Meta與Overview Energy合作以存取太空太陽能

來源：https://www.ithome.com.tw/news/175373

為了因應AI與資料中心所需的龐大電力，Meta週一（4/27）宣布兩項合作計畫，一是與Overview Energy合作，把最多1GW的太陽能傳輸到地球，以實現全天候發電，二是與Noon Energy合作，部署功率達1 GW/100 GWh（連續100小時輸出1GW電力）的超長時效能源儲存系統。

2022年在美國創立的Overview Energy為一太空能源新創，主要發展太空太陽能技術，可於地球同步軌道收集持續日照，再轉為近紅外光傳回地面太陽能場，使其24小時發電。目前已完成空中傳電測試，目標是在2028年進行太空示範，2030年進入商轉。

至於同樣位於美國的Noon Energy創立於2018年，主要開發超長時儲能技術，採用可逆固態氧化物燃料電池與碳基儲能材料，能將電力轉為化學能並儲存超過100小時，再轉回電力使用。主打不依賴鋰等稀缺金屬，降低成本與供應鏈風險。不過，Noon Energy目前仍處示範階段，預計2028年完成首個25MW/2.5GWh專案，之後再擴展至GW級規模，尚未正式商業化運轉。

目前Meta已向Overview Energy預訂最多1GW的太空太陽能容量，以取得未來太空太陽能的優先使用權，屬於容量預購模式。此類合作不需立即建置發電設施，而是提前鎖定未來電力來源，被視為大型科技業者因應AI用電需求、提前布局能源供應的策略之一。

與Noon Energy的合作同樣採用容量預購模式，預訂最多1GW／100GWh的儲能容量，未來可作為資料中心的備援與調節電力來源。

迄今Meta已簽署超過30GW再生能源合約並投入數十億美元，包括與Sage Geosystems及XGS Energy合作開發新一代地熱技術，以及與Vistra、TerraPower、Oklo及Constellation Energy合作以支援總計7.7GW的核能專案，全面卡位電力供應，以因應AI與資料中心的長期用電需求。

'

OpenClaw強化權限管理與系統穩定性，修復繞過策略與憑證洩漏等弱點

來源：https://www.ithome.com.tw/news/175372

當前廣泛使用的AI代理框架OpenClaw，近日發布新的2026.4.20版，強化整體權限控管與執行流程安全性，資安媒體GBHackers指出，這個版本也修復先前多項安全性問題，提醒用戶儘速更新。

GBHackers指出，OpenClaw先前版本存在3項安全性問題：

首先，是可透過提示注入（prompt-injection）繞過保護機制，從而修改Gateway等關鍵設定，進而影響AI代理執行流程與權限控管。

其次，可透過將MCP（模型上下文協定）與LSP（語言伺服器協定）等相關工具加入AI代理工具集，利用工具註冊與執行流程缺陷，繞過既有安全限制，從而執行未授權功能。

第三，可透過惡意工作區的.env設定檔，覆寫MINIMAX_API_HOST等環境變數，進而將帶有憑證的API請求導向攻擊者控制的伺服器，可能造成憑證等敏感資料外洩。

GBHackers表示，OpenClaw自2026.4.20版起，透過強化受信任操作路徑（trusted operator path）的設定更動限制，對AI工具集進行更全面的檢查，以及阻擋工作區環境變數注入主機，並禁止異常URL路由，從而修復前述問題，建議用戶應儘速更新到這個新版本。

'

IBM與英國原子能機構合作推出核融合電漿AI模型，鎖定低碳能源應用

來源：https://www.ithome.com.tw/news/175371

4月中旬IBM研究部門宣布，與英國原子能機構（UKAEA）及 英國科學與技術設施委員會（STFC）Hartree Centre合作， 推出核融合電漿AI基礎模型TokaMind， 以及開源模型與評測工具，目標是加速核融合技術邁向電網應用。

核融合被視為下一代能源， 其反應需在極高溫形成的電漿狀態中進行。相較傳統核分裂， 核融合具備低碳排、燃料來源充足且長期放射性廢料較少等特性。 不過，要在地球上穩定控制這種高溫電漿並持續輸出能量， 仍是主要技術挑戰。

IBM表示， TokaMind模型整合英國原子能機構的MAST（Mega Ampere Spherical Tokamak）實驗裝置資料， 將分散且複雜的資料整理成一致格式， 使研究人員能更容易掌握電漿在不同操作條件下的變化。 不同於傳統模型需針對單一任務分別訓練， TokaMind可同時處理多種電漿分析工作。 在TokaMark基準測試的14項電漿分析任務中， 該模型幾乎都優於傳統機器學習方法。

IBM與UKAEA表示， 這項技術將用於優化核融合發電原型Spherical Tokamak for Energy Production（STEP）的設計， 目標在2040年代建成並接入電網。

整體來看，核融合技術目前仍處研發階段， 而TokaMind可望成為核融合研究的重要工具， 協助相關技術從實驗階段逐步邁向商用發電階段。

'

【資安日報】4月28日，資安院宣布第二屆漏洞獵捕活動，為公務機關最常使用的軟體抓漏

來源：https://www.ithome.com.tw/news/175370

資安院首屆漏洞獵捕活動發現20個硬體產品漏洞，今年第二屆活動開放AI工具挖掘軟體漏洞

為鼓勵國內業者重視產品資安，數發部資安院在去年12月舉辦首屆漏洞獵捕（Bug Bounty）活動，邀請研華、威強電等11家業者參加，超過20項產品參與，共有179名資安研究人員參與，發現約20個漏洞，資安院為引導資安社群與產業建立機制，預告今年第四季將舉辦第二屆漏洞獵捕活動，鼓勵研究人員使用AI工具輔助，以增加找到漏洞的機會，針對的產品也從首屆活動以硬體、網通產品為主，第二屆活動將以公務機關使用最多的軟體產品為對象。

Checkmarx證實GitHub資料遭駭客團體Lapsus$流入暗網

4月22日資安公司Checkmarx發生供應鏈攻擊，VS Code延伸套件與掃描工具KICS的Docker映像檔被入侵，後續調查結果出現新的進展，4月26日Checkmarx公布新的調查結果，他們在第三方鑑識公司的協助下進行調查，有網路犯罪團體將該公司的資料於暗網公開。根據相關證據，這些資料來自Checkmarx的GitHub儲存庫。隔天Checkmarx發布新的內容，表示這是源自Trivy供應鏈攻擊的事故，該公司研判，攻擊者藉此取得憑證，而能夠未經授權存取他們的GitHub儲存庫，並以此發布惡意程式碼。

蠕蟲程式GlassWorm透過73個VS Code延伸套件潛伏於Open VSX儲存庫

資安公司Socket指出，他們在3月於Open VSX發現73個惡意VS Code延伸套件，這些套件大部分看起來無害，但有6個已顯露真正的意圖，被用來傳送GlassWorm。該公司指出，這些惡意套件與今年3月揭露（1月發現）的活動有關，並遵循近期GlassWorm的攻擊模式，那就是惡意套件本身最初發布時，都不會出現明顯的有效酬載，之後駭客再透過延伸套件的更新機制傳遞惡意軟體。

RPC零時差漏洞PhantomRPC可被用於提升權限

資安公司卡巴斯基近日公布零時差漏洞PhantomRPC，此漏洞與Windows作業系統的遠端程序呼叫（RPC）有關，攻擊者有機會以此提升本機權限至SYSTEM，所有版本的Windows作業系統都可能受影響。由於該弱點源自系統架構的弱點，潛在的攻擊手法近乎無限多種，原因是只要透過任何RPC的處理程序或服務，都有可能引入一種權限提升的路徑而觸發漏洞。

Linux作業系統套件管理器存在資安漏洞Pack2TheRoot，攻擊者能取得root權限

德國電信公司Deutsche Telekom紅隊團隊近日公布高風險資安漏洞Pack2TheRoot，此漏洞存在於套件管理工具PackageKit的處理程序，影響Ubuntu、Debian、Fedora等多個Linux發行版，非特權攻擊者可在未經授權的情況下，安裝或移除系統套件，而有機會取得受害主機的root權限，或是透過其他管道入侵受害電腦。此漏洞被登記為CVE-2026-41651，CVSS風險評為8.8分，屬高風險等級，PackageKit開發團隊獲報後發布1.3.5版予以修補。

Linux惡意軟體GoGra濫用Microsoft Graph API隱匿活動蹤跡

賽門鐵克與Carbon Black威脅獵捕團隊發現，APT駭客組織Harvester近期開發了Linux後門程式GoGra，此惡意軟體具備高度迴避偵測的能力，利用微軟Graph API與電子郵件信箱服務Outlook建立C2通訊，疑似打算在印度與阿富汗從事網路間諜活動。由於此駭客組織的活動最早可溯到2021年，當時使用後門程式Graphon攻擊Windows電腦，GoGra的出現，代表Harvester採取跨平臺攻擊的策略。

中國駭客Tropic Trooper鎖定臺灣、日本、韓國，透過Adaptix C2與VS Code隧道控制受害電腦

資安公司Zscaler於3月12日發現鎖定臺灣使用者發動攻擊的惡意ZIP檔，該項行動由Tropic Trooper發起，並使用軍事相關的誘餌發動多階段攻擊，他們竄改PDF檢視器SumatraPDF的二進位檔案，用來部署AdaptixC2的Beacon代理程式，最終目的是下載與部署Visual Studio Code（VS Code）隧道。根據分析的結果，這些駭客的主要目標是使用中文的臺灣用戶，不過也有日本與韓國用戶受害。

中國駭客GopherWhisper鎖定蒙古，利用多種雲端服務從事網路間諜活動

資安公司ESET揭露中國駭客GopherWhisper，這些駭客使用多種以Go語言撰寫而成的工具於蒙古某個政府機構部署並執行各種後門程式LaxGopher、RatGopher、SSLORDoor與BoxOfFriends，這些駭客也濫用Discord、Slack、Microsoft 365 Outlook，以及雲端檔案共享服務file.io等合法服務，進行C2通訊與資料外洩。

醫療設備製造商美敦力資料外洩，駭客聲稱竊取逾900萬筆個資

4月24日醫療器材大廠美敦力（Medtronic）發出聲明，證實資訊系統的資料遭到未經授權的第三方存取，事發後該公司立刻採取遏止措施、啟動事件應變程序，並找出疑似被存取的個人資訊。不過，該公司強調，這起事故對於他們的產品、病人安全、與客戶的連結、製造與分銷、財務報告系統未受到影響，也不影響他們因應病人需求的能力。資安新聞網站Bleeping Computer指出，聲稱入侵美敦力的駭客團體就是ShinyHunters。

網路學習平臺Udemy傳資料外洩，ShinyHunters聲稱竊得140筆個資

惡名昭彰的駭客團體ShinyHunters於4月24日宣稱，他們手上握有大型網路學習平臺Udemy的內部資料，並要求該公司必須在4月27日前取得聯繫並支付贖金，不然就要將竊得資料公諸於世（Pay or Leak）。針對外洩的資料，ShinyHunters聲稱包含超過140萬筆個人可識別資訊（PII），以及該公司的企業內部資料。不過，駭客並未公布部分資料供買家確認。

CISA警告D-Link路由器命令注入漏洞被用於實際攻擊

上週資安公司Akamai揭露殭屍網路Mirai變種tuxnokill攻擊行動，駭客利用命令注入漏洞CVE-2025-29635，綁架產品生命週期已經結束（EOL）的D-Link路由器DIR-823X，現在美國政府也證實該漏洞遭到利用的情況。4月24日美國網路安全暨基礎設施安全局（CISA）將4個資安漏洞列入已遭利用的漏洞名冊（KEV），並要求聯邦機構必須於5月8日完成修補，其中一個漏洞就是CVE-2025-29635。

Notepad++修補字串輸入漏洞，未更新可能導致資訊洩漏或程式當機

開源文字編輯器Notepad++近日發布公告，揭露可能導致資訊外洩或應用程式當機的漏洞，會影響8.9.3以前版本，解決辦法是升級到已修補的8.9.4版。這項漏洞的編號為CVE-2026-3008，問題源自Notepad++的FindInFiles功能未妥善處理特定輸入字串，攻擊者可利用此漏洞讀取記憶體內容，或觸發應用程式異常終止。

Tenable修補Nessus弱點掃描代理程式漏洞，未更新可能導致攻擊者取得SYSTEM權限

資安廠商Tenable近日發布公告，揭露旗下弱點掃描工具Nessus的Windows版代理程式存在高風險漏洞CVE-2026-33694，是由外部研究人員發現並向Tenable通報，CVSS嚴重性評分達8.2分，源自於Nessus代理程式執行檔案存取前，未妥善驗證檔案連結，在Windows系統環境中，擁有本機存取權限的攻擊者可以建立惡意的連接點（junction），誘使Nessus代理程式以SYSTEM權限刪除任意檔案，並進而以SYSTEM權限執行任意程式碼。

CrowdStrike修補LogScale重大漏洞，未更新可能導致遠端讀取任意檔案

端點防護與雲端資安平臺廠商CrowdStrike近日發布安全公告，修補旗下日誌分析與監控平臺LogScale重大漏洞CVE-2026-40050，一旦該系統暴露在網際網路，遠端攻擊者可利用此漏洞，在未通過身分驗證的狀態下，讀取伺服器檔案系統的任意檔案，CrowdStrike表示尚未發現此漏洞的濫用跡象，但仍建議所有自行建置版用戶升級，以降低攻擊風險。

LMDeploy LLM推論工具SSRF漏洞公開後13小時內即遭利用

資安公司Sysdig指出，InternLM開發的LMDeploy大型語言模型推論工具，在伺服器端請求偽造（SSRF）漏洞公開後，不到13小時就出現利用嘗試。該漏洞編號為CVE-2026-33626，影響LMDeploy 0.12.3之前版本，官方已在0.12.3版修補。CVE-2026-33626漏洞風險在於，攻擊者可透過模型請求中的image_url欄位，讓LMDeploy伺服器代為存取雲端中繼資料服務（metadata service）、內部網路或其他原本不應對外暴露的資源。

Python存在高風險的記憶體存取漏洞，未修補可能導致越界寫入與記憶體資料損毀

廣泛使用的高階程式語言Python存在高風險漏洞CVE-2026-3298，可能導致越界寫入（Out-of-Bounds Write）問題，進而造成記憶體資料毀損，此漏洞已由Python軟體基金會登記CVE編號，並於CPython程式碼庫提交修補程式，建議使用者儘速更新。這項漏洞的CVSS嚴重性評分達8.8分，是在4月21日由研究人員Seth Larson揭露，他透過Python安全公告郵件清單（security announcement mailing list）公開此事。

用AI發現漏洞還不夠，Google指出自動化大規模修補才是防禦核心

將AI用於資安防禦以對抗AI攻擊，已成為各界關注焦點，特別是近期AI在漏洞挖掘能力上的高速推進，然而，AI大廠Google認為，解決資安漏洞風險的關鍵，不只在於大規模「找出」漏洞，更關鍵的是，如何運用AI大規模且高效率地「修補」漏洞。近日Google工程部門副總裁Royal Hansen來臺，揭露自動化防禦的最新發展。

【2026 企業資安大調查｜資安預算變化】整體資安預算大增13％，金融業更加碼近2成

資安管理向來是企業資訊長和資安長的年度優先目標，近兩三年來，加上主管機關對上市櫃公司的資安法遵要求，如資安長設置要求，訂定資安事件重大訊息揭露標準等，促使企業投入更多資源來落實資安管理。根據2026 iThome CIO&CISO大調查，多數產業的資安預算皆成長，平均資安預算成長率高達13%，只有政府學校的資安預算比去年略減了4%。

【2026 企業資安大調查｜資安人才需求】因應資安人才缺口， 3成CIO想靠AI緩解

過去幾年，資安人才更成了超級搶手的人才，不分產業也都吹起了資安人才荒。在去年大調查中，我們開始調查資訊長和資安長對於AI緩解IT人才荒的看法，尤其是資安人才和開發人才缺口的緩解。去年已超過7成資訊長和資安長認同AI的確可以緩解IT人力需求，今年這個比例再次上升，達到77%之高，幾乎每五位資訊長，就有四位認為可以藉助AI來分擔人力。

【2026 企業資安大調查｜企業AI資安挑戰】人才和資料治理是AI資安兩大難題

隨著越來越多企業擁抱生成式AI，AI資安風險也成了資訊長和資安長當前最大的新挑戰。根據2026年iThome CIO&CISO大調查，從生成式AI發展成熟度來看，臺灣大型企業中，有23%的企業已經在正式環境中運用生成式AI，另有33%企業正在導入和驗證階段，26%的企業今年才開始計畫。換句話說，超過2成資安長日常工作已經開始面臨種種AI資安挑戰，另有5成資安主管至少得開始準備因應。

近期資安日報

【4月27日】後門程式FireStarter鎖定思科防火牆發動攻擊

【4月24日】資安公司Checkmarx遭遇供應鏈攻擊

【4月23日】近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞

'

韓國KISA首度啟動安全漏洞清理服務，首波因應目標是WGear網銀RCE漏洞

來源：https://www.ithome.com.tw/news/175351

面對用戶未積極更新修補軟體漏洞的狀況，韓國網路安全振興院（KISA）近期採取創新作法，於2026年4月首度啟動「安全漏洞清理服務（보안취약점클리닝서비스）」，協助用戶清除含漏洞的WGear舊版本。這種主動介入的作法在全球相當罕見，其後續成效可能引發各國效法，也能針對促進用戶修補的作法帶來更多啟發，值得政府與企業關注。

根據KISA說明，此項服務目的是為了縮短「廠商釋出修補」與「終端實際完成更新」之間的落差，目前保險作法是僅移除受影響的舊版本。其運作方式如下：KISA此次與4家資安業者合作，納入其防毒產品，涵蓋nProtect（INCA Internet）、VirusChaser（SGA）、Exosphere（Exosphere Labs）、TurboViro（EveryZone）。一旦在使用者電腦偵測到舊版軟體，這些防毒軟體將引導使用者點選「解決漏洞」按鈕，同意移除軟體。

此計畫的第一個漏洞因應目標是韓國企業網銀常見的中介程式WGear，這套系統主要用於協助大量Excel資料處理，近日被確認存在遠端程式碼執行（RCE）漏洞。由於此類軟體常見於企業網銀與電子金融服務情境，一旦未及時修補，恐遭駭客利用並擴大入侵風險，其威脅不容忽視。

關於這項安全漏洞清理服務的發展，KISA是在去年11月對外公開，並於2026年4月正式啟動。KISA指出，其特色在於用戶無需另行安裝程式，只要電腦已安裝指定防毒軟體即可使用。KISA後續也規畫與韓國國內更多防毒廠商合作，逐步擴大服務規模。

事實上，如何縮短漏洞修補的空窗期，避免用戶在安全更新釋出後仍遲遲不修補，一直是各國政府面臨的嚴峻挑戰。以美國為例，網路安全暨基礎設施安全局（CISA）自2021年起發布「已知遭利用漏洞清單」（KEV），並透過法規強制要求聯邦機構必須在限期內完成修補，主要以行政手段落實政府機構的資安防禦。

除了法規強制，各國也正嘗試不同主動手段。例如，英國國家網路安全中心（NCSC）於去年12月試辦主動通報服務，與資安業者Netcraft合作，針對更廣泛的當地企業，透過分析公開資訊與外部可觀察行為，主動寄送漏洞預警通知，以補足企業未主動追蹤漏洞的缺口。

而韓國KISA此次採取的策略則更進一步，試圖直接與端點安全產品合作介入清理。這些案例顯示，各國政府在漏洞治理的角色上，正從過去的被動宣導轉向更具主動性的干預與協作。

'

專注強化學習的AI新創Ineffable Intelligence募得11億美元的種子輪資金

來源：https://www.ithome.com.tw/news/175369

由前DeepMind強化學習團隊負責人David Silver在2025年底創辦的AI新創Ineffable Intelligence週一（4/27）正式浮上檯面，並說已獲得了11億美元的種子輪投資，估值為51億美元，為歐洲史上最大規模的種子輪融資之一。投資者包括美國風投Sequoia、Lightspeed，以及Nvidia、Google與英國的Sovereign AI Fund等。

Silver專注於使用強化學習來打造超級智慧助理，他曾主導或共同主導的AI研究包括在2015年讓AI直接從像素學會玩Atari遊戲，2016年以AlphaGo擊敗圍棋世界冠軍，2017至2018年進一步實現AI自學擊敗最強西洋棋、將棋與圍棋程式，2019年AlphaStar擊敗職業《星海爭霸》玩家，2020年更在無規則知識下完成自學突破。

此外，他也參與了AlphaFold於2020至2021年解決蛋白質摺疊問題，以及2024年AlphaProof達到國際數學奧林匹亞競賽獎牌水準，橫跨遊戲、科學與數學領域的重要進展。Silver在DeepMind任職超過10年，現在除了擔任Ineffable Intelligence執行長，亦為倫敦大學學院教授。

在新創立的Ineffable Intelligence首頁上，Silver說明該公司正在打造一種超級學習者（Superlearner），可從自身的經驗獲取所有的知識，從最基本的運動技能，到最深刻的智力突破；此一學習能力並不仰賴人類所提供的資料，而是由世界上最強大的強化學習演算法來推動。

這也意味著該超級學習者將能重新發現並超越人類史上最偉大的發明，包括語言、科學、數學與技術，倘若成功了，將成為能與達爾文發現相媲美的科學突破，還能解釋並闡明所有智慧形態的本質。

根據Wired的報導，Ineffable Intelligence最終的願景是創造出在許多領域都能超越人類智慧的超級學習者。

創立於英國的Ineffable Intelligence也獲得了由英國政府支持的AI投資基金Sovereign AI Fund的投資，英國AI暨網路安全部長Kanishka Narayan表示，很高興Silver選擇在英國創業，並得到英國政府的全力支持，共同推動英國的AI發展並改變世界。

'

【2026 企業資安大調查｜資安防護投資布局】資安AI代理崛起，金融和百億企業積極擁抱零信任

來源：https://www.ithome.com.tw/article/175313

零信任網路安全架構是企業強化資安管理的主流，今年整體採用率突破了三成，除了金融業、百億營收企業和政府學校，採用率逐漸達到5成，其餘產業導入的企業數也明顯較前一年增加，2026年零信任網路安全架構的採用率各產業普遍都提高了。

不只如此，生成式AI明顯開始改變企業資安管理做法，今年超過3成企業想要在資安流程中導入最夯的代理式AI技術，其中以金融業、服務業和政府學校最積極，百億營收的企業今年也有高達4成要在資安流程導入AI Agent。AI賦能資安人才，不只對人員編制帶來影響，也會帶來新的人員協作和管理挑戰。

根據我們今年的調查，2026年企業資安預算成長率也創新高，達到兩位數的成長，平均每家企業的資安預算，比去年增加了13%。

這些預算分配到哪些資安防護做法呢？我們在今年大調查中區分成兩類資安防護做法，一類是進階資安技術與服務，像是威脅偵測與應變（EDR/NDR/CDR/XDR），軟體開發安全、雲端安全、資安保險等16項，這是目前主流的進階資安做法。

另一類則是用來因應各種威脅進化的次世代防護技術，像是網路威脅暴露管理、身分安全態勢管理、AI物料清單、資料避風港等15項。

先來看進階資安技術與服務採用趨勢，2026年的前三大投資重點包括了威脅偵測與應變（EDR/NDR/CDR/XDR）、資料備份／災難復原和遠端存取防護，這三項的採用率都超過了5成，也涉及到企業在資安應變、系統面、資料面的進階防護能力。值得注意的是軟體開發安全如DevSecOps的採用率今年超過了2成，越來越多企業重視安全預設的設計，想要將資安左移到開發流程的上游。

從產業來看，除了上述三項之外，滲透測試與弱點掃描也是不分產業的五大進階防護做法之一，金融業、醫療業和政府學校則更積極採用應用程式防護，服務業也很積極導入網路攻防演練。

除了進階資安投資之外，在次世代防護技術的採用排名上，前三大是網路威脅暴露管理，網路微分段和身分安全態勢管理，各有二到三成企業採用。值得注意的是與AI模型供應鏈風險有關的AI物料清單技術（AIBOM），也隨著AI的盛行而開始受到少數臺灣大型企業的重視。

從產業來看，IT供應商風險管理是多數產業重視的項目，金融和政府學校的軟體物料清單（SBOM）採用率也都近3成。FIDO/Passkey也名列金融、服務、製造業和政府學校的前五大次世代防護技術。

'

網路學習平臺Udemy傳資料外洩，ShinyHunters聲稱竊得140筆個資

來源：https://www.ithome.com.tw/news/175367

惡名昭彰的駭客團體ShinyHunters於4月24日宣稱，他們手上握有大型網路學習平臺Udemy的內部資料，並要求該公司必須在4月27日前取得聯繫並支付贖金，不然就要將竊得資料公諸於世（Pay or Leak）。

Udemy是全球最大的網路學習平臺，提供超過2.6萬門由業界專家設計的課程，涵蓋程式開發、資料科學、商業管理、設計、行銷、音樂、語言學習、健康健身等領域，學生可隨時隨地透過教學影片與測驗題目來提升技能，甚至能取得認證，以促進職涯發展。因此，這起資料外洩事故的影響範圍，有可能相當廣泛。

針對外洩的資料，ShinyHunters聲稱包含超過140萬筆個人可識別資訊（PII），以及該公司的企業內部資料。不過，駭客並未公布部分資料供買家確認。雖然Udemy並未對此事做出說明，但密碼外洩查詢網站Have I Been Pwned（HIBP）於4月26日記錄此事，並指出洩露的資料影響學生與講師，內容包括：姓名、實體地址、電話號碼、員工資訊，以及支付講師費的方法（PayPal、支票、銀行轉帳）。

'

Notepad++修補字串輸入漏洞，未更新可能導致資訊洩漏或程式當機

來源：https://www.ithome.com.tw/news/175362

開源文字編輯器Notepad++近日發布公告，揭露可能導致資訊外洩或應用程式當機的漏洞，會影響8.9.3以前版本，解決辦法是升級到已修補的8.9.4版。

這項漏洞的編號為CVE-2026-3008，問題源自Notepad++的FindInFiles功能未妥善處理特定輸入字串，攻擊者可利用此漏洞讀取記憶體內容，或觸發應用程式異常終止。雖然這項漏洞的CVSS評分為6.6的中等風險，但Notepad++是開發人員與系統管理員常用的文字編輯工具，經常用於檢視與編輯設定檔、程式碼與系統記錄，這項漏洞仍可能帶來相當的風險，用戶仍應儘速更新。

'

Tenable修補Nessus弱點掃描代理程式漏洞，未更新可能導致攻擊者取得SYSTEM權限

來源：https://www.ithome.com.tw/news/175352

資安廠商Tenable近日發布公告，揭露旗下弱點掃描工具Nessus的Windows版代理程式存在高風險漏洞，攻擊者可能藉此取得SYSTEM權限，進而在受害電腦上執行任意程式碼，建議使用者儘速更新至已修補的版本。

這項漏洞的編號為CVE-2026-33694，是由外部研究人員發現並向Tenable通報，CVSS嚴重性評分達8.2分，源自於Nessus代理程式執行檔案存取前，未妥善驗證檔案連結，在Windows系統環境中，擁有本機存取權限的攻擊者可以建立惡意的連接點（junction），誘使Nessus代理程式以SYSTEM權限刪除任意檔案，並進而以SYSTEM權限執行任意程式碼。

這項漏洞會影響11.1.2版以前的Windows版Nessus代理程式，解決辦法是升級到已修補的11.1.3版。由於Nessus代理程式通常部署在關鍵主機上，一旦漏洞遭到利用，可能會造成重大影響，用戶應儘速升級以降低風險。

'