CISA bổ sung lỗ hổng SQL injection trong Arista VeloCloud vào danh mục
"CISA added CVE-2026-114625, a SQL injection vulnerability in Arista VeloCloud Orchestrator, to its Known Exploited Vulnerabilities (KEV) Catalog due to evidence of active exploitation. This vulnerability is considered a high-risk attack vector. Federal agencies are required to prioritize remediation of KEV Catalog vulnerabilities per BOD 26-04, and CISA encourages all organizations to adopt risk-based vulnerability management."
Lỗ hổng SQL injection trong Arista VeloCloud Orchestrator có thể cho phép kẻ tấn công kiểm soát toàn bộ hệ thống sau khi khai thác thành công. Đây là một vector tấn công phổ biến và nguy hiểm.
Các doanh nghiệp sử dụng Arista VeloCloud Orchestrator có thể gặp gián đoạn dịch vụ và mất dữ liệu nếu lỗ hổng này bị khai thác. Việc khắc phục lỗ hổng là quan trọng để bảo vệ hệ thống.
CISA vừa thêm CVE-2026-114625, một lỗ hổng SQL injection trong Arista VeloCloud Orchestrator, vào danh mục Known Exploited Vulnerabilities (KEV). Bằng chứng cho thấy lỗ hổng này đang bị khai thác thực tế.
Đây là một vector tấn công rủi ro cao. Các cơ quan liên bang phải ưu tiên khắc phục các lỗ hổng trong danh mục KEV theo chỉ thị BOD 26-04. CISA khuyến khích tất cả tổ chức áp dụng quản lý lỗ hổng dựa trên rủi ro.
BOD 26-04 yêu cầu các cơ quan FCEB (Federal Civilian Executive Branch) ưu tiên khắc phục nhanh các lỗ hổng rủi ro cao, đặc biệt là các lỗ hổng được liệt kê trong danh mục KEV trên các tài sản công khai. Các lỗ hổng rủi ro thấp hơn có thể được xử lý sau. Chỉ thị này cũng quy định các cơ quan cần kiểm tra xem hệ thống có bị xâm nhập trước khi vá lỗi hay không.
CISA khuyến khích tất cả các tổ chức, không chỉ FCEB, áp dụng quản lý lỗ hổng dựa trên rủi ro và ưu tiên khắc phục các lỗ hổng KEV. Bạn có thể đề xuất thêm lỗ hổng vào danh mục KEV qua mẫu đề xuất của CISA.
Câu hỏi thường gặp
CVE-2026-114625 là gì?
CVE-2026-114625 là một lỗ hổng SQL injection trong Arista VeloCloud Orchestrator. Lỗ hổng này cho phép kẻ tấn công chèn mã SQL độc hại, có thể dẫn đến kiểm soát toàn bộ hệ thống.
BOD 26-04 áp dụng cho ai?
BOD 26-04 áp dụng cho các cơ quan thuộc nhánh hành pháp dân sự liên bang (FCEB). Tuy nhiên, CISA khuyến khích tất cả các tổ chức áp dụng các nguyên tắc trong chỉ thị này.
Làm thế nào để đề xuất thêm lỗ hổng vào danh mục KEV?
Bạn có thể đề xuất lỗ hổng qua mẫu đề xuất của CISA. Lỗ hổng cần có CVE ID, bằng chứng về việc bị khai thác và hướng dẫn khắc phục.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc CISA đưa lỗ hổng này vào danh mục KEV cho thấy mức độ nghiêm trọng và khả năng bị khai thác cao. Các doanh nghiệp Việt Nam sử dụng Arista VeloCloud Orchestrator cần kiểm tra ngay xem có bị ảnh hưởng không. Điều đáng chú ý là, ngay cả khi không thuộc FCEB, việc tuân thủ các nguyên tắc quản lý lỗ hổng dựa trên rủi ro của CISA vẫn là một thực hành bảo mật tốt.