Cổng VPN của Cisco bị tấn công khi Microsoft vá 421 lỗi

Các cổng VPN của Cisco bị khai thác khi kẻ tấn công nhắm vào hạ tầng đáng tin cậy

Một ngày tin tức bảo mật gần đây đã vẽ nên một bức tranh rõ ràng về cách kẻ tấn công đang chuyển trọng tâm: các cổng VPN của Cisco bị khai thác trong các cuộc tấn công thực tế, một lỗ hổng zero-day nhân Windows được vá trong số 421 bản sửa lỗi từ Microsoft, các nhóm ransomware tấn công bệnh viện, và những kẻ tình nghi liên quan tới Triều Tiên được cho là đã giành được vị trí bên trong các hệ thống chính phủ Mỹ thông qua các cuộc phỏng vấn xin việc giả mạo. Xét riêng lẻ, mỗi mục đều đáng chú ý. Gộp lại, chúng mô tả một mô hình đáng lo ngại cho bất kỳ ai dựa vào hạ tầng VPN doanh nghiệp để giữ an toàn cho làm việc từ xa.

Mẫu số chung là sự tin cậy. Các cổng VPN của Cisco, các thành phần nhân Windows và thậm chí chính quy trình tuyển dụng đều là những hệ thống mà các tổ chức và nhân viên mặc định là an toàn. Kẻ tấn công ngày càng đặt cược rằng chính giả định này khiến các hệ thống đó đáng để nhắm tới.

Mối liên hệ với làn sóng lỗ hổng zero-day tường lửa Cisco rộng hơn

Việc khai thác tích cực các cổng VPN của Cisco không tồn tại đơn lẻ. Đây là chương mới nhất trong chuỗi lỗ hổng ảnh hưởng tới dòng sản phẩm Cisco Secure Firewall, phần mềm mà nhiều doanh nghiệp phụ thuộc để quản lý truy cập từ xa và phòng thủ vòng ngoài. Cisco đã phải gấp rút phát hành bản vá khẩn cấp cho lỗ hổng zero-day làm sập tường lửa ASA, và riêng biệt, CISA đã đưa ra cảnh báo sau khi lỗ hổng Firewall Management Center, CVE-2026-20316, được xác nhận là đang bị tấn công tích cực.

Điều khiến xu hướng này đáng lo không phải là bất kỳ lỗ hổng đơn lẻ nào, mà là tần suất. Khi các sản phẩm tường lửa và VPN của cùng một nhà cung cấp liên tục xuất hiện trong các cảnh báo khai thác tích cực, điều đó báo hiệu kẻ tấn công đã tìm ra con đường đáng tin cậy vào các mạng mà nhiều đội CNTT coi là bài toán đã giải quyết xong sau khi phần cứng được lắp đặt và cấu hình. Nếu tổ chức của bạn chưa rà soát các cảnh báo cụ thể đó, đó là điểm khởi đầu kỹ thuật trước bất kỳ điều gì khác.

Vì sao niềm tin VPN ở cấp độ hạ tầng trở thành bề mặt tấn công ngày càng lớn

Các cổng VPN nằm ở vị trí đặc quyền độc nhất trong mạng. Chúng được thiết kế để đối mặt internet sao cho nhân viên từ xa có thể truy cập, và được thiết kế để cấp quyền truy cập sau khi người dùng xác thực. Sự kết hợp đó — công khai với bên ngoài cộng với độ tin cậy cao — khiến chúng thành mục tiêu hiệu quả. Một lỗ hổng chưa vá duy nhất trong cổng VPN có khả năng cho kẻ tấn công chỗ đứng vượt qua nhiều lớp phòng thủ nội bộ mà tổ chức đã xây dựng trong nhiều năm.

Điều này càng trầm trọng hơn bởi các câu chuyện khác trong cùng chu kỳ tin tức. 421 bản vá của Microsoft bao gồm một lỗ hổng zero-day nhân Windows, nghĩa là kẻ tấn công có con đường nâng đặc quyền trên các điểm cuối ngay cả sau khi vượt qua phòng thủ vòng ngoài. Các nhóm điều hành ransomware tiếp tục nhắm vào bệnh viện, nơi thời gian ngừng hoạt động mang rủi ro sống còn và áp lực trả tiền là cao nhất. Và các báo cáo về các chủ thể nhà nước, bao gồm các nhóm liên quan tới Triều Tiên, sử dụng các cuộc phỏng vấn xin việc giả để thâm nhập vào các vai trò sysadmin cho thấy kỹ thuật xã hội nhắm vào chính những người quản lý hạ tầng này cũng tích cực không kém khai thác kỹ thuật nhắm vào chính hạ tầng.

Gộp lại, những câu chuyện này cho thấy kẻ tấn công đang tấn công mọi lớp cùng lúc: rìa mạng, hệ điều hành, và con người quản trị cả hai.

Điều này có ý nghĩa gì với bạn

Nếu tổ chức của bạn sử dụng các thiết bị VPN hoặc tường lửa của Cisco cho truy cập từ xa, đây không phải là câu chuyện để lướt qua. Các cổng VPN chưa vá hoặc cấu hình sai giờ đây là điểm xâm nhập đã được chứng minh cho các vụ xâm nhập thực tế, không phải rủi ro lý thuyết. Nhân viên làm việc từ xa cũng nên biết rằng tính bảo mật của kết nối của họ phụ thuộc rất nhiều vào phần cứng cổng mà nhà tuyển dụng duy trì, không chỉ độ mạnh của mật khẩu hay sự hiện diện của xác thực đa yếu tố.

Với các đội CNTT và bảo mật, góc nhắm vào sysadmin đáng được chú ý đặc biệt. Nếu các chủ thể nhà nước đang dùng tuyển dụng và phỏng vấn xin việc làm vector cài người vào bên trong các tổ chức có quyền truy cập đặc quyền, các biện pháp phòng thủ kỹ thuật tiêu chuẩn sẽ không phát hiện được. Quy trình tuyển dụng cho các vai trò có quyền truy cập hạ tầng có thể cần được rà soát kỹ như lịch vá phần mềm.

Các hành động cụ thể

• Xác nhận các thiết bị Cisco Secure Firewall và VPN của tổ chức bạn đang chạy bản vá hiện tại, và rà soát các cảnh báo gần đây liên quan tới sản phẩm ASA, FTD, FMC.
• Coi các cổng VPN là mục tiêu giá trị cao trong đánh giá rủi ro của bạn, không phải hạ tầng thông thường.
• Áp dụng kịp thời các bản cập nhật bảo mật mới nhất của Microsoft, đặc biệt là các bản xử lý lỗ hổng cấp nhân.
• Thêm các bước xác minh bổ sung vào quy trình tuyển dụng cho các vai trò CNTT và sysadmin có quyền truy cập mạng đặc quyền.
• Đảm bảo bệnh viện và các tổ chức dịch vụ quan trọng khác có kế hoạch sao lưu và phục hồi đã được kiểm tra, vì các nhóm ransomware tiếp tục nhắm mục tiêu họ.

Sợi chỉ xuyên suốt tất cả các câu chuyện này là các cổng VPN của Cisco bị khai thác ngoài thực địa chỉ là một mảnh trong nỗ lực rộng lớn hơn của kẻ tấn công nhằm khai thác niềm tin được xây dựng trong các hệ thống doanh nghiệp và quy trình tuyển dụng. Luôn cập nhật các cảnh báo từ nhà cung cấp và coi hạ tầng truy cập từ xa là điểm phải liên tục rà soát, thay vì triển khai một lần rồi quên, là biện pháp phòng thủ thực tế nhất hiện có.