【資安日報】10月28日，Google Brotli漏洞恐造成資訊洩漏及阻斷服務，.NET、PHP與Linux陸續修補

● Brotli漏洞恐造成資訊洩漏及阻斷服務，.NET、PHP與Linux陸續修補 ● LiteLLM公布供應鏈攻擊後續調查，外洩金鑰讓駭客操控發布流程 ● 日本GMO Onamae遭駭，交易帳戶出現異常，要求用戶斷網關機 ● 美國NIST發布PQC遷移路線圖，傳統公鑰演算法2031年起逐步退場 ● Veeam修補三款備份與管理產品漏洞，包含兩項重大漏洞

日本GMO旗下Onamae雲端桌面日前遭駭，證券及外匯交易帳戶傳異常，最新公告緊急要求用戶斷網關機

日本GMO集團旗下網際網路基礎設施業者GMO Internet發生資安事件，旗下主打外匯自動交易等用途的「Onamae.com Desktop Cloud」雲端桌面服務，遭到駭客入侵，部分客戶陸續反映證券及外匯交易帳戶出現未經授權的交易操作，後續亦確認客戶資料外洩。為了因應後續攻擊威脅，GMO在10月27日的公告中，緊急要求用戶備份資料、中斷網路連線並關機，同時調查曾連接雲端桌面服務的客戶電腦是否遭植入惡意程式。GMO確認已收到攻擊者提出的勒索要求，表示不會接受勒索，同時承諾向客戶發放慰問金並補償確認的未授權交易損失。詳全文

韓國最大中小企業ERP業者Douzone Bizon兩週內接連傳出資安事件，當局展開調查

韓國中小企業ERP業者Douzone Bizon於10月18日及23日接連通報兩起資安事件，分別涉及會計稅務軟體Smart A 10遭未授權存取，以及APO Backup備份服務供應商的方案存在漏洞，導致部分儲存在備份伺服器上的加密資料外洩，可能外洩資訊包括姓名、身分證號、帳號、聯絡資料及企業營運紀錄。由於該公司產品廣泛應用於韓國中小企業及會計業者，恐造成大規模影響，韓國政府已將事件列為重大資安事故，成立民官聯合調查小組，釐清攻擊原因、受害範圍及是否波及客戶企業。詳全文

新光三越疑遭外部入侵，約2萬名顧客個資受影響，已通報主管機關

新光三越10月22日證實，內部資安監測機制發現資訊系統異常，疑似遭外部不法入侵，初步清查約2萬名顧客個資受影響，涉及部分宅配訂單的姓名、地址及聯絡電話。新光三越發現系統異常後，已啟動緊急應變機制、通報主管機關，並配合警方調查，也主動通知受影響顧客，提醒留意不明來電、可疑簡訊及不明連結。截至10月22日，警方尚未接獲顧客因本次事件遭詐騙的通報。詳全文

高林購物網站委由91APP建置的系統遭自動化攻擊，會員訂單資料恐被擷取

服飾與紡織相關產品代理商高林（2906）於10月27日，在股市公開資訊觀測站發布資安事件重大訊息，該公司的購物網站訂單系統委由電商技術服務公司91APP提供，該系統的資料庫遭到自動化攻擊，導致部分資訊遭非法擷取。高林近期陸續接獲會員反映收到冒用公司名義的詐騙郵件，經確認，部分會員的訂單相關資料可能受到此次事件影響，目前仍持續確認實際受影響的資料範圍。詳全文

天良接獲消費者反映個資疑似外洩，委外平臺資料庫遭自動化攻擊

天良於10月27日在公開資訊觀測站發布重大訊息，表示近日接獲消費者反映個資疑似外洩。初步調查發現，此次事件可能與委外服務平臺業者的資料庫遭自動化攻擊有關，部分資訊遭非法擷取；天良已要求業者釐清公司資料是否受影響及實際範圍，並啟動內部應變與調查機制。詳全文

Magento、Brotli漏洞遭積極利用

美國網路安全暨基礎設施安全局（CISA）10月27日將兩項漏洞列入已遭利用漏洞（KEV）清單，分別為影響Adobe Commerce與Magento的危險檔案上傳漏洞CVE-2026-48356（PolyShell），以及Google Brotli解壓縮程式庫漏洞CVE-2026-111497（Node2Shell），後者影響範圍廣泛，可能波及多種軟體與程式庫，美國聯邦機構須於11月10日前完成相關修補。詳全文

Google Brotli漏洞恐造成資訊洩漏及阻斷服務，.NET、PHP與Linux陸續修補

Google開發的開源壓縮程式庫Brotli存在越界寫入漏洞CVE-2026-111497（Node2Shell），攻擊者可透過特製壓縮資料造成記憶體破壞，導致資訊洩漏或阻斷服務，特定條件下甚至可能遠端執行程式碼。由於Brotli也廣泛用於其他軟體的資料處理功能，因而漏洞影響範圍已從Node.js擴及.NET、PHP、Python及多個Linux發行版。微軟已發布.NET安全更新，PHP則更新Windows套件內的Brotli程式庫；Debian、Ubuntu、Alpine Linux及openSUSE Tumbleweed也陸續提供修補。紅帽尚在評估及準備更新，建議暫時限制不可信來源的Brotli壓縮流量。研究人員另證實，漏洞可透過圖片解碼等非HTTP資料處理功能觸發。詳全文

LiteLLM公布供應鏈攻擊後續調查，5月外洩金鑰讓駭客操控官方發布流程

開源AI模型串接工具LiteLLM公布1.107.0版供應鏈攻擊調查結果，確認駭客利用今年5月外洩卻未撤銷的AI代理平臺主金鑰，於10月取得GitHub組織擁有者權杖，再竊取兩名維護者憑證，藉此修改官方發布流程，將植入竊密程式的版本上架PyPI及容器映像檔儲存庫。攻擊者還關閉分支保護、刪除發布紀錄並竄改程式碼歷史，企圖掩蓋行動。受影響版本已下架，LiteLLM團隊正全面撤銷內外部系統憑證，並提醒使用者檢查受影響環境及更換可能外洩的金鑰。詳全文

Sophos揭露中國駭客使用改造版Meterpreter，受害範圍涵蓋臺灣

資安業者Sophos揭露具中國背景的駭客組織BRONZE SANDCASTLE，於2025年8月至2026年8月間發動一系列攻擊，受害組織所在國家涵蓋臺灣、菲律賓、阿富汗及納米比亞，南韓也可能受害。攻擊者濫用Sandboxie、Java及Krita等合法軟體側載惡意DLL，部署客製化Meterpreter後門，並透過加密酬載及記憶體執行規避偵測。攻擊者入侵後，曾列舉受害者內部主機與帳號，並複製Active Directory資料庫以竊取憑證。Sophos提醒，企業應加強端點行為與記憶體監控，留意DLL讀取本機檔案後隨即執行記憶體程式碼的異常行為。詳全文

阿里巴巴Qwen模型異常嘗試向北京上傳資料，推理紀錄卻稱不呼叫工具

加拿大AI業者Cohere發現阿里巴巴開放權重模型Qwen3.8-Flash-Next，在其資安測試中，自行檢查系統環境，並試圖將測試字串上傳至北京的阿里雲儲存空間。該模型的推理紀錄聲稱不會呼叫工具，實際卻執行上傳指令，所幸連線遭測試沙箱阻擋。Cohere表示在該公司的評估中，此類行為極為罕見，尚無法判斷是否刻意設計，或是訓練過程殘留，也未確認目的地儲存空間的擁有者。研究團隊建議企業限制AI代理工具權限、阻擋非必要對外連線，並監控異常工具呼叫及網路請求。詳全文

Google發布Chrome 156更新，修補逾50個資安漏洞

10月27日Google發布穩定通道的Chrome更新，一共修補52個資安漏洞，從嚴重程度來看，4個為重大等級，46個為高風險等級，2個為中度風險。評為重大等級的弱點被登記為CVE-2026-118306、CVE-2026-118331、CVE-2026-118348，以及CVE-2026-118344，影響FileSystem、FireAPI、Skia，以及Layout等元件，Windows與macOS用戶需更新至156.0.8078.73或156.0.8078.74，Linux與Android用戶應更新為156.0.8078.73，來修補相關弱點。詳全文

Mozilla發布Firefox大改版159，修補逾100個高風險漏洞

Mozilla基金會於10月27日正式推出Firefox 159大改版，揭露並修補167個資安漏洞，其中108個被評為高風險，影響範圍涵蓋JavaScript引擎、DOM、WebRTC、網路通訊，以及圖形處理等元件。此次修補的漏洞類型包括同源政策繞過、沙箱逃逸、權限提升、資訊洩露及記憶體安全問題。詳全文

Apple同步推出macOS與iOS/iPadOS 27.2版，修補286個漏洞

Apple於10月26日發布macOS Golden Gate 27.2，以及iOS與iPadOS 27.2更新，兩份公告分別列出263個與163個漏洞，扣除約140個共通漏洞後，共修補286個獨立漏洞。其中macOS方面，WebKit與Kernel是受影響最多的兩個元件，iOS與iPadOS則以WebKit、Kernel及ImageIO為主，涵蓋的漏洞類型包括釋放後使用、越界寫入及越界讀取等記憶體安全問題。詳全文

HPE修補網路作業系統ArubaOS 72個漏洞，含8個CVSS滿分重大漏洞

HPE於10月22日公告修補Aruba網路作業系統AOS共72個漏洞，其中8個漏洞的CVSS 3.1評分達滿分10.0，涉及身分驗證繞過、命令注入、緩衝區溢位及SQL注入，可能讓未經驗證的遠端攻擊者執行任意程式碼或取得管理權限。受影響產品涵蓋AOS-8與AOS-10多個版本，以及無線網路控制器、閘道器與存取點等設備，HPE呼籲用戶儘速更新，並限制管理介面的存取。詳全文

Veeam修補Backup & Replication、Backup for Microsoft 365與Veeam One重大漏洞

Veeam於10月27日修補旗下Backup & Replication、Backup for Microsoft 365及Veeam ONE共9個漏洞，其中兩項重大漏洞可能導致繞過授權及遠端程式碼執行。Backup & Replication漏洞CVE-2026-108142的CVSS v4.0評分為9.1，影響13.0.x及13.1.x版，應升級至13.0.3或13.1.2版；Backup for Microsoft 365漏洞CVE-2026-106076評分9.0，可能造成跨租戶資料存取及遠端執行程式碼，應升級至8.6版。Veeam ONE另有一項高風險漏洞，管理員憑證可能遭用來繞過多因素驗證，應更新至13.1 P1版。詳全文

NIST發布PQC遷移路線圖，自2031年起RSA等傳統公鑰演算法逐步退場，2036年起禁用

美國國家標準暨技術研究院（NIST）10月27日發布NIST IR 8547報告，提出後量子密碼學（PQC）遷移路線圖，規畫RSA、ECDSA、EdDSA及Diffie-Hellman等傳統公鑰演算法，2030年後列為不建議使用，2035年後則在NIST標準與指引中禁止使用。報告指出，遷移涉及TLS、SSH、IPsec、公開金鑰基礎建設（PKI）及硬體安全模組等環節，企業應及早盤點演算法與系統相依性，並評估混合式密碼學等過渡方案。美國聯邦政府的高價值資產與高影響系統，另須提前於2030年底完成後量子金鑰建立機制遷移，2031年底完成數位簽章轉換。詳全文

預防SBOM清單也可能遭竄改，歐盟ENISA發布技術指南，提出生命週期安全防護建議

歐盟網路安全局（ENISA）10月22日發布軟體物料清單（SBOM）技術指南，因應歐盟《網路韌性法》（CRA）推動軟體供應鏈透明化。指南提出涵蓋產生、驗證、簽署、儲存、使用及維護的六階段管理流程，建議將這套流程導入持續整合與持續交付系統（CI/CD），並列出可用的開源工具。ENISA也採用STRIDE威脅模型，提醒SBOM可能遭冒名、竄改或洩漏，影響清單的可信度，導致企業誤信遭植入惡意元件的軟體。為此，建議導入數位簽章、身分驗證、權限控管及稽核紀錄，並持續更新清單、追蹤版本與評估漏洞風險。詳全文

Linux基金會調查揭資料基礎架構風險，資安漏洞居首

Linux基金會公布2026年開放資料基礎架構調查，指出58%受訪者將資安漏洞列為最關注的資料基礎架構風險，其次為法規遵循及資料在不同工具或環境中的暴露風險，各占33%。在選擇資料平臺時，79%受訪者認為資安與法規遵循非常重要，與重視總持有成本的80%相近。另有78%受訪者認為跨供應商及跨工具的互通性至關重要，71%則將不受特定供應商或雲端業者限制，視為組織策略上的優先考量。詳全文

美國資安職缺年減26%，AI安全工程師逆勢成長

美國資安人才招聘業者CyberSN統計，2026年1至9月美國資安職缺刊登量為23萬5,786筆，較去年同期減少26.4%，創2023年以來同期新低。其中，AI安全工程師職缺逆勢年增268.3%，資安資料科學家也成長203.5%。相較之下，資安長相關職缺年減38.9%。從職能分布來看，防禦類職缺仍占最大宗，達41.5%，但治理、風險與法規遵循（GRC）類職缺占比已由2023年的9.4%升至14.8%。詳全文

Cloudflare發表後量子地理金鑰管理，限定私密金鑰使用地區

Cloudflare發表後量子地理金鑰管理服務PQ GeoKey Manager，讓企業指定私密金鑰可解密及使用的地區，降低金鑰在未授權區域遭存取的風險。目前該服務已進入封閉測試，預計2027年第一季正式推出，初期將整合Cloudflare One。這項新架構採用區域根金鑰與伺服器授權機制，並結合傳統X25519與後量子ML-KEM-768金鑰交換技術，確保只有通過硬體身分、所在地及服務授權檢查的伺服器才能解密金鑰。Cloudflare也提醒，地理金鑰管理不代表流量路由及解密後資料處理都受地區限制，企業仍須搭配其他資料在地化設定。​詳全文