重點摘要
- 對公司的風險：未修補的網站外掛、VPN 或路由器，不需要任何同事點擊連結，攻擊者也能入侵。HKCERT 單在 2026 年第三季已錄得 469 宗「有漏洞系統」事故。
- 漏洞掃描是一種自動化檢查，把你的系統與公開漏洞資料庫比對，再按嚴重程度排列結果。
- 至少每季掃描一次；系統重大變更後，或收到涉及你所用軟件的安全警報後，應立即補做。
- 掃描求「廣」，找出已知漏洞；滲透測試求「深」，證明攻擊者實際能走多遠。多數企業兩者都需要。
公司網站、辦公室路由器、同事在家用的 VPN 都在運行軟件。新漏洞每隔數星期便會公開，攻擊工具往往數天內就開始搜尋。漏洞掃描讓你比攻擊者更早找到缺口。
什麼是漏洞掃描？
漏洞掃描是一種自動化的安全檢查：工具把你的網站、伺服器、網絡設備及雲端設定，逐一與公開的已知漏洞資料庫比對，再按嚴重程度列出報告。它就像驗樓師拿著「已知有問題的門鎖型號」清單，逐層檢查每一道門。
漏洞是軟件或設定上可被濫用的缺陷，例如過時外掛、預設密碼。大部分漏洞有 CVE（公共漏洞編號），並以 CVSS（通用漏洞評分系統）由 0 至 10 評分。
漏洞掃描如何運作？
掃描器先找出你有哪些系統在線，再辨認每部系統運行的軟件及版本，與已知漏洞資料庫比對，同時檢查常見的錯誤設定，最後評分並輸出報告。整個流程可以設定為每週或每月自動執行，不需要同事逐部檢查。
香港例子：2026 年 10 月 22 日，HKCERT 警告 PHP 出現兩個嚴重漏洞「PHP2Shell」。不少公司網站以 PHP 運行，而 PHP 亦內置於部分網絡及儲存設備的管理介面；即使已修補網站，一部被遺忘的設備仍可能成為入口。找出它，正是掃描的工作。
一次典型掃描的五個步驟
- 探測：找出範圍內所有 IP 位址、網域及開放埠
- 識別：確認每部系統運行的軟件與版本
- 比對：與 CVE 資料庫及廠商安全公告對照
- 設定檢查：弱加密、預設密碼、外露的管理頁面
- 報告：按「嚴重、高、中、低」排序，並附修補建議
漏洞掃描有哪些類型？
主要類型包括：檢查對外系統的外部掃描、檢查辦公室內網的內部掃描、測試網站漏洞（例如 SQL 注入）的網頁應用程式掃描、登入後深入檢查的認證掃描，以及雲端設定掃描。中小企一般應先做外部掃描及網頁應用程式掃描。
| 掃描類型 | 檢查內容 | 最先需要的機構 |
|---|---|---|
| 外部掃描 | 從互聯網看到的網站、VPN、防火牆、郵件伺服器 | 所有企業 |
| 網頁應用程式掃描 | 登入頁、表格、外掛；SQL 注入等 OWASP 十大風險 | 有網站、網店或客戶平台的公司 |
| 內部掃描 | 辦公室電腦、檔案伺服器、打印機、Wi-Fi | 20 人以上或設有伺服器房的公司 |
| 雲端設定掃描 | 設為公開的儲存空間、過寬的權限 | 使用 AWS、Azure、Google Cloud 或 Microsoft 365 的團隊 |
怎樣識別系統可能存在漏洞？
警號包括：設備或軟件已停止更新、網站數月沒有人修補、管理頁面可從互聯網直接進入、路由器或 VPN 已用超過五年，以及公司內沒有人能完整列出所有對外系統。只要符合其中一項，就值得安排掃描。
舊設備的風險往往被低估。HKCERT 引述 VulnCheck 的研究指出，在被實際利用的網絡邊緣設備漏洞中，42.5% 涉及已停止或可能已停止支援的產品；被殭屍網絡利用的漏洞中，比例更升至 65%。
所有主要入侵途徑，不只最出名的一種
- 網站及 CMS 外掛：WordPress、PHP、網店插件
- 網絡邊緣設備：VPN、防火牆、路由器、NAS 儲存
- 疫情期間開放、之後一直未有關閉的遙距存取工具
- 設為公開的雲端帳戶及共享連結
- 系統過時的員工電腦和手機
怎樣防範已知漏洞？
保持一份最新的系統清單、開啟自動更新、更換已停止支援的設備、至少每季及每次重大變更後掃描，並優先修補「嚴重」及「高」風險項目。個人應盡快更新手機和電腦；IT 團隊則要訂立明確的修補時間表。
個人及每位同事
- iPhone：設定 → 一般 → 軟件更新 → 自動更新 → 開啟兩個選項
- Android（Google Pixel）：設定 → 系統 → 軟件更新；Samsung：設定 → 軟件更新 → 下載並安裝
- Windows：設定 → Windows Update → 開啟「在最新更新推出後立即取得」
以上路徑整理於 2026 年 11 月，不同型號及系統版本的選項名稱或略有不同。
中小企及 IT 團隊
- 建立資產清單：每個網域、IP 位址、設備及雲端帳戶都要有指定負責人
- 至少每季做一次外部掃描；網站上線、系統大改或收到 HKCERT 警報後立即補做
- 「嚴重」漏洞要在數天內修補，不要等到下次季度會議
- 管理頁面只限指定 IP 存取，並啟用多重認證
處理信用卡付款的公司，PCI DSS 要求每季由認可供應商做外部掃描。第 653 章（2026 年 1 月 1 日生效）下的指定營運者，據 Tanner De Witt 律師行整理，每年風險評估須包括漏洞評估及滲透測試。
公司情境：假「掃描不合格」發票
騙徒也會借掃描行騙。會計同事收到假冒 IT 供應商的電郵：「網站本月掃描不合格，今天內支付 18,000 港元緊急修補費。」隨後「老闆」在 WhatsApp 催促付款。兩者都是假的。
公司規則：「緊急保安修補」付款前，財務必須用公司記錄的號碼致電供應商及老闆核實。
【同事通知｜網絡安全】
1. 沒有人會用電郵或 WhatsApp 要求你為「緊急修補」付款。
2. 向保安供應商付款前，必須用公司已有的電話號碼核實。
3. 請今天開啟手機和電腦的自動更新；有懷疑先轉給 IT。掃描發現嚴重漏洞應該怎樣做？
先確認結果，數天內安裝修補或採用廠商的臨時緩解措施；未能修補的系統應暫時與互聯網隔離。之後檢查是否已被入侵，例如新增的管理員帳戶、異常登入或被改動的檔案。如懷疑已遭入侵，應向 HKCERT 報告。
- 立即修補，或按廠商建議採取臨時措施；HKCERT 就 PHP2Shell 建議，未能即時修補的對外應用程式應先行隔離
- 修補後重新掃描，確認問題已解決
- 檢查入侵跡象：陌生帳戶、設定變更、異常流量
香港求助渠道
- HKCERT 事故熱線 8105 6060，或使用網上事故報告表格
- 如涉及假供應商或付款要求，致電反詐騙協調中心「防騙易」熱線 18222，並可先用防騙視伏器查核電話及連結
- 如客戶或員工的個人資料可能外洩，評估是否通報個人資料私隱專員公署，並記錄決定
漏洞掃描與滲透測試有何分別？
漏洞掃描是自動化、求廣的檢查，能快速並以較低成本列出大量系統的已知弱點；滲透測試則由道德黑客人手進行，嘗試把多個弱點串連起來，證明攻擊者實際能走多遠。常見做法是每季掃描，加上每年一次滲透測試。
| 漏洞掃描 | 滲透測試 | |
|---|---|---|
| 方法 | 自動化工具 | 專業測試人員，輔以工具 |
| 覆蓋 | 廣：一次檢查大量系統 | 窄：針對指定目標 |
| 深度 | 已知漏洞及錯誤設定 | 串連攻擊及業務邏輯漏洞 |
| 頻率 | 每月至每季 | 每年，或重大系統上線前 |
在別人之前找到缺口
漏洞掃描是像走火演習一樣的例行工作。造成損失的，往往不是最新的漏洞，而是那部沒有人記得的設備。
60 秒自我檢查清單
- 公司內有沒有人能說出所有對外的網站、VPN 和路由器？
- 所有同事的手機和電腦都已開啟自動更新？
- 每個對外系統在過去三個月內都做過掃描？
- 有沒有設備已過廠商支援期？
- 財務部會否先致電核實「緊急保安修補」付款？
取得一份清晰的修補清單
UD 工程師以商用級工具掃描你的網站、伺服器及雲端資產，逐項剔除誤報，並以淺白語言解釋每項發現，讓你的團隊清楚知道應先修補甚麼。
常見問題
漏洞掃描費用大約多少？
費用視乎掃描範圍內的網站、IP 位址及伺服器數量，以及掃描頻率。一般而言，小型企業網站的外部掃描遠比滲透測試便宜，建議按實際範圍索取報價，而不是只比較單一價格。
掃描會否拖慢網站或令網站停頓？
設定得宜的掃描會採用低負載模式，並可安排在非辦公時間進行。較舊或較脆弱的系統，可先在測試環境試掃。
可以用免費掃描工具嗎？
可以。OpenVAS 等免費工具適合作內部初步檢查，代價是誤報較多、需要同事花時間解讀；而 PCI DSS 要求外部掃描由認可供應商執行。