Sectigo 有關 Log4j Java 日誌漏洞攻擊事件的更新

過去一星期，編號為 CVE-2021-44228 的 Java 日誌庫（Log4j）新發現的遠程代碼執行（RCE）漏洞攻擊事件引發大量報道。由於該 Java 日誌庫在 Apache 網頁伺服器中應用極為普遍，亦廣泛用於 Java 應用開發，此漏洞或會影響全球超過三分之一的網頁伺服器。

目前 Sectigo 解決方案未受威脅

Sectigo 基礎設施團隊與開發團隊已完成相關情況評估，確認現有所有 Sectigo 解決方案均未受該漏洞威脅。Sectigo 已對全部源代碼倉庫展開該 Java 日誌庫專項排查，並對旗下零售網站與 Web 應用完成漏洞掃描，確認無相關風險。Sectigo 會持續監察事件進展，有需要時將發布後續更新。

針對該漏洞的修復工作，Apache 已迅速發布安全更新。您可透過以下連結了解最新版本的相關資訊以及如何更新 Log4j.

請及時更新關鍵業務應用與服務

Sectigo 同時建議所有用戶在未來數星期保持高度關注。儘管最新版 Log4j 已修復該漏洞攻擊問題，但目前仍有大量應用與服務運行於舊版本 Log4j 框架上，意味著該漏洞仍處於被積極利用的狀態。

雖然目前沒有證據顯示該漏洞攻擊手段在數星期前已被使用，但近期惡意行為者掃描全球關鍵基礎設施的活動有所增加，其目的或為收集仍存在該漏洞的機構相關資訊。目前已發現多宗攻擊者利用該漏洞植入殭屍網絡、挖礦程式及其他惡意代碼的案例，該等惡意活動將為後續不法行為提供支援，業界普遍預計當中會包括勒索軟件攻擊。

針對所有此類高危漏洞，我們呼籲所有用戶保持警惕，確保所有關鍵業務應用與服務均已更新至最新版本。