Octopus Server System Manager 角色可提升至完整管理員權限

主要來源公告：2026-10-27

本站刊登：2026-10-27 · 內容更新：2026-10-27（香港日期）

情報摘要

Octopus Deploy 10 月 27 日公開 SA2026-17（CVE-2026-117466）：在受影響的 Octopus Server 版本中，已持有 System Manager 角色的使用者可能將權限提升至完整系統 Administrator。這不是無需帳戶或角色即可利用的漏洞。

供應商表示沒有已知替代緩解措施，應盡快升級。Octopus Cloud 實例已更新，Cloud 客戶無需因本項漏洞另行操作。

公告記錄發現日期為 8 月 28 日、修補推出日期為 9 月 28 日；10 月 27 日是公開公告日期。利用範圍限於已具 System Manager 角色的使用者，不能擴寫成任意未驗證攻擊者均可接管系統。

Linux／Windows Octopus Server：所有 2019.x 至 2025.x；2026.x 中低於 2026.2.13469 的版本；以及 2026.3 低於 2026.3.15863

自架 Octopus Server 管理員及已指派 System Manager 角色的組織

採用公告 Fix 列出的 2026.2.13469、2026.3.15863 或包含相應修補的較新版本；較舊分支須遷移。2026.2.x 升級表一列另寫 2026.2.13434，與 Fix 及受影響範圍不一致，勿將該較低數字當作已確認修補門檻；有疑問時向供應商確認。

採用 Octopus Deploy 的 High 評級。公告列 CVSS 8.6，但未標明評分版本或完整向量，本文不作推定。

官方升級表與 Fix 版本數字存在矛盾；本文保留此限制，未將其自行定性為已獲供應商確認的筆誤。

截至該公告，供應商表示未察覺公開利用公告或惡意使用；這不等於證明沒有攻擊。

本文只處理 SA2026-17；未有已核實的香港受害個案或受影響部署數量。