CISA bổ sung hai lỗ hổng PHP đã bị khai thác vào danh mục
"CISA added CVE-2026-109618 and CVE-2026-109619, both PHP vulnerabilities (memory corruption and stale request-state), to its Known Exploited Vulnerabilities (KEV) Catalog. These vulnerabilities are frequent attack vectors and pose significant risk. Federal agencies are required to rapidly remediate KEV Catalog vulnerabilities per BOD 26-04, and CISA encourages all organizations to prioritize them."
Các lỗ hổng PHP này có thể dẫn đến thực thi mã từ xa và mất dữ liệu. Việc khai thác thành công có thể gây ra gián đoạn dịch vụ.
Doanh nghiệp sử dụng PHP có thể gặp gián đoạn hoạt động và mất uy tín nếu bị tấn công. Chi phí khắc phục và phục hồi cũng có thể đáng kể.
CISA vừa thêm hai lỗ hổng bảo mật PHP (CVE-2026-109618 – lỗi tràn bộ nhớ và CVE-2026-109619 – lỗi trạng thái yêu cầu cũ) vào danh mục KEV (Known Exploited Vulnerabilities – các lỗ hổng đã bị khai thác). Các lỗ hổng này thường bị tấn công và gây rủi ro lớn.
Theo chỉ thị BOD 26-04, các cơ quan liên bang bắt buộc phải khắc phục nhanh các lỗ hổng trong danh mục KEV. CISA khuyến khích tất cả tổ chức ưu tiên xử lý các lỗ hổng này. Việc này đặc biệt quan trọng với các hệ thống có quyền truy cập cao.
BOD 26-04 yêu cầu các cơ quan kiểm tra xem hệ thống có bị xâm nhập trước khi vá lỗi hay không. Dù chỉ áp dụng cho FCEB, CISA khuyến nghị các tổ chức khác cũng nên áp dụng quản lý lỗ hổng dựa trên rủi ro và ưu tiên vá các lỗ hổng KEV. CISA sẽ tiếp tục cập nhật danh mục này. Bạn có thể đề xuất thêm lỗ hổng thông qua mẫu KEV Nomination Form.
Câu hỏi thường gặp
KEV Catalog là gì?
KEV Catalog (Known Exploited Vulnerabilities Catalog) là danh mục các lỗ hổng đã bị khai thác, do CISA biên soạn. Các lỗ hổng này thường là mục tiêu của các cuộc tấn công mạng.
BOD 26-04 yêu cầu gì?
BOD 26-04 yêu cầu các cơ quan liên bang khắc phục nhanh các lỗ hổng trong KEV Catalog và kiểm tra xem hệ thống có bị xâm nhập trước khi vá lỗi hay không.
Làm thế nào để đề xuất thêm lỗ hổng vào KEV Catalog?
Bạn có thể đề xuất thêm lỗ hổng thông qua mẫu KEV Nomination Form. Lỗ hổng cần có CVE ID, bằng chứng về việc khai thác và hướng dẫn khắc phục.
Góc nhìn cộng đồng
Tổng hợp từ thảo luận công khai. Chỉ những ý có link nguồn. Không thêm ý kiến khi không tìm thấy.
- Hacker Newsthrow555chip
Một người dùng cho rằng có nhiều lỗ hổng khác trong Microsoft Windows cũng cần được chú ý, bao gồm các lỗ hổng leo thang đặc quyền và bỏ qua tính năng bảo mật.
Xem thảo luận ➔
Góc nhìn của Orange Cloud
Theo chúng tôi, việc CISA cập nhật danh mục KEV này cho thấy tầm quan trọng của việc vá lỗi nhanh chóng, đặc biệt là các lỗ hổng đã bị khai thác. Các doanh nghiệp Việt Nam sử dụng PHP cần kiểm tra và vá lỗi ngay lập tức. Điều đáng chú ý là việc kiểm tra xem hệ thống đã bị xâm nhập trước khi vá lỗi là một bước quan trọng để đảm bảo an toàn.