CISA bổ sung sáu lỗ hổng đã bị khai thác vào danh mục
"CISA added six vulnerabilities to its Known Exploited Vulnerabilities (KEV) Catalog due to evidence of active exploitation. The affected products include Cisco BroadWorks, Barracuda Networks products, Openwave Messaging, Microsoft Outlook, and Google Chromium (CVEs: 2026-20320, 2026-111560, 2026-111793, 2026-116606, 2026-124194, 2026-125350). Federal agencies are required to prioritize remediation of these vulnerabilities per Binding Operational Directive 26-04."
Các lỗ hổng này tạo ra nguy cơ leo thang đặc quyền và bỏ qua cơ chế bảo mật, có thể dẫn đến mất kiểm soát hệ thống.
Việc khai thác các lỗ hổng này có thể gây gián đoạn hoạt động, mất dữ liệu và thiệt hại uy tín cho doanh nghiệp. Chi phí khắc phục cũng có thể đáng kể.
CISA vừa thêm sáu lỗ hổng vào Danh mục Lỗ hổng Đã Bị Khai Thác (KEV) do có bằng chứng về việc khai thác thực tế. Các sản phẩm bị ảnh hưởng bao gồm Cisco BroadWorks, sản phẩm của Barracuda Networks, Openwave Messaging, Microsoft Outlook và Google Chromium (CVE: 2026-20320, 2026-111560, 2026-111793, 2026-116606, 2026-124194, 2026-125350).
Các lỗ hổng này thường là đường tấn công phổ biến của các tác nhân mạng độc hại và gây rủi ro đáng kể cho các cơ quan liên bang. Chỉ thị Vận hành Bắt buộc (BOD) 26-04 yêu cầu các cơ quan FCEB ưu tiên khắc phục các lỗ hổng này.
CISA khuyến khích tất cả các tổ chức áp dụng quản lý lỗ hổng dựa trên rủi ro và ưu tiên khắc phục các lỗ hổng trong KEV Catalog. Bạn có thể đề xuất thêm lỗ hổng vào danh mục thông qua Mẫu Đề xuất KEV của CISA.
Câu hỏi thường gặp
KEV Catalog là gì?
KEV Catalog là danh mục các lỗ hổng đã bị khai thác, do CISA biên soạn. Nó giúp các tổ chức ưu tiên khắc phục các lỗ hổng có rủi ro cao nhất.
BOD 26-04 yêu cầu gì?
BOD 26-04 yêu cầu các cơ quan FCEB ưu tiên khắc phục nhanh chóng các lỗ hổng trong KEV Catalog, đặc biệt là những lỗ hổng có thể chiếm quyền kiểm soát hệ thống.
Làm thế nào để đề xuất thêm lỗ hổng vào KEV Catalog?
Bạn có thể sử dụng Mẫu Đề xuất KEV của CISA để đề xuất lỗ hổng. Lỗ hổng cần có CVE ID, bằng chứng về việc khai thác và hướng dẫn khắc phục.
Góc nhìn cộng đồng
Tổng hợp từ thảo luận công khai. Chỉ những ý có link nguồn. Không thêm ý kiến khi không tìm thấy.
- Hacker Newsthrow555chip
Một người dùng trên Hacker News chỉ ra các lỗ hổng liên quan đến Microsoft Windows, bao gồm leo thang đặc quyền và bỏ qua tính năng bảo mật.
Xem thảo luận ➔
Góc nhìn của Orange Cloud
Theo chúng tôi, việc CISA liên tục cập nhật danh mục KEV là tín hiệu quan trọng cho các doanh nghiệp Việt Nam, đặc biệt là những tổ chức sử dụng các sản phẩm bị ảnh hưởng. Điều đáng chú ý là BOD 26-04 chỉ áp dụng cho các cơ quan liên bang, nhưng việc chủ động vá các lỗ hổng này vẫn là biện pháp bảo mật tốt cho mọi tổ chức.