本日新聞焦點
● Windows Update憑證2027年到期，微軟提醒企業留意更新中斷風險
● MITRE ATT&CK第20版新增提示注入、AI輔助資料外洩等攻擊技術
● Meta GitHub儲存庫遭駭，外洩產品程式碼及1,500人個資
● Shadowserver警示仍有數百組Danfoss冷藏控制器暴露於公開網路
● 日本量販連鎖Mr Max、超商Lawson、卡拉OK業者資料外洩
資安新聞總覽
Shadowserver警示仍有數百組Danfoss冷藏控制器暴露於公開網路
法國數百家超市近日發生Danfoss冷藏控制系統遭駭事件，駭客遠端操控設備啟動除霜功能，導致溫度異常升高，大量生鮮及冷凍食品被迫報廢。事件發生後，資安監測組織Shadowserver基金會於10月15日警告，迄今全球仍至少有365組Danfoss AK-SM800A控制器暴露於網際網路，可能面臨未授權存取風險，從地理區域來看，以法國的108組最多，其次是美國的36組與比利時的33組，整體暴露數量雖較前幾日的550組以上有所減少，但風險尚未消除，呼籲業者將設備移出公開網路。詳全文
烏克蘭接連襲擊Yandex三座資料中心，俄羅斯多項網路服務中斷
俄羅斯最大網路服務業者之一的Yandex，過去一週內有三座資料中心接連遭到烏克蘭無人機攻擊，這三波攻擊發生在10月7日至8日深夜、10月9日，以及10月11日，造成其中兩座資料中心完全關閉，另一座的基礎設施也受損。Yandex Cloud的狀態公告指出，部分服務區目前仍無法運作，影響雲端運算、儲存、託管資料庫及搜尋等相關服務，連帶波及依賴Yandex基礎設施的運輸、媒體等第三方業者的服務。烏克蘭總統澤倫斯基表示，此次攻擊是對俄羅斯先前同類攻擊的報復，俄軍9月下旬對基輔地區發動攻擊，曾造成烏克蘭部分資料中心及電信基礎設施受損。詳全文
俄羅斯網路業者資料中心遭襲後，Cloudflare觀察相關惡意機器人活動未明顯減少
.png)
俄羅斯長期被視為主要的惡意網路活動來源之一，俄羅斯龍頭網路服務商Yandex多座資料中心近日接連遭無人機襲擊後，影響大量網路服務，網路流量也大幅下降，引發外界猜測俄羅斯惡意機器人及相關自動化惡意活動也會連帶受到重創。不過，資安與網路服務業者Cloudflare於10月14日分析其Radar與Bot Management數據指出，Yandex搜尋服務與Yandex Cloud的流量雖然大幅下降，但並無證據顯示此次事件造成俄羅斯惡意網路活動明顯減少，來自俄羅斯的社群媒體流量也未出現異常變化，認為目前資料不支持此次襲擊已遏止俄羅斯相關惡意網路活動的說法。詳全文
美國司法部跨州打擊北韓遠端工作網路，起訴14人並破獲筆電農場
美國司法部10月13日宣布在俄亥俄州與德州展開協同行動，打擊北韓利用IT工作者滲透美國企業、取得非法收入的祕密管道。美國司法部指出，北韓人員利用竊取或偽造的美國身分應徵遠端職位，再透過美國境內協力者代管企業配發的筆電，掩飾實際工作地點，並將薪資收入轉往北韓相關帳戶。在俄亥俄州，聯邦檢方起訴14人，指控其涉及逾70家美國企業的工作詐騙，自2019年至2025年間共獲得約300萬美元收入，款項流向北韓相關帳戶。FBI在德州則搜索逾40處涉嫌充當北韓遠端IT工作者筆電農場的住宅，查扣約187臺筆電及KVM設備。詳全文
Meta GitHub儲存庫遭駭，外洩產品程式碼及1,500人個資
SecurityWeek報導，近日Meta GitHub儲存庫遭駭，遭不明人士竊走產品程式碼及大約1,500名人員個資，此消息也獲得Meta證實。事件發生在數個星期前，駭客是利用一名員工憑證存取公司GitHub儲存庫，而非公司系統有漏洞。Meta表示，外洩資料約99%為公司產品程式碼，另約1%為個人資料，這些資料是因為員工違反公司政策而誤存於GitHub環境。該公司聲稱，受影響的人員大約為1,500人，其中大部分為Meta美國員工，Meta已經通知這些人員，不過未說明外洩的個人資料類型。詳全文
日本量販連鎖Mr Max、超商Lawson、卡拉OK業者資料外洩
日本零售及娛樂業者接連傳出資安事件，折扣量販連鎖Mr Max、便利超商Lawson及經營卡拉OK的娛樂業者第一興商，於上週陸續公告資料外洩，分別影響數百萬客戶。Mr Max為內部伺服器遭駭，約173.5萬名App及線上商店會員資料外洩，包含會員ID、姓名、電子郵件及電話。Lawson則有約215.5萬筆Lawson ID會員資料外洩，涉及電子郵件、姓名、性別、電話及住址，另有26名使用App預約服務的用戶資料外洩，包含部分信用卡號。第一興商則是委外廠商日本古倫美亞的一名員工電腦感染惡意程式，導致約872.4萬筆客戶資料及逾9萬筆員工資料可能外洩，涉及姓名、性別、生日、電子郵件及電話。詳全文
10月15日美國網路安全與基礎設施安全局（CISA）在已遭利用漏洞名單（KEV）新增4個漏洞，包括：Palo Alto Networks防火牆作業系統程式碼注入漏洞CVE-2026-0322、思科郵件安全閘道Secure Email Gateway路徑遍歷漏洞CVE-2026-76519，以及Ahsay備份管理平臺Ahsay Cloud Backup Server（AhsayCBS）身分驗證不當漏洞CVE-2026-105133、命令注入漏洞CVE-2026-105134。涉及前述漏洞的廠商皆已發布資安公告，要求用戶緊急採取行動，呼籲用戶以最高優先等級套用更新，並確認相關漏洞已被用於實際攻擊。詳全文
Palo Alto Networks修補遭利用的防火牆作業系統遠端程式碼執行漏洞
10月15日資安公司Palo Alto Networks提出警告，旗下防火牆作業系統PAN-OS存在高風險漏洞CVE-2026-0322，且該漏洞已遭利用。此為管理介面當中的遠端程式碼執行（RCE）弱點，擁有網路存取權限的攻擊者可在防火牆上，以root權限執行任意程式碼，CVSS v4.0嚴重程度評分為8.6，影響PA系列的實體防火牆設備、VM系列的虛擬防火牆，以及防火牆集中管理平臺Panorama。由於該漏洞已出現遭到實際利用的跡象，攻擊者將其用於攻擊某些系統的管理介面，再加上此弱點沒有其他替代緩解措施，該公司呼籲用戶應儘速套用更新因應，並將其處理的緊急程度列為最高等級。詳全文
10月14日思科發布資安公告，旗下郵件安全閘道系統Secure Email Gateway（SEG）存在任意檔案寫入漏洞CVE-2026-76519，此弱點存在於惡意軟體防護機制Advanced Malware Protection（AMP），未通過身分驗證的攻擊者，可遠端於底層作業系統寫入任意檔案，CVSS嚴重程度評分為9.8。思科警告，該漏洞已遭積極利用，且目前沒有替代的緩解措施，呼籲用戶儘速套用軟體更新因應。詳全文
軟體公司Ahsay再度修補已遭串連及利用的備份管理平臺AhsayCBS零時差漏洞
上週威脅情報公司Huntress指出，近日公布的備份管理平臺Ahsay Cloud Backup Server（AhsayCBS）資安漏洞CVE-2026-105133、CVE-2026-105134被用於實際攻擊，10月12日Ahsay表示，先前推出的9.15.2.59與10.3.4.0版AhsayCBS，未能完整修補前述資安漏洞，這次發布新的修補程式來徹底解決問題，第7至第9版AhsayCBS用戶應升級至9.15.2.70版，第10版用戶應升級至10.3.4.45版因應。詳全文
CISA呼籲Ivanti用戶儘速修補已遭利用的SSL VPN零時差漏洞
10月13日美國網路安全與基礎設施安全局（CISA）提出警告，SSL VPN系統Ivanti Connect Secure（ICS）零時差漏洞CVE-2026-104935遭積極利用，並將其新增至已遭利用的漏洞名單（KEV）。除此之外，CISA特別針對此事發布額外公告，強調該漏洞相當危險，且攻擊活動不易發現，呼籲所有ICS用戶要儘速採取行動因應。CISA表示已掌握有駭客組織利用CVE-2026-104935的情況，並指出雖然這是身分驗證繞過型態的漏洞，但攻擊者也能藉此在未通過身分驗證的情況下，遠端執行任意指令，以及竊取憑證及外洩資料。詳全文
Ledger加密錢包設備遭植入隱藏晶片，影響範圍已從亞洲擴及歐洲
上週硬體加密貨幣錢包設備Ledger驚傳被植入間諜元件，導致用戶資產遭到洗劫，設備製造商Ledger定調是從經銷商CryptoBillis售出的裝置有問題，近90天向其購買加密貨幣錢包設備的東南亞用戶可能會受到影響，呼籲這些用戶應儘速將資產轉移到其他錢包，並更換通關密語（seed）。然而，10月11日社群網站X用戶Johannes提出警告，這起攻擊的影響範圍恐怕涵蓋到亞洲以外的地區，因為他在歐洲經銷商購得的Ledger硬體錢包裝置，也同樣被植入類似的間諜元件，他據此推測，歐洲地區MediaMarkt和Saturn門市售出的Ledger錢包也可能存在相同問題，這兩家經銷商擁有超過1,000家門市，範圍涵蓋11個國家、希望Ledger能重視相關問題。詳全文
10月13日SAP發布本月例行更新，揭露及修補20個資安漏洞，從漏洞的嚴重程度來看，最危險的是CVSS評分達到10分滿分的CVE-2026-89111，此弱點存在於PyPI套件SAP Cloud SDK for Python，為OAuth2伺服器請求偽造（SSRF）類型的弱點，影響該廠牌多租戶的商業技術雲端平臺Business Technology Platform（BTP）應用程式，攻擊者若能控制tenant_subdomain參數，就可能將OAuth2權杖請求重新導向攻擊者控制的伺服器，並導致用戶端憑證外洩，SAP於8月下旬發布的0.45.2版SAP Cloud SDK for Python予以修補。詳全文
Windows Update憑證2027年到期，微軟提醒企業留意更新中斷風險
微軟近日提醒企業，用於Windows Update服務的部分憑證，將於2027年5月17日及6月19日到期。這些憑證用來驗證更新伺服器的身分，微軟已透過每月安全更新提供替代憑證，但若裝置未安裝必要更新，即使使用的Windows版本仍受支援，憑證到期後也可能無法繼續透過Windows Update取得安全修補及其他更新。微軟針對各Windows版本訂出不同的更新期限，建議企業IT管理人員檢查較舊Windows裝置的版本及更新情況，並為已停止支援的系統規畫升級的作業程序。如果裝置未能在憑證到期前完成更新，只要使用的Windows版本仍受支援，管理人員就可以透過Microsoft Update Catalog下載並安裝必要更新，或使用既有管理工具部署更新。詳全文
MITRE ATT&CK第20版登場，新增提示注入、AI輔助資料外洩等攻擊技術
美國非營利組織MITRE在10月13日發布MITRE ATT&CK v20，本次更新的一大重點是新增多項與AI相關的攻擊技術，包括提示注入、AI輔助資料外洩及AI結果污染等，並擴充其他攻擊手法、駭客組織及惡意軟體的相關資料。在AI相關攻擊技術方面，第20版新增直接提示注入（Direct Prompt Injection，T1699）與間接提示注入（Indirect Prompt Injection，T1698），分別描述攻擊者直接向大型語言模型輸入惡意指令，或透過模型處理的外部內容植入惡意提示的手法。此外，AI輔助資料外洩（AI-Enabled Exfiltration，T1700）則是關於攻擊者操控企業AI代理外洩資料的手法。詳全文
金管會擬推出金融業代理AI安全指引，先公布諮詢文件徵詢意見，聚焦安全治理、風險分級與權限控管
金管會10月13日公布「金融業運用代理AI安全諮詢文件」，針對安全治理、風險分級及安全控管三大面向徵詢各界意見，為期30天。代理AI具備規畫步驟、呼叫工具及跨系統存取資料等能力，若缺乏管理，可能發生越權操作、敏感資料外洩或錯誤連鎖擴大，該文件建議金融業以應用場景為管理單位，依資料敏感度、動作影響及能力邊界等面向評估風險，並依零信任原則落實身分驗證、最小權限及行為監控。高風險或不可逆操作應保留授權與覆核機制。金管會表示，諮詢文件不取代現行法令，將作為後續政策研議及發布正式指引的參考。詳全文
CSA提出零信任DNS授權架構，解析網域名稱前先驗證身分、確認權限
雲端安全聯盟（CSA）提出Secure Multi-Step DoH架構，將零信任存取控制延伸至DNS解析階段，建議企業在提供內部服務的網域解析結果前，先驗證使用者身分、檢查裝置安全狀態並確認存取權限，降低未獲授權者取得內部服務位址的風險。CSA表示既有的DNS over HTTPS（DoH）及DNS over TLS（DoT）雖能加密查詢，卻無法單靠加密判斷查詢者是否具備存取權限，而前述新架構則可整合既有身分、裝置管理與端點安全機制，但目前仍屬設計建議，尚未提供實際部署成效的量化資料。詳全文
德國政府公布PQC遷移指引，高風險系統最晚2030年完成轉換、整體遷移目標2035年
德國正式提出後量子密碼學（PQC）國家遷移時程，10月12日，德國聯邦內政部（BMI）、數位化與國家現代化部（BMDS）及聯邦資訊安全辦公室（BSI）共同公布PQC遷移指引，承接歐盟2025年發布的PQC轉型路線圖，進一步訂出德國國內的準備工作與遷移時程，要求2026年底前完成初步準備與密碼資產盤點，高風險應用最晚於2030年底完成轉換，完成整體遷移的目標為2035年。新指引也要求政府機關、企業與關鍵基礎設施營運者評估量子風險，並將密碼敏捷性與供應鏈納入遷移規畫。詳全文
微軟近日表示，已於8月27日啟動後量子密碼學（PQC）TLS憑證試行計畫，由7家憑證授權機構參與，測試採用抗量子數位簽章演算法ML-DSA的憑證，能否與既有系統相容。Windows 11 25H2及26H1安裝指定更新並完成設定後，可在非正式環境測試伺服器身分驗證。微軟提醒，PQC憑證及憑證鏈的資料量可能較大，將增加TLS交握傳輸量，並影響連線效能、儲存空間及部分設備的處理能力。企業應盤點憑證依賴、確認供應商支援規畫，並先測試應用程式、硬體安全模組及網路設備的相容性。試行憑證不具公開信任資格，不得用於正式環境或公開網站。詳全文
Upwind併購AI資安新創Aegis，成立研究團隊擴大AI代理安全布局
雲端資安業者Upwind宣布併購以色列AI資安新創Aegis，並成立AI安全研究團隊Upwind AI Lab，結合Aegis的研究團隊與技術，以及Upwind既有的雲端安全能力，擴大AI安全研發布局。新團隊將投入AI系統防護、利用AI代理協助資安維運、頂尖AI模型評測及進階AI系統研究。該公司主要業務原為雲端工作負載的執行階段安全監控，今年已將相關技術延伸至AI環境，新團隊將進一步研究如何保護企業使用的AI模型、AI代理，以及相關GPU、API、資料、SaaS服務與雲端基礎架構，並涵蓋身分與存取權限的安全問題。詳全文
