TWCERT：關於時間科技 Herowatch 系列 3 項高風險漏洞，產品已停止維護無修補

發生什麼

CVE-2026-121817（TVN-202611002）：Herowatch Go Server 存在 Insecure Direct Object Reference 漏洞，已通過身分鑑別之遠端攻擊者可修改特定參數，存取或操作其他使用者資料與功能， 4.0 為 8.7（High）、CVSS 3.1 為 7.5（High）^[1]。

CVE-2026-121818（TVN-202611003，公告標題為 Herowatch Go - Security Misconfiguration）：公告內文指出 Herowatch Mini 存在系統簽章弱點，裝置韌體使用公開測試金鑰簽章，已通過身分鑑別之本機端攻擊者可藉此簽署惡意程式並取得系統最高執行權限，CVSS 4.0 為 8.5（High）、CVSS 3.1 為 7.8（High）^[2]。

CVE-2026-121816（TVN-202611001）：Herowatch Mini 存在 Missing Authentication 漏洞，未經身分鑑別之遠端攻擊者若可連線至裝置 ADB 服務，即可直接建立連線並取得 ADB shell 權限，CVSS 4.0 為 8.7（High）、CVSS 3.1 為 8.8（High）^[3]。

影響範圍

三則公告的影響產品欄位均為 Herowatch Go App 所有版本，漏洞通報者為 legendyang ^[1][2][3]。

處置

TWCERT/CC 表示該產品已停止維護，建議更換為仍受支援之設備，公告未列出修補版本 ^[1][2][3]。