LMDeploy LLM推論工具SSRF漏洞公開後13小時內即遭利用

來源：https://www.ithome.com.tw/news/175331

資安業者Sysdig威脅研究團隊指出，InternLM開發的LMDeploy大型語言模型推論工具，在伺服器端請求偽造（SSRF）漏洞公開後，不到13小時就出現利用嘗試。該漏洞編號為CVE-2026-33626，影響LMDeploy0.12.3之前版本，官方已在0.12.3修補。CVE-2026-33626漏洞風險在於，攻擊者可透過模型請求中的image_url欄位，讓LMDeploy伺服器代為存取雲端中繼資料服務（metadata service）、內部網路或其他原本不應對外暴露的資源。

LMDeploy是用於壓縮、部署與服務大型語言模型的工具，可提供文字模型與視覺語言模型推論服務。CVE-2026-33626漏洞原因出於視覺語言模組處理圖片URL的流程，load_image()函式在抓取遠端圖片時，未先驗證目標是否為內部IP、私有網段或連結本機（link-local）位址。對外開放的推論服務若允許使用者傳入圖片URL，後端伺服器就可能成為攻擊者存取內部資源的跳板。

Sysdig以GitHub主要安全公告頁面公開時間計算，該公告於臺灣時間為4月21日23時04分公開，Sysdig團隊於4月22日11時35分在蜜罐觀測到首次利用嘗試，時間差為12小時31分鐘。研究人員指出，當時未在GitHub或主要漏洞利用程式庫看到公開概念驗證程式，攻擊者可能已能依安全公告中的受影響檔案、參數與檢查缺口，自行組合可運作的攻擊流程。

根據蜜罐觀測到的行為推斷，研究人員認為，攻擊者並非只驗證漏洞是否存在，而是把圖片載入功能當成HTTP請求代理，用於雲端憑證與內網服務偵察。

由於SSRF可讓伺服器從受害環境內部發出請求，其影響取決於推論節點的部署方式。當節點部署在雲端GPU執行個體並綁定較高權限角色，中繼資料服務可能暴露臨時憑證，要是同一主機或叢集內有Redis、MySQL或管理介面，攻擊者也可能藉由連線回應確認服務存在。

使用LMDeploy的團隊應優先升級至0.12.3或後續版本，若短期無法更新，應在反向代理或API閘道濾除不可信image_url，或暫時停用視覺模型端點。對已公開暴露且使用0.12.2或更早版本的部署，研究人員建議檢查是否有目標為169.254.169.254、127.0.0.1與私有網段的異常請求，必要時輪換IAM角色憑證，並以IMDSv2、VPC出口限制與執行期偵測降低後續風險。

'

Anthropic測試Claude Code退出Pro方案，開發者社群質疑定價透明度

來源：https://www.ithome.com.tw/news/175323

Anthropic因Claude Code付費方案標示變動引發開發者社群討論。部分使用者發現，Claude定價頁與支援文件一度顯示Claude Code未列入每月20美元的Pro方案，僅出現在每月100美元起的Max方案，引發外界質疑Anthropic是否未經正式公告就調整開發者工具的付費門檻。Anthropic成長主管Amol Avasare表示，僅針對約2%新專業消費者（prosumer）註冊用戶的小型測試。

Claude Code是Anthropic面向開發者推出的命令列工具，可讓使用者在終端機中呼叫Claude模型處理程式碼工作。根據Anthropic目前官方支援文件，Pro與Max方案訂閱戶仍可直接在終端機使用Claude Code，Claude網頁版、桌面版、行動版應用程式與Claude Code會共用同一組使用額度。官方定價頁目前顯示，Pro方案包含Claude Code，Max方案則從每月100美元起，提供比Pro更高的使用量與輸出上限。

該事件最初引發討論的點在於，Anthropic未事先發布公告，使用者卻從公開頁面與說明文件看到方案標示變動。隨後Amol Avasare在社群平臺X解釋，這只是針對約2%新註冊專業消費者的小型測試，既有Pro與Max訂閱戶不受影響。

從已公開資訊來看，Anthropic並未全面移除Pro方案中的Claude Code，既有訂閱戶也未被納入這次測試。Amol Avasare後續表示，由於頁面與文件變動讓未參與測試的多數用戶感到混淆，Anthropic已回復相關頁面與文件。

'

Anthropic啟動Project Deal實驗，讓AI代替人類交易與議價

來源：https://www.ithome.com.tw/news/175330

AI新創Anthropic上週五（4/24）公布一項名為Project Deal的內部實驗，首度驗證AI代理人可在無人干預下完成真實交易，並顯示出模型能力差異將直接轉化為經濟結果。

Anthropic在舊金山辦公室打造了一個類似Craigslist的分類式交易市場，並邀請69名員工參與，先由Claude訪談每人欲出售與購買的物品、價格與談判風格，並建立專屬AI代理人，同時提供100美元預算進行交易。所有代理人在Slack上自主發文、報價與議價，過程完全無人類介入；並同步運行於4個市場，以比較不同模型對交易結果的影響。

這4個市場採平行運行設計，其中Run A與Run D皆全數採用Claude Opus 4.5，分別作為實際交易與重複實驗；Run B與Run C則為混合配置，參與者以約50%機率隨機分配使用Opus或較小模型Haiku 4.5。Anthropic並未設置全Haiku市場，實驗重點在於觀察強弱模型在同一市場中競爭時的差異。

需要注意的是，雖然同一商品會在4個市場中同時被AI代理進行交易，但只有Run A的結果會被採用為實際交易依據，參與者最終僅依此完成實體商品交換，其餘市場僅用於模擬與數據分析。

在實際市場（Run A）中，AI共促成186筆交易，涵蓋500多件商品，總成交金額超過4,000美元，顯示AI代理已具備完整交易能力。

進一步針對混合市場（Run B與Run C）進行分析後發現，模型能力對交易結果影響顯著。使用Claude Opus 4.5的代理平均多完成約2筆交易，且在相同商品條件下，賣價平均高出3.64美元；作為賣家可多賺約2.68美元，作為買家則可少花約2.45美元，在平均商品價格約20美元的情境下差距約達15%至20%，極端案例甚至達70%。

儘管交易價格存在明顯差異，但參與者幾乎無法察覺這種不平等，其對交易公平性的評價在不同模型間幾乎一致。

Anthropic指出，該實驗顯示AI代理人已具備在市場中代表人類進行交易的能力，且模型品質差距將帶來可量化的交易優勢；同時，處於劣勢的一方可能難以察覺自身交易結果較差。不過，隨著AI代理逐步進入真實市場，相關影響仍有待進一步觀察。

'

資安院首屆漏洞獵補活動發現20個硬體產品漏洞，今年第二屆活動開放AI工具挖掘軟體漏洞

來源：https://www.ithome.com.tw/news/175329

為鼓勵國內業者重視產品資安，數發部資安院在去年12月舉辦首屆漏洞獵補(bug bounty)活動，邀請研華、威強電等11家業者參加，超過20項產品參與，共有179名資安研究人員參與，發現約20個漏洞，資安院為引導資安社群與產業建立機制，今年將舉辦第二屆漏洞獵補活動，盼喚起業者重視產品資安。

資安院長林盈達表示，資安院在資安署支持下舉辦首屆漏洞獵補活動，原本擔心研究人員找不到漏洞，另一方面又擔心找到太多漏洞，但是首屆漏洞獵補活動在今年1月結束，共發現約20個漏洞，其中9個為比較嚴重的等級，一方面證實國內的資安研究社群的實力，國內駭客的能力參加全球的資安競賽，國內資安好手的實力也是全球有目共睹；另方面首屆漏洞獵補活動的成果顯示國內硬體業者在嵌入式軟體的測試能力愈來愈好，11家業者也是國內資通訊廠商中的佼佼者，有信心敢於參加漏洞獵補活動。

林盈達表示，在首屆活動結束後，今年第四季將會再舉辦第二屆獵補活動，鼓勵研究人員使用AI工具輔助找出漏洞，以增加找到漏洞的機會，針對的產品也從首屆活動以硬體、網通產品為主，第二屆活動將以純軟體產品為主，並以國內公務機關使用最多的軟體產品為對象，這些軟體複雜度比嵌入式系統更高，攻擊面更大，理論上漏洞可能更多，希望透過活動進行驗證。

資安院檢測防禦中心總監劉建良指出，一般產品在上市前會按標準檢測，例如合規性、被動防禦、照圖檢查，如同照著設計圖作檢測，但是產品上市後，駭客攻擊通常不會照著設計圖，因此需要持續性的漏洞獵補活動，如同由經驗老道的師傅找出設計圖上看不到的縫隙或瑕疵。

鼓勵企業建置專門的PSIRT團隊

劉建良表示，從標準檢測到主動持續性的漏洞挖掘，重點在於導入專門的PSIRT產品安全事件應變小組，由該團隊專門負責產品漏洞的修補，持續改善產品安全。

去年12月舉辦的首屆漏洞獵補，紅隊方面共有179位來自資安社群的本地資安研究人員參加，藍隊方面有11家廠商、20組產品參加，在獎勵機制共53.9萬元。透過漏洞獵補試圖建立資安研究人員挖掘漏洞，由企業修補，資安院擔任第三方驗證。

漏洞獵補活動共發現20個漏洞，包括3個嚴重風險漏洞，6個高風險，10個中風險，1個低風險，這些被發現的漏洞來自20組產品中的8組產品(6組工業網通產品、2組網通設備)，20個漏洞目前均已修補。

嚴重者可被存取任意檔案

劉建良指出，綜觀20個通報的漏洞，可以發現以下三點，首先是具有攻擊價值，部分的漏洞是使用預設密碼或弱密碼，攻擊者可以輕易取得設備的初始存取權限；其次是攻擊者透過這些漏洞可以進行連鎖攻擊，再引發其他的漏洞，例如參數檢查不足導致命令注入，可被存取任意檔案。最後是，工業網通設備的資安成熟度不均，顯示仍有成長空間。

資安院首屆漏洞獵補活動共募集720萬元獎金，資安研究人員通報發現的產品漏洞，經資安院認定及廠商認定漏洞的可行性及風險高低，首屆活動共發出53.9萬元的獎金(如認定為嚴重等級漏洞可獲10萬元獎金)，鼓勵資安研究人員通報產品漏洞，並且將貢獻者列入產品資安名人堂，同時鼓勵業者取得國際的CVE漏洞編號，讓通報漏洞的研究人員也能獲得發掘漏洞的榮耀。

劉建良強調，漏洞獵補活動補足弱點掃描的盲點，主動發現漏洞，對業者而言，也能提升其資安能力，特別是產品安全設計能力，同時也建立產品漏洞的應變能力。最後是透過活動串連資安研究社群和產業。

今年將舉辦的第二屆漏洞獵補活動，首先會從場域走向場景，從首屆的單一產品在實驗場域檢測到應用場景，以政府機關採購的實務為場景；其次是從硬體走向軟體，聚焦於高風險供應鏈；未來將活動引導為建立機制，持續舉辦活動建立機制。

第二屆漏洞獵補活動預計會在9月到10月之間先開放報名，預計募集800萬元總獎金池，對象鎖定軟體供應鏈安全，特別是政府機關常用的軟體，包括高使用率、高風險或是關鍵的資安軟體。第二屆預計邀請20家廠商加入，並且開放其他廠商報名參加。

'

【2026 企業資安大調查｜資安預算變化】整體資安預算大增13％，金融業更加碼近2成

來源：https://www.ithome.com.tw/article/175310

企業資安預算成長率再度創新高，2026年平均一家企業資安預算達到2,371萬元，比去年足足增加了13%，占了IT預算的8.2%。其中一般製造業和政府學校的資安預算在IT預算中的比重更超過了一成。

立即下載完整報告

【iThome 2026 CIO & CISO大調查】資安策略篇完整報告

資安管理向來是企業資訊長和資安長的年度優先目標，近兩三年來，加上主管機關對上市櫃公司的資安法遵要求，如資安長設置要求，訂定資安事件重大訊息揭露標準等，促使企業投入更多資源來落實資安管理。根據2026 iThome CIO&CISO大調查，多數產業的資安預算皆成長，平均資安預算成長率高達13%，只有政府學校的資安預算比去年略減了4%。從金額來看，金融業資安預算向來是各產業之冠，今年也不例外，高達1億4千多萬元，次高的產業是政府學校，今年約有2千3百多萬元的資安預算。今年特別新增加了百億營收規模的企業分類，百億營收約相當於臺灣500大規模的企業，以金融、高科技較多，也有如電信業者、大型電商、連鎖零售業者等。百億營收企業今年的資安預算也達到5千2百多萬元。醫療業、金融業和服務業者今年的資安預算皆有兩位數的成長，百億營收企業也比去年多了17％。

iThome從2018年展開資安大調查，長期追蹤臺灣企業的資安發展和布局，從資安預算占IT預算的比重，最能反映企業對於資安的重視，是否反映在資源的分配上。從我們過去多年來的調查結果，可以觀察到，這個比例一直不到5%，大約是4個多百分點。直到2023年，在上市櫃公司資安治理法遵的推動下，一口氣提高到了7.4%的比重，過去三年，即使IT預算年年增加近1成的情況下，資安投資的比重仍舊持續攀升，超過了8%，去年更達到8.9%的比重，今年些微回穩，停在8.2％。

和其他類型的預算相比，企業IT預算中，地端IT基礎建設，如機房、伺服器仍是大宗，但是資安預算的比重，超過了AI投資（占比6%），甚至今年也超過了公雲IT基礎架構的預算（占比7%），這也呼應了CIO的年度優先目標，每一年大調查中，資安管理是CIO自評年度優先目標的第一名，這幾年也不例外。

立即下載完整報告

【iThome 2026 CIO & CISO大調查】資安策略篇完整報告

進一步來看各產業的資安預算比重，以政府學校（15.3%）和一般製造業（11.2%）的占比較高，前者因為政府過去幾年積極推動「資安即國安」政策，連帶提高了IT預算中的資安比重，而對一般製造業來說，雖然占比看似頗高，但因一般製造業IT預算向來不高，今年也只有4千7百多萬，因此，一般製造業可用的資安預算仍不到6百萬元，要面對越來越嚴峻的資安威脅，資訊長和資安長更需要將錢用在刀口，優先聚焦最關鍵的防護對策上。

對企業來說，每一年iThome CIO&CISO大調查中，所揭露的各產業資安預算成長率和資安預算占IT預算的比率兩項數據，就是同產業資安資源投入水準，可作為向高層爭取更合理資安預算的業界參考水準。

'

CrowdStrike修補LogScale重大漏洞，未更新可能導致遠端讀取任意檔案

來源：https://www.ithome.com.tw/news/175327

端點防護與雲端資安平臺廠商CrowdStrike近日發布安全公告，修補旗下日誌分析與監控平臺LogScale重大漏洞，一旦該系統暴露在網際網路，遠端攻擊者可利用此漏洞，在未通過身分驗證的狀態下，讀取伺服器檔案系統的任意檔案，CrowdStrike表示尚未發現此漏洞的濫用跡象，但仍建議所有自行建置版用戶升級，以降低攻擊風險。

CrowdStrike這次修補的LogScale漏洞編號為CVE-2026-40050，屬於路徑遍歷（Path Traversal）類型的弱點，CVSS嚴重性評分達9.8分，存在於特定的叢集API端點（Cluster API Endpoint）。

CrowdStrike是在內部產品測試時，發現前述漏洞，會影響LogScale自行建置版（Self-Hosted）的1.224.0到1.234.0版，以及自行建置LTS版的1.228.0與1.228.1版，解決辦法是升級到已修補的版本，自行建置版應升級到1.233.1、1.234.1或1.235.1以後版本，LTS版則應升級到1.228.2以後版本。CrowdStrike在已修補版本的產品公告中，說明修補漏洞的方式，移除舊版本不安全的LDAP連線方式，用戶在新版本上只允許使用加密的LDAPS連線，藉此解決缺乏身分驗證的問題。

至於LogScale的SaaS版本，CrowdStrike已於4月7日為所有代管的叢集環境部署「網路層封鎖（network-layer blocks）」以緩解此問題，Next-Gen SIEM用戶則不受影響。

'

【資安日報】4月27日，後門程式FireStarter鎖定思科防火牆發動攻擊

來源：https://www.ithome.com.tw/news/175326

後門程式FireStarter鎖定思科防火牆，中國駭客利用已知漏洞滲透裝置

4月23日思科威脅情報團隊Talos提出警告，他們掌握UAT-4356積極針對Firepower防火牆的情況，駭客利用Firepower eXtensible作業系統（FXOS）已知漏洞CVE-2025-20333及CVE-2025-20362，在未經授權的情況下存取尚未修補漏洞的裝置，最終植入後門程式FireStarter。此後門程式的主要功能在於，攻擊者可在ASA與FTD設備當中，濫用FXOS的核心元件Lina進行遠端存取與控制，或是執行任意程式碼。對此，Talos呼籲用戶應儘速依照指引採取行動因應。

美國聯邦機構的思科防火牆遭後門程式FireStarter攻擊

美國網路安全暨基礎設施安全局（CISA）、英國國家網路安全中心（NCSC）發布聯合公告，後門程式FireStarter的活動，是APT駭客廣泛鎖定思科防火牆ASA韌體攻擊的一部分。駭客利用缺乏授權漏洞CVE-2025-20333、記憶體緩衝區溢位漏洞CVE-2025-20362取得初期的存取管道，於ASA與FTD防火牆植入FireStarter。CISA特別發出緊急指令ED 25-03，要求美國聯邦機構立即採取行動，利用YARA特徵碼確認網路環境裡的思科防火牆設備是否受害。

殭屍網路Mirai變種綁架生命週期結束的D-Link路由器

資安公司Akamai於今年3月發現，D-Link路由器設備DIR-823X遭到鎖定，駭客利用命令注入漏洞CVE-2025-29635，部署殭屍網路Mirai變種tuxnokill。由於這個系列的路由器生命週期已經結束，未有修補程式，駭客恐持續將漏洞用於攻擊活動。我們向D-Link進一步詢問，該公司表示，DIR-823X僅在中國銷售，因此不影響臺灣與其他國家用戶，此設備於2024年11月生命週期結束，並於2025年8月停止支援。

ShinyHunters傳竊得保全巨人ADT、遊輪業者Carnival數百萬筆資料

ShinyHunters近日透過其資料公開網站對保全業龍頭公司ADT的最後通牒，宣稱持有超過千萬筆包含個人可識別身分資訊（PII）和其他的公司內部資料，要求這家保全龍頭聯繫支付贖金事宜，否則將公布資料及IT環境漏洞。ADT向BleepingComputer證實此事，表示在4月20日偵測到客戶及潛在客戶資料遭未授權存取。此外，ShinyHunters上週聲稱取得遊輪及旅遊業者Carnival資料，可能因勒贖未成，於近日將資料公開在網路上。

CISA將微軟Defender漏洞BlueHammer列入KEV清單，要求各機構限期修補

美國網路安全與基礎設施安全局（CISA）警告，4月初揭露的CVE-2026-33825漏洞已遭實際利用，未修補這項弱點的微軟Defender風險正迅速升高，CISA將這項漏洞納入已知遭利用漏洞清單（KEV），要求各機構立即修補。CVE-2026-33825是4月初曾引起風波的微軟Defender高風險漏洞BlueHammer，由研究人員Chaotic Eclipse揭露，後來微軟在4月14日發布本月例行更新（Patch Tuesday）修補。

Google發布Chrome瀏覽器更新，修補19項漏洞，含2個高風險漏洞

Google發布Chrome瀏覽器新版本，將Windows與Mac平臺穩定版更新至147.0.7727.116與147.0.7727.117，Linux版本更新至147.0.7727.116，此次改版一共修補19個安全性問題。這次Google修補的漏洞中，最受矚目的是2個重大漏洞，首先是CVE-2026-6919，CVSS嚴重性評分達9.6分，為開發者工具DevTools的記憶體釋放後再存取使用（Use After Free）問題，另一個是CVE-2026-6920，CVSS嚴重性評分同為9.6分。

Web應用框架ASP.NET Core DataProtection套件存在提權漏洞，受影響環境須升級並輪換金鑰

微軟資安公告，確認現代化Web應用框架ASP.NET Core的Microsoft.AspNetCore.DataProtection套件10.0.0至10.0.6版本存在提權漏洞CVE-2026-40372，CVSS 3.1評分9.1。漏洞主要影響在Linux或macOS上執行、且使用受影響版本DataProtection套件的.NET 10應用程式，Windows平臺通常不受影響。

微軟修補Windows Active Directory重大漏洞，未更新恐成為入侵企業網路入口

微軟近日於4月例行更新所揭露與修補的漏洞中，部分漏洞引起資安社群的關注，建議列為優先更新對象，Windows Active Directory可能導致遠端執行程式碼的高風險漏洞CVE-2026-33826，便是其中之一。CVE-2026-33826這個漏洞的CVSS嚴重性評分達8.0分，源自Active Directory的輸入驗證機制缺陷，攻擊者僅需擁有低權限，即能在相同網域或鄰近網路環境中，透過特製的RPC（遠端程序呼叫）請求發動攻擊，從而在目標系統上執行任意程式碼。

群暉修補SSL VPN Client工具程式兩個漏洞，未更新可能導致敏感資料外洩

儲存與網路設備供應商群暉（Synology）近日發布安全公告，修補旗下SSL VPN Client工具程式的兩個漏洞，攻擊者可透過誘導用戶開啟惡意網頁從而觸發攻擊，進而取得用戶敏感資料、竄改VPN設定或攔截流量，解決辦法是升級到1.4.5-0684以上版本，建議用戶儘速更新。

樹莓派OS新版改變預設行為，sudo指令需輸入密碼

樹莓派（Raspberry Pi）釋出作業系統Raspberry Pi OS 6.2版本，這是自去年推出的Trixie版本第二次更新，本次版本最受關注的調整在於新安裝系統預設停用無密碼sudo，使用者執行具有管理者權限的指令時，需先輸入當前帳號的密碼，其目的在於，封堵一般使用者帳號可直接取得管理者權限的安全缺口。

微軟對Exchange與Skype for Business發布第二階段ESU，延長安全更新至2026年10月

針對已終止支援的Exchange Server 2016/2019與Skype for Business Server 2015/2019，微軟宣布推出第二階段延伸安全更新（ESU）計畫，原因是部分客戶反映需要更多時間將Exchange遷移至訂閱版本（Exchange Subscription Edition，SE），或將Skype for Business轉向Microsoft Teams。第二階段ESU自2026年5月起至10月底止，為期6個月。

微軟開放用戶無限制推遲Windows更新，可不更新就關機

微軟上週宣布改善Windows使用體驗的方案，將允許使用者略過更新、可無限制暫停Windows更新、不安裝更新也能關機、加速應用程式重新開啟速度、更新失敗時復原Windows。這新措施允許用戶在行事曆上選擇要暫停更新到哪一天，一次最多可暫停35天，因應用戶差旅、會議、考試或工作繁忙無法更新。過去Windows更新推遲有次數限制。但最新變更中，微軟開放用戶無限制次延長暫停次數。

Google六月起將處罰使用返回鍵劫持手法的網站

返回鍵劫持（Back Button Hijacking）是網站阻止用戶按返回鍵離開目前網頁，回到前頁的手法。網站可能將使用者導向他們未曾造訪過的網頁，擅自發送推薦或廣告、或是其他行為。Google近日宣布，自今年6月對採用返回鍵劫持機制的網站開發，導致Google搜尋的排序調降，原因是這類行為造成用戶期待和實際結果的不一致，導致欺騙性的用戶體驗，並危及用戶安全或隱私，明顯是Google垃圾訊息政策中的「惡意作法」（Malicious Practice）。

OpenAI開源可自動去識別化資料的Privacy Filter模型，強化AI隱私基礎設施

OpenAI週二（4/22）發布Privacy Filter，此為可偵測並遮蔽個人可識別資訊（PII）的開放權重模型，已於Hugging Face與GitHub釋出，採用Apache 2.0授權，支援開發者下載、部署與商業使用。該工具主打可在本地端執行，讓資料在送往雲端或大型模型前即可完成去識別化處理。Privacy Filter可辨識8種個資，包括姓名、地址、電子郵件、電話、網址、日期、帳號資訊與機密資料（如密碼與API key），並確保遮蔽後內容在語意上保持一致。

為因應生成式AI帶來的資安風險，開源排程平臺Cal.com宣布商業版本轉為閉源

美國開源排程平臺Cal.com宣布，將原本可公開存取的商業版本程式碼轉為閉源，並同步推出名為Cal.diy的開源版本供開發者自行部署，原因是生成式AI進展所帶來的資安風險日益升高。過去開源模式仰賴社群共同檢視與修補漏洞，但在AI輔助下，駭客同樣可大規模分析程式碼結構，使公開原始碼反而成為潛在弱點來源，進而增加用戶資料外洩風險，迫使Cal.com在開放性與安全性之間做出取捨。

600萬臺連網伺服器還在使用FTP，四成未加密

資安公司Censys指出，問世超過半世紀的FTP協定仍在將近600萬臺面向網際網路的伺服器上執行，其中將近245萬臺使用未加密傳輸。他們估計，截自2026年4月，全球還有將近600萬臺主機執行面向網際網路的FTP服務，相較於2024年超過1010萬個，已減少40%。值得留意的是，在這些FTP主機上，有將近245萬臺主機未觀測到有任何FTP服務的TLS handshake，這意謂這些伺服器可能未更新、不支援或尚未完成TLS設定。

金鑰管理問題大！Thales警示過半企業未自行掌控雲端資料加密金鑰

Thales近日發布的《2026年資料威脅報告》指出，逾半數企業對資料加密金鑰的掌控程度不足，有21%企業選擇由雲端服務商控制所有加密金鑰，另32%企業則將一半以上應用程式的加密金鑰交由雲端服務商控制。其餘約4成企業對加密金鑰則有較高的掌控能力，但只有11%能完全掌控金鑰的產生與控制，13%是自行產生金鑰、但交由雲端服務商控制，另19%企業則採取混合作法，多數應用程式的金鑰由自身控制。

Google警告量子破解門檻下降20倍，ECC攻擊時間縮至分鐘級

Google近日警告，未來量子電腦破解當前廣泛使用的橢圓曲線密碼（ECC）所需資源，可能比過去估計降低約20倍，並在理想條件下可於數分鐘內完成攻擊，顯示量子威脅正快速逼近，促使產業需提前轉向後量子密碼學（PQC）。Google強調，雖然具備此能力的量子電腦尚未出現，但資源需求持續下降，代表從現有量子技術邁向具密碼學意義的量子電腦（Cryptographically Relevant Quantum Computers，CRQC）的距離正在縮短。

3月多起供應鏈攻擊揭露CI/CD管線風險，GitLab提出防護建議

針對此次與TeamPCP攻擊行動相關的供應鏈事件，原始碼代管與DevOps平臺業者GitLab指出，攻擊者透過竄改套件版本或標籤，濫用既有信任機制，將惡意程式碼導入CI/CD管線，並在建置流程中存取環境變數與敏感憑證。GitLab指出，在AI輔助攻擊工具增加的情況下，針對CI/CD管線的攻擊已更為常見，單一憑證遭竊即可能在多個開發工具間擴散。

看好基於eBPF的執行期防護與韌體分析市場，義大利商Exein登臺設立亞太營運中心

鎖定臺灣在全球科技製造供應鏈的關鍵地位與資安需求，義大利物聯網安全Exein近日在臺舉辦記者會，宣布設立亞太營運中心暨臺北辦公室，展現搶攻臺灣與亞太商機的企圖心。隨著歐盟網路韌性法案（CRA）的推動，裝置端資安成為全球焦點。Exein強調，看好臺灣及亞太製造商對Security by Design的需求，將推動安全左移概念，協助臺灣製造商從開發源頭植入防護機制，確保產品符合國際合規標準。

近期資安日報

【4月24日】資安公司Checkmarx遭遇供應鏈攻擊

【4月23日】近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞

【4月22日】雲端開發平臺Vercel驚傳資料外洩

'

中國駭客GopherWhisper鎖定蒙古，利用多種雲端服務從事網路間諜活動

來源：https://www.ithome.com.tw/news/175325

中國國家級駭客屢屢鎖定周邊國家發動攻擊，蒙古也是目標之一，例如，Mustang Panda（Earth Preta、RedDelta、TA416）曾攻擊臺灣和蒙古，IronHusky冒充蒙古政府攻擊蒙古與俄羅斯的政府單位，如今又有新的駭客組織攻擊蒙古政府機構而引起注意。

資安公司ESET揭露中國駭客GopherWhisper，這些駭客使用多種以Go語言撰寫而成的工具於蒙古某個政府機構部署並執行各種後門程式。這些駭客也濫用Discord、Slack、Microsoft 365 Outlook，以及雲端檔案共享服務file.io等合法服務，進行C2通訊與資料外洩。

該公司起初於2025年1月發現GopherWhisper的活動，當時他們看到後門程式LaxGopher，駭客使用後門注入工具JabGopher將其注入svchost.exe處理程序執行。該惡意軟體與特定的Slack伺服器互動，藉此取得C2的訊息，然後透過cmd.exe執行指令，將結果回傳指定Slack通道。此外，駭客也利用LaxGopher在受害電腦下載其他惡意程式，其中一個是檔案收集工具CompactGopher。

值得留意的是，這些駭客使用的後門程式，還有RatGopher、SSLORDoor與BoxOfFriends，這些後門使用的C2通訊方式各有不同，RatGopher採用Discord伺服器、SSLORDoor利用OpenSSL BIO、BoxOfFriends則是使用Microsoft 365 Outlook的郵件REST API。

在後門程式之外，駭客也運用CompactGopher進行檔案收集，其功能是快速透過命令列打包檔案，然後自動傳送到file.io。

'