| 事故類型 | 2026 | 2025 |
|---|---|---|
| 🔓 入侵資訊系統或數據資產 | 2 | 1 |
| 🔐 勒索軟件 | 0 | 1 |
| 📤 泄漏電子保密資料 | 0 | 3 |
| ⚠️ 濫用資訊系統 | 0 | 2 |
| 🖊 網站遭塗改 | 1 | 1 |
| 💾 遺失存有保密資料的流動裝置或抽取式媒體 | 1 | 3 |
GovCERT.HK 發布高危安全警報，libssh2 SSH 函式庫發現嚴重漏洞 CVE-2026-55200（CVSS 9.2），漏洞位於 ssh2_transport_read() 函式，因缺乏對 packet_length 欄位的上界檢查，攻擊者無需認證即可觸發整數溢位及堆外寫入，實現遠端執行程式碼及拒絕服務攻擊。影響 libssh2 1.11.1 及更早版本，概念驗證（PoC）利用程式碼已公開，被利用風險極高。libssh2 廣泛嵌入 SSH 客戶端、自動化框架及文件傳輸工具中，影響企業、雲端及嵌入式系統環境，修補程式已就緒，建議立即更新。
📭 本日暫無新資訊，網絡安全環境持續監測中。
📭 本日暫無新資訊，網絡安全環境持續監測中。
📭 本日暫無新資訊，網絡安全環境持續監測中。
📭 本日暫無新資訊，網絡安全環境持續監測中。
HKCERT 通報 IBM WebSphere Application Server 多個漏洞（CVE-2026-11383、CVE-2026-11536、CVE-2026-11541、CVE-2026-11594），可觸發跨站腳本及遠端執行程式碼。受影響版本：WebSphere AS 8.5、9.0 及 Liberty 17.0.0.3–26.0.0.6，建議即時套用 IBM 官方修補程式。
HKCERT 通報 Drupal Core 多項漏洞（SA-CORE-2026-005 至 -009，CVE-2026-55808），可觸發跨站腳本、偽造、資料外洩、遠端執行程式碼及數據操控。受影響版本：Drupal 10.5.x / 10.6.x / 11.2.x / 11.3.x，請分別更新至 10.5.12、10.6.11、11.2.14 或 11.3.12。
HKCERT 發出安全通報，Google Chrome 存在多個漏洞，遠端攻擊者可利用以觸發遠端執行程式碼、拒絕服務、安全限制繞過及敏感資料洩露，建議立即更新至最新版本。
HKCERT 通報 Nginx 三項漏洞：CVE-2026-42530（HTTP/3 use-after-free，高危）、CVE-2026-42055（Proxy/gRPC 模組緩衝區溢位）、CVE-2026-48142（charset 模組緩衝區越界讀）。可觸發遠端執行程式碼及拒絕服務，建議升級至穩定版 nginx-1.30.3 或主線版 nginx-1.31.2。
HKCERT 通報 Node.js 安全更新（2026年6月），共修補 12 個 CVE，其中 2 個高危：CVE-2026-48618（TLS 主機名稱驗證繞過，可繞過萬用字元認證）及 CVE-2026-48933（WebCrypto 崩潰）。Node.js 22.x、24.x、26.x 所有現役版本均受影響，請分別更新至 22.23.0、24.17.0 或 26.3.1。
📭 本日暫無新資訊，網絡安全環境持續監測中。
📭 本日暫無新資訊，網絡安全環境持續監測中。
📭 本日暫無新資訊，網絡安全環境持續監測中。
HKCERT 發出安全警報，警告「FortiBleed」憑證外洩事件：俄語系網絡犯罪組織系統性提取逾 7.3 萬台網際網路暴露的 Fortinet FortiGate 防火牆及 VPN 閘道設定檔案，成功破解管理員憑證哈希值，並在地下犯罪社群流傳有效登入資料，波及 194 個國家，香港機構或受波及。攻擊者可利用竊取的憑證橫向滲透企業內網及 Active Directory 環境。美國 CISA 同日亦發出警告，促請機構立即終止現有工作階段、重設所有 Fortinet VPN 及管理員密碼、升級至最新 FortiOS 並啟用多重驗證。
奇華餅家勒索軟件攻擊事件最新進展（6 月 17 日更新）：公司設立專線 2608 8810（週一至週五 9:30–17:30），截至 6 月 17 日共接獲 3 宗查詢，現仍無法確認系統資料是否遭未經授權提取，以及受影響人數，承諾主動聯絡所有可能受影響人士。
威脅行為者正利用 Ghost CMS 嚴重安全漏洞 CVE-2026-26980（CVSS 9.4）發動 ClickFix 攻擊，向網站注入惡意 JavaScript 代碼，誘導訪客執行惡意指令。HKCERT 建議所有使用 Ghost CMS 的機構立即更新至最新版本並審查網站完整性。
香港老牌餅家奇華（Kee Wah Bakery）於 6 月 12 日發現內部網絡系統癱瘓，懷疑遭勒索軟件攻擊並收到勒索訊息，已即時啟動應急措施。涉及資料包括員工個人資料、業務夥伴數據、網店客戶資料及「奇華粉絲」會員記錄，客戶付款及信用卡資料不受影響。公司已於 6 月 14 日向私隱公署通報，6 月 15 日向警方報案，案件由深水埗警區刑事調查隊跟進（非法取覽電腦）。查詢熱線：2608 8810。
運輸及物流局局長陳美寶表示，香港當局將「積極探討」網約車平台數據的本地安全存儲方案，相關規管法規預計 8 月生效。事件反映香港政府在數據主權與國家安全框架下，日益重視數字平台的數據管控及私隱保護。
GovCERT.HK 發布高威脅安全警報，Ivanti Endpoint Manager Mobile 多個版本存在嚴重漏洞，其中遠端程式碼執行漏洞 CVE-2026-6973 已被積極利用，阻斷服務漏洞 CVE-2026-49975（HTTP/2 Bomb）亦有概念驗證程式碼公開，建議使用相關產品機構立即更新至最新版本。
DragonForce 勒索軟件組織宣稱入侵香港房地產服務公司 CommonWealth Partners Properties，竊取敏感商業及客戶資料並威脅公開。結合早前對招李船廠、柏傲莊及 A. Liberty Engineering 的攻擊，DragonForce 近期已針對香港至少四間企業發動攻擊，顯示本港企業正面臨系統性勒索軟件威脅。
勒索軟件集團 DragonForce 於 6 月 12 日宣稱成功入侵香港百年船廠招李船廠（Cheoy Lee Shipyards），威脅公開竊取的敏感業務及客戶數據。招李船廠為香港著名船舶製造商，產品涵蓋拖輪、渡輪及豪華遊艇，此次攻擊令香港製造業網絡安全漏洞再度引發關注。
DragonForce 勒索軟件組織宣稱入侵香港柏傲莊（Hong Kong Parkview），該高級服務式住宅提供逾 200 間豪華住宅及私人會所設施。攻擊者威脅若未獲贖金將公開竊取之住客及商業敏感資料，事件揭示香港豪華住宅管理機構面臨日益嚴峻的網絡安全威脅。
DragonForce 勒索軟件組織於 6 月 12 日同日宣稱入侵香港工程公司 A. Liberty Engineering Co. Ltd，並發出勒索通知，揚言若未開展談判將公開竊取的敏感資料。單日內三宗香港機構遭 DragonForce 攻擊，反映本港企業正面臨有組織勒索軟件集團的集中打擊。
HKCERT 發布 OpenSSL 多重漏洞安全公告，其中包含多個高危漏洞，遠端攻擊者可觸發偽裝、遠端程式碼執行、阻斷服務、安全限制繞過及敏感資訊洩露，所有 OpenSSL 用戶應立即更新。
GovCERT.HK 發布 Palo Alto 產品多個漏洞安全警報，涉及企業安全產品的多項安全問題，建議使用相關產品的機構即時部署修補程式。
惡名昭彰的勒索軟件組織 LockBit 5.0 於 6 月 9 日宣稱對香港大型集團 Uni-China Group（uni-china.com）發動重大網絡攻擊，威脅若不繳付贖金將公開竊取的敏感數據。這是 LockBit 重組後針對香港企業的最新攻擊行動。
疑似網絡攻擊導致 Circle K 香港連鎖便利店運營受阻，影響門店系統及服務。事件正在調查中，反映零售業供應鏈及 POS 系統面臨持續網絡安全威脅。
SoFi Securities（香港）確認，2026年4月30日發現客戶資料庫遭第三方供應商未授權存取，受影響資料包括姓名、出生日期、住址、電郵、電話及就業資訊，公司已通知受影響用戶及監管機構。
香港證監會（SFC）及金管局（HKMA）向持牌機構發出通函，要求審視及加強網絡安全措施，以應對 AI 驅動的網絡攻擊威脅。香港 2025 年網絡事件急增 27%，達 15,877 宗。
香港個人資料私隱專員公署（PCPD）與香港生產力促進局（HKPC）合作推出「中小企數據安全培訓系列」，涵蓋防範網絡攻擊、數據外洩應對及 AI 數據安全風險等主題。
微軟六月 Patch Tuesday 修補創紀錄 206 個漏洞，含 3 個公開零日及 39 個嚴重漏洞，其中 56 個屬遠端執行任意程式碼，所有 Windows 用戶應立即更新。
HKCERT 發出微軟六月安全更新通告，涵蓋 Apps、Windows 核心元件等多項產品的權限提升、遠端執行及繞過保安限制漏洞。
Adobe Experience Manager 存在中度風險跨網站指令碼漏洞，HKCERT 建議用戶安裝最新保安更新。
Apache HTTP Server 發現多個漏洞，遠端攻擊者可觸發權限提升、阻斷服務、資料篡改及跨網站指令碼等攻擊，建議即時修補。
Microsoft Edge 存在多個漏洞，可導致遠端執行任意程式碼、阻斷服務及權限提升，建議用戶更新至最新版本。
研究人員公開 Microsoft Defender 零日漏洞「RoguePlanet」的概念驗證利用程式，可在已完整更新的 Windows 系統上取得 SYSTEM 級別存取權限。
微軟發布有史以來最大規模 Patch Tuesday，共修補約 200 個漏洞，包含 33 個嚴重漏洞（28 個為遠端執行程式碼）及 6 個零日漏洞，其中 CVE-2026-41091（Microsoft Defender 提權）已遭野外積極利用。另有 CVE-2026-47291（HTTP.sys RCE，CVSS 9.8）及 CVE-2026-45585（BitLocker 繞過「YellowKey」）需優先修補，建議即時更新所有 Windows 及 Office 產品。
HKCERT 通報 Adobe 六月安全更新，涵蓋 Acrobat / Reader、ColdFusion、Adobe Format Plugins 及 Campaign Classic 等產品，漏洞類型包括遠端執行程式碼、安全限制繞過、拒絕服務、跨站腳本及資料外洩。建議即時更新所有受影響 Adobe 產品至最新版本。
Google Chrome 發現極高度風險漏洞，遠端攻擊者可觸發遠端執行任意程式碼、阻斷服務及權限提升，請即更新至最新版本。
Check Point 產品發現多個漏洞，CVE-2026-50751 正在被積極利用，可導致繞過保安限制，管理員應立即部署修補程式。
Chrome V8 引擎零日漏洞 CVE-2026-11645（CVSS 8.8）正遭野外積極利用，屬越界讀取漏洞，Google 已發布修補版本，請即更新。
勒索軟件集團 TheGentlemen 於 6 月 8 日宣稱成功入侵香港著名服裝及投資控股公司金利來（Goldlion），發出勒索通知警告若不開展談判將公開竊取的敏感商業數據。金利來為香港老牌上市企業，此次事件顯示本地知名品牌正持續面臨針對性勒索軟件威脅。
SoFi Securities (香港) 披露，4月30日發現客戶資料庫遭第三方供應商未授權存取，受影響資料包括姓名、出生日期、住址、電郵、電話、就業及教育資訊，部分個案或涉及政府身份證及財務資料。公司已通知受影響用戶及監管機構。
Google Chrome 發現多個漏洞，可觸發遠端執行任意程式碼、阻斷服務及權限提升，建議用戶立即更新瀏覽器。
Synology 推出 APM 2.0 備份解決方案，具「零污染乾淨還原」功能，針對 AI 輔助勒索攻擊提供更強保障，企業可提升數據復原能力。
WordPress Everest Forms Pro 外掛發現高危漏洞，黑客可藉此入侵電商平台，暴露企業供應鏈安全防線缺口，影響使用 Stripe 支付的電商網站。
勒索軟件組織 TheGentlemen 於 6 月 4 日宣稱入侵香港電子工程集團 Computime Group，竊取敏感業務資料並威脅若談判不展開將予以公開。Computime 為香港知名電子製造商及計時器產品企業，事件令香港製造業網絡安全風險再受關注。
勒索軟件集團意外攻擊俄羅斯及獨聯體地區企業，違反網絡罪犯「行規」，事後主動向受害企業道歉並提供免費解密金鑰，揭示勒索集團內部運作潛規則。
Ubuntu Linux 核心發現多個漏洞，可觸發阻斷服務、權限提升及繞過保安限制，已有更新可用，建議即時安裝。
AI 代理技術普及帶來新型網絡安全風險，文章呼籲政府完善智能代理治理體系，並提升市民對 AI 安全使用的意識。
SUSE Linux 內核發現多個漏洞，可觸發跨網站指令碼、阻斷服務及權限提升等攻擊，已有更新可用。