客戶服務專區

客戶滿意度調查表

課程滿意度調查表

ODF實體課程 教學滿意度問卷調查表

2026年11月2日 星期一

 2026/11/02 07:10 國內外資安與個資新聞彙整


一、國內重要資安／個資事件（重點根因分析與解決方法）

1. 91APP Commerce Cloud 個資外洩事件（持續更新）
最大可能影響範圍：1,329個品牌、約479.8萬名消費者（姓名、電話、配送地址、Email、訂單紀錄；不含密碼與信用卡）。攻擊約自10/3起，10/14阻斷。
根因：內部使用的第三方工具Appsmith存在已知漏洞卻未及時修補，攻擊者藉此進入內網，再從GitLab取得訂單資料庫金鑰。系統內發現ARTEX AI自主滲透測試工具痕跡，顯示自動化攻擊加速入侵。
解決建議：強制第三方套件修補時程與自動化掃描、金鑰定期輪替與最小權限原則、網路分段隔離、強化AI異常行為偵測與EDR、供應鏈資安評估、加速事件通報與品牌／消費者通知機制。

2. 中選會候選人財產申報系統個資外洩
約1,573名候選人（縣市長、議員）身分證字號疑似外洩；調查顯示32個IP曾進入並可能下載資料。主委已鞠躬致歉，系統已修正重新上線。
根因：委外廠商（宏碁資訊）工程師疏失，在產製公告資料時將身分證字號載入非公開查詢檔案，程式處理與資料過濾不足，導致外部有機會取得。
解決建議：加強委外合約資安條款與稽核、導入安全開發生命週期（SDLC）與程式碼審查、落實資料最小化與欄位過濾、定期資安健診與滲透測試、強化委外監督。

3. PHP2Shell 漏洞衝擊政府與設備（持續應變）
近300個政府機關、近800個網站／系統受影響；截至10/28已完成460個修補，22個關閉。亦見中國背景駭客利用此漏洞串連Linux核心漏洞，攻擊Palo Alto防火牆取得root（範圍含台灣）。
根因：PHP核心記憶體處理錯誤（CVE-2026-109618、CVE-2026-109619），未認證即可遠端執行程式碼；AI加速掃描與利用，修補窗口極短。
解決建議：立即升級至修補版本（8.5.12／8.4.27／8.3.36／8.2.35等）、部署WAF緊急規則、縮小攻擊面（關閉不必要服務）、強化日誌監控與異常連線偵測、舊版PHP強制升級或隔離。

4. 群暉NAS遭C3RB3R勒索軟體攻擊
 多起檔案被加密為.L0CK3D，留下勒索信；主要鎖定仍使用舊版DSM且對外開放的設備。官方於10/29公告。
根因：未更新已知高危漏洞（官方指2024年12月修補的CVE-2024-10441等，部分分析亦提後續漏洞），暴露公網入口。
解決建議：立即更新至最新DSM並開啟自動更新、關閉不必要公網端口／QuickConnect／UPnP、改用VPN遠端存取、落實3-2-1備份與快照、限制管理介面存取。

其他：選前政府網路服務網（GSN）日均侵擾約258萬次，中共結合AI掃描弱點與情蒐，鎖定學研、電信、國防供應鏈；國安局列為介選樣態之一。建議強化關鍵系統防護與情資分享。

二、國際重要資訊與新型態攻擊手法

  • AI代理／自動化攻擊興起：開源AI滲透工具ARTEX（中國開發）被用於韓國金融、日本企業、台灣91APP等，可自動偵察、掃描、規劃路徑並執行攻擊，大幅壓縮應變時間（常低於24小時）。微軟等報告指出台灣2026上半年威脅頻率全球第4、亞太第1，政府機關為主要目標，釣魚占比上升。
  • 其他：日本多起大規模外洩（物流、媒體、零售等）、航空系統（Amadeus）遭未授權存取影響多國航空公司、GitLab／思科防火牆等遭積極利用。
    新型態重點：AI輔助漏洞挖掘與自主攻擊代理，使傳統修補週期失效，需前移偵測與縮小攻擊面。

三、CVE弱點發佈重點

  • PHP2Shell：CVE-2026-109618／CVE-2026-109619（CVSS約9.2，未認證RCE），影響廣泛PHP環境，已遭利用。
  • GitLab：CVE-2026-97229等（CVSS 10，未認證RCE，已遭利用並列入CISA KEV）；另有存在多年的CVE-2026-110264。
  • Microsoft 10月更新：修補逾1,400個漏洞（單月新高），含已利用零時差CVE-2026-96951（Windows Shell，可繞過Mark of the Web）。
  • 其他：Next.js重大RCE、Nginx多項（含RCE風險）、Apple CVE-2026-86950（邊界外寫入，已確認惡用）、Linux核心相關漏洞等。
    建議優先處理已列入KEV或高EPSS的項目，並監控下游產品影響。

四、台灣資安講座／活動消息（開始日約15–30天後）

  • 2026上市櫃高科技製造業資安論壇（11/17）：聚焦重塑先進製造信任鏈，適合製造業與供應鏈資安主管。出處：資安人科技網。
  • 相關近期活動：11/12日本物聯網資安標準與市場准入研討會、11/13 NETCenter Advanced網路設備監控實務班、11/18線上資安講（AI可用、機密不能漏）、12/10企業資安關鍵報告（法規稽核到零信任與AI攻防）。
  • 註：11/3「2026台灣資安通報應變年會」（主題：迎戰AI威脅 強化智慧應變，臺大醫院國際會議中心，同步直播）已臨近，建議關注後續摘要。報名：https://activity.twcert.org.tw/2026/index.htm。
張貼者： 於 沒有留言:

2026年10月30日 星期五

2026/10/29–10/30 國內外資安與個資新聞彙整

國內重點事件：根因分析與解決方法

1. 中選會候選人財產申報系統個資外洩（29日更新）
摘要：1,573名候選人（含縣市長、議員）身分證字號外洩。主委游盈隆29日鞠躬致歉，確認32個IP曾存取並可能下載資料（境內外尚在追查，非全部惡意）。
根因：委外廠商（宏碁資訊）程式設計不良，產製公告資料時將身分證字號載入非公開查詢檔案，未妥善過濾欄位（檔案以亂碼呈現，但仍可被存取）。非一般查詢PDF或畫面外洩。
解決方法：27日緊急關閉、修正程式並調整資料傳輸路徑後重開；資安署已派員協助檢測。未來導入「四眼原則」雙重檢查委外開發；依個資法究責並向廠商求償；強化系統驗收與資安稽核，避免再將管理責任全推給廠商。

2. 91APP Commerce Cloud訂單資料庫遭駭（29日公布完整調查）
摘要：最大影響範圍為1,329家品牌、約479.8萬名消費者（2025/4/4至2026/10/14線上訂單）。外洩姓名、電話、配送地址、Email、訂單紀錄（不含密碼、信用卡或支付資訊）。董座何英圻率隊鞠躬致歉，提供諮詢與補償（至2027/2/1）。
根因：第三方工具Appsmith存在未及時修補的漏洞，被ARTEX AI自主滲透測試系統（AI Agent自動化攻擊）利用，進入內部網路後從GitLab取得資料庫金鑰，入侵短期訂單資料庫。屬區域性AI自動化攻擊（日韓同期也有類似案例），非針對單一企業客製化。
解決方法：已移除Appsmith、輪換所有憑證與資料庫帳密、限制CI主機與資料庫網段、重建GitLab權限。長期推動零信任架構（網路/應用微切分、最小權限）、AI強化全場域異常偵測與自動回應，並持續與外部專家合作。主動通知受影響者、承擔溝通費用，並配合數發部行政檢查。

3. PHP2Shell（CVE-2026-109618 / CVE-2026-109619）政府修補進度（29日更新）
摘要：近300個政府機關、約800筆網站/系統受影響。截至28日17時，已完成460筆修補，22筆老舊系統先行關閉。資安署長蔡福隆表示每日追蹤進度，盡速完成。
根因：PHP核心兩個未認證RCE漏洞（記憶體不足處理造成狀態損壞，以及殘留全域狀態被誤用），CVSS約9.2。影響全球約7成PHP網站，已遭實際利用執行Shell，並可與Linux核心Fragnesia漏洞（CVE-2026-46300）鏈結提權。北韓相關駭客也針對216台主機掃描，台灣列入優先目標（政府、金融、物流等）。
解決方法：立即升級至8.5.12 / 8.4.27 / 8.3.36 / 8.2.35；無法即時修補者先隔離或關閉；持續監控日誌與異常存取；盤點嵌入PHP的IT/OT產品與管理介面（如部分防火牆、工業系統）。數發部已啟動專案小組並每日要求回報。

國際與新型態攻擊 / CVE重點

  • PHP2Shell已被確認在野成功利用，並與Linux Fragnesia鏈結；北韓相關組織持續掃描未修補主機（含台灣）。
  • 其他近期遭利用或高危：GitLab CVE-2026-97229（未認證RCE）、Cisco ASA/FTD CVE-2026-76418（DoS）、VMware ESX CVE-2026-41709（日誌不足，中國相關駭客利用）等。
  • 新型態：AI自主攻擊工具（如ARTEX）大幅加速漏洞探查、路徑規劃與資料竊取，已成跨境電商與金融供應鏈常見手法。Sony日本ISP與保險業務也傳出大規模個資外洩。

臺灣資安講座／活動消息（即將開始）

  • 2026台灣資安通報應變年會：11月3日（二），臺大醫院國際會議中心，主題「迎戰AI威脅 強化智慧應變」，免費（實體＋線上）。主辦：資安署、TWCERT/CC。
  • 「2026台灣周：資安韌性與戰略」：11月4日，台北漢來大飯店，聚焦金融資安韌性發展藍圖與新型AI威脅，金管會等主辦。
張貼者： 於 沒有留言:

2026年10月29日 星期四

 2026/10/28–10/29 資安與個資重點彙整

一、國內重點事件：中選會候選人財產申報網站個資外洩

中等摘要：10月16日上線的中選會「公職候選人財產申報」公告網站，背景資料（查詢頁面回傳的JSON等）夾帶全國1,573名候選人（縣市長、議員）身分證字號。民眾開啟查詢頁面即可透過瀏覽器開發者工具取得，無需帳密。台灣前進陣線等團體於28日公開揭露。中選會回應初判為委外廠商產製公告資料時，將身分證字號誤載入非公開查詢檔案（以亂碼呈現），已於27日暫停網站、完成程式修正後重開，啟動調查並依個資法辦理，同時通報主管機關。PDF公告本身已遮蔽，問題出在背景資料傳輸。

根因分析：

  • 委外廠商資料產製與後端API設計疏失：敏感欄位（身分證字號）未過濾即回傳前端，違反資料最小化原則。
  • 缺乏輸出過濾／敏感資料遮蔽機制，以及開發階段資安檢測（如資料洩漏掃描、靜態分析）。
  • 「亂碼」可能因編碼顯示問題，但實際為結構化可讀資料（JSON等），機器與工具可輕易解析。

解決方法研擬：

  1. 立即：後端嚴格過濾敏感欄位，僅回傳必要非敏感資料；加強輸出編碼與資料遮蔽。
  2. 短期：強化委外廠商契約（要求安全開發生命週期SDLC、資安檢測報告、第三方稽核）；進行個資影響評估（DPIA）。
  3. 中長期：導入自動化敏感資料偵測工具、定期紅隊／滲透測試；強化人員訓練與個資法合規審查；考慮零信任下的資料存取控制。

出處：https://www.ithome.com.tw/news/180037 、工商時報、聯合報、RTI等相關報導。

二、國內相關更新：PHP2Shell持續威脅

北韓駭客（疑與Lazarus生態系相關）在漏洞公布後迅速鎖定全球約216台可能未修補的PHP主機，以低頻率方式掃描，台灣列入目標範圍（涵蓋政府、金融、物流、製造、線上交易等）。使用遭入侵節點避偵。CISA已確認在野利用並列入KEV，修補期限緊迫。

根因：未及時升級修補CVE-2026-109618、CVE-2026-109619（CVSS v4.0 9.2，未驗證RCE）。舊版PHP比例高。
解決：立即升級至PHP 8.5.12／8.4.27／8.3.36／8.2.35；無法立即升級則評估暫停服務、關閉session.upload_progress等緩解、部署WAF規則、加強日誌監控與異常存取告警。

出處：https://www.ithome.com.tw/news/180045

三、國際與CVE重點（中等摘要）

  • PHP2Shell利用升級：部分攻擊串接Linux kernel Fragnesia（CVE-2026-46300）取得root權限，疑中國相關行為者針對防火牆等設備。CISA確認積極利用。
  • Veeam：CVE-2026-108142（CVSS 9.1，未驗證授權繞過，影響Backup & Replication），立即修補。
  • Microsoft 10月更新：修補1,400+漏洞，含已遭利用的Windows Shell CVE-2026-96951（安全功能繞過）。
  • Apple：CoreGraphics CVE-2026-86950（已遭利用）回溯修補至iOS／iPadOS 18。
  • 其他：Magento電商約953網站遭植入可規避掃描的JS後門（利用PolyShell等）；Google Brotli CVE-2026-111497資訊洩漏／DoS（影響Node.js、PHP、Linux等）；HPE ArubaOS修補72漏洞（含多個CVSS 10.0 RCE風險）。

新型態手法：AI代理加速偵查與滲透（如ARTEX框架）、郵件轟炸搭配外部Teams聊天社工、鎖定開發者金鑰環與AI助理的竊密程式。

四、台灣資安活動（開始日約15–30天後）

  • TABF FinSec Exchange 2026（第二場）：2026/11/20（五）14:30–17:00，主題「智慧防禦新時代：建構Zero Trust與新世代防禦體系」。地點：TABF Bankers’ Salon（台北市中正區羅斯福路三段62號1樓）。主辦：台灣金融研訓院。對象：金融業高階經理人。
    出處：https://web.tabf.org.tw/page/691513/
  • 半導體資安大學院：半導體威脅全景與晶圓廠OT產線防禦：2026/11/22（日）10:00–17:00。地點：台北市中正區重慶南路一段143號4樓艾鍗學院。講師：堤姆（SEMI E187專家）。涵蓋OT／ICS防禦實務。
    出處：https://startup.sme.gov.tw/api/viewer/event_detail.php?id=8366
張貼者： 於 沒有留言:

~~宣導~~


詐騙猖獗, 收到信時要注意寄件來源和連結的網址喔~

先停留在連結上, 看它連向的網站位址, 確定無誤再前往~

上面收到的實例, 不但寄件來源不符, 且連結也不是財政部電子稅務網!!(etax.nat.gov.tw)

請務必小心~ 



張貼者： 於 沒有留言:

2026年10月28日 星期三




📌 警訊編號：NICS-ANA-2026-0000921

📌 影響標的：內政部自然人憑證「HiCOS 卡片管理元件」

​🔍 漏洞與威脅現況
●​零日漏洞風險：
目前確認 3.2.8（含）以前版本 存在未公開之重大漏洞（尚無 CVE 編號）。

●​攻擊途徑與情境：
攻擊者入侵合法站點（如：醫院掛號系統、學校官網）並植入惡意插件。使用者電腦若安裝有舊版元件，一旦瀏覽該網站，即可能遭直接執行惡意命令並自動下載後門程式。

●​受駭情形：
目前已確認有政府機關遭受實際攻擊，風險極高！💥

​🛠️ 建議處置作為
1丶​全面設備清查 💻
建請盡速盤點單位內部所有安裝並使用 HiCOS 的電腦與伺服器主機。
2丶​立即升級最新版 🔄
請務必儘速將元件全數升級至 3.2.9 安全版本，以阻斷攻擊路徑。

​🔗 官方更新載點：
https://moica.nat.gov.tw/rac_plugin.html

參考網站:
https://www.nics.nat.gov.tw/core_business/information_security_information_sharing/Vulnerability_Alert_Announcements/
張貼者： 於 沒有留言:

2026年10月27日 星期二

2026/10/25–10/26 資安／個資重點彙整


一、國內資安／個資事件（著重根因分析與解決研擬）

1. 91APP Commerce Cloud 訂單資料庫遭非法存取（持續追蹤，10/22已公布調查報告）

  • 根因：攻擊者使用AI自主滲透測試系統「ARTEX」自動找洞與執行攻擊。主要破口為內部第三方工具Appsmith未及時修補漏洞，由此進入內網後，從內部GitLab取得其中一座訂單資料庫金鑰，再非法存取訂單資料（不含信用卡等支付資訊）。
  • 影響：僅限一座Commerce Cloud訂單資料庫；行銷雲、金流、iCHEF等未受影響。後續引發詐騙利用訂單資訊，多家合作品牌陸續公告防詐。
  • 已採取／建議解決措施：移除Appsmith、更換所有內部系統權杖與資料庫帳密、重建GitLab權限、隔離測試與正式環境、限制主機與資料庫網段連線、保留受駭主機軌跡供調查；對確認因本事件遭詐騙的消費者提供財損補償；持續與數發部行政檢查釐清實際影響範圍並通知當事人。
  • 出處：91APP官方調查報告、iThome相關報導

2. PHP2Shell（CVE-2026-109618、CVE-2026-109619）台灣影響與最新更新

  • 背景：PHP核心兩個CVSS v4.0 9.2分未驗證RCE漏洞（記憶體Use-After-Free等，存在逾10年，AI輔助發現），影響全球大量網站。台灣約2.8萬個對外網站使用PHP（含約200個政府機關網站）。
  • 最新（10/25）：攻擊嘗試持續（以session upload-progress為主）；官方無新修補版本（仍為8.5.12／8.4.27／8.3.36／8.2.35）；另建議已修補主機暫時關閉session.upload_progress.enabled=0，因存在罕見條件下的另一RCE路徑（CVE-2026-115560，待例行版本修補）。
  • 根因重點：未驗證遠端可觸發記憶體損壞，進而讀取敏感資料或執行程式碼。
  • 解決建議：立即升級指定版本；無法立即修補則部署WAF、限制存取或暫時下線；盤點WordPress等底層依賴PHP的系統；持續監控日誌。資安署與金管會已啟動緊急應變與掃描通知。
  • 出處：ICSDA彙整、資安署／中央社相關、iThome

二、新型態攻擊手法與重要CVE／漏洞

1. Tailscale SSH「Tailworm」（10/25公開，未協調揭露）
研究員揭露Tailscale（含headscale）共11項問題，重點為Tailscale SSH的Unix domain socket forwarding以root權限執行，已授權設備可進一步取得其他節點root並橫向移動。非直接網際網路RCE。廠商調查中，暫不建議全面停用SSH；建議暫時關閉forwarding（環境變數TS_SSH_DISABLE_FORWARDING=1）或收緊policy。

  • 出處：ICSDA 10/26焦點、相關研究報告（如Brandefense、pwn.watch）

2. Brotli解碼器漏洞（CVE-2026-111497，亦稱Brotli2Shell／Node2Shell）
Google Brotli decoder越界寫入（invalid block switch處理錯誤），影響Node.js、Bun、Python套件、Envoy、Istio等。未驗證遠端可導致記憶體損壞、DoS或RCE。已有修補版本（例如Node.js 22.23.4／24.22.1／26.12.1；Brotli 1.0.10／1.1.1／1.2.1）。

  • 出處：JFrog、The Hacker News、ICSDA 10/25焦點

3. LiteLLM供應鏈攻擊（惡意1.107.0版）
Agent Platform master key於5月誤提交至公開GitHub且136天未撤銷，攻擊者據此竊取GitHub token、修改發布流程，於10/21推送含資訊竊取與後門的惡意版本至PyPI、Docker Hub等。根因為秘密管理與log中殘留token。官方已下架，建議從乾淨環境重裝並輪換所有相關金鑰／憑證。

  • 出處：LiteLLM官方說明、ICSDA、iThome

4. 其他CVE重點（CISA KEV等）

  • CVE-2026-110447（Collabora Online Built-in CODE Server，OS command injection，CVSS 9.2）
  • CVE-2026-114625（Arista VeloCloud Orchestrator，SQL injection，CVSS 9.4）
    兩者已遭實際利用，CISA要求優先修補（due date約10/26）。

5. AI相關趨勢
AI工具／Agent大幅降低攻擊門檻與成本（偵察、滲透、資料竊取自動化）；OpenAI AI代理有虛擬機逃逸討論；Google新政策允許AI搜尋／Gemini取用Gmail與Photos資料用於精準廣告，引發隱私疑慮。

三、國內資安講座／活動消息（開始日約15–30天後，即約11/10–11/25）

  • 11/18（三）19:00–21:00 線上「數創小聚」
    主題：Pass不等於安全——企業AI產品資安驗收的三個盲點。講者：前金融業資安長、APMIC資安副總徐方繹。
    出處：ACCUPASS活動頁
  • 11/22（日）10:00–17:00 台北「半導體資安大學院」
    主題：半導體威脅全景與晶圓廠OT產線防禦（含SEMI E187等）。地點：艾鍗學院。
    出處：相關政府／產業活動頁（startup.sme.gov.tw等）

（註：11/3「2026台灣資安通報應變年會：迎戰AI威脅 強化智慧應變」距今較近，約8天，主題高度相關，可另行關注；詳見TWCERT活動頁。）

張貼者： 於 沒有留言:

2026年10月22日 星期四

 

PHP驚爆CVSS 9.2滿級分重大漏洞，歐盟當局建議無法修補的網站應停機

張貼者： 於 沒有留言:
訂閱： 文章 (Atom)