CISA bổ sung lỗ hổng TOCTOU trong WordPress vào danh mục bị khai thác
"CISA added CVE-2026-119977, a Time-of-check Time-of-use (TOCTOU) race condition in WordPress Core, to its Known Exploited Vulnerabilities (KEV) Catalog due to evidence of active exploitation. This vulnerability is considered a significant risk, particularly for the federal enterprise. Federal agencies are required to prioritize remediation of KEV Catalog vulnerabilities per BOD 26-04, and CISA encourages all organizations to do the same."
Lỗ hổng TOCTOU trong WordPress Core cho phép kẻ tấn công kiểm soát toàn bộ hệ thống sau khi khai thác, gây ra rủi ro bảo mật nghiêm trọng.
Các doanh nghiệp sử dụng WordPress có thể bị mất dữ liệu hoặc gián đoạn dịch vụ nếu không vá lỗ hổng này kịp thời. Chi phí khắc phục sự cố có thể rất lớn.
CISA vừa thêm CVE-2026-119977, một lỗi Time-of-check Time-of-use (TOCTOU) trong WordPress Core, vào danh mục Known Exploited Vulnerabilities (KEV). Lỗ hổng này đang bị khai thác tích cực. Đây là rủi ro lớn, đặc biệt với các cơ quan chính phủ liên bang Mỹ.
Theo chỉ thị BOD 26-04, các cơ quan liên bang phải ưu tiên vá các lỗ hổng trong KEV Catalog. CISA khuyến khích tất cả tổ chức làm tương tự. Lỗi TOCTOU là một vector tấn công phổ biến, cho phép kẻ tấn công kiểm soát toàn bộ hệ thống sau khi khai thác.
BOD 26-04 yêu cầu các cơ quan kiểm tra xem hệ thống đã bị xâm nhập trước khi vá chưa. Tuy chỉ áp dụng cho các cơ quan liên bang, CISA khuyến nghị mọi tổ chức nên quản lý lỗ hổng dựa trên rủi ro và ưu tiên vá các lỗ hổng KEV. Bạn có thể đề xuất thêm lỗ hổng vào KEV Catalog qua CISA’s KEV Nomination Form.
Câu hỏi thường gặp
KEV Catalog là gì?
KEV Catalog là danh mục các lỗ hổng đã được xác nhận là đang bị khai thác tích cực, do CISA quản lý. Các cơ quan liên bang Mỹ phải ưu tiên vá các lỗ hổng này theo chỉ thị BOD 26-04.
Lỗ hổng TOCTOU là gì?
TOCTOU (Time-of-check Time-of-use) là một loại lỗ hổng xảy ra khi trạng thái của một đối tượng thay đổi giữa thời điểm kiểm tra và thời điểm sử dụng, tạo cơ hội cho kẻ tấn công.
BOD 26-04 yêu cầu gì?
BOD 26-04 yêu cầu các cơ quan liên bang ưu tiên vá các lỗ hổng trong KEV Catalog, đặc biệt là các lỗ hổng cho phép kiểm soát toàn bộ hệ thống sau khi khai thác. Họ cũng phải kiểm tra xem hệ thống đã bị xâm nhập trước khi vá chưa.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc CISA đưa lỗ hổng WordPress này vào KEV Catalog cho thấy mức độ nghiêm trọng của vấn đề. Các doanh nghiệp Việt Nam sử dụng WordPress cần kiểm tra ngay và vá bản cập nhật sớm nhất có thể. Điều đáng chú ý là lỗ hổng TOCTOU có thể khó phát hiện, nên việc cập nhật thường xuyên là cần thiết.