立委質疑Google等商用衛星地圖曝露我國軍事基地影像引發國安疑慮，數發部將與平臺業者協商改善

來源：https://www.ithome.com.tw/news/176064

Google Map等商用地圖服務使用便利，但卻潛藏國安上的危機。立委林俊憲今天(5/22)召開記者會，質疑高精度商用衛星影像已成為現代戰爭與情報蒐集的重要工具，國內的重要軍事設施，例如佳山基地、樂山雷達站及臺南基地等，至今仍可透過Google Maps、Google Earth及其他公開地圖平臺清楚辨識，甚至遭中國社群媒體大量轉載、標註與分析。他呼籲政府儘速建立管理機制，要求業者遮蔽軍事敏感設施，補上國安漏洞。

林俊憲指出，問題不僅在於衛星影像揭露基地位置，更嚴重的是平臺提供歷史影像功能，可透過時間序列分析觀察基地擴建、設施更新及戰備變化情況，已涉及高度敏感的軍事情報蒐集。

下圖：Google Maps衛星地圖顯示花蓮佳山基地(下圖來源：林俊憲臉書)：

他表示，5年前曾提出相關警告，也曾在立法院總質詢中獲得行政院長的正面回應，但至今政府仍未依法要求業者進行合理遮蔽。

相較之下，韓國、法國等國早已針對軍事設施及高精度地圖資料建立明確規範，要求重要設施必須模糊化或限制資料處理方式。

韓國過去曾因為Google不願配合遮軍事設施，禁止Google地圖服務完整進入韓國，後來Google妥協後才進入韓國；法國政府則透過法律要求所有商業地圖平臺，包括Google、Apple、微軟全面遮蔽軍事基地。

事實上，臺灣已有相關法規限制此問題，例如《要塞堡壘地帶法》規定，未得軍方許可，不得對軍事區域測繪、錄影或製圖，而《測繪法》也規定，對於國家安全、軍事機密之資訊不得任意公開。因此林俊憲認為問題不在無法可管，而是政府長期未落實執行。

對此，數發部次長侯宜秀表示，已與國防部完成協調，並於下午邀集Google、Apple及微軟等商業地圖平臺業者開會，建立政府與業者間的緊急聯繫管道，研議軍事敏感設施的遮蔽與模糊化機制。

數發部指出，後續也將盤點各類地圖App及第三方圖資服務，並配合法規檢討，建立要求平臺配合的法律基礎。

國防部則回應，在相關制度尚未完備前，軍方已透過設施偽裝及資訊管控等措施降低暴露風險，未來也將與數發部及內政部合作，檢討敏感設施保護機制與公開資訊管理措施。

數發部稍晚發布消息，同內政部、國防部及地圖平臺業者開會，決定將分階段進行圖資遮蔽作業，並建立溝通管道，建立公私協力的圖資遮蔽處理機制。

'

【資安週報】0518~0522，近期Windows零時差漏洞連環揭露，資安公司警告已能串成攻擊鏈

來源：https://www.ithome.com.tw/news/176056

近期微軟Windows多項零時差漏洞接連曝光，從BlueHammer、RedSun、UnDefend到YellowKey與GreenPlasma，因其能被串聯成完整攻擊鏈，已引發資安業者強烈示警，成為本星期持續關注的重點。此外，駭客組織鎖定思科Catalyst SD-WAN零時差漏洞CVE-2026-20182發動攻擊，同樣備受各界關注。

在防禦端，資料領域底層的PQC導入動向成焦點。NVM Express聯盟預計2026年完成規格更新，擴充儲存傳輸協定支援的加密演算法；WD則考量儲存設備生命週期長達五年以上，因此已開始針對硬碟韌體與開機程序導入後量子密碼學，從核心層級建構防禦韌性。

政策法規

AI進步加劇漏洞威脅，資安署示警：攻擊成本驟降使威脅無差別化，冷門漏洞與閒置系統成為新破口，企業防禦重心應轉向迅速復原，全球多國政府也抱持警戒，德、日兩國已提升AI防禦至國家與金融監理層級。此外，國內推動AI人才治理指引與資安長跨機關共識，亦成政策焦點，突顯從治理端提升數位韌性已是關鍵配套。

面對AI漏洞風暴！資安署提出三項應對作為，並強調資安實務已從預防被打轉向迅速復原

面對先進AI模型引發的資安威脅，各國政府高度關切，臺灣數位發展部資通安全署（資安署）揭示即將採取三項應對作為之餘，更是呼籲國內企業與政府機關全面檢視資安策略，並給出三大關鍵提醒：（一）攻擊成本驟降使威脅趨於「無差別化」，上市櫃公司、中小型企業與地方政府機關都可能成為目標；（二）「冷門漏洞」與「閒置系統」可能被AI重新利用，代表原本排在修補清單末端的項目亦可能成為主要攻擊目標；（三）企業應從「預防被打」轉向「迅速復原」。

德國聯邦金融監理總署示警AI與量子運算推升金融業網路風險，將對金融機構加強IT重點檢查

德國聯邦金融監理總署（BaFin）將網路空間風險列為金融業重要風險之一，指出AI與量子運算等技術快速發展，這類風險不只威脅金融機構本身的穩定，也可能影響消費者能否順利取得金融服務。為了強化監理量能，BaFin已擴大金融業資安與科技部門，後續將針對金融業者進行更聚焦的IT查核。BaFin強調，在監理過程中已發現修補管理等問題，將藉由這類查核協助金融業衡量風險並強化韌性。

日本啟動內閣層級資安戰略檢討，因應先進AI帶來的新型防禦挑戰

日本首相高市早苗於5月12日內閣會議中，宣布啟動內閣層級資安戰略檢討，以因應先進AI帶來的防禦挑戰，她指示網路安全擔當大臣松本尚與相關內閣成員採取行動，檢查政府系統是否具備偵測與修補漏洞的能力，並研擬協助關鍵基礎設施營運者強化防禦的措施。

數發部發表AI人才認定指引3.0，新增AI治理與協作能力

現代資安治理與AI治理息息相關，數發部在5月19日發布「AI產業人才認定指引3.0」，就特別將AI治理素養與AI協作開發等能力納入，讓AI人才培育的推動更為健全，並期望建立一套可被企業、人力平臺與教育機構共同採用的能力標準。對於AI治理的重要性，數發部長林宜敬與數產署簡任視察吳嶽森指出，重點在於協助人才建立人工智慧應用風險的框架與意識，他並強調，AI能力已不只是會操作工具，而是如何與AI協作、理解風險，並具備負責任使用AI的能力。

Meta平臺占今年1至4月詐騙案件高達8成以上，政府要求強化演算法從源頭攔截詐騙訊息

針對Meta平臺防騙不力的現況，行政院打擊詐欺指揮中心（打詐指揮中心）揭露最新數據，指出近四個月的詐騙案件中，高達8成與Meta旗下平臺有關。

打詐指揮中心強調，Meta平臺防詐效果甚差，因為許多內容在被檢舉移除後，短時間內又會以完全相同的圖文重複上架，詐騙方可以如此簡單手段繼續進行詐騙，顯見Meta的防詐偵測系統存在嚴重的技術缺口。為此，打詐指揮中心向Meta發出嚴正要求，促其必須調整演算法並升級偵測系統，至少要建立「重複詐騙內容識別機制」、對已知詐騙內容進行即時攔截、降低詐騙內容曝光與擴散速度。

資安署擴大資安長共識營規模，首度邀集五院建立資安治理共識

建立跨機關的資安治理共識已成為國家韌性的關鍵，數位發展部資通安全署近日擴大舉辦「115年度政府機關資安長共識營」，今年最大不同點在於，資安署顯著擴大了參與規模，首度邀請總統府、國安會及立、司、考、監五院資安長共同參與，不僅協助各資安長掌握新興威脅趨勢與防禦思維，也透過與CYBERSEC臺灣資安大會合作，安排實地參訪臺灣資安館及人才培訓專區。綜觀這場共識營的推動，治理端的現況認知對齊仍是核心，擴大跨機關參與規模更是具備重要意義，幫助化解認知落差，掌握一致的技術脈動與政策方向。

歐盟《網路韌性法案》今年9月施行，產品安全通報時限成法遵門檻，僅四分之一企業將SBOM驗證納入自動化

歐盟網路韌性法案（Cyber Resilience Act，CRA）將於2026年9月進入正式施行階段，企業除了盤點產品是否落入規範範圍，也得重新檢視既有產品安全機制，是否足以支撐漏洞調查、限期通報與後續稽核要求。軟體套件與元件管理平臺業者Cloudsmith調查指出，多數企業雖已能產出軟體物料清單（SBOM），但相關管理與治理流程仍未完成自動化，對《網路韌性法》的法遵與供應鏈風險準備仍存在落差。

執法行動Operation Ramz查封53臺惡意軟體及網釣伺服器

國際刑警組織（Interpol）於5月18日宣布，首度在中東及北非地區展開大規模執法行動。在13國執法機關的合作之下，針對網路釣魚與惡意軟體活動進行調查，並瓦解惡意基礎設施，共逮捕201名嫌犯，另確認有382人涉及從事網路犯罪活動，查扣53臺伺服器。趨勢科技、Group-IB、卡巴斯基、Team Cymru，以及Shadowserver基金會也都參與這項行動。

AI資安

臺灣企業在應對AI技術固有風險之餘，若員工於企業網路使用中國AI模型工具，將帶來額外威脅。最新調查顯示全臺逾6萬企業未封鎖中國模型，且中小企業封鎖比例低，成為資安隱憂。此外，AI模型進步正加速漏洞發掘與修補需求，已有調查指出多家軟體供應商CVE揭露數量明顯成長，還有今年首季GitHub私下漏洞通報量更較前一季增加逾4倍，顯示AI正深刻影響漏洞研究生態，迫使企業須強化自動化防禦以應對威脅。

7成大型企業封鎖中國模型，中小企僅27%跟進成隱憂，全臺逾6萬企業未封鎖中國模型

【臺灣資安大會直擊】中華電信從電信視角剖析臺灣企業AI輪廓，指出企業規模越龐大，資安管控措施也越趨嚴謹，但中小企業在管控上則有明顯落差。整體而言，更有超過6萬家臺灣企業，因員工私下使用AI工具而形成的影子AI現象，暴露於具備資安爭議的中國AI模型風險之中。這些企業必須認清一件事：這意味著企業本身在應對AI技術的固有風險之餘，更被迫直面地緣政治與特定供應鏈下，中國AI模型帶來的額外威脅，讓企業資安防線承受更為棘手的複合風險。

AI原生架構快速崛起，32%企業要用AI增強軟體工程

關於2026年臺灣企業軟體開發策略布局的轉變，代理式AI與DevSecOps成為企業最重視的兩大方向。根據iThome《2026 CIO & CISO大調查》顯示，今年企業開發模式出現明顯變化，其中代理式AI的採用率成長幅度最大，較去年增加15個百分點；其次則是結合安全機制的DevSecOps，採用率由去年的9％提升至16％，增加7個百分點。相較之下，傳統DevOps採用率僅增加1個百分點，成長幅度並不高。

Cloudflare測試Claude Mythos，能串聯多個低風險漏洞形成攻擊鏈

Claude Mythos能力持續受關注，近期Cloudflare揭露參與Project Glasswing計畫的測試結果，指出他們將最新模型導入50個內部程式碼儲存庫後，發現Mythos預覽版最明顯的進步是，可將多個低嚴重性漏洞串聯成完整攻擊鏈，而非只停留在漏洞描述階段，甚至自動撰寫、編譯與執行PoC。Cloudflare強調，企業應從整體系統架構層面調整防禦策略，例如在應用程式前方部署防護機制、降低單一漏洞橫向擴散的能力，並建立可同步部署修補的基礎設施。同時提醒，若因修補時程壓縮而跳過完整回歸測試，反而可能衍生新的風險。

多家軟體供應商2026年以來CVE揭露量攀升，Chrome大增563.2%，AI輔助漏洞發掘影響浮現

漏洞情資業者VulnCheck發布分析指出，2026年以來，多家軟體供應商的CVE揭露數量明顯增加，其中Google瀏覽器Chrome年增563.2%，VMware、Apache、Mozilla、HPE與F5也都出現顯著成長。該公司認為，這波變化與AI輔助漏洞發掘工具逐漸成熟的趨勢相符，但目前仍屬初步跡象，尚不能將所有成長直接歸因於AI。

AI開始進入漏洞研究與通報生態，Mozilla、微軟、GitHub與Curl案例受關注

AI開始進入漏洞研究與通報生態，漏洞情資業者VulnCheck發布分析指出，除了多家業者2026年以來的CVE揭露量出現變化，Mozilla、微軟等案例受關注。自2月起，Firefox團隊持續使用先進AI模型，尋找並修補瀏覽器中潛藏的安全漏洞。GitHub安全公告資料庫團隊指出，2026年1月至3月，GitHub上面的私下漏洞通報量相較於去年10月至12月增加超過4倍。Chrome的CVE揭露量也暴增逾5倍。

AI持續降低自動化網路攻擊門檻，2025惡意機器人活動霸佔全球網際網路流量4成

根據資安廠商Thales發布的2026年惡意機器人報告，2025年機器人（bots）已主導網際網路，占據網路總流量的一半以上（53％），而有高達40％流量被歸類為惡意機器人。他們在2025年每天封鎖的AI驅動機器人攻擊達到2,500萬次，而在2024年每天緩解這類攻擊次數僅200萬次，暴增至12.5倍，因此他們決定新增自動化流量觀察類別：AI機器人（AI bots），主要原因在於AI與LLM的快速普及，導致機器人開發更容易上手，即使是技術水平較低的人也能做到。

IBM擴大AI資安工具布局，參與廣泛使用軟體漏洞識別與修補

IBM宣布擴大企業資安工具與服務，以因應攻擊者利用先進AI加快偵察、漏洞發現利用等攻擊流程的趨勢，涵蓋運用AI輔助漏洞管理的應用程式風險管理平臺IBM Concert、顧問服務IBM Consulting，以及採多代理架構的資安服務IBM Autonomous Security，另外IBM也參與AI業者Anthropic推動的關鍵軟體基礎架構安全計畫Project Glasswing。

Akamai將斥資2.05億美元收購LayerX，強化AI與瀏覽器安全

瀏覽器安全與AI使用控管技術成焦點！Akamai宣布併購以色列瀏覽器安全新創LayerX Security，主要看重其在輕量級安全擴充功能的部署方式，就可進行Session級深度行為檢測，以及控管影子AI的資料外洩問題，可透過在網頁端即時動態遮蔽員工輸入提示詞中的機密原始碼或個資。

Meta MBBRC首度登臺！祭30萬美元獎金鎖定AI代理等安全

Meta年度Bug Bounty研究者大會（MBBRC）首度在臺舉行！這場盛事匯集來自26國、80多位全球頂尖資安研究人員，其中並有10位臺灣高手同場競技。本屆活動有兩大新重點受矚目，一是開放研究人員針對Ads AI、Messenger、WhatsApp上的Business AI，以及Meta AI的代理框架進行深度檢測；一是首度推出濫用行為專項計畫，針對資料爬取與誠信風險等非傳統漏洞進行嘗試。特別的是，現場Meta與Nvidia宣布合作，將於6月正式啟動GPU Kernel Module Bug Bounty計畫，首度將Nvidia產品與服務納入MBBRC測試範圍。

駭客濫用Langflow漏洞與NATS訊息中介系統，竊取AI與雲端環境存取金鑰

開源AI工作流程平臺Langflow近期爆發新一波攻擊事件，CVE-2026-33017漏洞在3月就已確認遭利用並呼籲儘速修補，如今再傳攻擊者鎖定未修補用戶攻擊。資安業者Sysdig指出，他們發現新一波攻擊行動，駭客利用此漏洞入侵系統，並竊取AWS與OpenAI等AI服務API金鑰，特別的是，攻擊者在攻擊中使用開源訊息系統NATS，作為持久化控制與資料傳輸通道。

OpenClaw存在漏洞攻擊鏈Claw Chain，攻擊者可用於竄改組態並植入後門

資安公司Cyera近期在開源AI代理整合平臺OpenClaw發現一系列共4個資安漏洞，分別是：CVE-2026-44112、CVE-2026-44113、CVE-2026-44115、CVE-2026-44118，涉及檔案系統隔離、權限提升與資料暴露風險。從個別漏洞的危險程度來看，風險最高的是CVE-2026-44112，CVSS風險評分達到9.6分。Cyera指出此漏洞發生的原因在於，驗證與寫入的工作分開進行，攻擊者可藉由將驗證路徑指向沙箱邊界以外的符號連結來觸發弱點，將寫入操作導向原本預期的檔案系統根目錄以外的地方，從而影響系統的完整性。

Nvidia修補Triton推論伺服器多項重大漏洞，若未更新可能導致拒絕服務、資料洩漏或執行任意程式碼等攻擊

Nvidia修補Triton Inference Server的8項安全漏洞，漏洞類型包括驗證繞過、路徑遍歷、記憶體越界與整數溢位，最嚴重的漏洞CVSS達9.8分，可能導致資料外洩、拒絕服務、權限提升，甚至執行任意程式碼，影響企業AI模型推論與生成式AI部署環境，建議用戶儘速升級至已修補的26.03版。

資料安全

這一星期資料安全焦點在於NVMe協定與WD相繼導入PQC技術，前者推動儲存傳輸協定加密演算法更新，後者強調落實資安須從硬體信任根源（Root of Trust）強化防禦，突顯資料安全防線正聚焦於底層升級。此外，資料保護解決方案也正隨AI時代資安風險而進化。

NVMe協定啟動後量子密碼學規格更新，因應量子運算時代加密威脅

NVM Express聯盟宣布著手NVMe協定的後量子密碼學（PQC）規格更新，以因應未來量子電腦可能破解現有加密機制的威脅。新版規格將導入NIST PQC演算法、更長金鑰長度與新版加密協定定義，聯盟預計於2026年完成PQC支援並納入NVMe正式標準。

因應AI時代資安風險，Dell整合資料保護平臺並擴展威脅偵測能力

Dell推出全新資料保護平臺PowerProtect One，結合既有PowerProtect Data Manager（PPDM）與PowerProtect Data Domain（PPDD）兩款產品，強化備份、還原管理能力。同時，Dell也將原本應用於Cyber Recovery的CyberSense威脅分析能力，延伸發展為Cyber Detect，並整合至PowerStore與PowerMax主儲存陣列，用於快照複本分析與偵測。

WD為硬碟韌體保護導入後量子數位簽章技術，硬碟安全進入抗量子時代

WD宣布為新一代企業級硬碟Ultrastar DC HC6100 UltraSMR導入後量子密碼學（PQC）技術，為硬碟控制器的安全開機（Secure Boot）與韌體，採用ML-DSA-87後量子數位簽章，並結合傳統RSA-3072簽章構成雙重簽章架構，以兼顧現有相容性與未來抗量子運算威脅需求。

偉康科技發布資安重訊，說明遭遇網路攻擊

專注於金融科技與資安解決方案的偉康科技（6865）於5月11日晚間發布資安重訊，透露遭到駭客攻擊的情形。該公司透露事發後已啟動防禦機制因應，對於這起事故可能會造成的影響，該公司初步評估對公司營運無重大影響。罕見的是，偉康特別提及已投保了資安險，有可能會獲得理賠，但金額將根據最終鑑定結果及保單條款而定。

建德工業發布資安重訊，指出資訊系統遭網路攻擊

5月20日精密工具設備製造商建德工業（6606）於股市公開觀測站發布重大訊息，指出資訊系統疑似遭到網路攻擊，事發當下該公司立即啟動相關防護機制因應。針對這起事故可能造成的影響，該公司根據初步評估，對公司營運無重大影響，目前無個資或機密資料外洩發生的跡象。針對防範未來相關資安事故的做法，建德表示將增加軟硬體設備，以提升資訊安全層級。

7-Eleven證實資料被駭，疑外洩加盟店資訊

7-Eleven近日向美國緬因州檢察長辦公室通報資料外洩，並於5月1日以電子郵件通知受影響人員。根據7-Eleven的通知，2026年4月8日該公司發現一個未經授權的第三方人員存取該公司儲存加盟店文件的部分系統，導致相關資料遭到外洩。7-Eleven調查顯示，駭客存取的資料包括姓名、地址，以及其他未公開的資料類別。目前，該公司官方文件並未揭露受影響總人數。惡名昭彰的駭客組織ShinyHunters聲稱從其Salesforce系統竊取超過60萬筆資料。

美國最大公立醫院醫療資訊、指紋、信用卡資料被竊走，影響180萬人

美國最大市立醫療體系NYC Health + Hospitals 3月在網上公告遭駭，他們表示，在2月間發現非授權人士存取特定系統並且竊走資料。該院已重設所有受影響人士的帳號並導入強化的安全防範。經過調查，存取時間為2025年11月25日到2026年2月11日。該院認為原因是第三方系統廠商發生安全事件，讓攻擊者得以存取網路及系統，並複製走資料。根據美國健康與公共服務部網頁，NYC Health + Hospitals外洩事件影響180萬人。

TeamPCP兜售近450個Mistral AI程式碼儲存庫

法國AI新創公司Mistral AI於5月12日發布資安公告，證實NPM與PyPI套件先後遭到入侵，指出該公司是TanStack供應鏈攻擊事故而受到波及，如今傳出駭客團體TeamPCP於網路犯罪論壇宣稱，他們竊得Mistral AI近5 GB的內部儲存庫與原始碼資料，這些是用於訓練、微調、基準測試、模型交付、實驗推論，以及未來專案的檔案，總計涉及450個儲存庫的內容。

Grafana Labs存取權杖外洩導致其GitHub程式碼庫遭竊與勒索

Grafana Labs揭露近期發現有一個未經授權的團體取得該公司GitHub環境的存取權杖，使攻擊者得以下載該公司的程式碼庫。該公司後續調查指出，攻擊者入侵其GitHub環境的事故，源於TanStack供應鏈攻擊，當時他們在5月11日偵測到惡意活動，隨即啟動事件應變流程，迅速輪換大量與GitHub工作流程相關權杖，但仍有部分未被更換，使得攻擊者能夠存取他們的GitHub儲存庫。

美政府外包商遭解僱員工被控刪除96個政府資料庫，還問AI如何刪除Log

美國司法部起訴政府IT外包商前員工，指出該嫌因不滿被解僱，竟然濫用職權刪除聯邦政府資料庫。根據檢察官起訴書顯示，在一小時內刪除了約96個由Opexus代管的美國政府資料庫，包含與資訊自由法相關資料及屬於聯邦機構的敏感調查檔案，其中一個資料庫還是屬於美國國土安全部。甚至在刪除資料庫後，該嫌還曾詢問AI，如何刪除作案的Windows Server及SQL Server的系統日誌（log）檔。

工業測試設備製造商Fluke資料外洩波及1.85萬人，駭客竊取身分與身障等敏感資訊

美國工業測試設備製造商Fluke，近日通報一起可追溯至2025年8月的資料外洩事件，約1.85萬人的個資遭駭客存取，該公司已知會受害者，並提供信用監控等緩解措施。勒索軟體組織Clop聲稱此資料外洩事件是他們所為，但Fluke未予以回應。

CISA暴露的GitHub儲存庫公開844 MB機密資料

美國CISA因GitHub儲存庫Private-CISA暴露在網際網路，而有大量機密資料外洩的可能，資安公司GitGuardian先發現此事，19日公布更多調查細節，指出他們一開始是透過例行的GitHub監控察覺此事，發現Private-CISA儲存庫的資料量為844 MB，內含明文密碼、AWS憑證，以及Entra ID的SAML憑證，並且已暴露了約半年。至於這段期間是否有其他人存取這些資料，GitGuardian表示目前尚未發現有駭客早一步存取的跡象。

端點安全

這一星期Windows端點安全面臨嚴峻挑戰，多項零時差漏洞連環爆。其中MiniPlasma漏洞被揭露多年前已通報修補，現卻仍處於未修補狀態，還有研究人員警告BlueHammer與YellowKey等五項漏洞已能串連成完整攻擊鏈。此外，還有Linux再傳出DirtyDecrypt漏洞的事件也引發關注。

Windows存在零時差漏洞MiniPlasma，攻擊者可取得SYSTEM權限

早在多年前通報的漏洞卻未得到修補！日前資安研究員Chaotic Eclipse公布資安漏洞MiniPlasma，並強調該漏洞並非他首度發現，而是Google Project Zero團隊於2020年9月向微軟通報，該漏洞被登記為CVE-2020-17103，微軟在2020年12月例行安全性更新已發布更新軟體。對於MiniPlasma的出現，Chaotic Eclipse推測可能是修補程式碼在某個時間點被撤回或覆蓋（rollback），但也不排除是微軟根本沒修補，實際原因為何，有待微軟進一步說明。

微軟公布BitLocker零時差漏洞YellowKey緩解措施

關於有研究人員在5月中揭露磁碟加密機制BitLocker的零時差漏洞YellowKey，並形容它幾乎等同於後門，相當危險。後續微軟將YellowKey登記為CVE-2026-45585，並指出利用漏洞存在必要條件，那就是攻擊者需實際接觸目標裝置，才能觸發漏洞並存取經加密處理的資料。目前尚未有修補發布，但已公布緩解措施，包括修改Windows復原環境（WinRE）映像檔、設置BitLocker的PIN碼，而對於磁碟尚未加密的電腦，應設置TPM的PIN碼因應。

資安公司警告研究員Chaotic Eclipse公布的零時差漏洞已能串成攻擊鏈

近期多項Windows系統的5個零時差漏洞陸續被揭露，但更令人擔憂的是，攻擊者已可藉這些漏洞建立完整的攻擊流程。資安公司LevelBlue指出，BlueHammer（CVE-2026-33825）、RedSun、UnDefend、YellowKey（CVE-2026-45585）、GreenPlasma等5個漏洞，涵蓋取得初始存取管道、權限提升、迴避偵測，以及資料竊取等攻擊階段，幾乎已可視為一套完整的攻擊工具。

Linux核心再傳新的權限提升漏洞DirtyDecrypt

根據V12資安團隊透露，他們在5月9日發現名為DirtyDecrypt（或DirtyCBC）的漏洞，此為Copy Fail、Dirty Frag、Fragnesia的變形，他們在通報後收到Linux核心開發團隊回覆，表示這是重複通報的弱點。對此，V12在確認該漏洞已得到修補後，公布了概念驗證程式碼（PoC），並指出此漏洞形成的原因，在於rxgk_decrypt_skb缺少COW保護機制，導致rxgk頁面快取可被寫入。

Ivanti修補裝置管理平臺EPM高風險漏洞

資安廠商Ivanti修補裝置管理平臺Ivanti Endpoint Manager（EPM）3項資安漏洞，分別是CVE-2026-8109、CVE-2026-8110、CVE-2026-8111，其中最危險的是CVE-2026-8111，此為SQL注入漏洞，攻擊者在通過身分驗證的情況下，即可遠端執行程式碼，CVSS風險為8.8分；另一個高風險漏洞是CVE-2026-8110，涉及代理程式不正確的權限分配，攻擊者在本機通過身分驗證後，有可能提升權限，風險評分為7.8。

博通修補VMware Fusion高風險漏洞

執行在macOS電腦的個人端虛擬化軟體VMware Fusion，最近被揭露與修補高風險漏洞，根據5月14日博通（Broadcom）發布的資安公告，VMware Fusion存在權限提升漏洞CVE-2026-41702，此為SETUID二進位檔運作因檢查時間及使用時間不一致（TOCTOU）造成的弱點，攻擊者在取得非管理員使用者權限的情況下，可用來將權限升級為root，CVSS風險評為7.8分，博通已發布26H1版予以修補。

Reaper竊資程式混合冒充蘋果、微軟、Google，攻擊macOS用戶並建立後門

近年來以macOS為目標的竊資程式愈來愈多，SentinelOne最近發現的Reaper為竊資程式SHub Stealer的變種，使用以WeChat和線上協作白板Miro安裝程式為誘餌的手法和前版相似，手法更複雜，竊取目標也更多。值得一提的是，Reaper感染鏈在每個階段都冒充不同大廠。首先，它的惡意程式託管在一個誤植域名（typo-squatted）的假微軟網域，冒充蘋果安全更新執行，之後經由假的Google軟體更新目錄進行持續性（persistent）攻擊。

Dell SupportAssist服務引發Windows BSOD災情

端點安全仰賴持續的軟體更新，但更新過程中的相容性錯誤可能導致嚴重的服務中斷。有用戶在Dell用戶論壇反映，在5月8日安裝Dell Update 5.5.16.0及其內建的SupportAssist Remediation 5.5.16.0和Dell SupportAssist OS Recovery外掛後，系統每30分鐘出現藍色死亡螢幕（BSOD）後無預警自動重啟的狀態。Dell官方表示已經獲知狀況，正在解決問題。

網路安全

鎖定企業網路邊緣的零時差漏洞攻擊仍是本週焦點，思科修補已遭國家級駭客利用的Catalyst SD-WAN漏洞CVE-2026-20182，攻擊者可向存在漏洞的系統發送特製請求，以觸發漏洞。此外，還有攻擊者利用公開PoC持續針對已知漏洞發動攻擊，突顯企業未修補漏洞將使曝險演變為受害。

思科Catalyst SD-WAN遭遇零時差漏洞攻擊【CVE-2026-20182】

新一起零時差漏洞攻擊引發關注！思科揭露與修補Catalyst SD-WAN控制器漏洞CVE-2026-20182，美國網路安全暨基礎設施安全局（CISA）隨即將其列入已遭利用漏洞名冊（KEV）。該漏洞CVSS風險評為10分，一旦遭利用，攻擊者可向存在漏洞的系統發送特製請求觸發漏洞。後續思科威脅情報團隊Talos亦公布調查結果，並指出利用該漏洞的駭客組織，就是2月揭露、曾利用另一個漏洞CVE-2026-20127發動攻擊的駭客組織UAT-8616。

今年2月修補的思科SD-WAN系統高風險漏洞，已有多組人馬用於實際攻擊

有駭客利用公開PoC持續攻擊未修補已知漏洞的企業！從今年3月至4月，思科威脅情報團隊Talos掌握一系列駭客團體活動，他們利用今年2月下旬修補的任意檔案覆寫漏洞CVE-2026-20122、權限提升漏洞CVE-2026-20126，以及資訊洩露漏洞CVE-2026-20133（CVSS風險值為7.1、7.8、7.5），攻擊尚未修補的思科SD-WAN系統，Talos一共看到10波攻擊活動共通點是駭客透過公開的概念驗證程式碼（PoC）利用上述漏洞。

思科Catalyst SD-WAN控制器曝重大身分認證繞過漏洞

思科公告旗下的SD-WAN解決方案存在重大資安漏洞CVE-2026-20182，CVSS風險評為10分，相當危險，受影響產品為Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage），涵蓋本地建置的SD-WAN環境與思科代管的雲端版本。令人憂心的是已發現遭到利用的跡象，該公司已發布修正版完成修補，並強調沒有其他解決方法，呼籲用戶儘速更新。

Palo Alto Networks修補防火牆作業系統身分驗證繞過漏洞

資安公司Palo Alto Networks揭露與修補防火牆作業系統PAN-OS的高風險漏洞CVE-2026-0265，指出在啟用雲端身分驗證服務（CAS）的情況下，PAN-OS存在身分驗證繞過漏洞，未經身分驗證的攻擊者，經由網路存取就能繞過防火牆的身分驗證控制。受影響設備涵蓋PA系列的實體設備、VM系列的虛擬防火牆，以及防火牆管理平臺Panorama。值得注意的是，Hacktron AI資安研究員指出該漏洞危險程度恐被低估，而且經過其測試，已成功利用這項漏洞進入多家主要公司的VPN環境。

華為路由器疑似零時差漏洞引發DoS攻擊，盧森堡去年通訊中斷逾3小時

盧森堡國營電信POST Luxembourg去年發生長達3小時的全國性通訊中斷，近日資安媒體The Record報導更多詳情，指出去年年中華為企業路由器一個軟體漏洞遭到攻擊，但事件過後10個月，沒有相關漏洞或事件資訊公開，廠商華為也沒有對其他同一款設備的電信用戶發布警告。如今媒體報導揭露，事發初期以為是DDoS攻擊，調查後發現，該事件是攻擊者利用POST Luxembourg為中繼站，由它將超大規模流量轉送（relay）出去，並非以其為目標。不過這個階段，華為路由器卻未能順利將流量轉送出去，而是發生不知名的故障，導致陷入重啟動循環及停止運作。

應用程式安全

應用程式安全威脅頻傳，首要焦點為Exchange Server出現已遭利用的零時差漏洞，微軟緊急發布CVE-2026-42897緩解措施。同時，Nginx一週前修補的CVE-2026-42945漏洞亦傳出遭積極利用；而Mini Shai-Hulud蠕蟲引發大規模NPM與PyPI供應鏈攻擊，其危害亦不容小覷，已傳出OpenAI與Mistral AI受波及的消息。

微軟揭露Exchange Server存在8.1分重大漏洞，並已偵測到漏洞利用活動【CVE-2026-42897】

發生零時差漏洞攻擊事件，微軟緊急發布公告說明Exchange Server重大漏洞CVE-2026-42897已遭利用，美國CISA亦將此列入KEV清單。特別要注意的是，目前微軟先公布兩種緩解措施，截稿前尚未釋出修補。受此漏洞影響的產品主要是部署於企業內部環境的Exchange Server 2016、Exchange Server 2019，以及Exchange Server訂閱版（SE），Exchange Online不受影響。

Nginx重大漏洞已被用於攻擊【CVE-2026-42945】

網頁伺服器Nginx在一星期前修補的重大漏洞CVE-2026-42945，後續有研究人員警告已偵測到積極利用的現象。VulnCheck漏洞研究員Patrick Garrity於職場社群網站LinkedIn示警，因為他們在5月16日於蜜罐陷阱首度偵測到CVE-2026-42945被積極利用的跡象。雖然Nginx伺服器必須導入特定的重新寫入組態設定才會受到影響，但由於攻擊者無須通過身分驗證就能利用，再加上全球約有570萬臺伺服器尚未套用新版程式，用戶應儘速採取防範措施。

Drupal修補重大SQL注入漏洞，並破例為已停止支援版本發布更新

內容管理系統Drupal開發團隊本週揭露與修補重大漏洞CVE-2026-9082，目前尚未公布CVSS嚴重度評分，但團隊公布Drupal本身的風險評估結果為20分（滿分25分），被評為最危險的超重大等級（Highly Critical），影響8.9.0以上版本的Drupal，開發團隊呼籲用戶儘速因應。Drupal強調此漏洞只影響採用PostgreSQL的網站，不過他們也對第三方元件Symfony與Twig進行修補，因此對於不受CVE-2026-9082影響的網站，他們呼籲用戶還是要升級新版Drupal。

TeamPCP利用蠕蟲Mini Shai-Hulud滲透逾400個NPM與PyPI套件

多家資安公司指出，本週TanStack的NPM套件、Mistral AI的PyPI套件遭遇供應鏈攻擊，其實是4月底蠕蟲活動Mini Shai-Hulud的延續。

SafeDep強調，這是今年規模最大的程式碼儲存庫攻擊事件，而且範圍同時涵蓋NPM與PyPI。根據Socket的統計，截至5月15日，已累計出現416個惡意套件。Snyk也表示，TanStack的路由器套件系列是駭客最早入侵的管道，隨後蠕蟲透過自我散播的特性，迅速造成大規模感染。

OpenAI遭TanStack供應鏈攻擊波及

OpenAI公告有兩名員工的裝置受到Mini Shai-Hulud供應鏈攻擊影響，不慎安裝遭植入惡意程式碼的TanStack套件，該公司察覺後迅速展開調查，並採取措施保護系統。由於受影響的原始碼儲存庫包含應用程式簽署憑證，為求謹慎OpenAI將輪換憑證，macOS用戶必須因此而更新應用程式，否則等到OpenAI在6月12日完全撤銷現有憑證後，相關應用程式將無法使用，Windows與iOS用戶則不受影響。

RubyGems遭遇大規模惡意攻擊，暫停開發者註冊新帳號因應

上週RubyGems儲存庫遭遇大規模攻擊，一度暫停帳號註冊服務作為因應措施，對此事件，Ruby Central開源長Marty Haught提出事故處理說明，他表示RubyGems正在處理垃圾套件活動，先前已暫停新帳號註冊，並限制使用Webhook，後續將改進相關檢測機制。後續RubyGems再透露，用於這起攻擊事故的機器人帳號已遭移除，這段期間攻擊者推送超過500個惡意套件，也全數下架。

針對RubyGems遭遇大規模垃圾套件攻擊事故，傳出駭客的目的是洩露英國政府機關網站資料

關於RubyGems儲存庫發生垃圾套件投放攻擊事故，實際上這起事故源自另一起攻擊活動，駭客將RubyGems充當資料外送的管道。資安公司Socket指出，他們觀察到的攻擊行動GemStuffer，駭客使用超過100個Gem套件，但與許多供應鏈攻擊不同，這些套件主要用途並非對開發人員散布惡意軟體，而是將RubyGems充當資料傳輸的管道。Socket指出這些套件大多未被開發人員下載，其內含的指令碼，會從英國多個地方政府的入口網站擷取頁面，將收集的回應打包成有效的資料封裝，並利用特定API金鑰將這些資料上傳到RubyGems。

沙箱函式庫SandboxJS修補CVSS滿分重大漏洞

開源JavaScript沙箱函式庫SandboxJS近日修補重大漏洞CVE-2026-43898，CVSS評分達10.0滿分，漏洞源自createFunction()隔離機制缺陷，攻擊者可突破沙箱限制，取得主機端Function建構函式，進而在主機端環境執行任意JavaScript程式碼，用戶應儘速升級到已修補的0.9.6版。

PostgreSQL資料庫發布更新，修補11項漏洞與60多項程式錯誤

PostgreSQL資料庫近日同步更新14.x至18.x等所有主要支援版本，修補11項漏洞與60多項程式錯誤，其中包括4項CVSS評分達8.8分的重大漏洞，可能導致執行任意程式碼或覆寫檔案，影響所有主要版本，已在14.23、15.18、16.14、17.10與18.4等新版本完成修補，建議用戶儘速更新，以降低風險。

GitLab發布安全更新，修補25項資安漏洞

GitLab近日發布安全更新，修補CE與EE版本共25項漏洞，包含多項涉及跨網站指令碼（XSS）、拒絕服務與存取控制的問題，其中4項XSS漏洞CVSS評分達8.7分，分別源自分析儀表板（Analytics dashboard）、全域搜尋（Global Search）與AI代理功能Duo Agent。GitLab建議採用self-managed部署的用戶儘速更新至已修補的18.11.3、18.10.6與18.9.7等版本。雲端版GitLab.com則已完成更新。

Google發布電腦版Chrome 148更新，修補79個資安漏洞

本週Google發布電腦版Chrome更新148.0.7778.167、148.0.7778.168，總共修補79個漏洞，從嚴重程度來看，有14個是重大等級、37個屬於高風險等級，其餘28個為中度風險。

Mozilla推出Firefox 150.0.3，修補多項JavaScript高風險漏洞

Firefox 150.0.3更新上周釋出，總共修補5個高風險漏洞CVE-2026-8388、CVE-2026-8389、CVE-2026-8390、CVE-2026-8391、CVE-2026-8401。美國CISA指出，最危險的漏洞是CVE-2026-8401，此沙箱逃逸類型的弱點，存在Firefox個人設定檔備份元件，CVSS風險評為9.8分。

Mozilla發布Firefox 151更新，修補逾30項資安漏洞

5月19日Mozilla基金會發布Firefox版本更新，151版修補了31個資安漏洞（高風險漏洞有6個、中度風險12個、低風險13個）。

上述高風險漏洞當中，有兩個是有關記憶體安全的臭蟲，值得注意的是，美國網路安全暨基礎設施安全局授權資料發布單位（CISA-ADP）對它們的CVSS嚴重度評分，都達到9.8。

Hitachi Vantara修補Pentaho資料整合與分析平臺重大漏洞

Hitachi Vantara修補旗下Pentaho資料整合與分析平臺重大風險漏洞CVE-2025-11159，CVSS達9.1分，可能導致攻擊者執行外部程式碼，進而存取敏感資料或發動遠端程式碼執行攻擊。Hitachi Vantara已於10.2.0.7與11.0.0.0版移除存在漏洞的元件，呼籲企業儘速更新至已修補版本。

臺灣資安廠商DEVCORE奪下Pwn2Own Berlin 2026破解大師殊榮

在上週舉行的2026年度資安漏洞利用競賽Pwn2Own柏林場，一共找到47個零時差漏洞，主辦單位ZDI共頒發1,298,250美元獎金。臺灣資安公司戴夫寇爾（DEVCORE）在Chrome/Edge + Sandbox Escape，Exchange Server，Microsoft Office 365等項目表現出色，以總分50.5分獲得壓倒性勝利，拿下本次競賽的破解大師（Master of Pwn）殊榮，並贏得505,000美元獎金。

身分安全

驗證機制進化與憑證濫用威脅是本週身分安全焦點，相關消息涵蓋經濟部推動行動工商憑證，以及微軟瓦解惡意簽章平臺Fox Tempest。此外，微軟個人帳號停用簡訊驗證碼，顯現科技大廠正加速擺脫簡訊OTP來驗證風險。另要注意的是，網釣威脅態勢依然嚴峻，兩起揭露指出駭客正持續利用Tycoon 2FA與新型裝置碼釣魚手法。

經濟部推行動工商憑證，讓手機化身「數位大小章」，瞄準企業授權與金融應用

實體工商憑證卡施行已久，如今經濟部商業發展署新推行動工商憑證，該憑證具備三大功能，包括身分驗證、數位簽章與資料加密。其最大改變是將原本實體卡片與公司大小章，進一步整合進手機裝置中，憑證儲存在手機安全區域，同時結合手機生物辨識，並支援MAS Level 2認證等級，以鞏固其安全性。此外，行動工商憑證也將朝向串接數位憑證皮夾發展，未來甚至延伸至金融場景，畢竟目前金融業大量使用OTP驗證，若能以行動工商憑證取代部分OTP機制，可望降低銀行驗證成本，同時提升交易安全性。

微軟個人帳號將開始停用簡訊傳送OTP驗證碼

以簡訊（SMS）為基礎的驗證方式成為詐騙主要來源，微軟希望協助使用者更全面採用無密碼帳號、通行密鑰（passkey）和經驗證的電子郵件信箱，收取雙因素驗證（2FA）驗證碼，藉此降低威脅同時簡化帳號登入作業。為此，微軟宣布Windows 11個人版微軟帳號的驗證及帳號回復，將開始停用以簡訊作為處理這些程序的管道，並將導引用戶以簡易方式加入經過驗證的email帳號及設定通行密鑰。之後登入微軟帳號或是復原帳號，而不再需要用到簡訊，而且手機掉了也可以安全回復帳號。

微軟修改Edge瀏覽器密碼管理機制，避免開機即載入明文密碼

微軟宣布調整Microsoft Edge瀏覽器密碼管理機制，未來瀏覽器啟動時，將不再載入所有已儲存密碼到記憶體，而改為僅在使用者需要時才進行處理。這項修改源自研究人員揭露Edge過去會在啟動時預載全部密碼，微軟表示新版機制已先於Edge Canary測試版本提供，後續將透過Edge 148版推送給所有用戶。

微軟破獲惡意軟體簽章服務平臺Fox Tempest

自2025年開始運作的惡意軟體簽章服務（Malware-Signing-as-a-Service，MSaaS）平臺，經營者是以經濟利益為動機的駭客團體Fox Tempest，他們濫用微軟的Artifact Signing系統為惡意程式簽章，藉此偽造應用程式身分，使其能暫時躲過資安系統的偵測，5月19日微軟宣布成功瓦解。根據調查，Fox Tempest偽造超過1千個憑證，並透過數百個Azure租戶來提供相關服務。今年5月微軟在資安公司Resecurity的協助之下，中斷這些駭客的業務，並撤銷超過1千個偽造憑證。

Tycoon 2FA被用於裝置驗證碼網釣，駭客搭配Trustifi追蹤器挾持M365帳號

eSentire發現新一波Tycoon 2FA攻擊，駭客利用合法郵件安全平臺Trustifi規避閘道攔阻，並透過Cloudflare Workers多層轉址，誘騙用戶在微軟裝置登入頁面完成授權。此攻擊特殊之處是，過程不需詢問密碼，而是利用偽裝成官方程式的OAuth客戶端竊取權杖，進而掌控 Exchange Online與OneDrive等服務。

新駭客基礎架構出現，加速裝置碼釣魚、竊取Microsoft 365權杖

Proofpoint發現新型裝置碼釣魚攻擊，新手法改在使用者點擊連結的瞬間動態產生驗證碼，而不像以往先有驗證碼再騙取，藉此規避15分鐘內未輸入即過期的機制。此惡意活動最早從2025年秋天出現，更受關注的是，此手法已整合至EvilTokens 與 Tycoon 等釣魚平臺，並在今年4月衍生出7種變種。攻擊組織TA4903已利用此技術針對M365進行商業電子郵件詐騙（BEC），但也有少部分以Google憑證為目標。

IoT/OT安全

關於智慧設備的韌體安全與機器人控制風險，近日就有重大隱患揭露，而且是發生在割草機器人系統。有鑑於未來智慧連網裝置將更為普及，這方面的防禦機制與韌體開發規範更顯重要。

Yarbo割草機器人存在可被遠端控制的重大漏洞，用戶需升級新版韌體

研究人員揭露Yarbo割草機器人系統韌體存在安全隱患，該品牌所有設備系統均有寫死root密碼的狀況，且預留遠端控制的後門，攻擊者可能藉此從遠端接管設備，甚至同時控制整個機器人群組。Yarbo原廠已更新韌體，並承諾進一步改進安全機制。

資安維運

資安維運管理存在不同層面議題，近期消息顯現跨國資安治理、資安長人力落差的挑戰。專家強調全球資安治理核心在於跨文化協作與認知對齊（Alignment）；調查則顯示全球CISO人力落差高達1比1萬，職責隨AI與法規壓力擴大。

專家談跨國企業資安治理：真正難的不是技術，而是跨文化協作

【臺灣資安大會直擊】與不同國家的團隊合作，建立一致的風險認知與協作模式，才是全球資安治理真正困難之處。保瑞藥業全球資安經理Jesse Ku指出，全球資安治理的核心在於「對齊（Alignment）」，

英文能力只是第一層障礙，真正困難是不同文化背景下對同一句話的不同解讀，華人常用的「No no no」或「Actually」就是一例。還有職場文化差異，臺灣企業通常追求效率與執行速度，歐洲團隊則更看重邏輯辯論與說服過程，而加拿大與澳洲同事則相對重視工作與生活的平衡。因此，當跨國企業持續擴張、併購與整合日益頻繁，資安團隊不只要面對技術威脅，還必須處理語言、文化、組織與管理上的「隱形障礙」。

2026年全球資安長人力落差約1比1萬，AI與法規壓力擴大CISO職責

Sophos與Cybersecurity Ventures合作發布《2026 CISO Report》，顯示AI、勒索軟體、供應鏈攻擊、後量子密碼學轉換與法規壓力，正持續擴大資安長（CISO）的職責範圍，而目前全球CISO估計約有3.5萬名，僅較2023年的3.2萬名小幅增加；但全球營運中的企業約達3.59億家，相當於平均1名CISO需對應約1萬家企業，凸顯資安領導人才缺口依舊明顯。

仍有將近3500臺Wazuh主機未修補CVE-2026-30893漏洞，持續暴露於攻擊風險下

Wazuh開源資安監控平臺於4月底揭露的重大漏洞CVE-2026-30893，可能導致執行遠端程式碼，並允許攻擊者進行橫向移動與覆寫系統，雖然4.14.4修補版本已釋出，但截至5月17日，仍有約3500臺Wazuh主機未更新，並直接暴露於網路，臺灣亦有19臺受影響，顯示漏洞修補進度嚴重落後。

為了推廣Azure Arc混合雲管理架構，微軟開放部分版本Windows Server 2025用戶使用熱修補功能

微軟正式開放Windows Server 2025用戶透過Azure Arc啟用Hotpatch熱修補功能，讓企業可在多數安全更新時無須重新開機，將伺服器重啟頻率降至每季一次。過去微軟僅限於Azure版本Windows提供熱修補功能，如今則擴展至地端環境，也反映微軟推動Windows Server管理雲端化的方向。

'

衛福部揭FHIR Box醫療作業系統，目標2027年底完成全臺醫院病歷互通

來源：https://www.ithome.com.tw/news/176062

衛福部5月20日在國科會第21次委員會議會後記者會中，揭露一套名為FHIR Box的醫療資料交換作業系統，要解決國內醫院資訊系統（HIS）長年碎片化的痛點，進而推動全國病歷互通、醫療資料標準化，以及AI應用基礎建設。

衛福部資訊處已在2025年底完成長庚、馬偕和中山附醫3大醫學中心的FHIR跨院病歷互通示範；下一階段，也就是今年底前，將推動全臺醫學中心部署FHIR Box，實現跨院病歷互通，2027年底再進一步擴大至全臺區域與地區醫院。

衛福部次長莊人祥在記者會上指出，FHIR Box就是一個基礎的醫療交換作業系統，政府不會綁定特定廠商規格，而是建立開放式標準架構，讓國內外硬體、軟體與醫療資訊業者，都能在共同底座上發展各種應用與服務。

FHIR Box是一套醫療資料互通OS，內建高效能FHIR伺服器與SMART應用執行環境

衛福部資訊處科長游子佳表示，臺灣智慧醫療最大的挑戰，在於醫院各自使用不同的HIS系統、多達40多套，資料格式與編碼缺乏一致性，導致病患跨院看診時，醫師難以掌握完整病史，民眾也常需重複說明病情、重複檢查，甚至自行攜帶病歷光碟。

面對這個醫療資訊碎片化問題，衛福部並未選擇全面重建醫院HIS，而是採取「不改變既有HIS、以資料中臺實現互通」的策略。

於是，衛福部資訊處聯手次世代數位醫療平臺計畫執行單位工研院，共同開發FHIR Box。游子佳比喻，FHIR Box就像Chrome作業系統，可在共同底座上部署各種醫療應用。

目前FHIR Box已內建高效能FHIR伺服器、臺灣核心資料群（TWCDI）工具與FHIR轉換器，可將醫院原本不同格式的病歷資料，自動轉換為FHIR等國際標準格式。

除了FHIR資料轉換與交換功能，FHIR Box也內建SMART on FHIR應用執行環境、臨床決策支援（CDS）服務和CQL規則引擎。未來在醫師開藥、查閱病歷等流程中，可即時觸發AI模型或臨床規則分析，讓FHIR Box不只是病歷交換平臺，也是智慧醫療應用的基礎底座，目標建立可供AI直接運用的標準化醫療資料環境。

衛福部資訊處也補充，FHIR Box已整合現有電子病歷交換中心（EEC）機制。未來病患簽署數位同意書後，醫院即可透過FHIR Box向其他醫院調閱FHIR格式病歷資料，再由EEC協助完成資料交換流程，讓跨院病歷調閱不再需要病歷光碟或人工整理資料。

資訊處也提到，FHIR Box內部的FHIR伺服器經軟硬體加速優化，可支援醫學中心近乎即時的病歷資料轉換。經測試，FHIR Box可同時處理醫學中心200筆病歷交換請求，也能支援SMART App與CQL規則執行，每秒可處理超過2,500筆FHIR Resources。

在資安方面，衛福部資訊處表示，目前由計畫團隊定期進行弱點掃描與SBOM軟體成分檢查，並採用OAuth 2.0身分驗證機制，限制不同系統與使用者的資料存取權限，降低資料交換過程中的資安風險。

今年全臺醫學中心先部署，2027年擴大到區域與地區醫院

今年，衛福部將補助全臺醫學中心部署FHIR Box，推動電子病歷資料互通，同時也將針對中小型醫院展開試辦，並預計在2027年底前，完成全臺區域醫院與地區醫院的FHIR Box部署，實現全臺醫院病歷資料互通。

莊人祥表示，由於大型醫學中心資料量龐大，所需硬體與系統成本較高，因此目前採部分補助模式推動；未來也將測試較輕量版本FHIR Box，讓區域與地區醫院也能逐步導入。

衛福部資訊處也強調，FHIR Box不是要取代醫院原有資訊系統，也不是排除資服業者，而是由政府先建立共同的標準化基礎環境，協助醫院降低導入新技術門檻。換句話說，醫院可與資服業者或學研團隊合作，開發符合自身需求的臨床照護、行政管理、病人服務或AI應用，並直接部署在FHIR Box上執行，形成智慧醫療應用生態系。

莊人祥也透露，FHIR Box未來還可能影響醫院與健保署等公部門的資料交換方式。他表示，未來不排除透過健保申報獎勵機制，鼓勵醫院以國際標準格式上傳資料。

用AI完成LOINC、RxNorm與SNOMED CT全國標準化

除了FHIR Box本身，衛福部這次還揭露另一項重點，也就是以AI推動全國醫療語意標準化。

2025年底，衛福部已連同林口長庚、馬偕與中山附醫等3家醫學中心，完成SNOMED CT、LOINC與RxNorm等3大國際醫療編碼的標準轉換示範。

這背後大量仰賴AI輔助，例如針對顆粒度比ICD-10更細緻的SNOMED CT編碼轉換，衛福部委由工研院研發大型語言模型（LLM）自動臨床編碼工具，動員超過30位醫師與50位疾病分類管理師，完成1萬多筆病歷檢驗與校正。

LOINC檢驗檢查資料編碼轉換，則透過團隊研發的AI工具，在半年內完成近100%的健保檢驗碼對應；藥品資料部分，則對齊美國藥品編碼標準RxNorm，目前已完成72.33%的健保藥品對應。

衛福部表示，剩餘未被RxNorm納入的臺灣本土藥品，後續將透過延伸編碼方式補足。

'

Discord全面啟用預設全程加密功能，語音與視訊通話都受專屬DAVE加密協定保護

來源：https://www.ithome.com.tw/news/176061

社群通訊平臺Discord日前宣布， 平臺上的所有語音與視訊通話服務，正式預設啟用全程加密（End-to-End Encryption，E2EE），涵蓋私訊（Direct Messages，DM）、群組通話（Group Call）、語音頻道（Voice Channel）與Go Live串流功能。

Discord表示，他們從2023年9月開始測試語音與視訊的全程加密，然後在2024年9月推出自行開發、且已開源的加密協定DAVE（Discord Audio & Video Encryption），目標是提供跨平臺、大規模即時通訊的加密處理能力，同時兼顧低延遲、高品質的音訊與視訊傳輸。Discord隨即開始為桌面與行動裝置的語音通話導入DAVE加密功能，2025年擴展到Discord其他應用平臺的語音通話功能，包括瀏覽器、遊戲主機，以及Discord應用程式與SDK等。

Discord表示，截至2026年3月，所有語音與視訊通話都已正式部署全程加密功能，只有通話參與者才能存取音訊和視訊內容。Discord對於允許退回（fallback）至非加密通話模式的用戶端程式碼，正在逐步移除 ，一旦完成後，所有用戶端在加入通話前都必須支援DAVE，用戶端將無法退回使用非加密語音通話。唯一例外是Stage Channel大型語音直播頻道， Discord指出，全程加密是用於保護私人通話，但Stage Channel這種用於大型公開活動的語音廣播，並非為此而設計，所以未納入全程加密。

Discord另外也表示，目前全程加密只用於語音與視訊，並未規畫擴及文字訊息的溝通。

'

1Password整合OpenAI Codex，讓AI代理使用憑證但又不取得秘密值

來源：https://www.ithome.com.tw/news/176055

1Password宣布與OpenAI Codex整合，供Codex在協助開發者執行程式開發任務時，可透過1Password授權使用必要憑證，但不直接取得密碼、金鑰等秘密值，降低AI程式開發代理操作資料庫、API與部署流程後，將憑證寫進程式碼、檔案或輸入給AI的指令而外洩的風險。

1Password表示，程式開發代理正在從輔助開發者撰寫程式，走向執行與準備上線工作。當代理需要連接資料庫、呼叫API或處理部署流程時，通常也需要API金鑰、資料庫密碼等憑證。過去開發者常把這些資訊放在環境變數檔、腳本，或直接寫入儲存庫，一旦被AI工具讀到，就可能出現在紀錄、快取或非預期輸出中。

1Password推出供Codex使用的MCP伺服器，其用途是讓Codex在特定任務中呼叫1Password管理的環境與憑證存取流程，而不是取得或保管秘密值。1Password表示，存取會在需要時核發，並依任務限制使用範圍，秘密值不會進入Codex的模型上下文。

實際運作時，開發者可要求Codex建立應用程式或設定執行環境，Codex會透過本機MCP伺服器與1Password桌面應用程式連接。1Password桌面應用程式負責確認使用者身分、處理授權與控管存取。每當Codex要透過1Password存取相關環境或憑證前，都需要使用者明確核准。

Codex可以建立環境、整理變數名稱，並準備應用程式需要的設定，但不會透過MCP通道讀取或回傳真正的秘密值，也不會把秘密值寫入磁碟。應用程式執行時，1Password會把必要變數直接注入被授權的程序，這些資料只在程序需要期間存在於記憶體中。

該整合適用於1Password企業與個人帳號用戶，可搭配OpenAI Codex建立由1Password管理的新專案環境，減少手動建立與分享.env檔的需求。1Password也提到，Codex可協助檢查儲存庫中是否已有明文憑證，並把這些內容移入1Password管理，再以參照方式取代原本寫死在程式碼或檔案中的憑證。

'

【資安日報】5月22日，微軟修補防毒軟體零時差漏洞

來源：https://www.ithome.com.tw/news/176053

微軟修補兩個已遭利用的Microsoft Defender零時差漏洞

5月19日微軟發布資安公告，指出防毒軟體Microsoft Defender存在兩個已遭利用的零時差漏洞，並發布更新修補。第一個漏洞是CVE-2026-41091，此為權限提升漏洞，問題出現在檔案存取之前的連結解析，導致取得授權的攻擊者能夠在本機提升權限，CVSS風險評為7.8分；另一個是阻斷服務（DoS）類型的弱點，被登記為CVE-2026-45498，影響1.1.26030.3008以前版本的防毒軟體元件Microsoft Defender Antimalware Platform，CVSS風險為4.0分。

CISA將Microsoft Defender零時差漏洞列入KEV

5月20日美國網路安全暨基礎設施安全局（CISA）發布公告，將7個資安漏洞納入已遭利用的漏洞名冊（KEV），聯邦機構必須在6月3日前完成修補。其中最受到關注的，就是微軟前一天公布的兩項Microsoft Defender零時差漏洞，其中一個是權限提升漏洞CVE-2026-41091，另一個是阻斷服務漏洞CVE-2026-45498。其餘皆為公布超過16年的已知漏洞，這些漏洞是CVE-2008-4250、CVE-2009-1537、CVE-2009-3459、CVE-2010-0249、CVE-2010-0806。

針對微軟近日修補的Microsoft Defender零時差漏洞，有專家指出已在一個月前就有概念驗證程式碼

本週微軟修補Microsoft Defender零時差漏洞，並表示已偵測到漏洞遭利用的跡象，從上述漏洞的類型及特徵來看，也令外界聯想到研究員Chaotic Eclipse一個月前公布的零時差漏洞RedSun、UnDefend，隨即有專家證實這樣的推測。微軟最有價值專家（Microsoft MVP）Fabian Bader於社群平臺X指出，CVE-2026-41091與CVE-2026-45498，分別就是Chaotic Eclipse在4月上旬公布概念驗證程式（PoC）的RedSun、UnDefend，這些漏洞在微軟發布公告前就被公開，而且也都遭到利用。

思科修補Secure Workload滿分API未授權存取漏洞

思科釋出安全更新，修補雲端零信任安全產品Secure Workload風險值10.0的重大漏洞CVE-2026-20223，該漏洞允許駭客以管理員權限透過API存取網站資源。遠端攻擊者只需對API端點發送變造的存取請求，就能濫用漏洞。成功濫用的攻擊者將可以取得Site Admin的管理員權限，跨租戶讀取敏感資訊，或竄改組態配置。該漏洞影響Secure Workload多個版本，涵括SaaS及本地部署環境，問題僅存在產品內部的REST API，不影響網頁管理介面。

Linux作業系統存在權限提升漏洞PinTheft，攻擊者可在Arch Linux取得root權限

本週V12資安團隊於GitHub公布新的Linux核心本機權限提升（LPE）漏洞PinTheft，Linux核心開發團隊收到他們的通報後已完成修補，目前沒有登記CVE編號。此漏洞出現在Reliable Datagram Sockets（RDS）通訊協定，問題源於零複製（zerocopy）傳送路徑。目前僅Arch Linux預設部署相關的RDS核心模組而存在風險，用戶若未使用RDS，最好將其停用；Canonical在部落格文章指出，根據他們的評估，CVSS評分為7.8，為高風險等級的漏洞。

研究人員揭露存在9年的Linux本機權限提升漏洞CVE-2026-46333

資安公司Qualys揭露權限提升漏洞CVE-2026-46333，此問題存在於Linux核心的ptrace路徑，可將權限提升至root，或導致洩露憑證，CVSS風險評為7.1分，Linux核心開發團隊已於5月14日完成修補。值得留意的是，此漏洞由2016年11月發布的Linux核心4.10-rc1版引入，因此影響範圍非常廣泛，而且，已有研究人員公布概念驗證（PoC）程式碼。Qualys強調，雖然利用此漏洞之前，需要實際接觸本機，但造成的影響相當嚴重。

趨勢科技修補端點防護系統Apex One已遭利用的路徑遍歷漏洞

5月21日趨勢科技發布資安公告指出，端點防護平臺Apex One、Apex One as a Service、Vision One Endpoint Security - Standard Endpoint Protection（SEP）存在一系列的資安漏洞，其中一個漏洞CVE-2026-34926，已出現遭到利用的跡象。該漏洞存在於Apex One伺服器，為資料夾路徑遍歷弱點，已事先通過身分驗證的本機攻擊者可竄改伺服器上的重要資料表，從而在列管的端點電腦注入惡意程式碼，CVSS風險為6.7分。

CISA將趨勢科技端點防護系統Apex One路徑遍歷漏洞列入KEV

趨勢科技於5月21日修補端點防護平臺Apex One多項資安漏洞，並指出中度風險的路徑遍歷漏洞CVE-2026-34926已遭到利用，同一天美國網路安全暨基礎設施安全局（CISA）將其列入已遭利用的漏洞名冊（KEV），要求聯邦機構於6月4日以前完成修補。同日，CISA的KEV也列入大型語言模型開發工具Langflow的重大漏洞CVE-2025-34291，此弱點影響1.6.9以前版本的Langflow，攻擊者可用來盜用帳號並遠端執行任意程式碼，CVSS v4.0風險評為9.4分。

Nvidia修補Triton推論伺服器多項重大漏洞，若未更新可能導致阻斷服務、資料洩漏或執行任意程式碼等攻擊

Nvidia近日發布資安公告，修補Triton推論伺服器（Inference Server）的8項漏洞，其中包含可能導致執行任意程式碼、阻斷服務，或資料遭竄改、外洩的重大漏洞，建議用戶儘速升級至已修補的26.03版。這次Nvidia修補的8項漏洞中，最嚴重的是CVE-2026-24207，CVSS嚴重性評分達9.8分，攻擊者可藉此繞過身分驗證，進而促成權限提升、阻斷服務、資料竄改、外洩等風險，甚至遠端執行任意程式碼。

AI推論框架SGLang遭揭3重大漏洞，未驗證攻擊者恐遠端執行程式碼

資安公司Antiproof揭露開源AI推論框架SGLang存在3項高風險漏洞，可能讓未經驗證的攻擊者在執行SGLang的伺服器遠端執行任意程式碼，或將檔案寫入伺服器程序具有權限存取的位置。卡內基美隆大學電腦網路危機處理暨協調中心（CERT/CC）已發布漏洞通報，將Antiproof的發現歸納為2項遠端程式碼執行漏洞，以及1項路徑遍歷漏洞，並建議使用者在修補程式釋出前，限制相關服務介面的存取。

Anthropic悄悄修補Claude Code沙箱繞過漏洞，研究人員批評陷用戶於風險中

Wyze Labs資安研究員Aonan Guan指出，Anthropic在近半年的時間裡，悄悄修補去年10月發現的Claude Code兩個沙箱繞過漏洞，卻未曾以公告或任何方式發出提醒，使廣大開發商及企業用戶暴露於攻擊風險。其中一個被登記為CVE-2025-66479，該公司於去年11月修補，另一個未登記CVE編號的漏洞，則是直到今年4月才完成修補。對此，Guan呼籲用戶應升級Claude Code至2.1.90以上版本，並應檢查連線事件記錄，並輪換憑證因應以降低風險。

Google發布Chrome 148更新，修補16個資安漏洞

Google發布Chrome瀏覽器新版本148.0.7778.178與148.0.7778.179，此次改版共修補16個安全性問題，分別是兩個重大漏洞、9個高風險漏洞，以及5個中度風險漏洞。這次Chrome修補的漏洞中，最值得注意的是重大漏洞，首先是CVE-2026-9111，存在於即時通訊元件WebRTC，屬記憶體釋放後再存取使用（Use After Free）問題；另一個是CVE-2026-9110，存在於使用者介面（UI），攻擊者能藉由特製HTML頁面進行介面欺騙（UI spoofing）。

GraphWorm惡意程式濫用微軟OneDrive作為C2通道，利用雲端服務隱藏攻擊流量

資安業者ESET近日發布報告指出，與中國有關的駭客組織Webworm，透過新型惡意程式GraphWorm向歐洲政府機構發動攻擊，這款惡意程式利用微軟Graph API存取雲端檔案共享與儲存服務OneDrive空間，作為命令與控制（C2）通道，藉由受信任的雲端服務隱藏惡意流量，提高偵測難度。除了GraphWorm，ESET還發現Webworm採用的另一個新型惡意程式EchoCreep，它將社群通訊平臺Discord作為C2通道。

新版Gremlin竊資程式以XOR編碼隱藏惡意內容，提高靜態分析難度

Palo Alto Networks威脅情報團隊Unit 42揭露新版Gremlin竊資軟體，攻擊者已強化隱匿手法，將惡意酬載藏入.NET資源區段，並以XOR編碼遮蔽，使資安工具在不執行程式的情況下，以致於很難從檔案內容找出可疑字串、API呼叫與命令控制伺服器設定。新版加入Discord權杖竊取模組，並具備加密貨幣剪貼簿竄改能力，當使用者複製加密貨幣錢包地址時，惡意程式可能偵測剪貼簿內容，並將地址替換成攻擊者控制的錢包地址。

執法機關瓦解犯罪VPN服務First VPN，FBI稱至少25個勒索軟體組織曾用於偵察與入侵

多國執法機關宣布查緝並關閉First VPN，這項VPN服務長期活躍於俄語網路犯罪論壇。歐洲刑警組織（Europol）指出，近年在重大網路犯罪調查中，幾乎都曾出現First VPN的蹤跡；犯罪分子藉此掩飾身分並隱匿攻擊基礎架構，從事勒索軟體攻擊、大規模詐欺、資料竊取與其他重大犯罪活動。美國聯邦調查局（FBI）發布FLASH資安通報指出，First VPN約自2014年開始運作，截至今年4月，仍在約27個國家提供32臺VPN出口節點伺服器（exit node servers）。

數發部負責AI風險分類框架，將參考歐盟高風險AI標準

行政院5月21日聽取國科會報告，公布《人工智慧基本法》後續推動時程與部會分工。行政院將設立國家人工智慧戰略特別委員會，由行政院長擔任召集人，政務委員及各部會首長、學者及民間產業代表將擔任委員，由國科會負責統籌AI治理與研擬國家發展綱領，待行政院通過後，數發部近期也將公布AI風險分類框架，未來各部會也須依據AI風險建立產業管理規範與公部門的內控制度。數發部次長侯宜秀表示，目前AI風險分類框架已送交行政院審查，並完成跨部會意見整合，預計在近期就會公告。

加速政府朝向AI智慧化治理的發展基礎，行政院6月將發布「AI公務人才認定指引」

為建立臺灣AI人才能力標準與培育體系，行政院5月21日通過由數發部提出的「AI產業人才認定指引3.0」，該指引建立3類AI人才、5大AI能力架構，也因應《人工智慧基本法》與代理式AI的快速發展，新增AI治理素養與AI協作開發能力。同時，政府也預告6月將會發布「AI公務人才認定指引」，將AI人才培育進一步延伸至公部門。行政院長卓榮泰在院會中要求，數發部與人事總處如期完成發布作業，以作為後續政府部門辦理AI人才培育的推動依據。

SAS CIO揭內部GenAI實戰經驗：AI正在改變漏洞管理節奏

SAS資訊長Jay Upchurch日前接受專訪時特別提到AI對資安的衝擊。他指出，近期包括Anthropic等業者開始展示AI驅動的漏洞發掘能力，甚至能在存在數十年的老舊系統中找出潛藏漏洞。這意味著，企業漏洞管理流程將被迫進一步AI化。因為，過去漏洞修補往往需要發現漏洞、等待patch、安排更新、測試和再次驗證，但現在，攻擊者可能在AI找到漏洞後幾分鐘內，就發動攻擊。Jay Upchurch坦言，「漏洞管理再也不一樣了。」也因此，SAS開始用AI進行漏洞掃描、安全檢測和弱點管理，要跟上AI發現漏洞的速度。

新加坡政府公布AI代理沙盒測試結果，評估公共服務應用效益與治理風險

為了解AI代理能否實際用於公共服務，以及導入前需要處理哪些風險，新加坡網路安全局（Cyber Security Agency of Singapore，CSA）、新加坡政府科技局（Government Technology Agency of Singapore，GovTech Singapore）與新加坡資訊通信媒體發展局（Infocomm Media Development Authority，IMDA）於5月20日共同發布AI Agents Sandbox白皮書，揭露與Google合作的沙盒測試成果。

半導體廠弘塑公布勒索軟體攻擊事故調查結果，損失約2,200萬元

半導體濕製程設備製造商弘塑科技（3131）於5月21日發布資安重訊，指出4月10日資訊系統遭勒索軟體攻擊事故的後續處理情形。該公司表示，當下察覺網路異常立即中斷公司網路對外連結，並借助外部專業團隊復原營運所需資料。本次事故對公司生產及進出貨未造成重大影響，公司商業機密及重要資訊迄今未發現外洩，但這起事故還是造成損失，主要在報廢及修復受影響之軟硬體設施，再加上聘請外部專業團隊及復原資料的費用，估計金額約為2,200萬元。

近期資安日報

【5月21日】近兩個月研究人員公布的零時差漏洞已能串成攻擊鏈

【5月20日】CISA驚傳暴露AWS GovCloud金鑰與內部系統憑證

【5月19日】Linux核心再傳Copy Fail新變種漏洞

'

Google傳出不慎洩露Chrome尚未修補的資安漏洞

來源：https://www.ithome.com.tw/news/176051

Google於5月20日公布Chromium專案的程式碼庫當中，傳出意外公開未修補漏洞的概念驗證程式碼（PoC），恐導致Chrome、Edge、Brave、Vivaldi、Arc等瀏覽器的眾多用戶曝險。

此概念驗證程式碼濫用了瀏覽器Fetch API，其用途是讓瀏覽器能在背景下載影片和其他大型檔案。攻擊者可以利用此漏洞建立連線，監控瀏覽器的使用情況，甚至將受害電腦作為代理伺服器，藉此存取網站和發動拒絕服務攻擊。

值得留意的是，根據資安新聞網站Bleeping Computer、科技新聞網站Ars Technica報導，上述揭露的漏洞，實際上，是資安研究員Lyra Rebane在4年前通報的漏洞，並於2022年12月獲得Chromium開發團隊確認。當時Rebane指出該漏洞相當危險，攻擊者很有可能藉此劫持用戶的瀏覽器，並建立殭屍網路，藉此替特定網站製造大量瀏覽次數，而且使用者完全不會發現有人遠端利用自己的電腦執行JavaScript。除此之外，攻擊者還能利用這些瀏覽器發動DDoS攻擊、代理惡意流量，或是將流量重新導向到特定網站。

然而當漏洞被公開之後，Rebane原本以為已經得到修補，但經測試後發現該問題並未完全修補，迄今仍然可被利用，而且在新版Edge觸發漏洞後，瀏覽器不再顯示下載選單，若是遭到利用，使用者將難以察覺。雖然後續Google已停止公開存取相關資料，不過傳出已遭到備份。對此，Ars Technica取得Google發出的聲明，該公司表示，已得知程式碼公開的情形並著手修復。

'