CISA 一次把 8 個漏洞列入「已遭利用」名單：Cisco SD-WAN、PaperCut、TeamCity 都在內

一句話看懂：美國 CISA 一次把 8 個漏洞列進「已遭利用」名單，包含 Cisco SD-WAN 管理軟體、PaperCut、TeamCity 等，代表攻擊者正在用它們。

先用白話講：KEV 名單是什麼？

想像有一份「通緝犯名單」，只收已經確定犯過案的人，不收「可能有嫌疑」的。KEV（已知遭利用漏洞）名單就是這樣：CISA 只把「有證據顯示已經被攻擊者實際拿來用」的漏洞放進來。

所以名單上的漏洞，優先順序比一般只有 CVE 編號的漏洞更高。

發生什麼事

CISA 在 4 月 20 日公告新增 8 個漏洞，理由是有主動被利用的證據：

這份名單有什麼值得注意？

• 舊漏洞不會自己消失：最舊的是 2023 年的 CVE，代表公開兩、三年的漏洞，只要有系統沒修，還是會被利用。
• 管理類軟體很多：SD-WAN 管理、列印管理、持續整合（CI）伺服器、系統管理設備，這類產品常常握有高權限，一旦被打，影響範圍大。
• 不同產品、不同原因：驗證不當、路徑穿越、資訊暴露、XSS，漏洞類型各異，沒有單一的防護方式。

該怎麼辦？

1. 拿這份名單對照你（或你客戶）用的產品。
2. 有的就查原廠安全公告，確認受影響版本與修補方式。
3. 暫時無法修補的，先限制管理介面的來源網路，不要直接對網際網路開放。（通用防護做法）

給開發者與管理者的技術細節

• CISA 公告只列出產品、CVE 編號與漏洞類型，沒有提供修補版本與攻擊細節，請各自查原廠公告。
• 依 BOD 22-01，美國聯邦機關必須在期限內修補；其他組織不受約束，但 CISA 強烈建議比照處理。
• 把 KEV 名單接進自己的漏洞管理流程是低成本的做法：CISA 有提供名單供查詢。

我的看法

我接案時最常碰到的情況是：客戶說「這套軟體很穩，沒出過事」，其實只是沒人去看它的版本。像 TeamCity 這種開發團隊用的 CI 伺服器、PaperCut 這種辦公室列印管理，常常是一裝就忘的東西。

這份名單有個實用價值：它是免費、官方的「優先順序」。不確定該先修哪個時，先看有沒有在 KEV 上。我會建議每次交付系統時，順手給客戶一份用到的第三方軟體清單與版本，之後才有東西可以對照。

名詞小辭典

• KEV：CISA 維護的「已知遭利用漏洞」名單，只收有證據被實際攻擊的漏洞。
• CVE：漏洞的公開編號，方便大家討論同一個漏洞。
• 路徑穿越（Path traversal）：利用特殊的路徑寫法，讀取或寫入不該碰的資料夾。
• CI 伺服器：自動建置與測試程式的伺服器，通常握有原始碼與部署權限。

資料來源

• CISA：Adds Eight Known Exploited Vulnerabilities to Catalog（2026-04-20）