Intel và AMD vá tổng cộng 70 lỗ hổng bảo mật trong Patch Tuesday tháng 5

Trong đợt Patch Tuesday tháng 5 năm 2026, Intel và AMD đã đồng loạt phát hành các bản cập nhật bảo mật quan trọng. Cụ thể, hai hãng này đã tung ra hơn hai chục bản tư vấn, giải quyết tổng cộng 70 lỗ hổng bảo mật nằm rải rác trên danh mục sản phẩm của họ.

Chipmaker Patch Tuesday

Chi tiết các bản vá của Intel

Intel đã công bố 13 bản tư vấn bảo mật, mô tả 24 khiếm khuyết bảo mật, bao gồm một lỗi nghiêm trọng và tám lỗi mức độ cao.

Lỗi nghiêm trọng nhất, được theo dõi dưới mã định danh CVE-2026-20794 (điểm CVSS 9.3), là vấn đề tràn bộ đệm (buffer overflow) trong Trình điều khiển Đồ họa Trung tâm dữ liệu (Data Center Graphics Driver) dành cho phần mềm VMware ESXi. Kẻ tấn công có thể khai thác lỗi này để leo thang đặc quyền và tiềm năng thực thi mã độc.

Bản cập nhật của Intel cũng khắc phục hai lỗi mức độ cao liên quan đến việc ghi và đọc vượt giới hạn (out-of-bounds write and read), có thể dẫn đến tình trạng từ chối dịch vụ (DoS), cũng như làm hỏng hoặc lộ dữ liệu.

Ngoài ra, "người khổng lồ" chip cũng đã xử lý các lỗ hổng mức độ cao trong phần mềm Vision, Trợ lý Quản lý Điểm cuối (EMA), phần mềm UEFI cho Slim Bootloader và trình điều khiển công nghệ QuickAssist (QAT) cho Windows. Việc khai thác thành công các lỗi này có thể gây ra DoS, leo thang đặc quyền và thực thi mã tùy ý.

Các lỗi còn lại là mức độ trung bình, ảnh hưởng đến AI Playground, trình điều khiển ảo hóa hiển thị cho Windows, trình điều khiển Ethernet dòng 800 cho Linux, trình điều khiển NPU và một số bộ xử lý Intel khác.

Các lỗ hổng được AMD khắc phục

AMD đã công bố 15 bản tư vấn bao gồm 45 lỗ hổng, bao gồm một lỗi nghiêm trọng và hai lỗi mức độ cao.

Lỗi nghiêm trọng, được theo dõi là CVE-2026-0481 (điểm CVSS 9.2), ảnh hưởng đến Bộ xuất chỉ số Thiết bị AMD (AMD Device Metrics Exporter) thuộc hệ sinh thái ROCm. Theo mặc định, thành phần này mở cổng 50061 trên tất cả các giao diện mạng, cho phép người dùng chưa được xác thực truy cập vào máy chủ gRPC của GPU-Agent.

AMD giải thích: "Việc liên kết địa chỉ IP không bị hạn chế trong Bộ xuất chỉ số Thiết bị AMD có thể cho phép kẻ tấn công từ xa thực hiện các thay đổi trái phép đối với cấu hình GPU, có khả năng dẫn đến mất tính sẵn sàng."

Công ty cũng đã giải quyết các điểm yếu mức độ cao trong Bộ xử lý Bảo mật (ASP), bộ điều khiển GPIO, trình cài đặt Revenera InstallShield, trình điều khiển đám mây Ionic cho ESXi, trình điều khiển RAID, trình điều khiển chipset, bộ nhớ đệm hoạt động CPU trên các sản phẩm dựa trên Zen 2, và các nền tảng bộ xử lý EPYC.

Việc khai thác thành công các vấn đề này có thể dẫn đến leo thang đặc quyền, thực thi mã tùy ý và quyền truy cập đọc/ghi tùy ý vào dữ liệu quy trình/máy ảo của nạn nhân.

Người dùng và quản trị viên hệ thống được khuyến nghị cập nhật firmware và trình điều khiển mới nhất ngay lập tức để bảo vệ hệ thống trước các rủi ro an ninh mạng này.