近期資安研究揭露「Zombie ZIP」漏洞，攻擊者利用壓縮檔格式的設計特性進行操作，使防毒與資安工具在解析檔案時出現判讀落差，進而無法正確識別其中潛藏的惡意程式。 對企業而言，這代表威脅正在轉變。風險除了來自尚未修補的漏洞，還有對既有標準與機制的過度信任。壓縮檔長期被視為安全且常見的資料交換方式，廣泛應用在郵件附件、系統傳輸與備份流程中。一旦這類基礎格式被攻擊者利用，其影響範圍將迅速擴大，甚至滲透至組織核心環境。 漏洞說明 Zombie ZIP（CVE-2026-0866）的核心問題在於壓縮檔標頭與實際內容不一致。攻擊者會將 ZIP 檔案的壓縮方法標示為 STORED，也就是未壓縮，但實際內容卻是經過 DEFLATE 壓縮。這種刻意錯置，會讓多數安全工具誤判。 許多防毒與端點防護系統在掃描壓縮檔時，會優先相信檔案標頭資訊，以節省運算資源。當系統看到 STORED，就會直接以未壓縮資料進行掃描。然而實際內容是壓縮資料，因此掃描結果只會看到無意義的資料片段，導致惡意程式成功躲避偵測。 相關漏洞整體風險評估 CVE-2026-0866...

2025 年下半年，常見文字編輯器 Notepad++ 發生一起供應鏈攻擊事件。攻擊者沒有修改軟體原始碼，而是入侵更新相關的基礎設施，使部分使用者在檢查更新時接收到被竄改的更新資訊。由於攻擊利用官方更新機制的信任關係，過程相當隱蔽，使用者難以察覺。 多家資安研究機構研判，此行動與 APT 組織 Lotus Blossom 有關，主要鎖定政府、金融與科技相關機構。事件也再次提醒企業，即使是日常使用的開發工具，也可能成為供應鏈攻擊的入口。 漏洞說明 在本次事件中，攻擊者並未入侵使用者電腦本身，而是先取得更新基礎設施的控制權，再利用此漏洞將合法更新流程轉變為惡意程式散布管道。當受害者透過舊版 Notepad++ 檢查更新時，系統可能下載並執行未經授權的安裝檔。 CVE-2025-15556 CVSS 評分約 8 分以上（高風險）。此漏洞存在於舊版 Notepad++ 的更新程式 WinGUp。更新流程在下載更新清單與安裝檔時，缺乏完整的數位簽章驗證機制。攻擊者若能攔截或重新導向更新流量，便有機會提供偽造的更新資訊與惡意安裝檔。 哪些使用情境容易成為攻擊

美國網路安全暨基礎設施安全局（CISA）近期更新「已知遭利用漏洞（KEV）」目錄，將 VMware 漏洞 CVE-2025-22225 列入清單，並確認該漏洞已遭勒索軟體集團實際利用。 該漏洞最早於 2025 年 3 月由 Broadcom 在安全公告 VMSA-2025-0004 中揭露，並與另外兩項高風險漏洞（CVE-2025-22224、CVE-2025-22226）一併修補。隨著被正式納入 KEV，代表此漏洞已從「已公開弱點」升級為「持續遭攻擊利用」的實戰風險。 由於漏洞涉及虛擬機逃逸與 Hypervisor 層級影響能力，對廣泛使用 VMware ESXi 作為核心基礎架構的企業而言，其風險層級遠高於一般應用程式漏洞。 漏洞說明 CVE-2025-22225 屬於 Arbitrary File Write 漏洞 ，存在於 VMware ESXi 的 VMX 程序處理機制中。在特定條件下，若攻擊者已在虛擬機中取得管理員權限，便可透過 VMX 程序觸發核心層級的寫入行為，進 而 沙箱逃逸 （Sandbox Escape）、操控主機核心記

許多企業投入大量資源建立資安制度，卻在日常流程中不經意地留下空隙。權限管理看似簡單，實際上牽動著人的行為與部門的默契。制度若沒有被一致地遵守，即使是最基本的權限調整也可能出現延遲與遺漏。這些小細節往往不會立刻引起注意，但時間久了便形成風險來源。從離職流程到跨部門合作，再到組織文化本身，這些因素交織在一起，決定了制度是否能真正落地。 權限治理的核心在於保持資訊環境的秩序 企業的資訊環境像一座城市，系統是道路，資料是建築，而權限則是能在城市中通行的許可。這些許可若缺乏管理，城市外觀看似正常，內部卻可能逐漸失去秩序。隨著企業擴張，系統、資料與協作關係都變得更複雜。如果權限沒有跟著更新，原本清楚的邊界會慢慢模糊，企業也會越來越難掌握誰能接觸哪些資訊。 權限治理的目的不是限制，而是維持這座城市的穩定 。人員調動、新專案啟動或組織變化，都意味著權限需要重新調整。如果缺乏這樣的節奏，許多不再需要的權限就會被保留在系統中，表面上沒有問題，實際上卻增加了誤用與外洩的機會。許多意外並非源自攻擊，而是來自已無相關職務的員工仍保有存取能力，讓原本應該封閉的資訊持續暴露。