【資安日報】6月5日，伺服器管理晶片廠商於Computex 2026積極展現資安布局
以伺服器管理晶片BMC產品聞名全球的臺廠信驊科技，在本週舉行的Computex展示以Caliptra安全架構為核心的產品布局。Caliptra是由OCP（Open Compute Project）主導的開源硬體信任根標準，信驊這次展出的多款新一代產品，也使其成為全球首家將Caliptra 2.x版本整合至晶片的廠商，宣示資安防禦已從軟體層全面深化至晶片層，該公司並預期，未來有更多廠商也會跟進。新版晶片亦全面支援後量子密碼學（PQC），確保伺服器韌體在未來量子運算時代，仍能防範韌體遭竄改。
今年Computex首次設立「開源臺灣館」（Open Source Team Taiwan），成為與硬體產品截然不同的展區。事實上，開源已經成為現代IT的重要基礎，因此，企業關注的焦點不再只是是否使用開源軟體，而是如何參與開源專案、建立開源治理能力，以及在供應鏈中維持軟體安全。本次大會亦邀請Apache軟體基金會（ASF）與開放原始碼安全基金會（OpenSSF）社群領袖來臺演說、交流，涵蓋開源治理、開源安全、軟硬體整合以及社群協作等議題。
Perplexity發表混合式本地伺服器推論技術，將敏感資料留在本機處理
在Computex 2026的Intel主題演講裡，AI模型廠商Perplexity展示混合式本地伺服器推論協調器，此為該公司混合式代理推論（hybrid agentic inference）的實作，訴求是部署AI系統需在準確性、隱私、成本三種要求間取得平衡。Perplexity指出，這項方案適合處理敏感資訊，但需要龐大AI分析的應用，包括財務記錄、健康資訊和個人資料。一般來說，準確性需要最強大的模型，但這類模型往往在雲端而難以兼顧隱私，藉由混合式本地伺服器推論協調器，將能把這類機敏資料留在本機處理。
NTLM協定安全問題又一樁，Windows Search URI問題可能導致NTLM驗證資訊外洩
資安公司Huntress近日揭露Windows Search URI導致NTLM雜湊值洩漏的弱點，此問題源自Windows的search-ms: URI處理程序，當使用者點擊包含惡意參數的連結時，系統會解析該URI並自動發起連線至攻擊者控制的SMB伺服器，Windows可能在連線過程中自動發起NTLMv2驗證流程，導致Net-NTLMv2雜湊值洩漏給攻擊者。值得留意的是，此問題的性質與嚴重性，與微軟在4月修補CVE-2026-33829相同，但通報後卻未獲得微軟採納與修補。
研究人員直接公開VS Code資安漏洞，並表明對微軟漏洞通報流程失去信任
資安研究員Ammar Askar於6月2日公布Visual Studio Code（VS Code）一項零時差漏洞，並指出攻擊者只要誘導使用者點選惡意連結，就能竊得GitHub OAuth權杖（token），進而存取使用者的公開與私有儲存庫。這項漏洞之所以受到關注，在於Askar並未依照微軟提供的通報管道處理，而是選擇在VS Code的GitHub專案提出議題（issue），以及發布部落格文章的方式公開漏洞，並表明這麼做的原因，就是他多年前向微軟安全回應中心（MSRC）通報漏洞的不愉快經驗。
WordPress表單外掛Everest Forms Pro漏洞遭積極利用
6月5日資安公司Wordfence提出警告，他們於3月底公開揭露的表單外掛程式Everest Forms Pro漏洞CVE-2026-3300，於4月13日首度偵測到漏洞利用的跡象，並在5月16日出現大規模漏洞利用嘗試活動，當天有超過17,900次攻擊，截至目前為止已出現逾29,300次活動。Wordfence指出，攻擊者會嘗試在具有此漏洞的網站建立新的管理員帳號，而且多半會使用特定的使用者名稱或電子郵件信箱，該公司也提供入侵指標，讓系統管理者檢查網站是否已遭滲透。
Google發布Chrome 149穩定版更新，修補429項安全問題
Google發布Chrome瀏覽器新版本，將Windows與Mac平臺穩定版更新至149.0.7827.53與149.0.7827.54，Linux版本更新至149.0.7827.53，此次改版同時納入429項安全修正，其中包括22項重大漏洞的修補，而最為顯眼的是3項通報者獲頒獎金的重大漏洞。首先是CVE-2026-10881，為圖形處理元件ANGLE的記憶體越界讀取與寫入（Out of bounds read and write）問題，Google給予通報者9.7萬美元獎勵，是近幾個月來Chrome漏洞通報中相對少見的高額獎金。
Google發布ChromeOS長期支援版更新，修補多項重大記憶體安全漏洞
Google推出ChromeOS作業系統長期支援版LTS-144更新144.0.7559.254版，當中修補15項漏洞，有3項漏洞被評為有重大風險，11項有高風險，1項有中度風險。這3項重大漏洞皆為記憶體已釋放卻仍被使用（UAF）問題，嚴重性最高的是CVSS評分達9.0的CVE-2026-9891，問題出在擴充功能（Extensions），其次是CVSS嚴重性評分同為8.8的CVE-2026-9887與CVE-2026-9873，分別存在於代理伺服器（Proxy）與網路元件（Network）。
宏碁本週發布安全公告，預告將對Wave 7家用路由器發布韌體更新，修補2個CVSS風險值10分的安全漏洞。這兩項漏洞編號分別為CVE-2026-49200及CVE-2026-49201。其中CVE-2026-49200屬於存取控制缺陷。攻擊者未經驗證也可經由Web介面存取裝置韌體中的acer_cgi.log檔。這個檔案包含明碼的Web及Telnet登入憑證，而導致非授權存取系統；CVE-2026-49201則是發生在負責處理裝置備份的upload.cgi，當中包含寫死的AES加密金鑰。
Google Gemini語音助理存在漏洞，攻擊者可透過訊息通知來挾持AI
資安公司SafeBreach揭露Google Gemini存在一種新型態的弱點Fake Context Alignment，攻擊者藉由WhatsApp、Slack、簡訊等管道發送通知，並將惡意指令隱藏到另一種國家語言或是靜音連結（muted hyperlinks），就可能讓語音助理執行未經授權的行為。這種弱點可被用於控制智慧家庭裝置、啟動未經授權的影片串流，甚至偽造受信任的聯絡人進行大規模社交工程攻擊，或是污染AI長期記憶內容、建立持續存取的管道而影響廣泛。
新型SymJack攻擊鏈盯上AI程式開發代理，藉核准提示隱藏真正寫入目標
資安公司Adversa AI揭露SymJack新型攻擊鏈，能對於多款協助開發者寫程式、修改檔案與執行命令的AI程式開發代理下手，因此該公司研判是普遍存在的設計瑕疵，而非單一產品問題。攻擊者可準備惡意程式碼儲存庫，讓AI代理執行看似普通的檔案複製動作，但實際內容可能被寫入代理工具的設定檔，並在代理下次啟動時執行攻擊者指定的程式。研究團隊建議，AI程式開發代理應在檔案寫入前解析符號連結的真正目標，避免只依命令文字判斷操作是否安全。
資安公司JFrog揭露竊資軟體IronWorm的攻擊行動，這是以Rust打造的大型惡意程式，能從開發環境抓取多達86種機密資訊，本身可隱匿在eBPF核心rootkit背後運作，並透過Tor連線向操作員回報執行結果。與Shai-Hulud相同的地方在於，IronWorm使用竊得的憑證作為傳播機制，悄悄將惡意程式碼提交至受害者的GitHub儲存庫，並透過受信任的開發者工作流程GitHub Actions發布到NPM儲存庫。JFrog指出，這次攻擊者特別針對加密貨幣與Web3領域而來。
RondoDox殭屍網路鎖定華碩路由器舊漏洞，CVE-2018-5999出現實際濫用跡象
資安漏洞情報業者VulnCheck於5月17日觀察到，殭屍網路RondoDox開始利用華碩路由器漏洞CVE-2018-5999。這項漏洞早在2018年已有公開利用程式，但VulnCheck表示，這是該公司首度觀察到實際濫用跡象。BankInfoSecurity報導指出，這項漏洞可讓未經身分驗證的攻擊者以root權限遠端執行程式碼；VulnCheck技術長Jacob Baines也對BankInfoSecurity表示，有超過100萬臺華碩路由器連接網際網路，形成相當可觀的攻擊面。
駭客入侵大型證券交易所高層電子郵件帳號，潛伏5個月竊取商業情報
Broadcom旗下Symantec與Carbon Black團隊，近日揭露一起鎖定全球大型證券交易所的網路間諜活動。相關跡象最早可追溯至2025年10月，此時攻擊者已取得SYSTEM權限，並部署偽裝成Adobe Acrobat Reader與OneDrive元件的惡意程式，用於展開後續攻擊活動。在5個月的時間中，攻擊者始終專注於逐步竊取單一Outlook信箱的內容，其中內容足以讓攻擊者建構出組織發展方向等重要商業資訊，而無須進一步橫向移動。
駭客利用美國愛國者形象經營社群頻道，掩護詐騙活動，結合生成式AI擴大攻擊行動
透過生成式AI的協助，以往需要一組團隊才能完成的複雜網路攻擊行動，現在單一攻擊者便能執行。趨勢科技研究團隊近日揭露一起以「美國愛國者」形象的Telegram社群頻道為掩護，長達5年的社群操作與網路詐欺活動，近期攻擊者還進一步利用遭越獄（Jailbreak）的Google Gemini AI模型與遭竊API金鑰，將生成式AI用於社群頻道內容生成、憑證竊取、帳號入侵等工作，在Gemini協助下完成大規模的自動化攻擊活動。
資安業者Tenable揭露一種名為download pumping的NPM套件操弄手法，攻擊者會在短時間內大量發布套件新版本，藉此觸發套件庫鏡像站、安全掃描器與分析機器人等自動化系統下載，拉高下載次數與版本歷史，讓惡意套件看起來像是持續維護、具有使用基礎的專案。Tenable舉出惡意套件ambar-src為例，攻擊者曾在兩小時內密集發布428個看似正常的版本，3天後才上傳含有惡意程式碼的新版本，該套件後來累積至724個版本，下載量被推升至約5萬次。
免費憑證簽發機構Let's Encrypt規畫以MTC（Merkle Tree Certificates）作為Web PKI導入後量子身分驗證的主要方案，目標是在2026年稍晚建立可簽發MTC的測試環境，並在2027年建立可供生產使用的環境。該計畫不會立即改變現有Let's Encrypt憑證的申請與續期流程，但顯示Web PKI後量子憑證開始進入具體工程規畫階段。Let's Encrypt並非單純把既有X.509憑證改用後量子簽章，因為這麼做將導致TLS交握需要傳送的驗證資料大幅增加。
HPE將AI對話式互動帶進災難復原管理，Zerto新增AI助理與第3方AI平臺整合
HPE旗下備份與資料保護平臺Zerto近日推出10.9版，新增兩項與AI相關的新功能，包括內建的對話式AI助理（AI Assistant），以及與外部AI用戶端的整合機制Zerto Context Protocol。其中的Zerto Context Protocol，允許外部AI用戶端環境透過標準化介面連接Zerto的ZVM管理平臺。在這個應用架構下，外部AI用戶端是透過OAuth 2授權機制與TLS 1.2+加密通訊協定，來與Zerto的ZVM連線，可透過對話式互動方式，提供系統資訊與功能操作。
【臺灣資安大會直擊】在2025年，群創光電悄悄完成一項組織變革，對於群創光電、對於臺灣製造業的資安史上，這是一個值得記錄的里程碑。群創光電的資通安全部正式從MIS（資訊系統）部門獨立出來，直屬執行長辦公室，並設立資安長（CISO）一職，邀請學者型高階主管林宜隆擔綱。這個組織圖上的移動，看似只是幾條線的重新連接，卻牽動一整套思維方式的根本翻轉——資訊安全，不再只是IT部門底下一個防堵漏洞的執行單位，而是公司戰略決策的核心機制。
【2026臺灣資安年鑑｜國家資通安全研究院院長林盈達】揭露資安院2.0轉型願景，林盈達以AI築數位長城
在臺灣數位發展體系中，隸屬於數位發展部的法人機構國家資通安全研究院，長期扮演技術支援與政策智庫的關鍵角色。不同於一般以研發導向為主的法人單位，資安院自成立以來便肩負著貼近第一線的任務，既要支援政府機關的資安防護，也要回應快速變動的數位威脅環境。如今，在第二任院長林盈達的帶領下，資安院正邁入一場被稱為「資安院2.0」的深層轉型，試圖重新定義國家級資安機構的角色與價值。
近期資安日報
Computex首設開源臺灣館，向國際展現臺灣開源社群實力
開源臺灣館集合了15件臺灣開源社群推動的成果，透過國際電腦展的大型國際科技展覽舞臺，讓國內的開源社群對外展示臺灣的開源社群活力及貢獻。
www.ithome.com.tw
Comments (0)