6 月的重點是 Node.js 一次修補 12 個 CVE（多數與 TLS 主機名驗證有關），以及 Drupal 單日發布 5 則核心公告，其中 JSON:API 的物件注入為「嚴重」等級。
本月重點一覽
| 項目 | 類別 | 嚴重度 |
|---|---|---|
| Node.js 6 月安全更新：12 個 CVE | Node.js | 高 |
| Drupal 核心 5 則公告（SA-CORE-2026-005～009） | CMS | 嚴重 18/25 |
Node.js 6 月安全更新：12 個 CVE
類別：Node.js 嚴重度：高
6 月 18 日修補 22.x／24.x／26.x。高風險兩項：WebCrypto AES 整數溢位造成程序崩潰（CVE-2026-48933），以及 Unicode 點號造成 TLS 萬用字元憑證深度驗證被繞過（CVE-2026-48618）。另有 SNI 大小寫造成 mTLS 授權繞過、內嵌 NUL 字元的主機名重新綁定、http2 ORIGIN frame 記憶體耗盡等中風險問題。
處置建議：升級到 v22.23.0／v24.17.0／v26.3.1（之後 7 月、10 月還有更新，請直接上最新）。
來源：Node.js 官方公告
Drupal 核心 5 則公告（SA-CORE-2026-005～009）
類別：CMS 嚴重度：嚴重 18/25
6 月 17 日發布。最嚴重的是 SA-CORE-2026-005：JSON:API 的 PHP 物件注入（CVE-2026-55803），但需特定實體參照欄位設定，核心內建欄位不符合條件。同日還有 gadget chain（006）、快取汙染與開放重導（007）、SSRF（008）、圖片 MIME 驗證不當（009）。
處置建議：升級到當時各分支最新安全版；有啟用 JSON:API 的網站優先處理。
站長檢查清單
- PHP、Node.js、網頁伺服器（Apache／NGINX／LiteSpeed）與 cPanel 都要跟上各分支最新修補版，停止支援的版本（PHP 8.1 以下、Drupal 10.6／11.3 以前）要規劃遷移。
- WordPress、Drupal、Joomla 核心與外掛開啟自動安全更新；停用、刪除用不到的外掛。
- 定期檢查是否出現陌生的管理員帳號，uploads 目錄禁止執行 PHP。
- npm 專案鎖定版本、CI 停用安裝腳本；發生供應鏈事件時輪替所有憑證。
本文依各官方公告與資安廠商公開資料整理，版本與評分以原始公告為準；整理日期 2026-10-29。