近期，美国网络安全与基础设施安全局（CISA）在其“已知被利用漏洞（KEV）”目录中新增了三项关键漏洞。随着AI技术的快速演进，攻击者利用自动化工具进行侦察与利用的效率大幅提升，这对企业的应急响应能力提出了前所未有的挑战。
核心漏洞风险概览
此次被列入KEV目录的漏洞涉及多个广泛使用的组件与平台，风险等级均较高：
首先是Langflow代码注入漏洞（CVE-2026-9198），该漏洞评分为9.8，允许未经身份验证的攻击者在默认部署环境下执行远程代码。从我们的应急响应经验来看，AI应用开发平台的安全性往往容易被开发团队忽视，由于其承载了大量的业务逻辑与敏感数据，此类漏洞一旦被利用，极易导致整个后端基础设施的失陷。
其次是Apache Tomcat的加密拦截绕过漏洞（CVE-2026-34486），该漏洞允许攻击者绕过集群节点间的预共享密钥加密机制。这一环节是很多企业容易忽视的，往往认为内部集群通信是安全的，从而降低了对相关组件补丁更新的优先级。
最后是N-able N-central的身份验证绕过漏洞（CVE-2026-18556及CVE-2026-18577）。值得关注的是，该漏洞因初始补丁修复不完整而引发了后续的二次更新，这也提醒广大运维人员，在执行补丁修复后，应密切关注厂商的后续安全公告，确认漏洞是否被彻底闭环。
AI驱动的自动化攻击新常态
本次事件中，最值得警惕的是针对CVE-2026-34486的利用行为。据分析，相关活动与名为“knaithe”或“KnYuan”的攻击组织有关。该组织展现出了极高的技术水平，通过Hermes Agent框架调用DeepSeek AI模型，实现了从漏洞侦察到利用的自动化闭环。
从监测情况来看，该攻击者并非盲目扫描，而是利用AI进行自主分析，在攻击受阻时，系统会自动切换策略，尝试寻找更高价值的漏洞（如n8n漏洞）以绕过环境限制。这种“自主决策”的攻击模式，将以往需要数百小时的人工分析时间缩短至几分钟，极大地提升了攻击者的资源利用效率和成功率。
Solar安全建议与防御策略
针对日益复杂的攻击手段，Solar应急响应团队建议企业采取以下措施：
第一，建立快速补丁响应机制。对于CISA KEV目录中的漏洞，企业应将其视为最高优先级任务，在规定时间内完成排查与修复，消除攻击窗口。
第二，强化内网安全性。正如Tomcat漏洞所揭示的，不应盲目信任内网环境。建议对集群间通信实施更严格的访问控制与双向认证，确保敏感数据在传输过程中即使被截获也无法被解密。
第三，警惕AI辅助侦察。攻击者正在利用AI优化扫描范围以节省计算资源，这意味着针对性的自动化探测将变得更加隐蔽。建议企业在边缘设备上部署行为分析引擎，重点监测异常的自动化交互流量，而非仅仅依赖传统的特征匹配。
类似攻击近年来明显增加，AI不仅改变了防御侧的手段，也大幅降低了攻击者的技术门槛。企业需持续提升资产的可视化管理水平，确保在面对新兴威胁时，能够快速定位受影响资产并实施有效的隔离措施。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com