CISA 就 Commvault Web 服务器漏洞发布警告，称该漏洞可能被利用

网络安全和基础设施安全局 (CISA) 已将Commvault Web 服务器漏洞 (CVE-2025-3928) 添加到其已知被利用漏洞 (KEV) 目录中，这表明威胁行为者正在积极利用此安全漏洞。 

该机构于 2025 年 4 月 28 日宣布了这一补充，要求联邦机构在 2025 年 5 月 17 日之前根据具有约束力的操作指令 (BOD) 22-01 修复该漏洞。

Commvault Web 服务器未指定漏洞 – CVE-2025-3928 

CVE-2025-3928 被归类为影响 Commvault Web Server 的“未指定漏洞”，该漏洞使经过身份验证的远程攻击者能够在受感染的系统上创建和执行 Webshel​​l。 

根据国家漏洞数据库，此高严重性漏洞的 CVSS 基本评分为 8.8，反映了其巨大潜在影响。

CISA 引用的 Commvault 建议指出：“不良行为者可以通过创建和执行 webshel​​l 来破坏 Web 服务器。” 

这种类型的攻击允许恶意行为者以 Web 服务器的权限执行任意命令，同时保持对受感染系统的持续访问。

该漏洞的漏洞预测评分系统 (EPSS) 分数为 0.10%，表明未来 30 天内被主动利用的可能性。 

尽管这一比例相对较低，但 CISA 将该漏洞添加到 KEV 目录中，证实了漏洞利用已经发生。

受影响的系统和修补版本

该安全漏洞影响 Windows 和 Linux 平台上的 Commvault Web Server 部署。Commvault 已在以下版本中修复此漏洞：

• 11.36.46
• 1989年11月32日
• 11.28.141
• 11.20.217

运行该软件早期版本的组织仍然容易受到潜在攻击。

CISA建议各组织在 5 月 17 日截止日期之前采取以下行动之一：

• 根据供应商的说明采取缓解措施
• 遵循适用的 BOD 22-01 云服务指南
• 如果没有缓解措施，请停止使用该产品

虽然 BOD 22-01 要求正式仅适用于联邦民事行政部门 (FCEB) 机构，但 CISA 强烈鼓励所有组织优先及时修复目录漏洞作为其安全实践的一部分。