«Hàng triệu thiết bị dễ bị tổn thương»: CTO của Ledger

• Giám đốc điều hành nhấn mạnh rằng các lỗ hổng nghiêm trọng đã được khai thác tích cực trong hệ sinh thái.
• Hàng ngàn máy chủ với các phiên bản cũ không có giải pháp kỹ thuật và sẽ tiếp tục bị phơi bày.

Giám đốc công nghệ (CTO) của Ledger, Charles Guillemet, cảnh báo rằng tình trạng hiện tại của an ninh mạng là "thực sự đáng sợ", do sự kết hợp của các lỗi nghiêm trọng trong các cơ sở hạ tầng cơ bản của internet.

Theo giám đốc điều hành, việc khai thác những lỗ hổng này đã diễn ra trong hệ sinh thái kỹ thuật số, làm tổn hại đến hàng triệu thiết bị trên toàn cầu mà sẽ không nhận được cập nhật trong thời gian ngắn và dự đoán rằng tình hình sẽ không cải thiện sớm.

Cảnh báo của Guillemet, được chia sẻ qua mạng xã hội của ông vào ngày 21 tháng 10 năm 2026, tập trung vào ba mặt trận đồng thời của sự dễ bị tổn thương.

Mặt trận đầu tiên liên quan đến hai lỗi nghiêm trọng trong ngôn ngữ lập trình PHP, được đánh giá với mức độ nghiêm trọng là 9,2 trên 10, như đã báo cáo hôm nay bởi CriptoNoticias.

Guillemet nhấn mạnh rằng các nỗ lực khai thác đã bắt đầu ngay cả trước khi bản sửa lỗi chính thức được công bố, nhắc nhở rằng không có bản vá cho các phiên bản cũ của phần mềm này.

Mặt thứ hai của rủi ro nằm ở Node.js, nơi đã báo cáo trong tháng này bốn lỗi nghiêm trọng cho phép thực thi mã tùy ý.

Cuối cùng, CTO chỉ ra sự phát hiện tám chứng chỉ TLS trung gian mà khóa riêng của chúng từ 3 đến 8 bit đã bị xâm phạm. Trước phát hiện này, Guillemet khẳng định rằng không thể hoàn toàn tin tưởng vào tiêu chuẩn TLS.

Tác động của kịch bản này đối với hệ sinh thái bitcoin và các tài sản kỹ thuật số là trực tiếp. Mặc dù đồng thuận của giao thức Bitcoin không phụ thuộc vào PHP và hoàn toàn miễn dịch với các báo cáo thực thi từ xa này, cơ sở hạ tầng xung quanh mà tạo điều kiện cho các hoạt động thương mại và lưu ký vẫn duy trì một bề mặt tấn công rộng lớn.

Các giao diện công cộng của các sàn giao dịch, các hệ thống nội bộ của ví, các nền tảng tài chính phi tập trung (DeFi) và các giao diện lập trình ứng dụng (API) được sử dụng cho thanh toán đều đang phải đối mặt với rủi ro.

Quy mô của vấn đề xung quanh PHP nằm ở sự phụ thuộc cấu trúc vào phần mềm kế thừa. Các lỗ hổng, được xác định là CVE-2026-109618 và CVE-2026-109619, sẽ được The PHP Foundation vá vào hôm nay, nhưng bản cập nhật chỉ giới hạn cho các phiên bản từ 8.2 đến 8.5. Theo dữ liệu thu thập được bởi nhà nghiên cứu Jonathan Cran, 59% các máy chủ bị phơi bày trên internet đang hoạt động với các phiên bản lỗi thời --- trước phiên bản 8.1 --- đã đến cuối vòng đời của chúng.

Điều này để lại hơn 884.000 máy chủ trong tình trạng dễ bị tổn thương vĩnh viễn. Phân bố địa lý của rủi ro này có những điểm nóng phơi bày cao; tại Argentina, ví dụ, 88% các thiết bị được ghi nhận sẽ không có bản vá được chỉ định.

Vấn đề trở nên trầm trọng hơn khi phần lớn cơ sở hạ tầng này được lưu trữ trên các dịch vụ chia sẻ của các nhà cung cấp lớn, cho phép một địa chỉ bị xâm phạm ảnh hưởng đến hàng trăm cổng, diễn đàn lịch sử và các kịch bản giao dịch giữa các cá nhân (P2P) sử dụng PHP đồng thời.

Trước sự xác nhận của Guillemet về việc thiếu các giải pháp kỹ thuật khả thi cho các máy móc cũ, hệ sinh thái tiền điện tử đang phải đối mặt với một sự bất đối xứng cấu trúc. Việc sử dụng các công cụ tự động hóa được hỗ trợ bởi trí tuệ nhân tạo đã giảm đáng kể chi phí vận hành cần thiết để tìm kiếm và khai thác các lỗi một cách hàng loạt, vượt quá khả năng phản ứng của các cơ sở hạ tầng lạc hậu.

Để giảm thiểu cửa sổ phơi bày vĩnh viễn này, các công ty và quản trị viên không thể ngay lập tức chuyển sang các phiên bản có hỗ trợ chính thức sẽ phụ thuộc vào các biện pháp kiểm soát khẩn cấp. Việc ngắt kết nối các điểm cuối dễ bị tổn thương, hạn chế quyền truy cập chỉ thông qua mạng riêng ảo (VPN), thực hiện danh sách địa chỉ được phép nghiêm ngặt và giám sát liên tục việc tạo ra các tệp bất thường được xác định là các cơ chế sống sót khả thi chính để duy trì tính toàn vẹn của quỹ và dữ liệu của người dùng.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.