最新报告的一起攻击活动展示了攻击者如何将VMware ESX零日漏洞与其他漏洞结合，入侵保护网络的设备。据Help Net Security报道，攻击者利用VMware ESX零日漏洞来隐藏行踪，然后将PHP2Shell漏洞与一个名为Fragnesia的漏洞串联起来，攻陷防火墙。来源标题将这一活动归因于中国黑客。

公开摘要内容简短，因此本文仅围绕已报道的内容展开，并解释为何其影响不仅限于大型企业。

关于VMware ESX零日漏洞的报道内容

报告中有三个要素值得关注：

  • 一个VMware ESX零日漏洞。 零日漏洞是指在修复程序发布之前就被利用的漏洞。ESX是一种虚拟机监控器（hypervisor），即在物理服务器上运行虚拟机的软件。据报道，攻击者利用该漏洞隐藏行踪，即帮助其逃避检测。
  • PHP2Shell漏洞。 这些漏洞与另一个漏洞串联使用，以获取对防火墙的更深层控制。
  • Fragnesia。 与PHP2Shell结合使用，该漏洞使攻击者能够“root”防火墙，即获得对设备的最高级别控制权。

来源摘要未提供更多技术细节，例如受影响的版本或补丁状态，因此读者应查阅厂商公告以获取具体信息，而非自行推断。

攻击者为何瞄准防火墙和虚拟化主机

防火墙和虚拟机监控器处于特权位置。防火墙监控并控制网络与互联网之间的流量。虚拟机监控器同时承载多个系统。攻陷其中任何一个都能为攻击者提供一个普通终端安全工具往往无法窥探的制高点，这与本次攻击活动的隐蔽性主题相符。

串联利用也是一种反复出现的模式。攻击者不是依赖单一漏洞，而是将多个漏洞链接起来，从初始访问推进到完全控制。我们在其他报道中也见过类似行为，包括中国UTA0565黑客串联Chrome和Windows零日漏洞以及Proofpoint关于中国关联组织竞相利用零日漏洞的报告。共同特点是速度与耐心：快速利用，然后保持安静。

这对你意味着什么

大多数家庭用户不使用VMware ESX。但许多人依赖路由器或防火墙，小型企业经常运行位于网络边缘的防火墙设备。被攻陷的边缘设备可能暴露经过它的流量，包括浏览活动和未加密数据，攻击者还可以将其作为立足点来访问其他设备。

这不是恐慌的理由。该报告描述的是一次有针对性的攻击活动，摘要中没有任何内容表明普通家庭被专门针对。然而，这确实是一个有用的提醒：保护你网络的设备本身可能就是薄弱环节。更广泛的国家关联活动也影响到了个人，如中国支持的针对记者和活动人士的间谍活动，因此对于风险较高的人群来说，基本的安全卫生至关重要。

VPN可以通过加密设备与VPN服务器之间的流量来增加一层保护，限制被攻陷的本地路由器所能看到的内容。它不能修复已被root的防火墙，也不能替代打补丁。

你可以在自己的路由器或防火墙上检查什么

  1. 更新固件。 检查管理页面或制造商网站上的最新版本，并进行安装。
  2. 开启自动更新（如果设备支持）。
  3. 禁用远程管理，除非你确实需要，并避免将管理页面暴露在互联网上。
  4. 更改默认凭据，使用强且唯一的管理密码。
  5. 更换不再受支持的硬件。 不再获得安全更新的设备在新漏洞出现时无法修复。
  6. 检查日志和设置，留意陌生账户、被更改的DNS设置或意外的端口转发。
  7. 如果你运行VMware ESX或类似基础设施， 请关注厂商的安全公告并及时应用补丁。

攻击者还越来越多地使用自动化来扩大其工作规模，如Hunt.io关于AI代理驱动亚洲范围黑客攻击的发现所示，这使得及时打补丁更加重要，而非相反。

关键要点

VMware ESX零日漏洞攻击活动提醒我们，隐蔽性和漏洞串联如今已成为有能力攻击者的标准手法，而边缘设备是有价值的目标。你无法控制零日漏洞是否存在，但你可以缩短暴露时间：保持固件最新、启用自动更新、锁定远程访问、淘汰不受支持的设备。将VPN视为多层防护中的一层。从今天开始，检查你的路由器或防火墙的固件版本。