新聞

10月8日美國、英國、澳洲、加拿大、日本、紐西蘭，以及西班牙的資安與執法機構發布聯合資安公告，與中國政府有關的資安公司永信至誠科技（Integrity Technology Group），參與駭客團體Flax Typhoon（Ethereal Panda、Red Juliett）活動，並提供作案工具，攻擊範圍涵蓋東南亞、非洲，以及北美，鎖定政府服務與設施、重要製造業、醫療照護與公共衛生，以及資訊科技等領域。特別的是，該公告提及，永信至誠在攻擊過程當中，可能會使用8個已知的資安漏洞，而引起外界關注，同一天美國網路安全與基礎設施安全局（CISA）將其中5個列入已遭利用的漏洞名單（KEV），並要求聯邦機構緊急進行修補。

5個最新加入的資安漏洞，根據CVSS嚴重程度評分高低，依序是分數達到滿分10分的FTP伺服器軟體ProFTPD存取控制不當漏洞CVE-2015-3306、9.8分的辦公室套件OnlyOffice文件伺服器路徑遍歷漏洞CVE-2021-3199、8.1分的網頁應用程式框架Apache Struts命令注入漏洞CVE-2016-3081，以及評為7.5和7.2分的CVE-2015-5477與CVE-2023-22894，這兩個弱點分別為DNS軟體BIND資料處理錯誤漏洞，以及無頭內容管理系統與API開發框架Strapi敏感資訊明文儲存的漏洞。根據CISA開出的期限，聯邦機構必須在10月11日完成修補。

另外3個遭到永信至誠與Flax Typhoon利用的資安漏洞，分別是GNU Bash作業系統命令注入漏洞CVE-2014-6278（Shellshock或Bashdoor）、Ivanti Connect Secure任意檔案讀取漏洞CVE-2019-11510，以及GitLab遠端程式碼執行漏洞CVE-2021-22205。其中，CISA於2021年11月將CVE-2019-11510與CVE-2021-22205加入KEV、2025年10月新增CVE-2014-6278。從CVSS評分來看，CVE-2014-6278與CVE-2019-11510也是嚴重程度達到10分的重大漏洞，相當危險。