漏洞風險 | 法規遵循 | 產品資安 | 產品安全 | 威聯通科技 | QNAP | MITRE CNA | FIRST | SSDLC | 漏洞獎勵計畫

【產品資安實務經驗：威聯通】主動公開與修補CVE弱點，再以漏洞懸賞與安全設計鞏固防線

主打專業NAS儲存設備的威聯通科技（QNAP），多年前加入MITRE CNA計畫與FIRST組織，重視研究人員通報與事件應變強化，近年更積極推動漏洞懸賞計畫，並聚焦安全開發的升級

2025-12-12

漏洞風險 | 法規遵循 | 產品資安 | 產品安全 | 四零四科技 | IEC62443 | 產品資安中心 | PSIRT | SSDLC | 漏洞獎勵計畫

【產品資安實務經驗：四零四科技】從依循IEC 62443到成立PSC，產品資安強化成為公司的長期工程

專注於工業自動化與通訊設備的四零四科技（Moxa），早年投入研究IEC 62443標準的安全性要求，到了3年前更進一步成立產品資安中心（PSC），以更完善的方式逐步推動落實與精進

2025-12-12

漏洞風險 | 法規遵循 | 產品資安 | oT | Secure by Design | 產品漏洞 | MITRE CNA | FIRST | 產品資安中心 | PSC | 資安漏洞

消除產品資安盲點，減少可乘之機

一般人都會認為，CVE漏洞數量越多，代表越不安全，全球最大漏洞懸賞計畫ZDI計畫負責人則有不同看法

2025-12-12

.NET Framework漏洞 | SOAPwn | WSDL | rce | 微軟

.NET Framework HTTP用戶端代理設計缺陷，結合WSDL匯入可構成RCE攻擊鏈

.NET SOAP HTTP用戶端代理存在設計缺陷，透過WSDL匯入可將請求寫入伺服器檔案，在多款企業產品造成遠端程式碼執行與NTLM雜湊外洩風險

2025-12-11

ClayRat | Android | 間諜軟體 | 無障礙服務

Android間諜軟體ClayRat再進化，新版可自動解鎖手機並遠端操控裝置

新版Android間諜軟體ClayRat強化鎖定畫面與螢幕攻擊，可自動解鎖手機、錄製畫面與偽造通知，攔截驗證簡訊與App操作內容

2025-12-11

資安日報

【資安日報】12月11日，React2Shell攻擊活動持續擴大，北韓駭客、挖礦軟體、殭屍網路加入行列

資安業者Huntress與Sysdig提出警告，他們看到有人不斷投入利用CVE-2025-55182（React2Shell）的情況，其中有人試圖綁架Linux主機來挖礦及建置殭屍網路，也有北韓駭客用於散布惡意程式EtherRAT

2025-12-11

OWASP | Agent Goal Hijack | Agent | AI Agents

OWASP公布AI代理的10大資安威脅

本週OWASP公布AI代理10大資安風險，其中又以竄改代理程式輸出目標、工具濫用及漏洞利用，以及身分與特殊權限的濫用，為前三大威脅而最值得留意

2025-12-11

React | CVE-2025-55182 | React2Shell | RSC | PeerBlight

後門程式PeerBlight鎖定React2Shell而來，企圖綁架Linux主機從事挖礦及DDoS攻擊

繼中國、北韓國家級駭客將CVE-2025-55182（React2Shell）用於實際攻擊行動之後，有人利用自動化工具尋找存在漏洞的Linux主機，並部署後門程式PeerBlight等一系列作案工具，將其用於挖礦及DDoS攻擊

2025-12-11

Perplexity | AI瀏覽器 | Comet | 零點擊漏洞 | AI資安

Perplexity AI瀏覽器零點擊漏洞可讓攻擊者抹除Google Drive資料

資安研究人員示警，只要把惡意提示包裝成商業書信常用的禮貌性要求措辭，就能操控網頁AI代理刪除雲端硬碟資料

2025-12-11

Google Gemini Enterprise | GeminiJack | AI攻擊 | AI漏洞 | AI資安

Gemini Enterprise存在可外洩企業資料的零點擊漏洞GeminiJack

Google修補Gemini Enterprise漏洞，讓攻擊者只要以共享Google Docs、Google Calendar邀請或Gmail郵件，就能存取企業資料並外洩出去

2025-12-11

GitHub | PAT | GitHub Actions | 程式碼庫 | 憑證外洩

駭客濫用GitHub個人存取權杖，竊取Actions機密憑證攻擊雲端控制平面

雲端資安業者Wiz示警駭客鎖定GitHub權杖PAT，透過Actions工作流程竊取雲端憑證，並橫向移動入侵企業雲端控制平面

2025-12-11

NCSC | Proactive Notifications | Netcraft | 主動通報服務

英國國家網路安全中心試辦主動通報服務，協助組織掌握對外系統弱點

英國NCSC與Netcraft合作掃描英國組織對外系統，透過電子郵件主動通報弱點，協助在遭攻擊前修補重要系統，並搭配既有預警服務強化整體資安防護

2025-12-10

資安日報

【資安日報】12月10日，微軟、SAP等多家科技業者發布12月份例行更新

微軟於本月的例行更新（Patch Tuesday）修補3項零時差漏洞，其中又以出現實際攻擊行動的CVE-2025-62221最受關注，此外，由近日公布AI開發工具漏洞利用鏈IDEsaster的研究人員通報的另一項漏洞CVE-2025-64671，由於也在微軟公告前就被公布，而成為另一焦點

2025-12-10

Fortinet | FortiCloud | SSO | FortiCare | FortiOS | FortiWeb | FortiProxy | FortiSwitchManager | CVE-2025-59718 | CVE-2025-59719

Fortinet為多款系統修補FortiCloud SSO身分驗證繞過漏洞

Fortinet本週也為旗下產品進行修補，有兩個重大漏洞CVE-2025-59718與CVE-2025-59719特別引起關注，原因是只要裝置註冊了技術支援服務平臺FortiCare，就有可能開啟特定功能而曝險

2025-12-10

React | CVE-2025-55182 | React2Shell | 北韓駭客 | EtherRAT | Contagious Interview

北韓駭客加入利用React2Shell的行列，散布惡意程式EtherRAT

繼多個中國駭客組織積極利用滿分漏洞CVE-2025-55182（React2Shell），現在傳出北韓駭客後續也加入利用的行列，而且，他們使用惡意程式EtherRAT，威力更加強大

2025-12-10