Google vá lỗ hổng zero-click trên Android, cho phép chiếm quyền thiết bị từ xa

[WhiteHat Team]

Không cần nhấn vào bất kỳ liên kết nào, không tải ứng dụng lạ, thậm chí không cần chạm vào màn hình, một thiết bị Android vẫn có thể bị chiếm quyền điều khiển hoàn toàn. Đây không phải là kịch bản trong các bộ phim viễn tưởng, mà là thực tế đáng lo ngại về lỗ hổng CVE-2026-0073 vừa được Google khẩn cấp cảnh báo trong Bản tin Bảo mật Android tháng 5/2026. Sự xuất hiện của lỗ hổng zero-click này đang đặt hàng triệu thiết bị chạy hệ điều hành Android trước một mối đe dọa an ninh mạng nghiêm trọng và trực diện hơn bao giờ hết.
​

Hiện một PoC được cho là của CVE-2026-0073 đã được công khai trên GitHub nhưng chưa được phía hãng xác nhận chính thức. Trong PoC này, kịch bản khai thác yêu cầu thiết bị đã được ghép nối (pairing) với máy tấn công từ trước. Tuy nhiên, các chuyên gia cho rằng đây chỉ là mô hình thử nghiệm nhằm đơn giản hóa việc tái hiện lỗ hổng trong môi trường kiểm thử. Trên thực tế, mức độ nguy hiểm của CVE-2026-0073 phụ thuộc vào cấu hình thiết bị, đặc biệt là các trường hợp đang bật tính năng Gỡ lỗi qua USB hoặc Wireless Debugging.

Trong một số trường hợp, những thiết bị để lộ hoặc cấu hình sai cơ chế gỡ lỗi có thể trở thành mục tiêu bị khai thác nếu tin tặc xây dựng được biến thể tấn công phù hợp, dẫn đến nguy cơ thực thi lệnh từ xa qua mạng nội bộ mà người dùng không nhận biết.

Lỗ hổng xuất phát từ adbd, một tiến trình nền thuộc Android Debug Bridge, vốn được dùng để gửi lệnh và điều khiển thiết bị trong quá trình gỡ lỗi. Đây là thành phần nhạy cảm nên bình thường được kiểm soát rất chặt. Tuy nhiên, lỗi mới đã làm suy yếu cơ chế bảo vệ này, mở đường cho truy cập trái phép vào hệ thống.

Khi bị khai thác, kẻ tấn công có thể thực thi lệnh trên thiết bị với quyền “shell”. Quyền này cho phép vượt qua cơ chế sandbox của Android và can thiệp sâu vào hệ thống mà không cần thêm đặc quyền. Đáng chú ý, adbd là một phần của Project Mainline và được cập nhật qua hệ thống Google Play. Khiến phạm vi ảnh hưởng khá rộng, bao gồm các thiết bị chạy Android 14, Android 15, Android 16 và Android 16 QPR2.

Nhận thức được mức độ nghiêm trọng của vấn đề, Google đã chính thức tung ra bản vá lỗi trong bản cập nhật bảo mật ngày 01/05/2026. Hãng cũng đã gửi thông tin cảnh báo trước một tháng cho các đối tác phần cứng để kịp thời chuẩn bị các bản cập nhật firmware qua OTA. Đồng thời, mã nguồn sửa lỗi đã được tích hợp vào kho lưu trữ của Dự án Nguồn mở Android (AOSP) nhằm đảm bảo tính an toàn dài hạn cho toàn bộ hệ sinh thái.

Để giảm nguy cơ bị tấn công, người dùng Android nên chủ động kiểm tra và cập nhật thiết bị càng sớm càng tốt. Trước hết, hãy vào phần Cài đặt, chọn Hệ thống và kiểm tra mục Bản cập nhật hệ thống, đảm bảo mức vá bảo mật từ ngày 01/05/2026 trở lên. Bên cạnh đó, với các thiết bị chạy từ Android 10, người dùng cũng nên kiểm tra cập nhật hệ thống Google Play trong phần cài đặt bảo mật, vì một số bản vá quan trọng có thể được phát hành qua kênh này.

​

Theo Cyber Security News​