Một làn sóng tấn công mạng nguy hiểm vừa được các hãng an ninh mạng quốc tế phát đi cảnh báo đỏ vào ngày 12/10/2026. Lỗ hổng bảo mật tối nghiêm trọng mang mã số CVE-2026-102255 trên thiết bị cổng truy cập mạng SonicWall SMA 1000 đang bị tin tặc ráo riết khai thác thực tế, mở đường cho kẻ xấu vượt rào kiểm soát hệ thống nội bộ chỉ sau vài ngày bản vá được phát hành.
Báo động đỏ với lỗ hổng đạt điểm nguy hiểm tuyệt đối 10/10
Trong thang đo độ nguy hiểm bảo mật quốc tế (CVSS), việc một lỗ hổng bị đánh giá điểm tuyệt đối 10.0 là trường hợp cực kỳ hiếm hoi và báo hiệu rủi ro thảm họa. Lỗ hổng CVE-2026-102255 tồn tại trong giao diện WorkPlace – cổng thông tin điện tử dùng để kết nối làm việc từ xa của dòng thiết bị mạng cao cấp SonicWall Secure Mobile Access (SMA) 1000.
Điều đáng sợ là kẻ tấn công không cần sở hữu bất kỳ tài khoản hay mật khẩu nào (pre-authentication). Bằng cách gửi các gói tin giả mạo yêu cầu từ phía máy chủ (SSRF), tin tặc có thể biến chính thiết bị bảo vệ của SonicWall thành một con rối trung gian, ra lệnh cho nó thực thi các thao tác trái phép và thâm nhập sâu vào các tài nguyên nội bộ được bảo vệ nghiêm ngặt nhất.
Hơn 135 đợt tấn công thực tế nổ ra ngay sau khi bản vá ra đời
Dù SonicWall đã nhanh chóng phát hành bản vá nóng (hotfix) vào ngày 6/10, tốc độ hành động của giới tội phạm mạng còn nhanh hơn một bước. Các hệ thống bẫy honeypot của hai công ty an ninh mạng Defused Cyber và Previdian đã ghi nhận các nỗ lực thăm dò và tấn công đầu tiên chỉ sau đó đúng 48 giờ.
Số liệu giám sát thời gian thực xác nhận đã có ít nhất 135 đợt khai thác nhắm thẳng vào các thiết bị kết nối Internet. Các chuyên gia bảo mật cảnh báo rằng các nhóm hacker chuyên tống tiền bằng mã độc (ransomware) thường xuyên săn lùng các thiết bị cổng VPN như SonicWall để đánh cắp mã khóa xác thực hai lớp (TOTP/MFA) và phiên đăng nhập của quản trị viên, từ đó đánh sập toàn bộ mạng nội bộ doanh nghiệp.
Nguy cơ gián tiếp đe dọa các dịch vụ trực tuyến và game thủ
Dù thiết bị SMA 1000 chủ yếu phục vụ các doanh nghiệp và tập đoàn lớn, sự sụp đổ của các cổng bảo mật biên giới có thể kéo theo nguy cơ rò rỉ dữ liệu của hàng triệu người dùng cá nhân. Nếu các nhà phát hành dịch vụ số hoặc nền tảng game bị xâm nhập qua cổng VPN nội bộ, tin tặc hoàn toàn có thể trích xuất cơ sở dữ liệu tài khoản, thông tin thanh toán hoặc phát tán mã độc diện rộng.
Khuyến cáo hành động khẩn cấp cho quản trị viên hệ thống
Trước diễn biến leo thang phức tạp, các chuyên gia an ninh mạng khuyến nghị các tổ chức đang vận hành các dòng thiết bị SMA 1000 (gồm các model vật lý 6210, 7210 và máy ảo 8200v) phải lập tức cài đặt bản cập nhật firmware 12.4.3-03670 hoặc 12.5.0-03082.
Đồng thời, quản trị viên cần tiến hành rà soát kỹ lưỡng nhật ký kết nối (access logs), kiểm tra các lưu lượng truy cập bất thường đến giao diện WorkPlace và chủ động cô lập các thiết bị chưa kịp vá lỗi khỏi môi trường Internet công cộng để chặn đứng nguy cơ bị chiếm quyền điều khiển.
