Adobe vá 140 lỗ hổng bảo mật trên 10 sản phẩm

Adobe vừa công bố 10 bản tin bảo mật mới, thông báo cho người dùng về khoảng 140 lỗ hổng đã được phát hiện và vá trên nhiều sản phẩm khác nhau của hãng. Đợt cập nhật lần này trải rộng từ các công cụ sáng tạo quen thuộc như Photoshop, Bridge cho tới các nền tảng doanh nghiệp như Commerce và ColdFusion.

Đáng lưu ý, phần lớn các bản tin đều được Adobe xếp mức ưu tiên 3, nghĩa là hãng cho rằng các lỗ hổng này khó có khả năng bị khai thác trong thực tế. Tuy nhiên, với số lượng lớn như vậy, người dùng vẫn nên cập nhật sớm để đảm bảo an toàn.

Adobe phát hành bản cập nhật bảo mật cho nhiều sản phẩm

ColdFusion và Content Credentials SDK dẫn đầu về số lỗ hổng

Adobe ColdFusion là sản phẩm có số lượng lỗ hổng được vá nhiều nhất trong đợt này, với 32 lỗ hổng. Trong đó có những lỗ hổng nghiêm trọng có thể bị khai thác để thực thi mã từ xa và leo thang đặc quyền — hai dạng tấn công nguy hiểm nhất đối với các hệ thống máy chủ.

Không kém cạnh, Content Credentials SDK nhận được bản vá cho 30 lỗ hổng. Nhiều lỗ hổng trong số này được đánh giá ở mức độ nghiêm trọng cao và có thể dẫn tới việc vượt qua các tính năng bảo mật. Một số lỗ hổng khác còn có thể bị lợi dụng để gây ra tình trạng từ chối dịch vụ (DoS).

Photoshop, Substance 3D và Commerce cũng bị ảnh hưởng

Với Photoshop, Adobe đã vá 18 lỗ hổng, gần như toàn bộ đều cho phép kẻ tấn công thực thi mã tùy ý. Đây là mối lo ngại lớn đối với cộng đồng nhà thiết kế và nhiếp ảnh gia — những người thường xuyên phải mở các tệp tin có nguồn gốc không rõ ràng.

Substance 3D Stager ghi nhận 16 lỗ hổng được khắc phục, trong đó có nhiều lỗi thực thi mã tùy ý mức độ nghiêm trọng cao.

Nền tảng thương mại điện tử Adobe Commerce có 11 lỗ hổng được vá. Đáng chú ý, một số lỗi nghiêm trọng có thể bị khai thác mà không cần xác thực để thực thi mã hoặc leo thang đặc quyền. Đây cũng là sản phẩm duy nhất trong đợt này được xếp mức ưu tiên 2, bởi giới tấn công từ trước tới nay vốn nhắm vào Commerce khá thường xuyên.

Các sản phẩm còn lại — FrameMaker, Dimension, Substance 3D Sampler, Substance 3D Designer và Bridge — mỗi sản phẩm đều có một số lỗ hổng cho phép thực thi mã tùy ý đã được khắc phục.

Vai trò của AI trong việc săn lỗ hổng

Adobe cho biết hãng chưa ghi nhận trường hợp khai thác nào trong thực tế đối với các lỗ hổng lần này. Điều đáng chú ý là số lượng bản vá tăng mạnh có một phần nguyên nhân từ việc Adobe đang sử dụng các mô hình AI tiên tiến để rà soát chính mã nguồn của mình, giúp phát hiện lỗi nhanh và nhiều hơn trước.

Mặc dù AI giúp Adobe tìm ra nhiều lỗ hổng hơn trong phần mềm, các kỹ sư vẫn là những người xem xét, xác minh và phê duyệt mọi thay đổi mã do AI hỗ trợ trước khi triển khai.

Tuy vậy, hãng vẫn ghi nhận công lao của các nhà nghiên cứu bảo mật bên ngoài đối với nhiều lỗ hổng mới được vá trong đợt này.

Việc số lượng lỗ hổng phát hiện ngày càng lớn cũng khiến Adobe thay đổi quy trình công bố bản tin bảo mật. Thay vì phát hành hàng tháng như trước, hãng chuyển sang lịch hai lần mỗi tháng, vào thứ Ba của tuần thứ hai và tuần thứ tư.

Người dùng Việt Nam cần lưu ý gì?

Với các cá nhân và doanh nghiệp tại Việt Nam đang sử dụng các sản phẩm Adobe, việc cập nhật lên phiên bản mới nhất là bước bảo vệ quan trọng nhất. Đặc biệt với các đơn vị vận hành Adobe Commerce trong lĩnh vực thương mại điện tử, mức ưu tiên 2 đồng nghĩa với việc không nên trì hoãn bản vá.

Các chuyên gia khuyến nghị người dùng bật tính năng tự động cập nhật cho các ứng dụng Creative Cloud, đồng thời thường xuyên theo dõi bản tin bảo mật chính thức của Adobe để nắm được các lỗ hổng mới. Với máy chủ ColdFusion chạy trong môi trường doanh nghiệp, cần đặc biệt chú trọng vì đây là mục tiêu hấp dẫn đối với tin tặc nhờ khả năng thực thi mã từ xa.

Chuyên gia bảo mật theo dõi các lỗ hổng mới được công bố

Sự thay đổi sang lịch cập nhật hai lần mỗi tháng cho thấy các nhà phát triển phần mềm đang phải đối mặt với áp lực ngày càng lớn trong việc xử lý lỗ hổng — một phần đến từ chính sức mạnh của AI trong việc phát hiện lỗi. Điều này cũng đặt ra yêu cầu mới cho người dùng: cần chủ động hơn trong việc cập nhật và vá phần mềm thay vì chờ đợi các bản vá định kỳ.