返回技術公告
資安通知嚴重程度重大CVSS9.1

Wazuh 叢集與 agent 遠端執行程式碼漏洞，請更新至 4.14.8 以上

Wazuh

Wazuh 於 2026 年 10 月 13 日公開 15 項安全公告，修正包含在 4.14.8（2026-09-23 發布）。最嚴重的 CVE-2026-74040 讓遭入侵或惡意的叢集工作節點能覆寫主節點的檔案，包括 ossec.conf 與會推送到所有 agent 的 agent.conf，進而在 manager 與所有 agent 上以 root 執行程式；CVE-2026-74036 可繞過預設關閉的 sca.remote_commands 限制，在 agent 上以 root 執行指令；CVE-2026-74041 讓具 manager:update_config 權限的 API 帳號以 root 執行指令。另有 agent 可讀取 manager 上任意檔案的問題（CVE-2026-74034；預設允許免密碼註冊，能連到註冊埠者可自行註冊 agent 後利用），以及可使分析引擎中斷的問題（CVE-2026-74045）。

影響版本

  • Wazuh manager3.9.0–4.14.7CVE-2026-74040，工作節點覆寫主節點檔案
  • Wazuh manager4.1.1–4.14.7CVE-2026-74043，叢集上傳函式路徑穿越
  • Wazuh manager4.1.0–4.14.7CVE-2026-74034，agent 讀取 manager 任意檔案
  • Wazuh manager3.12.0–4.14.7CVE-2026-74045，分析引擎中斷
  • Wazuh manager4.6.0–4.14.7CVE-2026-74035
  • Wazuh manager4.0.0–4.14.7CVE-2026-74037，撤銷授權後權杖未失效
  • Wazuh manager4.14.3–4.14.7、4.10.4CVE-2026-74041，遠端指令驗證繞過
  • Wazuh agent4.3.0–4.14.7CVE-2026-74036，SCA 指令以 root 執行

已修正版本

  • Wazuh4.14.82026-09-23 發布
  • Wazuh4.10.54.10.x 分支，2026-09-15 發布，僅修正 CVE-2026-74041
  • Wazuh4.14.92026-10-14 發布，截至 2026-11-04 最新穩定版

建議處理方式

  1. 依官方升級指南先完成備份與索引快照，依序升級 indexer、server（manager）、dashboard 至 4.14.9 或更新的穩定版本，再升級各端點的 agent
  2. 中央元件須為完全相同的版本（含修補版本號）；agent 至少更新至 4.14.8（CVE-2026-74036 的修正在 agent 端），且版本不可高於 manager
  3. 叢集金鑰若曾外洩，或任一工作節點遭入侵，應將整個叢集及所管理的 agent 納入事件調查範圍
  4. 檢視 Wazuh API 角色，manager:update_config、cluster_admin、users_admin 等權限只授予必要人員

暫時無法更新時

  • 叢集連接埠（預設 1516/TCP）只允許叢集節點之間互連，API（55000/TCP）只開放給管理網段
  • 限制 agent 註冊（1515/TCP）與訊息接收（1514/TCP）連接埠的來源並啟用註冊密碼驗證，可降低未經授權註冊 agent 後利用 CVE-2026-74034 的風險；無法阻止已遭入侵的合法 agent
  • 使用 run_as 授權者：撤銷高權限授權後，執行 PUT /security/user/revoke 使所有既有權杖失效（使用者需重新登入），並檢查是否有帳號被加入非預期的管理員角色；只移除角色或個別登出不足以阻止 CVE-2026-74037

如何確認是否受影響

  • 於每個 manager 節點執行 /var/ossec/bin/wazuh-control info 查看版本，低於 4.14.8 即受影響；4.10.5 只修正 CVE-2026-74041
  • 於 Wazuh dashboard 的 agent 清單篩選版本低於 4.14.8 的 agent
  • 排查異常跡象：比對 manager 的 ossec.conf、規則、解碼器、清單、client.keys 與 /var/ossec/etc/shared/ 下各群組的 agent.conf 是否有非預期修改，並檢查 agent 端 var/incoming/ 是否有可疑的 SCA 政策檔；未發現異常不代表未遭利用

參考來源

GHSA-88p6-7cm8-xwj8：CVE-2026-74040 叢集 worker 覆寫 master 檔案github.comGHSA-cw26-jj8q-x7w5：CVE-2026-74043 叢集上傳函式路徑穿越github.comGHSA-qmhg-366r-jjfp：CVE-2026-74036 SCA 指令於 agent 以 root 執行github.comGHSA-cjf8-wjx6-hjw6：CVE-2026-74041 遠端指令驗證繞過github.comGHSA-r7hm-43xr-477j：CVE-2026-74034 agent 讀取 manager 任意檔案github.comGHSA-gc4j-j9fg-4cfr：CVE-2026-74045 分析引擎中斷github.comGHSA-27gv-q7q6-f5qh：CVE-2026-74035github.comGHSA-3xm6-wp5v-2fm9：CVE-2026-74037 run_as 撤銷授權後權杖未失效github.comNVD：CVE-2026-74040nvd.nist.govWazuh 文件：4.14.8 Release notesdocumentation.wazuh.comWazuh 4.14.8 Release Notesgithub.comWazuh 4.14.9 Release Notesgithub.comWazuh 文件：Upgrade guidedocumentation.wazuh.comWazuh 文件：Agent 註冊密碼驗證documentation.wazuh.comCISA Known Exploited Vulnerabilities（官方資料，2026.11.03 版）raw.githubusercontent.com

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告