CISA新增五大老旧漏洞，三天补丁期限倒逼资产盘点

CISA一次性收录五个老旧漏洞，补丁清单变成了资产盘点任务

CISA的已知被利用漏洞（KEV）目录本质上是一台"截止日期引擎"：每个条目写明漏洞、受影响产品、收录日期，以及美国联邦机构必须完成缓解或停用产品的最后期限。10月8日，这台引擎一次性加进了五个漏洞，每个都带三天窗口，截止日期统一压在10月11日——而它们的修复补丁，绝大多数已经存在了好几年。

据安全研究机构Suriq的分析，这一批的全部意义可以用一句话概括："真正的新闻不是又出了一个零日。"五个漏洞中有四个的披露时间集中在2015到2021年之间，CISA却依然给它们配了三天反应时间。这种姿态，只有在一个机构正面对当下正在发生的实际利用时才会出现。

更说个细节，同一天FBI、CISA和NSA联合发布了安全公告AA26-281A，指向一家中国公司为大规模扫描活动提供支撑；美国司法部也宣布查封了七个域名，其中运行着一款Python扫描器和一套恶意软件投递系统。目录更新从来都是单独出现的，这五个漏洞却带着一份更大的文件一起到来——那份文件解释了为什么老漏洞会重新被推上截止日期。

CISA KEV目录是美国网络安全和基础设施安全局（Cybersecurity and Infrastructure Security Agency）维护的"已知被利用漏洞"目录。它区别于普通漏洞数据库的地方在于收录门槛：只有确认在野被主动利用的漏洞才会进入，而且每个条目都附带明确的处置截止日期。按照具有约束力的操作指令（BOD 22-01），美国联邦民事行政部门必须在截止日前完成缓解或停用受影响产品。由于联邦机构必须遵守、且私营部门普遍参考该目录排定优先级，KEV实际上成了全球漏洞修复节奏的指挥棒。把老旧漏洞重新收录并给三天的紧迫窗口，通常意味着情报层面已确认活跃利用正在发生，而非单纯的预防性建议。

五个漏洞指向一套典型的中型服务器资产

把这五个漏洞放在一起看，它们勾勒出的是一套典型的中型服务器资产形态：DNS解析器、文件传输服务器、Java应用服务器、文档协作服务和CMS系统。Suriq用一句话列举为"一个DNS守护进程、一个FTP服务器、一个Web框架、一个文档服务器和一个无头内容系统"。

按KEV报告记录的严重程度排序：ProFTPD的文件读写漏洞达到10.0，ONLYOFFICE Docs的路径穿越为9.8，Apache Struts的命令注入为8.1，BIND的拒绝服务为7.5，Strapi的明文暴露为7.2。其中两个在多数部署中天然面向互联网，而DNS解析器往往是最不被人写进资产清单的那一个。

具体到每个漏洞的利用方式：ProFTPD的访问控制缺陷允许远程攻击者通过site cpfr和site cpto两条命令读写任意文件（CWE-284），而修复补丁从2015年就已存在。Apache Struts的命令注入依赖Dynamic Method Invocation的配置开关——这个漏洞的实际影响范围，取决于多年前某个人做的一个配置决定。Strapi的漏洞需要管理员面板访问权限才能过滤私有字段，CISA同时指出受影响的版本可能已经停止维护，对这些实例来说"打补丁"这条路本身已经不存在。ONLYOFFICE的路径穿越可以抵达代码执行，BIND的拒绝服务则会让解析器进程反复崩溃重启。

联合公告揭示了老漏洞回归的原因

联合公告AA26-281A将攻击者描述为"由中国政府关联的网络威胁行为者，依托Integrity Technology Group提供的能力"，他们"正在结合自动化扫描工具、大规模僵尸网络和人工渗透技术，针对全球组织（包括美国关键基础设施行业）窃取敏感数据"。

扫描是这段话里的第一个动词，而扫描正是把一台无人维护的服务变成一起安全事件的那一步。公告列出的技术细节值得读两遍：针对Microsoft Exchange服务器的跨站脚本攻击和密码喷洒、通过VPN软件建立持久化、以及通过脚本窃取邮件和凭证。它给出的缓解建议朴素到近乎平淡——优先禁用未使用的服务和端口、对Web应用输入进行清洗、为所有服务启用多因素认证、及时打补丁。

Suriq的报道把两份文件串在一起，并补充了执法层面的动作：司法部当天宣布查封七个域名，运行着"一款名为MicroScan的Python扫描器和一套名为FishHub的恶意软件投递系统"。据报道，该扫描器"搭载超过1300个渗透测试脚本，包含对2014年Shellshock漏洞这类老问题的检测"。一台装了1300多发"弹药"的扫描器，面对的是几年前就该升级、却一直没动的服务——这就是老漏洞重新出现在截止日期清单上的完整因果链。

**Shellshock（CVE-2014-6271）**是2014年披露的Bash shell远程代码执行漏洞，影响Linux与Unix系统。攻击者可以通过构造特殊的环境变量，让Bash在解析函数定义时执行任意命令。它的特殊之处在于影响面极广：CGI脚本、DHCP客户端、部分SSH配置乃至嵌入式设备都可能成为入口，且利用门槛极低。由于Bash几乎无处不在，Shellshock被称为与Heartbleed同量级的事件。对攻击者而言，它的价值在于——即使目标系统已打上后续更新，任何仍运行着2014年前后版本Bash的遗留资产都可能被同一个payload命中，因此它长期存在于自动化扫描器的"弹药库"里，是衡量老漏洞威胁的经典样本。

补丁清单假设的东西，只有资产盘点能回答

补丁清单有一个隐含假设：你知道软件跑在哪里。十月的这批漏洞恰恰不提供这个保证，而漏洞的年龄正是原因所在——一台2016年随发行版装上的BIND解析器，躺在某份配置管理记录里，那份记录从服务正常运转那天起就再没更新过。

实际操作顺序由此确定。第一步，枚举所有对外地址上应答的服务，再拿结果去比对这五个产品，包括藏在设备固件里的版本。第二步，为每个命中项找到修复版本：BIND 9.9.7-P2或9.10.2-P3及更高、ProFTPD 1.3.5a或直接禁用mod_copy、Apache Struts 2.3.20.3/2.3.24.3/2.3.28.1、ONLYOFFICE 5.6.3及更高、Strapi 4.8.0及更高，同时记住受影响的Strapi版本可能已停止维护，应当归入退役清单而不是补丁队列。

窗口内升不了级的，就从公网撤下来或加上认证。而且这批条目要求的不止是一次版本核对：五个漏洞中有四个带着取证排查标记，意思是关单之前要先找使用痕迹——异常文件、新建账户、Web Shell和外连行为。

**取证排查标记（forensic triage flag）**是KEV目录中一个容易被忽视的字段。它表示该漏洞极可能已被实际利用，因此在关单之前除了修补版本，还必须在受影响主机上搜索入侵痕迹。典型排查对象包括异常新建文件、计划任务或启动项、未授权账户、Web Shell以及对外连接行为。KEV收录条目里带此类标记的，往往对应更高置信度的在野利用情报。因为攻击者一旦通过老漏洞进入，通常会在系统里留下持久化后门，仅升级软件并不等于清除入侵——这正是联邦机构被要求"先找痕迹、再关单"的原因。

10月11日前的三次检查

工作可以拆成三次检查，塞进这个窗口。

第一次是暴露面排查：确认这五个服务里哪些接受来自外网的连接，数一数实际接互联网的DNS解析器和文件传输主机，而不是对着架构图数。

第二次是清理：如果某个服务只为一个已经没人用的流程存在，直接退役它，问题和维护义务一次性清零——FTP服务器是最容易下手的候选。如果服务是承重墙，就按上面的升级路径走，顺序以服务能持续应答为准。

第三次是日志排查，且因产品而异：ProFTPD会在自己的日志里留下site cpfr和site cpto命令；Struts会在.action请求上显示方法前缀；ONLYOFFICE会记录带穿越序列的上传参数；Strapi会显示异常的查询过滤器。BIND的拒绝服务几乎不留痕迹，所以应当告警的信号是named进程死亡并重启。如果凭证或令牌经过暴露实例，调查之后要跟着做轮换，Strapi的指引还要求升级后重置管理员凭证和密码重置令牌。

比这批CVE活得更久的东西

十月的这批会关掉，下一批会以同样的形状到来，因为背后的机制不随CVE编号改变。工业化的扫描器找到无人维护的软件，而无人维护的软件恰好堆积在组织不再关注的地方：解析器、传输主机、项目上线后再没人重新部署过的应用服务器。

两个习惯可以缩短下一轮的周期。一是维护一份当前对公网地址应答的服务清单，每项服务有负责人和复核日期——因为最耗时间的发现，永远是漏在清单外的那台服务。二是把停止维护的软件当作计划内的退役，而不是补丁积压项，因为一个没有受支持版本的构建，根本无法在一个窗口内被修好。

这五个来自10月8日的漏洞本身很普通。真正让它们值得行动的是CISA一起发布的证据：一台装载超过1300个利用脚本的扫描器、一批针对2015年老漏洞的三天期限，以及一份点名了具体服务、让你去核对的公开清单。资产盘点补上的正是这道缺口，而且它比围绕一份你无法信任的版本清单来规划的补丁周期要快得多。