Ngày 09/11, CISA đưa thêm 4 lỗ hổng vào danh mục KEV (Known Exploited Vulnerabilities) — tức là cả 4 đều đã có bằng chứng bị khai thác thật ngoài đời. Hạn xử lý mà CISA đặt ra là 12/11, chỉ 3 ngày — nhưng lưu ý: hạn này ràng buộc các cơ quan liên bang Mỹ theo BOD 26-04, không phải deadline chung cho mọi người. Với người dùng thường, ý nghĩa thực tế là: 4 lỗi này đang bị khai thác, vá ngay đừng chần chừ.

1. GPUStack — CVE-2026-102895 (CVSS 9.8)

GPUStack là nền tảng chạy model AI (LLM) trên GPU. Lỗi improper authentication: kẻ tấn công không cần đăng nhập vẫn vào được quyền admin — đổi user/model, tạo API key admin vĩnh viễn, lộ secret của worker và cloud provider, thậm chí chạy code qua POST /v2/inference-backends/from-yaml.

  • Vá: lên gpustack 2.2.0.
  • Chưa vá được ngay: đặt force_auth_localhost=true, chặn header X-GPUStack-Real-IP do client gửi ở edge, và đừng để API lộ ra mạng không tin cậy.
  • Sau khi vá: rà lại API key admin (scope *) và các inference backend tạo từ YAML — key đã tạo vẫn còn hiệu lực sau khi vá.

2. SignalWire FreeSWITCH — CVE-2026-116779 (CVSS 9.8)

Lỗi code injection trong FreeSWITCH (tổng đài VoIP mã nguồn mở): kẻ tấn công có thể lộ cấu hình và credential, điều khiển cuộc gọi tùy ý và chạy lệnh trên máy chủ.

  • Vá: theo advisory GHSA-mg63-h38w-8p9p.
  • Nếu không dùng SIP chat: đặt enable-chat=false trên mọi profile là đóng được đường khai thác này.

3. IBM Aspera Faspex — CVE-2026-123218 (CVSS 9.8)

Lỗi incorrect authorization: user đã đăng nhập có thể gửi message đặc biệt để vượt qua kiểm tra quyền và leo lên full admin.

  • Vá: lên 5.0.19 PL1 (kiểm tra image faspex-core đọc đúng 5.0.19).
  • Vì cần tài khoản hợp lệ mới khai thác được nên tài khoản external/guest chính là bề mặt lộ ra — rà lại các tài khoản này trước.

4. OpenSSH "SSHole" — CVE-2026-123158 (CVSS 8.1)

Lỗi này diễn đàn đã đăng ở topic 64 ngày 07/11 — nhắc lại một dòng cho đủ bộ: vá lên OpenSSH 10.6p2 hoặc bản vá của distro (Alpine đã ra advisory riêng ngày 05/11).

Cả 4 mục KEV lần này đều ghi "ransomware use: Unknown" — tức chưa có bằng chứng gắn với chiến dịch ransomware cụ thể, nhưng đã có khai thác thật. Đừng chờ tới 12/11 mới vá.

Nguồn: