CISA cảnh báo khai thác đang diễn ra trên Zyxel GS1900 và Veeam Agent for Windows
"CISA added the patched Zyxel GS1900 series switch vulnerability CVE-2026-7273 to its Known Exploited Vulnerabilities catalog after evidence of active exploitation. The stack-based buffer overflow in the CGI program can allow unauthenticated LAN-based attackers to execute OS commands, and Zyxel has released fixed firmware versions; CISA also reported active exploitation of Veeam Agent for Microsoft Windows CVE-2026-32996, a local privilege escalation flaw that can be abused to obtain SYSTEM-level access, with mitigation available in the vendor update."
Ảnh hưởng trực tiếp đến thiết bị mạng và máy trạm Windows; có thể dẫn tới thực thi lệnh từ xa hoặc nâng quyền lên SYSTEM nếu bị khai thác thành công.
Có thể gây gián đoạn vận hành ở hạ tầng mạng nội bộ và endpoint, đồng thời làm tăng rủi ro xâm nhập sâu nếu bản vá chưa được triển khai kịp thời.
CISA đã bổ sung lỗ hổng trên Zyxel GS1900 series vào danh mục Known Exploited Vulnerabilities (KEV) sau khi ghi nhận dấu hiệu khai thác đang diễn ra. Lỗ hổng CVE-2026-7273 có điểm CVSS 8.8, là lỗi stack-based buffer overflow trong CGI program của firmware, có thể cho phép kẻ tấn công không cần xác thực trên mạng LAN thực thi lệnh hệ điều hành thông qua một yêu cầu HTTP được tạo đặc biệt. Zyxel đã phát hành các bản firmware đã sửa cho nhiều model thuộc dòng này.
CISA cũng ghi nhận hoạt động khai thác đối với Veeam Agent for Microsoft Windows qua CVE-2026-32996 với điểm CVSS 7.3. Đây là lỗi local privilege escalation trong Veeam Endpoint Backup service, có thể bị lợi dụng để nâng quyền lên SYSTEM trên máy bị ảnh hưởng nếu kẻ tấn công đã có quyền truy cập cục bộ. Theo mô tả kỹ thuật, thông tin session UID có thể bị đọc từ log và dùng lại để thực thi lệnh với đặc quyền cao.
Khuyến nghị: cập nhật firmware Zyxel lên bản đã vá, triển khai bản cập nhật của Veeam, rà soát thiết bị và máy trạm có liên quan, đồng thời kiểm tra log và quyền truy cập cục bộ để giảm nguy cơ bị khai thác.