(文：陳宣宏博士）

必維集團驗證事業部(Bureau Veritas Certification，以下簡稱BV)即日起提供資安暨AI週報，定期彙整台灣與全球重要資安事件、最新法規動態、產業趨勢及資訊安全相關議題，協助企業即時掌握資安風險與管理重點，強化組織資訊安全韌性。 

本週企業資安焦點集中在「修補時間被攻擊自動化壓縮」。PHP2Shell兩項重大漏洞在修補後迅速被列入已知遭利用漏洞清單，後續又出現與Linux核心提權漏洞串接、鎖定防火牆與管理設備的攻擊；同一時間，進階攻擊者使用ARTEX代理式AI框架，把掃描、密碼噴灑與OAuth濫用加速到機器速度，臺灣91APP事件也發現相同工具鏈痕跡。另一方面，Magento電商網站長期被植入惡意載入器、Northflank事件造成AI API Key遭未授權使用，加上GitLab與Cisco防火牆漏洞遭實際利用，都再次說明企業要保護的不只是主機，還包括第三方套件、管理介面、CI/CD、服務身分與Secrets。[1][2][3][4][5][6][7][8][9]

PHP2Shell：像大樓共用機房出現一扇沒上鎖的門

PHP（PHP: Hypertext Preprocessor）是一種常見的伺服器端程式語言，主要負責在使用者開啟網頁時，由伺服器即時處理登入驗證、資料庫查詢、表單、購物車與後台管理等功能，再把產生的網頁內容送到瀏覽器。至今許多網站、內容管理系統與設備管理介面都可能以PHP開發，因此PHP一旦出現重大漏洞，影響的往往不只單一網站程式，而可能連帶波及大量共用相同底層元件的系統。

若把網站想成一棟大樓，WordPress、Drupal、Magento等應用像不同公司租用的樓層，PHP則像大家共用的機房與電梯控制系統。即使各公司的門禁做得很好，只要底層共用系統有漏洞，陌生人仍可能繞過前台，在不需要帳密的情況下讓伺服器執行指令。PHP2Shell涉及CVE-2026-109618與CVE-2026-109619，兩者皆可能造成未經驗證的遠端程式碼執行；CISA已確認遭實際利用。臺灣資安署也指出，部分防火牆與網通設備把PHP嵌在管理介面中，若管理頁面直接暴露於網際網路又未修補，風險明顯升高。研究情資稱美、日、韓及臺灣共有25部防火牆與網通設備疑似遭相關攻擊。[1][2][3]

PHP事件給企業的真正提醒：不知道自己用了PHP，比漏洞本身更危險

許多單位未必知道設備或套裝軟體內部使用PHP。管理者可能只看到「防火牆、NAS、控制台、CMS」等產品名稱，卻不知道底層元件版本。因此盤點不能只問「我們有沒有架PHP網站」，還要確認所有對外服務、管理介面、網通與嵌入式設備是否帶有PHP元件。對已停止維護的PHP 8.1及更舊版本，不能期待官方安全更新；若無法立即升級，至少應限制管理介面來源、隔離服務、保留日誌並檢查是否已有webshell或異常帳號。這不只是網站工程師更新版本，而是一次軟體資產清冊是否完整的壓力測試。[2][3]

AI自主攻擊：防守方看到警報時，攻擊可能已跑完好幾輪

Microsoft揭露，已有威脅組織透過Storm-0940使用ARTEX代理式AI框架，自動化掃描、密碼噴灑、雲端偵察與OAuth應用程式濫用，部分案例從鎖定目標到取得高權限雲端存取不到3小時；在ConnectWise供應鏈事件後，攻擊者還以遭竊應用憑證對2,250多個租戶嘗試登入。[4] 臺灣91APP事件調查也發現ARTEX痕跡，攻擊者利用未及時修補的第三方工具漏洞進入內網，再取得資料庫金鑰並存取訂單資料。[5] AI帶來的改變不只是攻擊者變聰明，而是同一套入侵步驟能不休息地大量重複。企業應縮短高風險漏洞修補時限，並監控服務主體、OAuth應用、CI/CD權杖與資料庫金鑰的異常使用。

電商與供應鏈：修補完成，不代表攻擊者已經離開

Sansec追蹤一波長期滲透Magento電商網站的活動，累計發現953家商店被植入惡意載入器；新版本還會判斷訪客是真人還是安全掃描器，再決定是否送出惡意程式碼，以降低被發現機率。部分網站即使核心漏洞已補上，仍可能因先前留下的惡意管理帳號、資料庫修改或後門而再次出現載入器。[6] 因此「Patch完成」與「Incident Closed」不是同一件事：曾暴露在重大漏洞期間的系統，還應檢查異常帳號、資料庫內容、排程、可疑程序與憑證，必要時從可信任備份重建。

AI API Key也已成為可直接變現的資產

Northflank在10月30日揭露安全事件後，要求客戶假設環境變數可能已遭解密；隨後有客戶回報，存放於平台的AI API Key出現未授權使用。[7] API Key往往直接連到付費模型、資料庫或雲端服務，一旦被竊取，攻擊者可以用企業名義呼叫服務、產生費用，甚至進一步存取其他資源。企業應把AI金鑰視同雲端高權限憑證，設定最小權限、使用期限、用量上限與異常帳務警示，並避免長效Secrets散落在環境變數、程式碼或個人開發環境中。

已遭利用的GitLab與Cisco漏洞：修補優先順序要看「正在被打」

CISA確認GitLab漏洞CVE-2026-97229已遭實際利用，攻擊者可透過特製CI/CD正規表示式觸發遠端程式碼執行；Cisco也修補ASA與FTD的CVE-2026-76418，該漏洞已被用來讓啟用SSL VPN的防火牆異常重新載入並造成服務中斷。[8][9] 這說明漏洞管理不能只依CVSS分數排隊。只要漏洞位在Internet-facing、VPN、防火牆、GitLab或其他開發與管理平臺，而且已有實際利用證據，就應進入緊急修補流程，必要時先限制外部存取或停用高風險功能。

面對日益複雜的資安威脅與快速發展的 AI 應用，企業更應建立系統化的管理機制。必維集團 Bureau Veritas 為全球知名的第三方驗證機構（Certification Body），提供：

• ISO/IEC 27001 資訊安全管理系統（ISMS）驗證
• ISO/IEC 27701 隱私資訊管理系統（PIMS）驗證
• ISO/IEC 42001 人工智慧管理系統（AIMS）驗證
• 資訊安全治理評估與教育訓練
• AI 治理與風險管理相關服務 (負責任的AI)

透過獨立第三方驗證，協助企業建立可信賴之管理系統，提升資訊安全、個人資料保護及人工智慧治理成熟度，以因應快速變化的數位風險環境。

參考

[1]https://www.ctee.com.tw/news/20261101700012-430704
[2]https://moda.gov.tw/ACS/press/news/press/21198
[3]https://www.bleepingcomputer.com/news/security/cisa-confirms-php2shell-vulnerabilities-now-exploited-in-attacks/
[4]https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/
[5]https://www.ithome.com.tw/news/179981
[6]https://sansec.io/research/magento-cms-block-loader-deepveindrilling
[7]https://www.bleepingcomputer.com/news/security/northflank-security-breach-leads-to-abuse-of-customers-ai-api-keys/
[8]https://www.bleepingcomputer.com/news/security/hackers-now-exploiting-max-severity-gitlab-flaw-in-attacks/
[9]https://www.bleepingcomputer.com/news/security/cisco-warns-of-firewall-zero-day-exploited-to-crash-ssl-vpn-devices/
 

作者簡歷

• 必維集團驗證事業部大中華區ICT產品經理