Đầu tháng 10/2026 lại là một tuần khó khăn cho những ai quản lý VPN và cổng email doanh nghiệp. Trong khoảng 13 ngày, ba thương hiệu thiết bị biên quen thuộc là Fortinet, Citrix và Ivanti lần lượt xác nhận lỗ hổng bị khai thác trước hoặc ngay khi có bản vá. Cả ba đều đã vào danh mục KEV của CISA.

Tóm tắt nhanh

  • Ai bị ảnh hưởng: tổ chức dùng Ivanti Connect Secure (VPN SSL), Fortinet FortiMail (cổng bảo mật email) và Citrix NetScaler ADC/Gateway có cấu hình SAML.
  • Mức độ: FortiMail CVE-2026-104286 CVSS 9.8; Ivanti CVE-2026-104935 được hãng xếp mức High, nhiều nguồn ghi CVSS 8.6; NetScaler CVE-2026-88779 CVSS 8.7.
  • Đã bị khai thác chưa: cả ba đều đã bị khai thác thực tế và có trong danh mục KEV.

FortiMail CVE-2026-104286: ghi tệp tùy ý không cần đăng nhập

Ngày 1/10, Fortinet công bố advisory FG-IR-26-175. Đây là lỗi duyệt đường dẫn (path traversal, CWE-22) kết hợp với xử lý sai ký tự NULL (CWE-158) trong FortiMail. Kẻ tấn công chưa xác thực có thể ghi tệp tùy ý lên hệ thống bằng yêu cầu HTTP/HTTPS được chế tạo, từ đó có thể chạy mã hoặc lệnh. Lỗi do Fortinet tự phát hiện. Hãng xác nhận lỗi đã bị khai thác và công bố chỉ dấu xâm nhập (IoC), nhưng không cho biết quy mô hay thủ phạm. CISA đưa lỗi vào KEV cùng ngày.

Khi công bố, chưa có bản vá cho FortiMail tự cài. Advisory được cập nhật mục giải pháp ngày 5/10 và cho biết FortiMail Cloud đã lên 7.6.7 GA hoặc 8.0.2 GA. Biện pháp tạm thời Fortinet đưa ra là tắt tính năng IBE (Identity-Based Encryption), hoặc chặn truy cập webmail và giao diện quản trị từ Internet.

Citrix NetScaler CVE-2026-88779: tràn bộ nhớ khi bật SAML

Ngày 4/10, Citrix xác nhận các cuộc tấn công nhắm vào thiết bị NetScaler chưa vá. Bản sửa ra sáng sớm ngày 5/10. Đây là lỗi tràn bộ đệm bộ nhớ, chỉ ảnh hưởng thiết bị cấu hình xác thực SAML cùng chức năng Gateway hoặc AAA. Citrix xếp tác động là từ chối dịch vụ. Tuy nhiên, BleepingComputer dẫn lời quản trị viên cho biết log có dấu hiệu cố chạy lệnh, và nhà nghiên cứu Kevin Beaumont thấy mã độc trên một honeypot. Việc lỗi có dẫn tới chạy mã từ xa hay không vẫn đang được điều tra. CISA đưa lỗi vào KEV và đặt hạn ngày 7/10 cho các cơ quan liên bang Mỹ.

Lưu ý quan trọng: thiết bị đã nâng cấp để vá nhóm CVE-2026-88771 đến CVE-2026-88778 trước đó vẫn phải nâng cấp lần nữa nếu có cấu hình SAML.

Ivanti Connect Secure CVE-2026-104935: chuỗi ba zero-day

Ngày 13/10, Ivanti phát hành bản vá cho CVE-2026-104935, lỗi vượt xác thực cho phép kẻ tấn công từ xa chạy lệnh tùy ý. Volexity cho biết nhóm UTA0576, trước đây chưa từng được ghi nhận, đã nối lỗi này với hai lỗi khác để chạy mã với quyền root trên thiết bị đã vá đầy đủ, ít nhất từ ngày 3/10. Hãng Defused thấy dấu hiệu khai thác sớm nhất từ ngày 1/10. Sau khi xâm nhập, nhóm này đánh cắp thông tin đăng nhập miền lưu trên thiết bị, rồi tìm mật khẩu LAPS và khóa khôi phục BitLocker trong Active Directory.

Lỗi leo thang đặc quyền thứ ba trong chuỗi vẫn chưa có bản vá. Shadowserver theo dõi hơn 5.600 máy chủ mở ra Internet có dấu hiệu của Ivanti Connect Secure.

Phiên bản bị ảnh hưởng và phiên bản vá

Sản phẩm / CVEBị ảnh hưởngPhiên bản vá
FortiMail 8.0 / CVE-2026-1042868.0.0 – 8.0.18.0.2 trở lên
FortiMail 7.67.6.0 – 7.6.67.6.7 trở lên
FortiMail 7.47.4.0 – 7.4.87.4.9 trở lên
FortiMail 7.27.2.0 – 7.2.9Chuyển lên nhánh 7.4 trở lên
NetScaler ADC/Gateway 14.1 / CVE-2026-88779Trước 14.1-73.4114.1-73.41 trở lên (FIPS: 14.1-73.41 FIPS)
NetScaler ADC/Gateway 13.1Trước 13.1-64.2813.1-64.28 trở lên
NetScaler 13.1 FIPS/NDcPPTrước 13.1-37.28213.1-37.282 trở lên
Ivanti Connect Secure / CVE-2026-10493522.8R2.4 trở về trước; 25.1.1.1 trở về trước; 25.1.2.2 trở về trước (Trung tâm An ninh mạng Canada ghi 25.2.2)22.8R2.5, 25.1.1.2, 25.1.3.0, 25.1.3.1

Lệnh kiểm tra và giảm thiểu

Trên NetScaler, bạn kiểm tra thiết bị có cấu hình SAML hay không và xem phiên bản đang chạy:

show ns version
show ns runningConfig | grep -i "add authentication samlAction"
show ns runningConfig | grep -i "add authentication samlIdPProfile"

Trên FortiMail, xem phiên bản và tạm tắt IBE nếu chưa nâng cấp được (theo advisory của Fortinet):

get system status

config system encryption ibe
    set status disable
end

Câu lệnh tắt IBE trên đây được diễn giải từ advisory, cú pháp có thể khác đôi chút theo phiên bản. Bạn có thể tắt trong giao diện tại Encryption > IBE > IBE Service. Fortinet cũng gợi ý nếu có WAF phía trước thì chặn các yêu cầu POST tới /ibe chứa chuỗi duyệt thư mục.

Việc cần làm ngay

  1. Lập danh sách thiết bị biên của tổ chức, kể cả thiết bị đặt ở chi nhánh hay do bên thứ ba quản lý.
  2. Nâng cấp NetScaler và FortiMail theo bảng trên. Với Ivanti, cài bản vá ngày 13/10 và theo dõi bản sửa cho lỗi leo thang đặc quyền còn lại.
  3. Không để giao diện quản trị mở ra Internet. Chỉ cho phép truy cập qua mạng quản trị riêng hoặc danh sách IP.
  4. Nếu nghi ngờ bị xâm nhập Ivanti, làm theo khuyến cáo: sao lưu cấu hình, khôi phục cài đặt gốc rồi nâng cấp, khôi phục cấu hình, sau đó đặt lại toàn bộ mật khẩu, chứng chỉ và khóa API lưu trên thiết bị.
  5. Đổi mật khẩu tài khoản dịch vụ AD dùng cho VPN và cổng email. Kiểm tra truy vấn bất thường tới LAPS và BitLocker.
  6. Với doanh nghiệp nhỏ thuê VPS và chỉ cần VPN cho vài người, hãy cân nhắc giải pháp đơn giản như WireGuard, đặt sau tường lửa và cập nhật đều đặn.

Khách hàng shared hosting thường không trực tiếp dùng các thiết bị này. Tuy vậy, nếu công ty bạn dùng VPN Ivanti hoặc lọc email bằng FortiMail để truy cập máy chủ web, hãy hỏi bộ phận IT đã vá chưa.

Nguồn tham khảo