Cơ quan An ninh mạng Mỹ cảnh báo lỗ hổng 0-Day trên WhatsApp bị khai thác

Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) vừa chính thức bổ sung lỗ hổng zero-day CVE-2025-55177 vào danh mục “Lỗ hổng đã biết bị khai thác” (KEV), đồng thời phát đi cảnh báo khẩn cấp đến các cơ quan liên bang và tổ chức hạ tầng quan trọng cần hoàn tất vá lỗi trước hạn chót 23/9 để giảm thiểu nguy cơ bị tấn công.

14:31, 09/09/2025

CVE-2025-55177 là lỗi thiếu xác thực trong cơ chế xử lý tin nhắn đồng bộ giữa các thiết bị. Kẻ tấn công có thể ép thiết bị mục tiêu xử lý nội dung từ một URL tùy ý. Các phiên bản bị ảnh hưởng gồm WhatsApp cho iOS trước 2.25.21.73, WhatsApp Business cho iOS trước 2.25.21.78 và WhatsApp cho macOS trước 2.25.21.78. Lỗ hổng có điểm CVSS là 8,0.

Ảnh minh họa.
CVE-2025-55177 là lỗi thiếu xác thực trong cơ chế xử lý tin nhắn đồng bộ giữa các thiết bị.

Lỗ hổng xuất phát từ sai sót kiểm tra phân quyền trong tính năng “Thiết bị liên kết” của WhatsApp, cho phép kẻ tấn công thao túng tin nhắn đồng bộ và buộc thiết bị nạn nhân xử lý nội dung độc hại từ các đường dẫn bất kỳ. Chuyên gia bảo mật nhận định, lỗi này không chỉ mở ra nguy cơ đánh cắp dữ liệu, cài mã độc, mà còn có thể trở thành bàn đạp cho các cuộc tấn công quy mô lớn hoặc gián điệp mạng.

Dù chưa ghi nhận chiến dịch ransomware cụ thể nào khai thác CVE-2025-55177, nhiều nhóm tội phạm mạng đang ráo riết tận dụng điểm yếu đồng bộ đa thiết bị để tấn công “thầm lặng” mà không cần nạn nhân tương tác trực tiếp. Trong bối cảnh đó, CISA đặc biệt khuyến cáo doanh nghiệp, tổ chức và người dùng cá nhân cần thực hiện các biện pháp như: Cập nhật WhatsApp lên phiên bản mới nhất ngay khi Meta Platforms phát hành bản vá; Giám sát lưu lượng mạng và các yêu cầu đồng bộ bất thường; Thực hiện theo hướng dẫn Lệnh Hoạt động Bắt buộc BOD-22-01 của CISA về giảm thiểu lỗ hổng trong dịch vụ đám mây; Cân nhắc tạm vô hiệu hóa tính năng “Thiết bị liên kết” trong môi trường rủi ro cao.

Việc CISA đưa CVE-2025-55177 vào danh mục KEV đã nhấn mạnh mức độ cấp bách của sự cố, đồng thời cảnh báo rằng nếu không kịp thời khắc phục, người dùng WhatsApp toàn cầu có thể đối mặt làn sóng tấn công tinh vi, nguy hiểm. Chính vì vậy, mọi tổ chức và cá nhân cần hành động ngay để tránh thiệt hại đáng tiếc.

Khôi Nguyên

Bình luận

Tin bài khác

Loạt hội đồng London bị tấn công mạng, kích hoạt tình trạng khẩn cấp
10:33, 26/11/2025

Loạt hội đồng London bị tấn công mạng, kích hoạt tình trạng khẩn cấp

Các hội đồng Kensington và Chelsea, Hammersmith và Fulham, cùng Westminster City cho biết họ đã phải ứng phó với một “sự cố an ninh mạng” từ sáng thứ Hai (24/11).

Xem thêm
Tấn công mạng vào CodeRED, hệ thống cảnh báo khẩn cấp nước Mỹ tê liệt, lộ dữ liệu người dùng
08:18, 26/11/2025

Tấn công mạng vào CodeRED, hệ thống cảnh báo khẩn cấp nước Mỹ tê liệt, lộ dữ liệu người dùng

Một vụ tấn công mạng nghiêm trọng vừa khiến hệ thống CodeRED, nền tảng cảnh báo khẩn cấp được sử dụng rộng rãi tại Mỹ, tê liệt trên nhiều thành phố và làm lộ thông tin cá nhân của hàng nghìn người dùng đã đăng ký nhận thông báo.

Xem thêm
Kaspersky: ngành sản xuất toàn cầu thiệt hại 18 tỷ USD từ các cuộc tấn công ransomware
08:12, 26/11/2025

Kaspersky: ngành sản xuất toàn cầu thiệt hại 18 tỷ USD từ các cuộc tấn công ransomware

Kaspersky, công ty an ninh mạng của Nga, vừa công bố một báo cáo nghiên cứu mới, làm sáng tỏ những rủi ro tài chính khổng lồ từ các cuộc tấn công tống tiền “ransomware” gây ra trong ngành sản xuất trong năm 2025.

Xem thêm
Harvard xác nhận bị tấn công lừa đảo, nguy cơ rò rỉ dữ liệu cựu sinh viên và nhà tài trợ
07:22, 26/11/2025

Harvard xác nhận bị tấn công lừa đảo, nguy cơ rò rỉ dữ liệu cựu sinh viên và nhà tài trợ

Đại học Harvard xác nhận hệ thống của bộ phận Quan hệ Cựu sinh viên và Phát triển (Alumni Affairs and Development - AAD) đã bị xâm nhập sau một cuộc tấn công lừa đảo qua điện thoại (voice phishing). Vụ việc có thể khiến dữ liệu cá nhân của cựu sinh viên, nhà tài trợ, sinh viên, nhân viên và giảng viên bị lộ.

Xem thêm
Mỹ kêu gọi điều tra Meta sau cáo buộc thu 16 tỷ USD từ quảng cáo lừa đảo
18:46, 25/11/2025

Mỹ kêu gọi điều tra Meta sau cáo buộc thu 16 tỷ USD từ quảng cáo lừa đảo

Một nhóm thượng nghị sĩ Mỹ đã chính thức kêu gọi Ủy ban Thương mại Liên bang (FTC) và Ủy ban Chứng khoán và Giao dịch (SEC) mở cuộc điều tra đối với Meta Platforms, sau khi xuất hiện cáo buộc cho rằng tập đoàn này thu khoảng 16 tỷ USD trong năm 2024 từ các quảng cáo mang tính chất lừa đảo hoặc vi phạm pháp luật.

Xem thêm
Singapore yêu cầu Apple và Google ngăn chặn giả mạo cơ quan nhà nước trên nền tảng nhắn tin
18:43, 25/11/2025

Singapore yêu cầu Apple và Google ngăn chặn giả mạo cơ quan nhà nước trên nền tảng nhắn tin

Ngày 25/11/2025, Bộ Nội vụ Singapore cho biết lực lượng cảnh sát nước này đã yêu cầu Apple và Google ngăn chặn việc giả mạo cơ quan nhà nước trên các nền tảng tin nhắn của họ theo quy định tại Online Criminal Harms Act.

Xem thêm
Cần chấn chỉnh hành vi quảng cáo “lệch chuẩn” trên không gian mạng
10:25, 25/11/2025

Cần chấn chỉnh hành vi quảng cáo “lệch chuẩn” trên không gian mạng

Quảng cáo “lệch chuẩn” với nội dung thô tục, nhố nhăng, phản cảm, cổ xúy và truyền bá những tư tưởng lệch lạc, tiêu cực... trên không gian mạng hiện đang trở thành vấn nạn nhức nhối gây bức xúc dư luận và ảnh hưởng trực tiếp đến nhận thức xã hội.

Xem thêm