加拿大提出《Safe Social Media Act》，擬禁止16歲以下使用社交媒體

來源：https://www.ithome.com.tw/news/176540

加拿大政府周三（6/10）提出《安全社交媒體法》（Safe Social Media Act），擬禁止16歲以下青少年使用社交媒體，並首度將AI聊天機器人納入同一套數位安全監管框架。

根據法案內容，社交媒體服務未來不得允許16歲以下兒童持有帳號，但若業者能證明已建立充分的兒童保護措施，仍可向監管機關申請豁免。法案也要求平臺在設計產品與功能時優先考量兒童安全，降低兒童接觸有害內容與高風險互動的機會。

新法將要求社交媒體平臺評估並降低7類有害內容風險，包括兒童性剝削、未經同意散布私密影像、誘導兒童自殘、霸凌兒童、仇恨內容、煽動暴力，以及恐怖主義或暴力極端主義內容。平臺也必須標示AI生成內容，提供檢舉與封鎖工具，並快速移除兒童性剝削內容、未經同意散布的私密影像及Deepfake性影像。

此外，AI聊天機器人也將受到規範。業者必須降低聊天機器人傳播有害內容或出現有害行為的風險，並在使用者表達自殘或傷害他人意圖等危機情境時，公開說明其通報與處理門檻。法案中亦包含設立新的數位安全委員會，以負責監督業者遵循情況、制定線上安全標準及處理使用者申訴。

加拿大衛生部長Marjorie Michel表示，社交媒體平臺與AI聊天機器人的設計目的在於吸引用戶注意力，已成為許多年輕加拿大人焦慮、孤立與憂鬱等心理健康問題的來源。

除了加拿大之外，澳洲、印尼等國也已陸續限制16歲以下青少年使用社交媒體，希臘則規畫自2027年起禁止15歲以下兒童使用社交媒體。

'

OpenAI、Visa合作共推AI代理人安全支付技術

來源：https://www.ithome.com.tw/news/176539

國際支付卡組織Visa宣布與OpenAI合作，將把其支付網路及安全、身分驗證技術整合到OpenAI ChatGPT使用體驗中，以實現消費者及企業AI代理式支付的安全及流暢性。雙方也計畫將支付安全機制整合到開發或業務流程中。

這項合作讓開發人員或店家得以接受由AI代理人啟動的Visa支付。而Visa將提供底層全球支付網路、支付憑證記號化（tokenization）、授權、代理人識別及風險管理基礎架構以確保交易安全性。

Visa說明，雙方提供的代理人交易將在明確的護欄、政策與控制下進行，包括使用者核准、支付上限、商家類別、必要取得許可的門檻，以及其他核准規定。所有交易都會使用經記號化處理的Visa憑證、即時授權，並經過詐欺監控，以提供交易安全及消費者保障。

Visa主管表示，透過整合OpenAI和Visa將使消費者支付像Apple Pay支付一樣簡單。

雙方並表示，這項技術合作可為企業及開發商開闢新的應用型態。除了B2C代理人商務外，OpenAI和Visa計畫探索在OpenAI Codex使用經驗以及對話式業務工作流（workflow）中嵌入支付原始型別（primitives）以及可信任的代理人身分訊號，以協助未來開發及作業過程的代理人自動化作業。這套代理人支付基礎架構未來甚至可以推向持卡人權益、頂級消費者、和小企業信用產品，以及其他從OpenAI平臺衍生的使用場景。

不過雙方都未提供明確的推出時程，以及確切的使用介面。

OpenAI去年公布ChatGPT服務購買商品及即時結帳（Instant Checkout）服務，讓使用者可透過代理人向Etsy、Walmart或Shopify下單購物。但CNBC報導，該功能因無法和店家原有結帳系統整合，未能吸引商家加入。

各AI業者及雲端平臺公司都在嘗試推出自有代理支付技術以搶佔關鍵位置，包括Stripe與Tempo也共推MPP（Machine Payments Protocol）協定、OpenAI開源代理商務協議（Agentic Commerce Protocol，ACP）。Google則有代理人支付協定（Agent Payments Protocol，AP2）及推出Universal Commerce Protocol（UCP）代理人商務跨平臺標準。

'

OpenSSL修補高風險漏洞，研究人員在AI協助下發現可導致遠端程式碼執行問題

來源：https://www.ithome.com.tw/news/176538

OpenSSL專案日前發布資安公告，修補18項漏洞，值得注意的是，其中1項高風險漏洞CVE-2026-45447，是研究人員在Anthropic的Claude AI協助下發現，顯示AI已成為漏洞研究與程式碼分析的重要工具，此外，Anthropic公司人員也參與另外7項漏洞的發現與通報。

這次OpenSSL修補的漏洞中，最受矚目的便是前面提到的CVE-2026-45447，是研究人員透過Claude AI與Anthropic Research的合作發現，CVSS嚴重性評分達8.8分，存在於PKCS#7簽章驗證流程，可能導致記憶體已釋放卻仍被使用（UAF）問題，在特定情況下甚至可能導致遠端程式碼執行。OpenSSL的1.0.2、1.1.1、3.0.0、3.4.0、3.5.0、3.6.0與4.0.0等版本分支都受此漏洞影響，已於1.0.2zq、1.1.1zh、3.0.21、3.4.6、3.5.7、3.6.3與4.0.1等版本完成修補。由於OpenSSL是HTTPS及眾多系統的重要基礎元件，使用相關版本的用戶應儘速更新，以降低遭受攻擊風險。

Anthropic公司不僅協助發現CVE-2026-45447，也參與CVE-2026-34181、CVE-2026-34182等兩項漏洞的發現與通報，並獨立通報另外5項漏洞，包括CVE-2026-42768、CVE-2026-42769、CVE-2026-42770、CVE-2026-45445、CVE-2026-45446。除了發現與通報漏洞之外，依據OpenSSL的公告，Anthropic研究人員還參與CVE-2026-42769、CVE-2026-42770等兩項漏洞的修補方案。也就是說，這次OpenSSL修補的18項漏洞，其中8項都有Anthropic公司的投入。

'

Linux核心再傳nftables本機權限提升漏洞CVE-2026-23111，攻擊者可升級為root並突破容器

來源：https://www.ithome.com.tw/news/176537

最近一個多月有許多資安團隊公布Linux核心本機權限提升（LPE）類型的資安漏洞，由於大部分漏洞影響多個常見的Linux發行版而影響廣泛，受到外界高度關注。最近有資安公司揭露一年前找到的弱點，並公布相關細節。

威脅情報公司Exodus Intelligence於2025年初發現資安漏洞CVE-2026-23111，此弱點存在於Linux核心的nftables子系統，漏洞存在於nftables的nft_map_catchall_activate()功能函式，由於條件判斷中多出一個驚嘆號（!），由於驚嘆號會翻轉程式碼處理的邏輯，導致核心在處理交易終止（abort）時錯誤地跳過部分必要程序，相關鏈結（chain）的參考計數持續下降。一旦計數歸零，系統可能釋放仍被其他物件引用的記憶體區域，進而產生記憶體釋放後再存取利用（Use After Free）的現象。Linux開發團隊獲報後於2月5日完成修補，

'

美國CISA改漏洞管理規則，最高風險漏洞3天內須修補

來源：https://www.ithome.com.tw/news/176536

美國網路安全暨基礎設施安全局（CISA）週三（6/10）發布新版《強制營運指令》（BOD）26-04，要求聯邦文職機關改採風險導向漏洞管理制度；未來最高風險漏洞必須在3天內完成修補、停用或移除，較以往動輒數週的修補期限大幅縮短，以因應AI加速漏洞攻擊所帶來的新威脅。

過去美國聯邦漏洞管理主要分成兩套規則：對外公開系統依漏洞嚴重度評分（CVSS）決定修補期限，重大漏洞通常須在30天內修補，高風險漏洞則為60天；已遭實際利用的漏洞（Known Exploited Vulnerabilities，KEV）則由CISA個別設定修補期限，多數介於14至21天之間。新版BOD 26-04則整合兩套規則，改以實際攻擊風險決定優先順序。

新版BOD 26-04改以4項指標判斷漏洞修補優先順序，包括受影響資產是否對外公開、漏洞是否已列入KEV目錄、攻擊是否可自動化執行，以及成功利用後攻擊者可取得部分或完整控制權。CISA依這些條件將漏洞修補期限分為3天、14天、60天及下次系統升級時處理等不同等級。

依照CISA所列出的圖表，若漏洞同時涉及多項高風險條件，例如影響對外公開系統、已遭實際利用並可自動化攻擊，或雖無法自動化攻擊但可讓攻擊者取得完整控制權，都會被歸納為重大風險，必須在3天內完成修補，且不限工作天。

CISA指出，美國正面臨持續且日益複雜的惡意網路攻擊，攻擊者長期利用未修補漏洞入侵政府與關鍵基礎設施系統，而AI的使用可能進一步縮短修補程式發布到漏洞遭利用之間的反應時間。因此，聯邦政府必須立即調整漏洞修補政策，將有限資源集中在最高風險系統，而非把所有漏洞與系統一視同仁。

CISA要求各機關須於60天內完成漏洞管理流程更新，並在180天內全面導入新制度。

'

研究人員揭露Exchange Online資安漏洞Ghost-Sender，攻擊者能偽造任意電子郵件地址

來源：https://www.ithome.com.tw/news/176535

6月9日資安公司InfoGuard針對Exchange Online用戶提出警告，他們發現名為Ghost-Sender的資安漏洞，Exchange Online或採用混合模式部署的Exchage郵件系統，只要搭配第三方的郵件伺服器防護措施或垃圾信過濾機制，而使得Exchange Online與外部的MX紀錄整合，攻擊者就有機會對目標租戶發動欺騙攻擊，以任意的寄件人的名義，發送信件給任何收件者，將其用於網釣活動，例如：寄送假帳單到其他企業組織，或是冒充公司的執行長進行詐欺行為等。值得留意的是，這項問題似乎已出現遭到積極利用的跡象，但目前微軟尚未修補，對此，InfoGuard呼籲Exchange Online用戶，應儘速採取行動確認是否受到影響，並根據該公司提供的指引進行緩解，InfoGuard也架設專屬網站提供檢測工具。

針對Ghost-Sender的性質，InfoGuard指出是普遍存在的系統性錯誤配置，根據該公司的初步調查，約有半數的Exchange Online環境已採取緩解措施，但仍有超過20%可能存在該弱點。

'

ServiceNow安全缺陷遭濫用，攻擊者查詢部分客戶執行個體資料

來源：https://www.ithome.com.tw/news/176534

企業雲端工作流程平臺業者ServiceNow傳出安全事件。Bleeping Computer於6月9日報導，ServiceNow已通知受影響客戶，攻擊者濫用一項安全漏洞，可讓未經身分驗證的使用者在特定情況下，取得超出範圍的ServiceNow執行個體存取權限，並透過組態不良的API端點，查詢部分客戶執行個體的資料表。

根據Reddit使用者轉貼的ServiceNow客戶支援公告內容，ServiceNow已於6月5日對代管客戶執行個體套用安全更新，將相關API端點設定改為僅允許通過身分驗證的使用者存取。該公司表示，已在部分客戶環境觀察到執行個體資料表遭成功查詢的證據。這項問題主要影響使用Australia發行版本的客戶，或是使用Australia之前版本、且曾對執行個體做過特定設定變更的客戶。ServiceNow目前尚未公開完整技術細節，也仍在評估是否發布CVE。

BleepingComputer引述Reddit上ServiceNow管理員討論指出，這項問題疑似與「/api/now/related_list_edit/create」這個REST端點有關，有留言者聲稱該端點原本設定為requires_authentication = false，可能讓未經身分驗證的請求存取執行個體資料。可疑活動指標包含來自IP位址51.159.98.241、針對「/api/now/related_list_edit」路徑的API請求。

由於ServiceNow執行個體通常可能存放IT支援票單、員工紀錄、內部文件、資產清單、安全事件報告與企業系統設定等敏感資訊，受影響組織應檢查相關記錄，盤點可能暴露的資料，並輪替曾出現在支援流程中的憑證、API權杖，以及更新相關機密資訊。

'

西門子6月工控安全公告揭露影響多款產品的OpenSSL重大漏洞

來源：https://www.ithome.com.tw/news/176533

工控系統業者西門子（Siemens）於6月9日發布安全公告，說明OpenSSL重大風險漏洞CVE-2025-15467對多款產品的影響，並已針對部分產品提供修補版本。此漏洞CVSS v3.1風險分數為9.8分，屬重大（Critical）風險等級。

西門子指出，此漏洞發生於OpenSSL解析帶有惡意AEAD參數的CMS AuthEnvelopedData訊息時，可能觸發堆疊緩衝區溢位，導致應用程式崩潰進而造成阻斷服務，或在特定情境下造成遠端程式碼執行。西門子已針對部分產品提供新版，仍未提供修補的產品，則建議用戶避免讓受影響系統處理來自外部、不受信任的CMS／PKCS#7內容，並遵循產品安全強化設定。

西門子同日也更新工業環境應用程式託管平臺RUGGEDCOM APE1808安全公告，指出執行Palo Alto Networks PAN-OS的Ruggedcom APE1808裝置，受到多項PAN-OS漏洞影響，包括CVE-2026-0256、CVE-2026-0257、CVE-2026-0258、CVE-2026-0261、CVE-2026-0262、CVE-2026-0264、CVE-2026-0265、CVE-2026-0300，其中嚴重度最高為CVE-2026-0300，CVSS v3.1將其評估為10.0分（NVD資料庫登記為9.8分），CVSS v4.0則為9.3分。西門子表示相關修補版本仍在準備中，建議客戶在修補尚未提供前，先查閱並套用上游廠商Palo Alto Networks安全公告提供的緩解措施。

'

Fortinet修補沙箱系統指令注入漏洞

來源：https://www.ithome.com.tw/news/176532

Fortinet本週發布安全更新，修補其FortiSanbox雲端及本地部署三個版本的重大指令注入漏洞。在5月，該公司也針對FortiSandbox系列修補遠端程式碼執行（RCE）漏洞。

編號CVE-2026-25089由Fortinet產品安全部門研究人員發現及通報，為FortiSandbox產品的OS指令注入漏洞，CVSS風險值達9.1，源於Web介面的start vnc功能在處理輸入的JSON指令時，未進行適當的特殊字元過濾與中性化（Neutralization）。這讓攻擊者得以傳送變造的HTTP請求，透過輸入欄位傳送惡意OS命令，進而在Fortinet系統上未授權執行。

CVE-2026-25089影響FortiSandbox、FortiSandbox Cloud與FortiSandbox PaaS，FortiSandbox除最新的5.2版外都受影響。FortiSandbox Cloud、FortiSandbox PaaS則只影響5.0版，廠商已針對問題版本釋出安全更新。

'

Ivanti修補安全閘道Sentry重大漏洞，可讓攻擊者以root權限執行程式碼

來源：https://www.ithome.com.tw/news/176531

企業軟體與資安設備業者Ivanti於6月9日發布安全公告，修補Ivanti Sentry兩項重大（Critical）風險等級漏洞，分別為CVE-2026-10520與CVE-2026-10523。Ivanti Sentry前身為MobileIron Sentry，是用於保護企業後端系統與遠端行動裝置之間流量的安全閘道設備。

其中，CVE-2026-10520是作業系統命令注入漏洞，CVSS風險分數為10.0分。Ivanti指出，攻擊者可在未經驗證的情況下遠端利用此漏洞，以root權限執行程式碼。另一項CVE-2026-10523則是驗證繞過漏洞，CVSS風險分數為9.9分，可能讓未通過身分驗證的遠端攻擊者建立任意管理員帳號，進而取得完整管理員權限。

受影響版本包括Ivanti Sentry 10.5.1、10.6.1、10.7.0及更早版本。Ivanti已釋出10.5.2、10.6.2與10.7.1版，建議客戶將設備更新至修補版本。Ivanti表示，在公告揭露時，尚未掌握有客戶遭攻擊者濫用這兩項漏洞的情況，目前也沒有已知公開濫用活動，因此無法提供入侵指標清單。

Bleeping Computer指出，由於Ivanti產品過去多次成為攻擊者鎖定目標，且這次修補的漏洞可導致攻擊者以root權限執行程式碼，或取得完整管理員權限，企業仍應優先盤點Ivanti Sentry部署情況，確認是否執行受影響版本，並儘速完成更新。

'

微軟修補已遭利用的Exchange Server零時差漏洞

來源：https://www.ithome.com.tw/news/176530

5月14日微軟揭露Exchange Server重大漏洞CVE-2026-42897，並指出已遭到利用，6月9日微軟更新公告內容，呼籲用戶儘速安裝Exchange的2026年6月安全更新來防範漏洞。不過，對於已採取緩解措施的用戶，該公司也指出不僅要安裝修補程式，緩解措施應予以保留，理由是該措施提供額外的防禦能力。該公司強調，更新程式不會自動移除相關緩解措施。

CVE-2026-42897為欺騙（Spoofing）類型的弱點，攻擊者可藉此發送特製的電子郵件給用戶，一旦使用者透過Outlook Web Access開啟並執行特定的互動，攻擊者就有機會透過瀏覽執行任意JavaScript指令碼，CVSS風險評為8.1分。

'

ShinyHunters宣稱駭入上百家Oracle PeopleSoft伺服器

來源：https://www.ithome.com.tw/news/176529

媒體報導，勒索軟體駭客組織ShinyHunters近日利用漏洞，駭入Oracle PeopleSoft上百家組織伺服器，包括至少一家英國知名大學。

PeopleSoft是甲骨文旗下提供人力資源(HR)、財務管理、供應鏈與客戶關係管理的軟體套件，其客戶涵括知名企業、學校、金融及製造業。

Bleeping Computer報導，近日多家組織傳出接到勒索信件後，ShinyHunters駭客宣稱是其所為。駭客表示，最初是為了「澄清已廣為散布的不實資訊並發表聲明」而駭入美國聯邦調查局（FBI）的PeopleSoft系統，但並未成功，隨後向其他組織發動攻擊。

ShinyHunters成員表示，其在這波行動中成功存取了100多家組織的300多個PeopleSoft執行個體，大部份是教育機構。駭客表示，他們是結合軟體的舊漏洞及先前未知的零時差漏洞展開攻擊，但非所有系統都成功，可能是各組織的配置差異所致。

ShinyHunters指稱其中一家受害學校是英國諾丁罕大學。媒體報導，駭客已在其資料公開網站上將該校列為受害者名單，宣稱取得了其員工、學生、與校友資料共40GB，而資料來源涵括諾丁罕大學英國及馬來西亞、中國校區資料。取得的資料包含學生聯絡資訊、出生日期、IP位址、學號及員工ID、課程資料、英國健保資料、個人特徵、及財務資訊。媒體報導，ShinyHunters已公布了其中19GB資訊。

諾丁罕大學是英國最大的大學之一，學生數高達數萬。

BBC報導，諾丁罕大學已證實遭到網路攻擊。諾丁罕大學說明學校的校園方案系統遭遇非授權活動，致使課程系統儲存的「大量」學員包括現任學生、校友個資遭到存取。

Oracle的E-Business去年則被另一個駭客組織Clop利用漏洞，入侵多家知名企業及大學，如哈佛、賓州大學等。

英國牛津大學本週稍早也傳出資料外洩。其使用的求職平臺CareerConnect供應商GTI於遭到第三方人士未授權存取系統，致使用戶的姓名、電子郵件地址，以及未以單一簽入（Single Sign-On，SSO）登入系統的學生加密密碼遭駭客存取。在此之前，牛津大學使用的Canvas 5月份也遭ShinyHunters攻擊，導致該校資料被竊。

'

Adobe發布6月例行更新，呼籲用戶優先修補ColdFusion與Campaign Classic

來源：https://www.ithome.com.tw/news/176528

6月9日Adobe發布本月例行更新，為旗下11款應用系統提供修補程式，總共修補123個資安漏洞。值得留意的是，該公司將企業行銷自動化與客戶關係管理（CRM）平臺Campaign Classic、網頁應用程式開發平臺ColdFusion的修補優先順序列為第一級，呼籲用戶必須特別優先處理。

從漏洞的嚴重程度而言，這次Adobe為Campaign Classic修補兩個CVSS風險皆達到10分滿分的重大漏洞CVE-2026-48303、CVE-2026-47938，相當值得留意，這些都是與不正確授權有關的問題，攻擊者有機會用於執行任意程式碼。

針對ColdFusion的部分，一共修補了7項漏洞，其中有6項危險程度評為重大等級，根據CVSS評分，最嚴重的是輸入驗證不充分漏洞CVE-2026-47928，風險值為9.6。

'

CISA警告Chrome與思科SD-WAN零時差漏洞被用於攻擊活動

來源：https://www.ithome.com.tw/news/176527

近日美國網路安全與基礎設施安全局（CISA）將思科與Google揭露的零時差漏洞列入已遭利用的漏洞名單（KEV），要求聯邦機構在兩週內完成修補

'