新聞

Google旗下威脅情報團隊GTIG分析2025年初至2026年8月底的漏洞趨勢，指出2026年揭露及實際遭利用的漏洞都明顯增加。AI已開始被用於協助尋找漏洞，不過開源生態系中的自動化CVE編號指派機制，也會推高漏洞揭露數量。攻擊者也可能利用AI分析產品版本差異、修補及漏洞資訊，更快將已知漏洞用於攻擊。

今年前8個月共觀測到141個漏洞遭實際利用，已超過2025全年127個，平均每月遭利用的漏洞也從去年的10.5個增至18個。不過，在今年揭露的所有漏洞中，實際遭利用的仍只占約0.23%，相當於每431個約有1個。GTIG認為，今年遭利用漏洞的增加主要集中在N-day漏洞，這類漏洞更快被用於攻擊；相較之下，遭利用的零時差漏洞從2025年平均每月8個增至今年前8個月平均每月11個，增幅相對有限。

Image with no description

GTIG依自家的漏洞威脅風險評級，統計2025年1月至2026年8月實際遭利用的漏洞，其中高風險漏洞遭利用數從2025全年28個增至2026年前8月75個。（圖片來源／Google）

邊緣及資安設備也是攻擊者鎖定的目標。今年前8個月實際遭利用的漏洞中，14%影響邊緣及資安設備，另有11%影響企業目錄與協作系統。遭利用的邊緣設備漏洞中，超過65%被GTIG評為高或重大威脅風險。攻擊者持續鎖定不需身分驗證即可存取的公開管理介面，而企業部署的EDR代理程式不一定能監控這類設備。GTIG建議企業結合威脅情報決定漏洞修補順序。

另一方面，AI相關軟體及基礎架構本身也出現大量漏洞。2025年1月至2026年8月共追蹤到2,076個AI相關CVE，其中超過1,500個集中在今年前8個月，又以AI協調與代理框架最多，達782個。視覺化工作流程工具及自主代理框架經常使用動態程式碼執行節點與外部環境互動。研究人員指出，攻擊者可能透過提示詞注入或特製的工作流程JSON控制執行流程，進一步造成未經身分驗證的遠端程式碼執行。