CISA cảnh báo khai thác các lỗ hổng OpenSSH, GPUStack, FreeSWITCH và IBM
"CISA has added vulnerabilities in OpenSSH (CVE-2026-123158), GPUStack (CVE-2026-102895), SignalWire FreeSwitch (CVE-2026-116779), and IBM Aspera Faspex (CVE-2026-123218) to its KEV catalog due to active exploitation. Exploitation of the OpenSSH flaw, dubbed 'SSHOle', is actively occurring with observed reconnaissance and persistence attempts. Patches are available for all vulnerabilities, with FCEB agencies recommended to apply them by November 12, 2026."
Các lỗ hổng này, đặc biệt là SSHOle và lỗ hổng GPUStack, có thể dẫn đến mất dữ liệu, gián đoạn dịch vụ và mất quyền kiểm soát hệ thống. Việc khai thác tích cực cho thấy nguy cơ cao.
Việc khai thác các lỗ hổng này có thể gây ra thiệt hại tài chính do thời gian chết, mất uy tín và chi phí khắc phục. Các doanh nghiệp cần đánh giá rủi ro và áp dụng các bản vá kịp thời.
CISA vừa thêm các lỗ hổng trong OpenSSH (CVE-2026-123158), GPUStack (CVE-2026-102895), SignalWire FreeSwitch (CVE-2026-116779) và IBM Aspera Faspex (CVE-2026-123218) vào danh mục KEV do có bằng chứng về việc khai thác. Lỗ hổng OpenSSH, có tên 'SSHOle', đang bị khai thác tích cực với các nỗ lực trinh sát và duy trì quyền truy cập.
Các bản vá đã có sẵn cho tất cả các lỗ hổng. CISA khuyến nghị các cơ quan liên bang nên áp dụng các bản vá này trước ngày 12 tháng 11 năm 2026. Việc vá lỗi kịp thời rất quan trọng để giảm thiểu rủi ro.
Cụ thể, lỗ hổng GPUStack (CVE-2026-102895) cho phép truy cập quản trị trái phép, bao gồm thay đổi người dùng và mô hình, tạo khóa API quản trị viên liên tục, tiết lộ bí mật của worker và cloud provider, và thực thi mã thông qua POST /v2/inference-backends/from-yaml. Lỗ hổng SignalWire FreeSwitch (CVE-2026-116779) có thể dẫn đến tiết lộ cấu hình và thông tin đăng nhập, điều khiển cuộc gọi tùy ý và thực thi lệnh. Lỗ hổng IBM Aspera Faspex (CVE-2026-123218) cho phép người dùng đã xác thực bỏ qua cơ chế ủy quyền và leo thang đặc quyền.
Theo Previdian, đã có tổng cộng 22 nỗ lực khai thác SSHOle từ 14 địa chỉ IP duy nhất kể từ ngày 6 tháng 11 năm 2026. GreyNoise ghi nhận nỗ lực khai thác đầu tiên vào mạng honeypot của họ vào lúc 00:46 UTC ngày 7 tháng 11 năm 2026. Các hoạt động sau khai thác bao gồm trinh sát, truy vấn dịch vụ metadata đám mây, cố gắng đọc mật khẩu hash và khóa SSH root, và sửa đổi tệp authorized_keys để duy trì quyền truy cập. Trong một số trường hợp, kẻ tấn công đã triển khai TAC Agent, một tác nhân C2 dựa trên Python. [https://therecord.media/cisa-warns-active-exploitation-openssh-gpustack-freeswitch-ibm-flaws]
Câu hỏi thường gặp
KEV là gì?
KEV là viết tắt của Known Exploited Vulnerabilities (Các lỗ hổng đã biết đang bị khai thác). Đây là danh mục của CISA liệt kê các lỗ hổng bảo mật đang bị khai thác tích cực.
Lỗ hổng SSHOle ảnh hưởng đến hệ thống nào?
Lỗ hổng SSHOle (CVE-2026-123158) ảnh hưởng đến OpenBSD OpenSSH trên Linux. Các hệ thống sử dụng OpenSSH cần được vá lỗi ngay lập tức.
Thời hạn vá lỗi là khi nào?
CISA khuyến nghị các cơ quan liên bang nên áp dụng các bản vá cho các lỗ hổng này trước ngày 12 tháng 11 năm 2026. Các tổ chức khác cũng nên ưu tiên vá lỗi càng sớm càng tốt.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc CISA đưa các lỗ hổng này vào danh mục KEV cho thấy mức độ nghiêm trọng và nguy cơ cao. Các doanh nghiệp Việt Nam sử dụng các phần mềm này cần ưu tiên kiểm tra và vá lỗi ngay lập tức. Đặc biệt, lỗ hổng SSHOle có thể ảnh hưởng đến các hệ thống Linux phổ biến, do đó việc cập nhật OpenSSH là rất quan trọng. Điều đáng chú ý là các lỗ hổng GPUStack có thể ảnh hưởng đến các ứng dụng AI/ML, vì vậy các tổ chức đang sử dụng GPUStack nên đặc biệt cảnh giác.