发生了什么
美国网络安全机构 CISA 在其 已知被利用漏洞(KEV) 目录中新增了五个 老旧 漏洞,有的已超过十年。据 Security Affairs 报道,此举与 包括日本在内的七国(澳大利亚、加拿大、新西兰、西班牙、英国、美国)发布的 联合通报 同时进行,通报针对与总部位于中国的网络安全公司 Integrity Technology Group 相关的行为者。
五个漏洞
| CVE | 产品 | 类型 | CVSS |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD | 访问控制(SITE CPFR/CPTO 命令)可读写文件 | 10.0 |
| CVE-2021-3199 | ONLYOFFICE Docs | 启用 JWT 时的路径遍历,可能执行代码 | 9.8 |
| CVE-2016-3081 | Apache Struts | 启用动态方法调用时经 method: 的命令注入 | 8.1 |
| CVE-2015-5477 | ISC BIND | TKEY 查询导致拒绝服务 | 7.5 |
| CVE-2023-22894 | Strapi | 通过管理面板查询过滤器泄露敏感信息 | 7.2 |
据 Security Affairs,相关活动共利用了包括上述五个在内的 八个漏洞 进行初始入侵和窃取信息,还使用了扫描工具、XSS、针对 Microsoft Exchange 的密码喷洒、用于维持访问的 VPN 以及提取邮件和凭证的脚本。
工具被查扣
美国司法部和 FBI 查扣了两款 据称属于该公司的工具:用于扫描脆弱系统的 Microscan,以及通过鱼叉式钓鱼投放恶意软件、窃取文件的 FishHub。据报道它们被用于攻击多国关键基础设施等目标。
美国联邦机构的修复期限为 2026 年 10 月 11 日。
为何 2015 年的漏洞仍重要
因为 被遗忘的服务器仍在运行:老旧 FTP、从未更新的内部 DNS、遗留的 Struts 应用。自动化扫描能大规模找到这些系统。日本参与通报,说明日本企业同样在攻击范围内。
中小企业清单
- 盘点暴露资产: 包括旧的"临时"服务器在内,列出所有可从互联网访问的系统。
- 排查上述五个产品版本,升级或关停。
- Exchange: 启用 MFA,禁用旧式认证,监控密码喷洒。
- 鱼叉式钓鱼培训。
- 关注 CISA KEV 目录,即使在美国以外也可作为补丁优先级清单。
来源
- Security Affairs(2026 年 10 月 11 日):https://securityaffairs.com/200734/security/u-s-cisa-adds-proftpd-onlyoffice-docs-strapi-apache-struts-and-isc-bind-flaws-to-its-known-exploited-vulnerabilities-catalog.html
- CISA KEV 目录:https://www.cisa.gov/known-exploited-vulnerabilities-catalog
想梳理并缩小企业的攻击面吗?KGA IT 提供免费咨询:kga-it.com