因應軟體供應鏈攻擊，NPM新增套件暫存發布機制，降低惡意版本散布風險

來源：https://www.ithome.com.tw/news/176043

2025年下半NPM生態系發生Shai-Hulud 2.0供應鏈攻擊後，GitHub公告將強化NPM套件發布流程安全性，其中一項措施是套件暫存發布（staged publishing）。這項機制讓維護者可在套件正式公開前，先檢查暫存套件的內容，再決定是否核准發布。目前，這項功能已合併至NPM CLI專案，新增npm stage相關命令。

根據NPM官方說明文件，開發者可先透過CI/CD流程將套件送入暫存區，再由維護者檢查暫存套件，並決定是否核准發布。維護者在核准暫存套件並正式發布前，必須通過雙因素驗證（2FA）。要使用套件暫存發布，開發者需採用NPM CLI 11.15.0或更新版本，以及Node.js 22.14.0或更新版本。這項功能適用於已存在於NPM套件登錄庫的套件，不支援全新套件首次發布。

此外，套件暫存發布也可搭配NPM既有的可信任發布（trusted publishing）功能。若CI/CD流程透過開放式身分連接協定OpenID Connect（OIDC）進行信任發布，可先將套件送入暫存區，待維護者審查核准後再正式公開。

'

Flipper公布Flipper One計畫，要打造最開放ARM電腦

來源：https://www.ithome.com.tw/news/176042

Flipper Devices週四（5/21）公布新專案Flipper One，目標是打造全球最開放、文件最完整的ARM電腦，完整支援Linux主線核心（Mainline Linux Kernel）。同時強調這並非知名掌上型工具Flipper Zero的後繼產品，而是一個全新的開放Linux平臺。

Flipper Devices由Pavel Zhovner等人於2019年創立，主要開發開源硬體與資安工具產品。該公司最知名的產品為Flipper Zero，於2020年透過Kickstarter募資推出，售價199美元，支援NFC、RFID、Sub-1GHz無線電、紅外線與GPIO等功能，可用於測試門禁系統、IoT設備與電子訊號。

Flipper Zero後來因可攜式設計與高度擴充能力，在資安研究者、硬體玩家與創客社群間快速走紅，也因外界擔憂其可能被濫用而引發爭議，甚至曾遭Amazon下架。Flipper迄今已賣出100萬臺Flipper Zero裝置。

Flipper宣稱Flipper One是款與Flipper Zero定位完全不同的產品，兩者主要差異在於應用層級。Flipper Zero偏向近距離通訊與裝置訊號分析，例如NFC、RFID、紅外線遙控器與無線感測器等；Flipper One則聚焦IP網路與Linux運算能力，包括Wi-Fi、乙太網路、5G、衛星通訊與本機AI運算等。Flipper甚至以自訂的Layer 0及Layer 1概念區分兩者，解釋前者研究設備如何傳送訊號，後者則研究資料如何在網路中流動。

在硬體上，Flipper One採用雙處理器架構，包括負責執行Linux系統的8核心Rockchip RK3576處理器，以及一顆Raspberry Pi RP2350微控制器（Microcontroller Unit，MCU）。其中CPU主要負責Linux、AI與高效能運算，MCU則控制顯示器、按鍵與電源管理，因此即使Linux尚未啟動，裝置仍能維持基本操作。

Flipper One內建M.2擴充插槽，使用者可像替電腦加裝配件一樣，額外加入5G網路、更多儲存空間、無線電分析或AI運算能力。亦整合了雙Gigabit Ethernet、Wi-Fi 6E與USB網路，可當成路由器、VPN閘道器或網路分析工具。另計畫支援離線大型語言模型，在沒有網路的狀態下仍能取得設定及操作建議。

Flipper One目前仍處於開發階段，尚未公布上市時間與正式售價。不過共同創辦人Pavel Zhovner對外透露，希望未來價格控制在約350美元左右。

'

微軟新版Edge for Business加入代理式上網

來源：https://www.ithome.com.tw/news/176041

微軟本週公佈新版商務版Edge（Edge for Business），新增以Copilot為基礎的代理式上網功能，以及跨分頁和YouTube影片的重點摘要功能推向手機版瀏覽器。

微軟最新Edge for Business新增及擴增原有的AI功能。其中新增的Copilot代理式上網以限量預覽版（limited preview）提供給企業或教育機構用戶。利用代理式上網，Copilot可為用戶在用戶核准的網站上執行多步驟任務，包括填寫表格、搜尋網站、或從多個分頁擷取資訊，完成整個工作流程，節省使用者大量時間。

欲試用這項功能的IT管理員，必須先訂購Microsoft 365 Copilot授權，再於相關網站報名加入限量預覽。

新版Edge for Business其他AI功能則全面上線。第一項是集結行事曆、檔案和Copilot提示於集中式工作儀表板（dashboard），其中，聊天和搜尋列整合於一個智慧框格、工作卡片會展現即將來到的會議、Microsoft 365檔案和建議Copilot提示。整合介面可減少用戶在多項工具間切換的麻煩。目前這功能已在桌機及手機版Edge for Business推出。

另一項新AI功能是Copilot能跨多分頁推理和YouTube重點摘要，Copilot可分析已開啟的文字和YouTube分頁，如跨分頁對產品規格、廠商文件或不同事物生成比較、重點摘要和深入分析。原本已在桌機版Edge for Business支援，現在推向手機版。

Purview管控

微軟強調所有Copilot行為都在IT管控及使用者監督下進行。Copilot上網時，IT管理員可設定Copilot專門的管理政策決定何時啟動/關閉、執行區域（網站），因此可逐步部署。管理員可利用Microsoft Purview為生成的資料加敏感度標籤、紀錄敏感資料的複製/貼上，或限制Copilot存取未授權資料。使用者可以看到清楚的資料標籤，隨時暫停或終止行動。而Copilot在輸入密碼或信用卡號等敏感行動前，也會停下來等用戶輸入。

Edge for Business整合Purview旨在防範影子AI（Shadow AI）。在公司裝置上，Purview會檢查或封鎖敏感提示，以及所有常見的消費者App上傳，將使用者導向Copilot，防止資料外洩。Purview會記錄員工與Copilot的互動（提示詞與回應），包含時間戳記與使用者資訊。當面臨稽核或法務調查時，企業可利用Purview快速搜尋並導出Copilot的歷史對話紀錄，避免「影子AI」帶來的舉證困難。

'

外界擔憂Mythos恐助長大規模網路攻擊，部分資安專家認為風險被高估

來源：https://www.ithome.com.tw/news/176040

Anthropic於4月公布Claude Mythos Preview後，外界開始關注這類先進AI模型若被用於攻擊情境，是否可能加速漏洞發現與利用，進而使政府系統、金融服務等關鍵基礎設施面臨更大的防禦壓力。這項疑慮也引起多國政府與金融監理機關關注。

然而，有部分資安專家認為，外界擔心Mythos將大幅推升駭客攻擊能力的看法，可能被高估。

根據路透社報導，在資安領域內部，許多實務工作者的反應相對審慎，認為取得具備Mythos等級能力的大型語言模型，並不代表惡意人士立刻能執行過去無法做到的攻擊。軟體安全業者Semgrep創辦人暨執行長Isaac Evans表示，資安實務工作者與政策制定者之間存在很大的溝通落差。他認為，Mythos代表真正的技術進展，但目前外界反應還缺乏足夠證據，能說明這些能力如何實際應用到第一線攻防環境。

曾在受控環境中使用Mythos的專家指出，這套模型在漏洞發掘能力上確實有明顯提升。不過，部分資安人士認為，問題的核心不只是AI能不能找到更多漏洞，而是企業能否處理隨之而來的大量弱點。

一名具備漏洞研究經驗、並取得Mythos早期使用權的人士指出，過去幾個月，甚至幾年來，研究人員已經能用AI找出大量漏洞；真正困難的是在不影響系統穩定性的前提下，驗證漏洞、排定修補優先順序，並完成修補。這名人士也承認，Mythos相較過去模型降低了使用AI找漏洞的門檻，因為它能透過較簡單的提示詞找到更多系統安全問題，而既有模型通常需要更詳細、複雜的指令。

網路設備與資安業者Cisco資深副總裁暨安全與信任長Anthony Grieco也指出，Mythos的優勢在於不只可以識別漏洞，還能更快掃描大量程式碼，並協助有經驗的資安人員降低誤判率，讓防禦方把資源放在自身環境最需優先處理的資安風險。他也提到，這套模型的安全限制較過去模型少，讓使用者能下達更明確的指令，進行部分過去模型不允許的活動。

另一方面，Google於5月12日宣布，已偵測到首起重大網路犯罪組織使用AI發現先前未知軟體漏洞，並計畫發動大規模利用行動的案例，也進一步升高外界對AI輔助攻擊的關注。 不過，曾任美國聯邦調查局（FBI）資深網路安全官員、現任反勒索軟體防護平臺業者Halcyon的Cynthia Kaiser指出，攻擊者即使不使用AI，也已能快速完成攻擊行動；目前多數資安威脅也不是靠AI發動，勒索軟體攻擊甚至能在不到一小時內發生。

Mythos目前仍需要大量運算資源與特定基礎架構支撐，因此並非所有組織或個人都能使用。不過，金融服務公司State Street的Nick Adam在范德堡大學（Vanderbilt University）一場座談中指出，這些進入門檻不太可能長期存在；隨著相關技術與部署方式改進，使用這類模型的難度可能很快降低。

整體而言，Mythos引發的討論顯示，AI確實正在改變漏洞發掘流程，但資安專家提醒，企業不能只聚焦AI能找到多少漏洞。當漏洞發掘速度加快，後續的驗證、風險排序、修補與系統穩定性控管，反而會成為企業漏洞管理流程能否承受新壓力的關鍵。這也呼應德國聯邦金融監理總署（BaFin）近期示警的方向：金融機構未來不只要面對弱點發掘與利用速度加快，也必須同步強化修補管理、資安衛生與營運韌性。

'

Google發布Chrome 148更新，修補16個資安漏洞

來源：https://www.ithome.com.tw/news/176039

Google發布Chrome瀏覽器新版本，將Windows與Mac平臺穩定版更新至148.0.7778.178與148.0.7778.179，Linux版本更新至148.0.7778.178，此次改版一共修補16個安全性問題，分別是兩個重大漏洞 、9個高風險漏洞，以及5個中度風險漏洞。

這次Chrome修補的漏洞中，最值得注意的是重大漏洞，首先是CVE-2026-9111，存在於Linux版Google Chrome的即時通訊元件WebRTC，屬於記憶體釋放後再存取使用（Use After Free）問題，CVSS嚴重性評分達8.8分，攻擊者可透過特製HTML網頁而得以利用此漏洞執行任意程式碼。另一個是CVE-2026-9110，存在於使用者介面（UI），雖然CVSS嚴重性評分為4.3分，被認定為中度風險，但攻擊者能藉由特製HTML頁面進行介面欺騙（UI spoofing），因此仍被Google列為重大等級漏洞。

而在本次Chrome改版修補的高風險漏洞當中，有兩個也值得注意，都是存在於瀏覽器的GPU處理元件， 首先，CVE-2026-9112屬於記憶體釋放後再存取使用問題，CVE-2026-9113則為記憶體越界讀取，通報這2個漏洞的研究人員，分別獲得Google提供的11,000美元與3,000美元漏洞獎金。

除此之外，這波Google揭露的Chrome高風險漏洞，還有其他嚴重度評分高達8.8的漏洞，分別是：CVE-2026-9112、CVE-2026-9114、CVE-2026-9118、CVE-2026-9119、CVE-2026-9120。

'

CISA將趨勢科技端點防護系統Apex One路徑遍歷漏洞列入KEV

來源：https://www.ithome.com.tw/news/176038

趨勢科技於5月21日修補端點防護平臺Apex One多項資安漏洞，並指出中度風險的路徑遍歷漏洞CVE-2026-34926已遭到利用，同一天美國網路安全暨基礎設施安全局（CISA）將其列入已遭利用的漏洞名冊（KEV），要求聯邦機構於6月4日以前完成修補。

同一天CISA也將圖像化大型語言模型開發工具Langflow重大漏洞CVE-2025-34291列入KEV，此弱點影響1.6.9以前版本的Langflow，攻擊者可用來盜用帳號並遠端執行任意程式碼，CVSS v4.0風險評為9.4分、CVSS v3.1為8.8分。

'

趨勢科技修補端點防護系統Apex One已遭利用的路徑遍歷漏洞

來源：https://www.ithome.com.tw/news/176037

5月21日趨勢科技發布資安公告指出，端點防護平臺Apex One、Apex One as a Service、Vision One Endpoint Security - Standard Endpoint Protection（SEP）存在一系列的資安漏洞，其中一個漏洞出現遭到利用的跡象。

這個已遭利用的漏洞是CVE-2026-34926，存在於Apex One伺服器，為資料夾路徑遍歷弱點，已事先通過身分驗證的本機攻擊者可竄改伺服器上的重要資料表，從而在列管的端點電腦注入惡意程式碼，CVSS風險為6.7分。趨勢科技強調，該弱點只存在於內部部署（on-premise）版本的Apex One，攻擊者必須能夠存取Apex One主機，並且擁有管理員憑證，才能利用漏洞。

其餘本次修補的漏洞，涵蓋CVE-2026-34927、CVE-2026-34928、CVE-2026-34929、CVE-2026-34930、CVE-2026-45206、CVE-2026-45207、CVE-2026-45208，這些弱點存在於端點電腦的代理程式，皆為本機權限提升漏洞，風險值都是7.8分。

'

GraphWorm惡意程式濫用微軟OneDrive作為C2通道，利用雲端服務隱藏攻擊流量

來源：https://www.ithome.com.tw/news/176028

資安業者ESET近日發布報告指出，與中國有關的駭客組織Webworm，透過新型惡意程式GraphWorm向歐洲政府機構發動攻擊，這款惡意程式利用微軟Graph API存取雲端檔案共享與儲存服務OneDrive空間，作為命令與控制（C2）通道，藉由受信任的雲端服務隱藏惡意流量，提高偵測難度。

ESET表示，Webworm自去年便開始使用GraphWorm，當感染受害主機後，會透過微軟Graph API與攻擊者控制的OneDrive帳號聯繫，為每臺受害主機建立獨立資料夾，然後從特定子資料夾接收與讀取攻擊指令，再將執行結果回傳至OneDrive儲存空間另一子資料夾，所有通訊都經由AES-256-CBC加密，再對這些資料進行Base64編碼，此外，GraphWorm還可透過Proxy建立通訊隧道（Tunneling）傳輸資料 。由於通訊流量來自合法雲端服務，可藉此掩蓋攻擊活動。

除了利用微軟Graph API與OneDrive的惡意程式GraphWorm外，ESET還發現Webworm採用的另一個新型惡意程式EchoCreep，它將社群通訊平臺Discord作為C2通道。而GraphWorm與EchoCreep這類新型惡意程式的出現，顯示攻擊者正越來越濫用受信任的雲端服務，繞過傳統的資安防護系統，如此一來，企業將更難區分合法雲端流量與惡意活動。

'

執法機關瓦解犯罪VPN服務First VPN，FBI稱至少25個勒索軟體組織曾用於偵察與入侵

來源：https://www.ithome.com.tw/news/176036

多國執法機關宣布查緝並關閉First VPN，這項VPN服務長期活躍於俄語網路犯罪論壇。歐洲刑警組織（Europol）指出，近年該組織參與支援的重大網路犯罪調查中，幾乎都曾出現First VPN的蹤跡；犯罪分子藉此掩飾身分並隱匿攻擊基礎架構，從事勒索軟體攻擊、大規模詐欺、資料竊取與其他重大犯罪活動。

美國聯邦調查局（FBI）同步發布FLASH資安通報指出，First VPN約自2014年開始運作，截至2026年4月，仍在約27個國家提供32臺VPN出口節點伺服器（exit node servers）。而且，至少有25個勒索軟體組織曾利用First VPN進行網路偵察與入侵，相關IP位址也曾被用於網路掃描、殭屍網路、阻斷服務攻擊（DoS）、詐騙等惡意活動。

FBI也在通報中列出First VPN相關入侵指標（IOCs）與MITRE ATT&CK對應手法，涵蓋代理服務（Proxy）、外部遠端服務（External Remote Services）、有效帳號（Valid Accounts）、網路服務探索（Network Service Discovery）、遠端系統探索（Remote System Discovery）、暴力破解（Brute Force）與網路阻斷服務（Network Denial of Service）。

FBI建議企業封鎖並監控已知First VPN基礎架構，強化多因素驗證（MFA），限制遠端管理介面暴露於公開網際網路，並搭配行為分析（Behavioral Analytics）、端點遙測（Endpoint Telemetry）與身分脈絡（Identity Context）交叉比對相關指標，避免僅以IP位址封鎖作為判斷風險的依據。

'

美國計畫資助量子運算生態並持有股權，IBM成立量子晶圓代工公司

來源：https://www.ithome.com.tw/news/176034

美國商務部（Department of Commerce）週四（5/21）宣布，已依據《晶片與科學法案》（CHIPS and Science Act，CHIPS Act）簽署了9份意向書，準備以20.13億美元投資美國量子生態系統，同時取得它們少數、非控制性的股權。其中，IBM將獲得10億美元的資金，以成立新的量子晶圓代工子公司Anderon，專門生產量子等級的超導晶圓。

商務部表示，這筆資金將支持2個量子晶圓代工計畫及7家量子運算公司，目標是加速解決實用級、具容錯能力量子電腦所面臨的關鍵技術挑戰。量子運算被視為攸關國防、先進材料、生物製藥、金融模型與能源系統的重要前沿技術，美國政府希望藉此強化本土量子製造能力與技術韌性。

在製造基礎設施方面，GlobalFoundries將獲得3.75億美元，建立安全的美國本土量子晶圓代工能力，支援超導、離子阱、光子、拓撲與矽自旋等多種量子架構。IBM則將以既有的超導量子晶圓製造技術為基礎，成立新的量子晶圓代工子公司。

IBM表示，這項計畫將由新公司Anderon負責，總部設於紐約州奧爾巴尼，定位為美國首家專門服務量子晶片的純量子晶圓代工業者。除了商務部提出的10億美元CHIPS獎勵資金外，IBM也計畫向Anderon投入10億美元現金，並挹注智慧財產、資產與專業人力。

Anderon將以300毫米量子晶圓代工為核心，初期支援超導量子位元與相關電子晶圓製造，未來再擴展至其他量子技術路線。IBM指出，Anderon將服務多家量子硬體業者，目標是在美國建立可擴展量子技術的本土製造能力。

另外7家獲選的量子運算公司包括Atom Computing、Diraq、D-Wave、Infleqtion、PsiQuantum、Quantinuum與Rigetti，資金規模從3,800萬美元到1億美元不等。這些公司涵蓋中性原子、矽自旋、超導、光子與離子阱等不同技術路線，將投入量子位元可重現性、錯誤率、低溫系統整合、控制硬體、光子損耗與互連等工程難題。

'

針對微軟近日修補的Microsoft Defender零時差漏洞，有專家指出已在一個月前就有概念驗證程式碼

來源：https://www.ithome.com.tw/news/176033

本週微軟修補Microsoft Defender零時差漏洞CVE-2026-41091、CVE-2026-45498，並表示已偵測到漏洞遭利用的跡象，美國網路安全暨基礎設施安全局（CISA）也將其納入已遭利用的漏洞名冊（KEV），要求聯邦機構於兩週內完成修補。從上述漏洞的類型及特徵來看，也令外界聯想到研究員Chaotic Eclipse一個月前公布的零時差漏洞RedSun、UnDefend，隨即有專家證實這樣的推測。

根據資安新聞網站SecurityWeek報導，微軟最有價值專家（Microsoft MVP）Fabian Bader於社群平臺X指出，近日微軟修補的CVE-2026-41091與CVE-2026-45498，分別就是Chaotic Eclipse在4月上旬公布概念驗證程式（PoC）的RedSun、UnDefend，這些漏洞在微軟發布公告前就被公開，而且也都遭到利用。

值得留意的是，Fabian Bader提及微軟同時為Microsoft Defender修補了另一個被評為重大等級的漏洞CVE-2026-45584。此問題為記憶體堆積緩衝區溢位造成，攻擊者若成功利用，即可遠端執行任意程式碼（RCE），CVSS風險值評為8.1。

'

CISA將Microsoft Defender零時差漏洞列入KEV

來源：https://www.ithome.com.tw/news/176032

5月20日美國網路安全暨基礎設施安全局（CISA）發布公告，將7個資安漏洞納入已遭利用的漏洞名冊（KEV），聯邦機構必須在6月3日前完成修補。其中最受到關注的，就是微軟前一天公布的兩項Microsoft Defender零時差漏洞，其中一個是權限提升漏洞CVE-2026-41091，另一個是阻斷服務漏洞CVE-2026-45498。

其餘5個漏洞皆為公布超過16年的已知漏洞，這些漏洞是CVE-2008-4250、CVE-2009-1537、CVE-2009-3459、CVE-2010-0249、CVE-2010-0806，影響Windows作業系統、Direct X、Acrobat與Acrobat Reader，以及IE。

'

思科修補Secure Workload滿分API未授權存取漏洞

來源：https://www.ithome.com.tw/news/176031

思科本週釋出安全更新，修補雲端零信任安全產品Secure Workload一個風險值10.0、允許駭客以管理員權限透過API存取網站資源的重大漏洞。

思科修補的漏洞編號為CVE-2026-20223影響思科雲端工作負載防護暨零信任微分段（microsegmentation）平臺Secure Workload（原名Tetration），位於該產品的REST API，原因出在它對外部存取請求的驗證不足。

遠端攻擊者傳送對API端點發送變造的存取請求就能濫用本漏洞。成功濫用CVE-2026-20223的攻擊者將可以Site Admin的管理員權限，跨租戶讀取敏感資訊或變更配置。這項漏洞CVSS風險值達到最高分的10.0。

CVE-2026-20223影響思科Secure Workload叢集軟體，包括3.9及以前版本、3.10及4.0版，涵括SaaS及本地部署環境。不過思科強調，漏洞僅存在產品內部的REST API，不影響Web化管理介面。

思科已釋出最新版軟體解決漏洞。由於漏洞沒有緩解方法，思科呼籲用戶儘速安裝最新版本，包括Secure Workload 3.10.8.3及4.0.3.17。3.9以前版本已經EoL（end of lifecycle），思科也呼籲用戶升級到支援版本。

CVE-2026-20223是思科內部安全測試中發現，目前該公司產品安全事件回應小組（PSIRT）未發現有漏洞公開或被惡意濫用的情形。

'

微軟修補兩個已遭利用的Microsoft Defender零時差漏洞

來源：https://www.ithome.com.tw/news/176030

5月19日微軟發布資安公告，指出防毒軟體Microsoft Defender存在兩個已遭利用的零時差漏洞，並發布更新修補。

第一個漏洞是CVE-2026-41091，此為權限提升漏洞，問題出現在檔案存取之前的連結解析，導致取得授權的攻擊者能夠在本機提升權限，存在防毒軟體元件Microsoft Defender Antimalware Platform在4.18.26030.3011以前的版本，微軟發布1.1.26040.8版防毒引擎予以修補，CVSS風險評為7.8分，危險程度被評為重要（Important）等級。在Microsoft Defender之外，System Center Endpoint Protection、System Center 2012 R2 Endpoint Protection、System Center 2012 Endpoint Protection，以及Microsoft Security Essentials也採用相同的防毒引擎而會受到影響。

另一個是阻斷服務（DoS）類型的弱點，被登記為CVE-2026-45498，影響1.1.26030.3008以前的版本的防毒軟體元件Microsoft Defender Antimalware Platform，微軟發布4.18.26040.7版更新修補此漏洞，CVSS風險為4.0分，危險程度為低風險。值得留意的是，即使用戶停用Microsoft Defender，相關的檔案仍留存在磁碟上，因此漏洞掃描工具仍會顯示存在上述弱點。不過，微軟強調，停用此防毒軟體的電腦不受影響。

'