| iThome

端點安全 | Webworm | GraphWorm | OneDrive | Microsoft Graph API

GraphWorm惡意程式濫用微軟OneDrive作為C2通道，利用雲端服務隱藏攻擊流量

資安業者揭露駭客組織新攻擊手法，攻擊者透過微軟Graph API與OneDrive服務收發指令與上傳資料，提高企業資安防護偵測與阻擋難度

2026-05-22

執法機關瓦解犯罪VPN服務First VPN，FBI稱至少25個勒索軟體組織曾用於偵察與入侵

多國執法機關聯手查緝並關閉First VPN，這項服務長期被犯罪組織用來掩飾身分並隱匿攻擊基礎架構，從事勒索軟體攻擊、大規模詐欺、資料竊取活動

2026-05-22

針對微軟近日修補的Microsoft Defender零時差漏洞，有專家指出已在一個月前就有概念驗證程式碼

有專家指出，微軟本週修補的Microsoft Defender零時差漏洞CVE-2026-41091、CVE-2026-45498，就是研究員Chaotic Eclipse一個月前公布概念驗證程式（PoC）的RedSun、UnDefend

2026-05-22

端點安全 | Microsoft Defender | 零時差漏洞 | CVE-2026-41091 | CVE-2026-45498 | CISA | KEV

CISA將Microsoft Defender零時差漏洞列入KEV

針對微軟近日修補的Microsoft Defender零時差漏洞，美國網路安全暨基礎設施安全局（CISA）也將其納入已遭利用的漏洞名冊（KEV），要求聯邦機構限期完成修補

2026-05-22

思科修補Secure Workload滿分API未授權存取漏洞

Cisco Secure Workload出現CVSS滿分10.0重大漏洞，未驗證遠端攻擊者可能透過API取得Site Admin角色權限，跨租戶讀取敏感資訊或變更設定

2026-05-22

端點安全 | Microsoft Defender | 零時差漏洞 | CVE-2026-41091 | CVE-2026-45498

微軟修補兩個已遭利用的Microsoft Defender零時差漏洞

本週微軟公告Microsoft Defender資安漏洞CVE-2026-41091、CVE-2026-45498，並表明皆已偵測到遭利用的跡象

2026-05-22

AI | 生成式AI | Copilot | SAS | 資安 | 漏洞 | 軟體開發 | AI代理

SAS CIO揭內部GenAI實戰經驗：員工自建4,200支AI代理，AI Coding也改變工程師角色

SAS內部已有4,200多支員工自建的AI代理，部分更成為可整合ServiceNow、Datadog等工具的企業級代理，協助工程師跨系統操作與維運。SAS CIO也揭露，AI輔助開發正從指令導向，走向更成熟的規格驅動開發（SDD）模式。

2026-05-21

新加坡政府公布AI代理沙盒測試結果，評估公共服務應用效益與治理風險

新加坡政府與Google公布AI Agents Sandbox測試結果，評估AI代理能否用於網站服務品質檢測、聊天機器人安全測試，以及社會福利服務申請流程，並觀察AI代理導入公共服務後，可能涉及的人工監督、資安、個資保護與權限控管問題

2026-05-21

新版Gremlin竊資程式以XOR編碼隱藏惡意內容，提高靜態分析難度

竊資惡意程式Gremlin出現新版，攻擊者將酬載藏入.NET資源區段並以XOR遮蔽，提高靜態分析難度，還加入Discord權杖竊取、加密貨幣剪貼簿竄改與WebSocket工作階段劫持能力

2026-05-21

SGLang | AI推論框架 | 遠端程式碼執行 | 路徑走訪漏洞 | CERT/CC

AI推論框架SGLang遭揭3重大漏洞，未驗證攻擊者恐遠端執行程式碼

AI推論框架SGLang存在3項高風險漏洞，攻擊者在特定多模態任務或自訂Logit處理器設定下，可遠端執行程式碼或任意寫入檔案，CERT/CC建議先限制服務介面存取

2026-05-21

AI資安 | AI安全 | Triton Inference Server | CVE-2026-24207 | CVE-2026-24213 | CVE-2026-2421 | RCE4

Nvidia修補Triton推論伺服器多項重大漏洞，若未更新可能導致拒絕服務、資料洩漏或執行任意程式碼等攻擊

Nvidia推論伺服器存在記憶體越界讀取、繞過驗證、路徑遍歷等多項弱點，影響AI模型推論應用，用戶應儘速升級至已修補版本

2026-05-21

資安日報 | 建德

【資安日報】5月21日，近兩個月研究人員公布的零時差漏洞已能串成攻擊鏈

從上個月開始，研究人員Chaotic Eclipse公布了BlueHammer（CVE-2026-33825）等5個零時差漏洞，資安公司LevelBlue提出警告，這些漏洞涵蓋初始存取管道、權限提升、迴避偵測，以及資料竊取等攻擊手段，已可組成一套完整的攻擊工具

2026-05-21

行政院將設國家AI戰略特別委員會，國科會研擬國家AI發展綱領，數發部近期將公布風險分類框架

根據AI基本法施行規畫，各級政府機關必須在今年7月前完成公務使用AI的風險評估，並在1年內建立AI內部控制與管理規範。另外，由數發部研擬的AI風險分類框架及驗證工具，未來會由各目的事業主管機關，針對所轄產業的AI應用風險，訂定管理規範與產業指引，同時完成相關法規調適與修正。

2026-05-21

盧森堡 | 華為 | 資安 | 零時差漏洞 | DOS | 電信網路 | 網路安全

華為路由器疑似零時差漏洞引發DoS攻擊，盧森堡去年通訊中斷逾3小時

盧森堡去年發生長達3小時的全國性通訊中斷，事後調查指出，事件起因疑似為華為路由器未公開漏洞引發的阻斷服務攻擊

2026-05-21

Grafana Labs資安事故調查結果出爐，起因是TanStack事故波及

Grafana Labs針對GitHub儲存庫遭駭並遭對方勒索的情況，公布最新的調查結果，茅頭指向處理TanStack供應鏈攻擊波及的問題未完整處置而引發

2026-05-21