CISA: Các lỗ hổng bị khai thác nhiều vẫn là lỗi cơ bản kéo dài
"CISA reported that the most frequently exploited vulnerabilities in 2024-2025 were largely long-standing weakness classes, including improper input validation (CWE-20), cross-site scripting (CWE-79), OS command injection (CWE-78), SQL injection (CWE-89), and path traversal (CWE-22). The agency said these issues persist due to gaps in Secure by Design adoption and recommended vendors and organizations prioritize secure development practices, SBOMs, and stronger vulnerability management to reduce exploitation."
Tác động bảo mật cao do các lỗi CWE-20, CWE-79, CWE-78, CWE-89 và CWE-22 vẫn bị khai thác rộng rãi; điều này cho thấy rủi ro khai thác thực tế còn lớn và có thể dẫn đến xâm nhập hệ thống.
Ảnh hưởng vận hành đáng kể vì các lỗi cơ bản kéo dài làm tăng chi phí vá lỗi, rủi ro gián đoạn dịch vụ và áp lực lên đội ngũ an ninh; việc thiếu SBOM và quy trình Secure by Design cũng làm tăng rủi ro chuỗi cung ứng.
CISA cho biết các lỗ hổng bị khai thác nhiều nhất trong 2024-2025 chủ yếu vẫn là những nhóm lỗi đã tồn tại lâu năm, gồm CWE-20 (kiểm tra đầu vào không đúng), CWE-79 (XSS), CWE-78 (OS command injection), CWE-89 (SQL injection) và CWE-22 (path traversal). Theo cơ quan này, các vấn đề này tiếp tục xuất hiện do khoảng trống trong việc áp dụng Secure by Design (SBD) và trong quy trình phát triển phần mềm của nhà cung cấp.
CISA cho rằng nhiều lỗi trong số này đã được nhận diện từ nhiều năm trước nhưng vẫn xuất hiện trong CVE và KEV catalog, cho thấy việc vá lỗi và thiết kế an toàn chưa được ưu tiên đúng mức. Cơ quan này nhấn mạnh rằng các lỗi như improper input validation và memory safety vẫn là con đường khai thác đáng tin cậy đối với kẻ tấn công.
Khuyến nghị dành cho doanh nghiệp và nhà cung cấp gồm: ưu tiên phát triển an toàn, tăng cường quản lý lỗ hổng, áp dụng SBOM để theo dõi rủi ro chuỗi cung ứng, và cải thiện tự động hóa cho cấu hình, giám sát, cập nhật. CISA cũng khuyến nghị chỉ lựa chọn phần mềm từ các nhà cung cấp có trách nhiệm rõ ràng về kết quả bảo mật.