【資安日報】5月18日，臺灣資安廠商DEVCORE於柏林場Pwn2Own奪冠
2026年度資安漏洞利用競賽Pwn2Own柏林場，於5月14日至16日舉行，這次參賽隊伍一共找到47個零時差漏洞，主辦單位Zero Day Initiative（ZDI）總共頒發1,298,250美元獎金。臺灣資安公司戴夫寇爾（DEVCORE）以總分50.5分獲得壓倒性勝利，拿下本次競賽的破解大師（Master of Pwn）殊榮，並贏得505,000美元獎金。第二、第三名的隊伍是STARLabs SG與Out Of Bounds，總共獲得25分與12.75分，贏得242,500、95,750美元的獎金。
微軟揭露Exchange Server存在8.1分重大漏洞，並已偵測到漏洞利用活動
5月12日微軟發布每月例行安全性更新，沒想到兩天後該公司突然又揭露CVSS評分8.1的重大漏洞CVE-2026-42897，受到影響的產品主要是部署於企業內部環境（on-premises）的Exchange Server 2016、Exchange Server 2019，以及Exchange Server訂閱版（SE），Exchange Online不受影響。根據微軟安全應變中心（MSRC）當天發布的安全性更新公告，此漏洞已遭利用（Exploited），微軟也偵測到漏洞遭利用的活動，隔天美國網路安全與基礎設施安全局（CISA）也發布警示，將CVE-2026-42897列入已知遭利用漏洞清單（KEV），要求聯邦機構須在5月29日採取緩解措施。
Windows存在零時差漏洞MiniPlasma，攻擊者可取得SYSTEM權限
Chaotic Eclipse公布資安漏洞MiniPlasma，並強調該漏洞並非他首度發現，而是Google Project Zero團隊於2020年9月向微軟通報，該漏洞被登記為CVE-2020-17103，微軟在2020年12月例行安全性更新已發布更新軟體。然而，Chaotic Eclipse在調查零時差漏洞GreenPlasma的過程發現，當時理應被修補的雲端過濾器驅動程式功能HsmOsBlockPlaceholderAccess，仍存在漏洞——該弱點實際上在6年前就被通報，微軟後續也表明已完成修補，不過，根據他的調查，這項問題迄今依然存在，而且Google當時提供的概念驗證程式碼（PoC），在無須修改的情況下竟能正常運作。
OpenClaw存在漏洞攻擊鏈Claw Chain，攻擊者可用於竄改組態並植入後門
5月15日資安公司Cyera提出警告，他們4月底在開源AI代理整合平臺OpenClaw發現一系列資安漏洞，通報後獲得開發團隊確認並完成修補，由於這個月仍有超過6.5萬個OpenClaw執行個體尚未更新，而暴露在相關漏洞風險之中，有可能成為駭客鎖定的目標，他們呼籲用戶應儘速採取行動因應。這些漏洞登記為CVE-2026-44112、CVE-2026-44113、CVE-2026-44115、CVE-2026-44118，涉及檔案系統隔離、權限提升與資料暴露風險，從個別漏洞的危險程度來看，風險值最高的是CVE-2026-44112，此為檢查時間及使用時間不一致（TOCTOU）的條件競爭漏洞，CVSS風險達到9.6分。
5月13日F5修補網頁伺服器Nginx資安漏洞CVE-2026-42945，此漏洞是在18年前引入，有可能造成伺服器服務中斷（DoS），在特定情況下攻擊者還能用於執行任意程式碼，CVSS v4.0風險為9.2分（滿分10分），VulnCheck漏洞研究員Patrick Garrity於職場社群網站LinkedIn提出警告，他們在5月16日於蜜罐陷阱首度偵測到CVE-2026-42945被積極利用的跡象。雖然Nginx伺服器必須導入特定的重新寫入組態設定才會受到影響，但由於攻擊者無須通過身分驗證就能利用，再加上全球約有570萬臺伺服器尚未套用新版程式，儘管實際上真正存在風險的伺服器數量有限，VulnCheck也並未說明遭到利用的其他細節，但用戶仍應儘速採取防範措施。
Google發布電腦版Chrome 148更新，修補79個資安漏洞
5月12日Google發布電腦版Chrome更新148.0.7778.167、148.0.7778.168，總共修補79個漏洞，從嚴重程度來看，有14個是重大等級、37個屬於高風險等級，其餘28個為中度風險。從漏洞的類型來看，記憶體相關的弱點占大多數，其中又以記憶體釋放後再次存取利用（Use After Free）的漏洞最多，有24個，整數溢位漏洞8個居次、記憶體堆積緩衝區溢位漏洞有6個，記憶體越界讀取與越界寫入的漏洞各有5個。
Mozilla推出Firefox 150.0.3，修補多項JavaScript高風險漏洞
5月12日Mozilla基金會發布Firefox 150.0.3更新，總共修補5個高風險漏洞CVE-2026-8388、CVE-2026-8389、CVE-2026-8390、CVE-2026-8391、CVE-2026-8401。值得留意的是，雖然Mozilla評估這些漏洞都是高風險等級，但根據美國國家漏洞資料庫（NVD）登記的資料，美國網路安全暨基礎設施安全局（CISA）認為最危險的漏洞是CVE-2026-8401，此沙箱逃逸類型的弱點，存在Firefox個人設定檔備份（Profile Backup）元件，CVSS風險評為9.8分（滿分10分）。
Yarbo割草機器人傳出重大安全漏洞，可能遭攻擊者遠端控制，用戶需立即升級新版韌體
近日德國資安研究員Andreas Makris便在GitHub上發表報告， 揭露割草機器人廠商Yarbo，其機器人韌體存在重大安全問題，可能遭到遠端控制，甚至可能危及人身安全。Yarbo是中國漢陽科技旗下品牌，主打北美市場。Andreas Makris揭露的問題包括：系統寫死root密碼（hardcoded root password），內建長期開放的遠端維護通道，以及權限控管不足的MQTT通訊機制等，攻擊者可能藉此從遠端接管設備、存取攝影機畫面，竊取用戶Wi-Fi密碼與GPS位置資訊，甚至只要入侵單一設備後，就可能進一步橫向控制整個機器人群組，亦即同時控制多臺機器人。
新駭客基礎架構出現，加速裝置碼釣魚、竊取Microsoft 365權杖
資安公司Proofpoint發現近日出現新的攻擊基礎架構，可讓駭客更容易發動裝置碼釣魚（device code phishing）攻擊，進而竊取Microsoft 365或其他雲端帳號的存取權杖（Access Tokens）。攻擊者先發送電子郵件、檔案或QR code給受害者，利用社交工程誘使受害者點擊連結或掃描QR Code。當使用者點擊並造訪攻擊者設立的網頁，會觸發攻擊過程：該流程會發送一組裝置代碼要求使用者在手機介面輸入，這個動作完成了微軟伺服器端的驗證，表面上讓用戶得以存取微軟服務，如Microsoft 365，但同時間暗中將微軟服務的token傳給了攻擊者伺服器。
Tycoon 2FA被用於裝置驗證碼網釣，駭客搭配Trustifi追蹤器挾持M365帳號
今年3月遭大規模執法行動圍剿的對手中間人攻擊（AiTM）網釣工具包租用平臺Tycoon 2FA，當時歐洲刑警組織（Europol）聯合6國執法機構與13個企業組織，成功查封330個網域名稱，然而當時參與執法行動的資安公司eSentire指出，他們從4月看到Tycoon 2FA最新一波攻擊活動，駭客引誘收件者點選信件裡的URL啟動攻擊鏈，此為透過Trustifi點擊追蹤服務產生的網址，然後企圖誘騙收件者在不知情的狀態下，在微軟裝置登入網頁microsoft[.]com/devicelogin，將OAuth權杖（token）授予攻擊者控制的裝置。
Grafana Labs存取權杖外洩，導致其GitHub程式碼庫遭竊與勒索
開放原始碼IT系統監控與分析平臺業者Grafana Labs最近發生資料外洩事故，起因在於攻擊者非法取得GitHub的存取權杖，以此登入GitHub下載其程式碼庫，並向其勒索。5月17日Grafana Labs在社群平臺X和LinkedIn發文，坦承近期發現有個未經授權的團體獲得該公司GitHub環境的存取權杖，使攻擊者得以下載該公司的程式碼庫，根據內部調查指出，這起事故期間並無客戶資料或個人資訊被存取，也查無影響客戶系統或營運的相關證據。
工業測試設備製造商Fluke資料外洩波及1.85萬人，駭客竊取身分與身障等敏感資訊
美國工業測試設備製造商Fluke，近日通報一起可追溯至2025年8月的資料外洩事件，約1.85萬人的個資遭駭客存取，該公司已知會受害者，並提供信用監控等緩解措施。依據Fluke提交給緬因州檢察總長辦公室的資料外洩事件通報，駭客是透過該公司使用的第三方應用程式漏洞入侵內部網路。Fluke於2025年9月29日發現異常，但進一步調查顯示，攻擊者實際入侵時間可追溯至2025年8月10日，相關未經授權的存取持續到同年10月7日。
TeamPCP利用蠕蟲Mini Shai-Hulud滲透逾400個NPM與PyPI套件
上週TanStack的NPM套件、Mistral AI的PyPI套件遭遇供應鏈攻擊，有多家資安公司指出，這其實都是由駭客團體TeamPCP發起的蠕蟲活動Mini Shai-Hulud的一部分。資安公司Aikido、SafeDep、Snyk、Socket、Wiz指出，這波攻擊是4月底蠕蟲活動Mini Shai-Hulud的延續。SafeDep指出，截至5月11日，TeamPCP總共入侵170個NPM套件與2個PyPI套件，發布了404個惡意版本，其中，有42個是網頁應用程式框架TanStack的套件、65個是UiPath自動化工具的套件，Mistral AI的SDK軟體則是NPM與PyPI套件都被入侵。
5月13日OpenAI發布部落格文章表示，他們有兩名員工的裝置遭受Mini Shai-Hulud供應鏈攻擊的影響，不慎安裝植入惡意程式碼的TanStack套件，該公司察覺後迅速展開調查，並採取措施保護系統。OpenAI隔離受影響的系統與身分、撤銷使用者連線階段，輪換受影響儲存庫的存取憑證，暫時限制程式碼部署流程，徹底審查使用者與憑證行為。由於受影響的原始碼儲存庫包含應用程式簽署憑證，為求謹慎他們將輪換憑證，macOS用戶必須因此而更新應用程式，否則等到該公司在6月12日完全撤銷現有憑證後，相關應用程式將無法使用。
TeamPCP兜售近450個Mistral AI程式碼儲存庫
之前傳出AI公司Mistral AI的PyPI套件遭到入侵，駭客發布含有惡意程式碼的2.4.6版，此為蠕蟲Mini Shai-Hulud供應鏈攻擊的一部分，Mistral AI也發布資安公告，證實NPM與PyPI套件先後遭到入侵，指出該公司是TanStack供應鏈攻擊事故而受到波及，如今傳出駭客已開始兜售竊得的資料。根據資安新聞網站Bleeping Computer的報導，駭客團體TeamPCP於網路犯罪論壇宣稱，他們竊得Mistral AI近5 GB的內部儲存庫與原始碼資料，總計涉及450個儲存庫的內容，開價2.5萬美元求售。
AI持續降低自動化網路攻擊門檻，2025惡意機器人活動霸佔全球網際網路流量4成
隨著AI技術普及與AI代理快速崛起，AI與自動化程式已成為網際網路基礎架構的常態。根據資安廠商Imperva與2023年將其買下的Thales近期發布的報告，從2024年開始，人類網路活動流量占比（49％）首度被自動化流量（51％）超越，惡意機器人（bad bots）占所有網路流量的 37％；到了2025年，機器人（bots）已主導網際網路，占據總流量的一半以上（53％），而有高達40％流量被歸類為惡意機器人。他們在2025年每天封鎖的AI驅動（AI-driven）機器人攻擊達到2,500萬次，而在2024年每天緩解這類活動的規模僅200萬次，暴增至12.5倍。
2026年全球資安長人力落差約1比1萬，AI與法規壓力擴大CISO職責
資安業者Sophos與資安市場研究機構Cybersecurity Ventures合作發布《2026 CISO Report》指出，2026年全球資安長（CISO）估計約有3.5萬名，僅較2023年的3.2萬名小幅增加；但全球營運中的企業約達3.59億家，相當於平均1名CISO需對應約1萬家企業，凸顯資安領導人才缺口依舊明顯。該報告指出，大型企業多半已配置全職CISO，部分中型企業則採用兼職或共同型資安長（fractional CISO）或導入虛擬資安長（virtual CISO，vCISO）服務，多數小型企業仍缺乏專責資安主管。
Akamai斥資2.05億美元買下LayerX，強化AI與瀏覽器安全
美國資安與雲端運算業者Akamai Technologies於5月14日宣布，已簽署最終協議，將以約2.05億美元併購以色列瀏覽器安全新創LayerX，交易預計於今年第三季完成。Akamai表示，此舉將強化其零信任（Zero Trust）與AI使用控制（AI Usage Control）產品線，以因應企業員工大量使用生成式AI、SaaS AI服務與AI代理人所帶來的新資安風險。交易完成後，LayerX團隊將加入Akamai的零信任部門。
Dell SupportAssist服務引發藍色當機BSOD災情
近日Dell電腦新版的SupportAssist應用程式出錯，引發部分用戶電腦出現藍色當機（BSOD）災情，並陷入無限重開機的循環。最早是有使用者在Dell的論壇反映此事，他於5月8日升級Dell Update、SupportAssist Remediation、SupportAssist OS Recovery，結果電腦每30分鐘就會出現藍色當機畫面，且會無預警自動重開機。Dell表示已經獲知狀況，正在解決問題，並表示目前的最佳解決方式，就是暫時移除5.5.16.0版SupportAssist Remediation service。
AWS強化Amazon EMR on EC2可觀測性，新增近即時日誌串流與YARN Application ID對應功能
隨著企業持續擴大在雲端大數據處理服務Amazon EMR on EC2上的資料處理與分析工作負載，AWS於5月12日公布這項服務的可觀測性功能更新，強化日誌蒐集、監控介面與指標管理。這波更新的重點之一，是自Amazon EMR 7.11.0版起，支援將叢集日誌近即時串流到雲端日誌服務Amazon CloudWatch Logs。使用者啟用CloudWatch日誌功能後，Amazon EMR即可擷取並串流EMR步驟執行日誌、分散式運算引擎Spark的驅動程式與執行器日誌。
近期資安日報
微軟揭露Exchange Server存在8.1分重大漏洞，並已偵測到漏洞利用活動
5月14日微軟突然發布公告揭露Exchange Server重大漏洞CVE-2026-42897，目前尚未釋出軟體修補更新，但可透過兩種方式進行緩解
www.ithome.com.tw
Comments (0)