Lỗ hổng nghiêm trọng CVE-2026-76466 trên Cisco Expressway cho phép RCE

• Mã lỗ hổng: CVE-2026-76466 (CVSS 9.8 - Critical).
• Đối tượng ảnh hưởng: Cisco Expressway-C và Expressway-E được cấu hình trong cụm (cluster).
• Tác động: Kẻ tấn công có thể thực thi mã từ xa (RCE) với đặc quyền root trên hệ điều hành.
• Giải pháp: Nâng cấp lên phiên bản X15.5.20 hoặc cao hơn ngay lập tức.

Cisco vừa chính thức phát hành các bản cập nhật bảo mật khẩn cấp nhằm khắc phục một lỗ hổng nghiêm trọng trong dòng sản phẩm Cisco Expressway. Lỗ hổng này, được định danh là CVE-2026-76466, cho phép kẻ tấn công từ xa thực thi các lệnh hệ điều hành với quyền root, mức truy cập cao nhất trên hệ thống. Theo các nhà nghiên cứu bảo mật, lỗ hổng này đạt điểm CVSS 9.8, phản ánh mức độ nguy hiểm cực kỳ cao đối với các hạ tầng mạng doanh nghiệp đang sử dụng thiết bị này.

Phân tích kỹ thuật về lỗ hổng CVE-2026-76466

Lỗ hổng nằm trong dịch vụ cơ sở dữ liệu của thiết bị và liên quan trực tiếp đến cách xử lý các cookie bền vững (persistent cookies). Theo thông tin từ Cisco, vấn đề phát sinh do sự thiếu hụt trong việc kiểm tra tính hợp lệ của chứng chỉ khách hàng (client certificates) khi chế độ TLS Verify Mode được kích hoạt trong cấu hình cụm. Điều này dẫn đến việc thiết lập bảo mật không thực hiện đúng chức năng xác thực như mong đợi.

Kẻ tấn công, nếu sở hữu các cookie cần thiết và có quyền truy cập mạng vào thiết bị bị ảnh hưởng, có thể kết nối với dịch vụ cơ sở dữ liệu và gọi các lệnh thủ tục từ xa (RPC). Thông qua các lệnh này, kẻ tấn công có khả năng thực thi mã tùy ý với đặc quyền root, từ đó chiếm quyền kiểm soát toàn bộ hệ thống.

Các thành phần bị ảnh hưởng

Lỗ hổng này tác động đến cả Cisco Expressway Core (Expressway-C) và Cisco Expressway Edge (Expressway-E). Cả hai hình thức triển khai là thiết bị phần cứng (hardware appliances) và máy ảo (virtual deployments) đều nằm trong diện rủi ro nếu đang chạy các phiên bản phần mềm cũ và có cấu hình cụm (clustering) được bật.

Hướng dẫn khắc phục và giảm thiểu rủi ro

Hiện tại, Cisco đã xác nhận rằng không có giải pháp thay thế (workaround) nào có thể khắc phục triệt để lỗ hổng này ngoài việc cập nhật phần mềm. Do đó, các quản trị viên hệ thống cần lập kế hoạch nâng cấp ngay lập tức để đảm bảo an toàn cho hạ tầng mạng.

• Nâng cấp phần mềm: Phiên bản X15.5.20 là bản phát hành đầu tiên đã được vá lỗi. Người dùng đang sử dụng phiên bản X14 hoặc cũ hơn bắt buộc phải thực hiện lộ trình nâng cấp lên các phiên bản đã được vá.
• Kiểm tra cấu hình: Chỉ kiểm tra phiên bản phần mềm là chưa đủ. Quản trị viên cần rà soát xem thiết bị có đang được cấu hình trong cụm (cluster) hay không, vì đây là điều kiện tiên quyết để lỗ hổng có thể bị khai thác.
• Hardening hệ thống: Bản vá này cũng nằm trong gói cập nhật bảo mật tháng 10/2026 của Cisco, bao gồm nhiều cải tiến bảo mật khác. Việc áp dụng toàn bộ gói cập nhật là khuyến nghị hàng đầu để tăng cường khả năng chống chịu của hệ thống.

⚠️ Cảnh báo quan trọng: Mặc dù Cisco cho biết chưa ghi nhận các cuộc tấn công thực tế (in-the-wild) sử dụng lỗ hổng này, nhưng với tính chất nghiêm trọng của RCE, việc trì hoãn cập nhật sẽ tạo ra cửa ngõ cho các tác nhân đe dọa xâm nhập trái phép. Hãy tham khảo tài liệu hướng dẫn từ NVD để biết thêm chi tiết về các biện pháp bảo mật bổ sung.

Nhóm phân tích kỹ thuật nhấn mạnh rằng việc sở hữu cookie là một yêu cầu quan trọng để khai thác lỗ hổng. Tuy nhiên, các tổ chức không nên chủ quan vì các kỹ thuật đánh cắp phiên (session hijacking) hiện nay rất tinh vi. Việc duy trì các chính sách bảo mật nghiêm ngặt và giám sát chặt chẽ lưu lượng truy cập vào dịch vụ cơ sở dữ liệu của Expressway là vô cùng cần thiết trong giai đoạn này.