iThome
253 件日付不明
Cloudflare推出後量子地理金鑰管理，限定私密金鑰使用地區
網路服務與資安業者Cloudflare公布地理金鑰管理服務PQ GeoKey Manager，加入後量子密碼學（PQC）防護，讓企業指定哪些地區的伺服器可以解密及使用私密金鑰。目前這項服務已進入封閉測試階段，預計2027年第一季正式推出。新架構將先應用於Cloudflare On…
AI代理為完成任務卻外洩企業資料，逾1.3萬個內部檔案遭公開至GitHub
AI程式開發代理可能為了完成任務，自行採取不安全的操作方式，導致企業內部資料外洩。資安業者Glow旗下Glow Labs先前揭露PixelLeak事件，發現部分AI代理自行將企業內部截圖與錄影檔案上傳至GitHub公開儲存庫，讓未經授權的第三方也可能存取這些原本不對外公開的資料。…
Google Brotli漏洞恐造成資訊洩漏及阻斷服務，.NET、PHP與Linux陸續修補
Google開發的開源資料壓縮程式庫Brotli存在越界寫入漏洞CVE-2026-111497，攻擊者可透過特製壓縮資料觸發記憶體破壞，導致阻斷服務或資訊洩漏。資安業者Imperva先前公布名為Node2Shell的漏洞研究結果，證實攻擊者在特定條件下可利用受影響的Node.js…
HPE修補網路作業系統ArubaOS 72個漏洞，含8個CVSS滿分重大漏洞
HPE於10月22日公告修補Aruba網路作業系統ArubaOS（AOS）共72個漏洞，涵蓋企業無線網路使用的控制器、閘道器、無線AP及虛擬控制器等設備。受影響版本包括AOS-10的10.8.1.1、10.7.2.6、10.4.1.13及更早版本，以及AOS-8的8.13.3.0…
【資安日報】10月27日，91APP遭駭事件查出ARTEX攻擊痕跡，顯示不只日韓，臺灣也出現相關攻擊案例
● 91APP遭駭事件發現ARTEX攻擊痕跡，顯示臺灣出現相關攻擊案例 ● eMudhra憑證事件波及Python，pip緊急更新，更新系統憑證仍不足 ● 不只影響Node.js，Node2Shell漏洞恐波及其他開發工具及應用程式 ● 逾90萬個無法直接取得修補的舊版PHP執行…
日本GMO旗下Onamae雲端桌面日前遭駭，證券及外匯交易帳戶傳異常，最新公告緊急要求用戶斷網關機
日本GMO集團旗下網際網路基礎設施業者GMO Internet發生資安事件，旗下主打外匯自動交易等用途的「Onamae.com Desktop Cloud」雲端桌面服務，遭到駭客入侵，部分客戶陸續反映證券及外匯交易帳戶出現未經授權的交易操作，後續亦確認客戶資料外洩。為了因應後續攻…
雲端平臺Railway客戶環境變數遭解密，駭客疑鎖定AI服務金鑰
雲端應用程式部署平臺Railway公布資安事故初步調查結果，駭客入侵內部系統，部分客戶的機密環境變數已遭解密，約10萬個工作空間可能受到影響，最多占全體工作空間1.85%。Railway研判，攻擊者鎖定AI服務API金鑰，可能企圖用於模型蒸餾。
OpenAI新模型GPT-6.1 Terra強化視覺與電腦操作，API價格僅Sol一半
OpenAI推出GPT-6.1 Terra，強化視覺判讀與電腦操作能力，讓AI代理能以較低成本執行日常工作。新模型的標準API輸入與輸出價格均為GPT-6.1 Sol的一半，現已開放開發者使用，並提供給ChatGPT Work與Codex的付費用戶。
SBOM清單也可能遭竄改，歐盟ENISA發布技術指南，提出生命週期安全防護建議
為提升軟體供應鏈透明度，歐盟網路韌性法（CRA）要求產品製造商履行相關資安義務，包括提供軟體物料清單（SBOM）等要求，然而，SBOM不只要盤點軟體元件，還須確保清單正確、持續更新，並防範竄改。歐盟網路安全局（ENISA）於10月22日正式發布SBOM技術指南，提出六階段生命週期…
阿里巴巴Qwen模型異常嘗試向北京上傳資料，推理紀錄卻稱不呼叫工具
加拿大AI業者Cohere發現阿里巴巴開放權重模型Qwen3.8-Flash-Next，會在執行資安任務時，未經指示檢查系統環境，並試圖將測試字串上傳至北京的阿里雲儲存空間。模型的推理紀錄稱不會呼叫工具，實際操作卻與紀錄不符，對外連線最後遭沙箱阻擋。
四大金融機構聯手博通，提供630億美元融資助Anthropic擴充AI算力
美國銀行（Bank of America）、黑石集團（Blackstone）、花旗集團（Citi）及摩根士丹利（Morgan Stanley）周一（10/26）聯合宣布，將與晶片大廠博通（Broadcom）合作，推出總額630億美元的融資方案，協助AI新創Anthropic擴充運…
美國CISA警告PHP2Shell遭到積極利用
上週PHP開發團隊公布及修補的重大漏洞CVE-2026-109618、CVE-2026-109619（統稱PHP2Shell）震驚全球，美國網路安全與基礎設施安全局（CISA）在呼籲用戶立即修補相關弱點後，本週也掌握遭積極利用的證據並提出警告。10月26日CISA將上述兩個漏洞列…
Brotli解壓縮漏洞也影響.NET，微軟緊急發布臨時更新修補
微軟10月25日發布.NET臨時（Out-of-Band）安全更新，緊急修補Brotli解壓縮漏洞。應用程式若解開攻擊者提供的惡意壓縮資料，可能讓未經身分驗證的攻擊者讀取或破壞程式記憶體，造成資料外洩、服務中斷或權限提升。此次更新也修補Linux封裝的檔案擁有權問題，並修正10月…
全球四大會計師事務所之一的PwC證實遭駭，Everest聲稱竊得590GB資料
全球四大會計師事務所之一PwC於10月23日證實，託管其員工學習紀錄的第三方廠商發生資安事件，但受影響的外部平臺並未存放客戶資料、敏感個資或財務資訊，PwC獲知該事件後已迅速採取措施保護相關環境並展開調查，未影響該公司網路與營運。PwC尚未公布事件實際發生時間、受影響資料類型與規…
韓國警方偵破利用ARTEX發動攻擊的嫌犯，涉及入侵逾90家機構、竊取820萬筆個資
開源AI滲透測試框架ARTEX接連遭駭客濫用，近日韓國警方偵破首起利用該工具從事網路犯罪的案件，首爾警方10月26日宣布逮捕一名曾任滲透測試員的男子，其涉嫌入侵90多家企業及機構、竊取約820萬筆個資，並與6名共犯聯手向部分受害企業勒索。
美國CISA警告雲端版辦公室軟體Collabora Online漏洞遭積極利用
10月23日美國網路安全與基礎設施安全局（CISA）表示，他們根據漏洞遭到積極利用的證據，更新已遭利用的漏洞名單（KEV）內容，其中一個漏洞是CVE-2026-110447，存在於雲端服務Nextcloud的雲端版辦公室軟體應用程式Collabora Online Built-i…
Arista旗下SD-WAN集中管理平臺VCO零時差漏洞已遭積極利用
10月22日Arista發布資安公告，企業內部網路環境建置的SD-WAN集中管理平臺VeloCloud Orchestrator（VCO）存在重大等級的SQL注入漏洞CVE-2026-114625，遠端攻擊者有機會藉此得到存取內部特殊權限的功能，CVSS嚴重程度評分為9.9（CV…
Shadowserver示警逾90萬個停止支援的舊版PHP實例暴露於公開網路，台灣也有1.3萬個
近日揭露的PHP2Shell漏洞，掀起全球範圍的網站資安風暴。資安監測組織Shadowserver於10月27日表示，其蜜罐誘捕系統過去一週觀察到大量針對PHP的攻擊嘗試，雖然尚未確認成功利用情形，但由於目前缺乏對PHP2Shell漏洞的可靠大規模偵測方法，他們未直接標記相關漏洞…
健身服務公司柏文電子商城委外廠商遭駭，會員訂單資料疑似外洩
健身服務公司柏文（8462）於10月23日，在股市公開資訊觀測站發布重大訊息，電子商城平臺的委外服務廠商發生資安事件，並出現會員反映疑似有電子商城訂單資料外洩情形。該委外服務廠商的Commerce Cloud資料庫遭到攻擊，部分資料遭未經授權存取，其內容包含柏文電子商城訂單資料，…
中國駭客Storm-0940利用自主AI框架ARTEX發動大規模攻擊，並藉ConnectWise憑證滲透企業雲端
近期利用開源AI滲透測試框架ARTEX發動網路攻擊的案例接連曝光，不只南韓金融機構、日本大量企業遭到攻擊，臺灣91APP的資安事件也發現使用相關工具的入侵痕跡，但這些攻擊事件的幕後攻擊者及彼此關聯仍未完全釐清。微軟10月21日則發布一份關於中國駭客利用ARTEX的研究報告，指出駭…
Meta啟動950億美元融資計畫，Nvidia等三大晶片商有意認購
Meta周一（10/26）宣布啟動大規模股權融資計畫，總規模上看950億美元，以支應AI基礎設施投資。其中350億美元已啟動公開發行，另規畫明年透過無投票權Class C股票募資600億美元。Nvidia、AMD及博通（Broadcom）也表達合計認購最多50億美元股票的意向。
馬斯克的Grok AI版奧德賽已上線
Grok Imagine團隊上周末透過X公布由Grok Imagine生成的奧德賽第一集。
微軟公布醫療AI協調器MAI-DxO，複雜病例診斷準確率達人類醫師2.3倍
微軟研究團隊公布AI協調器MAI-DxO最新測試成果，能協調多個AI代理人模擬醫師小組進行討論，使複雜案例的診斷準確率是一般人類醫師將近2倍。
日本摩斯漢堡系統外包商遭駭，外洩逾113萬筆預付卡資料
日本摩斯漢堡上週公告，因系統管理委外商遭未授權存取，導致旗下預付卡MOS卡（MOS Card）有113萬3,070筆卡片資料外洩，包括卡號、PIN碼及餘額資訊。