【資安週報】0126~0130，開源AI代理Clawdbot竄紅，不當配置的風險引發高度關注

回顧2026年1月最後一星期的資安新聞，最大焦點是波蘭電網去年底遭大規模攻擊事件的調查揭露，駭客主要鎖定分散式能源設施（DER）而來；開源AI代理專案Clawdbot（現更名為OpenClaw）竄紅，相關不當配置與供應鏈風險的消息也引發關注。此外，臺灣有3家上市櫃公司發布資安重訊，分別是：五福、德昌、柏騰

新聞 | Chrome | 資安漏洞 | 零時差攻擊 | ANGLE | GPU

Chrome 138更新修補已被用於攻擊的GPU零時差漏洞

Google釋出Chrome 138緊急安全更新，修補6項高風險漏洞，其中GPU零時差漏洞CVE-2025-6558已遭攻擊，官方呼籲用戶盡速更新

2025-07-16

新聞 | 資安日報

【資安日報】7月16日，VMware修補虛擬化平臺重大漏洞

本週VMware發布資安公告，針對ESXi、Workstation、Fusion，以及虛擬機器公用程式Tools，修補4個資安漏洞，其中有3個非常危險，CVSS風險評分皆達到9.3

2025-07-16

新聞 | Contagious Interview | HexEval | XORIndex

北韓駭客利用NPM套件散布惡意程式XORIndex

資安業者Socket揭露鎖定求職者的攻擊行動Contagious Interview最新動態，北韓駭客最近透過67款NPM套件，散布另一款惡意程式載入工具XORIndex，迄今已被下載1.7萬次

2025-07-16

新聞

微軟釋出桌機版推理AI模型Phi-4-mini-flash-reasoning　以新混合架構提升效能

可本地部署的Phi-4-mini-flash-reasoning強調低延遲性與推理能力兼備，適合注重邏輯化應用等教學應用場景

2025-07-16

新聞 | VMware | ESXi | VMware Workstation | VMware Fusion | VMware Tools | Pwn2Own | CVE-2025-41236 | CVE-2025-41237 | CVE-2025-41238

VMware修補虛擬化平臺重大層級的資安漏洞

VMware針對虛擬化平臺ESXi、Workstation、Fusion，以及虛擬機公用程式Tools發布資安更新，總共修補4項資安漏洞，值得留意的是，有3項嚴重程度達到重大層級，相當危險

2025-07-16

新聞 | 蘋果 | MP Materials | 稀土磁鐵 | 美國製造優先

蘋果與MP Materials簽署5億美元合作協議，再利用回收稀土

配合川普政府本土製造優先政策，蘋果公司與稀土生產商MP Materials簽署多年合約，以擴大採購在美製造的再生稀土磁鐵

2025-07-16

新聞 | 供應鏈攻擊 | WordPress | 外掛程式 | Gravity Forms

WordPress表單外掛Gravity Forms疑遭供應鏈攻擊，被植入後門程式

資安業者Patchstack揭露WordPress表單外掛程式Gravity Forms供應鏈攻擊事故，駭客在特定版本外掛程式植入後門，收集網站系統資訊並部署其他作案工具，以便進一步對網站上下其手。軟體業者RocketGenius發布公告證實確有此事，並提出說明

2025-07-16

新聞 | Mistral AI | 語音模型 | Voxtral | 開源模型 | 開源語音模型

Mistral AI開源語音模型Voxtral

Mistral AI強調語音模型Voxtral以開放形式提供最先進的準確性及原生語義理解，但價格不到競爭對手的一半

2025-07-16

新聞 | Perplexity

Perplexity讓大學生、研究人員免費使用Pro方案

AI搜尋業者Perplexity宣布透過驗證業者SheerID的合作提供教育方案，讓全球大專院校學生及研究人員可免費使用Perplexity Pro AI工具最長2年

2025-07-16

新聞 | AI資安風險 | 提示注入 | LLM | Google Gemini | 聊天機器人 | 詐騙 | 釣魚郵件 | 網釣 | 模型安全

Google Gemini一漏洞可被濫用提供詐騙信件內容

研究人員發現企業版Google聊天機器人的一項技術上的漏洞，可被利用於在Gmail中顯示詐騙內容

2025-07-16

新聞 | WordPress | CVE-2025-6691 | SureForms

WordPress熱門表單外掛SureForms存在漏洞，逾20萬網站面臨惡意接管威脅

WordPress表單外掛SureForms被發現高風險漏洞，攻擊者可藉此刪除網站任意檔案，超過20萬站臺存在被接管風險，開發團隊現已釋出修補，建議用戶立即更新外掛

2025-07-16

新聞 | 資安日報

【資安日報】7月15日，IDE開發工具Cursor AI出現惡意延伸套件，有用戶因此損失50萬美元

資安業者卡巴斯基揭露鎖定IDE開發工具Cursor AI用戶的延伸套件攻擊行動，駭客於Open VSX套件庫上架冒牌套件，藉由較為頻繁的更新讓搜索結果在正牌套件的前面，從而讓開發人員上當

2025-07-15