Cisco vá khẩn cấp lỗ hổng zero-day thứ hai trên VPN tường lửa chỉ trong vài tháng

Cisco vừa tung ra bản vá cho một lỗ hổng zero-day đang bị khai thác thực tế trên dòng tường lửa Secure Firewall Adaptive Security Appliance (ASA) và Secure Firewall Threat Defense (FTD). Đây là lỗ hổng thứ hai thuộc cùng nhóm dịch vụ SSL VPN bị tấn công kể từ tháng 8, cho thấy hạ tầng bảo mật biên của doanh nghiệp đang là mục tiêu dai dẳng của giới tấn công.

Tường lửa Cisco bị khai thác lỗ hổng VPN

Lỗ hổng nằm ở đâu và nguy hiểm thế nào?

Lỗ hổng được gán mã CVE-2026-76418 với điểm CVSS 8.6 (mức cao). Lỗi nằm trong dịch vụ Remote Access SSL VPN của thiết bị.

Kẻ tấn công có thể khai thác từ xa, không cần xác thực, để buộc thiết bị khởi động lại ngoài ý muốn và làm gián đoạn khả năng sẵn sàng của hệ thống.

Theo Cisco, nguyên nhân bắt nguồn từ các lỗi logic ảnh hưởng đến những tunnel group được cấu hình xác thực thứ cấp (secondary authentication). Việc khai thác chỉ đơn giản là gửi một yêu cầu độc hại trong lúc kết nối tới SSL VPN.

"Một phiên đăng nhập VPN thành công là không cần thiết để chạm tới nhánh xử lý bị ảnh hưởng," Cisco lưu ý.

Điều kiện để bị tấn công

Một cuộc khai thác chỉ thành công khi hội đủ các điều kiện sau:

• Tường lửa đang chạy phiên bản chưa được vá
• Dịch vụ đăng nhập SSL VPN có thể truy cập từ bên ngoài
• Tunnel group đang dùng xác thực thứ cấp

Đáng chú ý, các sản phẩm tường lửa và quản lý do Cisco cung cấp qua cloud, dịch vụ Secure Access, cùng Secure Firewall Management Center đều không bị ảnh hưởng.

Chuyên gia phân tích bảo mật Cisco

Bối cảnh phát hiện

Đội ngũ bảo mật sản phẩm của Cisco biết được lỗ hổng đang bị khai thác thực tế vào tháng 10, thông qua một ca hỗ trợ kỹ thuật (TAC). Công ty ghi nhận Eric Fernald là người phát hiện ra lỗi.

Tuy nhiên, Cisco không công bố chi tiết về các cuộc tấn công cũng như danh tính nhóm đe dọa đứng sau.

Chưa có giải pháp thay thế, chỉ có thể nâng cấp

Hiện không có workaround chính thức. Tùy theo cấu hình của tunnel group mặc định, khách hàng có thể giảm rủi ro tạm thời bằng cách:

• Tắt danh sách tunnel group, hoặc
• Loại bỏ xác thực thứ cấp

Tuy nhiên, Cisco cảnh báo rằng việc bỏ xác thực thứ cấp sẽ khiến VPN truy cập từ xa kém an toàn hơn, và khuyến nghị các tổ chức nên nâng cấp lên bản vá thay vì áp dụng biện pháp tình thế.

Lỗ hổng zero-day thứ hai trong vài tháng

Đây là lỗ hổng zero-day thứ hai trên ASA và FTD bị khai thác để tấn công từ chối dịch vụ (DoS) trong thời gian gần đây. Trước đó vào tháng 8, Cisco đã vá CVE-2026-20349 — một lỗi xử lý yêu cầu HTTP cũng cho phép kẻ tấn công chưa xác thực kích hoạt khởi động lại thiết bị qua dịch vụ Remote Access SSL VPN.

Cisco cũng không tiết lộ thông tin về các cuộc tấn công đó, và hiện chưa rõ liệu hai lỗ hổng có bị cùng một nhóm tấn công khai thác hay không.

SecurityWeek - Tin tức an ninh mạng

Lời khuyên cho doanh nghiệp Việt Nam

Với các tổ chức tại Việt Nam đang vận hành tường lửa Cisco ASA/FTD phục vụ làm việc từ xa, đây là lời nhắc nhở quen thuộc nhưng quan trọng:

• Rà soát ngay phiên bản firmware và xác định thiết bị nào đang mở dịch vụ SSL VPN ra internet
• Cập nhật bản vá trong thời gian sớm nhất, ưu tiên các thiết bị có cổng VPN công khai
• Hạn chế phơi bày giao diện quản trị và VPN ra internet nếu không thực sự cần thiết
• Theo dõi log khởi động lại bất thường — dấu hiệu điển hình của các cuộc tấn công DoS kiểu này

Việc các lỗ hổng DoS liên tiếp nhắm vào dịch vụ VPN của cùng một dòng sản phẩm cho thấy kẻ tấn công đang tập trung vào điểm yếu sẵn sàng của hạ tầng biên, nơi mà chỉ một thiết bị bị "hạ" cũng đủ làm tê liệt kết nối của toàn bộ nhân viên từ xa.