02/10/2026 · VietTechies · Biên tập
Nhà cung cấp giải pháp chia sẻ file an toàn Kiteworks đã phát hành các bản cập nhật phần mềm để khắc phục 126 lỗ hổng bảo mật trên toàn bộ nền tảng của mình. Đợt vá lỗi này bao gồm một lỗ hổng ở mức độ nghiêm trọng tối đa ảnh hưởng đến Kiteworks Email Protection Gateway (EPG) — một thành phần doanh nghiệp được thiết kế để tích hợp chuyển file an toàn, bảo vệ email, API và biểu mẫu web vào hệ thống Kiteworks Private Content Network rộng lớn hơn.
Rủi Ro Khai Thác Nghiêm Trọng
Lỗ hổng có mức độ nghiêm trọng nhất, được định danh là CVE-2026-54154, đã được tiết lộ cho Kiteworks thông qua chương trình nhận thưởng phát hiện lỗi (bug bounty) trên YesWeHack. Theo Kiteworks, sự cố này xuất phát từ một chuỗi lỗi xử lý dữ liệu đầu vào trên các endpoint công khai, kết hợp giữa các kỹ thuật duyệt đường dẫn (path traversal), chèn mã độc (code injection) và thiếu các cơ chế kiểm soát xác thực. Kẻ tấn công từ xa không cần quyền truy cập trước đó có thể khai thác các điểm yếu có độ phức tạp thấp này mà không cần sự tương tác từ người dùng, từ đó thực thi mã tùy ý và nâng quyền kiểm soát lên mức root đối với thiết bị mục tiêu.
Các Bản Vá Bảo Mật Mở Rộng
Bên cạnh lỗ hổng nghiêm trọng nhất kể trên, bản cập nhật bảo mật lần này còn giải quyết 11 vấn đề nghiêm trọng khác nằm trong các thành phần Kiteworks Core và EPG. Các lỗ hổng được khắc phục bao gồm lỗi vượt qua xác thực (authentication bypass), chiếm đoạt tài khoản quản trị, lỗi chèn kịch bản chéo trang lưu trữ (stored XSS), xác thực không đúng cách và kiểm soát truy cập không hiệu quả.
Hệ Thống Bị Ảnh Hưởng Và Biện Pháp Khắc Phục
Lỗi nghiêm trọng nhất ảnh hưởng đến tất cả các phiên bản Email Protection Gateway trước bản phát hành 9.4.1. Kiteworks đã xử lý dứt điểm lỗ hổng này trong phiên bản 9.4.1 và các bản phát hành sau đó. Nhà cung cấp trước đó từng đưa ra cảnh báo phòng ngừa, khuyến cáo khách hàng tạm thời ngắt kết nối máy chủ sau khi nhận được thông tin tình báo đe dọa về một cuộc tấn công zero-day sắp diễn ra; tuy nhiên, các môi trường đám mây của khách hàng đã được đưa hoạt động trở lại vào thứ Hai sau khi hoàn tất vá lỗi. Kiteworks tuyên bố không tìm thấy bằng chứng nào cho thấy hệ thống bị xâm nhập. Tổ chức theo dõi đe dọa Shadowserver hiện ghi nhận gần 400 thể hiện (instance) Kiteworks đang mở ra internet công cộng, dù con số chính xác về số lượng hệ thống đã được vá lỗi vẫn chưa được xác nhận.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Kiteworks patches max severity code injection vulnerability