Cảnh báo: Lỗ hổng RCE trên SharePoint và MikroTik RouterOS đang bị khai thác mạnh

Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) mới đây đã đưa hai lỗ hổng bảo mật nghiêm trọng vào danh mục Các lỗ hổng đã bị khai thác (Known Exploited Vulnerabilities – KEV), yêu cầu các tổ chức cần nhanh chóng kiểm tra và cập nhật hệ thống.

Lỗ hổng trên Microsoft SharePoint (CVE-2026-65660)

Ban đầu được Microsoft phân loại là lỗi giả mạo (spoofing), CVE-2026-65660 (điểm CVSS 8.8) hiện đã được xác nhận là lỗ hổng cho phép thực thi mã từ xa (RCE). Microsoft cho biết đã có bằng chứng xác thực về việc tin tặc khai thác lỗ hổng này trong các cuộc tấn công thực tế. Lỗ hổng này cho phép một kẻ tấn công đã được xác thực thực thi mã tùy ý thông qua mạng lưới.

Chuỗi tấn công “MikroTrick” trên RouterOS

Lỗ hổng thứ hai nằm trong danh sách KEV là CVE-2026-67279 (điểm CVSS 6.9), liên quan đến việc thực thi quy trình làm việc không đúng cách trên MikroTik RouterOS. Đáng chú ý, lỗ hổng này thường được kết hợp với CVE-2026-86060 (một lỗi injection trong quy trình đăng nhập) để tạo thành chuỗi khai thác mang tên MikroTrick.

Theo CERT Polska, chuỗi tấn công này cho phép kẻ tấn công chiếm quyền kiểm soát quản trị (admin) hoàn toàn đối với các router bị phơi nhiễm trên internet mà không cần mật khẩu. Các chuyên gia bảo mật từ Bishop Fox cũng xác nhận rằng phương thức này có thể chiếm quyền điều khiển trên các bản dựng RouterOS 7.x.

Cơ chế của MikroTrick tận dụng sự sai lệch trong các ranh giới tin cậy: kẻ tấn công có thể thiết lập kênh phiên làm việc (session channel) mà không cần xác thực, sau đó thao túng quy trình đăng nhập để hệ thống coi dữ liệu từ kết nối đó là một danh tính quản trị đáng tin cậy.

CISA đã yêu cầu các cơ quan chính phủ liên bang phải hoàn tất việc vá lỗi trước ngày 28/09/2026. Đối với các doanh nghiệp và quản trị viên hệ thống, việc rà soát và cập nhật lên phiên bản mới nhất của SharePoint và RouterOS là ưu tiên hàng đầu để ngăn chặn các cuộc tấn công tiềm ẩn.

Nguồn tham khảo: The Hacker News