先說結論：美國網路安全暨基礎設施安全局（CISA）在 2026 年 9 月 3 日公布工業控制系統公告 ICSA-26-246-01，提醒使用 OPC Foundation 的 OPC UA LocalDiscoveryServer（LDS）安裝程式的組織注意 CVE-2026-77477。OPC UA 是工業設備交換資料的通訊規格，LDS 則像區域網路中的服務名錄，協助應用程式找到可連線的服務。本次問題出在安裝過程，不等於已運作的每一台 OPC UA 設備都能被遠端接管。受影響的安裝程式版本是 1.04.420 以前；原廠建議更新到 1.04.420 或更新版本。本文整理原廠公告與 CISA 的獨立防護判斷，供維運人員安排盤點與修補；資料於 2026 年 10 月 3 日重新查核。
背景與前因：OPC Foundation 的原始安全公告版本 1.0.1 標示日期為 2026 年 8 月 24 日，CISA 則在 9 月 3 日發布對應的工控安全公告。兩份文件談的是同一個弱點，日期卻代表不同的發布節點，不能把 8 月的原廠揭露寫成 10 月才發生的新入侵。原廠將弱點追蹤為 GCVE-105-2026-009，也標示 CVE-2026-77477。CVE 是供不同機構使用的公開漏洞編號，方便採購、維運與資安人員查對同一項問題；它本身不是攻擊成功的證明。CISA 公告補充受影響產品、風險分數與適用產業，使使用者可以把原廠修補資訊放進自己的作業環境評估。
原因與前置條件：原廠描述的核心情境，是安裝 LDS 時啟動了一個權限較高的終端視窗；若有人在安裝期間取得相關控制，就可能在該終端執行命令。這裡的「高權限」是指該視窗擁有比一般使用者更大的系統操作能力，並非任何人只要看到網站便能取得權限。原廠列出兩個關鍵前置條件：行為者必須能以提高的權限啟動安裝程式，並且在安裝期間接觸鍵盤與顯示畫面。CISA 也明確指出這不是遠端可利用的漏洞。因此，評估時應先問安裝工作站由誰操作、作業時是否有共用座位或遠端協助、以及安裝權限是否受到控管，而不是直接把所有 OPC UA 通訊流量視為攻擊入口。
影響範圍：公告明列 OPC Foundation UA-LDS-Installers 低於 1.04.420 的版本。這個界線指向安裝程式版本，不宜直接擴大成所有使用 OPC UA 的產品或所有版本的 LDS 服務都受同樣影響。CISA 列出化學、能源、食品與農業、水務及關鍵製造等可能部署的領域；這些是產品可能出現的產業背景，並不是這些產業已有受害事件的統計。CVSS 第三版基礎分數為 4.6，屬中等嚴重度。CVSS 是比較漏洞技術條件的分數工具，不會替個別工廠決定停機、更新窗口或營運優先順序。若安裝作業在受控機房進行，接觸條件可能相對嚴格；若共用工作站與多人交接較頻繁，則應更仔細檢查誰能在安裝期間碰觸畫面與輸入裝置。
已確認的資訊還包括：CISA 在公告發布時表示，尚未收到專門針對此弱點的公開利用通報，並認定它無法遠端利用。這個陳述只能說明該機構當時掌握的公開情況，不能推論世界各地完全沒有嘗試或私下利用。原廠公告描述的是在特定安裝情境下可能發生的權限濫用，並未公布某個使用者的資料外洩或某座工廠遭入侵。讀者若看到其他報導把「可能執行命令」直接寫成「已控制工控網路」，應回到原始公告核對前置條件與證據，避免由漏洞存在跳到事故已發生的結論。
你可以怎麼做：第一步是盤點組織內是否使用 OPC Foundation 提供的 UA-LDS 安裝程式，以及用來部署或維護它的管理工作站。盤點時記錄安裝套件的實際版本、取得管道、使用部門及預定更新時間；若產品是透過系統整合商或設備供應商交付，也應確認對方使用的套件版本。不要只看設備型號就假定安裝程式版本，也不要把不同廠商各自封裝的安裝檔直接視為原廠版本。版本資訊若無法由現有紀錄確認，請以組織的變更管理方式向供應商查證，保留查核紀錄，避免誤把未確認項目標成已修補。
第二步是依原廠公告規劃升級到 1.04.420 或更新版本。工業控制環境通常需要先確認相容性、維護窗口與回復方案，再安排變更；這是避免正常生產受更新作業影響的基本程序，並不代表可以無期限延後修補。CISA 也提醒在部署防護措施前進行影響分析與風險評估。負責人可把受影響版本、安裝工作站的接觸情況與排定的更新時間放在同一份追蹤紀錄，讓主管看得出哪些系統已完成、哪些仍待驗證，而不是用「已通知現場」作為完成證據。
第三步是在升級前後管理安裝時段的實體與操作權限。由於公告所述情境需要接觸鍵盤、顯示畫面和具提高權限的安裝流程，安裝應由授權人員在可監督的環境進行，結束後確認不再留下非必要的高權限操作視窗。這是從原廠前置條件推導出的防護安排，不是原廠公布的攻擊事件。若組織使用遠端協助進行安裝，也應由內部依既有政策評估誰能在過程中看到或控制工作站；不要因為公告說「非遠端漏洞」就忽略遠端協助可能改變實際接觸條件。
第四步是把這項漏洞放回本地資產脈絡排序。若未曾安裝 LDS，這則公告不應佔用比現有高風險問題更高的修補順位；若有受影響套件且近期要重新部署，則可在下一次安裝前優先換用修正版。對已運作系統，應先辨別原廠所說的受影響物件是安裝程式，而不是假設服務每次運行都會重現安裝時的高權限視窗。任何版本替換都應經過供應商相容性確認、備份與變更核准，並在完成後由另一位維運人員核對版本與結果，這樣才有可稽核的修補證據。
目前仍有界線要保留：這兩份官方資料沒有列出所有下游設備廠商採用的套件版本，也不能代替每個現場的相容性測試；CISA 的「未收到公開利用通報」亦有時間範圍。若特定產品由第三方重新封裝，組織應向該產品供應商確認是否包含受影響安裝元件與可用更新，不應自行推定其已安全或必然有漏洞。若在安裝期間發現不尋常的高權限操作，應保存組織既有日誌，依內部事件流程調查；單憑公告或一個終端視窗，還不足以宣稱已發生入侵。
整體來看，這是一個條件明確、可以透過版本更新與安裝作業管控降低風險的弱點。原廠提供受影響版本與修補版本，CISA 補充了非遠端利用、產業背景及當時未見公開利用通報的判斷。最重要的不是把中等分數說成全面失守，而是確認自己是否真的使用受影響安裝程式、誰能接觸高權限安裝流程，以及修補後能否拿出版本核對紀錄。本文反映 2026 年 10 月 3 日可取得的官方資訊；若原廠之後修訂公告，維運決策仍應以最新版本及實際產品支援資訊為準。
官方來源：
- Security Update for the OPC UA LocalDiscoveryServer (LDS)（OPC Foundation）
- OPCFoundation OPC UA LocalDiscoveryServer (LDS) — ICSA-26-246-01（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。