深海白色抹香鯨，幫你打撈每日新聞重點
標籤
員工離職了，他的 GitHub 帳號還留在公司的組織裏。法國網絡保安公司 CrowdSec 有程式碼庫外洩。攻擊者 5 月 22 日用他的 GitHub token，九分鐘內複製約 170 個私人程式碼庫，公司三日後才移除帳號。CrowdSec 9 月 17 日首份聲明指向 TanStack 供應鏈攻擊，翌日報告卻寫明自家程式碼裏沒有被植入後門的套件，真正入口是他的個人電腦。首份聲明說沒有任何客戶資料外洩，翌日的報告補上例外：83 個用戶電郵，以及 2020 年 51 名潛在投資者的資料。由事發到外部機構通報，相隔逾四個月。
為了讓員工重新登入，微軟要企業先關掉一項安全防護。微軟 9 月的安全更新破壞了網域信任。受影響的 KB5124008 令 Windows 開始執行一項名為 Machine Identity Isolation 的設定，電腦的身份憑證被搬進 Credential Guard，本機副本隨即刪除，重啟後員工輸入正確密碼亦登入不了。微軟 9 月 17 日提供臨時做法，把該設定由 2 改為 0，重啟後修復安全通道。在官方說法出現之前，已有企業直接移除 KB5124008，等同把那次紀錄級修補的 966 個漏洞一併退回，當中兩個已被利用作零日攻擊。
多個歐洲政府本周相繼發出安全警示。波蘭總理圖斯克周四在國會表示，情報顯示俄羅斯有可能對北約成員國發動無人機及導彈襲擊，並偽裝成意外，藉此試探聯盟的反應。法國總統馬克龍形容「俄羅斯對歐洲人及法國的混合威脅已經加劇」，又指俄式侵略的形態正在改變，並下令加強關鍵基建保護，同時稱圖斯克的警告「有根據，亦有充分文件佐證」。瑞士聯邦委員會同日通過《2026 年安全政策戰略》，指安全形勢正在惡化，列出的風險包括俄烏戰爭、混合威脅及網絡攻擊。
開賣前一晚，T-Mobile 高層把 iPhone 盒背面拍得一清二楚。T-Mobile 營運總監 Jon Freier 在社交平台貼出配送中心照片，指顧客的 iPhone 18 Pro 正於倉庫流轉，並稱翌日開賣前為「iPhone Eve」。同批影像中，零售盒背面的序號、15 位 IMEI 與 EID 清晰可辨，這些號碼是電訊商與 Apple 用作啟動、庫存、保養及報失黑名單的依據。密歇根州立大學於 ACM MobiSys 2026 指出，報失核實若不足，公開 IMEI 或被用於虛假報失企圖鎖死新機，屬已知風險類別，而非今次已證實有人得手。
盜版站沒有被逐一攻破，出事的是它們共用的那間種子倉庫。 卡巴斯基 9 月 17 日公布，黑客騎劫公共種子倉庫 itorrents.org，依賴該庫的多個 torrent tracker 在不知情下把掉包種子派給用戶。磁力連結下載時，倉庫回傳惡意種子，最終落地為 Windows 執行檔，檔名偽裝成《The Odyssey》等電影。惡意框架 MovieReaper 經 Solana 查詢指揮位址，最終模組提供 21 項檔案讀寫指令。活動至少自 8 月中旬起，已有數百名家用與機構受害者，橫跨歐洲、亞洲與非洲多國；報告刊出時倉庫仍被控。
Pixel 手機的數據機漏洞已有被利用跡象。Google 周三（16 日）凌晨推出 9 月安全更新修補，漏洞源於邏輯錯誤，身處附近的攻擊者毋須用戶點擊，便可繞過權限檢查提升權限。美國網絡安全及基礎設施安全局要求聯邦機構在 9 月 19 日前修補。
S&P Global 同意收購區塊鏈安全公司 OpenZeppelin，交易條款未有披露，完成後併入旗下評級部門 S&P Global Ratings。OpenZeppelin 2015 年成立，其智能合約標準庫經手轉移的價值逾 37 萬億美元，至今完成逾 900 次安全審查。S&P Global Ratings 總裁 Yann Le Pallec 表示，公司要在市場轉到鏈上之際提供透明的風險評估。
美國企業普遍仍在運行已停止支援的資料庫。開源資料庫公司 Percona 9 月 9 日公布調查，300 名從業員中，97% 表示公司至少有部分版本已過支援期，44% 更指為數不少。Percona 指升級牽連整套系統，風險高，惟舊版本已不再有官方安全修補。
黑客限 Revolut 24 小時內付 300 萬美元 Monero，否則出售約 680 名客戶的資料。據《金融時報》報道，自稱「iamnotavillain」的組織周三（16 日）貼出倒數，要求 6,000 枚 XMR。黑客冒充意大利執法人員，以政府電郵向 Revolut 索取資料，並先用區塊鏈分析鎖定持有大量加密貨幣的客戶，外洩資料包括護照及交易紀錄。Revolut 表示系統及客戶資金未受影響，並指沒有收到黑客的直接聯絡或勒索要求。
很多人認為 AI 黑客會令網絡安全崩潰。Vitalik Buterin 持相反看法，而他大約九成身家都在加密貨幣。 Vitalik Buterin 周四（17 日）清晨（香港時間）在 X 發長文指，只要大家認真做好，網絡安全本質上有利防守一方，任何繼續持有加密貨幣的人都是把身家放在這個判斷上。 他的理據是：如果 AI 能證明艱深的數學難題，就能證明「這個程式是安全的」。他認為開發者應由 AI 驗證整個程式，包括數據庫和網絡層，並指區塊鏈不這樣做「就沒有未來」。
騙徒這次不用冒認 HBO Max，他們直接以 HBO Max 的認證帳號投放廣告。網絡安全公司 Hudson Rock 調查指，HBO Max 的 Reddit 認證帳號 9 月初被騎劫，48 小時內投放 108 個廣告，推銷假 HBO Max 程式和假 OpenAI Codex。廣告要求用戶自行複製一段指令執行，Mac 用戶會裝上專偷瀏覽器密碼和 Ledger、Trezor 助記詞的惡意程式。Reddit 在網民舉報後暫停廣告並展開調查，受害人數暫未公布。報告又指，惡意程式的控制地址寫在 BNB 智能鏈的智能合約內，3 月至 7 月已改動 36 次，即架構早於騎劫前已運作數月。
Chrome 上星期修了 230 個漏洞，這星期還有 42 個要補。Google 周三（16 日）凌晨把桌面版 Chrome 更新至 153.0.8010.47，修補 42 個安全漏洞，三個評為最高的「嚴重」級別，按 Chromium 指引，這一級漏洞可讓攻擊者跳出沙盒執行程式碼。三個嚴重漏洞於 9 月 3 日至 8 日才收到通報，最快的一個 7 日修好，今次公告未提及有漏洞被利用。翻查資料，Chrome 153 起發布周期由四星期縮短至兩星期，上周三（9 日）那一版修補的 230 個漏洞當中，有一個 V8 零日漏洞在修補前已被利用。