Khi mọi hệ thống cùng bị tấn công: Điểm nóng bảo mật tuần qua

Trong thế giới công nghệ, một tuần có thể tương đương với nhiều tháng. Tuần qua chứng kiến một loạt sự cố bảo mật nghiêm trọng diễn ra đồng thời, trải dài từ các công cụ DevOps phổ biến đến nhân hệ điều hành lõi và cả các thư viện AI đang được ưa chuộng. Trang pwn.watch — một bảng theo dõi sự cố bảo mật trực tiếp — đã tổng hợp tới 190 sự cố trong vòng một năm qua, cho thấy mức độ dày đặc đáng báo động của các cuộc tấn công mạng.

Dưới đây là những sự kiện đáng chú ý nhất mà các đội ngũ kỹ thuật, quản trị hệ thống và lập trình viên tại Việt Nam cần nắm bắt ngay.

GitLab CVSS 10: Lỗ hổng tối nghiêm trọng cho phép RCE không cần xác thực

Sự cố gây chấn động nhất là CVE-2026-110264 trên GitLab CE/EE tự vận hành. Đây là lỗi tràn số nguyên trong trình biên dịch regex Onigmo đi kèm, cho phép kẻ tấn công chưa xác thực thực thi mã từ xa trên máy chủ GitLab.

• Điểm CVSS: 10.0 — mức cao nhất có thể
• Mọi phiên bản CE/EE từ 7.0 (ra mắt năm 2014) đều nằm trong vùng ảnh hưởng
• Các tổ chức mới chỉ áp dụng bản vá regex ngày 12/10 vẫn tiếp tục dễ bị tổn thương và phải nâng cấp lần nữa

Đối với các doanh nghiệp Việt Nam đang tự vận hành GitLab để quản lý mã nguồn nội bộ, đây là ưu tiên hàng đầu. Bản vá đã được GitLab phát hành ngày 21/10.

Nhân Linux: Chi tiết lỗ hổng chưa vá bị rò rỉ công khai

Ngày 21/10, Zero Day Initiative của Trend Micro đã gửi báo cáo về nhiều lỗ hổng nhân Linux chưa được vá tới [email protected], nhưng lại Cc nhầm cả danh sách công khai linux-kernel và các danh sách hệ thống con, khiến toàn bộ chi tiết kỹ thuật trở nên công khai trước khi bản vá ra đời.

Nghiêm trọng nhất là hai lỗi RCE (thực thi mã từ xa) trong ksmbd — máy chủ SMB tích hợp trong nhân Linux — được ZDI chấm CVSS 9.0:

• Lỗi tràn số nguyên trong SMB Direct (cần thiết bị RDMA và thư mục chia sẻ có quyền ghi)
• Lỗi race condition trong điều phối giao thức (cần một thư mục chia sẻ cho khách)

Ngoài ra còn có lỗi leo thang đặc quyền cục bộ skb_zerocopy (CVSS 7.8), lỗi ghi ngoài biên vmwgfx và rò rỉ thông tin nvmet. Hiện chưa có CVE và chưa có bản vá chính thức trên dòng mainline hay stable. Chỉ các máy chạy ksmbd mới bị ảnh hưởng bởi lỗi RCE.

Đây là lời nhắc nhở rằng quy trình báo cáo lỗ hổng kín đáo là yếu tố sống còn. Một sơ suất nhỏ trong email có thể biến lỗ hổng chưa vá thành vũ khí công khai.

LiteLLM bị xâm phạm chuỗi cung ứng lần thứ hai trong năm

Kẻ tấn công đã chiếm quyền quy trình phát hành của LiteLLM và đẩy lên PyPI gói độc hại litellm==1.107.0 (tồn tại khoảng 2 giờ), đồng thời chiếm các tag Docker Hub/GHCR.

Các gói này cài đặt cook.pth, cook.py và sitecustomize.py nhằm đánh cắp thông tin đăng nhập đám mây, của nhà phát triển và công cụ AI mỗi khi Python khởi động, đồng thời mở một trình tải mã từ xa. Đây là lần xâm phạm thứ hai của LiteLLM trong năm 2026.

Với các đội ngũ đang xây dựng ứng dụng AI tại Việt Nam, việc kiểm tra kỹ phiên bản thư viện và xác minh chữ ký gói là bước không thể bỏ qua.

Railway và Zeabur: Khi nền tảng đám mây trở thành mục tiêu

Hai nền tảng hosting/Paas đều ghi nhận sự cố nghiêm trọng:

Railway phát hiện hoạt động bất thường trên hệ thống lưu trữ biến môi trường của khách hàng. Kẻ tấn công có thể đã truy cập biến môi trường được mã hóa và trong một số trường hợp lấy được nội dung đã giải mã (API key, thông tin đăng nhập cơ sở dữ liệu). Railway cho rằng đây là một phần trong chuỗi tấn công nhắm vào các nhà cung cấp dịch vụ suy luận AI.

Zeabur còn nghiêm trọng hơn: kẻ tấn công lợi dụng thông tin đăng nhập nội bộ bị rò rỉ để xâm nhập cụm dùng chung tại 9 khu vực, chiếm quyền root trên 101 máy chủ GCP, và đọc cơ sở dữ liệu nền tảng, làm lộ khoảng 3,22 triệu bản ghi biến môi trường trên 321.810 tài khoản.

Đáng chú ý, Zeabur sẽ ngừng hoạt động: từ 1/12/2026 các dịch vụ cụm dùng chung tạm dừng, đến 31/12 toàn bộ dịch vụ dừng và dữ liệu bị xóa. Người dùng được yêu cầu xoay vòng mọi bí mật đã lưu trên Zeabur và di chuyển sang nền tảng khác.

PHP2Shell và Plex2Shell: Hai lỗ hổng RCE đang bị khai thác

PHP2Shell (CVE-2026-109618 và CVE-2026-109619) là hai lỗ hổng RCE nghiêm trọng trong lõi PHP, đều chấm CVSS 9.2, cho phép kẻ tấn công chưa xác thực chạy mã trên máy chủ phục vụ yêu cầu web PHP, đặc biệt với Apache mod_php. Đáng lo là các nỗ lực khai thác đã được quan sát trước và sau khi bản vá phát hành, với watchTowr và AWS ghi nhận quét tích cực.

Plex2Shell là chuỗi bốn lỗ hổng trên Plex Media Server dẫn đến đánh cắp admin token và thực thi mã không cần xác thực. Khai thác nhắm vào máy chủ hướng internet đã bắt đầu từ 17/10, chủ yếu để đào tiền mã hóa và dựng proxy dân cư.

Chiến dịch GhostAction trở lại với quy mô lớn

Chiến dịch GhostAction — từng được GitGuardian ghi nhận năm 2025 — đã quay trở lại mạnh mẽ. Khoảng 1.900 tài khoản GitHub bị xâm phạm đã đẩy các workflow "security audit" giả mạo vào hơn 30.000 kho lưu trữ.

Payload mới đánh cắp bí mật Actions của repo cùng mọi thông tin đăng nhập tìm thấy trong toàn bộ lịch sử git, gửi về 193.32.204.199 qua HTTP thường. GitHub đã bắt đầu ngăn chặn workflow này từ khoảng ngày 9/10.

Bên cạnh đó, gói npm [email protected] mang theo worm đánh cắp thông tin kiểu Shai-Hulud, thậm chí cài đặt cơ chế xóa toàn bộ thư mục home nếu token GitHub bị đánh cắp bị thu hồi.

Bài học cho đội ngũ công nghệ Việt Nam

Nhìn lại tuần qua, có thể rút ra vài nguyên tắc thực tiễn:

• Vá lỗ hổng ngay khi có bản phát hành, đặc biệt với các thành phần tự vận hành như GitLab, BIND 9, Node.js và PHP
• Kiểm tra chuỗi cung ứng phần mềm: ghim phiên bản cụ thể, xác minh nguồn gốc gói npm/PyPI/Docker
• Xoay vòng bí mật định kỳ và không lưu trữ thông tin đăng nhập dạng văn bản thuần trên nền tảng bên thứ ba
• Theo dõi CISA KEV — danh mục lỗ hổng đang bị khai thác tích cực là nguồn tham chiếu ưu tiên hàng đầu

Trong bối cảnh các cuộc tấn công ngày càng nhắm vào chuỗi cung ứng và hạ tầng đám mây, việc chủ động theo dõi như trang pwn.watch không còn là tùy chọn mà đã trở thành yêu cầu bắt buộc với mọi tổ chức vận hành hệ thống trực tuyến.