CISA vừa thêm 2 lỗi đang bị khai thác thật vào danh sách KEV ngày thứ Sáu 13/11 — và hạn vá liên bang là thứ Hai 16/11, tức ngày mai. Hôm nay là ngày cuối cùng còn kịp đăng tin này mà vẫn hữu ích: qua thứ Hai là nó thành tin cũ.

1. Check Point Gaia OS — CVE-2026-123039 (CVSS 7.8)

Lỗi leo thang đặc quyền local trên các gateway/firewall Check Point:

  • Daemon DynamicCLI của Gaia OS chạy với quyền root và lắng nghe trên một Unix socket local có quyền ghi cho mọi người (/tmp/dynamic_socket) — mà không xác thực tiến trình nào kết nối tới. Ai đã có quyền local trên thiết bị đều có thể gửi lệnh và chạy với quyền root.
  • Ảnh hưởng: Gaia R81 tới R82.20 — Security Gateway, Firewall, Management và Log Server, Multi-Domain, Maestro/Scalable Platforms. Spark firewall và Smart-1 Cloud không bị ảnh hưởng.
  • Khai thác đã bắt đầu từ cuối tháng 10: Check Point cho biết đã thấy lỗi bị khai thác ở "vài chục khách hàng". Chiến dịch ban đầu nhắm vào các tổ chức ở Israel từ 30/10 — kẻ tấn công xâu chuỗi lỗi này với PHP2Shell (CVE-2026-109618/109619, diễn đàn đã đăng ở topic 41) để cài backdoor TSGA và wiper xóa file trên ESXi.
  • Bản vá: Jumbo Hotfix tháng 11 — R82.20 Take 14, R82.10 Take 52, R82 Take 132, R81.20 Take 174 trở lên (advisory sk1000362).

2. UnrealIRCd — CVE-2026-114713 (CVSS 8.6)

Lỗi command injection trong server IRC mã nguồn mở UnrealIRCd:

  • Module labeled-response (xử lý tag "label" của IRCv3) không escape đúng ký tự phân tách khi echo lại vào reply. Trên một mạng IRC có 2 server trở lên liên kết với nhau, bất kỳ user thường nào cũng có thể chèn lệnh server-to-server và chạy với quyền của server.
  • Ảnh hưởng: UnrealIRCd 6.0.0 tới 6.2.7; cả bản 5.x đã end-of-life cũng bị.
  • Bản vá: lên 6.2.7.1 trở lên, hoặc dùng hot-patch không cần restart cho các bản 6.0.0–6.2.7. Đồng thời rà lại cấu hình liên kết server, chỉ liên kết với host tin cậy.

Vì sao gấp

Cả hai đều đã có bằng chứng khai thác thật (đó là lý do CISA đưa vào KEV), và hạn liên bang là 16/11. CISA ghi ransomware use là "Unknown" cho cả hai — chưa thấy chiến dịch ransomware, nhưng khai thác đang diễn ra. EPSS: Check Point 1,27%, UnrealIRCd 0,30%.

Nếu bạn chạy gateway Check Point hoặc server UnrealIRCd, vá ngay trong hôm nay — đừng đợi qua thứ Hai.

Nguồn: