你需要駭客協助嗎？請在Telegram：@hackgo_cs 上聯絡我們，網絡問題迎刃而解。

美國網路安全與基礎設施安全局 (CISA) 週一根據主動利用的證據，將影響 Erlang/開放電信平台 (OTP) SSH 和 Roundcube 的兩個嚴重安全漏洞添加到其已知可利用漏洞 (KEV) 目錄中。

受影響的漏洞如下：

CVE-2025-32433（CVSS 評分：10.0）- Erlang/OTP SSH 伺服器中一個關鍵功能漏洞缺少身份驗證，該漏洞可能允許攻擊者在無需有效憑證的情況下執行任意命令，從而可能導致未經身份驗證的遠端程式碼執行。 （已於 2025 年 4 月在 OTP-27.3.3、OTP-26.2.5.11 和 OTP-25.3.2.20 版本中修復）

CVE-2024-42009（CVSS 評分：9.3）- RoundCube Webmail 中存在跨站腳本 (XSS) 漏洞，遠端攻擊者可利用 program/actions/mail/show.php 中的反消毒問題，透過精心設計的電子郵件訊息竊取並發送受害者的電子郵件。 （已於 2024 年 8 月在 1.6.8 和 1.5.8 版本中修復）

網路安全

目前尚不清楚這兩個漏洞是如何被利用的，以及被誰利用的。上個月，ESET 披露，與俄羅斯有關的威脅行為者 APT28 利用了 Roundcube、Horde、MDaemon 和 Zimbra 中的多個 XSS 漏洞，攻擊了東歐的政府機構和國防公司。目前尚不清楚 CVE-2024-42009 的濫用是否與此活動有關，還是其他原因。

根據 Censys 的數據，共有 340 台 Erlang 伺服器暴露在外，但值得注意的是，並非所有實例都必然易受該漏洞影響。 CVE-2025-32433 公開揭露後，很快便發布了多個針對該漏洞的概念驗證 (PoC) 漏洞程序。

鑑於該漏洞的活躍利用，聯邦民事行政部門 (FCEB) 各機構必須在 2025 年 6 月 30 日之前應用必要的修復程序，以獲得最佳保護。

同時，Patchstack 標記了 WordPress 的 PayU CommercePro 外掛程式中一個未修補的帳戶接管漏洞 (CVE-2025-31022，CVSS 評分：9.8)，該漏洞使攻擊者無需任何身份驗證即可控制網站的任何使用者。

如果攻擊者能夠劫持管理員帳戶，從而控制網站並執行惡意操作，則可能造成嚴重後果。漏洞影響 3.8.5 及之前版本。該插件目前有超過 5,000 個活躍安裝。

該問題與名為“update_cart_data()”的函數有關，該函數由名為“/payu/v1/get-shipping-cost”的端點調用，用於檢查提供的電子郵件地址是否存在，如果存在，則處理電商訂單並進行結帳。

網路安全

但是，由於該端點會檢查與硬編碼電子郵件地址（“commerce.pro@payu[.]in”）關聯的有效令牌，並且存在另一個用於為給定電子郵件地址生成身份驗證令牌的 REST API（“/payu/v1/generate-user-token”），攻擊者可以利用此行為獲取與“commerce.pro@payu[.]in”對應的令牌，並向“/payu/v1/get-shipping-cost”發送請求，從而劫持任何帳戶。

建議用戶停用並刪除插件，直到漏洞修補程式發布。

Patchstack 表示：“必須確保未經身份驗證的 REST API 端點不會過於寬鬆，並向用戶提供更多訪問權限。此外，不建議將電子郵件地址等敏感或動態信息硬編碼，以便在代碼庫內用於其他情況。”

超過 200 萬個 Roundcube Webmail 實例線上曝光#

攻擊面管理平台 Censys 透露，其在線上發現了 2,473,116 個暴露的 Roundcube Webmail 實例，其中大部分位於歐洲和北美。