新着記事
9386 件日付不明
電商ERP業者莫筆克科技遭駭，Shopline更換相關API金鑰，商家匯入ERP的資料恐受影響
繼91APP、1shop、Cyberbiz及meepShop等臺灣電商技術服務業者接連傳出資安事件與疑慮後，我們同時追蹤另一家電商開店平臺Shopline的資安動態，進一步發現該公司於11月3日公告，有商家使用的第三方雲端ERP服務商莫筆克科技（Mallbic雲端小幫手）發生資安…
cPGuard更新通道遭到入侵，近3千臺伺服器被植入惡意程式
伺服器資安防護軟體cPGuard發生供應鏈攻擊事件，駭客滲透其更新基礎設施，導致用戶主機被植入惡意軟體。軟體開發商OpsShield於11月3日指出，攻擊者入侵其帳務及授權伺服器，取得軟體更新所需的存取金鑰，進而竄改cPGuard更新內容，透過軟體更新通道向客戶伺服器散布惡意程式…
OpenAI自建Pando擴充Git後端，推送延遲降低近80%
OpenAI公開自建的Git後端Pando，以因應Codex帶動的大量並行開發工作。Pando在保留Git協定與既有操作方式的前提下，讓不同分支能獨立更新，並重複使用Git資料封裝檔加快資料傳輸。OpenAI表示，切換後程式碼推送延遲中位數降低近80%，每天傳送近1 PB的Git…
Google AI打進本土電信通路，中華電信提供年約月繳方案，降低付費AI使用門檻
生成式AI服務開始從科技公司直接銷售模式，走向在地電信通路。中華電信今天(11/4)宣布和Google擴大合作，將Google AI Plus與Google AI Pro方案納入電信服務體系，消費者除了可直接向Google官方訂閱，也能透過中華電信申辦相關服務。
身分驗證服務公司WorkOS資料外洩，攻擊者透過AI滲透測試框架ARTEX得逞
提供身分驗證與使用者管理服務的WorkOS於11月2日指出，該公司在10月30日發現內部銷售團隊使用的應用程式遭到未經授權存取，攻擊者取得部分客戶關係管理系統（CRM）及客戶支援資料。WorkOS表示，目前尚未發現WorkOS應用程式資料遭到存取的跡象，也沒有證據顯示正式環境服務…
繼91APP遭駭後，1shop、Cyberbiz與meepShop等電商技術服務業者接連傳出資安警訊
臺灣多家電商技術服務業者接連傳出資安事件，繼10月中旬91APP公布遭駭事件後，又有多家業者傳出資安事件與相關疑慮，1shop公告其研判「訂單成立通知信」遭竊取，進入11月後，多家使用Cyberbiz及meepShop服務的品牌也陸續發布資安及防詐公告，提及訂單異常讀取或可能遭未…
11月Android例行安全更新修補216個漏洞
11月2日Google發布每月Android例行更新，一口氣修補216個資安漏洞，這些弱點有119個存在於安卓核心元件，其餘97個存在於第三方元件，用戶應留意裝置製造商的公告，以便新版韌體推出後即時套用。
微軟展示NuGet套件封裝代理技能，開發指引可對應函式庫版本
微軟.NET團隊公布實驗成果，展示將AI代理技能（Agent Skills）封裝進NuGet套件的做法，讓函式庫開發者發布新版本時，可一併提供對應的使用指引。AI程式開發代理可透過相關工具取得技能內容，掌握新版API的使用方式，減少依賴模型既有知識或自行分析程式庫的需求。
新航受Amadeus資安事件波及，約4.6萬筆訂位紀錄可能外洩
新加坡航空向媒體證實，受到Amadeus訂位系統資安事件影響，約4.6萬筆旅客訂位紀錄可能外洩，包括姓名、訂位代號等資料。
Binance揭露63億美元竊案攻擊鏈，駭客以假面試誘使工程師執行惡意程式
全球最大加密貨幣交易平臺Binance公開約63.4億美元加密資產遭竊事件的初步調查，揭露駭客透過假求職面試植入惡意程式，再利用內部AI工具控制其他工程師電腦，取得容器部署權限，進而入侵錢包簽章服務轉走加密資產。
NetApp揭露旗下多款儲存產品受Linux核心TCP漏洞影響
日前揭露的Linux核心TCP漏洞CVE-2026-98432，不僅影響各Linux發行版，也涵蓋基於Linux平臺的其他產品，儲存廠商NetApp便於11月2日發布公告，指出旗下多款儲存產品受此漏洞影響，包括AFF、ASA及FAS系列儲存設備的BMC控制器與Service Pr…
日本三得利集團雲端服務遭駭，員工、合作夥伴及客戶等逾10萬人個資外洩
日本飲料製造商三得利（Suntory）的母公司三得利控股，以及三得利健康本週公告，集團使用的外部雲端服務遭第三方未授權存取，攻擊者下載了部分包含員工、合作夥伴及客戶個資的檔案，逾10萬人的個資因此外洩。
XCPE殭屍網路波及臺灣近9萬臺Android設備，全球排名第5
透過漏洞、弱密碼或惡意程式感染大量設備，進而建立殭屍網路，是駭客常見的攻擊手法，但由設備供應商在產品出廠前便主動植入惡意程式，則是相當特殊的案例。Google近期揭露的XCPE殭屍網路便屬於此類，後門直接預載於Android設備韌體，使設備從交付使用者時便已遭到控制，也讓一般使用…
美國CISA警告WordPress資安漏洞遭積極利用
11月3日美國網路安全與基礎設施安全局（CISA）更新已遭利用的漏洞名單（KEV），原因是他們已掌握新漏洞遭積極利用的證據，該漏洞就是上週公布的CVE-2026-119977，此為檢查時間與使用時間（TOCTOU）競爭條件漏洞，存在於WordPress核心，美國聯邦機構必須在11…
TeamViewer修補反向攻擊漏洞，受控端可藉遠端連線攻擊控制端
廣獲使用的遠端桌面存取軟體TeamViewer於10月27日修補可能導致反向攻擊的高風險漏洞，漏洞編號CVE-2026-111585，CVSS嚴重性評分達8.8分。不同於一般遠端存取工具漏洞多是造成控制端攻擊受控端的情境，這個漏洞允許受控端反過來攻擊發起連線的控制端電腦，問題源自…
Anthropic開源FlashProve，以密碼學驗證AI模型未遭掉包
AI新創Anthropic周一（11/2）發表FlashProve，這是一套利用零知識證明（Zero-Knowledge Proof）技術開發的開源系統，可透過密碼學驗證AI回答是否確實來自指定模型，以偵測服務供應商是否私下替換模型，或遭駭客竄改輸出內容，同時不必公開模型權重等商…
Google釋出Chrome 157修補213個資安漏洞，其中7個為重大等級
Google於11月3日發布Chrome 157大改版，針對電腦版與Android版總計修復213個資安弱點，其中有7個被評為重大等級，涉及Dawn、ANGLE、WebGL、Prerender、Geometry及Core等元件。Windows與macOS用戶需更新為157.0.8…
美國學校掀起AI禁令，Google推引導式學習爭取教育界接受
面對美國大型學區陸續限制學生使用生成式AI，Google周二（11/3）宣布，將引導式學習（Guided Learning）功能整合至Google搜尋與Google Classroom，試圖以不同於直接提供答案的AI教學方式，爭取教育界接受。同時，Google將讓學校自行決定是否…
蘋果開放第三方App整合Siri AI，可透過語音執行複雜任務
蘋果（Apple）周二（11/3）宣布，隨著iOS 27.3、iPadOS 27.3及macOS 27.3測試版推出，所有開發者都可以自家App整合Siri AI，讓第三方App能透過自然語言理解、個人情境及螢幕內容辨識等能力，協助使用者完成訂單查詢、餐廳預訂及購物等操作。蘋果同…
雲端憑證遭竊成LLMJacking攻擊入口，企業AI模型資源被盜用牟利
Google旗下Mandiant公布2026年多起大型語言模型（LLM）資源遭盜用事件的調查結果，這類攻擊稱為LLMJacking。部分攻擊者利用遭竊的雲端存取憑證及API金鑰，未經授權大量使用企業的AI模型服務，部分受害企業因此單日產生超過10萬美元的雲端使用費用。
Aikido併購Cyberly及OutKept推出Noon資安平臺，整合AI工具管理與員工安全防護
比利時資安業者Aikido Security今年9月先後併購波蘭資安業者Cyberly及比利時資安業者OutKept，並整合兩家公司的技術，於10月20日宣布推出員工資安平臺Noon，將原本以應用程式、程式碼及雲端安全為主的業務擴展至企業員工防護。根據創投與新創企業資料平臺Dea…
XCPE殭屍網路控制逾130萬臺機上盒，Google指控Android裝置製造商刻意預載後門
Google威脅情報團隊（GTIG）近日揭露XCPE殭屍網路瓦解行動，這個殭屍網路控制全球超過130萬臺機上盒。Google調查發現，Android裝置製造商Videostrong Technology Co.涉嫌刻意在裝置韌體預載後門程式，並向犯罪合作夥伴販售裝置存取權限，協助…
Node-RED重大漏洞出現攻擊嘗試，駭客企圖執行Linux惡意程式並部署網頁後門
資安漏洞情報業者VulnCheck近日揭露針對Node-RED重大漏洞CVE-2026-58115的攻擊活動。研究人員透過誘捕系統發現，攻擊者利用這項漏洞嘗試下載並執行Linux惡意程式，後續還觀測到試圖部署網頁後門、以便持續執行遠端命令的攻擊手法。
MIT展示權重空間程式設計，GPT-6 Astra可直接讀寫神經網路權重
麻省理工學院電腦科學暨人工智慧實驗室（MIT CSAIL）研究團隊公布實驗，利用GPT-6 Astra直接修改Qwen3.5-0.8B語言模型的神經網路權重，不需重新訓練，就讓MATH-500數學測試正確率從7.9%提高至48.1%。修改範圍僅占模型約0.016%的權重，主要解決…