Moxa 公開 MRC Client 與 OnCell 高風險漏洞；修補與緩解措施有別
情報摘要
Moxa 10 月 27 日公開的三筆官方 CNA 記錄指出，MRC Client 存在憑證驗證問題，OnCell G3150A-LTE 則涉及共用密碼金鑰及 SMS 管理命令注入。三項風險的利用條件不同，並共同指向 MPSA-269510 公告。
CVE-2026-111459 的利用者須位於 MRC Client 與伺服器之間的通訊路徑，才可能冒充受信任伺服器，危及通訊機密性及完整性；不能改寫成所有遠端攻擊者均可直接利用。
CVE-2026-111460 涉及 OnCell 共用密碼金鑰材料；供應商描述的冒認風險針對尚未重新產生金鑰的裝置。CVE-2026-111461 則要求 SMS 管理已啟用並設定，且攻擊者具所需權限；其 CVSS 4.0 向量列高權限要求。
兩筆 OnCell CNA 記錄均標示產品在分配 CVE 時已不受支援。重設及停用 SMS 屬針對個別風險的緩解，不能當作已有新韌體修補或全部風險已消除。
受影響產品
MRC Client 1.0.0 至 4.2.0；OnCell G3150A-LTE Series（CNA 記錄預設為受影響，未列出已修補版本）
適用讀者
工業遠端連線、蜂巢網絡閘道及 OT 網絡維運團隊
建議行動
MRC Client 應核對並升級至 Moxa CNA 明列不受影響的 4.2.2，向供應商確認適用更新方式。對 OnCell 的 CVE-2026-111460，Moxa 建議重設裝置以重新產生裝置憑證及相關金鑰；應先確認官方重設程序、設定及服務影響，再安排維護。對 CVE-2026-111461，除非營運需要，保持 SMS 功能關閉；供應商稱該功能預設關閉。
風險評級依據
Moxa 的 CNA 記錄以 CVSS 4.0 將 CVE-2026-111459、CVE-2026-111460、CVE-2026-111461 分別評為 7.6、7.7、7.5，均屬 High。
解讀限制
本文依據 Moxa 提交的官方 CVE CNA 記錄；該記錄沒有提供 OnCell 已修補韌體版本，不能據此認定存在韌體修補。
未核實這三項漏洞已遭野外利用；CNA 未列利用成熟度並不等於沒有攻擊。
重設的實際操作及影響應向供應商確認，不能自行將其等同普通重新開機。未有已核實的香港受害個案或受影響部署數量。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。