Apa yang berlaku
CISA, agensi keselamatan siber AS, menambah lima kelemahan lama, sesetengahnya lebih sedekad, ke dalam katalog Kelemahan Dieksploitasi Diketahui (KEV). Menurut Security Affairs, ia serentak dengan nasihat bersama tujuh negara, termasuk Jepun (bersama Australia, Kanada, New Zealand, Sepanyol, UK dan AS) tentang operasi yang dikaitkan dengan pelaku berkaitan Integrity Technology Group, syarikat keselamatan siber berpangkalan di China.
Lima kelemahan
| CVE | Produk | Jenis | CVSS |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD | kawalan akses (SITE CPFR/CPTO) membolehkan baca/ubah fail | 10.0 |
| CVE-2021-3199 | ONLYOFFICE Docs | path traversal dengan JWT aktif, kemungkinan pelaksanaan kod | 9.8 |
| CVE-2016-3081 | Apache Struts | suntikan arahan melalui method: dengan Dynamic Method Invocation | 8.1 |
| CVE-2015-5477 | ISC BIND | pertanyaan TKEY menyebabkan penafian perkhidmatan | 7.5 |
| CVE-2023-22894 | Strapi | pendedahan data sensitif melalui penapis panel admin | 7.2 |
Menurut Security Affairs, aktiviti itu melibatkan lapan kelemahan keseluruhannya untuk akses awal dan mencuri maklumat, serta alat imbasan, XSS, password spraying terhadap Microsoft Exchange, VPN untuk mengekalkan akses dan skrip mengekstrak e-mel serta kelayakan.
Alat dirampas
Jabatan Kehakiman dan FBI merampas dua alat yang dikaitkan dengan syarikat itu: Microscan untuk mengimbas sistem terdedah, dan FishHub yang menggunakan spear-phishing untuk menghantar perisian hasad dan mencuri fail.
Agensi persekutuan AS perlu membaiki kelemahan ini menjelang 11 Oktober 2026.
Mengapa kelemahan 2015 masih penting
Kerana pelayan yang dilupakan masih dalam talian: FTP lama, DNS dalaman tidak dikemas kini, aplikasi Struts warisan. Penyertaan Jepun menunjukkan syarikat Jepun turut menjadi sasaran.
Senarai semak PKS
- Inventori aset terdedah, termasuk pelayan "sementara" lama.
- Cari lima versi di atas dan kemas kini atau matikan.
- Exchange: MFA, sekat pengesahan warisan, pantau password spraying.
- Latihan anti spear-phishing.
- Ikuti katalog KEV sebagai senarai keutamaan tampalan.
Sumber
- Security Affairs (11 Okt 2026): https://securityaffairs.com/200734/security/u-s-cisa-adds-proftpd-onlyoffice-docs-strapi-apache-struts-and-isc-bind-flaws-to-its-known-exploited-vulnerabilities-catalog.html
- Katalog KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
Mahu memetakan dan mengecilkan permukaan serangan syarikat anda? KGA IT menawarkan konsultasi percuma: kga-it.com.