CISA dodaje luki w systemach Citrix i Git do katalogu KEV w związku z aktywną eksploatacją

CISA dodała do swojego katalogu KEV trzy aktywnie wykorzystywane luki w zabezpieczeniach systemów Citrix i Git. Agencje federalne mają obowiązek załatać te luki do 15 września 2025 r.

Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała trzy nowe luki w zabezpieczeniach do swojej listy luk aktywnie wykorzystywanych przez hakerów, ostrzegając agencje federalne o konieczności ich natychmiastowego usunięcia. Pilny alert, wydany 25 sierpnia 2025 roku, obejmuje dwie luki w zabezpieczeniach Citrix Session Recording oraz poważną lukę w Git, popularnym systemie zarządzania kodem.

Luki te zostały dodane do Katalogu Znanych Luk Wykorzystywanych ( KEV ), publicznej listy luk bezpieczeństwa, które zostały uznane za będące przedmiotem ataków. Chociaż obowiązek naprawy tych luk dotyczy bezpośrednio agencji rządowych, CISA stanowczo apeluje do wszystkich organizacji prywatnych o traktowanie ich jako priorytetu w zakresie działań naprawczych w celu ochrony przed cyberzagrożeniami.

Dwie z nowo dodanych luk, oznaczone jako CVE-2024-8068 i CVE-2024-8069 , dotyczą funkcji nagrywania sesji Citrix. Obie te luki mają ocenę CVSS na poziomie 5,1, co jest uważane za ocenę o średniej wadze.

Według doniesień, luki te mogą umożliwić atakującemu, który jest już w sieci, przejęcie kontroli nad systemem i uruchomienie złośliwego kodu. Luki te mogą zostać wykorzystane tylko przez uwierzytelnionego użytkownika w tej samej sieci, co oznacza, że ​​haker musi najpierw uzyskać dostęp do systemu. Firma Citrix opublikowała poprawki bezpieczeństwa dla obu tych luk w listopadzie 2024 roku.

Trzecia luka, CVE-2025-48384 , dotyczy Gita, narzędzia, z którego korzystają miliony programistów do zarządzania i udostępniania swojego kodu. Ta konkretna luka, której przyznano wysoki wskaźnik ważności 8,1, wynika ze sposobu, w jaki Git obsługuje określone znaki tekstowe w swoich plikach konfiguracyjnych.

Atakujący mógłby to wykorzystać, tworząc złośliwy plik, który po sklonowaniu repozytorium przez użytkownika mógłby doprowadzić do cichego i nieoczekiwanego wykonania kodu na jego komputerze. Dowód koncepcji dla tego exploita został opublikowany przez Datadog wkrótce po tym, jak Git załatał go w lipcu 2025 roku.

Aby zachować zgodność z wiążącą dyrektywą operacyjną (BOD) 22-01, wszystkie federalne agencje cywilne władzy wykonawczej w USA muszą usunąć te luki w zabezpieczeniach do 15 września 2025 r. CISA podkreśla, że ​​wszystkie organizacje powinny regularnie przeglądać katalog KEV i priorytetowo traktować usuwanie wymienionych luk, ponieważ stanowią one najpilniejsze i najpoważniejsze zagrożenia wykorzystywane w praktyce.

W komentarzu udostępnionym Hackread.com, Gunter Ollmann , dyrektor ds. technologii w Cobalt, podkreślił wagę tego ostrzeżenia dla wszystkich. Wyjaśnił, że nawet umiarkowane luki w zabezpieczeniach mogą stać się niezwykle niebezpieczne, gdy hakerzy mają dostęp do niezawodnych narzędzi do ich wykorzystania.

„Organizacje powinny traktować katalog KEV jako żywe źródło informacji o zagrożeniach, priorytetowo traktując usuwanie tych luk, ponieważ stanowią one przedmiot aktywnego wykorzystywania przez atakujących” – stwierdził.

To pokazuje, że luki na tej liście to nie tylko zagrożenia teoretyczne; to aktywna broń w arsenale atakujących już teraz.