【資安日報】10月27日，91APP遭駭事件查出ARTEX攻擊痕跡，顯示不只日韓，臺灣也出現相關攻擊案例

● 91APP遭駭事件發現ARTEX攻擊痕跡，顯示臺灣出現相關攻擊案例 ● eMudhra憑證事件波及Python，pip緊急更新，更新系統憑證仍不足 ● 不只影響Node.js，Node2Shell漏洞恐波及其他開發工具及應用程式 ● 逾90萬個無法直接取得修補的舊版PHP執行個體暴露於公開網路 ● 中國駭客Storm-0940利用ARTEX攻擊，並藉ConnectWise憑證滲透

韓國警方偵破利用ARTEX發動攻擊的嫌犯，涉及入侵逾90家機構、竊取820萬筆個資

韓國首爾警方10月26日宣布逮捕一名32歲男子，涉嫌利用開源AI滲透測試框架ARTEX入侵逾90家企業及機構，竊取約820萬筆個資，並與6名共犯向部分受害者勒索。涉案主嫌自2025年9月展開攻擊，今年8月底開始使用ARTEX加速作業，短短43天內便入侵60家企業。警方調查過程中，也運用AI分析約53萬筆調查資料及1.3TB駭客連線紀錄，協助追查嫌犯。首爾警方指出，此案是韓國首度查獲涉嫌利用生成式AI大規模入侵及竊取個資的案件，也顯示AI正降低網路犯罪的技術門檻。詳全文

中國駭客Storm-0940利用自主AI框架ARTEX發動大規模攻擊，並藉ConnectWise憑證滲透企業雲端

微軟10月21日指出，具中國背景的駭客組織Storm-0940自9月起利用開源自主AI滲透測試框架ARTEX，鎖定全球數百個組織，涵蓋政府、金融、能源及科技等領域。攻擊者利用ARTEX自動執行偵察、密碼噴灑及OAuth應用程式濫用等手段，部分攻擊從偵察到取得雲端高權限存取僅需不到3小時。 微軟研判Storm-0940也涉及近期ConnectWise遭入侵事件，攻擊者利用遭竊的應用程式憑證，對大量Microsoft 365客戶環境展開攻擊，並在部分客戶環境觀察到攻擊者成功驗證身分後，透過Microsoft Graph列舉雲端資源、修改應用程式憑證，以及涉及高權限角色的異動或權限變更嘗試，可能藉此建立持續存取途徑。 詳全文

91APP遭駭事件查出ARTEX攻擊痕跡，顯示不只日韓，臺灣也出現相關攻擊案例

91APP公布遭駭事件調查結果，指出攻擊者利用未及時更新的第三方工具Appsmith入侵內部網路，再從GitLab取得資料庫金鑰，非法存取Commerce Cloud其中一座訂單資料庫，並在系統中發現ARTEX自動化攻擊工具的痕跡。91APP已於10月14日阻斷入侵，並移除Appsmith、更換內部系統權杖及資料庫帳密、重建GitLab權限，停用遭冒用帳號，並限制CI主機與資料庫網段連線。91APP表示此次事件不涉及信用卡資訊，其他主要服務未受影響，承諾補償受害消費者財損，並持續調查實際受影響範圍。詳全文

美國CISA警告PHP2Shell遭到積極利用

上週PHP開發團隊公布及修補的重大漏洞PHP2Shell震驚全球，美國網路安全與基礎設施安全局（CISA）於10月26日將PHP2Shell兩個漏洞CVE-2026-109618及CVE-2026-109619列入已遭利用漏洞名單（KEV），要求美國聯邦機構在10月29日前完成修補。罕見的是，CISA在KEV公告裡特別提及前述的PHP警示通知，呼籲所有PHP用戶立即採取行動，並依照跨系統Sigma資安偵測規則，來識別PHP系統是否出現可疑活動。詳全文

全球逾90萬個無法直接取得修補的舊版PHP執行個體暴露於公開網路，臺灣也有1.3萬個

資安監測組織Shadowserver於10月27日表示，其監測系統偵測到全球目前直接連接網際網路的8.1版以前舊版PHP執行個體，總數超過90萬個（以IP位址為單位計算），這些舊版系統已不在PHP專案支援範圍內，無法直接取得修補程式，面臨更高的PHP2Shell漏洞攻擊風險，用戶必須透過自行編譯原始碼等方式進行修補。前述暴露的舊版PHP系統中，以美國最多，占28.1萬個，其次是中國的7.8萬個與日本的6.8萬個，臺灣也有1.3萬個，管理者須儘速升級這些舊版系統，以降低風險。​詳全文

因應PHP2Shell漏洞衝擊，臺灣資安與郵件系統廠商眾至資訊釋出旗下多個產品線的更新版本

臺灣資安與郵件系統廠商眾至資訊10月22日公布，旗下多款產品受到PHP2Shell漏洞（CVE-2026-109618、CVE-2026-109619）影響，涵蓋防火牆NU與HiGuard系列、郵件伺服器MS系列及郵件歸檔系統MA系列。該公司已成立資安應變小組，完成首波修補程式開發，以及關鍵模組的編譯與相容性測試，將陸續釋出安全更新。企業用戶可前往眾至資訊官網下載專區取得修補版本，或聯繫技術支援索取更新檔案及升級指引，以降低漏洞遭利用的風險。詳全文

PHP2Shell漏洞修補釋出兩天後，PHP基金會警告還有一個待修補的遠端程式碼執行漏洞

PHP開發團隊於10月23日揭露另一個尚待修補的遠端程式碼執行漏洞CVE-2026-115560，此漏洞僅在特定且罕見的設定組合下才會觸發，須同時涉及特定Session序列化處理程序切換，以及啟用上傳進度功能。PHP基金會認為實際觸發機率極低，因此將透過例行版本更新修補，尚未公布受影響版本及嚴重性評分，建議用戶暫時將session.upload_progress.enabled設為0，關閉Session上傳進度功能，這項措施也適用於先前PHP2Shell漏洞的緩解。詳全文

Microsoft 365帳號遭權杖重播攻擊，79家組織受影響

資安業者Huntress近日揭露一波針對Microsoft 365的權杖重播攻擊（Token Replay Attack），攻擊者利用竊取自不同組織使用者的登入權杖，自7月14日至9月22日間大量嘗試冒用使用者身分登入Microsoft 365帳號，波及79家組織，累計至少497次成功登入及逾20萬次失敗嘗試，造成97個帳號遭入侵。攻擊者透過中間人釣魚、裝置代碼釣魚及社交工程取得權杖，無須重新輸入密碼或通過多因素驗證（MFA）即可登入，並註冊惡意裝置、更換MFA方式及設定隱藏郵件規則，甚至冒用帳號寄送薪資相關郵件。Huntress提醒企業，只透過重設密碼的處理方式，並不足以完全阻止攻擊者繼續存取帳號，需撤銷使用者工作階段、重設密碼、移除未授權裝置與MFA方式，並檢查異常郵件規則及強化條件式存取政策。詳全文

Arista旗下SD-WAN集中管理平臺VCO零時差漏洞已遭積極利用

10月22日Arista揭露重大漏洞CVE-2026-114625，影響企業內部網路環境建置的SD-WAN集中管理平臺VeloCloud Orchestrator（VCO），遠端攻擊者可藉此得到存取內部功能的權限，CVSS嚴重程度評分為9.9（CVSS v4.0評分為9.4）。值得留意的是，Arista指出該弱點已遭積極利用，隔天美國網路安全與基礎設施安全局（CISA）也表示掌握遭到利用的證據，將其加入已遭利用漏洞名單（KEV），並要求聯邦機構在3天內完成修補。​詳全文

美國CISA警告雲端版辦公室軟體Collabora Online漏洞遭積極利用

10月23日美國網路安全暨基礎設施安全局（CISA）將CVE-2026-110447列入已遭利用漏洞（KEV）清單，此漏洞存在於雲端服務Nextcloud的雲端版辦公室軟體應用程式Collabora Online Built-in CODE Server（richdocumentscode），屬於作業系統命令注入漏洞，可能讓攻擊者遠端執行程式碼，聯邦機構需在10月26日前完成修補。詳全文

全球四大會計師事務所之一的PwC證實遭駭，Everest聲稱竊得590GB資料

全球四大會計師事務所之一PwC近日揭露為其代管員工學習紀錄的第三方廠商遭駭，PwC表示受影響的外部平臺並未存放客戶資料、敏感個資或財務資訊，該公司獲知該事件後已迅速採取措施保護相關環境並展開調查，未影響該公司網路與營運。在PwC證實前述事件的前一天，勒索組織Everest於10月22日聲稱竊得約590GB的PwC資料，內容包括員工個資與學習紀錄、系統整合文件、軟體元件及線上課程，並威脅若未達成協議便公開資料。但PwC未證實駭客所稱的資料量及內容，也未確認資料是否確實遭到竊取。詳全文

日本防災資訊服務Arcadia被駭，疑外洩12.5萬名警察個資與1.8萬筆電子郵件地址

日本防災資訊服務業者Arcadia於10月11日發現系統遭未授權存取，約12.5萬名日本20個府縣警察機關的警員及職員個資，以及逾1.8萬筆企業與民眾電子郵件地址可能外洩。外洩資料包括姓名、電子郵件、電話及合約資訊。 Arcadia已於10月13日暫停部分服務，並在10月15日完成系統重啟，但攻擊者已利用外洩資訊發動釣魚攻擊，發送逾140萬則訊息，包括近9萬則發送到客戶端的惡意郵件。詳全文

日本摩斯漢堡系統外包商遭駭，外洩逾113萬筆預付卡資料

日本摩斯漢堡10月23日公布，負責預付卡MOS卡營運管理的委外業者Value Design遭未授權存取，造成113萬3,070筆卡片資料外洩，包括卡號、PIN碼及餘額資訊，但不涉及持卡人姓名、地址、電話或信用卡資料。此次事件發生於10月14日至18日，負責MOS卡營運管理的IT業者Value Design偵測異常後已採取封鎖措施。摩斯漢堡已強制變更相關MOS卡PIN碼，並提醒消費者檢查交易紀錄，留意不明扣款。詳全文

日本快遞業者佐川急便網站服務被駭，可能外洩逾5,300萬筆個人、企業及會員個資

日本快遞業者佐川急便10月23日公告其網站包裹查詢服務遭未授權存取，約5,323萬筆個資可能外洩，包含2026年6月21日到9月30日之間預約寄送包裹或貨物的客戶個資，以及網路服務Smart Club會員的電子郵件與會員ID，但其中包含重複資料，實際數量仍待確認。該業者於9月30日發現異常後，先行暫停包裹查詢、寄件受理及退費等部分網路服務，並於10月23日恢復包裹查詢服務。詳全文

Amadeus訂票系統帳號憑證外流，洩露大韓、韓亞航空客戶資訊

全球航空票務系統業者Amadeus遭未授權第三方利用合法帳號憑證存取，導致大韓航空及其子公司韓亞航空部分客戶訂位資料外洩。兩家航空公司均於10月20日接獲通知，入侵事件疑發生於2023年8月至2026年9月間，確切時間及外洩範圍仍在調查，目前已確認外洩資料包含部分客戶訂位代號，Amadeus已封鎖未授權存取，並調查暗網是否出現相關資料，受影響的兩家航空公司則已通報韓國主管機關，並通知受影響客戶。詳全文

健身服務公司柏文電子商城委外廠商遭駭，會員訂單資料疑似外洩

健身服務公司柏文（8462）於10月23日，在股市公開資訊觀測站發布重大訊息，電子商城平臺的委外服務廠商發生資安事件，該廠商的Commerce Cloud資料庫遭到攻擊，部分資料遭未經授權存取，其內容包含柏文電子商城訂單資料。柏文於10月22日獲知此事後，陸續接獲線上會員反映，疑似有第三方不當取得資料，並透過電子郵件聯繫消費者。經比對，相關郵件內容與柏文電子商城訂單資訊有關，不排除會員訂單資料遭不當存取的可能性。為防範電子商城訂單資料遭詐騙集團利用，柏文透過電子商城網站、線上會員電子郵件，以及簡訊等管道，發布防詐騙提醒。詳全文

eMudhra憑證事件波及Python，官方緊急更新pip，並提醒僅更新作業系統憑證仍不足

印度數位憑證業者eMudhra旗下emSign部分中繼憑證出現安全問題，可能遭用於中間人攻擊，由於Python部分套件管理工具仍使用信任相關憑證的舊版清單，Python官方於10月21日緊急發布3.15.1、3.14.9及3.13.17版，更新內附的pip與憑證清單。Python官方提醒，由於pip仍會使用自身內附的憑證清單，僅更新作業系統憑證並不足以排除風險，使用者須將pip更新至26.2.2以上、certifi更新至2026.10.19，並更新既有虛擬環境中的相關套件，使用容器部署者也應停用映像快取後重新建置。詳全文

Brotli解壓縮漏洞也影響.NET，微軟緊急發布臨時更新修補

微軟10月25日發布.NET緊急安全更新，修補Brotli解壓縮漏洞CVE-2026-111497，此漏洞CVSS 3.1評分為8.1分，攻擊者可透過惡意壓縮資料觸發記憶體越界寫入，若是使用ASP.NET Core請求解壓縮、HttpClient自動解壓縮，或直接呼叫Brotli API的.NET程式，處理到攻擊者控制的資料，就有可能受到這個漏洞的影響，.NET Framework則不受影響。使用者應儘速更新至已修補的.NET 8.0.33、9.0.22、10.0.14及.NET 11 RC3，並重新啟動應用程式；自含式應用程式與容器則須重新建置部署。詳全文

不只影響Node.js，Node2Shell漏洞恐波及其他開發工具及應用程式

資安業者OpenSourceMalware指出Brotli解壓縮程式庫漏洞Node2Shell（CVE-2026-111497），影響範圍不只Node.js，內含Brotli的Python、Go、.NET及Perl程式庫或應用程式也可能受影響。該漏洞可能造成記憶體越界寫入，攻擊者若能讓受影響程式對特製資料執行解壓縮，可能導致服務中斷、資訊外洩甚至遠端程式碼執行。研究人員指出，Chrome、Firefox、Envoy等產品雖已修補此漏洞，但可能仍有其他軟體內含尚未修補的Brotli版本，因此單純更新Node.js或作業系統套件仍不足。企業應盤點開發工具、容器映像檔及內嵌程式庫，確認版本並依各產品公告更新。詳全文

GitLab四項RCE漏洞源頭，指向Ruby正規表示式引擎缺陷

程式語言Ruby發布4.0.9、3.4.12及3.3.13版，修補正規表示式引擎Onigmo的3個記憶體處理缺陷，這些問題是GitLab近期4個遠端程式碼執行（RCE）漏洞的根源，其中CVE-2026-110264的CVSS評分達滿分10分，當應用程式將攻擊者可控制的輸入編譯為正規表示式時，可能引發記憶體損壞。Ruby開發團隊提醒，設定逾時或限制輸入長度均無法可靠防範，建議升級至修補版本，若無法更新，應避免編譯不可信任的輸入。詳全文