全球網安風險日報

01 / 每日分析

返回四則速覽 ↑

新加坡通報事故月均增至三倍：先修補對外系統與收緊供應商權限

本次刊載：2026.11.14 00:23 HKT

事實

CSA 11 月 13 日表示，自 9 月起接獲的網絡事故通報月均數，約為 1 至 8 月平均的三倍。這是向新加坡當局通報的事故數，不能當作全球攻擊量。CSA 表示，未見屬協同針對新加坡的行動，部分事故涉及第三方供應商；並警告 AI 可加快憑證搜尋、社交工程及漏洞利用。

分析

數字增加不代表所有事故都由 AI 造成。企業可先處理已知被利用的漏洞、對外服務與帳戶權限，再核對供應商是否能直接連到核心網絡，以及備份能否實際復原。

建議行動

• 優先修補已知遭利用的對外系統，關閉不必要的遠端入口，為重要帳戶啟用抗釣魚 MFA。
• 收緊並分隔第三方存取；監察異常登入，測試離線或不可變更備份的復原流程。

範圍：按來源所述 · 威脅通報

資料來源

• Cyber Security Agency of Singapore · Advisory on Recent Uptick in Reported Cyber Incidents · 來源發布 2026-11-13 · 核實時間 2026.11.13 22:53 HKT

02 / 每日分析

返回四則速覽 ↑

API 有驗證仍可能洩漏資料：新加坡聯合指引要求核對逐筆存取權限

本次刊載：2026.11.14 00:23 HKT

事實

新加坡 CSA 與 PDPC 11 月 12 日發布聯合指引，指出不安全 API 可讓資料暴露。常見問題包括弱密碼或預設憑證、過大的存取權限、未逐筆核對資料擁有者，以及第三方整合後把原本內部的介面暴露。這是風險與防護指引，並非宣布每一家企業已遭入侵。

分析

登入成功只是第一步。每次請求仍須核對使用者是否有權讀取或修改該筆資料，並限制回傳欄位；新增合作伙伴或功能時，也要重查 API 對外範圍。

建議行動

• 列出對外及第三方使用的 API，核對逐筆授權、最小權限與憑證管理。
• 測試越權讀寫及過量資料回傳；保留可追查紀錄，配合速率限制與事故處理程序。

範圍：按來源所述 · 防護指引

資料來源

• Cyber Security Agency of Singapore / Personal Data Protection Commission · Joint Advisory on Data Protection Risks Arising from Insecure APIs · 來源發布 2026-11-12 · 核實時間 2026.11.13 22:53 HKT
• Cyber Security Agency of Singapore / Personal Data Protection Commission · Joint Advisory on Data Protection Risks Arising from Insecure APIs — official PDF · 來源發布 2026-11-12 · 核實時間 2026.11.13 22:53 HKT

03 / 每日分析

返回四則速覽 ↑

Outlook 訊息檔漏洞已有利用：開啟附件可外洩驗證資料

本次刊載：2026.11.14 00:23 HKT

事實

HKCERT 11 月 11 日在 Microsoft 月度更新通報指出，CVE-2026-124194 已有實際利用。攻擊者可誘使使用者在受影響的 Outlook 開啟特製訊息檔，令程式在沒有通常外部內容警告的情況下連接外部位置，可能披露可被用於冒認身分的驗證資料。利用需要網絡連線及使用者操作。

分析

需要開啟檔案並不代表風險可忽略。企業應把 Office 更新與陌生訊息附件的處理一併安排，並按紀錄評估帳戶是否需要跟進。

建議行動

• 按 Microsoft 指引部署適用的 Office／Outlook 安全更新，確認實際版本及更新完成狀態。
• 避免開啟來源未核實的訊息檔；若曾開啟可疑檔案，保留紀錄並由安全人員核對外連與登入活動。

範圍：按來源所述 · 安全更新

資料來源

• HKCERT · Microsoft Monthly Security Update (November 2026) · 來源發布 2026-11-11 · 核實時間 2026.11.13 22:53 HKT

04 / 每日分析

返回四則速覽 ↑

Chrome 再修補 83 項問題：核對 157.0.8103.78／.79 並重啟

本次刊載：2026.11.14 00:23 HKT

事實

Google 11 月 11 日把桌面穩定版更新至 Linux 157.0.8103.78、Windows 和 Mac 157.0.8103.78／.79，列出 83 項安全修正，包括數項嚴重的記憶體安全問題；更新會分階段推送。HKCERT 在 11 月 12 日發布相應通報。

分析

先前已安裝 Chrome 157，不代表已取得這次修正。應核對完整版本號與重啟狀態，不能把修正數量當作已發生的攻擊數量。

建議行動

• 開啟 Chrome 的版本資訊，確認已取得適用的 157.0.8103.78／.79 或之後版本並完成重啟。
• 企業分批驗證受管端點的實際版本；依部署政策追蹤尚未完成更新的裝置。

範圍：按來源所述 · 安全更新

資料來源

• Google Chrome · Stable Channel Update for Desktop — 11 November 2026 · 來源發布 2026-11-11 · 核實時間 2026.11.13 22:53 HKT

05 / 每日分析

返回四則速覽 ↑

Node.js 安全更新：除 HTTP/2 中斷，亦須處理 HTTPS 記憶體外洩風險

本次刊載：2026.11.14 00:23 HKT

事實

Node.js 11 月 11 日發布 22.23.5、24.22.3 和 26.13.1 安全版本。CVE-2026-123863 可令受影響的 24.x、26.x HTTP/2 服務程序中止；另一項 CVE-2026-123864 影響 22.x、24.x、26.x，在特定應用處理請求的條件下，HTTPS 服務可能洩漏其他連線的記憶體，包括私鑰或請求資料；純 HTTP 不受後一項影響。各項問題的適用分支與條件須分別核對。

分析

這批更新同時涉及服務可用性和資料保密，不能只看 HTTP/2 是否啟用。按實際分支、HTTPS 處理方式與部署依賴盤點，再測試及重新部署。公告的漏洞描述不等於已觀察到野外利用。

建議行動

• 核對實際使用的 Node.js 分支，按原廠公告升級至對應修正版或之後版本。
• 在測試環境驗證 HTTP/2、HTTPS 及應用依賴，再重新部署與監察服務狀態。

範圍：按來源所述 · 安全更新

資料來源

• Node.js Project · Wednesday, November 11, 2026 Security Releases · 來源發布 2026-11-11 · 核實時間 2026.11.13 22:53 HKT

06 / 每日分析

返回四則速覽 ↑

GlobalProtect 可繞過來源 IP 限制：仍需有效帳戶，按分支修補

本次刊載：2026.11.14 00:23 HKT

事實

Palo Alto Networks 11 月 11 日公告 CVE-2026-0325：啟用 GlobalProtect gateway 的受影響 PAN-OS，可讓持有效 GlobalProtect 憑證的攻擊者繞過來源 IP 限制。原廠表示尚未發現惡意利用，Cloud NGFW 不受這一項漏洞影響；Prisma Access 的更新安排須另按產品公告核對。

分析

來源 IP 限制不能取代帳戶和憑證保護。這項公告與既有 PAN-OS PHP 漏洞不同，亦不能把同月多項公告的受影響產品合併成這一項的範圍。

建議行動

• 按原廠分支表核對 PAN-OS，套用 11.1.16-h5、11.2.16-h2、12.1.10-h4、12.2.4-h2 或對應較新修正版。
• 核對 GlobalProtect gateway 是否啟用及來源限制的用途；Prisma Access 管理者依維護安排或支援窗口確認更新。

範圍：按來源所述 · 漏洞通報

資料來源

• Palo Alto Networks · CVE-2026-0325: PAN-OS GlobalProtect Source IP Restriction Bypass · 來源發布 2026-11-11 · 核實時間 2026.11.13 22:53 HKT

本文由 SI 智能體輔助整理，事實摘要、廠商聲稱與 Anti-Ransomware 分析分開呈現。內容僅供一般資訊及教育，並非針對個別環境的專業意見；不保證完整、即時、無誤或產品安全，也不保證防止攻擊、解密或復原。請核對原始來源，按自身環境諮詢合資格人員。收錄不代表認證、推薦或合作，商標及原文權利屬各擁有人。