【臺灣資安大會直擊】駭客平均4.32天就能打進企業內網，臺灣企業資安防線為何一再被打穿？

來源：https://www.ithome.com.tw/news/176877

入侵一間公司需要多少時間？根據戴夫寇爾（DEVCORE）共同創辦人暨資深副總徐念恩在臺灣資安大會（CYBERSEC 2026）的經驗，該公司自2017年推出紅隊演練服務以來，累計服務逾75間企業、執行超過150次演練，得到的結論是「平均只需要4.32天。」

徐念恩指出，傳統防禦者與攻擊者的視角落差，正是企業資安最危險的地方。許多企業仍停留在「買了多少資安產品、完成多少合規項目」的思維，認為部署WAF、EDR、MFA、SIEM等工具，或通過稽核、完成弱點掃描與教育訓練，就代表防線已經到位；但對攻擊者而言，這些從來不是無法突破的高牆，而只是能否繞過、利用，甚至反過來當成跳板的障礙。

因此，真正決定企業是否會被打進內網的，往往不是資安產品買得夠不夠多，而是攻擊面是否有效收斂、漏洞是否持續修補、內網與核心系統是否做好分區隔離，以及高權限帳號是否受到足夠保護。

徐念恩認為，若從攻擊者視角來看，入侵路徑其實相當務實：先尋找外網弱點或外洩憑證，成功落地後再提升權限、橫向移動，接著控制AD、vCenter等關鍵基礎設施，最後再觸及核心系統與機敏資料。

他指出，企業真正應該在意的，不是表面上的「有沒有做」，而是「做了之後，能不能實際擋住攻擊者一路往內打」。

傳統防禦者常見兩種資安盲點：產品堆砌與合規迷思

許多企業資安的思維，長期停留在「我買了哪些產品」的層次，不管是IPS、WAF、SIEM、EDR、MFA、PAM、DLP、VPN等，每一樣都是業界熟悉的縮寫，每一樣也都代表著資安預算的投入。

徐念恩把這種思維稱為「傳統防禦者視角」，這意味著，企業相信只要把這些產品全數配備，就能打造一座固若金湯的數位城堡。他認為，這是許多企業最常見的資安盲點之一。

現實卻往往事與願違。問題不在於買了哪些產品，而在於這些產品有沒有被正確部署、有效串聯。徐念恩以WAF（網站應用程式防火牆）為例，某個客戶為了系統維護方便，把WAF設定成旁路模式（bypass mode），結果原本應被擋下的漏洞全部失去防護；另一個案例中，客戶的WAF防護設定只涵蓋IPv4，駭客只要改用IPv6連線，便可長驅直入。

還有EDR（端點偵測與回應）也面臨部署率過低的問題，徐念恩表示，許多企業只把EDR安裝在A機器，若攻擊者瞄準B機器，既有的資安監控等於形同虛設。更荒謬的是，有些企業為了控管內部流量而部署的WAF或Proxy伺服器，反而被攻擊者拿來作為連外的後門出口。

徐念恩發現，許多企業的問題在於，資安產品越買越多，結果反而讓藍隊疲於奔命地應付調整設定的需求，核心安全問題卻始終沒有解決。

第二個常見盲點是「合規即安全」的錯誤等號。徐念恩觀察，從董事會到管理階層，許多人關心的核心問題是「我有沒有符合這條法規？」而非「我到底有沒有安全？」。

事實上，企業的弱點掃描完成率達到百分之百，並不代表漏洞已經修補完畢；教育訓練出席率完美，不代表員工真的學到了任何東西。他見過不少受訓員工從頭到尾低頭處理自己的事，只為了湊滿年度的受訓時數。

他也提到，企業過度追求合規，最終只會造就一個荒謬景象：「最安全的時刻，恰好就在稽核前一週。」稽核一結束，那層緊繃就立刻鬆弛。

從攻擊者的視角，看五步驟的入侵路徑

攻擊者的思維截然不同，對他們而言，資安產品從來都是「有機會繞過」的變數之一，法規是「別人」的底線，所有防禦機制的意義只在於提高入侵難度，而不是讓入侵變成不可能。

徐念恩梳理出攻擊者最常見的五步驟入侵路徑。第一步，評估能否從外部突破：網站有沒有已知漏洞？有沒有外流的帳號密碼可以利用？第二步，突破後嘗試提升權限、建立內網據點，以低調的方式向橫向擴展。

第三步，控制關鍵基礎設施，Active Directory（AD，目錄服務）一旦落入攻擊者手中，企業內部九成以上的伺服器便形同失守；vCenter如果遭到攻擊者控制，所有在虛擬機上運作的重要系統全數暴露。

第四步，存取核心系統與機敏資料，鎖定對業務影響最深的資產。第五步，將機敏資料外滲，用於勒索、二次利用或倒賣。徐念恩表示，這五個步驟，不是理論上的攻擊腳本，而是紅隊演練中一再被實證的真實流程。

指標一：從外網打進內網，平均只需4.32天

不過，徐念恩坦言，只知道攻擊路線圖對企業而言還不夠，企業需要的是一套可以觀測、自我評分的防禦指標。「大家都以為入侵一間公司要很久，幾個月？幾年？」徐念恩說，「現實是，平均不到五天。」

根據戴夫寇爾過去超過150次紅隊演練的統計顯示，紅隊從外網突破進入內網的平均天數為4.32天；金融業因為金管會等監管機制的持續督促，防線稍強，平均為5.33天；政府單位平均3.86天；高科技業平均3.7天，反而是最快被攻破的產業之一。

更令人心驚的數據顯示，紅隊曾在26次的演練過程當中，第一天就已經成功打進內網，占所有演練案例約18%；在所有演練專案中，被成功打進內網的比例更高達75%。

為什麼這麼快？徐念恩用籃球與乒乓球的比喻說明原因，如果要射擊這兩顆球，任何人都會瞄準那顆更大的目標（籃球）。

攻擊者的邏輯完全相同，因為他們不會刻意挑戰看起來就很難打的目標，而會鎖定那些攻擊表面積（Attack Surface）最大的系統，例如：忘記下線的測試環境、設計停在1990年代的介面、明顯沒有定期更新的框架。他表示，攻擊表面積越大，被入侵的機率就越高；而許多企業的攻擊面，其實比他們自己以為的還要大得多。

他特別指出一個常被忽略的死角。許多自行開發的系統，企業通常做足資安健診、弱點掃描、滲透測試，極盡所能加強防護；但外部採購的系統或設備，無論線上交易平臺、會計軟體、印表機、IP Camera還是NAS等，往往完全缺乏資安驗證，採購時從未確認過廠商是否做過弱點掃描或滲透測試。

他直言，一樣都是有機會被存取的系統，資安待遇卻天差地遠，攻擊者當然知道要往哪裡下手。

關於資安的改善方向該從何處著手？徐念恩建議，企業應該優先關閉不必要的對外服務；讓測試環境立即下線，積極縮小攻擊面積；其他無法下線的服務，則需落實連線最小化與角色權限最小化；對於供應鏈廠商，應主動要求提交高強度滲透測試報告，並將過去漏洞歷史與修補速度納入選商標準。

指標二：六成企業，有已知漏洞超過半年仍未修補

至於第二個指標，徐念恩表示，衡量的是超過180天未修補的已知漏洞數量。這個數字的殺傷力在於，「攻擊者不需要研發全新的零日漏洞，只要找到一個公開的 CVE漏洞並確認目標尚未修補，就可以直接利用現成的攻擊工具打進去。」他說。

徐念恩根據過去超過150次演練數據顯示，全產業有60%的專案（也就是超過90個案例），紅隊可以透過已知CVE漏洞，直接存取機敏資料或控制伺服器，完全不需要社交工程或複雜的攻擊鏈攻擊。

他進一步說明，半年內未修補漏洞的製造業，比例高達75%，顯示製造業在漏洞管理方面的落差尤為顯著。相比之下，有強力監管介入的金融業（53%）與政府單位（57%）表現相對較好。像是金管會《金融資安行動方案2.0》以及政府導入資通安全弱點通報系統（Vulnerability Analysis and Notice System，VANS）並強制限期修補的政策，確實發揮了作用。

企業不願做弱點掃描的理由往往如出一轍，例如：掃描出來的漏洞數量太多、誤報率太高、不確定哪個漏洞真的可被利用、怕修補方式有誤、更怕進行修補程式（patch）後系統停擺。

徐念恩理解這些顧慮，但也直接點出問題癥結：這些不是弱點掃描沒意義的理由，而是企業缺乏一套有效的風險評鑑機制。他說，就連美國國家標準暨技術研究院（NIST）都在2025年宣布，因CVE漏洞數量在五年間暴增263%，已無力逐一分析，被迫改採「風險優先」策略，僅對已知被利用或關鍵系統相關漏洞進行重點處理。

他建議企業應建立自己的風險評鑑策略，從三個維度判斷修補優先順序：該漏洞的可利用程度（是否有公開exploit）、伺服器所在網段位置（外網還是核心內網），以及資產本身的業務重要性。「弱點掃描不是沒意義，是看誰做得有效率。」他說。

指標三：核心系統遭控制，平均只需10.14天

第三個指標，是衡量專案在第幾天被控制核⼼系統（含基礎設施）。徐念恩指出，根據該公司的演練數據顯示，許多演練企業核心系統（含關鍵基礎設施）被全面控制所需的天數：平均10.14天；被控制核心系統的專案比例高達78%，其中更有56%的案例，紅隊在10天內就完成從外網突破到核心系統淪陷的完整路徑。

他表示，這個數字背後，隱藏著兩個結構性問題。首先，是網段切割不確實，企業內部任意端點皆可直連核心系統，因此，攻擊者只要踏入內網，就等同站在核心機房門口。

其次，是權限畫分過於鬆散，許多高權限帳號與高權限群組數量氾濫，攻擊者在列舉帳號時，幾乎隨手就能抓到一個具有關鍵存取能力的帳戶。他說，AD長年累積的歷史包袱與信任關係從未被清理，也讓企業內部的橫向移動變得輕而易舉。

除了技術架構的缺陷，徐念恩更點出另一個常被忽視的問題，那就是：藍隊缺乏真實演練的機會，導致面對真實攻擊時無從辨識。

他也以外型相似的蔥、蒜苗與韭菜來比喻。他表示，資安事件中常見的問題在於：明明在看同一份log，每個人判讀出的結論卻完全不同的困境；真正的問題並不在於沒有工具，而在於沒有練習辨識的機會。「很多事情只要做過一次，你就會了，缺乏的只是練習的機會。」他如此說道。

改善方向包含：移除不必要的角色與群組、精簡AD信任關係、強化管理員認證機制，並定期透過紅隊演練或其他模擬攻防機制，讓藍隊有機會在受控環境中練習辨識攻擊行為與應變流程。

指標四：八成員工密碼可被破解，九成六含系統管理員帳號

第四個指標，直指最古老也最難根治的問題：員工密碼強度。演練數據顯示，平均每間企業被破解的密碼比例高達81.24%，政府單位更高達90.45%，金融業79.37%，高科技業77.32%。

這個數字雖讓人觸目驚心，但更嚴峻的是另一項延伸數據，徐念恩指出，在被破解的帳號中，有高達96%的企業存在系統管理員帳號。「一旦管理員帳號的密碼被破解，攻擊者幾乎等同取得了整個組織的鑰匙。」他說。

至於密碼破解速度的現實，也遠比多數人想像的快。徐念恩以使用四張Nvidia RTX 5090顯示卡進行Windows密碼破解為例，8碼且使用95個可視字元的密碼，僅需約1小時22分鐘便可破解；只要密碼長度不足12碼，幾乎都在數天之內有被破解的風險。

他指出，企業中最常見的密碼形態包括：鍵盤排列組合（如1qaz2wsx）、生日、手機號碼、公司縮寫加上個人姓名等，已經不需要暴力破解，僅靠字典檔即可快速命中。

徐念恩並不期待所有企業一夕之間讓全體員工改用12碼以上的強密碼，「你無法改變所有人的習慣，」但他建議，至少要優先保護高權限帳號。

具體措施包含：針對存放密碼的系統，改用Argon2、scrypt、bcrypt和PBKDF2等較難破解的雜湊函數；在身分識別的環節當中，導入MFA多因素驗證；為企業的IT與資安人員，配發密碼管理器，如1Password或Bitwarden；建置特權帳號管理系統，如CyberArk、ANCHOR；乃至於導入WebAuthn / FIDO2，建置Passkey新型態身分驗證機制。

AI讓駭客變強了嗎？從歷史找答案

面對各界對於AI威脅的焦慮，「Claude、GPT這麼強，當攻擊者有了AI，企業是不是馬上就完蛋了？」徐念恩選擇從歷史找答案。

第二次工業革命催生了內燃機，但人手一顆引擎了嗎？15世紀出現了單手火繩手槍，到今天2026年，我們有人手一支手槍嗎？從1938年德國科學家發現核分裂現象，到1945年美國試爆核彈，現在全世界擁有核武的國家也不超過十個。他的結論是，越是超強大的武器，往往伴隨著極高的生產門檻與使用限制。像是，研發核彈需要科學家、管制原料與試爆場地；超強的AI同樣需要土地、機房、電力與大量算力。這些條件，一般企業或個人根本無從具備。

他進一步提出兩條未來可能的發展路線，若AI真的成為挖掘漏洞的致命武器，各國政府將比企業更早感到威脅，勢必祭出管制，就像核武管控一樣，能夠使用的對象將被嚴格限縮。

事實上，Anthropic旗下最先進的模型Claude Mythos Preview，目前就僅開放少數受信任組織在嚴格框架下使用，而非對一般用戶開放；被管制的AI，只會優先被用在強化產品安全，而非大規模攻擊。反之，若AI的威脅被過度渲染，只是行銷語言，那更沒有恐慌的必要。

以目前實測的經驗來看，AI在資安領域最突出的優勢，在於處理重複性的苦工：逆向工程分析、原始碼掃描（尤其擅長找出OWASP Top 10的常見漏洞類型，如 SQL Injection與RCE）。

但他認為，在串聯多個漏洞進行組合利用方面，目前的AI仍有相當距離；在黑箱測試中，AI也難以有效控管攻擊範圍與頻率，貿然使用反而可能造成預料之外的影響。

「現在對AI恐慌可能還太早，但再不擁抱AI就太慢了。」徐念恩指出，面對覺得AI很可怕的企業客戶，他常反問：「你們公司現在有導入AI嗎？開發流程有導入AI嗎？防禦機制有用AI嗎？」而答案往往是否定的。他說，與其擔心AI讓攻擊者變強，不如先思考如何讓AI成為防禦方的助力。

150場演練的共同答案，每個企業犯的錯都很像

面對各界詢問：「不同產業之間，有什麼特別不一樣的趨勢嗎？」徐念恩直言：「幾乎沒有差異。每個企業會犯的錯，都很像。」

他以金融業、政府機關、高科技製造業為例，攻破的時間頂多相差兩三天；密碼破解率最多差到15個百分點，但核心問題如出一轍。

他也指出，不少企業高層至今仍認為「只要外網沒有弱點就等於安全」，甚至要求資安部門減少外網弱點回報數量；然而，這些企業往往同時存在外網暴露面過大、供應鏈管理空白、內網未分區隔離、AD與核心系統權限問題積重難返，以及藍隊從未進行真實情境應變演練等結構性風險，也是許多企業容易踩到的資安地雷。

面對這些共同的地雷，徐念恩提出六項行動建議。首先，積極縮小攻擊表面積，讓入侵難度與防禦難度同步降低；其次，建立漏洞風險評鑑機制與修補政策，讓已知漏洞不再是攻擊者的免費入場券。

第三，優先規畫核心系統的角色、權限與網段切割，讓橫向移動的路徑無處延伸；第四，優先投入資源保護高權限帳號，在人性無法完全改變的前提下，先從最關鍵的節點築起防線。

第五，透過高強度的紅隊演練，讓藍隊真正有機會練習辨識攻擊行為與應變流程——就像認識蔥、蒜苗、韭菜，做過一次就不會再搞錯；最後，不要對AI過度恐慌，而要積極擁抱 AI，把它化為強化防禦能力的工具。

在經歷超過150場紅隊演練後，徐念恩特別強調：「攻擊表面積縮得越小，企業就越難被入侵。」然而，即使這是資安最基本的常識，仍有75%的企業在紅隊演練中被打進內網。這意味著，對許多臺灣企業而言，縮小攻擊面、做好基礎防護，至今仍不是已經落實的日常，而是尚未跨越的資安門檻。

'

Google發布Chrome 149穩定版更新，修補18項漏洞，4項屬於重大等級

來源：https://www.ithome.com.tw/news/176876

Google發布Chrome桌面版瀏覽器新版本，將Windows與Mac平臺穩定版更新至149.0.7827.196與149.0.7827.197，Linux版本更新至149.0.7827.196，此次改版共納入18項資安漏洞的修補。

本次發布的重大漏洞有4項，以CVSS嚴重性評分來看，最嚴重的是涉及3D圖形元件WebGL的兩項漏洞：CVE-2026-13028與CVE-2026-13032，CVSS評分都達到9.6分，且都屬於沙箱逃逸問題。次之是網頁核心引擎Blink的CVE-2026-13033，以及自動填表元件Autofill的CVE-2026-13038，CVSS評分都達到8.8分，分別屬於越界讀取與記憶體已釋放卻仍被使用（UAF）問題。

值得注意的是，另有6項漏洞雖然只被Google列為高風險等級，但CVSS嚴重性評分也都達到8.8分，與前述部分重大等級漏洞相當，包括內建開發者工具DevTools的CVE-2026-13025，數位身分憑證元件Digital Credentials的CVE-2026-13026，檔案存取API FileSystem的CVE-2026-13027，網頁核心引擎Blink的CVE-2026-13031與CVE-2026-13036，以及藍芽裝置通訊元件Bluetooth的CVE-2026-13035。

綜觀這次Google修補的漏洞，以元件分類而言，此次更新涉及WebGL與Blink的漏洞數量最多，分別有2項與4項漏洞；而就漏洞問題類型來看，依舊是以記憶體安全類型為最大宗，記憶體已釋放卻仍被使用（UAF）問題便占10項，加上一項記憶體越界讀取問題，合計占這次修補漏洞總數約六成。

'

刑事局破獲跨境詐騙案，竄改來電顯示手法再受關注

來源：https://www.ithome.com.tw/news/176858

近日刑事警察局南部打擊犯罪中心宣布破獲跨境電信詐欺案，使電信安全議題再受關注。該集團利用特定科技設備與網路系統竄改來電顯示，鎖定海外華人行騙。全案經報請臺南、臺中地方檢察署指揮偵辦後，於去年底至今年初調查並攻堅，逮捕包含蔡姓系統商、陳姓及洪姓主嫌在內共11名嫌犯（出生年次介於70至84年次），目前已有5人裁定羈押禁見，其餘6人裁定高額交保。初步清查被害者逾30人，涉詐金額高達3千萬元。

根據警方調查，此案由蔡嫌擔任話務系統供應商，為臺南與臺中兩地的機房提供技術支援，同時詐團還承租7處大樓與民宅作為犯罪據點，並架設電信話務機房。該集團假冒澳洲、紐西蘭、日本及馬來西亞等地的銀行人員，或假借中國公安與檢察官名義，以涉入重大刑案為由撥打電話給受害者，再以監管資金為由誘騙匯款。承辦此案的偵查第八大隊警員表示，由於許多國家不一定具備境外來電的語音警示機制，當地民眾看到顯示為本地的號碼時，極易降低戒心而受騙。

從技術層面來看，此案之所以得逞，關鍵是詐團在電信話務機房內利用網路系統進行「來電顯示竄改」。雖然警方未公開具體手法，但結合過往這類事件來分析，此案再次暴露全球通訊架構在身分識別技術上的系統性弱點，導致發話端資訊在網路電話（VoIP）與公眾交換網路（PSTN）介接過程可能遭到非法竄改，進而破壞通訊網路的信任基礎。

此外，警方在攻堅行動時還發現，這些犯嫌設備普遍安裝「快速滅證程式」，意圖在檢警查緝時即時銷毀數位證據，所幸警方於最短時間內強攻入機房內，成功取得犯罪事證。

'

【資安日報】6月25日，思科SD-WAN權限提升漏洞於3個月前遭到利用

來源：https://www.ithome.com.tw/news/176875

本日新聞焦點

● Mandiant揭露思科SD-WAN零時差漏洞攻擊事故

● 日本電信公司KDDI遭駭，6家ISP電子郵件帳密曝險

● 刑事局揭露新型態社交工程陷阱

思科SD-WAN零時差漏洞CVE-2026-20245遭到利用，最早可追溯到今年3月

6月初思科公布SD-WAN零時差漏洞CVE-2026-20245，此弱點存在於Catalyst SD-WAN Manager的命令列（CLI），通報此事的Mandiant揭露鎖定一家服務供應商SD-WAN基礎設施的攻擊行動，駭客透過未經授權的對等連線（Peering Connection）建立初始存取管道，並透過SSH連線存取受害企業，並利用相關權限操控預設帳號的密碼，以迴避偵測。接著，上傳惡意CSV檔案利用CVE-2026-20245，從遭到入侵的管理員帳號，將權限提升為root層級。詳全文

CISA警告Ubiquiti網路設備管理平臺3項滿分漏洞已被用於實際攻擊行動

6月23日美國網路安全與基礎設施安全局（CISA）提出警告，他們發現有4個漏洞遭到積極利用的證據，將其加入已遭利用的漏洞列表（KEV），其中最受到關注的部分，在於這次有3個是CVSS風險評分達到10分的危險漏洞，分別是CVE-2026-34908、CVE-2026-34909與CVE-2026-34910，存在UniFi管理平臺軟體UniFi OS Server，資安公司Bishop Fox警告，這些漏洞能串連成完整的攻擊鏈，攻擊者只要發出單一請求，就能取得完整root權限的反向Shell。詳全文

日本電信業者KDDI遭駭客入侵，6家ISP逾1,422萬筆電子郵件帳號密碼可能外洩

日本電信業者KDDI於6月23日發布資安公告，表示該公司提供給網際網路服務商（ISP）的電子郵件系統遭到入侵，攻擊者利用該系統的第三方軟體漏洞得逞，波及6家ISP業者，可能有多達1,422萬筆用戶電子郵件帳號與密碼外洩。受此事件影響的ISP業者包括：BIGLOBE、Nifty、JCOM、STNet、Chubu Telecommunications，以及KDDI Web Communications，外洩資料可能包含電子郵件地址與密碼，甚至涵蓋已停用或長期未使用的用戶帳號。詳全文

印度大型車輛製造商Bajaj Auto遭勒索軟體攻擊

印度孟買證券交易所（BSE）與印度國家證券交易所（NSE）於6月23日，接獲印度大型車輛製造商Bajaj Auto的通報，表明該公司與技術研發子公司Bajaj Auto Technology Limited（BATL）的系統遭勒索軟體攻擊。事件發生於印度標準時間6月23日上午，技術團隊、資安專家與管理階層已啟動必要的預警措施與應變程序，以降低影響。Bajaj Auto已依規定通報印度電腦緊急應變小組（CERT-In），但並未揭露攻擊者身分、是否有資料遭竊，或遭到勒索。詳全文

沙烏地阿拉伯租車龍頭Budget Saudi資料外洩，當地資安業者針對行動應用程式安全示警

沙烏地阿拉伯租車龍頭Budget Saudi於6月9日在沙烏地證券交易所（Tadawul）揭露行動應用程式遭未經授權存取的資安事故。關於事故原因，Budget Saudi說明該事件源於外部未經授權的非法存取行為，發現後已立即啟動防護措施並阻斷連線。雖然該公司未說明具體技術細節，但中東資安業者iConnect ITBS於6月14日針對Budget Saudi事件示警，指出雖然波斯灣地區（Gulf enterprises）企業內網防禦逐年提升，但行動App安全的防護並未跟上。詳全文

攻擊者濫用AWS無伺服器運算服務，隱匿HazyBeacon後門程式C2流量

Windows後門程式HazyBeacon（CL-STA-1020）鎖定東南亞政府網路，攻擊者濫用AWS的無伺服器運算服務AWS Lambda，將Lambda Function URL端點作為C2中繼站，藉此讓惡意流量混入一般雲端服務通訊。雲端安全業者Qualys分析指出，這類攻擊並非利用AWS服務漏洞，而是建立在竊得的AWS身分識別與存取管理（IAM）憑證，以及過度寬鬆的雲端權限設定之上。攻擊者取得AWS帳號後，會透過合法AWS API部署Lambda函式等方式，使其成為不需身分驗證即可公開存取的HTTPS端點。詳全文

勒索軟體團體Gentlemen向加盟者提供EDR Killer工具，用於癱瘓受害者端點防護

勒索軟體即服務（RaaS）團體正從單純地提供加密軟體，轉向建立更完整的攻擊手段，包括用於關閉受害者EDR防護產品的EDR Killer工具。資安公司ESET旗下研究團隊近日便揭露這類案例，他們發現RaaS團體Gentlemen將其開發的EDR Killer工具，提供給加盟的攻擊者，作為勒索軟體部署前的防禦規避工具，降低受害者的防禦能力，以利後續部署勒索軟體，其中最引人注目的攻擊工具是GentleKiller，這套工具至少有8個變種，能夠偽裝成各種合法軟體，提升權限並停用受害者的EDR防護引擎。詳全文

ShapedPlugin多款WordPress外掛程式遭供應鏈攻擊，40萬下載用戶須提高警覺

資安業者Wordfence於6月16日揭露，擁有近40萬個系統安裝量的WordPress外掛程式開發商ShapedPlugin，發生供應鏈攻擊事件，攻擊者入侵其基礎設施，將惡意程式碼植入付費版外掛程式，透過原廠網站與更新機制散布給用戶，使安裝外掛程式的網站曝險。目前這起事件已被指派為CVE-2026-10735，CVSS嚴重性評為9.8分，遭植入惡意程式碼的產品包括：Product Slider Pro for WooCommerce、Smart Post Show Pro，以及Real Testimonials Pro。詳全文

Lantronix工控設備已知重大漏洞被列入KEV

美國網路安全與基礎設施安全局（CISA）提出警告，CVE-2025-67038遭到積極利用，他們將其加入已遭利用的漏洞名單（KEV），要求聯邦機構在6月26日前完成修補。此漏洞出現在Lantronix序列埠設備集中管理主機EDS5000，為命令注入弱點，CVSS風險評分為9.8，Lantronix於今年2月推出2.2.0.0R1版韌體修補。CISA曾在今年3月對這項漏洞發布警告，並指出該設備在全球各地都有用戶，可能會部署在通訊、IT、關鍵製造業等關鍵基礎設施。詳全文

刑事局揭露濫用LINE螢幕共享、竊取TWQR付款碼的社交工程陷阱

隨著行動支付日益普及，標榜跨平臺整合的「TWQR」掃碼支付竟成為網路犯罪集團詐財新管道。刑事警察局今年4月首度針對此威脅向大眾示警，並促請相關業者強化風險警示與異常交易監測。刑事局詐欺犯罪防制中心指出，自今年3月起，國內利用電子支付進行的「新型態詐欺洗錢模式」案件量出現異常暴增趨勢，分析後發現網路犯罪集團採用新手法，針對不清楚「螢幕共享」風險、不知道會因此導致TWQR付款碼遭截取的民眾，開發出複合式詐騙手法。​詳全文

逾6成搭載LLM的iOS應用程式暴露AI服務存取資訊

維克森林大學（Wake Forest University）公布一項研究，指出許多導入大型語言模型（LLM）功能的iOS應用程式，在執行期間的網路流量中暴露可遭利用的驗證權杖、未要求驗證即可存取的後端代理機制，或其他可用來呼叫LLM服務的憑證資訊。研究團隊於2025年10月從美國App Store蒐集5,619款不重複的iOS應用程式，經抽樣與人工評估後，對其中444款測試，​結果發現282款應用程式暴露可遭利用的LLM API憑證或未要求驗證的後端代理，比例達64%。詳全文

LG與三星智慧電視逾三成App讓用戶電視慘變代理伺服器節點

資安業者Spur發現，專為三星、LG智慧電視打造的應用程式，有約三分之一會利用或出售用戶住家IP位址，讓用戶電視淪為導引流量的代理伺服器（proxy），而產生資安隱憂。該公司分析6,038個應用程式的安裝套件，結果發現，有2,058款內含將用戶住家IP位址提供作為代理伺服器的SDK。研究人員指出，對於第三方代理伺服器SDK服務，Amazon與美國串流媒體平臺Roku皆明文禁止或封鎖，不過兩家韓國電視大廠並未建立同等的審核標準，使得應用程式市集存在大量此種灰色地帶的App。詳全文

QNAP修補旗下NAS與網路視訊監控產品漏洞，包含兩項可能導致服務中斷的重大漏洞

儲存設備廠商威聯通（QNAP）於6月17日發布資安公告，修補旗下NAS與視訊監控平臺共14項漏洞，影響QTS、QuTS hero、QuTS cloud等NAS作業系統，以及QVP視訊監控平臺。就CVSS嚴重性來看，這次QNAP修補的漏洞中，最嚴重的是CVE-2026-26240與CVE-2026-26241，兩者的CVSS評分都達到9.1分，兩者皆與上傳檔案名稱處理機制有關，可能造成堆疊緩衝區溢位（Stack-based buffer overflow），進而可能導致系統服務中斷。詳全文

Dell同步發布旗下多款主力儲存、備份與資料保護產品安全更新，主要涉及第三方元件漏洞修補

當前的企業級儲存與資料保護設備的底層，是Linux作業系統、開源軟體與第三方元件組成的應用平臺，因此也會受到軟體供應鏈漏洞影響，廠商需要同步追蹤上游元件漏洞，並透過版本更新方式進行修補，Dell近期發布的一系列儲存、備份與超融合產品線資安公告便是典型，涵蓋PowerStore、PowerProtect DP（IDPA）、VxFlex/PowerFlex，以及VxRail等產品線的漏洞修補，問題來源包括Linux元件、開源套件、虛擬化軟體與伺服器韌體等。詳全文

GitLab 19.1強化AI工作流程治理，可局限未經審核的AI代理存取範圍

GitLab在19.1版更新AI代理與流程目錄AI Catalog，加入多項治理設定，管理員可限制AI代理、流程與模型在組織內的使用範圍，降低未經審核的AI自動化內容進入企業環境的風險。新版GitLab增加的設定，可讓執行個體管理員與頂層群組擁有者限制AI Catalog的使用範圍。管理員可停用自訂AI代理與流程，讓使用者僅能使用GitLab提供的基礎內容，也可限制使用者只能啟用同一群組階層內的AI Catalog項目，避免未經審核的社群或第三方內容進入企業環境。詳全文

美國限制Anthropic Fable與Mythos模型存取，可能與NSA相關紅隊測試結果有關

美國政府於6月12日以國安疑慮為由，對AI業者Anthropic發布出口管制禁令，促使Anthropic宣布暫停向所有客戶提供Fable 5與Mythos 5模型存取。後續外媒報導指出，這項限制可能與Mythos參與美國國安單位內部紅隊測試的結果有關。根據科技網站Tom's Hardware引述經濟學人於6月14日的報導，在一場經授權的內部紅隊演練當中，Mythos在搭配其他防禦工具的情況下接受測試，結果於數小時內突破多項與美國國家安全局（NSA）相關的模擬評估目標。詳全文

Scattered Spider兩成員認罪，曾於2024年入侵倫敦交通局網路

根據英國國家打擊犯罪調查局（NCA）於6月22日發布的新聞稿，兩名網路犯罪組織Scattered Spider成員承認，曾於2024年入侵倫敦交通局的電腦網路。涉案者分別是20歲的Thalha Jubair與18歲的Owen Flowers。執法人員在調查這起網路攻擊案件時，還發現Owen Flowers入侵並破壞美國醫療機構SSM Health Care Corporation與Sutter Health網路。另一方面，Thalha Jubair也在美國面臨起訴，檢方指控他涉及多起企業網路入侵與勒索行動。詳全文

AWS Lambda新增MicroVMs隔離環境，可用於程式碼的弱點掃描與安全性測試

AWS在AWS Lambda服務加入新的隔離運算資源MicroVMs，該服務特別針對執行AI產生程式碼的沙箱、互動式開發環境、資料分析平臺、弱點掃描，以及執行使用者腳本的遊戲伺服器等情境設計。Lambda MicroVMs採用Firecracker輕量虛擬化技術，可提供虛擬機器層級隔離。AWS表示，每個使用者或工作階段可取得專屬MicroVM，不與其他環境共享核心、記憶體空間與磁碟狀態，因此較適合用來處理來源不一定可信的程式碼。詳全文

Swift Package Index加入蘋果，著重強化套件簽章與身分識別機制

Swift Package Index團隊宣布加入蘋果，雙方將在既有套件索引、相容性測試與文件服務基礎上，建立更完整的Swift套件儲存庫。這項合作短期不會改變開發者與套件作者的使用方式，不過，蘋果後續將投入資源，強化Swift套件的發現、評估、簽章與身分識別能力。Swift Package Index後續也將發展安全與信任機制，未來計畫在套件簽章與套件身分識別等領域加入新能力，強化Swift套件生態系的安全性與信任基礎。詳全文

行政院國家人工智慧戰略特別委員會召開首次會議，主權AI與資料治理制度化成新核心

行政院依據AI基本法設立「國家人工智慧戰略特別委員會」6月23日召開首次會議，確立我國的AI發展戰略目標為積極建構「主權AI」，讓臺灣從支撐全球創新的製造優勢國家，成為立基於自由民主價值的AI良善應用典範。為推動主權AI的願景，臺灣將積極推動「新基礎建設」，涵蓋算力、能源、網路資訊安全、資料安全、AI運用與服務的安全，以及以民主價值為主的評測機制及法規調適等。行政院院長卓榮泰要求各部會依照綱領的戰略目標作資源規畫，並以「AI新十大建設推動方案」作為綱領的具體推動方案。詳全文

'

高通發表Dragonfly資料中心平臺，2029年手機營收比重將降至1/3

來源：https://www.ithome.com.tw/news/176874

高通（Qualcomm）周三（6/24）宣布推出Dragonfly資料中心平臺，並與Meta簽署多世代合作協議，進一步擴大AI資料中心布局。高通也表示，未來將從手機晶片供應商轉型為AI運算平臺，預估至2029年手機業務所占的晶片營收比重將從現有的2/3降至1/3。

高通是全球主要行動晶片與通訊技術供應商，長期以Snapdragon手機處理器、5G數據機與通訊專利授權為主要業務。根據該公司今年第二季財報，在該季106億美元的營收中，有90億美元來自晶片營收，其中，手機占了60億美元，汽車占了13億美元，IoT為17億美元，顯示手機仍占晶片事業營收的2/3。

高通在周三舉行的投資人日表示，將把握AI代理人（Agentic AI）帶動的新一波運算需求，布局從邊緣裝置到雲端的完整AI運算平臺，涵蓋資料中心、汽車、IoT、工業、網通、機器人及Personal AI等領域。高通預估，到了2029年，非手機業務營收將達400億美元，其中資料中心營收將超過150億美元，汽車營收將達100億美元，IoT營收則超過140億美元，屆時手機業務將僅占晶片事業營收約1/3。

至於同一天發表的Dragonfly則是高通全新的AI資料中心產品線，涵蓋資料中心CPU、AI推論加速器、高頻寬運算（High Bandwidth Compute，HBC）、高速連網及客製化晶片等產品，目標是打造完整的AI資料中心基礎設施。高通表示，隨著AI代理人興起，資料中心對推論運算的需求將持續增加，Dragonfly將以高效能、低功耗及降低整體持有成本（TCO）為主要訴求，協助企業部署大規模AI推論應用。

圖片來源／高通

Dragonfly產品線的首款資料中心CPU為Dragonfly C1000，這是高通專為AI代理人、通用運算及AI主節點（AI head node）等工作負載設計，採用高通自研Oryon CPU核心，預計於2028年上市，並將應用於Meta下一代伺服器。雙方將建立多世代合作路線圖，由高通擔任Meta資料中心CPU供應商，支援Meta持續擴大的運算基礎設施。

這也是Meta近日第二項AI晶片合作案。今年4月Meta才宣布與博通（Broadcom）共同開發下一代MTIA AI加速器，如今再導入高通的Dragonfly C1000資料中心CPU，顯示Meta正同步強化AI加速器與CPU兩大運算架構。

'

Nokia與Databricks驗證自主網路資料平臺，鎖定電信即時分析需求

來源：https://www.ithome.com.tw/news/176873

通訊與網路技術業者Nokia於6月24日宣布，聯手資料與AI平臺業者Databricks完成共同概念驗證（Proof of Concept，PoC），展示一套支援AI驅動自主網路的統一資料平臺。這項PoC的推動與合作目標，是讓電信業者得以跨越不同雲端環境或地端基礎架構，具備部署即時分析能力，無須因部署環境不同而重寫程式碼。

Nokia指出，電信網路通常仰賴數百套營運支援系統與商業支援系統，各系統資料架構不同，導致AI應用難以跨越不同的網路領域，以一致的方式部署、管理與運作。這次PoC以即時效能管理為測試情境，模擬電信網路分析資料匯入，驗證這套資料處理架構能否在雲端環境中擴展，支援大型一線電信業者所需的資料處理規模。

測試結果顯示，同一套資料處理流程可部署在Databricks平臺，也可執行於由Apache Flink、Apache Kafka與Apache Iceberg組成的開源技術堆疊，支援即時串流、批次處理，以及查詢階段動態產生的資料產品（query-time data products）——在資料讀取當下，即刻對資料執行計算衍生指標（derived metrics）、套用條件過濾器、彙整（aggregating）、充實（enriching）、連接（joining）等處理。Nokia也以Python設計抽象化且不依賴特定平臺的資料轉換邏輯，再透過自定的編譯器，依目標環境轉換為Databricks用於建置資料管線的Delta Live Tables，或是開源串流資料處理常用的Flink SQL。

這項PoC也展示智慧資料織構代理（intelligent data fabric agent），可透過自然語言提示產生資料產品、人工驗證的請求，以及資料管線的自動部署。

'

高通收購Modular，打造跨晶片AI運算平臺

來源：https://www.ithome.com.tw/news/176872

高通（Qualcomm）周三（6/24）宣布，將收購AI軟體新創Modular。Modular開發的AI運算平臺可讓AI模型跨CPU、GPU、NPU及客製化ASIC等不同硬體執行，而無須針對各種晶片重新修改程式碼，降低AI應用跨不同運算平臺的部署門檻。

高通過去以手機晶片聞名，近年則將AI布局延伸至PC、汽車、邊緣運算及資料中心，主打低功耗與AI推論。Modular成立於2022年，主要開發跨硬體AI軟體平臺，讓開發者能在不同晶片架構上部署AI模型，正好補足高通AI布局中的軟體層。

Modular的核心產品包括MAX平臺與Mojo程式語言。MAX負責AI模型服務、推論執行及硬體最佳化，協助企業將模型部署到不同硬體環境；Mojo則結合Python語法與低階系統程式語言效能，讓開發者能以較熟悉的方式撰寫高效能AI程式。

高通表示，Modular將補強其AI軟體層，讓AI模型能更有效率地部署至不同硬體架構，同時縮短新一代AI晶片上市後的軟體支援時間，進一步強化資料中心與邊緣AI布局。

高通並未公布交易金額。不過，根據提交給美國證券交易委員會（SEC）的文件，高通將發行最多1,920萬股普通股作為收購對價；以高通前一交易日收盤價估算，交易價值約39.2億美元。這筆交易預計於2026年下半年完成，仍須取得主管機關核准及符合一般交割條件。

'