快速漏洞利用使得快速修补变得至关重要

加强多重身份验证策略，加倍投入反网络钓鱼培训，并且立即修补所有漏洞。思科Talos威胁猎手团队过去一年收集的情报表明，攻击者正在更快地利用漏洞，并且比以往任何时候都更善于欺骗员工泄露凭据。

Talos团队在周一发布的年度回顾报告中，将2025年描述为一个充满速度与规模的年份，给全球安全团队带来持续压力，部分原因是攻击者开始使用人工智能。

Talos对犯罪分子利用新发现漏洞的速度感到震惊，指出12月的React2Shell就是完美的例子。尽管该漏洞仅在12月才被披露，但很快就成为了年度最受攻击的漏洞。

"该漏洞的即时利用反映出近乎瞬时的武器化，这是由自动化工具和广泛的互联网暴露驱动的，使防御者在披露和主动滥用之间几乎没有时间，"Talos在报告中指出。

Talos还注意到，攻击者在2025年将身份控制点作为主要目标，"绝大多数最受攻击的网络基础设施漏洞"都属于这一类别。攻击VPN或应用程序发现控制器等身份控制技术意味着攻击者可以轻松进行横向移动，授予自己增强的访问权限，绕过多重身份验证，实现持久性等等。类似地，网络管理软件，如vCenter Server、思科安全管理器和Aria Operations for Networks，通常比边缘设备监控得不够严密，这意味着它们也更容易被攻破。

至于攻击者实际如何获得访问权限，网络钓鱼仍然是主要方式：Talos在2025年调查的入侵响应案例中有40%始于成功的网络钓鱼攻击。

现代钓鱼诱饵比以往任何时候都更加复杂。拼写错误、语法不当和其他明显错误已经不复存在，因为AI帮助攻击者克服语言障碍并模仿真实通信。

核心钓鱼诱饵——发票、付款、文档共享、会议通知——在2024年和2025年之间保持一致，但这些消息"看起来不像通用垃圾邮件，更像是高管和员工日常互动的商务、IT和差旅工作流程，"Talos表示。去年钓鱼消息有75%的时间来自欺骗或被攻陷的账户，这使得区分粗糙的尝试和精巧的攻击变得更加困难。

与此同时，AI的崛起如潮水般推动着所有船只——包括海盗船。在2025年，恶意分子主要使用AI来改进现有攻击的各个元素，但Talos预测AI很快将成为网络犯罪软件的基础后端部分，就像商业世界中已经发生的那样。

思科的报告没有为担心现代网络犯罪的速度和狡猾性会迅速压垮他们的网络安全专业人员提供单一的建议清单，但报告中埋藏着一些非常重要的建议。例如，安全专业人员应该在可能的情况下优先为处理访问管理的网络软件和设备进行补丁更新。

更广泛地说，Talos警告，防御者将面临更小的反应窗口和对短期暴露不断升级的后果，因此要快速打补丁，并优先考虑身份和访问控制领域的任何内容。

关于帮助最终用户自助，反网络钓鱼培训总是受欢迎的，但Talos指出，"喷射式"多重身份验证攻击（攻击者尝试一堆常见密码）在2025年也是一个相当大的威胁，并建议确保多重身份验证系统具有强大的锁定策略、部署条件访问、执行良好的密码卫生并使用强会话控制。

"最终，思科Talos的2025年报告强调，现代安全需要将重点从简单的打补丁转向保护现代企业的身份、供应链和管理平面，"Talos在报告中表示。

换句话说，准备好重新思考你的安全策略吧。攻击者肯定在重新思考他们的策略。

Q&A

Q1：React2Shell漏洞为什么成为2025年最受攻击的漏洞？

A：React2Shell虽然仅在12月才被披露，但由于自动化工具和广泛的互联网暴露，该漏洞实现了近乎瞬时的武器化，攻击者能够在披露后立即开始利用，使防御者几乎没有反应时间，因此快速成为年度最受攻击的漏洞。

Q2：为什么现在的网络钓鱼攻击更难识别了？

A：现代钓鱼攻击更加复杂，AI帮助攻击者克服语言障碍并模仿真实通信，消除了以往的拼写错误和语法问题。75%的钓鱼消息来自欺骗或被攻陷的账户，使消息看起来更像日常商务、IT和差旅工作流程，而非明显的垃圾邮件。

Q3：2025年攻击者主要针对哪些目标？

A：攻击者主要将身份控制点作为目标，包括VPN、应用程序发现控制器等身份控制技术，以及网络管理软件如vCenter Server、思科安全管理器等。攻击这些系统可以让攻击者轻松进行横向移动、绕过多重身份验证并实现持久性访问。