精選國際資安資訊，讓你用最短時間掌握最關鍵的資訊
CISA 於 2026/11/03 將 WordPress 核心漏洞 CVE-2026-119977 列入已知遭利用漏洞（KEV）目錄。此漏洞屬檢查與使用時間差（TOCTOU）競態條件，CVSS 8.1；完整核心升級期間使用可預測且可由網路存取的暫存路徑，未經驗證的攻擊者可能在升級空窗執行程式碼。WordPress 已於 10/28 釋出 7.1.4 修補；Wordfence 在公開後 21 小時內記錄逾 18,500 次針對暫存 setup-config.php 的請求。美國聯邦機關修補期限為 11/06。
繼 91APP 之後，多家臺灣電商技術服務業者傳出資安事件。Shopline 的第三方 ERP 合作夥伴莫筆克科技（Mallbic）確認主機曾遭未經授權執行惡意指令，Shopline 已全面更換相關串接金鑰（API Token）；1shop 懷疑第三方郵件服務 Mailgun 的 API 金鑰遭他人取得，詐騙者以訂單通知信內容寄送假分期扣款郵件。Cyberbiz 與 meepShop 也有品牌發布防詐公告，實際影響仍待釐清。建議電商品牌立即盤點並輪換所有第三方串接金鑰。
Rails 於 2026/11/04 公布 Active Storage 重大漏洞 GHSA-f3w6-w445-fwh9（CVSS 9.8，尚無 CVE 編號）。使用 ImageMagick 處理上傳圖檔的應用，未經驗證的攻擊者只要上傳特製檔案，即可在伺服器寫入任意檔案；若以 Disk 服務儲存附件，還能讀取應用可讀的檔案，例如 secret_key_base 與其他系統憑證，進而可能遠端執行程式碼。修補版本為 8.1.4.1 與 8.0.5.2。
航空訂位系統供應商 Amadeus 於 9 月發現並修補訂位系統軟體漏洞，攻擊者得以存取各航空公司的旅客訂位資訊。日航、全日空與國泰分別約有 9.2 萬、3.8 萬與 5.3 萬名旅客受影響；新加坡航空約 4.6 萬筆訂位紀錄遭未授權存取，包括姓名、訂位代號與航段，未涉及信用卡或銀行帳號。各航空表示自身系統未遭入侵。這起事件再次顯示委外系統供應商是重要的供應鏈風險。
公開勒索網站監測顯示，近期仍有多家台灣組織名列各勒索集團的受害者清單，涵蓋製造、科技、醫療與教育等產業。與此同時，Bitdefender 研究指出，3AM（ThreeAM）勒索軟體附屬組織攻擊英國學校集團時，部分指令重試呈現類似代理人迴圈的行為：人類決定大方向，模型疑似協助產生與修正指令。約 37 台系統遭加密。建議以備份可還原、微分割與 7×24 監看降低雙重勒索衝擊。
資安研究揭露一波透過 AI 模型分享平臺散布的惡意活動：攻擊者發布至少 31 個偽裝成小型測試模型的儲存庫，累計下載逾 3.2 萬次。當使用者以允許遠端程式碼的方式載入模型時，儲存庫內的自訂 Python 會在權重載入前即以呼叫端權限執行，植入加密貨幣挖礦程式與後門，鎖定自架推論主機、租用 GPU 與開發／測試環境。建議關閉遠端程式碼預設、審核模型定義檔，並監看異常 GPU 使用。
IBM 公布開源 AI 工作流程平臺 Langflow 的多項漏洞，其中 CVE-2026-93680（身分驗證不當）與 CVE-2026-110186（程式碼生成控制不當）CVSS 皆達 9.8，未經驗證的遠端攻擊者可能繞過存取限制或執行任意程式碼。影響 1.0.0 至 1.12.8，修補版本為 1.13.0；截至公開說明時兩者尚未列入 CISA KEV。建議立即升級，並關閉不必要的自動登入與對外暴露。
2026/11/02 起，比利時、盧森堡、瑞典、愛爾蘭與愛沙尼亞等歐洲國家傳出超市冷凍冷藏控制系統遭入侵，已確認逾 115 家門市受影響。攻擊者遠端竄改溫度、關閉設備或啟動除霜，部分設備溫度被調高至攝氏 50 度，造成食品變質。受影響設備傳與比利時廠商 Sabcobel 有關，管理介面疑直接暴露於網際網路，部分已屆生命週期終止。建議立即隔離 OT 管理介面並檢視對外暴露。
Binance 公布約 64.3 億美元資產遭竊的調查進展，指事件為多階段行動，而非單一釣魚。2026 年 6 月一名錢包維運工程師為安裝 AI 開發工具而下載遭竄改的 Homebrew 安裝程式；9 月另一名工程師遭假求職面試誘騙，在工作電腦執行含惡意程式的作業。攻擊者後續濫用內部 AI 工具與容器部署權杖，於 10 月 29 日觸發未授權交易。建議強化開發端點、套件來源與招聘社交工程防護。
Microsoft 調查兩起入侵：攻擊者在 Microsoft Teams 假冒公司 IT／服務台，誘騙員工開啟 Windows 內建的 Quick Assist 交出遠端控制，再濫用設定不當的 Active Directory 憑證服務（AD CS）取得高權限帳號甚至網域控制站憑證。其中一起已將檔案複製到外部伺服器。Teams 本身沒有被利用的軟體漏洞，關鍵在社交工程與 AD CS 設定。建議限制外部租戶傳訊、審核憑證範本，並完整執行身分封鎖。
已顯示 10 篇