IBM發布了CUGA，這是一款開源人工智慧代理，實際完成了超過一半的任務2025.12.16人工智慧深度解析IBM發布的開源通用AI代理CUGA（Configurable Generalist Agent），旨在實現複雜企業工作流程的自動化。探討CUGA在WebArena和AppWorld基準測試中的性能表現（成功率約50%），並分析通用AI代理在企業環境中面臨的策略穩健性挑戰、商業價值質疑（Gartner警告），以及與Langflow等低程式碼平台的協同作用。
GitHub React2Shell 掃描器被證實為惡意軟體2025.12.16資訊安全一個名為「React2Shell」的惡意GitHub專案，偽裝成CVE-2025-55182漏洞掃描器，實際卻傳播惡意載荷，對正在調查高關注度漏洞的安全專業人員構成直接風險。本報告詳細分析該惡意軟體的運作機制，包括利用Windows合法工具mshta.exe獲取第二階段惡意軟體的技術，並強調了在採用任何第三方安全工具時，必須進行程式碼審查和謹慎信任的重要性。
警惕：PayPal訂閱功能被濫用，用於發送虛假購買郵件2025.12.16資訊安全深入分析利用PayPal「訂閱」計費功能發送偽造購買通知的新型網路釣魚詐騙。詐騙者成功將惡意內容嵌入於合法的PayPal電子郵件中的「客戶服務URL」欄位，導致郵件直接通過DMARC和垃圾郵件過濾器的安全檢查。報告詳細揭示了攻擊者如何利用此技術、使用Unicode字符進行混淆，並誘導受害者撥打詐騙電話，構成極具欺騙性的新型安全威脅。
FreePBX 修復了關鍵的 SQL 注入、檔案上傳和 AUTHTYPE 繞過漏洞2025.12.16工控安全解析 FreePBX 及其商業模組中發現的嚴重認證繞過漏洞 CVE-2025-45579。該漏洞允許未經授權的遠端攻擊者完全繞過管理員登入機制，進而獲取管理員權限並執行遠端代碼。報告強調該漏洞對企業 VoIP 通訊系統構成的極高風險，並提供緩解措施及補丁資訊。
虛擬化中隱藏的風險：為什麼虛擬機器管理程式容易成為勒索軟體的溫床2025.12.17資安管理勒索軟體犯罪集團正將目標轉向虛擬化環境的核心 Hypervisor（如 VMware ESXi 和 Microsoft Hyper-V）。文章揭露，攻擊者正利用這一盲點繞過傳統安全防護，單次入侵即可危及數十甚至數百個虛擬機。
React 和 Next.js 安全漏洞與安全軟體開發管理2025.12.17資安管理針對 React Server Components (RSC) 中的未經認證遠端程式碼執行 (RCE) 漏洞 CVE-2025-55182（CVSS 10.0）進行深度研究。此漏洞源於不安全反序列化，可導致駭客在應用程式伺服器上執行任意程式碼。
社交工程攻擊郵件-假冒身份發送郵件2025.12.17社會工程本週資安週報深度剖析 2025 年末出現的假冒企業社交工程攻擊。透過解析 Raw Header 揭露攻擊者如何利用 Outlook 合法雲端服務、Supmailer 工具與 QR Code 誘導員工轉移至 Line 等非受控通訊管道。本文提供「四層防護模型」與「30秒快速判斷法」，並對接 ISO 27001 與 ISO 42001 合規控制項，協助組織建立制度化的資安防護體系，防止 BEC 與社交工程詐騙。
MITRE 擴展了 D3FEND 網路安全本體，以支援 OT 環境中的網路安全2025.12.18法規標準非營利組織 MITRE 宣布將 D3FEND 框架擴展至營運技術（OT）環境，為防護網路物理系統提供結構化知識庫。本研究報告深度分析 D3FEND for OT 如何協助企業應對現代化 OT 系統連接雲端後的資安風險，並探討其在控制器、感測器及執行器等工業環境中的應用價值，建立主動防禦的技術標準。