Mười Lỗ Hổng Bảo Mật Nổi Bật Tháng 6 Năm 2026

Tháng 6 năm 2026 là một trong những giai đoạn dày đặc nhất của lịch sử công bố lỗ hổng phần mềm. Riêng kỳ vá lỗi định kỳ của Microsoft (Patch Tuesday) đã xử lý khoảng 200 đến 206 lỗ hổng được định danh theo chuẩn CVE (Common Vulnerabilities and Exposures, hệ thống định danh chung cho các lỗ hổng và phơi nhiễm), trở thành kỳ vá lớn nhất kể từ khi chương trình này được khởi xướng năm 2003. Khi tính thêm hơn 360 lỗ hổng trên nền tảng Chromium do Google xử lý song song, tổng khối lượng vá lỗi trong tháng vượt xa mặt bằng thông thường của những năm trước.

Sự gia tăng này không phải ngẫu nhiên. Nhiều nhà nghiên cứu, trong đó có nhóm Zero Day Initiative của Trend Micro, đánh giá rằng việc ứng dụng các công cụ phân tích mã nguồn dựa trên trí tuệ nhân tạo (AI) đang giúp cả đội ngũ phòng thủ lẫn kẻ tấn công phát hiện lỗ hổng nhanh hơn đáng kể so với phương pháp rà soát thủ công trước đây. Khoảng cách trung bình giữa thời điểm phát hành bản vá và thời điểm xuất hiện mã khai thác vũ khí hóa (weaponized exploit) trong thực tế hiện được ước tính chỉ còn khoảng năm ngày. Hệ quả là quỹ thời gian để các tổ chức ra quyết định ưu tiên và triển khai vá lỗi ngày càng bị thu hẹp.

Mười lỗ hổng tiêu biểu

1. CVE-2026-20253 Splunk Enterprise: Thiếu xác thực cho chức năng trọng yếu

Lỗ hổng này ảnh hưởng đến Splunk Enterprise các phiên bản từ 10.2.0 đến 10.2.3 và từ 10.0.0 đến 10.0.6. Nguyên nhân gốc thuộc lớp CWE-306 (thiếu xác thực cho một chức năng trọng yếu): điểm cuối dịch vụ sidecar PostgreSQL không áp dụng kiểm soát xác thực, cho phép bất kỳ người dùng nào tiếp cận được qua mạng đều có thể gọi các thao tác tệp mà không cần thông tin đăng nhập. Kẻ tấn công từ xa, không cần đặc quyền, có thể tạo mới hoặc cắt cụt (truncate) tệp tùy ý trên hệ thống.

Ngày 12 tháng 6, nhóm WatchTowr công bố phân tích kỹ thuật kèm mã khai thác minh chứng (POC) và cảnh báo rằng lỗ hổng có thể bị lạm dụng để remote code execution. Đội phản ứng sự cố của Splunk (PSIRT) xác nhận đã ghi nhận hoạt động khai thác có giới hạn trong tháng 6. CISA sau đó xác nhận lỗ hổng đang bị khai thác chủ động và yêu cầu các cơ quan liên bang vá theo Chỉ thị Vận hành Bắt buộc BOD 26-04. Tổ chức giám sát Shadowserver theo dõi hơn 1.400 phiên bản Splunk phơi nhiễm trên Internet. Vì Splunk là nền tảng quản lý thông tin và sự kiện an ninh (SIEM) được dùng rộng rãi để giám sát hạ tầng, việc một SIEM bị chiếm quyền tạo ra rủi ro kép: vừa mất chính hệ thống giám sát, vừa mất khả năng phát hiện các hành vi xâm nhập tiếp theo.

2. CVE-2026-50751 Check Point VPN: Vượt qua xác thực (CVSS 9.3)

Công bố ngày 8 tháng 6, lỗ hổng này ảnh hưởng đến các sản phẩm Check Point Remote Access VPN, Mobile Access và Spark Firewall, thuộc lớp CWE-287 (xác thực không đúng cách). Điều kiện tồn tại là các cấu hình sử dụng giao thức trao đổi khóa IKEv1 đã lỗi thời, nơi gateway chấp nhận các máy khách Remote Access cũ và không bắt buộc machine certificate. Một sai sót trong luồng xác thực chứng chỉ trong quá trình trao đổi khóa IKEv1 cho phép kẻ tấn công không cần xác thực thiết lập một phiên VPN mà không cần thông tin đăng nhập hợp lệ.

Check Point ghi nhận hoạt động khai thác từ khoảng ngày 7 tháng 5, gia tăng vào đầu tháng 6, với phạm vi vài chục tổ chức. Ít nhất một sự cố được liên hệ với một chi nhánh của nhóm mã độc tống tiền Qilin ở mức độ tin cậy trung bình. CISA đưa lỗ hổng vào danh mục KEV ngày 9 tháng 6. Trong quá trình điều tra, Check Point còn phát hiện một lỗ hổng liên quan là CVE-2026-50752 (CVSS 7.4) cho phép tấn công man-in-the-middle trên các tunel VPN site-to-site, nhưng chưa ghi nhận khai thác. Lỗ hổng này minh họa một xu hướng dai dẳng: các thiết bị biên phục vụ truy cập từ xa tiếp tục là điểm khởi đầu được ưu tiên trong các chiến dịch mã độc tống tiền.

3. Chiến dịch FortiBleed và CVE-2026-24858 : Phơi nhiễm thông tin xác thực Fortinet

FortiBleed bản thân nó không phải là một CVE, mà là một chiến dịch credential-harvesting quy mô lớn nhắm vào các tường lửa Fortinet FortiGate và cổng SSL VPN phơi nhiễm trên Internet. Đây được xem là một trong những sự kiện an ninh có độ phủ rộng nhất trong tháng. Nhà nghiên cứu Volodymyr Diachenko phát hiện một máy chủ của nhóm tấn công bị lộ vào ngày 13 tháng 6; phân tích sau đó của các tổ chức như SOCRadar, Hudson Rock và Recorded Future xác nhận một cơ sở dữ liệu chứa khoảng 86.644 thông tin đăng nhập hợp lệ thuộc các tổ chức tại 194 quốc gia, tương đương gần một nửa số thiết bị Fortinet phơi nhiễm trên Internet. Kevin Beaumont đã xác minh tính xác thực của một số mẫu thông tin đăng nhập.

Phương thức của chiến dịch là sự kết hợp nhiều kỹ thuật: tái sử dụng thông tin đăng nhập từ các sự cố trước, bẻ khóa ngoại tuyến (offline cracking) các hàm băm mật khẩu SHA-256 lỗi thời trên một cụm máy gồm 45 GPU, tấn công brute force, chặn bắt hàm băm trong quá trình bắt tay SSL VPN, và packet sniffing để thu thập hàm băm NTLM và Kerberos của toàn bộ môi trường. Trong số các CVE liên quan, đáng chú ý nhất là CVE-2026-24858 (CVSS 9.4, lớp CWE-288, vượt qua xác thực qua kênh thay thế) trong cơ chế đăng nhập một lần FortiCloud SSO, cho phép tấn công xuyên thuê bao (cross-tenant) và tạo tài khoản quản trị giả mạo. CVE này đã được CISA đưa vào danh mục KEV từ tháng 1 năm 2026.

Điểm khiến FortiBleed nguy hiểm hơn một CVE thông thường là không có bản vá nào đóng được nó: thông tin đăng nhập hợp lệ vẫn còn giá trị cho đến khi từng tài khoản được rotate thủ công. Vì các đăng nhập trông hợp pháp, chúng không kích hoạt chữ ký khai thác hay cảnh báo hành vi. Khuyến nghị ứng phó gồm: chấm dứt mọi phiên đang hoạt động, xoay vòng toàn bộ thông tin quản trị và VPN, áp dụng xác thực đa yếu tố (MFA), gỡ bỏ giao diện quản trị khỏi Internet, nâng cấp FortiOS và buộc di trú sang định dạng băm PBKDF2 bằng cách yêu cầu mọi quản trị viên đăng nhập lại sau khi nâng cấp.

4. CVE-2026-45657 Windows Kernel/HTTP.sys: Thực thi mã từ xa, có khả năng lây lan (CVSS 9.8)

Đây là một trong những lỗ hổng nghiêm trọng nhất của kỳ Patch Tuesday tháng 6. Lỗ hổng nằm trong kernel của Windows xử lý ngăn xếp giao thức TCP/IP, cho phép kẻ tấn công từ xa, không cần xác thực, thực thi mã ở cấp đặc quyền SYSTEM mà không cần tương tác từ người dùng. Microsoft phân loại lỗ hổng là có khả năng lây lan (wormable) trong một số cấu hình mạng nhất định, nghĩa là một máy bị chiếm quyền có thể tự động lây sang các máy dễ tổn thương khác trong cùng mạng. Dù Microsoft ban đầu đánh giá khả năng khai thác ở mức thấp hơn, nhóm Zero Day Initiative cảnh báo rằng giới nghiên cứu đang tích cực dịch ngược bản vá để dựng mã khai thác, do đó cần triển khai vá khẩn cấp.

Trong cùng kỳ, lỗ hổng zero-day duy nhất được xác nhận khai thác chủ động là CVE-2026-41091 (leo thang đặc quyền trong Microsoft Defender). Ngoài ra còn có CVE-2026-47291 (HTTP.sys, CVSS 9.8) với điều kiện giảm thiểu là các hệ thống dùng giá trị MaxRequestBytes mặc định không bị ảnh hưởng. Vì HTTP.sys là trình điều khiển HTTP ở chế độ nhân nằm bên dưới IIS và nhiều dịch vụ web khác của Windows, một lỗ hổng tại đây có thể gây mất ổn định đồng thời nhiều dịch vụ trên cùng máy chủ.

5. CVE-2026-44815 Windows DHCP Client: Thực thi mã từ xa không cần xác thực (CVSS 9.8)

Lỗ hổng thuộc lớp CWE-121 (tràn bộ đệm trên ngăn xếp) trong dịch vụ máy khách DHCP của Windows. Kẻ tấn công có thể vận hành một máy chủ DHCP giả mạo trong mạng, phản hồi các yêu cầu DHCP bằng dữ liệu được chế tạo đặc biệt để thực thi mã mà không cần xác thực và không cần tương tác người dùng, với độ phức tạp tấn công thấp. Điều kiện khai thác là máy mục tiêu gọi hàm DhcpGetOriginalSubnetMask; biện pháp giảm thiểu trước khi vá là rà soát và hạn chế các ứng dụng gọi hàm này.

Lỗ hổng này được đưa vào danh sách vì độ phổ biến gần như tuyệt đối: dịch vụ máy khách DHCP hiện diện trên mọi phiên bản hệ điều hành Windows. Một thiết bị tấn công đặt trong cùng phân đoạn mạng nội bộ, chẳng hạn qua một máy đã bị chiếm quyền, có thể lan rộng nhanh chóng. Đây là minh chứng cho nguyên tắc rằng phạm vi triển khai của thành phần bị ảnh hưởng quan trọng không kém điểm số nghiêm trọng.

6. CVE-2026-20245 Cisco Catalyst SD-WAN Manager: Tiêm lệnh lên quyền root (CVSS 7.8)

Lỗ hổng ảnh hưởng đến các thành phần Cisco Catalyst SD-WAN, gồm SD-WAN Manager (vManage), SD-WAN Controller (vSmart) và SD-WAN Validator (vBond). Do kiểm tra dữ liệu đầu vào không đầy đủ trong giao diện dòng lệnh, một kẻ tấn công cục bộ đã xác thực với đặc quyền netadmin có thể tải lên một tệp được chế tạo đặc biệt để thực thi lệnh tùy ý với quyền root, dẫn đến chiếm quyền toàn bộ hệ thống.

Theo phát hiện của Google Mandiant, lỗ hổng đã bị khai thác như một zero-day ít nhất hai tháng trước khi được công bố công khai, với các trường hợp ghi nhận việc đẩy thay đổi cấu hình trái phép xuống các thiết bị biên. CISA đưa lỗ hổng vào danh mục KEV ngày 9 tháng 6. Không có giải pháp tạm thời ; cách khắc phục duy nhất là nâng cấp lên các phiên bản đã vá. Đáng lưu ý, việc nâng cấp đơn thuần không loại bỏ một sự xâm nhập đang diễn ra, do đó cần bảo toàn bằng chứng pháp y trước khi nâng cấp. Lỗ hổng này nhấn mạnh rủi ro của mặt phẳng quản lý (management plane) hạ tầng mạng, nơi việc kiểm soát một bộ điều khiển trung tâm có thể chuyển hóa thành kiểm soát toàn bộ kết cấu mạng.

7. CVE-2026-20230 Cisco Unified Communications Manager: Đường ghi tệp lên quyền root (CVSS 8.6)

Lỗ hổng ảnh hưởng đến Cisco Unified Communications Manager (Unified CM) và phiên bản Session Management Edition, thuộc dạng kiểm tra đầu vào không đúng cách đối với một số yêu cầu HTTP nhất định, cho phép kẻ tấn công từ xa không cần xác thực. Sau khi một mã khai thác minh chứng được công bố làm lộ đường ghi tệp dẫn tới quyền root, các nhóm tấn công đã bắt đầu khai thác lỗ hổng. Đây là ví dụ điển hình về độ trễ giữa thời điểm công bố và thời điểm khai thác bị rút ngắn: việc công khai mã minh chứng gần như lập tức làm tăng áp lực vá. Hệ thống truyền thông hợp nhất là hạ tầng cốt lõi của nhiều doanh nghiệp, nên việc chiếm quyền có thể mở đường cho hoạt động nghe lén và di chuyển ngang trong mạng.

8. CVE-2026-46331 Linux Kernel "pedit COW": Leo thang đặc quyền cục bộ lên root

Lỗ hổng nằm trong hành động chỉnh sửa gói tin (act_pedit) thuộc phân hệ điều khiển lưu lượng net/sched của nhân Linux. Hàm tcf_pedit_act() tính phạm vi sao chép khi ghi (copy-on-write, viết tắt COW) một lần trước vòng lặp khóa, dựa trên gợi ý tcfp_off_max_hint vốn không tính đến độ lệch tiêu đề (header offset) phát sinh tại thời điểm chạy đối với các khóa có kiểu. Hệ quả là một phần vùng ghi không được tách bản riêng (un-COW'd) và ghi đè trực tiếp lên vùng bộ nhớ đệm trang (page cache) dùng chung. Đây là một lỗi ghi ngoài giới hạn (out-of-bounds write).

Mã khai thác công khai, được tác giả kiểm chứng, đầu độc bản sao trong bộ nhớ đệm của tệp /bin/su có cờ setuid root, chèn một tải trọng nhỏ và chạy bản sao đã sửa với quyền root. Vì thao tác không chạm đến tệp trên đĩa, các cơ chế kiểm tra toàn vẹn tệp vẫn báo bình thường trong khi một phiên shell quyền root đã được mở. Điều kiện khai thác là act_pedit có thể nạp được và không gian tên người dùng không đặc quyền (unprivileged user namespaces) được mở, vốn hiện diện mặc định trên nhiều bản phân phối như RHEL và Debian.

Khía cạnh đáng lo ngại không chỉ là bản thân lỗi mà là cách nó xuất hiện. Bản vá được thảo luận công khai trên danh sách thư netdev như một sửa lỗi hỏng dữ liệu thông thường, không kèm CVE và không có cảnh báo bảo mật. CVE chỉ được gán khi bản vá được hợp nhất vào ngày 16 tháng 6, và mã khai thác vũ khí hóa xuất hiện ngay ngày hôm sau. Đây là một lỗ hổng dạng N-day theo nghĩa nguy hiểm nhất đối với đội phòng thủ: chi tiết kỹ thuật khai thác đã hiển thị công khai trên một danh sách thư trước khi phần lớn tổ chức có được CVE, quy tắc quét, hay quy trình vá tương ứng. Red Hat đánh giá ở mức Quan trọng; CVSS chưa được hoàn thiện tại thời điểm công bố. Bản sửa đã có trên nhân chính (mainline), các nhánh ổn định, cùng RHEL 8/9/10, AlmaLinux và Debian 13. Do tính phổ biến của Linux trong các môi trường máy chủ, đám mây và container đa thuê bao, độ phủ tiềm tàng của lỗ hổng là rất rộng.

9. CVE-2026-11645 Google Chromium V8: Đọc và ghi ngoài giới hạn

Lỗ hổng nằm trong V8, công cụ thực thi JavaScript của Chromium, dưới dạng đọc và ghi ngoài giới hạn (out-of-bounds read and write). CISA đưa lỗ hổng này vào danh mục KEV ngày 9 tháng 6 dựa trên bằng chứng khai thác chủ động. Vì V8 là thành phần dùng chung của Google Chrome, Microsoft Edge và mọi trình duyệt dựa trên Chromium, phạm vi ảnh hưởng trải rộng trên hàng tỷ phiên bản trình duyệt toàn cầu. Trong tháng, Google đã xử lý khoảng 360 lỗ hổng nền Chromium, phần lớn được Microsoft đưa vào bản cập nhật Edge tương ứng.

Trình duyệt là bề mặt tấn công phổ biến nhất đối với người dùng cuối, vì chỉ cần truy cập một trang web độc hại đã có thể kích hoạt khai thác kiểu tải nhân tiện (drive-by). Lỗ hổng V8 bị khai thác thường được kết hợp với một lỗ hổng thoát hộp cát (sandbox escape) để đạt khả năng kiểm soát rộng hơn. Do trình duyệt thường tự động cập nhật, biện pháp hữu hiệu nhất là bảo đảm cơ chế cập nhật không bị vô hiệu hóa và khởi động lại trình duyệt sau khi vá.

10. CVE-2026-50507 Windows BitLocker "YellowKey": Vượt qua tính năng bảo mật (CVSS 6.8)

Lỗ hổng cho phép vượt qua cơ chế mã hóa toàn ổ đĩa BitLocker thông qua một cuộc tấn công vật lý, thuộc dạng thất bại cơ chế bảo vệ. Theo phân tích, kẻ tấn công có thể đặt các tệp được chế tạo đặc biệt lên ổ USB hoặc phân vùng EFI, khởi động vào Môi trường Phục hồi Windows (WinRE) và kích hoạt một phiên shell có quyền truy cập vào các ổ đĩa được BitLocker bảo vệ. Lỗ hổng được nhà nghiên cứu Nightmare Eclipse công bố công khai, đã có mã minh chứng, và Microsoft đánh giá khả năng khai thác ở mức cao hơn.

Dù điểm CVSS chỉ ở mức trung bình và yêu cầu truy cập vật lý, lỗ hổng được đưa vào danh sách vì BitLocker là biện pháp kiểm soát nền tảng được hầu hết tổ chức triển khai trên thiết bị Windows doanh nghiệp như tuyến phòng thủ cuối cùng cho thiết bị bị thất lạc hoặc bị đánh cắp. Việc một biện pháp bảo vệ được tin cậy rộng rãi có thể bị vô hiệu hóa làm thay đổi giả định rủi ro của nhiều mô hình bảo mật thiết bị đầu cuối.

Tổng kết

Mười lỗ hổng nêu trên, dù khác nhau về sản phẩm và lớp kỹ thuật, cùng phản ánh một số xu hướng có ý nghĩa đối với cả nghiên cứu và thực hành an toàn thông tin.

Thứ nhất, thiết bị biên và hạ tầng truy cập từ xa tiếp tục là điểm xâm nhập ban đầu được ưu tiên. Check Point VPN, Fortinet FortiGate, Cisco SD-WAN và Cisco Unified CM đều là các tài sản nằm ở chu vi mạng hoặc làm nhiệm vụ điều phối trung tâm. Việc kiểm soát một thiết bị như vậy thường đồng nghĩa với việc vượt qua phòng thủ chu vi và truy cập trực tiếp vào mạng nội bộ, lý do khiến các nhóm mã độc tống tiền như Qilin nhắm vào chúng.

Thứ hai, danh tính đang trở thành chu vi mới. Chiến dịch FortiBleed cho thấy một lớp rủi ro không thể giải quyết bằng vá lỗi: thông tin đăng nhập bị suy giảm entropy do tái sử dụng, lưu trữ bằng hàm băm yếu và thiếu xác thực đa yếu tố. Khác với một CVE có phạm vi xác định theo phiên bản và thời hạn theo ngày phát hành bản vá, một cơ sở dữ liệu thông tin đăng nhập hợp lệ tạo ra cửa sổ truy cập kéo dài cho đến khi từng thông tin được xoay vòng. Điều này buộc câu hỏi phòng thủ chuyển từ "chúng ta đang chạy phiên bản nào" sang "thông tin đăng nhập của chúng ta đã từng bị lộ, bị bẻ khóa hay còn hiệu lực sau một sự cố trước hay chưa".

Thứ ba, rủi ro N-day đang gia tăng. Trường hợp pedit COW cho thấy chi tiết kỹ thuật khai thác có thể hiển thị công khai trong các commit mã nguồn mở và danh sách thư trước khi có CVE, advisory hay quy tắc quét. Việc chỉ phụ thuộc vào danh mục KEV của CISA hoặc thông báo của nhà cung cấp là không đủ; đội phòng thủ cần theo dõi cả các kho mã thượng nguồn đối với những thành phần trọng yếu.

Thứ tư, các lớp lỗ hổng kinh điển vẫn chiếm ưu thế. Tràn bộ đệm và ghi ngoài giới hạn trong mã nhân và mã gốc (CVE-2026-44815, CVE-2026-45657, CVE-2026-46331, CVE-2026-11645) cho thấy an toàn bộ nhớ vẫn là vấn đề chưa được giải quyết triệt để. Song song, các lỗi thiếu xác thực cho chức năng trọng yếu và vượt qua xác thực (CVE-2026-20253, CVE-2026-50751, CVE-2026-24858) lặp lại nhiều lần, cho thấy sai sót ở tầng logic kiểm soát truy cập tiếp tục phổ biến không kém lỗi an toàn bộ nhớ.

Thứ năm, trí tuệ nhân tạo đang định hình cả tốc độ phát hiện lẫn tốc độ khai thác. Khối lượng vá kỷ lục một phần đến từ việc nghiên cứu viên và nhà cung cấp dùng công cụ AI để phát hiện lỗ hổng mà rà soát thủ công bỏ sót. Tuy nhiên, kẻ tấn công cũng tiếp cận cùng loại công cụ, góp phần rút ngắn khoảng cách giữa công bố và vũ khí hóa.