預計閱讀 1 分鐘原文來源
核心要點
美國網路安全與基礎設施安全局（CISA）於 8 月 24 日發佈緊急通告，指出 CVE‑2026‑21962 已被積極利用，並將其列入已遭利用漏洞清單（KEV）。CISA 要求所有聯邦機構必須在 3 天（即 8 月 27 日前）完成 Oracle WebLogic Server 與 Oracle HTTP Server 的修補。
背景與技術細節
此漏洞於 2024 年 1 月由 Oracle 公佈並釋出修補程式，CVSS（通用漏洞評分系統）嚴重程度高達 10 分（滿分），屬於極危險等級。漏洞根源在於 存取控制不當：未經認證的攻擊者只要能夠對受影響的伺服器發送網路請求，即可執行建立、刪除或竄改關鍵資料的操作。
Oracle 表示，該缺口的利用門檻極低，成功入侵後可能波及同一平台上其他應用系統。資安公司 CloudSEK 於 3 月警告，當 1 月下旬概念驗證程式碼（PoC）公開後，已偵測到多起利用跡象。
影響與後續行動
- 聯邦機構：必須在規定期限內部署 Oracle 提供的安全更新，否則將面臨資訊泄漏或服務中斷的高風險。
- 企業與組織：即使不屬於美國聯邦體系，使用相同 Oracle 產品的單位亦應立即檢視環境，評估是否已套用修補程式。
- 資安生態：此事件再次凸顯供應鏈軟體的薄弱環節，促使業界重新檢視漏洞情報共享與快速修補的機制。
未來展望與讀者啟示
CISA 的快速通報顯示政府部門在資安威脅偵測與回應上已具備相當成熟的流程。對於一般企業而言，持續追蹤官方安全公告、建立自動化補丁管理 以及 加強網路存取控制，是降低類似高危漏洞衝擊的關鍵。
資安日報與資安週報現已提供免費電子報，歡迎讀者訂閱，以獲取最新、最實用的資安情報，確保在瞬息萬變的威脅環境中保持先機。
分享