Hàng loạt lỗ hổng zero-day tồn tại nhiều năm: Cảnh báo mới cho doanh nghiệp

Evelyn Carter
15 thg 7
5 phút đọc

Nhiều lỗ hổng bảo mật nghiêm trọng vừa được công bố cho thấy mã nguồn tồn tại lâu năm vẫn có thể ẩn chứa những điểm yếu đủ sức giúp kẻ tấn công thoát khỏi máy ảo, chiếm quyền root hoặc thực thi mã từ xa. Các phát hiện mới ảnh hưởng đến nhiều nền tảng, từ Linux KVM, Android và UniFi đến PAN-OS, PHP, OpenSSH cùng các công cụ lập trình tích hợp AI.

Một số lỗ hổng được cho là đã tồn tại âm thầm từ 15 đến 16 năm trước khi bị phát hiện. Điều này đặt ra câu hỏi lớn đối với các doanh nghiệp đang phụ thuộc vào hạ tầng mã nguồn mở, hệ thống ảo hóa và những thành phần phần mềm đã được sử dụng ổn định trong thời gian dài.

Lỗ hổng 16 năm trong Linux KVM có thể dẫn đến thoát máy ảo

Một trong những phát hiện đáng chú ý nhất là Januscape, được theo dõi với mã CVE-2026-53359. Lỗ hổng nằm trong cơ chế Shadow MMU của KVM và được cho là đã tồn tại gần 16 năm.

Theo thông tin được công bố, một máy ảo độc hại có thể khai thác Januscape để làm hỏng vùng nhớ kernel của máy chủ vật lý. Trong kịch bản nghiêm trọng, kẻ tấn công có thể thoát khỏi môi trường máy ảo và giành quyền root trên máy chủ.

Lỗ hổng đã được khai thác như một zero-day trong cuộc thi bảo mật kvmCTF của Google trước khi được công bố rộng rãi. Cả hệ thống sử dụng bộ xử lý Intel và AMD đều có thể bị ảnh hưởng.

Đối với các doanh nghiệp cung cấp dịch vụ đám mây hoặc vận hành nhiều máy ảo của các đơn vị khác nhau trên cùng một máy chủ, đây là rủi ro đặc biệt đáng chú ý. Một lỗ hổng thoát máy ảo có thể phá vỡ ranh giới cô lập vốn là nền tảng bảo mật của toàn bộ môi trường ảo hóa.

*Hàng loạt lỗ hổng zero-day tồn tại nhiều năm: Cảnh báo mới cho doanh nghiệp*

GhostLock hé lộ lỗi leo thang đặc quyền tồn tại từ năm 2011

Một lỗ hổng nghiêm trọng khác mang tên GhostLock, mã định danh CVE-2026-43499, được phát hiện trong hệ thống mutex thời gian thực của nhân Linux.

Lỗi được cho là xuất hiện từ năm 2011 nhưng không bị phát hiện trong hơn một thập kỷ. GhostLock liên quan đến lỗi con trỏ treo, cho phép kẻ tấn công kiểm soát luồng thực thi của kernel và leo thang lên quyền root.

Lỗ hổng nghiêm trọng trên plugin WordPress phổ biến đe dọa hàng triệu website

Nhiều nền tảng khác cũng xuất hiện lỗ hổng nghiêm trọng

Bên cạnh Linux KVM, các cảnh báo mới còn đề cập đến nhiều sản phẩm và nền tảng phổ biến.

Trong hệ sinh thái Ubiquiti UniFi, nhà cung cấp đã công bố 25 lỗ hổng. Đáng chú ý nhất là CVE-2026-50746, một lỗi chèn lệnh được chấm điểm CVSS 10.0 và có thể bị khai thác mà không cần xác thực. Một số lỗi khác liên quan đến SQL injection, SSRF và kiểm soát truy cập cũng được đánh giá ở mức 9.9.

Đối với Palo Alto Networks PAN-OS, lỗ hổng CVE-2026-0288 có thể cho phép kẻ tấn công không cần xác thực thực thi mã từ xa hoặc làm gián đoạn dịch vụ trên những hệ thống sử dụng cấu hình Terminal Server Agent bị ảnh hưởng.

Hai lỗ hổng trong PHP, gồm CVE-2026-12184 và CVE-2026-14355, có khả năng gây từ chối dịch vụ hoặc làm hỏng bộ nhớ. Trong một số trường hợp, lỗi có thể khiến tiến trình PHP-FPM ngừng hoạt động, trực tiếp ảnh hưởng đến tính sẵn sàng của ứng dụng web.

Công cụ AI mở ra một bề mặt tấn công mới

Các công cụ lập trình và trợ lý AI cũng xuất hiện trong danh sách cảnh báo.

Lỗ hổng mang tên GhostApproval được cho là ảnh hưởng đến nhiều công cụ như Amazon Q, Claude Code, Cursor, Augment, Google Antigravity và Windsurf. Bằng cách lợi dụng cách công cụ xử lý liên kết tượng trưng, một kho mã độc hại có thể vượt qua bước phê duyệt và ghi khóa SSH của kẻ tấn công vào tệp authorized_keys của nhà phát triển.

Doanh nghiệp cần làm gì trước làn sóng lỗ hổng mới?

Các tổ chức nên ưu tiên kiểm tra xem môi trường hiện tại có sử dụng những sản phẩm, phiên bản hoặc cấu hình bị ảnh hưởng hay không. Quá trình xử lý cần dựa trên mức độ phơi nhiễm thực tế thay vì chỉ nhìn vào điểm CVSS.

Những hệ thống kết nối trực tiếp với Internet, máy chủ ảo hóa, thiết bị quản trị mạng và nền tảng lưu trữ thông tin xác thực cần được xếp vào nhóm ưu tiên cao.

Doanh nghiệp nên thực hiện ngay các hành động sau:

Cập nhật bản vá hoặc biện pháp giảm thiểu từ nhà cung cấp.
Kiểm kê các phiên bản Linux kernel, KVM, UniFi, PAN-OS, PHP và OpenSSH đang vận hành.
Hạn chế quyền truy cập vào máy chủ ảo hóa và giao diện quản trị.
Giám sát hành vi leo thang đặc quyền, thay đổi tệp authorized_keys và hoạt động bất thường của tài khoản quản trị.
Tắt hoặc giới hạn khả năng tự động thực thi lệnh của trợ lý AI khi xử lý kho mã và tài liệu không đáng tin cậy.
Rà soát nhật ký để tìm dấu hiệu khai thác đã xảy ra trước thời điểm cài đặt bản vá.

Góc nhìn chuyên gia IPSIP Việt Nam cho thấy điều gì?

Doanh nghiệp có thể tự triển khai những gì?

Doanh nghiệp nên chuẩn hóa Asset Inventory, Patch Management và Least Privilege cho toàn bộ hạ tầng Linux. Hypervisor và container host cần được phân vùng khỏi mạng người dùng, hạn chế quyền quản trị, kiểm soát workload không tin cậy và thu thập đầy đủ nhật ký kernel, auditd, container runtime cùng hệ thống quản lý máy ảo.

Januscape và GhostLock cho thấy những điểm yếu nghiêm trọng có thể tồn tại rất lâu ngay trong các thành phần phần mềm được sử dụng rộng rãi. Doanh nghiệp Việt Nam không nên chờ đến khi có bằng chứng khai thác diện rộng mới bắt đầu hành động.

Giải pháp nào của IPSIP Việt Nam phù hợp?

Đối với doanh nghiệp cần xác minh liệu cấu hình KVM, quyền truy cập cục bộ hoặc kiến trúc phân vùng có thể bị lợi dụng hay không, dịch vụ kiểm thử xâm nhập Pentest có thể mô phỏng các kịch bản tấn công trong phạm vi được ủy quyền và đánh giá tác động thực tế thay vì chỉ dựa trên kết quả quét tự động. vá, doanh nghiệp vẫn cần theo dõi các dấu hiệu khai thác, truy cập đặc quyền và hành vi bất thường trên máy chủ.

Trung tâm Giám sát An ninh mạng SOC 24/7 có thể tập trung dữ liệu từ server, endpoint, firewall, cloud và nền tảng XDR/SIEM để hỗ trợ phát hiện, điều tra và phản ứng liên tục.

Hệ thống quản trị và giám sát của IPSIP Việt Nam đã xuất sắc vượt qua các kiểm định khắt khe nhất để đạt chứng nhận tiêu chuẩn an toàn thông tin quốc tế ISO 27001:2022 và SOC 2 Type II. Bằng việc cung cấp các dịch vụ cốt lõi hoạt động 24/7 như Trung tâm Giám sát An ninh mạng (SOC 24/7), Trung tâm Điều hành Mạng lưới (NOC 24/7) và đội ngũ IT Support/Helpdesk trực chiến, IPSIP cam kết trực tiếp phản ứng, đánh chặn mọi nỗ lực xâm nhập bất kể ngày đêm.