日本電信業者KDDI遭駭客入侵，6家ISP逾1,422萬筆電子郵件帳號密碼可能外洩

來源：https://www.ithome.com.tw/news/176871

日本電信業者KDDI於6月23日發布資安公告，表示該公司提供給網際網路服務商（ISP）的電子郵件系統遭到入侵，波及6家ISP業者，可能有多達1,422萬筆用戶電子郵件帳號與密碼外洩。

受此事件影響的ISP業者包括：BIGLOBE、Nifty、JCOM、STNet、中部電信（Chubu Telecommunications）與KDDI Web Communications，外洩資料可能包含電子郵件地址與密碼，甚至涵蓋已停用或長期未使用的用戶帳號。由於這些ISP共用KDDI提供的郵件系統平臺，因此單一事件便同時波及多家業者。

KDDI表示，該公司於6月17日發現遭到未授權存取，調查後確認攻擊者利用郵件系統所使用的第三方軟體漏洞入侵系統，該公司當日便已修補系統並採取防護措施，隨即聯繫相關ISP業者，並向日本主管機關通報事件。KDDI與受影響ISP已開始通知受影響的用戶，並呼籲用戶立即變更郵件密碼，以降低風險。

'

思科SD-WAN零時差漏洞CVE-2026-20245遭到利用，最早可追溯到今年3月

來源：https://www.ithome.com.tw/news/176870

6月初思科公布今年第7個SD-WAN零時差漏洞CVE-2026-20245，此弱點存在於Catalyst SD-WAN Manager（原SD-WAN vManage）的命令列（CLI），該公司特別提及利用該漏洞必須搭配其他條件，事先取得netadmin權限，其中一種方法是利用另外兩個資安漏洞CVE-2026-20182或CVE-2026-20127，但為何會特別提及這些弱點？很有可能與實際攻擊活動有關。

通報此事的Mandiant本週揭露鎖定一家服務供應商SD-WAN基礎設施的攻擊行動，駭客透過未經授權的對等連線（Peering Connection）建立初始存取管道，並透過SSH連線存取受害企業，並利用相關權限操控預設帳號的密碼，以迴避偵測。接著，上傳惡意CSV檔案利用CVE-2026-20245，從遭到入侵的管理員帳號，將權限提升為root層級。值得留意的是，在活動的過程裡，駭客藉由刪除惡意檔案、復原組態設定的變更，以及執行通過驗證的指令碼，將作案的證據清除。

究竟這些駭客如何建立上述初始存取管道？Mandiant指出很可能與利用CVE-2026-20182或CVE-2026-20127的活動有關，該資安團隊於去年底至今年1月，察覺利用這兩種漏洞建立的未經授權對等連線，而這些弱點當時皆尚未公開及修補。不過，Mandiant於今年3月，看到一臺已修補CVE-2026-20127的Catalyst SD-WAN Manager設備出現更多的惡意對等連線，而且駭客也並未利用CVE-2026-20182，因此他們推測，攻擊者疑似透過先前的漏洞利用活動竊得憑證，而在這臺已套用修補程式的SD-WAN系統持續活動。

'

印度大型車輛製造商Bajaj Auto遭勒索軟體攻擊

來源：https://www.ithome.com.tw/news/176869

6月23日印度孟買證券交易所（BSE）與印度國家證券交易所（NSE）接獲Bajaj Auto公司的通報，表明該公司與技術研發子公司Bajaj Auto Technology Limited（BATL）的系統遭勒索軟體攻擊。

Bajaj Auto是印度大型車輛製造商之一，產品涵蓋機車、商用車，以及印度常見的機動三輪載客車輛（auto-rickshaw）。

Bajaj Auto指出，攻擊事件發生於印度標準時間6月23日上午，技術團隊、資安專家與管理階層已啟動必要的預警措施與應變程序，以降低影響。Bajaj Auto已依規定通報印度電腦緊急應變小組（CERT-In），但並未對外揭露攻擊者身分、是否有資料遭竊，或是否收到勒索要求。

本週印度半導體暨電子製造商Tata Electronics也證實發生資安事件，勒索軟體組織聲稱取得該公司資料，其中涉及疑似蘋果、特斯拉的零件設計與規格文件。

'

OpenAI聯手博通發表首款自研推論晶片Jalapeño

來源：https://www.ithome.com.tw/news/176868

OpenAI與博通（Broadcom）周三（6/24）共同發表首款自研AI推論晶片Jalapeño，加入Google、AWS及微軟等科技業者自研AI晶片布局。OpenAI預計於2026年底開始部署Jalapeño。

Jalapeño是OpenAI首款自研AI推論晶片，也是其Intelligence Processor產品線的第一代產品，名稱取自墨西哥辣椒。不同於Nvidia的GPU同時支援AI訓練與推論，Jalapeño專為大型語言模型推論設計。由於AI模型完成訓練後，每次回應使用者都需執行推論，使得業者近年紛紛投入自研推論晶片，以降低對Nvidia的依賴。

OpenAI表示，Jalapeño是依據其模型、核心運算（Kernel）、推論服務系統（Serving System）及產品需求，從零開始設計，並由博通負責晶片實作、高速網路及量產，Celestica負責電路板、機櫃與系統整合。目前工程樣品已可執行GPT-5.3-Codex-Spark等工作負載。

此外，Jalapeño從初步設計到完成晶片定版（tape-out）僅歷時9個月，除了博通協助完成晶片實作外，也利用OpenAI模型協助部分晶片設計與最佳化流程，這可能是高效能ASIC迄今最快的開發周期。初步測試顯示，Jalapeño的每瓦效能優於目前最先進產品，其架構藉由降低資料搬移、平衡運算、記憶體與網路資源，提高硬體使用效率，完整效能測試結果將在數月後公布。

OpenAI指出，Jalapeño是該公司完整技術堆疊（full-stack）策略的一環，除了開發AI模型與產品外，也開始自行設計晶片、記憶體、網路及部署系統等底層基礎設施，希望藉由整合各層技術，提高模型執行效率。

'

Linux網頁式管理工具Webmin修補儲存型XSS漏洞，未更新可能導致攻擊者在管理者瀏覽器執行惡意指令碼

來源：https://www.ithome.com.tw/news/176867

開源伺服器管理工具Webmin近日發布更新，修補儲存型跨網站指令碼（Stored XSS）漏洞CVE-2026-22678。Webmin是廣泛使用的Linux伺服器網頁式管理工具，可透過瀏覽器管理帳號、服務、網路與系統設定，目前在全球大約維持100萬臺伺服器的安裝規模，因此相關漏洞可能影響眾多自行架設的伺服器環境，2.640版之前的Webmin都會受影響，用戶應更新至已修補的2.641版。

前述漏洞源自Webmin系統與伺服器狀態（System and Server Status）模組中，通知電子郵件範本（notification email templates）描述欄位的輸入清理機制缺陷，可能導致低權限的攻擊者在欄位中注入惡意JavaScript指令碼，當高權限的系統管理者檢視此範本時，該指令碼將於其瀏覽器中執行，導致攻擊者藉此竊取工作階段資訊、憑證或其他敏感資料，並冒用管理者帳號執行操作。

'

攻擊者濫用AWS無伺服器運算服務，隱匿HazyBeacon後門程式C2流量

來源：https://www.ithome.com.tw/news/176865

Windows後門程式HazyBeacon（CL-STA-1020）鎖定東南亞政府網路，攻擊者濫用AWS的無伺服器運算服務AWS Lambda，將Lambda Function URL端點作為命令與控制（C2）中繼站，藉此讓惡意流量混入一般雲端服務通訊。

雲端安全業者Qualys分析指出，這類攻擊並非利用AWS服務漏洞，而是建立在竊得的AWS身分識別與存取管理（IAM）憑證，以及過度寬鬆的雲端權限設定之上。攻擊者取得AWS帳號後，會透過合法AWS API部署Lambda函式，並建立設定為AuthType: NONE的Lambda Function URL，使其成為不需身分驗證即可公開存取的HTTPS端點。

HazyBeacon可蒐集受害系統的主機名稱、IP位址、使用者權限與作業系統版本，也能接收加密命令，以便下載後續酬載、執行Shell指令，並上傳遭竊文件與鍵盤側錄資料。由於Lambda Function URL端點使用on.aws網域，資安營運中心（SOC）人員檢視網路遙測資料時，相關流量可能看似一般AWS通訊，增加偵測與歸因難度。

研究人員建議，AWS用戶應停用未使用的IAM存取金鑰、定期輪替金鑰並啟用多因素驗證（MFA），同時在所有區域啟用AWS CloudTrail記錄。企業也可透過服務控制政策（Service Control Policies，SCP）限制建立AuthType: NONE的公開Lambda Function URL，並監控Lambda呼叫量與成本異常，降低雲端基礎設施遭濫用為C2中繼站的風險。

'

Scattered Spider兩成員認罪，曾於2024年入侵倫敦交通局網路

來源：https://www.ithome.com.tw/news/176866

根據英國國家打擊犯罪調查局（National Crime Agency，NCA）於6月22日發布的新聞稿，兩名網路犯罪組織Scattered Spider成員承認，曾於2024年入侵倫敦交通局（Transport for London，TfL）電腦網路。涉案者分別是20歲的Thalha Jubair與18歲的Owen Flowers。

NCA指出，倫敦交通局網路在2024年8月31日至9月3日期間遭入侵，損失與復原成本達2,900萬英鎊，並影響數千名客戶。這起攻擊迫使倫敦交通局2.8萬名員工前往辦公室重設密碼，該局Oyster退費系統資料也遭非法存取，導致客戶退費流程受到影響。

執法人員在調查這起網路攻擊案件時，還發現Owen Flowers入侵並破壞美國醫療機構SSM Health Care Corporation與Sutter Health網路，因為他們找到相關證據。另一方面，Thalha Jubair也在美國面臨起訴，檢方指控他涉及多起企業網路入侵與勒索行動。

Scattered Spider是近年受到美國CISA及多國政府資安與執法單位追蹤、以營利為目的的網路犯罪組織。該組織常以社交工程手法入侵企業，冒充員工、IT人員或服務臺人員，誘使受害者重設密碼、註冊新的多因素驗證裝置，或交出一次性密碼，後續再進行資料竊取或部署勒索軟體。

'

Lantronix工控設備已知重大漏洞被列入KEV

來源：https://www.ithome.com.tw/news/176864

隨著國際局勢日趨緊張，工業控制系統環境的網路基礎設施也成為駭客鎖定的目標，而現在傳出已修補數個月的重大漏洞，出現實際利用的活動。

美國網路安全與基礎設施安全局（CISA）提出警告，重大層級的資安漏洞CVE-2025-67038被遭到積極利用，他們將其加入已遭利用的漏洞名單（KEV），要求聯邦機構在6月26日前完成修補。此漏洞出現在Lantronix旗下的序列埠設備集中管理主機（Serial-to-Ethernet Device Server）EDS5000，為命令注入弱點，CVSS風險評分為9.8，Lantronix於今年2月推出2.2.0.0R1版韌體修補。由於這類設備的主要用途，是把RS232、RS422、RS485等序列埠設備透過乙太網路連接並集中管理，被用於控管醫療儀器、保全監控設備、POS終端機等環境，影響可能相當廣泛。CISA曾在今年3月對這項漏洞發布警告，並指出該設備在全球各地都有用戶，可能會部署在通訊、IT、關鍵製造業等關鍵基礎設施。

'

CISA警告Ubiquiti網路設備管理平臺3項滿分漏洞已被用於實際攻擊行動

來源：https://www.ithome.com.tw/news/176863

6月23日美國網路安全與基礎設施安全局（CISA）提出警告，他們發現有4個漏洞遭到積極利用的證據，將其加入已遭利用的漏洞列表（KEV），其中最受到關注的部分，在於這次新增的漏洞裡，有3個是CVSS風險評分達到滿分10分的危險漏洞。

這些漏洞是CVE-2026-34908、CVE-2026-34909與CVE-2026-34910，存在UniFi管理平臺軟體UniFi OS Server，網通設備廠商Ubiquiti於5月推出5.0.8版修補相關問題。資安公司Bishop Fox警告，這些漏洞威力相當驚人，因為能串連成完整的攻擊鏈，攻擊者只要發出單一請求，就能取得完整root權限的反向Shell。CISA給予聯邦機構3天修補漏洞，期限是6月26日。

'

AWS Lambda新增MicroVMs隔離環境，讓AI生成的程式碼可在獨立沙箱執行

來源：https://www.ithome.com.tw/news/176862

AWS在AWS Lambda服務加入新的隔離運算資源MicroVMs，讓開發者可替使用者或工作階段建立獨立、可保留狀態的執行環境，用來執行使用者或AI產生的程式碼。該服務特別針對執行AI產生程式碼的沙箱、互動式開發環境、資料分析平臺、弱點掃描，以及執行使用者腳本的遊戲伺服器等情境設計。

Lambda MicroVMs採用Firecracker輕量虛擬化技術，可提供虛擬機器層級隔離。AWS表示，每個使用者或工作階段可取得專屬MicroVM，不與其他環境共享核心、記憶體空間與磁碟狀態，因此較適合用來處理來源不一定可信的程式碼。對需要執行AI產生程式碼的服務來說，MicroVM隔離邊界可避免程式碼直接在代理本身的執行環境中運作，降低其接觸其他環境或底層系統的風險。

Lambda MicroVM新資源與既有Lambda Functions功能不同。Lambda Functions主要用於事件驅動與請求回應工作負載，Lambda MicroVMs則能用於需要長時間互動、保留狀態與控制生命週期的多租戶應用。AWS說明，應用程式仍可使用Lambda Functions處理事件驅動骨幹，再於需要隔離執行不受信任程式碼時呼叫Lambda MicroVMs。

開發者需先將應用程式碼與Dockerfile打包成zip構件，並上傳到Amazon S3，再建立MicroVM映像檔。Lambda會執行Dockerfile、初始化應用程式，並建立包含記憶體與磁碟狀態的Firecracker快照。後續啟動MicroVM時，環境可從預先初始化的快照恢復，而非重新冷啟動。執行中的MicroVM可保留記憶體、磁碟與執行中處理程序狀態，閒置時也能依生命週期政策自動暫停，等待流量進入後再恢復。

MicroVM可透過專屬HTTPS端點連線，不需要自行配置負載平衡器或入口基礎設施，並支援HTTP/2、gRPC與WebSockets等流量型態。開發者可透過API或政策控制啟動、暫停、恢復與終止。

Lambda MicroVMs首波在美東維吉尼亞北部、美東俄亥俄、美西奧勒岡、歐洲愛爾蘭與亞太東京地區推出，支援ARM64架構。單一MicroVM最高可配置16 vCPUs、32 GB記憶體與32 GB磁碟，總執行時間最長8小時。

'

沙烏地阿拉伯租車龍頭Budget Saudi資料外洩，當地資安業者針對行動應用程式安全示警

來源：https://www.ithome.com.tw/news/176803

沙烏地阿拉伯租車龍頭Budget Saudi於6月9日在沙烏地證券交易所（Tadawul）揭露行動應用程式遭未經授權存取的資安事故。關於事故原因，Budget Saudi說明該事件源於外部未經授權的非法存取行為。發現後已立即啟動防護措施並阻斷連線。該公司強調未涉及金融或銀行資料，營運與財務均未受影響，並已依法向主管機關通報，採取措施強化資安防禦。

雖然該公司未說明具體技術細節，但中東資安業者iConnect ITBS於6月14日針對Budget Saudi事件示警，指出雖然波斯灣地區（Gulf enterprises）企業內網防禦逐年提升，但行動App安全的防護並未跟上。

iConnect進一步解析這類事件發生的原因：首先，平臺業者提供的行動App擁有一套獨立的驗證機制、連線邏輯與API端點，並能直接串接存放客戶個資、訂單紀錄等敏感資料的後端系統。換言之，這導致原有資安防線無法對行動端的存取行為，進行有效的監控與攔阻。

其次，曝險最先出現在身分驗證階段。雖然平臺具備多因素驗證的登入選項，但未強制執行，導致多數用戶並未啟用，這使得帳密填充攻擊（Credential Stuffing）的可行性大增。因此App開發的思維必須調整，應預設用戶帳密資訊早已在黑市流竄。

第三，API回傳資訊缺乏權限控管與過濾。當用戶查詢訂單時，開發者因趕著上線而忽略防範列舉攻擊（Enumeration）。例如，攻擊者只要登入一個合法帳號，原本應該只能獲得訂單資訊，但如果增減物件識別碼（booking IDs），即可取得該客戶的其他資訊。這也反映相關系統在開發過程中，可能未充分落實最小揭露（least disclosure）原則，因此未將API回應限縮於必要欄位。

另外在偵測方面，雖然多數企業已建置SIEM或SOC系統，但在蒐集各類日誌時，可能缺乏API閘道的相關日誌，導致形成監控盲點，直到事件爆發或被揭露之後才發現問題，錯失在攻擊發生期間進行攔阻的時機。

'

Swift Package Index加入Apple，著重強化套件簽章與身分識別機制

來源：https://www.ithome.com.tw/news/176860

Swift Package Index團隊宣布加入Apple，雙方將在既有套件索引、相容性測試與文件服務基礎上，建立更完整的Swift套件註冊庫。該變化短期不會改變開發者與套件作者的使用方式，但Apple後續將投入資源，強化Swift套件的發現、評估、簽章與身分識別能力。

Swift Package Index已索引超過1萬個Swift套件，是Swift開發者常用的套件搜尋與評估服務，開發者可透過該服務查找Swift套件、檢視平臺與Swift版本相容性，並瀏覽套件文件。官方提到，Swift生態系持續成長後，需要更穩健且完整的套件登錄機制，讓開發者在導入依賴套件前，能更清楚判斷套件是否適合採用。

該服務也會自動測試Swift套件在不同支援平臺與Swift版本下的相容性，協助開發者在加入相依項目前確認套件能否採用。Swift Package Index最初支援macOS、iOS、tvOS、watchOS與Linux測試，後來增加visionOS、WebAssembly與Android，去年處理超過350萬次相容性建置。

目前Swift Package Index依然會照常運作，既有的套件探索、相容性檢查與文件瀏覽功能仍可繼續使用。對套件作者來說，套件被索引、呈現與文件代管的方式也沒有立即改變。官方表示，後續目標是在這個基礎上加速開發，推出更多協助開發者評估套件的功能。

後續發展也包括安全與信任機制，Swift Package Index團隊提到，未來計畫在套件簽章與套件身分識別等領域加入新能力，強化Swift套件生態系的安全性與信任基礎。Swift Package Index加入Apple後，後續工作將不只維持套件搜尋與相容性資訊，也會延伸到開發者導入相依項目前所需的驗證機制。

Swift Package Index仍會維持開源，社群也可繼續參與程式碼貢獻。官方指出，Apple工程師將與社群共同投入新功能與改進，接下來幾個月會逐步分享Swift Package Index演進計畫。

'