Tech News
CISA 將 SSHole 等四漏洞列 KEV 企業應先核對暴露面
圖片：TechLab 自製資訊圖
TechLab 編輯部（譯）·
美國網絡安全及基礎設施安全局（CISA）把四個漏洞加入已遭利用漏洞目錄（KEV）。iThome 報道指出，CISA 已掌握這些漏洞遭積極利用的證據，涉及 OpenSSH、GPUStack、FreeSWITCH 及 IBM Aspera Faspex。這類警報的重點不只在於漏洞評分，而是攻擊者已可能把相關弱點納入實際攻擊鏈。
不過，現有資料未列出受影響版本、安裝條件或公開修補版本。管理員不宜單憑產品名稱假定環境受影響，應以供應商公告、實際資產版本及服務暴露情況作最終判定。
四項漏洞與排查重點
| 產品／平台 | 漏洞編號 | iThome 所述問題 | 優先檢查方向 |
|---|---|---|---|
| GPUStack | CVE-2026-102895 | 身份驗證不當 | 盤點 AI 模型部署及 GPU 資源管理環境，限制管理介面對外存取，核對修補公告。 |
| FreeSWITCH | CVE-2026-116779 | 程式碼注入 | 核實通訊平台實例及其管理入口，優先套用供應商修補，覆查異常設定或程序活動。 |
| OpenSSH（SSHole） | CVE-2026-123158 | 身份驗證繞過 | 檢查所有 server、跳板機及自動化連線環境的 OpenSSH 版本與設定，審閱近期登入紀錄。 |
| IBM Aspera Faspex | CVE-2026-123218 | 授權不當 | 盤點企業檔案傳輸平台及外部使用者權限，限制管理介面，核對官方修補或緩解指引。 |
iThome 指出，SSHole 的影響範圍相對廣，OpenSSH 團隊公布資訊後不久，資安公司 Previdian 已偵測到利用活動；其餘三項漏洞的 CVSS 分數均為 9.8。對營運團隊而言，兩組訊號應分開處理：高分代表潛在嚴重性，納入 KEV 則代表修補次序需要前移。
先處理「可被碰到」的系統
建議先找出可由互聯網直接連線、可經 VPN 或供應商帳戶抵達，以及持有高權限憑證或敏感檔案的實例；再按官方指引更新、套用緩解措施或暫時收窄存取來源。
修補後亦應檢查相關帳戶登入、權限變動、排程工作及服務設定。這不是因為所有受影響系統都已遭入侵，而是 KEV 的「已遭利用」訊號意味著，只做版本更新未必足以回答環境此前有否被接觸過。
iThome 報道稱，CISA 要求美國聯邦機構在 11 月 12 日前完成修補。該期限並不直接適用於香港機構，卻可作為風險排序的參考：接下來應留意各供應商補充的受影響版本、修補安排及偵測指標，尤其是 OpenSSH 與對外檔案傳輸服務的部署情況。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — CISA警告SSHole等4個資安漏洞已遭積極利用 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
