Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała trzy aktywnie wykorzystywane luki do swojego katalogu znanych wykorzystywanych luk (KEV): luki dotyczące Langflow, Apache Tomcat i N-central. Katalog KEV istnieje właśnie po to, by oznaczać luki w zabezpieczeniach, które atakujący już wykorzystują w praktyce, a ta najnowsza grupa nie jest wyjątkiem. Co więcej, badacze z Unit 42 w Palo Alto Networks powiązali jedną z kampanii wykorzystujących te luki z agentem hakerskim rzekomo napędzanym przez DeepSeek – chiński model AI, który znalazł się pod lupą ze względu na szybkie przyjęcie zarówno w legalnych, jak i złośliwych zastosowaniach.

Dla zwykłych użytkowników internetu wpisy do KEV mogą brzmieć jak hermetyczny żargon. Wcale tak nie jest. Te wpisy bezpośrednio wpływają na oprogramowanie działające za stronami internetowymi, narzędziami do zdalnego zarządzania i platformami AI, na których polegają firmy i dostawcy usług, aby chronić Twoje dane. Kiedy atakujący wykorzystują te systemy, zanim zostaną zastosowane łatki, konsekwencje często spadają na osoby, których informacje te systemy miały chronić.

Trzy nowe wpisy w katalogu KEV CISA

Każda z trzech luk oznaczonych teraz przez CISA znajduje się w innym zakątku ekosystemu oprogramowania, co częściowo sprawia, że ta aktualizacja jest godna uwagi. Langflow to platforma open source do budowania przepływów pracy agentów AI – kategoria oprogramowania, której popularność eksplodowała, gdy firmy ścigają się we wdrażaniu narzędzi AI wewnętrznie. Apache Tomcat to szeroko stosowany serwer WWW i kontener servletów, na którym opiera się niezliczona liczba aplikacji opartych na Javie w przedsiębiorstwach i agencjach rządowych. N-central to platforma do zdalnego monitorowania i zarządzania (RMM) używana przez dostawców usług IT do zdalnego administrowania sieciami klientów, co oznacza, że pojedyncza zhakowana instancja może potencjalnie narazić jednocześnie wiele organizacji niższego szczebla.

Zgodnie z federalną dyrektywą, agencje objęte Wiążącą Dyrektywą Operacyjną CISA są zobowiązane do załatania luk wymienionych w KEV w określonym czasie, co odzwierciedla, jak poważnie rząd traktuje potwierdzone aktywne wykorzystanie luk. Organizacje prywatne nie są związane tym samym mandatem, ale zespoły ds. bezpieczeństwa powszechnie traktują wpisy na liście KEV jako silny sygnał do natychmiastowego priorytetowego łatania, zamiast czekać na rutynowy cykl aktualizacji.

To nie pierwszy raz, gdy CISA szybko oznacza lukę, którą atakujący już wykorzystują w praktyce. Wcześniejsze ujawnienie luki dającej dostęp root w Linuksie z tego roku przebiegało podobnie: lukę odkryto, uzbrojono i dodano do KEV w krótkim czasie, podkreślając, jak bardzo skrócił się okres między ujawnieniem a wykorzystaniem w całym łańcuchu dostaw oprogramowania.

Agent hakerski napędzany przez DeepSeek wkracza na scenę

Tym, co odróżnia tę rundę ujawnień, jest odkrycie Unit 42, że jedna z kampanii wykorzystujących luki wydaje się być napędzana przez agenta hakerskiego AI zbudowanego na DeepSeek. Narzędzia ataku wspomagane przez AI nie są nową koncepcją, ale udokumentowany przypadek powiązania konkretnej kampanii wykorzystującej lukę z listy KEV z nazwanym modelem AI jest znaczącym punktem danych. Sugeruje to, że automatyzacja wykorzystywana przez atakujących do znajdowania, uzbrajania i wdrażania exploitów przeciwko podatnym systemom, takim jak instancje Langflow, szybko dojrzewa.

Praktyczną konsekwencją jest szybkość. Narzędzia wspomagane przez AI mogą pomóc atakującym identyfikować podatne na ataki, dostępne z internetu instancje oprogramowania, takie jak Langflow czy Tomcat, szybciej niż kiedykolwiek mogłoby to zrobić ręczne rozpoznanie, skracając i tak już wąskie okno, które obrońcy mają na zaatanie przed rozpoczęciem eksploatacji.

Dlaczego aktywnie wykorzystywane luki mają znaczenie dla prywatności

Bezpośredni związek między lukami w infrastrukturze a prywatnością osobistą jest łatwy do przeoczenia, ale jest realny. Serwery Tomcat i platformy RMM, takie jak N-central, często znajdują się w centrum systemów przechowujących lub przesyłających dane klientów, od danych logowania po dokumentację finansową. Instancje Langflow są natomiast coraz częściej wykorzystywane do budowy aplikacji AI przetwarzających wrażliwe dane wejściowe użytkowników, od zapytań obsługi klienta po wewnętrzne dane biznesowe. Udane zdalne wykonanie kodu lub wykorzystanie nieautoryzowanego dostępu do któregokolwiek z tych systemów może dać atakującym przyczółek do poruszania się po sieci, eksfiltracji danych lub wdrożenia ransomware, zamieniając lukę techniczną w incydent prywatności dotykający znacznie więcej osób niż pierwotna organizacja będąca celem.

Co to oznacza dla Ciebie

Większość czytelników nie będzie osobiście łatać serwera Tomcat ani wdrożenia N-central, ale efekty domina tych luk mogą nadal do Ciebie dotrzeć. Jeśli korzystasz z usług zbudowanych na dotkniętych lukami platformach, czy to portal klienta firmy, narzędzie wsparcia oparte na AI, czy dostawca IT zarządzający siecią Twojej organizacji, naruszenie na wyższym poziomie może ujawnić Twoje dane na niższym. Warto zwracać uwagę na powiadomienia o naruszeniach z usług, z których korzystasz, i traktować wszelkie nieoczekiwane prośby o zresetowanie hasła lub alerty o aktywności na koncie ze szczególną ostrożnością w tygodniach po takich wiadomościach.

Praktyczne wskazówki

Jeśli zarządzasz infrastrukturą IT, nadaj priorytet natychmiastowemu łataniu wszelkich instancji Langflow, Tomcat lub N-central i sprawdź bezpośrednio w katalogu KEV CISA konkretne wpisy i terminy usunięcia luk. Jeśli jesteś zwykłym użytkownikiem, śledź ujawnienia naruszeń od firm, na których polegasz, włączaj uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest oferowane, i potraktuj to jako przypomnienie, że oprogramowanie działające cicho za kulisami Twoich ulubionych usług ma bezpośredni dostęp do Twoich danych osobowych. Śledzenie na bieżąco aktualizacji KEV, takich jak ta, to mały nawyk, który się opłaca, gdy kolejna aktywnie wykorzystywana luka trafi na nagłówki gazet.