Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thông báo rằng ba lỗ hổng bảo mật trong nhân Linux đang bị khai thác tích cực trong môi trường thực tế. Vào ngày 18 tháng 9, những lỗ hổng này đã được thêm vào danh mục Các lỗ hổng đã biết và bị khai thác (KEV), kích hoạt thời hạn 72 giờ để các cơ quan liên bang triển khai các bản vá tương ứng, theo Chỉ thị BOD 26-04. Nhưng đây không chỉ là vấn đề đối với khu vực công: bất kỳ tổ chức nào đang sử dụng Linux trong môi trường sản xuất, từ máy chủ đến các trang trại render, đều nên lưu ý ngay lập tức.
Trong khi đó, trí tuệ nhân tạo đang hoàn toàn thay đổi bối cảnh bảo mật mã nguồn mở. Một mặt, các công cụ như GLM-5.3 đã phát hiện ra hơn một nghìn lỗ hổng mới trong các dự án quan trọng, bao gồm cả nhân Linux. Mặt khác, lượng phát hiện khổng lồ này đang làm quá tải những người bảo trì, họ hầu như không có thời gian để xem xét các báo cáo và bản vá, nhiều trong số đó là những lỗi nhỏ hoặc trùng lặp. Tình trạng này đã khiến chính Linus Torvalds bày tỏ sự thất vọng và thực hiện các biện pháp nghiêm ngặt hơn cho việc tích hợp trong tương lai.
Ba lỗ hổng bảo mật mà CISA quan tâm
Các lỗ hổng CVE được xác định là CVE-2025-39682, CVE-2025-39964 và CVE-2026-53266. Lỗ hổng đầu tiên, với điểm CVSS dao động từ 7.1 theo NVD đến 9.8 theo SecurityWeek, nằm trong phần triển khai phần mềm của TLS (net/tls/tls_sw.c). Nó được kích hoạt khi kẻ tấn công xử lý một bản ghi TLS có độ dài bằng không ở chế độ sao chép bằng không, làm hỏng bộ đếm tham chiếu của bộ đệm và dẫn đến sự kiện sử dụng sau khi giải phóng (use-after-free). Điều này có thể gây ra từ sự cố hệ điều hành đến rò rỉ thông tin nhạy cảm. Nó ảnh hưởng đến các phiên bản từ 6.0 đến 6.16.3 và các bản phát hành thử nghiệm 6.17-rc1/rc2.
Lỗ hổng thứ hai, CVE-2025-39964, nằm trong giao diện AF_ALG của API mã hóa không gian người dùng. Đó là một tình trạng tranh chấp cho phép hai trình ghi đồng thời xen kẽ dữ liệu trên cùng một socket, dẫn đến trạng thái nội bộ không nhất quán. Mặc dù điểm CVSS của nó dao động từ 3.3 (NVD), 5.5 (Red Hat) đến 7.8 (CNA), việc nó được đưa vào danh mục KEV xác nhận rằng lỗ hổng này là có thật và nguy hiểm. Cuối cùng, CVE-2026-53266 ảnh hưởng đến mục tiêu ebt_snat của cầu nối netfilter, cho phép ghi dữ liệu vượt quá giới hạn vào bộ nhớ kernel khi xử lý gói ARP trên bộ đệm socket phi tuyến tính. Với điểm CVSS là 8.8, đây là một vectơ rõ ràng để leo thang đặc quyền cục bộ.
Trí tuệ nhân tạo đang áp đảo những người bảo trì nhân hệ điều hành.
Sự gia tăng số lượng lỗ hổng được báo cáo không phải là ngẫu nhiên. Theo dữ liệu do Greg Kroah-Hartman trình bày tại hội nghị Kernel Recipes 2026, số lượng CVE được vá trên mỗi phiên bản kernel đã tăng từ khoảng 500 trong các phiên bản 6.9 đến 6.19 lên hơn 1.000 bắt đầu từ Linux 7.0, và hơn 1.500 trong Linux 7.2. Dự báo cho thấy Linux 7.3 có thể vượt quá 2.000. Phần lớn sự gia tăng này được cho là do việc sử dụng trí tuệ nhân tạo để kiểm tra mã nguồn . Tuy nhiên, hầu hết các phát hiện đều có mức độ ưu tiên thấp hoặc liên quan đến các trình điều khiển cũ hơn, và nhiều phát hiện là trùng lặp.
Khối lượng công việc dành cho những người bảo trì đã trở nên không thể chịu đựng nổi. Linus Torvalds đã cảnh báo rằng danh sách các bản vá bảo mật của nhân hệ điều hành đã trở nên "gần như hoàn toàn không thể quản lý được". Jakub Kicinski, người chịu trách nhiệm về hệ thống con mạng, thậm chí còn tuyên bố, "Chúng tôi hoàn toàn bị quá tải". Hơn nữa, Torvalds đã phàn nàn rằng nhiều bản sửa lỗi được đưa ra ở các giai đoạn phát triển nâng cao, chẳng hạn như bản phát hành Linux 7.1 RC5, trong khi đáng lẽ chúng phải được đề xuất sớm hơn. Ông đã hứa sẽ cứng rắn hơn và sẽ từ chối các yêu cầu kéo (pull request) không mang lại giá trị thực sự. Tình trạng này không chỉ ảnh hưởng đến tính ổn định mà còn có thể gây nguy hiểm cho bảo mật, vì các bản vá phù hợp có thể bị lạc mất trong mớ hỗn độn.
Các khuyến nghị và biện pháp giảm thiểu rủi ro dành cho người quản lý
Trước làn sóng các lỗ hổng bảo mật này, các quản trị viên hệ thống phải hành động nhanh chóng và không chỉ dựa vào các bản vá chính thức. Đối với ba lỗ hổng CVE của CISA, ưu tiên hàng đầu là cập nhật nhân hệ điều hành lên phiên bản đã được vá lỗi của bản phân phối đang sử dụng. Trong trường hợp lỗ hổng af_unix mới được xác định gần đây (CVE-2026-80521), cũng nên áp dụng bản vá tương ứng, vì nó ảnh hưởng đến các nhánh 6.1, 6.6 và các nhánh sau này, bắt đầu từ 6.10. Tuy nhiên, không phải lúc nào cũng có thể khởi động lại các máy chủ ngay lập tức; do đó, nên triển khai các biện pháp kiểm soát bù trừ.
Đối với CVE-2026-53266, mô-đun ebtables có thể bị vô hiệu hóa bằng cách sử dụng một tập lệnh gỡ bỏ mô-đun thường trú và sau đó chặn việc tải lại mô-đun này trong tương lai tại /etc/modprobe.d/. Đối với hai lỗ hổng còn lại, việc sử dụng eBPF với Falco có thể phát hiện sớm các nỗ lực khai thác, và các chính sách seccomp có thể chặn các lệnh gọi hệ thống liên quan. Ngoài ra, việc bật không gian tên người dùng với containerd v2.2+ và Kubernetes CRI v1.30, sử dụng hostUsers: false, làm giảm tác động của việc leo thang đặc quyền. Những biện pháp này, cùng với việc giám sát liên tục các nút, giúp có thêm thời gian cho đến khi có thể thực hiện khởi động lại với nhân hệ thống đã được vá lỗi.
Cuối cùng, điều quan trọng cần nhớ là AI cũng đang giúp dọn dẹp mã nguồn lỗi thời và loại bỏ các hệ thống con cũ, điều này có thể làm giảm bề mặt tấn công về lâu dài. Mặc dù tình hình hiện tại khá hỗn loạn, hệ sinh thái nhân kernel đang thích ứng. Các quản trị viên nên cập nhật thông tin, đăng ký theo dõi các danh sách bảo mật và ưu tiên các lỗ hổng được liệt kê trong các danh mục chính thức như KEV. Sự linh hoạt trong việc vá lỗi và sử dụng các biện pháp phòng thủ nhiều lớp, giờ đây hơn bao giờ hết, là điều cần thiết để bảo vệ môi trường sản xuất dựa trên Linux.
