漏洞公開平均 3 天就遭利用！Rapid7 季報：71% 的利用行為發生在一週內

資安業者 Rapid7 發布《2026 年第三季威脅態勢季報》（Q3 2026 Quarterly Threat Landscape Report），指出攻擊者在新漏洞公開後數日內即展開利用，企業留給回應的時間所剩無幾。報告顯示，高風險漏洞從公開揭露到被利用平均僅 3 天，且 71% 的被追蹤利用行為，發生在揭露後一週內。

本季追蹤 43 個新被利用漏洞

Rapid7 研究人員本季追蹤到 43 個新被利用的高風險與嚴重等級漏洞。其中 34 個不需身分驗證，也不需使用者互動即可被利用，可能成為攻擊者進入暴露在外系統的入口。

報導指出，依賴固定修補時程的組織正面臨壓力，必須更精準分辨哪些漏洞只是嚴重度評級偏高，哪些則是立即可被利用的風險。

僅憑 CVSS 分數難以判斷優先順序

報導指出，單靠通用漏洞評分系統（CVSS）分數，資安團隊無法得知哪些系統可從外部存取、哪些漏洞正被實際利用，也無法確認現有控制措施能否阻止或限縮入侵。

Rapid7 本季將 15 個已知軟體漏洞，連結至 6 個威脅組織或群組。目標產業涵蓋政府、國防、航太、運輸、金融、能源、醫療與科技。

報告提到，一組與北韓有關的工具組，曾用於攻擊南韓的汽車與媒體組織，攻擊可能從 2025 年初開始。該工具組結合修改過的 HAProxy 軟體後門、SSH 鍵盤側錄程式（keylogger）與遠端存取工具（remote access tool）。與俄羅斯有關的 Void Blizzard，鎖定北約（NATO）國家與烏克蘭的組織。與巴基斯坦有關的 Operation C-Major，則針對印度政府與軍方人員。

AI 作為攻擊要件的比例仍低

在 Rapid7 追蹤的威脅報告中，僅 8% 將 AI 視為攻擊的運作要件。已記錄的案例顯示，攻擊目標與目的仍由人類決定，AI 負責協助戰術決策與執行。部分攻擊者會把惡意目標拆到多個 AI 對話中，以規避防護機制。

Rapid7 情報副總裁 Christiaan Beek 表示：「董事會簡報常把 AI 帶動的漏洞發現暴增，與實際利用混為一談，但後者並未成真。追蹤到的情資中，只有 8% 提及 AI 是運作要件。」

政府機關勒索事件增加，美國占比上升

在通報數量前十大的國家中，政府機關的勒索軟體事件由第二季的 48 件，增加到第三季的 55 件，成長 15%。其中美國占比由 33% 升至 45%，事件數從 16 件增加到 25 件。

若計入所有產業，本季記錄到 1,112 筆美國勒索軟體洩漏網站（leak site）列表。整體組織排名中，The Gentlemen 以 342 筆居首，Qilin 有 339 筆，INC Ransom 有 99 筆。

地下論壇快速轉售已揭露漏洞

Rapid7 本季監控的 63 則地下論壇貼文中，有 41 則在兜售遠端桌面協定（Remote Desktop Protocol，RDP）或網路存取權，另有 14 則涉及販售、分享或討論漏洞利用程式，或所謂的零時差漏洞。

報導指出，這些貼文多數提及的是已被廠商公告，或美國網路安全暨基礎設施安全局（CISA）已知遭利用漏洞目錄（KEV）收錄的漏洞，顯示已揭露的漏洞很快就被商品化轉售。

本文轉載自 HelpNetSecurity。