資安新聞焦點

● 日本首相高市早苗呼籲網站管理者第一時間修補PHP2Shell ● 全臺2.8萬個網站受到PHP2Shell影響 ● 甲骨文緊急修補Java重大漏洞疑與eMudhra中介憑證外洩有關 ● GitLab修補存在12年的滿分漏洞 ●日本遊戲大廠卡普空驚傳會員資料外洩，近200個帳密遭竄改

研究人員借助AI力量找出影響超過10年PHP版本的資安漏洞PHP2Shell

PHP開發團隊修補重大漏洞PHP2Shell，通報漏洞的資安公司Wiz也公布發現這批漏洞的過程。這兩個漏洞最早可追溯到2012年推出的PHP 5.4版，由於使用多個頂尖AI模型，包括自家Wiz Atlas、Gemini 4 Argon及GPT-5.6 Sol，Wiz得以在8月下旬成功找出PHP存在兩個漏洞，並在Drupal、WordPress等採用PHP為基礎打造的內容管理平臺（CMS）驗證，繼而向PHP通報及得到確認。Wiz認為，PHP2Shell是PHP史上最嚴重的漏洞，但研究人員想要驗證能實際用於攻擊，需要極其複雜的步驟。詳全文

PHP2Shell恐源自20年前的嚴重記憶體錯誤

本週PHP開發團隊發布及修補統稱為PHP2Shell的重大漏洞，這些漏洞由資安公司Wiz、Calif，以及AI龍頭OpenAI獨立調查並向PHP通報，Calif透露，PHP2Shell存在的時間恐怕不僅於此，可能源自二十多年前第一個被發現的PHP記憶體限制漏洞，該漏洞由PHP資安專家Stefan Esser於2004年發現，可被用於遠端程式碼執行（RCE）攻擊。後續在2020年與2024年，已有研究人員多次找出相關問題，只是因為無法被證實能用於攻擊，而沒有被視為資安漏洞。詳全文

日本首相針對PHP2Shell漏洞提出警告，呼籲網站管理員準備修補及採取相關因應措施

10月20日PHP發布公告表示，將於世界協調時間21日下午14時（臺灣時間晚間22時）發布重要安全性更新，修補2個CVSS v4.0嚴重程度達到9.2分的重大漏洞，日本首相高市早苗於21日晚間針對此事發布推文，呼籲所有網站管理員確認網站是否採用PHP，並為即將發布的修補程式做好準備，以便更新程式一推出就立刻套用，假如難以迅速套用修正程式，就應考慮採取降低風險的措施因應，例如暫停網站的運作。詳全文

Amazon證實重大漏洞PHP2Shell在揭露前已遭駭客利用

Amazon威脅情報團隊於10月17日首度偵測到PHP2Shell漏洞利用活動，攻擊者透過商用的匿名化網路及匿名IP位址來進行，顯示這起活動可能是攻擊者所為，而非一般的研究人員進行測試或驗證。上述活動發生在PHP開發團隊公開漏洞的4天前，究竟攻擊者如何掌握PHP2Shell的資料，Amazon表示不清楚。Amazon在PHP發布更新的當天也看到大量漏洞利用嘗試，這些攻擊使用的惡意酬載與匿名化基礎設施有所不同，代表有多組人馬嘗試利用PHP2Shell。詳全文

PHP重大漏洞影響全臺約2.8萬個網站，其中包括約200個政府機關網站

全球廣泛使用的網站程式語言PHP近日爆出重大安全漏洞，數發部資通安全署署長蔡福隆在行政院會後記者會上表示，資安署於收到PHP官方發布修補程式後，立即啟動專案應變機制、提升政府機關資安警戒，並發布警訊通知政府機關及企業盡速完成漏洞修補。經過初步盤點，國內約有2.8萬個對外網站使用PHP開發，其中政府機關約200個網站使用相關版本，資安署將持續掌握各界修補進度。詳全文

PHP2Shell漏洞影響全球10%的組織，歐洲首當其衝

震撼全球的PHP2Shell網站漏洞危機，目前已知的影響，除了全世界70%的網站都可能有潛在風險，資安廠商Check Point揭露全球衝擊程度的最新研究數據，該公司表示，由於PHP2Shell漏洞的細節在預定公開前遭外洩，全球已有10%的組織受到影響，攻擊活動的高峰出現在午夜時分，該公司推測，原因可能是此時值班的安全團隊較少。該公司也提到荷蘭和芬蘭的政府機構已將部分網站下線，作為預防措施。從全球五大地區來看，歐洲受到的影響最大，程度是其他地區的兩倍以上。詳全文

CISA呼籲儘速修補PHP2Shell

針對臺灣時間10月21日晚間修補的PHP重大漏洞PHP2Shell，同日，美國網路安全與基礎設施安全局（CISA）呼籲，企業組織應立即更新PHP以修復漏洞，雖然目前尚未觀察到漏洞遭到利用的跡象，用戶仍應儘速採取行動以降低相關風險。因為若不趕快處理，這些漏洞將對企業組織構成嚴重風險。除了盤點及修補，企業組織也要監控是否出現可疑活動，其中包括以PHP worker處理程序啟動shell工具，或是下載特定工具的行為。詳全文

甲骨文緊急修補Java重大漏洞，被傳與eMudhra中介憑證外洩有關

10月20日甲骨文發布2026年第四季度的關鍵修補更新，沒想到隔天又發布新的資安公告，主角是CVSS嚴重度評分為9.1分的CVE-2026-91403，並指出目前已知受影響的產品都與Java平臺有關。關於漏洞成因，甲骨文並未交代，不過，根據資安新聞網站Cyber Kendra的報導，與CVE-2026-91403資安公告同樣是10月21日發布的OpenJDK公告指出，此漏洞與8個遭外洩的中介CA憑證有關，也就是印度數位憑證業者eMudhra中介CA憑證外洩事故。詳全文

私鑰安全事故延燒，eMudhra宣布退出SSL/TLS憑證市場

印度數位憑證公司eMudhra於10月22日宣布，將退出全球SSL/TLS憑證市，該公司日前被發現有8張中繼憑證授權機構（CA）憑證的私密金鑰存在嚴重安全問題。eMudhra董事長V. Srinivasan表示，全球SSL/TLS憑證業務僅占營收約1%，近年因合規成本提高及免費憑證競爭，投資報酬率持續下降，加上此次事件在社群媒體引發的關注與業務規模不成比例，因此董事會決定退出市場，將資源集中在核心企業解決方案及其他數位信任服務。詳全文

GitLab修補存在12年的滿分漏洞

10月21日GitLab為社群版（CE）及企業版（EE）發布重要更新，總共修補11個資安漏洞，值得留意的是，開發團隊不光推出19.5.1、19.4.3、19.3.6版修補上述弱點，也針對已終止支援的版本推出19.2.9、19.1.9、 19.0.10，以及18.11.13版更新，用戶應儘速套用降低相關漏洞風險。其中CVSS嚴重程度達到滿分10分的重大漏洞CVE-2026-110264，影響的GitLab版本最早可追溯到2014年推出的7.0版，換言之，該弱點存在於GitLab長達12年之久。詳全文

Oracle發布2026年10月關鍵修補更新，共修補1,209個漏洞

本週Oracle發布2026年10月關鍵修補更新（CPU），這是Oracle今年第4次季度安全更新，包含1,295項更新程式與1,209個漏洞，規模略低於7月份上一次季度更新的1,449項更新程式與1,235個漏洞。本次CPU一共涵蓋33個產品家族，以包含的更新程式數量來看，比重最高的是Oracle Fusion Middleware，一共有206項更新程式，占所有更新程式總數15.9%；其次是Oracle E-Business Suite，有194項更新程式，占總數14.9%。詳全文

日本遊戲大廠卡普空會員資料外洩逾1,177萬筆，近200個帳號的密碼遭竄改

日本遊戲大廠卡普空（Capcom）證實，旗下會員帳號服務CAPCOM ID於10月19日發現遭第三方入侵，並於20日確認此次事件導致全球超過1,177萬筆會員資料外洩，其中有196個帳號的登入密碼遭擅自變更。卡普空表示，未發現會員自行設定的密碼外洩，信用卡資料也不在此次外洩範圍。針對196個被竄改密碼的帳號，卡普空已全部重設密碼，並開始逐一通知相關會員，目前仍在調查未經授權存取造成的完整影響範圍。詳全文

美食達人部分資訊系統遭駭客攻擊，美食-KY代子公司發資安重訊

以連鎖咖啡烘焙品牌85度C聞名的美食-KY（2723），於10月21日發布資安重訊，指出旗下臺灣子公司美食達人的部分資訊系統遭到駭客網路攻擊，已啟動資安事件應變機制，並委請資安專業人員協助調查及修復。至於事件影響，美食-KY指出，經初步評估並考量此次事件僅涉及單一市場，目前尚未對集團整體營運及財務造成重大影響。公司將持續進行資安鑑識、系統安全強化及風險控管，受影響系統預期可逐步恢復運作。詳全文

科懋生技商城會員個資遭擷取，指出是委外服務商系統遭自動化攻擊

上櫃生技醫療公司科懋（6496）於10月22日發布資安事件重大訊息，指出接獲線上會員反映個資外洩，調查後發現公司產品線上銷售平臺的系統服務委外廠商，其對外服務系統遭到自動化攻擊，線上訂單資料庫遭到擷取，其中部分涉及科懋商城線上會員的個人資料。科懋接獲會員通知後已主動聯繫委外服務商，並依照個資事故通報及處理流程召開應變會議，採取必要的通知與防護措施，以降低事件影響，同時已主動通報相關主管機關。詳全文

清淨海生技接獲消費者反映疑似個資外洩，將與委外廠商共同釐清事件影響

主打環保洗劑產品的興櫃公司清淨海（7516）發布資安事件重大訊息，說明接獲消費者反映疑似個資外洩，疑似有第三方人士從委外廠商管理的平臺不當取得資料，並透過電子郵件聯繫消費者。清淨海獲悉後立即啟動資安事件應變機制，要求官網平臺委外廠商進行相關調查、檢視及必要的修補改善，目前事件原因及可能影響範圍仍在調查釐清中。由於此次事件涉及的官網平臺由委外廠商維運管理，公司將持續與委外廠商共同釐清事件原因及影響範圍。詳全文

戶外用品業者歐都納接獲消費者反映疑似個資外洩，重訊指出委外平臺業者資料庫遭自動化攻擊

以戶外機能服飾、登山裝備及休閒用品為主要商品的興櫃公司歐都納（2940），於10月22日在公開資訊觀測站發布資安事件重大訊息，表示委外服務平臺業者的資料庫遭到自動化攻擊，部分資訊遭非法擷取，當日並接獲消費者反映疑似個資外洩。歐都納獲悉後立即啟動資安事件應變機制，並聯繫委外業者，要求釐清實際受影響範圍。歐都納將持續與委外業者共同釐清事件原因及影響範圍，也已透過網站及App加強反詐騙宣導，以降低消費者遭詐騙風險。詳全文

俄羅斯社群媒體巨頭VK資料中心遭無人機襲擊，大量使用者通報服務異常

繼10月上旬俄羅斯龍頭網路服務商Yandex資料中心連遭烏克蘭襲擊後，近日再度傳出烏克蘭攻擊俄羅斯網路基礎設施消息。俄羅斯社群媒體巨頭VK於10月18日證實，該公司位於列寧格勒州的資料中心遭無人機攻擊，但表示旗下服務仍正常運作。不過，資安媒體The Record報導指出，攻擊發生後，有大量使用者反映VK社群平臺VKontakte及音樂串流服務異常，包括動態消息無法載入、音樂播放失敗，以及登入和傳送訊息等功能受阻。詳全文

歐盟調查Booking.com，關注住宿業者帳號遭接管及訂房詐騙

10月21日歐盟執委會宣布，依據《數位服務法》（DSA）對總部位於荷蘭的線上訂房平臺Booking.com展開正式調查，將檢視該平臺是否採取充分措施，防止詐騙者刊登虛假住宿資訊，或利用平臺進行網路釣魚及訂房詐騙。Booking.com向路透社表示，正配合歐盟執委會調查，並強調安全、信任及個人資料保護是公司的優先事項。若歐盟執委會最終認定Booking.com違規，該公司最高可能面臨全球年度營業額6%的罰款。詳全文

Chrome預設啟用HTTP連線前警告，降低資料暴露風險

Google於10月21日宣布，旗下Chrome瀏覽器將全面預設啟用HTTP連線前警告機制，使用者造訪一般HTTP網站時，Chrome會先要求使用者確認是否繼續存取，再建立HTTP連線。過去Chrome主要在建立連線後，才於網址列顯示Not Secure（不安全）標示，使用者可能已經暴露於資料遭攔截或竄改的風險。新機制則將警告提前至連線建立前，讓使用者先了解風險，再決定是否繼續存取網站。詳全文

網路攻擊進入AI時代，資安院呼籲企業仍應先做好基本功

數發部資安署10月21日提出警告，近期國際多起重大資安事件顯示，攻擊者已開始利用大型語言模型（LLM）、Agent及自動化滲透工具，大幅提升漏洞探查、滲透與攻擊效率，AI攻擊已進入新階段。資安署署長蔡福隆指出，這代表資安攻防已出現「典範轉移」，AI雖讓攻擊速度更快、成本更低，但攻擊手法本質並未改變，因此企業仍應回到資安基本功，包括縮小攻擊面、落實漏洞修補、多因素驗證（MFA）、導入零信任、部署EDR，以及做好3-2-1備份等。詳全文