Best Western Hotel遭駭訂房資料外洩長達6個月

來源：https://www.ithome.com.tw/news/175757

知名飯店集團貝斯特韋斯特（Best Western Hotel，BWH）本週通知客戶，去年10月發生資安事件，致使住客預約資料遭駭客存取。

BWH總部位於亞利桑納州，全世界80多個國家與地區有4200多家飯店經特許方式加入以Best Western營運，旗下有Best Western Hotels & Resorts、WorldHotels、Sure Hotels等其他品牌。

BWH本週發送電子郵件告知資料外洩事件。該公司在今年4月22日發現儲存特定客戶預約資料的網頁應用有非授權活動。該公司立即將網頁應用下線，註銷駭客的存取權，並偕同外部資安業者回應、強化安全並啟動調查。

根據調查，攻擊者存取了部份客戶資料，包括姓名、電子郵件信箱、電話號碼、住家地址及其他訂房資料（如訂單編號、住房日期和特殊要求）。存取資料期間涵括2025年10月14日到2026年4月22日。但飯店方表示，客戶的支付及其他財務資料未受影響，同時也呼籲客戶小心來路不明的郵件和訊息。

BWH似乎尚未向官方報告資訊外洩事件，故受影響人數不得而知。但半年來應該已有用戶因資料外洩受害。早在今年二月有英國用戶接到冒充Best Western Hotels的釣魚信件，信中提供了用戶全名、訂房編號和入住/退房期間。

上個月知名訂房網站Booking.com也被駭，導致客戶個資外洩。

'

Google揭露Gemini Intelligence品牌，將Gemini深度整合至Android裝置

來源：https://www.ithome.com.tw/news/175756

Google週二（5/12）舉辦了The Android Show: I/O Edition 2026，公布Android生態的各項新功能，也替預計於下週舉行的Google I/O熱身，本週先行宣布了全新的Gemini Intelligence品牌，全新的AI筆電Googlebook，更新了Android安全功能，以及Google DeepMind所研究的、適用於AI時代的游標功能。

如同蘋果對Apple Intelligence的定位，Gemini Intelligence也是把生成式AI定位為作業系統層級AI能力，將Gemini擺進Android、Chrome、Googlebook、車載、穿戴與眼鏡，讓AI可跨App理解畫面與代辦任務，並自今年夏天起分階段推出。

率先導入Gemini Intelligence的裝置包括最新的三星Galaxy與Google Pixel手機，今年稍晚即會擴展至其它Android裝置，涵蓋智慧手錶、汽車、眼鏡及筆電。

Gemini Intelligence的主要任務是協助使用者自動化繁瑣的任務，它並非單一AI App，而是把Gemini的代理人能力整合到Android裝置層，讓AI自然滲入瀏覽、輸入、填表、App操作與小工具等日常使用情境中。使用者未必會清楚感覺自己正在啟用AI，而是會感受到裝置更能理解脈絡並主動完成任務。

例如協助使用者預訂健身課程的座位，於Gmail中找到課程大綱，將所需要的教材添加至購物車。或是看懂手機畫面或圖片上的內容，並替使用者執行跨App動作，例如在筆記App中有一長串的購物清單時，使用者只需長按電源鍵，就能叫Gemini把清單上的物品全部加入外送購物車。也能在看到一個有趣的旅遊傳單時，直接拍照並請Gemini尋找「適合6人的類似旅行團」。

從6月底起，Android版Chrome將導入Gemini瀏覽助理，可協助使用者研究、摘要與比較網頁內容，並透過Chrome自動瀏覽功能代為處理預約、保留停車位等瑣事。

結合Gemini的自動填充功能，則可協助使用者於行動裝置上自動填寫複雜的表格。Android上的Gboard原已支援語音轉文字，但Google指出，口語常有停頓、重複與修正，未必適合直接變成書面訊息；因此Gemini Intelligence新增Rambler功能，可在使用者自然說話後，自動擷取重點並整理成精簡文字，也支援多語言混用，讓訊息更流暢。

Gemini Intelligence也支援自訂小工具Create My Widget，使用者只要以自然語言描述需求，就能產生個人化小工具。例如要求每週推薦3道高蛋白備餐食譜，或建立只顯示風速與降雨機率的天氣小工具，並可放到Android主畫面或Wear OS手錶上。

'

蘋果針對旗下電腦、行動裝置、穿戴裝置發布作業系統26.5版更新，並為更多行動裝置修補通知服務漏洞

來源：https://www.ithome.com.tw/news/175755

本週蘋果對行動裝置、電腦、電視盒、穿戴裝置發布一系列作業系統更新，其中較引人注意的地方在於，他們特別為舊版行動裝置作業系統，修補4月底揭露的通知服務漏洞

'

Fortinet修補FortiSandbox、FortiAuthenticator重大RCE漏洞

來源：https://www.ithome.com.tw/news/175749

防火牆業者Fortinet本週發布軟體更新，分別修補旗下產品FortiSandbox和FortiAuthenticator的遠端程式碼執行（RCE）漏洞。

在FortiSandbox方面，最新漏洞是CVE-2026-26083，影響FortiSandbox、FortiSandbox Cloud及FortiSandbox PaaS，為一不當的全域授權（global authorization）漏洞。攻擊者可藉由發送HTTP請求在這些裝置上執行未授權程式碼或指令。受影響產品為FortiSandbox 4.4/5.0、FortiSandbox Cloud 5.0、23、24、FortiSandbox PaaS 23.1/23.3/23.4、22.1/22.2、21.3/21.4及FortiSandbox PaaS 4.4/5.0。

FortiAuthenticator方面，則為API端點存取控制不當漏洞CVE-2026-44277，該漏洞可讓未經驗證的攻擊者經由發送變造請求，執行未授權的程式碼或指令。受影響產品為FortiAuthenticator 6.5、6.6、8.0.0/8.0.2

CVE-2026-26083為Fortinet產品安全團隊發現。CVE-2026-44277也是Fortinet內部稽核中發現。兩漏洞風險值皆高達9.1。Fortinet未說明是否有漏洞濫用現象。

Fortinet已發布最新軟體版本，呼籲用戶儘速更新。最新漏洞不影響FortiAuthenticator Cloud，用戶無需動作。

'

Adobe針對10款應用系統發布5月更新，呼籲用戶應優先對電商平臺進行處理

來源：https://www.ithome.com.tw/news/175748

Adobe本月對10款應用程式及系統發布更新，共修補52個漏洞，其中，該公司呼籲用戶應優先處理電商平臺Adobe Commerce（Magento）的資安漏洞

'

Salesforce推出Agentforce Operations，以AI代理自動化企業後臺流程

來源：https://www.ithome.com.tw/news/175746

企業軟體與CRM服務業者Salesforce推出Agentforce Operations，將AI代理從客戶與員工體驗等前臺互動，進一步延伸到支撐企業營運的後臺流程。這項產品主打以專業的AI代理處理手動、重複性任務， 包括流程協調、資料驗證、合規檢查、核准追蹤， 以及跨系統資料處理。

Salesforce指出，許多企業雖已改善前端使用體驗，但後臺仍仰賴人員在不同系統之間切換、複製資料到試算表，或透過電子郵件追蹤進度，使原本數小時可完成的作業拖延至數天甚至數週。該公司宣稱，Agentforce Operations可讓稽核、入職等流程週期時間縮短50%至70%，手動資料輸入減少80%。

這項產品與Salesforce先前收購企業流程自動化業者Re grello有關，因為它建立在該公司的技術基礎之上。Agentforce Operations可跨電子郵件、ERP與其他業務系統執行任務，並預計6月支援Slack與Microsoft Teams等協作工具，不只是把工作分派給人員，而是讓AI代理在特定規則與流程藍圖下完成工作。

在應用情境上，Salesforce舉例指出，製造商可用AI代理協調訂單履約，檢查庫存、管理核准並安排現場安裝；銀行可用於核貸流程，擷取報稅資料、追蹤缺漏簽名，並依照法規遵循要求驗證資料；保險業則可用於理賠受理與驗證，加速彙整完整案件資料。而在IT服務情境中，AI代理也可協調多個代理，完成身分驗證、權限確認與第三方應用程式存取權限開通。

為降低企業導入門檻，Agentforce Operations提供流程藍圖功能，可將非結構化文件或流程圖轉換為數位藍圖，也提供超過30個現成藍圖，涵蓋發票稽核、入職與採購訂單重新排程等常見工作。Salesforce也強調，每項AI行動都會記錄並對應回流程藍圖，形成稽核軌跡，讓IT與業務團隊可追蹤代理行為。

不過，導入AI代理並不代表企業可直接把所有流程交給AI。VentureBeat報導指出，若企業原本流程設計不完整或過度依賴人員經驗，AI代理依循這樣的架構執行時，可能放大既有問題，因此企業仍需重新檢視流程設計、明確責任歸屬與治理機制。

'

微軟發布5月份例行更新，修補137個資安漏洞

來源：https://www.ithome.com.tw/news/175747

微軟於5月12日發布本月例行更新（Patch Tuesday），總共公開137個由該公司登記CVE編號的漏洞，數量較上個月的165個有所減少。若是加上該公司修補的第三方元件漏洞，總數將達到265個。

值得留意的是，這些漏洞當中，有13個微軟認為很有可能會成為駭客利用的目標，較為值得留意。其中權限提升類型的漏洞占大多數，包括CVE-2026-33835、CVE-2026-33837、CVE-2026-33840、CVE-2026-33841、CVE-2026-35416、CVE-2026-35417、CVE-2026-35435、CVE-2026-40369、CVE-2026-40397、CVE-2026-40398、CVE-2026-41103，影響Windows的Cloud Files Mini Filter Driver、TCP/IP、Windows Win32k（Windows核心模式驅動程式）、Ancillary Function Driver for WinSock、通用事件記錄檔案（CLFS）驅動程式、遠端桌面服務、Azure AI Foundry，以及用於Jira與Confluence的微軟單一登入（SSO）外掛程式。另外兩個是Word遠端程式碼執行漏洞CVE-2026-40361、CVE-2026-40364。

上述很可能會遭到利用的漏洞當中，有4項被評為重大等級，這些漏洞是CVE-2026-35435、CVE-2026-40361、CVE-2026-40364、CVE-2026-41103。根據CVSS風險評分，最危險的是CVE-2026-41103，出現在用於Jira與Confluence的微軟單一登入（SSO）外掛程式，風險值為9.1。

'

勒索軟體組織Nitrogen疑似駭入鴻海取得8TB、上千萬份檔案

來源：https://www.ithome.com.tw/news/175745

媒體報導，鴻海本月稍早遭勒索軟體組織Nitrogen攻擊，被駭客竊走高達8TB、1100萬份生產及客戶檔案。

Cybernews首先報導，在5月初美國廠區發生嚴重IT問題後，勒索軟體Nitrogen操作者本週在其暗網網站將鴻海列為受害者。駭客宣稱取得的檔案包括英特爾、蘋果、戴爾電腦（Dell）、Nvidia的機密指令、專案和設計草圖，以及其他眾多檔案。

駭客並公佈檔案擷圖以證明所言。擷圖分析顯示，當中包含硬體元件描述、工程結構圖、投資文件和財務作業文件部分。公開的元件描述檔案顯示是為Google生產的產品，但無法證實有和蘋果、戴爾或Nvidia相關的文件。

巧合的是，兩週前鴻海位於美國威斯康辛州芒特普萊特山（Mount Pleasant）的園區發生網路斷線事件。事件發生於5月1日凌晨，園區產線無法運作，報導引述員工說，所有產線都被迫停工。而辦公室員工也無法連網，被要求使用個人行動熱點來上網工作。事件持續到5月第一個週末。

鴻海向媒體證實美國園區發生「IT網路問題」。鴻海已立即啟動應變措施確保產線持續、訂單交付以及資料安全。鴻海當時表示IT系統陸續恢復，產線整體運作也維持穩定。

不確定鴻海美國廠區停止運作和資料外洩事件的關聯性，但IT大規模斷線通常和勒索軟體有關。去年秋天英國車廠Jaguar Land Rover疑似遭勒索軟體攻擊，造成二座工廠停工長達一個月。

資安廠商相信Nitrogen崛起於2023年，以施行雙重勒索（double-extortion）聞名。它會先加密受害者電腦檔案，竊取資訊來勒索受害者。若受害者不願支付贖金，就威脅公開資料以逼迫受害者就範。該組織攻擊對象涵括金融、製造、或專業服務業，但其成員身分、活動區域，及和其他組織的關係則眾說紛耘，有人認為和BlackCat/ALPHV有關。

編按 5月12日晚上，鴻海公司在公開資訊觀測站發布重訊，提供有關集團北美部分廠區遭網路攻擊說明，指出資安團隊已啟動應變機制，目前受影響廠區之生產營運均維持正常。

'

SAP修補S/4HANA與Commerce Cloud重大漏洞

來源：https://www.ithome.com.tw/news/175744

5月12日SAP發布本月例行更新（Security Patch Day），修補15個資安漏洞，其中有兩項被評為重大等級，特別值得留意。

這些漏洞是CVE-2026-34260與CVE-2026-34263，兩者的CVSS風險評分皆為9.6（滿分10分）。其中，CVE-2026-34260存在於SAP S/4HANA（SAP Enterprise Search for ABAP），為SQL注入漏洞，未經身分驗證的攻擊者可透過使用者控制的輸入，注入惡意的SQL指令（SQL Statement），此時該應用程式就會將惡意輸入串接成SQL查詢，並在未經適當驗證與處理的情況下，傳送至底層資料庫。一旦成功利用，攻擊者就有機會存取資料庫敏感資訊，或是導致S/4HANA當機，嚴重影響此應用程式的機密性與可用性。

另一個重大漏洞CVE-2026-34263影響Commerce Cloud，起因是Spring Security元件的配置不當，未經身分驗證的攻擊者能上傳惡意組態及注入程式碼，導致任意程式碼執行，嚴重影響機密性、可用性與完整性。

'

奇偶科技影像監控管理軟體系統存在重大漏洞

來源：https://www.ithome.com.tw/news/175739

上個月底奇偶科技（GeoVision）修補影像監控管理軟體系統GV-VMS V20資安漏洞CVE-2026-42369、CVE-2026-42370、CVE-2026-7372，值得留意的是，其中一個風險值達到滿分10分，相當危險

'

微軟警告Dirty Frag出現疑似遭到利用的跡象

來源：https://www.ithome.com.tw/news/175736

5月8日資安研究人員Hyunwoo Kim公開資安漏洞Dirty Frag，此漏洞存在於Linux核心，為本機權限提升（LPE）弱點，攻擊者有機會透過低權限帳號取得root權限，而且，漏洞的影響範圍涵蓋至少6種Linux發行版，這樣的特性，讓人很容易想到4月底公布的Copy Fail（CVE-2026-31431），因此也有研究人員將Dirty Frag稱為Copy Fail 2。值得留意的是，雖然Kim揭露此事的時候指出，網路上有人已公布概念驗證（PoC）程式碼，不過，微軟透露，他們發現疑似有實際利用的情形。

微軟在同一天發布部落格文章指出，他們看到與su有關的權限提升活動，過程裡可能使用了Dirty Frag或Copy Fail。駭客先建立外部SSH連線，並產生互動式的Shell，接著他們執行ELF二進位檔案，隨即透過su進行權限提升。在成功取得權限後，駭客竄改與GLPI LDAP身分驗證有關的特定檔案，並針對GLPI與系統組態進行偵察，然後檢查存在漏洞的指定檔案。

接著，駭客會試圖存取機敏資料，並與PHP連線階段（session）進行互動，先刪除及抹除部分連線階段檔案，再存取剩下的內容。微軟強調，雖然Dirty Fail與Copy Fail存在共通點，都是操縱Linux分頁快取的行為進行提權，但Dirty Fail引入更多的攻擊途徑，使得利用漏洞的成功機會與可靠度，又較Copy Fail更上一層樓。

'