行政院投入近31億元建置逾2千處淹水感測器，串聯近萬監視器，靠AI強化淹水預警及應變能力

來源：https://www.ithome.com.tw/news/175257

目前國內正推動抗旱工作，不過隨著颱風季節來臨，極端氣候造成淹水災情，往往導致民眾生命及財產的損失，也重創國內經濟發展，為加強科技防災工作，行政院核定經濟部水利署「水災智慧防災計畫（第二期）」，5年將投入30.9億元，建置上千個淹水感測器，串聯近萬監視器影響，利用AI即時掌握水情變化，提升對水災的應變能力。

該計畫將建置超過2,000處淹水感測器，並串聯近萬支監視設備，利用AI 24小時即時掌握各地的水情，提升預警與應變效率。

經濟部水利署長林元鵬指出，透過和氣象署合作建置防災降雨雷達，以掌握各地降雨情形，快速掌握各地降雨情形，並且將在全臺設置2,068支淹水感測器，其中6成的災點可以自動偵測，相較以往由民眾通報，再派人赴現場勘察，效率更為提升。

以容易淹水的地下涵洞為例，當感測器偵測到人行地下道、車行地下道、涵洞等地勢較低處發生淹水情形，就會即時管制出入，避免車輛在不知情下通行造成人員傷亡或車輛故障。

另外，該計畫也將整合9,650支CCTV，由AI監控各處的淹水畫面影像，節省派人到場勘災。「未來AI的導入，將可提升防災效率」，他說。

除了這些之外，林元鵬進一步說明，水利署也和Google Map合作，在地圖上檢視哪裡發生淹水，提供行車路徑參考，主動繞過淹水的地點。

'

高德地圖在臺圖資紅綠燈倒數秒數精準惹爭議，資安署：蒐集用戶數據所得，已啟動檢測評估是否建議民間不要使用

來源：https://www.ithome.com.tw/news/175252

中國導航服務高德地圖近期在臺灣快速竄紅，由於其可精準顯示紅綠燈倒數秒數等功能，但也因此引發資料來源與個資蒐集疑慮，引發資安與國安層級關注。數發部資安署已啟動檢測機制，評估是否對公部門甚至整體使用進行限制。

高德地圖近期在台上線紅綠燈倒數功能，且準確度極高，引發外界質疑其資料來源。由於臺灣各地方政府並未對外提供即時號誌資料API，也未與該業者合作，引發「資料從何而來」的疑慮，成為外界關心的重點。

根據國內媒體的報導，業者回應，相關功能主要透過用戶定位資訊與歷史行車數據，結合演算法推估而成，而非直接介接政府系統，該說法證實並沒有直接取用地方政府的交通號誌控制系統數據，但也進一步引發對用戶數據蒐集的疑慮。

涉及行為軌跡蒐集，資安與國安疑慮升高

根據業者的說法，紅綠燈秒數仰賴群眾數據推算，代表應用程式需長期蒐集使用者位置與移動行為，才可能重建個人通勤路徑與生活軌跡。

這類數據若被集中分析，雖然提供精準的導航功服，但是後臺蒐集數據可能侵犯用戶個人隱私，還可能涉及敏感區域活動模式，包括政府機關或軍事設施周邊動線，風險已不僅止於個資外洩，而可能延伸至國安層級。

過去就曾經有相關案例，由於健身熱潮興起，不少人會使用健身應用程式，曾有一個健身應程式業者公佈全球熱圖，意外地將美國等國軍方人員在敘利亞、阿富汗等偏遠地區的跑步路線曝光，意外曝露隱秘軍事基地、秘密哨所的位置，這直接涉及國家安全。

此外，由於高德地圖背後業者屬於阿里巴巴集團所有，其資料處理與跨境傳輸機制，也成為另一個關注焦點。

資安署長：政府機關禁用，民間將待資安院技術檢測後對外說明

在今天行政院會後記者會上，數發部資通安全署署長蔡福隆表示，高德地圖是從荷蘭業者Here Technology合作取得臺灣的圖資，並非高德地圖自己蒐集的臺灣地圖資料；對於其紅綠燈倒數秒數資料，高德地圖並未與政府相關的號誌系統介接，而是根據用戶在路口紅綠燈停等數據推算相關的秒數。

高德地圖蒐集用戶的定位、行動跡軌資料，這些資料回傳至中國，依中國網路安全法等相關法規規定，中國政府有權存取企業相關的資料，民間也有義務配合該國政府情報蒐集，提醒使用的國人注意相關的隱私風險。

蔡福隆也指出，資安署將交由資安院檢測，預計檢測完畢後，5月中召開記者會對外說明。而公部門方面，依據去年12月確訂的資通安全管理法，高德地圖本來就是危害國家資通安全的產品，政府機關不能使用。高德地圖目前以兩岸經商的台商使用居多，國人使用還不多，但提醒高德地圖蒐集用戶的定位、軌跡資料，呼籲民眾不要在臺灣使用高德地圖。

儘管如此，高德地圖仍因導航精準、功能完整（如車道提示、測速提醒、號誌預測）獲得不少用戶青睞。

不過，此事件也顯示當導航服務精準度愈高，背後所需的數據規模與細緻程度也隨之增加，大量用戶數據的蒐集、處理與流向，涉及用戶個人隱私，也可能成為國家安全風險。

政府過去已多次針對中國來源應用程式提出資安警示。數發部資安署曾點名多款中國製App，指出其在安裝過程中，可能要求過度授權，例如存取通訊錄、定位、裝置資訊等，甚至存在蒐集與服務功能無直接關聯的資料情形，增加個資外洩與濫用風險。當時即提醒民眾，應審慎評估來源不明或高風險應用的使用必要性。

此外，資安署也曾強調，部分境外App涉及資料回傳至境外伺服器，在中國的特定法規下，企業可能需配合當地政府調取資料，這使得「資料是否可被第三方存取」成為關鍵風險。也因此，政府過去已對公務機關訂有相關使用限制，要求避免在公務設備下載或使用特定來源App。

'

【資安日報】4月23日，近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞

來源：https://www.ithome.com.tw/news/175256

近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞，暴露於敏感資料外洩風險下，用戶需儘速更新

微軟上週發布的4月例行更新（Patch Tuesday）所修補160多個漏洞中，最關鍵的是兩個已被實際利用的零時差漏洞，其中之一是SharePoint伺服器的欺騙弱點CVE-2026-32201，在微軟揭露此漏洞的同一天，美國網路安全與基礎設施安全局（CISA）也以少見的急迫速度，將其納入已知遭利用漏洞清單（KEV），要求各機構需在4月28日以前完成修補。

微軟原廠與CISA的通報都指出，CVE-2026-32201這個漏洞已被實際用於攻擊，修補工作十分緊迫，但更重要的是，SharePoint用戶是否已採取修補行動？依據資安監測組織Shadowserver基金會的掃描顯示，截至4月20日為止，仍有將近1,300臺未修補前述漏洞的SharePoint伺服器，暴露於網際網路上，其中以美國數量最多，占555臺，次之是德國107臺與加拿大60臺，臺灣也有1臺。

未修補漏洞的Apache ActiveMQ主機仍有6,400臺，暴露於遠端執行程式碼攻擊風險下，用戶需儘速更新

資安公司Horizon3.ai研究人員透過AI工具Claude輔助，發現潛藏13年的Apache ActiveMQ重大漏洞CVE-2026-34197，從而引發AI工具在發現資安漏洞方面的新聞熱潮後，這個漏洞也很快就被攻擊者利用，美國網路安全與基礎設施安全局（CISA）隨後將此漏洞納入已知遭利用漏洞清單（KEV），要求各機構在4月30日前完成修補。

不過在新聞熱潮下，更重要的是ActiveMQ用戶是否已採取修補行動。依據資安監測組織Shadowserver基金會的掃描顯示，截至4月20日為止，仍有多達6,476臺未修補前述漏洞的Apache ActiveMQ主機，暴露於網際網路上，其中以中國數量最多，占1,400臺，次之是美國的1,100臺，然後是巴西的356臺，臺灣也有20臺。

CISA警告思科SD-WAN資安漏洞遭到積極利用，限期聯邦機構4天完成修補

美國網路安全與基礎設施安全局（CISA）近日警告，2月底揭露的3個漏洞CVE-2026-20122、CVE-2026-20128與CVE-2026-20133已遭實際利用，未修補這些弱點的思科廣域網路存取平臺Catalyst SD-WAN風險大增，CISA將這些漏洞納入已知遭利用漏洞清單（KEV）。由於SD-WAN是用戶存取廣域網路環境的中樞平臺，其漏洞會影響到用戶整個網路環境的安全，風險特別高，因此CISA要求聯邦機構須在4天內完成修補，相較多數KEV漏洞常見約2週的修補期限，顯得更為急迫。

這次列入KEV清單的3個漏洞中，風險較高的是CVE-2026-20128與CVE-2026-20133，CVSS嚴重性評分均為7.5分。

中國駭客Mustang Panda針對印度金融機構、韓國外交政策圈，散布後門程式LotusLite

資安公司Acronis發現後門程式LotusLite的攻擊行動，此惡意程式具備微軟合法簽章，並透過HTTPS與動態DNS對C2進行通訊，其主要功能包括遠端Shell存取、檔案操作，以及連線階段（Session）的內容管理，因此該公司推測，駭客的攻擊目標主要是從事網路間諜活動，與經濟利益無關，攻擊者的身分是中國APT駭客組織Mustang Panda（別名Earth Preta、RedDelta、TA416）。

這些駭客使用LotusLite已有前例，3月初資安公司Zscaler揭露鎖定中東衝突的攻擊行動，當時Mustang Panda以伊朗衝突為誘餌，試圖散布這支惡意程式。Acronis指出，這次駭客傳遞的方法出現許多轉變，經由CHM檔接觸受害電腦，搭配JavaScript打造的惡意程式載入工具，最終透過DLL側載手法執行惡意軟體。而在攻擊目標的部分，也從以美國政府機關為主，轉向印度金融機構。

後門程式BPFDoor出現變種，駭客透過C2路由與ICMP中繼手法逃過偵測

在3月底，資安公司Rapid7揭露中國駭客Red Menshen（Earth Bluecrow）的攻擊行動，駭客鎖定電信網路部署後門程式BPFDoor，長時間潛伏在4G與5G核心網路環境，近期該公司再度公布最新調查結果，指出駭客已發展出多個新的變種，其中導入了C2路由與網際網路控制訊息協定中繼（ICMP Relay）手法，使得該後門程式的活動更加難以追蹤。

Rapid7總共發現7個BPFDoor的變種，其中最重要的兩個是httpShell和icmpShell。該公司指出，駭客使用BPFDoor的時間長達數年，這幾年隨著資安工具的偵測機制出現變化，而調整手法，其中一種就是早期版本的無檔案執行策略，駭客在成功啟動BPFDoor後，就將檔案刪除，目的是讓資安人員難以採集證據；後來EDR具備對應的偵測機制，httpShell的開發團隊就調整手法，不再刪除惡意程式檔案，而是將其混入一般的系統處理程序裡。

勒索軟體PayoutsKing濫用QEMU虛擬機器迴避偵測

自2025年底開始，資安公司Sophos發現兩群駭客濫用此虛擬化平臺的情況增加，其中，以經濟利益為動機的STAC4713特別值得留意，因為他們的活動與勒索軟體PayoutsKing及資料竊取有關，而其濫用QEMU是為了建立反向SSH後門，藉此傳遞攻擊工具，並挖掘受害組織的網域憑證。

STAC4713透過QEMU建置Alpine Linux虛擬機器，內含攻擊所需工具，通常會有Adaptix C2（tinker2）、自製的WireGuard流量混淆器wg-obfuscator、BusyBox、Chisel，以及Rclone。而在建置此虛擬機器前，駭客會建立工作排程TPMProfiler，藉由SYSTEM帳號啟動虛擬機器，開機後就會利用Adaptix C2或OpenSSH建立反向SSH隧道，使得駭客能繞過端點防護系統的偵測。

Python後門ViperTunnel被用於勒索軟體DragonForce活動

資安公司InfoGuard在最近一起DragonForce攻擊行動裡，發現不尋常的現象：其中一個工作排程任務竟在無命令列參數的條件下執行，由於在正常的Windows環境，未指定指令碼的路徑或參數的狀況相當少見，該公司起初推測攻擊者使用DLL側載手法，不過進一步調查後發現並非如此，攻擊者濫用Python的自動匯入功能，讓惡意程式碼在電腦啟動時自動執行。

駭客使用的惡意程式，是以Python為基礎打造的後門程式ViperTunnel，駭客將其偽裝成系統檔案b5yogiiy3c.dll，不過本質上是以系統程式庫形成建立的Python指令碼，為了避免他人識破，駭客採用3種演算法與壓縮機制進行處理，此後門程式採用SOCKS5隧道建立通訊。根據調查結果，攻擊者的身分是EvilCorp旗下的UNC2165。

法國國家安全憑證機構遭駭，恐洩露1,900萬企業及個人帳密

法國負責發布身分證和護照的國家安全憑證機構（ANTS）本週公布安全事件，可能導致近2000萬筆個資及專業帳號資料外洩。

ANTS隸屬於法國內政部，負責發放身分證、護照、駕駛執照等證明文件。ANTS在4月15日偵測到異常活動，可能導致ants.gouv.fr入口網站上的個人和專業帳號被竊取。初步調查顯示，受影響的個人資料類別包括登入ID、姓名、出生日期、帳號識別碼。其他可能外洩的資料包含電子郵件信箱、出生地、電話號碼等。

資安談判專員勾結勒索軟體集團，洩露客戶機密抬高贖金

4月20日美國司法部表示，曾任勒索軟體談判專員的佛羅里達州男子Angelo Martino已認罪，承認於2023年共謀協助勒索軟體集團BlackCat發動攻擊，並勒索美國企業，最高恐面臨20年徒刑。

41歲的Martino原任職於資安事件回應公司，負責代表受害企業與駭客談判。然而自2023年4月起，他濫用職務，在處理多起勒索事件期間，曾代表5家受害企業進行談判，未經授權向BlackCat攻擊者提供客戶的談判策略、內部立場與保險理賠上限等機密資訊，協助對方精準提高贖金金額，並從中收取報酬。此外，Martino亦與兩名美國同夥Ryan Goldberg及Kevin Martin共謀，在2023年4月至11月期間，針對全美多家企業部署BlackCat。

Juniper修補Junos OS網路作業系統多個漏洞，最嚴重漏洞可能導致遠端接管設備

網路設備供應商HPE Juniper Networking近日發布安全公告，修補旗下網路作業系統Junos OS與Junos OS Evolved中近30項漏洞，這些漏洞可能被利用於權限提升、阻斷服務（DoS）及遠端執行指令等攻擊。

這次Juniper Network修補的漏洞中，最嚴重的是編號CVE-2026-33784的重大漏洞，CVSS v3.1嚴重性評分達9.8分，CVSS v4.0也達9.3分，源於Support Insights的vLWC元件軟體映像，出廠時預先置入高權限帳號的密碼，且設定過程中也未強制要求變更，使攻擊者可利用預設帳號密碼從遠端登入，並完全控制受影響設備。

FIDO結合DBSC等技術來應對Session劫持，並聚焦SSF框架拓展不同身分安全協作

近期FIDO臺灣分會舉辦活動，多項FIDO最新技術動態亦成為會中焦點，包括FIDO2標準的最新進展，以及與其他協定合作的動向。對此，全景軟體副總經理陳俊良在會中分享了更多深度觀察。

陳俊良指出，回顧半年多來，FIDO2（CTAP2）標準有新的技術演進，新標準允許傳遞更多元參數，讓驗證器在進行身分鑑別的同時，能安全地傳遞可驗證數位憑證（Verifiable Digital Credentials，VDC）、檢查PIN碼複雜度、指定特定認證器，甚至具備儲存加解密金鑰的功能，大幅擴展了其應用場景。此外，支付應用今年也已獨立成立工作小組Payments Working Group（PWG）。

其他資安威脅

◆殭屍網路Mirai綁架生命週期結束的D-Link路由器

◆NPM供應鏈攻擊竊取憑證，惡意程式透過遭駭帳號擴散

◆Linux惡意軟體GoGra濫用Microsoft Graph API通訊

◆資安公司Checkmarx遭供應鏈攻擊，掃描工具KICS的Docker映像檔、VS Code延伸套件被入侵

◆大型網釣平臺Tycoon 2FA遭執法單位圍勦後活動銳減

◆國因應WGear網銀程式RCE漏洞，KISA首度啟動「安全漏洞清理服務」協助用戶移除舊版軟體

近期資安日報

【4月22日】雲端開發平臺Vercel驚傳資料外洩

【4月21日】2025年網路犯罪美國損失逾200億美元

【4月20日】第三個Microsoft Defender零時差漏洞被揭露

'

勒索軟體PayoutsKing濫用QEMU虛擬機器迴避偵測

來源：https://www.ithome.com.tw/news/175243

駭客濫用虛擬化平臺迴避偵測的手法，已出現多起資安事故，其中最常見的是濫用VMware ESXi，也有利用VirtualBox和Hyper-V的情況，最近有人濫用另一款虛擬化工具QEMU，而引起資安公司的注意。

自2025年底開始，資安公司Sophos發現兩群駭客濫用此虛擬化平臺的情況增加，其中，以經濟利益為動機的STAC4713特別值得留意，因為他們的活動與勒索軟體PayoutsKing及資料竊取有關，而其濫用QEMU是為了建立反向SSH後門，藉此傳遞攻擊工具，並挖掘受害組織的網域憑證。

STAC4713透過QEMU建置Alpine Linux虛擬機器，內含攻擊所需工具，通常會有Adaptix C2（tinker2）、自製的WireGuard流量混淆器wg-obfuscator、BusyBox、Chisel，以及Rclone。而在建置此虛擬機器前，駭客會建立工作排程TPMProfiler，藉由SYSTEM帳號啟動虛擬機器，開機後就會利用Adaptix C2或OpenSSH建立反向SSH隧道，使得駭客能繞過端點防護系統的偵測。

值得留意的是，這些駭客偵察時，通常會利用Windows內建的小畫家、記事本、Edge，並搭配第三方工具WizTool，找出檔案共享資料夾及檔案存取的管道。而對於憑證資料的部分，STAC4713會下達print命令，將AD資料庫NTDS.dit、安全帳號管理員（Security Account Manager，SAM）資料庫，以及SYSTEM登錄區（Hive）的內容，透過SMB複製到暫存資料夾。另一方面，STAC4713濫用磁碟區陰影複製服務（VSS）建立快照。

至於攻擊者如何入侵受害組織，Sophos觀察到有兩種，一種是從網際網路存取未啟用多因素驗證（MFA）的SonicWall VPN，不過在今年1月的事故裡，駭客利用SolarWinds網路IT服務臺漏洞CVE-2025-26399來達到目的。

'

中國駭客Mustang Panda針對印度金融機構、韓國外交政策圈，散布後門程式LotusLite

來源：https://www.ithome.com.tw/news/175229

一般而言，許多中國國家級駭客發動攻擊，往往與地緣政治及相關事件有關，不過最近有駭客組織突然轉換攻擊目標，引起資安公司的注意。

資安公司Acronis發現後門程式LotusLite的攻擊行動，此惡意程式具備微軟合法簽章，並透過HTTPS與動態DNS對C2進行通訊，其主要功能包括遠端Shell存取、檔案操作，以及連線階段（Session）的內容管理，因此該公司推測，駭客的攻擊目標主要是從事網路間諜活動，與經濟利益無關。關於攻擊者的身分，Acronis研判是中國APT駭客組織Mustang Panda，又稱為Earth Preta、RedDelta、TA416。

這些駭客使用LotusLite已有前例，3月初資安公司Zscaler揭露鎖定中東衝突的攻擊行動，當時Mustang Panda以伊朗衝突為誘餌，試圖散布這支惡意程式。Acronis指出，這次駭客傳遞的方法出現許多轉變，經由CHM檔接觸受害電腦，搭配JavaScript打造的惡意程式載入工具，最終透過DLL側載手法執行惡意軟體。而在攻擊目標的部分，也從以美國政府機關為主，轉向印度金融機構。該公司強調，Mustang Panda過往的攻擊目標多半是政府機關或其他類型的組織，這次不僅罕見針對金融業，就連整體的戰術、技術與流程（TTP）也有所差異。

針對這些駭客發動攻擊的過程，他們疑似透過網路釣魚散布惡意CHM檔啟動攻擊鏈，但也有使用已編譯HTML檔的情況。值得留意的是，Acronis雖然強調駭客主要針對印度金融業而來，但也有韓國外交政策圈組織受害。

'

Firefox系瀏覽器IndexedDB隱私漏洞恐成跨網站指紋，Tor Browser也受影響

來源：https://www.ithome.com.tw/news/175250

裝置指紋與詐騙偵測資安公司Fingerprint揭露，所有Firefox系瀏覽器都受到同一IndexedDB隱私漏洞影響。問題發生在IndexedDB資料庫清單查詢功能的回傳順序，網站可藉此推導出一個穩定且可重現的瀏覽器程序識別值，在沒有Cookie或其他共用儲存機制的情況下，辨識是否為同一個執行中的瀏覽器實體。該隱私漏洞不僅影響一般Firefox系瀏覽器，也波及Tor Browser原本主打的隱私隔離設計。

研究人員解釋，列出IndexedDB資料庫資訊的API所回傳的資料庫清單順序，意外把瀏覽器內部儲存結構的排列差異暴露成可被觀察的指紋訊號。網站只要建立一組固定名稱的IndexedDB資料庫，再呼叫該API查看回傳順序，就可能得到在同一個瀏覽器程序存續期間內維持一致的排列結果。由於該結果屬於程序層級，而非單一來源層級，不同網站便可能各自觀察到同一組識別特徵。

在Firefox私密瀏覽模式下，即使使用者關閉所有私密視窗，只要Firefox程序仍未完全結束，該識別訊號就可能持續存在，讓網站在看似全新的私密工作階段中再次辨識同一名使用者。對Tor Browser影響更為敏感，因為其New Identity功能原本是為了切斷前後活動的可連結性，但這項漏洞代表在同一程序尚未重啟前，網站仍可能把不同階段的活動串接起來。

由於Firefox私密瀏覽模式下會把網站提供的資料庫名稱映射為UUID，並存放在跨來源共用的全域雜湊表中，之後當整理資料庫清單時，又未先做排序，而是直接依內部雜湊結構的迭代順序回傳結果。研究人員認為，正是這個看似無害的內部行為，讓回傳順序成為可被利用的穩定指紋。要是網站控制16個資料庫名稱，理論上可形成約44 bits的識別空間，足以成為高辨識度訊號。

Mozilla針對此漏洞釋出修補，Firefox 150與ESR 140.10.0已納入修正。修正方式是讓API回傳結果改以固定順序排序，避免內部儲存結構的排列差異繼續外露成隱私風險。由於問題根源來自Gecko的IndexedDB實作，其他下游採用相同核心的產品要是未額外處理，皆可能受到相同影響。

'

Google發表TPU 8t與8i，AI晶片走向訓練與推論分工

來源：https://www.ithome.com.tw/news/175251

Google週三（4/22）在Cloud Next大會上發表第8代張量處理器（Tensor Processing Unit，TPU），首度將TPU產品線拆分為訓練與推論兩種專用晶片，分別為TPU 8t與TPU 8i，主打支援AI代理人（Agentic AI）所需的高效能運算與低延遲回應能力。

Google指出，AI代理人興起使模型從單純生成轉向推理與任務執行，對運算架構的需求明顯提升，原本兼顧訓練與推論的單一設計已逐漸出現瓶頸，因此在第8代TPU採用專用化設計，推出TPU 8t與TPU 8i以因應不同運算需求。

其中，TPU 8t主要鎖定大型模型訓練場景，強調高運算吞吐量與大規模擴展能力。其架構可在單一超級運算叢集（Superpod）（由數千顆TPU組成）中運行，並透過高頻寬記憶體與強化的晶片間互連設計，支援大規模分散式訓練。Google指出，相較前一代產品，TPU 8t在訓練效能上可提升近3倍，有助於縮短大型模型的開發周期。

至於TPU 8i則鎖定AI推論與即時推理場景，特別是多個AI代理人同時運作的應用。其設計重點在於降低延遲與提升同時處理能力，讓AI在回答問題或執行任務時能更快回應。為此，TPU 8i強化記憶體與晶片內資料處理能力，減少資料來回傳輸時間，並優化多晶片間的通訊效率。Google表示，相較前一代產品，TPU 8i在推論的成本效能可提升約80%，可在相同成本下支援更多使用需求。

美國金融科技業者Citadel Securities技術長Josh Woods表示，使用Google Cloud第7代Ironwood TPU，已可將最具挑戰的工作負載執行速度提升2至4倍，同時降低30%成本，並期待進一步導入搭載TPU 8t與TPU 8i的Google Cloud AI Hypercomputer，以持續改善訓練成本結構並提升系統擴展能力。

兩款晶片預計將於今年稍晚正式開放使用，並將整合至Google AI Hypercomputer。該平臺為一體化AI運算架構，結合運算、儲存與網路等客製化硬體，以及框架與推論引擎等軟體資源，TPU 8t與TPU 8i則為其中的核心運算引擎。

'

近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞，暴露於敏感資料外洩風險下，用戶需儘速更新

來源：https://www.ithome.com.tw/news/175247

微軟上週發布的4月例行更新（Patch Tuesday）所修補160多個漏洞中，最關鍵的是兩個已被實際利用的零時差漏洞，其中之一是SharePoint伺服器的欺騙弱點CVE-2026-32201，在微軟揭露此漏洞的同一天，美國網路安全與基礎設施安全局（CISA）也以少見的急迫速度，將其納入已知遭利用漏洞清單（KEV），要求各機構需在4月28日以前完成修補。

微軟原廠與CISA的通報都指出，CVE-2026-32201這個漏洞已被實際用於攻擊，修補工作十分緊迫， 但更重要的是，SharePoint用戶是否已採取修補行動？依據資安監測組織Shadowserver基金會的掃描顯示，截至4月20日為止，仍有將近1,300臺未修補前述漏洞的SharePoint伺服器，暴露於網際網路上，其中以美國數量最多，占555臺，次之是德國107臺與加拿大60臺，臺灣也有1臺。

此外，Shadowserver的資料也顯示，SharePoint用戶修補這項漏洞的速度相當緩慢，Shadowserver於微軟揭露前述漏洞的次日（4月15日）開始追蹤時，未修補的SharePoint伺服器有1,745臺，一周後的4月21日，只減少到1,287臺，意味著這段時間內，僅有大約450臺SharePoint伺服器完成漏洞修補，而且除美國與歐洲地區有較多用戶修補外，其餘地區完成修補的用戶數量屈指可數，顯示多數SharePoint用戶態度消極，也讓這些未修補的SharePoint伺服器，暴露於這項漏洞導致的資訊洩漏與竄改威脅下。

'

資安研究人員透過AI輔助，發現macOS終端機工具iTerm2存在執行任意指令漏洞，用戶需儘速修補

來源：https://www.ithome.com.tw/news/175238

自從部分資安研究人員用Anthropic AI工具Claude發現大量資安漏洞，也讓利用AI輔助發掘軟體漏洞，成為資安領域的熱門議題，並促成更多AI廠商與資安研究機構投入這個領域，例如OpenAI上週也發表專為網路安全分析訓練的模型GPT-5.4-Cyber。在這股熱潮下，資安研究機構Calif Global也與OpenAI合作，藉由結合研究人員與大型語言模型，尋找知名開源軟體中的漏洞，近日公布的macOS終端機工具iTerm2漏洞，便是這項計畫的成果之一。

Calif Global的報告指出，iTerm2存在可能導致執行任意指令的漏洞CVE-2026-41253，CVSS嚴重性評分為6.9分，問題源自iTerm2透過SSH整合功能處理遠端連線的conductor機制，未能驗證遠端連線來源，攻擊者可透過偽造特定格式的DCS 2000p與OSC 135序列訊息，誘使終端機執行任意指令。此漏洞影響3.6.9版以前的所有版本iTerm2，iTerm2開發團隊已發布修補的3.6.10版本。

雖然這個漏洞的CVSS評分屬於中度風險，但影響程度仍不能忽視。

首先，iTerm2在macOS用戶的普及度有限，但是在開發者、管理者社群使用相當普遍，意味著其用戶多為具有高權限的使用者，經常透過這類終端機工具連線遠端主機、存取關鍵資源與敏感資料，因而也會放大相關漏洞的影響。

其次，如同GBHackers、HackingPassion等資安媒體所指出的，這個漏洞打破多數人認為檢視文字內容應該相對安全的既有觀念，攻擊者只要誘使用戶開啟內含惡意控制序列的文字輸出內容，僅僅是檢視文字檔或終端機輸出內容，就有可能觸發攻擊。

'