資安監控通報

近 30 天每日檢查

每一格是一天，每週更新時補上。

每週紀錄

修補完成或確認不受影響後才公開；重大漏洞附上國際漏洞編號供查證。點項目可以展開。

1. 10/26–11/1第 44 週

   ✓修補 8 項重大、131 項高風險漏洞並上線

   重大秒簽 SpeedSign：網頁框架的圖片功能，未登入就可能被遠端執行程式10/31 修補✓ 已修補

   這是網頁框架 Next.js 的漏洞，影響使用圖片最佳化功能的網站。升級到官方修補版，測試通過後上線，上線後複查確認漏洞不再出現。

   官方公布 10/22 → 修補上線 10/31（9 天後）

   國際漏洞編號：GHSA-2464-fhr4-w9xw完整處理紀錄 →

   重大秒記發票：網頁框架的圖片功能，未登入就可能被遠端執行程式10/31 修補✓ 已修補

   這是網頁框架 Next.js 的漏洞，影響使用圖片最佳化功能的網站。升級到官方修補版，測試通過後上線，上線後複查確認漏洞不再出現。

   官方公布 10/22 → 修補上線 10/31（9 天後）

   國際漏洞編號：GHSA-2464-fhr4-w9xw完整處理紀錄 →

   重大加密寶：網頁框架未登入就可能被遠端執行程式10/31 修補✓ 已修補

   這是網頁框架 Next.js 的漏洞，涉及圖片最佳化與快取功能。升級到官方修補版，測試通過後上線。

   官方公布 10/22 → 修補上線 10/31（9 天後）

   國際漏洞編號：GHSA-2464-fhr4-w9xwGHSA-673q-mjm6-r5xr完整處理紀錄 →

   重大加密寶：網頁框架處理另一種圖片格式時，未登入就可能被遠端執行程式10/31 修補✓ 已修補

   同樣是 Next.js 圖片最佳化功能的漏洞，官方較早公布。與上一項一起升級修補後上線。

   國際漏洞編號：GHSA-2xp9-vwfh-vxw4

   重大加密寶：伺服器判斷連線來源的元件可能被偽造來源位址10/31 修補✓ 已修補

   伺服器用來判斷使用者連線來源的元件有漏洞，可能被偽造來源位址。升級到官方修補版，測試通過後上線。

   國際漏洞編號：CVE-2026-90711

   重大恆遠會員中樞：伺服器判斷連線來源的元件可能被偽造來源位址10/31 修補✓ 已修補

   伺服器用來判斷使用者連線來源的元件有漏洞，可能被偽造來源位址。各服務升級到官方修補版，測試通過後上線。

   國際漏洞編號：CVE-2026-90711

   重大恆遠官網：網頁框架的圖片功能，未登入就可能被遠端執行程式10/31 修補✓ 已修補

   這是網頁框架 Next.js 的漏洞。升級到官方修補版，上線前後逐頁比對確認網站運作與升級前相同。

   官方公布 10/22 → 修補上線 10/31（9 天後）

   國際漏洞編號：GHSA-2464-fhr4-w9xw完整處理紀錄 →

   重大恆遠官網：網頁框架處理另一種圖片格式時，未登入就可能被遠端執行程式10/31 修補✓ 已修補

   同樣是 Next.js 圖片最佳化功能的漏洞，官方較早公布。與上一項一起升級修補後上線。

   國際漏洞編號：GHSA-2xp9-vwfh-vxw4

   重大恆遠官網：網頁內容過濾元件可能讓惡意腳本漏網10/31 修補✓ 已修補

   網站用來過濾使用者輸入內容的元件，在特定用法下可能讓惡意腳本通過過濾。升級到官方修補版後上線。

   官方公布 10/22 → 修補上線 10/31（9 天後）

   國際漏洞編號：GHSA-cg2g-xh64-v4q7

   重大恆遠官網：資料格式解析元件可能被插入惡意腳本10/31 修補✓ 已修補

   網站後台用來解析資料格式的元件有漏洞，可能被插入惡意腳本。升級到官方修補版後上線。

   國際漏洞編號：CVE-2026-25896

   重大秒發報價：PDF 產生元件可能讀取到不該讀取的檔案10/31 修補✓ 已修補

   產生報價單 PDF 時使用的元件有漏洞，在特定用法下可能讀取到不該讀取的檔案。升級到官方修補版，通過測試後上線。

   國際漏洞編號：CVE-2025-68428CVE-2026-31938

   🟠 高風險 131 項：恆遠官網、加密寶、恆遠會員中樞、秒記發票、秒苗健身（相依元件的高風險漏洞，10/31 修補）

   🛡️ 主動加固：恆遠會員中樞（稽核紀錄改為記錄使用者真實的連線來源，10/26 完成）
2. 10/19–10/25第 43 週

   ✓每日檢查 7/7 天完成，修補 3 項高風險漏洞；本週無重大漏洞

   🟠 高風險 3 項：秒發報價、恆遠會員中樞、加密寶（網頁伺服器元件，10/24 修補）
3. 10/12–10/18第 42 週

   ✓每日檢查 7/7 天完成，本週無新增重大或高風險漏洞

4. 10/5–10/11第 41 週

   ✓10/06 開始監控，完成 10 款產品的首次全面檢查，發現的漏洞依嚴重程度排定修補

我們的處理原則

1. 01

   持續追蹤

   每天對照國際漏洞資料庫與台灣 TWCERT 通報，確認產品用到的元件有沒有新漏洞。

2. 02

   評估影響

   由工程師確認漏洞是否真的影響產品，依嚴重程度排定處理順序。

3. 03

   修補與驗證

   修補後先完成測試，確認產品功能正常才上線。

4. 04

   上線後複查

   上線後再確認一次，漏洞不再出現才算完成。

公開原則：修補完成或確認不受影響後才公開；重大漏洞附上國際漏洞編號供查證；高風險漏洞只列數量與修補時間。