Cảnh báo CVE nghiêm trọng: Apache Tomcat đối mặt với lỗ hổng Missing Encryption of Sensitive Data
Cơ quan An ninh Mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm một lỗ hổng nghiêm trọng trên Apache Tomcat, được theo dõi dưới mã CVE-2026-34486, vào danh mục các lỗ hổng đã bị khai thác có chủ đích. Lỗ hổng này là một ví dụ điển hình về mối đe dọa mạng ngày càng gia tăng đối với các ứng dụng web phổ biến.
CISA nhấn mạnh rằng lỗ hổng này đang bị khai thác tích cực trong thực tế. Các tổ chức được khuyến cáo khẩn trương áp dụng các biện pháp giảm thiểu từ nhà cung cấp trước thời hạn ngày 7 tháng 8 năm 2026.
Chi tiết kỹ thuật của CVE-2026-34486
CVE-2026-34486 được phân loại là một lỗ hổng thuộc nhóm Missing Encryption of Sensitive Data. Lỗ hổng này nằm trong nhóm CWE-311, vốn bao gồm các trường hợp hệ thống không thực hiện mã hóa để bảo vệ thông tin nhạy cảm.
Cụ thể, lỗ hổng này cho phép kẻ tấn công vượt qua cơ chế EncryptInterceptor của Tomcat. EncryptInterceptor là một thành phần bảo mật quan trọng có nhiệm vụ mã hóa giao tiếp trong các cụm triển khai Tomcat (clustered Tomcat deployments). Việc vượt qua cơ chế này làm suy yếu nghiêm trọng khả năng bảo mật của dữ liệu truyền tải.
Lỗi này phát sinh do một bản sửa lỗi không hoàn chỉnh cho lỗ hổng CVE-2026-29146 trước đó. Theo thiết kế, EncryptInterceptor của Apache Tomcat có vai trò ngăn chặn các thông điệp chưa được mã hóa hoặc mã hóa không đúng cách tiếp cận các thành phần xử lý phía sau. Tuy nhiên, việc triển khai sai sót đã cho phép các thông điệp được chế tạo đặc biệt có thể lách qua lớp bảo vệ này.
Các phiên bản bị ảnh hưởng bao gồm Apache Tomcat 11.0.20, 10.1.53, và 9.0.116. Apache đã phát hành các bản vá lỗi trong Tomcat 11.0.21, 10.1.54, và 9.0.117. Các tổ chức đang sử dụng các phiên bản này cần phải cập nhật bản vá ngay lập tức, đặc biệt là khi tính năng Tomcat clustering hoặc giao tiếp Apache Tribes được kích hoạt.
Tác động và Khuyến nghị Bảo mật
Các nhà nghiên cứu bảo mật đã ghi nhận sự liên kết giữa CVE-2026-34486 và các nỗ lực khai thác tích cực. Theo báo cáo, một tác nhân đe dọa đã lợi dụng lỗ hổng này trong một chiến dịch tấn công có sự hỗ trợ của AI để triển khai các reverse shell dựa trên Java deserialization nhắm vào các máy chủ Apache Tomcat dễ bị tổn thương.
Điều này cho thấy tốc độ mà các kẻ tấn công có thể tích hợp các lỗ hổng phần mềm doanh nghiệp mới được công bố vào hoạt động quét và xâm nhập của chúng. Mặc dù CISA chưa xác nhận lỗ hổng Tomcat này đã được sử dụng trong các chiến dịch mã độc tống tiền, việc khai thác các máy chủ ứng dụng hướng ra Internet có thể cung cấp cho kẻ tấn công một điểm khởi đầu để xâm nhập vào mạng lưới doanh nghiệp.
Sau khi giành được quyền truy cập ban đầu, các tác nhân đe dọa có thể tìm cách đánh cắp thông tin đăng nhập, di chuyển ngang trong mạng, đánh cắp dữ liệu hoặc triển khai mã độc. Rủi ro càng cao đối với các máy chủ Tomcat bị lộ ra bên ngoài, sử dụng các tính năng clustering và chấp nhận lưu lượng truy cập từ các mạng không đáng tin cậy.
Biện pháp phòng chống và giảm thiểu
Các quản trị viên hệ thống cần xác định tất cả các bản triển khai Tomcat, bao gồm cả những bản được lưu trữ trên đám mây, nền tảng container và các cụm ứng dụng nội bộ. Cần xác nhận xem Apache Tribes clustering có được kích hoạt hay không và xác định liệu các phiên bản dễ bị tổn thương có đang được sử dụng hay không.
Việc áp dụng các phiên bản Tomcat đã được cập nhật là biện pháp khắc phục chính, vì nó giải quyết được vấn đề bỏ qua EncryptInterceptor. Trong trường hợp không thể cập nhật ngay lập tức, các chuyên gia bảo mật nên giới hạn quyền truy cập vào các cổng giao tiếp của cụm Tomcat để chỉ các nút đáng tin cậy mới có thể kết nối.
Phân đoạn mạng, các quy tắc tường lửa nghiêm ngặt và các đường dẫn mạng riêng có thể giảm thiểu rủi ro trong khi chờ đợi kiểm tra và triển khai các bản vá. Bên cạnh đó, các tổ chức cũng nên xem xét kỹ lưỡng các bản ghi (logs) của Tomcat và mạng để phát hiện các lưu lượng bất thường trong cụm, các lỗi mã hóa/giải mã lặp đi lặp lại và các kết nối đi đáng ngờ.
CISA đã chỉ đạo các cơ quan dân sự liên bang tuân theo Chỉ thị Hoạt động Bắt buộc 26-04, ưu tiên khắc phục dựa trên mức độ rủi ro. Cơ quan này cũng khuyên các bên liên quan đánh giá mức độ phơi nhiễm Internet của từng tài sản, tuân theo các yêu cầu về kiểm tra pháp y và ngừng sử dụng sản phẩm nếu không có biện pháp giảm thiểu hiệu quả.
Thời gian khắc phục ngắn nhấn mạnh tính cấp bách của việc quản lý bản vá cho cơ sở hạ tầng Java công khai. Các đội ngũ an ninh mạng nên coi CVE-2026-34486 là một ưu tiên, xác minh rằng các biện pháp bảo vệ mã hóa hoạt động bình thường sau khi nâng cấp và điều tra bất kỳ dấu hiệu hoạt động trái phép nào trên các máy chủ Apache Tomcat bị lộ ra bên ngoài.
Để tăng cường khả năng phát hiện mối đe dọa và đẩy nhanh quá trình điều tra, các tổ chức có thể xem xét tích hợp các giải pháp chuyên nghiệp vào Trung tâm Vận hành An ninh (SOC) của mình. Việc ứng dụng các công cụ tiên tiến có thể giúp giảm thiểu thời gian phản hồi và nâng cao hiệu quả bảo mật tổng thể.
Thông tin chỉ số xâm nhập (IOCs)
Hiện tại, không có thông tin cụ thể về các chỉ số xâm nhập (IOCs) được cung cấp trong nội dung gốc.
