iThome
216 件日付不明
甫修補的WordPress漏洞9分鐘後即出現嘗試利用活動
上週WordPress開發團隊發布7.1.4版安全更新，總共修補22個資安弱點，然而有資安公司發現，駭客在開發團隊公布相關資訊後，不到10分鐘就試圖利用其中部分的弱點。資安公司Wordfence提出警告，他們在WordPress開發團隊發布公告之後，於9分鐘後首度偵測到遠端程式碼…
Hugging Face遭惡意模型濫用，31個儲存庫散布挖礦程式與後門
資安公司Pluto Security揭露名為Load/Mine的惡意軟體活動，攻擊者利用AI模型分享平臺Hugging Face散布偽裝成Qwen2測試模型的惡意程式。研究人員追蹤到分布於7個Hugging Face帳號的31個惡意模型儲存庫，另有13個相關模型，累計下載次數達3…
AI應用開發平臺Langflow修補2項重大漏洞，攻擊者可繞過身分驗證或遠端執行程式碼
IBM指出開源AI工作流程開發平臺Langflow存在多項安全漏洞，其中兩項重大漏洞的CVSS風險評分均達9.8分，攻擊者可能從遠端繞過身分驗證，或在不需登入的情況下執行任意程式碼。受影響版本為Langflow OSS 1.0.0至1.12.8，官方已推出1.13.0修補。
Drupal揭露已遭利用的Commerce Core模組重大漏洞
10月28日開源內容管理系統Drupal開發團隊提出警告，電商模組Commerce Core存在已遭利用的存取控制繞過漏洞CVE-2026-118539，攻擊者可利用此漏洞存取原本受到限制的路徑及欄位，進而對電商網站的財務造成影響，在Drupal的嚴重程度評分裡，被評為21分（滿…
Cloudflare改造DNS更新流程，處理延遲從7.7秒降至3.3秒
Cloudflare公開DNS更新架構改造成果，讓部分區域設定變更不必重新處理整個DNS區域，只需更新受影響的紀錄及相關資料，並整合工作排程。DNS變更發生到寫入內部儲存系統的處理延遲中位數由7.7秒降至3.3秒，尖峰記憶體用量減少85%，完整區域重建次數也下降約40%。
APT駭客利用惡意軟體框架NetamLoader攻擊亞洲政府機關
隨著國際局勢越來越緊張，近期針對政府機關的網路間諜活動也不時傳出，然而現在有一起活動相當特別，攻擊者竟是針對專為政府客製化的Windows 10作業系統而來，這種情況並不常見。
政府機關Linux主機被鎖定，駭客借助AI力量生成惡意程式，意圖竊取郵件與社群平臺帳號
駭客借助AI的力量從事網路攻擊，已變得相當氾濫，最近資安公司Palo Alto Networks發現一起攻擊活動，駭客疑似利用大型語言模型（LLM）或自動化AI代理程式協助撰寫攻擊工具，引起研究人員的注意。駭客組織CL-UNK-1211自2025年10月至2026年4月，鎖定政府…
Marvell砸1,150億美元收購Lumentum，整合AI晶片與光通訊技術
美國半導體大廠Marvell周一（11/2）宣布，將以全股票交易方式收購光通訊元件大廠Lumentum，交易企業價值約1,150億美元，預計2028年上半年完成。雙方將整合AI晶片、網路交換及光通訊技術，強化下一代AI資料中心的高速互連能力。Marvell預估，合併後可服務的市場…
Anthropic調整Claude Code提示詞，限制AI重製現有遊戲
Anthropic近日證實為開發工具Claude Code等加入新機制，避免使用者用其Claude Code和Opus 5.5來重製知名電玩遊戲造成侵害智慧財產權。
AI工作流程平臺Trigger.dev遭駭，攻擊者未經授權存取部分客戶環境變數
AI工作流程平臺Trigger.dev於11月1日公布資安事件，證實攻擊者未經授權存取部分客戶組織的環境變數。該公司表示已封堵攻擊途徑，並通知受影響客戶採取補救措施，但沒有公開攻擊方式、受影響組織數量及遭存取的環境變數內容。
中國駭客濫用AI滲透測試框架ARTEX攻擊，於全球逾200個企業組織從事網路間諜活動
最近一個月AI滲透測試框架被用於攻擊活動的情況，不時有消息傳出，臺灣、日本、韓國皆出現相關資安事故，繼微軟揭露中國國家級駭客組織Storm-0940發動全球性大規模攻擊後，有其他駭客組織跟進，在短短的半個月內對超過200家企業組織從事相關活動。資安廠商CrowdStrike揭露中…
Android遭揭露「死亡簡訊」漏洞，可癱瘓手機通訊服務
資安研究人員Mark Blaszczyk近日揭露Android通訊服務漏洞CVE-2026-58882，將其稱為「SMS of Death」（死亡簡訊）。攻擊者只要知道受害者的電話號碼，就能傳送特製的WAP Push簡訊發動零點擊阻斷服務攻擊，無須使用者開啟訊息或點擊連結，由於這…
歐洲能源巨擘ENGIE合作夥伴平臺遭駭，部分法國客戶資料外洩
法國能源集團ENGIE於10月下旬證實發生資料外洩事件，該公司合作夥伴使用的客戶開發與能源方案行銷工具出現異常資料存取活動，調查後確認遭未經授權者入侵，部分法國客戶資料因此外洩。ENGIE已切斷攻擊者的存取權限並展開調查，但尚未公布受影響客戶人數，以及遭入侵的合作夥伴名稱。
歐洲7國逾115家超市冷凍設備遭駭客操控，遠端調高溫度導致食品損失
10月上旬法國數百家超市冷凍冷藏控制系統遭網路攻擊，駭客鎖定Danfoss控制系統遠端啟動除霜功能，造成大量食品報廢，如今類似的攻擊事故在其他歐洲國家蔓延。根據BBC、資安新聞網站Bleeping Computer與Help Net Security的報導，11月2日比利時、盧森…
TWCA CA憑證序號亂數不足遭Mozilla揭露，數發部要求換發並啟動第三方檢測
Mozilla Bugzilla近期揭露TWCA憑證合規事件，引發臺灣公開信任憑證體系的關注。根據Bugzilla編號2087236的事件紀錄，研究人員分析TWCA簽發的CA憑證後發現，其憑證序號（Serial Number）雖有128 bits長度，但真正由密碼學安全亂數產生的…
KDE開發新終端機Kwi，結合Ghostty函式庫與GPU加速繪圖
KDE公布實驗性終端機模擬器Kwi，結合Ghostty的libghostty-vt函式庫與Qt Quick繪圖架構，透過GPU加速繪製終端機畫面。Kwi主要供KDE Plasma及其他自由桌面環境使用，官方表示，依測試項目不同，效能約為現有終端機Konsole的3至35倍。
蘋果Q4營收成長12%創同期新高，iPhone與Mac業務強勁成長
蘋果（Apple）周一（11/2）公布截至9月26日的2026財年第四季財報，營收年增12%至1,145億美元，創歷年9月季度新高；營業利益（Operating Income）成長10%至356億美元，淨利（Net Income）成長12%至307億美元，每股盈餘成長14%至2.…
Anthropic第三季本業再度轉虧，算力承諾逼近9,000億美元
AI新創Anthropic周一（11/2）向美國證券交易委員會（SEC）提交修訂版S-1上市申請文件，揭露第三季營收年增1,127%至170億美元，但營業損失（Operating Loss）達5.67億美元，較第二季獲利9.74億美元再度轉虧。此外，Anthropic已簽訂的採購…
西班牙Amadeus遭駭波及多國航空公司，日本、韓國、馬來西亞等至少12家航空公司受影響
西班牙航空資訊系統業者Amadeus的系統遭未授權存取，事件已波及多國航空公司。日本、南韓、馬來西亞與香港已有至少12家航空公司及1家航空訂位系統服務業者發布相關公告，部分業者確認旅客訂位資料遭未授權查閱。
國泰、澳航、馬航也成Amadeus系統資料外洩受害者
國泰航空（Cathay Pacific）、澳洲航空（Qantas Airlines）及馬來西亞航空（Malaysia Airlines）上周先後公布因航空訂位系統供應商Amadeus系統資安事件，導致大批客戶個資外流。
思科開源AI代理偵測工具Quarry，可分析多步驟操作找出可疑行為
網路設備與資安業者思科（Cisco）開源AI代理行為偵測工具Project Quarry，可分析AI代理執行任務期間的工具呼叫、工具執行結果及各項操作的先後順序，協助資安團隊辨識可疑行為。
2026年第3季DDoS攻擊次數年增208%，短時間攻擊考驗企業防禦能力
網路服務與資安業者Cloudflare公布2026年第3季分散式阻斷服務（DDoS）攻擊趨勢，該公司在旗下全球網路攔截1,820萬次網路層DDoS攻擊，較去年同期增加208%，平均每小時約8,226次。其中96%的攻擊持續不到10分鐘，98%的攻擊流量速率低於1Gbps。不過，超…
PQC導入TLS面臨效能挑戰，交握延遲增加、防火牆相容性問題浮現
隨著後量子密碼學（Post-Quantum Cryptography，PQC）逐步應用於TLS連線，交握期間需要傳輸的資料量也可能增加，進而延長連線建立時間，甚至影響既有網路設備的正常運作。資安業者Red Sift近期彙整Google、Cloudflare及多項學術研究，分析PQ…
荷蘭資安業者Hadrian獲4,000萬美元投資，擴展AI代理滲透測試業務
荷蘭資安業者Hadrian宣布完成4,000萬美元B輪募資，累計募資金額達6,500萬美元。Hadrian計畫將新資金投入歐洲、中東、非洲及美國的業務擴展，並增加工程與研究投入。