資安通告：09/21~09/27 資安弱點威脅彙整週報
2026-10-02
風險等級： 高度威脅
摘　　要：

各大廠牌軟硬體高風險弱點摘要

廠牌 軟硬體型號 弱點數量 說明 CVE ID
AdobeAdobe Bridge1Adobe 產品 Bridge 存在不受控遞歸 (Uncontrolled Recursion) 弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-75655

AdobeAdobe Bridge1Adobe 產品 Bridge 存在越界存取弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-75658

AdobeAdobe Bridge1Adobe 產品 Bridge 存在越界存取弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-75663

AdobeAdobe Bridge1Adobe 產品 Bridge 存在堆疊緩衝區溢位弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-75665

AdobeAdobe Bridge1Adobe 產品 Bridge 存在堆疊緩衝區溢位弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-75676

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在程式碼注入弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-73369

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在程式碼注入弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-75699

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在程式碼注入弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-75703

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在程式碼注入弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-75721

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在授權驗證弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-75723

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在程式碼注入弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-84412

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在程式碼注入弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-89275

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在授權驗證弱點。攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-75728

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在輸入驗證弱點。低權限攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-82008

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在 SQL 注入弱點。低權限攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-82010

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在 SQL 注入弱點。低權限攻擊者可利用該弱點，導致在目前使用者上下文中執行任意程式碼情況。CVE-2026-82011

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在伺服器端請求偽造 (SSRF) 弱點。低權限攻擊者可利用該弱點來取得對內部資源的更高權限存取情況。CVE-2026-82013

AdobeAdobe Campaign Classic1Adobe 產品 Campaign Classic 存在伺服器端請求偽造 (SSRF) 弱點。低權限攻擊者可利用該弱點來取得對內部資源的更高權限存取情況。CVE-2026-82443

AdobeAdobe Campaign Classic1Adobe Campaign Classic（ACC） 存在伺服器端請求偽造（SSRF）弱點，可能導致權限提升。利用此弱點不需要使用者互動，且攻擊範圍（Scope）已變更。CVE-2026-83660

AdobeAdobe Campaign Classic1Adobe Campaign Classic（ACC） 存在程式碼產生控制不當（程式碼注入）弱點，可能導致在目前使用者權限內容中執行任意程式碼。低權限攻擊者可利用此弱點執行任意程式碼。利用此弱點不需要使用者互動，且攻擊範圍（Scope）已變更。CVE-2026-89276

AdobeAdobe Campaign Classic1Adobe Campaign Classic（ACC） 存在輸入驗證不當弱點，可能導致在目前使用者權限內容中執行任意程式碼。低權限攻擊者可利用此弱點執行任意程式碼。此弱點的利用取決於攻擊者無法控制的條件，且不需要使用者互動，攻擊範圍（Scope）已變更。CVE-2026-82003

AdobeAdobe Connect1Adobe Connect 存在特殊元素未正確中和於 SQL 命令中（SQL Injection）的弱點，可能導致在目前使用者權限內容中執行任意程式碼。低權限攻擊者可利用此弱點執行任意 SQL 命令，可能進一步取得受害者帳戶或工作階段的較高權限或控制權。利用此弱點不需要使用者互動，且攻擊範圍（Scope）已變更。CVE-2026-75682

AdobeAdobe Connect1Adobe Connect 存在儲存型跨網站指令碼（XSS）弱點，攻擊者可利用此弱點在存在弱點的表單欄位中注入惡意指令碼。當受害者瀏覽包含該弱點欄位的頁面時，可能在其瀏覽器中執行惡意 JavaScript，進而可能取得受害者帳戶或工作階段的較高權限或控制權。攻擊範圍（Scope）已變更。CVE-2026-75684

AdobeAdobe Connect1Adobe Connect 存在輸入驗證不當弱點，可能導致在目前使用者權限內容中執行任意程式碼。攻擊者可利用此弱點執行任意程式碼。利用此弱點需要使用者互動，受害者必須瀏覽特製的惡意 URL 或與遭入侵的網頁互動，且攻擊範圍（Scope）已變更。CVE-2026-75686

AdobeAdobe Connect1Adobe Connect 存在儲存型跨網站指令碼（XSS）弱點，攻擊者可利用此弱點在存在弱點的表單欄位中注入惡意指令碼。當受害者瀏覽包含該弱點欄位的頁面時，可能在其瀏覽器中執行惡意 JavaScript，進而可能取得受害者帳戶或工作階段的較高權限或控制權。攻擊範圍（Scope）已變更。CVE-2026-75689

AdobeAdobe Connect1Adobe Connect 存在儲存型跨網站指令碼（XSS）弱點，攻擊者可利用此弱點在存在弱點的表單欄位中注入惡意指令碼。當受害者瀏覽包含該弱點欄位的頁面時，可能在其瀏覽器中執行惡意 JavaScript，進而可能取得受害者帳戶或工作階段的較高權限或控制權。攻擊範圍（Scope）已變更。CVE-2026-75697

AdobeAdobe Connect1Adobe Connect 存在反射型跨網站指令碼（XSS）弱點。攻擊者可利用此弱點在網頁中注入惡意指令碼，可能取得受害者帳戶或工作階段的較高權限或控制權。利用此弱點需要使用者互動，受害者必須瀏覽特製的惡意 URL 或與遭入侵的網頁互動，且攻擊範圍（Scope）已變更。CVE-2026-75698

AdobeAdobe Connect1Adobe Connect 存在路徑名稱限制於受限目錄不當（Path Traversal）弱點，可能導致任意檔案系統讀取。攻擊者可利用此弱點存取預期存取範圍以外的敏感檔案及目錄。利用此弱點不需要使用者互動，且攻擊範圍（Scope）已變更。CVE-2026-34689

AdobeAEM 6.5 Forms JEE1Adobe Experience Manager Forms JEE 存在授權機制不正確弱點，可能導致在目前使用者權限內容中執行任意程式碼。攻擊者可利用此弱點執行任意程式碼。利用此弱點不需要使用者互動，且攻擊範圍（Scope）已變更。CVE-2026-75745

AdobeAEM 6.5 Forms JEE1Adobe Experience Manager Forms JEE 存在輸入驗證不當弱點，可能導致在目前使用者權限內容中執行任意程式碼。具高權限的攻擊者可利用此弱點執行任意程式碼。利用此弱點不需要使用者互動，且攻擊範圍（Scope）已變更。CVE-2026-81995

AdobeAEM 6.5 Forms JEE1Adobe Experience Manager Forms JEE 存在伺服器端請求偽造（SSRF）弱點，可能導致權限提升。低權限攻擊者可利用此弱點取得對內部資源的較高存取權限。利用此弱點不需要使用者互動，且攻擊範圍（Scope）已變更。CVE-2026-82000

AdobeAEM 6.5 Forms JEE1Adobe Experience Manager Forms JEE 存在儲存型跨網站指令碼（XSS）弱點，高權限攻擊者可利用此弱點在存在弱點的表單欄位中注入惡意指令碼。當受害者瀏覽包含該弱點欄位的頁面時，可能在其瀏覽器中執行惡意 JavaScript，進而可能取得受害者帳戶或工作階段的較高權限或控制權。攻擊範圍（Scope）已變更。CVE-2026-75744

AdobeAEM 6.5 Forms JEE1Adobe Experience Manager Forms JEE 存在伺服器端請求偽造（SSRF）弱點，可能導致權限提升。具高權限的攻擊者可利用此弱點取得對內部資源的較高存取權限。利用此弱點不需要使用者互動，且攻擊範圍（Scope）已變更。CVE-2026-81999

AdobeAEM 6.5 Forms JEE1Adobe Experience Manager Forms JEE 存在跨網站請求偽造（CSRF）弱點，可能導致安全功能繞過。攻擊者可利用此弱點繞過安全防護措施並取得未經授權的寫入權限，造成有限程度的可用性中斷。利用此弱點需要使用者互動，受害者必須瀏覽特製的惡意 URL 或與遭入侵的網頁互動。CVE-2026-75743

AdobeContent Credentials Rust SDK1CAI Content Credentials 存在輸入驗證不當弱點，可能導致安全功能繞過。攻擊者可利用此弱點繞過安全防護措施並取得未經授權的寫入權限。利用此弱點不需要使用者互動。CVE-2026-19480

AdobeContent Credentials Rust SDK1CAI Content Credentials 存在資源消耗未受控制弱點，可能導致應用程式阻斷服務（DoS）。攻擊者可利用此弱點耗盡系統資源，造成應用程式阻斷服務。利用此弱點不需要使用者互動。CVE-2026-75632

AdobePremiere1Adobe Premiere Pro 存在伺服器端請求偽造（Server-Side Request Forgery, SSRF）弱點，可能導致權限提升，進而取得未經授權的寫入權限。利用此弱點不需要使用者互動，且會造成安全性範圍變更（Scope is Changed）。CVE-2026-84395

AdobeSubstance3D - Modeler1Adobe Substance 3D - Modeler 存在越界寫入（Out-of-Bounds Write）弱點，可能導致攻擊者以目前使用者的權限執行任意程式碼。利用此弱點需要使用者互動，即受害者必須開啟惡意檔案。CVE-2026-79906

AdobeSubstance3D - Modeler1Adobe Substance 3D - Modeler 存在越界寫入（Out-of-Bounds Write）弱點，可能導致攻擊者以目前使用者的權限執行任意程式碼。利用此弱點需要使用者互動，即受害者必須開啟惡意檔案。CVE-2026-81998

AdobeSubstance3D - Modeler1Adobe Substance 3D - Modeler 存在基於堆疊的緩衝區溢位（Stack-based Buffer Overflow）弱點，可能導致攻擊者以目前使用者的權限執行任意程式碼。利用此弱點需要使用者互動，即受害者必須開啟惡意檔案。CVE-2026-83962

AdobeSubstance3D - Modeler1Adobe Substance 3D - Modeler 存在越界寫入（Out-of-Bounds Write）弱點，可能導致攻擊者以目前使用者的權限執行任意程式碼。利用此弱點需要使用者互動，即受害者必須開啟惡意檔案。CVE-2026-83963

checkpointQuantum Security Management1Check Point Management Server 存在目錄遍歷與檔案上傳弱點，未經驗證的攻擊者可利用此弱點上傳並執行任意腳本。CVE-2026-93616

F5BIG-IP1F5 BIG-IP APM 存在遠端程式碼執行（Remote Code Execution, RCE）弱點。當 BIG-IP APM 存取原則與 OAuth Profile 同時設定於虛擬伺服器，且 BIG-IP APM 設定為 OAuth Authorization Server 時，特製的惡意流量可能導致遠端程式碼執行。未經驗證的攻擊者可利用此弱點執行任意程式碼。使用 APM 僅作為 OAuth Client／Resource Server，且未設定 OAuth Authorization Server Profile 的環境不受此弱點影響。Appliance Mode 亦受影響；此問題屬於 Data Plane，Control Plane 不受影響。CVE-2026-94127

FortinetFortiPAM Chrome Extension1Fortinet FortiPAM Chrome Extension 存在對呈現 UI 圖層或框架限制不當的弱點，受影響版本為 FortiPAM Chrome Extension 8.0 全版本及 7.4 全版本。攻擊者可透過遠端、未經驗證的方式利用此弱點，造成資訊洩漏。CVE-2026-84388

LinuxLinux1Linux Kernel svcrdma 存在未拒絕 segcount 為 0 的 Write/Reply Chunk 弱點：對端可傳送 segcount 欄位為 0 的 Write 或 Reply Chunk。xdr_check_write_chunk() 僅拒絕大於 rc_maxpages 的 segcount，因此 0 可通過範圍檢查，進而建立 ch_segcount == 0 的 Chunk 並加入解析清單。雖然先前的修正已使 pcl_for_each_segment() 可安全處理 ch_segcount == 0，但仍應在解碼階段拒絕此格式錯誤的封包，以避免後續元件存取無效的零區段 Chunk。修正方式為拒絕 segcount == 0 的 Write/Reply Chunk，並將 list_add_tail() 延後至完成所有 Segment 填入後執行，確保只有完整建立的 Chunk 才會加入清單。CVE-2026-93228

LinuxLinux1Linux Kernel RDMA/rtrs-srv 存在整數下溢（Integer Underflow）弱點：usr_len 取自網路提供的訊息欄位，並用於計算 data_len = off - usr_len，但未驗證 usr_len <= off。惡意 RDMA Client 可傳送大於 off 的 usr_len，造成整數下溢，使 data_len 回繞為非常大的 size_t 值，之後被作為記憶體長度傳遞給 RDMA 事件回呼函式，導致越界記憶體存取。修正方式為在 process_read() 與 process_write() 中先讀取並驗證 usr_len <= off。CVE-2026-97413

LinuxLinux1Linux Kernel nfsd 存在布林旗標競態條件導致記憶體破壞的弱點：nfsd_net 中部分布林欄位會由不同執行緒內容同時存取，但缺乏同步機制。其中 grace_ended 可能被不同 CPU 同時判斷為 false 並設定為 true，導致多個執行緒同時進入後續處理，並對 reclaim_str_hashtbl 進行未加鎖的遍歷與刪除，可能造成鏈結串列損毀及重複釋放（Double Free），甚至讓其他執行緒讀取已釋放的記憶體。修正方式為將分散的布林旗標改為單一 unsigned long Flags，並使用原子性的 test_and_set_bit() 等操作處理旗標，以避免競態條件。CVE-2026-93221

LinuxLinux1Linux Kernel svcrdma 存在失敗的連線接受流程中未匹配註冊／取消註冊操作的弱點：當 svc_rdma_accept() 在 rpcrdma_rn_register() 成功前進入錯誤處理流程時，原本的清理程序會無條件呼叫 rpcrdma_rn_unregister()，可能錯誤刪除其他呼叫者的項目並執行不匹配的參照計數操作，導致資源洩漏。修正方式為以 rn_done == NULL 作為「尚未註冊」的判斷條件，在未註冊時直接返回，並於取消註冊前清除 rn_done，避免重複取消註冊。CVE-2026-93224

LinuxLinux1Linux Kernel greybus: audio 存在拓撲資料區段大小驗證不當的弱點：gb_audio_gb_get_topology() 會取得由模組提供大小的拓撲資料，而 gbaudio_tplg_parse_data() 會使用模組提供的 size_dais、size_controls 與 size_widgets 計算各資料區段的偏移量。由於這些大小值未驗證是否落在實際取得的資料範圍內，惡意模組可提供較小的拓撲大小及過大的區段大小，使偏移量指向配置記憶體之外，造成越界讀取。修正方式為在解析前確認各區段大小均位於已取得的資料範圍內。CVE-2026-93280

LinuxLinux1Linux Kernel ksmbd 存在最大允許存取權限檢查不當的弱點：DACL 權限檢查未正確考量 Authenticated Users ACE，可能導致透過該群組授權的檔案被錯誤拒絕存取。此外，最大權限計算可能將不適用於目前使用者的 ACE 權限一併納入，進而授予不屬於該使用者的權限。修正方式為僅處理適用於目前使用者、Everyone 或 Authenticated Users 的 ACE，並依 ACL 順序累計允許與拒絕的權限遮罩，同時保留明確要求的權限位元進行驗證，以避免錯誤擴大實際權限。CVE-2026-93282

LinuxLinux1Linux Kernel drm/pagemap 存在 DMA 解除映射處理順序不當的弱點：drm_pagemap_migrate_unmap_pages() 依賴 pages 陣列判斷哪些頁面需要進行 DMA 解除映射，但 drm_pagemap_migration_unlock_put_pages() 在清理過程中會清除該陣列，若先執行清理再進行 DMA 解除映射，將無法取得有效的頁面資訊。修正方式為在 drm_pagemap_migration_unlock_put_pages() 前先呼叫 drm_pagemap_migrate_unmap_pages()，確保進行 DMA 解除映射時 pages 陣列仍然有效。CVE-2026-93284

LinuxLinux1Linux Kernel ksmbd 存在未正確保留 VFS 繼承 POSIX ACL 遮罩的弱點：VFS 會根據父目錄的預設 ACL 與要求的建立模式初始化子項目的 POSIX ACL。若後續修改父 ACL 或覆寫 VFS 計算出的存取與預設 ACL，可能導致限制性的 ACL_MASK 遭到修改，使透過 SMB 建立的物件權限被不當放寬。修正方式為保留 VFS 所計算的 ACL，避免擴大有效權限。CVE-2026-93786

LinuxLinux1Linux Kernel SMB Client 存在目錄項目名稱越界讀取（Out-of-Bounds Read）弱點：cifs_filldir() 從 SMB1 TRANS2_FIND_FIRST / FIND_NEXT 回應中複製目錄項目名稱時，使用由伺服器提供的 de.namelen，但未確認 de.name + de.namelen 是否仍位於 SMB 回應緩衝區範圍內。惡意 SMB1 伺服器可提供過大的 FileNameLength，導致 memchr() 讀取超出回應緩衝區。修正方式為將回應結尾指標傳遞至 cifs_filldir()，並拒絕名稱超出該範圍的目錄項目。CVE-2026-93787

LinuxLinux1Linux Kernel iwlwifi 存在 tid_data 陣列越界存取（Out-of-Bounds）弱點：mvmsta->tid_data 原本使用 TFD 迴圈計數器 i 進行索引，而非實際的 TID 值 tid，導致 lq_color 被寫入與 BA 項目無關的錯誤 tid_data 位置。修正方式為在存取陣列前增加越界檢查，以避免錯誤的陣列存取。CVE-2026-93790

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： wifi: iwlwifi: mvm: 驗證 TX_CMD 回應配置 (layout) TX_CMD 解析使用 frame_count 來走訪狀態項目，然後讀取尾隨的 SCD SSN。在解析酬載之前，使最小長度檢查完全遵循該精確的執行階段配置計算。對於新的 TX API，拒絕 frame_count != 1 的 TX_CMD 回應，並在聚合處理常式中發出警告/返回，以記載預期透過 BA 通知進行聚合計費。CVE-2026-93793

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： wifi: iwlwifi: mvm: 在 BA 視窗狀態通知中驗證 sta_id BA_WINDOW_STATUS_NOTIFICATION_ID 從韌體通知中擷取 5 位元的 sta_id，並在沒有邊界檢查的情況下使用它來對 fw_id_to_mac_id[] 進行索引。在存取陣列之前驗證 sta_id，以防止越界索引。CVE-2026-93799

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： wifi: cfg80211: 在狀態和 IE 存取之前驗證關聯回應長度 cfg80211_rx_assoc_resp() 在證明影格夠長足以支援這些偏移量之前，先從管理影格初始化 cfg80211_connect_resp_params 的狀態和回應 IE 欄位。S1G 與一般關聯回應也具有不同的 IE 偏移量，但 S1G 路徑僅在不安全的初始化程式已經執行後才修補 resp_ie。將 resp_ie、resp_ie_len 和 status 延後至連結迭代迴圈之後處理。使用布林值 (bool) 來記住影格是否為 S1G，然後驗證適當的最小長度，並在單一 if/else 區塊中設定所有三個欄位。將短影格與 SME 拒絕清理工作，透過共用的 free_bss 標籤導向放棄路徑。CVE-2026-93806

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： virtio-fs: 避免在佇列設定失敗時發生雙重釋放 (double-free) virtio_fs_setup_vqs() 在呼叫 virtio_find_vqs() 之前配置了 fs->vqs 和 fs->mq_map。如果 virtio_find_vqs() 失敗，錯誤路徑會釋放這兩個指標並向 virtio_fs_probe() 傳回錯誤。接著 virtio_fs_probe() 會捨棄最後一個 kobject 參照，而 virtio_fs_ktype_release() 會再次釋放 fs->vqs 和 fs->mq_map。這會在 struct virtio_fs 中留下懸空指標，並可能在探測失敗清理期間觸發雙重釋放。在 virtio_fs_setup_vqs() 錯誤路徑的 kfree() 之後立即將 fs->vqs 和 fs->mq_map 設為 NULL，以便稍後的 kobject 釋放操作能看到未初始化的狀態，並使 kfree(NULL) 變成無害的操作。當損壞的 virtio-fs 裝置宣告的請求佇列多於傳輸層實際提供的數量時，即可重現此問題。在這種情況下，virtio_find_vqs() 在設定額外佇列時失敗，探測路徑便會到達雙重釋放清理序列。CVE-2026-93827

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： nvme-fc: 不要在 io 目標初始化之前取消請求 處於 CONNECTING 狀態的新 nvme-fc 控制器若遇到管理請求逾時，會排程 ctrl->ioerr_work 來中止運行中的請求。這最終會呼叫 __nvme_fc_abort_outstanding_ios()，從而中止管理和 io 標籤集中的請求。若 fc_ctrl->tag_set 尚未初始化，我們就會看到下方的警告。這是因為 ctrl.queue_count 在 nvme_fc_alloc_ctrl() 早期就已初始化。CVE-2026-97409

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： nvme: 驗證 FDP 組態描述項大小 在走訪 FDP 組態日誌時驗證描述項大小，確保 dsze == 0 或超出日誌結尾的描述項不會導致無限迭代或讀取緩衝區之外的資料。CVE-2026-97433

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： wifi: ath11k: 修正 ath11k_dp_rx_h_undecap_nwifi 中的無效資料存取 在某些情況下，硬體可能會提供長度大於最大原生 Wi-Fi 標頭長度的封包。這可能導致在針對 DP_RX_DECAP_TYPE_NATIVE_WIFI 解封裝類型的 ath11k_dp_rx_h_undecap_nwifi() 函式內部存取與修改標頭中的欄位，並可能導致無效的資料存取與記憶體損毀。核心堆疊損毀於：ath11k_dp_rx_h_undecap+0x6b0/0x6b0 [ath11k] Call trace: ath11k_dp_rx_h_mpdu+0x0/0x2e8 [ath11k] ath11k_dp_rx_h_mpdu+0x1e0/0x2e8 [ath11k] ath11k_dp_rx_wbm_err+0x1e0/0x450 [ath11k] ath11k_dp_rx_process_wbm_err+0x2fc/0x460 [ath11k] ath11k_dp_service_srng+0x2e0/0x348 [ath11k] 在處理 SKB 之前新增健全性檢查，以防止在針對 DP_RX_DECAP_TYPE_NATIVE_WIFI 解封裝類型的原生 Wi-Fi 解封裝函式中發生無效的資料存取。這改編自 ath12k 驅動程式的討論/修補程式 [1]。 Tested-on: WCN6855 hw2.1 PCI WLAN.HSP.1.1-04685-QCAHSPSWPL_V1_V2_SILICONZ_IOE-1CVE-2026-97442

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： ACPICA: 在兩個地方驗證處理常式物件類型 ACPICA: 在 acpi_ev_has_default_handler() 和 acpi_ev_find_region_handler() 中驗證處理常式物件類型。CVE-2026-97450

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： ACPICA: 修正 acpi_ex_opcode_3A_1T_1R() (mid_op) 中的整數溢位 為 Index + Length 新增溢位檢查，以防止計算截斷長度時發生整數溢位。這可防止將負數大小參數傳遞給 memcpy()。CVE-2026-97451

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： ACPICA: 防止新增無效參照 在 acpi_ut_copy_simple_object() 中防止為本機、引數和除錯物件新增參照。CVE-2026-97452

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： ACPICA: 修正 acpi_ds_terminate_control_method() 中的釋放後使用 (use-after-free) 透過清除對方法本機與引數的參照，修正 acpi_ds_terminate_control_method() 中的釋放後問題。CVE-2026-97455

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： thunderbolt: 在服務的生命週期內保持 XDomain 參照 這是必要的，因為我們在 tb_service_release() 中釋放服務 ID，而 ID 陣列是由父級 XDomain 所擁有。CVE-2026-97509

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： x86/mm/pat: 將分割的頁面表格配置為核心頁面表格 當 CPA 程式碼分割大頁面 (__split_large_page()) 時，配置 PTE 時未透過標準的頁面表格配置常式（例如 pte_alloc_one_kernel()）。這意味著從未呼叫頁面表格建構函式，且該頁面表格也未被標記為核心頁面表格。前者導致與頁面表格相關聯的 folio 未被標記為頁面表格（從未呼叫 __pagetable_ctor()，因此也未呼叫 __folio_set_pgtable()），統計資料也未更新以反映此情況（從未呼叫 lruvec_stat_add_folio()）。後者未能將頁面表格標記為核心頁面表格（從未呼叫 ptdesc_set_kernel()）的問題則嚴重得多。自提交：5ba2f0a15564 ("mm: introduce deferred freeing for kernel page tables") 起，核心頁面表格的釋放已被批次處理；而自後續提交：e37d5a2d60a3 ("iommu/sva: invalidate stale IOTLB entries for kernel address space") 起，核心頁面表格的 IOTLB 快取條目在釋放時會被作廢。由於分割後的頁面表格在釋放時沒有進行這種作廢處理，IOTLB 可能會包含它們的過期條目。透過在分割時使用普通的 PTE 配置 API 來解決此問題。這會使這些核心頁面表格叫用頁面表格建構函式，因此需要頁面表格解構函式（解構函式並非隨時存在，例如早期配置的直接映射頁面表格）。如果設定了 ptdesc 的 PG_table folio 旗標，則條件式呼叫 pagetable_dtor_free()，否則透過 pagetable_free() 釋放頁面表格。無論採取哪種路徑，被標記為核心頁面表格的表格（現在包含分割頁面表格）都會透過 pagetable_free_kernel() 走正確的路徑。使用者可見的副作用是，分割後的頁面表格會出現在 /proc/vmstat 的 nr_page_table_pages 中（如同在早期開機之後配置的其他核心頁面表格一樣），但這是一個正向的改變。此問題自提交 5ba2f0a15564 開始變得格外明顯，因此選擇此作為 Fixes 目標。[ dhansen: 以祈使語氣重新表述 ]CVE-2026-97525

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： scsi: qla2xxx: 使用每個 fcport 的鎖定來序列化 NVMe 未請求 ctx 清單 fcport->unsol_ctx_head 清單在多個不同的執行環境中被修改，且沒有共用的鎖定。條目是在 qla2xxx_process_purls_iocb() 中從回應佇列 ISR 新增的（在 qpair qp_lock 之下），同時它們在 qla2xxx_process_purls_pkt() (DPC/purex worker)、qla_nvme_xmt_ls_rsp() (NVMe-FC 傳輸回呼) 以及 qla_nvme_release_lsrsp_cmd_kref() (SRB 完成) 中被移除。qpair qp_lock 無法序列化這個每個 fcport 獨立的清單，因為多佇列介面卡會透過不同的 qpair 新增條目，因此同時進行新增與刪除（或兩個同時刪除）可能會損毀清單指標。導入一個專屬的每個 fcport 旋轉鎖 unsol_ctx_lock，在 qla2x00_alloc_fcport() 中初始化，並在 unsol_ctx_head 的每個 list_add_tail() / list_del() 周圍取得該鎖。新增操作會巢狀包在現有的 qp_lock 之下；沒有任何刪除路徑會取得 qp_lock，因此鎖定順序是一致且無死結的。CVE-2026-97527

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： scsi: qla2xxx: 在 LS 拒絕錯誤時於釋放前將 NVMe 未請求 ctx 解除連結 qla_nvme_xmt_ls_rsp() 取得 uctx，該物件先前已被 qla2xxx_process_purls_iocb() 連結至 fcport->unsol_ctx_head，且當 NVMe 傳輸層回呼以傳輸 LS 回應時仍然保持連結狀態。在錯誤 (out:) 路徑中，該函式以 kfree() 釋放 uctx，但從未將其從清單中移除。這會在 fcport->unsol_ctx_head 中留下一個已被釋放的節點：該 fcport 的下一個 list_add_tail() 會透過已釋放的節點寫入，隨後的 list_del() 則可能會損毀清單或引發 panic。在錯誤路徑的 kfree() 之前，使用 list_del() 將 uctx 解除連結，這與 qla_nvme_release_lsrsp_cmd_kref() 和 qla2xxx_process_purls_pkt() 中的其他釋放點相符。失敗路徑中的 qla2x00_rel_sp() 僅將 SRB 歸還至其集區，而不會叫用 sp->put_fn，因此 out: 路徑是唯一的釋放點，且 uctx 在該處一定仍然處於連結狀態。CVE-2026-97528

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： smb: client: 修正 DACL 擁有者/群組改寫時的堆積溢位 當 id_mode_to_cifs_acl 改寫現有的 DACL 時，它會根據 dacl_ptr->size 所回報的磁碟上 DACL 長度來配置緩衝區大小。然而，replace_sids_and_copy_aces 可能會使用從 cifs.idmap upcall 取得的新擁有者/群組 SID 來改寫每個 ACE。這些 SID 最多可包含 SID_MAX_SUB_AUTHORITIES (15) 個子權限，使得每個 ACE 大小高達 76 位元組 (sizeof(struct smb_ace))。如果原始 DACL 包含短 SID（例如 1 個子權限），而替換的 SID 很長，則改寫後的 ACE 會溢位配置的空間。透過一律預留最糟情況的 SID 擴充空間來修正此問題：配置大小為 sizeof(struct smb_acl) 加上 num_aces * sizeof(struct smb_ace)，這涵蓋了 smb_acl 標頭以及可容納最大 SID 大小之每個 ACE 的空間。這取代了先前的分割邏輯（該邏輯在 cifsacl 掛載時使用 dacl_ptr->size，但在 mode_from_sid 掛載時使用 num_aces * sizeof(struct smb_ace)）：這兩種路徑都可能觸發相同的改寫，且都需要相同的緩衝空間。CVE-2026-97555

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： bnxt_en: 約束軟體 TPA ID 以防止當機 韌體支援最多 1024 個並行 TPA，因此韌體 TPA ID 的範圍是 0..1023 (參見提交 ec4d8e7cf024 ("bnxt_en: Add TPA ID mapping logic for 57500 chips."))。bnxt_alloc_agg_idx 旨在將韌體 ID 包裝降為用於對 rxr->rx_tpa 進行索引的軟體 ID，並在韌體 ID 與包裝後的軟體 ID 之間產生對應關係。在具有韌體版本 233 的 57608 上，韌體宣告了 32 個並行 TPA。截至修正所針對的提交為止，此網路卡上的 bp->max_tpa 被設為 32。如果來自 bnxt_alloc_agg_idx 的軟體 ID 大於 31，這將導致在此行載入無效位址：tpa_info = &rxr->rx_tpa[agg_id];，因為 rx_tpa 配置時僅配置了 bp->max_tpa (32) 個條目。程式碼稍後對 tpa_info 的寫入會造成越界。此錯誤會導致開機時當機： Oops: general protection fault, kernel NULL pointer dereference 0x8: 0000 [#1] SMP NOPTI RIP: 0010:bnxt_rx_pkt+0xc0/0x1560 RSP: 0018:ffffc900009b8c78 EFLAGS: 00010246 RAX: 0000000000000000 RBX: 0000000000000048 RCX: 0000000206682516 RDX: ffffc900009b8db4 RSI: 0000000000000000 RDI: 01ffffff038fe1c0 RBP: ffffc9006e687480 R08: ffffc9006e687000 R09: 0000000000003048 R10: 0000000000000480 R11: ffff8881c6083900 R12: 0000000006682516 R13: ffff8881c6095400 R14: 0000000000000016 R15: ffff8881c6b66680 FS: 0000000000000000(0000) GS:ffff88fef3c77000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fc8bda40584 CR3: 000000807c812001 CR4: 0000000008772ef0 PKRU: 55555554 Call Trace: ? __netif_receive_skb_list_core+0x1ca/0x250 __bnxt_poll_work+0x152/0x280 bnxt_poll_p5+0x1cd/0x480 __napi_poll+0x30/0x180 net_rx_action+0x20b/0x3b0 ? note_gp_changes+0x53/0xe0 ? tick_setup_sched_timer+0x180/0x180 ? __napi_schedule+0x9a/0xb0 ? bnxt_msix+0x24/0x30 handle_softirqs+0xdd/0x2c0 __irq_exit_rcu.llvm.3171231171502365008+0x47/0xf0 common_interrupt+0x85/0x90 asm_common_interrupt+0x22/0x40 此堆疊追蹤來自於當越界的 rx_tpa 被解參考時所觸發的當機。上述提到的無效寫入在此特定當機中是安靜無聲的。透過將 rx_tpa 配置大小調整為 bp->max_tpa 向上捨入到下一個 2 的冪次 (bp->max_tpa_roundup_size) 個條目，並使用該大小對韌體 TPA ID 進行遮罩，使得包裝後的 ID 永遠不可能索引超出陣列結尾，藉此修正此問題。CVE-2026-97570

LinuxLinux1在 Linux 核心中，已解決了以下漏洞： bnxt_en: 處理 bnxt_rx_ring_reset() 中的緩衝區配置失敗 bnxt_rx_ring_reset() 會釋放環狀緩衝區然後重新配置它們，但忽略了結果。bnxt_alloc_one_rx_ring() 可能會在 bnxt_alloc_one_tpa_info_data() 中失敗，該函式在第一次配置失敗時會傳回 -ENOMEM，並將其餘的 rxr->rx_tpa[] 條目歸零。錯誤並未向上傳播，因此 bnxt_rx_ring_reset 中的迴圈會繼續執行，最後程式碼會以部分未配置的 rx_tpa 陣列重新啟用 TPA。這意味著當硬體傳來的 agg_id 被對應到 rxr->rx_tpa[] 中的軟體索引時，可能會選到一?未初始化的欄位，因而將零 DMA 位址交給裝置。透過退回至全域重設來修正此問題（當其他函式失敗時，現有程式碼已經是這樣做的），但不同於其他失敗案例，這個特定的失敗必須傳回，因為配置失敗導致 TPA 無法重新啟用。CVE-2026-97573

LinuxLinux1Linux Kernel HiNIC 網路驅動程式的 Mailbox 分段長度檢查不完整，特製的最後一個分段可能造成 16 bytes 的 Heap Buffer Overflow。CVE-2026-97957

LinuxLinux1Linux Kernel RDS 連線關閉流程存在競爭條件，傳送／接收處理可能與連線清除程序同時執行，導致記憶體或傳輸狀態異常。CVE-2026-98069

LinuxLinux1Linux Kernel RDS TCP 重設回呼處理存在競爭條件，傳送程序可能與 Socket 切換及連線重設同時執行，造成狀態或記憶體存取異常。CVE-2026-98070

LinuxLinux1Linux Kernel ksmbd 在 SMB3 多通道 Session 登出時未正確等待所有連線完成，可能導致共用 Session 資源在仍被使用時遭釋放。CVE-2026-98115

LinuxLinux1Linux Kernel SCTP Timer 啟動存在 TOCTOU 競爭條件，可能導致 Association 參照計數異常，進而觸發釋放後使用（Use-After-Free）。CVE-2026-98130

LinuxLinux1Linux Kernel i.MX8MQ USB PHY 驅動程式在 Probe 失敗時未正確釋放 Type-C Switch，可能造成資源洩漏。CVE-2026-93225

LinuxLinux1Linux Kernel NFSD RPC Status 查詢缺少讀取記憶體屏障，於弱記憶體排序架構上可能讀取到不一致或已被修改的資料。CVE-2026-93229

LinuxLinux1Linux Kernel LoongArch 記憶體管理未正確限制實體記憶體範圍，可能導致 vmemmap 映射至錯誤的低位址區域，造成頁表損毀。CVE-2026-93237

LinuxLinux1Linux Kernel VXLAN 多播資料庫（MDB）清除流程存在釋放後使用（Use-After-Free）弱點，處理特定 MDB 項目時可能重複操作已釋放的記憶體。CVE-2026-93250

LinuxLinux1Linux Kernel PowerPC XIVE IPI 初始化發生錯誤時未正確傳遞錯誤狀態，後續仍使用已釋放的記憶體，可能造成釋放後使用（Use-After-Free）。CVE-2026-93260

LinuxLinux1Linux Kernel MD RAID5 PPL 在完成 I/O 後仍繼續存取已釋放的資料結構，可能造成釋放後使用（Use-After-Free）。CVE-2026-93262

LinuxLinux1Linux Kernel PCI TC9563 電源控制驅動程式解析 Ethernet MAC Endpoint 時存在越界存取問題，可能存取超出設定陣列範圍的記憶體。CVE-2026-93265

LinuxLinux1Linux Kernel RDMA bnxt_re 驅動程式未在執行命令前先驗證使用者空間資料（udata），資源釋放後若再次執行相關操作，可能導致錯誤或資源狀態異常。CVE-2026-93277

LinuxLinux1Linux Kernel I2C SMBus 未在資料傳輸初期檢查過大的區塊長度，可能導致 Tracepoint 或 I2C 驅動程式發生越界讀取／寫入。CVE-2026-93287

LinuxLinux1Linux Kernel Netfilter nfnetlink_log 在釋放每個 Network Namespace 的狀態資料前未等待 RCU Grace Period，並行封包處理可能存取已釋放的記憶體。CVE-2026-93288

LinuxLinux1Linux Kernel vhost-scsi 在裝置 ioctl 操作後未等待背景 I/O 完成，可能使舊的記憶體映射仍被使用，導致資料寫入錯誤的使用者空間物件。CVE-2026-93782

LinuxLinux1Linux Kernel iwlwifi PCIe 驅動程式在釋放 RX 資源後未清除相關指標，後續清理或重新初始化可能存取已釋放的 RX 資源。CVE-2026-93796

LinuxLinux1Linux Kernel Btrfs 在合併 Relocation Root 時未正確使用記憶體屏障更新狀態，可能造成並行處理下的 Root 狀態不一致。CVE-2026-93798

LinuxLinux1Linux Kernel 已修復一項弱點。堆疊配置（Stack-Allocated）的 cifs_open_info_data 結構未進行初始化，可能包含隨機記憶體資料，導致部分未被覆寫的欄位具有錯誤值。修補後於使用前將結構內容歸零初始化。CVE-2026-93801

LinuxLinux1Linux Kernel 已修復一項弱點。cachefiles_create_tmpfile() 的錯誤處理路徑中存在重複呼叫 fput() 的情況，可能導致資源管理錯誤。修補後修正錯誤處理流程，避免重複釋放檔案結構。CVE-2026-93810

LinuxLinux1Linux Kernel 已修復一項弱點。惡意或損毀的 Btrfs 映像檔可偽造 INODE_REF 項目的 namelen 欄位，使其遠大於實際允許的檔名長度（255 位元組），造成越界存取並導致核心崩潰。修補後新增名稱長度驗證，當偵測到異常值時直接拒絕該檔案系統結構。CVE-2026-93813

LinuxLinux1Linux Kernel 已修復一項弱點。Inline Dentry 轉換程序在驗證名稱長度之前即進行資料複製，可能因損毀的檔案系統映像導致越界讀取。修補後於複製前驗證名稱長度是否落於合法範圍。CVE-2026-93816

LinuxLinux1Linux Kernel 已修復一項弱點。event->addr_filter_ranges 於 RCU（Read-Copy Update）保護環境下使用，但未透過 RCU 方式釋放記憶體，可能導致競爭條件與記憶體存取問題。修補後採用 RCU 安全釋放機制。CVE-2026-93817

LinuxLinux1Linux Kernel 已修復一項弱點。當 input_register_device() 失敗時，驅動程式雖然釋放輸入裝置，但仍保留已失效的指標，可能導致後續 Use-After-Free。修補後於失敗時將指標設為 NULL。CVE-2026-93826

LinuxLinux1Linux Kernel 已修復一項弱點。RX Buffer Unavailable（RBUE）中斷在高流量接收環境下可能持續被觸發，造成中斷風暴，大幅消耗系統資源並影響網路可用性。修補後自預設 RX 中斷遮罩中移除 RBUE。CVE-2026-93830

LinuxLinux1Linux Kernel 已修復一項弱點。ROOT_REF 與 ROOT_BACKREF 項目中的名稱長度可能遭竄改，使系統存取超出資料項目範圍的記憶體，或導致 BTRFS_IOC_GET_SUBVOL_INFO 複製過量資料。修補後針對名稱長度及資料布局進行完整驗證。CVE-2026-97415

LinuxLinux1Linux Kernel 已修復一項弱點。tcp_sack() 直接以 32 位元整數方式存取 TCP 選項資料，假設資料為 4 位元組對齊，但實際上 TCP 選項流並不保證此條件，可能導致未定義行為或異常存取。修補後改用 get_unaligned_be32() 安全讀取資料。CVE-2026-97417

LinuxLinux1Linux Kernel 已修復一項弱點。ib_umem_find_best_pgsz() 對超大長度與 32 位元系統的整數處理不足，可能導致位址截斷或位元遮罩溢位。修補後加入長度與位址邊界驗證。CVE-2026-97421

LinuxLinux1Linux Kernel 已修復一項弱點。FRU EEPROM 資料解析過程缺乏邊界檢查，惡意或損毀的資料可能導致越界讀取。修補後改用具邊界驗證功能的輔助函式處理資料欄位。CVE-2026-97428

LinuxLinux1Linux Kernel 已修復一項弱點。等待佇列恢復期間可能與同步刪除操作發生競爭條件，導致佇列結構被釋放後仍遭存取。修補後透過 is_being_destroyed 旗標協調銷毀流程。CVE-2026-97429

LinuxLinux1Linux Kernel 已修復一項弱點。NTFS 目錄項目中的檔名長度驗證錯誤，未考量 UTF-16 編碼與檔名結構大小，可能使惡意映像導致越界讀取。修補後改用正確的長度計算方式，並增加 key_size 驗證。CVE-2026-97437

LinuxLinux1Linux Kernel 已修復一項弱點。惡意 NTFS 索引項目可宣告超過實際大小的 key_size，使目錄查找操作讀取超出配置緩衝區範圍，造成 KASAN 報告的越界讀取。修補後驗證所有索引項目的結構、鍵值大小與子節點配置。CVE-2026-97438

LinuxLinux1Linux Kernel 已修復一項弱點。AML 解析過程缺乏適當邊界驗證，可能導致越界存取。修補後新增邊界檢查機制。CVE-2026-97444

LinuxLinux1Linux Kernel 已修復一項弱點。AML 資源資料走訪過程中的緩衝區驗證不足，可能造成緩衝區溢位。修補後增加完整的邊界與長度檢查。CVE-2026-97445

LinuxLinux1Linux Kernel 已修復一項弱點。無效或已釋放的節點可能被路徑正規化函式使用，導致 Use-After-Free。修補後新增節點有效性驗證。CVE-2026-97448

LinuxLinux1Linux Kernel 已修復一項弱點。AML 欄位解析時缺乏邊界驗證，可能造成越界讀取。修補後新增邊界檢查以確保解析安全。CVE-2026-97454

LinuxLinux1Linux Kernel 的 iwlwifi 存在非同步通知處理問題。當網路介面卡（NIC）發生錯誤並進行重新設定時，可能仍處理來自已失效韌體的通知，導致存取已被釋放的記憶體並造成核心當機（Kernel Panic）。修正方式是在傳輸層通知 NIC 發生錯誤時立即清除非同步通知。CVE-2026-97474

LinuxLinux1Linux Kernel 的 ACRN IRQFD 存在使用後釋放（Use-After-Free）弱點。acrn_irqfd_deassign() 與 eventfd 的 EPOLLHUP 喚醒處理可能發生競態條件，導致同一個 struct hsm_irqfd 被重複釋放，後續工作項目存取已釋放的記憶體。修正 IRQFD 的生命週期管理，並確保清理工作最多只會排程一次。CVE-2026-97478

LinuxLinux1Linux Kernel 的 drm/amdkfd 存在越界記憶體暴露問題。get_wave_state() 未正確限制從 MQD 取得的 cp_hqd_cntl_stack_size 與 cp_hqd_cntl_stack_offset，攻擊者可透過 CRIU 還原程序提供受控數值，造成 copy_to_user() 讀取配置範圍之外的核心記憶體，可能洩漏其他佇列的 MQD、Ring Buffer 及 KASLR 指標等資訊。CVE-2026-97496

LinuxLinux1Linux Kernel 的 drm/amdkfd 存在配置 SDMA Queue 時未進行邊界檢查的問題。allocate_sdma_queue 可指定 SDMA Queue ID，但未確認該值是否小於 Queue 的最大數量，修正方式為加入邊界檢查。CVE-2026-97497

LinuxLinux1Linux Kernel 的 Thunderbolt 存在停止網域（domain）時未將 tb->root_switch 設為 NULL 的問題。修正後可讓 tb_xdp_handle_request() 向遠端主機回傳錯誤，同時確保 UUID 在整個網域釋放前仍維持有效。CVE-2026-97508

LinuxLinux1Linux Kernel 的 Wave5 媒體驅動程式 存在使用後釋放（Use-After-Free）問題。當 IRQ 執行緒在 m2m_ctx 釋放後取得 Spinlock 時，可能存取已被釋放的 m2m_ctx，進而造成 NULL 指標解參照。CVE-2026-97513

LinuxLinux1Linux Kernel 的 GFS2 存在配額初始化迭代器處理問題。將 qc++ 從迴圈本體移至 for 迴圈的遞增運算式，使迭代器的推進更明確，並避免在處理重複項目時發生指標推進問題。CVE-2026-97520

LinuxLinux1Linux Kernel 的 MPTCP 存在排程器與狀態變更之間的競態條件。選定的 Socket 傳輸資料失敗後，後續釋放流程可能使用已重設為 0 的 mss_now 進行除法運算，造成異常。修正方式為針對此情況加入明確檢查。CVE-2026-97523

LinuxLinux1Linux Kernel 的 MPTCP 存在子流重設處理問題。在特定錯誤情況下，接收路徑可能因狀態變更遞迴呼叫 mptcp_data_ready()，再次嘗試取得資料鎖而造成問題。修正方式為加入新的旗標避免遞迴，並在重設時明確清空接收佇列。CVE-2026-97524

LinuxLinux1Linux Kernel 的 qla2xxx SCSI 驅動程式 存在虛擬連接埠（vport）刪除期間的競態條件。vport 已進入刪除流程但仍可能被重新加入 host_map，待其記憶體釋放後，後續查詢可能存取已釋放的記憶體。修正方式是在取得參照前確認 VPORT_DELETE 狀態。CVE-2026-97531

LinuxLinux1Linux Kernel 的 qla2xxx 存在工作項目使用後釋放（Use-After-Free）問題。回應佇列的工作項目可能在 Queue Pair 已被釋放後仍執行，進而存取已釋放的 Queue 與 qpair。修正方式是在釋放記憶體前使用 cancel_work_sync() 等待工作項目完成。CVE-2026-97536

LinuxLinux1Linux Kernel 的 XFS 存在 B-tree 游標大小計算錯誤。rtrmap 與 rtrefcount 的 _maxlevels_ondisk 函式未將 inode root 納入計算，在 B-tree 足夠大時可能存取超出游標範圍的記憶體。CVE-2026-97548

LinuxLinux1Linux Kernel 的 CIFS SMB Client 存在參照計數未釋放問題。cifs_queue_oplock_break() 在排程工作項目前無條件增加檔案參照計數，但當相同工作已在佇列中時，新的工作不會被排程，導致參照計數無法降低，可能造成檔案系統卸載失敗。CVE-2026-97557

LinuxLinux1Linux Kernel 的 CIFS SMB Client 存在 Superblock 參照管理問題。tcon_super_cb() 使用未持有有效參照的 Superblock 指標，在 DFS 自動掛載過期的競態情況下，可能導致 Superblock 被釋放後仍遭使用，造成 slab-use-after-free。CVE-2026-97562

LinuxLinux1Linux Kernel 的 V4L2 AV1 控制項存在 Tile 數量未驗證問題。AV1 解碼器會使用 tile_cols 與 tile_rows 作為迴圈範圍及陣列索引，但原本未限制其最大值，可能導致超出陣列容量。修正方式為限制欄、列及總 Tile 數量。CVE-2026-97575

LinuxLinux1Linux Kernel 的 V4L2 HEVC 控制項存在 Tile 數量未驗證問題。無狀態 HEVC 解碼器依據 Tile 數量讀取陣列內容，但原本未限制相關數值，可能造成超出 V4L2 API 陣列容量。CVE-2026-97576

LinuxLinux1Linux Kernel 的 Verisilicon/Rockchip VPU981 AV1 驅動程式存在 Tile 數量未正確限制問題。當影格宣告的 Tile 數量超過使用者空間提供的項目數或 AV1_MAX_TILES 時，可能讀取陣列範圍之外的資料。修正方式為在執行前檢查 Tile 總數量。CVE-2026-97577

LinuxLinux1Linux Kernel 的 Verisilicon/Rockchip VPU981 AV1 驅動程式存在除數為零及 Tile Buffer 越界寫入問題。tile_cols 來自 Bitstream，可能為 0，且 Tile Descriptor 寫入可能超過 Buffer 容量。修正方式為避免除以 0，並限制 Descriptor 寫入數量。CVE-2026-97578

LinuxLinux1Linux Kernel 的 MediaTek Vcodec AV1 驅動程式存在 Tile 起始位置資料複製未進行容量限制問題。vdec_av1_slice_setup_tile() 會依據 Bitstream 中的 Tile 數量複製資料至 mi_col_starts[]／mi_row_starts[]，修正方式為將複製數量限制在陣列容量內。CVE-2026-97579

LinuxLinux1Linux Kernel 的 Rockchip VDEC（rkvdec） 存在 HEVC Tile 迴圈及 PPS ID 未進行邊界檢查問題。num_tile_columns_minus1、num_tile_rows_minus1 及 pic_parameter_set_id 均來自不受信任的 PPS，可能導致存取超出陣列容量。修正方式為限制 Tile 迴圈範圍，並在存取 param_set[] 前確認 PPS ID 是否超出範圍。CVE-2026-97580

LinuxLinux1Linux Kernel 的 AFS 存在使用後釋放（Use-After-Free）問題。檔案伺服器位址清單更新時，舊的 Peer 可能未被解除繫結，導致後續 RxRPC 連線仍存取已被釋放的 Server 物件。修正方式為在替換端點狀態前保留舊位址清單，清除已移除的 Peer 參照。CVE-2026-97583

LinuxLinux1Linux Kernel 的 AFS 存在錯誤釋放（Free）問題。afs_lookup_server() 在清理候選 Server 時，可能錯誤釋放現有 Server 的端點狀態。修正方式為移除對現有 Server Endpoint State 的錯誤釋放操作。CVE-2026-97584

LinuxLinux1Linux Kernel 的 s390 Crypto 存在非同步 Callback 回傳錯誤碼問題。當 Callback 已明確完成加密請求卻回傳負值錯誤碼時，Crypto Engine 可能認為 Driver 未接手處理，進而再次完成相同請求，造成重複完成（Double Completion）。修正方式為在明確完成請求後回傳 0。CVE-2026-97589

LinuxLinux1Linux Kernel 的 Landlock 存在來源目錄使用後釋放（Use-After-Free）弱點。current_check_refer_path() 未持有來源 Dentry Parent 的參照或鎖定，並在並行 rename() 與 linkat() 操作下存取可能已被釋放的 Parent，造成記憶體存取錯誤。修正方式為在階層結構遍歷及同步 Audit Logging 完成前，持續持有 Parent Dentry 的參照。CVE-2026-97594

LinuxLinux1Linux Kernel 的 mac802154 存在透過排隊 RX Frame 導致 sdata 使用後釋放（Use-After-Free）問題。收到的 Beacon 與 MAC Command Frame 會保存未持有參照的 sdata 指標，當介面被移除後，後續 Worker 仍可能存取已釋放的介面。修正方式包括加入 RX Lock、為排隊中的 Frame 保留網路介面參照，以及在介面移除前清理尚未處理的 Frame。CVE-2026-97595

LinuxLinux1Linux Kernel 的 IPv4/IPv6 Fragmentation 存在 Fragment Queue 狀態管理問題。Fragment Queue 在清除前若未正確失效，可能讓封包繼續使用過期的重組資訊；在 IPv6 情境下可能造成越界記憶體存取及 Heap 記憶體毀損。當系統允許非特權使用者建立 Network Namespace 時，可能進一步被利用進行本機權限提升。CVE-2026-97602

LinuxLinux1Linux Kernel 的 Netfilter nf_log 存在模組卸載期間的競態條件。Netfilter Logger 的全域註冊與每個 Network Namespace 的清理順序不正確，可能導致 Logger 被重新繫結至已清除的 Per-Net 狀態，後續存取已被釋放的 Logger 記憶體。修正方式為先解除註冊全域 Logger Backend，再進行 Per-Net 狀態清理。CVE-2026-97608

LinuxLinux1Linux Kernel 的 Netfilter cttimeout 存在模組卸載期間的使用後釋放（Use-After-Free）弱點。cttimeout_exit() 在清除 Hook 前即解除註冊 Per-Net Operations，可能導致其他 CPU 仍透過 Hook 存取已被釋放的 Per-Net Timeout List。修正方式為先清除 Hook 並等待現有 Reader 完成，再解除註冊 Per-Net Operations。CVE-2026-97609

LinuxLinux1Linux Kernel 的 Open vSwitch（OVS） 存在 Flow Table Mask Array 使用後釋放（Use-After-Free）問題。重新配置 Mask Array 時，在新的 Array 發布前就先將舊 Array 排程釋放，可能使新的 Reader 取得即將被釋放的舊 Array。修正方式為先發布新的 Array，再釋放舊 Array。CVE-2026-97611

LinuxLinux1Linux Kernel 的 MPLS（Multiprotocol Label Switching） 存在弱點。skb_mpls_pop() 在移除最後一個 MPLS 標籤後未清除 inner_protocol，導致過時的網路標頭位移值持續存在。當 Open vSwitch 重新推送 MPLS 標籤並進行封包分段時，可能使用過時的 inner_network_header，造成負值位移被轉換為大型無號整數，進而導致越界記憶體存取及核心記憶體損毀。修復方式為在封包不再使用 MPLS 時清除 inner_protocol，使後續 MPLS push 操作能重新記錄正確的標頭位置。CVE-2026-97612

LinuxLinux1Linux Kernel 的 process/PID 管理機制存在 Use-After-Free（UAF） 弱點。release_task() 在呼叫 proc_flush_pid() 前未持有 thread_pid 的參照，當其他程序同時移除相關 PID 參照並觸發 RCU 延遲釋放時，可能導致 PID 物件在 proc_flush_pid() 使用前即被釋放，造成核心記憶體使用已釋放物件。原始資料指出目前未宣稱可受控讀取或寫入、資訊洩漏或權限提升。CVE-2026-97903

LinuxLinux1Linux Kernel 的 ASoC sprd 存在 Heap-based Buffer Overflow（堆積型緩衝區溢位） 弱點。驅動程式使用固定大小的 32 KB IRAM 與 2 MB DDR 緩衝區，但未驗證使用者控制的 fragment_size 與 buffer_size 是否超過實際配置大小。攻擊者可設定最大約 4 GB 的邏輯緩衝區，導致資料複製操作超出已配置的緩衝區範圍，造成記憶體越界寫入。CVE-2026-97910

LinuxLinux1Linux Kernel 的 accel: ethosu 存在記憶體存取驗證弱點。使用者空間可將工作（job）的 SRAM 大小設定為 0，但命令串流仍可能進行 SRAM 存取，此時系統會使用先前工作留下的過期基底位址，可能導致錯誤的記憶體存取。修復方式為驗證 SRAM 區域大小是否與工作所要求的 SRAM 大小一致。CVE-2026-97911

LinuxLinux1Linux Kernel 的 UFS（Unix File System） 存在 Out-of-Bounds（越界）存取 弱點。ufs_read_cylinder() 未驗證從磁碟讀取的 cylinder group 中繼資料，包括群組索引及檔案／inode bitmap 的 rotor 位置，攻擊者可透過特製的檔案系統映像檔提供異常值，導致後續配置或釋放操作存取超出陣列、bitmap 或 cylinder group 緩衝區範圍。CVE-2026-97926

LinuxLinux1Linux Kernel 的 ALSA us122l 存在記憶體權限驗證弱點。針對唯讀緩衝區建立的記憶體映射仍保留 VM_MAYWRITE 權限，使具備適當權限的程序可透過 mprotect() 將原本唯讀的映射修改為可寫入。此外，攻擊者可透過修改 read_size 造成超出配置範圍的記憶體存取，甚至可能導致釋放超出原配置範圍的記憶體。修復方式為針對唯讀緩衝區清除 VM_MAYWRITE。CVE-2026-97931

LinuxLinux1Linux Kernel 的 ftrace function graph 存在 Use-After-Free（UAF） 弱點。建立子程序時，dup_task_struct() 會複製父程序的 ret_stack，但子程序的 function graph 狀態在 copy_exec_state() 之後才初始化。若後續配置操作失敗並釋放子程序，可能誤將父程序仍在使用的 function graph return stack 釋放，導致父程序後續存取已釋放的記憶體。修復方式為在 dup_task_struct() 後立即初始化子程序的 function graph 狀態。CVE-2026-97937

LinuxLinux1Linux Kernel 的 IPv6 路由迭代器存在 Use-After-Free（UAF）弱點。**由於 fib6 walker 在路由刪除過程中的狀態判斷錯誤，可能導致已釋放的 walker 物件仍存在於 net->ipv6.fib6_walkers 清單中，後續路由刪除操作若存取該物件，可能造成核心使用已釋放的記憶體。此問題同時影響 /proc/net/ipv6_route 與 BPF IPv6 路由迭代器。CVE-2026-97940

LinuxLinux1Linux Kernel 的 SLAB 記憶體管理機制存在競爭條件（Race Condition）弱點。__slab_try_return_freelist() 在 slab->freelist 為 NULL 且 cmpxchg 成功時，錯誤假設沒有其他 CPU 將物件釋放回 SLAB。實際上其他 CPU 可能同時將 SLAB 加入 partial list，並在 n->list_lock 保護下移除該 SLAB，導致 SLAB 同時被加入及移除清單，進而造成 linked list 損毀（list corruption），最終可能導致 Kernel Panic。此問題屬於典型的 ABA Race Condition，修復方式為在 cmpxchg() 與 add_partial() 操作期間持有 n->list_lock，以避免清單操作發生競爭。CVE-2026-97941

LinuxLinux1Linux Kernel stmmac 網路驅動程式存在 TX 描述符數量計算錯誤弱點。stmmac_tso_xmit() 低估 TSO（TCP Segmentation Offload）封包實際所需的 TX 描述符數量，尤其在封包高度分段時，可能在 TX ring 可用描述符不足的情況下仍通過檢查。後續 stmmac_tso_allocator() 可能寫入超出可用範圍的描述符，覆寫仍由 DMA 引擎使用的描述符，進而造成 TX ring 損毀。CVE-2026-97953

LinuxLinux1Linux Kernel NFP 網路驅動程式存在越界寫入弱點。nfp_net_get_fs_loc() 在將 flow steering 規則寫入 rule_locs[] 時，未依照呼叫端提供的 cmd->rule_cnt 限制寫入數量。由於 ETHTOOL_GRXCLSRLALL 不需要 CAP_NET_ADMIN 權限，攻擊者可提供小於實際規則數量的緩衝區大小，導致寫入超出配置範圍；當 rule_cnt 為 0 時，甚至可能因 NULL 指標而發生記憶體存取問題。CVE-2026-98029

LinuxLinux1Linux Kernel DSA bcm_sf2 網路驅動程式存在越界寫入弱點。bcm_sf2_cfp_rule_get_all() 在列舉 CFP 規則時，未依照呼叫端提供的 nfc->rule_cnt 限制寫入 rule_locs[] 的數量。由於 ETHTOOL_GRXCLSRLALL 不需要 CAP_NET_ADMIN 權限，攻擊者可提供不足的緩衝區，導致規則寫入超出配置範圍；當 rule_cnt 為 0 時，則可能對 NULL 指標進行存取。CVE-2026-98030

LinuxLinux1Linux Kernel BPF 存在 JMP32 指標與零值比較判斷錯誤弱點。BPF 的 is_branch_taken() 在處理 if w1 != 0 時，未正確區分 BPF_JMP 與 BPF_JMP32 比較操作，可能錯誤判斷條件分支永遠成立。當程式後續依據錯誤的分支判斷進行指標運算與記憶體存取時，可能造成非預期的記憶體存取。CVE-2026-98041

LinuxLinux1Linux Kernel mlxsw Spectrum PTP 驅動程式存在 NAPI GRO 清單競爭條件弱點。PTP 封包的垃圾回收（GC）工作佇列並非在 NAPI poll context 中執行，卻呼叫 napi_gro_receive() 修改 NAPI 的 GRO list；若此時另一 CPU 同時執行 NAPI poll，可能造成 GRO list 並行修改及 list corruption，進而導致 Kernel Panic。修復方式為在此情境改用 netif_receive_skb() 處理封包，避免在 NAPI poll context 外修改 GRO list。CVE-2026-98050

LinuxLinux1Linux Kernel bcmasp 網路驅動程式存在 TX 描述符狀態處理錯誤弱點。bcmasp_xmit() 僅在 SKB 的最後一個 fragment 將 txcb->last 設為 true，其他 fragment 未清除原有值。當描述符槽位重複使用且殘留先前傳輸的 true 狀態時，bcmasp_tx_reclaim() 可能誤判目前 fragment 為最後一個 fragment，提前釋放仍在傳輸中的 SKB，造成記憶體或傳輸狀態異常。CVE-2026-98052

LinuxLinux1Linux Kernel NVMe 存在命名空間掃描處理效率不足弱點。nvme_scan_ns_list() 在清除 NSID 清單中的空缺時，會逐一檢查每個 NSID，而不是依照實際存在的命名空間進行處理。由於 NSID 為 32 位元，攻擊者可利用稀疏的 NSID 配置造成單一區段需要執行數十億次迴圈，導致 CPU 長時間無法釋放並觸發 soft lockup。修復方式為依照 NSID 範圍一次處理整個區段，使處理量與實際存在的命名空間數量相關。CVE-2026-98056

LinuxLinux1Linux Kernel 網路命名空間存在 altname 衝突處理弱點。當不同網路命名空間中的網路裝置具有相同的 alternative name（altname）時，移除其中一個命名空間可能因未處理名稱衝突而導致 cfg80211_pernet_exit() 等程序發生警告。修復方式為在網路命名空間即將移除時，於 __dev_change_net_namespace() 中處理並移除衝突的 altname。CVE-2026-98073

LinuxLinux1Linux Kernel Btrfs 存在 Transaction Use-After-Free（UAF）弱點。當 RAID stripe extent 配置失敗時，btrfs_insert_one_raid_extent() 會提前結束 transaction，但呼叫端仍持有該 transaction handle，並在錯誤處理流程中再次操作該 handle。提前結束可能導致 transaction handle 及 transaction 被釋放，後續操作即可能存取已釋放的記憶體。CVE-2026-98083

LinuxLinux1Linux Kernel IPv6 Segment Routing 存在負值網路標頭位移處理弱點。當 Segment Routing Header（SRH）前方存在其他 IPv6 extension header 時，skb_network_offset() 可能維持負值。該負值可能被傳遞至 BPF/C flow dissector，造成錯誤處理；在封包轉送或重新導向時，負值也可能被轉換為無號長度，進而導致 Out-of-Bounds（越界）記憶體複製或緩衝區溢位。CVE-2026-98096

LinuxLinux1Linux Kernel Bluetooth L2CAP 存在堆疊型越界寫入（Stack-based Out-of-Bounds Write）弱點。l2cap_le_connect_req() 未正確設定 LE 連線請求的 channel mode，可能建立錯誤的 L2CAP_MODE_EXT_FLOWCTL 通道，並導致 l2cap_ecred_rsp_defer() 未限制延遲通道數量或檢查重複的 ident，進而造成堆疊越界寫入。CVE-2026-98108

LinuxLinux1Linux Kernel ksmbd 存在 Use-After-Free（UAF）弱點。ksmbd listener thread 在監聽 socket 關閉後會結束，但網路裝置 notifier 在呼叫 kthread_stop() 前即關閉 socket，可能導致 task_struct 在 kthread_stop() 取得其參照前就被釋放，造成使用已釋放記憶體的情況。CVE-2026-98112

LinuxLinux1Linux Kernel ALSA PCM 存在頁面層級 Use-After-Free（UAF）弱點。mmap() 與 PCM buffer 重新配置之間缺乏適當的同步機制，可能在檢查 buffer 狀態後、釋放記憶體前插入並行的 mmap() 操作，使已釋放的 DMA buffer 頁面仍被 VMA 以可寫入方式映射，形成過期的可寫入記憶體映射，可能被利用進行本機權限提升。CVE-2026-98116

LinuxLinux1Linux Kernel VXLAN MDB 存在 Use-After-Free（UAF）弱點。vxlan_mdb_is_valid_source() 接受全為 0 的來源位址，可能使 (*, G) 與 (S, G) 項目的鍵值產生別名，導致 vxlan_mdb_remote_src_del() 先釋放目前項目，之後再次操作已釋放的項目，造成 Use-After-Free。由於 MDB 操作以網路命名空間為範圍，未具特權的使用者可在新的 user/network namespace 中執行相關操作。CVE-2026-98122

影響系統：
    受影響廠牌如下：
  • Adobe
  • checkpoint
  • F5
  • Fortinet
  • Linux
解決辦法： 詳細資訊請參考US-CERT網站 ( https://www.us-cert.gov/news-events/bulletins/sb26-271 )
細節描述： 詳細資訊請參考US-CERT網站
( https://www.us-cert.gov/news-events/bulletins/sb26-271 )
參考資訊： US-CERT