Nguy hiểm: Lỗ hổng CVE nghiêm trọng RCE đe dọa ICS

Một lỗ hổng CVE nghiêm trọng mới được công bố trong giải pháp giám sát hệ thống điều khiển công nghiệp (ICS) đang gây lo ngại sâu rộng trong nhiều lĩnh vực cơ sở hạ tầng trọng yếu. Lỗ hổng này, được CISA công bố với mã khuyến nghị ICSA-26-043-10, đã được gán mã CVE-2026-1358 và mang thang điểm CVSS v3 là 9.8, cho thấy mức độ nghiêm trọng tới hạn.

Tổng quan về Lỗ hổng CVE-2026-1358 trong Airleader Master

Theo khuyến nghị được phát hành vào ngày 12 tháng 2 năm 2026, lỗ hổng này ảnh hưởng đến tất cả các phiên bản của phần mềm Airleader Master đến 6.381. Kẻ tấn công không cần xác thực có thể thực thi mã tùy ý từ xa trên các hệ thống mục tiêu.

Vấn đề phát sinh từ một điểm yếu trong tính năng tải lên tệp không hạn chế (unrestricted file upload), cho phép tải lên các loại tệp nguy hiểm có khả năng thực thi trên thiết bị. Lỗ hổng này nằm trong thành phần xử lý tệp của Airleader Master, một sản phẩm do Airleader GmbH, công ty có trụ sở tại Đức phát triển.

Chi tiết kỹ thuật và Cơ chế khai thác

Điểm yếu Unrestricted File Upload

Cốt lõi của lỗ hổng CVE nghiêm trọng này là khả năng tải lên bất kỳ loại tệp nào mà không có sự kiểm tra hoặc xác thực chặt chẽ. Điều này cho phép kẻ tấn công tải lên các tập lệnh độc hại (ví dụ: shell script, mã thực thi) lên máy chủ Airleader Master.

Sau khi được tải lên, các tệp độc hại này có thể được thực thi bởi hệ thống, dẫn đến remote code execution (RCE). Cơ chế này cung cấp cho kẻ tấn công quyền kiểm soát đáng kể đối với hệ thống mục tiêu.

Quá trình khai thác điển hình có thể bao gồm:

• Kẻ tấn công xác định điểm cuối (endpoint) tải lên tệp trong ứng dụng Airleader Master.
• Tải lên một tệp độc hại, chẳng hạn như một webshell hoặc một tập lệnh thực thi.
• Truy cập và thực thi tệp đã tải lên thông qua một đường dẫn đã biết hoặc có thể đoán được.
• Kết quả là chiếm quyền kiểm soát hệ thống, có thể thực hiện các lệnh như sau (ví dụ minh họa):

# Ví dụ lệnh Linux sau khi RCE thành côngls -l /var/www/html/airleader/cat /etc/passwdwhoami

Ảnh hưởng và Nguy cơ đối với Cơ sở hạ tầng trọng yếu

Khai thác thành công lỗ hổng CVE nghiêm trọng này cho phép các đối tượng tấn công giành quyền kiểm soát các máy chủ hoặc hệ thống được kết nối mạng bị ảnh hưởng. Điều này có thể gây gián đoạn hoạt động nghiêm trọng trong nhiều lĩnh vực cơ sở hạ tầng trọng yếu.

Các lĩnh vực bị ảnh hưởng tiềm tàng bao gồm:

• Năng lượng
• Hóa chất
• Y tế
• Thực phẩm và Nông nghiệp
• Sản xuất
• Giao thông vận tải
• Quản lý Nước

Quyền truy cập trái phép vào các hệ thống ICS có thể dẫn đến hậu quả thảm khốc, từ gián đoạn sản xuất đến rò rỉ dữ liệu nhạy cảm hoặc thậm chí là hư hại vật lý. Khả năng chiếm quyền điều khiển hoàn toàn hệ thống khiến đây là một mối đe dọa bảo mật cấp bách.

Tình trạng Khai thác và Khuyến nghị An ninh mạng ICS

CISA lưu ý rằng hiện tại chưa có khai thác công khai (public exploits) nào nhắm mục tiêu vào lỗ hổng CVE nghiêm trọng này. Tuy nhiên, tiềm năng gây thiệt hại là rất lớn do việc sử dụng Airleader Master rộng rãi trên toàn cầu để tối ưu hóa và giám sát hệ thống công nghiệp.

CISA khẩn thiết kêu gọi các quản trị viên hệ thống và nhà điều hành cơ sở hạ tầng trọng yếu thực hiện các bước ngay lập tức để giảm thiểu rủi ro. Các biện pháp được khuyến nghị nhằm tăng cường an ninh mạng ICS bao gồm:

Hạn chế truy cập mạng và Phân đoạn mạng

• Hạn chế truy cập mạng: Đảm bảo rằng các hệ thống điều khiển không thể truy cập được từ internet. Điều này giảm đáng kể bề mặt tấn công và nguy cơ bị khai thác từ xa.
• Phân đoạn mạng ICS: Triển khai phân đoạn mạng một cách chặt chẽ, cô lập các hệ thống ICS khỏi các mạng doanh nghiệp và internet. Sử dụng tường lửa được cấu hình đúng cách giữa các phân đoạn mạng. Các quy tắc tường lửa phải tuân thủ nguyên tắc quyền truy cập tối thiểu (least privilege).

# Ví dụ cấu hình iptables cơ bản để hạn chế truy cập ICS# Khối tất cả lưu lượng từ bên ngoài vào mạng ICS trừ khi được cho phépiptables -A INPUT -p tcp -s 0.0.0.0/0 --dport <ICS_PORT> -j DROP# Cho phép lưu lượng từ VPN đã được xác thựciptables -A INPUT -p tcp -s <VPN_SUBNET>/24 --dport <ICS_PORT> -j ACCEPT

Sử dụng VPN an toàn và Đánh giá rủi ro

• VPN cho truy cập từ xa: Khi cần truy cập từ xa, phải sử dụng Mạng riêng ảo (VPN). Đảm bảo rằng các giải pháp VPN luôn được cập nhật đầy đủ các bản vá bảo mật mới nhất và được cấu hình an toàn, tăng cường bảo mật.
• Đánh giá tác động và phân tích rủi ro: Thực hiện đánh giá tác động và phân tích rủi ro kỹ lưỡng trước khi triển khai bất kỳ biện pháp phòng thủ mới nào. Điều này giúp hiểu rõ hơn về tiềm năng ảnh hưởng và tối ưu hóa chiến lược bảo vệ.

Tuân thủ các phương pháp tốt nhất của CISA

CISA cũng khuyến khích tuân thủ các phương pháp hay nhất về an ninh mạng ICS của mình. Các tài liệu hướng dẫn chi tiết như Improving ICS Cybersecurity with Defense-in-Depth Strategies và ICS-TIP-12-146-01B: Targeted Cyber Intrusion Detection and Mitigation Strategies cung cấp thông tin quý giá để xây dựng hệ thống phòng thủ mạnh mẽ.

Các tổ chức phát hiện hoạt động đáng ngờ liên quan đến lỗ hổng CVE nghiêm trọng này nên báo cáo ngay cho CISA để phối hợp phân tích và ứng phó kịp thời. Việc này góp phần vào nỗ lực chung nhằm bảo vệ cơ sở hạ tầng trọng yếu khỏi các mối đe dọa remote code execution.