Cisco vừa phát hành các bản cập nhật vá lỗi bảo mật quan trọng cho nền tảng Catalyst SD-WAN Software sau khi một cuộc đánh giá nội bộ phát hiện nhiều lỗ hổng nghiêm trọng. Các lỗ hổng này ảnh hưởng đến các khía cạnh khác nhau của nền tảng, đòi hỏi quản trị viên phải ưu tiên áp dụng bản vá ngay lập tức.
Nhiều lỗ hổng nghiêm trọng trên Cisco Catalyst SD-WAN Software
Các vấn đề bảo mật này được đội ngũ kỹ sư của Cisco phát hiện chủ động thông qua quy trình đánh giá nội bộ, kết hợp với việc sử dụng các mô hình AI tiên tiến, thay vì thông qua báo cáo từ các bên thứ ba. Mặc dù Cisco xác nhận chưa có bằng chứng về việc khai thác các lỗ hổng này trong thực tế, mức độ nghiêm trọng cao của một số lỗi đòi hỏi các tổ chức đang sử dụng Catalyst SD-WAN phải nhanh chóng thực hiện các biện pháp khắc phục.
Để đơn giản hóa quy trình xử lý và cập nhật cho khách hàng, Cisco đã nhóm các lỗ hổng theo danh mục Common Weakness Enumeration (CWE) chung và chỉ định một mã định danh CVE cho mỗi nhóm. Các lỗ hổng nghiêm trọng nhất được ghi nhận có điểm CVSS lên tới 9.9, gần mức tối đa.
Các lỗ hổng chính và điểm CVSS
CVE-2026-20303 liên quan đến lỗi improper input validation, bao gồm các điểm yếu như path traversal và khả năng điều khiển đường dẫn tệp từ bên ngoài. Lỗ hổng này có thể cho phép kẻ tấn công truy cập hoặc sửa đổi các tệp tin không mong muốn.
CVE-2026-20304 bao gồm các vấn đề về improper access control, gộp chung các lỗi liên quan đến ủy quyền, xác thực và các vấn đề bỏ qua quyền hạn vào một mã CVE duy nhất. Đây là một vấn đề nghiêm trọng, có thể dẫn đến xâm nhập trái phép vào hệ thống. Bạn có thể tham khảo thêm về các vấn đề bỏ qua xác thực tương tự tại đây.
CVE-2026-20310 liên quan đến improper link resolution trước khi truy cập tệp. Loại lỗi này có thể cho phép kẻ tấn công thao túng các symbolic link để trỏ đến các tệp tin không dự kiến, gây ra các hành vi bất thường hoặc truy cập trái phép.
Ba lỗ hổng này đại diện cho những mối đe dọa mạng nguy hiểm nhất trong thông báo lần này. Ngoài ra, còn có CVE-2026-20312 với điểm CVSS 8.8, liên quan đến việc lưu trữ thông tin nhạy cảm dưới dạng cleartext, có khả năng làm lộ thông tin đăng nhập hoặc các bí mật khác nếu hệ thống bị xâm nhập. Cuối cùng, CVE-2026-20313 có điểm CVSS 7.7, liên quan đến improper validation of a specified quantity in input, một điểm yếu ít nghiêm trọng hơn nhưng vẫn cần được quan tâm.
Phạm vi ảnh hưởng và các biện pháp khắc phục
Các lỗ hổng bảo mật này ảnh hưởng đến Cisco Catalyst SD-WAN Software trên tất cả các mô hình triển khai, bất kể cấu hình thiết bị. Điều này bao gồm các cài đặt tại chỗ (on-premises), Cisco SD-WAN Cloud-Pro, môi trường Cisco SD-managed SD-WAN Cloud và Cisco SD-WAN for Government dưới FedRAMP. Không có cài đặt cấu hình hay tính năng nào có thể miễn trừ thiết bị khỏi nguy cơ bị ảnh hưởng, biến đây trở thành một cảnh báo bảo mật có phạm vi rộng rãi cho các doanh nghiệp và cơ quan chính phủ.
Cisco khẳng định không có biện pháp tạm thời (workaround) nào cho các lỗ hổng này. Do đó, cập nhật bản vá là con đường khắc phục duy nhất. Các tổ chức đang chạy các phiên bản Catalyst SD-WAN cũ hơn 20.9 bắt buộc phải nâng cấp lên một phiên bản được hỗ trợ, vì các nhánh cũ hơn sẽ không nhận được bản vá.
Các bản dựng đã được sửa lỗi bao gồm 20.9.10, 20.12.8.1, 20.15.6, 20.18.4 và 26.1.2, tùy thuộc vào nhánh phần mềm hiện đang sử dụng. Một số phiên bản bị ảnh hưởng như 20.11, 20.13, 20.14 và 20.16 đã hết hạn hỗ trợ phần mềm. Cisco khuyến khích khách hàng trên các phiên bản này di chuyển sang một bản phát hành đang được hỗ trợ thay vì chỉ áp dụng các bản vá lỗi nhỏ.
Đối với khách hàng sử dụng Cisco SD-WAN Cloud dưới dịch vụ do Cisco quản lý, sẽ không cần thực hiện hành động nào vì nhà cung cấp đã áp dụng bản vá trên hệ thống backend với phiên bản 20.15.602. Quản trị viên có thể kiểm tra trạng thái khắc phục hiện tại thông qua chức năng Trợ giúp (Help) trong giao diện quản trị của dịch vụ.
Cisco đã công khai thông tin về các lỗ hổng này tại đây. Mặc dù chưa có báo cáo về việc khai thác công khai, điểm CVSS cao cho thấy các lỗi này có thể trở thành mục tiêu hấp dẫn khi các thông tin kỹ thuật chi tiết được phổ biến rộng rãi. Các tổ chức nên xác minh phiên bản Catalyst SD-WAN hiện tại của mình với thông báo chính thức của Cisco và lên lịch nâng cấp kịp thời, bởi việc trì hoãn vá lỗi trên cơ sở hạ tầng SD-WAN kết nối internet tiềm ẩn rủi ro bảo mật lớn.
