五眼聯盟（The Five Eyes）所屬資安主管機關，近期會同美國多個資安主管單位如網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）、美國國家安全局（National Security Agency, NSA）、美國聯邦調查局（Federal Bureau of Investigation, FBI） 等單位，共同發表 2022 年最常遭到用於駭侵攻擊的 12 個資安漏洞。

五眼聯盟是由美國、澳洲、加拿大、紐西蘭與英國等五個英語系國家組成的情報合作組織；其下轄的資安單位近期發表這批漏洞，意在敦促全球各公私單位，立即針對這些已造成嚴重資安風險的漏洞進行處理，以降低繼續遭到攻擊的危險。

該報告指出，近年來駭侵者更偏好使用已知的舊漏洞來發動攻擊，而非使用未公開或較新的漏洞。由於這些舊漏洞往往很長一段時間仍未受到修補，再加上有較多現成的攻擊工具與方法可以使用，因此帶來極大的資安風險。

報告也說，雖然在 2022 年中新增了近 25,000 個指派有 CVE 編號的漏洞，但名列榜上的最常遭駭漏洞中，只有 5 個是在 2022 年新發現的漏洞。

名列該份清單的漏洞如下：

• CVE-2018-13379：Fortinet SSL VPN 登入資訊外洩；
• CVE-2021-34473（Proxy Shell）：Microsoft Exchange Server RCE 漏洞；
• CVE-2021-31207（Proxy Shell）：Microsoft Exchange Server 資安防護功能跳過漏洞；
• CVE-2021-34523（Proxy Shell）：Microsoft Exchange Server 執行權限提升漏洞；
• CVE-2021-40539：Zoho ADSelfService Plus RCE/登入驗證跳過漏洞；
• CVE-2021-26084：Atlassian Confluence Server/Data Center 任意程式碼執行漏洞；
• CVE-2021-44228（Log4Shell）：Apache Log4j2 的 RCE 漏洞；
• CVE-2022-22954：VMware Workspace ONE 的 RCE 漏洞；
• CVE-2022-22960：VMware Workspace ONE 權限管理不良漏洞；
• CVE-2022-1388：F5 Networks BIG-IP 驗證流程漏洞；
• CVE-2022-30190：Microsoft 多種產品的 RCE 漏洞；
• CVE-2022-26134：Atlassian Confluence Server/Data Center 的 RCE 漏洞。

 建議系統管理者需在接獲軟體系統更新通報後立即進行更新，勿留下已知漏洞，以免遭到資安攻擊而造成損失。

• 參考連結

2022 Top Routinely Exploited Vulnerabilities

https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-215a

FBI, CISA, and NSA reveal top exploited vulnerabilities of 2022

https://www.bleepingcomputer.com/news/security/fbi-cisa-and-nsa-reveal-top-exploited-vulnerabilities-of-2022/