iThome・開発・ネットワーク
100 件日付不明
永豐銀行發生不明轉帳事件，該行證實新網銀系統程式異常，初步清查影響419名客戶、涉及427筆交易
近期有民眾在社群平臺Threads發文指出，在未經本人操作的情況下，其永豐銀行的個人帳戶被轉出10萬元至其他銀行帳戶，11月3日上午也有多名網友反映類似情況，引發關注。根據中央社引述刑事警察局說明，截至當日中午已受理68件相關報案，報案者多為身分證字號P開頭的男性，P為雲林縣的身…
甫修補的WordPress漏洞9分鐘後即出現嘗試利用活動
上週WordPress開發團隊發布7.1.4版安全更新，總共修補22個資安弱點，然而有資安公司發現，駭客在開發團隊公布相關資訊後，不到10分鐘就試圖利用其中部分的弱點。資安公司Wordfence提出警告，他們在WordPress開發團隊發布公告之後，於9分鐘後首度偵測到遠端程式碼…
Hugging Face遭惡意模型濫用，31個儲存庫散布挖礦程式與後門
資安公司Pluto Security揭露名為Load/Mine的惡意軟體活動，攻擊者利用AI模型分享平臺Hugging Face散布偽裝成Qwen2測試模型的惡意程式。研究人員追蹤到分布於7個Hugging Face帳號的31個惡意模型儲存庫，另有13個相關模型，累計下載次數達3…
AI應用開發平臺Langflow修補2項重大漏洞，攻擊者可繞過身分驗證或遠端執行程式碼
IBM指出開源AI工作流程開發平臺Langflow存在多項安全漏洞，其中兩項重大漏洞的CVSS風險評分均達9.8分，攻擊者可能從遠端繞過身分驗證，或在不需登入的情況下執行任意程式碼。受影響版本為Langflow OSS 1.0.0至1.12.8，官方已推出1.13.0修補。
Drupal揭露已遭利用的Commerce Core模組重大漏洞
10月28日開源內容管理系統Drupal開發團隊提出警告，電商模組Commerce Core存在已遭利用的存取控制繞過漏洞CVE-2026-118539，攻擊者可利用此漏洞存取原本受到限制的路徑及欄位，進而對電商網站的財務造成影響，在Drupal的嚴重程度評分裡，被評為21分（滿…
APT駭客利用惡意軟體框架NetamLoader攻擊亞洲政府機關
隨著國際局勢越來越緊張，近期針對政府機關的網路間諜活動也不時傳出，然而現在有一起活動相當特別，攻擊者竟是針對專為政府客製化的Windows 10作業系統而來，這種情況並不常見。
政府機關Linux主機被鎖定，駭客借助AI力量生成惡意程式，意圖竊取郵件與社群平臺帳號
駭客借助AI的力量從事網路攻擊，已變得相當氾濫，最近資安公司Palo Alto Networks發現一起攻擊活動，駭客疑似利用大型語言模型（LLM）或自動化AI代理程式協助撰寫攻擊工具，引起研究人員的注意。駭客組織CL-UNK-1211自2025年10月至2026年4月，鎖定政府…
Anthropic調整Claude Code提示詞，限制AI重製現有遊戲
Anthropic近日證實為開發工具Claude Code等加入新機制，避免使用者用其Claude Code和Opus 5.5來重製知名電玩遊戲造成侵害智慧財產權。
AI工作流程平臺Trigger.dev遭駭，攻擊者未經授權存取部分客戶環境變數
AI工作流程平臺Trigger.dev於11月1日公布資安事件，證實攻擊者未經授權存取部分客戶組織的環境變數。該公司表示已封堵攻擊途徑，並通知受影響客戶採取補救措施，但沒有公開攻擊方式、受影響組織數量及遭存取的環境變數內容。
Android遭揭露「死亡簡訊」漏洞，可癱瘓手機通訊服務
資安研究人員Mark Blaszczyk近日揭露Android通訊服務漏洞CVE-2026-58882，將其稱為「SMS of Death」（死亡簡訊）。攻擊者只要知道受害者的電話號碼，就能傳送特製的WAP Push簡訊發動零點擊阻斷服務攻擊，無須使用者開啟訊息或點擊連結，由於這…
KDE開發新終端機Kwi，結合Ghostty函式庫與GPU加速繪圖
KDE公布實驗性終端機模擬器Kwi，結合Ghostty的libghostty-vt函式庫與Qt Quick繪圖架構，透過GPU加速繪製終端機畫面。Kwi主要供KDE Plasma及其他自由桌面環境使用，官方表示，依測試項目不同，效能約為現有終端機Konsole的3至35倍。
思科開源AI代理偵測工具Quarry，可分析多步驟操作找出可疑行為
網路設備與資安業者思科（Cisco）開源AI代理行為偵測工具Project Quarry，可分析AI代理執行任務期間的工具呼叫、工具執行結果及各項操作的先後順序，協助資安團隊辨識可疑行為。
全球仍有逾萬臺GitLab執行個體暴露於兩個滿分漏洞威脅，臺灣也有46臺
在GitLab於10月中、下旬，先後揭露與修補兩個CVSS滿分重大漏洞後，資安監測組織Shadowserver於11月2日示警，全球仍有大量GitLab執行個體暴露於這兩個漏洞的風險下，根據其掃描資料，全球每日約有3.9萬臺GitLab執行個體可直接從網際網路觀測，其中逾1.1萬…
Alpine Linux遭GitLab重大漏洞攻擊，重建開發基礎設施防範供應鏈風險
Alpine Linux專案於10月28日揭露其GitLab伺服器遭遇攻擊，迫使其關閉GitLab服務並重建伺服器。問題源自該專案未及時修補CVSS嚴重性達10.0分的GitLab漏洞CVE-2026-97229，導致攻擊者利用此漏洞發動攻擊。
日本公仔業者Good Smile Company遭駭，逾40萬張信用卡部分資料恐外洩，臺灣顧客也可能受影響
日本模型公仔業者Good Smile Company線上商店遭駭，逾40萬張信用卡的部分資訊可能外洩，更嚴重的是，付款頁面還遭到植入惡意程式，受此事件影響期間曾進行付款操作或將商品加入購物車的2,800名顧客，被列為完整信用卡資料可能外洩的對象。值得注意的是，收件地址位於臺灣的顧…
91APP遭駭波及臺灣無印良品，官網購物訂單資料恐外洩，日本MUJI App也傳不同資安事件
91APP遭駭事件波及眾多品牌客戶，該公司10月29日召開重大訊息記者會，公布最新調查結果，指出事件可能影響範圍最多達1,329家品牌。臺灣無印良品也於10月30日發表聲明，指出29日接獲第三方雲端服務商91APP通知，其訂單資料庫遭駭。由於MUJI無印良品官網購物的部分訂單資料…
Ivanti再修補兩個ICS漏洞，CISA已列入KEV警告出現相關攻擊
Ivanti於10月29日更新安全公告，為SSL VPN設備Ivanti Connect Secure（ICS）額外修補兩個漏洞，分別為CVE-2026-111357與CVE-2026-118527。美國網路安全與基礎設施安全局（CISA）隨即於10月30日將這兩個漏洞列入已遭利…
數發部訂定通訊傳播控制系統資安防護基準，2027年元旦生效
營運技術資安資訊分享與分析中心（OT-ISAC）近期盤點亞太地區關鍵基礎設施與營運技術（OT）資安政策變化，其中提到數位發展部已針對依《資通安全管理法》納管的通訊及傳播領域關鍵基礎設施提供者，訂定控制系統資安防護基準。根據數發部9月16日公告，這項新制將於2027年1月1日生效。
Linux基金會旗下AAIF新增4項AI代理開源專案，涵蓋沙箱隔離與技能共享
Linux基金會（The Linux Foundation）旗下代理型AI基金會（Agentic AI Foundation，AAIF）新增4項開源專案，包括Anthropic的Agent Skills、OpenAI的Open Responses、Hugging Face的Ope…
Infisical募資4,000萬美元，擴展AI代理憑證保護與存取管理
美國資安業者Infisical宣布完成4,000萬美元B輪融資，公司估值達6億美元。Infisical將利用本輪募資所得持續開發既有產品，並加碼投入AI代理安全產品的研發。
Cursor市集出現惡意Claude Code擴充套件，攻擊者企圖建立SSH後門
AI程式碼編輯器業者Cursor近日公告，旗下擴充套件市集在10月29日出現遭植入惡意程式碼的Claude Code for VS Code擴充套件，攻擊者企圖在開發人員電腦建立SSH後門。受影響版本為2.1.312及2.1.313，可能有多達5,000名使用者受影響。惡意版本上…
GMI Cloud展示在臺AI Factory設計，AI資料中心的新瓶頸不是機櫃，而是電力
走進GMI Cloud位於桃園的AI Factory，第一個感受到的不是傳統資料中心常見的「密集」。
【資安日報】10月30日，DEVCORE研究員公布在Pwn2Own競賽揭露的Edge攻擊鏈，串連5個弱點突破瀏覽器防護機制
● DEVCORE研究員串連5個弱點突破Edge瀏覽器防護機制 ● 微軟發布Windows緊急更新，移除eMudhra問題憑證的預設信任 ● Tailscale釋出1.104.4安全更新，修補SSH與Serve功能共4項漏洞 ● 惡意Markdown檔案企圖誘使Codex安裝惡意…
群暉NAS遭C3RB3R勒索軟體攻擊，原廠呼籲用戶盡速更新DSM系統
群暉（Synology）於10月29日公告說明近期發生針對旗下NAS設備的C3RB3R勒索攻擊事件，攻擊者利用2024年12月已修補的資安漏洞，包括CVE-2024-10441、CVE-2024-50629，以及CVE-2024-10445，鎖定仍使用舊版DiskStation…