返回技術公告
資安通知嚴重程度重大CVSS9.1

Wazuh 叢集與 API 多項重大漏洞，請更新至 4.14.7 以上

Wazuh

Wazuh 於 2026 年 8 月 7 日與 8 月 18 日公開多項 manager 安全公告，修正分別包含在 4.14.6 與 4.14.7。最嚴重的幾項集中在叢集協定：持有叢集金鑰或掌握一個叢集節點者，可在主節點 /var/ossec 範圍內寫入檔案（如 ossec.conf）進而以 root 執行程式、讀取 REST API 簽章私鑰以離線偽造管理員權杖，或利用反序列化問題執行程式。另有未經驗證即可觸發的阻斷服務問題：wazuh-authd（1515/TCP）註冊訊息堆疊溢位、叢集標頭解析大量佔用主節點記憶體，以及特製 agent 名稱在管理員刪除該 agent 時造成目錄刪除；具 users_admin 等權限的 API 帳號則可接管 wazuh 超級管理員帳號。

影響版本

  • Wazuh manager4.3.0–4.14.5CVE-2026-49441，叢集任意寫檔
  • Wazuh manager4.0.0–4.14.5CVE-2026-48162、CVE-2026-48024、CVE-2026-44901、CVE-2026-74038
  • Wazuh manager4.5.0–4.14.5CVE-2026-45798，wazuh-authd 堆疊溢位
  • Wazuh manager4.9.0–4.10.3、4.11.0–4.14.5CVE-2026-41424，API 管理員保護繞過
  • Wazuh manager4.4.0–4.14.6CVE-2026-61800，CVE-2026-30893 修正不完整
  • Wazuh manager3.9.0–4.14.6CVE-2026-71540，叢集標頭記憶體放大
  • Wazuh manager4.14.0–4.14.6CVE-2026-61783，敏感設定遮蔽的權限檢查錯誤
  • Wazuh manager1.0.0–4.14.6wazuh-dbd SQL 注入，無 CVE；僅限自行編譯並啟用 PostgreSQL 輸出
  • Wazuh agent4.2.0–4.14.6CVE-2026-54085、CVE-2026-54083，主動回應腳本，中度；CVE-2026-54085 也影響 manager

已修正版本

  • Wazuh4.14.62026-07-01 發布，修正 8 月 7 日公告的項目
  • Wazuh4.14.72026-07-29 發布，修正 8 月 18 日公告的項目
  • Wazuh4.10.44.10.x 分支，僅修正 CVE-2026-41424
  • Wazuh4.14.92026-10-14 發布，截至 2026-11-04 最新穩定版，含 10 月公告的後續修正

建議處理方式

  1. 依官方升級指南先完成備份與索引快照，依序升級 indexer、server（manager）、dashboard 至 4.14.9 或更新的穩定版本，再升級各端點的 agent
  2. 中央元件（indexer、manager、dashboard）須為完全相同的版本（含修補版本號）；agent 版本不可高於 manager
  3. 叢集部署：主節點與所有工作節點均須更新
  4. 疑似叢集金鑰外洩或節點遭入侵時，應調查影響範圍並更換叢集金鑰；若 REST API 的 JWT 簽章私鑰可能外洩，須一併更換，否則攻擊者仍可持續偽造權杖
  5. 檢視 Wazuh API 使用者與角色，users_admin 或含 security:update 權限的角色只授予必要人員
  6. 4.14.7 已移除舊的 wazuh-dbd（database_output）功能，仍在使用此功能者需改用其他整合方式

暫時無法更新時

  • 叢集連接埠（預設 1516/TCP）只允許叢集節點之間互連；註冊服務（1515/TCP）與 API（55000/TCP）只開放給需要的網段
  • 使用 PostgreSQL database_output 者（需自行以 DATABASE=pgsql 編譯，官方 RPM / DEB 套件不含）：無法立即升級時停用此輸出；限制資料庫帳號權限只能降低命令執行風險，無法消除 SQL 注入
  • 以上措施只能降低暴露風險，不能取代更新

如何確認是否受影響

  • 於每個 manager 節點執行 /var/ossec/bin/wazuh-control info 查看版本；低於 4.14.6 受 8 月 7 日公告影響，4.14.6 仍受 8 月 18 日公告影響
  • 確認中央元件版本一致，並於 Wazuh dashboard 的 agent 清單確認各 agent 版本（低於 4.14.7 受主動回應腳本漏洞影響）

參考來源

Wazuh GitHub Security Advisoriesgithub.comGHSA-3v57-hgvj-3vj2：CVE-2026-49441 叢集任意寫檔github.comGHSA-r6f5-h662-8ffc：CVE-2026-48162 偽造 API 管理員 tokengithub.comGHSA-gh4h-fx78-q8xc：CVE-2026-48024 叢集同步合併檔標頭路徑穿越github.comGHSA-8c6v-7g3w-prrq：CVE-2026-44901 DAPI 反序列化遠端執行github.comGHSA-gj9h-8hmr-xjjr：CVE-2026-41424 update-user API 管理員保護繞過github.comGHSA-4fvp-jfc3-qr6r：CVE-2026-45798 wazuh-authd 預驗證堆疊溢位github.comGHSA-573w-mqw4-jvmr：CVE-2026-74038 agent 名稱路徑穿越造成阻斷服務github.comGHSA-3jff-488g-335f：CVE-2026-61800 CVE-2026-30893 修正不完整github.comGHSA-78wx-4r6w-w73f：CVE-2026-71540 叢集標頭記憶體放大github.comGHSA-vjcq-cf36-f5gx：CVE-2026-61783 敏感設定遮蔽權限檢查錯誤github.comGHSA-6j39-726h-fx6p：wazuh-dbd PostgreSQL 輸出 SQL 注入github.comGHSA-mvh4-g699-984j：CVE-2026-54085 主動回應腳本參數注入github.comGHSA-m4mf-qmhf-8vj6：CVE-2026-54083 ip-customblock 路徑穿越github.comWazuh 4.14.7 Release Notesgithub.comWazuh 4.14.6 Release Notesgithub.comWazuh 文件：Release notes（各版本發布日期）documentation.wazuh.comWazuh 文件：Upgrade guidedocumentation.wazuh.comCISA Known Exploited Vulnerabilities（官方資料，2026.11.03 版）raw.githubusercontent.com

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告