Cảnh báo khẩn: Lỗ hổng RCE vượt sandbox đang bị khai thác trên toàn bộ trình duyệt Chromium

Một lỗ hổng bảo mật cực kỳ nghiêm trọng, được xác định là CVE-2026-85046, đang bị khai thác tích cực trên thực tế và ảnh hưởng đến mọi phiên bản Chromium. Lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa (Remote Code Execution - RCE) ngay cả khi đã vượt qua được cơ chế sandbox bảo vệ của trình duyệt. Đây được coi là một trong những mối đe dọa nghiêm trọng nhất đối với người dùng internet hiện nay.

Theo thông tin từ NVD (National Vulnerability Database), lỗ hổng CVE-2026-85046 không chỉ giới hạn ở một sản phẩm cụ thể mà ảnh hưởng đến toàn bộ hệ sinh thái trình duyệt dựa trên mã nguồn Chromium, bao gồm Google Chrome, Microsoft Edge, Brave, Opera và hàng loạt trình duyệt khác.

Mức độ nghiêm trọng và cách thức tấn công

Điểm đáng lo ngại nhất của lỗ hổng này nằm ở khả năng kẻ tấn công có thể vô hiệu hóa hoàn toàn sandbox - lớp bảo vệ cuối cùng thường ngăn chặn mã độc xâm nhập vào hệ điều hành. Khi sandbox bị vượt qua, một trang web độc hại hoặc một quảng cáo bị nhiễm mã có thể chiếm quyền điều khiển toàn bộ thiết bị của nạn nhân mà không cần bất kỳ thao tác tương tác nào từ người dùng.

Việc lỗ hổng này đang bị khai thác tích cực đồng nghĩa với việc các nhóm tấn công đã có công cụ tấn công hoàn chỉnh, không chỉ là một lỗ hổng lý thuyết.

Ai đang bị ảnh hưởng?

• Người dùng Google Chrome trên mọi nền tảng: Windows, macOS, Linux, Android
• Người dùng Microsoft Edge (vốn cũng dựa trên Chromium)
• Người dùng các trình duyệt nhân Chromium khác: Brave, Opera, Vivaldi, Arc...
• Các ứng dụng nhúng Chromium như Electron apps, ứng dụng desktop lai

Với tốc độ phát tán của mã khai thác, ngay cả người dùng phổ thông tại Việt Nam cũng có nguy cơ cao bị tấn công nếu chưa cập nhật trình duyệt lên phiên bản mới nhất.

Khuyến cáo khẩn cấp cho người dùng Việt Nam

1. Cập nhật ngay lập tức trình duyệt của bạn lên phiên bản mới nhất. Trên Chrome, vào Cài đặt → Trợ giúp → Giới thiệu về Chrome để kiểm tra và cập nhật.
2. Không click vào các đường dẫn lạ hoặc tải file từ các nguồn không tin cậy trong thời điểm này.
3. Nếu bạn là quản trị viên hệ thống, hãy triển khai bản vá khẩn cấp trên toàn bộ máy trạm trong tổ chức.
4. Tránh sử dụng các trình duyệt nhân Chromium đã ngừng hỗ trợ hoặc không còn nhận bản cập nhật bảo mật.
5. Kích hoạt tính năng cập nhật tự động để không bỏ lỡ các bản vá quan trọng trong tương lai.

Kết luận

CVE-2026-85046 là một hồi chuông cảnh tỉnh mạnh mẽ về an ninh trình duyệt trong bối cảnh phần lớn thế giới đang phụ thuộc vào Chromium. Việc trì hoãn cập nhật có thể khiến bạn trở thành nạn nhân của các cuộc tấn công chiếm quyền điều khiển thiết bị, đánh cắp dữ liệu cá nhân hoặc thậm chí biến máy tính thành một phần của mạng botnet tấn công mạng.

Hãy coi việc cập nhật trình duyệt hôm nay như một thói quen bảo mật không thể bỏ qua - tương tự như việc cập nhật phần mềm diệt virus vậy.