CISA bổ sung 7 lỗ hổng đang bị khai thác vào danh mục KEV
"CISA added seven actively exploited vulnerabilities to its Known Exploited Vulnerabilities catalog, including critical flaws in SonicWall SMA 1000, Sangoma Switchvox, JFrog Artifactory, Kestra OSS, and Berri LiteLLM, plus a Starlette request smuggling issue. Reported exploitation includes reverse shell deployment, admin token abuse, authentication bypass, and cryptocurrency mining, with fixes requiring vendor patches and mitigation of exposed services. One related LiteLLM chain also involves CVE-2026-42271, which had already been added to KEV."
Tác động an ninh cao do nhiều lỗ hổng đang bị khai thác, có thể dẫn tới RCE, vượt qua xác thực và cài reverse shell/crypto miner.
Có thể gây gián đoạn dịch vụ, lộ dữ liệu nhạy cảm và tăng rủi ro chiếm quyền hệ thống trên các nền tảng bị ảnh hưởng.
Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) đã bổ sung 7 lỗ hổng vào danh mục Known Exploited Vulnerabilities (KEV) sau khi ghi nhận dấu hiệu bị khai thác trong thực tế. Danh sách gồm các lỗi trong SonicWall SMA 1000, Sangoma Switchvox, JFrog Artifactory, Kestra OSS, Berri LiteLLM và Starlette, với mức độ nghiêm trọng từ CVSS 6.5 đến 10.0.
Các báo cáo điều tra cho thấy kẻ tấn công đã dùng các lỗi này để triển khai reverse shell, tạo admin token trái phép, vượt qua xác thực, thực thi lệnh hệ điều hành và cài crypto miner. Một số chuỗi tấn công còn liên quan đến CVE-2026-42271, vốn đã có trong KEV trước đó, để vượt qua xác thực và thực thi mã từ xa trên các triển khai LiteLLM.
Với CVE-2026-49869 trong Kestra OSS, Microsoft cho biết có dấu hiệu bị khai thác để mở shell, dò môi trường Docker, né phòng thủ và thu thập dữ liệu. Trong khi đó, các hệ thống AI infrastructure và MCP cũng đang bị nhắm tới để lấy API key, truy cập backend và duy trì hiện diện lâu dài.
Khuyến nghị: ưu tiên áp dụng bản vá từ nhà cung cấp, rà soát dịch vụ phơi lộ ra Internet, kiểm tra dấu hiệu C2, authorized_keys bị sửa đổi và hoạt động đào coin bất thường.