Điểm tin lỗ hổng bị khai thác từ 23/10 đến 30/10

Từ ngày 23/10 đến 30/10/2026, CISA liên tục thêm nhiều CVE vào Known Exploited Vulnerabilities (KEV). Phần lớn ảnh hưởng tới thiết bị biên, nền tảng CI/CD và thư viện xử lý dữ liệu, nơi bản vá chậm có thể biến thành sự cố lan rộng. Dưới đây là các hạng mục cần rà soát trước, không chỉ theo hạn của cơ quan liên bang Mỹ mà theo mức độ lộ diện của hệ thống trong doanh nghiệp.

Các lỗ hổng đáng chú ý

Sản phẩm	CVE	CVSS	Tình trạng khai thác
Collabora Online Built-in CODE Server	CVE-2026-110447	9.2	Bị dùng để cài web shell lên Nextcloud
Arista VeloCloud Orchestrator	CVE-2026-114625	9.9	SQL injection cần phiên Enterprise Read Only
GitLab CE/EE	CVE-2026-97229	10.0	Thử khai thác nhắm Alpine Linux 20–21/10
Cisco ASA/FTD	CVE-2026-76418	8.6	DoS từ xa chưa xác thực
Ivanti Connect Secure	CVE-2026-111357, CVE-2026-118527	8.8/4.3	Chuỗi khai thác lên root không xác thực
Google Brotli (Node2Shell)	CVE-2026-111497	critical	Bị khai thác, có thể RCE
PHP (PHP2Shell)	CVE-2026-109618, CVE-2026-109619	critical	RCE chưa xác thực, độ phức tạp cao

Bảng trên chưa phải toàn bộ danh mục KEV, nhưng phản ánh các nhóm hệ thống phổ biến trong doanh nghiệp Việt Nam: VPN/tường lửa, máy chủ GitLab nội bộ hoặc lộ Internet, ứng dụng PHP và các dịch vụ web nén Brotli. Điểm chung là phần lớn đều có khả năng bị tấn công từ xa hoặc leo thang đặc quyền sau khi có một phiên hợp lệ.

Chuỗi khai thác trên thiết bị biên: Ivanti và NetScaler

Nguy hiểm nhất trong đợt này là chuỗi ba lỗ hổng Ivanti Connect Secure. Theo The Hacker News, CVE-2026-111357 và CVE-2026-118527 được thêm vào KEV ngày 30/10/2026, trong đó CVE-2026-111357 có điểm CVSS 8.8, CVE-2026-118527 có điểm 4.3. Chúng được dùng cùng CVE-2026-104935, lỗ hổng vượt xác thực đã vào KEV ngày 13/10/2026, để đạt thực thi mã với quyền root mà không cần xác thực.

Volexity ghi nhận nhóm tấn công chưa từng được định danh UTA0576 không tập trung cài web shell mà tìm kiếm credential, dữ liệu Active Directory, mật khẩu quản trị và khóa khôi phục BitLocker. Ivanti đã phát hành bản vá cho chuỗi bị khai thác tại ICS 25.1.1.3 và 22.8R2.6. CISA yêu cầu cơ quan liên bang Mỹ vá CVE-2026-111357 trước 2/11/2026 và CVE-2026-118527 trước 13/11/2026. Với doanh nghiệp, hệ thống Ivanti Connect Secure lộ Internet nên được xử lý trong ngày, kèm rà soát dấu hiệu tìm credential bất thường.

Với Citrix NetScaler ADC và Gateway, cảnh báo CISA công bố từ cuối tháng 9 vẫn là danh sách cần kiểm tra IOC trước khi vá. CISA đã thêm CVE-2026-88771 và CVE-2026-88772 vào KEV ngày 27/9/2026, CVE-2026-88779 ngày 4/10/2026. Trong triển khai cấu hình SAML Service Provider hoặc Identity Provider, CVE-2026-88779 có thể độc lập gây từ chối dịch vụ, và có thể bị lợi dụng để buộc khởi động lại nhằm đẩy nhanh điều kiện thực thi mã đã tiêm qua CVE-2026-88771. CISA khuyến nghị chuyển log NetScaler về SIEM hoặc hệ thống lưu log tập trung, bảo quản chứng cứ pháp y trước khi vá, khôi phục từ bản backup sạch và xoay toàn bộ secret gồm mật khẩu local, key-encryption key và chứng chỉ SSL.

Hạ tầng phát triển và tường lửa: GitLab, Cisco

Theo The Hacker News, CISA thêm CVE-2026-97229 vào KEV ngày 29/10/2026. Đây là lỗ hổng tràn số hoặc bao quanh số nguyên trong GitLab Community Edition và Enterprise Edition, điểm CVSS 10.0, cho phép người dùng chưa xác thực thực thi mã tùy ý trên máy chủ GitLab thông qua biểu thức chính quy được chế tạo trong cấu hình CI/CD.

Alpine Linux ghi nhận kẻ tấn công lạ cố khai thác lỗ hổng nhắm vào phiên bản GitLab chưa vá của dự án vào ngày 20 và 21/10/2026. Kẻ tấn công gửi cấu hình CI độc hại khiến tiến trình worker GitLab sập tám lần; bốn lần trong số đó khai thác thất bại ở bước kế tiếp. Nhóm bảo trì Alpine đánh giá “cuộc tấn công gần như thành công”, không tìm thấy bằng chứng bị xâm nhập nhưng vẫn coi phiên bản đó là đã bị kiểm soát và xây lại từ đầu. CISA yêu cầu FCEB vá trước 1/11/2026. Đội vận hành cần kiểm tra log CI/CD và xác minh phiên bản GitLab; nếu chưa thể vá ngay, cần hạn chế truy cập mạng tới cổng quản trị và API.

CVE-2026-76418 trên Cisco Secure Firewall ASA và FTD, điểm CVSS 8.6, là lỗ hổng unchecked return value dẫn tới NULL pointer dereference, cho phép kẻ tấn công chưa xác thực từ xa khiến thiết bị reload bất ngờ. Cisco xác nhận đã ghi nhận khai thác thực tế nhưng chưa công bố kẻ tấn công, số tổ chức bị ảnh hưởng hay hành động sau khi xâm nhập. Đây là dạng DoS có thể làm gián đoạn vận hành, đặc biệt nếu ASA/FTD nằm trên đường truyền chính hoặc bảo vệ trung tâm dữ liệu. Cần ưu tiên theo dõi bản vá chính thức từ Cisco trước khi kẻ tấn công mở rộng mục tiêu.

Lỗ hổng nền tảng: Brotli và PHP

CVE-2026-111497, còn gọi Node2Shell, Broccoli2Shell hoặc HTTP2Shell, nằm trong bộ giải mã Brotli. BleepingComputer cho biết lỗ hổng bắt nguồn từ lỗi ghi ngoài vùng đệm hoặc giá trị trả về không được kiểm tra, cho phép luồng nén Brotli độc hại gây crash, lộ bộ nhớ hoặc trong một số trường hợp thực thi mã từ xa. Lỗi ảnh hưởng Node.js và các HTTP server/client dùng thư viện Brotli dễ tổn thương. Microsoft cũng phát hành bản cập nhật khẩn cấp cho .NET vì kẻ tấn công có thể leo thang đặc quyền. CISA thêm vào KEV và yêu cầu vá trước 10/11/2026 theo BOD 26-04.

Nếu chưa thể vá ngay, cần chặn luồng yêu cầu nén Brotli ở proxy hoặc firewall, hoặc tắt tính năng giải mã Brotli cho tới khi cập nhật. Sau khi vá, cần khởi động lại tiến trình bị ảnh hưởng, build lại và triển khai lại container image.

PHP2Shell gồm CVE-2026-109618 và CVE-2026-109619, hai lỗ hổng PHP được thêm vào KEV sau khi đã có nỗ lực khai thác trước bản vá 21/10/2026. Theo BleepingComputer, kẻ tấn công chưa xác thực có thể đạt RCE trong các cuộc tấn công độ phức tạp cao. Các PoC bị rò rỉ trước bản vá được PHP xác nhận không hoạt động, và nhiều hãng bảo mật ghi nhận các nỗ lực khai thác trước công bố là thất bại. PHP chiếm khoảng 70% website theo W3Techs. VirusTotal ước tính hơn 5,1 triệu máy chủ PHP lộ diện trực tuyến và khoảng 3,8 triệu phiên bản mở ít nhất một cổng. Cần cập nhật PHP, theo dõi bất thường trên Apache mod_php và rà soát khuyến nghị mới cho CVE-2026-115560, lỗ hổng chưa có bản vá và chỉ áp dụng khi hệ thống có tổ hợp cấu hình cùng mã nguồn bất thường.

Việc cần làm ngay

• Đối chiếu danh sách tài sản lộ Internet với KEV, ưu tiên VPN, gateway, GitLab, PHP và mọi dịch vụ dùng Brotli.
• Với Ivanti và NetScaler, rà soát log và IOC trước khi vá, bảo quản chứng cứ pháp y.
• Với Brotli và PHP, áp dụng bản vá, khởi động lại dịch vụ, build lại container và dùng proxy/WAF nếu cần.
• Chuyển log liên quan về SIEM và dùng quy tắc SIGMA của CISA cho NetScaler nếu phù hợp.

Khi danh sách cần rà soát quá lớn, một đợt kiểm thử xâm nhập theo kiểu RiskForge giúp phân loại lỗ hổng theo rủi ro thực tế trước khi vá, thay vì xử lý toàn bộ theo điểm số.