与 NSA 和 FBI 合作，全球网络安全机构今天发布了 2021 年威胁行为者经常利用的前 15 个漏洞的列表。

网络安全当局在联合咨询中敦促组织及时修补这些安全漏洞并实施补丁管理系统以减少其攻击面。

在全球范围内，已经观察到恶意行为者使用针对新披露的漏洞的攻击将攻击重点放在面向互联网的系统上，包括电子邮件和虚拟专用网络 (VPN) 服务器。

“美国、澳大利亚、加拿大、新西兰和英国的网络安全当局评估，在 2021 年，恶意网络行为者针对包括全球公共和私营部门组织在内的广泛目标集积极针对新披露的关键软件漏洞，”该咨询报告 中写道。

这可能是由于恶意行为者和安全研究人员在 2021 年大多数被利用最多的漏洞最初披露后的两周内发布了概念证明 (POC) 漏洞利用。

然而，攻击者将他们的一些攻击集中在几年前修补的旧漏洞上，这表明即使有补丁可用，一些组织也无法更新他们的系统。

下面列出了最常被利用的 15 个安全漏洞，其中包含指向国家漏洞数据库条目和相关恶意软件的链接。

CVE 漏洞 供应商和产品 类型
CVE-2021-44228 Log4Shell Apache Log4j 远程代码执行 (RCE)
CVE-2021-40539 Zoho ManageEngine AD SelfService Plus RCE
CVE-2021-34523 代理壳 微软交换服务器 特权提升
CVE-2021-34473 代理壳 微软交换服务器 RCE
CVE-2021-31207 代理壳 微软交换服务器 安全功能绕过
CVE-2021-27065 代理登录 微软交换服务器 RCE
CVE-2021-26858 代理登录 微软交换服务器 RCE
CVE-2021-26857 代理登录 微软交换服务器 RCE
CVE-2021-26855 代理登录 微软交换服务器 RCE
CVE-2021-26084
Atlassian Confluence 服务器和数据中心 任意代码执行
CVE-2021-21972 VMware vSphere 客户端 RCE
CVE-2020-1472 零登录 Microsoft Netlogon 远程协议 (MS-NRPC) 特权提升
CVE-2020-0688 微软交换服务器 RCE
CVE-2019-11510 脉冲安全 脉冲连接安全 任意文件读取
CVE-2018-13379 Fortinet FortiOS 和 FortiProxy 路径遍历
缓解和其他利用信息
美国、澳大利亚、加拿大、新西兰和英国网络安全机构还发现并披露了 2021 年恶意网络攻击者通常利用的另外 21 个安全漏洞，包括影响 Accellion 文件传输设备 (FTA)、Windows Print Spooler 和 Pulse Secure 的安全漏洞脉冲连接安全。

联合咨询包括 缓解措施 ，这些措施应有助于降低与上述最严重的滥用缺陷相关的风险。

CISA 和 FBI 还 与澳大利亚网络安全中心 (ACSC) 和英国国家网络安全中心 (NCSC) 合作，发布了 2016 年至 2019 年间 最常被利用的 10 个安全漏洞列表以及2020 年经常被利用的漏洞列表）。

2021 年 11 月，MITRE 还分享了 2021 年 困扰硬件的最危险的编程、设计和架构安全漏洞列表，以及 前两年困扰软件的 25 个最常见和最危险的弱点。

CISA 主任 Jen Easterly说： “我们知道恶意网络攻击者会回归正常工作，这意味着他们会针对这些相同的关键软件漏洞，并将继续这样做，直到公司和组织解决这些漏洞。”

“CISA 和我们的合作伙伴正在发布此公告，以强调最常被利用的漏洞对公共和私营部门网络构成的风险。

“我们敦促所有组织评估其漏洞管理实践，并采取行动降低已知利用漏洞的风险。”