【資安日報】10月22日，PHP發布緊急安全更新，修補震驚全球的重大漏洞PHP2Shell

요약

新聞本日新聞焦點 ● PHP發布緊急安全更新，修補震驚全球的重大漏洞PHP2Shell ● Node.js修補高風險漏洞，Brotli解壓縮錯誤恐讓駭客遠端執行程式碼 ● Langflow重大遠端程式碼執行漏洞，已觀測逾3,400次攻擊嘗試 ● 印度eMudhra中繼CA私鑰可被還原，瀏覽器緊急封鎖相關憑證 ● Fortinet同步修補多款產品漏洞，涵蓋5大產品系列及多個版本分支資安新聞總覽多家資安公司警告PHP零時差漏洞風暴即將來襲，預告修補的重大漏洞已經曝光 PHP開發團隊於1…

본문

本日新聞焦點

● PHP發布緊急安全更新，修補震驚全球的重大漏洞PHP2Shell
● Node.js修補高風險漏洞，Brotli解壓縮錯誤恐讓駭客遠端執行程式碼
● Langflow重大遠端程式碼執行漏洞，已觀測逾3,400次攻擊嘗試
● 印度eMudhra中繼CA私鑰可被還原，瀏覽器緊急封鎖相關憑證
● Fortinet同步修補多款產品漏洞，涵蓋5大產品系列及多個版本分支

資安新聞總覽

多家資安公司警告PHP零時差漏洞風暴即將來襲，預告修補的重大漏洞已經曝光

PHP開發團隊於10月20日預告將發布重大安全更新，修補兩個CVSS v4.0評分達9.2分的漏洞，但相關資訊疑似提前外流。威脅情報公司watchTowr確認，漏洞編號為CVE-2026-109618與CVE-2026-109619，皆可造成遠端程式碼執行（RCE），並被稱為PHP2Shell。資安業者也發現針對這些漏洞的概念驗證及利用工具，Huntress更掌握漏洞遭利用的跡象。由於PHP廣泛用於網站、內容管理系統及電商平臺，研究人員警告，漏洞正式公開及修補程式發布後，可能迅速引發大規模攻擊，建議管理者及早準備並立即更新。詳全文

PHP發布緊急安全更新，修補震驚全球的重大漏洞PHP2Shell

PHP開發團隊於10月21日發布緊急安全更新，修補兩個統稱為PHP2Shell的重大遠端程式碼執行（RCE）漏洞CVE-2026-109618與CVE-2026-109619，CVSS v4.0評分均達9.2分。漏洞影響PHP核心，未經驗證的攻擊者可能透過特製網路請求執行任意程式碼，風險涵蓋PHP-FPM、Apache的mod_php、php-cgi及其他處理網路請求的環境，用戶應升級至已修補的PHP 8.5.12、8.4.27、8.3.36及8.2.35等版本，使用PHP 8.1及更早版本者則應向Linux發行版或長期支援服務商確認修補方式。PHP呼籲用戶立即更新，暫時無法升級者可採取緩解措施，但不能取代修補。詳全文

PHP2Shell漏洞已遭大規模攻擊嘗試，逾2,260萬個實例可能曝險

PHP重大漏洞PHP2Shell已出現大規模攻擊嘗試。資安業者Hadrian在正式修補程式發布前約2.5小時，就觀察到攻擊者利用PHP檔案上傳進度追蹤機制發動攻擊，Cloudflare也發現攻擊者持續調整惡意請求，試圖規避網頁應用程式防火牆（WAF）偵測，並已部署新防護機制。Palo Alto Networks估計，全球逾2,260萬個對外曝露的實例可能受影響，至少一個歐洲國家政府網站已預防性下線。資安公司Wiz表示，PHP支撐全球約7成網站，包括WordPress、Drupal及Joomla等內容管理系統，而PHP2Shell漏洞存在於PHP核心，影響範圍廣泛。詳全文

Node.js修補4項高風險漏洞，Brotli解壓縮錯誤恐讓駭客遠端執行程式碼

Node.js於10月21日發布安全更新，修補10項漏洞，其中4項列為高風險，影響22.x、24.x及26.x版本分支，用戶應更新至已修補的26.12.1、24.22.1及22.23.4等版本。最嚴重的Brotli解壓縮漏洞CVE-2026-111497可能造成記憶體越界寫入，進而讓攻擊者遠端執行程式碼，另有漏洞涉及TLS憑證驗證及DNS網域名稱解析問題，可能導致憑證驗證遭繞過或查詢對象與預期不符。Node.js此次更新也調整憑證信任資料，以因應eMudhra部分中繼憑證的私鑰可從公開憑證還原事件，官方建議使用者儘速升級。詳全文

資安署針對PHP、Node.js、Go緊急更新提出警告，呼籲用戶儘速採取行動

PHP、Node.js及Go於10月21日接連發布安全更新後，數位發展部資通安全署於22日發布警訊，呼籲政府機關、學校及企業儘速清查系統並完成修補。資安署已透過資安警訊、國家資安資訊分享與分析中心（N-ISAC）及TWCERT/CC等管道通知相關單位。由於PHP廣泛用於WordPress、Drupal、Joomla及Magento等內容管理與電商平臺，組織應盤點所有PHP系統及套件；採用Go的開發團隊則須重新編譯並部署應用程式，才能套用更新中的憑證安全機制。詳全文

91APP資安事件持續延燒，多家合作品牌示警，消費者接獲疑似詐騙郵件

91APP Commerce Cloud資料庫遭自動化攻擊事件持續發酵，多家合作品牌陸續發布資安公告與防詐提醒，消費者也反映收到冒用商家名義、內容涉及真實訂單資訊的可疑郵件。部分品牌已確認事件與使用91APP電商系統有關，包括摩曼頓、滿心及2nd STREET TAIWAN等，詐騙郵件則以重複訂購、定期扣款等理由，誘導收件者聯繫假冒客服。91APP表示，10月14日確認資料庫遭攻擊，但調查發現攻擊紀錄可追溯至10月3日。數發部已介入行政檢查，要求釐清遭擷取資料種類、受影響品牌與消費者人數，目前實際影響範圍仍待確認。詳全文

針對91APP資料庫遭非法存取事件，數產署已啟動行政檢查，釐清個資影響範圍

電商技術服務商91APP的Commerce Cloud資料庫遭未授權存取後，數位發展部數位產業署已於10月19日會同資安院及外部資安、法律專家前往業者所在地進行行政檢查，釐清攻擊途徑、資料庫權限管理、異常存取偵測機制及其他系統是否受影響。目前91APP已確認部分資料遭擷取，但涉及的個資種類、筆數及受影響人數仍待調查，數產署要求該公司盤點受影響品牌與消費者，依調查結果通知相關對象，並持續追蹤改善情形；若查有違反個人資料保護法等相關規定，將依法處理。詳全文

日本虛擬私有主機業者Onamae遭駭，逾2.6萬臺客戶伺服器恐受影響

日本虛擬主機業者Onamae.com於10月20日發現，部分Desktop Cloud客戶伺服器遭第三方未授權存取，並被植入惡意程式，可能影響多達26,739臺伺服器。該公司為防止損害擴大，自10月21日凌晨起陸續停止所有方案的伺服器服務，恢復時間尚未確定。Onamae表示，目前尚未確認其保管的客戶個資外洩，或遭檢視的資料被濫用，伺服器也未保存用戶信用卡等付款資訊，呼籲用戶立即更換虛擬伺服器的驗證資訊（如ID或密碼），也應立即變更使用同一組密碼的其他服務帳密。詳全文

勒索談判業者疑與駭客組織ShinyHunters勾結，協助經營勒索網站

FBI追查駭客組織ShinyHunters再有新進展，加拿大資安業者主管Edward Dubrovsky已遭逮捕，面臨參與勒索活動的相關刑事指控。資安媒體KrebsOnSecurity另報導，調查人員懷疑美國一家顧問公司的主管曾協助經營ShinyHunters勒索網站Shinywire，該網站曾列出近百家遭入侵組織，要求受害者協商付款，否則公開遭竊資料。相關業者與ShinyHunters聯繫的線索，據稱來自荷蘭落網嫌犯的Signal通訊紀錄。詳全文

俄羅斯APT28入侵北約成員國造船企業，竊取認證資料並建立內網通道

資安業者Symantec揭露，俄羅斯駭客組織APT28近期針對兩個北約成員國的執法機關、海軍造船企業及軍用飛機引擎製造商發動攻擊，研判與針對歐洲政府及國防組織的間諜活動有關。問題源自造船企業員工開啟含有惡意巨集的Word文件後，電腦遭植入HookEdge後門，攻擊者進一步竊取認證資料、蒐集內網資訊，並利用SSH反向通道持續存取內部網路。研究人員另發現名為ld.exe的未知載入工具，但尚無法確認其後續用途。詳全文

Bullhorn人力招募系統遭網攻一度停機，要求客戶重設API密碼

美國人力招募軟體公司Bullhorn於10月17日遭網路攻擊，為遏止可疑活動而暫停招募管理平臺服務，並委託資安業者CrowdStrike協助調查。此次攻擊事件影響該公司旗下Bullhorn ATS/CRM等產品，部分客戶一度無法存取求職者資料及招募系統。服務陸續恢復後，未使用單一登入（SSO）的用戶須重設密碼，透過API串接其他軟體的客戶也必須更換API密碼並重新部署程式。Bullhorn尚未確認客戶資料是否遭竊，也未公布攻擊者身分與入侵途徑，該公司提醒用戶提防冒充官方人員的郵件、簡訊及電話，切勿提供密碼或驗證碼。詳全文

加州學校測驗委外商遭駭，數百萬學生個資外洩

美國加州教育部委託的非營利教育測驗機構ETS遭駭，數百萬名公立學校學生的個資與教育紀錄可能外洩。攻擊者利用遭入侵的登入憑證，於5月22日至9月18日期間多次存取安全檔案傳輸協定（SFTP）伺服器並複製資料，直到9月25日才被發現。外洩資訊可能包含姓名、生日、住址、測驗成績等，但不含社會安全碼、金融帳戶資料及密碼。加州教育部已於10月16日公告此事件，並開始通知受影響家庭。詳全文

Langflow重大遠端程式碼執行漏洞，已觀測逾3,400次攻擊嘗試

資安業者Previdian觀察到，開源AI開發平臺Langflow的重大漏洞CVE-2026-105740遭到持續攻擊，截至10月22日上午，誘捕系統已記錄3,460次攻擊嘗試，流量來自31個IP位址，分布於17個國家及地區。該漏洞CVSS評分達9.9，影響Langflow 1.9.0之前的版本，已登入的攻擊者可利用MCP的Stdio傳輸功能注入系統指令，進而遠端執行程式碼。Previdian於9月19日首次觀察到攻擊活動，10月11日起明顯增加。Langflow已推出1.9.0修補版本，管理者應儘速更新。詳全文

印度數位憑證業者eMudhra中繼CA私鑰可被還原，瀏覽器緊急封鎖相關憑證

印度數位憑證業者eMudhra旗下8張中繼CA憑證的私鑰，因金鑰產生指令碼可能存在錯誤，導致較弱的金鑰被誤用於中繼CA憑證簽署，可從公開憑證還原，攻擊者可能藉此偽造HTTPS憑證，冒充合法網站。受影響憑證中有6張用於簽發TLS憑證。Google已透過Chrome憑證封鎖機制阻擋相關金鑰，Mozilla也在Firefox封鎖受影響憑證，Go則更新憑證驗證機制。Google另計畫於10月27日從Chrome Root Store移除簽發這些憑證的emSign ECC Root CA - G3，可能使部分合法網站憑證失效，須及早更換。eMudhra表示，受影響憑證未曾簽發終端實體憑證，根CA私鑰也未受影響。詳全文

LiteLLM工程師GitHub憑證遭竊，官方發布流程成惡意程式散布管道

開源AI模型串接套件LiteLLM於10月21日遭遇新一波供應鏈攻擊，駭客竊取3名工程師的GitHub憑證，滲透軟體發布流程，散布含有竊資程式與遠端控制後門的惡意版本1.107.0。受影響套件曾透過PyPI、Docker Hub及GitHub Container Registry發布。受污染套件會在Python執行環境植入惡意檔案，使同一環境中的其他Python程式啟動時也可能載入惡意程式，即使這些程式並未使用LiteLLM，攻擊者可藉此竊取雲端憑證、AI服務金鑰、遠端登入的私鑰，以及LiteLLM資料庫中的金鑰，再將資料傳送到外部伺服器。LiteLLM已撤下受污染版本、撤銷相關憑證並限制GitHub組織存取權限，建議使用者暫時使用1.106.2版，在乾淨環境中重新安裝並更換可能外洩的憑證。詳全文

Fortinet同步修補多款產品漏洞，涵蓋5大產品系列及多個版本分支

網路安全設備廠商Fortinet於10月21日發布多款產品的安全強化更新，涵蓋FortiOS、FortiManager、FortiAnalyzer、FortiMail及FortiAuthenticator等5大系列，影響範圍遍及多個主要版本分支，此次修補包含重大與高風險漏洞。FortiOS、FortiManager及FortiAnalyzer更新於10月22日推出，FortiMail與FortiAuthenticator則已先行發布修補版本。Fortinet提醒客戶優先更新對外連網設備，若暫時無法升級，應限制管理介面存取並採取緩解措施。此次更新相關漏洞的具體訊息，預計於11月10日發布。詳全文

GitHub開放NPM套件防火牆，可在安裝前攔截高風險版本

GitHub推出NPM套件防火牆公開預覽版，讓企業在開發者電腦、CI/CD建置環境及AI程式開發代理下載套件時，依安全政策攔截高風險版本，降低惡意套件於安裝階段竊取憑證的風險。防護機制包括比對已知惡意套件與漏洞通報、檢查新版是否新增安裝指令碼或失去原有建置來源證明，以及設定新版本冷卻期，避免套件剛發布便立即導入環境。目前僅支援NPM套件，開放GitHub Enterprise Cloud客戶免費使用；正式推出後將依使用量收費。詳全文

趨勢科技宣布提供最高100億日圓資安服務，協助日本企業強化網路韌性

趨勢科技推出日本網路韌性計畫，規劃提供最高相當於100億日圓的TrendAI Flex軟體授權額度，協助日本企業透過TrendAI Vision One平台升級資安防護，優先支援關鍵基礎設施、大型企業及供應鏈中的中小企業。計畫也將提供符合資格企業最多10天免費專業服務、技術工程師及託管式偵測與應變（MDR）支援；中小企業可申請端點防護服務60天試用，個人則可免費使用防詐服務ScamCheck 90天。趨勢科技強調，百億日圓是產品與服務資源估值，並非現金補助，計畫將分階段推出。詳全文

AI代理安全新創Pluto Security獲4,200萬美元投資

以色列資安新創Pluto Security宣布結束隱身階段，累計募得4,200萬美元，將用於產品開發、資安研究及拓展美國市場。該公司推出企業AI安全管理平臺，可辨識員工使用的AI工具與擴充元件，監控AI代理執行任務的活動，並依安全政策限制高風險操作，也能整合既有端點安全及裝置管理系統。此外，Pluto提供免費服務Plutonium，協助檢查AI技能、擴充套件及MCP伺服器的安全風險。目前該公司防護範圍已涵蓋逾150萬個端點，擁有30多家企業客戶。詳全文

Anthropic取得Opaque機密AI技術與人才

AI業者Anthropic取得機密AI新創Opaque Systems的技術授權，並延攬執行長及技術長等部分員工，Opaque則將結束營運。Opaque運用機密運算技術，保護AI處理中的敏感資料與模型，降低資料遭未授權存取的風險；另發展可驗證AI技術，透過密碼學證據確認AI系統及代理的執行環境與操作是否符合安全政策。Opaque結束營運後，相關開源專案仍可依既有授權使用，相關開源工作將透過AgenTrust延續，該公司創辦的Confidential Computing Summit已由Linux基金會承接。詳全文

iThome資安新聞編輯團隊溫馨提醒

擔心錯過重要的資安新聞嗎？資安日報與資安週報即日起推出免費電子報訂閱，每天每週直送資安要聞，提供專業、易懂、便於轉述的最佳中文資安情報，助你掌握全球與臺灣最新資安脈動。

→ 訂閱資安日報 · → 訂閱資安週報

iThome Security

`; const widget = data?.bottomBar?.map((item) => { item.url = getLink(item); item.time = formatTime(item.duration); return item; }); widget?.forEach((item) => { listElm += renderElm(item); }); listElm += ""; const rootElm = 立即報名`; } return ""; } function isSignupOpen(item) { const fromStr = item.registerStarted; const toStr = item.registerFinished; let isOpen = false; if ( item.type == "webinar" && fromStr.length > 0 && toStr.length > 0 ) { const from = new Date(fromStr).getTime(); const to = new Date(toStr).getTime(); const current = Date.now(); if (current >= from && current 直播中`; } else if (item.type == "webinar" && item.webinarstarted.length > 1) { elm += `${getDate(item.webinarstarted)} `; } else if (item.type == "vod") { elm += `${item.time} 分`; } else { elm = ""; } return elm; } function getDate(date){ return (date.split(" "))[0] } function renderElm(item) { const result = `