BeyondTrust vá các lỗ hổng nghiêm trọng cho phép bypass xác thực trên Remote Support và PRA

BeyondTrust vừa phát hành bản cập nhật khẩn cấp để khắc phục các lỗ hổng bảo mật nghiêm trọng trong dòng sản phẩm Remote Support và Privileged Remote Access, vốn có thể bị kẻ tấn công lợi dụng để...

Nguyen Hung

7 Tháng 7, 2026 2 Min Read

2 0

Hãng bảo mật BeyondTrust vừa công bố các bản vá quan trọng cho hai dòng sản phẩm chủ lực là Remote Support (RS) và Privileged Remote Access (PRA). Các lỗ hổng này cho phép kẻ tấn công không cần xác thực có thể chiếm quyền kiểm soát các thiết bị bị ảnh hưởng nếu khai thác thành công.

Chi tiết các lỗ hổng

Theo thông báo, có 4 lỗ hổng chính đã được xác định:

CVE-2026-40138 (CVSS 9.2): Lỗ hổng pre-authentication trong hệ thống xác thực, cho phép kẻ tấn công ở vị trí mạng phù hợp có thể bypass kiểm soát truy cập và chiếm quyền truy cập trái phép vào thiết bị, bao gồm cả các tài khoản có đặc quyền cao.
CVE-2026-40139 (CVSS 9.2): Tương tự như trên, lỗ hổng này nằm trong quá trình xử lý yêu cầu xác thực của Remote Support, cho phép kẻ tấn công từ xa không cần xác thực có thể bypass bảo mật.
CVE-2026-40140 (CVSS 8.7): Lỗ hổng trong hệ thống giao tiếp mạng do xác thực dữ liệu đầu vào không đầy đủ, có thể bị lợi dụng để thực hiện tấn công từ chối dịch vụ (DoS), làm gián đoạn khả năng hoạt động của thiết bị.
CVE-2026-40141 (CVSS 8.5): Lỗ hổng trong thành phần ứng dụng web, cho phép người dùng đã xác thực với đặc quyền hạn chế có thể truy cập vào các tài nguyên hoặc dữ liệu nằm ngoài phạm vi cho phép.

BeyondTrust cho biết các lỗ hổng này được phát hiện thông qua quá trình đánh giá bảo mật nội bộ, với sự hỗ trợ từ các mô hình AI và công cụ nghiên cứu độc quyền của hãng. Mặc dù chưa có báo cáo về việc các lỗ hổng này bị khai thác trong thực tế (in the wild), nhưng lịch sử các sản phẩm RS và PRA từng là mục tiêu của các cuộc tấn công cài đặt web shell và backdoor khiến việc cập nhật trở nên vô cùng cấp thiết.