Cisco vá lỗ hổng zero-day bị khai thác có điểm CVSS tuyệt đối 10.0

Cisco vừa phát đi cảnh báo về một lỗ hổng zero-day nghiêm trọng trong Identity Services Engine (ISE) với điểm CVSS tuyệt đối 10.0, trong bối cảnh lỗ hổng này đang bị khai thác tích cực trên thực tế. Đây là lỗ hổng zero-day thứ hai mà Cisco phải xử lý chỉ trong vài ngày, khiến giới quản trị viên hệ thống mạng đứng ngồi không yên.

Lỗ hổng trong API của ISE

Theo công bố hôm thứ Tư, lỗ hổng mang mã CVE-2026-76460 là một lỗi vượt qua xác thực (authentication bypass) ảnh hưởng đến ISE và ISE Passive Identity Connector (ISE-PIC) — nền tảng kiểm soát truy cập mạng của Cisco.

Cisco cho biết vấn đề nằm ở cơ chế kiểm soát xác thực không đầy đủ trên một điểm cuối API. Kẻ tấn công chỉ cần gửi một yêu cầu được chế tác đặc biệt là có thể vượt qua giao diện quản trị web của sản phẩm.

Điều đáng lo ngại là cuộc tấn công không cần thông tin đăng nhập và không cần sự tương tác của người dùng. Tất cả các phiên bản ISE và ISE-PIC bị ảnh hưởng đều có nguy cơ, bất kể cấu hình như thế nào.

Khai thác thành công cho phép kẻ tấn công từ xa chưa xác thực thực thi lệnh với quyền root. Đây cũng là lý do lỗ hổng nhận điểm CVSS tối đa 10.0.

Nguy cơ xóa dấu vết tấn công

Cisco cảnh báo rằng quyền truy cập root có thể cho phép kẻ tấn công xóa hoặc che giấu dấu vết xâm nhập, gây khó khăn cho việc xác định liệu một thiết bị có bị xâm phạm hay không.

Đây không chỉ là vấn đề vá lỗi — việc kẻ tấn công có thể xóa dấu vết đồng nghĩa với nguy cơ tồn tại dai dẳng trong hệ thống ngay cả sau khi quản trị viên đã cập nhật bản vá.

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã bổ sung lỗ hổng này vào danh mục các lỗ hổng bị khai thác đã biết, đồng nghĩa với việc các tổ chức liên bang Mỹ buộc phải vá trong thời hạn quy định.

Hướng dẫn kiểm tra và khắc phục

Cisco khuyến nghị quản trị viên rà soát nhật ký truy cập ISE để tìm các tên người dùng đáng ngờ trên mọi nút trong hệ thống phân tán. Đồng thời, cần kiểm tra nhật ký mạng và tường lửa lưu trữ bên ngoài thiết bị bị ảnh hưởng để phát hiện dấu hiệu tải lên hoặc tải xuống bất thường.

Nếu phát hiện dấu hiệu bị khai thác, Cisco "đặc biệt khuyến nghị" cài đặt lại (reimage) các nút bị ảnh hưởng và khôi phục cấu hình từ bản sao lưu.

Bản vá và giải pháp tạm thời

Hiện chưa có giải pháp vòng tránh (workaround) cho lỗ hổng này. Tuy nhiên, Cisco cho biết có thể sử dụng danh sách kiểm soát truy cập hạ tầng (infrastructure ACL) như biện pháp giảm thiểu tạm thời, nhằm hạn chế lưu lượng quản trị và mặt phẳng điều khiển tiếp cận hệ thống bị ảnh hưởng.

Bản vá vĩnh viễn đã có sẵn trong các phiên bản:

• ISE và ISE-PIC 3.1 Patch 12
• 3.2 Patch 11
• 3.3 Patch 12
• 3.4 Patch 7
• 3.5 Patch 4

Lưu ý quan trọng: phiên bản ISE 3.0 đã hết thời hạn bảo trì phần mềm, do đó khách hàng đang sử dụng phiên bản này buộc phải nâng cấp lên bản được hỗ trợ.

Chuỗi ngày vá lỗi liên tiếp

Đây là lỗ hổng bị khai thác tích cực thứ hai mà Cisco công bố trong tuần. Trước đó vài ngày, hãng đã cảnh báo về CVE-2026-76461 với điểm 9.8, ảnh hưởng đến Secure Email Gateway và Secure Email and Web Manager. Lỗ hổng này cũng có thể dẫn đến quyền root, buộc Cisco phải cảnh báo quản trị viên rằng kẻ tấn công có thể che giấu dấu vết sau khi xâm nhập.

Đi kèm với cảnh báo CVE-2026-76460 là một loạt lỗ hổng ISE khác cũng được công bố trong ngày thứ Tư. Trong đó, hai cảnh báo khác cũng đạt điểm CVSS tối đa 10.0, cùng một nhóm ba lỗi thực thi mã từ xa có điểm lên tới 9.9.

Với quản trị viên phụ trách hệ thống Cisco, tháng Chín năm nay đang trở thành một tháng vá lỗi hết sức căng thẳng. Đối với các doanh nghiệp Việt Nam đang vận hành hạ tầng mạng dựa trên Cisco ISE, việc kiểm tra phiên bản, rà soát nhật ký và áp dụng bản vá ngay lập tức là ưu tiên cấp bách — đặc biệt khi lỗ hổng đã bị khai thác thực tế và không có cách vòng tránh chính thức.