仍有25萬臺Windows PC未修補BlueKeep、臺灣名列未修補SMBGhost漏洞之冠

還記得Bluekeep、SMBGhost這些重大漏洞嗎？但如果你以為應該沒有人再受害就錯了，因為根據統計，至少還有數十萬臺電腦還有上述漏洞沒修補，其中臺灣還有2.2萬臺Windows電腦未修補SMBGhost漏洞。

美國網路安全非營利組織的SANS Institute本周發布調查報告。他們利用漏洞掃瞄工具Shodan來掃瞄未修補的連網裝置，並以其他工具加以驗證。研究人員Jan Kopriva發現一些名噪一時的漏洞，包括2019年的BlueKeep（CVE-2019-0708）、2014年的HeartBleed（CVE-2014-0160）仍有相當比例的裝置沒有修補，雖然數量逐年下降。以風險評分9.8的BlueKeep而言，仍有24.7萬臺Windows電腦未修補RDP上的RCE漏洞。風險評分7.5的Heartbleed也有20萬臺電腦未修補。

SANS Institute另一份報告顯示，今年一個影響Windows 10 Microsoft Server Message Block 3.1.1的SMBGhost（CVE-2020-0796）還有10萬臺Windows電腦沒有修補。分析這10萬臺電腦座落的IP位址，有超過1/5（22%）位於臺灣為所有國家之冠。其次為日本（20%）、俄羅斯（11%）及美國（9%）。

遠端攻擊者可對Windows電腦之SMBv3服務，發送特製請求或架設惡意SMBv3伺服器誘騙受害者進行連線，以遠端任意程式碼攻擊。這個漏洞為「wormable」的漏洞，意謂使用者無需動作，駭客即可成功開採，CVSS 3.0評分達最高等級的10.0。基於其風險，微軟今年3月緊急修補，美國政府也發出安全公告呼籲用戶儘速更新作業系統。

其他經媒體大量報導的漏洞，包括2015年IIS Web伺服器的重大風險（10.0）RCE漏洞，以及2019年風險評分9.8的Exim MTA的RCE漏洞，也都各有37萬及26萬臺電腦沒有修補。