|
科技向上 TECHUP ・ CONNECTED DEFENSE
聯網防線
漏洞、法規、攻防，聯網裝置的資安大小事一次掌握
|
| 第 1 期 ・ 2026年10月21日（三）08:00 ・ 約 8 分鐘讀完 |
|
總編輯開場｜冰櫃被遠端除霜、路由器被隔空接管、錢包裡多了一顆晶片。這週的共同點是：設備沒壞，是它原本的功能和信任被拿去用了。
|
|
|
|
10月11日週日深夜，攻擊者入侵法國數百家超市的冷凍冷藏控制器，遠端啟動除霜功能，部分冰櫃升到攝氏50度、持續約6小時，Intermarché、家樂福等連鎖的肉品與冷凍食品大量報廢。Danfoss表示，受影響設備多是已停止更新的AK-SM 800、AK-SC 355，或韌體過舊的AK-SM 800A。法國CERT-FR隨後把Copeland旗下Dixell的XWEB監控設備也列進受影響清單，義大利ACN、德國BSI同步示警。Shadowserver 10月15日統計，全球仍有至少365台AK-SM 800A可從網際網路直接連線，以法國108台最多。
為什麼重要｜攻擊者沒有破壞設備，只是濫用了它本來就有的除霜功能；The Register也指出，研究人員早在幾個月前就公開過這兩個品牌控制器的漏洞。管理介面直接上網、委外維運的遠端連線、停產設備沒汰換，這三件事在台灣的賣場、冷鏈倉儲和工廠一樣常見，值得現在就盤點一次。
來源：iThome｜10/13補充參考：擴及Copeland、德義示警（iThome）、研究人員早有警告（The Register）、仍有365台裸露（iThome）
|
|
|
|
日本政府2027年4月起，要求連接電網、具通訊功能的設備取得JC-STAR資安認證，涵蓋電池控制設備與電力調節器。經濟日報引述日經亞洲報導，華為、陽光電源、比亞迪目前不在認證名單上；長庚國際能源8月已取得Level 1標章，台塑集團預期年底前獲准，三星SDI也在擴大日本銷售。泓德能源10月13日宣布，旗下TAITEN的儲能變流器（PCS）、BMS、EMS等五項產品取得JC-STAR ★1。中央社另報導，日本正規劃參考JC-STAR，替資料中心與雲端服務建立認證制度。
為什麼重要｜資安標章正在變成市場准入的門票，而且只要「有通訊功能」就要。不過報導也提到，陸廠正研議改由日本公司供應通訊設備來符合規定，這個空檔未必會一直存在。要外銷日本的PCS、BMS、EMS廠，認證時程要從現在開始排。
來源：經濟日報｜10/15補充參考：泓德五項產品取得★1（經濟日報）、日本擬擴及雲端認證（中央社）
|
|
國家資通安全研究院10月15日與沃旭能源簽署合作備忘錄，以資安威脅情資交流和能源基礎設施防護為兩大主軸，強化離岸風場面對資安事件的預警、應變與復原能力，範圍包括運轉中的1.82GW大彰化離岸風場群和未來的大肚風場群。資安院院長龔化中說，離岸風場有自己的電網，也和台電電網相連，攸關國家安全；他也提到歐盟以NIS2規範關鍵基礎設施，希望藉這次合作學習國際標準的落實經驗，之後也會和其他能源業者合作。
為什麼重要｜風機、海上變電站和監控系統分散在海上與陸上，遠端維運是常態，這正是超市冰櫃事件暴露的那種風險。MOU能發揮多少效果，要看情資分享的頻率和深度；風電供應鏈廠商可以留意，業主對設備資安的要求可能會跟著提高。
來源：經濟日報｜10/15補充參考：龔化中談NIS2（工商時報）
|
|
研華宣布與檢測驗證機構DEKRA德凱簽署合作備忘錄，把合規驗證提前到產品設計階段，協助終端客戶和系統整合商因應歐盟《網路韌性法案》（CRA）與IEC 62443；合作項目包括可行性評估、文件審查、認證準備、漏洞管理和安全開發支援。第一個成果是專為商業與工業儲能管理設計的工業邊緣系統AFE-E630，通過DEKRA獨立評估，取得IEC 62443-4-2 SL2符合性證明（AoC）。雙方也規劃延伸到機器人、無人機、能源案場與交通等領域。
為什麼重要｜CRA要求製造商為產品的整個生命週期負資安責任，問題越晚發現，改設計的成本越高。要提醒的是，IEC 62443和CRA並不等同，62443證明可以當作佐證，但不代表已經符合CRA。研華先挑儲能系統來做，和上面日本JC-STAR的需求剛好對得上。
來源：經濟日報｜10/19
|
|
|
|
資安研究員Quentin Kaiser 10月16日公開「WPSplinter」：博通自家Wi-Fi軟體處理WPS訊息時有瑕疵，攻擊者只要在訊號範圍內，不需要Wi-Fi密碼，也不必完成配對，就能觸發記憶體破壞，以root權限執行程式。他在比利時電信業者的閘道器上實際示範，其中包括亞旭（Askey）TCG3000，粗估光是比利時就有約156萬台受影響。採用eCos的舊晶片BCM3380、BCM3383、BCM33834可能永遠無法修補；Linux平台的BCM3390、BCM65xx、BCM68xx則要靠設備商改用開源的hostapd。Kaiser說他7月就通報，博通回覆已有修補，但拒絕指派CVE編號；截至10月15日，他找到的受影響設備都還沒收到更新。
為什麼重要｜沒有CVE編號，很多廠商的弱點管理流程根本不會啟動。採用博通方案的路由器、閘道器和CPE廠，最好主動盤點產品線的WPS實作，評估改用hostapd或預設關閉WPS。這也是CRA要求製造商主動處理已知漏洞的典型情境。
來源：The Register｜10/19補充參考：中文整理（科技新報）
|
|
CISA 10月15日發布公告，中國廠商Guangzhou Juan IoT Technology的EseeCloud App（4.9.6以前）與韌體（4.9.86.0以前）有三個漏洞，其中CVE-2026-107617是寫死在系統裡的登入帳密，CVSS v3.1達9.8，攻擊者可藉此登入設備、取得IP攝影機的控制權。CISA表示原廠沒有回應協調，目前沒有修補，只能請用戶自行聯繫廠商。同一天CISA也公告OPC UA開源Java函式庫Eclipse Milo的6個漏洞，可能導致受保護資料被刪除、合法使用者被冒用，或伺服器停止回應；修補版本為1.1.5，0.6.x版不會再推出修補。
為什麼重要｜寫死帳密又沒有原廠支援的攝影機，只能靠網路隔離和汰換處理。採購或整合影像設備時，要問清楚韌體和雲端平台來自哪一家；用到Milo的OPC UA閘道或應用，也要檢查相依套件的版本。
來源：CISA｜10/15補充參考：Eclipse Milo公告（CISA）
|
|
德國聯邦內政部、數位部和BSI在10月12日共同公布PQC遷移指引，延續歐盟的PQC路線圖：組織要在2026年底前完成初步準備和密碼元件清冊，掌握內外部相依關係，可以用盤點工具、程式碼掃描和CBOM協助；高風險應用最晚在2030年底完成轉換，中等風險應用以2035年底為目標。指引也要求在系統架構、採購流程和風險管理中保留「密碼敏捷性」，日後要更換演算法時，能快速且受控地調整。
為什麼重要｜賣進歐洲的設備，客戶的採購規格很快會出現CBOM和PQC升級路徑。對嵌入式產品來說，難處在現場更換：Flash和RAM放不放得下新演算法、安全開機和OTA簽章能不能換，最好在下一代硬體設計時就預留空間。
來源：iThome｜10/13
|
|
Ledger表示，透過東南亞經銷商CryptoBilis售出的硬體錢包被加裝了隱藏晶片：植入物會讀取螢幕顯示的內容，在使用者設定時擷取24個字的復原詞，再透過內嵌的eSIM經LTE傳出，相關帳戶的資金在10月9日被盜走。由於植入物沒有動到安全元件（Secure Element），被竄改的裝置仍可能通過Ledger的真偽檢查。Ledger尚未確認損失總額；iThome引述區塊鏈公司Bitquery統計，截至10月12日已有324個錢包、約1.02億美元遭竊，也有歐洲用戶表示從歐洲經銷商買到的裝置同樣被改過。
為什麼重要｜晶片本身做得再安全，也擋不住從周邊硬體下手。經銷通路管理、防拆包裝、出廠後的完整性檢查，都要列進產品設計和售後流程；只驗安全元件的真偽檢查，已經不夠用了。
來源：The Record｜10/13補充參考：疑擴及歐洲通路（iThome）
|
|
|
|
Dark Reading整理兩份新研究。國防承包商Booz Allen在實驗室搭建模擬的企業OT網路，讓商用前沿AI模型自主攻擊，八項目標全部達成；其中一次從邊界防火牆一路穿過IT、OT網路，到讓控制器輸出動作、移動機械臂，只花了16分鐘。測試環境刻意保留了未修補的漏洞，流程中也設有人類核准關卡，Booz Allen估計若拿掉這道關卡，時間可能再減半。OT資安廠Claroty的Team82則用AI程式代理分析Danfoss冷藏控制器，找出三個已公開的漏洞並串連其中兩個，在實驗室設備上取得root，耗時28分鐘、token成本約6美元。
為什麼重要｜兩份研究都沒有發明新的攻擊手法，改變的是速度和門檻。OT長期把「外人看不懂」當成第一道防線，這道防線正在消失。Booz Allen建議用微分段、異常行為監控，再加上蜜罐和誘餌拖慢AI攻擊者；漏洞公開後的修補時間，也要改用「天」來計算。
來源：Dark Reading｜10/16
|
|
Anthropic發表研究，把Gemma4-26B-A4B模型拆開，分散在15台約55美元的白牌Android電視盒上執行，速度每秒0.39個token；在9種測試硬體中，90億參數的模型能在其中8種自行架起推論。在簡化的模擬網路裡，GLM-5.2能完整跑完複製流程。Anthropic推估，如果小模型照過去的速度進步，今年底就可能達到這個能力。The Register則提醒，研究大致略過了「入侵」這一步，複製測試是在刻意留洞的模擬節點上進行，Anthropic自己也說結果是真實世界的上限；而且這種蠕蟲估計要好幾天才會倍增，Mirai當年大約一小時。
為什麼重要｜兩邊其實都同意一件事：會被當成跳板的，還是那些弱密碼、不更新的平價IoT設備。AI蠕蟲不論多快成真，取消預設帳密、關閉不必要的服務、提供安全更新，本來就是CRA和各國資安標章要求的基本功。
來源：iThome｜10/14補充參考：Anthropic研究原文（英文）、反方評論（The Register）
|
|
|
|
The Register報導，攻擊者正從竊資、加密檔案，轉向能造成實體後果的系統。今年8月，加拿大一家醫院的大樓管理系統遭勒索軟體攻擊，門禁、中央空調監控和員工識別證發放都受影響；資安公司Semperis的事件應變顧問說，曾有攻擊者在客戶拒付贖金後，把整棟辦公室的員工鎖在門外，最後由警方破窗進入。ServiceNow旗下Armis Labs的報告指出，73%的組織擁有曾被勒索攻擊利用過的樓宇自動化系統（BAS），91%的BAS使用不安全的通訊協定。也有攻擊者在金融機構的BMS裡藏後門，被踢出IT網路後再從BMS繞回來。
為什麼重要｜空調、門禁、照明和消防面板，過去多半由總務和機電廠商管理，常常不在資安團隊的盤點清單上。做BAS控制器、門禁和監控設備的台灣廠商，產品要支援加密協定、帳號權限控管和安全更新，才接得住客戶越來越嚴格的資安問卷。
來源：The Register｜10/17
|
|
|
|
IETF今年8月發布RFC 10024，替TLS 1.3訂定3種混合式金鑰建立機制：把傳統的ECDHE和後量子的ML-KEM結合，兩邊產生的共享祕密一起用來導出連線金鑰，只要其中一種演算法仍然安全，整體就安全。iThome指出，Chrome、Firefox和部分AWS、Google Cloud服務早已採用，Java 27也已支援。但有兩個常見誤會：產品支援不等於每段連線都在用，例如使用者到CDN、CDN到原始伺服器是兩條不同的TLS連線；而且RFC 10024只管金鑰交換，伺服器憑證和數位簽章仍可能是傳統演算法。
為什麼重要｜對IoT設備來說，ML-KEM的公鑰和密文都比ECDHE大上千位元組，握手封包會明顯變大，記憶體吃緊的MCU和低頻寬網路要先實測。雲端端點若預設啟用混合式金鑰交換，舊韌體的TLS函式庫能不能正確協商回傳統機制，也要列進相容性測試。
來源：iThome｜10/20補充參考：RFC 10024原文（英文）
|
|
|
- Moxa AIG-302閘道修補寫死私鑰漏洞：最嚴重的CVE-2026-109813是共用的寫死根憑證（Root CA）私鑰，CVSS 4.0為8.6，相鄰網路的攻擊者不需登入就可能危及通訊的機密性與完整性；請更新到v1.4.1。 （Moxa｜10/16）
- Zyxel修補多款5G CPE、光纖ONT與Wi-Fi延伸器：資料存取層（DAL）授權不當，已登入的攻擊者可竄改login_privilege提升權限；電信業者客製機種不在清單上，要向ISP洽詢。 （Zyxel｜10/20）
- Swann Wi-Fi攝影機可被同網段免驗證看即時影像：CISA公告SWIFI-SE2KIC韌體2.0.22以前有3個缺少驗證的漏洞（CVSS v3.1為6.2），原廠暫時建議把攝影機放在防火牆後、不要把RTSP服務開到網際網路。 （CISA｜10/13）
- 普鴻13項PQC演算法通過NIST CAVP：包括FIPS 203（ML-KEM）、204（ML-DSA）、205（SLH-DSA）和三種AES模式，將整合進自家HSM與資料保護產品。CAVP驗證的是演算法實作的正確性，和密碼模組通過FIPS 140-3（CMVP）是兩回事。 （科技新報｜10/13）
- TLS憑證效期將縮到64天：Let's Encrypt宣布2027年2月10日起，預設效期由90天縮為64天，2028年再降到45天。在韌體或腳本裡寫死固定天數續期的嵌入式設備，要先檢查。 （iThome｜10/13）
|
📅 活動行事曆
本期暫無。之後這裡會整理值得關注的產業展會與技術活動。
|
|
|
覺得有用？轉寄給同事，或加訂科技向上的其他主題：無人載具前線、算力工地、機器人進化論
|
科技向上媒體中心｜editor@techup.tw
您收到這封信，是因為您訂閱了科技向上的主題電子報。我們只會依您選擇的主題寄送電子報。您的 Email 只用於上述目的，不會提供給第三方。個資相關請求請來信 privacy@techup.tw。
內容為編輯部原創摘要，版權屬原媒體所有，請點連結閱讀全文。
訂閱
・ 只想停收本主題？直接回信告訴我們即可。
|