Fortinet修補9個產品漏洞，包含可能導致未授權存取的FortiSandbox高風險漏洞

來源：https://www.ithome.com.tw/news/177340

Fortinet於7月14日發布資安公告，修補旗下FortiSandbox、FortiOS、FortiProxy、FortiPAM、FortiSASE及FortiAuthenticator等產品共9個漏洞，涵蓋防火牆、代理伺服器、特權帳號管理、惡意程式分析及身分認證等產品線，涉及的問題則包括緩衝區處理、越界讀取、路徑穿越、跨網站指令碼（XSS）及HTTP標頭注入（Header Injection）等。

就影響的產品範圍來看，這次更新以涉及FortiOS與FortiProxy的漏洞數量最多，一共有7個。但就漏洞的嚴重性來看，則以FortiSandbox的漏洞CVE-2026-59835最高，CVSS評分達7.7分，源自VNC服務存取控制不足，可能導致未經驗證的遠端攻擊者存取系統資源；嚴重性次之的漏洞則是FortiAuthenticator的CVE-2025-53379，CVSS評分為7.0分，可能導致遠端攻擊者透過特製請求獲得敏感資訊。

'

【資安日報】7月15日，微軟公布自家產品逾600個資安漏洞，再創單月揭露漏洞數量新紀錄

來源：https://www.ithome.com.tw/news/177339

本日新聞焦點

● 微軟7月公布逾600個自家產品的資安漏洞

● 美國警告鎖定多項SharePoint已知漏洞的大規模攻擊活動

● SonicWall警告兩個零時差漏洞已被用於實際攻擊

● 駭客團體ShinyHunters濫用OAuth權杖滲透SaaS應用

● OpenJS公布Node.js資安進展

資安新聞總覽

微軟7月例行更新修補自家產品622個漏洞，連同Chromium總計超過1千個

一週前微軟透露，隨著AI加速漏洞發現的速度，該公司已利用相關技術提早找出Windows弱點，預告未來的每月例行更新（Patch Tuesday）將會納入更多修補內容，繼6月修補漏洞總數突破500，本次修補弱點數量近乎翻倍。7月15日微軟公開622個由該公司登記編號的資安漏洞，數量是上個月206個的3倍。若是加上該公司修補428個與Chromium有關的資安漏洞，總數將達到1,050個，無論是微軟登記CVE的漏洞，還是修補第三方漏洞的數量，都再度創下史上最多的紀錄。詳全文

微軟7月例行更新揭露3個零時差漏洞

今天（7月15日）微軟發布本月例行更新（Patch Tuesday），總共修補1,050個漏洞，有622個是微軟產品漏洞，其餘為Chromium弱點。微軟提及其中有3個漏洞特別值得留意，因為這些漏洞已在修補前遭到利用或被公開。其中，已被用於實際攻擊的漏洞是CVE-2026-56155與CVE-2026-56164，分別影響AD聯合身分驗證服務（ADFS）與SharePoint，都屬於權限提升弱點，微軟列出的CVSS評分為7.8、5.3，歸納為重要（Important）與中度風險等級。詳全文

CISA警告新一波鎖定SharePoint資安漏洞的攻擊活動，呼籲用戶儘速強化防護

美國網路安全與基礎設施安全局（CISA）於7月14日發布最新警報，駭客正積極利用3項微軟SharePoint漏洞CVE-2026-32201、CVE-2026-45659、CVE-2026-56164，鎖定企業內部建置的伺服器發動攻擊。攻擊者可藉由這些漏洞取得遠端程式碼執行（RCE）能力，並進一步竊取IIS主機上的機器金鑰（machine key）。CISA呼籲所有SharePoint用戶，立即加強修補與資安監控，確認SharePoint是否啟用反惡意軟體掃描介面（AMSI）整合功能。詳全文

SonicWall修補防火牆已遭利用的滿分漏洞

7月14日SonicWall針對SMA1000設備發布資安公告，指出6210、7210、8200v等部分機種當中，存在CVE-2026-15409、CVE-2026-15410兩個漏洞，已出現積極利用的漏洞攻擊活動，由於沒有其他替代緩解措施，該公司呼籲用戶應儘速升級至12.4.3-03453或12.5.0-02835以上版本因應。其中又以CVSS評分達到10分的CVE-2026-15409特別危險，此弱點存在於Work Place介面，未經驗證的攻擊者有機會讓防火牆向非預期的位置發出請求。詳全文

CISA將SonicWall防火牆、微軟ADFS與SharePoint資安漏洞列KEV

7月14日美國網路安全與基礎設施安全局（CISA）發布公告，表示他們已掌握微軟及SonicWall本週修補的部分資安漏洞被積極利用的跡象，將這些弱點列入已遭利用的漏洞名單（KEV），包含存在於SonicWall SMA100設備的CVE-2026-15409與CVE-2026-15410，以及AD聯合身分驗證服務（ADFS）漏洞CVE-2026-56155、SharePoint漏洞CVE-2026-56164，大部分漏洞CISA要求聯邦機構必須在7月17日前完成修補。詳全文

SAP NetWeaver ABAP存在近滿分重大漏洞，可導致資料洩露與竄改

SAP發布7月例行更新（Security Patch Day），公布16項更新內容，其中修補3項重大等級的資安漏洞，根據CVSS風險評分，最危險的漏洞存在於SAP NetWeaver Application Server ABAP，編號登記為CVE-2026-44747，CVSS評分達到9.9（滿分10分），通過身分驗證的攻擊者可藉由記憶體管理邏輯錯誤，造成記憶體損毀，而能夠在未經授權的情況下，存取、竄改資料，或是導致系統無法使用。詳全文

Adobe修補12款產品漏洞，ColdFusion與Commerce更新優先度最高

Adobe於7月14日發布資安公告，修補12款產品的漏洞，修補優先順序最高的是網頁應用程式開發平臺ColdFusion，一共有13個漏洞，含11個重大等級漏洞，其中包括CVSS嚴重性評分達9.9分的CVE-2026-48318，另有7個漏洞的CVSS評分也都超過9.0分，用戶應立即更新。修補優先順序次之的是電子商務平臺Adobe Commerce，一共修補14個漏洞，是此次12款產品更新中修補漏洞最多者，其中含8個重大漏洞。詳全文

Google更新Chrome 150穩定版，修補15個漏洞，兩個屬重大等級

Google發布Chrome瀏覽器新版，將Windows、macOS、Linux、Android平臺更新至150.0.7871.124與150.0.7871.125，納入15個漏洞的修補。本次修補的重大漏洞有兩項，分別為CVE-2026-15764與CVE-2026-15765，均屬於平臺抽象層元件Ozone的記憶體已釋放卻仍被使用（UAF）問題。綜觀這次修補的漏洞，依舊以記憶體安全類型居多，UAF問題占5項，加上緩衝區溢位、未初始化記憶體使用（Uninitialized Use）等共8項，占修補漏洞總數將近60%。詳全文

ShinyHunters濫用OAuth權杖攻擊SaaS應用程式

微軟警告，ShinyHunters近來手法出現變化，由以往運用惡意程式或暴力破解，轉向濫用OAuth身分驗證功能來攻擊Salesforce等合法SaaS應用程式，象徵其入侵手法的轉變。微軟分析近一年來的攻擊活動，歸納出兩種新的入侵途徑。其一是使用語音釣魚（Vishing），冒充IT技術支援人士，誘騙企業員工授權其惡意OAuth應用程式；另一種是濫用未授權的訪客權限（Guest Access），利用未驗證的Salesforce Aura端點，使用GraphQL格式的Aura請求，系統性查詢並檢索資料，然後將其外流。詳全文

IT服務廠商遭駭，超市連鎖業者Lidl被竊走德、比、荷線上商店客戶資料

歐洲平價超市連鎖業者Lidl（利多）本周通知德國、荷蘭和比利時客戶，受到一家IT服務供應商發生資安事件影響，使三國的線上商店客戶資料外洩。遭駭客竊取的線上商店客戶資訊包括顧客姓名、稱謂、電話號碼、電子郵件地址、出生日期和客戶編號。Lidl強調，客戶密碼、帳單地址、送貨地址、銀行帳號或其他支付資訊都沒外洩，顧客個人帳號也未受實質影響。Lidl強調，他們的線上商店系統本身未受波及。詳全文

日本最大計程車業者遭網路攻擊，電話派車與預約系統暫時停擺

旗下擁有超過一萬部出租車的日本最大計程車業者日本交通（Nihon Kotsu），於7月13日證實內部系統遭外部未授權存取並感染惡意程式，為防止影響擴大，已立即關閉與隔離受影響系統，目前受影響的系統主要為電話派車、租車網路預約管理及部分內部系統，一般民眾仍可透過計程車叫車App「GO」預約乘車，或直接於計程車站及路邊攔車搭乘。日本交通於7月11日凌晨發現系統異常，立即採取系統隔離等緊急措施因應，尚未發現客戶資料外洩跡象。詳全文

韓國友利銀行爆發1.7萬名客戶個資外洩，起因為再委外業者員工擅自保存資料並上傳至開發者平臺

近日韓國友利銀行（Woori Bank）於2026年7月3日向客戶發布公告說明，由於外部開發商員工的作業疏失，導致該行約1.7萬名客戶的個人資訊發生外洩。曾處理該行NFT平臺使用者個資的再委外業者（재수탁사）Blocko，隨後也承認因內部員工管理不當才引發此次事件。根據韓聯社報導，友利銀行於6月30日晚間得知外洩事故後，立即展開調查行動，確認這批外洩資料源於兩年前執行的非同質化代幣（NFT）平臺建置專案，受影響人數為17,551人。詳全文

惡意Go模組牽出GitHub誘餌網路，涉及222個儲存庫

軟體供應鏈安全業者Socket揭露代號Muck and Load的惡意程式散布行動。攻擊者將惡意Go模組github[.]com/kaleidora/dnsub-scanning-tool偽裝成DNS與子網域掃描工具，並仿冒合法開放原始碼專案dnsub，誘使開發者誤信其為可信套件。該模組自1月24日發布首個版本以來，已累積超過1,200個版本，其中逾700個含有惡意程式碼。開發者執行該模組後，載入器會透過Pastebin、Telegram及Google Docs等公開服務取得惡意程式下載網址，再從GitHub下載加上密碼保護的7-Zip壓縮檔。詳全文

下載逾160萬次的瀏覽器擴充套件ModHeader遭下架，暗藏資料收集功能引發資安疑慮

資安業者Stripe OLT於7月13日揭露，擁有超過160萬次下載量的瀏覽器擴充套件ModHeader，內含隱藏的瀏覽記錄收集引擎，可收集並外傳用戶的瀏覽資料，以致引發資安疑慮，先後遭Google與微軟下架。這款擴充套件可讓用戶直接修改HTTP請求與回應標頭，方便測試網站與線上服務，因而廣獲網站開發測試人員使用。研究人員追蹤資料上傳指向的網域與其後端服務，還找到源自中國的軟體套件、簡體中文地區設定與中文標記等可疑蹤跡。詳全文

研究人員展示工作流程層級的提示注入手法，繞過護欄讓GitHub Copilot撰寫惡意程式

隨著AI模型加入安全護欄，已減少提示注入攻擊的可能性，有研究人員發展出新提示注入手法，將攻擊行為拆成一組工作流程（workflow），成功讓GitHub Copilot撰寫出惡意程式碼。研究人員Abhishek Kumar與Carsten Maple將其手法稱為工作流程層級越獄建構（workflow-level jailbreak construction）。這種攻擊法是將一個惡意攻擊指令，切成看似一般軟體開發流程的多個階段，這些階段一旦組合起來，就能對GitHub Copilot起作用，依照研究人員指示撰寫攻擊程式碼。詳全文

網路流量分析工具Wireshark發布4.6.7版，修補12個漏洞

開源網路流量分析工具Wireshark近日發布4.6.7版更新，修補12個漏洞，涵蓋多個網路協定解析器（Protocol Dissector）與封包擷取檔案解析元件（file parser）。Wireshark能解析數百種網路協定，廣泛應用於網路故障排除、封包分析及資安鑑識，因此若處理惡意封包或封包擷取檔案時存在漏洞，可能影響分析工作的安全性。就CVSS評分來看，最嚴重的是DBS Etherwatch封包檔案解析元件漏洞CVE-2026-15167，CVSS評分為7.5分。詳全文

Debian 13.6發布安全更新，修補逾百個軟體元件，並因應UEFI Secure Boot憑證到期問題

主要Linux發行版之一的Debian發布13.6版更新，整合近期的元件漏洞修補與重要錯誤修正，其中最受關注的，是將更新韌體用的fwupd程式升級至2.0.20版，以因應UEFI Secure Boot開機載入程式的憑證授權到期問題，讓系統可更新Secure Boot憑證。Debian這次更新也整合逾百個涉及Linux核心、管理工具與應用程式套件的漏洞修補，其中涵蓋項目較多的元件，包括網路資料傳輸工具curl的十多個漏洞修補，涵蓋憑證驗證、記憶體安全等問題。詳全文

OWASP ModSecurity修補高風險漏洞，未更新可能導致攻擊者藉此繞過防火牆防護

開源Web應用程式防火牆ModSecurity近日發布資安公告，修補兩個可能導致攻擊者繞過防火牆規則的漏洞CVE-2026-52747、CVE-2026-52761，影響3.0.15版以前版本。ModSecurity由開源Web應用程式安全專案OWASP維護，廣泛部署於Apache HTTP Server、Nginx等Web伺服器前端，用於攔截SQL注入、跨網站指令碼（XSS）等常見Web攻擊，因此相關漏洞可能影響網站阻擋攻擊的能力，用戶應儘速升級至已修補的3.0.16版。詳全文

HP Deskjet 2800印表機韌體漏洞可讓駭客竊取憑證及配置資訊

CERT/CC協調中心警告，HP家用多功能事務機Deskjet 2800系列傳出韌體存在缺少授權檢查的漏洞CVE-2026-13753，可讓攻擊者取得Wi-Fi憑證、管理配置及其他敏感資訊，但HP尚未修補。此弱點讓遠端攻擊者得以繞過Web介面的驗證要求，並從後端API直接擷取敏感的配置資料，進而非法存取Wi-Fi網路、執行網路或雲端整合的偵察、冒充合法裝置或協助列印環境的進一步攻擊。這個漏洞CVSS評分為7.5，影響韌體版本TBP1CN2612AR及之前版本。詳全文

OpenJS公布Node.js資安進展，以AI協助處理暴增的漏洞通報

OpenJS基金會（OpenJS Foundation）公布2026年第二季資安進展，重點包括Node.js安全更新流程自動化，以及因應AI代理輔助掃描工具帶來的漏洞通報量激增。基金會旗下CVE編號授權機構（CNA）發布的CVE數量，也從2025年下半的3個增至2026年上半的49個。其中Node.js推出重大改版，這個開源軟體專案的安全團隊利用自動化工具，將原本涉及36個步驟的安全更新發布流程縮減至7個，並建立網頁管理介面，集中呈現納入更新的漏洞報告、尚缺少的資料，以及各版本分支檢查清單完成情形。詳全文

'

Google DeepMind執行長Demis Hassabis提議建立AI標準組織

來源：https://www.ithome.com.tw/news/177338

Google DeepMind共同創辦人兼執行長Demis Hassabis周二（7/14）主張美國應成立新的AI標準組織，建立前沿AI模型的測試與安全評估制度。他認為，人工通用智慧（AGI）可能數年後便會到來，在AI能力快速提升之際，可由美國率先建立兼顧創新與安全的治理機制，再推動成為國際共同標準。

Hassabis表示，人類正站在科技奇點（Singularity）的山麓，AGI將成為人類史上最具變革性的技術，其重要性如同電力或火的發現；他預估AI帶來的影響可能達到工業革命的10倍，且速度也是10倍，可望加速新藥研發、潔淨能源及新材料開發，甚至讓資源不再成為限制人類進步的因素。

但他同時也警告，前沿AI的發展速度已超越人類對這項技術的理解，目前沒有人能確定未來走向，網路安全、核子與生物風險也可能隨模型能力提升而加劇。因此，Hassabis提議美國應成立由聯邦政府監督、採公私協力或自律模式運作的AI標準組織。

此一標準組織的董事會應納入獨立技術專家及開源社群代表，所需經費則主要由產業界提供。該組織將制定前沿AI模型的評估方法，並與聯邦機關及美國國家實驗室合作，測試模型在國家安全相關領域的能力。

依照Hassabis的構想，標準組織將依據定期更新的基準測試，認定哪些模型屬於「前沿級模型（Frontier-class Models）」，其開發單位則列為「前沿實驗室（Frontier Labs）」。前沿實驗室應公布模型技術資料、強化內部資安、審查關鍵人員，並投入足夠資源從事安全研究。

制度初期採自願參與，業者可在模型發布前30天內提交審查，評估應涵蓋網路安全、生物威脅及其他高風險領域；待評估機制證實有效且穩健後，再轉為強制制度，要求前沿模型通過測試才能在美國市場部署。

若模型具備代理能力，則應另行測試其是否會試圖繞過安全護欄或出現欺騙行為。相關基準應定期更新，標準組織也應逐步建立自行設計獨立測試的能力，避免模型針對既有評估過度最佳化；若情勢需要，還可進一步協調各前沿實驗室放慢AI開發速度。

根據Axios的報導，Hassabis已低調遊說數月；且美國媒體偏向將其稱為AI監管機構，而非中立的標準組織；此外，包括OpenAI執行長Sam Altman及Anthropic執行長Dario Amodei也都與Hassabis採取類似的立場。

'

CISA警告新一波鎖定SharePoint資安漏洞的攻擊活動，呼籲用戶儘速強化防護

來源：https://www.ithome.com.tw/news/177336

美國網路安全與基礎設施安全局（CISA）針對SharePoint用戶提出警告，有人利用3項已知漏洞從事攻擊行動，呼籲用戶應加強修補及採取資安監控因應。其中一項被利用的漏洞，是7月例行更新（Patch Tuesday）剛修補的CVE-2026-56164

'

SAP NetWeaver ABAP存在近滿分重大漏洞，可導致資料洩露與竄改

來源：https://www.ithome.com.tw/news/177335

SAP於7月例行更新（Security Patch Day）修補3項重大等級的資安漏洞，其中又以SAP NetWeaver Application Server ABAP記憶體損毀漏洞CVE-2026-44747最危險，CVSS評分達到9.9

'