觀點 · 資訊分享

MISP 的雙重驗證能被跳過（CVE-2026-10611）：密碼對了，直接換個網址就進得去

資安情資平台 MISP 在啟用 LDAP 混合登入又強制 OTP 的設定下，有人只要拿到正確的帳號密碼，就能不輸入驗證碼直接進系統。NVD 給了 10.0 分，2.5.39 版已修補。

一句話看懂：MISP 在某種特定登入設定下，雙重驗證的第二步可以被跳過，只要密碼正確、直接換個網址就能進系統，已在 2.5.39 版修補。

MISP 雙重驗證可被繞過資訊圖卡：特定登入設定下，密碼正確就能不輸入驗證碼直接進系統

先用白話講：雙重驗證被跳過是什麼意思？

想像一棟大樓有兩道門：第一道是刷員工證（帳號密碼），第二道是警衛核對你手機上的一次性號碼（OTP 驗證碼）。正常情況，兩道都過才進得去。

這個漏洞的狀況是：你刷完員工證，大樓就先讓你進了大廳，警衛才走過來要你報號碼。如果你不理警衛、直接走向電梯，沒人攔你。第二道門還在，但順序錯了，變成可以繞過去。

2026 年 6 月 2 日，NVD（美國國家漏洞資料庫）公開了 CVE-2026-10611，受影響的是 MISP。MISP 是一套開源的威脅情資分享平台，資安團隊用它交換惡意網址、攻擊手法等資料。

依照官方描述，問題出在登入流程的順序：

這代表他不需要提供 TOTP、HOTP 或 email OTP 驗證碼。

不是所有 MISP 都有這個問題，要同時符合：

攻擊者還需要有正確的主要登入帳密，所以它繞過的是第二道驗證，不是整個登入。

同一個漏洞有兩組評分，算法不同，數字不能直接比較：

另外，CISA 協調者在同一天（6 月 2 日）的 SSVC 評估記載：目前沒有已知利用（exploitation: none）、可自動化（automatable: yes）、技術衝擊為部分（partial）。

受影響版本：MISP 2.5.38（含）以前；NVD 的比對條件寫到 2.5.39 以前。
弱點類型：CWE-287（不當驗證）。
修補方式：修補 commit 在 app/Controller/AppController.php 新增一個檢查函式。外掛驗證（如 LDAP）成功後、建立登入狀態之前，先看這個使用者是否需要 OTP；需要就不建立登入、導向 OTP 頁。程式還特別處理了「已經在 OTP 頁面時不再重複導向」，避免無限轉址。
後續：MISP 2.5.39 在 6 月 5 日發布，更新說明列出這個 OTP 繞過已修，並建議所有 2.5 版使用者升級。
升級前提醒：官方說明建議升級前先備份，再跑標準的更新流程。

這類漏洞給我的提醒是：雙重驗證不只是「有開」就好，還要看它擋的位置對不對。這次的問題不在驗證碼本身，而是「先放行、後驗證」的順序。

接案時常遇到客戶把後台掛上 LDAP 或單一登入，再疊 OTP，覺得就萬無一失。其實每多一層串接，順序出錯的機會就多一個。自己架系統的人，除了升級，也可以做一件簡單的事：用一個測試帳號，登入後故意不輸入驗證碼、直接開別的頁面，看會不會被擋回去。

另外，情資平台裡通常放著敏感資料，不要為了方便就直接曝露在外網；能放在 VPN 或內網後面，就算驗證出包，風險也小很多。

MISP 是什麼？

一套開源的威脅情資分享平台，資安團隊用它來收集、整理、交換惡意網址、惡意程式特徵這類資料。

我的 MISP 會受影響嗎？

要同時符合三件事：版本在 2.5.38 以前、啟用 LDAP 混合登入（LdapAuth.mixedAuth=true）、而且設定了強制 OTP（Security.require_otp=true）。只用一般帳密登入的設定，從公告看不出受影響。

攻擊者不用密碼就能進去嗎？

不是。官方描述寫的是「擁有有效的主要登入帳密」的攻擊者，才能略過 OTP 這第二步。所以真正被繞過的是第二道驗證，不是第一道。

怎麼修？

升級到 2.5.39（NVD 的受影響範圍寫到 2.5.39 以前）。修補的做法是在外掛登入（例如 LDAP）成功之後、建立登入狀態之前，先檢查是否需要 OTP，需要的話就導向驗證頁。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。