Blog

Tin an ninh mạng 1/11/2026: AI tìm ra 0-day Linux kernel 9.8

by Hermes Publisher
Tin an ninh mạng 1/11/2026: AI tìm ra 0-day Linux kernel 9.8

Có một tin an ninh mạng đáng chú ý hơn mọi tin khác trong tuần này: lỗ hổng nghiêm trọng trong Linux kernel được nhóm CVE của chính kernel chấm CVSS 9.8 Critical — và theo Anthropic, model Claude tự viết được exploit chạy lệnh quyền root.

Cùng lúc đó, CISA đưa hai lỗ hổng trên VPN Ivanti Connect Secure vào danh sách khai thác đã biết. Apple Intelligence đến Trung Quốc, và một bản fork Signal ngừng cập nhật.

Tin an ninh mạng 1/11/2026: 4 tin nóng nhất tuần

Lần này mình gom tin nóng ở nước ngoài. Tổng hợp tin tuần trước nếu bạn muốn nối tiếp.

Claude tìm ra lỗ hổng Linux kernel CVSS 9.8 — và vì sao điều này đáng lo

Lỗ hổng có mã CVE-2026-98432, kiểu use-after-free trong code xử lý bắt tay TCP/IPv4: kernel giữ bản sao tùy chọn IPv4 của gói SYN để gửi lại trong SYN-ACK, và nếu client gửi lại SYN, một CPU khác có thể đang đọc vùng nhớ đã bị giải phóng.

Điểm 9.8 Critical là do nhóm CVE của chính Linux kernel chấm, không phải NVD — NVD ghi rõ “NVD assessment not yet provided”. Các hãng distro chấm thấp hơn vì cuộc đua rất khó thắng: Oracle và SUSE 8.1, Amazon 7.0; Red Hat từng chấm 5.9. Vậy đừng gộp thành “CVSS 9.8 theo NVD”.

Lỗi nằm trong code từ Linux 4.4 năm 2015 — Heise dẫn lời Greg Kroah-Hartman xác nhận: gần 11 năm lỗ hổng nằm trong mã nguồn mà không ai thấy.

Theo bài nghiên cứu Anthropic đăng 27/10, một model Claude nội bộ chưa phát hành đã tìm và khai thác lỗ hổng này thành chuỗi tấn công zero-click trên máy chủ Linux có MPTCP listener, kết thúc bằng lệnh shell chạy với quyền root. Trong thử nghiệm của họ, 48 phút để lộ con trỏ kernel và thêm 5 phút để tới code execution.

Điểm cần lưu ý cho người viết Go: từ Go 1.24, chương trình Go trên Linux mặc định bật MPTCP cho socket listen — đúng cấu hình mà PoC cần. Go Security Team cảnh báo riêng ngày 29/10: tắt bằng GODEBUG=multipathtcp=0 (hoặc godebug multipathtcp=0 trong go.mod), nhưng nói rõ đây chỉ là biện pháp tạm — lỗi không chỉ nằm ở MPTCP, và cách tắt theo từng chương trình là “mong manh”.

Lưu ý

Chưa có nguồn nào xác nhận khai thác ngoài đời cho CVE-2026-98432, và lỗ hổng chưa có trong danh sách khai thác đã biết của CISA. Anthropic nói rõ đây là kết quả trong phòng thí nghiệm. Đây là AI hỗ trợ chuyên gia, không phải AI tự quyết định tấn công — bài AI agent an toàn nói rõ ranh giới này.

Bản vá đã có: nhóm kernel merge bản sửa của Eric Dumazet ngày 05/10. Debian, Oracle, Amazon Linux 2023 và SUSE đã phát hành bản vá; AlmaLinux có bản vá trong repo testing từ 30/10; Ubuntu và RHEL chưa có.

Ivanti Connect Secure: đang bị khai thác thật, hạn chót 02/11 và 13/11

Theo Volexity, từ 03/10/2026 nhóm tấn công UTA0576 liên tục khai thác chuỗi ba lỗ hổng zero-day trên Ivanti Connect Secure để giành quyền root không cần đăng nhập. Thiết bị nạn nhân lúc đó đã vá đầy đủ.

CVE-2026-111357 và CVE-2026-118527 được Ivanti công bố trong advisory cập nhật ngày 29/10 (111357 đã lên NVD từ 15/10), rồi cả hai vào KEV của CISA ngày 30/10. Điểm CVSS do chính Ivanti chấm: 8.8 cho 111357 và 4.3 cho 118527 — NVD chưa tự đánh giá lỗ hổng nào.

Đáng nhớ: không có web shell hay backdoor nào được cài lên thiết bị, nhóm tấn công xóa dấu vết và dùng thủ thuật chống pháp y hiện trường để né Integrity Checker — công cụ kiểm tra sạch không phải lúc nào cũng đáng tin.

Lưu ý

Hai hạn chót KEV khác nhau: 02/11/2026 cho CVE-2026-111357 và 13/11/2026 cho CVE-2026-118527 — và cả hai chỉ áp dụng cho cơ quan liên bang Mỹ (FCEB) theo BOD 26-04, không áp dụng cho doanh nghiệp tư nhân Việt Nam. Nhưng vì đang bị khai thác thật, đây là lúc nên vá ngay.

Apple Intelligence về Trung Quốc, và bản fork Signal đi vào ngõ cụt

Ngày 31/10, Apple thông báo Apple Intelligence sẽ đến Trung Quốc: dịch trực tiếp, xóa vật thể trong Ảnh và bộ viết lại, mở beta từ 04/11/2026, phát hành chính thức tháng 12/2026 cùng iOS 27.3. Đáng chú ý nhất là mối quan hệ với Alibaba: Apple tích hợp Qwen (Thousand Questions) vào Siri, bộ viết lại và trợ lý thị giác. Đợt này không bao gồm Siri AI; và khu vực này là Trung Quốc — DN Việt Nam không dùng được.

Bài học cho DN: ranh giới khu vực của một tính năng AI có thể rất hẹp — mỗi thị trường một bộ tính năng, một đối tác LLM. Bài quản trị AI tại Việt Nam có phần đánh giá rủi ro tương tự.

Còn tin thứ tư: Molly, bản fork Signal cho Android. Bản mới nhất 8.19.2-4 đóng gói ngày 31/07/2026, trong khi Signal đã lên 8.33 — chênh lệch khoảng 13 bản. Signal đã vá lỗ hổng trong thư viện RingRTC với mã CVE-2026-113380, điểm 9.3 Critical theo CVSS 4.0: lỗi chỉ tác động Android, và kẻ tấn công phải đang trong cuộc gọi với nạn nhân. Bản vá RingRTC 2.72.0 phát hành 04/09/2026 và nằm trong bản Signal Android 8.27 — Molly thiếu nó gần hai tháng. Signal nói rõ chưa có báo cáo khai thác ngoài đời, và không có nguồn nào xác nhận Molly bị tấn công. Nhưng logic thì đơn giản: bản fork ngừng cập nhật là bản tự vá lấy.

3 việc người làm IT cần làm tuần này

  • Cập nhật kernel trên mọi server Linux. Ưu tiên Ubuntu và RHEL — hai hệ thống chưa có bản vá. Sau khi vá nhớ reboot. Nếu chưa kịp vá, AlmaLinux đã công bố sẵn một rule nftables chặn gói TCP có IPv4 options. Cùng tuần này còn có bản vá lỗ hổng HTTP2Shell trong 48 giờ — nếu hệ thống chạy Node.js, Python hay .NET thì xem luôn.
  • Vá Ivanti Connect Secure ngay. Lên 25.1.1.3 hoặc 22.8R2.6, rồi đổi mật khẩu tài khoản, thu hồi chứng thư và reset API key. Nếu nghi ngờ thiết bị đã bị xâm nhập, Integrity Checker sạch không đủ.
  • Rà lại danh sách ứng dụng fork đang dùng. Đặc biệt là app nhắn tin và VPN trên điện thoại công ty. Ứng dụng ngừng cập nhật là lỗ hổng chờ ngày khai thác.

Nguồn tham khảo

  1. CVE-2026-98432 Detail, NVD — https://nvd.nist.gov/vuln/detail/CVE-2026-98432
  2. Patched kernels available in testing, AlmaLinux (30/10/2026) — https://almalinux.org/blog/2026-10-30-cve-2026-98432
  3. Discovering vulnerabilities with Claude, Anthropic (27/10/2026) — https://www.anthropic.com/research/discovering-vulnerabilities-with-claude
  4. Linux Kernel TCP Flaw With 9.8 CVSS Score, The Hacker News (29/10/2026) — https://thehackernews.com/2026/10/linux-kernel-tcp-flaw-with-98-cvss.html
  5. Erneut kritischer Bug in Linux TCP/IP aufgedeckt, Heise (16/10/2026) — https://heise.de/news/Erneut-kritischer-Bug-in-Linux-TCP-IP-aufgedeckt-Updates-in-Arbeit-11506050.html
  6. Security Advisory Ivanti Connect Secure, Ivanti (29/10/2026) — https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935
  7. CISA Adds Two Known Exploited Vulnerabilities, CISA — https://www.cisa.gov/news-events/alerts/2026/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog
  8. Chained Exploitation of Ivanti Zero-Days, Volexity — https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/
  9. Apple 智能即将登陆中国, Apple Newsroom Trung Quốc — https://www.apple.com.cn/newsroom/2026/10/apple-intelligence-features-are-coming-to-users-in-china/
  10. Signal fixes bug affecting ending calls on Android, Signal — https://aboutsignal.com/news/signal-fixes-bug-that-could-affect-ending-calls-on-android
  11. Signal Vulnerability Lets Callers Block Hang-Ups, SecurityWeek (22/10/2026) — https://www.securityweek.com/signal-vulnerability-lets-malicious-callers-block-hang-ups/
  12. Signal and Molly review, PrivacyGear (25/10/2026) — https://privacygear.nl/en/reviews/signal-molly-review

Leave a Reply