Apache修補HttpComponents Core兩項高風險漏洞，未更新可能導致服務阻斷攻擊

來源：https://www.ithome.com.tw/news/177106

Apache軟體基金會於7月1日發布兩份資安公告，修補Java HTTP元件Apache HttpComponents Core的兩項高風險漏洞，分別為CVE-2026-54428與CVE-2026-54399，影響5.4.2以前與5.5-beta1等版本。HttpComponents Core為Apache提供的底層HTTP通訊函式庫，廣泛應用於Java應用程式與企業後端服務，用於處理HTTP請求與回應，一旦遭到濫用，可能影響依賴該函式庫的應用程式穩定性，用戶應儘速升級到已修補的5.4.3與5.5-beta2以上版本。

這次修補的CVE-2026-54428與CVE-2026-54399等兩項漏洞，CVSS嚴重性評分均為7.5分，前者存在於HTTP/2 HPACK解碼器，可能因處理過大的壓縮標頭區塊而耗盡記憶體；後者則存在於HTTP/1.1訊息解析器，可能因處理大量HTTP標頭造成記憶體資源耗盡，兩者都可能導致服務阻斷攻擊。

'

Godot更新貢獻規範，禁止AI代理提交程式碼

來源：https://www.ithome.com.tw/news/177105

開源遊戲引擎Godot上周更新貢獻規範，開始禁止使用自主AI代理（Autonomous AI Agent）提交程式碼，並禁止利用AI產生大段程式碼投稿，同時要求開發者若使用AI輔助撰寫程式碼必須主動揭露。

近來生成式AI與AI代理工具大幅降低程式碼撰寫門檻，卻也使開源專案收到愈來愈多AI生成的程式碼拉取請求（Pull Request，PR），導致維護者審查負擔增加，也引發程式碼品質、責任歸屬及開源治理等討論。

Godot即說，近年專案收到的PR持續增加，AI生成程式碼又進一步降低投稿門檻，使待審查PR持續累積，但維護者人力並未同步增加。此外，PR審查雖然繁瑣，但維護者願意投入時間，是因為這也是指導新貢獻者的過程，未來可能培養出新的維護者或審查者；但若回饋只是被AI模型吸收，而非用於培養人類開發者，志工就更難繼續投入審查工作。

這使得Godot決定更新貢獻規範，一是將新貢獻者定義為主分支中成功合併PR不超過3次的開發者，在未經維護者同意前，不得提交新功能或大幅重構程式碼，須先透過修正Bug及改善文件等工作熟悉專案。

其次是禁止使用自主AI代理（Autonomous AI Agent）或Vibe Coding（透過提示詞由AI生成大部分程式碼）等高度依賴AI的開發方式提交程式碼，違反規定者將會直接遭GitHub儲存庫自動封鎖，失去向Godot官方GitHub提交PR的權限。

亦明文規定AI只能用於程式碼補全、正規表示式（Regex）、尋找及取代等輔助工作，不得用來產生大段實質程式碼；若開發者使用AI協助撰寫程式碼，必須在PR討論中主動揭露。

除了Godot之外，專門推動Zig程式語言的Zig Software Foundation也在今年4月於官方行為準則中祭出了嚴格的AI規範，直接提出No LLM/No AI政策，禁止LLM生成的程式碼、文字、改寫、編輯、翻譯、腦力激盪或尋找程式錯誤，幾乎是全面禁止LLM用於專案貢獻。

Zig Software Foundation社群副總裁Loris Cro解釋，維護開源專案看起來像是取得免費的程式碼，事實上，審查及修改別人的PR通常比自己寫還要花時間，但他們仍舊願意去指導或培養新人，注重的是人才培育而非只是程式碼。他認為AI產生大量低品質投稿，增加維護者的審查成本，提高貢獻者與維護者之間的溝通及信任成本，而且或者也無法承擔之後的維護；既然維護資源有限，Zig寧可將時間投入願意深入理解程式架構、與團隊建立長期合作關係的貢獻者，而非重度依賴LLM的開發者。

'

WatchGuard修補Firebox防火牆17項漏洞，包含可能導致遠端執行任意程式碼的重大漏洞

來源：https://www.ithome.com.tw/news/177104

資安業者WatchGuard於7月2日發布資安公告，修補其防火牆設備Firebox共17項漏洞，包含CVSS v4嚴重性評分達9.2分的重大漏洞CVE-2026-13368，問題源自防火牆的Fireware OS作業系統使用外部LDAP驗證伺服器時，可能觸發競態條件漏洞（Race Condition），進一步導致記憶體已釋放卻仍被使用（UAF）問題，攻擊者可在未經身分驗證情況下藉此執行任意程式碼。

這次修補的Firebox漏洞中，另含9個高風險漏洞，以CVSS嚴重性分數來看，最高的是CVE-2026-13084，CVSS v4評分達8.7分，屬於空指標引用問題（NULL Pointer Dereference），可能導致服務阻斷攻擊。其次是6個CVSS v4評分均為8.6分的漏洞，包括CVE-2026-13050、CVE-2026-13053、CVE-2026-13054、CVE-2026-13084、CVE-2026-13722與CVE-2026-13384，涵蓋越界寫入、繞過驗證、路徑遍歷等類型，可能造成遠端執行任意程式碼、寫入任意檔案等問題。

前述漏洞會影響Fireware OS作業系統11.x、12.x、12.5.x與2025.1.x等版本，其中除11.x版已過支援生命週期、以及12.5.x版尚未修補外，WatchGuard已為其餘兩個版本提供修補程式，用戶應儘速更新。

'

具41年歷史的荒謬C語言競賽，首度有臺灣人上榜

來源：https://www.ithome.com.tw/news/177102

國際混淆C程式碼競賽（International Obfuscated C Code Contest，IOCCC）上個月公布2025年得獎名單，23件得獎作品中包括366 bytes的電腦模擬器、會重新編譯自己的Pong遊戲，以及臺灣開發者jingp49所製作的《Doctor Who》片頭動畫程式。

IOCCC創立於1984年，是網路上歷史最悠久的競賽之一，發起人Landon Curt Noll把這點子丟到USENET新聞群組，當時的規則是在512 bytes裡寫出一支儘可能令人看不懂的完整C程式，雖然之後的篇幅限制有所調整，但核心精神不變：表面上是在鼓勵爛程式，但其實是為了讓工程師社群體會到「清晰易讀的程式風格」有多重要。IOCCC自己也強調，真正的工程師不會寫出這種程式，除非是要參加比賽。

基本上，作者必須對C語言的指標、巨集與記憶體管理具備強大的理解能力，才能寫出頂級的混淆程式碼。

該比賽由創辦人Noll和資深評審Leonid Broukhis長期主持。IOCCC沒有固定的獎項類別，而是每一件得獎作品都會被評審量身打造一個獨一無二的獎項名稱。IOCCC並非年年舉辦，在2020到2024年間曾經歷長達四年的空窗期，直到2025年才重新復辦。今年是空窗期後的第2屆，也是第29屆的競賽，IOCCC形容這次投稿的數量與品質都接近歷史高點，總計有23組作品獲獎。

得獎作品之一的Subleq Computer，是Adrian Cable以366 bytes、9行的C程式碼模擬出Subleq電腦架構。Subleq當初就是為了示範如何把指令集縮小到只剩一種指令，還能維持完整運算能力而設計的；而Cable的Subleq Computer得到了「最佳假想模擬器獎」（Best Imaginary Emulator），因為這9行的程式碼不僅可畫出Mandelbrot的碎形圖案或玩Pong遊戲，還可以在該模擬架構上執行完整的Linux作業系統，原始碼的精簡及它所能執行任務的反差，使它獲得評審青睞。

Jonah Uellenberg的作品Quine Pong獲得了乒乓球獎項（Ping Pong Prize），他把經典Pong遊戲與Quine（可輸出自身原始碼的程式）結合。玩家每操作一步，程式就會輸出代表下一幀畫面的新C原始碼，重新編譯後才能繼續遊戲，使「輸出原始碼→重新編譯→執行」的循環成為遊戲的一部分。

這些混淆C程式並非手工撰寫，Uellenberg透過自行開發的Quine編譯器Insert進行最佳化、壓縮與轉換，產生符合IOCCC風格的C原始碼。

來自臺灣的jingp49則以《Doctor Who》片頭動畫作品獲得「Who Won Award」。該程式在終端機中輸出類似1963年BBC科幻影集《Doctor Who》片頭的ASCII動畫，並以程式方式模擬當年片頭使用的HowlRound影像回饋效果，也就是將畫面內容反覆掃描、放大並寫回螢幕緩衝區，形成連續變形的視覺回饋動畫。

評審認為，《Doctor Who》完美呼應同名英國科幻影集以藍色警亭呈現的時光機飛船「外面比裡面小」的經典設定，用看似簡短的C原始碼，產生大量的ASCII動畫輸出，並邀請讀者找出龐大輸出究竟藏在哪段程式碼中。

IOCCC表示，本屆的得獎者大多來自過去曾有得獎紀錄的地區，IOCCC29首度出現來自臺灣的新得獎地區。作者jingp49並未揭露自己的真實名字。

IOCCC一直都只提供各種有趣的獎項，並無獎金設計，得獎者最大的獎勵就是作品被收錄於官網及GitHub上。下一屆IOCCC30預計於2026年底開放報名，2027年第一季末截止。

'

駭客團體Armored Likho鎖定政府機關、能源產業，散布竊資軟體BusySnake Stealer

來源：https://www.ithome.com.tw/news/177101

資安公司卡巴斯基發現目標式網路釣魚活動，被稱為Armored Likho、Eagle Werewolf的APT駭客組織於俄羅斯、巴西與哈薩克從事攻擊，對象包括政府機構與電力部門組織，利用以Python打造的竊資軟體BusySnake Stealer，從事竊取帳密資料、Cookie，並在受害電腦建立反向SSH隧道進行通訊。

這些駭客接觸受害者的管道，主要是透過網路釣魚，他們假借心理測驗或是人道援助等幌子寄送電子郵件，引誘使用者上當，點選附件執行檔或LNK檔。一旦使用者開啟，這些附件就會在電腦系統注入惡意程式載入工具的程式碼，從特定GitHub儲存庫拉取其他作案工具，包含主要惡意酬載module.pyw、PyArmor執行環境、Python解譯器（3.12版），以及用於安裝pip套件管理工具的指令碼get-pip.py。值得留意的是，駭客使用的LNK檔，當中利用趨勢科技在2年前通報的零時差漏洞ZDI-CAN-25373，來隱匿實際想要執行的惡意指令。

卡巴斯基特別提及，駭客使用的第一階段酬載，當中的惡意程式載入工具（Loader）與模組傳遞工具（Stager）等元件，都是由AI生成，這麼做的目的，就是影響資安人員確認攻擊者的身分，因為利用AI打造惡意程式，將會使得攻擊者的戰術、手法、流程（TTP）更難判別。

'