這是一篇針對 Webtop Media Transcoder 缺陷的解析：據公告，它是 Openwave Messaging 平臺中為 Webmail 轉換文件的功能，其檔案型別限制沒有被執行。評分雖低，但已觀察到攻擊，所以這篇簡短的說明面向使用 Openwave Messaging 的訊息平臺運營方：如何確認以及該怎麼做。
- CVE
- CVE-2026-111793（廠商公告 CAN-2026-2032674，JVNVU#93403064）
- 嚴重度
- 廠商和 CVE：CVSS v3.1 4.3（Medium）。JVN：標為 critical
- 型別
- 範圍之間的資源傳遞不當（CWE-669）。管理員設定的檔案型別限制沒有被執行
- 受影響
- Webtop Media Transcoder 1.1.22.0 之前（CVE 記錄列出 Linux）
- 修復
- 1.1.22.0。廠商要求客戶升級到受支援的最新 Media Server 2.0 版本
- 所述影響
- 廠商和 CVE：可轉換非預期的文件型別（較低的可用性影響）。JVN：可能獲取敏感資訊
- 日期
- 因來源而異（見下表）
- 利用情況
- JVN：開發方表示已觀察到攻擊。11月10日列入 CISA KEV（期限為11月24日）
這是什麼樣的漏洞
廠商公告和 CVE 記錄稱，Webtop Media Transcoder 不執行管理員設定的檔案型別限制。繞過 Webmail 介面的已認證使用者可能能夠處理並轉換非預期的文件型別。公告沒有給出方法，本站也不給出。
各來源對影響的措辭不同，本站不偏向任何一方。
| 來源 | 說法 |
|---|---|
| 廠商公告和 CVE 記錄 | 可轉換非預期的文件型別。公告給出 CVSS v3.1 4.3；向量在 CVE 記錄中（無機密性和完整性影響，可用性較低） |
| JVN | 能夠登入的攻擊者上傳精心構造的檔案，可能獲取敏感資訊。標為 critical。開發方表示已觀察到攻擊 |
| CISA KEV | 已認證的使用者可能處理並轉換非預期的文件型別（與廠商措辭相同） |
日期各不相同
| 來源 | 日期 |
|---|---|
| 廠商公告 | 披露日期為2026年10月7日。稱修復版本 1.1.22.0 釋出於2021年12月6日 |
| CVE 記錄 | 2026年10月16日釋出 |
| JVN | 2026年11月9日釋出並最後更新 |
| CISA KEV | 2026年11月10日列入（期限11月24日） |
公告日期（2026年）與所述的修復釋出日期（2021年）之間相差四年多。本站無法透過公開資訊確認原因，也不確定採用其中哪一個日期。
誰受影響
| 專案 | 內容 |
|---|---|
| 產品 | Openwave Messaging Webtop Media Transcoder |
| 受影響版本 | 1.1.22.0 之前 |
| 修復 | 1.1.22.0。廠商要求客戶升級到受支援的最新 Media Server 2.0 版本 |
| 臨時辦法 | 公告中沒有列出 |
| 步驟和下載 | JVN 讓讀者向開發方諮詢 |
如何確認自己是否受影響
確認 Webtop Media Transcoder 的版本
請在平臺的配置記錄中，或透過廠商的支援聯絡人，確認正在執行的版本。早於 1.1.22.0 即受影響。如果生產、預釋出和備用系統是分開的，請逐一檢查（資產清點清單）。
列出能夠訪問轉換功能的途徑
確認轉換功能是否可以被直接訪問，而不只是透過 Webmail 介面，例如從內部網路或訂戶網路，或經由 API。
今天該做什麼
確認版本並向廠商索取修復
如果受影響，請按廠商的建議升級到 1.1.22.0 或更高（受支援的最新 Media Server 2.0 版本）。請向廠商詢問獲取方式和升級注意事項。KEV 的期限是11月24日。
在此之前，收窄可訪問的物件
公告沒有列出臨時辦法。作為本站自己的補充建議，把能夠訪問轉換功能的來源限制為 Webmail 平臺所需的範圍。這不能代替更新。
查詢意外的轉換或上傳
在轉換日誌中，查詢管理員未允許的文件型別、不是經由 Webmail 介面發起的呼叫，以及異常大的量。JVN 提到了獲取資訊，所以不要止步於更新；請記錄檢查的範圍和時間段。流程見漏洞修復實務手冊。
利用情況
- JVN 稱開發方表示已觀察到利用該漏洞的攻擊。廠商公告沒有提到利用情況。
- CISA 於2026年11月10日把它列入 KEV，期限為11月24日（KEV 版本 2026.11.10）。勒索軟體使用情況記為 Unknown，取證分診記為 No。
- CVE 記錄中附有 CISA 的評估（exploitation active、not automatable、partial technical impact）。
- 規模、手法或損害的公開資訊無法確認。
資訊來源
- Openwave Messaging (Ireland) Ltd — Public Security Advisory CAN-2026-2032674（受影響版本、修復版本、CVSS 4.3、披露日期）
- JVN — JVNVU#93403064（2026年11月9日釋出；已觀察到攻擊的說明）
- CVE.org — CVE-2026-111793（2026年10月16日釋出；含 CISA 的列入資訊）
- CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日列入，期限11月24日）
最後確認：2026年11月11日。
延伸閱讀
- 實務：漏洞修復實務手冊 / 資產清點清單
- 判斷：用 CVSS、EPSS、KEV 確定優先順序
- 術語：什麼是 CVSS？