思想坦克》我國應建立強制修補TW-KEV漏洞法規政策配套
此兩個禮拜國內外發生了幾起重大資安事件，分別是PHP爆發「PHP2Shell」重大漏洞、加密貨幣交易所遭到入侵，及台灣電商服務商 91APP 訂單資料庫遭入侵事件(詳見下表1)，凸顯了駭客使用AI攻擊高風險漏洞的速度猛烈，且造成的損害嚴重；雖然數發部有發布因應策略，但仍未有類似美國BOD 26-04指令規範，將此些漏洞列入已知遭利用漏洞目錄(KEV)，強制要求漏洞修補及鑑識初判(Forensic triage)，亦即不僅須修補漏洞，更要檢查設備、系統及軟硬體是否已遭入侵，及完成相對應的修補或防護工作。
就此，建議數發部應於資安管理法中新增漏洞通報及修補辦法，公告符合台灣資安國情(考量核心系統及相關資產風險)的已遭利用漏洞目錄(TW-KEV)，建立漏洞風險分級、通報與修補期限及驗證機制，將緊急警訊轉化為可追蹤的漏洞通報及修補義務。
重要的是，建議數發部應邀請持大量持有個資的電商或具高度服務集中風險的 SaaS 業者加入資安聯防體系，將其納入資安管理法的特定非公務機關中，進一步建議數發部應設立資安發展基金協助中小企業應變AI自動化攻擊，強化TW-KEV通報、修補及資安事件應變量能；進一步建構軟體物料清單(Software Bill of Materials, SBOM)技術指南及SBOM資安標章機制，以強化數位供應鏈安全。
二 歐美強制KEV漏洞修補義務有明確範圍與時間界線
2026 年 10 月 20 日，全球約七成的網站所採用PHP(Hypertext Preprocessor, 超文字預處理器)建立動態網頁與應用程式，爆發兩個高風險漏洞(CVE-2026-109618 與 CVE-2026-109619，CVSS 嚴重性評分高達 9.2 分)，給予駭客利用遠端程式碼執行(Remote Code Execution, RCE)惡意程式之機會。
就此，隔日(2026 年 10 月 21 日)歐盟網路安全局(ENISA)對此發出緊急警告，立刻盤點、優先修補及隔離網路，同時須將漏洞資訊通報至單一通報平台(Single Reporting Platform, SRP, 2026年9月11日 正式啟用)，更於10月22日發布軟體物料清單(Software Bill of Materials, SBOM)技術指南，建構系統及軟體的安全整合與持續交付(CI/CD)流程，及開源工具的資安防護建議及規劃，使硬體、韌體及軟體等製造商能符合《歐盟網路韌性法》(Cyber Resilience Act, CRA)之通報義務。
而美國網路安全暨基礎設施安全局(Cybersecurity and Infrastructure Security Agency, CISA)除於第一時間發出告警外，更於10月26日將此兩個漏洞，列入遭利用之漏洞清單(Known Exploited Vulnerabilities, KEV)目錄，依照BOD 26-04行政命令規定，要求聯邦政府民間行政機關(Federal Civilian Executive Branch, FCEB)須於3天內完成應變也呼籲民間所有組織應優先修補。
三 資安管理法規範中研擬高風險漏洞通報及應變辦法
1. 建議數位發展部於資安管理法規範中研擬高風險漏洞通報及應變辦法，即考量台灣資安國情(資產風險或核心系統)，建構「台灣已遭利用(高風險)漏洞目錄(TW-KEV)」，要求公務機關及依法納管之特定非公務機關遵守TW-KEV修補義務，於高風險漏洞發布告警之3天內，回報修補及應變進度。進一步，則建立漏洞修補及應變聯防體系，邀請持大量持有個資的電商或具高度服務集中風險的 SaaS 業者，加入TW-KEV的聯防體系。
2. 資通安全事件通報應變及演練辦法對於資安事件的通報應變有詳細規範，但對於已遭利用(高風險)漏洞的通報及應變仍未完善，故建議學習歐美建立強制修補及應變制度，例如整合HITCON ZeroDay、TWCERT/CC (TVN)等漏洞揭露平台，為單一漏洞通報及應變平台。
3. 數位發展部與其所屬資安院雖已積極推動軟體物料清單(Software Bill of Materials, SBOMs)政策及活動[11]，但仍須參考歐盟推動SBOMs技術指南，輔導數位供應鏈負起漏洞通報、修補、應變及賠償責任，及設立獎勵或SBOMs安全標章機制，符合系統或軟體安全開發生命週期(Secure SDLC, SSDLC)，建立數位元件透明及安全責任義務。[10]
4. 數發部應設立資安發展基金協助中小企業應變AI自動化攻擊，及提供SBOMs安全標章，例如提供TW-KEV漏洞盤點及修補工具、補助老舊系統汰換經費，以提升國內整體資安聯防量能。
王仁甫 元智大學資訊管理學系 助理教授/台灣駭客協會 理事