TWCERT/CC 於 2026 年 11 月 4 日公布關於時間科技 Herowatch 系列 3 項高風險漏洞，包括 Herowatch Go Server 的不安全直接物件參照（CVE-2026-121817）、Herowatch Mini 韌體使用公開測試金鑰簽章（CVE-2026-121818），以及 Herowatch Mini ADB 服務缺少身分鑑別（CVE-2026-121816）[1][2][3]。TWCERT/CC 三則公告列出的影響產品均為 Herowatch Go App 所有版本 [1][2][3]。TWCERT/CC 指出該產品已停止維護，建議更換為仍受支援之設備 [1][2][3]。
TWCERT：關於時間科技 Herowatch 系列 3 項高風險漏洞，產品已停止維護無修補
閱讀約 1 分鐘
- 揭露
- 2026年11月4日
- 發布
- 2026年11月11日
- 最後更新
- 2026年11月8日
- EPSS（30 天內遭利用機率）
- 0.4%，高於 39% 的漏洞
- 利用與修補狀態
- 尚無修補
本頁內容
30 秒摘要
受影響範圍
事件時間軸
技術細節
發生什麼
CVE-2026-121817（TVN-202611002）：Herowatch Go Server 存在 Insecure Direct Object Reference 漏洞，已通過身分鑑別之遠端攻擊者可修改特定參數，存取或操作其他使用者資料與功能，CVSS 4.0 為 8.7（High）、CVSS 3.1 為 7.5（High）[1]。
CVE-2026-121818（TVN-202611003，公告標題為 Herowatch Go - Security Misconfiguration）：公告內文指出 Herowatch Mini 存在系統簽章弱點，裝置韌體使用公開測試金鑰簽章，已通過身分鑑別之本機端攻擊者可藉此簽署惡意程式並取得系統最高執行權限，CVSS 4.0 為 8.5（High）、CVSS 3.1 為 7.8（High）[2]。
CVE-2026-121816（TVN-202611001）：Herowatch Mini 存在 Missing Authentication 漏洞，未經身分鑑別之遠端攻擊者若可連線至裝置 ADB 服務，即可直接建立連線並取得 ADB shell 權限，CVSS 4.0 為 8.7（High）、CVSS 3.1 為 8.8（High）[3]。
影響範圍
三則公告的影響產品欄位均為 Herowatch Go App 所有版本，漏洞通報者為 legendyang [1][2][3]。
處置
修復指引
參考來源
官方 / 一級來源3
- [1]
“關於時間科技開發之Herowatch Go Server存在Insecure Direct Object Reference漏洞，已通過身分鑑別之遠端攻擊者可修改特定參數，存取或操作其他使用者資料與功能。”
- [2]
“關於時間科技開發之Herowatch Mini存在系統簽章弱點。由於該裝置之韌體使用公開測試金鑰簽章，已通過身分鑑別之本機端攻擊者，可藉此簽署惡意程式，獲取系統最高執行權限。”
- [3]
“關於時間科技開發之Herowatch Mini存在Missing Authentication漏洞，未經身分鑑別之遠端攻擊者於可連線至受影響裝置ADB服務之情況下，直接建立連線並取得ADB shell權限，進而存取裝置資源或執行相關操作。”
技術諮詢
看完還不確定自己是否受影響？
告訴我們你的環境，我們協助比對這則通報、評估風險，並提供可執行的修補與監控建議。
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。