Google在美免費開放Nano Banana為基礎的個人化AI圖像生成工具

來源：https://www.ithome.com.tw/news/176969

Google本周宣布將免費個人化AI圖像生成功能部署到Gemini App，不過首先提供給美國用戶。

今年3月Google宣布Personal Intelligence。它是Google為其AI生態系（主要圍繞在Gemini）推出的核心個人化升級功能，透過串聯用戶所有Google服務，跨應用程式讀取並理解用戶個人資料，以提供AI個人化助理服務。Personal Intelligence除了Gemini、AI Mode搜尋，長期而言也將推廣到YouTube、Google Photos或Chrome。3月份美國用戶已可使用個人化AI Mode搜尋。Personal Intelligence已在4月推向日本及印度。

4月份Google將Nano Banana提供給付費方案（Plus、Pro和Ultra）用戶後，從即日起，所有美國Gemini App用戶也可以免費使用個人化圖像生成功能。這項功能是整合了Nano Banana和Google Photos，讓Gemini能根據使用者連結的Google App，生成反映使用者個人品味和風格的圖像，或是按用戶意思修圖。

要啟用這項服務，使用者必須同意Gemini App存取或整合Google應用包括Gmail、Google Photos、YouTube和搜尋紀錄，以便提供個人化回應。一經同意整合後，用戶只要在Gemini App下簡單提示如「設計我夢想的房子」，它就會從Photos App擷取相片生成相片，不需上傳相片或費力描述。

根據Google網頁說明，免費Gemini用戶可以獲得Nano Banana 2生成的圖片。而付費用戶則可使用Nano Banana Pro模型。

Google強調Gemini App和其他Google App的整合是同意加入（opt-in）的，用戶之後也可以隨時再退出。不過Google也提醒，需滿13歲的用戶才能使用圖片生成圖片，若想編輯圖片，用戶更需年滿18歲。

'

一張打卡照，讓你的假期與演唱會門票落入他人之手

來源：https://www.ithome.com.tw/news/176968

許多人習慣在社群軟體上分享自己的動態，不論旅遊或參加演唱會，都會手拿票券開心地拍照。只不過，手中拿到的票券，若未妥善遮蔽將儲存許多票券和個人訊息的QR Code（二維條碼），就有可能會被黃牛或有心人士利用，導致旅遊行程被取消或惡意更動，甚至演唱會的票券被黃牛一票多賣並讓他人先入場後，還被檢舉而成為黃牛，必須應付許多後續的問題。

為了提高民眾的防範意識，數位發展部資通安全署於日前（6月26日）召開記者會，資安署署長蔡福隆表示，社群媒體上習以為常的「曬票打卡」行為，看似無害地分享喜悅，實則可能在瞬間讓個人旅遊行程、訂位資訊、乃至入場資格拱手讓人。

社群媒體發文，只分享喜悅而不分享風險

蔡福隆指出，每逢演唱會開票或出國旅遊旺季，民眾在社群平臺分享機票登機證或演唱會門票的照片，早已蔚然成風，「終於要飛了」、「等了二十年的神席」等發文屢見不鮮。然而，在駭客眼中，這些充滿期待的打卡照片，並不只是分享喜悅，而是「主動交出鑰匙」。

蔡福隆強調，機票與演唱會門票上的條碼，並非只是供驗票閘門識別的符號，而是包含大量個人敏感資訊的微型資料庫。一旦這些照片在未經妥善處理的情況下流出，任何人都可能在幾秒內取得關鍵個資，進而對票券擁有者造成難以估量的損害。

他表示，資安署此次召開記者會，正是希望以具體的案例與數據，讓民眾認識條碼的真正風險，建立「分享喜悅、不分享風險」的資安意識。

他也特別指出，許多民眾以為只要稍微遮蔽或模糊條碼就能高枕無憂，但事實上這樣的防護措施遠遠不夠。資安署希望透過此次活動，讓每一位民眾在拍照發文前，都能先問自己：「我的條碼遮好了嗎？」

一維條碼與二維條碼的天壤之別

資安署綜合規劃組組長李東宜特別從條碼的基礎知識切入，系統性拆解機票與演唱會門票的條碼風險。他首先說明，許多民眾將條碼（一維條碼）與QR Code（二維條碼）混為一談，事實上，兩者在資料儲存能力與風險程度上，有著天壤之別，必須分開理解。

李東宜表示，一維條碼（Bar Code）又稱線性條碼，是日常生活中最常見的條碼型態，外觀為一系列平行排列、粗細不一的黑色線條與白色空白交替組成，用以代表特定的英文字母或數字序列。以機票上的一維條碼為例，其中往往已內藏旅客姓名全名拼音、訂位代號（PNR）、航班號碼、出發地與目的地、座位號碼，乃至航空公司的會員編號等關鍵資訊。一般人看著那一排黑白線條，只覺得是進出閘門的門票，卻不知道這張小小的條碼，早已將自己的完整旅程資訊悉數收錄其中。

至於二維條碼（QR Code），其危險性又更高出一個層級。李東宜指出，QR Code通常呈現方塊狀，或由許多小點與幾何圖形組成，是一個真正的「微型攜帶式資料庫」，相較於一維條碼只能單方向儲存有限資料，二維條碼的資料容量大幅提升，能夠在遠比一維條碼更小的面積內存放更複雜、更龐大的資訊。

他直言，更令人警惕的是，QR Code具備極高的「容錯率」，即使拍照時角度歪斜、畫面反光，甚至只露出條碼的一部分，現代掃描設備依然能在0.1秒內，完美讀取整張票券的底層資料，無一遺漏。

「這就是為什麼很多民眾以為遮住一半就沒問題，其實那完全是誤解。」李東宜說。他特別指出三種常見的錯誤遮蔽方式，這些遮蔽方式其實並不具有遮蔽的效果。第一種是用iPhone的螢光筆塗抹功能，由於螢光筆塗抹具有透明度，條碼線條依然可辨識，有心人士仍可還原。

第二種是低強度模糊化或馬賽克處理，QR Code的矩陣結構形狀依然存在，甚至可被機器學習（AI）演算法還原解碼。

第三種則是在PDF電子文件中疊加色塊遮擋，但這樣的色塊往往只是一個可自由移動的獨立圖層，只要在PDF編輯軟體中輕易拖移，條碼便重見天日。

案例一：機票條碼資訊外洩的殺傷力

李東宜以機票條碼為例，說明其危害路徑。他指出，一張機票登機證上的一維條碼，至少包含以下幾個高風險個人資訊：訂位代號（PNR）為六碼英數組合，是掌控行程的核心鑰匙；旅客完整姓名拼音則是核對身分、登入航空公司系統的憑據；此外還有航班號碼、座位號碼及出發地目的地等行程細節。

駭客的攻擊路徑分為三步，首先，擷取社群媒體上旅客發布的機票照片，掃描其上的一維條碼，取得訂位代號與旅客姓名拼音；其次，持上述資訊登入各大航空公司官網「管理我的行程」頁面，由於大多數航空公司僅以PNR加上旅客英文姓名作為登入驗證，門檻極低。

第三步，登入成功後，駭客可任意竄改旅客的座位號碼、飛機餐點，乃至整段行程，讓票券主人的出行計畫完全落入他人掌控。他提醒，更嚴峻的現實是，一旦行蹤遭到掌握，旅客也可能成為惡意騷擾或跟蹤者鎖定的目標。

案例二：演唱會門票一票多賣的QR Code陷阱

演唱會門票的風險，則集中在QR Code的可複製性上。李東宜指出，演唱會電子門票上的QR Code內含入場授權碼、票號及座位號碼，是進場的唯一憑證；電子閘門的運作邏輯只認條碼、不認人，只要成功掃描二維條碼，不論持票者是誰，閘門一律放行。

駭客的手法是：先存下目標民眾在社群媒體分享的門票照片或截圖，擷取QR Code，複製出一張在系統中完全等效的電子假票，再以高價轉售給不知情的買家。

當受騙買家搶先一步持假票在閘門掃碼入場後，系統即將該票券標記為「已入場」；等到原購票民眾興高采烈抵達會場，掏出手中的真票掃描，閘門亮起紅燈，顯示「此票券已入場」，當事人卻對整個過程一無所知。

李東宜表示，更令人意外的副作用是，原購票民眾可能反被誤認為黃牛。他解釋，有受騙買家在發現門票遭偽造後，會依法向文化局提出檢舉；而系統在追溯票券源頭時，查出的「原購票者」正是那位無辜在社群媒體上曬票的票券主人。

屆時，票券主人不只無緣入場，還可能收到文化局稽察黃牛的公文，更需自行提出書面陳述，也得檢附佐證資料進行澄清，費時費力，徒增困擾。

「守護條碼就是守護權益」的四大防護原則

針對上述風險，李東宜也提出資安署建議的四大防護原則。首要原則是「不上傳有條碼的票券」，這是最簡單也最有效的防禦，他表示，最根本的防護就是讓鏡頭拍不到條碼，就不存在外洩風險；若確定要分享，就拍演唱會的現場氛圍照或旅途風景照，而非票券本身。

第二項原則是「若要分享，務必完全遮蔽」，且必須採用「物理性」遮蔽法，例如用手、書本或其他不透明物品，在拍照時擋住票券上的「所有條碼與QR Code」，確保鏡頭完全拍不到條碼的任何部分。

李東宜特別警告，像是螢光筆塗抹、數位馬賽克、PDF色塊等數位遮蔽手段均不可靠，唯有物理性的完整阻斷，才能真正有效遮蔽條碼資訊。

第三項原則是「PDF遮蔽須存為不可編輯圖片」，若不得不以電子檔形式分享票券，應在遮蔽條碼後，將檔案另存為圖片格式，確保色塊與底圖合併為單一不可分離的圖層，而非保留可隨意移除的獨立圖層狀態。

第四項原則是「用畢票券徹底撕毀再丟棄」，確保使用完的實體機票票根或演唱會入場票根，徹底撕碎或銷毀後再丟棄，以防被有心人士撿拾後，再次掃碼利用。

面對這類票券遭到盜用，民眾該如何自力救濟？蔡福隆表示，就民事層面而言，若能舉證他人確有擅自登入航空系統竄改個人行程的行為，可依民法侵權行為相關規定請求損害賠償；就刑事層面，無故入侵他人帳號系統的行為亦涉及妨害電腦使用罪章的相關條文。

但他也坦言，這類案件的舉證困難度相當高，因為航空公司登入系統，本身並不會留下充分的第三方入侵紀錄，追訴往往耗時費力。「不要對外分享任何與票券有關的資訊，才是最關鍵的自保之道。」蔡福隆說道。

'

微軟延長Windows Server 2022熱修補支援至2027年10月

來源：https://www.ithome.com.tw/news/176967

6月26日微軟（Microsoft）宣布，Windows Server 2022 Datacenter: Azure Edition的熱修補（Hotpatch）支援期限，將從原本的2026年10月延長至2027年10月。這項調整即日起生效，已啟用此功能的伺服器不需要額外採取行動，仍會依照既有的每月更新週期，接收以熱修補形式發布的安全更新。

熱修補是微軟提供的作業系統安全性更新機制，目前於Windows Server 2022與Windows Server 2025的Datacenter: Azure Edition提供，可將安全修補套用到正在記憶體執行的處理程序，讓系統無須在每次安裝更新後重新啟動，協助企業減少停機時間，並加速完成漏洞修補作業。不過，這項機制並不適用於所有更新；若伺服器安裝非安全性更新或.NET修補等非Windows更新，仍可能需要重新啟動系統。

根據微軟產品生命週期資料，Windows Server 2022適用固定生命週期政策，涵蓋Datacenter、Datacenter: Azure Edition、Essentials與Standard等版本，主流支援將於2026年10月13日結束，延伸支援則到2031年10月14日。這次調整代表，Windows Server 2022 Datacenter: Azure Edition的熱修補機制將持續提供至2027年10月，不會因主流支援於2026年10月結束而停止。

'

大規模Edge惡意延伸套件活動StegoAd超過2年，微軟移除119個惡意套件

來源：https://www.ithome.com.tw/news/176966

一般而言，駭客針對瀏覽器用戶發動攻擊，多半會針對用戶比例最高的Chrome而來，其中一種是在Chrome Web Store上架惡意延伸套件，如今有專門針對Edge用戶的攻擊行動。

微軟揭露大規模攻擊行動StegoAd，有人於2024年初至2026年4月，於Microsoft Edge Add-ons Store使用超過90個帳號，上架119個惡意套件，這些套件標榜擋廣告、VPN服務、翻譯工具，以及下載影片等用途，且確實具備駭客描述的功能，然而實際上駭客利用隱寫術（steganography）將惡意程式碼埋藏在圖檔，藉此從事廣告詐欺，這些套件迄今已被下載260萬次，影響範圍可能相當廣泛。

值得留意的是，由於駭客採取的迴避偵測手法，並非每次惡意套件安裝後都會觸發惡意酬載執行，因此相關活動難以察覺。然而駭客使用了相同的基礎設施、程式碼存在相同特徵、並使用相同的AdSense發布ID與Google Analytics等證據，因此微軟認為，這些套件都是由同一個駭客團體上架，該公司已清除攻擊者使用的帳號，並下架所有惡意套件。

這些惡意套件模仿熱門延伸套件，並具備對應的功能，然而它們內含的惡意元件會在使用者電腦休眠3至5天，目的是確保在沙箱環境不會被觸發，再者，惡意套件也內建偵測瀏覽器開發工具是否運作，以免用戶以此察覺攻擊活動。後續這些套件會從C2伺服器擷取PNG圖片，並透過Base64、XOR演算法，以及字元交換等機制解出惡意酬載並執行。

微軟指出，儘管攻擊者的目標是廣告詐欺，惡意酬載會在網頁注入未經授權的廣告，挾持亞馬遜、eBay和AliExpress等購物網站的聯盟佣金，並重新導向搜尋結果，然而根據他們的分析，該酬載還能竊取Google與WordPress帳號的憑證、收集Cookie，甚至提供攻擊者遠端執行程式碼的後門能力，其帶來的威脅遠超過廣告詐欺。

'

美最高法院裁定地理圍欄搜索令受第四修正案規範

來源：https://www.ithome.com.tw/news/176965

美國最高法院周一（6/29）裁定，警方透過地理圍欄搜索令（Geofence Warrant）向Google調取特定時間及地點範圍內的手機位置資料，屬於《美國憲法第四修正案》所稱的「搜索」（Search），須受憲法隱私保障規範。

這是美國最高法院首次將地理圍欄搜索令納入第四修正案的搜索範圍，也使這類搜索令日後須接受更完整的憲法審查；至於法院將如何認定其適用範圍、時間長度及相當理由，仍有待後續判例進一步釐清。

本案源於2019年維吉尼亞州Midlothian一宗信用合作社搶案。警方當時沒有嫌犯，只知道歹徒疑似持手機接近現場，因此向法院申請地理圍欄搜索令，要求Google提供案發前後、信用合作社150公尺範圍內的手機位置資料。

Google先提供案發前後各30分鐘、位於現場150公尺範圍內的19個匿名帳號；警方再要求其中9個帳號案發前後各1小時的位置紀錄；接著才要求Google揭露3名使用者姓名與電話，其中之一為Okello Chatrie，並據此搜索其住處，查獲贓款、槍枝及搶劫紙條。

Chatrie雖然認罪，但主張警方利用地理圍欄搜索令取得位置資料違反第四修正案，要求排除相關證據。地方法院認為該搜索令違反第四修正案，但因警方是依據法院核發的搜索令執行，適用「善意例外」（good-faith exception），仍允許檢方使用相關證據。

第四巡迴上訴法院則認為，Chatrie自願讓Google蒐集位置資料，因此警方調取這些資料不構成第四修正案所稱的「搜索」。

美國《憲法第四修正案》中的「搜索」（search），是指政府侵入人民受憲法保障的隱私或財產利益以取得資訊，因此通常須有法官核發搜索令，並具備相當理由（probable cause）及明確搜索範圍。

最高法院此次推翻第四巡迴上訴法院見解，認定警方調取Google位置資料屬於第四修正案的搜索，並將案件發回第四巡迴上訴法院，重新審查該搜索令是否符合相當理由及特定性等憲法要求。

撰寫多數意見的美國最高法院大法官Elena Kagan認為，個人對手機位置紀錄仍享有合理隱私期待，即使警方只是向第三方科技公司要求提供短時間的位置資料，也侵害第四修正案保障的隱私利益。

'

Dell修補Wyse管理平臺重大漏洞，未更新可能導致遠端程式碼執行

來源：https://www.ithome.com.tw/news/176964

Dell近日發布資安公告，修補精簡型電腦（Thin Client）集中管理平臺Wyse Management Suite（WMS）的兩項漏洞。其中最嚴重的CVE-2026-41120，CVSS嚴重性評分達9.8分，問題源自WMS未能妥善區分可信任與非可信任資料，攻擊者僅需具備低權限遠端存取能力，即可利用漏洞在WMS伺服器執行任意程式碼，Dell已於WMS 5.5 HF1版完成修補。

Dell這次修補的另一個WMS漏洞是CVE-2026-49506，CVSS嚴重性評分為7.2分，屬於路徑遍歷（Path Traversal）問題，問題源自目錄存取限制不當，可能導致高權限攻擊者藉此執行任意程式碼，Dell同樣已在WMS 5.5 HF1版完成修補。

由於WMS可集中管理大量Wyse系列Thin Client設備，一旦管理平臺遭入侵，可能進一步影響所有受管理裝置，用戶應儘速升級至已修補版本。

'

Lantronix漏洞疑遭逆向分析修補內容後利用，OpenWrt裝置也遭暴力破解

來源：https://www.ithome.com.tw/news/176963

物聯網與遠端連線設備業者Lantronix旗下序列埠轉IP設備EDS5000存在重大漏洞CVE-2025-67038，屬於身分驗證失敗竟可透過root權限執行的命令注入弱點，CVSS分數達9.8。美國網路安全暨基礎設施安全局（CISA）於6月23日將其列入已遭利用漏洞（KEV）名單。網路資產管理與資安業者Forescout旗下研究團隊Vedere Labs隨後於6月25日發布研究，揭露這項漏洞的實際濫用跡象。

Lantronix已於2月20日發布EDS5000系列2.2.0.0R1韌體更新。不過，Forescout檢視蜜罐環境紀錄後發現，攻擊者早在4月5日就已利用CVE-2025-67038，時間點介於Lantronix發布修補程式之後、完整技術細節公開之前。研究人員因此研判，攻擊者可能是透過逆向分析修補內容，自行開發漏洞利用程式。

Forescout也在1月28日至6月6日期間，觀測到超過4,100次針對OpenWrt網頁管理介面LuCI的暴力破解攻擊，活動主要集中在3月底至6月初的數個波段。研究團隊利用物聯網搜尋引擎Shodan查詢發現，目前約有3.2萬臺執行OpenWrt並啟用LuCI的裝置暴露於網際網路，其中約5,000臺被識別為蜜罐；不過，並非所有採用LuCI的設備都會在HTML標題顯示LuCI字樣，因此實際暴露於網際網路的設備數量，可能高於Shodan查詢結果。

Forescout建議，企業應立即更新Lantronix及其他採用OpenWrt的設備韌體，停用預設帳號並禁止使用弱密碼，同時避免將管理介面直接暴露於網際網路。針對序列埠轉IP設備，企業可透過網路分區或VLAN控管可連線來源，並持續監控這類邊緣設備是否出現異常通訊或遭濫用的跡象。

'

美國查封近400個用於非法直播FIFA 2026賽事的網域

來源：https://www.ithome.com.tw/news/176962

6月26日美國司法部（DOJ）宣布，他們發現近400個被用於未經授權轉播世界盃足球賽（FIFA World Cup）的網域，根據該國的版權法將其查封。這些被查封的網域被用來非法向用戶提供受版權保護的內容，以即時串流播放2026年世界盃足球賽。為了支持查封權限的申請，美國國土安全局（HSI）證實，被查封的網域確實在未經授權的情況下，積極轉播比賽內容。這些被查封的網域在FIFA協助下被確認，並由beIN、NBC環球、電影協會創意與娛樂聯盟（ACE）、終極格鬥錦標賽（UFC），以及華納兄弟提供相關支援資訊。

值得留意的是，這些盜版轉播網站不光涉及版權侵害，還有可能讓球迷暴露於潛在資安威脅，像是惡意軟體與不安全連線，而有可能洩露個資或財務資料。先前威脅情報公司Cyble也提出類似的警告，許多盜版轉播網站被用於竊取用戶帳密與資安詐騙，甚至向用戶散布惡意軟體。

'

美國警示SimpleHelp滿分漏洞被用於實際攻擊

來源：https://www.ithome.com.tw/news/176961

美國網路安全與基礎設施安全局（CISA）近日將一項資安漏洞列入已遭利用的漏洞列表（KEV），並要求聯邦機構在3天內完成修補，此為一個月前修補的SimpleHelp滿分重大漏洞CVE-2026-48558

'

libssh2 SSH函式庫重大漏洞公開PoC問世，利用風險升高

來源：https://www.ithome.com.tw/news/176960

上週揭露的開源SSH函式庫libssh2重大漏洞CVE-2026-55200，如今已有研究人員公開概念驗證（PoC）程式碼，使漏洞遭利用的風險進一步升高。該漏洞的CVSS v4嚴重性評分達9.2，影響1.11.1以前所有版本，可能導致攻擊者利用過大的SSH封包觸發堆積（Heap）記憶體損毀，最終導致遠端執行任意程式碼。

據資安媒體The Hacker News報導，已有研究人員在GitHub上發布針對CVE-2026-55200漏洞的PoC程式，驗證漏洞可被觸發，雖然尚非可直接用於實際攻擊的完整利用程式，但已大幅降低後續開發攻擊工具的門檻。The Hacker News提及的PoC程式GitHub頁面目前已無法存取，但GitHub Advisory資料庫與開源資安郵件論壇oss-sec，仍保留該PoC儲存庫的引用紀錄，顯示相關PoC曾經公開發布，也代表漏洞利用技術已開始在資安社群流傳，意味著後續可能出現更多衍生利用工具。

由於目前尚無正式的libssh2修補版本，The Hacker News引用英國國民保健署（NHS England）數位與資安團隊建議的緩解措施，包括盤點所有使用libssh2的軟體，將對外SSH連線限制在受信任伺服器，監控異常或過大的SSH封包，以及libssh2用戶端異常當機等徵兆。

'

FIFA 2026足球賽詐欺生態圈存在近4千個冒牌網域

來源：https://www.ithome.com.tw/news/176959

2026年世界盃足球賽（FIFA World Cup）於6月11日展開，在此之前，相關的網路詐騙呈現爆炸性增長，繼外部數位風險防護業者CTM360提出警告後，有資安公司提出警告，駭客已透過網路詐騙生態系統，藉此牟取不法利益。

上週威脅情報公司Cyble揭露Operation FanTrap活動，駭客利用詐騙網域、社群媒體、即時通訊平臺、盜版球賽轉播，以及暗網活動等管道，建立經過協調的生態系統，該公司從今年5月開始，已確認近4千個冒充FIFA相關品牌、票務平臺、球賽串流服務，以及面向球迷資源的網域，藉由假的門票優惠、VIP優先入場計畫、接待服務、未經授權的串流平臺等誘餌，意圖引誘球迷上當，然後將他們導向Telegram、WhatsApp等即時通訊管道，進行付款詐騙，帳密竊取，以及身分資料收集的行為。Cyble提及，許多假網域名稱刻意針對中文使用者，開頭不少是zh-或cn-，並設定世界杯、盤口、買球等中文關鍵字，顯示該犯罪集團針對龐大的中國球迷而來。

值得留意的是，駭客標榜免費觀賽的盜版串流網站，Cyble發現許多並非單純的版權侵權，而是被用作帳密竊取與資安詐騙的工具，駭客透過假影片播放器、誘導下載、瀏覽器推播通知及虛假免費試用等手法，蒐集用戶的電子郵件、密碼、付款資訊及裝置資料。部分非官方串流平臺的應用程式，更要求過多權限、夾帶惡意廣告，甚至成為惡意程式入侵的管道。

'

Linux基金會旗下FINOS規畫成立開源企業韌性聯盟OSERA，協助金融業修補開源套件

來源：https://www.ithome.com.tw/news/176958

AI加快漏洞發現與利用速度，也大幅壓縮企業部署修補的防禦空窗期。Linux基金會旗下金融服務開源組織FINOS（Fintech Open Source Foundation）於6月25日在Open Source in Finance Forum宣布，計畫成立開源企業韌性聯盟（Open Source Enterprise Resiliency Alliance，OSERA），協助金融機構與其他受監管企業共同處理開源軟體供應鏈風險。

OSERA定位為全球性、廠商中立且由會員共同治理的聯盟，目標是針對金融機構採用的共通開源套件版本，建立聯合修補、驗證與採用機制。FINOS指出，金融機構經常依賴相同的開源相依性套件與版本，一旦其中某個元件出現漏洞，可能同時影響多家機構。若各企業各自修補同一套件，不僅成本較高，也容易造成修補流程與證據格式不一致。

這項計畫由軟體修補自動化業者Moderne推動，德意志銀行（Deutsche Bank）、高盛（Goldman Sachs）、摩根士丹利（Morgan Stanley）、加拿大皇家銀行（Royal Bank of Canada）與道明銀行集團（TD Bank Group）等FINOS會員已參與試行。試行期間，團隊針對Apache Camel、Bouncy Castle、Netty與Spring Framework等Java專案既有版本的已知漏洞，建立回溯修補維護線（Maintained backpatch lines），並透過參與銀行既有的代理（proxy）與CI流程完成全面驗證，無須變更既有開發工具鏈。

為了協助企業判斷開源套件中漏洞的修補優先順序，OSERA也提供Risk Navigator等工具，可依通用漏洞評分系統（CVSS）、美國網路安全暨基礎設施安全局（CISA）已遭利用漏洞目錄（KEV）、漏洞利用機率評分系統（EPSS）、專案影響範圍與升級路徑，評估哪些漏洞應優先修補。FINOS表示，後續將推動開源套件修補治理機制、制定受監管環境的修補採用標準，並建立機器可讀證據套件，協助企業符合歐盟數位營運韌性法（DORA）、網路與資訊安全指令（NIS2），以及網路韌性法（CRA）等法規要求。

OSERA計畫也與Linux基金會日前宣布的開源安全計畫Akrites形成互補。Akrites著重於開源套件漏洞通報、協調揭露與上游修補；OSERA則著重於協助金融機構與其他受監管企業導入開源套件修補，並保留可供稽核的修補、測試與部署證據。

'

遠端監控與管理軟體SimpleHelp滿分重大漏洞已遭利用

來源：https://www.ithome.com.tw/news/176957

上個月遠端監控與管理軟體SimpleHelp發布5.5.16與6.0 RC2更新，修補CVSS風險評分達到滿分10分的重大漏洞CVE-2026-48558，該漏洞源自OpenID Connect（OIDC）身分驗證流程未正確驗證身分權杖（Identity Token）的加密簽章。如今此漏洞已出現實際攻擊。

根據資安新聞網站Bleeping Computer報導，資安公司Blackpoint提出警告，他們在一家偵測與回應代管（MDR）廠商的資安事故裡，發現攻擊者利用了CVE-2026-48558，於SimpleHelp伺服器建立技術人員（Technician）連線，隨後部署惡意程式載入工具TaskWeaver，以及竊資軟體Djinn Stealer。特別的是，Djinn Stealer廣泛針對開發者與基礎設施的憑證，尤其是AI開發工具，包括：Claude、Gemini、Codex、Cline、OpenCode、Kilo，再者，駭客也會搜刮MCP伺服器的組態設定。一旦竊得這些資料，攻擊者就有可能因此繼承AI助理對資料庫、雲端資源、資料庫，以及API的存取權限。

附帶一提，Blackpoint提及TaskWeaver是通用型的惡意程式載入工具，因此未來攻擊者無須修改，就能用於投放後門、勒索軟體、偵察工具，以及其他惡意軟體。，此外，TaskWeaver還會為受害電腦建立指紋進行追蹤，並從C2基礎設施接收JavaScript模組然後執行。

'

Oracle E-Business Suite重大漏洞被用於實際攻擊

來源：https://www.ithome.com.tw/news/176956

iThome資安新聞編輯團隊溫馨提醒

擔心錯過重要的資安新聞嗎？資安日報與資安週報即日起推出免費電子報訂閱，每天每週直送資安要聞，提供專業、易懂、便於轉述的最佳中文資安情報，助你掌握全球與臺灣最新資安脈動。

'