網路攻擊組織UNC3753鎖定法律與金融業，假冒IT人員竊資勒索

來源：https://www.ithome.com.tw/news/176524

Google Cloud旗下資安業者Mandiant與GTIG（Google Threat Intelligence Group）揭露，網路攻擊組織UNC3753在2026年1月至5月間鎖定美國數十個組織，包括專業服務、法律與金融服務業，發動以資料竊取勒索為目的的攻擊活動。攻擊者冒充企業IT服務臺或資安人員，透過電話社交工程誘使員工開啟螢幕分享、安裝遠端管理工具，搜尋並竊取敏感資料。

攻擊者會以日常業務信件作為開場，研究人員舉例，攻擊者以個人電子郵件帳號寄出簡短訊息，內容沒有惡意檔案，目的在於建立後續來電的情境。之後，攻擊者會致電受害員工，冒稱內部IT支援或資安團隊，聲稱要處理安全問題或協助資料搬遷，進一步要求對方加入Zoom、Microsoft Teams和Quick Assist等螢幕分享或遠端支援工作階段。

在初次互動後，攻擊者進一步誘導受害者下載AnyDesk、Bomgar與Zoho Assist等遠端監控與管理工具，並用於搜尋其本機目錄、OneDrive資料夾、網路磁碟與文件管理系統。攻擊者也曾在iManage等文件儲存環境中搜尋美國稅務表單、稽核檔案、企業客戶協議與社會安全號碼等資料，並將結果暫存在受害者可存取的Downloads資料夾或使用者設定檔路徑。

竊取資料方式包括透過瀏覽器上傳至攻擊者控制的雲端檔案分享帳號，或使用WinSCP、Rclone等工具傳輸資料。攻擊者通常在成功竊取資料後不久寄出勒索信，有時在離開受害環境後30分鐘內就開始施壓，威脅公開資料。

部分事件甚至有攻擊者疑似冒充IT技術人員進入企業辦公室，聲稱需要替裝置建立完整備份，以處理安全問題，而在取得端點存取權後，再嘗試把企業資料複製到外接儲存裝置。不過，研究人員也保守表示，由於證據有限，且部分事件沒有後續勒索行為，因此僅評估這些實體入侵可能與UNC3753活動有關。

研究人員建議企業加強使用者訓練、外部技術人員身分驗證、訪客陪同制度、遠端存取條件式存取控管，以及未授權RMM與螢幕分享、遠端控制工具的執行限制。此外，企業也應限制USB大量儲存裝置讀寫能力，並監控文件儲存庫的大量搜尋、下載與異常存取行為。

'

駭客偽冒開源資安工具網站散布惡意軟體，並利用流量分發系統篩選攻擊目標

來源：https://www.ithome.com.tw/news/176525

為了提高散布惡意軟體的效率，攻擊者已不再採取無差別投放惡意連結的方式，而開始透過流量分發系統（Traffic Distribution System，TDS）篩選攻擊目標，資安業者Check Point近日揭露這類型的大規模攻擊活動，駭客同時結合偽冒下載網站、點擊劫持（Click Hijacking），以及流量分發系統，企圖藉此提高攻擊成功率。

研究人員發現，攻擊者仿冒Ghidra、dnSpy與SpiderFoot等開源資安工具的下載網站，並結合點擊劫持手法來誤導造訪這些網站的使用者，當使用者將滑鼠移動到下載按鈕上時，會顯示該工具的合法下載位址，但實際點選後，則會被JavaScript中介層重新導向到TDS。接著TDS會透過一系列存取控制措施，包括：首次造訪狀態（first-visit state）、強制點擊確認（mandatory click confirmation）、反機器人/反分析邏輯（anti-bot/anti-analysis logic）、VPN/資料中心過濾以及流量頻率限制等，藉此篩選攻擊目標，並將受害者引導到不同位置並散布惡意軟體。

Check Point指出，攻擊者會透過TDS的篩選，向受害者散布幾種不同的惡意軟體，包括：用於載入惡意應用程式的多階段載入工具SessionGate，新型瀏覽器竊資軟體Remus Stealer，以及加密貨幣剪貼簿竄改程式（cryptocurrency clipper）AnimateClipper。特別的是，攻擊者還在TDS中引進多重的重新定向機制，當受害者從相同IP位址重複連結TDS時，並非每次都會下載惡意軟體，有時會被引導下載合法的正常軟體，藉此降低惡意行為遭發現的機率。

除了Check Point揭露的這個案例外，我們先前也報導過資安公司Silent Push揭露的另一個濫用TDS案例，攻擊者透過TDS分析受害者類型，再決定採用FakeUpdates或ClickFix手法來誘導受害者。這些案例也顯示，攻擊者散布惡意軟體時，已越來越講求更精準的篩選受害目標。

'

環境部預告減碳與氣候調適補助辦法，可補助企業導入節能、CCUS、低碳製程，但碳盤查與自主減量計畫不在補助範圍

來源：https://www.ithome.com.tw/news/176523

環境部今天（6/10）預告《溫室氣體減量技術及氣候變遷調適補助辦法》草案，未來將透過「溫室氣體管理基金」提供補助，加速企業投入減碳技術及氣候變遷調適工作。這也是國內首次徵收碳費後，將碳費回饋企業減碳投資的重要配套措施之一。

根據草案內容，補助對象包括事業、各級學校、公立研究機構及財團法人學術研究機構等，未來將依環境部公告的補助計畫及申請程序提出申請。

低碳製程、節能措施與碳捕捉技術納入補助

草案列出的補助項目，涵蓋企業目前推動淨零轉型的重要技術方向。

其中包括低碳燃料轉換及低碳製程改善、節能及抑低尖峰用電措施，以及二氧化碳捕捉、利用與封存（CCUS）技術。環境部也將負排放技術（Negative Emission Technologies）納入補助範圍，希望協助高排放產業布局深度減碳能力。

此外，因應國際碳邊境調整機制的相關措施，以及溫室氣體減量與氣候變遷調適的創新技術研發，同樣列為可申請項目。

從產業角度來看，此次補助項目已從過去常見的設備改善或能源管理措施，進一步延伸至CCUS、負碳技術及國際碳管理能力建置等領域，反映環境部希望將資源投入較具長期減碳效益及技術創新的方向。

碳盤查、自主減量計畫與碳足跡不予補助

不過，草案也明確界定哪些項目不在補助範圍內。依據規畫，企業依法必須執行的工作原則上不予補助，包括溫室氣體排放源盤查、登錄與查驗作業，以及增量抵換措施等。

此外，碳費徵收對象為取得優惠費率而提出的自主減量計畫，以及依法應辦理的產品碳足跡盤查或標示，也都被排除在補助範圍之外。

換言之，環境部希望將有限的基金資源用於促進額外減量效果與技術創新，而非協助企業完成法規要求的基本義務。

因此對於目前正投入碳盤查系統建置、第三方查驗或自主減量計畫申請的企業而言，相關支出仍需自行負擔，無法透過本辦法取得補助。

首筆碳費收入近50億元，將成補助主要財源

此次補助辦法的經費來源，來自《氣候變遷因應法》設立的溫室氣體管理基金。依照現行制度，企業繳交的碳費必須專款專用，全數納入溫室氣體管理基金運用於減碳及氣候調適相關工作。今年6月國內完成首次碳費徵收結果，共有240家企業、461座工廠完成繳費，總收入約49.7億元，其中半導體產業繳納金額約22億元，占整體收入逾四成。

環境部表示，目前已初步規畫自溫室氣體管理基金編列約20億元，補助事業及地方政府推動溫室氣體減量及氣候調適工作，另規畫約5億元作為企業減碳投資貸款的利息補貼及信用保證措施。此次預告的補助辦法，正是未來運用碳費收入支持企業減碳技術與調適措施的重要法源依據。

從政策方向來看，環境部此次將補助重點放在低碳製程、節能技術、CCUS、負排放技術及氣候調適措施，同時排除碳盤查與法遵工作，顯示未來碳費收入的運用將更偏向支持實質減碳與技術創新，而非協助企業完成法規要求的基本義務。

'

PwC：企業減碳進入績效與韌性時代，AI資料中心用電與供應鏈碳排成新挑戰

來源：https://www.ithome.com.tw/news/176522

PwC發布《2026年減碳報告》(PwC's Third Annual State of Decarbonization Report)指出，企業減碳已從過去著重目標宣示，轉向財務紀律、營運韌性與商業價值的整合管理。隨著AI資料中心推升能源需求、供應鏈風險升高，以及範疇三排放治理難度增加，企業正將能源管理、供應鏈透明化、產品設計與AI應用視為下一階段永續轉型的核心策略。

隨著全球企業面臨能源價格波動、供應鏈不確定性及地緣政治風險，減碳已不再只是ESG或法遵議題，而逐漸成為企業營運與財務管理的重要課題。報告指出，企業減碳正從設定長期目標的階段，轉向檢視投資效益、執行能力與營運韌性的實戰階段。

該報告分析數千份企業公開揭露文件及資料庫後發現，雖然外部環境充滿挑戰，仍有82%的企業維持或加速減碳進程，僅18%的企業因成本上升、資金限制及政策不確定性而放緩氣候目標(下圖，來源：PwC's Third Annual State of Decarbonization Report)。相較於前兩年，2025年新宣布減碳目標的企業成長率已降至7%，反映企業逐漸從追求目標數量，轉為以更務實態度審慎評估執行能力與資源配置。

資誠永續發展服務公司董事長李宜樺表示，投資人對減碳成果的要求已從承諾轉向具體績效，企業若要在不確定環境下持續推動減碳，必須將策略投資、執行力與利害關係人溝通能力整合為核心競爭力。

AI資料中心擴張，能源韌性成企業新課題

從IT與數位基礎設施角度來看，AI帶來的能源需求成長，正成為企業永續策略的重要變數。

在範疇二排放管理方面，許多企業透過採購再生能源、再生能源憑證（REC）及虛擬購電協議（vPPA）降低用電碳排。然而，隨著生成式AI快速普及，超大規模資料中心業者持續擴建運算設施，使全球電力需求顯著增加，加重企業取得潔淨能源的競爭壓力。

報告指出，AI資料中心需求暴增、電網投資不足及監管政策變動，已推升美國部分地區電價上漲7%至25%，直接影響企業獲利能力。近幾年因為俄烏戰爭、美國制裁委內瑞拉、伊朗封鎖荷姆茲海峽，導致能源供應及價格波動，能源供應的穩定性與價格風險，已躍升為董事會層級的關鍵議題。

這些趨勢與企業IT部門近幾年關注的資料中心永續化方向高度一致。除了提高伺服器使用效率與採用液冷等節能技術外，企業也開始將能源管理納入數位轉型規畫，藉由能源監測平臺、智慧調度與需求預測系統降低電力成本與碳排放風險。

報告也指出，2020年至2025年間，全球工業領域能源效率投資已增加45%，達300億美元，反映企業積極透過技術手段降低能源依賴與價格波動帶來的衝擊。

範疇三排放成最大難題，供應鏈數據治理的重要性增加

相較於企業自身營運產生的範疇一與範疇二排放，供應鏈與產品生命週期相關的範疇三排放，仍是多數企業最大的減碳挑戰。

目前僅56%的企業有機會依照既定時程完成範疇三減碳目標。由於相關排放涉及到供應商、物流夥伴、客戶與產品使用階段，企業難以直接控制，因此減碳成效高度仰賴整體生態系合作。

對企業IT而言，這也代表供應鏈數據治理的重要性正在提高。PwC建議企業不應只掌握第一層供應商資訊，而應要求供應商揭露更上游的合作夥伴與原料來源，並透過資料平臺與數位工具建立更深層的供應鏈能見度。

在實務上，越來越多企業開始導入供應鏈碳管理平臺、數位產品護照（Digital Product Passport）及供應商資料交換機制，希望建立更完整的碳排資料基礎，以支援未來的永續揭露與減碳決策。

永續產品設計成減碳與成長雙引擎

另報告也發現，產品設計已成為企業推動範疇三減碳的重要槓桿。

根據PwC分析《財富》500強企業的公開資料，在範疇三減碳進度符合預期的企業中，有31%已大規模將永續性納入產品策略；反觀減碳落後企業，比例僅19%。

資誠永續發展服務公司執行董事張嘉宏指出，許多產業的主要碳排來源來自產品使用階段，例如電器耗電、工業設備運轉或交通工具燃料消耗，因此提升產品能源效率、推動電氣化及降低資源消耗，已成為企業減碳的重要策略。

對科技產業而言，這代表軟硬體設計必須同步考量能源效率、可維修性與產品生命週期管理，不再只是追求效能提升。

AI減碳潛力仍待開發

除了帶來龐大能源需求外，AI本身也被視為企業下一階段減碳的重要工具。

PwC指出，目前許多企業已運用機器學習進行能源監控、設備預測維護及流程優化，但多數仍停留在第一代AI應用階段。事實上，新一代AI已具備大規模碳排驗證、環境變化高解析度分析及快速生成氣候預測等能力。

然而，僅約20%的企業已將下一代AI技術納入減碳策略規畫，真正量化AI減碳效益的企業不到1%。(下圖，來源：PwC's Third Annual State of Decarbonization Report)

這顯示企業目前仍處於AI永續應用的早期階段。未來若能進一步將AI結合能源管理、碳盤查、自動化報告生成與供應鏈風險分析，不僅有機會提升減碳效率，也可協助企業建立更即時的永續治理能力。

未來五至十年間，PwC認為企業永續發展將聚焦5大方向，包括以務實減碳取代目標宣示、強化能源韌性、推動供應鏈去風險化、將減碳融入產品設計，以及擴大AI的減碳應用。

從IT角度來看，上述趨勢意味永續已不再只是CSR或ESG部門的責任，而是逐漸成為資訊、營運、採購與財務等部門共同參與的轉型工程。隨著AI、資料中心與供應鏈數據治理的重要性持續提高，永續能力逐漸成為企業數位競爭力的一部分。

'

【資安日報】6月10日，Anthropic推出具有Mythos能力的Claude Fable 5

來源：https://www.ithome.com.tw/news/176520

Anthropic發表Claude Fable 5，為所有用戶提供Mythos等級的能力

4月初Anthropic發布Claude Mythos Preview，由於挖掘資安漏洞的能力過於強大，甚至能串連多個漏洞形成攻擊鏈，當時僅提供特定的作業系統與軟體開發廠商與團隊，以及金融巨頭使用，兩個月後，該公司向社會大眾正式發布威力等同於Mythos的Claude Fable 5，為了防範該模型被濫用，此模型加入了防護措施，在處理部分主題會使用Claude Opus 4.8回應。而對於資安防護領域，Anthropic也為特定網路防禦者及基礎設施供應商提供與Claude Fable 5能力相同的Claude Mythos 5。

微軟發布6月例行更新，破紀錄修補逾560個漏洞

6月9日微軟發布本月例行更新（Patch Tuesday），公開206個由該公司登記CVE編號的漏洞，數量明顯較過往都要來得多，若是加上該公司修補362個第三方登記CVE編號的漏洞，總數將達到568個，無論是微軟登記CVE的漏洞，還是修補第三方漏洞的數量，都創下史上最多的記錄。附帶一提的是，由於第三方元件漏洞有360個與Chrome有關，微軟僅列出兩個由Arm與CERT/CC登記的弱點，這樣的做法也是首度出現。

微軟修補已被公開的零時差漏洞GreenPlasma、YellowKey、HTTP/2 Bomb

本週二微軟發布6月例行更新（Patch Tuesday），修補多達568個資安漏洞，值得留意的是，這次有3個是已被公開的零時差漏洞，根據資安新聞網站Bleeping Computer的報導，其中有2個是研究人員Chaotic Eclipse（Nightmare-Eclipse）公布的零時差漏洞。其中，CVE-2026-45586就是Chaotic Eclipse揭露的GreenPlasma，CVE-2026-50507是YellowKey。另一個已被公開的零時差漏洞CVE-2026-49160，為資安研究發布平臺Calif揭露的HTTP/2 Bomb。

研究人員揭露新的Microsoft Defender零時差漏洞RoguePlanet

根據資安新聞網站Bleeping Computer報導，Chaotic Eclipse在微軟發布6月例行更新數個小時之後，公開名為RoguePlanet的Microsoft Defender零時差漏洞，並表示該弱點涉及競爭條件（Race Condition），攻擊者利用的條件是需要引誘使用者在遠端的SMB伺服器開啟VHD或VHDX虛擬磁碟檔，成功利用漏洞後，Microsoft Defender就會覆寫該防毒軟體相關的檔案，導致遠端程式碼執行。資安公司ThreatLocker向Bleeping Computer透露，該漏洞確實有效。

SAP修補NetWeaver與Commerce重大漏洞

6月9日SAP發布本月例行更新（Security Patch Day），總共修補15個資安漏洞，其中有4個是重大等級。根據CVSS風險評分，最危險的是CVE-2026-44748，此為SAML身分驗證當中的XML簽章包裝漏洞，影響NetWeaver AS ABAP與ABAP平臺，CVSS風險值為9.9。具備正常權限的認證攻擊者可取得有效的簽章訊息，並將修改後的XML檔案傳送給驗證者，而有可能導致被竄改的身分資訊被受理，進而導致攻擊者能未經授權存取敏感用戶資料。

Miasma蠕蟲原始碼外洩，供應鏈攻擊工具包現身GitHub

資安業者SafeDep於6月9日警告，軟體供應鏈蠕蟲Miasma透過遭入侵的開發者帳號出現在GitHub，等同於把這套攻擊工具公開化。SafeDep取得其中一份已遭下架的原始碼分析指出，Miasma不只是蠕蟲，而是一套完整的供應鏈攻擊工具包。如今，駭客透過遭入侵的開發者帳號發布名為「Miasma-Open-Source-Release」的GitHub儲存庫，將這套攻擊工具的原始碼在網路上公開。資安社群擔心，這可能重演Shai-Hulud原始碼公開後變種快速湧現的情況。

Miasma蠕蟲攻擊延伸到PyPI儲存庫

本月初Shai-Hulud蠕蟲出現變種Miasma，最早攻擊Red Hat雲端服務的NPM套件引起多家資安公司注意，後續染指AI程式碼工具ai-sdk-ollama、@vapi-ai/server-sdk等NPM套件，並導致微軟73個儲存庫遭GitHub停用，如今傳出該蠕蟲危害範圍延伸到PyPI生態圈。6月7日資安公司Socket指出，他們在PyPI發現新一波攻擊活動Hades，駭客入侵了19個套件，並上傳了37個惡意版本的套件，這些惡意套件會在開發環境的Python啟動時自動執行，下載執行環境Bun，然後執行經混淆處理的惡意酬載_index.js。

Miasma蠕蟲透過8階段攻擊滲透PyPI開發環境

軟體供應鏈蠕蟲Miasma近日出現Hades活動，將攻擊範圍延伸到PyPI儲存庫，資安公司StepSecurity指出，駭客的手段較過往Miasma活動更加複雜，從開發環境不慎植入惡意套件後的攻擊流程，總共可分成8個階段，不僅試圖透過特定的文字區塊進行對抗性的提示注入，指示任何解析程式碼的大型語言模型忽略其下方混淆內容，誤導AI分析工具，還會在受害開發環境透過4種機制建立長期存取管道，並阻礙資安團隊撤銷被竊憑證，一旦發現權杖被撤銷，就會執行資料抹除指令。

Meta證實有2萬個Instagram帳號因Meta AI漏洞被盜，時間長達1.5個月

Meta本週證實Meta AI支援工具存在一項漏洞，讓駭客得以在AI助理協助下，盜走Instagram（IG）帳號，估計從4月中到5月，超過2萬用戶受害。根據Meta向美國緬因州檢察長辦公室的通報文件，該漏洞影響時間從2026年4月17日到5月31號止。受害者人數為20,225人。漏洞出在Meta AI的IG帳號回覆系統High Touch Support（HTS），問題發生在Meta AI程式碼路徑，使系統未驗證請求重設密碼的信箱和帳號持有人的關聯，使攻擊者能取得密碼重設連結。

蘋果Safari未來能自動變更遭外洩的密碼

本週蘋果舉辦WWDC26，除了受到各界矚目的Siri AI，蘋果也宣布將為Safari新增功能，包含能自動變更密碼的代理人Passwords、及告知網頁新資訊的代理人Notify Me，以及讓用戶口說生成外掛的Describe an Extension及依主題組織分頁的新功能。其中，Safari原本就能針對弱密碼及外洩密碼發出警告，現在新增了代理人功能Passwords，能代用戶登入網站並更新為強密碼。相關功能預計於今年秋季發布的iOS 27、macOS 27等作業系統正式提供。

VMware VCF Operations管理平臺修補多項高風險漏洞，未更新可能導致跨網站指令碼攻擊

Broadcom近日發布資安公告，修補VMware Cloud Foundation Operations（VCF Operations）管理平臺的3項高風險漏洞，建議用戶盡速更新。這次VCF Operations修補的漏洞包括CVE-2026-41722、CVE-2026-41723與CVE-2026-41724等3項，CVSS嚴重性評分均為8.0分，均屬於儲存型跨網站指令碼（Stored Cross-Site Scripting）類型問題，可能導致擁有建立政策、檢視或文字元件（Text Widget）等管理權限的惡意攻擊者，藉由注入指令碼觸發漏洞。

Apache HTTP Server修補13項漏洞，涉及記憶體安全、跨網站指令碼與阻斷服務問題

Apache軟體基金會近日發布網頁伺服器Apache HTTP Server最新2.4.68版，並修補13項漏洞，涵蓋記憶體安全、跨網站指令碼（XSS）、權限提升、阻斷服務（DoS）與越界存取等問題，建議2.4.x版的用戶儘速升級到新版本。這次修補的Apache HTTP Server漏洞中，其中一個是影響多種主流網頁伺服器產品的HTTP/2 Bomb漏洞，Apache軟體基金會登記為CVE-2026-49975，攻擊者可利用HTTP/2請求耗盡伺服器資源，導致服務無法回應。

MariaDB資料庫修補多項漏洞，含CVSS滿分10分重大漏洞

關聯式資料庫MariaDB近日發布資安公告，修補開源社群版（Community Server）與商用企業版（Enterprise Server）的多項漏洞，最受關注的是CVSS嚴重性10.0分的CVE-2026-49261，另外還有兩項CVSS嚴重性評分均為8.0的高風險漏洞，分別為CVE-2026-48165與 CVE-2026-48163，MariaDB目前尚未公開這些漏洞的細節與影響範圍。此外，相較於社群版，企業版公告還多列出一項CVSS評分8.0的漏洞CVE-2026-44168。

Ubiquiti UniFi管理平臺軟體存在重大漏洞鏈，可讓攻擊者免帳密取得root權限

資安業者Bishop Fox揭露，網通設備業者Ubiquiti的UniFi管理平臺軟體UniFi OS Server存在一組重大漏洞利用鏈，攻擊者只要能連到管理介面，可能不需帳號密碼就能繞過驗證對系統下達指令，最終取得root權限。研究人員已在UniFi OS Server 5.0.6測試環境驗證完整攻擊鏈，並確認5.0.8已修補相關問題。攻擊鏈涉及的漏洞包括CVE-2026-34908、CVE-2026-34909與CVE-2026-34910，前兩項可讓攻擊者避開前端驗證，後一項則出現在套件更新服務。

Progress修補Sitefinity平臺多項重大漏洞，包含CVSS滿分10分的憑證外洩問題

企業內容管理平臺（CMS）Sitefinity開發商Progress發布資安公告，修補5項重大與高風險漏洞，並對目前仍在支援中的Sitefinity版本發布修補，包括15.4.8630、15.3.8531、15.2.8441、15.1.8335、15.0.8234、14.4.8152及13.3.7652等版本，用戶應儘速更新。最嚴重的是CVE-2026-7312，CVSS嚴重性評分達滿分10分，問題源自Web服務憑證保護不足，可能導致未經驗證的遠端攻擊者，取得用於連接Sitefinity Insight服務的明文憑證。

Veeam修補Backup & Replication備份軟體重大漏洞，未修補可能導致備份伺服器遭受遠端程式碼攻擊

備份與資料保護軟體廠商Veeam日前發布資安公告，揭露旗下備份軟體產品Veeam Backup & Replication 12.x版重大漏洞，可能導致已通過身分驗證的網域用戶，在備份伺服器上執行遠端程式碼。由於備份伺服器通常掌握企業資料備份與復原權限，相關漏洞可能成為攻擊者的重要目標，建議用戶儘速更新。這項漏洞的編號是CVE-2026-44963，由資安公司WatchTowr研究人員發現與通報，CVSS嚴重性評分達9.4分。

針對研究人員揭露Deep Security Agent防護功能暫時失效問題，趨勢科技表示重新載入機制屬既有設計，無須修補

上週Linux版Deep Security Agent（DSA）傳出存在可能導致防護功能暫時失效的問題，趨勢科技6月8日發布正式回應，他們強調相關行為屬於產品既有設計，並非安全漏洞，不需要緊急修補。趨勢科技表示，DSA的ds_am程序會嚴格控制資源耗用，設有CPU、記憶體與檔案處理（file handle，fd）等資源使用上限，以避免影響受保護主機的正常運作。針對高負載環境中的DSA運作，趨勢科技建議用戶適度提高檔案處理（fd）上限設定，並強化縱深防護因應。

微軟調整Defender for Endpoint EDR更新機制，改由Microsoft Update派送

微軟6月5日公告，將調整企業端點安全服務Microsoft Defender for Endpoint在Windows裝置上的EDR更新機制。未來EDR更新將改採獨立更新機制，並由Microsoft Update提供，不再隨Windows每月例行安全更新一併發布。這項變更已於2026年5月下旬率先部署至Windows 10裝置，接下來會逐步擴及Windows 11，之後再涵蓋其他仍受Microsoft Defender for Endpoint支援的Windows版本。

幫助具身機器人巡檢兼顧隱私，帝濶智慧科技展示PriviSphere Robotics平臺

隨著AI應用爆發，如何在數據採集與隱私保護之間取得平衡，已成為科技演進的關鍵課題。專注於差分隱私技術、資料去識別化的帝濶智慧科技（DeCloak），於Computex 2026現場揭示最新隱私防護技術發展。該公司以隱私感知決策系統「DeCloak Brain」為核心技術，並透過「PriviSphere Robotics」平臺以整合各類具身機器人的協作應用，建構出一套具備隱私感知能力的機器人協作體系。此外，針對具身機器人可能帶來的資安疑慮，帝濶智慧也與VicOne合作，以防範機器人遭駭客入侵控制。

沙場點兵，數位備戰，臺灣必須走入國際網路攻防演練

【臺灣資安大會直擊】國防大學理工學院電機系兼任副教授、曾經擔任漢光演習網路戰實兵操演裁判長的張克勤指出，好的網路安全演習已經成為數位國家防禦準備度的重要指標，對照國外的網路安全演習，不論從立陶宛到愛沙尼亞甚至美國，全球頂尖網安演習正在重塑國家韌性；而臺灣已站上起跑線，有自己的大規模、二年一次的網安演習CODE，但仍可借鑒國外優勢，進一步強化自身演習深度與強度。

近期資安日報

【6月9日】Check Point VPN零時差漏洞被用於勒索軟體攻擊

【6月8日】趨勢科技成首家加入Anthropic Project Glasswing的臺灣資安公司

【6月5日】伺服器管理晶片廠商於Computex 2026積極展現資安布局

'