返回技術公告
資安通知嚴重程度高CVSS7.2

OPNsense PPP 密碼與 ACME 外掛指令注入等漏洞，請更新至 26.7.9

OPNsense

OPNsense 26.7.9（2026-11-11 發布）修正 4 項核心程式安全問題，並隨附 os-acme-client 4.18 外掛更新。核心問題中原廠評為高風險的 GHSA-f35q-c34m-pfw3（CVSS 3.1 7.2，本則嚴重程度依此分數）：PPP 連線設定的密碼欄位未檢查換行字元，寫入 mpd5 設定檔時可夾帶額外指令，只具「Interfaces: PPPs: Edit」權限的使用者即可在 PPP 連線建立時以 root 執行程式；此為先前 CVE-2026-57154 修正不完整（當時只檢查使用者名稱）。外掛部分，os-acme-client 4.17 及更早版本的 Google Cloud DNS 驗證模組未過濾帳號與專案欄位（CVE-2026-123025，CNA 評為重大，CVSS 4.0 9.4；未提供 CVSS 3.1 分數），可申請或更新憑證的已登入使用者可以 root 執行程式。另修正 3 項中度問題：同時具 Monit 存取權限、且隸屬受來源網路限制之完整管理群組的使用者，可從允許範圍以外的來源儲存 Monit 設定；僅具「System: Status」權限的已登入使用者，以及具 Crash Reporter 檢視權限的唯讀使用者，可刪除當機紀錄；具 Captive Portal 範本管理權限的已登入使用者，可提交高度壓縮的 ZIP 範本，使網頁管理介面與後端處理程序耗盡記憶體。

影響版本

  • PPP 密碼注入（GHSA-f35q）等 4 項核心問題：OPNsense 社群版 26.7.8 及更早版本（含已套用 CVE-2026-57154 修正的版本）
  • PPP 密碼注入等 4 項核心問題：OPNsense 商業版 26.10
  • ACME 外掛（CVE-2026-123025）：os-acme-client 4.17 及更早版本（有安裝此外掛者）

已修正版本

  • OPNsense 社群版26.7.92026-11-11 發布，含 os-acme-client 4.18
  • OPNsense 商業版26.10.0p1依原廠 GitHub 安全公告標示
  • os-acme-client4.18

建議處理方式

  1. 先確認版本分支（社群版或商業版），於「System → Firmware → Status」更新至社群版 26.7.9 或商業版 26.10.0p1 以上，依提示重新開機
  2. 有安裝 os-acme-client 者，更新後於「System → Firmware → Plugins」確認版本為 4.18 以上
  3. os-acme-client 4.18 的 Selfhost DNS API 改用 API 金鑰，使用 Selfhost DNS 驗證者須於更新後重新填入 Selfhost API 金鑰，否則憑證申請與更新將失敗
  4. 檢視「System → Access → Users / Groups」，Interfaces: PPPs: Edit、ACME 用戶端、Captive Portal 等委派權限與 API 金鑰只授予必要人員；26.7.9 起權限清單會標示各權限實際可取得的系統控制程度，可作為檢視依據
  5. 更新後檢查「Interfaces → Devices → Point-to-Point」的 PPP 設定與 ACME 用戶端的 Google Cloud DNS 驗證設定是否為預期值

暫時無法更新時

  • 暫時無法更新者，移除非完整管理員帳號的 Interfaces: PPPs: Edit 與 ACME 用戶端權限，並撤銷不需要的 API 金鑰
  • 目前未使用 Google Cloud DNS 驗證，不應單獨作為降低風險的判斷依據；具 ACME 用戶端權限者仍可能新增或修改驗證設定並觸發憑證申請，已安裝受影響版本者仍應更新至 4.18 以上
  • 此為依漏洞機制提出的風險降低措施，非原廠列出的替代修補；撤銷權限不會清除已儲存的惡意設定，疑似遭竄改時須另行檢查 PPP 與 ACME 設定

如何確認是否受影響

  • 於網頁介面首頁或「System → Firmware → Status」查看完整版本號；社群版低於 26.7.9 即受影響
  • 商業版：26.10 受影響，需達 26.10.0p1
  • 於「System → Firmware → Plugins」查看 os-acme-client 是否已安裝及其版本，低於 4.18 即受影響
  • 於主控台執行 opnsense-version 查看版本

參考來源

OPNsense 26.7.9 Changeloggithub.comOPNsense GitHub Security Advisory GHSA-f35q-c34m-pfw3：PPP 密碼未加引號導致 root 指令執行github.comOPNsense GitHub Security Advisory GHSA-2f7g-25f3-55v7：Monit 完整管理員檢查未套用來源網路限制github.comOPNsense GitHub Security Advisory GHSA-2w8j-hpp2-8rfj：受限使用者可刪除當機紀錄github.comOPNsense GitHub Security Advisory GHSA-r23v-737v-6r5h：Captive Portal 範本 ZIP 解壓縮耗盡記憶體github.comos-acme-client 外掛 Changelog（4.18）github.comNVD：CVE-2026-123025nvd.nist.govCISA Known Exploited Vulnerabilities Catalogwww.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

以 RSS 訂閱技術公告選擇要訂閱的軟體，將產生的網址加入 RSS 閱讀器（如 Feedly、Inoreader、Outlook、Thunderbird、Teams、Slack），有新公告時自動收到。

未勾選時為全部公告。依類別訂閱：全部・資安通知・版本更新

資料來源本區資訊整理自各原廠官方公告、版本說明與公開漏洞資料庫，每日檢查更新；點選展開查看來源網站。

Mail Piler

嚴重程度依原廠或 NVD 公布的 CVSS 3.1 分數分級（9.0 以上為重大、7.0 以上為高、4.0 以上為中）；已列入美國 CISA 已知遭利用漏洞清單（KEV）者一律列為重大；原廠未提供分數時依原廠評等與影響範圍判斷，並於各公告註明。版本發布與停止支援公告列為中。實際影響請以原廠公告為準。

相關公告