以網路曝險管理為核心的資安廠商runZero於2026年7月1日揭露，廣泛應用於嵌入式系統的FatFs檔案系統庫（R0.16及更早版本）存在7個資安漏洞。這些漏洞涵蓋CVSS評分為7.6的高風險（CVE-2026-6682、6687、6688）及6.1、4.6的中低風險，主要影響FAT/exFAT及GPT解析，可能導致記憶體損毀、資料洩漏甚至程式碼執行。目前僅CVE-2026-6684有上游修補，其餘需下游廠商自行防護，建議禁用不可信儲存裝置並停用exFAT支援。
2026年7月1日，專注於網路曝險管理的資安廠商runZero正式揭露，廣泛應用於小型嵌入式系統的FatFs檔案系統模組（版本R0.16及更早）存在7個嚴重資安漏洞。這些漏洞由runZero創辦人兼執行長HD Moore發現，並針對FAT、exFAT解析機制進行深入探查。漏洞的CVSS嚴重程度評分各異，其中CVE-2026-6682、CVE-2026-6687與CVE-2026-6688被評為高風險，CVSS分數高達7.6；CVE-2026-6685為中度風險（6.1）；而CVE-2026-6683、CVE-2026-6684與CVE-2026-6686則為中度風險（4.6）[6][2]。值得注意的是，HD Moore在4月底曾嘗試聯絡FatFs維護者ChaN未果，並透過JPCERT/CC尋求協調亦無回應，最終在5月中與主要下游廠商溝通後，定於7月1日公開揭露[6]。
FatFs是專為資源有限的小型MCU設計的通用FAT/exFAT檔案系統模組，不受平台與儲存裝置限制，其核心漏洞涉及記憶體損毀、整數溢出、邏輯錯誤及資訊洩漏。根據技術細節，最嚴重的CVE-2026-6682是一個位於mount_volume()函數中的整數溢出（Integer Overflow），當執行fasize *= fs->n_fats時可能發生數值繞過（wrap），導致攻擊者篡改文件大小元數據，進而引發下游利用[2][3]。另一個高風險漏洞CVE-2026-6687則是exFAT標籤處理相關的堆疊溢出（Stack Overflow），發生於f_getlabel()函數中，可能導致記憶體損毀或程式碼執行[2]。此外，這些漏洞可透過精心製作的USB隨身碟、SD記憶卡或掛載的固件更新映像觸發，造成記憶體損毀、拒絕服務、靜態資料損毀（Silent Data Corruption）及潛在的程式碼執行[2]。runZero的研究團隊利用Visual Studio Code、GitHub Copilot自動模式及模糊測試工具，成功發現了手動稽核遺漏的瑣碎漏洞，並驗證了在不同嵌入式情境下的實際可利用性[6]。
由於FatFs被廣泛「vended」（直接嵌入）至多個主流開源生態系統，其影響範圍極大，涵蓋消費型物聯網設備、工業控制器、無人機、加密錢包等產品。受影響的關鍵生態系統包括：意法半導體（STMicroelectronics）的STM32Cube中介軟體（STM32是全球市佔最高的MCU）、樂鑫科技（Espressif）的ESP-IDF框架（ESP32系列出貨量極高）、Zephyr RTOS（Linux基金會主導的開源作業系統）、ArduPilot（廣泛應用於無人機與自動駕駛裝置）[2][6]。runZero警告，若攻擊者能對存在漏洞的設備執行實體存取動作（如插入惡意USB或SD卡），在缺乏ASLR（記憶體位址空間隨機化）與記憶體保護的情況下，系統可能遭「越獄」（Jailbreak）或完全入侵[6]。然而，對於僅短暫存取設備的一般使用者（如使用網路視訊攝影機、投票機、ATM或觸控螢幕裝置），風險相對較低，不會導致系統完全遭入侵[6]。研究團隊已發布證明概念（Proof-of-Concept）的映像檔、測試架構及基於QEMU的利用範例，預計下游廠商識別並修復其捆綁版本可能需要數年時間[2]。
針對現階段缺乏完整上游修補的情況（僅CVE-2026-6684在FatFs R0.16中修補，CVE-2026-6683僅有部分防護），設備廠商與使用者應採取以下防護措施：首先，嚴格禁用未受信任的USB儲存裝置或SD記憶卡，限制不可信的FAT/exFAT媒體接入，避免惡意映像自動掛載[1][6]。其次，停用不必要的exFAT支援，因部分高風險漏洞（如CVE-2026-6687）與exFAT標籤處理直接相關[2]。第三，下游廠商應自行在代碼中加入額外的檢查與防護邏輯，例如驗證文件大小元數據以防止整數溢出，並加強堆疊保護以抵禦溢出攻擊[1][2]。ReconShield Intelligence建議企業執行偵測與應變的三個步驟，並指導設備供應商採取五個步驟以強化安全性[6]。由於缺乏協調維護者回應，主動防禦與下游自修補成為當前關鍵策略。
5步驟修補清單
mount_volume()中的整數乘法操作進行溢出檢查。