CẢNH BÁO KHẨN CẤP

CISA Thêm Lỗ hổng Cisco SD-WAN (CVE-2026-20182) vào Danh mục KEV Sau Khi Phát Hiện Bị Khai Thác Chiếm Quyền Admin

Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) vừa bổ sung lỗ hổng CVE-2026-20182 ảnh hưởng đến bộ điều khiển Cisco Catalyst SD-WAN vào danh mục các lỗ hổng bị khai thác trong thực tế. Với mức điểm CVSS tuyệt đối 10.0, đây là mối đe dọa cực kỳ nghiêm trọng cho hạ tầng mạng doanh nghiệp.

Chi tiết Kỹ thuật Lỗ hổng CVE-2026-20182

Mức độ: Nguy kịch (Critical - CVSS 10.0)

Loại lỗi: Vượt qua xác thực (Authentication Bypass)

Đối tượng: Cisco Catalyst SD-WAN Manager/Controller

Nhóm đe dọa: UAT-8616 và 10 cụm tấn công khác

Theo CISA, lỗ hổng này cho phép kẻ tấn công từ xa không cần xác thực có thể vượt qua các cơ chế bảo mật và lấy được đặc quyền quản trị cao nhất trên hệ thống bị ảnh hưởng. Cisco cũng xác nhận rằng nhóm tin tặc UAT-8616 đã tích cực khai thác lỗ hổng này để cài đặt mã độc, thêm khóa SSH trái phép và thay đổi cấu hình mạng nhằm duy trì sự hiện diện lâu dài.

Các Nhóm Tấn công và Phương thức Khai thác

Các nhà nghiên cứu bảo mật đã phát hiện ít nhất 10 cụm tấn công khác nhau liên quan đến việc khai thác các lỗ hổng trên Cisco SD-WAN kể từ tháng 3 năm 2026. Các phương thức bao gồm:

Triển khai các Web Shell như Godzilla, Behinder và XenShell để thực hiện các lệnh Bash tùy ý.
Cài đặt mã độc đào tiền ảo XMRig và các công cụ tunneling như gsocket.
Đánh cắp thông tin xác thực quản trị, khóa JSON Web Tokens (JWT) và thông tin đăng nhập AWS từ vManage.
Sử dụng các framework Red Teaming như AdaptixC2 và Sliver để điều khiển từ xa.

HÀNH ĐỘNG KHẨN CẤP

CISA yêu cầu các cơ quan liên bang và khuyến nghị doanh nghiệp thực hiện các bước sau trước ngày 17/05/2026:

Cập nhật bản vá: Cài đặt ngay các bản cập nhật bảo mật mới nhất từ Cisco cho hệ thống Catalyst SD-WAN.
Rà soát hệ thống: Kiểm tra các dấu hiệu xâm nhập (IoC) như sự xuất hiện của các file .jsp lạ hoặc cấu hình NETCONF bị sửa đổi.
Giám sát tài khoản: Kiểm tra các tài khoản quản trị mới được tạo hoặc các khóa SSH không rõ nguồn gốc.

Nguồn tham khảo: The Hacker News & CISA KEV Catalog

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

CISA Cảnh báo Lỗ hổng Nguy kịch 10.0 trên Cisco SD-WAN đang bị Khai thác Thực tế