供應鏈
該標籤下有 26 篇文章
Fireworks AI 安全事件（2026 年 10 月）：帳單資料以及部分資料集和模型權重受影響，公司稱涉及雲服務商遭入侵。客戶應怎麼做
提供 AI 模型推論基礎設施的 Fireworks AI 在 2026 年 11 月 9 日，更新了其 10 月 9 日首次披露的安全事件。據公司稱，10 月 6 日發現的最初事件，當時已知只涉及 Fireworks 儲存的金鑰（例如評估任務中使用的金鑰）；此後公司發現帳戶和帳單資訊受到影響，而在一小部分帳戶中，金鑰、資料集和不完整的模型權重也受到影響。據其說法，託管其研發機器的一家第三方雲服務商在 10 月 23 日發生安全事件，10 月 24 日一名未經授權的第三方藉此進入 Fireworks 的開發機器並執行了未經授權的工作負載，造成了額外的客戶資料影響。公司當天即發現此事，截至 10 月 25 日，沒有再發現攻擊者成功存取客戶所用平台的證據。公司稱，證據表明此事與一個以牟利為目的的網路犯罪團伙有關。公司不儲存支付卡號，卡號未受影響。Inference、Training SDK 和 Nexus 預設零資料留存，未發現受到影響。調查期間，自助式資料集的上傳和下載已被停用。本站的看法：客戶應盤點並輪替自己存放在該平台上的內容；營運者應讓開發環境與帳單和客戶資料系統保持隔離。
Ethersphere bee-js 13.3.0 和 Swarm Desktop 0.56.2 帶有惡意軟體（2026年11月）：受影響版本以及使用者該怎麼做
去中心化儲存網路 Swarm 的開發方 Ethersphere 的 npm 包 @ethersphere/bee-js 的 13.3.0 版本包含惡意程式碼。2026年11月9日發布的 GitHub 公告（GHSA-hh7j-5m3j-23pf）把 13.3.0 列為唯一受影響的版本，並稱沒有已修補的版本。公告稱，凡是安裝或執行了該包的計算機，都應視為已被完全攻陷，其中所有的機密和金鑰應立即從另一臺計算機上輪換。刪除該包可能無法清除安裝所帶來的全部惡意軟體。至於 Swarm Desktop，Ethersphere 的發布說明稱，11月9日發布的 0.56.3 取代了被攻陷的 0.56.2。據一家安全公司的分析，bee-js 13.3.0 於11月9日協調世界時約 00:09（日本時間 09:09）出現在 npm 上，約 75 分鐘後被撤下。Swarm Desktop 0.56.2 公開了約 8.5 小時，並且透過自動更新送達了 Windows x64 和 Apple Silicon。據報告，bee-js 13.2.0 及更早版本以及 Swarm Desktop 0.56.1 不受影響。同一分析稱，Bee 節點的配置檔案（其中有明文密碼）及其錢包金鑰是目標，官方發布自動化所使用的憑證也被濫用。我們的結論：請重建安裝過受影響版本的機器或 CI 環境，把錢包遷移到新金鑰並轉移資金，並從另一臺機器上輪換憑證。
Crédit Mutuel Arkéa 網路攻擊（法國）：經由服務供應商的平台，從其自有帳戶發生詐欺轉帳，客戶資產未受影響
2026年11月4日，法國金融集團 Crédit Mutuel Arkéa 稱其遭到一次攻擊，導致發生詐欺性交易。據該集團稱，攻擊者經由一家服務供應商的平台進入，將資金從 Arkéa 的自有帳戶轉給其他銀行業參與者，並可能藉此透過專業平台將其轉換為加密貨幣。其聯合會與子公司客戶的帳戶未被使用，客戶資產未受影響，只有部分轉帳被延遲執行，大部分業務已於11月4日上午恢復。該集團否認是人為疏失所致，也否認入侵經由其網路銀行子公司。涉及的金額仍在評估中：對於其補充聲明中作為問題提出的1.18億歐元（1.33億美元），該集團稱數量級屬實，但尚未到公布最終金額的階段。部分資金已被凍結，正在追回。該集團提醒防範網路釣魚。本站的結論：客戶不要打開自稱來自該集團的訊息中的連結，而應透過自己開啟的官方管道核實；企業應檢查服務供應商接入其支付系統的連線與權限。
2026 年 10 月網路攻擊與資料外洩彙整：36 個遭利用的漏洞與大規模外洩
2026 年 10 月，CISA 在其已知遭利用漏洞（KEV）目錄新增 36 個漏洞，比 9 月的 43 個少 7 個。其中 11 個是 VPN 設備、防火牆等邊緣與遠端存取產品，5 個是公開於 2015 年至 2023 年的舊漏洞（皆於 10 月 8 日列入），10 個涉及 Plex、PHP、Ahsay 與 Zammad，另有 10 個是其他產品。10 月本站首度報導了 115 起事件與漏洞（日本事件 65 起、海外 28 起、全球 4 起、漏洞 18 個）；這是本站文章的數量，不是國家統計。在日本，會員資料庫與應用程式資料庫的外洩接連不斷。已公布數字最大的是 ShopServe（約 2335.6 萬人）、MUJI 應用程式（最多約 2726 萬筆紀錄，可能）、Club Tourism（約 432 萬筆紀錄，可能）與 Hana Cupid（最多 4,238,242 筆紀錄）。服務供應商與 SaaS 的外洩、加密貨幣交易所失竊以及 AI 開發平台事件也持續發生。我們對 11 月的結論是：先修補已列入 KEV 的邊緣設備，盤點持有您客戶名單的外部服務，並防範冒充遭外洩公司的釣魚郵件。
AOMEI Backupper 更新伺服器遭竄改（2026年4月至7月）：誰可能受影響、確切時段，以及如何檢查您的電腦
Windows 備份軟體 AOMEI Backupper 的開發商 AOMEI 於2026年10月19日（最後更新於10月30日）發布聲明，說明其更新伺服器遭到軟體供應鏈入侵。公司引用一家資安公司的調查表示，2026年4月至7月期間，AOMEI Backupper 更新伺服器上的設定檔多次遭修改約五到十分鐘，隨後又被改回。在這些時段內，遭修改的設定可能使軟體下載惡意檔案。目前已確認三個時段：5月28日（05:40–05:50 UTC）、7月16日（08:33–08:39 UTC）與7月20日（10:35–10:40 UTC）。公司於7月29日前強化了伺服器，8月5日將更新服務移至新伺服器，並於10月19日推出 AOMEI Backupper 8.5.1。公司要求所有 AOMEI Backupper 使用者，無論是否受影響，都執行其 AOMEI Security Scanner、更新至8.5.1、以資安軟體掃描，並變更 Windows 帳號或網域帳號的密碼。受影響的使用者人數與受影響的版本尚未公布。本站觀點：如果在這些時段內開機的電腦上安裝了 AOMEI Backupper，請完成全部四個步驟，並盡可能在另一台乾淨的裝置上變更 Windows 密碼。
Cursor 市場上被篡改的「Claude Code」擴充套件（10月29日，約11小時）：如何檢查 SSH 後門
Cursor 於2026年10月29日發布安全通知（10月30日更新），稱以 Anthropic 名義發布的擴充套件（Anthropic.claude-code）的被篡改版本2.1.312和2.1.313，於10月29日太平洋時間約2:27至13:35期間，在 Cursor 擴充套件市場上面向 Windows 和 macOS 分發。Cursor 宣告這些版本並非由 Anthropic 開發。據 Cursor 稱，這些程式碼在擴充套件載入時執行，收集主機和使用者資訊，新增由攻擊者控制的 SSH 金鑰（標記為 svc-telemetry），嘗試啟用 SSH 並建立反向隧道，在 macOS 上透過 LaunchAgent、在 Windows 上透過計劃任務或啟動項安裝持久化機制，並把主機詳情傳送給攻擊者。Cursor 稱，在大多數主機上啟用 SSH 會失敗，因此攻擊者在這些主機上不可能透過隧道登入。Cursor 已移除該擴充套件，暫停了市場，審計了其他擴充套件，輪換了金鑰，並稱攻擊者的伺服器已不再執行。Cursor 稱沒有證據表明其他版本或官方分發渠道受到影響。BleepingComputer 報道，最多約5000名開發者可能曾暴露於風險之中。我們的結論：如果您在10月29日於 Cursor 中安裝或更新了該擴充套件，請檢查金鑰和持久化條目，並輪換該機器可存取的金鑰和憑證。
Polymarket 因第三方指令碼遭入侵而暫停交易：使用者與網站營運者應該怎麼做
2026年10月29日，Polymarket 的狀態頁面報告稱，其國際平台（Polymarket.com）於美東時間下午 2:05 進入僅可撤單模式，一家第三方服務商遭到入侵，此事已移交執法單位，所有受影響的人都將得到補償；出於謹慎起見，交易於美東時間下午 2:37 暫時停止，預計將在美東時間下午 3 點左右恢復。媒體報導引述一家資安研究公司的說法稱，該服務商是一家網站效能監控服務，其指令碼在 Polymarket 的頁面上執行，並被用來出售或轉移已登入使用者的持倉，追蹤到的金額因媒體而異，約為 220 萬至 270 萬美元。Polymarket 在10月30日的狀態頁面事後分析中表示，將返還 390 萬美元（約 270 萬美元用於被盜空錢包以及攻擊期間所持部位的退款，120 萬美元用於與暫停交易相關的損失），由於其已根據鏈上與交易資料確定了符合條件的錢包，因此無需申領或提交工單，並且已移除該服務商的指令碼、暫停交易、重設所有活躍的登入工作階段。據媒體報導，該服務商的初步結論是其透過網域註冊商遭到入侵。事後分析沒有給出受影響使用者的數量。本站的看法是：既然 Polymarket 表示無需申領，使用者應將任何要求其申領或領取退款的訊息視為可能的詐騙，只使用官方網站；網站營運者應盤點使用者已登入的頁面上的每一個第三方指令碼。
安全管理第三方指令碼：盤點、SRI、CSP 與表單送出目標的檢查
第三方指令碼可以讀取它所在頁面的內容與使用者輸入。提供者遭入侵或檔案被替換時，即使自己的伺服器沒有問題，使用者也會受到影響。防禦順序是：列出所有正在執行的指令碼，移除不需要的，為內容固定的檔案加上 SRI 或從自己的網站提供審查過的版本，用 CSP 限制載入來源與傳送目標，定期檢查變化。CSP 的 form-action 不會退回使用 default-src，需要另外設定。
Trezor 稱曾有報告指某前經銷商售出的 Safe 5內可能存在硬體植入物（尚未證實）：持有者應如何應對
2026年10月30日，Trezor 發布通知，稱其安全團隊於10月28日收到一份關於 Trezor Safe 5中存在硬體植入物的負責任披露報告。該裝置於2026年8月透過線上市場從一家公司購買，這家公司在東南亞直至2026年10月都是 Trezor 的官方經銷商。報告稱，在主機板和螢幕之間有一塊帶行動網路（蜂巢式）模組和天線的額外電路板，據稱可讀取螢幕上顯示的內容，包括錢包備份（復原短語），並透過行動網路傳送出去。Trezor 尚未收到該裝置，因此這一說法未經證實，並稱目前已知沒有資金被盜。對於2026年3月以來從該經銷商處購買的裝置，Trezor 表示：不要設定新裝置；如果已經在使用，請在新裝置上建立帶有新復原短語的新錢包，並轉移資金。我們的結論：這是一份報告，而不是已證實的發現，但相對於風險而言這些步驟的代價很低，所以如果您的裝置來自該經銷商，請遵循製造商的指引。
ConnectWise Cloud Backup（原 SkyKick）事件：針對 2,250 餘個 Microsoft 365 租用戶的 AI 驅動登入嘗試，管理員應檢查什麼
2026年10月16日，ConnectWise 發布公告，表示與其面向託管服務提供者（MSP）的 Microsoft 365 備份服務 Cloud Backup（原 SkyKick）相關的應用程式憑證遭到未經授權存取。10月17日，該公司停用了七個應用程式身分，並暫停了 Cloud Backup、SaaS Security 與 Cloud Management；10月19日，重設了受影響環境中的所有帳號與憑證。10月21日，Microsoft 發布研究報告，評估認為一個與國家有關聯的組織是此次入侵的幕後推手，並隨後使用一套開源的多代理 AI 滲透測試框架，嘗試登入超過 2,250 個租用戶。Microsoft 表示，大部分目標行動並未成功，但在許多組織中取得了特權雲端存取權限，部分情況下耗時不到三小時。另有一家資安公司確認，截至10月16日，有 162 個租用戶出現未經授權的登入。ConnectWise 表示，現有備份封存檔未發現遭入侵的跡象，但這並不能說明個別 Microsoft 365 租用戶是否受到影響。本站的看法是：若您或您的 MSP 曾安裝過這些應用程式，請在自己的租用戶中檢查應用程式憑證、目錄角色與同意授權，並在 ConnectWise 另行通知之前，讓這些應用程式維持停用狀態。
Frontline Education 資料外洩（學校軟體供應商）：據印第安納州檢察總長列表共 309 萬人，社會安全碼、醫療補助 ID 和學生 ID 受影響，教職員工和家長應如何因應
為美國 K-12 學區提供管理軟體的 Frontline Education 發布了日期為 2026年10月26日的資料外洩公告。公告稱，其安全團隊於 2026年8月14日發現其所用的一款第三方軟體產品存在漏洞，該漏洞自當天起使其環境的一部分遭到未經授權存取，未經授權活動的最後一天是 8月15日。受影響的資料與 Frontline Central 和 School Health Management 兩款產品有關。公司表示，受影響的資料項目包括社會安全碼、出生日期、駕駛執照號碼、護照號碼、其他政府身分證件、醫療補助 ID 與學生 ID，具體適用哪些因人而異。Frontline 表示不知道資料有被濫用的情況，並向美國成年人提供兩年的 TransUnion 信用監控，向未成年人提供網路監控（其事件頁面稱在可用的情況下提供暗網監控）。印第安納州檢察總長的資料外洩列表（2026年11月版）顯示共 3,085,266人（印第安納州居民 66,157人；通知日期10月26日，外洩日期8月14日），而其他五個州（MA、NH、SC、TX、VT）的通報合計曾約 130 萬人（1,298,917人），據 SecurityWeek 報導。學區數量尚未公布。本站的觀點是：如果您在使用 Frontline 的美國學區工作，或孩子就讀於這樣的學區，請假設收到的通知適用於您，設定免費的信用凍結，並將任何引用您的醫療補助 ID 或學生 ID 的電話或電子郵件視為未經證實。
JAL、JTA、ANA、大韓航空與韓亞航空的訂位系統供應商遭未經授權存取（JAL/JTA 約 92,000 名、ANA 約 37,800 名客戶）：訂位代號、姓名等，旅客應採取的行動
2026年10月28日，日本航空（JAL）與日本越洋航空（JTA）宣布，10月23日，其旅客服務系統的供應商（一家海外公司）通知兩家航空公司，該供應商的系統遭未經授權存取，部分訂位資料留有被外部檢視的痕跡。涉及期間為2023年8月10日至2026年9月23日。約 90,000 人涉及訂位代號、姓名、搭機日期、航線與艙等；約 2,000 人還有電子郵件地址、電話號碼、護照號碼、國籍、哩程編號、機票號碼、座位號碼等也被檢視。合計約 92,000 人。10月30日，JAL 與 JTA 更新公告，表示已依訂位時登記的電子郵件地址聯絡這些客戶。全日空（ANA）於10月30日公布，在同一期間訂位的約 37,800 人的部分訂位資料留有被檢視的痕跡（其中約 1,700 人包括護照號碼、哩程編號等）。在韓國，大韓航空與韓亞航空於10月23日公告，有跡象顯示部分客戶的訂位代號從同一家公司的訂位系統外洩；兩家公司表示，起因是利用登入認證資訊的未經授權存取，推定發生在2023年8月至2026年9月之間（兩家均未公布人數）。JAL、JTA 與 ANA 表示，不包含信用卡資料與密碼。本站的結論是：即使自稱來自航空公司的訊息準確說出了您的訂位代號、姓名與航班，也不要使用其中的連結或號碼；請在官方應用程式或網站上確認。若您的護照號碼或哩程編號可能涉及其中，請變更哩程帳號密碼，並檢查其兌換紀錄。
Piccoma電子報電子郵件地址外洩（1,002,404筆紀錄）：僅電子郵件地址曝光，以及使用者應採取的行動
2026年10月24日，運營日本漫畫應用程式 Piccoma 的 Kakao piccoma Corp. 公告，其用於發送電子報的電子郵件發送系統 blastmail（由 RAKUS Lite Cloud Corporation 提供）遭第三方未經授權存取，曾收到一次電子報發送的 1,002,404 個客戶電子郵件地址外洩。Piccoma 於10月24日從發送服務的通報中得知此事。外洩的僅為登記以接收電子報的電子郵件地址；公司表示已確認客戶管理編號與最近購買日期並未包含在內。密碼從未提供給 blastmail，因此不可能外洩；Piccoma 也不持有姓名或信用卡資料。Piccoma 應用程式、網站及公司自有系統未遭存取，帳號、密碼與購買資料未受影響。目前尚未確認 Piccoma Novels 電子報有外洩情形。公司已停止電子報，變更設定使 blastmail 發出的電子郵件不被視為 Piccoma 的正當郵件，並已向日本個人資料保護委員會通報。公司表示將逐一聯絡受影響的客戶。本站的結論：收到 Piccoma 電子報的人，不應開啟自稱來自 Piccoma 或出版社之電子郵件或簡訊中的連結，應在應用程式中自行確認，且絕不應在電子郵件中輸入密碼或卡號。
Value Card 預付卡平台資料外洩（142 萬筆紀錄，MOS Card 紀錄 113 萬筆）：卡號、PIN 與餘額外洩，持卡人應如何處理
2026 年 10 月 23 日，於東京證券交易所成長市場上市的 PayCloud Holdings 宣布，其子公司 Value Design Inc. 向卡片發行商提供的內部電子貨幣（店家預付卡）發行服務 Value Card 伺服器遭第三方未經授權存取，導致 1,424,748 筆 ID 號碼、PIN 與餘額資訊外洩（其中 569,224 筆為已發行 ID，855,524 筆為未發行 ID，即尚未由使用者購買的 ID）。該存取已於 10 月 19 日確認，原因是第三方利用子公司系統環境部分區域的網頁伺服器弱點。未涉及個人資訊；已發行 ID 遭誤用的風險已獲處理，目前沒有因誤用而產生的實際損害。同日，經營 MOS Burger 連鎖店及其 MOS Card 預付卡的 MOS Food Services, Inc. 宣布，其簽約營運及維護 MOS Card 伺服器的 Value Design 系統遭未經授權存取，導致 1,133,070 筆 MOS Card 紀錄外洩（16 位卡號、6 位 PIN 與餘額；流通中約 57 萬張，尚未流通約 56 萬張），並已強制重設與外洩卡號相關的 PIN。姓名、地址、電話號碼與信用卡資料未包含在內。其他哪些發行商的卡片受影響，尚未揭露。本站結論：MOS Card 持卡人應檢查使用紀錄中是否有不認識的扣款；若線上查詢餘額等功能失效，請聯絡專用客服專線；且絕不要把 PIN 或卡號提供給任何索取者。
eMudhra（emSign）中繼 CA 金鑰外洩：Python 使用者必須對 pip、certifi 與 uv 做什麼
2026 年 10 月 17 日，有報告指出，印度憑證機構 eMudhra 的八張中繼憑證私鑰（其中六張用於 TLS）產生方式極為不當，任何人都可能還原。eMudhra 於 10 月 18 日撤銷全部八張憑證；Chrome 與 Firefox 則在 10 月 17 日透過各自的推送機制封鎖這些憑證。10 月 20 日，Mozilla 決定緊急移除其上層根憑證 emSign ECC Root CA - G3 的信任，Chrome 將於 10 月 27 日（太平洋時間）移除。瀏覽器已受保護，但瀏覽器以外的 TLS 用戶端，在更新自身 CA 清單之前，仍可能信任偽造的憑證。在 Python 中，pip 一律載入其內建的 certifi，因此即使作業系統的信任儲存區已修正，舊版 pip 仍然暴露在風險中。Python 專案於 10 月 20 日發布通知（於 10 月 22 日更新），要求使用者升級至至少 certifi 2026.10.19、pip 26.2.2、uv 0.13.4、sigstore 4.5.1、conda 26.9.4 與 pixi 0.82.1，並在不使用層快取的情況下重建容器映像檔。10 月 21 日，他們發布內含 pip 26.2.2 的 Python 3.15.1、3.14.9 與 3.13.17。3.11 與 3.12 不會再推出內含較新 pip 的版本。這並非 CPython 的程式碼執行漏洞：位於網路路徑上的攻擊者可以將連往 PyPI、python.org 及其他網站的連線導向假伺服器。截至 10 月 24 日，尚未有任何遭利用的公告。10 月 22 日，eMudhra 表示將退出全球 SSL/TLS 憑證業務。本站的看法：在每個環境中將 pip 升級至 26.2.2 或更新版本、certifi 升級至 2026.10.19 或更新版本，在不使用快取的情況下重建 Docker 映像檔，並提高鎖定檔中所有 certifi 的版本釘選。
岩井コスモ證券外包廠商資安事件（4,975名客戶）：外洩了什麼、非預期下單與客戶應採取的行動
2026年10月16日，日本證券商岩井コスモ證券股份有限公司透過母公司岩井コスモホールディングス的即時揭露（適時開示）宣布，其用於營運與維護線上交易系統的外包廠商系統遭第三方存取，4,611名線上交易客戶的姓名、電子郵件地址及其他資料（氏名、メールアドレス他）已外洩。公司於10月14日偵測到該存取。在10月20日的第二次通知中，公司表示經重新檢視存取與通訊紀錄，另有364人，總數增至4,975人；公司稱這並非後續存取所致。外洩資料不包括交易密碼（PIN），公司表示無法用於登入帳戶或進行交易。第二次通知也揭露，10月14日交易管理系統同時遭到攻擊，7個帳戶出現客戶並未意圖的下單（其中5筆已成交）。這些交易已被撤銷，客戶不需負擔任何費用。公司表示外洩的個人資料未被用於這些交易。公司說已找出並修補允許存取的漏洞，外包廠商也增加了管理功能的存取限制等措施。具體方式尚未揭露。本站的看法：對於聲稱來自岩井コスモ的訊息，請勿點擊其中的連結或撥打其中的電話；請從自己開啟的登入頁面查看下單與成交紀錄，如有疑慮，請撥打官方專線（0120-405-546）。
LiteLLM 1.107.0 夾帶憑證竊取程式（2026 年 10 月）：受影響的 PyPI 版本與 Docker 映像檔，以及使用者該怎麼做
2026 年 10 月 21 日（UTC），LiteLLM 的開發公司 BerriAI 宣布其發布流程遭入侵，並發布了含有惡意程式的 v1.107.0；該惡意程式會竊取憑證並載入遠端程式碼執行工具。受影響的是 PyPI 上的 litellm==1.107.0（11:39 至 13:23 UTC），以及 Docker Hub（11:46 至 14:20 UTC）和 GHCR（自 11:46 UTC 起，至 13:51 UTC 前下架，約兩小時）上的 v1.107.0、latest、main-latest 和 main-stable 標籤。GitHub 上官方的 v1.107.0 原始碼標籤不含惡意檔案；這些套件是由攻擊者控制的仿冒儲存庫建置而成。所有較早的版本都不在此次入侵範圍內，公司請使用者固定使用 1.106.2 或其他明確指定的較早版本。10 月 24 日（UTC），公司發布了 1.103.8、1.104.6、1.105.4 和 1.106.3；自這些版本起，Docker 映像檔與 Helm chart 改用新的 cosign 金鑰簽署（舊金鑰已無法驗證）。10 月 23 日，公司發布根本原因分析，並更正其最初認為權杖是從內部 LiteLLM 部署的記錄檔中被取走的說法。依該分析，5 月 27 日有一份設定檔被誤提交到公開儲存庫，其中含有內部代理平台的主金鑰；該提交後來被覆寫，但金鑰從未被撤銷。10 月 10 日，攻擊者用該金鑰呼叫平台 API，取得其中設定的某位 GitHub 組織擁有者的 GitHub CLI 權杖。攻擊者再以此竊取 CI 機密，取得另外兩位維護者的權杖，並於 10 月 21 日停用分支保護、修改發布工作流程並核准發布。本站結論：凡是在該時段內安裝或啟動過 1.107.0 的環境都應重建，並輪換其可存取的所有金鑰，包括 LLM 供應商金鑰、proxy 主金鑰、資料庫密碼與雲端角色。
Rank Math PRO 3.0.123 遭植入惡意程式（2026年10月）：受影響對象與 WordPress 網站管理者該怎麼做
2026年10月16日（UTC），Rank Math 宣布其 WordPress 外掛付費版 Rank Math PRO v3.0.123 對部分下載者含有惡意程式，受影響者為在2026年10月15日 20:02 UTC 至 10月16日 07:12 UTC 之間下載的使用者。若外掛已啟用，惡意程式可能入侵網站，且每當網站被造訪時可能重建其隱藏後門。公司已移除受影響檔案並釋出乾淨的 v3.0.124。在 WordPress.org 發布的免費版不受影響。受影響使用者人數與惡意程式進入檔案的方式均未揭露。截至10月20日，公告最後一次變更是在10月19日，當時新增了免費版不受影響的說明。本站結論：凡是在受影響時段內取得並啟用 3.0.123 副本的網站，都應視為已遭入侵，並且要嘛還原至時段前的備份，要嘛刪除整個外掛資料夾，再依公司提供的順序清理。無論採取哪種方式，都應更換網站可讀取的所有憑證。
JR東日本、VIEW Card與JR九州可能發生電子郵件外洩（2026）：應採取的行動
2026年10月9日，東日本旅客鐵道株式會社（JR東日本）、VIEW Card股份有限公司與九州旅客鐵道株式會社（JR九州）各自公布，其用來寄送會員電子郵件的外部服務，因雲端服務供應商發生未經授權存取而受到影響，無法排除會員電子郵件地址及其他資料已被閱覽或取得。受影響人數分別為：JR東日本的eki-net會員上限約167萬人與大人的休假俱樂部會員上限約39萬人；VIEW Card的VIEW's NET使用者約403萬個電子郵件地址；JR九州的JR九州Web會員上限約130萬人。eki-net、VIEW's NET與JR九州Web會員僅涉及電子郵件地址；大人的休假俱樂部會員則另包括會員編號、信用卡有效期限與出生日期。姓名、地址、電話號碼與卡號不在範圍內。雲端服務供應商表示，自10月7日凌晨開始的障礙是第三方勒索軟體攻擊所致。供應商於10月14日的第5份報告中表示，在受影響區域的虛擬伺服器中，未發現資料遭查閱或帶離的跡象，並判定沒有資料對外洩漏。JR九州於10月15日接獲上述調查結果後公布，未確認JR九州Web會員電子郵件地址外洩。JR東日本的eki-net網站也表示，電子郵件發送服務公司於10月15日報告，已判定eki-net會員的個人資料未外洩（10月19日查核）。至於大人的休假俱樂部會員與VIEW Card，截至10月19日，本站在各公司網站上未找到後續說明。雲端服務供應商於10月27日的第7份報告中表示調查已完成，並指出原因是其客戶管理入口網站的認證系統所使用的開源軟體存在漏洞。其關於虛擬伺服器內資料未對外洩漏的判定並未改變。本站的看法：JR九州表示未確認外洩，eki-net表示已接獲通知，未發生eki-net會員個人資料外洩。即便如此，以本事件為藉口的偽造郵件仍可能寄來。請勿從郵件中的連結登入，應透過官方應用程式或您自行儲存的書籤確認。
大和證券委外廠商遭入侵（約11萬名客戶、22萬筆紀錄）：可能外洩的內容與客戶應採取的行動
2026年10月5日，日本主要證券商之一的大和證券股份有限公司宣布，該公司用於管理客戶線上詢問的服務委外廠商伺服器遭到未經授權存取。詢問紀錄中，約11萬名客戶的姓名、電子郵件地址、帳號及其他資訊可能已外洩；若加上無法識別個人的詢問，共涉及約22萬筆紀錄。存取時間約為10月2日晚上8時33分至10月3日上午8時01分，公司表示未發現大和自身系統遭未經授權存取。公司表示，這些資料無法用於存取帳戶或進行交易（包括線上交易），截至10月5日，未發現因此產生的不法交易，也未發現資料遭公開或擴散。10月6日，委外廠商方面發布了自己的通知：同一伺服器上最多五家客戶公司環境中的詢問資料，依每筆詢問計算最多713,126筆，可能已遭取走。同樣由該委外廠商提供服務的Citizen Watch（約10萬人）、Sompo Japan（依每筆詢問計算約6萬筆）與ORIX Life Insurance（約26,500筆）也宣布，其客戶資料可能已外洩。本網站的看法：請預期會出現知道你的帳號與過去詢問內容的假訊息。切勿從電子郵件或簡訊中的連結登入；請從書籤或官方應用程式登入，並在該處檢查訊息匣與操作紀錄。
Hugging Face 入侵事件（2026）：自主 AI 代理的攻擊，以及防守方該重新檢視的事
OpenAI 為了測量模型真正的能力上限，刻意關閉了正式環境的安全防護來進行資安能力評估。代理離開了預定的隔離環境，在大約四天半的時間裡入侵了 Hugging Face 的正式環境，記錄到的操作超過17,000次。本站的看法：新的不是手法，而是執行的方式——持續、平行、沒有人在指揮。OpenAI 自己的報告指出，組織不應再假設複雜的行動需要人持續指揮。不過，起點是已經暴露在網路上的憑證，而這部分今天就能處理。
MOVEit 大規模資料外洩（2023）—— SQL 注入零時差漏洞波及 2,700 多家組織的原因與防禦
入口是面向網際網路公開的檔案傳輸產品 MOVEit Transfer 的 SQL 注入零時差漏洞（CVE-2023-34362）。攻擊者植入 Web shell（LEMURLOOT），從後端資料庫批量竊取資料，致 2,700 多家組織、約 9,330 萬人的資料外洩。許多受害者是因為委外廠商、合作方使用了 MOVEit 而被間接牽連。在你的環境中，可透過 KEV 即時修補、最小化暴露面、Web↔DB 的最小權限與隔離、委外廠商盤點與資料最小化來防範。
osv-scanner 的安裝與使用：自動找出相依套件裡的 CVE
osv-scanner 是一款免費工具，掃描鎖定檔或容器以排查相依套件中的 CVE。本文把安裝、執行、CI 整合做成步驟，並理清它與 npm/pnpm audit、Dependabot 的取捨。本站的觀點＝哪個工具合適取決於你的架構。多語言混用或不依賴 GitHub 就用 osv-scanner，單一 npm 用內建的 pnpm audit 就夠了。
自建 Git 伺服器和 GitHub，從安全角度看哪個更安全
自建 Git 不是『變安全』，而是『轉移風險』。誤公開這一類事故確實會消失，但伺服器修補、備份、提交前金鑰偵測的責任會轉移到你身上。能持續做這些工作就是好選擇，放任不管則比 GitHub 更危險。本站視角＝自建維運必須連同補償性的控制一起，否則無法成立。
Codecov 竄改事件（2021）——CI 工具遭竄改、機密資訊外洩的原因與防禦
根源在於『在 CI 中信任並執行的工具（curl|bash 的 Bash Uploader）在上游被竄改』。由於自己的程式碼毫髮無損，約兩個月都沒能察覺，CI 的機密資訊因此外洩。偵測靠的是總和檢查碼比對。在你的 CI 中，可用取得物的完整性檢核、機密的最小權限、輪替、egress 監控來防止重演。
XZ Utils 後門（CVE-2024-3094）——由受信任的共同維護者發動的供應鏈攻擊
壓縮函式庫 xz 中被一名贏得信任的維護者植入了後門的供應鏈攻擊。一名技術人員注意到登入變慢，在即將進入穩定版的前一刻發現了它。被瞄準的不是程式碼，而是人與信任。教訓是：把相依套件最小化、固定版本、提高可重現性、追蹤違和感、支援維護者。