通达OA（Office Anywhere网络智能办公系统）是由北京通达信科科技有限公司自主研发的协同办公自动化软件，是适合各个行业用户的综合管理办公平台。近日，贵阳市网络与信息安全通报中心在工作中发现通达OA存在SQL注入漏洞，攻击者可通过SQL盲注（延时注入）获取数据库中的敏感信息。

为确保重要网络系统和数据安全，防止发生重大网络安全事件，请使用通达OA的单位、用户高度重视，迅速开展整改修复工作：

一、升级版本

目前漏洞已修复，受影响用户可升级到以下版本：

通达OA >= v11.10

下载链接：

https://www.tongda2000.com/index.php

二、通用建议

（一）定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

（二）加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

（三）使用企业级安全产品，提升企业的网络安全性能。

（四）加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

（五）启用强密码策略并设置为定期修改。

贵阳市网络与信息安全通报中心

2023年8月15日