2026 年 9 月 3 日，美國網路安全暨基礎設施安全局（CISA）一次把 7 個漏洞加進 KEV（已知遭利用漏洞目錄）。其中兩個直接命中「很多人自己裝在伺服器上」的那類軟體：

  • CVE-2026-49869 —— Kestra OSS 命令注入，CVSS 10.0
  • CVE-2026-59822 —— Berri LiteLLM 驗證不當，CVSS 8.8

另外五個分別是：CVE-2026-83548（SonicWall SMA 1000 伺服器端請求偽造，10.0）、CVE-2026-83549（同產品 OS 命令注入，7.8）、CVE-2026-9586（Sangoma Switchvox SQL 注入，9.3）、CVE-2026-82329（JFrog Artifactory 驗證不當，9.8）、CVE-2026-48710（Kludex Starlette HTTP 請求走私，6.5）。

攻擊者的目標不是資料，是你的 CPU

這批的實際利用行為已被觀察並寫進通報：攻擊者投遞反向 shell 並建立持久化；針對 LiteLLM 的部署，透過 ELF 二進位檔落了 XMRig 礦工；Kestra 那條則是藉工作流程引擎執行 shell，同樣以部署礦工、劫持主機資源收尾。

這點值得說清楚：如果你自架的是內部工具，很容易覺得「裡面沒有客戶資料，被打就被打」。但挖礦類利用不需要你的資料也能變現，它要的是 CPU 時間和頻寬——而帳單和服務商的濫用通知都落在你頭上。

為什麼這批特別貼近 VPS 使用者

看一眼受影響的軟體類型就明白了：LiteLLM 是很多人用來統一多家模型 API 的閘道，Kestra 是工作流程／排程引擎，Artifactory 是成品倉庫，Starlette 是 FastAPI 的底層框架。這些全都是典型的「我在自己 VPS 上跑一個」的東西，而且它們的快速上手文件為了讓你三分鐘跑起來，預設往往監聽 0.0.0.0。裝完不改，就等於開在公網上。

聯邦機構的整改期限也說明了緊迫程度：其中五個必須在 9 月 5 日前處理完，CVE-2026-48710 與 CVE-2026-59822 的期限是 9 月 16 日。KEV 的期限在法律上只約束美國聯邦機構，但對其他人來說，「已確認在野利用」這個標籤是目前最好用的修補優先順序訊號——它比 CVSS 分數更能說明「現在就有人在打」。

三分鐘自查

  • 看 CPU 有沒有被吃掉：uptime 看負載，ps aux --sort=-%cpu | head 看誰在佔。業務沒量而 CPU 長期滿載是最典型的症狀，排查路徑見《VPS CPU 佔用 100% 的診斷方法》。
  • 看有沒有異常外連：ss -tnp state established，重點看指向 3333、5555、7777、14444 這類礦池常用連接埠的連線，以及你不認識的網域。
  • 看持久化：crontab -l、ls -la /etc/cron.*、systemctl list-timers、ls -la ~/.config/systemd/user/。礦工很少只跑一個行程，它一定會想辦法活過重開機。
  • 看暴露面：ss -tlnp 列出所有監聽連接埠，把每一個 0.0.0.0: 開頭的都問一遍「這個真的需要公網可達嗎」。

正確的部署姿勢

  • 預設綁回環：管理介面和內部 API 綁到 127.0.0.1，需要遠端存取就走 SSH 通道（ssh -L 8080:127.0.0.1:8080 user@host）或 WireGuard，而不是開公網連接埠再加個弱密碼。
  • 必須公開時：前面放反向代理，加上真正的驗證（不是應用內建的預設管理員），設定 IP 白名單，並把防火牆調成預設拒絕輸入——ufw 防火牆與 SSH 金鑰登入的加固步驟裡有完整指令。
  • 升級到修復版本，並且給這類自架元件建立「誰負責看它的安全公告」的習慣。裝的時候三分鐘，之後三年沒人看，是這類事故的共同劇本。

如果已經中了

不要只做「殺行程 + 刪檔案」。能落礦工的入口通常也足夠落別的東西，而持久化手段往往不只一處。按《VPS 被入侵後如何排查與重建》的流程走：先取證再清理，憑證全部輪換，能重建就重建。SharkCloud 的日本、新加坡、香港、美國節點都是獨立執行個體，重建一台乾淨機器再把資料遷回去，通常比在一台已失陷的機器上做外科手術更快也更可靠。