思科企業通訊管理平臺Unified CM存在重大SSRF漏洞，恐遭用於權限提升攻擊

來源：https://www.ithome.com.tw/news/176411

思科發布安全公告，修補企業通訊管理平臺Unified CM（Cisco Unified Communications Manager）及Unified CM SME（Cisco Unified Communications Manager Session Management Edition）重大漏洞CVE-2026-20230。該漏洞屬於伺服器端請求偽造（Server-Side Request Forgery，SSRF）漏洞，攻擊者可能透過特製HTTP請求，讓受影響系統執行非預期的連線或處理動作。

思科將該漏洞的安全影響評等列為重大等級，高於CVSS 8.6分對應的高風險等級。官方解釋，原因是攻擊者成功利用後，可能將檔案寫入底層作業系統，作為日後提升至root權限的手段。CVE-2026-20230源於系統對特定HTTP請求的輸入驗證不當，未經身分驗證的遠端攻擊者只要向受影響裝置送出特製HTTP請求，就可能發動攻擊。

不過，該漏洞要生效有明確前提，並非所有Unified CM部署皆受影響，只有啟用WebDialer網頁撥號服務的Cisco Unified CM與Unified CM SME環境，才在CVE-2026-20230影響範圍。

管理員可登入Cisco Unified CM管理介面，檢查Cisco WebDialer Web Service是否處於已啟動狀態。目前官方沒有提供可完全替代修補程式的解決方式，但在正式套用修補前，管理員可先停用WebDialer服務，作為降低風險的臨時措施。WebDialer預設為停用，因此管理員需要先確認實際部署狀態，才能判斷是否暴露於相關風險。

Cisco Unified CM與Unified CM SME 14版的修補版本為14SU6；15版則為15SU5，預計於2026年9月提供，或可使用版本對應的COP修補程式。思科提醒，暫時停用WebDialer服務只能降低風險，完整處理仍需升級到已修補版本。

思科產品安全事件應變團隊表示，已知這項漏洞已有概念驗證利用程式碼公開，但截至公告發布時，尚未掌握惡意利用案例。

'

【資安週報】0601~0605，漏洞問題成國家嚴防風險，印度要求企業組織在關鍵漏洞公布12小時內完成修補

來源：https://www.ithome.com.tw/news/176407

為應對AI時代的資安威脅，印度網路安全主管機關CERT-In提出更強硬的應對措施，針對漏洞修補制定了嚴格的時效規範，這將是各國政府與企業必須密切關注的法規發展方向。

AI資安的發展同樣備受矚目，包括Anthropic提出AI代理人零信任框架，以及Claude Mythos擴大開放更多組織參與合作等動態，皆持續成為產業關注熱點。

在資安維運方面，台積電年報揭露其營運持續管理與危機管理（BCM & CM）架構，除強調科技、網路與供應鏈韌性外，更進一步納入數據、實體安全及勞動力韌性，成為組織應對極端風險的重要參考；同時，Linux基金會與OpenSSF發布網路安全技能框架，則為資安人才培力建立了標準指引。

政策法規

衛福部針對醫療產業發布應用生成式AI的指引，不僅成為臺灣醫療AI治理的重要參考，也提醒各行各業在導入AI技術時，應設想並落實相關的風險治理與供應鏈透明化；同時，印度網路安全主管機關CERT-In祭出限時修補漏洞的新指導方針，這類因應AI攻擊加速而來的法規要求，已成為全球政府與企業強化資安韌性時需高度重視的關鍵因素。

衛福部發布醫療GenAI指引，聚焦6大風險與供應鏈透明度

針對醫院與診所導入生成式AI的風險治理，國內首份《醫療機構應用生成式人工智慧指引》出爐，衛福部在5月29日公布這份指引，可視為臺灣醫療AI治理的重要參考。該指引框架不僅涵蓋風險盤點、資料保護、系統驗證、供應商管理與持續監測等面向，也首度要求醫療機構建立AI產品與系統清冊，並強調供應商資訊揭露的重要性。

因應AI加速網路攻擊，印度要求企業組織在漏洞公布12小時內完成修補

因應AI加快駭客發現及攻擊軟體漏洞，印度網路安全主管機關CERT-In發布命令，要求若得知風險值9.0的重大漏洞或是影響內部系統的已知漏洞，應於24小時內修補，已遭公開利用且暴露在網際網路上的核心關鍵資產系統，更須在發現後12小時內修補、緩解或隔離。其他高價值系統的關鍵漏洞應於3天內修補，高風險一般漏洞須於5天內完成。官方並重申，組織與企業偵測到資安事件時，必須在6小時內通報CERT-In。

歐盟網路安全局發布NIS360報告，太空與鐵路關鍵性攀升

歐盟網路安全局（ENISA）發布《NIS360 報告》，揭示歐盟關鍵CI防護的年度重點變化，報告指出多數領域的資安成熟度穩步提升，但今年變化在於鐵路、飲用水及廢水處理這三個領域的部門要特別注意，因為先前這些領域僅處於風險區邊緣，今年則正式進入風險區內，顯示其防護成熟度需要積極提升，另也特別點出太空與鐵路的關鍵性顯著增加，這方面的防護成熟度必須提升。

北約網路衝突國際會議CyCon登場，臺灣官員首度登臺分享韌性與通訊備援實務

北約網路衝突國際會議（CyCon）是國際資安與國防領域的年度指標性會議，今年第18屆活動於5月26日至29日舉行，吸引全球50國、近800名與會者參與，特別的是，這項活動首度有臺灣官員獲邀於CyCon登臺分享，象徵臺灣與國際在網路防衛議題上的交流更趨緊密。國家安全會議諮詢委員李育杰於一場專題工作坊擔任共同與談人，揭露臺灣如何透過PACE通訊框架與多軌道衛星整合，建構海陸空異質通訊架構，將城市韌性轉化為國家防禦支柱。

佛州控告OpenAI隱瞞ChatGPT風險，指其助長暴力與自傷行為

美國佛州檢察長提起訴訟，指出 ChatGPT的互動設計易引發依賴，並擴大安全與心理健康風險，指控OpenAI將商業利益置於使用者安全之上，導致未成年人產生認知下降、成癮與心理健康問題。訴狀舉例，2025年佛羅里達州立大學槍擊案中，槍手曾詢問校園人流、槍枝與彈藥等資訊；南佛羅里達大學兩名研究生遭殺害案中，嫌犯亦利用 ChatGPT 詢問棄屍與變更車輛識別碼等問題。OpenAI否認指控，強調 ChatGPT 非醫療或心理健康替代品，且已建立未成年人保護措施、安全防護機制與家長工具，持續改善模型對敏感議題的處理。

川普簽署AI資安行政命令，要求業者自願提供前沿模型供政府測試

為了提前掌握先進AI模型可能帶來的資安風險，川普在6月2日簽署AI資安行政命令，要求聯邦政府建立前沿AI模型自願測試機制。這項行政命令的重點包括：成立AI資安資訊交換中心，建立「列管前沿模型」認定標準，另要求CISA在30天內發布相關指引，加速部署AI資安工具，並協助地方政府、醫院、銀行與公用事業等關鍵基礎設施強化防護，還要司法部須優先查緝利用AI進行駭客攻擊、非法存取系統或協助其他犯罪的行為。

AI資安

AI代理人的安全治理與自主防護架構持續是資安界關注的熱點，不論是Anthropic提出AI代理人零信任框架、Google Cloud推出AI Threat Defense等消息，分別突顯零信任與自主防禦平臺的重要性。此外，資安新創開源的AI漏洞研究框架，更展現多代理人協作在白箱審查的潛力。

Anthropic提出AI代理人零信任框架，因應AI加速攻擊風險

Anthropic提出AI代理人零信任框架，建議企業部署具自主操作能力的AI代理人時，應從一開始就以「假設已遭入侵」為前提，規畫整體系統與安全架構，從建立具備密碼學根信任的代理人身分識別、依照任務內容限制權限範圍、防止記憶內容遭到污染，到建立可持續監測與回應異常行為的安全機制，以因應攻擊者透過長時間、多階段操作逐步擴大影響的攻擊模式，該框架並在實作面提出8階段導入AI代理人安全控管的建議。

Hadrian開源AI漏洞研究框架OpenHack，可搭配Claude Code與Cursor執行白箱安全審查

荷蘭資安新創Hadrian宣布開源AI漏洞研究框架OpenHack。Hadrian指出，許多人直接要求LLM掃描整個程式碼庫，但這容易產生大量誤判，其開源的OpenHack則採用以情境（Scenario）為核心的多代理人工作流程：先由偵察代理人（Recon Agent）找出潛在威脅，再以（Router Agent）轉換為測試情境，接著交由負責各類漏洞的專家代理人（Expert Agent）進行驗證，最後由獨立「複核代理人」（Triage Agent）審查結果。

Anthropic將Claude Mythos擴大開放給15國150個合作夥伴

Project Glasswing是Anthropic 4月份發布先進AI模型Claude Mythos所實施的控管開放計畫，藉此避免Claude Mythos搜尋軟體漏洞的能力被濫用，第一階段開放給超過50家企業組織、資安廠商、開源軟體維護單位及美國政府使用。在最新宣布下，Anthropic開放新增約15國、將近150個組織加入合作，他們必須符合Anthropic的安全要求才能使用Claude Mythos預覽版。這批合作夥伴多半是關鍵基礎架構相關領域，包括電力、供水、通訊、醫療及硬體業的企業，或是協助其他單位（如政府）維護程式碼的非營利機構。這些組織攸關國家社會運作，一旦遭網路攻擊可能影響全球穩定及國家安全。

Google Cloud推出AI資安防禦平臺，整合Gemini、Wiz與Mandiant處理漏洞風險排序與修補

Google Cloud宣布推出Google AI Threat Defense，定位為AI驅動的自主式資安防禦平臺，目標是協助企業因應AI加速漏洞發現與攻擊自動化的趨勢，從曝險盤點、風險排序、漏洞修補到持續監控，提升漏洞管理流程的自動化與處理速度。當中採4階段框架：首先透過準備階段隔離敏感資產以降低曝險；其次掃描與排序，運用AI分析程式碼、API、身分與環境以精準判斷風險；接著修補階段，利用CodeMender於IDE或CLI提供自動化建議並驗證結果；最後監控階段，藉由Agentic SOC執行自動化偵測、分流、調查與威脅搜尋。

微軟推出.NET版MCP治理擴充套件，強化AI代理工具呼叫控管

微軟公開預覽適用於.NET的Agent Governance Toolkit MCP擴充套件，支援.NET 8以上應用程式，並可搭配官方MCP C# SDK使用，協助開發者在模型脈絡協定（MCP）伺服器加入工具定義掃描、工具呼叫政策控管與回應內容清理機制，降低AI代理呼叫檔案、API與資料庫等企業工具時，衍生的權限控管與提示詞注入風險。

AI推論躋身企業重要應用系統，F5最新報告點出多模型並用治理風險，以及身分管理成為企業採用AI代理的最大顧慮

AI的蓬勃發展與快速普及無庸置疑，許多企業正從建置階段轉為營運階段，根據F5在5月發布的2026年度應用策略現況報告（SOAS），已有78%的企業正在營運AI推論（AI inference）應用系統， 目前企業在正式環境中平均部署7個AI模型，現今企業關注的重點在於能否以可靠、安全且具規模化的方式運作多模型的AI應用系統，隨著AI推論正逐漸成為企業核心業務的一部分，不僅反映AI應用的交付已成為流量管理的挑戰，也突顯AI安全演變成治理與控管問題。

Python資料分析工具Marimo重大漏洞持續成攻擊目標，駭客透過AI代理滲透內部資料庫

開發Python互動式運算環境Marimo的團隊於4月上旬，揭露重大漏洞CVE-2026-39987，當時公告不到半天，就出現嘗試利用的跡象，後續有多組人馬加入漏洞利用的行列，如今資安公司Sysdig再發現有人借助AI的力量從事漏洞攻擊活動，並指出最新攻擊活動的整個攻擊流程在不到一小時內完成，並觀察到防禦主機上有4種攻擊活動跡象，從中發現相關惡意程式碼可能是由LLM代理即時生成的，而且攻擊指令中出現簡體中文註解「看还能做什么」。

ChatGPT存在資安弱點ChatGPhish，恐使網頁摘要被用於釣魚活動

資安公司Permiso Security揭露資安弱點ChatGPhish，指出攻擊者可利用ChatGPT的回應渲染器過度信任第三方網頁Markdown連結與圖片URL的特性，透過在網頁嵌入惡意酬載，就有機會進行跨來源資訊洩露、網路釣魚，或顯示偽造的系統警示訊息，若搭配QR Code還能將攻擊轉移至行動裝置，繞過電腦端的URL防護。該公司自4月底已多次向OpenAI通報，值得注意的是，但OpenAI的答覆是資料不足無法重現漏洞，以及重複通報漏洞，顯然不打算處理。

Anthropic修補Claude Code Actions權限繞過，降低權杖外洩風險

Anthropic針對Claude Code GitHub Action修補一項權限繞過問題，通報此問題的GMO Flatt Security資安研究人員指出，攻擊者可利用GitHub議題或拉取請求（Pull Request）夾帶惡意內容，誘導Claude Code讀取執行環境資料，外洩權杖或其他機密資訊。Anthropic已在1.0.94版修補這項問題，預設不允許GitHub App觸發工作流程，也停用預設工作流程摘要輸出、封鎖部分資料外洩路徑，並調整Claude Code啟動子行程時可取得的環境變數。

駭客假借提供常見系統工具、濫用AI聊天機器人接觸受害者，意圖發動挖礦攻擊

微軟5月26日揭露新一波的挖礦攻擊活動，特別之處在於駭客搭配AI聊天機器人發動社交工程攻擊。微軟指出，受害者可能在詢問軟體下載建議時，根據機器人回應而連至誤以為無安全疑慮的網址、但實際上這些網址指向攻擊者控制的網域，而因此遭駭。研究人員另指出，駭客聲稱提供常見的公用程式與系統工具，包括CrystalDiskInfo、HWMonitor、K-Lite Codec Pack等6種，研判攻擊者想要鎖定具有高效能GPU的電腦。

駭客佯稱ChatGPT、Claude內容分享功能故障，藉由假安裝程式散布惡意軟體

資安公司Push Security揭露源於ClickFix變形攻擊InstallFix的新型態攻擊手法LLMShare，駭客濫用AI聊天機器人（ChatGPT、Claude）的共享功能散布惡意軟體，藉由假ChatGPT或Claude的安裝指引或更新，透過惡意廣告或SEO中毒將使用者導向這些內容，藉此散布惡意酬載。由於駭客建立的內容存放於chatgpt[.]com或claude[.]ai，不容易識別有害，且駭客利用程式碼渲染功能偽造服務中斷假網頁，誘使用戶下載惡意執行檔，極具隱蔽性。

GreyVibe借助生成式AI，發起3種型態的攻擊行動

俄羅斯駭客團體GreyVibe鎖定烏克蘭發動攻擊，並透過三種管道散布惡意軟體，首先，最早出現的是2025年8月開始的PhantomMail網釣活動，同年10月則利用假CAPTCHA驗證的PhantomClick手法，還有假冒女性、透過Telegram與交友頻道誘騙軍人存取冒牌成人網站的PrincessClub活動，藉此散播惡意程式。

俄羅斯駭客GreyVibe濫用生成式AI，攻擊烏克蘭企業組織

資安公司WithSecure揭露俄羅斯駭客組織GreyVibe的攻擊活動，指出其相關惡意行為最早可追溯至2025年8月，主要針對烏克蘭軍事機構、政府機關、企業及一般民眾，透過釣魚郵件、假人機驗證網頁及成人網站等多種管道散布惡意程式。值得關注的是，該組織開發的惡意程式LegionRelay，存在設計上的缺陷，WithSecure藉此掌握此惡意軟體部分後端功能，並研判駭客借助LLM開發而成。

駭客利用美國愛國者形象經營社群頻道，掩護詐騙活動，結合生成式AI擴大攻擊行動

趨勢科技揭露一起長達5年的Telegram社群操作與詐欺活動，攻擊者利用遭竊Gemini API金鑰與越獄AI模型，將生成式AI導入內容生成、憑證竊取與帳號攻擊等工作。研究顯示，生成式AI正降低網路犯罪技術門檻，也讓單一攻擊者更容易執行大規模自動化攻擊。

駭客利用假冒Gemini與Claude安裝網站散布惡意軟體，竊取開發者帳號與開發環境資料

資安業者EclecticIQ揭露，駭客建立假冒Gemini CLI與Claude Code安裝網站，並透過操縱搜尋排名誘騙開發者造訪，藉機執行惡意PowerShell指令下載資訊竊取程式。攻擊者甚至會同步安裝真正的Gemini CLI與Claude Code工具降低警覺，藉此竊取帳號、Cookie、金鑰與開發環境資訊。

資料安全

這一星期的資料安全威脅事件，以上市公司巨路與日本象印在臺子公司台象的消息最受關注。其中巨路公布資安重訊後，網路上傳出LOCKBIT 5.0勒索軟體組織將Lumax International（巨路）列為受害者的消息；象印個資外洩事件的應變，也突顯在官網公開揭露及設立專門的個資諮詢管道的責任落實。

工業控制解決方案供應商巨路資訊系統遭網路攻擊

跨足工業流程控制（Process Control）與電子通訊領域的巨路國際（6192），於6月2日上午在公開資訊觀測站發布資安重訊，指出部分資訊系統遭到網路攻擊，該公司在偵測到異狀時，已啟動資安防禦及通報機制因應。目前對相關系統進行全面性掃描與檢測，確認安全無虞後，再利用日常備份資料恢復運作。針對這起事故可能帶來的影響，巨路表示根據初步評估，對營運無重大影響，尚未發現個資或機密資料外洩的情形。

日本象印揭露臺灣子公司遭駭！客戶與員工個資外洩

日本知名家電用品大廠象印揭露在臺子公司「台象」遭到第三方發動的網路攻擊入侵，歷經近一個月的調查，結果顯示臺灣客戶的姓名、電子郵件地址等資料外洩。臺灣的象印官方網站也同步揭露此事，呼籲會員應立即修改帳號密碼，並發布防詐騙預警，同時設立專門的個資保護專線與電子信箱供民眾諮詢。

駭客入侵大型證券交易所高層電子郵件帳號，潛伏5個月竊取商業情報

Broadcom旗下Symantec與Carbon Black研究團隊揭露一起鎖定大型證券交易所高層的網路間諜行動，攻擊者長期控制高階主管Outlook郵件帳號約5個月，並透過Dropbox與OneDrive持續外傳郵件資料。研究顯示，高層電子郵件本身已成為高價值情報目標，即使不進行橫向移動，也能蒐集大量敏感資訊。

仿英國ETA簽證申請的代辦網站外洩10萬護照！AWS儲存桶配置錯誤，通報後業者派律師而非先釐清

近期曾經赴英或即將赴英的旅客注意，科技媒體TechCrunch近日揭露，一個仿英國ETA簽證申請的代辦網站「UK Visa Portal」發生嚴重資安疏漏，導致至少10萬份申請人的護照掃描檔與自拍照，被暴露在可公開存取的Amazon S3儲存桶中，顯然這是一起典型的雲端儲存配置錯誤案例。後續該媒體聯繫業者，但業者並未積極修復漏洞，反而委託律師與公關公司交涉。

遊輪旅行業者Carnival、有線電視業者Charter分別證實資料被竊

本週又有兩個遭ShinyHunters駭客攻擊的苦主確認！全球最大遊輪營運業者Carnival及第三大美國有線電視業者Charter，先後證實發生資料外洩事件。ShinyHunters駭客4月份宣稱竊得遊輪營運業者Carnival子公司荷美遊輪（Holland America）客戶資料，近一個月後，本週Carnival透過向美國緬因州政府檢察長辦公室申報文件證實此消息，受影響人數為接近600萬人；美國第三大美國有線電視業者Charter也向媒體Bleeping Computer證實發生資料外洩事件。該公司表示得知狀況，將循公司資安規定通報主管機關。

美物流業者SpeedX敏感資料庫網上曝光，內含8.4億筆消費者、司機資料

美國電商物流業者SpeedX（極速達）傳出大量資料暴露在網際網路的消息，資安媒體Cybernews的研究人員於本月發現其Azure Blob儲存桶因設定錯誤對外公開，導致超過8.4億份包裹資料曝露於網際網路，為史上最大規模的物流資安事故之一。分析SpeedX公開的資料庫後，研究人員發現大部分是運送包裹相關資訊，該資料庫內有11個資料群組，最大的群組包含近6.2億個檔案，次大為2.2億個。這些檔案包含包裹資訊如收件人姓名、住址、住家照片、出貨標籤、送貨司機證件、SpeedX App憑證等。另一包括380萬檔案的群組，則包含商品訂單追蹤碼、零售商、配銷機構住址及收件人資訊。

Google Workspace擴大網域外檔案警示，降低敏感資料外洩與釣魚攻擊風險

Google宣布強化Google Workspace安全功能，擴大既有的網域外檔案警示（Out-of-Domain file-level warnings）適用範圍，新增支援行動裝置App、檔案共享通知等情境，可協助用戶更清楚辨識所處理的檔案，了解是否來自組織外部的文件與使用者，降低外洩敏感資料及遭遇網路釣魚攻擊的風險。

端點安全

鎖定端點系統的漏洞攻擊持續嚴峻，本週多起資安事件接連曝光，其中Android系統遭遇零時差漏洞攻擊，反映出攻擊者領先防禦方掌握未知弱點的威脅態勢；而近期甫修補或已存在多年的老舊弱點，也持續受到駭客青睞，只要防守方在攻擊前未修補，都是他們鎖定滲透的絕佳目標。

Windows Netlogon服務RCE漏洞傳出遭到積極利用【CVE-2026-41089】

微軟在5月例行更新當中，修補Windows的Netlogon服務的RCE漏洞CVE-2026-41089，值得關注的是，這項已知漏洞後續傳出遭利用的消息。比利時網路安全中心（CCB）在原先於13日公告微軟5月例行更新的資安警示內容，5月29日突然更新，當中指出重大等級的資安漏洞CVE-2026-41089遭到積極利用。不過，微軟尚未更新CVE-2026-41089公告內容，說明該漏洞是否已遭利用，CISA目前也尚未將之列入已知漏洞利用清單（KEV）。實際情況如何，有待其他研究人員進一步揭露。

4年前公布的Linux核心漏洞已遭利用，恐被用於供應鏈攻擊【CVE-2022-0492】

在2022年2月首度揭露的Linux核心權限提升漏洞CVE-2022-0492，CVSS風險評分為7.8，根據3年前資安公司Hack The Box公布的分析結果，該漏洞也能被用於容器逃逸，而且攻擊者無需取得特定的授權就能利用。6月2日美國網路安全與基礎設施安全局（CISA）發布警訊，表示CVE-2022-0492已遭到積極利用，因而決定將其納入KEV。

Google發布6月Android例行更新修補124個漏洞，其中一個是已遭利用零時差漏洞【CVE-2025-48595】

Android每月例行更新（Android Security Bulletin）本週發布，總共修補124個資安漏洞，從危險程度來看，有19個是重大等級，其餘大部分為高風險等級。值得留意的是，該公司提及，其中一個漏洞已被鎖定目標的局部活動所利用。這項弱點的編號是CVE-2025-48595，存在於Android系統的框架元件，為高風險等級的權限提升漏洞，後續美國CISA將此漏洞列入已遭利用漏洞名單，發動零時差漏洞攻擊的攻擊者身分目前未知。

FortiClient EMS持續遭鎖定，駭客假借提供修補程式散布竊資軟體EKZ Infostealer

端點管理平臺FortiClient EMS在4月推出更新，修補已遭利用的重大漏洞CVE-2026-35616。後續再有資安公司Arctic Wolf公布新一波攻擊活動，指出駭客利用CVE-2026-35616漏洞企圖向納入該系統管理的端點電腦部署惡意程式，在攻擊過程中，攻擊者透過FortiClient EMS管理的端點裝置傳送竊資軟體EKZ Infostealer，此惡意程式的有效酬載被偽裝成Fortinet端點更新檔案（修補程式），但實際的功能是從瀏覽器竊取帳密資料。一旦執行，電腦就會在背景執行PowerShell，並啟動惡意執行檔，發起一系列攻擊流程。

Linux核心存在本機權限提升漏洞CIFSwitch

近期關於Linux核心的本機權限提升（LPE）漏洞的揭露特別多，本週又有一個被公開。這個資安漏洞稱為CIFSwitch，由資安研究員Asim Manizada揭露，問題源於Linux核心CIFS模組與執行在作業系統使用者空間的輔助工具cifs-utils之間的處理，Linux核心未驗證金鑰描述來源，導致攻擊者可偽造描述並啟動具有root權限的輔助程式。Manizada指出，這項問題影響許多採用Linux核心6.14版以上的發行版，但因為其他CVE漏洞修復的向前回溯，導致更古老的版本也被波及，最久可追溯至距今19年前（2007年），同時，他也提及開發團隊在其他漏洞修補的過程中，也可能將這項弱點引入舊版作業系統。

Google發布ChromeOS長期支援版更新，修補多項重大記憶體安全漏洞

Google發布ChromeOS長期支援版LTS-144更新，將版本提升至144.0.7559.254，並修補15項漏洞，其中包含3項重大漏洞。此次修補重點集中在記憶體安全問題，多項漏洞屬於記憶體已釋放卻仍被使用（Use After Free）類型，影響Proxy、Network與擴充功能架構等元件。

Windows銀行木馬Grandoreiro出現新進化，利用WebRTC網頁即時通訊與DLL側載技術強化隱匿能力

資安業者WatchGuard揭露Windows銀行木馬Grandoreiro最新攻擊活動，指出這款已活躍近10年的惡意程式出現新版本，利用DLL Side-Loading、WebRTC與STUN等技術提高隱匿性，並透過釣魚郵件散布，降低惡意活動被發現的機率，並鎖定歐洲與拉丁美洲金融服務用戶發動攻擊。

新型惡意軟體VoidStealer可繞過Chrome瀏覽器安全機制，竊取Cookie與帳號資訊

資安業者卡巴斯基揭露新型資訊竊取惡意軟體VoidStealer，可透過除錯器與中斷點技術，繞過Chrome導入的Application-Bound Encryption（ABE）安全機制，直接擷取瀏覽器中的Cookie、帳號與其他敏感資料。研究人員提醒用戶避免安裝來源不明軟體，並避免在瀏覽器儲存敏感資訊。

Android遠端控制木馬BTMOB鎖定金融服務用戶，可竊取帳號資訊與遠端控制受害裝置

資安業者ESET揭露Android遠端控制木馬BTMOB，指出該惡意程式已從銀行木馬演化成具完整遠端控制能力的Android惡意軟體。BTMOB透過假網站散布惡意APK，濫用Android無障礙服務取得高權限，並採惡意軟體即服務模式擴大攻擊規模。

網路安全

鎖定企業網路邊緣已知漏洞的攻擊事件，成為近期資安焦點，以Palo Alto Networks兩週前修補的漏洞CVE-2026-0257為例，現已發現有攻擊者開始鎖定利用的情形，除原廠發布警訊外，還有其他資安業者亦證實其MDR客戶遭受攻擊，此一趨勢再次突顯企業在面對關鍵設備弱點時，需緊迫及時修補的重要性。

Palo Alto Networks警告GlobalProtect身分驗證繞過漏洞已遭利用【CVE-2026-0257】

資安公司Palo Alto Networks警告，兩週前揭露的GlobalProtect身分驗證繞過漏洞CVE-2026-0257，如今出現少量嘗試利用的跡象，發現有攻擊者針對尚未修補或採取緩解措施的PAN-OS防火牆作業系統，嘗試利用該漏洞，呼籲IT人員應儘速採取行動因應，同時也提供用戶檢查是否暴露在此漏洞風險的指引。後續，美國CISA也將此漏洞列入已知漏洞利用清單（KEV）。

關於相關攻擊的消息，資安公司Rapid7則有進一步的揭露，因為該公司代管偵測與應變服務（MDR）的客戶已遭到攻擊。Rapid7指出自5月17日起，監測到攻擊者利用非人類憑證登入本機帳號，進而入侵多個客戶環境，且所有攻擊來源均指向主機代管商Vultr。調查發現，儘管受害者的防火牆雲端身分驗證（CAS）已停用，但 GlobalProtect入口網站仍啟用身分驗證覆寫Cookie功能，研判攻擊者正試圖利用CVE-2026-0257漏洞。

HTTP/2 Bomb攻擊手法影響主流網頁伺服器，恐遭用於DoS攻擊

研究人員於6月3日揭露名為HTTP/2 Bomb的遠端阻斷服務（DoS）攻擊手法，影響多款主流網頁伺服器與代理伺服器，包括Nginx、Apache httpd、Microsoft IIS、Envoy與Cloudflare Pingora。這項攻擊鎖定HTTP/2預設組態，攻擊者可透過少量流量消耗伺服器大量記憶體，導致服務回應緩慢或無法存取。

俄羅斯駭客組織Secret Blizzard將Kazuar後門程式擴展成殭屍網路，提升隱匿性與持續運作能力

微軟威脅情報團隊揭露，與俄羅斯有關的駭客組織Secret Blizzard正持續擴展Kazuar後門程式能力，將原本的遠端控制工具升級成具備P2P通訊能力的分散式殭屍網路架構。新版Kazuar透過核心、橋接與工作模組分工，降低可觀測性並提高持續能力，即使部分節點失效，也能維持整體惡意網路運作。

荷蘭瓦解由1,700萬臺裝置組成的殭屍網路

打擊殭屍網路再有新成果，荷蘭國家網路安全中心（NCSC）宣布瓦解一個由逾1700萬臺裝置組成的殭屍網路，並查獲200臺C&C伺服器。根據荷蘭媒體NLTimes報導，該殭屍網路疑似與住宅代理服務Asocks有關。所謂住宅代理（Residential Proxy）是指透過真實家庭寬頻或行動網路IP轉送流量的服務，該產業長期存在爭議，經常發生未經使用者同意便將其設備納入代理節點的情形，進而淪為駭客掩護非法流量的工具。

駭客組織DriveSurge劫持數千個合法網站，結合運用ClickFix與FakeUpdates手法散布惡意軟體

資安業者揭露新興網路犯罪組織DriveSurge，透過劫持數千個合法網站散布惡意軟體。與多數僅依賴單一社交工程手法不同，DriveSurge會利用zTDS流量分發系統分析訪客環境，再動態切換ClickFix或FakeUpdates誘餌，藉由假更新、假修復流程等方式，提高惡意程式感染成功率。

偽冒FIFA世足詐騙網域4月激增逾2,700個，釣魚網站遭撤下又能迅速重啟

網路詐騙橫行，近期犯罪者利用即將到來的2026年世界盃足球賽（FIFA World Cup），偽冒相關名義架設大量釣魚網站。數位風險防護業者CTM360指出，其嚴峻挑戰在於，這波攻擊具備高度組織性與韌性。即便釣魚網站遭撤下，也能迅速重啟，導致危害難以杜絕。該公司觀察到，僅2026年4月單月便新增逾2,700個偽冒網域；這顯示駭客正趕在賽事高峰前，提前完成基礎設施部署，即便遭到封鎖，也能迅速切換至新網域以維持運作。該公司另也指出，目前仍有逾1,000個FIFA相關詐騙網站處於活躍狀態。

AWS Shield Advanced服務新增DDoS Attack Flow Logs功能，強化攻擊流量分析與事件調查能力

AWS近日為AWS Shield Advanced新增DDoS Attack Flow Logs功能，讓企業在遭遇DDoS攻擊時，可取得更細緻的攻擊流量資訊，新功能可提供封包層級的資訊，包括來源IP、協定、封包數量、TCP Flags與防護動作等資料，並能整合S3、CloudWatch與Firehose等服務，協助企業進行事件調查、威脅分析與資安監控。

應用程式安全

在應用程式安全方面，本週以供應鏈威脅與舊漏洞濫用最受矚目。其中Red Hat NPM套件遭入侵恐外洩憑證的後續影響，是必須持續追蹤的焦點；而九年前的PHPUnit與兩年前的WebLogic漏洞仍遭積極利用，則突顯出駭客持續鎖定未修補系統攻擊的態勢，值得開發與運維團隊警惕。

Red Hat雲端服務NPM套件遭Shai-Hulud變種Miasma入侵，恐外洩GitHub與雲端憑證

Shai-Hulud變種Miasma入侵，紅帽@redhat-cloud-services名下至少31個套件受影響，資安公司OX Security與Aikido指出，攻擊者疑似利用GitHub Actions OIDC與可信發布流程散布受污染版本，截稿前，尚未看到Red Hat或NPM針對這起事件發布完整官方說明。研究人員建議，已安裝相關Red Hat雲端服務套件的團隊應檢查是否使用受影響版本，並輪替GitHub、NPM與雲端服務憑證，另也須留意自動化發布流程是否有異常變更。

美國政府證實Magento快取外掛Mirasvit Cache Warmer重大漏洞已遭利用【CVE-2026-45247】

重大漏洞CVE-2026-45247的消息在上週公開，受影響的產品是Magento網頁快取外掛程式Mirasvit Cache Warmer，一星期後，CISA於6月3日將上述漏洞加入已遭利用的漏洞名單（KEV），表明他們已掌握漏洞遭積極利用的證據。

CISA警告兩年前修補的Oracle WebLogic Server高風險漏洞已被用於攻擊行動【CVE-2024-21182】

存在Oracle WebLogic Server的核心元件的CVE-2024-21182，Oracle將此漏洞的CVSS風險評為7.5分，屬於高風險等級，已於2024年7月每季例行更新修補。6月1日美國網路安全暨基礎設施安全局（CISA）發布公告，他們已掌握CVE-2024-21182遭到積極利用的證據，將其列入已遭利用的漏洞名單（KEV）。

PHPUnit 9年前舊漏洞CVE-2017-9841持續遭濫用，30天內偵測逾8萬次攻擊嘗試

PHP單元測試框架PHPUnit在2017年揭露的遠端程式碼執行漏洞CVE-2017-9841，至今仍成為攻擊者經常鎖定的目標之一，漏洞情資業者VulnCheck發布分析指出，截至5月11日的30天內，該公司共偵測到80,119次相關攻擊嘗試，其中最近10天就有36,543次，顯示這類活動並非零星掃描，而是持續針對外部可存取的PHP應用程式進行探測與攻擊。該漏洞在一個半月前，就已被美國CISA列入KEV清單。

Oracle首度發布每月例行更新，修補77個漏洞

為了因應AI改變漏洞識別及修復的流程，Oracle於4月底預告在每季例行更新之外，也將發布每月更新Critical Security Patch Update（CSPU）。Oracle在5月份首度每月更新，共發布35個修補程式以修補77個漏洞。從修補漏洞數量來看，Oracle Communications Unified Assurance最多，有46個；其次是Oracle REST Data Services、Oracle E-Business Suite，分別為15個和12個。從CVSS風險評分來看，最嚴重的是達到滿分10分的CVE-2026-46840，此漏洞存在於Oracle REST Data Services 24.2.0至26.1.0版。

Gogs存在尚未修補的零時差漏洞，攻擊者可用於遠端執行任意程式碼

許多開發團隊採用主打輕量化的Gogs，作為自建Git程式碼版本管理系統，近日資安公司Rapid7表示，兩個月前他們向Gogs開發團隊通報的重大漏洞，迄今尚未修補，也尚未有CVE編號揭露，其CVSS v4.0評分達到9.4分。Rapid7警告，一旦攻擊者成功利用此漏洞，就可能入侵伺服器、跨租戶竊取資料與身分憑證、橫向移動，甚至發動供應鏈攻擊。

Gitea修補套件登錄庫漏洞，逾3萬自架站點恐暴露私有容器映像檔

開源程式碼託管平臺Gitea釋出1.26.2版，修補CVE-2026-27771套件登錄庫權限漏洞，發現並通報此漏洞的資安業者NoScope指出，這個漏洞存在了四年之久，卻一直潛伏在3萬多個生產環境中，他們建議用戶盡速升級，若無法立即更新，可暫時啟用所有內容都必須登入後才能查看的設定，降低未登入者存取內容的風險，另也提醒若站臺原本就刻意提供部分容器公開下載，採用這項暫時措施前仍須評估對既有使用方式的影響。

WordPress熱門外掛Kirki爆權限提升漏洞，未登入攻擊者可劫持管理員帳號

WordPress外掛Kirki存在權限提升重大漏洞CVE-2026-8206，CVSS評分達9.8，該漏洞風險在於，讓未登入攻擊者可透過忘記密碼流程，可取得管理員重設連結並接管網站，一旦管理員帳號遭接管後，攻擊者可能修改網站內容、安裝惡意外掛、建立新的管理員帳號，或植入Web shell以維持後續存取。Wordfence指出，估計約15萬個網站使用受影響版本，而該漏洞已經在Kirki 6.0.7修補，呼籲用戶盡速更新。

微軟修補VS Code高風險漏洞，攻擊者可藉MCP安裝取得開發者電腦控制權

微軟程式碼編輯器Visual Studio Code的MCP安裝對話框存在高風險漏洞CVE-2026-41613，揭露此漏洞的非人類身分（NHI）安全業者Oasis Security指出，攻擊者可透過特製安裝連結，在開發者電腦上執行指令。微軟已在VS Code 1.119.1修補這項問題，藉由在確認畫面顯示env、envFile與headers等設定項目，讓使用者在安裝前看到可能影響程式執行或身分驗證的組態內容，降低攻擊風險。

Samba修補列印與身分驗證重大漏洞，未更新可能導致攻擊者執行任意程式碼

開源檔案與列印服務軟體Samba近日修補兩項CVSS滿分重大漏洞，涉及列印子系統與帳號驗證功能，在特定設定下可能遭未授權攻擊者遠端利用執行任意程式碼。由於Samba廣泛應用於Linux檔案共享、列印與網域環境，用戶應儘速更新至已修補版本。

Google發布Chrome 148更新，修補逾150個資安漏洞

本週Google發布Chrome電腦版與Android版更新，修補了151個資安漏洞，數量遠遠超出一週前的安全更新（修補16個漏洞）。這次揭露與修補22個重大漏洞、123個高風險漏洞，其餘6個評為中度風險。從漏洞的類型來看，記憶體相關的漏洞仍是大宗，其中又以記憶體釋放後再存取利用（Use After Free）類型的弱點66個最多，數量超過本次修補漏洞的三分之一。

WordPress惡意軟體感染近2,000個網站，駭客濫用Steam平臺建立C2通訊管道

網站代管平臺GoDaddy資安團隊上週公布鎖定WordPress網站的惡意軟體活動，駭客利用Steam社群的profile留言區嵌入C2資料，將惡意基礎設施隱藏在Valve合法的平臺之中。該公司最早於2025年7月偵測到相關活動，迄今約有1,980個WordPress網站被植入惡意軟體。 此惡意程式具備兩個主要功能，其中一個是透過 Steam留言擷取加密 URL並注入JavaScript，另一是擷取POST請求中的驗證Cookie建立後門，進而讓攻擊者能藉由外掛程式與佈景主題竄改PHP檔案。

電商平臺Magento的快取外掛程式存在重大漏洞，攻擊者可用於遠端程式碼執行攻擊

電商平臺Magento的漏洞先前受到很大關注，隨著漏洞修補的腳步趨於積極，其外掛程式的漏洞可能也將成為攻擊者利用的目標，最近揭露的網頁快取外掛程式Mirasvit Cache Warmer漏洞CVE-2026-45247，受到關注。通報此漏洞的資安公司Sansec指出，Mirasvit開發團隊於5月25日發布1.11.12版進行修補，該漏洞屬於未經身分驗證的PHP物件注入，攻擊者只要發送特製的cookie進行storefront請求就能利用，CVSS風險評為9.8分，另也提醒該套件常與其他Mirasvit模組捆綁，許多電商平臺可能在不知情下啟用。Sansec初步統計約有6,000個電商平臺採用此套件，實際受影響規模恐更驚人。

身分安全

在身分安全方面，面對使用者登入之後所獲得的Cookie或Access Token，仍可能被惡意軟體竊取的挑戰，Google正將DBSC技術擴展提供給所有Chrome用戶，而濫用微軟Entra ID密碼重設接管雲端的消息也值得關切，微軟也預告將在9月強化自助式密碼重設機制。

Google將裝置綁定連線階段憑證防護措施提供給所有Chrome用戶

Google宣布擴大部署裝置綁定連線階段憑證（DBSC）技術，將該技術全面提供給所有Chrome用戶，包括Windows版及下一版macOS版Chrome。具體而言，Google將DBSC防護整合於Chrome的原理，是利用Windows TPM或macOS的Secure Enclave的硬體安全模組，產生一對無法從電腦匯出的獨特公/私鑰，公鑰儲存在服務伺服器，只認用戶機器，而私鑰以加密儲存在用戶硬體。Chrome在登入服務伺服器時，必須以私鑰和伺服器完成驗證，確認用戶裝置是當初登入的那臺裝置。

Let's Encrypt規畫2027年建立後量子憑證架構

近年PQC強化多半先著重加密與金鑰交換，不過TLS中的身分驗證也需要提早準備，免費憑證簽發機構Let's Encrypt宣布新行動，將規畫以MTC作為Web PKI後量子身分驗證方案，時程預計是2026年稍晚建置測試環境，明年才會建立可供生產使用的環境。特別的是，Let's Encrypt並非單純把既有X.509憑證改用PQC數位簽章，因為這類簽章體積明顯較大，這將導致TLS交握需要傳送的驗證資料會大幅增加，因此，MTC的作法是將憑證批次放進雜湊樹（Merkle Tree），由單一簽章涵蓋整批憑證，進而降低憑證驗證資料對TLS交握的負擔。

駭客Storm-2949接管雲端帳號，濫用Azure權限滲透正式環境竊取資料

微軟威脅情報團隊近期揭露駭客組織Storm-2949針對雲端環境的攻擊活動，發現攻擊者透過接管Microsoft Entra ID帳號，再利用受害帳號既有Azure存取權限，存取Microsoft 365與Azure資料，並讀取Key Vault中的密碼與憑證。微軟調查發現，此活動的初始入侵手法應該是濫用自助密碼重設流程，與多因素驗證提示。由於受害者包含IT人員與高階主管，顯示攻擊者刻意鎖定具備重要系統存取權的高價值身分。

微軟9月強化Entra ID自助式密碼重設，僅允許已註冊驗證方法

微軟預告，身分識別與存取管理服務Microsoft Entra ID的自助式密碼重設（Self-Service Password Reset，SSPR）流程，將自2026年9月7日起調整。企業使用者透過SSPR重設密碼並驗證身分時，僅能使用事先完成註冊的驗證方法。若手機號碼、公司電話或備用電子郵件僅存在於目錄屬性中，至於未正式註冊為驗證方法，在政策生效後將無法再用於密碼重設。

國家級駭客濫用ROADtools，鎖定微軟雲端身分識別環境

網路資安廠商Palo Alto Networks旗下威脅情報團隊Unit 42指出，原本用於紅隊演練與資安研究的開源工具組ROADtools，已被攻擊者整合至雲端攻擊行動，用於列舉Microsoft Entra ID、註冊Entra ID裝置，以及取得、交換與操控Microsoft Entra ID權杖。

駭客濫用Meta的AI支援接管他人IG帳號

有攻擊者濫用MetaAI客服支援機制，非法取得他人Instagram（IG）帳號控制權，突顯AI自動化客服在權限控管與身分驗證上的嚴重安全缺失。Meta於2025年12月推出全新的Facebook及Instagram客服支援中心，並在2026年3月全面導入AI支援助理，原意是協助用戶處理密碼重設或修改個人資料等功能。然而，該機制卻遭駭客利用，攻擊者謊稱帳號遭竊並啟動復原程序，成功竊取他人帳號權限並透過Telegram兜售。Meta已向媒體證實此事，表示漏洞已被解決，但未透露受影響的帳號規模與細節。目前已知受害帳號包括美國前總統歐巴馬任內的白宮IG帳號等。

美國律師事務所遭鎖定，FBI呼籲提高警覺，因駭客不僅假冒IT人員甚至派人上門偷資料

美國FBI警告律師事務所提高警覺，網路犯罪集團Silent Ransom Group（SRG）正鎖定法律業者發動新型混合攻擊。攻擊者除透過電話、郵件假冒IT人員誘導安裝遠端工具外，甚至可能派人冒充IT人員親自前往公司，以接觸電腦設備與竊取資料，提醒業者注意這類結合社交工程、合法工具濫用與實體滲透的攻擊風險。

IoT/OT安全

本週IoT/OT焦點在老舊系統與硬體信任，近期一項最新調查顯示歐洲逾半工業事故涉及舊版Windows，突顯老舊系統風險加劇，另一重要消息是信驊科技於Computex 2026宣布擴大基於Caliptra安全架構的採用，展現強化硬體資安與支援PQC後量子密碼學的重要布局。

老舊系統威脅持續惡化，歐洲逾半數工業組織的資安事件涉及舊版Windows系統

工業環境中的老舊系統（Legacy Systems）風險持續成焦點，TXOne Networks近期針對歐洲揭露其2026年度OT資安報告研究細節，指出去年逾半數（51%）歐洲工業組織曾發生涉及舊版Windows的資安事故，這項數據相較於2025年的43%有明顯增長，突顯長年被視為維運難題的老舊系統風險加劇。該報告另也強調，目前已有6成工業組織正積極計畫投資專門的老舊系統防護方案，突顯討論重點正從「何時更換」轉向「今日如何保護」。

導入Caliptra 2.x安全架構，信驊於Computex 2026積極展現晶片級資安布局，PQC支援亦成焦點

硬體安全持續成焦點，以伺服器管理晶片BMC產品聞名全球的臺股股王信驊科技，在Computex 2026展示以Caliptra安全架構為核心的產品布局，在其展示的3款新一代產品中，無論是AST1040、AST1840、AST1080，它們都內建Caliptra 2.x版本的安全架構，透過硬體層級安全機制提供韌體保護與實體防篡改能力，同時支援PQC演算法ML-KEM與ML-DSA。該公司並預期，未來有更多廠商也會跟進導入，進一步加速硬體安全的演進。

工控資安廠商Dragos收購xOT安全業者Phosphorus

OT資安業者Dragos本週宣布收購xOT安全方案供應商Phosphorus，以擴大防護關鍵基礎設施及其他網路中的嵌入式連網裝置。Phosphorus主要提供延伸營運科技（Extended Operational Technology，xOT）的安全方案，可涵蓋IoT、OT、IIoT與IoMT等各種網路連線設備，其技術特點在於，可因應大部分IoT與OT資安產品只做到看見問題，卻無法真正修復的需求，並提供自動化工作流程。Dragos表示，Phosphorus的收購可使該公司聯網裝置防護能力擴大到整個xOT環境，提供客戶更深層資產可視度、自動化修補及持續降低風險。

資安維運

本週資安維運焦點呈現出從開發源頭到危機應變的全方位治理趨勢，涵蓋自動化攻擊模擬工具、網路安全技能框架、營運持續管理與危機管理（BCM & CM）、開源軟體供應鏈安全服務，以及SBOM相依性掃描等面向，這些最新產業脈動值得資安管理與維運團隊留意。

MITRE將自動化攻擊模擬平臺Caldera移交Apache基金會

開源自動化攻擊模擬工具Caldera自多年前即備受資安人員關注，因該平臺緊密結合MITRE ATT&CK框架，已廣泛應用於紅隊演練、紫隊演練及各類資安驗證研究，其專案在GitHub上也已累積逾7,000星的高人氣，值得注意的是，開發該平臺的美國非營利組織MITRE宣布，將這項發展近十年的平臺正式捐贈給Apache軟體基金會，希望能擴大全球資安與開源社群的協作、提升平臺普及率，並透過「廠商中立」的治理模式，確保Caldera能持續成長為全球性的資安資源。

Linux基金會與OpenSSF發布網路安全技能框架，協助企業盤點IT職務資安能力

Linux基金會與開放原始碼安全基金會（OpenSSF）共同發布網路安全技能框架（Cybersecurity Skills Framework），提供企業可依組織需求調整的全球參考指南，協助管理者將網路安全能力對應到不同IT職務角色，進一步盤點組織內部技能缺口，並指出這類框架的意義不只是建立職務清單，而是讓不同IT角色能更清楚理解自身在安全設計、法遵、漏洞管理與事件回應等面向的責任，讓安全責任更明確地落實到不同技術職務。

台積電營運韌性再進化，2025年報揭BCM與危機管理整合框架

營運韌性強化持續受看重，台積電在最新發布的2025年報中，揭露該公司在韌性治理的重大演進，其最大亮點在於，公布「營運持續管理與危機管理（BCM & CM）」整合框架，將危機管理政策納入營運持續體系，此舉不僅彰顯其對韌性經營的重視，也成為國內產業可借鏡的營運韌性發展方向。更進一步來看，在此框架所涵蓋的核心能力當中，除了緊急應變、災難復原，還進一步定義出6大韌性維度，除涵蓋原有的科技、網路與供應鏈韌性外，更納入了數據韌性、實體安全韌性、勞動力韌性。

IBM與Red Hat推出企業開源軟體供應鏈安全服務Project Lightwell，標榜AI輔助第三方套件漏洞修補

IBM與Red Hat（紅帽）合作推出企業開放原始碼軟體供應鏈安全服務Project Lightwell，標榜結合AI輔助漏洞分析，協助企業處理第三方開放原始碼套件漏洞，並將已驗證的修補整合至既有軟體供應鏈。Project Lightwell將透過商業訂閱方式提供相關能力，讓企業能將這類套件漏洞修補納入既有的軟體供應鏈管理流程。

GitLab 19.0推出SBOM相依性掃描，鎖定間接相依套件的漏洞風險

針對第三方套件與AI產生的程式碼大量進入企業專案，所帶來的供應鏈風險，DevSecOps平臺業者GitLab發布GitLab 19.0的新功能，正式推出以軟體物料清單（SBOM）為基礎的相依性掃描（dependency scanning），協助企業盤點直接與間接相依套件，追蹤有漏洞套件如何進入專案，並依照程式碼的實際使用情況排定修補優先順序。

中國相關駭客鎖定捷克與臺灣發動Dragon Weave間諜行動

捷克參議院議長韋德齊（Miloš Vystrčil）率團訪臺前夕，資安業者Seqrite旗下Seqrite Labs於5月29日揭露一波鎖定捷克與臺灣的官員與民眾的攻擊活動，並將命名為Operation Dragon Weave的網路間諜攻擊活動。Seqrite Labs指出，這波攻擊鎖定政府、研究、學術、科技與金融服務等領域，主要透過魚叉式網釣郵件散布Adaptix C2代理程式，攻擊者會寄送內含ZIP附件的電子郵件，壓縮檔解開後包含多個看似正常的檔案，但實際上是感染鏈的一部分。

新興勒索軟體The Gentlemen濫用Windows排程工作提升權限，具備自我擴散能力加速大規模感染

微軟揭露新興勒索軟體The Gentlemen，指出這款以Go語言開發的勒索軟體，不僅能加密資料，還具備強大的自我擴散與橫向移動能力。The Gentlemen會建立SYSTEM權限排程工作提高權限，並透過WMI、PsExec與PowerShell等多種方式散播，對每臺主機甚至可嘗試多達21次遠端執行操作，藉此提高感染成功率。

Minecraft玩家遭惡意軟體WeedHack鎖定，逾11萬臺設備被感染

資安公司McAfee揭露新的惡意軟體租用服務WeedHack，該平臺從今年1月開始出現，專門針對Minecraft玩家，迄今已確認有116,464臺電腦受害，而且遭感染的電腦數量每天會增加2千至3千臺。一旦遭到感染，攻擊者可竊取帳密資料並挾持Discord與Minecraft帳號，洗劫加密貨幣資產，甚至進一步即時存取受害者的視訊鏡頭、螢幕畫面，以及電腦存放的檔案。

微軟譴責Chaotic Eclipse未經協調逕自公開多項零時差漏洞

近期研究人員Chaotic Eclipse疑似因不滿微軟的漏洞通報流程，揭露微軟產品存在多個零時差漏洞，引發軒然大波，這也讓攻擊者有機可乘，搶先一步利用漏洞攻擊企業。後續，微軟MSRC在5月27日發文指控這些漏洞被不負責任地公開，已帶來不必要的資安風險，並可能提出訴訟。而該研究人員先後在5月20日、23日透過部落格文章回應，並揚言將在7月14日採取行動，威脅要讓微軟難看。

雙方各執一詞，但有多名研究人員接受媒體採訪，表示對微軟的說法抱持懷疑，紛紛在網路上透露他們向微軟通報漏洞時遇到的挫折經驗，有人表示，通報5個月後，才收到微軟回覆表示「不符合服務水準」的拒絕處理通知，也有人表示，微軟起初不承認他們通報的漏洞，卻在一個月後完成修補。

後續微軟MSRC在6月1日於X發布推文表示，他們在這幾天關注資安研究員與供應商之間的關係，以及漏洞協調揭露的討論。他們表示，當有人違法從事惡意活動，並對微軟客戶造成實際傷害時，微軟將適時與執法部門合作，但對於從事資安研究，或是發表研究成果的人士，無意採取任何行動。微軟也坦承處理漏洞通報的有些互動未能達到標準，正努力從中學習。

逾9成資安長重視網路威脅情資，但不到3成將其列入決策依據

資安教育與研究機構SANS Institute於5月發布調查報告指出，企業已普遍將網路威脅情資（Cyber Threat Intelligence，CTI）納入資安計畫，91%資安長認同CTI具備價值，但僅26%表示CTI會明顯影響高層決策。這反映企業接下來的挑戰，許多組織仍未把情資分析結果，轉化為預算分配、風險排序與高層決策依據。

HPE將AI對話式互動帶進災難復原管理，Zerto新增AI助理與第3方AI平臺整合

HPE旗下資料保護與災難復原平臺Zerto推出10.9版，新增內建AI助理與Zerto Context Protocol兩項AI功能。除了可透過自然語言查詢系統狀態、文件與資料保護資訊，也能讓Claude Desktop、VS Code Copilot等外部AI用戶端，與Zerto的管理環境整合，將對話式互動導入資料保護與災難復原流程。

Veeam 13.0.2解決備份伺服器高可用性與跨平臺支援問題，修正檔案層級資料復原流程設定

Veeam推出Backup & Replication 13.0.2版，修正先前版本中備份基礎設施高可用性功能，與跨平臺支援問題，改善HA Cluster、Hyper-V、Veeam Agent與檔案層級還原流程，提升不同環境下的備份與復原可靠性。

Google Cloud TPU VM導入Canonical認證Ubuntu環境

Ubuntu發行商Canonical於5月28日宣布，與Google Cloud合作推出通過認證的Ubuntu映像檔，供Google Cloud的Cloud TPU虛擬機器（Cloud TPU VM）使用，並成為使用者建立TPU VM時的預設選項，以因應AI與機器學習工作負載的部署需求。

思科推出Cloud Control，打造AI代理時代IT營運平臺

思科（Cisco）推出統一營運平臺Cisco Cloud Control，將旗下網路、資安、AI基礎架構、可觀測性與協作等產品能力，整合到單一操作介面。這項平臺也透過Cloud Control Studio串接第三方工具與既有IT環境，讓企業可在同一套介面中管理跨產品組合的維運工作。

'

用AI對抗AI：陳怡樺帶領趨勢科技全面加入Anthropic Project Glasswing，開啟資安攻防新紀元

來源：https://www.ithome.com.tw/news/176412

兩天前，AI公司Anthropic發信邀請趨勢科技旗下企業資安品牌TrendAI加入Project Glasswing，得知此事後，趨勢科技執行長陳怡樺一路風塵僕僕返臺。深夜從倫敦啟程的她，才剛參加完聚集美英歐洲各國政府代表的國家安全會議，便立刻趕回臺北，就是為了參加今日（6月5日）舉辦的記者會。

陳怡樺表示，世界各國都對AI資安帶來的威脅憂心忡忡，而這個世界正處於一種既充滿希望、又高度警覺的曖昧狀態，當各國政府視AI為國力象徵、建設目標的同時，卻同時在夜裡擔心它被惡意利用。

陳怡樺表示，趨勢科技是以相當謹慎的態度提出加入Project Glasswing的申請，計畫初期，Anthropic甚至只給趨勢科技一個可以存取Claude Mythos Preview的名額，讓陳怡樺不禁開玩笑地擔憂：「一個名額的話，我們公司內部要怎麼分配？不就要打起來了？」

這句看似輕描淡寫的玩笑話，其實指向一個嚴肅的現實：能夠接觸Claude Mythos Preview這款Anthropic最先進前沿模型的資格，在資安界幾乎等同於取得一把打開未知威脅版圖的鑰匙。而如今，趨勢科技旗下所有事業群——TrendAI、TrendLife、TXOne、VicOne，以及Magna AI——都已全體入列。

震驚全球資安的AI模型誕生，衍生出Project Glasswing

要理解這份合作協議的重量，必須先理解Project Glasswing為何而生。

2026年4月，Anthropic發布Claude Mythos Preview，這款模型在全球資安社群引發了罕見的震撼，因為它能夠在極短時間內，自主發現數千個高風險的資安漏洞。對照傳統資安專家甚至是駭客社群一整年所能發掘的高危險漏洞，也不過就是這個量級。

更讓人不安的，是這款模型不僅能快速找出漏洞，還能將多個漏洞串聯在一起，自動模擬潛在的攻擊路徑與攻擊鏈。換言之，這款模型具備了超越現有紅隊（Red Team）能力的潛力，而Anthropic在開發過程的晚期才意識到，這款模型比任何人預期的都還要強大。

面對這種潛在的雙面刃，數位發展部部長林宜敬認為，Anthropic的選擇就是一種對AI安全責任的一貫堅持：在模型廣泛公開之前，先讓可信任的防禦者搶先行動。

這也是Project Glasswing計畫的邏輯：優先開放給作業系統廠商、瀏覽器開發者，以及重要的資安機構，讓善意的一方，率先使用這款模型全面掃描既有軟體的漏洞，在壞人有機會利用同等能力之前，率先把那些漏洞補起來；等到防禦陣線建立完成後，才逐步擴大模型的使用範圍。林宜敬稱讚，這個做法「獲得了全球資安與科技界的高度肯定」。

這個計畫的第一批成員，大約有四五十家公司，但林宜敬坦言，當初看到第一批的參加名單後發現，除了一家英國的AI Security機構，其餘幾乎清一色是美國企業，但是，臺灣這個「全球AI硬體強權」，卻付之闕如。

因此，林宜敬在多次與美國相關單位溝通聯繫時，也反覆強調，希望可以讓臺灣的業者有機會加入Project Glasswing計畫，有能力用AI對抗AI。

一場沒有旁觀者的全球賽局

「臺灣是全球AI的硬體強權的這個事實，在AI時代反而放大了資安威脅的後果。」林宜敬表示，一旦臺灣關鍵基礎設施或AI供應鏈遭受重大攻擊，衝擊的不只是一個國家的國內問題，而是整個全球科技產業的運作，乃至民主國家共同體的集體安全。

因此，林宜敬說，當Project Glasswing的第一批名單揭曉，他意識到臺灣沒有入列時，他開始向美方官員遊說，要求將臺灣的資安公司納入合作機制。他認為，美國是AI的軟體強權，臺灣是AI的硬體強權，兩者缺一不可；若臺灣的資安防線被突破，對美國、對所有民主國家，都是災難。

林宜敬對於趨勢科技最終入列感到「非常非常高興」，原因不只是這家公司的創辦人是臺灣人、現任執行長是臺灣人、主要研發團隊來自臺灣，更因為趨勢科技雖在日本上市，卻在地緣政治上具備高度的臺灣認同。以一個行動同時解決臺日兩地的資安弱點，正是林宜敬所稱「一口氣解決兩個問題」的戰略判斷。

但林宜敬也同時向陳怡樺喊話，要求趨勢科技善盡社會責任，協助臺灣所有企業與關鍵基礎設施盡快找出漏洞、完成修補。因為，加入Project Glasswing只是開始，真正的工作才正要展開。

Anthropic選擇與趨勢科技合作的關鍵要素

Anthropic網路合作關係負責人Rob Bair在這場記者會中，也解釋Anthropic主動邀請趨勢科技加入背後的戰略邏輯。

他表示，Anthropic帶來的，是世界上最先進的AI模型；但這個模型，不論多麼強大，本身並不等於防禦。因為，一個模型不會了解企業的網路環境，也不曾花數十年時間研究攻擊者實際的行為模式，更不會在凌晨三點，當企業遭遇資安事件時，坐在企業資安人員的身邊提供協助。「但趨勢科技做到了。」他說。

Rob Bair表示，Anthropic在選擇合作夥伴時的核心標準，不是尋找任何一家會用AI的公司，而是那些既有深厚資安領域知識、又擁有與全球客戶真實信任關係的防禦者。

他坦言，Anthropic前沿模型的能力固然無可替代，但若缺乏對客戶環境的了解、對威脅情報的積累，以及對人際關係的深度理解，再強大的模型也只是工具，而非盾牌。

「趨勢科技恰恰滿足了這些條件。」他指出，一家即將邁入四十年歷史的資安公司，從最初的電腦病毒時代走過網際網路崛起、雲端運算普及、行動裝置爆發，直到如今的AI浪潮，始終維持著全球資安領域的領導地位。

Rob Bair認為，在這個產業裡，這樣的持久性本身就是一種奇蹟。此外，他也說，趨勢科技最值得稱道的，就是它面對AI浪潮的態度。「大多數擁有這種歷史的公司，會傾向於保護它所建立的一切。趨勢科技卻做了相反的事。」他說。

當AI時代來臨，趨勢科技選擇成為最早轉型為AI原生公司（AI Native Company）的企業之一——不是把AI當成舊產品的附加功能，而是將AI深度融入該公司研究方式、營運邏輯與防禦架構的每一條脈絡之中。

而趨勢科技旗下業界知名的漏洞研究計畫ZDI，也是Anthropic青睞它的重要原因。過去二十年來，趨勢科技建立了全球規模最大、跨供應商的漏洞獎勵計畫，由分布在世界各地的數千名研究員持續供給威脅情報。年復一年，趨勢科技的研究員揭露了資安業界相當高比例的重大漏洞，且往往比威脅正式爆發早上數個月，搶先通知並協助客戶完成修補。

「試想一下，這樣一個跨越數十年累積的威脅情報引擎，結合全球遙測資料，放入世界上最強大的AI模型手中，那將會產生什麼？」Rob Bair說，「這就是這份合作能夠交付的成果。」

「不是只有我們自己的Silo」：陳怡樺的臺灣使命

陳怡樺表示，臺灣擁有完整且領先全球的AI供應鏈，包括臺積電在內、幾乎所有重要的AI基礎建設廠商，都扎根於此。

趨勢科技身為這些企業長年倚賴的資安夥伴，當它能夠使用Claude Mythos Preview這個等級的前沿模型進行漏洞掃描時，陳怡樺強調：「這時候，趨勢科技守護的不只是自己的客戶名單，更是整個臺灣AI供應鏈的韌性。」

不過，陳怡樺的目光，並不僅僅停留在趨勢科技本身，這份合作的最終目標，是用來賦能臺灣整個AI產業生態。她說：「臺灣現在是AI硬體第一名，但AI軟體將是下一波成長的地方。」

臺灣有許多AI新創正在快速崛起，從醫療AI、汽車科技到通用企業應用，這些公司在部署AI產品時，最大的挑戰之一就是讓客戶信任；而信任的基礎，正是安全。

為此，趨勢科技在Computex 2026期間，正式宣布推出「TrendAI Inception Program」作為「AI新創的安全加速器」，目標是運用包含Anthropic前沿模型在內的最先進AI技術與資安能力，協助臺灣AI新創企業在起步階段就建立安全基礎。

陳怡樺說明，並不是讓這些AI新創公司直接使用Mythos，而是因為趨勢科技奠基在對Mythos的理解，可以大幅提升挖掘漏洞、弱點修補管理和屏蔽防護的時間和效率。

「這也是我們希望給臺灣所有產業帶來的，不只是我們自己的Silo。」陳怡樺的視角，已經從單獨一家資安公司，轉型為整個產業安全基礎設施推動者的視角，這也是陳怡樺帶領趨勢科技全體加入Project Glasswing最重要的關鍵。

當AI模型遇上現實，漏洞修補的缺口才是真正戰場

陳怡樺坦言，加入Project Glasswing之後，對趨勢科技最大的挑戰，往往不是找到多少漏洞，而是怎麼修補這些漏洞。「CVE漏洞的數量是直線上升的，但組織的修補能力，卻是緩慢爬行的。那個缺口，才是真正的問題所在。」她說。

她以2021年底爆發的log4j漏洞為例，這是曾引發全球資安危機的漏洞，時至今日，仍有超過四百萬臺面向網際網路的伺服器未能完成修補。關鍵不是因為廠商沒有發布修補程式（Apache官方在2021年底便已緊急發布了修補版本），而是因為各種相容性、系統連續性的顧慮，讓真正的部署難以推進。

她也解釋，要幫企業修補一個漏洞並不簡單，必須了解客戶的整個環境，知道哪些地方可以上patch，而哪些地方不能，若無法修補，又該用什麼方式，在前面攔截攻擊。

這也是趨勢科技旗下各事業群分眾布局的深層意義。陳怡樺指出，TXOne專注於工業控制系統（OT）領域，面對的是那些根本無法停機更新的生產機臺；TrendAI聚焦企業IT環境，TrendLife則深入消費者市場。

她認為，只有當每個事業群對其客戶環境的深度了解，才是在Claude Mythos Preview找出漏洞之後，讓防禦能夠真正落地的最後一哩路。

Rob Bair同意這樣的看法，他表示，Anthropic帶來的是更快、更深入找出漏洞的能力，以及讓研究員能以「決心堅定的攻擊者」角度思考的AI推理工具；而趨勢科技帶來的，是將這些發現，轉化為客戶環境中可執行防禦措施的判斷力與信任關係。「趨勢科技帶來判斷、帶來脈絡，更帶來沒有任何演算法能夠取代的人際關係。」他說。

因此，陳怡樺強調，該公司並不是讓所有工程師都能直接存取Claude Mythos Preview這個模型，對於有權存取的工程師，都會進行嚴格的資格審查與使用規範。

她認為，因為一個能以機器速度找出漏洞並串聯攻擊鏈的模型，一旦落入不慎或不軌之手，同樣能成為威力無匹的攻擊工具。

面對AI帶來的時間差，防禦者還有多少餘裕？

面對攻擊者也可能自行開發或取得具備Claude Mythos Preview類似能力的模型，防禦者究竟還剩下多少時間呢？

Rob Bair表示，根據Anthropic的判斷，惡意行為者要取得具備同等能力的模型，可能還需要大約一年的時間，而這一年，正是讓防禦者先行建立防線的關鍵窗口。

他進一步解釋，前沿模型的能力只會越來越強，從網路資安的角度來看，所有前沿模型最終都將具備類似的能力。正因如此，讓模型率先進入防禦者手中，才能讓各方在整體上取得最好的防禦機會。

陳怡樺提出補充說明，她表示，AI驅動的攻擊早已存在，因為上個月趨勢科技就發現純粹以AI、包含多個Agent（代理程式）協同合作的方式，針對某基礎設施展開攻擊的真實案例。

她更直言，回顧過去十年最重大的資安事件，沒有一起是單純因為zero-day（零時差）漏洞被利用所造成的；絕大多數，都是配置錯誤、人為疏失，或是組織內部溝通鏈的薄弱環節被突破。

「你不需要讓所有人都有Mythos才能安全，」她認為，關鍵在於讓防禦者能夠用Mythos，去防禦那些新型態的威脅；同時，能夠在攻擊鏈（Cyber Kill Chain）的前段就把攻擊者擋下來，讓這些攻擊者根本沒機會，進入到使用漏洞的那一步。

陳怡樺揭露下一步的AI資安想像

陳怡樺對未來AI資安格局，有不一樣的宏觀想像。她表示，生成式AI的出現，本質上是一場「資訊可擴展性」（Information Scalability）的革命——所有資訊都被商品化了。

但她認為，下一波真正的價值，將來自Agentic AI（代理式AI）中的客製化能力：一個能夠收集獨特資料、對獨特情境進行推理、最終協助客戶做出最適合自身環境的決策的智慧系統。

「全世界沒有一個決策可以說是最好的決策，每個人的決策都是不一樣的，都是客製化的。」她說，「對於做網路資安的人來說，最重要的，是了解你的環境之中，你的風險跟你的緩解措施如何取得平衡。你不可能百分之百完全安全，你有你的取捨，每家公司的取捨都不同。」

陳怡樺這個關於客製化防禦的願景，也與Anthropic的Project Glasswing設計理念相呼應，都是選擇先開放給信任的防禦者、分階段擴大存取範圍，本身就是一種對「沒有單一最佳解」的承認——最有效的防禦，永遠需要了解你守護的那個環境。

陳怡樺表示，現在是用AI對抗AI的時代，趨勢科技選擇全體入列，不只是對臺灣、對全球AI供應鏈安全的負責，更深信「防禦者必須跑得比攻擊者更快」，國家、企業才能更安全。

'

如何用HIMSS框架衡量數位轉型？長庚揭大型醫療體系的成熟度治理戰略

來源：https://www.ithome.com.tw/news/176224

每年，美國醫療資訊與管理系統協會（HIMSS）都會舉辦HIMSS全球年會，是醫療IT界最有影響力的國際盛會之一。在今年3月的HIMSS26全球大會中，長庚醫療體系特別受邀參加，站上講臺發表全球醫療機構首份大型醫療體系「數位成熟度白皮書」，揭露他們如何透過HIMSS成熟度框架，把關11個院區的數位轉型進展和IT治理。

這份白皮書，集結了長庚過去10年來的數位轉型歷程，一路從第四代醫療資訊系統（HIS 4.0）的布局、全面導入結構化病歷，再到數據中臺的建置和AI治理，一步步築起大型醫療體系的數位治理架構與藍圖。

長庚如何用HIMSS框架盤點數位能力？

長庚醫療財團法人行政中心總執行長潘延健點出，HIMSS成熟度框架，是長庚醫療集團用來衡量IT對醫療現況輔助成效的重要工具。

「很多人以為HIMSS只是資訊面驗證，但它真正看的是，資訊化後，醫療品質、病人照護、營運效率甚至是醫院永續，是否變得更好，」潘延健說。這樣的衡量機制，讓長庚能清楚掌握，自家IT對醫療品質、病人參與以及醫院營運的實際影響程度。

於是，2016年，長庚醫院開始接觸HIMSS框架。他們先導入HIMSS EMRAM（Electronic Medical Record Adoption Model），也就是一套專門評估醫療院所電子病歷應用成熟度的模型。

這套模型衡量了醫院在臨床資訊系統、資料整合和數位化流程上的發展程度，共分0到7級，等級越高，醫院在電子病歷整合、臨床決策支援和資料互通的能力就越成熟。EMRAM也是全球醫療機構，廣泛採用的衡量指標。

該年，長庚取得EMRAM第6級認證，2年後拿下第7級最高等級認證，成為全臺首家通過認證的醫院。但對他們來說，EMRAM只是起點，長庚還導入其他HIMSS成熟度框架與數位健康評估機制，從不同面向盤點大型醫療體系的數位能力，包括：

DHI（Digital Health Indicator，數位健康指標）：評估醫院整體數位健康能力，涵蓋治理、互通性、病人參與與分析能力；

AMAM（Adoption Model for Analytics Maturity，分析成熟度模型）：聚焦AI與資料分析能力成熟度；

DIAM（Digital Imaging Adoption Model，數位影像採用成熟度模型）：評估醫療影像數位化與整合能力；

INFRAM（Infrastructure Adoption Model，基礎設施採用成熟度模型）：衡量IT基礎設施與資安成熟度。

可以說，長庚不只看電子病歷如何幫助醫療流程，還進一步衡量院內AI能力是否成熟、醫療影像是否高度整合、IT底層架構能否支撐智慧醫療發展，以及病人互動和資料治理是否真正落地。

舉例來說，DHI就是一項重要指標，因為它強調整體數位治理能力，而不只是單一系統的導入成效。長庚在2022年取得DHI全球第2名、臺灣第1名，2024年更獲得滿分成績，名列全球第一。至於其他成熟度框架，長庚也陸續拿下第7級認證，也就是HIMSS成熟度模型的最高等級，反映他們的IT基礎架構、醫療AI與影像整合能力，已相當成熟了。

成熟度達標關鍵是HIS 4.0，主打全面結構化病歷

長庚醫療集團之所以能拿下4大HIMSS成熟度框架最高第7級認證與世界第一的DHI滿分，一大關鍵是多年前啟動的第三代HIS改造計畫，內部稱為HIS 4.0。

這套HIS 4.0在2019年正式上線，最大的亮點是全面結構化病歷。潘延健解釋，傳統自由文本（Free text）式的病歷，雖然方便醫師記錄，對IT系統來說，這些文件形式的資訊，很難直接進行即時分析、跨系統整合或進一步應用。

相較之下，結構化病歷可將診斷、症狀、檢驗結果、用藥與各類處置等資訊，拆解成系統可辨識的標準化欄位，可以更好地善用資料。

早在2015年，長庚就開始規畫病歷結構化工程。早期，他們曾開發一套表單編輯工具，希望由各科室自行設計結構化表單，但也引發部分臨床人員反彈。

後來，他們調整設計思維，改採自由書寫與結構化輸入並用的混合架構。醫師仍可在主表單以文字記錄病況，同時能透過快捷鍵、範本或子表單等方式，快速調用結構化表單，完成資料填寫。這些結構化資料寫回病歷系統後，也會同步匯入後端資料平臺，供後續分析和應用。

目前，長庚醫療體系內，幾乎所有病歷紀錄都以結構化方式保存，同時保留醫師客製化調整的彈性。

這種結構化病歷的好處，在於可即時支援臨床輔助決策。潘延健指出，隨著大型語言模型（LLM）能力越來越強，不少人認為，就算保留大量自由書寫的病歷，AI也能協助解讀和整理，不一定需要高度結構化。

但，「若只是回溯性分析，或許能用AI慢慢從大量文字中找資料；但要即時支援臨床決策，不可能每次都大海撈針。」潘延健點出，有別於「事後再讓AI解讀」，長庚更傾向在資料源頭，就完成結構化與標準化。

在長庚看來，結構化病歷不只改善病歷記錄方式、利於後續分析和輔助應用，更是資料治理工程的起點，對數據中臺的建置、AI應用、跨系統資料整合，都有深遠影響。

開始建置數據中臺，資料治理是關鍵

HIS 4.0上線後，長庚開始建置一套數據中臺，為下一代智慧醫療應用鋪路。

這是因為，HIS是醫院核心業務系統，但院內往往有其他需求，如研究、教學、監測指標以及AI訓練等，這些需求有各自的系統，也都需要存取臨床資料。

這些系統若直接向HIS抓資料，HIS除了原本的門診、急診、住院、醫囑等核心臨床業務，還得額外負責大量資料傳輸、整合和查詢需求。久而久之，HIS不只越來越龐大，也越來越不穩定。

因此，長庚先推動平臺化架構，將不同功能拆分成不同平臺，讓HIS只負責核心臨床業務，同時建置數據中臺來集中各種資料、統一提供給其他系統，讓這些系統不必再向HIS存取資料。

建置數據中臺時，還有個「資料治理」的關鍵下水道工程要進行。潘延健強調：「如果只是把HIS資料原封不動搬過來，後面還是很難用。」

於是，在將資料匯入數據中臺前，長庚先統一資料的欄位名稱、資料格式和定義，甚至釐清資料血緣（Data Lineage），找出每筆資料之間的關聯。

這麼做的好處是，資料經梳理和標準化後，可依不同系統需求，自動組合、呈現對應的資料，例如能以病人為中心，或以疾病或手術為視角，來呈現完整的醫療資料。

這個好處，也能作為數據中臺的重要功能：資料視覺化。由於使用者角色不同，所需的資料內容也會不一樣，因此，長庚只要在資料進入數據中臺時設定對應的存取權限，系統就能按使用者需求，自動組裝對應的欄位和內容，快速產生資料組合和對應畫面。

長庚原本就有深厚的資料治理經驗，發展數據中臺的門檻，與其他醫院相比，相對低了很多。他們有套長年發展的長庚研究資料庫（CGRD），當年建置時，就以病人為中心整合跨系統資料，且為了支援這類跨系統研究應用，早已統一了資料欄位定義、建立病人資料串接機制，也整理不同系統間的資料關聯。

隨著時間推移，CGRD累積了上百億筆資料，也成為這套數據中臺的重要基礎。潘延健表示，這些資料正逐步轉移至數據中臺中，成為研究、AI訓練、監測指標、資料交換等應用的重要來源。

除了CGRD，HIS 4.0的結構化病歷，也是推動數據中臺資料治理的關鍵一步。由於病歷資料已具備一致的資料格式和欄位定義，後續不論是資料擷取、整合、分析或交換，都能大幅降低處理難度，免去了從零開始的資料治理工作。

可以說，長庚的數據中臺，不是單純多了一套資料平臺，而在多年資料治理、結構化病歷和研究資料庫工程的實踐上，進一步擴展成支援AI、智慧醫療應用，甚至是FHIR交換的核心資料架構。

從判讀型AI走向生成式AI

AI應用是長庚數位轉型的另一大亮點。潘延健將長庚的AI發展，分為兩大階段。首先是早期的判讀型AI，透過大量標註資料來訓練專用模型，主要用於醫療影像分析，如X光、病理、超音波與心電圖等。目前長庚已發展20多套相關模型，部分也取得臺灣TFDA核准。

第二階段則是近年發展的生成式AI與大型語言模型（LLM）應用。潘延健點出，LLM與傳統醫療AI的定位不同，過去的判讀型AI強調診斷準確性，適合用於影像判讀等特定任務；相較之下，LLM更適合處理醫療文件、知識查詢和資訊整理等工作。

「診斷必須非常精確，不能出錯，」他說。因此，長庚主要將LLM用於護理紀錄、檢查報告、病歷摘要及院內知識查詢等非診斷決策的場景。例如，醫護人員可透過語音輸入，由AI協助整理內容；醫師則能利用AI快速摘要病人歷年的病歷紀錄，減少閱讀大量病歷的時間成本。

不過，有別於一般生成式AI直接輸出自由書寫文字，長庚有一個特別的講究，也就是直接讓LLM產生結構化資料，來符合結構化病歷的規範。因為，如果只將語音轉成自由文本，最後還是得手動整理、將這些資訊結構化；但若直接產出符合結構化病歷規範的資料，才能真正融入後續的資料治理與應用流程。

除了病歷整理，長庚也透過RAG技術，將LLM用於院內知識查詢。例如，醫護人員不清楚某項作業規範或流程時，可直接透過AI查詢相關文件與規章內容，快速取得所需資訊。

在AI應用逐漸增加後，長庚也在2年前開始建置AI推論主機，整合至HIS 4.0中。潘延健指出，過去許多醫院導入AI時，往往是額外增加一套AI系統，醫師得在不同平臺之間切換操作。但長庚希望，AI能直接嵌入原有醫療工作流程。

比如，同一位病人的X光影像，系統可同時串接多個AI模型，在背景自動完成氣胸、骨質密度、心電圖和其他影像分析結果，再統一回傳至HIS介面，讓醫師在同一個畫面就能完成多種判讀。長庚想做的，不只是導入單一AI工具，而是讓AI成為HIS底層能力的一部分。

下一步：持續優化HIS 4.0，還要打造長庚專屬的醫療GPT

提及長庚的下一步，潘延健表示，他們要持續優化數據中臺架構，預計今年完成數據中臺的整合工程，進一步強化資料治理、資料交換和跨系統整合能力。與此同時，他們還要持續優化HIS 4.0效能，降低系統負擔和操作複雜度。

另一大發展重點，則是建立屬於長庚自己的醫療GPT。

潘延健透露，他們正在規畫，透過微調開源LLM，結合院內知識庫、數據中臺和臨床資料，建立起長庚專屬的GPT架構，未來不只能支援病歷摘要和知識查詢，還要進一步結合數據中臺與院內知識庫，提升資料分析和運用能力。

不過，他也坦言，這類系統目前的一大挑戰是，如何讓LLM與後端結構化資料真正整合。例如，當文字資料轉成向量（Embedding）後，如何再回到後端SQL查詢、資料權限治理與結構化分析，這些都是要持續發展驗證的技術課題。

對長庚來說，下一階段的目標不只是導入更多AI工具，而是打造一套能持續支援臨床、醫院營運和研究的智慧醫療基礎架構。這是長庚從HIS 4.0、資料治理到醫療GPT布局背後，最核心的數位轉型戰略。

'

OpenSSF前總經理Brian Behlendorf：AI對開源的依賴愈深，將放大軟體供應鏈問題

來源：https://www.ithome.com.tw/news/176410

AI浪潮讓開源軟體的重要性攀上新高，但也讓軟體供應鏈安全問題變得更加嚴峻。OpenSSF前總經理Brian Behlendorf受邀在Computex的活動論壇中指出，從Log4j漏洞、XZ後門事件到PyTorch供應鏈攻擊，AI並未帶來新的資安威脅，而是將既有的開源供應鏈風險「推上火箭」，放大到前所未有的規模。他呼籲企業除了使用開源軟體，也應投入資源協助改善開源專案安全，共同建立可信任的AI基礎設施。

他表示，當企業爭相導入生成式AI、大型語言模型與AI代理（Agent）應用時，這些創新的底層支撐技術，愈來愈多建立在開源生態系上。但是，AI產業對開源的高度依賴，也使得原本就存在的軟體供應鏈風險被全面放大。

他形容，開源軟體就像數位世界裡的「暗物質」（Dark Matter），雖然平時不容易被看見，卻支撐著現代軟體產業運作。根據相關研究，平均約74%的企業軟體程式碼來自開源元件，而96%的程式碼庫都包含開源套件。從作業系統、資料庫到雲端平臺與AI框架，開源早已成為軟體開發的預設選項。

但是這也意味著，一旦核心元件出現漏洞，其影響範圍往往遠超出單一產品或企業的範籌，影響之大難以估量。

從Log4j到XZ事件，開源供應鏈問題浮上檯面

回顧過去的幾起重大資安事件，軟體供應鏈已成為企業不可忽視的風險來源。

以2021年爆發的Log4Shell漏洞事件為例，由Apache基金會維護的Log4j是一套被廣泛使用的日誌記錄元件，該漏洞曝光後迅速波及大量企業系統。更值得注意的是，許多企業在第一時間甚至無法確認自身是否受到影響，因為根本並不清楚系統內部實際使用了哪些開源元件，曝露企業軟體的組成資訊缺乏透明度的問題。

另一個案例是2024年的XZ後門事件。攻擊者長期以正常貢獻者身分參與專案開發，逐步取得社群信任後獲得維護權限，最終成功將惡意程式碼植入核心套件中。幸運的是，漏洞在正式大規模部署前即被發現，但這個事件曝露開源社群治理與信任機制可能面臨挑戰。

Brian指出，這些案例反映的並非是單純的技術問題，而是整個開源供應鏈管理問題。過去依賴社群信任與開發者自律的模式，一旦面對國家級攻擊者或是高度組織化的供應鏈攻擊時，已顯得不足。

AI時代讓供應鏈風險「搭上火箭」

進入AI時代後，上述的問題又被進一步放大。

首先，AI產業高度依賴少數關鍵開源專案。以PyTorch為例，已成為大型語言模型訓練與推論的重要基礎設施；GitHub、Hugging Face等平臺也逐漸成為AI生態系的重要節點。一旦這些核心元件遭到攻擊，影響範圍可能遍及整個產業。

其次是，AI開發流程也新增了大量供應鏈環節。除了傳統軟體開發流程外，還有模型訓練、微調（Fine-tuning）、後訓練（Post-training）、RAG（Retrieval-Augmented Generation）、Agent框架等等，每個環節都可能成為新的攻擊面。

Brian直言，AI開發工具與框架正在快速發展，但許多專案仍處於發展初期，尚未建立成熟的安全治理機制。許多新進開發者對供應鏈安全議題也缺乏足夠認識，這使得風險進一步增加。

更值得關注的是，AI本身也可能成為漏洞擴散的新管道。如今愈來愈多開發者利用生成式AI協助撰寫程式碼，而這些模型大多以既有開源程式碼進行訓練。如果訓練資料中包含歷史漏洞或不安全的開發模式，AI就有可能將這些問題重新複製到新的應用程式中。

「過去存在的問題並沒有消失，而是在AI環境中被放大了」，Brian說。

從被動防禦轉向建立可信任供應鏈

面對AI時代的開源風險，Brian認為企業不能只關注漏洞修補，而必須建立完整的供應鏈治理能力。

他特別提到近年受到產業廣泛採用的SBOM軟體物料清單概念。透過建立軟體組成清單，企業才能掌握系統中實際使用的開源元件，在漏洞事件發生時快速評估影響範圍。

此外，OpenSSF近年也推動包括Scorecard、Sigstore與SLSA等工具與框架，希望建立更透明、更可供驗證的開源供應鏈管理機制。例如透過數位簽章確認套件來源，或以標準化方式驗證軟體建置流程是否符合安全要求。

另方面，AI也反過來協助提升開源安全，例如Anthropic的GlassWing計畫，利用大型語言模型分析開源專案中的潛在漏洞，短短數個月便產生超過2萬份漏洞報告，協助社群找出大量長期潛伏的安全問題。

不過，他認為真正的挑戰並不只是技術工具，而是資源投入。許多企業仰賴開源專案建立產品與服務，卻鮮少回饋資源給維護社群。未來若要建立可信任的AI基礎設施，企業除了導入開源，也應支持關鍵專案的安全改善工作，讓開源生態具備更長期、穩定的維運能力。

「自由軟體不等於免費安全」（Free software is not free security），Brian強調，開源已成為AI時代最重要的數位基礎設施，而建立安全可信的供應鏈，更是整個產業共同面對的課題。

'

【資安日報】6月5日，伺服器管理晶片廠商於Computex 2026積極展現資安布局

來源：https://www.ithome.com.tw/news/176404

導入Caliptra 2.x安全架構，信驊於Computex 2026積極展現晶片級資安布局，PQC支援亦成焦點

以伺服器管理晶片BMC產品聞名全球的臺廠信驊科技，在本週舉行的Computex展示以Caliptra安全架構為核心的產品布局。Caliptra是由OCP（Open Compute Project）主導的開源硬體信任根標準，信驊這次展出的多款新一代產品，也使其成為全球首家將Caliptra 2.x版本整合至晶片的廠商，宣示資安防禦已從軟體層全面深化至晶片層，該公司並預期，未來有更多廠商也會跟進。新版晶片亦全面支援後量子密碼學（PQC），確保伺服器韌體在未來量子運算時代，仍能防範韌體遭竄改。

Computex首設開源臺灣館，向國際展現臺灣開源社群實力

今年Computex首次設立「開源臺灣館」（Open Source Team Taiwan），成為與硬體產品截然不同的展區。事實上，開源已經成為現代IT的重要基礎，因此，企業關注的焦點不再只是是否使用開源軟體，而是如何參與開源專案、建立開源治理能力，以及在供應鏈中維持軟體安全。本次大會亦邀請Apache軟體基金會（ASF）與開放原始碼安全基金會（OpenSSF）社群領袖來臺演說、交流，涵蓋開源治理、開源安全、軟硬體整合以及社群協作等議題。

Perplexity發表混合式本地伺服器推論技術，將敏感資料留在本機處理

在Computex 2026的Intel主題演講裡，AI模型廠商Perplexity展示混合式本地伺服器推論協調器，此為該公司混合式代理推論（hybrid agentic inference）的實作，訴求是部署AI系統需在準確性、隱私、成本三種要求間取得平衡。Perplexity指出，這項方案適合處理敏感資訊，但需要龐大AI分析的應用，包括財務記錄、健康資訊和個人資料。一般來說，準確性需要最強大的模型，但這類模型往往在雲端而難以兼顧隱私，藉由混合式本地伺服器推論協調器，將能把這類機敏資料留在本機處理。

NTLM協定安全問題又一樁，Windows Search URI問題可能導致NTLM驗證資訊外洩

資安公司Huntress近日揭露Windows Search URI導致NTLM雜湊值洩漏的弱點，此問題源自Windows的search-ms: URI處理程序，當使用者點擊包含惡意參數的連結時，系統會解析該URI並自動發起連線至攻擊者控制的SMB伺服器，Windows可能在連線過程中自動發起NTLMv2驗證流程，導致Net-NTLMv2雜湊值洩漏給攻擊者。值得留意的是，此問題的性質與嚴重性，與微軟在4月修補CVE-2026-33829相同，但通報後卻未獲得微軟採納與修補。

研究人員直接公開VS Code資安漏洞，並表明對微軟漏洞通報流程失去信任

資安研究員Ammar Askar於6月2日公布Visual Studio Code（VS Code）一項零時差漏洞，並指出攻擊者只要誘導使用者點選惡意連結，就能竊得GitHub OAuth權杖（token），進而存取使用者的公開與私有儲存庫。這項漏洞之所以受到關注，在於Askar並未依照微軟提供的通報管道處理，而是選擇在VS Code的GitHub專案提出議題（issue），以及發布部落格文章的方式公開漏洞，並表明這麼做的原因，就是他多年前向微軟安全回應中心（MSRC）通報漏洞的不愉快經驗。

WordPress表單外掛Everest Forms Pro漏洞遭積極利用

6月5日資安公司Wordfence提出警告，他們於3月底公開揭露的表單外掛程式Everest Forms Pro漏洞CVE-2026-3300，於4月13日首度偵測到漏洞利用的跡象，並在5月16日出現大規模漏洞利用嘗試活動，當天有超過17,900次攻擊，截至目前為止已出現逾29,300次活動。Wordfence指出，攻擊者會嘗試在具有此漏洞的網站建立新的管理員帳號，而且多半會使用特定的使用者名稱或電子郵件信箱，該公司也提供入侵指標，讓系統管理者檢查網站是否已遭滲透。

Google發布Chrome 149穩定版更新，修補429項安全問題

Google發布Chrome瀏覽器新版本，將Windows與Mac平臺穩定版更新至149.0.7827.53與149.0.7827.54，Linux版本更新至149.0.7827.53，此次改版同時納入429項安全修正，其中包括22項重大漏洞的修補，而最為顯眼的是3項通報者獲頒獎金的重大漏洞。首先是CVE-2026-10881，為圖形處理元件ANGLE的記憶體越界讀取與寫入（Out of bounds read and write）問題，Google給予通報者9.7萬美元獎勵，是近幾個月來Chrome漏洞通報中相對少見的高額獎金。

Google發布ChromeOS長期支援版更新，修補多項重大記憶體安全漏洞

Google推出ChromeOS作業系統長期支援版LTS-144更新144.0.7559.254版，當中修補15項漏洞，有3項漏洞被評為有重大風險，11項有高風險，1項有中度風險。這3項重大漏洞皆為記憶體已釋放卻仍被使用（UAF）問題，嚴重性最高的是CVSS評分達9.0的CVE-2026-9891，問題出在擴充功能（Extensions），其次是CVSS嚴重性評分同為8.8的CVE-2026-9887與CVE-2026-9873，分別存在於代理伺服器（Proxy）與網路元件（Network）。

宏碁Wave 7路由器存在2項滿分重大漏洞

宏碁本週發布安全公告，預告將對Wave 7家用路由器發布韌體更新，修補2個CVSS風險值10分的安全漏洞。這兩項漏洞編號分別為CVE-2026-49200及CVE-2026-49201。其中CVE-2026-49200屬於存取控制缺陷。攻擊者未經驗證也可經由Web介面存取裝置韌體中的acer_cgi.log檔。這個檔案包含明碼的Web及Telnet登入憑證，而導致非授權存取系統；CVE-2026-49201則是發生在負責處理裝置備份的upload.cgi，當中包含寫死的AES加密金鑰。

Google Gemini語音助理存在漏洞，攻擊者可透過訊息通知來挾持AI

資安公司SafeBreach揭露Google Gemini存在一種新型態的弱點Fake Context Alignment，攻擊者藉由WhatsApp、Slack、簡訊等管道發送通知，並將惡意指令隱藏到另一種國家語言或是靜音連結（muted hyperlinks），就可能讓語音助理執行未經授權的行為。這種弱點可被用於控制智慧家庭裝置、啟動未經授權的影片串流，甚至偽造受信任的聯絡人進行大規模社交工程攻擊，或是污染AI長期記憶內容、建立持續存取的管道而影響廣泛。

新型SymJack攻擊鏈盯上AI程式開發代理，藉核准提示隱藏真正寫入目標

資安公司Adversa AI揭露SymJack新型攻擊鏈，能對於多款協助開發者寫程式、修改檔案與執行命令的AI程式開發代理下手，因此該公司研判是普遍存在的設計瑕疵，而非單一產品問題。攻擊者可準備惡意程式碼儲存庫，讓AI代理執行看似普通的檔案複製動作，但實際內容可能被寫入代理工具的設定檔，並在代理下次啟動時執行攻擊者指定的程式。研究團隊建議，AI程式開發代理應在檔案寫入前解析符號連結的真正目標，避免只依命令文字判斷操作是否安全。

NPM套件遭供應鏈攻擊，感染惡意程式IronWorm

資安公司JFrog揭露竊資軟體IronWorm的攻擊行動，這是以Rust打造的大型惡意程式，能從開發環境抓取多達86種機密資訊，本身可隱匿在eBPF核心rootkit背後運作，並透過Tor連線向操作員回報執行結果。與Shai-Hulud相同的地方在於，IronWorm使用竊得的憑證作為傳播機制，悄悄將惡意程式碼提交至受害者的GitHub儲存庫，並透過受信任的開發者工作流程GitHub Actions發布到NPM儲存庫。JFrog指出，這次攻擊者特別針對加密貨幣與Web3領域而來。

RondoDox殭屍網路鎖定華碩路由器舊漏洞，CVE-2018-5999出現實際濫用跡象

資安漏洞情報業者VulnCheck於5月17日觀察到，殭屍網路RondoDox開始利用華碩路由器漏洞CVE-2018-5999。這項漏洞早在2018年已有公開利用程式，但VulnCheck表示，這是該公司首度觀察到實際濫用跡象。BankInfoSecurity報導指出，這項漏洞可讓未經身分驗證的攻擊者以root權限遠端執行程式碼；VulnCheck技術長Jacob Baines也對BankInfoSecurity表示，有超過100萬臺華碩路由器連接網際網路，形成相當可觀的攻擊面。

駭客入侵大型證券交易所高層電子郵件帳號，潛伏5個月竊取商業情報

Broadcom旗下Symantec與Carbon Black團隊，近日揭露一起鎖定全球大型證券交易所的網路間諜活動。相關跡象最早可追溯至2025年10月，此時攻擊者已取得SYSTEM權限，並部署偽裝成Adobe Acrobat Reader與OneDrive元件的惡意程式，用於展開後續攻擊活動。在5個月的時間中，攻擊者始終專注於逐步竊取單一Outlook信箱的內容，其中內容足以讓攻擊者建構出組織發展方向等重要商業資訊，而無須進一步橫向移動。

駭客利用美國愛國者形象經營社群頻道，掩護詐騙活動，結合生成式AI擴大攻擊行動

透過生成式AI的協助，以往需要一組團隊才能完成的複雜網路攻擊行動，現在單一攻擊者便能執行。趨勢科技研究團隊近日揭露一起以「美國愛國者」形象的Telegram社群頻道為掩護，長達5年的社群操作與網路詐欺活動，近期攻擊者還進一步利用遭越獄（Jailbreak）的Google Gemini AI模型與遭竊API金鑰，將生成式AI用於社群頻道內容生成、憑證竊取、帳號入侵等工作，在Gemini協助下完成大規模的自動化攻擊活動。

惡意NPM套件藉自動化流量灌水下載量，偽裝成活躍維護專案

資安業者Tenable揭露一種名為download pumping的NPM套件操弄手法，攻擊者會在短時間內大量發布套件新版本，藉此觸發套件庫鏡像站、安全掃描器與分析機器人等自動化系統下載，拉高下載次數與版本歷史，讓惡意套件看起來像是持續維護、具有使用基礎的專案。Tenable舉出惡意套件ambar-src為例，攻擊者曾在兩小時內密集發布428個看似正常的版本，3天後才上傳含有惡意程式碼的新版本，該套件後來累積至724個版本，下載量被推升至約5萬次。

Let's Encrypt規畫2027年建立後量子憑證架構

免費憑證簽發機構Let's Encrypt規畫以MTC（Merkle Tree Certificates）作為Web PKI導入後量子身分驗證的主要方案，目標是在2026年稍晚建立可簽發MTC的測試環境，並在2027年建立可供生產使用的環境。該計畫不會立即改變現有Let's Encrypt憑證的申請與續期流程，但顯示Web PKI後量子憑證開始進入具體工程規畫階段。Let's Encrypt並非單純把既有X.509憑證改用後量子簽章，因為這麼做將導致TLS交握需要傳送的驗證資料大幅增加。

HPE將AI對話式互動帶進災難復原管理，Zerto新增AI助理與第3方AI平臺整合

HPE旗下備份與資料保護平臺Zerto近日推出10.9版，新增兩項與AI相關的新功能，包括內建的對話式AI助理（AI Assistant），以及與外部AI用戶端的整合機制Zerto Context Protocol。其中的Zerto Context Protocol，允許外部AI用戶端環境透過標準化介面連接Zerto的ZVM管理平臺。在這個應用架構下，外部AI用戶端是透過OAuth 2授權機制與TLS 1.2+加密通訊協定，來與Zerto的ZVM連線，可透過對話式互動方式，提供系統資訊與功能操作。

群創光電重新定義資安的價值，從「花錢的部門」到公司治理核心

【臺灣資安大會直擊】在2025年，群創光電悄悄完成一項組織變革，對於群創光電、對於臺灣製造業的資安史上，這是一個值得記錄的里程碑。群創光電的資通安全部正式從MIS（資訊系統）部門獨立出來，直屬執行長辦公室，並設立資安長（CISO）一職，邀請學者型高階主管林宜隆擔綱。這個組織圖上的移動，看似只是幾條線的重新連接，卻牽動一整套思維方式的根本翻轉——資訊安全，不再只是IT部門底下一個防堵漏洞的執行單位，而是公司戰略決策的核心機制。

【2026臺灣資安年鑑｜國家資通安全研究院院長林盈達】揭露資安院2.0轉型願景，林盈達以AI築數位長城

在臺灣數位發展體系中，隸屬於數位發展部的法人機構國家資通安全研究院，長期扮演技術支援與政策智庫的關鍵角色。不同於一般以研發導向為主的法人單位，資安院自成立以來便肩負著貼近第一線的任務，既要支援政府機關的資安防護，也要回應快速變動的數位威脅環境。如今，在第二任院長林盈達的帶領下，資安院正邁入一場被稱為「資安院2.0」的深層轉型，試圖重新定義國家級資安機構的角色與價值。

近期資安日報

【6月4日】HTTP/2 Bomb影響多款主流網頁伺服器系統

【6月3日】紅帽NPM套件遭遇蠕蟲Miasma供應鏈攻擊

【6月2日】捷克參議院率團訪臺前夕，傳出中國駭客從事網路間諜活動

'