近期，美國網絡安全和基礎設施安全局（CISA）針對聯邦機構發出緊急安全通告，強調必須迅速應對Windows及Adobe ColdFusion中存在的安全漏洞，以有效抵御可能發生的網絡攻擊。
CISA已將這兩個高危漏洞納入其“已知被利用漏洞目錄”（KEV），并明確要求所有聯邦機構在限定的三周內完成漏洞修復工作，以確保系統的安全性。
其中，Windows內核漏洞（CVE-2024-35250）是一個由不受信任的指針取消引用引發的安全缺陷。該漏洞無需用戶交互，本地攻擊者即可利用此漏洞獲取系統最高權限。DEVCORE研究團隊在Pwn2Own 2024黑客大賽上，成功利用此漏洞攻破了裝有最新更新的Windows 11系統，凸顯了其嚴重性。
針對這一漏洞，微軟在2024年6月的補丁星期二發布了相應的修復補丁。然而，令人擔憂的是，漏洞利用的概念驗證代碼在今年10月已被公開上傳至GitHub，這意味著攻擊者可能已經或正在利用此漏洞進行惡意活動。
另一方面，Adobe ColdFusion也存在一個嚴重的安全漏洞（CVE-2024-20767）。此漏洞源于訪問控制不當，使得未經身份驗證的遠程攻擊者能夠讀取系統文件及其他敏感信息。攻擊者甚至可以利用暴露在互聯網上的ColdFusion服務器管理面板，繞過安全措施，執行任意的文件系統寫入操作。
據Fofa搜索引擎統計，目前已有超過145,000個ColdFusion服務器暴露在互聯網上，但具體哪些服務器的管理面板可被遠程訪問仍難以確定。這一現狀無疑增加了網絡攻擊的風險。
Adobe在2024年3月已經發布了針對此漏洞的修復補丁。然而，令人不安的是，多個概念驗證漏洞利用代碼隨后在網上被公開，這無疑加劇了網絡安全的嚴峻形勢。
面對這些嚴重的安全漏洞，CISA的警告無疑是對聯邦機構的一次重要提醒。迅速修復這些漏洞，加強網絡安全防護，已成為當前的首要任務。
