iThome・開発・ネットワーク
127 件日付不明
阿里巴巴Qwen模型異常嘗試向北京上傳資料，推理紀錄卻稱不呼叫工具
加拿大AI業者Cohere發現阿里巴巴開放權重模型Qwen3.8-Flash-Next，會在執行資安任務時，未經指示檢查系統環境，並試圖將測試字串上傳至北京的阿里雲儲存空間。模型的推理紀錄稱不會呼叫工具，實際操作卻與紀錄不符，對外連線最後遭沙箱阻擋。
Brotli解壓縮漏洞也影響.NET，微軟緊急發布臨時更新修補
微軟10月25日發布.NET臨時（Out-of-Band）安全更新，緊急修補Brotli解壓縮漏洞。應用程式若解開攻擊者提供的惡意壓縮資料，可能讓未經身分驗證的攻擊者讀取或破壞程式記憶體，造成資料外洩、服務中斷或權限提升。此次更新也修補Linux封裝的檔案擁有權問題，並修正10月…
美國CISA警告雲端版辦公室軟體Collabora Online漏洞遭積極利用
10月23日美國網路安全與基礎設施安全局（CISA）表示，他們根據漏洞遭到積極利用的證據，更新已遭利用的漏洞名單（KEV）內容，其中一個漏洞是CVE-2026-110447，存在於雲端服務Nextcloud的雲端版辦公室軟體應用程式Collabora Online Built-i…
Arista旗下SD-WAN集中管理平臺VCO零時差漏洞已遭積極利用
10月22日Arista發布資安公告，企業內部網路環境建置的SD-WAN集中管理平臺VeloCloud Orchestrator（VCO）存在重大等級的SQL注入漏洞CVE-2026-114625，遠端攻擊者有機會藉此得到存取內部特殊權限的功能，CVSS嚴重程度評分為9.9（CV…
Shadowserver示警逾90萬個停止支援的舊版PHP實例暴露於公開網路，台灣也有1.3萬個
近日揭露的PHP2Shell漏洞，掀起全球範圍的網站資安風暴。資安監測組織Shadowserver於10月27日表示，其蜜罐誘捕系統過去一週觀察到大量針對PHP的攻擊嘗試，雖然尚未確認成功利用情形，但由於目前缺乏對PHP2Shell漏洞的可靠大規模偵測方法，他們未直接標記相關漏洞…
Ollama加入串流文字轉語音功能，並整合d3決策模型
本機AI模型執行工具Ollama發布v0.40.11，加入文字轉語音功能，讓搭載Apple晶片的Mac電腦可以將文字或AI聊天模型的回答轉成語音，並在生成過程中同步播放，不必等整段語音完成。新版也整合d3決策模型，可根據文字或圖片內容進行分類、判斷與評分。
不只影響Node.js，Node2Shell漏洞恐波及其他開發工具及應用程式
澳洲科技媒體iTnews近期報導，Node.js日前修補的高風險漏洞Node2Shell，漏洞編號為CVE-2026-111497，可能也影響其他開發工具及應用程式。
Tailscale SSH轉送功能遭揭權限提升漏洞，一般帳號恐取得伺服器最高權限
資安研究人員Erica Windisch揭露，虛擬私人網路（VPN）服務Tailscale內建的SSH遠端登入功能存在權限提升問題，攻擊者若先控制一臺獲准登入的裝置，可能在SSH轉送功能獲得允許的情況下，取得其他伺服器的最高管理權限。Tailscale已展開調查，工程副總裁Mik…
GitLab四項RCE漏洞源頭，指向Ruby正規表示式引擎缺陷
程式語言Ruby官方發布新版本4.0.9、3.4.12及3.3.13，修補正規表示式引擎Onigmo的多項記憶體處理錯誤。問題是在GitLab調查4項可能導致遠端程式碼執行的漏洞時發現，攻擊者可利用特製的正規表示式破壞記憶體，進而在GitLab伺服器執行程式碼。GitLab先前已…
LiteLLM公布供應鏈攻擊後續調查，5月外洩金鑰讓駭客操控官方發布流程
開源AI模型串接工具LiteLLM公布1.107.0版供應鏈攻擊的調查結果，發現攻擊者利用5月外洩後未撤銷的AI代理平臺主金鑰，取得GitHub組織擁有者的存取權杖。攻擊者隨後竊取另外兩名維護者的憑證，最終操控官方發布流程，讓含有竊密程式的版本上架PyPI及容器映像檔儲存庫。
PHP2Shell漏洞修補釋出兩天後，PHP基金會警告還有一個待修補的遠端程式碼執行漏洞
從10月20日起，PHP2Shell漏洞（CVE-2026-109618與CVE-2026-109619）的發現、揭露與修補議題，掀起新一波全球網站資安風暴，兩天後，PHP基金會預告PHP還有一個遠端程式碼執行（RCE）漏洞CVE-2026-115560尚待修補，目前用戶可採取的…
Sophos揭露中國駭客使用改造版Meterpreter，受害範圍涵蓋臺灣
資安業者Sophos近期調查一系列網路入侵事件，發現攻擊者反覆利用合法軟體側載惡意DLL，部署經過改造的Meterpreter後門酬載，並將幕後駭客組織命名為BRONZE SANDCASTLE，研判可能具有中國背景。研究人員分析2025年8月至2026年8月的相關事件，發現受害組…
資安新聞焦點
● 日本首相高市早苗呼籲網站管理者第一時間修補PHP2Shell ● 全臺2.8萬個網站受到PHP2Shell影響 ● 甲骨文緊急修補Java重大漏洞疑與eMudhra中介憑證外洩有關 ● GitLab修補存在12年的滿分漏洞 ●日本遊戲大廠卡普空驚傳會員資料外洩，近200個帳密…
eMudhra憑證事件波及Python，官方緊急更新pip，並提醒僅更新作業系統憑證仍不足
印度數位憑證業者eMudhra旗下emSign部分憑證出現安全問題，可能遭用於中間人攻擊。由於Python部分套件管理工具仍使用信任相關憑證的舊版清單，Python官方10月21日緊急發布安全更新。此次釋出的3.15.1、3.14.9及3.13.17版，更新內附的pip與憑證清單…
拒封盜播網站面臨罰款，Quad9將停止法國免費DNS服務
瑞士非營利組織宣布因不願依照法國法院命令封鎖涉嫌盜播體育賽事的網站，11月24日起將停止向法國使用者提供免費DNS解析與資安防護服務。法國法院10月21日裁定，若Quad9未執行封鎖命令，將面臨每天1,000歐元的罰款。
因應PHP2Shell漏洞衝擊，臺灣資安與郵件系統廠商眾至資訊釋出旗下多個產品線的更新版本
本週揭露與修補的PHP2Shell漏洞（CVE-2026-109618與CVE-2026-109619），不僅影響企業與組織的網站伺服器，也波及採用PHP這套網頁程式語言的企業IT廠商產品，10月22日，臺灣資安與郵件廠商眾至資訊（ShareTech）發布產品資安漏洞應變公告，該…
Node.js修補4項高風險漏洞，Brotli解壓縮錯誤恐讓駭客遠端執行程式碼
Node.js所有仍受支援的版本分支都受到高風險漏洞影響，範圍涵蓋Brotli資料解壓縮、TLS憑證驗證及網域名稱解析等常用功能，Node.js專案於10月21日發布安全更新，修補10項漏洞，其中有4項被列為高風險。修補版本為26.12.1、24.22.1及22.23.4，均已開…
Amazon證實重大漏洞PHP2Shell在揭露前已遭駭客利用
PHP開發團隊於臺灣時間10月21日晚間，修補統稱為PHP2Shell的重大漏洞CVE-2026-109618、CVE-2026-109619，資安公司Palo Alto Networks統計全球可能有超過2千萬臺執行個體（instance）曝險，另一家資安公司Hadrian警告…
【資安日報】10月22日，PHP發布緊急安全更新，修補震驚全球的重大漏洞PHP2Shell
● PHP發布緊急安全更新，修補震驚全球的重大漏洞PHP2Shell ● Node.js修補高風險漏洞，Brotli解壓縮錯誤恐讓駭客遠端執行程式碼 ● Langflow重大遠端程式碼執行漏洞，已觀測逾3,400次攻擊嘗試 ● 印度eMudhra中繼CA私鑰可被還原，瀏覽器緊急封…
CISA呼籲儘速修補PHP2Shell
針對臺灣時間10月21日晚間修補的PHP重大漏洞PHP2Shell（CVE-2026-109618、CVE-2026-109619），同一天美國網路安全與基礎設施安全局（CISA）呼籲，企業組織應立即更新PHP以修復漏洞，因為若不趕快處理，這些漏洞將對企業組織構成嚴重風險。
研究人員借助AI力量找出存在超過10年的資安漏洞PHP2Shell
10月21日PHP開發團隊修補重大漏洞PHPShell（CVE-2026-109618、CVE-2026-109619），震驚全球，通報漏洞的資安公司Wiz同一天也公布發現這批漏洞的過程。他們透露，這兩個漏洞最早可追溯到2012年推出的PHP 5.4版，由於使用多個頂尖AI模型，…
數發部：PHP重大漏洞影響約2.8萬個國內網站，約200個政府機關網站受影響，要求優先修補、必要時暫停服務
全球廣泛使用的網站程式語言PHP近日爆出重大安全漏洞，數發部資通安全署署長蔡福隆在今天行政院會後記者會上表示，由於PHP約占全球網站開發程式語言7成，此次漏洞影響範圍相當廣。資安署於收到PHP官方發布修補程式後，立即啟動專案應變機制、提升政府機關資安警戒，並發布警訊通知政府機關及…
微軟開放Pylance切換型別檢查器，VS Code支援Meta Pyrefly
微軟與Meta合作開發型別伺服器協定（Type Server Protocol，TSP），讓VS Code的Python語言支援套件Pylance，可以改用Meta的Pyrefly進行型別檢查。開發者切換後，仍能使用Pylance原有的程式碼自動完成、提示及GitHub Copi…
PHP2Shell恐源自20年前的嚴重記憶體錯誤
10月21日PHP開發團隊發布及修補統稱為PHP2Shell的重大漏洞CVE-2026-109618、CVE-2026-109619，這些漏洞由資安公司Wiz、Calif，以及AI龍頭OpenAI獨立調查並向PHP通報，其中Wiz指出，這兩個漏洞最早可追溯到2012年推出的PHP…