整體曝險持平 風險結構未見明顯變化

本次針對93個A、B級關鍵基礎設施(CI)進行EASM資安曝險檢測，前10大風險項目共計2,919項。其中，「元件高風險漏洞」以940項居首，「過時或弱加密協定」840項次之，「TLS憑證不受信任」607項位居第三。前三項合計2,387項，占前10大風險項目總數約81.8%，顯示目前外部曝險仍高度集中於元件漏洞、加密通訊及憑證管理等議題。相較上期2,917項，整體風險數量僅增加2項(約0.07%)，變化不大；前三項占比則由約81.9%微降至約81.8%，風險結構未見明顯變化，詳見圖1。

進一步分析主要風險項目變化情形，「元件高風險漏洞」仍為最大宗風險，數量由941項微降至940項，降幅約0.1%。其中，Apache HTTP Server相關弱點 (CVE-2024-38475)仍較為集中；本期Drupal核心相關弱點(CVE-2020-13671)與Archive_Tar相關弱點(CVE-2020-36193)已見減少，惟新增WordPress相關弱點(CVE-2026-60137、CVE-2026-63030)。「過時或弱加密協定」維持840項，無變化；「TLS憑證不受信任」由609項微降至607項，降幅約0.3%。另在網站防護設定方面，「CSP設定不當」由256項微降至251項，降幅約2.0%；「未部署WAF」由145項降至144項，降幅約0.7%。

整體而言，本期前10大風險項目變化不大，各受測單位仍需持續強化加密協定設定、憑證生命週期管理及網站安全防護措施。 

防護建議：

建議受測單位採取下列防護措施

建議受測單位採取下列管理措施

Microsoft與VMware高風險漏洞應盡速修補

實兵演練揭露OTP驗證機制缺失 致未授權存取系統風險

本年資通系統實兵演練針對政府機關與關鍵基礎設施提供者，於擇定時間進行演練，至7/31止已累計245筆攻擊紀錄，本週新增弱點數量共9筆，分別為「無效的存取控管」4筆、「注入攻擊」2筆、「軟體供應鏈失效」2筆及「不安全的組態設定」1筆，詳見圖2。

本週演練發現，高風險弱點為「驗證機制失效」。攻擊者於系統註冊流程中發現功能路徑，經瀏覽後取得明文帳號與密文密碼。攻擊者使用該帳號與任意密碼發起登入請求，並於驗證過程中攔截系統請求封包，將密碼欄位修改為發現之密文密碼後重新送出，進一步發現系統回應內容包含一次性驗證碼(One-Time Password, OTP)資訊。

經測試發現，該OTP驗證碼於多次驗證流程中均維持相同數值，未於使用後立即失效或重新產生，致攻擊者可重複利用該驗證資訊完成身分驗證並成功登入系統。登入後，攻擊者於系統管理功能中發現一組已停用之使用者帳號，嘗試重新啟用該帳號。經驗證該使用者帳號原處於停用狀態，重新啟用後即可正常登入系統，證實攻擊者取得之帳號具備系統管理者權限。 

建議機關及關鍵基礎設施提供者，採取下列防護措施

防禦迴避高居首位 偵測刺探仍具威脅

本週政府領域資安聯防監控參考MITRE ATT&CK Matrix分析TTP戰術框架分布顯示，本週趨勢相較上週無顯著差異，詳見圖3。「防禦迴避」為最常見攻擊手法，占比14.4%，攻擊者通常會透過關閉或刪除指令紀錄，並利用合法的系統工具間接執行惡意命令，以達到規避監控的目的。因應此類威脅，建議導入端點防護措施，加強指令紀錄的稽核能力，限制高風險工具的濫用，並強化特權帳號的管理，以避免攻擊者繞過偵測並消除其行為痕跡。

「偵測刺探」事件本週占比為13.6%，為本週占比次高的攻擊階段，顯示攻擊者持續加強對目標環境的偵查與資訊蒐集活動，以提升後續攻擊行動的成功率。觀察到的主要手法包括主動式掃描、憑證資訊蒐集及IP 區段掃描。攻擊者透過自動化工具對外部網段與公開服務進行大規模探測，蒐集系統架構、開放埠與服務資訊，同時搜尋與帳號憑證相關的公開資料或外洩資訊，作為後續登入嘗試與目標鎖定的依據。部分活動呈現由廣泛掃描逐步聚焦特定系統與帳號的特徵，顯示其偵查行為具備明確的攻擊目標與規劃。

此類行為雖多屬攻擊前期準備階段，但其蒐集成果往往成為後續入侵與橫向移動的重要基礎。建議組織加強監控異常掃描流量與帳號探測行為，定期盤點對外暴露資產，並結合威脅情資分析可疑來源，以提前發現潛在攻擊準備活動並採取防禦措施。

Web服務系統與網路防火牆為攻擊熱點

本週透過部署於國內外之蜜罐系統觀測攻擊行為動態，相較於上週「網頁應用」服務攻擊占比73.06%、「遠端控制」服務攻擊占比23.38%，本週各類服務之平均偵測攻擊比例無明顯變化，結果顯示「網頁應用」服務仍為攻擊主軸，占比高達73.72%。「遠端控制」服務亦有22.91% 的誘捕比例，反映攻擊者仍積極針對公開遠端連線介面進行入侵行動。

網頁應用是最為常見之對外服務類型，若存在已知漏洞，將面臨高風險曝露情形，易成為攻擊者入侵與滲透重要管道，為優先防護之項目。本週網頁應用介面之誘捕狀況，詳見圖4。本週通用型Web介面占比最高，此類別為攻擊者廣泛的進行HTTP掃描與探測，顯示攻擊者企圖尋找可能存在之Web漏洞進行攻擊。

另Web服務系統類別包含各類以網頁為基礎的服務與應用，例如常見的網頁框架、應用程式伺服器、檔案傳輸與資料管理平台等，由於此類服務多建置於企業應用環境，且直接面向外部提供功能與資料交換，為僅次於通用型介面的攻擊目標。而Web服務系統比例上升主因為GeoServer程式碼注入漏洞之CVE-2024-36401，遭攻擊次數上升導致。網通設備管理介面涵蓋路由器、防火牆等網通設備管理介面，以及智慧攝影機、NAS等物聯網設備管理介面，皆容易遭受攻擊者透過弱密碼、預設帳號或已知漏洞進行入侵。其他類型服務雖比例極小，但若涉及關鍵業務系統，仍需留意潛在風險。 

進一步解析國內外之蜜罐系統誘捕漏洞攻擊之情形，詳見表1。近2年揭露之攻擊漏洞，前5大攻擊以「網頁應用」服務之漏洞為主要入侵路徑，本週漏洞類型多集中於授權缺失漏洞、路徑遍歷漏洞、資訊外洩漏洞、輸入驗證不當漏洞及跨站請求偽造，攻擊目標涵蓋企業級網路防火牆軟體、內容管理系統之網站優化外掛程式、開源後端伺服器框架、視覺化工作流程自動化工具及多選下拉選單元件。
 

防護建議：

建議存在漏洞之設備應更新至最新版本軟體或韌體以修補漏洞；若原廠已無法提供更新支援，應考慮汰換存在漏洞之設備或軟體套件，如因故無法汰換，應採對應之漏洞緩解措施。

網站轉寄功能遭濫用，可能提高詐騙訊息可信度 應強化防濫用機制及民眾查證意識

本週總計接獲18件公務機關與特定⾮公務機關事件通報，詳⾒圖5，公務機關⾮法⼊侵事件中以資料外洩占多數，主要係延續AI代理攻擊造成的資料外洩事件，詳⾒圖6。本週發現機關網站之「文章轉寄／分享」功能遭濫用，攻擊者於留言欄置入偽冒催繳、罰款等詐騙訊息及釣魚連結。由於郵件經官方網域寄出，易使收件者誤信，增加帳號及個資遭竊風險。 

此類攻擊並非直接入侵郵件伺服器，而是利用網站既有功能及官方網域信譽，提高釣魚郵件的可信度，增加民眾帳號、個人資料或付款資訊遭竊風險。網站服務提供者應限制可輸入內容及外部連結，並導入驗證碼、寄送頻率限制、單一來源寄送上限及異常行為監控等機制。使用者收到以催繳、罰款或帳號異常為由的通知時，不宜僅因郵件來自官方網域即信任其內容，應避免直接點擊郵件內連結或輸入帳密、信用卡等資料，並改由機關官方網站、客服電話或既有服務入口查證通知真偽。

投資導流升溫 產品服務型內容仍居主要風險

本週金融投資型占比由前週7.7%升至12.4%，增加4.7個百分點，為三類中增幅最大。相關話術主要運用「低門檻、免費體驗、即時資訊」降低民眾戒心，包括以免費模擬帳戶、低額開戶及即時黃金行情吸引投資，或以「領取最新資料」、「更新趨勢盤面」誘導點擊連結並加入LINE；另透過被動收入、避險操作及限時折扣包裝數位資產課程，詳見圖7。整體顯示，金融投資話術已由直接推薦標的，轉向模擬體驗、投資教學及社群導流等接觸方式。

身分冒充型占比由前週8.3%升至9.9%，增加1.6個百分點。相關內容著重運用專業機構、權威認證及名人形象建立信任，透過「醫學中心臨床實驗」、「國際權威期刊」、「防治指南」、「HACCP認證」及「明星同款」等說法，營造獲得第三方背書的印象。此類權威身分包裝降低民眾戒心，帶動身分冒充型內容占比回升。

產品服務型占比由前週84.0%降至77.7%，減少6.3個百分點，但仍占整體近八成。高風險商品涵蓋韓國服飾、中古車貸款、體重管理產品、草本保健品、血糖調理貼劑、防水噴劑及影音隨身碟等。常見手法包括境外品牌或技術背書、誇大健康功效、引用精確療效數字及限時優惠，再引導民眾透過私訊、LINE或陌生短網址交易。產品服務型占比雖然下降，仍是本週最主要的高風險類型。

 「韓國」占比由前週3.88%升至5.41%，增加1.52個百分點，並升至本週首位，詳見圖8。前週主要出現在韓國偶像同款服飾，本週則擴及明星同款帽款及宣稱源自韓國的體重管理產品，顯示「韓國品牌」、「熱銷」及「明星同款」持續被用來營造流行形象與提高商品可信度。

體重管理產品是本週明顯升溫的話術主題。「控食錠」由2.93%升至5.15%，「飲食」由2.79%升至4.35%，「飽腹感」由2.60%升至4.03%，三項關鍵字共同反映體重管理產品的能見度提升。相關廣告宣稱產品可促進代謝、增加飽足感且無副作用，並以境外熱銷、安全認證及限時優惠等說法包裝，再透過留言、私訊或短網址引導購買。相關功效與認證屬廣告宣稱，民眾購買前應審慎查證。

保健醫療話術亦持續擴散。「輔助」由2.70%升至4.30%，主要反映血糖控制與穴位貼劑等訴求；「成分」由2.86%升至4.33%，呈現草本配方與天然原料的行銷特色；「控制」則由3.11%升至3.79%，顯示精確療效數字及人體臨床實驗等說法持續受到運用。相關廣告透過草本配方、精確療效數字、醫學機構及專業指南等元素包裝產品功效，已成為本週應重點關注的高風險話術。

漏洞通報統計與趨勢
漏洞以輸入驗證居多，反映安全設計不足

115年第2季漏洞通報統計顯示，市售常見系統與軟體產品仍以「輸入驗證不足」為主要安全問題來源，同時於身分鑑別、授權機制及系統設定等面向，亦持續存在一定程度之資安風險。

為進一步了解漏洞分布情形，以下針對115年4月至6月期間之實際通報資料進行分析，TWCERT/CC TVN平台公告共計43筆漏洞，依其成因可進一步歸納為4大類別，包含輸入驗證、身分鑑別與授權、設定與環境及記憶體破壞，詳見表3。

表3 | 115/4~115/6 漏洞資料分析

以下將依各類型漏洞之比例與影響，逐一說明其重點與防護建議：

一、輸入驗證為主要漏洞類型(占比65.1%)
本類型漏洞共28個，占總數超過六成，輸入驗證不足仍為多數應用系統最常見之漏洞成因。顯示外部輸入格式、內容及檔案仍須加強控管。最主要類型如下：

1. 任意檔案上傳(Arbitrary File Upload)共7件，若未妥善檢查檔案內容與副檔名，可能導致攻擊者上傳後門程式，進而取得伺服器控制權，風險相對較高。
2. SQL注入(SQL Injection)共6件，顯示資料庫操作相關參數未妥善控管，易遭攻擊者利用以存取敏感資訊或竄改資料庫內容。

防護建議：

1. 應採用「預設拒絕」原則，採取白名單機制，明確限制輸入格式、長度、字元集合與允許值，僅允許符合預期格式之輸入資料與上傳檔案格式，防止任何非預期的輸入與檔案上傳。
2. 資料庫存取建議採參數化查詢，避免直接拼接外部輸入，以降低SQL Injection風險。

二、身分管理機制不健全(占比20.9%)
本類型漏洞共9個，多肇因於系統功能設計未完整考量權限邊界，或驗證邏輯存在缺陷，顯示敏感功能的身分確認與權限檢查仍有不足，主要集中在缺乏身分鑑別(Missing Authentication)類型，另外包含繞過驗證(Authentication Bypass)、不當存取控制(Improper Access Control)及缺乏授權機制(Missing Authorization)等。

1. 身分鑑別包含管理介面、API及內部功能，建議系統管理功能預設進行身分鑑別機制，並評估以RBAC方式控管不同角色存取權限，避免鑑別流程設計不佳，遭攻擊者透過不同面向繞過檢查存取特定功能。
2. 建議進行伺服器端權限檢查，以免攻擊者竄改特定封包參數，藉此越過系統權限限制，存取其他使用者的檔案或進行其他操作。

 防護建議：

1. 落實最小權限原則，確保每個帳號僅有執行任務所需之最小權限，定期檢視角色與權限，並清理閒置帳號與不再需要的授權。
2. 應採用「預設拒絕」原則，對各物件與操作檢查使用者權限，避免僅以可預測之識別碼做為資料存取依據。
3. 所有敏感功能與API，應於伺服器端執行身分鑑別並逐項授權，勿直接信任前端傳入之角色或狀態。

 三、設定與環境管理不當(占比11.6%)
本類型漏洞共5個，多與系統部署與設定管理不當有關，通常源於安全設定與管理機制未落實所致，包含使用硬刻之帳號通行碼、暴露機敏資料或檔案及前端執行伺服器端安全機制不足等，顯示憑證、資料保護及安全設定需建立一致安全基準。

防護建議：

1. 嚴禁將金鑰、通行碼寫在程式碼或設定檔中，並避免使用預設通行碼，並要求使用者首次登入強制變更通行碼，並搭配帳號鎖定機制、通行碼複雜度及通行碼最短有效期限等防護策略。
2. 建議通行碼採安全雜湊演算法處理，金鑰與機敏資料採取加密或其他適當措施，以及系統間通訊啟用TLS等傳輸加密機制。
3. 資料庫、管理介面及診斷服務僅開放必要來源，正式環境關閉不必要服務，並確認除錯介面與詳細系統資訊不顯示於系統畫面。 

四、記憶體使用不嚴謹(占比2.4%)
本類型漏洞共1個，為堆疊型緩衝區溢位漏洞，肇因於記憶體操作未妥善控管邊界，導致實際使用超出原配置範圍，進而影響到其他記憶體空間，可能造成程式異常、服務中斷，嚴重時甚至影響控制流程或造成執行任意程式碼。
防護建議：

1. 系統複製、解析或處理通訊資料前，應先檢查資料長度與邊界，避免寫入超過緩衝區可容納之範圍。
2. 優先採用具長度限制之安全函式或函式庫，汰換不安全字串與記憶體操作方式，並於必要時導入記憶體安全元件。
3. 啟用位址空間配置隨機化(ASLR)、資料執行防止(DEP/NX)及堆疊金絲雀(Stack Canaries)等防護機制。 

 五、結語
本次統計數據顯示，我國市售系統與軟體產品廠商在「輸入驗證」與「身分鑑別與授權機制」等基礎安全面向，仍有明顯的改善空間，多屬於開發與設定階段即可預防之類型，顯示全面落實基礎資安實務之重要性。

建議優先修補可造成遠端程式碼執行、未授權存取及機敏資料外洩之漏洞，並強化輸入驗證、採行參數化查詢、完善伺服器端身分鑑別與逐項授權、落實憑證管理等相關安全設定。同時導入SAST與安全開發生命週期(SSDLC)，降低再次出現同類型漏洞之情況。

 關鍵字：漏洞通報、TWCERT/CC、TVN