news/179155">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179139"><span style="font-size: 22px;"><strong>SolarWinds修補ARM高風險漏洞，寫死金鑰恐造成遠端程式碼執行</strong></span></a></p> <p>網路、系統與IT管理軟體業者SolarWinds揭露旗下存取權限稽核系統Access Rights Manager（ARM）的高風險漏洞CVE-2026-28326，該漏洞CVSS風險分數為8.8分，影響ARM 2026.2及之前所有版本。漏洞源自ARM採用寫死的靜態金鑰，未經身分驗證的攻擊者可能藉此遠端執行程式碼。對此，SolarWinds已在9月17日發布ARM 2026.2.1修補漏洞。<a href="https://www.ithome.com.tw/news/179139">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179156"><span style="font-size: 22px;"><strong>CISA針對西門子SIPLUS與SIMATIC產品漏洞發出ICS公告</strong></span></a></p> <p>美國網路安全與基礎設施安全局（CISA）於9月22日發布工業控制系統（ICS）安全公告，警告西門子SIPLUS與SIMATIC系列部分產品存在Copy Fail漏洞，建議用戶升級至已修補的版本。西門子已於9月8日發布公告，揭露前述問題並提供修補版本。Copy Fail是今年4月揭露的Linux核心漏洞，編號CVE-2026-31431，CVSS嚴重性評分達7.8分，可能導致本機攻擊者取得root權限，西門子SIPLUS與SIMATIC系列部分產品使用含有受影響Linux Kernel元件的軟體，因此也受到這個漏洞影響。<a href="https://www.ithome.com.tw/news/179156">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179141"><span style="font-size: 22px;"><strong>Rust熱門套件維護者遭鎖定，假工作邀約搭配視訊通話成駭客入侵管道</strong></span></a></p> <p><a href="/sites/default/files/images/fbi_north_korea_hacker(2).png" target="_blank"><img alt="" src="/sites/default/files/images/fbi_north_korea_hacker(2).png" style="width: 300px; float: right;" /></a> Rust官方發出警告，攻擊者持續鎖定Rust專案成員與熱門套件擁有者，先以工作、專案或合約合作名義接觸，再安排視訊通話，誘使受害者安裝惡意軟體或執行指令。攻擊目的是取得開發者裝置或帳號控制權，再利用套件發布權限散布惡意程式。Rust官方觀察到，攻擊者會建立看似正常的公司資料與LinkedIn頁面，再以工作或合作機會接觸開發者。視訊通話開始後，攻擊者可能謊稱電腦缺少音訊編解碼器，要求受害者安裝指定軟體，也可能把指令放入剪貼簿，再誘使受害者執行。Rust建議開發者留意陌生工作與合作邀約，視訊會議應使用熟悉且可信任的服務，並由開發者建立會議連結，crates.io與其他開發服務帳號也應啟用多因素驗證，並檢查是否出現非本人登入紀錄。<a href="https://www.ithome.com.tw/news/179141">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179118"><span style="font-size: 22px;"><strong>資安署揭機關老舊防火牆遭駭事件，設備交接不全、未掌握EOS成內網破口</strong></span></a></p> <p>數位發展部資通安全署（資安署）在本週發布的115年8月資通安全網路月報中，揭露一起因設備交接與後續資產管理未落實，導致已超過原廠支援期限的防火牆仍持續使用，最終遭駭客入侵並成為進入內網的破口。據資安署說明，受害機關在多處設置監視器並建置監視系統，同時在系統前端部署防火牆。不過，近期該機關接獲資安警訊通知，發現可疑的連線行為，調查後確認防火牆遭駭客入侵並取得控制權，攻擊者還進一步利用該設備連線至機關內部網路。經追查後發現，問題源頭是業務移轉過程沒有完整掌握設備狀況，該機關當初辦理業務交接時，僅完成書面文件移交，沒有同步確認防火牆目前使用版本、原廠維護狀態、使用年限及預計汰換時間等資訊。接手單位後續也未確實執行資產盤點，以及持續追蹤設備維護與汰換狀況，因此未察覺這臺防火牆已超過原廠支援期限（EOS），導致設備在無法取得官方安全更新的情況下仍繼續使用，最終因設備存在未修補漏洞而遭駭客入侵，並藉此連線至機關內部網路。<a href="https://www.ithome.com.tw/news/179118">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179158"><span style="font-size: 22px;"><strong>針對CRA開源責任，OpenSSF以三類角色協助開源社群判斷義務</strong></span></a></p> <p><a href="/sites/default/files/images/CRA Readiness.png" target="_blank"><img alt="" src="/sites/default/files/images/CRA%20Readiness.png" style="width: 300px; float: right;" /></a> 歐盟《網路韌性法案》（CRA）陸續進入實施階段，不同開源軟體參與者究竟需要承擔哪些責任，也成為開源社群關注的問題。開源安全基金會（OpenSSF）9月15日推出「Grow CRA Readiness」CRA準備指南，協助開源社群判斷自身義務，依三種角色提供相應的準備路徑與資源。首先是開源維護者／貢獻者，多數參與非商業開源軟體開發的人，並不是承擔CRA製造商責任的角色；第二是開源軟體管理者（Open Source Software Steward），主要指持續支援特定開源軟體開發與維運的組織；第三是生產具有數位元素產品的製造商，則是以自身名稱或商標將軟體或硬體產品推向市場的業者，這類角色承擔的CRA責任最廣，因此相關路徑主要面向產品、工程、資安及法遵團隊，協助尋找CRA準備所需資源。這三類身分並非完全互斥，同一組織可能因不同專案或產品同時扮演不同角色。<a href="https://www.ithome.com.tw/news/179158">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/179101"><span style="font-size: 22px;"><strong>澳洲通訊局提醒企業在推動PQC轉型過程中，不僅需更換演算法，也面臨既有系統改造</strong></span></a></p> <p>澳洲通訊局（ASD）公布後量子密碼學（PQC）轉型系列第四階段建議。第四階段開始進行實際的系統調整。組織需根據先前完成的密碼學資產盤點、風險評估及轉型優先順序，開始規畫並導入抗量子密碼演算法。進入實作階段後，企業面臨的不只是更換密碼演算法。ASD指出，企業可能必須更新或修補既有應用程式、裝置及平臺，並調整密碼學函式庫、通訊協定與組態；無法支援抗量子密碼演算法的元件則可能需要更換。若既有產品無法透過升級支援PQC，或供應商沒有明確的PQC支援規畫，企業也可能改用支援PQC的產品。<a href="https://www.ithome.com.tw/news/179101">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179099"><span style="font-size: 22px;"><strong>Google推出AndroidX Security State程式庫，企業可掌握裝置實際修補情況</strong></span></a></p> <p><a href="/sites/default/files/images/0923-androidx-960.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0923-androidx-960.jpg" style="width: 300px; float: right;" /></a> Android裝置的多個系統元件可分別透過不同機制取得安全更新，因此企業若只查看裝置顯示的安全性修補程式等級（Security Patch Level，SPL），不一定能完整掌握各元件的修補情況。Google近期推出AndroidX旗下Security State及Security State Provider程式庫的穩定版本，讓應用程式能進一步掌握裝置的修補狀態。Security State可分別掌握Android系統、系統模組及核心的安全修補狀態，並比較裝置相關元件目前安裝的安全性修補程式等級，與Android安全公告針對這些元件公布的修補等級，藉此判斷相關元件是否缺少安全修補，甚至可進一步確認裝置是否已修補特定CVE。<a href="https://www.ithome.com.tw/news/179099">詳全文</a></p> </div></div></div>
9/23 14:50張明德https://www.ithome.com.tw/news/179171
Check Point警告兩個重大漏洞遭積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全與基礎設施安全局（CISA）<strong><a href="https://www.ithome.com.tw/news/179150">於9月22日表示</a></strong>，已掌握4個重大漏洞遭積極利用的情況，其中有兩個漏洞CVE-2026-85102、CVE-2026-93616存在於Check Point系統而受到關注。<strong><a href="https://blog.checkpoint.com/security/security-advisory-action-required-active-exploitation-of-cve-2026-85102-and-a-management-pre-authentication-vulnerability-cve-2026-93616/">同一天Check Point發布警訊</a></strong>，表示兩個漏洞被用於不同的攻擊活動，呼籲客戶根據指引採取行動。</p> <p>其中的零時差漏洞CVE-2026-93616利用活動發生時間較早，Check Point觀察到在7月23日出現少數的精準攻擊事件。該公司也發布公告<strong><a href="https://support.checkpoint.com/results/sk/sk1000171/">說明該弱點影響範圍</a></strong>，此為結合路徑遍歷與檔案上傳兩種類型的漏洞，未經身分驗證的攻擊者可上傳並執行任意指令碼，CVSS嚴重程度評分為9.8，影響資安管理伺服器、多網域資安管理伺服器、事件記錄伺服器、多網域事件記錄伺服器，以及SmartEvent。該弱點不影響Smart-1 Cloud、Check Point防火牆設備，以及Spark防火牆。</p> <p>另一個漏洞CVE-2026-85102遭到利用的情況，是發生在<strong><a href="https://www.ithome.com.tw/news/178868">該公司發布修補程式</a></strong>之後。Check Point從9月12日開始，看到針對Spark用戶的漏洞利用嘗試，攻擊者透過匿名化基礎設施，包括VPN服務與代理伺服器來發動攻擊。</p> </div></div></div>
9/23 17:52周峻佑https://www.ithome.com.tw/news/179183
思科開源CAIRN工具，透過AI使用痕跡追蹤新型惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科（Cisco）旗下資安研究團隊Talos周二（9/22）宣布<a href="https://blog.talosintelligence.com/introducing-cairn-frontier-tracking-for-ai-integrated-malware/">開源AI惡意程式研究工具CAIRN</a>，可透過AI提示詞、API端點及其他使用痕跡，搜尋、分類及追蹤整合AI功能的惡意程式，無須下載或執行惡意程式檔案即可進行初步分析。</p> <p>CAIRN全名為認知特徵情報研究網路（Cognitive Artifact Intelligence Research Network），主要用來辨識及追蹤整合AI功能的惡意程式。這些惡意程式可能利用大型語言模型（LLM）分析受害電腦的環境、產生指令，甚至自主決定下一步攻擊行動。CAIRN的研究範圍也涵蓋專門攻擊AI系統、竊取AI服務憑證及濫用AI生態系的惡意程式。</p> <p>CAIRN採取以中繼資料為優先（Metadata-first）的分析架構，利用VirusTotal既有的檔案資訊、擷取字串及沙箱行為紀錄，尋找疑似整合AI功能的惡意程式，再透過不同樣本之間的關聯，追蹤相關惡意程式家族及攻擊活動。</p> <p>該工具內建24種樣本搜尋及篩選條件，結合惡意程式偵測工具YARA的規則、語意分群及關聯圖譜，將偵測結果分為3個層級，依序辨識樣本的AI相關特徵、判斷這些特徵是否涉及攻擊行為，以及歸類特定惡意程式家族。</p> <p>CAIRN也能分析不同樣本是否共用網域、IP位址或指揮與控制（C2）伺服器，協助研究人員追蹤相關攻擊活動。不過，Talos強調，CAIRN的初步偵測結果仍須經過逆向工程驗證，才能確認惡意程式家族及其實際功能。</p> <p>Talos此次也<a href="https://blog.talosintelligence.com/the-closed-quorum-inside-the-first-reported-autonomous-ai-c2-implant/">透過CAIRN發現</a>名為CLOSEDQUORUM的自主AI惡意程式，它可呼叫DeepSeek、Qwen、Mistral及Google Gemini等4個大型語言模型，由模型投票決定下一步攻擊行動，包括竊取使用者憑證、加密貨幣錢包資料及建立持續存取受害電腦的機制，無須駭客持續下達指令。</p> <p>與傳統惡意程式仰賴駭客透過C2伺服器下達指令不同，CLOSEDQUORUM直接利用商用AI服務作為決策機制，並透過Discord回傳攻擊結果。不過，Talos表示，目前公開的樣本仍使用測試用API金鑰，尚未確認CLOSEDQUORUM已被部署於實際攻擊。</p> <p>Talos已將CAIRN的程式碼、YARA偵測規則、樣本搜尋條件及惡意程式家族研究報告<a href="https://github.com/Cisco-Talos/Cognitive-Artifact-Intelligence-Research-Network">公布於GitHub</a>，採MIT授權，供資安研究人員使用及改進。不過，開源版本並不包含Talos所蒐集的樣本資料庫，使用者須自行取得VirusTotal API金鑰，才能依公開的樣本雜湊值及搜尋條件重建資料庫。</p> </div></div></div>
9/23 16:20陳曉莉https://www.ithome.com.tw/news/179176
Node.js 26.10增強函式呼叫控制，補上PKCS#12憑證解析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Node.js專案發布<strong><a href="https://nodejs.org/en/blog/release/v26.10.0">Node.js 26.10.0</a></strong>，新增兩種函式呼叫控制能力，開發者可以延後短時間內反覆出現的呼叫，或限制一段時間內的執行次數。版本更新加入PKCS#12檔案解析功能，可解析.p12與.pfx檔案內容並取得私鑰與X.509憑證，並擴充程式效能量測工具。</p> <p>Node.js在工具模組加入util.debounce()與util.throttle()，前者適合處理短時間內大量重複出現的動作，例如使用者持續輸入文字時，不必每按一個按鍵就執行搜尋，而是等輸入暫停一段時間後再執行。後者則限制函式在指定時間內最多執行幾次，可避免高頻呼叫占用過多運算資源。超過限制的呼叫預設會排隊等待，兩項功能也支援取消尚未執行的工作。</p> <p>憑證處理新增crypto.parsePKCS12()，PKCS#12是一種用來封裝私鑰與數位憑證的格式，常見副檔名為.p12或.pfx。crypto.parsePKCS12()可解析受密碼保護的PKCS#12內容，取出私鑰、與私鑰相符的X.509憑證，以及檔案中的其他憑證。</p> <p>Node.js原本已能在TLS連線處理PKCS#12檔案，但應用程式無法直接取得其中的私鑰與憑證，開發者需要讀取內容時，過去可能得另外呼叫OpenSSL命令列工具，或安裝第三方函式庫。Node.js 26.10.0將既有解析能力開放成JavaScript API，程式可直接取得解析結果。</p> <p>效能量測工具新增滑動視窗直方圖，可依時間或記錄筆數控制量測資料的保留範圍，適合觀察服務近期的回應時間變化。直方圖加入QRDE分析功能，可從已彙整的量測結果估算資料分布，不必保存每一筆原始紀錄。</p> <p>其他更新包括新增同步將檔案開啟成Blob物件的fs.openAsBlobSync()，Node.js內建SQLite也能把JavaScript的undefined值寫成資料庫的NULL。實驗性外部函式介面則增加從虛擬檔案系統載入動態函式庫的能力。</p> </div></div></div>
9/23 16:31李建興https://www.ithome.com.tw/news/179175
重大食安事件催生數位治理改革，政院研議建立全國食品產品識別與跨部會資料交換機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期國內爆發的食用油品安全事件引發社會大眾的關注，暴露現行食品安全管理在數位治理上的不足。行政院長卓榮泰周二在食品安全會議上指出，政府除已提出《食品安全衛生管理法》部分條文修正草案外，也將推動食安數位治理改革，以資料整合與跨部會系統介接為核心，來提升食品安全管理及事件應變能力。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>強化數位治理為食安法修法5大面向之一</strong></span></span></p> <p>7月23日通過的《食品安全衛生管理法》修正草案，將「強化數位治理」與強化源頭管理、製程管理、異常通報及品質管理並列為五大修法方向之一。在修法完成前，衛福部將先推動多項行政措施，包括升級食品追溯追蹤管理資訊系統（非追系統）效能、優化問題產品通報平臺，以及建立實驗室異常通報等機制。</p> <p>卓榮泰表示，這次的食用油事件顯示食品安全數位治理仍有改善空間，未來數位治理將以管理及事件應變需求為核心，透過整合食品追溯追蹤、異常通報及跨系統資料運用，提升風險辨識、產品追蹤及地方政府查核效率。要求相關機關依權責推動資料協作及系統介接，由政務委員陳時中及行政院食品安全辦公室協調督導跨部會合作，建立食安數位治理機制。</p> <p>衛福部將和教育部及相關機關聯手，研議建立全國食品產品識別及資料交換機制。規畫將以現有食品追溯追蹤系統及校園食品管理系統為基礎，盤點找出目前資料介接的缺口，提出產品識別及資料交換的可行做法及分階段推動方向，提升產品辨識及食品追溯效率，並支援校園食品安全管理。</p> <p>值得注意的是，行政院的要求並非打造新的平臺，而是在避免重複建置系統及不增加業者申報負擔為原則，在原本的資訊系統基礎上推動資料交換與系統介接。另外，教育部也被要求持續精進「校園食材登錄平臺」，提升校園食品清查與追溯效率，並配合跨部會資料交換機制，共同強化食品安全管理及事件應變能力。</p> <p>行政院將數位治理視為食安制度改革的重要方向，顯示未來食安管理將更著重於跨機關資料整合、產品追溯及資訊系統互通，希望藉由數位化管理縮短食安事件追查及應變時間，提高政府整體食安治理效率。</p> </div></div></div>
9/23 15:23蘇文彬https://www.ithome.com.tw/news/179172
納米比亞國防單位遭入侵，Nam-CSIRT證實與RansomHouse有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>位於非洲西南部的納米比亞傳出國防部門遭駭，由於受害對象涉及國家國防體系，事件也引發外界關注。當地媒體The Namibian於9月18日<a href="https://informante.web.na/?p==376215">報導</a>，勒索軟體組織RansomHouse已在暗網將納米比亞國防暨退伍軍人事務部列為受害者，並揚言公開從該部取得的資料。</p> <p>隔日該媒體<a href="https://www.namibian.com.na/cyber-team-confirms-ndf-hack">進一步指出</a>，納米比亞國家資安事件應變小組（Nam-CSIRT）已證實，該部電腦網路出現未授權活動，經分析受影響的系統，研判攻擊與RansomHouse有關，正與國防暨退伍軍人事務部合作調查事件、提供技術支援並復原受影響系統，同時檢討此次事件並強化該部的資安防護。</p> <p>至於此次事件的實際影響範圍，目前仍有待進一步釐清，官方尚未說明哪些系統受到影響，以及是否有資料遭竊或外洩。<br /> </p> </div></div></div>
9/23 16:15羅正漢https://www.ithome.com.tw/news/179174
WordPress存在資安漏洞Comment2Shell，攻擊者可將匿名留言用於執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>9月17日內容管理平臺WordPress<strong><a href="https://wordpress.org/news/2026/09/wordpress-7-1-1-maintenance-and-security-release/">發布7.1.1版</a></strong>，一共修補11個資安弱點，在資安公司Pwn.ai揭露尚未取得CVE編號的<strong><a href="https://www.ithome.com.tw/news/179114">重大漏洞Click2Shell</a></strong>，有研究人員也公布他們通報的漏洞細節。</p> <p>資安研究員Rafie Muhammad指出，他在9月上旬向WordPress通報<strong><a href="https://idnsec.com/research/comment2shell-zero-click-pre-auth-xss-to-rce-in-wordpress-core/#timeline">資安漏洞Comment2Shell（CVE-2026-93485）</a></strong>，此為預先授權的零點擊弱點，攻擊者可透過匿名的特製留言，在未通過身分驗證的狀態下，在特定的區塊或佈景主題的渲染過程，使用即時的JavaScript事件處理程式，把良性的HTML轉換成惡意的HTML內容，進而將跨網站指令碼（XSS）轉變成遠端程式碼執行（RCE）攻擊，<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-93485">CVSS嚴重程度評為7.1分</a></strong>。</p> <p>Muhammad強調，攻擊流程只需載入網頁就能啟動，攻擊者甚至可藉由管理員的連線階段（session）上傳外掛檔案，進一步於WordPress提升權限並執行程式碼。</p> </div></div></div>
9/23 14:06周峻佑https://www.ithome.com.tw/news/179167
兩年前失竊的320萬俄國漢堡王客戶資料流入網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>涉及約320萬個不重複電子郵件地址的俄國漢堡王（Burger King Russia）客戶資料近日可能流入網上。</p> <p><a href="https://haveibeenpwned.com/Breach/BurgerKingRussia">Have I Been Pwned本周將這家速食業者</a>的數百萬筆俄國顧客集加入外洩資料名稱。外洩的個人資訊包括名字、出生日期、電子郵件信箱、性別、地理區域及電話號碼等。</p> <p>這批資料出自2024年8月Mindbox行銷自動化平臺的攻擊事件，該起攻擊導致其企業客戶大量敏感資料外洩，其中最著名的受害者為俄羅斯漢堡王（Burger King Russia）。同年10月俄國漢堡王證實客戶資料可能受到影響，但該公司表示外洩的資料不包括財務資料、因為Mindbox並不存取支付資訊及護照號碼。</p> <p><a href="https://www.theregister.com/cyber-crime/2026/09/22/well-done-hack-flames-32m-burger-king-russia-users/5298114">The Register報導</a>，外洩的漢堡王資訊可能最早為2018年5月。當時也有報導估計外洩資訊為560萬行，並包括顧客點餐等消費紀錄。</p> <p>至於何以資安事件和被HIBP收錄的時間點差別那麼大，可能是這批資料近日才在公開網路或暗網上流傳，且由主持HIBP的資安專家Troy Hunt取得並完成確認才收錄所致。</p> </div></div></div>
9/23 14:30林妍溱https://www.ithome.com.tw/news/179168
川普貼文提前50毫秒賣華爾街，Truth Social遭舊金山提告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國舊金山市檢察長David Chiu周一（9/21）代表加州人民<a href="https://www.democracydefendersfund.org/news/sf-city-attorney-sues-truth-social-for-enabling-insider-trading-by-selling-early-access-to-trump-posts/">提告Truth Social母公司Trump Media & Technology Group（Trump Media）</a>，指控該公司透過付費服務Truth API，以每月最高10萬美元的價格，讓高頻交易業者比一般使用者提前約50毫秒取得美國總統川普（Donald Trump）等人的Truth Social貼文，藉此搶先交易，違反加州《不公平競爭法》（Unfair Competition Law，UCL）。</p> <p>Trump Media是川普控制的上市媒體科技公司，旗下業務涵蓋社交平臺、串流影音及金融科技。該公司於8月1日正式推出Truth API，提供Truth Social最具影響力的10個帳號貼文，包括川普、白宮官方帳號、副總統JD Vance及多名政府高層，並透過低延遲資料傳輸，讓付費客戶比一般使用者提前約50毫秒，也就是0.05秒取得貼文。服務每月收費10萬美元，簽訂3年合約則降至每月6萬美元，目前已有超過10家客戶，包括高頻交易業者及金融新聞機構。</p> <p>一般使用者幾乎無法察覺50毫秒，但對高頻交易業者可能具有重大價值。舊金山市政府指出，大型金融業者利用複雜的演算法及其他技術，可在微秒內分析資訊並進行交易，因此若能提前50毫秒取得可能影響市場的消息，就可能在其他市場參與者取得相同資訊前完成交易。</p> <p>該市舉例，Truth API在8月1日上線當天，川普就在Truth Social宣布取消原定對伊朗的軍事攻擊，消息發布後油價立即下跌約5%；8月21日，川普又透過Truth Social宣布聯邦政府將採取措施，允許牛絞肉免關稅進口，之後活牛期貨價格明顯下跌。該市認為這些案例顯示川普的Truth Social貼文可能迅速影響金融市場。</p> <p>舊金山市政府主張，讓有能力支付高額費用的交易業者提前取得重大非公開政府資訊，將使一般企業及投資人處於劣勢，同時指控Trump Media刻意建立一套將非公開政府資訊轉化為公司及川普私人利益的機制。</p> <p>此一訴訟要求法院禁止Trump Media繼續從事相關不公平商業行為，並追討因違法行為取得的利益及民事罰款。Trump Media則向媒體否認了相關指控，表示這起訴訟混淆了公開與非公開資訊的差別。</p> </div></div></div>
9/23 14:47陳曉莉https://www.ithome.com.tw/news/179170
義大利政府信箱遭盜用，駭客冒充地方政府機關向Revolut索取資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國金融科技業者Revolut近日發生一起資料外洩事件，攻擊者並非直接入侵Revolut系統，而是先盜用義大利政府的認證電子郵件（PEC）帳號，再冒充政府機關向Revolut提出客戶資料調閱要求。義大利政府目前已確認，雷焦卡拉布里亞省長公署（Prefettura di Reggio Calabria）的PEC電子郵件信箱遭到入侵，Revolut也確認共有680名Revolut客戶資料被提供給未經授權者。</p> <p>這起事件最早由<strong><a href="https://techcrunch.com/2026/09/12/revolut-confirms-customer-data-breach-through-fake-government-requests/">TechCrunch於9月12日揭露</a></strong>，Revolut證實發生資料外洩事件，原因是未經授權的第三方利用合法政府機關網域的電子郵件信箱，向Revolut提出偽造的客戶資料調閱要求，導致其在誤認為合法政府要求的情況下，不慎提供部分客戶資料。該公司在發現異常後，已通報相關政府機構，並表示Revolut自身系統和客戶資金均不受影響。</p> <p>在這起事件後，有政府官員披露更多細節。當地媒體<strong><a href="https://ildispaccio.it/calabria/reggio-calabria/2026/09/18/revolut-violata-una-pec-della-prefettura-di-reggio-calabria-coinvolti-otto-clienti-italiani/">Il Dispaccio指出</a></strong>，義大利內政部次長Wanda Ferro在9月18日於眾議院接受<strong><a href="https://webtv.camera.it/evento/32250">國會質詢時</a></strong>表示，義大利國家網路安全局（ACN）於9月12日接獲Revolut通報，說明該公司可能發生資安事件，ACN旗下CSIRT Italia隨後分析Revolut提供的一封詐騙郵件樣本，確認該PEC信箱確實遭到入侵。</p> <p>Ferro並指出，Revolut於9月15日已經確認，共有680名客戶資料被提供給未經授權者。ACN目前正與Revolut及義大利內政部持續調查，當地檢方也已就未經授權存取公共資訊系統立案。</p> </div></div></div>
9/23 15:12羅正漢https://www.ithome.com.tw/news/179169
Rust核心工具Cargo維護人力吃緊，新增全職維護者支援至少一年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Rust核心建置與套件管理工具Cargo團隊將<strong><a href="https://blog.rust-lang.org/2026/09/22/announcing-a-maintainer-in-residence-scott-schafer-for-the-cargo-team/">增加</a></strong>一名至少投入12個月的全職受資助維護者。Cargo是Rust的建置系統與套件管理器，近期因部分成員離開，加上部分成員原有的Cargo維護資助中斷，投入時間縮減，團隊維持基本維護工作的壓力增加。</p> <p>新職位由Rust基金會維護者基金（Rust Foundation Maintainers Fund，RFMF）支應，Rust領導委員會增加對RFMF的預算投入，AWS也提供額外資金。Cargo團隊成員Scott Schafer將擔任這項全職職務，至少投入12個月維護工作。</p> <p>Cargo維護人力不足並非首次出現，團隊過去還曾凍結新功能開發，優先處理技術債、程式重構，以及積壓的待處理問題和程式碼合併請求，希望把有限人力集中在維持Cargo正常運作。Rust官方指出，一名全職維護者仍不足以完全解決Cargo的維護壓力，但能增加團隊處理日常維護工作的能力。</p> <p>Scott Schafer三年前加入Cargo團隊，也是Rust Docker團隊負責人，參與各版本Rust官方Docker映像檔維護。Scott Schafer曾實作Cargo工作區繼承功能，也推動Rust編譯器與Cargo共用診斷介面，讓Rust編譯器與Cargo能以一致方式呈現錯誤與警告訊息。</p> </div></div></div>
9/23 13:03李建興https://www.ithome.com.tw/news/179161
ShinyHunters傳駭入FBI，宣稱竊取探員個資及應徵者資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>媒體報導，駭客組織ShinyHunters在暗網網站上宣稱駭入美國聯邦調查局（FBI）網站，竊得幾乎所有探員及應徵者資訊高達數TB。</p> <p><a href="https://www.404media.co/we-hacked-the-fbi-hackers-say-they-have-data-on-all-fbi-employees/">404 Media首先報導</a>這項消息，媒體並自稱取得外流的探員及其配備資訊樣本，包括姓名、地址和電話號碼，並已驗證資料的真實性。該網站目前無法存取。</p> <p>FBI和ShinyHunters都未對此評論。</p> <p>根據<a href="https://techcrunch.com/2026/09/22/hacking-group-shinyhunters-claims-it-breached-the-fbi-stole-agents-and-applicants-data/">TechCrunch</a>報導，ShinyHunters宣稱取得FBI內部幾乎所有探員的資料，而且置換了FBI招聘入口網站網頁。隨後這個網頁也顯示為「維修中」狀態。</p> <p>報導指出，ShinyHunters聲稱其動機並不是為了金錢，而是不滿FBI今年5月一份<a href="https://www.ic3.gov/PSA/2026/PSA260515">公開警告</a>。該警告稱ShinyHunters攻擊線上學習管理系統，擾亂教育機構和學生服務、竊取隱私資訊，用以製作精準釣魚內容。ShinyHunters歹徒還會謊稱竊取敏感資訊、及私密相片或影片，藉此以文字訊息或電話勒索受害人支付贖款。</p> <p>最新報導指出，ShinyHunters攻擊旨在要求FBI撤下「不實指控」。歹徒聲稱手上有數TB FBI探員的資訊，但沒有說如果要求遭拒的後果為何。過去ShinyHunters若和受害組織談判失敗，就會將竊得的資料在網站上公開供他人下載。</p> <p>FBI資料庫一旦外洩，可能嚴重影響美國及國際刑事案件偵辦。</p> <p>今年8月英國警察國家法律資料庫（Police National Legal Database，PNLD）維護單位也<a href="https://www.ithome.com.tw/news/177858">證實</a>系統遭駭。駭客組織ExfilSquad宣稱竊得PNLD達13.5萬筆紀錄。外洩資料包括英格蘭及威爾斯警務人員、刑事司法專業人員、政府合作夥伴及客戶的姓名、組織及工作電子郵件地址。</p> </div></div></div>
9/23 13:13林妍溱https://www.ithome.com.tw/news/179164
川普宣布將人工智慧改稱超級智慧，反對全球AI監管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國總統<a href="https://gadebate.un.org/en/81/united-states-america">川普（Donald Trump）本周二（9/22）在聯合國大會（United Nations General Assembly，UNGA）的General Debate上演講</a>，直接表達美國反對任何以全球主義架構控制人工智慧（Artificial Intelligence，AI）的企圖，而且決定從此把「人工智慧」這個詞改為「超級智慧」（Super Intelligence，SI），因為「人工」（Artificial）這字讓智慧聽起來像是假的，可它並不是，還說希望全球跟進。</p> <p>川普說，相關技術其實非常驚人，恰巧與Artificial這個字給人的感覺相反，因此，從現在開始，所有的美國政府文件，也希望全世界的文件，都以Super來取代Artificial，成為Super Intelligence。</p> <p>此外，每一項新科技都會帶來挑戰，超級智慧也不例外，他舉例，那些曾經說全球暖化會讓所有人在12年內死亡的人，發現地球在降溫而非升溫，就把名稱改為氣候變遷，而且也沒人因此死亡。現在是同一批人告訴我們，AI將殺死所有人，機器人也會攻擊我們，一切都會成為徹底的災難。</p> <p>「誰贏得SI，誰就贏了。」川普之前說過同樣的話，但當時用的字是AI。川普表示，現在美國大幅領先中國與其它國家，而且將保持非常明確且強大的領先地位，他不會扼殺一項可能比工業革命更加重要的科技發展。許多人甚至認為，它的重要性將超越工業革命或網際網路本身。</p> <p>不過，川普也表示，美國將會非常小心應對新科技的挑戰，亦已針對該議題動用司法部，必要時，其它執法機構也會介入控制相關問題。</p> <p>在這個議題上，川普強調美國只會鼓勵超級智慧，而不是限制它，美國將以安全且負責任的方式繼續維持領先。</p> </div></div></div>
9/23 13:19陳曉莉https://www.ithome.com.tw/news/179165
針對CRA開源責任，OpenSSF以3類角色協助開源社群判斷義務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐盟《網路韌性法案》（CRA）陸續進入落地階段，不同開源軟體參與者究竟需要承擔哪些責任，也成為開源社群關注的問題。開源安全基金會（OpenSSF）9月15日<strong><a href="https://openssf.org/blog/2026/09/15/grow-cra-readiness-find-your-path-through-the-european-union-cyber-resilience-act/">推出「Grow CRA Readiness」CRA準備指南</a></strong>，協助開源社群判斷自身義務，依3種不同角色提供相應的準備路徑與資源。</p> <p>以開源維護者／貢獻者而言，OpenSSF指出，多數參與非商業開源軟體開發的人，並不是承擔CRA製造商責任的一方。OpenSSF因此在這套資源中整理相關實務安全指引，協助維持專案安全，也降低下游使用者的負擔。</p> <p>以開源軟體管理者（Open Source Software Steward）而言，CRA另行定義並規範這類角色，主要涵蓋持續支援特定開源軟體開發與維運的組織。OpenSSF則在這套資源中整理與其責任相應的指引，協助相關組織了解應採取的準備措施。</p> <p>至於含數位元素產品的製造商，則是將軟體或硬體產品以自身名稱或商標推出至市場的業者。OpenSSF指出，這類角色承擔的CRA責任最廣，因此相關路徑主要面向產品、工程、資安及法遵團隊，協助尋找CRA準備所需資源。</p> <p>值得注意的是，這3類身分並非完全互斥，同一組織可能因不同專案或產品同時扮演不同角色。OpenSSF也引用先前Podcast節目中Roman Zhukov在對談時提出的「社群花園」比喻，將維護者／貢獻者比作業餘園丁、開源軟體管理者比作花園協會，製造商則是將花園成果轉化為產品的角色；三者都對開源生態系有所貢獻，但承擔的責任並不相同。</p> <p><a href="/sites/default/files/images/（圖1）cra_readiness_community_garden_資料來源OpenSSF.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89cra_readiness_community_garden_%E8%B3%87%E6%96%99%E4%BE%86%E6%BA%90OpenSSF.jpg" style="width: 600px;" /></a></p> <p>除了角色辨識，OpenSSF這次也整合既有CRA課程、指南與研究，並將OSPS Baseline、SLSA、Sigstore、GUAC及Gemara等開源安全與軟體供應鏈工具納入資源。OpenSSF表示，組織不需要一次解決所有CRA準備問題，現階段可先確認自身角色並建立準備計畫，再依需求尋找相應的指引與工具。</p> </div></div></div>
9/23 11:42羅正漢https://www.ithome.com.tw/news/179158
OpenAI公布GPT-6 Sol、Luna，價格較前代降低一半
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼頂級的Astra後，OpenAI周二（9/22）<a href="https://openai.com/index/introducing-gpt-6-sol-and-luna/">宣布</a>GPT-6 Sol及輕量模型GPT-6 Luna，成為GPT-6家族最新成員。</p> <p>OpenAI隨著快取和推論能力的提升，使其得以更低成本提供強大模型功能，Sol和Luna的API價格皆較GPT-5.6版降一半。其中Sol每百萬token輸入/輸出價格由4/20美元降為2/10美元，Luna則從0.2/1.2降為0.1和0.5美元。</p> <p>OpenAI表示，GPT-6 Sol與Luna採用與GPT-6 Astra相近的訓練方法，強化專業工作、事實正確性、程式開發、電腦操作及指令遵循能力。例如GPT-6 Sol效能超越Anthropic Opus 5，但每任務的成本僅9%，也超越頂級的Claude Fable 5.1。GPT-6 Luna效能也超越前代，每項任務成本則降低58%。</p> <p>以開發工作而言，OpenAI引述報告指出，在AI輔助的程式撰寫成本平均每日達600美元的今天，可以大幅降低開發單位的成本。OpenAI內部研究數據顯示，在程式撰寫的幾個基準測試如FrontierCode、DeepSWE v1.1基準測試，以及電腦使用能力測試OSWorld offline 2.0的成績，GPT-6 Sol的效能都逼近Anthropic Claude Fable 5或5.1。GPT-6 Luna則以1/10成本超越5.6 Sol。</p> <p>在事實正確性方面，GPT-6 Sol犯的錯誤比前一代減少一半，Luna的效能逼近GPT-5.6版Sol，但價格僅1/100。兩者生成文字也都更精簡扼要、少行話，文字更流暢、邏輯更清楚，提升了和人類的溝通協同能力。</p> <p>除了更低的token成本外，OpenAI也加大GPT-6 Sol和Luna的提示快取能力，使代理人可重用上下文、加速回應速度，並減少token使用量。其他新增開發工具包括診斷工具、快取儀表板（Caching Dashboard）、推理調整工具以及設定快取的prefix功能等。最後，OpenAI表示，GPT-6 Sol與Luna也延續Astra的模型對齊改進成果。</p> <p>GPT-6 Astra在二周前<a href="https://www.ithome.com.tw/news/178895">推向</a>ChatGPT、Codex和API。GPT-6 Sol與Luna則已於9月22日提供ChatGPT Work、Codex及API使用，GPT-6 Luna另提供Free及Go用戶在桌面版使用。</p> </div></div></div>
9/23 11:49林妍溱https://www.ithome.com.tw/news/179160
Anthropic推出Claude Opus 5.5，AI越界行為減少85%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/claude-opus-5-5">Anthropic周二（9/22）推出新一代旗艦AI模型Claude Opus 5.5</a>，為Claude 5.5系列首款模型，不只效能與成本有所改善，在一項新的安全評估中，試圖突破限制邊界的行為也較Opus 5及Claude Mythos 5.1減少約85%。</p> <p>Anthropic表示，Opus 5.5是<a href="https://www.ithome.com.tw/news/178894">執行長Dario Amodei日前呼籲業界</a>放慢前沿AI發展速度後，該公司推出的首款模型。除了在發布前交由METR及Frontier Design等外部機構測試，也接受Anthropic目前最完整的自動化行為稽核（Automated Behavioral Audit），這項測試涵蓋近2,000種模擬情境，用來檢驗模型可能出現的失準行為，Opus 5.5的測試結果優於Anthropic先前所有模型。</p> <p>其中，Anthropic新增測試模型是否企圖跨越限制邊界的評估，結果顯示，Opus 5.5試圖規避限制的次數，比Opus 5或Claude Mythos 5.1減少約85%，仍出現的越界嘗試均屬低嚴重程度，且模型會自行回報。Opus 5.5在偏誤或動機性推理、試圖逃離沙箱，以及發現自己處於模擬環境後採取有害行動等行為上也有所改善。不過，Anthropic指出，Opus 5.5在測試中有時會察覺自己正在接受評估，因此結果未必能完全反映模型在真實環境中的行為。</p> <p>在效能上，Anthropic公布的測試顯示，Opus 5.5與OpenAI的GPT-6 Astra互有勝負。在代理式程式開發測試Terminal-Bench 4.0中，Opus 5.5取得66.4%，高於Astra的57.9%；FrontierCode則為54.4%，略高於Astra的53.3%。知識工作測試GDPval-AA v2.1中，Opus 5.5取得1846 Elo，也高於Astra的1542。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0923-opus-600-1.png" style="width: 500px;" /></p> <p>不過，Astra在部分測試仍領先Opus 5.5，包括商業工作流程AutomationBench取得41.4%，高於Opus 5.5的40%；代理式科學研究Terminal-Bench-Science則為64.6%，高於Opus 5.5的58.7%。Opus 5.5典型工作負載成本則較Opus 5降低40%，輸出速度提高超過30%，每百萬個輸入及輸出token價格分別為4美元及20美元。</p> <p>Claude Opus 5.5目前已在Claude所有平臺上推出，<a href="https://x.com/claudeai/status/2102435538120691886">Anthropic也提高</a>Pro、Max、Team及部分Enterprise方案的Claude使用額度，讓用戶在原本每5小時的額度周期內可使用更多Claude，並提供訂閱用戶一次可自行選擇時間使用的額度重置機會。Claude Sonnet 5.5及Claude Haiku 5.5則將在未來幾周推出。</p> </div></div></div>
9/23 11:57陳曉莉https://www.ithome.com.tw/news/179162
Arista公布SD-WAN集中管理平臺VCO滿分漏洞，並警告已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>9月22日Arista<strong><a href="https://www.arista.com/en/support/advisories-notices/security-advisory/24765-security-advisory-0183">發布資安公告</a></strong>，於企業內部網路環境建置的SD-WAN集中管理平臺VeloCloud Orchestrator（VCO）存在重大漏洞CVE-2026-93952，遠端攻擊者可用於存取內部特權功能，影響VCO及其資料的機密性、完整性，以及可用性，CVSS嚴重程度評為滿分10分（CVSS v4.0為9.5分），值得留意的是，Arista表示該弱點由外部研究人員通報，且已遭到積極利用，同一天美國網路安全與基礎設施安全局（CISA）也<strong><a href="https://www.ithome.com.tw/news/179150">將其列入已遭利用的漏洞名單（KEV）</a></strong>，要求聯邦機構緊急在3天內完成修補。</p> <p>Arista指出利用CVE-2026-93952必須搭配特定條件，首先，攻擊者需要存取VCO網頁介面，但不需事先取得VCO租戶或操作員的憑證，再者，則是IT人員要在VeloCloud Edge設置以憑證對VCO進行身分驗證，而且攻擊者能夠存取VeloCloud Edge身分驗證憑證公開的部分。</p> </div></div></div>
9/23 10:21周峻佑https://www.ithome.com.tw/news/179154
60萬網站採用的WordPress行事曆外掛曝兩項重大RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Wordfence<strong><a href="https://www.wordfence.com/blog/2026/09/wordfence-argus-identifies-two-critical-unauthenticated-vulnerability-chains-leading-to-remote-code-execution-in-the-events-calendar-plugin/">揭露</a></strong>WordPress行事曆外掛<a href="https://wordpress.org/plugins/the-events-calendar/">The Events Calendar</a>兩項重大遠端程式碼執行（RCE）漏洞。受影響版本的網站若在活動頁開啟留言功能，攻擊者不需登入帳號，也不用等管理員核准留言，就可能在伺服器執行任意命令或接管網站。The Events Calendar目前有超過60萬個網站使用。</p> <p>兩項漏洞編號為CVE-2026-78006與CVE-2026-78159，風險評分均達9.8分，滿分為10分。前者影響6.17.4及之前版本，後者影響6.17.3及之前版本，兩項漏洞的攻擊方式不同，但都從The Events Calendar處理活動頁留言的方式切入。</p> <p>WordPress原本不會把留言內容送進區塊解析流程，The Events Calendar卻把包含留言區的整個活動頁面交給區塊解析機制處理，讓訪客送出的留言也進入解析流程。WordPress允許留言者透過專用網址查看自己的待審核留言，因此攻擊者送出特製留言後，不需等待管理員核准，就能自行開啟預覽頁面觸發漏洞。</p> <p>CVE-2026-78006發生在PHP還原小工具資料的過程，外掛會先檢查資料是否安全，但PHP在資料還原完成前，可能先執行資料內物件的特殊處理函式。攻擊者可利用格式異常的資料讓外掛誤判內容安全，WordPress後續處理資料時可執行攻擊者指定的系統命令。</p> <p>CVE-2026-78159則利用另一項資料檢查缺陷，讓原本處理頁面樣式的程式呼叫WordPress帳號更新功能，進而重設管理員密碼。攻擊者可用重設後的密碼登入WordPress管理後臺並上傳惡意外掛，達成遠端程式碼執行。</p> <p>The Events Calendar開發團隊已釋出修補版本，研究人員建議使用者升級至6.17.4.1或更新版本。兩條攻擊鏈都不需要登入帳號，也不需等待留言通過審核，受影響版本中，活動頁必須開啟留言功能，才符合目前已知的利用條件。</p> </div></div></div>
9/23 10:35李建興https://www.ithome.com.tw/news/179153
Google發布Chrome 154，修補108個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>9月22日Google發布<strong><a href="https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_0856730748.html">Chrome大改版154</a></strong>，總共修補108個資安漏洞，其中有11個重大等級、25個高風險等級。Windows與macOS版用戶應更新至154.0.8037.57或154.0.8037.58，Linux與<strong><a href="https://chromereleases.googleblog.com/2026/09/chrome-for-android-update_0557044394.html">Android版</a></strong>用戶應更新至154.0.8037.57以套用相關修補。</p> <p>從弱點的類型來看，記憶體釋放後再存取使用（Use After Free）最多，有23個，授權不正確與缺乏授權分別有12個、11個；介面歪曲（UI misrepresentation）問題有12個。</p> </div></div></div>
9/23 11:08周峻佑https://www.ithome.com.tw/news/179155
Check Point、F5、Arista應用系統漏洞遭積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>9月22日美國網路安全與基礎設施安全局（CISA）表示，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/09/22/cisa-adds-four-known-exploited-vulnerabilities-catalog">已掌握4個漏洞遭積極利用的證據</a></strong>，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構必須在9月25日前完成修補。這些漏洞是：Check Point憑證驗證不當漏洞CVE-2026-85102、路徑遍歷漏洞CVE-2026-93616，以及Arista VeloCloud Orchestrator輸入驗證不當漏洞CVE-2026-93952、F5 BIG-IP APM記憶體堆積緩衝區溢位漏洞CVE-2026-94127。</p> <p>值得留意的是，根據CVSS嚴重程度評分，這些漏洞都達到重大等級，CVE-2026-93952達到滿分10分，其餘3個皆為9.8分，相當危險。其中，<strong><a href="https://www.arista.com/en/support/advisories-notices/security-advisory/24765-security-advisory-0183">Arista</a></strong>與<strong><a href="https://my.f5.com/manage/s/article/K000162605">F5</a></strong>同於9月22日發布公告，並指出漏洞遭到利用；Check Point<strong><a href="https://www.ithome.com.tw/news/178868">於兩週前修補上述弱點</a></strong>。</p> </div></div></div>
9/23 09:39周峻佑https://www.ithome.com.tw/news/179150
F5揭露及修補已遭利用的BIG-IP APM重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>9月22日F5<strong><a href="https://my.f5.com/manage/s/article/K000162605">發布資安公告</a></strong>，指出BIG-IP元件Access Policy Manager（APM）在特定配置會下會受到資安漏洞CVE-2026-94127影響，此為記憶體堆積緩衝區溢位類型的弱點，存在於將APM設置為OAuth授權伺服器的模式，當APM的存取政策與OAuth設定檔同時出現在虛擬伺服器，攻擊者就有機會利用惡意流量遠端執行任意程式碼（RCE），CVSS嚴重程度評為9.8分（CVSS v4.0為9.3分）。</p> <p>值得留意的是，F5表示，已發現漏洞遭到利用，美國網路安全與基礎設施安全局（CISA）也<strong><a href="https://www.ithome.com.tw/news/179150">將此弱點列入已遭利用的漏洞名單（KEV）</a></strong>。對此，我們也向F5進行了解，該公司表示已根據流程通知客戶。</p> <p>此弱點僅影響APM的OAuth元件，F5為APM的21.1、17.5與17.1版發布修補程式，該公司強調，並非所有的APM都存在風險，若是用戶將APM當作OAuth用戶端或資源伺服器，未設定OAuth授權伺服器設定檔，就不會受到影響。</p> </div></div></div>
9/23 09:51周峻佑https://www.ithome.com.tw/news/179151
Google推出AndroidX Security State程式庫，企業可掌握裝置實際修補情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Android裝置的不同系統元件可透過不同機制取得安全更新，因此企業若只查看裝置顯示的安全性修補程式等級（Security Patch Level，SPL），不一定能完整掌握各元件的修補情況。<a href="http://android-developers.googleblog.com/2026/09/introducing-androidx-security-state-libraries.html" target="_blank">Google近期推出</a>AndroidX旗下Security State及Security State Provider程式庫的穩定版本，讓應用程式能進一步掌握裝置的修補狀態。</p> <p><a href="http://developer.android.com/jetpack/androidx/releases/security" target="_blank">Security State</a>可分別掌握Android系統、系統模組及核心的安全修補狀態，並比較裝置相關元件目前安裝的安全性修補程式等級，與Android安全公告針對這些元件公布的修補等級，藉此判斷相關元件是否缺少安全修補，甚至可進一步確認裝置是否已修補特定CVE。</p> <p>這項能力也讓企業能依據裝置的安全修補狀態管控資料存取，例如先檢查裝置各元件的修補情況，再決定是否允許使用者存取敏感資料。對銀行等安全要求較高的應用情境，則可在進行付款等敏感操作前，進一步確認裝置是否已修補重要漏洞。</p> <p>不過，Security State能否掌握裝置目前可安裝的安全更新，仍取決於裝置上的更新用戶端是否提供相關資訊。Security State Provider則提供標準化機制，讓OTA用戶端等更新機制提供裝置可取得的安全更新資訊。目前Google Play系統更新已支援這項功能，Google也正與裝置製造商合作，讓更多裝置支援這項能力。</p> </div></div></div>
9/23 08:00王珮瑤https://www.ithome.com.tw/news/179099
PQC轉型不只更換演算法，企業面臨既有系統改造
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>澳洲通訊局（ASD）公布<a href="https://www.linkedin.com/pulse/preparing-post-quantum-cryptography-part-yd6sc/" target="_blank">後量子密碼學（PQC）轉型系列第四階段建議</a>。第四階段開始進行實際的系統調整。組織需根據先前完成的<a href="https://www.ithome.com.tw/news/178653" target="_blank">密碼學資產盤點</a>、<a href="https://www.ithome.com.tw/news/178678" target="_blank">風險評估</a>及<a href="https://www.ithome.com.tw/news/178723" target="_blank">轉型優先順序</a>，開始規畫並導入抗量子密碼演算法。</p> <p>進入實作階段後，企業面臨的不只是更換密碼演算法。ASD指出，企業可能必須更新或修補既有應用程式、裝置及平臺，並調整密碼學函式庫、通訊協定與組態；無法支援抗量子密碼演算法的元件則可能需要更換。若既有產品無法透過升級支援PQC，或供應商沒有明確的PQC支援規畫，企業也可能改用支援PQC的產品。</p> <p>PQC轉型通常需要分階段進行，期間可能出現採用不同密碼學機制的系統並存情況。彼此相連的系統若PQC轉換進度不同，可能出現相容性問題，並對既有服務造成非預期影響，因此企業可分階段部署修改後的系統，並在擴大部署前進行測試及驗證。PQC轉型期間，企業也可能暫時採用結合傳統密碼演算法與抗量子密碼演算法的混合方案，不過ASD認為這類方案只能作為過渡措施，最終仍需轉向純PQC。</p> <p>ASD先前針對供應商PQC準備度提出的指引也提醒，營運技術（OT）、IoT、實體門禁、網路設備及建築管理系統等環境中的部分設備使用年限較長，採用的密碼學功能也不容易更新，企業可能需要仰賴供應商提供升級或設備更換方式，以支援PQC轉型。</p> <p>七大工業國集團（G7）近期也開始將PQC轉型延伸至實際採購，<a href="http://www.ithome.com.tw/news/178742" target="_blank">G7網路安全工作小組日前呼籲</a>政府與企業加快PQC轉型。對企業而言，可配合既有設備與系統的正常汰換週期，逐步採購支援PQC的產品；政府則可將量子安全要求納入公共採購條件，促使市場提供更多支援PQC的產品與服務。</p> </div></div></div>
9/23 08:00王珮瑤https://www.ithome.com.tw/news/179101
SolarWinds修補ARM高風險漏洞，寫死金鑰恐造成遠端程式碼執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路、系統與IT管理軟體業者SolarWinds揭露旗下存取權限稽核系統<a href="https://www.solarwinds.com/trust-center/security-advisories/cve-2026-28326" target="_blank">Access Rights Manager（ARM）的高風險漏洞CVE-2026-28326</a>，該漏洞CVSS風險分數為8.8分，影響ARM 2026.2及之前所有版本。漏洞源自ARM採用寫死的靜態金鑰，未經身分驗證的攻擊者可能藉此遠端執行程式碼。SolarWinds已在9月17日<a href="https://documentation.solarwinds.com/en/success_center/arm/content/release_notes/arm_2026-2-1_release_notes.htm" target="_blank">發布ARM 2026.2.1修補漏洞</a>。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0923-solarwind-600-1.png" style="width: 500px;" /></p> <p>不過，攻擊者若要利用這項漏洞，仍受到網路環境限制。根據SolarWinds公布的CVSS評估，攻擊者必須能從相鄰網路發動攻擊，但攻擊複雜度低，不需要事先取得系統權限，也不需要使用者進行任何操作。仍使用舊版ARM的企業在安裝修補版本時，還需注意產品的升級路徑。ARM 2023.2.4以前版本無法直接升級至目前版本，必須先升級至2023.2.4，再依SolarWinds支援的升級路徑逐步升級至ARM 2026.2.1。</p> </div></div></div>
9/23 08:00王珮瑤https://www.ithome.com.tw/news/179139
企業AI程式開發助手工作階段遭劫持，Shai-Hulud蠕蟲擴散至約百個內部程式碼儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google旗下資安業者Mandiant<a href="https://cloud.google.com/security/resources/ai-risk-and-resilience-2026" target="_blank">揭露一起AI程式開發工具相關攻擊事件</a>。攻擊者入侵一家未具名的軟體即服務（SaaS）業者後，劫持開發人員正在使用的AI程式開發助手工作階段。這起攻擊最終讓Shai-Hulud蠕蟲擴散至約100個內部程式碼儲存庫。</p> <p>根據Mandiant調查，在遭劫持的工作階段中，AI程式開發助手建議開發人員安裝已遭攻擊者污染的外部軟體套件。開發人員接受建議後，攻擊者繼續利用遭劫持的AI程式開發助手工作階段，透過遭污染的PyPI套件安裝資訊竊取程式，並擷取GitHub OAuth權杖。攻擊者隨後部署可自行擴散的Shai-Hulud蠕蟲，自動竊取內部程式碼儲存庫中的機密資訊，並竊走該公司產品的專有原始碼。攻擊者還污染受害企業官方命名空間內的套件，另一名員工之後拉取遭污染的套件版本，因而造成第二次感染。</p> <p>研究人員建議企業不要直接信任AI程式開發助手推薦的第三方相依套件，可利用密碼學雜湊值及核准清單，確認套件是否符合企業核准條件。企業也應避免讓擴充套件直接存取API金鑰及長效OAuth權杖，以降低開發環境中的憑證遭竊風險。此外，企業可限制開發工作站直接連線至外部套件來源，改由企業控管的內部套件儲存庫取得相依套件。</p> </div></div></div>
9/23 08:00王珮瑤https://www.ithome.com.tw/news/179145
AWS開源Strands Harness，預組代理最佳化設定降低詞元成本達28%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS<strong><a href="https://strandsagents.com/blog/introducing-strands-harness/">開源</a></strong>AI代理專案Strands Agents發布Strands Harness，提供一套已預先配置的通用AI代理執行框架，開發者不必自行組合工具、記憶及上下文管理機制即可開始使用。官方使用相同Claude或GPT模型進行六項基準測試，Strands Harness相較Claude Code、Codex等代理框架詞元（Token）成本低28%，測試分數大致相近。</p> <p>AI代理除了模型，還需要軟體來負責工具呼叫、工作狀態與上下文管理，相關軟體層通常稱為Harness。Strands Harness的做法是先提供一套經基準測試的預設配置，涵蓋工具、提示快取、上下文、記憶與工作階段管理。開發者可以直接使用，也能逐項更換設定，不必從Strands Harness SDK自行組合所有元件。</p> <p>Strands Harness把控制上下文用量做成預設機制，也是官方用來解釋成本差異的主要設計。工具執行結果超過約1,500個詞元時會截短內容，上下文視窗使用量超過85%時會摘要較早內容，較大的工具結果可移至檔案保存，提示快取可重用先前內容，節省處理時間與成本。</p> <p>Strands Harness可用於建立程式開發以外的AI代理，框架支援Amazon Bedrock、Anthropic、OpenAI、Google、Ollama及LiteLLM，預設代理具備命令列、檔案與網頁操作、長期記憶、內建輔助代理、工作清單與Skills載入功能。部署環境不限AWS，Strands Harness可部署至支援Linux容器的平臺，包括Modal、Cloudflare Containers、Azure Container Apps、Google Cloud Run、Amazon ECS及Amazon Bedrock AgentCore。</p> <p>Strands也提供命令列介面，開發者可先加入模型、提示內容與工具測試代理，完成原型後再以/export指令輸出Python或TypeScript程式碼。Strands團隊表示，後續將發布與基準測試相關的論文，因此28%的成本差異目前仍屬專案方公布的測試結果。</p> </div></div></div>
9/22 18:38李建興https://www.ithome.com.tw/news/179146
【資安日報】9月22日，臺灣工業自動化業者遭中國駭客Red Heron竊取數百個程式碼儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/node/179140#Red">中國駭客Red Heron利用Gitea重大漏洞攻擊臺灣工業自動化業者</a><br /> ● <a href="https://www.ithome.com.tw/node/179140#OT">美國科羅拉多州供水企業遭駭，攻擊者直接干擾OT系統運作</a><br /> ● <a href="https://www.ithome.com.tw/node/179140#TW">臺灣數位信任協會倡議「臺灣資安日」提升全民資安意識</a><br /> ● <a href="https://www.ithome.com.tw/node/179140#Math">互動教學平臺Mathspace遭駭，逾107萬人個資外洩</a> <br /> ● <a href="https://www.ithome.com.tw/node/179140#NIST">NIST發布IR 8536製造業供應鏈追溯框架，以密碼學建立可驗證紀錄</a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/179104"><span style="font-size: 22px;"><strong>美國CISA警告兆勤交換器高風險漏洞遭積極利用</strong></span></a></p> <p>9月21日美國網路安全與基礎設施安全局（CISA）發布警訊，指出已掌握兆勤（Zyxel）GS1900交換器高風險漏洞CVE-2026-7273遭積極利用的證據，將其列入已遭利用的漏洞名單（KEV），聯邦機構需在9月24日前完成修補。CVE-2026-7273為記憶體堆積緩衝區溢位漏洞，位於區域網路（LAN）中的攻擊者可在未通過身分驗證的情況下，藉由發送特製的HTTP請求觸發漏洞，從而執行作業系統指令，CVSS嚴重程度評分為8.8，兆勤已於今年6月中旬發布新版韌體修補。<a href="https://www.ithome.com.tw/news/179104">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179106"><span style="font-size: 22px;"><strong>與中國駭客Red Heron有關的攻擊者滲透近1,000臺GS1900兆勤交換器，臺灣受害數量排名第3</strong></span></a></p> <p><a href="/sites/default/files/images/6ab19fbcfbb4d0483a90782a_open-season-kapibala-exploitation-timeline_2-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/6ab19fbcfbb4d0483a90782a_open-season-kapibala-exploitation-timeline_2-156.jpg" style="width: 300px; float: right;" /></a>美國網路安全與基礎設施安全局（CISA）於9月21日，將兆勤（Zyxel）GS1900系列交換器資安漏洞CVE-2026-7273列入已遭利用的漏洞名單（KEV），同一天威脅情報公司GreyNoise表示，他們發現首起利用該漏洞的活動。GreyNoise自今年5月7日開始偵測到一連串的攻擊活動，並指出攻擊者的身分，可能就是不久前Acronis揭露的中國駭客Red Heron，或是與其相關的團體。這些駭客先後針對PAN-OS GlobalProtect、UniFi OS、WordPress、Linux核心、Gitea等多款應用系統下手，並在8月17日利用CVE-2026-7273於48個國家發動攻擊，成功入侵996臺GS1900交換器並竊取敏感資料。從受害交換器的地理位置分布來看，義大利和美國最多，分別為133臺與129臺，臺灣受害交換器數量排名第三，有123臺。<a href="https://www.ithome.com.tw/news/179106">詳全文</a> <a id="Red" name="Red"></a></p> <p><a href="https://www.ithome.com.tw/news/179107"><span style="font-size: 22px;"><strong>中國駭客Red Heron利用Gitea重大漏洞攻擊臺灣，工業自動化業者遭竊數百個程式碼儲存庫</strong></span></a></p> <p>日前資安公司Acronis揭露Gitea重大漏洞CVE-2026-60004的利用活動，並確認臺灣、加拿大、阿根廷、美國及斯里蘭卡均有組織遭到中國駭客Red Heron入侵，值得關注的是，臺灣不僅是這波攻擊鎖定的重點之一，其中一家工業自動化業者更被竊取數百個程式碼儲存庫，是這波攻擊中遭竊資料量最大的受害案例。據Acronis調查，駭客從這家臺灣工業自動化業者的單一主機取得數百個程式碼儲存庫，內容涵蓋監控產品、用於工業控制環境的SCADA／HMI工具、IoT平臺整合、網路封包側錄工具、伺服器組態，以及內部企業應用程式等。另一家臺灣工業自動化業者的受害情況顯示，駭客利用Gitea漏洞取得初始存取權限後，還進一步移動至Proxmox虛擬化環境。除上述已確認受害案例外，Acronis也發現攻擊者已建立一份包含477個臺灣Gitea實例的目標清單，並於8月3日從中挑選50個目標發動攻擊。<a href="https://www.ithome.com.tw/news/179107">詳全文</a> <a id="Math" name="Math"></a></p> <p><a href="https://www.ithome.com.tw/news/179116"><span style="font-size: 22px;"><strong>互動教學平臺Mathspace遭駭，逾107萬人個資外洩</strong></span></a></p> <p>澳洲互動式數學教學平臺Mathspace於9月5日揭露資安事件，表示於9月3日確認攻擊者入侵該公司自行架設的Metabase內部報表系統，影響澳洲與紐西蘭共1,079,819名學生、家長或監護人、教師及Mathspace員工。外洩資料包括使用者ID、姓名、使用者名稱、電子郵件、國家、時區、使用者類型，以及最後登入與活動日期等，但未包含學習紀錄、成績、密碼、SSO憑證或API憑證。Mathspace指出，攻擊者是利用Metabase重大漏洞CVE-2026-72898（CVSS評分10.0分）入侵該報表系統，於8月10日取得存取權限，並於8月27日下載報表資料庫資料，前述漏洞的修補程式雖然早在8月6日發布，但Mathspace直到8月29日才更新系統，稍後在9月3日檢視歷史紀錄時才確認遭入侵。<a href="https://www.ithome.com.tw/news/179116">詳全文</a> <a id="OT" name="OT"></a></p> <p><a href="https://www.ithome.com.tw/news/179109"><span style="font-size: 22px;"><strong>美國科羅拉多州供水企業遭駭，攻擊者直接干擾OT系統運作</strong></span></a></p> <p>美國科羅拉多州州長辦公室近日向Denver Post等媒體證實，兩家私人供水企業於8月底遭外國攻擊者入侵，攻擊者修改設備設定、停用遠端存取與警報，並改變抽水週期，但影響時間短暫，未造成供水服務或公共安全問題。兩家遭受攻擊的企業均為小型供水業者，服務對象均不到200人，目前科羅拉多官方尚未確認攻擊者身分。這起事件也延續7月以來美國供水系統遭攻擊的趨勢。聯邦調查局曾於7月底發出警告，全美至少已有7個州的供水及污水處理業者通報相關攻擊事件；CISA也警告，攻擊者正鎖定暴露於網際網路的可程式化邏輯控制器（PLC）等OT設備。<a href="https://www.ithome.com.tw/news/179109">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179110"><span style="font-size: 22px;"><strong>資安公司CrowdSec坦承原始碼遭竊，疑與TanStack供應鏈攻擊有關</strong></span></a></p> <p>今年5月網頁應用程式框架TanStack遭遇NPM套件供應鏈攻擊，OpenAI、Grafana皆透露受到波及，近日有資安公司坦承，他們的GitHub儲存庫疑似因此發生資料外洩。9月17日資安公司CrowdSec發布部落格文章指出，該公司於16日獲報，他們持有的GitHub儲存庫於5月發生原始碼外洩，涵蓋約300個GitHub儲存庫，其中超過130個是公開儲存庫，用於代管開源軟體的原始碼；其餘的私有儲存庫內含SaaS主控臺原始碼、部分AWS Cloud執行環境，以及連接器與自動化工具。CrowdSec強調，這起事故只影響該公司內部，無客戶資料、帳密、使用者名稱等個資外流，而這些原始碼洩露的途徑，很可能就是TanStack供應鏈攻擊事故，因為該公司剛好在5月曾短暫使用TanStack。<a href="https://www.ithome.com.tw/news/179110">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179102"><span style="font-size: 22px;"><strong>友訊網站遭大量帳密嘗試登入</strong></span></a></p> <p>網通設備公司友訊（2332）於9月18日，在股市公開資訊觀測站發布重大訊息，公司網站監控機制偵測到異常登入記錄，該公司進一步調查後確認，外部攻擊者利用既有登入機制，以大量帳號密碼進行網站登入驗證。友訊發現異常後立即啟動緊急應變機制，同步進行系統登入記錄清查、可疑連線封鎖，以及全站程式碼安全檢視，目前尚未再發現以相同方式進行的異常登入行為，網站服務也維持正常運作。<a href="https://www.ithome.com.tw/news/179102">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179103"><span style="font-size: 22px;"><strong>萬達寵物客戶傳出個資外洩</strong></span></a></p> <p>上櫃寵物零售公司萬達寵物（6968）在9月19日，於股市公開資訊觀測站發布重大訊息表示，該公司接獲客戶反映，疑似有第三人取得消費資料並透過電子郵件聯繫，初步研判可能涉及個資外洩，對此該公司已針對相關系統進行資料保存，並著手調查。<a href="https://www.ithome.com.tw/news/179103">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179114"><span style="font-size: 22px;"><strong>WordPress漏洞Click2Shell可被用於強制安裝佈景主題，若不處理恐被串連導致程式碼執行</strong></span></a></p> <p>資安公司Pwn.ai透露，他們在一個月前向WordPress開發團隊通報資安漏洞Click2Shell（尚未登記CVE編號），此為WordPress佈景主題預覽的注入弱點，可被串連用於遠端程式碼執行（RCE）攻擊。該弱點通報後，WordPress開發團隊於9月17日發布7.1.1版修補。該漏洞源自WordPress佈景主題安裝頁面的參數處理方式，攻擊者可在theme參數加入經特殊設計的字串，WordPress.org Themes API會先將其正規化為合法的主題Slug，但WordPress管理員瀏覽器中的JavaScript卻保留原始字元，並將其直接放入jQuery選擇器。攻擊者因此能操控選擇器，使WordPress的JavaScript自動觸發佈景主題的安裝控制項。<a href="https://www.ithome.com.tw/news/179114">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179125"><span style="font-size: 22px;"><strong>攻擊手法BragJack透過惡意延伸套件挾持AI瀏覽器代理</strong></span></a></p> <p><a href="/sites/default/files/images/dinner-serving-current_crxu1vrl_w8mhg-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/dinner-serving-current_crxu1vrl_w8mhg-156.jpg" style="width: 300px; float: right;" /></a> AI代理已成為許多主流瀏覽器的標準配備，然而代理不僅能夠讀取網頁內容，還能操作分頁甚至代替使用者執行工作，也形成新的攻擊面。資安公司Forever Security揭露新型態手法BragJack，攻擊者只需在目標瀏覽器安裝惡意延伸套件，就有機會挾持Chrome、Edge、Perplexity Comet、Opera Neon，以及安裝Claude in Chrome的瀏覽器，部分情況甚至不需使用者點擊。對此，5家公司獲報後承認相關弱點；Google、微軟將BragJack登記為CVE-2026-0628與CVE-2026-55945列管。這項攻擊的關鍵之一，是Chromium延伸套件提供的declarativeNetRequest（DNR）功能。DNR原本用於讓延伸套件預先定義如何處理網路請求，但Forever Security發現，攻擊者可以用來修改CSP等安全標頭，並將原本載入的JavaScript資源重新導向至攻擊者控制的程式碼。<a href="https://www.ithome.com.tw/news/179125">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179019"><span style="font-size: 22px;"><strong>Google提出雲端事故處理建議，即便服務狀態頁面顯示正常，企業仍需自行排查</strong></span></a></p> <p><a href="/sites/default/files/images/GCP Framework.png" target="_blank"><img alt="" src="/sites/default/files/images/GCP%20Framework.png" style="width: 300px; float: right;" /></a> 企業上雲比例節節高升，雲端服務的運作狀態往往也會影響企業IT運作，近期Google Cloud提出雲端可靠性事故處理建議，提醒企業平時就應建立監控與事故應變機制，以便在雲端服務發生異常時自行排查問題並採取應變措施。實際發生服務異常時，企業可先查看雲端業者公布的服務狀態資訊，但狀態頁未顯示事故通報，不代表雲端服務本身沒有問題。Google Cloud建議企業同時檢查自身系統的監控與日誌資料。判斷事故影響範圍時，企業還需要確認工作負載部署在哪些區域，以及使用的雲端服務是否相依於其他服務，進一步找出實際受到影響的工作負載。服務恢復後，企業仍需要進行事後檢討，Google Cloud建議採取不究責方式，回顧事故發生及處理過程，找出有效的應變措施與需要改善的環節，再調整事故處理手冊、相關工具及人員訓練，提升後續處理類似事故的能力。<a href="https://www.ithome.com.tw/news/179019">詳全文</a> <a id="NIST" name="NIST"></a></p> <p><a href="https://www.ithome.com.tw/news/179052"><span style="font-size: 22px;"><strong>NIST發布IR 8536製造業供應鏈追溯框架，以密碼學機制建立可驗證追溯紀錄</strong></span></a></p> <p><a href="/sites/default/files/images/0922-nist_ir_8536-960.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0922-nist_ir_8536-960.jpg" style="width: 300px; float: right;" /></a> 美國國家標準技術研究所（NIST）旗下國家網路安全卓越中心（NCCoE）於9月9日發布NIST IR 8536正式版，提出不限定特定技術的製造業供應鏈追溯架構，可銜接各產業既有標準，讓供應鏈上下游交換並驗證產品追溯資訊，協助企業確認產品來源與完整性。NIST IR 8536將產品在製造、組裝、儲存、出貨及接收等階段的活動記錄下來，形成前後相連的追溯紀錄，並透過嵌入前一筆紀錄密碼學雜湊值的連結，串接這些追溯紀錄，讓供應鏈參與者驗證紀錄之間的關聯與完整性。這些資料不必集中存放，而可由各參與者自行保存。不過，供應鏈追溯愈完整，也可能涉及供應商不願對外公開的營業秘密。NIST因此將選擇性揭露納入設計，供應商可提供產品識別、相關活動的執行組織及時間等追溯所需資訊，敏感內部製造資料則繼續保留在自己的系統。<a href="https://www.ithome.com.tw/news/179052">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179089"><span style="font-size: 22px;"><strong>NPM新增僅限暫存發布權杖，為2027年收緊自動發布權限做準備</strong></span></a></p> <p>GitHub套件管理器NPM的精細度存取權杖，新增僅限暫存發布（Stage-only）權限，讓軟體自動化流程送出套件版本等待審查，但不能直接發布至NPM套件登錄庫。NPM預計2027年1月取消可繞過雙因素驗證（2FA）權杖的直接發布能力，新權限可為目前仍採用權杖自動發布的開發團隊提供過渡方案。GitHub先前已宣布逐步限制能夠繞過2FA的精細度存取權杖，並計畫在2027年1月取消此類權杖直接發布套件版本的能力。NPM建議需要自動發布的開發團隊改用可信任發布機制，透過OpenID Connect（OIDC）驗證自動化工作環境身分，而無法轉換的團隊則可採用暫存發布，保留人工審查與2FA核准步驟。<a href="https://www.ithome.com.tw/news/179089">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179087"><span style="font-size: 22px;"><strong>新HTTP QUERY方法逐步進入既有Web生態系，SANS ISC提醒安全控制需重新檢視</strong></span></a></p> <p>網際網路標準制定組織（IETF）今年6月發布RFC 10008，正式定義新的HTTP「QUERY」方法。不過，SANS網路風暴中心（ISC）近日提醒，由於許多依賴HTTP method進行判斷的既有安全控制，都是在QUERY成為標準方法前設計，因此，WAF、API Gateway、CSRF防護及快取機制都需要重新檢視。若既有規則未將QUERY納入檢查與處理範圍，可能造成部分安全檢查未能完整套用。SANS ISC指出，目前各類Web元件對QUERY已有不同程度的支援，但處理行為並不一致，顯示不同客戶端、伺服器、代理伺服器及框架對QUERY的處理仍有明顯差異，更值得注意的是，既有的安全控制方式可能失效，因此提醒開發者應檢視並更新依賴HTTP method的規則與正規表示式，將QUERY納入既有處理邏輯。<a href="https://www.ithome.com.tw/news/179087">詳全文</a> <a id="TW" name="TW"></a></p> <p><a href="https://www.ithome.com.tw/news/179081"><span style="font-size: 22px;"><strong>臺灣數位信任協會倡議「臺灣資安日」提升全民資安意識</strong></span></a></p> <p><a href="/sites/default/files/images/TWSEC-A(1).png" target="_blank"><img alt="" src="/sites/default/files/images/TWSEC-A(1).png" style="width: 300px; float: right;" /></a> 9月21日為國家防災日，臺灣數位信任協會攜手數位發展部資通安全署、法務部調查局、內政部警政署刑事警察局，以及多家企業與產業組織，共同發起首屆「臺灣資安日」，希望擴大資安意識的普及，讓資安從過去偏重技術防護的議題，延伸為全民共同參與的數位安全行動。台灣數位信任協會理事長詹婷怡表示，資安與防詐已提升至國家安全層級，許多國家也將資安視為維持基礎建設與社會運作韌性的重要一環，而發起「臺灣資安日」活動的目的，就是希望將資安防線從傳統機房與系統防護，延伸至民眾日常生活，從反詐騙、假訊息識讀、個人隱私保護與數位自主權等面向提升全民資安素養，讓民眾從旁觀者轉變為數位世界的第一線防衛者。而選定9月21日作為臺灣資安日，正是希望將國家防災日建立的防災觀念延伸至數位環境，形成「數位防震」意識。<a href="https://www.ithome.com.tw/news/179081">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179091"><span style="font-size: 22px;"><strong>排除使郵件呈現看似正常的新型內容混淆手法，網擎郵件安全閘道新增隱形字元偵測功能</strong></span></a></p> <p>9月初微軟發布警示，呼籲各界注意ASCII走私（ASCII Smuggling）攻擊，也就是攻擊者使用不可見或無法顯示的Unicode字元，將內容隱藏在看似正常的文字中，藉此規避資安系統的偵測。這類手法在去年AI提示注入攻擊就已反覆出現，如今同樣手法被轉用於傳統釣魚郵件，單日高峰可達230萬封。兩週後，網擎資訊發布消息，不僅提醒大家重視與提防相關的攻擊手法，也宣布旗下的郵件安全防護系統MailGates支援ASCII走私偵測，透過近期發布的6.2.11.062版軟體，可協助企業自動辨識並處理信件中的隱形Unicode字元，排除隱形字元造成的內容混淆，提升攔截垃圾信與釣魚郵件的能力。<a href="https://www.ithome.com.tw/news/179091">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179123"><span style="font-size: 22px;"><strong>Rambus推出支援Caliptra規範的CryptoManager信任根</strong></span></a></p> <p><a href="/sites/default/files/images/cryptomanager.png" target="_blank"><img alt="" src="/sites/default/files/images/cryptomanager.png" style="width: 300px; float: right;" /></a> 半導體IP與晶片技術供應商Rambus近日推出支援Caliptra規範的CryptoManager信任根（Root of Trust），可為資料中心及AI SoC提供硬體信任根與安全管理機制。CryptoManager信任根可為SoC提供專用的硬體層級安全防護，整合安全RISC-V處理器、受保護記憶體、金鑰與資料儲存、密碼學加速器及安全介面，搭配專用驅動程式與應用程式，可提供安全開機、韌體驗證與更新、裝置身分管理、遠端驗證及安全通訊等功能，並支援傳統、後量子及區域性密碼學演算法，同時提供側通道與故障注入攻擊防護，以及FIPS 140-3、PSA與SESIP等認證支援。<a href="https://www.ithome.com.tw/news/179123">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179122"><span style="font-size: 22px;"><strong>工控資安公司Dragos買下NetRise與runZero，打造xOT資安平臺</strong></span></a></p> <p>專注於OT與工業控制系統（ICS）資安的Dragos於9月21日宣布，已完成對runZero與NetRise的併購，將兩家公司的技術納入Dragos平臺，進一步建立涵蓋IT、IoT、OT，以及其他可能影響實體流程環境的延伸營運技術（xOT）資安能力。runZero主要提供曝險管理能力，可涵蓋IT、IoT與OT環境，將來自不同來源的資產與風險情報集中至單一視圖，協助防禦團隊掌握環境中的資產及曝險狀況。NetRise則聚焦於OT裝置內部的軟體組成，協助找出裝置中潛藏的漏洞，讓企業掌握實際運行於OT裝置上的軟體。<a href="https://www.ithome.com.tw/news/179122">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179057"><span style="font-size: 22px;"><strong>AIUC募資4,000萬美元，安全稽核將從AI代理擴及頂尖AI模型</strong></span></a></p> <p>AI安全稽核與保險業者Artificial Intelligence Underwriting Company（AIUC）宣布完成4,000萬美元A輪募資，將利用這筆資金把目前針對企業AI代理的安全稽核及標準制定工作擴及頂尖AI模型，同時發展相關保險業務。AIUC目前依據自行制定的AI代理評估標準AIUC-1，針對企業使用的AI代理進行安全與可靠性測試。AIUC表示，測試會依AI代理的實際應用情境調整，涵蓋約5,000種風險與攻擊情境組合，用來檢驗AI代理面對越獄、AI幻覺及資料外洩等情況時，是否出現安全或可靠性問題。目前Cursor、Fin、ElevenLabs、Harvey、KPMG、Lovable及UiPath的AI代理或相關產品已取得AIUC-1認證。<a href="https://www.ithome.com.tw/news/179057">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/179062"><span style="font-size: 22px;"><strong>Comp AI募資3,400萬美元，從法規遵循自動化延伸至資安與AI代理安全</strong></span></a></p> <p>法規遵循與資安新創Comp AI宣布完成3,400萬美元A輪募資，準備將業務從既有的法規遵循自動化，進一步擴展至資安監控、安全測試及AI代理安全。目前Comp AI服務的客戶已超過1,000家，主要提供治理、風險與法規遵循（Governance, Risk, and Compliance，GRC）自動化平臺，透過AI協助企業建立法規遵循政策、進行風險評估、蒐集稽核所需證據及評估供應商風險，並持續檢查相關控制措施。<a href="https://www.ithome.com.tw/news/179062">詳全文</a></p> </div></div></div>
9/22 14:51張明德https://www.ithome.com.tw/news/179140