本日新聞焦點
● 法國數百家超市冷凍冷藏系統遭駭，溫度飆升造成大量食品報廢
● WordPress網頁建構外掛Bricksforge存在滿分漏洞，傳已遭積極利用
● 思科發布10月上半更新，修補NX-OS、Smart License逾30個漏洞
● 日本三家旅行服務與系統業者爆外洩超過千萬筆資料
● SonicWall SMA1000滿分漏洞遭積極利用，3天內出現135次攻擊
資安新聞總覽
法國數百家超市在10月11日晚間遭到網路攻擊，駭客鎖定丹麥冷凍空調設備製造商Danfoss的冷凍冷藏控制系統，遠端啟動除霜功能，導致部分設備溫度升至攝氏50度，大量食品因此報廢，損失可能達數千萬歐元。受害業者包括Intermarché、Carrefour、Monoprix、Leclerc及Coopérative U等大型連鎖超市，法國政府已要求國家資訊系統安全局（ANSSI）介入調查。Danfoss則向媒體表示，大多數受影響設備為已停止軟體及安全更新的AK-SM800與AK-SC355控制器，另有部分AK-SM800A使用過時韌體，該公司正協助客戶更新韌體與強化網路防護。詳全文
Anthropic於10月9日公布旗下模型行為偏差報告，說明Claude模型在測試中未授權存取美國政府網站，該公司將暫時把所有評估拉下線。該公司在報告中列出4種行為偏差類型，包括駭入網站基礎漏洞以執行指令、擅自提交表單、繞過限制存取內容及違規使用短網址，受害網站包括各級政府及大學網站。Anthropic決定，繼之前將部分高風險和網路安全評估下線，如今進一步暫停所有內部評估，直到所有安全及監控措施都能發揮作用。這些新措施包括：隔離措施、護欄限制、自動化即時檢測與阻斷系統、對齊與增強學習（RL）訓練機制，以及內部維運與安全工具等。詳全文
會計及顧問服務業者美國EY今年春天發生的資料外洩事件，已波及高盛（Goldman Sachs）、英國投資業者英仕曼集團（Man Group），以及房地產開發與投資業者鐵獅門（Tishman Speyer）的客戶。部分客戶的個人及財務資料因此外洩。美國EY於4月23日發現，其使用的第三方IT支援工單系統遭未經授權存取，攻擊者在3月28日至4月12日期間下載了客戶資料。EY表示，事件涉及Checkmarx軟體漏洞，已於7月向美國部分州主管機關通報事故，並陸續向受影響個人發出通知，9月底又向更多受影響個人發出通知。駭客組織ShinyHunters於7月27日宣稱發動這起攻擊，目的是勒索贖金。詳全文
日本三家旅遊服務及系統業者包括旅行訂票比價平臺Adventure、住宿預約系統平臺業者TEMAIRAZU、旅遊代理業者H.I.S，分別公告資料外洩事件發生於去年12月及今年9月、10月，外洩上千萬筆客戶資料。其中旅遊預約平臺skyticket的營運商Adventure發生3起資安事件，涉及約1,464萬筆客戶資料；住宿預約系統業者手間いらず傳出大規模個資外洩，受影響人數達445萬。旅行社H.I.S則揭露泰國子公司伺服器遭未經授權存取，可能波及旅客護照及健康資訊。詳全文
日本客服平臺業者Scala Communications遭駭，外洩逾70萬筆客戶個資
日本客服平臺業者Scala Communications遭駭，其營運的FAQ及線上諮詢系統「i-ask」遭到外部人士非授權存取，使儲存在Scala伺服器的客戶資料外洩，影響包括大和證券、Citizen及損保日本（Sompo Japan）等5家企業客戶，一共有超過70萬筆個資外流。該公司於10月3日接獲警報並啟動調查，當天早上8點左右封鎖存取，於同日內通知受影響客戶，調查顯示，駭客登入i-ask管理網站並安裝程式，再存取同一伺服器上儲存客戶資料的資料庫。詳全文
日本企業接連發生資料外洩，JPCERT/CC示警並揭4類攻擊手法
日本近期接連發生多起未經授權存取事件，並造成大量個資與其他資料外洩，日本電腦緊急應變團隊協調中心（JPCERT/CC）於10月8日發布警告指出，這波事件主要發生在2026年9月前後，並非都由單一漏洞或相同手法造成，而是涉及已知漏洞利用、API濫用、Metabase漏洞，以及在應用程式伺服器植入WebShell等4類攻擊方式。JPCERT/CC提醒企業重新檢視可能的防護缺口，首先應加強API存取控制與Token管理。除此之外，企業也應修補已知漏洞、非必要的對外服務不應暴露於網際網路、強化Web伺服器遭入侵後的橫向移動防護措施，以及確認異常存取偵測與事件應變流程。詳全文
駭客組織CyberXero濫用Claude Code攻擊WordPress網站，竊取近63萬烏克蘭用戶資料
.png)
SonicWall SMA1000滿分漏洞遭積極利用，3天內已出現135次攻擊活動
WordPress網頁建構外掛Bricksforge存在滿分漏洞，傳出已遭積極利用
資安公司Patchstack警告，該公司自世界協調時間（UTC）10月7日晚間21時47分起，觀察到WordPress網頁建構外掛Bricksforge任意檔案上傳漏洞CVE-2026-85097遭到積極利用，由於該漏洞的CVE編號在同一天公布，顯示攻擊者在漏洞公布不到一天後，便已開始利用該漏洞。該漏洞可能導致攻擊者在未經身分驗證的情況下，從遠端向WordPress網站上傳及執行任意PHP程式碼，CVSS嚴重程度評分達到滿分10分，影響3.1.8.9之前的Bricksforge，開發團隊已發布3.1.8.10版修補。該外掛程式全球約有6千個WordPress網站採用，究竟有多少網站尚未更新，Patchstack並未透露。詳全文
備份管理平臺AhsayCBS資安漏洞被串連利用，攻擊者試圖挖礦與植入後門程式
威脅情報公司Huntress警告，備份管理平臺AhsayCBS近日公布的兩個漏洞CVE-2026-105133與CVE-2026-105134，已出現實際攻擊活動，攻擊者試圖於受害系統植入Webshell與挖礦軟體XMRig。Huntress指出，他們從10月7日觀察到鎖定上述兩個漏洞的攻擊，攻擊者先透過CVE-2026-105133繞過身分驗證流程，接著利用CVE-2026-105134得到遠端程式碼執行（RCE）能力，成功利用這些弱點後，攻擊者隨即在網頁應用程式資料夾植入Webshell，或下達一系列命令，以傳遞特定檔案，包括挖礦軟體XMRig，目前已發現5家企業組織遭到攻擊，採用AhsayCBS的企業與代管服務供應商（MSP）應儘速採取因應措施。詳全文
思科發布10月上半更新，修補NX-OS、APIC、Smart License逾30個資安漏洞
10月7日思科針對NX-OS、Application Policy Infrastructure Controller（APIC），以及Smart License（Smart Software Manager）等應用系統發布資安公告，修補35個資安漏洞，其中16個為重大等級，12個為高風險等級，由於沒有其他替代緩解措施，用戶應儘速套用更新因應。從修補的產品類型來看，網路設備作業系統NX-OS最多，有14個漏洞；而根據CVSS嚴重程度評分，前述漏洞中最危險的是CVE-2026-76482，存在於Smart License，為加密簽章驗證不當造成，CVSS評分達到最嚴重的滿分10分。詳全文
Google DevSite爆RCE漏洞，偽造Cookie即可觸發
Google開發者網站共用平臺DevSite被發現存在遠端程式碼執行（RCE）漏洞，問題出在Google將OAuth用戶端密鑰存放在瀏覽器Cookie內，又使用同一把密鑰作為Cookie簽章金鑰。資安研究人員Simon Koeck指出攻擊者無須登入Google帳號，就能利用這項漏洞在伺服器上執行任意程式碼。這項問題也影響其他使用DevSite的Google開發者網站，從developers.google.com取得的簽章金鑰，同樣可用來偽造firebase.google.com、developer.android.com等網站所接受的Cookie，顯示多個網站共用簽章金鑰所帶來的安全風險。Koeck於8月6日向Google通報漏洞，Google於10月7日完成漏洞修補。詳全文
Kiteworks修補126個漏洞，包含可能導致系統遭接管的EPG滿分漏洞
企業安全檔案傳輸與分享服務商Kiteworks日前修補旗下產品共126個漏洞，涵蓋核心平臺Core、電子郵件防護閘道（Email Protection Gateway，EPG）及Secure Data Forms（SDF），其中包括11個重大漏洞，涉及驗證繞過、管理員帳號接管、儲存型跨網站指令碼（XSS）及存取控制等問題。前述漏洞中，最嚴重的是影響EPG的漏洞CVE-2026-54154，CVSS評分達滿分10.0分，源於公開存取端點的輸入處理問題，可能導致未經身分驗證的遠端攻擊者執行任意程式碼，進而取得裝置root權限並完全控制EPG。詳全文
逾1.6萬個Supabase資料庫暴露於公開網路，恐洩漏敏感資料
.png)
漏洞挖掘競賽Pwn2Own Ireland 2026共找出近100個零時差漏洞
漏洞挖掘競賽Pwn2Own Ireland 2026於10月6日到9日在愛爾蘭科克舉行，總共有29個隊伍參賽，針對智慧型手機、智慧家庭裝置、印表機、即時通訊軟體、AI基礎架構、AI程式碼助理，以及本屆新增的健身裝置等7種類型的項目，找出98個零時差漏洞，主辦單位Zero Day Initiative發出126.2萬美元獎勵，相較於前一年的Pwn2Own Ireland 2025共找出73個零時差漏洞、發出約102.5萬美元獎金，今年的漏洞數量與獎金皆有顯著成長。本屆破解大師（Master of Pwn）由日本團隊Ikotas Labs奪得，他們一共找到13個弱點，並得到42.5個大師點數，獲得36.1萬美元獎金。詳全文
網頁版及Windows Outlook 11月將封鎖MSIX附件，降低惡意安裝套件散布風險
微軟上週通知IT管理員，Windows桌機版及網頁版Outlook從11月起，將預設封鎖MSIX格式附件，以改善安全性。MSIX格式是微軟推出的現代化Windows應用程式封裝格式，旨在取代舊有的.exe安裝檔與.msi安裝套件，不過普及率很低，近年還成為網路釣魚與惡意程式散播的新興管道，攻擊者常利用其系統信任度與特性偽造數位簽章與自簽憑證攻擊。此外，傳統防毒軟體或第三方瀏覽器篩選器對.msix檔案檢測率也較低。微軟預計於2026年11月將針對MSIX的預設封鎖政策推行至全球，以及提供給美國政府與軍方的Outlook服務，將影響含有.msix及.msixbundle附件的郵件收發，接收者將無法開啟或下載附件。詳全文
企業因應未來量子電腦對傳統密碼學的威脅，除了需要升級既有系統，也必須讓相關人員具備部署及維護新密碼學機制所需的知識。澳洲政府情報與資安機構澳洲通訊局（ASD）公布後量子密碼學（PQC）轉型系列的第五階段建議，將重點放在跨部門溝通、教育訓練及長期維護，並強調企業不能將PQC轉型視為一次性的系統升級工作，而且必須讓相關部門了解轉型計畫，依照不同職務調整溝通內容，例如向管理階層說明整體轉型方向及風險，並向負責系統設計與維護的人員提供具體的技術資訊。此外，企業也應說明轉型時程及可能面臨的限制，並與供應商及服務提供者協調產品支援情況及不同系統之間的相依關係。詳全文
PCI SSC發布支付環境AI安全指引，AI代理存取明文持卡人資料應經人工核准
隨著AI在支付決策與安全防護中扮演越來越重要的角色，清楚界定責任歸屬也更加重要。支付卡產業安全標準委員會（PCI SSC）於10月7日發布公告，說明近期已針對支付環境中的AI安全提出指引，建議採用least agency原則，只提供必要權限，並區分Human-in-the-loop與Human-over-the-loop兩種人工監督模式；若AI代理可存取明文持卡人資料，相關操作應經人工核准，Shadow AI及第三方AI服務也應納入治理，以因應AI日益影響支付安全防護的趨勢。詳全文
Palo Alto Networks指出68%組織在OT資產掌握上仍待加強，平均使用資安工具多達7套
Comments (0)
Sign in to comment