新聞

本日新聞焦點

● 一零四資訊科技系統遭到異常讀取，12萬筆履歷資料恐外流
● 丹麥人口登記系統遭駭，880萬人資料外洩
● FBI與Accenture的承包商解約，疑因未補漏洞遭ShinyHunters入侵
● Linux後門ClingSTUN利用公開STUN服務，惡意通訊更難辨識
● Atlassian揭露影響旗下8款主要應用系統的任意檔案讀取漏洞

資安新聞總覽

一零四資訊科技系統遭到異常讀取，12萬筆履歷資料恐外流

經營線上求職網站的一零四資訊科技（3130）於10月6日傍晚，在股市公開資訊觀測站發布重大訊息，表示該公司察覺App系統有異常讀取的情況，事發後已立即採取相關防護措施及阻斷，依規定向相關主管機關通報，且向調查局臺北市調處報案。該公司也在網站上向會員公告此事，並表示已主動透過電子郵件通知疑似受影響的用戶。針對本次事故的影響範圍，根據調查確認，約有12萬筆履歷資料遭未經授權讀取。一零四初步認定此事對公司尚無重大影響，系統運作與營運正常。詳全文

丹麥人口登記系統遭駭，880萬人資料外洩

10月5日丹麥中央人口登記局（Central Population Register，CPR）表示近日發生資安事故，攻擊者濫用當地公司持有的存取權限，取得約880萬名公民的姓名、居住地址，以及CPR號碼（相當於我國的身分證字號）等資料。CPR已停用該公司的存取權限，與專家和丹麥當局合作，並向丹麥資料保護署通報，警方與相關部門正著手調查。在這起事故的處理過程中，CPR於10月2日晚間察覺此事，經調查得知入侵時間發生於9月，攻擊者先濫用一家丹麥公司的存取權限，試圖挖掘CPR系統存放的資訊。該系統存放約1,100萬名公民資料，涵蓋在籍、移居海外，以及已故的民眾，因此這次資料外洩的規模，相當於約八成公民的個資受到影響。詳全文

FBI傳與Accenture的承包商解約，疑因未及時修補PeopleSoft漏洞造成ShinyHunters入侵

美國聯邦調查局（FBI）向路透社證實，已與一家未及時部署修補程式的IT服務承包商解約。FBI資安主管Brett Leatherman表示，調查顯示，先前的資料外洩事件，源自第三方管理平臺的資安失誤，承包商未部署已發布的安全更新，FBI因此與該承包商解約，並採取措施降低後續風險。FBI未公開遭解約的承包商及受影響平臺名稱，但路透社引述兩名知情人士指出，相關服務商為Accenture的承包商，受影響平臺則是Oracle PeopleSoft。ShinyHunters先前便是聲稱利用PeopleSoft的漏洞CVE-2026-35273入侵FBI求職網站，Oracle已於6月10日修補此漏洞，而Mandiant與Google威脅情報團隊當時便曾警示ShinyHunters已實際利用此漏洞。詳全文

荷蘭漏洞揭露協會遭AI自主攻擊，攻擊者利用開源IT服務與客服系統Zammad零時差漏洞得到初期存取管道

Image with no description10月2日美國網路與基礎設施安全局（CISA）更新已遭利用漏洞名單（KEV），增列開源IT服務與客服系統Zammad漏洞CVE-2026-102489與CVE-2026-102490，而這兩個漏洞的發現與揭露，源自於9月下旬荷蘭漏洞揭露協會（DIVD）發生的資安事故。DIVD於9月24日首度在職場社群網站LinkedIn公開遭到入侵的消息，初步認定這是由AI驅動的攻擊，隨後啟動全面事件應變機制，封鎖基礎設施的存取管道，並通報荷蘭當局，也將零時差漏洞通報給Zammad開發團隊。DIVD於9月30日正式公布此事，說明攻擊者利用兩個Zammad零時差漏洞得逞，結合這些漏洞使其能在幾秒內挾持使用者的連線、遠端執行程式碼，並將權限提升為root層級。根據目前調查結果，DIVD確認志工的使用者資料已外洩。​詳全文

郵件伺服器Zimbra高風險漏洞在公開前就遭到利用

Image with no description8月下旬波蘭電腦緊急應變團隊（CERT Polska）、美國網路安全與基礎設施安全局（CISA）提出警告，郵件伺服器系統Zimbra於7月下旬修補的命令注入漏洞CVE-2026-73570遭到積極利用，近期有最新調查發現，相關漏洞利用活動可追溯至7月底。微軟資安研究團隊指出在7月28日至8月7日期間，觀察到兩波掃描CVE-2026-73570的活動，當時Zimbra開發團隊已發布新版修補，但尚未公開此漏洞資訊。攻擊者首先使用輕量的界外（out-of-band）探測工具，來確認Zimbra伺服器是否存在弱點，由於這些探測器透過本地身分識別檢查，或是小型的系統指紋辨識指令碼來確認能否執行命令，並未直接傳遞惡意酬載，資安人員可能難以察覺異狀。接著攻擊者觸發CVE-2026-73570，以Zimbra服務帳號執行指令，藉此部署JSP webshell，並竄改webroot權限，再從多個分割的檔案重組惡意酬載，解碼並寫入公開的應用程式資料夾。詳全文

GitHub Actions相隔4天再傳異常，代管執行環境延遲波及Pages與帳務功能

GitHub Actions相隔約4天再度發生服務異常，GitHub於臺灣時間10月6日凌晨通報，代管的工作執行環境分派出現延遲，造成部分自動化工作流程啟動延遲，後續也出現工作執行失敗。GitHub Actions約2小時43分鐘後恢復正常，期間GitHub Pages及部分帳務、授權功能都受到影響。GitHub在凌晨3時11分首先通報GitHub Actions效能下降，隨後確認問題出在GitHub代管的工作執行環境。事故期間，其他GitHub服務也出現異常，部分使用者無法正常開啟儲存庫清單、授權及帳務頁面，之後GitHub Pages也出現效能下降。GitHub目前尚未公布這次代管執行環境異常的原因，只表示後續將提供完整事故分析。詳全文

研究人員發現GitHub公開儲存庫暴露逾54萬組仍有效憑證

資安業者Truffle Security近日公布GitHub公開程式碼憑證暴露的研究結果，研究團隊掃描The Stack v3收錄的約2.25億個GitHub公開儲存庫快照，並於2026年7月進一步驗證其中的憑證，確認其中543,699組當時仍可使用，暴露時間中位數達784天。GitHub於2024年2月開始為所有免費帳號分批預設啟用Push Protection，在程式碼提交至公開儲存庫前，檢查並阻擋可辨識的API金鑰、存取權杖等憑證。Push Protection預設並未涵蓋所有憑證類型，研究團隊找到的有效憑證中，有51.8%不在GitHub預設阻擋範圍，研究團隊建議，只要憑證曾隨程式碼提交至公開儲存庫，就應立即視為已暴露，企業應先輪替相關憑證，再清理程式碼歷史。詳全文

Linux後門ClingSTUN利用公開STUN服務，惡意通訊更難辨識

資安業者Fortinet旗下FortiGuard Labs揭露Linux後門程式ClingSTUN，攻擊者鎖定暴露於公開網路且尚未修補已知漏洞的設備發動攻擊。設備感染ClingSTUN後，攻擊者可持續存取遭入侵系統，並將其變成可遠端控制的代理節點。攻擊者利用路由器、監控設備及其他IoT與網路設備等的24項已知漏洞入侵，再投遞ClingSTUN。ClingSTUN則會利用公開STUN（NAT穿越協定）服務進行傳輸。STUN可協助位於網路位址轉譯（NAT）後方的設備確認對外映射的IP位址及連接埠，ClingSTUN則透過STUN取得感染設備對外映射的IP位址及連接埠。由於VoIP及WebRTC等正常應用也會使用STUN，ClingSTUN的惡意通訊因此較難與正常STUN流量區分。詳全文

Apache HTTP Server發布2.4.69版修補20個漏洞，包含3個重大漏洞

Apache軟體基金會10月1日發布開源Web伺服器Apache HTTP Server更新，修補20個資安漏洞，涵蓋記憶體破壞、資訊洩漏、阻斷服務及權限管理等問題，影響2.4.0至2.4.68等版本，用戶應升級至已完成修補的2.4.69版。前述漏洞中，有3個漏洞的CVSS評分均達到9.8分，首先是CVE-2026-56154，為mod_rewrite模組的記憶體已釋放卻仍被使用（Use-After-Free）問題；其次是CVE-2026-57941，源自mod_http2共享緩衝區重入（re-entrancy）問題；第3個是CVE-2026-59797，涉及mod_ssl模組的權限管理問題。詳全文

OpenSSH 10.6調整壓縮機制防側通道攻擊，並啟用混合式後量子簽章

SSH遠端連線工具OpenSSH發布10.6版，調整SSH連線的壓縮方式，停用LZ77字典編碼功能，降低攻擊者透過加密後資料長度推測內容的風險。新版也正式啟用結合ML-DSA-44與Ed25519的混合式後量子簽章，推進OpenSSH後量子密碼技術的應用。先前OpenSSH在今年7月發布的10.4版加入該功能時，仍屬實驗性質，預設並未啟用，而10.6版則移除實驗版本原本使用的@openssh.com字尾，先前使用實驗版本產生的金鑰則需要重新產生或移除。OpenSSH 10.6也替伺服器加入預設開啟的後量子安全警告，用戶端若使用不具後量子安全性的金鑰交換方式，伺服器會留下紀錄。詳全文

Google發布Chrome 155，修補近250個資安漏洞

10月6日Google推出穩定版Chrome 155大改版，一口氣修補247個資安弱點，從危險程度而言，4個為重大等級、53個高風險等級，其餘為中低風險等級。Windows與macOS用戶應升級至155.0.8059.39或155.0.8059.40，Linux與Android用戶應升級為155.0.8059.39，以緩解相關漏洞風險。有別於過往以記憶體安全問題為主的修補內容，這次則以不正確授權與缺乏授權的弱點最多，分別有41個和34個。詳全文

Mozilla推出Firefox 157.0.1更新，修補檔案處理元件弱點

繼上週發布Firefox 157大改版後，本週Mozilla基金會針對該版本推出修補程式。10月6日Mozilla推出Firefox安全性更新157.0.1，這次只有修補一個中度風險漏洞CVE-2026-106016，此弱點存在於檔案處理元件，可被用於繞過特定的緩解措施。值得留意的是，該弱點的危險程度有可能比Mozilla認定的要來得高，根據弱點管理平臺廠商Tenable的資料，其CVSS嚴重程度評分高達9.8分，達到重大等級，顯然不能輕忽，用戶應儘速套用新版修補。詳全文

Atlassian揭露影響旗下8款主要應用系統的任意檔案讀取漏洞

10月5日軟體開發廠商Atlassian發布資安公告，揭露重大等級的任意檔案讀取漏洞CVE-2026-21589，未通過身分驗證的攻擊者可直接存取應用系統根目錄的特定檔案，CVSS v4.0嚴重程度評為9.3分，影響所有版本的Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible，以及Fisheye，該公司已推出新版軟體修補，自行架設的用戶應儘速套用更新。值得留意的是，此漏洞無法讓攻擊者列出所有資料夾的內容，攻擊者須事先掌握目標檔案的完整名稱與路徑才能利用，在部分組態配置下，可能因敏感檔案而增加漏洞曝露的風險。詳全文

Sony發布PS5系統軟體更新，疑似堵上Relapse越獄漏洞

Sony 9月16日發布PlayStation 5系統軟體26.06-14.00.00，除改善PSSR畫質、語音聊天及系統效能外，也包含安全性方面的更新。資安媒體Cyber Security News指出，這次更新發布後，近期公開的開源PS5越獄工具Relapse無法支援這個新版本，目前僅支援7.00至13.60等版本，因此Cyber Security News研判，Sony可能藉此修補Relapse所利用的漏洞。PS5越獄工具Relapse是利用兩階段漏洞利用鏈運作，先利用PS5內建瀏覽器的WebKit漏洞，再結合核心漏洞取得讀寫權限，使未簽署程式得以執行。詳全文

製造業PQC轉型不只換演算法，OT設備升級與汰換成挑戰

製造業推動後量子密碼學（PQC）轉型，面臨的問題不只是更換加密演算法。網路安全業者Forescout從營運技術（OT）環境分析PQC轉型，指出OT環境的密碼學機制不只用於保護網路連線，也分布在韌體數位簽章、安全開機及裝置身分等功能。企業因此需要盤點既有設備及系統使用的密碼學機制，並確認這些機制能否升級；無法升級的設備，未來可能需要採取額外防護措施甚至汰換。OT環境透過不同密碼學機制建立信任及保護資訊，相關功能還可能依賴其他設備、軟體或外部基礎架構，因此企業不能只確認單一設備是否支援新的演算法，還要釐清相關元件及供應商提供的升級能力，設備汰換所需時間也需要納入PQC轉型規畫。詳全文

Linux基金會旗下ELISA納入兩項開源專案，擴大支援安全關鍵軟體開發與測試的技術範圍

Linux基金會託管的開源社群ELISA（Enabling Linux In Safety Applications）10月5日宣布，將Cregit與stress-ng兩項開源專案納入旗下，分別補強程式碼分析及壓力測試能力，進一步擴大ELISA支援安全關鍵軟體開發與測試的技術範圍。ELISA主要推動Linux及其他開源軟體用於安全關鍵應用。隨著軟體在汽車、工業及航太等高度重視安全與可靠性的產業扮演愈來愈重要的角色，ELISA認為，組織需要從整個軟體生命週期著手，處理程式碼分析、測試及系統可靠性等問題。Cregit可協助開發人員分析Linux核心程式碼的歷史與演進；stress-ng則提供數百項壓力測試，用於評估Linux系統的行為、可靠性及效能。詳全文

Anthropic擴大資安Claude存取計畫，依不同用途區分為三層級

Image with no description Anthropic於10月6日宣布擴大Cyber Verification Program（CVP），整合Project Glasswing，並重新分為3個資安存取層級，其中，Defense Access主要供資安營運、事件回應、惡意程式逆向工程及漏洞分析等防禦工作使用；Red Team Access則進一步開放經授權的滲透測試與紅隊作業；限制最少的Specialized Access僅提供少數經深入驗證的組織，用於測試飛航系統、電網、電信網路及銀行間轉帳基礎設施等高風險系統。Anthropic也以CyScenarioBench測試不同存取層級的限制效果。在未取得CVP權限時，Claude Opus 5.5在50次測試中，全部於第一個提示詞即遭封鎖，受到的限制最大；Defense Access則在46次在執行過程中遭到阻擋；Red Team Access則沒有任何一次遭封鎖，最終完成50項測試中的34項，受到的限制最少，表現接近完全不套用安全防護時的67.6％成功率。詳全文

紐約市議會審AI監管草案，四大業者宣誓作證回應模型安全要求

紐約市議會10月5日舉行AI安全風險聽證會，OpenAI、Anthropic、Google與Meta代表透過視訊宣誓作證。市議會同時審議多項AI監管草案，其中一項要求在紐約市行銷、販售或部署的AI模型接受獨立第三方驗證，並具備可由人類操作人員關閉模型的技術能力。草案規定，AI模型若未完成驗證或不具人工關閉能力，仍在紐約市行銷、販售或部署，可能面臨民事罰款。相關立法提案於9月25日對外公布，10月5日的聽證會則讓主要AI業者正式就監管內容與模型安全問題向市議會作證。目前相關草案仍在市議會立法程序中。詳全文

OpenAI推出文字浮水印textGrain，以因應歐盟AI監管法令要求

因應歐盟《人工智慧法》（AI Act）對AI生成內容辨識的要求，OpenAI於10月5日發表文字浮水印技術textGrain，透過調整AI模型選擇詞彙的機率，在生成文字中嵌入人眼無法察覺、但可由系統驗證的統計訊號，讓AI產製內容具備可驗證的辨識訊號。相較依據文字風格判斷的AI偵測工具，textGrain直接在內容生成時加入可驗證訊號，有助於建立AI內容來源驗證機制。不過文字經過改寫後，浮水印效果可能快速減弱，且仍存在漏判與誤判問題。詳全文

挪威擬推AI眼鏡臨時禁令，防範隱密錄音錄影與資料蒐集

AI眼鏡結合攝影機、麥克風與AI功能後，可在使用者不易察覺的情況下拍照、錄影及錄音，讓傳統個資保護與資訊安全面臨新的資料蒐集風險。挪威政府因此擬提出臨時禁令，限制AI眼鏡在公園、購物中心、醫療院所及公共活動等場所使用，學校、幼兒園與其他兒童活動場所也列為重點管制區域。挪威政府並將評估是否擴大至其他具攝影、錄音或AI功能的穿戴式裝置，並成立專家小組研議長期規範。詳全文