Hai lỗ hổng nghiêm trọng trong Wasmtime có thể cho phép WebAssembly thoát sandbox
"Two critical vulnerabilities (CVE-2026-115889 and CVE-2026-115893) were discovered in Wasmtime, a WebAssembly runtime, potentially allowing malicious WebAssembly modules to escape their sandbox. CVE-2026-115893 specifically affects ARM64 systems. Updates to versions 36.0.19, 48.0.7, 49.0.4, or 50.0.0 are recommended."
Hai lỗ hổng sandbox escape trong Wasmtime cho phép mã độc vượt qua cơ chế bảo vệ, có thể dẫn đến thực thi mã tùy ý.
Các dịch vụ sử dụng Wasmtime để chạy mã do người dùng cung cấp (ví dụ: Fastly Compute) có nguy cơ bị tấn công. Việc cập nhật runtime WebAssembly là cần thiết để giảm thiểu rủi ro.
Wasmtime, một runtime (môi trường chạy) WebAssembly, vừa xuất hiện hai lỗ hổng bảo mật nghiêm trọng (CVE-2026-115889 và CVE-2026-115893) có thể cho phép các module WebAssembly độc hại vượt qua cơ chế sandbox. Các nhà phát triển đã phát hành bản vá vào ngày 19 và 20 tháng 10.
Wasmtime chạy mã WebAssembly bên ngoài trình duyệt web. Cả hai lỗi đều nằm trong Cranelift, trình biên dịch mặc định của Wasmtime để chuyển đổi WebAssembly thành mã máy. Bytecode Alliance đánh giá mức độ nghiêm trọng của mỗi lỗi là 9.9/10 trên thang điểm CVSS.
CVE-2026-115889 ảnh hưởng đến tất cả các kiến trúc bộ xử lý. CVE-2026-115893 chỉ ảnh hưởng đến hệ thống ARM64 (aarch64). Sandbox được thiết kế để giới hạn tài nguyên mà một module có thể sử dụng. Một module chỉ có thể truy cập bộ nhớ riêng và các hàm host được cung cấp, đồng thời mã của nó chỉ được phép nhảy đến các vị trí đã được kiểm tra.
Nguy cơ cao nhất là đối với các dịch vụ biên dịch module do người dùng cung cấp. Ví dụ, Fastly cho biết nền tảng Compute của họ sử dụng Wasmtime. Các thông báo không nêu rõ dịch vụ nào bị ảnh hưởng hoặc kẻ tấn công có thể truy cập gì sau khi thoát sandbox. Tính đến ngày 26 tháng 10, cả hai lỗ hổng chưa xuất hiện trong danh mục Known Exploited Vulnerabilities của CISA.
Để khắc phục, hãy cập nhật lên phiên bản 36.0.19, 48.0.7, 49.0.4 hoặc 50.0.0. Wasmtime 50.0.0 (ra mắt ngày 20 tháng 10) đã sửa cả hai lỗi. Các phiên bản không được hỗ trợ cần nâng cấp lên một trong các phiên bản này. Lưu ý, việc cập nhật công cụ dòng lệnh Wasmtime không tự động sửa lỗi nếu Wasmtime được tích hợp dưới dạng thư viện trong các chương trình khác – các chương trình này cần được biên dịch lại với phiên bản đã sửa lỗi.
Câu hỏi thường gặp
CVE-2026-115889 và CVE-2026-115893 là gì?
Đây là hai lỗ hổng bảo mật trong Wasmtime, một runtime WebAssembly. CVE-2026-115889 ảnh hưởng đến tất cả các kiến trúc, trong khi CVE-2026-115893 chỉ ảnh hưởng đến ARM64. Cả hai đều có thể cho phép module WebAssembly vượt qua sandbox.
Phiên bản Wasmtime nào bị ảnh hưởng?
Các phiên bản trước 36.0.19, 37.0.0 đến 42.x, 43.0.0 đến 47.x, 48.0.0 đến 48.0.6, 49.0.0 đến 49.0.3 đều bị ảnh hưởng. Các phiên bản 48.0.7, 49.0.4 và 50.0.0 trở lên đã được sửa lỗi.
Làm thế nào để khắc phục các lỗ hổng này?
Cập nhật Wasmtime lên phiên bản 36.0.19, 48.0.7, 49.0.4 hoặc 50.0.0. Nếu sử dụng phiên bản không được hỗ trợ, cần nâng cấp lên một trong các phiên bản này. Nếu Wasmtime được tích hợp dưới dạng thư viện, cần biên dịch lại ứng dụng.
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam sử dụng Wasmtime trong cơ sở hạ tầng của họ cần ưu tiên cập nhật lên phiên bản mới nhất. Điều đáng chú ý là lỗ hổng CVE-2026-115893 chỉ ảnh hưởng đến ARM64, do đó các hệ thống sử dụng kiến trúc này cần đặc biệt chú ý. Các nhà phát triển nên kiểm tra và biên dịch lại các ứng dụng sử dụng Wasmtime như một thư viện.