2026/10/29–10/30 國內外資安與個資新聞彙整

國內重點事件：根因分析與解決方法

1. 中選會候選人財產申報系統個資外洩（29日更新）
摘要：1,573名候選人（含縣市長、議員）身分證字號外洩。主委游盈隆29日鞠躬致歉，確認32個IP曾存取並可能下載資料（境內外尚在追查，非全部惡意）。
根因：委外廠商（宏碁資訊）程式設計不良，產製公告資料時將身分證字號載入非公開查詢檔案，未妥善過濾欄位（檔案以亂碼呈現，但仍可被存取）。非一般查詢PDF或畫面外洩。
解決方法：27日緊急關閉、修正程式並調整資料傳輸路徑後重開；資安署已派員協助檢測。未來導入「四眼原則」雙重檢查委外開發；依個資法究責並向廠商求償；強化系統驗收與資安稽核，避免再將管理責任全推給廠商。

2. 91APP Commerce Cloud訂單資料庫遭駭（29日公布完整調查）
摘要：最大影響範圍為1,329家品牌、約479.8萬名消費者（2025/4/4至2026/10/14線上訂單）。外洩姓名、電話、配送地址、Email、訂單紀錄（不含密碼、信用卡或支付資訊）。董座何英圻率隊鞠躬致歉，提供諮詢與補償（至2027/2/1）。
根因：第三方工具Appsmith存在未及時修補的漏洞，被ARTEX AI自主滲透測試系統（AI Agent自動化攻擊）利用，進入內部網路後從GitLab取得資料庫金鑰，入侵短期訂單資料庫。屬區域性AI自動化攻擊（日韓同期也有類似案例），非針對單一企業客製化。
解決方法：已移除Appsmith、輪換所有憑證與資料庫帳密、限制CI主機與資料庫網段、重建GitLab權限。長期推動零信任架構（網路/應用微切分、最小權限）、AI強化全場域異常偵測與自動回應，並持續與外部專家合作。主動通知受影響者、承擔溝通費用，並配合數發部行政檢查。

3. PHP2Shell（CVE-2026-109618 / CVE-2026-109619）政府修補進度（29日更新）
摘要：近300個政府機關、約800筆網站/系統受影響。截至28日17時，已完成460筆修補，22筆老舊系統先行關閉。資安署長蔡福隆表示每日追蹤進度，盡速完成。
根因：PHP核心兩個未認證RCE漏洞（記憶體不足處理造成狀態損壞，以及殘留全域狀態被誤用），CVSS約9.2。影響全球約7成PHP網站，已遭實際利用執行Shell，並可與Linux核心Fragnesia漏洞（CVE-2026-46300）鏈結提權。北韓相關駭客也針對216台主機掃描，台灣列入優先目標（政府、金融、物流等）。
解決方法：立即升級至8.5.12 / 8.4.27 / 8.3.36 / 8.2.35；無法即時修補者先隔離或關閉；持續監控日誌與異常存取；盤點嵌入PHP的IT/OT產品與管理介面（如部分防火牆、工業系統）。數發部已啟動專案小組並每日要求回報。

國際與新型態攻擊 / CVE重點

• PHP2Shell已被確認在野成功利用，並與Linux Fragnesia鏈結；北韓相關組織持續掃描未修補主機（含台灣）。
• 其他近期遭利用或高危：GitLab CVE-2026-97229（未認證RCE）、Cisco ASA/FTD CVE-2026-76418（DoS）、VMware ESX CVE-2026-41709（日誌不足，中國相關駭客利用）等。
• 新型態：AI自主攻擊工具（如ARTEX）大幅加速漏洞探查、路徑規劃與資料竊取，已成跨境電商與金融供應鏈常見手法。Sony日本ISP與保險業務也傳出大規模個資外洩。

臺灣資安講座／活動消息（即將開始）

• 2026台灣資安通報應變年會：11月3日（二），臺大醫院國際會議中心，主題「迎戰AI威脅 強化智慧應變」，免費（實體＋線上）。主辦：資安署、TWCERT/CC。
• 「2026台灣周：資安韌性與戰略」：11月4日，台北漢來大飯店，聚焦金融資安韌性發展藍圖與新型AI威脅，金管會等主辦。

 2026/10/28–10/29 資安與個資重點彙整

一、國內重點事件：中選會候選人財產申報網站個資外洩

中等摘要：10月16日上線的中選會「公職候選人財產申報」公告網站，背景資料（查詢頁面回傳的JSON等）夾帶全國1,573名候選人（縣市長、議員）身分證字號。民眾開啟查詢頁面即可透過瀏覽器開發者工具取得，無需帳密。台灣前進陣線等團體於28日公開揭露。中選會回應初判為委外廠商產製公告資料時，將身分證字號誤載入非公開查詢檔案（以亂碼呈現），已於27日暫停網站、完成程式修正後重開，啟動調查並依個資法辦理，同時通報主管機關。PDF公告本身已遮蔽，問題出在背景資料傳輸。

根因分析：

• 委外廠商資料產製與後端API設計疏失：敏感欄位（身分證字號）未過濾即回傳前端，違反資料最小化原則。
• 缺乏輸出過濾／敏感資料遮蔽機制，以及開發階段資安檢測（如資料洩漏掃描、靜態分析）。
• 「亂碼」可能因編碼顯示問題，但實際為結構化可讀資料（JSON等），機器與工具可輕易解析。

解決方法研擬：

1. 立即：後端嚴格過濾敏感欄位，僅回傳必要非敏感資料；加強輸出編碼與資料遮蔽。
2. 短期：強化委外廠商契約（要求安全開發生命週期SDLC、資安檢測報告、第三方稽核）；進行個資影響評估（DPIA）。
3. 中長期：導入自動化敏感資料偵測工具、定期紅隊／滲透測試；強化人員訓練與個資法合規審查；考慮零信任下的資料存取控制。

出處：https://www.ithome.com.tw/news/180037 、工商時報、聯合報、RTI等相關報導。

二、國內相關更新：PHP2Shell持續威脅

北韓駭客（疑與Lazarus生態系相關）在漏洞公布後迅速鎖定全球約216台可能未修補的PHP主機，以低頻率方式掃描，台灣列入目標範圍（涵蓋政府、金融、物流、製造、線上交易等）。使用遭入侵節點避偵。CISA已確認在野利用並列入KEV，修補期限緊迫。

根因：未及時升級修補CVE-2026-109618、CVE-2026-109619（CVSS v4.0 9.2，未驗證RCE）。舊版PHP比例高。
解決：立即升級至PHP 8.5.12／8.4.27／8.3.36／8.2.35；無法立即升級則評估暫停服務、關閉session.upload_progress等緩解、部署WAF規則、加強日誌監控與異常存取告警。

出處：https://www.ithome.com.tw/news/180045

三、國際與CVE重點（中等摘要）

• PHP2Shell利用升級：部分攻擊串接Linux kernel Fragnesia（CVE-2026-46300）取得root權限，疑中國相關行為者針對防火牆等設備。CISA確認積極利用。
• Veeam：CVE-2026-108142（CVSS 9.1，未驗證授權繞過，影響Backup & Replication），立即修補。
• Microsoft 10月更新：修補1,400+漏洞，含已遭利用的Windows Shell CVE-2026-96951（安全功能繞過）。
• Apple：CoreGraphics CVE-2026-86950（已遭利用）回溯修補至iOS／iPadOS 18。
• 其他：Magento電商約953網站遭植入可規避掃描的JS後門（利用PolyShell等）；Google Brotli CVE-2026-111497資訊洩漏／DoS（影響Node.js、PHP、Linux等）；HPE ArubaOS修補72漏洞（含多個CVSS 10.0 RCE風險）。

新型態手法：AI代理加速偵查與滲透（如ARTEX框架）、郵件轟炸搭配外部Teams聊天社工、鎖定開發者金鑰環與AI助理的竊密程式。

四、台灣資安活動（開始日約15–30天後）

• TABF FinSec Exchange 2026（第二場）：2026/11/20（五）14:30–17:00，主題「智慧防禦新時代：建構Zero Trust與新世代防禦體系」。地點：TABF Bankers’ Salon（台北市中正區羅斯福路三段62號1樓）。主辦：台灣金融研訓院。對象：金融業高階經理人。
  出處：https://web.tabf.org.tw/page/691513/
• 半導體資安大學院：半導體威脅全景與晶圓廠OT產線防禦：2026/11/22（日）10:00–17:00。地點：台北市中正區重慶南路一段143號4樓艾鍗學院。講師：堤姆（SEMI E187專家）。涵蓋OT／ICS防禦實務。
  出處：https://startup.sme.gov.tw/api/viewer/event_detail.php?id=8366

~~宣導~~

詐騙猖獗, 收到信時要注意寄件來源和連結的網址喔~

先停留在連結上, 看它連向的網站位址, 確定無誤再前往~

上面收到的實例, 不但寄件來源不符, 且連結也不是財政部電子稅務網!!(etax.nat.gov.tw)

請務必小心~ 

📌 警訊編號：NICS-ANA-2026-0000921

📌 影響標的：內政部自然人憑證「HiCOS 卡片管理元件」

​🔍 漏洞與威脅現況

●​零日漏洞風險：

目前確認 3.2.8（含）以前版本 存在未公開之重大漏洞（尚無 CVE 編號）。

●​攻擊途徑與情境：

攻擊者入侵合法站點（如：醫院掛號系統、學校官網）並植入惡意插件。使用者電腦若安裝有舊版元件，一旦瀏覽該網站，即可能遭直接執行惡意命令並自動下載後門程式。

●​受駭情形：

目前已確認有政府機關遭受實際攻擊，風險極高！💥

​🛠️ 建議處置作為

1丶​全面設備清查 💻

建請盡速盤點單位內部所有安裝並使用 HiCOS 的電腦與伺服器主機。

2丶​立即升級最新版 🔄

請務必儘速將元件全數升級至 3.2.9 安全版本，以阻斷攻擊路徑。

​🔗 官方更新載點：

https://moica.nat.gov.tw/rac_plugin.html

參考網站:

https://www.nics.nat.gov.tw/core_business/information_security_information_sharing/Vulnerability_Alert_Announcements/

2026/10/25–10/26 資安／個資重點彙整

一、國內資安／個資事件（著重根因分析與解決研擬）

1. 91APP Commerce Cloud 訂單資料庫遭非法存取（持續追蹤，10/22已公布調查報告）

• 根因：攻擊者使用AI自主滲透測試系統「ARTEX」自動找洞與執行攻擊。主要破口為內部第三方工具Appsmith未及時修補漏洞，由此進入內網後，從內部GitLab取得其中一座訂單資料庫金鑰，再非法存取訂單資料（不含信用卡等支付資訊）。
• 影響：僅限一座Commerce Cloud訂單資料庫；行銷雲、金流、iCHEF等未受影響。後續引發詐騙利用訂單資訊，多家合作品牌陸續公告防詐。
• 已採取／建議解決措施：移除Appsmith、更換所有內部系統權杖與資料庫帳密、重建GitLab權限、隔離測試與正式環境、限制主機與資料庫網段連線、保留受駭主機軌跡供調查；對確認因本事件遭詐騙的消費者提供財損補償；持續與數發部行政檢查釐清實際影響範圍並通知當事人。
• 出處：91APP官方調查報告、iThome相關報導

2. PHP2Shell（CVE-2026-109618、CVE-2026-109619）台灣影響與最新更新

• 背景：PHP核心兩個CVSS v4.0 9.2分未驗證RCE漏洞（記憶體Use-After-Free等，存在逾10年，AI輔助發現），影響全球大量網站。台灣約2.8萬個對外網站使用PHP（含約200個政府機關網站）。
• 最新（10/25）：攻擊嘗試持續（以session upload-progress為主）；官方無新修補版本（仍為8.5.12／8.4.27／8.3.36／8.2.35）；另建議已修補主機暫時關閉session.upload_progress.enabled=0，因存在罕見條件下的另一RCE路徑（CVE-2026-115560，待例行版本修補）。
• 根因重點：未驗證遠端可觸發記憶體損壞，進而讀取敏感資料或執行程式碼。
• 解決建議：立即升級指定版本；無法立即修補則部署WAF、限制存取或暫時下線；盤點WordPress等底層依賴PHP的系統；持續監控日誌。資安署與金管會已啟動緊急應變與掃描通知。
• 出處：ICSDA彙整、資安署／中央社相關、iThome

二、新型態攻擊手法與重要CVE／漏洞

1. Tailscale SSH「Tailworm」（10/25公開，未協調揭露）
研究員揭露Tailscale（含headscale）共11項問題，重點為Tailscale SSH的Unix domain socket forwarding以root權限執行，已授權設備可進一步取得其他節點root並橫向移動。非直接網際網路RCE。廠商調查中，暫不建議全面停用SSH；建議暫時關閉forwarding（環境變數TS_SSH_DISABLE_FORWARDING=1）或收緊policy。

• 出處：ICSDA 10/26焦點、相關研究報告（如Brandefense、pwn.watch）

2. Brotli解碼器漏洞（CVE-2026-111497，亦稱Brotli2Shell／Node2Shell）
Google Brotli decoder越界寫入（invalid block switch處理錯誤），影響Node.js、Bun、Python套件、Envoy、Istio等。未驗證遠端可導致記憶體損壞、DoS或RCE。已有修補版本（例如Node.js 22.23.4／24.22.1／26.12.1；Brotli 1.0.10／1.1.1／1.2.1）。

• 出處：JFrog、The Hacker News、ICSDA 10/25焦點

3. LiteLLM供應鏈攻擊（惡意1.107.0版）
Agent Platform master key於5月誤提交至公開GitHub且136天未撤銷，攻擊者據此竊取GitHub token、修改發布流程，於10/21推送含資訊竊取與後門的惡意版本至PyPI、Docker Hub等。根因為秘密管理與log中殘留token。官方已下架，建議從乾淨環境重裝並輪換所有相關金鑰／憑證。

• 出處：LiteLLM官方說明、ICSDA、iThome

4. 其他CVE重點（CISA KEV等）

• CVE-2026-110447（Collabora Online Built-in CODE Server，OS command injection，CVSS 9.2）
• CVE-2026-114625（Arista VeloCloud Orchestrator，SQL injection，CVSS 9.4）
  兩者已遭實際利用，CISA要求優先修補（due date約10/26）。

5. AI相關趨勢
AI工具／Agent大幅降低攻擊門檻與成本（偵察、滲透、資料竊取自動化）；OpenAI AI代理有虛擬機逃逸討論；Google新政策允許AI搜尋／Gemini取用Gmail與Photos資料用於精準廣告，引發隱私疑慮。

三、國內資安講座／活動消息（開始日約15–30天後，即約11/10–11/25）

• 11/18（三）19:00–21:00 線上「數創小聚」
  主題：Pass不等於安全——企業AI產品資安驗收的三個盲點。講者：前金融業資安長、APMIC資安副總徐方繹。
  出處：ACCUPASS活動頁
• 11/22（日）10:00–17:00 台北「半導體資安大學院」
  主題：半導體威脅全景與晶圓廠OT產線防禦（含SEMI E187等）。地點：艾鍗學院。
  出處：相關政府／產業活動頁（startup.sme.gov.tw等）

（註：11/3「2026台灣資安通報應變年會：迎戰AI威脅 強化智慧應變」距今較近，約8天，主題高度相關，可另行關注；詳見TWCERT活動頁。）

 

PHP驚爆CVSS 9.2滿級分重大漏洞，歐盟當局建議無法修補的網站應停機

2026-10-21 18:35 (GMT+8)

廣泛使用的程式語言PHP，其開發團隊21日宣布將釋出修補兩項嚴重漏洞的程式。歐盟（EU）網路安全機關要求無法套用修補的組織，應考慮暫停受影響的網站，或將其與外部網路隔離。攻擊者可能在未經身分驗證的情況下，從外部執行任意代碼，外界憂心將衝擊網際網路基礎設施。

PHP開發團隊在安全公告中說明，這兩項漏洞在嚴重度評分標準「CVSS v4.0」中，均獲滿分10分中的9.2分評價。修補程式預定於格林威治標準時間21日14時（台灣時間10月21日（週三）晚間10時）釋出，並呼籲使用者「修補版一經發布，請儘速更新」。受影響版本的詳細資訊，預計在修補程式發布時一併公布。

兩項漏洞分別被分配「CVE-2026-109618」與「CVE-2026-109619」的識別編號。不過，這些編號、「PHP 5以後版本均受影響」的範圍，以及最初CVSS 10.0的評價，都是研究人員在20日資訊外洩時所提出，PHP官方公告並未公布編號與影響範圍。研究人員將這兩項漏洞稱為「php2shell」。資安業者watchTowr表示，影響範圍「並未在官方供應商公告中獲得確認」。

歐盟網路安全服務機構（CERT-EU）在20日發布的建議中指出，9.2的評價意味著存在未經身分驗證即可從外部執行任意代碼的風險。該機構要求各方做好準備，以便能立即對受影響系統套用修補；若難以因應，則應考慮暫停受影響的網站。澳洲網路安全中心（ACSC）也提出類似指引，呼籲盤點環境內的PHP系統、準備套用修補程式，並監控可疑活動。該中心表示：「目前尚未確認與這些漏洞相關的活躍攻擊行為。」

資安業者Huntress指出，PHP廣泛應用於網站建置與管理、伺服器共享服務、管理介面等領域。除了是WordPress、Drupal、Joomla、Magento等主要內容管理系統的底層架構，許多未明示使用PHP的軟體，內部其實也以PHP運作。

網站代管大廠GoDaddy說明，這項漏洞可能讓攻擊者經由網際網路，在目標伺服器上執行任意代碼，恐導致資料竊取、網站遭竄改，甚至整個系統被接管。CERT-EU與ACSC均表示，PHP 5以後的所有版本都可能受影響，但PHP方面並未公布具體的脆弱版本。

項目	內容
漏洞件數	2件
識別編號（CVE）	CVE-2026-109618、CVE-2026-109619
嚴重度（CVSS v4.0）	9.2／10.0
修補程式預定釋出時間	2026年10月21日 14:00 GMT （台灣時間10月21日（週三）晚間10時）
可能受影響版本	PHP 5以後（細節未公布）
主要示警機關	CERT-EU、ACSC

註：CVE編號與「PHP 5以後」的範圍，均依據CERT-EU與ACSC的看法。PHP方面並未揭露受影響版本。

資料來源:

https://finance.biggo.com.tw/news/314e2cc6-2088-4681-bfc9-fbcd063bd3df

 2026年10月19日～10月20日

一、國內資安事件（著重根因與解決方法）

1. 中國APT UAT-11985以AI輔助AiTM釣魚鎖定台灣研究機構（10月19日揭露）
Cisco Talos揭露UAT-11985針對台灣研究／政策機構發動魚叉式網釣，冒用台灣歐盟中心、政治大學國際關係研究中心、台灣智庫名義，利用公開活動資訊製作邀請信，並竄改海報QR Code（quishing）擴大觸及。攻擊者使用AiTM框架模擬Google登入頁，透過HTTP POST與WebSocket即時中繼帳密與MFA，達成帳號接管。信件結構高度相似，疑似AI輔助快速生成客製化內容。

• 根因：高可信社交工程（AI生成誘餌＋機構冒名＋公開資訊濫用）＋AiTM技術繞過傳統MFA＋實體管道（QR Code）擴大攻擊面。
• 解決方法：
  • 員工意識訓練：辨識AI生成釣魚信、驗證QR Code來源、不隨意掃描活動海報。
  • 優先部署抗釣魚MFA（FIDO2硬體金鑰或通行金鑰）。
  • 郵件閘道與DNS過濾強化機構冒名偵測；監控異常登入（新裝置、異常位置、WebSocket連線）。
  • 定期檢查公開活動資訊是否被竄改，並與合作機構建立通報機制。

出處：iThome（https://www.ithome.com.tw/news/179769）

2. 台灣大塚製藥遭Eclipse勒索軟體攻擊（10月14日宣稱）
Eclipse組織宣稱攻擊台灣大塚製藥（otsuka.com.tw），威脅洩漏約832GB內部資料（涵蓋財務、法規、供應鏈等）。The Gentlemen亦有相關宣稱。屬醫療／製藥業遭針對案例。

• 根因（常見推測）：初始存取可能來自外洩憑證、未修補漏洞或供應鏈弱點；缺乏網路分段與有效備份。
• 解決方法：
  • 立即隔離受影響系統、驗證離線備份完整性並測試還原。
  • 部署／強化EDR與行為偵測，實施最小權限與網路分段。
  • 強化憑證監控與多因素認證；進行暗網監控與定期事件應變演練。

出處：DeXpose、Breachsense等威脅情資平台。

3. 日本Access子公司AP Taiwan CROS電商服務遭入侵（影響台灣客戶）（約10月15日）
透過特定BI工具未授權存取，洩漏台灣、香港、澳門、新加坡客戶個人與訂單資料，部分含信用卡相關資訊。

• 根因：第三方工具／整合點權限過大或存在漏洞。
• 解決方法：審查第三方整合最小權限、敏感資料遮罩、定期供應鏈資安稽核與異常存取監控。

出處：日本公司公告與相關報導。

二、國外重要資安與個資新聞

• 日經新聞（Nikkei）第三次資料外洩：開發用雲端遭盜用憑證存取（約10月7日），外洩約183萬筆個人資訊（其中約15萬含姓名、email等可識別資訊）。已通報主管機關，目前未見二次濫用。
  出處：BleepingComputer（https://www.bleepingcomputer.com/news/security/nikkei-discloses-third-data-breach-in-a-month-18m-records-exposed/）
• ConnectWise供應鏈攻擊：應用程式身分遭入侵，影響Microsoft 365租戶，已暫停多項雲端服務（含備份）。
• Rank Math PRO WordPress外掛供應鏈攻擊：官方下載版本被植入惡意程式，影響網站後門。
• BAE Systems資安事件：影響美國破產通知中心運作，全國通知服務中斷約一週。

三、CVE與新型態攻擊手法

• Microsoft 10月月例更新：修補創紀錄約1,413個CVE（Windows佔多數），包含已遭利用的零日CVE-2026-96951（Windows Shell安全功能繞過，CVSS 8.8）。CISA已列入KEV，建議立即部署更新。
• 新型態重點：
  • AI輔助生成高品質魚叉式釣魚＋AiTM繞過MFA（見UAT-11985）。
  • 供應鏈攻擊持續（雲端服務、官方外掛）。
  • 勒索軟體針對製藥／關鍵產業，並搭配暗網洩漏威脅。
  • 其他：Plex Media Server漏洞被利用部署挖礦與Linux代理後門。

四、台灣資安活動消息（活動開始日約15～30天前，含接近者）

• 2026台灣資安通報應變年會（11月3日）：主題「迎戰AI威脅 強化智慧應變」，臺大醫院國際會議中心（同步線上），免費。主辦：數發部資安署、TWCERT/CC。報名：https://activity.twcert.org.tw/2026/index.htm
• 資安長高階領導班第5期（11月6日，台北，付費）
• 滲透測試工程師課程（中興大學，11月7日，付費）
• Security Summit 2026（11月5-6日，台北，DIGITIMES主辦，聚焦AI對決AI與韌性架構）
• 詐騙手法大進化講堂（11月18日，台北金融園區，實體課程）

出處：TWCERT/CC活動列表、相關主辦單位公告。