【資安日報】5月27日，互動資通OTP簡訊平臺EVERY8D遭駭

來源：https://www.ithome.com.tw/news/176159

互動資通OTP簡訊平臺EVERY8D遭駭，F-ISAC發布黃燈級資安事件警訊

國內企業簡訊與通訊軟體供應商互動資通（Teamplus）日前疑似遭受嚴重的網路攻擊與勒索軟體侵害，導致其核心業務、市占第一的EVERY8D企業簡訊平臺全面癱瘓。金融資安資訊分享與分析中心（F-ISAC）於5月26日下午，正式對此一資安事件發布黃燈等級的資安事件警訊，並要求所有會員機構必須採取「先釐清暴露面，再進行應變處置」的緊急手段，同時發布五點防禦指引作為會員機構的防禦參考。這場風暴的開端可追溯至5月21日，身分不明的駭客在知名駭客地下論壇中，以「SELLING」為標題，公開兜售互動資通的上市公司網域控制器帳號，以及EVERY8D企業簡訊平臺的相關資料。

臺馬二號海纜完成搶修，東引脫離「單一備援」狀態

數發部於5月26日表示，中華電信已於25日通報完成臺馬二號海纜修復作業，將今年3月7日臺馬二號海纜距離淡水沙崙約23.6公里處的全斷障礙正式排除，目前東引地區語音、行動通訊及網際網路服務已恢復透過海底電纜傳輸，結束近一個月主要依靠微波備援系統支撐的狀態。此次修復之所以受到關注，原因在於東引及馬祖地區近來接連遭遇海纜故障事件，首先是臺馬二號海纜在去年10月7日部分芯線受損障礙，後續臺馬二號海纜又在今年的3月7日於距沙崙23.6公里處發生斷纜，使得當地通訊只能仰賴臺馬三號海纜支援。

數字科技發布資安重訊，揭露開發測試流程疏失導致原始碼與個資外流

旗下擁有591房屋交易網、8591、518熊班與小雞上工等知名平臺的數字科技（5287），於5月26日晚間發布資安重訊，揭露因開發測試流程疏失導致的原始碼與個資外流事件。根據數字科技說明，公司今年5月25日進行內部活動網頁開發與測試作業時，因程式碼管理設定不當，致使部分尚未去識別化的測試原始碼曾短暫被推送至外部平臺，而這些內容涉及特定專案的會員姓名、身分證字號及電子郵件等敏感資訊。

日本學習管理系統KnowledgeDeliver存在零時差漏洞，駭客用於部署Godzilla

日本常見的學習管理系統（LMS）KnowledgeDeliver存在資安重大漏洞CVE-2026-5426，根據Google旗下的Mandiant與威脅情報團體（GTIG）最新揭露，起因是2025年底發生的資安事故。Google表示他們發現有駭客組織濫用相關權限，在KnowledgeDeliver平臺注入惡意程式碼，目的是感染存取該網站的使用者裝置。駭客在成功取得存取權限後，就會在該平臺植入以.NET打造的Webshell，此惡意程式被稱為Godzilla（BlueBeam）。

北韓駭客Lazarus鎖定金融與加密貨幣機構，散布惡意軟體RemotePE

資安公司Fox IT指出，北韓駭客組織Lazarus從原本使用惡意程式ThemeForestRAT和PondRAT，更換為僅在記憶體運作的工具組，涵蓋3種惡意程式DPAPILoader、RemotePELoader，以及RemotePE。具體來說，這些工具可形成一系列攻擊鏈，Lazarus通常會濫用Windows服務，或是透過側載方式啟動DPAPILoader，該惡意程式再濫用作業系統內建的Windows Data Protection API（DPAPI），解密並載入另一支惡意程式RemotePELoader，最終啟動遠端存取木馬（RAT）RemotePE。

7-Eleven資料外洩事故外流逾18.5萬客戶個資

在4月17日，駭客組織ShinyHunters聲稱從便利商店龍頭7-Eleven竊得超過60萬筆資料，開價25萬美元兜售；一個月後，7-Eleven向美國緬因州檢察長辦公室通報資料外洩事故，並指出事故發生在4月8日，該公司自5月1日起通知受影響人士。近日密碼外洩查詢網站Have I Been Pwned（HIBP）將這起資安事故加入資料庫，並指出有18.53萬個帳號受到影響，其中包括電子郵件信箱、姓名、實體地址、出生日期、電話號碼。

2026世界盃倒數一個月，當心鎖定球迷的偽冒FIFA網站

不到一個月後，2026年世界盃足球賽將於美國、加拿大與墨西哥舉行。資安公司ESET近日發出警示，發現多個偽冒FIFA（國際足總）官方網站的釣魚網站，攻擊者透過註冊與官方名稱相近的網域，鎖定正在尋找門票、住宿或官方商品的球迷，藉此騙取個資與信用卡資訊。這些攻擊活動並非零星個案，而是有組織的運作。攻擊者註冊了多種變體的偽冒網域，即使部分網站因被檢舉而下架，仍能透過其他備用網域維持詐騙活動運作。

鎖定SonicWall防火牆的掃描活動激增，疑為利用新漏洞前兆

威脅情報公司GreyNoise發現，近二週鎖定SonicWall防火牆管理介面的掃描活動顯著增加，最高一天將近60萬次，有可能是新漏洞或零時差漏洞即將被利用的前兆，對此，他們呼籲IT人員立即採取行動因應。由於這個現象和今年初掃描激增現象頗為相似，因此GreyNoise認為，之後可能會出現新漏洞。今年初，GreyNoise團隊1月18日、30日及2月14日先後觀察到掃描高峰，10天後就發現了CVE-2026-0400。因此GreyNoise指出，兩週來的掃描次數激增可能是漏洞揭露的前兆。

TeamPCP滲透資料圖形化程式庫AntV，影響逾600個套件

多家資安公司Aikido、Endor Labs、Socket、Step Security提出警告，駭客團體於5月19日發起最新一波Mini Shai-Hulud供應鏈攻擊活動，主要目標是阿里巴巴資料圖形化程式庫AntV生態系統套件，由於被入侵的NPM帳號維護的套件每週下載次數達到150萬，因此，受影響的套件數量快速增加，Socket確認駭客滲透323個套件，上架639個惡意套件。Step Security指出，這些套件內含經混淆處理的惡意酬載，會讀取記憶體中的GitHub Actions執行程序內容，挖掘其中的CI/CD機密資料，從AWS、GCP、Azure、Kubernetes、HashiCorp Vault、加密貨幣錢包及開發者工具等超過130種管道收集憑證，然後透過兩種機制外流。

Anthropic擴大Project Glasswing合作對象，有意將Claude Mythos推向一般企業

4月初Anthropic發布Claude Mythos預覽版，由於該模型威力極為強大，該公司決定限縮使用範圍，透過Project Glasswing專案讓特定科技及金融廠商用來挖掘資安漏洞，本週Anthropic宣布，將把Project Glasswing擴及更多政府等組織，終極目標是將該模型公開推出。Anthropic將Project Glasswing擴大到更多關鍵合作夥伴，包括美國及盟國政府，一旦該公司具備更強大的安全防護機制，將有可能把Mythos等級的模型公開（general release）給大眾使用。

OpenSSF發布Python安全程式開發指南，可用於開發者培訓、資安研究與AI工具評測

開源軟體安全基金會（OpenSSF）於5月12日發布《Python安全程式開發指南》（Secure Coding Guide for Python，pyscg）首版，內容涵蓋9大章節、超過50項規則，並以可執行程式碼範例示範常見弱點與修正方式，可用於開發者培訓、資安研究，以及大型語言模型與靜態分析工具評測。這份指南聚焦CPython 3.9及之後版本與標準函式庫，避免依賴特定網頁框架或第三方模組，讓不同技術堆疊的團隊都能套用當中揭示的原則。

NIST發布製造業資安實務指南草案，聚焦ICS網路攻擊事件應變與復原

為了強化製造業資安，在5月21日，美國國家標準暨技術研究院（NIST）國家網路安全卓越中心（NCCoE）公開《製造業網路攻擊回應與復原：資安實務指南》初版草案，文件編號為NIST SP 1800-41，聚焦工業控制系統（ICS）環境，說明製造業者如何依據NIST網路安全框架2.0版（NIST CSF 2.0）建立事件回應與復原流程，以降低停機與營運衝擊。這份指南也參考NIST另外兩份文件，分別是：《NISTIR 8428》以及《NIST SP 800-61r3》。

CDM發明人推AI Defense Matrix，建構AI安全配套框架

隨著生成式AI浪潮席捲全球，企業在導入AI技術的同時，也面臨前所未有的安全挑戰。知名資安專家、網路防禦矩陣（Cyber Defense Matrix，CDM）發明人Sounil Yu，於5月中旬宣布與資安專家Lenny Zeltser攜手合作，發表全新的AI防禦矩陣（AI Defense Matrix），目的是協助資安主管識別防禦缺口、確立權責歸屬，並針對AI系統選擇精準的控管措施。同時，對於資安供應商而言，這套框架亦能協助其釐清產品價值定位，並擬定更具策略性的產品發展藍圖。

CIS發布Benchmark安全設定基準更新，涵蓋PostgreSQL、Kubernetes與SQL Server

非營利的資安組織網際網路安全中心（Center for Internet Security，CIS），近日發布CIS Benchmarks更新，新增多項針對雲端、容器與作業系統環境的安全設定基準，涵蓋PostgreSQL、Kubernetes、SQL Server、AWS、微軟Office 365等平臺，協助企業進行系統安全強化（Hardening），降低設定錯誤的風險。CIS Benchmarks是CIS發布的安全設定與強化基準，涵蓋作業系統、雲端服務、資料庫、網路設備與容器平臺等環境，廣泛被用於資安稽核、法規遵循與系統安全檢查。

CIS推出支援AI與HPC的強化映像檔，協助企業在AWS部署安全雲端環境

許多組織準備的AI執行環境所採用的組態標準不一，甚至等系統部署後才回頭補強安全措施，不僅增加風險，也讓安全與營運團隊更難維持一致的防護狀態。為了降低這類部署風險，非營利資安組織網際網路安全中心（CIS）將既有CIS Hardened Images產品線延伸到AI與高效能運算（HPC）場景。CIS Hardened Images是依據CIS Benchmarks建立的預先配置虛擬機器映像檔，可在主要雲端平臺提供預設具備安全組態的作業系統環境。

Underminr濫用共享CDN架構，讓惡意連線偽裝成可信網域流量

資安業者ADAMnetworks揭露藏匿在內容傳遞網路（CDN）基礎架構中的安全漏洞Underminr，宣稱駭客可利用該漏洞繞過安全偵測，估計影響全球約8,800萬個網域。惡意程式可讓受害裝置先查詢一個被允許的可信網域A，取得它背後的CDN邊緣IP位址；但真正連到該IP位址時，卻在TLS SNI（伺服器名稱指示）與HTTP Host中指定另一個同樣位於該CDN共享邊緣上的惡意網域B。這麼做使惡意程式可把C2通訊、資料外洩或代理流量偽裝成正常連線。

蘋果OS新推出的基礎密碼學程式庫內建兩種量子安全演算法，並推出形式驗證工具

在蘋果的安全工程與架構團隊（SEAR）與硬體技術正式驗證團隊的合作之下，針對作業系統發布新的基礎密碼學程式庫corecrypto，當中實作兩種量子安全演算法：ML-KEM、ML-DSA，以及該公司建立的數學證明，以確保它們符合FIPS 203與FIPS 204這兩種美國聯邦資訊處理標準的要求，供專家獨立評估。在此同時，為了提升關鍵軟體安全保障，使其達到最先進的水準，蘋果也發布自行建立的形式驗證（formal verification）程式庫與工具。

微軟開源RAMPART，讓代理安全測試CI化

微軟開源測試AI代理安全性的工具RAMPART，讓工程團隊把資安團隊在模擬攻擊中發現的問題，或實際AI事件中的風險情境，轉成可以反覆執行的自動化測試，並放進持續整合流程，也就是每次程式變更時都能一起檢查，避免修正過的安全問題之後又重新出現。該公司也開源Clarity，協助團隊在正式開發前釐清開發假設、可能出錯的情境與重要設計決策。兩項工具處理的階段不同，RAMPART偏向開發中的安全測試，Clarity則偏向開發前的問題釐清與決策記錄。

Flipper公布Flipper One計畫

主要開發開源硬體與資安工具產品的Flipper Devices，因推出Flipper Zero可攜式資安裝置在資安研究者、硬體玩家與創客社群間快速走紅，近日他們公布新專案Flipper One，目標是打造全球最開放、文件最完整的ARM電腦，完整支援Linux主線核心（Mainline Linux Kernel）。Flipper宣稱Flipper One與Flipper Zero定位完全不同，Flipper Zero偏向近距離通訊與裝置訊號分析，Flipper One則聚焦IP網路與Linux運算能力。

CISA宣布提供研究人員通報漏洞已遭利用的管道

5月21日美國網路安全暨基礎設施安全局（CISA）發布公告，表示為了讓研究人員、供應商，以及產業合作夥伴能更容易通報遭到利用的漏洞，他們推出已遭利用漏洞列表（KEV）的漏洞提報表單（Nomination Form）系統，期望這種新的通報機制能增加CISA快速識別、驗證、共享KEV相關的重要威脅情資。CISA設立KEV的漏洞提報表單平臺的目的，就是鼓勵研究人員進行誠信的資安研究，並促進透明、協調的網路風險修復。

近期資安日報

【5月26日】馬偕醫院再傳遭駭客竊取資料，院方表示疑為去年舊案

【5月25日】GitHub內部儲存庫的程式碼外流，確認遭供應鏈攻擊事故波及

【5月22日】微軟修補防毒軟體零時差漏洞

'

Deno 2.8強化Node.js相容性，新增套件管理與CI流程CLI命令

來源：https://www.ithome.com.tw/news/176163

JavaScript執行環境Deno團隊發布Deno 2.8，這次更新重點放在強化Node.js與NPM套件系統的相容性，並新增多項CLI命令，讓開發者能在Deno中處理套件安裝、自動化建置、版本更新、相依關係查詢與套件發布流程，讓既有Node.js專案更容易搭配Deno工具鏈一起使用。

Deno主打安全預設與單一執行檔工具鏈，不過，若要讓更多Node.js專案順利使用Deno，仍需要提高相容性，並補強套件安裝、建置與發布等流程。Deno 2.8對Node.js官方測試套件的通過率，從Deno 2.7約42%提高到76.4%，在4,457項測試中通過3,405項，擴大對Node.js常用功能的支援範圍。

Deno 2.8調整CLI使用方式，開發者透過命令列加入或安裝套件時，未加來源前綴的套件名稱會預設視為NPM套件。官方提到，該功能調整的目的，是讓命令列操作更接近多數JavaScript開發者熟悉的使用習慣。

新版新增的CLI命令，則補強開發到交付之間的常見工作。Deno 2.8加入適合CI環境的安裝模式，能依照鎖定檔安裝相依項目，避免自動化建置時意外改變套件版本，並也新增套件打包（deno pack）能力，可將專案產生為NPM可接受的發布封裝。開發者也能查詢某個套件是透過哪一層相依關係被帶入專案，較容易判斷套件來源與版本關係。

其他新增命令則處理漏洞修補、版本更新與程式轉換。新版可在版本限制允許的範圍內，自動升級受已知漏洞影響的NPM套件，也能更新專案設定檔中的版本號。對需要預先產生JavaScript檔案的場景，Deno 2.8提供將TypeScript、JSX或TSX轉成JavaScript的命令。

Deno 2.8也改善執行效能與除錯能力，根據官方公布的Linux測試顯示，冷啟動NPM安裝時間由Deno 2.7.1的3,319毫秒降至906毫秒。新版也支援在Chrome DevTools中檢視Deno程式的網路流量，方便開發者觀察程式對外連線與請求狀況。

Deno 2.8內建TypeScript 6.0.3，型別檢查、打包（deno bundle）、語言伺服器與編譯功能會自動使用新版本。新版也加入工作區集中管理套件版本的能力，方便大型專案在多個子專案之間維持一致相依項目版本，並支援只安裝正式環境需要的套件，供部署與CI流程使用。

'

西班牙封鎖預測投注平臺Polymarket與Kalshi

來源：https://www.ithome.com.tw/news/176162

西班牙消費部（Ministerio de Derechos Sociales, Consumo y Agenda 2030）周一（5/25）宣布，已針對Polymarket及Kalshi兩個預測投注平臺啟動制裁程序，並暫時於當地封鎖它們。

Kalshi與Polymarket分別是2018年及2020年在美國紐約創立的預測投注平臺，它們列出各種尚未成定局的事件，然後開放下注，從政治、體育、天氣、名人八卦到金融，例如比特幣的漲跌、OpenAI會在何時IPO、西班牙能否贏得世界盃等，主要的差別在於Kalshi使用法幣，而Polymarket則要以加密貨幣下注。

西班牙消費部表示，這兩個平臺涉嫌違反博彩法規，在未持有必要行政許可的情況下於西班牙境內營運，當地的博彩監管總局（DGOJ）已針對它們啟動制裁程序，由於制裁程序可能需要數月，因此決定要求當地電信業者暫時封鎖Kalshi與Polymarket。

西班牙曾嘗試向兩家公司海外地址直接送達通知，但均告失敗，才決定展開制裁。裁決後的平臺可選擇申請執照、提出申訴或調整服務內容。

DGOJ說，西班牙與其他歐洲司法管轄區一致，認定預測投注平臺在涉及對不確定未來結果進行投注時，具有博彩性質，因此在西班牙境內經營須取得特定行政執照。未獲授權的業者缺乏西班牙法規所要求的技術與監管保障，包括身份核實系統、阻止未成年人及自我排除者或被禁止賭博人士進入的管控機制，以及保護用戶所需的監督標準等。

除了西班牙之外，新加坡也以非法博彩為由封鎖了Kalshi與Polymarket，臺灣則以違反《公職人員選舉罷免法》封鎖了Polymarket。

'

Google揭露中國網釣即服務平臺YY Lai Yu，日本成首要網釣目標

來源：https://www.ithome.com.tw/news/176161

對於中國網釣即服務平臺的危害，近日Google威脅情報小組（GTIG）公布相關案例，指出名為YY Lai Yu（YY来鱼）的PhaaS平臺，正利用高度自動化的「在地化即服務（Localization-as-a-Service）」模式，大規模發動精準的網路釣魚攻擊。

GTIG調查顯示，「YY来鱼」自2024年8月開始活躍，宣稱支援全球119國的網釣活動。其核心目標目前鎖定日本市場，專為中文攻擊者提供滲透日本消費生態系所需的在地化工具。

自2025年11月至今，該平臺已提供超過400種釣魚模板。值得關注的是，這些模板不再僅限於傳統的偽冒銀行頁面，而是深度偽造日本民眾的日常數位服務，品牌涵蓋 Amazon、Apple、PayPay、JR鐵路、任天堂，以及野村、樂天等證券公司與佐川急便等物流業者。同時，該平臺也進一步利用當地消費習慣與時事主題，以積分獎勵兌換、日本冬季電力補助等名義，引誘民眾上當。

在攻擊管道方面，該平臺支援RCS與iMessage加密簡訊發送功能，讓攻擊者得以規避電信業者過濾；此外，「YY来鱼」也提供獨特的真人驗證視窗機制（human verification anti-bot screen），能阻擋資安廠商的自動化掃描，規避偵測並延長釣魚連結的存活時間。

GTIG 強調，雖然「YY来鱼」目前以日本為主要目標，但攻擊活動正向全球擴散，美洲、歐洲、澳洲及中東地區均已出現受害者，顯示此類中文自動化PhaaS體系已成為全球資安威脅。

圖為YY Lai Yu（YY来鱼）平臺偽冒日本最大行動支付PayPay的釣魚頁面。

'

Google示警中國PhaaS犯罪服務平臺升級，具AI生成偽冒網站能力

來源：https://www.ithome.com.tw/news/176158

過去一年，使用中文為主要語言的駭客族群，其主導的網路釣魚即服務（PhaaS）迅速擴張。繼臺灣研究人員去年率先揭露相關情況後，Google威脅情報小組（GTIG）近期再度警告，中文PhaaS平臺正運用AI提升全球網釣能力，並規避釣魚網站偵測。

GTIG指出，PhaaS市場過去長期由俄語駭客包辦，現今中文地下犯罪體系興起，需要全球戒備。而且這些平臺提供的釣魚範本，宣稱能支援全球100多國的釣魚活動，但皆以非中國品牌為目標，顯示其刻意避開中國境內以降低查緝風險。

經分析十多個活躍平臺後，GTIG發現AI自動化工具已成主流。以Darcula平臺（研判與UNC5814有關）為例，該平臺捨棄靜態模板，改採AI網頁產生器搭配Puppeteer等工具。攻擊者僅需提供URL，系統即能複製合法網站的HTML、CSS與JavaScript。由於釣魚網頁結構各異，導致傳統特徵碼偵測效果大減甚至失效。

此外，GTIG還發現其技術手段進一步擴張。例如，這些網路犯罪租賃平臺從單純收集密碼，演進至即時攔截一次性密碼（OTP），另也能將竊取的信用卡資訊與OTP結合，受害者信用卡綁定攻擊者設備的數位錢包。這些PhaaS更提供網域名稱註冊、VPS代管、偽基地臺（IMSI catchers）及洗錢等配套，形成完整而成熟的網路犯罪供應鏈，讓租用犯罪平臺的簡體中文使用者，可以更快速對全球民眾發動網釣攻擊。

'

行政院成立AI導入災防專案會議，整合空間情資與AI分析強化防災韌性

來源：https://www.ithome.com.tw/news/176160

去年豪雨、颱風及多次地震造成山區地質脆弱，隨著5月進入國內進入防汛期，行政院召開中央災害防救會報，聚焦防汛整備、AI災防應用與空間情資整合等議題。行政院副院長鄭麗君強調，面對日益複雜的災害型態，政府必須加速導入AI與數位科技，來建立更具韌性的災害管理體系。

這次中央災害防救會報最大重點之一，是確立將在中央災害防救委員會下設立「AI導入災防專案會議」，跨部會共同推動AI在災害風險管理與防救災工作中的應用。鄭麗君指出，國發會推動的「AI新十大建設推動方案」，其中的智慧治理已是重要的施政方向，災害管理更是其中關鍵的應用場域，已請國發會將災防AI應用計畫納入AI新十大建設推動方案之中，強化跨部會計畫整合。

AI災防管理的4方向

行政院規畫將AI應用納入下一階段的「災害防救基本計畫（2029年至2033年）」中，優先推動4大方向，包括「決策支援與應變方案規畫」、「資源調度與後勤管理」、「資訊傳遞與民眾互動」，以及「特殊族群與社會支持」。未來將透過跨部會資料共享與AI分析，讓政府可以更精準進行風險預測、災防預算配置與應變調度。

鄭麗君強調，AI災防的關鍵在於資料整合。未來政府將優先建立統整性的災防資料庫，串接各部會圖資、氣象、水文、交通、地質及通訊等資料，再透過AI模型分析與模擬，提升災害預警與決策效率。

她指出，透過圖資與AI分析，能協助中央與地方政府更有效協調資源，也有助於與民間體系合作，建立更完整的社會防災支持網絡。

透過各種科技整合空間情資，發揮救災重建效益

在災防管理中，地理空間情資的資料蒐集相當重要，中央災害防救會報中，農業部特別報告了空間情資在加速災後復原重建的應用案例，以丹娜絲颱風為例，政府首度啟動空間情報小組，整合衛星、飛機、無人機遙測影像，以及各類地理資訊系統圖資，協助超過4萬棟受損房屋的災損調查與復原重建。

農業部建置BigGIS巨量空間資訊系統，在丹娜絲颱風與七二八豪雨期間，實際用於雲嘉南地區災損的調查與重建工作。

行政院認為，空間情資平臺未來將是防災科技的重要基礎建設，將持續優化「空間情報小組」運作機制，並與AI災防專案會議跨域整合。

除了AI與空間科技，高風險基礎設施與孤島地區的防災韌性也是關注的重點。行政院要求相關部會強化水、電、通訊等維生系統的災前整備與監測預警，同時加強邊坡科技監測與道路排水改善工程，降低豪雨與地震造成的交通中斷風險。

在交通防災方面，交通部持續推動蘇花及中橫公路邊坡科技監測與排水改善工程；農業部則持續利用雨量監測、水位監測與水砂情境模擬，掌握馬太鞍溪堰塞湖與土石流風險變化，並即時提供地方政府作為疏散避難與防災應變依據。

'

壓縮工具7-Zip發布新版本，修補惡意NTFS映像檔可能導致執行任意程式碼的重大漏洞

來源：https://www.ithome.com.tw/news/176155

廣獲使用的開源壓縮工具7-Zip近日更新26.01版，修補可能導致執行任意程式碼的重大漏洞CVE-2026-48095，攻擊者可能利用特製NTFS映像檔（NTFS image）觸發記憶體處理缺陷，進而造成程式當機，甚至執行任意程式碼，影響7-Zip 26.00版以前的所有版本，建議用戶儘速更新至已修補的26.01版。

7-Zip除了用於檔案的壓縮與解壓縮，也能用於檢視各式磁碟映像檔（disk image）的內容，用戶無須實際掛載這些磁碟映像檔，可透過7-Zip直接檢視與取出其中的內容。而這次7-Zip修補CVE-2026-48095漏洞，便是處理NTFS映像檔涉及的問題，屬於堆積緩衝區溢位弱點（heap buffer overflow），CVSS嚴重性評分達8.8分，存在於7-Zip處理NTFS映像檔的過程中，對NTFS壓縮資料流緩衝區（NTFS compressed stream buffer）的記憶體配置不足，攻擊者可透過特製的NTFS映像檔來觸發此漏洞。

依據揭露此漏洞的GitHub Security Lab的報告，在記憶體較小的系統，這個漏洞會造成系統拒絕服務，在擁有16GB以上記憶體的系統，則可能造成緩衝區溢溢位。Security Lab特別指出，由於7-Zip是依據檔案簽章判斷並啟動NTFS處理流程，所以攻擊者的惡意NTFS映像檔無須使用NTFS相關副檔名（.ntfs或.img等），而可以偽裝為其他副檔名，甚至沒有副檔名，用戶只需開啟該映像檔，就有可能讓7-Zip執行NTFS處理程序，從而觸發此漏洞。

'

日本學習管理系統KnowledgeDeliver存在零時差漏洞，駭客用於部署Godzilla

來源：https://www.ithome.com.tw/news/176146

日本常見的學習管理系統（LMS）KnowledgeDeliver存在資安重大漏洞CVE-2026-5426，根據Google旗下的Mandiant與威脅情報團體（GTIG）最新揭露，起因是2025年底發生的資安事故。

CVE-2026-5426源自於KnowledgeDeliver採用完全相同的ASP.NET機器金鑰，未經身分驗證的攻擊者可用於繞過ViewState驗證機制，並透過惡意的ViewState進行反序列化攻擊，最終可遠端執行任意程式碼（RCE），影響在今年2月24日之前部署的KnowledgeDeliver，CVSS風險評為9.1分，為重大等級。Mandiant於1月19日向軟體開發商Digital Knowledge通報此事，Digital Knowledge於2月24日實作新版部署工具解決弱點。Google表示，由於不同客戶部署的KnowledgeDeliver平臺採用完全相同的金鑰，換言之，若攻擊者從任一伺服器取得金鑰，他們就能入侵暴露在網際網路的其他學習管理平臺主機。

針對當時發現的攻擊活動，Google表示他們發現有駭客組織濫用相關權限，在KnowledgeDeliver平臺注入惡意程式碼，目的是感染存取該網站的使用者裝置。駭客在成功取得存取權限後，就會在該平臺植入以.NET打造的Webshell，此惡意程式被稱為Godzilla（BlueBeam），透過網頁伺服器IIS的處理程序啟動，並完全在記憶體執行，若是被攻擊的使用者試圖透過檔案掃描進行偵測，將難以察覺異常。攻擊者透過發送HTTP POST請求，向受害電腦下達更多命令，或是傳遞惡意酬載。

另一方面，攻擊者也試圖竄改檔案他們透過Windows內建的命令列工具icacls，對IIS網頁伺服器的「所有使用者」授予完整的存取權限，接著，他們試圖竄改某個網頁應用程式的JavaScript檔案，使得存取KnowledgeDeliver平臺的用戶電腦顯示偽造的警示訊息，並要求用戶安裝經過驗證的資安外掛程式。不過，也有部分會從攻擊者控制的網域，於背景下載惡意指令碼。但不論何種方式，最終駭客都是為了說服使用者下載冒牌安裝程式，導致電腦被感染Cobalt Strike的Beacon。

'

7-Eleven資料外洩事故外流逾18.5萬客戶個資

來源：https://www.ithome.com.tw/news/176145

在4月17日，駭客組織ShinyHunters聲稱從便利商店龍頭7-Eleven竊得超過60萬筆資料，開價25萬美元兜售；一個月後，7-Eleven向美國緬因州檢察長辦公室通報資料外洩事故，並指出事故發生在4月8日，該公司自5月1日起通知受影響人士。至於此次資料外洩影響的範圍有多大，最近有資安網站透露更多資訊。

近日密碼外洩查詢網站Have I Been Pwned（HIBP）將這起資安事故加入資料庫，並指出有18.53萬個帳號受到影響，其中包括電子郵件信箱、姓名、實體地址、出生日期、電話號碼。根據HIBP掌握的駭客公開資料，他們認為，符合7-Eleven後續以電子郵件通知受影響人員的說法（外洩資料來自該公司存放加盟商文件的系統）。

'

北韓駭客Lazarus鎖定金融與加密貨幣機構，散布惡意軟體RemotePE

來源：https://www.ithome.com.tw/news/176122

惡名昭彰的北韓駭客Lazarus近期動作頻頻，不時有攻擊行動傳出，最近有資安公司警告，這些駭客更換作案工具，使得相關活動的蹤跡更難察覺。

資安公司Fox IT指出，Lazarus從原本使用惡意程式ThemeForestRAT和PondRAT，更換為僅在記憶體運作的工具組，涵蓋3種惡意程式DPAPILoader、RemotePELoader，以及RemotePE。具體來說，這些工具可形成一系列攻擊鏈，Lazarus通常會濫用Windows服務，或是透過側載方式啟動DPAPILoader，該惡意程式再濫用作業系統內建的Windows Data Protection API（DPAPI），解密並載入另一支惡意程式RemotePELoader。由於DPAPI將金鑰與特定使用者帳號綁定，金鑰管理由作業系統負責，即使防守方將惡意酬載上傳至VirusTotal，也會因為缺乏對應的金鑰而難以分析。

接著，RemotePELoader的主要工作，是從C2伺服器擷取惡意程式RemotePE的核心模組，並載入記憶體。不過，它在執行上述工作之前，會採用兩種型態的迴避偵測技術，其中一種是HellsGate，是源自於TartarusGate的變形手法，會動態解析執行環境以掌握Windows系統呼叫編號。藉由直接系統呼叫，RemotePELoader會迭代Process Environment Block的模組清單，然後重新映射所有的DLL檔，並置換在記憶體中被掛鉤的DLL複本，同時解除端點防護系統的掛鉤。另一種是「填補」Windows事件記錄追蹤功能（ETW），以特定位元組覆寫當中使用的EtwEventWrite() 函式，使得ETW的事件記錄不會產生，連帶影響仰賴ETW的資安工具讀取受害電腦的事件記錄內容。

RemotePE是具備完整遠端存取木馬（RAT）功能的惡意程式，採用C++語言與物件導向的程式設計風格進行撰寫，執行時會啟動兩個執行緒，其中一個建立C2通訊，另一個處理來自C2伺服器的指令。此RAT支援6種類型的指令，其中較特別的是刪除檔案的部分，該惡意程式會先以特定的資料覆寫檔案7次，然後再更改檔名並予以刪除。RemotePE也實作外掛功能，操作員可動態註冊其他DLL有效酬載，以載入外掛程式。

'