Black October 2026 總整理：PHP2Shell、eMudhra、Zeabur 外洩…10 月資安事件時間軸與檢查清單
2026 年 10 月 24 日
2026 年 10 月本來是「資安意識月」，結果資安圈給它取了另一個名字：Black October。短短三週內，PHP、Node.js、nginx、Linux 核心、Java 接連爆出重大漏洞，憑證機構私鑰外洩，多個開發平台的環境變數被偷，連熱門開源套件都被植入竊密程式。這篇用時間軸整理整個月的事件，並歸納出值得注意的共通點。
Black October 時間軸
| 日期 | 事件 | 類型 | 嚴重性 |
|---|---|---|---|
| 10/5 | MALFEX：8 個惡意 npm 套件，約 4 萬次下載，在 Windows 植入遠端控制木馬或竊密程式 | 供應鏈 | 已遭利用 |
| 10/8 | Tensorlake npm SDK 0.5.144 被植入 Shai-Hulud 家族竊密程式，會竊取 npm、GitHub、雲端與 AI 工具憑證並自我擴散 | 供應鏈 | 已遭利用 |
| 10/14 | nginx 一次修補多個漏洞，包含 worker 緩衝區溢位、HTTP/3 繞過 client_max_body_size 等 | 基礎元件 | 中 |
| 10/14～15 | Zeabur 平台遭入侵，約 321 萬筆環境變數與 32 萬個帳號資料被讀取 | 平台外洩 | 已遭利用 |
| 10/15 | Linux 核心 PwnEscape（CVE-2026-99999）公開：虛擬機可透過 IPv4 處理缺陷影響宿主機，問題存在多年 | 虛擬化 | CVSS 9.3 |
| 10/17 | Mozilla、Google 封鎖 eMudhra 8 張私鑰可被還原的中介 CA 憑證，Apple、Microsoft 隨後跟進 | 憑證 | 高 |
| 10/17～18 | OpenCode Console 遭入侵，約 1.4% 使用者綁定的模型 API Key 可能外洩 | 平台外洩 | 已遭利用 |
| 10/19 | TiDB Cloud（PingCAP）宣布資料外洩事件 | 平台外洩 | 調查中 |
| 10/20～21 | Oracle 季度更新修補 1,209 個漏洞，隔天針對 Java JSSE 發布緊急警告 CVE-2026-91403（CVSS 9.1） | 基礎元件 | 高 |
| 10/21 | PHP2Shell：PHP 兩項未授權 RCE 漏洞（CVE-2026-109618、109619）公開，各國政府網站緊急下線修補 | 基礎元件 | CVSS 9.2，已有攻擊 |
| 10/21 | Node.js 修補 4 個高風險漏洞，包含 Brotli 解碼 RCE 與兩個 TLS 主機名稱驗證繞過 | 基礎元件 | 高 |
| 10/21 | LiteLLM 1.107.0 在 PyPI、Docker Hub、GHCR 被植入竊密與遠端控制程式 | 供應鏈 | 已遭利用 |
| 10/21 | Railway 偵測到客戶加密環境變數遭存取，部分已被解密，暫停所有部署 | 平台外洩 | 已遭利用 |
同期還有 BeyondTrust Remote Support 自 8 月起就被利用的零時差漏洞，以及被稱為 Plex2Shell 的 Plex Media Server 漏洞遭到攻擊。
這個月的三個共通點
1. AI 讓漏洞被找到的速度變快了
PHP2Shell 是由 Calif、OpenAI 與 Wiz 的研究人員發現，漏洞藏了十多年，因為利用條件複雜一直沒人找到。PwnEscape 公開後也有其他研究者在短時間內獨立重現。AI 輔助找漏洞的能力提升，代表「漏洞存在很久但沒人發現」這件事越來越不可靠，修補速度也必須跟上。
2. 攻擊者在搶 AI 服務的金鑰
Railway 直接點出，這波平台攻擊的目標是取得 AI 推論服務的金鑰。Zeabur、OpenCode、LiteLLM 事件中，大量 AI API Key 都在被竊範圍內。金鑰可以直接變現，又常常沒有設定花費上限，是現在最好賺的目標。
3. 長期憑證和信任關係是最弱的一環
Zeabur 的根因是一組沒有過期日、以明文存放的管理 Token；eMudhra 是金鑰產生流程出錯；LiteLLM 與 npm 事件則是開發者無條件信任套件庫上的「最新版」。這些都不是高深的漏洞，而是信任與權限管理的問題。
站長與開發者的檢查清單
- PHP 網站：確認已更新到修補版本並重新啟動服務，詳見 WordPress 站長自救指南
- Node.js：更新到 10 月 21 日後的版本（22、24、26 系列）
- nginx：更新到 1.30.6 或 1.31.7 以上
- Linux 主機與虛擬化平台：關注發行版的核心更新，套用 PwnEscape 修補
- Java、Go、容器映像：更新信任清單，詳見 eMudhra 中介憑證外洩解析
- 部署平台與 AI 金鑰：輪替放在平台上的所有環境變數，詳見 API Key 自查與輪替清單
- 相依套件：鎖定版本與雜湊，不要直接部署
latest標籤
這篇會隨著事件發展持續更新。