Linux再爆本機提權漏洞，兩週內已經找到第三個

來源：https://www.ithome.com.tw/news/175850

繼Copy Fail、Dirty Frag這兩個涵蓋多個Linux發行版的本機提權漏洞（LPE）揭露，本週三（5月13日）又有資安研究人員揭露新的這類型漏洞，稱為Fragnesia，透過V12團隊的GitHub頁面公布利用該漏洞的概念驗證程式（PoC）、緩解與修補方式，並表示所有受Dirty Frag影響的Linux發行版都無法倖免。

目前已有多個Linux發行版本發布相關公告，包含AlmaLinux、Amazon Linux、CloudLinux、Debian、Gentoo、Red Hat Enterprise Linux、SUSE、Ubuntu。

Fragnesia漏洞的編號當天被定為CVE-2026-46300，CVSS嚴重度評分為7.8，存在Linux核心的XFRM ESP-in-TCP子系統，攻擊者可濫用邏輯漏洞，在本機系統中，將任意位元組的資料寫入唯讀檔案的核心頁面快取（Kernel Page Cache），且不需任何競態條件。資安廠商Wiz表示，已進入本機、未取得系統權限的攻擊者，能修改核心頁面快取中的唯讀檔案內容。

發現Fragnesia漏洞的研究人員是隸屬V12團隊的William Bowling表示，Fragnesia是與Dirty Frag同類型的漏洞，因為它也是源於Dirty Frag、同樣存在ESP或XFRM的另一個程式臭蟲，而且，已經有專屬修補程式，但它和Dirty Frag有相同的攻擊面與緩解方式。他還提到之所以將此漏洞命名為Fragnesia，是因為關鍵問題在於，用來存放網路封包核心資料結構的socket緩衝（socket buffer，skb）「忘記」記憶碎片（fragments）也會在Linux網路堆疊合併封包處理期間（coalescing）被共享。

若將Fragnesia一詞拆解，試著從字面上理解，Frag是指記憶碎片，nesia字尾通常代表與記憶有關的事物，例如hypermnesia是記憶增強、paramnesia是記憶錯誤。

對於Fragnesia漏洞的理解，Wiz表示，Fragnesia是在Linux XFRM ESP-in-TCP實作中的邏輯瑕疵，尤其是涉及socket緩衝合併封包（skb coalescing）期間對共享快取碎片的不當處理。

微軟威脅情資團隊則透過社群網站X快速解讀Fragnesia，他們認為Fragnesia濫用XFRM ESP-in-TCP子系統的漏洞，目的是為了能存取Linux核心的記憶體寫入原語（primitive），該原語後續可用於/usr/bin/su這個二進位檔的頁面快取記憶體，進而啟動具有root權限的shell，而且，此漏洞濫用不限於/usr/bin/su，能修改所有使用者可讀取的檔案，包括/etc/passwd。

A new variant of the recent Dirty Frag vulnerability, named Fragnesia (CVE-2026-46300), has been discovered in the Linux XFRM ESP-in-TCP subsystem. Similar to Dirty Frag, Fragnesia exploits a vulnerability in the XFRM ESP-in-TCP subsystem to achieve a memory write primitive in… — Microsoft Threat Intelligence (@MsftSecIntel) May 13, 2026

而在微軟5月8日對於Dirty Frag的資安公告中，也特別為Fragnesia增列更新資訊。微軟向所有使用者與組織呼籲，強調Fragnesia漏洞修補方式已釋出，雖然目前尚未觀察到大量濫用的跡象，應盡快執行更新以套用修補，若所用的Linux發行版尚未提供修補，也可套用Dirty Frag漏洞的既有緩解措施。該公司旗下的資安軟體Microsoft Defender也能利用既有偵測Dirty Frag漏洞濫用的方式，提供保護，透過Trojan:Linux/DirtyFrag.DA!MTB或Trojan:Linux/DirtyFrag.Z!MTB這兩組特徵碼，可識別與封鎖已公開的Fragnesia漏洞濫用概念驗證程式碼。

'

今年2月修補的思科SD-WAN系統高風險漏洞，已有多組人馬用於實際攻擊

來源：https://www.ithome.com.tw/news/175845

本週思科警告Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage）最新資安漏洞CVE-2026-20182遭到利用，威脅情報團隊Talos透露攻擊者的身分是UAT-8616。不過，在公開上述漏洞如何遭到利用的同時，Talos也透露有人試圖利用其他已知漏洞攻擊思科SD-WAN設備的情況。

Talos從今年3月至4月，掌握一系列有別於UAT-8616的駭客團體，利用今年2月下旬修補的任意檔案覆寫漏洞CVE-2026-20122、權限提升漏洞CVE-2026-20126，以及資訊洩露漏洞CVE-2026-20133（CVSS風險值為7.1、7.8、7.5），攻擊尚未修補的思科SD-WAN系統，Talos一共看到10波攻擊活動共通點是駭客透過公開的概念驗證程式碼（PoC）利用上述漏洞。得逞後他們就對SD-WAN系統部署web shell，並執行bash指令。在大部分的漏洞利用活動裡，駭客都是使用與前述概念驗證程式碼搭配的JSP web shell，Talos將其命名為XenShell，但也有部署其他作案工具的情況，其中包括Godzilla、Behinder、AdaptixC2、Sliver，此外駭客也試圖植入挖礦軟體XMRig、隧道工具Gsocket，以及竊資軟體。

雖然上述3項漏洞僅被評為高風險等級，不過Talos強調，一旦被串連利用，攻擊者就能在未經身分驗證的情況下，取得SD-WAN的存取權限，因此他們強烈呼籲用戶要儘速套用更新軟體。

'

OpenAI推出手機版Codex，可隨時接管AI程式任務

來源：https://www.ithome.com.tw/news/175844

OpenAI週四（5/14）宣布，在ChatGPT手機App中推出Codex預覽版功能，讓開發者即使不在電腦前，也能透過手機查看、指揮與批准Codex正在執行的工作。

Codex是OpenAI推出的AI軟體工程代理人（Software Engineering Agent），可協助撰寫程式、修Bug、執行測試與處理整個開發流程。OpenAI近來持續擴大Codex的使用入口，從Web版ChatGPT、命令列介面（CLI）、整合開發環境（IDE）與桌面版Codex App，延伸到這次新增的ChatGPT手機App。

OpenAI表示，目前每週已有超過400萬人使用Codex，且隨著AI代理人開始承擔更長時間的工作，開發者與Codex之間也形成新的協作節奏。為了讓工作持續推進，使用者需要能隨時回答Codex的問題、檢視其發現、調整方向、批准下一步行動，或補充新的想法，因此OpenAI將Codex帶進ChatGPT手機App。

在ChatGPT手機App中，使用者連上正在執行Codex的裝置後，不論是筆電、專用Mac mini或企業管理的遠端環境，App都會載入該環境的即時狀態。使用者可透過手機切換不同工作執行緒、審查輸出結果、批准命令、切換模型，或建立新任務；而檔案、憑證、權限與本地設定仍保留在Codex實際執行的機器上，手機端則會即時接收截圖、終端機輸出、程式差異、測試結果與批准請求。

例如，開發者可在等咖啡時先讓Codex調查程式錯誤、重現問題並執行測試；也可在通勤途中檢視Codex提出的重構方案並選擇方向，讓任務在回到電腦前持續推進。

OpenAI亦宣布全面開放Codex中的Remote SSH功能，讓Codex可透過SSH連接企業管理的遠端開發主機，在受控環境中建立專案與執行開發任務。

目前Codex預覽版功能已開始在iOS與Android版ChatGPT App中逐步推出，適用於所有方案，包括Free與Go，並涵蓋所有支援地區。不過，現階段手機只能連接macOS版Codex App，之後才會支援Windows版Codex App。

'

美國傳允許10家中國公司採買Nvidia H200晶片，1家最多7.5萬顆

來源：https://www.ithome.com.tw/news/175842

伴隨剛落幕的川習會，路透社報導，美國已批准阿里巴巴、騰訊等10家中國企業採購Nvidia H200晶片，在許可期間1家公司最多可採購7.5萬顆。

本週美國總統川普偕同包括蘋果執行長庫克（Tim Cook）、特斯拉執行長馬斯克（Elon Musk），以及輝達（Nvidia）執行長黃仁勳等17名科技及產業高層前往稍早於北京舉行的川習會。其中黃仁勳是在最後才加入造訪的美國團隊。川習會也在週四（5/14）落幕。

路透社引述消息人士報導，美國已批准阿里巴巴、騰訊、字節跳動（ByteDance）及京東（JD.com）等10家中國企業採買Nvidia高階AI晶片H200。此外，聯想（Lenovo）及鴻海也獲得銷售H200的代理商資格。這10家獲准的企業可以直接向Nvidia或代理商採購晶片，在美國授權期間，每家中國公司最多能買7.5萬顆晶片。

聯想向路透社證實是獲准在中國銷售Nvidia H200晶片的業者之一。不過Nvidia、阿里巴巴、騰訊、字節跳動及京東等公司皆未回應。

中國工信部、中國國家發展和改革委員會也未回應。美國商務部則拒絕評論。

作為全球市值最高及AI晶片龍頭，Nvidia在此行的成果最引人注目，因為過去幾年Nvidia向中國銷售高階AI晶片受到美國出口管制限制。2023年起美國商務部擴大禁止Nvidia高階晶片出口中國。2025年4月美國政府禁售低階的H20給中國，同年12月批准銷售H200晶片，但需附帶25%關稅。今年1月，美國正式放行以逐案審查方式允許先進晶片出口至中國。

北京政府也採取反制措施，禁止當地企業採購Nvidia的H200晶片，要求本土科技大廠轉向使用華為的Ascend（昇騰）系列等國產AI晶片，以達成技術自立。

本月稍早黃仁勳公開指出，該公司晶片在中國市佔率已從之前的超過90%，跌到幾乎是零。

'

駭客組織UAT-8616積極利用思科Catalyst SD-WAN系統滿分零時差漏洞

來源：https://www.ithome.com.tw/news/175840

思科公布重大漏洞CVE-2026-20182，此漏洞存在於Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage），並表示產品安全事件回應團體（PSIRT）在本月發現有限度的攻擊行動，該公司威脅情報團隊Talos也公布調查結果，指出利用該漏洞的駭客組織，就是他們在2月揭露、曾經利用另一個漏洞CVE-2026-20127發動攻擊的駭客組織UAT-8616。

UAT-8616在成功利用CVE-2026-20182之後，就會試圖新增SSH金鑰、竄改NETCONF組態設定，並升級至root權限，這樣的作法，這作法相當類似該組織利用CVE-2026-20127後的活動。Talos提到，這些駭客發動攻擊的基礎設施，與他們密切監控的操作中繼盒（Operational Relay Box，ORB）網路環境有所交集。

'

叡揚資訊延攬前總統府二局局長馬正維，強化推動數位韌性

來源：https://www.ithome.com.tw/news/175838

迄今成立40年的臺灣軟體業者叡揚資訊，日前延攬前總統府第二局局長馬正維，擔任該公司數位韌性辦公室執行長。這項人事任命備受業界關注，不僅因為馬正維在公部門深耕逾37年，親身參與國家最高層級資安與機要管理工作，更因為他的加入，象徵臺灣民間資訊服務業在「數位韌性」議題上，正全面接軌國家戰略視野，向企業治理層次邁進。

從總統府走向民間，公職37年的韌性積累

馬正維在政府部門服務歷任多個資訊與資安要職，退休前最後的崗位是總統府第二局局長。第二局是總統府內負責文書處理、印信檔案管理、榮典作業及數位資訊安全的核心機要單位，長期守護著臺灣最高行政機構的資訊安全。

「在公部門服務時，我本來就在做資安的工作，」馬正維表示，「在總統府任職期間，資安韌性的要求極高，一個細小的疏漏都可能引發外界對政府運作的質疑。」他透露一個不為人知的小秘辛：總統府的官方網站訂有內部規範，若網站無法正常對外提供服務，容許的最長中斷時間只有15分鐘。

表面上，總統府網站僅是提供公開資訊的平臺，但服務若中斷，外界往往直覺聯想「是不是發生了什麼大事」，國家形象與社會信任的損耗難以估量。這個細節，恰恰說明了數位韌性對公部門的重要性——它不只是技術問題，更是治理與公信力的核心議題。

退休後，馬正維選擇加入叡揚資訊，擔任數位韌性辦公室執行長，而非就此全身而退。「退休後，希望還可以對臺灣產業貢獻，」他說。這份使命感，正是他選擇投身民間科技產業的動力所在。他在經濟部服務期間，也對能源、油水電等關鍵基礎設施有深入了解，這些跨領域的公部門歷練，將成為他在民間推動韌性工作的重要底蘊。

韌性不只是從危機中復原，更要在逆境中茁壯

馬正維指出，現代企業與政府面對的挑戰，已遠遠超過傳統資安防護的範疇。地緣政治的緊張局勢，不僅造成全球網際網路加速分裂為區域性陣營，也使技術堆疊（Tech Stacks）面臨分裂壓力，影響跨境連接。

目前資料本地化要求日趨嚴格，企業對資料存取與管理的精準度必須大幅提升，再加上新型態的網路攻擊、AI工具的普及，以及供應鏈的突發中斷等，馬正維坦言，上述的技術趨勢發展，都讓各種緊急狀況的頻率與嚴峻程度不斷攀升。

「韌性不只是從危機中快速恢復，而是能不能藉由這樣的機會，讓你可以更快地反彈，甚至蓬勃發展，」馬正維說。他也引用麥肯錫研究指出，約三分之二的企業認為，韌性對戰略進展至關重要，而數位、技術與營運正是其中最關鍵的領域。他表示，具備韌性的企業，在經濟低迷期間表現優於同業，並以更快的速度進入復甦後的「新常態」。

「韌性的真正價值，在於超越復原——不能只是復原，要在逆境中再實現更好的成長，在競爭中脫穎而出。」這個觀點，或許也正是叡揚資訊設立數位韌性辦公室的核心理念，因為「韌性不是被動的防禦，而是主動的戰略布局。」

從合規到治理：企業韌性的進化路徑

馬正維也進一步梳理企業建構數位韌性的演進路徑，他建議先從合規起步，再走向治理融合。

他也以目前在全球範圍內，重塑規則的三大國際法規作為企業法遵的框架。首先，是針對產品安全的CRA（網路韌性法），強制要求「Secure by Default」的安全設計原則，要求廠商提供SBOM（軟體物料清單）並落實全生命週期的漏洞更新，因為這已成為進入歐盟市場的門檻條件，而非選配項目。

其次是針對金融業的DORA（數位營運韌性法案），它不僅要求金融機構本身強化韌性，更延伸至供應鏈管理，第三方ICT服務業者的納管責任也一併納入，該項法律也強制實施「威脅引導滲透測試」（TLPT）。

第三，則是針對歐盟境內關鍵基礎設施服務商的NIS2指令，將治理責任直接拉升至董事會層級，C-Level的高階主管需承擔個人法律責任；一旦違規，公司最高可被處以全球營收2％的罰款。

「合規已經是一個基本要求，而不再只是我們可以做、努力做的一個環節，」馬正維表示，這意味著，企業必須從被動的合規應付，走向主動的治理融合，例如：將資安防禦與營運持續（ISO 27001與ISO 22301）整合為一個韌性閉環（Closed Loop），形成以治理為核心的框架。

NIST CSF 2.0正是這一趨勢的體現。馬正維進一步說明，在原有1.0版的識別、保護、偵測、回應、復原五大功能之外，新增了「治理（Govern）」作為2.0版的核心，並強調由董事會層級推動，以確保韌性策略融入整體組織運作。

馬正維同意說道：「叡揚資訊推動韌性，不只要做到公司本身加強韌性，也要提供能讓客戶應對這樣變局的韌性服務。」他舉例說明，叡揚資訊不僅協助客戶理解CRA等歐盟規範的安全設計要求，也提供包括SBOM製作的合規服務，讓客戶的產品在市場上更具競爭力與保障。

AI是一把雙面刃，兼具超級智能的威脅與韌性的可能

馬正維也非常關注當前最受矚目的AI技術發展，特別是Anthropic尚未對外公開的超級AI模型，內部代號「水豚」（Capybara），也被外界稱Claude Mythos。

他引述一份2026年4月的深度研究報告，描述這個AI模型已從傳統的「被動接收指令」，進化為能夠「自己寫程式、自己修改自己、爆發式成長」的自我迭代超級工程師。

其能力之強令人難以想像，例如：對於以極端安全著稱的OpenBSD系統，它能挖掘出隱藏長達27年的TCP協定缺陷，實現僅憑連線即可觸發的阻斷服務攻擊；它也能找出已在全球多媒體資料庫潛伏16年、且曾避開超過500萬次自動化掃描的深層漏洞；在取得高控制權限漏洞的搜尋能力上，它更以181比2的壓倒性比數，徹底超越前一代AI。

面對如此強大的破壞潛力，馬正維坦言，看到這份報告的第一反應，就是聯想到電影《不可能的任務：最終清算》那個試圖控制全球網路、操縱輿論、乃至掌控各國核武庫的超級AI「Entity」。他除了思考那樣的情境是否發生，也擔心世界上會不會真的存在無法被控制的AI。

然而，這個故事也有其轉折。正因為Claude Mythos的能力過於強大且危險，Anthropic的團隊決議不對外發布，反而啟動了「Glasswing計畫」——投入一億美元資金，與微軟、Google等超過40家科技巨頭合作，讓這個超級AI搶先一步，替全球關鍵基礎設施找出並修補漏洞，將原本最致命的駭客工具，轉化為守護人類的「數位免疫系統」。

在防護機制層面，Anthropic正在研究兩個方向，防禦方向一是「機械可解釋性」（Mechanistic Interpretability）——直接讀取與解析神經網路中的「想法」與「情緒概念」，在危險發生前，從思維源頭直接修改並消除失控風險。

防禦方向二就是，發展類似「世界人權宣言」等級的「憲法AI」機制，將「不傷害人、且對人類有益」的最高道德標準寫入底層架構，作為一道嚴格的憲法機制（Constitutional Filter），全面監督AI的所作所為。

馬正維也提到，Anthropic因拒絕美國軍方要求將其AI用於開發「全自動致命武器」，不僅喪失了可觀的商業利益，還遭美國國防部以「不安全的控制鏈」為由起訴，禁止雙方合作，相關案件至今仍在法院審理。這清晰地呈現科技公司在巨大政治與商業壓力下，堅守道德底線的艱難抉擇。

「到底AI是一個威脅，還是我們人類可以善用AI來變成我們的護盾？」馬正維認為這個問題沒有簡單的答案。但他表示，關鍵在於「能否建立足夠的防護框架」，包括：極端安全的實驗室環境、24小時由專職安全AI監控系統內任何異常行為模式，以及推動各國政府跨國合作、制定防止技術失控的國際法規。

馬正維表示，有科學家預估，未來幾年內訓練安全超級AI的資金需求，可能高達100億至1,000億美元，規模堪稱「國家級投資」。

政府推動全社會防衛韌性，就是數位韌性的國家級實踐

「全社會防衛韌性委員會」是總統賴清德上任後成立的三大委員會之一，設有三大總目標：確保政府核心功能不中斷；維持社會民生核心服務穩定運行，以及在必要時協助國防需求。馬正維回憶，委員會第一次開會就進行整整5個小時，足見政府對這項工作的高度重視。

這個框架以數位韌性為神經中樞，整合國安會、內政部、經濟部、衛福部、金管會等跨部會資源，將數位韌性深植於民力、物資、能源、醫療、金融等五大關鍵領域網絡之中。其中，他也說，通訊網絡作為核心基礎設施，串聯五大主軸，支撐整體決策與應變行動。

在通訊韌性的具體措施上，政府規畫海、空、陸多重立體備援架構：強化海纜法律地位與防護，並增建國內外備援海纜；整合低、中、高軌衛星群（包括OneWeb、SES、Astranis等），建立政府專屬與商用應變網路；同時設置高抗災基地臺並與電網共構，落實災區跨網漫遊機制。

馬正維特別指出，若主要依賴的海纜中斷，必須有備援方案確保核心系統持續正常運作，這也是整個通訊韌性設計的核心邏輯。

在行政部門的關鍵民生系統韌性方案上，政府投入13.4億元，鎖定內政、經濟、交通、財政、衛福、勞動等六大部會的關鍵系統，以四大核心原則為選定標準：災時所需核心功能、可辨識民眾身分或親屬、涉及民眾財產與權益，以及動員所需人力物資。這些系統必須確保在緊急狀態下，仍能正常運作。

雲端技術策略方面，政府規畫了三個階段的應變架構：承平整備期將核心系統模組化，加密後分散備份至境外公有雲；災害應變期則在地端中斷時，啟用衛星與行動網路重新連結雲端資料；確保最小營運階段，由雲端調用核心功能，維持社會最低基本運作底線。

醫療數位韌性因其資料高度敏感性，更是採用「主權雲」概念，訂定八大方針進行分級治理，包括全程加密與金鑰自主、絕對資料在地化、法律優先性、數位韌性與雙活架構，以及電子病歷系統的備援、備份、加密及入侵應變復原能力等，定位為準國安等級防護。

叡揚資訊角色轉變，從服務提供者到韌性夥伴

對於叡揚資訊在數位韌性時代的定位，馬正維有著清晰的思路。事實上，叡揚資訊本身就是眾多企業與政府機關的資訊服務提供商，提供各種客製化軟體開發與雲端服務。在這樣的身分下，如何在挑戰不斷升級的環境中，持續而穩定地提供服務，本身就是一個韌性課題。

「叡揚資訊很重視韌性這件事，希望可以在這個地方加強，尤其隨著AI讓攻擊變得越來越容易，」馬正維說。他認為，韌性是一個綜合性的環境建置，涵蓋基層硬體、軟體、通訊網路，到應用系統、AI安全，每個環節都至關重要。「一有環節出問題，韌性就不見了，像是網路通訊服務中斷了、系統就無法運作。」這提醒企業，韌性必須從全局視角出發，而非僅聚焦單點防護。

他也坦言，目前叡揚資訊雖然提供很多韌性相關方案，但終究無法涵蓋所有領域，因此韌性辦公室的成立，正是希望系統性地補強這塊缺口，協助客戶從合規起步，到建立真正可落地的韌性能力。在政府端，叡揚資訊也希望能在雲端架構上，扮演更積極的角色，作為政府數位韌性不可或缺的支援夥伴。

公私交流，共同建立臺灣韌性生態

在臺灣面對複雜地緣政治環境、AI技術快速演進、法規標準持續強化的當下，公私部門之間的經驗交流與協作，比以往任何時候都更加迫切。馬正維從公部門到民間的轉換，不只是個人職涯的新篇章，更是這種跨界協作的具體實踐。

「在政府部門累積了很多公部門的經驗，希望可以到民間多多交流，」他說，「民間韌性需求越來越大，從韌性到治理都有進步，需要更多的經驗交流。」

他也提到，過去在經濟部任職時，對油、水、電等能源關鍵基礎設施有著深入的了解，這些CI（關鍵基礎設施）的韌性防護，是整體數位韌性不可切割的一部分。政府端的能源CI若能與企業端的資訊系統韌性緊密配合，臺灣整體的抗風險能力才能真正提升。

馬正維指出，叡揚資訊接下來也會持續深化在全球合規、雲端韌性架構、AI安全防護等領域的能量，為臺灣的企業與政府機關，提供布局全球合規與技術實踐的最佳支援。他更相信，「在變局中領航：數位韌性是企業跨越世代挑戰的必備基因。」

'

日本啟動內閣層級資安戰略檢討，因應先進AI帶來的新型防禦挑戰

來源：https://www.ithome.com.tw/news/175837

Anthropic於4月公布Claude Mythos Preview後，引發美國、英國與加拿大等國金融監理機關的關注。這類先進AI模型若被用於攻擊情境，可能加快漏洞的發現與利用，使政府系統與金融服務等關鍵基礎設施面臨更大的防禦壓力。

根據《The Register》報導，日本首相高市早苗於5月12日內閣會議中，指示網路安全擔當大臣松本尚與相關內閣成員採取行動，檢查政府系統是否具備偵測與修補漏洞的能力，並研擬協助關鍵基礎設施營運者強化防禦的措施。日本政府也計畫召開相關部會會議，由內閣官房轄下的國家網路安全室主導後續工作。

金融系統是日本這波因應行動的重點之一。路透社報導，日本財務大臣片山皋月表示，金融廳準備成立公私部門工作小組，討論Mythos等AI模型可能對金融系統造成的資安風險。參與單位包括瑞穗金融集團等大型金融機構與網路銀行、日本央行（Bank of Japan），以及Anthropic與OpenAI的日本分支機構，共36個組織。

除了日本之外，印度證券監管機關、澳洲證券投資委員會ASIC與歐洲央行（ECB）近期也針對AI輔助網路攻擊風險提出應對的要求或警告。路透社5月13日報導，ECB要求歐元區銀行加速因應AI驅動的資安威脅，並指出即使尚未取得Mythos等模型存取權，也不代表能延後準備工作。

'

CISA下令聯邦機構3天內修補思科Catalyst SD-WAN控制器重大漏洞

來源：https://www.ithome.com.tw/news/175836

5月14日思科揭露CVE-2026-20182，此漏洞存在於Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage），為風險值達到滿分10分的重大漏洞，當天美國網路安全暨基礎設施安全局（CISA）也發布警訊，將此漏洞列入已遭利用漏洞名冊（KEV），要求聯邦機構必須在5月17日之前完成修補。

與其他列入KEV的漏洞有所不同的是，這次CISA也要求所有聯邦機構根據今年2月發布的緊急指令ED 26-03，盤點思科SD-WAN系統，調查是否出現利用CVE-2026-20182的入侵跡象，CISA此次採取不尋常的作法，也顯示該漏洞造成的資安風險，已經超過其他滿分資安漏洞。

'

Red Hat擴展主權雲與私有雲能力，強化資料駐留、區域支援與AI模型生命週期控管

來源：https://www.ithome.com.tw/news/175829

開源解決方案供應商Red Hat（紅帽）宣布擴展主權雲（sovereign cloud）與私有雲（private cloud）功能，更新項目涵蓋合規自動化、隔離式部署、區域內支援與AI服務部署，回應企業在資料駐留（data residency）、法規遵循與關鍵工作負載控管等議題的需求。

在法規遵循方面，主權雲與私有雲不只要求資料留在特定區域，也要求企業能持續提供安全設定與技術控制的佐證資料。紅帽新增Red Hat OpenShift Compliance Operator的合規性設定檔（Compliance Profiles），並整合Kubernetes原生應用防護平臺Red Hat Advanced Cluster Security for Kubernetes，協助企業自動化技術審查，產生支援NIS2、GDPR與DORA等法規所需的佐證資料，降低稽核準備負擔。

在部署面，紅帽鎖定主權雲與私有雲初期建置流程，推出跨平臺安裝程式，可自動建立預先配置的隔離運算平臺，涵蓋Red Hat Enterprise Linux、Red Hat OpenShift與Red Hat Ansible Automation Platform。這類「登陸區（landing zone）」可視為預先配置的雲端部署基礎環境，會在啟動時套用基礎控制與營運防護機制，讓企業更快部署經過強化、並符合法規要求的工作負載。

面對AI工作負載需求，紅帽新增服務布建介面（service provisioning interface），讓合作夥伴與客戶可在Red Hat OpenShift上部署虛擬機器、叢集與AI服務，並支援GPU即服務（GPU-as-a-service）、模型即服務（models-as-a-service）與推論即服務（inferencing-as-a-service）等元件，建置具備AI能力的私有雲。。

在營運支援方面，主權雲不只涉及資料儲存位置，也牽涉支援過程中的診斷資料是否會跨境流動。紅帽也在美國與歐盟市場提供Red Hat Confirmed Sovereign Support。傳統全球支援模式常由不同時區的支援團隊接續處理問題，可能導致診斷資料跨境流動。這項服務則採區域隔離方式，處理客戶上傳的診斷日誌、組態與sos報告等敏感資料，並透過角色型存取控制（Role-Based Access Control，RBAC）限制案件中繼資料的可見範圍。

若問題需要全球工程團隊協助，紅帽會建立移除敏感資訊後的鏡像案件（mirror case），讓全球工程師參與分析，同時將原始敏感資料保留在區域邊界內。

在成本管理方面，Red Hat Lightspeed現在可在客戶可控環境內提供Red Hat OpenShift成本管理遙測（telemetry）功能，讓企業掌握雲端支出，同時減少將營運資料傳送至主權邊界外的需求。

生態系方面，紅帽也透過與雲端、AI基礎架構與企業IT業者合作，擴大主權雲與私有雲部署選項。紅帽表示，其平臺已取得Nvidia Cloud Partner（NCP）計畫的AI Cloud Ready狀態，可支援主權AI雲與新型雲端服務（neocloud）部署；該公司也與Google合作推出隔離式雲端基礎架構Red Hat OpenShift on Google Cloud Dedicated，提供給對控制權與效能有較高要求的企業使用；同時，紅帽宣布IBM主權雲與私有雲解決方案IBM Sovereign Core，採用Red Hat產品組合作為底層基礎。

'

思科Catalyst SD-WAN控制器曝重大身分認證繞過漏洞

來源：https://www.ithome.com.tw/news/175835

5月14日思科發布資安公告，Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage）的對等身分驗證流程存在漏洞，未經身分驗證的攻擊者可遠端繞過驗證流程，並得到系統管理權限，此漏洞登記為CVE-2026-20182，CVSS風險評為10分（滿分10分），屬重大風險等級，相當危險，而且，無論本地建置的SD-WAN環境，或是由思科代管的雲端版本都會受到影響。值得留意的是，已發現遭到利用的跡象，該公司已發布更新版完成修補，並強調沒有其他解決方法，呼籲用戶儘速更新。

此弱點發生的原因，在於對等身分驗證運作機制異常，攻擊者可向存在漏洞的系統發送特製請求觸發漏洞。一旦成功利用，攻擊者就能以root以外的高權限帳號登入SD-WAN控制器，並利用該帳號存取NETCONF管理介面，然後竄改SD-WAN架構的網路設定。通報漏洞的資安公司Rapid7表示，他們近期在調查CVE-2026-20127漏洞利用活動過程裡，發現了CVE-2026-20182，此漏洞影響與封包傳輸層安全（DTLS）有關的vdaemon服務及UDP 2346埠，但並非因CVE-2026-20127修補程式遭繞過而造成的問題，而是另一個完全不同的新漏洞。

對於該漏洞帶來的影響，Rapid7指出攻擊者可用來執行特權操作，例如，將攻擊者控制的公鑰注入使用者帳號vmanage-admin授權SSH金鑰檔案，一旦這麼做，攻擊者就能以vmanage-admin的身分存取NETCONF服務，並執行任何的NETCONF指令。

'

Google傳測試將未連結電話號碼的新帳戶雲端儲存限縮至5GB

來源：https://www.ithome.com.tw/news/175834

Google可能正在測試，未連結電話號碼的新帳戶只能分配5GB免費雲端儲存空間。

一名代號sungusungu的用戶近日註冊新Gmail帳號時接獲Google跳出的選項訊息告知，將獲得5GB雲端儲存空間。但如果用戶選擇將電話號碼連結到帳戶，則可享有15GB雲端儲存空間，作為儲存Gmail、Google Drive及Photos之用。

目前Google可能還在局部測試，因為有使用者表示剛註冊Gmail帳號並未被要求提供電話號碼。

新措施的原因為何，Google簡單說明，電話號碼將用於確保讓雲端儲存只為一人所用。部份Reddit使用者猜測Google此舉純粹是為了蒐集用戶資訊。Google尚未就此回應媒體詢問。

其實現在桌機及手機上註冊Google帳號都會被要求提供電話號碼，但用戶還是可以選擇跳過。至於為雲端空間重新提出該要求，可能是節省成本考量。

9to5Google分析，和其他公司一樣，現在Google也面臨成本高漲（如訓練和執行AI）及記憶體和儲存硬體短缺的挑戰。雖然使用者可以有多支電話號碼或是使用拋棄式門號等作法來繞過最新限制，但仍在一定程度內減少Google雲端儲存的濫用。

'

Xcode 26.5更新程式開發助理，並支援StoreKit新版訂閱測試

來源：https://www.ithome.com.tw/news/175832

Apple程式開發工具Xcode 26.5納入Swift 6.3.2，以及iOS 26.5、iPadOS 26.5、watchOS 26.5、tvOS 26.5、macOS 26.5與visionOS 26.5軟體開發套件。更新重點在於程式開發助理的互動能力、StoreKit訂閱測試支援，以及多項開發、測試與效能分析工具修正。

Xcode 26.5的程式開發助理新增訊息佇列功能，使用者可先送出多個問題或工作要求，再由系統依序處理。Apple也提到，程式開發助理中的代理功能現在能主動提出釐清問題，以便在需求不夠明確時取得更多資訊。該調整讓開發者可在同一輪操作中先排入多個請求，並在需求不明確時依助理追問補充條件，較適合分段處理開發工作。

新版也修正程式開發助理相關問題，包括部分測試工具呼叫可能產生格式錯誤資料，以及使用Claude Code時可能出現OAuth權杖過期錯誤訊息的情況。

Xcode內建的StoreKit Testing工具也擴充訂閱測試能力。StoreKit是Apple提供給App開發者處理App內購買與訂閱的框架，常用於付費功能、數位內容解鎖、自動續訂訂閱等情境。開發者可在StoreKit設定檔中，替自動續訂訂閱建立月繳且承諾使用12個月的計費方案，並透過Xcode的交易管理工具模擬使用者訂閱。團隊可在上架前測試較複雜的收費條件，不必等到正式環境才確認流程是否正確。

其他修正則集中在效能分析、模擬器與測試環境。Instruments修正符號視窗搜尋欄位輸入時，每輸入一個字元就建立一個搜尋條件的問題，也修正使用Metal系統追蹤搭配GPU計數器擷取資料時，可能讓記憶體用量暴增到數十GB的情況。Simulator修正剪貼簿同步失效問題，測試工具也修正iOS 15模擬器無法執行測試的問題。

官方也列出幾項已知限制，平行測試等情境若同時讀取多個程序的標準輸出與標準錯誤輸出，結果可能明顯延遲。Swift方面，啟用特定並行預設設定的專案，可能遇到閉包隔離判斷問題。Apple建議移除不必要的明確擷取，或改用明確標示執行隔離狀態的區域函式。Xcode 26.5支援iOS 15、tvOS 15、watchOS 8與後續版本的實機除錯，並要求Mac執行macOS Tahoe 26.2或後續版本。

'