聯想完成併購高階儲存設備廠商Infinidat，正式進軍高階儲存市場

來源：https://www.ithome.com.tw/news/174993

伺服器與儲存設備供應商聯想（Lenovo）於4月9日宣布，已完成對高階企業級儲存設備廠商Infinidat的收購，兩家公司董事會已一致批准，並獲得監管單位核准，交易金額與相關財務條款則未予揭露。

Infinidat是 2011年時由儲存業界資深專家Moshe Yanai創立，專注於針對關鍵應用的高階儲存陣列產品，主要技術特色包括：獨特的三控制器架構，7個9的超高可用性（99.99999%），神經快取演算法neural caching與儲存安全架構InfiniSafe，主力產品包括混合儲存陣列InfiniBox、全快閃儲存陣列InfiniBox SSA，以及資料保護專用陣列InfiniGuard。

聯想藉由併購Infinidat，可望與其目前的儲存產品互補，透過Infinidat的高階儲存陣列，補強聯想目前以中階、入門級產品為主的企業級儲存產品線，並藉由整合Infinidat的技術，提升自有儲存架構與軟體平臺掌控能力。

聯想目前的主力企業級儲存產品線，包括ThinkSystem品牌下的DM、DG與DE系列，全部都是OEM自NetApp的儲存軟體平臺，例如DM與DG系列都是基於NetApp的ONTAP儲存平臺，主要針對中階應用，DE系列則是基於NetApp的SANtricity軟體平臺，針對的是入門級應用。

而在併購Infinidat之後，聯想將能補齊原本缺少的高階產品版圖，同時也獲得一款可以自主掌控的儲存軟體平臺，進而與Dell、HPE、IBM等擁有高階儲存產品線的廠商直接競爭。

聯想對Infinidat的併購案，最初是在2025年1月中旬揭露，歷時一年多正式完成，Infinidat此後將作為聯想基礎設施解決方案事業群（Infrastructure Solutions Group）的一個業務單位繼續營運。

'

Meta再加碼210億美元採購CoreWeave算力

來源：https://www.ithome.com.tw/news/174992

AI雲端基礎設施業者CoreWeave週四（4/9）宣布，已與Meta簽署一項總額約210億美元的長期合約，將提供AI算力支援至2032年，主要用於支撐其AI模型推理與部署需求。

CoreWeave與Meta早於2025年即建立AI算力合作關係，外界估計當時合約規模約為142億美元，此次的加碼顯示Meta對外部AI運算資源的需求持續擴大。

CoreWeave成立於2017年，總部位於美國紐澤西州，專注提供以GPU為核心的AI雲端基礎設施，主要客戶包括AI模型開發商與大型科技公司，於2025年登上那斯達克股市。其營收高度集中於少數客戶，例如在2024年的19.2億美元營收中，前兩大客戶合計貢獻約77%營收，其中最大客戶為微軟，占比達62%。

AI雲端基礎設施屬於高成長且資本密集的產業。CoreWeave於2025年營收達51.31億美元，年增168%，但全年淨損11.67億美元，更甚於2024年的8.63億美元虧損，主因為持續加碼投資基礎設施與GPU。不過，CoreWeave截至2025年底的訂單積壓（Revenue Backlog）已達668億美元，顯示其未來收入多由長期合約鎖定。

消息傳出後，CoreWeave週四（4/9）股價上漲了3.49%，以92美元作收。

'

Google Chrome 146正式加入防cookies竊取的DBSC功能

來源：https://www.ithome.com.tw/news/174991

繼2024年4月公布後，Google本週釋出Windows版本Chrome 146版，提供裝置綁定會話憑證（Device Bound Session Credentials，DBSC）技術，防範惡意程式竊取cookies。預定下一版macOS版本Chrome加入防護。Google並公布推動DBSC標準化的計畫。

用戶裝置一旦不慎下載惡意程式，可能導致會話竊取（session theft）。惡意程式會從瀏覽器擷取會話cookies，或等用戶登入新帳號時攔截token，最後送到攻擊者控制的伺服器。由於cookies效期拉長，駭客就能利用它們非授權存取用戶帳號，也不需要密碼。而被竊的憑證可能在駭客或地下市場出售，導致攻擊來源擴大。

竊資程式如LummaC2竊取憑證的手法愈來愈高明，一旦惡意程式進入用戶裝置，就能從本機檔案和記憶體讀取到瀏覽器儲存的驗證cookies。過去任何作業系統上沒有有效防範cookies竊取的純軟體方案。只能在發生憑證被竊事件後，利用一組繁複的啟發式分析（heuristic）偵測，但這種作法是被動式偵測，滲透攻擊者往往也能迴避。DBSC的出現則實現主動防禦，使被竊的cookies無法用於使用者帳號驗證。

簡單而言，若把cookies當成存取服務伺服器的通行證，問題出現在誰取得cookies通行證，就能獲得伺服器放行。DBSC就是將cookies加入數位鎖，使只有儲存該cookies的那臺機器，才能在伺服器驗證成功。Google推動DBSC的核心是Chrome，在用戶登入網站時Chrome會配合Windows PC的TPM（Mac電腦則是Secure Enclave）生成公、私鑰。公鑰儲存在服務伺服器（或網站），只認用戶機器，而私鑰以加密儲存在用戶硬體。Chrome在登入服務伺服器時，必須以私鑰和伺服器完成驗證，確認用戶裝置是當初登入的那臺裝置。

Google的作法是推動DBSC為業界標準，並建立一個生態體系。

這個機制涉及裝置金鑰、瀏覽器、硬體業者與產業標準，Google推DBSC的作法是先在Chrome落地並結合自身服務擴散，再試圖標準化。目前只有Chrome支援。

Google表示，為推動DBSC標準化，除了產業合作，未來Chrome版本將會陸續加入新功能，包括聯邦式身份，支援跨來源綁定；進階註冊（registration），將DBSC會話綁定到既有金鑰如mTLS憑證或硬體金鑰；以及擴大裝置支援，透過加入軟體金鑰來保護沒有金鑰技術的硬體（如舊PC）。

'

Windows零時差漏洞BlueHummer涉及內建防毒軟體更新流程

來源：https://www.ithome.com.tw/news/174989

資安研究員Chaotic Eclipse於GitHub公布零時差漏洞BlueHammer引起外界高度關注，此弱點可被用於本機權限提升（LPE），原因疑為微軟要求通報者必須提供影片，造成該名研究員不滿而選擇直接公布。有資安公司循線調查，公布更多細節。

資安公司Cyderes指出，BlueHammer主要與內建防毒Microsoft Defender的更新機制有關，攻擊者搭配磁碟區陰影複製服務（VSS）使用後，就有機會從低權限提升至NT AUTHORITY\SYSTEM。該公司強調，此漏洞無須利用系統核心錯誤、記憶體損毀等缺陷，攻擊者也不需在Microsoft Defender內部執行程式碼。一旦成功利用BlueHammer，攻擊者可讀取安全帳號管理員（Security Account Manager，SAM）資料庫、解開NTLM密碼雜湊值、接管本機管理員帳號，並啟動系統層級的Shell。若是攻擊者進一步還原密碼雜湊資料，還能避免資安系統的偵測。

具體來說，BlueHammer與多個作業系統內建工具與服務有關，包含了Microsoft Defender更新流程、磁碟區陰影複製服務，以及Cloud Files API等，全部都是微軟公開文件揭露的合法Windows功能，而且這些功能皆如預期運作，需透過特定順序串連上述服務，才會形成弱點。

Cyderes提及，微軟後續推送了防毒軟體定義檔更新，將研究員的概念驗證程式（PoC）標示為Exploit:Win32/DfndrPEBluHmr.BB。然而由於弱點與Windows元件的互動有關，攻擊者只要調整弱點實作的方式，就能在繞過Microsoft Defender偵測的情況下利用BlueHammer。

雖然Chaotic Eclipse刻意在概念驗證程式加入臭蟲，不過Cyderes在排除這些問題後，套用最新發布更新的Windows 10與Windows 11電腦進行測試，結果具備低權限的攻擊者只花了不到一分鐘，就成功將權限等級提升至為NT AUTHORITY\SYSTEM。由於BlueHammer迄今未登記CVE編號列管，微軟也尚未提供漏洞修補程式，接下來駭客組織將會很快整合到作案工具，並用於實際攻擊。

'

解決代理程式分散管理難題，AWS Agent Registry跨雲納管企業AI代理程式

來源：https://www.ithome.com.tw/news/174988

AWS推出Agent Registry預覽版，透過Amazon Bedrock AgentCore平臺提供，讓企業在單一註冊中心集中發現、治理和重複使用散布在不同環境中的AI代理程式、工具與代理程式技能。Agent Registry預覽版目前已在美國東部（北維吉尼亞）、美國西部（奧勒岡）、亞太地區（雪梨）、亞太地區（東京）與歐洲（愛爾蘭）等5個AWS區域開放使用。

AWS指出，企業在擴展代理程式規模時，主要面臨三大難題，分別是可見性不足，不清楚組織內有哪些代理程式，以及治理不易，無法控管誰能發布、哪些資源可被全組織發現，還有重複建置，團隊各自開發已經存在的功能。

Agent Registry的一大特色在於跨平臺納管能力，其不僅限於索引AWS上的代理程式，也能納入其他雲端平臺或地端環境中建置的代理程式，讓企業的代理程式全貌能在同一註冊中心呈現。註冊方式有兩種，一是透過主控臺、AWS SDK或API手動提供後設資料，二是指向MCP或A2A端點，由系統自動擷取相關資訊。Agent Registry原生支援MCP與A2A兩項代理程式互通協定，也允許企業自訂Schema或欄位結構。

該服務提供完整的生命週期管理流程，所有註冊紀錄從草稿狀態開始，進入待審核階段，核准後才對組織內其他成員公開。管理者可透過IAM政策控管誰能註冊、誰能查詢，紀錄也支援版本追蹤與棄用標記，企業可在每筆紀錄中加入自訂後設資料，記錄團隊歸屬、合規狀態或部署環境等資訊。

搜尋機制採用混合式設計，結合關鍵字比對與語意理解。當開發者輸入較長的自然語言查詢時，系統能辨識概念相近的結果，例如搜尋payment processing也能找到標記為billing或invoicing的工具。Agent Registry本身也能以MCP Server形式存取，Kiro和Claude Code等MCP相容客戶端可直接查詢。

AWS表示，未來計畫將Agent Registry擴展至更多AWS服務，實現代理程式部署後自動索引，並加入跨註冊中心聯邦（Cross-registry Federation）查詢、自訂分類系統，以及整合AgentCore Observability的執行資料。

'

Amazon低軌衛星服務Leo預計於今年中正式登場

來源：https://www.ithome.com.tw/news/174987

Amazon執行長Andy Jassy週四（4/9）於致股東信中宣布，Amazon低軌衛星服務Leo預計於今年中正式上線。目前Amazon Leo已發射逾200顆衛星，為全球第三大低軌衛星網路，僅次於Starlink及歐洲的OneWeb。

Amazon於2019年啟動低軌衛星網路計畫Project Kuiper，目標透過在近地軌道部署衛星星座，提供全球高速網路服務，鎖定偏遠地區與基礎設施不足的市場，並於2025年底更名為Amazon Leo。

在星座規模上，Amazon Leo已獲美國聯邦通訊委員會（FCC）核准部署約7,700顆衛星（包含第一代3,236顆及2026年新獲核准的約4,500顆），然而目前實際在軌的衛星僅逾200顆，與Starlink近萬顆及OneWeb逾600顆相比，仍有顯著差距。

Amazon表示，未來幾年將持續快速擴張Leo星座規模。在效能上，Leo上傳速度將比現有方案提升6至8倍、下載速度提升2倍，且成本更具競爭力；此外，Leo亦將與AWS雲端服務整合，使企業與政府可在衛星連線與雲端之間進行資料儲存、分析與AI運算，形成差異化優勢。

儘管尚未正式上線，Leo已吸引多家大型企業提前卡位。美國廉價航空JetBlue宣布將於2027年導入Leo強化機上Wi-Fi；達美航空（Delta Airlines）則承諾以Leo作為未來機上Wi-Fi服務，首波將於2028年覆蓋500架飛機。其他客戶還包括AT&T、Vodafone、DIRECTV Latin America、澳洲國家寬頻網路（NBN）及NASA等橫跨電信、航空與政府的重量級名單。

'

Rockwell未修補的重大漏洞遭鎖定，伊朗駭客CyberAv3ngers用於攻擊可程式化邏輯控制器

來源：https://www.ithome.com.tw/news/174976

本週美國當局對伊朗駭客團體CyberAv3ngers的攻擊行動提出警告，說明駭客鎖定美國的關鍵基礎設施（CI），能從網際網路存取的可程式化邏輯控制器（PLC）下手，透過能從網際網路存取的可程式化邏輯控制器（PLC）下手，從而阻礙受害組織的OT環境運作。現在有資安公司接續公布更多細節。

弱點管理解決方案公司Tenable指出，這些駭客在最新一波攻擊行動裡，使用已知漏洞CVE-2021-22681滲透Rockwell的PLC裝置，此為憑證保護不夠周延造成的弱點（CWE-522），CISA將其CVSS風險評為滿分10分，非常危險，影響Rockwell旗下多種系統與設備，包括PLC管理軟體RSLogix 5000與Studio 5000 Logix Designer，以及CompactLogix、ControlLogix、GuardLogix、DriveLogix、SoftLogix等控制器設備。CISA於今年3月5日將CVE-2021-22681加入已遭利用的漏洞名冊（KEV），時間點相當吻合。

值得留意的是，駭客鎖定此漏洞的原因，很有可能就是Rockwell並未發布修補程式。Tenable提及，Rockwell在公告裡強調，CVE-2021-22681無法直接透過安裝修補程式解決，取而代之的是，Rockwell呼籲用戶應導入國防等級的縱深防禦措施，例如：網路分段、工程用工作站電腦隔離，以及實作關鍵基礎設施防護（Critical Infrastructure Protection，CIP）安全防護機制等。換言之，若是企業組織缺乏相關的資安管控機制，這樣的弱點將會持續存在。

Tenable指出，CyberAv3ngers偏好小型公用供水基礎設施、市政設施與鄉村能源營運商，原因是這些公司通常會使用TeamViewer或AnyDesk等遠端管理工具管理OT環境，或是直接開放PLC的管理介面能直接透過網際網路存取，這些作法完全無法受到企業IT資安控管，形成一般資安防護難以察覺的攻擊面。

再者，這些公司也往往對於IT與OT環境的網路分段不足，以及缺乏專精OT領域的資安人員，再加上資安防護的預算不足，使得相關的問題更加嚴重。

這些駭客攻擊關鍵基礎設施已有前例，他們曾在2023年鎖定以色列廠牌Unitronics的PLC裝置，對超過70個美國水利設施發動攻擊。值得注意的是，CyberAv3ngers的能力也越來越強大，他們2024年中旬開始使用自製的工控惡意軟體Iocontrol，同年10月開始濫用ChatGPT等AI工具加速偵察與程式碼除錯的速度，再加上近期美伊戰爭仍在持續進行，這種針對以色列或美國產製的工控設備，在美國從事攻擊行動的情況，將會越來越頻繁。

'

歐鐵票券營運商去年資料外洩事件影響30萬人

來源：https://www.ithome.com.tw/news/174970

經營歐鐵票券（Eurail Pass）的旅遊業者Eurail B.V.近日向官方通報去年的網路攻擊事件，導致近30萬個人個資及旅遊資料外流。

Eurail公司今年初公告數個內部系統遭駭客存取，遭竊取的資料包含客戶訂單資訊如基本身份和聯絡資訊、國外客戶護照資訊如護照號碼、核發國家及到期日等。此外還有透過DiscoverEU方案外洩的青年客戶資料，包含姓名、出生日期/年齡、護照號碼或相片、電子郵件信箱、住宅地址、居住地、電話號碼、國際銀行帳戶號碼、健康資訊等。

不過當時案件細節披露不多。本週這家荷蘭公司向美國包括奧勒岡州、德州及加州等通報外洩細節。根據官方紀錄，事件發生期間為2025年12月24日到2026年1月8日，影響人數高達308,777人。

在向官方通報之前，今年2月一群駭客在Telegram上宣稱事件是其所為。他們宣稱從Eurail系統竊得1.3TB資料，包含GitLab的程式原始碼、AWS S3的資料備份以及工單平臺Zendesk的支援工單。

有別於這家業者通報的30萬筆，駭客宣稱手上有數百萬筆個人資料，並貼出部份檔案，揚言若再未接到Eurail聯繫將出售所有竊得的資料。

'

Wasabi收購Seagate Lyve Cloud業務，強化雲端儲存服務布局

來源：https://www.ithome.com.tw/news/174968

雲端儲存服務商Wasabi於4月8日宣布，已收購Seagate旗下Lyve Cloud雲端儲存業務，雙方未揭露交易金額，Seagate將獲得Wasabi股權。

Lyve Cloud是Seagate在2021年推出的雲端儲存服務，最初是主打相容於S3的低成本雲端物件儲存空間。後來Seagate逐步擴充Lyve Cloud，提供橫跨雲端服務至邊緣環境的Lyve資料平臺，產品包括邊緣儲存設備Lyve Mobile，與資料管理與分析工具Lyve Cloud Analytics等，也與Veeam、Rubrik與Commvault等備份軟體廠商合作。

從Wasabi與Seagate Lyve的業務特性來看，Lyve Cloud最初的定位，與Wasabi是重疊的，都是訴求低成本的S3雲端物件儲存，並且都強調不收取資料傳輸的出口費用（egress fee）。但兩者的發展背景不同，Wasabi是純粹的雲端儲存服務商，沒有硬體業務，服務推出時間也更早（2017年），目前與OVHcloud、Backblaze等廠商並列為雲端儲存服務商的「第2梯隊」，雖然規模不如AWS、微軟Azure、IBM Cloud等大型服務商，但憑藉破壞性低價，已在低成本雲端物件儲存領域站穩腳跟。Lyve Cloud則是Seagate從硬碟與儲存設備硬體供應商角色，往雲端服務的延伸，是Seagate的Lyve資料平臺一部分，只算是Seagate的附屬業務。

Seagate財務長Gianluca Romano表示，出售Lyve Cloud業務符合其專注於核心大容量儲存硬體業務的策略，同時透過持股方式維持與Wasabi的合作關係，以持續服務既有企業客戶。Wasabi聯合創辦人兼CEO David Friend則表示，藉由此次併購將擴大其企業級雲端儲存服務能量，並整合Lyve Cloud既有企業客戶與合作生態系，強化在雲端備份與資料保護市場的競爭力。

'

Google發布Chrome瀏覽器更新，修補60個漏洞，含多個重大與高風險漏洞

來源：https://www.ithome.com.tw/news/174964

Google於4月7日發布Chrome瀏覽器的147版，將Windows與Mac平臺穩定版更新至147.0.7727.55與147.0.7727.56，Linux版本更新至147.0.7727.55，同時也修補多個重大與高風險漏洞。

這次Chrome更新一共修補60個漏洞，包括2個重大漏洞、14個高風險漏洞、20個中度風險漏洞，以及24個低風險漏洞。

其中最嚴重的是CVE-2026-5858與CVE-2026-5859，皆被歸類為重大漏洞，Google分別給予通報者4萬3千美元獎金。這兩個漏洞有個共通點，都與瀏覽器端的機器學習API模組WebML有關，CVE-2026-5858會造成WebML堆積緩衝區溢位（heap buffer overflow），CVE-2026-5859則會造成WebML發生整數溢位（Integer overflow）。

其他值得關注的漏洞揭露，還有CVE-2026-5860與CVE-2026-5861，Google分別給予通報者1萬1千美元與3千美元獎金。CVE-2026-5860是即時通訊引擎與網頁 API元件WebRTC，所導致的記憶體釋放後再存取使用（Use After Free）弱點。CVE-2026-5861則涉及JavaScript引擎V8的記憶體釋放後再存取使用問題。

綜觀這次Chrome修補的漏洞，涉及的元件以JavaScript引擎V8最多，其次為媒體與即時通訊相關元件，如WebRTC、WebAudio與Media，然後是機器學習API模組WebML。

而從漏洞類型來看，則是以記憶體相關問題為最大宗，占比將近三分之二 ，包括堆積緩衝區溢位、整數溢位、記憶體釋放後再存取使用、越界存取（Out-of-bounds access）等。次之是類型混淆（Type Confusion）與功能實作不當（Inappropriate implementation），然後是驗證與繞過政策問題。

'