CISA cảnh báo lỗ hổng Linux Kernel CVE-2026-46300 đang bị khai thác thực tế
CISA đã đưa lỗ hổng Linux Kernel CVE-2026-46300 vào danh mục Known Exploited Vulnerabilities sau khi phát hiện các cuộc tấn công chuỗi nhằm chiếm quyền root.
- Cảnh báo khẩn cấp: Lỗ hổng Linux Kernel CVE-2026-46300 đang bị khai thác tích cực trong các chiến dịch tấn công thực tế.
- Cơ chế tấn công: Kẻ tấn công kết hợp lỗ hổng này với CVE-2026-109618 và CVE-2026-109619 để cài đặt webshell và leo thang đặc quyền root.
- Yêu cầu hành động: CISA yêu cầu các tổ chức thực hiện vá lỗi trước ngày 31/10/2026 và tiến hành rà soát pháp y theo Chỉ thị vận hành 26-04.
Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa phát đi cảnh báo khẩn cấp về một lỗ hổng bảo mật nghiêm trọng trong Linux Kernel, được định danh là CVE-2026-46300. Lỗ hổng này hiện đã được thêm vào danh mục Các lỗ hổng đã bị khai thác (Known Exploited Vulnerabilities - KEV) của CISA kể từ ngày 28 tháng 10 năm 2026, xác nhận rằng các tác nhân đe dọa đang chủ động sử dụng nó để chiếm quyền kiểm soát hệ thống.
Phân tích kỹ thuật về lỗ hổng CVE-2026-46300
Lỗ hổng CVE-2026-46300 liên quan đến cách thức Linux Kernel xử lý dữ liệu mạng trong các bộ đệm socket (socket buffers). Theo các nhà nghiên cứu bảo mật, hàm skb_try_coalesce() thực hiện việc chuyển các phân đoạn dữ liệu được hỗ trợ bởi bộ nhớ chia sẻ hoặc bộ nhớ đệm trang (page cache) mà không bảo toàn cờ đánh dấu SKBFL_SHARED_FRAG. Cờ này đóng vai trò quan trọng trong việc thông báo cho các tiến trình xử lý sau đó rằng dữ liệu cần được xử lý đặc biệt trước khi thực hiện bất kỳ thay đổi nào.
Khi cờ đánh dấu này bị mất, kernel có thể xử lý sai lệch các phân đoạn chia sẻ, coi chúng là an toàn để sửa đổi trực tiếp. Trong quá trình xử lý đầu vào Encapsulating Security Payload (ESP), kernel có thể bỏ qua bước sao chép bảo vệ và giải mã dữ liệu tại chỗ. Điều này dẫn đến việc sửa đổi trái phép dữ liệu trong page cache, tạo điều kiện cho các cuộc tấn công leo thang đặc quyền.
Ma trận các lỗ hổng liên quan
Các chuyên gia an ninh mạng nhấn mạnh rằng CVE-2026-46300 thường không được sử dụng đơn lẻ. Thay vào đó, kẻ tấn công kết hợp nó với các lỗ hổng khác để tạo thành một chuỗi tấn công hoàn chỉnh:
| Mã CVE | Mô tả tác động |
|---|---|
| CVE-2026-46300 | Lỗi khởi tạo bộ nhớ trong Linux Kernel, cho phép sửa đổi dữ liệu trái phép. |
| CVE-2026-109618 | Lỗ hổng hỗ trợ trong chuỗi tấn công để cài đặt webshell PHP. |
| CVE-2026-109619 | Lỗ hổng hỗ trợ cho phép thực thi lệnh với đặc quyền root. |
Khuyến nghị phòng thủ và khắc phục
Với điểm số CVSS 7.8 (High Severity), lỗ hổng này cho phép kẻ tấn công có đặc quyền thấp thực hiện các hành vi độc hại mà không cần tương tác với người dùng. CISA yêu cầu các quản trị viên hệ thống phải tuân thủ nghiêm ngặt thời hạn vá lỗi trước ngày 31/10/2026. Các bản vá đã được phát hành cho nhiều nhánh kernel khác nhau, bao gồm: 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, và 7.0.10. Phiên bản Linux 7.1 hiện được xác nhận là không bị ảnh hưởng.
⚠️ Cảnh báo quan trọng: Nếu bản vá từ nhà cung cấp chưa khả dụng, các tổ chức cần ngay lập tức kiểm tra mức độ phơi nhiễm trên internet của các dịch vụ sử dụng Linux Kernel và cân nhắc tạm dừng sử dụng sản phẩm bị ảnh hưởng cho đến khi có biện pháp giảm thiểu (mitigation) được phê duyệt.
Việc rà soát pháp y (forensic triage) là yêu cầu bắt buộc theo Chỉ thị vận hành 26-04. Các đội ngũ SOC cần tập trung vào việc săn tìm các dấu hiệu bất thường liên quan đến việc thực thi lệnh root và sự xuất hiện của các webshell PHP trong môi trường máy chủ. Để biết thêm chi tiết về các tiêu chuẩn bảo mật, bạn có thể tham khảo tài liệu từ CISA Known Exploited Vulnerabilities Catalog.
Mạng Lưới An Ninh Mạng & Cộng Đồng
Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.
Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.
Bài Viết Liên Quan
