JetBrains修補開發環境身分管理平臺重大漏洞，未更新恐導致帳號接管與權限提升

來源：https://www.ithome.com.tw/news/177100

軟體開發工具業者JetBrains近日發布資安公告，修補其身分與存取管理平臺JetBrains Hub的三項重大漏洞。在JetBrains的開發環境中，JetBrains Hub用於提供使用者帳號、驗證、授權及單一登入（SSO）的集中管理，可為其他JetBrains產品提供身分驗證服務，一旦遭到入侵，可能影響整個開發環境的帳號與權限管理，用戶應儘速升級至已修補的2026.1到2024.2等分支版本。

這次JetBrains Hub修補的三項漏洞中，CVE-2026-50242為CVSS滿分10.0的重大漏洞，可能導致攻擊者藉由直接存取資料庫而繞過身分驗證，進而取得管理者權限 ；CVE-2026-56142的CVSS嚴重性評分為9.9分，可能造成攻擊者透過附加身分驗證資訊提升帳號權限；CVE-2026-56141的CVSS嚴重性評分為9.8分，源自帳號還原碼（restore code）的隨機性不足，可能導致攻擊者推算或破解還原碼，進而接管帳號。

'

AWS為Amazon OpenSearch Service新增日誌分析引擎，改善儲存與查詢效率

來源：https://www.ithome.com.tw/news/177099

7月1日AWS宣布，旗下託管式搜尋與分析服務Amazon OpenSearch Service新增專為日誌分析設計的最佳化引擎，協助企業降低大量日誌資料的分析與儲存成本。AWS表示，這項功能不會額外收取引擎費用，目標是改善大量日誌資料的攝取、查詢與儲存效率，因應企業可觀測性需求，以及安全監控資料量持續成長所帶來的壓力。

Amazon OpenSearch Service的新引擎以Apache Parquet格式儲存資料，並針對可搜尋欄位建立Lucene倒排索引；系統執行查詢時，會依需求由Apache DataFusion處理欄式資料分析，或由Lucene處理搜尋條件，使單一查詢能同時搜尋日誌內容並彙總結果。

AWS表示，根據內部基準測試，新引擎的價格效能比最高可提升4倍，資料攝取吞吐量與分析查詢速度最高可提升2倍；透過欄式儲存，企業最多可降低70%的儲存空間需求，相當於能以相同成本保留最多3倍的日誌資料。

使用者若要採用這項功能，需建立採用OpenSearch 3.5以上版本的新網域，選擇可觀測性（observability）使用情境，並將引擎模式設為optimized；這項功能無法加入既有的Amazon OpenSearch Service網域，也無法針對一般用途網域中的個別索引或欄位啟用，企業需將資料攝取流程遷移至新網域。

AWS表示，該引擎支援管線處理語言（Piped Processing Language，PPL）與SQL查詢，但目前尚未支援領域特定語言（Domain Specific Language，DSL）查詢API。這項功能首波支援12個AWS區域，涵蓋東京、新加坡、雪梨與孟買等亞太地區。

'

Google與FBI打擊NetNut常駐代理網路，涉及至少200萬臺家用連網裝置

來源：https://www.ithome.com.tw/news/177098

繼今年1月打擊IPIDEA常駐網路（residential proxy network）後，7月初Google宣布與美國聯邦調查局（FBI）、電信業者Lumen等單位合作，針對大型常駐代理網路NetNut採取行動，削弱其營運能力。

Google將NetNut常駐代理網路與Popa視為同一網路，KrebsOnSecurity報導引述多家資安研究單位指出，Popa是以Android系統電視盒等家用連網裝置為主的殭屍網路。Google指出，NetNut藉由內嵌於應用程式或裝置軟體中的軟體開發套件（SDK），將智慧電視、串流盒等家用連網裝置納入代理網路的出口節點（exit nodes）。

這類被納入代理網路的裝置規模相當龐大。Google表示，NetNut網路估計至少涵蓋全球200萬臺裝置，Google威脅情報小組GTIG也曾在Badbox 2.0等大型殭屍網路活動中，發現NetNut的殭屍網路外掛元件。

常駐代理網路可讓外部流量經由一般家用IP位址轉送，使攻擊者隱藏惡意連線來源；這類服務本身可有合法用途，但也經常遭網路犯罪活動濫用。攻擊者可藉此隱藏來源IP位址，連入受害者環境、存取自身攻擊基礎設施，或發動密碼噴灑攻擊。一旦家用IP被用於轉送惡意流量，使用者的合法流量也可能被服務供應商標記為可疑，甚至遭到封鎖。

Google也指出，NetNut透過轉售與白牌模式擴大網路使用範圍，許多看似獨立的常駐代理品牌，可能實際上是在銷售同一批NetNut代理節點。GTIG在2026年6月的單一週內，就觀察到316個威脅叢集使用疑似NetNut代理節點轉送流量。

在這次行動中，Google停用NetNut用於惡意軟體命令與控制（C2）的帳號與服務，並分享NetNut SDK與後端C2基礎設施的技術情報。Google也透過Android內建安全防護機制Google Play Protect，警告可能受影響的使用者，並停用已知內含NetNut SDK的應用程式。

Google提醒，為降低裝置遭納入常駐代理網路的風險，使用者應從官方應用程式市集下載軟體，留意VPN或代理程式要求的權限，並啟用Google Play Protect等內建防護機制。此外，購買串流盒、智慧電視等家用連網裝置時，也應優先選擇信譽良好的品牌與製造商，避免使用來源不明的產品。

'

研究人員未通報開發單位即公開PoC，涉及SSH函式庫libssh2重大漏洞

來源：https://www.ithome.com.tw/news/177097

資安媒體Infosecurity Magazine報導，一名匿名資安研究人員近日以bikini帳號，在GitHub公開名為Exploitarium的儲存庫，釋出多項漏洞研究與概念驗證（Proof of Concept，PoC）程式，至少涉及30項軟體產品與開源專案。

bikini在GitHub頁面聲稱，這些漏洞研究內容公開時，尚未通報相關廠商或專案維護者。他也表示，研究過程使用GPT-5.3協助進行模糊測試，由AI分析目標程式並找出異常，再由他人工確認結果；實際PoC則由他自行撰寫。

目前較受關注的漏洞之一，是SSH函式庫libssh2的CVE-2026-55200，這是越界寫入（Out-of-Bounds Write）漏洞，影響libssh2 1.11.1及更早版本。該漏洞的CVSS 4.0風險分數為9.2分，屬於重大（Critical）風險等級。開發團隊已將修補程式合併至libssh2上游程式碼，但尚未釋出正式修補版本。若使用libssh2的用戶端應用程式連向惡意或遭入侵的SSH伺服器，攻擊者可透過特製SSH封包觸發越界寫入，造成堆積記憶體毀損，進而導致遠端程式碼執行。

另一項是自架Git服務平臺Gitea的Actions執行元件Gitea act_runner漏洞CVE-2026-58053，影響採用Docker後端的act_runner 0.262.0及更早版本。根據NVD描述，Gitea act_runner採用Docker後端執行自動化任務定義（workflow）時，未能完整限制高風險容器設定。具備執行workflow流程權限的攻擊者，可能建立高權限作業容器，進而從容器逃脫至主機環境，並在特權模式已停用的狀態下，仍能以root身分存取主機。此漏洞的CVSS 4.0風險分數為9.4分，同樣屬於重大（Critical）風險等級；NVD目前尚未標示官方修補版本。

The Register引述Federal Signal資安分析師Ethan Andrews說法指出，研究人員已觀測到libssh2與Gitea相關漏洞出現實際濫用跡象。由於libssh2這類基礎元件可能隨其他產品一併導入企業環境，企業只靠一般資產盤點，未必能立即掌握受影響範圍。

'

思科修補開源防毒軟體ClamAV長達20年的資安漏洞

來源：https://www.ithome.com.tw/news/177096

思科旗下的開源防毒軟體ClamAV於7月1日發布安全更新1.5.3與1.4.5版，總共修補7項高風險資安漏洞，其中最受到關注的地方，在於大部分資安漏洞從約20年前被引入，影響眾多舊版用戶。

最早被引入的弱點是CVE-2026-20214，問題出現在FSG檔案解析器上，未經身分驗證的攻擊者可導致ClamAV出現阻斷服務（DoS）狀態，甚至會造成裝置的記憶體中斷，CVSS風險評為7.5分。該漏洞形成的原因，在於防毒軟體掃描過程對FSG檔內容的檢查不夠周延，而有機會造成記憶體緩衝區越界寫入。ClamAV開發團隊表示，這項問題影響從2004年推出的所有版本。第二個被引入的是CVE-2026-20217，同樣也是DoS漏洞，問題出現在PESpin檔案檔案解析器，CVSS風險值同為7.5分，影響自2005年之後的版本。

同日思科發布資安公告指出，這些ClamAV弱點也同時影響旗下的端點防護平臺，Windows、macOS、Linux版的Secure Endpoint Connector，以及雲端版本Secure Endpoint Private Cloud的連接器（Connector）都受到影響。思科特別提及這些都是DoS漏洞，遠端攻擊者可導致ClamAV元件停擺，並中斷掃描作業。附帶一提的是，Windows版本CVSS風險值為7.5，高於macOS與Linux版的5.3分，原因在於ClamAV在於Windows環境以特殊權限運作。由於沒有其他的緩解措施，思科呼籲用戶應儘速更新因應。

'

Microsoft Teams加強控管外部機器人，經會議組織者確認後才放行

來源：https://www.ithome.com.tw/news/177095

隨著AI會議助理、轉錄與筆記工具普及，企業線上會議也開始面臨「非人類與會者」的控管問題。微軟（Microsoft）6月29日宣布，Microsoft Teams推出新的外部機器人管理政策，當外部機器人嘗試加入會議時，須由會議組織者批准加入。

微軟在Teams系統管理中心新增名為「Manage external bots and their access to meetings」的政策，管理員可將該政策套用至個別使用者或特定群組。這項功能預設為開啟；當Teams偵測到外部機器人嘗試加入會議時，會先將其留在會議大廳，經會議組織者核准後才能加入，管理員也可以選擇關閉這項功能。

圖片來源/微軟

隨著這項功能推出，微軟將逐步淘汰Teams原本用於外部機器人驗證的CAPTCHA機制。

'

開源遠端桌面工具UltraVNC修補重大漏洞，未更新可能導致遠端執行程式碼攻擊

來源：https://www.ithome.com.tw/news/177094

開源遠端桌面管理工具UltraVNC近日發布1.8.2.4版，修補UltraVNC Repeater元件兩項重大漏洞CVE-2026-7839與CVE-2026-7840。UltraVNC是Windows平臺常見的開源遠端桌面管理工具，Repeater則是負責中繼遠端桌面連線的元件，可協助位於防火牆後方的主機建立遠端桌面存取，常部署於企業對外網路，因而相關漏洞更容易為遠端攻擊者利用，1.8.2.2版以前的UltraVNC都會受到影響，用戶應儘速升級至已修補版本。

前述兩項漏洞中，CVE-2026-7839的CVSS嚴重性評分達9.1分，源自HTTP管理介面使用寫死的預設密碼（hardcoded default password），攻擊者可利用預設帳號密碼直接取得管理權限；CVE-2026-7840的CVSS嚴重性則達9.8分，屬於堆積緩衝區溢位（Heap-based Buffer Overflow）漏洞，攻擊者只要能存取Repeater的HTTP 連接介面，即可在未經身分驗證情況下發送特製HTTP請求，觸發漏洞並從遠端執行任意程式碼。

'

Google Cloud擴大機密運算版圖，強化AI推論與提示詞加密防護

來源：https://www.ithome.com.tw/news/177093

6月下旬雲端服務供應商Google Cloud宣布擴大機密運算（Confidential Computing）服務，包括推出搭載Nvidia Blackwell架構GPU的Confidential G4 VMs預覽版、用於加密AI提示詞與模型回應的開源Prompt Encryption SDKs，並強化Confidential Space與Confidential VMs等服務，擴大機密運算在多方資料協作、遠端證明驗證（remote attestation）與雲端工作負載防護上的應用範圍。

Confidential G4 VMs採用Nvidia RTX PRO 6000 Blackwell Server Edition GPU，底層以第5代AMD EPYC Turin處理器搭配AMD安全加密虛擬化（Secure Encrypted Virtualization，SEV）技術，讓敏感資料在可信執行環境（Trusted Execution Environment，TEE）中處理時受到硬體層級隔離保護，並加密CPU與GPU之間傳輸的資料。Google Cloud也推出支援機密運算的Google Kubernetes Engine節點Confidential G4 GKE Nodes，供企業在Kubernetes環境執行AI推論、模型微調與高效能運算等涉及敏感資料的工作負載。

Google Cloud也開源Prompt Encryption SDKs，協助開發者加密AI提示詞與模型回應，讓這些資料在傳送至機密運算環境中的推論伺服器時，以端對端加密方式受到保護。

在多方資料協作方面，Google Cloud更新機密運算資料協作環境Confidential Space，讓不同組織可在不向其他參與方或Google Cloud揭露原始資料的情況下，進行資料分析或機器學習。Confidential Space也新增整合Intel獨立證明驗證服務Intel Trust Authority，可在將加密金鑰交付工作負載之前，先驗證Confidential Space執行環境未遭竄改，並符合客戶預期的安全狀態。此外，Confidential Space已正式支援Nvidia Hopper架構GPU，可用於聯邦學習、共同訓練模型等跨組織AI應用。

'

資安署啟動第二屆產品資安獵捕活動，臺灣軟體產品成核心目標

來源：https://www.ithome.com.tw/news/177092

為鼓勵國內業者重視產品資安，國家資通安全研究院（資安院）自去年4月起不僅積極推動PSIRT（產品資安事件應變小組）的建置風氣，更將「臺灣產品漏洞獵捕計畫」列為發展重點，年底舉辦的「產品資安漏洞獵捕活動」首屆聚焦資通訊（ICT）硬體產品，而即將開跑的第二屆活動則迎來重大轉型，將核心目標鎖定在臺灣軟體產品。

有別於第一屆以工業交換器、路由器、NAS等硬體設備為主，數位發展部資通安全署（資安署）表示，本屆活動將聚焦政府機關內具高風險的核心軟體及關鍵資安防護工具。活動報名分為兩階段：藍隊（廠商）報名自7月1日起至8月31日止，為期兩個月；紅隊（白帽駭客）則於9月1日至9月30日開放報名，獵捕活動則於10月1日到11月30日正式進行。資安院期望持續帶動國內軟體廠商與各界資安好手共同響應。

相較於國際軟體大廠已具備成熟的漏洞修補機制，國內軟體業者的相關發展多年來一直備受關注。鑑於本土軟體廣泛應用於政府機關與企業環境，此計畫的推行具有實質意義，是協助臺灣軟體產業產品資安升級的重要契機，但也需要軟體廠商能共同積極參與。

'

醫材大廠美敦力資料外洩事件，影響逾380萬人

來源：https://www.ithome.com.tw/news/177091

醫療器材大廠美敦力（Medtronic）上周通知客戶4月發生駭客入侵事件。根據官方文件，事件導致超過380萬人資料外洩。

4月間駭客組織ShinyHunters聲稱竊得美敦力超過900萬筆個人可識別資訊（PII）的記錄，並要脅美敦力聯繫。美敦力當時向美國證管會申報，證實其中央IT系統遭到入侵，但說此事件對公司營運、業務和產品製造、客戶關係沒有影響。事件也不影響美敦力醫療設備的安全運作和療效。

上周這家醫療器材業者向美國州政府提供進一步資訊。根據SecurityWeek引述美敦力對印地安那檢察長辦公室提交的文件報導，該公司在4月15日發現公司IT系統出現異常活動。經過調查，攻擊者在4月13日到4月19日之間存取了該公司部份IT系統。本事件影響了3,834,294人。外洩資訊包括姓名、聯絡資訊、出生日期、社會安全號碼及健康紀錄。美敦力已向受影響的客戶提供24個月免費的信用監控、身分竊取或暗網監控服務。在4月的聲明中，美敦力說已強化了安全防護，並已和第三方安全專家合作再導入進一步安全措施。該公司強調目前尚沒有證據顯示這些資料已公開曝露於網上。

SecurityWeek報導，ShinyHunters已將美敦力從受害者名單移除，暗示美敦力可能已支付贖金換取資料銷毀。至於ShinyHunters是如何取得這批資料的，包括是經由漏洞或取得員工憑證存取則不得而知。

'

小型嵌入式裝置檔案系統元件FatFs存在7個弱點，恐影響大量隨身碟與SD記憶卡，以及配備這些儲存裝置的各種物聯網設備

來源：https://www.ithome.com.tw/news/177089

以網路曝險管理見長的資安廠商runZero，7月初揭露FatFs R0.16與更早的版本存在7個資安漏洞，它們分別是CVSS嚴重程度評為高風險7.6分的CVE-2026-6682、CVE-2026-6687、CVE-2026-6688，中度風險6.1分的CVE-2026-6685，以及4.6分的CVE-2026-6683、CVE-2026-6684、CVE-2026-6686。

runZero表示，這些漏洞廣泛影響許多設備，例如意法半導體（STMicroelectronics）的STM32Cube中介軟體（STM32是全球市占最高的MCU）、樂鑫科技（Espressif）的ESP-IDF框架（ESP32系列出貨量極高）、Zephyr RTOS（Linux基金會主導的開源作業系統，主要用於MCU）、ArduPilot（廣泛應用於無人機、自動駕駛裝置），因此，漏洞衝擊可延伸至消費型物聯網設備、工業控制器、無人機、加密錢包等產品。

對於設備廠商而言，runZero警告，一旦能對這些存在漏洞的設備執行任何實體存取動作，都會導致系統遭到越獄，尤其是缺乏記憶體位址空間隨機處理（ASLR）與記憶體保護的情況。

對一般人而言，runZero表示，若只是短暫存取這些存在漏洞的設備，不會導致系統完全遭入侵，這類設備包括搭配SD記憶卡儲存的網路視訊攝影機、配備USB讀卡器的投票機、自動櫃員機（ATM），以及幾乎所有具有螢幕且使用者會觸碰的裝置。

FatFs是專為小型嵌入式系統設計的通用FAT/exFAT檔案系統模組，不受平臺和儲存裝置的限制，可整合至資源有限的小型MCU。針對FatFs進行資安漏洞探查的工作，起初是在2017年執行手動稽核與圍棋多天的模糊測試，當時僅在FatFs驅動程式發現幾個基礎但不顯著的問題，runZero今年3月重啟這個專案，使用Visual Studio Code、GitHub Copilot的自動模式，以及一些基本的提示，組建可處理各式新奇輸入方式的模糊測試工具，結果他們不僅藉此找到一些手動稽核遺漏的瑣碎漏洞，也能以自動化流程的方式執行驗證，確認能在不同的嵌入式情境實際利用這些漏洞。

值得注意的是，FatFs的7個漏洞均由runZero創辦人暨執行長HD Moore發現，4月底曾試圖聯絡FatFs的維護者ChaN未果，而聯絡JPCERT/CC 尋求協調協助後，也未得到回應，5月中根據JPCERT/CC建議，與主要的下游實作廠商溝通，最後敲定7月1日揭露這批FatFs漏洞。

至於漏洞修補方式，在runZero設置的專屬GitHub儲存庫，提到FatFs R0.16可修正CVE-2026-6684，針對CVE-2026-6683提供部分防護，其餘5個漏洞並未列出修補機制。因此，現階段的防護重點，在於禁用未受信任的 USB儲存裝置或SD記憶卡（限制不可信 FAT／exFAT 媒體）、停用不需要的 exFAT支援，以及由下游廠商自行加入額外檢查與防護邏輯。專注開源情報（OSINT）與網路威脅情報的資安廠商ReconShield Intelligence，不僅分析這項風險，也建議企業偵測與應變的3個步驟，以及設備供應商可採取的5個步驟。

'