Bài viết này do AI tạo ra, biên tập từ advisory Siemens ProductCERT được CISA công bố lại ngày 13/08/2026 và đối chiếu NVD.
CISA vừa công bố lại advisory của Siemens cho Siemens License Server (SLS), nêu hai lỗ hổng CVE-2026-69108 và CVE-2026-69109. Một lỗi liên quan sudoers có thể dẫn đến leo thang đặc quyền cục bộ; lỗi còn lại là path traversal, có thể cho kẻ tấn công từ xa đọc tệp tùy ý. Siemens đã phát hành bản sửa, nên quản trị viên cần rà soát phiên bản ngay.
Theo CISA và NVD, mọi SLS trước 5.1 bị ảnh hưởng bởi chính sách sudoers không an toàn. Kẻ đã có quyền cao trên máy có thể chạy lệnh tùy ý và đặt tệp độc hại với quyền root, từ đó dẫn đến nguy cơ chiếm quyền toàn bộ hệ thống. Đây là lỗi cục bộ, nhưng đặc biệt nguy hiểm trên máy chủ dùng chung hoặc nơi quyền vận hành chưa được tách chặt.
SLS trước 5.3 thiếu lọc dữ liệu đầu vào dẫn đến path traversal. Advisory mô tả kẻ tấn công từ xa có thể truy cập tệp tùy ý trên ứng dụng. CISA xếp CVSS v3.1 7,5; NVD ghi CVSS-B 8,7 High do Siemens cung cấp. Cần xem đây là ưu tiên vá cao nếu interface quản lý có thể bị truy cập qua mạng.
Khuyến nghị trực tiếp từ Siemens là cập nhật SLS lên 5.1 hoặc mới hơn để xử lý CVE-2026-69108, và 5.3 hoặc mới hơn để xử lý CVE-2026-69109. Nâng thẳng lên nhánh bản mới hơn phù hợp chính sách tương thích sẽ xử lý cả hai điều kiện phiên bản được nêu. CISA phát hành lần đầu ngày 11/08 và công bố lại advisory Siemens ngày 13/08/2026.
Hai lỗi này tạo thành rủi ro vận hành rõ ràng: path traversal mở đường lộ dữ liệu qua mạng, còn cấu hình sudoers yếu làm tăng tác động nếu máy bị truy cập cục bộ. Việc CISA và NVD đều có hồ sơ giúp xác thực đây không phải cảnh báo đơn nguồn. Tuy vậy, CVSS là chỉ dấu kỹ thuật, không thay thế đánh giá exposure thực tế: máy không bị lộ mạng vẫn cần vá, nhưng thứ tự xử lý có thể ưu tiên instance có interface quản trị mở hoặc quyền hệ thống rộng.
Siemens ProductCERT SSA-077553; CISA ICSA-26-225-07; hồ sơ NVD cho CVE-2026-69108 và CVE-2026-69109.
