策略數位服務有限公司

 2026/10/28–10/29 資安與個資重點彙整

一、國內重點事件：中選會候選人財產申報網站個資外洩

中等摘要：10月16日上線的中選會「公職候選人財產申報」公告網站，背景資料（查詢頁面回傳的JSON等）夾帶全國1,573名候選人（縣市長、議員）身分證字號。民眾開啟查詢頁面即可透過瀏覽器開發者工具取得，無需帳密。台灣前進陣線等團體於28日公開揭露。中選會回應初判為委外廠商產製公告資料時，將身分證字號誤載入非公開查詢檔案（以亂碼呈現），已於27日暫停網站、完成程式修正後重開，啟動調查並依個資法辦理，同時通報主管機關。PDF公告本身已遮蔽，問題出在背景資料傳輸。

根因分析：

• 委外廠商資料產製與後端API設計疏失：敏感欄位（身分證字號）未過濾即回傳前端，違反資料最小化原則。
• 缺乏輸出過濾／敏感資料遮蔽機制，以及開發階段資安檢測（如資料洩漏掃描、靜態分析）。
• 「亂碼」可能因編碼顯示問題，但實際為結構化可讀資料（JSON等），機器與工具可輕易解析。

解決方法研擬：

1. 立即：後端嚴格過濾敏感欄位，僅回傳必要非敏感資料；加強輸出編碼與資料遮蔽。
2. 短期：強化委外廠商契約（要求安全開發生命週期SDLC、資安檢測報告、第三方稽核）；進行個資影響評估（DPIA）。
3. 中長期：導入自動化敏感資料偵測工具、定期紅隊／滲透測試；強化人員訓練與個資法合規審查；考慮零信任下的資料存取控制。

出處：https://www.ithome.com.tw/news/180037 、工商時報、聯合報、RTI等相關報導。

二、國內相關更新：PHP2Shell持續威脅

北韓駭客（疑與Lazarus生態系相關）在漏洞公布後迅速鎖定全球約216台可能未修補的PHP主機，以低頻率方式掃描，台灣列入目標範圍（涵蓋政府、金融、物流、製造、線上交易等）。使用遭入侵節點避偵。CISA已確認在野利用並列入KEV，修補期限緊迫。

根因：未及時升級修補CVE-2026-109618、CVE-2026-109619（CVSS v4.0 9.2，未驗證RCE）。舊版PHP比例高。
解決：立即升級至PHP 8.5.12／8.4.27／8.3.36／8.2.35；無法立即升級則評估暫停服務、關閉session.upload_progress等緩解、部署WAF規則、加強日誌監控與異常存取告警。

出處：https://www.ithome.com.tw/news/180045

三、國際與CVE重點（中等摘要）

• PHP2Shell利用升級：部分攻擊串接Linux kernel Fragnesia（CVE-2026-46300）取得root權限，疑中國相關行為者針對防火牆等設備。CISA確認積極利用。
• Veeam：CVE-2026-108142（CVSS 9.1，未驗證授權繞過，影響Backup & Replication），立即修補。
• Microsoft 10月更新：修補1,400+漏洞，含已遭利用的Windows Shell CVE-2026-96951（安全功能繞過）。
• Apple：CoreGraphics CVE-2026-86950（已遭利用）回溯修補至iOS／iPadOS 18。
• 其他：Magento電商約953網站遭植入可規避掃描的JS後門（利用PolyShell等）；Google Brotli CVE-2026-111497資訊洩漏／DoS（影響Node.js、PHP、Linux等）；HPE ArubaOS修補72漏洞（含多個CVSS 10.0 RCE風險）。

新型態手法：AI代理加速偵查與滲透（如ARTEX框架）、郵件轟炸搭配外部Teams聊天社工、鎖定開發者金鑰環與AI助理的竊密程式。

四、台灣資安活動（開始日約15–30天後）

• TABF FinSec Exchange 2026（第二場）：2026/11/20（五）14:30–17:00，主題「智慧防禦新時代：建構Zero Trust與新世代防禦體系」。地點：TABF Bankers’ Salon（台北市中正區羅斯福路三段62號1樓）。主辦：台灣金融研訓院。對象：金融業高階經理人。
  出處：https://web.tabf.org.tw/page/691513/
• 半導體資安大學院：半導體威脅全景與晶圓廠OT產線防禦：2026/11/22（日）10:00–17:00。地點：台北市中正區重慶南路一段143號4樓艾鍗學院。講師：堤姆（SEMI E187專家）。涵蓋OT／ICS防禦實務。
  出處：https://startup.sme.gov.tw/api/viewer/event_detail.php?id=8366