Lỗ hổng bảo mật cần vá lại: AI giúp tấn công nhanh hơn
"A recent report by Terra Security indicates a significant increase in failed security patches in 2026, coinciding with the rise of AI-powered vulnerability discovery. Specifically, 2.3% of GitHub security fixes required follow-up advisories within 90 days, compared to 0.2% between 2019-2025. Vulnerabilities related to Server-Side Request Forgery (CVEs like CVE-2026-21510 and CVE-2026-32202) and prototype pollution are particularly prone to bypasses."
Sự gia tăng các bản vá lỗi bị bỏ qua cho thấy tính bảo mật của phần mềm đang bị suy giảm. Các lỗ hổng SSRF và prototype pollution đặc biệt đáng lo ngại do khó khắc phục triệt để.
Doanh nghiệp có thể phải đối mặt với chi phí khắc phục sự cố tăng cao do các bản vá lỗi không hiệu quả. Việc này cũng có thể dẫn đến mất uy tín và thiệt hại về tài chính.
Terra Security báo cáo số lượng vá lỗi bảo mật trên GitHub bị báo cáo lỗi trong vòng 90 ngày tăng đáng kể năm 2026. Cụ thể, 2.3% các bản sửa lỗi bảo mật cần thông báo tiếp theo, so với 0.2% từ 2019-2025. Các lỗ hổng liên quan đến Server-Side Request Forgery (SSRF - giả mạo yêu cầu phía máy chủ) và prototype pollution (ô nhiễm nguyên mẫu) đặc biệt dễ bị bỏ qua.
Điều này ảnh hưởng đến các kỹ sư và doanh nghiệp Việt Nam vì việc vá lỗi không còn đảm bảo an toàn tuyệt đối. Các đối tượng tấn công có thể nhanh chóng tìm ra cách vượt qua các bản vá lỗi, đặc biệt khi sử dụng AI để phát hiện lỗ hổng. Việc này đòi hỏi quy trình kiểm tra và ứng phó nhanh chóng hơn.
Ví dụ, lỗ hổng zero-day Windows Shell (CVE-2026-21510) bị khai thác bởi các điệp viên mạng Nga ít nhất một tháng trước khi Microsoft phát hành bản vá vào tháng 2. Bản vá này không hoàn chỉnh, để lại một lỗ hổng khác (CVE-2026-32202) cũng bị khai thác trước khi được sửa chữa vào tháng 4. https://www.theregister.com/2026/10/19/security_patches_need_patches_now_that_attackers_have_ai/
Nghiên cứu của Terra cho thấy, từ 2019 đến 2025, chỉ khoảng 0.2% các bản vá lỗi trên GitHub cần thông báo tiếp theo. Đến năm 2026, con số này đã tăng lên 2.3%. Các lỗ hổng mà bản vá bị bỏ qua có khả năng xuất hiện trong danh sách Known Exploited Vulnerabilities của CISA cao gấp bốn lần so với các lỗ hổng khác.
Các lỗ hổng liên quan đến SSRF và prototype pollution thường gặp vấn đề nhất. Nguyên nhân là do cách các lỗ hổng này được sửa chữa: sử dụng danh sách chặn các đầu vào. Nếu danh sách chặn không bao gồm tất cả các biến thể của đầu vào độc hại, kẻ tấn công chỉ cần tìm ra một biến thể chưa được chặn.
Các bản sửa lỗi cho lỗ hổng kernel Linux cũng có nhiều khả năng gây ra lỗi mới. Tính đến ngày 8 tháng 10, 3.2% các CVE kernel được tạo ra do bản sửa lỗi cho một CVE khác, và khoảng 10% trong các subsystem bận rộn như fs/smb và net/sched.
Câu hỏi thường gặp
Tỷ lệ vá lỗi bị báo cáo lỗi trong vòng 90 ngày đã thay đổi như thế nào từ 2019-2025 đến năm 2026?
Từ 2019 đến 2025, tỷ lệ này là khoảng 0.2%. Đến năm 2026, con số này đã tăng lên 2.3%.
Những loại lỗ hổng nào thường gặp vấn đề nhất khi vá lỗi?
Các lỗ hổng liên quan đến Server-Side Request Forgery (SSRF) và prototype pollution thường gặp vấn đề nhất do cách chúng được sửa chữa bằng danh sách chặn.
Các nhà nghiên cứu đề xuất những câu hỏi nào cần xem xét trước khi phát hành bản vá lỗi?
Các nhà nghiên cứu đề xuất ba câu hỏi: Bản vá có giải quyết nguyên nhân gốc rễ không? Bản vá có bao phủ toàn bộ lớp lỗ hổng không? Bản vá có gây ra tác dụng phụ nào không?
Góc nhìn của Orange Cloud
Theo chúng tôi, sự gia tăng này cho thấy các doanh nghiệp Việt Nam cần xem xét lại quy trình vá lỗi của mình. Thay vì chỉ 'vá và tiếp tục', cần đánh giá kỹ lưỡng xem bản vá có giải quyết triệt để nguyên nhân gốc rễ, bao phủ toàn bộ lớp lỗ hổng hay không, và có gây ra tác dụng phụ nào không. Điều đáng chú ý là việc sử dụng AI trong tấn công bảo mật sẽ tiếp tục gia tăng, đòi hỏi các tổ chức phải chủ động hơn trong việc phòng thủ.