Meta首設資料長，強化AI時代資料分析治理

來源：https://www.ithome.com.tw/news/177040

Axios周三（7/1）率先披露，Meta已任命現任行銷長Alex Schultz為該公司首任資料長（Chief Data Officer，CDO）。Schultz隨後也在LinkedIn證實，未來將負責協助Meta建立適合AI時代的資料分析與決策架構。

Schultz表示，過去幾年他同時負責行銷與資料分析業務，隨著AI快速發展，他愈來愈確信資料、研究與實驗已成為企業最重要的策略能力，但傳統產生分析洞察的方法已逐漸逼近極限。未來他將協助Meta改造在AI時代學習與決策的方式。

Axios指出，這項人事調整反映資料分析與資料基礎設施已成為Meta推動AI策略的關鍵能力。Schultz未來將持續管理Meta基礎設施分析團隊，並負責使用者研究、競爭情報及董事會分析報告等工作。

至於行銷長將由負責消費者行銷與成長業務的Denise Moreno接任。Moreno已在Meta任職17年，長期負責產品成長與行銷，近年也協助Threads用戶數成長至5億以上。

'

Oracle E-Business Suite最新重大漏洞，全球逾900臺執行個體曝險

來源：https://www.ithome.com.tw/news/177037

研究人員估計，近日傳出遭到濫用的Oracle商務套件E-Business Suite（EBS）最新漏洞CVE-2026-46817，目前全球有將近900個Oracle E-Business Suite執行個體曝露於公開網際網路上，包括臺灣的2臺。

CVE-2026-46817出現在Oracle EBS中Oracle Payments產品中的檔案傳輸元件，它能讓連網的攻擊者透過HTTP呼叫內部Java函數直接進行未授權的任意檔案讀取，即使他並非經過驗證的使用者。最終駭客可能藉此取得Oracle Paymentss執行個體的控制權。本項漏洞CVSS風險值達9.8，影響12.2.3至12.2.15版EBS。甲骨文公司已於今年5月的關鍵安全修補更新（Critical Patch Update，CPU）修補。

威脅情報業者Defused Cyber本周警告，已首度偵測到CVE-2026-46817的濫用活動。

網路安全監控組織Shadowserver基金會本周統計全球曝露於網際網路上可被公開存取的Oracle EBS執行個體總計還有950臺，其中北美佔超過半數，亞洲還有超過200臺，其中臺灣還有2臺。但不確定這些機器是否已安裝更新。

目前尚未有組織或企業受害的公開報導。但由於Oracle EBS資料重要性，研究人員呼籲用戶應儘速安裝最新版本，或是將伺服器限制僅由VPN或內網存取。

這是Oracle商務系統被濫用的最新漏洞。去年Oracle EBS漏洞CVE-2025-61882被勒索軟體組織Clop大規模利用。多家知名組織受害，哈佛大學、賓州大學、達特茅斯學院、鳳凰城大學、《華盛頓郵報》、羅技（Logitech）及日立集團下的GlobalLogic。

近日則有駭客組織ShinyHunters攻擊Oracle PeopleSoft 漏洞CVE-2026-35273。這幫駭客宣稱成功駭入超過百家組織。

'

資安研究人員揭露AI開發工具Cursor重大漏洞，攻擊者可經由提示注入突破沙箱並執行任意程式碼

來源：https://www.ithome.com.tw/news/177036

資安廠商Cato Networks所屬的AI安全研究團隊於7月1日發布報告，揭露其發現的AI輔助程式開發工具Cursor兩項重大漏洞細節，分別為CVE-2026-50548與CVE-2026-50549，統稱為「DuneSlide」，可能導致攻擊者透過惡意提示或專案內容觸發提示注入（Prompt Injection），誘使Cursor AI代理程式突破沙箱限制，進一步在開發者系統上執行任意指令。Cursor已於4月2日發布3.0版完成修補，用戶應儘速升級以降低風險。

前述兩項漏洞，都與Cursor AI代理程式執行終端機指令時的沙箱隔離機制有關。自2.x版起，Cursor為AI代理程式執行的終端機指令，提供沙箱隔離機制，以降低惡意指令影響底層系統的風險。但Cato發現的DuneSlide漏洞，可透過提示注入誘使AI代理程式突破沙箱限制。

其中CVE-2026-50548源自工作目錄（working_directory）處理缺陷，攻擊者可誘使AI代理程式寫入超出原本限制範圍的路徑；CVE-2026-50549則涉及符號連結（symlink）與路徑驗證問題，使AI代理程式繞過路徑檢查，寫入工作區外的檔案。兩者都可能導致在底層系統執行任意程式碼，CVSS嚴重性評分都達到9.8分。

Cato於2月19日便向Cursor通報前述兩項漏洞，但未獲接受，Cato於2月26提交修訂版本後，Cursor才確認問題並著手進行修補，接著在6月為漏洞指派CVE編號並登錄於NVD資料庫。

'

FortiBleed憑證竊取活動被用於助長勒索軟體INC Ransom與Lynx攻擊

來源：https://www.ithome.com.tw/news/177035

由資安公司Hudson Rock打造的竊資軟體情報中心InfoStealers於6月17日揭露大規模憑證外洩事故FortiBleed，全球約7.4萬臺Fortinet防火牆與VPN設備的登入憑證遭竊，受害範圍遍布194個國家，影響逾2.1萬個網域，引起全球高度關注，美國網路安全與基礎設施安全局（CISA）、英國國家網路安全中心（NCSC）皆提供防護指引，呼籲用戶儘速採取行動，檢查是否受到影響，並嚴加防範。後續威脅情資公司SOCRadar公布更多調查結果，指出相關活動從今年2月開始，背後的攻擊者身分是俄羅斯駭客，短短半個月執行659次資料竊取活動。如今該公司進一步指出，這些駭客的活動與勒索軟體攻擊有關。

7月1日SOCRadar指出，他們持續利用多種掃描管道與技術，想要掌握整個活動駭客的基礎設施完整樣貌，結果他們另外發現200臺與此攻擊活動有關的伺服器，並在150個國家發現約11,250起FortiGate入口網站的掃描活動，駭客在409臺防火牆得到管理員層級的存取權限，並在354起活動執行了完整的攻擊鏈，駭客透過VPN入侵受害組織，存取網域控制器及網域管理員帳號。值得留意的是，當中有12起演變成勒索軟體活動，受害組織裡數百臺端點電腦遭到加密。

究竟SOCRadar如何確認勒索軟體的種類？源自於駭客在其中一臺伺服器出現營運安全的失誤，使得研究人員能夠掌握駭客的基礎設施環境，取得內部檔案、事件記錄，以及營運相關文件。最明確的事證，是其中一名涉及FortiBleed活動的作業員，竟積極登入INC Ransom與Lynx勒索軟體的談判介面，與受害組織討論贖金金額與付款方式。另一項證據是基礎設施的內容比對，SOCRadar發現FortiBleed的攻擊目標與受害者資料，竟與INC Ransom某個公開資料夾存放的資料集列出的受害者名單一致，因此他們認定是同一個團體同時從事憑證收集，也涉及勒索軟體活動。根據研究人員看到的內部文件，FortiBleed幕後使者為有明確分工的駭客團體，組織規模大約為20人。

'

Claude Code被爆利用隱寫術暗中偵測中國用戶，Anthropic遭炎上緊急撤銷

來源：https://www.ithome.com.tw/news/177034

Anthropic的Claude Code技術主管Thariq Shihipar周三（7/1）透露，Anthropic今日（7/2）將自Claude Code移除一項針對中國市場的實驗性防禦機制。該機制近日遭揭露會暗中偵測中國時區、網域及AI實驗室，並透過隱寫術（Steganography）將結果藏在系統提示詞中回傳，以防範未授權轉售與模型蒸餾（Distillation），但因缺乏透明度引發開發者信任危機。

根據一名Reddit用戶LegitMichel777的描述，他藉由逆向工程在Anthropic於4月2日發布的Claude Code 2.1.91版本中發現，會在使用者改以Proxy或Gateway連線時，透過系統提示詞中的日期格式及Unicode字元差異，暗中傳遞環境資訊。

此一內建於Claude Code的機制主要偵測使用者是否改用Proxy或Gateway、主機時區是否為中國，以及Proxy/Gateway網域是否位於特定清單中，包括DeepSeek、Moonshot、MiniMax、智譜、百川、或是零一萬物等中國AI實驗室。倘若符合條件，Claude Code便會秘密修改發送給模型的系統提示（System Prompt），例如將日期格式從2026-06-30改為2026/06/30；或者將"Today's date is"裡的撇號（'）替換成肉眼難察、但機器可識別的特殊Unicode字元（如’、ʼ、ʹ）。

LegitMichel777認為，Anthropic在原始碼中針對該機制進行XOR加密混淆，且未於更新日誌中披露，屬於侵犯隱私的間諜軟體行為，也破壞了開發者的信任。

這篇兩天前才張貼的Reddit文章旋即引來大量留言，有些人認為這只是常規的遙測及智慧財產權的保護，以預防中國業者蒸餾Claude模型，也有人認同LegitMichel777的看法，覺得Anthropic故意混淆程式碼，利用隱寫術修改提示詞，而且不公開說明的作法的確值得商榷。

也有中國開發者抗議，稱他付費訂閱，也對開源社群有所貢獻，亦未執行蒸餾行為，卻因為時區而被當作二等公民防範。

事實上，在Anthropic Claude的地區支援頁面上，就沒有中國、香港、澳門、北韓、伊朗及俄羅斯等國家或地區。

其實Anthropic在今年2月就曾發表文章，指控中國3大AI實驗室針對Claude發動大規模的蒸餾攻擊，包括DeepSeek、Moonshot與MiniMax，總計利用約2.4萬個虛假的帳號，產生超過1,600萬次的對話，繞過區域限制，以非法榨取Claude的核心能力來訓練自己的模型。

其中，創立於2021年、甫於2026年1月在香港交易所掛牌上市的MiniMax（名之夢）為中國最受矚目的AI獨角獸之一，它與Claude進行超過1,300萬次對話，鎖定自動化編碼、工具調用及編排功能，而且可在Anthropic推出新模型的24小時內轉移近一半的流量，瘋狂抓取最新模型的能力。

Anthropic並未揭露在偵測到這些假帳號之後的作法，但業界的共同作法大抵是封鎖這些違反服務條款的帳號，或是攔截與降級流量。

在Anthropic的作法遭到炎上之後，技術主管Shihipar出面坦承，這是一個在今年3月啟動的實驗，以防止帳號遭到未授權轉售商的濫用，以及防範模型被拿去蒸餾；不過之後團隊已經有了更強大、更有效的防禦機制，本來就打算要關閉該作法，已經合併程式碼變更，將會在隔天的改版更新中撤銷該機制。

'

強化金融防詐！臺灣行動實名認證2026升級，三大電信與臺網聯手推動MID Plus，接軌GSMA國際標準

來源：https://www.ithome.com.tw/news/177027

網路身分安全不斷受到挑戰，金融防詐必須擴大至跨業聯防，使得電信行動身分識別的發展備受關注。臺灣在2018年已推動Mobile ID（簡稱MID），但面對日益複雜的全球網路詐騙浪潮，國際間的全球行動通訊系統協會GSMA於2023年發展相關標準來因應，今年初我們也曾報導GSMA Open Gateway的發展態勢，如今臺灣三大電信業者與臺灣網路認證公司（TWCA）聯手於7月1日宣布，啟動新一代MID Plus（MID+）行動身分認證服務，現場並有三家金融業者現身簽約記者會，共同響應推動臺灣科技阻詐。

臺灣網路認證TWCA（以下簡稱臺網）指出，新一代MID Plus最重要的進展，即是讓臺灣正式導入國際GSMA Open Gateway標準。

回顧過去，行動身分識別服務MID在臺灣已奠定長達8年的深厚基礎，去年身分識別次數更是突破5,000萬次大關，廣泛涵蓋公部門、金融業與一般產業的應用，顯示其已成為數位生活中不可或缺的信任基礎。

如今隨著威脅態勢的轉變，相關防護勢必也要與時俱進，MID Plus在既有基礎上進一步引進國際標準GSMA Open Gateway API，在臺網扮演關鍵樞紐之下，由國內三家電信業者首波導入4支關鍵Open API，將驗證機制從靜態核對跨越至動態防護。

具體而言，支撐MID Plus動態防禦機制的這4支關鍵API，包括：可幫助掌握用戶近期是否更換過SIM卡的「SIM Swap API」、可用於偵測跨境盜刷的「Device Roaming Status API」、可實現無感門號驗證的「Number Verification API」，以及用於資料一致性比對的「KYC Match API」。

為了讓外界更理解這些技術，中華電信網路技術分公司總經理賈仲雍特別針對前兩項舉例說明：當用戶欲進行大額轉帳或綁定電子支付帳戶時，銀行可透過電信業提供的SIM Swap API，查詢該門號近期是否有換卡紀錄，藉此防範人頭戶冒名操作；在海外大額刷卡或提款場景中，則能透過電信業提供的Device Roaming Status API，即時核實用戶是否處於漫遊狀態，以攔阻境外盜刷風險。

談及MID Plus的最大效益，遠傳電信資安長朱建國強調，由於這是國內三大電信業者共同提供的統一介接標準，將可廣泛協助需實名制的企業降低整合成本，並強化銀行開戶、交易檢核或其他數位產業的身分防護場景。他並表示，海外如英國、法國與巴西等地已有成功導入電信身分驗證服務的實例，臺灣電信業也將持續與國際接軌，打造更安全的數位環境。

接軌國際技術規格，GSMA Open Gateway生態系成防詐利器

關於國際電信安全的進展，台灣大哥大企業服務事業商務長朱曉幸有更詳細的說明，她指出，Open Gateway的緣起在於統一全球不同電信業者對API的定義，自2023年GSMA攜手Linux旗下CAMARA開源專案推動全球標準化API以來，目前國際間已有超過86個電信集團（涵蓋320多個行動網路）加入，占全球行動連接總數的81％左右。

在技術推進上，該生態系目前已提供69個標準化API專案，其中包含38個屬於發展成熟的API，而臺灣首波引進的4支API正是其中最核心的防詐利器。未來還將繼續引入更多關鍵API，例如Scam Signal、QoD Quality on Demand、OTP Validation，以及KYC Tenure等，將讓臺灣企業可以更快速地與國際資安防禦體系接軌。

解決金融防詐三大困境，跨業聯防構築數位信任

MID Plus的推出，將大幅降低金融業與公私部門落實防詐與身分核實的技術門檻，助力各界快速升級數位防護力。

過去金融業雖有相關需求，但技術落實往往需歷經艱辛。例如，為了強化身分驗證安全，臺灣中小企業銀行去年7月領先全臺推出SIM卡詐欺防護。臺企銀數位金融部協理蔡育呈表示，這項計畫從發想到上線耗時18個月，實作相當不易。

因此，如今臺網能與國內三大電信業者合作顯得至關重要。未來在GSMA標準化的SIM Swap API串接下，銀行僅需向臺網發起查詢請求，即可一次完成三家電信公司的資料查詢，大幅降低銀行的開發與查詢成本。

關於銀行防詐上的挑戰，第一銀行數位銀行處副處長戴紹琪分析過去面臨的三大困境。首先是使用者驗證困境，過去無法即時確認門號狀態，難以驗證OTP收取者是否有異動，或門號是否遭盜用、轉接；其次是資料查證困境，銀行無法偵測使用者真實位置且IP位置容易變動；最後則是時空異常困境，當用戶短時間內在多個城市移動時，銀行只知道資金流向、交易行為的「金流」，但電信業才看得到人怎麼移動的「人流」。玉山銀行科技長張智星同樣表示，該公司在防詐發展多年，並指出從單點到聯防生態，以及跨業防詐的重要性。

不僅如此，政府相關部門從MID時代即協力產業來聯合推動，如今在國家通訊傳播委員會主任委員陳崇樹、數位發展部政務次長楊佳玲及金融監督管理委員會副主任委員陳彥良的共同見證下，由身分識別產業、電信業與金融業代表共同參與啟動儀式，期望藉由公私協力並促進跨產業合作，從源頭建立起堅實防線，構築讓全民安心的數位信任生態系。

'

美國政府PQC遷移時程出爐，微軟規畫2029年完成產品與服務PQC部署

來源：https://www.ithome.com.tw/news/177033

美國政府訂定後量子密碼學（Post-Quantum Cryptography，PQC）轉型時程後，微軟也在6月30日宣布加速推動旗下量子安全（Quantum Safe）計畫，目標是在2029年前，完成產品與服務的PQC部署。

微軟指出，美國與法國政府近期陸續明確提出量子安全政策時程，要求或建議高風險系統與安全產品在2030年前後導入量子安全機制。這反映出量子運算對現有密碼機制構成的風險，已不再只是長期技術議題，而是各國政府與企業未來數年內必須處理的資安與合規問題。

美國總統川普已於6月22日簽署行政命令，要求聯邦機關在2030年底前完成後量子金鑰建立機制的部署，並在2031年底前完成數位簽章遷移。另一方面，法國國家資訊系統安全局（ANSSI）也規畫自2027年起，不再認證缺乏量子安全加密能力的安全產品，並建議企業自2030年起，只選擇具備量子安全能力的產品。

微軟將PQC要求納入該公司安全未來倡議（Secure Future Initiative，SFI），並提出三項推動PQC的技術方向。第一是強化網路傳輸加密。微軟表示，該公司將讓重要端點預設採用TLS 1.3，先建立現代化傳輸加密基礎，待相關標準成熟後，再逐步導入混合式金鑰交換機制（hybrid key exchange）與後量子金鑰交換機制（post-quantum key exchange），作為PQC遷移的前置工作。

第二是針對靜態儲存資料建立密碼學演算法的敏捷性（Crypto-Agility），使系統日後更換密碼學演算法時，不必重新設計整體架構。具體作法包括將加密設定移出應用程式、統一金鑰管理與輪替流程，並避免把演算法寫死在程式中。

第三是更新軟體、裝置與服務背後的密碼學信任鏈（cryptographic trust chain），涵蓋身分驗證、數位簽章與憑證機制。微軟將從程式碼簽章、憑證簽發、硬體支援的金鑰保護、軟體更新流程，以及可稽核的簽章與簽發程序著手，讓這些關鍵信任環節日後能逐步導入PQC演算法。

'

Cisco修補Catalyst Center漏洞，未更新可能導致攻擊者未授權讀取任意檔案

來源：https://www.ithome.com.tw/news/177032

Cisco於7月1日發布資安公告，修補網路管理平臺Catalyst Center可能洩漏敏感資料的高風險漏洞CVE-2026-20191，同時影響硬體伺服器與虛擬應用伺服器版本，使用硬體伺服器的用戶應升級至已修補的3.1.6 GSMU200版，虛擬應用伺服器版本用戶則應升級至2.3.7.11-VA GSMU100，以及3.1.6 GSMU200版。

CVE-2026-20191的CVSS嚴重性評分為7.5分，問題源自Catalyst Center對使用者的輸入內容驗證不足，未經驗證的攻擊者可透過特製HTTP請求，讀取系統內部受限制容器中的任意檔案，進而可能導致敏感資料外洩。由於Catalyst Center是企業網路設備的集中管理平臺，一旦系統組態、憑證等敏感資訊遭外洩，可能增加後續滲透攻擊與橫向移動的風險，用戶應儘速更新以降低風險。

'

Splunk Secure Gateway高風險漏洞可讓低權限使用者遠端執行程式碼

來源：https://www.ithome.com.tw/news/177031

資料分析與安全監控平臺業者Splunk在6月10日發布修補多個漏洞的資安公告，其中存在Splunk Secure Gateway（SSG）的高風險漏洞CVE-2026-20251，CVSS風險分數為8.8，攻擊者只要取得低權限Splunk帳號，不需要擔任admin或power角色的權限，就可能透過SSG在受影響系統遠端執行任意程式碼。數週之後，資安研究公司ReactiveZero的研究員Fady Oueslati公開揭露更詳細的漏洞成因、概念驗證攻擊鏈，以及更詳細說明的修復與緩解措施。

Splunk Secure Gateway是Splunk用於連接Splunk平臺與行動應用程式、雲端服務的元件，這項漏洞源自SSG處理App Key Value Store（KV Store）資料的機制。當Python函式庫jsonpickle解析經過特製的JSON資料時，若未充分驗證內容，攻擊者可能藉由不安全反序列化問題執行程式碼。

這項漏洞影響Splunk Secure Gateway 3.8.x、3.9.x與3.10.x多個版本，以及部分Splunk Enterprise版本。Splunk建議使用者將Splunk Secure Gateway與Splunk Enterprise分別升級至3.8.67／3.9.20／3.10.6，以及10.0.7／10.2.4／10.4.0或後續版本，以修補這項漏洞；若短期內無法套用上述修補方式，Splunk建議用戶若不使用依賴Splunk Secure Gateway應用的功能，如Splunk Mobile、Spacebridge和Mission Control，可關閉或移除該應用程式，研究人員Fady Oueslati的建議是停用非必要的Secure Gateway應用程式，並限制KV Store寫入權限。

'

Cobalt滲透測試資料顯示，AI應用高風險漏洞占比為整體平均2.7倍

來源：https://www.ithome.com.tw/news/177030

攻擊面安全與滲透測試服務業者Cobalt發布《2026年AI與滲透測試趨勢報告》（AI and Pentesting Pulse Report 2026），指出企業快速導入大型語言模型（LLM）與AI應用的同時，也導致模型整合、外部資料與工具連接、提示與輸出處理等環節成為新的攻擊入口，使AI應用在滲透測試中呈現較高的漏洞風險。

Cobalt分析旗下攻擊性安全平臺的滲透測試資料發現，高風險漏洞平均占比約12%；而在AI與LLM應用的相關測試中，則有32%的漏洞被歸類為高風險，約為整體平均的2.7倍。

圖片來源/Cobalt

報告也顯示，過去一年來企業開始重新評估AI在滲透測試中的角色。Cobalt針對455名資安領導者與實務工作者進行調查，認為AI可完全滿足滲透測試需求的受訪者比例，從2025年的29%降至2026年的9%。另有78%的受訪者表示，這類自動化掃描工具曾未能找出重要漏洞。

調查同時發現，47%的受訪者偏好採用混合式測試模式（hybrid testing model），將自動化測試用於非關鍵資產，關鍵系統則仍由資安專家執行測試與判讀，以兼顧測試覆蓋率與判斷準確度。研究人員認為，現階段AI可提升滲透測試效率，但仍無法取代專業資安人員的角色。

'

為因應AI加速漏洞的發現，Adobe每月將發布兩次例行更新

來源：https://www.ithome.com.tw/news/177029

軟體大廠Oracle於4月底宣布，因AI顯著改變挖掘軟體漏洞的方法，他們決定調整發布例行更新的週期因應，如今也有其他公司跟進這樣的策略，採取更高的頻率發布軟體更新。

6月25日Adobe透過部落格文章表示，頂尖AI模型與AI代理分析工具現在能以遠超傳統方法的速度，在大型程式碼庫中找出安全缺陷，不僅該公司將AI用於資安修補，攻擊者也同樣能取得這些AI工具，導致漏洞公開揭露到實際利用的時間，正從數天急劇壓縮至數小時。對此，他們決定將例行更新的發布頻率從每月一次變為兩次，自7月14日起，Adobe將會在每月的第二及第四個星期二發布例行更新。該公司強調，未來的漏洞揭露標準、管理標準、公告格式仍然相同，他們也會對已被積極利用的漏洞發布例外更新。

對此，該公司呼籲用戶提前因應新的更新週期，安排內部規畫修補的流程，用戶可訂閱資安通知服務，透過電子郵件接收資安公告發布的通知。

'

ColdFusion與Campaign Classic用戶注意！Adobe緊急修補7項滿分重大漏洞

來源：https://www.ithome.com.tw/news/177028

6月30日Adobe為網頁應用開發平臺ColdFusion、行銷自動化平臺Campaign Classic發布更新，總共修補了12個漏洞，其中有7個是達到10分滿分的弱點而受到關注。Adobe將這次修補的優先程度列為第一級，認定相關的風險較高，建議用戶應在72小時內完成修補。

這次修補的漏洞大部分都出現在ColdFusion，僅有一項影響Campaign Classic。其中有6項滿分漏洞出現在ColdFusion，被登記為CVE-2026-48276、CVE-2026-48277、CVE-2026-48281、CVE-2026-48316、CVE-2026-48282，以及CVE-2026-48283，這些問題涉及危險類型檔案不受限制上傳、輸入驗證不當、路徑遍歷，一旦被成功利用，攻擊者就能執行任意程式碼。

最後一項滿分漏洞是CVE-2026-48286，影響Campaign Classic，原因是不正確的授權引起，同樣能被用於執行任意程式碼。

'

Microsoft Defender漏洞BlueHammer被用於勒索軟體攻擊

來源：https://www.ithome.com.tw/news/177026

iThome資安新聞編輯團隊溫馨提醒

擔心錯過重要的資安新聞嗎？資安日報與資安週報即日起推出免費電子報訂閱，每天每週直送資安要聞，提供專業、易懂、便於轉述的最佳中文資安情報，助你掌握全球與臺灣最新資安脈動。

'

SharePoint高風險遠端程式碼執行漏洞遭到利用

來源：https://www.ithome.com.tw/news/177025

5月下旬微軟公布一項SharePoint資安漏洞CVE-2026-45659，一個月後出現實際的漏洞利用活動。7月1日美國網路安全與基礎設施安全局（CISA）表示，他們將此漏洞列入已遭利用漏洞名單（KEV），聯邦機構必須在7月4日前完成修補，原因在於，他們已掌握有人積極利用的證據。

CVE-2026-45659存在於SharePoint Server Subscription Edition、SharePoint Server 2019，以及SharePoint Enterprise Server 2016，問題源自可允許對不受信任資料的反序列化處理（Deserialization of Untrusted Data），使具備存取權限的攻擊者可透過網路執行任何程式碼，CVSS風險評為8.8分，微軟在5月份例行更新（Patch Tuesday）著手修補。

'

研究揭露AirDrop與Quick Share安全漏洞，允許駭客癱瘓分享功能

來源：https://www.ithome.com.tw/news/177024

德國CISPA Helmholtz資訊安全中心上周揭露，蘋果的AirDrop與Android陣營的Quick Share近距離檔案分享功能總計存在6個安全漏洞，駭客只要位於無線訊號範圍內，無需與使用者互動，即可能癱瘓AirDrop分享服務，或者繞過Quick Share的部分安全檢查。

AirDrop是蘋果提供Mac、iPhone及iPad等裝置使用的近距離檔案分享功能；Quick Share則是Android陣營的近距離分享功能，由Google與三星分別在Android及Windows平臺上實作。它們的共同特性是，不必事先配對裝置，就能接受附近無線裝置發起的連線。根據統計，兩項功能合計部署於全球超過50億臺裝置，此外，Quick Share近期已開始支援與AirDrop互通，也使近距離分享協定的安全性更受關注。

研究人員藉由逆向工程在AirDrop上發現3個可在配對前觸發的漏洞，皆可能造成服務阻斷（DoS）攻擊。漏洞分別涉及HTTP路徑處理、Foundation框架的XML plist解析器，以及HTTP/1.1解析器，最終都可能導致蘋果負責裝置互通功能的背景服務sharingd崩潰。

sharingd一旦崩潰，不只AirDrop會無法使用，也可能連帶影響AirPlay、Handoff、Universal Clipboard、Continuity Camera及NameDrop等依賴該服務的蘋果裝置互通功能。

研究人員也在Quick Share上發現3個漏洞。其中兩個存在於Samsung Quick Share協定層，允許駭客在身分驗證前繞過工作階段安全檢查，或使部分控制訊息繞過加密保護；另1項漏洞則存在於Google提供給Windows電腦使用的Quick Share程式，屬於釋放後使用（use-after-free）記憶體漏洞，可能導致程式崩潰，並存在被進一步利用的風險。

收到漏洞通報後，Google已完成Windows版Quick Share修補並支付漏洞獎金，蘋果亦已修補其中1項AirDrop漏洞，三星則仍在調查中。

'