全球網安風險日報

Płatnik 修補更新下載、密碼編碼及登入驗證三項漏洞

本次刊載：2026.10.30 20:10 HKT

事實

CERT Polska 於 10 月 30 日公布 Płatnik 的三項漏洞。CVE-2026-110970 涉及以 HTTP 下載更新、程式庫及支援檔案，可能令中間人截取資料或替換檔案；CVE-2026-110971 涉及容易還原的密碼編碼；CVE-2026-110972 涉及用戶端登入驗證設計，讓可連接同一後端的應用程式實例繞過登入核對。公告指問題已在 10.02.002 版本的 metric 242 修正。

分析

本站分析：Płatnik 用於處理僱員及社會保險資料，更新通道、憑證保護及登入驗證同時出現弱點，可能影響資料保密性、完整性與帳戶控制。官方公告描述的是漏洞條件，沒有表示所有安裝均已被利用。

建議行動

• 盤點 Płatnik 安裝，確認已升級至 10.02.002 metric 242 或更新的官方支援版本。
• 只使用原廠授權渠道更新，並核對下載檔案與簽署／完整性資料。
• 如舊版曾保存或傳送相關憑證，評估更換密碼並覆核後端登入、更新及異常檔案活動。

範圍：波蘭及其他使用 Płatnik 的機構 · 企業軟件與資料保護

事件日期：2026-10-30

資料來源

• CERT Polska · Vulnerabilities in Płatnik software · 來源發布 2026-10-30 · 核實時間 2026.10.30 20:10 HKT

ARKETEAM Protectel 修補檔案上載、權限、SQL 注入及儲存型 XSS 漏洞

本次刊載：2026.10.30 23:31 HKT

事實

CERT Polska 於 10 月 30 日公布 ARKETEAM Protectel 的五項漏洞，影響 PROTECTELMAJ 6.5.19 之前版本及 BDF 6.4.67 之前版本。CVE-2025-68391 涉及任意檔案上載及覆寫臨時目錄檔案；CVE-2025-68392 可讓低權限使用者調用部分管理員功能；CVE-2025-68393 與 CVE-2025-68394 是低權限使用者可觸發的 SQL 注入；CVE-2025-68395 是筆記編輯器的儲存型 XSS。官方表示 PROTECTELMAJ 6.5.19 及 BDF 6.4.67 已修正。

分析

本站分析：這組漏洞同時涉及權限邊界、資料庫查詢及使用者瀏覽器內容。若低權限帳戶被濫用，影響可能由單一帳戶操作擴大至管理功能、資料完整性或其他已登入使用者。公告描述的是漏洞條件，沒有表示已觀察到實際利用。

建議行動

• 盤點 Protectel 的 PROTECTELMAJ 與 BDF 模組，分別確認已升級至 6.5.19 及 6.4.67 或更新的受支援版本。
• 覆核低權限帳戶、管理功能使用、異常資料庫錯誤及筆記內容變更，並移除不再需要的帳戶。
• 升級前限制系統只供受控網絡及必要人員存取；完成後測試登入、管理功能及資料庫相關工作流程。

範圍：使用 ARKETEAM Protectel 的機構 · 漏洞通報

事件日期：2026-10-30

資料來源

• CERT Polska · Vulnerabilities in ARKETEAM Protectel software · 來源發布 2026-10-30 · 核實時間 2026.10.30 23:30 HKT

AWS Private CA Connector for Kubernetes 修正 issuer 授權錯誤，升級前要先核對憑證種類

本次刊載：2026.10.30 08:59 HKT

事實

AWS 於 2026 年 10 月 29 日公布 CVE-2026-119115。受影響版本在特定條件下，原本只獲准使用命名空間級 issuer 的已驗證使用者，可能取得由未獲授權叢集級 issuer 簽發的憑證，包括 subordinate CA 憑證。受影響版本為 aws-privateca-issuer 1.10.1 之前，以及 EKS add-on 1.10.1-eksbuild.1 之前；相應版本已修正。

分析

本站分析：未授權取得叢集級或 subordinate CA 憑證可能削弱 Kubernetes 工作負載身分與信任邊界，為冒充服務或橫向移動創造條件。升級亦會收緊 issuerRef.kind 驗證，依賴舊有寬鬆解析的憑證可能停止續期，因此安全修補與服務連續性要一併規劃。

建議行動

• 盤點 CertificateRequest、Certificate 及 Ingress，明確設定 issuerRef.kind 為 AWSPCAIssuer 或 AWSPCAClusterIssuer，並確認與實際 issuer 種類一致。
• 升級 aws-privateca-issuer 至 1.10.1 或以上，或 EKS add-on 至 1.10.1-eksbuild.1 或以上。
• 未能立即升級時，同時按 issuer 名稱及種類限制 approval policy 與 Kubernetes RBAC，並檢查異常憑證簽發。

範圍：全球使用 AWS Private CA Connector for Kubernetes 的機構 · 雲端身分與 Kubernetes

事件日期：2026-10-29

資料來源

• Amazon Web Services · CVE-2026-119115 - Incorrect authorization in issuer resolution in AWS Private CA Connector for Kubernetes · 來源發布 2026.10.30 00:30 HKT · 核實時間 2026.10.30 08:58 HKT

Delinea Privilege Manager Windows Agent 高權限遠端執行漏洞已修補

本次刊載：2026.10.30 11:10 HKT

事實

Delinea 於 2026 年 10 月 29 日發布 CVE-2026-92744 安全公告。公告指出，Privilege Manager on-premises 與 cloud 的 Windows Agent 在特定條件下，可能讓未經驗證的遠端攻擊者以 LocalSystem 權限執行任意程式碼。受影響版本包括 10.1.0 至 12.0.5796，以及 13.0.0 至 13.0.1058；Delinea 建議分別升級至 12.0.5804 或 13.0.2064 及以上版本。

分析

本站分析：這類端點權限管理代理通常具備高權限，若暴露於可達網絡，漏洞的業務影響會高於一般應用程式缺陷。官方 CVSS v4.0 評分為 8.7，但實際風險仍取決於代理版本、網絡可達性及部署方式。官方公告未表示漏洞已遭實際利用，因此不作此推論。

建議行動

• 盤點所有 Windows 端點上的 Privilege Manager Agent 版本，識別 12.0.5796 或以下及 13.0.1058 或以下版本。
• 依官方指引升級至 12.0.5804、13.0.2064 或更高版本，完成後重新核對實際安裝版本。
• 未能即時升級時，按 Delinea 發布說明透過群組原則或裝置管理限制 TCP 5593 的入站存取，並評估對現有 on-premises 管理通訊的影響。

範圍：按來源所述

資料來源

• Delinea · Delinea Privilege Manager agent unauthenticated remote code execution vulnerability - CVE-2026-92744 · 來源發布 2026-10-29 · 核實時間 2026.10.30 11:10 HKT
• Delinea · Privilege Manager 13.0.1 Release Notes · 來源發布 2026-10-02 · 核實時間 2026.10.30 11:10 HKT

Chrome 156 穩定版修補 21 項安全問題，包括一項嚴重 MediaStream 記憶體漏洞

本次刊載：2026.10.30 14:14 HKT

事實

Google Chrome 團隊於 2026 年 10 月 29 日發布桌面版 Stable／Extended Stable 更新：Windows 與 macOS 為 156.0.8078.79／.80，Linux 為 156.0.8078.79，並按批次推出。更新包含 21 項安全修正，包括列為 Critical 的 CVE-2026-76024（MediaStream 記憶體損毀），以及多項涉及 FileSystem、Autofill、CacheStorage、Network、V8、DOM、Blink、Skia 等元件的 High 風險問題。原廠公告沒有表示這批漏洞已遭實際利用。

分析

本站分析：瀏覽器持續處理來自互聯網的不可信內容，記憶體損毀及釋放後使用問題具有較高端點風險。Chrome 採分批推出，企業不能只依賴『已開啟自動更新』便假設所有裝置已完成修補；實際版本及重啟狀態才是可驗證證據。

建議行動

• 透過瀏覽器管理平台或端點盤點，確認 Windows／macOS 已達 156.0.8078.79／.80，Linux 已達 156.0.8078.79 或更高版本。
• 在相容性測試後加快受管裝置更新，提醒使用者重新啟動瀏覽器以完成套用。
• 對長期離線、停用自動更新或版本落後的裝置建立例外清單並跟進，而非只查看政策是否已設定。

範圍：全球使用 Google Chrome 桌面版的個人及機構 · 作業系統與企業軟件

事件日期：2026-10-29

資料來源

• Google Chrome · Stable Channel Update for Desktop · 來源發布 2026-10-29 · 核實時間 2026.10.30 14:14 HKT
• HKCERT · Google Chrome Multiple Vulnerabilities · 來源發布 2026-10-30 · 核實時間 2026.10.30 14:14 HKT

Aur0ra 勒索行動被發現使用 AI 智能體協助橫向移動與權限提升

本次刊載：2026.10.30 05:08 HKT

事實

Sophos Counter Threat Unit 於 10 月 29 日公布研究，表示其觀察到 Aur0ra 勒索軟件營運者把 AI 智能體用於工具測試及入侵流程。Sophos 評估，人工操作員仍提供目標、憑證及連線條件，而智能體協助網絡與 Active Directory 探索、分析憑證攻擊路徑及執行部分橫向移動；這不是完全自主攻擊。

分析

本站分析：重點不是 AI 取代攻擊者，而是把原本需要較多技術與時間的內網探索、權限分析和重複操作加速。企業若只依賴邊界阻擋，攻擊者取得有效帳戶後仍可能快速尋找網絡共享、備份及高權限帳戶。

建議行動

• 採用抗釣魚 MFA，並覆核 VPN、管理帳戶及服務帳戶的異常使用。
• 分隔重要伺服器與備份環境，限制一般帳戶存取網絡共享及管理介面。
• 把 EDR 告警、Active Directory 枚舉、可疑遠端管理及大量存取共享資料的行為納入快速處置。

範圍：全球企業網絡 · 勒索軟件與 AI 攻擊

事件日期：2026-10-29

資料來源

• Sophos Counter Threat Unit · AI used in Aur0ra ransomware testing and execution · 來源發布 2026-10-29 · 核實時間 2026.10.30 05:08 HKT

Microsoft：朝鮮威脅行動者正把生成式及 Agentic AI 納入既有攻擊流程

本次刊載：2026.10.30 05:08 HKT

事實

Microsoft Threat Intelligence 於 10 月 29 日公布研究，指出其追蹤的多個朝鮮威脅行動者已使用 AI 加速偵察、社交工程、虛假身分建立、工具開發及重複分析工作。Microsoft 同時強調，目前觀察到的行動仍由人員主導，未變成完全自主攻擊。

分析

本站分析：金融、加密資產、軟件供應鏈及 IT 服務商屬研究列出的常見目標。AI 可令假履歷、針對性誘餌與技術研究更快產生，企業應把身分核實、招聘流程及開發環境存取控制視為同一條防線。

建議行動

• 對遙距招聘、外判開發及高權限技術職位加入身分與工作地點核實。
• 限制新帳戶及承包商帳戶的初始權限，並監察異常程式庫、雲端及憑證存取。
• 培訓員工辨識高度個人化的社交工程內容，不以文筆自然或視像會議表現作唯一身分證明。

範圍：全球金融、加密資產、IT、軟件供應鏈及政府機構 · AI 威脅情報

事件日期：2026-10-29

資料來源

• Microsoft Threat Intelligence · Tracking AI adoption in North Korean threat actor tradecraft · 來源發布 2026-10-29 · 核實時間 2026.10.30 05:08 HKT

Zimbra 10.1.21 修補兩項郵件介面儲存型 XSS 漏洞

本次刊載：2026.10.30 05:08 HKT

事實

CERT Polska 於 10 月 29 日公布 CVE-2026-66911 及 CVE-2026-66912，指出 Zimbra Collaboration 10.1.21 之前版本存在兩項儲存型跨網站指令碼漏洞，分別涉及附件的 Content-Location 標頭及 Classic UI 回覆郵件時的 From 標頭。CERT Polska 表示問題已在 10.1.21 修正。

分析

本站分析：郵件系統本身是高信任入口；特製郵件若能在使用者瀏覽器內容中執行程式碼，可能令會話或帳戶操作面臨風險。實際觸發條件依介面及使用者動作而定，不能把所有 Zimbra 部署一概視為已遭入侵。

建議行動

• 盤點 Zimbra Collaboration 版本並安排升級至 10.1.21 或更新的受支援版本。
• 在升級前提醒使用者避免開啟不明附件或回覆可疑郵件，並加強郵件過濾。
• 檢視異常管理操作、會話及郵件規則變更；如有可疑活動，按事件程序處理。

範圍：全球使用 Zimbra Collaboration 的機構 · 企業郵件安全

事件日期：2026-10-29

資料來源

• CERT Polska · Vulnerabilities in Zimbra Collaboration software · 來源發布 2026-10-29 · 核實時間 2026.10.30 05:08 HKT

Szafir 電子簽署軟件修補 XXE、路徑穿越及憑證驗證漏洞

本次刊載：2026.10.30 08:11 HKT

事實

CERT Polska 於 10 月 29 日公布 CVE-2026-93570、CVE-2026-93571 及 CVE-2026-106036。公告指出，Szafir 2.0.0 build 708 之前版本分別存在 XML 外部實體處理、更新檔名路徑穿越及 TLS 憑證／主機名驗證問題；三項問題已在 build 708 修正。已停止支援的 Szafir Weryfikująca 亦受 XXE 問題影響，但沒有修正版。

分析

本站分析：電子簽署工具會處理使用者取得的文件並接觸本機資料；特製 XML、更新路徑或未驗證的 TLS 連線可能令本機檔案及更新完整性承受風險。公告描述的是漏洞條件，並不代表所有使用者已遭利用。

建議行動

• 盤點 Szafir 及 Szafir Weryfikująca 的實際版本與用途，將 Szafir 升級至 2.0.0 build 708 或更新版本。
• 停止使用已終止支援且沒有修補的 Szafir Weryfikująca，改用仍受支援的替代流程。
• 在完成更新前，只處理可信來源的簽署檔案，並監察異常更新、外部連線及本機檔案存取。

範圍：全球使用 Szafir 系列軟件的機構 · 企業軟件與電子簽署

事件日期：2026-10-29

資料來源

• CERT Polska · Vulnerabilities in Szafir software · 來源發布 2026-10-29 · 核實時間 2026.10.30 08:11 HKT

Cisco ASA／FTD VPN 漏洞已有實際利用，企業須核對修正版

本次刊載：2026.10.30 02:51 HKT

事實

Cisco 於 10 月 28 日 19:15 GMT 公布 CVE-2026-76418，指出特定 ASA／FTD SSL VPN 配置可能被未登入者觸發設備重新啟動，影響服務。Cisco 已觀察到實際利用，並提供分支修正版。

分析

對依賴公司 VPN 遙距工作的團隊，邊界設備中斷會直接影響營運。是否受影響取決於版本及 VPN 配置，不能把所有 Cisco 設備一概視為有漏洞。

建議行動

• 盤點 ASA／FTD 版本及已啟用的 SSL VPN 配置。
• 按官方修正表及相容性安排升級，保留回復方案。
• 檢查異常重新啟動與連線紀錄；不要為臨時處理而自行削弱身分驗證。

範圍：全球使用相關 Cisco ASA／FTD 配置的機構 · 漏洞通報

事件日期：2026-10-28

資料來源

• Cisco PSIRT · Cisco ASA and FTD SSL VPN denial-of-service advisory · 來源發布 2026.10.29 03:15 HKT · 核實時間 2026.10.30 02:51 HKT

Drupal Commerce Core 存取繞過漏洞已遭實際利用，網店須立即更新並核對訂單

本次刊載：2026.10.30 08:59 HKT

事實

Drupal Security Team 於 2026 年 10 月 28 日發布 SA-CONTRIB-2026-254，確認 Commerce Core 未充分保護部分路由及實體欄位，可能造成影響商戶財務的存取繞過。官方把 CVE-2026-118539 列為高度嚴重，並表示已有實際利用；受影響版本為 2.41 之前，以及 3.0.0 至 3.3.13 之前。

分析

本站分析：電商訂單及價格相關權限被繞過，除了直接交易損失，也可能干擾庫存、履約與財務記錄。這是原廠對漏洞及實際利用的確認，不代表任何指定商戶已受害。

建議行動

• Commerce Core 3.x 升級至 3.3.13 或更新版本；舊分支升級至 8.x-2.41 或更新的受支援版本。
• 核對近期訂單、折扣、付款狀態及異常欄位變更，保留應用程式與支付紀錄作調查。
• 限制管理與部署權限，更新前先建立可驗證備份，更新後測試結帳及回復流程。

範圍：全球使用 Drupal Commerce Core 的網站 · 網站與電商平台安全

事件日期：2026-10-28

資料來源

• Drupal Security Team · Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254 · 來源發布 2026-10-28 · 核實時間 2026.10.30 08:58 HKT

WordPress 7.1.4 安全更新修補升級流程 RCE 風險及多項儲存型 XSS

本次刊載：2026.10.30 05:08 HKT

事實

WordPress.org 於 10 月 28 日發布 7.1.4 安全版本，修補多項問題，包括升級期間可能導致遠端程式碼執行的弱點、數項儲存型 XSS、Interactivity API 的儲存型拒絕服務，以及更新已撤銷的根憑證。官方建議網站立即更新，合資格舊分支的回溯修補仍在陸續推出。

分析

本站分析：網站營運者不能只看到自動更新已啟用便假設完成；外掛相容性、快取、唯讀檔案系統或權限設定都可能令實際版本未更新。升級流程本身涉及 RCE 風險，更應以實際版本和部署紀錄確認。

建議行動

• 核對正式環境的 WordPress 核心實際版本及更新完成時間。
• 更新前保留可驗證備份與回復點，完成後測試登入、表單及主要外掛。
• 如仍使用舊分支，確認相應安全回溯版本已發布並真正安裝。

範圍：全球 WordPress 網站 · 網站與內容管理系統

事件日期：2026-10-28

資料來源

• WordPress.org · WordPress 7.1.4 · 來源發布 2026-10-28 · 核實時間 2026.10.30 05:08 HKT

Node2Shell／Brotli 漏洞新增實際利用警示，不能只等待雲端平台代為修補

本次刊載：2026.10.30 05:08 HKT

事實

Sophos Counter Threat Unit 於 10 月 28 日表示 CVE-2026-111497 已有實際利用報告，並指出 CISA 於 10 月 27 日把漏洞加入已知遭利用漏洞目錄。這項發展補充本站此前報道的 AWS runtime 與容器修補安排；受影響範圍仍取決於產品所採用的 Brotli 實作及版本。

分析

本站分析：新增重點是風險已由理論漏洞轉為實際利用警示。企業除了檢查 Node.js，也應盤點內嵌 Brotli 的應用、容器、代理、文件處理及其他廠商產品；但不能因名稱相同便假定所有環境都可被遠端利用。

建議行動

• 把 CVE-2026-111497 納入緊急資產盤點，優先處理會解碼外部輸入的服務。
• 核對原廠修正版及實際部署版本；容器與自帶函式庫要重新建置及部署。
• 監察處理壓縮內容時的異常崩潰、記憶體錯誤及可疑子程序，並保留事件證據。

範圍：全球使用受影響 Brotli 實作或相關產品的機構 · 已遭利用漏洞

事件日期：2026-10-28

實質更新：Sophos 於 2026-10-28 報告實際利用,並確認 CISA 已於 2026-10-27 把 CVE-2026-111497 加入 KEV;這是相對本站 10 月 29 日 AWS 修補安排的實質風險更新。

前次日報

資料來源

• Sophos Counter Threat Unit · ‘Node2Shell’ vulnerability (CVE-2026-111497) in active exploitation · 來源發布 2026-10-28 · 核實時間 2026.10.30 05:08 HKT

Jenkins 核心修補多項高風險漏洞，舊版可涉及 RCE、任意檔案讀寫及管理員帳戶風險

本次刊載：2026.10.30 08:11 HKT

事實

Jenkins Security Team 於 10 月 28 日發布核心安全公告，列出多項高風險漏洞。受影響範圍包括 Jenkins 2.587 及之前版本、LTS 2.580.1 及之前版本；問題涵蓋 XStream 反序列化過濾繞過、代理啟動命令批准繞過、符號連結與路徑處理、設定精靈競態及多項儲存型 XSS。官方已在 Jenkins 2.588 及 LTS 2.580.2 修正。

分析

本站分析：Jenkins 通常能存取程式碼、建置憑證、套件庫及部署環境，因此控制器被讀取檔案或執行程式碼的影響可能超出單一伺服器。多數漏洞仍需要已登入或具特定讀取、設定權限，不能把所有 Jenkins 實例一概視為可匿名利用。

建議行動

• 核對控制器實際版本，優先升級至 Jenkins 2.588、LTS 2.580.2 或更新受支援版本。
• 覆核 Overall/Read、Item/Configure、Agent/Configure 等權限，只保留必要人員及服務帳戶。
• 升級後檢查異常設定變更、代理建立、檔案存取及建置憑證使用，並保留可驗證備份與回復方案。

範圍：全球使用 Jenkins 控制器的機構 · 企業軟件與軟件供應鏈

事件日期：2026-10-28

資料來源

• Jenkins Security Team · Jenkins Security Advisory 2026-10-28 · 來源發布 2026-10-28 · 核實時間 2026.10.30 08:11 HKT

Veeam Backup for Microsoft 365 修補跨租戶資料風險與遠端程式碼執行漏洞

本次刊載：2026.10.30 08:59 HKT

事實

Veeam 於 2026 年 10 月 27 日發布 KB4957，列出 Veeam Backup for Microsoft 365 版本 8 的四項漏洞。其中 CVE-2026-106076 可令已驗證的組織轉移對等端向來源伺服器設定資料庫注入 SQL，造成跨租戶讀寫設定資料，並可在 PostgreSQL 服務帳戶權限下執行程式碼。其餘問題涉及備份伺服器任意檔案讀取、REST API 驗證繞過及安裝期間的本機權限提升。Veeam 指出完整修正版本為 8.6 Patch 1（build 8.6.0.5011）。

分析

本站分析：備份系統通常持有高價值資料、服務憑證及復原權限，若其設定資料庫或管理 API 被濫用，可能削弱備份隔離並增加勒索事件的復原風險。漏洞觸發條件與所需權限各有不同，公告不代表所有部署可被匿名攻擊或已遭入侵。

建議行動

• 盤點 Veeam Backup for Microsoft 365 版本，按原廠程序升級至 8.6 Patch 1（build 8.6.0.5011）或更新受支援版本。
• 覆核組織轉移、聯邦驗證、管理員角色及備份伺服器的網絡存取，只保留必要連線。
• 更新後檢查異常設定變更、REST API 存取及備份工作，並驗證離線或不可變副本可獨立復原。

範圍：全球使用 Veeam Backup for Microsoft 365 的機構 · 備份及復原安全

事件日期：2026-10-27

資料來源

• Veeam · KB4957: Vulnerabilities Resolved in Veeam Backup for Microsoft 365 8.6 · 來源發布 2026-10-27 · 核實時間 2026.10.30 08:58 HKT

EDK II PXE 驅動程式存在開機前遠端程式碼執行風險，網絡開機環境須先隔離

本次刊載：2026.10.30 08:59 HKT

事實

TianoCore 於 2026 年 10 月 22 日發布 GHSA-99cj-7hg9-mp4m，說明 EDK II 的 PXE Base Code 驅動程式在處理過長的 IPv4 或 IPv6 ICMP 錯誤訊息時可能越界寫入。CVE-2026-97631 可在裝置進行 PXE 網絡開機期間，被能向客戶端傳送封包的未驗證攻擊者利用，造成開機中斷或在作業系統載入前執行程式碼；公告當時尚未列出已發布的修正版。

分析

本站分析：漏洞位於作業系統及端點保護啟動之前，會影響佈署、復原及裸機重建所依賴的信任鏈。實際風險取決於韌體是否採用受影響程式碼、是否啟用 PXE，以及攻擊者能否接觸開機網絡；不能把所有 UEFI 裝置一概視為受影響。

建議行動

• 盤點會使用 PXE 的伺服器、工作站、網絡設備及其韌體供應商，向原廠核對是否包含受影響 EDK II 程式碼。
• 不需要網絡開機的裝置停用 PXE；需要者把佈署網絡與一般使用者網絡分隔，限制可傳送至客戶端的流量。
• 追蹤韌體供應商修正並安排更新；在修正前監察異常開機失敗，保留可離線使用的復原媒體。

範圍：全球採用受影響 EDK II PXE 驅動程式的裝置 · 韌體與復原基礎設施

事件日期：2026-10-22

資料來源

• TianoCore / EDK II · Pre-boot RCE in EDK II PXE driver · 來源發布 2026-10-22 · 核實時間 2026.10.30 08:58 HKT

PAN-OS PHP 漏洞 10月29日再更新修正安排，對外管理介面須優先處理

本次刊載：2026.10.30 02:51 HKT

事實

Palo Alto Networks 的 PHP 漏洞公告於 10 月 29 日更新，再確認多個 PAN-OS 分支修正版已發布。公告指出，暴露於互聯網的管理介面已遭實際利用；原通告首次發布日期是 10 月 21 日。

分析

這是既有漏洞的修正進展，不是新發現另一個漏洞。管理介面對外開放的環境應優先處理，並按實際分支核對；不能把 PHP 版本號直接當作 PAN-OS 的修復版本。

建議行動

• 核對設備分支及官方公告最新修正表。
• 限制管理介面只供受控管理網絡或跳板主機存取。
• 安排相容的 PAN-OS 修正版，並檢視異常管理登入與設定變更。

範圍：全球使用受影響 PAN-OS 版本的機構 · 安全更新

事件日期：2026-10-29

實質更新：2026-10-29 原廠確認 10.2.7-h39、10.2.10-h42、11.2.4-h23、12.1.4-h13 及 12.1.10-h3 已發布,移除預計推出日期。

資料來源

• Palo Alto Networks · PHP vulnerabilities: original advisory 21 October; fixed-release update 29 October · 來源發布 2026-10-21 · 核實時間 2026.10.30 02:51 HKT