这一星期的漏洞修补新闻主角是多家IT大厂，包括微软、Adobe、SAP等，因为又到了每月例行安全更新修补的时间，需要尽速因应，特别的是，开源机器学习框架PyTorch修补重大漏洞的消息，登上iThome网站当周最多浏览资安新闻之一，也获得相当多的关切。

还有5个漏洞利用状况需留意，首先，台湾资安业者戴夫寇尔在本月7日揭露他们向PHP通报的重大漏洞CVE-2024-4577，并呼吁外界尽速修补，两日后，有资安业者发现开始有勒索软件黑客组织TellYouThePass利用这项漏洞从事攻击；其次，微软3月修补的Windows错误回报服务漏洞CVE-2024-26169，如今有资安业者发现勒索软件黑客组织Black Basta在修补发布3个月前，就已用于攻击行动，显然当时就有零时差漏洞利用攻击情形。

至于另外3个，包括Progress Telerik漏洞（CVE-2024-4358）、Android手机Pixel漏洞（CVE-2024-32896），以及Arm Mali GPU漏洞（CVE-2024-4610），它们也都被美CISA列入已知漏洞利用清单。

在资安事件焦点方面，有两则重大消息，首先是与政府组织有关的发现：荷兰政府针对今年2月发现该国国防部遭中国黑客入侵，如今有新调查结果公布，指出受害规模远远超出先前的发现；另一个是与台湾企业有关，那就是，国内上柜公司环球晶发布资安重讯，并有产线受影响的情况。

●荷兰国家网络安全中心（NCSC）6月10日公布中国黑客入侵国防部的深入调查，指出全球至少数十个政府机关、国防工业受害，逾2万台FortiGate防火墙被渗透，且黑客使用的恶意程序Coathanger相当难以识别与删除，并认为攻击者仍能存取大量受害系统。同时，NCSC提供边缘设备处理情况说明书让企业组织参考。
●国内半导体厂商环球晶圆在6月13日发布资安重讯，说明部分信息系统遭受攻击，并指出尚在厘清对于公司营运的影响。隔日该公司再度发布重讯，说明目前已局部陆续复工。而另有国内媒体指出，这次事件是该公司美国密苏里厂受袭击，产线正暂停仔细检修。
●我们还发现关于CACTUSl勒索软件在6月11日攻击台湾企业的情资，该组织将上柜通信网络业康联讯（Connection Technology Systems，CTS）列为受害者，上周二我们持续联系该公司，但他们至今仍未回应此事。

在其他重要威胁态势上，包括：有黑客在暗网社群推广网络钓鱼工具包V3B，该工具包主要锁定超过54个欧盟金融机构的用户；另一个资安威胁活动，则是出现假冒GitHub资安及人力资源团队的攻击行动。

关于资安防御态势，有2则重要新闻，首先，关于台湾资安发展状况，iThome资安大调查在今年4月已公布第一部份，最近我们进行第二轮的深度分析，并在6月中旬公布，这次涵盖资安信心、资安投资重点、资安阻碍、资安人才这4大层面的调查结果。例如，这次调查特别结合美国NIST CSF 2.0的6大核心构面，了解国内企业资安信心的分布，结果显示企业对于「复原」能力最具信心，对于「侦测」、「识别」的信心程度较低；在资安阻碍面的分析当中，呈现了企业认为做好资安的最大挑战因素；关于资安人才面的分析，显示台湾企业现阶段最看重的三大资安能力，分别是：资安事件应变能力、威胁分析或鉴识能力，以及资安风险分析与评估。

关于国际资安趋势，6月11日AWS在美国费城举办的云端安全会议re:Inforce 2024，我们应邀参加，特别值得一提的是，该公司资安长发表演讲强调资安文化的重要性，说明该公司定期与各部门总经理、产品经理与开发人员面对面沟通，每周五会面谈论资安问题，也谈及资安落实、扩及全组织的作法，以及推动员工自主决策的文化，并指出应该采用奖励方式，促使大家及早意识到问题严重性，而非以负面态度去看待。

【6月11日】纽约时报证实内部数据流入地下论坛，代码存储库帐密数据外流酿祸

因开发人员使用的代码存储库GitHub帐密数据外流酿祸的情况，不时有事故传出，在今天有两则资安新闻与之有关，其中最近一起是知名媒体纽约时报的资安事故，另一则是黑客假借GitHub团队进行勒索的情况。

值得留意的是，这些事故都发生在今年初，直到最近因为资安人员公布而受到关注。

【6月12日】微软发布6月份例行更新，总共针对49个漏洞进行公告

昨（6月11日）微软发布本月份例行更新，一共修补49个漏洞，相较于上个月公布多达60个漏洞，已减少一些，而且，稍微值得庆幸的是，这次公布的漏洞尚未发现遭到黑客利用的迹象。

但这次揭露还是有零时差漏洞，因为该漏洞的细节已在数个月前被公布，而这项漏洞与DNSSEC验证机制有关，影响范围可能会相当广泛。

【6月13日】荷兰针对中国黑客攻击Fortinet防火墙设备的网络间谍行动进行深度调查，黑客挟持全球逾2万台设备

荷兰今年2月在国防部察觉中国黑客从事的网络间谍攻击行动，对方利用重大漏洞CVE-2022-42475对FortiGate防火墙下手，并植入木马程序Coathanger，如今他们公布新的调查结果，指出这是一起大规模的全球攻击行动，黑客从Fortinet修补漏洞的两个月前，就进行相关攻击。

值得留意的是，黑客所使用的木马程序，不仅难以察觉行踪，更无法通过部署修补程序清除，因此荷兰军情机构认为，这起攻击行动的受害规模，实际上可能还会再扩大。

【6月14日】勒索软件黑客组织Black Basta在微软提供漏洞修补3个月前，利用掌握到的资安弱点打造攻击工具

资安业者赛门铁克近期针对勒索软件黑客Black Basta、RansomHub的攻击行动进行调查，并公布相关发现，其中，较为值得留意的是，Black Basta掌握了微软尚未修补的Windows系统弱点，而能在3个月的空窗期制作漏洞利用工具并用于攻击行动。

值得留意的是，微软在修补漏洞的当下，并未察觉漏洞遭到利用的迹象，而是直到最近，才有研究人员察觉，该漏洞已于去年被用于网络攻击。