---
layout: post
title: "2026 年 10 月重大資安公告：GitLab、PHP、Node.js 與憑證信任事件"
description: "整理 GitLab、PHP、Node.js、Ruby、Go 與 Oracle 的近期資安公告，以及 Fortinet 更新、eMudhra 憑證與 Zeabur 事件，附企業修補清單。"
author: Mark_Mew
categories: [Security]
tags: [CVE, GitLab, PHP, Node.js, Fortinet, Linux, TLS, PKI, Zeabur]
keywords: [2026 資安漏洞, GitLab RCE, PHP RCE, Node.js Brotli, eMudhra, Fortinet, Zeabur]
lang: zh-TW
date: 2026-10-23
---

**資料更新至 2026 年 10 月 26 日（台灣時間）。**這一週的資安資訊同時包含產品漏洞、修補版本、憑證信任事件、協調揭露爭議與雲端平台入侵。它們的性質、首次公開日期與處置方式不同，不能只按 CVE 數量排列優先級。

本文整理近期重大 CVE 與相關安全事件，依原始公告說明影響範圍、修補方式及企業應優先採取的措施。

## 事件時間軸

日期採來源的公告日或事件日；Zeabur 事件時間為 UTC，並非台灣日期。表中「首次揭露」與「修補發布」也不應視為同義。

| 日期 | 來源／產品 | 事件性質 | CVE／公告 | 實務風險 | 來源 |
|---|---|---|---|---|---|
| 8/27 | Zeabur | 8 月入侵事件 | 非 CVE | 平台內儲存的機密可能外洩 | [8 月報告](https://dash-new.zeabur.com/blogs/august-2026-security-incident) |
| 10/12 | GitLab | 另一批修補發布 | CVE-2026-97229 | 特定條件下未驗證 RCE | [GitLab](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/) |
| 10/13 | SAP | 10 月 Security Patch Day | CVE-2026-89111 等 | 四項 Critical 漏洞 | [SAP](https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2026.html) |
| 10/14 | Cisco Secure Email Gateway | 漏洞公告 | CVE-2026-76519 | 官方確認已遭利用 | [Cisco](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp) |
| 10/14 | NGINX | 安全版發布 | 五項 CVE | 依模組及組態判斷影響 | [NGINX](https://nginx.org/news.html) |
| 10/14–15 | Zeabur | 10 月入侵事件 | 非 CVE | 輪替憑證並查核紀錄 | [10 月初步報告](https://dash-new.zeabur.com/blogs/october-2026-security-incident) |
| 10/17 | eMudhra／emSign | 中繼 CA 私鑰風險獲通報 | 非單一 CVE | 信任鏈須更新 | [Mozilla 事件追蹤](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) |
| 10/19 | Zeabur | 10 月事件初步報告發布 | 非 CVE | 輪替憑證、查核紀錄 | [Zeabur](https://dash-new.zeabur.com/blogs/october-2026-security-incident) |
| 10/20–21 | Python 生態 | 憑證信任更新 | GHSA／套件公告 | 舊版 CA bundle 仍可能信任問題憑證 | [Python 公告](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) |
| 10/21 | GitLab | 緊急修補發布 | CVE-2026-110264 等 | 未驗證 RCE | [GitLab](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) |
| 10/21 | PHP | 安全版本發布 | CVE-2026-109618、CVE-2026-109619 | 未驗證 RCE | [PHP](https://www.php.net/archive/2026.php#2026-10-21-5) |
| 10/21 | Node.js | 安全版本發布 | CVE-2026-111497 等 | Brotli RCE、TLS／DNS 驗證問題 | [Node.js](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) |
| 10/21 | Go | 標準函式庫公告 | CVE-2026-111943 | 特定環境的憑證驗證 | [Go 漏洞資料庫](https://pkg.go.dev/vuln/GO-2026-6809) |
| 10/21 | Oracle Java | Security Alert 發布 | CVE-2026-91403 | JSSE 漏洞 | [Oracle](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) |
| 10/21–22 | Fortinet | 預告／協調安全更新 | 待 PSIRT 個別對應 | 網路設備須安排升級 | [Fortinet](https://www.fortinet.com/uk/blog/ciso-collective/fortinet-releases-security-hardening-release-for-multiple-products) |
| 10/21 | ZDI／Linux | Upcoming 列表更新 | ZDI-CAN，非 CVE | 盤點核心功能與修補狀態 | [ZDI](https://www.zerodayinitiative.com/advisories/upcoming/) |
| 10/23 | Ruby | Onigmo 修補版發布 | 與四項 GitLab CVE 相關 | 檢查不可信正規表示式輸入 | [Ruby](https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/) |
| 10/23 | PHP | 特殊 session 組態的資訊公告 | CVE-2026-115560 | 暫行設定建議，完整公告待發布 | [PHP](https://www.php.net/archive/2026.php) |

## 已確認的重大 CVE

分數只列官方明示者；**CVSS v3.1 與 v4.0 不直接比較**。「未見官方確認」不等於已證明不存在利用。下表為本文重點的 **11 個已確認 CVE**，不是整週漏洞總數。SAP 四項 Critical 漏洞另列於下文；PHP 尚待完整公告的 CVE 與 NGINX 官方標為 medium 的五項也不計入此表。

| CVE | 產品／類型 | 官方分數 | 已知利用 | 修補狀態與優先級 |
|---|---|---|---|---|
| [CVE-2026-110264](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) | GitLab 正規表示式編譯整數溢位，特定條件下未驗證 RCE | v3.1 10.0 | 未見官方確認 | 升至對應修補分支；最高 |
| [CVE-2026-97229](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/) | GitLab CI/CD 正規表示式編譯整數溢位，特定條件下未驗證 RCE | v3.1 10.0 | 未見官方確認 | 依 10/12 公告升級；最高 |
| [CVE-2026-109618](https://www.php.net/archive/2026.php#2026-10-21-5) | PHP 記憶體不足時的狀態損毀，可能 RCE | v4.0 9.2 | 未見官方確認 | 升至 8.5.12／8.4.27／8.3.36／8.2.35；最高 |
| [CVE-2026-109619](https://www.php.net/archive/2026.php#2026-10-21-5) | PHP 跨請求殘留狀態，可能 RCE | v4.0 9.2 | 未見官方確認 | 同上；最高 |
| [CVE-2026-111497](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) | Node.js Brotli 解碼器越界寫入，可能 RCE | 官方標示 High，未列數字 | 未見官方確認 | 安裝所用分支的 10/21 安全版；高 |
| [CVE-2026-105482](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) | Node.js DNS 名稱 NUL 截斷 | 官方標示 High，未列數字 | 未見官方確認 | 同上；高 |
| [CVE-2026-105483](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) | Node.js 全形數字 IP 主機名的 TLS 驗證繞過 | 官方標示 High，未列數字 | 未見官方確認 | 同上；高 |
| [CVE-2026-106069](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) | Node.js 非標準 IP 表示法的 TLS 驗證繞過 | 官方標示 High，未列數字 | 未見官方確認 | 同上；高 |
| [CVE-2026-111943](https://pkg.go.dev/vuln/GO-2026-6809) | Go `crypto/x509` 對已不可信中繼憑證的驗證 | 未在引用公告核對分數 | 未見官方確認 | Go 1.26.10／1.27.3；高 |
| [CVE-2026-91403](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) | Oracle Java SE／GraalVM JSSE | v3.1 9.1 | 未見官方確認 | 依 Oracle Security Alert 補丁文件；高 |
| [CVE-2026-76519](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp) | Cisco Secure Email Gateway AMP File Reputation 任意檔案寫入，可能以 root 執行命令 | v3.1 9.8 | **Cisco 確認已遭利用** | 更新 Content Scanner Tools／AsyncOS 並調查設備；最高 |

### GitLab：先確認版本，再查異常

GitLab 指出，CVE-2026-110264 在編譯特製正規表示式時可能整數溢位，特定條件下允許未登入者在伺服器執行程式碼。CE／EE 受影響範圍與分支界線依[10/21 官方公告](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/)判定；可用修補版包括 18.11.13、19.0.10、19.1.9、19.2.9、19.3.6、19.4.3、19.5.1。自架站應備份並依部署方式升級，完成後檢視 GitLab 公布的偵測線索。

**CVE-2026-97229 也已證實**，只是刊在不同的 [10/12 修補公告](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/)：影響 19.2 未達 19.2.8、19.3 未達 19.3.5、19.4 未達 19.4.2，CVSS v3.1 10.0。兩次公告的日期與修補界線必須分開核對。

### Ruby：Onigmo 的底層修補

[Ruby 官方 10/23 公告](https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/)指出，Ruby 4.0.9、3.4.12、3.3.13 已包含 Onigmo 正規表示式引擎的相關修補。GitLab 的 CVE-2026-89078、CVE-2026-93577、CVE-2026-97229、CVE-2026-110264 依賴其中的底層缺陷；**這四個是 GitLab 公布的 CVE，不能再算成四個新 Ruby CVE**。Ruby 4.0 分支的部分修正已在 4.0.0 或 4.0.8，4.0.9 才涵蓋這些修正的全部。

受影響前提是應用會把攻擊者控制的字串交給 `Regexp.new`、`Regexp.compile` 等機制編譯；僅使用程式開發者寫死的正規表示式不屬於這個前提。`Regexp.timeout` 和單純限制模式長度不能可靠阻擋這些記憶體問題。自行使用 Ruby 的服務應升級執行環境並重新部署；GitLab 使用者仍應按 GitLab 自身的修補公告升級。

### PHP：更新執行環境與映像

PHP 官方將 CVE-2026-109618 與 CVE-2026-109619 列為可導致未驗證 RCE 的兩個問題，並發布 8.5.12、8.4.27、8.3.36、8.2.35。前者涉及記憶體不足時部分初始化的請求資料；後者涉及釋放記憶體後仍殘留的請求狀態。[官方公告](https://www.php.net/archive/2026.php#2026-10-21-5)指出所有提供 Web 請求的 PHP 安裝都應處理，mod_php 風險尤其值得優先評估。盤點 PHP-FPM、Apache 模組、容器基底映像與發行版回補套件；更新後重建映像、重啟工作程序並核對執行中的實際版本。

PHP 在 [10/23 資訊公告](https://www.php.net/archive/2026.php)另預告 CVE-2026-115560：它需要應用程式先設定 `session.serialize_handler` 為 `php_binary` 或 `php_serialize`，再於執行時切換為 `php`，且仍啟用 session upload progress。官方建議符合條件的環境暫設 `session.upload_progress.enabled=0`，完整 advisory 將隨下一次例行版本發布。**不要把它寫成 10/21 兩個 Critical 漏洞之一，或宣稱已有相同的修補版本。**

### Node.js 與 Java：分開處理

[Node.js 10/21 公告](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases)同時涵蓋 Brotli、DNS、TLS 漏洞與 CA 憑證更新。Brotli 越界寫入是獨立產品漏洞；TLS 主機名問題也是獨立 CVE；CA 信任更新則與 eMudhra 事件有關。應依執行中的 22.x、24.x、26.x 分支取得安全版，重新建置含 Node runtime 的映像，檢查反向代理是否把不受信任的壓縮資料交由服務解碼。

Oracle 的 [CVE-2026-91403 Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html)涉及 Java SE／GraalVM 的 JSSE，CVSS v3.1 為 9.1，官方列出受影響版本及補丁入口。**目前沒有官方資料支持它由 eMudhra 事件引起**。請把 JVM 修補與 CA 信任庫更新視為兩項檢查工作。

## Cisco、SAP 與 NGINX：按部署條件判斷

### Cisco Secure Email Gateway：已確認遭利用

[Cisco 10/14 公告](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp)指出，CVE-2026-76519（CVSS v3.1 9.8）在啟用 AMP File Reputation 且 Content Scanner Tools 版本早於 25.3.0.5525 時，可能讓未驗證攻擊者藉由特製郵件附件任意寫入檔案，進而以 root 權限執行命令。Cisco PSIRT **已確認實際利用**。應優先更新 Content Scanner Tools 至 25.3.0.5525 以上，或依公告升級至適用的 AsyncOS 修正版，並檢查設備是否有入侵跡象。若懷疑已遭入侵，先保全鑑識資料，再按 Cisco 的實體／虛擬設備應變指引處理；不能只靠一般版本升級判定設備已乾淨。

### SAP：10/13 的獨立修補日

[SAP 10 月 Security Patch Day](https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2026.html)列出四項 Critical：Cloud SDK for Python 的 CVE-2026-89111（OAuth2 SSRF、SAP 標示 10.0，受影響版本低於 0.45.2）、NetWeaver Visual Composer 的 CVE-2026-89110（存取控制、9.9）、S/4HANA 的 CVE-2026-89107（程式碼注入、9.9），以及 Manufacturing Integration and Intelligence 的 CVE-2026-89108（授權檢查缺失、9.1）。這是 **10/13** 的公告，並非與 10/21 的 GitLab／PHP 修補同日首次公開。依實際產品和 SAP Security Note 查適用補丁；這裡不跨 CVSS 版本直接排名。

### NGINX：五項官方標為 medium 的問題

[NGINX 10/14 發行紀錄](https://nginx.org/news.html)與[安全公告清單](https://nginx.org/en/security_advisories.html)列出 CVE-2026-15176、CVE-2026-93479、CVE-2026-95101、CVE-2026-97629、CVE-2026-97205，對應 `alias`／`rewrite`、腳本求值、HTTP/3、TLS session ticket 與 AIO 等情境。官方將五項均標為 **medium**，修正版為 stable 1.30.6 與 mainline 1.31.7。先核對版本、啟用模組與組態；不要把社群流傳的「全部 9.2」當成官方分數。

## Fortinet：更新公告不等於單一已確認 CVE

[Fortinet 10/21 官方文章](https://www.fortinet.com/blog/ciso-collective/fortinet-releases-security-hardening-release-for-multiple-products)列出 FortiOS、FortiManager、FortiAnalyzer、FortiMail、FortiAuthenticator 的**受影響分支與固定版本**。例如 FortiOS 7.2.14、7.4.13、7.6.8、8.0.2 及 FortiMail 7.4.9、7.6.7、8.0.2 是各分支列出的最低修補版；實際升級仍須依設備型號及 Upgrade Path Tool 規劃。Fortinet 表示個別 PSIRT 公告預計 11/10 才公開，因此目前**不能由版本表推導每項 CVE、CVSS 或已遭利用狀態**。候選 `FG-IR-26-175` 與 FortiMail CVE-2026-104286 仍待 PSIRT 逐項對應。

管理員先匯出設定與版本清單，按設備實際版本查 [Fortinet PSIRT](https://fortiguard.fortinet.com/psirt) 和 [Upgrade Path Tool](https://docs.fortinet.com/upgrade-tool)。FortiGate 90G 是硬體型號；是否受影響仍看 FortiOS 版本與啟用功能。優先限制 Internet 直接連到管理介面，使用受控管理網路與多因素驗證；HA 叢集先核對主備版本、相容性、設定備份及回復程序，再安排維護窗口。

## ZDI 與 Linux Kernel：協調揭露狀態仍待核實

[ZDI Upcoming 清單](https://www.zerodayinitiative.com/advisories/upcoming/)可看到 10/21 的 Linux 追蹤項目，包括 ZDI-CAN-33549、ZDI-CAN-34076。**ZDI-CAN 是追蹤編號，不是 CVE，也不能由列表推論已公開完整利用方式或已遭入侵。**社群所稱「提早寄到公開 LKML」的 Message-ID、收件人、私密回報路徑與維護者回應，本次沒有取得足以完整比對的原始郵件；不在此斷定揭露流程是否失當。

Linux mainline、stable 與發行版核心不一定在同日納入同一修補；發行版也可能回補而不改用最新主線版號。盤點 `uname -r`、發行版套件版本及相關功能是否啟用，再核對供應商公告。`ksmbd` 是核心內的 SMB 伺服器，與使用者空間的 Samba 不同；不能只憑系統裝有 Samba 就判定受某個 ksmbd 問題影響。

## eMudhra／emSign：更新整條信任鏈

[Mozilla 事件紀錄](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449)記載 10/17 接獲八張 eMudhra 中繼 CA 憑證私鑰遭掌握的通報及控制證明。[Python 公告](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576)指出相關橢圓曲線私鑰數值異常弱。這是憑證金鑰與信任問題，**不是已證實 CA 伺服器被入侵**；也不能僅憑「私鑰可被掌握」推論已發生實際偽造簽章濫用。

TLS 驗證會從網站憑證走到中繼 CA，再到信任的根 CA。不同程式可能使用作業系統信任庫、內嵌 CA bundle，或自訂 trust store；單更新瀏覽器無法保證服務端程式也修好。關於憑證鏈，可參考本站[根憑證與中繼憑證說明]({% link _posts/zh/2026-10-17-root-intermediate-and-self-signed-certificates.md %})。

Python 生態的[建議版本](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576)為 certifi 2026.10.19、pip 26.2.2、uv 0.13.4、sigstore 4.5.1、conda 26.9.4、pixi 0.82.1。尤其 pip 會使用其封裝的 certifi，僅修改作業系統信任庫可能不足。應同時檢查既有虛擬環境、容器映像、CI runner 及自訂 CA bundle。

[Go 公告](https://pkg.go.dev/vuln/GO-2026-6809)指出，部分平台情境下系統根憑證更新未必涵蓋應排除的中繼憑證，因此在 `crypto/x509` 增加拒絕清單，修補版為 1.26.10 與 1.27.3。以舊工具鏈建出的 Go 執行檔，應檢查是否需要重新編譯部署。Node.js 的 CA 更新則隨其安全版提供；這與 Brotli CVE 不能混為一談。

## Zeabur：區分 8 月與 10 月調查

Zeabur 的[8 月事件報告](https://dash-new.zeabur.com/blogs/august-2026-security-incident)與[10 月初步報告](https://dash-new.zeabur.com/blogs/october-2026-security-incident)應分開閱讀。10 月報告確認攻擊者在 10/14–15 使用外洩的內部憑證，存取共享叢集、部分專用伺服器及平台資料庫。報告記載對 **865 個資料庫服務執行命令**，不是「865 個資料庫全數成功讀取」；另有 **101 台 GCP Dedicated Servers** 遭 root 登入。資料庫查詢回傳的內容與後續使用，仍受日誌缺口限制。

Zeabur 指出，8 月後未輪替的長效管理憑證與明文儲存擴大了 10 月事件影響；但「8 月外洩的 GitHub App 私鑰就是 10 月初始憑證來源」仍是其**未證實假說**。8 月文章與本站[既有事件筆記]({% link _posts/zh/2026-08-30-zeabur-security-incident-api-key-leak.md %})可作背景，處置應以 Zeabur 最新公告為準。

對受影響團隊，先撤銷舊 API key、資料庫密碼、OAuth／雲端金鑰與簽章金鑰，再發新憑證並重新部署；檢查 GitHub、雲端、資料庫與帳單的稽核紀錄。**只改 Zeabur 環境變數，不會同步改資料庫內的密碼。**若無法從日誌排除讀取，就按可能外洩處理，但勿把每一筆查詢都寫成已確認資料外流。

## 企業修補優先順序

| 角色 | 先做的事 |
|---|---|
| SOC | 以廠商偵測線索與資產暴露面查異常；保全日誌及時間戳；分清 PoC、掃描與已確認利用。 |
| IT 管理員 | 盤點 GitLab、PHP、Ruby、JVM、Node、Go 版本；套用適用分支的官方修補並驗證實際執行版本。 |
| 網路工程師 | 限制 Fortinet 管理面；盤點 HA、設定備份與升級路徑；依 PSIRT 判斷設備適用性。 |
| 郵件系統管理員 | 先查 Cisco SEG 的 AMP File Reputation 和 Content Scanner Tools 版本；因已有利用，保全日誌並評估入侵。 |
| DevOps／SRE | 重建映像與 CI runner；更新 CA bundle；輪替機密並查部署、雲端與費用紀錄。 |
| 開發者 | 釐清應用是否處理不受信任的 Brotli／TLS 輸入，並測試升級後相容性。 |
| CISO／資安主管 | 以可達性、權限、業務重要度和可信利用證據排程；追蹤未核實情資，不以社群數字下結論。 |

安全的唯讀盤點指令可作為起點，但版本字串不能取代供應商回補資訊：

```bash
uname -r
php -v
node --version
ruby --version
python3 --version
go version
java -version
```

### 修補與應變檢查清單

- [ ] 記錄產品、分支、部署方式、對外暴露面與負責人。
- [ ] 從原始公告核對 CVE、CVSS 版本、受影響及修補版本。
- [ ] 備份設定與資料，確認回復方案，再升級 GitLab、PHP、Node 與相關 JVM。
- [ ] 檢查 Ruby 是否編譯不可信的正規表示式，並更新受影響的執行環境。
- [ ] 盤點 Cisco SEG 的相關功能與 Content Scanner Tools 版本；若疑似入侵先保存鑑識資料。
- [ ] 依 SAP Security Note 與 NGINX 官方公告核對產品、版本、模組及修補方式。
- [ ] 依 Fortinet PSIRT 與 Upgrade Path Tool 排定設備升級及 HA 驗證。
- [ ] 更新 Python 工具鏈、CA bundle、Go 工具鏈與相關容器映像。
- [ ] 對可能外洩的機密先撤銷舊值，再建立新值、重新部署並驗證。
- [ ] 保留稽核紀錄並檢查異常存取、部署變更與帳單。
- [ ] 將未核實的 ZDI／LKML 線索交由供應商公告持續追蹤。

## 結論

這批資訊至少涉及三種不同工作：修補可確認的產品 CVE、修正跨生態系的憑證信任，以及處理已發生的平台入侵。先以原始公告確認資產是否受影響，再安排升級與金鑰輪替，才能降低實際風險。

## 事實查核紀錄

**查核日期：2026-10-26（台灣時間）。**「未查到」只代表本次沒有足以支持特定敘述的原始公告，不能推論漏洞不存在。後續公告若補齊條件、版本或 CVSS，應再更新本文。

### 已驗證

| 項目 | 核對結果 | 原始來源 |
|---|---|---|
| GitLab CVE-2026-110264 | 10/21 修補；特定條件下未驗證 RCE；CVSS v3.1 10.0。同日其他 GitLab CVE 嚴重度不同。 | [GitLab](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) |
| GitLab CVE-2026-97229 | 10/12 獨立修補公告；特定條件下未驗證 RCE；CVSS v3.1 10.0。 | [GitLab](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/) |
| Ruby Onigmo | 10/23 發布 4.0.9、3.4.12、3.3.13，涵蓋四項 GitLab CVE 所依賴的底層修正；不是另四項新 CVE。 | [Ruby](https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/) |
| Cisco SEG CVE-2026-76519 | 10/14 公告、CVSS v3.1 9.8，Cisco 確認已遭利用。 | [Cisco](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp) |
| SAP 10 月修補 | 10/13 公布四項 Critical CVE；按產品及 Security Note 套用。 | [SAP](https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2026.html) |
| NGINX 10/14 更新 | 五項 CVE，官方均列 medium，1.30.6／1.31.7 已修補。 | [NGINX](https://nginx.org/en/security_advisories.html) |
| PHP CVE-2026-115560 | 10/23 資訊公告；需特殊 session 組態，完整 advisory 尚待例行發行。 | [PHP](https://www.php.net/archive/2026.php) |
| PHP CVE-2026-109618、CVE-2026-109619 | 10/21 安全版；可導致未驗證 RCE；CVSS v4.0 9.2。 | [PHP](https://www.php.net/archive/2026.php#2026-10-21-5) |
| Node.js CVE-2026-111497、CVE-2026-105482、CVE-2026-105483、CVE-2026-106069 | 10/21 公告列為 High；Brotli、DNS、TLS 是不同問題。 | [Node.js](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) |
| Go CVE-2026-111943 | `crypto/x509` 加入問題中繼憑證拒絕清單；Go 1.26.10、1.27.3 修補。 | [Go](https://pkg.go.dev/vuln/GO-2026-6809) |
| Oracle CVE-2026-91403 | 10/21 獨立 Security Alert；JSSE；CVSS v3.1 9.1。 | [Oracle](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) |
| Fortinet 協調更新 | 10/21 公告已列產品分支、受影響與固定版本；個別 PSIRT 條目預計 11/10 公布。 | [Fortinet](https://www.fortinet.com/blog/ciso-collective/fortinet-releases-security-hardening-release-for-multiple-products) |
| eMudhra 中繼 CA | Mozilla 10/17 收到八張中繼 CA 私鑰的控制證明；Python 生態公告列出建議更新版本。 | [Mozilla](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449)、[Python](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) |
| Zeabur 10 月事件 | 10/14–15 入侵；865 個資料庫服務曾被執行命令，101 台 GCP Dedicated Servers 遭 root 登入；部分範圍受日誌缺口限制。 | [Zeabur](https://dash-new.zeabur.com/blogs/october-2026-security-incident) |

### 待確認與暫不列入總表

| 線索 | 原因／後續查核入口 |
|---|---|
| GitLab CVE-2026-12664、13319、14288、15723、16255、103515、105711、105777、112212、112326、112378 | 均見 10/21 [GitLab 公告](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/)，但嚴重度與原理不同；上方主表未將這 11 筆全部稱為 critical。 |
| Fortinet FG-IR-26-175、FortiMail CVE-2026-104286、CVSS 9.8、KEV | 尚未取得可逐項核對的 [PSIRT 條目](https://fortiguard.fortinet.com/psirt)，因此不宣稱 CVE 對應、實際利用或 KEV 狀態；固定版本可查 Fortinet 10/21 文章。 |
| ZDI-CAN-33549、33774、34068、34076、33367、33887 與公開 LKML 郵件 | [ZDI Upcoming](https://www.zerodayinitiative.com/advisories/upcoming/)可核到部分追蹤編號；元件、Message-ID、揭露流程、CVE 對應與核心修補仍待原始紀錄確認。 |
| eMudhra「6 TLS、2 程式碼簽章」、序號、指紋、實際濫用 | 尚未逐張核對憑證與各信任庫狀態，故不採用精確分配或濫用結論；以 [Mozilla 紀錄](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449)追蹤。 |
| Zeabur 321,810 帳號、3,218,965 環境變數紀錄 | 未逐項核實數據定義，故不寫入正文。865 是被執行命令的資料庫服務數，不能寫成成功讀取 865 個資料庫。 |
| Zeabur 8 月 NextChat CVE-2026-7644、MCP、Legacy API Key 攻擊鏈 | 尚需逐步對照 [8 月官方報告](https://dash-new.zeabur.com/blogs/august-2026-security-incident)，不能串成已確認攻擊鏈。 |
| Dell、Microsoft、其他 Cisco／SAP 產品、Citrix、IBM、其他 NGINX、Linux KVM 候選 CVE | 尚未逐筆核對廠商公告、日期、CVSS 版本與修補版，故未列為同一波漏洞；已核對的 Cisco SEG、SAP 四項及 NGINX 五項見上文。 |

### 排除的錯誤合併

- **CVE、GHSA、ZDI-CAN 與安全事件意義不同。**GHSA 是公告代號；ZDI-CAN 是追蹤編號；Zeabur 入侵與 eMudhra 信任事件不等於新 CVE。
- Node.js Brotli RCE、TLS 主機名驗證問題及同批安全版中的 CA 更新分屬不同成因。
- Oracle JSSE CVE-2026-91403 與 eMudhra 憑證事件沒有已查證的直接因果關係。
- Fortinet 協調版本發布不等於所有列出的產品同時有一個已公開、已遭利用的 CVE。
- Zeabur 將「8 月私鑰導致 10 月初始憑證來源」列為**假說**，不得改寫成已證實事實。
- CVSS v3.1 與 v4.0 分數不直接混排；沒有官方分數時，保留官方定性或標記待確認。

若要把待確認項目移入主表，應保留原始廠商或 CVE 公告連結，記錄首次公開日、受影響及修補版本、分數與版本、利用狀態、KEV 查詢結果，以及查閱日期。新聞報導與社群截圖僅用來尋找原始來源。

## 參考資料

以下來源於 **2026-10-26（台灣時間）**重新查閱；公告後續可能更新。

- [GitLab Critical Patch Release](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/)
- [GitLab 10/12 修補公告](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/)與 [Ruby Onigmo 修補說明](https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/)
- [PHP 2026-10-21 安全公告](https://www.php.net/archive/2026.php#2026-10-21-5)
- [PHP 10/23 session upload progress 資訊公告](https://www.php.net/archive/2026.php)
- [Cisco Secure Email Gateway CVE-2026-76519](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp)、[SAP 10 月 Security Patch Day](https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2026.html)、[NGINX 安全公告](https://nginx.org/en/security_advisories.html)
- [Node.js 2026-10-21 Security Releases](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases)
- [Go GO-2026-6809](https://pkg.go.dev/vuln/GO-2026-6809)
- [Oracle CVE-2026-91403 Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html)
- [Fortinet 協調安全更新公告](https://www.fortinet.com/uk/blog/ciso-collective/fortinet-releases-security-hardening-release-for-multiple-products)與 [PSIRT](https://fortiguard.fortinet.com/psirt)
- [ZDI Upcoming Advisories](https://www.zerodayinitiative.com/advisories/upcoming/)
- [Mozilla eMudhra 事件紀錄](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449)與 [Python 使用者公告](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576)
- [Zeabur 8 月事件](https://dash-new.zeabur.com/blogs/august-2026-security-incident)與 [10 月初步報告](https://dash-new.zeabur.com/blogs/october-2026-security-incident)