Atlassian zero-day bị khai thác chỉ trong vài giờ khi các vụ chiếm quyền chứng chỉ tấn công những thương hiệu lớn

Các nhóm đe dọa đã bắt đầu khai thác một lỗ hổng nghiêm trọng trong các sản phẩm Atlassian Data Center chỉ vài giờ sau khi chi tiết kỹ thuật được công bố rộng rãi trong tuần này. Đồng thời, những kẻ tấn công chưa xác định danh tính đã chiếm quyền kiểm soát các tên miền cấp cao theo mã quốc gia (ccTLD) để phát hành các chứng chỉ HTTPS trái phép cho Google và các tổ chức lớn khác, phá vỡ mô hình tin cậy cơ bản của kết nối web an toàn.

Chuyện gì đã xảy ra

Cộng đồng bảo mật phải đối mặt với sự leo thang nhanh chóng trong hoạt động khai thác thực tế sau khi các chi tiết kỹ thuật về CVE-2026-21589 được công bố. Lỗ hổng truy cập tệp tùy ý này, có điểm CVSS là 9.3, ảnh hưởng đến nhiều sản phẩm Atlassian tự lưu trữ bao gồm Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible và Fisheye. Theo các báo cáo, hoạt động quét độc hại và nỗ lực khai thác nhằm vào các mạng honeypot đã bắt đầu chỉ hai giờ sau khi công ty bảo mật watchTowr công bố thêm các thông tin kỹ thuật cụ thể về lỗ hổng. Dòng thời gian này nhấn mạnh khoảng thời gian ngày càng thu hẹp giữa việc công bố lỗ hổng và việc vũ khí hóa chúng.

Trong một diễn biến riêng biệt nhưng cũng đáng lo ngại không kém, Google tiết lộ rằng các nhóm đe dọa đã xâm nhập vào các nhà điều hành bên thứ ba quản lý bản ghi DNS ủy quyền cho một số tên miền cấp cao theo mã quốc gia (ccTLD). Cụ thể, các tên miền của Ghana (.gh), Samoa thuộc Mỹ (.as) và Sierra Leone (.sl) đã bị chiếm quyền kiểm soát. Tin tặc sử dụng quyền truy cập này để sửa đổi các bản ghi DNS và lấy được các chứng chỉ HTTPS trái phép cho nhiều tên miền của Google, cũng như các tên miền thuộc sở hữu của những thương hiệu toàn cầu hàng đầu và các dịch vụ trực tuyến phổ biến. Google đã giảm thiểu vấn đề bằng cách chặn các chứng chỉ trái phép thông qua cơ chế CRLSets, nhưng sự cố này cho thấy cách các điểm yếu trong chuỗi cung ứng hạ tầng tên miền có thể vượt qua bảo mật TLS truyền thống.

Chi tiết chính

• CVE-2026-21589: Một lỗ hổng truy cập tệp tùy ý nghiêm trọng trong các sản phẩm Atlassian Data Center với điểm CVSS là 9.3.
• Khai thác nhanh chóng: Tin tặc bắt đầu nhắm vào lỗ hổng Atlassian chỉ hai giờ sau khi các chi tiết kỹ thuật được watchTowr công bố.
• Sản phẩm Atlassian bị ảnh hưởng: Các phiên bản Data Center của Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible và Fisheye.
• Chiếm quyền chứng chỉ: Các chứng chỉ HTTPS trái phép đã được phát hành cho Google và các thương hiệu khác thông qua các ccTLD bị xâm nhập .gh, .as và .sl.
• Giảm thiểu: Google đã chặn các chứng chỉ giả mạo bằng CRLSets; người dùng Atlassian cần vá lỗi ngay lập tức để ngăn chặn truy cập tệp.
• Các vụ bắt giữ đáng chú ý khác: FBI đã bắt giữ Edward Dubrovsky, một nghi phạm đồng lõa với nhóm ShinyHunters, đánh dấu vụ bắt giữ thứ ba trong cuộc điều tra.

Bối cảnh

Để hiểu mức độ nghiêm trọng của vụ chiếm quyền chứng chỉ, sẽ hữu ích nếu xem xét cách thức hoạt động của tin cậy HTTPS. Khi bạn truy cập một trang web an toàn, trình duyệt của bạn kiểm tra chứng chỉ TLS của trang web đó để đảm bảo nó hợp lệ và được phát hành bởi một Tổ chức phát hành chứng chỉ (CA) uy tín. Quá trình này phụ thuộc vào Hệ thống tên miền (DNS) để ánh xạ đúng tên miền sang địa chỉ IP của máy chủ. Nếu một kẻ tấn công xâm nhập vào các bản ghi DNS của một tên miền, họ có thể chuyển hướng lưu lượng truy cập đến máy chủ của riêng mình. Bằng cách kiểm soát DNS, họ cũng có thể đáp ứng các yêu cầu xác minh do CA đặt ra để phát hành một chứng chỉ trông có vẻ hợp pháp cho tên miền đó. Điều này tạo ra kịch bản mà người dùng thấy biểu tượng ổ khóa hợp lệ trên trình duyệt, nhưng kết nối thực tế lại bị chấm dứt tại hạ tầng của kẻ tấn công, cho phép họ chặn hoặc sửa đổi dữ liệu.

Lỗ hổng Atlassian đại diện cho một loại rủi ro khác thường gặp trong môi trường tự lưu trữ. Các lỗ hổng truy cập tệp tùy ý cho phép tin tặc đọc các tệp trên máy chủ vốn nên bị hạn chế. Trong bối cảnh các công cụ như Confluence hoặc Bitbucket, điều này có nghĩa là khả năng truy cập vào các tệp cấu hình chứa thông tin đăng nhập cơ sở dữ liệu, khóa API hoặc tài liệu nội bộ nhạy cảm. Vì các sản phẩm này thường được tiếp xúc với internet để hỗ trợ truy cập từ xa cho các nhóm làm việc, chúng trở thành mục tiêu giá trị cao cho các máy quét tự động tìm kiếm các phiên bản chưa được vá lỗi.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành phần mềm tự lưu trữ, tốc độ khai thác của CVE-2026-21589 là một lời nhắc nhở rõ ràng rằng việc trì hoãn vá lỗi không còn là một rủi ro có thể quản lý được. Khoảng thời gian hai giờ giữa việc công bố và khai thác thực tế có nghĩa là các đội bảo mật không thể chờ đợi chu kỳ bảo trì hàng tuần để áp dụng các bản cập nhật quan trọng. Nếu tổ chức của bạn sử dụng bất kỳ sản phẩm Atlassian Data Center nào bị ảnh hưởng, rất có thể bạn đã đang bị quét. Việc không vá lỗi ngay lập tức có thể dẫn đến truy cập trái phép vào tài sản trí tuệ nhạy cảm hoặc dữ liệu khách hàng được lưu trữ trong các nền tảng này.

Sự cố chiếm quyền chứng chỉ nhấn mạnh sự mong manh của niềm tin trong hạ tầng internet rộng lớn hơn. Ngay cả khi các hệ thống nội bộ của bạn an toàn, các dịch vụ hướng ra ngoài của bạn vẫn phụ thuộc vào tính toàn vẹn của các cơ quan đăng ký tên miền và các tổ chức phát hành chứng chỉ. Mặc dù các công ty riêng lẻ không thể trực tiếp kiểm soát các nhà điều hành ccTLD, sự kiện này nêu bật tầm quan trọng của việc giám sát nhật ký minh bạch chứng chỉ. Phát hiện sớm các chứng chỉ trái phép có thể giúp giảm thiểu các cuộc tấn công trung gian (man-in-the-middle) trước khi chúng gây ra thiệt hại đáng kể cho niềm tin của người dùng hoặc tính bảo mật của dữ liệu.

Bạn có thể làm gì

• Vá lỗi các sản phẩm Atlassian ngay lập tức: Áp dụng các bản cập nhật bảo mật mới nhất cho Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible và Fisheye Data Center để giải quyết CVE-2026-21589.
• Giám sát nhật ký minh bạch chứng chỉ: Sử dụng các công cụ để theo dõi các chứng chỉ SSL/TLS trái phép được phát hành cho tên miền của bạn, đặc biệt nếu bạn hoạt động ở các khu vực có quản lý ccTLD kém an toàn hơn.
• Kiểm toán bảo mật DNS: Đảm bảo các nhà đăng ký tên miền và nhà cung cấp DNS của bạn có xác thực đa yếu tố và kiểm soát truy cập mạnh mẽ để ngăn chặn các thay đổi bản ghi trái phép.
• Xem xét quyền truy cập tệp: Kiểm tra các ứng dụng tự lưu trữ của bạn để tìm các cài đặt quyền truy cập tệp quá rộng, điều có thể làm trầm trọng thêm các lỗ hổng như đọc tệp tùy ý.
• Xác minh tính toàn vẹn của nhà cung cấp: Hãy thận trọng khi tham gia các dịch vụ phục hồi dữ liệu của bên thứ ba, dựa trên các cáo buộc gần đây chống lại các công ty phục hồi ransomware vì hành vi gian lận.
• Cập nhật tất cả các phụ thuộc: Xem xét danh sách các CVE đang nổi lên cho các phần mềm khác trong stack của bạn, bao gồm Dell System Update, Google Chrome và Elasticsearch, và áp dụng các bản vá khi cần thiết.