返回技術公告
資安通知嚴重程度高CVSS7.2

OPNsense 韌體鏡像設定指令注入漏洞，請更新至 26.7.8

OPNsense

OPNsense 26.7.8 修正兩項可取得 root 權限的漏洞。第一項（CVE-2026-119409）：只具備「System: Firmware」權限的使用者或 API 金鑰，可在韌體鏡像（mirror）網址中夾帶指令，之後每次讀取韌體資訊（包括開啟韌體頁面）時都會以 root 執行。第二項（無 CVE 編號）：具「憑證管理（CA Manager）」權限的使用者可匯入夾帶 OpenVPN 設定指令的 CA，當引用此 CA 的 OpenVPN 伺服器執行個體啟動或重新啟動時，注入的指令以 root 執行，無須 VPN 用戶端連線；原廠因此將每筆憑證儲存限制為單一憑證。10 月 31 日的 26.7.8_2 另修正 26.7.8 匯入憑證 / CA 誤要求私鑰等回歸問題。

影響版本

  • 韌體鏡像（CVE-2026-119409）：OPNsense 社群版 26.7.7 及更早版本
  • 韌體鏡像（CVE-2026-119409）：OPNsense 商業版 26.4.2p5 及更早版本
  • CA / 憑證匯入：OPNsense 社群版 25.7 至26.7.7商業版修正版本原廠公告未列

已修正版本

  • OPNsense 社群版26.7.82026-10-30 發布，兩項皆修正）；建議安裝 26.7.8_2（2026-10-31
  • OPNsense 商業版26.10韌體鏡像漏洞

建議處理方式

  1. 先確認版本分支（社群版或商業版），再依各漏洞的影響範圍判定
  2. 社群版：於「System → Firmware → Status」更新至 26.7.8_2 或之後版本，依提示重新開機
  3. 商業版：韌體鏡像漏洞更新至 26.10 或之後版本；跨主要版本升級前先閱讀遷移注意事項
  4. 原廠說明 OpenSSH 10.6 不接受 10.5 產生的 ML-DSA 金鑰，重新開機或重啟服務時會自動刪除並重新產生；若有用戶端記住主機金鑰，可能需重新確認
  5. 檢視「System → Access → Users / Groups」，System: Firmware、CA Manager 等委派權限與 API 金鑰只授予必要人員
  6. 更新後檢查「System → Firmware → Settings」中的鏡像網址，以及「System → Trust」中的 CA / 憑證內容是否為預期值

暫時無法更新時

  • 暫時無法更新者，移除非完整管理員帳號的 System: Firmware 與 CA Manager 權限，並撤銷不需要的 API 金鑰
  • 此為依漏洞機制提出的風險降低措施，非原廠列出的替代修補；撤銷權限不會清除已儲存的惡意鏡像設定或憑證，疑似遭竄改時須另行檢查既有設定

如何確認是否受影響

  • 於網頁介面首頁或「System → Firmware → Status」查看完整版本號；社群版低於 26.7.8 即受影響，建議達 26.7.8_2
  • 商業版：26.4.2p5 及更早版本受韌體鏡像漏洞影響
  • 於主控台執行 opnsense-version 查看版本

參考來源

OPNsense GitHub Security Advisory GHSA-p683-f7x2-pm4p：Firmware Mirror Configuration 指令注入github.comOPNsense GitHub Security Advisory GHSA-7wvp-6m2q-953c：CA/Cert 匯入 OpenVPN 指令注入github.comCVE 紀錄（VulnCheck CNA）：CVE-2026-119409www.cve.orgOPNsense 26.7.8 Changeloggithub.comOPNsense 商業版 26.10 Changeloggithub.comOPNsense 文件：Updatesdocs.opnsense.orgCISA Known Exploited Vulnerabilities Catalogwww.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告