Meta平臺占今年1至4月詐騙案件高達8成以上，政府要求強化演算法從源頭攔截詐騙訊息

來源：https://www.ithome.com.tw/news/175998

行政院打擊詐欺指揮中心(簡稱打詐指揮中心)指出，Meta旗下Facebook、Instagram與Threads已成臺灣詐騙主要來源管道，占比超過8成，造成財損超過13億元。政府要求平臺必須從演算法與偵測機制著手，改採「源頭阻斷」策略，否則不排除修法加重平臺責任與罰則。

打詐指揮中心今天(5/20)公布最新統計，2026年1月至4月期間，臺灣詐騙案件中，為Meta所屬社群平臺涉及詐騙案件數為1.4萬件，占比高達84.31%，包含Facebook、Instagram與Threads等相關平臺造成的財損占比更達86.2%，金額約13.6億元。

該中心指出，社群平臺已成為詐騙集團主要操作場域，特別是原生貼文形式的詐騙內容快速擴散，已嚴重影響民眾財產安全與商家信譽。

詐騙手法假電商與低價商品最常見

從案例手法來看，詐騙內容主要集中在社群貼文與廣告導流，其常見手法，包括假冒政府或農產品名義販售（如蒜頭、芒果等季節性商品）、以iPhone、Switch 2、PS5等熱門商品進行低價促銷詐騙、宣稱「倒店出清」、「新開幕免費送」吸引用戶下單、盜用實體店面街景或圖片提高可信度、在Threads平臺出現大量時事型、季節性商品詐騙內容等等。

這類貼文即使被檢舉下架，仍常以相同內容快速重新上架，形成「重複性詐騙內容循環」。

政府要求平臺改革演算法，建立重複詐騙內容識別機制

打詐指揮中心強調，現行作法僅靠事後刪除已不足以應對詐騙擴散，要求Meta必須有以下更積極的作為，特別是許多詐騙貼文在被檢舉移除後，短時間內又以相同圖文重複上架，顯示Meta的偵測系統存在嚴重技術缺口，要求其修改演算法與偵測系統，建立「重複詐騙內容識別機制」、對已知詐騙內容進行即時攔截、降低詐騙內容曝光與擴散速度。

另外，鑑於社群平臺為商家與手創工作者的命脈，卻常遭詐騙集團冒名開設假粉專，打詐指揮中心呼籲Meta針對在地小型商業經營者提供更便捷、可信的「身分驗證服務」，例如藍勾標誌或其他明確識別，幫助消費者區分合法業者與詐騙帳號，保障合法業者的生存空間。

政府的防詐策略為，防詐重點從「刪除內容」升級為「源頭阻斷與降低傳播」。

加強平臺監管及反詐能力，不排除修法重罰

若平臺持續未改善，政府警告將研議修正《詐欺犯罪危害防制條例》，可能納入「受害者人數」或「詐騙貼文篇數」作為裁罰基準，加重平臺業者的責任，強化平臺在臺營運法律義務。

此外，也將支持受害者透過法律途徑向平臺求償，強化平臺對用戶安全的責任壓力。

行政院強調，未來將整合內政部、數發部、NCC、金管會與法務部等跨部會資源，強化對數位平臺的監管與反詐能力，同時推動民眾識詐教育。

'

GitLab發布安全更新，修補可能導致執行任意JavaScript程式碼、拒絕服務攻擊的多項重大漏洞

來源：https://www.ithome.com.tw/news/175995

全球主要DevOps開發平臺之一的GitLab，近日發布更新，修補Community Edition（CE）與Enterprise Edition（EE）版的25項漏洞，包含多項重大漏洞，可能導致駭客得以執行任意JavaScript程式碼，或是發動拒絕服務攻擊。GitLab建議採用自行管理（self-managed）版本的用戶，儘速升級到已修補的18.11.3、18.10.6與18.9.7等版本，雲端版GitLab.com服務則已完成更新。

這次GitLab修補的漏洞中，最嚴重的是CVE-2026-7481、CVE-2026-5297、CVE-2026-6073與CVE-2026-7377等4個，CVSS嚴重性評分均為8.7分，皆屬於跨網站指令碼（XSS）問題，可能導致攻擊者藉此執行任意JavaScript程式碼。這4個漏洞各自是由不同元件與功能的輸入清理不當（improper input sanitization）所引發，CVE-2026-7481與CVE-2026-7377均與分析儀表板（Analytics dashboard）圖表的功能有關，CVE-2026-5297是源自全域搜尋功能（Global Search），CVE-2026-6073則是存在於AI代理Duo Agent。

綜觀這次GitLab修補的25項漏洞中，跨網站指令碼（XSS）問題為最大宗，占了6項，次之是拒絕服務與授權不當問題，各有5個，其次是存取控制問題，總共有4個。

'

【資安日報】5月20日，CISA驚傳暴露AWS GovCloud金鑰與內部系統憑證

來源：https://www.ithome.com.tw/news/175981

CISA於GitHub暴露AWS GovCloud金鑰、內部系統憑證

根據資安部落格Krebs On Security報導，資安公司GitGuardian發現美國網路安全暨基礎設施安全局（CISA）的公開GitHub儲存庫，存在多個高權限的AWS GovCloud政府雲端服務帳號，以及大量CISA內部系統憑證，由於儲存庫公開的資料透露CISA如何在內部建置、測試及部署軟體，而可能成為近年來美國政府最為嚴重的資料外洩事故，對此，CISA發言人表示，他們已知悉此事並著手調查。此儲存庫被命名為Private-CISA，內容為大量內部CISA與國土安全部（DHS）的憑證與檔案，包括雲端金鑰、權杖（token）、明文密碼、事件記錄，以及其他敏感的CISA資產，疑為承包商維護。

GitHub內部儲存庫遭未授權存取，官方稱客戶資料未受影響

GitHub在社群平臺X證實，該公司正在調查內部儲存庫遭未授權存取事件。目前官方尚未公布事件時間、入侵途徑與受影響儲存庫數量，僅表示尚無證據顯示GitHub內部儲存庫以外的客戶資訊受到影響。該起事件與GitHub內部儲存庫的未授權存取有關，GitHub在這則說明中未提及事件發生時間、入侵途徑、受影響的內部儲存庫數量，也未說明是否涉及憑證、存取權限或內部系統設定等資訊，僅表示正密切監控基礎設施是否出現異常活動。

微軟破獲惡意軟體簽章服務平臺Fox Tempest

5月19日微軟宣布成功瓦解自2025年開始運作的惡意軟體簽章服務（Malware-Signing-as-a-Service，MSaaS）平臺，經營者是以經濟利益為動機的駭客團體Fox Tempest，他們濫用微軟的Artifact Signing系統為惡意程式簽章，使其能暫時躲過資安系統的偵測。值得留意的是，由於Rhysida、INC、Qilin、Akira等勒索軟體駭客組織都採用Fox Tempest的服務簽署惡意程式，進而成功入侵全球數以千計的電腦，這項瓦解網路犯罪服務的活動，將重創網路犯罪生態。

執法行動Operation Ramz查封53臺惡意軟體及網釣伺服器

5月18日國際刑警組織（Interpol）宣布，他們在中東及北非13國執法機關的合作之下，於2025年10月至2026年2月28日展開Operation Ramz行動，針對網路釣魚與惡意軟體活動進行調查，並瓦解惡意基礎設施，共逮捕201名嫌犯，另確認有382人涉及從事網路犯罪活動，查扣53臺伺服器，受害者達到3,867人，這也是國際刑警組織首度在中東及北非地區主導的大規模執法行動。

微軟修改Edge瀏覽器密碼管理機制，避免開機即載入明文密碼

微軟近日宣布修改Microsoft Edge瀏覽器的密碼管理機制，未來瀏覽器啟動時，將不再將所有已儲存密碼以明文（cleartext）載入記憶體，而是改為僅在用戶需要時再進行處理，以降低由此產生的風險。這項變更源自資安研究人員Tom Jøran Sønstebyseter Rønning早先的揭露，指出Edge啟動時，會將所有儲存密碼以明文形式載入記憶體。相較之下，多數Chromium架構的瀏覽器，通常僅在使用者需要的時候，才會解密與載入特定密碼。

Mozilla發布Firefox 151更新，修補逾30項資安漏洞

5月19日Mozilla基金會發布Firefox版本更新，151版強化新分頁Firefox Home的內容呈現方式，並支援用戶在無須關閉視窗的狀態下，清除無痕瀏覽模式（Private Browsing Mode）的連線階段（session）資料，並強化Standard Enhanced Tracking Protection的反追蹤機制，限縮裝置與瀏覽器所能提供的資訊，同時也修補了31個資安漏洞。高風險漏洞有2個是有關記憶體安全的臭蟲，分別被登記為CVE-2026-8973與CVE-2026-8975，值得留意的是，美國網路安全暨基礎設施安全局授權資料發布單位（CISA-ADP）對這兩個漏洞的CVSS嚴重度評分，都達到9.8（滿分10分）。

博通修補VMware Fusion高風險漏洞

5月14日博通（Broadcom）發布資安公告，執行在macOS電腦的個人端虛擬化軟體VMware Fusion存在權限提升漏洞CVE-2026-41702，此為SETUID二進位檔運作因檢查時間及使用時間不一致（TOCTOU）造成的弱點，攻擊者在取得非管理員使用者權限的情況下，可用來將權限升級為root，CVSS風險評為7.8分，為高風險等級，影響25H2版的VMware Fusion，博通已發布26H1版予以修補。

Ivanti修補裝置管理平臺EPM高風險漏洞

資安廠商Ivanti針對裝置管理平臺Ivanti Endpoint Manager（EPM）發布5月例行安全性更新，這次一共修補3項資安漏洞CVE-2026-8109、CVE-2026-8110、CVE-2026-8111，一旦成功被利用，可能導致洩漏資訊、提升權限，或是遠端執行任意程式碼（RCE），該公司發布2024 SU6版更新予以修補。從危險程度來看，這次修補的漏洞有兩個是高風險等級、一個中度風險等級，其中最危險的是CVE-2026-8111，此為SQL注入漏洞，攻擊者在通過身分驗證的情況下，即可遠端執行程式碼，CVSS風險為8.8分。

PostgreSQL資料庫發布更新，修補11項漏洞與60多項程式錯誤

PostgreSQL資料庫全球開發團隊近日發布更新，同步針對所有仍受支援的主要版本提供更新版進行修補，涵蓋14.x、15.x、16.x、17.x與18.x等5個版本，並修補11項漏洞與超過60項程式錯誤。這次PostgreSQL修補的11個漏洞中，最嚴重的是CVE-2026-6637、CVE-2026-6473、CVE-2026-6475與CVE-2026-6477等4個漏洞，CVSS嚴重性評分均為8.8分。

仍有將近3500臺Wazuh主機未修補執行任意程式碼漏洞，暴露於攻擊風險下，用戶需儘速更新

4月底揭露的開源資安監控平臺Wazuh重大漏洞CVE-2026-30893，可能導致攻擊者在受害者網路上橫向移動、覆寫系統檔案，以及執行任意程式碼，CVSS嚴重性評分達9.9分，Wazuh專案已釋出4.14.4版修補。但時隔超過兩週時間後，仍有大量Wazuh用戶尚未完成修補。依據資安監測組織Shadowserver基金會的掃描資料，截至5月17日為止，仍有多達3,416臺未修補前述漏洞的Wazuh主機，暴露於網際網路上，其中臺灣有19臺。

Pwn2Own Berlin 2026爆滿，傳出無法報名的研究員報復性揭露漏洞

根據資安新聞網站HackRead報導，在5月14日至16日於資安大型會議OffensiveCon舉辦的漏洞挖掘競賽Pwn2Own Berlin 2026，傳出因主辦單位Zero Day Initiative（ZDI）無法再處理更多參賽隊伍報名，提早於5月7日停止受理，這種現象在Pwn2Own舉行19年以來首度出現。由於許多研究人員未能參與，他們選擇報復性公開漏洞資訊（revenge disclosure），將手上的漏洞資訊直接提供給軟體開發者，並將細節在網路上公開。

Meta MBBRC首度登臺！祭30萬美元獎金鎖定AI代理等安全

Meta近日於臺北舉辦年度Bug Bounty研究者大會（Meta Bug Bounty Researcher Conference，MBBRC），該場活動首度移師臺灣，於5月6日到5月9日舉行。本屆大會匯集來自26國、80多位全球頂尖資安研究人員，其中包含10位臺灣研究人員，共同進行為期數日的技術研討與漏洞挖掘，參與者若發現漏洞，最遲須在5月29日前提交。Meta現場也祭出重金，針對活動期間發現的漏洞，提供最高30萬美元的獎金。

IBM擴大AI資安工具布局，參與廣泛使用軟體漏洞識別與修補

IBM宣布擴大企業資安工具與服務，以因應攻擊者利用先進AI加快偵察、漏洞發現與利用等攻擊流程的趨勢。這次公告涵蓋運用AI輔助漏洞管理的應用程式風險管理平臺IBM Concert、顧問服務IBM Consulting，以及採多代理架構的資安服務IBM Autonomous Security；IBM也參與AI業者Anthropic推動的Project Glasswing，識別與修補廣泛使用軟體的漏洞，並透過協調式揭露、向上游的開放原始碼專案提交修補程式，以及分享最佳實務等方式，將成果回饋給社群。

多家軟體供應商2026年以來CVE揭露量攀升，Chrome大增563.2%，AI輔助漏洞發掘影響浮現

漏洞情資業者VulnCheck於5月14日發布分析指出，2026年以來，多家軟體供應商的CVE揭露數量明顯增加，其中Google瀏覽器Chrome年增563.2%，VMware、Apache、Mozilla、HPE與F5也都出現顯著成長。該公司認為，這波變化與AI輔助漏洞發掘工具逐漸成熟的趨勢相符，但不能將所有成長直接歸因於AI。至於這波漏洞揭露高峰是否會持續下去，還是只是先進AI模型導入不同程式碼庫後形成的短期現象，仍有待觀察。

面對AI漏洞風暴！資安署籲企業重視基本功，並強調從「預防被打」轉向「迅速復原」

面對先進AI模型引發的資安威脅，已成為各國政府高度關切的重點。例如：美、英、加監理機關與銀行高層，陸續傳出對於相關風險的研討，英國國家網路安全中心（NCSC）亦特別提醒企業，必須先完善內部的漏洞管理機制再嘗試使用AI尋找漏洞。如今臺灣數位發展部資通安全署（資安署）亦發布應對作為，強調在AI用於漏洞挖掘與攻擊的能力快速增長態勢下，政府與企業應強化資安基本功，全面強化數位安全韌性。

因應AI時代資安風險，Dell整合資料保護平臺並擴展威脅偵測能力

隨著AI工具與AI代理應用快速普及，企業面臨AI驅動攻擊與誤操作風險也同步升高，也讓事故發生後的資料復原能力愈加重要，必須提升復原架構的效率，並確保乾淨可用的複本。針對這方面的需求，Dell在近日舉行的Dell Technologies World大會中，發表新的資料保護平臺PowerProtect One，並為PowerStore與PowerMax等兩大主力儲存產品線，新增Cyber Detect威脅偵測服務。

NVMe協定啟動後量子密碼學規格更新，因應量子運算時代加密威脅

負責NVMe儲存協定標準制定的NVM Express聯盟近日表示，正著手更新NVMe協定規格，導入後量子密碼學（PQC）支援，以因應未來量子運算對於現有加密技術的威脅。在日前發表的部落格文章中，NVMe管理介面工作組主席John Geldman說明NVMe協定支援PQC的具體方式與時程，包括採用NIST PQC演算法，還將支援長度更大的金鑰、寬度更大的欄位，以及修訂加密協定的定義，以符合NIST與CNSA 2.0等標準的要求。

微軟預覽伺服器Linux發行版Azure Linux 4.0，可藉此強化安全性

微軟本週在北美開源高峰會（Open Source Summit North America）2026上公布執行於Azure VM上的Azure Linux 4.0預覽版，成為該公司首個執行在雲端伺服器版Linux作業系統。微軟指出，藉由精簡套件、供應鏈透明化強化安全性，並使效能指標從主機到容器一致化。好處是可減少法規限制或敏感性工作負載面臨的攻擊面，且Linux發行版由營運Azure雲端服務的同一團隊維護，也有助於縮小兩個環境的安全空窗。微軟表示，在公開環境開發，並且以上游優先（upstream first）原則貢獻，強化Azure Linux安全性有助於生態體系的擴大。

Redis推出AI代理情境引擎Iris，提供專為資料安全設計的上下文檢索器

即時資料平臺公司Redis推出Redis Iris，整合5項情境與記憶工具，讓AI代理安全檢索企業資料並保存互動記憶，並透過資料同步、語意快取與搜尋取得更新任務情境。其中新推出、以預覽形式提供的Context Retriever，主要用來讓代理存取結構化企業資料，開發者可先定義資料中的實體、欄位、關係與存取規則，系統再自動產生代理可呼叫的MCP工具。代理執行時會以限定範圍的金鑰驗證身分，只能看到被授權的工具，並透過Redis與Redis Search執行索引查詢，伺服器端也會套用列層級過濾。

強化臺灣的通訊基礎韌性，遠傳與Amazon Leo合作引進低軌衛星網路服務

遠傳電信宣布與已和Amazon的旗下低軌衛星網路服務Amazon Leo簽署合作協議，成為其在臺灣的授權經銷商，將高速低軌衛星服務引進臺灣市場，未來將鎖定政府及企業客戶，提供高韌性通訊服務。遠傳總經理井琪表示，低地球軌道（LEO）衛星具備廣覆蓋、低延遲特性，能在山區、海域或極端天候等傳統網路不易涵蓋的環境中提供連線能力，也適合海事、農業與礦業等特殊場域需求。遠傳希望透過導入Amazon Leo，進一步強化臺灣的通訊基礎韌性。

近期資安日報

【5月19日】Linux核心再傳Copy Fail新變種漏洞

【5月18日】臺灣資安廠商DEVCORE於柏林場Pwn2Own奪冠

【5月15日】思科SD-WAN裝置重大漏洞被用於攻擊行動

'