详细内容或原文请订阅后点击阅览
CISA 警告针对 HPE OneView 和旧版 PowerPoint 的主动攻击
两个被积极利用的缺陷（一个是全新的，一个已有 16 年历史）已添加到 CISA 的 KEV 目录中，这表明需要紧急修补。
来源:Malwarebytes Labs 博客美国网络安全和基础设施安全局 (CISA) 在其已知利用漏洞 (KEV) 目录中添加了一个新发现的缺陷和一个更古老的缺陷。
KEV 目录为联邦民事行政部门 (FCEB) 机构提供了已知在野外被利用的漏洞列表，以及必须修补这些漏洞的截止日期。在这两种情况下，截止日期均为 2026 年 1 月 28 日。
但 CISA 警报不仅仅适用于政府机构。他们还根据现实世界的利用情况，为企业和最终用户提供有关应首先修补哪些漏洞的指导。
HPE OneView 中的严重缺陷
最近发现的漏洞编号为 CVE-2025-37164，CVSS 评分为 10 分（满分 10 分），并允许远程执行代码。该漏洞影响用于管理 IT 基础设施的平台 HPE OneView，并于 2025 年 12 月 17 日发布了补丁。
此严重漏洞允许未经身份验证的远程攻击者执行代码并可能获得对服务器、固件和生命周期管理的大规模控制。 HPE OneView 等管理平台通常部署在企业网络深处，由于受到信任，因此拥有广泛的权限和有限的监控。
概念验证 (PoC) 代码以 Metasploit 模块的形式在补丁发布一天后公开。
2009 年的 PowerPoint 漏洞再次出现
这里的网络安全恐龙是 Microsoft PowerPoint 中的一个漏洞，编号为 CVE-2009-0556，其历史可以追溯到 15 年前。它影响：
该缺陷允许远程攻击者通过诱骗受害者打开特制的 PowerPoint 文件来触发内存损坏来执行任意代码。