CISA bổ sung 4 lỗ hổng KEV khi các cuộc tấn công VMware và Siemens gia tăng

Một tuần trong lĩnh vực an ninh mạng hiếm khi mang lại nhiều sự kiện cùng lúc đến vậy. Cơ quan An ninh Mạng và Cơ sở Hạ tầng (CISA) đã thêm bốn mục mới vào danh mục Lỗ hổng Đã Biết Bị Khai Thác của mình, các tác nhân liên quan đến Trung Quốc đã kết hợp các lỗ hổng để xâm nhập môi trường VMware, các công cụ do AI tạo ra xuất hiện trong các cuộc tấn công nhằm vào bộ điều khiển công nghiệp Siemens, và Oracle đã phát hành con số khổng lồ 943 bản vá trong một chu kỳ cập nhật duy nhất. Nếu xét riêng lẻ, bất kỳ sự kiện nào trong số này cũng đáng chú ý. Khi đặt cùng nhau, chúng cho thấy các tác nhân quốc gia, các băng nhóm ransomware, và giờ đây cả các nhà điều hành hỗ trợ bởi AI đang di chuyển nhanh như thế nào để vũ khí hóa các điểm yếu phần mềm trước khi bên phòng thủ có thể phản ứng.

Các mục KEV mới của CISA và vụ xâm nhập VMware

Danh mục Lỗ hổng Đã Biết Bị Khai Thác của CISA tồn tại để đánh dấu các lỗ hổng mà tin tặc đang sử dụng trong thực tế, giúp các cơ quan liên bang và tổ chức tư nhân có tín hiệu rõ ràng về những bản vá không thể trì hoãn. Bốn bổ sung trong tuần này phù hợp với một mô hình đã trở nên quen thuộc với những ai theo dõi các khuyến cáo của CISA: các lỗ hổng có vẻ biệt lập trên giấy tờ nhưng lại được kết hợp thành các cuộc xâm nhập mạng toàn diện khi các tác nhân đe dọa có được chúng.

Diễn biến quan trọng nhất liên quan đến bản cập nhật này là các tác nhân liên quan đến Trung Quốc được báo cáo đã khai thác một lỗ hổng VMware để xâm nhập một số lượng lớn mạng chỉ trong vài ngày. Kết hợp một lỗ hổng duy nhất thành một cuộc tấn công lan rộng nhanh chóng là một chiến thuật mà CISA đã nhiều lần cảnh báo trong những tháng gần đây. Những độc giả đã theo dõi cách CISA đánh dấu CVE-2026-31431 là lỗ hổng leo thang đặc quyền Linux bị khai thác tích cực hoặc cách CISA thêm các lỗ hổng Langflow, Tomcat và N-central vào danh sách KEV sẽ nhận ra cùng một động lực cơ bản: tin tặc di chuyển nhanh hơn chu kỳ vá lỗi, và các hệ thống chưa vá trở thành điểm xâm nhập gần như ngay khi một mã khai thác được công bố.

Phản ứng của CISA là rút ngắn thời gian. Các cơ quan liên bang phải tuân thủ Chỉ thị Vận hành Ràng buộc thường chỉ có vài ngày để khắc phục các lỗ hổng trong danh sách KEV sau khi chúng được thêm vào, và sự khẩn cấp đó phản ánh mức độ nhanh chóng mà các lỗ hổng này được khai thác sau khi công bố.

Các cuộc tấn công hỗ trợ bởi AI nhắm vào bộ điều khiển công nghiệp Siemens

Có lẽ phần mang tính tương lai nhất trong tin tức tuần này là cảnh báo rằng các công cụ hỗ trợ bởi AI hiện đang được sử dụng để tấn công bộ điều khiển logic khả trình (PLC) dòng S7 của Siemens, những thiết bị nền tảng đằng sau phần lớn tự động hóa công nghiệp trong lĩnh vực năng lượng, nước và sản xuất. Thay vì chỉ dựa vào các mã khai thác được viết thủ công, các tác nhân đe dọa dường như đang sử dụng AI để giúp xây dựng và tinh chỉnh các tập lệnh ngụy trang thành phần mềm hợp pháp, hạ thấp rào cản kỹ thuật để tấn công các hệ thống công nghiệp chuyên dụng mà trước đây từng bị coi là quá mờ nhạt để nhắm đến một cách thông thường.

Đây không phải là lần đầu tiên AI xuất hiện ở phía tấn công của phương trình. Các báo cáo trước đó về cách một tác nhân đe dọa nói tiếng Trung biến DeepSeek thành công cụ tấn công kiểu tự lái nhắm vào hơn 460 mục tiêu đã cho thấy AI tạo sinh có thể tăng tốc trinh sát và phát triển mã khai thác ở quy mô lớn như thế nào. Áp dụng cùng tốc độ đó vào các hệ thống điều khiển công nghiệp làm tăng đáng kể rủi ro, vì PLC thường điều khiển các quy trình vật lý như xử lý nước hoặc phân phối điện thay vì chỉ dữ liệu.

943 bản vá của Oracle và mối liên hệ với ransomware

Bản phát hành vá lỗi của Oracle trong chu kỳ này đã xử lý 943 vấn đề riêng lẻ trên toàn bộ danh mục sản phẩm của họ, một con số khổng lồ ngay cả theo tiêu chuẩn của một công ty phát hành các bản cập nhật lớn theo quý. Đối với các đội CNTT và an ninh, một bản phát hành quy mô như vậy có nghĩa là phải phân loại xem hàng trăm bản sửa lỗi nào áp dụng cho môi trường của họ và bản nào có rủi ro khai thác cao nhất.

Thời điểm quan trọng vì các tác nhân quốc gia và ransomware đã cho thấy một mô hình nhất quán là kết hợp các lỗ hổng mới được công bố thành các chiến dịch tống tiền toàn diện trước khi các tổ chức hoàn tất việc vá lỗi. Hành vi kết hợp tương tự đã được ghi nhận trong cách CISA và FBI mô tả chi tiết hai lỗ hổng thúc đẩy các cuộc tấn công ransomware Gunra, nơi các lỗ hổng truy cập ban đầu trở thành điểm khởi đầu cho việc mã hóa và đánh cắp dữ liệu. Một khoản nợ vá lỗi gần một nghìn mục chính xác là loại khoảng trống mà tin tặc tìm cách khai thác.

Điều này có nghĩa gì đối với bạn

Hầu hết độc giả không trực tiếp quản lý PLC Siemens hoặc phần mềm doanh nghiệp Oracle, nhưng bài học cơ bản áp dụng rộng rãi. Tin tặc, dù là các nhóm quốc gia hay các nhà điều hành hỗ trợ bởi AI, ngày càng nhắm vào khoảng trống giữa thời điểm một lỗ hổng được công bố và thời điểm nó thực sự được vá. Khoảng trống đó là nơi xảy ra xâm nhập, triển khai ransomware và lộ dữ liệu. Nếu bạn làm việc trong một tổ chức phụ thuộc vào hạ tầng VMware, thiết bị công nghiệp Siemens hoặc sản phẩm Oracle, hãy coi danh mục KEV của CISA như một danh sách kiểm tra ưu tiên thay vì tiếng ồn nền, và thúc đẩy việc vá lỗi nhanh chóng đối với bất kỳ mục nào được đánh dấu là đang bị khai thác tích cực.

Đối với người dùng hàng ngày, khía cạnh AI đáng được theo dõi chặt chẽ. Khi các công cụ AI giúp dễ dàng hơn trong việc xây dựng mã khai thác thuyết phục và ngụy trang các tập lệnh độc hại thành phần mềm hợp pháp, khối lượng và độ tinh vi của các cuộc tấn công nhắm vào cả doanh nghiệp và hạ tầng quan trọng sẽ tiếp tục tăng cao.

Những điểm chính

Các tổ chức nên ưu tiên vá lỗi bất kỳ hệ thống nào liên quan đến các mục KEV mới được CISA thêm vào, đặc biệt là hạ tầng VMware và Siemens tiếp xúc với internet. Các đội CNTT đối mặt với bản phát hành 943 bản vá của Oracle nên tập trung trước tiên vào các hệ thống hướng internet và có đặc quyền cao thay vì cố triển khai đồng loạt tất cả cùng một lúc. Bất kỳ ai chịu trách nhiệm về hệ thống điều khiển công nghiệp nên xem xét các khuyến cáo mới nhất về PLC Siemens và áp dụng các biện pháp giảm thiểu được khuyến nghị kịp thời, vì các công cụ tấn công hỗ trợ bởi AI đang hạ thấp ngưỡng kỹ năng để nhắm vào các thiết bị này. Cuối cùng, việc cập nhật liên tục các bản cập nhật lỗ hổng đã bị khai thác của CISA vẫn là một trong những thói quen đơn giản và mang lại giá trị cao nhất mà bất kỳ tổ chức nào có ý thức an ninh có thể duy trì.