Das FBI und die Cybersecurity and Infrastructure Security Agency (CISA) haben eine Liste der "Top 10 Routinely Exploited Vulnerabilities" der Jahre 2016 bis 2019 publiziert. Darin veröffentlichen die beiden US-Behörden Einzelheiten über Schwachstellen, die von Angreifern routinemässig ausgenutzt werden, und wollen so Organisationen im öffentlichen und privaten Sektor helfen, das Risiko solcher Angriffe zu reduzieren.

Cyber-Akteure würden nach wie vor öffentlich bekannte – und oft veraltete – Softwareschwachstellen gegen eine breite Zielgruppe ausnutzen, darunter Organisationen des öffentlichen und privaten Sektors, schreiben die Behörden. Und sie fordern eine "konzertierte Kampagne", um die Schwachstellen zu beheben: "(Diese Kampagne) würde die Operationen der ausländischen Gegner stören und sie zwingen, Exploits zu entwickeln oder zu erwerben, die kostspieliger und weniger effektiv sind."

Gemäss der Liste finden sich die am häufigsten angegriffenen Schwachstellen in Microsofts Object Linking and Embedding (OLE), einer Technologie, die es ermöglicht, in Office-Dokumenten Inhalte aus anderen Anwendungen einzubetten. Diese würden von ausländischen, von Nationalstaaten geförderten Gruppen aus Ländern wie China, Iran, Nordkorea und Russland ausgenutzt. Die am zweit meisten angegriffene Schwachstelle betreffe das Framework Apache Struts.

Für das Jahr 2020 hält die CISA ergänzend fest, dass sich Angreifer verstärkt auf ungepatchte Citrix-VPN- und Pulse-Secure-VPN-Lücken konzentriert hätten. Durch die Corona-Pandemie und ihre Folgen seien seit März 2020 zudem Organisationen ins Visier geraten, deren übereilte Bereitstellung von Microsoft O365 und den entsprechenden Cloud-Collaboration-Diensten zu Fehlern in den Sicherheitskonfigurationen geführt hätten und die deshalb anfällig für Angriffe seien.

Die Top 10 der angegriffenen Schwachstellen mit der entsprechenden CVE-Liste und detaillierten Informationen ist auf der Website des Department of Homeland Security einsehbar.