CISA KEV: Langflow, Tomcat và N-central cần được ưu tiên

CISA KEV ngày 04/08 ghi nhận các lỗ hổng được báo cáo là đang bị khai thác: CVE-2026-9198 ở IBM Langflow OSS, CVE-2026-34486 ở Apache Tomcat và CVE-2026-18556 ở N-able N-central. KEV là tín hiệu ưu tiên remediation; catalog không thay thế advisory/version mapping của vendor.

CVE/NVD mô tả CVE-2026-9198 ảnh hưởng Langflow OSS 1.0.0–1.10.0 và liên quan chuỗi endpoint có thể dẫn đến code execution. Với N-central, N-able nói hotfix 2026.3.1.7 bao phủ CVE-2026-18556 và CVE-2026-18577. Phạm vi Tomcat phải được đối chiếu trực tiếp với trang security của Apache theo branch đang chạy.

Ba nền tảng có vai trò rất khác: Langflow có thể giữ API key/model/database credential; Tomcat là runtime cho nhiều ứng dụng Java; N-central là RMM có quyền điều khiển endpoint. Vì vậy cùng nằm trong KEV nhưng blast radius, log và biện pháp cô lập khác nhau.

Đội vận hành cần tìm cả asset “ẩn”: Langflow dev instance, Tomcat nhúng trong sản phẩm và N-central do MSP/đơn vị khác quản lý. Chỉ tìm package name trong CMDB có thể bỏ sót container image, appliance và shadow AI lab.

Validation sau vá phải gồm negative exposure test, authentication/access control, application smoke test, log health và rollback readiness. Không chạy exploit công khai trên production; dùng kiểm tra phiên bản/cấu hình và môi trường lab được ủy quyền.

• Nền tảng: Langflow · Câu hỏi kiểm kê: version, exposure, secret/tool access · Bằng chứng sau xử lý: build, route, token rotation
• Nền tảng: Tomcat · Câu hỏi kiểm kê: branch, embedded app, connector exposure · Bằng chứng sau xử lý: version/advisory mapping, smoke test
• Nền tảng: N-central · Câu hỏi kiểm kê: hosted/self-hosted, build, managed fleet · Bằng chứng sau xử lý: 2026.3.1.7+, audit/endpoint review
• Nền tảng: Tất cả · Câu hỏi kiểm kê: internet reachability, identity, logs · Bằng chứng sau xử lý: scan nội bộ + config + change record

AI/platform team cần kiểm Langflow; application/JVM team kiểm Tomcat; MSP/NOC/endpoint team kiểm N-central. SOC và incident response phải nối log để tìm dấu hiệu trước thời điểm vá. Procurement/vendor management cần hỏi các sản phẩm đóng gói Tomcat hoặc dịch vụ do bên thứ ba vận hành.

Tổ chức không dùng trực tiếp vẫn nên kiểm transitive/embedded dependency. KEV deadline áp dụng cụ thể cho đối tượng liên bang theo directive liên quan; các tổ chức khác dùng KEV như tín hiệu risk-based, không tự nhận nghĩa vụ pháp lý không thuộc phạm vi.

Việc CVE nằm trong KEV không chứng minh một hệ thống cụ thể đã bị xâm nhập. Scan sạch sau vá cũng không loại trừ compromise trước đó. Không gộp affected/fixed version giữa ba sản phẩm hoặc dùng một CVSS duy nhất thay cho asset context.

N-central đã có bản tin riêng ngày trước; bài này chỉ cập nhật ngữ cảnh KEV và không thay thế hướng dẫn incident response của N-able. Cần kiểm revision catalog/advisory ngay trước khi đăng.

• Export bản KEV hiện hành và lưu ngày kiểm tra.
• Tìm Langflow qua host, container, package và cloud route.
• Tìm Tomcat standalone, embedded và trong appliance/vendor app.
• Xác định N-central hosted/self-hosted và owner.
• Map exact version với advisory chính thức từng vendor.
• Bảo toàn log/audit trước khi vá hoặc cô lập.
• Rotate secret nếu đánh giá Langflow có thể đã bị truy cập.
• Rà remote-control/session và endpoint của N-central.
• Vá theo runbook; smoke test chức năng và logging.
• Không chạy PoC trên production.
• Theo dõi revision và IOC mới.

• KEV: Danh mục lỗ hổng có bằng chứng khai thác của CISA.
• Embedded dependency: Thành phần nằm trong sản phẩm khác.
• Blast radius: Phạm vi tài sản có thể bị ảnh hưởng.
• Compensating control: Kiểm soát tạm khi chưa vá được.
• Forensic preservation: Giữ log/bằng chứng phục vụ điều tra.