本日新聞焦點
● AVERAT後門程式鎖定臺灣設備，惡意程式疑似針對眾至產品所開發
● 南韓金融業接連遭網路攻擊，金融主管機關FSC召開緊急會議
● 勒索軟體Warlock鎖定水資源與電信產業，利用SharePoint漏洞攻擊
● OpenSSL修補14個漏洞，含可能造成當機與服務阻斷的高風險漏洞
● 硬體權杖驗證軟體Thales SConnect爆重大漏洞，舊版用戶恐有風險
資安新聞總覽
Rapid7揭露AVERAT後門程式鎖定臺灣設備，同時指出相關惡意程式疑似針對眾至產品所開發
資安業者Rapid7近日揭露一批鎖定網路邊緣環境的Linux惡意程式，其中發現6個部署於臺灣網路環境設備的Linux後門程式AVERAT樣本。進一步分析還發現，一款用來部署AVERAT的惡意安裝程式，疑似專為攻擊ShareTech（眾至資訊）設備打造。此外，研究人員還從AVERAT組態中找到3臺分別位於臺南、板橋與桃園的受害設備，這些設備遭入侵後，被攻擊者進一步用作AVERAT的中繼基礎設施。眾至方面表示，目前已透過設備內部檢查機制掌握Rapid7報告提及的相關程式，並針對相關問題進行處理。該公司也會持續進行產品安全測試與掃描，如發現安全問題，將定期發布更新。詳全文
南韓多家大型銀行近期接連發生網路攻擊與個資外洩事件。南韓金融委員會（FSC）已召開緊急會議，要求金融機構全面檢查可從外部存取的IT資產與服務，確認是否存在安全漏洞及存取控制問題。這波事件自9月底起陸續發生。外部人士未經授權存取新韓銀行（Shinhan Bank）供貸款招攬人員使用的服務，造成約2.5萬名客戶資料外洩。同一期間，KB國民銀行（KB Kookmin Bank）及韓亞銀行（Hana Bank）也相繼發生個資外洩事件。FSC於10月2日邀集金融監督院、金融保安院、主要銀行及信用卡公司等單位召開緊急會議，討論近期金融機構發生的資安事件及相關攻擊手法，並要求業者迅速共享攻擊IP等威脅情報，強化金融業共同因應。詳全文
日經新聞員工M365帳號遭到入侵，被用於發布約9,000封釣魚信
10月4日，日本大型媒體日本經濟新聞社（日經新聞）公布兩起涉及員工雲端服務帳號遭竊的資安事故。其中一起是員工的Microsoft 365帳號遭到攻擊，被用於發送約9,000封欺騙性的電子郵件，本起事故可能曝露收件人姓名、電子郵件地址，以及部分電子郵件內容，日經新聞已更改被盜帳號的密碼，向當地資料保護機關通報，並著手調查資料外洩影響範圍與人數。另一起事故與Google Workspace服務有關，7月底一名員工的帳號遭未經授權存取，該公司8月初接獲Google通報得知此事，並更改帳密因應，此事可能導致員工與合作夥伴共1,646人的電子郵件地址和姓名外洩。詳全文
勒索軟體Warlock鎖定水資源與電信產業，利用SharePoint漏洞攻擊
9月上旬GitLab開發團隊修補CVSS嚴重程度達到10分滿分的資安漏洞CVE-2026-85706，漏洞公布不到一天就開始出現嘗試利用的活動，在美國網路安全與基礎設施安全局（CISA）表示該漏洞已遭積極利用後，10月2日數位發展部資通安全署也特別為此發布公告，警示CVE-2026-85706相當危險，攻擊者無須通過身分驗證就能利用這個漏洞，讀取GitLab伺服器任何檔案，目前已出現實際攻擊活動，呼籲政府機關、學校及企業組織儘速完成GitLab版本更新，以降低其資安風險，並透過資安警訊、國家資安資訊分享與分析中心（N-ISAC）等管道，通知相關機關與大專院校清查及處理。詳全文
10月2日GitLab發布AI Gateway重要修補更新19.2.4、19.3.2、19.4.1版，修補一個CVSS嚴重程度評為9.9分的漏洞CVE-2026-90970，影響18.1.6以上版本的AI Gateway，GitLab呼籲自行架設的用戶應立即套用其中一個新版因應；GitLab代管的AI Gateway已部署相關修正，用戶無須採取行動。CVE-2026-90970為自訂流程提示範本不當處理產生的弱點，AI Gateway在特定情況下允許通過身分驗證的Duo Agent Platform使用者，利用特製的流程組態逃脫提示範本沙箱。詳全文
加拿大網路安全中心於9月下旬更新郵件伺服器Roundcube的資安公告，該中心根據開源的情資報告，得知今年5月修補的資安漏洞CVE-2026-48842遭到實際利用，呼籲管理人員要根據Roundcube提供的指引，套用必要的更新程式。由於最近幾年不時傳出國家級駭客針對該郵件系統發動攻擊，因此這項公告更新相當值得留意。CVE-2026-48842為預先身分驗證型態的SQL注入漏洞，CVSS嚴重程度評為8.1分，Roundcube開發團隊於5月24日發布1.6.16、1.7.1版修補。詳全文
Debian修補Linux核心1,313個漏洞，CVE數量暴增引發關注
Debian於9月29日發布Linux核心資安公告，一口氣列出1,313個漏洞，涉及權限提升（Privilege Escalation）、服務阻斷（DoS）及資訊洩漏等，影響代號Trixie的Debian穩定版所搭配Linux核心套件6.12.107-1，用戶應更新至6.12.111-1。這次Debian發布數量異常龐大的漏洞，引發IT社群熱烈討論Linux核心CVE數量的膨脹，IT媒體The Register對此提出相對合理的解釋，他們認為前述現象並非單一因素造成，有可能Linux Kernel維護團隊本身採取較寬鬆的CVE分配政策，也可能與AI輔助漏洞發掘工具的普及有關。詳全文
OpenSSL修補14個漏洞，包含可能造成當機與服務阻斷的高風險漏洞
OpenSSL專案於9月29日發布資安公告，修補OpenSSL加密通訊函式庫14個漏洞，涵蓋DTLS、QUIC、X.509、SM2等元件，包括4.0、3.6、3.5、3.4、3.0、1.1.1及1.0.2等分支版本都受影響，其中3.0以前版本已結束一般公開支援，目前僅提供購買Premium Support的用戶修補版本，其餘版本的用戶則可依使用版本，升級至已修補的4.0.3、3.6.5、3.5.9及3.4.8版。這次OpenSSL修補的漏洞中，最嚴重的是CVE-2026-84782，CVSS評分為8.2分，可能導致記憶體內容外洩，甚至造成程式當機與服務阻斷。詳全文
硬體權杖驗證軟體Thales SConnect爆重大漏洞，金融與政府舊版用戶恐有風險
仍在使用法國科技業者Thales旗下舊版硬體權杖驗證軟體SConnect的組織，需要留意CVE-2026-18397。這項漏洞的CVSS 4.0風險分數為9.4分，屬重大漏洞。使用者若透過瀏覽器載入攻擊者控制的惡意網頁內容，攻擊者可能利用漏洞在其電腦執行程式碼。SConnect曾用於環球銀行金融電信協會（SWIFT）的3SKey硬體權杖驗證，也應用於部分政府、銀行及保險服務，SWIFT已在2025年9月推出Web Connect取代SConnect。Thales於10月1日公開CVE-2026-18397，影響SConnect 2.16.1.0以前版本。根據Thales提交的CVE資料，漏洞存在於SConnect的Native Host元件，涉及密碼學及記憶體管理等多項缺陷。詳全文
Dell修補伺服器部署工具DSU 5個漏洞，含可能導致攻擊者取得root權限的重大漏洞
Dell於10月1日發布命令列部署工具DSU（Dell System Update）更新，修補5個漏洞，涵蓋路徑穿越、權限配置及存取控制等問題。DSU是Dell用於搭配PowerEdge伺服器的部署工具，可供管理員在伺服器的Linux與Windows系統上部署BIOS、韌體及軟體更新，用戶應儘速升級至已完成修補的2.3.0.0以上版本。前述DSU漏洞中，最嚴重的是CVE-2026-86360，CVSS評分達9.6分，屬於路徑遍歷問題，未經身分驗證的攻擊者只要具備遠端存取能力，即可能存取受限制的檔案系統，進一步以root權限執行任意程式碼。詳全文
攻擊者濫用ChatGPT Custom GPT發動ClickFix攻擊，誘騙使用者植入木馬
Unsloth Studio存在任意程式碼執行漏洞，檢查模型資訊時就可能觸發
AI資安業者Pillar Security近期揭露，用於LLM微調及量化的開源函式庫Unsloth，其Web操作介面Unsloth Studio存在任意程式碼執行漏洞，使用Unsloth 2026.5.10及之前版本執行Studio的用戶受到影響。Unsloth之後修正相關問題，Pillar Security重新測試Unsloth 2026.6.9，確認相關攻擊途徑已遭封堵，並建議Unsloth Studio使用者升級至2026.6.9或更新版本。這項漏洞存在於Studio檢查模型資訊的處理流程，攻擊者可在Hugging Face建立含有自訂Python程式碼的模型儲存庫，並透過模型設定指向相關程式碼，使用者透過Studio選取這類模型後，系統在檢查模型資訊時就可能執行攻擊者放入的程式碼。詳全文
佛州要求法院限制OpenAI開發新AI模型，除非先取得獨立第三方對其安全防護措施的核准
美國佛羅里達州檢察長James Uthmeier於9月28日向法院聲請暫時禁制令，要求OpenAI開發新AI模型時，必須先取得獨立第三方對其安全防護措施的核准，並停止向佛州未成年人提供ChatGPT。法院尚未裁定此事。佛州今年6月已對OpenAI及執行長Sam Altman提告，指控該公司誤導消費者相信ChatGPT安全，卻未妥善控制產品可能造成的傷害。此次聲請是原有訴訟的一部分。佛州在文件中引用OpenAI代理人突破測試環境限制、進入Hugging Face等外部系統的事件，主張OpenAI無法單靠內部措施管理模型風險。詳全文
微軟Edge IE模式至少支援至2029年底，籲企業提前規畫維運與轉型
微軟近日再次提醒，Edge瀏覽器的IE模式至少支援至2029年底，讓仍依賴舊版IE相容性的企業有較充裕時間進行系統轉型。IE 11是最後一代IE，微軟已於2022年6月起停止支援部分Windows 10版本的IE 11桌面應用程式，並於2023年先後強制停用IE 11，但微軟仍然以IE模式支援舊應用程式及網頁。不過，企業仍應及早盤點依賴IE模式的舊網站與應用程式，評估其維護與資安風險，並規畫升級或汰換時程，避免長期依賴已逐漸退出主流的舊技術，微軟將會在IE模式正式退役前至少1年發出通知。詳全文
QNAP推出HDP for Business，讓既有NAS升級為企業備份與資料保護中心
國產NAS廠商威聯通（QNAP）推出備份解決方案HDP for Business Beta，為其NAS平臺新增企業級備份管理功能，並提供不可變備份、物件鎖定等勒索軟體防護機制。HDP for Business是由QNAP稍早推出的HDP for PC／VM備份功能套件延伸發展而來，在後者的Windows實體主機與VMware/Hyper-V虛擬機備份保護功能基礎上，擴展備份保護範圍，並增加多伺服器集中管理，以及一系列進階資料保護功能，包括防止備份遭修改或刪除的WORM不可變備份，以及透過Object Lock保護異地物件儲存中的備份副本，另外還提供備份驗證與即時復原等功能。詳全文
持續提升產品安全，永恒數位網路視訊監控系統導入雙因素身分驗證
網路攻擊的威脅居高不下，持續連接網際網路的設備經常是許多攻擊者積極滲透的目標，而除了路由器、防火牆，針對網路視訊監控系統的駭客攻擊更是屢屢躍上新聞，因此，強化這類產品的資安防護刻不容緩，專精於Linux嵌入式 NVR與企業級智慧監控系統的臺灣廠商永恒數位（Digiever），上個月發布新版韌體FW84，安全功能是重點特色之一，該公司提供雙因素身分認證為帳號密碼登入增添額外防護，若用戶啟動這項功能，可在登入系統的過程中，透過手機或電子郵件獲取亂數產生的動態密碼（OTP）。經由這項額外的身分驗證步驟，可保護永恒數位的VMS-NVR系統登入，使其免於受到未經授權的存取。詳全文
Docker Cloud Sandboxes上線，支援可在本機與雲端雙向搬移的AI代理隔離環境
沙箱是AI代理安全執行的重要隔離機制，可降低代理執行開發程式或安裝套件時，存取主機檔案、網路與機敏資訊的風險。Docker推出Cloud Sandboxes，將原本的本機沙箱延伸至雲端，以微型虛擬機隔離AI代理，並透過政策限制其可存取資源。開發者也能利用sbx move功能在本機與雲端間搬移沙箱環境，讓需要長時間執行的程式開發、測試工作，轉往雲端環境執行。詳全文
World推出金融超級App World Money，整合虹膜身分識別與支付、投資服務
生物特徵辨識可提供比帳密更難冒用的身分驗證機制，虹膜辨識則可進一步確認使用者是真人且具唯一身分。World推出金融超級App World Money，整合穩定幣、支付、投資、收益及跨境轉帳服務，並與World ID整合。使用者可透過Orb掃描眼睛與臉部進行真人身分驗證，將生物特徵辨識延伸至數位金融服務，作為數位身分信任的基礎。詳全文
臺灣資安新創TRAPA Security歷經五年發展，從CTF競賽走向日本市場
Comments (0)
Sign in to comment