CISA 新增 9 個 KEV 漏洞，揭示舊系統與 Linux 基建持續受攻擊

CISA 於 2026 年 8 月底更新 Known Exploited Vulnerabilities（KEV，已知遭利用漏洞）清單，新增 9 個漏洞。呢份清單嘅重點唔係漏洞理論上有幾危險，而係 CISA 表示有可靠證據顯示漏洞已經喺現實環境遭到利用。162

今次更新反映一個幾現實嘅保安問題：攻擊者一方面繼續搵多年未修補、甚至應該已經退役嘅舊軟件；另一方面亦瞄準 Linux 核心、網絡邊緣設備、雲端檔案服務同軟件供應鏈等現代基建。

9 個新增漏洞係乜？

今次涵蓋嘅產品包括 Red Hat、Linux、Microsoft、Ajax.NET、Citrix、ownCloud 同 JFrog：6791013

• CVE-2015-3246：Red Hat libuser 權限提升漏洞。
• CVE-2015-5287：Red Hat Automatic Bug Reporting Tool（ABRT） 權限提升漏洞。
• CVE-2022-0995：Linux 核心 watch_queue 越界寫入漏洞。
• CVE-2019-1068：Microsoft SQL Server 遠端程式碼執行漏洞。
• CVE-2021-23758：Ajax.NET Professional 不安全反序列化漏洞。
• CVE-2026-8452：Citrix NetScaler ADC 同 NetScaler Gateway 漏洞。
• CVE-2026-53362：Linux 核心 IPv6 記憶體損壞及權限提升漏洞。
• CVE-2023-49105：ownCloud Server 身份驗證不當漏洞。
• CVE-2026-66384：JFrog Artifactory 路徑穿越漏洞。

資料顯示，其中 6 個漏洞係 8 月 26 日加入；CVE-2026-53362、CVE-2023-49105 同 CVE-2026-66384 就由目錄鏡像記錄為 8 月 27 日加入。不過，部分報道將呢批更新稱為 8 月 28 日更新，日期上存在差異。46713

聯邦機構要幾時完成修補？

根據 Binding Operational Directive 22-01，美國聯邦民事行政部門（FCEB）機構必須喺 CISA 指定限期前處理 KEV 漏洞。62 今次各漏洞嘅報告限期如下：712

• 2026 年 8 月 29 日：CVE-2019-1068、CVE-2026-8452。
• 2026 年 8 月 30 日：CVE-2026-53362、CVE-2023-49105。
• 2026 年 9 月 9 日：CVE-2015-3246、CVE-2015-5287、CVE-2022-0995、CVE-2021-23758。
• 2026 年 9 月 10 日：CVE-2026-66384。

私營機構唔受呢項美國聯邦指令直接約束，但呢幾個日期仍然可以當作實用嘅優先次序。第一步應該係確認受影響產品有冇部署、係咪直接暴露喺互聯網、能否由不受信任嘅 workload 接觸，以及係咪仲留喺已停止支援嘅環境入面。

點解十年前漏洞仲可以咁危險？

CVE 嘅年份唔代表實際風險已經過時。Red Hat libuser、ABRT、Linux 核心 watch_queue、Microsoft SQL Server 同 Ajax.NET Professional 等舊元件，只要仲存在於未完全修補嘅伺服器、虛擬機映像、容器基礎映像、應用程式依賴或者舊設備入面，就仍然可能成為攻擊入口。461011

實務上，難度往往唔係「有冇補丁」，而係「仲有幾多資產自己都唔知」。安全團隊唔應該只掃描現時生產主機，亦要檢查：

• 軟件資產清單；
• 虛擬機映像同容器 base image；
• 應用程式依賴；
• 備份環境；以及
• 已停用但仍可連線嘅舊伺服器或設備。

如果短期內未能更新，應先隔離受影響系統、移除不必要嘅網絡暴露，唔好因為漏洞「好舊」就當佢冇威脅。

CVE-2026-53362：Linux IPv6 核心漏洞有幾嚴重？

CVE-2026-53362 評為 CVSS 7.8 High，影響 Linux 核心 IPv6 封包組裝路徑，涉及 __ip6_append_data() 函數。當分段 UDPv6 資料配合特定處理方式時，核心對記憶體大小計算出錯，可能令 socket buffer 分配不足，繼而向相鄰核心記憶體位置進行越界寫入。19202129

公開技術分析指出，本機低權限使用者可以透過受控制嘅 UDPv6 datagram，在封包跨越 fragment boundary、同時使用 MSG_MORE 及 MSG_SPLICE_PAGES 時觸發問題。相關分析描述，越界寫入最多可達目標 buffer 以外 15 bytes。1920

可能造成嘅後果包括：

• Linux 核心崩潰及拒絕服務；
• 記憶體損壞；
• 本機權限提升；以及
• 喺漏洞核心路徑可由容器接觸嘅設定中，出現容器逃逸至主機。

Red Hat 將問題形容為重要嘅權限提升及容器逃逸漏洞，指容器內使用者可能取得主機 root 權限，並有機會繞過 SELinux 強制執行。25 呢個漏洞喺 2026 年 7 月已經公開討論；受影響 Linux 發行版，包括 Amazon Linux 同 Red Hat 產品，亦已有修補或 backport 核心。192530

管理員應該點做？

最直接嘅永久修復方法係安裝作業系統供應商提供嘅已修補核心，然後重新啟動系統，確保實際運行緊嘅係新核心。淨係更新應用程式或者容器映像，並唔會修好主機核心漏洞。172425

建議再確認以下幾點：

1. 實際運行中嘅核心版本已經修補，而唔係只係套件管理器顯示已安裝更新；
2. 容器主機、worker node 同 Kubernetes 節點全部納入修補範圍；
3. 對受影響系統進行檢查，睇下有冇可疑嘅本機提權活動；以及
4. 永久修補完成後，重新評估任何臨時緩解措施，避免留低不必要設定。

所謂 AI agent 攻擊報道，已經證實未？

有幾篇報道聲稱，AI agent 將 Artifactory 路徑穿越問題同 CVE-2026-53362 串連使用，從容器逃逸，並喺一個與 OpenAI 有關嘅 worker 環境取得 root 權限。1828

但呢個講法暫時要留一線。現有材料主要係二手報道，未包括 CISA 或 OpenAI 發布嘅事故報告。CVE-2026-53362 本身嘅技術風險有獨立資料支持，但具體歸因、攻擊鏈同 OpenAI 環境嘅說法，喺提供嘅證據中仍未獲確認。因此，呢宗事件應視為未經核實嘅指稱，而唔係已確立事實。

Linux 正成為直接攻擊目標

今次 KEV 更新亦符合一個更廣泛趨勢：Linux 唔再只係攻擊者用嚟發動攻擊嘅工具，佢本身亦係高價值目標。Linux 核心、Web server、託管平台、容器、artifact repository 同雲端 workload，往往位於多個應用程式或租戶之下；底層一旦失守，攻擊者可能取得持久化、憑證、橫向移動，甚至由容器跳到主機嘅機會。

近期報道將多平台 SystemBC proxy malware 家族，與全球超過 10,000 個受感染 IP 地址 聯繫起來，當中包括 Linux 系統同伺服器環境。SystemBC 可以將受感染機器變成 SOCKS5 relay，令攻擊者借受害者網絡轉送流量、掩飾自己嘅基礎設施，並維持存取權。373843

勒索軟件亦逐步唔再局限於 Windows。政府及業界資料指，Gunra 於 2025 年首次出現，2026 年擴展成 ransomware-as-a-service（RaaS）模式，採用雙重勒索，並已有 Linux 變種。333536

今次更新對企業嘅實際提醒

CISA 呢 9 個新增項目帶出嘅訊息好清楚：漏洞排序唔可以只睇 CVSS 分數，或者只追最新公開嘅漏洞。更有效嘅做法，係將以下因素放埋一齊考慮：

• 有冇證據顯示漏洞已經遭到利用；
• 資產係咪直接暴露；
• 軟件有幾舊、係咪已停止支援；以及
• 系統喺整個基建入面擔當咩角色。

對企業而言，優先工作包括盡快修補互聯網暴露服務、淘汰或隔離舊元件、更新主機核心、重新檢查容器邊界，同埋將 artifact store、身份驗證工具及其他基建元件當成關鍵保安系統處理。對雲端環境嚟講，主機核心或者建置供應鏈嘅一個小漏洞，可能唔止影響一台機，而係牽連多個應用程式、租戶同資料集。