【漏洞預警】CISA新增3個已知遭駭客利用之漏洞至KEV目錄
CISA 新增 3 個已知遭駭客利用之漏洞至 KEV 目錄(2026/11/02–2026/11/08)
美國網路安全暨基礎設施安全局(CISA)於 2026/11/02 至 2026/11/08 期間,新增 3 個已知遭駭客利用之漏洞至已知遭利用漏洞(Known Exploited Vulnerabilities, KEV)目錄,涉及 WordPress Core、Apple 多項產品及 SonicWall SonicOS SSLVPN。請各單位儘速盤點並更新。
1漏洞說明
WordPress Core 競爭條件漏洞WordPress Core Time-of-check Time-of-use (TOCTOU) Race Condition Vulnerability
WordPress Core 存在 Time-of-check Time-of-use(TOCTOU)Race Condition 漏洞。由於 WordPress Core 在執行完整套件更新時,使用可預測且可透過網頁存取的暫存路徑,可能使未經身分驗證的攻擊者在更新期間於伺服器上執行程式碼。
Apple 多項產品不當身分驗證漏洞Apple Multiple Products Improper Authentication Vulnerability
Apple iOS、iPadOS、macOS、Safari、tvOS 和 watchOS 10.5 存在 Improper Authentication 漏洞,可能使具有任意讀寫權限的攻擊者繞過指標驗證機制。
SonicWall SonicOS SSLVPN 單一因素驗證漏洞SonicWall SonicOS SSLVPN Use of Single-factor Authentication Vulnerability
SonicWall SonicOS SSLVPN 存在 Use of Single-factor Authentication 漏洞,可能使持有其他驗證方式有效帳號憑證的使用者繞過 SAML 驗證控制機制。若成功利用此漏洞,也可能繞過由 SAML 強制執行的多因素驗證機制。
2影響平台
請參考各官方公告所列之影響版本:
- CVE-2026-119977WordPress Core:https://wordpress.org/news/2026/10/wordpress-7-1-4/
- CVE-2024-27834Apple 多項產品:https://support.apple.com/zh-tw/100100
- CVE-2026-19868SonicWall SonicOS SSLVPN:https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014
3建議措施
官方已針對上述漏洞釋出修復更新,請更新至相關版本:
- CVE-2026-119977WordPress Core:https://wordpress.org/news/2026/10/wordpress-7-1-4/
- CVE-2024-27834Apple 多項產品:https://support.apple.com/zh-tw/100100
- CVE-2026-19868SonicWall SonicOS SSLVPN:https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014