雅詩蘭黛終於證實Oracle EBS被駭，員工資料遭竊

來源：https://www.ithome.com.tw/news/177556

法國美妝品牌雅詩蘭黛（The Estee Lauder Companies）本周終於向官方證實一樁將近一年前被駭客入侵Oracle E-Business Suite (EBS)，竊走員工個資的資安事件。

雅詩蘭黛向加州檢察總長辦公室（California OAG）及受影響民眾提交的資安事件通知信說明，這起事件發生在去年。該公司在甲骨文公告用於HR管理的Oracle E-Business Suite存在漏洞後進行稽核，發現系統及儲存的資料曾遭未授權第三方組織存取。雅詩蘭黛經調查後於2026年6月19日確認，未授權存取約發生於2025年8月9日。

經過調查。外洩資訊的主要是員工資料，包括姓名、住家地址、電子郵件、出生日期、社會安全碼、護照號碼、財務資訊如銀行帳號、健康資訊、僱用資料（如績效考核及薪資等）。該公司未公佈影響人數。

這次公告來得有點太晚。去年11月駭客組織Cl0p就在網路上公布利用Oracle E-Business Suite漏洞竊取資料的受害企業名單，包括博通、雅詩蘭黛、藥廠亞培（Abbott）、鳯凰城大學、馬自達（Mazda）、佳能（Canon）及米其林等業者。不過不少企業延遲相當長時日才公告，包括輪胎大廠米其林3月才證實資料外洩。

'

Oracle發布2026年7月關鍵安全修補更新，共修補1,235個漏洞，含多個CVSS滿分重大漏洞

來源：https://www.ithome.com.tw/news/177555

Oracle於7月21日發布2026年7月份關鍵修補更新（Critical Patch Update，CPU），這是Oracle今年第3次季度安全更新，包含1,449項更新程式與1,235個漏洞，創下該公司季度修補規模的歷史新高，相較今年4月份CPU的481項更新程式，修補規模一口氣增加近3倍。

7月份CPU一共涵蓋32個產品家族，以包含的更新程式數量來看，比重最高的是Oracle E-Business Suite，一共有410項更新程式，占所有更新程式總數28.3%；其次是Oracle Fusion Middleware，有355項更新程式，占總數24.5%；第三是Oracle Communications，有168項更新程式，占總數11.6%。資安業者Tenable進一步分析指出，這次Oracle發布的更新程式中，大約48%（共690項）都涉及無需身分驗證即可透過網路發動攻擊的漏洞。

而在這次Oracle修補的漏洞中，包含261個重大漏洞，最嚴重的是10個CVSS評分達10.0分的漏洞，均屬於Oracle Fusion Middleware產品家族，涵蓋Oracle Access Manager、Oracle Coherence、Oracle HTTP Server等產品，用戶應優先修補這些漏洞。

'

Alphabet公布Q2財報，Gemini App每月活躍用戶數成長至9.5億

來源：https://www.ithome.com.tw/news/177554

Alphabet周三（7/22）公布今年第二季財報，顯示營收年增24%至1,198億美元，營業利益（Operating Income）成長30%至408億美元。Gemini App單月活躍用戶已增至9.5億，朝10億大關邁進。

Alphabet執行長Sundar Pichai表示，AI投資正在重塑公司各項業務。在企業與開發者市場方面，近90%的《財星》百大企業已使用Gemini Enterprise，Gemini模型透過API每分鐘處理220億個token，且AI功能帶動了搜尋查詢量的成長。

Alphabet核心的Google服務部門營收年增15%至945.4億美元。其中，Google搜尋及其他業務營收成長17%至632.7億美元，YouTube廣告營收增加13%至110.6億美元，訂閱、平臺與裝置業務營收則成長15%至129.1億美元。

受企業AI基礎設施、AI解決方案及核心雲端服務需求推動，Google Cloud營收大增82%至247.7億美元，營業利益也由去年同期的28.3億美元增至88.1億美元，約為原來的3.1倍。

包含Waymo等業務的新創事業（Other Bets）營收年增2%至3.8億美元，營業虧損則由去年同期的12.5億美元擴大至18億美元。

Alphabet本季淨利（Net Income）年增298%至1,121億美元，其中股票投資淨收益貢獻771億美元；若排除這項收益，淨利約為350億美元。為擴充AI運算基礎設施，Alphabet本季資本支出亦由去年同期的224.5億美元倍增至449.2億美元。

根據市場研究機構Sensor Tower的估計，ChatGPT App今年5月已突破10億月活躍用戶。Gemini App用戶增至9.5億，顯示兩者在消費型AI助理市場的用戶規模已相當接近。Meta雖稱Meta AI每月用戶超過10億，但其服務整合於WhatsApp、Instagram及Facebook等平臺，與獨立AI App的統計口徑不同。

'

GitHub公開漏洞懸賞獎金至少減半，VIP重大漏洞3萬美元起

來源：https://www.ithome.com.tw/news/177548

GitHub重整漏洞懸賞計畫，自2026年7月27日起調降公開計畫獎金，並將原有VIP計畫正式確立為永久性的邀請制計畫。公開計畫也將採用HackerOne的研究員信譽評分門檻，限制未達門檻者的報告提交數量，以減少缺乏驗證的低品質及AI生成報告大量湧入。

GitHub今年5月曾指出，AI等工具降低了安全研究的門檻，但也出現研究員未確認結果、未提供可運作的概念驗證，或未說明實際危害，便直接送出工具產生結果的情況，增加安全團隊判讀與篩選案件的負擔。

調整後的公開計畫改採固定獎金，低風險漏洞為250美元、中風險2,000美元、高風險5,000美元，重大漏洞則為1萬美元。相較先前各等級的最低獎金，新金額至少減少一半。GitHub不再提供獎金區間，但仍可針對品質或影響超出一般案件的研究成果加發獎金。

較高額獎金將集中於VIP計畫，低、中、高與重大漏洞的獎金依序為1,000美元、7,500美元、2萬美元及3萬美元以上。加入者也能獲得較快的案件回覆，並與GitHub安全工程團隊建立更緊密的合作關係。

研究員必須曾發現至少1項重大漏洞、2項高風險漏洞、4項中風險漏洞或7項低風險漏洞，符合其中一項即可達到VIP計畫資格門檻，實際加入仍採邀請制。公開計畫仍是新研究員累積紀錄及進入VIP計畫的管道。

未達HackerOne信譽評分門檻的研究員，仍可先提交最多4份報告。GitHub今年5月也說明，該公司不反對研究員使用AI或其他工具協助尋找漏洞，但送出報告前仍須自行驗證結果，提供可重現問題的操作步驟與證據，並說明攻擊者可能造成的實際危害。

'

美速食連鎖Chick-fil-A遭憑證填充攻擊導致多州客戶資料外洩

來源：https://www.ithome.com.tw/news/177553

美國知名雞肉速食餐廳連鎖Chick-fil-A本周通知客戶，遭駭客入侵系統，並竊走客戶姓名、電子郵件及信用卡號等資訊。

Chick-fil-A在客戶通知信中說明，該公司判斷，攻擊者是利用由第三方資料源取得的用戶帳號憑證（包括電子郵件和密碼），在6月17日到6月19日之間對其網站和手機應用程式發動自動化攻擊。雖然Chick-fil-A在第一時間立即採取預防措施，但他們相信駭客成功在7月13日存取了客戶帳號資料。

外洩的資料包括消費者帳號下的Chick-fil-A One會員編號、手機支付碼、QR code、信用卡末4碼及Chick-fil-A點數等。此外，帳號如果提供了生日、電話號碼和住家地址等資訊也可能被竊。

根據Chick-fil-A描述，駭客可能用的是憑證填充（credential stuffing）攻擊。這項攻擊手法是一種自動化網路攻擊，駭客將竊取來的大量使用者名稱和密碼插入系統的登入欄位中進行冒名登入，用以接管帳號。

Chick-fil-A已經將所有受影響帳號登出，移除支付方法、恢復Chick-fil-A One帳號餘額並為受害消費者提供補償加值。該公司還建議消費者儘速變更帳號密碼。

根據CBS News報導，除了麻州外，這家連鎖餐廳業者還向包括紐約州、哥倫比亞特區等其他9州政府通報資安事件。

目前不清楚受害消費者總數，也還沒有駭客組織出面承認。

零售連鎖業者經常是竊取消費者資料的對象。德國超市連鎖業者Lidl本月也傳出因第三方IT服務供應商遭駭，導致德國、比利時及荷蘭線上商店客戶資料外洩。美國7-Eleven則是4月由ShinyHunters宣稱竊得Salesforce系統超過60萬筆資料。

'

可口可樂旗下乳製品品牌Fairlife遭駭，勒索軟體Anubis宣稱是他們所為

來源：https://www.ithome.com.tw/news/177552

7月16日可口可樂向美國證券交易委員會（SEC）提交8-K表單，表示當天旗下乳製品公司Fairlife遭勒索軟體攻擊，未經授權的第三方存取部分系統，其中包括與生產相關的系統。這起事故導致Fairlife美國生產運作暫時中止，而受到外界關注。本週這起事故出現新的進展，有駭客組織聲稱是他們所為，並向可口可樂索討贖金。

根據資安新聞網站SecurityWeek的報導，7月20日勒索軟體Anubis將Fairlife與可口可樂列於資料外洩網站，聲稱他們鎖住多臺伺服器，並竊得1 TB的機密資料。 駭客設下接近一週的付款期限，並宣稱只要可口可樂願意付贖金，他們就會在數個小時將受害系統復原。可口可樂並未針對此事評論。

'

美國警告Check Point SmartConsole重大漏洞遭積極利用

來源：https://www.ithome.com.tw/news/177550

iThome資安新聞編輯團隊溫馨提醒

擔心錯過重要的資安新聞嗎？資安日報與資安週報即日起推出免費電子報訂閱，每天每週直送資安要聞，提供專業、易懂、便於轉述的最佳中文資安情報，助你掌握全球與臺灣最新資安脈動。

'

Mozilla發布Firefox 153版更新，修補63個漏洞

來源：https://www.ithome.com.tw/news/177549

Mozilla近日發布Firefox瀏覽器的資安公告，揭露63個漏洞，並提供已修補完成的153版，建議用戶儘速升級，以降低風險。

這次Firefox修補的63個漏洞中，包含20個高風險漏洞，就嚴重性來看，依據NVD資料庫，CVSS評分最高的是CVE-2026-16367，為Disability Access APIs元件導致的沙箱逃逸問題，CVSS評分達10.0分，另有16個漏洞的CVSS評分也達到9.8分，涉及負責處理網頁文件結構與內容互動的DOM元件、圖形與影像處理子系統Graphics、Disability Access APIs、音訊／視訊撥放元件Audio/Video: Playback，以及JavaScript引擎JIT等。

就涉及的元件來看，這次修補涵蓋漏洞數量最多的元件是DOM與Graphics，分別有15個與10個漏洞，次之是網路通訊元件Networking與音訊／視訊元件Audio/Video，各有7個與5個漏洞。而就漏洞類型而言，則以記憶體相關漏洞為最大宗，包括整數溢位、記憶體已釋放卻仍被使用（UAF）等，一共有9個，其次是資訊洩漏、繞過緩解措施等兩類，至少各有8個漏洞，另外權限提升漏洞也有7個。

'

Check Point發布7月安全性更新，公布已遭利用的重大漏洞

來源：https://www.ithome.com.tw/news/177547

7月22日資安公司Check Point發布本月安全性更新，這次他們針對防火牆與管理系統釋出熱修補程式，更新內容涵蓋超過200項安全性修正與功能強化，其中這次他們修補了3個資安漏洞，包括評為重大等級的CVE-2026-16232與CVE-2026-62144，以及高風險等級弱點CVE-2026-62145。其中最引人注意的是CVE-2026-16232，原因在於，該公司指出已有少數客戶面臨漏洞利用的情況。

CVE-2026-16232為身分驗證繞過漏洞，攻擊者可在未經身分驗證的狀態下，利用應用程式的權杖（token）登入SmartConsole，取得完整的管理員權限，藉此竄改資安政策與安全設定組態，CVSS風險評為9.3分。Check Point表示，此問題只影響特定的組態設定，該公司已通知受影響的客戶。

'

開源威脅知識庫PR3TACK收錄潛在攻擊技術，協助資安團隊提前部署防禦

來源：https://www.ithome.com.tw/news/177546

現有資安知識庫多半聚焦已知攻擊手法，但面對尚未出現的新型威脅，資安團隊仍缺乏可供提前部署防禦的系統化資料。Atlassian資安研究人員Vishal Thakur因此發起開源「預先防禦戰術與反制措施知識庫」（Preemptive Tactics & Countermeasures Knowledgebase，PR3TACK），並於FIRST國際資安應變組織年度大會FIRSTCON26公開發表。

有別於MITRE ATT&CK主要整理已在實際攻擊中出現的戰術、技術與程序（Tactics, Techniques, and Procedures，TTP），PR3TACK主要收錄技術上可行（plausible）但尚未在已知攻擊活動被發現或公開通報的潛在手法，也涵蓋少數已被實際運用、但尚未納入MITRE ATT&CK等既有知識庫的技術。

PR3TACK依據技術證據與驗證程度，將條目分為高、中、低三種優先等級。已有概念驗證（Proof of Concept，PoC）實作的技術列為高優先等級；具備合理技術依據，但仍待實際驗證的技術列為中優先等級；源自學術研究或仍在調查階段的技術則列為低優先等級，讓資安團隊掌握各項技術的可行性依據與驗證進度，並作為部署偵測與防禦措施的參考。

'

Moonshot AI遭控蒸餾Anthropic Fable開發K3

來源：https://www.ithome.com.tw/news/177545

美國白宮科技政策辦公室（OSTP）主任Michael Kratsios周三（7/22）指控，中國AI新創Moonshot AI（月之暗面）在開發Kimi K3時，曾對Anthropic的Fable模型進行蒸餾，並建立一套複雜的內部平臺，大規模擷取美國模型的輸出，還能快速切換不同存取方式以躲避偵測。

Kratsios表示，Moonshot取得配備Nvidia GB300晶片的伺服器，也曾在泰國使用GB300，可能用來訓練AI模型。他表示，美國支持合法蒸餾，以建立更小、更有效率的模型，但以竊取美國專有技術為目的，祕密從事產業規模的模型蒸餾不可接受。Moonshot迄今尚未公開回應相關指控。

Moonshot上周發表開放權重模型Kimi K3，採混合專家（MoE）架構，總參數量達2.8兆，並宣稱整體效能僅次於Anthropic Claude Fable 5及OpenAI GPT-5.6。其接近前沿模型的能力、較低價格與即將公開的權重，再次動搖外界對美國大幅領先中國AI的看法。

其實Anthropic早在今年2月就曾指控Moonshot、DeepSeek與MiniMax透過約2.4萬個假帳號，與Claude進行逾1,600萬次互動，未經授權擷取Claude的輸出，以強化自家模型。今年7月，Claude Code還被發現設有實驗性防禦機制，會偵測中國時區、代理連線及特定中國AI實驗室網域，以防範未經授權的轉售與模型蒸餾，Anthropic隨後因透明度爭議將其撤除。

不過，Kratsios並未公布Kimi K3蒸餾Claude Fable的具體證據。

另一方面，OpenAI總裁Greg Brockman接受彭博社（Bloomberg）訪問時指出，K3是個相當不錯的模型，但現在判斷Moonshot是否非法蒸餾OpenAI模型仍言之過早，OpenAI則持續監控相關行為。他還提到，有些估計認為中國模型研發可能只落後美國4個月，部分AI專家甚至認為差距更小。

Axios曾引述消息來源報導，川普政府內部重新出現限制中國AI模型的討論。美國財政部長Scott Bessent也說，政府將調查中國業者是否不當蒸餾美國模型，必要時可制裁涉及智慧財產權竊取的企業。

對此，Nvidia執行長黃仁勳認為，中國模型相當優秀，美國企業應獲准使用。他認為低價、開放模型將擴大AI市場，增加晶片、資料中心及運算需求；若企業侵犯隱私或違反合約，應針對不當行為究責，而非封鎖模型本身。

此外，近200家美國新創也透過Little Tech Association致函川普政府，呼籲不要全面禁止中國開放權重模型，以免增加新創公司的營運成本，並讓OpenAI與Anthropic等大型AI業者取得更大優勢；建議政府應針對高風險模型、特定使用者及敏感應用採取個別管制措施。

'

CISA將微軟近日修補的SharePoint重大漏洞列KEV

來源：https://www.ithome.com.tw/news/177543

昨天美國網路安全與基礎設施安全局（CISA）將CVE-2026-50522列入已遭利用的漏洞名單（KEV），聯邦機構必須在3天內修補旗下的SharePoint執行個體

'

開源路由器韌體DD-WRT已知漏洞出現攻擊行動

來源：https://www.ithome.com.tw/news/177542

iThome資安新聞編輯團隊溫馨提醒

擔心錯過重要的資安新聞嗎？資安日報與資安週報即日起推出免費電子報訂閱，每天每週直送資安要聞，提供專業、易懂、便於轉述的最佳中文資安情報，助你掌握全球與臺灣最新資安脈動。

'

網路間諜框架Project CAV3RN濫用Outlook行事曆，打造隱蔽C2通道

來源：https://www.ithome.com.tw/news/177541

卡巴斯基全球研究暨分析團隊（GReAT）揭露網路間諜框架Project CAV3RN的新通訊模組。該模組透過Microsoft Graph操作Outlook行事曆，利用行事曆事件接收攻擊指令、回傳執行結果及回報受感染電腦的在線狀態，把遭入侵Microsoft 365信箱的行事曆當成命令暨控制（C2）通道。

卡巴斯基自2025年12月開始追蹤Project CAV3RN，研究人員在2026年4月底發現，開發者將原本由下載、執行及上傳元件組成的架構，改成由中央控制元件搭配可擴充功能模組，並把對外通訊與指令執行分開處理。

新發現的AzureCommunication.dll元件負責對外通訊，可能用來取代原先透過HTTP及WebSocket連線的通訊模組。其使用內建的Microsoft Entra租戶資料、應用程式憑證及目標信箱資訊，向Microsoft Graph驗證身分，再讀寫遭入侵信箱的預設行事曆。

攻擊者會把加密指令放進行事曆事件的附件。受感染電腦找到符合識別碼的事件後，便下載附件、解密指令並刪除事件。完成指令後，惡意程式會建立另一個行事曆事件，把加密的執行結果放入附件回傳，也會建立心跳事件，回報受感染電腦仍在線上。

所有事件都安排在協調世界時間（UTC）2050年5月13日22時至23時。由於日期距今還很久，使用者平常查看近期行程時不容易發現。事件主旨則用來區分攻擊指令、執行結果及在線狀態，並透過代理識別碼對應不同的受感染電腦。

若惡意程式無法存取Microsoft Graph，還會透過DNS查詢取得新的連線設定。攻擊者把Microsoft 365連線資料拆成多段，藏在DNS回傳的IPv6位址中，惡意程式收齊資料後更新本機設定，再次嘗試連上Microsoft 365。

'