11 月 11 日，Apache HTTP Server 和 Node.js 都發布了涉及 HTTP/2 的安全更新。這之前，Chrome、Outlook、OpenSSH 和 SonicWall 的漏洞已被列入已知遭利用清單。維護多套系統時，最先要確認的是自己的版本與設定是否受影響，以及攻擊者能不能接觸到該功能。 Apache 公告 · Node.js 公告 · CISA KEV

本文盤點 11 月 1 日至 12 日新增到 CISA KEV 的 13 筆漏洞，並補上這段期間 Apache、Node.js、SAP、FortiMail、Windows 和 AWS REX 的重點修補。各公告沿用來源標示的日期，查核截至 2026 年 11 月 12 日晚間（台灣時間）。 CISA 官方資料，目錄版本 2026.11.10

封面為 AI 生成的紙板插畫。

CISA 在 11 月上旬新增的 13 筆已知遭利用漏洞

KEV（Known Exploited Vulnerabilities） 是美國網路安全暨基礎設施安全局（CISA）維護的已知遭利用漏洞目錄。表中的日期是 CISA 納入日期。例如 WordPress 在 10 月 28 日就發布修補，11 月 3 日才因已有利用證據列入 KEV。若系統版本仍在影響範圍，這項新資訊會改變更新的優先順序。 CISA KEV · WordPress 7.1.4 發行說明

納入 產品與漏洞 影響與修補方式
11/3 WordPress Core CVE-2026-119977 核心更新進行中可能發生競態條件，讓未登入者執行程式碼。7.1 支線更新至 7.1.4 以上，其他支線核對適用的安全回補。 WordPress 發行說明 · NC4 修補版本表
11/4 Apple WebKit CVE-2024-27834 已有任意記憶體讀寫能力的攻擊者，可能進一步繞過指標驗證。Safari 17.5 等 2024 年的安全更新已包含修補，仍在使用受影響版本的裝置應依產品更新。 Apple 公告 · CVE 影響範圍
11/6 SonicWall SonicOS SSL VPN CVE-2026-19868 攻擊者若有替代驗證方式的有效登入憑證，可能繞過 SAML 所要求的 MFA。Gen 7 更新至 7.3.4-7013 以上，Gen 8 更新至 8.2.3-8015 以上。 SonicWall 修補公告 · CVE 紀錄
11/9 GPUStack CVE-2026-102895 認證繞過可能讓未登入者取得管理員權限，經反向代理部署的實例也要核對。升級至 2.2.0 以上。 GPUStack 公告
11/9 FreeSWITCH CVE-2026-116779 受影響的 SIP 服務可能讓未登入者執行 FreeSWITCH API 指令。升級至 1.11.3 以上。 FreeSWITCH 公告
11/9 OpenSSH CVE-2026-123158 使用 musl libc、未啟用 PAM 且開放密碼登入的部分 Linux 環境，特定帳號可能遭繞過驗證。升至上游 10.6p2 或發行版的回補套件，再重啟 sshd。 OpenSSH 發行說明 · Alpine 修補公告
11/9 IBM Aspera Faspex CVE-2026-123218 已登入的使用者可能繞過授權取得管理員權限。IBM 指定升級至 5.0.19 PL1，並確認執行中的 faspex-core 映像包含 Fix Pack 1。 IBM 公告
11/10 Barracuda Email Security Gateway CVE-2026-116606 ESG 管理介面有認證繞過風險。依機型及韌體確認原廠安全修補已套用。 Barracuda 公告
11/10 Barracuda 多項設備 CVE-2026-111560 命令注入漏洞，影響 ESG、ADC、WAF 等設備。依原廠公告的產品與韌體對照表套用修補。 Barracuda 公告
11/10 Openwave Webtop Media Transcoder CVE-2026-111793 已登入使用者可能繞過文件轉檔的檔案類型限制。供應商列出的首個修補版是 1.1.22.0。 Openwave 公告
11/10 Microsoft Outlook CVE-2026-124194 使用者開啟特製郵件檔時，可能外洩 NTLM 驗證資料。套用 11/10 的 Office 安全更新，依安裝產品與更新通道核對組建版本。 Microsoft Office 更新 · CSIRT 通報
11/10 Google Chrome CVE-2026-125350 XML 元件的記憶體漏洞可導致瀏覽器沙箱內的程式碼執行。Google 11/9 發布修補，將桌面穩定版更新至 157.0.8103.50 或更新版本後重啟。 Chrome 公告 · CVE 紀錄
11/10 Cisco BroadWorks CVE-2026-20320 XML 處理漏洞可能讓未登入者讀取敏感檔案。首個修補版是 RI.2026.07，各元件的升級路徑依 Cisco 公告。 Cisco 公告

OpenSSH 的修補在 11/5 發布，GreyNoise 於 11/7 在監測環境觀察到成功利用，CISA 再於 11/9 收錄。上游修補版是 10.6p2，但發行版可能把修補套回原本的套件版本。例如 Alpine 3.24 已在 10.3_p1-r2 包含這項修補，盤點時應對照所在支線的版本表。 GreyNoise 觀測紀錄 · Alpine 套件版本表 · CISA 官方資料

Barracuda 在 11/2 公告這兩項漏洞，並於 11/9 確認少數組織的 ESG 遭到利用。若管理介面先前開放給不受信任的網路，安排更新時也要依原廠指引檢查是否已有入侵跡象。 Barracuda 公告 · MyCERT 通報

11 月發布的其他重要安全更新

Apache 和 Node.js 在 11/11 都修了 HTTP/2 問題，兩者各自有受影響的版本和功能。如果同一套服務用 Apache 接收流量，後端又跑 Node.js，應分別確認兩個程序實際使用的版本。 Apache 公告 · Node.js 公告

發布 產品與漏洞 影響與修補方式
11/6 AWS Trusted Remote Execution（REX） CVE-2026-122193 舊版安裝範例建立的 Rex-RO、Rex-RW SSM 文件有命令注入風險。已有呼叫權限的使用者可能在受管主機上執行沙箱外的命令。AWS 建議清查每個執行過範例的帳號及區域，刪除受影響的文件。 AWS 公告
11/10 SAP NetWeaver ICM、Web Dispatcher CVE-2026-76964、CVE-2026-89126 兩項皆為 CVSS 10.0。未登入的攻擊者可能遠端執行程式碼。依元件套用 Security Note 3778530 或 3778556。 SAP Patch Day · ICM CVE · Web Dispatcher CVE
11/10 SAP Gateway、SAML2 Service Provider CVE-2026-89103、CVE-2026-120017 同批另有兩項 CVSS 10.0 的存取控制與驗證問題。依元件套用 Security Note 3798345 或 3849308。 SAP Patch Day
11/10 Windows LDAP CVE-2026-119958 CVSS 9.8。部分 Windows 與 Windows Server 版本的 LDAP 元件有遠端程式碼執行風險，依作業系統版本套用 11 月安全更新。 Microsoft 公告與更新清單 · CVE 影響範圍
11/10 Fortinet FortiMail CVE-2026-126147、CVE-2026-126148 兩項皆為 CVSS 9.8，未登入的攻擊者可能執行程式碼或命令。8.0 與 7.6 支線分別升至 8.0.2 和 7.6.7 以上。CVE-2026-126147 另影響 7.4.0 至 7.4.8 及 7.2 支線，7.4 升至 7.4.9 以上，7.2 依公告遷移至有修補的版本。 Fortinet FG-IR-26-199 · Fortinet FG-IR-26-200
11/11 Apache HTTP Server CVE-2026-119618 Apache 評為 Critical。使用 mod_http2 的 httpd 2.4.55 至 2.4.70 可能發生記憶體破壞並導致遠端程式碼執行。升至上游 2.4.71，或套用 Linux 發行版對這個 CVE 的修補。 Apache 公告 · Red Hat 套件公告
11/11 Node.js CVE-2026-123864、CVE-2026-123866 等 這批包含 HTTPS 跨連線資料外洩，以及 HTTP/2 的記憶體與可用性問題。各 LTS 支線升級至 26.13.1、24.22.3、22.23.5 或更新的安全版本。 Node.js 11 月安全公告

FortiMail 這兩項的原廠公告標示 11/10，CVE 紀錄則在 台灣時間 11/12 凌晨公開。查修補版本時，可先用原廠公告編號對照產品支線。 CVE-2026-126147 紀錄 · CVE-2026-126148 紀錄

React RSC 與 PHP2Shell 的 11 月進展

React Server Components 的遠端程式碼執行漏洞在 10/14 首次公開，GitHub 安全公告於 11/10 更新 CVE 編號 CVE-2026-126187，評分為 CVSS v4.0 9.5。使用 react-server-dom-webpack、react-server-dom-turbopack 或 react-server-dom-parcel 的應用，應核對所屬支線。這四條 React 支線的首個修補版是 19.0.9、19.1.10、19.2.9、19.3.1。 React 官方公告 · GitHub CVE 更新

Next.js 的對應公告列出 16.0.0 至 16.4.0。受影響的應用使用 App Router 和 Cache Components，且有回傳多個 TypedArray 的 use cache 函式。核對 Next.js 專案時，先看正式環境安裝的 next 版本。這項漏洞的首個 Next.js 修補版為 16.4.1。 Next.js 公告

PHP2Shell 的兩項漏洞（CVE-2026-109618、CVE-2026-109619）在 10/21 已發布修補，10/26 納入 KEV。新加坡網路安全局於 11/3 發布通報，指出有攻擊針對受影響的 Palo Alto Networks 防火牆管理介面。自管 PHP 的各支線修補起點是 8.5.12、8.4.27、8.3.36、8.2.35。若 PHP 內嵌在設備中，更新版本要看設備廠商的公告。 PHP 10 月安全公告 · 新加坡網路安全局通報 · Palo Alto Networks 公告

怎麼排修補順序

先找已知遭利用，而且可從不受信任網路接觸的服務，例如 SSL VPN、郵件閘道、公開的 WordPress 和 SSH。確認版本受影響後，安排修補。維護窗口之前若能限制管理介面與服務的可達範圍，可先依原廠指引縮小暴露。曾暴露且有可疑活動的設備，應保存相關紀錄並同步調查。

Apache、Node.js 或 SAP 等服務的順序，則取決於受影響功能是否在使用，以及請求能否從外部到達。套件更新完成後，確認實際接收流量的程序已重啟、容器已重新部署，或代管服務已切到新版。桌面端也一樣，Chrome 需要重啟才能切換到已更新的版本，Outlook 則可依公司使用的 Office 更新通道驗證組建。 Chrome 發行說明 · Microsoft Office 安全更新

可接著對照前一輪的 10 月資安事件總整理 與 PHP2Shell 漏洞解析。