【資安日報】10月29日，北韓駭客鎖定216臺PHP主機掃描PHP2Shell漏洞，臺灣列入目標範圍

● 北韓駭客鎖定216臺PHP主機掃描PHP2Shell漏洞，臺灣被列入目標 ● macOS 27.2仍未封鎖eMudhra問題憑證，Git與curl恐遭中間人攻擊 ● 中國駭客打造攻擊框架Silent Train，用於攻擊美國關鍵基礎設施 ● Tailscale SSH轉送功能遭揭權限提升漏洞，一般帳號恐取得最高權限 ● 美國CISA公布2030戰略，轉向積極防禦並優先保護關鍵基礎設施

駭客宣稱竊走美國土安全部員工資料超過4萬筆

代號「和平部」（Department of Peace）的駭客宣稱入侵美國國土安全部（DHS）使用的身分管理系統Okta，聲稱竊得逾4.1萬筆員工及約聘人員資料，涵蓋海關暨邊境保護局、移民及海關執法局與網路安全暨基礎設施安全局等單位，外洩資訊包括姓名、職稱、電話、電子郵件、辦公地點及內部系統存取權限，部分資料已公開。該駭客聲稱利用單一登入憑證取得資料，但未說明入侵方式細節，Okta管理單位則表示尚無證據顯示其系統遭入侵，DHS則表示已獲悉事件並展開調查。詳全文

Sony日本ISP、保險業務系統被駭，外洩258萬會員及38.5萬保戶個資

Sony集團旗下日本網路服務業者Sony Network Communications，以及Sony生命保險接連發生資安事件。Sony Network Communications於10月23日確認So-net與plala會員資料庫遭未授權存取，外洩逾258萬筆會員資料，另有約5.4萬筆電子郵件帳號及密碼外流。Sony生命保險則是在10月28日傳出資料外洩事件，約38.5萬筆保戶資料外洩，包含姓名、地址、電話、保單號碼及合約內容。業者已封鎖攻擊者存取、重設受影響會員密碼並暫停部分服務，兩起事件的入侵原因仍在調查，業者提醒用戶留意可疑郵件及訊息。詳全文

中選會候選人財產申報網站出包，背景查詢資料竟含1,573名候選人身分證字號，初判委外廠商疏失

中選會公職候選人財產申報網站發生個資外洩事件，1,573名候選人的身分證字號被包含在網站傳送至瀏覽器的背景查詢資料中，即使網頁畫面並未顯示，仍可透過瀏覽器開發者工具取得，且無須登入。中選會初判，事件起因是委外廠商產製公告資料時發生疏失，已於10月27日暫停服務並完成程式修正，並於當晚重新開放查詢，後續將調查疏失原因及影響範圍。中選會稱相關資料以亂碼呈現，但外界質疑JSON格式資料仍可被機器讀取及索引。詳全文

重大漏洞PHP2Shell傳出駭客成功利用，於伺服器執行Shell指令

資安研究人員Adel Karimi在自架蜜罐中，首度觀察到駭客成功利用PHP2Shell的兩項重大漏洞（CVE-2026-109618、CVE-2026-109619），於伺服器執行Shell指令。10月24日短短5分鐘內，研究人員透過6個感測器偵測到35次Shell程序執行，受測環境為PHP 8.4.26搭配Apache mod_php。攻擊者先利用大型PHPSESSID Cookie取得記憶體資訊，再調整請求內容完成利用，並進一步使用PHP CLI、curl及wget等工具，研究人員尚無法確認目前偵測到的兩個攻擊來源IP，是否屬於同一組攻擊者。詳全文

北韓駭客鎖定216臺PHP主機掃描PHP2Shell漏洞，臺灣列入目標範圍

資安業者Cyfirma揭露，疑似與北韓駭客組織Lazarus有關的攻擊者，自10月22日起鎖定全球PHP2Shell漏洞發動偵察，篩選出216臺可能尚未修補或僅部分緩解漏洞的主機，並透過21個遭入侵節點，以低頻率、分批方式掃描，降低被偵測的機率。臺灣也名列其優先鎖定的地區之一，受影響範圍涵蓋政府、金融、物流、航空、製造，以及線上交易等領域。截至10月24日，駭客已對約三分之一的目標主機進行掃描，利用遭入侵節點執行以PHP打造的Webshell，並試圖濫用上傳進度功能污染資料。​詳全文

PHP2Shell漏洞影響多家IT與OT廠商的產品，相關公告陸續出爐

PHP2Shell漏洞影響範圍不只網站伺服器，也波及採用受影響PHP版本的多家IT與OT產品，涵蓋防火牆、VPN、網路設備、NAS、工業控制系統及資安管理工具等，包括Asustor、Citrix、Check Point、Cisco、Palo Alto Networks、QNAP、Synology與趨勢科技等廠商都陸續發布公告，說明受影響情況，並提供修補或緩解措施，部分產品的影響情況仍在調查中，或尚待廠商提供更新。另一方面，Moxa、鼎新數智及Zyxel等廠商則已確認旗下相關產品不受影響。詳全文

Apple為iOS及iPadOS 18用戶修補已遭利用的圖形處理框架CoreGraphics漏洞

10月26日Apple為旗下行動裝置、電腦、穿戴裝置推出27.2版更新，同時也為舊版行動裝置作業系統iOS與iPadOS 18推出18.7.11版更新，總共修補3個漏洞，其中包含該公司於9月底公布的CVE-2026-86950，此弱點存在於圖形處理框架CoreGraphics，攻擊者可透過惡意的特製檔案執行任意程式碼，CVSS嚴重程度評分為8.8。蘋果特別提及，此弱點已被用於極度複雜的攻擊活動，駭客鎖定手機未升級iOS 27的特定人士。詳全文

macOS 27.2未修補eMudhra憑證風險，Git與curl仍可能遭中間人攻擊

Apple於10月26日發布macOS 27.2，但內建的Git、curl及Python 3等命令列工具，仍可能信任憑證業者eMudhra遭撤銷的問題憑證。eMudhra旗下8個中繼憑證機構的私鑰因產生程序缺陷而可被還原，攻擊者可能利用偽造的HTTPS憑證冒充GitHub等網站，在攔截或重新導向連線時竄改下載的程式碼，甚至竊取GitHub權杖。雖然Apple已透過封鎖清單保護Safari等應用程式，但部分命令列工具未採用該機制。研究人員指出，macOS更新還可能覆蓋使用者先前的手動修正。Apple表示將於後續更新修正前述問題，管理員可暫時移除相關根憑證，但須留意可能因此影響其他網站的連線驗證。詳全文

Linux核心、VMware ESX漏洞遭積極利用

美國網路安全與基礎設施安全局（CISA）將Linux核心漏洞CVE-2026-46300（Fragnesia）及VMware ESX漏洞CVE-2026-41709列入已遭利用漏洞名單（KEV），確認兩項漏洞已被攻擊者積極利用，要求美國聯邦機構分別於10月31日及11月11日前完成Linux核心與VMware ESX漏洞的修補。​詳全文

漏洞懸賞計畫ZDI成員不慎公開尚未修補的Linux核心漏洞

趨勢科技旗下漏洞懸賞計畫ZDI不慎將6個尚未修補的Linux核心漏洞通報資訊，寄送至公開郵件列表，導致漏洞細節提前曝光，其中兩個漏洞的CVSS評分達9.0分，分別涉及SMB Direct整數下溢及KSMBD競爭條件，可能遭利用執行遠端程式碼；其他漏洞則可能導致本機權限提升或資訊洩露，部分修補程式尚在開發或測試階段，尚未合併至核心主線。ZDI表示，此事件源於人為疏失，正努力確保非公開資訊受到妥善保護。詳全文

甫修補的Oracle E-Business Suite重大漏洞遭到利用

威脅情報業者Defused Cyber於10月27日在其Oracle E-Business Suite（EBS）誘捕系統中，偵測到攻擊者嘗試利用一週前修補的漏洞CVE-2026-101767，該漏洞位於Thin Client Framework servlet元件，屬於SQL注入漏洞，CVSS評分達9.8，攻擊者無須身分驗證即可利用該漏洞，並可能進一步執行遠端程式碼、控制應用程式物件程式庫。詳全文

近1千個電商網站遭滲透，攻擊者利用Magento資安漏洞植入後門

資安公司Sansec揭露，自2025年7月起，駭客持續滲透基於Magento（Adobe Commerce）平臺的電商網站，截至今年10月已有953個這類電商網站遭植入JavaScript惡意程式載入工具。Sansec發現攻擊者利用PolyShell（CVE-2026-48356）及SessionReaper（CVE-2025-54236）漏洞入侵，並透過更換網域維持攻擊，惡意程式被植入Magento資料庫的CMS區塊，能依訪客特徵決定後續載入的程式碼。值得注意的是，相關攻擊未必隨著完成漏洞修補而停止，Sansec曾在部署已修補Magento版本的電商網站，發現駭客建立的管理員帳號與後門。詳全文

逾850個GitHub帳號遭入侵，駭客發動Gheist攻擊植入惡意工作流程企圖竊密

雲端資安業者Wiz揭露Gheist攻擊活動，駭客濫用遭竊的GitHub權杖，入侵逾850個GitHub帳號，並在相關儲存庫植入超過1.35萬個惡意分支，藉由GitHub Actions工作流程竊取機密。惡意程式會將環境變數及機密資料編碼後寫入日誌，再透過GitHub API下載，並迅速刪除執行紀錄，規避機密遮蔽機制，攻擊者也試圖竊取自行託管執行器中的私密金鑰與雲端憑證。Wiz估計約有12家公司受此事件影響，建議企業檢查異常分支、工作流程及稽核日誌，撤銷遭濫用權杖並輪替可能外洩的憑證。詳全文

中國駭客Volt Typhoon綁架連網設備打造攻擊框架Silent Train，用於攻擊美國關鍵基礎設施

電信業者Lumen揭露中國駭客組織Volt Typhoon自2023年起使用名為Silent Train的攻擊框架，綁架逾27類連網設備，包括SOHO設備、物聯網裝置，以及企業級的網路設備和伺服器，串接多層流量轉送路徑，隱匿攻擊來源並維持對受害組織的存取。過去3年間，數百個美國組織受影響，涵蓋政府、電信、國防、能源、交通及供水等領域。研究人員也確認，該框架曾用於至少4次零時差漏洞攻擊，目標包括網路與端點管理平臺及SD-WAN系統，攻擊者還曾在部分任務結束後清除金鑰、設定檔及其他痕跡，藉此降低追查風險。詳全文

雲端平臺Railway客戶環境變數遭解密，駭客疑鎖定AI服務金鑰

雲端開發平臺Railway於10月21日揭露資安事件，攻擊者入侵其內部系統，取得部分客戶環境變數的解密內容，可能影響約10萬個工作空間，占全平臺1.85%。環境變數通常存放API金鑰、資料庫與容器映像檔倉庫憑證等敏感資訊。Railway於10月22日發布初步調查結果，指出攻擊者疑似鎖定AI服務供應商的API金鑰，企圖藉此進行模型蒸餾攻擊，已通知OpenAI、Anthropic等業者撤銷可能受影響的金鑰。Railway建議所有用戶更換敏感憑證、檢查服務日誌及異常存取紀錄，並表示已重建受影響的內部工具、輪替金鑰及強化基礎設施。詳全文

Tailscale SSH轉送功能遭揭權限提升漏洞，恐讓一般帳號取得伺服器最高權限

資安研究人員揭露，VPN服務Tailscale內建的SSH遠端登入功能存在權限提升漏洞，攻擊者若先控制獲准登入的裝置，便可能利用SSH轉送功能，繞過一般帳號的權限限制，存取原本無權操作的系統功能，進而取得伺服器最高權限。Tailscale回應表示問題主要發生在SSH連線獲得授權後，而非外部攻擊者可在未經授權的情況下任意登入伺服器，該公司已在1.104.4版修補此漏洞，建議管理者升級至最新版本，並檢查SSH存取規則，只允許必要的人員及裝置登入，若不需要SSH轉送，可停用該功能以降低風險。詳全文

Adobe發布10月下半更新，修補8個Campaign Classic重大漏洞

Adobe於10月27日發布10月下半更新，涵蓋Campaign Classic、Adobe Connect、Creative Cloud及Substance 3D Painter等4款產品。其中，行銷自動化平臺Campaign Classic修補8個重大漏洞，4個漏洞的CVSS評分達9.9，涉及命令注入、授權控制不當及SQL注入等問題，可能導致任意程式碼執行或繞過安全機制，Adobe將其修補優先順序列為第2級（Priority 2），呼籲用戶儘速更新。詳全文

美國CISA公布2030資安戰略，轉向積極防禦並優先保護關鍵基礎設施

美國網路安全與基礎設施安全局（CISA）公布《CISA 2030》資安戰略，將從被動防禦轉向主動偵測、排除威脅，並依遭攻擊後可能造成的影響，優先保護攸關公共安全、經濟及國家安全的關鍵基礎設施。新戰略聚焦三大方向：強化全國網路防禦、優先提升重要基礎設施安全，以及動員國家韌性。具體措施包括強化營運技術（OT）環境防護、提升軟體供應鏈安全、評估AI與量子運算等新興技術風險，並運用5G、6G及商用衛星改善緊急通訊韌性。CISA也將整合政府、情報機構與產業各自掌握的資訊，加速發布威脅警示及採取應變措施。詳全文

CISA提供兩款免費工具，協助檢測M365與Google Workspace的安全設定錯誤

美國網路安全與基礎設施安全局（CISA）提供兩款免費工具，分別檢測Microsoft 365與Google Workspace的安全設定，協助企業找出雲端環境與安全基準間的落差。ScubaGear可檢查Entra ID、Exchange Online、Teams及SharePoint等M365服務；ScubaGoggles則蒐集Google Workspace設定、組織資訊與使用者權限，比對CISA的SCuBA安全基準並產出評估報告。詳全文

Harmonic Security募資5,000萬美元，擴大AI代理安全治理

企業AI安全治理業者Harmonic Security完成5,000萬美元B輪募資，累計募資達7,600萬美元，將用於擴大美國與英國的工程及市場拓展團隊。該公司運用小型語言模型分析員工與AI工具互動內容，辨識敏感資料並依企業政策發出警示或阻擋操作，也將防護範圍從瀏覽器擴展至桌面AI工具及AI代理，協助企業監控並管控AI代理的工作流程與操作，目前已有逾100家企業採用該公司服務。詳全文