這週的資安趨勢揭示了一個令人不安的現實：攻擊者不再需要頂尖的黑客技術，他們只需要尋找被遺忘的舊代碼、過時的協議，以及開發者疏於維護的開源套件。對於初入行的工程師來說，理解這些攻擊路徑比單純更新補丁更重要，因為這決定了你如何撰寫更安全的代碼。
瀏覽器記憶體漏洞與 0-Day 威脅
近期 Google Chrome 出現了一個高風險的 0-Day 漏洞（CVE-2026-11645），這屬於 Out-of-bounds memory access（越界記憶體存取）漏洞，發生在 V8 引擎中。V8 是 Chrome 用來執行 JavaScript 和 WebAssembly 的核心引擎。
簡單來說，越界存取是指程式嘗試讀取或寫入不屬於該對象的記憶體空間。攻擊者可以利用這個缺陷來執行任意代碼，這意味著使用者只要訪問一個精心設計的惡意網頁，設備就可能被控制。這類漏洞極其危險，因為它不需要使用者主動下載安裝任何檔案，僅僅是瀏覽網頁就足以觸發。
供應鏈投毒：被遺忘的開源套件
在 Arch Linux 的使用者儲存庫（AUR）中，發生了大規模的供應鏈攻擊。攻擊者並非開發複雜的漏洞，而是採取了最簡單的策略：尋找那些被開發者遺棄、但仍有使用者安裝的合法套件。
他們將惡意腳本植入這些套件的安裝過程中，下載名為 atomic-lockfile 的惡意 npm 套件。這種攻擊方式稱為供應鏈投毒（Supply Chain Poisoning），其核心邏輯是利用開發者對開源生態系統的信任。一旦你執行安裝指令，惡意代碼便以 root 權限在後台運行，進行憑證竊取或安裝 Rootkit（一種能隱藏自身並獲取最高系統權限的惡意軟體）。這提醒我們，在引入第三方依賴時，必須審查套件的維護狀態，而非僅看其功能。
身分驗證失效與過時協議的風險
兩個典型的案例展示了認證漏洞的殺傷力。首先是 Oracle PeopleSoft 的漏洞（CVE-2026-35273），由於關鍵功能缺失身分驗證（Missing Authentication），攻擊者無需密碼即可接管系統。
其次是 Check Point VPN 的漏洞（CVE-2026-50751），該漏洞存在於被標記為 deprecated（棄用）的 IKEv1 金鑰交換協議中。IKEv1 是一種較舊的 VPN 認證協議，因安全性不足已被新版本取代。然而，許多企業為了相容性仍開啟此功能。攻擊者利用證書驗證的邏輯缺陷，直接繞過驗證建立 VPN 連線。這告訴我們：禁用過時的功能（Deprecated Features）與更新版本同樣重要，因為舊功能往往是安全防禦中最薄弱的環節。
AI 賦能的社交工程與 PhaaS 模式
目前的釣魚攻擊已進入工業化時代，出現了 PhaaS（Phishing-as-a-Service，釣魚即服務）模式。犯罪集團提供現成的工具包，讓沒有技術背景的人只需支付週費，就能使用 AI 生成的精美偽造頁面進行詐騙。
目前攻擊者傾向於利用 AI 品牌的熱度作為誘餌，例如偽造 ChatGPT 或 Claude 的插件安裝包。他們利用 SEO Poisoning（搜尋引擎最佳化投毒），透過操縱搜尋結果，讓使用者在搜尋 AI 工具時優先看到惡意連結，進而下載 Infostealer（資訊竊取程式）來盜取瀏覽器儲存的密碼、Cookie 和加密貨幣錢包私鑰。
工程實務建議
面對這些趨勢，工程師在開發與維運時應採取以下策略：
第一，嚴格管理依賴項。不要盲目信任開源套件，定期審查依賴庫的更新頻率，避免使用長期無人維護的套件。
第二，徹底移除過時協議。如果系統支持 IKEv2 或更現代的認證方式，應強制關閉 IKEv1 等舊版協議，減少攻擊面。
第三，對 AI 產出保持警覺。AI 降低了攻擊者的門檻，使得高品質的釣魚郵件與網頁量產化。在處理敏感憑證時，應全面推行硬體金鑰（如 YubiKey）等強身分驗證，而非僅依賴 SMS 或 App 驗證碼。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。