如果你有架設 NAS、Jellyfin、Emby、Immich，或者常用 OBS Studio、mpv、Kodi 等影音工具，請務必花幾分鐘檢查你的 FFmpeg 版本！

資安團隊 JFrog 於 2026 年 6 月揭露了一個隱藏在 FFmpeg 內部的嚴重漏洞，被命名為 PixelSmash (CVE-2026-8461)，CVSS 風險評分高達 8.8（高危害度）。

這個漏洞存在於 FFmpeg 的 libavcodec 核心庫中，具體位於 MagicYUV 解碼器 的處理機制。

由於系統在計算色彩平面高度時出現邏輯不一致，會導致 堆積緩衝區溢位（Heap Out-of-Bounds Write）。攻擊者只需要製作一個惡意的影片檔案（如特殊的 AVI、MKV 或 MOV），就能觸發此漏洞。

一般漏洞可能需要你下載並點開影片播放才會中招，但 PixelSmash 最危險的地方在於背景自動處理：

媒體伺服器自動掃描：當你上傳惡意影片到自建雲或影音伺服器時，系統後台會自動呼叫 FFmpeg 進行生成縮圖（Thumbnail）或預轉碼，此時直接觸發漏洞。
桌面系統預覽：Linux 或 Windows 的檔案管理員在背景自動抓取影片第一格畫面作為圖示時，也會直接中槍。

後果： 輕則導致伺服器崩潰服務中斷（DoS），重則可能讓攻擊者在你的主機上遠端執行任意程式碼（RCE），進一步控制你的 NAS 或電腦！

如何檢查本機版本：
開啟終端機（Terminal）或 CMD，輸入以下指令：

ffmpeg -version

如果版本號低於 8.1.2，且編譯參數中包含解碼器支援，即屬於潛在受影響範圍。

立即升級 FFmpeg：官方已釋出修復版。不論是 Windows (gyan.dev)、Linux 套件庫還是 Mac (Homebrew)，請盡速更新至 FFmpeg 8.1.2 或更新版本。
更新相關 Docker 容器與 Docker Compose 服務：如果你有用 Docker 跑影音相關的服務，請留意近期各開源專案（如 Jellyfin、Immich 等）釋出的安全性更新（Bump FFmpeg version），並盡快執行 docker compose pull 更新映像檔。
提高警覺：在確認服務更新前，請避免從未知來源下載影片，或暫時關閉影音伺服器對外網的匿名上傳權限。

漏洞剛被大量公開，往往是攻擊最頻繁的時候，大家快動手檢查自己的主機吧！轉發給身邊有在玩 self-hosted 或影音剪輯的朋友！

#資安通報 #FFmpeg #PixelSmash #CVE20268461 #NAS #SelfHosted #資訊安全