OpenJS 暫停一般 CVE 處理三周：AI 漏洞回報如何堵塞 JavaScript 安全流程
OpenJS Foundation 旗下的 OpenJS CNA 表示，將於 2026 年 9 月 17 日至 10 月 6 日暫停一般資安作業，並計劃在 10 月 7 日恢復處理。受影響的範圍包括一般漏洞通報的分類與確認、安全公告驗證，以及 CVE 編號的指派和發布。對使用 Node.js、Express 或 Lodash 的開發團隊而言，短期最直接的改變未必是某個已知漏洞突然無法修補，而是安全資訊完成確認、取得正式編號及對外公告的時間可能拉長。
最重要的限制是，這次暫停針對的是一般案件的處理流程，並非完全停止接收通報。iThome 報道指出，若漏洞已被實際利用，或可能即時造成重大風險，OpenJS CNA 仍會優先應對。因此，CVE 處理延遲不能直接解讀為漏洞修補工作全面中斷，也不能據此推定所有未有 CVE 的問題風險較低；它反映的是公開漏洞治理在確認與排序環節出現了人手瓶頸。
AI 令通報量上升，人工核實仍不可省略
iThome 報道引述 OpenJS 的 2026 年第二季資安進展：Node.js 安全團隊在今年 2 月收到的 HackerOne 漏洞通報，一度升至原有水平的 4.6 倍，3 月單月則有 65 宗。Express 與 Lodash 收到的報告之中，最終被拒絕的比例介乎 70% 至 90%。這些數字不代表 AI 產生的報告必然無效，更不能把提交者一概視為惡意；較合理的解讀是，生成式工具降低了撰寫報告、整理程式碼路徑和提出假設的門檻，同時也增加了重複、誤判或證據不足個案進入審核隊列的機會。
漏洞回報的價值不只在於文字看來合理。維護團隊仍要重現問題、判斷受影響版本與預設設定、評估可否被外部攻擊者利用，並釐清是否與既有問題重複。iThome 指出，OpenJS 已調整通報要求，Node.js 安全團隊亦開始以 LLM 輔助工具，在人工審查前評估報告可信度。不過，這類工具較適合協助篩選和整理，不能取代最終技術判斷；一宗表面完整的報告，仍可能在實際環境中無法重現，或只適用於非常狹窄的使用條件。
CVE 編號增加，未必代表風險按同一幅度惡化
iThome 報道亦提到，OpenJS CNA 發布的 CVE 數量由 2025 年下半年 3 個，增加至 2026 年上半年 49 個。這個落差顯示安全處理量有明顯變化，但不能單靠編號數量推論 Node.js 生態的實際漏洞風險上升了相同倍數。CVE 數字同時會受發現率、披露節奏、審核資源、案件拆分方式及通報質素影響；當更多人和自動化工具投入尋找問題，已存在但未被正式記錄的風險也可能更快浮現。
反過來說，編號與公告延後也會令依賴管理工具和內部風險流程出現資訊落差。很多團隊會以 CVE、套件公告或掃描結果作為升級依據；當一般案件仍在排隊核實，這些公開訊號未必能即時呈現最新狀況。這不表示開發者應忽略正式安全公告，恰好相反：正式編號仍是跨團隊溝通、追蹤例外處理和建立修補紀錄的重要共同語言，只是在這段期間不宜把「尚未有 CVE」當成安全保證。
香港 Node.js 團隊可怎樣縮短資訊落差
對香港使用 JavaScript 與 Node.js 的公司，較實際的做法是把安全追蹤分成「官方確認」和「內部暴露評估」兩條線。第一條線應持續留意相關專案的安全公告、版本更新及依賴套件的發布資訊，待一般案件恢復處理後，再把新出的 CVE 納入既有修補清單。第二條線則不應完全等公開編號才開始：若團隊從供應商、相關專案的程式碼儲存庫或可信通報渠道得知具體問題，應先盤點是否使用受影響套件、版本及功能路徑，判斷自身部署是否具備可被利用的條件。
依賴更新亦要避免兩個極端。一方面，為了追求「零警報」而不加測試地大幅升級，可能為支付、會員、後台或 API 系統引入相容性問題；另一方面，只因未見 CVE 便長期停留在舊版，也會錯過項目已發布的安全修正。較穩妥的安排是保留套件鎖定檔與軟件物料清單，識別直接和間接依賴，先在測試環境驗證升級，再按系統對外暴露程度、資料敏感度及可行緩解措施排定生產環境更新次序。這些措施處理的是自身風險，並不依賴外部審核隊列何時清空。
需要觀察的是審核能力能否跟上新型工作量
OpenJS CNA 的安排揭示一個更廣泛的取捨：AI 可以令安全研究與回報更容易，但開源項目的信任機制仍取決於有人能夠驗證事實、排除雜訊，以及把有限資源優先放在正被利用或具重大即時風險的問題上。iThome 報道指出，現有志工人力已難以長期承擔增加中的工作量；短暫暫停一般作業，可視為讓團隊集中處理高風險個案，並維持審核質素的安排。
10 月 7 日恢復處理後，值得留意的將是積壓個案能否有序消化，以及 OpenJS 對通報門檻、輔助篩選和志工支援會否再作調整。對採用 Node.js 生態的團隊，這段時間應把重點放在可驗證的版本資訊、實際暴露面與測試過的更新計劃，而不是只等待 CVE 資料庫出現新條目。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — OpenJS CNA面臨AI生成漏洞通報增加，將暫停CVE處理近3週 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
