資安事件時間軸
這一頁整理 2026 年 4 月 28 日到 2026 年 10 月 26 日 對台灣中小企業有影響的資安事件，共 130 筆，其中 81 筆已被美國 CISA 確認遭到實際攻擊。每一筆都附白話說明、影響對象與原廠公告連結，依事件日期由新到舊排列。
資料只取第一手來源：美國 CISA 的已知遭利用漏洞清單（KEV）、GitHub 安全公告資料庫，以及 PHP、WordPress 官方公告。KEV 只列漏洞，修補版本請以各原廠公告為準；重大事件另寫成資安快訊，告訴你該問誰、要更新到哪一版。
不確定公司的網站或設備在不在清單裡，可以寫信給我們，我們先免費幫你判讀。
2026 年 10 月（22 筆）
PHP 兩個漏洞可讓未登入者遠端執行程式，已遭攻擊
PHP 有記憶體不足時的記憶體損毀漏洞，以及內部請求狀態殘留的漏洞，兩者都可讓未經驗證的攻擊者遠端執行程式碼。
影響對象：以 PHP 執行網站或系統的企業（含 WordPress 等 PHP 架站系統）
修補：依原廠公告更新 編號：CVE-2026-109618、CVE-2026-109619
PHP Windows 版重新建置，更新 Brotli 修補解壓縮越界寫入漏洞
PHP 官方發布重新建置的 Windows 版 8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1，內含修補 CVE-2026-111497（Brotli 解壓縮越界寫入）的 Brotli 1.2.1。在 PHP Windows 版中，若 cURL 擴充功能啟用了自動解壓縮 HTTP 回應（cURL 預設未啟用），就可能觸及有漏洞的解碼器。
影響對象：在 Windows 伺服器上執行 PHP 的企業
修補：8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1（Windows 版） 編號：CVE-2026-111497
PHP 建議暫時關閉 session 上傳進度功能，防範遠端執行程式
PHP 官方建議在下一個例行修補版本前，將 session.upload_progress.enabled 設為 0，以完全防範一個不太可能發生的遠端執行程式碼途徑。只有在設定中把 session.serialize_handler 設為 php_binary 或 php_serialize、又在執行期以 ini_set() 改回 php 後才呼叫 session_start()，且仍啟用上傳進度功能時才會發生。
影響對象：以 PHP 執行網站、且程式會在執行期切換 session 序列化方式的企業
修補：官方將於下一個例行版本修補（暫時設定 session.upload_progress.enabled=0） 編號：CVE-2026-115560
Laravel 的 TokenGuard 驗證可用非字串憑證繞過，屬重大等級漏洞
Laravel 的 TokenGuard 可透過非字串型態的 API 憑證繞過驗證。嚴重度：重大（critical）；受影響版本：>= 13.0.0, < 13.29.0、< 12.68.0。
影響對象：以 Laravel 開發、使用 TokenGuard 做 API 驗證的網站或系統
修補：13.29.0、12.68.0 以上（依所用版本線） 編號：GHSA-f9x3-7vq9-cph6、CVE-2026-114509
Node.js 檔案上傳套件 multer 在請求中斷後可遭阻斷服務攻擊
multer 在請求中斷後若仍有未完成的非同步 fileFilter，可遭阻斷服務（DoS）攻擊。嚴重度：高（high）；受影響版本：>= 2.0.0, < 2.5.0。
影響對象：用 Node.js（Express）開發、以 multer 處理檔案上傳的網站或系統
修補：2.5.0 以上 編號：GHSA-q7qp-rjg7-q26m、CVE-2026-113872
HTML 過濾套件 DOMPurify 兩個過濾繞過漏洞，含重大等級
DOMPurify 在 SAFE_FOR_TEMPLATES 模式下，被拆開的範本運算式會殘留在附加的 shadow root 內容中；IN_PLACE 模式下，若 hook 移除了父節點或兄弟節點，被分離子樹的事件處理器仍會保留（GHSA-p98j-92pf-mc4p 修補不完整）。嚴重度：重大（critical）、高（high）；受影響版本：>= 3.4.4, <= 3.4.16、<= 3.4.16。
影響對象：以 DOMPurify 過濾使用者輸入 HTML 的網站或系統
修補：3.4.17 以上 編號：GHSA-cg2g-xh64-v4q7、GHSA-mrv2-3pqr-j5jr
Next.js 三個漏洞，含兩個未登入即可遠端執行程式的重大漏洞
Next.js 的 `use cache` 函式回傳 typed array 時，以及 Image Optimization API 處理 SVG 檔時，未經驗證者都可遠端執行程式碼；另有 App Router 使用 Server Actions 時的阻斷服務漏洞。嚴重度：重大（critical）、高（high）；受影響版本：>= 10.0.0, <= 15.5.27、>= 16.0.0, <= 16.4.0、>= 13.0.0, <= 15.5.27。
影響對象：以 Next.js 開發的網站或網頁應用程式
修補：16.4.1、15.5.28 以上（依所用版本線） 編號：GHSA-2464-fhr4-w9xw、GHSA-673q-mjm6-r5xr、GHSA-p3m5-59mp-jv5r、CVE-2026-94482
PHP 兩個重大漏洞可讓未登入者遠端執行程式，官方呼籲立即更新
PHP 8.5.12、8.4.27、8.3.36、8.2.35 修補兩個可讓未經驗證者遠端執行程式碼的重大漏洞：記憶體不足的處理可能在內部請求資料只初始化一部分時中斷 PHP，以及請求擁有的內部狀態在記憶體釋放後仍殘留。官方指出所有處理網頁請求的 PHP 環境（含 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed）都有風險，以 mod_php 風險最高。
影響對象：所有以 PHP 執行網站或系統的企業（含 WordPress、Laravel 等）
修補：8.5.12、8.4.27、8.3.36、8.2.35 編號：CVE-2026-109618、GHSA-w8hw-w9fx-j79w、CVE-2026-109619、GHSA-6wmf-4rv5-p3rp
WordPress 官方提醒 PHP 有重大漏洞，網站主機須立即更新 PHP
PHP 修補了兩個重大安全漏洞，WordPress 官方建議站長立即更新 PHP，可在「工具 > 網站健康狀態 > 資訊 > 伺服器」查看所用的 PHP 版本。這些漏洞不是 WordPress 專屬、不需要更新 WordPress；PHP 8.2 以前的版本已不再獲得 PHP 官方的安全更新。
影響對象：使用 WordPress 架設網站的企業（實際更新由主機商或自管主機者處理）
修補：更新 PHP 至官方修補版本（不需更新 WordPress）
開發工具 Vite 內含的 launch-editor 在 Windows 上檔案檢查可被繞過
Vite 內含的 launch-editor 在 Windows 上，以 `fs.existsSync()` 做的檔案存在檢查可被繞過。嚴重度：高（high）；受影響版本：>= 8.3.0, <= 8.3.2、>= 8.2.0, <= 8.2.3、>= 8.0.0, <= 8.1.5、>= 7.0.0, <= 7.3.6、<= 6.4.3。
影響對象：在 Windows 上用 Vite 開發的團隊
修補：8.3.3、7.3.7、6.4.4 以上（依所用版本線） 編號：GHSA-587h-7wmj-h5pm、CVE-2026-112942
Fortinet FortiOS 等產品路徑穿越漏洞，可寫入或刪除檔案，已遭攻擊
FortiOS、FortiPAM、FortiProxy 與 FortiSwitchManager 有路徑穿越漏洞，具管理員設定檔且至少有讀寫權限的已驗證攻擊者，可透過特定 CLI 指令寫入或刪除任意檔案。
影響對象：使用 Fortinet 防火牆（FortiOS）或相關設備的企業
修補：依原廠公告更新 編號：CVE-2025-61624
Atlassian Jira、Confluence 等 Data Center 版檔案不需登入即可被讀取，已遭攻擊
多項 Atlassian 產品（Bitbucket、Confluence、Jira Service Management、Jira Software、Bamboo、Crowd 的 Data Center 版，以及 Crucible 與 Fisheye）有檔案或目錄可被外部存取的漏洞，未經驗證的攻擊者可在受影響版本中讀取網站應用程式根目錄內的特定檔案。
影響對象：自行架設 Jira、Confluence 等 Atlassian Data Center 版的企業
修補：依原廠公告更新 編號：CVE-2026-21589
Cisco 郵件閘道 Secure Email Gateway 路徑穿越漏洞，可寫入檔案，已遭攻擊
Cisco Secure Email Gateway 有相對路徑穿越漏洞，未經驗證的遠端攻擊者可在底層作業系統寫入任意檔案。
影響對象：使用 Cisco Secure Email Gateway 過濾公司郵件的企業
修補：依原廠公告更新 編號：CVE-2026-76519
Palo Alto 防火牆 PAN-OS 程式碼注入漏洞，可取得 root 權限，已遭攻擊
Palo Alto Networks PAN-OS 有程式碼注入漏洞，具網路存取能力的已驗證攻擊者可在防火牆上以 root 權限執行任意程式碼。
影響對象：使用 Palo Alto Networks 防火牆的企業
修補：依原廠公告更新 編號：CVE-2026-0322
Ivanti Connect Secure VPN 驗證繞過漏洞，可遠端執行指令，已遭攻擊
Ivanti Connect Secure 有偽冒身分繞過驗證的漏洞，未經驗證的遠端攻擊者可執行任意指令。
影響對象：使用 Ivanti Connect Secure 作為遠端連線 VPN 的企業
修補：依原廠公告更新 編號：CVE-2026-104935
Windows Shell 指令注入漏洞可透過網路繞過安全功能，已遭攻擊
Microsoft Windows Shell 有指令注入漏洞，未經授權的攻擊者可透過網路繞過安全功能。
影響對象：使用 Windows 電腦的企業
修補：依原廠公告更新 編號：CVE-2026-96951
Apache Struts 2016 年的舊漏洞，指令注入可遠端執行程式，已遭攻擊
Apache Struts 有指令注入漏洞，在啟用動態方法呼叫（Dynamic Method Invocation）時，遠端攻擊者可透過 method: 前綴執行任意程式碼。
影響對象：仍在執行以 Apache Struts 開發之 Java 網站系統的企業
修補：依原廠公告更新 編號：CVE-2016-3081
Next.js 圖片優化功能 Image Optimization 有伺服器端請求偽造漏洞
Next.js 的 Image Optimization 有伺服器端請求偽造（SSRF）漏洞。嚴重度：高（high）；受影響版本：>= 16.0.0, < 16.3.8。
影響對象：以 Next.js 開發的網站或網頁應用程式
修補：16.3.8 以上 編號：GHSA-cjq9-62q9-8jv4、CVE-2026-94483
WordPress 7.1.3 維護與安全性版本，一次修補 7 個安全問題
WordPress 7.1.3 含 7 項安全修補，包括留言管理頁面的儲存型 XSS、WXR 匯出的二階 SQL 注入、未經驗證即可看到私人或未發布文章的留言、Imgur 嵌入的 XSS 等。官方建議立即更新，修補也會回補到仍接受安全修補的舊分支。
影響對象：使用 WordPress 架設網站的企業
修補：7.1.3
Node.js 圖片處理套件 sharp 內含的 SVG 函式庫 librsvg 有安全漏洞
sharp 內含的相依套件 librsvg 有漏洞（CVE-2026-96889）。嚴重度：高（high）；受影響版本：< 0.35.5。
影響對象：用 Node.js 套件 sharp 處理圖片的網站或系統
修補：0.35.5 以上 編號：GHSA-wq5f-xc86-pv6w、CVE-2026-96889
Citrix NetScaler 記憶體緩衝區漏洞可造成服務中斷，已遭攻擊
Citrix NetScaler ADC（原 Citrix ADC）與 NetScaler Gateway（原 Citrix Gateway）有記憶體緩衝區邊界限制不當的漏洞，可能導致阻斷服務。
影響對象：使用 Citrix NetScaler 作為負載平衡或遠端存取閘道的企業
修補：依原廠公告更新 編號：CVE-2026-88779
Fortinet 郵件閘道 FortiMail 路徑穿越漏洞，未登入即可寫入檔案，已遭攻擊
Fortinet FortiMail 有路徑穿越與 NULL 字元處理不當的漏洞，未經驗證的攻擊者可透過特製的 HTTP 或 HTTPS 請求，在底層系統寫入任意檔案。
影響對象：使用 FortiMail 當公司郵件閘道的企業
修補：依原廠公告更新 編號：CVE-2026-104286
2026 年 9 月（31 筆）
Cisco SD-WAN Manager 網址編碼處理漏洞，可取得管理員權限，已遭攻擊
Cisco Catalyst SD-WAN Manager 對 HTTP 請求中的 URI 編碼處理不當，未經驗證的遠端攻擊者可用管理員權限存取受影響系統。
影響對象：使用 Cisco Catalyst SD-WAN 管理多據點網路的企業
修補：依原廠公告更新 編號：CVE-2026-76504
HTTP 套件 Axios 七個漏洞，含請求劫持、SSRF 與阻斷服務
Axios 的 Node HTTP 介面卡與 toFormData 選項有原型污染利用點，可經由繼承的 createConnection 劫持請求連線；fetch 介面卡未落實 maxRedirects: 0 而可藉轉址進行 SSRF，fromDataURI 與 shouldBypassProxy 有正規表示式阻斷服務（ReDoS），HTTP/2 介面卡會繞過設定的 DNS 查詢與代理控制，且初始化時未處理的 error 事件可導致阻斷服務。嚴重度：高（high）；受影響版本：>= 1.13.0, < 1.20.0、>= 1.16.1, < 1.20.0、>= 1.15.2, < 1.20.0、>= 1.15.0, < 1.20.0、>= 1.17.0, < 1.20.0、>= 0.28.0, < 0.34.0、>= 1.15.1, < 1.20.0。
影響對象：用 JavaScript／Node.js 開發、以 Axios 呼叫 API 的網站或系統
修補：1.20.0、0.34.0 以上（依所用版本線） 編號：GHSA-3pq3-5fj3-cg6v、CVE-2026-101898、GHSA-542g-h47m-68v8、CVE-2026-101901、GHSA-c29m-xwm3-cm6r、CVE-2026-101903、GHSA-m8m8-qj5v-23w3、CVE-2026-101905、GHSA-mghh-pgcx-3jjj、CVE-2026-101906、GHSA-r4gj-5m52-g5wh、CVE-2026-101907、GHSA-x97p-jq2g-jp4f、CVE-2026-101909
Next.js 產生社群分享圖的 next/og ImageResponse 可遠端執行程式，屬重大等級
Next.js 的 next/og ImageResponse 有遠端程式碼執行漏洞。嚴重度：重大（critical）；受影響版本：>= 16.2.0, < 16.3.6。
影響對象：以 Next.js 開發的網站或網頁應用程式
修補：16.3.6 以上 編號：GHSA-vcvr-r3jv-pc5j
Apple iPhone、iPad、Mac 的 CoreGraphics 越界寫入，可執行程式，已遭攻擊
Apple iOS、macOS 與 iPadOS 的 CoreGraphics 有越界寫入漏洞，可能導致任意程式碼執行。
影響對象：使用 iPhone、iPad 或 Mac 的企業與員工
修補：依原廠公告更新 編號：CVE-2026-86950
Citrix NetScaler 兩個漏洞，未登入即可執行指令，已遭攻擊
Citrix NetScaler ADC 與 NetScaler Gateway 有輸入驗證不當的漏洞，未經驗證的攻擊者可執行任意指令；另有記憶體緩衝區邊界限制不當的漏洞，可能導致遠端程式碼執行或阻斷服務。
影響對象：使用 Citrix NetScaler 作為負載平衡或遠端存取閘道的企業
修補：依原廠公告更新 編號：CVE-2026-88771、CVE-2026-88772
Microsoft SharePoint 程式碼注入漏洞，可遠端執行程式，已遭攻擊
Microsoft SharePoint 有程式碼注入漏洞，已取得授權的攻擊者可透過網路執行程式碼。
影響對象：使用 Microsoft SharePoint 的企業
修補：依原廠公告更新 編號：CVE-2026-65660
WordPress 核心檔案引入漏洞，可遠端執行程式，已遭攻擊
WordPress 核心有遠端檔案引入漏洞，未經驗證的攻擊者可讓頁面範本解析引入啟用中佈景主題目錄以外、可讀取的本機 .php 檔案，進而遠端執行程式碼。
影響對象：使用 WordPress 架設官網或電商的企業
修補：依原廠公告更新 編號：CVE-2026-87902
Adobe Commerce 與 Magento 授權錯誤漏洞，可取得較高權限，已遭攻擊
Adobe Commerce 與 Magento 有授權不正確的漏洞，攻擊者不需使用者互動，就能取得較高權限並存取敏感資源。
影響對象：以 Adobe Commerce 或 Magento 架設電商網站的企業
修補：依原廠公告更新 編號：CVE-2026-71362
PHP 官方發布 8.5.11、8.4.26 等四個版本，修補多個安全漏洞
PHP 官方發布 8.5.11、8.4.26、8.3.35、8.2.34，四者都標明為安全性更新版本（This is a security release），建議各版本使用者升級。
影響對象：以 PHP 執行網站或系統的企業（含 WordPress、Laravel 等）
修補：8.5.11、8.4.26、8.3.35、8.2.34 編號：CVE-2025-1218、CVE-2025-14181、CVE-2026-17545、CVE-2026-6103、CVE-2026-91765、CVE-2026-91766、CVE-2026-91767、CVE-2026-91768、CVE-2026-91769、CVE-2026-92842、CVE-2026-93682
Check Point 管理伺服器路徑穿越漏洞，可上傳並執行腳本，已遭攻擊
Check Point Security Management Server、Multi-Domain Security Management Server、Log Server、Multi-Domain Log Server 與 SmartEvent 有路徑穿越漏洞，未經驗證的攻擊者可上傳並執行任意腳本。
影響對象：使用 Check Point 管理伺服器或日誌伺服器的企業
修補：依原廠公告更新 編號：CVE-2026-93616
Check Point 防火牆 VPN 憑證驗證漏洞，可遠端執行程式，已遭攻擊
使用站對站 VPN 或遠端存取 VPN 的 Check Point Security Gateway 與 Spark Firewall 有憑證驗證不當的漏洞，未經驗證的遠端攻擊者可在閘道上執行任意程式碼。
影響對象：使用 Check Point 防火牆 VPN 功能的企業
修補：依原廠公告更新 編號：CVE-2026-85102
F5 BIG-IP APM 緩衝區溢位，未登入即可遠端執行程式，已遭攻擊
F5 BIG-IP APM 在虛擬伺服器設定了存取政策與 OAuth 設定檔時，有堆積緩衝區溢位漏洞，未經驗證的攻擊者可遠端執行程式碼。
影響對象：使用 F5 BIG-IP APM 做存取控管或 VPN 的企業
修補：依原廠公告更新 編號：CVE-2026-94127
WordPress 7.1.2 修補一個未登入即可能遠端執行程式的重大漏洞
WordPress 7.1.2 修補一個重大等級漏洞：在特定條件下，未經驗證的攻擊者可讓頁面範本解析引入啟用中佈景主題目錄以外的本機 PHP 檔案，若伺服器環境與佈景主題都符合前提，可導致遠端程式碼執行。修補已回補到仍接受安全修補的分支（目前至 4.7）。
影響對象：使用 WordPress 架設網站的企業
修補：7.1.2（舊分支另有回補版本） 編號：CVE-2026-87902、GHSA-7hp8-65ch-5whp
Zyxel GS1900 系列交換器緩衝區溢位，可執行系統指令，已遭攻擊
Zyxel GS1900 系列交換器的 CGI 程式有堆疊緩衝區溢位漏洞，位於區域網路內、未經驗證的攻擊者可透過特製 HTTP 請求執行作業系統指令。
影響對象：辦公室使用 Zyxel GS1900 系列交換器的企業
修補：依原廠公告更新 編號：CVE-2026-7273
WordPress 7.1.1 維護與安全性版本，一次修補 11 個安全問題
WordPress 7.1.1 含 11 項安全修補，包括 wpautop() 讓未登入訪客可注入腳本的儲存型 XSS（須經留言核准）、REST 範本控制器的已驗證路徑穿越，以及投稿者以上權限可覆寫任意文章等。官方建議立即更新。
影響對象：使用 WordPress 架設網站的企業
修補：7.1.1
Cisco ISE 網路存取控管系統驗證繞過漏洞，已遭攻擊
Cisco Identity Services Engine（ISE）與 ISE Passive Identity Connector（ISE-PIC）有特權 API 使用不當的漏洞，未經驗證的遠端攻擊者可繞過網頁管理介面，未經授權存取設備。
影響對象：使用 Cisco ISE 做網路存取控管的企業
修補：依原廠公告更新 編號：CVE-2026-76460
Google Pixel 手機的行動網路數據機權限漏洞，已遭攻擊
Google Pixel 裝置的行動網路數據機有授權不當漏洞，邏輯錯誤可能讓攻擊者繞過權限檢查並提升權限。
影響對象：使用 Google Pixel 手機的員工
修補：依原廠公告更新 編號：CVE-2026-58704
Cisco 郵件閘道 SQL 注入漏洞，可取得 root 權限，已遭攻擊
Cisco Secure Email Gateway（SEG）的 AsyncOS 軟體有 SQL 注入漏洞，未經驗證的遠端攻擊者可在底層作業系統以 root 權限執行任意指令。
影響對象：使用 Cisco Secure Email Gateway 過濾公司郵件的企業
修補：依原廠公告更新 編號：CVE-2026-76461
GitLab 路徑穿越漏洞，未登入即可讀取任意檔案，已遭攻擊
GitLab Community Edition 與 Enterprise Edition 的儲存庫 commits API 路徑限制不當且缺少驗證，未經驗證的使用者可讀取任意檔案。
影響對象：自行架設 GitLab 的企業與開發團隊
修補：依原廠公告更新 編號：CVE-2026-85706
Cisco 防火牆管理中心 FMC 驗證繞過，可取得 root 權限，已遭攻擊
Cisco Secure Firewall Management Center（FMC）軟體與 Security Cloud Control（SCC）Firewall Management 有經替代路徑繞過驗證的漏洞，未經驗證的遠端攻擊者可繞過驗證並執行腳本，取得底層作業系統的 root 權限。
影響對象：使用 Cisco Secure Firewall 並以 FMC 集中管理的企業
修補：依原廠公告更新 編號：CVE-2026-20079
Citrix NetScaler 驗證繞過漏洞，VPN 閘道可被繞過登入，已遭攻擊
Citrix NetScaler ADC 與 NetScaler Gateway 有透過替代路徑繞過驗證的漏洞；設備設定為 AAA 虛擬伺服器或 Gateway（SSL VPN、ICA Proxy、CVPN、RDP Proxy）時，未經驗證的遠端攻擊者可能繞過驗證。
影響對象：使用 Citrix NetScaler 作為遠端存取閘道的企業
修補：依原廠公告更新 編號：CVE-2026-19490
Fortinet FortiOS 等產品緩衝區溢位，可執行未授權指令，已遭攻擊
Fortinet FortiOS、FortiSwitchManager 與 FortiSASE 有堆積緩衝區溢位漏洞，攻擊者可透過特製封包執行未經授權的程式碼或指令。
影響對象：使用 Fortinet 防火牆（FortiOS）或相關設備的企業
修補：依原廠公告更新 編號：CVE-2025-25249
Chrome、Edge 等瀏覽器 V8 引擎越界寫入漏洞，已遭攻擊
Google Chromium V8 有越界寫入漏洞，遠端攻擊者可透過特製 HTML 頁面在沙箱內執行任意程式碼；可能影響 Google Chrome、Microsoft Edge、Opera 等使用 Chromium 的瀏覽器。
影響對象：使用 Chrome、Edge 等 Chromium 核心瀏覽器的企業與員工
修補：依原廠公告更新 編號：CVE-2026-87491
Adobe Commerce 與 Magento 範本引擎注入漏洞，可執行程式，已遭攻擊
Adobe Commerce 與 Magento Open Source 有範本引擎特殊元素處理不當的漏洞，攻擊者可執行任意程式碼。
影響對象：以 Adobe Commerce 或 Magento 架設電商網站的企業
修補：依原廠公告更新 編號：CVE-2026-75650
Windows 兩個本機提權漏洞（Update Stack、ALPC），已遭攻擊
Microsoft Windows Update Stack 有連結跟隨漏洞，本機攻擊者可將權限提升至 SYSTEM；Windows Advanced Local Procedure Call 有堆積緩衝區溢位漏洞，攻擊者可在本機提升權限。
影響對象：使用 Windows 電腦或伺服器的企業
修補：依原廠公告更新 編號：CVE-2026-81963、CVE-2026-85880
Astro 處理 AVIF 圖片優化時可遠端執行程式，屬重大等級
Astro 在進行 AVIF 圖片優化時有遠端程式碼執行漏洞。嚴重度：重大（critical）；受影響版本：< 7.2.8。
影響對象：以 Astro 開發的網站
修補：7.2.8 以上 編號：GHSA-26w7-cxv4-gfx2
Node.js 檔案上傳套件 multer 有三個可讓服務停擺的阻斷服務漏洞
multer 可遭特製的 multipart 欄位名稱、上傳中斷時的檔案描述元洩漏，以及欄位名稱中過大的陣列索引造成阻斷服務（DoS）。嚴重度：高（high）；受影響版本：< 2.3.0、= 2.2.0。
影響對象：用 Node.js（Express）開發、以 multer 處理檔案上傳的網站或系統
修補：2.3.0 以上 編號：GHSA-535w-7cp7-47q4、CVE-2026-82333、GHSA-qfvm-cv95-jqjf、CVE-2026-77037、GHSA-wc9g-mqfw-jrwm、CVE-2026-77078
Next.js 兩個不需登入即可遠端執行程式的重大漏洞
Next.js 的 Image Optimization API 處理 AVIF 檔時，未經驗證者可遠端執行程式碼；架設在 Windows 上的伺服器也有未經驗證即可遠端執行程式碼的漏洞。嚴重度：重大（critical）；受影響版本：>= 10.0.0, < 15.5.24、>= 16.0.0, < 16.3.3、>= 13.4.0, < 15.5.24。
影響對象：以 Next.js 開發的網站或網頁應用程式
修補：16.3.3、15.5.24 以上（依所用版本線） 編號：GHSA-2xp9-vwfh-vxw4、GHSA-p293-qw3h-jr36、CVE-2026-75604
Node.js 圖片處理套件 sharp 內含的 HEIF 函式庫 libheif 有安全漏洞
sharp 內含的 libheif 有漏洞（GHSA-g89c-p67h-r497 與 GHSA-2jg2-4ch7-h545）。嚴重度：高（high）；受影響版本：< 0.35.4。
影響對象：用 Node.js 套件 sharp 處理圖片的網站或系統
修補：0.35.4 以上 編號：GHSA-rgj7-g3m4-5g8c
Chrome、Edge 等瀏覽器 V8 引擎型別混淆漏洞，已遭攻擊
Google Chromium V8 有型別混淆漏洞，遠端攻擊者可透過特製 HTML 頁面在沙箱內執行任意程式碼；可能影響 Google Chrome、Microsoft Edge、Opera 等使用 Chromium 的瀏覽器。
影響對象：使用 Chrome、Edge 等 Chromium 核心瀏覽器的企業與員工
修補：依原廠公告更新 編號：CVE-2026-85046
SonicWall SMA1000 遠端存取設備兩個漏洞（SSRF、指令注入），已遭攻擊
SonicWall SMA1000 設備有伺服器端請求偽造（SSRF）漏洞，未經驗證的遠端攻擊者可存取敏感功能並執行未經授權的操作；另有作業系統指令注入漏洞，已驗證的管理員身分攻擊者可遠端執行程式碼。
影響對象：使用 SonicWall SMA1000 提供遠端存取的企業
修補：依原廠公告更新 編號：CVE-2026-83548、CVE-2026-83549
2026 年 8 月（17 筆）
Citrix NetScaler 記憶體緩衝區漏洞，可造成服務中斷，已遭攻擊
Citrix NetScaler ADC 與 NetScaler Gateway 有記憶體緩衝區邊界限制不當的漏洞，可能導致阻斷服務。
影響對象：使用 Citrix NetScaler 作為負載平衡或遠端存取閘道的企業
修補：依原廠公告更新 編號：CVE-2026-8452
Microsoft SQL Server 2019 年的舊漏洞，可遠端執行程式，已遭攻擊
Microsoft SQL Server 有遠端程式碼執行漏洞，攻擊者可用 SQL Server 資料庫引擎服務帳戶的身分執行程式碼。
影響對象：使用 Microsoft SQL Server 資料庫的企業
修補：依原廠公告更新 編號：CVE-2019-1068
Oracle HTTP Server 與 WebLogic Proxy Plug-in 存取控制漏洞，可竄改資料，已遭攻擊
Oracle HTTP Server 與 Oracle Weblogic Server Proxy Plug-in 有存取控制不當的漏洞，可能導致關鍵資料遭未經授權建立、刪除、修改或存取，或讓攻擊者存取這些產品能存取的全部資料。
影響對象：使用 Oracle HTTP Server 或 WebLogic 的企業
修補：依原廠公告更新 編號：CVE-2026-21962
Zimbra 郵件伺服器指令注入漏洞，未登入即可執行指令，已遭攻擊
Zimbra Collaboration Suite（ZCS）有作業系統指令注入漏洞，未經驗證的攻擊者可傳送特製 SMTP 請求，以 Zimbra 使用者身分執行任意作業系統指令。
影響對象：以 Zimbra 架設公司郵件伺服器的企業
修補：依原廠公告更新 編號：CVE-2026-73570
macOS 螢幕共享驗證漏洞，不需帳密即可登入，已遭攻擊
Apple macOS 有驗證不當漏洞，同一網路上的攻擊者可在沒有有效帳密的情況下通過「螢幕共享」驗證。
影響對象：使用 Mac 電腦（特別是有開啟螢幕共享）的企業
修補：依原廠公告更新 編號：CVE-2026-65400
VMware vCenter 路徑穿越漏洞，可執行任意程式，已遭勒索軟體利用
Broadcom VMware vCenter 有路徑穿越漏洞，能透過網路存取 vCenter 的攻擊者可執行任意程式碼。
影響對象：以 VMware vCenter 管理虛擬化主機的企業
修補：依原廠公告更新 編號：CVE-2026-59310
Windows IKE 服務雙重釋放漏洞，可能遠端執行程式，已遭攻擊
Microsoft Internet Key Exchange（IKE）Service Extensions 有雙重釋放（double free）漏洞，可能導致遠端程式碼執行。
影響對象：使用 Windows 的企業，特別是有使用 IPsec VPN 的環境
修補：依原廠公告更新 編號：CVE-2026-33824
Microsoft SharePoint 弱驗證漏洞，可透過網路繞過安全功能，已遭攻擊
Microsoft SharePoint 有弱驗證漏洞，未經授權的攻擊者可透過網路繞過安全功能。
影響對象：使用 Microsoft SharePoint 的企業
修補：依原廠公告更新 編號：CVE-2026-55040
WordPress 7.0.4 修補作者權限可透過上傳遠端執行程式的漏洞
WordPress 7.0.4 修補一個安全問題：在使用 Imagick 與 Ghostscript 的網站上，作者以上權限的已驗證使用者可透過惡意檔案上傳遠端執行程式碼。修補會回補到 4.7 分支。
影響對象：使用 WordPress 架設網站、且主機有 Imagick 與 Ghostscript 的企業
修補：7.0.4（舊分支陸續回補） 編號：CVE-2026-65640、GHSA-8vr3-7mxf-gx8w
Cisco ASA 與 FTD 防火牆漏洞，可遠端讓設備重新開機，已遭攻擊
Cisco Secure Firewall Adaptive Security Appliance（ASA）與 Secure Firewall Threat Defense（FTD）有 heap inspection 漏洞，未經驗證的遠端攻擊者可讓設備意外重新啟動，造成阻斷服務。
影響對象：使用 Cisco ASA 或 FTD 防火牆的企業
修補：依原廠公告更新 編號：CVE-2026-20349
Windows WinSock 驅動程式釋放後使用漏洞，可本機提權，已遭攻擊
Microsoft Windows Ancillary Function Driver for WinSock 有釋放後使用（use-after-free）漏洞，已授權的攻擊者可在本機提升權限。
影響對象：使用 Windows 電腦或伺服器的企業
修補：依原廠公告更新 編號：CVE-2026-68820
WordPress 7.0.3 一次修補登入頁跨站腳本等 12 項安全問題
WordPress 7.0.3 含多項安全修補，包括登入畫面不需登入即可觸發、可能導致執行 PHP 程式碼的反射型 XSS，以及多個投稿者以上權限的儲存型 XSS、多站台網路的權限提升、URL 驗證的 SSRF 等。官方建議立即更新。
影響對象：使用 WordPress 架設網站的企業
修補：7.0.3（舊分支陸續回補） 編號：CVE-2026-64638、GHSA-52p2-r8wf-jcrf
Nuxt 五個漏洞，含伺服器端遠端執行程式與資料外洩
Nuxt 的 Server Island props 可經由執行期範本注入在伺服器端遠端執行程式碼；Island 端點在驗證雜湊前就解析並雜湊請求內容，以及 Island 渲染時無上限的 v-for 展開，都可讓未經驗證者耗盡 CPU 或記憶體；執行期 payload 快取會把某位使用者的 SSR 資料洩漏給其他使用者與未登入者；路徑大小寫混用時 route rules 會被略過，可繞過 appMiddleware 的驗證把關（CVE-2026-53721 修補不完整）。嚴重度：高（high）；受影響版本：>= 4.0.0, < 4.5.1、>= 3.4.0, < 3.21.10、>= 3.1.0, < 3.21.10、>= 4.4.7, < 4.5.1、>= 3.21.7, < 3.21.10、>= 4.4.0, <= 4.5.0。
影響對象：以 Nuxt（Vue）開發的網站或網頁應用程式
修補：4.5.1、3.21.10 以上（依所用版本線） 編號：GHSA-9473-5f9j-94wq、CVE-2026-71320、GHSA-9pgf-384g-p7mv、CVE-2026-71321、GHSA-hxcr-hm88-mpq6、CVE-2026-71314、GHSA-hxvh-4h3w-prp9、CVE-2026-71315、GHSA-wm8w-6qjm-cv43、CVE-2026-71316
Apache Tomcat 的加密攔截器 EncryptInterceptor 可被繞過，敏感資料未加密，已遭攻擊
Apache Tomcat 有敏感資料未加密的漏洞，可繞過 EncryptInterceptor；此漏洞可與 CVE-2025-24813 串連利用。
影響對象：以 Apache Tomcat 執行 Java 網站或系統的企業
修補：依原廠公告更新 編號：CVE-2026-34486
Django 的 GeoDjango 空間查詢可被用來寫入檔案與對外連線
Django 的 GeoDjango 空間查詢會經由 GDAL raster 解析輸入，可被用來寫入檔案與發出對外請求。嚴重度：高（high）；受影響版本：< 5.2.17、>= 6.0a1, < 6.0.8。
影響對象：以 Django 開發並使用 GeoDjango 地理功能的系統
修補：6.0.8、5.2.17 以上（依所用版本線） 編號：GHSA-wvqv-fj8w-qmhm、CVE-2026-15307
Angular 多國語系 i18n 可經由事件處理屬性造成跨站腳本
Angular 的 i18n 可經由事件處理屬性造成跨站腳本（XSS）。嚴重度：高（high）；受影響版本：>= 22.0.0-next.0, < 22.0.1、>= 21.0.0-next.0, < 21.2.19、>= 20.0.0-next.0, < 20.3.27、<= 19.2.25。
影響對象：以 Angular 開發的網站或網頁應用程式
修補：22.0.1、21.2.19、20.3.27 以上（依所用版本線）；<= 19.2.25 無修補版本 編號：GHSA-jj27-h5hq-8x99、CVE-2026-69151
PHP HTTP 套件 Guzzle 遇非標準主機名稱可繞過主機檢查
Guzzle 遇到非標準形式的主機名稱時，可繞過以主機為準的檢查。嚴重度：高（high）；受影響版本：< 7.15.2、>= 8.0.0, < 8.0.1。
影響對象：以 PHP（含 Laravel）開發、用 Guzzle 呼叫外部 API 的系統
修補：8.0.1、7.15.2 以上（依所用版本線） 編號：GHSA-v5mv-p594-2x33、CVE-2026-69246
2026 年 7 月（22 筆）
PHP 官方發布 8.5.9、8.4.24 等四個版本，修補多個安全漏洞
PHP 官方發布 8.5.9、8.4.24、8.3.33、8.2.33，四者都標明為安全性更新版本（This is a security release），建議各版本使用者升級。
影響對象：以 PHP 執行網站或系統的企業（含 WordPress、Laravel 等）
修補：8.5.9、8.4.24、8.3.33、8.2.33 編號：CVE-2026-17543、CVE-2026-17544、CVE-2026-7260、CVE-2026-9672
Cisco 防火牆管理中心 FMC 寫死密碼漏洞，已遭勒索軟體利用
Cisco Secure Firewall Management Center（FMC，原 Firepower Management Center）使用寫死在程式中的密碼，未經驗證的遠端攻擊者可用低權限帳號登入，存取系統內的敏感資料。
影響對象：使用 Cisco Secure Firewall 並以 FMC 集中管理的企業
修補：依原廠公告更新 編號：CVE-2026-20316
Fortinet FortiOS 資訊外洩漏洞，可繞過先前的修補，已遭攻擊
Fortinet FortiOS 有將敏感資訊暴露給未授權者的漏洞，未經驗證的遠端攻擊者可透過特製 HTTP 請求，繞過原廠針對部分入侵後案例中「符號連結常駐機制」所做的修補；攻擊者須先透過其他漏洞在檔案系統層級入侵該設備。
影響對象：使用 Fortinet 防火牆（FortiOS）的企業
修補：依原廠公告更新 編號：CVE-2025-68686
Check Point SmartConsole 驗證漏洞，可取得完整管理權限，已遭攻擊
Check Point SmartConsole 有驗證不當漏洞，未經驗證的遠端攻擊者可取得應用程式登入權杖，並以完整管理員權限通過驗證。
影響對象：以 SmartConsole 管理 Check Point 防火牆的企業
修補：依原廠公告更新 編號：CVE-2026-16232
Microsoft SharePoint 反序列化漏洞，可遠端執行程式，已遭攻擊
Microsoft SharePoint 有不可信資料反序列化漏洞，未經授權的攻擊者可透過網路執行程式碼。
影響對象：使用 Microsoft SharePoint 的企業
修補：依原廠公告更新 編號：CVE-2026-50522
Next.js 四個漏洞，含伺服器端請求偽造、中介層繞過與阻斷服務
Next.js 在自訂伺服器上的 Server Actions，以及目的主機名稱可被攻擊者控制的 rewrites，有伺服器端請求偽造（SSRF）漏洞；使用 Turbopack 且只有單一語系的 App Router 應用程式，Middleware／Proxy 可被繞過；App Router 使用 Server Actions 時有阻斷服務漏洞。嚴重度：高（high）；受影響版本：>= 16.0.0, < 16.2.11、>= 14.1.1, < 15.5.21、>= 13.0.0, < 15.5.21、>= 12.0.0, < 15.5.21。
影響對象：以 Next.js 開發的網站或網頁應用程式
修補：16.2.11、15.5.21 以上（依所用版本線） 編號：GHSA-6gpp-xcg3-4w24、CVE-2026-64642、GHSA-89xv-2m56-2m9x、CVE-2026-64649、GHSA-m99w-x7hq-7vfj、CVE-2026-64641、GHSA-p9j2-gv94-2wf4、CVE-2026-64645
WordPress 核心兩個 SQL 注入漏洞，可串連遠端執行程式，已遭攻擊
WordPress 核心在外掛或佈景主題把不可信的輸入傳入參數時有 SQL 注入漏洞，另有解讀衝突漏洞可導致 SQL 注入與遠端程式碼執行；兩者串連可讓未經驗證的攻擊者在預設安裝的 WordPress 上遠端執行程式碼。
影響對象：使用 WordPress 架設官網或電商的企業
修補：依原廠公告更新 編號：CVE-2026-60137、CVE-2026-63030
Node.js 圖片處理套件 sharp 承襲底層函式庫 libvips 的四個漏洞
sharp 承襲了 libvips 的漏洞：CVE-2026-33327、CVE-2026-33328、CVE-2026-35590、CVE-2026-35591。嚴重度：高（high）；受影響版本：< 0.35.0。
影響對象：用 Node.js 套件 sharp 處理圖片的網站或系統
修補：0.35.0 以上 編號：GHSA-f88m-g3jw-g9cj、CVE-2026-33327、CVE-2026-33328、CVE-2026-35590、CVE-2026-35591
Astro 解碼上限與路徑正規化不一致，可繞過授權檢查
Astro 的解碼迭代上限與 rewrite 路徑正規化不一致，可造成授權繞過。嚴重度：高（high）；受影響版本：>= 6.4.7, < 6.4.8。
影響對象：以 Astro 開發的網站
修補：6.4.8 以上 編號：GHSA-vj59-8hwv-xxmv、CVE-2026-59731
HTTP 套件 Axios 複製設定後可能誤用繼承來的代理設定
Axios 的 Node HTTP 介面卡在攔截器複製設定後，可能使用從原型繼承而來的代理（proxy）設定。嚴重度：高（high）；受影響版本：>= 0.31.1, < 0.33.0、>= 1.15.2, < 1.18.0。
影響對象：用 JavaScript／Node.js 開發、以 Axios 呼叫 API 的網站或系統
修補：1.18.0、0.33.0 以上（依所用版本線） 編號：GHSA-gcfj-64vw-6mp9、CVE-2026-67320
WordPress 7.0.2 修補可遠端執行程式的 SQL 注入漏洞，啟用強制更新
WordPress 7.0.2 修補一個重大與一個高風險漏洞：一個促成型 SQL 注入，以及 REST API 批次路由混淆與 SQL 注入可導致遠端程式碼執行。因嚴重性高，WordPress.org 已對受影響版本啟用強制自動更新。
影響對象：使用 WordPress 6.8 以後版本架設網站的企業
修補：7.0.2、6.9.5、6.8.6（6.8 以前不受影響） 編號：CVE-2026-60137、GHSA-fpp7-x2x2-2mjf、CVE-2026-63030、GHSA-ff9f-jf42-662q
Fortinet FortiSandbox 兩個指令注入漏洞，未登入即可執行指令，已遭攻擊
Fortinet FortiSandbox、FortiSandbox Cloud 與 FortiSandbox PaaS 有作業系統指令注入漏洞，未經驗證的攻擊者可透過特製 HTTP 請求執行未經授權的指令；FortiSandbox 另有一個同類的指令注入漏洞。
影響對象：使用 Fortinet FortiSandbox 做惡意程式沙箱分析的企業
修補：依原廠公告更新 編號：CVE-2026-25089、CVE-2026-39808
Microsoft SharePoint 反序列化漏洞，未授權即可遠端執行程式，已遭攻擊
Microsoft SharePoint 有不可信資料反序列化漏洞，未經授權的攻擊者可透過網路執行程式碼。
影響對象：使用 Microsoft SharePoint 的企業
修補：依原廠公告更新 編號：CVE-2026-58644
Oracle E-Business Suite 權限管理漏洞，可接管付款模組，已遭攻擊
Oracle E-Business Suite 有權限管理不當漏洞，未經驗證、可透過 HTTP 連線的攻擊者可入侵 Oracle Payments，成功攻擊可能接管 Oracle Payments。
影響對象：使用 Oracle E-Business Suite 的企業
修補：依原廠公告更新 編號：CVE-2026-46817
Microsoft AD FS 存取控制粒度不足，可本機提權，已遭攻擊
Microsoft Active Directory Federation Services 有存取控制粒度不足的漏洞，已授權的攻擊者可在本機提升權限。
影響對象：使用 AD FS 做單一登入的企業
修補：依原廠公告更新 編號：CVE-2026-56155
Microsoft SharePoint Server 缺少驗證，可透過網路提權，已遭攻擊
Microsoft SharePoint 的關鍵功能缺少驗證，未經授權的攻擊者可透過網路提升權限。
影響對象：使用 Microsoft SharePoint Server 的企業
修補：依原廠公告更新 編號：CVE-2026-56164
SonicWall SMA1000 遠端存取設備兩個漏洞，已遭勒索軟體利用
SonicWall SMA1000 設備有伺服器端請求偽造（SSRF）漏洞，未經驗證的遠端攻擊者可能讓設備對非預期的位置發出請求；另有程式碼注入漏洞，在特定條件下可能讓已驗證的管理員身分攻擊者執行任意作業系統指令。
影響對象：使用 SonicWall SMA1000 提供遠端存取的企業
修補：依原廠公告更新 編號：CVE-2026-15409、CVE-2026-15410
Cisco IOS 12.4 在 2008 年的舊漏洞，跨站請求偽造，已遭攻擊
Cisco IOS 12.4 有多個跨站請求偽造（CSRF）漏洞，遠端攻擊者可透過 /level/15/exec/- 等 URI 的「show privilege」與「alias exec」指令執行任意命令。
影響對象：仍在使用 Cisco IOS 12.4 舊版網路設備的企業
修補：依原廠公告更新 編號：CVE-2008-4128
Adobe ColdFusion 路徑穿越漏洞，可執行任意程式，已遭攻擊
Adobe ColdFusion 有路徑穿越漏洞，可能以目前使用者的權限執行任意程式碼。
影響對象：以 Adobe ColdFusion 執行網站或系統的企業
修補：依原廠公告更新 編號：CVE-2026-48282
Joomla 擴充套件 Joomlack Page Builder 任意上傳漏洞，可執行程式，已遭攻擊
Joomlack Page Builder 有存取控制不當漏洞，未經驗證者可上傳任意檔案，進而遠端執行程式碼。
影響對象：以 Joomla 架站並安裝 Joomlack Page Builder 的企業
修補：依原廠公告更新 編號：CVE-2026-56290
PHP 官方發布 8.5.8、8.4.23 等四個版本，修補安全漏洞
PHP 官方發布 8.5.8、8.4.23、8.3.32、8.2.32，四者都標明為安全性更新版本（This is a security release），建議各版本使用者升級。
影響對象：以 PHP 執行網站或系統的企業（含 WordPress、Laravel 等）
修補：8.5.8、8.4.23、8.3.32、8.2.32 編號：CVE-2026-12184、CVE-2026-14355
Microsoft SharePoint Server 反序列化漏洞，可遠端執行程式，已遭勒索軟體利用
Microsoft SharePoint Server 有不可信資料反序列化漏洞，已授權的攻擊者可透過網路執行程式碼。
影響對象：使用 Microsoft SharePoint Server 的企業
修補：依原廠公告更新 編號：CVE-2026-45659
2026 年 6 月（20 筆）
Cisco Unified CM 企業通訊系統 SSRF 漏洞，可寫入檔案，已遭攻擊
Cisco Unified Communications Manager（Unified CM）與 Unified CM Session Management Edition 有伺服器端請求偽造（SSRF）漏洞，未經驗證的遠端攻擊者可在底層作業系統寫入檔案，之後可用來提升至 root 權限。
影響對象：使用 Cisco Unified CM 企業電話系統的企業
修補：依原廠公告更新 編號：CVE-2026-20230
Laravel 框架預設的 email 驗證規則有 CRLF 換行字元注入漏洞
Laravel 預設的 email 驗證規則有 CRLF 注入漏洞。嚴重度：高（high）；受影響版本：>= 13.0.0, <= 13.9.0、< 12.60.0。
影響對象：以 Laravel 開發、表單有 email 欄位驗證的網站或系統
修補：13.10.0、12.60.0 以上（依所用版本線） 編號：GHSA-5vg9-5847-vvmq
Node.js 上傳套件 multer 深層巢狀欄位名稱可造成阻斷服務
multer 可遭深層巢狀的欄位名稱造成阻斷服務（DoS）。嚴重度：高（high）；受影響版本：>= 1.0.0, < 2.2.0、>= 3.0.0-alpha.1, < 3.0.0-alpha.2。
影響對象：用 Node.js（Express）開發、以 multer 處理檔案上傳的網站或系統
修補：3.0.0-alpha.2、2.2.0 以上（依所用版本線） 編號：GHSA-72gw-mp4g-v24j、CVE-2026-5079
Joomla 編輯器擴充 JCE 存取控制漏洞，可上傳執行 PHP，已遭攻擊
Widget Factory 的 Joomla Content Editor 有存取控制不當漏洞，未經驗證的使用者可透過建立新的編輯器設定檔，上傳並執行 PHP 程式碼。
影響對象：以 Joomla 架站並安裝 JCE 編輯器的企業
修補：依原廠公告更新 編號：CVE-2026-48907
Astro 兩個漏洞：Host 標頭造成的 SSRF 與反射型跨站腳本
Astro 在抓取預渲染錯誤頁時，可經由 Host 標頭造成伺服器端請求偽造（SSRF）；未跳脫的 slot 名稱可造成反射型跨站腳本（XSS）。嚴重度：高（high）；受影響版本：< 6.4.6、< 6.3.3。
影響對象：以 Astro 開發的網站
修補：6.4.6 以上 編號：GHSA-2pvr-wf23-7pc7、CVE-2026-54299、GHSA-8hv8-536x-4wqp、CVE-2026-50146
Nuxt 路由規則中介層可因網址大小寫差異被繞過
vue-router 與 routeRules 比對器對大小寫的處理不一致，可繞過 route-rule 中介層。嚴重度：高（high）；受影響版本：>= 4.0.0, < 4.4.7、>= 3.11.0, < 3.21.7。
影響對象：以 Nuxt（Vue）開發的網站或網頁應用程式
修補：4.4.7、3.21.7 以上（依所用版本線） 編號：GHSA-mm7m-92g8-7m47、CVE-2026-53721
Cisco SD-WAN Manager 路徑穿越漏洞，可覆寫任意檔案，已遭攻擊
Cisco Catalyst SD-WAN Manager 有路徑穿越漏洞，已驗證的遠端攻擊者可在受影響系統的檔案系統上建立或覆寫任何檔案。
影響對象：使用 Cisco Catalyst SD-WAN 管理多據點網路的企業
修補：依原廠公告更新 編號：CVE-2026-20262
前端框架 Angular 用戶端 Hydration 的 DOM Clobbering 與回應快取汙染漏洞
Angular 的 Client Hydration 有 DOM Clobbering 與回應快取汙染（Response-Cache Poisoning）漏洞。嚴重度：高（high）；受影響版本：>= 22.0.0-next.0, < 22.0.1、>= 21.0.0-next.0, < 21.2.17、>= 20.0.0-next.0, < 20.3.25、<= 19.2.25。
影響對象：以 Angular 開發的網站或網頁應用程式
修補：22.0.1、21.2.17、20.3.25 以上（依所用版本線）；<= 19.2.25 無修補版本 編號：GHSA-rgjc-h3x7-9mwg、CVE-2026-54267
開發工具 Vite 在 Windows 上可經替代路徑繞過檔案存取限制 server.fs.deny
Vite 在 Windows 上可透過替代路徑繞過 `server.fs.deny` 限制。嚴重度：高（high）；受影響版本：>= 8.0.0, <= 8.0.15、>= 7.0.0, <= 7.3.4、<= 6.4.2。
影響對象：在 Windows 上用 Vite 開發的團隊
修補：8.0.16、7.3.5、6.4.3 以上（依所用版本線） 編號：GHSA-fx2h-pf6j-xcff、CVE-2026-53571
Node.js 的 WebSocket 套件 ws 可遭記憶體耗盡的阻斷服務攻擊
ws 可遭極小的訊息片段與資料區塊耗盡記憶體，造成阻斷服務（DoS）。嚴重度：高（high）；受影響版本：>= 1.1.0, < 5.2.5、>= 6.0.0, < 6.2.4、>= 7.0.0, < 7.5.11、>= 8.0.0, < 8.21.0。
影響對象：用 Node.js 套件 ws 提供 WebSocket 即時連線的系統
修補：8.21.0、7.5.11、6.2.4、5.2.5 以上（依所用版本線） 編號：GHSA-96hv-2xvq-fx4p、CVE-2026-48779
Oracle PeopleSoft 關鍵功能缺少驗證可被接管，已遭勒索軟體利用
Oracle PeopleSoft Enterprise PeopleTools 的關鍵功能缺少驗證，未經驗證的攻擊者可接管 PeopleSoft Enterprise PeopleTools。
影響對象：使用 Oracle PeopleSoft 的企業
修補：依原廠公告更新 編號：CVE-2026-35273
Ivanti Sentry 指令注入漏洞，可取得 root 權限，已遭攻擊
Ivanti Sentry（原 MobileIron Sentry）有作業系統指令注入漏洞，未經驗證的遠端使用者可用 root 權限遠端執行程式碼；只有在 Sentry 設備處於未受管理狀態、且端點可從外部連線時才能被利用。
影響對象：使用 Ivanti Sentry 作為行動裝置管理閘道的企業
修補：依原廠公告更新 編號：CVE-2026-10520
Cisco SD-WAN Manager 輸出跳脫不當，可用 root 執行指令，已遭攻擊
Cisco Catalyst SD-WAN Manager（原 SD-WAN vManage）有輸出編碼或跳脫不當的漏洞，已驗證的本機攻擊者可提供特製檔案，以 root 身分執行任意指令。
影響對象：使用 Cisco Catalyst SD-WAN 管理多據點網路的企業
修補：依原廠公告更新 編號：CVE-2026-20245
Chrome、Edge 等瀏覽器 V8 引擎越界讀寫漏洞，已遭攻擊
Google Chromium V8 有越界讀取與寫入漏洞，遠端攻擊者可透過特製 HTML 頁面在沙箱內執行任意程式碼；可能影響 Google Chrome、Microsoft Edge、Opera 等使用 Chromium 的瀏覽器。
影響對象：使用 Chrome、Edge 等 Chromium 核心瀏覽器的企業與員工
修補：依原廠公告更新 編號：CVE-2026-11645
Check Point 防火牆 IKEv1 驗證漏洞，免密碼連上 VPN，已遭勒索軟體利用
Check Point Security Gateway 在 IKEv1 金鑰交換中有驗證不當漏洞，未經驗證的遠端攻擊者可繞過使用者驗證，不需有效密碼就建立遠端存取 VPN 連線。
影響對象：使用 Check Point 防火牆遠端存取 VPN 的企業
修補：依原廠公告更新 編號：CVE-2026-50751
HTTP 套件 Axios 四個漏洞，含阻斷服務與代理憑證外洩
Axios 可經由 cookie 名稱注入造成正規表示式阻斷服務（ReDoS），也有資源配置未設上限的問題；Node.js HTTP 介面卡在 HTTP 轉 HTTPS 的轉址時，或代理重新判定為直連時，會把 Proxy-Authorization 標頭洩漏給來源伺服器或轉址目標。嚴重度：高（high）；受影響版本：>= 1.7.0, < 1.16.0、>= 1.0.0, < 1.16.0、<= 0.31.1。
影響對象：用 JavaScript／Node.js 開發、以 Axios 呼叫 API 的網站或系統
修補：1.16.0、0.32.0 以上（依所用版本線） 編號：GHSA-777c-7fjr-54vf、CVE-2026-44488、GHSA-hfxv-24rg-xrqf、CVE-2026-44496、GHSA-j5f8-grm9-p9fc、CVE-2026-44486、GHSA-p92q-9vqr-4j8v、CVE-2026-44487
開發工具 Vite 舊版內含的 launch-editor 在 Windows 上可遭指令注入
launch-editor 在 Windows 上可經由特製請求造成指令注入。嚴重度：高（high）；受影響版本：<= 5.4.8。
影響對象：在 Windows 上用 Vite 舊版（5.4.8 以前）開發的團隊
修補：5.4.9 以上 編號：GHSA-c27g-q93r-2cwf、CVE-2024-52011
Android 系統框架整數溢位漏洞，可本機提升權限，已遭攻擊
Android Framework 有整數溢位漏洞，可能導致程式碼執行並在本機提升權限。
影響對象：使用 Android 手機或平板的企業與員工
修補：依原廠公告更新 編號：CVE-2025-48595
Oracle WebLogic Server 2024 年的舊漏洞，可存取關鍵資料，已遭攻擊
Oracle WebLogic 有未具體說明的漏洞，未經驗證、可透過 T3 或 IIOP 連線的攻擊者可入侵 Oracle WebLogic Server，成功攻擊可能導致關鍵資料遭未經授權存取，或能存取 WebLogic Server 可存取的全部資料。
影響對象：使用 Oracle WebLogic Server 的企業
修補：依原廠公告更新 編號：CVE-2024-21182
HTML 過濾套件 DOMPurify 可經 selectedcontent 重新複製造成跨站腳本攻擊
DOMPurify 可透過 selectedcontent 重新複製造成跨站腳本（XSS）。嚴重度：高（high）；受影響版本：= 3.4.4。
影響對象：以 DOMPurify 過濾使用者輸入 HTML 的網站或系統
修補：3.4.5 以上 編號：GHSA-87xg-pxx2-7hvx、CVE-2026-47423
2026 年 5 月（16 筆）
Palo Alto 防火牆驗證繞過，可私接 VPN，已遭勒索軟體利用
Palo Alto Networks PAN-OS 有驗證繞過漏洞，攻擊者可繞過安全限制，建立未經授權的 VPN 連線。
影響對象：使用 Palo Alto Networks 防火牆 VPN 的企業
修補：依原廠公告更新 編號：CVE-2026-0257
HTTP 套件 Axios 三個漏洞，含憑證竊取、中間人攻擊與代理繞過
Axios 在設定合併與 config.proxy 中有原型污染利用點，可導致憑證竊取、回應劫持與完整的中間人攻擊；shouldBypassProxy 無法辨識 IPv4 對應的 IPv6 位址，可繞過 NO_PROXY（CVE-2025-62718 修補不完整）。嚴重度：高（high）；受影響版本：>= 1.0.0, < 1.16.0、>= 1.0.0, < 1.15.2、>= 0.19.0, < 0.31.1、<= 0.31.1、>= 1.15.0, < 1.16.0。
影響對象：用 JavaScript／Node.js 開發、以 Axios 呼叫 API 的網站或系統
修補：1.16.0、0.32.0 以上（依所用版本線） 編號：GHSA-35jp-ww65-95wh、CVE-2026-44494、GHSA-3g43-6gmg-66jw、CVE-2026-44495、GHSA-pjwm-pj3p-43mv、CVE-2026-44492
PHP 框架 Symfony 的 HEAD 請求可繞過只限 GET 的權限與 CSRF 檢查
Symfony 的 #[IsGranted]、#[IsSignatureValid]、#[IsCsrfTokenValid] 設定 methods: ['GET'] 時，HEAD 請求可繞過此篩選。嚴重度：高（high）；受影響版本：>= 7.4.0, < 7.4.12、>= 8.0.0, < 8.0.12。
影響對象：以 Symfony 開發的 PHP 網站或系統
修補：8.0.12、7.4.12 以上（依所用版本線） 編號：GHSA-6439-2f28-8p8q、CVE-2026-45075
Drupal 核心 SQL 注入漏洞，可提權並遠端執行程式，已遭攻擊
Drupal 核心有 SQL 注入漏洞，透過資料庫抽象層 API 送出特製請求，可能導致權限提升與遠端程式碼執行。
影響對象：以 Drupal 架設網站的企業
修補：依原廠公告更新 編號：CVE-2026-9082
Adobe Acrobat 與 Reader 2009 年舊漏洞，可經 PDF 執行程式，已遭攻擊
Adobe Acrobat 與 Reader 有堆積緩衝區溢位漏洞，遠端攻擊者可透過特製 PDF 檔觸發記憶體損毀，執行任意程式碼。
影響對象：仍在使用老舊版本 Adobe Acrobat 或 Reader 的企業
修補：依原廠公告更新 編號：CVE-2009-3459
Windows Server 服務 2008 年的舊漏洞（MS08-067），可遠端執行程式，已遭攻擊
Microsoft Windows 的 Server 服務有緩衝區溢位漏洞，遠端攻擊者可透過特製 RPC 請求，在路徑正規化時觸發溢位並執行任意程式碼。
影響對象：仍在使用未修補老舊 Windows 系統的企業
修補：依原廠公告更新 編號：CVE-2008-4250
Microsoft DirectX 2009 年的舊漏洞，可透過影片檔執行程式，已遭攻擊
Microsoft DirectX 中 DirectShow 的 quartz.dll（QuickTime 影片解析篩選器）有 NULL 位元組覆寫漏洞，遠端攻擊者可透過特製 QuickTime 媒體檔執行任意程式碼。
影響對象：仍在使用未修補老舊 Windows 系統的企業
修補：依原廠公告更新 編號：CVE-2009-1537
Internet Explorer 兩個 2010 年的舊漏洞，可執行任意程式，已遭攻擊
Microsoft Internet Explorer 有兩個釋放後使用（use-after-free）漏洞，遠端攻擊者可經由存取已刪除物件的指標執行任意程式碼。受影響產品可能已終止支援，應停止使用。
影響對象：仍在使用 Internet Explorer 的企業
修補：依原廠公告更新 編號：CVE-2010-0249、CVE-2010-0806
Microsoft Defender 本機提權與阻斷服務兩個漏洞，已遭攻擊
Microsoft Defender 有連結跟隨漏洞，已授權的攻擊者可在本機提升權限；另有一個未具體說明的漏洞可導致阻斷服務。
影響對象：使用 Windows 內建 Microsoft Defender 防毒的企業
修補：依原廠公告更新 編號：CVE-2026-41091、CVE-2026-45498
Exchange Server 的 Outlook 網頁版跨站腳本漏洞，可執行惡意腳本，已遭攻擊
Microsoft Exchange Server 的 Outlook Web Access 在產生網頁時有跨站腳本（XSS）漏洞，在特定互動條件下可在瀏覽器中執行任意 JavaScript。
影響對象：自行架設 Exchange Server 郵件伺服器的企業
修補：依原廠公告更新 編號：CVE-2026-42897
Cisco SD-WAN 控制器驗證繞過，可取得管理權限，已遭攻擊
Cisco Catalyst SD-WAN Controller 與 Manager 有驗證繞過漏洞，未經驗證的遠端攻擊者可繞過驗證並取得系統管理權限。
影響對象：使用 Cisco Catalyst SD-WAN 管理多據點網路的企業
修補：依原廠公告更新 編號：CVE-2026-20182
Next.js 七個漏洞，含中介層繞過、伺服器端請求偽造與阻斷服務
Next.js 有多個 Middleware／Proxy 繞過漏洞（App Router 的 segment-prefetch 路由及其修補不完整的後續問題、動態路由參數注入、Pages Router 搭配 i18n）；使用 WebSocket upgrade 的應用程式有伺服器端請求偽造（SSRF），使用 Cache Components 時可遭連線耗盡，Server Components 也有阻斷服務漏洞。嚴重度：高（high）；受影響版本：>= 15.2.0, < 15.5.16、>= 16.0.0, < 16.2.5、>= 15.2.0, < 15.5.18、>= 16.0.0, < 16.2.6、>= 12.2.0, < 15.5.16、>= 15.4.0, < 15.5.16、>= 13.0.0, < 15.5.16、>= 13.4.13, < 15.5.16、>= 15.0.0, < 15.5.16。
影響對象：以 Next.js 開發的網站或網頁應用程式
修補：16.2.6、15.5.18 以上（依所用版本線） 編號：GHSA-267c-6grr-h53f、CVE-2026-44575、GHSA-26hh-7cqf-hhc6、CVE-2026-45109、GHSA-36qx-fr4f-26g5、CVE-2026-44573、GHSA-492v-c6pp-mqqv、CVE-2026-44574、GHSA-8h8q-6873-q5fj、GHSA-c4j6-fc7j-m34r、CVE-2026-44578、GHSA-mg66-mrh9-m8jx、CVE-2026-44579
Ivanti EPMM 行動裝置管理輸入驗證漏洞，可遠端執行程式，已遭攻擊
Ivanti Endpoint Manager Mobile（EPMM）有輸入驗證不當漏洞，具管理權限的已驗證遠端使用者可遠端執行程式碼。
影響對象：以 Ivanti EPMM 管理公司手機的企業
修補：依原廠公告更新 編號：CVE-2026-6973
PHP 官方發布 8.5.6、8.4.21 等四個版本，修補多個安全漏洞
PHP 官方發布 8.5.6、8.4.21、8.3.31、8.2.31，四者都標明為安全性更新版本（This is a security release），建議各版本使用者升級。
影響對象：以 PHP 執行網站或系統的企業（含 WordPress、Laravel 等）
修補：8.5.6、8.4.21、8.3.31、8.2.31 編號：CVE-2025-14179、CVE-2026-12184、CVE-2026-42371、CVE-2026-6104、CVE-2026-6722、CVE-2026-6735、CVE-2026-7258、CVE-2026-7259、CVE-2026-7261、CVE-2026-7262、CVE-2026-7263、CVE-2026-7568
Palo Alto 防火牆驗證入口越界寫入，可取得 root 權限，已遭攻擊
Palo Alto Networks PAN-OS 的 User-ID 驗證入口（Captive Portal）服務有越界寫入漏洞，未經驗證的攻擊者可傳送特製封包，在 PA 系列與 VM 系列防火牆上以 root 權限執行任意程式碼。
影響對象：使用 Palo Alto Networks 防火牆的企業
修補：依原廠公告更新 編號：CVE-2026-0300
HTTP 套件 Axios 四個漏洞，含原型污染、標頭注入與代理繞過
Axios 有原型污染利用點，可竄改回應、外洩資料、劫持請求或注入標頭與憑證；Axios 1.15.0 對 CVE-2025-62718 的修補不完整，NO_PROXY 保護可經由 127.0.0.0/8 迴環網段繞過。嚴重度：高（high）；受影響版本：>= 1.0.0, < 1.15.1、<= 0.31.0、>= 1.0.0, < 1.15.2。
影響對象：用 JavaScript／Node.js 開發、以 Axios 呼叫 API 的網站或系統
修補：1.15.2、0.31.1 以上（依所用版本線） 編號：GHSA-6chq-wfr3-2hj9、CVE-2026-42035、GHSA-pf86-5x62-jrwf、CVE-2026-42033、GHSA-pmwg-cvhr-8vh7、CVE-2026-42043、GHSA-q8qp-cvcw-x6jj、CVE-2026-42264
2026 年 4 月（2 筆）
主機管理面板 cPanel & WHM 登入驗證繞過，已遭勒索軟體利用
WebPros cPanel & WHM（WebHost Manager）與 WP2（WordPress Squared）的登入流程有驗證繞過漏洞，未經驗證的遠端攻擊者可未經授權存取控制台。
影響對象：網站架設在使用 cPanel & WHM 管理面板主機上的企業
修補：依原廠公告更新 編號：CVE-2026-41940
Windows Shell 保護機制失效，可透過網路偽冒，已遭攻擊
Microsoft Windows Shell 有保護機制失效漏洞，未經授權的攻擊者可透過網路進行偽冒（spoofing）。
影響對象：使用 Windows 電腦的企業
修補：依原廠公告更新 編號：CVE-2026-32202
本頁最後更新：