patch management
該標籤下有 12 篇文章
SAP 2026 年 11 月安全修補日：四個 CVSS 10.0 漏洞。先修補對外的 Web Dispatcher 和 ICM；如何確認是否受影響以及今天該做什麼
2026 年 11 月 10 日，SAP 的安全修補日發布了 35 條新的安全說明（Security Note）和 4 條 GitHub 安全公告，並更新了 3 條此前的說明。SAP 的列表將 9 行標為 Critical（嚴重）。其中四個為 CVSS 10.0：NetWeaver AS ABAP 的 Internet Communication Manager（ICM）中的記憶體破壞（CVE-2026-76964），SAP Web Dispatcher 中的記憶體破壞（CVE-2026-89126），SAP Gateway 中的存取控制缺陷（CVE-2026-89103），以及 AS ABAP 的 SAML2 服務提供方中的認證缺失（CVE-2026-120017）。CVE 紀錄稱這四個漏洞均無需認證、可透過網路利用、無需使用者互動（CVE-2026-120017 為在特定配置下）。另有三個為 CVSS 9.9（CVE-2026-109803、CVE-2026-76965、CVE-2026-109795），需要低權限登入。SAP 的列表沒有提到被利用，該頁面上的 CVE 均未列入 CISA 的 KEV 目錄（11 月 10 日 19:00 UTC 版本）。在 CVE 紀錄所附的 CISA 評估中，我們能看到的四條均為 exploitation: none（未見利用）。SAP Note 的正文需要登入才能檢視，本站未讀取。本站的結論：先修補對外的 Web Dispatcher 和 ICM，在 SAP Note 中確認已修復的版本級別，並把包括重啟在內的更新納入計劃。
OpenSSH 10.6p2 緊急修復（CVE-2026-123158）：已列入 CISA KEV；Alpine 等未啟用 PAM 的 musl 系統上，sshd 無需密碼即可登入
2026年11月5日，OpenSSH 發布 10.6p2，針對部分在禁用 PAM 的情況下構建並執行的 Linux 系統（尤其是 Alpine Linux 等使用 musl libc 的系統）上 sshd 的密碼認證繞過問題，提供了關鍵的規避措施。對應 CVE 為 CVE-2026-123158（CVSS 3.1 基礎分 8.1，來自 CVE 記錄）。11月9日，CISA 將其加入已知遭利用弱點（KEV）目錄，美國聯邦機構的期限為11月12日。一家民營威脅情報公司報告稱，在公開後不到九小時內就看到了攻擊嘗試，並在一個誘餌環境上成功一次；未報告生產系統受損，也未找到獨立驗證。Alpine Linux 於11月5日發布公告，併為各分支提供了修復後的軟體套件。據 Alpine 稱，滿足以下條件的主機受影響：啟用了密碼認證，某個帳戶的密碼欄位為星號，且另一帳戶持有常規雜湊。啟用 PAM、設定了 PasswordAuthentication no 的環境，以及不執行 sshd 的容器不受影響。本站的結論：如果您在 Alpine 或 OpenWrt、嵌入式 Linux 等其他基於 musl 的系統上執行 sshd，請今天就更新到修復後的軟體套件並重新啟動 sshd，在此之前關閉密碼認證，並檢查認證日誌。
Jenkins 2.588 與 LTS 2.580.2 修補 15 個漏洞（CVE-2026-117612 至 117626）：確認版本，以及更新後要複查什麼
2026 年 10 月 28 日，Jenkins 專案發布安全公告，在每週版 2.588 與 LTS 2.580.2 中修補了 Jenkins 核心的 15 個漏洞（CVE-2026-117612 至 CVE-2026-117626）。受影響的是每週版 2.587 及更早版本與 LTS 2.580.1 及更早版本。公告將其中 13 個評為高風險，2 個評為中風險。多數漏洞需要某種權限，例如 Overall/Read 或 Item/Configure（有些設定會對匿名使用者授予 Overall/Read）。例外是 CVE-2026-117618，即初始設定精靈中的競態條件，讓未經驗證的使用者能在初始設定期間建立管理員帳號，因此對暴露在網際網路上的新安裝 Jenkins 執行個體而言優先順序更高。公告列出的唯一替代做法，是在更新造成問題時關閉新增檢查的設定，以及強制啟用內容安全政策（CSP），後者可限制三個 XSS 漏洞的已知影響；真正的修復是更新。截至 11 月 3 日，本站未發現可信的遭利用報告，這 15 個漏洞也都不在 CISA 的已知遭利用漏洞（KEV）目錄中。本站的結論：確認您的 Jenkins 版本，更新到 2.588（LTS 2.580.2），不要讓 Jenkins 暴露在網際網路上，也不要給匿名使用者任何權限，並在更新後複查使用者、管理員與代理節點。
針對 Synology DSM 的勒索軟體攻擊：過時版本經2024年12月已修補的漏洞遭攻擊，今天該更新與檢查什麼（SA-24:20）
2026年10月29日，Synology 表示已發現威脅行為者利用2024年12月已修補的一個漏洞，攻擊執行過時 DSM 版本的裝置，意圖加密資料並勒索贖金。Synology 強烈敦促所有使用存在漏洞版本的使用者立即更新 DSM，並建議開啟自動更新。公告指向 Synology-SA-24:20，其修復版本為：DSM 7.2.2 為 7.2.2-72806-1 或更高，7.2.1 為 7.2.1-69057-6，7.2 為 7.2-64570-4，7.1 為 7.1.1-42962-7，6.2 為 6.2.4-25556-8。該公告列出三個 CVE，Synology 沒有說明其中哪一個正被利用。公司尚未公布受害者數量或任何攻擊者名稱。本站的結論：今天就檢查您的 DSM 版本，更新到修復版本或更高，且不要將 DSM 管理介面暴露在網際網路上。請保留一份與 NAS 分開、且無法從 NAS 覆寫的備份。
WordPress 7.1.4 漏洞 CVE-2026-119977：可能導致遠端程式碼執行的核心更新競態條件已修補；請檢查版本與自動更新
2026 年 10 月 28 日，WordPress 專案發布安全版本 7.1.4，修補核心更新過程中一個可能導致遠端程式碼執行的漏洞。根據 WordPress 的 GitHub 安全公告，在使用完整安裝包進行核心更新時，WordPress 會把新檔案解壓縮到可透過網路存取的升級資料夾內一個可預測的目錄中，未經驗證的攻擊者若在解壓縮期間贏得競態，就可能達成遠端程式碼執行（RCE）。修補內含於 7.1.4，並已回補到一路追溯至 4.7 的所有分支（7.0.8、6.9.11、6.8.12 等）。CVE-2026-119977 於 10 月 31 日由擔任 CNA 的 Wordfence 發布，CVSS v3.1 評分為 8.1（高），攻擊複雜度為高；WordPress 的公告將其評為低，並未給出分數。據 SecurityWeek 報導，一家 WordPress 資安廠商在部署防火牆規則 9 分鐘後首次命中，並在最初 21 小時內記錄到超過 18,500 個針對暫存更新位置的請求；該廠商表示未回報任何成功入侵。CISA 於 11 月 3 日將該 CVE 列入其已知遭利用漏洞（KEV）目錄（KEV 條目給出美國聯邦機關的截止日期為 11 月 6 日，CISA 除要求修補外，還要求聯邦機關依據 BOD 26-04 進行鑑識分級檢查）。啟用背景自動更新的網站應會自行更新；關閉自動更新的網站應在「更新」頁面手動更新。本站結論：把它當作已遭利用的漏洞，今天就更新；若你較晚更新，請檢查是否有遭入侵的跡象（本站的建議）。
Capcom 勒索軟體事件（2020）—— 老舊 VPN 裝置為何成了入侵口，以及對雙重勒索的防禦
入侵口是一台老舊的備用 VPN 裝置——新型號替換後，它仍留在北美子公司持續運行。攻擊者由此突破網路、竊取資料，再以勒索軟體加密系統（雙重勒索）。最多約 39 萬人的個人資料可能外洩（不含信用卡資料）。Capcom 拒絕付款，從備份復原，並透明地揭露。防禦之道是淘汰未使用的裝置、修補邊界裝置，並同時涵蓋竊取與加密（隔離、偵測、備份）。
WordPress 資安 — 正式環境的加固參考
WordPress 市占最大，因此也是最大的攻擊目標，但入侵途徑是可預測的（外掛／佈景主題漏洞、跳過更新、脆弱的管理員、暴露在外的管理後台）。這是一份可實作的參考：(1) 依優先順序排列的加固清單（P0–P2），(2) 各面向的指引——自動更新、外掛／佈景主題最小化、強管理員＋2FA、降低管理後台暴露（xmlrpc/REST 列舉／檔案編輯）、wp-config 與機密、檔案權限、HTTPS／備份、PHP／相依套件的更新，以及 (3) 自我驗證清單。純防禦——不含攻擊步驟。
什麼是惡意軟體 — 種類、感染途徑與基本的防禦
惡意軟體（Malicious Software）是為危害裝置或資料而製作的不良軟體的統稱。病毒·蠕蟲·木馬·勒索軟體·間諜軟體·殭屍程式全都是其中的一部分。種類看起來各不相同，但守護方式是共通的三項：防止感染（更新·不開啟可疑附件/巨集·MFA）、偵測（EDR·防毒軟體）、能夠復原（備份）。比起死記種類，做好這些共通的防禦重要得多。
什麼是勒索軟體？運作原理、入侵途徑，以及如何避免付款
勒索軟體是一種加密檔案並要求「想復原就付贖金」的惡意軟體。如今除了加密，還會竊取資料並威脅「不付款就公開」，這種雙重勒索已成主流——即使能解密，資訊外洩也無法挽回。主要入侵口是釣魚、弱密碼/無 MFA 的 VPN/RDP，以及未修補的對外公開漏洞。最重要的防禦是「離線/防竄改備份＋復原演練」——打造無需付款也能復原的狀態。同時也要防止入侵（MFA·修補）並限制損害（最小權限·隔離）。
MOVEit 大規模資料外洩（2023）—— SQL 注入零時差漏洞波及 2,700 多家組織的原因與防禦
入口是面向網際網路公開的檔案傳輸產品 MOVEit Transfer 的 SQL 注入零時差漏洞（CVE-2023-34362）。攻擊者植入 Web shell（LEMURLOOT），從後端資料庫批量竊取資料，致 2,700 多家組織、約 9,330 萬人的資料外洩。許多受害者是因為委外廠商、合作方使用了 MOVEit 而被間接牽連。在你的環境中，可透過 KEV 即時修補、最小化暴露面、Web↔DB 的最小權限與隔離、委外廠商盤點與資料最小化來防範。
還在用 Windows 10 的人請注意：支援終止後的安全風險
通常版 Windows 10 Home/Pro 系列 22H2 已於 2025 年 10 月 14 日結束支援。2026 年 10 月 16 日核對的官方說明將個人 ESU 期限列為 2027 年 10 月 12 日，已登記者自動延續。請檢查裝置登記與更新狀態、所在地區的條件，並優先遷移到持續更新的作業系統。LTSC/IoT 與企業 ESU 屬於不同制度。
Equifax 資訊外洩事件（2017）——未修補的 Apache Struts 導致 1.47 億人外洩的原因與防禦
原因是『把已經發布修復修補程式的已知 CVE（CVSS 10.0）沒有套用到公開系統上』。監控設備因憑證失效導致長達 76 天都沒察覺資料外帶，使損失擴大。在你的環境裡，要用資產盤點、修補 SLA、機器監控、偵測健全性來防止重演。