CISA bổ sung bốn lỗ hổng đã bị khai thác vào danh mục
"CISA added four vulnerabilities to its Known Exploited Vulnerabilities (KEV) Catalog (CVE-2026-102895, CVE-2026-116779, CVE-2026-123158, CVE-2026-123218) due to evidence of active exploitation. These vulnerabilities affect GPUStack, SignalWire FreeSwitch, OpenBSD OpenSSH, and IBM Aspera Faspex. Federal agencies are required to prioritize remediation of these vulnerabilities per Binding Operational Directive 26-04."
Việc các lỗ hổng này bị khai thác có thể dẫn đến privilege escalation (tăng quyền) và security bypass (vượt qua bảo mật), gây nguy hiểm cho hệ thống.
Các doanh nghiệp có thể gặp gián đoạn hoạt động và tổn thất tài chính do các cuộc tấn công khai thác các lỗ hổng này. Việc vá lỗi kịp thời giúp giảm thiểu downtime (thời gian ngừng hoạt động).
CISA vừa thêm bốn lỗ hổng (CVE-2026-102895, CVE-2026-116779, CVE-2026-123158, CVE-2026-123218) vào danh mục KEV (Known Exploited Vulnerabilities - Lỗ hổng đã biết bị khai thác) do có bằng chứng về việc chúng đang bị tấn công. Các lỗ hổng này ảnh hưởng đến GPUStack, SignalWire FreeSwitch, OpenBSD OpenSSH và IBM Aspera Faspex.
Đây là thông tin quan trọng với các kỹ sư và doanh nghiệp Việt Nam đang sử dụng các phần mềm này, đặc biệt là các tổ chức chính phủ. Việc vá các lỗ hổng này giúp giảm thiểu rủi ro bị tấn công.
Binding Operational Directive (BOD) 26-04 yêu cầu các cơ quan liên bang ưu tiên khắc phục các lỗ hổng này. BOD 26-04 nhấn mạnh tầm quan trọng của danh mục KEV và yêu cầu các cơ quan liên bang khắc phục nhanh chóng các lỗ hổng rủi ro cao, đặc biệt là những lỗ hổng được liệt kê trong danh mục KEV của CISA trên các tài sản công khai. CISA khuyến khích tất cả các tổ chức áp dụng quản lý lỗ hổng dựa trên rủi ro và ưu tiên khắc phục các lỗ hổng trong danh mục KEV. Bạn có thể đề xuất thêm lỗ hổng vào danh mục KEV thông qua biểu mẫu của CISA.
Câu hỏi thường gặp
KEV Catalog là gì?
KEV Catalog (Danh mục lỗ hổng đã biết bị khai thác) là danh sách các lỗ hổng bảo mật mà CISA xác nhận đã bị khai thác trong các cuộc tấn công thực tế. Nó giúp các tổ chức ưu tiên khắc phục các lỗ hổng nguy hiểm nhất.
BOD 26-04 áp dụng cho ai?
BOD 26-04 áp dụng cho các cơ quan liên bang thuộc nhánh điều hành dân sự (Federal Civilian Executive Branch - FCEB). Tuy nhiên, CISA khuyến khích tất cả các tổ chức áp dụng các nguyên tắc của BOD 26-04.
Làm thế nào để đề xuất thêm lỗ hổng vào KEV Catalog?
Bạn có thể sử dụng biểu mẫu KEV Nomination Form của CISA. Lỗ hổng đề xuất cần có CVE ID, bằng chứng về việc khai thác và hướng dẫn khắc phục.
Góc nhìn cộng đồng
Tổng hợp từ thảo luận công khai. Chỉ những ý có link nguồn. Không thêm ý kiến khi không tìm thấy.
- Hacker Newsthrow555chip
Một người dùng trên Hacker News chỉ ra các lỗ hổng khác trong Microsoft Windows cũng được báo cáo gần đây, cho thấy Microsoft đang gặp nhiều vấn đề về bảo mật.
Xem thảo luận ➔
Góc nhìn của Orange Cloud
Theo chúng tôi, việc CISA liên tục cập nhật danh mục KEV là dấu hiệu cho thấy các cuộc tấn công mạng đang diễn ra phức tạp. Các doanh nghiệp Việt Nam nên xem xét tích hợp thông tin từ danh mục này vào quy trình quản lý vulnerability management (quản lý lỗ hổng) của mình. Điều đáng chú ý là BOD 26-04 chỉ áp dụng cho các cơ quan liên bang, nhưng việc tuân thủ các tiêu chuẩn tương tự sẽ giúp tăng cường security posture (tư thế bảo mật) cho mọi tổ chức.