員工用VPN連公司就安全？遠端設備漏洞已遭利用

(中央社財經訊息服務20261015 10:16:12)員工在家工作、出差或臨時需要處理公務時，許多企業都會要求先連上VPN，才能存取公司內部系統。對不少人來說，VPN就像進入公司的安全通道，只要有帳號、密碼，再加上手機驗證，應該就能安心使用。但如果這條安全通道本身出現漏洞，即使員工沒有輸入錯誤密碼，也可能讓企業暴露在攻擊風險之中。

遠端存取設備業者Ivanti於10月13日發布安全公告，警告旗下Connect Secure產品存在已遭實際利用的零時差漏洞。這項漏洞編號為CVE-2026-104935，影響特定版本的遠端存取設備，攻擊者可能在未取得正常登入授權的情況下，繞過身分驗證並在設備上執行指令。Ivanti已釋出修補更新，並呼籲使用受影響版本的企業儘速採取行動。資安公司Volexity也公布調查結果，指出攻擊者曾結合多項漏洞，入侵當時已安裝最新更新的Ivanti Connect Secure設備，進一步取得系統高權限，並嘗試存取企業內部帳號及相關資訊。由於攻擊者還會清除部分活動紀錄，企業甚至可能無法單靠一般設備檢查工具，判斷是否曾遭到入侵。這次事件並不代表所有VPN產品都有相同問題，但也提醒企業，VPN並不是裝好之後就能永久保障安全的設備。

VPN的主要用途，是透過加密連線，讓員工從外部網路安全地存取公司資源。許多企業也會搭配多因素驗證（MFA），要求使用者除了輸入密碼，還必須透過手機App或其他方式確認身分，降低帳號遭盜用的風險。不過，VPN與多因素驗證負責的安全工作並不完全相同。VPN著重保護連線通道，多因素驗證則協助確認登入者的身分。如果攻擊者利用的是VPN設備本身的程式漏洞，甚至能直接繞過原有驗證程序，那麼員工有沒有設定雙重驗證，就不一定能阻止這類攻擊。

對企業來說，更值得關心的是，平常究竟由誰負責管理這些遠端連線設備？例如，公司是否清楚目前使用哪一家廠商的VPN、設備安裝的是什麼版本、最近一次更新是什麼時候？當原廠發布重大資安公告時，有沒有人會主動確認是否受到影響？如果發現異常連線或可疑操作，又該由誰負責處理？這些問題看似只是資訊部門的日常工作，卻可能直接影響企業內部系統、客戶資料及重要營運資訊的安全性。

Cloudmax匯智資訊長期協助企業規劃、建置與管理雲端及數位服務，認為企業在規劃遠端工作環境時，不應只考慮員工能否順利連回公司，也需要一併評估帳號權限、系統存取範圍、設備維護與異常處理機制。尤其企業同時使用內部伺服器、雲端平台與多種應用系統時，更需要釐清哪些資源必須開放遠端使用，以及不同員工應具備哪些存取權限。

例如，財務人員可能需要連線使用內部帳務系統，業務人員則主要使用雲端文件與客戶管理平台。不同工作角色未必需要相同的系統存取權限，企業可以依照實際需求進行區分，避免所有人連上VPN後，就能接觸過多不必要的內部資源。

除了權限規劃，定期更新與維護也是重要的一環。對使用Ivanti Connect Secure的企業而言，應由資訊管理人員確認設備版本是否受到此次漏洞影響，依原廠公告安排更新，並檢查是否存在可疑活動。若已出現入侵跡象，則不能只靠安裝更新就認為問題已經解決，還需要進一步調查受影響範圍及相關帳號安全性。

遠端工作已成為許多企業日常營運的一部分，但便利的背後，也代表企業必須持續管理更多從外部連入內部系統的管道。VPN、多因素驗證及權限控管各有不同作用，只有搭配持續更新、異常監控與明確的管理責任，才能建立更完整的遠端存取防護。

對企業來說，真正值得確認的或許不只是「我們有沒有使用VPN」，而是「這套讓員工每天連回公司的系統，現在還有沒有人持續照顧它的安全」。

【匯智生活觀察室】 從生活出發，觀察科技與數位時代的大小事，分享實用資訊，讓科技更貼近日常。 由Cloudmax匯智資訊策劃，持續關注科技、資安與數位生活議題。 官方網站：www.cloudmax.com.tw

圖片來源：Cloudmax 匯智／AI生成