設備停止支援（EOL，End of Life）後，廠商不再修補新漏洞。出漏洞時先看設備是否對外開放、漏洞是否已遭利用；還有修補就升級韌體，不再修補就汰換，汰換前先關閉對外管理介面並加上其他防護。
EOL 是什麼？
EOL（End of Life，停止支援）是廠商不再提供更新與技術支援的時間點，之後發現的漏洞通常不會修補。例如 Microsoft 公告 Windows 10 於 2025 年 10 月 14 日終止支援，電腦仍能使用，但沒有付費加入延伸安全性更新（ESU，Extended Security Updates），就不會再收到安全性更新。
防火牆、VPN、交換器、NAS 也有停止支援日，只是很少有新聞提醒。各廠商用詞不一，盤點時要把停止銷售（End of Sale）、停止支援與安全修補期限分開記。
怎麼知道公司哪些設備已經停止支援？
列一張設備清單，逐台到廠商的產品生命週期頁查日期。
- 列清單： 防火牆、VPN、交換器、無線基地台、NAS、伺服器、監控主機與管理軟體，記下廠牌、型號、韌體版本與負責人。
- 查日期： 到廠商官網找「產品生命週期」或「End of Life」頁面，或搜尋「廠牌＋型號＋end of life」；查不到就請經銷商提供書面資料。
- 訂閱安全公告： 多數廠商有安全公告頁，可以訂閱電子報或 RSS。
- 標出對外設備： 確認管理頁面、VPN 入口、遠端桌面與檔案分享是否從網際網路連得到。不確定時，可以請第三方做弱點掃描與滲透測試，找出對外暴露、韌體過舊的設備。
停止支援的設備出漏洞，風險怎麼分輕重？
看三件事：有沒有對外開放、有沒有已知遭利用、有沒有其他防護可以補。前提是公告的受影響條件和你的設備相符，比對方法見漏洞新聞怎麼判斷影不影響我。
- 對外開放： 攻擊者不必先進入公司網路；防火牆與 VPN 本身就是入口。
- 已知遭利用： 先看廠商公告，再查美國網路安全暨基礎設施安全局（CISA）的已知遭利用漏洞目錄（KEV），列入代表已有實際攻擊。
- 其他防護： 有沒有限制連線來源、登入有沒有多因素認證（MFA）、有沒有人看紀錄。
對外又已知遭利用的最優先，先關閉對外連線或停用受影響功能；對外但未見利用的排下一批；只在內網且有防護的排入汰換計畫。
停止支援的設備出漏洞，有哪四種處置？
升級韌體與汰換能消除漏洞；隔離或關閉對外管理介面、加上其他防護，只是在爭取時間。
| 處置 | 適用情況 | 成本型態 | 處置後還剩的風險 |
|---|---|---|---|
| 升級韌體 | 仍在支援期，已有修補版本 | 一次性：人力與停機時間 | 修補可能不完整；更新前的入侵痕跡還在 |
| 汰換 | 已停止支援、公告不修補 | 一次性採購與建置，之後有授權費 | 新舊並行期間仍有暴露 |
| 隔離或關閉對外管理介面 | 汰換前的過渡，或漏洞只在特定介面 | 以一次性設定為主 | 漏洞還在，內網的人仍可利用 |
| 加上其他防護 | 短期無法汰換，又必須對外服務 | 持續：訂閱費與監控人力 | 只能降低或偵測攻擊，漏洞沒有消失 |
不再修補的設備只能汰換，過渡期越長，成本與風險越高。不論選哪一種，先確認資料有可還原的備份，可參考 NAS 備份架構。
管理介面要不要對外開放？
不要。管理頁面應只允許從內部網路連入，遠端管理先連 VPN，並限定來源、啟用多因素認證。
CISA 2023 年的指令 BOD 23-02，要求美國聯邦機構把路由器、交換器、防火牆、VPN 等設備的管理介面從網際網路移除，或放在獨立的存取控管後面；中小企業同樣適用。也要檢查有沒有為了方便而開的轉埠（port forwarding）規則。
韌體更新後，怎麼確認真的修好？
看版本號，不看「更新成功」的訊息。
- 核對版本： 管理介面顯示的版本，要等於或高於公告列出的修補版本。
- 照公告做額外動作： 例如改設定、重設密碼或更換憑證。
- 檢查入侵跡象： 不認識的管理帳號、被改過的設定、異常登入；更新不會清掉之前留下的東西。
- 追蹤公告修訂： 修補被發現不完整時，廠商會更新公告或另發新公告。
完整流程見看懂安全公告的四件事與驗證步驟。
汰換預算與時程怎麼排？
依停止支援日與風險排序，排進年度預算，不要等出事才採購。
- 從停止支援日往前推： 預留詢價、採購、測試與移轉的時間，長短依設備數量與環境不同。
- 先換對外設備： 防火牆、VPN 與對外提供服務的 NAS 優先。
- 一次性與持續成本分開編： 設備與建置是一次性；授權、維護合約與過渡期的額外防護是持續成本，拖越久越多。
- 新設備進清單就記停止支援日： 舊設備下線前，清除設定與帳密。
近期有哪些停止支援與修補的實例？
資料截至 2026 年 11 月 10 日，狀態以廠商最新公告為準。
停止支援、不會修補：SonicWall GMS
- SonicWall 公告 GMS 最後支援日為 2026 年 9 月 30 日。11 月 3 日的安全公告 SNWLID-2026-0019 列出 CVE-2026-109593（未經驗證即可能讀取內部檔案）與 CVE-2026-109594（登入後的 SQL 注入），影響 GMS 9.5.2 以前版本。
- 公告寫明產品已停止支援、不會修補，建議改用 SonicWall NSM；公告未提到遭利用。
- 我們的判讀：只能汰換；移轉完成前，限制 GMS 僅能從內部特定位置連入。
仍有支援、要盡快更新：SonicWall SonicOS SSL VPN
- 安全公告 SNWLID-2026-0014（11 月 6 日發布、11 月 9 日更新）中的 CVE-2026-19868，可能讓持有其他認證方式帳密的人繞過 SAML 單一登入與多因素認證；只有 SSL VPN 啟用 SAML 登入才受影響。
- SonicWall 表示已調查到可能遭利用的通報；CISA 於 11 月 6 日列入已知遭利用目錄。
- 修補版本（完整型號以公告為準）：
- 第 7 代防火牆（Gen7）：7.3.4-7013 以後
- 第 8 代防火牆（Gen8）：8.2.3-8015 以後
- 我們的判讀：對外又已知遭利用，屬最優先；公告另列無法更新時的暫時作法，照公告操作。
修補過，仍要確認版本：Zyxel GS1900 交換器
- Zyxel 於 2026 年 6 月 16 日修補 CVE-2026-7273。9 月 21 日資安公司 GreyNoise 公布，攻擊者利用這個漏洞從 48 個國家的 996 台 Zyxel 交換器竊取資料。
- 資安公司 Binarly 指出 6 月的修補韌體仍有漏洞；Zyxel 另編 CVE-2026-107441，10 月下旬釋出 2.90 Patch 3，11 月 3 日發布公告。
- CVSS 兩方說法不同：Zyxel 評 8.8，認定攻擊者要在同一個區域網路；Binarly 評 9.8，認為連得到管理服務就能利用。
- Zyxel 只替「仍在漏洞支援期內」的型號釋出修補。修補後的韌體版本：
- GS1900-8：2.90(AAHH.3)C0
- GS1900-8HP：2.90(AAHI.3)C0
- GS1900-10HP：2.90(AAZI.3)C0
- GS1900-16：2.90(AAHJ.3)C0
- GS1900-24：2.90(AAHL.3)C0
- GS1900-24E：2.90(AAHK.3)C0
- GS1900-24EP：2.90(ABTO.3)C0
- GS1900-24HPv2：2.90(ABTP.3)C0
- GS1900-48：2.90(AAHN.3)C0
- GS1900-48HPv2：2.90(ABTQ.3)C0
- 我們的判讀：6 月已更新的設備也要再核對版本；管理介面曾對外開放的，更新後應檢查設定並更換管理密碼。
下一步該做什麼？
先把設備清單和停止支援日列出來，這一步不需要採購。不確定哪些設備對外暴露、韌體是否過舊，影響資安提供弱點掃描與滲透測試，報告會列出問題與修補建議；設備更新與汰換仍由原廠或你的維護廠商執行。想討論公司的情況，可以預約諮詢。
常見問題
停止支援的設備還能繼續用嗎？
能運作，但之後發現的漏洞不會修補，風險只會累積。只在內網、有其他防護的設備可以短期過渡使用，但要定下汰換日期並追蹤公告；直接對外的防火牆與 VPN 不建議繼續使用。
Windows 10 停止支援後還能用嗎？
可以運作，但 Microsoft 已於 2025 年 10 月 14 日終止支援。企業可付費加入延伸安全性更新，商業與教育組織的電腦最多可在終止支援後三年內收到安全性更新；消費者版不能用於商業用途。日期與方案以 Microsoft 官方公告為準。
防火牆或 VPN 停止支援怎麼辦？
優先汰換。這兩類設備直接面對網際網路，又是進入公司網路的入口。汰換前先關閉不需要的對外服務，管理介面只允許內部連入，VPN 登入啟用多因素認證，並定期檢查登入紀錄。
怎麼知道設備什麼時候停止支援？
到廠商官網的產品生命週期或 End of Life 頁面用型號查詢，或搜尋「廠牌＋型號＋end of life」；查不到就請經銷商提供書面資料。停止銷售、停止支援與安全修補期限要分開記，因為各廠商定義不同。
參考資料
- Microsoft，《Windows 10 家用版與專業版》產品生命週期頁，2026 年 11 月 10 日查閱。learn.microsoft.com
- Microsoft，《Extended Security Updates (ESU) program for Windows 10》，2026 年 11 月 10 日查閱。learn.microsoft.com
- Microsoft，《Windows 10 延伸安全性更新》，2026 年 11 月 10 日查閱。microsoft.com
- CISA，《BOD 23-02: Mitigating the Risk from Internet-Exposed Management Interfaces》，2023 年 6 月 13 日。cisa.gov
- CISA，《Known Exploited Vulnerabilities Catalog》，2026 年 11 月 9 日版本。cisa.gov
- SonicWall，《GMS EOL Announcement》，2025 年 5 月 5 日。sonicwall.com
- SonicWall PSIRT，《End-of-Life (EOL) SonicWall GMS Multiple Vulnerabilities》（SNWLID-2026-0019），2026 年 11 月 3 日。psirt.global.sonicwall.com
- SonicWall PSIRT，《SonicWall SonicOS Affected By Multiple Vulnerabilities》（SNWLID-2026-0014），2026 年 11 月 6 日發布、11 月 9 日更新。psirt.global.sonicwall.com
- Zyxel，《Zyxel security advisory for stack-based buffer overflow vulnerability in GS1900 series switches》，2026 年 6 月 16 日。zyxel.com
- Zyxel，《Zyxel security advisory for out-of-bounds write vulnerability in GS1900 series switches》，2026 年 11 月 3 日。zyxel.com
- Binarly，《BRLY-2026-057: Out-of-bounds write vulnerability in Zyxel GS1900 switches allows unauthenticated remote code execution》，2026 年 11 月 3 日。binarly.io
- GreyNoise，《Open Season on Kapibala: Attacker Steals Over 18,000 Government Records Through WordPress Exploitation》，2026 年 9 月 21 日。greynoise.io
- NVD，《CVE-2026-107441》（含 Zyxel 提供的 CVSS 評分），2026 年 11 月 10 日查閱。nvd.nist.gov
本文最後更新：2026 年 11 月 10 日