本公司提供導入與技術支援之產品的資安通知、重要版本更新與原廠公告，依原廠與公開漏洞資料庫資訊整理。
資安通知Proxmox VE 多項權限提升與容器逃逸漏洞，請更新套件
Proxmox 原廠於 2026 年 9 月至 11 月初陸續發布多則 Proxmox VE 安全公告，其中數項可導致主機 root 權限遭取得：網路設定 API 欄位未驗證，具 Sys.Modify 權限者可注入設定並以 root 執行指令；pct mount / fstrim 的競態問題，可讓能存取執行中容器的攻擊者把目錄掛載到主機任意路徑，造成容器逃逸至主機；惡意 OCI 映像檔、OVA 檔或 VMA 備份檔可導致主機指令執行或任意路徑覆寫。
資安通知OPNsense 韌體鏡像設定指令注入漏洞，請更新至 26.7.8
OPNsense 26.7.8 修正兩項可取得 root 權限的漏洞。
資安通知Nextcloud Server 多項高風險漏洞，請更新至最新維護版
Nextcloud 於 2026 年 8 月至 10 月公開三項 Nextcloud Server 高風險漏洞。
資安通知OPNsense 發布 PHP2Shell 遠端程式碼執行漏洞緊急修補，請儘速更新
PHP 官方於 2026 年 10 月 21 日公開兩項重大漏洞（通稱 PHP2Shell）：CVE-2026-109618 為記憶體不足（OOM）處理後記憶體未初始化，CVE-2026-109619 為請求結束後全域狀態仍指向已釋放的記憶體。
資安通知Proxmox VE 核心網路漏洞可導致 KVM 虛擬機逃逸，請更新核心
Linux 核心在完成網路封包檢查碼（checksum）計算時，未完整驗證相關中繼資料，KVM 虛擬機內的攻擊者可透過 virtio 網路堆疊讀寫主機核心記憶體，達成虛擬機逃逸（稱為 PwnEscape）。
資安通知Nextcloud 內建 Collabora CODE 伺服器指令注入漏洞已遭利用
Nextcloud 的「Collabora Online - Built-in CODE Server」應用程式（richdocumentscode）在內建 CODE 伺服器未執行時（例如剛重新啟動、升級或當機），未經驗證的攻擊者可透過 proxy.php 以網頁伺服器帳號執行系統指令。
資安通知Wazuh 叢集與 agent 遠端執行程式碼漏洞，請更新至 4.14.8 以上
Wazuh 於 2026 年 10 月 13 日公開 15 項安全公告，修正包含在 4.14.8（2026-09-23 發布）。
資安通知Proxmox MG 郵件過濾繞過與權限提升漏洞，請更新
Proxmox 原廠於 2026 年 9 月 21 日與 10 月 7 日發布多則 Proxmox Mail Gateway 安全公告。
資安通知Graylog 權限提升與 IPFIX 阻斷服務漏洞，請更新至 7.1.9 以上
Graylog 7.0.13 與 7.1.9 修正多項安全問題，其中兩項為高風險：一是建立使用者或修改使用者權限、角色時，系統未檢查操作者本身是否具備所指派的權限，被委派使用者管理權限的非管理員帳號可把自己或他人提升為完整管理員；二是 IPFIX 輸入的解析問題，特製封包可使解析程式過度耗用 CPU、持續阻塞訊息處理，並可能影響其他輸入來源，重新啟動節點也無法解除。
資安通知LibreNMS LDAP 驗證繞過與 SQL 注入漏洞，請更新至 26.9.0
LibreNMS 26.9.0 修正兩項高風險漏洞。
資安通知Collabora Online 未驗證轉檔可執行巨集，請更新
Collabora Online 未經驗證的 /cool/convert-to 文件轉換端點，會接受用戶端送出的 infilterOptions 欄位，且其優先順序高於伺服器端設定，攻擊者可藉此在轉檔時啟用文件巨集。
版本更新Proxmox VE 8、PBS 3、PMG 8 已停止支援，請規劃升級
Proxmox VE 8、Proxmox Backup Server 3 與 Proxmox Mail Gateway 8 皆以 Debian 12（Bookworm）為基礎。
資安通知LibreNMS REST API 驗證繞過漏洞，請更新至 26.8.0 以上
LibreNMS 26.8.0 之前的版本，REST API 在比對 API token 時有型別處理問題，未經驗證的攻擊者只要送出簡單的數字即可冒用系統中既有的 API token。
資安通知Wazuh 叢集與 API 多項重大漏洞，請更新至 4.14.7 以上
Wazuh 於 2026 年 8 月 7 日與 8 月 18 日公開多項 manager 安全公告，修正分別包含在 4.14.6 與 4.14.7。
資安通知Proxmox 核心 SCTPhantom 權限提升與 TONTOU 資訊洩漏漏洞，請更新核心
Linux 核心 SCTP 程式碼的釋放後使用（use-after-free）漏洞 SCTPhantom，可讓無特權的本機攻擊者取得 root，並可能自無特權容器（LXC）逃逸至主機。
資安通知Proxmox 核心 KVM 虛擬機逃逸與多項權限提升漏洞，請更新核心
2026 年 7 月 Proxmox 原廠發布多則核心安全公告。
資安通知Zimbra SNMP 通知元件指令注入漏洞已遭利用，請更新至 10.1.20
Zimbra Collaboration 若安裝了選用的 zimbra-snmp 套件、啟用 SNMP 通知且 swatchdog 服務執行中，未經驗證的攻擊者可傳送特製的 SMTP 請求，以 zimbra 帳號身分在主機上執行任意系統指令。
資安通知Wazuh 多項漏洞可使唯讀帳號取得管理員權限，請更新至 4.14.5 以上
Wazuh 於 2026 年 7 月 16 日公開 9 項影響 4.14.x 的安全公告，修正包含在 4.14.5（2026-04-23 發布）。
版本更新OPNsense 26.7 主要版本發布與升級注意事項
OPNsense 於 2026 年 7 月 15 日發布 26.7（代號 Xenial Xenops），作業系統基底升級為 FreeBSD 15.1，並更新 OpenSSL 3.5、OpenVPN 2.7、PHP 8.5、Python 3.13。
資安通知Zimbra 10.1.19 修正 Classic 網頁信箱重大 XSS 漏洞
Zimbra 於 2026 年 7 月 7 日發布 10.1.19，修正傳統網頁信箱（Classic Web Client）的儲存型跨站指令碼（XSS）漏洞：使用者開啟特製郵件時，即可能執行惡意程式碼，取得信箱內容、登入工作階段或帳號設定。
資安通知OPNsense 多項可取得 root 的漏洞，請更新至 26.1.11_3 以上
OPNsense 於 2026 年 6 月 2 日至 7 月 1 日的 26.1.9、26.1.10、26.1.11 更新（及 26.1.11_3 熱修正），修正十多項核心程式安全問題。
資安通知Graylog FortiGate 記錄解析漏洞可竄改欄位，請更新至 7.1.2
Graylog 解析 key-value 格式的 syslog 訊息（例如 FortiGate 設備送出的記錄）時，未正確處理含引號的值，攻擊者可藉此覆寫訊息中的個別欄位，或讓 Graylog 產生無效訊息而丟棄，用來掩蓋惡意活動的記錄。
版本更新Proxmox VE 9.2、PBS 4.2、PMG 9.1 新版發布
Proxmox 原廠於 2026 年 4 月至 6 月陸續發布 Proxmox Backup Server 4.2（4 月 29 日）、Proxmox VE 9.2（5 月 21 日）與 Proxmox Mail Gateway 9.1（6 月 11 日）。
資安通知LibreNMS 管理員可執行任意程式等漏洞，請更新至 26.5.0 以上
LibreNMS 在 2026 年 3 月至 6 月公開兩項需管理員權限的遠端程式碼執行漏洞，以及一項儲存型跨站腳本（XSS）漏洞。
版本更新Nextcloud 34 發布，Nextcloud 32 將於 9 月停止支援
Nextcloud 於 2026 年 6 月發布 Nextcloud 34（Hub 26 Spring），一般維護期至 2027 年 6 月。
資安通知Proxmox 核心多項本機權限提升漏洞（含 copy.fail），請更新核心
2026 年 3 月至 6 月初，Linux 核心接連公開多個本機權限提升漏洞，Proxmox 原廠皆發布新版 proxmox-kernel：AppArmor 的 CrackArmor、AF_ALG 的 copy.fail（可竄改檔案的頁面快取，並可能造成容器逸出）、IPsec / RxRPC 的 DirtyFrag、Fragnesia、ssh-keysign-pwn、RDS 的 pintheft、CIFS 的 CIFSwitch，以及 6 月 1 日的 AppArmor 與 GRO 多項問題，影響依漏洞而異（權限提升、資訊洩漏或阻斷服務）。
資安通知TrueNAS Linux 核心本機權限提升漏洞，請更新至 25.10.4 以上
TrueNAS 於 2026 年 5 月發布多份 Linux 核心漏洞影響說明，涉及 TrueNAS CE / Enterprise（原 SCALE）。
資安通知Proxmox VE、PBS、PMG 管理介面多項漏洞，請更新套件
Proxmox 原廠於 2026 年 1 月至 5 月陸續發布多則 Proxmox VE、Proxmox Backup Server 與 Proxmox Mail Gateway 安全公告。
資安通知Nextcloud 行事曆、User OIDC、Tables 高風險漏洞
Nextcloud 於 2026 年 5 月 12 日至 13 日公開四項高風險漏洞公告。
資安通知OPNsense 多項 root 指令注入漏洞，請更新至 26.1.8 以上
OPNsense 於 2026 年 4 月 9 日至 5 月 12 日的 26.1.6、26.1.7、26.1.8 三次更新，修正多項可取得 root 權限或繞過登入限制的漏洞。
資安通知Wazuh 叢集同步路徑穿越等漏洞，請更新至 4.14.7 以上
Wazuh 於 2026 年 4 月 28 日公開 5 項安全公告，修正包含在 4.14.4。
資安通知Zimbra 舊版 Classic UI XSS 漏洞列入遭利用清單
Zimbra Collaboration 8.8.15、9.0、10.0 與 10.1 的傳統網頁信箱（Classic UI）對 HTML 郵件內容過濾不足，攻擊者可利用特製的標籤結構、屬性值與 @import 指令，在使用者以 Classic UI 檢視郵件時執行惡意指令碼，不需其他操作。
資安通知Zimbra 郵件 CSS XSS 漏洞已遭利用，請更新至 10.1.13
Zimbra Collaboration 傳統網頁信箱（Classic UI）未能過濾 HTML 郵件中的 CSS @import 指令，攻擊者寄出特製郵件，使用者以 Classic UI 開啟時即可能在其登入狀態下執行惡意指令碼（儲存型 XSS）。
資安通知Wazuh 叢集協定可取得 root 權限，請更新至 4.14.3 以上
Wazuh 於 2026 年 3 月 17 日公開 6 項安全公告，修正包含在 4.14.3（2026-02-11 發布）。
資安通知Nextcloud Flow 遠端程式碼執行漏洞，已於 1.3.0 修正
Nextcloud Flow 是以外部應用程式（ExApp，透過 AppAPI 以容器執行）提供的流程自動化功能，內含 Windmill。
版本更新Nextcloud 33 發布，31 社群版於 2026 年 2 月結束支援
Nextcloud 於 2026 年 2 月 18 日發布 Nextcloud 33（Nextcloud Hub 26 Winter），社群版支援至 2027 年 2 月。
資安通知Proxmox MG MIME 解析可繞過郵件過濾，請更新
Proxmox Mail Gateway 處理郵件時，對 Content-Type 標頭中不標準或有歧義的內容（例如重複的 Content-Type 標頭、多個 boundary 參數、boundary 含反斜線或非 ASCII 字元）不會視為錯誤。
資安通知LibreNMS 位址搜尋 SQL 注入漏洞，請更新至 26.2.0 以上
LibreNMS 於 2026 年 2 月 17 日公開 7 項安全公告。
資安通知Zimbra 舊版 WebEx Zimlet SSRF 漏洞列入遭利用清單
Zimbra Collaboration 8.8.15 Patch 7 之前的版本，若安裝了 WebEx Zimlet 並啟用 Zimlet JSP，攻擊者可利用伺服器端請求偽造（SSRF）讓 Zimbra 主機代為存取內部網路資源。
資安通知Zimbra 10.1.16 修正多項網頁信箱安全問題
Zimbra 於 2026 年 2 月 4 日發布 10.1.16，原廠將此版的安全等級標示為「High」。
版本更新OPNsense 26.1 大版本發布，請規劃自 25.7 升級
OPNsense 於 2026 年 1 月 28 日發布 26.1（代號 Witty Woodpecker），原廠表示 25.7 的升級路徑預計於 1 月 29 日開放。
資安通知Zimbra /h/rest 檔案引入漏洞已遭利用，請更新至 10.1.13
Zimbra Collaboration 10.0 與 10.1 傳統網頁信箱（Classic UI）的 RestFilter 未妥善處理使用者送出的請求參數，未經驗證的遠端攻擊者可對 /h/rest 端點送出特製請求，進而引入網站根目錄（WebRoot）中的任意檔案。
資安通知OPNsense IPv6 路由通告處理漏洞可遠端執行指令，請更新至 25.7.10
OPNsense 底層 FreeBSD 的 rtsol / rtsold 程式在處理 IPv6 路由通告（Router Advertisement）時，未驗證其中的網域搜尋清單（DNS Search List）選項，直接交給 resolvconf 處理，而 resolvconf 為 shell 腳本且未正確加上引號，使同一網段上的攻擊者可傳送特製的路由通告，在防火牆上以 root 身分執行指令。
資安通知NXLog Agent Windows 版本機權限提升漏洞，請更新至 6.11
NXLog Agent Windows 版 6.10.10368 及更早版本啟動時，會嘗試從固定的舊路徑 C:\nxlog4\x64\ 載入 OpenSSL 設定檔（openssl.cnf）。
資安通知Nextcloud 內建 Collabora CODE 伺服器 proxy.php 指令注入漏洞，請更新至 25.04.702
Nextcloud 的「Collabora Online - Built-in CODE Server」應用程式（richdocumentscode）在特定設定下有作業系統指令注入漏洞：若 Nextcloud 前方的反向代理伺服器不安全地信任 X-Forwarded-Host 標頭，攻擊者可透過 proxy.php 在主機上執行系統指令。
沒有符合條件的公告。
資料來源本區資訊整理自各原廠官方公告、版本說明與公開漏洞資料庫，每日檢查更新；點選展開查看來源網站。
Proxmox VE / BS / MG
Nextcloud
Collabora / OxOffice
LibreNMS
NXLog
Mail Piler
Jitsi Meet
嚴重程度依原廠或 NVD 公布的 CVSS 3.1 分數分級（9.0 以上為重大、7.0 以上為高、4.0 以上為中）；已列入美國 CISA 已知遭利用漏洞清單（KEV）者一律列為重大；原廠未提供分數時依原廠評等與影響範圍判斷，並於各公告註明。版本發布與停止支援公告列為中。實際影響請以原廠公告為準。