サイバー攻撃には、ゼロデイの脆弱性も使われているが、多くのケースで既存の脆弱性が企業ネットワークやシステムへの侵入に使われていることが明らかになっている。つまり、これまでに明らかになったサイバー攻撃の多くは、セキュリティアップデートを迅速に適用することで回避できたものが多いというわけだ。

7月28日(米国時間)、「Top Routinely Exploited Vulnerabilities｜CISA」において、米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)、オーストラリアサイバーセキュリティセンター(ACSC: Australian Cyber Security Centre)、英国の国家サイバーセキュリティセンター(NCSC: United Kingdom’s National Cyber Security Centre)、米連邦調査局(FBI: Federal Bureau of Investigation)が共同執筆したサイバーセキュリティアドバイザリが公開された。同アドバイザリでは、2020年および2021年にかけてサイバー犯罪者によって日常的に悪用された脆弱性がまとめられている。

この1年、サイバー犯罪者に頻繁に悪用された脆弱性として、以下が挙げられている。

  • Citrix Netscaler Application Delivery Control (ADC) (CVE-2019-19781)
  • Pulse Secure Connect VPN (CVE 2019-11510)
  • Fortinet FortioOS Secure Socket Layer VPN (CVE 2018-13379)
  • F5 Big-IP (CVE 2020-5902)
  • MobileIron (CVE 2020-15505)
  • Microsoft Office 2016 / Microsoft Office 2007 SP1,2,3 (CVE-2017-11882)
  • Atlassian Crowd (CVE-2019-11580)
  • Drupal (CVE-2018-7600)
  • Telerik UI for ASP.NET AJAX (CVE 2019-18935)
  • Microsoft SharePoint (CVE-2019-0604)
  • Windows Background Intelligent Transfer Service (CVE-2020-0787)
  • Microsoft Windows Netlogon Remote Protocol (CVE-2020-1472)
  • Top Routinely Exploited Vulnerabilities｜CISA

    Top Routinely Exploited Vulnerabilities ｜ CISA

今回公開された脆弱性情報は、企業システムにおいてリスクの高いバージョンのプロダクトを使っていないかどうかを調査する際の参考になる。古いバージョンを使っている場合は、脆弱性が修正された最新版へアップデートすることが望まれる。