| GitHub | Security Campaigns | 安全債 | 漏洞修補 | Copilot Autofix
GitHub推出Security Campaigns，讓企業系統化處理安全債成開發日常
GitHub Security Campaigns協助企業資安與開發團隊，系統性盤點與修補程式碼庫內舊漏洞，提升安全債處理效率，讓修補漏洞融入開發日常工作流程
2025-04-10
AWS EC2自動化管理工具SSM Agent存在路徑穿越漏洞，攻擊者有機會用來執行任意指令碼、提升權限
資安業者Cymulate揭露AWS Systems Manager代理程式（SSM Agent）資安漏洞，攻擊者可藉由帶有特定指令的外掛程式ID觸發，而有機會使用root權限執行任意指令碼，或是有機會能在系統的敏感區域寫入資料
2025-04-10
| adobe | ColdFusion | CVE-2025-24446 | CVE-2025-24447 | CVE-2025-30281 | CVE-2025-30282
Adobe發布4月例行更新，呼籲優先修補ColdFusion
本週Adobe為旗下軟體發布4月份例行更新，其中最值得留意的是ColdFusion，不僅修補的漏洞數量最多，且大部分都被列為重大層級，其中更有4項高達9.1分的資安弱點
2025-04-10
提供iLO 7與更多液冷搭配，HPE伺服器正式開啟第12世代
採用英特爾Xeon 6處理器與HPE iLO7管理平臺，HPE正式推出ProLiant Compute Gen12系列伺服器
2025-04-09
【資安日報】4月9日，微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊
本週微軟發布4月份例行更新（Patch Tuesday），其中最受到關注的部分，就是已經出現實際攻擊行動的零時差漏洞CVE-2025-29824，並透露駭客組織Storm-2460將其用於勒索軟體攻擊
2025-04-09
| ESET Command Line Scanner | CVE-2024-11859 | 中國駭客 | ToddyCat | DLL-proxying | Hijack Execution Flow | BYOVD | EDRsandblast
中國駭客ToddyCat鎖定ESET防毒漏洞而來，以此暗中載入惡意程式
4月初資安業者ESET針對防毒軟體用戶發布資安公告，指出他們修補了DLL循序搜尋挾持漏洞CVE-2024-11859，通報此事的卡巴斯基透露細節，一年前中國駭客ToddyCat將其用於實際攻擊，用來在受害電腦載入惡意程式TCESB
2025-04-09
| SAP | CVE-2025-27429 | CVE-2025-31330 | CVE-2025-30016 | S/4HANA | Landscape Transformation | Financial Consolidation
本週SAP針對20項資安漏洞發布公告，有3項重大層級漏洞相當值得留意，其中出現在S/4HANA、Landscape Transformation的程式碼注入漏洞CVE-2025-27429、CVE-2025-31330最危險，攻擊者能用來注入任意ABAP程式碼
2025-04-09
| Patch Tuesday | Storm-2460 | CVE-2025-29824 | 勒索軟體 | RansomEXX | PipeMagic
微軟發布4月份例行更新，修補已被用於勒索軟體攻擊的CLFS零時差漏洞
本週二微軟發布4月份例行更新（Patch Tuesday），值得留意的是，其中有1項零時差漏洞CVE-2025-29824，已被用於實際攻擊行動，該公司進一步透露，名為Storm-2460的駭客組織將其用於部署勒索軟體
2025-04-09
| 甲骨文 | Oracle Cloud | 資料外洩
雖然甲骨文否認今年3月間媒體報導的Oracle Cloud代管客戶資料外洩事故，但後續彭博相關報導顯示，有至少兩家企業接獲甲骨文私下通知資料外洩事件
2025-04-09
| Ivanti Connect Secure | Ivanti | CVE-2025-22457 | 中國駭客 | UNC5221 | TrailBlaze | BrushFire | Spawn
Ivanti SSL VPN漏洞攻擊拉警報，全球5千臺伺服器曝險
上週資安業者Ivanti提出警告，他們於今年2月修補的重大漏洞CVE-2025-22457已出現攻擊行動；資安業者Mandiant透露是中國駭客所為。值得留意的是，Shadowserver基金會提出警告，目前網際網路上仍有5千臺Ivanti伺服器尚未修補，其中臺灣有近300臺，而有可能成為駭客下手的目標
2025-04-09
【資安日報】4月8日，駭客上傳惡意VSCode延伸套件散布挖礦軟體XMRig
資安業者Koi Security揭露針對微軟Visual Studio Code（VSCode）用戶的攻擊行動，駭客上架10款有問題的擴充套件，開發者一旦不慎安裝，電腦就會被用於挖取門羅幣
2025-04-08