4年前的Linux核心漏洞已遭利用，恐被用於供應鏈攻擊

來源：https://www.ithome.com.tw/news/176353

iThome資安新聞編輯團隊溫馨提醒

擔心錯過重要的資安新聞嗎？資安日報與資安週報即日起推出免費電子報訂閱，每天每週直送資安要聞，提供專業、易懂、便於轉述的最佳中文資安情報，助你掌握全球與臺灣最新資安脈動。

'

英國要求Google提供AI Overviews獨立退出權限

來源：https://www.ithome.com.tw/news/176354

英國競爭與市場管理局（Competition and Markets Authority，CMA）周三（6/3）宣布，對Google搜尋服務祭出新的行為要求（Conduct Requirement），正式要求Google讓出版商能夠單獨選擇退出（Opt-out）AI Overviews等AI搜尋功能對其內容的使用，同時不得影響其內容出現在一般搜尋結果中的資格。CMA表示，這是全球首個針對AI搜尋內容使用建立獨立退出機制的監管措施。

近年Google陸續推出AI Overviews等生成式AI搜尋功能，透過大型語言模型直接整理多個網站內容，於搜尋結果頁頂端提供摘要答案。出版商與新聞媒體則擔憂，使用者獲得答案後不再點擊原始網站，將導致流量與廣告收入下滑。根據皮尤研究中心（Pew Research Center）去年公布的研究，出現AI Overviews時，僅8%的使用者會點擊傳統搜尋結果連結，低於未出現時的15%；點擊AI Overviews引用來源連結的比例更只有1%。

此一要求是CMA在認定Google於一般搜尋服務市場具有「策略市場地位」（Strategic Market Status，SMS）後推出的首批正式監管措施之一。CMA認為，出版商應擁有更大的控制權，決定自己的內容如何被Google搜尋及相關AI功能使用，並藉此提升與Google協商內容授權合作時的議價能力。

新規定也進一步擴大出版商的控制權。除了可拒絕內容被用於AI搜尋功能外，出版商未來也能選擇不讓Google將內容用於AI模型微調（Fine-tuning）。而Google則必須在AI生成搜尋結果中清楚標示內容來源並提供連結，以提高資訊透明度。

由於Google正將搜尋服務從傳統連結列表轉向AI生成答案，CMA也將這項要求視為對Google整體AI搜尋轉型的監管，而非只處理單一功能。換言之，出版商取得的不是一次性的AI Overviews退出權，而是對其內容被用於AI搜尋的持續控制權。

Google必須在9個月內完成所有調整，並每6個月提交及公開合規報告，說明已採取的措施與相關數據。

'

老舊系統威脅持續惡化，歐洲逾半數工業組織的資安事件涉及舊版Windows系統

來源：https://www.ithome.com.tw/news/176352

工業環境中的老舊系統（Legacy Systems）風險持續成焦點，TXOne Networks近期針對歐洲揭露其2026年度OT資安報告研究細節，解析當地工業領域面臨的挑戰。報告指出，過去一年有超過半數（51%）的歐洲工業組織，曾經歷涉及老舊Windows系統的資安事件，這項數據相較於2025年的43%有明顯增長。值得注意的是，約25%受訪者表示相關資安事故在一年內發生不只一次，反映出舊系統漏洞已成為駭客眼中持續且活躍的攻擊面。

從地區分布來看，瑞典災情最為嚴峻，高達72%受訪者表示曾發生相關事故，波蘭與英國也分別出現68％與64％的高比例。若以產業別分析，食品與飲料業、半導體產業的受害比例居首，皆達70%，能源產業則為61%，即便是在比例相對較低的公用事業，也有35%的組織受到影響，顯見舊系統風險已橫跨各大工業領域。

該報告同時強調企業防禦策略正在轉變，目前已有6成工業組織正積極計畫投資專門的老舊系統防護方案，突顯討論重點正從「何時更換」轉向「今日如何保護」。

'

美國政府證實Magento快取外掛Mirasvit Cache Warmer重大漏洞已遭利用

來源：https://www.ithome.com.tw/news/176350

上週資安公司Sansec提出警告，Magento網頁快取外掛程式Mirasvit Cache Warmer存在重大漏洞CVE-2026-45247，攻擊者在未經身分驗證的情況下，可在PHP物件進行注入，CVSS風險評為9.8分，用戶應儘速更新因應。本週美國網路安全與基礎設施安全局（CISA）指出，他們已掌握漏洞遭積極利用的證據。

6月3日CISA將上述漏洞加入已遭利用的漏洞名單（KEV），要求聯邦機構必須在6月6日前完成修補。而對於該漏洞是否被用於勒索軟體攻擊？CISA表示不清楚。

'

CISA將Android框架零時差漏洞列入已遭利用漏洞名單

來源：https://www.ithome.com.tw/news/176349

Google發布6月Android例行更新（Android Security Bulletin），修補的對象包含存在於Android框架的權限提升漏洞CVE-2025-48595，公告指出該漏洞已被鎖定目標的局部活動所利用，隨後美國網路安全暨基礎設施安全局（CISA）也證實CVE-2025-48595被用於實際攻擊的情況。

6月2日CISA發布公告，他們掌握兩個漏洞遭到積極利用的證據，將它們加入已遭利用漏洞列表（KEV），其中一個就是CVE-2025-48595，聯邦機構必須在6月5日前完成修補。

'

HTTP/2 Bomb攻擊手法影響主流網頁伺服器，恐遭用於DoS攻擊

來源：https://www.ithome.com.tw/news/176351

研究人員於6月3日揭露名為HTTP/2 Bomb的遠端阻斷服務（DoS）攻擊手法，影響多款主流網頁伺服器與代理伺服器，包括Nginx、Apache httpd、Microsoft IIS、Envoy與Cloudflare Pingora。這項攻擊鎖定HTTP/2預設組態，攻擊者可透過少量流量消耗伺服器大量記憶體，導致服務回應緩慢或無法存取。

資安研究發布平臺Calif指出，這項攻擊是由OpenAI程式開發代理Codex將兩種已知技術串連後發現，作法是結合針對HTTP/2標頭壓縮機制HPACK的壓縮炸彈，以及類似Slowloris的連線占用手法。攻擊者可先利用HPACK索引引用，讓伺服器反覆配置標頭相關記憶體，再透過宣告零位元組的HTTP/2流量控制視窗，讓伺服器無法完成回應並釋放已配置的記憶體。

根據研究測試，一臺具備100Mbps連線的家用電腦，理論上可在數秒內讓易受攻擊的伺服器無法提供服務。以單一用戶端測試來看，Envoy 1.37.2約可在10秒內占用32GB記憶體，放大比例最高約5,700:1；Apache httpd 2.4.67約可在18秒內占用32GB記憶體，放大比例約4,000:1。

漏洞修補方面，Nginx自1.29.8版起加入max_headers指令，預設值為1000；Apache則在mod_http2 v2.0.41修正，相關修補已可從獨立發布的mod_http2套件版本與httpd trunk取得，但尚未納入Apache httpd 2.4.x正式版本。該問題被指定為CVE-2026-49975，Calif文章未列出CVSS風險分數。若無法升級，研究者建議停用HTTP/2。

'

Google Workspace擴大網域外檔案警示，降低敏感資料外洩與釣魚攻擊風險

來源：https://www.ithome.com.tw/news/176340

Google於5月26日宣布強化Google Workspace安全功能，擴大既有網域外檔案警示（Out-of-Domain file-level warnings）的適用範圍，新增支援行動裝置App、檔案共享通知等情境。Google表示，這項功能可協助企業使用者辨識來自組織外部的文件與使用者，降低外洩敏感資料及遭遇網路釣魚攻擊的風險。

根據Google說明，網域外檔案警示功能在2025年4月推出，當使用者處理來自Workspace組織外部的文件，或文件擁有者、存取對象涉及外部使用者時，系統會顯示外部標章，提醒使用者留意此為外部共享內容。現在這項功能擴大支援範圍，除了涵蓋Android與iOS版Google雲端硬碟、Google文件、Google試算表與Google簡報，也延伸至電子郵件的留言通知與檔案共享通知。

另一項變更涉及服務帳戶。若文件開放給外部Google Cloud組織擁有的服務帳戶存取，系統也會在文件中顯示外部標章，提醒使用者留意文件存取權限變化，降低資料外洩風險。

圖片來源/Google

'

微軟9月強化Entra ID自助式密碼重設，僅允許已註冊驗證方法

來源：https://www.ithome.com.tw/news/176333

微軟預告，身分識別與存取管理服務Microsoft Entra ID的自助式密碼重設（Self-Service Password Reset，SSPR）流程，將自2026年9月7日起調整。企業使用者透過SSPR重設密碼並驗證身分時，僅能使用事先完成註冊的驗證方法。若手機號碼、公司電話或備用電子郵件僅存在於目錄屬性中，未正式註冊為驗證方法，政策生效後將無法再用於密碼重設。

根據微軟5月28日發布的Message Center公告MC1325414，以及媒體Neowin、Techzine報導，這項調整被列為重大變更（Major change），也是微軟安全未來倡議（Secure Future Initiative，SFI）的一部分。微軟表示，這項作法是要讓密碼重設驗證改以值得信任且經使用者驗證的方法為基礎，而不是仰賴目錄服務中可能未持續維護的使用者聯絡資訊。

根據微軟規畫，2026年7月6日起，系統將提醒受影響使用者與系統管理員註冊驗證方法；9月7日起正式強制執行。屆時，已啟用SSPR的租戶，將無法再使用儲存在目錄中的聯絡資訊作為身分驗證方式。微軟表示，目前約86%的SSPR驗證已透過完成註冊的驗證方法進行；未完成註冊者屆時將無法自行重設密碼，必須先註冊驗證方法或聯絡系統管理員。

微軟建議已啟用SSPR的組織及早確認所有使用者，尤其是系統管理員，都已註冊至少一種符合SSPR政策的驗證方法，並提前建立服務臺協助註冊，以及替代的帳號啟用與驗證流程，同時通知IT人員與員工新政策內容，以降低政策生效後無法自行重設密碼的風險。

'

Veeam 13.0.2解決備份伺服器高可用性與跨平臺支援問題，修正檔案層級資料復原流程設定

來源：https://www.ithome.com.tw/news/176339

備份與資料保護廠商Veeam近日推出Veeam Backup & Replication 13.0.2版，這次更新聚焦於備份基礎設施高可用性、跨平臺支援，以及復原能力的修正。

在高可用性方面，在先前版本中，當用戶建立Veeam高可用性叢集架構（HA Cluster）時，備份伺服器節點PostgreSQL資料庫的記憶體不足保護順序設定（Out-Of-Memory，OOM），會遭到重置，導致作業系統在遭遇記憶體壓力時，可能終止PostgreSQL服務，到了Veeam最新發布的版本，這個問題獲得解決。

在跨平臺支援方面，13.0.2版也修正搭配不同平臺時的作業問題，例如Hyper-V環境的複本VM無法啟動，以及Linux平臺的代理程式，無法安裝在RHEL 9.8、RHEL 10.2與Ubuntu 26.04 LTS等Linux發行版。上述狀況改善後，能使這些系統的資料受到保護。

在新版本中，Veeam還修正檔案層級還原作業（File-Level Restore，FLR）的流程設定問題。 先前版本中，Veeam對FLR作業流程的環境設定，是依發起還原作業的使用者而定，但不同使用者的權限與環境差異，可能導致還原作業出現問題。 13.0.2版則改由固定的備份服務帳號，來決定還原流程中的環境設定，從而解決此問題。

'