# 一個月資安連環爆：91APP、Zeabur、Railway、PHP、Java，我們該學到什麼

> 電商平台被拖庫、雲端平台金鑰外洩到宣布停業、PHP 漏洞嚴重到日本首相深夜示警。整理 2026 年 10 月最重要的資安事件，以及小型事業今天就該做的 5 件事。

來源：https://guide-mkt.lot.tw/guides/security-incidents-202610/｜最後更新：2026-10-25

互動教學（跟著畫面一步一步點）：https://guide-mkt.lot.tw/play?g=security-incidents-202610

共 12 個重點，約 1 分鐘。標籤：資安、時事、小型事業、雲端服務。

1. **首相親自發資安警告，非常罕見**：PHP 官方 10/21 修補兩個被稱為「php2shell」的遠端程式碼執行漏洞（CVE-2026-109618、109619，CVSS 9.2），未經驗證就可能控制網站伺服器。日本 pixiv、niconico 等服務緊急停機檢查，部分鐵路、銀行、政府網站也暫停或維護。
2. **被駭的是平台，扛詐騙的是店家**：91APP 公告其 Commerce Cloud 資料庫受到自動化攻擊、部分資訊被非法擷取，已報案並委請第三方資安單位調查，數位發展部數產署已進行行政檢查。合作品牌反映，消費者收到冒用品牌名義、內容含真實訂單的詐騙信，以「定期購設定錯誤」「重複扣款」等理由要求操作網銀。
3. **8 月換過金鑰，偏偏漏了這一把**：Zeabur 初步報告：攻擊者用 2024 年 1 月建立、沒有到期日、以明文存放的叢集管理員權杖與雲端金鑰進入，讀取平台資料庫（約 320 萬筆服務環境變數、32 萬 1,810 個帳號）。8 月事件後的金鑰輪替漏掉了這些權杖。Zeabur 已登出所有使用者、撤銷所有權杖，並宣布 2026/12/31 停止營運。
4. **環境變數裡的金鑰，就是你家的鑰匙**：Railway 表示偵測到存放客戶環境變數的系統有異常活動，部分可能已被解密，外洩內容可能包括 API 金鑰、資料庫帳密與私有套件權杖；平台暫停所有部署並要求客戶輪替金鑰。有區塊鏈調查者把約 37 萬美元的加密貨幣竊案連到此事件，但尚未獨立證實。
5. **AI 讓漏洞更快被找到，也更快被利用**：資安團隊用 AI 協助找到這兩個潛伏多年的漏洞；細節在 10/20 正式修補前就提早外流，讓網站管理者能修補的時間大幅縮短。修補版本為 PHP 8.5.12、8.4.27、8.3.36、8.2.35，PHP 5、7 系列不再提供修補。
6. **不是固定更新日，代表等不及**：Oracle 於 10/21 發布非例行的安全警示，CVE-2026-91403 位於 Java SE 的 JSSE 元件，CVSS 9.1，影響 Java SE 與 GraalVM 多個版本；目前未列入已遭利用清單，建議更新到修補版本。
7. **資料外洩是詐騙的開始**：日本 Lawson 10/8 公布「Lawson ID」遭不正存取，約 215 萬筆會員的姓名、Email 等資料外洩（受害期間 9/12–14）；另有郵件伺服器被冒用發送約 70 萬封可疑信。
8. **換過一次不代表全部換過**：API 金鑰、資料庫密碼、雲端權杖要放在金鑰管理工具，不要寫在設定檔或程式碼裡；設定到期日與最小權限；平台通報事件時，把所有放在該平台的金鑰都換掉，並列清單確認沒有漏網之魚。
9. **以前有幾週，現在可能只有幾天**：AI 讓漏洞更快被找到，也讓攻擊程式更快被做出來。小型事業至少要有一張清單：網站用哪個平台、PHP 或 Java 版本、哪些外掛；外包網站的，要問廠商誰負責更新、多快更新。
10. **對方知道你的訂單，不代表他是真的**：外洩資料讓詐騙信看起來更真：有姓名、訂單、購買品項。消費者遇到要求操作網銀、ATM、更改付款方式的訊息，先停下來、改用官方電話或官網確認。店家則要準備好通知顧客的文字與客服話術，主動提醒、不要等顧客受害才回應。
11. **收藏這張，週末對照做一次**：用到 Zeabur、Railway 的，現在就換金鑰並規劃搬遷；用 91APP 等電商平台的，準備顧客通知與客服說法；自架或外包網站的，確認 PHP、Java 是否已更新到修補版本。
12. **事件還在發展，以官方最新公告為準**：91APP〈Commerce Cloud 資料庫受到自動化攻擊事件說明〉、Zeabur〈October 2026 security incident (preliminary report)〉；iThome、ETtoday、科技新報、Google Cloud（PHP CVE-2026-109618／109619）、HKCERT（Oracle Java）、@IT（Lawson ID）、OfficeChai（Railway）。

---
mkt 營業中 × 高效狂熱研究室！