網路安全研究人員警告稱，低成本的 IP KVM（鍵盤、視訊、滑鼠透過網際網路協定）設備會帶來風險，攻擊者可以利用這些設備對受感染的主機進行廣泛的控制。Eclypsium發現的這九個漏洞涉及 GL-iNet Comet RM-1、Angeet/Yeeso ES3 KVM、Sipeed NanoKVM 和 JetKVM 這四款不同的產品。其中最嚴重的漏洞允許未經身份驗證的攻擊者取得 root 權限或執行惡意程式碼。

IP KVM 設備允許在 BIOS/UEFI 層遠端存取目標機器的鍵盤、視訊輸出和滑鼠輸入，因此，如果這些產品中的漏洞被成功利用，系統將面臨潛在的被控制風險，從而破壞已部署的安全控制措施。其缺陷如下：

✓  CVE-2026-32290（CVSS評分：4.2）- GL-iNet Comet KVM 中韌體真實性驗證不足（修復計畫中）

✓  CVE-2026-32291（CVSS評分：7.6）- GL-iNet Comet KVM 中的通用非同步收發器 (UART) 根訪問漏洞（修復計畫中）

✓  CVE-2026-32292（CVSS 評分：5.3）- GL-iNet Comet KVM 中暴力破解防護不足的漏洞（已在 1.8.1 BETA 版本中修復）

✓  CVE-2026-32293（CVSS 評分：3.1）- GL-iNet Comet KVM 中透過未經驗證的雲端連線進行初始配置的不安全漏洞（已在 1.8.1 BETA 版本中修復）

✓  CVE-2026-32294（CVSS評分：6.7）- JetKVM 中更新驗證不足的漏洞（已在 0.5.4 版本中修正）

✓  CVE-2026-32295（CVSS 評分：7.3）- JetKVM 中速率限制不足的漏洞（已在 0.5.4 版本中修正）

✓  CVE-2026-32296（CVSS 評分：5.4）- Sipeed NanoKVM 中的設定端點暴露漏洞（已在 NanoKVM 版本 2.3.1 和 NanoKVM Pro 版本 1.2.4 中修正）

✓  CVE-2026-32297（CVSS評分：9.8）- Angeet ES3 KVM 中的關鍵功能缺少身份驗證漏洞，導致任意程式碼執行（無可用修復程式）

✓  CVE-2026-32298（CVSS評分：8.8）- Angeet ES3 KVM 中存在作業系統指令注入漏洞，可導致任意指令執行（暫無修復方案）

研究人員指出：「這些並非需要數月逆向工程才能破解的罕見零日漏洞，而是任何聯網設備都應該實施的基本安全控制措施，例如輸入驗證、身份驗證、加密驗證和速率限制。我們目前遇到的故障與十年前困擾早期物聯網設備的故障屬於同一類，只不過現在的故障發生在一種可以對所有連接設備進行物理訪問的設備上。」

攻擊者可以利用這些問題來注入鍵盤輸入、從可移動媒體啟動以繞過磁碟加密或安全啟動保護、繞過鎖定螢幕和存取系統，更重要的是，還能不被安裝在作業系統層級的安全軟體偵測到。

作為緩解措施，建議在支援的情況下強制執行多因素身份驗證 (MFA)，將 KVM 設備隔離在專用的管理 VLAN 上，限制互聯網存取，使用 Shodan 等工具檢查外部暴露情況，監控進出設備的意外網路流量，並保持韌體更新。

Eclypsium公司表示：「被入侵的KVM設備與網路中被入侵的物聯網設備不同。它為它控制的每台機器提供了一個直接且無聲的通道。攻擊者一旦入侵KVM設備，就可以在設備本身隱藏工具和後門，即使修復後也能持續感染宿主系統。」由於大多數此類設備上的某些固件更新缺乏簽名驗證，供應鏈攻擊者可以在分發時篡改固件，並使其無限期地持續存在。

資料來源：https://thehackernews.com/2026/03/9-critical-ip-kvm-flaws-enable.html