Node.js揭露與修補11個漏洞，當中涵蓋3個高風險漏洞

來源：https://www.ithome.com.tw/news/177779

開放原始碼JavaScript執行環境Node.js於7月29日發布安全性更新公告，揭露與修補11個漏洞，其中3個為高風險漏洞、5個為中度風險漏洞、3個為低風險漏洞。這批漏洞分別影響Node.js 22.x、24.x及26.x版本分支，目前開發團隊已釋出修補漏洞的更新版本——Node.js 22.23.2、Node.js 24.18.1及Node.js 26.5.1。

值得注意的是，這些Node.js版本為了解決公開漏洞，也囊括HTTP用戶端程式庫undici，以及HTTP協定資料解析程式庫llhttp的更新版本。

就此次Node.js揭露的高風險漏洞而言，CVE-2026-56846的問題出在HTTP/2記憶體管理機制，保留的標頭區塊可能繞過maxSessionMemory設定的記憶體用量限制，使遠端攻擊者耗盡系統記憶體，造成阻斷服務。此漏洞影響Node.js 22.x及24.x。

另一個高風險漏洞CVE-2026-56848同樣存在於HTTP/2功能。HTTP/2接收資料函式執行期間，系統可能重新進入該函式的處理流程，並呼叫傳送資料函式，造成堆積記憶體釋放後使用漏洞。此漏洞影響Node.js 22.x、24.x及26.x。

第三個高風險漏洞CVE-2026-58043影響Node.js權限模型。攻擊者若已取得特定路徑的存取權限，可能利用路徑比對缺陷，讀寫原本不在檔案系統允許清單內的其他路徑。此漏洞影響Node.js 22.x、24.x及26.x。

Node.js團隊提醒，每當發布安全性更新，終止支援版本都應視為受到影響，使用者應改用仍受支援的最新版本。

'

泰國證交所旗下TSD集保公司發生20萬投資人個資外洩，起因於投資人入口網站存取控制缺失

來源：https://www.ithome.com.tw/news/177775

泰國證券交易所（SET）旗下子公司泰國證券集保公司（TSD）於7月28日揭露，其投資人入口網站（Investor Portal）發生未經授權的個人資料存取事件。據統計，約有20萬名投資人的個資遭非法存取，但目前尚未偵測到任何財務損失。

根據Bangkok Post報導，TSD總經理Pichaya Chomchaiya表示，這起異常活動於7月25日（週六）晚間首度被偵測，並於隔日上午確認發生未經授權的存取行為。該系統共儲存約500萬筆股東紀錄，受影響比例約4%，即約20萬名投資人。該篇報導同時指出，事故起因於其投資人入口網站頁面的程式碼缺陷（Coding Flaw）。該漏洞導致合法登入的使用者，僅需透過擅自修改網址或頁面上的使用者ID，即可在未經再次驗證的情況下，跨權讀取其他用戶的資料。

Pichaya Chomchaiya表示，外洩的個人資料清單包含：姓名、出生年月日、國民身分證字號、地址、電話號碼、電子郵件，以及證券商名稱與交易帳號。隨後的深入調查進一步發現，外洩內容亦包含銀行名稱與銀行帳號。不過，TSD強調，本次事件並未涉及證券持股狀況、交易紀錄或系統密碼等核心敏感資訊。

而在應變措施方面，TSD表示已主動通報受影響的當事人，並向相關主管機關呈報，同時也呼籲投資人務必提高警覺，防範不法分子冒充泰國集保公司或其他相關單位，進行社交工程詐騙。

'

蘋果Q3營收成長16%創同期新高，供應限制拖累下季展望

來源：https://www.ithome.com.tw/news/177778

蘋果周四（7/30）公布截至6月27日的2026財年第三季財報，營收比去年同期增加16%至1,094億美元，創歷年6月季度新高；營業利益（Operating Income）成長27%至357億美元，淨利（Net Income）成長27%至298億美元，每股盈餘成長29%至2.02美元。

依產品區分，iPhone營收年增22%至543億美元，Mac成長29%至104億美元，服務營收成長12%至307億美元，均創6月季度新高；穿戴裝置、家庭與配件成長6%至79億美元，iPad則下滑6%至62億美元。蘋果活躍裝置安裝基礎亦超過25億臺，創歷史新高。

蘋果執行長Tim Cook在財報會議中表示，6月發表的新版Siri AI已於7月開放一般用戶測試，目前獲得正面回饋。由於部分用戶未來可能大量使用Siri AI，蘋果考慮透過較高階的iCloud+方案提供更多使用額度，但尚未確定收費方式。

對於蘋果在6月調漲Mac及iPad等產品價格，Cook則說，記憶體價格正經歷「百年一遇的洪水」（a hundred-year flood），公司是在成本大幅上升後不得已才漲價。

蘋果預估，下一季營收將比去年同期增加9%至11%，低於華爾街預期的12%。Cook表示，這是因為iPhone及Mac需求超出預期，加上製造Apple Silicon所需的先進製程產能缺乏彈性，預計供應限制將較本季顯著加劇，進而限制iPhone、Mac及iPad的出貨量。受到新一季展望不如預期，以及供應鏈疑慮的影響，當天蘋果盤後股價下滑5.8%，跌至314.1美元。

'

GCC擬因著作權風險限制LLM生成內容，測試案例與少量修改除外

來源：https://www.ithome.com.tw/news/177772

GCC指導委員會近日採納新的AI貢獻政策，原則上不接受由大型語言模型（LLM）生成，或根據其產出改寫，且在著作權上屬於重大貢獻的內容。不過，維護人員仍可接受LLM生成的測試案例與少量修改，開發者也能繼續使用AI協助研究、找出程式錯誤、除錯及審查程式碼。

該政策主要處理由AI產生的程式碼是否能進入GCC，而非禁止開發者使用AI工具。GCC採用GNU專案既有的著作權判斷原則，評估一項貢獻是否具有足夠的原創性與篇幅，可能形成受著作權保護的內容。

GNU維護指南以約15行程式碼或文字作為初步參考，但行數不是唯一標準，例如，大量重複更改名稱的內容即使超過15行，也可能不具明顯原創性，而同一名開發者分批提交的多項小型修改，則可能因累積後的內容而被視為重大貢獻。

對於未達上述重大貢獻門檻的少量LLM產出，GCC維護人員仍可依照一般審查程序決定是否接受，但提交者必須清楚揭露AI使用情形。測試案例則是例外，即使內容較長或具有原創性，也可以全部或部分由LLM生成。

任何包含LLM產出內容的提交，都必須在提交訊息中加入「Assisted-by:」標記，用來揭露提交內容有LLM參與生成。提交仍須由人類負責，貢獻者必須理解修改內容，並能回答維護人員提出的問題，而是否將內容納入GCC，也必須由人類決定。

GCC同時規定，只有人類可以加入「Signed-off-by:」標記，確認自己同意開發者原始碼貢獻聲明（DCO），並對程式碼來源負責。LLM不能自行將程式碼提交至專案儲存庫，也不能代替人類完成這項聲明。

政策不限制開發者利用AI進行研究、程式分析、錯誤回報、除錯或輔助程式碼審查，前提是未直接把AI輸出當成貢獻內容提交。螢幕閱讀、文字轉語音、翻譯、拼字及文法修正等輔助用途也不受影響，但使用者仍須自行確認結果。

該規範也不適用於主要由其他專案維護，之後再匯入GCC使用的程式碼，例如執行期錯誤偵測函式庫libsanitizer。GCC表示，政策未來仍可能隨社群意見及GNU專案整體立場調整，最遲會在2027年初重新檢討。

'

不只OpenAI，Anthropic也揭露Claude在資安測試中入侵3個真實組織

來源：https://www.ithome.com.tw/news/177777

Anthropic周四（7/30）揭露，Claude在資安能力測試期間意外連上網際網路，且未經授權存取3個不同組織的正式系統。這是繼OpenAI日前坦承旗下模型突破隔離環境並入侵Hugging Face後，又一起AI模型在安全評估中影響真實系統的事件。

Anthropic是在OpenAI事件曝光後，回溯檢查141,006次可能涉及網路連線的Claude評估紀錄，發現3起事件、合計涉及6次測試，最早可追溯至今年4月。所有事件都發生於第三方合作夥伴Irregular的評估環境，涉及Opus 4.7、Mythos 5及一款未計畫公開推出的內部研究模型。

Irregular成立於2023年，前身為Pattern Labs，是一家專門測試前沿AI模型資安能力的公司，曾與OpenAI、Anthropic及Google DeepMind合作。而Anthropic除了自行執行資安評估，也會委託外部合作夥伴建立測試環境，Irregular便是其中之一，過去曾參與Claude 3、Claude 3.5及Claude 4系列的資安評估。

當時Claude被要求執行奪旗競賽，在模擬網路中尋找並取得隱藏資訊。測試指令告訴Claude，它身處無法連上網際網路的模擬環境，但因Anthropic與Irregular之間出現溝通及設定失誤，測試機器實際上仍可連網。Claude因此把搜尋到的真實系統誤認為模擬目標，並利用弱密碼、未驗證端點及SQL注入等基本手法發動攻擊。

在影響最嚴重的事件中，虛構公司名稱恰好與一家真實公司的網域相同。Claude Opus 4.7因無法連上模擬目標，轉而攻擊同名公司的真實系統，取得應用程式與基礎設施憑證，並存取含有數百筆正式資料的資料庫。模型後來雖察覺目標可能是真實系統，仍推斷它是測試的一部分而繼續行動。

另一起事件中，Mythos 5為完成任務，自行註冊PyPI帳戶並上傳同名惡意Python套件。套件在公開網路存在約1小時，期間被15個真實系統下載執行。其中一家資安公司的掃描器安裝套件後，藏在套件內的程式碼竊取該公司的存取憑證，Claude隨後利用取得的憑證存取該公司的其他基礎設施。PyPI安全系統後來自動移除該套件。

第三起事件則是一款內部研究模型在找不到虛構目標後，掃描網路上約9,000個目標，最後入侵一家公司的對外應用程式。不過，當模型發現該主機與測試無關並確認目標真實後，自行停止攻擊。

Anthropic於7月23日發現異常後停止所有資安評估，隔日確認3起事件，並於7月27日通知Irregular及受影響組織。成功聯絡上的兩個組織先前都未察覺遭到入侵。Anthropic表示，事件較接近評估環境及作業失誤，而非模型刻意逃離測試環境或追求自身目標，未來將加強網路隔離驗證、即時監控及第三方評估環境的安全控管。

'

英國教育部、警方資料庫遭駭，被竊超過70萬筆個資

來源：https://www.ithome.com.tw/news/177776

英國教育部（Department for Education，DfE）及英國警方資料庫分別傳出被駭客入侵，竊取超過60萬及10萬筆個資。

自稱是ExfilSquad的勒索組織上周末分別在資料外洩網站宣稱竊得兩批資料。教育部（DfE）指的是英格蘭教育部，駭客宣稱取得逾60.7萬筆資料。DfE對媒體證實被駭消息，表示已控制事件，並已與英國國家網路安全中心（NCSC）和國家犯罪管理署（NCA）合作調查。

DfE表示，遭到入侵的是該部會使用的兩個入口網站，包括DfE服務臺自助服務網站，以及資助英國學生海外學習或工作的圖靈計畫（Turing Scheme）入口網站。DfE發言人強調，外洩的是聯絡資訊筆數，而非人數。

外洩資訊包括個人姓名和組織名稱、電子郵件信箱、電話和職稱等，而受影響人士包括學生家長、政府官員、學校管理階層和大學職員等。DfE並說銀行帳號等財務資訊未包含在內。

英國警方資料庫部分，ExfilSquad宣稱竊得英國警察國家法律資料庫（Police National Legal Database，PNLD）達13.5萬筆紀錄，該資料庫用於提供英格蘭及威爾斯警方法律支援，由英國西約克郡警察局代管。

外洩資訊類型包含警員姓名、郵件信箱、及警方轄區。此外，曾查詢資料庫的民眾姓名及電子郵件信箱也遭竊取。不過這批外洩資料不包含受害者、嫌犯或證人等敏感資訊。這批資料庫也和儲存英國警方機密資訊的警方國家資料庫（Police National Database）或追蹤犯罪及失蹤人口、車輛和前科的PNC（Police National Computer）不相關。

媒體報導，資安業者Sophos驗證ExfilSquad貼出的樣本資料，判斷可能為真實資料。但攻擊者如何入侵DfE入口網站及PNLD資料庫，目前仍不得而知。DfE說，沒有遭到勒索軟體或惡意軟體植入的證據。英國內政部拒絕評論PNLD資料外洩一事。

6月勒索軟體駭客組織ShinyHunters聲稱竊取了諾丁漢大學40GB資料，包含學生、校友及職員個資及財務資料，並已公開了部分學生資訊，據傳影響人數達45萬。

'

一個疑點多於答案的威脅情資揭露，掀起百家企業資安信譽風暴

來源：https://www.ithome.com.tw/news/177711

近日國內媒體報導指出，上月傳出的FortiBleed事件正衍生臺灣資安風暴，因為有駭客販售臺灣96家企業存取管道，加上後續企業名單被媒體公布出來，進而引發外界高度關注與不安，但這兩篇報導一開始就將兩起事件連結在一起的狀況，讓我們對資料真實性與準確度存疑，例如，聲稱這96家企業確實與FortiBleed資料庫有著高度重疊，但經過我們比對之後，發現有少部分公司的網域名稱並未出現於FortiBleed Checker資料庫中，像是被媒體製表點名的南茂、萬海，因此，我們推測這份清單可能是結合不同外洩來源。而且，6月中旬FortiBleed憑證資料曝光事件傳出時，多數企業理應對此產生高度警惕與進行盤查，採取積極因應的態度。但該報導並未提及任何一家被點名企業的回應，這也讓外界難以釐清這個看似衍生事件的影響程度，後續更造成事件焦點已經被模糊。

事實上，任何兜售企業存取管道的消息被揭露並不是件壞事，本質上的確具備公眾示警的作用，但必須根據更充分的事實基礎進行消息傳播，雖然新聞當中引用資安專家的示警，但關於這些情資內容的真實度與可靠度，看不出是否由此人或其他資安專業人員協助進行驗證與查核，對於風險分析邏輯描述也相當簡略，導致所有看到這些報導的人難以判斷事態是否真的如此嚴重。

更大的影響在於，該報導於7月23日與7月25日具體列出多家臺灣企業受影響，使得這些企業成為輿論焦點，但其內容沒有說明向任一公司查證的狀況；而另一家網路科技媒體在7月25日的跟進報導，也具體指出多家臺灣企業的網域可在威脅情資業者Hudson Rock業者提供的FortiBleed Checker資料庫中查到，再次掀起波瀾。這三篇報導一出，加上未見更進一步的企業現況追蹤報導，導致後續掀起一場波及眾多企業的輿論風暴。

例如，這些消息曝光後，大家更想了解這些被駭客點名的企業是否遭駭。而被點名或列於清單的企業，有些也不得不發布公告澄清，使得這起事件演變為資訊落差下的企業公關危機，徒增溝通成本。

根據我們聯繫的狀況來看，已有企業發布公告說明已做好妥善處理而不受影響，甚至有企業表明本身並非Fortinet用戶。同時，針對此消息對企業帶來的實際影響，我們在7月25日（週日）到7月30日（週四）盡可能聯繫被駭客點名的96家企業，以及可在Hudson Rock「FortiBleed Checker」查到的多家臺灣業者，讓關注此消息的民眾瞭解這些企業的實際影響與處置作為。

詢問被點名的部分企業，這些公司均表示不受影響，也坦然說明被駭客點名與被列入FortiBleed Checker的因應現況

例如，報導初期提及有駭客公開販售疑似臺灣企業湧盛電機的企業管理存取權限，聲稱可存取基礎設施管理介面、核心防火牆及硬體安全模組（HSM）等高權限系統。對此，當日興櫃公司湧盛電機於7月23日發布澄清報導的重大訊息，指出檢視防火牆登入記錄，確認並無外部入侵的情形，同時也補充說明其他因應措施。

●遭駭客點名96家業者的回應與處理現況

中華資安

中華資安是被媒體製表點名的資安業者之一，也是我們最早聯繫與獲得回應的業者，該公司於7月26日（週日）向我們說明為何該公司網域會出現在FortiBleed，該公司指出其原因為該公司先前銷售Fortinet原廠設備給客戶，協助客戶向原廠申請授權與技術支援，導致該公司網域出現在駭客情資中，並非本公司有任何資安事件影響。

由於相關報導受到大量民眾轉載，中華資安於7月27日（週一）再次發布更完整的澄清聲明，他們強調公司內部資訊系統運作一切正常，並無遭受任何入侵、資料外洩或安全性影響。同時指出，基於審慎原則，該公司亦已同步完成內部所有資安與網通設備之全面盤查，確認均處於安全無虞狀態。

除了說明公司內部現況，中華資安在新的聲明中也進一步針對客戶服務層面提出說明。該公司表示，其資安情資團隊早在今年6月中旬，便透過CISA、Hudson Rock、SOCRadar等多個國際資安情資管道主動掌握相關訊息，並於第一時間完成相關設備的清查與客戶通報。同時，該公司也已提供受影響客戶明確的緊急應變程序與強化防護指引。另外，該公司也於公司官方網站發布「中華資安國際針對近日FortiBleed情資報導之澄清與說明」並更新內容。

安碁資訊

另一家被媒體製表點名的資安業者是安碁資訊，該公司回覆指出這起事件早在一個月前就已經處理。安碁資訊表示：該公司情資蒐集團隊早在距離6月18日的一個多月前已接獲相關情資， 就立即啟動內部清查程序。經查， 該設備係於單一客戶端之終端設備，並非位於本公司內部環境。 當下立即將該設備下架封存，並由鑑識團隊進行調查。經確認， 該設備未發現設定遭竄改、橫向感染或機敏資訊外洩等情形。同時，本公司亦全面清查所有權管設備之安全設定， 經檢視未發現其他設備存在類似或潛在安全風險。

在說明公司內部現況之外，安碁資訊也進一步說明協助客戶的行動。在6月18日，他們發布「F0202_2410.FortiBleed資料外洩事件影響台灣等194個國家說明與建議」，通知客戶做好因應的防範措施。

臺灣大哥大

臺灣大哥大是被媒體製表點名的唯一一家電信業者，該公司回覆表示，他們在6月就已得知這次風險情資並因應。該公司表示，自6月中收集到本次風險相關情資，即持續密切追蹤，目前未有異常存取情形，未來將持續收集相關情資，為全體用戶確保服務與網路正常運行。

鼎新數智

這次被媒體製表點名的軟體業者有2家，鼎新數智是其中之一，該公司針對這波媒體報導事件提出說明。他們表示，有關該FortiBleed公開報告所列之名單，經評估，僅顯示相關網域曾被列入樣本資料，並未提供任何可直接證明該公司防火牆遭成功登入、或內部系統遭入侵之具體證據；而在他們獲悉Fortibleed此情資時，已於第一時間完成內部整體的資安防護檢視與紀錄確認，目前核心系統與營運狀況均在完全受控且安全的狀態下。

該公司也說明客戶服務層面處理方式，他們表示，名單中提及部分該公司的企業客戶，基於保護客戶安全的責任，已正積極主動聯繫相關客戶採取行動，並由鼎新專業資安團隊直接提供必要的技術支援。

精誠金融科技

精誠金融科技是另一家被媒體製表點名的軟體業者，該公司回覆已注意到上述這些報導，並表示這些報導雖顯示有這樣的情資，並不代表被點名的公司就發生問題，目前，他們沒有發現任何證據顯示有狀況。至於在Hudson Rock的FortiBleed Checker查到該公司網域，他們表示早在上個月就處理，已強化邊界防護並持續監控，目前沒有發現相關狀況，系統也不受影響。

瑞昱半導體

半導體業者也被媒體製表點名，其中之一是瑞昱半導體。該公司表示，經內部確認， 瑞昱截至目前並未發現遭入侵或異常存取的跡象， 並已預防性完成相關檢視與必要的安全強化措施。針對近日外部資安情資提及多家臺灣企業一事， 瑞昱已主動進行內部清查與防護強化。

上銀科技

上銀是被媒體製表點名的唯一一家自動化業者，該公司回覆表示，他們於6月25日即收到這項資訊，當時已經處理因應。

遊戲橘子

遊戲橘子表示，在獲知訊息的第一時間，他們已啟動資安應變程序，並針對該起事件進行調查，強化系統檢核，以維護用戶與合作夥伴權益為最優先。

全智網科技

全智網表示，他們已在7月27日於自家公司網站發布【關於FortiBleed事件全智網科技聲明】，這也是繼媒體報導後，第三家公開發出聲明的企業（前兩家為湧盛、中華資安）。全智網表示，指出近日媒體報導有關FortiBleed資安漏洞與企業名單的相關新聞，全智網於第一時間主動啟動資安應變程序與全面排查，確認公司無任何資料外流，公司核心營運系統未受影響，並且客戶與學員資料安全無虞。

此外，全智網也針對技術細節做出詳盡說明。該公司指出，報導中所指的Fortinet設備，SSL VPN遠端連線功能從未啟用，並提及雖然系統日誌顯示有外部自動化探測行為，但因功能未開啟，攻擊者根本無法建立連線，更未曾取得任何存取權限。

●被列入Hudson Rock「FortiBleed Checker」企業的回應與處理現況

新光人壽

台新新光金控表示已獲悉媒體報導，並指出在先前的通報盤點過程中已處理完畢。該公司解釋，受影響站點僅為業務據點，與內部網路無關，主因是該處掛載新光人壽憑證才被列入名單。

中華電信

中華電信表示，他們早在6月掌握相關情資後立即展開查核。經確認，情資所揭露之設備並非本公司內部使用設備，亦非本公司資訊系統遭受攻擊或入侵所致；本事件與本公司關鍵基礎服務無關。本次情資提及本公司名稱，是因為通路體系過去提供Fortinet原廠銷售設備給客戶時，依原廠作業流程，於原廠Partner Portal註冊程序中使用公司的FortiSupport Partner帳號，以提供後續產品註冊及技術支援服務，致使本公司網域資訊出現在外部情資資料中。相關情資僅反映原廠產品的註冊關聯資訊。此外，該公司之前就已主動聯繫相關通路夥伴，至6月26日止，已完成客戶相關設備之安全強化與風險控管作業，確保設備資安防護符合相關要求。

遠傳電信

遠傳電信表示公司內部資訊系統運作一切正常，並無遭入侵或資料外洩情事。FortiBleed Checker網頁中提及3筆疑似遠傳網址，經確認皆非屬本公司內部資訊環境。

騰曜網路科技

騰曜回覆事件已經處理，同時提供相關細節資訊。騰曜表示，該網址是之前幫客戶代管，與Hudson Rock聯繫後，得到的資料確認是先前代管時的帳號密碼外洩，並與先前代管的客戶聯繫，已確認在結束代管時帳號已經刪除，確切時間應該至少超過一年。同時，他們先前已告知客戶關於FortiBleed的防範措施。

凌羣電腦

凌羣回覆表示，公司內部亦已全面清查，並未受到影響，同時說明更多細節。凌羣指出，在6月知曉FortiBleed事件的當下，即已取得此兩筆資料被列入的消息，經過確認，此兩個外洩的網址，非本公司使用，而是該公司先前銷售予客戶的Fortinet設備，於產品註冊時使用凌羣電腦提供服務的電子郵件地址來協助客戶向原廠申請授權及技術支援等事項，因此查詢時才會出現本公司的資料。此外，該公司表示已於第一時間通知客戶，並協助客戶因應。

新光三越

新光三越表示不受影響，公司雖於非營運系統使用FortiGate設備，但並未開放任何可從外部遠端存取的功能；針對IP位址被列入FortiBleed資料庫，推測可能是廠商測試時留下的紀錄。他們也補充指出，美國CISA於6月發布的情資已要求更新憑證與密碼，他們在獲悉相關情資時，便已依照指引完成處置。

智邦生活館

智邦生活館表示不受影響。該公司表示，經內部IT與工程團隊確認，智邦生活館並未使用Fortinet相關產品或設備，因此不受近期FortiBleed事件影響。另外，關於Hudson Rock所提供的FortiBleed Checker查詢結果中出現智邦生活館相關資訊，他們進一步確認後，指出該網站所列示的是使用本公司免費電子郵件服務的帳號資訊，並非代表智邦生活館本身的網站、系統或網路設備受到FortiBleed影響，也不代表本公司使用Fortinet產品。

昇頻

昇頻表示，在獲悉FortiBleed資安事件後，該公司已立即啟動相關資安應變程序，在第一時間完成FortiGate防火牆軟體更新，並同步檢視設備設定與運作狀況。經確認，目前系統並未啟用本事件所涉及的SSL VPN或其他VPN功能，相關設定不受影響。同時，現階段亦未發現任何防火牆遭異常登入或疑似遭受入侵的跡象。

日藥本舖

日藥本舖回覆表示不受影響，指出FortiBleed Checker資料庫中的該網域確實為該公司，該公司也是Fortinet用戶，但防火牆只是該公司防護一部分，內部系統也不直接對外而不受漏洞影響。

茂訊電腦

茂訊回覆表示，該公司沒有使用Fortinet VPN。

關於更多事件剖析

綜觀上述受點名企業的回應，可發現多數業者均積極針對FortiBleed憑證外洩事件提供進一步說明，此種主動透明的態度值得肯定。而我們也發現臺灣有兩篇部落格文章，盡可能針對這波媒體報導消息進行解析，釐清事件資訊落差，因此我們也建議可從這些研究人員角度了解相關脈絡。這兩篇部落格文章分別是：波波的寂寞世界FortiBleed臺灣企業名單：FortiGate憑證外洩與IAB分析，以及OIS Threat Rcserch網站Dinion發布的「Roiese」臺灣企業存取權兜售事件：FortiBleed外洩的二次散布。

'

產業出身接棒，龔化中8月1日就任第三任資安院院長一職

來源：https://www.ithome.com.tw/news/177774

國家資通安全研究院（資安院）董事會正式拍板，由前任副院長龔化中接任新任院長，並於8月1日正式上任。

龔化中是在前任院長林盈達於6月22日正式對外請辭後，由董事會展開新任院長遴選程序，經徵詢與評估多位適合人選後，最終決議由他接棒。

與前兩任院長不同的是，龔化中並非出身公務體系或學術界，而是長期深耕產業界資安與物聯網（IoT）安全領域。

龔化中在加入資安院之前，他曾擔任網路儲存設備大廠威聯通（QNAP）技術長暨資安長，長期投入網通設備與物聯網產品的安全設計；加入資安院後，也曾擔任副院長職務，協助推動供應鏈安全、關鍵基礎設施防護及AI資安等工作，對院務運作及產業生態均相當熟悉，因此成為此次接任院長的最佳人選。

資安院內部資安事件延燒，林盈達為預算請辭扛責

資安院今年初於例行內部資安稽核時，主動發現有員工利用爬蟲程式違規存取院內電子公文、電子表單等系統，院方隨即依程序主動向調查局報案，並配合後續偵辦。

調查局於今年3月發動第一波約談後，資安院依據內部掌握的數位跡證，解聘3名涉案員工；5月調查局再展開第二波偵辦，約談另外4名員工，資安院也立即對4人做出暫停職務處分，靜待檢調調查結果。

整起事件從發現異常、啟動內部調查、保存數位證據到主動報案，皆由資安院自行透過內部稽核機制發現並依法處理，就事件處置程序及院長職責而言，並無重大疏失，也符合資安事件處理的標準作業程序。

然而，此案仍引發立法院高度關注，並牽動數位發展部及資安院相關預算審查。林盈達認為，若持續留任，擔心會讓該起資安事件，成為立法院審查預算時的焦點，甚至影響資安院後續業務推動，因此於6月22日主動向董事會提出辭呈，表示願意承擔行政責任，希望避免事件成為預算無法順利通過的藉口，並於完成7月底改善報告後正式卸任，提早結束自陽明交通大學借調至資安院三年半的任期。

資安院三年三任院長，公務、學界、產業各領風騷

資安院於2023年1月1日依組織條例正式掛牌成立，是由數位發展部監督的行政法人組織，首任院長由曾任總統府第二局局長、前國家發展委員會主任秘書的何全德出任，代表典型的公務體系資歷。

何全德卸任後，由陽明交通大學講座教授、時任資安院副院長林盈達接棒，帶來學界的研究能量與治理視角，並於任內推出「資安院2.0計畫」，聚焦外網曝險分析、AI關聯情資與供應鏈資安等重點業務。

如今龔化中接任院長，成為資安院成立三年以來，第一位出身產業界的院長。三任院長的背景轉換，某種程度反映資安院正從草創期的組織建置、政策設計，逐步走向必須更貼近產業實務與市場需求的階段。

「產業資安化、資安產業化」，業界出身院長被寄予厚望

長期以來，「資安即國安」與「產業資安化、資安產業化」都是政府推動資安政策的核心主軸，前者強調各機關與關鍵基礎設施必須落實資安防護，後者則期待透過扶植本土資安產業，讓資安能量成為可對外輸出的產業實力。

過去兩任院長分別來自公務體系與學術界，雖然在政策協調與技術研究上各有優勢，但外界一直期待資安院能有更貼近企業實務的視角，理解產業界在導入資安機制時面對的成本、人才與市場壓力。

龔化中在威聯通任內即長期參與國內高科技業界的資安治理座談，推動企業資安委員會設置與產品安全應變小組（PSIRT）觀念，並在加入資安院後，持續就供應鏈攻擊、ICT產品漏洞與AI資安威脅等議題對外分享觀察。

業界人士認為，由具備第一線產品資安與企業治理經驗的龔化中掌舵，有助於資安院在推動「產業資安化、資安產業化」政策時，更精準對接業界需求，加速資安技術與服務的產業化落地，同時強化資安院與國內資安廠商、供應鏈之間的合作黏著度。

資安院的四大職掌與新院長的當務之急

依組織條例，資安院的業務範圍涵蓋研發資安科技、推動資安技術應用與移轉、產學服務及國際交流，協助政府機關及關鍵基礎設施進行資安防護與重大資安事件應變，並負責規劃與培育資安專業人才。

資安院內設有檢測防禦中心、通報應變中心、威脅分析中心、前瞻研究籌獲中心、國際合作及資安治理中心與人才培力中心等單位，人力規模約在180人至200人之間，董事會以往由數位發展部部長兼任董事長，第二屆的董事兼董事長則由前國安會諮詢委員李德財擔任，其餘董事成員則涵蓋數位部政務次長、資安署署長、資安產業署署長，以及國安會、國防部指派的當然董事，並有多位學者專家代表。

對龔化中而言，接任院長職務後，除了延續既有的關鍵基礎設施防護、漏洞獵捕與國際合作等業務，如何在內部駭侵事件的陰影下，重建同仁士氣與外部信任，同時落實董事會行政調查小組先前作成的4項決議，包括成立專責資訊與資安單位、強化資安管理與治理機制、釐清權責劃分表及行政督導機制、提具改善方案，都是他上任後必須立即面對的當務之急。

李漢銘籲新院長能勿忘初心，打通四大難關

對於這次資安院院長異動，前國家安全會議諮詢委員、前國立臺灣科技大學資訊工程系特聘教授李漢銘也對外提出他的觀察與期許。

他指出，資安院成立三年來已歷經三位院長交接，這背後其實反映的是組織尚未解決的結構性問題，新院長上任後首要之務，是重建內部同仁之間的團結與信任。

李漢銘進一步說明，由於資安院是整併多個單位的技術與行政人力而成，若不同背景的同仁彼此信任與默契不足，日常運作中的嫌隙就可能在關鍵時刻影響資安任務的執行。

其次，李漢銘也提醒，財務體質同樣是資安院必須正視的老問題。由於院方經費長期仰賴各部會的委辦計畫預算，欠缺穩定的公務預算來源，前線資安人員也容易因單一計畫的撥款狀況而影響任用穩定性，導致人才流失。

第三，他認為新院長必須真正掌握國際AI威脅的第一手動態，不能只有「以AI做防護」的技術計畫，而要即時因應AI攻擊造成的資安威脅，讓資安院的能量跟上國際AI攻防的變動速度。

最後，李漢銘也提到，資安院今年新編列一支專責處理關鍵基礎設施資安防護的「快打隊」，如何在既有的組織架構下妥善分工、讓救火任務與人才培育相輔相成，同樣是新院長必須面對的課題。

李漢銘強調，唯有先正視並打通這些內部難關，前線的資安尖兵才能真正有底氣走上第一線戰場，團結一心對外禦敵，這也是他對新任院長「勿忘初心」的期許。

李漢銘的提醒，某種程度也點出龔化中上任後必須面對的現實：如何在扮演國家資安智庫與政策執行者角色的同時，重建內部團隊信任、穩定財務結構、掌握AI資安新戰場，並讓資安院真正成為支撐臺灣「資安即國安」戰略的堅實後盾，將是外界持續觀察的重點。

產業界對資安院的期待，能與市場更緊密接軌

事實上，龔化中在產業界原本就有一定的能見度與人脈，過去多年他持續在臺灣資安通報應變年會、CYBERSEC臺灣資安大會等重要場合，就企業資安治理、供應鏈攻擊、IoT設備資安設計等議題發表觀察，也曾與國內多家高科技廠商的資安主管同臺，討論企業資安委員會與產品安全應變小組（PSIRT）的建置經驗。

先前擔任資安院副院長職務時，更帶領臺灣資軟硬體和安業者積極投入因應歐盟《網路韌性法案》（Cyber Resilience Act，CRA），該法案的核心規範涵蓋軟硬體產品資安設計、強制漏洞通報及全生命週期安全要求。《網路韌性法案》將於2026年9月11日起強制執行漏洞通報，並於2027年12月11日全面適用。

部分資安產業人士認為，這樣的資歷有助於龔化中在接任院長後，讓資安院的政策工具與服務設計更貼近企業的實際痛點，而非僅停留在政府機關與關鍵基礎設施的防護框架之內。

也有業界聲音期待，未來資安院能藉由龔化中的產業人脈，強化與國內資安新創、資安服務業者之間的合作，協助更多本土資安技術與服務打入國際供應鏈，真正落實「資安產業化」的政策目標。

隨著8月1日正式上任，龔化中將是資安院成立以來第一位真正從產業第一線走進來的院長，他能否在延續既有政策方向的同時，回應外界對內部信任重建、財務體質改善與AI威脅因應的期待，讓資安院從草創期的組織磨合，走向更成熟穩健的下一個階段，將是接下來各界持續觀察的焦點。

'

工作流程自動化平臺n8n表達式沙箱再遭繞過，工作流程編輯者可執行主機命令

來源：https://www.ithome.com.tw/news/177769

工作流程自動化平臺n8n修補一項高風險漏洞。已登入且能建立或修改工作流程的使用者，可利用特製的程式碼避開表達式沙箱限制，在執行n8n的主機上執行系統命令。官方已在n8n 2.31.5與2.32.1完成修補，建議使用者升級至這些版本或後續版本。

n8n可將不同網路服務串接成自動化流程，並允許使用者在流程節點中加入JavaScript表達式，處理前一個步驟傳來的資料。為防止這些程式碼直接接觸伺服器底層環境，n8n設有表達式沙箱，也就是將程式碼限制在特定範圍內執行的隔離機制。

該漏洞與沙箱處理箭頭函式（Arrow Function）的方式有關。箭頭函式是JavaScript中較精簡的函式寫法，部分省略大括號、直接傳回單一運算式的箭頭函式，過去未套用原有的變數替換與檢查程序。攻擊者可藉此接觸原本應由沙箱隔離的Node.js全域物件，再呼叫作業系統功能。

新版已補上檢查程序，確保直接傳回單一運算式的箭頭函式，其中使用的變數會從受限制的資料環境取得，而不是連到n8n主機的Node.js執行環境。開發團隊也加入測試，確認這類表達式無法再取得主機中的Node.js全域物件，也無法藉此透過內建模組執行系統命令。

雖然該漏洞並非未登入即可利用，攻擊者還是必須先取得有效帳號，以及建立或修改工作流程的權限，不過，一旦成功利用，原本僅能編輯自動化流程的使用者，就可能以n8n服務程序擁有的權限操作主機。

n8n今年2月曾修補表達式沙箱漏洞CVE-2026-27577，同樣可能讓具備工作流程編輯權限的使用者在主機上執行命令。資安公司Security Joes研究團隊為確認該漏洞的修補措施是否仍可被繞過，重新檢視n8n對不同JavaScript語法的處理方式，發現直接傳回單一運算式的箭頭函式未納入完整檢查，因而找到這項新的沙箱繞過漏洞。

無法立即升級的管理員，可暫時限制n8n執行個體的存取，並只讓完全可信任的使用者建立或編輯工作流程，但官方表示這些措施無法完全排除風險。

'