資安 | iThome

資安

【資安日報】1月15日，Node.js存在資安漏洞，恐波及React、Next.js、應用程式效能監控工具

在本週二有許多廠商發布1月例行更新之外，也有許多資安公告相當值得留意，其中一個是Node.js近期發布的更新，若不處理，相關漏洞有可能波及React或Next.js應用程式伺服器，以及應用程式效能監控工具（APM）

資安周報

資安週報, 資安一周, 資安周報, IT周報, 網路攻擊, 零時差漏洞, 勒索軟體攻擊, 國家級駭客攻擊

【資安週報】0105~0109，臺灣能源業遭受中共網駭情形在2025年暴增10倍，中國APT已形成舉國體制承包商生態系

在2026年1月第一個星期的資安新聞中，主要焦點是臺灣國家安全局情資公司TeamT5杜浦數位安全相繼公布中國駭客威脅態勢；美國NIST發布Cyber AI Profile草案，因能協助組織導入AI並控管資安風險而備受矚目

2026-01-12

資安週報, 資安一周, 資安周報, IT周報, 網路攻擊, 零時差漏洞, 勒索軟體攻擊, 金融資安韌性發展藍圖

【資安週報】1229~0102，金管會發布「金融資安韌性發展藍圖」，揭露未來4年將擴大及精進的各項推動措施

回顧2026年1月首週資安要聞，金管會發布「金融資安韌性發展藍圖」，規畫2026至2030年間強化金融業防護能力的關鍵推動工作；其他重要新聞焦點還包括：中華電信憑證治理議題持續受關注，MongoBleed漏洞攻擊威脅，以及多款主機板UEFI實作存在缺陷的揭露

2026-01-05

資安週報, 資安一周, 資安周報, IT周報, 網路攻擊, 零時差漏洞, 勒索軟體攻擊, 供應鏈攻擊

【資安週報】1222~1226，羅馬尼亞水務局近千臺電腦遭勒索軟體攻擊，攻擊者濫用BitLocker將檔案惡意加密

2026年即將到來，在2025年12月第四個星期資安新聞中，有3家上市公司發布資安事故重訊引發關注；國際方面，則傳出羅馬尼亞水務局近千臺電腦遭勒索軟體攻擊，值得注意的是，攻擊者在這起事件濫用BitLocker加密保護機制進行惡意加密

2025-12-29

LLM | OpenAI | o3-mini | Deliberative Alignment | jailbreak

CyberArk研究員透露，他們對於才正式發表不久、搭載新資安防護機制的o3系列AI模型進行測試，結果發現還是能夠成功越獄，要求AI模型提供網路攻擊步驟及工具

2025-02-11

殭屍網路 | 網路邊界 | MikroTik | Residential Proxy

大規模暴力破解攻擊專門針對網路邊緣裝置而來，駭客透過280萬個IP位址發動攻勢

資安研究機構Shadowserver基金會揭露為期數週的大規模暴力破解攻擊事故，駭客利用約280萬個IP位址的網路邊緣裝置，對Ivanti、Palo Alto Networks、SonicWall等廠牌的設備下手

2025-02-11

WordPress | Admin and Site Enhancements | ASE | CVE-2024-43333 | CVE-2025-24648

WordPress管理流程強化外掛存在高風險漏洞，逾10萬網站恐曝險

WordPress管理流程改善外掛程式Admin and Site Enhancements（ASE）存在高風險權限提升漏洞，付費及免費的用戶都可能曝險，通報此事的資安業者Patchstack表示，這種漏洞相當特別，能讓使用者回復舊有的權限

2025-02-11

Magento | Google Tag Manager

程式碼管理工具Google Tag Manager遭濫用，攻擊者用來對Magento網站側錄信用卡資料

資安業者Sucuri揭露濫用網站追蹤程式碼（Tag）管理工具Google Tag Manager的攻擊行動，目標是Magento電子商務網站，經過客戶通報及後續調查，研究人員確認至少有6個網站受害

2025-02-11

iOS | iPadOS | CVE-2025-24200 | 零時差漏洞

蘋果針對iPhone、iPad用戶修補已遭利用的零時差漏洞

本週蘋果對於電腦、行動裝置、穿戴裝置發布作業系統更新，當中針對iPhone與iPad修補一項資安漏洞CVE-2025-24200，並指出該漏洞已被用於針對特定人士發動攻擊

2025-02-11

資安日報

【資安日報】2月10日，150家企業組織的AD聯合身分驗證服務系統遭鎖定，駭客藉此挾持帳號

資安業者Abnormal Security揭露一起主要針對教育機構而來的大規模網釣攻擊，駭客鎖定AD聯合身分驗證服務服務（ADFS）下手，從而成功突破多因素驗證（MFA）並挾持Microsoft 365帳號

2025-02-10

Power Platform | SharePoint connector | SSRF

Power Platform的SharePoint連接器存在SSRF漏洞，攻擊者有機會冒充使用者的名義發送請求

資安實驗室Zenity Labs公布他們去年9月向微軟通報的伺服器偽造請求（SSRF）漏洞，此弱點出現於低程式碼開發平臺Power Platform的SharePoint連接器，攻擊者一旦成功利用，就有機會冒充使用者存取SharePoint環境

2025-02-10

ADFS | MFA

150家企業組織遭到鎖定，駭客藉由AD聯合身分驗證服務繞過多因素驗證，從而挾持帳號

資安業者Abnormal Security對於超過150個企業組織而來的大規模網路釣魚攻擊提出警告，駭客針對AD聯合身分驗證服務服務（ADFS）下手，透過網路釣魚誘騙使用者提供相關驗證資料，從而繞過多因素驗證（MFA）機制竊取Microsoft 365帳號

2025-02-10

DeepSeek | 中國移動

DeepSeek的AI服務隱私防護遭質疑！資安業者指控恐將用戶輸入資料傳至中國國營電信業者

中國AI工具DeepSeek本身就表明會將使用者資料存放於中國，且可能會與執法機關和合作夥伴共享，但資安業者Feroot Security發現，這家AI公司竟在此項服務的用戶網頁版登入介面裡，疑似埋藏將資料後送到中國國營電信業者中國移動（China Mobile）的程式碼，此舉恐讓中國政府直接掌控DeepSeek用戶的聊天資料

2025-02-10