CISA bổ sung 2 lỗ hổng đã bị khai thác vào danh mục
"CISA added CVE-2026-41709 (Broadcom VMware ESX) and CVE-2026-46300 (Linux Kernel) to its Known Exploited Vulnerabilities (KEV) Catalog due to evidence of active exploitation. Federal agencies are required by BOD 26-04 to prioritize remediation of these vulnerabilities, particularly on publicly exposed assets. CISA encourages all organizations to adopt risk-based vulnerability management and prioritize KEV catalog vulnerabilities."
Việc các lỗ hổng trong VMware ESX và Linux Kernel bị khai thác có thể dẫn đến mất kiểm soát hệ thống và rò rỉ dữ liệu.
Các doanh nghiệp sử dụng VMware ESX và Linux Kernel có thể gặp gián đoạn hoạt động và tổn thất tài chính do các cuộc tấn công khai thác các lỗ hổng này.
CISA vừa thêm CVE-2026-41709 (Broadcom VMware ESX) và CVE-2026-46300 (Linux Kernel) vào danh mục KEV (Known Exploited Vulnerabilities - Các lỗ hổng đã bị khai thác). Cơ quan này ghi nhận bằng chứng về việc các lỗ hổng này đang bị khai thác tích cực.
Các cơ quan liên bang Mỹ phải ưu tiên vá các lỗ hổng này, đặc biệt trên các tài sản tiếp xúc công khai, theo chỉ thị BOD 26-04. CISA khuyến khích tất cả tổ chức áp dụng quản lý lỗ hổng dựa trên rủi ro và ưu tiên các lỗ hổng trong danh mục KEV.
BOD 26-04 yêu cầu các cơ quan thuộc nhánh hành pháp liên bang (FCEB) phải khắc phục nhanh các lỗ hổng rủi ro cao, đặc biệt là những lỗ hổng được liệt kê trong danh mục KEV của CISA trên các tài sản công khai. Chỉ thị này cũng quy định thời điểm các cơ quan cần kiểm tra xem hệ thống có bị xâm nhập trước khi vá hay không. CISA sẽ tiếp tục cập nhật danh mục KEV khi có đủ tiêu chí.
Bạn có thể đề xuất thêm lỗ hổng vào danh mục KEV thông qua CISA’s KEV Nomination Form. Lỗ hổng đề xuất cần có CVE ID, bằng chứng khai thác và hướng dẫn khắc phục rõ ràng.
Câu hỏi thường gặp
KEV là gì?
KEV là viết tắt của Known Exploited Vulnerabilities (Các lỗ hổng đã bị khai thác). Đây là danh mục các lỗ hổng bảo mật mà CISA xác nhận đã bị khai thác trong các cuộc tấn công thực tế.
BOD 26-04 là gì?
BOD 26-04 là chỉ thị của CISA yêu cầu các cơ quan liên bang Mỹ ưu tiên khắc phục các lỗ hổng bảo mật, đặc biệt là các lỗ hổng trong danh mục KEV, trên các tài sản tiếp xúc công khai.
Làm thế nào để đề xuất thêm lỗ hổng vào danh mục KEV?
Bạn có thể đề xuất thêm lỗ hổng thông qua CISA’s KEV Nomination Form. Lỗ hổng đề xuất cần có CVE ID, bằng chứng khai thác và hướng dẫn khắc phục.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc CISA cập nhật danh mục KEV có tác động trực tiếp đến các tổ chức sử dụng VMware ESX và Linux Kernel. Các doanh nghiệp Việt Nam đang sử dụng các nền tảng này nên kiểm tra ngay xem có bị ảnh hưởng không. Điều đáng chú ý là BOD 26-04 chỉ áp dụng cho các cơ quan liên bang Mỹ, nhưng việc tuân thủ các tiêu chuẩn bảo mật tương tự vẫn là một thực hành tốt cho mọi tổ chức.