F5觀察2026上半年漏洞攻擊趨勢，PHP與Exchange舊漏洞持續遭到鎖定

來源：https://www.ithome.com.tw/news/177581

F5在近日發布的2026年6月漏洞趨勢分析中，分析近6個月的蜜罐資料發現，攻擊者持續鎖定長期存在的PHP與Web應用程式漏洞，對Exchange漏洞的攻擊也在近期升溫。F5也觀察到攻擊形態出現重大變化，攻擊者的活動重心逐漸從廣泛漏洞掃描與偵察，轉向資訊洩漏與路徑遍歷等更具針對性的攻擊。

F5指出，針對PHP-CGI漏洞CVE-2024-4577的攻擊自2025年底開始激增，2026年持續維持每月逾1.2萬次攻擊，成為當前最主要的攻擊目標；居次的是另兩個PHP漏洞CVE-2017-9841與CVE-2018-20062，針對這兩個漏洞的攻擊在2025年底達到高峰，至今仍維持穩定的大量攻擊，顯示攻擊者持續鎖定廣泛部署的傳統Web應用程式。另外值得注意的，還有針對Exchange ProxyLogon漏洞CVE-2021-26855的攻擊，也在2026年重新升溫，更在6月創下F5觀測期間的最高攻擊量。

而在攻擊類型方面，F5發現可預測資源位置（Predictable Resource Location）攻擊數量，自5月到6月間增加49%，資訊洩漏更大增77%，路徑遍歷也增加55%，同時伺服器端程式碼注入與指令執行攻擊數量則維持高檔。研究人員認為，前述趨勢反映攻擊者正從大規模的漏洞發現與偵察，逐步轉向針對特定資源的枚舉與漏洞利用。

'

【資安日報】7月23日，Oracle修補超過一千個資安漏洞，數量創下新紀錄

來源：https://www.ithome.com.tw/news/177579

本日新聞焦點

● Oracle今年第3季例行更新爆量修補逾1千個漏洞引起關注

● Check Point揭露及修補已遭利用的身分驗證繞過漏洞

● Adobe Acrobat瀏覽器延伸套件漏洞可被用於竊取WhatsApp帳號內容

● GitHub調整漏洞懸賞制度，一般通報者獎勵大縮水

● Intel與Fortinet宣布聯手開發資安專用晶片

資安新聞總覽

Oracle發布2026年7月關鍵安全修補更新，共修補1,235個漏洞，含多個CVSS滿分重大漏洞

Oracle於7月21日發布2026年7月份關鍵修補更新（CPU），這是Oracle今年第3次季度安全更新，包含1,449項更新程式與1,235個漏洞，創下該公司季度修補規模的歷史新高，相較今年4月份CPU的481項更新程式，修補規模一口氣增加近3倍。以包含的更新程式數量來看，比重最高的是Oracle E-Business Suite，一共有410項更新程式，占所有更新程式總數28.3%；其次是Oracle Fusion Middleware，有355項更新程式，占總數24.5%。詳全文

Check Point發布7月安全性更新，公布已遭利用的重大漏洞

7月22日資安公司Check Point發布本月安全性更新，這次他們針對防火牆與管理系統釋出熱修補程式，更新內容涵蓋超過200項安全性修正與功能強化，並修補3個資安漏洞，其中最引人注意的是CVE-2026-16232，原因在於，該公司指出已有少數客戶面臨漏洞利用的情況。此為身分驗證繞過漏洞，攻擊者可在未經身分驗證的狀態下，利用應用程式的權杖（token）登入SmartConsole，取得完整的管理員權限，藉此竄改資安政策與安全設定組態。詳全文

美國警告Check Point SmartConsole重大漏洞遭積極利用

7月22日資安公司Check Point警告SmartConsole重大漏洞CVE-2026-16232遭到利用，有少數客戶被針對。同一天美國網路安全與基礎設施安全局（CISA）表示已掌握漏洞被積極利用的證據，將其加入已遭利用的漏洞名單（KEV），聯邦機構必須在7月25日前完成修補。同時被CISA加入KEV的資安漏洞，還有微軟SharePoint重大漏洞CVE-2026-50522，此為不受信任資料反序列化造成的弱點，CISA也要求聯邦機構在7月25日前修補。詳全文

CISA將微軟近日修補的SharePoint重大漏洞列KEV

7月20日威脅情報公司Defused Cyber、watchTowr警告，微軟近日修補的SharePoint重大漏洞CVE-2026-50522遭到利用，駭客試圖拉取SharePoint的機器金鑰。兩天後美國政府也掌握遭到利用的證據，要求聯邦機構修補。美國網路安全與基礎設施安全局（CISA）於7月22日將其加入已遭利用的漏洞名單（KEV），這是繼CVE-2026-45659、CVE-2026-56164、CVE-2026-58644之後，CISA本月在KEV加入的第4個SharePoint漏洞。詳全文

開源路由器韌體DD-WRT已知漏洞出現攻擊行動

7月21日美國網路安全與基礎設施安全局（CISA）警告，他們掌握CVE-2021-27137遭積極利用的證據，將此漏洞列入已遭利用的漏洞名單（KEV），聯邦機構必須在7月24日前完成修補。此為記憶體緩衝區堆積溢位弱點，在使用者已啟用UPnP功能的路由器（預設為關閉）上，攻擊者可發送特製請求觸發，過程裡無須通過身分驗證，CVSS風險評為8.1分。6月初資安公司Fortinet揭露的殭屍網路C0XMO活動，攻擊者就曾使用該漏洞入侵路由器。詳全文

Adobe Acrobat瀏覽器延伸套件存在漏洞，3億安裝者的WhatsApp資料恐遭竊

資安公司Guardio Labs透露，他們日前向Adobe通報，Acrobat的Chrome瀏覽器延伸套件存在資安漏洞HermeticReader，攻擊者只要透過惡意網頁並引誘使用者瀏覽，延伸套件就會啟動特定的引擎並存取WhatsApp網頁，隨後網頁裡的WhatsApp明文對話紀錄、聯絡人名稱、訊息、個人資料，以及正在開啟的對話內容，都會落入攻擊者手裡。由於全球有3.29億個瀏覽器安裝此套件，影響範圍將有可能極為廣泛。Adobe獲報後於今年6月修補，並將此問題登記為CVE-2026-48294，評估CVSS風險為7.4分。詳全文

可口可樂旗下乳製品品牌Fairlife遭駭，勒索軟體Anubis宣稱是他們所為

7月16日可口可樂向美國證券交易委員會（SEC）提交8-K表單，表示當天旗下乳製品公司Fairlife遭勒索軟體攻擊，未經授權的第三方存取部分系統，其中包括與生產相關的系統。這起事故導致Fairlife美國生產運作暫時中止，而受到外界關注。根據資安新聞網站SecurityWeek的報導，7月20日勒索軟體Anubis將Fairlife與可口可樂列於資料外洩網站，聲稱他們鎖住多臺伺服器，並竊得1 TB的機密資料。駭客設下接近一週的付款期限，並宣稱只要可口可樂願意付贖金，他們就會在數個小時內將受害系統復原。詳全文

美速食連鎖業者Chick-fil-A遭憑證填充攻擊，多州客戶資料外洩

美國知名雞肉速食餐廳連鎖Chick-fil-A寄送電子郵件通知客戶，該公司部分系統遭駭客入侵，攻擊者疑似利用由第三方資料源取得的用戶帳號憑證，在6月17日到6月19日之間，對其網站和手機應用程式透過帳號填充手法，發動自動化攻擊。雖然Chick-fil-A在第一時間立即採取預防措施，駭客成功在7月13日存取了客戶帳號資料。外洩的資料包括消費者帳號下的Chick-fil-A One會員編號、手機支付碼、QR Code、信用卡末4碼及Chick-fil-A點數等。詳全文

雅詩蘭黛終於證實去年Oracle EBS被駭，員工資料遭竊

去年11月駭客組織Cl0p聲稱鎖定Oracle E-Business Suite（EBS）發動零時差漏洞攻擊，並公布一系列受害企業名單，然而，有受害企業到最近才公開承認資料遭到外洩的情形。法國美妝品牌雅詩蘭黛（The Estee Lauder Companies）近日向加州檢察總長辦公室（California OAG）通報，該公司的EBS近一年前遭到入侵，未授權存取約發生於2025年8月9日，外洩資料內容主要是員工的個資、財務資訊、僱用資料，但該公司未說明受影響人數。詳全文

俄羅斯駭客組織UAC-0145利用ClickFix攻擊烏克蘭，誘導受害者自行執行惡意指令

過去俄羅斯駭客對烏克蘭的攻擊，主要透過Windows或Office木馬安裝程式，以及經由即時通訊軟體散布的偽造防毒軟體來進行，但近期出現變化，烏克蘭電腦緊急應變小組（CERT-UA）近日揭露，與俄羅斯軍事情報總局（GRU）相關的駭客組織UAC-0145，改用ClickFix社交工程手法鎖定烏克蘭民眾，自2026年6月至7月間，至少10個烏克蘭網站遭植入偽造CAPTCHA驗證頁面，一旦受害者被誘使點選惡意頁面，並依照指示將PowerShell指令貼入終端機執行，攻擊者將藉此散布一系列惡意軟體。詳全文

俄羅斯駭入IP攝影機追蹤烏軍支援運輸，情報已用於軍事攻擊

荷蘭情報與安全總局AIVD與軍事情報與安全局MIVD發布資安警示，俄羅斯情報與安全機關正系統性入侵歐洲與烏克蘭的IP攝影機，並透過影像辨識軟體搜尋軍用車輛及其載運的軍事貨物，藉此掌握歐盟與北約的軍事運輸路線、支援烏克蘭武器的交付情況，以及烏克蘭軍事人員位置。該網路間諜行動涵蓋荷蘭、其他歐盟與北約成員國，以及烏克蘭，俄羅斯軍情機構利用影像辨識軟體，自動分析攝影機畫面，搜尋軍用車輛及其載運的軍事貨物。詳全文

Check Point揭露伊朗駭客組織新武器Cavern，提供因應不同環境的模組化後門框架

資安公司Check Point近日揭露，伊朗駭客組織Cavern Manticore使用稱作Cavern的模組化C2後門框架，主要鎖定以色列政府與IT服務業者發動攻擊。Cavern是透過既有遠端監控與管理軟體SysAid在受害者主機上設置立足點，本身是以.NET開發，以Cavern Agent元件為核心，並可依攻擊任務載入Communication Module、File Manager、SQL Browser、LDAP、Network與Tunnel等6種模組，提供檔案操作、資料庫存取、Active Directory偵察、網路掃描與建立通道等能力。詳全文

Mozilla發布Firefox 153版更新，修補63個漏洞

Mozilla近日發布Firefox 153，揭露63個漏洞，其中包含20個高風險漏洞。就嚴重性來看，依據NVD資料庫，CVSS評分最高的是CVE-2026-16367，為Disability Access APIs元件導致的沙箱逃逸問題，CVSS評分達滿分10分，另有16個漏洞也達到9.8分，涉及負責處理網頁文件結構與內容互動的DOM元件、圖形與影像處理子系統Graphics、Disability Access APIs、音訊／視訊撥放元件Audio/Video: Playback，以及JavaScript引擎JIT等。詳全文

Google更新Chrome 150穩定版，修補12項高風險漏洞

Google發布Chrome瀏覽器新版本150.0.7871.181與150.0.7871.182，納入12個資安漏洞的修補，全部都屬於高風險等級，就涉及的元件來看，圖形處理元件ANGLE、網頁音訊處理引擎WebAudio與串流投放功能元件Chromecast各有2個漏洞，這3個元件的漏洞占這次修補漏洞總數的一半。而就漏洞類型來看，記憶體相關問題仍為最大宗，包括記憶體已釋放卻仍被使用（UAF）、未初始化記憶體使用（Uninitialized Use）與堆疊緩衝區溢位等在內有5個。詳全文

蘋果多次修補研究人員一年前通報的Hide My Email隱私漏洞，直到最近才完成修補

隱私防護廠商EasyOptOuts於去年6月11日向蘋果通報，iCloud+的隱藏真實電子郵件信箱位址功能Hide My Email存在隱私漏洞，一年內在多次往來確認蘋果未完成修補後，這個問題在今年7月1日科技媒體404 Media報導才引起外界關注，蘋果曾在7月3日再度部署修補程式，但另一家科技媒體AppleInsider卻在7月17日發現，仍能從特定Hide My Email別名查出使用者的真實電子郵件地址，後續他們在7月21日重新驗證，才確認蘋果已完整修補。詳全文

AWS Kiro漏洞可被網頁隱藏指令利用，繞過審核機制執行任意程式碼

資安公司Kodem Security與Intezer的研究人員揭露，他們在今年2月向AWS通報，代理式整合開發環境Kiro存在可繞過使用者核准機制的漏洞，攻擊者可在網頁或文件中藏入提示注入指令，誘使Kiro在未獲使用者同意下改寫MCP伺服器設定，並在開發者電腦執行任意程式碼。AWS於今年4月向研究團隊回報，漏洞修補程式碼已於最新版本Kiro部署，研究團隊確認當時的最新版本0.11.130不再受影響，不過，AWS未打算對此問題登記CVE編號。詳全文

Ubuntu發布更新，修補Snap應用程式管理元件高風險漏洞

Ubuntu發行商Canonical於7月21日發布資安公告，修補Snap應用程式管理元件snapd的三個漏洞，包括兩個高風險漏洞，其中較嚴重的是CVE-2026-15226，CVSS評分為8.4分，可能導致本機攻擊者建立並執行具setuid權限的程式；另一高風險漏洞CVE-2026-8933的CVSS評分為7.8分，可能導致本機攻擊者提升權限。Ubuntu 16.04、18.04、20.04、22.04、24.04與26.04等版本都受影響，解決方式為依原廠公告將snapd套件更新至對應的版本。詳全文

GitHub調整漏洞懸賞制度，一般通報者獎金縮水

GitHub重整漏洞懸賞計畫，自2026年7月27日起調降公開計畫獎金，並將原有VIP計畫正式確立為永久性的邀請制計畫。公開計畫也將採用HackerOne的研究員信譽評分門檻，限制未達門檻者的報告提交數量，以減少缺乏驗證的低品質及AI生成報告大量湧入。調整後的公開計畫改採固定獎金，低風險漏洞為250美元、中風險2,000美元、高風險5,000美元，重大漏洞則為1萬美元。相較先前各等級的最低獎金，新金額至少減少一半。詳全文

Palo Alto Networks宣布併購Embrace，為可觀測性平臺提供高精度真實使用者監控能力

資安業者Palo Alto Networks於7月21日宣布預定併購數位體驗監控業者Embrace，計畫將其真實使用者監控（Real User Monitoring，RUM）能力整合至自身可觀測性平臺（Observability Platform），併購預計於2027會計年度第一季完成。成立於2016年的Embrace，主要提供行動應用程式與網頁的使用者導向可觀測性服務，結合真實使用者監控（RUM）與OpenTelemetry等技術，收集並分析真實終端使用者的操作體驗與應用程式效能。詳全文

Intel攜手Fortinet開發Security Processor 6，推進資安專用ASIC晶片布局

Intel與資安業者Fortinet於7月21日宣布展開策略合作，共同開發Fortinet Security Processor 6（SP6），結合Fortinet長期累積的專用資安處理器與ASIC設計能力，以及Intel的半導體設計、先進封裝與製造技術，打造高度整合的新一代資安專用處理器，以因應日益複雜的資安服務，滿足當今企業嚴苛的效能需求，並藉此強化Fortinet全球供應鏈的韌性與多元性。這項晶片的合作開發計畫，也是Intel Foundry晶圓代工業務對外宣布的首個客戶合作案例。詳全文

'

OpenAI推出Presence企業AI代理，自家電話客服75%案件無須真人處理

來源：https://www.ithome.com.tw/news/177578

OpenAI推出企業AI代理產品Presence，協助企業將語音及文字對話代理投入客服、外撥銷售及高風險內部作業等正式營運。Presence代理可回答問題、使用企業系統，依規定執行已核准的操作，遇到無法處理或風險較高的情況時，再轉交真人接手。

Presence每次部署會先鎖定一項具體工作，例如處理帳務問題、協助保險理賠，或回應員工的IT服務需求。代理只能取得完成該項工作所需的知識、資料及系統權限，企業可限制代理的操作範圍，並要求代理在特定情況下取得人工核准，或停止處理並轉交人員。

企業可決定不同部署共用哪些設定，例如企業政策、評測方式與人工轉接規則，再依工作流程或服務管道調整知識及權限。企業可依既有規範，將代理部署至其他部門或服務管道，不必每次重新設定。

代理正式上線前，企業可模擬常見需求、特殊情況及高風險情境，檢查代理是否正確完成任務、遵守企業規定、正確使用工具，並在必要時交由真人處理。當互動超出企業允許的範圍，防護機制可介入，必要時限制或中止代理行動。

上線後的對話紀錄、人工轉接情況與服務品質指標，可用來找出代理需要改善的地方。Codex會透過Presence外掛分析相關資料並提出更新建議，企業可先將建議變更與正式環境中的現行版本比較測試，確認未影響既有功能後，再核准逐步上線。

OpenAI表示，Presence已用於自家英文電話客服，可驗證來電者身分、使用帳戶資訊並執行核准操作，目前可在不需人工協助的情況下解決75%的來電問題。官方也稱，藉由持續改善流程，轉交真人處理的比例在10天內降低15個百分點。

Presence目前僅透過有限度正式供應計畫，提供符合資格的企業客戶使用。部署由OpenAI前線部署工程師（Forward Deployed Engineers，FDE）及指定的全球系統整合商主導，尚未提供企業自行導入的自助式版本。

'

建立可信任的AI防線，CSA台灣分會會長採蔡一郎導讀AICM最新1.1版

來源：https://www.ithome.com.tw/news/177551

面對AI時代的資安挑戰，全球非營利組織雲端安全聯盟（CSA）一年前發布AI控制矩陣（AI Controls Matrix，AICM），聚焦AI系統從規畫、建置到除役的完整生命週期。近日，台灣數位安全聯盟理事長暨雲端安全聯盟台灣分會會長蔡一郎於InfoSec 2026活動中，揭露AICM的特色與最新變化，並建議資安長可依實務指引來循序推動企業落實AI治理。

基本上，CSA早期核心聚焦於雲端安全，發展出雲端控制矩陣（CCM）與STAR認證體系，並透過CCSK等認證建立人才專業標準。隨著技術演進，CSA的範疇已從傳統雲端延伸至零信任與AI安全，例如去年7月已發展出AI控制矩陣（AICM），目前最新版本為今年6月推出的1.1版。

蔡一郎指出，AICM切入的概念是從合規的角度出發，協助企業在導入AI開發平臺或生成式AI服務時，能有一套標準化的控制框架。

在控制結構上，AICM主要涵蓋18個控制領域。根據蔡一郎展示的簡報內容，這些控制項展現相當高的覆蓋度與多元性，包括：稽核與確保、應用程式與介面安全、業務連續性管理與營運韌性、變更控制與組態管理、密碼學、加密與金鑰管理、資料中心安全、資料安全與隱私、治理、風險管理與合規、人力資源安全、身分與存取權限管理、互動操作與可攜性、基礎架構安全、日誌記錄與監控、模型安全，以及資安事件管理及電子蒐證與雲端鑑識、供應鏈管理及透明度與問責制、威脅與漏洞管理、通用端點管理。

由此看出，AICM涵蓋眾多IT與AI常見的控制領域，最特別是將人力資源安全列為獨立範疇。但由於AI的使用也涉及財務規畫，未來可關注是否將維護成本與防範異常支出的層面列為單獨的重點領域。

關於最新推出的AICM 1.1版，蔡一郎指出，新版在維持原有類別下，將控制項從243個增加至247個。

而在框架對應方面，原先已能對應ISO 42001、BSI AIC 4、歐盟AI法案（EU AI Act）、NIST AI 600-1，1.1新版更納入針對AI代理人安全的AIUC-1，以及NIST AI風險管理框架（AI RMF）的對應。

談到標準的易用性，蔡一郎直言，ISO 42001的架構設計對實務工作者並不友善，即便參與3日課程培訓亦難以掌握核心。他分析，主因在於該標準缺乏如ISO 27001附錄A般明確的控制項對應，顯然ISO/IEC 42001是在AI浪潮下為了回應市場迫切需求而快速推出，因此，在控制項對應與實務操作層面仍有待補強。相較之下，他認為AICM是目前完整度最高且持續改善的控制標準。

在控制類型方面，AICM將控制項分為AI專屬控制項、AI與雲端相關控制項，以及雲端專屬控制項。蔡一郎特別強調AICM與雲端控制矩陣（CCM）的關聯，指出兩者具備高度互補性，因此需要同時搭配來看。他解釋，為了避免疊床架屋，AICM對於CCM已涵蓋的內容不再重複說明，但有兩項關鍵差異值得注意：第一是將傳統CCM中的基礎架構與虛擬化安全（IVS），更名為基礎架構安全（I&S）；第二是新增模型安全（MDS）領域，專門應對提示注入、模型毒化與權重竊取等AI特有威脅。

此外，針對生成式AI生態系，AICM梳理出包含生成式AI營運（genAI Ops）、模型層、AI服務層及應用層的「四層服務交付模型」，並明確定義參與者之間六種不同的控制實作責任，確保在複雜的供應鏈中權責分明。

至於企業該如何導入AICM？蔡一郎建議參考《Strategic Implementation of the CSA AI Controls Matrix – A CISO's Guide》實務指南，該份指引強調從AI共識評估倡議問卷（AI-CAIQ） 進行自我評估開始，並給出四階段實作步驟，從評估、整合、認證到擴展與規模化，同時也可依據「立即、短期、中期與長期」的建議方式，循序漸進地推動落地。

身為台灣數位安全聯盟理事長，也是來毅數位科技台灣總經理暨全球資安長的蔡一郎表示，從雲端安全聯盟CSA網站可下載AICM工具包，當中最重要的檔案就是一份完整收錄18個控制領域、247個控制項的Excel檔案。

'

Amazon EKS升級增加退路，K8s控制平面7天內可回復前一版本

來源：https://www.ithome.com.tw/news/177573

AWS替Amazon EKS（Elastic Kubernetes Service）加入Kubernetes版本回復功能。管理者直接升級既有叢集後，若發現應用程式不相容或系統運作異常，可在7天內將負責管理叢集的控制平面退回前一個Kubernetes次要版本。新功能已在所有提供EKS的AWS商用區域上線，不另外收費。

Kubernetes叢集的控制平面負責管理應用程式部署、資源分配及系統狀態，過去控制平面完成版本升級後，通常無法直接降回舊版。企業若在正式環境遇到問題，只能設法修正相容性問題，或另外建立舊版叢集，再將應用程式與資料移回，因此常需採取分批升級、延長觀察期及準備備援環境等作法。

EKS版本回復會將Kubernetes API伺服器、控制平面元件及相關設定退回前一個次要版本，EKS平臺版本則會改為該Kubernetes版本目前最新的平臺版本。回復過程會保留叢集設定、既有應用程式及持久性儲存資料，但無法將整個叢集完整還原。一般EKS叢集的工作節點及附加元件不會自動降版，管理者仍須自行確認並調整相關版本。

版本回復只適用於曾就地升級的叢集，且只能在7天內退回升級前一個次要版本，不能跨越或連續退回多個版本。EKS執行前會檢查Kubernetes API與欄位、叢集健康狀態、工作節點版本及附加元件相容性，而管理者雖可略過這些準備度洞察檢查，但無法繞過7天期限、再次升級、叢集建立版本或EKS功能不相容等限制，例如叢集由Kubernetes 1.34升級至1.35後可退回1.34，但建立時使用的就是1.35，便不能透過這項功能降版。

採用EKS Auto Mode的叢集，AWS會先將工作節點退回舊版，再處理控制平面。節點更新會遵守原有的應用程式中斷限制，避免同時停止過多服務，因此實際所需時間會依叢集設定而異。管理者也能中止節點回復，調整相關設定後再重新處理。

控制平面版本回復支援仍在EKS標準支援及延長支援期間的Kubernetes版本，要是目標版本已進入延長支援，管理者須先將叢集升級政策設為EXTENDED，回復完成後也會重新產生延長支援費用。

'

瑞士施泰德鐵路遭Everest勒索軟體攻擊，嚴拒支付贖金

來源：https://www.ithome.com.tw/news/177577

瑞士鐵路巨擘Stadler Rail（施泰德鐵路）本周公告近日遭到駭客組織Everest竊取資訊及勒索，但拒絕支付贖金並將提告。

Stadler是全球鐵道車輛跨國製造商，開發多種高速列車、城際列車、區域鐵路及通勤鐵路車輛，在德國、義大利、荷蘭、奧地利、波蘭、西班牙等地設立子公司。根據維基百科，臺鐵R200型柴電機車及高雄捷運黃線車輛為該公司提供。

Everest組織並未公佈Stadler的攻擊事件，但這家瑞士業者大動作在官網公告攻擊事件。駭客於7月中透過入侵資料交換平臺竊走Stadler特定技術資料，並向其勒贖1000萬瑞士法郎（約1230萬美元）。

Stadler公司表示，外洩的資料是供應商提供的技術資訊，與安全無關，也沒有任何相關個資被竊走。此外，Stadler的資訊系統未受影響，資料外洩事件並未影響在全球使用的鐵道車輛、該公司生產營運也維持正常運作。

Stadler表示無論如何皆不會支付贖金，並且向當地警局提出刑事控告。

根據Bleeping Computer報導，Everest是2020年崛起的勒索軟體組織即服務（ransomware as service），但後來作案方式改為竊取企業資料，再以公開外洩為由索討贖金。但Stadler並未說明是否也是遭到勒索軟體加密檔案。

'

F5揭露2026年6月十大熱門漏洞，多個舊漏洞仍名列最常遭掃描利用榜單

來源：https://www.ithome.com.tw/news/177576

F5近日發布2026年6月漏洞趨勢分析，根據蜜罐感測器觀測結果整理十大熱門漏洞。F5指出，6月整體網路攻擊活動較5月增加55.5%，結束連續3個月相對穩定的局面，回升至年初攻擊高峰的水準。而從F5的熱門漏洞榜單可以發現，前十大漏洞中，多數都是2024年以前揭露的舊漏洞，甚至還有揭露至今已達10年、20年的漏洞，反映廣泛部署且尚未修補的舊漏洞，仍具有高度攻擊價值，公開的概念驗證程式與攻擊工具也降低這些舊漏洞的利用門檻。

以偵測到的攻擊次數為基準，6月份排行居首的漏洞，是分別於2024年與2017年揭露的兩個PHP漏洞CVE-2024-4577與CVE-2017-9841。另有兩個漏洞在6月份擠進前十名，首先是Exchange的ProxyLogon漏洞CVE-2021-26855，躍居第四名；另一個是已存在超過20年的phpSysInfo資訊外洩漏洞CVE-2005-0869，居於第九名。至於6月份攻擊次數增幅最大的漏洞，則是排在第五名的React Server Components遠端執行程式碼漏洞CVE-2025-55182，攻擊次數較上月增加近一倍。

F5在報告中特別關注排名第八的WordPress LiteSpeed Cache外掛漏洞CVE-2024-44000，該漏洞雖於2024年公開，至今仍持續出現在自動化偵測流量中，顯示在WordPress生態系統廣泛部署的外掛程式，即使漏洞揭露兩年後，仍是攻擊者覬覦的目標。

'

拍付國際資安事故調查出爐，防火牆漏洞遭駭客利用成破口，已補強防禦並導入EDR強化監控

來源：https://www.ithome.com.tw/news/177544

PChome網路家庭旗下拍付國際（Pi拍錢包）於今年6月底傳出資安事故，勒索軟體組織Settra聲稱竊取該平臺350萬名用戶個資。事件被媒體曝光後，拍付國際隨即發布資安公告，數位發展部亦針對此個資外洩案啟動行政檢查。歷經半個月調查，拍付國際於近日正式公布事故調查報告，說明主機防火牆漏洞遭駭客利用是本次事件的破口，駭客藉此取得防火牆權限後並非法存取內部員工的檔案伺服器，造成部分日常作業檔案外洩。

關於外洩資料的內容，拍付國際表示，這次事件主要是內部員工日常作業的檔案，其中涵蓋2019年與2022年專案上線的部分會員資料，涉及姓名、手機號碼及車牌號碼等個資。不過，這份公告並未提及影響的人數。同時該公司強調，核心交易系統未遭入侵，帳號密碼、交易資料及信用卡號等均未受影響，並表示用戶的個人帳號密碼、交易資料、信用卡卡號及點數等，皆儲存於獨立且嚴密防護之資料庫中，此資料庫確認安全無虞。

不過，對於先前媒體報導指出外洩檔案可能包含內部系統架構與9年營運記錄等文件，拍付國際在公告中並未針對此部分逐一回應，僅提到遭外洩的檔案絕大多數不涉及個人隱私。

在後續應變方面，拍付國際表示已完成系統修補與安全強化，並將透過App推播通知受影響用戶。針對個資確認遭存取的用戶，公司將提供價值500元的超商飲品「電子優惠票券」作為補償。

另外值得注意的是，拍付國際透過這份公告，說明其6月異常帳號登入及系統操作活動，經確認為資安事故，但遺憾的是，拍付國際作為網路家庭旗下二十一世紀金融科技株式會社的子公司，當時未見其母公司在股市公開觀測站發布資安重大訊息，直到7月1日網路家庭才發布標題為「說明媒體關於駭客相關報導」重大訊息說明此事故。

此外，拍付國際表示，主管機關數位發展部已於7月至拍付國際進行個資查核行政檢查，該公司已就數發部提供的指導進行改善，包括防火牆漏洞修補及版本升級、帳號權限清查、非授權軟體清理與阻斷，以及導入端點偵測與回應（EDR）來持續加強系統監控。

'

AMD與Anthropic簽署2GW AI晶片與50億美元投資協議

來源：https://www.ithome.com.tw/news/177575

AMD周三（7/22）宣布與Anthropic建立策略合作關係，Anthropic將部署最多2GW的AMD Instinct MI450系列GPU，AMD則承諾向Anthropic投資最多50億美元。首批1GW運算系統預計於2027年上半年開始部署。

根據華爾街日報（Wall Street Journal，WSJ）報導，這批AI伺服器價值達數百億美元。Anthropic將自行購買部分AMD晶片，也會向大型雲端業者或新型雲端業者租用採用AMD晶片的運算資源。

Anthropic將採用搭載Instinct MI455X GPU的AMD Helios機架級系統，用以訓練及運行Claude模型。Anthropic原已使用上一代MI355X GPU，並同時採用Nvidia GPU、Google TPU及Amazon Trainium晶片，此次合作將進一步擴大AMD系統的使用規模並分散運算來源。

雙方也將展開多年工程合作，利用Claude改善AI工作負載在AMD Instinct GPU上的執行效率，並加速開發ROCm軟體。AMD也會在工程及產品開發團隊中廣泛導入Claude。

AMD並將依照Anthropic的晶片部署進度，分階段投資最多50億美元，這也是AMD首度投資Anthropic。這類由晶片或雲端供應商投資AI公司，再由AI公司採購其運算資源的合作已日益普遍，Nvidia、微軟、Amazon及Google先前皆曾投資Anthropic，並與其簽署晶片或雲端算力協議。

'

Adobe Acrobat瀏覽器延伸套件存在漏洞，3億安裝者的WhatsApp資料恐遭竊

來源：https://www.ithome.com.tw/news/177571

資安公司Guardio Labs透露，他們日前向Adobe通報，Acrobat的Chrome瀏覽器延伸套件存在資安漏洞HermeticReader，一旦遭到利用，攻擊者有機會暗中竊取使用者WhatsApp聊天內容與聯絡人名單。由於全球有3.29億個瀏覽器安裝此套件，影響範圍將有可能極為廣泛。Adobe獲報後於今年6月修補，並將此問題登記為CVE-2026-48294，評估CVSS風險為7.4分。

攻擊者只要透過惡意網頁並引誘使用者瀏覽，延伸套件就會啟動特定的引擎並存取WhatsApp網頁，隨後網頁裡的WhatsApp明文對話紀錄、聯絡人名稱、訊息、個人資料，以及正在開啟的對話內容，都會落入攻擊者手裡。Guardio Labs強調，攻擊者不需事先部署惡意軟體、竊取帳密資料與連線階段的cookie，也不需準備Adobe帳號，或是入侵受害者裝置，只要使用者存取攻擊者控制的靜態網頁，就能引發漏洞。

這個問題造成的原因，在於Adobe為網頁版WhatsApp設計的整合引擎Hermes，以及一系列未受保護的措施組合而成。HermeticReader攻擊鏈由三個層面的瑕疵組合而成，首先，寫入延伸套件的儲存空間、然後鎖定目標WhatsApp網頁，最終透過Hermes引擎進行控制。Guardio Labs也透露，他們借助AI的力量，只用了大約4個小時就找到漏洞。

'