新聞

仍在使用法國科技業者Thales旗下舊版硬體權杖驗證軟體SConnect的組織，需要留意CVE-2026-18397。這項漏洞的CVSS 4.0風險分數為9.4分，屬重大漏洞。使用者若透過瀏覽器載入攻擊者控制的惡意網頁內容，攻擊者可能利用漏洞在其電腦執行程式碼。SConnect曾用於環球銀行金融電信協會（SWIFT）的3SKey硬體權杖驗證。

Thales於10月1日公開CVE-2026-18397，影響SConnect 2.16.1.0以前版本。根據Thales提交的CVE資料，漏洞存在於SConnect的Native Host元件，涉及密碼學及記憶體管理等多項缺陷。

根據資安媒體Dark Reading報導，除了SWIFT之外，SConnect也應用於部分政府、銀行及保險服務。不過，目前公開的CVE資料確認的是Thales SConnect本身存在漏洞，不代表採用SConnect的相關服務本身存在這項漏洞，實際影響仍取決於使用者端是否安裝受影響版本。

對SWIFT 3SKey使用者而言，SWIFT已在2025年9月推出Web Connect取代SConnect，並要求在SConnect停止支援前安裝Web Connect。自2026年9月30日起，SWIFT已不再支援3SKey搭配SConnect使用，目前Web Connect已取代SConnect。