Nagios XI MIB 上傳指令注入 CVE 公開，2026R2 已修補

CVE-2026-119742

主要來源公告：2026-11-03

本站刊登：2026-11-04 · 內容更新：2026-11-04（香港日期）

情報摘要

11 月 3 日公開的 CVE-2026-119742 記錄指出，Nagios XI 2026R2 之前的 MIB 上傳功能存在作業系統指令注入漏洞。攻擊者須先取得已認證管理員權限，才可藉檔名處理缺陷以網頁伺服器帳戶身分執行指令。

CNA 記錄將問題歸因於 MIB 上傳功能對檔名的過濾不完整。此漏洞不是未登入即可利用，也不能將網頁伺服器帳戶的指令執行直接等同 root 權限。

Nagios 官方 2026R2 安全披露頁標示 2026 年 9 月 23 日；修補版本早於 11 月 3 日的 CVE 公開。本次是 CVE 資訊公開，不是聲稱廠商當日才首次提供修補。

Nagios XI 2026R2 之前版本；修補分界為 2026R2。

Nagios XI 管理員及監察平台維運團隊

核對 Nagios XI 版本，仍使用 2026R2 之前版本的系統應升級至 2026R2 或包含修補的較新版本。檢查管理員帳戶及 MIB 上傳權限，按既有程序審視可疑管理操作。

NVD 收錄的 VulnCheck CNA 評分為 CVSS 3.1 7.2（High），另列 CVSS 4.0 8.6（High）；兩者均要求高權限。並非 NVD 自行完成的評估。

Nagios 官方頁可核實版本及 9 月 23 日日期，但本次讀取未顯示 CVE 表格內容；漏洞機制、管理員前提及受影響範圍依據 NVD 收錄的 VulnCheck CNA 記錄。

已讀來源未確認此漏洞的野外利用；香港部署數量、受影響機構及本地攻擊情況未能核實。