2026-11-02｜共 6 則｜產生時間 2026/11/02 16:38
91APP資安事件25天調查報告出爐，2025/4/4~2026/10/14期間成立的訂單恐涉姓名、電話、地址、email及訂單紀錄外洩（不含密碼、信用卡），最大範圍波及1,329品牌、479.8萬名消費者（含無印良品、寶雅、adidas等）。91APP宣布不論品牌、有無財損一律全額負責，補償申請至2027/2/1止，並自11/2起發信簡訊通知受影響消費者。用91APP開店平台的企業應確認自家訂單是否受影響、提醒客戶慎防後續詐騙簡訊。
台灣前進陣線於10/27發現，中選會公職候選人財產申報查詢網站雖僅顯示姓名、選區，但透過瀏覽器開發者工具即可無須帳密取得身分證字號，影響81名縣市長、1,492名議員候選人（含蔣萬安、沈伯洋等）。中選會初判為委外廠商將身分證字號誤放入非公開查詢檔案，已於10/27晚間下架修正後重新開放，並將依個資法辦理。政府標案委外交付前的資安驗收，應實測前端可取得資料是否真的做到遮蔽。
日本金融資安大廠GMO集團旗下外匯保證金雲端交易服務遭駭，駭客取得高權限管理帳號、直接存取客戶電腦桌面，攻擊逾2.6萬台雲端伺服器，同步竊取個資、勒索並進行惡意交易，已有受害者損失近180萬日圓。GMO拒絕妥協後駭客公布竊得資料，公司提供每人最高300萬日圓補償、懸賞1.5億日圓緝凶。使用委外雲端交易/資料平台的金融業者，應檢視高權限帳號是否有多因素驗證與異常登入警示。
Cisco揭露Secure Firewall ASA與FTD的SSL VPN服務存在邏輯錯誤漏洞CVE-2026-76418（CVSS 8.6），未經身分驗證的攻擊者傳送特製請求即可讓設備意外重開機、中斷VPN/防火牆服務，CISA已於10/29列入KEV並要求聯邦機構11/1前完成修補。無法立即更新者可先停用隧道群組的次要身分驗證功能暫時緩解。使用Cisco ASA/FTD做遠端VPN的企業應儘速確認版本並套用更新。
CISA於10/26將CVE-2026-109618、CVE-2026-109619（合稱PHP2Shell，皆可致未經驗證遠端程式碼執行）列入已遭利用漏洞目錄。PHP雖已於10/21釋出修補版本（8.2.35/8.3.36/8.4.27/8.5.12），但文章提醒修補程式存在不等於已部署完成，企業應實際盤點哪些服務仍在跑舊版PHP（含mod_php與PHP-FPM環境）並確認升級已生效，而非只看供應商公告。
研究人員5月已通報、10/29於GitHub釋出PoC：利用Android處理WAP Push簡訊機制的數值溢位，攻擊者傳約20~30則特製簡訊，完全不須使用者點擊即可讓手機陷入每90秒自動重開機的惡性循環。Google已將修補納入10月更新釋出給Android 14~17，但Android 12、13已停止官方支援、大量舊機無解，企業IT若仍配發舊版Android公務機，應評估加速汰換或限制簡訊接收管道。