Lỗ hổng Microsoft SharePoint Server CVE-2026-50522 đang được theo dõi sát sau khi có khai thác thực tế và mã chứng minh khái niệm công khai. Đây không chỉ là một lỗi thực thi mã từ xa thông thường. Điểm đáng chú ý là kẻ tấn công có thể lợi dụng máy chủ SharePoint bị xâm nhập để lấy các khóa máy, từ đó duy trì quyền truy cập hoặc tạo điều kiện cho các đợt tấn công tiếp theo ngay cả khi bản vá đã được triển khai.
Với nhiều tổ chức, SharePoint là nơi chứa tài liệu nội bộ, luồng phê duyệt, dữ liệu vận hành và các tích hợp với Microsoft 365 hoặc hệ thống nhận dạng doanh nghiệp. Vì vậy, một lỗi RCE trên SharePoint thường có tác động vượt khỏi phạm vi một máy chủ web đơn lẻ.
CVE-2026-50522 là gì?
Theo thông tin được The Hacker News, BleepingComputer và các nhà nghiên cứu theo dõi, CVE-2026-50522 là lỗ hổng nghiêm trọng trong Microsoft Office SharePoint Server, liên quan đến xử lý dữ liệu không đáng tin cậy và có thể dẫn đến thực thi mã từ xa qua mạng. Microsoft đã vá lỗi này trong chu kỳ cập nhật tháng 7/2026, nhưng rủi ro tăng nhanh sau khi chi tiết khai thác và PoC xuất hiện công khai.
Trong mô hình tấn công RCE, kẻ tấn công không cần quyền truy cập vật lý vào máy chủ. Nếu điều kiện khai thác thỏa mãn, chúng có thể buộc máy chủ xử lý dữ liệu độc hại, chạy mã ngoài ý muốn và chiếm được điểm đứng ban đầu trong môi trường nội bộ.
Vì sao machine key là điểm then chốt?
Machine key trong các ứng dụng ASP.NET được dùng để bảo vệ một số dữ liệu nhạy cảm của ứng dụng, bao gồm cơ chế xác thực, trạng thái và tính toàn vẹn của dữ liệu được gửi qua lại giữa máy khách và máy chủ. Khi khóa này bị lộ, vấn đề không dừng ở việc một máy chủ từng bị khai thác. Kẻ tấn công có thể có thêm khả năng tạo hoặc thao túng dữ liệu mà ứng dụng tin là hợp lệ.
Đó là lý do các cảnh báo gần đây nhấn mạnh việc đánh cắp machine key. Nếu chỉ vá nhị phân SharePoint nhưng không xoay vòng khóa, dọn dấu vết web shell và kiểm tra phiên đăng nhập bất thường, tổ chức có thể vẫn để lại một đường quay lại cho đối phương.
Bài học phòng thủ cho quản trị viên
Với các lỗ hổng đã có PoC công khai, thời gian giữa lúc bản vá được phân tích và lúc khai thác đại trà có thể rất ngắn. Cách tiếp cận an toàn là coi hệ thống SharePoint Internet-facing chưa vá như đã bị phơi nhiễm, sau đó xử lý theo quy trình ứng phó sự cố thay vì chỉ cài bản cập nhật.
Các nhóm vận hành nên ưu tiên cập nhật SharePoint Server theo hướng dẫn của Microsoft, rà soát log IIS và SharePoint, tìm dấu hiệu tạo file lạ, kiểm tra tác vụ định kỳ, tài khoản mới, web shell, kết nối outbound bất thường và bằng chứng truy cập vào khóa máy. Nếu có dấu hiệu xâm nhập, cần xoay vòng machine key, thu hồi phiên, thay đổi thông tin xác thực liên quan và phân tích phạm vi lan truyền trong mạng.
Không chỉ là chuyện vá nhanh
CVE-2026-50522 cho thấy một thực tế quen thuộc trong phòng thủ hiện đại: bản vá là điều kiện cần, nhưng không phải lúc nào cũng đủ. Khi kẻ tấn công đã chạm được vào bí mật vận hành của ứng dụng, công việc quan trọng tiếp theo là thay mới các bí mật đó và xác minh rằng quyền truy cập trái phép đã bị cắt đứt.
Đối với người dùng phổ thông, bài học nằm ở chỗ các nền tảng cộng tác nội bộ cũng là mục tiêu hấp dẫn vì chúng chứa dữ liệu có ngữ cảnh cao. Đối với doanh nghiệp, SharePoint cần được đưa vào nhóm tài sản ưu tiên giám sát, có kiểm kê phiên bản, lịch vá nhanh và kế hoạch ứng phó rõ ràng khi xuất hiện khai thác thực tế.
VNCyberS tổng hợp từ The Hacker News, BleepingComputer, Microsoft và watchTowr
Tiếng Việt
English