遠端程式碼執行
該標籤下有 3 篇文章
Orkes Conductor CVE-2026-58138：無需身分驗證即可執行作業系統指令，已觀測到攻擊嘗試（請更新至 3.30.2 或更新版本）
CVE-2026-58138 是 Conductor 中的一個漏洞。Conductor 是 conductor-oss 專案的開源工作流程引擎，CVE 紀錄中稱其為 Orkes Conductor。在 3.21.21 至低於 3.30.2 的版本中，由於腳本求值器沒有沙箱隔離，遠端攻擊者只要向工作流程 API 提交包含 JavaScript 或 Python 運算式的工作流程定義，即可在無需身分驗證的情況下執行作業系統指令。該 CVE 於2026年6月30日公布，CVSS 為 9.8（v3.1）與 9.3（v4.0）。修補包含在6月3日發布的 3.30.2 中，但其版本說明只寫了進一步限制 JavaScript 引擎。一家網路資安廠商在9月回報，其入侵防禦服務在一天內攔截了 1,290 次攻擊嘗試，七天內攔截了 6,696 次。這些是遭攔截的嘗試，而不是已確認的入侵。截至10月31日，該 CVE 不在 CISA 的 KEV 目錄中，NVD 也尚未分析（狀態為 Deferred）。本站的結論：如果您自行執行 Conductor，請立即升級至 3.30.2 或更新版本，不要讓其 API 暴露在網際網路上；如果受影響的版本曾可從外部存取，請以可能已遭入侵為前提進行檢查。
Plex2Shell：Plex Media Server 的四個 CVE 已遭實際利用（請更新至 1.43.3.10861 或更新版本）
Plex2Shell 是一位資安研究人員為 Plex Media Server 中四個漏洞取的名稱：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 與 CVE-2026-96656。Plex 表示，將它們串接起來後，未經身分驗證的遠端攻擊者可以用 Plex Media Server 程序的權限執行程式碼。四個漏洞均已在2026年8月4日向所有使用者發布的 1.43.3.10861 中修補。Plex 在10月19日（UTC）寫道，在10月16日出現公開的概念驗證程式碼之後，這些漏洞正遭到積極且廣泛的利用，遭入侵的伺服器被用來執行加密貨幣挖礦程式與代理軟體。CISA 於10月20日將四個漏洞全部加入已知遭利用漏洞（KEV）目錄，期限為10月23日與11月3日。每個 CVE 單獨的評分只有 4.3 至 7.2（CVSS v3.1）。本站的結論：如果您執行 Plex Media Server，請今天就確認其版本為 1.43.3.10861 或更新；除非需要遠端存取，否則不要直接暴露 32400 連接埠；如果舊版本曾可從網際網路存取，請依照 Plex 的入侵檢查步驟進行檢查，若有疑慮就重建。
SharePoint Server CVE-2026-65660：已登入的使用者可執行程式碼，已遭利用（請安裝2026年8月的更新）
CVE-2026-65660 是本地端部署的 Microsoft SharePoint Server（Subscription Edition、2019 與 Enterprise 2016）中的一個程式碼注入漏洞。根據 Microsoft，具有低層級存取權的已驗證攻擊者可以傳送特製的請求，在伺服器上執行程式碼，無需使用者互動。其 CVSS 評分為 8.8。修補包含在2026年8月11日的資安更新中。Microsoft 最初將其以詐騙（spoofing）漏洞發布，並於8月27日改為遠端程式碼執行。9月25日，Microsoft 補充表示已有觀察到攻擊的可靠證據，CISA 也在同一天將其加入 KEV 目錄，期限為9月28日。一家資安公司在9月24日回報，誘捕系統（honeypot）上觀察到的攻擊嘗試將該漏洞與另一個問題組合在一起；據報導，該問題已於2026年6月修補，它能讓請求在允許匿名檢視的網站上無需登入即可送達。本站的結論：如果您執行 SharePoint Server，請確認每台伺服器都達到或高於修補組建，確保2026年6月的更新也已安裝，審查匿名存取，並檢查更新落後的伺服器是否有遭入侵的跡象。