美國政府要求Anthropic停止對外國用戶提供Claude Fable 5，原因是傳出有人能成功越獄

來源：https://www.ithome.com.tw/news/176653

上週Anthropic正式發表Claude Fable 5與Mythos 5，並在短短3天表示因美國政府禁令被迫宣布停用，研判當局得知能夠對Fable 5進行越獄的方法而祭出禁令，強調政府掌握的應該是狹義且非通用的越獄手段，並認為這是誤會。有科技新聞網站指出，傳出至少有兩組研究團隊已能成功越獄。

根據科技新聞網站SiliconANGLE報導，美國商務部下達出口管制令的原因，很可能源自英國資安研究機構AI Security Institute（AISI）紅隊負責人Xander Davies的推文，他表示AISI針對Fable 5的資安防護機制進行紅隊測試，於6月9日出現實質進展，該機構於獲得存取權限的數個小時內，開發出越獄的方法，經過兩天的測試，他們成功呼叫了惡意代理工具。但是否就是因為此事促成前述禁令，有待進一步釐清。

不過，AISI並非唯一成功越獄Fable 5的研究團隊。華爾街日報指出，美國政府下令禁止所有外國人士使用，疑似源自Amazon總裁Andy Jassy和美國官員的對話內容。知情人士透露，Amazon研究人員曾利用一系列提示，讓Fable 5提供能用來從事網路攻擊的資訊。後續美國白宮開會討論如何回應，也有其他資安研究員驗證Amazon的說法，官員要求Anthropic修補弱點或下架模型。

值得留意的是，由於之前美國國防部要求Anthropic放寬模型在軍事領域使用限制，後續五角大廈將該公司列為供應鏈風險，使得這次的禁令被視為加劇美國政府與Anthropic之間的緊張關係。然而，美國總統科學與技術顧問委員會共同主席David Sacks認為，美國政府其實是希望Anthropic修補發現的越獄問題，但該公司拒絕處理，並強調問題並不嚴重，美國政府是出於無奈才下達出口管制命令。Sacks強調，Fable其實是具備額外防護措施的Mythos，一旦這些保護機制失效，將會把Mythos強大的能力暴露給不該取得的用戶。特別是Anthropic曾宣稱Mythos是網路武器，必須受到監管，因此美國政府才會對於Fable被越獄的情況特別看待。

'

【資安日報】6月16日，上百名資安專家連署反對Claude Fable禁令

來源：https://www.ithome.com.tw/news/176657

上百名資安專家連署反對Anthropic Claude Fable與Mythos禁令

在美國政府下達禁止外國人使用Anthropic Claude Fable/Mythos模型的命令後，超過130名資安專家連署發表公開信，說明AI對資安的重要性，要求政府官員解除禁令。他們認為，Mythos等級的模型能幫助程式開發人員及安全團隊加速找到並修補漏洞，防守方必須利用這樣的工具，比敵人更快找到弱點並進行修補。再者，中國公開的開放權重模型實力只比美國頂尖模型落後幾個月，一旦美國政府奪走最優秀的AI能力，情況會變得非常危險。

中國駭客組織UNC6508鎖定美國醫療與國防研究機構竊取機密

Google威脅情報團隊（GTIG）揭露由新興中國駭客組織UNC6508發起的大規模網路間諜行動，鎖定北美學術、醫療與軍事研究社群的機構，在長達逾一年的潛伏期間，攻擊者入侵對外開放的網路應用程式、部署客製化惡意軟體、滲透進敏感內部系統，並濫用企業管理工具進行隱密的資料外洩。GTIG指出，攻擊者的情報蒐集目標範圍極廣，包括涉及國家安全的敏感國防情報、印太司令部作戰行動、人工智慧、無人載具系統、網路作戰計畫及醫學研究。

Google控告濫用Gemini的中國詐騙集團Outsider Enterprise

6月12日Google向紐約南區聯邦地方法院提告，指控中國網路犯罪集團Outsider Enterprise透過AI工具與釣魚工具包建立大規模詐騙基礎設施，並以詐騙簡訊竊取受害者帳號、密碼與信用卡資料。根據TechCrunch取得的訴狀內容，Outsider Enterprise開發並維護名為Outsider的釣魚工具套件，Google將其稱為「傻瓜版釣魚工具」（phishing-for-dummies），內建290種網站範本，供用戶快速建立冒充電信業者、金融機構、政府機關及零售商的假網站。

思科修補SD-WAN系統已遭利用的漏洞

6月15日思科發布資安公告，指出旗下的Catalyst SD-WAN Manager存在任意檔案寫入漏洞CVE-2026-20262，此漏洞存在於該系統的網頁使用者介面，通過身分驗證的攻擊者可遠端在檔案系統建立新的檔案，甚至能覆寫已經存在的任何檔案，CVSS風險評為6.5分，影響內部建置、雲端，以及政府機關專用版本。值得留意的是，思科已掌握漏洞遭到少量利用，再加上沒有其他緩解措施，呼籲用戶儘速套用新版軟體因應。

CISA將思科SD-WAN系統任意檔案寫入漏洞加入KEV

思科於6月15日揭露Catalyst SD-WAN Manager任意檔案寫入漏洞CVE-2026-20262，同一天美國網路安全與基礎設施安全局（CISA）表示，他們已掌握漏洞遭到積極利用的證據，將其加入已遭利用的漏洞列表（KEV），要求聯邦機構必須在6月29日前完成修補。同日CISA將另一個高風險漏洞CVE-2026-54420加入KEV，此為LiteSpeed提供的cPanel外掛程式弱點，問題與符號連結有關，CVSS風險為8.5分。

Palo Alto Networks警告VPN高風險漏洞遭積極利用

6月9日資安公司Palo Alto Networks提出警告，5月中旬公布的防火牆作業系統PAN-OS漏洞CVE-2026-0257在先前出現少量利用嘗試後，如今已遭攻擊者積極利用。該公司威脅情報團隊Unit 42觀測到身分尚未確認的駭客團體濫用該漏洞，以存取VPN系統GlobalProtect。目前僅有少數受害裝置建立了VPN連線，導致閘道連線（gateway-connected）事件，但並未出現其他後續存取行為，或是橫向移動的現象。

LiteSpeed修補cPanel外掛程式已遭利用的權限提升重大漏洞，若未更新可能導致攻擊者取得底層共享主機Root權限

美國網路安全與基礎設施安全局（CISA）於6月15日公告，將網站伺服器平臺LiteSpeed的cPanel外掛程式漏洞CVE-2026-54420，加入已遭利用的漏洞列表（KEV），此漏洞LiteSpeed於6月1日揭露與修補，問題源自LiteSpeed整合在cPanel/WHM管理平臺上的用戶端外掛程式（User-End Plugin），若攻擊者已取得底層共享主機的FTP或Web Shell存取權限，就可能利用此漏洞，獲得底層共享主機的Root權限，CVSS嚴重性評分達8.5分。

CISA將Ivanti Sentry滿分漏洞列為已知遭利用，Ivanti稱攻擊嘗試僅見於蜜罐環境

美國網路安全暨基礎設施安全局（CISA）於6月11日宣布，將影響Ivanti Sentry安全閘道設備的CVE-2026-10520，納入已知遭利用漏洞（KEV）清單。對此，Ivanti更新公告內容，強調若要利用CVE-2026-10520，需要存取管理介面的8443連接埠，若用戶依照Ivanti的建議，管理介面不應暴露於網際網路。然而，為了識別惡意行為是否存在，蜜罐環境經常採用不適當的配置。因此，Ivanti認為CISA所根據的狀況是發生在蜜罐陷阱，而非正式使用環境。

UpdraftPlus WordPress外掛程式修補重大身分驗證繞過漏洞，未更新可能導致攻擊者取得管理員權限

資安業者Wordfence於6月10日揭露，安裝數量超過300萬臺系統的WordPress網站備份外掛程式UpdraftPlus，存在繞過身分驗證漏洞CVE-2026-10795，CVSS嚴重性評分達8.1分，可能導致未經驗證的攻擊者以管理員身分控制網站，UpdraftPlus已於1.26.5版完成修補。漏洞則是源自外掛程式與UpdraftCentral控制臺之間的通訊機制驗證不足，導致攻擊者可以繞過驗證，冒充UpdraftCentral管理員身分執行遠端程序呼叫（RPC）指令，並完全控制網站。

phpBB修補重大身分驗證繞過漏洞，攻擊者可冒充任意論壇用戶

開源論壇軟體phpBB近日發布更新，修補重大身分驗證繞過漏洞，攻擊者可利用這個漏洞登入包括管理者在內的任意帳號，受影響版本涵蓋3.3.16以前的所有3.x版本，以及4.0.0-a2以前的4.x測試版本，其中3.x版已於3.3.17版修補完成，但4.x版尚未修補。通報漏洞的資安公司Aikido指出，該漏洞已存在逾10年，攻擊者僅需發送特製HTTP請求，便能觸發漏洞，進而登入任意帳號，然後利用管理員帳號取得完整的論壇讀取、寫入和刪除權限。

伊朗駭客Handala傳出入侵加州水務公司，洩露GPS基礎設施憑證、客戶個資

威脅情報公司Dataminr於6月11日發現，伊朗駭客組織Handala聲稱成功入侵加州水務公司California Water Service（Cal Water）。由於Cal Water是美國投資人持有的大型水利設施，業務橫跨加州約100個社區、服務約兩百萬名用戶，因此這起事故引起研究人員的注意。根據駭客公布的資料，Cal Water至少有兩個系統遭到入侵，其中一個是帳號資料庫，內含多個服務區的客戶個資；另一個是RTKBase NTRIP網路，用於工程團隊進行精密的GPS作業。

瘋世足除了防範假門票，也要防範假FIFA與贊助商徵才的網釣活動

2026年世界盃足球賽（FIFA World Cup）開打，針對賽事的網路釣魚威脅也隨之升溫。資安業者Fortinet近期也發布最新調查報告，警示全球民眾與企業需嚴加防範網路假冒。攻擊者不僅利用售票服務、賽事直播及球賽博弈等熱門關鍵字作為誘餌，企圖誘騙民眾上鉤，由於世界盃賽事規模龐大，帶動海量人力需求，包括臨時工、承包商、飯店服務人員、後勤物資人員、媒體支援，以及設置在賽事特定崗位的人員，攻擊者也藉此開闢了新的攻擊路徑。

NightSpire勒索軟體濫用合法管理工具發動攻擊，已入侵包括臺灣在內33個國家

勒索軟體NightSpire自2025年初被發現以來，短短幾個月內就入侵包括臺灣在內的33個國家，已有至少64家組織與企業受害，涵蓋醫療、政府、金融、製造與IT服務等行業。資安業者Picus近日分析這款勒索軟體的攻擊手法，指出NightSpire的特色是結合多種合法工具，使惡意行為能融入正常系統活動中，從而達到迴避偵測與竊取資料的目的。NightSpire不僅會加密受害者本機上的檔案，同時還會威脅公開事先竊取的敏感資料，增加受害者支付贖金的壓力。

152個Chrome動態桌布擴充套件暗藏用戶行為追蹤功能，累計安裝量逾10萬次

資安業者Socket近日揭露暗藏追蹤功能的Chrome擴充套件家族，這些套件雖然聲明不會收集用戶資料，實際上卻在後臺收集用戶瀏覽行為，並將這些資訊提供給第三方廣告業者。這些套件表面上聲稱提供動態桌布（Live Wallpaper）擴充功能，並在網站商店頁面表示不會收集用戶資料，但是在廠商的隱私政策連結中，卻承認會記錄IP位址、ISP、點擊次數與引薦來源（referrer data），並將這些資料提供給廣告合作夥伴。其中部分擴充套件還會操縱Google搜尋流量，影響廣告點擊追蹤的統計結果。

網路釣魚即服務平臺SniperDz遭瓦解，主要開發者與管理員在阿爾及利亞落網

威脅情報業者Group-IB於6月11日揭露，他們協助國際刑警組織（INTERPOL）與阿爾及利亞警方，瓦解運作近10年的網路釣魚即服務（PhaaS）平臺SniperDz。這起行動是國際刑警組織主導的Operation Ramz的一部分，該行動於2025年10月至2026年2月28日在中東與北非地區13國展開，總計逮捕201名嫌犯，而使用Guedz名號的SniperDz主要開發者與管理員也在阿爾及利亞落網。SniperDz平臺降低犯罪者發動網路釣魚活動的門檻，Group-IB在9年間也辨識出超過2萬個與其生態系有關的獨立網域。

ENISA歐盟網路演習邁入第八屆，2026聚焦鐵路與海運領域

歐盟網路安全局（ENISA）於6月10日至11日展開兩年一度的大型網路安全演習「Cyber Europe 2026」。此次演習為第八屆，核心目標為實測歐洲各國面對大規模跨境網路攻擊的集體應變能力、協作機制，以及關鍵基礎設施的復原韌性，演習重點轉向「鐵路」與「海運」兩大交通運輸領域，原因是交通部門已連續兩年位居網路攻擊目標前五名，而且鐵路與海運子部門均屬於利害關係人眾多的複雜生態系，且數位化程度日益提升。

MITRE ATT&CK第19版刪除防禦規避戰略，拆分為隱匿與防禦削弱

資安界廣泛採用的攻擊手法框架MITRE ATT&CK，如今已更新至第19版（目前最新為19.1版）。本次新版調整有一項重大變化，是將Enterprise ATT&CK中的防禦規避（Defense Evasion）的戰術，進一步拆分成隱匿（Stealth）與防禦削弱（Defense Impairment）。因此，更新的Enterprise ATT&CK，將從原有14個戰術（Tactics）擴展為15個。關於拆分的原因，MITRE指出，主要是隱匿與破壞其實是完全不同的行為。

Arm開源AI資安框架Metis，鎖定傳統SAST工具難以發現的漏洞

晶片架構設計與矽智財授權業者Arm推出開源代理式AI資安框架Metis，可協助開發與資安團隊提升大型程式碼庫安全性，對於靜態應用程式安全測試（SAST）較難偵測的複雜漏洞，能夠更快找到。Metis採用檢索增強生成（RAG）架構，結合大型語言模型（LLM）與專案特定知識，依據原始碼、建置檔與文件等資訊建立知識庫，用於分析整個儲存庫、單一檔案、拉取請求（pull request）或近期程式碼變更。

從ATM到自駕車，ISACA點出為何數位信任企業治理熱門焦點

數位信任（Digital Trust）已不再僅是資安防護的附屬品，而是企業維繫營運與品牌價值的核心資產。在2026臺灣資安大會中，ISACA臺灣分會副會長陳政龍特別強調，數位信任的熱度之所以持續攀升，是因為它直接關乎提供者與消費者在數位生態系統中的互動品質。在AI與數位化浪潮的驅動下，建立數位信任才是真正的競爭力所在，ISACA近年提出「數位信任生態系框架」（Digital Trust Ecosystem Framework，DTEF），即是聚焦數位信任而來。

資安不再是IT部門的事，供應鏈韌性與AI治理成企業存續的核心命題

資安已成企業核心議題，不再只是IT防護。資誠智能風險管理諮詢公司董事長張晉瑞近日指出，歐盟《網路韌性法》要求24小時通報漏洞，臺灣企業需具備SBOM/HBOM能力，否則失去進入市場的條件。另一方面，九成員工早已自行使用AI，企業必須重視新型態AI治理與邊界風險，像是影子AI、間接提示語注入與供應鏈投毒，以及握有高特權的代理式AI所帶來的風險。

近期資安日報

【6月15日】美國政府禁止外國人士使用Claude Fable

【6月12日】Oracle PeopleSoft零時差漏洞被用於大規模攻擊

【6月11日】Exchange Online傳出可被用於欺騙的資安漏洞

'

UpdraftPlus WordPress外掛程式漏洞攻擊活動升溫，Wordfence單日攔截逾7萬次攻擊嘗試

來源：https://www.ithome.com.tw/news/176660

資安業者Wordfence近日警告，6月10日揭露的WordPress網站備份外掛程式UpdraftPlus漏洞CVE-2026-10795，已出現明顯的攻擊活動升溫跡象。根據Wordfence漏洞資料庫統計，該公司旗下防護服務曾在單日內攔截超過7.4萬次針對此漏洞的攻擊嘗試，顯示攻擊者已開始大規模掃描與利用尚未修補的網站。

前述漏洞的CVSS嚴重性評分達8.1分，可能導致未經驗證的攻擊者繞過身分驗證，以管理員權限執行遠端指令。由於UpdraftPlus外掛程式的安裝系統數量超過300萬臺，因此成為攻擊者積極鎖定的目標，UpdraftPlus用戶應儘速升級至已修補版本，免費版用戶應升級至1.26.5版，Premium付費版用戶則升級至2.6.5版。

在UpdraftPlus發布修補版本之前，Wordfence便於6月3日為旗下防火牆服務更新規則，作為因應UpdraftPlus漏洞的緩解措施，並表示自7月3日起，使用該公司免費版防火牆的用戶，也能獲得相同防護。

'

MagicAd廣告木馬藏身小米、三星官方商店App

來源：https://www.ithome.com.tw/news/176659

資安業者Doctor Web近日揭露Android廣告木馬Android.MagicAd.1，發現其藏身於超過50款遊戲及工具程式中，並透過小米GetApps與三星Galaxy Store等官方應用商店散布。

Android.MagicAd.1是Doctor Web此次分析的MagicAd廣告木馬變種，現身於2025年，可在使用者不知情的情況下持續投放廣告。該木馬會先檢查執行環境是否存在虛擬機器或資安研究人員常用的分析環境，確認安全後便隱藏自身圖示，建立背景常駐服務與排程任務，確保即使使用者關閉應用程式，木馬仍可持續運作。

Android近年已限制背景App自行啟動或覆蓋其它程式畫面，但Android.MagicAd.1會改用系統程式作為跳板。它會依裝置品牌利用小米、Vivo與Amazon設備上的預載程式喚醒自身，若這些手法無法使用，還會改以系統媒體播放器觸發廣告顯示，因此即使未取得覆蓋視窗權限，也能在背景強制投放廣告。

Doctor Web說明，Android.MagicAd.1主要透過小米GetApps散布，也曾出現在三星Galaxy Store中。駭客通常將木馬偽裝成遊戲或工具程式上架，並在數周內主動下架，再以新的應用程式取代，猜測此一短期上架策略可能是為了降低遭安全產品或商店審核機制發現的機率。

目前那些確認含有Android.MagicAd.1的應用程式皆已從商店移除，相關開發者也未再上架新的感染版本。不過，商店下架並不會清除已安裝在使用者裝置上的木馬，這些程式仍可持續在背景執行惡意活動。

Doctor Web則透過GitHub公布相關入侵指標（IoC），列出已知樣本的SHA-1、套件名稱與App名稱，供使用者與資安人員比對。受影響App涵蓋遊戲、清理工具、PDF閱讀器、天氣、桌布與健康監測程式等類型；若使用者曾安裝相關App，應盡快移除並掃描裝置。

'

2026年CVE數量恐破6.6萬個，FIRST國際資安應變組織提四項應對建議

來源：https://www.ithome.com.tw/news/176652

每年CVE數量創新高已非新鮮事，但增幅更是各界觀察的重點。FIRST國際資安應變組織於6月15日舉行第38屆年會，同時發布「2026年年中漏洞預測報告」，當中指出今年登記在案的CVE漏洞數量將呈現史無前例的激增。根據FIRST最新公布資料顯示，2026年1至4月的實際披露量已較原先預估多出約6,420個漏洞，比例高出46.3%，這使得全年總量從2月份預估的59,427個，現在上修至約66,000個。

報告分析指出，這波CVE數量暴增並非軟體安全性下降，而是反映漏洞挖掘技術與回報機制的結構性轉變。推動數量增長的三大因素包含：AI輔助漏洞挖掘重塑漏洞揭露生態、GitHub資安通報量較去年同期暴增449%，以及VulnCheck等「最後手段CNA」（CNA-of-Last-Resort）機構的漏洞編號核發數量呈現爆發式成長，年增率高達3,119%，吸收大量未分配CVE編號的漏洞。

面對2026年的漏洞挑戰，FIRST提醒，雖然CVE總量顯著上升，但實際被利用或有高度威脅的漏洞比例並未跟著總量一起增長，這代表資安團隊的應對邏輯並未改變。對此，FIRST提出四項建議：（一）應從軟體資產類型快速增加的角度，重新審視預算配置；（二）立即採用EPSS與CISA KEV等工具進行漏洞可利用性篩選，以從大量雜訊中辨識關鍵威脅；（三）針對可能倍增的修補工作量預先作準備與規畫；（四）應積極導入防禦性AI工具，以縮短平均修復時間（MTTR）。

'

Awesome Motive旗下外掛遭供應鏈攻擊，120萬個WordPress網站受影響

來源：https://www.ithome.com.tw/news/176656

資安業者Sansec上周六（6/13）揭露，Awesome Motive旗下OptinMonster、TrustPulse及PushEngage的JavaScript檔案遭駭客植入惡意程式，導致使用相關外掛的WordPress網站面臨後門植入風險，影響規模超過120萬個網站。Awesome Motive則說，駭客是利用第三方WordPress備份外掛UpdraftPlus的已知漏洞，取得其行銷網站伺服器存取權。

Sansec是在監測網站供應鏈攻擊時，發現OptinMonster與TrustPulse所載入的合法JavaScript檔案遭人植入惡意程式，進一步追查後確認PushEngage也受到影響，而這些程式碼皆由Awesome Motive的CDN（Content Delivery Network）端點提供。

Awesome Motive是一家WordPress外掛開發商，旗下產品涵蓋行銷、表單、分析、SEO及推播等網站經營工具。這次受影響的OptinMonster主要用於彈出視窗與名單蒐集，TrustPulse用來顯示購買或訂閱通知以提高轉換率，PushEngage則提供網站推播通知服務。其中，光是OptinMonster便擁有超過100萬個啟用網站，而這3款產品合計涉及逾120萬個WordPress網站。

駭客所植入的惡意JavaScript會先確認目前是否處於WordPress管理環境，蒐集可代表管理員操作的安全權杖，接著建立隱藏管理員帳號、安裝會自我隱藏的後門外掛，並把新帳號與網站資訊傳送到攻擊者控制的伺服器。

關於此一事件，OptinMonster與TrustPulse團隊解釋，駭客是利用第三方WordPress備份外掛UpdraftPlus的已知漏洞，入侵其行銷網站伺服器，並在該伺服器上找到CDN API金鑰，再利用這把金鑰竄改CDN提供給客戶網站載入的JavaScript檔案。由於網站會直接從CDN取得這些程式碼，因此受影響網站可能在不知情的情況下自動載入遭植入惡意程式的版本。

不過，該伺服器與執行OptinMonster、TrustPulse服務及儲存客戶資料的系統分屬不同基礎架構，因此目前沒有證據顯示客戶帳號資料或個人資訊遭到存取。

Sansec與OptinMonster／TrustPulse的公告並未提及此一UpdraftPlus漏洞的編號。不過，專門提供WordPress網站防護與漏洞研究的資安業者Wordfence日前揭露編號為CVE-2026-10795的UpdraftPlus重大漏洞，該漏洞允許未經驗證的駭客以管理員身分執行操作，進而上傳並啟用惡意外掛或控制網站。UpdraftPlus已釋出1.26.5版修補了該漏洞，呼籲用戶應儘速更新。

'

Salesforce買下AI客服平臺Fin

來源：https://www.ithome.com.tw/news/176655

Salesforce周一（6/15）宣布，將以約36億美元收購AI客服平臺Fin，以強化旗下Agentforce代理人產品布局。

Fin的前身為Intercom，成立於2011年，最早以網站客服聊天視窗與企業客戶溝通平臺聞名，在今年5月更名為Fin。其原有客服品牌保留Intercom名稱，全新品牌Fin則主打AI客服代理人，可透過網站聊天、電子郵件、WhatsApp、簡訊、電話及Slack等管道自動回應客戶問題，並採用自行開發、專為客服場景設計的Apex模型。

至於Agentforce則是Salesforce於2024年推出的企業AI代理人平臺，可讓企業建立能自主執行客服、銷售、行銷及內部作業等任務的AI代理人。

根據Fin官網上的介紹，目前已有超過3萬家企業使用其產品，每周處理超過200萬筆對話，在全球6個據點擁有1,400名員工。

Salesforce表示，Fin擁有成熟的AI客服代理人技術與龐大客戶基礎，可補強Agentforce在客服領域的能力。雙方整合後，將提供企業更多部署AI代理人的選擇，協助企業提高客戶問題自動解決率、降低客服成本，並加速AI導入。

CNBC指出，Salesforce與許多SaaS業者一樣，正面臨AI工具可能顛覆既有商業模式的壓力，該公司今年以來股價已下跌逾三分之一。CIO則引述分析師看法報導，Salesforce去年迄今已收購十多家AI公司，雖有助於補強AI代理人布局，但也可能讓產品線與整合路線更加複雜。

'

UpdraftPlus WordPress外掛程式修補繞過身分驗證漏洞，未更新可能導致攻擊者取得管理員權限

來源：https://www.ithome.com.tw/news/176654

資安業者Wordfence於6月10日揭露，安裝數量超過300萬臺系統的WordPress網站備份外掛程式UpdraftPlus，存在繞過身分驗證漏洞CVE-2026-10795，CVSS嚴重性評分達8.1分，可能導致未經驗證的攻擊者以管理員身分控制網站，UpdraftPlus已於免費版的1.26.5版，與Premium付費版的2.26.5版完成修補，用戶應儘速更新。

UpdraftPlus是WordPress網站常用的備份與還原外掛程式，可搭配UpdraftCentral集中式管理控制臺，同時管理多個網站的備份工作。而前述漏洞則是源自UpdraftPlus外掛程式，與UpdraftCentral控制臺之間的通訊機制驗證不足，導致攻擊者可以繞過驗證，冒充UpdraftCentral管理員身分執行遠端程序呼叫（RPC）指令，例如上傳和啟動惡意外掛程式，最終導致從遠端執行PHP程式碼，並完全控制網站。

若用戶網站的UpdraftPlus外掛程式為1.26.4版以前的免費版，或2.26.5版以前的Premium付費版 ，並連接到UpdraftCentral控制臺，就有可能受此漏洞影響，應儘速升級至已修補版本。

'