Ano ang nangyari
Nagdagdag ang CISA, ahensya ng cybersecurity ng US, ng limang lumang kahinaan, ang ilan ay mahigit isang dekada na, sa Known Exploited Vulnerabilities (KEV) catalog nito. Ayon sa Security Affairs, kasabay ito ng pinagsamang abiso ng pitong bansa, kabilang ang Japan (kasama ang Australia, Canada, New Zealand, Spain, UK at US), tungkol sa mga operasyong iniuugnay sa mga aktor na konektado sa Integrity Technology Group, isang cybersecurity company na nakabase sa China.
Ang limang kahinaan
| CVE | Produkto | Uri | CVSS |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD | access control (SITE CPFR/CPTO) na nagpapabasa/nagpapabago ng file | 10.0 |
| CVE-2021-3199 | ONLYOFFICE Docs | path traversal kapag naka-on ang JWT, posibleng code execution | 9.8 |
| CVE-2016-3081 | Apache Struts | command injection sa method: kapag may Dynamic Method Invocation | 8.1 |
| CVE-2015-5477 | ISC BIND | TKEY query na nagdudulot ng denial of service | 7.5 |
| CVE-2023-22894 | Strapi | paglalantad ng sensitibong data sa admin panel filters | 7.2 |
Ayon sa Security Affairs, walong kahinaan ang ginamit sa kabuuan para makapasok at magnakaw ng impormasyon, kasama ang scanning tools, XSS, password spraying laban sa Microsoft Exchange, VPN para manatili at scripts para kumuha ng email at credentials.
Mga kinumpiskang tool
Kinumpiska ng Justice Department at FBI ang dalawang tool na iniuugnay sa kumpanya: ang Microscan para mag-scan ng bulnerableng sistema, at ang FishHub na gumagamit ng spear-phishing para magpadala ng malware at magnakaw ng file.
May hanggang Oktubre 11, 2026 ang mga federal agency ng US para ayusin ang mga ito.
Bakit mahalaga pa ang mga kahinaan noong 2015
Dahil nananatiling online ang mga nakalimutang server: lumang FTP, internal DNS na hindi na-update, lumang Struts app. Ipinapakita ng paglahok ng Japan na kasama rin ang mga kumpanyang Japanese.
Checklist para sa SME
- Imbentaryo ng nakalantad na asset, kasama ang lumang "pansamantalang" server.
- Hanapin ang limang bersyon at i-update o patayin.
- Exchange: MFA, harangin ang legacy auth, bantayan ang password spraying.
- Training laban sa spear-phishing.
- Sundan ang KEV catalog bilang listahan ng prayoridad sa patch.
Mga pinagmulan
- Security Affairs (Okt 11, 2026): https://securityaffairs.com/200734/security/u-s-cisa-adds-proftpd-onlyoffice-docs-strapi-apache-struts-and-isc-bind-flaws-to-its-known-exploited-vulnerabilities-catalog.html
- CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
Gusto mo bang imapa at paliitin ang attack surface ng iyong kumpanya? Nag-aalok ang KGA IT ng libreng konsultasyon: kga-it.com.