本週資安新聞涵蓋多起重大事件，包括 Microsoft Defender 零時差漏洞揭露、OpenSSF 通報開源社群攻擊案例，以及 FBI 發布年度網路犯罪統計數據。

⭕️ 資安趨勢部落格精選

• 供應鏈攻擊警報！破億下載的 Axios 套件遭惡意竄改
• 假冒版權通知！PureLog 多階段攻擊鎖定關鍵產業
• 從 LiteLLM 到 Telnyx：TeamPCP 攻擊戰術轉型，威脅範圍再擴大
• AI 堆疊根金鑰外洩警訊：LiteLLM PyPI 供應鏈事件深度解析

• 趨勢科技嶄新推出消費事業群品牌TrendLife™
• 【上週資安新聞週報】 Claude Mythos引發金融監管關注、電商80萬筆資料外洩、ComfyUI遭駭濫用、APT41竊取雲端憑證
• 【上週打詐週報】買 iPhone 收到濕紙巾！/「幽靈包裹」貨到付款強迫收貨/150元買蒜頭竟被誆60 萬
• Apple Pay 爆新型詐騙，按一下，錢沒了

一、漏洞與攻擊事件（本週最高風險）

1. 零時差與重大漏洞連環爆

• Microsoft Defender 再爆第 3 個零時差漏洞（RedSun），且已遭實際利用
• 同系列漏洞（含 BlueHammer）研究員不滿官方回應，持續揭露
• 4 月 Patch Tuesday 一次修補 169 個漏洞，含 2 個已被利用的零日漏洞
• Cisco Webex、ISE 接連出現重大漏洞（含未授權存取、RCE）
• Nginx UI 爆重大漏洞，且已遭積極攻擊
• protobuf.js 函式庫出現 RCE，影響 gRPC、Firebase 生態系
• GPU-Z 驅動漏洞恐讓駭客取得最高權限

繼續閱讀

台灣電商平台發生大規模資料外洩事件，約 80 萬筆會員網購資料遭外流；駭客透過假冒 Apple 頁面發動 iCloud 釣魚攻擊，鎖定 iPhone 用戶；開源 AI 影像生成平台 ComfyUI 暴露於網際網路後遭入侵，並被用於挖礦與殭屍網路部署；蠕蟲程式 GlassWorm 利用 Zig 語言載入工具滲透多款 IDE，影響開發環境安全；此外，GPUBreak 攻擊顯示顯卡可能成為新型攻擊入口，駭客可藉此取得整台電腦控制權。

⭕️ 資安趨勢部落格精選

從 LiteLLM 到 Telnyx：TeamPCP 攻擊戰術轉型，威脅範圍再擴大

AI 堆疊根金鑰外洩警訊：LiteLLM PyPI 供應鏈事件深度解析

TrendAI™ 、Europol、Microsoft以及合作夥伴聯手瓦解 Tycoon 2FA 釣魚平台

Atlassian Jira 遭濫用：偽裝合法通知發動全球垃圾郵件攻擊

TrendAI 與 NVIDIA OpenShell 攜手保護自主式 AI 代理

TrendAI™ 與國際刑警組織 (INTERPOL) 合作，瓦解 45,000 多個惡意 IP 位址與伺服器

---

⭕️ 媒體資安新聞一覽

Anthropic新模型Claude Mythos引發金融業資安疑慮，美英加監理機關關注風險       iThome

打擊「劫持上一頁」惡劣行徑！Google搜尋宣布將嚴懲阻擋使用者離開的網站    聯合新聞網

趨勢科技消費事業群新品牌TrendLife 下半年推出家用「Kaleida」產品           聯合新聞網

AI幫你寫履歷、報稅更快？7成民眾反而更焦慮 專家揭3招自保              壹蘋新聞

微軟發布4月例行更新，修補SharePoint、Defender零時差漏洞             iThome

供應鏈攻擊連環爆：OpenAI、Trivy 同期遭北韓駭客組織鎖定        資安人

趕快檢查！Google Chrome爆108個駭客惡意外掛、完整名單曝光       自由時報網

Zerion 員工遭北韓 AI 社交工程攻擊！熱錢包損失約 10 萬美元，使用者資金未受影響         BLOCKTEMPO

CISA在微軟揭露SharePoint漏洞當下即同步納入KEV清單，顯示風險急迫              iThome

PHP套件管理器Composer爆兩指令注入高風險漏洞，可遠端觸發任意指令執行             iThome

繼續閱讀