## 零日漏洞危機：Gogs RCE、FortiClient EMS 漏洞與微軟研究員封殺事件
2026年5月，網絡安全界接連爆出重大零日漏洞同業界爭議，值得每位 IT 人密切關注。
👉 延伸閱讀：Palo Alto PAN-OS 漏洞遭大規模利用 企業修復攻略一文睇晒
### 零日漏洞：Gogs RCE 高危漏洞曝光
開源自託管 Git 平台 Gogs 被發現一個嚴重嘅零日漏洞（CVE-2026-XXXXX），容許任何已驗證用戶執行任意代碼。根據 The Hacker News 報導，呢個 RCE（Remote Code Execution）漏洞存在於 Gogs 嘅 repository file handling 機制中，attacker 只需要一個 valid account 就可以完全控制伺服器。
Gogs 係唔少 startup 同中小企用嚟做 private Git hosting 嘅 popular solution，全球估計有超過 10 萬個 instance 正在運行。呢個零日漏洞嘅影響範圍非常大，特別係好多內部 deployment 冇 expose 喺 internet 但內部 network 仍然 vulnerable。
暫時緩解措施：升級到最新版本，同埋限制用戶權限。未有 patch 前，建議暫時 disable public registration 同使用 network segmentation 隔離 Gogs instance。
### 零日漏洞：FortiClient EMS 漏洞被利用部署 Credential Stealer
另一個令人擔憂嘅零日漏洞出現喺 Fortinet 嘅 FortiClient EMS（Endpoint Management Server）。Threat actor 正在 active exploit 呢個漏洞，部署 credential stealer malware 去竊取企業憑證。
FortiClient EMS 係 Fortinet Security Fabric 嘅核心組件，用於管理 endpoint 安全策略。一旦被 compromise，attacker 唔單止可以偷 credentials，仲可以 pivoting 到整個 corporate network。根據 BleepingComputer 同 The Hacker News 嘅報導，受影響嘅版本包括 FortiClient EMS 7.0.x 同 7.2.x。
Fortinet 已發布緊急安全公告，建議所有用戶立即升級到最新 patch version。呢單再次證明：零日漏洞唔係 theoretical threat，而係 real-world attack vector。
### 零日漏洞與研究員倫理：微軟封殺 GitHub 研究員引爆爭議
Microsoft 最近 remove 咗一個 GitHub security researcher 嘅 account，原因係該研究員公開披露咗一個影響 Azure 服務嘅 zero-day vulnerability，而未有俾 Microsoft 足夠時間修復。呢個舉動喺資安社群引發激烈討論。
傳統上，responsible disclosure 要求研究員俾 vendor 90 日時間修復。但近年越嚟越多研究員認為呢個 timeframe 太長，特別係當 vendor 反應緩慢嘅時候。Microsoft 強調”公開披露零日漏洞會將用戶置於風險之中”，但研究員反駁話”vendor 拖延 patch 先係真正嘅風險”。
Google Project Zero 嘅 90 日 policy 一直係業界標準，但近年部份組織開始縮短到 30 日甚至 7 日。呢場爭論反映咗零日漏洞時代嘅根本矛盾：速度 vs 責任。
### 零日漏洞防禦：企業應對策略
面對接連出現嘅零日漏洞威脅，企業可以採取以下措施：
– **部署 EDR/XDR 方案**：先進嘅 endpoint detection 可以喺 exploit 發生時即時偵測異常行為
– **Network Segmentation**：限制 lateral movement，就算一個 service 被 compromise 都唔會全網淪陷
– **Zero Trust Architecture**：永遠唔好信任任何內部 traffic，所有 access 都要 authenticate + authorize
– **Regular Patching**：雖然零日漏洞冇 patch，但 keep 系統 updated 可以減少已知漏洞嘅風險
– **Threat Intelligence**：訂閱 CISA KEV、NVD 同 vendor security advisory，第一時間知道新威脅
🔗 參考資料：NVD NIST 漏洞資料庫
> 📌 零日漏洞係 2026 年最棘手嘅資安挑戰。Gogs RCE、FortiClient EMS credential theft、同微軟研究員爭議，三件事都指向同一個結論：traditional security approach 已經唔夠。企業需要 layered defense + zero trust + threat intelligence 三管齊下先可以應對零日漏洞嘅威脅。
#零日漏洞 #Gogs #Fortinet #Microsoft #網絡安全
