Lỗ hổng trên SolarWinds nguy hiểm đến mức bị yêu cầu vá trong 3 ngày

[WhiteHat Team]

Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) vừa cảnh báo khẩn về một lỗ hổng đặc biệt nguy hiểm trên phần mềm quản lý hỗ trợ CNTT SolarWinds Web Help Desk - công cụ đang được nhiều doanh nghiệp, tổ chức trên thế giới sử dụng. Lỗ hổng này đã bị tin tặc khai thác, buộc các cơ quan liên bang Mỹ phải khắc phục trong vòng 3 ngày. Với Việt Nam, đây là tín hiệu cảnh báo sớm cho các đơn vị đang dùng SolarWinds: nguy cơ bị tấn công là hoàn toàn có thật nếu chậm vá lỗi.
​

Ảnh: Helpnet Security​

Lỗ hổng có mã CVE-2025-40551, điểm CVSS 9,8 xuất phát từ lỗi xử lý dữ liệu không an toàn, cho phép xâm nhập từ xa mà không cần tài khoản đăng nhập từ đó chiếm quyền điều khiển máy chủ. Nói đơn giản, chỉ cần hệ thống chưa vá, tin tặc có thể “đi cửa chính” để cài mã độc hoặc kiểm soát toàn bộ máy chủ hỗ trợ kỹ thuật. SolarWinds đã phát hành bản vá trong phiên bản Web Help Desk 2026.1 và tung bản sửa lỗi khẩn (hotfix) ngay trước khi CISA chính thức đưa ra cảnh báo.

Web Help Desk là công cụ quản lý hỗ trợ công nghệ thông tin được dùng khá phổ biến trong cơ quan nhà nước, doanh nghiệp lớn, lĩnh vực y tế và giáo dục. SolarWinds cho biết hiện có hơn 300.000 khách hàng trên toàn cầu đang sử dụng các sản phẩm của hãng, đồng nghĩa phạm vi ảnh hưởng của lỗ hổng là không hề nhỏ.

Cùng đợt này, SolarWinds cũng xử lý thêm 3 lỗ hổng nguy hiểm khác đều có thể bị khai thác:​

• CVE-2025-40537: Lộ sẵn tài khoản/mật khẩu được “nhúng cứng” trong phần mềm (hardcoded credentials).​
• CVE-2025-40552 và CVE-2025-40554: Lỗi vượt qua bước xác thực, cho phép bỏ qua đăng nhập để truy cập hệ thống trái phép.​

Theo CISA, yêu cầu vá khẩn trong 3 ngày theo chỉ thị BOD 22-01 chỉ áp dụng cho các cơ quan liên bang Mỹ. Tuy vậy, nguy cơ tấn công không “chừa” bất kỳ ai. Doanh nghiệp và tổ chức tư nhân, trong đó có các đơn vị tại Việt Nam cũng cần cập nhật bản vá ngay lập tức nếu đang sử dụng SolarWinds Web Help Desk. Thực tế, phần mềm này từng nhiều lần trở thành mục tiêu của tin tặc: năm 2024, một lỗ hổng lộ thông tin đăng nhập được khai thác ngoài thực tế; trước đó, các lỗi cho phép chiếm quyền điều khiển máy chủ (RCE) cũng từng bị lợi dụng.

Quản trị viên nên nhanh chóng nâng cấp lên phiên bản đã được vá, kiểm tra hệ thống để phát hiện dấu hiệu xâm nhập, hạn chế phơi nhiễm dịch vụ ra Internet và tăng cường giám sát an ninh nhằm giảm thiểu nguy cơ bị chiếm quyền hệ thống.
​

Theo Bleeping Computer​