提升資安防護
強化金融交易安全

一、漏洞說明[1][2] Adobe Commerce存在不正確授權（Incorrect Authorization）漏洞（CVE-2026-71362），可能導致權限提升。攻擊者可利用此漏洞取得對敏感資源的較高權限存取，且利用此漏洞無需使用者互動。 二、已揭露攻擊活動說明 1. CISA已納入漏洞利用清單[3]

一、漏洞說明[1][2][3][4] Apple iOS、iPadOS及macOS CoreGraphics存在越界寫入漏洞（CVE-2026-86950），當受影響系統處理惡意特製檔案時，可能造成任意程式碼執行。 二、已揭露攻擊活動說明 1. CISA已納入漏洞利用清單。[5] 2. Apple表示，已有報告指出CVE-2026-86950可能遭用於針對特定個人的高度複雜攻擊。

一、漏洞說明[1] WordPress存在頁面範本解析漏洞（CVE-2026-87902）。未經身分驗證的遠端攻擊者可利用get_page_template()頁面範本解析機制，載入使用中佈景主題目錄以外、由攻擊者指定的本機.php檔案；若該檔案可由Web伺服器帳號讀取，且伺服器環境及使用中佈景主題所屬目錄名稱符合特定前置條件，可能進一步造成遠端程式碼執行。 二、已揭露攻擊活動說明 1. CISA已納入漏洞利用清單。[2]

一、漏洞說明[1][2] WSO2 多個產品存在身份驗證繞過漏洞（CVE-2026-5430），當使用不受支援的演算法對Token進行簽署時，JWT身份驗證可能會被繞過，導致未經授權的存取。 二、已揭露攻擊活動說明 1. 資安業者已觀測到相關攻擊嘗試。[3] 2. CISA已納入漏洞利用清單。[4]

一、漏洞說明[1] Microsoft SharePoint存在程式碼注入漏洞（CVE-2026-65660），通過身分驗證的遠端攻擊者可透過網路利用此漏洞執行程式碼。 二、已揭露攻擊活動說明 1. Microsoft已確認此漏洞遭利用。 2. CISA已納入漏洞利用清單。[2]

一、漏洞說明[1] Citrix NetScaler ADC及NetScaler Gateway存在多項漏洞，說明如下： 1. CVE-2026-88771：存在不當輸入驗證漏洞，影響所有NetScaler ADC及NetScaler Gateway部署環境，無需啟用額外功能。未經身分驗證的遠端攻擊者可利用此漏洞執行任意命令。 2. CVE-2026-88772：存在記憶體溢位漏洞，影響已啟用DTLS的環境（VPN vServer預設啟用），成功利用可造成遠端程式碼執行或阻斷服務（DoS）。 3. CVE-2026-88773：存在HTTP請求走私（HTTP Request Smuggling）漏洞，影響已啟用HTTP設定的環境。 4. CVE-2026-88774：因HTTP URL運算式使用不當，導致相關功能政策遭繞過，影響使用HTTP URL運算式設定政策的環境。 5. CVE-2026-88775：存在記憶體溢位漏洞，影響設定為Gateway（SSL VPN、ICA Proxy、CVPN、RDP Proxy）或AAA Virtual Server的環境，成功利用可造成非預期或錯誤行為，或阻斷服務（DoS）。 6. CVE-2026-88776：存在記憶體溢位漏洞，影響設定為Oracle類型Load Balancing（LB）Virtual Server的環境，成功利用可造成非預期或錯誤行為，或阻斷服務（DoS）。 7. CVE-2026-88777：存在記憶體溢位漏洞，影響設定為LB／CS或CGNAT-LSN／NAT64設備，且啟用非HTTP L7協定功能的環境，成功利用可造成非預期或錯誤行為，或阻斷服務（DoS）。 8. CVE-2026-88778：存在TCP初始序號（Initial Sequence Number，ISN）產生機制相關漏洞，可使ISN遭預測，影響已啟用TCP設定的環境。 二、已揭露攻擊活動說明 1. Citrix已確認CVE-2026-88771及CVE-2026-88772遭利用。 2. CISA已將CVE-2026-88771及CVE-2026-88772納入漏洞利用清單。[2]

一、漏洞說明[1] F5 BIG-IP APM存在堆積型緩衝區溢位（Heap-based Buffer Overflow）漏洞（CVE-2026-94127）。當 BIG-IP APM於虛擬伺服器設定Access Policy及OAuth Profile，並作為OAuth Authorization Server使用時，未經身分驗證的遠端攻擊者可透過特製惡意流量利用此漏洞，在受影響系統上執行遠端程式碼。 二、已揭露攻擊活動說明 1. F5已確認此漏洞已遭利用。 2. CISA已納入漏洞利用清單。[2]

一、漏洞說明[1] Arista網路設備管理平臺VeloCloud Orchestrator（VCO）地端部署版本存在不當輸入驗證漏洞（CVE-2026-93952），遠端攻擊者可利用此漏洞存取具權限的內部功能，成功利用可能影響VCO主機及其管理資料的機密性、完整性及可用性。 此漏洞利用條件包括VCO已設定VeloCloud Edge至VCO的憑證式身分驗證、攻擊者取得VeloCloud Edge驗證憑證中的公開部份，以及可透過網路存取VCO Web介面；利用過程不需要VCO tenant或operator登入憑證。 二、已揭露攻擊活動說明 1. Arista已確認此漏洞已遭利用。 2. CISA已納入漏洞利用清單。[2] 三、F-ISAC彙整Arista所提供入侵威脅指標如附檔。