CISA cảnh báo lỗ hổng zero-day trên Chromium đang bị khai thác thực tế

[WhiteHat Team]

Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) vừa phát đi cảnh báo khẩn cấp về lỗ hổng zero-day CVE-2026-11645 trong Chromium, nền tảng trình duyệt được sử dụng bởi Google Chrome, Microsoft Edge, Opera và nhiều sản phẩm khác. Lỗ hổng hiện đã bị khai thác ngoài thực tế, làm dấy lên lo ngại về nguy cơ tấn công diện rộng.
​

CVE-2026-11645 nằm trong V8, bộ máy JavaScript đóng vai trò trung tâm của Chromium. Lỗ hổng bắt nguồn từ lỗi truy cập bộ nhớ ngoài phạm vi cho phép, được phân loại là CWE-125 (Out-of-Bounds Read) và CWE-787 (Out-of-Bounds Write), khiến trình duyệt có thể đọc hoặc ghi dữ liệu vượt quá vùng nhớ được cấp phát. Dạng lỗi này thường dẫn đến tình trạng hỏng bộ nhớ và từ lâu đã được các nhóm tấn công ưa chuộng do có thể bị lợi dụng để thực thi mã tùy ý.

Mức độ rủi ro của CVE-2026-11645 được đánh giá là rất cao do phương thức kích hoạt đơn giản. Tin tặc có thể thực thi mã từ xa chỉ bằng cách dẫn dụ người dùng truy cập vào một trang HTML được thiết kế độc hại. Dù ban đầu chỉ bị giới hạn trong sandbox của trình duyệt, các nhóm tin tặc tinh vi hoàn toàn có thể kết hợp lỗ hổng này với các chuỗi khai thác khác để thoát khỏi sandbox và xâm nhập sâu hơn vào hệ thống máy tính.

Nguy cơ từ CVE-2026-11645 không chỉ dừng lại ở Google Chrome. Do Chromium là nền tảng của nhiều trình duyệt phổ biến, phạm vi ảnh hưởng của lỗ hổng trải rộng trên hàng triệu thiết bị cá nhân và hệ thống doanh nghiệp. Điều này khiến việc cập nhật bản vá trở thành yêu cầu cấp thiết đối với các tổ chức vận hành hạ tầng CNTT quy mô lớn.

CISA yêu cầu các cơ quan liên bang Mỹ hoàn tất việc khắc phục trước ngày 23/6/2026 theo chỉ thị BOD 22-01. Cơ quan này cũng khuyến nghị các tổ chức triển khai ngay các bản cập nhật bảo mật do nhà cung cấp phát hành, đồng thời tăng cường giám sát hoạt động trình duyệt, áp dụng giải pháp EDR và hạn chế truy cập các website không đáng tin cậy.

Trước tình hình khai thác diễn ra liên tục, các chuyên gia an ninh mạng khuyến nghị các tổ chức và người dùng cần áp dụng ngay các bản vá do nhà cung cấp phát hành. Nếu bản vá chưa sẵn sàng, người dùng nên tạm ngừng sử dụng các sản phẩm bị ảnh hưởng cho đến khi bản cập nhật bảo mật chính thức được tung ra.

Bên cạnh việc cập nhật phần mềm, các tổ chức cần tăng cường giám sát hoạt động bất thường của trình duyệt, thực thi chính sách quản lý bản vá nghiêm ngặt và triển khai các giải pháp phát hiện và phản ứng điểm cuối (EDR). Việc hạn chế người dùng tiếp xúc với các trang web không đáng tin cậy và vô hiệu hóa các tính năng trình duyệt không cần thiết cũng là những biện pháp hiệu quả giúp giảm thiểu rủi ro bị tấn công.​