iThome・開發與網路
127 件日期不明
Linux核心、VMware ESX漏洞遭積極利用
10月28日美國網路安全與基礎設施安全局（CISA）發布公告，他們更新了已遭利用漏洞名單（KEV）內容，根據遭到積極利用的證據增列兩個新漏洞。這些漏洞是：Linux核心特定變數缺乏初始化造成的漏洞CVE-2026-46300（Fragnesia），以及VMware ESX事件記錄…
Google發表Gemini 4 Carbon，綜合能力評測登頂、資安表現創新高
Google周三（10/28）發表新一代AI模型Gemini 4 Carbon，在第三方評測機構Artificial Analysis最新的綜合能力指數中，以59分排名第一，並在漏洞發現、利用驗證及修補等3項資安基準測試中創下最佳成績。考量模型強大的資安能力及潛在濫用風險，Goo…
中選會候選人財產申報網站出包，背景查詢資料竟含1,573名候選人身分證字號，初判委外廠商疏失
年底地方選舉進入倒數，中選會候選人財產申報網站卻出現資安問題，當民眾開啟該網站查詢頁面時，包含候選人身分證字號的資料就會一併傳送至瀏覽器，即使網頁畫面並未顯示相關資訊。中選會於10月28日證實，初判是委外廠商產製公告資料時，將身分證字號載入非公開查詢的檔案所致，昨日已完成程式修正…
【資安日報】10月28日，Google Brotli漏洞恐造成資訊洩漏及阻斷服務，.NET、PHP與Linux陸續修補
● Brotli漏洞恐造成資訊洩漏及阻斷服務，.NET、PHP與Linux陸續修補 ● LiteLLM公布供應鏈攻擊後續調查，外洩金鑰讓駭客操控發布流程 ● 日本GMO Onamae遭駭，交易帳戶出現異常，要求用戶斷網關機 ● 美國NIST發布PQC遷移路線圖，傳統公鑰演算法20…
重大漏洞PHP2Shell傳出駭客成功利用，於伺服器執行Shell指令
上週PHP開發團隊公布及修補統稱為PHP2Shell的重大漏洞CVE-2026-109618、CVE-2026-109619，找出漏洞的資安公司Wiz與Calif皆透露，若非借助AI的力量，研究人員難以找出具有實際破壞威力的資安漏洞，換言之，攻擊者想要找出利用的方法，難度應該也相…
北韓駭客鎖定216臺PHP主機掃描PHP2Shell漏洞，臺灣列入目標範圍
PHP修補震驚全球的重大漏洞PHP2Shell，很快就成為攻擊者躍躍欲試的目標。資安公司Cyfirma警告，在PHP開發團隊於10月21日公布PHP2Shell之後，隔天疑似與Lazarus有關的北韓駭客組織，就鎖定全球存在PHP2Shell漏洞的網路主機進行偵察與掃描，並篩選出…
Google TPU將進駐甲骨文OCI，2027年起與GPU並列AI運算選項
Google與甲骨文宣布合作，計畫2027年起在甲骨文雲端基礎架構（OCI）提供Google自行設計的AI加速晶片TPU。OCI將成為Google以外首家提供TPU的超大規模雲端業者（Hyperscaler），企業未來可在同一雲端選擇GPU或TPU，執行AI模型訓練、微調及推論等…
漏洞懸賞計畫ZDI傳出將尚未修補的Linux核心漏洞公開
上週震驚全球的PHP重大漏洞PHP2Shell，在協調修補及公布之前就被曝光，提前走漏風聲的研究人員隨之遭到撻伐。然而，事隔數日，又傳出有尚未完成修補的漏洞提前公開，而成為外界焦點。在PHP2Shell、Node2Shell等嚴重漏洞爆發之際，Linux核心漏洞意外提前公開的情況…
蘋果為iOS及iPadOS 18用戶修補已遭利用的圖形處理框架CoreGraphics漏洞
10月26日蘋果為旗下的行動裝置、電腦、穿戴裝置推出一系列的27.2版更新，其中macOS Golden Gate 27.2修補的漏洞有263個最多，iOS與iPadOS 27.2為163個居次。不過，這次該公司為舊版行動裝置作業系統提供的更新也值得留意，因為當中修補了先前公布、…
接近1千個電商網站被滲透，攻擊者利用Magento資安漏洞植入後門
本週美國網路安全與基礎設施安全局（CISA）警告，電商平臺Adobe Commerce與Magento危險類型檔案上傳未受限制漏洞CVE-2026-48356（PolyShell）遭積極利用，將其加入已遭利用的漏洞名單（KEV），不久前有資安公司揭露，該漏洞被用於長期鎖定此類電商…
Dream-1模型可零樣本控制不同雙臂機器人，現開放API測試
機器人AI新創公司Dream Labs推出Dream-1模型，官方提到，即使沒有新機型的訓練資料，也能控制不同的雙臂機器人完成抓取、堆疊及擺放物品等任務。該模型已開放API供開發者測試，目前主要支援配備平行夾爪的雙臂機器人。
Apple同步推出macOS與iOS/iPadOS 27.2版，修補286個漏洞
Apple於10月26日同步推出macOS Golden Gate與iOS/iPadOS的27.2版，兩份安全公告分別列出263個與163個漏洞，合計426個，由於約有140個漏洞同時影響兩組系統，扣除重複項目後，涉及的獨立漏洞共286個。
韓國SMB最大ERP業者Douzone Bizon兩週內接連傳出資安事件，當局展開調查
韓國最大中小企業ERP業者Douzone Bizon於近2週內先後發布兩個系統的資安外洩事件，當局列為重大事件，已著手調查。
Magento、Brotli漏洞遭積極利用
10月27日美國網路安全與基礎設施安全局（CISA）表示，他們根據掌握漏洞遭到積極利用的證據，將兩個新漏洞加入已遭利用的漏洞名單（KEV）。這些漏洞是：電商平臺Adobe Commerce與Magento危險類型檔案上傳未受限制漏洞CVE-2026-48356（PolyShell…
Veeam修補Backup & Replication、Backup for Microsoft 365與Veeam One重大漏洞
備份與資料保護軟體廠商Veeam於10月27日同步修補旗下3款產品資安漏洞，涵蓋主力備份產品Backup & Replication 13與Backup for Microsoft 365 8.5，以及監控管理平臺Veeam ONE 13.1。
Google發布Chrome 156更新，修補逾50個資安漏洞
10月27日Google發布穩定通道的Chrome更新，一共修補52個資安漏洞，從嚴重程度來看，4個為重大等級，46個為高風險等級。評為重大等級的弱點被登記為CVE-2026-118306、CVE-2026-118331、CVE-2026-118348，以及CVE-2026-11…
Mozilla發布Firefox大改版159，修補逾100個高風險漏洞
Mozilla基金會於10月27日正式推出Firefox 159大改版，揭露並修補167個資安漏洞，其中108個被評為高風險，影響範圍涵蓋JavaScript引擎、DOM、WebRTC、網路通訊，以及圖形處理等元件。此次修補的漏洞類型包括同源政策繞過、沙箱逃逸、權限提升、資訊洩露…
天良接獲消費者反映個資疑似外洩，委外平臺資料庫遭自動化攻擊
生技公司天良（4127）於10月27日，在股市公開資訊觀測站發布重大訊息，近日接獲消費者反映個資疑似外洩，調查結果顯示，公司委外服務平臺業者提供的資料庫發生自動化攻擊事件，部分資訊遭非法擷取。天良獲悉相關情事後，已立即聯繫委外服務平臺業者，要求對方釐清公司相關資料是否受到影響，以…
Linux基金會調查揭資料基礎架構風險，資安漏洞居首
Linux基金會（The Linux Foundation）公布2026年開放資料基礎架構調查，發現58%受訪者關注資料基礎架構的資安漏洞風險，在各項風險中比例最高；法規遵循，以及資料在不同工具或環境中的暴露風險，則各有33%受訪者關注。在選擇資料平臺時，79%受訪者認為資安與法…
Google Brotli漏洞恐造成資訊洩漏及阻斷服務，.NET、PHP與Linux陸續修補
Google開發的開源資料壓縮程式庫Brotli存在越界寫入漏洞CVE-2026-111497，攻擊者可透過特製壓縮資料觸發記憶體破壞，導致阻斷服務或資訊洩漏。資安業者Imperva先前公布名為Node2Shell的漏洞研究結果，證實攻擊者在特定條件下可利用受影響的Node.js…
HPE修補網路作業系統ArubaOS 72個漏洞，含8個CVSS滿分重大漏洞
HPE於10月22日公告修補Aruba網路作業系統ArubaOS（AOS）共72個漏洞，涵蓋企業無線網路使用的控制器、閘道器、無線AP及虛擬控制器等設備。受影響版本包括AOS-10的10.8.1.1、10.7.2.6、10.4.1.13及更早版本，以及AOS-8的8.13.3.0…
【資安日報】10月27日，91APP遭駭事件查出ARTEX攻擊痕跡，顯示不只日韓，臺灣也出現相關攻擊案例
● 91APP遭駭事件發現ARTEX攻擊痕跡，顯示臺灣出現相關攻擊案例 ● eMudhra憑證事件波及Python，pip緊急更新，更新系統憑證仍不足 ● 不只影響Node.js，Node2Shell漏洞恐波及其他開發工具及應用程式 ● 逾90萬個無法直接取得修補的舊版PHP執行…
日本GMO旗下Onamae雲端桌面日前遭駭，證券及外匯交易帳戶傳異常，最新公告緊急要求用戶斷網關機
日本GMO集團旗下網際網路基礎設施業者GMO Internet發生資安事件，旗下主打外匯自動交易等用途的「Onamae.com Desktop Cloud」雲端桌面服務，遭到駭客入侵，部分客戶陸續反映證券及外匯交易帳戶出現未經授權的交易操作，後續亦確認客戶資料外洩。為了因應後續攻…
SBOM清單也可能遭竄改，歐盟ENISA發布技術指南，提出生命週期安全防護建議
為提升軟體供應鏈透明度，歐盟網路韌性法（CRA）要求產品製造商履行相關資安義務，包括提供軟體物料清單（SBOM）等要求，然而，SBOM不只要盤點軟體元件，還須確保清單正確、持續更新，並防範竄改。歐盟網路安全局（ENISA）於10月22日正式發布SBOM技術指南，提出六階段生命週期…