cPanel修補重大身分驗證漏洞，未更新可能導致攻擊者接管主機

來源：https://www.ithome.com.tw/news/175449

網站主機管理平臺廠商cPanel近日發布資安公告，揭露旗下管理軟體cPanel及WHM（WebHost Manager）存在重大漏洞，攻擊者能在不需通過身分驗證的狀況下，即可取得管理介面存取權限，進而控制主機，由於這兩款軟體是網站主機環境常用的Linux伺服器管理與控制面板工具，因此這項漏洞的影響範圍格外廣泛，用戶必須立即更新至已修補版本。

這項漏洞的編號是CVE-2026-41940，CVSS嚴重性評分達9.8，問題源自cPanel與WHM登入過程中存在身分驗證繞過漏洞，導致攻擊者可在未經身分驗證的情況下，取得cPanel與WHM控制面板存取權限，從而可能影響伺服器執行的所有服務。11.40以後版本的cPanel與WHM，都會受到這項漏洞的影響，cPanel原廠已發布修補版本，並要求用戶立即透過執行系統更新指令碼，自動更新軟體版本 。cPanel在公告中特別提醒用戶，除公告中列出的特定版本外，他們不會為舊版軟體發布修補程式，使用較舊版本的用戶必須升級整個系統或伺服器。

'

勒索軟體Gentlemen透過代理伺服器工具SystemBC滲透企業組織

來源：https://www.ithome.com.tw/news/175442

為了讓行蹤較難被發現，駭客利用代理伺服器建立隱匿通訊機制的手法，如今越來越常見，近期有勒索軟體也加入利用行列。

資安公司Check Point揭露勒索軟體Gentlemen，該駭客團體約從2025年中旬開始活動，宣稱迄今已有320家企業或組織受害，其中有240家企業或組織的事故發生在今年1月。這些駭客以租用模式（RaaS）尋找打手，並廣泛提供不同型態的檔案加密工具，包括能在Windows、Linux、BSD等作業系統與NAS運作的版本，以及專為虛擬化平臺VMware ESXi打造的版本。

值得留意的是，在其中一起事故裡，Gentlemen部署了代理伺服器工具SystemBC，此類工具通常被用於建立秘密隧道，並傳遞惡意酬載。

至於Gentlemen是否直接將SystemBC整合其勒索軟體生態系統，或是旗下附屬團體將SystemBC用於遠端存取的工具，目前不得而知。不過Check Point強調，駭客通常將SystemBC用於人為操作入侵流程，而非鎖定大量使用者，因此受害者多半應該是企業或組織。根據他們的調查，可能有1,570家企業組織遭到感染，其中美國最多，英國、德國居次。

'

Meta營收成長33%，AI資本支出上調至1450億美元

來源：https://www.ithome.com.tw/news/175447

Meta週三（4/29）公布2026年第一季財報，該季Meta創下563.11億美元的營收，比去年同期成長33%，淨收入為268億美元，成長61%，每股盈餘為10.44美元。當天Meta亦將2026年的資本支出從原本預測的1,150~1,350億美元，調高至1,250~1,450億美元。財報出爐後，Meta盤後股價下滑6.37%，跌至626.5美元。

在563.11億美元的營收中，有550.24億美元來自程式家族（Family of Apps）廣告，占了Meta總營收的97.7%，而Reality Labs營收則是4.02億美元，程式家族另有8.85億美元為非廣告收入。整體而言，程式家族的營業收入為269億美元，Reality Labs則虧損了40.3億美元。

Reality Labs去年同期的收入跟虧損都與今年相去不遠。

Meta執行長祖克柏（Mark Zuckerberg）在財報會議中表示，全球每天有超過35億人使用Family of Apps的其中一款程式，儘管因為伊朗網路中斷，以及俄羅斯的封鎖措施，使得Family of Apps的每日使用量略顯下滑，但此外，所有應用程式的使用狀況都十分良好。

祖克柏亦多次提到由超級智慧實驗室（Meta Superintelligence Labs，MSL）所打造的首款AI模型Muse Spark，指出Meta的目標不僅是讓使用者把Meta AI當作助手，更要打造出能夠理解用戶目標、持續協助用戶實現這些目標的智慧助手。

至於微幅提高今年資本支出的預估主要是為了反映今年零組件成本的上升，小部分是為了因應算力需求增加所需的資料中心建置成本。

'

APT28將Windows Shell欺騙漏洞用於實際攻擊

來源：https://www.ithome.com.tw/news/175440

本週微軟、美國網路安全暨基礎設施安全局（CISA）證實，CVSS風險僅有4.3分的Windows Shell資安漏洞CVE-2026-32202被用於實際攻擊，但他們並未進一步說明如何被利用，有資安公司透露，此漏洞已遭俄羅斯駭客APT28（Fancy Bear、UAC-0001）利用。

資安公司Akamai指出，此漏洞與微軟2月修補的Windows Shell安全功能繞過漏洞CVE-2026-21510有關，由於修補不完整而導致有弱點，事實上，微軟當時提供的修補程式確實阻止了SmartScreen繞過，並讓攻擊者無法再用來遠端執行任意程式碼，卻留下零點擊強制身分驗證的弱點，也就是上述的CVE-2026-32202。

而Akamai所謂的漏洞利用活動，就是兩個月前公布APT28攻擊烏克蘭與數個歐盟國家的活動，當時Akamai指出駭客利用惡意LNK檔案觸發CVE-2026-21513，但實際上，還有另一個漏洞也被利用，那就是CVE-2026-21510，由於Akamai發現修補不完整，並未在調查報告透露此事。

Akamai表示，駭客同時在LNK檔案利用了CVE-2026-21510與CVE-2026-21513，至於利用CVE-2026-21510的目的，主要是為了繞過SmartScreen安全功能，使APT28得以執行存放於遠端伺服器的攻擊程式碼，透過Windows Shell名稱空間解析機制，經由UNC路徑而從遠端伺服器載入DLL檔。

'

CISA警告ConnectWise ScreenConnect、Windows Shell漏洞已出現攻擊行動

來源：https://www.ithome.com.tw/news/175431

iThome資安新聞編輯團隊溫馨提醒

擔心錯過重要的資安新聞嗎？資安日報與資安週報即日起推出免費電子報訂閱，每天每週直送資安要聞，提供專業、易懂、便於轉述的最佳中文資安情報，助你掌握全球與臺灣最新資安脈動。

'

SAP的NPM套件遭Mini Shai-Hulud攻擊

來源：https://www.ithome.com.tw/news/175446

資安公司Aikido、SafeDep、Socket、StepSecurity、Wiz提出警告，最新一波NPM套件供應鏈攻擊活動Mini Shai-Hulud針對SAP而來，該公司多個套件受到影響。關於攻擊者的身分，Socket、Wiz推測很有可能就是3月發動大規模攻擊的駭客團體TeamPCP。

這些遭到竄改的SAP生態系統套件，駭客植入了預先安裝的指令碼，在NPM套件安裝過程中，自動執行setup.mjs，該指令碼下載Bun執行環境，並啟動經混淆處理的酬載execution.js，攻擊者可藉此在NPM套件安裝完成之前，得以趁機執行特定程式碼。

第二階段酬載是竊資軟體與大量擴散的框架，駭客同時針對開發者的環境與CI/CD管線，收集的資料包括：GitHub憑證、NPM憑證、雲端（AWS、Azure、GCP）機密資料、Kubernetes憑證，以及GitHub Actions機密資料，並透過公開的GitHub儲存庫外洩。

針對這起事故發生的原因，Aikido根據曝露拉取請求的NPM權杖，駭客有可能透過CircleCI入侵這些套件而得逞。SafeDep指出，攻擊者可能在攻擊GitHub Actions之前就取得NPM憑證。

對比這起事故與先前Shai-Hulud活動不同之處，StepSecurity提出下列3點分析：首先，惡意軟體偵測到位於俄羅斯會自動停止、所有外洩資料會使用AES-256-GCM演算法處理，再者，駭客濫用Claude Code的掛鉤功能，將有問題的內容提交到每個能夠存取的儲存庫。

'

澳洲新法擬以徵稅為手段，催Google、Meta、TikTok支付新聞網站授權費

來源：https://www.ithome.com.tw/news/175445

澳洲本週公布新法案，促使Google、Meta和TikTok等大型社群媒體或網路服務業者和新聞媒體議價內容授權費，否則就要支付稅收。

新法案名為新聞媒體議價倡議（News Media Bargaining Incentive，NBI）。NBI法草案旨在修補舊有《新聞媒體議價法（News Media Bargaining Code）》的漏洞，尤其是數位巨頭拒絕與本地媒體協議付費的問題。

新版法案適用於在澳洲年營收超過2.5億澳幣（約1.8億美元）的大型社群媒體或搜尋引擎服務供應商。初步鎖定Meta（Facebook/Instagram）、Google及TikTok。根據法案，若大型平臺未與澳洲本地新聞機構達成付費協議，政府將對其在澳洲的總營收課徵2.25%的稅款。若數位平臺選擇繳稅，這筆資金將由政府徵收，根據媒體雇用記者數量發放給媒體。他們如果與本地新聞機構簽署授權協議並支付費用，則可以用於抵減2.25%的稅額。

2021年的法案強制數位平臺（如Google、Meta）必須為其平臺上顯示的新聞內容支付費用給媒體公司，並和當地新聞機構議價。但反對本案的Meta一度從Facebook平臺上撤下澳洲媒體新聞以避免支付費用。新草案下即便平臺移除新聞連結，只要其營收與用戶規模達到門檻都將繳稅，以防止其重施故技。澳洲政府估計，新法案如果上路，一年能徵收2.5億澳幣。

Meta和Google雙雙反對新法案。Guardian引述Meta發言人指出，澳洲媒體是因為收費而自願貼文在其平臺，新法要求Meta對沒有顯示的本地新聞付費，無異是由政府強制徵稅的「數位稅」。

Google則說目前該公司已向90家新聞機構及220多家網站支付費用，新法沒有改革必要，且澳洲政府也誤解了新聞業生存危機來自線上廣告的版圖移轉，此外，Google也批評新法只要求傳統數位平臺，而遺漏了AI平臺如微軟、OpenAI及Snapchat等對新聞內容的掠奪。

新法案從本週起1個月接受各方討論，預計在7月2日提交國會審議。

'

Google發布Chrome瀏覽器更新，修補30個安全性問題，含4個重大漏洞

來源：https://www.ithome.com.tw/news/175444

Google發布Chrome瀏覽器新版本，將Windows與Mac平臺穩定版更新至147.0.7727.137與147.0.7727.138，Linux版本更新至147.0.7727.137，此次改版一共修補30個安全性問題，含4個重大漏洞、23個高風險漏洞，以及3個中度風險漏洞。

這次Google修補的漏洞中，最受矚目的是4個重大漏洞，皆屬於記憶體釋放後再存取使用（Use After Free）的問題，其中最嚴重的是瀏覽器介面元件View的漏洞CVE-2026-7343，CVSS嚴重性評分達9.8分。其他3個重大漏洞的CVSS嚴重性評分同為8.8分，分別是網頁圖形元件Canvas的漏洞CVE-2026-7363，涉及iOS平臺的漏洞CVE-2026-7361，以及輔助工具元件Accessibility的漏洞CVE-2026-7344。

綜觀這次Google修補的漏洞，在瀏覽器元件方面，圖形相關元件的占比最高，將近三分之一；在漏洞類型方面，仍以記憶體類型問題為最大宗，占比近六成。

'

Alphabet財報出爐，Google Cloud營收成長63%

來源：https://www.ithome.com.tw/news/175443

Alphabet週三（4/29）公布截至3月31日的第一季財報，該季Alphabet創下1,099億美元的營收，成長22%。其中，Google Services營收為896億美元，成長16%，Google Cloud占了200億美元，成長63%，淨收入達626億美元，成長81%，每股盈餘為5.11美元。當天Alphabet盤後股價上揚6.96%，漲至371.5美元。

這次Alphabet財報最受矚目之處在於Google Cloud。Alphabet執行長Sundar Pichai表示，該季雲端業務的加速成長有賴市場對其AI產品與基礎設施的強大需求，這是Google Cloud營收首度超過200億美元，同時其雲端訂單積壓也比上一季增加一倍，超過4,600億美元。至於Gemini Enterprise的每月付費用戶亦比上一季成長40%。

除了Google Cloud成長63%之外，Google的搜尋及廣告營收成長了19%；旗下模型每分鐘處理的Token數量超過160億個，比上季增加60%；包括YouTube、Google One及消費版Gemini的付費人數突破3.5億；自駕計程車服務Waymo每週在所服務的11個城市的載客次數也達到50萬次。

另一方面，新創事業（Other Bets）在第一季締造4.11億美元的營收，虧損21億美元，低於去年同期所創下的4.5億美元營收，也高過當時12.3億美元的虧損。

在AI基礎設施上，Google目前採取自研及外部並行策略，同時採用Nvidia GPU，以及自行研發的Axion CPU及TPU，日前更發表了分別為訓練及推理任務所設計的TPU 8t及TPU 8i，再加上不斷更新的模型。Pichai說，過去一年來，有330家的Google Cloud處理了超過1兆個Token的資料，當中有35家所處理的資料超過10兆個Token。

Pichai在財報會議上也揭露，2025年的全年資本支出（Capital Expenditure，CapEx）為914億美元，主要集中在AI基礎設施上，其中約有6成用於伺服器（包括GPU及TPU等運算設備），其餘4成則投入資料中心及網路設備；而今年的資本支出將大幅提高到1,750億至1,850億美元之間，主要用於擴充AI運算能力，支援Google DeepMind前沿模型開發，並強化Google Services使用者體驗與廣告投資報酬率，同時因應雲端客戶需求成長，持續投資資料中心與伺服器等基礎設施。

'

微軟開源86-DOS 1.00

來源：https://www.ithome.com.tw/news/175441

本週在DOS問世的45週年，微軟開源86-DOS 1.00，IBM PC的第一代DOS程式碼及相關紀錄。

最新開源的86-DOS 1.00資源除了程式碼核心，還包括PC-DOS 1.00核心多個開發版本、知名工具如CHKDSK。除了上述程式的組譯清單，還包括組譯器本身的原始碼清單。

這些資產由歷史學家及保存家組成的專門團隊整理、掃描和轉錄86-DOS 1.00的清單而成。其中有些清單是原始開發者Tim Patersonan本人保存的工作狀態和手寫筆記。這些資源反映了DOS早期的開發歷程，展示了功能實現的進展、錯誤修復過程，以及當時作業系統開發的真實樣貌。目前這些實體文件已由Tim Paterson捐贈給臨時計算機博物館（Interim Computer Museum）保存。

Tim Paterson開發86-DOS 1.00是微軟與個人電腦歷史中最重要的轉折點之一。1980年代初期，Tim Paterson任職於Seattle Computer Products（SCP）。當時英特爾推出了16位元的8086處理器，但市場上缺乏能發揮該處理器性能的作業系統（當時的主流CP/M仍是8位元），Tim Paterson因此決定動手寫出一個全新的系統。Tim Paterson僅用了大約4個月就開發出了16位元的早期OS版本，最初命名QDOS（Quick and Dirty Operating System），後來正式定名為86-DOS。

當時微軟正與IBM洽談為即將推出的IBM PC提供作業系統，但微軟手上並沒有現成軟體。微軟在1980年底向SCP購買了86-DOS的授權，並隨後在1981年正式將整套系統買斷。Tim Paterson後來也加入微軟，協助將86-DOS修改為PC-DOS 1.00，以適應IBM PC的硬體規範。他不僅寫了DOS核心，還親手編寫了組譯器（ASM.COM）以及像CHKDSK這樣至今仍廣為人知的診斷工具。

數位化小組網站提供了86-DOS 1.00部份數位化典藏。86-DOS 1.00的開源程式碼則可在GitHub找到。

'

Gemini服務現可直接生成PDF、Word、Excel及Google Docs等檔案

來源：https://www.ithome.com.tw/news/175439

Google週三（4/29）宣布，旗下生成式AI服務Gemini現在已可直接生成檔案，從PDF、Word、Excel到Google Docs等。

過去使用者要利用Gemini建立檔案時，必須先請它生成內容或表格，使用者再複製至特定工具中並排版，現在Gemini則可直接幫使用者將內容轉為標準檔案格式。

Gemini App團隊產品經理Maryam Sanglaji表示，使用者只要給出相關提示，就能將工作內容轉移到不同的應用程式中，例如將預算提案輸出為Microsoft Excel檔案；把零散想法條列之後，再將它們輸出成PDF或Word檔；並可直接下載至本地裝置或匯出至Google Drive。

目前Gemini所支援的檔案生成格式涵蓋Workspace（Docs, Sheets及Slides）、PDF、DOCX、XLSX、CSV、LaTeX、TXT、RTF及MD等，並已同時部署至全球的Gemini服務上。

'

微軟Exchange Online 7月起封鎖POP與IMAP舊版TLS連線

來源：https://www.ithome.com.tw/news/175430

微軟Exchange團隊公告，Exchange Online將全面淘汰POP3與IMAP4連線對TLS1.0、TLS1.1的支援，並自2026年7月起開始封鎖使用舊版TLS的連線。企業若仍以POP或IMAP存取Exchange Online，需確認郵件用戶端、應用程式與相關函式庫已支援TLS1.2以上，並停止使用舊版TLS端點。

該變更預期主要影響已明確選用舊版TLS端點的客戶，微軟表示，現代郵件用戶端與函式庫大多已支援TLS1.2或更新版本，目前Exchange Online多數POP與IMAP流量也已使用較新的TLS協定。

TLS1.0與TLS1.1早被業界視為不宜繼續使用的舊加密協定，微軟在Microsoft Learn文件中說明，Exchange Online自2020年10月起已不再支援在服務中使用TLS1.0與TLS1.1，但過去仍允許部分POP3/IMAP4用戶端透過特定舊版端點連線，作為舊系統轉換期間的緩衝安排。而現在微軟將正式結束這個例外管道。

微軟建議，若企業不確定是否仍使用舊版TLS，應檢查POP與IMAP用戶端設定，並向應用程式或設備供應商確認TLS支援狀態。要是相關設備或程式無法升級到TLS1.2以上，企業需在微軟自2026年7月開始封鎖舊版TLS連線前，完成替換、更新或調整連線方式，以避免舊系統後續無法透過POP或IMAP存取Exchange Online。

'