私鑰竟然是 4！黑色十月五件資安大事，一次看懂

2026 年 10 月中下旬，幾天內接連爆出好幾件嚴重的資安事件，網路上有人叫它「黑色十月」。這支影片挑五件講清楚：印度憑證機構 eMudhra 的私鑰竟然是 4、GitLab 滿分 10 分的漏洞和背後的 Ruby 問題、熱門 AI 套件 LiteLLM 的官方版本被掉包、Plex 四個不高分的漏洞串成大量入侵，以及日本雲端服務勒索與會員資料外洩。最後談為什麼漏洞突然變多，以及一般人該做的四件事。 【給管理者】 ・eMudhra：瀏覽器已遠端封鎖，請更新瀏覽器與作業系統；Python、Go、Rust、Node.js 這類程式自帶根憑證清單，請更新（例如 Python certifi 2026.10.19、Go 1.27.3／1.26.10、Node.js 10/21 版）。 ・GitLab：自架的請升級到 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 或 18.11.13；GitLab.com 已修補。Ruby 4.0.9、3.4.12、3.3.13 修掉了引擎的三個問題；一般 Ruby 程式只有把外人提供的字串當成正規表達式編譯時才受影響。 ・LiteLLM：10/21 發布的 1.107.0（PyPI 與 Docker）是惡意版本。官方建議固定在 1.106.2；裝過的不要先執行 pip，從 shell 刪掉檔案、重建環境，並更換那台主機碰得到的所有金鑰。 ・Plex：更新到 Plex Media Server 1.43.3.10861 以上；用不到遠端觀看就關掉遠端存取。舊版又開放在網路上的，請假設可能已被入侵：乾淨重裝、登出所有裝置、改密碼。 【章節】 0:00 黑色十月是什麼 0:34 一週修補總覽 1:35 ① eMudhra：私鑰是 4 3:03 ② GitLab＋Ruby：編號翻成負數 4:25 ③ LiteLLM：套件被掉包 6:06 ④ Plex：小洞串成大洞 7:36 ⑤ 日本：雲端勒索與會員外洩 8:52 為什麼這麼多？我該怎麼做 【參考資料】 ・Wisely Chen（2026-10-23）同一週，七個主流語言與執行環境都出了安全修補 https://ai-coding.wiselychen.com/linux-zdi-lkml-language-platform-security-week/ ・Google Chrome Releases（2026-10-20）Stable Channel Update for Desktop https://chromereleases.googleblog.com/2026/10/stable-channel-update-for-desktop_02018666648.html ・Node.js（2026-10-21）10 月安全更新 https://nodejs.org/en/blog/vulnerability/october-2026-security-releases ・Google Threat Intelligence Group（2026-10-01）AI 時代的漏洞發現與利用趨勢 https://cloud.google.com/blog/topics/threat-intelligence/vulnerability-discovery-and-exploitation-trends-in-the-ai-era ・Mozilla Bugzilla 2083449（eMudhra 中繼憑證事件）https://bugzilla.mozilla.org/show_bug.cgi?id=2083449 ・Scott Helme（2026-10-20）Eight Bits of Trust; eMudhra's CA keys cracked in milliseconds https://scotthelme.co.uk/eight-bits-of-trust-emudhras-ca-keys-cracked-in-milliseconds/ ・Google（2026-10-20）eMudhra 中繼憑證事件 https://blog.google/security/protecting-chrome-and-android-users-from-compromised-emudhra-intermediate-ca-certificates/ ・GitLab（2026-10-21）GitLab Critical Patch Release: 19.5.1 https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/ ・Ruby（2026-10-23）Regexp 修正公告 https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/ ・LiteLLM（2026-10-21）v1.107.0 事件說明 https://docs.litellm.ai/blog/security-incident-oct-21-2026 ・LiteLLM（2026-10-23）攻擊鏈調查 https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain ・Wiz（2026-10-21）LiteLLM 事件分析 https://www.wiz.io/blog/litellm-compromised-steals-credentials ・Plex（2026-09-01，10-19 更新）Plex Media Server 安全更新公告 https://forums.plex.tv/t/important-security-update-for-plex-media-server-v1-43-2-and-earlier/942319 ・Zach Main（2026-10-16）Plex2Shell https://zmain.info/blog/plex2shell ・CISA Known Exploited Vulnerabilities Catalog https://www.cisa.gov/known-exploited-vulnerabilities-catalog ・IDC フロンティア（2026-10-07、10-08、10-14）第 2、3、5 報 https://www.idcf.jp/news/topics/20261014001 ・ライドオンエクスプレスHD（2026-10-13）第 3 報 https://www.rideonexpresshd.co.jp/news/2026/10/3-33.html ・ローソン（2026-10-08，10-19 更新）https://www.lawson.co.jp/contents/cont07/1533174_3310.html ・Capcom（2026-10-22）不正存取公告 https://www.capcom.co.jp/ir/english/news/html/e261022.html ・OpenAI（2026-10-21）Patch the Planet https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/ ・Jason D. Clinton（2026-10-22）https://x.com/JasonDClinton/status/2113325263157395456 ・NIST SP 800-63B-4 https://pages.nist.gov/800-63-4/sp800-63b.html ・CISA Cybersecurity Awareness Month https://www.cisa.gov/cybersecurity-awareness-month ・數位發展部資通安全署（2026-10-21）https://moda.gov.tw/ACS/press/news/press/21130 旁白使用 ElevenLabs 的 AI 語音生成，封面插圖與片尾小貓頭像由 AI 生成，片中圖解動畫為自製。配樂與音效來自 Pixabay。