Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vào thứ Tư đã thêm bảy lỗi bảo mật vào danh mục Lỗ hổng bị khai thác đã biết (KEV) sau khi chúng rơi vào tầm ngắm của những kẻ tấn công.
Các lỗ hổng bao gồm:
- CVE-2026-83548 (Điểm CVSS: 10.0) - Một lỗ hổng server-side request forgery trong SonicWall SMA 1000 Appliances có thể cho phép kẻ tấn công từ xa không cần xác thực giành quyền truy cập trái phép vào các chức năng nhạy cảm và thực hiện các hoạt động không được phép.
- CVE-2026-83549 (Điểm CVSS: 7.8) - Một lỗ hổng post-authentication operating system command injection trong SonicWall SMA 1000 Appliances có thể cho phép kẻ tấn công từ xa đã xác thực với quyền quản trị viên thực thi các lệnh OS tùy ý, dẫn đến remote code execution.
- CVE-2026-9586 (Điểm CVSS: 9.3) - Một lỗ hổng SQL injection trong Sangoma Switchvox có thể cho phép kẻ tấn công từ xa không cần xác thực thực thi các câu lệnh SQL tùy ý đối với cơ sở dữ liệu PostgreSQL ở backend bằng một yêu cầu duy nhất được thiết kế đặc biệt, bao gồm các hoạt động cơ sở dữ liệu và remote code execution.
- CVE-2026-82329 (Điểm CVSS: 9.8) - Một lỗ hổng improper authentication trong JFrog Artifactory mà theo cấu hình mặc định có thể cho phép kẻ tấn công không cần xác thực có quyền truy cập mạng giành được đặc quyền quản trị.
- CVE-2026-48710 (Điểm CVSS: 6.5) - Một lỗ hổng HTTP request/response smuggling trong Kludex Starlette có thể cho phép kẻ tấn công chèn các đường dẫn vào phần host, dẫn đến các vấn đề như bypass xác thực khi việc xác thực phụ thuộc vào đường dẫn URL được cấu trúc lại.
- CVE-2026-49869 (Điểm CVSS: 10.0) - Một lỗ hổng operating system command injection trong Kestra OSS có thể cho phép kẻ tấn công từ xa không cần xác thực tạo và thực thi các workflow tùy ý mà không cần thông tin đăng nhập.
- CVE-2026-59822 (Điểm CVSS: 8.8) - Một lỗ hổng improper authentication trong endpoint Model Context Protocol (MCP) Streamable HTTP của Berri LiteLLM có thể cho phép kẻ tấn công không cần xác thực thiết lập một phiên MCP đã xác thực bằng cách sử dụng một Bearer token tùy ý.
Diễn biến này xảy ra sau khi SonicWall tiết lộ rằng họ đã "điều tra một trường hợp cho thấy lỗ hổng CVE-2026-83548 và CVE-2026-83549 đang bị khai thác tích cực". Theo các báo cáo từ Horizon3.ai và watchTowr, những kẻ đe dọa ẩn danh đã được quan sát thấy đang vũ khí hóa CVE-2026-9586 và CVE-2026-82329 để triển khai reverse shells và tạo các token quản trị giả mạo nhằm liệt kê người dùng, nhóm, bộ thông tin xác thực và cấu trúc truy cập liên hợp.
Đối với CVE-2026-48710, một báo cáo từ Horizon3.ai vào tháng 6 năm 2026 đã cho thấy lỗ hổng này có thể được kết hợp với một lỗi Berri LiteLLM khác (CVE-2026-42271, điểm CVSS: 8.7) để bypass xác thực và thực hiện remote code execution đối với các hệ thống LiteLLM dễ bị tổn thương.
Mối đe dọa từ Ransomware và hạ tầng AI
Đáng chú ý là CVE-2026-42271 cũng đã được thêm vào danh mục KEV của CISA vào cùng thời điểm đó. Theo Wiz (thuộc sở hữu của Google), các tác nhân đe dọa liên quan đến ransomware Qilin (còn gọi là Agenda) có liên quan đến việc khai thác tích cực chuỗi tấn công này. Nền tảng bảo mật đám mây này cho biết họ cũng đã quan sát thấy các nỗ lực khai thác liên quan đến CVE-2026-59822 nhằm vào các honeypot của mình để thăm dò các endpoint liệt kê mô hình.
Việc bổ sung CVE-2026-49869 vào danh mục KEV được thúc đẩy bởi một báo cáo của Microsoft vào tuần trước, trong đó lỗ hổng này có khả năng đã bị một kẻ đe dọa khai thác vào cuối tháng 6 năm 2026 để thiết lập reverse shell, thực hiện khám phá môi trường container Docker, trốn tránh phòng thủ, triển khai mã độc đào tiền ảo và tạo điều kiện cho việc thu thập dữ liệu.
"Sự xâm nhập vào Kestra đã để lộ bốn con đường gây tác động: thực thi shell thông qua công cụ workflow, để lộ môi trường container thông qua quyền truy cập Docker socket, chiếm đoạt tài nguyên máy chủ thông qua việc triển khai mã độc đào tiền ảo và thu thập dữ liệu tiếp theo thông qua thực thi tác vụ workflow," Microsoft cho biết.
Ngoài ra, Microsoft cũng tiết lộ rằng các tác nhân độc hại đang đột nhập vào các gateway LiteLLM bằng cách sử dụng CVE-2026-42271 và CVE-2026-48710 để phân phối mã độc đào tiền ảo XMRig thông qua một tệp tin ELF binary, sau khi đã thu thập thông tin về máy chủ và chấm dứt các tiến trình đào tiền ảo đối thủ.
Kẻ tấn công cũng bị phát hiện đã lạm dụng thông tin cơ sở dữ liệu thu thập được trước đó để truy cập vào tầng dữ liệu PostgreSQL của LiteLLM và nhắm mục tiêu vào các bảng của LiteLLM, bao gồm LiteLLM_ProxyModelTable và LiteLLM_VerificationToken, nhằm thu thập các bản ghi liên quan đến cấu hình mô hình, mã khóa của nhà cung cấp, endpoint và các khóa ảo do proxy cấp.
Hạ tầng AI trở thành mục tiêu béo bở
Microsoft và Wiz cho biết, các cuộc tấn công chỉ ra rằng hạ tầng trí tuệ nhân tạo (AI) như LiteLLM, Flowise, LangChain, Langflow, ChromaDB, Ollama, Marimo và các máy chủ MCP đã trở thành mục tiêu béo bở để đánh cắp API keys, giành quyền truy cập vào hệ thống backend, duy trì sự hiện diện, thực hiện blind prompt injections và hậu khai thác AI-native, đồng thời kiếm tiền từ các máy chủ bị nhiễm thông qua đào tiền ảo bất hợp pháp.
Trong một chiến dịch khác do Microsoft ghi nhận, người ta nghi ngờ rằng các đối thủ đang khai thác các phiên bản RAGFlow bị lộ bằng cách sử dụng các lỗi như CVE-2026-45312, CVE-2026-28797, CVE-2026-24770, CVE-2025-68700 và CVE-2025-69286 để thiết lập sự hiện diện và đánh cắp các khóa của nhà cung cấp mô hình ngôn ngữ lớn (LLM) cùng siêu dữ liệu liên quan.
Tuân theo "Chỉ thị hành động ràng buộc (BOD) 26-04: Ưu tiên cập nhật bảo mật dựa trên rủi ro", các cơ quan thuộc Nhánh Hành pháp Dân sự Liên bang (FCEB) được khuyến nghị áp dụng các bản vá cho tất cả các lỗ hổng, ngoại trừ CVE-2026-48710 và CVE-2026-59822, trước ngày 5 tháng 9 năm 2026. Các cơ quan có thời hạn đến ngày 16 tháng 9 năm 2026 để giải quyết các lỗi Starlette và LiteLLM.
