iThome・開発・ネットワーク
116 件日付不明
惡意Markdown指引檔企圖誘使Codex安裝惡意套件，AI程式開發代理面臨攻擊風險
資安業者Forever Security近日揭露一起利用惡意Markdown檔案攻擊AI程式開發代理的事件。研究人員在客戶電腦的下載資料夾發現惡意AGENTS.md檔案，攻擊者企圖誘使OpenAI Codex修改設定並安裝名為function-color的惡意NPM套件，但資安防…
AI加快漏洞發現，CSA提出VulnOps模式改善企業漏洞管理
AI加快漏洞發現速度，但企業確認漏洞影響、測試修補程式及部署更新仍需要時間。雲端安全聯盟（Cloud Security Alliance，CSA）提出VulnOps漏洞管理模式，主張企業不應只依賴定期掃描及批次修補，而應持續追蹤並處理漏洞，避免新發現的安全問題不斷累積。
行動App安全規範與技術持續更新，執行環境防護與白箱加密成焦點
行動應用安全雖是發展多年的成熟議題，但相關政策指引、國際標準與防護技術仍持續演進。近日，在臺代理Digital.ai應用程式防護解決方案的叡揚資訊，介紹這方面的政策與標準趨勢，以及白箱密碼學等技術進展，也讓我們進一步注意到行動應用安全領域的最新防護動向。
GitHub開源AI原型工具Replica，可參考企業設計規範製作互動介面
GitHub開源AI原型工具Replica，讓設計師、產品經理及工程師透過GitHub Copilot應用程式，以自然語言製作可操作的介面原型。Replica能參考團隊既有的設計元件、介面規範與文件產生畫面，並能搭配自行架設的Replica Hub協作平臺，分享原型及收集同事意見…
Google推出Connected Apps平臺，第三方應用可一次串接Gemini與搜尋
Google推出Connected Apps Platform預覽版，讓第三方開發者透過MCP將自家服務功能提供給Gemini與Google搜尋使用。開發者可在Connected Apps開發平臺註冊、測試及提交審查，雲端MCP伺服器可讓服務在Gemini、Google搜尋或兩者…
【資安日報】10月29日，北韓駭客鎖定216臺PHP主機掃描PHP2Shell漏洞，臺灣列入目標範圍
● 北韓駭客鎖定216臺PHP主機掃描PHP2Shell漏洞，臺灣被列入目標 ● macOS 27.2仍未封鎖eMudhra問題憑證，Git與curl恐遭中間人攻擊 ● 中國駭客打造攻擊框架Silent Train，用於攻擊美國關鍵基礎設施 ● Tailscale SSH轉送功能…
Tailscale釋出1.104.4安全更新，修補SSH與Serve功能共4項漏洞
虛擬私人網路（VPN）服務Tailscale發布1.104.4版安全更新，修補先前揭露的SSH權限提升漏洞，並處理SSH記憶體耗盡，以及讓其他裝置存取本機服務的Serve功能所存在的權限檢查問題。此次更新涵蓋4項安全漏洞，可能造成一般使用者越權存取、主機遭接管，或導致Tailsc…
甫修補的Oracle E-Business Suite重大漏洞遭到利用
上週Oracle發布今年第4次關鍵修補更新（CPU），修補超過1,200個漏洞，近期有漏洞遭到利用而引起資安公司注意。威脅情報公司Defused Cyber於10月27日，在他們的Oracle E-Business Suite（EBS）誘捕系統當中，首度偵測到嘗試利用CVE-20…
中國駭客Volt Typhoon綁架連網設備打造攻擊框架Silent Train，用於攻擊美國關鍵基礎設施
中國駭客組織Volt Typhoon的活動3年前首度浮上檯面，當時這些駭客綁架多個廠商的網路設備建立殭屍網路KV Botnet，藉此隱匿地攻擊美國關鍵基礎設施。然而，在殭屍網路遭到執法單位圍剿後，這些駭客建置更為隱密、複雜，且動態的攻擊基礎設施，持續從事相關活動。
GitHub發表能在單一任務內跨模型協同的Copilot Fusion
微軟GitHub本周宣布Copilot Fusion協調系統已提供給開發人員，可讓Copilot自行依任務協調多個模型以完成工作。測試顯示比只用Claude Opus 5.5省一半成本。
OT廠商與產品
由於PHP廣泛應用於各類資訊系統，部分工業環境中的系統也可能採用PHP建置的網頁介面或管理平臺，因此，近期揭露與修補的PHP2Shell漏洞不僅影響全球7成網站伺服器，也對部分IT與OT產品供應商造成重大影響，許多人因此聯想到4年前爆發的Log4Shell漏洞風暴。
macOS 27.2未修補eMudhra憑證風險，Git與curl仍可能遭中間人攻擊
Apple於10月26日推出macOS 27.2，但系統內建的Git、curl及Python 3等工具，仍可能接受印度憑證業者eMudhra已撤銷的問題憑證。研究人員10月28日公布測試，顯示攻擊者若能攔截或重新導向網路連線，可能冒充GitHub等網站，讓開發者下載遭竄改的程式碼…
Adobe發布10月下半更新，修補8個Campaign Classic重大漏洞
10月27日Adobe發布10月第二次例行更新，為Campaign Classic、Adobe Connect、Creative Cloud，以及Substance 3D Painter提供修補程式。其中最值得留意的部分是行銷自動化平臺Campaign Classic，Adobe…
Linux核心、VMware ESX漏洞遭積極利用
10月28日美國網路安全與基礎設施安全局（CISA）發布公告，他們更新了已遭利用漏洞名單（KEV）內容，根據遭到積極利用的證據增列兩個新漏洞。這些漏洞是：Linux核心特定變數缺乏初始化造成的漏洞CVE-2026-46300（Fragnesia），以及VMware ESX事件記錄…
Google發表Gemini 4 Carbon，綜合能力評測登頂、資安表現創新高
Google周三（10/28）發表新一代AI模型Gemini 4 Carbon，在第三方評測機構Artificial Analysis最新的綜合能力指數中，以59分排名第一，並在漏洞發現、利用驗證及修補等3項資安基準測試中創下最佳成績。考量模型強大的資安能力及潛在濫用風險，Goo…
中選會候選人財產申報網站出包，背景查詢資料竟含1,573名候選人身分證字號，初判委外廠商疏失
年底地方選舉進入倒數，中選會候選人財產申報網站卻出現資安問題，當民眾開啟該網站查詢頁面時，包含候選人身分證字號的資料就會一併傳送至瀏覽器，即使網頁畫面並未顯示相關資訊。中選會於10月28日證實，初判是委外廠商產製公告資料時，將身分證字號載入非公開查詢的檔案所致，昨日已完成程式修正…
【資安日報】10月28日，Google Brotli漏洞恐造成資訊洩漏及阻斷服務，.NET、PHP與Linux陸續修補
● Brotli漏洞恐造成資訊洩漏及阻斷服務，.NET、PHP與Linux陸續修補 ● LiteLLM公布供應鏈攻擊後續調查，外洩金鑰讓駭客操控發布流程 ● 日本GMO Onamae遭駭，交易帳戶出現異常，要求用戶斷網關機 ● 美國NIST發布PQC遷移路線圖，傳統公鑰演算法20…
重大漏洞PHP2Shell傳出駭客成功利用，於伺服器執行Shell指令
上週PHP開發團隊公布及修補統稱為PHP2Shell的重大漏洞CVE-2026-109618、CVE-2026-109619，找出漏洞的資安公司Wiz與Calif皆透露，若非借助AI的力量，研究人員難以找出具有實際破壞威力的資安漏洞，換言之，攻擊者想要找出利用的方法，難度應該也相…
北韓駭客鎖定216臺PHP主機掃描PHP2Shell漏洞，臺灣列入目標範圍
PHP修補震驚全球的重大漏洞PHP2Shell，很快就成為攻擊者躍躍欲試的目標。資安公司Cyfirma警告，在PHP開發團隊於10月21日公布PHP2Shell之後，隔天疑似與Lazarus有關的北韓駭客組織，就鎖定全球存在PHP2Shell漏洞的網路主機進行偵察與掃描，並篩選出…
Google TPU將進駐甲骨文OCI，2027年起與GPU並列AI運算選項
Google與甲骨文宣布合作，計畫2027年起在甲骨文雲端基礎架構（OCI）提供Google自行設計的AI加速晶片TPU。OCI將成為Google以外首家提供TPU的超大規模雲端業者（Hyperscaler），企業未來可在同一雲端選擇GPU或TPU，執行AI模型訓練、微調及推論等…
漏洞懸賞計畫ZDI傳出將尚未修補的Linux核心漏洞公開
上週震驚全球的PHP重大漏洞PHP2Shell，在協調修補及公布之前就被曝光，提前走漏風聲的研究人員隨之遭到撻伐。然而，事隔數日，又傳出有尚未完成修補的漏洞提前公開，而成為外界焦點。在PHP2Shell、Node2Shell等嚴重漏洞爆發之際，Linux核心漏洞意外提前公開的情況…
蘋果為iOS及iPadOS 18用戶修補已遭利用的圖形處理框架CoreGraphics漏洞
10月26日蘋果為旗下的行動裝置、電腦、穿戴裝置推出一系列的27.2版更新，其中macOS Golden Gate 27.2修補的漏洞有263個最多，iOS與iPadOS 27.2為163個居次。不過，這次該公司為舊版行動裝置作業系統提供的更新也值得留意，因為當中修補了先前公布、…
接近1千個電商網站被滲透，攻擊者利用Magento資安漏洞植入後門
本週美國網路安全與基礎設施安全局（CISA）警告，電商平臺Adobe Commerce與Magento危險類型檔案上傳未受限制漏洞CVE-2026-48356（PolyShell）遭積極利用，將其加入已遭利用的漏洞名單（KEV），不久前有資安公司揭露，該漏洞被用於長期鎖定此類電商…
Dream-1模型可零樣本控制不同雙臂機器人，現開放API測試
機器人AI新創公司Dream Labs推出Dream-1模型，官方提到，即使沒有新機型的訓練資料，也能控制不同的雙臂機器人完成抓取、堆疊及擺放物品等任務。該模型已開放API供開發者測試，目前主要支援配備平行夾爪的雙臂機器人。