SonicWall từ chối vá lỗ hổng trên GMS đã hết hạn hỗ trợ: Nguy cơ rò rỉ dữ liệu và tấn công cơ sở dữ liệu

Hãng bảo mật SonicWall vừa đưa ra cảnh báo về hai lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến hệ thống Global Management System (GMS) phiên bản 9.5.2 trở về trước. Đáng chú ý, do các phiên bản này đã chính thức ngừng hỗ trợ (End-of-life – EoL), nhà sản xuất xác nhận sẽ không cung cấp bất kỳ bản vá hoặc cập nhật bảo mật nào cho các lỗ hổng này.

Chi tiết các lỗ hổng bảo mật

• CVE-2026-109593 (Điểm CVSS 9.1): Lỗ hổng cho phép đọc tệp tin mà không cần xác thực. Kẻ tấn công có quyền truy cập mạng có thể khai thác để đọc các tệp nội bộ của GMS, dẫn đến nguy cơ rò rỉ thông tin nhạy cảm.
• CVE-2026-109594 (Điểm CVSS 6.8): Lỗ hổng SQL injection sau xác thực. Kẻ tấn công đã xác thực có thể lợi dụng lỗ hổng này để truy cập hoặc sửa đổi dữ liệu lưu trữ trong cơ sở dữ liệu của GMS dưới các điều kiện cụ thể.

SonicWall nhấn mạnh: “Sản phẩm bị ảnh hưởng đã đạt đến trạng thái End-of-life. Do đó, sẽ không có bản sửa lỗi hay cập nhật bảo mật nào được phát hành. Các tổ chức đang sử dụng phiên bản này cần nhận thức rõ rủi ro và được khuyến khích mạnh mẽ chuyển đổi sang SonicWall Network Security Manager (NSM).”

Bối cảnh an ninh mạng

Thông báo này được đưa ra chỉ chưa đầy một tháng sau khi SonicWall xử lý lỗ hổng CVE-2026-102255 (điểm CVSS 10.0) – một lỗi Server-Side Request Forgery (SSRF) nghiêm trọng. Lỗ hổng này đã bị khai thác tích cực trong thực tế, với dữ liệu từ Previdian ghi nhận hàng ngàn nỗ lực tấn công từ nhiều địa chỉ IP khác nhau kể từ đầu tháng 10/2026.

Việc SonicWall từ chối vá lỗi cho các hệ thống cũ là lời nhắc nhở quan trọng cho các quản trị viên CNTT về tầm quan trọng của việc duy trì vòng đời phần mềm. Việc tiếp tục vận hành các hệ thống đã hết hạn hỗ trợ (EoL) không chỉ khiến doanh nghiệp trở thành mục tiêu dễ dàng cho các cuộc tấn công khai thác lỗ hổng mà còn làm suy yếu toàn bộ hạ tầng an ninh mạng của tổ chức.

Nguồn tham khảo: The Hacker News