Silverlight零時漏洞小心遭惡意網站攻擊

以Kafeine之名著稱的安全研究人員發現微軟Silverlight一項零時攻擊漏洞已經由駭客工具企圖並透過植入網站以感染用戶。

被攻擊的是微軟一項Silverlight Runtime遠距程式碼執行漏洞，編號為CVE-2016-0034。在沒有修補的系統上，如果使用者被誘騙點入連結，造訪了包含刻意變造的Silverlight應用程式，就會遭到感染攻擊。受影響的平台包括Windows與Mac。

這項漏洞其實已存在兩年，去年7月駭客服務公司Hacking Team遭到入侵並被公開大批資料的事件中，發現當中有Silverlight漏洞攻擊程式碼。安全公司Kaspersky發現Silverlight攻擊已經在網路蔓延開來，微軟在經過通報後於上個月的安全公告加以修補。
不過如果使用者未更新到最新版Silverlight，得要特別小心。Kafeine發現最近更新的網路犯罪工具Angler也開始散佈這段程式碼，被植入網站後，就可透過掛馬攻擊感染使用者電腦。至於攻擊程式碼是否來自Hacking Team則不得而知。

安全公司呼籲，Mac與Windows PC用戶應儘速升級其Silverlight，安裝的版本應在5.1.41212.0版以上。