Lỗ hổng thực thi mã trong firmware UEFI đe dọa hầu hết máy chủ trên toàn cầu

Các chuyên gia bảo mật trên toàn thế giới đang phải đối mặt với thêm một lỗ hổng thực thi mã nghiêm trọng, lần này nằm trong firmware khởi động mà phần lớn các nhà sản xuất máy chủ và trung tâm dữ liệu trên hành tinh đang sử dụng.

Lỗ hổng có mức độ nghiêm trọng 9,5/10 tồn tại trong TianoCore EDK II, một bộ mã nguồn mở mà các nhà sản xuất phần cứng và nhà cung cấp dịch vụ đám mây dùng để xây dựng firmware UEFI chạy trong quá trình khởi động máy.

Quy mô ảnh hưởng chưa từng có

Năm ngoái, một đại diện của UEFI Forum từng gọi EDK2 là "giải pháp triển khai ưu việt nhất" của các tiêu chuẩn UEFI. Trên thực tế, gần như tất cả các nhà cung cấp UEFI — đôi khi còn được gọi là IBV (independent BIOS vendor) — bao gồm AMI, Insysde và Phoenix đều sử dụng bộ mã tham chiếu này một cách rộng rãi.

Đáng chú ý, Project Mu — bản fork EDK2 đã được Microsoft tăng cường bảo mật — cũng sử dụng đoạn mã chứa thành phần bị lỗi. Điều này cho thấy phạm vi ảnh hưởng không chỉ giới hạn ở các thiết bị thông thường mà còn lan tới cả hệ sinh thái đám mây của Microsoft.

Chi tiết kỹ thuật của CVE-2026-97631

Lỗ hổng được theo dõi với mã CVE-2026-97631, là một lỗi thoái hóa bộ nhớ (memory corruption) trong một thành phần xử lý ICMP. Kẻ tấn công có thể khai thác nó để thực thi mã độc chạy trước khi hệ điều hành và firmware có thể triển khai các lớp phòng thủ như Secure Boot.

Điều này đặc biệt nguy hiểm bởi Secure Boot thiết lập chuỗi tin cậy cho toàn bộ mã được nạp trong quá trình khởi động, bao gồm cả Trusted Platform Module (TPM). Khi lỗ hổng bị khai thác, toàn bộ chuỗi tin cậy này bị phá vỡ ngay từ điểm khởi đầu.

Mặc dù các payload cuối cùng do CVE-2026-97631 phân phối không có khả năng duy trì (persistence) — nghĩa là chúng chỉ chạy một lần — chúng vẫn mở ra cơ hội rộng lớn để kẻ tấn công cài đặt các payload khác cũng chạy mỗi lần ở giai đoạn đầu của quá trình khởi động.

Rủi ro đối với hạ tầng tại Việt Nam

Với các doanh nghiệp và trung tâm dữ liệu tại Việt Nam, lỗ hổng này đặt ra mối lo ngại thực sự. Phần lớn máy chủ được triển khai trong các hệ thống ngân hàng, viễn thông và dịch vụ đám mây nội địa đều dựa trên firmware UEFI từ các nhà cung cấp bị ảnh hưởng.

• Ưu tiên cập nhật firmware từ nhà sản xuất máy chủ ngay khi bản vá được phát hành
• Rà soát nhà cung cấp phần cứng để xác định thiết bị nào dùng EDK2 trong chuỗi cung ứng
• Tăng cường giám sát các bất thường trong quá trình khởi động, đặc biệt ở hạ tầng quan trọng
• Cân nhắc phân đoạn mạng cho các hệ thống quản lý firmware (BMC, IPMI) để giảm bề mặt tấn công

Bài học từ chuỗi cung ứng firmware

Sự cố này một lần nữa cho thấy rủi ro của chuỗi cung ứng phần mềm nhúng. Khi một bộ mã nguồn mở duy nhất như EDK2 trở thành nền tảng chung cho gần như toàn bộ ngành, một lỗ hổng duy nhất có thể ảnh hưởng tới hàng triệu thiết bị cùng lúc.

Các tổ chức cần xem firmware không còn là "hộp đen" mà phải nằm trong chiến lược quản lý lỗ hổng tổng thể, ngang hàng với hệ điều hành và các ứng dụng chạy trên đó.