CISA julkaisi listan vuoden 2023 hyödynnetyimmistä haavoittuvuuksista

Yhdysvaltain kyberturvallisuus- ja infrastruktuurivirasto (CISA) julkaisi yhdessä FBI:n, NSA:n ja kansainvälisten kumppaneiden kanssa tiedotteen, jossa listataan 15 haavoittuvuutta, joita pahantahtoiset toimijat hyödynsivät eniten vuonna 2023. Tiedotteen mukaan suurin osa näistä haavoittuvuuksista oli niin kutsuttuja "zero-day" -haavoittuvuuksia, eli niitä hyödynnettiin ennen kuin niille oli saatavilla korjaus.

Listan julkaiseminen korostaa nopean päivitysten hallinnan merkitystä organisaatioiden kyberturvallisuudessa. CISA ja sen kumppanit kehottavat organisaatioita priorisoimaan näiden listattujen haavoittuvuuksien korjaamisen uhkien minimoimiseksi. Kattava lista tunnetuista hyväksikäytetyistä haavoittuvuuksista löytyy CISA:n "Known Exploited Vulnerabilities Catalog" -luettelosta.

Joitakin listan merkittäviä haavoittuvuuksia ovat muun muassa Citrix NetScaler ADC/Gatewayhin vaikuttavat koodin injektointi ja puskurin ylivuoto -haavoittuvuudet, Cisco IOS Xen vaikutusalueella olevat etuoikeuksien eskaloitumiset sekä Progress MOVEit Transferin SQL-injektiohaavoittuvuus. Myös Apache Log4j2:n (Log4Shell) ja Microsoftin Netlogonin etuoikeuksien eskaloitumisen kaltaiset vanhemmat, mutta edelleen merkittävät haavoittuvuudet mainitaan.

Kyberturvallisuusyritys Picus Security, joka analysoi ja raportoi kuukausittain uusimmista kyberuhkista, korostaa tiedotteen julkaisun tärkeyttä. Yritys tarjoaa myös alustaa, joka auttaa organisaatioita tunnistamaan itseään koskevia uhkia, vertailemaan turvallisuusasemaansa muihin ja toteuttamaan korjaavia toimenpiteitä.