資安新聞焦點
● Docker Hub修補重大漏洞GhostPat
● curl修補HTTP/2高風險遠端程式碼執行漏洞
● 91APP雲端平臺資料庫Commerce Cloud遭自動化攻擊
● Palo Alto Networks防火牆漏洞遭勒索軟體Qilin、Settra積極利用
● 微軟10月修補RCE漏洞達315個再創新高
資安新聞總覽
10月12日Docker發布資安公告指出，他們在9月底接獲研究人員通報，Docker Hub的身分驗證與存取管理機制存在弱點，並在4個小時內重現、確認漏洞，並完成修補。Docker也從該弱點引入Docker Hub的時間點著手清查，確認是否有用戶因個人帳號轉換為組織帳戶的漏洞而曝險，並通知可能受到影響的使用者。此漏洞被登記為CVE-2026-105445，CVSS v4.0嚴重程度評為9.4分，通報此事的研究人員也架設網站公布細節，並將此弱點命名為GhostPat。詳全文
開源網路資料傳輸工具curl於10月14日發布8.23.0版，修補HTTP/2資料上傳功能存在的高風險漏洞CVE-2026-92392。攻擊者若控制接收上傳資料的伺服器，可利用這項漏洞，在特定條件下遠端執行程式碼。漏洞影響curl 8.12.0至8.22.0的部分版本，但8.14.3、8.16.2及8.20.2起的相應分支版本不受影響。curl當天共公布24個安全漏洞，其中CVE-2026-92392被列為高風險，此為記憶體釋放後再使用（Use After Free）類型的漏洞，CVSS嚴重程度評為8.1分。詳全文
Next.js緊急修補兩個重大RCE漏洞，SVG影像處理與快取功能受影響
網頁開發框架Next.js開發團隊發布15.5.28與16.4.1安全更新，修補兩個重大遠端程式碼執行（RCE）漏洞及一個高風險DoS漏洞。兩個RCE弱點的CVSS v4.0評分均達9.5，攻擊者在符合特定條件時，無須登入便可能在網站伺服器執行程式碼。其中受影響版本最廣的是SVG影像處理漏洞CVE-2026-96889，當網站部署於採用glibc的Linux環境，並符合特定執行條件時，攻擊者可能藉由影像最佳化API觸發漏洞，在伺服器端執行任意程式碼。詳全文
10月12日GitLab開發團隊針對社群版（CE）與企業版（EE）用戶發布資安公告，推出重大修補更新（Critical Patch Release）版本19.4.2、19.3.5，以及19.2.8，總共修補24個弱點，其中重大等級的CVE-2026-97229特別危險，CVSS嚴重程度評分達到滿分10分。此弱點源自正規表達式驗證不夠充分，屬於整數溢位類型的弱點。一旦遭到利用，未經身分驗證的攻擊者能透過CI/CD組態當中的特製正規表達式，於GitLab伺服器執行任何程式碼。詳全文
美國CISA警告影響Atlassian旗下多款系統的重大漏洞遭積極利用
10月15日美國網路安全與基礎設施安全局（CISA）表示，他們已掌握一個新漏洞遭積極利用的證據，將其加入已遭利用的漏洞名單（KEV），並要求聯邦機構需在3天內（10月18日前）完成修補。此弱點是兩週前Atlassian公布及修補的任意檔案讀取漏洞CVE-2026-21589。該漏洞引起外界高度關注的原因，不光是漏洞本身相當危險（CVSS v4.0評分為9.3），影響範圍也相當廣泛，涵蓋Atlassian旗下8款應用系統的Data Center元件。詳全文
iPhone Duo開放預購前夕當心假網站，部分惡意網站利用iOS已知漏洞攻擊
資安公司趨勢科技旗下TrendLife研究人員在10月13日示警，指出在蘋果2026年新品發表前後，發現多個搭上新款iPhone熱度的可疑網站，包括假預購頁面、廣告與聯盟行銷導流網站，以及可能利用iPhone安全漏洞發動攻擊的惡意網站。部分網站甚至不需要使用者輸入密碼，只要手機存在已知漏洞，開啟網頁就可能面臨風險。趨勢科技將這些網站大致分成3類：第一類以提前預購的名義誘騙消費者下單，第二類利用蘋果廣告將消費者帶往其他廣告網頁；最後一種是假抽獎及折扣活動網站。詳全文
駭客組織UTA0576串連3個零時差漏洞入侵Ivanti Connect Secure
10月13日資安廠商Ivanti公布及修補已遭利用的Ivanti Connect Secure（ICS）零時差漏洞CVE-2026-104935，同一天資安公司Volexity揭露駭客組織UTA0576的攻擊活動，他們利用ICS零時差漏洞利用鏈從事攻擊，該攻擊鏈涵蓋3個不同類型的漏洞，包含身分驗證繞過、遠端程式碼執行（RCE），以及權限提升，最終攻擊者在未通過身分驗證的狀態下，使用root權限執行程式碼。其中的RCE與身分驗證繞過弱點，就是Ivanti揭露的CVE-2026-104935。詳全文
丹麥人口統計局系統服務商遭駭，攻擊者聲稱使用密碼123456得逞
丹麥中央人口登記局（CPR）近日發生資安事故，攻擊者濫用當地服務商的存取權限，取得約880萬名公民的姓名、居住地址，以及身分證號。但這起事故引起外界關注的地方，在於該服務商傳出使用弱密碼而釀禍。一名自稱犯案的駭客向丹麥媒體Politiken透露，他利用123456這組極為簡單的弱密碼，就成功登入某家IT公司的帳號。Politiken進一步報導，該公司至少有3個帳號共用這組密碼，其中一個管理員帳號。對於被入侵的廠商，傳出是Pays ApS。詳全文
英國司法部轄下的法律援助署（LAA）近日透露，去年4月發生的資安事件中，外洩的民眾及部分受刑人資料，最久遠可追溯至近50年前的記錄。大部分外洩的資料是2007年1月到2025年5月16日之間向LAA提出申請、索賠或付款人士，或是案件落在這段時間的人士資訊。還有近25萬筆是2007年以前的資料，其中絕大多數集中在1990年代到2000年代。部分資料和英國監獄和緩刑署（HMPPS）的資料也在該起攻擊中外流，但不包含受害者資訊。詳全文
根據BBC與The Times等多家媒體報導，近日有自稱是ShinyHunters的人士宣稱取得瑞典服飾業者H&M的內部資訊，包括存貨記錄、邏輯資料、業務分析，以及管理分店與訂單交貨的基礎架構，並提供部分資料作為證據，H&M表示正著手調查，目前尚未發現資料環境遭到破壞；南非公司The Foschini Group近期也公告旗下英國子公司TFG London於10月11日發生網路攻擊事件，影響部分IT系統，波及旗下Hobbs、Whistles及Phase Eight三個品牌。詳全文
91APP雲端平臺資料庫Commerce Cloud遭自動化攻擊
10月16日電商技術服務公司91APP（6741）於股市公開資訊觀測站發布重大訊息，表示旗下的Commerce Cloud資料庫於兩天前（10月14日）發現遭受自動化攻擊，攻擊者非法擷取部分資訊，91APP委請第三方資安公正單位協助調查、向警方報案，並採取必要防護措施降低影響，依法通報相關主管機關，目前遭攻擊的情況已得到控制。根據91APP的初步評估，此次事故對公司營運無重大影響。詳全文
勒索軟體Qilin、Settra積極利用Palo Alto Networks防火牆已知漏洞，建立初期入侵管道
今年5月，資安公司Palo Alto Networks修補防火牆作業系統的身分驗證繞過漏洞CVE-2026-0257，兩週後開始出現相關攻擊，如今漏洞利用活動持續升溫。10月10日威脅情報公司ReliaQuest表示，他們持續觀察到CVE-2026-0257積極利用的活動，已有多個組織將其用於實際攻擊，其中包括勒索軟體駭客組織Qilin與Settra。ReliaQuest指出該弱點相當危險，相關惡意活動往往直到攻擊者開始橫向移動、竊取憑證或資料，甚至是部署勒索軟體才被察覺。詳全文
Power BI被用於網釣活動，攻擊者利用ScreenConnect控制受害電腦
資安公司Huntress近日揭露濫用微軟Power BI服務的網路釣魚攻擊，攻擊者利用Power BI的合法網域，降低網釣郵件遭安全系統攔截的可能性，再誘使受害者下載遠端監控與管理（RMM）工具ScreenConnect，以便後續透過該工具遠端存取受害電腦。攻擊者透過Outlook寄送釣魚信，將收件者引導至Power BI上偽裝成參考文件的網頁。一旦收件者點擊下載按鈕，就會被導向攻擊者控制的網站。該網站會先檢查裝置及瀏覽器環境，試圖避開自動化安全掃描，再於數秒後啟動ScreenConnect安裝程式的自動下載。詳全文
維基媒體揭露OpenAI代理未經授權活動，大規模抓取與工具探測加重伺服器負擔
維基媒體基金會（Wikimedia Foundation）調查發現，旗下網站出現多起疑似由OpenAI操作的AI代理活動，包括未經社群核准編輯維基網站、探測公開協作筆記工具Etherpad，以及大量抓取維基媒體資料。相關代理曾向公開資料介面發出數百萬次自動化要求、抓取數百萬個頁面，並對Wikidata查詢服務送出數十萬次查詢。維基媒體認為，相關流量可能是今年5月Wikidata查詢服務部分中斷的影響因素之一。詳全文
殭屍網路Carbonato入侵Docker主機，部署AI代理竊取憑證
新加坡網路安全局（CSA）近期發布安全公告，警告Carbonato殭屍網路正利用未受保護的Docker遠端管理介面入侵主機。資安研究人員發現，攻擊者還會在受害主機部署AI代理，協助執行竊取憑證及其他敏感資訊的任務。根據資安公司ThreatDown的研究，攻擊者入侵Docker主機後，會部署開源AI代理框架Hermes Agent。攻擊者透過Telegram遠端下達任務，AI代理再利用大型語言模型（LLM）解讀任務、產生命令，並在受害主機執行。詳全文
Google發布Chrome 155更新，修補重大等級的記憶體釋放後再存取使用漏洞
10月15日Google為Chrome 155發布更新，一共修補10個資安漏洞，從危險程度來看，重大等級1個、高風險等級有6個，Windows與macOS版用戶需更新為155.0.8059.84或155.0.8059.85，Linux與Android用戶需更新為155.0.8059.84以修補這些弱點。這是Google於本週第二次發布Chrome更新，與上一次間隔僅有兩天。其中被評為重大等級的是CVE-2026-110922，為存在於Prerender元件的記憶體釋放後再存取利用漏洞，攻擊者可透過特製的HTML網頁觸發，遠端於沙箱執行任意程式碼。詳全文
微軟10月修補RCE漏洞達315個再創新高，DHCP、DNS伺服器漏洞恐遭遠端利用須特別留意
微軟10月13日發布例行安全更新，隔日再發布安全更新概覽影片，簡要說明本月漏洞數量的變化，並介紹5項值得留意的漏洞。其中，遠端程式碼執行（RCE）漏洞與CVSS評分達8.8分以上的漏洞數量，均創近13個月新高。微軟客戶服務與支援部門經理Josh Daniel指出，本月RCE漏洞達315個，回顧過去13個月，每月揭露的RCE漏洞平均約80個，這個月暴增至將近4倍；本月CVSS評分達8.8分以上的漏洞則有262個，也是每月平均約50個的5倍，兩項數量均創近13個月來新高。詳全文
英國政府於10月12日宣布，將擴大運用頂尖AI模型強化資安防禦。在先前兩項試行計畫中，AI已協助英國政府找出並處理18個政府部門、548個程式碼儲存庫中的1,352個漏洞。英國AI事務部長Kanishka Narayan則在公開演說中指出，政府中央漏洞監控服務已將發現弱點後的修復時間從50天縮短至8天。接下來，英國將擴大運用AI強化政府系統的資安防禦，優先處理高風險系統中的安全弱點。詳全文
Upwind併購AI資安新創Aegis，成立研究團隊擴大AI代理安全布局
雲端資安廠商Upwind宣布併購以色列AI資安新創Aegis，並成立AI安全研究團隊Upwind AI Lab，結合Aegis的研究團隊與技術，以及Upwind既有的雲端安全能力，擴大AI安全研發布局。新團隊將投入AI系統防護、利用AI代理協助資安維運、頂尖AI模型評測，以及進階AI系統研究。新團隊將進一步研究如何保護企業使用的AI模型、AI代理，以及相關GPU、API、資料、SaaS服務與雲端基礎架構，並涵蓋身分與存取權限的安全問題。詳全文
行政院通過中小微企業轉型升級條例修法，數位、AI、資安與淨零投資納入抵減，門檻降至25萬元
行政院會在10月8日通過經濟部提出的《中小企業發展條例》部分條文修正草案，條例名稱改為《中小微企業轉型升級發展條例》，後續將函送立法院審議。此次修法是因應人工智慧發展、數位與淨零雙軸轉型，以及產業環境變化，希望透過制度調整協助中小微企業升級轉型。從投資範圍來看，這項制度並非只限於目前最熱門的AI技術，還涵蓋企業因應數位化與智慧化所需的多種技術投資，包括智慧機械、5G、資通安全產品或服務、人工智慧產品或服務，以及數位管理、節能減碳相關投資。詳全文
