CISA cảnh báo lỗ hổng Node2Shell đang bị khai thác thực tế

Cơ quan An ninh mạng và An ninh Hạ tầng Mỹ (CISA) vừa đưa lỗ hổng nghiêm trọng trong thư viện nén dữ liệu Brotli vào danh mục Các lỗ hổng đã bị khai thác (KEV). Lỗ hổng có tên gọi Node2Shell này được đánh giá là mối đe dọa thực tế bởi các chuyên gia honeypot đã ghi nhận những nỗ lực tấn công nhắm vào nó.

Minh họa lỗ hổng bảo mật đang bị khai thác

Lỗ hổng nằm sâu trong thư viện nén phổ biến

Lỗ hổng được theo dõi với mã CVE-2026-111497, còn được biết đến với các tên gọi HTTP2Shell và Broccoli2Shell. Đây là một lỗi ghi ngoài giới hạn bộ nhớ (out-of-bounds write) trong bộ giải mã của Brotli — thư viện nén dữ liệu do Google phát triển và được sử dụng rộng rãi trên web.

Lỗ hổng ảnh hưởng tới các phiên bản Brotli từ 1.0.3 đến 1.2.0. Với dữ liệu nén được thiết kế đặc biệt, kẻ tấn công có thể làm sập ứng dụng, lộ nội dung bộ nhớ và thậm chí có khả năng thực thi mã tùy ý từ xa.

Lỗ hổng được các nhà nghiên cứu của OpenAI phát hiện và báo cáo. Ngày 21/10, Node.js và Google đã phát hành bản vá. Microsoft cùng đội ngũ duy trì hai gói Python, dự án Bun, Envoy và Istio cũng đã tung bản sửa lỗi, trong khi Palo Alto Networks đang triển khai bản vá nóng cho PAN-OS.

CISA đưa vào KEV, hạn chót sắp tới

Ngày 27/10, CISA đã thêm CVE-2026-111497 vào danh mục KEV nhưng không công bố chi tiết về các cuộc tấn công. Các cơ quan dân sự liên bang Mỹ được yêu cầu khắc phục lỗ hổng trước ngày 10/11.

Đáng chú ý, Imperva đã chứng minh được rằng lỗ hổng có thể bị khai thác để thực thi mã trên một image Node.js chính thức.

Ghi nhận khai thác thực tế từ honeypot

Công ty Previdian, vốn theo dõi hoạt động khai thác qua mạng lưới cảm biến của mình, cho biết đã ghi nhận một nỗ lực khai thác nhắm vào CVE-2026-111497 vào ngày 27/10, xuất phát từ một địa chỉ IP tại Mỹ. Công ty đánh giá độ tin cậy ở mức "đã xác nhận", đồng thời nhấn mạnh điều này không có nghĩa là cuộc tấn công đã thành công.

Phòng thí nghiệm an ninh mạng ELLIO cũng phát hiện một yêu cầu độc hại nhắm vào Node.js 24.22.0 trên nền tảng x86-64 vào ngày 26/10. Đáng chú ý, địa chỉ IP thực hiện tấn công từng được thấy nhắm vào các lỗ hổng PHP2Shell và quét dò các thiết bị VPN của Palo Alto Networks và Fortinet.

"Đây là dấu hiệu cho thấy khả năng thực thi mã từ xa (RCE) đang được một nhóm tấn công chuyên khai thác hàng loạt đưa vào vũ khí."

Tuy nhiên, theo phân tích của ELLIO, mã khai thác sử dụng trong cuộc tấn công là một mã lỗi. Phần phân phối khớp với mã proof-of-concept công khai, nhưng giai đoạn cuối do kẻ tấn công tự viết lại không tạo được shell trong cả 50 lần thử nghiệm. ELLIO nhận định đây nhiều khả năng là lần thử nghiệm đầu tay trước khi hoàn thiện mã độc — "một bộ khung hoạt động được nhưng 12 chỉ thị cuối lại bị lỗi".

Dù vậy, công ty này vẫn tự mình thực thi thành công mã nguy hiểm trên bốn môi trường khác nhau chạy bản Node.js chính thức. ELLIO cũng cảnh báo rằng các nỗ lực khai thác thất bại vẫn có thể làm sập tiến trình mục tiêu, nên có thể bị lợi dụng cho các cuộc tấn công từ chối dịch vụ (DoS).

Chuyên gia bảo mật phân tích mã khai thác

VMware và nhiều nền tảng chờ bản vá

Ngày 27/10, Broadcom cảnh báo thành phần SDDC Manager trong VMware Cloud Foundation và vSphere Foundation cũng bị ảnh hưởng bởi CVE-2026-111497 do sử dụng Node.js. Công ty xếp mức độ nghiêm trọng với điểm CVSS 9.8 cho SDDC Manager 9.1.1, và mức 7.5 cho các phiên bản 9.0.x, 9.1.0 và 5.2.x.

"Kẻ tấn công có quyền truy cập mạng vào SDDC Manager có thể lợi dụng lỗ hổng này để thực thi mã tùy ý."

Bản vá cho tất cả các phiên bản vẫn đang chờ phát hành, dù Broadcom đã công bố các biện pháp vòng tránh tạm thời. Khuyến nghị chung cho các tổ chức tại Việt Nam là chủ động rà soát các hệ thống có sử dụng thư viện Brotli và Node.js, cập nhật bản vá ngay khi có để tránh rơi vào tầm ngắm của các chiến dịch khai thác hàng loạt đang gia tăng.