提升資安防護
強化金融交易安全

一、漏洞說明[1] GitLab Community Edition（CE）及Enterprise Edition（EE）存在6項重大及高風險漏洞，漏洞說明如下： 1. CVE-2026-97229：因CI/CD設定中的正規表示式驗證不足，可能使未經身分驗證的攻擊者透過特製正規表示式，在GitLab伺服器上執行任意程式碼。 2. CVE-2026-92883：因語法醒目提示功能未妥善處理HTML屬性，可能使已通過身分驗證的攻擊者透過特製儲存庫，在其他使用者的瀏覽器工作階段中執行任意JavaScript程式碼。 3. CVE-2026-16301：因下游CI/CD管線建立服務的權限檢查不當，可能使已通過身分驗證且具有Developer角色的使用者，未經授權於受保護分支執行CI/CD管線。 4. CVE-2026-14814：因儲存庫參照資訊驗證不當，可能使攻擊者污染儲存庫原始檔案的快取回應，導致目標使用者的CI/CD管線執行特製內容，並可能造成受保護的環境變數外洩。 5. CVE-2026-81839：因排程CI/CD管線執行政策紀錄未妥善清理，可能使已通過身分驗證的使用者，於專案移轉後利用新群組權限執行任意CI/CD管線。 6. CVE-2026-96893：因GitLab Duo Agent Platform建構AI對話內容時未妥善處理特殊元素，可能使已通過身分驗證的攻擊者將特製內容注入AI代理指令，進而造成非預期的命令執行，且執行行為可能被歸於其他使用者。 二、已揭露攻擊活動說明 1. CISA已將CVE-2026-97229納入漏洞利用清單。[2] 三、SSVC漏洞處置決策方法 1. CVE-2026-97229 利用狀況（Exploitation）：已遭實際利用（Active） 可否自動化利用（Automatable）：是（Yes） 技術影響（Technical Impact）：完全控制（Total） 2. CVE-2026-92883、CVE-2026-14814、CVE-2026-81839、CVE-2026-96893 利用狀況（Exploitation）：未發現利用（None） 可否自動化利用（Automatable）：否（No） 技術影響（Technical Impact）：完全控制（Total） 3. CVE-2026-16301 利用狀況（Exploitation）：未發現利用（None） 可否自動化利用（Automatable）：否（No） 技術影響（Technical Impact）：部分影響（Partial）

一、漏洞說明[1] Cisco Secure Firewall Adaptive Security Appliance（ASA）及Secure Firewall Threat Defense（FTD）軟體的遠端存取SSL VPN服務存在一項阻斷服務漏洞（CVE-2026-76418）。該漏洞源於通道群組設定次要身分驗證時存在邏輯錯誤，未經身分驗證的遠端攻擊者可透過特製請求，使受影響設備非預期重新載入，進而造成阻斷服務（DoS）。 此漏洞須同時符合以下條件方能觸發： 1. 設備已啟用遠端存取SSL VPN服務，且VPN登入服務可供遠端連線存取。 2. 若已啟用Tunnel Group清單（tunnel-group-list enable），任一Tunnel Group（包含預設群組DefaultWEBVPNGroup）須設定第二階段身分驗證（secondary-authentication-server-group）；若未啟用Tunnel Group清單，則須由預設群組DefaultWEBVPNGroup設定第二階段身分驗證。 二、已揭露攻擊活動說明 1. CISA已納入漏洞利用清單。[2] 2. Cisco PSIRT指出本漏洞遭實際利用。 三、SSVC漏洞處置決策方法：[3] 利用狀況（Exploitation）: 已遭實際利用（Active） 可否自動化利用（Automatable）: 是（Yes） 技術影響（Technical Impact）: 部分影響（Partial）

一、漏洞說明[1] Adobe針對Adobe Commerce及Magento Open Source發布安全性更新，修補多項重大及高風險漏洞。成功利用上述漏洞可能導致任意程式碼執行、權限提升或安全機制繞過。 二、已揭露攻擊活動說明 1. 資安業者Sansec指出，攻擊者於2026年3月利用CVE-2026-48356（PolyShell）上傳Webshell，並在1小時內向471家Magento商店植入惡意JavaScript載入程式；同年10月發現該攻擊活動使用具備瀏覽器指紋辨識功能的新版載入程式。[2] 2. CISA已將CVE-2026-48356納入漏洞利用清單。[3] 三、F-ISAC彙整Sansec所提供入侵威脅指標如附檔。 四、SSVC漏洞處置決策方法 1.CVE-2026-48356 利用狀況（Exploitation）：已遭實際利用（Active） 可否自動化利用（Automatable）：否（No） 技術影響（Technical Impact）：完全控制（Total） 2.CVE-2026-48358、CVE-2026-47994、CVE-2026-47995、CVE-2026-47992 利用狀況（Exploitation）：未發現利用（None） 可否自動化利用（Automatable）：否（No） 技術影響（Technical Impact）：完全控制（Total） 3.CVE-2026-47988、CVE-2026-47984 利用狀況（Exploitation）：未發現利用（None） 可否自動化利用（Automatable）：是（Yes） 技術影響（Technical Impact）：部分控制（Partial） 4.CVE-2026-47996 利用狀況（Exploitation）：未發現利用（None） 可否自動化利用（Automatable）：否（No） 技術影響（Technical Impact）：部分控制（Partial）

一、漏洞說明[1][2] Arista網路設備管理平臺VeloCloud Orchestrator（VCO）地端部署版本存在SQL注入漏洞（CVE-2026-114625），經身分驗證的遠端攻擊者可利用此漏洞取得Operator權限，並冒用本機「superuser operator」使用者身分，存取原僅供內部使用且未開放遠端存取的功能，進而可能影響VCO主機及其管理資料的機密性、完整性及可用性。 此漏洞的成功利用須具備VCO Web介面的網路存取權限，以及有效的VCO Portal登入工作階段，最低所需使用者角色為Enterprise Read Only。 二、已揭露攻擊活動說明 1. Arista已確認該漏洞遭實際利用。 2. CISA已納入漏洞利用清單。[3] 三、F-ISAC彙整Arista所提供入侵威脅指標如附檔。 四、SSVC漏洞處置決策方法 利用狀況（Exploitation）: 已遭實際利用（Active） 可否自動化利用（Automatable）: 否（No） 技術影響（Technical Impact）: 完全控制（Total）

一、漏洞說明[1][2][3][4] Google Brotli解碼器存在越界寫入（Out-of-bounds Write）漏洞（CVE-2026-111497）。未經身分驗證的遠端攻擊者可利用特製壓縮資料觸發此漏洞，導致解碼器記憶體損壞，進而造成敏感記憶體資訊洩漏、阻斷服務，或可能執行任意程式碼。 除Node.js外，Python套件brotli及brotlicffi亦已確認受此漏洞影響，其他採用Google Brotli解碼器的軟體則可能因使用受影響版本而存在漏洞風險。 二、已揭露攻擊活動說明 1. CISA已納入漏洞利用清單。[5] 三、SSVC漏洞處置決策方法 利用狀況（Exploitation）: 已遭實際利用（Active） 可否自動化利用（Automatable）: 否（No） 技術影響（Technical Impact）: 完全控制（Total）

一、漏洞說明[1][2] Nextcloud應用程式Collabora Online - Built-in CODE Server（richdocumentscode）存在作業系統命令注入漏洞（CVE-2026-110447）。當內建CODE Server未執行時（例如系統重新啟動、升級或當機後），遠端攻擊者可透過proxy.php利用此漏洞，以Web伺服器使用者權限執行作業系統命令，造成遠端程式碼執行。 二、已揭露攻擊活動說明 1. 本漏洞已於2026年9月至10月期間遭實際利用。 2. CISA已納入漏洞利用清單。[3] 三、SSVC漏洞處置決策方法 利用狀況（Exploitation）: 已遭實際利用（Active） 可否自動化利用（Automatable）: 是（Yes） 技術影響（Technical Impact）: 完全控制（Total）

一、漏洞說明[1] Plex Media Server存在外部控制檔案名稱或路徑漏洞（CVE-2026-96656，CWE-73）。由於系統於轉碼時直接將TranscoderH264Options設定值附加至x264選項字串，具備管理員權限的攻擊者可藉此寫入任意檔案；此外，轉碼程序啟動時未對.so檔案進行數位簽章、執行權限及符號檢查，可能使攻擊者寫入的惡意檔案於載入時執行。 二、已揭露攻擊活動說明 1. Plex確認相關漏洞已遭廣泛利用，受入侵伺服器遭用於執行加密貨幣挖礦程式及代理軟體。[2] 2. 研究人員揭露的Plex2Shell攻擊鏈結合CVE-2026-96652、CVE-2026-96654、CVE-2026-96655及CVE-2026-96656，使未經身分驗證的遠端攻擊者得以Plex Media Server程序權限執行程式碼。[3] 3. CISA已納入漏洞利用清單。[4] 三、SSVC漏洞處置決策方法 利用狀況（Exploitation）: 已遭實際利用（Active） 可否自動化利用（Automatable）: 否（No） 技術影響（Technical Impact）: 完全控制（Total）

一、漏洞說明[1] SiteGuard Server Edition存在作業系統命令注入漏洞（CVE-2026-106931，CWE-78），攻擊者可能利用該漏洞，以root或SYSTEM權限於受影響系統執行任意作業系統命令。 二、已揭露攻擊活動說明 1. JVN已確認該漏洞遭實際利用。[2] 2. CISA已納入漏洞利用清單。[3] 三、SSVC漏洞處置決策方法 利用狀況（Exploitation）: 已遭實際利用（Active） 可否自動化利用（Automatable）: 否（No） 技術影響（Technical Impact）: 完全控制（Total）