推動太空系統網路安全，MITRE透露鋼鐵城與Project 60計畫

來源：https://www.ithome.com.tw/news/176776

太空系統的網路安全防護日益受到關注，近日美國非營利研究機構MITRE在一篇人物專文中，介紹首席應用資安工程師Robert Sumner投入太空系統資安的工作，值得關注的是，當中透露由他領導的兩項計畫，目的是強化太空系統的網路安全防禦體系。

根據MITRE的說明，其中一項稱為鋼鐵城計畫（Project STEEL TOWN），發展重點在於，建立專門針對太空系統​各個層面的網路威脅列舉（Cyber Threat Enumeration），並成為可重複使用的框架。

這項計畫的目標主要在於，解決美國戰爭部（DoW）與情報體系之間長期存在的技術空白。其核心在於運用一套針對太空系統「全生命週期」的創新方法論，以顯著提升網路威脅情資的精準度，彌補過去資安評估往往僅針對特定組件或單一時點的不足。而且，這項計畫並非從零開始，而是基於MITRE ATT&CK框架以及D3FEND網路防禦矩陣的生態系而發展。Robert Sumner強調，他的職責所在，就是以創新的方式重新利用現有資源，並將這些防禦概念轉化為現實。

另一項MITRE推動的太空資安關鍵計畫​「Project 60」專注於提供「威脅情資驅動（Threat-informed）」的太空系統工程與架構支援。這兩項計畫的進展，反映美國在太空系統網路安全發展面臨的轉型。

值得注意的是，歐盟網路安全機構（ENISA）日前發布NIS360報告，也提及太空領域處於高度關鍵、網路安全成熟度中等偏低的現況。這些消息均突顯太空系統網路安全的重要性與迫切性。成熟度落差亦預示著巨大的太空網路安全商機。

'

新攻擊手法AutoJack可讓惡意網頁透過AI代理觸發本機程式執行

來源：https://www.ithome.com.tw/news/176772

微軟研究團隊揭露一種名為AutoJack的新攻擊手法，指出AutoGen Studio開發版本曾存在一組可被串連利用的弱點。攻擊者只要讓具備網頁瀏覽能力的AI代理程式開啟惡意網頁，就可能藉由本機上的MCP WebSocket介面，讓主機執行攻擊者指定的程式。目前相關問題已在AutoGen主分支修補，且受影響介面未進入Python套件庫正式發行版。

AutoGen Studio是AutoGen多代理系統框架上的開發介面，主要供開發者快速組合代理程式、連接工具與測試原型。由於過去許多開發工具會把本機連線視為較可信的環境，但AI代理程式若同時能瀏覽外部網頁，又能接觸本機服務，惡意網頁就可能透過代理程式把攻擊帶進本機。

研究團隊指出，AutoJack攻擊鏈結合了三個設計缺陷。首先，AutoGen Studio當時只以localhost或127.0.0.1作為WebSocket Origin允許清單，這能阻擋一般瀏覽器從惡意網站直接連入，但若惡意內容由本機上的AI代理程式載入，就可能繞過這道檢查。其次，部分MCP相關路徑沒有套用原本的登入驗證。第三，連線介面可從網址參數接收設定值，並把這些設定交給系統啟動外部程式，因而形成遠端程式碼執行的條件。

在研究團隊展示的範例中，開發者執行一個可瀏覽網頁並摘要內容的AutoGen代理程式。攻擊者只要誘使該代理程式前往惡意頁面，頁面中的指令碼就能嘗試連向本機AutoGen Studio服務，並夾帶經過編碼的參數，使主機在開發者帳號權限下開啟Windows小算盤程式。研究團隊以此作為受控驗證，說明同樣方法也可能被改成執行其他命令。

AutoGen後續設計已調整，不再讓MCP WebSocket處理程式直接從網址讀取啟動參數，而是改由伺服器端先保存參數，再用連線識別碼對應，同時，AutoGen維護團隊也調整驗證規則，讓MCP相關路徑回到一般驗證流程。研究團隊表示，透過Python套件庫安裝AutoGen Studio的使用者，不受這條特定攻擊鏈影響。暴露範圍主要限於MCP外掛進入主分支後、相關修補完成前，自行從GitHub主分支建置AutoGen Studio的開發者。

'

駭客積極利用WordPress外掛Gravity SMTP漏洞，Wordfence已攔截逾1,700萬次攻擊嘗試

來源：https://www.ithome.com.tw/news/176775

資安業者Wordfence於6月17日發布警示，駭客已開始積極利用WordPress電子郵件外掛Gravity SMTP的高風險漏洞CVE-2026-4020，試圖竊取網站的郵件服務認證資料。該漏洞於3月底揭露並發布修補程式，自6月初起，Wordfence開始觀察到利用此漏洞的攻擊迅速增加，在6月7日至11日期間，他們的防火牆服務每日都攔截到數百萬次攻擊嘗試，最高峰達到單日400萬次，迄今已累積阻擋超過1,700萬次攻擊。

CVE-2026-4020的CVSS嚴重性評分達到7.5，未經授權的攻擊者只需向Gravity SMTP的REST API端點，發送含有特定查詢參數的GET請求，就能觸發漏洞，獲得外掛程式儲存的敏感資訊，包括系統配置，以及與外掛程式整合的第三方郵件服務憑證，如Amazon SES、Google、Mailjet、Resend 與Zoho的API金鑰、OAuth權杖等，進而作為後續攻擊的基礎。所有2.1.4版以前的Gravity SMTP都會受到影響，用戶應儘速升級到已修補的2.1.5版，以降低風險。

'

【資安日報】6月22日，FortiBleed暴露逾7萬臺Fortinet設備憑證

來源：https://www.ithome.com.tw/news/176771

本日新聞焦點

● FortiBleed曝光逾7萬臺Fortinet設備憑證資料

● 殭屍網路AryStinger感染大量D-Link路由器

● F5針對Nginx發布緊急安全更新

FortiBleed曝光逾7萬臺Fortinet設備憑證資料，臺灣受影響數量居全球第三

威脅情報平臺InfoStealers於6月17日，揭露名為FortiBleed的大規模憑證外洩事件，指出全球有超過7萬臺Fortinet FortiGate防火牆與SSL VPN設備的登入憑證，遭駭客竊取並外洩，受害者遍布194個國家，影響逾2萬個網域，且臺灣曝險設備數量位居全球第三。這起事件最早由研究人員Bob Diachenko於6月中旬發現，當時他找到1臺曝露在網際網路的伺服器，其中儲存了大量疑似有效的Fortinet VPN登入憑證，包含使用者名稱、電子郵件地址，以及明文密碼。詳全文

美CISA公布因應FortiBleed的五大措施，要求企業重設帳密並升級至PBKDF2雜湊機制

近期全球爆發FortiBleed大規模系統登入憑證外洩事件，美國網路安全與基礎設施安全局（CISA）緊急發布威脅因應的五項措施，呼籲受影響用戶立即強化防禦。具體因應行動包括：（一）停用所有SSL VPN與管理連線，重設所有Fortinet設備帳號與密碼，並強制實施強密碼政策；（二）確保憑證儲存安全，強制管理員帳戶改用PBKDF2雜湊機制儲存密碼，並依循Fortinet指引移除安全性較弱的舊版雜湊值；（三）全面審查防火牆與VPN日誌，確認是否有橫向移動或未經授權的設定變更；（四）針對遠端存取與管理帳戶強制啟用抗網釣MFA；（五）縮減攻擊面並限制存取權限。詳全文

因應FortiBleed外洩大量Fortinet設備登入憑證，英國NCSC建議企業可先用兩款工具自行檢測是否名列其中

針對FortiBleed大規模系統登入憑證外洩事件，英國國家網路安全中心（NCSC）近日發布緊急安全建議，指出全球針對Fortinet防火牆與VPN設備的攻擊行動正顯著增加，呼籲用戶應盡速採取因應行動，NCSC建議用戶可以先用兩款檢測工具來確認是否受影響，包括威脅情資業者SOCRadar提供的FortiBleed Checker，或是另一威脅情資業者Hudson Rock提供的FortiBleed Checker。詳全文

殭屍網路AryStinger感染約4千臺D-Link路由器

中國資安公司奇安信揭露殭屍網路AryStinger，搭配RTL819X系列晶片的網路設備是遭到綁架的主要裝置，感染惡意軟體後，攻擊者將其組成具備偵察與攻擊能力的分散式殭屍網路，用於入侵受害組織的前期情報蒐集。奇安信一共偵測到4,371臺受害路由器設備，其中有75%是D-Link DIR-850L、13%為DIR-818LW，但也有同廠牌的DIR-816L、DIR-818L、DWR-118、DIR-817LW被感染的情況。詳全文

AI應用程式框架Mastra遭遇北韓駭客供應鏈攻擊，逾140個NPM套件被植入後門

6月17日微軟揭露針對AI應用程式框架Mastra的攻擊行動，北韓駭客組織BlueNoroff（UNC1069、Sapphire Sleet）先奪取其中一名開發成員ehindero的NPM維護帳號，藉此得到整個@mastra範圍的發布權限，並發布惡意套件easy-day-js。接著，駭客再度利用竊得的帳號，於@mastra經營的超過140個NPM套件當中，發布有問題的新版本，其共通點是將easy-day-js@^1.11.21當作相依套件，而且所有受污染版本均標記為latest。詳全文

美國德州政府狩獵與釣魚執照管理系統發生資安事故，外洩300萬人的駕照資訊

美國德州的公園及野生動物部門（TPWD）的系統供應商近日發生資料外洩事故，導致超過300萬人駕照或護照資料遭竊取，這起事件和處理TPWD打獵與釣魚執照銷售的執照管理系統廠商有關，未授權人士可能已取得執照持有者的駕照、護照、電子郵件信箱、電話號碼和住家地址。根據德州檢察長辦公室獲報的資料，受影響人數高達3,087,721人，不過，受影響者並非全為德州居民。詳全文

Splunk近期9.8分重大漏洞被CISA列入KEV，6月21日須完成修補

上週思科旗下Splunk揭露與修補12個漏洞，其中的CVSS評分9.8分重大漏洞CVE-2026-20253，因後續有很高機會遭攻擊者利用而受到關注，6月18日美國網路安全與基礎設施安全局（CISA）因掌握此漏洞已遭積極利用的證據，因此，宣布將其列入已遭利用的漏洞清單（KEV），並下令要求聯邦機構72小時內完成修復與緩解措施，Splunk更新CVE-2026-20253的安全性公告，提及已察覺少量利用漏洞行為。詳全文

F5針對Nginx發布緊急安全更新，揭露與修補兩個重大漏洞

F5發布Nginx非例行的安全性更新公告，總共揭露6個漏洞，以CVSS 3.1評分而言，區分為4個高風險漏洞與2個中風險漏洞，若以CVSS 4.0評分而言，區分為2個重大漏洞、3個高風險漏洞，以及1個中風險漏洞。從嚴重程度來看，CVE-2026-42530與CVE-2026-42055最高，CVSS 3.1評分均為8.1，CVSS 4.0評分均為9.2，兩個漏洞皆是資料層（data plane）處理的議題，而非控制層（control plane）暴露的狀況。詳全文

思科修補ISE身分識別與存取控制平臺重大漏洞，未更新可能導致攻擊者取得系統Root權限

思科於6月17日發布資安公告，揭露影響身分識別與存取控制服務平臺ISE與ISE-PIC重大漏洞CVE-2026-20181，此弱點的CVSS嚴重性評分達9.1分，問題源自ISE與ISE-PIC對使用者輸入資料驗證不足，具備管理員權限的遠端攻擊者可透過特製HTTP請求觸發此漏洞，進而在底層作業系統上獲得Root權限，並執行任意指令。在單節點系統上，這項漏洞還可能導致ISE/ISE-PIC節點服務中斷。詳全文

Node.js揭露與修補12個漏洞，當中涵蓋兩個高風險漏洞

開放原始碼JavaScript執行環境Node.js這幾天發布安全性更新公告，揭露與修補12個漏洞（CVSS評分尚未公布），其中兩個為高風險漏洞，6個為中風險漏洞，4個為低風險漏洞，Node.js的22.x、24.x、26.x版本均受到影響，目前開發團隊已釋出修補漏洞的更新版本——Node.js 22.23.0、Node.js 24.17.0、Node.js 26.3.1。詳全文

網頁快取與代理伺服器軟體Squid被找出存在近30年的漏洞，HTTP存取的密碼與金鑰可能全都被看光光！

因揭露攻擊手法HTTP/2 Bomb而聲名大噪的資安研究公司Calif，本週公開代號為Squidbleed的資安漏洞CVE-2026-47729，顧名思義，這個漏洞存在於知名的開源網頁代理伺服器（Proxy）與網路快取軟體Squid，而且是類似Heartbleed的記憶體洩漏弱點，原因主要是過去到近期版本Squid的預設配置存在缺陷，可能導致內部記憶體的內容洩漏，影響範圍相當廣泛。詳全文

微軟著手修補Microsoft Defender零時差漏洞RoguePlanet

研究人員Chaotic Eclipse（Nightmare-Eclipse）於微軟發布6月例行更新不久，公布Microsoft Defender零時差漏洞RoguePlanet，一週後微軟發布公告，承認這項弱點的存在。6月16日微軟公布新的漏洞CVE-2026-50656，此為Microsoft Defender權限提升漏洞，屬於檔案存取之前的連結解析不當造成的弱點（CWE-59），CVSS風險評為7.8分，該公司指出，此漏洞就是已被公開的RoguePlanet。詳全文

Mozilla發布Firefox 152版更新，修補40項資安漏洞

Mozilla近日發布Firefox瀏覽器的資安公告，揭露40項漏洞，並提供已修補完成的152版。前述漏洞中，包含13項高風險漏洞，16項中度風險漏洞，以及11項低風險漏洞。而從漏洞類型來看，記憶體安全相關問題仍占最大宗，在全部40項漏洞中，有18項漏洞屬於這類型，如記憶體已釋放卻仍被使用（UAF），或是記憶體安全錯誤（Memory safety bug）等，另有6項漏洞屬於沙箱逃逸問題（Sandbox escape）。詳全文

Google發布ChromeOS長期支援版更新，修補17項記憶體相關重大漏洞

ChromeOS作業系統長期支援版LTS-144的更新版144.0.7559.255於6月13日上線，並修補40項漏洞，當中分別有17項漏洞被評為有重大風險，22項有高風險，1項有中度風險。前述漏洞中，CVE-2026-11638與CVE-2026-10886的CVSS嚴重性評分最高，都達到9.6分，前者存在於列印系統元件Printing，後者存在於檔案系統存取架構FileSystem，兩者都屬於記憶體已釋放卻仍被使用（UAF）問題。詳全文

思科、Cloudflare等逾24個組織參與Athena聯盟，合作修補開源漏洞

軟體供應鏈安全業者Chainguard宣布成立產業聯盟Athena，協助成員在開源軟體漏洞公開前，先取得可用的緩解措施，降低攻擊風險。目前已有超過24個組織加入，包括紐約梅隆銀行（BNY）、思科、Cloudflare、Docker、摩根大通、Kyndryl與PwC等。該聯盟已處理逾2萬筆漏洞發現資料，並針對500個開放原始碼專案產生逾2,000項修補程式或版本，第一波協調揭露預計2026年7月開始進行。詳全文

AWS推出Context知識圖譜與Continuum資安代理人服務，強化企業AI代理人部署

AWS在AWS Summit New York 2026宣布推出AI代理人相關服務，其中包括AI原生資安產品線AWS Continuum。AWS表示，隨著Claude Mythos等資安專用AI模型提升漏洞發掘與攻擊分析能力，企業面臨的漏洞數量正快速增加，傳統依賴蒐集遙測資料、查詢資料及監看儀表板的安全作業模式已難以跟上威脅演進速度。因此AWS推出Continuum，協助企業以接近機器速度處理安全問題。詳全文

Linux 7.1正式發布，擴大沙箱機制是安全性一大突破

6月14日Linux核心7.1版正式發布，最顯著的進展是移除Intel M486與M486SX支援，並刪除大量舊式相容性程式碼，這表示Linux將終止支援37年前推出的Intel 486處理器，並且導入完全重寫的核心內建NTFS驅動程式。新版Linux核心也對於安全框架做了不少更新，特別是擴大沙箱機制Landlock對Unix Domain Socket的控制能力，讓應用程式更容易被限制在特定權限範圍內。詳全文

愛沙尼亞擬替AI代理建立官方數位身分

以數位治國聞名的愛沙尼亞，正在研擬替AI代理建立官方的數位身分機制。愛沙尼亞政府於6月17日公告指出，該國Eesti.ai諮詢委員會同意推動AI代理數位身分，他們將其命名為AI身分碼（AI ID codes），讓AI代理未來能在明確權限範圍內，代表個人、企業或機構行動，且相關行為可被控管與稽核。該國在國家AI發展計畫架構下，將AI代理的身分管理、授權邊界與責任歸屬，納入數位身分制度設計的一環。詳全文

歐盟對烏克蘭提供緊急網路安全支援

歐盟推進烏克蘭入盟談判程序之際，也同步強化對烏克蘭的網路安全支援。歐盟執委會於6月15日宣布，歐盟理事會已同意將烏克蘭納入歐盟網路安全儲備機制（EU Cybersecurity Reserve），若烏克蘭遭遇重大或大規模資安事件時，可取得歐盟受信任民間資安服務供應商提供的協助。這項合作並非單向支援，烏克蘭也已向歐洲夥伴分享俄羅斯相關的駭侵手法情資，並參與聯合網路犯罪調查與歸因工作。詳全文

跨國執法行動中斷SocGholish感染鏈，清理近1.5萬個WordPress網站

荷蘭警方於6月18日宣布，跨國執法行動Operation Endgame針對惡意軟體SocGholish展開聯合行動，關閉或接管106個與其犯罪基礎設施有關的伺服器與網域，清理14,971個遭感染WordPress網站，中斷網路罪犯散布惡意軟體的感染鏈。執法單位除了移除受感染WordPress網站上的惡意軟體與後門，也透過Have I Been Pwned、Shadowserver基金會等多個管道，通知受害網站管理者更新網站並更換登入憑證。詳全文

'

國際刑警組織示警亞洲與南太平洋網路犯罪升溫，AI與憑證竊取擴大攻擊鏈

來源：https://www.ithome.com.tw/news/176770

國際刑警組織（Interpol）發布2025/2026年亞洲與南太平洋網路威脅評估報告，指出該地區網路犯罪活動規模持續擴大，線上詐騙、資訊竊取惡意程式、勒索軟體與AI濫用，正使攻擊鏈更趨複雜。

這份報告涵蓋2024年1月至2025年3月，彙整18個會員國調查回覆、私部門威脅資料與近期執法行動。超過半數受訪國家表示，網路犯罪已占全國登錄犯罪案件30%以上；另有33%受訪國家通報超過1萬起線上詐騙案件。

從威脅類型來看，報告列出該地區通報量最高的5類網路犯罪，依序為線上詐騙與網釣、銀行木馬與資訊竊取惡意程式、勒索軟體、錯假訊息、資訊操弄與深偽（deepfake）相關犯罪，以及商業電子郵件詐騙（BEC）。

報告也指出，2024年亞洲與南太平洋地區記錄超過13.5萬起勒索軟體相關攻擊，影響房地產、製造與金融服務等產業；而在分散式阻斷服務（DDoS）攻擊方面，數量則較前一年增加92%。資料外洩事件多與系統遭入侵有關，約占整體案例80%，其中又以惡意程式與勒索軟體最常見，分別占整體案例的83%與51%。

在AI相關風險方面，國際刑警組織指出，犯罪組織已將AI用於產生更具說服力的網釣內容、偽造身分與深偽影像。2024年2月至6月間，東南亞威脅社群中與深偽相關的討論增加600%，並已出現冒充企業高層、假投資與愛情誘騙等詐騙案例。

'

美CISA公布因應FortiBleed的五大措施，要求企業重設帳密並升級至PBKDF2雜湊機制

來源：https://www.ithome.com.tw/news/176765

近期全球爆發FortiBleed大規模系統登入憑證外洩事件，波及約7.4萬臺Fortinet設備。針對此一威脅，美國網路安全暨基礎設施安全局（CISA）緊急發布威脅因應的五項措施，呼籲受影響用戶立即強化防禦。

具體因應行動包括：（一）停用所有SSL VPN與管理連線，重設所有Fortinet設備帳號與密碼，並強制實施強密碼（strong password）的政策；（二）確保憑證儲存安全，強制管理員帳戶改用PBKDF2雜湊機制儲存密碼，並依循Fortinet指引移除安全性較弱的舊版雜湊值；（三）全面審查防火牆與VPN日誌，確認是否有橫向移動或未經授權的設定變更；（四）針對遠端存取與管理帳戶強制啟用抗網釣MFA；（五）縮減攻擊面並限制存取權限，確保管理介面不暴露於網際網路，僅允許受信任的內部網路存取，並停用不必要的帳號。

值得一提的是，上述提及的PBKDF2雜湊機制，其重要性在之前已經被強調。例如，早在2024年底美國電信業遭中國駭客入侵後，美國、加拿大、澳洲、紐西蘭網路安全機構聯合發布的《增強電信通訊基礎設施可觀測性與防護指南》，當時國內資安專家解析該指引時指出，其中建議應採用思科的Type-8密碼，就是以PBKDF2作為基礎演算法，以提升暴力破解的難度，確保裝置配置檔中的管理員登入憑證安全。

'

思科買下身分安全新創WideField Security

來源：https://www.ithome.com.tw/news/176766

思科上週四（6/18）宣布將收購身分安全新創WideField Security，以強化旗下Splunk代理型資安營運中心（Agentic SOC）能力。這是思科繼AI可觀測性應用平臺Galileo與非人類身分安全公司Astrix Security之後，今年第三起資安相關收購案。

WideField Security成立於2023年，主打身分生命週期安全（Identity Lifecycle Security），保護範圍涵蓋人類身分、機器身分與AI代理人身分。該公司的重點不是傳統登入驗證，而是登入後的工作階段（Session）、Token、權限使用與異常行為偵測，補足企業在使用者或AI代理人完成驗證後，持續監控其行為脈絡與權限風險的安全缺口。

至於Splunk則是思科在2024年以280億美元收購的資料分析與資安軟體公司，現為思科資安業務的核心平臺之一，負責發展AI驅動的資安營運中心（SOC）與代理型資安（Agentic Security）相關服務。

思科資深副總裁暨Splunk總經理Kamal Hathi表示，隨著AI代理人、自主工作負載及各類非人類身分快速增加，企業面臨的新型態風險已不再只是未經授權的存取，而是已獲授權的使用者或AI代理人在錯誤情境下執行不安全操作。傳統安全工具雖能確認「誰登入系統」，卻難以判斷後續行為是否合理，因此需要更完整的身分、工作階段與權限脈絡分析能力。

而WideField可將來自身分系統、網路、端點及雲端環境的資料進行關聯分析，讓Splunk Agentic SOC建立工作階段層級的身分情報，協助資安團隊判斷某項行為是否屬於合法操作，或可能涉及帳號遭盜用、權限濫用及AI代理人失控等風險。

雙方未公布交易金額。WideField在去年10月完成1,130萬美元的A輪融資，今年3月Cisco Investments也曾參與其A輪延伸投資。

'