CISA: Через уязвимость Log4Shell в 2021 году взламывали чаще всего

CISA: Через уязвимость Log4Shell в 2021 году взламывали чаще всего

CISA: Через уязвимость Log4Shell в 2021 году взламывали чаще всего

Уязвимость нулевого дня Log4Shell возглавила список брешей, которые использовали для кибератак в прошлом году. Такие данные опубликовало сегодня Агентство по кибербезопасности и инфраструктуре США (CISA). В Топ-15 опасностей также вошли ProxyShell, ProxyLogon и ZeroLogon.

CVE

Vulnerability Name

Vendor and Product

Type

CVE-2021-44228

Log4Shell

Apache Log4j

Remote code execution (RCE)

CVE-2021-40539

 

Zoho ManageEngine AD SelfService Plus

RCE

CVE-2021-34523

ProxyShell

Microsoft Exchange Server

Elevation of privilege

CVE-2021-34473

ProxyShell

Microsoft Exchange Server

RCE

CVE-2021-31207

ProxyShell

Microsoft Exchange Server

Security feature bypass

CVE-2021-27065

ProxyLogon

Microsoft Exchange Server

RCE

CVE-2021-26858

ProxyLogon

Microsoft Exchange Server

RCE

CVE-2021-26857

ProxyLogon

Microsoft Exchange Server

RCE

CVE-2021-26855

ProxyLogon

Microsoft Exchange Server

RCE

CVE-2021-26084

 

 

Atlassian Confluence Server and Data Center

Arbitrary code execution

CVE-2021-21972

 

VMware vSphere Client

RCE

CVE-2020-1472

ZeroLogon

Microsoft Netlogon Remote Protocol (MS-NRPC)

Elevation of privilege

CVE-2020-0688

 

Microsoft Exchange Server

RCE

CVE-2019-11510

 

Pulse Secure Pulse Connect Secure

Arbitrary file reading

CVE-2018-13379

 

Fortinet FortiOS and FortiProxy

Path traversal

Другие популярные «дыры»: возможность удаленного выполнения кода в Microsoft Exchange Server (CVE-2020-0688), чтение произвольного файла в Pulse Secure Pulse Connect Secure (CVE-2019-11510), обход пути в Fortinet FortiOS и FortiProxy (CVE-2018-13379).

«Хакеры во всем мире всё активнее нападают на системы с выходом в интернет, – говорится в докладе, – Чаще атакам стали подвергаться email- и VPN-сервисы».

В среднем на разработку обновлений безопасности уходит две недели, это время играет на руку взломщикам.

Уязвимость Log4Shell была обнаружена в декабре 2021 в популярной библиотеке Log4j, входящей в состав Apache Logging Project. Впервые её зафиксировали при отлове багов на серверах Minecraft, но проблема глобальнее. Библиотека Log4j присутствует практически в любых корпоративных приложениях и Java-серверах и грозит атаками на таких гигантов, как Apple, Amazon, Twitter, Cloudflare и тысячам других.

Роскомнадзор: корпоративный VPN в России не ограничивают

Роскомнадзор дал понять, что корпоративный VPN внутри России пока никто не отменяет. По данным ведомства на 22 апреля 2026 года, использование VPN российскими компаниями для внутренних рабочих задач не ограничивается. Более того, для доступа к зарубежным ресурсам в рамках производственной деятельности РКН уже предоставил исключения для более чем 57 тыс. адресов и подсетей, принадлежащих 1730 организациям.

Логика регулятора следующая: если компании нужен VPN для нормальной работы, особенно при взаимодействии с зарубежными ресурсами, она может подать заявление и попасть в список исключений.

Ещё 10 апреля 2025 года РКН официально рекомендовал владельцам частных VPN по возможности отказаться от иностранных протоколов шифрования, а если это технически невозможно — направить в ЦМУ ССОП данные об IP-адресах, протоколах и целях использования соединения. Для этого ведомство прямо указало специальный адрес электронной почты.

Интересно, что сама система исключений уже давно не выглядит точечно. По данным РКН, ещё 16 апреля 2025 года в так называемом белом списке было 75 тыс. записей, и с 2023 года его объём вырос в шесть раз. Это показывает, что бизнес довольно активно пользуется возможностью легально сохранить доступ к иностранным протоколам шифрования там, где без них реально сложно.

При этом курс на постепенное вытеснение иностранных VPN-протоколов никуда не делся. РКН и раньше прямо советовал переходить на российские криптографические решения, соответствующие ГОСТам. На рынке уже есть такие продукты — например, «Континент» и ViPNet, которые используют ГОСТ VPN.

Но эксперты отмечают, что с полной заменой всё не так просто: в госсекторе и на объектах КИИ такие решения выглядят вполне логично, а вот в международной торговле, ИТ-разработке и других сферах, завязанных на глобальные стандарты, возникают проблемы совместимости.

RSS: Новости на портале Anti-Malware.ru