Currently Empty: NT$0
Xen Orchestra驗證繞過漏洞遭利用，可接管整台虛擬化主機
開發商Vates警告，虛擬化管理平台Xen Orchestra的REST驗證機制有重大漏洞，已有攻擊者用它跳過登入、直接取得管理員權限。得手後可以在受管理的資源池執行任意程式碼，進一步以root身分接管XCP-ng節點。受影響的是6.9.2（stable）與6.10.1（latest）之前的版本，以及內含Xen Orchestra的XOA設備。
為什麼重要：這類入侵不會留下登入紀錄，只修補還不夠，還要依Vates提供的入侵指標回頭檢查主機與流量。管理介面也不該直接對外開放。
原文：Critical Xen Orchestra Flaws Exploited in Attacks（SecurityWeek）
延伸學習CompTIA CySA+網路資安分析師國際認證課程沒有登入紀錄的入侵，要靠流量與日誌關聯分析找出來，這正是CySA+訓練的威脅偵測與事件回應。
看課程Barracuda郵件安全閘道兩個漏洞被串連，攻擊者可取得root
Barracuda Email Security Gateway上週才修補的兩個漏洞已出現實際攻擊。CVE-2026-116606是驗證繞過（CVSS 9.3），CVE-2026-111560是命令注入，兩者串連後可以繞過授權控管並取得設備的root權限。美國CISA已把兩個漏洞列入已遭利用漏洞清單（KEV），要求聯邦機關三天內完成修補。
為什麼重要：從修補釋出到被利用只隔一週。有使用Barracuda設備的單位應立即更新，並確認管理介面沒有暴露在網際網路上。
原文：Recently Patched Barracuda Vulnerabilities Exploited in Attacks（SecurityWeek）
延伸學習CompTIA Security+國際網路資安認證課程（含認證考試）弱點管理、修補優先順序與管理介面防護，是Security+涵蓋的基本功，也是資安署認可的證照。
看課程CISA將Openwave與Cisco BroadWorks漏洞列入已遭利用清單
CISA在11月10日把兩個漏洞加入KEV清單，要求聯邦機關在11月24日前修補。一個在Openwave Webtop Media Transcoder（CVE-2026-111793），與電信業者使用的網頁郵件有關；另一個是Cisco BroadWorks的XML外部實體注入漏洞（CVE-2026-20320），攻擊者不需登入就能從遠端讀取敏感的設定資訊。Cisco的漏洞早在8月19日就已公開。
為什麼重要：兩個都是已有修補程式的舊漏洞。攻擊者專挑沒更新的系統下手，語音與協作平台常被排在修補清單後面。
原文：Threat Actors Exploit Openwave, Cisco BroadWorks Vulnerabilities（SecurityWeek）
Fortinet一次發布89份公告，修補近百個漏洞
Fortinet在週二一口氣發布89份安全公告，處理近100個漏洞，其中約17個屬重大等級，數個可被用來執行任意程式碼，另有近80個高風險漏洞。三週前Fortinet才宣布把前沿AI模型納入產品安全測試，這次的數量與此有關。Fortinet沒有提到任何一個漏洞已遭利用。
為什麼重要：AI讓廠商找漏洞變快，也讓攻擊者從修補程式反推攻擊手法變快。修補的節奏要跟著調整，不能再當成例行維護。
原文：Fortinet Patches Nearly 100 Vulnerabilities（SecurityWeek）
延伸學習CompTIA SecAI+國際AI資安認證課程AI已經進到漏洞挖掘與防禦的日常，SecAI+聚焦AI輔助資安營運與AI系統防護。
看課程工控修補日：Siemens發布9份公告，含Node2Shell影響說明
Siemens發布9份新公告、涵蓋10個漏洞，其中兩份說明近期Node2Shell漏洞對自家產品的影響。Node2Shell已出現攻擊嘗試，但目前沒有跡象顯示有人專門鎖定Siemens產品。高風險漏洞出現在Simatic SCADA、PCS 7、WinCC Graphics Designer等產品。部分產品還沒有修補程式，有些版本不會修補，Siemens建議先採取緩解措施。Schneider Electric等廠商同日也發布了公告。
為什麼重要：工控設備常常無法立刻更新，甚至等不到更新。網段隔離、存取控管這些補償性措施，要在平時就規劃好。
原文：ICS Patch Tuesday: Siemens Flags High-Severity Flaws, Node2Shell Exposure（SecurityWeek）
延伸學習IEC 62443工控專家訓練課程設備不能修補時該怎麼分區、怎麼選控制措施，IEC 62443有一套完整做法。
看課程Bay募得5,000萬美元，主打管控企業AI Agent能做的事
以色列新創Bay結束隱身模式，公布共5,000萬美元資金，包含Battery Ventures領投的3,700萬美元A輪，以及先前未公開的1,300萬美元種子輪。它的平台會自動盤點企業內使用的AI Agent、程式助理、MCP伺服器與本機模型，畫出它們之間的連接關係，並在執行當下套用政策。
為什麼重要：資金流向反映企業的新難題：AI Agent已經在公司裡跑，但多數組織還說不清楚有哪些、能碰到什麼資料。
原文：Bay Raises $50 Million to Control What Enterprise AI Agents Can Do（SecurityWeek）
延伸學習ISO/IEC 42001:2023人工智慧管理系統主導稽核員課程（五天）工具之外，組織還需要一套AI治理制度，ISO 42001就是為此設計的國際標準。
看課程上市櫃資安重訊今年已118件，91APP、永豐銀之後AI攻擊加速
今周刊整理，上市櫃公司今年截至11月初已發布118件資安事件重訊，去年全年約74件，成長近六成。近期案例包括：永豐銀行11月初約400多位客戶帳號遭駭、約417萬元被轉出；91APP在10月中發現訂單資料庫遭駭，約1,400個品牌、480萬名消費者個資恐外洩；電商服務商Cyberbiz遭駭後，葡萄王、美吾華、崇越等13家公司自11月4日起陸續發布重訊。報導引述奧義賽博科技執行長吳明蔚，把AI攻擊分成三類：用AI加速舊手法（未修補漏洞、弱密碼）、AI自主滲透工具，以及攻擊企業內部的AI代理人；他認為台灣目前以前兩類為主。另外，資安院營運的TWCERT/CC企業會員到10月底只有2,350家，未達年底4,000家的目標。
為什麼重要：這波事件多半不是直接打進受害公司，而是透過電商平台、委外系統這類供應商。企業除了顧好自己，也要知道哪些廠商握有自己的客戶資料、出事時怎麼通知與應變。
原文：91APP、永豐銀遭駭只是開端！資安事件激增近6成，AI攻擊手法有哪些？企業和民眾如何自保？（今周刊）
延伸學習CISM 國際資訊安全經理人認證課程供應商風險、事件應變與資安治理，正是CISM管理面的核心內容，適合要對董事會與主管機關交代的資安主管。
看課程同日其他修補消息：Apple修補跨平台的藍牙與AirPlay配對漏洞；Citrix、Ivanti修補重大與高風險漏洞；Intel、AMD合計處理超過200個漏洞；Asus、Zoom發布安全更新。
想把今天的新聞變成自己的能力？
看全部資安課程本文由全智網依公開報導整理成中文重點，詳細內容請見各則原文連結。
