最新資安威脅：Chrome 零日漏洞、資料外洩與多項攻擊手法

近期資安威脅概覽

本週資安情勢再度升溫，從 Google Chrome 零日漏洞到 Dropbox 帳號外洩，攻擊手法多元且具高度針對性。特別值得關注的是 Citrix NetScaler 重大認證繞過漏洞（CVE‑2026‑19490），已在野外被觀測到利用跡象，顯示威脅團隊正快速將研究成果商品化。

Citrix NetScaler 零日漏洞深度剖析

• 漏洞說明：CVE‑2026‑19490 為一個認證繞過缺口，允許未授權的攻擊者在 NetScaler 設為 AAA 虛擬伺服器或 Gateway（SSL VPN、ICA Proxy、CVPN、RDP Proxy）時，遠端繞過驗證。是否受影響取決於 NetScaler 韌體版本與是否啟用 SAML Action。
• 廠商回應：Citrix 在 8 月中發布安全公告，建議立即檢視官方 NetScaler ADC 與 NetScaler Gateway 安全通報，將受影響裝置升級至建議版。
• 實際利用情況：根據漏洞情報公司 Previdian 創辦人 Ryan Dewhurst 於 9 月 3 日的說明，其感測器偵測到三筆與公開 PoC（概念驗證）相符的請求，來源分別位於澳洲、美國與德國。雖然目前僅能確認「嘗試」行為，尚未證實成功入侵，但已足以提醒企業加速修補。
• 比利時資安中心：比利時國家資安協調中心（NCC‑BE）亦於本週五發佈警示，呼籲所有使用 NetScaler 的組織優先完成補丁部署，避免成為攻擊目標。

其他重大漏洞與攻擊手法

• Google Chrome：Google 發布警告，指出有新零日漏洞正被利用，攻擊者可在受害者瀏覽器中執行任意程式碼。
• Coder 註冊中心：其基礎設施被入侵，惡意模組被推送至開發者環境。
• Dropbox：因 Lenovo 電子郵件驗證缺陷，導致帳號被盜。
• Microsoft：KB5120998 更新中的滑鼠重設錯誤僅影響非英文系統；另有部分使用者無法開啟 Teams 桌面版客戶端。
• IDScan：因涉嫌洩漏 1.53 億名駕駛人資料而遭訴。
• Passkey 認證：研究披露 39 種新方法可繞過 Passkey（密鑰驗證）機制，顯示未來生物或硬體憑證仍需加強防護。

未來防護建議

1. 即時修補：對於已公開的 CVE，尤其是 CVE‑2026‑19490，務必在測試環境驗證後，儘速於生產環境部署官方建議的韌體。

2. 資產盤點：確認組織內所有 NetScaler、Chrome、Dropbox 相關帳號與服務的版本與設定，避免因過時元件成為攻擊入口。

3. 多因素驗證：即使 Passkey 受挑戰，仍應結合 OTP、硬體安全金鑰等多因素機制，以降低單點失效風險。

4. 威脅偵測：部署能監控異常認證請求的 IDS/IPS，並針對來自不尋常地理位置的流量設定警示。

5. 員工教育：加強釣魚與社交工程防範訓練，尤其是涉及電子郵件驗證的流程，降低帳號被盜的機會。

結語：資安攻防的節奏正加速，從瀏覽器到企業級閘道器皆可能成為下一波攻擊的焦點。唯有保持「即時修補 + 多層防護」的原則，才能在不確定的威脅環境中為企業資訊資產築起最堅實的防線。