CISA Microsoft Office və HPE OneView boşluqlarını aktiv şəkildə istifadə edilən təhlükələr siyahısına əlavə etdi

ABŞ-ın Kibertəhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyi (CISA) Çərşənbə günü Microsoft Office və Hewlett Packard Enterprise (HPE) OneView proqramlarında aşkar edilmiş iki təhlükəsizlik boşluğunu “Məlum İstismar Olunan Boşluqlar” (KEV) kataloquna əlavə edib. Agentlik bu boşluqların kiberhücumlar zamanı aktiv şəkildə istifadə edildiyinə dair sübutlar olduğunu bildirib.

Sözügedən boşluqlar aşağıdakılardır:

• CVE-2009-0556 (CVSS balı: 8.8): Microsoft Office PowerPoint-də yaddaşın korlanması (memory corruption) vasitəsilə kənar hücumçulara ixtiyari kod icra etməyə imkan verən kod inyeksiyası boşluğu.

• CVE-2025-37164 (CVSS balı: 10.0): HPE OneView proqramında uzaqdan qoşulan və autentifikasiyadan keçməmiş istifadəçiyə kod icra etməyə (RCE) imkan verən kritik kod inyeksiyası boşluğu.

Detallar və Risk Səviyyəsi

CVE-2025-37164 ilə bağlı detallar keçən ay HPE tərəfindən açıqlanıb. Şirkət bildirib ki, bu boşluq proqram təminatının 11.00 versiyasından əvvəlki bütün versiyalarına təsir edir. HPE artıq OneView-nun 5.20-dən 10-a qədər olan versiyaları üçün təhlükəsizlik yamalarını (hotfixes) istifadəyə verib.

Hər iki boşluq üzərindən həyata keçirilən hücumların miqyası və mənbəyi hələlik bəlli deyil və onların real mühitdə istismarına dair hələlik heç bir ictimai hesabat mövcud deyil. Bununla belə, eSentire-nin 23 dekabr 2025-ci il tarixli hesabatında CVE-2025-37164 üçün ətraflı “konseptual sübut” (PoC) istismar kodunun yayımlandığı qeyd olunub.

“İstismar kodunun (PoC) ictimaiyyətə açıq olması tətbiqin təsirə məruz qalan versiyalarından istifadə edən təşkilatlar üçün riski əhəmiyyətli dərəcədə artırır,” — deyə eSentire bildirib.

Müdafiə Tədbirləri

Məcburi Əməliyyat Direktivinə (BOD 22-01) əsasən, Federal Mülki İcraçı Hakimiyyət orqanlarına şəbəkələrini aktiv təhlükələrdən qorumaq üçün 28 yanvar 2026-cı il tarixinə qədər lazımi düzəlişləri tətbiq etmək tövsiyə olunur.