漏洞、威脅情資、防護思維與事件觀察。聚焦近一到兩週的事件,用看得懂的語言拆解技術細節。
Zyxel 於 11 月 3 日發布安全公告修補 GS1900 系列交換機的越界寫入漏洞 CVE-2026-107441(CVSS 9.8)。該漏洞在修補前已遭攻擊者利用,波及 48 國 996 台設備。值得注意的是,6 月針對 CVE-2026-7273 的修補未能阻止這波攻擊,因為攻擊者利用的是另一個獨立漏洞。
Check Point Research 於 11 月 5 日披露一項已修補的 ChatGPT 漏洞:HTML 頁面預覽沙箱保留了彈窗令牌,攻擊者可藉嵌套 iframe 取得原生 window.open,繞過鎖定模式的全部出站限制,靜默外洩對話記錄、偽裝視窗推送惡意程式、竊取憑證,桌面端更可零點擊觸發。OpenAI 已於 9 月 18 日移除兩項令牌完成修補。
美國 CISA 將 WordPress 核心升級流程的競態條件漏洞 CVE-2026-119977(CVSS 8.1)列入已知遭利用漏洞目錄,確認攻擊者已在野利用。影響版本涵蓋 4.7 至 7.1.3,官方已於 10 月 28 日釋出 7.1.4 修補,站方應儘速升級並檢查伺服器是否遭植入後門。