Số lượng lỗ hổng bảo mật năm nay vượt 100.000
"The number of disclosed Common Vulnerabilities and Exposures (CVEs) in 2026 has surpassed 100,000, more than double the total from 2025. This increase is largely attributed to the use of AI in vulnerability hunting. The time between CVE publication and exploitation is shrinking, with some vulnerabilities being exploited within minutes of disclosure."
Sự gia tăng số lượng CVE và thời gian khai thác lỗ hổng nhanh chóng tạo ra rủi ro bảo mật đáng kể. Các tổ chức cần tăng cường giám sát an ninh và vá lỗi kịp thời.
Việc xử lý số lượng lớn lỗ hổng bảo mật đòi hỏi nguồn lực và chi phí đáng kể. Các doanh nghiệp có thể cần đầu tư vào công cụ tự động hóa và dịch vụ bảo mật để giảm thiểu rủi ro.
Số lượng CVE (Common Vulnerabilities and Exposures - Mã định danh lỗ hổng bảo mật chung) được công bố năm 2026 đã vượt 100.000, gấp đôi so với năm 2025. Nguyên nhân chính là do việc sử dụng AI (trí tuệ nhân tạo) trong việc tìm kiếm lỗ hổng.
Josh Bressers, giám đốc VulnCheck, nhận định con số này sẽ còn tăng nhanh trong tương lai. Microsoft riêng đã công bố 1.094 lỗ hổng vào tháng 10 và 1.474 lỗ hổng vào tháng trước.
Khoảng 1,4% (1.363) các CVE được công bố năm nay đã bị khai thác ngoài thực tế. Tuy nhiên, với số lượng lỗ hổng tăng vọt, 1% của 100.000 lỗ hổng có tác động lớn hơn nhiều so với 1% của 1.000 lỗ hổng. Thời gian từ khi công bố bản vá đến khi kẻ tấn công khai thác lỗ hổng đang rút ngắn.
CrowdStrike ghi nhận 88% các trường hợp khai thác sử dụng PoC (proof-of-concept - mã chứng minh khái niệm) công khai diễn ra trong vòng 48 giờ sau khi mã được phát hành. Các nhóm liên kết với Trung Quốc như Vault Panda và Genesis Panda thậm chí còn nhanh hơn, tấn công trong vòng 24 giờ. VulnCheck cũng thấy thời gian trung bình từ khi CVE được công bố đến khi bị khai thác giảm từ 120 ngày (2025) xuống 80 ngày (nửa đầu 2026), và tiếp tục giảm trong nửa sau năm. Một số lỗ hổng, như 14 lỗ hổng trong bộ điều khiển Copeland, bị khai thác chỉ vài phút sau khi công bố. https://www.theregister.com/2026/11/13/bug_count_passes_100k/
Bressers cho rằng ngành công nghiệp cần thay đổi cách tiếp cận việc công bố và vá lỗ hổng. Thay vì tập trung vào việc vá tất cả các lỗ hổng nghiêm trọng, các tổ chức nên ưu tiên các lỗ hổng ảnh hưởng trực tiếp đến hệ thống của họ, đặc biệt là các hệ thống kết nối internet và dễ bị tấn công tự động. CISA (Cơ quan An ninh Cơ sở hạ tầng và An ninh Mạng Hoa Kỳ) đã ban hành chỉ thị về vấn đề này. https://www.theregister.com/2026/11/13/bug_count_passes_100k/
Câu hỏi thường gặp
CVE là gì?
CVE (Common Vulnerabilities and Exposures) là Mã định danh lỗ hổng bảo mật chung, một danh sách các lỗ hổng bảo mật công khai đã được biết đến. Mỗi lỗ hổng được gán một ID duy nhất.
AI ảnh hưởng đến số lượng lỗ hổng như thế nào?
AI đang được sử dụng để tự động hóa việc tìm kiếm lỗ hổng bảo mật, dẫn đến việc phát hiện ra nhiều lỗ hổng hơn trong thời gian ngắn hơn. Điều này giải thích sự gia tăng đột biến trong số lượng CVE được công bố.
CISA BOD là gì?
CISA BOD (CISA's Binding Operational Directive) là chỉ thị bắt buộc của Cơ quan An ninh Cơ sở hạ tầng và An ninh Mạng Hoa Kỳ, hướng dẫn các tổ chức ưu tiên vá lỗ hổng dựa trên rủi ro thực tế, thay vì chỉ dựa trên mức độ nghiêm trọng.
Góc nhìn của Orange Cloud
Theo chúng tôi, số lượng lỗ hổng tăng vọt do AI tạo ra một thách thức lớn cho các doanh nghiệp Việt Nam. Việc theo dõi và vá các lỗ hổng trở nên khó khăn hơn. Các doanh nghiệp nên xem xét sử dụng các công cụ quản lý lỗ hổng tự động và ưu tiên vá các lỗ hổng quan trọng nhất đối với hệ thống của họ. Điều đáng chú ý là việc tập trung vào heat map (bản đồ nhiệt) cho cơ sở hạ tầng sẽ giúp xác định các lỗ hổng cần ưu tiên xử lý.