FIDO身分識別觸角擴大，聚焦3大關鍵議題：數位憑證、AI代理、歐盟CRA

來源：https://www.ithome.com.tw/news/175115

想要了解「網路身分識別」的最新發展，FIDO聯盟揭露的技術路線向來是了解相關產業發展的風向球。相較於前幾年聚焦以通行密鑰（Passkey）取代密碼，以及IoT開放標準協定FDO及支付領域Payment Passkey應用，2026年則展現出全新的探討重心。

在今年2月舉行的FIDO巴黎研討會中，數位憑證與代理式AI已躍升為核心議題，歐盟網路韌性法案（CRA）亦是討論焦點。這些動向不僅展現FIDO正擴張其接軌範疇，也預示著身分識別在AI代理時代面臨的全新挑戰。

FIDO技術迎來全新布局，從Passkey普及邁向多元生態接軌

有哪些全新發展重點？近期參加FIDO巴黎研討會的工業技術研究院資通所副所長黃維中指出，他在今年會議上觀察到3大核心議題：數位憑證、代理式AI，以及歐盟網路韌性法案（CRA）。

焦點一：數位憑證（Digital Credential）

首先是數位憑證與FIDO的結合。黃維中解釋，過去FIDO標準主要聚焦於「身分驗證」動作，相當適用於不需實名認證的場景。然而，隨著數位錢包（Digital Wallet）興起，如何安全存放並使用數位駕照、護照等數位憑證，已成為產業發展的新關鍵。

針對此態勢，FIDO聯盟已展開布局。黃維中指出，為因應數位憑證帶來的新需求，FIDO聯盟近兩年陸續推出DocAuth（文件驗證）與Face Verification（人臉驗證）兩大標準，以解決數位憑證在線上註冊（Onboarding）時的信任挑戰。

不過，在目前的數位憑證生態系中，FIDO僅扮演其中一個環節，主要負責裝置間的互動。例如，在歐盟eIDAS規範下，App與錢包間的近距離互動即是採用FIDO的CTAP協議。至於數位憑證本身的標準，目前仍多由OpenID基金會、W3C、IETF等組織主導，還有像是ISO 18013中的行動駕照mDL標準。

未來有哪些重要變化值得關注？黃維中點出FIDO數位憑證工作小組（DCWG）的最新動向。他表示，在納入數位錢包應用後，多了「驗證者（Verifier）」與「憑證管理器／錢包（Credential Manager）」的角色，因此FIDO的角色也會變得與以往不同。

基於此架構，DCWG未來將鎖定兩大發展重點：第一是推動數位錢包的認證，確保其安全性與互通性，第二是驗證者識別規範制定，也就是確認「請求資料的驗證方」是否合法合規，確保憑證交換過程的安全。

焦點二：代理式AI（Agentic AI）

談到這次巴黎研討會最大的收穫，黃維中直言，FIDO與代理式AI的交會點最引人注目，卻也最令專家戒備。他強調，一旦AI代理能在系統面前「像人一樣行動」，身分、授權與責任邊界將同步被放大，風險不容忽視。

黃維中轉述會中專家是如何看待代理式AI，首先，FIDO聯盟將AI代理的互動模式歸納為3類，分別是：Delegation（委任）、Impersonation（冒充）、Just-in-Time（及時授權）。

在3種互動模式當中，委任模式被認為相對完整且具防禦餘地。例如，使用者以Passkey進行授權後，發出如OAuth Token的憑據給AI代理執行任務。黃維中強調，Passkey是目前唯一能驗證你是真實人類親自在場（Human in the loop）的技術。此外，目前討論熱度高的MCP若搭配OAuth也可行，但需注意OAuth去年針對此類需求新增了條文，企業應採用最新版本以確保完整性。

冒充互動模式則被視為高風險區，黃維中指出，現行AI代理出現代理失控案例多與此模式有關，因為使用者在設定檔中將權限完全開放。

至於Just-in-Time互動模式，則被視為在效率與人類把關之間折衷的做法。簡單而言，使用者一開始先給最基礎的授權，之後Agent想要執行任何關鍵動作時，再即時進行一次驗證授權。

那麼FIDO聯盟在Agentic AI浪潮下將有哪些行動？黃維中指出兩個討論重點：

（一）在目前的技術討論中，Passkey被視為極少數能有效確認「使用者親自在場」的技術手段。所以Agent要安全，流程中一定要有Passkey驗證。

（二）為了進一步提升AI代理的安全性，FIDO聯盟正規畫制定一套技術規範，將Passkey授權憑證當作Agent的授權證明，從中規範代理能做什麼、不能做什麼。一旦出問題，至少能證明當初授權的範圍，責任歸屬會比較明確。因此，FIDO也將定義這種授權證明的格式，預計這是FIDO聯盟這一兩年會熱烈討論的方向。

黃維中也補充，這類以Passkey簽署的授權證明，在臺灣現行環境下，將能與數位簽章制度的適用性討論接軌，強化法律上的證據力，因此，這類技術對於金融、政府與大型平臺業者同樣具參考價值。

焦點三：歐盟CRA（Cyber Resilience Act）

最後一個重點是歐盟網路韌性法案（CRA），就目前聯盟討論方向來看，CRA法案與FIDO的發展路線有重疊與交集之處。

首先是技術對齊方面，CRA要求裝置內必須有Root of Trust（信任根），與FIDO聯盟要求一致；其次是流程規範方面，FIDO標準對於各項技術步驟如何生效、如何驗證都有明文規定。

第三點是最重要的CRA通報時程要求，也就是業者若發現漏洞必須在24到72小時內向主管機關完成通報，否則面臨巨額罰款或產品禁售。黃維中指出，企業若採用自訂規格需自行發現、追蹤並回報漏洞；相對地，如果企業是採用FIDO標準，FIDO聯盟在漏洞追蹤、提供通報歐盟所需規格文件上，可以更容易合規。這種標準化的價值不僅在 CRA，在歐盟其他合規要求中也一再被提到。

'

樹莓派OS新版改變預設行為，sudo指令需輸入密碼

來源：https://www.ithome.com.tw/news/175109

樹莓派（Raspberry Pi）釋出作業系統Raspberry Pi OS 6.2版本，這是自去年推出的Trixie版本第二次更新，本次版本最受關注的調整在於新安裝系統預設停用無密碼sudo，使用者執行具有管理者權限的指令時，需先輸入當前帳號的密碼。其目的在於封堵一般使用者帳號可直接取得管理者權限的安全缺口。

官方強調，此次預設行為變更不會影響既有安裝的升級行為，升級後的系統雖然Control Centre中會出現Admin Password開關，但無密碼sudo仍維持啟用狀態，除非使用者自行關閉。

在Linux系統中，一般使用者若需執行管理者層級的操作，通常會在指令前加上sudo作為前綴，讓系統以管理者身分執行該動作。Raspberry Pi OS過去為了便於操作，長期將一般帳號設定為無需輸入密碼即可使用sudo，但此設計也意味著任何能存取該裝置的人，都可從一般帳號直接進行管理者動作，其中包含潛在的惡意操作。

從6.2版起，新安裝系統中的一般帳號執行sudo時，終端機會立即出現密碼輸入提示，輸入正確密碼後指令才會繼續執行，輸入錯誤則會被拒絕。桌面環境中涉及管理者權限的操作，例如Control Centre中的部分設定項目，也會跳出對話框要求輸入密碼。官方表示，輸入一次密碼後，5分鐘內的後續sudo操作不會再次詢問，降低重複輸入造成的操作負擔。

對於不希望每次被詢問密碼的使用者，Raspberry Pi OS保留了切換選項。桌面版使用者可開啟Control Centre，於System分頁切換Admin Password開關，關閉後系統將還原為過去的無密碼sudo行為。不含桌面環境的Raspberry Pi OS Lite版使用者，則可透過raspi-config工具的System選單調整相同設定。

在公告留言區，有使用者抱怨此舉增加操作不便，可能影響無頭（Headless）裝置與自動化腳本等既有使用情境，也有人認為應在映像檔製作或安裝流程中提供切換選項。官方表示，面對網路攻擊威脅日益升高，此類調整可能造成部分習慣原有操作方式的使用者不便，但仍選擇更動預設設定，以提升系統的基本安全性。

'

後門程式BPFDoor出現變種，駭客透過C2路由與ICMP中繼手法逃過偵測

來源：https://www.ithome.com.tw/news/175114

在3月底，資安公司Rapid7揭露中國駭客Red Menshen（Earth Bluecrow）的攻擊行動，駭客鎖定電信網路部署後門程式BPFDoor，長時間潛伏在4G與5G核心網路環境，近期該公司再度公布最新調查結果，指出駭客已發展出多個新的變種，其中導入了C2路由與網際網路控制訊息協定中繼（ICMP Relay）手法，使得該後門程式的活動更加難以追蹤。

Rapid7總共發現7個BPFDoor的變種，其中最重要的兩個是httpShell和icmpShell。該公司指出，駭客使用BPFDoor的時間長達數年，這幾年隨著資安工具的偵測機制出現變化，而調整手法，其中一種就是早期版本的無檔案執行策略，駭客在成功啟動BPFDoor後，就將檔案刪除，目的是讓資安人員難以採集證據；後來EDR具備對應的偵測機制，httpShell的開發團隊就調整手法，不再刪除惡意程式檔案，而是將其混入一般的系統處理程序裡。

BPFDoor是執行在Linux系統核心層級的後門程式，其特點就是從作業系統的核心濫用Berkeley封包過濾器（BPF），檢查來自C2的流量，一旦攻擊者透過無狀態協定的隧道傳送特製觸發封包，此後門程式就能在受害企業組織難以偵測的狀態下，持續於網路環境活動。

究竟新的變種出現那些變化？其中被稱做httpShell的BPFDoor變種，採用核心層級的封包過濾器，同時驗證IPv4與IPv6的流量，並利用HTTP隧道機制截取隱藏的命令，駭客加入Hidden IP（HIP）欄位進行動態路由。此後門程式具備核心層級的解密機制，透過偏移迴避偵測（Offset Evasion）、IPv6限制等作法，來隱匿相關活動。

另一個變種是icmpShell，駭客通常會用於受到高度限制的環境，其特點是設置動態的PTY隧道，連線階段（Session）通常完全運用ICMP協定來進行。此變種會向系統核心注入動態的BPF過濾器，並綁定惡意程式執行的處理程序識別碼（PID），由於每次執行的PID都不同，使得靜態的防火牆規則難以防範。icmpShell另一個特色是具備多種運作模式，除基本的Shell功能，駭客實作了雙向ICMP隧道、UDP與ICMP的打孔（hole-punching）機制，以及RC4加密機制。

'

行政院將建置國家級海洋雷達觀測網，跨部會整合海洋觀測資料，用AI強化海域監測與預警應變能力

來源：https://www.ithome.com.tw/news/175112

隨著海洋活動日益頻繁、海象風險持續升高，因應我國海洋監測量能不足與資訊分散的挑戰。行政院在今天(4/16)通過海洋委員會自去年起啟動的「國家級海洋雷達觀測網」建置計畫，鎖定跨部會資料整合與AI應用兩大核心，試圖打造一套具備即時監測、智慧分析與決策支援能力的海域感知系統。

目前國內海洋雷達站分散於不同單位，包括國家海洋研究院、交通部與國科會等機構，各自建置與管理，導致資料格式不一、難以整合，成為我國海洋資訊應用的主要瓶頸。海委會國家海洋研究院長陳璋玲指出，各單位的海洋雷達資料孤島問題，已直接影響航行安全、海域油氣作業、油污染擴散預測，甚至災害預防等關鍵應用。

因此，行政院建立國家級海洋雷達觀測網首要任務是完成跨部會雷達資料整合，建立統一的資料交換與治理機制。

在建設規模上，該計畫預計於未來4年內（自2025年至2028年）大幅提升雷達覆蓋範圍，從現行約15萬平方公里擴展至21萬平方公里，同時提高訊號回傳密度與資料解析度。這不僅意味著監測範圍的擴張，也代表資料顆粒度的細緻化，海象的變化能被更精準捕捉，提升整體系統的即時性與可靠度。

除了整合既有設施，陳璋玲表示，觀測網也將補強過去監測不足的海域盲區，包括彭佳嶼周邊海域、呂宋海峽及臺灣灘等關鍵水域，透過新增雷達站點提升覆蓋完整性。另一方面，系統也將延伸至民生應用場景，針對海灘等高活動熱點提供即時海象資訊，讓民眾可掌握如離岸流等風險，提高國人從事海域活動的安全意識。

在技術層面，AI被視為計畫的關鍵加值能力。由於雷達網將持續產生大量即時資料，相關單位已導入AI模型進行資料分析與預測，包括航行安全判斷、油污染擴散路徑模擬，以及海難搜救路徑推估等。此外，針對與民眾安全高度相關的離岸流偵測，也將透過AI模型提升辨識準確度，強化預警能力。

這套國家級海洋雷達觀測網不僅是感測基礎設施的升級，更是一項結合資料整合、AI運算與跨域應用的數位工程。未來隨著資料持續累積與模型優化，系統預期將在海域安全、污染防治、搜救應變與防災韌性等面向發揮關鍵作用，並透過對外資訊服務平臺（如GoOcean）降低使用門檻，擴大海洋數據的社會影響力。

'

【資安日報】4月16日，17年前的Excel漏洞驚傳遭到利用

來源：https://www.ithome.com.tw/news/175111

駭客正在利用17年前的Excel漏洞展開攻擊

美國網路安全與基礎設施安全局（CISA）將兩個安全漏洞列入已知遭利用漏洞清單（KEV），要求美國聯邦機構於兩週內修補，一個是微軟甫修補的SharePoint Server漏洞CVE-2026-32201，另一個則是現身於17年前、微軟於2009年修補的Excel漏洞CVE-2009-0238。

根據微軟在17年前的公告，CVE-2009-0238是個記憶體毀損漏洞，當使用者開啟包含異常物件的特製Excel檔案時，駭客便能成功利用該漏洞，自遠端執行任意程式碼，進而掌控使用者電腦，包括安裝程式、檢視、變更或刪除資料，或是建立具備完整權限的新帳號。

CISA在微軟揭露SharePoint漏洞當下即同步納入KEV清單，顯示風險急迫

美國網路安全與基礎設施安全局（CISA）以少見的急迫速度，在微軟於4月14日揭露SharePoint漏洞CVE-2026-32201的同時，便將其納入已知遭利用漏洞清單（KEV），要求各機構立即修補，顯示此漏洞的風險正迅速升高。

這個SharePoint漏洞，是微軟4月例行更新修補的165個漏洞之一，屬於輸入驗證不當（Improper Input Validation）類型弱點，攻擊者一旦成功利用此漏洞，將能在未經授權下透過網路執行欺騙操作，會影響SharePoint伺服器訂閱版、SharePoint伺服器2019版與SharePoint Enterprise伺服器2016版，微軟已在更新中提供修補。

ShinyHunters聲稱從遊戲公司Rockstar Games竊得兩款網路遊戲的內部資料

製作《俠盜獵車手VI（GTA VI）》的知名遊戲公司Rockstar Games傳出資料外洩事故，ShinyHunters於4月11日聲稱入侵了該公司的Snowflake平臺，竊得大量資料，要求4月14日前支付贖金，否則就要公開手中握有的資料。最早揭露此事的資安新聞網站HackRead與Cybersec Guru指出，駭客並非直接對Snowflake發動網攻，而是經由AI績效分析平臺Anodot得逞。

後續Rockstar Games坦承有發生資料外洩的情況，不過並未透露其他細節。ShinyHunters已公開竊得資料的部分檔案截圖，Cybersec Guru指出內容多與網路版遊戲有關，涵蓋GTA Online、Red Dead Online兩款遊戲，以及部分玩家的個人可識別資料（PII），再者，這份資料也呈現GTA Online的財務資料，其中光是鯊魚現金卡（Shark Card）就創造了超過50億美元的收入。

瑞典指控親俄駭客去年試圖攻擊供熱廠

瑞典民防部長Carl-Oskar Bohlin週三在首都舉行的記者會上指出，該國一座供暖廠於2025年春天，遭到親俄駭客組織攻擊，試圖破壞營運。由於廠內的資安防護啟動，阻止了該次入侵。入侵未遂目標是營運科技（OT）系統，即控制發電廠、水務設施及製造設備等實體基礎設施的工業控制系統。該供暖廠位於瑞典西部，但他並未透露是哪一座廠受到攻擊。瑞典安全部門調查確認，攻擊者可能與俄羅斯情報機構有聯繫。

在瑞典的攻擊行動之前，挪威、丹麥、拉脫維亞及波蘭也在先後經歷了類似的攻擊。波蘭官員今年1月發布報告，指出2025年12月29日至30日間，兩座熱電共生（CHP）電廠、負責管理風力與光電設施的再生能源調度系統遭到攻擊，但遭到阻擋。調查結果將矛頭指向親俄駭客組織Sandstorm。

Chrome Web Store出現108款惡意擴充程式

資安業者Socket指出，他們在Chrome Web Store發現了108款共用C2基礎設施的惡意擴充程式，這些偽裝成通訊、播放器、遊戲或工具的擴充程式，可竊取使用者的Google帳戶、Telegram帳號或瀏覽行為，並將它們傳送到cloudapi[.]stream。

此次揭露的擴充程式涵蓋Telegram擴充工具、影音播放器、翻譯服務及各類小遊戲等常見應用，安裝後仍可正常運作，降低使用者警覺。但實際上會在背景透過OAuth機制擷取Google帳戶的電子郵件、名稱與唯一識別碼（sub），並持續蒐集瀏覽行為資料。

PHP套件管理器Composer爆兩指令注入漏洞，可觸發任意指令執行

PHP生態系受廣泛使用的套件管理工具Composer，存在兩個高嚴重性指令注入漏洞CVE-2026-40261與CVE-2026-40176，問題均源自Perforce版本控制整合模組，在建構Shell指令時，未對外部輸入做適當跳脫處理。其中CVSS評分達8.8的CVE-2026-40261，可透過惡意Composer套件儲存庫遠端觸發，且不需要用戶端安裝Perforce即可執行任意指令，形成軟體供應鏈攻擊風險，Composer開發團隊已釋出2.2.27與2.9.6版修補。

兩個漏洞的根本成因相似，都是Composer的Perforce驅動程式在組合系統指令時，直接將外部提供的參數嵌入指令字串，未經過濾或跳脫處理，導致攻擊者可藉由在參數中夾帶Shell特殊字元來注入任意指令。

Apache Tomcat修補多個高風險漏洞，最嚴重漏洞可能導致加密機制遭到繞過

Apache軟體基金會近日發布安全公告，修補Java應用程式伺服器軟體Apache Tomcat存在的多個漏洞，建議用戶儘速更新。

最嚴重的是涉及EncryptInterceptor元件加密機制的2個高風險漏洞，CVSS嚴重性評分均為7.5。以EncryptInterceptor元件的漏洞為例，資安公司Oligo Security研究人員發現的第1個漏洞CVE-2026-29146，問題出在EncryptInterceptor元件預設使用密碼區塊連結（CBC）模式，可能導致攻擊者在特定條件下解密攔截到的流量，但資安公司Striga.ai研究人員發現Apache Tomcat對此漏洞發布的最初修補並不完全，修補機制可能遭到繞過，產生第2個漏洞CVE-2026-34486，必須升級到進一步修補的新版本才能解決問題。

研究人員揭露wolfSSL函式庫重大漏洞，未修補可能導致不安全憑證通過驗證

IoT、車用與嵌入式系統常用的SSL通訊函式庫wolfSSL，近日發布安全公告，修補可能導致驗證失效的重大漏洞，攻擊者可利用偽造憑證通過驗證。開發商wolfSSL公司已於4月8日發布wolfSSL 5.9.1版修補此漏洞，由於wolfSSL函式庫廣泛應用於IoT與嵌入式裝置，此漏洞可能影響大量設備，用戶應儘速完成修補，以降低遭攻擊風險。

這次修補的漏洞編號為CVE-2026-5194，屬於憑證驗證不當（Improper Certificate Validation）類型弱點，CVSS v4.0嚴重性評分達9.3分，問題源自憑證驗證過程中，未正確檢查憑證hash/digest大小與物件識別碼（Object Identifier，OID）等資訊，從而會降低憑證驗證的安全性，導致系統在特定情況下可能接受不安全的憑證。

OpenSSL 4.0清理十年技術債，加入後量子密碼與ECH支援

加密函式庫OpenSSL專案正式釋出4.0版，移除SSLv3協定支援、SSLv2 Client Hello與Engine機制，並新增Encrypted Client Hello（ECH）支援及後量子相關密碼學功能，是改版幅度較大的主要版本更新。

本次受矚目的新功能，是依循RFC 9849規範實作的ECH支援。ECH可將TLS交握過程中的敏感Client Hello內容加密，包含實際SNI等資訊，降低網路路徑上第三方辨識連線目標的可能性，強化TLS隱私保護。再者，開發團隊還新增多項密碼學功能，涵蓋中國商用密碼演算法、後量子密碼，以及新的雜湊函式等支援，例如RFC 8998相關功能、sm2sig_sm3、curveSM2、curveSM2MLKEM768、ML-DSA-MU與cSHAKE。在TLS層面，4.0版也新增TLS 1.2的FFDHE金鑰交換協商支援。

Anthropic新模型Claude Mythos引發金融業資安疑慮，美英加監理機關關注風險

AI模型開發商Anthropic於4月7日公布Claude Mythos預覽版本，因其具備強大的尋找並利用軟體弱點能力，引起金融業與監理機關注意。根據路透社與金融時報報導，美國、英國與加拿大主管機關近期已與銀行高層討論相關風險，顯示這類具攻防雙重用途的AI模型，正被視為影響企業資安防禦節奏的重要變數。企業AI資安業者Guardrail Technologies執行長TJ Marlin接受路透社採訪時指出，Claude Mythos這類先進模型能夠橫跨複雜系統架構進行分析，包括企業內部長期累積的舊系統環境，使過去未被發現的弱點與系統複雜性，現在都可能轉化為可被利用的攻擊面。此外，銀行業彼此之間高度連結，多數機構採用相似的軟體來進行開戶流程（onboarding）、客戶審查計畫（KYC）驗證與交易處理，一旦攻擊手法可規模化運用，影響可能迅速擴散。

其他資安威脅

◆烏克蘭政府、醫院遭到惡意軟體AgingGly攻擊

◆逾30個WordPress套件被植入惡意程式碼，允許攻擊者未經授權存取網站

◆拉丁美洲銀行遭遇惡意軟體JanelaRAT攻擊，巴西是主要目標，去年有近1.5萬次活動

◆北韓駭客APT37濫用臉書從事社交工程攻擊，企圖傳遞惡意軟體RokRAT

◆工作流程自動化平臺n8n遭到濫用，攻擊者從事網釣長達半年

近期資安日報

【4月15日】微軟、SAP、Adobe發布本月例行更新

【4月14日】OpenAI證實遭遇Axios供應鏈攻擊波及

【4月13日】CPUID網頁被入侵，駭客散布木馬程式STX RAT

'

群暉修補SSL VPN Client工具程式兩個漏洞，未更新可能導致敏感資料外洩

來源：https://www.ithome.com.tw/news/175110

儲存與網路設備供應商群暉（Synology）近日發布安全公告，修補旗下SSL VPN Client工具程式的兩個漏洞，攻擊者可透過誘導用戶開啟惡意網頁從而觸發攻擊，進而取得用戶敏感資料、竄改VPN設定或攔截流量，解決辦法是升級到1.4.5-0684以上版本，建議用戶儘速更新。

群暉的SSL VPN Client是安裝在用戶端環境的工具軟體，用於連接群暉路由器SRM作業系統（Synology Router Manager，SRM）的VPN Server功能，以建立VPN連線。

這次修補的漏洞中，較嚴重的是CVE-2021-47961，CVSS嚴重性評分為8.1分，源自SSL VPN Client內部以不安全的形式（純文字）存放使用者個人識別碼（PIN）。 。攻擊者可透過誘導用戶開啟惡意網頁，進而取得或篡改SSL VPN Client的PIN碼，可能導致攻擊者獲得VPN設定控制權，並可能藉此攔截後續的VPN流量。

另一個漏洞則是CVE-2021-47960，CVSS嚴重性評分為6.5分， 問題源自SSL VPN Client在本機系統上基於回送介面（loopback interface，IP位址為127.0.0.1）的HTTP 服務，未妥善限制存取權限，遠端攻擊者可透過誘導用戶開啟惡意網頁，從而經由本機HTTP服務，存取SSL VPN Client安裝目錄中的敏感檔案，如設定檔、憑證與日誌等。

另外我們還注意到，群暉這次修補的兩個漏洞都是採用2021年的CVE編號，但我們查詢NIST、Tenable等漏洞資料庫的結果顯示，這兩個漏洞的發布（Published）時間都是在2026年4月10日，為何2026年發布的漏洞會採用2021年的CVE編號，到本文截稿為止，群暉方面尚未給予我們回覆。

'

Nginx網頁管理介面元件Nginx UI存在重大漏洞，有資安公司警告已遭積極利用

來源：https://www.ithome.com.tw/news/175108

網頁伺服器Nginx的第三方網頁管理介面Nginx UI存在重大漏洞，後續傳出遭到利用，由於攻擊者可在無須通過身分驗證的情況下接管網頁伺服器，所以，這個弱點受到資安界高度關注。

這個漏洞被登記為CVE-2026-33032，起因是Nginx UI與模型上下文協定（Model Context Protocol，MCP）整合時，會曝露兩個HTTP端點/mcp與/mcp_message，其中的/mcp，用戶需要以白名單IP位址連入並通過身分驗證，才能存取，不過，若是/mcp_message，只需透過列於白名單的IP位址，就能存取，然而IP位址白名單預設沒有任何內容，再加上中介軟體預設允許所有的存取，導致未經身分驗證的攻擊者能使用所有的MCP工具，將Nginx重新啟動，或是建立、竄改、刪除組態設定檔案，甚至能觸發自動設定重新載入，完全挾持Nginx服務，CVSS風險評為9.8分（滿分10分），相當危險。

值得留意的是，無論是開發者於3週前發布的資安公告，還是美國國家漏洞資料庫於3月30日記錄的內容，都強調尚未提供該漏洞的修補程式，不過通報漏洞的資安公司Pluto Security於4月15日的部落格文章指出，Nginx UI開發團隊已於3月15日發布的2.3.4版完成修補，為何會有這種資訊落差，目前不得而知，為求保險起見，用戶應升級最新版本（目前是2.3.6版）因應。

CVE-2026-33032被用於攻擊行動的情況，最早是資安公司Recorded Future於4月13日提出警告，他們在3月份發現有31個漏洞遭到駭客積極利用，其中一個就是CVE-2026-33032。至於攻擊者如何利用，該公司並未進一步說明。

Pluto Security在部落格文章說明漏洞細節，由於Nginx UI的特定功能缺乏身分驗證流程，使得12種MCP工具曝露，其中一種是能以自動重新載入的方式將Nginx組態設定寫入，攻擊者只要使用一次未經身分驗證的API呼叫，就能注入設定並接管Nginx。

該公司將CVE-2026-33032命名為MCPwn，並指出該漏洞的發現，代表開發者將MCP與現有應用程式整合，MCP端點會繼承應用程式的完整功能，卻不一定具備原本的安全機制，而有可能因為能繞過應用程式所有的身分驗證機制，形成可被利用的後門。Pluto Security透過物聯網搜尋引擎Shodan，在超過50個國家找到2,689個Nginx-UI執行個體（Instance），這些都是攻擊者的潛在目標。

利用CVE-2026-33032，攻擊者總共能取得12種工具，其中7種能對Nginx造成破壞，另有5種可用於偵察。而且攻擊流程大致只有兩個步驟，一是利用漏洞建立通過身分驗證的SSE連線，再來是在上述連線狀態下呼叫想要使用的工具，過程裡完全無須通過身分驗證流程。對於該漏洞可能造成的影響，攻擊者可攔截所有流量、挖掘管理員憑證、取得永久存取權限、洩露網站架構，或是終止網站服務的運作。

'

Google發布Chrome瀏覽器更新，修補31個漏洞，含多個重大與高風險漏洞

來源：https://www.ithome.com.tw/news/175104

臺灣時間今天Google發布Chrome瀏覽器新版本，將Windows與Mac平臺穩定版更新至147.0.7727.101與147.0.7727.102，Linux版本更新至147.0.7727.101，此次改版修補多個重大與高風險漏洞。

這次Chrome更新一共修補31個漏洞，包括5個重大漏洞、22個高風險漏洞，以及4個中度風險漏洞。

其中最受矚目的是重大漏洞CVE-2026-6296，為圖形處理元件ANGLE的堆積緩衝區溢位（heap buffer overflow）問題， Google給予通報者9萬美元獎勵，是近幾個月來Chrome漏洞通報中少見的高額獎金。另一個值得關注的重大漏洞是CVE-2026-6297，問題在於跨程序通訊代理層（Proxy），出現記憶體釋放後再存取使用（Use After Free）的狀況，Google給予通報者1萬美元獎金。

其他值得注意的還有另3個重大漏洞CVE-2026-6298、CVE-2026-6299與CVE-2026-6358。CVE-2026-6298為圖形引擎元件Skia的堆積緩衝區溢位問題，CVE-2026-6299與CVE-2026-6358皆為記憶體釋放後再存取使用弱點，分別發生在網頁預載元件Prerender與虛擬實境介面XR。

綜觀這次Chrome修補的漏洞，涉及的元件以圖形與多媒體處理類型元件為最大宗，如Skia、ANGLE、Graphite、Video、Codecs等，占比將近一半。

而從漏洞類型來看，則是以記憶體相關問題為最大宗，占比將近三分之二，包括記憶體釋放後再存取使用、堆積緩衝區溢位、存取越界等。

'