Ubuntu chậm vá lỗ hổng nghiêm trọng: Người dùng mất niềm tin, ồ ạt chuyển sang hệ điều hành khác

Một lỗ hổng nghiêm trọng trong nhân Linux đang khiến cộng đồng quản trị hệ thống dậy sóng, không phải vì bản thân lỗ hổng mà vì cách Ubuntu xử lý nó. Trong khi các bản phân phối khác đã phát hành bản vá từ lâu, Canonical vẫn chưa đưa ra giải pháp cho bất kỳ phiên bản nào được hỗ trợ, bao gồm cả các bản LTS. Sự việc làm dấy lên câu hỏi về giá trị thực của những cam kết "vá bảo mật kịp thời" mà hãng vẫn quảng cáo.

Lỗ hổng có thể chiếm toàn bộ máy chủ từ xa

CVE-2026-98432 là lỗ hổng nghiêm trọng với điểm CVSS 9.8 trong phần mã TCP của nhân Linux. Điều đáng lo ngại là nó đã tồn tại từ năm 2016, nghĩa là gần như mọi máy chủ Linux trên hành tinh đều có nguy cơ bị ảnh hưởng, và quan trọng hơn, có thể bị khai thác từ xa.

Theo Anthropic, đơn vị này đã xây dựng được một exploit hoạt động thực tế, cho phép chiếm quyền root trên máy chủ nạn nhân — tức là kiểm soát hoàn toàn hệ thống.

Đây không phải lỗi lý thuyết trên giấy. Khi đã có exploit chạy được, thời gian chính là yếu tố sống còn.

Debian vá trước, Ubuntu vẫn "dễ bị tổn thương"

Debian đã phát hành bản vá cho lỗ hổng này từ ngày 16/10. Hơn hai tuần sau, Ubuntu vẫn chưa có bản vá, và mọi phiên bản được hỗ trợ — kể cả LTS — đều được liệt kê ở trạng thái "Vulnerable" (dễ bị tổn thương).

Đáng chú ý hơn, chín ngày sau khi lỗ hổng được đánh giá 9.8 và sáu ngày sau khi xuất hiện exploit chiếm quyền root, Canonical vẫn chưa tung ra bản cập nhật nào. Trong khi đó, các bản phân phối do cộng đồng tình nguyện vận hành như Debian, Arch hay Alpine đều đã phát hành bản sửa lỗi.

Trớ trêu thay, Ubuntu lại là sản phẩm của một công ty bán gói đăng ký bảo mật, và trên trang chủ vẫn cam kết cung cấp "timely patches for critical vulnerabilities" (bản vá kịp thời cho các lỗ hổng nghiêm trọng).

Khi marketing lấn át thực tế

Bài viết gốc trên blog Chalmovsky đặt vấn đề thẳng thắn: phần mềm ngày nay đầy rẫy những lời quảng cáo mà ngôn từ chẳng còn ý nghĩa gì. Canonical sử dụng những cụm từ như:

• "Timely" (kịp thời)
• "Enterprise-grade" (chuẩn doanh nghiệp)
• "Production grade" (chuẩn vận hành thực tế)
• "Enterprise resilience. Developer velocity. Build with confidence on Ubuntu."

Tác giả cho rằng có cả một đội ngũ tại Canonical chỉ chuyên viết ra những câu khẩu hiệu như vậy, trong khi cam kết thực chất về bảo mật lại không được đáp ứng đúng lúc cần thiết nhất.

Hệ quả: Quản trị viên quay lưng với Ubuntu

Tác giả bài viết — vốn từng coi Ubuntu là bản phân phối LTS "ổn định, không rắc rối" và dùng nó chủ yếu vì đây là lựa chọn mặc định trên hầu hết nhà cung cấp VPS — tuyên bố chuyển toàn bộ máy chủ sang hệ điều hành khác và đã hoàn toàn mất niềm tin vào nền tảng này.

"Tôi không thể diễn tả nổi mức độ điên rồ của chuyện này. Tôi không có thời gian di chuyển dịch vụ và dữ liệu khi biết tin, nên buộc phải đưa tất cả máy chủ chạy Ubuntu xuống offline."

Trên máy tính để bàn, tác giả cho biết vốn đã không ưa Ubuntu từ trước. Nhưng với máy chủ, đây từng là lựa chọn mặc định đáng tin cậy — và giờ thì không còn nữa.

Góc nhìn cho người dùng Việt Nam

Với các doanh nghiệp và lập trình viên Việt Nam đang vận hành máy chủ trên nền Ubuntu — đặc biệt qua các nhà cung cấp VPS phổ biến — sự cố này là lời cảnh báo đáng cân nhắc. Thói quen "dùng mặc định vì tiện" cần được xem lại, nhất là khi hạ tầng phụ thuộc vào những cam kết thương mại có thể không được thực thi đúng lúc.

Một số khuyến nghị thực tế:

• Theo dõi trực tiếp CVE và nguồn tin bảo mật gốc, thay vì chỉ dựa vào thông báo từ nhà cung cấp hệ điều hành.
• Cân nhắc đa dạng hóa hệ điều hành giữa các máy chủ để giảm rủi ro tập trung.
• Kiểm tra trạng thái vá lỗ hổng của bản phân phối trước khi ký hợp đồng hạ tầng dài hạn.

Câu hỏi mà cộng đồng đặt ra vẫn còn bỏ ngỏ: liệu Canonical sẽ phản hồi ra sao, và liệu những cam kết "enterprise-grade" có còn đủ sức thuyết phục sau sự cố này hay không.