ENISA 公布 2026 威脅全景報告：統計的是 2025 一整年的事件

2026 年 9 月 22 日，歐盟網路安全局（ENISA）同一天發布新聞稿與一份 101 頁的《ENISA Threat Landscape 2026》報告，範圍是歐盟會員國與設在歐盟的組織。

這一篇的資料在 2026 年 9 月 23 日查核，讀的是這則新聞稿、報告的出版品頁與報告全文 PDF；本站沒有做任何測試，也不做任何資安產品或服務的推薦。報告統計的是歐盟會員國與設在歐盟的組織，沒有任何台灣機關或企業的事件；報告談資訊操弄的那一章（內容取自歐盟對外事務部 EEAS 的資訊操弄報告）把台灣列為中國相關敘事經常出現的題目之一。

這是什麼、範圍在哪裡：報告名稱寫 2026，資料是 2025 年

這份報告的名稱雖然叫 2026，但它分析的期間是 2025 年 1 月 1 日到 12 月 31 日，不是 2026 年——這是讀這份報告最先要弄清楚的一件事，新聞稿與出版品頁用的是同一句話交代。報告出版的年份，與資料涵蓋的年份是兩回事；把裡面的數字說成「2026 年的威脅」或「今年的攻擊」都是誤讀。

也不能拿這一版跟上一版比。報告寫明，這一版的觀察期已經改成曆年制，和上一版報告有六個月重疊，同時追蹤的網路犯罪活動範圍也擴大了，新增了資料外洩與詐騙；報告同時寫明，追蹤範圍的擴大會影響報告裡的數字，但沒有實質改變前一版觀察到的趨勢與排名。基於這兩個理由，這一篇不寫「比去年增加」或「比去年減少」——唯一放進這篇文章的年增數字，是 2025 年新發布並取得 CVE 編號的漏洞成長 22%，那是漏洞公告的數量，不是 ENISA 蒐集的歐盟事件數。

這一版報告總共分析了 8,257 起事件，資料主要來自公開來源，另有歐盟會員國與 ENISA Cyber Partnership Programme 成員匿名分享的資訊；這個總數只印在報告內頁的方法論，新聞稿沒有寫。ENISA 在報告裡寫明，公開來源與自願分享的資訊不構成威脅情勢的完整圖像，這份報告應該被當成主流趨勢的概觀、一張快照，不是一份完整的統計。

新聞稿開頭第一句就主張：2026 年版威脅全景報告確認，數位相依關係擴大了攻擊面，需要新一層級的警覺才能有效預防與降低事故衝擊——這是 ENISA 對整份報告下的總結。下面先說明兩個新聞稿裡最容易被讀錯的統計陷阱，再回頭看相依關係實際上指的是什麼。

件數最多的不是衝擊最大的：DDoS、未授權存取與勒索軟體

以事件件數計算，DDoS（分散式阻斷服務）攻擊是最常見的類型，報告寫的比例是 51.3%。新聞稿說明，這類攻擊主要是被地緣政治情勢與政治聲明之類的特定事件帶動的。

件數其次的是未授權存取，占 39.5%。但件數最多不等於衝擊最大：報告的執行摘要把以牟利為目的的活動（占所有紀錄事件 29.3%，特別是勒索軟體）稱為短期內衝擊最大的事件類型；新聞稿的說法更直接——勒索軟體仍是短期衝擊最大的事件類型。

被鎖定最多的部門是公共行政，占 31.8%。報告解釋，這個排名主要是被意識形態驅動的 DDoS 攻擊撐起來的——該部門 81.8% 的紀錄事件都是這一類，也就是網站被灌爆，不是被入侵；件數第一不等於最容易被駭進去。

60.4% 這個數字，分母只有 5.2%

新聞稿裡最容易被誤讀的一句話是「60% 是利用漏洞」。完整地說：分母是 ENISA 能夠判定出入侵途徑的那一小部分未授權存取事件，新聞稿把這個子集合寫成 5%、漏洞利用占 60%，報告寫得更精確，是 5.2% 與 60.4%。母數本身只有 5.2%，不能直接讀成「六成入侵都是漏洞造成」。

報告裡還有一個結構相同的例子可以對照：在跟國家勢力有關的入侵行動裡，ENISA 只在 20% 的案例中判定得出最初的入侵途徑，而在那 20% 的子集合裡，70% 是利用漏洞造成的。兩個例子放在一起看，比較容易抓到同一個陷阱：比例很高，不代表母數很大。

看到一個百分比，比較保險的讀法是先問清楚母數是什麼、母數有多大，再決定要不要把這個比例當成整體的樣貌。報告在方法論那一節也寫明，公開來源的通報本來就有蒐報粒度、時序與部門歸類上的偏誤。

漏洞與攻擊面：修補優先序比買新設備重要

報告另外統計了漏洞面：2025 年新公布並取得 CVE 編號的漏洞超過 4.8 萬個，比前一年增加 22%——這是這篇文章唯一使用的年增數字，因為它算的是 CVE 編號的公布量，不是 ENISA 蒐集的歐盟事件數，不受前面「不能跟去年比」那個限制影響。

報告寫，這些已記載漏洞裡有 71% 把攻擊向量標記為「網路」（Network），也就是有可能被遠端利用；對直接連上網際網路的服務與裝置來說，這個比例是風險最高的提示。換句話說，「先檢查暴露在網路上的東西」這句老建議，在 2025 年的資料裡有了具體的重量。

這一篇能替讀者歸納的做法是：與其等特定品牌或型號被點名，不如把自己對外服務的系統——公司網站、對外 API，以及家用路由器這類裝置的韌體更新頁面——排進固定要檢查的清單；這是依上面兩個數字做的整理，不是 ENISA 在報告裡直接列出的待辦事項。美國 CISA 前不久才把三個 Linux 核心漏洞列進「已遭利用」清單，同樣是修補優先序的個案，細節請見文末第二個連結。

相依關係怎麼擴大攻擊面：從 npm 套件到威脅類別的界線

報告具體描述了相依關係的樣子：針對供應鏈與第三方服務的攻擊持續被觀察到，這段期間出現多起大規模或高衝擊的例子；其中一個對開發者最有感的例子，是熱門函式庫與 npm 套件遭入侵的情況增加，報告舉 Shai-Hulud 行動為例。ENISA 也在 2026 年 3 月發布過一份套件管理器安全使用的技術建議，報告只提到有這份建議，沒有進一步說明內容。

新聞稿另外指出一個容易被忽略的現象：威脅類別之間的界線持續模糊——類似的技術、基礎設施與存取機制，重複出現在網路犯罪、駭客行動主義與國家關聯的通報裡，即使背後的目的不一樣。這也呼應新聞稿開頭的主張：數位相依關係擴大了攻擊面，需要新一層級的警覺才能有效預防與降低事故的衝擊。

AI 在這份報告裡的角色沒有那麼戲劇化。報告寫，儘管觀察到相關活動，2025 年的通報顯示，攻擊者主要是用消費級 AI 工具增強既有技能、調整攻擊向量，而不是取得突破性的新能力——但緊接著的但書是，模型的進步已經被觀察到在加速漏洞的發掘與利用。值得一提的是，ENISA 自己也在報告裡揭露：這份報告只在有限範圍內用 AI 支援資料蒐集與處理，所有產出都經過領域專家審閱驗證，報告內文沒有使用 AI 生成的內容。

對 2026 年，報告給的是一句有保留的預測：寫「可能」（likely，報告定義為 60% 至 90% 的信心水準）看到攻擊鏈有更多階段直接由 AI 驅動，並可能出現人不在迴路內的概念驗證實驗。這是一句對未來的評估，不是已經發生的事——報告把「可能」與「已觀察到」分得很清楚，這一篇也照這個分寸翻譯。

2026 年科技新聞總整理：硬體、平台、電信與法規的重點

CISA 同一天兩則公告：三個 Linux 核心漏洞列入「已遭利用」清單

• 科技與產業
• 科技新聞