郵件安全
該標籤下有 3 篇文章
CVE-2026-116606 與 CVE-2026-111560 — Barracuda Email Security Gateway 認證繞過與作業系統命令注入：解析與對策（已列入 KEV，期限為11月13日，需要檢查是否被入侵）
2026年11月2日，Barracuda 披露了 Email Security Gateway（ESG）中的認證繞過（CVE-2026-116606，CVSS 9.3），以及影響 ESG、ADC、BMA、WCC、WAF 和 WSG 的作業系統命令注入（CVE-2026-111560，CVSS 8.6）。兩者都需要能訪問管理介面，結合起來可獲得 root。公告稱利用已影響少陣列織（11月9日補充）。CISA 於11月10日將兩者列入 KEV，期限僅三天後的11月13日，並要求進行取證檢查。本站的觀點：不要止步於打補丁。請限制管理介面的訪問，在更新前保全證據，並檢查是否有被入侵的跡象。
DreamHost 事件（2026年10月）：FTP 和 SFTP 登入資料經 File Manager 外洩，網頁郵件憑證也被取得，帳戶所有者應做什麼
2026年10月29日，DreamHost 表示，10月23日發現運行其網頁版 File Manager（files.dreamhost.com）的伺服器遭到未經授權的存取。攻擊者利用 File Manager 所用第三方軟體中的漏洞，取得了大約從8月到10月23日期間登入過 File Manager 的使用者的 FTP/SFTP 使用者名稱和密碼。攻擊者還進入了部分網頁郵件系統，取得了少數網頁郵件使用者的登入憑證；在少數情況下，信箱內容可能被檢視，DreamHost 正在逐一聯絡這些客戶。DreamHost 表示未發現控制台登入資料或帳單資訊被存取的證據，並且不儲存完整的銀行卡號。其稱受影響範圍遠低於電子郵件和 FTP/SFTP 帳戶的約10%，但未給出具體數量。它已向加利福尼亞州總檢察長提交通知（11月2日報導），樣本信函提供一年的身份盜用保護。自10月23日起，它作為預防措施重設了部分密碼，在帳戶所有者於控制台中設定新密碼之前，這些郵件、FTP 和 SFTP 使用者一直無法登入。本站的看法：如果您自8月起使用過 File Manager，即使沒有收到重設通知，也請更改您的 FTP/SFTP 密碼，更新工具中儲存的密碼，並檢查郵件轉寄和過濾規則，以及網站檔案中是否有不是您所做的更改。
什麼是網路釣魚（Phishing）？手法種類，以及比「識破」更可靠的防禦
網路釣魚是冒充可信對象、誘導你進入偽造的登入頁面等，竊取憑證或個人資訊（或誘使你執行惡意軟體）的詐騙。它的特點是攻擊『人的判斷』而非軟體漏洞，是勒索軟體與資訊外洩最大的入侵入口。如今有以假亂真的假網站連一次性驗證碼都即時中繼的中間人型(AiTM)，連SMS/應用程式的MFA也可能被突破。可靠的防禦不是『識破的注意力』，而是與網域繫結的抗釣魚MFA(通行金鑰/實體金鑰)、不點連結而直接存取官方、以及郵件認證(SPF/DKIM/DMARC)。