Lỗ hổng email nghiêm trọng của Cisco bị khai thác như zero-day

Cisco đang khẩn thiết kêu gọi khách hàng vá một lỗ hổng nghiêm trọng khác trong Secure Email Gateway (SEG) — lỗ hổng cho phép chiếm quyền root và đã bị khai thác trong các cuộc tấn công zero-day trước khi bản vá được phát hành.

Theo một phát ngôn viên của Cisco nói với The Register, lỗ hổng nghiêm trọng này có điểm CVSS 9,8/10 và chỉ ảnh hưởng đến "một số lượng hạn chế khách hàng". Lỗ hổng được theo dõi với mã CVE-2026-76519.

Kẻ tấn công chỉ cần gửi một email độc hại

Điểm đáng sợ của lỗ hổng này nằm ở chỗ: kẻ tấn công từ xa, chưa cần xác thực, có thể ghi tệp và thực thi lệnh với quyền root trên hệ điều hành của thiết bị — chỉ bằng cách gửi một email độc hại.

Trong các khuyến cáo riêng rẽ công bố hôm thứ Tư, cả Cisco lẫn chính phủ Mỹ đều cảnh báo rằng tin tặc đã khai thác lỗ hổng SEG mới nhất này trước khi hãng đưa ra bản vá. Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) đã bổ sung lỗ hổng vào danh mục Các lỗ hổng bị khai thác đã biết (Known Exploited Vulnerabilities) và đặt hạn chót là thứ Bảy để các cơ quan liên bang khắc phục.

"Chúng tôi ý thức được việc lỗ hổng này đang bị khai thác tích cực", phát ngôn viên Cisco cho biết, nhưng từ chối trả lời các câu hỏi về số lượng thiết bị đã bị xâm phạm cũng như hành vi của kẻ tấn công sau khi khai thác thành công.

Vị này nhấn mạnh: "Chúng tôi mạnh mẽ khuyến nghị khách hàng nâng cấp lên bản phần mềm đã được vá và tuân theo các khuyến nghị bổ sung cũng như hướng dẫn tăng cường bảo mật trong khuyến cáo của chúng tôi."

Nguyên nhân đến từ tính năng chống mã độc

Lỗ hổng tồn tại trong tính năng Advanced Malware Protection (AMP) của SEG, xuất phát từ việc xử lý tệp đính kèm email không đúng cách. Kẻ tấn công có thể khai thác bằng cách gửi một email chứa tệp đính kèm độc hại; nếu thành công, chúng có thể ghi tệp và thực thi lệnh với quyền root trên thiết bị bị xâm phạm.

Lỗ hổng ảnh hưởng đến cả thiết bị SEG vật lý lẫn ảo đang chạy phiên bản phần mềm Cisco AsyncOS dễ bị tổn thương, nếu thỏa mãn đồng thời hai điều kiện sau:

• Dịch vụ File Reputation (thuộc Cisco AMP) được bật và gán cho một chính sách email.
• Phiên bản Content Scanner Tools cũ hơn 25.3.0.5525.

Khuyến cáo của Cisco công bố hôm thứ Tư có kèm các bước để tổ chức xác định xem File Reputation có đang được bật hay không và phiên bản Content Scanner Tools nào đang được cài đặt — nên đọc kỹ nếu bạn chưa chắc chắn.

Cách khắc phục duy nhất là nâng cấp

Nâng cấp lên bản Cisco AsyncOS Software đã được vá sẽ khắc phục lỗ hổng, và không có giải pháp tạm thời nào khác. Hãng khuyến nghị mọi khách hàng đang chạy AsyncOS cũ hơn phiên bản 16.5 nên chuyển lên bản 16.5.0-780.

Trong cảnh báo của mình, Cisco cho biết họ phát hiện việc khai thác tích cực vào tháng 10.

Đây là zero-day thứ hai trong SEG chỉ trong vòng hai tháng. Vào giữa tháng 9, Cisco từng cảnh báo khách hàng rằng tội phạm mạng đang khai thác một lỗ hổng tương tự trong SEG, được theo dõi với mã CVE-2026-76461, cũng biến một email độc hại thành quyền truy cập root.

Trước đó, vào tháng 1, kẻ tấn công đã khai thác một lỗ hổng nghiêm trọng khác của AsyncOS, CVE-2025-20393, để đột nhập vào thiết bị Cisco SEG và cài đặt cơ chế duy trì hiện diện (persistence). Lỗ hổng đó cuối cùng đạt điểm CVSS tuyệt đối 10/10.

Điều này có ý nghĩa gì với người dùng Việt Nam?

Với các doanh nghiệp Việt Nam đang dùng Cisco Secure Email Gateway — đặc biệt là các tổ chức tài chính, ngân hàng, viễn thông và cơ quan nhà nước vốn phụ thuộc nhiều vào hạ tầng Cisco — đây là cảnh báo cần xử lý ngay, không thể trì hoãn.

• Kiểm tra ngay phiên bản AsyncOS và Content Scanner Tools trên hệ thống SEG của bạn.
• Nâng cấp lên 16.5.0-780 hoặc bản vá mới nhất càng sớm càng tốt.
• Rà soát log hệ thống email và thiết bị để tìm dấu hiệu xâm phạm bất thường.
• Cô lập và điều tra nếu nghi ngờ thiết bị đã bị chiếm quyền, vì kẻ tấn công có thể đã cài cơ chế duy trì truy cập lâu dài.

Việc một lỗ hổng chuyển quyền root qua email bị khai thác liên tiếp trong nhiều tháng cho thấy các cổng email bảo mật — vốn được coi là "tuyến phòng thủ" — đang trở thành chính mục tiêu tấn công. Doanh nghiệp cần xem đây là ưu tiên cấp thiết trong kế hoạch vá lỗi và ứng phó sự cố của mình.