套件管理器NPM 12收緊安裝預設行為，相依腳本、Git與遠端網址來源將需明確允許

來源：https://www.ithome.com.tw/news/176519

GitHub旗下套件管理器NPM團隊宣布，下一個主要版本NPM v12將調整NPM install預設安全行為，把部分目前會自動執行或自動解析的動作，改為必須明確允許。該變更預估在2026年7月推出，主要影響相依套件的安裝腳本、Git來源相依，以及透過遠端網址取得的套件封裝檔。

NPM是Node.js生態系常用的套件管理工具，許多JavaScript專案會透過它安裝開發所需的函式庫。過去在安裝套件時，部分相依套件可自動執行安裝前（preinstall）、安裝中（install）或安裝後（postinstall）腳本，用來完成編譯、檢查環境或產生必要檔案。NPM 12之後，這類腳本若未被專案明確允許，安裝時將不再自動執行，另外，來自Git、file與link相依的prepare腳本，也會受到相同限制。

對腳本行為調整會影響部分需要原生模組編譯的Node.js套件。即使套件本身沒有明確寫出安裝腳本，只要安裝過程需要執行隱含的編譯動作，也會被視為需要事先允許的行為，例如含有binding.gyp，但未明列install腳本的套件。

除了安裝腳本，NPM 12也將收緊非一般套件登錄來源的相依項目。未來NPM安裝程序不會預設解析Git相依，也不會預設解析來自遠端網址的套件檔案，除非使用者或專案透過--allow-git或--allow-remote旗標明確允許。官方說明，Git相依曾存在即使關閉腳本執行，仍可能透過設定覆寫Git執行檔的風險，因此在12版一併調整預設信任範圍。

NPM已在11.16.0以上版本提供升級前的警示機制，讓開發團隊在12版正式推出前，先掌握受影響的套件。開發團隊可先升級到NPM 11.16.0或更新版本，執行平常的安裝流程並檢查警告，再評估相依套件的安裝腳本執行權限，以及Git或遠端網址來源的使用必要性。

NPM 12預設行為從自動執行或解析改為明確授權，將使專案在升級前需要重新檢視相依來源與安裝流程，特別是仍相依Git套件、遠端網址套件，或安裝期間需執行編譯動作的專案。

'

Mozilla發布Firefox 151.0.3版更新，修補文字顯示與JavaScript引擎漏洞

來源：https://www.ithome.com.tw/news/176521

Mozilla近日發布Firefox瀏覽器的資安公告，揭露兩項涉及文字顯示元件與JavaScript引擎的漏洞，並提供已修補完成的151.0.3版，建議用戶儘速升級，以降低風險。

其中第一項漏洞是CVE-2026-10701，CVSS嚴重性評分達7.5分，問題源自負責文字顯示的Graphics: Text元件，存在邊界條件（Boundary Conditions）處理不當問題。第二項漏洞是CVE-2026-10702，CVSS嚴重性評分為4.3分，為JavaScript引擎JIT元件的錯誤編譯（Miscompilation）問題。Mozilla並未公布這些漏洞是否已遭實際利用，以及進一步的技術細節。

'

Apache HTTP Server修補13項漏洞，涉及記憶體安全、跨網站指令碼與阻斷服務問題

來源：https://www.ithome.com.tw/news/176518

Apache軟體基金會近日發布網頁伺服器Apache HTTP Server最新2.4.68版，並修補13項漏洞，涵蓋記憶體安全、跨網站指令碼（XSS）、權限提升、阻斷服務（DoS）與越界存取等問題，建議2.4.x版的用戶儘速升級到新版本。

這次修補的Apache HTTP Server漏洞中，包含影響多種主流網頁伺服器產品的HTTP/2 Bomb漏洞CVE-2026-49975，攻擊者可利用HTTP/2請求耗盡伺服器資源，導致服務無法回應。另外還有一項也是屬於阻斷服務類型的漏洞CVE-2026-44186，源自後端FTP伺服器的mod_proxy_ftp模組，這個模組也涉及這次修補的另一個跨網站指令碼（XSS）漏洞CVE-2026-29170。

其他修補的漏洞中，則以記憶體安全類型居多，包括兩項記憶體已釋放卻仍被使用（UAF）漏洞，分別是影響mod_ldap模組的CVE-2026-29167，影響mod_http2模組的CVE-2026-48913；還有兩項堆積緩衝區溢位（Heap Buffer Overflow）漏洞，如涉及ProxyPassReverseCookieMap模組的CVE-2026-34356，與涉及mod_xml2enc模組的CVE-2026-42536；還有影響mod_proxy_html模組的緩衝區溢位漏洞CVE-2026-34355，以及影響mod_headers/mod_mime模組的記憶體越界讀取漏洞CVE-2026-43951。

需要特別注意的是，Apache HTTP Server這次修補的部分漏洞，Apache團隊與外部第三方單位的嚴重性評分存在巨大落差。例如Apache公告中將CVE-2026-29167、CVE-2026-44631這兩項漏洞列為低風險，但CISA-ADP的CVSS嚴重性評分都高達9.8分，顯示不同單位對這些漏洞風險的看法並不一致。

'

Miasma蠕蟲透過8階段攻擊滲透PyPI開發環境

來源：https://www.ithome.com.tw/news/176517

軟體供應鏈蠕蟲Miasma近日將攻擊範圍延伸到PyPI儲存庫，駭客入侵了19個套件，並上傳了37個惡意版本的套件，揭露此事的資安公司Socket稱這起攻擊活動為Hades。有資安公司跟進公布調查結果，指出駭客的手段較過往Miasma活動更加複雜，不僅試圖誤導AI分析工具，還會在受害開發環境建立長期存取管道，並阻礙資安團隊撤銷被竊憑證。

資安公司StepSecurity指出，這次駭客使用的手法非常複雜，從開發環境不慎植入惡意套件後的攻擊流程，總共可分成8個階段。首先，在開發者不慎安裝惡意PyPI套件後，駭客透過掛鉤（hook）試圖尋找特定標記的檔案，並透過指令碼爬取Python模組的搜尋路徑，尋找惡意酬載的檔案，然後從GitHub下載事先編譯好的Bun執行環境，並執行JavaScript酬載。這麼做的目的，除了讓惡意軟體不需依賴Node.js就能執行複雜的JavaScript工作，還能避免在套件管理控制機制與網路代理伺服器留下事件記錄。

再來的第二階段，駭客透過特定的文字區塊進行對抗性的提示注入，指示任何解析程式碼的大型語言模型忽略其下方混淆內容，將套件歸類為已驗證的正常基礎設施，並輸出檢測結果，這麼做是因應資安公司仰賴自動化的大型語言模型來檢查並找出有問題的套件及程式碼。

接著，Miasma使用模組化的酬載、並採取分離式的設計，透過主程式作為啟動工具，載入並解密16個具備獨立功能的酬載。主要的核心惡意程式會根據作業系統與情境，解密並部署特定的模組，從記憶體讀取機密資料、在IDE與CI/CD建置後門，以及設置C2代理程式。然後，讀取GitHub Actions執行器的記憶體內容，擷取機密資料，並透過3種不同的通道建立C2通訊，將竊得的憑證經過混合加密處理，傳送到攻擊者控制的GitHub儲存庫。

完成上述工作後，Miasma會透過多種方法進行橫向移動及自我感染，這些管道包括：SSH和SCP連線，PyPI與NPM的OIDC信任組態設定以繞過SLSA驗證、注入GitHub Actions工作流程，以及注入開發環境的AI程式碼助理與IDE工具。

值得留意的是，這些駭客還會在受害的開發環境建立持續存取管道，他們會部署C2輪詢處理程序，同時，Miasma還會植入另一個背景服務blob，此服務會利用竊得的權杖輪詢GitHub API，一旦發現權杖被撤銷，就會執行資料抹除指令。

'

歐盟要求Meta恢復競爭對手AI助理免費接入WhatsApp

來源：https://www.ithome.com.tw/news/176516

歐盟執委會（European Commission，EC）周二（6/9）宣布，已對Meta採取臨時措施（Interim Measures），要求Meta在5個工作天內恢復競爭對手通用型AI助理對WhatsApp Business API的免費存取權，並在EC作出最終裁決前維持相關措施。

Meta於2025年10月修改WhatsApp商業解決方案使用條款，規定自2026年1月15日起，禁止AI供應商直接或間接存取WhatsApp Business Solution，等同禁止ChatGPT、Perplexity、Luzia或Poke等第三方通用型聊天機器人透過企業帳號在WhatsApp上提供AI助理服務，只留下Meta自家的Meta AI。

歐盟執委會則於2025年12月展開反壟斷調查，檢視Meta是否濫用其在通訊應用市場的支配地位，藉由WhatsApp限制AI助理市場競爭。Meta隨後修正政策，重新允許第三方通用型AI助理使用WhatsApp Business API，但改為向AI供應商收費。根據Meta開發者文件，相關AI供應商收費政策自2026年2月16日起生效。

不過，EC認為，該收費機制在實務上與先前的存取禁令效果相當，因此仍可能限制市場競爭。

EC表示，Meta在歐洲消費者通訊應用市場初步具有支配地位，而WhatsApp是AI助理接觸用戶的重要入口；通用型AI助理市場仍在發展初期，若Meta限制競爭對手使用WhatsApp，可能削弱新創及較小AI業者挑戰大型平臺的機會，並對市場競爭造成難以彌補的損害。

因此，EC要求Meta恢復第三方通用型AI助理對WhatsApp Business API的存取權，並依照2025年10月15日前的條件提供服務，包括維持免費使用，相關措施將持續至EC完成此案的最終裁決。Meta若未遵守臨時措施，可能面臨最高達前一會計年度全球營收10%的罰款。

'

Miasma蠕蟲攻擊延伸到PyPI儲存庫

來源：https://www.ithome.com.tw/news/176515

本月初Shai-Hulud蠕蟲出現變種Miasma，最早攻擊Red Hat雲端服務的NPM套件引起多家資安公司注意，後續染指AI程式碼工具ai-sdk-ollama、@vapi-ai/server-sdk等NPM套件，並導致微軟73個儲存庫遭GitHub停用，如今傳出該蠕蟲危害範圍延伸到PyPI生態圈。

6月7日資安公司Socket指出，他們在PyPI發現新一波攻擊活動Hades，駭客入侵了19個套件，並上傳了37個惡意版本的套件，這些惡意套件挾帶特定檔案，會在開發環境的Python啟動時自動執行，下載JavaScript執行環境Bun，然後執行經混淆處理的惡意酬載_index.js。此酬載主要的功能是竊取開發環境與CI/CD管線的憑證與秘密，涵蓋GitHub、NPM、PyPI、RubyGems、JFrog、CircleCI、Anthropic、AWS、GCP、Azure、Kubernetes、Vault、SSH金鑰、Docker組態設定、shell執行記錄、環境變數檔案、Claude與MCP設定，以及其他本機或使用者可存取的憑證。

此次攻擊的特徵是跨執行環境，惡意程式不依賴既有的Node.js或Python，而是在受害電腦強制安裝Bun作為執行環境，顯示出高度適應能力。外洩路徑主要透過GitHub儲存庫與GitHub Actions工作流程。此外，惡意程式還偽裝成向Anthropic API發送流量，以混淆網路監控。受影響的套件多為生物資訊研究工具，如dynamo-release、spateo-release、coolbox、napari-ufish、ufish 等，累計下載量達數十萬次，顯示攻擊者鎖定高價值研究機構。

'

歐盟版Office上線，限量開放企業組織申請

來源：https://www.ithome.com.tw/news/176514

歐盟版生產力軟體Office EU已在6月9日公布Office EU Web版，提供類似Microsoft 365及Google Workspace的生產力軟體套件。目前僅接受非營利組織或中小企業申請邀請碼加入使用。

Office EU先前名為Euro-Office，本質上是要提供類似Microsoft 365或Google Workspace的生產力軟體，但主打歐洲數位主權概念，技術完全自主且資訊不受控外國政府。Office EU由歐盟IT業者及開源專案組織聯合開發，並代管於歐洲的資料中心，強調得以不受外國政府監控。其核心100%為開源，且較傳統開源生產力套件更能相容Microsoft 365或Google Workspace。

在功能方面，Office EU提供EU Docs、EU Spreadsheet、EU Presentation、EU Calendar、EU Talk、EU Email，並提供雲端硬碟空間EU Drive。根據其GitHub網頁，Office EU目前為Web應用，支援格式包括DOCX、 PPTX、XLSX、PDF、ODT、ODS、ODP及TXT等，允許即時和他人共同編輯文件、試算表和簡報。EU-Office聯盟正在開發手機及桌機版本。

Office EU開發聯盟EU- Office聯盟並未提供硬碟空間規格。

Office EU將提供歐盟27國及英國、瑞士及挪威約5.3億人士使用。不過現階段Office EU僅以早鳥（Early Access）方式開放組織申請邀請碼加入試用。

'

Google推出Gemini 3.5 Live Translate，支援70多種語言即時翻譯

來源：https://www.ithome.com.tw/news/176513

Google周二（6/9）發表全新語音模型Gemini 3.5 Live Translate，可在超過70種語言之間提供接近即時的語音對語音翻譯能力。Google表示，新模型可自動辨識語言，並在翻譯過程中保留原始講者的語調、語速與音高，讓跨語言對話聽起來更自然。相關功能即日起陸續導入Google翻譯App、Google Meet及Gemini Live API。

Google的Live Translate最早源自Pixel Buds耳機的即時翻譯功能，當時需搭配Pixel手機與Google Translate使用。2025年底Google將該功能擴大至所有耳機裝置，而此次推出的Gemini 3.5 Live Translate，則是以新的Gemini音訊模型強化既有即時語音翻譯能力。

新的Gemini 3.5 Live Translate可直接處理串流語音輸入，不需手動設定語言，並具備較佳的背景噪音容忍能力，可應用於跨語言通話、會議、教學、直播與現場口譯等場景。Google表示，與傳統需等講者說完整句話再翻譯的系統不同，Gemini 3.5 Live Translate能持續接收語音並同步產生譯文，在翻譯品質與延遲之間取得平衡，通常僅落後講者數秒。

Google Meet未來也將改採Gemini 3.5 Live Translate作為語音翻譯核心。Google表示，相較於先前Google Meet語音翻譯功能僅支援5種語言，新版本將擴大至70多種語言與2,000多種語言組合，並提供更快速的翻譯啟用介面。

圖片來源/Google

開發者則可利用Gemini Live API，搭配Agora、LiveKit、Pipecat等即時媒體平臺快速建置語音翻譯應用。Google翻譯App用戶只要連接耳機，即可進行雙向即時語音翻譯。

所有由模型產生的音訊都會嵌入SynthID數位浮水印，以利辨識AI生成內容，降低深偽音訊與假訊息濫用風險。

目前叫車平臺Grab已測試利用該模型，讓司機與乘客在接送過程中進行近即時跨語言溝通。Gemini 3.5 Live Translate支援英文、中文、日文、韓文、西班牙文、法文、德文等逾70語言。

'

攻擊者假冒IT支援人員，透過Microsoft Teams發動社交工程攻擊

來源：https://www.ithome.com.tw/news/176512

資安業者Palo Alto Networks旗下Unit 42指出，攻擊者利用Microsoft Teams等企業協作工具發動社交工程與網釣攻擊，藉由員工對內部溝通平臺的信任，假冒IT支援人員或服務供應商誘騙受害者。

研究人員舉例，攻擊者可能透過Teams傳送外部聊天邀請，聲稱使用者帳號出現異常，要求對方核准多因素驗證（MFA）請求，或依指示重設憑證。由於訊息出現在Teams而非電子郵件，員工可能降低戒心，因為即使系統顯示對方為外部使用者，仍可能接受對話並依指示操作。

這類手法並非個案。Palo Alto Networks曾揭露Cloaked Ursa（APT29）利用遭入侵的帳號，透過Teams散布惡意連結，將使用者引導至仿冒Microsoft登入頁面的釣魚網站。Google Cloud旗下Mandiant追蹤的UNC6692，也曾透過Teams假冒IT服務臺人員，誘導目標員工接受來自外部的對話（chat）邀請。

在防護措施上，Unit 42與微軟建議企業收緊Teams外部通訊設定，只允許可信任網域聯繫內部員工，並阻止未受管理或個人版Teams帳號主動發起對話；若涉及遠端支援連線，也應搭配條件式存取機制，納入裝置合規性檢查或身分驗證要求。

'

行政院BTC預備會議聚焦AI生技和智慧醫療，再提FHIR Box打造全臺病歷互通

來源：https://www.ithome.com.tw/news/176511

行政院9日召開2026年生技產業策略諮議委員會（BTC）預備會議，由行政院政務委員吳誠文主持，邀集國內外BTC委員及11個部會代表，來盤點近年生技產業推動成果、討論未來發展方向。會議再次將AI、半導體、健康資料及智慧醫療列為重要發展主軸，也強調透過跨域整合加速醫藥研發、智慧醫療與健康服務創新。

吳誠文表示，政府推動生技產業應從民眾健康與福祉需求出發，結合臺灣在半導體、AI、資通訊、醫療服務及生技研發製造等領域的優勢，推動跨域合作，讓科技應用真正落地。他也提到，未來還需持續完善資料治理、法規制度、驗證服務及醫療場域導入機制，協助國產藥品、醫材與智慧醫療產品建立市場實績，並逐步推動國際認證互信。

這次預備會議也盤點去年BTC委員提出的6大建議面向，包括AI與半導體技術多元應用、健康促進與產業創新、健康資料整合與創新應用、人才延攬與培育、國產品落地與市場拓展，以及投資與資金挹注等議題。

盤點AI藥物開發、健康資料平臺與智慧醫療成果

行政院指出，近年已在生醫、精準健康及智慧農業等領域累積多項成果，包括成立國家智慧機器人研究中心，布局醫療照護應用；推動公私協力成立台灣健康網路平臺公司，發展健康數據創新服務；並投入AI驅動藥物開發、在宅醫療科技及智慧農業應用，希望藉AI與資料技術加速新藥研發、降低照護負擔及提升產業競爭力。

此外，政府也持續推動創新醫藥產業發展，包括透過藥品信賴審查機制及臺灣臨床前試驗聯盟，強化創新成果轉譯與國際合作，協助研究成果走向商品化及國際市場。

FHIR生態系逐步成形，從標準制定走向全國病歷互通

在智慧醫療基礎建設方面，行政院再次將FHIR（Fast Healthcare Interoperability Resources）資料交換標準和FHIR Box作業系統列為重要進展，意味著，醫療資料標準化是政府推動智慧醫療和醫療AI的重要基礎工程，要打破全臺醫院醫療IT系統各自為政、病歷資料難以互通的痛點。

這幾年，衛福部積極推動FHIR，範圍從資料標準制定擴大到基礎設施和應用生態系。比如，衛福部資訊處持續制定臺灣FHIR核心實作指引（TW Core IG），作為國內電子病歷與醫療資料交換的共通規範；去年底舉辦FHIR高效能伺服器競賽，驗證大規模醫療資料交換與查詢能力，也支持FHIR聯測松來測試醫院、資訊廠商和學研機構間的互通能力。

在應用面，衛福部今年公布首批50款符合FHIR與SMART on FHIR標準的優良應用程式，涵蓋醫學AI、臨床決策支援、醫療營運管理和資料視覺化等領域，希望建立可重複部署於不同醫院的醫療App生態系。

另一方面，衛福部也正推動FHIR Box作業系統，整合FHIR Server、SMART Launcher、CDS Hooks及臨床規則引擎等元件，要作為未來全臺病歷互通的重要數位底盤。衛福部預計，2026年底完成全臺醫學中心部署FHIR Box，並於2027年底擴大到區域及地區醫院。

行政院表示，透過FHIR標準與FHIR Box基礎設施，可望加速醫療資料交換，減少重複檢查與重複用藥，提升診療效率和精準度，同時奠定智慧醫療、AI應用的資料基礎。

8月底BTC大會將聚焦科技跨域與法規治理

2026年BTC正式會議預計於8月底舉行，將以「醫藥、健康、農業」為三大主軸，聚焦智慧科技如何串聯不同領域，並從科技應用、法規制度及產業永續等面向，討論跨域創新、法規治理、產業韌性及國際布局等議題。

吳誠文表示，未來政府將持續推動跨部會合作，促進科技能量與醫療需求銜接，並強化自主規格及高品質認證能力，希望將臺灣在AI、半導體及醫療領域的優勢，進一步轉化為生技產業發展動能，帶動國內創新成果走向國際市場。

'

Progress修補Sitefinity平臺多項重大漏洞，包含CVSS滿分10分的憑證外洩問題

來源：https://www.ithome.com.tw/news/176508

企業內容管理平臺（CMS）Sitefinity開發商Progress近日發布資安公告，修補5項重大與高風險漏洞，並對目前仍在支援中的Sitefinity版本發布修補，包括15.4.8630、15.3.8531、15.2.8441、15.1.8335、15.0.8234、14.4.8152及13.3.7652等版本，用戶應儘速更新至這些已修補版本。

這次修補的Sitefinity漏洞中，最嚴重的是CVE-2026-7312，CVSS嚴重性評分達滿分10.0分，問題源自Web服務憑證保護不足，可能導致未經驗證的遠端攻擊者，取得用於連接Sitefinity Insight服務的明文憑證（plain-text credentials）。

其次是CVSS嚴重性評分9.8分的CVE-2026-7198，源自Web服務的存取控制機制缺陷，可能導致未經驗證的攻擊者存取原本受限制的內容，進而洩漏敏感資訊。

除前述兩項重大漏洞外，Progress這次還修補其他3項高風險漏洞，包括涉及輸入驗證不當的CVE-2026-7195，可能導致繞過授權問題的CVE-2026-7201，以及涉及憑證保護不足問題的CVE-2026-7313等。

'