Palo Alto Networks 旗下 Unit 42 於二〇二六年十月十六日發布九月威脅情報趨勢報告，整理該月觀測到的五大初始入侵（initial access）途徑：公開暴露應用遭利用、有效憑證濫用、針對性釣魚／社交工程、供應鏈妥協，以及免互動式的 drive-by／watering hole。來源真實性已驗證（對照 Unit 42 官方文章與排名表）。對香港企業而言，報告再一次把防守重心拉回「邊緣暴露面＋身分」——多數入侵並非由零日獨力打開，而是由可盤點、可修補、可強化驗證的入口組合而成。
Unit 42／官方：九月五大初始入侵途徑——公開暴露應用居首；憑證濫用與釣魚緊隨；供應鏈與免互動 drive-by 列高影響
Unit 42 Threat Intelligence 在標題為「Top 5 Initial Access Threat Vectors Observed by Unit 42 in September 2026」的短文中指出：九月對手活動明顯依賴外部邊緣利用與身分妥協；針對公開基礎設施與合法憑證濫用，是入侵戰役的主要立足點。同時，社交工程持續驅動針對公部門與關鍵基礎設施的定向行動；高影響供應鏈入侵與零互動 drive-by 則對互聯技術生態構成系統性風險。文末標註更新時間為二〇二六年十月十六日上午十一時二分（太平洋夏令時間）。
一、核心發現：九月入侵入口的優先序
排名表（Unit 42 原文概括）
| 排名 | 途徑 | Unit 42 描述要點 |
|---|---|---|
| 1 | 公開暴露應用遭利用（Exploitation of Public-Facing Applications） | 報告期最常見入口；多個威脅叢集鎖定暴露的網頁應用、資料庫實例與邊界服務，建立初始持久立足點 |
| 2 | 有效憑證與憑證濫用（Valid Credentials & Credential Abuse） | 次要但高度盛行；對手使用預先收集、噴灑或非法取得的認證材料，常與邊緣服務漏洞串連，混入正常用戶行為 |
| 3 | 釣魚／針對性社交工程（Phishing / Targeted Social Engineering） | 主要投遞機制；透過電子訊息與瀏覽器诱饵，多見於公部門、國防與區域企業，用於竊憑與執行負載 |
| 4 | 供應鏈妥協（Supply Chain Compromise） | 高影響系統性途徑；因信任關係被濫用與進階手法，可在不同關鍵行業造成廣泛連鎖衝擊 |
| 5 | Drive-by／Watering Hole（Drive-By Compromise / Watering Hole） | 專門投遞途徑；受害者流量被導向遭入侵或惡意網站後，無需額外操作即可觸發系統妥協 |
文章強調：九月觀測呈現「邊緣利用＋身分妥協」雙主軸，社交工程仍鎖定公部門與關鍵基礎設施，而供應鏈與 drive-by 則屬於後果嚴重、覆蓋面可擴散的專門向量。
對防守方的直接含義
Unit 42 並未在此篇公布各途徑的百分比或事件絕對數——讀者不應自行推算市佔。其實務含義卻清楚：優先盤點互聯網暴露資產與邊界服務、強化身分與多因素驗證、降低釣魚成功面，並把供應鏈與瀏覽器訪問路徑納入偵測假設。
二、技術原理深度解析
為何「公開暴露應用」會長期居首
邊緣上的網頁應用、管理介面、資料庫與 API 一旦可從互聯網直接觸達，偵察成本低、自動化掃描密集。對手可在漏洞披露窗口或錯誤設定條件下快速取得腳點，再橫向移動。這與「零日獨大」敘事不同：日常風險更多是已知弱點、未修補元件與暴露面過寬。
憑證濫用為何能「看起來像正常登入」
預先收集或噴灑得來的帳密、權杖、連線字串，一旦有效，即可繞過只看邊界漏洞的防禦。報告特別提到憑證常與邊緣服務漏洞「串連」——先破一個邊緣點取得或驗證憑證，再以合法身分登入內部系統。對 SIEM／UEBA 而言，單看失敗登入不足；需結合異常來源、不可能旅程與權限變更。
釣魚與瀏覽器诱饵
針對公部門與國防的定向社交工程，目標往往是憑證與初始負載。釣魚成功後常銜接排名第二的憑證濫用，形成「人為入口 → 機器橫向」鏈。
供應鏈與 drive-by 的系統性風險
供應鏈妥協利用信任關係擴散；drive-by／watering hole 則把風險前置到「只要造訪就可能中招」的瀏覽路徑。兩者事件頻率未必最高，但單一成功可波及多家下游，屬高後果向量。
三、日常應用場景
1. 開發者與技術團隊
為公開服務建立資產清單與攻擊面管理（ASM）；優先修補互聯網暴露的管理介面與已知 CVE；把憑證與密鑰移出程式庫，採短時效權杖與硬體／應用金鑰。
2. 企業與隱私敏感行業
金融、法律、醫療與政府供應鏈應假設「邊緣＋身分」是預設戰場：強制多因素、條件式存取、特權帳號保管庫，並對供應商遠端維護通道做額外監控。香港機構若須符合監管或客戶盡職審查，可把 Unit 42 類趨勢報告納入年度威脅假設，而非只追單一漏洞新聞。
3. 一般用戶
對陌生連線、突然的「驗證帳號」頁與異常軟體更新保持警惕；工作裝置避免同時登入高權限管理主控台。
4. 香港與亞洲市場視角
本地企業雲端與混合雲部署密集，公開 API、VPN、容器儀表板與 SaaS 整合點多。報告提醒：防守預算應優先覆蓋暴露面治理與身分，而非只購買更多告警來源。跨國供應鏈（軟體套件、託管服務、離岸維運）亦使供應鏈與 drive-by 風險與亞洲營運高度相關。
四、專業評價與潛在考量
優勢
- 官方威脅情報單位按月整理入口優先序，便於對齊防守路線圖。
- 明確區分「最常見」與「高影響／專門」向量，避免只追熱點 CVE。
- 與雲端安全、零信任與紅隊假設可直接對接。
需要留意的地方
- 本篇為概覽短文，未附各向量量化佔比或具體 CVE／叢集名稱清單；深度應再讀 Unit 42 同期專題（例如其站內相關之 AI 間諜活動、PEERSTITCH 等個案）。
- 「九月觀測」反映 Unit 42 視野內的客戶與遙測，未必等於全球平均。
- 供應鏈與 drive-by 排名靠後不代表可忽略——後果可大於頻率。
結語
Unit 42 九月五大初始入侵途徑再次把焦點放回可執行的防守：收窄公開暴露面、嚴管憑證與身分、降低釣魚成功面，並把供應鏈與瀏覽路徑納入偵測。對香港技術決策者來說，這比追單一「史上最大漏洞」標題更接近日常風險結構。
若你的團隊正檢視雲端邊界、身分與持續監控，可參考 YSK Limited 的香港雲端遷移與網絡安全服務（官網刊載百分之九十九點九九 SLA），把威脅假設落成可驗證的架構與營運改善。
參考來源
- Unit 42 — Top 5 Initial Access Threat Vectors Observed by Unit 42 in September 2026（2026-10-16）https://unit42.paloaltonetworks.com/top-5-initial-access-vectors-september-2026/