重點整理
- 【數量】9月24日至10月23日，CISA 已遭利用漏洞清單新增35個漏洞
- 【重災區】Citrix NetScaler 3個、思科、Ivanti、Palo Alto、Fortinet 等網路邊緣設備
- 【提醒】PHP2Shell 截至10月23日版本仍未列入清單
美國網路安全暨基礎設施安全局（CISA）的已遭利用漏洞清單（KEV），是各國企業安排修補優先順序的重要參考。統計，9月24日至10月23日的一個月間，清單共新增35個漏洞，其中網路邊緣設備與遠端存取產品占了相當比例。
Citrix NetScaler 一個月內就有3個漏洞被列入。Citrix 9月27日修補 NetScaler ADC 與 Gateway 共8個漏洞，其中 CVE-2026-88771 與 CVE-2026-88772 已遭攻擊。據 iThome 報導，Mandiant 與 Google 威脅情報團隊調查發現，相關攻擊至少可追溯到9月初，目標遍及北美與歐洲的政府、金融、科技、教育與法律等領域，駭客藉此散布惡意程式 WhipShot 與 SlapShot。
其他被列入的網路與遠端存取產品，包括思科 Catalyst SD-WAN Manager（CVE-2026-76504，CVSS 9.8分）、思科安全電子郵件閘道、Ivanti Connect Secure、Palo Alto Networks PAN-OS、Fortinet FortiMail 與多項產品、BeyondTrust Remote Support、MikroTik RouterOS，以及 Arista VeloCloud Orchestrator。
應用程式方面，微軟 SharePoint、Windows、WordPress 核心、Adobe Commerce 與 Magento、Atlassian、Plex Media Server（4個）、Collabora Online 也都在名單上；CISA 10月8日更一次加入 Apache Struts、ISC BIND、ProFTPD 等多個2015至2023年的舊漏洞，顯示老舊漏洞仍持續被攻擊者利用。
值得注意的是，引發全球網站下線潮的 PHP 重大漏洞 PHP2Shell（CVE-2026-109618、CVE-2026-109619），截至10月23日的清單版本仍未被列入。資安業者提醒，KEV 只收錄已確認遭利用的漏洞，未列入並不代表安全，企業仍應依自身曝險情況盡快修補。
相關報導：PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
資料來源
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合企業公告、主管機關資訊及國內外媒體報導整理，資訊更新至2026年10月24日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。