資安新聞焦點

● OpenSSH修補可利用長密碼繞過身分驗證的資安漏洞 ● 身分驗證服務公司WorkOS遭AI資安框架ARTEX攻擊 ● Node-RED重大漏洞被用於試圖部署後門程式 ● 多家AI開發平臺接連發生資安事件 ● Google發表資安表現創新高的Gemini 4 Carbon

OpenSSH發布緊急更新，修補可利用長密碼繞過身分驗證的資安漏洞SSHole

OpenSSH開發團隊於11月5日發布緊急更新10.6p2，受到資安界高度關注，原因是其中修補能透過長密碼利用的身分驗證繞過漏洞SSHole（CVE-2026-123158），問題源自OpenSSH與musl C程式庫之間的密碼驗證處理方式。攻擊者只要透過SSH連線，在密碼欄位輸入長度介於257至1,024個字元的任意字串，就可能登入原本沒有設定密碼的帳號，CVSS嚴重程度評分為8.1。通報漏洞的資安研究公司Wakefield指出，該問題的形成，原因與OpenSSH、musl、Alpine Linux專案的防護機制調整有關。詳全文

Debian、Ubuntu修補高風險套件管理工具APT漏洞，中間人可替換套件取得root權限

Debian與Ubuntu發布APT套件管理工具安全更新，修補編號CVE-2026-109518的身分驗證繞過漏洞。攻擊者若能控制系統與套件伺服器之間的HTTP傳輸流量，可在特定條件下替換已通過驗證的套件，誘使系統安裝惡意程式，以root權限執行任意程式碼。其他採用APT的Linux衍生發行版，也可能受到影響。漏洞利用需要搭配特定條件，攻擊者必須能操控HTTP流量，同時目標系統也須正在安裝套件，並啟用下載出現異常時再次嘗試執行的設定。詳全文

身分驗證服務公司WorkOS資料外洩，攻擊者透過AI滲透測試框架ARTEX得逞

身分驗證服務公司WorkOS於11月2日指出，該公司在10月30日發現內部銷售團隊使用的應用程式遭到未經授權存取，攻擊者取得部分客戶關係管理系統（CRM）及客戶支援資料。WorkOS表示，目前尚未發現WorkOS應用程式資料遭到存取的跡象，也沒有證據顯示正式環境服務遭到入侵或受到影響。WorkOS特別提及，攻擊者利用AI輔助的攻擊性資安框架，WorkOS創辦人Michael Grinich更直接透露，此AI框架就是近期被用於多起攻擊事件的ARTEX。詳全文

熱門遊戲《勝利女神：妮姬》遭遇供應鏈攻擊，玩家電腦恐被植入竊資軟體

韓國遊戲公司Shift Up開發的《勝利女神：妮姬》電腦版遊戲啟動器，於11月4日傳出發生供應鏈攻擊，駭客竄改遊戲啟動器使用的JavaScript檔案，藉此散布具備遠端控制及資料竊取能力的惡意程式。攻擊者可利用植入的後門執行遠端命令、瀏覽及下載本機檔案，並竊取遊戲帳號與瀏覽器儲存的敏感資訊，後續遊戲發行商Level Infinite已於11月4日凌晨發布用戶端修正及更新，目前仍在調查事件影響範圍。資安研究人員MotherSphere指出，攻擊者於9月底入侵遊戲發行商CDN，竄改JavaScript檔案內容。詳全文

Chainalysis遭駭波及使用者密碼與權杖，暫停加密貨幣交易監控服務

區塊鏈分析公司Chainalysis遭駭客入侵，攻擊者存取該公司的內部系統及工具。攻擊者曾存取平臺使用者的密碼雜湊值及有效權杖，部分客戶的密碼也在此次攻擊中外洩。該公司也因偵測到異常活動，暫停加密貨幣交易監控產品KYT等多項服務。Chainalysis於10月發現這起入侵事件，並於10月30日首度對外揭露，攻擊者使用「攻擊性代理技術」（Offensive Agentic Techniques）從事活動，11月4日證實部分帳號資訊遭未經授權存取。詳全文

cPGuard更新通道遭到入侵，近3千臺伺服器被植入惡意程式

軟體開發商OpsShield於11月3日指出，攻擊者入侵其帳務及授權伺服器，取得軟體更新所需的存取金鑰，進而竄改旗下伺服器資安防護軟體cPGuard更新內容，透過軟體更新通道向客戶伺服器散布惡意程式，約有2,950臺伺服器下載並執行遭竄改的更新檔而中招。除此之外，攻擊者也從OpsShield帳務系統竊得約7,900筆客戶帳號資料。對此，OpsShield在攻擊者推送惡意更新的半天內察覺此事，阻止惡意更新散布，並對於被入侵的帳號採取保護措施。詳全文

NTT Docomo線上服務遭駭，恐洩露30萬筆用戶個資

日本行動電信公司NTT Docomo公告網站及My docomo服務遭到駭客攻擊，可能有多達30萬筆用戶個資外洩，包括電話號碼等資料。NTT Docomo在11月4日確認Docomo線上商店及My docomo服務遭到第三方人士未經授權存取，為防止損害擴大及進行調查，該公司在11月5日凌晨暫停Docomo線上商店及My docomo各項服務。後續調查顯示，部分客戶資訊因此外洩。可能外洩的資訊達30萬筆，包括姓名、地址、出生日期、手機號碼、聯絡電話等。詳全文

Node-RED重大漏洞出現攻擊嘗試，駭客企圖執行Linux惡意程式並部署後門

資安漏洞情報廠商VulnCheck揭露針對低程式碼開發工具Node-RED重大漏洞CVE-2026-58115的攻擊活動，攻擊者利用該漏洞嘗試下載並執行Linux惡意程式，後續還觀測到攻擊者試圖部署後門程式，以便持續執行遠端命令的攻擊手法。攻擊者利用Node-RED管理介面未強制要求身分驗證的問題，部署含有命令執行節點的惡意流程，讓系統自動執行下載指令。研究人員自10月30日起，觀測到來自同一IP位址對Node-RED的16次嘗試攻擊，這些攻擊採用了不同的惡意程式下載方式。詳全文

多家AI開發平臺接連發生資安事件，遭竊金鑰被用來大量呼叫AI模型

雲端資安公司Wiz調查10月接連發生的AI程式開發及部署平臺資安事件，發現其中部分事件的攻擊者曾存取客戶儲存在平臺的環境變數及敏感憑證。由於這些環境變數可能包含AI服務API金鑰等敏感資訊，一旦平臺遭入侵，攻擊者便可能利用遭竊金鑰，未經授權使用客戶的AI服務。其中兩起企業AI服務金鑰濫用案例顯示，在平臺業者通報的憑證遭存取時間點之後，不到30分鐘，攻擊者便開始測試金鑰是否有效，數天後更大量呼叫AWS提供的AI模型服務Amazon Bedrock的API。詳全文

英國情報機構GCHQ管理出包，數千個儲存裝置下落不明

英國調查權力專員辦公室（IPCO）揭露，英國情報機構政府通訊總部（GCHQ）多年來持續清查內部可移除式儲存媒體（removable media）的去向，但估計仍有數千個裝置下落不明，其中部分可能存有與情報監察及調查活動相關的資料。這些裝置包括USB隨身碟、外接硬碟、光碟及記憶卡等，一旦落入他人手中，其中的資料可能遭到讀取。不過，IPCO報告並未指出這些裝置已遭竊或資料已經外洩。​詳全文

遠東生技電子商城委外廠商發生資安事件，訂單及個資是否外洩仍待釐清

11月5日興櫃公司遠東生技（6886）在股市公開資訊觀測站發布重大訊息，電子商城平臺委外服務廠商順立智慧（Cyberbiz）發生資安事件，資料庫部分資料遭未經授權存取，其中包含遠東生技電子商城的訂單及個人資料，此次事件對公司財務及業務尚無重大影響，但目前尚無法確認相關資料是否受到影響，以及可能涉及的範圍，遠東生技要求順立儘速釐清，並透過電子商務平臺會員EDM、電子商城網站最新消息及社群平臺發布防詐騙提醒。詳全文

騰勢委外線上服務系統遭異常存取，已啟動資安應變並調查影響範圍

興櫃保健食品公司騰勢（7889）11月5日於股市公開資訊觀測站發布重大訊息，委外線上服務系統發生異常資料存取事件。該公司接獲委外服務廠商通知，發現其服務系統近期出現異常資料存取狀況，廠商發現後已阻擋相關異常存取行為。騰勢接獲通知後立即啟動資安事件應變與調查機制，並要求委外服務廠商儘速確認受影響的系統及資料範圍，同時採取必要防護措施。目前公司初步評估，此事件對營運及財務沒有重大影響。詳全文

OpenAI發表GPT-6 Cyber，找出Firefox 81個未知高風險漏洞

OpenAI發表專為資安研究開發的AI模型GPT-6 Cyber，已在Firefox瀏覽器中發現81個先前未知的高風險漏洞，並針對Linux核心的948個漏洞開發出可實際運作的攻擊程式。由於GPT-6 Cyber具備更強大的漏洞利用能力，OpenAI依據其準備度框架（Preparedness Framework），將模型的資安能力風險等級列為Critical，高於前一代GPT-5.6 Cyber的High。為降低遭到惡意利用的風險，GPT-6 Cyber初期僅透過API及Codex提供給部分經核准的客戶，未來將逐步擴大至所有Daybreak Red客戶。詳全文

Google發表Gemini 4 Carbon，綜合能力評測登頂、資安表現創新高

Google發表新一代AI模型Gemini 4 Carbon，在第三方評測機構Artificial Analysis最新的綜合能力指數中，以59分排名第一，並在漏洞發現、利用驗證及修補等3項資安基準測試中，創下最佳成績。考量模型強大的資安能力及潛在濫用風險，Google將先開放部分受信任的資安防禦人員使用，再逐步擴大至一般開發者、企業及消費者。Google表示，Gemini 4 Carbon能持續數天處理複雜工程問題，包括在大型程式碼庫中追查錯誤根源、嘗試不同解決方法，以及產生修補程式。詳全文

AWS測試AI代理自主尋找及利用漏洞，37個CVE有33個成功

雲端服務廠商AWS公布旗下自主滲透測試AI代理AWS Security Agent的測試結果，該公司使用2025至2026年間揭露的37個CVE漏洞進行測試，AI代理成功利用其中33個，並取得用來驗證漏洞利用結果的測試標記（Flag），成功率達89.2%。這項研究採用類似搶旗賽（CTF）的方式進行測試，研究人員在隔離環境中，將存在真實軟體漏洞的系統製作成測試目標，並在必須利用指定漏洞才能存取的位置放入測試標記。AI代理從未登入或僅具低權限的狀態開始偵察、尋找漏洞及利用方法，設法取得標記。詳全文

資料安全廠商Sentra獲1.5億美元投資，擴大AI代理安全業務

企業資料安全廠商Sentra於11月4日宣布，該公司已獲得1.5億美元投資，由美國金融服務業者Capital One旗下創投部門Capital One Ventures領投。Sentra計畫利用這筆資金持續開發AI代理資料安全相關產品，並拓展銷售通路及新市場。Sentra成立於2021年，在美國紐約及以色列特拉維夫設有總部。科技媒體SiliconANGLE指出，Sentra曾在2025年4月完成5,000萬美元B輪募資，此次為C輪募資，累計募資金額已超過2.5億美元。詳全文

1Password擴大AI代理登入支援，Muse、Grok Bot率先整合

密碼管理公司1Password發表1Password for Agents，將AI代理的登入支援從Claude擴大至其他服務。Meta Muse與SpaceXSI Grok Bot的整合功能將在未來幾天陸續推出，Anthropic Claude Duet、OpenAI ChatGPT Work及dots也列入後續支援名單。經過使用者同意後，1Password會直接將密碼或動態密碼（OTP）填入網站，讓代理繼續執行任務。不過，代理無法讀取密碼，也不能因此取得密碼庫中其他帳號的登入資料。詳全文

英國NCSC預警2028年前AI惡意程式恐用於勒索軟體攻擊，威脅關鍵基礎設施

英國國家網路安全中心NCSC發布AI網路入侵威脅評估，認為2028年前，攻擊者極可能使用AI驅動的惡意程式，對英國關鍵基礎設施發動勒索軟體攻擊。NCSC指出，AI可能讓攻擊者更快找出並利用系統漏洞，擴大網路攻擊的規模與速度。即使失去原有的入侵管道，攻擊者也可能以較低成本找到其他入侵途徑。換言之，AI不一定帶來全新的攻擊手法，卻可能讓既有的網路攻擊變得更有效率。詳全文

Anthropic警告AI恐具備自我複製能力，藉物聯網裝置散布

Anthropic近日研究發現，未來幾個月內，小型AI模型可能就會演化出能在商用物聯網裝置自我複製擴散的能力，形成一種新的AI蠕蟲，且更聰明、更難以封鎖。該公司從市面上買來15個白牌Android智慧電視機上盒，架設並執行Gemma4-26B-A4B模型，每秒耗用0.39個token，每臺裝置執行模型的2個層級。研究人員設定了可能實作的AI威脅模式，然後測試小模型能否在不熟悉的硬體上自主推論，以及能否串聯組合成一整隊機器上的複製過程。詳全文

AI網攻兵臨城下，從臺灣受駭事件看AI自主攻擊掀起的典範轉移

資安公司Dream Security在8月12日揭露一份AI自主攻擊行動的完整工作資料，他們從1,395個工作檔案還原出一場為期約4天、歷經12波攻擊行動的AI網攻事件，並且首度披露單一波攻擊行動部署多達8個AI代理同時執行任務，Dream Security將這場行動描述為近自主式攻擊（near-autonomous），過程中，AI代理自行找到開發文件，再用LLM分析程式碼，並使用貝氏後驗機率進行自主決策。若是攻擊失敗，AI還會自己研究下一招。詳全文