【臺灣資安大會直擊】從一場虛擬紅隊演練，解構紅隊與藍隊的攻防作為

來源：https://www.ithome.com.tw/news/177293

對於許多企業而言，每一次進行紅隊演練時，委外的紅隊面對企業內部堅守防禦陣營的藍隊，往往是敵對的狀態，攻擊方想方設法透過內部橫向移動，取得管理員權限，進而建立永久後門並外洩資料；而防守方在面對資訊不對稱的情況下，往往只能被動迎擊，即便無法在第一時間掌握紅隊攻擊的手法和進度，但仍盡可能透過各種蛛絲馬跡找到被入侵的證據，並在有限的資源下，確保企業內重要關鍵資產的安全性。

即便紅隊與藍隊因為攻守的立場不同形成對峙的局面，但日前在臺灣資安大會（CYBERSEC 2026）戴夫寇爾（DEVCORE）執行長翁浩正（Allen Own），以及現任美商企業臺灣資安長的陳浩維（HW Chen）共同發表演講，這兩位相識超過二十年好友，在此進行一場虛擬紅隊演練的現場對談。

翁浩正提到，他們兩人最早是在網路上的駭客與資安討論區彼此結識；爾後在2007年共同創立輔仁大學的NISRA資安社團，被視為臺灣校園資安社群最早的雛形之一。之後，翁浩正留在臺灣持續深耕，於2012年創立以滲透測試與紅隊服務為核心的戴夫寇爾（DEVCORE）；陳浩維則選擇出國深造，並加入Amazon打造企業內部的藍隊與資安應變團隊，之後轉戰韓國電商巨頭Coupang擔任臺灣資安長，直到今年初才返臺服務。

兩位二十年好友，在資安產業同行，從駭客社群相識到攻防兩端各自紮根，兩人不約而同認為，資安不該只是個人或單一企業的責任，而是必須仰賴整個產業與政府協力，才能真正墊高臺灣的整體防禦韌性。

第一週的資訊蒐集與資產盲區：一場虛擬紅隊演練

為了讓現場聽眾能更具體理解攻防兩端，在同一時間軸上各自看到什麼、又各自在忙什麼，兩人以一個虛構情境切入：陳浩維扮演企業資安長的角色，委託翁浩正的紅隊團隊執行為期一個月的滲透演練。

翁浩正說明，紅隊在正式取得任何存取權限之前，第一週的重點是在不驚動防禦方的前提下，盡可能完整地盤點企業的外部攻擊面。

具體做法包括透過憑證透明度紀錄（Certificate Transparency Log）追出企業所有歷史子網域，利用Shodan、Censys等工具，以SSL憑證指紋、favicon雜湊值（favicon hash）與自治系統編號反查對外資產；並透過被動式DNS紀錄，找出那些對外已經下線、卻仍在網路上存活的IP位址。

此外，從翁浩正的實務經驗也發現，只要在GitHub進行程式碼搜尋，往往能挖出企業員工或前員工不慎外洩的設定檔與commit紀錄，甚至包括離職員工的個人帳號。

他也直言，如今許多企業與外包廠商的工程師習慣直接在公開的GitHub儲存庫上進行開發與版本控管，無意間就把公司網域名稱、內部信箱與員工姓名一併攤在陽光下，成為攻擊者最初也最容易取得的情資來源。

相對地，陳浩維從防禦方的角度指出，當時企業內部正利用攻擊面管理工具執行盤點，VPN伺服器雖然也被列入清查範圍，但因為仍需維持正常服務而未被真正凍結。

他說，更關鍵的是，憑證透明度紀錄的監控並未被納入資安維運中心（SOC）的例行盤點項目，VPN帳號密碼的安全性也未曾被稽核，加上部分漏洞獎勵計畫（Bug Bounty Program）通報的漏洞尚未完成修補。

因此，他強調，這個階段真正該做的功課，是強化外部漏洞風險的防護、主動進行OSINT內部資訊的清理，以及補齊日誌監控的完整性。「否則這些看似細瑣的資產缺口，終將成為攻擊者長驅直入的起點。」他說。

第二週的合法入侵：弱密碼撞庫與VPN滲透

進入第二週，紅隊的目標從單純蒐集外部情報，轉為取得一個能被系統認可的合法身分，藉此進入企業內網。

翁浩正說明，團隊會從公開的資料外洩資料庫中，篩選出符合企業網域信箱格式的帳號紀錄，藉此掌握員工在其他網站重複使用的弱密碼；同時，團隊也會從GitHub程式碼裡挖出可用的弱密碼，進而找到維護廠商所使用的帳號密碼組合。

為了避開防禦方的告警機制，紅隊採取低速、分散式的撞庫策略，刻意拉長間隔並分散來源IP位址，最終成功以外包廠商的合法帳號登入VPN。

陳浩維則從藍隊視角補充，當時企業其實已經部署VPN暴力破解偵測機制，但由於攻擊者刻意壓低每個IP位址的嘗試次數，使得偵測門檻始終未被觸發；系統雖然也設有異常地理位置登入的告警，但攻擊者使用的常駐代理IP位址，在偵測系統眼中與合法的家用網路幾乎無異。

他表示，更令人憂心的是，維護廠商人員的多因素驗證（MFA）政策僅止於「建議」而非強制，導致這道原本應該存在的最後防線形同虛設，使得一連串異常行為始終沒有觸及任何已定義的偵測規則。

陳浩維指出，這正是防禦方必須優先補強的環節，唯有將偵測機制持續優化，並在零信任架構下真正強制導入多因子驗證，才能讓合法帳號被冒用的門檻大幅提高。

第三週的橫向移動與示警：從外包工作站到網域控制器

接著是第三週，紅隊的目標從一個委外帳號，擴張成整個網域的管理員權限。翁浩正描述，團隊先透過VPN進入內網，並在外包人員的工作站上完成落地，接著使用SharpHound工具建立完整的Active Directory（目錄服務）攻擊圖，盤點權限結構、群組關係與可能的攻擊路徑。

攻擊團隊隨後找到一組因群組原則偏好設定（Group Policy Preferences）漏洞，而暴露在SYSVOL中的服務帳號密碼，並發現多臺主機共用同一組本機管理員密碼，因此得以透過Pass-the-Hash這種直接傳遞 Hash，而不是輸入密碼的攻擊技術，橫向移動（Lateral Movement）至網域控制器，最終取得整個Active Directory資料庫（NTDS.dit）的密碼雜湊值。

翁浩正坦言，這是許多進階持續性威脅（APT）組織慣用的手法，而企業方往往因為某一臺主機設定疏漏，就讓整條攻擊鏈路一路暢通無阻。值得慶幸的是，防禦方這次並非全然無所察覺。

陳浩維進一步說明，此時企業的資安人員注意到，有一個名為jenkins-build的服務帳號出現行為異常，包括：平常只在固定時段、固定主機上運作，卻突然出現在不該出現的伺服器上，且登入時間落在非上班時段。

藍隊隨即啟動初步調查後發現，外包工程師的工作站存在異常的PowerShell活動，於是立即隔離該工作站、重設外包帳號密碼，並著手檢視端點行為紀錄、追查橫向移動路徑、停用相關帳號。

陳浩維特別提醒，一旦發現攻擊者已經滲透至此，防禦方不能只滿足於處理眼前這一個異常事件，而必須同步啟動更大範圍的調查，釐清這名外包人員的足跡為何會出現在不該出現的位置，並比對是否還有其他相似的行為模式潛藏在其他主機之中。

第四週建立持久後門：憑證濫用與資料外傳

到了第四週，紅隊的行動開始出現分歧的兩條線。第一條攻擊路線，是濫用憑證管理系統（Active Directory Certificate Services，ADCS）。

翁浩正說明，團隊利用Certify工具列出企業內所有憑證範本，找到一個設定錯誤的範本，一個在任何網域使用者都能申請、申請者可自行指定主體別名（Subject Alternative Name，SAN），且用途涵蓋用戶端身分驗證。

攻擊團隊便以一個普通使用者帳號申請憑證，並將主體別名指定為網域管理員的使用者主體名稱（UPN），而憑證管理系統竟同意簽發；紅隊便拿著這張憑證，便能以網域管理員身分取得Kerberos票證授權票證（TGT），進而暢行無阻地存取資料庫、Exchange等任何與Active Directory串接的服務，等同在企業內部埋下一道長期可用的後門。

陳浩維坦承，防禦方當時正忙於處理前一週事件的事後檢討（post-incident review），而憑證管理系統的稽核紀錄預設處於關閉狀態；即便啟用，龐大的日誌量，也讓資安人員難以從中識別出真正有意義的異常。

他認為，更根本的問題是，企業內部完全沒有工具能夠監控「異常的憑證申請行為」。陳浩維直言，這個環節該做的補強，就是同步優化偵測機制、加強對關鍵資產（crown jewel）的防護強度，並持續保持警戒，不能因為上一起事件已經落幕就鬆懈下來。

第二條攻擊路線，則是資料外傳。翁浩正指出，紅隊利用剛取得的網域管理員權限登入資料庫伺服器，刻意不下載大量資料，只取部分樣本以降低被偵測風險，並將敏感資料切片後，編碼成DNS查詢封包，經由內部DNS伺服器這條看似合法的路徑，將資料悄悄送出企業邊界。

陳浩維接著說明，這時候的防禦方，原本正忙著撰寫上一起事件的報告並向上呈報，一度誤以為資安危機已經解除、戒備等級隨之降低；儘管企業內部仍保有被動式DNS日誌（ Passive DNS Log），卻沒有規則能夠檢測「同一臺內部主機對外部網域發出大量查詢」這種典型的DNS通道（DNS Tunneling）特徵。

他指出，資料外洩防護（DLP）規則雖然能攔截常見的外傳管道，如HTTP POST或電子郵件附件，卻完全沒有涵蓋DNS通道這條隱蔽路徑。最終仍是在演練結束後，由紅隊主動告知，藍隊才知道資料外傳確實曾發生。

陳浩維認為，企業這時候，應該根據駭客最常用的資料竊取方式，事先在資安監控系統（如 SIEM、EDR 或 SOC）設定各種偵測規則，一旦出現大量壓縮檔案、異常對外傳輸、使用可疑工具上傳資料、DNS Tunneling 或連線至未知雲端儲存服務等行為，就能即時發出警報，讓資安團隊及早發現並阻止資料外洩。

攻防認知落差，造成資訊不對稱下沒有真正贏家

整場演練攤開在同一條時間軸上，認知落差便一目瞭然。拆解紅藍隊的作為之後，可以發現紅隊在第一週盤點外部資產、進行公開來源情資蒐集時，藍隊當週的日常情資分析並未發現任何異常。

但是，從第二週開始，紅隊已取得員工VPN帳號並合法登入內網，防禦方卻毫無察覺；進入第三週後，紅隊雖已取得網域管理員權限，但行動終於被察覺，藍隊也在同一週偵測到服務帳號異常並啟動事件調查。

然而，在第四週，當紅隊透過憑證管理系統建立起永久性的存取後門時，藍隊卻已將該起事件結案、著手撰寫事後檢討報告。

翁浩正坦言，這正是一場資訊不對稱的戰爭，因為攻擊方永遠握有先手優勢，防禦方幾乎不可能將所有外部情報一一掌握。但他也強調，藍隊真正的價值，不在於這一次是否完全攔下攻擊，而在於能否藉由每一次資安事件與每一次演練，讓組織變得更強韌。

不管是翁浩正或是陳浩維，兩人都不約而同提到「紫隊」（Purple Team）的概念，那就是讓紅隊與藍隊坐下來，逐一比對紅隊行動的時間軸，檢視藍隊究竟在哪些節點真正發現異常、又有哪些節點完全錯過。

他們都同意，一起坐下來檢視的目的並非究責，而是讓駭客下一次的攻擊變得更困難。陳浩維特別提醒，面對紅隊演練的結果，企業內部的心態不該是互相究責，而應該正向看待每一次落差，把它當成讓組織變得更強的養分。

企業常見四大防禦盲點：心態、資源、組織與演練

翁浩正進一步歸納出臺灣企業在資安防禦上常見的四大盲點。首先是心態盲點，像是許多企業誤以為合規等於安全，實際上，通過稽核並不代表萬無一失，「但合規終究只是最低標準而非終點，」他說。此外，過度依賴單一供應商的心態也十分普遍，他指出，有不少企業以為只要採購名列Gartner象限的產品就等於安全無虞，卻無力分辨廠商之間的品質優劣。

第二是資源盲點。許多企業的預算大量投入工具設備，卻沒有相應投資在人員身上，機房堆滿各式各樣的資安設備，資安人員卻被排山倒海的告警雜訊淹沒。

翁浩正也進一步解釋，紅隊真正發動攻擊時，決定成敗的關鍵其實是：資安人員能否根據某一條日誌的線索，判斷是否應該在凌晨兩點叫醒資安長，並不是該公司的設備本身有多先進。

第三是組織盲點。資安團隊往往被孤立於企業決策圈之外，難以真正影響資安策略的制定。所以，翁浩正表示，當資安被視為IT部門的延伸業務、而非全公司共同的責任時，員工自然而然把資安問題當成別人的事。此時，就會發生像是：員工看到釣魚郵件仍隨手點擊；密碼寫在便利貼上且貼在螢幕邊等行為，都是這種組織文化下的副作用。

第四是演練盲點，因為沒經過演練檢驗過的防禦機制，終究稱不上真正的防禦。翁浩正指出，許多企業從未執行過紅隊演練、桌上型演練或資安事件應變演練，即便事前寫好看似完備的資安應變手冊（Playbook），等到真正出事時才發現，原來手冊裡登載的緊急聯絡電話，竟然是早已離職同仁的舊號碼。

從被動防禦邁向主動覺察

面對這些盲點，陳浩維以其在Amazon與Coupang等企業建置資安應變團隊的實務經驗，說明資安事件的應變（Incident Response）不該是事後救火，而必須是事前準備與反覆演練的成果。

他強調，像是資安應變手冊的核心，在於清楚界定每個角色的職責分工、明確的升級通報條件、如何有效控制情況範圍、如何徹底移除風險，以及最終不可或缺的事後檢討機制。

企業無論選擇建置內部應變團隊或委外處理，都需要清楚掌握自身的能量與缺口所在。因此，陳浩維也特別推崇桌上型演練（Tabletop Exercise）帶來的價值。

他認為，那是成本最低的一種災難演練形式，不需要任何技術門檻，卻能真實暴露出組織在壓力情境下的實際反應，藉此釐清職責分工、檢視發現的問題，並透過持續性的演練循環不斷改善。

談到威脅情資的運用，陳浩維直言，情資不是花錢訂閱資訊來源（feed）就足夠，真正有價值的情資必須是「可行動」的，而非堆積如山、卻無人消化的入侵指標（IOC）。他認為，只有情資能夠實際影響決策、主動引導紅隊測試方向，才稱得上真正發揮威脅情資的價值。

不管是翁浩正或是陳浩維，兩人也不約而同呼籲，企業必須從被動防禦轉向主動防禦。這也就意味著，企業不能只是被動等待告警、等待通報、等待資安事件發生；反而應該主動進行威脅獵捕（Threat Hunting），更要假設企業早已被入侵、並持續進行控制驗證（control validation）。

翁浩正強調，這場轉變的關鍵從來不是工具，而是思維本身；陳浩維也補充，被入侵在未來將成為常態，重點不在於是否被攻破，而在於企業如何處理與應對：對內要建立正向的團隊文化、給予團隊足夠的資源；對外則展現處理事件的積極度與透明度，唯有願意誠實面對自己，企業才能真正持續改善。

紅藍隊演練的真正目的是，驗證原本停留在紙本上的假設

面對臺灣資安產業發展的下一步，翁浩正指出，臺灣資安人才的養成速度始終追不上人才流失的速度，呼籲更多人投入資安產業，並持續壯大像臺灣駭客協會與HITCON這樣的社群力量，讓從業者不只是被動等待，而能主動分享、參與與連結彼此。

陳浩維則從自身跨國企業資安長的角度分享，他始終認為，即便企業之間存在商業上的競爭關係，但從資安角度來看，所有企業真正的競爭對手其實只有攻擊者。他直言，唯有攜手防禦、共同拉高攻擊者的成本，才是真正有意義的合作。

他也鼓勵，所有的資安從業人員不要只是被動等待政策推動，應主動向政府與學界發聲，把資安社群觀察到的有效做法帶入企業；再透過與政府機關的互動，將相關經驗回饋給產業；最後共同促成整體防禦能量的提升。

翁浩正強調，紅隊演練的意義從來不是要證明企業失敗，而是讓那些原本停留在紙上的假設，真正被驗證過一次；唯有誠實面對自己的缺口，組織才能透過每一次的改善變得更有韌性。

而陳浩維則認為，企業真正的防禦韌性，不在於堆疊多少工具，而在於企業是否培養出主動覺察風險的文化。

翁浩正和陳浩維的共同結論則是：紅隊與藍隊終究是同一隊，唯有紅藍無間、攜手同行，臺灣資安才有真正站穩全球最前線的底氣。

'

網路流量分析工具Wireshark發布4.6.7版，修補12項漏洞

來源：https://www.ithome.com.tw/news/177292

開源網路流量分析工具Wireshark近日發布4.6.7版更新，修補12項漏洞，涵蓋多個網路協定解析器（Protocol Dissector）與封包擷取檔案解析元件（file parser）。Wireshark能解析數百種網路協定，廣泛應用於網路故障排除、封包分析及資安鑑識，因此若處理惡意封包或封包擷取檔案時存在漏洞，可能影響分析工作的安全性。

這次Wireshark修補的漏洞，多數屬於協定解析器的記憶體安全問題，包括緩衝區溢位、無效記憶體存取、越界讀取等，可能導致Wireshark在分析封包時發生程式當機等問題。受影響元件涵蓋Catapult DCT2000、SSH、IEEE 802.11、UMTS FP、Z39.50等多種協定解析器，以及pcapng、DBS Etherwatch等封包檔案解析元件；另有一項涉及BLF檔案解析器的資訊洩露問題。就CVSS評分來看，最嚴重的是DBS Etherwatch封包檔案解析元件的漏洞CVE-2026-15167，CVSS評分為7.5分，可能導致程式當機。

'

全球經濟學家與科技領袖聯署籲正視AI經濟衝擊

來源：https://www.ithome.com.tw/news/177291

一群經濟學家及科技業人士本周一（7/13）發動一項連署《We Must Act Now—A Statement on AI’s Transformation of the Economy》，指出AI在未來10年內，可能會比今天強大得多，呼籲各界及政策制定者應更積極地因應AI所帶來的風險。

根據史丹佛大學數位經濟實驗室（Stanford Digital Economy Lab，DEL）的說明，此一聲明是由經濟學家Erik Brynjolfsson、Ajay Agrawal、Anton Korinek及Tom Cunningham共同發起，認為能力日益提升的AI系統可能以前所未有的速度重塑全球經濟。雖然AI可望大幅提升生產力及生活水準，但也將對勞工、企業及公共機構帶來重大挑戰。

聲明中呼籲經濟學家、政策制定者及科技領袖必須立即行動，深入理解具變革性的AI（Transformative AI）對經濟的影響，並建立適當的誘因（Incentives）、防護機制（Guardrails）及制度（Institutions），引導AI朝向能與人類互補、並使整體社會受益的方向發展。

DEL主任Brynjolfsson表示，AI能力提升的速度，遠遠快於我們理解其經濟影響的速度。而這段落差，正蘊藏著這個時代最大的機會。我們必須立即行動，引導AI成為人類的互補者，而不是單純模仿人類，並讓繁榮惠及多數人，而非少數人。

諾貝爾經濟學獎得主Michael Spence認為，AI技術進展的規模、範圍及速度，加上其對經濟各領域影響的程度及時機仍充滿高度不確定性，因此需要各界全面投入，共同引導AI朝有利社會的方向發展。

目前借調至Anthropic擔任經濟顧問的學者Korinek則說，蒸汽機、電力及電腦都給了社會數十年時間適應，但AI留給人們的時間可能只有幾年，倘若等到變革發生後才臨時建立策略與制度，往往為時已晚。

在DEL的號召下，該聲明迄今已獲得數百名專家學者的支持，包括16位諾貝爾獎得主及許多AI研究人員，聲明中並未提出具體政策，而是呼籲各界先就AI可能帶來的經濟衝擊建立共識，設計能引導企業朝有利社會方向使用AI的誘因（Incentives）、降低負面衝擊的防護機制（Guardrails），以及因應AI經濟轉型所需的制度安排（Institutions）。

'

中國、印度背景駭客分別鎖定巴基斯坦同一警察機關，陳情系統遭植入惡意程式

來源：https://www.ithome.com.tw/news/177290

端點資安業者SentinelOne旗下威脅研究團隊SentinelLABS指出，疑似中國相關的威脅行為者與印度相關的威脅行為者，在2024年2月至2026年4月間，分別對巴基斯坦多個執法機關發動網路間諜攻擊，兩方攻擊行動都曾波及俾路支省（Balochistan）警察機關。

研究團隊確認俾路支省警察機關有多項IT資產受到影響，並於2024年6月2日至2026年4月9日間觀察到異常連線，涉及兩臺網路設備、多臺執行俾路支省警方網站應用程式的伺服器，以及1臺Fortinet FortiMail設備。這臺設備先前曾作為主要入站郵件閘道，事發時仍在該機關網路中運作。

在具體攻擊手法方面，研究團隊研判，俾路支省警察機關的陳情管理系統（Complaint Management System，CMS）入侵事件，與疑似中國背景攻擊者有關。攻擊者在網站目錄植入2個惡意程式變體，其中一個用於下載及執行後續攻擊酬載，另一個則以反射方式載入遠端控制木馬AsyncRAT的用戶端。由於這套系統同時供警察人員與民眾使用，攻擊者若感染警察人員的設備，可能以此作為入侵警察機關內部網路的跳板；若感染民眾設備，則可能監控曾透過該系統提出陳情的民眾。

'

俄羅斯國家級駭客攻擊關鍵基礎設施，13國呼籲強化路由器防護因應

來源：https://www.ithome.com.tw/news/177289

美國網路安全與基礎設施安全局（CISA）於7月13日，將CVE-2008-4128列入已遭利用的漏洞列表（KEV），並緊急要求聯邦機構必須在3天內完成修補，這樣的情況對於一個已公布接近20年的老舊弱點而言相當罕見。而這個漏洞被加入KEV且要求美國所有政府機關必須在短時間內採取行動，很可能與同一天發布的聯合公告有關。

美國國家安全局（NSA）、CISA、FBI，與澳洲、紐西蘭、英國、捷克、丹麥等12個國家的資安機構與軍情單位聯手提出警告，俄羅斯聯邦安全局（FSB）第16單位（Center 16）旗下的多個駭客團體，持續鎖定全球組態設定不佳或存在弱點的網路設備，破壞多個關鍵基礎設施的網路環境，範圍涵蓋電信、國防工業基地、能源、金融服務、政府服務與設施、醫療保健與公共衛生等領域。這些被盯上的網路設備主要是路由器，他們透過SNMP協定尋找下手目標。但除了一般的路由器，這些執法機關也提及駭客針對思科IOS與IOS XE的平臺的情形，其中利用的弱點已確定有2個，分別是剛被加入KEV的CVE-2008-4128，以及重大等級的CVE-2018-0171。

對此，執法機關呼籲關鍵基礎設施業者採取行動因應，包括實作第3代SNMP通訊協定（SNMP v3）、使用高強度的安全密碼、停用Cisco Smart Install功能，並於防火牆封鎖SNMP、TFTP、SMI等通訊協定。

'

韓國Kakao Pay違法跨境傳輸個資案延燒，警方發動突擊搜查

來源：https://www.ithome.com.tw/news/177283

韓國最大行動支付平臺Kakao Pay在2024年被爆出違法傳送個資事件，如今有新進展，韓國個人資訊保護委員會（PIPC）今年1月宣布，針對違反個資法跨境傳輸規定的Kakao Pay，處以59億6,800萬韓元行政罰鍰，最近韓國多家媒體報導指出，當地警方自7月6日針對相關事件突擊搜查Kakao Pay的總部，進行為期兩天的搜查和扣押行動。

根據PIPC調查揭露，此案源於Kakao Pay、Apple與支付寶（Alipay）的業務合作，由支付寶受託建立評估App Store扣款風險的「NSF分數」模型。然而，在2018年至2024年5月期間，Kakao Pay在未經用戶明確同意的情況下，竟將全體用戶個資每日傳輸至支付寶新加坡電子商務公司。PIPC指出其存在兩項重大違規：首先是未取得個資提供予第三人及跨境傳輸的明確授權；其次是傳輸範圍過大，甚至連從未與Apple生態系互動的Android用戶個資也一併遭到傳送，影響約4千萬Kakao Pay用戶。

關於此案的後續進展，根據韓聯社報導，首爾行政法院於6月11日針對Kakao Pay提出的撤銷處分訴訟作出初審判決，裁定Kakao Pay敗訴。法院理由指出，用戶在註冊時簽署的通用同意書，並不足以讓其預見個資會被用於建構特定的信用評估模型，因此認定PIPC的行政處分合法。緊接著朝鮮日報指出，京畿南部警察廳反腐敗與經濟犯罪調查組於7月6日發動強制搜索，此行動是應金融監督院（FSS）於今年3月提出的刑事調查要求，目的是要查明公司內部的決策過程，並確認是否涉及違反《信用資訊法》與《電子金融交易法》。

'

IBM與紅帽正式推出Lightwell，首波提供逾6,500項完成安全修補與驗證的相依套件

來源：https://www.ithome.com.tw/news/177285

IBM與紅帽（Red Hat）於7月8日宣布，正式推出企業開放原始碼軟體供應鏈安全服務Lightwell，延續兩家公司先前公布的Project Lightwell計畫，將紅帽長期累積的企業開放原始碼工程與漏洞修補能力，擴大應用於第三方開放原始碼軟體。

其中，Lightwell Network已正式供應，首波提供逾6,500個應用程式層相依套件，均已完成漏洞修補、數位簽章及認證，涵蓋Java與Python等軟體生態系。企業可取得二進位檔、原始碼，以及軟體物料清單（SBOM）等法規遵循所需資料，並將相關套件與資料納入既有的軟體開發、部署及供應鏈管理流程。

在修補方式上，紅帽說明，Lightwell採用生成式AI驅動的漏洞修補引擎，結合頂尖與開放AI模型與工程人員的專業經驗，找出、驗證並修補應用程式相依套件中的資安漏洞。這套機制可將關鍵安全修正向後移植（backport）至企業仍在使用的長期版本，讓企業不必為取得安全修正而升級至上游專案的主要版本，降低破壞性變更及冗長迴歸測試造成的負擔。

另一項方案Lightwell Clearinghouse Premier目前採限量供應，初期鎖定金融服務業。這項方案由Lightwell擔任受信任的協調中介者，讓符合資格的參與組織可在漏洞資訊公開前在此提報，並在保密期內協調漏洞修補、特定產業的威脅情資與應變，以及指定版本的修補需求。

至於修補成果，紅帽表示，Lightwell完成漏洞修補後，會將相關修正提交回原始開放原始碼社群審查與採用，避免各方採用不同修補版本而造成專案碎片化。

'

OWASP ModSecurity修補高風險漏洞，未更新可能導致攻擊者藉此繞過防火牆防護

來源：https://www.ithome.com.tw/news/177284

開源Web應用程式防火牆ModSecurity近日發布資安公告，修補兩項可能導致攻擊者繞過防火牆規則的漏洞，影響3.0.15版以前版本。ModSecurity由開源Web應用程式安全專案OWASP維護，廣泛部署於Apache HTTP Server、Nginx等Web伺服器前端，用於攔截SQL注入、跨網站指令碼（XSS）等常見Web攻擊，因此相關漏洞可能影響網站阻擋攻擊的能力，用戶應儘速升級至已修補的3.0.16版。

這次ModSecurity修補的兩項漏洞中，較嚴重的是CVE-2026-52747，CVSS評分為8.6分，源自資料解析器對輸入內容的解析問題，可能導致防火牆與後端應用程式看到的輸入內容不一致，進而造成防護規則遭繞過；另一項漏洞CVE-2026-52761的CVSS評分則為5.8分，為32位元系統上的Unicode轉換問題，可能造成部分防護規則失效。

'

Android木馬RedHook出現新變種，濫用ADB無線偵錯取得Shell層級權限

來源：https://www.ithome.com.tw/news/177282

2025年7月現身的Android遠端存取木馬（Remote Access Trojan，RAT）RedHook，近期擴大活動範圍並推出新版本。資安業者Group-IB指出，攻擊者濫用Android偵錯橋接器（Android Debug Bridge，ADB）的無線偵錯功能，讓RedHook取得Shell層級權限，進一步安裝或移除應用程式、修改安全設定，並為自身授予敏感權限。

攻擊者通常透過電話或通訊軟體主動聯繫受害者，假冒政府機關、金融機構或客服人員，並以完成官方程序或啟用服務為由，誘導對方前往仿冒Google Play商店的網站，下載RedHook惡意APK檔案。RedHook安裝後，會引誘使用者啟用無障礙服務，再自動開啟開發人員選項與ADB無線偵錯，取得裝置顯示的Android無線偵錯配對碼。執行上述操作時，RedHook會以全螢幕覆蓋畫面遮住Android設定介面，使受害者難以察覺裝置設定已遭更動。

在權限提升手法上，RedHook採用與開源工具Shizuku相近的運作方式，透過ADB無線偵錯在裝置內建立ADB連線，不需外接電腦或USB電纜，即可啟動具備uid 2000權限的Shell處理程序，藉此執行一般Android應用程式無法使用的系統操作。

由於這類攻擊會仿冒政府機關與金融服務網站，研究人員建議金融機構監控使用者連線階段，及早發現裝置感染惡意程式或連線行為異常，並持續追蹤仿冒網站及品牌遭冒用情況。

'

CISA要求聯邦機構修補思科IOS平臺跨站偽造弱點

來源：https://www.ithome.com.tw/news/177281

7月上旬美國網路安全與基礎設施安全局（CISA）多次表示已掌握漏洞遭到積極利用的證據，然後將它們加入已遭利用的漏洞列表（KEV），這些漏洞存在於微軟SharePoint、Adobe ColdFusion、Langflow，以及多款Joomla外掛程式，皆為最近幾個月公布與修補的資安弱點，且危險程度多為重大等級。不過，本週CISA新列入KEV的一項弱點相當特別，因為它是已公布18年的中度風險漏洞。

CISA於7月13日指出，他們發現思科網路設備作業系統IOS的資安漏洞CVE-2008-4128遭積極利用，將其列入KEV並要求聯邦機構在7月16日前完成修補。此弱點存在於12.4版IOS平臺，為跨網站偽造請求（CSRF）類型的漏洞，存在於HTTP Administration元件，攻擊者可發送如show privilege、alias exec等特定請求到指定URI觸發，從而遠端執行任意命令，CVSS風險評為4.3分，為中度風險等級。

'

OpenJS公布Node.js資安進展，以AI協助處理暴增的漏洞通報

來源：https://www.ithome.com.tw/news/177280

OpenJS基金會（OpenJS Foundation）公布2026年第二季資安進展，重點包括Node.js安全更新流程自動化，以及因應AI代理輔助掃描工具帶來的漏洞通報量激增。基金會旗下CVE編號授權機構（CNA）發布的CVE數量，也從2025年下半年的3個增至2026年上半年的49個。

首先，Node.js推出重大改版，這個開源軟體專案的安全團隊利用自動化工具，將原本涉及36個步驟的安全更新發布流程縮減至7個，並建立網頁管理介面，集中呈現納入更新的漏洞報告、尚缺少的資料，以及各版本分支檢查清單完成情形。這套仍處於測試階段的工具也導入大型語言模型（LLM），參考Node.js威脅模型、過往已接受的CVE、常見弱點列舉（CWE）模式及歷史通報內容，產生可信度分數與預估CVSS分數，再交由安全團隊審查。Node.js也取消大多數漏洞修補的資訊保密要求，協作者收到通報後即可著手撰寫與測試修補程式，不必等到安全更新發布前才開始處理。

AI代理輔助掃描工具也使漏洞通報數量明顯增加。2026年2月，Node.js安全團隊收到的HackerOne通報增至原本的4.6倍，單在3月就收到65件漏洞通報。不過，OpenJS旗下的Node.js網頁應用程式框架Express與JavaScript工具函式庫Lodash收到的通報中，有70％至90％最終遭到駁回。Node.js安全團隊因此更新通報範本，要求通報者以JavaScript提供可重現範例，並利用LLM分類器，在人員審查前先評估通報內容的可信度。

'

別等更好的後量子簽章演算法，Cloudflare主張先採用ML-DSA展開PQC轉型

來源：https://www.ithome.com.tw/news/177279

雖然美國國家標準暨技術研究院（NIST）仍在評估其他後量子數位簽章候選演算法，但網路基礎設施與資安服務業者Cloudflare認為，不應等待更成熟的方案，應先採用目前已完成標準化的模組格基式數位簽章演算法（ML-DSA），展開後量子密碼學（PQC）第一階段部署，待未來其他標準成熟後，再逐步升級。

目前NIST已將9種後量子數位簽章候選演算法推進至第三輪評估，FN-DSA標準草案也預計近期發布。部分候選演算法在簽章尺寸、公開金鑰大小或驗證效率方面優於ML-DSA，但完成標準化後，仍須納入TLS通訊協定及數位憑證標準，並等待密碼學程式庫、作業系統與產品支援，距離廣泛部署可能還要數年。Cloudflare預估，FN-DSA在2033年前恐難以廣泛部署，其他候選方案可能還要更久。

ML-DSA雖然公開金鑰與簽章尺寸較大，在簽章及驗證效能方面也未全面占優勢，但仍是目前已由NIST完成標準化、整體取捨較均衡的通用型後量子數位簽章方案，可作為現階段的部署基礎。Cloudflare指出，各種後量子簽章演算法都有不同限制，目前不存在能在公開金鑰大小、簽章尺寸及運算效能等面向全面占優勢的單一方案。

'

新型攻擊GhostCommit將提示注入指令藏進圖片，誘使AI代理外洩機密

來源：https://www.ithome.com.tw/news/177271

資安研究組織ASSET Research Group公開名為GhostCommit的概念驗證攻擊，顯示攻擊者可將提示注入指令藏在PNG圖片中，避開只檢查文字差異的AI程式碼審查工具。惡意內容合併至儲存庫後，具備影像理解能力的程式開發代理可能在後續工作中讀取圖片，依照其中指示開啟環境變數設定檔.env，再將檔案內容逐位元組轉為整數序列寫入程式碼。

攻擊者先新增代理指示文件AGENTS.md，將圖片指定為建置規格的正式來源，並要求代理讀取docs/images/build-spec.png。AGENTS.md本身不直接提及.env，也未寫出將其內容轉為整數序列的完整程序，因此只分析文字差異的審查工具較難辨識風險。

真正的攻擊指令藏在圖片裡，圖片要求代理讀取儲存庫根目錄的.env，將其中每個位元組轉成數字，再以名為_PROV_CANARY的整數序列寫進Python程式。.env常用來保存API金鑰、資料庫連線資訊及雲端存取憑證，一旦整份內容被轉成數字寫入程式碼，攻擊者便可從後續公開的提交紀錄取得資料，將數字還原為原始.env內容。

研究團隊表示，若把相同指令直接寫在AGENTS.md中，Cursor Bugbot與CodeRabbit都會判定為高風險，而改藏進圖片後，兩項工具均未提出警告。CodeRabbit的預設設定還會略過PNG圖片，因此無法檢查其中的文字。

研究團隊還在攻擊範例中加入驗證程式及虛構的事故紀錄，讓圖片中的要求看起來像既有的建置規範。由於這些周邊檔案本身沒有直接出現惡意指令，可用來通過審查工具對規則與程式碼的一致性檢查。

研究團隊在受控環境測試Cursor、Antigravity、Codex CLI及Claude Code等工具，結果顯示，多數工具與模型組合會依照圖片指令，將完整.env內容編碼為整數序列寫入程式碼，而Claude Code搭配不同Claude模型時則拒絕執行。相同模型在不同工具中出現相反結果，顯示執行結果不只取決於AI模型，也受到代理工具及其安全防護設計影響。

被寫入程式碼的.env內容以數字序列呈現，也可能避開只比對特定字串格式的機密資料掃描工具。研究團隊已在GitHub公開攻擊範例與解碼工具。

'