美國網路安全與基礎設施安全局（CISA）近期在其已知被利用漏洞（Known Exploited Vulnerabilities, KEV）目錄中新增了六項漏洞。KEV 目錄是一個至關重要的安全基準，它不單純記錄漏洞的存在，而是專門收錄那些已被證實正遭到駭客在現實環境中利用的漏洞。對於企業與政府機構而言，這意味著這些漏洞的風險已從理論轉為實踐，必須優先處理。
此次新增的漏洞涵蓋了多個關鍵技術棧，包括 Citrix NetScaler、Linux 核心、Microsoft SQL Server 以及 Red Hat 的相關工具。其中最受關注的是 CVE-2026-8452，這是一個影響 Citrix NetScaler ADC 與 NetScaler Gateway 的高風險漏洞，涉及記憶體緩衝區的操作限制不當（Improper Restriction of Operations within the Bounds of a Memory Buffer），可能導致系統遭受拒絕服務（Denial of Service, DoS）攻擊，使服務癱瘓。
針對 NetScaler 的威脅已由安全研究機構 Defused Cyber 與 Previdian 證實。根據監測數據，攻擊者會利用此漏洞植入名為 x.php 與 z.php 的 Web Shell（一種允許攻擊者遠端控制伺服器的後門程式），並執行 id 與 echo 等指令來偵察系統資訊。在短短 12 天內，已有來自瑞士、德國、香港、日本、俄羅斯、美國等 10 個國家的 12 個唯一 IP 位址嘗試進行攻擊，顯示該漏洞正被全球性的攻擊者積極利用。
除了 NetScaler，此次更新還包含了多項針對 Linux 與伺服器端的漏洞。例如 CVE-2022-0995 涉及 Linux 核心的越界記憶體寫入（Out-of-bounds Memory Write），可能讓本地使用者獲取特權或導致系統崩潰。此外，針對 Red Hat ABRT 漏洞（CVE-2015-5287）與 libuser 漏洞（CVE-2015-3246）的利用，則可能透過符號連結攻擊（Symlink Attack）或競態條件（Race Condition，指多個程序競爭資源導致執行順序不確定而產生的錯誤）來提升權限或損毀系統文件。
根據 Cisco Talos 的報告，這些 Linux 與 Windows 伺服器漏洞被一個名為 UAT-10147 的中國網路犯罪組織利用，其攻擊目標遍布全球的教育、媒體、科技與遊戲產業。此外，Microsoft SQL Server 的遠端程式碼執行漏洞（CVE-2019-1068）也被列入，這類漏洞允許攻擊者在資料庫引擎服務帳戶的權限下執行任意指令，對資料安全構成極大威脅。
漏洞根源與系統性風險
在發布 KEV 更新的同時，CISA 同時推出了一份關於軟體不安全根源的深度分析。透過對 2024 年至 2025 年 CVE 紀錄的分析，CISA 發現注入漏洞（Injection Weaknesses）已成為最主導的弱點類別，數量從 2024 年的 7,701 個激增至 2025 年的 21,019 個。注入漏洞是指程式未能正確過濾使用者輸入，導致惡意指令被當作指令執行，是許多遠端程式碼執行攻擊的基礎。
CISA 特別強調，記憶體安全（Memory Safety）與輸入驗證不當（Improper Input Validation）這兩類弱點在 KEV 目錄中出現的比例，遠高於在一般 CVE 漏洞群體中的比例。這揭示了一個關鍵事實：雖然漏洞種類繁多，但駭客更傾向於利用那些能直接轉化為實際控制權的底層弱點。更令人擔憂的是，攻擊者已開始利用人工智慧（AI）來自動化漏洞利用過程，縮短了從漏洞發現到大規模攻擊的時間窗。
實務影響與防禦建議
這次的更新再次提醒組織，僅僅依賴漏洞掃描是不夠的，必須根據漏洞是否被「實際利用」來決定修補優先級。CISA 已要求聯邦民事執行分支（FCEB）機構在 2026 年 8 月 29 日前修復 NetScaler 與 SQL Server 的漏洞，其餘漏洞則需在 9 月 9 日前完成。
對於軟體開發者而言，CISA 的分析建議應從開發階段就減少這些根源性弱點。例如，採用記憶體安全語言或加強輸入驗證機制，而非在漏洞發現後才疲於奔命地打補丁。對於系統管理員，面對如 UAT-10147 這種針對特定產業的有組織攻擊，除了及時更新補丁，更應強化對異常指令（如 Web Shell 執行行為）的監控。
總結來說，此次 CISA 的動作不僅是單純的漏洞清單更新，更是對當前威脅趨勢的警告：簡單且已知的舊漏洞依然在暴露的資產中持續存在，而 AI 的介入正讓這些舊漏洞重新煥發危險的生命力。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。