資安快訊：今日重要 CVE（2026-07-28）

今天的重點是 Apache Thrift 在 0.24.0 前的多個高嚴重度漏洞；如果你的服務、SDK、內部 RPC、資料管線或原生擴充有用到 Thrift，尤其是 C++ 或 c_glib bindings，請優先升級到 0.24.0。

CVE-2026-48144（嚴重度 CVSS 9.1）

影響

這個漏洞影響 Apache Thrift 0.24.0 之前版本的 c_glib bindings。問題是憑證驗證時沒有正確處理主機名稱不一致的情況。

如果你的專案使用 Thrift 的 c_glib bindings，或依賴某個底層元件透過 Thrift c_glib 做通訊，就需要確認版本。

該做什麼

將 Apache Thrift 升級到 0.24.0。官方說明指出此版本已修復此問題。

CVE-2026-55971（嚴重度 CVSS 9.8）

影響

這個漏洞影響 Apache Thrift 0.24.0 之前版本的 C++ bindings。問題是 heap-based buffer overflow。

如果你的後端服務、原生模組、資料處理工具或內部 RPC 系統使用 Thrift C++ bindings，這是今天最需要優先處理的一項。

該做什麼

將 Apache Thrift 升級到 0.24.0。官方建議使用者升級到此版本，因為它修復了這個漏洞。

CVE-2026-58023（嚴重度 CVSS 9.1）

影響

這個漏洞影響 Apache Thrift 0.24.0 之前版本的 c_glib bindings。問題是 out-of-bounds read。

如果你的系統有使用 Thrift c_glib bindings，請把它視為需要立即檢查的依賴。

該做什麼

將 Apache Thrift 升級到 0.24.0。官方說明指出 0.24.0 已修復此問題。

CVE-2026-58662（嚴重度 CVSS 9.1）

影響

這個漏洞影響 Apache Thrift 0.24.0 之前版本的 C++ bindings。問題包含輸入數量驗證不正確，以及 out-of-bounds read。

如果你的專案使用 Thrift C++ bindings，請檢查目前安裝或打包的 Thrift 版本是否低於 0.24.0。

該做什麼

將 Apache Thrift 升級到 0.24.0。官方建議使用者升級到此版本，因為它修復了這個漏洞。

資料來源：NVD

• CVE-2026-48144：https://nvd.nist.gov/vuln/detail/CVE-2026-48144
• CVE-2026-55971：https://nvd.nist.gov/vuln/detail/CVE-2026-55971
• CVE-2026-58023：https://nvd.nist.gov/vuln/detail/CVE-2026-58023
• CVE-2026-58662：https://nvd.nist.gov/vuln/detail/CVE-2026-58662