資安院公布「首屆產品資安漏洞獵捕活動去識別化成果報告」，發現產品資安漏洞多屬基礎安全控制缺失，於SSDLC（安全開發生命週期）設計階段可預防命令注入、路徑遍歷、缺乏身分驗證與弱密碼等問題，都可透過安全設計與原始碼檢測於開發階段攔截。
報告說明，SSDLC主要將資安要求、威脅分析、程式檢測與驗證活動，系統性嵌入產品生命週期，重點是把資安活動制度化，讓需求、設計、開發、測試、部署與維運各階段，都有明確的安全控制與驗證依據。
報告解釋，若產品開發在早期就修成本比較低，也可避免漏洞進入產品，在建立改善循環上，缺失的成因可以回饋到設計、開發與測試流程，有助提升製造成熟度，讓產品從個案修補走向持續改善。
資安署攜手資安院舉辦的首屆資安漏洞獵捕活動，針對網通設備、網路附加儲存設備（NAS）及工業網通設備等20項產品進行測試，4月底公布成果，共確認20件有效漏洞，其中包括3件嚴重風險、6件高風險、10件中風險及1件低風險漏洞。
近日彙整了受測產品類別、漏洞發現情形、漏洞類型、去識別化案例摘要與修補建議。依漏洞原因歸納有四大類型，主要涵蓋輸入驗證不當、占45％最多，身分驗證與授權缺陷約25％、設定與環境不當，以及記憶體破壞各有15％。
由於輸入驗證缺失、路徑遍歷、身分驗證不足及弱密碼等弱點，可能造成未授權存取、敏感資訊外洩、權限提升甚至遠端程式碼執行。若多項弱點同時存在並遭串聯利用，單一漏洞可能演變為完整入侵路徑，進一步影響設備安全與服務持續運作。