美国-公布最常被骇客开采的前十大安全漏洞

美国国土安全部网络安全及基础架构安全署（CISA）与美国调查局（FBI），在本周公布了从2016年到2019年间，最常遭到骇客开采的十大安全漏洞，它们皆属于已被修补的安全漏洞，最早可追溯到2012年，相准那些未修补的-机关或私人企业。

这些漏洞分别是CVE-2017-11882、CVE-2017-0199、CVE-2017-5638、CVE-2012-0158、CVE-2019-0604、CVE-2017-0143、CVE-2018-4878、CVE-2017-8759、CVE-2015-1641与CVE-2018-7600。

美国-指出，骇客锁定这些已修补的漏洞，主要是因为要攻陷它们，比找到一个零时差漏洞更为方便及有效率；当中最受骇客青睐的，是微软的物件连结与嵌入（Object Linking and Embedding，OLE）漏洞，OLE允许文件嵌入来自其它应用程序的内容，居次的则是Apache Struts网页框架。

分析显示，来自中国、伊朗、北朝鲜与俄罗斯的国家级骇客最爱开采OLE漏洞，涵盖CVE-2017-11882、CVE-2017-0199与CVE-2012-0158，例如中国骇客曾在去年12月不断攻击CVE-2012-0158漏洞，透露出可能有很多组织尚未修补该漏洞，才会成为骇客的首选。

至于CVE-2017-5638则与Apache Struts 2有关，CVE-2019-0604为微软SharePoint的远端程式攻击漏洞，CVE-2017-0143是微软的SMB漏洞，CVE-2018-4878为Adobe Flash Player漏洞，CVE-2017-8759是.NET框架漏洞，CVE-2015-1641藏匿在Word中，CVE-2018-7600则属Drupal漏洞。

美国-也公布了今年以来经常被开采的漏洞，发现有愈来愈多骇客锁定虚拟私有网络（VPN）的安全漏洞展开攻击，像是存在于Citrix VPN设备上的CVE-2019-19781，或是存在于 Pulse Secure VPN服务器上的CVE-2019-11510。

此外，有鉴于今年3月有愈来愈多的企业实施在家上班政策，仓促部署云端服务可能造成配置错误，而让骇客有机可趁。

CISA也列出了与上述漏洞有关的各种攻击程式，以供-机构及私人企业参考。