91APP 被駭事件的影響開始一家一家浮上檯面。繼 91APP 10/29 公布「25 天調查報告」後，全家便利商店當晚在公開資訊觀測站發布重大訊息，證實線上平台「全家行動購」部分會員資料遭非法擷取；10/30 台灣無印良品（MUJI）與康那香也相繼公告，自家官網／電子商城的訂單資料同樣存放在被入侵的資料庫中。91APP 表示，11/2 起會以簡訊與電子郵件通知受影響消費者——這也代表，接下來幾天假冒「91APP 通知」的詐騙訊息很可能跟著出現。

事件經過

• 10/14：91APP 表示入侵已在這天被阻斷，並全面更換內部系統及資料庫帳號密碼（依 MUJI 公告轉述 91APP 說法）。
• 10/29：91APP 公布「25 天調查報告」。經第三方資安公司奧義智慧科技調查，遭非法存取的是 Commerce Cloud 系統中一座存放 18 個月內交易資料的短期訂單資料庫。因無法判定具體涉及哪些訂單，91APP 以最大可能範圍認定：2025/4/4 至 2026/10/14 成立的線上訂單，涉及 1,329 家品牌、479 萬 8,255 名消費者。
• 10/29 晚間：全家（5903）發布重大訊息，表示接獲 91APP 通知，因資料庫遭受自動化攻擊，「行動購」部分會員資料遭非法擷取，已通報主管機關，並透過官網、電子郵件、簡訊及會員 App 通知會員。
• 10/30：台灣無印良品公告，10/29 接獲 91APP 通知，官網購物部分訂單資料存放於該資料庫，10/30 已向主管機關通報；實體門市消費資料不在範圍內。
• 10/30：康那香（9919）發布重大訊息，表示電子商城訂單資料存放於該資料庫，但 91APP 截至公告時「尚無法釐清相關資料是否受到影響及其範圍」。

重點

• 「納入範圍」不等於「確定外洩」：91APP 與 MUJI 都強調，範圍內不代表每位顧客的資料都已外洩，而是以最大可能範圍作為通知與受理基準。
• 補償申請：91APP 表示受影響消費者不論在哪個品牌購買、有無財產損失，都可向 91APP 申請諮詢與補償，受理至 2027/2/1；賠償方案細節仍在研議。
• 正式通知不附連結：91APP 表示 11/2 起的正式通知會透過簡訊與郵件發送，不會附連結要求輸入資料。
• 求償鏈：全家與康那香都表示目前尚未接獲會員求償，若後續發生，將同步向 91APP 求償。
• 還有多少品牌會陸續公告仍未知；1,329 家品牌中，目前公開具名的只是少數上市櫃公司與大型品牌。

對你的實務建議

企業／IT 管理者

• 盤點所有 SaaS／委外平台存放的個資：電商、會員系統、客服、物流串接等，逐一確認資料存放位置、保存期限與存取權限。91APP 這次被入侵的是「18 個月內交易資料」，保存越久、外洩範圍越大。
• 合約要寫清楚通報時限與資訊提供義務：這次品牌端多半是 10/29 才接到正式通知，距離 10/14 阻斷入侵已過兩週。檢視委外合約是否明訂資安事件通報時限、調查報告提供、通知費用與求償機制。
• 先準備好對外說明與客服話術：受影響顧客會先找品牌，不會先找 91APP。客服要能回答影響期間、欄位、補償窗口，並統一宣導「不會要求轉帳、提供 OTP、加 LINE」。
• 監控假冒品牌的詐騙：留意社群、簡訊、搜尋廣告是否出現冒用自家品牌名義的「訂單異常」「重複扣款」訊息，及早檢舉下架。
• 依法通報並保留紀錄：個資事故通報、通知當事人的時間與內容都要留存，日後主管機關調查或消費者求償時會用到。

一般用戶

• 回想一下：2025/4/4 之後有沒有在全家行動購、MUJI 官網、康那香或其他使用 91APP 的品牌官網／App 下過單。即使沒收到通知，也要提高警覺。
• 11/2 之後收到「91APP 通知」：正式通知不會附連結要你輸入資料。凡是附連結要你登入、填卡號、輸入 OTP 的，一律當詐騙處理。
• 「解除分期」「重複扣款」「定期購續費」都是老套路：對方能正確報出你的姓名、地址、訂單內容，不代表他是真客服。掛掉電話，自己查官方客服電話回撥。
• 不加私人 LINE、不操作 ATM 或網銀：有疑問撥 165 反詐騙專線。
• 已經被騙或提供了金融資料：立即聯絡銀行止付、報警，並向 91APP 提出申請（91APP 事件諮詢電話 (02) 7723-1622、信箱 servicetw@91app.com，依 MUJI 公告）。

資料來源

• 中央社：91APP：被駭事件恐影響479萬消費者 開放補償申請（2026/10/29）
• iThome：全家行動購部分會員資料遭非法擷取，起因是委外廠商91APP資料庫遭自動化攻擊（2026/10/30）
• 知新聞：91APP資料庫被駭客入侵！全家線上平台「行動購」部分會員資料外洩（2026/10/30）
• 全家（5903）重大訊息公告（2026/10/29，公開資訊觀測站轉載）
• 台灣無印良品聲明公告（2026/10/30）
• 聯合新聞網：官網購物個資外洩！台灣無印良品公告資料庫遭駭（2026/10/30）
• 康那香（9919）重大訊息：說明本公司線上平台委外服務廠商91APP發生網路資安事件（2026/10/30）
• 91APP 事件官方說明頁

Linux 核心處理 IPv4 TCP 連線的程式碼出現 CVSS 9.8 的漏洞 CVE-2026-98432。Anthropic 10/27 公開研究，表示旗下尚未公開的 Claude 研究模型寫出了可用的攻擊程式：對有「多路徑 TCP（MPTCP）」監聽服務的 Linux 伺服器送出特製封包，不需帳號、不需使用者操作，就能以 root 執行指令。上游核心早已修補，但截至 10/30，Red Hat（RHEL 8／9／10）與 Ubuntu 仍未釋出修補後的核心。台灣企業機房、雲端主機大量跑 Linux，這週值得排進優先處理清單。

事件經過

• Linux 4.4 起：引入問題的程式變更從 4.4 版就存在，影響多個仍在維護的核心分支。
• CVE 公布前：上游已完成修補，把相關記憶體改為在 RCU grace period 之後才釋放（TuxCare 指修補日期為 10/5，此日期「未核實」）。
• 10/15：Linux 核心 CVE 團隊公布 CVE-2026-98432。
• 10/16 起：Debian、Oracle Linux UEK 等陸續釋出修補。
• 10/27：Anthropic 公開攻擊驗證：第一階段遠端繞過 KASLR、洩漏核心位址（測試中約 48 分鐘），第二階段改寫函式指標執行 root 指令（約 5 分鐘）。競態條件失敗時通常只會讓那次 TCP 握手失敗、不會讓系統當機，因此攻擊者可以一直重試。
• 10/29：Go 安全團隊提醒，Go 1.24 起的 Go 程式在 Linux 上預設為監聽 socket 啟用 MPTCP，很多系統可能「不知不覺」就有 MPTCP 監聽服務。
• 10/30：iThome、CSO Online 等報導，部分發行版仍待修補。

重點

• 漏洞本質：IPv4 TCP 建立連線時，不同 CPU 同時處理重傳的連線請求，核心可能提前釋放另一條路徑仍在讀取的 IP options 記憶體，形成 use-after-free。
• 已公開的攻擊路徑需要 MPTCP 監聽服務；但 Go 安全團隊與 oss-security 公告都強調，底層漏洞「不是 MPTCP 專屬」，沒有 MPTCP 監聽的系統也可能遭類似攻擊。根本解法還是更新核心。
• 評分不一：核心 CVE 團隊與 Canonical 給 9.8；Red Hat 評 8.1，認為攻擊複雜度較高。若貴公司的修補 SLA 依廠商嚴重度排程，這個 CVE 可能被低估。
• 目前狀態：Anthropic 未公開攻擊程式碼；據 TuxCare 截至 10/30 的整理，尚無在野利用的公開報告，也未列入 CISA KEV（此點為單一來源，「未核實」）。
• 已修補的上游核心版本：5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、7.3（7.3-rc7）。

對你的實務建議

企業／IT 管理者

• 先查有沒有 MPTCP 監聽服務：執行 ss -H -lMn，有輸出的每一行就是一個 MPTCP 監聽。也可看 sysctl net.mptcp.enabled 是否為 1。特別注意 Go 1.24 以後編譯的 API gateway、反向代理、內部服務。
• 已有修補核心的發行版：直接更新核心並重開機（或使用免重開機的 live patch），不必等。
• 還沒有修補的主機（RHEL、Ubuntu 等）先做緩解：不需要 MPTCP 就關掉，sysctl -w net.mptcp.enabled=0，並寫入 /etc/sysctl.d/ 讓它重開機後仍有效，再重啟已開 MPTCP 的服務；Go 程式可用 GODEBUG=multipathtcp=0。注意：Red Hat 系列預設本來就是關閉。
• 對外服務優先：先處理直接面向網際網路的 Linux 主機、防火牆後但有對外埠的服務，以及雲端 VM。
• 不要只看版本號：RHEL、Ubuntu 核心常有 backport，請對照廠商公告確認套件版本是否已含修補。
• 修補 SLA 不要只看廠商嚴重度：此 CVE 在部分弱點掃描工具上可能顯示為中度，建議手動提高優先級。

一般用戶

• 家用電腦通常不是主要目標：已公開的攻擊對象是有 MPTCP 監聽服務的伺服器。不過若你自架 Linux 伺服器、NAS 或 VPS，請照上面企業建議檢查並更新。
• Linux 桌機、筆電照常開啟自動更新，發行版推出核心更新後記得重新開機才會生效。
• 租用雲端主機、VPS 的個人站長：登入主機執行 uname -r 和套件更新，若服務商提供核心更新公告，照指示處理。

資料來源

• Anthropic：Discovering and exploiting vulnerabilities in critical, real-world software with Claude（2026/10/27）
• linux-cve-announce：CVE-2026-98432（2026/10/15）
• oss-security：Protecting against CVE-2026-98432 when using Go programs（2026/10/30）
• LWN.net：Remote code execution on Linux systems with multipath TCP
• iThome：Linux TCP漏洞可被用來遠端取得root權限，部分發行版尚未修補（2026/10/30）
• CSO Online：Anthropic AI model finds Linux kernel bug that leads to remote root access
• TuxCare：CVE-2026-98432 Linux TCP remote root（2026/10/30）

Amadeus 訂位系統遭入侵的影響持續擴大，這次輪到香港的國泰航空。國泰 10/30 公告，全球航空業共用的旅遊科技供應商 Amadeus 系統遭未經授權存取，約 5.3 萬筆與國泰相關的訂位資料受影響，時間橫跨 2023 年 8 月到 2026 年 9 月。日本航空、全日空也在同一週公布受影響人數。常搭國泰往返香港、轉機的台灣旅客，接下來要特別小心「航班異動」「退款補償」類的詐騙。

事件經過

• 10/28：國泰接獲 Amadeus 通知；10/29 收到進一步細節：有未經授權人士使用分配給其系統帳號的登入憑證，存取 Amadeus 系統內的旅遊訂位資料。
• 10/30：國泰發布公告，約 53,000 筆國泰相關訂位受影響，未授權存取發生於 2023 年 8 月至 2026 年 9 月；國泰已通報相關主管機關，確認細節後將個別通知受影響顧客。
• Amadeus 已重設密碼並加強系統監控與偵測；國泰表示，Amadeus 至今未發現受影響資料遭濫用，事件也未影響國泰自身系統與營運。

重點

• 沒有付款資料外洩的證據：國泰表示沒有證據顯示財務或付款資料被存取。
• 最危險的是「訂位代號＋姓名＋航班」組合：詐騙集團拿到這些資料，就能打電話或傳訊息準確說出你的航班，冒充航空公司要你「重新付款」「領取延誤補償」。
• Amadeus 是全球數百家航空公司共用的系統，後續可能還有其他航空公司公告。台灣的華航、長榮目前未見受影響公告，但仍建議留意官方訊息。

對你的實務建議

• 確認自己是否在範圍內：2023 年 8 月之後訂過國泰、日航、全日空、大韓、韓亞機票的人，留意航空公司寄來的正式通知（國泰表示會個別通知）。
• 接到「航班取消／異動」電話或簡訊，先別照對方指示操作：自己打開航空公司官方 App 或官網，用訂位代號查詢；真的有異動，官方系統一定看得到。
• 航空公司不會要你重新刷卡「保留機位」或「領補償」：要求轉帳、提供信用卡安全碼、OTP 的，一律當詐騙。
• 護照資料可能外洩的人：提防有人冒用身分辦理會員、訂房；若收到不明的訂位確認信，主動向業者查證。
• 會員帳號換密碼、開兩步驟驗證：國泰亞洲萬里通、日航、全日空等會員帳號，不要和其他網站共用密碼，里程被盜領也是常見後續損失。
• 在台灣接到可疑電話：撥 165 反詐騙專線查證；在香港可撥警方「防騙易熱線 18222」。

資料來源

• 國泰航空公告：Personal data security incident involving a third-party service provider（2026/10/30）
• 國泰航空（台灣）中文公告：涉及由第三方服務供應商處理的個人資料保安事故
• South China Morning Post：Cathay Pacific says data from 53,000 bookings compromised in Amadeus cyberattack（2026/10/30）
• Now 財經台：【國泰】供應商系統疑遭入侵 5.3萬宗預訂資料被盜（2026/10/30）
• The Business Times：数据泄露致53,000名国泰航空乘客个人信息遭泄（2026/10/30）
• 自由時報：2.6億個資外洩！日企遭網攻激增、外務省也被入侵（2026/10/30）
• iThome：日本航空第三方訂位系統遭入侵，約9.2萬名旅客資料受影響（2026/10/30）

PHP2Shell 的實際攻擊終於落到網通設備上。以色列資安公司 Dream 揭露，一個疑似中國背景的攻擊者自製 PHP2Shell 攻擊程式，再串接 Linux 核心提權漏洞 Fragnesia，攻下 25 台 Palo Alto Networks PAN-OS 防火牆與管理伺服器，目標只鎖定美國、日本、台灣與南韓。數發部資安署 10/29 晚間也發布說明，呼籲機關與企業立刻檢查防火牆、網通設備的管理介面是否對外開放。

事件經過

• 10/8 起：依 Dream 整理的時間軸，攻擊者開始建置攻擊基礎設施。
• 10/23–10/24（UTC）：攻擊者以自動化腳本批次攻擊，共攻下 24 台 PAN-OS 防火牆並植入 webshell；其中兩台屬於美國政府相關單位，攻擊者再透過反向 SSH 通道進入內網，用同一套手法攻下內部的防火牆管理伺服器，總數達 25 台。
• 10/26：Dream 發布報告，10/29 更新內容；Palo Alto Networks 旗下 Unit 42 已獨立驗證攻擊工具與結果，將此活動編號為 CL-UNK-1280，並陸續釋出修補版本。
• 10/28：美國 CISA 將 Fragnesia（CVE-2026-46300）列入「已遭利用漏洞清單」（KEV）。
• 10/29：資安署與資安院說明，此類設備管理介面多數預設不對外開放，但已對外開放且未修補者仍有風險，應儘速檢視設定並更新。

重點

幾個值得網管注意的細節：

• 攻擊程式不是網路上流傳的公開 PoC，而是針對 PAN-OS 量身打造，還替 9 個版本各做了記憶體位址設定檔。資安署說「難以用同一套程式大量攻擊不同版本」，在這個案例裡，攻擊者正是靠逐版建檔解決這個問題。
• 這台被攻下的防火牆，設定檔裡就有整個內網的拓樸、網域控制站、VPN 閘道與 LDAP 帳號。邊界設備一旦失守，下一站就是身分系統。
• 被攻擊的 AD 網域把帳號鎖定門檻設為 0（不鎖定），讓密碼噴灑可以無限嘗試。
• 資安署的新聞稿寫「25 部防火牆及網通設備」；依 Dream 原始報告，實際是 24 台防火牆加上 1 台內部防火牆管理伺服器。

PHP2Shell 的波及範圍不只 Palo Alto。依 iThome 整理的廠商公告，Check Point、Citrix NetScaler、F5 BIG-IP、Cisco 部分產品、HPE Aruba ClearPass、QNAP、群暉、華芸、眾至等都有受影響產品；Fortinet 有部分產品仍在調查，Zyxel、SonicWall、WatchGuard、Sophos 則表示產品不受影響。

對你的實務建議

企業 / IT 管理者

• 先查一件事：防火牆、VPN、NAS、負載平衡器的管理介面，有沒有直接對網際網路開放。有就立刻關，改成只允許特定來源 IP 或經 VPN 進入。
• 使用 PAN-OS 12.1／12.2／11.x 者，依 Palo Alto Networks 官方公告升級到對應的修補版本（各分支 hotfix 版本不同，以原廠公告為準）。
• 不要只修補就收工：Dream 指出攻擊者在 22 台防火牆上留下 webshell。曾經對外開放管理介面的設備，請依原廠公布的入侵指標（IoC）檢查，例如可公開存取的目錄中是否出現不明 PHP 檔、異常的 systemd 服務或開機腳本。
• 若懷疑設備已遭入侵，設定檔裡的 LDAP 服務帳號、VPN、憑證私鑰都應視為外洩，全面更換。
• AD 端檢查帳號鎖定原則（lockoutThreshold 不要設 0）、MachineAccountQuota 是否仍為預設值，並監控大量失敗登入與新建帳號。
• 盤點所有內嵌 PHP 的設備與軟體（防火牆、NAS、監控、OT 系統），對照各原廠 PHP2Shell 公告逐一處理。

一般用戶

• 家用 NAS（QNAP、群暉、華芸）請到系統更新或套件中心更新 PHP 相關元件，並關閉從外網直連管理頁面的設定，例如 UPnP 自動開埠。
• 家用路由器的「遠端管理」功能沒用到就關掉，管理密碼不要用預設值。
• 公司 VPN 用戶近期若收到要求重設密碼的通知，請透過公司內部管道確認，不要點信件裡的連結。

資料來源

• Dream Research：Chained PHP2Shell Exploit Roots 25 Servers（2026/10/26，10/29 更新）
• The Register：Suspected Chinese attackers built a custom PHP2Shell exploit and rooted 25 servers（2026/10/29）
• SecurityWeek：China-Linked Hackers Exploit PHP2Shell to Root Firewalls
• 中央社：網通設備恐受PHP漏洞影響　資安署籲檢視設定儘速更新（2026/10/29）
• 經濟日報：網通設備受PHP漏洞影響 資安署籲各機關密切注意更新並儘速修補（2026/10/29）
• iThome：PHP2Shell漏洞影響多家IT與OT廠商的產品，相關公告陸續出爐（2026/10/29）

年底九合一選舉倒數，中選會的「公職候選人財產申報」公告網站卻出了資安問題：查詢頁面畫面上只顯示姓名、選區，但網頁在背景載入的資料裡，逐筆帶著候選人的身分證字號，涉及 1,573 名縣市長與議員候選人。中選會 10/28 證實，初判是委外廠商產製公告資料時的疏失，10/27 已暫停網站、修正程式並通報主管機關。

事件經過

• 10/16：中選會公告直轄市長、縣（市）長及各級地方議員候選人的財產申報資料。對外提供的 PDF 檔已遮蔽個資。
• 10/27：準備製作「民間版選舉公報」的人員使用該網站時，發現透過瀏覽器內建的開發者工具，就能在背景資料中看到身分證字號，不需要帳號密碼；當天即致電並發函通知中選會。
• 10/27：中選會暫停公告網站服務，由維護人員查核、修正程式，當晚 7 時重新開放查詢，並通報主管機關。
• 10/28：台灣前進陣線與多個小黨候選人召開記者會揭露此事；中選會發布說明，表示已啟動調查，後續依《個人資料保護法》辦理。

重點

中選會「亂碼、非一般人可識讀」的說法受到質疑。依 iThome 報導，有軟體開發者指出，問題出在網站後端回傳 JSON 資料時，沒有過濾不該送到前端的敏感欄位；JSON 本質上是機器可讀的結構化資料，搜尋引擎爬蟲與 AI 工具都能索引。也就是說，「畫面上沒顯示」不等於「沒有送出去」。

這類問題在資安上通常稱為「資料過度回傳」（Excessive Data Exposure）：前端只用得到幾個欄位，後端卻把整筆資料都丟給瀏覽器，再靠前端「藏起來」。OWASP API 安全風險清單 2019 版把它列為獨立項目，2023 版併入「Broken Object Property Level Authorization」（物件屬性層級授權失效）。

對你的實務建議

企業 / IT 管理者

• API 與網頁回傳資料要「白名單」：只回傳畫面真正需要的欄位，個資欄位在後端就剔除，不要靠前端隱藏。
• 驗收委外網站時，實際打開瀏覽器開發者工具（Network 分頁）看每個請求的回應內容，確認沒有身分證字號、電話、地址等不該出現的欄位。
• 公開資料要「另產一份」：對外公告用的資料檔應從原始資料另外產製、去識別化，而不是用同一份完整資料套不同顯示方式。
• 委外合約與驗收清單寫明個資保護要求、資安測試項目與事件通報時限；上線後也要定期抽查，不能只看交付文件。
• 發生類似事件時，除了修正程式，還要檢查存取紀錄、搜尋引擎快取與爬蟲是否已抓取，必要時申請移除快取。

一般用戶

• 這次外洩對象是候選人，但同樣的「背景資料夾帶個資」問題可能發生在任何網站。身分證字號一旦外流無法更換，平常就盡量少在不必要的地方提供。
• 如果你是這次名單上的候選人或團隊成員，留意冒名申辦、假冒中選會或政府機關的來電與簡訊；有疑慮可撥 165 反詐騙諮詢專線查證。
• 有人以「個資外洩補償」「協助處理」為由要求你提供帳號、驗證碼或匯款，一律不要理會。

資料來源

• iThome：中選會候選人財產申報網站出包，背景查詢資料竟含1,573名候選人身分證字號，初判委外廠商疏失（2026/10/28）
• 鏡新聞：1573名候選人個資爆外洩　中選會認委外廠商疏失：檔案以亂碼呈現（2026/10/28）
• 工商時報：1,573名候選人身分證字號爆外洩 中選會：委外廠商疏失 已阻斷外流可能性（2026/10/28）
• 聯合新聞網：1573名候選人身分證字號遭洩 中選會指委外廠商疏失（2026/10/28）
• 三立新聞網：「1573人」個資外洩！中選會：檔案是亂碼、已啟動調查（2026/10/28）
• OWASP API Security Top 10

資安業者 Sophos 揭露一個具中國背景的間諜駭客組織「BRONZE SANDCASTLE」，在 2025 年 8 月到 2026 年 8 月間的入侵事件中，受害組織分布在菲律賓、台灣、阿富汗、納米比亞，南韓也可能受害。這個組織最大的特色，是拿 Sandboxie、Java、LINE 等「看起來正常」的合法程式，側載惡意 DLL，再在記憶體裡執行改造過的 Meterpreter 後門，入侵後目標直指 Active Directory 帳密資料庫。

事件經過

• Sophos 反威脅小組（CTU）與 SophosLabs 調查一系列入侵事件後，判定無法可靠歸屬到既有的中國駭客組織（如 BRONZE PRESIDENT、BRONZE ATLAS），因此另外命名為 BRONZE SANDCASTLE。
• Sophos 評估該組織「可能在中華人民共和國領導階層指揮下運作」，目的為情報蒐集；其活動時間集中在 UTC+8 的工作時段。
• Broadcom（Symantec）10/21 也發布防護公告，摘要 Sophos 的研究；iThome 10/28 報導指出受害範圍涵蓋台灣。

重點

攻擊手法

• DLL 側載（DLL sideloading）：把合法、甚至有簽章的執行檔，和同名的惡意 DLL 放在一起，讓合法程式啟動時載入攻擊者的程式碼。
• 加密酬載：惡意 DLL 讀取同目錄下加密的 config.ini，在記憶體中解密執行，硬碟上幾乎不留明顯痕跡，傳統以檔案特徵比對的防毒容易漏掉。
• 改造版 Meterpreter 後門：結構類似 Metasploit 的無階段（stageless）酬載，但 API 解析等實作不同，並帶有 COFFLoader 元素，可自訂後滲透功能。
• 入侵後動作：用 Windows net 指令列舉內網與帳號；以 vssadmin 建立磁碟區陰影複製（Volume Shadow Copy），再複製 AD 資料庫檔 ntds.dit，竊取網域帳密。
• C2 偽裝：使用名稱近似知名企業的網域，例如 dc[.]cathaypacifice[.]com（字面近似國泰航空 Cathay Pacific）、net[.]dpworldto[.]com（字面近似港口營運商 DP World）；也會連線 file[.]io、gofile[.]io 等合法服務，新版本還會從 GitHub 下載加密設定檔。

被濫用的合法程式（Sophos 整理）

要注意：這不代表 LINE、Sandboxie 等軟體本身有漏洞，而是攻擊者把「合法執行檔＋惡意 DLL」打包帶進受害環境，借合法程式的名義執行。

對你的實務建議

企業 / IT 管理者

• 依 Sophos 建議，偵測重點放在「行為」：DLL 讀取本機檔案後立即在記憶體執行程式碼、反射式載入（reflective loading）、記憶體中出現異常 PE 標頭等。EDR 的記憶體掃描與行為偵測要開啟。
• 盤點「出現在不該出現位置」的合法程式：例如使用者目錄、暫存資料夾、ZIP 解壓目錄裡的 javaw.exe、Sandboxie、Sysinternals 工具，搭配同目錄的 DLL 與 config.ini。
• 用應用程式控制（AppLocker／WDAC）限制可執行路徑，並對 DLL 載入路徑做稽核。
• 監控網域控制站上的 vssadmin create shadow、ntds.dit 存取或複製行為；這幾乎就是在偷整個網域的帳密，一旦出現應立即啟動應變。
• 到 SophosLabs GitHub 下載完整 IOC（雜湊值、C2 網域），匯入防火牆、DNS 過濾與 EDR 比對；DNS 紀錄裡也可回查是否曾解析上述仿冒網域。
• 政府、關鍵基礎設施及與菲律賓、南韓有業務往來的組織，應把這個組織的 TTP 納入威脅獵捕清單。

一般用戶

• 不要從來路不明的連結、壓縮檔執行「看起來是正常軟體」的程式；正常軟體請從官方網站或 App 商店下載。
• 解壓縮後若看到 .exe 旁邊跟著 .dll、config.ini 等檔案，而來源不明，不要點開，交給公司 IT 或資安人員判斷。
• 公司電腦出現不認識的程式自動啟動、或防毒跳出可疑警告，不要自行關掉，直接回報 IT。

資料來源

• Sophos：BRONZE SANDCASTLE deploys modified Meterpreter shells
• Sophos Threat Profile：BRONZE SANDCASTLE
• Broadcom Protection Bulletin：BRONZE SANDCASTLE Uses DLL Sideloading to Deploy Custom Meterpreter-Style Backdoor（2026/10/21）
• iThome：【資安日報】10月28日（含 Sophos 揭露中國駭客使用改造版 Meterpreter，受害範圍涵蓋臺灣）
• SophosLabs GitHub：BRONZE SANDCASTLE IOC 清單

PHP2Shell（CVE-2026-109618、CVE-2026-109619）的修補版 10/21 就出了，但只修 PHP 8.2 到 8.5。資安監測組織 Shadowserver 10/27 開始改為通報「已停止支援的舊版 PHP」，依 iThome 引述其監測資料，全球仍有逾 90 萬個對外 IP 跑著 PHP 8.1 以前的版本，台灣約 1.3 萬個。這些主機拿不到官方正式更新，是這波攻擊最容易下手的目標。

事件經過

• 10/21：PHP 官方發布 8.5.12、8.4.27、8.3.36、8.2.35，修補兩個 CVSS v4.0 評分 9.2 的嚴重漏洞（俗稱 PHP2Shell）。8.1 以前已停止支援，不會有正式版更新，官方只針對 7.4、8.0、8.1 提供最小化的原始碼修補（backport），給自行編譯的使用者。
• 10/27：Shadowserver 表示，過去一週旗下蜜罐誘捕系統觀察到大量針對 PHP 的攻擊嘗試，但目前尚未確認有成功利用。
• 由於缺乏可靠、安全的大規模偵測方法，Shadowserver 沒有直接標記哪些主機有 PHP2Shell 漏洞，而是在 Vulnerable HTTP 報告中新增「eol-php」標籤，凡是版本低於 8.2 的 PHP 都會被標記並通報。

重點

要注意，各家機構的統計方法不同，數字不能直接比較。例如 Mallory 10/20 用 Shodan 統計，約有 88.4 萬台對外主機顯示為不受支援的 PHP 版本；Shadowserver 則是以自家掃描、按 IP 計算。共同結論是：仍在跑舊版 PHP 的對外系統數以十萬計。

PHP 各版本支援狀態

對你的實務建議

企業 / IT 管理者

• 先盤點：列出所有對外服務的 PHP 實際版本，包括廠商設備、套裝軟體、外包網站、測試機裡內建的 PHP。對外標頭（X-Powered-By）可能被隱藏或不準，請以主機上的套件版本為準。
• 8.2～8.5：立即更新到 8.2.35／8.3.36／8.4.27／8.5.12 以上，並重啟 PHP-FPM、Apache 等服務，確認新版本真的生效。
• 8.1 以前：優先升級到受支援版本。8.2 只剩到 2026/12/31，建議直接規劃到 8.4 或 8.5，免得年底又要再升一次。
• 暫時無法升級：向 Linux 發行版或長期支援（LTS）廠商確認是否有回補修補套件；若自行編譯，可套用官方提供的 7.4／8.0／8.1 原始碼修補。同時盡量把這些系統移出公網、限制來源 IP 或放在 WAF 後面。
• 如果單位有訂閱 Shadowserver 的免費網路通報，留意報告中的「eol-php」標籤，名單上的 IP 就是需要優先處理的機器。
• 檢查近期存取紀錄與異常程序、新增檔案（例如網站目錄中不明的 .php 檔），確認沒有被植入後門。

一般用戶

• 自己架部落格、網站（WordPress 等）的人：登入主機商後台，看 PHP 版本是不是 8.2 以上；多數虛擬主機可以在控制台直接切換版本，切換前先備份。
• 用的是代管或外包網站：直接問主機商或廠商「PHP 是哪一版、PHP2Shell 修了沒」，請對方回覆版本號。
• 一般上網的人不需要額外動作，但這段期間若收到「網站中毒、請下載修復工具」之類的訊息，請不要點，直接向網站官方查證。

資料來源

• iThome：Shadowserver示警逾90萬個無法直接取得修補的舊版PHP執行個體暴露於公開網路，臺灣也有1.3萬個（2026/10/27）
• The Shadowserver Foundation：PHP Attacks Update（Mastodon 貼文，含各國統計圖）
• Shadowserver Dashboard：Trending queries（PHP2Shell 說明）
• Huntress：Rapid Response: php2shell
• PHP 官方：Supported Versions
• endoflife.date：PHP
• ThreatCluster：PHP2Shell leaves millions of servers on PHP versions with no official fix
• Axis Intelligence：PHP Statistics 2026

台灣人去首爾、釜山的班次多，大韓航空、韓亞航空也是常見選擇。兩家航空 10/23 證實：全球航空訂位系統業者 Amadeus 通知它們，有人用 Amadeus 系統帳號的登入憑證未經授權存取，導致部分乘客訂位資料外洩。

事件經過

• 10/20（週二）晚間：Amadeus 通知大韓航空與韓亞航空疑似發生個資外洩。
• 原因：第三方使用分配給 Amadeus 系統帳號的登入憑證存取資料。
• 事件期間推估為 2023 年 8 月至 2026 年 9 月，確切時間仍在調查。
• 大韓航空確認訂位代號在外洩資料內；外洩規模與資料欄位仍在確認中。韓亞航空表示訂位相關資料外洩，但付款資料不受影響，因為交易用的是另一套系統。
• 兩家航空都表示未發現自家系統或資料庫遭入侵；Amadeus 正在封鎖未授權存取並監控暗網。

重點

• Amadeus 服務全球大量航空公司、飯店與旅行社，但目前公開證實受影響的只有這兩家。

對你的實務建議

• 2023 年 8 月後搭過大韓、韓亞的旅客：收到「航班取消、改期退款、行李理賠」的電話或訊息，掛斷後自己上航空公司官網或 App 查。
• 訂位代號加上姓氏，在很多航空公司就能登入管理行程。不要把登機證、訂位確認截圖貼到社群。
• 航空公司不會用 LINE、WhatsApp 叫你轉帳「處理退款」，也不會要你提供信用卡驗證碼。
• 行前在官方 App 設好航班通知，真的有異動，以 App 為準。

資料來源

• 聯合新聞（韓）（2026/10/23）：https://www.yna.co.kr/view/AKR20261023182300003
• Seoul Economic Daily（2026/10/23）：https://en.sedaily.com/finance/2026/10/23/korean-air-says-customer-data-leaked-at-booking-system
• The Korea Times（2026/10/25）：https://www.koreatimes.co.kr/business/companies/20261025/korean-air-breach-exposes-blind-spot-in-airline-cybersecurity
• Financial News：https://en.fnnews.com/news/202610232139004239
• iThome 資安新聞列表（2026/10/26）：https://www.ithome.com.tw/security/news

本站 10/22 寫過 PHP 兩個嚴重漏洞（CVE-2026-109618、CVE-2026-109619，俗稱 PHP2Shell）。一週後有兩個新進展：日本 JPCERT/CC 10/26 更新警示，指出已有大量號稱可利用的 PoC 公開、攻擊嘗試相繼出現；PHP 官方 10/23 另外公布第三個漏洞 CVE-2026-115560，目前還沒有修補版。

事件經過

• 10/21：PHP 發布 8.5.12／8.4.27／8.3.36／8.2.35 修補 PHP2Shell。
• 10/23：PHP 公布資訊性公告 CVE-2026-115560，只在「特殊設定＋特定程式寫法」組合下可被利用，官方將在下一個例行版本修補，在此之前建議關閉上傳進度功能。
• 10/26：JPCERT/CC 更新注意喚起（JPCERT-AT-2026-0033）：PoC 大量公開、攻擊通訊陸續被觀測到。但能否真的執行程式碼，取決於 PHP 版本、環境與記憶體配置。

重點

• JPCERT 列出的入侵自查重點：
  • 回應中有沒有異常長或格式怪異的 PHPSESSID Cookie
  • 可疑的 multipart/form-data 請求前後，有沒有 PHP 記憶體上限錯誤或 HTTP 500
  • PHP worker 是否異常結束或頻繁重啟
• JPCERT 也提醒：沒看到這些痕跡，不代表沒被攻擊。

對你的實務建議

企業 / IT 管理者

• 還沒更新的，立刻升到 8.5.12／8.4.27／8.3.36／8.2.35，重啟後確認實際執行的版本。
• 不管有沒有更新，先把 session.upload_progress.enabled=0 設下去，等下一個例行版本再說。
• PHP 8.1 以前已停止支援，盡快升級；做不到就先限制對外連線。
• 照 JPCERT 的三個重點翻日誌。真的發現異常，先保全證據再隔離。
• NAS、防火牆、VPN 設備內建 PHP 的，向原廠確認修補狀態。

一般用戶

• 自己架 WordPress 的：到主機商後台確認 PHP 版本。共享主機就寫信問主機商補了沒。

資料來源

• JPCERT/CC 注意喚起（2026/10/22 公開、10/26 更新）：https://www.jpcert.or.jp/at/2026/at260033.html
• PHP 官方公告：https://www.php.net/archive/2026.php
• oss-security（CVE-2026-115560）：https://www.openwall.com/lists/oss-security/2026/10/23/23
• BleepingComputer（2026/10/23）：https://www.bleepingcomputer.com/news/security/php-shares-mitigation-for-new-and-unpatched-rce-vulnerability/
• iThome 資安新聞列表（2026/10/24）：https://www.ithome.com.tw/security/news