弱點名稱

PHP：PHP Runtime Remote Code Execution Vulnerabilities (PHP2Shell) (Critical) (Updated)

►  摘要：PHP執行環境（runtime）存在兩項嚴重漏洞，合稱PHP2Shell，未經身分驗證之攻擊者可在Web伺服器上執行程式碼；缺陷位於PHP引擎而非應用程式（包含Apache mod_php、PHP-FPM、php-cgi、FrankenPHP與LiteSpeed等）。攻擊者另可在尚未取得程式碼執行前讀取PHP工作行程記憶體（可能含密碼、驗證權杖、API金鑰與憑證）。已觀察到實際攻擊嘗試，部分產品、設備或服務確認受PHP2Shell影響並發布修正，部分組織（如荷蘭政府網站、BambooHR）已先行下線服務。

►  CVE編號：CVE-2026-109618、CVE-2026-109619

►  受影響廠商：PHP Foundation

►  受影響產品：PHP 8.5、8.4、8.3、8.2及更早之各分支（可回溯至PHP 5.4）；凡處理Web請求之PHP皆受影響，含PHP-FPM、Apache mod_php、php-cgi、FrankenPHP與LiteSpeed

►  PHP 8.5請升級至8.5.12以上；8.4請升級至8.4.27以上；8.3請升級至8.3.36以上；8.2請升級至8.2.35以上（8.2預計於2026/12/31終止支援）。

►  PHP 8.1及更舊版本已無官方更新，PHP安全團隊已提供7.4、8.0、8.1之原始碼backport；Linux發行版可能以舊版本號搭載修正，請以套件changelog是否列出CVE為準。更新WordPress、Laravel等應用程式不會更新PHP執行環境，且更新後須重新啟動Apache、PHP-FPM與常駐PHP worker。

►  注意：已被CISA納入KEV（Known Exploited Vulnerabilities），代表已有實際攻擊活動，甚至出現PHP2Shell與Linux核心漏洞（如CVE-2026-46300 IPsec ESP處理缺陷）串接使用，植入PHP webshell並以root權限執行指令。

►  緩解措施（僅供緊急運用，PHP官方指出唯一完整解法為升級）：設定memory_limit=-1（勿以RLIMIT_AS或RLIMIT_DATA取代） 與 session.upload_progress.enabled=0，並重啟所有PHP workers。

►  入侵檢查：留意異常multipart請求後出現記憶體限制錯誤或連續HTTP 500、異常巨大之PHPSESSID回應cookie，以及PHP worker非預期重啟等徵狀。

►  修補說明：PHP於2026/10/21發布緊急安全更新。（詳細請參閱： https://www.php.net/archive/2026.php#2026-10-21-5、https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w、https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp）

Palo Alto Networks：PAN-OS Affected by PHP Vulnerabilities (PHP2Shell) (Critical) (Updated)

►  摘要：Palo Alto Networks公告指出PAN-OS受PHP2Shell影響。漏洞位於管理網頁介面（HTTPS Web UI與XML API），近期已觀察到針對暴露於網際網路之PAN-OS管理介面之實際攻擊，甚至串接近期Linux Kernel漏洞試圖取得完整控制權 （如CVE-2026-46300 IPsec ESP處理缺陷、CVE-2026-98432 TCP IPv4 Use-After-Free等）。

►  CVE編號：CVE-2026-109618、CVE-2026-109619

►  受影響廠商：Palo Alto Networks

►  受影響產品：PAN-OS（PA-Series、VM-Series與Panorama）10.2、11.1、11.2、12.1、12.2各分支

►  受影響與修補版本：12.2低於12.2.4-h1；12.1低於12.1.4-h13、12.1.7-h11、12.1.10-h3；11.2低於11.2.4-h23、11.2.7-h23、11.2.10-h16、11.2.13-h4、11.2.16-h1；11.1低於11.1.4-h38、11.1.6-h40、11.1.7-h12、11.1.10-h36、11.1.13-h16、11.1.16-h4（11.1.7-h12預計10/30）；10.2低於10.2.7-h39、10.2.10-h42、10.2.13-h27、10.2.16-h12、10.2.18-h13。11.2.10-h16僅含PHP修補，11.2.10-h17另含Brotli修補。已終止支援之舊版請升級至支援中之修補版本。

►  注意：已被CISA納入KEV（Known Exploited Vulnerabilities），代表已出現實際攻擊活動，建議儘速套用修補、限制管理介面存取並檢查是否有遭入侵跡象。

►  緩解措施：限制管理介面僅供受信任內部IP存取；可運用Threat Prevention輔助防護（Threat IDs: 543004、97622–97625、97643、97647、97649、97652–97653、97656–97659、97662–97664、97670–97674、97676–97678等，需Applications and Threats內容版本9162以上）。

►  修補說明：Palo Alto Networks於2026/10/21發布，2026/10/29更新。（詳細請參閱： https://security.paloaltonetworks.com/CVE-2026-109618）

Google：Brotli Decoder Out-of-Bounds Write Remote Code Execution Vulnerability (Node2Shell) (Critical) (Updated)

►  摘要：Google Brotli壓縮函式庫之解碼器存在越界寫入漏洞（別名Node2Shell／Broccoli2Shell／Brotli2Shell），應用程式解壓縮攻擊者提供之Brotli資料時，可導致記憶體損毀、當機、記憶體洩漏甚至遠端程式碼執行。受影響範圍涵蓋Node.js、.NET、PHP、Bun、Envoy、Istio、FFmpeg、ClickHouse、Python HTTP用戶端及Linux發行版等下游產品。已有公開PoC，並已觀察到實際攻擊流量。

►  CVE編號：CVE-2026-111497

►  受影響廠商：Google（Brotli專案）及下游廠商

►  受影響產品：Google Brotli 1.0.3至1.0.10之前、1.1.0至1.1.1之前、1.2.0至1.2.1之前；以及內嵌或相依Brotli之下游產品（Node.js 26.x／24.x／22.x、.NET、PHP、VMware Cloud Foundation等）

►  修補版本：Brotli 1.2.1、1.1.1、1.0.10；Node.js 26.12.1、24.22.1、22.23.4（已終止支援之20.x、23.x、25.x同樣受影響且無修補）。下游產品請依各廠商公告更新，並重新建置容器映像與相依套件。

►  注意：已被CISA納入KEV（Known Exploited Vulnerabilities），代表已有實際攻擊活動，後續請持續追蹤。

►  更新資訊：Microsoft .NET 8、9、10、11受影響，已出現PoC概念攻擊程式碼，且據報已遭實際利用。請追蹤Microsoft公告確認更新修補資訊。

►  緩解措施：升級後重新建置並部署，確認執行中之工作負載確實使用已修補元件；是否可被利用取決於應用程式是否處理攻擊者可控之Brotli資料，無法立即更新者可評估停用Brotli編碼／解碼

►  修補說明：Node.js於2026/10/21揭露；各廠商公告於10/24至10/29陸續發布或更新。（詳細請參閱： https://github.com/google/brotli/releases/tag/v1.2.1、https://nodejs.org/en/blog/vulnerability/october-2026-security-releases）

GitLab：CE/EE Regular Expression Compiler Integer Overflow Remote Code Execution Vulnerabilities (Critical) (Updated)

►  摘要：GitLab CE與EE存在數項重大漏洞，包含整數溢位、沙箱逃逸等，未經身分驗證之遠端攻擊者可使伺服器編譯特製之正規表示式，進而在主機上執行任意程式碼。

►  CVE編號：CVE-2026-97229、CVE-2026-110264、CVE-2026-90970、CVE-2026-15723

►  受影響廠商：GitLab

►  受影響產品：GitLab Community Edition（CE）與Enterprise Edition（EE）自管版本、GitLab AI Gateway

►  建議升級至最新修補版本：18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3或19.5.1（10/21發布）。更新包含必須先完成之資料庫遷移，多節點環境可依GitLab提供之程序零停機更新。

►  GitLab AI Gateway請升級至19.2.4、19.3.2或19.4.1。

►  注意：已被CISA納入KEV（Known Exploited Vulnerabilities），代表已有實際攻擊活動，後續請持續追蹤。

►  緩解與檢查：優先更新對外之自管GitLab；審視具有編輯CI/CD設定權限之人員，監控日誌中CI/CD端點之異常請求、Onigmo原生worker當機或Org mode渲染錯誤異常增加之情形。

►  修補說明：GitLab於2026/10/21發布此漏洞。（詳細請參閱： https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/、https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/）

Linux Kernel：TCP IPv4 SYN Receive Race Condition Use-After-Free Vulnerability (Critical) (Updated)

►  摘要：Linux Kernel IPv4 TCP Handshaking存在競態條件 (Race Condition)，可造成IP選項之使用後釋放（use-after-free）。漏洞自Linux 4.4起存在，IPv6不受主要缺陷影響。

►  CVE編號：CVE-2026-98432

►  受影響廠商：Linux核心專案、各發行版等

►  受影響產品：Linux kernel（自4.4起）；Debian、Ubuntu、RHEL、SUSE、Oracle Linux、Amazon Linux等發行版；Sophos Firewall與Sophos SD-RED 20/60

►  修補版本：5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、7.3。

►  各發行版修補資訊，請參閱各廠商公告。

►  部分套用Linux核心的產品已確認受影響，如Sophos Firewall與SD-RED 20、SD-RED 60等。請參閱Sophos公告。

►  緩解措施：目前無廠商支持之替代緩解；有修補之發行版請更新核心並重新開機。停用MPTCP僅可暫時降低已展示攻擊路徑之風險，無法移除漏洞。建議盤點對外之Linux主機、MPTCP監聽埠等。

►  修補說明：CVE於2026/10/15公開，各發行版於10/16至10/29陸續發布更新；Sophos公告於11/02發布並於11/06更新。（詳細請參閱： https://access.redhat.com/security/vulnerabilities/RHSB-2026-016、https://security-tracker.debian.org/tracker/CVE-2026-98432、https://ubuntu.com/security/CVE-2026-98432、https://www.sophos.com/en-us/security-advisories/sophos-sa-20261102-linux-kernel-tcp）

Linux Kernel：XFRM ESP-in-TCP Local Privilege Escalation Vulnerability (Fragnesia) (High)

►  摘要：Linux核心XFRM ESP-in-TCP子系統存在本機提權漏洞（別稱Fragnesia）：skb_try_coalesce()合併socket緩衝區片段時未保留SKBFL_SHARED_FRAG旗標，使由檔案快取支撐之共享分頁被視為可寫入。攻擊者僅需本機存取，無須競態條件，並可利用預設啟用之user與network namespace取得CAP_NET_ADMIN；在執行第三方工作負載之容器環境亦可能造成容器逃逸。CISA指出其可與PHP2Shell（CVE-2026-109618、CVE-2026-109619）串接，植入PHP webshell並以root權限執行指令，近期已有攻擊者以此入侵PAN-OS系統。

►  CVE編號：CVE-2026-46300

►  受影響廠商：Linux核心專案及各發行版

►  受影響產品：Linux kernel 3.9起；Ubuntu、Debian、RHEL、SUSE、CentOS Stream、AlmaLinux、Fedora等發行版；內嵌Linux之設備韌體（例如Siemens SIMATIC S7-1500 CPU 1518(F)-4 PN/DP MFP）

►  修補版本：5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33、7.0.10、7.1。

►  各發行版修補資訊，請參閱各廠商公告。

►  注意：已被CISA納入KEV（Known Exploited Vulnerabilities），代表已有實際攻擊活動，後續請持續追蹤。

►  鑑識提醒：此手法僅修改記憶體中之檔案副本，重新開機可能清除證據，建議先保存鑑識資料。另請同步修補PHP（8.5.12、8.4.27、8.3.36、8.2.35以上）；修補PHP無法修補核心，兩者須同時處理。

►  修補說明：修補於2026/05/13起陸續發布（詳細請參閱： https://canonical.com/blog/fragnesia-linux-vulnerability-fixes-available、https://almalinux.org/blog/2026-05-13-fragnesia-cve-2026-46300/）

WordPress：Core Upgrade Race Condition Remote Code Execution Vulnerability (High)

►  摘要：WordPress核心在更新過程中存在競態條件（TOCTOU，CVE-2026-119977），因暫存升級檔案之路徑可預測且可由網頁存取，未經身分驗證之攻擊者可能在完整套件升級期間達成遠端程式碼執行（研究人員Umut Bayram通報）。Patchstack指出攻擊窗口極短、實務利用困難；Wordfence確認無須帳號。CISA已於2026/11/03將其納入KEV，惟來源未說明受害數量、攻擊活動名稱或成功率。

►  CVE編號：CVE-2026-119977

►  受影響廠商：WordPress（WordPress.org）

►  受影響產品：WordPress Core

►  受影響版本：來源未明確列出（WordPress 7.1.4安全版本共修補22項漏洞；7.0與6.9分支全數受影響，6.8與6.7分支受其中20項影響等），請依官方發行說明確認所用分支。

►  修補版本：WordPress 7.1.4（2026/10/28發布），各支援分支均有對應修補版，例如7.0.8、6.9.11、6.8.12；該版亦更新內建根憑證（因eMudhra撤銷）。

►  注意：已被CISA納入KEV（Known Exploited Vulnerabilities），代表已有實際攻擊活動，後續請持續追蹤。

►  修補說明：WordPress於2026/10/28發布（詳細請參閱： https://wordpress.org/support/wordpress-version/version-7-1-4/）

Zyxel：GS1900 Series Switches Out-of-Bounds Write Remote Command Execution Vulnerability (High)

►  摘要：Zyxel GS1900系列交換器網頁管理介面之CGI程式存在越界寫入漏洞，攻擊者可於登入前（無須密碼）送出特製HTTP請求而執行作業系統指令；此為先前已遭大量利用之CVE-2026-7273的補丁繞過：Zyxel於2026/06發布之「.2」韌體仍存在此漏洞。

►  CVE編號：CVE-2026-107441

►  受影響廠商：Zyxel Networks

►  受影響產品：Zyxel GS1900系列交換器（完整機型清單請見Zyxel公告）

►  修補版本：Zyxel已於2026/10/22釋出「.3」韌體，例如GS1900-8為2.90(AAHH.3)C0、GS1900-24為2.90(AAHL.3)C0；其他機型之韌體版本請見Zyxel公告。

►  緩解措施：限制交換器網頁管理介面，僅供受信任管理網段存取。

►  修補說明：Zyxel於2026/10/22釋出韌體。（詳細請參閱： https://community.zyxel.com/en/discussion/34523/zyxel-security-advisory-for-out-of-bounds-write-vulnerability-in-gs1900-series-switches）

SonicWall：SonicOS SSLVPN SAML Authentication and MFA Bypass Vulnerability (High)

►  摘要：SonicWall SonicOS之SSLVPN服務存在驗證強制不足漏洞，持有其他驗證方式有效憑證之使用者可繞過SAML驗證控制，成功利用亦可能繞過SAML強制之多因素驗證（MFA）。

►  CVE編號：CVE-2026-19868

►  受影響廠商：SonicWall

►  受影響產品：SonicWall SonicOS（Gen7與Gen8防火牆）之SSLVPN

►  SonicOS 7.3.3-7015及更早版本，更新至7.3.4-7013以上版本修補。

►  SonicOS 8.2.2-8015及更早版本，更新至8.2.3-8015以上版本修補。

►  注意：已被CISA納入KEV（Known Exploited Vulnerabilities），代表已有實際攻擊活動，後續請持續追蹤。

►  緩解措施：檢視SSLVPN是否同時啟用SAML與其他本機驗證方式，並收斂至單一強制MFA方式；限制SSLVPN僅供必要使用者；檢查SSLVPN登入紀錄是否有異常驗證方式或來源。

►  修補說明：SonicWall PSIRT於2026/11/06發布SNWLID-2026-0014；CISA同日納入KEV。（詳細請參閱： https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014）