【資安日報】11月4日，XCPE殭屍網路波及臺灣近9萬臺Android設備，感染數量排名全球第5

● XCPE殭屍網路波及臺灣近9萬臺Android設備，感染數量排名全球第5 ● 永豐銀行不明轉帳事件涉及網銀程式異常，初步清查影響419名客戶 ● Hugging Face遭惡意模型濫用，31個儲存庫散布挖礦程式與後門 ● 甫修補的WordPress漏洞消息公布，9分鐘後隨即出現嘗試利用活動 ● Binance揭露63億美元竊案攻擊鏈，駭客以假面試誘使執行惡意程式

永豐銀行發生不明轉帳事件，該行證實新網銀系統程式異常，初步清查影響419名客戶、涉及427筆交易

永豐銀行11月3日發生客戶帳戶未經本人操作便遭轉帳事件，該行證實「新網銀交易系統」程式異常，造成部分帳戶不明轉出款項。金管會初步清查，共有419名客戶受影響，涉及427筆交易，轉出金額超過4,000萬元，款項均流向同一銀行的同一收款帳戶。永豐銀行已暫停相關服務、下架新版行動銀行App，並以代墊方式全數返還款項及手續費，目前仍在釐清程式異常原因。詳全文

Binance揭露63億美元竊案攻擊鏈，駭客以假面試誘使工程師執行惡意程式

加密貨幣交易平臺Binance公布約63.4億美元資產遭竊事件的初步調查結果，指出攻擊者自6月起逐步滲透內部系統，先利用遭竄改的Homebrew安裝程式入侵一名錢包工程師電腦，取得Binance部分工程師資訊，9月再假冒企業主管，以求職面試為由，誘騙另一名工程師下載含惡意程式的程式碼作業。10月20日，攻擊者進一步濫用內部AI工具控制其他工程師電腦，竊取容器部署憑證，並於29日入侵錢包簽章服務，繞過正常提款流程轉走多種加密資產。Binance已凍結或攔截約28.5億美元資產，並重建受影響系統、撤銷憑證，承諾承擔用戶損失。詳全文

XCPE殭屍網路控制逾130萬臺Android裝置，Google指控製造商刻意預載後門

Google威脅情報團隊（GTIG）揭露XCPE殭屍網路控制全球逾130萬臺Android設備，主要為電視機上盒。Google發現中國設備製造商Videostrong刻意在出廠韌體預載後門，並向犯罪合作夥伴販售裝置存取權限，協助部署對方開發的惡意模組，利用受感染裝置從事廣告詐欺，或將其變成常駐代理網路節點。由於XCPE後門預載於裝置韌體，即使使用者將其移除，裝置重新開機後仍會自動重新安裝，因此單純移除後門程式，仍無法徹底清除感染。Google已採取法律及技術措施瓦解XCPE使用的C2基礎設施，並禁止Videostrong製造、銷售經Google認證的Android裝置，或向其他認證廠商供應軟體。詳全文

XCPE殭屍網路波及臺灣近9萬臺Android設備，感染數量排名全球第5

Google揭露XCPE殭屍網路事件後，資安業者TrendAI統計今年6月3日至10月1日觀測到的感染情況，全球約147萬臺Android設備遭XCPE殭屍網路感染，分布於170多個國家及地區，其中臺灣約有8.8萬臺，排名全球第5。受感染設備以Android電視機上盒為主，也包括投影機等產品。攻擊者利用這些設備提供常駐代理服務，轉售用戶網路連線給第三方，並從事廣告詐欺。詳全文

新航受Amadeus資安事件波及，約4.6萬筆訂位紀錄可能外洩

新加坡航空證實受到航空資訊系統業者Amadeus資安事件波及，約4.6萬筆旅客訂位紀錄可能遭未授權存取，包含姓名、訂位代號、航段及艙等，其中620筆另涉及電子郵件、電話、旅行證件及KrisFlyer會員編號。新航強調，自身IT系統並未遭入侵，信用卡及銀行帳戶資料也未外洩。​詳全文

日本三得利集團雲端服務遭駭，員工、合作夥伴及客戶等逾10萬人個資外洩

日本飲料製造商三得利集團證實其使用的外部雲端服務遭第三方未授權存取，攻擊者下載含有員工、合作夥伴、求職者及客戶個資的檔案，逾10萬人受影響。三得利於10月28日發現異常並阻斷存取，初步調查截至11月1日，外洩資料包括約9萬名員工姓名及電子郵件、7,323筆顧客郵件地址，以及7,173名求職者的聯絡資訊等。該公司表示外洩資料不含信用卡等付款資訊，已通報日本個人資訊保護委員會，並將通知受影響者，目前尚未發現個資遭不當利用。詳全文

甫修補的WordPress漏洞消息公布，9分鐘後隨即出現嘗試利用活動

WordPress於7.1.4版安全更新中修補22個漏洞，資安業者Wordfence在更新公告發布後僅9分鐘，就偵測到攻擊者嘗試利用遠端程式碼執行漏洞CVE-2026-119977，不到21小時便累積逾1.85萬次攻擊請求。該漏洞源於完整套件更新時，暫存資料夾可能對外開放，攻擊者可趁更新過程存取安裝程式，進而執行伺服器程式碼，雖然利用此漏洞須具備特定條件，攻擊者仍可透過自動化反覆探測提高成功機會，因此，Wordfence呼籲網站管理員儘速更新。詳全文

美國CISA警告WordPress資安漏洞遭積極利用

美國網路安全與基礎設施安全局（CISA）於11月3日將WordPress核心漏洞CVE-2026-119977列入已遭利用漏洞清單（KEV），確認已出現攻擊活動。該漏洞屬於檢查時間與使用時間（TOCTOU）競爭條件問題，CISA要求美國聯邦機構於11月6日前完成修補。詳全文

Hugging Face遭惡意模型濫用，31個儲存庫散布挖礦程式與後門

資安業者Pluto Security揭露濫用Hugging Face模型分享平臺的惡意軟體活動，攻擊者透過7個帳號發布31個偽裝成Qwen2測試模型的惡意儲存庫，累計下載超過3.2萬次。攻擊者濫用Transformers的trust_remote_code=True設定，讓使用者載入模型時執行內藏的Python程式碼，植入加密貨幣挖礦程式及後門。首波帳號遭下架後，攻擊者又以新帳號發布19個惡意儲存庫，並加入反向Shell與容器逃逸程式，企圖取得主機層級存取權限。受害環境包括自架AI推論伺服器、租用GPU及共享研究工作環境。​詳全文

AI工作流程平臺Trigger.dev遭駭，攻擊者未經授權存取部分客戶環境變數

AI工作流程平臺Trigger.dev於11月1日證實發生資安事件，攻擊者未經授權存取部分客戶組織的環境變數，這些設定可能包含API金鑰、存取權杖及資料庫密碼，若遭竊取，可能進一步危及客戶連接的外部服務。Trigger.dev已封堵攻擊途徑，並通知受影響客戶採取補救措施，但尚未公布入侵方式、受影響組織數量及實際遭存取的資料，也無法確認Secret變數是否遭竊。該公司將此事件列為已解決，後續將公布更多調查資訊。詳全文

Drupal揭露已遭利用的Commerce Core模組重大漏洞

10月28日開源內容管理系統Drupal開發團隊提出警告，電商模組Commerce Core存在已遭利用的存取控制繞過漏洞CVE-2026-118539，攻擊者可利用此漏洞存取原本受到限制的路徑及欄位，進而對電商網站的財務造成影響，在Drupal的嚴重程度評分裡，該漏洞被評為21分（滿分25分），被列為具有高度重大等級風險（Highly Critical），呼籲用戶應儘速套用新版程式。詳全文

TeamViewer修補反向攻擊漏洞，受控端可藉遠端連線攻擊控制端

遠端桌面軟體TeamViewer修補高風險漏洞CVE-2026-111585，CVSS評分8.8。不同於一般遠端存取攻擊由控制端入侵受控端，此漏洞允許受控端反過來攻擊發起連線的控制端，源於遠端畫面解壓縮程序的整數溢位，攻擊者可傳送特製畫面資料，造成控制端緩衝區溢位，導致程式當機，研究人員已在Windows環境驗證可利用此漏洞執行任意程式碼，但尚須搭配受控端本機元件。15.83版以前的多種TeamViewer用戶端均受此漏洞影響，建議儘速更新至修補版本。詳全文

AI應用開發平臺Langflow修補2項重大漏洞，攻擊者可繞過身分驗證或遠端執行程式碼

IBM揭露開源AI應用開發平臺Langflow存在多項資安漏洞，其中兩項重大漏洞CVE-2026-93680及CVE-2026-110186的CVSS評分均達9.8分，分別涉及身分驗證繞過及未經驗證的遠端程式碼執行，後者可透過模型上下文協定（MCP）工具列舉功能發動攻擊。此外，另有漏洞可讓低權限使用者在伺服器執行作業系統指令，以及竊取API憑證。受前述漏洞影響的版本為1.0.0至1.12.8，維護團隊已發布修補完成的1.13.0版。詳全文

NetApp揭露旗下多款儲存產品受Linux核心TCP漏洞影響

NetApp於11月2日公告旗下多款儲存產品受到Linux核心TCP漏洞CVE-2026-98432影響，涵蓋AFF、ASA、FAS系列的BMC控制器與Service Processor、E系列SANtricity OS、StorageGRID及ONTAP Select Deploy管理工具。前述漏洞存在於IPv4 TCP連線處理程序，可能造成敏感資訊外洩、資料遭新增或竄改，甚至服務阻斷。NetApp尚未公布完整修補版本，建議用戶確認設備版本、追蹤後續更新，並限制管理介面僅能由可信任的管理網路存取。詳全文

Google釋出Chrome 157修補213個資安漏洞，其中7個為重大等級

Google於11月3日發布Chrome 157，針對電腦版及Android版共修補213個資安漏洞，其中7個列為重大等級，涉及Dawn、ANGLE、WebGL、Prerender及Geometry等元件，以記憶體釋放後再存取（Use After Free）占4個最多，另有2個緩衝區溢位及1個記憶體破壞漏洞。Windows及macOS應升級至157.0.8103.38或157.0.8103.39版，Linux及Android則更新至157.0.8103.38版。詳全文

11月Android例行安全更新修補216個漏洞

11月2日Google發布每月Android例行更新，一共修補216個資安漏洞，包含23個為重大等級、193個高風險等級。其中119個漏洞存在Android核心元件，其餘97個存在於第三方元件。這次修補的Android核心元件漏洞，大部分與Framework和System有關，分別有65個與53個，最後一個存在於Android執行環境；而在第三方元件部分，以Linux核心的33個最多，其次是聯發科元件，有30個，這次Google也修補Imagination Technologies、高通、Arm、紫光元件有關的弱點。詳全文

2026年第3季DDoS攻擊次數年增208%，短時間攻擊考驗企業防禦能力

網路服務與資安業者Cloudflare公布2026年第3季DDoS威脅報告，旗下全球網路共攔截1,820萬次網路層分散式阻斷服務（DDoS）攻擊，較去年同期增加208%。其中96%的攻擊持續不到10分鐘，98%的攻擊流量低於1Gbps，短時間攻擊使企業難以依賴人工即時應變。Cloudflare指出，這類攻擊具有DDoS出租服務的特徵，主要鎖定電腦軟體、博弈及資訊科技產業。另一方面，超過1Tbps的超大型攻擊較前一季減少近69%，DNS放大攻擊則增加215%。詳全文

雲端憑證遭竊成LLMJacking攻擊入口，企業AI模型資源被盜用牟利

Google旗下資安團隊Mandiant揭露2026年多起大型語言模型資源盜用事件調查結果，這類攻擊稱為LLMJacking，攻擊者主要竊取企業雲端存取憑證、服務帳號金鑰及AI模型API金鑰，再未經授權啟用並大量呼叫企業AI模型服務，部分受害者單日產生逾10萬美元費用，累計損失甚至達100萬美元，在其中一起事件裡，8小時內攻擊者便呼叫模型API超過50萬次，並透過非法代理服務轉售存取權限牟利。研究人員建議企業強化雲端身分權限管理，監控API用量及異常費用，並設定使用配額與警示機制。詳全文

PQC導入TLS面臨效能挑戰，交握延遲增加、防火牆相容性問題浮現

資安業者Red Sift分析指出，後量子密碼學（PQC）導入TLS雖然CPU運算負擔有限，但較大的金鑰交換資料可能增加網路傳輸延遲，Google Chrome導入混合式PQC金鑰交換後，TLS交握延遲增加約4%，部分防火牆也曾因無法正確處理較大的交握封包或新欄位而造成連線失敗。研究顯示，PQC可能使憑證鏈及交握資料量增加，影響既有網路設備與IoT裝置，反映企業進行PQC轉型時，除了演算法效能，也須考量既有設備的硬體資源及網路環境限制。詳全文

Aikido併購Cyberly及OutKept推出Noon資安平臺，整合AI工具管理與員工安全防護

比利時資安業者Aikido Security今年9月先後併購波蘭資安業者Cyberly及比利時業者OutKept，整合雙方技術推出員工資安平臺Noon，將業務從軟體及雲端安全擴展至員工防護。Noon整合電子郵件安全、裝置防護、AI工具使用管理及社交工程攻擊模擬，可盤點員工使用的AI模型與MCP伺服器，並設定敏感資料使用政策，也能偵測釣魚郵件、模擬深偽語音及簡訊詐騙，搭配員工教育訓練。這套平臺也能針對員工裝置上的惡意軟體套件、擴充功能、AI代理技能、網站和應用程式提供防護，並與Microsoft 365、Google Workspace、Slack及Microsoft Teams等企業常用服務整合。詳全文