主動被利用的漏洞

Actively Exploited Vulnerabilities 指的是已被安全研究人員或攻擊者在真實環境中確認利用的軟體或硬體漏洞，而非僅停留在理論層面的零日漏洞（Zero-Day）。根據美國網路安全暨基礎建設安全局（CISA）於2024年發布的「已知被利用漏洞目錄（Known Exploited Vulnerabilities Catalog）」，以及歐盟網路韌性法案（CRA）第10條關於漏洞處理的規定，這類漏洞被視為最高優先級的威脅，因為攻擊者已成功將其轉化為可執行的攻擊路徑。在 ISO/IEC 27701 個資保護框架與臺灣個資法第27條的背景下，若企業未針對已知被利用的漏洞進行修補，將被視為未盡合理安全維護義務，面臨法律責任。此概念與「已知漏洞」的區別在於，主動被利用的漏洞已產生實際損害，其威脅情境已從潛在轉為現實，是企業資安事件應變計畫（Incident Response Plan）的觸發點，而非僅是漏洞掃描的修補項目。

企業應建立以「威脅情境」為導向的漏洞管理機制，而非僅依賴 CVSS 分數排序。實務導入步驟如下：第一步，建立持續監控機制，訂閱 CISA KEV、NIST VULNLOG 以及臺灣資通安全署（NCA）的資安通報，確保即時獲取全球最新被利用漏洞資訊。第二步，建立「漏洞情境化評估」流程，將漏洞與企業現有資產清冊（Asset Inventory）比對，確認受影響系統的關鍵性，並依據 ISO 27701 的資產分類原則，將受影響資產的風險等級上調至最高級別。第三步，執行強制修補與補強控制，針對主動被利用的漏洞，企業應在 24-72 小時內完成修補，若無法立即修補，則需啟動臨時性補強控制（如防火牆規則、網路隔離）。實務上，導入此機制的企業可將平均修補時間（MTTR）縮短 40% 以上，並在年度資安稽覈中展現對新興威脅的即時回應能力，有效降低因已知漏洞被利用而導致的資安事件發生率，提升整體網路韌性指標。

臺灣企業在導入主動被利用漏洞管理時，主要面臨三個挑戰。首先是「資產清冊不完整」，許多中小企業無法即時掌握軟硬體版本，導致無法有效比對 CISA KEV 或 EU CRA 的受影響範圍，建議企業應在 30 天內完成資產自動化盤點，建立軟體清單（SBOM）。其次是「修補窗口與業務持續性的衝突」，臺灣製造業與半導體業對系統停機容忍度極低，難以即時修補。對策是建立「虛擬修補（Virtual Patching）」機制，利用 IPS/WAF 在不中斷業務的情況下攔截已知攻擊路徑，再於維護窗口完成實體修補。第三是「法規認知落差」，臺灣企業往往只關注臺灣個資法，忽略 EU CRA 對於出口至歐盟產品的強制性要求，建議企業應在 60 天內完成 EU CRA 合規差距分析，並將漏洞管理納入 ISO 27701 的持續改善循環，確保在進入歐盟市場時具備充分的合規基礎，避免因未修補主動被利用漏洞而面臨最高達全球年營業額 2.5% 的罰金風險。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業Actively Exploited Vulnerabilities相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家臺灣企業。申請免費機制診斷：https://winners.com.tw/contact