Cisco phát hiện hàng loạt lỗ hổng nghiêm trọng trong IOS XR, tung bản vá khẩn và cảnh báo lỗi leo thang đặc quyền trên Nexus 9000

Cisco vừa cảnh báo khách hàng về ba lỗ hổng được xếp hạng nghiêm trọng trong các sản phẩm mạng của hãng, trong đó hai lỗi nằm trong Cisco IOS XR — hệ điều hành mạng dùng cho các thiết bị cấp nhà mạng, tức nhóm thiết bị phải hoạt động ổn định ở quy mô rất lớn. Đáng chú ý, số lượng lỗi được phát hiện nhiều đến mức Cisco đã gộp các bản sửa vào một đợt phát hành cập nhật mới. Hãng cho biết các vấn đề này được tìm thấy sau một “đợt rà soát bảo mật nội bộ toàn diện”, cho thấy Cisco đang tăng cường kiểm tra mã nguồn và kiến trúc hệ thống để săn lỗi trước khi tin tặc khai thác.

Lỗ hổng đầu tiên, CVE-2026-20274, được chấm 9.8/10 theo thang điểm CVSS — hệ thống chuẩn dùng để đo mức độ nghiêm trọng của lỗ hổng bảo mật. Theo mô tả, lỗi này liên quan đến nhiều vấn đề xử lý bộ đệm, bao gồm nguy cơ “out-of-bounds write”, tức ghi dữ liệu ra ngoài vùng nhớ được cấp phát, một dạng lỗi có thể dẫn đến treo hệ thống hoặc thực thi mã độc. Lỗi này cũng bao gồm khả năng khởi tạo tài nguyên với cấu hình mặc định không an toàn, nghĩa là thiết bị có thể vô tình mở ra bề mặt tấn công ngay từ trạng thái ban đầu.

Lỗ hổng nghiêm trọng thứ hai trong IOS XR là CVE-2026-20279, cũng đạt điểm CVSS 9.8. Cisco cho biết đây là vấn đề “improper access control”, tức kiểm soát truy cập không đúng cách. Cụ thể, lỗi bao trùm nhiều kịch bản nguy hiểm như xác thực chứng chỉ không đầy đủ, thiếu cơ chế xác thực cho chức năng quan trọng, thiếu phân quyền và cấp quyền sai. Nói đơn giản, đây là nhóm lỗi có thể khiến hệ thống không kiểm tra đúng ai được phép truy cập và được phép làm gì, từ đó mở đường cho kẻ tấn công vượt qua các lớp bảo vệ vốn phải ngăn chặn hành vi trái phép.

Ngoài hai lỗi 9.8 nói trên, Cisco còn ghi nhận ba lỗ hổng khác ở mức 8.8, một lỗi 8.6 và một lỗi 8.2. Dù không chạm ngưỡng “critical”, đây vẫn là các mức điểm rất cao trong thực tế vận hành doanh nghiệp. Việc nhiều lỗ hổng cùng xuất hiện trong một nền tảng quan trọng như IOS XR cho thấy các tổ chức đang sử dụng thiết bị mạng lõi cần ưu tiên cập nhật sớm, đặc biệt trong môi trường viễn thông, trung tâm dữ liệu và hạ tầng kết nối diện rộng.

Tin tích cực là Cisco đã phát hành các phiên bản IOS XR mới để khắc phục loạt lỗ hổng này. Hãng nhấn mạnh rằng khách hàng nên áp dụng bản cập nhật càng sớm càng tốt. Với các hệ thống mạng lõi, việc trì hoãn vá lỗi thường tiềm ẩn rủi ro lớn vì thiết bị mạng không chỉ xử lý lưu lượng mà còn đóng vai trò kiểm soát đường đi dữ liệu. Một lỗ hổng trên lớp này có thể tạo điều kiện cho tấn công sâu hơn vào toàn bộ hạ tầng CNTT.

Bên cạnh các lỗi trong IOS XR, Cisco còn công bố một lỗ hổng nghiêm trọng khác mang mã CVE-2026-20212, được phát hiện bởi chính bộ phận hỗ trợ kỹ thuật của hãng. Điểm đáng chú ý là lỗi này ảnh hưởng đến một số thiết bị chuyển mạch Nexus 9000 Series và có thể cho phép kẻ tấn công từ xa, không cần xác thực, thực thi mã với quyền root. Trong hệ thống Unix/Linux, “root” là mức đặc quyền cao nhất, tương đương toàn quyền kiểm soát thiết bị. Một khi đạt được quyền này, kẻ tấn công có thể thay đổi cấu hình, cài mã độc hoặc làm gián đoạn hoạt động mạng.

Theo Cisco, nguyên nhân của CVE-2026-20212 là sự tích hợp chưa an toàn với Silicon One — dòng bộ xử lý mạng do chính Cisco phát triển để tăng hiệu năng chuyển tiếp gói tin. Lỗ hổng tồn tại vì hai cổng TCP 43210 và 43211 có thể truy cập được trong VRF L3 mặc định. TCP là giao thức truyền tải phổ biến trên Internet, còn VRF, viết tắt của Virtual Routing and Forwarding, là cơ chế tạo các bảng định tuyến ảo tách biệt trên cùng một thiết bị mạng. Nếu cấu hình mặc định để lộ các cổng này, kẻ tấn công có thể kết nối tới thiết bị bị ảnh hưởng và gửi dữ liệu được chế tạo đặc biệt nhằm kích hoạt thực thi mã.

Cisco cho biết việc khai thác thành công lỗi này không chỉ dẫn đến thực thi mã với quyền root mà còn có thể làm tiến trình S1HAL bị sập. Đây là một tiến trình phần mềm liên quan đến lớp tương tác phần cứng của nền tảng Silicon One. Nếu tiến trình này gặp sự cố, thiết bị có thể tự động nạp lại hệ thống, tức khởi động lại ngoài ý muốn. Trong môi trường sản xuất, một lần reload như vậy có thể gây gián đoạn dịch vụ, mất phiên kết nối hoặc ảnh hưởng đến tính sẵn sàng của mạng.

Khác với các lỗi trong IOS XR, Cisco thừa nhận hiện chưa có bản cập nhật phần mềm để xử lý dứt điểm CVE-2026-20212. Thay vào đó, hãng khuyến nghị quản trị viên áp dụng iACL — viết tắt của infrastructure access control list, tức danh sách kiểm soát truy cập ở tầng hạ tầng — để chỉ cho phép lưu lượng quản trị và lưu lượng điều khiển thật sự cần thiết đi tới thiết bị bị ảnh hưởng. Đây là biện pháp lọc gói tin nhằm giảm bề mặt tấn công khi chưa thể vá lỗi tận gốc.

Cisco cũng đưa ra phương án mạnh tay hơn: dùng iACL để từ chối rõ ràng toàn bộ gói TCP hướng đến địa chỉ IP cục bộ của thiết bị nếu đích là cổng 43210 hoặc 43211. Nói cách khác, quản trị viên có thể khóa hẳn hai cổng được cho là điểm vào của lỗ hổng. Hãng đã phát hành một gói tải xuống hỗ trợ triển khai biện pháp giảm thiểu này, dù đó chưa phải là bản vá chính thức.

Cisco cho biết chưa quan sát thấy dấu hiệu các lỗ hổng nói trên bị khai thác ngoài thực tế. Tuy nhiên, khoảng thời gian từ lúc công bố lỗ hổng đến khi mã khai thác xuất hiện đang ngày càng rút ngắn. Một phần nguyên nhân là các công cụ AI hiện có thể hỗ trợ kẻ xấu phân tích mã, viết kịch bản tấn công hoặc tạo “nastyware” — cách gọi chung cho phần mềm độc hại được thiết kế để phá hoại, đánh cắp dữ liệu hoặc chiếm quyền điều khiển hệ thống. Với bối cảnh đó, các tổ chức sử dụng Cisco IOS XR hoặc Nexus 9000 nên coi đây là cảnh báo cần hành động ngay, không nên chờ tới khi có sự cố thực tế mới xử lý.