研究員未待修補公開 11 個 Tailscale 漏洞

把伺服器連成私人網絡的 Tailscale，有 11 個漏洞未修補就被研究員公開，一部被入侵的裝置可奪去其他伺服器最高權限。網絡安全公司 Cyberdione Labs 研究員 Erica Windisch 發表「Tailworm」報告，指 Tailscale 內置的 SSH 伺服器有漏洞，攻擊者控制一部獲批准的裝置，就可取得其他伺服器的 root 最高權限。在她的實驗室中，攻擊可自動擴散，每跳一部機少於一秒。 Erica Windisch 稱漏洞已通報但沒有協調公開時間，截至 10 月 25 日 Tailscale 未發相關安全公告。

Moby Dick2026年10月25日 19:01 HKT閱讀 2 分鐘

研究員未待修補就公開 11 個 Tailscale 漏洞

網絡安全公司 Cyberdione Labs 研究員 Erica Windisch 在網站 tailworm.com 公開一份名為「Tailworm」的報告，列出 11 個 Tailscale 和 headscale 的漏洞，報告 2026 年 10 月 25 日在 Hacker News 引起討論，當時廠方未推出修補。

Tailscale 是把公司伺服器、電腦和手機連成一個私人網絡的工具，基於開源的 WireGuard 技術；headscale 是可自行架設的開源版控制伺服器。報告指，測試在 10 月 22 日至 24 日進行，對象是 Tailscale 1.104.2 版和 headscale 0.29.5 版，全部在研究員自己的實驗室重現。

項目	內容
漏洞數目	11 個，其中 6 個評為高風險
受影響版本	Tailscale 1.104.2、headscale 0.29.5
最主要問題	Tailscale SSH 可被用來取得其他伺服器的 root 權限
實驗室擴散速度	每跳一部機少於一秒
廠方公告	截至 10 月 25 日未有相關安全公告

Tailworm 報告的研究員說明，署名 Erica Windisch 及 Cyberdione Labs Corporation — tailworm.com 報告開首的研究員說明，2026 年 10 月 25 日擷取

一部被入侵的裝置可取得其他伺服器最高權限

據報告，最嚴重的問題在 Tailscale 內置的 SSH 伺服器。它以 root（系統最高權限）運行，處理連接埠轉發時沒有降低權限，一個普通帳號就可以借此在其他伺服器取得 root 權限。攻擊者只需控制一部已獲批准的裝置，加上一條容許 SSH 的規則。

Windisch 在 Hacker News 留言指，連接埠轉發是預設開啟的。報告又指，在實驗室中，這些漏洞令攻擊可以自動擴散到規則容許的每一部機，無須密碼、偷取金鑰或用戶操作。唯一能截停擴散的，是把 SSH 權限逐對設定，只容許指定的一部機連到另一部機。

其他漏洞包括實驗性的「app connector」功能可被用來接觸雲端憑證和內部網絡，以及自行架設的 headscale 伺服器可被未登入的攻擊者弄至不斷當機。

研究員稱已通報但沒有協調公開時間

一般做法是先私下通報廠方，待修補推出後才公開，即「協調披露」。Tailscale 在 GitHub 的安全政策要求研究員把漏洞通報至 security@tailscale.com，再協調公開時間表。

Windisch 在 Hacker News 回應批評時說，漏洞「已通報，但沒有協調」。她在報告中寫道，基礎設施今日已經有風險，盡快讓公眾知道可以加快修補。

截至 10 月 25 日，Tailscale 安全公告頁最新一則是 10 月 21 日的 TS-2026-013，與這批漏洞無關。報告建議管理員先把 SSH 規則改為逐對授權，並關閉 SSH 轉發功能。

來源

Tailworm: Security Assessment Report for Tailscale v1.104.2 and headscale v0.29.5（原始報告）
Tailworm – Tailscale Vulnerabilities（Hacker News 討論，含研究員回應）
Tailscale Security Bulletins（Tailscale 安全公告頁）

歐盟 VPN 新標準：2027 年 12 月強制執行

歐盟為 VPN 訂立正式技術標準，加密、認證、金鑰管理與漏洞處理全部要可審計，廠商必須拿出可測試的證據，不能再靠宣傳字眼。標準配合《網絡韌性法案》2027 年 12 月生效，違規最高罰 1,500 萬歐元或全球營業額 2.5%。起草名單包括 NordVPN 與 Surfshark，被監管的一方同時在寫規則。

TiDB 開發商 PingCAP 證實黑客潛入近一個月

公司若用 TiDB 雲端資料庫，曾交給客服的密碼和金鑰都要即時更換。開發商 PingCAP 證實，有人在 9 月 9 日至 10 月 7 日用盜來的憑證潛入內部系統，複製客戶輸入的 SQL 指令、聯絡人、合約和帳單資料，以及原始碼。勒索組織 FulcrumSec 聲稱取得 10.6TB 資料，並指工程師把客戶密碼貼進內部系統 Jira，PingCAP 稱說法未經核實。行政總裁劉奇（Max Liu）10 月 23 日發信道歉：「我們沒有好好保護這些資料。」

黑客聲稱外洩復興黨 410 萬行拉票紀錄

馬克龍的政黨上門拉票時記下的地址和到訪紀錄，有黑客聲稱已放上網免費下載。化名 ChimeraZ 的黑客 2026 年 10 月 24 日在網上犯罪論壇發放檔案，聲稱來自馬克龍創立的復興黨，共 410 萬行，包括 373,906 個地址、GPS 座標和挨家挨戶拉票紀錄。法國網站 Cyberattaque.org 分析樣本後指，黑客所稱的 960 萬「選民」可能只是各地址選民人數的總和。同一黑客同日亦聲稱入侵兩個政黨，法國共產黨證實黨員名冊外洩，不屈法國則否認被入侵。