Veeam發布Backup for Microsoft 365 8.5版，強化Microsoft 365資料保護與管理能力

來源：https://www.ithome.com.tw/news/176981

資料保護軟體業者Veeam近日發布Veeam Backup for Microsoft 365 8.5版，針對效能與操作管理等兩大面向，提供一系列改進功能，協助企業提升Microsoft 365環境的資料復原能力。

8.5版最顯著的改進是在效能方面，特別是針對Exchange與SharePoint的備份效能。

在Exchange方面，透過同步（Sync）與儲存庫（Repository）寫入的平行處理，可以讓大型Exchange信箱箱備份作業效率提高26%。

在SharePoint方面，則藉由將非同步處理機制擴展到內容檢索和檔案快取操作，提升SharePoint備份與物件儲存庫效能。同時透過對於大型資料集的資料庫查詢作業最佳化，顯著提升含有大量物件的SharePoint備份速度。最後，則是降低SharePoint儲存庫的記憶體使用量，並提升備份效能。

而在操作管理方面，8.5版則提供這幾個方面的改進與擴展。

首先，新增PowerShell cmdlet管理指令，用於協助管理者修復某些受損的還原物件。其次，改進SharePoint網站的還原組態設定，將SharePoint網站還原到同一組織的不同位置時，可以保留權限與成員設定。第三，改善備份與還原事件的處理流程，避免NATS訊息串流累積過多事件資料，有助於改善大型部署環境的穩定性與效能。第四，新增支援Microsoft Exchange Server Subscription Edition（SE）。

最後，還有對於部分備份還原作業的術語調整，配合Microsoft最新命名方式，將Microsoft Teams頻道訊息（Channel Messages）的術語由chats調整為posts。

'

CI/CD供應鏈存在Cordyceps風險，GitHub Actions流程恐遭挾持

來源：https://www.ithome.com.tw/news/176978

AI滲透測試平臺業者Novee Labs公開一類名為Cordyceps的CI/CD供應鏈風險，指出許多開源專案使用GitHub Actions建立自動化工作流程時，若未妥善處理外部輸入與執行權限，攻擊者可能藉由留言、拉取請求（Pull Request，PR）、分支名稱，或流程產生的檔案與輸出資料，讓自動化流程執行非預期指令，進而竊取憑證、操控儲存庫，甚至影響後續軟體發布。

Cordyceps並非GitHub平臺本身的漏洞，而是自動化流程設計與維護上的安全缺陷。GitHub Actions常被用來執行測試、建置、發布套件與部署雲端資源，也可能握有簽署金鑰、權杖或雲端存取權限，因此相關設定雖然看似只是專案設定檔，實際上卻可能接觸程式碼、金鑰與雲端服務。當流程把外部使用者可控制的內容視為可信資料，就可能讓攻擊者借用專案原本授予自動化系統的權限。

研究團隊掃描約3萬個高影響力儲存庫，初步標記654個儲存庫，其中超過300個被確認可被利用，影響包括讓流程執行攻擊者控制的程式碼、偽造CI檢查並繞過合併門檻、污染建置或發布流程、竊取雲端憑證或自動化權杖，以及透過自動化機器人帳號影響專案操作。該公司也列舉微軟、Google、Apache、Cloudflare與Python Software Foundation等組織相關開源專案案例。

Cordyceps風險不一定會出現在單一設定檔中，而是常發生在多個流程串接之後，例如低權限流程先接收外部貢獻者提交的內容，再透過流程產生的檔案、輸出資料或環境檔，把資料交給高權限流程處理。當高權限流程同時能存取寫入權限或雲端憑證，攻擊者就可能把不可信資料帶進受信任環境。以單一工作流程檔做規則比對的工具，便較難發現此類問題。

AI程式碼代理工具可能放大這類風險，因為這些工具能快速產生或修改CI/CD設定，要是缺少安全審查，同一種錯誤可能被複製到更多專案。研究人員提醒，開發者應把CI/CD流程視為安全關鍵程式碼，重新檢查外部輸入、流程權限、憑證使用方式，以及自動化步驟能觸及的發布管線與雲端部署權限。

'

日產汽車證實Oracle PeopleSoft系統被駭

來源：https://www.ithome.com.tw/news/176980

日本汽車大廠日產（Nissan）證實，近日公司使用的Oracle PeopleSoft系統遭駭，導致美洲分公司資料外洩，內容包括員工薪資、稅務與人事檔案。

根據北美日產（Nissan North America Inc.）上週向加州總檢察長辦公室（OAG）提交的資料外洩通知，事件發生在2026年5月27日到6月9日之間，影響範圍涵括美國、加拿大、墨西哥和巴西等分公司。

日產在通知信件中，說明攻擊者利用該公司的HRM系統Oracle PeopleSoft的漏洞，存取了屬於前任和現任員工的資訊。外洩資料包括員工姓名、地址等基本資料，銀行帳號、薪資、稅務資料等財務資訊，以及政府身分證件資訊包括社會安全號碼、社會保險號碼、國民身分證字號等。此外還有員工的受扶養人以及受益人的個人資訊。

日產已通知受影響的人員，並表示已與外部資安專家合作切斷未授權存取並強化系統安全、通報司法與監管機關。為了防止薪資盜領等非法行為，該公司也針對處理薪資變更與請求的流程，強制實施多因素身分驗證（MFA），並對受影響的員工提供信用監測或暗網監控服務。

這家日本汽車大廠可能是6月以來最新曝光的Oracle PeopleSoft被駭的受害者。Google及旗下Mandiant研究人員推斷，駭客組織ShinyHunters從5月底到6月初濫用了PeopleSoft的CVE-2026-35273漏洞。ShinyHunters聲稱成功駭入了上百家組織，包括已經證實資料外洩的英國諾丁漢大學。

今年4月日產還有另一起資料外洩事件。媒體報導指出，北美日產（Nissan & Infiniti）經銷商體系所使用的第三方IT外包商GCSSD於今年1月遭到入侵。後者存取該業者處理與傳輸日產經銷商資料的FTP伺服器。勒索軟體組織Everest聲稱，成功竊取高達900GB的資料庫檔案，包含客戶、經銷商、財務和原始程式碼資料，涵括2013年到2026年1月的資料。由於Nissan拒絕支付贖金，Everest組織選在2026年4月1日正式對外公開此事件，並在4月中旬將所有資料在暗網與駭客論壇上全面流出。

'

Arena將AI模型評測變現，年化收入達1億美元

來源：https://www.ithome.com.tw/news/176979

AI模型評測平臺Arena周一（6/29）宣布，旗下企業版AI模型評測服務AI Evaluations推出8個月，年化收入（Annualized Run-Rate Revenue）已達1億美元。

Arena源自加州大學柏克萊分校2023年的AI模型評測研究專案，最初名為LMArena，以免費AI模型評測平臺打開知名度，使用者只要輸入同一個Prompt，系統便會將其分別交由兩個匿名AI模型回答，再由使用者投票選出較佳答案，藉此蒐集大量真人偏好資料，建立AI模型排行榜，之後於2025年4月正式成立公司。該平臺目前已累積逾7億筆對話、8,200萬次投票及每月超過1,000萬名訪客，成為AI業界觀察模型表現的重要指標之一。

2025年9月，Arena推出企業版AI模型評測服務AI Evaluations，向企業、AI模型實驗室及開發者提供基於真人回饋的模型評測與分析服務，協助客戶了解模型在實際應用中的表現、優勢、弱點及取捨。Arena表示，AI Evaluations也提供可追溯的評測資料樣本及服務水準協議（SLA），協助客戶更有效率地評估及改善AI模型。

Arena表示，年化收入突破1億美元，代表公司已建立可持續的商業模式，未來將持續投資Arena平臺，推出更多功能、工具及AI協作方式。其中，Agent Mode可評估AI代理執行長時間、多步驟任務時的完成率及幻覺率，以補足傳統靜態基準測試的不足；該功能推出僅1個月，每月已處理逾500萬次互動，且每周成長約10%。

此外，Arena也感謝使用者貢獻數億筆對話及數千萬次投票，強調使用者投票不僅支撐免費且獨立的評測平臺，也有助於引導AI模型朝更符合使用者偏好與價值的方向發展。

同樣成立於2024年的AI模型評測平臺Yupp則已於今年3月31日宣布停止營運。當時Yupp表示，該公司原本希望打造AI模型評測的雙邊市場，讓使用者免費使用多個AI模型，再利用真實使用資料協助AI實驗室評估模型，儘管累積逾130萬名使用者，也曾有多家AI實驗室付費使用，但仍未找到足以支撐營運的產品市場契合，因此決定關閉服務。

'

立院三讀通過「虛擬資產服務法」，服務商採許可制，金融業可申請兼營

來源：https://www.ithome.com.tw/news/176977

立法院今天(6/30)三讀通過「虛擬資產服務法」，象徵臺灣虛擬資產產業正式由過去以「洗錢防制法」為核心的登記管理模式，進一步邁向涵蓋業務監理、投資人保護與金融穩定的專法治理階段。

在此之前，金管會即以4階段逐步強化對虛擬資產服務的管理。第一階段在2021年修改現有的洗錢防治法，先將VASP納入管理，第二階段於2024年促成「虛擬資產服務商」（Virtual Asset Service Provider, VASP）成立公會，以訂定產業自律規範，第三階段為在洗防法中建立VASP登記制度，第四階段是推動「虛擬資產服務法」立法，以更完整規範VASP業者。

VASP從登記制到許可制，涵蓋交易、保管與借貸等業務

依據新法，未來VASP業者將全面改採「事前許可制」，業者須符合最低資本額、營業保證金、內部控制與內部稽核等要求，並向金管會申請執照後方可經營。已完成洗錢防制登記的業者，未來需於新法施行後一年內提出申請，並在最長2年的緩衝期內取得許可。

新法所規範的執照類型涵蓋虛擬資產交換、交易平台、移轉、保管、承銷、借貸及其他相關業務。因不同業務涉及的風險程度與監理強度不同，金管會後續將會公布相關子法與管理辦法。

在新法三讀通過後，資誠聯合會計師事務所金融產業服務營運長郭柏如表示，「虛擬資產服務法」三讀通過，代表臺灣的虛擬資產監理已從單一的洗錢防制要求，升級為「業務監理＋投資人保護＋金融穩定」的完整框架，有助於推動亞洲資產管理中心政策及區域數位金融發展。

金融業可申請兼營，數位金融生態系開始整合

此次專法另一項重要變革，是明文開放傳統金融業者得申請兼營虛擬資產相關業務。

除既有VASP業者外，銀行、證券及其他金融機構未來可在符合金管會資格條件下申請兼營，或透過旗下子公司取得相關執照。這意味著虛擬資產業務將逐步與既有金融體系整合，形成更完整的數位金融供應鏈。

不過，金融機構若投入相關業務，仍須考量基礎設施建置成本、洗錢防制與資安要求，以及巴塞爾銀行監理委員會（BCBS）加密資產分類框架所涉及的額外資本計提要求。

穩定幣納入專章管理，準備資產須存放境內

「虛擬資產服務法」也首度以專章方式規範穩定幣發行。

依規定，未來穩定幣發行人必須取得金管會許可，並將足額準備資產存放於境內金融機構，且須與自有財產分別保管、定期查核並對外揭露。此外，穩定幣須以面額發行與贖回，且不得支付任何形式的利息或收益。

這項設計被視為兼顧創新與金融穩定的重要機制，有助於降低穩定幣挪用準備金或流動性不足的風險。

強化投資人保護與反詐機制

在投資人保護方面，專法也要求VASP必須將客戶資產分離保管，建立商品上下架審查與資訊揭露機制，並禁止誇大不實或誤導性廣告，同時強制業者加入同業公會。

作為政府與產業的溝通管道及產業自律組織，VASP公會表示，專法通過後，後續將協助主管機關制定相關的子法，例如設置辦法、人員管理規則、管理辦法、內部控制制度處理準則、異常交易管理辦法、委外作業辦法、財報編製準則等等，同時也將透過「上、下架審查」、「紀律」及「防範金融詐騙、洗錢暨法遵」等委員會，協助業者平穩過渡至新制度。該公會也將串聯檢警調、金融機構與合規VASP業者，建立情資共享、可疑交易通報、鏈上交易分析與風險地址辨識等聯防機制，以提升詐騙與金融犯罪防制能力。

未經許可最高可罰1億元，涉操縱市場可重判10年

相較於先前的「洗錢防制法」，對於未登記經營只處2年以下有期徒刑或500萬元以下罰金，新法大幅提高罰則。

未經許可經營虛擬資產服務業務者，最重可處7年以下有期徒刑，並得併科1億元以下罰金；若涉及操縱虛擬資產交易價格或供需，則可處3年以上、10年以下有期徒刑，併科1,000萬元以上、2億元以下罰金。

從自律走向專法治理

這次專法通過，VASP公會認為，象徵臺灣虛擬資產產業正式由產業自律邁向專法治理，未來將以「納管與創新並行」為核心，在保障投資人權益的同時，推動虛擬資產與主流金融體系融合發展。

未來隨專法建立VASP許可制、穩定幣管理、金融業兼營、反詐聯防機制、投資人保護等制度上路，國內數位金融監理架構從早期的洗錢防制管理，進一步發展為涵蓋市場秩序、資產安全與金融穩定的完整制度，對於虛擬資產產業將可提供明確的發展路徑。

'

【資安日報】6月30日，網路曬票存在風險，資安署呼籲民眾應有效遮蔽條碼

來源：https://www.ithome.com.tw/news/176976

本日新聞焦點

● 網路曬票存在風險，應有效遮蔽票券條碼資訊

● 中國駭客於東南亞政府及能源設施散布後門TinyRCT

● SimpleHelp滿分重大漏洞被用於散布惡意軟體

資安署解析網路曬票風險，呼籲民眾有效遮蔽儲存許多資訊的票券條碼

為了提高民眾的防範意識，數位發展部資通安全署召開記者會，提醒民眾在社群媒體上習以為常的「曬票打卡」行為，看似無害地分享喜悅，實則可能在瞬間讓個人旅遊行程、訂位資訊、乃至入場資格拱手讓人。資安署署長蔡福隆表示，機票與演唱會門票上的條碼，並非只是供驗票閘門識別的符號，而是包含大量個人敏感資訊的微型資料庫。一旦這些照片在未經妥善處理的情況下流出，任何人都可能在幾秒內取得關鍵個資，進而對票券擁有者造成難以估量的損害。詳全文

中國駭客UAT-7237鎖定東南亞政府及能源關鍵基礎設施，散布後門TinyRCT

Palo Alto Networks威脅研究團隊Unit 42追蹤中國駭客CL-STA-1062攻擊行動，近期攻擊範圍延伸至東南亞政府機關與能源關鍵基礎設施。Unit 42認為，這與思科威脅情報團隊Talos稱為UAT-7237的駭客團體是同一批人馬，當時傳出曾攻擊臺灣網站的代管基礎設施。駭客至少自2022年3月開始活動，2025年則鎖定東南亞政府、能源產業與國營企業。CL-STA-1062於2025年9月入侵東南亞政府機關，部署可遠端下指令的後門程式，同年10月至12月，至少有10個組織疑似遭入侵。詳全文

俄羅斯駭客Turla使用後門StockStay於烏克蘭從事間諜活動

俄羅斯自2022年2月入侵烏克蘭，戰爭持續超過4年尚未結束，而這段期間，俄羅斯駭客配合軍事行動從事網路間諜活動的情形陸續傳出，最近Google威脅情報團隊（GTIG）揭露的後門程式StockStay，就是被稱為Turla、UAC-0194、Secret Blizzard俄羅斯駭客團體用於間諜活動的工具。相關攻擊行動可追溯至2022年12月，Turla曾對烏克蘭政府機關與軍事組織，以及對義大利外交政策感興趣的組織使用StockStay。此後門程式由數個不同的元件組成，起初被偽裝成股市資料檢視工具而得名。詳全文

遠端監控與管理軟體SimpleHelp滿分重大漏洞已遭利用

上個月遠端監控與管理軟體SimpleHelp發布5.5.16與6.0 RC2更新，修補CVSS風險評分達到滿分10分的重大漏洞CVE-2026-48558，如今此漏洞已出現實際攻擊。資安公司Blackpoint提出警告，他們在一家偵測與回應代管（MDR）廠商的資安事故裡，發現攻擊者利用了CVE-2026-48558，於SimpleHelp伺服器建立技術人員（Technician）連線，隨後部署惡意程式載入工具TaskWeaver，以及竊資軟體Djinn Stealer，竊取AI開發工具及開發環境的憑證資料。詳全文

美國警示SimpleHelp滿分漏洞被用於實際攻擊

資安公司Blackpoint近日指出，他們發現有人利用SimpleHelp滿分重大漏洞CVE-2026-48558，對一家偵測與回應代管（MDR）廠商散布惡意程式TaskWeaver與Djinn Stealer，6月29日美國網路安全與基礎設施安全局（CISA）表示，他們將CVE-2026-48558列入已遭利用漏洞清單（KEV），並要求聯邦機構在7月2日前完成修補，原因是已掌握該漏洞遭到積極利用的證據。至於該漏洞是否被用於勒索軟體活動？CISA表示不清楚。詳全文

Lantronix漏洞疑遭逆向分析修補內容後利用，OpenWrt裝置也遭暴力破解

物聯網與遠端連線設備業者Lantronix旗下序列埠轉IP設備EDS5000存在重大漏洞CVE-2025-67038，美國網路安全與基礎設施安全局（CISA）於6月23日將其列入已遭利用漏洞（KEV）名單。網路資產管理與資安業者Forescout隨後於6月25日發布研究，揭露這項漏洞的實際濫用跡象。攻擊者在4月5日開始利用CVE-2025-67038，時間點在Lantronix發布修補程式之後、完整技術細節公開之前。Forescout因此研判，攻擊者可能是透過逆向分析修補內容，自行開發漏洞利用程式。詳全文

駭客利用Joomla JCE漏洞攻擊政府網站，馬來西亞NC4示警

馬來西亞國家網路安全局（NACSA）旗下國家網路協調與指揮中心NC4於6月26日示警，觀察到多起涉及CVE-2026-48907已知漏洞的攻擊事件，造成多個政府部門網站受到影響，包括：衛生部、合作社委員會、手工藝發展局、婦女發展局等。由於美國網路安全與基礎設施安全局（CISA）已在6月16日，將此漏洞列入已遭利用漏洞清單（KEV），但當時具體受害者身分未公開，而本次事件則是首批有明確受害單位浮上檯面的案例。詳全文

Oracle E-Business Suite重大漏洞被用於實際攻擊

6月29日威脅情報公司Defused Cyber於社群網站X提出警告，他們首度偵測到有人試圖利用Oracle E-Business Suite（EBS）漏洞CVE-2026-46817，由於該漏洞目前尚未有公開的概念驗證程式碼（PoC），因此後續情形相當值得繼續追蹤。CVE-2026-46817存在於EBS子系統Oracle Payments當中的檔案傳輸元件，未通過身分驗證的攻擊者只要透過HTTP存取就能輕易利用，一旦成功利用該漏洞，就能接管Oracle Payments，CVSS風險評為9.8分，Oracle於今年5月關鍵安全修補更新（CSPU）修補。詳全文

FIFA 2026足球賽詐欺生態圈存在近4千個冒牌網域

2026年世界盃足球賽（FIFA World Cup）於6月11日展開，相關的網路詐騙呈現爆炸性增長，繼資安公司CTM360提出警告後，威脅情報公司Cyble揭露Operation FanTrap活動，駭客利用詐騙網域、社群媒體、即時通訊平臺、盜版球賽轉播，以及暗網活動等管道，建立經過協調的生態系統，該公司從今年5月開始，已確認近4千個冒充FIFA相關品牌、票務平臺、球賽串流服務，以及面向球迷資源的網域，藉由假的門票優惠、VIP優先入場計畫、接待服務、未經授權的串流平臺等誘餌，意圖引誘球迷上當。詳全文

美國查封近400個用於非法直播FIFA 2026賽事的網域

6月26日美國司法部（DOJ）宣布，他們發現近400個被用於未經授權轉播世界盃足球賽（FIFA World Cup）的網域，根據該國的版權法將其查封。這些被查封的網域被用來非法向用戶提供受版權保護的內容，以即時串流播放2026年世界盃足球賽。值得留意的是，這些盜版轉播網站不光涉及版權侵害，還有可能讓球迷暴露於潛在資安威脅，像是惡意軟體與不安全連線，而有可能洩露個資或財務資料。詳全文

波蘭破獲SIM卡挾持犯罪集團，透過接管門號竊取數位資產

波蘭中央網路犯罪局（CBZC）於6月25日宣布，在美國聯邦調查局（FBI）及國土安全調查局（HSI）協助下，逮捕4名涉嫌從事SIM卡置換（SIM Swapping）攻擊的犯罪集團成員。嫌犯利用專業軟體及社交工程，入侵與電信業者合作企業的資訊基礎設施及員工電子郵件，取得攻擊所需資料及受害者的門號控制權，接著犯罪集團便可攔截受害者的SMS簡訊及電子郵件驗證訊息，進而接管帳號並竊取數位資產，總金額超過500萬美元。詳全文

Amadey與StealC共用基礎設施，兩週內感染逾14萬臺電腦

上週歐洲刑警組織（Europol）發表執法行動Operation Endgame最新一波成果，多國執法單位與微軟等多家企業組織聯手，成功破壞惡意程式SocGholish（FakeUpdates）、Amadey和StealC背後的犯罪基礎設施。參與此次執法的微軟，也透露本次打擊網路犯罪與過往的最大不同，他們針對的是網路攻擊供應鏈。僅五月前兩週，微軟就看到全球有14萬臺電腦感染這兩款惡意程式。這次該公司借助AI的力量進行分析，並指出雖然Amadey與StealC由兩組駭客團體在經營，卻仰賴相同的基礎設施。詳全文

攻擊者濫用OpenAI組織邀請，偽冒企業租戶誘騙員工加入

資安公司Push Security近期遭遇一起OpenAI組織邀請功能濫用事件。攻擊者建立名為「Push Security Inc」的OpenAI組織，透過OpenAI合法通知信邀請該公司特定員工加入，試圖讓受害者誤認這是公司正式租戶，進而在攻擊者控制的AI工作環境中使用ChatGPT或API。由於攻擊者並非偽造OpenAI郵件，而是濫用平臺本身提供的合法邀請機制，若員工誤以為公司已建立正式OpenAI組織，並開始在其中輸入機密資料，攻擊者就能掌握相關內容。詳全文

大規模Edge惡意延伸套件活動StegoAd超過2年，微軟移除119個惡意套件

微軟揭露大規模攻擊行動StegoAd，有人於2024年初至2026年4月，於Microsoft Edge Add-ons Store使用超過90個帳號，上架119個惡意套件，這些套件標榜擋廣告、VPN服務、翻譯工具，以及下載影片等用途，且確實具備駭客描述的功能，然而實際上駭客利用隱寫術（steganography）將惡意程式碼埋藏在圖檔，藉此從事廣告詐欺，這些套件迄今已被下載260萬次，影響範圍可能相當廣泛。由於駭客採取的迴避偵測手法，使得惡意套件並非每次安裝後都會觸發惡意酬載，因此相關活動難以察覺。詳全文

美國聯邦保險監管機構遭Oracle PeopleSoft漏洞入侵導致資料外洩

美國聯邦保險監管機構National Association of Insurance Commissioners（NAIC）於6月26日指出，他們於6月11日遭遇Oracle PeopleSoft漏洞攻擊，導致駭客能在未取得授權的情況下，存取部分NAIC環境，該機構已封鎖駭客入侵的管道並進行修復。這起事故源自一起大規模攻擊活動，攻擊者利用PeopleSoft當時未公開的零時差漏洞，NAIC聘請律師與資安專家協助處理，美國聯邦調查局（FBI）也介入調查，NAIC亦掌握攻擊者公布竊得資料的情形。詳全文

libssh2 SSH函式庫重大漏洞公開PoC問世，利用風險升高

上週揭露的開源SSH函式庫libssh2重大漏洞CVE-2026-55200，如今已有研究人員公開概念驗證（PoC）程式碼，使漏洞遭利用的風險進一步升高。據資安媒體The Hacker News報導，已有研究人員在GitHub發布PoC程式，驗證漏洞可被觸發，雖然尚非可直接用於實際攻擊的完整利用程式，但已大幅降低後續開發攻擊工具的門檻。由於目前尚無正式的libssh2修補版本，The Hacker News建議採用英國國民保健署（NHS England）提出的緩解措施因應。詳全文

Dell修補Wyse管理平臺重大漏洞，未更新可能導致遠端程式碼執行

Dell近日發布資安公告，修補精簡型電腦（Thin Client）集中管理平臺Wyse Management Suite（WMS）的兩項漏洞。其中最嚴重的CVE-2026-41120，CVSS嚴重性評分達9.8分，問題源自WMS未能妥善區分可信任與非可信任資料，攻擊者僅需具備低權限遠端存取能力，即可利用漏洞在WMS伺服器執行任意程式碼，Dell已於WMS 5.5 HF1版完成修補。Dell這次修補的另一個漏洞是CVE-2026-49506，屬於路徑遍歷（Path Traversal）問題。詳全文

Linux基金會旗下FINOS規畫成立開源企業韌性聯盟OSERA，協助金融業修補開源套件

AI加快漏洞發現與利用速度，也大幅壓縮企業部署修補的防禦空窗期。Linux基金會旗下金融服務開源組織FINOS於Open Source in Finance Forum宣布，計畫成立開源企業韌性聯盟（Open Source Enterprise Resiliency Alliance，OSERA），協助金融機構與其他受監管企業共同處理開源軟體供應鏈風險。OSERA定位為全球性、廠商中立且由會員共同治理的聯盟，目標是針對金融機構採用的共通開源套件版本，建立聯合修補、驗證與採用機制。詳全文

微軟延長Windows Server 2022熱修補支援至2027年10月

6月26日微軟宣布，Windows Server 2022 Datacenter: Azure Edition的熱修補（Hotpatch）支援期限，將從原本的2026年10月延長至2027年10月。這項調整即日起生效，已啟用此功能的伺服器不需要額外採取行動，仍會依照既有的每月更新週期，接收以熱修補形式發布的安全更新。這次的調整代表，Windows Server 2022 Datacenter: Azure Edition的熱修補機制將再提供1年，不會因主流支援於2026年10月結束而停止。詳全文

從DevSecOps走向信任設計，酷澎指出資安更大的目標是消除使用者不確定感

【臺灣資安大會直擊】酷澎全球資安總監Stanley Chou（周彥儒）指出，資安不僅是技術防護，更要延伸為「信任設計」，核心目標是消除使用者的不確定感。他提出三步驟：定義關鍵場景、找出信任失效模式、建立信任承諾，並透過邊界、保證與韌性三維度驗證。酷澎以FIDO2 Passkey免密碼登入為例，降低「秘密共享」的不安，提升使用者信賴。此設計已累積逾50萬金鑰，採用率與使用率均高，展現信任設計的成效與持續優化方向。詳全文

'

群暉修補MailPlus Server重大漏洞，未更新可能導致攻擊者讀寫檔案或阻斷服務

來源：https://www.ithome.com.tw/news/176975

群暉（Synology）於6月26日發布資安公告，修補郵件伺服器套件MailPlus Server的三項漏洞，可能導致未授權存取檔案、拒絕服務、存取內部服務等問題，影響搭配DSM 7.2.1、7.2.2與7.3版的MailPlus Server套件，啟用此套件的用戶應儘速升級至已修補的4.0.1-21663、4.0.1-31663等版本。

MailPlus Server是群暉DSM平臺提供的郵件伺服器套件，供使用者在NAS上架設自身的郵件服務，這次修補的三項相關漏洞中，CVSS嚴重性評分最高的CVE-2026-13136，CVSS評分達10分滿分，問題源自授權驗證機制缺陷，可能導致遠端攻擊者讀取或寫入任意檔案，並發動阻斷服務攻擊。其次是CVE-2025-15660，CVSS評分達9.6分，源自使用加密偽亂數產生器強度不足，同樣可能導致攻擊者藉此讀寫檔案或造成服務中斷。

資安業者Bitsight透過其Groma Explorer掃描引擎的掃描顯示，全球仍有超過2,100臺部署MailPlus Server的系統直接暴露於網際網路，以地區來看，數量最多的是韓國與德國，分別有760臺與741臺，臺灣也有502臺，排名第4，用戶應儘速更新，以降低遭攻擊風險。

'

美國聯邦保險監管機構遭Oracle PeopleSoft漏洞入侵導致資料外洩

來源：https://www.ithome.com.tw/news/176973

6月上旬駭客組織ShinyHunters傳出利用零時差漏洞CVE-2026-35273發動大規模攻擊，號稱駭入上百家企業組織的Oracle PeopleSoft伺服器，如今傳出美國監管機構受害。

根據資安新聞網站Infosecurity Magazine報導，美國聯邦保險監管機構National Association of Insurance Commissioners（NAIC）於6月26日指出，他們於6月11日遭遇Oracle PeopleSoft漏洞攻擊，導致駭客能在未取得授權的情況下，存取部分NAIC環境，該機構已封鎖駭客入侵的管道並進行修復。NAIC強調，這起事故源自一起大規模攻擊活動，攻擊者利用PeopleSoft當時未公開的零時差漏洞犯案而得逞，NAIC聘請律師與資安專家協助處理，美國聯邦調查局（FBI）也介入調查，NAIC亦掌握攻擊者公布竊得資料的情形。

針對事故曝險的範圍，NAIC表示他們在PeopleSoft存放了內部的財務報告資料，攻擊者可能取得公開的法定財務報告、信用評等機構的資料等，但不含個人可識別資訊（PII）、付款及財務資訊遭存取。不過，NAIC並未透露的CVE編號，也沒有說明攻擊者的身分。

'

俄羅斯駭客Turla使用後門StockStay於烏克蘭從事間諜活動

來源：https://www.ithome.com.tw/news/176972

俄羅斯自2022年2月入侵烏克蘭，戰爭持續超過4年尚未結束，而這段期間，俄羅斯駭客配合軍事行動從事網路間諜活動的情形陸續傳出，最近Google威脅情報團隊（GTIG）揭露的後門程式StockStay，就是被稱為Turla、UAC-0194、Secret Blizzard俄羅斯駭客團體用於間諜活動的工具。

相關攻擊行動可追溯至2022年12月，Turla曾對烏克蘭政府機關與軍事組織，以及對義大利外交政策感興趣的組織使用StockStay。StockStay為.NET開發的後門程式，是以Windows Forms框架為基礎打造而成，在這個後門程式中，也採用開源程式庫websocket-sharp建置安全的WebSocket通訊，以便與C2連線。此後門程式由數個不同的元件組成，起初被偽裝成股市資料檢視工具，但GTIG指出，2025年駭客也將其偽裝成PDF檢視工具、計算機等應用程式散布。

針對部署StockStay的過程，駭客通常會從伺服器下載StockStay.MarketMaker的下載工具，然後傳輸及安裝其他模組，其中包含了隧道元件StockStay.StockBroker、控制器元件StockStay.StockMarket，以及後門元件StockStay.StockTrader。

'

美國FCC強化海底電纜管理，新規納入終端設備並加速安全審查

來源：https://www.ithome.com.tw/news/176971

海底電纜承載全球絕大多數國際網際網路流量，也是支撐民生、商業及國防通訊的重要基礎設施。美國聯邦通訊委員會（FCC）於6月25日通過新版海底通訊電纜管理規則，新增海底線路終端設備（SLTE）掌管者與營運者許可要求，並調整海底電纜申請案審查機制。FCC表示，新措施目的在於為符合高安全標準的業者提供快速審理流程，同時強化國家安全，簡化並加速海底電纜基礎設施的部署，以因應AI運算與連網需求成長。

根據FCC說明，符合高安全標準且具備良好營運紀錄的海底電纜業者，可望在符合條件下，免除美國行政部門跨機關審查小組Team Telecom的完整審查，加速取得營運許可。不過，業者仍須同意接受FCC後續監督與合規監測，並確保海底電纜系統符合相關國家安全要求。

新版規則另一項重大變革，是將海底線路終端設備（SLTE）掌管者與營運者納入許可管理。SLTE負責連接海底電纜與美國陸地通訊設施，是海底電纜系統中執行關鍵功能的設備。FCC認為，此舉有助於監管與補強海底電纜網路最脆弱的其中一個環節，提升整體安全性。此外，FCC也更新海底電纜安全防護要求，將關鍵設備與第三方服務供應商等可能影響系統安全的環節納入管理。

路透社指出，美國政府近年多次警告，海底電纜基礎設施面臨來自中國及俄羅斯等國家的國家安全風險，因此持續強化審查與管理。FCC新規也預期擴大限制來自中國或其他被美國認定為外國敵對勢力國家的設備，用於美國海底電纜系統。另一方面，隨著AI資料中心及雲端服務快速成長，Meta與Google等美國大型科技業者可望受惠於快速審查機制，更快取得新海底電纜系統的部署許可。

'

WhatsApp告別純手機號碼時代，將推出Username

來源：https://www.ithome.com.tw/news/176970

Meta周一（6/29）宣布，旗下通訊軟體WhatsApp將於今年稍後推出使用者名稱（Username）功能，讓使用者不必公開電話號碼，也能透過Username與陌生人、企業或群組建立聯繫，並自本周起開放全球使用者搶先預約Username，未來將分階段於各國推出。

WhatsApp為全球用戶數最多的通訊服務。Meta表示，目前WhatsApp在180多個國家擁有超過30億名使用者。不過，WhatsApp長期以電話號碼作為主要身分識別，與Telegram、Signal及臺灣常用的LINE等早已支援Username或LINE ID的通訊服務不同；這次導入Username，代表WhatsApp開始補上主流通訊服務常見的隱私設計，逐步告別純手機號碼時代。

Meta表示，使用者可將WhatsApp更新至最新版本，前往「設定→帳號→Username」預約使用者名稱。由於WhatsApp用戶眾多，許多名稱可能重複，因此決定在功能正式推出前提前開放預約，讓使用者有機會搶先保留想要的Username。

Username功能預計於未來數個月分階段在各國推出。待開放後，使用者若啟用Username，首次聯繫未儲存其電話號碼的個人或商家時，對方將只看到Username，而非電話號碼。

'