Altium Enterprise Server 兩個免登入漏洞：每台伺服器共用同一把「簽章金鑰」，下載連結可以偽造

一句話看懂：Altium Enterprise Server 有兩個不用登入就能利用的漏洞：下載連結的簽章金鑰人人相同、檔案路徑又沒擋好，攻擊者可以讀取甚至寫入伺服器上的檔案。

先用白話講：這兩個漏洞是什麼？

想像一家飯店，所有分店的房卡都用同一把「萬用印章」蓋章認證。任何人只要弄到這把印章，就能自己蓋出一張「有效房卡」，走進任何一家分店；更糟的是，櫃檯還沒檢查你要去的路徑，你可以從一樓走廊一路拐進員工辦公室，甚至把東西放進去。

這就是這次的狀況：

• 寫死的金鑰：每一台伺服器都用同一把金鑰替下載連結簽章，所以攻擊者能偽造出合法的下載連結
• 路徑穿越：程式沒擋住「跳出指定資料夾」的寫法，檔案可以被讀到、甚至被寫入資料夾以外的地方

發生什麼事

NVD 在 6 月 5 日公開兩個 Altium Enterprise Server 的漏洞：

CVE-2026-11414（Vault 下載）

• Vault 服務用一把寫死的金鑰替檔案下載網址簽章，所有安裝都一樣
• 能連到伺服器的未驗證攻擊者，可以偽造有效簽章，不用登入就取得 Vault 儲存區的檔案
• 同一個下載端點另有路徑穿越，可跳出儲存資料夾，讀取伺服器上的任意檔案
• 兩者合用，可取得敏感的設定與金鑰資料，進而導致整台伺服器被控制
• 官方說明可以和 CVE-2026-9152 串在一起，列舉並大量下載儲存內容

CVE-2026-11420（網路安裝服務 NIS）

• 兩處路徑穿越，未驗證的攻擊者能把檔案寫到伺服器上任何可寫入的位置，也能讀取套件封存檔
• 寫進網站可存取的資料夾，或覆蓋程式與設定檔，可升級成以服務帳號身分遠端執行程式碼

誰會受影響？

• NVD 記載兩個漏洞都影響 8.1.1 以前的 Altium Enterprise Server
• Altium 365 雲端版：官方說 11414 因為檔案放在物件儲存，實際上不受影響；11420 因為雲端沒有 NIS，不受影響
• 兩者在 NVD 的 CVSS 3.1 分數都是 9.8（嚴重）

給開發者與管理者的技術細節

• 修補：升級到 8.1.1 或更新版本（NVD 的受影響範圍是「小於 8.1.1」，修補版本是依此推定，請以廠商公告為準）
• 在升級之前：避免把伺服器直接放在公開網路，限制可連線的來源；檢查伺服器上不尋常的檔案寫入
• 若懷疑已被存取，伺服器上的設定與金鑰資料應視為可能外洩，需要更換
• 設計層面的教訓：簽章用的金鑰必須每個安裝各自產生，不能寫死在程式碼；檔案路徑要先正規化，再檢查是否仍在允許的資料夾內

我的看法

這兩個漏洞很像是「經典錯誤的合集」：寫死金鑰、路徑穿越，都是寫程式時很容易犯、卻也有成熟做法可以避免的問題。我接案時常幫客戶做上傳下載功能，下載連結簽章這種設計，我一定會把金鑰放環境變數、每個環境各自產生，絕不寫進程式碼。

如果你的單位有自架 Altium Enterprise Server，這週先確認版本；沒有的話，也可以借這個例子，回頭檢查自己的專案有沒有「所有環境共用同一把金鑰」或「檔案路徑沒有正規化」的地方。

名詞小辭典

• CVE：全球通用的漏洞編號。
• CVSS：衡量漏洞嚴重度的 0 到 10 分制，9 分以上算嚴重。
• 路徑穿越（Path traversal）：利用特殊路徑寫法跳出允許的資料夾，讀寫其他位置的檔案。
• 簽章（Signature）：用金鑰算出的驗證碼，證明這個連結是伺服器自己發的。

資料來源

• NVD：CVE-2026-11414
• NVD：CVE-2026-11420