CISA bổ sung 2 lỗ hổng đã bị khai thác vào danh mục
"CISA added CVE-2026-97229 (GitLab) and CVE-2026-76418 (Cisco) to its Known Exploited Vulnerabilities (KEV) Catalog due to evidence of active exploitation. These vulnerabilities pose significant risks, particularly to federal agencies. Federal agencies are required to prioritize remediation of KEV Catalog vulnerabilities per BOD 26-04."
Hai lỗ hổng CVE-2026-97229 và CVE-2026-76418 đang bị khai thác, tạo ra rủi ro cao cho các hệ thống dễ bị tấn công. Việc không vá lỗi kịp thời có thể dẫn đến mất kiểm soát hệ thống.
Các doanh nghiệp có sử dụng GitLab hoặc Cisco Secure Firewall ASA Software/FTD Software cần ưu tiên kiểm tra và vá các lỗ hổng này để tránh gián đoạn hoạt động và mất dữ liệu. Chi phí khắc phục có thể tăng lên nếu để lỗ hổng bị khai thác.
CISA vừa thêm hai lỗ hổng: CVE-2026-97229 (GitLab) và CVE-2026-76418 (Cisco) vào danh mục KEV (Known Exploited Vulnerabilities - Lỗ hổng đã bị khai thác). CISA ghi nhận bằng chứng về việc hai lỗ hổng này đang bị tấn công tích cực.
Đây là vấn đề các kỹ sư bảo mật Việt Nam cần quan tâm vì các lỗ hổng này thường là điểm yếu để kẻ tấn công nhắm tới. Đặc biệt, các cơ quan chính phủ Mỹ phải ưu tiên khắc phục theo chỉ thị BOD 26-04.
BOD 26-04 yêu cầu các cơ quan liên bang ưu tiên vá các lỗ hổng trong danh mục KEV, đặc biệt là các lỗ hổng cho phép kẻ tấn công kiểm soát hoàn toàn hệ thống. Các lỗ hổng rủi ro thấp hơn có thể được xử lý sau. Chỉ thị này cũng yêu cầu kiểm tra xem hệ thống đã bị xâm nhập trước khi vá hay chưa.
CISA khuyến khích tất cả tổ chức áp dụng quản lý lỗ hổng dựa trên rủi ro và ưu tiên khắc phục các lỗ hổng trong danh mục KEV. Bạn có thể đề xuất thêm lỗ hổng vào danh mục KEV qua mẫu đề xuất của CISA. Lỗ hổng đề xuất cần có CVE ID, bằng chứng khai thác và hướng dẫn khắc phục.
Câu hỏi thường gặp
KEV Catalog là gì?
KEV Catalog (Danh mục lỗ hổng đã bị khai thác) là danh sách các lỗ hổng bảo mật mà CISA đã xác nhận là đang bị khai thác tích cực. Các cơ quan liên bang Mỹ phải ưu tiên khắc phục các lỗ hổng này.
BOD 26-04 yêu cầu gì?
BOD 26-04 yêu cầu các cơ quan liên bang ưu tiên vá các lỗ hổng trong KEV Catalog, đặc biệt là các lỗ hổng cho phép kiểm soát hoàn toàn hệ thống. Nó cũng yêu cầu kiểm tra xem hệ thống đã bị xâm nhập trước khi vá.
Làm thế nào để đề xuất thêm lỗ hổng vào KEV Catalog?
Bạn có thể đề xuất lỗ hổng qua mẫu đề xuất của CISA. Lỗ hổng cần có CVE ID, bằng chứng khai thác và hướng dẫn khắc phục.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc CISA liên tục cập nhật danh mục KEV là tín hiệu quan trọng cho thấy môi trường đe dọa đang thay đổi nhanh chóng. Các doanh nghiệp Việt Nam, đặc biệt là các tổ chức chính phủ và tài chính, nên xem xét tích hợp thông tin từ KEV Catalog vào quy trình quản lý lỗ hổng của mình. Điều đáng chú ý là việc kiểm tra xem hệ thống đã bị xâm nhập trước khi vá lỗi là một bước quan trọng để đánh giá mức độ nghiêm trọng của sự cố.