Cisco Khắc Phục Lỗ Hổng Zero-Day Khác Trên SD-WAN Đang Bị Tấn Công

Cisco vừa phát đi cảnh báo tới khách hàng về một lỗ hổng zero-day khác trong sản phẩm SD-WAN đang bị khai thác thực tế trong các cuộc tấn công mạng.

Thiết bị mạng Cisco

Lỗi bảo mật này được theo dõi dưới mã định danh CVE-2026-20262, được mô tả là một vấn đề có mức độ nghiêm trọng trung bình liên quan đến khả năng ghi tệp tùy ý (arbitrary file write), ảnh hưởng đến phần mềm Catalyst SD-WAN Manager.

Cơ chế tấn công và tác động

Theo Cisco, một kẻ tấn công có thể gửi các yêu cầu HTTP được chế tạo đặc biệt tới một điểm cuối API (API endpoint) bị ảnh hưởng để tạo mới hoặc ghi đè lên bất kỳ tệp nào trên hệ điều hành cơ sở.

Cisco giải thích: "Tệp này sau đó có thể được sử dụng để leo thang đặc quyền lên root". Để khai thác lỗ hổng này, kẻ tấn công phải có thông tin đăng nhập hợp lệ với ít nhất là quyền ghi (write access).

Bối cảnh và phản ứng từ CISA

Nhà sản xuất thiết bị mạng này cho biết họ đã phát hiện ra lỗ hổng này nội bộ và nhận thức được việc nó đang bị khai thác vào tháng 6 năm 2026. Hiện vẫn chưa rõ liệu CVE-2026-20262 có được xâu chuỗi với các lỗ hổng khác hay không, cũng như liệu kẻ tấn công có lạm dụng thông tin xác thực bị xâm phạm hay không.

Không có nhiều thông tin công khai về các cuộc tấn công khai thác zero-day mới này, và danh tính của nhóm đứng sau vẫn chưa được xác định. Tuy nhiên, Cisco đề cập rằng CVE-2026-20262 đã bị khai thác trong các cuộc tấn công có giới hạn, điều này gợi ý một hoạt động có mục tiêu cao bởi một tác nhân đe dọa tinh vi, có thể là được nhà nước bảo trợ.

Logo bảo mật

Cơ quan An ninh mạng và An ninh hạ tầng Hoa Kỳ (CISA) đã thêm CVE-2026-20262 vào danh mục Các lỗ hổng đã bị khai thác (Known Exploited Vulnerabilities - KEV) vào thứ Hai, yêu cầu các cơ quan liên bang khắc phục vấn đề này trước ngày 29 tháng 6.

Đây là lỗ hổng thứ tám của Cisco SD-WAN bị phát hiện là đang bị khai thác trong năm 2026. Danh sách này bao gồm các mã như CVE-2026-20182, CVE-2026-20127, CVE-2026-20128, CVE-2026-20122, CVE-2026-20133, CVE-2022-20775 và CVE-2026-20245.

Đáng chú ý, CVE-2026-20245曾被 Cisco công bố vào ngày 4 tháng 6 là một zero-day, nhưng công ty đã mất gần một tuần để bắt đầu phát hành các bản vá lỗi.