IBM phát hành bản vá khẩn cấp cho 22 lỗ hổng trong Verify Access

• Cảnh báo lỗ hổng: IBM đã phát hành bản cập nhật khắc phục 22 lỗ hổng bảo mật trong dòng sản phẩm Verify Identity Access và Security Verify Access.
• Mức độ nghiêm trọng: Hai lỗ hổng RCE (CVE-2026-78401 và CVE-2026-78406) đạt điểm CVSS 9.8, cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực.
• Phạm vi ảnh hưởng: Các phiên bản từ 10.0 đến 10.0.9.2 và 11.0 đến 11.0.3 trên cả nền tảng thiết bị vật lý (appliance) và container.
• Khuyến nghị: Người dùng cần cập nhật ngay lên phiên bản 11.0.3.1 hoặc 10.0.9.3 để đảm bảo an toàn hệ thống.

IBM vừa chính thức phát hành bản cập nhật bảo mật quan trọng nhằm khắc phục 22 lỗ hổng trong các giải pháp quản lý danh tính và truy cập của hãng. Trong số các lỗ hổng được công bố, đáng chú ý nhất là hai lỗi thực thi mã từ xa (Remote Code Execution - RCE) với mức độ nghiêm trọng tối đa, đe dọa trực tiếp đến tính toàn vẹn và bảo mật của các hệ thống triển khai trên cả thiết bị vật lý lẫn môi trường container.

Phân tích kỹ thuật các lỗ hổng nghiêm trọng

Hai lỗ hổng RCE nguy hiểm nhất được định danh là CVE-2026-78401 và CVE-2026-78406, cả hai đều đạt điểm CVSS 9.8. Theo các nhà nghiên cứu bảo mật, nguyên nhân gốc rễ của các lỗ hổng này xuất phát từ cơ chế giải tuần tự hóa (deserialization) dữ liệu không an toàn. Kẻ tấn công có thể gửi các đối tượng dữ liệu độc hại đã được chế tạo sẵn để hệ thống tự động tái cấu trúc, từ đó dẫn đến việc thực thi mã tùy ý trên máy chủ mục tiêu.

Điểm đáng lo ngại là các lỗ hổng này không yêu cầu bất kỳ đặc quyền nào hoặc sự tương tác từ người dùng. Kẻ tấn công có thể khai thác từ xa thông qua mạng, biến đây thành mục tiêu hàng đầu cho các chiến dịch tấn công mạng nhắm vào hạ tầng doanh nghiệp.

Các lỗ hổng bổ sung và rủi ro leo thang

Ngoài hai lỗ hổng RCE nêu trên, bản cập nhật còn giải quyết nhiều lỗ hổng khác với mức độ nghiêm trọng cao. Cụ thể, CVE-2026-16916 (điểm 9.1) cho phép kẻ tấn công đã xác thực với đặc quyền cao thực thi mã tùy ý do lỗi trong cơ chế bảo vệ. Các lỗ hổng như CVE-2026-16823 và CVE-2026-19491 cho phép kẻ tấn công vượt qua các hạn chế bảo mật hoặc bỏ qua quy trình xác thực.

Bên cạnh đó, các lỗi như CVE-2026-18740 và CVE-2026-19482 (cùng điểm 8.8) liên quan đến việc tiêm đối số (argument injection), cho phép kẻ tấn công thực hiện các hành động trái phép hoặc thực thi lệnh tùy ý. Lỗ hổng CVE-2026-19493 (điểm 7.5) cho phép kẻ tấn công thực hiện kỹ thuật path traversal để ghi file vào hệ thống.

Hướng dẫn khắc phục và cập nhật hệ thống

IBM đã cung cấp các bản vá thông qua cổng thông tin Fix Central. Người dùng cần thực hiện kiểm tra phiên bản hiện tại và áp dụng bản cập nhật ngay lập tức. Đối với các hệ thống sử dụng phiên bản 10.0 đến 10.0.9.2, cần nâng cấp lên 10.0.9.3. Đối với dòng sản phẩm 11.0 đến 11.0.3, cần nâng cấp lên 11.0.3.1.

⚠️ Cảnh báo quan trọng: Hiện tại không có giải pháp tạm thời (workaround) nào được ghi nhận cho các lỗ hổng này. Việc trì hoãn cập nhật sẽ khiến hệ thống đối mặt với rủi ro bị chiếm quyền điều khiển hoàn toàn. Quản trị viên hệ thống cần tuân thủ nghiêm ngặt hướng dẫn từ IBM Security Advisory để đảm bảo quá trình vá lỗi diễn ra an toàn và không làm gián đoạn dịch vụ.

Đối với khách hàng sử dụng phiên bản Container, cần truy cập vào các registry được chỉ định để tải xuống các image đã được vá lỗi. Việc quản lý chặt chẽ các phiên bản image là yếu tố then chốt để ngăn chặn các cuộc tấn công khai thác lỗ hổng đã biết trong môi trường triển khai hiện đại.