Lỗ hổng GitLab và Cisco đang bị khai thác
CISA đã bổ sung hai lỗ hổng GitLab và Cisco vào danh mục Known Exploited Vulnerabilities (KEV), dựa trên bằng chứng khai thác đang diễn ra. Các sản phẩm bị ảnh hưởng gồm GitLab Community Edition, Enterprise Edition và phần mềm tường lửa Cisco ASA, FTD. TMGS khuyến nghị doanh nghiệp đang sử dụng những sản phẩm này ưu tiên xác định hệ thống bị ảnh hưởng, triển khai bản sửa lỗi và rà soát dấu hiệu bất thường.
Rủi ro thực thi mã và gián đoạn dịch vụ
CVE-2026-97229, có điểm CVSS 10.0, là lỗi tràn số nguyên hoặc quay vòng trong GitLab Community Edition và Enterprise Edition. Việc kiểm tra biểu thức chính quy chưa đầy đủ trong cấu hình CI/CD có thể cho phép người dùng chưa xác thực thực thi mã tùy ý trên máy chủ GitLab.
Theo NVD, các phiên bản bị ảnh hưởng là 19.2 trước 19.2.8, 19.3 trước 19.3.5 và 19.4 trước 19.4.2. Alpine Linux lưu ý bản sửa nằm trong một bản vá Ruby mà GitLab chỉ áp dụng trong các gói chính thức. Vì vậy, nếu tự build GitLab với Ruby riêng thì chỉ nâng phiên bản GitLab là chưa đủ; Alpine khuyến nghị dùng Ruby 3.3.13, 3.4.12, 4.0.9 trở lên.
CVE-2026-76418, có điểm CVSS 8.6, ảnh hưởng đến Cisco Secure Firewall Adaptive Security Appliance (ASA) Software và Secure Firewall Threat Defense (FTD) Software. Lỗi không kiểm tra giá trị trả về dẫn đến giải tham chiếu con trỏ NULL, có thể cho phép kẻ tấn công từ xa chưa xác thực khiến thiết bị khởi động lại bất ngờ và gây từ chối dịch vụ.
Sự cố Alpine Linux: chưa xác nhận xâm nhập thành công
Việc đưa lỗ hổng GitLab vào KEV liên quan đến sự cố do Alpine Linux công bố. Một tác nhân chưa rõ danh tính đã cố khai thác hệ thống GitLab của dự án vào ngày 20 và 21 tháng 10 năm 2026. Các cấu hình CI được gửi tới hệ thống chưa vá khiến tiến trình worker gặp sự cố tám lần. Những nỗ lực quay lại vào ngày 25 và 26 tháng 10 sau đó bị chặn.
Nhóm bảo trì cho biết không tìm thấy bằng chứng khai thác thành công, nhưng cũng không thể loại trừ khả năng đó. Vì vậy, họ xử lý hệ thống như đã bị xâm nhập và dựng lại từ đầu. Cần phân biệt rõ: hoạt động khai thác là căn cứ CISA đưa lỗ hổng vào KEV; riêng trường hợp Alpine Linux chưa có xác nhận cuộc tấn công đã thành công.
Ý nghĩa với doanh nghiệp Việt Nam
Với doanh nghiệp Việt Nam đang vận hành các sản phẩm trên, TMGS đánh giá đây là vấn đề cần ưu tiên trong quản lý bản vá. Hai lỗ hổng đặt ra các rủi ro khác nhau: thực thi mã trên máy chủ GitLab và gián đoạn hoạt động thiết bị tường lửa Cisco. TMGS khuyến nghị phối hợp giữa đội phát triển, quản trị hạ tầng và SOC để đánh giá ảnh hưởng đến hoạt động doanh nghiệp.
Nguồn tin nêu các cơ quan thuộc Nhánh Hành pháp Dân sự Liên bang Mỹ (FCEB) được khuyến nghị áp dụng bản sửa lỗi trước ngày 1 tháng 11 năm 2026. Đây là mốc dành cho FCEB. TMGS khuyến nghị doanh nghiệp Việt Nam chủ động xác lập thời hạn xử lý dựa trên mức độ phơi lộ và vai trò của từng hệ thống.
Đội SOC nên làm gì?
Các biện pháp dưới đây là khuyến nghị của TMGS:
- Kiểm kê và vá: đối chiếu tài sản GitLab, Cisco ASA và FTD với thông báo của nhà cung cấp; ưu tiên hệ thống có thể truy cập từ Internet và kiểm tra lại sau khi cập nhật.
- Rà soát nhật ký: tìm các lần GitLab worker gặp sự cố, thay đổi cấu hình CI/CD bất thường và sự kiện tường lửa khởi động lại ngoài kế hoạch. Xem xét chúng cùng những dấu hiệu khác trước khi kết luận có xâm nhập.
- Giảm phơi lộ: rà soát quyền truy cập, giới hạn các giao diện quản trị và tăng giám sát trong thời gian chờ hoàn tất bản vá.
- Chuẩn bị ứng phó: bảo toàn nhật ký, xác minh khả năng khôi phục và kích hoạt quy trình xử lý sự cố khi xuất hiện dấu hiệu đáng ngờ.
Nguồn tham khảo
The Hacker News: CISA bổ sung lỗ hổng GitLab và Cisco đang bị khai thác vào KEV