網站弱點掃描怎麼做？上線前、上線後與每天自動監控的流程，掃出漏洞怎麼排修補

想知道弱點掃描、滲透測試、壓力測試三者差在哪，可以先看 三種資安檢測的差異；想比較掃描工具，看 弱點掃描工具怎麼選。這篇只回答一件事：網站弱點掃描要在什麼時候做、掃出來的東西怎麼看、修補先後怎麼排。

先給答案。網站弱點掃描要分三個時間點做：上線前掃一次當驗收門檻，上線後定期掃（至少每季，每次大改版後補掃），再加上每天自動比對程式套件的漏洞通報。三個時間點抓的東西不一樣，少了任何一個都會留下空窗。報告出來以後，修補順序看三件事：這個漏洞有沒有人在實際利用、那段程式對外有沒有開著、出事會碰到什麼資料。分數高低只是其中一個參考。

我們最近替所有維護中的系統，包括自家產品，加上了每天早上的自動漏洞檢查。做這件事的過程中最大的體會是：掃描本身不難，難的是掃完之後誰看、怎麼判斷、多快修。多數企業的弱點掃描報告最後都躺在信箱裡，原因多半出在後面這段流程沒人設計。

這件事的急迫性有數字撐。Verizon 的 2026 年資料外洩調查報告（DBIR） 指出，利用軟體漏洞已經超過盜用密碼，成為駭客入侵的第一大途徑，占 31%。同一份報告裡，被證實遭到實際利用的漏洞，企業完整修好的比例只有 26%，修補時間的中位數從前一年的 32 天拉長到 43 天（Help Net Security 的整理）。漏洞找得到，修得太慢，才是現在最常見的破口。

網站弱點掃描掃什麼？網頁應用、伺服器設定、程式套件三層

一句話：一個網站至少有三層會出漏洞，分別是你寫的程式、跑程式的伺服器，以及程式裡引用的別人寫好的套件。市面上很多「網站弱點掃描」只掃第一層，報告看起來很完整，另外兩層其實沒碰到。

第三層最容易被忽略，也是近年問題最多的一層。OWASP 在 2025 年版的十大網站風險 裡，把「軟體供應鏈失敗」新列為第三名，涵蓋第三方套件、建置流程到發佈管道。套件漏洞的麻煩在於它跟你的改版節奏無關：你半年沒動程式，引用的某個套件今天被公布重大漏洞，網站就從今天開始有洞。開源套件被植入惡意程式的真實案例，可以看 TanStack npm 供應鏈攻擊解析。

伺服器那一層，跟防火牆、WAF 這類防護是互補關係。防護能擋掉一部分攻擊，但擋不住的漏洞還是要修。這兩樣東西各自做什麼，可以參考 伺服器防火牆是什麼 與 WAF 是什麼。

上線前、上線後定期、每天自動監控：網站弱點掃描的三個時間點

先講結論：上線前的掃描是驗收門檻，定期掃描是健康檢查，每日監控是警報器。三者的頻率、範圍和負責人都不一樣，用下面這張表對照。

上線前：把掃描寫進驗收條件

上線前這一次最重要，因為這是業主唯一能用「不驗收」當籌碼的時間點。實務做法是在合約或驗收清單寫明：交付時附弱點掃描報告，高風險與重大等級的項目要清零，中風險要逐項說明處理方式。上線前要檢查的不只資安，程式碼品質、權限設計也一併看，可以參考 上線前的程式碼審計 6 個必查項。

上線後定期：每季一次，加上每次大改版

民間企業沒有法定頻率，業界常見的節奏是每季掃一次，再加上每次大改版之後補掃。有接信用卡的網站另有規定：PCI DSS 要求對外的弱點掃描至少每三個月一次，並由認證的掃描廠商執行，微軟整理的 PCI DSS 第 11 條對照 有逐條說明。

公務機關與特定非公務機關則有明確次數。《資通安全責任等級分級辦法》 的應辦事項附表裡，A 級機關的核心系統網站安全弱點檢測一年要做兩次，B 級一年一次。各級逐項要求可以看 資通安全管理法 A/B/C 級附表對照；接政府標案的系統要準備哪些資安文件，看 政府標案系統開發跟企業案差在哪。

每天自動監控：我們自己是這樣做的

定期掃描有一個先天限制：它只看掃描當天的狀態。套件漏洞每天都在公布，Jerry Gamblin 的年度統計 顯示 2025 年全球公開了 48,185 個漏洞編號，比 2024 年多 20.6%，平均一天超過 130 個。一季掃一次，中間將近九十天是盲區。

所以我們替維護中的系統加了一道每天早上的自動檢查。我們只公開做了哪幾步、結果如何，技術細節不談：

這套檢查涵蓋的範圍包括我們自家的產品，例如 SalesKing 數位訊息平台，以及正在維運中的客戶系統。最後一條「只讀不自動改」是刻意的取捨：自動升級看起來省事，但套件大版本升級常常改到介面，沒測試就上線，等於拿正式環境當測試場。

這套做法不一定要自己架。如果你的系統是委外做的，最直接的做法是請維運廠商提供同樣的每日或每週套件漏洞通報，後面「委外系統要跟廠商要什麼」那一節會整理要求清單。想自己架掃描環境，可以參考 自架弱點掃描完整指南 與 自建和委外的成本試算。

弱點掃描報告怎麼看：嚴重度、誤報，以及那段程式有沒有用到

一句話：報告上的分數告訴你「這個漏洞最糟能多糟」，沒有告訴你「它在你的網站上會不會發生」。看報告要對每一項問三個問題：真的存在嗎？對外開著嗎？有人在用它攻擊嗎？

先看報告裡每一筆項目通常有哪些欄位，各自該怎麼讀：

嚴重度分數怎麼讀

嚴重度普遍用 CVSS 分數表示，美國 NVD 的說明 把它分成五級：0.1 到 3.9 是低，4.0 到 6.9 是中，7.0 到 8.9 是高，9.0 到 10 是重大。要記住的是，CVSS 量的是嚴重程度，它本身不是風險。一個 9.8 分的漏洞，如果出在你網站根本沒開放的功能上，實際風險可能比一個 6.5 分但掛在登入頁上的漏洞還低。

誤報怎麼判斷

自動掃描為了不漏，天生傾向多報。最常見的誤報有三種：只看版本號推測有漏洞，但作業系統廠商其實已經把修補移植到舊版本；掃到開發用的工具套件，正式網站根本不會載入；同一個漏洞因為出現在多個頁面，被重複列了幾十次。判斷誤報要留下證據，例如實際版本、設定截圖或測試結果，下一次掃描才能標記排除，不用每季重吵一次。

那段程式到底有沒有用到

這是最常被跳過、也最能省力的一步。套件有漏洞，通常只出在套件裡某一個功能。例如某個圖片處理套件的漏洞只在處理特定格式時觸發，如果你的網站只讓使用者上傳 JPG 與 PNG，而且上傳前已經檢查格式，這個漏洞實際上碰不到。判斷有沒有用到需要懂程式的人看，這也是我們每天的自動檢查一定要接一道人工判斷的原因。

數字也支持這樣做。2025 年公開的 48,185 個漏洞裡，有將近四成被評為高或重大等級；同一年，美國資安主管機關 CISA 新增到 「已知遭利用漏洞」清單（KEV） 的只有 245 個（SecurityWeek 統計）。高分的漏洞很多，真的被拿來攻擊的只占極小比例。全部都當緊急件處理，團隊很快就會麻痺。

網站弱點掃描後的修補優先序：一張決策表排先後

先講結論：修補順序依序看「有沒有人在利用」「對外有沒有開著」「碰到什麼資料」，最後才看分數。下面這張表是我們判斷先後的做法，時限是建議值，可以依公司規模調整。

判斷「有沒有人在利用」，除了 KEV 清單，也可以參考 FIRST 的 EPSS 分數。它每天更新，用 0 到 1 的機率估計一個漏洞在未來 30 天被利用的可能性。CVSS 告訴你多嚴重，EPSS 告訴你多可能被用，兩個一起看比只看一個準。

我們的立場很明確：只照 CVSS 分數由高到低排修補，是弱點管理裡最常見的浪費。一份報告動輒上百項高分項目，照分數排，團隊會把時間花在根本打不到的漏洞上，真正對外開著、已經有人在打的那幾項反而排在後面。Verizon 報告裡已遭利用漏洞只修好 26% 的數字，很大一部分就是這樣來的。分數只能拿來排「同一個條件下的先後」，不能當唯一的排序依據。

還有一個現實要知道：漏洞資料庫本身也忙不過來。美國 NIST 在 2026 年 4 月宣布，因為漏洞數量暴增，NVD 之後只會優先補齊高風險漏洞的細節資料，其餘的排到最後。報告裡有些漏洞缺分數或缺說明，不代表它不重要，這時更要回到「對外有沒有開著、有沒有人在用」這兩個問題來判斷。

網站弱點掃描掃出漏洞後，修補怎麼做才不會把網站修壞

一句話：在測試環境修好、測過，再上正式環境，上線後複掃一次確認關掉。最常見的事故是急著修漏洞，直接在正式網站升級套件，結果結帳頁壞掉，損失比漏洞本身還大。

修補流程建議固定成五步：在測試環境重現問題、修補、跑主要功能測試、上正式環境、複掃確認。測試環境和正式環境為什麼要分開，可以參考 測試環境與正式環境差在哪。

「暫時緩解」在緊急時很好用。我們處理過一個例子：PHP 被公布重大漏洞時，網站前面的防護服務已經先上了擋攻擊的規則，我們則在看到公告當天完成盤點、升級與回測，過程寫在 PHP2Shell 漏洞與當天修補實錄。重點是暫時措施要有期限，常見的破口是防護規則擋住之後大家就忘了修。

「風險接受」也不是丟著不管。國立臺灣師範大學資訊中心在 2025 年底的一份說明 就寫得很清楚：如果承辦單位想放寬弱點掃描驗收標準，要填「弱點處理報告單」，由單位主管親簽，確認願意承擔未修補的法律、營運與資安風險。企業也可以照這個精神做，每一項不修的漏洞都要有人簽名負責。

委外做的網站：弱點掃描要跟廠商要哪些東西

先講結論：網站是委外做的，弱點掃描的責任要在簽約時就分清楚，交付時要報告，維運期間要通報，出事時要有修補時限。這些都寫進合約才有用，口頭說好的在驗收後很難追。

「用最新版本掃描」這一條看起來瑣碎，公家單位其實很在意。中央研究院資訊服務處的 弱點掃描工具建議 就特別要求，提供檢測報告時務必使用最近一次更新的軟體。民間企業驗收時也該照做，不然廠商拿半年前的報告交差，看起來全綠，實際上什麼都沒證明。

合約條款可以直接參考 軟體開發合約範本 裡的驗收與保固條款，維運期間的服務水準怎麼約定，看 軟體外包驗收後的維運合約怎麼簽。交付驗收的完整檢查項目，可以搭配 客製化系統交付驗收 SOP。

台灣在地產品的漏洞，也要有人盯

很多企業的網站會串接台灣廠商的產品，例如郵件系統、表單系統、網路設備。這類產品的漏洞未必會出現在國際開源資料庫，TWCERT/CC 會透過 台灣漏洞揭露平台（TVN） 發布公告。我們的每日檢查之所以加上 TWCERT 通報，就是為了補這一塊。委外廠商的通報範圍也可以要求涵蓋這個來源。

網站弱點掃描做了還是出事：四個常見破口

一句話：多數出事的網站其實都掃過，問題出在掃的範圍、頻率或後續處理有缺口。下面四個是最常見的：

• 只掃首頁網址。掃描器沒有登入，會員中心、後台、付款流程全都沒掃到。驗收時要確認掃描範圍包含需要登入的頁面。
• 掃描範圍漏了測試站與舊網站。正式站修好了，三年前的活動頁、忘了關的測試站還開著，攻擊者從那邊進來。上線前把要掃的網址清單列出來，每次掃描對一次。
• 報告沒有指派負責人。報告寄給老闆，老闆轉給廠商，廠商說要另外報價，三個月過去沒人動。每一項要有負責人和期限，跟其他工作一樣追。
• 修完沒複掃。工程師說修好了，但只改了其中一個頁面，同樣的問題還在另外五個頁面。修補完成的定義要包含複掃通過。

系統上線後第一年還有哪些維運工作要排進預算，可以參考 系統上線後的第一年：維運與技術債。

網站弱點掃描要長期做得下去，靠的是流程

工具買得到，流程買不到。把這篇整理成一句話：上線前把關、定期健檢、每天盯套件，掃出來的東西先問有沒有人在打、對外有沒有開著，再排修補，修完一定複掃。這套流程跑得起來，報告才不會只是一份每季收到一次的 PDF。

如果你的網站或系統是我們這種客製化開發的，弱點掃描與套件監控最適合在開發時就設計進去：套件清單、測試環境、修補流程在交付時就備好，上線後才不用從頭補。看到這裡，如果你也在想「我們現在的系統，掃描與修補這段到底有沒有人在管」，我們很樂意 聽你聊聊現在的情況，一起看看哪一段最該先補。

這篇屬於恆遠的資安系列，同系列還有：供應鏈攻擊是什麼、供應鏈攻擊案例整理、資安健檢是什麼、資安健檢費用怎麼算。