CISA cảnh báo các cuộc khai thác đang diễn ra với lỗ hổng OpenSSH, GPUStack và IBM

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã cập nhật danh mục Các lỗ hổng bị khai thác đã biết (KEV) vào thứ Hai với bốn lỗ hổng mức độ nghiêm trọng cao ảnh hưởng đến các thành phần cơ sở hạ tầng được sử dụng rộng rãi. Cơ quan này dẫn chứng bằng chứng về việc khai thác tích cực đối với các lỗ hổng trong OpenBSD OpenSSH, GPUStack, SignalWire FreeSWITCH và IBM Aspera Faspex. Bản cập nhật này đóng vai trò như một chỉ thị khẩn cấp cho các cơ quan liên bang và là lời cảnh báo mạnh mẽ đối với các đội ngũ khu vực tư nhân quản lý những hệ thống này.

Chuyện gì đã xảy ra

Việc CISA bổ sung vào danh mục KEV nhấn mạnh các mối đe dọa tức thì thay vì những rủi ro mang tính lý thuyết. Mục nổi bật nhất là CVE-2026-123158, còn được gọi là SSHole, ảnh hưởng đến OpenBSD OpenSSH chạy trên Linux. Kể từ ngày 6 tháng 11 năm 2026, các công ty bảo mật đã ghi nhận 22 nỗ lực khai thác từ 14 địa chỉ IP riêng biệt. GreyNoise phát hiện nỗ lực đầu tiên nhắm vào mạng lưới honeypot của họ vào lúc 12:46 sáng UTC ngày 7 tháng 11. Mặc dù Defused Cyber lưu ý rằng hoạt động này chưa lan rộng, nhưng các hành động sau khi khai thác được xác nhận cho thấy ý đồ nghiêm trọng. Kẻ tấn công đang tiến hành trinh sát, truy vấn các dịch vụ metadata đám mây và cố gắng đọc các hash mật khẩu cùng khóa SSH root.

Ba lỗ hổng còn lại cũng có điểm CVSS ở mức nghiêm trọng là 9.8, ngoại trừ SSHole được đánh giá ở mức 8.1. CVE-2026-102895 trong GPUStack cho phép truy cập quản trị không cần xác thực, giúp kẻ tấn công thay đổi mô hình, tạo khóa API vĩnh viễn và thực thi mã. Lỗi này đã được khắc phục vào tháng 7 năm 2026 sau các báo cáo về việc khai thác trong thực tế. CVE-2026-116779 trong SignalWire FreeSWITCH cho phép chèn mã, dẫn đến rò rỉ thông tin đăng nhập và thực thi lệnh tùy ý, với bản vá được phát hành vào tháng 10 năm 2026. Cuối cùng, CVE-2026-123218 trong IBM Aspera Faspex cho phép người dùng đã xác thực bỏ qua các kiểm tra ủy quyền để leo thang đặc quyền, đã được vá vào tháng 11 năm 2026.

Phân tích sau khi khai thác tiết lộ các chiến thuật tinh vi. Trong một số trường hợp, một nhóm mối đe dọa được gọi là GT10 đã triển khai TAC Agent, một công cụ điều khiển và chỉ huy dựa trên Python. Agent này thực hiện các lệnh shell, liệt kê thư mục và truyền tệp. WatchTowr cũng quan sát thấy lỗ hổng OpenSSH được sử dụng để tuyển mộ botnet và vận hành khai thác tiền điện tử. Các cơ quan thuộc Nhánh Hành chính Dân sự Liên bang phải áp dụng các bản sửa lỗi trước ngày 12 tháng 11 năm 2026, nhưng cửa sổ thời gian cho tất cả các tổ chức đang khép lại nhanh chóng.

Cách thức hoạt động

Lỗ hổng SSHole bắt nguồn từ một mã trạng thái hoặc giá trị trả về bất ngờ trong quá trình xác thực OpenSSH trên các hệ thống Linux. Lỗi logic này cho phép kẻ tấn công bỏ qua hoàn toàn các cơ chế xác thực, cấp cho chúng quyền truy cập mà không cần thông tin đăng nhập hợp lệ. Một khi đã xâm nhập, kẻ tấn công sửa đổi tệp authorized_keys của SSH để duy trì quyền truy cập vĩnh viễn, đảm bảo chúng có thể quay lại ngay cả khi các điểm xâm nhập ban đầu bị đóng. Chúng cũng nhắm vào các dịch vụ metadata đám mây để thu thập bí mật môi trường và thông tin đăng nhập.

Trong GPUStack, lỗi xác thực không đúng cách cho phép người dùng không xác thực gửi các yêu cầu POST cụ thể tới endpoint /v2/inference-backends/from-yaml. Hành động này cấp quyền quản trị, cho phép tạo khóa API vĩnh viễn và lộ ra các bí mật của worker và nhà cung cấp đám mây. Đối với IBM Aspera Faspex, vấn đề nằm ở việc xử lý ủy quyền không chính xác. Một người dùng đã xác thực có thể soạn thảo một thông điệp cụ thể mà hệ thống không xác thực đúng cách, từ đó leo thang đặc quyền vượt quá vai trò dự kiến của họ. Các cơ chế này dựa vào những lỗi triển khai tinh vi hơn là các phá vỡ mật mã phức tạp, khiến chúng khó phát hiện nếu không thử nghiệm kỹ lưỡng.

Chi tiết chính

• CVE-2026-123158 (SSHole): Ảnh hưởng đến OpenBSD OpenSSH trên Linux; cho phép bỏ qua xác thực qua các mã trạng thái bất ngờ; đã được sửa vào tháng 11 năm 2026.
• CVE-2026-102895: Ảnh hưởng đến GPUStack; cho phép truy cập admin không cần xác thực và thực thi mã; đã được sửa vào tháng 7 năm 2026.
• CVE-2026-116779: Ảnh hưởng đến SignalWire FreeSWITCH; cho phép chèn mã và rò rỉ thông tin đăng nhập; đã được sửa vào tháng 10 năm 2026.
• CVE-2026-123218: Ảnh hưởng đến IBM Aspera Faspex; cho phép leo thang đặc quyền qua các thông điệp được soạn thảo; đã được sửa vào tháng 11 năm 2026.
• Mối đe dọa đang hoạt động: Nhóm GT10 triển khai TAC Agent để duy trì sự hiện diện; watchTowr báo cáo việc sử dụng cho botnet và khai thác tiền điện tử.
• Hạn chót: Các cơ quan liên bang phải vá lỗi trước ngày 12 tháng 11 năm 2026.

Tại sao điều này quan trọng

Đối với các đội ngũ kỹ thuật, sự hiện diện của những lỗ hổng này trong danh mục KEV chuyển ưu tiên từ bảo trì thường xuyên sang phản ứng khẩn cấp. OpenSSH là một thành phần nền tảng cho việc quản lý máy chủ từ xa, nghĩa là gần như mọi cơ sở hạ tầng dựa trên Linux đều có khả năng bị phơi nhiễm. Việc kẻ tấn công đã sửa đổi các tệp authorized_keys cho thấy chúng hướng tới sự tồn tại lâu dài thay vì các cuộc tấn công nhanh gọn rồi rút lui. Điều này làm cho việc phát hiện trở nên khó khăn hơn, vì các cảnh báo đăng nhập tiêu chuẩn có thể không kích hoạt nếu kẻ tấn công sử dụng xác thực dựa trên khóa trông hợp lệ sau khi xâm nhập ban đầu.

Lỗ hổng GPUStack đặc biệt liên quan đến các đội ngũ AI và ML phụ thuộc vào gói này để quản lý các backend suy luận. Quyền truy cập quản trị không cần xác thực có nghĩa là kẻ tấn công có thể thay đổi cấu hình mô hình hoặc đánh cắp các bí mật của nhà cung cấp đám mây được lưu trữ trong môi trường. Với việc các bản sửa lỗi đã có sẵn từ nhiều tháng trước cho một số vấn đề này, việc tiếp tục bị khai thác làm nổi rõ khoảng cách giữa khả năng có bản vá và việc triển khai nó. Các đội ngũ phải xác minh không chỉ rằng các bản vá tồn tại, mà còn rằng chúng được áp dụng trên tất cả các phiên bản, bao gồm cả những phiên bản trong môi trường staging hoặc legacy.

Bạn có thể làm gì

• Vá lỗi OpenSSH ngay lập tức lên phiên bản mới nhất phát hành vào tháng 11 năm 2026 để giảm thiểu lỗ hổng SSHole.
• Cập nhật GPUStack lên phiên bản đã được sửa vào tháng 7 năm 2026 và xoay vòng tất cả các khóa API quản trị và bí mật của nhà cung cấp đám mây.
• Áp dụng bản sửa lỗi tháng 10 năm 2026 cho SignalWire FreeSWITCH và kiểm toán nhật ký điều khiển cuộc gọi để tìm các thay đổi trái phép.
• Nâng cấp IBM Aspera Faspex lên mức bản vá tháng 11 năm 2026 và xem xét các phân công đặc quyền người dùng để tìm kiếm những điểm bất thường.
• Giám sát các sửa đổi đối với tệp authorized_keys của SSH và truy vấn nhật ký dịch vụ metadata đám mây để tìm các mẫu truy cập bất thường.
• Quét tìm các chỉ dấu xâm nhập liên quan đến TAC Agent, chẳng hạn như các tiến trình Python bất ngờ hoặc hoạt động liệt kê thư mục.