雲智維報報

  Google Chrome 存在多個漏洞 一、 摘要         Google Chrome 存在多個漏洞， 允許遠端攻擊者透過特製網頁或相關操作利用漏洞，可能於目標系統造成任意程式碼執行、系統服務中斷或其他安全性影響 。 二 、存在風險          Google Chrome 存在多個漏洞，其中包含記憶體損毀（Memory Corruption）、釋放後使用（Use After Free）、輸入驗證不當（Improper Input Validation）及整數溢位（Integer Overflow）等漏洞，允許遠端攻擊者透過特製網頁或相關操作利用漏洞，可能於目標系統造成任意程式碼執行、系統服務中斷或其他安全性影響，其影響系統如下： 受影響之系統/漏洞描述： Google Chrome for Windows 156.0.8078.79/.80 之前的版本 Google Chrome for Mac 156.0.8078.79/.80 之前的版本 Google Chrome for Linux 156.0.8078.79 之前的版本 三、建議改善措施          企業及使用者如有上述漏洞版本應儘速更新： 請更新至 Google Chrome 156.0.8078.79（Linux）或之後版本。 請更新至 Google Chrome 156.0.8078.79/.80（Mac）或之後版本。 請更新至 Google Chrome 156.0.8078.79/.80（Windows）或之後版本。        情資報告連結： https://chromereleases.googleblog.com/2026/10/stable-channel-update-for-desktop_02107719452.html

  Apple 產品多存在個漏洞 一、 摘要          Apple iOS 及 iPadOS 存在一項高風險安全漏洞（CVE-2026-86950），該漏洞存在於 CoreGraphics 圖形處理框架，因越界寫入問題，攻擊者可利用特製惡意檔案觸發漏洞，進而於目標裝置執行任意程式碼。Apple 已確認該漏洞可能已被用於高度複雜的針對性攻擊，鎖定尚未升級至 iOS 27 的特定使用者。 二 、存在風險          Apple iOS 及 iPadOS 的 CoreGraphics 圖形處理框架存在越界寫入（Out-of-Bounds Write） 漏洞，攻擊者可透過誘使使用者處理特製惡意檔案，利用此漏洞於目標裝置執行任意程式碼，可能導致裝置遭到入侵、敏感資料外洩或其他未經授權的操作。此漏洞 CVSS 3.1 評分為 8.8 分，且 Apple 已確認該漏洞可能遭到實際利用，其影響系統如下： ： 受影響之系統/漏洞描述： iOS 18 系列版本（iOS 18.7.11 之前版本）。 iPadOS 18 系列版本（iPadOS 18.7.11 之前版本）。 受影響裝置包括：  iPhone XS  iPhone XS Max  iPhone XR  iPad（第 7 代） 三、建議改善措施：             企業及使用者如有上述漏洞版本應儘速更新 ： 請更新至 iOS 18.7.11 或之後版本。 請更新至 iPadOS 18.7.11 或之後版本。 請確認 iPhone XS、iPhone XS Max、iPhone XR 及 iPad（第 7 代）均已完成系統更新。        情資報告連結： https://support.apple.com/en-us/149225?utm_source=chatgpt.com https://support.apple.com/en-md/100100

  Cisco Secure Firewall 存在多個漏洞 一、 摘要        Cisco Secure Firewall 存在一項高風險安全漏洞（CVE-2026-76418），影響 Adaptive Security Appliance（ASA）及 Threat Defense（FTD）軟體之遠端存取 SSL VPN 服務。攻擊者可透過網路傳送特製請求，在無須身分驗證的情況下觸發設備非預期重新啟動，造成阻斷服務（DoS），導致防火牆及 VPN 遠端連線服務中斷。此漏洞 CVSS 3.1 評分為 8.6 分，且 Cisco 已確認該漏洞於 2026 年 10 月遭到實際利用。 二 、存在風險        Cisco Secure Firewall 存在遠端存取 SSL VPN 阻斷服務漏洞，主要原因為 VPN Tunnel Group 設定次要身分驗證時，存在邏輯錯誤。攻擊者可利用特製請求觸發設備重新啟動，造成網路服務及遠端存取中斷。此漏洞無須取得有效帳號或密碼即可發動攻擊，其影響系統如下：： 受影響之系統/漏洞描述： Cisco Secure Firewall Adaptive Security Appliance（ASA）Software Cisco Secure Firewall Threat Defense（FTD）Software 設備須同時符合以下條件，才屬於此漏洞的受影響環境： 執行存在漏洞的 ASA 或 FTD 軟體版本 已啟用遠端存取 SSL VPN，且 VPN 登入服務可從網路連線  VPN Tunnel Group 設定次要身分驗證 三、建議改善措施          企業及使用者如有上述受影響設備，應儘速確認設備軟體版本及 VPN 設定，並更新至 Cisco 官方提供之修補版本，以降低遭受漏洞攻擊之風險：     Cisco Secure Firewall ASA Software： 9.16 及更早版本：請更新至 9.16.4.104 或之後版本。 9.18：請更新至 9.18.4.96 或之後版本。 9.20：請更新至 9.20.4.50 或之後版本。...

  Microsoft  緊急更新，移除eMudhra問題憑證信任 一、 摘要         印度數位憑證服務供應商 eMudhra 發生憑證授權中心私密金鑰安全事件。攻擊者可能利用還原的私密金鑰，偽造受信任的網站憑證或簽署惡意程式，使其看似來自合法可信任的發布者，進而造成網站身分冒充、通訊資料遭攔截及惡意程式散布等資安風險。 二 、存在風險          Mudhra 中繼 CA 私密金鑰因金鑰產生程序存在缺陷，導致私密金鑰可能從公開憑證中還原，攻擊者若取得相關金鑰，可能簽發未經授權的 TLS 憑證或簽署惡意程式，造成憑證信任機制遭到濫用。此外，微軟已針對受影響憑證進行封鎖及移除預設信任，可能影響使用相關憑證的網站、內部服務及系統連線，其影響系統如下： 受影響之系統/ 漏洞描述 ： Windows 作業系統：使用受影響 eMudhra 憑證信任之系統 Microsoft Edge：使用受影響 eMudhra 憑證信任之瀏覽器 WebView2：使用受影響憑證信任之應用程式 Azure Virtual Machines：未取得最新憑證信任清單更新之虛擬機器 企業內部服務及網站：憑證鏈結至受影響 eMudhra 憑證階層之服務 三、建議改善措施：            企業及使用者應儘速確認 Windows、Microsoft Edge 及 WebView2 是否已取得最新憑證信任清單更新，並檢查內部服務及應用程式是否使用受影響憑證，建議採取以下措施： 請確認 Windows Update 已正常啟用，確保系統取得最新的不受信任憑證清單（Disallowed Certificate Trust List，Disallowed CTL）。 請確認 Microsoft Edge 及 WebView2 已取得最新元件更新，以封鎖受影響的 TLS 憑證。 請檢查企業內部網站、伺服器及應用程式使用的憑證信任鏈，確認是否鏈結至受影響的 eMudhra 憑證階層。 如發現使用受影響憑證，應儘速向憑證服務供應商申請替代憑證，或改用其他可信任的憑證授權機構簽發之憑證。 對於無法連接 Windows Update ...

    Adobe 每月安全更新 (2026年10月) 一、 摘要          Adobe Campaign Classic 存在多項重大安全漏洞（APSB26-162），漏洞類型包含程式碼注入）、作業系統命令注入、SQL Injection、跨網站指令碼（XSS）及授權驗證不當等。攻擊者可利用上述漏洞執行任意程式碼、繞過安全機制及提升權限，可能造成系統遭入侵、敏感資料外洩及系統完整性遭破壞等資安風險。 二 、存在風險          Adobe Campaign Classic 存在多項重大安全漏洞，攻擊者可透過網路傳送特製請求，利用系統程式碼執行、SQL 指令處理及權限驗證機制的缺陷，造成任意程式碼執行、安全功能繞過及權限提升。其中最高 CVSS 3.1 評分達 9.9 分，其影響系統如下： ： 受影響之系統： Adobe Campaign Classic v7 7.4.4 build 9402 及之前版本（Windows）。 Adobe Campaign Classic v7 7.4.4 build 9402 及之前版本（Linux）。 三、建議改善措施：             企業及使用者如有上述漏洞版本，應儘速更新至 Adobe 官方提供之修補版本，以降低遭受漏洞攻擊之風險：  請將 Adobe Campaign Classic v7 更新至 7.4.4 build 9403 或之後版本。      情資報告連結： Adobe 官方安全公告：Security update available for Adobe Campaign Classic – APSB26-162 Canadian Centre for Cyber Security – Adobe Security Advisory AV26-1092

                                                                                          Google Chrome 存在多個漏洞 一、 摘要           Google Chrome 存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發阻斷服務狀況、繞過保安限制、敏感資料洩露、遠端執行任意程式碼及資料篡改。

                                                                                                                                                                                                                                                                                     SAP 產品多個漏洞 一、 摘要   ...

  QNAP釋出QTS和QuTS多個的漏洞更新 一、 摘要         QNAP於近期釋出QTS和QuTS hero的 漏洞更新，其修補 7 個在國際駭客競賽 Pwn2Own Ireland 2025 中被成功利用的零日漏洞(Zero-Day Vulnerability)，其漏洞允許遠端攻擊者可利用這些漏洞，於目標系統觸發遠端執行任意程式碼及權限提升。       二、存在風險          QNAP NAS 於近期釋出QTS和QuTS hero的漏洞更新，此次修補的漏洞涵蓋多個方面，其漏洞允許遠端攻擊者可利用這些漏洞，於目標系統觸發遠端執行任意程式碼及權限提升。           作業系統層面，QTS 與 QuTS hero 存在三項漏洞(CVE-2025-62847、CVE-2025-62848、CVE-2025-62849)。           應用程式方面，Hyper Data Protector 資料保護軟體存在 CVE-2025-59389 漏洞、Malware Remover 惡意軟體移除工具存在 CVE-2025-11837 漏洞、HBS 3 Hybrid Backup Sync 混合備份同步軟體則有 CVE-2025-62840 與 CVE-2025-62842 兩項漏洞。 其影響系統或版本如下 ： QTS 5.2.x QuTS hero h5.2.x QuTS hero h5.3.x QuLog Center 1.8.x Qsync Central 5.0.x QuMagie 2.6.x HBS 3 Hybrid Backup Sync 26.1.x Notification Center 1.9.x (for QTS 5.2.x, QuTS hero h5.2.x) Notification Center 2.1.x (for QuTS hero h5.3.x) Notification Center 3.0.x (for QuTS hero h5.6.x, h6.0.x) Fil...

                                                                                                                                                                                                                                                       FortiSwitch 產品存在漏洞 一、 摘要           Fortinet 近日發布安全更新，其修補FortiSwitch GUI 中存在的漏洞，該漏洞是一個未經驗證的密碼變更漏洞（CWE-620...

                                                                                                                                                                                         微軟每月安全更新 一、 摘要            微軟產品存在多個漏洞，其將允許攻擊者利用該漏洞，並導致 資料洩露、 權限提升、 繞過身份驗證、 仿冒、 阻斷服務、 遠端執行程式碼和 篡改， 微軟已於本月修補多個遭到駭客廣泛利用之漏洞。

                                                                                                                                                             Juniper Networks發布路由器的重大更新資訊 一、 摘要           Juniper Networks已經釋出關於CVE-2024-2973漏洞的更新，該漏洞可導致攻擊者繞過一些路由器的身份驗證並且控制整個設備，其CVSS分數高達10分。

                                                                                                                                                            VMware修補vCenter Server heap-overflow和privilege escalation漏洞 一、 摘要           VMware於本週二(6/18)修補了位於vCenter Server中的3個安全漏洞，其中的CVE-2024-37079與CVE-2024-37080屬於堆積溢位漏洞，可導致遠端程式攻擊，其CVSS風險評分高達9.8，另一個CVE-2024-37081則是本地端權限擴充漏洞，CVSS風險評分為7.8。

Microsoft  緊急修補Patch Tuesday更新後當機問題 一、 摘要         微軟緊急釋出例外非安全更新，修補3月例行更新提供的KB5035857及KB5035855，導致Windows Server因網域控制器崩潰而造成服務停機問題。 二 、存在風險          微軟3/22緊急釋出Windows Server例外非安全更新，以解決本月Patch Tuesday造成的Windows Server機器當機無法動作的問題。          最新釋出的非安全更新編號KB5037422（OS Build 20348.2342），旨在解決3月12日Patch Tuesday釋出的Windows Server更新中LSASS（Local Security Authority Subsystem Service）服務的問題。          LSASS為強制執行安全政策及處理用戶登入、產生存取憑證及變更碼的Windows服務。這問題可能導致網域控制器（domain controller，DC）記憶體洩露，主要是發生在用戶本地部署或雲端Active Directory DC處理Kerberos驗證呼叫時，而大量洩露可能造成記憶體使用過量，導致LSASS服務停止回應及DC不預期重新啟動。          微軟現在已將最新服務堆疊更新（serving stack update，SSU）合併到最新的累積更新（LCU）。 三、建議改善措施： 從 Microsoft 更新目錄中下載非例行更新，並將其安裝在受影響的Server上。 如果安裝了3月的 Windows Server 更新，套件中的更新將被下載並安裝 ，避免駭客利用未即時更新的漏洞發動攻擊。 Windows Server 2022:   KB5037422   Windows Server 2019 ：非例行更新將在未來幾天釋出 Windows Server 2016:   KB5037423 ...

  微軟 Exchange 伺服器發現嚴重漏洞CVE-2024-21410，全球數萬台伺服器遭受影響 一、 摘要          微軟近期修補了一個影響 Exchange Server 的嚴重安全漏洞 (CVE-2024-21410)，允許遠端攻擊者在未經身份驗證的情況下發起 NTLM 中繼攻擊。具知名非營利資安組織 Shadowserver統計，全球前20名嚴重受影響的國家包括： 德國、美國、英國、法國等(其中台灣也排在第16名)(圖一)。 由於攻擊者已開始利用此漏洞，估計有 97,000 台 Exchange 伺服器受此漏洞影響，其中 28,500 台已確認存在漏洞。 圖一，受CVE-2024-21410影響嚴重的Top20地區(圖片來源： Shadowserver )

                                                                                                                            微軟每月安全更新 (2024年2月) 一、 摘要          微軟 產品存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發阻斷服務狀況、遠端執行程式碼、提升權限、資料洩漏及繞過安全限制 。

                                                                                                                           Adobe 每月安全更新 (2024年2月) 一、 摘要          Adobe 產品存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發阻斷服務狀況、跨網站指令碼、遠端執行程式碼及繞過安全限制 。

                  Fortinet 釋出 Fortigate SSL-VPN  溢位寫入漏洞 更新(CVE-2024-21762) 一、 摘要              Fortinet FortiOS中存在溢位寫入(Out-of-bound Write)漏洞[CWE-787]，允許遠程未經身份驗證的攻擊者通過惡意製作的HTTP請求執行任意代碼或命令，獲取遠端程式碼執行 (RCE)。 二 、存在風險          FortiOS 中 存在 溢位寫入(Out-of-bound Write)漏洞， 允許遠程未經身份驗證的攻擊者通過 惡意製作 的HTTP請求執行任意代碼或命令， 獲取遠端程式碼執行 (RCE) 。 此漏洞影響 SSL-VPN 元件的未知程式碼區塊。 使用未知輸入進行操作會導致溢位寫入(Out-of-bound Write)漏洞。 該漏洞的 CWE 定義為 CWE-787。 產品將資料寫入目標緩衝區的末端或開頭之前 。   其影響系統或版本如下 ： FortiOS 7.4 版本7.4.0到7.4.2 FortiOS 7.2 版本7.2.0 到 7.2.6 FortiOS 7.0 版本7.0.0 到 7.0.13 FortiOS 6.4 版本6.4.0 到 6.4.14 FortiOS 6.2 版本6.2.0 到 6.2.15 FortiOS 6.0  所有版本 FortiProxy 7.4 版本7.4.0 到 7.4.2 FortiProxy 7.2 版本7.2.0 到 7.2.8 FortiProxy 7.0 版本7.0.0 到 7.0.14 FortiProxy 2.0 版本2.0.0 到 2.0.13 FortiProxy 1.2  所有版本 FortiProxy 1.1  所有版本 FortiProxy 1.0...

  Microsoft  2023 年 12 月 Patch Tuesday 每月例行更新修補包 修復 34 個資安漏洞(內含 1 個 0-day 漏洞) 一、 摘要          Microsoft 於 2023 年 12 月 12 日釋出例行資安更新修補包「Patch Tuesday」，共修復 34 個資安漏洞，其中包含 1 個 0-day 漏洞。