「2020年と2021年に悪用された脆弱性トップ30」をFBIなどアメリカ・イギリス・オーストラリアのサイバーセキュリティ当局が発表

連邦捜査局(FBI)などアメリカ・イギリス・オーストラリアのサイバーセキュリティ当局が2021年7月28日に、2020年と2021年に最も悪用された脆弱性(ぜいじゃくせい)を公開し、これらの脆弱性に対するパッチの適用や特に重点的な警戒について呼びかけました。

Top Routinely Exploited Vulnerabilities | CISA
https://us-cert.cisa.gov/ncas/alerts/aa21-209a

US, UK, Australia issue joint advisory on today's top exploited vulnerabilities - The Record by Recorded Future
https://therecord.media/us-uk-australia-issue-joint-advisory-on-todays-top-exploited-vulnerabilities/

アメリカのFBIおよび国土安全保障省のサイバーセキュリティ・インフラストラクチャ・セキュリティ庁(CISA)、イギリスの国家サイバーセキュリティー・センター(NCSC)、オーストラリア・サイバーセキュリティ・センター(ACSC)は7月28日に、「日常的に悪用される脆弱性の上位30」をまとめて、関係各機関に対して警戒を求める共同勧告である「Alert (AA21-209A)」として発表しました。

◆2020年
FBIが公開した脆弱性のリストのうち、2020年に最も悪用されたものが以下の14です。

これらのうち、特に悪用されたのがCVE-2019-19781です。レポートは「国家機関もしくは犯罪者などのサイバーアクターがこの脆弱性を好む理由は、悪用が容易で、Citrixのサーバーが広く普及していること、そして悪用によりターゲットのシステムに不正なリモートコード実行を実行できることなどが考えられます」と分析しました。

◆2021年
2021年のものは、ベンダーごとにまとめられています。

2021年に悪用された脆弱性の中で、特に大規模な被害をもたらしたのが、MicrosoftのExchange Serverで見つかった一連の脆弱性である「ProxyLogon」です。これらの脆弱性は、アメリカの大企業や官公庁などで広く使われていたシステムで見つかったことから、ProxyLogonの問題はアメリカ政府が緊急指令を発令する事態にまで発展しました。

中国によるサイバー攻撃で政府が緊急指令を発令、すでに3万以上の組織がハッキングされているとの指摘も - GIGAZINE

CISAのサイバーセキュリティ担当エグゼクティブ・アシスタント・ディレクターであるエリック・ゴールドスタイン氏は、「今回の共同勧告は、CISAの重要な活動の1つで、ACSC・NCSC・FBIと協力して公的機関や民間企業が優先的にパッチを適用するべき脆弱性を明らかにし、悪意あるサイバーアクターにつけこまれるリスクを最小限に抑えることを目的にしたものです」とコメントしました。