5 月是主機面板與網頁伺服器的大月：cPanel 認證繞過持續被大規模利用、NGINX rewrite 漏洞公開後三天就出現攻擊、Drupal 核心出現「已有攻擊程式」等級的 SQL 注入，npm 也再度出現供應鏈投毒。
本月重點一覽
| 項目 | 類別 | 嚴重度 |
|---|---|---|
| cPanel & WHM 認證繞過（CVE-2026-41940） | 主機面板 | 嚴重｜CVSS 9.8｜已遭利用 |
| Apache HTTP Server 2.4.67：HTTP/2 double free（CVE-2026-23918） | 網頁伺服器 | 高｜可能 RCE |
| Redis 一次修補 5 個記憶體漏洞（CVE-2026-23479 等） | 資料庫／快取 | 高｜CVSS 7.7 |
| Next.js／React 協同安全更新：13 項公告（含 CVE-2026-23870） | Node.js 框架 | 高 |
| NGINX rewrite 模組 heap 溢位「Rift」（CVE-2026-42945） | 網頁伺服器 | 嚴重｜已遭利用 |
| npm 套件 node-ipc 遭植入竊密程式 | npm 供應鏈 | 嚴重｜進行中攻擊 |
| Drupal 核心 SQL 注入（SA-CORE-2026-004／CVE-2026-9082） | CMS | 高度嚴重 23/25｜已有攻擊程式 |
| Joomla 5.4.6／6.1.1：一次修補 20 項核心問題 | CMS | 高（Joomla 自評） |
cPanel & WHM 認證繞過（CVE-2026-41940）
類別：主機面板 嚴重度：嚴重｜CVSS 9.8｜已遭利用
cPanel 登入與 session 載入流程的 CRLF 注入：未登入的攻擊者可在 Authorization 標頭塞入換行，把 user=root 等屬性寫進 session 檔，直接取得 WHM 管理權限。影響 11.40 之後所有版本，WP Squared 也受影響。官方 4 月 28～30 日釋出修補，5 月起多國 CERT 示警大規模利用；託管商 KnownHost 指出最早 2 月 23 日即有零時差攻擊跡象。
處置建議：更新到各分支修補版（例：11.136.0.5、11.134.0.20、11.132.0.29、11.130.0.19、11.126.0.54、11.118.0.63、11.110.0.97、11.86.0.41；WP Squared 136.1.7）。已曝露的主機應檢查 /var/cpanel/sessions、WHM 存取紀錄與新增的 root 級 API token。
Apache HTTP Server 2.4.67：HTTP/2 double free（CVE-2026-23918）
類別：網頁伺服器 嚴重度：高｜可能 RCE
mod_http2 在連線提早 reset 時發生 double free，可能導致遠端程式碼執行。問題程式碼於 2.4.66（2025-12-06）引入，只影響 2.4.66。
處置建議：升級到 Apache httpd 2.4.67 以上；暫時無法升級者可先關閉 HTTP/2（Protocols 移除 h2）。
來源：Indiana University 資安公告（2026-05-05）
Redis 一次修補 5 個記憶體漏洞（CVE-2026-23479 等）
類別：資料庫／快取 嚴重度：高｜CVSS 7.7
5 月 5 日 Redis 公告 CVE-2026-23479（unblock client 流程 use-after-free）、CVE-2026-25243／25588／25589（RESTORE 指令與 TimeSeries、Bloom 模組的非法記憶體存取）與 CVE-2026-23631（Lua use-after-free），皆可能導致 RCE。官方表示發布時未見利用。
處置建議：升級 Redis OSS 到 6.2.22／7.2.14／7.4.9／8.2.6／8.4.3／8.6.3；Redis 不要直接對外開放，並開啟 requirepass／ACL。
來源：Redis 官方公告
Next.js／React 協同安全更新：13 項公告（含 CVE-2026-23870）
類別：Node.js 框架 嚴重度：高
Vercel 5 月 7 日一次修補 13 項公告，包含 middleware／proxy 認證繞過（4 項 High）、DoS、經 WebSocket upgrade 的 SSRF、快取汙染與 XSS。React Server Components 的 CVE-2026-23870 可用特製請求讓 Server Function 端點耗盡 CPU。Vercel 表示這批問題無法以 WAF 可靠阻擋。
處置建議：Next.js 升級到 15.5.18／16.2.6；react-server-dom-* 升級到 19.0.6／19.1.7／19.2.6。13.x、14.x 全版本受影響，請規劃升級。
來源：Vercel 官方公告
NGINX rewrite 模組 heap 溢位「Rift」（CVE-2026-42945）
類別：網頁伺服器 嚴重度：嚴重｜已遭利用
ngx_http_rewrite_module 的 heap 損毀：rewrite 使用未命名擷取（$1、$2），替換字串含「?」，後面又接 rewrite／if／set 時，未登入攻擊者送特製 URI 即可讓 worker 當掉，若關閉 ASLR 可能執行程式碼。PoC 公開後，VulnCheck 於 5 月 16 日觀測到攻擊。影響 NGINX 0.6.27～1.30.0 與 NGINX Plus R32～R36。
處置建議：升級到 NGINX 1.31.0／1.30.1（Plus R36 P4、R32 P6）；暫時改用具名擷取（named captures）撰寫 rewrite。
來源：Help Net Security、Red Hat CVE 頁
npm 套件 node-ipc 遭植入竊密程式
類別：npm 供應鏈 嚴重度：嚴重｜進行中攻擊
5 月 14 日 node-ipc 9.1.6、9.2.3、12.0.1 被發布惡意版本，require 時即執行約 80 KB 混淆程式，蒐集雲端金鑰、SSH、Kubernetes、GitHub CLI、AI 工具設定等 90 類憑證外傳。
處置建議：退回 node-ipc 9.2.1 或 12.0.0；曾安裝受害版本的機器，請把上面所有憑證視為外洩並輪替。
Drupal 核心 SQL 注入（SA-CORE-2026-004／CVE-2026-9082）
類別：CMS 嚴重度：高度嚴重 23/25｜已有攻擊程式
資料庫 API 的 SQL 注入，未登入即可利用，影響使用 PostgreSQL 的 Drupal 網站，可能造成資料外洩，部分情況可提權或 RCE。Drupal 評分標示 E:Exploit（已有公開攻擊程式），新加坡 CSA 也指出已遭利用。
處置建議：升級到 10.4.10／10.5.10／10.6.9／11.1.10／11.2.12／11.3.10 或更新版本。
來源：Drupal 官方公告、新加坡 CSA AL-2026-060
Joomla 5.4.6／6.1.1：一次修補 20 項核心問題
類別：CMS 嚴重度：高（Joomla 自評）
5 月 26 日的安全版修補包含 com_finder／com_tags 盲注 SQL injection（CVE-2026-35221、35222）、HTMLView 本機檔案引入（CVE-2026-40383）、兩項 MFA 繞過（CVE-2026-48896、48897）、com_users 提權（CVE-2026-48898、48904）等。
處置建議：升級到 Joomla 5.4.6 或 6.1.1 以上（目前最新請直接升到 9 月的 5.4.9／6.1.4）。
來源：Joomla Security Centre、Joomla 官方發布說明
站長檢查清單
- PHP、Node.js、網頁伺服器（Apache／NGINX／LiteSpeed）與 cPanel 都要跟上各分支最新修補版，停止支援的版本（PHP 8.1 以下、Drupal 10.6／11.3 以前）要規劃遷移。
- WordPress、Drupal、Joomla 核心與外掛開啟自動安全更新；停用、刪除用不到的外掛。
- 定期檢查是否出現陌生的管理員帳號，uploads 目錄禁止執行 PHP。
- npm 專案鎖定版本、CI 停用安裝腳本；發生供應鏈事件時輪替所有憑證。
本文依各官方公告與資安廠商公開資料整理，版本與評分以原始公告為準；整理日期 2026-10-29。