NUMail 存在未經身分鑑別即可遠端觸發的 OS Command Injection，影響所有版本，CVE 為 CVE-2026-82082，建議立即更新至 202602162（含）以後版本。
綠色運算開發之 NUMail 被揭露存在 OS Command Injection 漏洞，編號為 CVE-2026-82082，對應 TWCERT TVN-202608011。公告顯示其 CVSS 為 9.8（Critical），屬於高風險等級，且影響產品範圍為 NUMail 所有版本。
此漏洞的核心風險在於，未經身分鑑別之遠端攻擊者可注入任意作業系統指令，並於伺服器上執行。就攻擊面來看，這代表弱點位於可直接被網路存取的服務處理流程中，一旦遭利用，攻擊者不需要先取得帳號或密碼即可對主機執行命令。
公告同時指出，廠商已完成漏洞修補，使用者應執行 Patch 更新至 202602162（含）以後版本。漏洞公告公開日期為 2026-08-28。
OS Command Injection 的本質，是應用程式將外部輸入拼接進系統命令時，未能正確過濾或限制特殊字元與參數，導致原本預期執行的單一命令被攻擊者擴充為額外指令。公告雖未揭露完整程式碼路徑，但已明確指出問題類型為 OS Command Injection，且可在伺服器上執行任意作業系統指令，這足以推知漏洞落點與伺服器端命令處理機制有關。
從 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 的評分向量來看，漏洞具備網路可達、低複雜度、無需權限、無需使用者互動等特性，且對機密性、完整性與可用性均可能造成高影響。這種組合通常意味著，一旦漏洞被穩定利用，後果不僅止於單次命令執行，還可能進一步延伸為系統資訊擷取、設定竄改、服務中斷，甚至成為後續橫向移動的跳板。
值得注意的是，公告中並未提供更細節的攻擊流程、參數名稱、受影響端點或驗證步驟，因此不應自行推定具體利用鏈或將此漏洞等同於特定既有攻擊框架。對技術維運人員而言，最務實的判斷依據仍是「是否已部署受影響版本」以及「是否已更新至修補版本 202602162 以上」。
本次受影響產品為 NUMail 所有版本。由於公告未細分子模組、部署型態或特定版本區間，因此在風險評估上應先以「全版本皆需檢視」為原則處理。
在實務情境中，若 NUMail 部署於對外提供服務的郵件環境，攻擊者可能直接從網際網路發起請求；若系統位於內網，仍需考量內部主機被入侵後的橫向利用風險。由於漏洞允許任意作業系統指令執行，受影響的不只是應用程式本身，還包括其所對應的主機權限、檔案可讀寫範圍與相關服務帳號權限邊界。
對企業而言，這類漏洞的外溢效應通常高於單一應用問題。若 NUMail 與帳號系統、郵件資料庫或通知流程整合，攻擊者一旦取得命令執行能力，就可能藉由本機權限存取敏感設定、郵件內容或憑證相關資訊。雖然公告未描述實際被利用的案例，但就風險本質而言，應視同高危急事件處置。
首要措施是立即確認 NUMail 版本，並儘速套用廠商已釋出的修補版本 202602162（含）以後版本。這是公告中唯一明確且直接的緩解方式，也應作為修補優先順序的最高項目。
在完成更新前，應降低曝險面與可達性，避免 NUMail 服務暴露於不必要的外部網段。若營運條件允許，建議僅開放必要來源存取，並將管理介面、服務介面與一般使用者入口做明確區隔。
同時，應檢查伺服器端的異常命令執行跡象，例如非預期程序啟動、異常子程序鏈、突增的系統工具呼叫，以及服務帳號執行不合理操作等。由於公告指出可在伺服器上執行任意作業系統指令，因此任何偏離平時運作模式的行為都應納入事件調查。
若環境中已存在安全監控、記錄集中與主機防護機制，應將 NUMail 主機列為重點監測對象，並保留更新前後的系統與應用程式記錄，以便後續比對是否出現可疑存取或命令注入痕跡。此舉雖不能替代修補，但能提升偵測與追查能力。