| iThome

SAP | Security Patch Day | NetWeaver | NetWeaver AS Java | CVE-2025-42944 | CVE-2025-42922 | CVE-2025-42958

本週SAP發布9月份每月例行更新（Security Patch Day），其中修補3項重大層級漏洞CVE-2025-42944、CVE-2025-42922、 CVE-2025-42958，其中又以CVE-2025-42944風險值達到滿分，最為危險

2025-09-10

三菱電機 | Nozomi Networks | oT | IoT | 資安產業 | 收購

三菱電機9億美元收購OT/IoT資安廠商Nozomi Networks

三菱電機（Mitsubishi Electric）宣布收購營運科技及物聯網資安方案業者Nozomi Networks，以確保其數位平臺安全性

2025-09-10

TP-Link | Archer AX10 | AX1500 | CVE-2025-9961 | 路由器

TP-Link路由器曝CWMP漏洞，影響Archer AX10與AX1500機型

TP-Link路由器CWMP協定存在CVE-2025-9961堆疊式緩衝區溢位漏洞，影響Archer AX10與AX1500等機型，攻擊者可藉弱密碼與惡意ACS伺服器取得Root權限

2025-09-10

資安日報 | 奈米醫材 | 政伸 | 夠麻吉

【資安日報】9月9日，歹徒冒名奈米醫材旗下投資公司發動商業郵件詐騙

奈米醫材針對旗下子公司遭遇商業郵件詐騙（BEC）的情況發布資安重訊，並公布事故的發生過程，以及後續的處理情形，呼籲其他上市櫃公司重視這類資安威脅

2025-09-09

資安重訊 | 奈米醫材 | BEC | 商業郵件詐騙

上櫃公司奈米醫材子公司遭遇商業郵件詐騙，預估損失高達140萬美元

本週上櫃公司奈米醫材發布資安重訊指出，他們旗下的海外投資公司AST VisionCare Inc.（ASTVC-US）遭到歹徒冒名，要求Millennium Biomedical, Inc.（MBI）將現金股利匯款到歹徒的帳號，恐損失142.5萬美元

2025-09-09

GitHub | GhostAction | 供應鏈攻擊

供應鏈攻擊GhostAction鎖定GitHub而來，竊取逾3千個帳密及金鑰

資安業者GitGuardian揭露大規模供應鏈攻擊GhostAction，駭客從遠端端點發出HTTP POST請求，於GitHub儲存庫注入惡意工作流程，從而竊得3,325組憑證或金鑰，橫跨PyPI、NPM、DockerHub等開發市集

2025-09-09

Nx供應鏈攻擊影響範圍擴大，6,700多個GitHub私有儲存庫被公開

Nx供應鏈攻擊持續擴大，資安公司Wiz發現攻擊者除竊取憑證外，還濫用GitHub權杖公開逾6,700個私有儲存庫，影響至少480個帳號，其中多為組織，事件已從惡意套件散布升級為大規模資料外洩

2025-09-09

思科 | 防火牆 | ASA | Adaptive Security Appliance

研究人員警告以思科ASA裝置為對象的掃描活動激增可能爆出新漏洞

資安廠商GreyNoise警告，近日觀察到網路上針對思科防火牆ASA（Adaptive Security Appliance）的掃描活動有激增跡象

2025-09-09

npm | 惡意程式

逾18個熱門NPM套件因網釣攻擊而被駭客接管

Aikido Security揭露駭客假冒NPM市集客戶支援部門，向眾多NPM套件開發者發送釣魚郵件以騙取憑證，並成功在至少18個熱門套件中植入惡意程式

2025-09-09

TamperedChef | Google廣告 | 竊取憑證

假PDF編輯器藏惡意軟體TamperedChef，靠Google廣告擴散竊憑證

攻擊者以Google廣告推假PDF編輯器，延遲啟用TamperedChef竊資程式竊取瀏覽器憑證與Cookie，歐洲多家組織已受害

2025-09-09

數位發展部 | 林宜敬 | 胡貝蒂 | AI產業

數發部長林宜敬：以五大政策工具發展AI產業，共築數位韌性社會

數發部積極推動「主權AI」，從算力、資料、人才、行銷媒合及資金等五大面向著手，鼓勵公私協力，並透過AI基本法、風險分類框架及先進評測環境，打造安全可信賴的AI生態系統；同時，數位發展部積極建構T-Road加密管道，確保政府資料傳輸安全，力求實現全民共享的數位韌性社會。

2025-09-08

資安日報

【資安日報】9月8日，Salesloft揭露供應鏈攻擊事故發生的源頭

針對延燒超過半個月的Salesloft Drift供應鏈攻擊事故，週末Salesloft公布最新調查結果，指出這起事故最初發生的原因，在於駭客入侵了他們的GitHub儲存庫，導致後續能竊得用戶的OAuth憑證

2025-09-08

SAP | CVE-2025-42957 | S/4HANA

上個月SAP修補的S/4HANA程式碼注入漏洞傳出已被用於實際攻擊

今年8月SAP修補S/4HANA重大層級的程式碼注入漏洞CVE-2025-42957，近期通報這項漏洞的資安業者SecurityBridge發現，已有實際利用漏洞的情況，呼籲IT人員要儘速修補

2025-09-08

Salesloft Drift供應鏈攻擊事故引爆點找到了！駭客入侵GitHub儲存庫而得逞

Salesloft針對8月下旬爆發的Drift供應鏈攻擊事故公布調查結果，指出這起事故發生的源頭，可追溯到他們的GitHub儲存庫在上半年就遭駭，而引發後續客戶Salesforce系統被入侵的情況

2025-09-08

從IP攝影機到雲端AI，捷克資安主管機關把對中資料傳輸與遠端維運列高風險

捷克國家數位資訊安全局NÚKIB警示，中國跨境資料傳輸與遠端維運構成高風險，要求受《資安法》納管單位採取相對應安全措施

2025-09-08