Cisco cảnh báo lỗ hổng Secure Email Gateway đang bị khai thác tích cực

Cisco vừa phát đi cảnh báo khẩn cấp về lỗ hổng nghiêm trọng trong Secure Email Gateway đang bị tin tặc khai thác trong thực tế. Lỗ hổng mang mã CVE-2026-76519 với điểm CVSS lên tới 9.8/10, cho phép kẻ tấn công từ xa không cần xác thực ghi tệp tùy ý lên hệ điều hành và thực thi lệnh với quyền root. Cơ quan An ninh mạng Mỹ (CISA) đã đưa lỗ hổng này vào danh mục các lỗ hổng bị khai thác nguy hiểm (KEV).

Minh họa lỗ hổng bảo mật trên thiết bị mạng Cisco

Chi tiết lỗ hổng nguy hiểm

Lỗ hổng ảnh hưởng đến tính năng Advanced Malware Protection (AMP) trên thiết bị Secure Email Gateway. Theo Cisco, điểm yếu nằm ở cách xử lý tệp đính kèm email khi dịch vụ đánh giá uy tín tệp (file reputation service) đã được bật và phiên bản Content Scanner Tools cài đặt cũ hơn 25.3.0.5525.

Kẻ tấn công có thể gửi email chứa tệp đính kèm được chế tạo đặc biệt để kích hoạt lỗ hổng, từ đó ghi các tệp tùy ý lên hệ điều hành bên dưới và thực thi lệnh với đặc quyền root.

"Vào tháng 10 năm 2026, nhóm Cisco PSIRT đã nhận thức được việc khai thác tích cực lỗ hổng này." — Cisco cảnh báo

Đáng chú ý, đây là lỗ hổng Secure Email Gateway thứ hai của Cisco bị khai thác ngoài thực tế kể từ giữa tháng 9, sau CVE-2026-76461 — một lỗi không cần xác thực khác cũng có thể dẫn đến thực thi lệnh với quyền root.

Hướng dẫn khắc phục cho doanh nghiệp

Cisco đã công bố các chỉ dấu xâm nhập (IoCs) để hỗ trợ tổ chức truy tìm dấu hiệu tấn công tiềm ẩn, nhưng cũng cảnh báo rằng kẻ tấn công có thể lợi dụng quyền truy cập nâng cao để xóa hoặc che giấu bằng chứng khai thác.

Các tổ chức nên kiểm tra nhật ký mạng và tường lửa bên ngoài thiết bị bị ảnh hưởng để phát hiện hoạt động đáng ngờ như tải lên hoặc tải xuống bất thường từ các địa chỉ IP bên ngoài.

• Đối với thiết bị vật lý: Liên hệ Trung tâm Hỗ trợ Kỹ thuật (TAC) của Cisco nếu nghi ngờ bị khai thác.
• Đối với thiết bị ảo: Triển khai máy ảo mới chạy phiên bản phần mềm đã vá, xây dựng lại cấu hình sản phẩm từ đầu và xoay vòng thông tin đăng nhập, đồng thời bảo toàn bằng chứng pháp y.
• Nâng cấp phần mềm: Chuyển sang phiên bản AsyncOS đã vá càng sớm càng tốt.

Bản vá cho CVE-2026-76519 đã được phát hành từ ngày 14 tháng 9, trong các phiên bản Secure Email Gateway 15.5.5-014 và 16.5.0-780. Vào thời điểm đó, Cisco đã gộp lỗ hổng này cùng các lỗi khác dưới mã CVE-2026-76440.

Biểu tượng bảo mật và cảnh báo lỗ hổng

Phản ứng từ Cisco và CISA

Cisco cho biết đã trực tiếp liên hệ với các khách hàng sở hữu thiết bị Cisco Secure Email Cloud nơi phát hiện các chỉ dấu có thể bị xâm phạm.

"Cisco đang tham gia vào các hoạt động khắc phục và phục hồi. Cisco đã triển khai các biện pháp giảm thiểu nằm trong phạm vi quản lý của Cisco." — công ty cho biết

Trong khi đó, CISA đã bổ sung CVE-2026-76519 vào danh mục Known Exploited Vulnerabilities (KEV), yêu cầu các cơ quan liên bang Mỹ vá lỗ hổng trước ngày 17 tháng 10.

Ý nghĩa với người dùng và doanh nghiệp Việt Nam

Với các doanh nghiệp Việt Nam đang sử dụng giải pháp email security của Cisco — đặc biệt là các tổ chức tài chính, ngân hàng và cơ quan nhà nước — đây là lời nhắc nhở quan trọng về việc cập nhật bản vá bảo mật kịp thời.

Việc khai thác lỗ hổng qua email đính kèm cho thấy mối đe dọa từ email phishing và tấn công có chủ đích ngày càng tinh vi. Các quản trị viên hệ thống nên:

• Kiểm tra ngay phiên bản Content Scanner Tools và AsyncOS đang chạy.
• Rà soát nhật ký truy cập bất thường trong khoảng thời gian từ tháng 10.
• Thiết lập quy trình ứng phó sự cố rõ ràng, bao gồm cả kịch bản xoay vòng thông tin xác thực.

Trong bối cảnh các cuộc tấn công mạng vào hạ tầng doanh nghiệp ngày càng gia tăng, việc chủ động vá lỗ hổng và giám sát liên tục không còn là lựa chọn mà đã trở thành yêu cầu bắt buộc đối với mọi tổ chức.

SecurityWeek - Tin tức bảo mật