CISA cảnh báo hai lỗ hổng nghiêm trọng đang bị khai thác trong Collabora Online và Arista VeloCloud

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa đưa hai lỗ hổng bảo mật nghiêm trọng vào danh mục Known Exploited Vulnerabilities (KEV), sau khi có bằng chứng cho thấy chúng đang bị các nhóm tội phạm mạng khai thác tích cực trong thực tế.

Chi tiết các lỗ hổng

• CVE-2026-110447 (Điểm CVSS: 9.2): Đây là lỗ hổng chèn lệnh hệ điều hành (OS command injection) trong Collabora Online – Built-in CODE Server khi tích hợp với nền tảng Nextcloud. Kẻ tấn công có thể thực thi mã từ xa (RCE) thông qua tệp “proxy.php” trong trường hợp máy chủ tài liệu cục bộ không hoạt động. Lỗ hổng này đã được vá vào tháng 9/2026 trong phiên bản 26.4.303.
• CVE-2026-114625 (Điểm CVSS: 9.9): Lỗ hổng SQL injection trong các phiên bản on-premise của Arista VeloCloud Orchestrator (VCO). Lỗ hổng này cho phép kẻ tấn công từ xa truy cập vào các chức năng nội bộ có đặc quyền. Các bản vá đã được phát hành vào tháng 10/2026 cho các phiên bản 5.2.3.18, 6.1.3.10 và 6.4.2.12.

Nguy cơ tấn công thực tế

Đối với lỗ hổng trên Collabora Online, các chuyên gia ghi nhận kẻ tấn công đã sử dụng nó để cài đặt web shell vào các máy chủ Nextcloud. Mục đích của chúng là thực hiện trinh sát, tìm kiếm thông tin đăng nhập, dữ liệu trình quản lý mật khẩu và ví tiền điện tử.

Trong khi đó, với lỗ hổng trên Arista VeloCloud, kẻ tấn công cần có quyền truy cập mạng vào giao diện web của VCO và một phiên đăng nhập hợp lệ với vai trò tối thiểu là Enterprise Read Only. Mặc dù Arista chưa công bố chi tiết về nhóm tấn công, họ đã xác định được hai địa chỉ IP có nguồn gốc từ Nhật Bản (74.82.197.86 và 38.54.50.151) liên quan đến các hoạt động này.

Đây là lỗ hổng thứ ba trong cùng một dòng sản phẩm Arista bị khai thác kể từ tháng 7/2026. CISA khuyến cáo các cơ quan chính phủ và doanh nghiệp cần nhanh chóng rà soát và áp dụng các bản vá bảo mật mới nhất để ngăn chặn nguy cơ bị xâm nhập.

Nguồn tham khảo: The Hacker News