Veeam Management Pack 13.1 vá ba lỗ hổng chạy mã từ xa

Nếu doanh nghiệp dùng Microsoft System Center để theo dõi hạ tầng ảo hóa qua Veeam Management Pack, đây là bản cập nhật cần ưu tiên. Ngày 29/10/2026, Veeam phát hành KB4961 về ba lỗ hổng có thể dẫn tới chạy mã từ xa. Một lỗi không cần đăng nhập và được Veeam chấm mức Nghiêm trọng với CVSS 9,3.

Ba lỗ hổng khác nhau ở điều kiện tấn công

RCE là khả năng chạy mã từ xa trên hệ thống đích. LocalSystem là quyền rất cao trong Windows. Vì vậy hai lỗi cần tài khoản vẫn đáng xử lý: khi một tài khoản miền bị lộ hoặc phân nhóm sai, kẻ tấn công có thể dùng quyền sẵn có để tiến sâu hơn.

Vì sao một mã CVE mang năm 2023 lại xuất hiện trong bản tin mới?

CVE-2023-22793 có năm cấp mã là 2023, nhưng sự kiện mới ở đây là Veeam công bố phạm vi và bản sửa ngày 29/10/2026. GitHub Advisory Database cũng ghi nhận tư vấn cho mã này ngày 30/10/2026. Không nên gọi đây là “lỗ hổng phát sinh năm 2026”; chính xác hơn là lỗi cũ theo mã CVE vừa được công bố và xử lý trong đợt hiện tại.

Phiên bản bị ảnh hưởng và cách khắc phục

Veeam cho biết Management Pack for Microsoft System Center phiên bản 9.1 và mọi bản 9.x trước đó đều bị ảnh hưởng, kể cả gói tương thích với Veeam Backup & Replication 13. Hãng không phát hành bản sửa cho nhánh 9.x; biện pháp là nâng lên Veeam Management Pack 13.1, build 13.1.0.334.

KB cho biết các lỗi được phát hiện trong quá trình kiểm thử nội bộ. Tại thời điểm công bố, Veeam không xác nhận có khai thác thực tế. Điều này khác với kết luận “không thể bị khai thác”: hệ thống lộ dịch vụ hoặc có tài khoản miền bị chiếm vẫn cần được đánh giá và nâng cấp.

Checklist cho quản trị viên Windows và ảo hóa

1. Lập danh sách máy cài Management Pack, Virtualization Extensions service và Collector; ghi phiên bản, build và chủ sở hữu.
2. Xác định máy chủ nào có thể được truy cập từ Internet hoặc các vùng mạng ít tin cậy; hạn chế cổng quản trị ở firewall.
3. Rà thành viên nhóm Veeam Virtualization Extensions Users và quyền của tài khoản miền dùng cho dịch vụ; loại tài khoản không còn cần thiết.
4. Sao lưu cấu hình, cơ sở dữ liệu và tài liệu tích hợp trước khi nâng cấp; kiểm tra yêu cầu tương thích của System Center.
5. Nâng lên 13.1 build 13.1.0.334 theo tài liệu Veeam, rồi xác nhận dịch vụ, Collector và cảnh báo hoạt động.
6. Đổi khóa truy cập của tài khoản dịch vụ nếu thấy đăng nhập bất thường; xem nhật ký tiến trình con và kết nối mạng quanh máy quản lý.

Tác động với hệ thống máy chủ tại Việt Nam

Lỗ hổng nằm ở lớp quản lý, không đồng nghĩa máy ảo hoặc hạ tầng của một nhà cung cấp cụ thể đang bị lỗi. Tuy nhiên, máy quản lý thường có tầm nhìn rộng và thông tin xác thực giá trị. Doanh nghiệp tự vận hành nên ưu tiên phân đoạn mạng, chỉ cho phép quản trị từ VPN hoặc dải IP tin cậy, đồng thời coi nâng cấp là thay đổi có kế hoạch chứ không chỉ cài bản vá.

Câu hỏi thường gặp

Nguồn tham khảo

• Veeam KB4961, đăng và công bố ngày 29/10/2026; nêu phiên bản, điểm CVSS, điều kiện và bản khắc phục.
• GitHub Advisory Database, tư vấn CVE-2023-22793 cập nhật ngày 30/10/2026.

Quản trị viên có thể dùng checklist trên để tự kiểm tra. Nếu cần rà lại phân đoạn mạng cho máy quản lý, hãy gửi sơ đồ luồng kết nối, phiên bản Windows/System Center và các cổng đang mở qua trang Cloud VPS; mục tiêu là thu hẹp bề mặt truy cập, không phải nâng cấp tài nguyên khi chưa cần.