CISA cảnh báo lỗ hổng trên Langflow và Trend Micro Apex One đang bị khai thác thực tế

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa chính thức đưa hai lỗ hổng bảo mật ảnh hưởng đến nền tảng Langflow và giải pháp Trend Micro Apex One vào danh mục Known Exploited Vulnerabilities (KEV), sau khi ghi nhận bằng chứng về việc các lỗ hổng này đang bị khai thác tích cực trong thực tế.

Chi tiết các lỗ hổng

• CVE-2025-34291 (Điểm CVSS: 9.4): Đây là lỗi xác thực nguồn gốc trong Langflow. Lỗ hổng này cho phép kẻ tấn công thực thi mã tùy ý (arbitrary code execution), dẫn đến nguy cơ chiếm quyền kiểm soát toàn bộ hệ thống. Theo các phân tích từ Obsidian Security, lỗi này là sự kết hợp của ba điểm yếu: cấu hình CORS quá lỏng lẻo, thiếu cơ chế bảo vệ chống lại Cross-Site Request Forgery (CSRF) và một endpoint được thiết kế cho phép thực thi mã.
• CVE-2026-34926 (Điểm CVSS: 6.7): Lỗ hổng directory traversal ảnh hưởng đến các phiên bản on-premise của Trend Micro Apex One. Kẻ tấn công đã có quyền truy cập cục bộ và xác thực trước đó có thể lợi dụng lỗ hổng này để sửa đổi bảng cấu hình trên server, từ đó tiêm mã độc và triển khai xuống các agent trong hệ thống.

Nguy cơ thực tế

Đối với lỗ hổng trên Langflow, các chuyên gia cảnh báo rằng việc khai thác thành công không chỉ làm tổn hại instance Langflow mà còn làm lộ các token truy cập và API key nhạy cảm. Điều này có thể dẫn đến một chuỗi tấn công lan rộng sang các dịch vụ đám mây và SaaS tích hợp. Đáng chú ý, nhóm hacker MuddyWater được cho là đã sử dụng lỗ hổng này để giành quyền truy cập ban đầu vào mạng lưới mục tiêu.

Về phía Trend Micro, hãng bảo mật này xác nhận đã ghi nhận ít nhất một trường hợp cố gắng khai thác lỗ hổng CVE-2026-34926. Tuy nhiên, Trend Micro cũng lưu ý rằng kẻ tấn công cần phải có quyền truy cập vào Apex One Server và đã sở hữu thông tin đăng nhập quản trị (administrative credentials) từ trước thông qua các phương thức khác mới có thể thực hiện khai thác.

Khuyến nghị

Theo quy định của CISA, các cơ quan thuộc nhánh hành pháp dân sự liên bang (FCEB) tại Hoa Kỳ bắt buộc phải áp dụng các bản vá cần thiết trước ngày 4 tháng 6 năm 2026. Các tổ chức doanh nghiệp đang sử dụng các giải pháp này cũng được khuyến cáo thực hiện rà soát và cập nhật bản vá ngay lập tức để ngăn chặn các cuộc tấn công tiềm ẩn.

Nguồn tham khảo: The Hacker News