CISA cảnh báo về các cuộc khai thác đang diễn ra trên Collabora Online và Arista VeloCloud

Cơ quan An ninh Mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã đánh dấu hai lỗ hổng bảo mật nghiêm trọng cần được xử lý ngay sau khi xác nhận chúng đang bị các nhóm đe dọa khai thác tích cực. Vào thứ Sáu, ngày 24 tháng 10 năm 2026, cơ quan này đã thêm các lỗ hổng ảnh hưởng đến Collabora Online Built-in CODE Server và Arista VeloCloud Orchestrator vào danh mục Các lỗ hổng đã biết bị khai thác (Known Exploited Vulnerabilities). Việc chỉ định này cho thấy các cuộc tấn công đang tiếp diễn và thúc giục các tổ chức ưu tiên khắc phục.

Chuyện gì đã xảy ra

Lỗ hổng đầu tiên, được theo dõi dưới mã CVE-2026-110447, ảnh hưởng đến Collabora Online Built-in CODE Server, thường được gọi là richdocumentscode, khi tích hợp với nền tảng Nextcloud. Lỗi này là vấn đề chèn lệnh hệ điều hành với điểm mức độ nghiêm trọng CVSS là 9.2. Nó cho phép thực thi mã từ xa thông qua thành phần "proxy.php" cụ thể khi máy chủ tài liệu CODE cục bộ không chạy. Nhà cung cấp đã phát hành bản sửa lỗi vào tháng 9 năm 2026 với phiên bản 26.4.303, nhưng các trường hợp chưa được vá vẫn có nguy cơ cao.

Các kẻ tấn công đang khai thác điểm yếu này để cài đặt web shell trên các máy chủ Nextcloud bị xâm nhập. Sau khi truy cập được, chúng tiến hành thu thập thông tin để tìm dữ liệu nhạy cảm, bao gồm kho lưu trữ thông tin đăng nhập, các tạo tác của trình quản lý mật khẩu và ví tiền điện tử. Mô hình này gợi ý rằng các nhóm động cơ tài chính hoặc nhóm gián điệp đang tìm kiếm quyền truy cập bền vững và các tài sản kỹ thuật số có giá trị được lưu trữ trong môi trường tự lưu trữ (self-hosted).

Lỗi thứ hai, CVE-2026-114625, ảnh hưởng đến các cài đặt tại chỗ (on-premise) của Arista VeloCloud Orchestrator (VCO). Với điểm CVSS gần như hoàn hảo là 9.9, lỗ hổng chèn SQL này cho phép kẻ tấn công từ xa truy cập vào các chức năng nội bộ đặc quyền. Việc khai thác đòi hỏi quyền truy cập mạng vào giao diện web VCO và một phiên đã xác thực hợp lệ, với vai trò tối thiểu bắt buộc là Enterprise Read Only. Arista đã giải quyết vấn đề này vào tháng 10 năm 2026 thông qua các phiên bản 5.2.3.18, 6.1.3.10 và 6.4.2.12.

Chi tiết chính

• CVE-2026-110447 (CVSS 9.2) cho phép thực thi mã từ xa trong Collabora Online Built-in CODE Server dành cho Nextcloud nếu máy chủ cục bộ ngừng hoạt động.
• Các nhóm đe dọa sử dụng lỗi này để triển khai web shell và săn lùng thông tin đăng nhập, dữ liệu trình quản lý mật khẩu và ví tiền điện tử trên các phiên bản Nextcloud.
• CVE-2026-114625 (CVSS 9.9) là một lỗi chèn SQL trong Arista VeloCloud Orchestrator cho phép truy cập vào chức năng nội bộ đặc quyền.
• Khai thác lỗi Arista đòi hỏi quyền truy cập mạng và một phiên hợp lệ với ít nhất quyền hạn Enterprise Read Only.
• Arista đã xác định hai địa chỉ IP liên quan đến hoạt động này: 74.82.197[.]86 và 38.54.50[.]151, cả hai đều được định vị địa lý tại Nhật Bản.
• Các cơ quan thuộc Nhánh Hành pháp Dân sự Liên bang phải áp dụng các bản sửa lỗi trước ngày 26 tháng 10 năm 2026, mặc dù tất cả người dùng nên vá lỗi ngay lập tức.

Bối cảnh

Danh mục Các lỗ hổng đã biết bị khai thác (KEV) của CISA đóng vai trò là danh sách xác định các lỗi mà đối thủ đang tích cực sử dụng trong các cuộc tấn công thực tế. Không giống như các rủi ro lý thuyết, các mục trong danh mục KEV đại diện cho những mối nguy hiểm tức thời nơi mã khai thác đang lưu hành và các vụ vi phạm thành công đang xảy ra. Đối với các nhà lãnh đạo CNTT, danh mục này giúp ưu tiên nỗ lực vá lỗi bằng cách làm nổi bật những lỗ hổng gây ra mối đe dọa sắp tới lớn nhất cho cơ sở hạ tầng.

Chèn lệnh và chèn SQL là các vector tấn công kinh điển. Chèn lệnh cho phép kẻ tấn công thực thi các lệnh hệ thống tùy ý trên máy chủ host, hiệu quả chiếm quyền kiểm soát máy. Chèn SQL thao túng các truy vấn cơ sở dữ liệu, tiềm ẩn khả năng lộ hoặc sửa đổi dữ liệu nhạy cảm. Trong các môi trường tự lưu trữ như Nextcloud hoặc các công cụ mạng doanh nghiệp như Arista VCO, những lỗi này có thể vượt qua các biện pháp phòng thủ biên nếu chính ứng dụng dễ bị tổn thương.

Tại sao điều này quan trọng

Đối với các nhóm vận hành phần mềm tự lưu trữ, sự cố này nhấn mạnh gánh nặng vận hành trong việc duy trì các stack phức tạp. Nextcloud là lựa chọn phổ biến cho các tổ chức muốn kiểm soát dữ liệu của mình, nhưng việc tích hợp các thành phần bổ sung như Collabora Online giới thiệu các bề mặt tấn công mới. Khi một thành phần con như máy chủ CODE gặp sự cố hoặc cấu hình sai, nó có thể mở ra các đường dẫn quan trọng cho kẻ tấn công. Điều này nêu bật nhu cầu giám sát chặt chẽ tất cả các dịch vụ tích hợp, không chỉ riêng nền tảng cốt lõi.

Lỗ hổng Arista chứng minh rằng ngay cả những người dùng đã xác thực với quyền hạn thấp cũng có thể trở thành điểm xâm nhập cho các vụ vi phạm nghiêm trọng. Yêu cầu chỉ cần quyền truy cập "Enterprise Read Only" có nghĩa là các tài khoản nhân viên bị xâm nhập hoặc thành công của phishing có thể dẫn đến việc xâm nhập toàn bộ hệ thống. Điều này củng cố nguyên tắc đặc quyền tối thiểu và tầm quan trọng của việc bảo mật phiên người dùng và giám sát hành vi bất thường từ các tài khoản có đặc quyền thấp.

Hơn nữa, sự xuất hiện nhanh chóng của các lỗ hổng bị khai thác trong Arista VCO—ba lần kể từ tháng 7 năm 2026—cho thấy những thách thức bảo mật mang tính hệ thống hoặc sự giám sát chặt chẽ bởi các nhóm đe dọa. Các tổ chức phụ thuộc vào những nền tảng này phải giả định rằng họ là mục tiêu và duy trì nhịp độ vá lỗi nhanh hơn bình thường. Việc trì hoãn cập nhật dù chỉ vài ngày cũng có thể dẫn đến mất mát dữ liệu đáng kể hoặc truy cập trái phép.

Bạn có thể làm gì

• Xác minh rằng phiên bản Nextcloud của bạn đang chạy Collabora Online Built-in CODE Server phiên bản 26.4.303 trở lên để giảm thiểu CVE-2026-110447.
• Kiểm tra xem máy chủ tài liệu CODE cục bộ có đang chạy đúng cách hay không; đảm bảo nó không rơi vào các phương pháp proxy dễ bị tổn thương một cách bất ngờ.
• Cập nhật Arista VeloCloud Orchestrator lên phiên bản 5.2.3.18, 6.1.3.10 hoặc 6.4.2.12 ngay lập tức để vá CVE-2026-114625.
• Xem xét nhật ký để tìm các kết nối từ địa chỉ IP 74.82.197[.]86 và 38.54.50[.]151, và chặn chúng nếu không phải là lưu lượng hợp pháp.
• Kiểm toán các tài khoản người dùng có quyền truy cập Enterprise Read Only trong Arista VCO và áp dụng xác thực đa yếu tố để ngăn chặn việc chiếm đoạt phiên.
• Quét các máy chủ Nextcloud để tìm web shell không rõ nguồn gốc hoặc các quy trình bất thường, đặc biệt chú ý đến các dấu hiệu của hoạt động thu thập thông tin trong kho lưu trữ thông tin đăng nhập.