Chuyện gì đã xảy ra
CISA, cơ quan an ninh mạng Mỹ, đã thêm năm lỗ hổng cũ, có cái hơn mười năm tuổi, vào danh mục Lỗ hổng bị khai thác đã biết (KEV). Theo Security Affairs, việc này trùng với khuyến cáo chung của bảy quốc gia, trong đó có Nhật Bản (cùng Úc, Canada, New Zealand, Tây Ban Nha, Anh và Mỹ) về các chiến dịch quy cho những tác nhân liên quan Integrity Technology Group, một công ty an ninh mạng có trụ sở tại Trung Quốc.
Năm lỗ hổng
| CVE | Sản phẩm | Loại | CVSS |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD | kiểm soát truy cập (SITE CPFR/CPTO) cho phép đọc/sửa tệp | 10,0 |
| CVE-2021-3199 | ONLYOFFICE Docs | path traversal khi bật JWT, có thể thực thi mã | 9,8 |
| CVE-2016-3081 | Apache Struts | chèn lệnh qua method: khi bật Dynamic Method Invocation | 8,1 |
| CVE-2015-5477 | ISC BIND | truy vấn TKEY gây từ chối dịch vụ | 7,5 |
| CVE-2023-22894 | Strapi | lộ dữ liệu nhạy cảm qua bộ lọc trong trang quản trị | 7,2 |
Theo Security Affairs, hoạt động này dùng tổng cộng tám lỗ hổng để xâm nhập ban đầu và đánh cắp thông tin, kèm công cụ quét, XSS, password spraying nhắm vào Microsoft Exchange, VPN để duy trì truy cập và script trích xuất email, thông tin đăng nhập.
Công cụ bị thu giữ
Bộ Tư pháp và FBI thu giữ hai công cụ được cho là của công ty này: Microscan để quét hệ thống dễ bị tấn công, và FishHub dùng spear-phishing để phát tán mã độc và đánh cắp tệp.
Các cơ quan liên bang Mỹ phải khắc phục trước 11/10/2026.
Vì sao lỗ hổng từ 2015 vẫn quan trọng
Vì máy chủ bị lãng quên vẫn đang chạy: FTP cũ, DNS nội bộ chưa cập nhật, ứng dụng Struts cũ. Việc Nhật Bản tham gia khuyến cáo cho thấy doanh nghiệp Nhật cũng nằm trong tầm ngắm.
Danh sách cho SME
- Kiểm kê tài sản lộ ra internet, kể cả máy chủ "tạm thời" cũ.
- Tìm năm phiên bản trên và cập nhật hoặc tắt.
- Exchange: bật MFA, chặn xác thực cũ, theo dõi password spraying.
- Đào tạo chống spear-phishing.
- Theo dõi danh mục KEV như danh sách ưu tiên vá lỗi.
Nguồn
- Security Affairs (11/10/2026): https://securityaffairs.com/200734/security/u-s-cisa-adds-proftpd-onlyoffice-docs-strapi-apache-struts-and-isc-bind-flaws-to-its-known-exploited-vulnerabilities-catalog.html
- Danh mục KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
Bạn muốn rà soát và thu hẹp bề mặt tấn công của doanh nghiệp? KGA IT cung cấp tư vấn miễn phí: kga-it.com.