【資安日報】11月11日，駭客利用大數據平臺Qubole被竊憑證，入侵數十家企業AWS環境竊取資料

● 駭客利用大數據平臺Qubole被竊憑證，入侵數十家企業AWS環境 ● 日本警方查獲車載偽基地臺，逮捕涉嫌干擾手機通訊的男子 ● netiCRM服務商遭駭，超過30個非營利組織示警捐款人個資恐外洩 ● 微軟發布11月例行更新，修補1,094個資安漏洞 ● 韓國海運業者演練船舶資安事故，模擬供應鏈攻擊造成船岸通訊中斷

駭客利用大數據平臺Qubole被竊憑證，入侵數十家企業AWS環境竊取資料

雲端資安業者Sentra與Wiz於11月9日揭露一起供應鏈攻擊事件，駭客使用大數據處理與資料湖平臺Qubole的AWS身分與存取管理（IAM）憑證，利用企業先前授予Qubole的跨帳戶存取權限，入侵數十家企業的AWS環境。Wiz指出，攻擊者搜尋企業的S3儲存桶，讀取AWS Secrets Manager、Parameter Store及Lambda環境變數中的密碼與金鑰。Sentra表示，攻擊者在7分鐘內便取得約100組密碼與金鑰，並從受害企業的S3儲存桶大量下載資料，其中一家企業就有數百萬個檔案遭竊，研究人員未觀察到資料寫入或刪除行為，研判攻擊者可能以收集資料為目的。詳全文

日本宜得利系統遭非法存取，可能外洩企業會員、客戶個資近3,800萬筆

日本居家用品連鎖宜得利（Nitori）集團於11月9日公告客戶系統遭人未經授權存取，導致個人與企業會員，以及線上商店消費者的個資可能外洩，規模最高達3,762萬筆。宜得利於11月6日確認系統遭第三方未經授權存取，可能外洩宜得利線上購物網（Nitori Net）及網路商城官方商店的購物客戶資料，包括會員編號、姓名、電子郵件地址、住址、出生日期等。另外還包括法人會員資訊，例如公司名、部門、公司地址、電話、代表者姓名、主管姓名、電子郵件地址與電話等。詳全文

日本警方查獲車載偽基地臺，逮捕涉嫌干擾手機通訊的男子，並追查釣魚簡訊活動

日本總務省關東綜合通信局於11月9日公告查獲一起車載偽基地臺案件，警視廳於11月7日逮捕一名31歲中國籍男子，涉嫌在停放路邊的車輛內操作偽基地臺，發射電波干擾NTT DOCOMO的行動通訊。這類偽基地臺可冒充合法電信基地臺，向附近手機發送釣魚簡訊，誘騙民眾提供信用卡資料及驗證碼。日本警方正調查嫌犯是否涉及東京觀光區自2025年1月起出現的中文可疑簡訊，以及相關信用卡詐騙案件。詳全文

N-able遭揭露逾30個零時差漏洞，緊急關閉全球N-central雲端服務，要求本地建置客戶停機

IT管理軟體業者N-able旗下遠端監控與管理平臺N-central遭研究人員揭露33個零時差漏洞，統稱Able2Shell，涵蓋身分驗證繞過、憑證外洩及遠端程式碼執行等弱點，部分漏洞可串聯取得管理員及伺服器root權限。N-able於11月9日緊急關閉美洲、歐洲及亞太地區的全球代管服務，並要求本地部署客戶暫時關閉伺服器。原廠表示已著手開發修補程式，目前尚無漏洞遭實際利用的跡象。詳全文

微軟發布11月例行更新，修補1,094個資安漏洞

11月10日微軟發布本月例行更新（Patch Tuesday），總共修補1,094個由該公司登記CVE編號的漏洞，相較於上個月1,413個明顯減少。若加上另外165個非微軟產品漏洞，這次修補的弱點達到1,259個。從漏洞涉及的產品來看，Windows與Office不意外占大多數，分別為726與174個；SQL Server、SharePoint Server、Exchange Server分別為59個、27個，以及9個。本次微軟也為開發工具修補53個弱點、Azure服務修補20個弱點。​詳全文

微軟警告Outlook零時差漏洞已遭到利用

微軟於11月例行安全更新中修補Outlook的零時差漏洞CVE-2026-124194，並確認已有攻擊者利用，攻擊者可寄送特製郵件檔案，引誘使用者透過Outlook開啟，使軟體在未顯示外部內容警告的情況下，連線至攻擊者控制的網路位置，進而洩漏使用者NTLMv2雜湊資料，而這些資訊可能被用於冒充身分，CVSS嚴重程度評分為6.5。詳全文

CISA警告6個弱點遭積極利用，其中包含Outlook、Chrome零時差漏洞

美國CISA於11月10日將6個已遭積極利用的漏洞列入已知遭利用漏洞（KEV）清單，包括微軟Outlook及Google Chrome零時差漏洞，以及Cisco BroadWorks、Openwave Webtop與Barracuda產品的弱點。其中，Barracuda的兩個漏洞可串聯利用，修補期限較緊迫，要求聯邦機構於11月13日前完成，其餘漏洞則須於11月24日前修補。詳全文

CISA警告SSHole等4個資安漏洞已遭積極利用

美國CISA於11月9日將4個已遭積極利用的漏洞列入已知遭利用漏洞（KEV）清單，分別影響GPUStack、FreeSWITCH、OpenSSH及IBM Aspera Faspex，要求美國聯邦機構於11月12日前完成修補。這些漏洞當中，OpenSSH漏洞SSHole特別受到關注，上週開發團隊公布後半天之內，資安公司Previdian即偵測到漏洞利用活動。詳全文

Fireworks AI遭駭波及Notion，部分AI對話紀錄遭未授權存取

AI模型基礎設施業者Fireworks AI遭駭，連帶波及雲端協作平臺Notion，約1%工作空間涉及的Notion Insights AI對話紀錄遭未授權存取，內容包含模型輸入與輸出，可能涉及使用者輸入的敏感資訊。Fireworks方面則確認入侵事件分為兩波，分別發生於10月及11月初，攻擊者取得部分客戶的API金鑰、權杖、帳單與付款資料、資料集及不完整的模型權重。Notion已切斷與Fireworks的連線並停用Insights功能，提醒曾在AI對話中輸入密碼或API金鑰的用戶儘速更換。​詳全文

Ethersphere發布流程遭入侵，惡意版bee-js與Swarm Desktop經官方管道散布

去中心化儲存網路Swarm開發組織Ethersphere遭供應鏈攻擊，攻擊者利用遭入侵的bee-worker帳號，在GitHub發布植入惡意程式碼的bee-js 13.3.0套件與桌面管理程式Swarm Desktop 0.56.2，後續載入的惡意程式會竊取節點錢包金鑰及解鎖密碼，並依作業系統植入遠端控制後門。值得注意的是，惡意套件附有有效的軟體來源證明，macOS版桌面程式也通過蘋果公證，甚至可能透過自動更新散布。Ethersphere已撤回受污染版本，建議用戶更新至乾淨版本並更換可能外洩的金鑰與憑證。詳全文

WorkOS資料外洩事故出現新進展，AI滲透測試框架突破測試環境釀禍

上週身分驗證服務公司WorkOS發生資料外洩事故，內部銷售應用程式遭未經授權存取，攻擊者疑似使用AI滲透測試框架ARTEX自動化執行。事隔數日此事出現新變化，有研究人員出面承認，此事故是他們透過ARTEX執行資安基準測試過程當中，因該AI代理意外逃脫隔離測試環境而造成。WorkOS資安團隊與第三方鑑識團隊分析研究人員提供的技術資料，並與WorkOS內部系統記錄交叉驗證，確認研究人員說法。該研究人員表示已將AI代理取得的WorkOS資料刪除，並強調未提供給他人使用。詳全文

駭客竄改CWP網頁伺服器程式散布新型後門，全球逾34萬臺CWP主機暴露網際網路恐成攻擊目標

中國資安業者奇安信威脅研究團隊XLab揭露新型Linux後門CWPdoor，攻擊者利用偽裝成軟體更新的指令碼，竄改開源網頁伺服器管理工具Control Web Panel（CWP）內建的cwpsrv程式，植入可遠端執行命令的後門。CWPdoor平時不會顯現異常，只有收到帶有特定加密HTTP標頭、並通過時間戳記及RSA簽章驗證的請求，才會執行攻擊指令。此外，該後門程式還會干擾伺服器記錄模組，隱藏相關活動。XLab指出，全球逾34萬個CWP主機實例暴露於網際網路，恐成為攻擊目標，且已有疑似受害樣本出現，顯示攻擊可能已實際發生。詳全文

捐款人個資恐外洩！netiCRM服務商遭駭，公督盟、司改會等超過30個非營利組織接連示警

臺灣非營利組織使用的捐款管理系統netiCRM，其服務商網絡行動科技的部分伺服器，於11月8日晚間至9日凌晨遭駭客入侵，超過30個公益團體，包括公民監督國會聯盟、民間司法改革基金會及婦女新知基金會等，陸續發布警訊，提醒捐款人留意假冒組織名義的詐騙。網絡行動科技表示，攻擊者取得該公司內部程式碼管理系統的一組帳號密碼，並利用系統漏洞取得一臺伺服器管理權限，該公司將客戶網站後臺帳號及寄信用郵件帳號設定視為可能外洩。該公司已切斷攻擊連線、修補漏洞並更換伺服器金鑰與系統密碼，也將重建客戶網站環境，並在後續更新指出，遭入侵的是內部技術管理主機，並非存放捐款紀錄的系統主機，目前尚未發現捐款人資料遭竊跡象。詳全文

崇越子公司安永生活電商委外服務商發生異常資料存取，清查受影響範圍

11月9日半導體材料整合服務商崇越（5434）於股市公開資訊觀測站發布資安重訊，旗下子公司安永生活的電商平臺委外服務商順立智慧，近期發生異常資料存取情形。安永生活接獲通知後，已於其電商平臺發布公告，提醒消費者提高防詐騙警覺，同時著手釐清可能受到影響的消費者及資料範圍，初步評估此事件對安永財務及業務並無重大影響。詳全文

SAP發布11月例行更新，修補4個滿分漏洞

企業軟體業者SAP於11月10日發布例行安全更新，修補35個應用系統漏洞及4個在GitHub公布的程式庫弱點，並更新3份既有資安公告。其中有4個漏洞的CVSS評分達10分滿分，分別影響SAP NetWeaver AS ABAP、SAP Web Dispatcher、SAP Gateway及SAML2 Service Provider，攻擊者皆不需事先通過身分驗證，即可能造成任意程式碼執行、未授權操作或繞過身分驗證。此外，本次也修補3個CVSS 9.9分漏洞，涉及NetWeaver Knowledge Management、ABAP Application Server及S4CRM。詳全文

Apple發布iOS、iPadOS 27.2.1與18.7.12版，緊急修補10個資安漏洞

Apple於11月9日發布iOS、iPadOS 27.2.1及18.7.12版安全更新，合計修補10個資安漏洞，主要涉及iMessage群組訊息、AirPlay配對及Bluetooth連線安全。其中，iMessage的兩個漏洞分別可能讓攻擊者未經邀請加入群組並接收訊息，或讓新加入的成員讀取加入前的歷史訊息；AirPlay與Bluetooth漏洞則可能被用來繞過配對驗證，甚至在無須使用者互動下完成裝置配對。此外，27.2.1版也修補已遭實際利用的Brotli越界寫入漏洞CVE-2026-111497。詳全文

美國司法部成立AI犯罪專責單位，打擊詐騙及其他非法活動

美國司法部於11月10日宣布成立超級智慧任務編組（DOJ-SITF），專責打擊利用人工智慧（AI）從事詐騙、駭客攻擊及其他非法活動的個人、犯罪組織與外國勢力。該單位由司法部副部長Stanley Woodward及副助理部長Stephen Weiss領導，將與美國政府的超級智慧部隊（SI Force）等單位合作，辨識並追究利用AI攻擊美國民眾、關鍵基礎設施或危害國家安全者的法律責任。此外，美國司法部也將運用法律工具嚇阻AI濫用，強化風險通報及企業內部控管。不過，美國司法部目前尚未公布前述新單位的具體人力規模、執法作法及推動時程。詳全文

韓國聯合5家海運業者演練船舶資安事故，模擬供應鏈攻擊造成船岸通訊中斷

韓國網際網路振興院（KISA）於11月3日聯合5家海運及船舶管理業者，舉行船舶資安事件應變演練，模擬攻擊者假冒港務機關寄送惡意郵件，再利用遭感染的合作廠商電腦竄改船舶軟體更新檔，導致船上電腦及通訊伺服器感染惡意程式，造成船岸通訊中斷。此次演練分為4個階段，涵蓋可疑郵件辨識、惡意程式感染應變、利用AI攻擊工具入侵軟體供應鏈，以及政府機關協助事件分析與調查。KISA指出，隨著衛星通訊技術發展，以及船舶遠端支援服務的應用日益普及，航運業面臨惡意電子郵件、船舶設備及軟體供應鏈攻擊等資安威脅，而船舶資安事件不僅可能造成船上資訊系統故障，還可能影響船舶營運及物流服務。詳全文

澳洲更新關鍵基礎設施資安指引，強化網路隔離措施並納入AI風險管理建議

澳洲內政部轄下關鍵基礎設施安全中心（CISC）更新關鍵基礎設施風險管理計畫（CIRMP）指引，要求適用強化規範的業者，針對關鍵系統及遠端存取服務採用防網路釣魚多因素驗證，並限制不同系統間的連線與存取權限。新版指引也建議關鍵系統具備獨立運作能力，即使其他電腦需要重建或復原，仍能持續運作至少3個月。此外，業者應盤點供應商及關鍵元件，評估供應商是否由外國企業或政府持有或控制，以及供應商對關鍵系統的控制權限。新版指引也納入AI風險，提醒AI決策工具若故障、提供錯誤建議或遭濫用，可能影響關鍵服務及造成敏感資訊外洩，因此須保留人工處理機制。詳全文

CSA建議企業推動資安職能轉型，從漏洞管理導入AI代理

雲端安全聯盟（CSA）建議企業因應AI代理普及，重新調整資安團隊職能，優先從漏洞管理導入AI代理，並提出VulnOps模式，整合漏洞管理、曝險管理、修補及應用程式安全評估等工作。AI代理可協助分析漏洞、確認可利用性及執行部分修補工作，但修補順序、補償性控制措施及可能影響正式環境的操作，仍須由人員決定或核准。CSA也建議企業應將AI代理納入非人類身分管理，限制其存取權限，並設置獨立檢查及人工複核機制，避免誤判或未授權操作。此外，CSA提醒企業應透過工作輪調及導師制度，讓新人仍有機會累積實務經驗，避免AI自動化影響資安人才培育。詳全文