微軟7月例行更新修補Exchange多項高風險漏洞，涉及偽冒、權限提升與遠端執行程式碼

來源：https://www.ithome.com.tw/news/177347

微軟在7月分例行性更新（Patch Tuesday）中，修補622個自身產品的漏洞，其中包括多個Exchange Server相關重大漏洞，可能導致偽冒（spoofing）、提升權限，以及遠端執行程式碼等攻擊，影響Exchange Server 2016與2019版，以及Exchange Server訂閱版（SE），用戶應儘速更新。

這次微軟修補的Exchange Server相關漏洞中，最嚴重的是CVE-2026-55008，CVSS評分達9.6分，源自未能正確處理輸入，可能導致攻擊者藉由跨站指令碼進行偽冒攻擊。嚴重性次之的是CVE-2026-55005，CVSS評分8.8分，屬於可能導致遠端執行程式碼的堆積緩衝區溢位問題。另外還有兩項CVSS評分同為7.8分的高風險漏洞CVE-2026-55006與CVE-2026-55009，兩者都可能導致本機權限提升問題。

微軟另外在公告中提醒，用戶為Exchange Server安裝2026年7月分例行性更新後，即可移除5月時針對CVE-2026-42897提供的暫時緩解措施，由新的修補程式提供完整保護。

'

日本冷鏈龍頭Nichirei遭駭引發供應鏈風暴，KFC恐因食材短缺被迫停業，藏壽司與Aeon也受影響

來源：https://www.ithome.com.tw/news/177343

日本知名食品與低溫物流巨頭Nichirei（日冷）集團13日因遭受網路攻擊，導致冷藏倉庫與冷凍出貨作業中斷，這起針對物流中樞的網路攻擊事件已引發嚴重的連鎖反應，根據日本多家媒體報導，受波及的業者包括日本肯德基（KFC）、藏壽司（くら寿司）及零售巨頭永旺（Aeon）等，業者正面臨食材斷料危機，最嚴重是被迫暫時停止營業。

例如，日本肯德基於14日在公司官網宣布，受到供應商Nichirei系統故障導致核心食材配送延遲的影響，旗下部分門市可能被迫暫時停業，部分門市可能因食材耗盡而讓菜單選擇變少或縮短營業時間，目前日本肯德基已全面暫停官方App與網站的訂餐服務。

根據路透社報導，Nichirei事故的衝擊範圍正持續擴大，連鎖迴轉壽司業者藏壽司（Kura Sushi）於15日宣布，因合作廠商遭網路攻擊導致服務中斷，受此影響，公司門市的食材、冷凍食品及部分商品出現配送延遲與未能送達的情況。此外，還有消息指出，Skylark Holdings集團旗下的Flo japon也受到影響。

而共同通信（Kyodo News）的報導則指出，災情已深入零售通路與上游製造端。例如，永旺（Aeon）集團旗下的超市於15日出現部分商品缺貨；東北地區的大型超市York Benimaru也因部分物流中心委託Nichirei營運，導致便當與烘焙區品項供貨中斷。此外，衝擊範圍也延伸至上游供應商，冷凍食品大廠TableMark目前也無法正常運送家用及商用冷凍產品。。

在此同時，在ITmedia報導也提到，日本知名餐飲集團Plenus同樣宣布受Nichirei遭駭事故波及，旗下著名的外帶便當連鎖店Hotto Motto，以及日式定食連鎖餐廳彌生軒的部分店面，也面臨食材配送與出貨延誤的狀況。

綜觀這起事件的廣泛影響，已體現一旦食品冷鏈物流中樞遭駭停擺，實體民生與消費市場也將隨之受波及的嚴重供應鏈危機。

'

Progress日前要求ShareFile用戶關閉Storage Zone Controller，本週揭露原因是零時差漏洞

來源：https://www.ithome.com.tw/news/177345

7月10日IT廠商Progress傳出緊急通知ShareFile用戶，要求暫時關閉Storage Zone Controller（SZC）伺服器，以因應外部資安威脅，該公司已暫停受影響帳號的存取權限，並著手調查。本週Progress向媒體透露，起因與零時差漏洞有關。

根據資安新聞網站Bleeping Computer報導，Progress於7月14日向用戶發送更新通知，先前他們接獲可靠的消息來源，通報有關於SZC的潛在威脅，經調查發現一個高風險等級的路徑遍歷漏洞，影響SZC 5.x與6.x所有版本，該公司發布5.12.5與6.0.2版修補。攻擊者可利用通過身分驗證的管理員觸發弱點，可讀取應用程式的服務帳號，藉此存取任意檔案、寫入惡意內容到任何資料夾，或是列出伺服器檔案系統的配置。Progress已為該漏洞登記CVE編號，但預計在兩週後才會公布，並強調ShareFile用戶帳號或資料尚未遭到未經授權存取的跡象。

針對延遲公布漏洞資訊的原因，Progress表示是為了讓客戶有時間著手修補，並避免細節被潛在攻擊者取得，該公司強調，這是他們的標準作法。我們也實際存取SZC公開的5.x與6.x版說明文件，發現Progress並未列出上述提及的新版。

'

GitHub相依套件管理工具Dependabot版本更新預設等待3天

來源：https://www.ithome.com.tw/news/177342

GitHub調整Dependabot的一般版本更新機制，套件新版本發布至套件登錄服務後，Dependabot現在預設至少等待3天，才會提出版本更新拉取請求（Pull Request，PR）。該設定不需另外啟用，僅適用於一般版本更新，要是專案使用的套件含有已知漏洞，Dependabot仍會即時提出安全性更新PR，不受等待期影響。

Dependabot是GitHub內建的相依套件管理工具。由於不少軟體大量使用第三方套件，避免從頭開發每項功能，但這些套件也會持續推出新版本或修補漏洞。Dependabot可定期檢查專案使用的套件，發現可用更新時自動提出PR，列出需要修改的版本，交由開發人員檢查、測試及合併。

GitHub將3天等待期設為預設值，主要是為了降低新版本剛發布時的供應鏈風險。若新版本遭到竄改或本身有問題，維護者與使用者社群可能尚未發現。延後提出更新PR，可讓相關異常有時間被發現與回報，降低開發團隊在版本發布後立即合併問題版本的機率。

3天等待期並非安全審查，也無法保證版本沒有問題。開發團隊仍須透過自動化測試、程式碼審查及部署流程，確認更新是否適合現有系統。這項機制只能降低團隊在版本剛發布時就合併更新的機率，不能取代既有的軟體安全與品質管理措施。

一般更新與安全修補採取不同處理方式，是為了避免延誤已知漏洞的修正。當專案使用的套件出現Dependabot漏洞警示，且已有可用修補版本時，Dependabot仍會立即提出安全性更新PR，讓團隊儘快處理風險。

開發團隊也可在.github/dependabot.yml設定檔中使用Cooldown選項，調整等待時間或停用預設等待期。這項預設機制適用於GitHub.com上Dependabot支援的所有套件生態系統，並將自GitHub Enterprise Server 3.23起生效。

'

偽裝Nvidia軟體散布的新型遠端木馬現蹤，LabubaRAT可控制Windows主機

來源：https://www.ithome.com.tw/news/177344

隨著AI應用普及，Nvidia驅動程式及相關軟體已成為企業與開發者常見的安裝項目，以致Nvidia的名義也開始為惡意軟體利用。近日資安業者Blackpoint Cyber便揭露一款新型遠端存取木馬（RAT）軟體LabubaRAT，以Nvidia名稱在受害者主機上執行，藉此在Windows系統建立長期存取，並擁有多種遠端控制功能。研究人員認為，一些跡象顯示這款RAT軟體可能以惡意軟體即服務（MaaS）模式提供，未來威脅可能會進一步擴大。

研究人員指出，LabubaRAT是以Rust語言開發，以「nvidia-sysruntime.exe」的名稱在受害者主機上執行，雖然名稱帶有nvidia字樣，但缺少有效的數位簽章， 一旦這款惡意程式在受害主機上執行，將會先分析主機環境，清點主機上已安裝的瀏覽器與資安產品，並透過HTTPS、WebView2及DNS Tunnel 等多種命令控制（C2）通道接收攻擊者指令，即使其中一條路徑被封鎖，攻擊者仍能維持遠端控制，能執行的遠端控制功能包括：遠端指令、基於PowerShell與JavaScript的遠端指令碼、螢幕截圖、檔案上傳與下載、壓縮檔案，以及SOCKS5代理程式等。

'

日本知名食品大廠Nichirei遭駭，冷凍倉庫與冷凍食品出貨作業中斷

來源：https://www.ithome.com.tw/news/177341

日本大型食品與低溫物流業者Nichirei（日冷）集團13日遭駭，已證實造成食品出貨及冷藏物流倉儲作業停擺，此事件恐衝擊當地多家餐飲及零售商品的供應。

Nichirei在日本冷凍食品界是家喻戶曉的品牌，更擁有極具規模的低溫物流體系，該公司在2026年7月13日發布資安事故公告，說明凌晨偵測到系統異常，經調查確認，是由於遭受外部第三方未經授權存取所致，為防止損害擴大，集團已啟動緊急應變機制，並針對受影響的系統採取斷網隔離等保護措施。

這起事件，已經直接衝擊該集團的兩大核心業務，包括：日冷物流集團（Nichirei Logistics Group）旗下各公司的冷藏倉庫進出貨作業，以及Nichirei Foods的冷凍食品出貨作業。

'