歐盟網路韌性法案9月啟動漏洞與資安事件通報義務，Linux基金會示警全球軟體生態系準備不足

來源：https://www.ithome.com.tw/news/176510

Linux基金會研究部門（Linux Foundation Research）與開放原始碼安全基金會（OpenSSF）於6月發布報告，指出全球軟體與開放原始碼生態系對歐盟網路韌性法案（Cyber Resilience Act，CRA）的認知與準備仍明顯不足。這項調查於2026年初進行，共有843名來自歐洲、北美、亞太等地區的軟體產業與開放原始碼相關人員參與。結果顯示，有66%受訪者表示不熟悉CRA。

歐盟網路韌性法案涵蓋多數可連接裝置或網路的硬體與軟體產品。依CRA實施時程，法規將於2027年12月11日全面適用，但製造商必須自2026年9月11日起，通報遭積極利用的產品漏洞與嚴重資安事件。

在製造商準備程度方面，報告指出，目前只有32%受訪製造商已經針對所有產品建立軟體物料清單（SBOM），僅34%定期評估所使用開源元件的安全管理實務，與CRA要求製造商主動管理第三方元件風險的方向仍有落差。

報告也分析Linux基金會旗下專案資料平臺LFX的資料，在CVE趨勢部分，以LFX索引的14,204個開放原始碼專案為樣本，發現2026年第1季新公開CVE數量較去年同期增加394%，高嚴重性漏洞則增加811%。研究人員指出，這波成長可能與AI自動化漏洞掃描工具普及、納入索引的專案範圍擴大，以及CRA監管壓力促使企業展開軟體相依元件的內部盤點，導致過去未被記錄的潛在問題逐漸浮現。

'

微軟整合雲端防護與程式碼安全工具，協助企業依正式環境風險排序漏洞修補

來源：https://www.ithome.com.tw/news/176509

微軟在Build 2026揭露軟體安全布局，宣布兩大產品的原生整合正式推出，它們分別是雲端資安防護服務Microsoft Defender for Cloud，以及程式碼安全服務GitHub Code Security，讓企業能將正式環境中的風險資訊納入程式碼漏洞管理與修補流程。

根據微軟說明文件，企業可透過GitHub connector連接GitHub組織或儲存庫，讓系統自動對應來源儲存庫與正在執行的雲端工作負載，並結合網際網路曝險、敏感資料存取、關鍵資源重要性與橫向移動風險等正式環境指標，協助團隊判斷哪些漏洞已實際影響運作中的工作負載，應優先修補。

微軟表示，資安團隊可在Defender for Cloud中追蹤GitHub Code Security產生的安全漏洞發現與修補狀態，開發團隊則可優先處理已部署、已暴露且必須修復的問題。資安團隊也能從正式環境的風險事件當中，追查對應的GitHub原始碼與相關漏洞。此外，開發人員也可使用Copilot coding agent協助生成修補建議與程式碼內容，後續仍需由開發人員審查，以及決定是否合併至程式碼庫。

'

蘋果Safari能自動變更外洩密碼、通知網站新動態、還能生成用戶想要的外掛

來源：https://www.ithome.com.tw/news/176507

在WWDC上，除了Siri AI，蘋果也宣布Safari新增功能，包含能自動變更密碼的代理人Passwords、及告知網頁新資訊的代理人Notify Me，以及讓用戶口說生成外掛的Describe an Extension及依主題組織分頁的新功能。

Safari在Apple Intelligence協助下新增智慧代理人功能。Safari原本就能針對弱密碼及外洩密碼發出警告，現在新增了代理人功能Passwords，能代用戶登入網站並更新為強密碼。

Notify Me則為資訊通知代理人。這類似Google於Google I/O大會上公布的資訊代理人（Information Agent），為長時間運作的自主網頁代理人。用戶可要求Safari的Notify Me代為關注某個網頁，在某個條件如產品補貨或降價時發出通知。

Describe an Extension功能則讓用戶可以描述想要什麼功能，Safari就能在工具列中生成自訂外掛，例如用戶「想要一個能儲存並對嘗試過的食譜進行評分的按鈕」，Safari就會建立出這麼一個按鍵出來。最後，Safari可以將用戶開啟的一大堆分頁以更有系統方式組織起來。假設用戶正在規劃旅行。Safari可將這些分頁按照主題組合起來，隨著用戶開啟更多分頁，Safari也會適時建立新主題群組。

新版Safari已在WWDC發表當天（6/8）釋出開發者測試版，絕大多數一般用戶適用的版本，要等到今年秋天隨著新系統（iOS 27、macOS 27）正式推送。

'

SAP修補NetWeaver與Commerce重大漏洞

來源：https://www.ithome.com.tw/news/176506

6月9日SAP發布本月例行更新（Security Patch Day），總共修補15個資安漏洞，其中有4個是重大等級的漏洞CVE-2026-44748、CVE-2026-27671、CVE-2026-22732、CVE-2026-40128，格外引起矚目。

根據CVSS風險評分，最危險的是CVE-2026-44748，此為SAML身分驗證當中的XML簽章包裝漏洞，影響NetWeaver AS ABAP與ABAP平臺，CVSS風險值為9.9（滿分10分）。具備正常權限的認證攻擊者可取得有效的簽章訊息，並將修改後的XML檔案傳送給驗證者，而有可能導致被竄改的身分資訊被受理，進而導致攻擊者能未經授權存取敏感用戶資料，甚至干擾系統正常使用。其次是風險值為9.8的CVE-2026-27671，存在於ABAP應用程式伺服器與ABAP平臺，為記憶體中斷漏洞，原因是SAP核心的RFC通訊協定的不當驗證引起，未經身分驗證的攻擊者可發送特製RFC請求，造成該系統的記憶體管理出現邏輯錯誤並中斷。

值得留意的是，其中有一個是存在於SAP Commerce Cloud與SAP Data Hub，該漏洞編號為CVE-2026-22732，出現在這些系統採用的Spring Security元件，CVSS風險值為9.1。

'

Meta證實有2萬個Instagram帳號因Meta AI漏洞被盜，時間長達1.5個月

來源：https://www.ithome.com.tw/news/176505

Meta本週證實Meta AI支援工具存在一項漏洞，讓駭客得以在AI助理協助下，盜走Instagram（IG）帳號，估計從4月中到5月，超過2萬用戶受害。

這項漏洞上星期遭到駭客濫用。駭客發送訊息給Meta AI支援助理，要求重設密碼，並要求Meta AI將重設連結寄到駭客自己的信箱，或直接顯示在對話中，藉此重設密碼、盜走合法用戶的IG帳號。

根據Meta向美國緬因州檢察長辦公室的通報文件，該漏洞影響時間從2026年4月17日到5月31號止。受害者人數為20,225人。

漏洞出在Meta AI的IG帳號回覆系統，名為High Touch Support（HTS），該服務目的在提供給綁定帳號的電子郵件信箱無法使用、或帳號被鎖住的用戶，讓他們可以請求AI助理將重設密碼連結或驗證碼寄到新信箱。Meta解釋，漏洞出在Meta AI程式碼路徑，使系統未驗證請求重設密碼的信箱和帳號持有人的關聯，使攻擊者得以取得密碼重設連結。如果原IG持有人沒有設定2FA，就會被攻擊者重設密碼並存取帳號。

Meta說明，該公司在5月31日發現此事後，立即將該AI支援工具關閉，並將所有密碼重設連結註銷。他們也要將高風險帳號列入強制安全檢查，協助受影響用戶重新取回帳號。Meta說，將強化IG回復系統的驗證檢查之後再重新推出該工具。

Meta在給用戶的通知中指出，沒有帳號遭存取的跡象。但一旦帳號被第三方人士存取，就能取得用戶個資及所有訊息，包括電子郵件信箱、電話號碼、貼文、私訊、個人檔案資訊、聯絡人、連結的帳號及服務等。

SecurityWeek報導，受害的IG帳號包含歐巴馬的白宮IG帳號、美妝連鎖Sephora及美國太空軍總軍士長John Bentivegna的IG帳號。

'

【臺灣資安大會直擊】沙場點兵，數位備戰：臺灣為何必須走入國際網路攻防演練

來源：https://www.ithome.com.tw/news/176504

年底的某個深夜，一組臺灣資安人員正盯著螢幕，試圖在模擬的虛擬國度「Amber Falls」裡，把一座剛剛遭駭客癱瘓的水力發電廠重新喚醒。場地在立陶宛，情境是假的，壓力卻是真實的——因為在這場名為「琥珀之霧（Amber Mist）」的國際網路安全演習裡，一旦電力系統恢復失敗，現場的電腦螢幕就會真正熄滅，整個防守隊伍接下來幾個小時將無計可施，只能坐在黑暗中復盤錯誤。

這不是電影場景，而是現代國家網路防禦訓練的縮影。

在網路攻擊日益成為國家安全核心威脅的今天，傳統的資訊安全考試、證照訓練甚至奪旗競賽（CTF），已不足以回應真實戰場的複雜度。更全面、更逼近現實的訓練模式——「網路安全演習」——正在全球悄然崛起，並逐漸成為衡量國家數位防禦準備度的重要指標。

國防大學理工學院電機系兼任副教授、曾經擔任漢光演習網路戰實兵操演裁判長的張克勤，長年深耕臺灣與國際網安演習的設計與實戰。他對這個領域的觀察直接且清醒：「演習的重點是讓你體驗，比賽的重點是讓你得分。這兩件事情，根本上就不一樣。」

「演習不是比賽」，認知翻轉很重要

在討論臺灣應當參與哪些國際演習、如何從中獲益前，張克勤認為，有個關鍵的概念必須先釐清，那就是：網路安全演習與網路安全競賽，雖然外觀相似，本質卻截然不同。

過去十年，隨著搶旗攻防賽（Capture The Flag，CTF）文化在資安社群蓬勃發展，臺灣培養出一批具備高強技術能力的資安人才。CTF的競賽形式包括攻防對抗（Attack/Defense）、解謎（Jeopardy）以及山頂之王（King of the Hill）三種類型，核心邏輯是「找到旗幟、解開謎題、超越對手」。張克勤認為，這樣的競賽形式，擅長發掘個人技術天才，也確實是資安人才選拔的有效工具。

然而，演習的目的從一開始就指向不同方向。張克勤以一個實際場景說明差異：在某次演習中，防守方的Active Directory（AD，活動目錄系統）遭到攻陷，有人提議直接重建一套新的AD來取代。

「但是AD並不是這麼容易馬上建完就能取代的，」他說，「如果是在比賽中，你的分數已經掉到谷底，你根本不會想去嘗試這件事。但演習希望你體驗這個困境——你如何在資源有限、系統受損的情況下站起來，而不是因為太難就放棄。」

這個差異，牽動著網安演習設計的每一個環節。

張克勤直言，兩者在主要目標、情境性質、評量重點與參與者組成上，都存在根本差異。他進一步解釋，演習的評量核心是「團隊運作順暢程度、回應時間、決策品質與協調性」；但是競賽的評量核心則是「解出問題的數量、正確度與速度」。

更重要的是，演習的參與者必須涵蓋組織內的跨部門人員——IT、資安、管理、法務、公關等——因為真實的網路事件從來不只是技術問題，它同時是溝通問題、決策問題、法律問題，也是公共關係問題。

四種網安演習的形態光譜，從桌上兵推到實戰對抗

理解了演習的本質之後，可以依照複雜度與真實度的高低，將網路安全演習大致分為四種主要形式。

最基礎的是「桌上兵推（Tabletop Exercise，TTX）」。這是一種討論式的練習，參與者聚在一起，就特定情境下的角色分工、責任邊界與應對流程進行口頭演練，目的在於審視整個反應體系的完整性與邏輯一致性。

「桌上兵推」不需要實際操作系統，成本最低，但仍能有效暴露組織在制度設計上的盲點——例如，當系統被勒索軟體加密時，誰有權決定支付贖金？通報主管機關的時限是多少？這些問題，往往在桌上兵推中才第一次被正式討論。

其次是「功能性演練（Functional Exercise，FX）」，專注於測試單一特定功能。例如，當核心業務系統因攻擊中斷後，備援系統能否在規定時間內上線？事件報告鏈是否順暢？這種演練的優點在於邊界清晰、結果可量化，適合作為定期稽核的工具。

更上一層是「紅藍隊演練（Red/Blue Team Exercise）」，也是目前最廣為人知的攻防演習形式。紅隊扮演攻擊者，嘗試滲透系統；藍隊扮演防禦者，負責即時偵測與阻止。

張克勤特別提醒一個容易被忽略的現實，在真實世界中，資安人員直接「當場」遇見駭客滲透的機率其實相當低，「因為駭客大部分都會在你不在現場的時候慢慢滲透，所以很多事件處理其實都是在『驗屍』，意即針對已遭駭客入侵的電腦進行鑑識分析。」這個洞察也提示了演習設計的一個重要方向：訓練人員必須在事後鑑識與即時偵測之間取得平衡，而不是只沉浸在「擊退駭客」的戲劇性幻想中。

規模最大、複雜度最高的則是「實戰演練（Full-Scale Exercise）」，調動組織內外的真實資源，在高度仿真的環境中進行即時的網路進攻與防禦作戰。

這類演習的準備週期極長——張克勤坦言，光是腳本的設計就往往需要將近一個月，「因為要把整個紅隊的策略、場域的部署、各種可能的反應路徑，全部想清楚，才能讓演習有真正的教育價值。」

一場優質的網路安全演習，需要三個要素缺一不可，包括：好的演習計畫、好的演習成員，以及好的「網路靶場（Cyber Range）」——也就是能夠承載大量虛擬系統、記錄演習進程、支援反覆練習的技術基礎設施。「這個環節往往是最容易被低估、也最難快速建立的部分。」他說。

從立陶宛、北約、美國到臺灣的四個特色演習

在全球已建立制度化運作的網路安全演習中，有幾個案例特別值得關注——不只因為它們的規模，更因為每一個都代表著不同的設計哲學與戰略用意。

琥珀之霧（Amber Mist）：民間韌性的立陶宛實驗

這場由立陶宛國防軍策畫的國際網路防禦演習，主要採取紅藍隊演練的形式，重點針對多域關鍵基礎設施防禦，目的在於測試參與成員偵測、回應及緩解網路威脅的能力，參與成員來自北約、烏克蘭、日本、臺灣等多個國家。

張克勤指出，立陶宛設計Amber Mist時，有一個非常特殊的參與者構成方式：絕大多數參與者是後備人員，包括民兵與民間資安人才。

因為，立陶宛人的邏輯很清晰而務實，一旦發生戰爭，防禦國家網路基礎設施的人不會只有現役軍人，更有可能是被召回的後備役軍人、在民間企業任職的工程師，或是原本與政府毫無淵源的社群成員。

這也是立陶宛設計Amber Mist的演習時，會促使可能參與網路攻防的成員彼此認識，藉由在真實的危機場景中，建立彼此的信任與默契。

在2025年的版本「Amber Mist IV」，模擬名為「Amber Falls」的中型工業城鎮，人口約四萬八千人。在這個虛構城鎮中，有水力發電設施、政府機關、媒體機構、軍事基地與銀行系統，每一個節點都是潛在的攻擊目標。

演習的設計充分體現了「虛實整合」的精神，一旦防守隊伍沒能及時保住電力系統，現場真正的電力也會被切斷——參與者的電腦螢幕熄滅，演習繼續，但恢復的工具少了一半。

更耐人尋味的是，Amber Mist特意設計了媒體危機處理的環節，IT人員有可能在演習中途被「記者」攔截採訪，必須在毫無準備的情況下，向公眾說明事件進展——而這個環節的表現，同樣列入計分。

「他們的東西非常活潑，」張克勤說，「而且很多資料都不是機密，他希望大家可以看，可以學習。」他也表示，臺灣有資安人員參與這場演習，這是難得的直接接觸機會。

鎖盾演習（Locked Shields）：北約規格的國家級沙盤

若要在全球網路安全演習選出最能體現「國家級」規模與複雜度的案例，由愛沙尼亞塔林的北約合作網路防禦卓越中心（NATO CCDCOE）主辦的「鎖盾演習（Locked Shields）」當之無愧。

該演習每年在愛沙尼亞舉行，規模之大令人瞠目結舌。實際上，每個參與演習的國家，出動的藍隊人數多達一百五十人；每個國家分配到的虛擬機器超過四百臺；整個演習環境包含超過八千個漏洞等待被利用或修補。

張克勤表示，因為模擬的對象是國家層級的威脅情境，所需的基礎設施規模已超越任何單一國家政府的常規預算，所以，才會由北約聯盟而非單一國家來承辦這個演習。

因為Locked Shields是模擬實際國家級威脅情況，所以參與者不僅限於技術人員，演習中設有「策略階層」——由政府高層組成的決策小組，面對模擬的國家級網路危機，他們需要思考的不是「這個漏洞怎麼補」，而是「這個事件應該觸發哪種政策回應」；而且，每位策略階層參與者手中持有代表預算的籌碼，必須在有限資源下決定把政策賭注押在哪個方向。

張克勤描述他印象最深刻的場景之一：防空系統被癱瘓後，三架不明飛機進入模擬國家領空，策略階層被要求即時錄製對全國民眾的說明影片。「如果你是策略階層，你要怎麼跟國人說明當下這個情境？」他坦言，這個問題，沒有技術答案。

Locked Shields的計分體系同樣多元，涵蓋系統維護狀態、攻擊方的得分確認、鑑識取證品質，乃至媒體溝通與法律程序處理。

張克勤特別提到一個細節：攻擊方如何確認自己的攻擊確實成功？答案是：在靶機上部署「代理人（Agent）」，讓攻守雙方都有獨立的回報機制。他表示，這個設計的目的不只是計分的公正性，更是為了讓防禦方清楚知道：哪些系統已經淪陷，必須優先修補。

承載這一切的技術基礎設施的網路靶場（Cyber Range），是由愛沙尼亞的CR14基金會（Foundation CR14）提供。張克勤表示，臺灣和CR14雖然還沒有正式的官方合作，但已有多次的交流經驗，這也將成為臺灣融入國際網安演習生態系的重要基礎之一。

網路旗幟（Cyber Flag）：美國視角下的聯盟作戰

由美國網路司令部（USCYBERCOM）主導的「Cyber Flag」，是美國最重要的多國聯合網路演習，核心訓練目標是「持續接戰（Persistent Engagement）」——也就是不等待攻擊發生才反應，而是主動在對手的行動尚未完成時，就介入壓制。

這場演習採用「持續性網路訓練環境（Persistent Cyber Training Environment，PCTE）」雲端平臺，模擬對港口、電廠等關鍵基礎設施的攻擊場景。2025年的版本設定六個駭客組織同時發動攻擊，但不同防守方面對的攻擊者組合不盡相同，每個藍隊必須自行分析、判斷威脅來源，而不能直接複製隊友的情報。

張克勤認為，Cyber Flag最獨特的設計在於「情資融合」機制，演習中設有專門的情資融合小組，各隊的偵測發現必須先彙整、驗證，再統一發布，而這種作法也與Amber Mist允許隊伍之間直接分享資訊的做法，形成對比。

張克勤解釋兩種模式各有優缺點，他指出，直接分享比較快，但不一定正確，而且有些問題可能只在對方的情境下會發生，在別處不會。「融合之後再發布的情資雖然慢，但品質更有保障。」他說。

此外，張克勤認為還有一個細節值得注意，在Cyber Flag的場景設計中，藍隊成員不直接操作關鍵設施的網路，只能監控與提出建議，真正的操作指令仍由場域內的「工程師」執行——而這些工程師通常不具備資安背景，只有生產、維運的考量。

「藍隊必須學會用非技術人員聽得懂的語言，說服對方接受資安建議。」張克勤表示，這是非常特別的訓練方式，重點是，符合協防關鍵基礎設施的實際情況，值得臺灣參考。

CODE 2025：臺灣自己的攻防演練

在國際案例之外，臺灣本身也擁有制度化的大規模網路攻防演習——由數位發展部（MoDA）主導、每兩年舉辦一次的「CODE（Cybersecurity Operations and Defense Exercise）」，目前由國家資通安全研究院負責執行。

CODE的設計融合了實戰攻防、桌上兵推與國際夥伴參與三種元素，特別強調公私協力與國際網路防禦合作，2025年的版本，演習方甚至將醫院的IT人員納入聯防組別的攻擊目標，讓真實的關鍵基礎設施操作人員在受控環境中，體驗駭客入侵的全貌。

他認為，這也是臺灣在演習設計上逐漸成熟的標誌：不再停留於資安人員內部的技術演練，而是開始強迫組織面對跨部門、跨機構的協調複雜性。

他山之石可以借鑒，從國際演習淬練出對臺灣有利要件

張克勤表示，就「可以參與」的網路演習而言，臺灣目前已有多個突破口。首先，Amber Mist方面，臺灣已有參賽隊伍，且立陶宛主辦方採開放透明的辦理理念，刻意不將演習資料列為機密，降低了國際合作的政治門檻。

Locked Shields方面，由於愛沙尼亞CR14已與臺灣有交流經驗，技術合作的橋樑已然搭建，若能在此基礎上深化至更進一步的參與，對於臺灣的演習量能將是重要的質量躍升。

至於美國舉辦的Cyber Flag的參與門檻較高，性質上更接近美國軍事同盟體系的內部協作，但對臺灣而言，仍值得持續深耕外交與技術基礎。

就「對臺灣現況最有加分」的角度而言，可以從三個維度思考。

首先，就是「關鍵基礎設施防護能力」，張克勤指出，臺灣的電力、水利、交通、金融與醫療系統長期都是潛在攻擊目標，而Cyber Flag與Locked Shields在這個面向都提供了非常直接的訓練場景——前者的「藍隊必須與非資安背景的工程師協作」設計，後者的「策略層在危機中的政策決策」情境，都是臺灣在CODE演習中尚未完整複製的元素。

第二個維度是「跨域情資融合能力」。在現代網路攻防中，情報的品質與流通速度往往決定防守成敗，張克勤表示，Cyber Flag的情資融合小組機制，以及Locked Shields中要求參賽方以鑑識手段「舉證」被攻擊來源的設計，都指向一個臺灣需要強化的核心能力——建立系統性的情資蒐集、驗證與跨組織分享流程。

第三個維度是「民間韌性與後備動員」，張克勤認為，這可能是對臺灣現況最具戰略意義的洞察。

他以Amber Mist以後備人員作為演習核心參與者為例，背後是立陶宛對地緣政治現實的清醒判斷，畢竟，當衝突真正發生時，防禦的主力不可能是少數幾百個現役資安專業人員，而必須是分布於民間各角落、平時有本業、但危機時刻能被快速動員的廣大後備隊伍。

張克勤坦言，臺灣的地緣政治處境與立陶宛有著驚人的相似性，這個演習模型對臺灣的啟示，遠遠不止於技術層面。

好的網路靶場，就是好的隱形戰場

張克勤指出，網路靶場（Cyber Range）的建設與維運，的確是臺灣要打造更大規模網安演習時，實務上面臨的最大瓶頸。

他進一步解釋，能夠承載大型網路安全演習的靶場，必須滿足幾個條件：足夠的軟硬體資源，以同時運行大量虛擬系統；能夠記錄每次練習進度、允許反覆操練的存儲架構；以及對規畫者友善的操作介面，讓演習設計者能夠根據情境快速客製部署。「這些要求加總起來，意味著不小的投入。」張克勤說。

像是愛沙尼亞的CR14，是目前全球最成熟的網路靶場提供者之一，其背後的支撐是北約CCDCOE長年的資源挹注與技術積累；美國的「國家網路靶場（National Cyber Range Complex，NCRC）」則由戰爭部的測試資源管理中心（TRMC）運作，為美國政府各部門提供高性能的分散式虛擬演習環境，系統遠在佛羅里達州，但遠在美東馬里蘭的用戶，都能獲得如本地操作般的流暢體驗。

臺灣在這個領域的建設正在起步。張克勤直言，好演習的公式很清楚：「好演習計畫＋好演習成員＋好網路靶場，才能等於好的網安演習」——缺了上述任何一項，整體效果都會打折。他也說，三者當中，網路靶場的建設週期最長、投入最大，也最需要國家層級的長期規畫。

演習的終極意義是國家意志的演練

「網路安全演習」本身就有深層的戰略命題，張克勤直言，演習的目的在主動預防，協同合作就是資安防禦的關鍵，而演習本身就是一個持續改進的循環。

他認為，演習的真正價值，不在於某一次演習找到多少漏洞，而在於它建立的體制——讓不同機關、不同背景、不同專業的人定期在同一個假想危機裡相遇，磨合流程，建立信任，積累肌肉記憶。

在臺灣所處的地緣政治環境中，建立這種體制的緊迫性不言而喻。不管從立陶宛的Amber Mist到北約的Locked Shields，每一場頂尖演習背後，都是一個國家對「下一次危機時我們能不能協同作戰」這個問題給出的鄭重回答。

張克勤認為，臺灣已經有了自己兩年一次的CODE演習，已有人走進立陶宛Amber Falls的電廠、走上了Locked Shields的戰略指揮桌，這些都是值得肯定的起步。但起步之後更重要的問題是：臺灣能否把這些零散的參與經驗，轉化為系統性制度的決心與能力？

這個問題，可以從幾個具體的政策方向來看。首先是參與的深度與連續性，偶發性的觀摩或單次派隊參與，所能積累的組織記憶極為有限；真正有價值的演習效益，來自於同一批人或同一個機構，年復一年地回到同一張桌子，在前一次的錯誤上繼續修正。

政府應當建立制度化的「國際演習代表隊」機制，讓參與Amber Mist、Locked Shields這類演習的人員，不是臨時組成的志願者，而是有明確任務、有回訓義務、有經驗傳承的專責隊伍。

其次是跨部門整合的真正落實。張克勤一再強調，演習不只是IT人的事，法務、公關、管理層乃至政府發言人都必須進入演習場景。這對臺灣的公部門而言，意味著一個文化上的轉變——資安演習不再是數位發展部或資安院的「自家事」，而必須成為各部會首長年度行事曆上的必要項目。

以Locked Shields演習為例，策略階層官員面對癱瘓的防空系統，必須即時錄製公開聲明的設計，對臺灣尤其具有現實意義：當真實危機來臨時，那支對民眾說明的麥克風，不會等人準備好。

第三是後備能量的系統性整合。從Amber Mist的立陶宛模型來看，他們用最直白的方式提出臺灣無法迴避的幾個問題：民間資安人才在國家網路防禦體系中扮演什麼角色？他們要如何被識別、被組織、被授權、被訓練？這不是一個技術問題，而是一個法制與政策設計問題，需要國防、數位與人力資源等相關部門的協力回答。

「眾人虐我千百遍，我待眾人如初戀。」這是張克勤送給所有網路靶場設計者與演習主辦方的一句話，送給那些在後臺默默搭建虛擬戰場、承受各種批評與系統故障的人。但他的這句話，同樣可以用來描述那些在資源有限、國際處境艱難的條件下，仍然年復一年，堅持把臺灣帶進國際演習現場的人。

張克勤認為，演習的終極意義，從來不只是找到漏洞，而是讓一個國家在面對真實危機之前，已經知道自己是誰、夥伴在哪裡、下一步該怎麼走。臺灣在這條路上已走了一小段，而前方需要的，是更大的格局、更長的耐心，以及更清醒的國家意志。

'

研究人員揭露新的Microsoft Defender零時差漏洞RoguePlanet

來源：https://www.ithome.com.tw/news/176503

研究人員Chaotic Eclipse（Nightmare-Eclipse）因對於微軟漏洞通報流程不滿，於4月、5月公布多個零時差漏洞，並在微軟通報漏洞的帳號與GitHub遭到停用後，揚言將在7月14日採取行動，威脅要讓微軟「粉身碎骨」。如今傳出該名研究員在微軟發布6月例行更新（Patch Tuesday）不久，又公布新的零時差漏洞。

根據資安新聞網站Bleeping Computer報導，Chaotic Eclipse在微軟發布本月例行更新數個小時之後，公開名為RoguePlanet的Microsoft Defender零時差漏洞，並表示該弱點涉及競爭條件（Race Condition），他在部分電腦幾乎100%成功，但有些電腦卻出現難以利用的情形。此漏洞可在已套用今年6月修補程式的Windows 11與Windows 10利用，但他的概念驗證程式碼無法直接在伺服器版作業系統使用，原因是一般使用者無法掛載ISO映像檔，不能達成漏洞利用的必要條件。不過，研究員強調，所有版本的Windows Server也存在相同漏洞。一旦成功利用，將能導致系統生成SYSTEM層級的Shell。

該名研究員也發布部落格文章透露其他細節，此為遠端程式碼執行漏洞，攻擊者利用的條件是需要引誘使用者在遠端的SMB伺服器開啟VHD或VHDX虛擬磁碟檔，成功利用漏洞後，Microsoft Defender就會覆寫該防毒軟體相關的檔案，導致遠端程式碼執行。另一種觸發RoguePlanet的結果，是造成繞過BitLocker，攻擊者必須在防毒軟體讀取特定檔案的過程裡，推送不同的資料給NTFS.sys。

資安公司ThreatLocker向Bleeping Computer透露該漏洞確實有效，該公司在已完全修補且安裝KB5094126的Windows 11成功觸發RoguePlanet，並表示企業組織若是採用應用程式白名單機制，就有機會阻止攻擊者利用漏洞。多次驗證該名研究員零時差漏洞的Tharros首席漏洞分析師Will Dormann認為，此漏洞可遠端利用，本機攻擊者可取得SYSTEM權限，不過，微軟似乎在研究員公布前已完成修補。

'

Miasma蠕蟲原始碼外洩，供應鏈攻擊工具包現身GitHub

來源：https://www.ithome.com.tw/news/176502

專注於開源軟體供應鏈安全的資安業者SafeDep周二（6/9）警告，近來搞得人心惶惶的供應鏈蠕蟲Miasma透過遭入侵的開發者帳號出現在GitHub上，等同於把這套攻擊工具公開化。SafeDep取得其中一份已遭下架的原始碼後分析指出，Miasma不只是蠕蟲，而是一套完整的供應鏈攻擊工具包。

Miasma的起源最早可追溯到2025年9月，當時有一款自我複製蠕蟲Shai-Hulud首度現身NPM生態系，它污染NPM套件，竊取開發者憑證，並利用這些憑證感染更多套件與GitHub儲存庫。駭客組織TeamPCP在2026年5月公開Shai-Hulud原始碼，各種變種迅速湧現，而Miasma即是最受矚目的其中一款。

Miasma先是在6月1日透過入侵開發者帳號，於短短72秒內成功感染32個Red Hat官方NPM套件。兩天後的第二波攻擊更同時感染57個NPM套件，散布超過286個惡意版本；接著在6月5日透過遭入侵的微軟貢獻者帳號，向Azure/durabletask儲存庫植入惡意程式碼，並將惡意程式的啟動機制植入Claude Code、Gemini CLI、Cursor與VS Code等工具的設定檔中，在開發者開啟專案時自動觸發，GitHub事後緊急停用73個微軟相關儲存庫。

如今，駭客透過遭入侵的開發者帳號發布名為「Miasma-Open-Source-Release」的GitHub儲存庫，將這套攻擊工具的原始碼公開於網路上。資安社群擔心，這可能重演Shai-Hulud原始碼公開後變種快速湧現的情況。

衍生自Shai-Hulud的Miasma可入侵開發者環境，掃描並竊取GitHub權杖、雲端憑證與API金鑰等機敏資訊，再藉此自我複製，感染更多程式開發套件（如NPM）及他人有權限存取的儲存庫。

此外，SafeDep分析Miasma程式碼，發現它不僅僅是個可自我複製的蠕蟲。這套原始碼揭示的是一套完整的供應鏈攻擊工具包，內建多種模組化攻擊能力。最令人震驚的是，它完全不依賴傳統的C2伺服器，而是將GitHub的提交搜尋功能當作指揮通道，攻擊者可透過3條獨立的加密頻道下達指令，完全避開網路監控。

這套工具包還設有「失效安全開關」(Dead Man's Switch），一旦受害者撤銷被竊的個人存取權杖，蠕蟲會立即執行刪除家目錄的指令，開發者甚至在提交訊息中留下「DontRevokeOrItGoesBoom」的警告。此外，Miasma還能繞過GitHub環境保護規則，替遭植入木馬的套件產生有效的Sigstore來源證明，並將惡意酬載注入Claude、Cursor等13種AI程式助手的設定檔中。

SafeDep建議所有使用GitHub與NPM的開發者，若想確認是否遭Miasma感染，可檢查帳號下有無名稱含「Miasma」或「The Spreading Blight」的可疑儲存庫，審視 CI/CD 工作流程是否有未經授權的修改，並留意提交紀錄中的陌生帳號或警告字句「DontRevokeOrItGoesBoom」。若不確定，建議直接輪換所有憑證。

'

Veeam修補Backup & Replication備份軟體重大漏洞，未修補可能導致備份伺服器遭受遠端程式碼攻擊

來源：https://www.ithome.com.tw/news/176501

備份與資料保護軟體廠商Veeam日前發布資安公告，揭露旗下備份軟體產品Veeam Backup & Replication 12.x版重大漏洞，可能導致已通過身分驗證的網域用戶，在備份伺服器上執行遠端程式碼。由於備份伺服器通常掌握企業資料備份與復原權限，相關漏洞可能成為攻擊者的重要目標，建議用戶儘速更新。

這項漏洞的編號是CVE-2026-44963，由資安公司WatchTowr研究人員發現與通報，CVSS嚴重性評分達9.4分，會影響Veeam Backup & Replication 12.3.2.4465 版，與更早的所有12.x版本，解決方式是升級到已修補的12.3.2.4854版。Veeam在公告中同時表示，最新的13.x版由於產品架構調整，因而不受此漏洞影響。

'

幫助具身機器人巡檢兼顧隱私，帝濶智慧科技展示PriviSphere Robotics平臺

來源：https://www.ithome.com.tw/news/176498

隨著AI應用爆發，如何在數據採集與隱私保護之間取得平衡，已成為科技演進的關鍵課題。專注於差分隱私技術、資料去識別化的帝濶智慧科技（DeCloak），於Computex 2026現場揭示最新隱私防護技術發展。

現場展示人員指出，前幾年帝濶智慧DeCloak Vision的影像去識別化能力，已經在醫療與長照場域展現價值，能將監控影像中的人物即時模糊化，遮蔽具備身分辨識特徵的原始影像；同時，後端AI仍能精準辨識跌倒、下床等動態行為，在不侵犯隱私的前提下，於固定式場景確保護理安全。

這一年來，該公司更以隱私感知決策系統「DeCloak Brain」為核心技術，並透過「PriviSphere Robotics」平臺以整合各類具身機器人的協作應用，建構出一套具備隱私感知能力的機器人協作體系。

帝濶智慧指出，今年最大的技術亮點在於群機協作（Swarm）功能的導入。在實際應用場景中，系統不僅會將回傳資訊去識別化，確保不外洩可識別個人身分的特徵資訊，更實現了機器人間的智慧調度──若第一隻機器狗偵測到疑似氣體洩漏的異音，它能即時透過平臺發出訊號，指派第二隻搭載特定感測器的機器狗前往支援。

該公司說明，PriviSphere可以支援不同廠商的硬體，不僅是影像內容的介接，也能透過其統一控制介面操控具身機器人的動作。此外，針對具身機器人可能帶來的資安疑慮，帝濶智慧也與VicOne合作，以防範機器人遭駭客入侵控制。

隱私強化技術（Privacy-Enhancing Technologies，PETs）是現今技術發展的一大焦點，帝濶智慧科技聚焦發展差分隱私（Differential Privacy）技術，提供去識別化的安全解決方案。

'

微軟修補已被公開的零時差漏洞GreenPlasma、YellowKey、HTTP/2 Bomb

來源：https://www.ithome.com.tw/news/176500

本週二微軟發布6月例行更新（Patch Tuesday），修補多達568個資安漏洞，值得留意的是，這次有3個是已被公開的零時差漏洞，根據資安新聞網站Bleeping Computer的報導，其中有2個是研究人員Chaotic Eclipse（Nightmare-Eclipse）公布的零時差漏洞。

其中，CVE-2026-45586就是Chaotic Eclipse揭露的GreenPlasma，此為協作轉譯框架（Collaborative Translation Framework，CTFMON）權限提升漏洞，取得授權的攻擊者可本機提升權限至SYSTEM，CVSS風險評為7.8；CVE-2026-50507該名研究員稱為YellowKey，此為BitLocker安全功能繞過漏洞，未經授權的攻擊者可透過實體接觸目標電腦並繞過安全功能，風險值為6.8分。

另一個已被公開的零時差漏洞是CVE-2026-49160，此為日前資安研究發布平臺Calif揭露的阻斷服務（DoS）漏洞HTTP/2 Bomb，CVSS風險評為7.5分。

'

Anthropic發表Claude Fable 5將Mythos威力公開，價格是Opus 4.8兩倍

來源：https://www.ithome.com.tw/news/176499

隔了近2個月，Anthropic昨（6/9）日正式發布威力等同Claude Mythos的模型Claude Fable 5，但加入安全防護以確保公眾安全。但價格也是Opus 4.8的2倍。同時Anthropic宣布少數專家及研究人員專用的最新版模型Mythos 5。

在4月公布Claude Mythos Preview時，Anthropic僅開放部份資安機構用，理由是其搜尋漏洞的威力太強大，若遭濫用會有不良後果。但該公司近期預告，在導入安全防護機制後就會將Mythos推向大眾。成果即為Claude Fable 5。

Fable 5一方面加入防護機制，另一方面是Anthropic現有公開模型中最強大的，其AI能力在所有標竿測試項目幾乎皆為最強，在軟體工程、知識工作、視覺、科學研究等領域效能優異，而且任務愈長、愈複雜，Fable 5的領先幅度愈大。根據Anthropic提供的標竿測試數據，Claude Claude Fable 5在SWE-Bench Pro、GDPval-AA、GDP.pdf、Blueprint Bench 2、AutomationBench等測試上，皆超越Claude Mythos Preview、Claude Opus 4.8、或競爭者GPT 5.5及Gemini 3.1 Pro。而在法律、生技、網路安全及健康等專門領域的成績，也超越前代及競爭模型。

Anthropic說明，加入防護機制的Claude Fable 5，在某些主題的查詢會改採用第二強大的Claude Opus 4.8來回應。目前Anthropic為Claude Fable 5防護機制設定得較為保守，有時會攔截無害請求，該公司估計平均觸發率小於5%。該公司承諾未來幾個月隨著更強大模型釋出，公司會盡快減少誤判。

價格

Claude Fable 5今天已全面開放。Fable 5/ Mythos 5使用價格為輸入/輸出各為每百萬token 10/50美元，比Claude Mythos Preview降價超過50%，但仍然是最貴的公開模型，是Claude Opus 4.8的2倍。

Mythos

針對網路安全防護及基礎架構供應商，Anthropic昨日同時釋出Claude Mythos 5作為Claude Mythos Preview的升級版。Claude Mythos 5和Fable 5使用相同的底層模型，差別只是Mythos拿掉了防護機制。

Claude Mythos 5會在與美國政府合作下，透過Project Glasswing向加入的合作夥伴提供。Anthropic並預告Project Glasswing很快也會進一步擴大開放對象，包括特定生物研究人員（移除生物及化學的防護）。

'

微軟發布6月例行更新，破記錄修補逾560個漏洞

來源：https://www.ithome.com.tw/news/176497

6月9日微軟發布本月例行更新（Patch Tuesday），公開206個由該公司登記CVE編號的漏洞，數量明顯較過往都要來得多，若是加上該公司修補362個第三方登記CVE編號的漏洞，總數將達到568個，無論是微軟登記CVE的漏洞，還是修補第三方漏洞的數量，都創下史上最多的記錄。附帶一提的是，由於第三方元件漏洞有360個與Chrome有關，微軟僅列出兩個由Arm與CERT/CC登記的弱點。

值得留意的是，這些漏洞當中，有15個微軟認為很有可能會成為駭客利用的目標，較為值得留意。其中有4個風險程度評為重大等級，比較危險，這些漏洞是：遠端桌面遠端程式碼執行漏洞CVE-2026-42985、Window圖形元件遠端程式碼執行漏洞CVE-2026-44803與CVE-2026-44812、HTTP.sys遠端程式碼執行漏洞CVE-2026-47291。根據CVSS風險評分，最危險的是CVE-2026-47291，風險值為9.8。

'

Arm開源AI資安框架Metis，鎖定傳統SAST工具難以發現的漏洞

來源：https://www.ithome.com.tw/news/176496

晶片架構設計與矽智財授權業者Arm推出開源代理式AI資安框架 Metis，可協助開發與資安團隊提升大型程式碼庫安全性， 對於靜態應用程式安全測試（SAST）較難偵測的複雜漏洞， 能夠更快找到。

在技術架構上，Arm指出，Metis採用檢索增強生成（RAG ）架構，結合大型語言模型（LLM）與專案特定知識，依據原始碼、建置檔與文件等資訊建立知識庫，用於分析整個儲存庫、單一檔案、 拉取請求（pull request）或近期程式碼變更。

圖片來源/Arm

根據Arm未納入AI訓練的內部基準測試結果， Metis相較於主要靜態分析工具，正確率最高可提高10倍，誤報約減少50%。 研究團隊也在防禦性資安工作流程中，透過OpenAI資安防禦方 案Daybreak，使用GPT-5.5-Cyber模型搭配M etis進行分析，在涵蓋352個韌體與驅動程式的評估案例中， 達到98%的基準測試命中率；相較之下，傳統SAST工具的檢出 比例僅為6%。

Arm表示，Metis目前已用於Arm內部超過130個軟體專 案，並計畫在2026年底前擴大至全公司軟體開發流程。Meti s支援C、C++、Python、Rust、TypeScrip t等語言，可串接主要大型語言模型服務，也可透過vLLM、Ol lama等工具使用本地或其他模型服務。

'

針對研究人員揭露Deep Security Agent防護功能暫時失效問題，趨勢科技表示重新載入機制屬既有設計，無須修補

來源：https://www.ithome.com.tw/news/176494

上週Linux版Deep Security Agent（DSA）傳出存在可能導致防護功能暫時失效的問題，趨勢科技今天發布正式回應，他們強調相關行為屬於產品既有設計，並非安全漏洞，不需要緊急修補。

趨勢科技表示，DSA的ds_am程序會嚴格控制資源耗用，設有CPU、記憶體與檔案處理（file handle，fd）等資源使用上限，以避免影響受保護主機的正常運作。研究人員測試時透過持續產生大量檔案系統事件，導致ds_am超過預設檔案描述符（fd）限制，進而觸發自動重新啟動的程序，並重新載入bmhook與tmhook元件，此為系統預期中的行為，無須修補。

針對高負載環境中的DSA運作，趨勢科技建議用戶適度提高檔案處理（fd）上限設定，並搭配完整性監控（Integrity Monitoring）、XDR、SIEM及網路監控等機制，強化縱深防護。

為了能徹底解決這類問題，趨勢科技預告兩大改進方向：一是將著手改善ds_am的fd使用方式，降低資源消耗，減緩在高負載環境下達到資源耗用上限的機率；一是防止不必要的ds_am重新啟動，在可行且不需完全重啟的情況下，能從面臨大量檔案描述子的狀態中恢復，藉此消除模組卸載/重新載入的循環，維持防護的持續運作。他們表示，相關更新資訊，將在標準的安全公告及代理程式發布說明管道揭露。

'