CISA đặt hạn chót khẩn để vá lỗ hổng Cisco và PTC đang bị khai thác
"CISA added CVE-2026-20230, a critical SSRF vulnerability in Cisco Unified Communications Manager Server, to its Known Exploited Vulnerabilities catalog after evidence of active exploitation in attacks that can write arbitrary text files. CISA also added CVE-2026-12569, a critical RCE flaw in PTC Windchill and FlexPLM, and set a June 28 remediation deadline for federal agencies under BOD 26-04; both issues have vendor patches and recommended mitigations available."
Nguy cơ cao do SSRF có thể dẫn tới ghi tệp tùy ý và lỗ hổng RCE có thể thực thi mã từ xa; cả hai đều đã được đưa vào KEV và có bằng chứng khai thác.
Hạn chót theo BOD 26-04 tạo áp lực tuân thủ và có thể gây gián đoạn vận hành hệ thống UC/PLM nếu cần thay đổi kế hoạch vá hoặc tạm dừng dịch vụ.
Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) yêu cầu các cơ quan liên bang khắc phục trong thời hạn rất gấp hai lỗ hổng đã được ghi nhận trong danh mục Known Exploited Vulnerabilities (KEV).
Với CVE-2026-20230, CISA cho biết đây là lỗ hổng SSRF trong Cisco Unified Communications Manager Server và đã có bằng chứng bị khai thác trong các cuộc tấn công. CISA viện dẫn BOD 26-04 để xác định mức độ “urgent”, yêu cầu hoàn tất xử lý trước ngày 28/6. Cisco đánh dấu lỗ hổng ở mức critical, phát hành bản vá ngày 3/6 và cảnh báo có thể bị khai thác từ xa, không cần xác thực thông qua các yêu cầu HTTP được chế tạo đặc biệt. Dữ liệu quan sát gần đây cho thấy kẻ tấn công có thể ghi tệp văn bản tùy ý lên hệ thống bị ảnh hưởng.
Ngoài ra, CISA cũng thêm CVE-2026-12569 (lỗ hổng RCE do deserialization dữ liệu không tin cậy) vào KEV. Lỗ hổng ảnh hưởng các phiên bản PTC Windchill và FlexPLM nêu trong advisory của nhà cung cấp. CISA đặt cùng hạn chót 28/6, khuyến nghị áp dụng bản cập nhật bảo mật và biện pháp giảm thiểu do nhà cung cấp hướng dẫn, hoặc dừng sử dụng các sản phẩm liên quan nếu chưa thể vá kịp.