Octopus Server OIDC 發行者驗證漏洞可令服務帳戶權杖被錯誤接受

主要來源公告：2026-10-27

本站刊登：2026-10-27 · 內容更新：2026-10-27（香港日期）

情報摘要

Octopus Deploy 10 月 27 日公開 SA2026-15（CVE-2026-116870）：OIDC 權杖發行者驗證不一致，可能將非合法發行者的權杖當作受信任服務帳戶權杖。利用須有已設定 OIDC 身分的服務帳戶，攻擊者亦須知道或猜中部分身分資料。

供應商將問題描述為 OIDC 發行者混淆；並非所有未登入者都能在沒有先決條件下直接接管伺服器。公告列明至少一個服務帳戶須已設定 OIDC 身分。

公告記錄發現日期為 9 月 9 日、修補推出日期為 9 月 14 日；10 月 27 日是公開公告日期。Octopus Deploy 表示 Octopus Cloud 實例已更新，Cloud 客戶無需因本項漏洞另行操作。

Linux／Windows Octopus Server：2024.x 中高於 2024.1.11865 的版本、所有 2025.x、2026.1 低於 2026.1.11781、2026.2 低於 2026.2.13438，以及 2026.3 低於 2026.3.15816

自架 Octopus Server 管理員，尤其使用 OIDC 服務帳戶的部署團隊

按部署分支升級至包含本項修補的版本。公告 Fix 列出 2026.1.11781、2026.2.13438 及 2026.3.15816；較舊分支須遷移至包含修補的版本。供應商表示沒有已知替代緩解措施，應盡快升級。

採用 Octopus Deploy 的 High 評級。公告列 CVSS 8.7，但未標明評分版本或完整向量，本文不作推定。

截至該公告，供應商表示未察覺公開利用公告或惡意使用；這是供應商當時的觀察，不等於證明從未遭利用。

本文修補門檻只對應 SA2026-15；同期其他 Octopus 漏洞有不同門檻，更新時仍須核對其他適用公告。

未有已核實的香港受害個案或受影響部署數量。