【資安日報】10月14日，微軟發布10月例行更新，修補1,413個資安漏洞

요약

新聞本日新聞焦點 ● 微軟發布10月例行更新，修補1,413個資安漏洞 ● 法國超市冷藏設備遭駭引發歐洲警戒，Copeland設備也列入預警 ● Let's Encrypt明年TLS憑證效期從90天縮至64天，2028年再降至45天 ● Ubuntu開發商Canonical網站遭DDoS攻擊，部分服務中斷 ● OpenAI工程師涉嫌在公司會議室安裝竊聽裝置遭FBI逮捕資安新聞總覽 Danfoss冷藏設備在法國遭駭，老舊OT風險升溫，2022年已有前例近日傳出法國數百家超市使用的丹麥…

본문

本日新聞焦點

● 微軟發布10月例行更新，修補1,413個資安漏洞
● 法國超市冷藏設備遭駭引發歐洲警戒，Copeland設備也列入預警
● Let's Encrypt明年TLS憑證效期從90天縮至64天，2028年再降至45天
● Ubuntu開發商Canonical網站遭DDoS攻擊，部分服務中斷
● OpenAI工程師涉嫌在公司會議室安裝竊聽裝置遭FBI逮捕

資安新聞總覽

Danfoss冷藏設備在法國遭駭，老舊OT風險升溫，2022年已有前例

近日傳出法國數百家超市使用的丹麥廠商Danfoss冷凍冷藏系統管理控制器遭網路攻擊，攻擊者遠端操控店內設備除霜功能，造成溫度異常升高，恐導致價值數百萬歐元的生鮮及冷凍食品損失。設備業者Danfoss表示，這次受影響的設備多為舊款產品，或是仍在支援、但採用舊韌體的產品。然而，老舊冷藏控制設備的資安風險，並不是在此次事件後才首次浮現。Danfoss在2025年10月便警告，部分已進入產品生命週期終止（EOL）的舊產品已無法符合現行安全要求，並列舉過去使用AK-SM 800的超市遭駭案例，包括2022年俄羅斯16家超市，以及以色列40家門市。此事件也再次突顯，零售冷藏等OT環境同樣需要重視設備汰換、韌體更新，以及網路區隔等風險緩解措施。詳全文

法國超市冷藏設備遭駭引發歐洲警戒，預警擴及Copeland冷藏控制設備，義大利、德國跟進示警

法國數百家超市的冷凍冷藏控制系統遭到網路攻擊，引發其他歐洲國家資安機關關注。繼法國CERT-FR於10月12日發布警報後，義大利國家網路安全局（ACN）及德國聯邦資訊安全局（BSI）也於13日發布資安警示，呼籲食品零售、冷鏈物流及工控設備業者檢查連網設備是否暴露於網際網路，防範類似攻擊發生。其中，法國CERT-FR在13日更新警報時，將警示涵蓋的設備範圍，從原本的丹麥冷凍空調設備業者Danfoss旗下AK-SM與AK-SC系列控制器，擴大至美國冷凍空調設備業者Copeland及其旗下品牌Dixell的XWEB系列冷藏監控設備。波爾多地區一間使用Dixell設備的超市已傳出攻擊事件，駭客竄改設備的除霜與溫度控制參數，所幸人員及時處置，未造成食品損失。詳全文

荷蘭連鎖超市Albert Heijn遭遇資安事件，網站、App及電子貨架標籤受影響

荷蘭大型零售集團Ahold Delhaize於10月12日及13日發布並更新網路安全事故聲明，旗下連鎖超市Albert Heijn的網站、App及線上購物服務中斷，物流系統與實體門市的電子貨架標籤也受到影響，並波及同集團的藥妝連鎖品牌Etos及酒類零售品牌Gall & Gall。Albert Heijn於13日更新進度，表示已逐步恢復部分系統，電子貨架標籤也已恢復顯示一般商品價格，但線上訂購網站、配送、客服及部分會員服務仍未恢復正常。母公司Ahold Delhaize同日也發布說明，證實集團發生資安事件，已與外部資安專家合作調查，並表示目前沒有證據顯示客戶及員工資料遭竊，旗下歐美各品牌門市仍維持營業，但受影響程度不一。詳全文

Ledger硬體加密貨幣錢包設備驚傳被植入隱藏晶片，遭竊資產超過一億美元

法國硬體加密貨幣錢包設備Ledger驚傳用戶的資產遭不明原因洗劫一空，引起全球高度關注。10月9日Ledger表示問題源自經銷商CryptoBillis銷售的設備並著手調查，呼籲近3個月內從該經銷商購置硬體錢包的客戶，應將資產移轉到新錢包，並更換通關密語（seed）。此起事故迄今有超過300個錢包的資產遭竊，損失超過1億美元。而這些錢包遭竊的原因，竟是裝置被植入額外的元件，一旦用戶啟用，就會將通關密語傳送給攻擊者。Ledger表示正聯繫受害的用戶並與執法機關合作，強調該公司的安全基礎設施、系統，以及服務未遭到入侵。詳全文

OpenAI工程師涉嫌安裝竊聽裝置遭FBI逮捕

美國司法部於10月13日宣布，美國聯邦調查局（FBI）已逮捕一名涉嫌在OpenAI辦公室安裝秘密錄音裝置的工程師。35歲的沙烏地阿拉伯籍男子Abdulrahman Alfozan於10月9日遭逮捕，目前仍遭聯邦拘留，若罪名成立，最高面臨5年徒刑及25萬美元罰款。Alfozan自2025年7月起擔任OpenAI工程師。OpenAI於9月30日例行進行反竊聽安全檢查時，在舊金山辦公室的高階主管會議室發現一個秘密錄音裝置，調查顯示，該裝置約於9月28日安裝，儲存內容經過加密。OpenAI也在官方X帳號表示，該公司利用AI模型分析錄音裝置及其來源，確認該裝置是Alfozan在幾天前安裝，隨後將案件移交FBI。目前並無跡象顯示模型權重、原始碼或客戶資料遭未經授權存取或外洩。詳全文

GhostAction攻擊再襲GitHub，346個儲存庫遭植入竊密工作流程

資安業者Socket揭露，軟體供應鏈攻擊GhostAction再度利用遭入侵的GitHub維護者帳號，在數百個程式碼儲存庫植入惡意自動化工作流程。GhostAction最早於2025年9月曝光，駭客取得GitHub帳號寫入權限後，會在儲存庫加入偽裝成安全檢查的工作流程，藉此取得套件發布憑證、雲端服務金鑰等資料。研究人員調查10月8日起的新一波攻擊，發現駭客利用兩個遭入侵的維護者帳號，在346個儲存庫植入惡意工作流程，受影響專案包括開源遊戲引擎Pyxel與Uber旗下的AthenaDriver。新版惡意工作流程會取得儲存庫可存取的完整Git提交歷史，再檢查過去程式碼變更，搜尋AWS、GitHub與OpenAI等服務金鑰或存取權杖，即使金鑰已從目前版本刪除，只要仍留在歷史紀錄中，就可能被找到。詳全文

Ubuntu開發商Canonical網站遭DDoS攻擊，部分服務中斷

開發與維護Linux作業系統Ubuntu版本的廠商Canonical於10月8日表示，該公司旗下的網站遭受持續性的分散式阻斷服務（DDoS）攻擊，導致部分服務可能暫時無法提供。根據Ubuntu資訊網站Ubunlog報導，這起事故造成Canonical主要入口網站與部分服務停擺超過4個小時，攻擊者針對Canonical公開的伺服器，試圖癱瘓文件、新聞，以及線上工具等重要服務的運作。這起事故是Canonical今年發生的第二起DDoS攻擊，不過該公司並未透露攻擊者的身分。詳全文

惡意程式PoeLLM利用GitHub上英文詩取得C2位址，入侵逾3,400臺伺服器

美國電信業者Lumen旗下資安研究團隊Black Lotus Labs揭露PoeLLM惡意程式攻擊行動，至少自今年4月起鎖定對外開放的AI及開源服務，累計入侵超過3,400臺伺服器。遭入侵的主機被用於加密貨幣挖礦，也會掃描及攻擊其他系統。PoeLLM還利用存放在GitHub儲存庫中的英文詩取得指揮與控制（C2）伺服器位址，駭客只要修改詩中的關鍵字，就能讓受害主機連上新的控制伺服器。受害主機主要分布在美國與西歐，包括運行LiteLLM、Ollama等AI服務的系統，另有PDF轉換工具Gotenberg及軟體開發平臺Gitea主機。詳全文

微軟發布10月例行更新，修補1,413個資安漏洞

微軟繼9月份例行更新修補近1,000個資安漏洞後，本月該公司修補的漏洞數量，再度大幅增加。10月13日微軟發布例行更新，這次一共修補1,413個由該公司登記CVE編號的漏洞，相較於9月974個增加約45%。此外，本次微軟也修補由思科威脅情報團隊Talos登記的一個遠端程式碼執行（RCE）漏洞，編號為CVE-2026-21413，微軟評估其CVSS嚴重程度為9.8分，認定為重大等級的弱點。與上個月相同的是，Windows作業系統的漏洞仍是大宗，這次有1,102個，約占本次公布漏洞的78%；辦公室軟體Office漏洞的數量居次，有134個。詳全文

微軟修補3個零時差漏洞，其中一個已遭利用

本週微軟發布10月例行更新，破紀錄修補1,413個資安漏洞，並提及兩個零時差漏洞CVE-2026-96951、CVE-2026-108398需特別留意，這些弱點都涉及安全功能繞過，其中一個已遭到實際利用。被用於實際攻擊的漏洞是CVE-2026-96951，存在於Windows Shell，攻擊者可能藉此迴避防護機制Mark of the Web（MoTW），CVSS嚴重程度評分為8.8。另一個安全功能繞過漏洞CVE-2026-108398與.NET Framework有關，攻擊者可能藉此執行未經授權的應用程式，CVSS評分同為8.8，該漏洞在微軟修補前已被公開。另有一個漏洞CVE-2026-92707，也同樣在微軟修補之前就被公開，未經授權的攻擊者可藉此發動阻斷服務攻擊，CVSS評分為5.3。詳全文

Ivanti發布10月例行更新，修補已遭利用的SSL VPN漏洞

資安廠商Ivanti於10月13日發布本月例行更新，修補旗下應用系統Ivanti Connect Secure（ICS）、Ivanti Neurons Patch for Intune，以及Xtraction。其中最值得留意的是已遭利用的ICS漏洞，該公司已掌握少數實際利用的情形，並與受影響的客戶合作，呼籲用戶應根據資安公告的內容，儘速升級至新版本，並定期執行系統完整性檢查工具，以防ICS遭到入侵及竄改。這個ICS漏洞被登記為CVE-2026-104935，Ivanti在公告裡僅有提及，一旦成功利用，未通過身分驗證的攻擊者可遠端執行任何指令，CVSS嚴重程度評分為8.6分。詳全文

美國政府警告Windows、Ivanti SSL VPN零時差漏洞遭積極利用

10月13日美國網路安全與基礎設施安全局（CISA）表示，已掌握兩個資安漏洞遭到積極利用的證據，將其加入已遭利用的漏洞名單（KEV），並要求聯邦機構必須在3天內（10月16日）緊急修補。這些漏洞是：Windows命令注入漏洞CVE-2026-96951，以及Ivanti Connect Secure（ICS）身分驗證繞過漏洞CVE-2026-104935。微軟、Ivanti已在同日發布資安公告，確認這些零時差漏洞已遭到利用，呼籲用戶應儘速套用更新程式。詳全文

Google發布10月Android例行更新，修補近30個漏洞

10月5日Google發布Android本月例行更新，一共修補28個漏洞，有8個為重大等級，其餘大部分為高風險等級。這些弱點分布於框架、系統，以及Google Play相關元件，存在於系統的漏洞最多，有18個，框架有7個、Google Play有3個涉及Project Mainline元件的弱點。使用者應留意裝置廠商的資安公告，以即時套用相關新版韌體。從前述漏洞的類型來看，權限提升（EoP）有13個最多，阻斷服務（DoS）有7個居次，另有4個為資訊洩露（ID）弱點。詳全文

ChromeOS與ChromeOS Flex新版上線，修補106個資安漏洞

ChromeOS與ChromeOS Flex作業系統穩定版的更新16805.33.0，於10月9日上線，並納入106個資安漏洞的修補，其中有5個漏洞被評為重大等級，44個漏洞為高風險等級。從這次漏洞修補涉及的元件類型來看，是以JavaScript引擎V8的漏洞最多，一共有12個；在漏洞類型方面，仍以記憶體安全問題為最大宗，其中記憶體已釋放卻仍被使用（UAF）問題有28個。詳全文

Google更新Chrome 155穩定版，修補37個資安漏洞

Google於10月13日發布Chrome瀏覽器新版本，在桌面版方面，Windows與Linux平臺穩定版更新至155.0.8059.79，Mac平臺版本更新至155.0.8059.80；在行動裝置版方面，Android版本則更新至155.0.8059.79。此次更新共修補37個資安漏洞，包括7個重大漏洞與29個高風險等級漏洞。就這次修補涉及的元件來看，多媒體處理元件Media所占數量最多，就漏洞類型而言，則是以記憶體安全問題占多數，記憶體已釋放卻仍被使用（UAF）問題就有25個。詳全文

Mozilla發布Firefox 158，修補77個資安漏洞

Mozilla於10月13日發布Firefox瀏覽器158版，並修補77個漏洞，包含30個高風險漏洞。就漏洞涉及的元件來看，這次Firefox修補以負責處理網頁內容與結構的元件DOM數量最多，一共占18個漏洞；在漏洞類型方面，這次Firefox修補則以記憶體已釋放卻仍被使用（UAF）問題最多，一共有24個，占漏洞總數將近三分之一。詳全文

Telegram Desktop高風險漏洞可能導致帳號接管，研究人員已公開PoC

研究人員近日公開即時通訊軟體Telegram高風險漏洞CVE-2026-107181的概念驗證程式（PoC），可能讓攻擊者誘使用戶點擊特製連結，竊取本機檔案並接管帳號，Telegram Desktop 7.2.8及以前版本都受此漏洞影響，Telegram已於9月17日發布7.2.9版修補，用戶應儘速更新。CVE-2026-107181的CVSS嚴重性評分達8.6分，問題源於Telegram Desktop程式處理程序間通訊（IPC）時，未妥善處理用來分隔指令的字元，攻擊者可藉此注入額外指令，利用內部功能讀取檔案，並傳送至攻擊者控制的聊天群組，若受害者未設定本機密碼，還可能遭接管帳號。詳全文

Rust型別檢查漏洞藏近11年，違反記憶體安全限制的程式仍可通過編譯

Rust編譯器被發現存在潛伏近11年的型別檢查漏洞，即使程式碼未使用關鍵字unsafe，仍可能繞過生命週期限制，讓原本應被拒絕的程式通過編譯，執行時存取已失效的記憶體。依照Rust的設計，不符合生命週期限制的程式應在編譯階段遭到阻止，未使用unsafe的Rust程式碼，原則上不應產生這類記憶體安全問題，但有開發者發現，Rust結構（struct）即便已設定生命週期限制，編譯器仍可能接受不符合限制的欄位賦值。前述問題至少可追溯至2015年的Rust 1.4版。Rust開發團隊已將其列為高優先級，修補提案仍在審查中，目前尚未公布修補版本，也沒有已遭實際攻擊利用的證據。詳全文

Let's Encrypt明年將TLS憑證效期從90天縮至64天，2028年再降至45天，憑證續期自動化更顯重要

Let's Encrypt宣布自2027年2月10日起，預設簽發的TLS憑證效期將從90天縮短為64天，並計畫於2028年進一步降至45天，以縮短私鑰外洩或憑證誤發後的風險暴露時間。由於憑證效期愈短，人工申請、部署與更新的頻率及維運負擔也隨之增加，因此續期自動化將更為重要。已採用自動續期且支援ACME Renewal Information（ARI）的用戶通常不需大幅調整，但仍應檢查續期排程、憑證部署流程及失敗警示機制，避免效期縮短後發生憑證過期問題。Let's Encrypt另外也將縮短網域驗證授權的重複使用期限（authorization reuse period），由目前的30天降為10天，2028年再進一步縮短至7小時。詳全文

OpenSSF與OpenChain提軟體供應鏈安全指引，協助企業因應CRA等歐盟法規

開放原始碼安全基金會（OpenSSF）與OpenChain專案共同提出軟體供應鏈安全指引，協助企業因應歐盟《網路韌性法》（CRA）及NIS2指令等法規要求。這份指引結合OpenChain的組織管理標準與OpenSSF的軟體安全技術，建議企業盤點軟體元件、建立軟體物料清單（SBOM）、追蹤漏洞及其影響範圍，並保存軟體來源、建置流程與漏洞處理紀錄，作為客戶審查及法規稽核的佐證，企業可運用OpenSSF相關工具分析元件相依關係與漏洞。但採用前述標準及工具，並不代表已符合CRA或NIS2法規，仍須依實際適用要求進行評估。詳全文

iThome資安新聞編輯團隊溫馨提醒

擔心錯過重要的資安新聞嗎？資安日報與資安週報即日起推出免費電子報訂閱，每天每週直送資安要聞，提供專業、易懂、便於轉述的最佳中文資安情報，助你掌握全球與臺灣最新資安脈動。

→ 訂閱資安日報 · → 訂閱資安週報

iThome Security

`; const widget = data?.bottomBar?.map((item) => { item.url = getLink(item); item.time = formatTime(item.duration); return item; }); widget?.forEach((item) => { listElm += renderElm(item); }); listElm += ""; const rootElm = 立即報名`; } return ""; } function isSignupOpen(item) { const fromStr = item.registerStarted; const toStr = item.registerFinished; let isOpen = false; if ( item.type == "webinar" && fromStr.length > 0 && toStr.length > 0 ) { const from = new Date(fromStr).getTime(); const to = new Date(toStr).getTime(); const current = Date.now(); if (current >= from && current 直播中`; } else if (item.type == "webinar" && item.webinarstarted.length > 1) { elm += `${getDate(item.webinarstarted)} `; } else if (item.type == "vod") { elm += `${item.time} 分`; } else { elm = ""; } return elm; } function getDate(date){ return (date.split(" "))[0] } function renderElm(item) { const result = `