CISA將GitLab與Ivanti漏洞列入已遭利用清單
· 資安 · 美國
美國網路安全暨基礎設施安全局（CISA）將GitLab與Ivanti Connect Secure中已遭實際利用的漏洞列入「已知遭利用漏洞」（KEV）清單，要求聯邦機構限期修補。GitLab漏洞編號CVE-2026-97229，CVSS評分達最高的10.0，屬整數溢位問題，可讓未經身分驗證的攻擊者在伺服器上執行任意程式碼；SecurityWeek報導該漏洞已遭用於攻擊Alpine Linux。Ivanti Connect Secure則有兩個漏洞被列入，其中CVE-2026-111357的CVSS評分為8.8，攻擊者可串接這些漏洞取得未經身分驗證的root權限。CISA同時把一個Cisco防火牆阻斷服務漏洞加入清單。這些列入動作顯示漏洞已在野外遭到利用，並非僅止於理論風險，也對聯邦機構設下修補期限，促使民間防禦人員評估是否緊急修補對外暴露的系統。
為什麼重要：KEV清單是漏洞已遭實際攻擊利用最明確的公開訊號，會促使政府與民間防禦人員緊急修補對外暴露的基礎設施。
重點
- GitLab的CVE-2026-97229 CVSS評分達最高的10.0，可讓未經身分驗證者遠端執行程式碼。
- Ivanti漏洞可被串接，在Connect Secure設備上取得未經身分驗證的root權限。
- CISA清單對美國聯邦機構具約束力，設有修補期限。