駭客團體UAT-7810打造新的惡意軟體架設ORB網路

來源：https://www.ithome.com.tw/news/177172

一年前資安公司SecurityScorecard揭露Operational Relay Box（ORB）網路LapDogs，並指出其中一組用戶，就是專門對臺灣關鍵基礎設施下手的駭客團體UAT-5918，使得此ORB網路受到外界關注，本週有威脅情報團隊揭露更多細節，並指出經營者持續開發惡意軟體來建置此ORB網路。

思科威脅情報團隊Talos指出，LapDogs由名為UAT-7810的APT駭客團體負責經營，這些駭客主要透過CVE-2020-22653、CVE-2020-22658、CVE-2023-25717等已知漏洞，入侵Ruckus無線路由器建立據點，他們持續開發名為ShortLeash的惡意程式，其最新版本研究人員稱為LongLeash，加入了大量新功能，因此Talos研判，UAT-7810正積極擴充ShortLeash / LongLeash的攻擊能力。此外，Talos亦發現駭客分別以C語言與Java，打造被動式後門DogLeash，以及具有管理功能的後門程式JarLeash。

值得留意的是，UAT-7810專為MIPS嵌入式裝置開發名為LeashTest的工具，此為ELF二進位檔案，功能為測試MIPS平臺的基本功能，本身未具備攻擊能力，不過Talos指出，該工具出現於MIPS物聯網裝置上，代表這些裝置很可能已經被入侵。

'

報告揭露美國政府機關支付100萬美元平息資料勒索

來源：https://www.ithome.com.tw/news/177171

專門追蹤勒索軟體與資料勒索活動的威脅情報組織Ransom-ISAC上周揭露，一個自稱資源有限的美國小型郡政府在遭資料勒索集團Kairos竊取資料後，最終支付100萬美元贖金，以避免敏感資料遭公開。Ransom-ISAC並未公布受害組織，然而，SecurityWeek根據線索推測是俄亥俄州的Union郡（Union County）。

Ransom-ISAC表示，該報告是依據外洩的談判紀錄、攻擊者提供的相關證明資料、截圖，以及可觀察的區塊鏈金流所撰寫。

資料顯示，Kairos是在2025年5月透過暴力破解方式入侵受害機關系統，並竊取超過2TB資料、約160萬個檔案，並向受害者勒索300萬美元贖金，否則將公開所有竊得資料。經過大約3周的談判，駭客最終將贖金降至100萬美元，受害機關則於2025年6月13日以比特幣完成付款。

Ransom-ISAC指出，這起事件並未發現檔案加密行為，也未取得與Kairos相關的加密程式或勒索軟體樣本，看起來比較像是近年愈來愈常見的資料勒索事件；此外，駭客提供的資料刪除證明無法獨立驗證，可能只是刪除部分資料或其中一份副本；換言之，即使受害機關支付贖金，也無法確認遭竊資料是否真的已被刪除。

SecurityWeek根據Ransom-ISAC的描述，再比對攻擊時間、外洩規模與個資外洩公告等線索，推測受害者可能是俄亥俄州Union County政府。

Union郡是在2025年9月發布公告，表示於同年5月發現勒索軟體攻擊，駭客入侵其網路並盜走了資料，影響45,487名民眾，外洩資訊包括姓名、出生日期、社會安全碼、駕照或州政府身分證號碼、金融帳戶、醫療資訊、支付卡及護照號碼等敏感資訊。

Union County僅說遭勒索軟體攻擊及資料外洩，並未提及是否曾被勒索或支付贖金。而不管是Ransom-ISAC或Union County都未證實SecurityWeek的推測。

美國聯邦調查局（FBI）及網路安全暨基礎設施安全局（CISA）長期不鼓勵受害組織支付贖金，理由是付款並不保證資料能夠取回或刪除，還可能鼓勵駭客鎖定更多受害者。不過，該報告顯示，即使未發現檔案加密行為，資料公開壓力仍可能迫使資源有限的地方政府支付高額贖金。

'

調查商業間諜軟體濫用，歐洲議會PEGA委員會成員反遭Pegasus入侵

來源：https://www.ithome.com.tw/news/177169

歐洲議會曾設立PEGA委員會，調查Pegasus及同類商業間諜軟體在歐洲遭濫用的情況，如今卻傳出該委員會成員也成為商業間諜軟體攻擊目標。

加拿大多倫多大學跨領域研究單位Citizen Lab發布報告指出，擔任過希臘調查記者的前歐洲議會議員Stelios Kouloglou，其iPhone曾遭以色列商業間諜軟體業者NSO Group開發的Pegasus入侵。研究人員研判，攻擊者可能因此取得PEGA委員會內部文件與審議內容。

Kouloglou於2022年3月24日至2023年7月18日擔任PEGA委員會替補成員。他於2026年5月聯繫Citizen Lab，請求協助對其iPhone進行鑑識分析。結果顯示，這支手機約在2022年10月21日遭Pegasus入侵，並於2023年3月6日至7日再度感染Pegasus。此外，Kouloglou的手機也在2023年至2024年期間，三度收到蘋果的威脅通知，警告其可能遭商業間諜軟體鎖定。

雖然鑑識結果無法將攻擊行動歸因於特定政府，但Citizen Lab指出，這起事件凸顯商業間諜軟體對民主程序與議會監督機制構成的威脅，並呼籲歐盟機構展開調查。

'

ClickFix成2026年3月至5月主要惡意程式投遞手法，首度擴及macOS平臺

來源：https://www.ithome.com.tw/news/177165

駭客以圖靈驗證、瀏覽器當機假象或假修復指令為誘餌，引導使用者複製特定指令，並貼入Windows執行視窗（Win + R）、macOS終端機等系統工具執行。這類被稱為ClickFix的社交工程手法，近年常被用於散布惡意程式，攻擊者也持續結合指令混淆與濫用合法系統工具等手法，提高規避偵測能力。

資安業者ReliaQuest於6月30日發布威脅情勢報告指出，ClickFix已成為2026年3月至5月期間主要的惡意程式投遞手法。若依MITRE ATT&CK攻擊技術分類統計，ClickFix也是企業初始入侵的重要途徑之一，在魚叉式網路釣魚連結攻擊中占比達14.9%。此外，攻擊者經常搭配命令列混淆、隱藏檔案或腳本真實用途等規避偵測技巧，使相關防禦規避活動占比接近28%。另一方面，ClickFix攻擊情境也出現變化，從過去常見的經由遭入侵網站散播，轉向透過電子郵件連結接觸受害者。

值得注意的是，ReliaQuest首次觀察到ClickFix攻擊手法延伸至macOS環境。攻擊者透過applescript://連結開啟macOS內建的指令碼編輯工具Script Editor，誘使使用者執行惡意指令，並投遞Atomic macOS Stealer（AMOS）竊資軟體。

因應這類攻擊，研究人員建議資安團隊從端點遙測資料與系統事件記錄著手，偵測上述異常跡象，包括瀏覽器引導系統工具執行可疑命令列、未經核準的遠端存取工具安裝，以及macOS環境中非預期的鑰匙圈讀取、憑證資料的傾印（credential dumping），或透過macOS提供的命令列工具security執行憑證資料的存取等活動。

'

開源版本控制系統Gitea重大漏洞遭到利用，逾6千臺執行個體恐曝險

來源：https://www.ithome.com.tw/news/177163

Sysdig威脅研究資深總監Michael Clark於職場社群網站LinkedIn警告，他們偵測到首度利用開源版本控制系統Gitea重大漏洞CVE-2026-20896的攻擊行動，距離Gitea開發團隊發布公告不到兩週。有人透過VPN連線嘗試掃描上述弱點，成功利用並取得Gitea的存取權限。Clark強調，利用CVE-2026-20896不需事先取得密碼或權杖（Token），只需使用特定的HTTP標頭，就能嘗試存取網際網路上的Gitea執行個體，全球可能有近6,200臺Gitea伺服器暴露於公開網路，已完成修補的數量仍不得而知。

上述漏洞Gitea開發團隊於6月21日發布1.26.3與1.26.4版修補，此弱點存在於Gitea的Docker映像檔，允許攻擊者利用單一標頭模擬使用者，CVSS風險評為9.8分，相當危險，呼籲用戶應儘速修補。

'

IBM修補WebSphere Application Server兩項重大漏洞

來源：https://www.ithome.com.tw/news/177162

IBM於6月30日發布Java應用程式伺服器WebSphere Application Server資安公告，修補三項漏洞CVE-2026-11712、CVE-2026-11595與CVE-2026-11708，影響傳統版（Traditional）的8.5與9.0等兩大主要分支版本。

由於這款產品是許多企業關鍵業務系統採用的Java中介軟體平臺，一旦前述漏洞遭到利用，將影響核心系統安全，用戶應儘速安裝PH71756臨時修補套件，正式的修補套件將分為兩部分，包括用於修補9.x版的9.0.5.29版套件，以及用於修補8.x版的8.5.5.31版套件，均預定於今年第三季發布。

這次WebSphere Application Server修補的三項漏洞，均存在於管理控制臺的整合輔助說明系統（Integrated Help System），最嚴重的是CVSS評分均為9.3分的CVE-2026-11712與CVE-2026-11708這兩項，均屬於跨網站指令碼問題（Cross-site Scripting），這兩項漏洞除編號不同外，IBM公告中的描述完全相同，目前無法判斷兩者的區別何在。另一項漏洞CVE-2026-11595則屬於路徑遍歷問題（Path Traversal），CVSS評分為4.3分。

'

Google搜尋控制臺新增平臺屬性，首度可分析社交帳號的搜尋流量

來源：https://www.ithome.com.tw/news/177161

Google周二（7/7）宣布，旗下Google搜尋控制臺（Search Console）新增平臺屬性（Platform Properties），首度支援分析Instagram、TikTok、X及YouTube等社交帳號的搜尋流量。創作者及內容發布者可將各社交帳號新增為獨立的平臺屬性，查看Google搜尋及Discover帶來的流量表現；新功能預計於未來幾周逐步開放。

Google搜尋控制臺是Google提供網站經營者免費使用的搜尋分析工具，可用於監控網站於Google搜尋中的曝光、點擊、搜尋關鍵字及索引狀態，也是搜尋引擎最佳化（SEO）最常用的官方工具之一。過去Google搜尋控制臺主要提供網域屬性（Domain Property）及網址前綴屬性（URL-prefix Property）兩種屬性，前者涵蓋整個網站網域，後者則僅分析特定網址範圍，分析對象皆為網站。

此次新增的平臺屬性（Platform Property）首度將社交帳號納入分析範圍，擴大Google搜尋控制臺的分析對象，但目前僅支援Instagram、TikTok、X及YouTube四大平臺，Google尚未公布是否將擴大支援其他社交平臺。

Google表示，隨著創作者及內容發布者愈來愈常透過社交媒體及影音平臺接觸受眾，而使用者也愈來愈偏好第一手觀點與多元內容形式，因此希望讓網站經營者及創作者，即使沒有自有網站，也能集中查看各類內容在Google搜尋中的曝光及流量表現。

建立平臺屬性後，創作者可透過Google搜尋控制臺查看Google搜尋及Discover帶來的流量表現。同時它沿用了網站版的分析指標，提供點擊數、曝光數、點閱率（CTR）、平均搜尋排名、熱門貼文、搜尋關鍵字及流量趨勢等資訊。

'

俄羅斯網路戰鎖定烏克蘭媒體，對電視臺發動DDoS攻擊

來源：https://www.ithome.com.tw/news/177160

自俄烏戰爭爆發以來，烏克蘭國家安全局（Security Service of Ukraine，SBU）已阻止超過1.6萬起與俄羅斯有關的網路攻擊與重大資安事件。除了政府、金融及國防單位，新聞媒體也成為俄羅斯駭客的優先攻擊目標。

烏克蘭SBU網路安全部門負責人Volodymyr Karastelyov表示，俄羅斯駭客曾對烏克蘭一家全國性電視臺的網站發動大規模分散式阻斷服務（DDoS）攻擊，歷時約3小時。攻擊者透過分布於亞洲、歐洲與美國的殭屍網路節點，每分鐘對網站應用層發出最高20萬次連線請求，並模擬真實使用者行為，企圖藉由大量複雜請求使伺服器過載，造成網站無法存取。在SBU網路安全人員即時介入後，網站恢復正常運作，攻擊未能得逞。

The Record也引述烏克蘭國家特殊通訊與資訊保護局（SSSCIP）報告指出，俄羅斯駭客對烏克蘭媒體發動超過200起實際造成影響的網路攻擊，手法包括網路釣魚、DDoS攻擊、網站竄改、破壞型惡意程式，以及入侵媒體平臺進而未經授權發布不實資訊。

為提升地方與區域媒體的資安韌性，SBU也與烏克蘭國家電視廣播委員會合作，針對媒體從業人員、數位資源管理者與技術人員舉辦實務訓練。

'

英國推網路韌性承諾計畫，促企業強化董事會治理與供應鏈資安

來源：https://www.ithome.com.tw/news/177159

英國政府7月7日正式啟動企業網路韌性承諾計畫（Cyber Resilience Pledge），盼藉由大型企業帶頭，推動整體產業供應鏈強化資安防護。首批已有超過60家企業與組織加入，包括微軟英國（Microsoft UK）、Cloudflare、馬莎百貨（M&S）、金融機構Nationwide Building Society，以及商業電視業者ITV。

Cyber Resilience Pledge由英國科學、創新暨技術部（DSIT）與英國國家網路安全中心（NCSC）共同推動，採取自願簽署的參與機制。加入該計畫的企業需在規定期限內落實3項措施，包括將資安列為董事會責任，依循並落實NCSC《網路安全治理實務準則》（Cyber Governance Code of Practice）所列行動，並安排所有董事定期接受NCSC提供的資安治理訓練；註冊NCSC免費威脅預警服務Early Warning，接收潛在威脅通知；以及使用Cyber Essentials Supplier Check Tool，盤點供應鏈取得Cyber Essentials認證的涵蓋情況。

英國政府表示，重大網路攻擊每年對英國組織造成約147億英鎊損失，因此希望透過這項倡議，促使企業將資安納入經營治理，並藉由供應鏈管理擴大防護範圍。

不過，這項承諾的實際約束力仍有待觀察。資安媒體The Record引述英國智庫皇家三軍研究所（Royal United Services Institute，RUSI）資深研究員Jamie MacColl的看法指出，英國網路政策常見做法是先透過諮詢、研究、實務準則與自願承諾推動產業改變；若企業參與情況不如預期，後續可能成為政府強化監管的理由。

'

美國警告Joomla外掛滿分漏洞已遭積極利用

來源：https://www.ithome.com.tw/news/177158

7月7日美國網路安全與基礎設施安全局（CISA）表示，他們已掌握3個漏洞遭積極利用的情形，因此將這些弱點列入已遭利用的漏洞名單（KEV），並要求聯邦機構於7月10日前完成修補。值得留意的是，有兩項漏洞CVE-2026-48908、CVE-2026-56290，都是CVSS v4.0風險值達到10分滿分的危險弱點，影響內容管理平臺Joomla的外掛程式JoomShaper SP Page Builder、Joomlack Page Builder，用戶應儘速採取行動因應。

在CISA確認這些漏洞遭到利用之前，有網站管理平臺提出警告。WordPress與Joomla網站集中管理平臺mySites.guru先針對CVE-2026-48908示警，駭客在開發團隊尚未修補前就開始用於發動攻擊，並建立名稱看似正常的惡意管理員帳號；另一個漏洞CVE-2026-56290，則是6月27日開發團隊發布更新修補之後，有人在數小時內用於實際攻擊。mySites.guru呼籲用戶應立即更新外掛程式，並檢查網站是否遭到入侵。

'

CISA要求聯邦機構3天內修補Langflow重大漏洞

來源：https://www.ithome.com.tw/news/177157

美國網路安全與基礎設施安全局（CISA）近日提出警告，要求聯邦機構儘速修補圖像化大型語言模型開發工具Langflow重大漏洞CVE-2026-55255，並表示已掌握該弱點遭到利用的跡象。事實上，在兩週前已有資安公司發現有人將其用於實際攻擊

'

Meta推出Muse Image，整合Instagram與WhatsApp圖片生成功能

來源：https://www.ithome.com.tw/news/177156

Meta周二（7/7）發表由超級智慧實驗室（Meta Superintelligence Labs，MSL）開發的AI圖片生成模型Muse Image，並將其整合至Meta AI，已開始支援Instagram Stories及WhatsApp。這是MSL繼今年4月的Muse Spark之後所推出的第二款模型。Meta亦預告MSL正在開發影片生成模型Muse Video，但推出時程未定。

根據Meta的說明，Muse Image可理解較複雜的提示詞，先規畫畫面內容，再結合即時網路資訊與多個視覺素材生成圖片。除了文字生圖外，也支援融合多張照片、移除背景中的路人、修改圖片內容，以及生成可正常掃描的QR Code。它也能在圖片中生成清晰且易於辨識的文字，可用於製作資訊圖表、活動邀請函等視覺內容。

使用者亦可透過預設提示詞，快速套用創作風格，或直接在圖片上圈選、塗鴉及標註欲修改區域，由AI完成局部編修。

Muse Image將整合至Meta旗下多項產品。目前Instagram Stories已支援30多種由Muse Image驅動的AI特效，WhatsApp亦能在與Meta AI對話時生成圖片；未來計畫擴展至Facebook及Messenger，並讓廣告主及代理商透過Meta Advantage+ Creative建立AI廣告素材。

此外，使用者拍攝房間照片後，可要求Meta AI重新設計室內空間，系統會結合Facebook Marketplace及網路上的實際商品，生成採用真實家具的裝潢示意圖。

值得注意的是，Muse Image支援在Meta AI中以「@Instagram帳號」作為提示詞，引用公開Instagram帳號的照片生成AI圖片。Meta的用意是讓使用者用它來製作活動邀請函、共同創作或個人化圖片，結果CNET實測發現，只要在提示詞中輸入公開Instagram帳號，就能在未取得帳號本人同意的情況下，生成含有該人物樣貌的AI圖片。

對此，Meta則說，公開Instagram帳號用戶可在Instagram設定中，關閉「允許他人在Instagram及Meta AI功能中重複使用內容」（Sharing and reuse）選項，避免自己的公開照片被他人用於AI圖片生成；私人帳號則預設不開放。

'

記憶體安全需求推升Rust人氣，首進TIOBE指標前十

來源：https://www.ithome.com.tw/news/177155

TIOBE公布2026年7月程式語言人氣指標，Rust首次進入前十名，排名第10，評分為1.34%，高於去年同期的第18名。TIOBE指出，Rust近年人氣增加，主要與其重視記憶體安全，同時仍能產生高效能程式碼有關，使其成為C與C++之外受到關注的系統程式語言選項。

在7月榜單中，Python仍排名第1，評分18.94%，但比去年同期下滑8.03個百分點。C排名第2，C++排名第3，Java與C#分居第4與第5。前十名後段變化較明顯，SQL從去年同期第13名升至第8名，R語言從第15名升至第9名，Rust則從第18名升至第10名。

Rust受到關注的原因，與近年軟體開發對記憶體安全的要求提高有關。傳統系統程式語言C與C++可用於作業系統、底層元件與高效能應用，但由開發者明確管理記憶體，也可能帶來越界存取、釋放記憶體後仍繼續使用等安全風險。Rust透過語言設計在編譯階段降低部分記憶體錯誤，同時維持接近底層語言的效能，因此常被拿來與C、C++比較。

不過，TIOBE也指出，C與C++社群仍在推動提高語言安全性的工作，這些努力能否及時見效，仍有待觀察。Rust進入前十，也反映記憶體安全已成為程式語言選擇中更受重視的條件之一。

TIOBE程式語言人氣指標每月更新一次，用來觀察不同程式語言的受歡迎程度，評比依據包括全球熟練工程師、課程與第三方供應商數量，並參考Google、Amazon、Wikipedia與Bing等20多個網站的搜尋結果。

'