十月，有加密貨幣交易所暫停提款，有 Synology 儲存裝置用戶發現檔案被勒索軟件鎖住，美國網絡安全機構 CISA 亦在「已確認被利用漏洞」清單上新增了 34 項。
這 34 項大部分只影響大型企業的設備。以下列出當中與中小企最有關的 5 項，再加上十月底 Synology NAS 勒索軟件和 Binance 暫停提款兩宗事件，每項都寫明影響誰、會怎樣、要做甚麼。
與中小企最有關的 7 項
1. Synology NAS（公司的儲存裝置）
影響誰：有 Synology NAS 的公司，尤其可以從外面連入的。
會怎樣：攻擊者入侵舊版 DSM，把檔案加密成 .L0CK3D，再勒索贖金。Synology 表示攻擊利用的是 2024 年 12 月已修補的漏洞。
要做甚麼：把 DSM 更新到最新版並開啟自動更新；確認修補前，先關閉外網入口（port forwarding、UPnP、QuickConnect）。
2. PHP 網站（大部分 WordPress 網站）
影響誰：以 PHP 建立的網站，包括大部分 WordPress 網站和平價網站寄存。
會怎樣：兩個被稱為 PHP2Shell 的漏洞，讓攻擊者無需登入即可在伺服器上執行指令。CISA 在 10 月 26 日確認已被利用。
要做甚麼：請網站寄存商或開發者確認 PHP 已更新。Synology 用戶請在套件中心更新 PHP、Mail Station 和 Synology Calendar；PHP 7.3 不會再有修補，要轉用新版 PHP。
3. Windows 電腦
影響誰：所有使用 Windows 的公司。
會怎樣：Windows Shell 的漏洞讓攻擊者經網絡繞過一項安全保護。CISA 在 10 月 13 日確認已被利用。
要做甚麼：執行 Windows Update，安裝全部更新後重新開機。
4. Plex Media Server
影響誰：在 NAS 或閒置電腦上運行 Plex 的人。
會怎樣：四個漏洞可串連使用，令伺服器被迫連接其他位址，並寫入之後會被執行的檔案。
要做甚麼：更新 Plex，並且不要把它開放到互聯網。
5. Adobe Commerce / Magento 網店
影響誰：使用 Magento 經營網店的公司。
會怎樣：攻擊者可上載並執行危險檔案，可能因此控制網店或伺服器。
要做甚麼：請開發者立即套用 Adobe 的修補。
6. Ahsay 備份軟件（AhsayCBS）
影響誰：使用以 Ahsay 為基礎的備份服務的公司。
會怎樣：兩個漏洞串連後，攻擊者可跳過登入並執行系統指令，連備份也可能受影響。
要做甚麼：向備份供應商確認是否已更新；更新前不要把管理頁開放到互聯網。
7. Binance（加密貨幣交易所）
影響誰：在 Binance 持有加密貨幣的人。
會怎樣：Binance 在一宗安全事故後暫停了部分網絡的提款，至今未公布原因及損失。
要做甚麼：開啟雙重認證（2FA），只看 Binance 官方公告，不要點擊任何「補償」或「退款」連結。這類新聞之後，詐騙會很快出現。
如果你的 IT 外判
十月清單其餘項目多數是防火牆、VPN 和伺服器軟件：Fortinet、Palo Alto Networks、Cisco、Ivanti、Citrix NetScaler、BeyondTrust、VMware ESX、Linux 核心、GitLab 和 Atlassian。如果有人替你管理這些系統，傳一句給他們：「我們檢查過 CISA 十月新增的漏洞了嗎？」
下個月同樣有用的 5 個習慣
- 電腦、手機、NAS 和網站外掛都開啟自動更新。
- Email、網域、網上銀行和社交帳戶都開啟雙重認證（用驗證 App 或 passkey），並保存後備碼。
- 保留一份離線備份：備份完成後拔走外置硬碟。
- 不要把管理頁開放到互聯網；需要從外面連入就用 VPN。
- 收到「供應商更改收款戶口」的 email，用你原本記錄的電話號碼致電確認。
一分鐘檢查你的網域
我們的免費資安自檢會檢查網域的公開 email 設定（SPF、DMARC、DKIM），以及常見的管理入口名稱有沒有公開。檢查在你的瀏覽器內進行，我們不會收到你輸入的內容。
常見問題
CISA「已確認被利用漏洞」清單是甚麼？
這是美國網絡安全及基礎設施安全局維護的公開清單，列出已確認被攻擊者使用的軟件漏洞。無論公司在哪裡，都可以當作「優先修補」清單。
在澳洲中了勒索軟件，應該找誰？
致電澳洲網絡安全熱線 1300 CYBER1（1300 292 371），或在 cyber.gov.au 報告。先把受影響的裝置拔離網絡，不要重新開機或刪除任何檔案。
應該付贖金嗎？
做任何決定前先致電熱線。付款不保證能取回檔案。
更改 port 號碼可以保護 NAS 嗎？
作用不大。它只能擋住部分自動掃描，真正在找的人仍然會找到。較有效的做法，是不把管理頁開放到互聯網。
怎樣知道我的網站是否使用 PHP？
以 WordPress 建立的網站就是。其他網站可以問網站寄存商或開發者。
不想每個月追更新？
清單上大部分問題，靠一個習慣就能處理：有人確認更新真的裝好了。如果你想為網站和 email 建立這個習慣，歡迎聯絡我們。
資料來源（擷取於 2026-10-30）：CISA 已確認被利用漏洞清單（版本 2026.10.29）；CISA 2026 年 10 月 13、14、20、26 及 27 日公告；Synology 2026 年 10 月 29 日聲明及安全公告 SA-24:20、SA-26:14；TechCrunch 2026 年 10 月 29 日報道；cyber.gov.au。