CISA bổ sung lỗ hổng bỏ qua MFA của SonicWall vào danh sách bị khai thác

Cơ quan An ninh Mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm một lỗ hổng nghiêm trọng trên SonicWall SonicOS vào danh mục Các lỗ hổng đã biết bị khai thác (Known Exploited Vulnerabilities). Hành động này diễn ra sau khi có báo cáo rằng lỗ hổng, vốn cho phép kẻ tấn công vượt qua xác thực đa yếu tố, đang được khai thác tích cực trong các cuộc tấn công thực tế.

Chuyện gì đã xảy ra

CISA xác định CVE-2026-19868 là vấn đề có mức độ nghiêm trọng cao với điểm CVSS từ 7.1 đến 7.5. Cơ quan này tuyên bố rằng có những dấu hiệu cho thấy lỗ hổng này đã được sử dụng trong các chiến dịch tấn công đang hoạt động, dẫn đến việc đưa nó vào danh mục để buộc các cơ quan liên bang phải vá lỗi nhanh chóng. SonicWall xác nhận họ đã điều tra một báo cáo chỉ ra khả năng bị khai thác, mặc dù không tiết lộ chi tiết về các tác nhân đe dọa hoặc bản chất cụ thể của các cuộc tấn công.

Ngoài việc bỏ qua MFA, SonicWall cũng đã vá nhiều lỗ hổng nghiêm trọng khác trong cùng thông báo tư vấn. Bao gồm CVE-2026-107155 và CVE-2026-107154, cả hai đều có điểm CVSS là 8.8, ảnh hưởng đến giao diện quản lý. Một lỗ hổng khác, CVE-2026-82308, liên quan đến tràn bộ nhớ đệm heap trước khi xác thực trong dịch vụ SSL-VPN, có thể dẫn đến tình trạng từ chối dịch vụ (DoS). Các cơ quan thuộc Nhánh Điều hành Dân sự Liên bang (Federal Civilian Executive Branch) đã được chỉ đạo áp dụng các bản vá này trước ngày 20 tháng 11 năm 2026.

Thông báo này xuất hiện ngay sau khi SonicWall giải quyết hai lỗ hổng chưa được vá trong hệ thống Global Management System đã ngừng hỗ trợ (end-of-life). Những lỗ hổng đó, CVE-2026-109593 và CVE-2026-109594, vẫn chưa được vá cho các hệ thống cũ, với nhà cung cấp khuyến nghị khách hàng chuyển sang nền tảng Network Security Manager thay thế.

Cách thức hoạt động

Lỗ hổng cốt lõi, CVE-2026-19868, là lỗi thực thi xác thực trong dịch vụ SonicOS SSL-VPN. Nó đặc biệt ảnh hưởng đến các môi trường sử dụng SAML cho đăng nhập một lần (single sign-on) và xác thực đa yếu tố. Lỗi này cho phép người dùng sở hữu thông tin đăng nhập hợp lệ cho một phương pháp xác thực thay thế vượt qua hoàn toàn các kiểm soát SAML.

Về mặt thực tiễn, nếu một tổ chức áp dụng MFA qua SAML nhưng đồng thời cho phép một phương thức đăng nhập khác, kẻ tấn công có thể lợi dụng con đường thay thế đó để bỏ qua yêu cầu MFA. Khoảng trống thiết kế này có nghĩa là sự hiện diện của các yếu tố xác thực mạnh không đảm bảo an toàn nếu hệ thống không thực thi chúng tại tất cả các điểm truy cập. Các lỗ hổng khác được vá bao gồm chính sách cross-domain quá lỏng lẻo và lỗi xác thực phiên, có thể cho phép kẻ tấn công từ xa, chưa xác thực thực hiện các thao tác trái phép trên giao diện quản lý trong những điều kiện cụ thể.

Chi tiết chính

• Lỗ hổng chính: CVE-2026-19868 cho phép bỏ qua MFA do SAML áp đặt thông qua các phương pháp xác thực thay thế.
• Mức độ nghiêm trọng: Điểm CVSS được liệt kê từ 7.1 đến 7.5; CISA phân loại nó là đang bị khai thác tích cực.
• Các lỗ hổng bổ sung: Hai lỗ hổng giao diện quản lý (CVE-2026-107155, CVE-2026-107154) có điểm 8.8, cộng thêm một lỗ hổng DoS (CVE-2026-82308).
• Thời hạn: Các cơ quan thuộc Nhánh Điều hành Dân sự Liên bang phải vá lỗi trước ngày 20 tháng 11 năm 2026.
• Hệ thống cũ: Hai lỗ hổng chưa được vá vẫn tồn tại trong các sản phẩm Global Management System đã ngừng hỗ trợ.
• Phản hồi từ nhà cung cấp: SonicWall kêu gọi cập nhật ngay lập tức nhưng chưa tiết lộ danh tính kẻ tấn công hay kỹ thuật khai thác cụ thể.

Tại sao điều này quan trọng

Đối với các nhóm kỹ sư và lãnh đạo IT, sự cố này làm nổi bật tính dễ tổn thương của các kiến trúc xác thực hỗn hợp. Nhiều tổ chức chồng lớp MFA dựa trên SAML lên trên các dịch vụ thư mục hiện có, giả định rằng điều này cung cấp sự bảo vệ đồng nhất. Tuy nhiên, nếu nền tảng cơ bản cho phép các con đường đăng nhập thay thế không kích hoạt các kiểm tra MFA tương tự, biện pháp kiểm soát bảo mật sẽ bị vô hiệu hóa. Đây không chỉ là lỗi cấu hình mà còn là lỗi logic trong cách dịch vụ VPN thực thi các chính sách xác thực.

Việc đưa lỗ hổng này vào danh mục Các lỗ hổng đã biết bị khai thác của CISA làm tăng mức độ cấp bách của việc khắc phục. Khác với các thông báo tư vấn tiêu chuẩn, danh sách KEV thường thúc đẩy các hành động tuân thủ bắt buộc đối với các nhà thầu chính phủ và nhà cung cấp cơ sở hạ tầng trọng yếu. Thời gian ngắn ngủi cho đến hạn chót ngày 20 tháng 11 dành cho các cơ quan liên bang gợi ý rằng các nỗ lực quét và khai thác rộng rãi có thể đã diễn ra trong khu vực tư nhân.

Hơn nữa, sự tồn tại dai dẳng của các lỗ hổng chưa được vá trong các sản phẩm đã ngừng hỗ trợ như Global Management System là lời nhắc nhở về rủi ro nợ kỹ thuật. Các tổ chức phụ thuộc vào các plane quản lý cũ có thể thấy mình bị phơi bày trước các lỗ hổng xác thực hoặc giao diện quản lý tương tự mà không có lộ trình rõ ràng để khắc phục ngoài việc di chuyển toàn bộ nền tảng.

Bạn có thể làm gì

• Cập nhật firmware SonicWall SonicOS lên phiên bản mới nhất ngay lập tức để xử lý CVE-2026-19868 và các lỗ hổng liên quan.
• Kiểm toán cấu hình SSL-VPN của bạn để đảm bảo không có phương pháp xác thực thay thế nào bỏ qua yêu cầu MFA của SAML.
• Xác minh rằng quyền truy cập giao diện quản lý được giới hạn trong các dải IP đáng tin cậy để giảm thiểu rủi ro từ CVE-2026-107155 và CVE-2026-107154.
• Lên kế hoạch di chuyển khỏi các instance Global Management System đã ngừng hỗ trợ sang Network Security Manager.
• Giám sát nhật ký mạng để tìm kiếm các mẫu đăng nhập VPN bất thường có thể chỉ ra nỗ lực khai thác các con đường xác thực thay thế.
• Xác nhận việc áp dụng bản vá trước ngày 20 tháng 11 năm 2026 nếu tổ chức của bạn chịu sự quản lý của các quy định tuân thủ liên bang.