Tin tặc Trung Quốc lợi dụng lỗ hổng ghi log 'mức thấp' của VMware ESXi như zero-day

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa đưa ra cảnh báo rằng tin tặc đang khai thác thêm một lỗ hổng nữa trong VMware ESXi. Điều đáng chú ý là lỗ hổng lần này không phải một lỗi nghiêm trọng, mà chỉ được xếp vào nhóm mức độ thấp do ghi log thiếu sót — nhưng lại trở thành công cụ hữu hiệu để kẻ tấn công xóa dấu vết.

Minh họa về lỗ hổng VMware ESXi

Lỗ hổng "vô hại" nhưng bị khai thác thực tế

Lỗ hổng mang mã CVE-2026-41709 cho phép kẻ tấn công đã đăng nhập với quyền quản trị viên thực hiện một số thao tác mà không để lại dấu vết trong log. Chính vì vậy, dù bị đánh giá ở mức độ thấp, nó lại là mảnh ghép quan trọng trong chuỗi tấn công của các nhóm APT — những kẻ luôn tìm cách giảm khả năng phát hiện của hệ thống giám sát.

Lỗ hổng được công bố ngày 29/7, cùng với ba lỗi nghiêm trọng và một lỗi mức cao trong VMware vCenter, ESXi, Workstation và Fusion.

Các phiên bản đã được vá bao gồm ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025 và ESXi80U3j-25429389 trở lên.

CISA đã bổ sung CVE-2026-41709 vào danh mục Lỗ hổng bị khai thác đã biết (KEV), đồng thời yêu cầu các cơ quan liên bang Hoa Kỳ vá lỗi trong vòng hai tuần.

Warp Panda và chiến dịch xâm nhập kéo dài

CISA không nêu chi tiết về hoạt động khai thác, nhưng CrowdStrike cho biết nhóm tin tặc Warp Panda — được cho là có liên hệ với Trung Quốc — đã lợi dụng CVE-2026-41709 như zero-day trong các vụ xâm nhập nhắm vào tổ chức tại Mỹ, bao gồm cả các công ty luật.

Theo CrowdStrike, Warp Panda thường có được quyền truy cập ban đầu thông qua các thiết bị biên hướng Internet, sau đó chuyển hướng sang VMware vCenter. Tại đây, nhóm này triển khai các loại mã độc như BrickStorm, TetanusStorm, SharpStorm, DualGauge và GuestConduit trong hàng loạt vụ tấn công suốt năm 2025.

Trong nhiều vụ việc đó — và kéo dài đến đầu năm 2026 — nhóm này đã dùng CVE-2026-41709 để giảm đáng kể khả năng hiển thị của nhật ký kiểm tra (audit trail), khiến công tác điều tra và phát hiện sự cố trở nên khó khăn hơn rất nhiều.

Bài học rõ ràng: một lỗ hổng "chỉ thiếu log" vẫn có thể là chìa khóa để tin tặc tồn tại lâu dài trong hệ thống mà không bị phát hiện.

Không chỉ một lỗ hổng bị khai thác

Ít nhất hai lỗi bảo mật khác trong các bản tin tư vấn ngày 29/7 của Broadcom cũng đã bị khai thác ngoài thực tế:

• CVE-2026-59309: lỗi bỏ qua xác thực ở mức nghiêm trọng.
• CVE-2026-59310: lỗi duyệt thư mục (directory traversal) nghiêm trọng, có thể dẫn đến thực thi mã tùy ý.

Giữa tháng 8, công ty an ninh mạng Quirso cho biết một nhóm APT đã khai thác CVE-2026-59310 để xâm nhập khoảng 360 máy chủ VMware vCenter có thể truy cập qua web và triển khai SSH reverse shell. Sau đó, Quirso quy hoạt động này cho một nhóm tin tặc liên hệ Trung Quốc, đồng thời cảnh báo CVE-2026-59309 cũng đã bị khai thác — nhiều khả năng trước CVE-2026-59310 và có thể bởi một nhóm khác.

Đến đầu tháng 9, các dấu hiệu tấn công diện rộng nhắm vào CVE-2026-59310 đã được ghi nhận.

Cảnh báo an ninh mạng

Ý nghĩa với doanh nghiệp Việt Nam

VMware ESXi và vCenter là nền tảng ảo hóa phổ biến tại nhiều doanh nghiệp và trung tâm dữ liệu Việt Nam. Việc các lỗ hổng trong hệ sinh thái này liên tục bị khai thác cho thấy rủi ro không hề nhỏ với hạ tầng ảo hóa nội bộ.

Một số khuyến nghị dành cho đội ngũ vận hành hệ thống:

• Cập nhật ngay lên các phiên bản ESXi đã được vá, đặc biệt nếu máy chủ có địa chỉ IP công khai hoặc nằm trong vùng biên.
• Hạn chế truy cập trực tiếp vào giao diện quản trị vCenter/ESXi từ Internet; sử dụng VPN hoặc mạng riêng ảo thay thế.
• Tăng cường giám sát ở lớp ngoài log của ESXi — ví dụ log tường lửa, EDR, IDS/IPS — vì kẻ tấn công có thể xóa dấu vết ngay trong hệ thống đích.
• Rà soát tài khoản quản trị và áp dụng nguyên tắc đặc quyền tối thiểu, do lỗ hổng này chỉ khai thác được khi kẻ tấn công đã có quyền admin.

Việc coi nhẹ các lỗ hổng "mức thấp" có thể tạo ra khoảng trống nguy hiểm trong phòng thủ. Như trường hợp CVE-2026-41709 cho thấy, kẻ tấn công chuyên nghiệp không cần lỗ hổng nghiêm trọng nhất — chúng chỉ cần lỗ hổng phù hợp với mục tiêu của mình.