Java網路應用程式框架Apache MINA修補兩項重大漏洞，未更新可能導致遠端執行程式碼攻擊

來源：https://www.ithome.com.tw/news/175553

Java網路應用程式框架Apache MINA專案近日發布資安公告，揭露兩項重大漏洞，可能導致攻擊者在未經驗證的情況下執行任意程式碼，建議用戶儘速更新到修補版本，以降低風險。

這次修補的兩項Apache MINA漏洞中，第1項是CVE-2026-42778，CVSS嚴重性評分達9.8分，源自先前對CVE-2024-52046漏洞的修補不完全，由於類別名稱允許清單（classname allowlist）在驗證程序中過晚執行，攻擊者可發送特製的惡意序列化資料，透過反序列化處理程序觸發漏洞，進而從遠端執行任意程式碼。

第2項漏洞是CVE-2026-42779，CVSS嚴重性評分同樣是9.8分，問題源自AbstractIoBuffer.resolveClass()功能的缺陷，跳過關鍵的安全過濾器 acceptMatchers，導致攻擊者可繞過安全檢查，在受害伺服器上執行任意程式碼。

這兩個漏洞會影響Apache MINA的2.1.x與2.2.x版，解決方法是升級到已修補版本，其中2.1.x版需升級到2.1.12版，2.2.x版則需升級到2.2.7版。

'

Amazon推出物流服務ASCS，寶僑及3M成首批客戶

來源：https://www.ithome.com.tw/news/175549

Amazon週一（5/4）正式發表物流服務Amazon Supply Chain Services（ASCS），允許任何企業都能利用與Amazon及其賣家所使用的相同供應鏈，來處理從原料到成品的所有環節，包括商品的儲存與配送。寶僑（Procter & Gamble，P&G）、3M、Lands' End，以及American Eagle Outfitters皆為ASCS的首批客戶。

身為全球最大的零售平臺，Amazon在30年前就體認到配送的重要性，並著手打造高效的供應鏈系統，涵蓋藉由空運、陸運和海運來運送貨物的運輸網絡，能夠每天處理數百萬單訂單的倉儲中心，以及可在每個工作日將包裹送達收件人的配送網路。

Amazon說，如同Amazon Web Services（AWS）的誕生是將自家業務的基礎設施開放給市場，ASCS也是把自家物流服務開放給企業供應鏈，將Amazon在貨運、配送、倉儲及包裹寄送等全方位的服務，提供給各種類型及規模的企業，而不僅限於Amazon的賣家。

該服務的第一段是貨運（Freight），可藉由Amazon所擁有的逾8萬輛拖車、2.4萬個聯運貨櫃，以及超過100架由合作承運商營運的飛機，負責在製造商、供應商與倉庫之間進行國內及跨國運輸。

第二段是配送與履約（Distribution & Fulfillment），涵蓋海外庫存進口、大宗庫存補貨、庫存配置最佳化，以及透過同一批庫存支援不同銷售通路的訂單履約。第三段則是包裹配送（Parcel Shipping），提供一週7天的可靠配送、彈性取件，以及從建立標籤到送達客戶手中的GPS追蹤。

在推出ASCS之前，Amazon即提供類似的Fulfillment by Amazon（FBA）服務予平臺上的賣家，迄今獨立賣家已寄送出逾800億個商品，透過單一網路，將商品從工廠直接送到消費者的手上，估計替採用這些端到端解決方案的賣家增加近20%的銷售額。

在ASCS的客戶中，寶僑利用Amazon的物流將原料送到生產基地，再將成品運送到各地的銷售網路；3M則利用其物流把產品從生產基地運送到全球各地的配送中心；Lands' End使用的是Amazon的統一庫存系統，處理不同通路的訂單。

路透社（Reuters）引用Evercore ISI分析師的看法指出，ASCS將直接衝擊市場上的UPS與FedEx等包裹配送業者，以及DHL Supply Chain、Maersk Logistics與GXO Logistics等合約物流業者。

'

美國警告Linux核心高風險漏洞Copy Fail已遭利用

來源：https://www.ithome.com.tw/news/175550

4月30日資安公司Theori揭露Linux核心資安漏洞Copy Fail，此漏洞影響廣泛，可追溯到2017年發布的Linux核心4.14版，並影響所有的Linux發行版，多個發行版的開發團隊已發布相關資安公告。此漏洞可被用於本機權限提升（LPE），登記為CVE-2026-31431列管，Theori透過僅有732個位元組的Python概念驗證程式，於Ubuntu、Amazon Linux、Red Hat Enterprise Linux（RHEL），以及SUSE成功取得root權限，呼籲大家重視此事並儘快採取行動因應。事隔一天，美國警告已被用於實際攻擊。

5月1日美國網路安全暨基礎設施安全局（CISA）表示，他們掌握CVE-2026-31431已被積極利用的證據，將此漏洞列入已遭利用的漏洞名冊（KEV），要求聯邦機構必須在5月15日前完成修補。但對於此漏洞是否被用於勒索軟體攻擊活動？CISA表示不清楚。

值得留意的是，過往可被用於權限提升而受到高度關注的Linux核心漏洞也有不少，例如：Dirty Cow（CVE-2016-5195）、Dirty Pipe（CVE-2022-0847），不過Theori強調，Copy Fail是單純的邏輯缺陷，極為容易利用且幾乎沒有條件限制。因為，攻擊者不需像Dirty Cow贏得競爭條件，也不用像Dirty Pipe需要精確的管線緩衝區才能觸發。

由於觸發Copy Fail使用的是標準功能程式庫模組，只需相同的指令碼就能在不同Linux發行版利用，而且僅有記憶體內部的快取資料會損壞，磁碟上的檔案不會被更動，其帶來的影響不只局限於本機權限提升，若是在Kubernetes環境，攻擊者還能用來逃脫容器。

'

FreeBSD修補DHCP用戶端重大漏洞，未更新可能導致遠端執行程式碼攻擊

來源：https://www.ithome.com.tw/news/175548

FreeBSD近日發布資安公告，揭露影響其DHCP用戶端元件dhclient的重大漏洞，可能導致攻擊者以root權限執行遠端程式碼，並釋出修補程式。

這個漏洞的編號為CVE-2026-42511，CVSS嚴重性評分達8.1分，問題源自FreeBSD的DHCP用戶端元件dhclient，處理DHCP回傳參數的方式存在缺陷。當用戶端設備加入網路時，會向DHCP伺服器請求IP配置資料，然後由dhclient元件將獲得的BOOTP欄位參數寫入本機lease檔案，但dhclient未能正確解析其中的雙引號字元，攻擊者可透過惡意DHCP伺服器，利用這個漏洞夾帶惡意指令，當系統重啟或重新解析lease檔案時，這些惡意指令會被傳遞至dhclient-script，並以root權限執行，形成指令注入攻擊。

這個漏洞是由資安公司AISLE研究人員發現與通報，會影響目前所有支援中的FreeBSD版本，包括13.x、14.x與15.x等版本，解決方法是透過FreeBSD內建的系統更新指令，下載與安裝各版本對應的修補程式。

'

老牌搜尋引擎Ask.com關閉，前Google時代的網路公司退場

來源：https://www.ithome.com.tw/news/175547

老牌搜尋平臺Ask.com在成立30年後宣布關閉服務，象徵舊式搜尋服務業者已全數退場。

Ask.com前身為Ask Jeeves，成立於1996年。它最特別之處讓使用者能以完整句子提問，而非Yahoo或Google使用的關鍵字搜尋。結合個性化聲音與品牌形象，使其成為早期網路使用者首選的網路搜尋與回答引擎。

但是其技術不成熟，最終不敵Google。Ask.com在2005年被IAC收購，並改名為ask.com。IAC本週透過Ask.com宣布，隨著IAC持續聚焦，決定終止搜尋業務，包括Ask.com。在回答世界問題25年後，Ask.com已在2026年5月1日正式關閉，並對Ask.com用戶的「無盡的好奇心、忠誠和信賴」表達感謝。

在收購Ask.com之初，IAC原本還試圖以搜尋服務對抗Yahoo及Google。2010年IAC將Ask.com變成Q&A內容網站，營收模式變為靠SEO，由搜尋引擎（主要是Google）導入流量並獲取廣告收入。

然而後來Google改變演算法，打擊內容農場，威脅其營收模式。近來Ask.com又遭遇更嚴峻挑戰；以自然語言問答為介面的AI聊天機器人取代了用戶搜尋習慣，加上Google導入AI概要（AI Overview），可以說真正改變了人類上網行為，而傳統廣告營收也再也支持不住IAC對Ask.com的信心。

Ask.com的關閉不僅象徵前Google搜尋服務告終，也是第一代網路公司的結束。Mashable說Ask.com的消失更像是早期網路泡沫時代的真正終結。

然而它開啟的以自然語言問答的互動模式，正是現今生成式AI聊天機器人的原型，一如IAC最後說的「Jeeves精神長存。」

'

開源資安監控平臺Wazuh存在重大漏洞，可用於橫向移動、寫入任意檔案

來源：https://www.ithome.com.tw/news/175546

廣泛使用的開源資安監控平臺Wazuh存在CVSS風險值9.9的重大漏洞，可讓攻擊者在受害者網路上橫向移動、覆寫系統檔案，及執行任意程式碼。

Wazuh是提供威脅防禦、偵測和回應的免費及開源平臺，可監控本地部署、虛擬化、容器化及雲端環境。它具有入侵偵測、Log資料分析、檔案系統監控、漏洞偵測、配置評估以及事件回應、及提供法規遵循等多種IT安全管理必要的功能。

最新漏洞編號CVE-2026-30893為存在Wazuh叢集同步化擷取程序中的路徑遍歷（path traversal）漏洞，原因是未能正確限制擷取文件的目錄路徑。本漏洞可讓經過驗證的叢集用戶，突破原本預定的擷取目錄而在其他叢集節點寫入任意檔案。

此外，攻擊者還能透過覆寫掉Wazuh元件載入的Python模組，改寫入惡意檔案。檔案一旦執行，即能在Wazuh的服務中執行任意程式碼。而在叢集精靈具有高權限的環境中，這可能導致系統層級的攻擊。

雖然由GitHub擔任的CVE編號分配機構（CVE Numbering Authority，CNA）將CVE-2026-30893風險值列為CVSS 9.0，但美國國家標準研究院(NIST)在其NVD資料庫中將其評為9.9。

CVE-2026-30893影響Wazuh 4.4.0到4.14.4以前的版本。Wazuh專案已釋出4.14.4版解決本漏洞。

'

Anthropic與OpenAI分別成立企業AI服務合資公司

來源：https://www.ithome.com.tw/news/175544

AI新創Anthropic週一（5/4）宣布，將與Blackstone、Hellman&Friedman、Goldman Sachs，以及一個由多家另類資產管理公司組成的財團共同成立新的企業AI服務公司，同一天彭博社（Bloomberg）則引述消息來源報導，OpenAI已與其它19家投資者合作，也成立了專門推動企業採用AI軟體的新公司The Deployment Company。

Anthropic的新公司將與各產業的中型公司合作，以將Claude導入它們最重要的營運流程；Anthropic的應用AI工程師也會與新公司的工程團隊合作，判斷Claude最能發揮效益的應用場景，開發客製化解決方案，並為客戶提供長期支援。

Anthropic解釋，許多公司都想從AI受益，但它們缺乏內部資源來建置及營運前沿AI部署，一個典型的合作案會從一支小團隊開始，該團隊會與客戶密切合作，了解Claude在哪些地方能產生最大影響。接著，這家公司的工程師將與Anthropic應用AI人員一起，開發由Claude驅動、並依照每個組織營運需求量身打造的系統。

根據華爾街日報（The Wall Street Journal）的報導，由Anthropic參與的新公司規模約15億美元，其中，Anthropic、Blackstone與Hellman & Friedman各承諾投入3億美元，Goldman Sachs則將投入1.5億美元，其它投資者還包括General Atlantic、Leonard Green、Apollo Global Management、GIC與Sequoia Capital。

至於OpenAI雖尚未公開發表The Deployment Company，但消息已陸續曝光。金融時報（Financial Times）上個月報導，內部代號為DeployCo的新公司將協助投資者旗下的投資組合公司導入AI。

換句話說，The Deployment Company初期的主要客戶為股東相關企業，這也無怪乎新公司的投資者高達19家，涵蓋TPG、Brookfield、SoftBank、Advent及Bain Capital等。彭博社報導，The Deployment Company已成功募集逾40億美元，且估值高達100億美元。

專注AI產業動態的The Deep View分析指出，Anthropic與OpenAI相繼找來華爾街大型金融機構合作，顯示AI競爭已從模型能力推進到企業部署能力。兩家公司都在上市預期升溫之際，加速爭取企業客戶與長期合約，這場企業AI軍備競賽尚未分出勝負，但對企業而言，兩大AI業者競爭將有助於取得更好的條件與更先進的AI解決方案。

'

【2026 企業資安大調查】一張圖看2026年百億營收企業資安風險

來源：https://www.ithome.com.tw/article/175438

在企業資安風險圖中，第一象限是必須立即處理的風險， 營收百億的臺灣五百大企業，在第一象限的風險包括了5項人員類風險和6項系統類風險，但人員風險比系統風險的發生機率更高，衝擊也更大。可以說，營收百億企業未來一年主要的資安威脅來自人員的風險，也是優先防備的資安重點。

立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告

營收百億企業，員工規模也相對較大，過去的資安資源也大多集中在系統面的防禦，現代資安攻擊焦點轉向人員之後，營收百億企業所遭受的攻擊面反而更大，這也是為何網路釣魚也是百億企業首頁風險的原因，尤其身分將會成員新的安全邊界，今年只有47%營收百億企業採用零信任網路，還有一半企業，仍舊會面臨高人員風險的處境。

這些人員風險除了網路釣魚/社交工程手段，還有商業郵件詐騙、機敏資料外洩、個人資料外洩、身分冒用等。

系統風險最需警戒的是勒索軟體資安事故，威脅度僅次於網路釣魚/社交工程手段。另外隨著營收百億企業積極上雲，組態設定不當導致網路裸奔的風險也大增，今年同樣進入了高衝擊高機率的第一象限風險。

營收百億企業得特別留意3項位於第一象限邊緣的風險，包括軟體供應鏈資安事故、以第三方為跳板的攻擊，以及LLM應用洩漏敏感資料。

雖然這三項風險位於邊緣，看似還不用擔心，但卻是容易忽略而釀災的決策盲區，營收百億企業的資安資源相對充沛，可以擴大防備範圍，納入第一象限邊緣附近，隨時可能擴大災情風險的項目。

GenAI是今年所有企業的發展焦點，營收百億企業也不例外，雖然AI類風險多位於中低風險的第三、第四象限，但是有些AI風險正在移動，LLM資料外洩和LLM幻覺導致人員誤判等風險，都接近第一象限邊緣，逐漸移動到高風險區的趨勢。營收百億企業積極擁抱GenAI應用之際，也得同時做好對應的AI風險對策才行。

企業資安風險圖製作說明 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。

問卷執行 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。

資料來源：2026年iThome CIO & CISO大調查，2026年3月

'

英國NCSC警告AI將加速技術債利用，籲組織預備弱點修補潮

來源：https://www.ithome.com.tw/news/175537

英國國家網路安全中心（NCSC）呼籲各類組織提前準備弱點修補潮（Vulnerability Patch Wave）。NCSC表示，AI在具備足夠技術能力的人員手中，已展現出大規模且快速利用技術債的能力，預期軟體生態系將出現一波被迫修正技術債的壓力，影響範圍涵蓋開源軟體、商用軟體、專有軟體與SaaS服務。

NCSC說明，各類組織都存在技術債，也就是組織為追求短期效益而累積的一批技術問題，後續處理成本高且耗時。AI可能加快新弱點被發現與利用的速度，迫使企業在短時間內對整個技術堆疊套用大量軟體更新，形成NCSC所稱的弱點修補潮。

在因應順序上，NCSC建議組織先盤點並降低網際網路可接觸的外部攻擊面，包括邊界系統、雲端執行個體與地端環境。當企業無法一次更新所有系統，應先處理暴露在外部的系統，若處理外部攻擊面後仍有維運量能，則應優先處理關鍵資安系統。NCSC也提醒，修補並不一定能解決所有問題，部分老舊或已終止支援的技術可能無法取得更新，企業必須汰換相關系統，或重新納入支援範圍，尤其是這些系統同時暴露在外部攻擊面時。

NCSC進一步建議企業調整弱點管理流程，準備更快速、頻繁且大規模地部署安全更新，並把供應鏈納入考量。要是系統支援不影響服務的自動化安全熱修補，應優先啟用，支援自動更新的系統，也應開啟，以降低維運團隊負擔。對於無法採取自動機制的環境，企業則需確保既有流程與風險承受度，足以支援更頻繁且更大規模的更新作業，並考量營運中斷與安全關鍵系統的取捨，必要時可採用SSVC等風險優先排序方法，決定更新部署順序。

NCSC也指出，若關鍵弱點已遭主動濫用，特別是影響網際網路暴露系統時，企業應加快更新程序。NCSC建議組織建立「預設更新」政策，在可行情況下盡快且最好自動套用軟體更新，但也承認安全關鍵系統或營運技術環境可能需要例外處理。

'