這週的資安情勢依然混亂，攻擊者的手法正從單純的「盜取帳號」轉向更深層的「供應鏈滲透」與「漏洞利用」。對於工程師來說，最重要的一點是：攻擊者不再只尋找最新的 0-day 漏洞，他們非常擅長挖掘那些被遺忘在系統中、數年未修補的舊漏洞。
以下將本週的關鍵事件分為四大技術脈絡進行解析。
開發環境成為新戰場：供應鏈攻擊的演進
近期最令人關注的是 GitHub 內部儲存庫（Repositories）遭到洩露，原因竟是開發人員安裝了被污染的 VS Code 擴充功能 Nx Console。
這類攻擊被稱為供應鏈攻擊（Supply Chain Attack），其核心邏輯是：攻擊者不直接攻擊防禦嚴密的目標公司，而是攻擊該公司開發者所信任的第三方工具。在本案例中，攻擊者先透過 TanStack 供應鏈攻擊滲透開發者系統，隨後將惡意代碼注入 Nx Console 擴充功能。當開發者在編輯器中使用該工具時，攻擊者便能藉此獲取權限並外洩約 3,800 個內部儲存庫。
這提醒我們，IDE 插件、npm 套件或任何開發工具都可能是進入企業內網的跳板。對於 Junior 工程師來說，應養成習慣審視插件的權限，並在可能的情況下使用隔離的開發環境。
基礎設施的隱患：舊漏洞的致命回歸
本週揭露了一個在 Linux 核心中潛伏了 9 年的漏洞（CVE-2026-46333）。這個漏洞屬於權限管理不當（Improper Privilege Management），允許一個沒有權限的本地使用者在 Debian、Fedora 和 Ubuntu 等主流發行版上，直接以 root 權限執行任意指令。
這類漏洞之所以危險，是因為它提供了權限提升（Privilege Escalation）的路徑。攻擊者只要先透過簡單的 phishing 或弱密碼進入系統（取得低權限帳號），就能利用這個舊漏洞瞬間接管整個伺服器。這證明了定期更新核心（Kernel Patching）的重要性，即使是看似穩定的舊系統，也可能藏著致命的時裝炸彈。
此外，Microsoft Defender 也出現了兩個被積極利用的漏洞，其中一個可讓攻擊者獲取 SYSTEM 最高權限，這意味著原本用來保護系統的安全軟體，反而成了被利用的漏洞來源。
現代化攻擊手段：AI 賦能與 C2 創新
攻擊者正在將 AI 整合進攻擊流程中。例如，針對中國教育體系的 Operation Dragon Whistle，攻擊者不再使用泛泛的釣魚郵件，而是利用 AI 蒐集目標大學的特定制度（如年度體能測驗與畢業資格掛鉤），設計極具針對性的社交工程（Social Engineering）誘餌，大幅提高受害率。
在指令控制（C2, Command and Control）方面，新出現的 Void Botnet 採取了極其激進的手段：利用以太坊（Ethereum）的智能合約來傳遞指令。由於區塊鏈的特性是去中心化且不可篡改，傳統的安全團隊很難像封鎖 IP 或域名那樣輕易地關閉這個 C2 伺服器，這大大增加了清除殭屍網路的難度。
數據洩露路徑的轉移：從帳號盜用到漏洞利用
根據 Verizon 的最新報告，一個重大的趨勢轉移發生了：漏洞利用（Vulnerability Exploitation）已在近 20 年來首次超越「憑證盜用（Compromised Credentials）」成為最常見的入侵路徑。
過去攻擊者傾向於用釣魚網站騙取密碼，但隨著多因素驗證（MFA）的普及，單純拿密碼已不足夠。因此，攻擊者轉而尋找未修補的軟體漏洞（如本週提到的 Drupal Core SQL 注入漏洞 CVE-2026-9082）。
對工程師的實務建議：
第一，優先處理 CVSS 分數高且已被公開利用（Known Exploited）的漏洞。本週 Cisco Secure Workload 出現了 CVSS 10.0 的滿分漏洞，這類漏洞必須在第一時間修補。
第二，警惕 OAuth 授權。許多 AI Agent 請求存取雲端工作區的權限，若缺乏監控，這些 Token 可能成為繞過 MFA 的後門。
第三，不要過度信任開發工具。使用像 Bumblebee 這樣的開源掃描工具來審查本地開發環境的元數據與配置，降低被供應鏈攻擊影響的風險。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。