資安新聞焦點

● Apache修補網頁伺服器HTTP/2模組的重大漏洞 ● eMudhra再撤銷8張RSA中繼CA憑證 ● N-able緊急修補研究人員公布的N-central零時差漏洞 ● 外交部領務局網站遭駭，逾7.2萬個護照大頭照外洩 ● AI資安平臺AntiFox被用於AWS雲端憑證竊取攻擊

Apache修補網頁伺服器HTTP/2模組的重大漏洞，64%雲端環境恐曝險

Apache軟體基金會（ASF）於11月11日發布Apache HTTP Server 2.4.71，修補3個資安漏洞，其中最受到關注的部分，是存在於HTTP/2模組mod_http2中的重大安全漏洞CVE-2026-119618，該弱點源自多執行緒處理HTTP/2請求時的競爭條件，可能導致記憶體堆疊損毀，讓未經驗證的遠端攻擊者進一步執行任意程式碼，取得網頁伺服器程序的控制權，資安公司Wiz估計，全球有64%雲端環境可能曝露於相關風險。詳全文

N-able發布N-central重大安全更新，修補研究人員公布的部分零時差漏洞

軟體公司N-able於11月10日發布N-central重要安全更新2026.4 Hotfix 2（HF2），內容涵蓋多個資安弱點修補，以及強化該應用系統的整體安全性，包括：身分驗證、權限控管，以及Agent與Probe通訊的安全，呼籲於內部環境自行建置的用戶儘速套用。這次N-able修補的資安漏洞，與前一天研究人員公布的零時差漏洞Able2Shell有關。值得留意的是，該公司警告已有利用公開的概念驗證程式碼（PoC）從事漏洞掃描的活動出現。詳全文

研究人員透露FortiClient重大漏洞Fortinet2Shell細節

11月10日Fortinet發布每月例行更新，一口氣公布及修補100個資安漏洞，其中一個存在於FortiClient的重大漏洞CVE-2026-121529，成為本次修補的焦點，原因在於，向Fortinet通報此事的Baldur Security資安顧問Kevin Joensen指出，FortiClient只要啟用特權存取管理功能FortiPAM，就有可能曝險，攻擊者可誘騙使用者存取惡意網站，就能在未通過身分驗證的情況下，於受害電腦執行任何程式碼，CVSS嚴重程度評分為9.1，Joensen將此弱點命名為Fortinet2Shell。詳全文

AI代理滲透測試平臺AntiFox遭濫用，駭客發動AWS雲端憑證竊取攻擊

資安公司Arctic Wolf近日揭露駭客利用開源AI代理滲透測試平臺AntiFox，對網際網路服務及AWS雲端環境發動攻擊。AntiFox最初是從AI代理滲透測試工具ARTEX 0.1.1分支而來，具備中文介面，可讓使用者透過AI代理自動執行滲透測試任務。Arctic Wolf發現，託管於阿里雲上的AntiFox相關基礎設施曾涉及多起惡意入侵活動，其中一起攻擊者先入侵公開於網路上的IIS伺服器，然後利用有效的IAM憑證探索AWS雲端服務。詳全文

eMudhra憑證事故擴大，再有8張RSA中繼CA憑證遭撤銷

印度數位憑證業者eMudhra的憑證事故又有新發展。繼先前8張ECDSA中繼CA憑證因私密金鑰可從公開資訊還原而遭撤銷後，eMudhra後續調查又發現，另有8張RSA中繼CA憑證因無法證明私密金鑰移轉程序符合憑證政策要求，於11月7日遭撤銷。此次新增撤銷的8張RSA中繼CA憑證中，部分曾用於簽發TLS及程式碼簽章憑證。eMudhra表示，受影響的客戶憑證已完成更換或轉移，目前尚未發現相關金鑰遭到惡意利用的證據。詳全文

受訂位系統供應商Amadeus資安事故波及，泰國航空、芬蘭航空證實旅客資料外洩

泰國航空及芬蘭航空於11月9日發布公告，說明其訂票服務系統供應商Amadeus遭到非法存取，分別導致超過6萬及11.6萬筆乘客記錄可能外流。泰國航空遭到未經授權存取的內容，包含2023年8月10日到2026年9月23日的訂票資料，涵蓋的資料類別為乘客姓名、訂票代號、飛行日期、飛行路段及艙等，總數達60,529筆；芬蘭航空外流的是網路訂票資料，共有11.6萬筆，其中近750筆遭到檢視，僅有少數為有效預約內容，對此，該航空公司已分配新的訂票編號因應。詳全文

外交部領務局網站遭駭，逾7.2萬個護照大頭照外洩

外交部領事事務局（領務局）發生重大資安事件，該機關於11月9日公布部分網站遭駭，並於11月12日更新公告內容，確認此次事件涉及三類民眾個人資料遭未經授權取得，包括7.2萬個護照大頭照檔案、2.6萬個駐紐約辦事處驗證的授權書掃描檔，以及774件亞太經濟合作商務旅行卡（ABTC）申請資料。領務局並提醒，受影響民眾無須因此換發護照，但仍應留意個資遭不當利用的風險，並表示將彙整事證，移送司法機關偵辦駭侵犯罪。詳全文

康橋國際學校林口校區遭Osiris勒索，傳出部分資料恐外流

康橋國際學校林口校區近日傳出遭駭客組織Osiris入侵並發動勒索攻擊，校方已向警方報案，林口警分局指出，校方於11月6日中午收到駭客組織來信，要求依照指示下載指定瀏覽器，並前往指定網址輸入金鑰，否則將外洩校內學生等個人資料，校方代表人已於10日前往警分局偵查隊報案提告，警方也協助校方進行初步資安處置；新北市教育局表示，遭攻擊的系統是學校自行採購、主要用於校務行政管理，該校發現系統異常後已緊急應變處理。詳全文

威力德生醫線上商店委外廠商發生資安事件，部分消費者訂單資料遭異常存取

11月11日生技醫療公司威力德生醫（7713）於股市公開資訊觀測站發布重大訊息，該公司接獲線上商店平臺委外服務廠商順立智慧（Cyberbiz）通知，該公司發生資安事件，資料庫部分資料遭未經授權的異常存取，波及威力德生醫線上商店部分消費者訂單相關資料。威力德生醫獲報後已啟動應變機制，並透過網站、簡訊，以及電子郵件通知會員。該公司要求順立智慧進行資安檢視，並採取必要的安全強化措施，初步評估對財務及業務尚無重大影響。詳全文

正能量智能子公司電商資料庫遭未經授權存取，已通知受影響消費者並啟動資安應變

11月11日科技與運動休閒產業公司正能量智能（5348）於股市公開資訊觀測站發布重大訊息，說明旗下子公司正能量運動發生網路資安事件，WooCommerce電商系統資料庫遭到未經授權存取及資料擷取。公司發現異常後，正能量運動已針對相關系統採取隔離、防堵及安全漏洞修補措施，以避免資料持續外洩及事件擴大，並展開事件調查及原因追查，根據初步評估，本起事故對於正能量運動營運沒有重大影響。​詳全文

大金空調零件線上商城委外廠商發生資安事件，141筆訂單資料受波及

和泰車（2207）11月12日下午於股市公開資訊觀測站發布重大訊息，子公司和泰服務行銷的委外服務廠商順立智慧（Cyberbiz）發生資安事件，導致旗下大金空調零件線上商城的資料庫部分內容遭未經授權存取，波及141筆訂單資料，其中涉及132筆個人資料，包括訂單編號、收件人電子郵件、收件人手機號碼，以及購買人電子郵件與手機號碼。這是近期因電商委外服務廠商造成資料外洩的重大訊息裡，首度有上市櫃公司明確透露受影響的資料範圍。詳全文

長榮物流部分資訊系統遭攻擊，啟動資安防禦與復原機制

11月12日物流及貨運服務公司榮運（2607）於股市公開資訊觀測站發布重大訊息，子公司長榮物流部分資訊系統遭受駭客攻擊，伺服器出現異常情形，公司隨即啟動資安應變措施與復原機制，委請外部資安公司技術專家協助處理，目前資訊系統已恢復正常，初步評估對公司財務及業務並無重大影響。詳全文

大聯大發生資安事件，部分員工姓名與公務電子郵件遭未經授權存取

11月12日半導體通路商大聯大（3702）於股市公開資訊觀測站發布重大訊息，該公司偵測到內部系統出現異常存取情形，經調查確認，部分員工姓名及公務電子郵件地址遭未經授權存取，公司已立即啟動應變程序，並採取必要防護措施，初步評估對公司財務及業務均不受影響。不過，該公司未進一步透露受影響的員工人數、資料筆數，以及攻擊者如何取得系統存取權限。詳全文

美而快電商系統遭異常存取，部分請求涉及會員訂單API

11月12日電子商務及服飾零售公司美而快（5321）於股市公開資訊觀測站發布重大訊息，該公司於11月10日接獲客戶反映，有消費者收到疑似詐騙電子郵件，他們隨即啟動資安應變及調查機制，經回溯分析系統存取紀錄，發現外部特定IP位址曾對電商系統進行異常存取，部分請求涉及會員訂單相關API。目前美而快已完成相關系統的存取權限、安全防護及潛在漏洞檢查，但仍在釐清事件影響範圍，以降低事件擴大的風險。詳全文

聯合航空封鎖未經授權AI代理，限制查詢航班與訂票

美國聯合航空（United Airlines）於11月12日宣布，將限制未經授權的第三方AI代理存取旗下數位服務，包括航班查詢與訂票，以防範個資外洩、非預期交易及違反航空法規等風險。該公司指出，若旅客將帳戶登入憑證交給第三方AI助理，可能暴露敏感資訊，也可能導致AI擅自購票、修改帳戶資料或使用MileagePlus會員哩程，再者，航空業受到嚴格監管，部分程序必須由旅客親自確認，若由AI代理自動完成，恐將違反當地相關規定。詳全文

Cloudflare研究新一代身分驗證技術，兼顧後量子安全與AI代理流量管理

未來具備密碼學攻擊能力的量子電腦可能破解Privacy Pass目前使用的傳統密碼技術，讓攻擊者偽造權杖，進而繞過速率限制等安全控制。對此，網路服務與資安廠商Cloudflare近日說明，正研究具備後量子安全能力的新一代私密身分驗證技術MOLE因應。Cloudflare也將AI代理流量管理列為MOLE未來的應用方向，目的是減少大量自動化請求占用網站資源、影響一般使用者服務體驗的情況。詳全文

DeepMind以AI代理驗證Signal加密實作安全性，數學證明擴及機器碼層級

Google DeepMind公布AI代理形式化驗證（Formal Verification）框架AlphaProof Code，利用AI代理驗證Signal加密通訊協定的核心程式庫libsignal，將安全性證明延伸到編譯後的機器碼。Signal協定廣泛應用於通訊服務，此次5名DeepMind研究人員與AI代理合作，4週內產出約650萬行以Lean語言撰寫的數學證明程式碼，驗證前向保密性（Forward Secrecy）、身分驗證及入侵後安全性恢復等要求。詳全文

AI機器人恐因視覺判斷失準，一旦影像模糊或遭竄改，將執行可能傷害人的危險動作

AI機器人獨立評測公司Robocurve於11月6日公布一項研究Perceptual Attacks on Embodied AI，探討具身AI（Embodied AI）的感知安全問題。該公司發現，當AI模型控制實體機器人執行任務時，攝影機影像若遭到模糊處理或刻意竄改，可能大幅影響其安全判斷。研究團隊在特定實驗條件下測試5款多模態AI模型，發現在原始影像下，模型嘗試執行危險任務的比例為27%，但畫面模糊後升至87.7%，若改以刻意竄改的影像測試，比例更達97%。詳全文

AI驅動攻擊與鎖定AI系統的攻擊來勢洶洶，近兩千位全球企業高層有超過一半坦承無法招架

AI的普及為企業帶來顛覆市場的機會，但接踵而至的內部管理挑戰同樣令人擔憂，四大會計師事務所之一的資誠（PwC）10月初發布的2027全球數位信任洞察報告，AI已成為企業安全的首要議題，84%受訪者預期資安相關預算將增加，58%受訪者將AI列為主要投資項目；對於量子運算安全，近半數（49%）尚未開始準備；為了專門因應網路威脅，已完全正式制定營運持續性計畫的企業只有39%。在1,819位受訪的高階主管當中，有半數認為目前最難以做好應變準備的危機，正是針對AI系統發動的攻擊。詳全文

應用程式安全檢測可透過臺灣SaaS平臺執行，叡揚資訊促成Mend臺灣雲端區域上線

因應臺灣企業與組織對於主權IT的重視程度日益提高，越來越多國際資安廠商選擇在臺灣提供在地化的雲端服務。在代理商叡揚資訊持續溝通與協助之下，10月下半資安廠商Mend宣布在臺灣啟用雲端區域。於10月21日舉行的Mend.io Solutions Day大會上，叡揚資訊宣布成為Mend在臺灣的總代理，以及Mend雲端資料中心（雲端區域）落地臺灣，在兩家廠商合作之下，將持續提供更完整的在地化產品導入、技術支援與顧問服務，協助臺灣企業全面強化應用程式安全防護。詳全文