Lỗ Hổng Logic Giúp Mã Độc Xuyên Thủng Vỏ Bọc Microsoft Edge Để Cài Cắm Virus

Không cần tới những cuộc tấn công ăn cắp bộ nhớ phức tạp, tin tặc hoàn toàn có thể bẻ khóa hệ thống bảo mật của Microsoft Edge để điều khiển từ xa và phát tán phần mềm gián điệp (spyware) chỉ thông qua một chuỗi các lỗ hổng logic đơn giản.

Trong bức tranh an toàn an ninh mạng ngày càng khốc liệt, khái niệm "hộp cát" (sandbox) của trình duyệt luôn được xem là tấm khiên vững chắc nhất. Nó hoạt động như một bức tường lửa giam giữ các trang web độc hại, ngăn không cho mã độc hay virus lây lan sang phần còn lại của máy tính. Tuy nhiên, các chuyên gia bảo mật từ DEVCORE vừa gióng lên hồi chuông cảnh báo về một lỗ hổng cực kỳ tinh vi trên trình duyệt Microsoft Edge, cho phép kẻ tấn công phá vỡ hoàn toàn bức tường này. Điểm đáng sợ là tin tặc không cần dùng đến các kỹ thuật tràn bộ nhớ (memory corruption) thường thấy, mà chỉ cần lợi dụng các lỗi logic (logic bugs) trong cách trình duyệt xử lý tính năng đăng nhập tự động và mở cửa sổ mới. Bằng cách lách qua các rào chắn kiểm tra, kẻ gian có thể ép trình duyệt thực thi đoạn mã độc hại dưới 100 dòng code, từ đó chiếm toàn quyền kiểm soát máy tính từ xa, mở đường cho spyware và các phần mềm tống tiền tàn phá hệ thống mà người dùng không hề hay biết.

Dù hiện tại lỗ hổng này (từng giúp chuyên gia Orange Tsai ẵm giải 175.000 USD tại cuộc thi Pwn2Own) mới chỉ được trình diễn trong phòng thí nghiệm và chưa ghi nhận trường hợp bị khai thác ngoài thực tế, nhưng nó bóc trần một thực tế phũ phàng: các kẽ hở logic luôn là "tử huyệt" khó lường trong không gian kỹ thuật số. Tin tặc có thể lén lút viết đè lên các tệp tin hệ thống quan trọng, qua mặt tính năng chặn cửa sổ bật lên (popup blocker), và thậm chí khai thác chế độ đọc (Immersive Reader) của Edge để tải về và kích hoạt các mã độc ẩn mình.

Giữa sự bành trướng của các loại mã độc tinh vi và nguy cơ xâm phạm quyền riêng tư dữ liệu, việc thụ động chờ đợi thảm họa là một canh bạc vô cùng rủi ro. Để dập tắt mọi âm mưu thâm nhập từ các lỗ hổng zero-day, người dùng và quản trị viên hệ thống cần hành động ngay lập tức. May mắn thay, Microsoft đã khẩn trương phát hành bản vá lỗi (gồm CVE-2026-45492, CVE-2026-45494 và CVE-2026-45495) từ giữa tháng 5. Do đó, việc đầu tiên bạn cần làm là truy cập ngay vào phần Cài đặt (Settings) của Microsoft Edge, chọn Giới thiệu về Microsoft Edge (About Microsoft Edge) để đảm bảo trình duyệt đã được cập nhật lên phiên bản 148.0.3967.70 hoặc mới hơn. Bên cạnh đó, hãy tập thói quen bật tính năng tự động cập nhật hệ điều hành và phần mềm, sử dụng các giải pháp bảo mật toàn diện để phát hiện và tiêu diệt spyware, đồng thời tuyệt đối không truy cập vào các trang web có dấu hiệu lừa đảo nhằm giữ cho hệ thống luôn là một pháo đài bất khả xâm phạm.

Hương - Theo TheHackerNews