D-Link cảnh báo nhiều lỗ hổng zero-day chưa có bản vá trên dòng switch DGS-3130

D-Link vừa công bố hướng dẫn giảm thiểu cho nhiều lỗ hổng bảo mật chưa có bản vá trên dòng switch quản lý Gigabit xếp chồng DGS-3130, sản phẩm nhắm tới doanh nghiệp vừa và nhỏ cũng như mạng metro Ethernet, theo BleepingComputer ngày 6/11/2026. Hãng chưa công bố chi tiết kỹ thuật hay mã CVE. Các lỗi do kỹ sư mạng Giresh Kumar Enugu của Spectrum Community Solutions báo cáo.

Lỗ hổng nằm ở đâu

Theo thông báo hỗ trợ SAP10523 của D-Link, các lỗ hổng liên quan tới giao thức D-Link Discovery Protocol (DDP), gồm cơ chế xác thực, kiểm soát truy cập và xử lý thông tin, cùng một số thành phần bảo mật của firmware. Nhiều phiên bản firmware của DGS-3130-30TS bị ảnh hưởng. D-Link vẫn đang điều tra xem các nền tảng switch khác có bị ảnh hưởng hay không, ở các mảng như cấu hình bảo mật SSH, bảo vệ thông tin đăng nhập hệ điều hành, mã hoá firmware và khoá mật mã nhúng.

Nếu bị khai thác, kẻ tấn công có thể đọc dữ liệu nhạy cảm của thiết bị, thay đổi thông tin đăng nhập hoặc cấu hình trái phép, làm lộ chuỗi community SNMP, gây gián đoạn dịch vụ hoặc khởi động lại thiết bị. D-Link cho biết kẻ tấn công cần có quyền truy cập vào mạng chứa thiết bị. Bài báo không nêu điểm CVSS và không cho biết lỗi đã bị khai thác thực tế hay chưa. Hãng hứa sẽ phát hành firmware mới nhưng chưa đưa ra ngày cụ thể.

Khuyến nghị tạm thời của D-Link

• Tắt DDP, được xác định là hướng tấn công chính.
• Xoá các chuỗi community SNMP mặc định hoặc không cần thiết.
• Chỉ cho phép truy cập SSH, giao diện web và SNMP từ mạng quản trị tách biệt và các máy quản trị được chỉ định.
• Lưu bản sao cấu hình switch ở dạng ngoại tuyến.
• Theo dõi log để phát hiện thay đổi cấu hình bất thường, khởi động lại hoặc reset về mặc định không rõ lý do.

Đây không phải lần đầu thiết bị mạng D-Link gặp lỗ hổng chưa vá. Hồi tháng 9, hãng từng cảnh báo lỗi CVE-2026-86296 mức nghiêm trọng tối đa trên router đời cũ DIR-822A, có mã khai thác công khai và không có bản vá. Gần đây, Zyxel cũng phải vá lỗi zero-day từng bị dùng để chiếm gần 1.000 switch, cho thấy switch truy cập đang là mục tiêu ngày càng hấp dẫn.

Góc nhìn NTEK

Switch thường bị xem là thiết bị "cắm là chạy" và ít được cập nhật, trong khi nó nằm ở trung tâm mọi luồng dữ liệu nội bộ. Doanh nghiệp, cơ quan tại Việt Nam đang dùng DGS-3130 nên làm ngay các bước giảm thiểu trên. Về lâu dài, cần tách VLAN quản trị riêng, tắt các giao thức khám phá không cần thiết, dùng SNMPv3 thay cho community string, lập danh mục firmware của toàn bộ thiết bị mạng và đưa switch vào hệ thống giám sát log tập trung.

Nguồn: BleepingComputer