Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) přidala tři aktivně zneužívané zranitelnosti do svého katalogu známých zneužívaných zranitelností (KEV): chyby ovlivňující nástroje Langflow, Apache Tomcat a N-central. Katalog KEV slouží výhradně k označení bezpečnostních děr, které útočníci již zneužívají v reálném prostředí, a tato nejnovější várka není výjimkou. Zajímavost celé situace podtrhují výzkumníci z Palo Alto Networks' Unit 42, kteří jednu z těchto zneužívacích kampaní spojili s hackerským agentem údajně poháněným modelem DeepSeek – čínským AI modelem, jenž je pod drobnohledem kvůli rychlému rozšíření pro legitimní i škodlivé účely.

Pro běžné uživatele internetu mohou přírůstky do KEV působit jako záležitost odborníků. Ale nejsou. Tyto položky se přímo dotýkají softwaru, který běží na pozadí webových stránek, nástrojů pro vzdálenou správu a AI platforem, na něž spoléhají firmy a poskytovatelé služeb při ochraně vašich dat. Když útočníci zneužijí tyto systémy dříve, než jsou nainstalovány záplaty, dopady často dolehnou na lidi, jejichž informace měly tyto systémy chránit.

Tři nové položky v katalogu KEV agentury CISA

Každá ze tří chyb, které nyní CISA označila, se nachází v jiném koutě softwarového ekosystému, což je součástí toho, proč je tato aktualizace pozoruhodná. Langflow je open-source platforma sloužící k vytváření pracovních postupů AI agentů – kategorie softwaru, která explodovala na popularitě, protože firmy závodí v nasazování interních AI nástrojů. Apache Tomcat je široce používaný webový server a servletový kontejner, který tvoří základ bezpočtu Java aplikací napříč podniky a státními institucemi. N-central je platforma pro vzdálené monitorování a správu (RMM), kterou využívají poskytovatelé IT služeb ke vzdálené správě klientských sítí – to znamená, že jediná kompromitovaná instance může potenciálně vystavit mnoho navazujících organizací najednou.

Na základě federální směrnice musí agentury spadající pod závaznou provozní směrnici CISA záplatovat zranitelnosti uvedené v KEV ve stanoveném termínu, což odráží vážnost, s jakou vláda přistupuje k potvrzenému aktivnímu zneužívání. Soukromé organizace nejsou vázány stejným mandátem, ale bezpečnostní týmy obecně považují položky v KEV za silný signál k okamžitému upřednostnění záplatování namísto čekání na běžný aktualizační cyklus.

Není to poprvé, co CISA rychle označila chybu, kterou již zneužívají skuteční útočníci. Dřívější odhalení chyby umožňující root přístup v Linuxu z letošního roku následovalo podobný vzorec: zranitelnost byla objevena, zneužita a přidána do KEV během krátké doby, což podtrhuje, jak se zkrátila doba mezi zveřejněním a zneužitím napříč softwarovým dodavatelským řetězcem.

Na scénu vstupuje hackerský agent poháněný DeepSeekem

Toto kolo zveřejnění odlišuje zjištění Unit 42, že jedna ze zneužívacích kampaní je zjevně řízena AI hackerským agentem postaveným na DeepSeeku. Nástroje pro útoky s asistencí AI nejsou koncepčně novinkou, ale zdokumentovaný případ spojující konkrétní zneužívací kampaň z katalogu KEV s konkrétním AI modelem je významným datovým bodem. Naznačuje to, že automatizace, kterou útočníci používají k vyhledávání, vyzbrojování a nasazování exploitů proti zranitelným systémům, jako jsou instance Langflow, rychle dospívá.

Praktickým důsledkem je rychlost. Nástroje s podporou AI mohou útočníkům pomoci identifikovat zranitelné, internetově dostupné instance softwaru jako Langflow nebo Tomcat rychleji, než by to kdy dokázal ruční průzkum, čímž se ještě více zužuje už tak úzké okno, které obránci mají k záplatování před začátkem zneužití.

Proč aktivně zneužívané chyby ovlivňují soukromí

Přímé spojení mezi zranitelnostmi infrastruktury a osobním soukromím lze snadno přehlédnout, ale je skutečné. Tomcat servery a RMM platformy jako N-central často leží v srdci systémů, které ukládají nebo přenášejí zákaznická data – od přihlašovacích údajů po finanční záznamy. Instance Langflow se stále častěji používají k budování AI aplikací zpracovávajících citlivé uživatelské vstupy, od dotazů zákaznického servisu po interní firemní data. Úspěšné zneužití typu vzdáleného spuštění kódu nebo neoprávněného přístupu na kterémkoli z těchto systémů může útočníkům poskytnout oporu k laterálnímu pohybu, exfiltraci dat nebo nasazení ransomwaru, což promění technickou zranitelnost v incident ohrožující soukromí, který zasáhne mnohem více lidí než původní cílovou organizaci.

Co to znamená pro vás

Většina čtenářů nebude osobně záplatovat Tomcat server nebo N-central nasazení, ale dominové efekty těchto zranitelností vás přesto mohou zasáhnout. Pokud využíváte služby postavené na postižených platformách – ať už jde o firemní zákaznický portál, podpůrný nástroj s umělou inteligencí nebo IT poskytovatele spravujícího síť vaší organizace – průlom na vyšší úrovni může odhalit vaše data na nižší úrovni. Stojí za to věnovat pozornost oznámením o narušení bezpečnosti od služeb, které používáte, a v týdnech následujících po takových zprávách zacházet s jakýmikoli neočekávanými žádostmi o resetování hesla nebo upozorněními na aktivitu na účtu s mimořádnou opatrností.

Praktické závěry

Pokud spravujete IT infrastrukturu, okamžitě upřednostněte záplatování všech instancí Langflow, Tomcat nebo N-central a přímo zkontrolujte katalog KEV agentury CISA, kde najdete konkrétní položky a termíny nápravy. Pokud jste běžný uživatel, sledujte oznámení o narušení od firem, na které se spoléháte, povolte vícefaktorové ověřování všude, kde je k dispozici, a berte to jako připomínku, že software tiše běžící na pozadí vašich oblíbených služeb má přímou linku k vašim osobním údajům. Zůstat informován o aktualizacích KEV, jako je tato, je malý zvyk, který se vyplatí, až se příště aktivně zneužívaná chyba objeví v titulcích.