安全週報 2026-W45：Symfony、Next.js 與 WordPress

修補速查表

本週發生了什麼

Symfony 一次修補 21 個漏洞High11/4 · high 5 則、medium 10 則、low 6 則

Symfony 隨 5.4.56、6.4.50、7.4.23 與 8.1.11 發佈 21 則公告。high 的有：YAML parser 處理 93 bytes 的文件就可能耗上數秒（CVSS v4 8.7）；X509 驗證器可能從用戶端憑證讀出錯誤的使用者（CVE-2026-118513，CVSS v4 7.7）；Serializer 的兩個漏洞可讓請求讀取伺服器上的檔案（CVE-2026-118515，以及 DATA: scheme 的問題）；Filesystem\Path 會讓特製路徑跳出基底目錄。

有兩則會削弱存取規則。從 6.4.29 起，/index.phpadmin 會被當成 /admin 路由，nginx 或 CDN 上針對 /admin 的規則因此可被繞過；這一則不影響 Symfony 自己的 access_control。另外，HEAD 請求會略過只限 GET 的 access_control 規則（CVE-2026-118514）。

你要做的執行 composer update "symfony/*"，確認已到上面的版本。W44 提到的 6.4.49 與 7.4.22 不夠。有兩個元件在舊版本線沒有修補，因為那些版本線本來就沒有它們：HtmlSanitizer 從 6.1 才有，JsonPath 從 7.3 才有，所以 5.4 線兩者都不適用，修補分別從 6.4.50 與 7.4.23 開始。

來源Symfony 公告 · Symfony 8.1.11 · GHSA-hwfg-qwvh-2wfx · GHSA-3h27-hjv7-fqjx · Packagist

Next.js 16.4.5 與 15.5.29 修補 7 個漏洞High11/3 · high 1 則、medium 6 則

上週預告的版本修補了以下問題：Cache Components 與 use cache 的快取漏洞，可能把某個租戶或使用者的資料提供給另一個人；自架應用程式原封不動回傳 fetch 取得的 Response 時的回應框架問題；Edge 路由透過內部標頭洩漏 cookie；圖片最佳化的 SVG 檢查可被繞過。Next.js 把 unstable_cache 與 use cache 混用的問題評為 high，GitHub 資料庫則列為 medium。

你要做的升到 next@16.4.5 或 next@15.5.29。

來源Next.js · GitHub 公告 · npm

前週未修：WordPress 升級時段 RCE 已遭利用High11/3 列入 KEV · 延續 W44

CISA 在 11/3 把 CVE-2026-119977 列入已遭利用清單，並標示除了修補也要做鑑識檢查。修補版本不變：7.1.4，以及 7.0.8 一路到 4.7.39 的回補版，都在 10/28 發佈。

你要做的用 wp core version 確認版本。網站若還停在 7.1.3 以前，檢查有沒有不是你部署的檔案。

來源CISA KEV · WordPress · 版本封存 · Wordfence

2024 年的 Apple WebKit 漏洞列入 KEV

Not rated · 11/4 列入 KEV · CVE-2024-27834

CISA 列入一個 WebKit 漏洞：已能讀寫記憶體的攻擊者可繞過 Pointer Authentication。Apple 在 2024 年 5 月就於 Safari 17.5、macOS Sonoma 14.5、iOS 與 iPadOS 17.5 及 16.7.8，以及對應的 tvOS、watchOS 版本修補。

你要做的Apple 裝置有在更新就不用處理。固定在舊版本的 Mac 或 iPhone 要檢查。

來源CISA KEV · Apple（Safari 17.5） · Apple（macOS 14.5） · Apple（iOS 17.5）

SonicWall SSLVPN 的 SAML 繞過列入 KEV

Not rated · 11/6 列入 KEV · CVE-2026-19868

CISA 在 11/6 列入 SonicOS SSLVPN 的漏洞：持有其他登入方式有效帳密的使用者可繞過 SAML，包括 SAML 強制的 MFA；受影響版本與處理方式請依 SonicWall 的 SNWLID-2026-0014。

來源CISA KEV · SonicWall SNWLID-2026-0014

nginx：本週沒有新修補，請確認 10 月那批Medium10/14 · 前兩期未列

nginx 從 10/14 之後沒有新的安全版本。10/14 的 1.30.6 與 1.31.7 修補了 5 個 medium 漏洞，包括 alias 搭配 rewrite 與字串運算式中的 buffer overflow，以及 HTTP/3 的 request body 注入。10/21 的 1.31.8 不含安全修補。官方 nginx:alpine 映像目前是 1.31.8，stable-alpine 是 1.30.6。

你要做的執行 nginx -v，早於 1.30.6 或 1.31.7 就要更新；用浮動 tag 的映像要重建才會帶入。如果 nginx 負責保護 PHP 應用程式的 /admin，也要套用上面的 Symfony 修補。

來源nginx 公告 · nginx 新聞 · nginx CHANGES · Docker Hub

GitLab：10/29 之後沒有新修補Critical10/29 列入 KEV · 延續 W44

截至 11/8，GitLab 的修補版本 feed 在 10/29 之後沒有新項目，19.5.3、19.4.5、19.3.7、19.2.10、19.1.10、19.0.11 與 18.11.14 仍是應該使用的版本。已遭利用的 CI 正規表示式 RCE（CVE-2026-97229）讓升級更緊急。GitLab Runner 本週另發佈 19.5.3、19.4.4 與 19.3.6，重建基底映像以修補 Brotli、xz-libs 與 docker-machine 的 CVE。

你要做的除了 GitLab 本身，自架的 GitLab Runner 要升到 19.5.3（19.4、19.3 版本線用 19.4.4 或 19.3.6），自架的 AI Gateway 要升到所用版本線 10/29 的版本（19.5.3 到 18.11.8）。升級 GitLab 不會連帶更新這兩者。

來源GitLab 19.5.3 · GitLab 修補 feed · CISA KEV · Runner 19.5.3 changelog

來源Amazon Linux · GHSA-vqc8-7275-q272 · GHSA-f9x3-7vq9-cph6 · php.net

下週預告：Node.js 11/11 安全版本

Node.js 將在 11/11（週三）或稍後發佈 26.x、24.x 與 22.x，最嚴重的漏洞為 high，細節隨版本公開。

來源Node.js

給 CLI agent 使用者的供應鏈建議

• 給資料庫 MCP server 唯讀帳號：它自己的唯讀開關只是 SQL parser，parser 會有漏網之魚。
• 更新你在用的 MCP 參考 server：git、fetch 與 filesystem 都在 10 月下旬發佈修補。
• 基底映像更新後要重建：浮動 tag 不會改變正在執行的容器。

一分鐘自我檢查

# 逐一對照上方速查表的版本
$ composer show "symfony/*"
$ npm ls next
$ wp core version
$ nginx -v
$ sudo gitlab-rake gitlab:env:info
$ uname -r

W44 補充

• GitLab AI Gateway：W44 只提到 Runner，但 GitLab 10/29 的版本也要求自架的 AI Gateway 升到 18.11.8、19.0.13、19.1.9、19.2.5、19.3.3、19.4.3 或 19.5.3。GitLab 19.5.3
• MCP 參考 server：W44 的 agent 工具表漏列 10/25 到 10/28 的 6 則公告。3 則已在本週表格中；其餘是 mcp-server-fetch 的 NAT64 防護缺口（2026.10.24 修補）、server-filesystem 的 TOCTOU，以及 server-everything 的環境變數外洩（後兩者 2.0.1 修補）。MCP servers 公告
• WordPress 回補版：W44 列了 6 個，實際上 7.0 到 4.7 每個分支都在 10/28 發佈回補版，共 24 個。版本封存
• Next.js 嚴重度：W44 引用預告的「7 個 medium」；正式版本把其中 1 個評為 high、6 個 medium。Next.js