'Tháng 10 đen tối' của an ninh mạng
10 ngày cuối tháng 10 đang được xem là "cơn ác mộng" của lĩnh vực an ninh mạng, với hàng loạt lỗ hổng và vụ xâm nhập hệ thống được ghi nhận.
Guardian và Business Insider cùng gọi đây là "tháng 10 đen tối", trong khi nhiều chuyên gia khác cảnh báo mọi thứ thực ra chỉ mới bắt đầu.
PHP2Shell, tên gọi chung của hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619 trong ngôn ngữ lập trình PHP, nhanh chóng trở thành mục tiêu của các chiến dịch khai thác, sau khi thông tin bị rò rỉ ngày 21/10. Cả hai cho phép hacker có thể thực thi mã từ xa trên bất kỳ máy chủ PHP mà không cần xác thực, tạo điều kiện cho kẻ xấu đánh cắp dữ liệu và đọc thông tin nhạy cảm.
Minh họa việc AI có thể bị lợi dụng để khai thác lỗ hổng PHP2Shell. Ảnh: ChatGPT
Cả hai được phát hiện với sự hỗ trợ của AI, cho thấy công nghệ này ngày càng đủ khả năng tìm ra những điểm yếu bảo mật chưa được phát hiện, kể cả trong các hệ thống phần mềm phức tạp.
PHP hiện vận hành khoảng 70% website trên Internet, khiến phạm vi tác động đặc biệt lớn. Theo Palo Alto Networks, 22,6 triệu máy chủ có nguy cơ bị ảnh hưởng. Đến 26/10, Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đưa hai lỗ hổng vào danh sách các điểm yếu bị khai thác thực tế. Một số chuyên gia cũng đánh giá PHP2Shell là vấn đề bảo mật nghiêm trọng nhất mà PHP phải đối mặt trong hơn một thập kỷ qua.
Công ty Internet Nhật Bản nổi tiếng GMO ngày 25/10 thông báo đã bị hacker tấn công, có nguy cơ ảnh hưởng 26.739 máy chủ. Vấn đề được phát hiện từ 19/10 và đến 21/10, hacker đòi 50 triệu USD tiền chuộc, đe dọa công khai dữ liệu khách hàng, gây rủi ro cho khoảng 20 doanh nghiệp sử dụng dịch vụ của GMO.
CEO GMO Masatoshi Kumagai tại một sự kiện ở Nhật Bản. Ảnh: Note.com
Thay vì thương lượng, CEO GMO Masatoshi Kumagai từ chối trả tiền chuộc, yêu cầu người dùng quét mã độc, sao lưu dữ liệu và ngắt kết nối máy tính để hạn chế thiệt hại. Sự cố cũng ảnh hưởng đến một số khách hàng trong lĩnh vực giao dịch ngoại hối, với những trường hợp thiệt hại hàng chục nghìn USD.
GMO huy động khoảng 200 chuyên gia an ninh mạng, phối hợp với các công ty bảo mật và AI để truy tìm thủ phạm. Ngày 29/10, CEO GMO cho biết đã có manh mối đầu tiên giúp xác định nhóm đứng sau. Ông đồng thời cảnh báo AI mã nguồn mở đang giúp những người thiếu chuyên môn dễ dàng phát triển công cụ khai thác lỗ hổng.
Railway và LiteLLM
Ngày 20/10, Railway, nền tảng triển khai ứng dụng trên đám mây, ghi nhận tin tặc truy cập trái phép vào một phần hệ thống nội bộ, có nguy cơ làm lộ khóa API và thông tin xác thực của khách hàng. Ngày 21/10, công ty khuyến cáo người dùng thay mới khóa bí mật, đồng thời rà soát hoạt động bất thường để hạn chế thiệt hại.
Logo của nền tảng triển khai ứng dụng đám mây Railway. Ảnh: Estadao
Cùng ngày, LiteLLM, thư viện mã nguồn mở kết nối ứng dụng với nhiều mô hình AI, trở thành mục tiêu của cuộc tấn công chuỗi cung ứng phần mềm. Hacker phát tán phiên bản 1.107.0 chứa mã độc trên kho PyPI và các kho lưu trữ Docker. Mã độc có khả năng đánh cắp thông tin đăng nhập, khóa API và dữ liệu nhạy cảm trong môi trường phát triển. Gói độc hại tồn tại khoảng hai giờ trước khi bị gỡ bỏ.
Dù được khắc phục nhanh chóng, TechCrunch đánh giá hai sự cố cho thấy hacker đang nhắm vào nền tảng triển khai ứng dụng và thư viện phần mềm nhằm tiếp cận nhiều hệ thống cùng lúc. Với khóa API bị đánh cắp, kẻ tấn công có thể truy cập trái phép dịch vụ AI, chiếm dụng tài nguyên đám mây hoặc phát sinh chi phí ngoài dự kiến.
Hơn 40.000 hồ sơ nhân viên DHS bị lộ
Tổ chức phi lợi nhuận Distributed Denial of Secrets (DDoS) ngày 28/10 cho biết hệ thống của Bộ An ninh Nội địa Mỹ (DHS) đã bị xâm nhập. Dữ liệu bị đánh cắp chứa tên, chức danh, số điện thoại, email, địa chỉ văn phòng của hơn 40.000 nhân viên, gồm cả những đơn vị trực thuộc DHS như Cơ quan Thực thi Di trú và Hải quan (ICE), Cơ quan Hải quan và Bảo vệ Biên giới (CBP), Cục An ninh Nội địa (HSI), Cơ quan An ninh mạng và Hạ tầng (CISA).
Theo AFP, nhóm hacker Department of Peace đã tạo công cụ mang tên Icepick, giúp tìm kiếm tên nhân viên, văn phòng và nhiệm vụ. Còn theo TechCrunch, tin tặc lấy dữ liệu từ hệ thống đăng nhập một lần của Okta, được DHS sử dụng để cho phép nhân viên và nhà thầu thuộc cơ quan khác nhau đăng nhập mạng lưới trung tâm.
Lỗ hổng bảo mật cũ trên NAS Synology
Ngày 28/10, người dùng tại Hàn Quốc, đảo Đài Loan, Việt Nam... ghi nhận dữ liệu trên thiết bị lưu trữ mạng (NAS) của Synology bất ngờ bị mã hóa. Tên tệp bị đổi sang đuôi .L0CK3D hoặc biến thể .LOCK3D, khiến không thể mở theo cách thông thường. Kẻ tấn công để lại tệp tin yêu cầu thanh toán tiền chuộc bằng Bitcoin, đe dọa tăng gấp đôi số tiền nếu nạn nhân không trả trong vòng 5 ngày.
Một mẫu NAS của Synology. Ảnh: Bảo Lâm
Theo Chosun, các thiết bị bị tấn công chủ yếu chạy phiên bản cũ của hệ điều hành DiskStation Manager (DSM), chưa được vá hai lỗ hổng vốn đã được khắc phục từ năm 2024. Phân tích của công ty an ninh mạng Trung Quốc Qihoo 360 cho thấy hacker đã khai thác thành công lỗ hổng để xâm nhập thiết bị, sau đó triển khai biến thể mã độc tống tiền Cerber.
Cùng ngày, đội ngũ Phản ứng sự cố an ninh sản phẩm (PSIRT) của Synology xác nhận mối đe dọa nhắm vào thiết bị chạy phiên bản DSM cũ, với mục tiêu mã hóa dữ liệu tống tiền người dùng. Nhóm cũng ghi nhận tác động từ lỗ hổng PHP2Shell, nhưng cho biết phạm vi ảnh hưởng chỉ giới hạn ở hệ thống sử dụng một số gói phụ thuộc PHP nhất định.
22 lỗ hổng trên WordPress
Cũng ngày 28/10, WordPress - mã nguồn web mở quản trị nội dung - phát hành phiên bản 7.1.4, khắc phục 22 lỗ hổng bảo mật, gồm lỗi nghiêm trọng có thể cho phép hacker thực thi mã từ xa trên máy chủ mà không cần xác thực tài khoản. Nhóm phát triển khuyến cáo quản trị viên cập nhật website ngay để hạn chế nguy cơ bị tấn công.
Cụ thể, lỗ hổng xuất hiện trong quy trình cập nhật WordPress. Trong một khoảng thời gian ngắn khi hệ thống giải nén, kẻ tấn công có thể khai thác đường dẫn tạm thời để thực thi mã trên máy chủ. Theo Wordfence, các nhóm tin tặc đã bắt đầu dò quét website nhằm tìm cơ hội khai thác.
Ngoài lỗi thực thi mã từ xa, bản cập nhật còn xử lý nhiều lỗi liên quan đến tấn công chèn mã độc vào trang web (XSS), từ chối dịch vụ, tiết lộ thông tin và phân quyền truy cập.
Ngày 29/10 (sáng 30/10 giờ Hà Nội), Binance cho biết ví nóng, tức các ví tiền số luôn được kết nối trực tiếp với Internet, của sàn bị tấn công với số tiền bị đánh cắp ước tính khoảng 6,3 tỷ USD. Trước đó, nền tảng phân tích blockchain Arkham Intelligence cho biết, các ví liên quan đến sự cố đã chuyển đi tài sản trị giá 5,78 tỷ USD, gồm Bitcoin, Ether và nhiều loại tiền số khác.
Logo Binance. Ảnh: Bảo Lâm
Binance cho biết vấn đề có thể bắt nguồn từ máy tính của một nhân viên DevOps bị xâm nhập. Sàn khẳng định hiện chưa tìm ra bằng chứng khóa riêng tư của ví bị lộ và tài sản người dùng vẫn an toàn, đồng thời tuyên bố sẽ sử dụng quỹ bảo vệ tài sản người dùng SAFU và nguồn lực của công ty để bù đắp toàn bộ tổn thất.
Theo giới chuyên gia, đây là vụ hack lớn nhất trong lịch sử của các sàn tiền số, gấp nhiều lần thiệt hại mà Bybit gặp hồi tháng 2/2025 khi hacker lấy đi khoảng 1,5 tỷ USD tiền số. Các đơn vị phát hành stablecoin đang can thiệp để ngăn dòng tiền bị đánh cắp tiếp tục lưu chuyển, như Tether đã phong tỏa lượng USDT trị giá hơn 1,56 tỷ USD, còn Circle đóng băng hơn 800 triệu USD USDC liên quan đến sự cố.
Bảo Lâm tổng hợp
- Binance bị hack, chuyển đi khoản tiền số trị giá khoảng 6 tỷ USD
- Ba vụ hack tỷ USD gây xôn xao giới tiền số
- Cuộc giằng co giữa hãng Internet nổi tiếng và hacker
- Kỷ nguyên tấn công mạng AI: 'Sẽ nếm trải cảm giác bầu trời sắp sụp'
Thêm VnExpress trên Google
