本日新聞焦點
● Google Cloud倫敦區域中斷近8小時，波及英國銀行與公共服務
● 日本企業接連遭駭，GMO確認攻擊者使用AI滲透測試工具ARTEX
● SiteGuard WAF命令注入漏洞遭利用，駭客可取得伺服器最高權限
● AOMEI備份軟體遭供應鏈攻擊，駭客短暫劫持更新機制散布後門
● Broadcom Wi-Fi晶片WPSplinter漏洞波及臺灣網通廠商產品
資安新聞總覽
Google Cloud倫敦區域服務中斷近8小時，波及多家英國銀行與公共服務
Google Cloud於10月20日出現大規模服務異常，影響英國倫敦的europe-west2雲端服務區域，根據Google Cloud狀態頁面，事故於英國夏令時間10月20日上午7時8分發生，至下午3時結束，歷時7小時52分鐘，期間造成多項服務出現錯誤率升高及網路連線間歇性故障。Google將這起事故的原因描述為「電力事件」（power event），影響europe-west2服務區域的38項服務，也波及多家依賴Google雲端基礎設施的英國企業與公共服務，包括英國國民保健署（NHS England）及皇家郵政（Royal Mail），還有銀行與金融業者Revolut、HSBC、Lloyds，房地產網站Rightmove等。詳全文
日本企業接連遭駭，GMO確認攻擊者使用AI滲透測試工具ARTEX
日本近期接連傳出企業遭網路攻擊及資料外洩事件，日本資安業者GMO Cybersecurity by Ierae調查發現，攻擊者使用AI自主滲透測試工具ARTEX，鎖定約20家日本企業，其中9家屬於同一產業。研究人員另發現6臺使用AI技術發動攻擊的主機，分別針對零售、金融、電商、媒體及物流等產業。CrowdStrike先前也發現韓國金融機構遭遇涉及ARTEX的攻擊。GMO指出，遭鎖定的日本企業中，有8家於9至10月間公告資料外洩事件，已將調查資訊提供執法機關，並持續追查其他國家的受影響情況。詳全文
CISA將Plex、SiteGuard、西門子產品6個漏洞列入KEV
美國網路安全與基礎設施安全局（CISA）於10月20日將6個遭積極利用的漏洞，新增至已遭利用漏洞名單（KEV），並要求聯邦機構依照規定的期限完成修補。這些漏洞分別影響影音串流伺服器Plex Media Server、網頁應用程式防火牆EG Secure Solutions SiteGuard Server Edition，以及西門子軟體管理平臺Siemens Software Center。前述漏洞中，有4個影響Plex Media Server，並可形成攻擊鏈Plex2Shell；存在於SiteGuard的弱點是CVE-2026-106931，可被用於作業系統命令注入；最後一個弱點CVE-2026-110936，為影響Siemens Software Center的路徑遍歷漏洞。詳全文
SiteGuard WAF命令注入漏洞遭利用，駭客可取得伺服器最高權限
日本資安廠商EG Secure Solutions於10月14日發布緊急公告，指出旗下SiteGuard Server Edition網頁應用程式防火牆（WAF）存在命令注入漏洞CVE-2026-106931，且已遭駭客利用，提醒用戶儘速修補。SiteGuard是該公司開發的網站防護產品系列，宣稱已被用於超過150萬個網站的保護，此次漏洞則影響安裝於網頁伺服器的Server Edition。該漏洞的CVSS 4.0嚴重性評分為8.5，EG Secure Solutions已發布修補版本，並提供無法升級者使用的個別修補程式，另特別提醒用戶，更新與修補程序可能會清除既有的攻擊痕跡（attack trace）資訊，管理者應先從網頁管理介面下載並保存診斷資訊，再進行修補。詳全文
影音串流平臺Plex被鎖定，攻擊者利用漏洞攻擊鏈Plex2Shell植入挖礦軟體與後門
10月16日研究人員Zach Main（Zmain）公布影音串流伺服器Plex Media Server漏洞利用鏈Plex2Shell，該利用鏈涵蓋CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656等4個漏洞，在相關資訊與概念驗證程式碼（PoC）公布的隔天，這些弱點就被用於實際攻擊。研究人員BoredHacker於10月17日早上在蜜罐陷阱偵測到Plex2Shell利用活動，觀察到攻擊者向Plex Media Server端點發送特製請求，將protocol參數指向searchOne端點，並透過URL參數串連漏洞利用流程。研究人員之後也觀察到來自其他IP位址的攻擊活動，攻擊者在成功利用Plex2Shell之後，部署挖礦軟體XMRig，以及另一支惡意程式myawesomeproxy。詳全文
西門子軟體管理平臺漏洞遭利用，攻擊者試圖用於ClickFix網釣活動
德國工業科技公司西門子於10月19日發布資安公告，旗下軟體管理平臺Siemens Software Center資安漏洞CVE-2026-110936已遭攻擊者實際利用，相關攻擊活動與Romulus多平臺ClickFix網釣有關，攻擊者利用存在弱點的3.5.8.7版載入惡意檔案，透過安裝套件AllMyBasic.msi及archive.dll等檔案執行攻擊。CVE-2026-110936可被利用來側載DLL檔案，通過身分驗證且能在本機操作的攻擊者，可將特製DLL檔放入特定資料夾，然後藉由該軟體管理平臺以特殊權限執行任意程式碼，CVSS v4.0嚴重程度為8.4分，西門子已於10月15日發布4.0.9.8版Siemens Software Center修補，呼籲用戶儘速更新。詳全文
ClickFix攻擊出現支援多種管道的惡意酬載傳遞管理平臺Romulus
Citrix NetScaler漏洞遭到串連，攻擊者以此滲透企業內部網路環境
WordPress熱門SEO外掛Rank Math PRO遭遇供應鏈攻擊，網站恐被植入後門
近日提供熱門WordPress搜尋引擎最佳化（SEO）外掛的廠商Rank Math發布資安公告，坦承旗下付費版外掛程式Rank Math PRO近日發生供應鏈攻擊，3.0.123版被植入惡意軟體，一旦用戶在網站安裝並啟用，攻擊者便可能入侵網站並建立隱藏後門。若用戶於世界協調時間（UTC）10月15日20時2分至16日上午7時12分下載這套軟體，有可能用到遭竄改的外掛程式。目前Rank Math已移除受影響檔案，並發布新版3.0.124，呼籲用戶立即檢查網站是否遭到入侵。值得注意的是，本次事故影響付費版本Rank Math PRO，若是從WordPress網站下載免費版Rank Math SEO，則不受影響。詳全文
AOMEI備份軟體遭供應鏈攻擊，駭客短暫劫持更新機制散布後門
海康威視5年前漏洞再成目標，密集攻擊時間與俄軍空襲烏克蘭重疊
資安業者GreyNoise發現，9月23日至10月1日，針對烏克蘭境內海康威視監控設備的漏洞利用嘗試突然增加，主要來自4個IP位址，鎖定2021年便已揭露的重大漏洞CVE-2021-36260。這個命令注入漏洞可讓未經身分驗證的攻擊者遠端執行命令，取得設備控制權，進而竊取資料、植入惡意程式或攻擊內部網路。前述攻擊活動與俄軍對烏克蘭空襲加劇的時間重疊，但研究人員尚無法確認攻擊者身分，也未觀察到攻擊者要求設備下載或安裝其他程式。詳全文
Broadcom Wi-Fi晶片WPSplinter漏洞波及臺灣網通廠商產品
資安研究人員近日揭露Broadcom Wi-Fi晶片的WPSplinter漏洞，可能讓攻擊者在無線訊號範圍內，無須Wi-Fi密碼即可取得設備root權限，並列出受影響的18家廠商旗下50多款產品，包括在臺灣有銷售業務的合勤科技（Zyxel）、Netgear與Cisco等廠商，其中合勤表示正聯繫Broadcom確認兩款可能受影響產品的解決方案，並調查其他型號；Netgear的代理商瀚錸科技則表示，受影響兩款產品皆已停產多年且未引進臺灣，Cisco則尚待原廠確認。詳全文
立康接獲消費者反映疑似個資外洩，委外購物平臺遭第三方不當存取
生技醫療公司立康（6242）於10月21日上午9時在公開資訊觀測站發布重大訊息，該公司於20日接獲消費者反映，疑似有第三方人士從委外廠商管理的購物平臺不當取得資料，並透過電子郵件聯繫消費者。立康獲悉後立即啟動資安事件應變機制，針對相關系統、存取紀錄及可能涉及的資料範圍進行調查，並要求購物平臺委外廠商同步進行資安檢視與必要的強化措施。詳全文
Chrome 156修補353個漏洞，Firefox也推出安全性更新158.0.1
Google於10月20日發布Chrome 156電腦版與Android版大改版，此次一共修補353個資安弱點，涵蓋瀏覽器圖形處理、無障礙功能、CSS及即時通訊等元件，6個為重大等級、61個為高風險等級。Windows及macOS用戶應更新為156.0.8078.47或156.0.8078.48，Linux與Android用戶應更新為156.0.8078.47，以緩解相關弱點。同一天Mozilla基金會也發布安全性更新，推出Firefox 158.0.1、ESR 153.5.1、ESR 115.43.1，以及收信軟體Thunderbird 158.0.1與153.5.1，其中Thunderbird 158.0.1修補的漏洞最多，有8個，5個為高風險等級；Firefox 158.0.1修補4個弱點，2個為高風險等級。詳全文
多個組織的MCP專案存在SSRF漏洞，研究人員示警AI代理信任問題
獨立資安研究人員Syed Anas Mohiuddin近期公布模型上下文協定（MCP）安全研究成果，發現Google、摩根大通等多個組織的MCP專案存在類似的伺服器端請求偽造（SSRF）漏洞，包括Google資料庫存取工具MCP Toolbox for Databases的高風險漏洞CVE-2026-14540，攻擊者可能利用這些漏洞，誘使MCP伺服器向攻擊者原本無法直接存取的內部系統發出網路請求。研究人員並將利用不同通訊協定間的信任關係、逐步擴大攻擊範圍的手法稱為Protocol Pivoting。攻擊者可將惡意指令植入AI代理讀取的外部內容，當代理將工作交給其他代理處理時，惡意指令可能隨之傳遞。如果接手的代理未確認相關操作是否獲得授權，就可能依照惡意指令，執行原本受到限制的操作。詳全文
AI漏洞通報湧入，curl改在GitHub公開處理中低風險漏洞
開源網路傳輸工具curl專案調整漏洞揭露程序，自10月26日起，經curl維護團隊判定為低或中度風險的漏洞，將改在GitHub Issues公開通報與討論，高風險及重大漏洞則繼續透過HackerOne私下處理。curl主要維護者Daniel Stenberg指出，持續湧入的漏洞報告讓維護團隊難以負荷，希望藉由公開處理分攤工作。原本安全漏洞須先私下通報，由維護團隊確認、修補後再公開，新政策則讓外部開發者參與中低風險漏洞的問題確認、修補檢查及安全公告撰寫。研究人員若不確定漏洞嚴重程度，仍可先提交HackerOne，要是curl判定為低或中度風險，便會要求通報者改在GitHub提出，原本的HackerOne通報會註記為資訊性案件後結案，並公開內容。詳全文
AI發展與普及速度受制於安全性不足，SailPoint創辦人呼籲整個產業持續投入並付諸行動
SailPoint執行長暨創辦人Mark McClain指出，AI發展不應因資安事件而停滯，但產業必須同步強化安全防護。他以Hugging Face遭遇的AI代理入侵事件為例，指出攻擊者利用多個防護環節的缺口取得權限，凸顯AI代理的身分識別、存取控制與憑證管理風險。他認為，傳統身分管理機制難以因應AI代理快速變動的存取需求，企業應導入適應性身分防護，依據風險即時調整權限，並落實最小權限原則。AI開發商、企業及資安業者也須共同建立完善的治理與防護措施，才能兼顧AI創新及安全。詳全文
微軟10月Windows Server更新引發Exchange異常，影響郵件收發服務
微軟10月13日發布的Windows Server安全更新，造成部分企業內部部署的Exchange Server運作異常，影響Outlook網頁版登入及郵件收發服務，Exchange Server 2016、2019及SE版均可能受影響。這次異常與Windows Server安全更新有關，即使未安裝10月Exchange Server安全更新，也可能發生，且異常程度與伺服器負載有關。微軟建議管理人員調整登錄設定值EpmapSavedContextCap並重新啟動伺服器，持續監控服務是否恢復或再次異常。微軟不建議解除安裝安全更新，目前仍在調查原因，尚未發布正式修補程式。詳全文
加拿大AI模型業者Cohere於10月15日宣布，已與AI資安新創AISLE簽署併購意向書，希望藉此取得AISLE利用AI尋找軟體漏洞、協助產生修補程式的技術，強化旗下企業AI平臺的資安防護能力。Cohere計畫成立新的資安業務部門Cohere Cyber，向企業及政府客戶提供資安解決方案。Cohere希望藉由AISLE的技術，協助企業偵測資安威脅，加強AI代理與自動化工作流程的治理及監控，並保護敏感資料及重要業務系統。AISLE資安研究團隊也將與Cohere的AI模型開發團隊合作，探索如何利用可驗證的資安問題評估及改善未來的AI模型。詳全文
Comments (0)
Sign in to comment