CISA 再添三個已知被利用漏洞 Windows、PHP、Collabora 齊中招

CISA 再添三個已知被利用漏洞，Windows、PHP、Collabora 齊中招資安圈呢個禮拜又熱鬧咗。美國 CISA（網絡安全暨基礎設施安全局）喺 10 月下旬連續將三個漏洞加入佢哋嘅「已知被利用漏洞目錄」（Known Exploited Vulnerabilities，KEV），意味住呢啲漏洞已經被攻擊者喺現實世界入面實際利用緊，唔再係「理論上存在風險」咁簡單。三個新漏洞，逐個睇第一...

CISA 再添三個已知被利用漏洞，Windows、PHP、Collabora 齊中招

資安圈呢個禮拜又熱鬧咗。美國 CISA（網絡安全暨基礎設施安全局）喺 10 月下旬連續將三個漏洞加入佢哋嘅「已知被利用漏洞目錄」（Known Exploited Vulnerabilities，KEV），意味住呢啲漏洞已經被攻擊者喺現實世界入面實際利用緊，唔再係「理論上存在風險」咁簡單。

三個新漏洞，逐個睇

第一個係 Collabora Online 嘅問題（CVE 未有公開編號，但 CISA 已列入目錄）。呢個漏洞影響 NextCloud 平台入面嘅內建 CODE server，屬於 OS command injection（作業系統命令注入），攻擊者可以喺 CODE server 冇運行嘅情況下達成遠端程式碼執行（RCE）。簡單嚟講，就係攻擊者可以喺未經授權嘅情況下，令到伺服器執行任意指令。相關 CWE 係 CWE-78，即係典型嘅「冇過濾用户輸入就直接拼入 system command」嘅漏洞。

第二個係 Microsoft Windows 嘅命令注入漏洞（CVE-2026-96951）。呢個漏洞位於 Windows Shell，允許未經授權嘅攻擊者透過網絡繞過某啲安全功能。相關 CWE 係 CWE-77。CISA 喺 10 月 13 日將佢加入目錄，要求聯邦機構喺 10 月 16 日前完成修補。值得留意嘅係，CISA 標示「已知被用於勒索軟件攻擊？未知」，即係暫時未確認同勒索軟件有關，但既然入咗 KEV，就代表佢已經喺野外被利用。

第三個係 PHP 嘅漏洞（CVE-2026-109619）。呢個係一個「stale internal request-state」漏洞，允許未經授權嘅遠端程式碼執行，牽涉 CWE-416（use-after-free）、CWE-755、CWE-824、CWE-1325、CWE-1419 等多個弱點類別。CISA 喺 10 月 26 日先將佢加入，聯邦機構嘅修補死線係 10 月 29 日。

點解 KEV 目錄咁重要？

CISA 嘅 KEV 目錄之所以咁受重視，係因為佢唔係「掃描器報出嚟嘅一堆漏洞」，而係「已經有人喺真實攻擊入面用緊」嘅漏洞。根據 CISA 嘅標準，入得 KEV 嘅漏洞必須同時符合三樣嘢：

1. 有 CVE 編號
2. 有可靠證據顯示已經被積極利用
3. 有明確嘅修補方法（patch、升級或緩解措施）

所以對 IT 團隊嚟講，KEV 目錄係一個「優先修補清單」——與其喺幾千個漏洞入面大海撈針，不如先集中火力搞掂 KEV 入面嗰啲。

BOD 26-04：新增嘅鑑識要求

今次 CISA 嘅公告仲提到一個新嘢——BOD 26-04（Binding Operational Directive，具約束力營運指令）。呢個指令要求聯邦機構喺處理 KEV 漏洞時，仲要做「鑑識分診」（forensic triage）。即係話，唔單止要 patch，仲要查返「呢部機有冇已經俾人入侵咗」。

呢個其實係一個好重要嘅方向轉變。以前大家嘅心態係「有漏洞就補」，而家嘅心態係「有漏洞，即係可能已經俾人入咗嚟，要查清楚」。呢個同近年「假設已經被入侵」（assume breach）嘅資安哲學一脈相承。