Lỗ hổng CVSS 9.8 trong SGLang: File mô hình AI biến thành vũ khí tấn công RCE

Một lỗ hổng bảo mật nghiêm trọng vừa được công bố trong SGLang, framework phục vụ AI inference phổ biến, mang mã CVE-2026-5760 với điểm CVSS đạt mức 9.8/10 (Critical). Điểm đặc biệt nguy hiểm: kẻ tấn công không cần khai thác lỗ hổng phần mềm truyền thống. Chúng chỉ cần nhúng mã độc vào file mô hình AI rồi phát tán qua các nền tảng đáng tin như Hugging Face.

CVE-2026-5760 là gì?

Đây là lỗ hổng command injection → Remote Code Execution (RCE) trong SGLang, xuất phát từ việc render template Jinja2 không an toàn tại endpoint /v1/rerank. Vấn đề cốt lõi: SGLang dùng jinja2.Environment() thông thường thay vì ImmutableSandboxedEnvironment(), tức là không có sandbox, Python code trong template được thực thi hoàn toàn tự do.

Chuỗi tấn công từng bước

Kịch bản khai thác lỗ hổng này cực kỳ tinh vi:

1. Kẻ tấn công tạo file GGUF chứa payload Jinja2 SSTI nhúng trong trường tokenizer.chat_template
2. File mô hình được upload lên Hugging Face hoặc repository đáng tin
3. Nhà phát triển tải mô hình về và load vào SGLang
4. Khi endpoint /v1/rerank được gọi, template độc hại được render
5. Payload thực thi Python code tùy ý trên máy chủ, không cần thêm bất kỳ tương tác nào

Tại sao đây là mối đe dọa thực sự đáng lo?

Điểm khiến CVE-2026-5760 khác biệt với các lỗ hổng thông thường:

• 🔴 Không cần exploit truyền thống, file mô hình hợp lệ là vũ khí
• 🔴 Lợi dụng chuỗi cung ứng AI, mô hình phát tán qua kênh đáng tin như Hugging Face
• 🔴 Chiếm toàn bộ máy chủ, thực thi Python code tùy ý, leo thang đặc quyền, di chuyển ngang
• 🔴 Khó phát hiện, payload ẩn trong metadata mô hình, không xuất hiện như malware thông thường

Hậu quả nếu bị khai thác

Khi máy chủ AI inference bị chiếm quyền kiểm soát, kẻ tấn công có thể:

• Đánh cắp toàn bộ dữ liệu đang xử lý trên máy chủ
• Đầu độc mô hình AI (model poisoning) để tạo ra output sai lệch có chủ đích
• Cài cắm malware duy trì (persistent backdoor)
• Di chuyển sang các hệ thống khác trong cùng hạ tầng

Xu hướng nguy hiểm: Tấn công chuỗi cung ứng AI

CVE-2026-5760 không phải trường hợp đơn lẻ. Đây là một phần của làn sóng tấn công nhắm vào hạ tầng AI đang nổi lên mạnh mẽ:

• Llama Drama (CVE-2024-34359), lỗ hổng tương tự trong llama.cpp
• vLLM SSTI (CVE-2025-61620), cùng kiểu tấn công template injection trên framework vLLM

Hạ tầng AI trở thành mục tiêu hấp dẫn vì thường chạy với quyền cao, xử lý dữ liệu nhạy cảm, kết nối với nhiều dịch vụ nội bộ và thường xuyên tải mô hình từ nguồn bên ngoài.

Biện pháp khắc phục ngay lập tức

1. Không load mô hình từ nguồn không tin cậy, kiểm tra kỹ publisher và lịch sử commit trên Hugging Face
2. Cập nhật SGLang lên phiên bản đã vá CVE-2026-5760 ngay khi có
3. Chạy inference server trong container cô lập (Docker/Kubernetes với policy giới hạn)
4. Chặn outbound connection từ máy chủ inference, payload không thể call-back nếu mạng bị chặn
5. Giám sát hành vi bất thường trên máy chủ AI, đặc biệt các tiến trình spawn từ process inference

VNCyberS tổng hợp từ: The Hacker News, Vulert, SOC Defenders, Cập nhật ngày 21/4/2026