漏洞列入美國網路安全暨基礎設施安全局（CISA）的「已知遭利用漏洞清單」（Known Exploited Vulnerabilities，KEV），就代表它已經不只是理論上的風險，而是真的有人拿來攻擊。
2026 年 10 月底到 11 月初，除了 VPN 與防火牆設備，KEV 還新增了 6 個來自不同領域的漏洞：開發平台、AI 推論平台、檔案傳輸、電商系統、虛擬化平台，以及一個 2024 年的 Apple 舊漏洞。我們來看看各個漏洞影響哪些版本、該怎麼處理。
同一段時間列入 KEV 的 Ivanti、SonicWall、Barracuda、Cisco 設備漏洞，整理在〈Ivanti、SonicWall、Barracuda、Cisco 設備漏洞遭利用：CISA KEV 新增 VPN 與防火牆漏洞整理〉。
6 個漏洞總表
| 產品 | CVE | 列入 KEV | 官方 CVSS |
|---|---|---|---|
| GitLab CE／EE | CVE-2026-97229 | 10 月 29 日 | 10.0 |
| GPUStack | CVE-2026-102895 | 11 月 9 日 | 9.8 |
| IBM Aspera Faspex | CVE-2026-123218 | 11 月 9 日 | 9.8 |
| Adobe Commerce／Magento | CVE-2026-48356 | 10 月 27 日 | 9.6 |
| VMware ESX | CVE-2026-41709 | 10 月 28 日 | 2.7 |
| Apple 多項產品 | CVE-2024-27834 | 11 月 4 日 | — |
列入日期取自 CISA KEV 清單，CVSS 取自各廠商公告。
GitLab：CI/CD 正規表達式可導致遠端執行程式碼
CVE-2026-97229 是 GitLab CI/CD 正規表示式編譯器的整數溢位問題。GitLab 公告說明，在特定條件下，未登入的使用者可以透過特製的正規表示式，在 GitLab 伺服器上執行任意程式碼，嚴重程度 Critical、CVSS 10.0。
| 分支 | 修補版本 |
|---|---|
| 19.4 | 19.4.2 |
| 19.3 | 19.3.5 |
| 19.2 | 19.2.8 |
GitLab 在 10 月 12 日釋出修補版本，GitLab.com 已經修補；自架 GitLab 的單位要自己升級。
CISA 也註明，這個問題的根源在 Ruby 使用的 Onigmo 正規表示式函式庫，其他產品也可能受同一個問題影響，詳情可以看 Ruby 官方說明。
GPUStack：自架 AI 推論平台的驗證漏洞
GPUStack 是開源的 GPU 叢集管理與 AI 模型推論平台。CVE-2026-102895 的問題在於，2.2.0 以前的版本預設會把「看起來來自本機」的請求直接當成內建管理員。
依 GitHub 安全公告，如果前面有同一台主機上的反向代理，或攻擊者偽造 X-GPUStack-Real-IP 標頭，就可能不用登入直接取得管理員權限。CISA 的說明提到，取得權限後可以修改使用者與模型、建立管理員 API 金鑰、讀取工作節點與雲端服務的機密，甚至執行程式碼。
| 項目 | 內容 |
|---|---|
| 受影響版本 | 2.2.0 以前 |
| 修補版本 | 2.2.0 |
| 暫時做法 | 設定 force_auth_localhost=true、在邊界移除用戶端送來的 X-GPUStack-Real-IP 標頭、API 不要放在不受信任的網路 |
資料來源：GPUStack 安全公告 GHSA-gj9m-f8ph-pmhr。
這個漏洞的修補版本在 2026 年 7 月就已經推出，11 月才列入 KEV，代表仍有沒更新的系統被找到並攻擊。
IBM Aspera Faspex：已登入使用者可取得管理員權限
IBM Aspera Faspex 是企業用來傳送大型檔案的平台。依 IBM 公告，CVE-2026-123218 讓已授權的使用者可以送出特製訊息，繞過授權並取得完整管理員權限，IBM 評分 CVSS 9.8。
- 受影響版本：5.0.0 到 5.0.19
- 修補方式：升級到 Linux 版 5.0.19 PL1，並確認 faspex-core 容器映像顯示 Fix Pack 1
- IBM 沒有提供替代的緩解方式
詳細步驟見 IBM 安全公告。
Adobe Commerce／Magento：危險檔案上傳
CVE-2026-48356 是 Adobe Commerce 與 Magento Open Source 的檔案上傳漏洞，可能導致任意程式碼執行，Adobe 評為 Critical、CVSS 9.6，不需要登入。
Adobe 在 2026 年 7 月的 APSB26-73 公告中修補，當時公告寫明尚未發現遭利用；CISA 在 10 月 27 日把它列入 KEV，表示之後出現了實際利用的紀錄。
| 產品 | 修補版本（擇一對應分支） |
|---|---|
| Adobe Commerce | 2.4.4 ～ 2.4.9 各分支的 2026-jul 版本 |
| Magento Open Source | 2.4.6 ～ 2.4.9 各分支的 2026-jul 版本 |
| Adobe Commerce B2B | 1.3.3 ～ 1.5.3 各分支的 2026-jul 版本 |
資料來源：Adobe APSB26-73，完整受影響版本請見原公告。
用 Magento 架設電商網站的讀者，這個要特別留意。
VMware ESX：分數低但已被利用
CVE-2026-41709 是 ESX 的記錄不足漏洞，Broadcom 評為 Low、CVSS 2.7：已經有管理員權限的惡意人士，可以執行某些操作而不留下紀錄。
分數不高，但 CISA 仍把它列入 KEV。實際意義是：攻擊者拿到管理權限後，可以用它來掩蓋行蹤，讓事後調查更困難。
| 產品 | 修補版本 |
|---|---|
| VCF／vSphere Foundation 9.1.x | ESXi-9.1.0.0-25370933 |
| VCF／vSphere Foundation 9.0.x | ESXi-9.0.2.0100-25595025 |
| VMware ESX 8.0 | ESXi80U3j-25429389 |
| VMware Cloud Foundation 5.x | 5.2.4 |
這個漏洞收在 VMSA-2026-0006 公告中，同一份公告還有 vCenter 的兩個 CVSS 9.8 漏洞，建議一起檢查，詳見 Broadcom 安全公告。
Apple：2024 年的舊漏洞，這次才列入
CVE-2024-27834 是 WebKit 的漏洞，已經能任意讀寫記憶體的攻擊者，可以藉此繞過指標驗證（Pointer Authentication）。
Apple 早在 2024 年 5 月的 Safari 17.5 等更新中就已修補，研究者是透過趨勢科技 Zero Day Initiative 回報的 Manfred Paul。CISA 列出的 Apple 公告涵蓋 iOS、iPadOS、macOS、Safari、tvOS 與 watchOS 的更新。
一個兩年前的漏洞現在才列入 KEV，代表仍有沒更新的舊裝置被攻擊。家裡或公司還有很久沒更新的 iPhone、iPad 或 Mac，建議至少更新到廠商仍在支援的最新版本。
CISA 的修補期限
| CVE | 聯邦機構期限 |
|---|---|
| CVE-2026-97229（GitLab） | 11 月 1 日 |
| CVE-2026-48356（Adobe） | 11 月 10 日 |
| CVE-2026-41709（VMware） | 11 月 11 日 |
| CVE-2026-102895（GPUStack）、CVE-2026-123218（IBM） | 11 月 12 日 |
| CVE-2024-27834（Apple） | 11 月 18 日 |
這些期限只約束美國聯邦機構，台灣企業與個人不受約束；但漏洞都已被實際利用，不管期限有沒有過，都應該盡快更新。
參考資料與延伸閱讀
- Known Exploited Vulnerabilities Catalog（CISA）
- GitLab Patch Release: 19.4.2, 19.3.5, 19.2.8（GitLab）
- Regexp fixes for GitLab CVEs（Ruby）
- GHSA-gj9m-f8ph-pmhr（GPUStack）
- IBM Aspera Faspex 安全公告（IBM）
- APSB26-73 Security update available for Adobe Commerce（Adobe）
- VMSA-2026-0006（Broadcom）
- About the security content of Safari 17.5（Apple）
發佈留言