Currently Empty: NT$0
OpenSSH「SSHole」驗證繞過漏洞遭利用，Alpine等系統的root可被登入
OpenSSH的驗證繞過漏洞CVE-2026-123158（SSHole）已出現攻擊。在使用musl libc且沒有啟用PAM的Linux發行版上，例如Alpine、Buildroot、OpenWrt與Yocto，攻擊者輸入257到1,024字元的任意密碼，就可能登入沒有設定密碼雜湊的帳號，包括root。OpenSSH已在10.6p2修補。Previdian在11月6日到8日之間觀察到來自9個國家、13個IP的20次嘗試，目前利用者以殭屍網路與挖礦程式為主。
為什麼重要：嵌入式設備與容器大量使用Alpine這類精簡系統，又常開著SSH密碼登入。來不及更新時，先關掉密碼驗證。
原文：Hackers Exploiting ‘SSHole’ Authentication Bypass in OpenSSH（SecurityWeek）
延伸學習OffSec OSCP+ (Offensive Security Certified Professional Plus)從攻擊者的角度理解Linux的驗證機制與權限取得，是OSCP+的實戰重點。
看課程Plex2Shell攻擊波及QNAP NAS，Plex Media Server用戶要盡快更新
QNAP表示，部分用戶透過App Center安裝的Plex Media Server疑似遭Plex2Shell入侵。Plex2Shell是Plex Media Server四個漏洞的串連，今年夏天已修補，但10月中技術細節與概念驗證程式公開後開始被大量利用，攻擊者不需帳密就能以Plex服務的權限執行程式。QNAP確認漏洞只在Plex本身，QTS、QuTS hero等作業系統不受影響。
為什麼重要：對外開放過的設備要當成可能已被入侵：更新到1.43.3以上、重裝Plex並更換密碼，不需要遠端存取就別開放32400埠。
原文：Plex2Shell Exploited Against QNAP NAS Users（SecurityWeek）
延伸學習CompTIA Security+國際網路資安認證課程（含認證考試）對外服務的盤點、修補與入侵後的處置，都是Security+涵蓋的基本功。
看課程DeepMind的AI Agent找到兩種方法，降低攻擊1024位元RSA的成本
Google DeepMind與UC San Diego、Inria的密碼學家合作，讓AI Agent在研究人員監督下研究1024位元RSA。第一項成果是偽造PKCS#1 v1.5簽章：測試中把先前學術攻擊的運算量從1,380降到391個CPU核心年，AI Agent不到四天就完成設計與除錯。第二項是理論估算，同時攻擊大量同長度的金鑰時，每多一把的成本平均約降為原本的三十分之一。私鑰並沒有被分解，2048位元以上的金鑰仍然安全。
為什麼重要：受影響的是早該淘汰的1024位元系統，但AI正在改寫密碼學難題的成本估算，舊系統的升級不能再拖。
原文：Google DeepMind’s AI Agents Make 1024-Bit RSA Keys Cheaper to Attack（SecurityWeek）
延伸學習CISSP資安系統專家認證密碼學與金鑰長度的選擇是CISSP的考試範圍，也是評估舊系統風險的基礎。
看課程日本Iris Plaza外部雲端服務遭入侵，最多770萬人個資可能外洩
Iris Ohyama旗下的購物平台Iris Plaza在10月28日發現，平台使用的外部雲端服務遭到入侵。可能受影響的包括580萬名現任與前會員，資料有姓名、地址、電話、Email、生日、性別與加密後的密碼，另有190萬名非會員的姓名與聯絡方式。公司表示沒有信用卡資料外洩，平台目前仍暫停服務。
為什麼重要：外洩發生在委外的雲端服務，但個資保護的責任不會跟著委外轉移，供應商管理要納入隱私管理制度。
原文：Iris Plaza Breach May Have Exposed Data of 7.7 Million Customers（SecurityWeek）
延伸學習ISO/IEC 27701:2025隱私資訊管理系統主導稽核員課程（五天）ISO 27701把委外處理者的個資管理納入要求，正好對應這類事件。
看課程日本推出緊急資安方案，投入100億日圓並成立AI資安團隊
日本首相高市早苗11月6日在部會首長會議上宣布緊急資安方案，預算100億日圓（約6,300萬美元），起因是多家大企業與政府機關接連發生大規模資料外洩。方案包括強化10月才合法化的「主動網路防禦」，由防衛省、警察廳與國家網路安全辦公室組成國安支援小組；經濟產業省也會在11月底前成立運用AI對抗駭客的「頂尖團隊」，另由官民專家組成「網路救援隊」，協助受害企業做初步應變。
為什麼重要：政府開始把企業受駭後的初期應變當成公共服務來做，也點出AI讓攻擊速度變快。不過企業自己的偵測與應變能力，仍然是第一線。
原文：Japan announces emergency cybersecurity package following a wave of attacks（ABC News／AP）
延伸學習CISM國際資訊安全經理人認證課程方案的重點是事件應變與官民協作，CISM正是聚焦資安治理、風險管理與事件應變的管理職證照。
看課程同日其他消息：Frontline Education資料外洩影響超過300萬人；Revolve公布資料外洩人數為150萬；Amplifon Americas資料外洩影響130萬人；Brava Security結束隱身模式並募得1,500萬美元。
想把今天的新聞變成自己的能力？
看全部資安課程本文由全智網依公開報導整理成中文重點，詳細內容請見各則原文連結。
