(文：陳宣宏博士）
必維集團驗證事業部(Bureau Veritas Certification，以下簡稱BV)即日起提供資安暨AI週報，定期彙整台灣與全球重要資安事件、最新法規動態、產業趨勢及資訊安全相關議題，協助企業即時掌握資安風險與管理重點，強化組織資訊安全韌性。
本週企業資安的共同訊號，是「原本被視為可信任的邊界」正在失效：銀行的新網銀系統因第三方供應商安全設定遭駭，造成客戶帳戶被異常轉帳；AI代理在測試情境中越過原先限制，最終存取企業內部系統；OpenSSH、交換器與SSL-VPN等常見基礎設施也出現已遭實際利用的漏洞。更值得注意的是，攻擊已不只影響資料與帳號，冷凍、冷鏈與溫控系統遭入侵後，可能直接造成食品報廢、醫療物資失效、設備損壞甚至安全事故。企業本週最優先的工作，應放在第三方供應鏈、Internet-facing管理介面、高權限服務帳號與OT遠端存取的檢查與修補。
第三方系統失守，也可能直接變成金融交易風險
台灣某銀行11月3日發生大量客戶帳戶異常轉帳，最終確認影響418人、427筆交易，金額約4,176萬元。銀行公布的初步調查指出，外部駭客利用新網銀交易系統供應商的安全設定，造成款項遭不明轉出；目前未發現個資外洩軌跡。這起事件的重要性不只在損失金額，而在於企業即使自身核心系統有嚴格控管，只要第三方系統能進入交易流程、身分驗證或高權限作業，供應商弱點就可能等同自己的弱點。供應鏈管理因此不能只看合約與ISO證書，還要確認權限邊界、設定變更、異常交易監控及重大事件後的責任分工。[1]
AI代理越界：不是只有惡意AI，正常測試也可能跑出控制範圍
WorkOS揭露，一個以ARTEX進行資安測試的AI代理存取了其內部銷售應用並下載客戶資料。後續一名研究人員出面表示，原本是在沙箱內進行測試，但代理越過隔離環境後意外與WorkOS系統互動；WorkOS比對時間戳記與技術紀錄後，確認該研究人員確實是活動來源，但代理如何逸出沙箱並未公開。事件也暴露出舊內部系統API對外可達、開發用可預測憑證被留在正式環境，以及缺乏速率限制等問題。對企業而言，Agentic AI的風險不只在模型回答錯誤，而是它能連續呼叫工具、API與帳號；因此測試環境要有真正的網路隔離、一次性憑證、速率限制與明確停止機制。[2]
OpenSSH「SSHole」：設定成不能用密碼登入，仍可能被超長密碼繞過
OpenSSH漏洞CVE-2026-123158影響部分使用musl函式庫的Linux環境，例如Alpine Linux、OpenWrt、Buildroot與Yocto。在特定設定下，原本被標示為「不可使用密碼登入」的帳號，攻擊者反而可能輸入超長密碼後成功通過驗證；漏洞公開後數小時就出現實際利用活動。這類問題特別值得注意，因為管理者看到設定檔時可能以為帳號已停用密碼驗證，實際行為卻因底層函式處理錯誤而不同。企業除了更新OpenSSH，也應回查是否存在理論上不該出現的密碼登入成功紀錄。[3]
OT風險變得很具體：駭客開始直接碰冰箱與冷鏈
FBI與CISA警告，攻擊者正鎖定工業冷凍、冷鏈監控與電子溫控設備。這些控制器廣泛出現在超市、冷凍倉儲、醫療、食品、化工與運輸環境；若設備直接暴露於網際網路、仍使用預設密碼或未修補漏洞，攻擊者可能修改溫度、強制啟動除霜或關閉冷卻。近期歐洲已有數百家超市及血液儲存設施受影響。這類事件說明OT資安不是「資料會不會被偷」而已，而是可能直接造成庫存報廢、醫療物資失效與設備安全風險。企業應移除不必要的Internet直接連線，將OT與辦公網路分區，並對遠端維護採白名單與強驗證。[4]
交換器零時差：修過一次，不代表攻擊面真的消失
Zyxel修補GS1900系列交換器的CVE-2026-107441。研究人員發現，攻擊者曾利用這個未公開漏洞入侵接近1,000臺交換器，竊取組態、雜湊憑證與網路資訊；更值得警惕的是，先前針對另一漏洞安裝過修補的設備，仍可能受到這個不同缺陷影響。這提醒企業，網路設備不是「買了放著就好」的基礎設施。交換器、防火牆與VPN同樣要納入漏洞盤點、版本管理與日誌監控；當設備曾遭疑似入侵時，只更新韌體並不足夠，還要重新檢查管理帳密、組態與是否出現未知管理帳號。[5]
MFA不是免死金牌：SSL-VPN漏洞可繞過SAML驗證
SonicWall修補CVE-2026-19868，該漏洞已被確認遭實際利用。若SSL-VPN使用SAML驗證，攻擊者在具備另一種有效登入憑證的情況下，可能繞過SAML驗證流程，連原本由SAML強制的MFA都可能失去效果。這類案例提醒企業，MFA能大幅降低帳密遭竊風險，但它仍依賴整個身分驗證流程正確運作；若VPN閘道本身存在邏輯漏洞，不能單靠「我們有開MFA」判斷安全。對Internet-facing VPN設備，應將已遭利用漏洞視為緊急修補，並同步檢查異常登入與管理活動。[6]
本週觀察
本週最值得管理層注意的不是漏洞數量，而是「信任」正在成為共同攻擊面：信任第三方供應商、信任AI代理不會越界、信任帳號設定、信任網路設備已修補、信任MFA一定能擋住登入。企業後續應把供應鏈、高權限身分、AI Agent與OT設備放進同一套持續驗證思維；重要控制不能只確認「有沒有做」，而要定期驗證它在真實攻擊情境下是否仍然有效。
對日益複雜的資安威脅與快速發展的 AI 應用，企業更應建立系統化的管理機制。必維集團 Bureau Veritas 為全球知名的第三方驗證機構（Certification Body），提供：
- ISO/IEC 27001 資訊安全管理系統（ISMS）驗證
- ISO/IEC 27701 隱私資訊管理系統（PIMS）驗證
- ISO/IEC 42001 人工智慧管理系統（AIMS）驗證
- 資訊安全治理評估與教育訓練
- AI 治理與風險管理相關服務 (負責任的AI)
透過獨立第三方驗證，協助企業建立可信賴之管理系統，提升資訊安全、個人資料保護及人工智慧治理成熟度，以因應快速變化的數位風險環境。
參考
[1]https://www.cna.com.tw/news/afe/202611040331.aspx
[2]https://www.bleepingcomputer.com/news/security/runaway-ai-hacking-agent-behind-workos-breach-after-escaping-sandbox/
[3]https://www.bleepingcomputer.com/news/security/openssh-flaw-lets-attackers-log-into-password-disabled-linux-accounts/
[4]https://www.bleepingcomputer.com/news/security/fbi-cisa-warn-of-cyberattacks-targeting-refrigeration-systems/
[5]https://www.bleepingcomputer.com/news/security/zyxel-fixes-zero-day-exploited-to-hack-nearly-1-000-network-switches/
[6]https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-ssl-vpn-mfa-bypass-flaw-exploited-in-attacks/
作者簡歷
- 必維集團驗證事業部大中華區ICT產品經理