Octopus Server 邀請碼寫入審計日誌，可能導致權限提升

主要來源公告：2026-10-27

本站刊登：2026-10-27 · 內容更新：2026-10-27（香港日期）

情報摘要

Octopus Deploy 10 月 27 日公開 SA2026-16（CVE-2026-117341）：使用者邀請碼會寫入審計事件日誌。當邀請連結至某個 space，該空間內具適當權限的使用者可能讀取並兌換尚未使用的邀請，取得被邀請帳戶獲授的權限。

可能取得的權限取決於被邀請使用者的授權，不能直接推定每宗情況都會取得完整管理員權限。漏洞亦需要對相關 space 審計事件的適當讀取權限及尚未兌換的邀請。

公告列發現日期為 8 月 28 日、修補推出日期為 9 月 18 日；公開日期是 10 月 27 日。Octopus Deploy 表示 Cloud 實例已更新，Cloud 客戶無需因本項漏洞另行操作；自架版本沒有已知替代緩解措施。

Linux／Windows Octopus Server：所有 2019.x 至 2025.x；2026.x 中低於 2026.2.13438 的版本；以及 2026.3 低於 2026.3.15829

自架 Octopus Server 管理員及管理使用者邀請、space 權限的團隊

採用公告 Fix 列出的 2026.2.13438、2026.3.15829 或包含相應修補的較新版本；較舊分支須遷移。升級表另有較低的 2026.2.13434，與 Fix 及受影響範圍不一致，勿將該較低數字當作已確認修補門檻；有疑問時向供應商確認。

採用 Octopus Deploy 的 High 評級。公告列 CVSS 7.7，但未標明評分版本或完整向量，本文不作推定。

官方升級表與 Fix 版本數字存在矛盾；本文保留此限制，未將其自行定性為已獲供應商確認的筆誤。

截至該公告，供應商表示未察覺公開利用公告或惡意使用；並非對所有部署安全狀態的保證。

本文只處理 SA2026-16；未有已核實的香港受害個案或受影響數量。