從 91APP、PHP 到 NAS 警訊：企業資料安全，從更新與備份做起

2026年10月30日· 閱讀約 5 分鐘· 林子騰

資料整理截至：2026 年 10 月 30 日。事件調查與修補資訊可能持續更新，請以原廠及主管機關最新公告為準。

最近，91APP 個資事件、PHP 緊急安全更新，以及 Synology NAS 勒索攻擊警訊，讓許多企業重新關注自己的資料是否安全。

這些事件涉及不同系統與攻擊情境，不能視為同一波攻擊。但從企業營運的角度來看，它們提醒我們：系統能正常使用，不代表沒有漏洞；每天有備份，也需要確認出事時能否還原。

近日有哪些值得注意的資安事件？

依 91APP 10 月 29 日公開說明，Commerce Cloud 其中一座短期訂單資料庫遭非法存取，部分資料遭竊。公司以最大可能影響範圍通知及受理，涉及 1,329 家品牌與 4,798,255 名消費者；列入範圍不代表每一位消費者的資料都已外洩。

可能涉及姓名、電話、配送地址、電子郵件與訂單紀錄，不含密碼、信用卡及支付資料。相關範圍與後續處理，應以 91APP 官方事件說明為準。

對消費者而言，最需要提高警覺的是：對方說得出你買過什麼，不代表對方就是真正的客服。 遇到取消訂單、解除分期、重複扣款或補償通知，請自行開啟官方網站確認，不要直接依訊息操作轉帳、提供驗證碼或安裝遠端控制軟體。

對企業而言，除了對外網站，也應盤點內部管理工具、第三方套件、資料庫存取權限與系統金鑰，避免單一入口失守後，風險延伸到其他系統。

PHP 官方於 10 月 21 日發布安全更新，修補 CVE-2026-109618 與 CVE-2026-109619。兩項漏洞可能讓未經身分驗證的攻擊者遠端執行程式碼，影響提供網頁請求服務的 PHP 環境。

當次修補版本為 PHP 8.2.35、8.3.36、8.4.27 與 8.5.12；使用 Linux 發行版或主機商套件的環境，應向供應商確認是否已回補修補，不能只看版本字串判斷。

官方隨後於 10 月 23 日補充特定 Session 設定組合的風險，10 月 26 日也更新 Windows 套件中的 Brotli 相依元件。因此，維護人員應核對完整公告及實際設定，確認後續補充措施是否適用。詳見 PHP 官方公告與資通安全署提醒。

只更新 WordPress、佈景主題或外掛，不等於已更新 PHP。 網站、主機、容器與客製系統，都應納入檢查範圍；更新後也要確認登入、表單、檔案上傳與交易流程正常。

Synology 於 10 月 29 日表示，攻擊者正利用已於 2024 年 12 月修補的漏洞，攻擊仍使用舊版 DSM 的設備，企圖加密資料並勒索，並引導使用者查閱 Synology-SA-24:20。

原廠另有 Synology-SA-26:13 安全公告。不同公告的漏洞與適用版本應分別核對，不能直接認定所有受害設備都經由同一漏洞入侵。

若設備尚無異常，應盤點型號、DSM 版本與套件，依原廠支援範圍安裝適用更新，並關閉不必要的對外管理入口。可參考 Synology 勒索攻擊提醒、SA-24:20及 SA-26:13。

如果已出現檔案被加密或勒索信，請先隔離設備、保留證據並聯繫維護人員。 不要急著重設、重灌或覆寫原始資料，更新也無法直接還原已被加密的檔案。

因應近期資料安全風險，我們已進行部分系統更新與安全調整。各客戶實際適用的更新範圍、維護時間與配合事項，將依使用環境個別通知。

若收到我們的更新或設定通知，請協助確認維護時段，並依說明完成必要操作。若不確定通知來源，請透過既有聯絡方式向我們確認。

同時，也請各單位協助落實以下事項：

RAID、同步、快照與備份各有用途。RAID 主要處理硬碟故障；同步可能把誤刪或加密後的檔案一起同步出去；同機快照也可能受設備故障或管理權限失守影響。

建議以 3-2-1 備份原則規劃：保留至少三份資料（含正式使用的一份）、使用兩種不同儲存媒介，並將至少一份放在異地。再依營運需求，加入離線或不可變備份，並將備份管理權限與日常帳號分開。

備份完成後，還要定期實際測試：能否找回指定日期的資料？資料庫能否正常開啟？若主要設備無法使用，需要多久才能恢復服務？

備份成功的通知，應搭配還原測試，才能確認復原能力。 而備份主要協助復原，個資外洩風險仍需要靠修補、權限管理、監控與人員警覺共同降低。

從網站與訂單系統，到 NAS、電子郵件與日常檔案，每一個環節都與營運有關。更新、備份與權限管理，應成為持續執行的工作，並安排明確的負責人。

領點資訊提醒您：及時更新、確認備份、測試還原、遇到異常立即反映。 若需要盤點現有網站、主機、NAS 或備份架構，歡迎聯繫領點資訊，一起確認目前的防護與復原安排。

封面為 AI 生成情境示意圖，非事件現場或特定產品操作畫面。