Cal.com要閉源了

來源：https://www.ithome.com.tw/news/175107

美國開源排程平臺Cal.com週三（4/15）宣布，將原本可公開存取的商業版本程式碼轉為閉源，並同步推出名為Cal.diy的開源版本供開發者自行部署，原因是生成式AI進展所帶來的資安風險日益升高。

Cal.com成立於2022年，由Bailey Pumfleet與Peer Richelsen共同創辦，主打開源排程服務，提供類似Calendly的預約管理工具，讓用戶可透過連結安排會議、面試或諮詢。與傳統SaaS不同，Cal.com過去採開源核心模式，允許開發者自行部署與客製化系統，並在此基礎上提供雲端與企業服務，被視為開源商業化的代表案例之一。

Cal.com說明，此次轉向閉源主要與生成式AI所帶來的資安風險有關。隨著AI程式設計工具普及，開發者可更快速撰寫程式，但同時也讓漏洞掃描與利用門檻大幅降低，特別是對可公開取得的程式碼而言。

過去開源模式仰賴社群共同檢視與修補漏洞，但在AI輔助下，駭客同樣可大規模分析程式碼結構，使公開原始碼反而成為潛在弱點來源，進而增加用戶資料外洩風險，迫使其在開放性與安全性之間做出取捨。

共同創辦人之一的Pumfleet透過X發出了「開源已死」（Open source is dead）的聲明，還說他從沒想過自己會講出這句話。

Pumfleet表示，AI從根本上改變了資安格局，過去需要時間、知識與精心策畫的攻擊流程，現在可以大規模地自動化執行，程式碼不再只是被閱讀，而是被掃描、建模與利用，且成本幾近於零。在那樣的世界裡，透明等於曝露，特別是在大規模的情境下，這使得他們即便再三考量，最後還是決定關閉核心的Cal.com程式碼庫。

在新授權的架構下，Cal.com已將原本商業版本的程式碼自公開倉庫移除，改為僅透過私有GitHub儲存庫提供給企業或付費用戶存取，一般開發者將無法再直接檢視核心系統。同時，該公司將原有開源部分重組為Cal.diy，並以MIT授權釋出，供開發者自行部署與實驗。不過，Cal.diy主要定位為社群使用，並不涵蓋完整商業功能，顯示開源版本已由原本的產品核心，轉為功能較為精簡的輔助性質版本。

換句話說，Cal.diy是從原本Cal.com開源版本中剝離企業與商業功能之後的精簡版，主要用於自架與開發者實驗，而不再是完整可商用的替代方案。

'

Google六月起將處罰使用返回鍵劫持手法的網站

來源：https://www.ithome.com.tw/news/175106

Google宣布六月起將對以返回鍵劫持（back button hijacking）阻撓用戶的網站開罰，可能導致Google搜尋排序調降。

返回鍵劫持是網站阻止用戶按返回鍵離開目前網頁，回到前頁的手法。網站可能將使用者導向他們未曾造訪過的網頁，擅自發送推薦或廣告、或是其他行為。

Google指出，返回鍵劫持干擾瀏覽器的功能、破壞預期的使用者旅程，導致使用上的挫折。一如Google過去所說，在使用者上網過程插入欺騙性或操弄性的網頁是違反Google Search Essentials（即過去的Webmaster Guidelines）的行為。因此Google將把垃圾訊息政策擴展到返回鍵劫持上，因為這類行為造成用戶期待和實際結果的不一致，導致欺騙性的用戶體驗，並危及用戶安全或隱私，明顯是Google垃圾訊息政策中的「惡意作法」（malicious practice）。

有的返回鍵劫持是源自網站內建的函式庫或廣告平臺，Google鼓勵網站持有人檢查網站的技術實作，若發現有任何使用腳本、程式碼、配置來插入欺騙性或操弄性網頁於用戶瀏覽器歷史紀錄的話，應移除或關閉。

Google也給網站持有人2個月的時間檢查網站並調整。從2026年6月15日起，Google將啟動懲處；針對這類網頁，Google將施以人工判決處罰或自動降級，可導致網站在Google搜尋結果頁被調降排序。

'

瑞典稱親俄駭客去年試圖攻擊供熱廠

來源：https://www.ithome.com.tw/news/175103

瑞典官員本週表示，該國一座供暖廠2025年春天遭到疑似親俄駭客組織試圖攻擊破壞營運。

瑞典民防部長Carl-Oskar Bohlin週三在首都舉行的記者會上指出，由於廠內的資安防護啟動，阻止了該次入侵。入侵未遂目標是一個營運科技（OT）系統，即控制發電廠、水務設施及製造設備等實體基礎設施的工業軟體。該供暖廠位於瑞典西部，但他並未透露是哪一座廠受到攻擊。瑞典安全部門調查確認，攻擊者可能與俄羅斯情報機構有聯繫。

在瑞典的攻擊行動之前，挪威、丹麥、拉脫維亞及波蘭也在先後經歷了類似的攻擊。波蘭官員今年一月發布報告，指出2025年12月29日至30日間，兩座熱電共生（CHP）電廠以及負責管理風力與光電設施的再生能源調度系統遭到攻擊，但遭到阻擋。調查結果將矛頭指向親俄駭客組織Sandstorm。

他相信，過去發動阻斷服務（DoS）攻擊的親俄團體，現在正試圖升高攻擊力道，對歐洲組織發動破壞性網路活動。瑞典官員說，若基礎設施營運系統被駭客成功干擾、摧毀或遠端控制，可對社會帶來重大後果。

美國政府於今年聯合公告指出，包括CyberArmyofRussia_Reborn和NoName057（16）等俄羅斯政府支持團體，針對能源、水資源和食品生產等領域的西方基礎設施業者。

近日美國又因美伊戰爭，成為伊朗駭客的目標。FBI、CISA、NSA、環境保護署（EPA）、能源部（DOE），以及網路作戰司令部的網路國家任務部隊（CNMF）等6大機構上週發布聯合警告，伊朗駭客組織CyberAv3ngers（Storm-0784、Hydro Kitten、UNC5691）正在對美國的關鍵基礎設施（CI）發動攻擊。

'

CISA警告，駭客正在利用17年前的Excel漏洞展開攻擊

來源：https://www.ithome.com.tw/news/175102

美國網路安全與基礎設施安全局（CISA）本週二（4/14）將兩個安全漏洞列入已知遭利用漏洞清單（ Known Exploited Vulnerability，KEV），要求美國聯邦機構於兩週內修補，一個是微軟甫於同一天修補的SharePoint Server漏洞CVE-2026-32201，另一個則是現身於17年前、微軟於2009年修補的Excel漏洞CVE-2009-0238。

由CISA所維護的KEV清單，收錄了具高度風險且已被駭客實際利用的安全漏洞，並要求美國聯邦機構在期限內完成修補，從幾天到幾週不等。該清單被視為優先修補指引，CISA亦建議企業比照辦理。

根據微軟在17年前的公告，CVE-2009-0238是個存在於Microsoft Office Excel中的記憶體毀損漏洞，當使用者開啟了一個包含異常物件的特製Excel檔案時，駭客便能成功利用該漏洞，自遠端執行任意程式碼，進而掌控使用者電腦，包括安裝程式、檢視、變更或刪除資料，或是建立具備完整權限的新帳號。

Security Affairs則說，當年CVE-2009-0238的CVSS風險評分高達9.3，只要使用者開啟一個特製的Excel檔案就可能被觸發，導致應用程式存取記憶體中的無效物件，造成記憶體損壞，而讓遠端駭客得以透過使用者權限在受影響的電腦上執行任意程式碼。

該漏洞影響多個Office產品版本，涵蓋Microsoft Office 2000SP3、Microsoft Office XPSP3、Microsoft Office 2003SP3、Microsoft Office 2007SP1中的Excel，以及Excel Viewer 2003（含SP3）、Microsoft Office Compatibility Pack 2007SP1，另亦波及Microsoft Office 2004 for Mac與Microsoft Office 2008 for Mac中的Excel元件，而它們多半皆已停止支援。

新的KEV清單意味著有部分系統迄今仍在使用受到影響的舊版Office，才會被駭客以17年前的漏洞發動攻擊。而CISA並未透露太多有關CVE-2009-0238如何遭到利用的訊息。

'

鞋商轉型AI運算，Allbirds股價大漲580%

來源：https://www.ithome.com.tw/news/175101

美國鞋業品牌Allbirds週三（4/15）宣布，已賣掉該品牌及其鞋類資產，並將轉型為GPU即服務（GPU-as-a-Service，GPUaaS），更名為NewBird AI。當天Allbirds股價即大漲582.33%，以16.99美元作收。

Allbirds為紐西蘭前職業足球員Tim Brown與生物材料專家Joey Zwillinger在2015年共同創辦，公司主打以天然材料製鞋，例如美麗諾羊毛與甘蔗基泡棉，強調舒適性與永續概念，並迅速在矽谷科技圈走紅。Allbirds在2021年以每股14美元的發行價登上那斯達克（Nasdaq）股市，當年市值一度超過40億美元，然而，激烈的市場競爭讓Allbirds業績與市值雙雙滑落，2025年下半年股價就落到個位數且持續下滑。

Allbirds在2026年的3月30日宣布，將以3,900萬美元把該公司的智慧財產權與資產/負債出售給美國時尚配件及品牌管理業者American Exchange Group，本週再宣布將轉型為GPUaaS。

Allbirds表示，已與一機構投資者簽署一項金額為5,000萬美元的可轉換融資協議，預計於今年第二季完成，以將公司轉型為AI運算基礎設施業者，長期目標是成為整合式GPU即服務與AI原生雲端解決方案供應商，並更名為NewBird AI，相關計畫將於5月18日召開的特別股東大會中表決。

在完成上述交易後，Allbirds品牌與鞋業將由American Exchange Group接手並持續經營，既有股東可透過特別股利取得資產出售所得，或選擇繼續持有轉型後的NewBird AI股票，參與其AI算力業務發展。

過去在區塊鏈與加密貨幣熱潮期間，亦曾出現企業跨足熱門領域以提振股價的案例。然而，考量AI算力產業高度資本密集且技術門檻極高，Allbirds能否在短時間內建立實質營運能力仍有待觀察。

'

Google公布macOS版Gemini App

來源：https://www.ithome.com.tw/news/175100

在OpenAI ChatGPT推出macOS版App將近2年後，Google於昨（4/15）日公布macOS版Gemini App，主打可理解螢幕畫面、並能以捷徑隨處開啟。

macOS版Gemini App現在可以在Gemini網頁下載，提供原生的桌機版使用體驗。首先，用戶可在和Gemini問答互動時分享螢幕畫面給它，包括看的網頁或本機檔案。例如用戶可以分享複雜的圖表問Gemini「圖表中三大重點為何」來獲取Gemini的回答。

此外macOS版Gemini App欲解決不斷在不同視窗間切換的麻煩。現在在macOS電腦上任何地方按捷徑鍵（Option+Space）即可啟用Gemini而無需切換不同視窗，例如製作市場報告時若用戶想驗證日期或建立預算試算表時，需要正確公式，可以立即叫出Gemini提供正確答案再很快回到工作檔案。用戶也可以透過Gemini以Nano Banana生成圖或以Veo生成影片來強化創作。

現在macOS版Gemini App已公開提供全球用戶免費下載，不過macOS版本需在15版以上。Google說Gemini桌機App只是將實現桌機版AI助理的第一步，目前Google正在開發桌機版底層AI模型，以實現真正強大的個人化助理，未來幾個月內Google還會陸續發布相關消息。

Google沒有說是否推出Windows版Gemini App。不過OpenAI在macOS及Windows平臺都提供了ChatGPT App。

'

ShinyHunters聲稱從遊戲公司Rockstar Games竊得兩款網路遊戲的內部資料

來源：https://www.ithome.com.tw/news/175099

去年駭客組織ShinyHunters接連入侵企業組織的雲端CRM平臺Salesforce，頻繁出現在資安新聞版面而成為焦點，最近這些駭客發起新一波攻擊，再度受到關注。

製作《俠盜獵車手VI（GTA VI）》的知名遊戲公司Rockstar Games傳出資料外洩事故，ShinyHunters於4月11日聲稱入侵了該公司的Snowflake平臺，竊得大量資料，要求4月14日前支付贖金，否則就要公開手中握有的資料。最早揭露此事的資安新聞網站HackRead與Cybersec Guru指出，駭客並非直接對Snowflake發動網攻，而是經由AI績效分析平臺Anodot得逞。

由於不久前才傳出Anodot發生資安事故，其中一個受影響的SaaS整合平臺就是Snowflake，因此，可能還有其他的企業組織也受到影響。一旦攻擊者若駭入Anodot，就有機會滲透企業已進行整合的SaaS服務環境，若攻擊者成功從Anodot取得憑證而通過身分驗證，即可在無須利用Snowflake弱點的情況下，存取已連結Anodot的Snowflake帳號，這麼做使得攻擊者的存取看起來與合法活動無異，不少受害企業未及時察覺異狀。

後續Rockstar Games坦承有發生資料外洩的情況，不過並未透露其他細節。ShinyHunters已公開竊得資料的部分檔案截圖，Cybersec Guru指出內容多與網路版遊戲有關，涵蓋GTA Online、Red Dead Online兩款遊戲，以及部分玩家的個人可識別資料（PII），再者，這份資料也呈現GTA Online的財務資料，其中光是鯊魚現金卡（Shark Card）就創造了超過50億美元的收入。

除此之外，ShinyHunters也向資安新聞網站Bleeping Computer透露，這批檔案的主要內容是內部分析資料，用於監控Rockstar Games網路服務及客服支援工單，不僅包括GTA Online與Red Dead Online的財務資料，可能還有Zendesk的客戶支援分析資料。值得留意的是，這波攻擊活動已傳出有多家企業受害，例如：賀卡公司Hallmark Cards、美國國鐵公司Amtrak，以及教育出版商麥格羅希爾（McGraw-Hill）。

'