Ba lỗ bảo mật nghiêm trọng: cảnh báo đỏ cho Cisco IOS XR và Nexus 9000
Các lỗ bảo mật mới trong Cisco IOS XR và switch Cisco Nexus 9000 là những điểm yếu cho phép tấn công từ xa không cần xác thực, dẫn tới thực thi mã và nâng quyền root, đặt toàn bộ hạ tầng mạng doanh nghiệp vào nguy cơ bị kiểm soát hoàn toàn nếu quản trị viên không cập nhật bản vá và triển khai cấu hình giảm thiểu phù hợp.
Cisco vừa cảnh báo ba lỗ bảo mật mức nghiêm trọng trong sản phẩm của mình, trong đó hai lỗ nằm trên hệ điều hành IOS XR và một lỗ trên dòng switch Nexus 9000. Đây không phải những lỗi nhỏ lẻ mà là kết quả của một “đánh giá bảo mật nội bộ toàn diện” đã phát hiện tổng cộng tám lỗ hổng trên IOS XR. Việc phải gộp chúng vào một đợt IOS XR bản vá khẩn cấp cho thấy bề mặt tấn công của các thiết bị mạng carrier-grade đang bị phình to đáng lo ngại.
Hai lỗ CVE-2026-20274 và CVE-2026-20279 đều được chấm 9,8 trên thang CVSS, mức gần như kịch trần cho một lỗ bảo mật, với các vấn đề về kiểm soát tài nguyên, ghi vượt biên và kiểm soát truy cập không đúng. Nói thẳng: nếu bạn đang vận hành mạng dựa trên IOS XR mà chưa cập nhật, bạn đang để cổng sau mở sẵn cho kẻ tấn công.
CVE-2026-20274 và CVE-2026-20279: IOS XR bản vá khẩn cấp không thể trì hoãn
Hai lỗ bảo mật 9,8 điểm trên IOS XR không chỉ là những dòng CVE khô khan; chúng là phép thử xem doanh nghiệp của bạn coi trọng bảo mật hạ tầng mạng đến mức nào. Những lỗi này ảnh hưởng đến mọi bản phát hành IOS XR, bao gồm cả IOS XR7, bất kể cấu hình thiết bị. Nghĩa là không có “may ra thiết bị mình an toàn” – tất cả đều nằm trong vùng nguy hiểm.
CVE-2026-20274 liên quan đến việc kiểm soát tài nguyên trong vòng đời không đúng, dẫn tới khả năng ghi ngoài biên và khởi tạo tài nguyên với giá trị mặc định không an toàn. CVE-2026-20279 là lỗi kiểm soát truy cập không đúng, bao gồm xác thực chứng thư sai, thiếu xác thực và phân quyền. Cả hai đều có thể bị khai thác từ xa, độ phức tạp thấp, không cần tương tác người dùng. Câu trích quan trọng là: "Cisco patched eight vulnerabilities affecting its IOS XR operating system, including three critical-severity ones".
Không có bất kỳ cách giảm nhẹ nào cho hai lỗ này ngoài việc cài đặt bản vá. Cisco đã phát hành phiên bản IOS XR mới khắc phục chúng và "strongly recommends" khách hàng nâng cấp ngay. Nếu bạn trì hoãn chỉ vì sợ downtime, bạn đã đặt hạ tầng lưu trữ và mạng quan trọng vào rủi ro mà không có bất kỳ lớp bảo vệ thay thế nào.
Cisco Nexus 9000 lỗ bảo mật: lỗ nâng quyền root khó nuốt CVE-2026-20212
Lỗ CVE-2026-20212 trên một số switch Cisco Nexus 9000 là ví dụ điển hình cho kiểu lỗi "make-me-root" – sai sót tích hợp với chip Silicon One cho phép kẻ tấn công từ xa không xác thực thực thi mã với quyền root. Điều đáng nói hơn: hiện chưa có bản vá phần mềm, chỉ có biện pháp giảm nhẹ dựa trên cấu hình.
Nguyên nhân nằm ở việc các cổng TCP 43210 và 43211 mở trong VRF L3 mặc định, cho phép kẻ tấn công kết nối tới thiết bị và gửi dữ liệu crafted để thực thi mã với quyền root. Việc khai thác còn có thể làm tiến trình S1HAL crash và khiến thiết bị reload. Lỗ này ảnh hưởng đến mười thiết bị Nexus 9000 có tích hợp Silicon One ASIC. Nói cách khác, đây là một cửa hậu ở tầng silicon cho phép nâng quyền root switch – ác mộng của mọi quản trị viên.
Cisco khuyến nghị dùng infrastructure access control lists (iACLs) để chỉ cho phép lưu lượng quản trị và điều khiển cần thiết tới thiết bị bị ảnh hưởng hoặc explicit deny mọi gói TCP tới port 43210/43211. Họ cũng cung cấp download hỗ trợ triển khai iACL. Nhưng Cisco thừa nhận chưa có bản cập nhật phần mềm để “fix the flaw once and for all”. Nghĩa là, hiện tại, bạn chỉ có thể khóa cửa ngoài, chứ chưa thể sửa lại khóa bị lỗi.
Tám bản vá từ đánh giá bảo mật toàn diện: vì sao quản trị viên không được chậm trễ
Cisco cho biết tám lỗ hổng trên IOS XR, trong đó có ba lỗ nghiêm trọng, là kết quả của một "comprehensive internal security review". Ngoài ba lỗ lớn, họ còn phát hiện thêm ba lỗ 8,8 điểm, một lỗ 8,6 và một lỗ 8,2. Đây là dấu hiệu rõ ràng rằng bề mặt tấn công của các hệ thống mạng carrier-grade đã phức tạp tới mức một đợt rà soát nội bộ cũng có thể phơi bày cả chuỗi vấn đề.
Hiện tại chưa có ghi nhận tấn công nhắm vào các lỗ này. Nhưng điều này sẽ không kéo dài lâu khi thông tin chi tiết đã công khai và công cụ AI cho phép tạo mã khai thác nhanh chóng. Việc trông chờ vào may mắn “chưa bị khai thác” là thái độ phòng thủ ngây thơ. Đối với bảo mật hạ tầng mạng, thời điểm vá không phải khi có exploit public mà là khi vendor phát hành bản vá.
Cisco "urged its customers to apply the patches as soon as possible" và nhấn mạnh rằng cài đặt bản vá là cách duy nhất để giảm rủi ro trên IOS XR vì không có workaround nào khác. Nếu bạn đang vận hành hạ tầng lưu trữ, mạng core hoặc backbone ISP dựa trên IOS XR và Nexus 9000, việc trì hoãn cập nhật tương đương với việc chấp nhận khả năng bị chiếm quyền điều khiển root trên thiết bị biên quan trọng.
Kế hoạch hành động cho quản trị viên mạng: từ vá đến kiến trúc phòng thủ
Từ góc nhìn quản trị, câu hỏi không còn là "có vá không" mà là "vá như thế nào để không gãy hệ thống". Với một IOS XR bản vá khẩn cấp và một lỗ nâng quyền root switch Nexus 9000 chưa có fix hoàn chỉnh, bạn cần một kế hoạch có thứ tự ưu tiên rõ ràng.
- Lập inventory tất cả thiết bị chạy IOS XR và Nexus 9000 có Silicon One, gắn nhãn mức quan trọng đối với hạ tầng lưu trữ và mạng.
- Triển khai ngay các bản vá IOS XR trên môi trường lab, kiểm tra tương thích, rồi rollout theo từng cụm production.
- Cấu hình iACL trên Nexus 9000 để chỉ cho phép lưu lượng quản trị cần thiết hoặc chặn toàn bộ TCP tới port 43210/43211.
- Cập nhật playbook vận hành và quy trình change management để mọi thay đổi liên quan IOS XR và Nexus 9000 đều kèm bước kiểm tra bảo mật.
- Giám sát log và lưu lượng bất thường nhắm tới các port, VRF, và tiến trình liên quan Silicon One để phát hiện sớm dấu hiệu dò quét.
Quan trọng hơn, hãy xem sự cố lần này như một cú hích để thiết kế lại chiến lược bảo mật hạ tầng mạng: phân tách rõ plane quản trị, kiểm soát truy cập chặt chẽ bằng iACL, và coi mọi thiết bị core đều có thể bị xâm phạm. Khi assume breach trở thành tư duy mặc định, các bản vá khẩn cấp như lần này sẽ không còn là cháy nhà mới chạy mà là một phần của vòng đời vận hành bình thường.
