CISA cảnh báo 4 lỗ hổng nghiêm trọng đang bị khai thác tích cực: OpenSSH, GPUStack và nhiều hơn nữa

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa đưa ra cảnh báo khẩn cấp về 4 lỗ hổng bảo mật đang bị các nhóm tấn công khai thác tích cực trong thực tế. Các lỗ hổng này ảnh hưởng đến nhiều nền tảng phổ biến bao gồm GPUStack, SignalWire FreeSwitch, OpenBSD OpenSSH và IBM Aspera Faspex.

Danh sách các lỗ hổng bị khai thác

• CVE-2026-123218 (IBM Aspera Faspex): Lỗ hổng cho phép người dùng đã xác thực vượt qua cơ chế phân quyền để leo thang đặc quyền.
• CVE-2026-116779 (SignalWire FreeSwitch): Lỗ hổng tiêm mã (code injection) dẫn đến nguy cơ lộ lọt thông tin xác thực, kiểm soát cuộc gọi trái phép và thực thi lệnh từ xa.
• CVE-2026-123158 (OpenBSD OpenSSH – còn gọi là SSHole): Lỗ hổng cho phép kẻ tấn công bypass xác thực trên Linux.
• CVE-2026-102895 (GPUStack): Lỗ hổng xác thực không đúng cách, cho phép kẻ tấn công truy cập quản trị trái phép, tạo API-key vĩnh viễn và thực thi mã tùy ý.

Diễn biến tấn công

Đáng chú ý, lỗ hổng CVE-2026-123158 (SSHole) đang thu hút sự chú ý lớn từ giới bảo mật. Kể từ ngày 6/11/2026, các chuyên gia đã ghi nhận hàng chục nỗ lực khai thác từ nhiều địa chỉ IP khác nhau. Kẻ tấn công thường thực hiện các bước trinh sát, truy vấn dịch vụ metadata trên cloud, tìm cách đọc password hash và các file SSH key để duy trì quyền truy cập bền vững (persistence).

Trong một số trường hợp, các tác nhân đe dọa đã triển khai TAC Agent – một công cụ điều khiển từ xa (C2) dựa trên Python – để thực thi lệnh shell, liệt kê thư mục và tự cập nhật mã độc. Ngoài ra, các nhà nghiên cứu cũng phát hiện lỗ hổng OpenSSH đang bị lợi dụng để xây dựng mạng lưới botnet và đào tiền điện tử.

Khuyến nghị

CISA yêu cầu các cơ quan thuộc chính phủ liên bang phải áp dụng bản vá trước ngày 12/11/2026. Đối với các doanh nghiệp và quản trị viên hệ thống, việc rà soát và cập nhật các phần mềm nêu trên lên phiên bản mới nhất là ưu tiên hàng đầu để ngăn chặn các cuộc tấn công leo thang đặc quyền và chiếm quyền điều khiển server.

Nguồn tham khảo: The Hacker News