iThome・開發與網路
100 件日期不明
PHP2Shell與Linux核心漏洞被串連利用，中國駭客藉此取得25臺防火牆root權限
10月26日以色列資安新創Dream Security揭露一起不尋常的攻擊活動，使用簡體中文的駭客疑似借助AI的力量，串連統稱為PHP2Shell的重大漏洞CVE-2026-109618與CVE-2026-109619，以及Linux核心本機權限提升（LPE）漏洞Fragnesi…
GitLab、思科防火牆漏洞遭積極利用
10月29日美國網路安全與基礎設施安全局（CISA）警告，他們已掌握兩個漏洞遭到積極利用的證據，這些漏洞是GitLab整數溢位漏洞CVE-2026-97229，以及存在於思科ASA和FTD防火牆的阻斷服務漏洞CVE-2026-76418。CISA已將其納入已遭利用的漏洞名單（KE…
全家行動購部分會員資料遭非法擷取，起因是委外廠商91APP資料庫遭自動化攻擊
全家便利商店（5903）於10月29日，在股市公開資訊觀測站發布重大訊息，該公司接獲線上平臺委外服務廠商91APP通知，因資料庫遭受自動化攻擊，導致全家線上平臺「行動購」部分會員資料遭非法擷取。全家表示，接獲通知後已啟動個資事故通報及處理流程，並依法通報相關主管機關。初步評估這起…
Google修補Chrome 156，公布21個資安漏洞
10月29日Google同時針對Chrome穩定版與延伸穩定（Extended Stable）版用戶發布更新，修補21個資安漏洞，重大等級與中度風險弱點各一，其餘大部分為高風險等級，Windows與macOS用戶應更新至156.0.8078.79或156.0.8078.80，Li…
思科修補防火牆已遭積極利用的阻斷服務漏洞
10月28日思科發布資安公告，旗下Secure Firewall ASA與FTD防火牆系統的遠端存取SSL VPN服務存在高風險漏洞，未通過身分驗證的攻擊者可導致防火牆意外重新啟動，並導致服務中斷（DoS）的現象，此弱點被登記為CVE-2026-76418列管，CVSS嚴重程度評…
Linux TCP漏洞可被用來遠端取得root權限，部分發行版尚未修補
Linux核心存在影響IPv4 TCP連線處理的安全漏洞CVE-2026-98432，攻擊者可能在特定條件下，從遠端以root權限執行命令。Anthropic於10月27日公開攻擊驗證結果，成功對具有多路徑TCP（MPTCP）監聽服務的Linux伺服器執行系統命令，不需要登入帳號…
DEVCORE研究員公布在Pwn2Own競賽揭露的Edge攻擊鏈，串連5個弱點突破瀏覽器防護機制
臺灣資安公司DEVCORE首席資安研究員Orange Tsai（蔡政達）於10月28日，公開在漏洞挖掘競賽Pwn2Own Berlin 2026首度展示的Edge瀏覽器完整攻擊鏈細節，過程中只利用邏輯漏洞，不依賴記憶體損毀，成功突破瀏覽器安全防護，最終在作業系統執行任意程式碼。O…
日本航空第三方訂位系統遭未授權存取，約9.2萬名旅客資料受影響
日本航空（Japan Airlines，JAL）與日本越洋航空（Japan Transocean Air，JTA）於10月28日公告，兩家公司使用的第三方旅客服務系統遭外部人士擅自存取，約9.2萬名旅客的訂位代號、姓名及航班資訊等資料受影響，其中約2,000名旅客的資料還包括護照…
惡意Markdown指引檔企圖誘使Codex安裝惡意套件，AI程式開發代理面臨攻擊風險
資安業者Forever Security近日揭露一起利用惡意Markdown檔案攻擊AI程式開發代理的事件。研究人員在客戶電腦的下載資料夾發現惡意AGENTS.md檔案，攻擊者企圖誘使OpenAI Codex修改設定並安裝名為function-color的惡意NPM套件，但資安防…
AI加快漏洞發現，CSA提出VulnOps模式改善企業漏洞管理
AI加快漏洞發現速度，但企業確認漏洞影響、測試修補程式及部署更新仍需要時間。雲端安全聯盟（Cloud Security Alliance，CSA）提出VulnOps漏洞管理模式，主張企業不應只依賴定期掃描及批次修補，而應持續追蹤並處理漏洞，避免新發現的安全問題不斷累積。
行動App安全規範與技術持續更新，執行環境防護與白箱加密成焦點
行動應用安全雖是發展多年的成熟議題，但相關政策指引、國際標準與防護技術仍持續演進。近日，在臺代理Digital.ai應用程式防護解決方案的叡揚資訊，介紹這方面的政策與標準趨勢，以及白箱密碼學等技術進展，也讓我們進一步注意到行動應用安全領域的最新防護動向。
GitHub開源AI原型工具Replica，可參考企業設計規範製作互動介面
GitHub開源AI原型工具Replica，讓設計師、產品經理及工程師透過GitHub Copilot應用程式，以自然語言製作可操作的介面原型。Replica能參考團隊既有的設計元件、介面規範與文件產生畫面，並能搭配自行架設的Replica Hub協作平臺，分享原型及收集同事意見…
Google推出Connected Apps平臺，第三方應用可一次串接Gemini與搜尋
Google推出Connected Apps Platform預覽版，讓第三方開發者透過MCP將自家服務功能提供給Gemini與Google搜尋使用。開發者可在Connected Apps開發平臺註冊、測試及提交審查，雲端MCP伺服器可讓服務在Gemini、Google搜尋或兩者…
【資安日報】10月29日，北韓駭客鎖定216臺PHP主機掃描PHP2Shell漏洞，臺灣列入目標範圍
● 北韓駭客鎖定216臺PHP主機掃描PHP2Shell漏洞，臺灣被列入目標 ● macOS 27.2仍未封鎖eMudhra問題憑證，Git與curl恐遭中間人攻擊 ● 中國駭客打造攻擊框架Silent Train，用於攻擊美國關鍵基礎設施 ● Tailscale SSH轉送功能…
Tailscale釋出1.104.4安全更新，修補SSH與Serve功能共4項漏洞
虛擬私人網路（VPN）服務Tailscale發布1.104.4版安全更新，修補先前揭露的SSH權限提升漏洞，並處理SSH記憶體耗盡，以及讓其他裝置存取本機服務的Serve功能所存在的權限檢查問題。此次更新涵蓋4項安全漏洞，可能造成一般使用者越權存取、主機遭接管，或導致Tailsc…
甫修補的Oracle E-Business Suite重大漏洞遭到利用
上週Oracle發布今年第4次關鍵修補更新（CPU），修補超過1,200個漏洞，近期有漏洞遭到利用而引起資安公司注意。威脅情報公司Defused Cyber於10月27日，在他們的Oracle E-Business Suite（EBS）誘捕系統當中，首度偵測到嘗試利用CVE-20…
中國駭客Volt Typhoon綁架連網設備打造攻擊框架Silent Train，用於攻擊美國關鍵基礎設施
中國駭客組織Volt Typhoon的活動3年前首度浮上檯面，當時這些駭客綁架多個廠商的網路設備建立殭屍網路KV Botnet，藉此隱匿地攻擊美國關鍵基礎設施。然而，在殭屍網路遭到執法單位圍剿後，這些駭客建置更為隱密、複雜，且動態的攻擊基礎設施，持續從事相關活動。
GitHub發表能在單一任務內跨模型協同的Copilot Fusion
微軟GitHub本周宣布Copilot Fusion協調系統已提供給開發人員，可讓Copilot自行依任務協調多個模型以完成工作。測試顯示比只用Claude Opus 5.5省一半成本。
OT廠商與產品
由於PHP廣泛應用於各類資訊系統，部分工業環境中的系統也可能採用PHP建置的網頁介面或管理平臺，因此，近期揭露與修補的PHP2Shell漏洞不僅影響全球7成網站伺服器，也對部分IT與OT產品供應商造成重大影響，許多人因此聯想到4年前爆發的Log4Shell漏洞風暴。
macOS 27.2未修補eMudhra憑證風險，Git與curl仍可能遭中間人攻擊
Apple於10月26日推出macOS 27.2，但系統內建的Git、curl及Python 3等工具，仍可能接受印度憑證業者eMudhra已撤銷的問題憑證。研究人員10月28日公布測試，顯示攻擊者若能攔截或重新導向網路連線，可能冒充GitHub等網站，讓開發者下載遭竄改的程式碼…
Adobe發布10月下半更新，修補8個Campaign Classic重大漏洞
10月27日Adobe發布10月第二次例行更新，為Campaign Classic、Adobe Connect、Creative Cloud，以及Substance 3D Painter提供修補程式。其中最值得留意的部分是行銷自動化平臺Campaign Classic，Adobe…
Linux核心、VMware ESX漏洞遭積極利用
10月28日美國網路安全與基礎設施安全局（CISA）發布公告，他們更新了已遭利用漏洞名單（KEV）內容，根據遭到積極利用的證據增列兩個新漏洞。這些漏洞是：Linux核心特定變數缺乏初始化造成的漏洞CVE-2026-46300（Fragnesia），以及VMware ESX事件記錄…
Google發表Gemini 4 Carbon，綜合能力評測登頂、資安表現創新高
Google周三（10/28）發表新一代AI模型Gemini 4 Carbon，在第三方評測機構Artificial Analysis最新的綜合能力指數中，以59分排名第一，並在漏洞發現、利用驗證及修補等3項資安基準測試中創下最佳成績。考量模型強大的資安能力及潛在濫用風險，Goo…
中選會候選人財產申報網站出包，背景查詢資料竟含1,573名候選人身分證字號，初判委外廠商疏失
年底地方選舉進入倒數，中選會候選人財產申報網站卻出現資安問題，當民眾開啟該網站查詢頁面時，包含候選人身分證字號的資料就會一併傳送至瀏覽器，即使網頁畫面並未顯示相關資訊。中選會於10月28日證實，初判是委外廠商產製公告資料時，將身分證字號載入非公開查詢的檔案所致，昨日已完成程式修正…