Aktualizované: Zraniteľnosti Flax Typhoon: CISA ich pridala do katalógu KEV
CISA po zásahu DOJ a FBI proti doménam Microscan a FishHub pridala do katalógu KEV päť zraniteľností súvisiacich s touto aktivitou. Federálne agentúry USA majú na nápravu termín 11. októbra 2026.
Zraniteľnosti Flax Typhoon predstavujú nový obranný rozmer prípadu, v ktorom americké ministerstvo spravodlivosti (DOJ) a FBI 8. októbra 2026 oznámili zaistenie domén povolené súdom. Domény používali nástroje Microscan a FishHub, ktoré americké úrady spájajú so spoločnosťou Integrity Technology Group a aktérmi označovanými ako Flax Typhoon. Podľa The Hacker News CISA v rovnakej aktualizácii pridala do katalógu Known Exploited Vulnerabilities (KEV) päť zraniteľností súvisiacich s touto aktivitou. Federálne civilné agentúry USA majú termín nápravy 11. októbra 2026.
Zásah proti doménam narušil infraštruktúru, ktorú americké úrady spájajú s Integrity Technology Group a aktivitou známou ako Flax Typhoon. Zaradenie do KEV však upozorňuje najmä na samostatnú úlohu správcov systémov: preveriť expozíciu zraniteľným produktom, nainštalovať dostupné opravy alebo uplatniť mitigácie.
Zraniteľnosti Flax Typhoon a krátky federálny termín
Katalóg KEV eviduje zraniteľnosti, pri ktorých má CISA dôkaz o aktívnom zneužívaní. Pre federálne civilné agentúry USA je zaradenie položky spojené s povinnosťou nápravy v určenom termíne. V tomto prípade je termín 11. októbra 2026, teda tri dni po zaradení z 8. októbra.
Jednou z potvrdených položiek je CVE-2015-3306 v ProFTPD. CISA ju do KEV pridala 8. októbra 2026 a označuje ju za aktívne zneužívanú. Ide o staršiu zraniteľnosť FTP servera, preto je dôležité, aby organizácie preverili najmä internetovo dostupné nasadenia a ich verzie.
Podľa sekundárneho reportingu CISA pridala spolu päť zraniteľností súvisiacich s aktivitou okolo Flax Typhoon. Z dostupných podkladov však nemožno s rovnakou mierou nezávisle potvrdiť, že každú z týchto piatich položiek konkrétne zneužil práve Flax Typhoon, a nie iní útočníci. Túto súvislosť treba pripisovať advisóriu a reportingu o aktualizácii.
Zásah proti Microscan a FishHub nenahrádza opravy
DOJ a FBI oznámili súdom povolené zaistenie domén používaných pre Microscan a FishHub. Americké orgány uvádzajú, že Microscan slúžil na skenovanie zraniteľností, zatiaľ čo FishHub bol využívaný pri spear-phishingu a následných operáciách. Úrady ich spájajú s Integrity Technology Group a aktivitou známou ako Flax Typhoon.
Zaistenie domén môže obmedziť konkrétnu útočnícku infraštruktúru, samo osebe však neodstráni zraniteľnosti zo sietí organizácií ani nezaručuje trvalé zastavenie aktérov. Správcovia preto nemajú ochranu odvodzovať len od zásahu proti doménam, ale od stavu vlastných systémov a ich konfigurácie.
Čo preveriť v organizácii
Pre neamerické organizácie termín CISA nepredstavuje priamy právny príkaz. Zaradenie do KEV je však silným signálom na prioritnú kontrolu, najmä pri starších verejne dostupných službách. Pri ProFTPD je vhodné identifikovať všetky inštancie produktu, overiť verziu, dostupnosť opravy a prípadne obmedziť verejný prístup, ak systém nemožno bezodkladne aktualizovať.
Organizácie by mali sledovať úplný zoznam piatich CVE a príslušné odporúčania v oficiálnom advisórii CISA a FBI. Dôležité budú aj prípadné nové indikátory kompromitácie a technické detaily zneužívania. Ďalším signálom bude, či sa Microscan, FishHub alebo súvisiaca infraštruktúra objavia na nových doménach a serveroch.
Nie je nezávisle potvrdené, či Integrity Technology Group, čínska vláda alebo osoby spájané s Flax Typhoon na nové zistenia reagovali.
Zdroje
- U.S. Department of Justice – Potvrdzuje dátum zásahu, súdne povolené zaistenie, úlohy Microscan a FishHub a tvrdenia amerických úradov o väzbe na Integrity Technology Group a Flax Typhoon.
- CISA KEV Data – Oficiálne zrkadlo dát katalógu CISA Known Exploited Vulnerabilities; dokumentuje, že zdrojové súbory KEV sa synchronizujú s katalógom CISA.
- The Hacker News – Uvádza, že CISA pridala päť zraniteľností do KEV a stanovila federálny termín nápravy 11. októbra 2026.
Overené a aktualizované: 09. 10. 2026 15:25
