核心要點
思科於 9 月 2 日針對 IOS XR 平臺發布 9 月安全強化更新，修補 7 個資安弱點，其中 CVE‑2026‑20274 與 CVE‑2026‑20279 被評為 重大等級（CVSS 9.8／10），屬於極高危險性。所有版本的 IOS XR（含 IOS XR7 LNT）皆受影響，且目前沒有可行的替代緩解措施，思科強烈建議使用者立即套用軟體更新。
漏洞背景與影響
| 漏洞編號 | 風險等級 | CVSS 分數 | 主要缺失類型 | |----------|----------|-----------|--------------| | CVE‑2026‑20274 | 重大 | 9.8 | 資源控制不當（Resource‑Control） | | CVE‑2026‑20279 | 重大 | 9.8 | 存取控制不當（Access‑Control） | | 其餘 5 項 | 高風險 | 7.x‑8.x | 其他程式錯誤與驗證缺陷 |
- 資源控制不當：攻擊者可繞過系統資源分配機制，取得未授權的 CPU、記憶體或介面資源，進而造成服務阻斷或執行任意程式碼。
- 存取控制不當：缺乏嚴格的權限驗證，使攻擊者在未取得適當授權的情況下，直接存取或修改路由器設定，危及整個網路的機密性與完整性。
由於這兩項漏洞同時影響 所有 IOS XR 版本，包括已在企業核心網路與雲端互連中廣泛部署的 IOS XR7（LNT），若未即時更新，可能成為駭客利用的「後門」，進一步滲透企業內部或對外部服務發動大規模攻擊。
思科的因應與建議
思科在官方安全通報中明確指出，目前無可用的緩解措施（mitigation），唯一可靠的防護方式就是安裝最新的安全補丁。對於已啟用自動升級功能的客戶，建議檢查升級排程是否已納入本次 9 月更新；對於手動管理的設備，則需在維護窗口內完成 IOS XR 軟體升級，並驗證升級後的功能正常。
同時，思科建議企業：
-
立即執行漏洞掃描：確認所有 IOS XR 裝置是否仍在受影響的版本範圍內。
-
加強存取控制：檢視並限制管理介面的 IP 白名單與多因素驗證（MFA）設定。
-
建立緊急回應流程：若發現異常流量或未授權的配置變更，應立即啟動事件調查與回復程序。
未來展望與讀者啟示
隨著 5G、雲端與邊緣運算的快速佈署，網路基礎設施的攻擊面持續擴大。IOS XR 作為思科的高階路由平台，其安全性直接關係到全球電信與企業網路的穩定。未來，思科預計加速推出 零日漏洞（Zero‑Day） 的即時通報機制，並持續提升軟體供應鏈的韌性。
對於資訊安全從業人員與企業決策者而言，此次重大漏洞提醒了「持續更新」與「層層防護」的重要性。建議訂閱 資安日報、資安週報 等專業電子報，掌握全球與臺灣最新資安動態，才能在威脅不斷演變的環境中，保持資訊防禦的前瞻性與彈性。