本週最受矚目的資安消息，莫過於美國司法部與FBI查封中國資安公司永信至誠科技涉及網路攻擊的7個網域，涵蓋漏洞掃描工具Microscan與網路釣魚工具FishHub，該公司過去被指控與中國駭客組織Flax Typhoon關係密切，調查更揭露先前遭攻擊的臺灣案例，再次引發國人關注。由於其攻擊目標遍及全球，美國等7國資安與執法機構也聯合示警，公布相關攻擊手法、漏洞及入侵指標，協助各界偵測與應變。
零售業資安情勢也相當不平靜。法國數百家超市冷凍／冷藏控制系統被攻擊者遠端啟動除霜功能，導致大量食品報廢，突顯老舊OT設備汰換、韌體更新及管理介面暴露於公網的風險；荷蘭連鎖超市Albert Heijn也傳出資安事故，網站、App、物流系統及電子貨架標籤受到影響。另一方面，法國硬體加密貨幣錢包Ledger驚傳設備遭植入隱藏晶片，這樣的供應鏈攻擊事件震驚全球，遭改裝的設備如何流入東南亞經銷通路，仍有待進一步調查釐清。
其他重要威脅方面，不只多款企業網路邊緣設備持續遭駭客鎖定，近期3個國碼頂級網域遭劫持，更顯現上游網域管理與憑證信任機制的安全風險；還有幾項值得留意的防禦發展態勢，微軟10月安全更新再破紀錄，一次修補1,413個漏洞；PCI SSC提出支付環境AI安全指引，CSA發布AI資安成熟度評估框架，OpenSSF與OpenChain發布軟體供應鏈安全指引，PKI聯盟發布2.0.0版PKI成熟度模型PKIMM，MITRE ATT&CK第20版也新增提示注入等攻擊技術。此外，臺灣金管會也已公布金融業代理AI安全諮詢文件，針對安全治理、風險分級及安全控管三大面向徵詢各界意見。
IoT/OT安全
零售冷藏環境中的老舊OT設備與韌體更新問題成為焦點，法國傳出數百家超市冷凍／冷藏控制系統遭駭，攻擊者遠端啟動除霜功能，導致設備溫度飆升並使大量食品報廢，不僅突顯OT設備汰換與更新問題，也暴露這類設備管理介面直接對外連網的嚴重風險。繼近期水廠OT資安威脅引發關注後，這起事件再次突顯各類OT系統安全防護不容輕忽，避免類似攻擊衝擊民生服務與實體營運。
法國數百家超市在週日（10月11日）晚間遭到網路攻擊，駭客入侵冷凍/冷藏控制系統，遠端啟動除霜功能，導致部分設備溫度升至攝氏50度，造成大量食品報廢。工控資安公司Claroty指出，他們曾在今年8月揭露相關研究，闡釋Danfoss AK-SM 800A的攻擊面，同時指出發現2,765臺AK-SM 800A直接暴露於網際網路。值得關注的是，事件也引發歐洲各國警戒，義大利ACN呼籲食品零售及冷鏈業者立即檢查設備安全，德國BSI則警告類似攻擊可能在任何國家重演，並發布專門針對連網OT系統的資安防護建議，法國CERT-FR於13日更新警報，確認遭入侵的設備不只涉及Danfoss，也涵蓋美國業者Copeland旗下品牌Dixell的冷藏控制設備，並警告攻擊活動可能仍在持續。
Danfoss冷藏設備在法國遭駭，老舊OT風險升溫，2022年已有前例
近日法國數百家超市的Danfoss冷藏控制系統遭惡意竄改設定，受影響設備包含已終止支援（EOL）與未更新韌體的產品，突顯連網OT設備遭駭可能直接造成實體損失，也暴露零售冷藏環境中的老舊設備與韌體更新問題。此外，Danfoss早在2025年10月便警告部分EOL舊機種已無法符合現行安全要求，並揭露2022年俄羅斯、以色列數十家超市使用的AK-SM 800曾遭攻擊，建議客戶汰換為AK-SM 800A。
Shadowserver警示仍有數百組Danfoss冷藏控制器暴露於公開網路
針對法國數百家超市發生冷藏控制系統遭駭事件，Shadowserver基金會10月15日警告，全球仍有至少365組Danfoss AK-SM800A控制器暴露於公開網路，其中法國有108組、美國36組、比利時33組。雖然暴露數量較先前減少，風險仍未消除，呼籲業者移除公網存取，並透過網路隔離、VPN及韌體更新等措施降低遭未授權存取的風險。
Palo Alto Networks指出，68%組織在OT資產掌握上仍待加強，平均使用資安工具多達7套
OT資產可視性不足再度成為焦點，Palo Alto Networks於10月初發布《2026關鍵基礎設施網路安全現況報告》，指出僅32%的受訪組織能即時、完整掌握所有連上OT網路的資產；換言之，高達約68%仍存在不同程度的可視性缺口。報告亦點出另3項值得注意的挑戰：資安工具分散、IT／OT資安營運整合程度有限，以及AI應用尚未形成規模。
資料安全
近期不僅臺灣、韓國多家企業資安事件頻頻登上新聞版面，日本資安情勢也相當不平靜，旅遊、零售、金融及客服平臺等產業接連傳出資料外洩事件。另一方面，丹麥人口登記系統服務商疑因使用「123456」弱密碼，導致大量公民資料外洩，也成為關注焦點。此外，韓國政府在資料中心大火屆滿一年之際，重新檢討政府資訊系統分級與災難復原標準，同樣值得關注。
日本企業接連發生資料外洩，JPCERT/CC示警並揭4類攻擊手法
日本近期接連傳出多起企業資安事故，JPCERT/CC於10月8日發布警告指出，這波事件主要集中在2026年9月前後，且並非由單一漏洞或相同手法造成。雖然目前公開的技術資訊仍有限，JPCERT/CC仍整理出近期掌握的4類攻擊手法與觀察結果，提供企業檢視自身環境與防禦措施的參考，涵蓋已知漏洞利用、API濫用、Metabase漏洞，以及在應用程式伺服器植入Web Shell等情況。
日本IDC Frontier雲端遭勒索軟體攻擊，波及495家客戶、部分系統靠備份重建
日本雲端服務業者IDC Frontier旗下雲端服務遭勒索軟體攻擊，波及495個企業與地方政府客戶，部分雲端資料恐難以取回或復原，目前只能由客戶利用自行保存的備份重建系統。其中，Movable Type開發商Six Apart因平時將備份另存Google Cloud，事故後成功將31臺受影響伺服器遷往Sakura Cloud重建，也突顯異地備份與跨雲復原的重要性。
日本旅遊服務業者Adventure發生資料外洩，首先是巴士預約系統預約完成頁面外洩1.2萬筆資料，接著是業務管理系統外洩客戶資料1.7萬筆，旗下旅遊預約比價平臺Skyticket，外洩1,464萬筆使用者資訊。住宿預約系統平臺業者TEMAIRAZU、旅遊代理業者H.I.S也公告資料外洩，影響人數各為627人與445萬人。
日本客服平臺業者Scala Communications遭駭，洩露多家客戶個資逾70萬
Citizen鐘錶、日本損保（Sompo Japan Insurance）相繼在網站公布資料外洩事件。大和證券則向媒體證實資料外洩，並在官網呼籲客戶小心釣魚詐騙。這些公司上週接獲日本客服平臺業者Scala Communications通知，後者營運的FAQ及線上諮詢系統「i-ask」遭到外部人士非授權存取，使儲存在Scala伺服器的客戶資料外洩。
日本量販連鎖Mr Max、超商Lawson、卡拉OK業者資料外洩
日本企業接連傳出資料外洩事件，上週又有折扣量販連鎖Mr Max、便利超商Lawson，以及經營卡拉OK的日本娛樂業者第一興商，均發布公告，表示其外洩數百萬名客戶資訊。以Lawson為例，他們表示，網頁登入使用的Lawson ID及「Lawson App Reservation」服務遭到惡意程式感染外洩，發生時間大約在9月中。
91APP雲端平臺資料庫Commerce Cloud遭自動化攻擊
10月16日股市公開資訊觀測站出現資安重大訊息，電商技術服務公司91APP（6741）表示，旗下的Commerce Cloud資料庫兩天前遭受自動化攻擊，攻擊者非法擷取部分資訊，已委請第三方資安公正單位協助調查、向警方報案，並採取必要防護措施降低影響，依法通報相關主管機關，目前遭攻擊的情況已得到控制。
資訊技術服務公司緯致科技（4953）10月9日發布資安重大訊息，說明10月8日公司偵測到內部系統遭到異常存取，經調查確認有部分員工資訊、公務聯繫資訊可能曝險，察覺有異後即採取相關防護措施，包含阻斷網路連線、系統隔離等作法，並委請外部第三方資安機構進行數位鑑識。
多家韓國金融業者接連遭駭，CrowdStrike揭露疑似中國背景駭客結合AI與滲透測試工具從事攻擊
CrowdStrike揭露疑似中文使用者的攻擊者，9月底至10月初利用中國開發的AI滲透測試工具ARTEX，搭配Claude Code、DeepSeek等大型語言模型攻擊韓國金融機構。CrowdStrike取得攻擊者控制伺服器上的AI操作紀錄，發現其攻擊目標與近期韓國金融業多起個資外洩事件重疊，但目前仍無法確認攻擊者身分或歸屬特定組織。
在9月底到10月初韓國金融業接連發生資料外洩，例如：韓國耶佳藍儲蓄銀行在9月30日證實偵測到駭客攻擊，並竊走近40,000筆客戶紀錄；KB國民銀行因員工支援系統憑證外流，導致外洩119名客戶個資；韓亞銀行客戶支援系統遭駭，令89名客戶個資遭存取；BNK金融集團釜山銀行遭遇駭客攻擊，導致11名外包開發人員個資被竊。
2025年9月，韓國國家資訊資源管理院（NIRS）的大田資料中心發生火災，歷時95天才全面恢復運作，暴露其在資料備份及災難復原方面的不足。韓國行政安全部（MOIS）10月2日公布事故後的改善進度，並調整政府資訊系統的分級方式與災難復原標準，改以系統中斷對民眾生活影響程度作為分級依據，並已在今年8月將全國約1.5萬套公部門資訊系統重新分為A1至A4等4個等級。其中最高等級A1系統的復原時間目標（RTO）為1小時內，A2等級為3至12小時，A3等級為1至5天，A4等級則為3週內。
丹麥中央人口登記局（CPR）發生資安事故，攻擊者濫用當地服務商的存取權限，取得約880萬名公民的姓名、居住地址，以及身分證號。自稱犯案的駭客向丹麥媒體Politiken透露，他只憑簡單密碼「123456」，就成功登入一家IT公司的帳號。該公司至少有3個帳號共用這組密碼，其中包括一個管理員帳號，這家遭駭的公司目前被認為是丹麥的Pays ApS。
Meta GitHub儲存庫遭駭，外洩產品程式碼及1,500名人員資料
在數個星期前，Meta的GitHub儲存庫發生遭駭事故，不明人士利用一名員工憑證存取公司GitHub儲存庫，而非公司系統有漏洞，該公司被竊走的資料中，99%是公司產品程式碼，只有1%是個人資料，涉及大約1,500名人員資料，這些人大部分為Meta美國員工，Meta已經通知相關人員，但未說明外洩的個人資料類型。
逾1.6萬個Supabase資料庫暴露於公開網路，恐洩漏敏感資料
資安研究機構UpGuard揭露，研究人員掃描約30萬個使用Supabase的網域，發現16,326個資料庫存在設定不當、導致資料表可被公開讀取的情況，涉及個人資料、明文密碼、驗證權杖及一次性驗證碼。案例包括非洲領事館、印度內容平臺、菲律賓簡訊驗證服務與美國代客泊車業者。問題主要與資料列層級安全性（RLS）設定不當有關，凸顯使用雲端後端服務時，妥善管理資料存取權限的必要性。
今年春天會計及顧問服務業者美國EY發生的資料外洩事件，美國EY於7月向美國部分州主管機關通報事故，並陸續向受影響個人發出通知，9月底又向更多受影響個人發出通知。根據金融時報報導，這波通知涉及高盛、英仕曼集團及鐵獅門等企業的客戶，之所以發生與Checkmarx軟體漏洞有關，高盛與英仕曼集團均表示，自身系統未遭入侵，高盛也強調客戶資產並未受到影響。
亞利桑那州最高法院的法院行政管理局公告，該州法院遭到網路駭客或其網路機器人發動攻擊，並已開始通知受到影響的個人，事件起於9月24日一名法院員工遭到網釣攻擊而點入惡意連結，研判因此被駭客竊取帳號憑證，導致駭客得以存取並複製了備份法院檔案。外洩的資料影響近8000名兒童，以及近130萬人的FARE紀錄，最早可追溯到30年前。
OpenAI舊金山辦公室驚傳遭人私裝錄音裝置！美國司法部指出，OpenAI在9月30日例行進行反竊聽安全檢查時，於高階主管會議室發現一個祕密錄音裝置，藏在電視機背面的USB連接埠，甚至以衛生紙包裹掩飾。一名35歲的OpenAI沙烏地阿拉伯籍工程師涉嫌安裝該裝置，已於10月9日遭逮捕。OpenAI表示，公司在後續調查中利用自家AI模型分析錄音裝置及其來源，確認涉案工程師曾於數天前安裝裝置，隨後將案件移交FBI。
■駭客組織CyberXero濫用Claude Code攻擊WordPress網站，竊取近63萬烏克蘭用戶資料
網路安全
近期傳出3個國碼頂級網域遭劫持，攻擊者藉此取得未經授權的HTTPS憑證，突顯DNS與憑證管理機制的安全風險。另一方面，網路邊緣設備持續成為駭客攻擊目標，Palo Alto Networks防火牆、Ivanti SSL VPN及思科郵件安全閘道接連傳出遭零時差漏洞攻擊，SonicWall SMA1000重大漏洞也在修補後短短3天內出現利用活動，顯示攻擊者持續鎖定不同廠牌的網路邊緣設備，尋找入侵企業網路的突破口。
Palo Alto Networks修補遭利用的防火牆作業系統遠端程式碼執行漏洞【CVE-2026-0322】
10月15日資安公司Palo Alto Networks揭露防火牆作業系統PAN-OS存在高風險漏洞CVE-2026-0322，且該漏洞已遭利用，此漏洞的CVSS v4.0嚴重程度評分為8.6，影響PA系列的實體防火牆設備、VM系列的虛擬防火牆，以及防火牆集中管理平臺Panorama。美國CISA也已將此漏洞加入KEV名單。
思科修補已遭利用的郵件安全閘道任意檔案寫入漏洞【CVE-2026-76519】
10月14日思科揭露旗下郵件安全閘道系統Secure Email Gateway（SEG）存在任意檔案寫入漏洞CVE-2026-76519，此弱點存在於惡意軟體防護機制Advanced Malware Protection（AMP），CVSS嚴重程度評分為9.8。思科警告，該漏洞已遭積極利用，且目前沒有替代的緩解措施，呼籲用戶儘速套用軟體更新因應。美國CISA也已將此漏洞加入KEV名單。
Ivanti發布10月例行更新，修補已遭利用的SSL VPN漏洞【CVE-2026-104935】
資安廠商Ivanti發布本月例行更新（Patch Tuesday），當中最值得留意的漏洞是Ivanti Connect Secure（ICS）的CVE-2026-104935，已遭到利用，此漏洞的嚴重程度為8.6分，影響ICS的22.8至25.1.2.2版，Ivanti發布22.8R2.5、25.1.1.2、25.1.3.0，以及25.1.3.1版修補。美國CISA也已將此漏洞加入KEV名單，並呼籲Ivanti用戶儘速修補，提醒光是使用Ivanti提供的完整性檢查工具，可能無法偵測該漏洞被利用的證據，用戶需進行網路環境與ICS記憶體鑑識，才能確認系統是否遭入侵。
SonicWall SMA1000滿分漏洞遭積極利用，3天內已出現135次活動【CVE-2026-102255】
資安廠商SonicWall發布SMA1000資安公告，內容是針對該款設備發布熱修補更新，修補一系列漏洞，其中嚴重程度達到滿分10分的CVE-2026-102255，最受矚目，因為事隔3天，資安公司Previdian觀察到針對SMA1000的漏洞利用嘗試，截至10月12日為止，共偵測到135次嘗試利用的活動，呼籲用戶應儘速套用SonicWall的修補程式，並調查流量是否出現異常。
勒索軟體Qilin、Settra積極利用Palo Alto Networks防火牆已知漏洞，建立初期入侵管道
威脅情報公司ReliaQuest因持續觀察到Palo Alto Networks防火牆作業系統漏洞CVE-2026-0257積極利用的活動，10月10日警告已有多個駭客組織將其用於實際攻擊，其中包括勒索軟體駭客組織Qilin與Settra，他們將其用於建立未經授權的VPN連線，藉此得到內部網路環境的初始存取權限。
Let's Encrypt明年將TLS憑證效期從90天縮至64天，2028年再降至45天，憑證續期自動化更顯重要
公開TLS憑證效期持續縮短，Let's Encrypt宣布，自2027年2月10日起，預設效期將由90天縮短為64天，後續還會再縮短，主要是為了縮短金鑰外洩或憑證誤簽後的風險暴露時間。這波調整對已完成憑證自動續期者影響有限，但若續期仍以固定天數設定，就需要重新檢視憑證管理流程。此外，為了讓網站與系統管理人員提前測試，Let's Encrypt將自10月14日起先在staging環境簽發64天憑證。
CSA提出零信任DNS授權架構，解析網域名稱前先驗證身分、確認權限
企業即使已導入零信任存取控制，DNS解析仍可能缺乏使用者身分與權限檢查，讓未經授權的使用者有機會透過DNS查詢得知內部服務的位址資訊。雲端安全聯盟（CSA）發布新版DNS與軟體定義邊界（Software-Defined Perimeter，SDP）整合研究，提出Secure Multi-Step DoH架構，主張在解析網域名稱前先確認使用者身分、裝置安全狀態及存取權限，防止未經授權的使用者取得受保護服務的DNS解析結果。
DNS根區域時隔8年更換簽章金鑰，未更新信任錨恐使網站無法連線
DNS根區域已於10月11日正式改由新金鑰KSK-2024簽署，這也是自2018年以來相隔8年的第二次根區域KSK輪替。ICANN提醒DNSSEC驗證解析器管理員確認KSK-2024是否已納入信任錨，並檢查RFC 5011自動更新機制是否正常運作，否則可能因DNSSEC驗證失敗而造成網域解析異常；舊金鑰KSK-2017預計於2027年1月撤銷，3月自根區域移除。
3個國碼頂級網域遭劫持，攻擊者取得Google等組織HTTPS憑證
Google近日揭露一起重大網域劫持攻擊，有攻擊者入侵屬於迦納（.gh）、獅子山（.sl）及美屬薩摩亞（.as）等3個國碼頂級網域名稱（ccTLD）的第三方系統 ，竄改權威DNS紀錄並非法取得HTTPS憑證。Google強調自家系統未遭入侵，已在Chrome封鎖該憑證並協調CA撤銷。值得注意的是，透過憑證透明度（CT）紀錄清查後發現，多家跨國品牌與線上服務亦遭相同手法鎖定，已同步採取封鎖與通知措施。
微軟近日表示已於8月27日啟動後量子密碼學（PQC）TLS憑證試行計畫，由7家憑證授權機構參與，測試採用抗量子數位簽章演算法ML-DSA的憑證，能否與既有系統相容。Windows 11 25H2及26H1安裝指定更新並完成設定後，可在非正式環境測試伺服器身分驗證。微軟提醒，PQC憑證及憑證鏈的資料量可能較大，將增加TLS交握傳輸量，並影響連線效能、儲存空間及部分設備的處理能力。企業應盤點憑證依賴、確認供應商支援規畫，並先測試應用程式、硬體安全模組及網路設備的相容性。試行憑證不具公開信任資格，不得用於正式環境或公開網站。
■思科發布10月上半更新，修補NX-OS、APIC、Smart License逾30個資安漏洞
■Citrix修補NetScaler重大等級的SAML漏洞CVE-2026-107406
■Ubuntu開發商Canonical網站遭DDoS攻擊，部分服務中斷
資安維運
10月8日，美國網路安全與基礎設施安全局（CISA）聯合美國情報與執法機構，以及英國、澳洲、加拿大、日本、紐西蘭及西班牙的資安與執法機構發布資安公告，指出與中國政府有關聯的中國資安公司永信至誠科技（Integrity Technology Group，Integrity Tech）除了提供攻擊工具及基礎設施，也有員工直接參與網路入侵，支援中國駭客的攻擊活動。
中國駭客Flax Typhoon利用8個已知漏洞發動攻擊，美CISA要求聯邦機構緊急修補其中5個弱點【CVE-2015-3306、CVE-2021-3199、CVE-2016-3081、CVE-2015-5477、CVE-2023-22894】
中國政府有關的資安公司永信至誠科技參與駭客團體Flax Typhoon活動，攻擊過程可能會使用8個已知漏洞，美國網路安全與基礎設施安全局（CISA）將其中5個列入已遭利用的漏洞名單，根據嚴重程度高低，5個依序是CVE-2015-3306、CVE-2021-3199、CVE-2016-3081，以及CVE-2015-5477與CVE-2023-22894。
美司法部與FBI查封中國永信至誠科技兩款駭客工具，揭臺灣兩所大學曾遭Microscan掃描，後續被部署SoftEther VPN
美國司法部與FBI在10月8日宣布，查封7個由中國永信至誠科技控制的網域。該公司過去被美方指出與中國駭客組織Flax Typhoon有密切關聯，此次遭查封的基礎設施涉及漏洞掃描工具Microscan與網路釣魚工具FishHub。值得關注的是，這次公開資料也進一步揭露臺灣受害情況，位於新竹與埔里的兩所大學曾遭Microscan掃描，之後遭入侵並部署SoftEther維持遠端存取；FishHub確認受害者則包括約20所臺灣的大學。
MITRE ATT&CK第20版登場，新增提示注入、AI輔助資料外洩等攻擊技術
美國非營利組織MITRE在10月13日發布MITRE ATT&CK v20，本次更新的一大重點是新增多項與AI相關的攻擊技術，例如，新增直接提示注入（T1699）、間接提示注入（T1698）及AI輔助資料外洩（T1700）等獨立技術，並在既有分類下加入AI結果污染（T1608.007）、干擾自主防禦（T1685.007）等子技術，另也擴充其他攻擊手法、駭客組織及惡意軟體的相關資料。
.jpg)
生成式AI降低攻擊門檻，得以更快、更大量地展開行動，企業導入模型、資料集、套件與AI工具後，擴大軟體及AI供應鏈的風險，卡巴斯基臺灣技術總監謝長軒指出，AI能大量產出資料，防禦成敗關鍵在於能否把海量資料轉為立即行動的情報，他認為，好的威脅情報須具備來源可信、時間有效、脈絡相關、信心度清楚等條件，AI能加快前段處理，專家負責高風險判斷與情境分析，缺一不可。
惡意程式PoeLLM利用GitHub上英文詩取得C2位址，入侵逾3,400臺伺服器
對外開放的LiteLLM、Ollama等AI與開源服務正遭PoeLLM惡意程式鎖定，已有超過3,400臺伺服器遭入侵，受害主機不僅被用於挖礦，也會繼續掃描及攻擊其他系統。Lumen旗下Black Lotus Labs指出，樣本中出現與LiteLLM命令注入漏洞CVE-2026-42271相關的測試端點，可能是入侵途徑之一。更特別的是，攻擊者把C2位址資訊藏在GitHub上的一首英文詩裡，只要修改特定字詞，就能讓受害主機切換到新的控制伺服器。
軟體公司Ahsay再度修補已遭串連及利用的備份管理平臺AhsayCBS零時差漏洞
近日公布的備份管理平臺Ahsay Cloud Backup Server（AhsayCBS）的資安漏洞，威脅情報公司Huntress指出已被用於實際攻擊，Ahsay因先前推出的更新版未完整修補這些漏洞，10月12日發布新的修補程式來徹底解決問題，13日Ahsay發布新的指引，協助用戶確認AhsayCBS是否遭入侵，並提供受害備份系統全面重建的處理步驟。
荷蘭連鎖超市Albert Heijn遭遇資安事件，網站、App及電子貨架標籤受影響
荷蘭連鎖超市Albert Heijn受到資安事件影響，不僅網站、App及線上購物服務中斷，部分物流系統也暫時關閉，部分門市的電子貨架標籤一度無法即時更新價格。Albert Heijn已經發布網路安全事故聲明，指出事件不只影響Albert Heijn超市，也波及同屬Ahold Delhaize集團的藥妝連鎖品牌Etos及酒類零售品牌Gall & Gall，目前業者正逐步恢復系統，事件原因及入侵途徑仍待釐清。
烏克蘭接連襲擊Yandex三座資料中心，俄羅斯多項網路服務中斷
烏克蘭接連以無人機攻擊俄羅斯網路科技業者Yandex位於梁贊州、卡盧加州及弗拉基米爾州的三座資料中心，造成部分設施停運，影響Yandex Cloud雲端運算、儲存及其他網路服務。事件凸顯雲端基礎設施遭實體攻擊的風險，俄羅斯政府也正研議強化資料中心防護措施。
駭客濫用Power BI發動網釣，利用ScreenConnect維持遠端存取
資安業者 Huntress揭露一波濫用微軟Power BI服務的網路釣魚攻擊，駭客主要利用微軟Power BI合法網域來規避郵件安全系統攔截。攻擊者在Power BI上架設偽裝文件的釣魚頁面，誘使受害者點擊並下載遠端管理工具（RMM）ScreenConnect，藉此奪取受害電腦的遠端存取權限。
Carbonato殭屍網路入侵Docker主機，部署AI代理竊取憑證
新加坡網路安全局（CSA）示警，指出Carbonato殭屍網路正鎖定未設防護的Docker遠端管理介面發動入侵。此波攻擊並非利用新漏洞，而是鎖定對外開放且未驗證的TCP 2375連接埠，藉由建立特權容器掌控底層主機；攻擊者更在受害設備部署 AI 代理協助竊取憑證等敏感資訊，並透過反向SSH通道維持持久存取。
今年6、7月鬧得沸沸揚揚的大規模憑證外洩事故FortiBleed，影響範圍遍及194個國家，後續臺灣更有將近一百家企業或組織被駭客點名，雖然經過我們詢問部分企業後均表示不受其影響，但沒想到10月6日美國聯邦調查局（FBI）與特勤局（USSS）突然發布聯合公告，警告全球性憑證入侵活動FortiBleed仍持續進行，顯示這項危機尚未完全解除。
漏洞挖掘競賽Pwn2Own Ireland 2026共找出近100個零時差漏洞
漏洞挖掘競賽Pwn2Own Ireland 2026上週舉行，今年設立7種類型的項目，包括智慧型手機、智慧家庭裝置、印表機、即時通訊軟體、AI基礎架構、AI程式碼助理，以及本屆新增的健身裝置，最終共找出98個零時差漏洞，發出126.2萬美元獎勵。前一年共找出73個零時差漏洞、發出約102.5萬美元獎金，相較之下，今年的漏洞數量與獎金皆有顯著成長。
美國CISA警告3款系統、4個資安漏洞遭積極利用【CVE-2026-0322、CVE-2026-76519 、CVE-2026-105133、CVE-2026-105134 】
10月15日美國網路安全與基礎設施安全局（CISA）已遭利用的漏洞名單（KEV）新增4個漏洞，影響產品包括Palo Alto Networks防火牆（CVE-2026-0322）、思科郵件安全閘道（CVE-2026-76519），以及Ahsay備份管理平臺Ahsay Cloud Backup Server（CVE-2026-105133與CVE-2026-105134）。
美國政府警告Windows、Ivanti SSL VPN零時差漏洞遭積極利用【CVE-2026-96951、CVE-2026-104935】
10月13日美國網路安全與基礎設施安全局（CISA）維護的已遭利用漏洞名單（KEV），加入最新揭露的兩個漏洞，分別是：Windows命令注入漏洞CVE-2026-96951，以及Ivanti Connect Secure（ICS）身分驗證繞過漏洞CVE-2026-104935，並要求聯邦機構必須在3天內緊急修補。
美國CISA警告影響Atlassian旗下多款系統的重大漏洞遭積極利用【CVE-2026-21589】
10月15日美國網路安全與基礎設施安全局（CISA）已遭利用的漏洞名單（KEV），新增兩週前Atlassian公布及修補的任意檔案讀取漏洞CVE-2026-21589，並要求聯邦機構需在3天內（10月18日前）完成修補。此弱點不光是本身危險（CVSS v4.0評分為9.3），影響也相當廣泛，涵蓋Atlassian 8款應用系統的Data Center元件。
IBM宣布併購英國資安顧問公司Logiq Consulting，並將Logiq納入IBM顧問部門（IBM Consulting）。Logiq主要服務英國國防、公部門及關鍵國家基礎設施（CNI），這筆交易也將擴充IBM在這些領域的資安顧問能力。Logiq於2018年在英國布里斯托成立，目前團隊超過235人，是獲英國國家網路安全中心（NCSC）認可的資安顧問公司，該公司提供資安保證、設計即安全（Secure by Design）、安全系統工程（secure systems engineering）、數位轉型及安全託管等服務。
■iPhone Duo開放預購前夕當心假網站，部分網站可利用iOS已知漏洞攻擊
■俄羅斯網路業者資料中心遭襲後，Cloudflare觀察相關惡意機器人活動未明顯減少
端點安全
繼9月份例行更新（Patch Tuesday）微軟修補近1千個資安漏洞，10月13日微軟發布例行更新，共修補1,413個由該公司登記CVE編號的漏洞，相較於9月974個增加約45%。與上個月相同的是，Windows作業系統的漏洞仍是大宗，這次有1,102個，約占本次公布漏洞的78%。
微軟修補3個零時差漏洞，其中一個已遭利用【CVE-2026-96951】
微軟10月例行更新（Patch Tuesday）揭露與修補2個零時差漏洞，分別是：CVE-2026-96951、CVE-2026-108398需特別留意，CVSS嚴重程度評分皆為8.8。其中，被用於實際攻擊的漏洞是CVE-2026-96951，存在於Windows Shell，CVE-2026-108398則與.NET Framework有關。美國CISA也已將此漏洞加入KEV名單。
微軟10月修補RCE漏洞達315個再創新高，DHCP、DNS伺服器漏洞恐遭遠端利用須特別留意
微軟10月例行安全更新不只修補漏洞總數創新高，遠端程式碼執行（RCE）漏洞達315個，CVSS評分達8.8分以上的漏洞也有262個，兩項數量均創歷史新高。此外，微軟也特別介紹DHCP及DNS伺服器兩項CVSS評分高達9.8分的RCE漏洞，攻擊者無須通過身分驗證，也不需要使用者互動，就可能遠端執行程式碼。
Ledger硬體加密貨幣錢包設備驚傳被植入隱藏晶片，遭竊資產超過一億美元
法國硬體加密貨幣錢包設備Ledger驚傳用戶的資產遭不明原因洗劫一空，10月9日Ledger定調是經銷商CryptoBillis銷售的設備有問題並著手調查。此起事故迄今有超過300個錢包的資產遭竊，損失超過1億美元。而這些錢包遭竊的原因，竟是裝置被植入額外的元件，一旦用戶啟用，就會將通關密語傳送給攻擊者。
Windows Update憑證2027年到期，微軟提醒企業留意更新中斷風險
微軟近日提醒企業，用於Windows Update服務的部分憑證，將於2027年5月17日及6月19日到期。這些憑證用來驗證更新伺服器的身分，微軟已透過每月安全更新提供替代憑證，但若裝置未安裝必要更新，即使使用的Windows版本仍受支援，憑證到期後也可能無法繼續透過Windows Update取得安全修補及其他更新。微軟建議企業IT管理人員檢查較舊Windows裝置的版本及更新情況，並規畫升級已停止支援的系統。
Mozilla推Firefox企業瀏覽器，支援自架主控臺管控AI使用與資料傳輸
產品鎖定資安、管理及法規遵循要求較高的組織，Mozilla推出企業瀏覽器Firefox Enterprise，管理主控臺則可架設在企業自家的基礎設施，員工仍在個人電腦上使用瀏覽器，IT部門透過自家系統統一設定規則，並自行決定管理資料存放的位置。
HPE預告將推出第13代伺服器平臺，主打三大系統安全性強化特色
響應AMD於11月推出第六代EPYC處理器首批產品，HPE本週預告搭配這款CPU的第13代ProLiant系列伺服器發布時程，也揭露多項新特色，安全性強化的部分將提供號稱業界首創的三項全新功能，首先，是具備超越韌體層面的後量子防護，搭配新一代嵌入式管理處理器iLO 8，對於伺服器的後量子密碼學（PQC）防護範圍，已延伸至系統元件的關鍵通訊與互動過程。
應用程式安全
Atlassian重大漏洞已出現嘗試利用活動【CVE-2026-21589】
本週軟體開發廠商Atlassian公布重大漏洞CVE-2026-21589，因曝險範圍甚廣而受到外界關注。10月7日凌晨2時資安公司Previdian發布警示，提醒大家注意此漏洞極有可能已經開始被利用；3個小時後，Previdian蜜罐陷阱偵測到實際的嘗試利用活動，截至目前為止，該公司偵測到158次嘗試利用活動，從8個國家、26個IP位址發動攻擊。美國CISA也已將此漏洞加入KEV名單。
WordPress網頁建構外掛Bricksforge存在滿分漏洞，傳出已遭積極利用【CVE-2026-85097】
10月7日晚間，資安公司Patchstack發現WordPress網頁建構外掛Bricksforge剛揭露的任意檔案上傳漏洞CVE-2026-85097遭到積極利用，網站管理員應更新Bricksforge防範相關威脅。CVE-2026-85097的嚴重程度達到滿分10分，影響3.1.8.9之前的Bricksforge，開發團隊已發布3.1.8.10版修補。
開源檔案共享軟體Rejetto HFS重大漏洞的細節公開後出現嘗試利用活動【CVE-2026-61500】
今年7月開源檔案共用軟體Rejetto HTTP File Server（HFS）修補的重大漏洞CVE-2026-61500，在發現漏洞的資安公司Horizon3.ai於9月30日公布細節後，10月1日威脅情報公司VulnCheck在蜜罐陷阱偵測到有中國駭客針對美國發動攻擊，攻擊來自中國電信的IP位址，似乎正在進行小規模偵察，目標涵蓋美國和日本。
攻擊者利用WordPress兩款外掛XSS漏洞入侵網站，植入後門並建立隱藏的管理帳號，威脅逾50萬網站
資安業者Patchstack示警，駭客正利用WordPress兩大熱門外掛Ninja Forms與WPC Product Bundles的儲存型XSS漏洞發動攻擊。攻擊者將惡意腳本注入表單或訂單資料，待網站管理員後台檢視時觸發，進而偷偷建立管理員帳號並植入後門程式。相關外掛已釋出新版修補，用戶應儘速升級並清查後台異常帳號。
Next.js緊急修補兩項重大RCE漏洞，SVG影像處理與快取功能受影響
網頁應用程式開發框架Next.js發布15.5.28與16.4.1安全更新，修補兩項重大RCE漏洞及一項高風險DoS漏洞。其中，SVG影像處理漏洞CVE-2026-96889影響版本範圍較廣，另一項尚無CVE編號的漏洞則涉及Next.js 16伺服器快取功能。兩項RCE漏洞都可能讓攻擊者在特定條件下，無須登入即可於伺服器端執行程式碼，Next.js團隊呼籲使用者儘速升級。
Rust型別檢查漏洞藏近11年，違反記憶體安全限制的程式仍可通過編譯
Rust編譯器被發現存在記憶體安全漏洞！即使程式碼未使用unsafe關鍵字，特定情況下仍可能繞過生命周期檢查，讓原本應被拒絕的程式通過編譯，執行時甚至可能存取已失效的記憶體。值得關注的是，這項漏洞可能已存在近11年。Rust團隊已將問題列為高優先級問題，目前修補尚未完成，建議使用Rust的開發者持續關注後續修補進度。
辦公室套件LibreOffice與OpenOffice存在漏洞，惡意試算表恐繞過巨集警示並執行程式碼
開源辦公室套件LibreOffice與Apache OpenOffice被揭露存在JDBC類別路徑臭蟲，根據資安團隊V12研究，試算表軟體Calc在特定情況下，會安靜載入攻擊者控制的Java位元碼，LibreOffice已在7月下旬推出的26.2.5版，以及8月底發布的大改版26.8版修補，OpenOffice會在後續推出的4.1.17版修補。
GitLab社群版（CE）與企業版（EE）本週釋出重大修補更新版本，共修補24個弱點，當中有CVSS嚴重程度評分達到滿分10分的漏洞CVE-2026-97229。由於GitLab一個月前揭露滿分漏洞CVE-2026-85706，公布後不久即出現漏洞探測行為，為了預防同樣狀況再度上演，用戶應儘快升級至已修補的版本。
SAP本月例行更新揭露及修補20個資安漏洞，根據嚴重程度區分，當中有4個被評為重大等級、3個為高風險等級，其餘為中度及低風險等級。CVSS評分達滿分10分的CVE-2026-89111，最令人擔憂，它存在於PyPI套件SAP Cloud SDK for Python，8月下旬發布的0.45.2版SAP Cloud SDK for Python已經予以修補。
Google DevSite爆RCE漏洞，偽造Cookie即可觸發
Google開發者網站共用平臺DevSite被發現存在RCE漏洞，資安研究人員指出，該平臺將OAuth用戶端密鑰存於Cookie，且錯誤地用同一密鑰簽署Cookie；攻擊者無須登入即可偽造簽章，於伺服器端執行任意程式碼。由於Firebase、Android等多個Google開發者網站共用相同密鑰，連帶暴露於同等風險中。Google已於日前完成修補。
GhostAction攻擊再襲GitHub，346個儲存庫遭植入竊密工作流程
資安業者揭露新一波GhostAction行動，攻擊者利用遭入侵的GitHub維護者帳號，在數百個程式碼儲存庫植入惡意GitHub Actions工作流程。Socket指出，這波攻擊還會翻查Git歷史紀錄，搜尋已從現行程式碼刪除、卻仍殘留在過去提交中的金鑰與存取權杖；OpenSourceMalware的後續調查則發現，截至10月9日已有790個公開儲存庫曾被植入惡意工作流程。
■Kiteworks修補126個漏洞，包含可能導致系統遭接管的EPG滿分漏洞
■Google發布ChromeOS與ChromeOS Flex穩定版更新，修補106個資安漏洞
■Google更新Chrome 155穩定版，修補37個資安漏洞
■Mozilla發布Firefox 158，修補77個資安漏洞
AI資安
為了測試AI模型能否在分散式IoT殭屍網路上執行，開發AI大型語言模型的科技公司Anthropic將研究焦點轉向低成本網路裝置，結果證實，便宜且安全防護不佳的IoT裝置，已足以運行強大的模型。Anthropic預估未來幾個月內，小型AI模型可能就會演化出能在商用物聯網裝置自我複製擴散的能力，形成新的AI蠕蟲，且更聰明、更難以封鎖。
具備自主行動能力的AI代理正悄悄在企業內部環境運作，TeamT5（杜浦數位）市場規畫處協銷經理楊育維提出快速評估與排序端點與 AI 風險的四步驟：首先「盤點資產」，掌握端點、系統與 AI 代理情況；其次「掌握風險」，辨識漏洞與錯誤設定；再者區分「輕重緩急」，依威脅等級排序；最後「及早應對」，提供修補建議以協助決策處置。
主權AI受到各國政府重視，臺灣戴爾科技集團技術副總經理李百飛認為，政府推動AI不能把治理當成上線前的最後一道檢查，而應從第一天就放進AI治理。若等到系統完成、資料進入模型後，才回頭補資料權限、資安控管、稽核與合規要求，原本可以快速落地的AI專案，往往必須重新調整。他直言，「治理內建」與「事後補治理」的差別，直接影響AI能不能走出試點。
PCI SSC發布支付環境AI安全指引，AI代理存取明文持卡人資料應經人工核准
隨著AI在支付決策與安全防護中扮演越來越重要的角色，清楚界定責任歸屬也更加重要。支付卡產業安全標準委員會（PCI SSC）10月7日發布公告，說明近期已針對支付環境中的AI安全提出指引，當中建議採least agency原則，只提供AI完成任務所需的最低限度系統、資料存取與執行能力，並區分Human-in-the-loop與Human-over-the-loop兩種人工監督模式；若AI代理可存取明文持卡人資料，相關操作則應經人工核准。
雲端安全聯盟（CSA）發布Frontier Ready Assessment Framework，這套資安成熟度評估框架涵蓋3大面向、12類資安領域及5個成熟度等級，涵蓋風險治理、暴露面管理、防禦AI與AI代理維運、身分與存取權限控管、端點與工作負載安全、軟體供應鏈安全、漏洞處理及事件應變等，協助企業檢查現有資安防護是否足以應付頂尖AI可能加快網路攻擊速度、擴大攻擊規模所帶來的威脅，並規畫改善方向。
Vercel Sandbox遭揭VerCellBreak問題，AI代理恐繞過網域限制外洩資料
AI資安業者AIR Security近日揭露Vercel Sandbox的VerCellBreak安全問題。Vercel Sandbox是Vercel提供的隔離式程式碼執行環境，研究人員發現，攻擊者若控制沙箱內的AI代理，並能存取敏感資料，就可能繞過沙箱的網域允許清單限制，將資料傳送至未經核准的伺服器。遭控制的AI代理可能利用特製TLS憑證，讓沙箱允許連線的外部伺服器代為傳送敏感資料，即使沙箱未直接連線至攻擊者控制的伺服器，仍可能造成資料外洩。
OWASP旗下GenAI Security Project近期整理2026年第3季生成式AI與AI代理資安事件，呈現AI代理越權、提示詞注入及敏感資料外洩等不同風險，其中多起事件反映過度代理授權（Excessive Agency）的安全問題。部分AI代理並未受到惡意提示詞操控，卻因測試環境未充分限制操作權限及網路連線，在執行安全測試任務時，反而入侵了測試範圍以外的真實企業系統。這些事件顯示，單靠提示詞要求AI代理遵守操作限制，仍不足以防止代理越權。
OpenAI為AI代理越權存取澳洲政府網站致歉，支持建立重大事故強制通報制度
針對AI代理越權存取澳洲政府網站的事件，OpenAI策略長Jason Kwon出席澳洲國會聽證會致歉，並坦言內部通報流程需要改善。事件發生於今年6月，OpenAI模型在執行研究任務時，因取得資料受阻，自行找到進入澳洲政府網站非公開區域的方法，後續更執行命令、取得內部檔案與存取憑證，凸顯AI代理自主執行任務時可能跨越原有權限邊界的風險。
LLM加速及快取管理平臺LMCache多行程模式曝重大RCE漏洞
大型語言模型推論加速及快取管理平臺LMCache爆出重大RCE漏洞CVE-2026-105192，CVSS風險評分達9.8，而且目前尚無修補版本。JFrog研究人員指出，問題出在多行程模式的ZeroMQ服務缺乏身分驗證，又會直接處理可能觸發程式碼執行的Python物件資料；一旦服務開放讓其他主機連線，攻擊者就可能在未登入的情況下遠端執行任意程式碼。
美國DARPA推動軍用安全通訊App漏洞研究，Theori旗下Xint將以AI全面分析通訊程式攻擊面
為了尋求新方法，找出安全通訊軟體在不同環節可能存在的弱點，美國DARPA先前推動加密通訊應用程式安全評估（ASEMA）計畫。如今資安公司Theori旗下子公司Xint宣布獲DARPA選中而得以參與該項研究計畫，將利用AI分析美國軍方使用的通訊App，範圍從原始碼、執行環境一路延伸到編譯後的二進位檔。
語音AI新創Modulate募資2,500萬美元，從遊戲語音安全擴展深偽偵測與AI代理監督
語音AI新創公司Modulate宣布取得2,500萬美元新一輪投資，使累計募資金額達6,000萬美元。該公司表示，這筆資金將投入AI模型、產品及工程開發，目前其音訊分析技術已應用於深偽（Deepfake）偵測、AI語音代理監督等領域。該公司最初投入遊戲語音變聲技術，之後轉向遊戲語音內容管理，之後也將這類技術拓展至企業語音安全及AI語音代理監督，例如分析AI代理與客戶的對話，找出不符合企業作業規範或法規遵循要求的情況。
■Upwind併購AI資安新創Aegis，成立研究團隊擴大AI代理安全布局
■Google全面開放SynthID Detector，支援跨業者AI內容辨識
政策法規
金管會擬推出金融業代理AI安全指引，先公布諮詢文件徵詢意見，聚焦安全治理、風險分級與權限控管
針對金融業導入代理AI的風險，金融監督管理委員會（金管會）宣布公開「金融業運用代理AI安全諮詢文件」，提出安全治理、風險分級及安全控管三大面向的建議，並公開徵詢各界意見30天。該文件強調以風險為基礎，將代理AI視為具備行動能力的非人類身分，透過零信任、最小權限及持續驗證等原則，降低金融業導入AI代理人可能帶來的資安風險。
德國政府公布PQC遷移指引，高風險系統最晚2030年完成轉換、整體遷移目標2035年
德國正式提出後量子密碼學（PQC）國家遷移時程，要求2026年底前完成初步準備與密碼資產盤點，高風險應用最晚於2030年底完成轉換，整體遷移則應在2035年前大致完成。新指引也要求政府機關、企業與關鍵基礎設施營運者評估量子風險，並將密碼敏捷性與供應鏈納入遷移規畫。
OpenSSF與OpenChain提軟體供應鏈安全指引，協助企業因應CRA等歐盟法規
歐盟近年透過《網路韌性法》（CRA）及NIS2指令，分別提高數位產品及組織供應鏈的資安管理要求。開放原始碼安全基金會（OpenSSF）與OpenChain專案共同提出軟體供應鏈安全指引，主要結合OpenChain的合規治理架構與OpenSSF的開源安全技術，協助企業建立內部管理流程，並在軟體開發及維護過程中落實安全措施，包括管理軟體元件、處理漏洞及保存安全佐證資料。
企業因應未來量子電腦對傳統密碼學的威脅，除了需要升級既有系統，也必須讓相關人員具備部署及維護新密碼學機制所需的知識。澳洲政府情報與資安機構澳洲通訊局（ASD）公布後量子密碼學（PQC）轉型系列的第五階段建議，將重點放在跨部門溝通、教育訓練及長期維護，強調企業不能將PQC轉型視為一次性的系統升級工作，必須讓相關部門了解轉型計畫，依照不同職務調整溝通內容。
北約量子技術戰略走向實作，持續導入PQC並規畫量子安全通訊試驗
北大西洋公約組織（NATO）進一步落實2023年提出的量子技術戰略，於7月30日核准量子技術路線圖，並於9月29日公布公開摘要，進一步列出量子技術測試、部署等工作及具體時程，包括持續採用及實作後量子密碼學（PQC）標準，2027年第2季也將評估產業因應量子安全密碼技術的準備程度。在量子安全通訊方面，北約規畫透過Quantum Zero Beacon計畫（QZBP），在比利時的北約總部與歐洲盟軍最高司令部（SHAPE）之間進行試驗部署。
AWS發布PCI DSS架構指引，說明多帳號環境如何界定適用範圍
AWS近期發布支付卡產業資料安全標準（PCI DSS）架構指引，延伸既有AWS安全參考架構（SRA），進一步將AWS多帳號架構中的不同帳號類型對應至PCI DSS適用範圍，企業可依各帳號在支付架構中的角色，判斷哪些帳號應納入PCI DSS範圍、哪些與範圍內環境連接或可能影響其安全，以及哪些可排除於範圍之外。
PKI成熟度模型2.0新增密碼學治理，納入PQC轉型與密碼學敏捷性
PKI聯盟（PKI Consortium）發布2.0.0版公開金鑰基礎建設（PKI）成熟度模型PKIMM，迎來2023年以來的首次重大更新。新版將架構調整為治理、管理、營運與資源等4大模組（共16類別、77項要求），最大亮點是首度將密碼學治理列為獨立類別，要求組織掌握技術資產盤點，藉由強化密碼學敏捷性，為因應演算法淘汰與未來的PQC轉型奠定基礎。
■美國司法部跨州打擊北韓遠端工作網路，起訴14人並破獲筆電農場
■駭客組織ShinyHunters約旦成員被捕前曾勒索波音前子公司
身分安全
微軟2027年4月起淘汰部分檔案API預先驗證網址，開發者須調整權杖驗證
為降低存取權杖（access token）透過網址外洩的風險，微軟將調整SharePoint Online與OneDrive部分Microsoft Graph檔案API的驗證方式，2027年4月起逐步移除回傳網址中的預先驗證權杖。企業若依賴這類網址下載、上傳或預覽檔案，需檢查程式是否改為另附SharePoint存取權杖，並調整HTTP重新導向處理，否則既有功能可能受到影響。
企業邁向人與AI代理共存的混合工作團隊，SailPoint創辦人強調統一治理的重要性
全球超過90%的組織都曾回報與身分相關的資安事件，然而，隨著AI代理的普及，企業資安風險又面臨重新定義的挑戰，因為企業將出現由人類和非人類共同組成的混合工作團隊，如果我們想保護企業及其資料，也必須保護AI代理的生態，SailPoint執行長暨創辦人Mark McClain認為，採用統一治理這兩種身分的方法是正確的方向，因為能夠藉此掌握整個身分環境的風險。
HashiCorp封存Boundary社群版，既有部署不再獲原廠安全修補
鑒於Boundary近年已逐步發展為面向大型企業的特權存取管理產品，HashiCorp宣布停止開發Boundary社群版（CE），並於10月8日封存GitHub儲存庫。既有部署仍可使用，但未來不再提供新版、錯誤修正或安全修補；HCP Boundary與Boundary Enterprise則不受影響。
10月12日Docker揭露Docker Hub的身分驗證與存取管理機制存在弱點，編號為CVE-2026-105445，CVSS v4.0嚴重程度評為9.4分，通報此事的研究人員也架設網站公布細節，並將此弱點命名為GhostPat。此弱點從2024年8月26日引入，Docker在9月底接獲研究人員通報，在4個小時內重現、確認漏洞，並完成修補。
■Telegram Desktop高風險漏洞可能導致帳號接管，研究人員已公開PoC
■IonQ擬以最高13億美元併購零信任資安業者Elisity
