策略數位服務有限公司

2026/10/29–10/30 國內外資安與個資新聞彙整

國內重點事件：根因分析與解決方法

1. 中選會候選人財產申報系統個資外洩（29日更新）
摘要：1,573名候選人（含縣市長、議員）身分證字號外洩。主委游盈隆29日鞠躬致歉，確認32個IP曾存取並可能下載資料（境內外尚在追查，非全部惡意）。
根因：委外廠商（宏碁資訊）程式設計不良，產製公告資料時將身分證字號載入非公開查詢檔案，未妥善過濾欄位（檔案以亂碼呈現，但仍可被存取）。非一般查詢PDF或畫面外洩。
解決方法：27日緊急關閉、修正程式並調整資料傳輸路徑後重開；資安署已派員協助檢測。未來導入「四眼原則」雙重檢查委外開發；依個資法究責並向廠商求償；強化系統驗收與資安稽核，避免再將管理責任全推給廠商。

2. 91APP Commerce Cloud訂單資料庫遭駭（29日公布完整調查）
摘要：最大影響範圍為1,329家品牌、約479.8萬名消費者（2025/4/4至2026/10/14線上訂單）。外洩姓名、電話、配送地址、Email、訂單紀錄（不含密碼、信用卡或支付資訊）。董座何英圻率隊鞠躬致歉，提供諮詢與補償（至2027/2/1）。
根因：第三方工具Appsmith存在未及時修補的漏洞，被ARTEX AI自主滲透測試系統（AI Agent自動化攻擊）利用，進入內部網路後從GitLab取得資料庫金鑰，入侵短期訂單資料庫。屬區域性AI自動化攻擊（日韓同期也有類似案例），非針對單一企業客製化。
解決方法：已移除Appsmith、輪換所有憑證與資料庫帳密、限制CI主機與資料庫網段、重建GitLab權限。長期推動零信任架構（網路/應用微切分、最小權限）、AI強化全場域異常偵測與自動回應，並持續與外部專家合作。主動通知受影響者、承擔溝通費用，並配合數發部行政檢查。

3. PHP2Shell（CVE-2026-109618 / CVE-2026-109619）政府修補進度（29日更新）
摘要：近300個政府機關、約800筆網站/系統受影響。截至28日17時，已完成460筆修補，22筆老舊系統先行關閉。資安署長蔡福隆表示每日追蹤進度，盡速完成。
根因：PHP核心兩個未認證RCE漏洞（記憶體不足處理造成狀態損壞，以及殘留全域狀態被誤用），CVSS約9.2。影響全球約7成PHP網站，已遭實際利用執行Shell，並可與Linux核心Fragnesia漏洞（CVE-2026-46300）鏈結提權。北韓相關駭客也針對216台主機掃描，台灣列入優先目標（政府、金融、物流等）。
解決方法：立即升級至8.5.12 / 8.4.27 / 8.3.36 / 8.2.35；無法即時修補者先隔離或關閉；持續監控日誌與異常存取；盤點嵌入PHP的IT/OT產品與管理介面（如部分防火牆、工業系統）。數發部已啟動專案小組並每日要求回報。

國際與新型態攻擊 / CVE重點

• PHP2Shell已被確認在野成功利用，並與Linux Fragnesia鏈結；北韓相關組織持續掃描未修補主機（含台灣）。
• 其他近期遭利用或高危：GitLab CVE-2026-97229（未認證RCE）、Cisco ASA/FTD CVE-2026-76418（DoS）、VMware ESX CVE-2026-41709（日誌不足，中國相關駭客利用）等。
• 新型態：AI自主攻擊工具（如ARTEX）大幅加速漏洞探查、路徑規劃與資料竊取，已成跨境電商與金融供應鏈常見手法。Sony日本ISP與保險業務也傳出大規模個資外洩。

臺灣資安講座／活動消息（即將開始）

• 2026台灣資安通報應變年會：11月3日（二），臺大醫院國際會議中心，主題「迎戰AI威脅 強化智慧應變」，免費（實體＋線上）。主辦：資安署、TWCERT/CC。
• 「2026台灣周：資安韌性與戰略」：11月4日，台北漢來大飯店，聚焦金融資安韌性發展藍圖與新型AI威脅，金管會等主辦。