漏洞
該標籤下有 45 篇文章
SAP 2026 年 11 月安全修補日：四個 CVSS 10.0 漏洞。先修補對外的 Web Dispatcher 和 ICM；如何確認是否受影響以及今天該做什麼
2026 年 11 月 10 日，SAP 的安全修補日發布了 35 條新的安全說明（Security Note）和 4 條 GitHub 安全公告，並更新了 3 條此前的說明。SAP 的列表將 9 行標為 Critical（嚴重）。其中四個為 CVSS 10.0：NetWeaver AS ABAP 的 Internet Communication Manager（ICM）中的記憶體破壞（CVE-2026-76964），SAP Web Dispatcher 中的記憶體破壞（CVE-2026-89126），SAP Gateway 中的存取控制缺陷（CVE-2026-89103），以及 AS ABAP 的 SAML2 服務提供方中的認證缺失（CVE-2026-120017）。CVE 紀錄稱這四個漏洞均無需認證、可透過網路利用、無需使用者互動（CVE-2026-120017 為在特定配置下）。另有三個為 CVSS 9.9（CVE-2026-109803、CVE-2026-76965、CVE-2026-109795），需要低權限登入。SAP 的列表沒有提到被利用，該頁面上的 CVE 均未列入 CISA 的 KEV 目錄（11 月 10 日 19:00 UTC 版本）。在 CVE 紀錄所附的 CISA 評估中，我們能看到的四條均為 exploitation: none（未見利用）。SAP Note 的正文需要登入才能檢視，本站未讀取。本站的結論：先修補對外的 Web Dispatcher 和 ICM，在 SAP Note 中確認已修復的版本級別，並把包括重啟在內的更新納入計劃。
OpenSSH 10.6p2 緊急修復（CVE-2026-123158）：已列入 CISA KEV；Alpine 等未啟用 PAM 的 musl 系統上，sshd 無需密碼即可登入
2026年11月5日，OpenSSH 發布 10.6p2，針對部分在禁用 PAM 的情況下構建並執行的 Linux 系統（尤其是 Alpine Linux 等使用 musl libc 的系統）上 sshd 的密碼認證繞過問題，提供了關鍵的規避措施。對應 CVE 為 CVE-2026-123158（CVSS 3.1 基礎分 8.1，來自 CVE 記錄）。11月9日，CISA 將其加入已知遭利用弱點（KEV）目錄，美國聯邦機構的期限為11月12日。一家民營威脅情報公司報告稱，在公開後不到九小時內就看到了攻擊嘗試，並在一個誘餌環境上成功一次；未報告生產系統受損，也未找到獨立驗證。Alpine Linux 於11月5日發布公告，併為各分支提供了修復後的軟體套件。據 Alpine 稱，滿足以下條件的主機受影響：啟用了密碼認證，某個帳戶的密碼欄位為星號，且另一帳戶持有常規雜湊。啟用 PAM、設定了 PasswordAuthentication no 的環境，以及不執行 sshd 的容器不受影響。本站的結論：如果您在 Alpine 或 OpenWrt、嵌入式 Linux 等其他基於 musl 的系統上執行 sshd，請今天就更新到修復後的軟體套件並重新啟動 sshd，在此之前關閉密碼認證，並檢查認證日誌。
SonicWall SonicOS SSL-VPN CVE-2026-19868：SAML 及其 MFA 可遭繞過，已列入 CISA KEV（請升級 Gen7 與 Gen8）
CVE-2026-19868 是 SonicWall 防火牆作業系統 SonicWall SonicOS 的 SSL-VPN 服務中的一個漏洞。根據 SonicWall 於2026年11月6日發布的公告 SNWLID-2026-0014，在為 SSL-VPN 登入啟用 SAML 的防火牆上，持有另一種身分驗證方式有效憑證的使用者可能繞過 SAML 身分驗證控制，並連帶繞過 SAML 所強制的多因素驗證（MFA）。SonicWall 表示，其資安團隊調查了一份顯示可能遭利用的回報。CISA 於11月6日將該 CVE 加入已知遭利用漏洞（KEV）目錄，期限為11月20日。受影響：SonicOS 7.3.3-7015 及更早版本的 Gen7 防火牆，以及 8.2.2-8015 及更早版本的 Gen8 防火牆。已修補：7.3.4-7013 與 8.2.3-8015 或更新版本。沒有暫時性解決方法。同一公告還涵蓋另外六個 CVE，包括管理介面中的漏洞，以及 SSL-VPN 中一個無需身分驗證即可使服務停止的漏洞。本站的結論：如果您執行 Gen7 或 Gen8 的 SonicWall 防火牆，無論是否使用 SAML，都請立即升級；如果您依靠 SAML 與 MFA 保護 VPN 登入，請檢查還有哪些其他帳戶仍可登入 SSL-VPN。
Jenkins 2.588 與 LTS 2.580.2 修補 15 個漏洞（CVE-2026-117612 至 117626）：確認版本，以及更新後要複查什麼
2026 年 10 月 28 日，Jenkins 專案發布安全公告，在每週版 2.588 與 LTS 2.580.2 中修補了 Jenkins 核心的 15 個漏洞（CVE-2026-117612 至 CVE-2026-117626）。受影響的是每週版 2.587 及更早版本與 LTS 2.580.1 及更早版本。公告將其中 13 個評為高風險，2 個評為中風險。多數漏洞需要某種權限，例如 Overall/Read 或 Item/Configure（有些設定會對匿名使用者授予 Overall/Read）。例外是 CVE-2026-117618，即初始設定精靈中的競態條件，讓未經驗證的使用者能在初始設定期間建立管理員帳號，因此對暴露在網際網路上的新安裝 Jenkins 執行個體而言優先順序更高。公告列出的唯一替代做法，是在更新造成問題時關閉新增檢查的設定，以及強制啟用內容安全政策（CSP），後者可限制三個 XSS 漏洞的已知影響；真正的修復是更新。截至 11 月 3 日，本站未發現可信的遭利用報告，這 15 個漏洞也都不在 CISA 的已知遭利用漏洞（KEV）目錄中。本站的結論：確認您的 Jenkins 版本，更新到 2.588（LTS 2.580.2），不要讓 Jenkins 暴露在網際網路上，也不要給匿名使用者任何權限，並在更新後複查使用者、管理員與代理節點。
針對 Synology DSM 的勒索軟體攻擊：過時版本經2024年12月已修補的漏洞遭攻擊，今天該更新與檢查什麼（SA-24:20）
2026年10月29日，Synology 表示已發現威脅行為者利用2024年12月已修補的一個漏洞，攻擊執行過時 DSM 版本的裝置，意圖加密資料並勒索贖金。Synology 強烈敦促所有使用存在漏洞版本的使用者立即更新 DSM，並建議開啟自動更新。公告指向 Synology-SA-24:20，其修復版本為：DSM 7.2.2 為 7.2.2-72806-1 或更高，7.2.1 為 7.2.1-69057-6，7.2 為 7.2-64570-4，7.1 為 7.1.1-42962-7，6.2 為 6.2.4-25556-8。該公告列出三個 CVE，Synology 沒有說明其中哪一個正被利用。公司尚未公布受害者數量或任何攻擊者名稱。本站的結論：今天就檢查您的 DSM 版本，更新到修復版本或更高，且不要將 DSM 管理介面暴露在網際網路上。請保留一份與 NAS 分開、且無法從 NAS 覆寫的備份。
WordPress 7.1.4 漏洞 CVE-2026-119977：可能導致遠端程式碼執行的核心更新競態條件已修補；請檢查版本與自動更新
2026 年 10 月 28 日，WordPress 專案發布安全版本 7.1.4，修補核心更新過程中一個可能導致遠端程式碼執行的漏洞。根據 WordPress 的 GitHub 安全公告，在使用完整安裝包進行核心更新時，WordPress 會把新檔案解壓縮到可透過網路存取的升級資料夾內一個可預測的目錄中，未經驗證的攻擊者若在解壓縮期間贏得競態，就可能達成遠端程式碼執行（RCE）。修補內含於 7.1.4，並已回補到一路追溯至 4.7 的所有分支（7.0.8、6.9.11、6.8.12 等）。CVE-2026-119977 於 10 月 31 日由擔任 CNA 的 Wordfence 發布，CVSS v3.1 評分為 8.1（高），攻擊複雜度為高；WordPress 的公告將其評為低，並未給出分數。據 SecurityWeek 報導，一家 WordPress 資安廠商在部署防火牆規則 9 分鐘後首次命中，並在最初 21 小時內記錄到超過 18,500 個針對暫存更新位置的請求；該廠商表示未回報任何成功入侵。CISA 於 11 月 3 日將該 CVE 列入其已知遭利用漏洞（KEV）目錄（KEV 條目給出美國聯邦機關的截止日期為 11 月 6 日，CISA 除要求修補外，還要求聯邦機關依據 BOD 26-04 進行鑑識分級檢查）。啟用背景自動更新的網站應會自行更新；關閉自動更新的網站應在「更新」頁面手動更新。本站結論：把它當作已遭利用的漏洞，今天就更新；若你較晚更新，請檢查是否有遭入侵的跡象（本站的建議）。
Linux 核心 CVE-2026-98432：可透過網路觸發的 TCP 釋放後使用漏洞（CVSS 9.8）；請安裝已修復的核心、重新啟動並檢查 MPTCP
CVE-2026-98432 是 Linux 核心 IPv4 TCP 程式碼中的一個釋放後使用漏洞，於2026年10月15日公布。核心專案的 CNA 給出 CVSS v3.1 9.8 分（網路、無需權限、無需使用者互動）。據報導，一家 AI 公司的研究人員在實驗室中、依據其自身報告，示範了針對具有 Multipath TCP（MPTCP）監聽器的伺服器以 root 身分遠端執行程式碼。BleepingComputer 稱，針對一般 TCP 伺服器的遠端程式碼執行尚未公開展示，也未確認有在野利用，本站於11月1日在 CISA 的 KEV 目錄中沒有找到該 CVE。上游修復包含在 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56 與 7.2.10 及之後的版本中。截至11月1日，Debian 已有修復的核心，SUSE 有部分，Ubuntu 與 Red Hat 將修復列為進行中。僅停用 MPTCP 並不是完整的修復。本站的結論是：隨著修復發布，更新面向網際網路的 Linux 伺服器並重新啟動，僅在此之前使用廠商的暫行緩解措施。
緊急 PHP 更新後該檢查什麼：網頁 PHP 與命令列 PHP 的差異、set -e 與 diff 結束代碼，以及入侵再檢查
在 2026 年 10 月回應嚴重 PHP 漏洞期間，本站營運者管理的一個網站已更新網頁 PHP，但 cron 使用的命令列 PHP 仍指向舊版本。請分別檢查網頁與 CLI。在 set -e 之下，diff 與 grep 會以結束狀態 1 表示「發現差異」或「沒有符合」，進而中止腳本；請分別處理 0、1 與 2。修補後，請對每台伺服器執行相同的入侵檢查清單；若日誌出現可疑紀錄，請比對線上檔案與已知正常的部署副本來釐清。
2026 年 10 月網路攻擊與資料外洩彙整：36 個遭利用的漏洞與大規模外洩
2026 年 10 月，CISA 在其已知遭利用漏洞（KEV）目錄新增 36 個漏洞，比 9 月的 43 個少 7 個。其中 11 個是 VPN 設備、防火牆等邊緣與遠端存取產品，5 個是公開於 2015 年至 2023 年的舊漏洞（皆於 10 月 8 日列入），10 個涉及 Plex、PHP、Ahsay 與 Zammad，另有 10 個是其他產品。10 月本站首度報導了 115 起事件與漏洞（日本事件 65 起、海外 28 起、全球 4 起、漏洞 18 個）；這是本站文章的數量，不是國家統計。在日本，會員資料庫與應用程式資料庫的外洩接連不斷。已公布數字最大的是 ShopServe（約 2335.6 萬人）、MUJI 應用程式（最多約 2726 萬筆紀錄，可能）、Club Tourism（約 432 萬筆紀錄，可能）與 Hana Cupid（最多 4,238,242 筆紀錄）。服務供應商與 SaaS 的外洩、加密貨幣交易所失竊以及 AI 開發平台事件也持續發生。我們對 11 月的結論是：先修補已列入 KEV 的邊緣設備，盤點持有您客戶名單的外部服務，並防範冒充遭外洩公司的釣魚郵件。
Cisco Catalyst SD-WAN Manager CVE-2026-76504：無需登入即可取得管理員存取權，已遭利用（請升級至已修補版本）
CVE-2026-76504 是 Cisco Catalyst SD-WAN Manager（舊稱 vManage，Cisco SD-WAN 的管理系統）API 工作階段身分驗證中的一個漏洞。根據 Cisco 於2026年9月30日發布的公告，由於對 HTTP 請求中 URI 編碼的處理不當，未經身分驗證的遠端攻擊者可以繞過一條身分驗證規則，以 admin 使用者的權限存取 API。無論設定為何，該產品都受影響，CVSS 評分為 9.8。Cisco 表示，其資安團隊在2026年9月得知有實際的主動利用。沒有暫時性解決方法；修補方式是升級至您所用版本系列的首個修補版本（20.9.10.1、20.12.8.2、20.15.6.1、20.18.4.1、26.1.2.1 或 26.2.1）。由 Cisco 代管的雲端服務已修補。CISA 於9月30日將其加入 KEV 目錄，期限為10月3日。本站的結論：如果您在本地端執行 SD-WAN Manager，請立即升級，不要讓其管理介面暴露在網際網路上，並依照 Cisco 公告中的檢查項目審查其日誌，因為它可能已暴露了數週。
Drupal Commerce Core CVE-2026-118539：無需身分驗證的存取繞過漏洞，已遭利用（請更新至 8.x-2.41 或 3.3.13）
2026年10月28日，Drupal 安全團隊針對 Commerce Core 模組（CVE-2026-118539）發布了 SA-CONTRIB-2026-254。該模組對某些路由與實體欄位的保護不足，導致存取繞過，可能對店主造成財務影響。Drupal 將其評為 Highly critical（21/25），無需身分驗證，並表示該漏洞正在實際攻擊中被積極利用。受影響版本為低於 8.x-2.41 的版本，以及 3.0.0 至低於 3.3.13 的版本；修補版本為 8.x-2.41 與 3.3.13。NVD 的紀錄顯示，由 CISA 的 ADP 加入了較低的 CVSS v3.1 分數 6.5，目前仍在等待分析。截至10月31日，它尚未列入 CISA 的 KEV 目錄。本站的結論是：如果您使用 Drupal Commerce 經營線上商店，請立即更新，並稽核近期訂單與付款中是否有不一致之處。
Ivanti Connect Secure CVE-2026-111357 與 CVE-2026-118527：另外兩個漏洞被加入 CISA KEV（針對10月攻擊該怎麼做）
2026年10月30日，CISA 將兩個 Ivanti Connect Secure 漏洞加入其已知遭利用漏洞（KEV）目錄：CVE-2026-111357，一個本機提權至 root 的漏洞；以及 CVE-2026-118527，一個可預測識別碼漏洞，使已通過身分驗證的遠端攻擊者能夠在已知位置放置內容由攻擊者控制的檔案。CISA 表示，兩者都可與 10月13日加入 KEV 的身分驗證繞過漏洞 CVE-2026-104935 串聯利用。11月2日，一家美國研究公司報告稱，Ivanti 已於10月29日更新其公告，加入這兩個 CVE 並發布了修補（我們無法讀取 Ivanti 的公告本身，因此以下依據該公司對公告的引述）：25.1.1.2 及更早版本修補為 25.1.1.3，22.8R2.5 及更早版本修補為 22.8R2.6。10月13日的修補（25.1.1.2 與 22.8R2.5）並不修補這兩個漏洞。Ivanti 建議從 22.8.x 遷移至 25.1.1.3 或更高版本，如無法立即遷移，則套用 22.8R2.6。Ivanti 表示，揭露之前的利用影響了數量有限的客戶，且與 CVE-2026-104935 串聯。美國聯邦機構的期限為：CVE-2026-111357 為11月2日，CVE-2026-118527 為11月13日。另一家研究公司報告稱，利用自10月3日起，並出現憑證竊取，以及對 Windows LAPS 密碼與 BitLocker 復原金鑰的 Active Directory 查詢。CISA 與該公司警告稱，Ivanti 的完整性檢查工具（Integrity Checker Tool）可能無法偵測到這種利用。本站的結論是：立即套用修補，即使修補完成，也應將自10月初以來可從網際網路存取的任何設備視為可能已遭入侵，直到鑑識檢查另有結論。在任何重新啟動或重設之前先保存記憶體與日誌，並輪換憑證，包括由 LAPS 管理的本機管理員密碼與 BitLocker 復原金鑰。請在 Ivanti 的公告中確認版本號。
Orkes Conductor CVE-2026-58138：無需身分驗證即可執行作業系統指令，已觀測到攻擊嘗試（請更新至 3.30.2 或更新版本）
CVE-2026-58138 是 Conductor 中的一個漏洞。Conductor 是 conductor-oss 專案的開源工作流程引擎，CVE 紀錄中稱其為 Orkes Conductor。在 3.21.21 至低於 3.30.2 的版本中，由於腳本求值器沒有沙箱隔離，遠端攻擊者只要向工作流程 API 提交包含 JavaScript 或 Python 運算式的工作流程定義，即可在無需身分驗證的情況下執行作業系統指令。該 CVE 於2026年6月30日公布，CVSS 為 9.8（v3.1）與 9.3（v4.0）。修補包含在6月3日發布的 3.30.2 中，但其版本說明只寫了進一步限制 JavaScript 引擎。一家網路資安廠商在9月回報，其入侵防禦服務在一天內攔截了 1,290 次攻擊嘗試，七天內攔截了 6,696 次。這些是遭攔截的嘗試，而不是已確認的入侵。截至10月31日，該 CVE 不在 CISA 的 KEV 目錄中，NVD 也尚未分析（狀態為 Deferred）。本站的結論：如果您自行執行 Conductor，請立即升級至 3.30.2 或更新版本，不要讓其 API 暴露在網際網路上；如果受影響的版本曾可從外部存取，請以可能已遭入侵為前提進行檢查。
Plex2Shell：Plex Media Server 的四個 CVE 已遭實際利用（請更新至 1.43.3.10861 或更新版本）
Plex2Shell 是一位資安研究人員為 Plex Media Server 中四個漏洞取的名稱：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 與 CVE-2026-96656。Plex 表示，將它們串接起來後，未經身分驗證的遠端攻擊者可以用 Plex Media Server 程序的權限執行程式碼。四個漏洞均已在2026年8月4日向所有使用者發布的 1.43.3.10861 中修補。Plex 在10月19日（UTC）寫道，在10月16日出現公開的概念驗證程式碼之後，這些漏洞正遭到積極且廣泛的利用，遭入侵的伺服器被用來執行加密貨幣挖礦程式與代理軟體。CISA 於10月20日將四個漏洞全部加入已知遭利用漏洞（KEV）目錄，期限為10月23日與11月3日。每個 CVE 單獨的評分只有 4.3 至 7.2（CVSS v3.1）。QNAP 在11月6日表示，部分使用者回報其 NAS 上的 Plex Media Server 似乎已遭入侵；QNAP 表示其自家作業系統 QTS 與 QuTS hero 不受影響，並請 Plex 曾可從網際網路存取的擁有者將 NAS 視為可能已遭入侵。本站的結論：如果您執行 Plex Media Server，請今天就確認其版本為 1.43.3.10861 或更新；除非需要遠端存取，否則不要直接暴露 32400 連接埠；如果舊版本曾可從網際網路存取，請依照 Plex 的入侵檢查步驟進行檢查，若有疑慮就重建（若是 QNAP NAS，請依照 QNAP 的 FAQ 處理）。
SharePoint Server CVE-2026-65660：已登入的使用者可執行程式碼，已遭利用（請安裝2026年8月的更新）
CVE-2026-65660 是本地端部署的 Microsoft SharePoint Server（Subscription Edition、2019 與 Enterprise 2016）中的一個程式碼注入漏洞。根據 Microsoft，具有低層級存取權的已驗證攻擊者可以傳送特製的請求，在伺服器上執行程式碼，無需使用者互動。其 CVSS 評分為 8.8。修補包含在2026年8月11日的資安更新中。Microsoft 最初將其以詐騙（spoofing）漏洞發布，並於8月27日改為遠端程式碼執行。9月25日，Microsoft 補充表示已有觀察到攻擊的可靠證據，CISA 也在同一天將其加入 KEV 目錄，期限為9月28日。一家資安公司在9月24日回報，誘捕系統（honeypot）上觀察到的攻擊嘗試將該漏洞與另一個問題組合在一起；據報導，該問題已於2026年6月修補，它能讓請求在允許匿名檢視的網站上無需登入即可送達。本站的結論：如果您執行 SharePoint Server，請確認每台伺服器都達到或高於修補組建，確保2026年6月的更新也已安裝，審查匿名存取，並檢查更新落後的伺服器是否有遭入侵的跡象。
VMware ESX CVE-2026-41709（CVSS 2.7）：CISA 將這項低風險日誌漏洞列為已遭利用；請修補整份 VMSA-2026-0006 並檢查主機
CVE-2026-41709 是 VMware ESX 中的日誌記錄不足漏洞（CVSS 2.7，低風險）：已經擁有管理員權限的攻擊者可以執行某些操作而不被記錄到日誌中。Broadcom 已於2026年7月29日在公告 VMSA-2026-0006 中修復，沒有因應方案。2026年10月28日（美國時間），CISA 將其加入已知遭利用漏洞（KEV）目錄，美國聯邦機構的期限為11月11日。一家資安公司的威脅報告稱，一個與中國有關聯的組織在對美國多個組織的入侵中將其作為零時差漏洞使用，最晚到2026年初，SecurityWeek 將其目的描述為降低稽核軌跡的可見性；本站尚未獨立查證該報告。該漏洞本身不提供入口，但意味著受影響主機的日誌可能無法顯示入侵者做了什麼。同一公告還包含兩個評級為 9.8 的 vCenter 漏洞，其中之一（CVE-2026-59310）已於8月18日被 CISA 列為已遭利用，因此只修補 ESX 漏洞會讓入口依然敞開。本站的結論是：把 ESX 與 vCenter 更新到整份公告對應的修復版本，把主機日誌傳送到另一台伺服器，並尋找入侵跡象，而不是只相信日誌。
Cisco ASA 與 FTD VPN 漏洞 CVE-2026-76418：未經驗證的攻擊者可使設備重新啟動（檢查方法與修復版本）
2026年10月28日（UTC），Cisco 揭露了 Cisco Secure Firewall ASA 與 Secure Firewall Threat Defense（FTD）遠端存取 SSL VPN 服務中的 CVE-2026-76418（CVSS v3.1 8.6）。未經驗證的遠端攻擊者可使設備意外重新啟動，造成阻斷服務。原因是在通道群組（VPN 連線設定檔）上設定了二次驗證時存在邏輯錯誤，在連線 SSL VPN 時透過特製請求即可觸發。該公告未描述程式碼執行或資料外洩。沒有因應措施，Cisco 強烈建議升級。Cisco PSIRT 表示，已知悉2026年10月出現利用，但未提供細節。CISA 於10月29日將其列入已知遭利用漏洞（KEV）目錄，美國聯邦機關的處置期限為11月1日。我們的結論是：若您在 ASA 或 FTD 上開放了 SSL VPN，請檢查是否有通道群組使用了二次驗證，如有則升級。Cisco 提供了暫時性緩解措施，但會降低安全性。
Linux 核心 Fragnesia（CVE-2026-46300）：CISA 列為已遭利用，期限為10月31日；請修補 PHP 與核心，然後重新開機
CVE-2026-46300，暱稱 Fragnesia，是 Linux 核心中的一個漏洞，可讓低權限的本機用戶取得 root 權限（CVSS v3.1 7.8，本機攻擊向量）。核心在網路緩衝區之間搬移資料片段時，可能遺失一個標記，該標記表示這些資料與記憶體中的某個檔案共用，隨後 IPsec ESP 程式碼可能在該唯讀檔案的快取副本上直接解密並覆寫。核心專案於2026年5月23日發布了該 CVE，修復包含在核心 5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33 與 7.0.10 及之後的版本中。2026年10月28日（美國時間），CISA 基於存在活躍利用的證據，將其加入已知遭利用漏洞（KEV）目錄，美國聯邦機構的期限為10月31日。CISA 的描述表示，它可與 PHP 漏洞 CVE-2026-109618 和 CVE-2026-109619 串聯，植入 PHP webshell 並以 root 身分執行指令。一家資安公司報告指出，這條攻擊鏈被用於攻擊 25 台伺服器（大多是防火牆），SecurityWeek 轉述了該報告；本站未獨立查證這些數字。Ubuntu、Red Hat 與 Debian 已發布修復核心，而核心更新必須在重新開機後才會生效。本站的結論是：若您在 Linux 上執行 PHP 網站，請更新 PHP 與核心，重新開機，並檢查是否有 webshell。
Adobe Commerce 與 Magento 漏洞 CVE-2026-48356：CISA 確認遭利用（KEV）、7 月的修補，以及如何檢查入侵痕跡
2026年10月27日，CISA 將 Adobe Commerce 與 Magento Open Source 中的檔案上傳漏洞 CVE-2026-48356 加入已知遭利用漏洞（KEV）目錄。美國聯邦民事機構的修補期限為11月10日。Adobe 已於2026年7月14日在安全公告 APSB26-73 中修補了此漏洞以及另外 13 個漏洞。受影響的是 Adobe Commerce 2.4.4 至 2.4.9、Magento Open Source 2.4.6 至 2.4.9、Adobe Commerce B2B 與 Adobe Commerce Events。修補為各版本線的 2026-jul 安全修補（Events 為 1.21.0）。Adobe 公告中的表格將其評為 CVSS 9.6，而 Adobe 的 CVE 紀錄與 NVD 評為 9.3，唯一差異在於可用性影響。Adobe 的公告（8月11日更新）仍表示 Adobe 未察覺遭利用的情況。10月24日，一家電子商務資安公司報告指出，透過此漏洞（該公司稱之為 PolyShell）及其他漏洞放置的 Web Shell 被用來向商店頁面注入 JavaScript，自2025年7月以來此攻擊活動已波及 953 家商店（大多為 Magento），且該公司在已修補的商店中也發現了注入的程式碼。截至10月28日，日本尚無公家機關發布警訊，也沒有日本商店公布受到影響。本站的結論是：Adobe Commerce 與 Magento 商店應在今天確認已套用 7 月的修補；即使已套用，也要檢查上傳資料夾、CMS 區塊與管理員帳號是否有入侵跡象。
Brotli 漏洞 CVE-2026-111497（Node2Shell）：如何檢查 Node.js、Python 與 .NET，以及需要更新什麼
2026 年 10 月 21 日（美國時間），Google 發布 Brotli 1.2.1、1.1.1 與 1.0.10，修補官方 Brotli 函式庫中的越界寫入漏洞 CVE-2026-111497。受影響的是 Brotli 1.0.3–1.0.9、1.1.0 與 1.2.0。解壓縮惡意構造的 Brotli 資料可能破壞記憶體，導致當機、記憶體內容外洩，甚至可能導致任意程式碼執行。Google 依 CVSS v4.0 將其評為 9.2。Node.js 於同一天發布 22.23.4、24.22.1 與 26.12.1，10 月 22 日 PyPI 套件也在 brotli 1.2.1 與 brotlicffi 1.2.1.0 中完成修補。Microsoft 於 10 月 25 日（美國時間）發布 .NET 8、9 與 10 的修補（8.0.33、9.0.22、10.0.14），Bun（1.4.4）與 Envoy 也已發布修補。日本電腦緊急應變小組 JPCERT/CC 於 10 月 26 日發布警示，其中提到 Node2Shell 與 HTTP2Shell 這兩個別稱。許多程式自帶 Brotli 副本，因此更新作業系統的函式庫並不能修補官方 Node.js 建置、來自 PyPI 的 Python wheel、容器映像檔或單一檔案執行檔中的副本。10 月 27 日（美國時間），CISA 以存在主動利用的證據為由，將其加入已知遭利用漏洞（KEV）目錄，並要求美國聯邦機關於 11 月 10 日前完成修補。CISA 未公布細節。一家威脅情報公司回報觀察到針對 Node.js 24.22.0 的攻擊流量，但該流量在該公司自己的測試中並未成功，而 Microsoft 仍將此漏洞標示為未遭利用。新聞媒體報導指出概念驗證程式碼已經公開。本站結論：若 Node.js、Bun、Python 或 .NET 服務會解壓縮從外部收到的資料，請不要等待維護時段，今天就更新，然後重新建置容器與執行檔。 WordPress 與 PHP 網站：資安公司於 11 月 2 日說明，這不是 WordPress 核心、外掛或佈景主題的缺陷，因此更新 WordPress 並不能修補它。WordPress 不內建 Brotli，而是使用作業系統的函式庫，因此請更新作業系統的 libbrotli 套件、重新建置容器，並在之後重新啟動 PHP-FPM 或 Apache（重新啟動為本站補充）。其中一家公司在實驗室中透過 XML-RPC pingback 重現了程式碼執行，並稱截至 11 月 2 日未發現有關 WordPress 網站實際遭入侵的公開報告。
Nextcloud 內建 Collabora CODE 伺服器 CVE-2026-110447 遭利用：影響範圍與處置方式
2026 年 10 月 14 日，Collabora Online 開發者揭露 CVE-2026-110447，這是 Nextcloud 應用程式 Collabora Online - Built-in CODE Server（應用程式 ID richdocumentscode）中無需驗證的作業系統指令注入漏洞。透過該應用程式的 proxy.php，指令可以以網頁伺服器使用者的身分執行。條件是內建 CODE 伺服器未在執行，這可能發生在容器重新啟動、升級或當機之後。26.4.303 之前的版本受影響；26.4.303 於 9 月 11 日發布。開發者表示停用此應用程式無法防止問題，並要求使用者更新或移除。在已停止維護的 Nextcloud 29 及更早版本上，請更新 Nextcloud 或移除此應用程式。開發者表示，獨立的 Collabora Online 伺服器、Docker 映像檔、RPM/DEB 套件以及 Nextcloud All-in-One 不受影響。CVSS v4.0 分數為 9.2。CISA 於 10 月 23 日將此漏洞加入「已知遭利用漏洞」（KEV）目錄，截止日期為 10 月 26 日。使用者在開發者的儲存庫中回報，約自 9 月 10 日起出現攻擊，據媒體報導，已有網頁後門（web shell）被植入。本站的結論：若已安裝內建 CODE 應用程式，即使已停用，也請今天就檢查其版本，更新或移除，然後檢查自 9 月 10 日起是否有入侵痕跡。
GitLab CVE-2026-110264（CVSS 10.0）與已遭利用的 CVE-2026-97229：如何檢查並更新自架 GitLab
2026 年 10 月 21 日，GitLab 針對社群版（CE）與企業版（EE）發布重大修補版本 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 與 18.11.13。最嚴重的漏洞 CVE-2026-110264（CVSS 10.0）是在編譯特製正規表示式時發生的整數溢位，在特定條件下，未經驗證的使用者可能藉此在 GitLab 伺服器上執行任意程式碼。自 7.0 起幾乎所有版本都受影響。10 月 29 日，CISA 將與之相近的漏洞 CVE-2026-97229（CVSS 10.0，CWE-190）列入已知遭利用漏洞（KEV）目錄，處置期限為 11 月 1 日。它是同一類漏洞（CI/CD 正規表示式編譯器中的整數溢位，未經驗證的使用者即可觸及），GitLab 已於 10 月 12 日在 19.4.2、19.3.5 與 19.2.8 中修復，僅影響 19.2.0 至 19.2.7、19.3.0 至 19.3.4 與 19.4.0 至 19.4.1。仍低於 19.4.2、19.3.5 或 19.2.8 的執行個體，暴露在一個已遭利用的漏洞之下。升級到本文建議的版本（19.5.1、19.4.3、19.3.6、19.2.9）同樣可以修復 CVE-2026-97229。GitLab.com 已完成修補，自架執行個體需要升級。10 月 21 日的同一次發布還修復了兩個高風險漏洞（CVSS 8.2 與 7.5）以及其他漏洞，但這些修補僅在 19.3.6、19.4.3 與 19.5.1 版本線中提供。問題的根源在於 Ruby 的正規表示式引擎（Onigmo），Ruby 於 10 月 23 日發布了 4.0.9、3.4.12 與 3.3.13。從攻擊者可控字串編譯正規表示式的應用程式會受影響，而 Regexp.timeout 無法防護這些錯誤。GitLab 的公告未說明 CVE-2026-110264 已遭利用，截至 10 月 30 日它也不在 KEV 中。Alpine Linux 報告稱，其自己的 GitLab 在 10 月 20 日和 21 日遭到透過 CVE-2026-97229 的攻擊嘗試，並且只升級 GitLab（到 19.3.6）沒有堵住該漏洞，因為修復還需要打過修補的 Ruby；它重建了該執行個體，並未發現攻擊者程式碼被執行的證據。本站的結論：核對必須經過的升級停靠點後，今天就升級自架 GitLab，最終升級到 19.3.6 或更高版本；如果您自行建置 GitLab 或執行自己的 Ruby，也請確認 Ruby 為 3.3.13、3.4.12 或 4.0.9 或更高版本。Ruby 應用程式應升級到已修正的 Ruby，並停止從使用者輸入建構正規表示式。
VeloCloud Orchestrator CVE-2026-114625 已遭利用:修正版本與檢查重點
2026 年 10 月 22 日,Arista 揭露 CVE-2026-114625。這是其 SD-WAN 管理平台 VeloCloud Orchestrator(VCO)地端版的 SQL 注入漏洞(CVSS v4.0 9.4,v3.1 9.9)。Arista 表示該公司偵測到此問題,且已知正遭活躍利用。任何通過驗證的使用者,即使是最低的內建租戶角色(Enterprise Read Only),都可取得操作員權限,並冒充本地超級使用者操作員。修正版本為 5.2.3.18、6.1.3.10 與 6.4.2.12。公告指出,未列出的版本不受影響;7.0 系列未列出,也未說明原因。託管版 VCO(含 Dedicated)已完成修補。CISA 於 10 月 23 日將此漏洞加入已知遭利用漏洞(KEV)目錄,期限為 10 月 26 日。這是三個月內第三個遭利用的 VCO 漏洞,前兩個是 7 月的 CVE-2026-16812(作業系統命令注入,免驗證,CVSS 10.0)與 9 月的 CVE-2026-93952(輸入驗證不當,免驗證,CVSS v3.1 10.0)。本站結論:自行架設 VCO 的組織,今天就應升級到所屬版本系列的最新修正版本,將管理介面限制在受信任的管理網路,並在升級前保存日誌、檢查是否遭入侵。
2026 年 10 月中旬遭利用的邊緣設備漏洞：Ivanti、PAN-OS、FortiOS、Cisco
2026 年 10 月 13 日至 16 日，CISA 將四個廣泛部署的邊緣設備（位於網路與網際網路邊界的設備）漏洞加入已知遭利用漏洞（KEV）目錄：Ivanti Connect Secure CVE-2026-104935（驗證繞過，無需登入，CVSS 8.6）、Palo Alto Networks PAN-OS CVE-2026-0322（管理介面程式碼執行，需高權限登入，CVSS v4.0 8.6）、Fortinet FortiOS 及相關產品 CVE-2025-61624（路徑穿越，需管理員登入，CVSS 6.0），以及 Cisco Secure Email Gateway CVE-2026-76519（任意檔案寫入，無需登入，CVSS 9.8）。Atlassian Data Center CVE-2026-21589（檔案讀取，無需登入）於 10 月 15 日接續列入。聯邦機關的所有期限均已過。本站的結論：若您使用這五項產品中的任何一項，請於今日升級至已修復版本，將管理存取限制在管理網路，並在升級前先檢查是否已遭入侵。
eMudhra（emSign）中繼 CA 金鑰外洩：Python 使用者必須對 pip、certifi 與 uv 做什麼
2026 年 10 月 17 日，有報告指出，印度憑證機構 eMudhra 的八張中繼憑證私鑰（其中六張用於 TLS）產生方式極為不當，任何人都可能還原。eMudhra 於 10 月 18 日撤銷全部八張憑證；Chrome 與 Firefox 則在 10 月 17 日透過各自的推送機制封鎖這些憑證。10 月 20 日，Mozilla 決定緊急移除其上層根憑證 emSign ECC Root CA - G3 的信任，Chrome 將於 10 月 27 日（太平洋時間）移除。瀏覽器已受保護，但瀏覽器以外的 TLS 用戶端，在更新自身 CA 清單之前，仍可能信任偽造的憑證。在 Python 中，pip 一律載入其內建的 certifi，因此即使作業系統的信任儲存區已修正，舊版 pip 仍然暴露在風險中。Python 專案於 10 月 20 日發布通知（於 10 月 22 日更新），要求使用者升級至至少 certifi 2026.10.19、pip 26.2.2、uv 0.13.4、sigstore 4.5.1、conda 26.9.4 與 pixi 0.82.1，並在不使用層快取的情況下重建容器映像檔。10 月 21 日，他們發布內含 pip 26.2.2 的 Python 3.15.1、3.14.9 與 3.13.17。3.11 與 3.12 不會再推出內含較新 pip 的版本。這並非 CPython 的程式碼執行漏洞：位於網路路徑上的攻擊者可以將連往 PyPI、python.org 及其他網站的連線導向假伺服器。截至 10 月 24 日，尚未有任何遭利用的公告。10 月 22 日，eMudhra 表示將退出全球 SSL/TLS 憑證業務。本站的看法：在每個環境中將 pip 升級至 26.2.2 或更新版本、certifi 升級至 2026.10.19 或更新版本，在不使用快取的情況下重建 Docker 映像檔，並提高鎖定檔中所有 certifi 的版本釘選。
SiteGuard Server Edition 的 CVE-2026-106931 已遭利用：誰受影響、該怎麼做
2026 年 10 月 14 日，EG Secure Solutions 公布 CVE-2026-106931，這是其主機型網頁應用程式防火牆（WAF）SiteGuard Server Edition 統計功能中的作業系統命令注入漏洞，並表示已確認有人利用。攻擊成功時，可能以 root 或 SYSTEM 權限在執行該產品的伺服器上執行任意作業系統命令。受影響的是 Ver2.20 以後且啟用統計功能的版本（預設為啟用）：Ver8.00 Update5 之前的 Apache、Nginx 與 IIS 版，以及 Ver7.00 Update6 之前的 FreeBSD Apache 與 Nginx 版。IIS 版 Ver3.10 至 Ver4.00 Update4 不受影響。修正版本為 Ver8.00 Update5 與 Ver7.00 Update6；無法升級的系統可使用修補程式，已終止支援的版本也包含在內。廠商將此漏洞評為本機攻擊途徑、需低權限（CVSS v3.0 7.8、v4.0 8.5）。JPCERT/CC 發布警示，表示已確認該產品在日本被廣泛使用，且停用統計功能可避開此問題。CISA 於 10 月 20 日將此漏洞列入已知遭利用漏洞（KEV）目錄，期限為 10 月 23 日。本站的結論：若您使用 Server Edition，請今天就確認版本與統計功能，更新前先保存診斷資料，再套用修正版本或修補程式。
【快訊】PHP 漏洞 CVE-2026-109618 與 CVE-2026-109619 已遭利用，列入 CISA KEV 目錄：請立即更新至 8.5.12、8.4.27、8.3.36 或 8.2.35
2026 年 10 月 21 日，PHP 安全團隊發布 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35，修補兩個可能允許未經驗證遠端程式碼執行（RCE）的嚴重漏洞，並敦促所有使用者立即更新。CVE-2026-109618 涉及記憶體不足（out-of-memory）處理，CVE-2026-109619 涉及請求之間殘留的過期內部狀態；依 CVSS v4.0 兩者皆為 9.2 分。所有處理網頁請求的 PHP 安裝都有風險（PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed）。該團隊認為 mod_php 風險最高，並引用一個已示範的攻擊程式：未經驗證的請求會在任何應用程式碼執行前就觸發攻擊。PHP 8.1 及更舊版本不會獲得官方更新；該團隊為 7.4、8.0 與 8.1 提供了最小化的原始碼回補修補程式。Linux 發行版已提前取得修補程式。目前沒有完整的緩解方式，更新是唯一安全的選擇。10 月 22 日，日本 IPA 與 JPCERT/CC 發布警示，JVN 發布 JVNVU#99905564。CISA 在首次發布警示時尚未觀察到遭利用，但已於 10 月 26 日將這兩個漏洞列入其已知遭利用漏洞（KEV）目錄，並為美國聯邦民事機構設定 10 月 29 日的期限。據媒體報導，一名資安研究人員以 mod_php 執行未修補 PHP 8.4.26 的蜜罐系統，於 10 月 24 日遭成功遠端程式碼執行。一家大型雲端供應商的蜜罐系統在揭露前四天（10 月 17 日）就已看到遭利用的嘗試。就本站所能查到的範圍，截至 10 月 27 日，尚無蜜罐系統以外的入侵事件被公開。多數日本主要共享主機業者已宣布修補已套用，但部分業者（例如 KAGOYA）尚未宣布。10 月 23 日，PHP 團隊揭露第三個問題（CVE-2026-115560），該問題未被 10 月 21 日的版本修補。它只有在特定的設定與應用程式碼組合下才可能導致程式碼執行；該團隊認為實際上不太可能發生，將於下一個例行版本中提供修補與完整公告，並建議在此之前設定 session.upload_progress.enabled=0。受影響版本與 CVSS 分數尚未公布，也沒有任何遭利用的通報。截至 10 月 29 日（在 php.net 上查看），此問題的修補版本尚未發布。10 月 28 日，CISA 還將 Linux 核心漏洞 CVE-2026-46300 列入 KEV（美國聯邦機構的期限為 10 月 31 日），並表示它可以與這兩個漏洞串聯，用於植入 PHP webshell 並以 root 身分執行指令。本站的看法：遭利用現已獲得確認，請確認你或你的主機業者是否為各網站更新 PHP，並今天就升級至修補版本。同時請檢查 10 月 17 日起的日誌，尋找入侵跡象。若使用共享主機，請在業者官方網站查看其完成公告。
MOVEit 大規模資料外洩（2023）—— SQL 注入零時差漏洞波及 2,700 多家組織的原因與防禦
入口是面向網際網路公開的檔案傳輸產品 MOVEit Transfer 的 SQL 注入零時差漏洞（CVE-2023-34362）。攻擊者植入 Web shell（LEMURLOOT），從後端資料庫批量竊取資料，致 2,700 多家組織、約 9,330 萬人的資料外洩。許多受害者是因為委外廠商、合作方使用了 MOVEit 而被間接牽連。在你的環境中，可透過 KEV 即時修補、最小化暴露面、Web↔DB 的最小權限與隔離、委外廠商盤點與資料最小化來防範。
CORS 是什麼 — 原理，以及設定錯誤（CORS misconfiguration）會引發什麼
CORS 是瀏覽器用來控制「其他來源的 JS 能否讀取自己 API 回應」的機制。設定錯誤＝反射任意 Origin，或把 Access-Control-Allow-Origin:* 與認證資訊同時使用，會導致第三方網站讀取到已登入資料。基本的防禦是採用白名單方式、不要不加判斷地反射 Origin、預設拒絕。
工作階段固定（Session Fixation）是什麼 — 讓使用者用攻擊者準備好的 ID 登入的漏洞
工作階段固定是攻擊者預先準備一個已知的 session ID 讓受害者使用，待其登入後用該 ID 冒充受害者的攻擊。主要的防禦是『每次登入（以及權限變化）時都重新產生 session ID』。禁止從 URL 接收 ID，並為 Cookie 設定 HttpOnly/Secure/SameSite。
什麼是點擊劫持？把透明頁面疊在另一個頁面上、誘導你按下其中按鈕的攻擊
點擊劫持是用透明的 iframe 把自己的網站疊加到另一個網站上，誘導使用者執行非本意操作（轉帳、修改設定、同意授權）的攻擊。主要的防禦是不讓自己的網站被嵌入到他站的框架裡：CSP frame-ancestors 與 X-Frame-Options。
IDOR 是什麼：改寫 ID 就會暴露他人資料的漏洞
IDOR 是一種僅靠把 ?id=124 改成 125 就能看到他人發票、個人資訊的存取控制缺陷漏洞。主要的防禦是「在伺服器端每次校驗『目前登入的這個使用者，是否可以查看該物件』」。難以猜測的 ID 並不能算作對策。
什麼是開放重新導向（open redirect）：把使用者從你受信任的 URL 轉到別的站點的漏洞
開放重新導向是指可以在 ?next= 等跳轉目標參數裡塞入外部 URL，從而借用受信任網域把使用者轉到別的站點的漏洞。它會被用於 phishing。主要的防禦是：跳轉目標不接收外部 URL，只允許相對路徑或允許清單。
路徑遍歷是什麼 — 用 ../ 讀取伺服器上「本不該交出的檔案」的漏洞
路徑遍歷是一種在檔名輸入中混入 ../，從而逃出基準目錄、讀寫 .env、設定、金鑰等的漏洞。主要的防禦是「不把使用者輸入直接用作檔案路徑」「先正規化再將其限制在基準目錄內」。
CSRF（跨站請求偽造）是什麼：讓登入中的使用者發出非本意請求的攻擊
CSRF 是一種擅自讓登入中使用者的瀏覽器發出「並非本人本意的操作」的攻擊，它濫用了瀏覽器自動傳送 Cookie 的特性。主要的防禦是 CSRF Token＋SameSite Cookie。不用 GET 來改變狀態同樣重要。
什麼是 SQL injection（SQLi）：讓輸入能改寫資料庫命令的漏洞
SQLi 是一種讓輸入被當作「命令的一部分」而非「資料」來解釋、從而改變資料庫查詢含義的漏洞，直接導致資料被讀取、被竄改、被全部刪除。主要的防禦是「停止字串串接，用佔位符（prepared statement）傳值」。
XSS（跨站指令碼）是什麼：讓攻擊者的指令碼在其他使用者瀏覽器中執行的漏洞
XSS 是一種讓攻擊者準備的字串「作為指令碼」在另一名使用者的瀏覽器中被執行的漏洞，直接導致工作階段被竊取與冒充。主要的防禦是「輸出時跳脫」。不破壞框架的自動跳脫是最有效的對策。
什麼是 CVE？給漏洞分配全球通用識別碼的機制
CVE 是給漏洞分配的全球通用識別編號（例如 CVE-2025-12345）。它讓所有人能用同一個名字引用同一個漏洞，是對策與監控的起點。CVE＝名字、CVSS＝嚴重程度、KEV＝是否正被利用，職責各不相同。對個人而言，用機器監控來追蹤才實際。
CVSS 是什麼？漏洞嚴重程度的分數，以及它的計算方式
CVSS 是用 0.0～10.0 表示漏洞嚴重程度的通用分數。分數由「攻擊途徑・複雜度・所需權限・使用者互動・影響範圍・CIA」這些既定指標透過公式算出。懂了標準就能讀懂 10.0 的含義。不過優先順序還要結合 KEV（是否正被利用）和你自己是否在用來一起判斷。
什麼是 RCE（遠端程式碼執行）——為什麼它是最糟一類的漏洞
RCE 是一種讓攻擊者能在伺服器上執行任意程式碼的漏洞。它不止於資訊外洩，而是直接通向被接管，屬於最糟一類。被害範圍由「該程序的權限」決定。防禦的關鍵在於迅速更新、CVE 監控、最小權限。
什麼是 SSRF（伺服器端請求偽造）
SSRF 是利用外部輸入的 URL，讓伺服器去存取內部資源（內部 IP 或雲端中繼資料）的攻擊。只要做了去取得 URL 的功能，就必須有目標 allowlist、內部網路阻斷，以及防範重新導向 / DNS 重新解析的繞過手法。它也是 Capital One 事故的起因。
Equifax 資訊外洩事件（2017）——未修補的 Apache Struts 導致 1.47 億人外洩的原因與防禦
原因是『把已經發布修復修補程式的已知 CVE（CVSS 10.0）沒有套用到公開系統上』。監控設備因憑證失效導致長達 76 天都沒察覺資料外帶，使損失擴大。在你的環境裡，要用資產盤點、修補 SLA、機器監控、偵測健全性來防止重演。
Heartbleed（CVE-2014-0160）——OpenSSL 漏洞洩漏伺服器記憶體的事件
OpenSSL 的記憶體越界讀取，可能洩漏私鑰乃至工作階段的事件。根源是回傳的記憶體比請求長度更多的實作錯誤。教訓是按已外洩處理（重新簽發憑證、徹底更換金鑰與機密）、監控被廣泛使用的基礎函式庫，以及重視記憶體安全。
Log4Shell（CVE-2021-44228）——日誌函式庫的漏洞，以及為何團隊無法迅速確認自己是否在用
Log4j 的漏洞（CVSS 10.0）。核心問題在於經由間接相依（傳遞性相依），在不知不覺中正在使用。日誌輸出這一被動處理成了攻擊通道。SBOM 與相依套件的機器化監控、迅速修補、對後續 CVE 的追蹤，都是教訓所在。
XZ Utils 後門（CVE-2024-3094）——由受信任的共同維護者發動的供應鏈攻擊
壓縮函式庫 xz 中被一名贏得信任的維護者植入了後門的供應鏈攻擊。一名技術人員注意到登入變慢，在即將進入穩定版的前一刻發現了它。被瞄準的不是程式碼，而是人與信任。教訓是：把相依套件最小化、固定版本、提高可重現性、追蹤違和感、支援維護者。