美国网络安全和基础设施安全局（CISA）近日将 5 个正被与“Flax Typhoon”关联的攻击活动主动利用的漏洞，加入其“已知被利用漏洞”（Known Exploited Vulnerabilities，KEV）目录，并要求美国联邦机构在 10 月 11 日前完成修补或下线受影响产品。
涉及哪些组件
本次被列入 KEV 的漏洞波及五款常见软件：
- ProFTPD：其中相关漏洞 CVE-2015-3306 的 CVSS 评分高达 10.0（满分）；
- Apache Struts：广泛用于企业 Java Web 应用；
- BIND：主流 DNS 服务器软件；
- ONLYOFFICE：办公套件；
- Strapi：开源内容管理框架。
处置要求
CISA 的 KEV 目录援引约束性操作指令 BOD 26-04，对其中四个漏洞要求进行强制取证排查。联邦文职机构须在截止日期前修补或停用相关产品。安全社区普遍提醒：即便非联邦机构，只要对外暴露了上述组件，同样应优先处置。
攻击者是谁
“Flax Typhoon”被广泛认为是一支与中国相关的国家级 APT 组织，长期关注关键基础设施与边缘设备。本次事件中，攻击者被观测到主动利用上述漏洞，属于典型的“打已知、抢时间差”手法。
影响与建议
KEV 名单是当前优先级最高的修复信号。运维团队应尽快核查资产中是否运行了 ProFTPD、Apache Struts、BIND、ONLYOFFICE 或 Strapi，并升级到已修复版本；对直接暴露在公网上的实例，应视为高风险，优先排查并考虑临时下线。
参考来源：The Hacker News、CISA KEV 目录、多家安全媒体交叉报道。