Lỗ hổng nghiêm trọng CVSS 10.0 đe dọa nền tảng bảo mật đám mây của Cisco

[WhiteHat Team]

Cisco vừa phát đi cảnh báo khẩn cấp về một lỗ hổng nghiêm trọng trong nền tảng bảo mật Cisco Secure Workload, cho phép kẻ tấn công từ xa chiếm toàn quyền quản trị hệ thống mà không cần xác thực. Lỗ hổng được định danh CVE-2026-20223 và bị chấm điểm CVSS tối đa 10.0 – mức nguy hiểm cao nhất theo thang đánh giá bảo mật.
​

​

Theo Cisco, lỗ hổng xuất phát từ cơ chế xác thực và kiểm tra truy cập chưa đầy đủ đối với các REST API nội bộ của Cisco Secure Workload. Trong các môi trường điện toán đám mây đa khách hàng (multi-tenant), nền tảng thường áp dụng cơ chế phân tách logic nghiêm ngặt nhằm ngăn người dùng của tổ chức này truy cập dữ liệu của tổ chức khác. Tuy nhiên, sai sót trong quá trình kiểm soát phân quyền đã vô hiệu hóa hoàn toàn ranh giới bảo vệ này.

Nhà sản xuất cho biết kẻ tấn công chỉ cần gửi các yêu cầu API được tạo đặc biệt tới endpoint bị ảnh hưởng là có thể kích hoạt khai thác thành công. Cuộc tấn công không yêu cầu tài khoản hợp lệ, token xác thực hay cookie phiên đăng nhập. Khi gói tin độc hại được xử lý, hệ thống sẽ tự động cấp quyền ở mức cao nhất là Site Admin cho yêu cầu đó.

Điểm đáng lo ngại là hoạt động khai thác diễn ra hoàn toàn ở tầng backend thông qua các API nội bộ, thay vì giao diện quản trị web thông thường. Điều này khiến nhiều hệ thống giám sát bảo mật có nguy cơ bỏ sót dấu hiệu tấn công nếu chỉ theo dõi nhật ký đăng nhập từ cổng quản trị frontend.

Nếu bị khai thác thành công, CVE-2026-20223 cho phép tin tặc truy cập lượng lớn dữ liệu nhạy cảm như telemetry mạng, sơ đồ phụ thuộc ứng dụng, cấu hình hạ tầng trung tâm dữ liệu và các bộ nhớ đệm nội bộ. Nguy hiểm hơn, kẻ tấn công có thể chỉnh sửa các chính sách microsegmentation, mở các luồng giao tiếp trái phép, xóa quy tắc bảo mật quan trọng hoặc thiết lập cơ chế duy trì truy cập âm thầm trên nhiều tenant cùng lúc.

Cisco xác nhận lỗ hổng ảnh hưởng đến các nhánh Cisco Secure Workload 3.10 và 4.0. Trong đó, các phiên bản 3.9 trở xuống sẽ không được phát hành bản vá bảo mật, buộc doanh nghiệp phải nâng cấp sang các nhánh được hỗ trợ mới hơn. Với hệ thống đang chạy phiên bản 3.10, cần cập nhật ngay lên 3.10.8.3 hoặc bản mới hơn. Đối với nhánh 4.0, doanh nghiệp cần nâng cấp tối thiểu lên phiên bản 4.0.3.17 để khắc phục hoàn toàn lỗ hổng.

Hiện chưa ghi nhận dấu hiệu CVE-2026-20223 bị khai thác ngoài thực tế. Tuy nhiên, với khả năng chiếm quyền quản trị tối cao từ xa mà không cần xác thực, giới chuyên gia cảnh báo đây là một trong những lỗ hổng nguy hiểm nhất từng xuất hiện trên các nền tảng bảo mật doanh nghiệp trong thời gian gần đây.​