Lỗ hổng nghiêm trọng CVE-2026-121529 trong FortiClient: Nguy cơ RCE từ trình duyệt

• Lỗ hổng định danh: CVE-2026-121529 (Điểm CVSS 9.1 - Critical).
• Cơ chế lỗi: Lỗi xác thực nguồn gốc (CWE-346) do cấu hình sai CORS.
• Tác động: Cho phép kẻ tấn công thực thi mã từ xa (RCE) mà không cần xác thực.
• Khuyến nghị: Cập nhật ngay lập tức lên phiên bản 7.4.8 hoặc 7.2.15 trở lên.

Các nhà nghiên cứu bảo mật vừa công bố thông tin về một lỗ hổng bảo mật nghiêm trọng có tên mã "Fortinet2Shell", được định danh là CVE-2026-121529, ảnh hưởng trực tiếp đến phần mềm FortiClient. Với điểm số CVSS 9.1, lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa (RCE) trên máy tính của nạn nhân chỉ bằng cách lừa người dùng truy cập vào một trang web độc hại.

Phân tích kỹ thuật lỗ hổng CVE-2026-121529

Theo báo cáo từ các chuyên gia an ninh mạng, lỗ hổng này xuất phát từ lỗi xác thực nguồn gốc (Origin Validation Error), được phân loại theo CWE-346. Nguyên nhân gốc rễ nằm ở cấu hình sai cơ chế CORS (Cross-Origin Resource Sharing) trong thành phần API của FortiClient. CORS vốn là một quy tắc bảo mật trình duyệt nhằm kiểm soát việc các trang web tương tác với các dịch vụ khác, nhưng trong trường hợp này, các thiết lập quá lỏng lẻo đã tạo điều kiện cho kẻ tấn công khai thác.

Kẻ tấn công có thể kiểm soát một trang web độc hại, từ đó gửi các yêu cầu (request) đến dịch vụ cục bộ đang chạy trên máy tính của nạn nhân. Vì dịch vụ này không yêu cầu xác thực, nó sẽ thực thi các mã độc do kẻ tấn công cung cấp. Điều này biến FortiClient thành một điểm trung chuyển để chiếm quyền điều khiển thiết bị đầu cuối.

Danh sách các phiên bản bị ảnh hưởng

Lỗ hổng này ảnh hưởng đến nhiều phiên bản FortiClient trên các nền tảng khác nhau. Dưới đây là bảng tổng hợp các phiên bản cần được rà soát và cập nhật:

Hướng dẫn săn tìm mối đe dọa (Threat Hunting)

Để xác định xem hệ thống trong mạng doanh nghiệp có đang đối mặt với rủi ro từ CVE-2026-121529 hay không, các quản trị viên hệ thống (Admin) và đội ngũ SOC cần thực hiện kiểm tra các dấu hiệu nhận biết (IOCs) sau đây:

• Kiểm tra cổng dịch vụ: Xác định xem có dịch vụ nào đang lắng nghe trên cổng TCP 9191 hay không. Đây là dấu hiệu cho thấy thành phần dễ bị tổn thương đang hoạt động.
• Kiểm tra tiến trình: Tìm kiếm sự tồn tại của tiến trình FortiVRS.exe đang chạy trên hệ thống.

Quản trị viên có thể sử dụng các lệnh PowerShell để kiểm tra nhanh trên các máy trạm:

# Kiểm tra cổng 9191 đang lắng nghe
Get-NetTCPConnection -LocalPort 9191 -ErrorAction SilentlyContinue
# Kiểm tra tiến trình FortiVRS.exe
Get-Process -Name FortiVRS -ErrorAction SilentlyContinue

⚠️ Cảnh báo quan trọng: Việc phát hiện các dấu hiệu trên không đồng nghĩa với việc hệ thống đã bị tấn công, nhưng nó xác nhận rằng máy trạm đang ở trạng thái phơi nhiễm (exposed) và cần được ưu tiên vá lỗi ngay lập tức.

Giải pháp khắc phục và Hardening

Hiện tại, không có bản vá ảo (virtual patch) nào cho lỗ hổng này. Cách duy nhất để loại bỏ rủi ro là cập nhật phần mềm lên phiên bản mới nhất do nhà sản xuất cung cấp. Người dùng và doanh nghiệp cần thực hiện các bước sau:

• Nâng cấp phần mềm: Đối với nhánh 7.4, hãy cập nhật lên phiên bản 7.4.8 hoặc mới hơn. Đối với nhánh 7.2, hãy cập nhật lên phiên bản 7.2.15 hoặc mới hơn.
• Giám sát lưu lượng web: Trong quá trình triển khai bản vá, cần rà soát lại các quy tắc lọc web (web filtering rules) để ngăn chặn người dùng truy cập vào các trang web không xác định.
• Đào tạo người dùng: Nâng cao nhận thức về an ninh mạng, cảnh báo nhân viên không nhấp vào các liên kết lạ hoặc truy cập các trang web không rõ nguồn gốc, đặc biệt là trên các máy tính có cài đặt FortiClient.

Việc khai thác các lỗ hổng dựa trên web như CVE-2026-121529 thường diễn ra rất nhanh chóng sau khi chi tiết kỹ thuật được công bố công khai. Do đó, các tổ chức cần hành động quyết liệt để bảo vệ hạ tầng endpoint, đặc biệt là khi FortiClient đóng vai trò quan trọng trong việc truy cập VPN và bảo mật privileged accounts thông qua FortiPAM. Tham khảo thêm thông tin chi tiết tại NIST National Vulnerability Database để cập nhật các thông báo mới nhất.