Cảnh báo 4 lỗ hổng nghiêm trọng trong hệ thống quản lý văn bản tại nhiều cơ quan, doanh nghiệp

Hương Giang - 15:27 | 27/07/2025

Theo các chuyên gia Bkav, có tới 4 lỗ hổng zero-day nghiêm trọng tồn tại trên các phiên bản SharePoint Server 2016, 2019 và Subscription Edition, cho phép tin tặc chiếm quyền điều khiển hệ thống từ xa mà không cần xác thực...

Cảnh báo 4 lỗ hổng nghiêm trọng trong hệ thống quản lý văn bản tại nhiều cơ quan, doanh nghiệp

Các lỗ hổng này đang bị khai thác trên diện rộng tại nhiều quốc gia

Đặc biệt, khi kết hợp khai thác 2 trong số các lỗ hổng này, hacker có thể kiểm soát sâu vào hệ thống và duy trì truy cập lâu dài. Đây là "môi trường lý tưởng" cho các chiến dịch tấn công gián điệp APT (Advanced Persistent Threat), đánh cắp hoặc mã hóa dữ liệu nhạy cảm.

Chuyên gia Bkav cũng cho biết các lỗ hổng này đang bị khai thác trên diện rộng tại nhiều quốc gia. Ít nhất 85 máy chủ SharePoint đã bị cài mã độc web shell, gây ảnh hưởng đến 29 tổ chức trên toàn cầu. Trong số nạn nhân có nhiều tập đoàn đa quốc gia và cơ quan chính phủ, bao gồm cả Cơ quan an ninh hạt nhân quốc gia Hoa Kỳ (NNSA).

Tại Việt Nam, SharePoint Server được sử dụng trong quản lý văn bản tại nhiều cơ quan, tổ chức và các doanh nghiệp công nghệ, tài chính lớn. Đến hiện tại, tuy chưa ghi nhận trường hợp bị tấn công, nguy cơ bị khai thác bởi các lỗ hổng này được đánh giá ở mức rất cao, đặc biệt là tại các đơn vị đang triển khai SharePoint Server theo mô hình cài đặt tại chỗ (on-premise) mà chưa kịp thời cập nhật vá lỗi.

SharePoint Server là nền tảng quản lý tài liệu và cộng tác doanh nghiệp do Microsoft phát triển. Hệ thống cho phép lưu trữ, chia sẻ, tìm kiếm và quản lý tài liệu tập trung, đồng thời hỗ trợ xây dựng các trang web nội bộ (Intranet), cổng thông tin doanh nghiệp, tích hợp sâu với Microsoft Office và Microsoft 365 nhằm nâng cao hiệu suất làm việc nhóm.

Quá trình tấn công có thể xuất phát từ một điểm trong mạng nội bộ, sử dụng kỹ thuật tinh vi, khó bị phát hiện. Tin tặc có thể bí mật cài cắm mã độc trên một máy trạm nội bộ, từ đó âm thầm rà quét, mở rộng kiểm soát và từng bước chiếm quyền toàn bộ hệ thống.

Các nhóm tấn công APT thường tận dụng những thời điểm như thế này, khi các hệ thống tồn tại lỗ hổng chưa được vá, để xâm nhập và duy trì sự hiện diện lâu dài. Vì vậy, Bkav đặc biệt kiến nghị các nhà quản trị hệ thống khẩn trương rà soát, siết chặt lại các quyền truy cập từ nội bộ để chặn đứng nguy cơ bị tấn công từ bên trong.

Đối với các cơ quan cấp Bộ có phân quyền truy cập cho các đơn vị địa phương, chuyên gia đề nghị cần lập tức rà soát và giới hạn các quyền này nếu hệ thống chưa được cập nhật bản vá hoặc chưa có biện pháp khắc phục triệt để. Việc cập nhật bản vá lỗ hổng cần thực hiện càng sớm càng tốt.

Đồng thời, cần tăng cường các biện pháp giám sát, giới hạn quyền truy cập từ bên ngoài, triển khai tường lửa ứng dụng web (WAF), theo dõi nhật ký truy cập hệ thống và thiết lập cơ chế cảnh báo sớm khi có dấu hiệu bất thường.

Đối với các đơn vị chưa có đội ngũ chuyên trách về an toàn thông tin, cần chủ động liên hệ với các trung tâm ứng cứu sự cố để được tư vấn, hỗ trợ kịp thời.

Hương Giang

Tags: An ninh mạng tấn công mạng

Tin khác

Mượn danh hỗ trợ vay vốn ngân hàng, chiếm đoạt tài sản gần 8 tỷ đồng

Lợi dụng nhu cầu vay vốn ngân hàng của người dân, Phạm Sỹ Minh Quyền, trú phường Thanh Khê, TP. Đà Nẵng đưa ra lời hứa hỗ trợ thủ tục vay, rồi yêu cầu người vay chuyển nhượng quyền sử dụng đất để mình hoặc người khác đứng tên. Sau khi có quyền đối với tài sản, Quyền đem thế chấp, chuyển nhượng hoặc sử dụng giấy tờ giả để vay tiền, chiếm đoạt gần 8 tỷ đồng.

Nhận diện 25 kịch bản lừa đảo trên không gian mạng năm 2026

Tình hình lừa đảo chiếm đoạt tài sản trên không gian mạng vẫn diễn biến phức tạp, với các thủ đoạn liên tục thay đổi và ngày càng khó nhận diện.

Cảnh báo bẫy “mở tài khoản nhận tiền” nhắm vào học sinh, sinh viên

Chỉ cần căn cước công dân, điện thoại và vài phút xác thực khuôn mặt, người tham gia được hứa trả vài trăm nghìn đồng cho mỗi tài khoản ngân hàng. Đằng sau những lời mời “việc nhẹ, tiền nhanh” nhắm tới học sinh, sinh viên có thể là hoạt động thu gom tài khoản phục vụ lừa đảo, đánh bạc, rửa tiền và nhiều giao dịch bất hợp pháp.

Hàng trăm người sập bẫy đường dây lừa đảo vay online

Đánh vào nhu cầu vay tiền nhanh của những người đang gặp khó khăn về tài chính, một đường dây lừa đảo liên tỉnh đã dựng các tài khoản, trang mạng xã hội giả mạo để mời chào cho vay trực tuyến. Khi người vay cung cấp thông tin và chuyển các khoản phí theo yêu cầu, các đối tượng tiếp tục đưa ra nhiều lý do để “moi” thêm tiền rồi cắt đứt liên lạc. Bước đầu, Công an TP. Đà Nẵng xác định hàng trăm người trên cả nước đã trở thành nạn nhân, với số tiền bị chiếm đoạt hơn 4 tỷ đồng.

Mùa nhập học, cảnh giác bẫy lừa tiền cọc nhà trọ trên mạng

Tìm kiếm căn hộ, nhà cho thuê qua mạng đã trở thành lựa chọn quen thuộc trong nhịp sống hiện đại, giúp người thuê dễ dàng tham khảo vị trí, mức giá và liên hệ với người cho thuê. Tuy nhiên, môi trường trực tuyến cũng để lại nhiều khoảng trống để kẻ gian khai thác bằng những kịch bản ngày càng tinh vi.

Gửi tiết kiệm hấp dẫn, cảnh giác bẫy lãi suất “siêu cao”

Tiền gửi dân cư liên tiếp lập kỷ lục khi mặt bằng lãi suất tiết kiệm trở nên hấp dẫn hơn và tâm lý ưu tiên an toàn gia tăng. Tuy nhiên, cùng với dòng tiền trở lại ngân hàng, những lời mời chào “gói VIP”, “suất gửi nội bộ” với lãi suất 15-20%/năm cũng xuất hiện ngày càng nhiều trên mạng xã hội, đặt ra yêu cầu người gửi tiền phải tỉnh táo trước những mức sinh lời cao bất thường.

Giả danh công an để lừa đảo chuyển tiền

Một cuộc điện thoại tự xưng là cán bộ Công an, thông báo liên quan đến vụ án rồi yêu cầu chuyển tiền để “xác minh” đã khiến một người dân ở Hà Tĩnh suýt bán 5 chỉ vàng để làm theo. May mắn, chủ tiệm vàng kịp thời nhận ra dấu hiệu bất thường và đưa khách hàng đến cơ quan Công an trình báo.

Cảnh báo giả mạo website điện lực để lừa đảo

Tổng công ty Điện lực miền Nam (EVNSPC) thông báo khẩn đến tất cả khách hàng về tình trạng mạo danh trang Web và ứng dụng chăm sóc khách hàng (CSKH) EVNSPC nhằm phát tán mã độc, chiếm đoạt tài khoản ngân hàng.

Ngân hàng tiếp sức mùa tựu trường, sinh viên cần tỉnh táo trước bẫy "tín dụng đen"

Năm học mới mở ra nhiều kỳ vọng cho học sinh, sinh viên nhưng cũng kéo theo bài toán tài chính không nhỏ với hàng triệu gia đình, nhất là những nhà có con lần đầu học xa. Trong khi các ngân hàng, tổ chức tín dụng đang tung nhiều giải pháp hỗ trợ học phí, sinh hoạt và thanh toán, nhu cầu cần tiền gấp của học sinh, sinh viên cũng trở thành “đích ngắm” của tín dụng đen với những lời mời vay nhanh, thủ tục đơn giản nhưng tiềm ẩn vòng xoáy nợ nần.

Cảnh giác với những cú lừa đảo đầu tư ảo qua mạng xã hội

Đánh vào tâm lý ham lợi nhuận và sự tin tưởng trong các mối quan hệ tình cảm trên mạng xã hội, các đối tượng từng bước tạo lòng tin, hướng dẫn nạn nhân chuyển tiền rồi tìm cách chiếm đoạt. Phía sau những lời mời gọi tưởng như đơn giản có thể là cả một đường dây được tổ chức bài bản, hoạt động xuyên quốc gia.