美国网络安全和基础设施安全局（CISA）发布了BOD 26-04指令，要求联邦机构在3天内修复高危漏洞。新指令强调根据攻击者的真实路径优先修复漏洞，并引入四个变量评估漏洞风险，允许在系统升级时修复某些漏洞，以集中资源应对真正的威胁。这一变化可能影响全球安全标准，推动更有效的漏洞管理。

CISA发布的零信任成熟度模型（ZTMM）v2.0将零信任分为五个支柱，每个支柱有四个成熟度等级。该模型旨在帮助组织评估零信任实施的进展，识别弱项并设定优先级。ZTMM适用于美国联邦机构，私营企业需灵活调整。模型不提供量化指标或成本分析，强调长期目标为达到高级成熟度。

全球网络安全事件频发，Linux内核漏洞被用于勒索攻击。CISA发布安全指南，警告多种高危漏洞。恶意应用窃取用户数据，企业需加强防护，及时更新系统和监控异常活动。

美国网络安全和基础设施安全局发布《CISA战略重点：CVE质量提升路线图》，明确未来CVE计划的优先事项，强调提升漏洞管理质量，推动国际合作与透明度，旨在增强全球网络安全能力。

美国CISA警告微软WSUS存在严重RCE漏洞（CVE-2025-59287），攻击者可远程执行任意代码，威胁IT基础设施。微软已发布紧急补丁，建议立即修复受影响系统，以防止恶意软件传播。

美国CISA于2025年10月20日发布警报，指出Windows SMB客户端存在严重漏洞（CVE-2025-33073），可能导致攻击者权限提升。该漏洞利用SMB协议，攻击者可诱骗用户执行恶意脚本，绕过防护措施。专家警告，未修补系统面临数据泄露风险，建议立即应用补丁并监控SMB流量。

美国CISA已将Adobe Experience Manager（AEM）中的高危漏洞CVE-2025-54253列入已知被利用漏洞目录，CVSS评分为10.0，攻击者可在未授权情况下执行任意代码。该漏洞影响AEM Forms 6.5.23及更早版本，源于配置错误。Adobe已确认此漏洞并要求联邦机构在2025年11月5日前修复。

美国国土安全部将网络安全人员调至非网络安全岗位，影响CISA的威胁响应能力。专家警告，人员短缺将增加网络犯罪风险，企业需加强自主防御和信息共享。

美国CISA发布警报，称名为"Shai-Hulud"的自复制蠕虫已渗透500多个npm软件包，利用开发者凭证注入恶意代码，窃取GitHub和云服务API密钥，并通过npm CLI传播木马版本。CISA建议开发者检查依赖、轮换凭证并加强安全措施，以防止蠕虫扩散。

微软因未修复安全漏洞受到指责，导致医疗系统遭受攻击。SaaS供应链攻击影响超过700家企业，AMD与英特尔处理器存在新漏洞。苹果警告间谍软件攻击，AI工具Cursor存在安全隐患，恶意Chrome扩展窃取登录凭证。NVIDIA和PyInstaller工具的漏洞需及时修复，SonicWall防火墙漏洞被利用，CISA警告高危漏洞活跃利用。

美国CISA已将达索系统DELMIA Apriso中的高危漏洞CVE-2025-5086列入已知被利用漏洞目录，存在远程代码执行风险。该漏洞源于不可信数据反序列化，攻击者可通过特定请求利用。达索系统已发布补丁，建议受影响机构尽快更新。

编号CVE-2025-7775的严重远程代码执行漏洞已影响全球2.8万台Citrix服务器，并被攻击者利用。CISA建议尽快安装补丁，以防止数据窃取或勒索，建议立即更新系统并采取临时防护措施。

美国网络安全局(CISA)新增三项漏洞警告，恶意攻击者正在利用其中两个Citrix Session Recording漏洞和一个风险更高的Git漏洞，可能导致供应链攻击。CISA要求联邦机构在2025年9月15日前修复这些漏洞。

美国CISA警告，趋势科技Apex One管理控制台存在高危命令注入漏洞（CVE-2025-54948），攻击者可远程执行命令。建议立即安装补丁或停用相关产品以防止攻击。

2025年网络安全形势严峻，DDoS攻击增加39%。越界读写漏洞和WinRAR零日漏洞频发，CISA建议用户及时升级。微软Office和FIDO通行密钥面临新威胁，需加强防护。