發生什麼事
昨天我們整理了 PHP 緊急更新。同一週，又有六套常用軟體發布安全更新：
| 軟體 | 最嚴重的程度 | 要更新到 |
|---|---|---|
| GitLab（自架） | 重大，10 分（滿分） | 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13 |
| Node.js | 高 | 22.23.4、24.22.1、26.12.1 |
| Java（Oracle） | 高 | 各版本的 10 月修補版（見下方） |
| Tomcat | 重要 | 11.0.27、10.1.61、9.0.123 |
| NGINX | 中 | 1.30.6 或 1.31.7 以上 |
| Chrome | 重大 | 156 版（重開瀏覽器即可） |
截至 10 月 22 日，以上都還沒有看到被拿來實際攻擊的公開報告。但這種空窗期通常很短，請當作緊急更新處理。
先處理哪一個
第一優先：GitLab 自架版。 這週最危險的是它，不是其他幾套。
- 漏洞編號 CVE-2026-110264，嚴重度 10 分。
- 不用登入就能在主機上執行程式。
- 影響範圍從 7.0 版一路到現在，等於十幾年來的版本都中。
- 10 月 12 日已經更新過的單位要再更新一次。那次修的是另一個漏洞，沒有修到這個。
如果你們的程式碼放在自己架的 GitLab，今天就要處理。用 GitLab 官方雲端版（gitlab.com）的單位，由 GitLab 負責更新，不用自己動手。
各軟體怎麼處理
Node.js
- 修了 10 個漏洞，4 個是高風險。最嚴重的一個跟網頁常用的壓縮格式有關，處理不好可能讓攻擊者執行程式。
- 18 版、20 版已經停止維護，不會再出修補，請升級到 22 版以上。25 版也沒有修補。
- 更新完要重新啟動服務。如果服務是包在容器裡跑的，要重新建置容器，只換主機上的 Node.js 沒有用。
Java
- Oracle 這一季修了 55 個 Java 漏洞，其中 49 個不用登入就能從網路攻擊。
- 修補版本是 27.0.1、25.0.5、21.0.13、17.0.21、11.0.33、8u511。
- 要注意：Oracle 在 10 月 20 日發布後隔天又補了一版，版本號後面多了
.0.2（例如 21.0.13.0.2）。請直接裝.0.2這一版。
Tomcat
- 修了 8 個漏洞，3 個是「重要」等級，其中一個在特定登入設定下不用正確密碼就能登入。
- 用 9 版、10.1 版、11 版的都要更新，不是只有 10.1。10.0 版已停止維護，請換到有支援的版本。
NGINX
- 修了 5 個中度漏洞。官方評為中度，但部分漏洞的國際評分達 8.1 分，不要因為「中度」就延後。
- 用 Ubuntu、Debian 等系統套件安裝的，等系統更新管道出修補後立即安裝。
- 更新完要重新載入設定或重啟，不然還是跑舊版。
Chrome
- 156 版修了 353 個問題，其中 6 個重大。
- 一般使用者重開瀏覽器就會完成更新。可以在網址列輸入
chrome://settings/help確認版本。 - 公司電腦多的單位，請 IT 確認集中管理有沒有擋住自動更新。
對 AI 服務的影響
AI 模型本身不是用這些軟體寫的，模型不會直接被打到。但 AI 服務身邊幾乎都有它們：
1. NGINX 常常就是 AI 服務的大門。 很多單位把地端模型服務放在 NGINX 後面，由它負責對外連線與帳號驗證。大門出問題，後面的 AI 服務就跟著暴露。
2. AI 聊天介面與工具串接，很多是 Node.js 寫的。 AI 客服網頁、AI 代理串接外部工具的程式，常用 Node.js。它們會去抓外部網頁或檔案回來讀，正好碰到這次「處理外部壓縮內容」的漏洞。
3. GitLab 裡放著打開 AI 服務的鑰匙。 程式碼庫常存著呼叫模型的金鑰、資料庫密碼、部署設定。GitLab 被攻破，攻擊者拿到的不只是程式碼，還有 AI 服務的鑰匙。
4. 更新完要確認「真的換掉了」。 容器、虛擬機快照、映像檔裡面可能還包著舊版。只更新主機，容器裡跑的還是舊的。
如果你的單位正在照數位發展部的「AI 風險分類框架」檢視 AI 系統，這週是個好例子：AI 系統的風險，大多不在模型本身，而在它周圍的大門、工具和存放鑰匙的地方。
一份簡單的檢查清單
- 列出來：哪些主機有 GitLab、Node.js、Java、Tomcat、NGINX，各是什麼版本。
- 照順序更新：GitLab → Node.js、Java → Tomcat、NGINX → 個人電腦的 Chrome。
- 重啟服務，容器要重新建置。
- 再查一次版本，確認不是舊的。
- 委外代管的主機：直接問廠商「這六套的版本是多少、什麼時候更新」。
需要協助盤點或處理的單位，歡迎與我們聯繫。
外部資料出處
- GitLab 重大修補版說明（CVE-2026-110264）— SecurityOnline（查證日 2026-10-23）
- The Hacker News：GitLab CVSS 10.0 遠端執行漏洞（查證日 2026-10-23）
- Node.js 2026 年 10 月安全更新（CloudLinux 整理）（查證日 2026-10-23）
- Node.js 2026 年 10 月安全更新（Astra Security 整理）（查證日 2026-10-23）
- nginx 官方資安公告（查證日 2026-10-23）
- nginx 官方 2026 年新聞（查證日 2026-10-23）
- Apache Tomcat 10 官方漏洞清單（查證日 2026-10-23）
- Oracle 2026 年 10 月重大修補公告（查證日 2026-10-23）
- Oracle Java SE 2026 年 10 月修補版本說明（查證日 2026-10-23）
- Chrome 156 安全更新（GBHackers）（查證日 2026-10-23）