สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐาน (CISA) ได้เพิ่มช่องโหว่ที่กำลังถูกโจมตีอยู่สามรายการเข้าสู่แค็ตตาล็อกช่องโหว่ที่รู้จักและถูกใช้ประโยชน์ (KEV): ข้อบกพร่องที่ส่งผลต่อ Langflow, Apache Tomcat และ N-central แค็ตตาล็อก KEV มีไว้เพื่อระบุช่องโหว่ด้านความปลอดภัยที่ผู้โจมตีกำลังใช้งานอยู่จริง และรายการล่าสุดนี้ก็ไม่ใช่ข้อยกเว้น สิ่งที่น่าสนใจยิ่งขึ้นคือ นักวิจัยจาก Unit 42 ของ Palo Alto Networks ได้เชื่อมโยงหนึ่งในแคมเปญการโจมตีเข้ากับเอเจนต์แฮ็กเกอร์ที่รายงานว่าขับเคลื่อนโดย DeepSeek โมเดล AI จีนที่ถูกจับตามองเนื่องจากการนำไปใช้อย่างรวดเร็วในทั้งกรณีการใช้งานที่ถูกกฎหมายและไม่ประสงค์ดี
สำหรับผู้ใช้อินเทอร์เน็ตทั่วไป การเพิ่มรายการ KEV อาจฟังดูเหมือนเรื่องภายในของวงการ แต่มันไม่ใช่ รายการเหล่านี้ส่งผลโดยตรงต่อซอฟต์แวร์ที่ทำงานอยู่เบื้องหลังเว็บไซต์ เครื่องมือการจัดการระยะไกล และแพลตฟอร์ม AI ที่ธุรกิจและผู้ให้บริการต่างพึ่งพาเพื่อปกป้องข้อมูลของคุณ เมื่อผู้โจมตีใช้ประโยชน์จากระบบเหล่านี้ก่อนที่จะมีการแก้ไข ผลกระทบมักจะตกอยู่กับผู้คนที่ข้อมูลควรได้รับการปกป้องโดยระบบเหล่านั้น
รายการใหม่สามรายการในแค็ตตาล็อก KEV ของ CISA
ช่องโหว่ทั้งสามที่ CISA ระบุตอนนี้อยู่ในซอฟต์แวร์ที่แตกต่างกัน ซึ่งเป็นส่วนหนึ่งที่ทำให้การอัปเดตนี้มีความน่าสนใจ Langflow เป็นแพลตฟอร์มโอเพนซอร์สที่ใช้ในการสร้างเวิร์กโฟลว์เอเจนต์ AI ซึ่งเป็นประเภทซอฟต์แวร์ที่ได้รับความนิยมอย่างมากเมื่อบริษัทต่าง ๆ เร่งนำเครื่องมือ AI มาใช้ภายในองค์กร Apache Tomcat เป็นเว็บเซิร์ฟเวอร์และ servlet container ที่ใช้กันอย่างแพร่หลาย ซึ่งรองรับแอปพลิเคชัน Java นับไม่ถ้วนในองค์กรและหน่วยงานรัฐบาล N-central เป็นแพลตฟอร์มการตรวจสอบและจัดการระยะไกล (RMM) ที่ผู้ให้บริการไอทีใช้ในการดูแลเครือข่ายลูกค้าจากระยะไกล หมายความว่าหากมีอินสแตนซ์เดียวถูกบุกรุก ก็อาจเปิดเผยองค์กรปลายทางจำนวนมากในคราวเดียว
ตามคำสั่งของรัฐบาลกลาง หน่วยงานภายใต้คำสั่งปฏิบัติการผูกมัด (Binding Operational Directive) ของ CISA จำเป็นต้องแก้ไขช่องโหว่ที่อยู่ในรายการ KEV ภายในกรอบเวลาที่กำหนด ซึ่งสะท้อนให้เห็นว่ารัฐบาลจริงจังกับการยืนยันว่ามีการโจมตีที่กำลังเกิดขึ้นมากเพียงใด องค์กรเอกชนไม่ได้ถูกผูกมัดด้วยคำสั่งเดียวกัน แต่ทีมความปลอดภัยส่วนใหญ่มองว่ารายการ KEV เป็นสัญญาณที่ชัดเจนให้จัดลำดับความสำคัญในการแพตช์ทันทีแทนที่จะรอรอบการอัปเดตปกติ
นี่ไม่ใช่ครั้งแรกที่ CISA ดำเนินการอย่างรวดเร็วเพื่อระบุข้อบกพร่องที่ผู้โจมตีในโลกจริงกำลังใช้งานอยู่แล้ว การเปิดเผยข้อบกพร่องการเข้าถึงรูทของ Linux ของหน่วยงานเมื่อต้นปีนี้มีรูปแบบคล้ายกัน: ช่องโหว่ถูกค้นพบ ถูกนำมาใช้เป็นอาวุธ และถูกเพิ่มเข้าสู่ KEV ในเวลาอันสั้น ซึ่งตอกย้ำว่าช่วงเวลาระหว่างการเปิดเผยและการถูกโจมตีนั้นสั้นลงเพียงใดในห่วงโซ่อุปทานซอฟต์แวร์
เอเจนต์แฮ็กเกอร์ที่ขับเคลื่อนโดย DeepSeek ปรากฏขึ้น
สิ่งที่ทำให้การเปิดเผยข้อมูลรอบนี้แตกต่างคือ การค้นพบของ Unit 42 ที่ว่า หนึ่งในแคมเปญการโจมตีดูเหมือนจะขับเคลื่อนโดยเอเจนต์แฮ็กเกอร์ AI ที่สร้างบน DeepSeek เครื่องมือการโจมตีที่ใช้ AI ช่วยนั้นไม่ใช่แนวคิดใหม่ แต่กรณีที่มีการบันทึกไว้ซึ่งเชื่อมโยงแคมเปญการโจมตีที่ระบุใน KEV เข้ากับโมเดล AI ที่มีชื่อเฉพาะนั้นเป็นจุดข้อมูลที่มีความหมาย มันชี้ให้เห็นว่า ระบบอัตโนมัติที่ผู้โจมตีใช้ในการค้นหา สร้างอาวุธ และส่งมอบการโจมตีต่อระบบที่มีช่องโหว่อย่างอินสแตนซ์ Langflow นั้นกำลังพัฒนาเร็วขึ้น
ความหมายในทางปฏิบัติคือความรวดเร็ว เครื่องมือที่ใช้ AI ช่วยสามารถช่วยให้ผู้โจมตีระบุอินสแตนซ์ของซอฟต์แวร์อย่าง Langflow หรือ Tomcat ที่เชื่อมต่ออินเทอร์เน็ตและมีช่องโหว่ได้เร็วกว่าการสำรวจด้วยตนเอง ซึ่งลดช่วงเวลาที่แคบอยู่แล้วที่ผู้ป้องกันมีเพื่อแพตช์ก่อนที่การโจมตีจะเริ่มขึ้น
เหตุใดข้อบกพร่องที่ถูกโจมตีอยู่จึงสำคัญต่อความเป็นส่วนตัว
การเชื่อมโยงโดยตรงระหว่างช่องโหว่ของโครงสร้างพื้นฐานกับความเป็นส่วนตัวส่วนบุคคลนั้นมองข้ามได้ง่าย แต่มันเป็นเรื่องจริง เซิร์ฟเวอร์ Tomcat และแพลตฟอร์ม RMM อย่าง N-central มักเป็นหัวใจของระบบที่จัดเก็บหรือส่งข้อมูลลูกค้า ตั้งแต่ข้อมูลรับรองการเข้าสู่ระบบไปจนถึงบันทึกทางการเงิน ในขณะเดียวกัน อินสแตนซ์ Langflow ถูกใช้มากขึ้นเพื่อสร้างแอปพลิเคชัน AI ที่ประมวลผลข้อมูลนำเข้าที่ละเอียดอ่อนจากผู้ใช้ ตั้งแต่คำถามบริการลูกค้าไปจนถึงข้อมูลธุรกิจภายใน การเจาะระบบด้วยการเรียกใช้โค้ดจากระยะไกลหรือการเข้าถึงโดยไม่ได้รับอนุญาตต่อระบบเหล่านี้สามารถทำให้ผู้โจมตีมีจุดตั้งหลักเพื่อเคลื่อนย้ายในแนวนอน ขโมยข้อมูล หรือส่ง ransomware เปลี่ยนช่องโหว่ทางเทคนิคให้กลายเป็นเหตุการณ์ความเป็นส่วนตัวที่ส่งผลกระทบต่อผู้คนมากกว่าองค์กรเป้าหมายเดิม
สิ่งนี้หมายถึงอะไรสำหรับคุณ
ผู้อ่านส่วนใหญ่จะไม่ได้แพตช์เซิร์ฟเวอร์ Tomcat หรือการติดตั้ง N-central ด้วยตัวเอง แต่ผลกระทบของช่องโหว่เหล่านี้ก็ยังมาถึงคุณได้ หากคุณใช้บริการที่สร้างบนแพลตฟอร์มที่ได้รับผลกระทบ ไม่ว่าจะเป็นพอร์ทัลลูกค้าของบริษัท เครื่องมือสนับสนุนที่ใช้ AI หรือผู้ให้บริการไอทีที่ดูแลเครือข่ายองค์กรของคุณ การละเมิดต้นน้ำอาจเปิดเผยข้อมูลของคุณปลายน้ำ ควรให้ความสนใจกับการแจ้งเตือนการละเมิดจากบริการที่คุณใช้ และระมัดระวังเป็นพิเศษกับคำขอรีเซ็ตรหัสผ่านหรือการแจ้งเตือนกิจกรรมบัญชีที่ไม่คาดคิดในช่วงสัปดาห์หลังข่าวเช่นนี้
ข้อปฏิบัติที่นำไปใช้ได้
หากคุณดูแลโครงสร้างพื้นฐานไอที ให้จัดลำดับความสำคัญในการแพตช์อินสแตนซ์ Langflow, Tomcat หรือ N-central ทันที และตรวจสอบแค็ตตาล็อก KEV ของ CISA โดยตรงเพื่อดูรายการเฉพาะและกำหนดเวลาการแก้ไข หากคุณเป็นผู้ใช้ทั่วไป ให้จับตาดูการแจ้งเตือนการละเมิดจากบริษัทที่คุณพึ่งพา เปิดใช้งานการยืนยันตัวตนหลายปัจจัยทุกที่ที่มีให้ และถือว่านี่เป็นการเตือนว่าซอฟต์แวร์ที่ทำงานเงียบ ๆ เบื้องหลังบริการที่คุณชื่นชอบมีผลโดยตรงต่อข้อมูลส่วนบุคคลของคุณ การติดตามข่าวสารอัปเดต KEV เช่นนี้เป็นนิสัยเล็ก ๆ ที่ให้ผลตอบแทนเมื่อข้อบกพร่องที่ถูกโจมตีอยู่รายการถัดไปกลายเป็นข่าว
