Cảnh báo 4 lỗ hổng nghiêm trọng trong hệ thống quản lý văn bản tại nhiều cơ quan, doanh nghiệp

Hương Giang - 15:27 | 27/07/2025

Theo các chuyên gia Bkav, có tới 4 lỗ hổng zero-day nghiêm trọng tồn tại trên các phiên bản SharePoint Server 2016, 2019 và Subscription Edition, cho phép tin tặc chiếm quyền điều khiển hệ thống từ xa mà không cần xác thực...

Cảnh báo 4 lỗ hổng nghiêm trọng trong hệ thống quản lý văn bản tại nhiều cơ quan, doanh nghiệp

Các lỗ hổng này đang bị khai thác trên diện rộng tại nhiều quốc gia

Đặc biệt, khi kết hợp khai thác 2 trong số các lỗ hổng này, hacker có thể kiểm soát sâu vào hệ thống và duy trì truy cập lâu dài. Đây là "môi trường lý tưởng" cho các chiến dịch tấn công gián điệp APT (Advanced Persistent Threat), đánh cắp hoặc mã hóa dữ liệu nhạy cảm.

Chuyên gia Bkav cũng cho biết các lỗ hổng này đang bị khai thác trên diện rộng tại nhiều quốc gia. Ít nhất 85 máy chủ SharePoint đã bị cài mã độc web shell, gây ảnh hưởng đến 29 tổ chức trên toàn cầu. Trong số nạn nhân có nhiều tập đoàn đa quốc gia và cơ quan chính phủ, bao gồm cả Cơ quan an ninh hạt nhân quốc gia Hoa Kỳ (NNSA).

Tại Việt Nam, SharePoint Server được sử dụng trong quản lý văn bản tại nhiều cơ quan, tổ chức và các doanh nghiệp công nghệ, tài chính lớn. Đến hiện tại, tuy chưa ghi nhận trường hợp bị tấn công, nguy cơ bị khai thác bởi các lỗ hổng này được đánh giá ở mức rất cao, đặc biệt là tại các đơn vị đang triển khai SharePoint Server theo mô hình cài đặt tại chỗ (on-premise) mà chưa kịp thời cập nhật vá lỗi.

SharePoint Server là nền tảng quản lý tài liệu và cộng tác doanh nghiệp do Microsoft phát triển. Hệ thống cho phép lưu trữ, chia sẻ, tìm kiếm và quản lý tài liệu tập trung, đồng thời hỗ trợ xây dựng các trang web nội bộ (Intranet), cổng thông tin doanh nghiệp, tích hợp sâu với Microsoft Office và Microsoft 365 nhằm nâng cao hiệu suất làm việc nhóm.

Quá trình tấn công có thể xuất phát từ một điểm trong mạng nội bộ, sử dụng kỹ thuật tinh vi, khó bị phát hiện. Tin tặc có thể bí mật cài cắm mã độc trên một máy trạm nội bộ, từ đó âm thầm rà quét, mở rộng kiểm soát và từng bước chiếm quyền toàn bộ hệ thống.

Các nhóm tấn công APT thường tận dụng những thời điểm như thế này, khi các hệ thống tồn tại lỗ hổng chưa được vá, để xâm nhập và duy trì sự hiện diện lâu dài. Vì vậy, Bkav đặc biệt kiến nghị các nhà quản trị hệ thống khẩn trương rà soát, siết chặt lại các quyền truy cập từ nội bộ để chặn đứng nguy cơ bị tấn công từ bên trong.

Đối với các cơ quan cấp Bộ có phân quyền truy cập cho các đơn vị địa phương, chuyên gia đề nghị cần lập tức rà soát và giới hạn các quyền này nếu hệ thống chưa được cập nhật bản vá hoặc chưa có biện pháp khắc phục triệt để. Việc cập nhật bản vá lỗ hổng cần thực hiện càng sớm càng tốt.

Đồng thời, cần tăng cường các biện pháp giám sát, giới hạn quyền truy cập từ bên ngoài, triển khai tường lửa ứng dụng web (WAF), theo dõi nhật ký truy cập hệ thống và thiết lập cơ chế cảnh báo sớm khi có dấu hiệu bất thường.

Đối với các đơn vị chưa có đội ngũ chuyên trách về an toàn thông tin, cần chủ động liên hệ với các trung tâm ứng cứu sự cố để được tư vấn, hỗ trợ kịp thời.

Hương Giang

Tags: An ninh mạng tấn công mạng

Tin khác

Kết quả điều tra vụ lừa đảo dưới danh nghĩa trường quốc tế tại Đà Nẵng

Kết quả điều tra ban đầu vụ án “Lừa đảo chiếm đoạt tài sản” xảy ra tại Trung tâm Anh ngữ Thiên Lập Nhân (TP. Đà Nẵng) cho thấy, Trương Văn Thiên Tư đã lợi dụng danh nghĩa một trường quốc tế tại Hoa Kỳ để tổ chức tuyển sinh, đào tạo chương trình phổ thông trái phép, đồng thời tự làm học bạ, bảng điểm và giấy chứng nhận nhằm tạo lòng tin, thu học phí của phụ huynh. Đáng chú ý, sau khi hoạt động tại trung tâm bị phản ánh, đối tượng tiếp tục chuyển học sinh sang một doanh nghiệp khác để duy trì mô hình đào tạo này.

Kịp thời ngăn chặn vụ lừa đảo giả danh công an

Sự chủ động, cảnh giác của cán bộ Ngân hàng Agribank chi nhánh Lộc Hà cùng tinh thần trách nhiệm của Công an xã Lộc Hà (Hà Tĩnh) giúp một gia đình kịp thời nhận diện thủ đoạn giả danh công an để lừa đảo, bảo vệ an toàn khoản tiền tiết kiệm 1,5 tỷ đồng.

Cảnh giác thủ đoạn dùng sổ đỏ giả để lừa đảo bán đất không có thật

Các đối tương đã dùng giấy chứng nhận quyền sử dụng đất giả để tạo lòng tin với khách hàng, rao bán những thửa đất không có thật rồi chiếm đoạt khoảng 5,6 tỷ đồng của nhiều người.

Cảnh giác thủ đoạn 'bắt cóc online' thao túng tâm lý người trẻ

Lợi dụng tâm lý lo sợ và sự thiếu kinh nghiệm của người trẻ, các đối tượng lừa đảo giả danh cơ quan chức năng, dựng lên những tình huống liên quan đến pháp luật để gây áp lực, điều khiển hành vi nạn nhân từ xa. Không chỉ chiếm đoạt tài sản, thủ đoạn này còn khiến người bị hại tự cô lập, cắt đứt liên lạc với gia đình và thực hiện những hành động nguy hiểm.

Công an Đà Nẵng đề nghị phụ huynh tại Trung tâm Anh ngữ Thiên Lập Nhân phối hợp cung cấp thông tin

Liên quan vụ án “Lừa đảo chiếm đoạt tài sản” xảy ra tại Trung tâm Anh ngữ Thiên Lập Nhân, số 177 Hải Phòng, phường Thanh Khê, Đà Nẵng, Cơ quan An ninh điều tra Công an TP. Đà Nẵng đề nghị các phụ huynh có con theo học tại Trung tâm chủ động liên hệ, cung cấp thông tin phục vụ công tác điều tra.

Cạm bẫy kiếm tiền trực tuyến: Mất tiền, tiếp tay cho tội phạm

Những lời mời kiếm tiền dễ dàng, hoa hồng hấp dẫn đang trở thành công cụ để các đối tượng lừa đảo tiếp cận người dân trên không gian mạng. Từ việc dụ dỗ mở tài khoản ngân hàng nhận tiền đến các mô hình đầu tư ứng dụng trí tuệ nhân tạo (AI), những thủ đoạn này không chỉ khiến nhiều người mất tài sản mà còn tiềm ẩn nguy cơ tiếp tay cho các hoạt động tài chính bất hợp pháp.

Cảnh giác trước chiêu trò lừa đảo trực tuyến, rửa tiền với số tiền khủng

Từ những chiêu trò lừa đảo làm nhiệm vụ nhận hoa hồng, thanh toán nhầm đơn hàng COD, dòng tiền chiếm đoạt của các bị hại được luân chuyển qua nhiều tài khoản ngân hàng rồi chuyển đổi sang tiền điện tử USDT nhằm che giấu nguồn gốc. Vụ án rửa tiền với tổng giá trị giao dịch khoảng 700 tỷ đồng đang được Công an TP. Đà Nẵng tiếp tục điều tra, cho thấy sự tinh vi của tội phạm trên không gian mạng và những rủi ro người dân cần cảnh giác.

Cảnh giác bẫy vay tiền trên ứng dụng giả mạo: Chưa nhận được tiền, đã mất hàng triệu đồng

Đánh vào tâm lý cần tiền gấp, các đối tượng lừa người vay trên ứng dụng giả mạo hoặc lợi dụng hồ sơ tín dụng để chiếm đoạt tài sản. Có người mất tiền dù chưa nhận được khoản vay, có người rơi vào vòng xoáy nợ nần dù không được giải ngân.

Đà Nẵng tăng cường triệt xóa tín dụng đen, cảnh báo thủ đoạn cho vay lãi nặng

Từ quảng cáo “hỗ trợ tài chính” trên mạng xã hội đến việc trực tiếp tìm gặp người vay, các đối tượng cho vay lãi nặng đang sử dụng nhiều phương thức để tiếp cận khách hàng, thu lợi bất chính, thậm chí đe dọa, gây sức ép khi người vay chậm trả nợ. Những vụ việc vừa được phát hiện tại TP. Đà Nẵng cho thấy tín dụng đen vẫn tiềm ẩn nhiều hệ lụy, đòi hỏi người dân nâng cao cảnh giác và cơ quan chức năng tiếp tục đấu tranh, xử lý nghiêm.

Thấy gì từ vụ án giả danh nhân viên ngân hàng lừa đảo người vay vốn?

Lợi dụng nhu cầu vay vốn của người dân, các đối tượng giả danh nhân viên ngân hàng, quảng cáo hỗ trợ vay tiền với thủ tục đơn giản, giải ngân nhanh rồi yêu cầu chuyển tiền trước để chiếm đoạt tài sản. Vụ án 8 bị can giả danh nhân viên Ngân hàng TMCP Quốc Tế Việt Nam (VIB) vừa bị khởi tố tại Bắc Ninh. Trong đó có một người trú tại Đà Nẵng, là lời cảnh báo về thủ đoạn lừa đảo ngày càng tinh vi trên không gian mạng.

Cà phê với CEO

Trung tâm Tài chính Quốc tế cần những định chế có năng lực và hoạt động thực chất

Minh bạch, nhất quán, tính có thể dự đoán được sẽ là lời giới thiệu thuyết phục mạnh mẽ nhất của Trung tâm Tài chính Quốc tế Việt Nam tại TP. Hồ Chí Minh...