KDZONE 情報站

2025年7月現身的Android遠端存取木馬（Remote Access Trojan，RAT）RedHook，近期擴大活動範圍並推出新版本。資安業者Group-IB指出，攻擊者濫用Android偵錯橋接器（Android Debug Bridge，ADB）的無線偵錯功能，讓RedHook取得Shell層級權限，進一步安裝或移除應用程式、修改安全設定，並為自身授予敏感權限。

美國網路安全與基礎設施安全局（CISA）於7月13日，將CVE-2008-4128列入已遭利用的漏洞列表（KEV），並緊急要求聯邦機構必須在3天內完成修補，這樣的情況對於一個已公布接近20年的老舊弱點而言相當罕見。而這個漏洞被加入KEV且要求美國所有政府機關必須在短時間內採取行動，很可能與同一天發布的聯合公告有關。

OpenJS基金會（OpenJS Foundation）公布2026年第二季資安進展，重點包括Node.js安全更新流程自動化，以及因應AI代理輔助掃描工具帶來的漏洞通報量激增。基金會旗下CVE編號授權機構（CNA）發布的CVE數量，也從2025年下半年的3個增至2026年上半年的49個。

開源Web應用程式防火牆ModSecurity近日發布資安公告，修補兩項可能導致攻擊者繞過防火牆規則的漏洞，影響3.0.15版以前版本。ModSecurity由開源Web應用程式安全專案OWASP維護，廣泛部署於Apache HTTP Server、Nginx等Web伺服器前端，用於攔截SQL注入、跨網站指令碼（XSS）等常見Web攻擊，因此相關漏洞可能影響網站阻擋攻擊的能力，用戶應儘速升級至已修補的3.0.16版。

韓國最大行動支付平臺Kakao Pay在2024年被爆出違法傳送個資事件，如今有新進展，韓國個人資訊保護委員會（PIPC）今年1月宣布，針對違反個資法跨境傳輸規定的Kakao Pay，處以59億6,800萬韓元行政罰鍰，最近韓國多家媒體報導指出，當地警方自7月6日針對相關事

Google released the Genkit Agents API in preview for TypeScript and Go. The open-source framework packages message history, tool loops, streaming, and state persistence behind a single chat() interface. Detached turns let agents work after clients disconnect. Interruptible tools …

雖然美國國家標準暨技術研究院（NIST）仍在評估其他後量子數位簽章候選演算法，但網路基礎設施與資安服務業者Cloudflare認為，不應等待更成熟的方案，應先採用目前已完成標準化的模組格基式數位簽章演算法（ML-DSA），展開後量子密碼學（PQC）第一階段部署，待未來其他標準成熟後，再逐步升級。

新改版的三星健康程式Samsung Health要求用戶允許使用健康資料來訓練AI，若用戶拒絕，未來將無法同步資料，甚至可能被刪除資料。

AI makes the first 80% of development feel fast, but hides architectural complexity until it's too late. To prevent system instability, engineering leaders must shift from raw throughput to systemic comprehension. By unifying spec-anchored SDD, TDD, and automated fitness function…

Article URL: https://github.com/eu-digital-identity-wallet/av-doc-technical-specification/discussions/19 Comments URL: https://news.ycombinator.com/item?id=48903777 Points: 297 # Comments: 183

Drawing from the enduring adaptability of HTML and HTTP, Seph Gentle proposes embedding self-contained schemas directly into file headers, ensuring data remains readable without external definitions. His experimental format prioritises forward, backwards, and sideways compatibili…

The 2027 release of SwiftData introduces support for persisting custom and third-party types via Codable, along with the ability to organize data into SwiftUI list sections. It also adds new capabilities for observing data store changes through ResultsObserver and HistoryObserver…

資安研究組織ASSET Research Group公開名為GhostCommit的概念驗證攻擊，顯示攻擊者可將提示注入指令藏在PNG圖片中，避開只檢查文字差異的AI程式碼審查工具。惡意內容合併至儲存庫後，具備影像理解能力的程式開發代理可能在後續工作中讀取圖片，依照其中指示開啟環境變數設定檔.env，再將檔案內容逐位元組轉為整數序列寫入程式碼。

在澳洲、印尼、土耳其、英國及法國都已實施或準備限制青少年存取社交平臺之際，歐盟執委會（European Commission，EC）主席Ursula von der Leyen周一（7/13）表示，打算設定一個讓孩子可以合法使用社交媒體的年齡，且在夏天之後就會提出方案。

資安業者Stripe OLT於7月13日揭露，Chrome與Edge瀏覽器擴充套件ModHeader內含隱藏的瀏覽紀錄收集引擎，可收集並外傳用戶的瀏覽資料，以致引發資安疑慮，先後遭到Google與Microsoft從網路商店下架。ModHeader可提供直接修改HTTP請求與回應標頭的功能，方便測試網站與線上服務，廣獲網站開發測試人員使用，累積超過160萬次下載，因而其暗藏的資料收集功能，可能影響大量用戶的瀏覽隱私。

微軟本周警告，ShinyHunters近來手法由以往運用惡意程式或暴力破解，轉向濫用OAuth驗證功能來攻擊Salesforce等合法SaaS應用程式，象徵其入侵手法的轉變。

7月8日套件管理器NPM第12版大改版正式推出，如同一個月前預告的重大變更，將多項安裝過程過去自動執行的高風險行為改為預設關閉、需明確授權才會執行。

Article URL: https://lenergy.com.au/free-daytime-electricity-is-coming-heres-how-it-actually-works/ Comments URL: https://news.ycombinator.com/item?id=48902320 Points: 257 # Comments: 333

隨著生成式AI帶動全球雲端基礎建設快速擴張，Amazo近期發表2025年永續報告，揭露其數位永續策略，聚焦於更高效率的雲端基礎設施、將雲端視為企業減碳工具，以及發展永續IT管理能力。不過，受到資料中心大規模擴建及供應鏈活動增加影響，該公司2025年整體碳排放仍較前一年增加16%，反映AI時代下基礎建設快速成長帶來新的永續挑戰。

資安業者Jamf揭露新型macOS竊資軟體CrashStealer，藉由偽裝成macOS內建當機回報工具Crash Reporter，誘騙使用者執行惡意程式並輸入系統密碼，進而竊取敏感資料。研究人員從五月開始追蹤這款惡意軟體，當時似乎仍在開發階段，但在七月初觀察到該軟體已被實際用於攻擊。

任何產業發生委外供應鏈資安事故都受關注，金融業也不例外，近日韓國友利銀行（Woori Bank）於2026年7月3日向客戶發布公告說明，由於外部開發商員工的作業疏失，導致該行約1.7萬名客戶的個人資訊發生外洩。曾處理該行NFT平臺使用者個資的再委外業者（재수탁사）Blocko，隨後也承認因內部員工管理不當才引發此次事件。

Article URL: https://tech.supercarblondie.com/japan-recovers-up-to-90-of-lithium-from-used-ev-batteries/ Comments URL: https://news.ycombinator.com/item?id=48901569 Points: 296 # Comments: 73

本日新聞焦點 ● 資料勒索駭客Helix專門針對SharePoint存放的資料而來 ● 中國駭客WP-ShellStorm攻擊企業Java應用系統的基礎設施 ● 13國共同針對俄羅斯軍情單位旗下駭客攻擊行動提出警告

日本最大計程車業者日本交通（Nihon Kotsu）於7月13日發布聲明，證實該公司內部系統遭外部未授權存取並感染惡意程式，為防止影響擴大，已立即關閉與隔離受影響系統，導致電話派車、租車網路預約管理及部分內部系統暫時停止運作。該公司已與外部資安專家合作調查事件，尚未發現客戶資料或其他資訊遭外洩的跡象。

英國周一（7/13）宣布首度與歐盟聯手制裁涉及俄羅斯網路攻擊、資訊戰及混合式作戰的個人與實體，並正式把針對波蘭能源電網的網路攻擊歸因於俄羅斯聯邦安全局（FSB）第16中心（Centre 16）。

This flight will put Starship under higher pressure and test out new Starlink satellites in orbit.

OpenAI上周將最新版GPT-5.6模型開放上線，並要求如欲使用高風險、高權限網路安全功能的個人用戶，應以硬體安全金鑰啟用進階帳戶安全防護（Advanced Account Security）。

一個月前威脅情報公司SOCRadar發現公開的伺服器137.175.93[.]126，內含Webshell、漏洞利用指令碼、bash執行記錄，以及C2組態資訊，共有434個檔案、大小約800 MB，從而揭露以經濟利益為動機的中國駭客組織WP-ShellStorm，鎖定逾140萬個WordPress網站的大規模攻擊，不過在這波活動之餘，SOCRadar發現，上述的內容管理系統（CMS）並非唯一駭客鎖定的目標，他們曾對企業組織採用的Java基礎設施下手。

Article URL: https://lalitm.com/post/git-history/ Comments URL: https://news.ycombinator.com/item?id=48901010 Points: 270 # Comments: 153

The man is said to be doing well in a Frankfurt hospital.

With residential proxies all the rage, CISA urges router users to be vigilant.

Ukraine’s drone blitz halted Russia’s Sea of Azov shipping in under a week.

Article URL: https://neow.in/cWsyMTV3 Comments URL: https://news.ycombinator.com/item?id=48897991 Points: 281 # Comments: 70

Article URL: https://werd.io/climate-gov-was-destroyed-open-data-saved-it/ Comments URL: https://news.ycombinator.com/item?id=48897945 Points: 243 # Comments: 105

Article URL: https://19thnews.org/2026/07/noaa-climate-data-website/ Comments URL: https://news.ycombinator.com/item?id=48897945 Points: 447 # Comments: 175

There's a separate $1,750 rebate for used EVs, but both rebates have a price cap.

Article URL: https://www.whois.com/whois/t.me Comments URL: https://news.ycombinator.com/item?id=48897878 Points: 257 # Comments: 186

New study confirms 2024 "momentum flux theory" on how angular momentum of water flows drives rotation.

AG: Deal will bring "higher prices, lower quality, and less content for film and TV."

Article URL: https://scottwillsey.com/building-and-shipping-mac-and-ios-apps-without-ever-opening-xcode/ Comments URL: https://news.ycombinator.com/item?id=48896665 Points: 321 # Comments: 141

Article URL: https://superdario.pawb.de Comments URL: https://news.ycombinator.com/item?id=48896286 Points: 332 # Comments: 82

"If we can't control the force of nature, at least we can control the narrative."

The amendment would restrict building codes that promote electrification.

Clever coding and graphical compromises get a classic game on more classic hardware.

"It's very clear that in the United States there is a big need for an additional crew vehicle."

Article URL: https://www.ms.now/opinion/doge-government-efficiency-records-job-cuts-elon-musk-foia Comments URL: https://news.ycombinator.com/item?id=48894641 Points: 247 # Comments: 197

Article URL: https://techcrunch.com/2026/07/13/lapd-lets-contract-with-surveillance-giant-flock-expire-citing-serious-concerns-over-civil-liberties-and-privacy/ Comments URL: https://news.ycombinator.com/item?id=48893947 Points: 271 # Comments: 184

Article URL: https://fabiensanglard.net/silpheed/index.html Comments URL: https://news.ycombinator.com/item?id=48893639 Points: 247 # Comments: 51

Precursor, our new continuous behavioral validation engine for bot management, offers visibility into how humans and bots actually interact across the full user journey. By turning session-level behavior into bot detection signals, it identifies advanced automation with higher pr…

This week's Java roundup for July 6th, 2026, features news highlighting: the GA release of TornadoVM 5.0; point releases of JHipster, Keycloak and Google ADK; maintenance releases of GraalVM Native Build Tools and Micronaut; the OmniFish Build of Payara and introducing Vidocq, a …

Article URL: https://jivx.com/densha Comments URL: https://news.ycombinator.com/item?id=48890959 Points: 278 # Comments: 47

生成式AI降低程式撰寫門檻，卻也讓大量低品質程式碼與漏洞回報湧入開源專案。金融時報（Financial Times，FT）在近日刊出的專題報導中指出，相關審查與維護成本正轉嫁給少數維護者，長期恐削弱開源社群協作模式，形成維護斷層。

微軟威脅情報團隊（Microsoft Threat Intelligence）揭露針對Windows平臺破壞型後門程式GigaWiper，攻擊者可遠端控制受害電腦，並啟用磁碟抹除、檔案加密及系統破壞功能。

開源專案OpenMandriva Linux上周傳出重大事件，貢獻者惡意破壞，刪除了專案長達十年、數十個儲存庫，並且破壞GNOME和COSMIC套件，幾乎危及下游開發人員系統。

7月9日澳洲網路安全中心（ACSC）發布重大警訊，指出他們掌握鎖定多種內容管理平臺（CMS）資安漏洞的全球性大規模攻擊活動，其中已有許多澳洲中小型企業受到影響。駭客積極掃描網站，利用影響CMS與外掛程式的各種已知弱點，試圖尋找部署Webshell的機會。

Experts explain how they work, what they can do, and what's still unsettled.

When a series of regional outages forced a rethink of a multi-region AWS API, the team discovered that an obstacle to global failover was hiding in plain sight: a pre-flight discovery call baked into every client session years earlier as the only available option. This article de…

In this podcast, Michael Stiefel spoke to Sarah Wells about the relationship of governance to software architecture. Governance enables teams to work effectively by establishing procedures that minimize system complexity, improve security, and reduce repetitive tasks. Targeted ch…

開源郵件及協同平臺Zimbra上周發出安全更新，以修補一個讓攻擊者以惡意郵件在網頁用戶端執行惡意程式的重大漏洞。 Zimbra Collaboration Suite（ZCS）為廣受歡迎開源協同平臺，整合電子郵件、行事曆、即時通訊和雲端硬碟功能。最新發現的漏洞為一存在ZCS的經典Web用戶端的跨站指令碼（Cross-Site Scripting，XSS）漏洞，可讓攻擊者傳送特製郵件，以便在用戶執行階段執行惡意腳本程式。但這項漏洞並未被分配CVE漏洞編號，也不知風險值。

今年2月荷蘭大型電信公司Odido證實遭遇網路攻擊，駭客團體ShinyHunters於2月5日至6日，冒充該公司IT部門的員工從事網釣而得逞，並向當地媒體透露約有620萬名客戶的帳號資料外流。這起事故也引起荷蘭當局的重視並介入調查，近日公布最新調查結果。