Một ngăn đông trong siêu thị ở Estonia đã đạt 50°C vào tuần này, và đó không phải là sự cố kỹ thuật, mà là một cuộc tấn công mạng. Sáu quốc gia đã bị ảnh hưởng trong đêm. Các cửa hàng ở Ireland đã thu hồi toàn bộ thực phẩm lạnh, một thợ làm thịt ở Bỉ đã vứt bỏ hàng trăm kilogam thịt, và một số doanh nghiệp này vẫn đang sử dụng mật khẩu mặc định vào năm 2026. Đây là điều mà nhiều người chưa hiểu về an ninh mạng: nó không còn chỉ liên quan đến tiền điện tử hay mật khẩu của bạn nữa. Một người nào đó ngồi trong một căn phòng nào đó có thể làm hỏng toàn bộ nguồn cung thực phẩm của một quốc gia chỉ với một chiếc laptop. Cuộc tấn công mạng tiếp theo có thể không làm trống ví của bạn, mà có thể làm trống tủ lạnh của bạn.

Ai đó có thể mở khóa điện thoại của bạn bằng một bức ảnh in khuôn mặt bạn, và đa số bạn thậm chí không biết điều đó. Hầu hết các điện thoại Android sử dụng camera 2D cơ bản để mở khóa bằng khuôn mặt, không có hồng ngoại, không cảm biến độ sâu, chỉ đơn giản là so sánh hình ảnh phẳng. Các nhà nghiên cứu đã chứng minh trong nhiều năm rằng một bức ảnh đơn giản là đủ để vượt qua tính năng này. Đó là “bảo mật” đang nằm trước các ứng dụng ngân hàng của bạn, các ví tiền điện tử của bạn, các cụm từ hạt giống của bạn, cả cuộc đời bạn. Mỗi lần bạn sử dụng nó, camera trước của bạn xử lý một khung hình khuôn mặt bạn và lưu trữ nó cục bộ trong các thư mục hệ thống mà bạn chưa bao giờ mở. Không được mã hóa, không được bảo vệ, chỉ đơn giản nằm đó. Nếu bạn đang sử dụng mở khóa bằng khuôn mặt trên bất kỳ thiết bị nào không phải là điện thoại cao cấp có cảm biến độ sâu chính xác, hãy chuyển sang vân tay hoặc mã PIN mạnh ngay hôm nay. Khuôn mặt bạn là mật khẩu duy nhất mà bạn không bao giờ có thể thay đổi.

Ứng dụng bạn tải về để bảo vệ tài khoản có thể chính là lý do bạn bị tấn công. Microsoft Authenticator trên Android từng có lỗ hổng cho phép các ứng dụng độc hại đánh cắp mã truy cập tài khoản công việc của bạn mà không cần bất kỳ quyền nào. Đó là một ứng dụng đang nằm trên điện thoại của bạn và làm bất cứ điều gì nó muốn. Lỗ hổng nằm ở thành phần broker — cơ bản là phần xử lý xác thực giữa các ứng dụng. Nó không kiểm tra đúng cách, nên bất kỳ ứng dụng ngẫu nhiên nào cũng có thể bước vào và lấy đi mã truy cập của bạn như thể chúng thuộc về chúng. Microsoft đã vá lỗ hổng này (CVE-2026-80097, CVSS 8.6 — mức độ nghiêm trọng cao), nhưng nếu bạn chưa cập nhật ứng dụng Authenticator gần đây, bạn vẫn có thể đang bị phơi bày. Đây là phần khiến tôi băn khoăn. Mọi người cài đặt các ứng dụng xác thực vì được khuyên rằng đó là việc làm an toàn — và đúng vậy. Nhưng khi công cụ bảo mật chính lại có lỗ hổng, hầu hết mọi người sẽ chẳng bao giờ nghĩ đến việc kiểm tra. Cập nhật các ứng dụng của bạn. Không chỉ hệ điều hành điện thoại, mà cả các ứng dụng nữa. Đặc biệt là những ứng dụng bạn tin tưởng nhất. Vì những ứng dụng đó là những thứ bạn ngừng để ý đến.

Tôi đã đăng một bài viết về những gì đang xảy ra trên internet vài ngày trước và bài viết đã đạt 2,3 triệu lượt xem. Kể từ đó, tình hình còn tệ hơn nữa. Lỗ hổng Brotli mà OpenAI tình cờ phát hiện? Nó đã phát triển. Hiện họ gọi nó là HTTP2Shell và nó ảnh hưởng đến mọi trình duyệt lớn, mọi hệ điều hành, cũng như các ứng dụng như Discord, Slack, VSCode, 1Password. Các bản vá vẫn chưa có sẵn cho tất cả mọi thứ. CEO của Cloudflare nói: “Mỗi tuần, cảm giác như bầu trời đang sụp đổ.” Polymarket thậm chí đã mở một thị trường đặt cược về việc liệu có thêm nhiều lỗ hổng lớn nào sẽ được công bố trong tháng này hay không. Các tin tặc đã sử dụng các mô hình AI để tự động hóa các cuộc tấn công vào hơn 400 ngân hàng ở Latinh cùng một lúc, liên tục 24/7, không nghỉ ngơi. X có một lỗ hổng cho phép bạn đăng nhập vào tài khoản của người lạ chỉ bằng cách nhập số điện thoại của bạn. Ví phần cứng Keystone bị xâm phạm thông qua API Shopify, tên và địa chỉ nhà của khách hàng bị rò rỉ. Một công ty đám mây Nhật Bản mất 27.000 máy chủ và Nhật Bản đã kích hoạt hệ thống phòng thủ mạng cấp quân sự lần đầu tiên trong lịch sử. Cập nhật trình duyệt của bạn. Cập nhật các ứng dụng của bạn. Thay đổi mật khẩu của bạn. Bật xác thực 2 yếu tố ở mọi nơi. Tháng Mười vẫn chưa kết thúc với chúng ta.

Một nhà phát triển vừa đặt $2.000 vào bitcoin trên một máy chủ có lỗ hổng PHP và thách thức toàn bộ internet hãy đánh cắp nó. 17 giờ sau, số tiền vẫn còn nguyên đó. Mọi người đang làm sập máy chủ, nhưng không ai thực sự khai thác được lỗ hổng. Nhớ khi tôi đăng bài về Marcus Hutchins chỉ ra những vụ khai thác giả mạo được tạo bởi AI trên GitHub? Đây chính là bằng chứng. Lỗ hổng là có thật. Nhưng việc thực sự khai thác nó lại là một chuyện hoàn toàn khác. $2.000 nằm trên một máy chủ bị lỗi và cả internet này không thể chạm vào nó.

Một lỗ hổng duy nhất đã đặt mọi trình duyệt, mọi hệ điều hành và gần như mọi ứng dụng bạn sử dụng vào nguy cơ bị tấn công. Lỗ hổng Brotli mà OpenAI tình cờ phát hiện trong quá trình red-teaming hệ thống của chính họ hiện đã phát triển từ “node2shell” thành một mối đe dọa mà các nhà nghiên cứu gọi là HTTP2Shell, và phạm vi ảnh hưởng cực kỳ rộng lớn. Chúng ta không còn nói về một thư viện duy nhất nữa. Chúng ta đang nói đến mọi trình duyệt lớn: Chrome, Edge, Firefox. Mọi hệ điều hành, bao gồm cả iOS. Các ứng dụng Electron như Discord, Slack, VSCode, 1Password, Notion. Các công cụ xử lý hình ảnh, trình đọc PDF, phần mềm nén giải nén, ứng dụng AI trên máy tính để bàn, thậm chí cả curl. Cơ bản là nếu nó kết nối với internet hoặc xử lý dữ liệu nén, thì rất có thể nó bị ảnh hưởng. Lỗ hổng CVE-2026-111497 ban đầu đã rất nghiêm trọng — thực thi mã từ xa trước khi xác thực thông qua dữ liệu nén độc hại. Nhưng phạm vi ảnh hưởng vừa mở rộng ra gần như mọi thứ bạn sử dụng hàng ngày. Các bản vá vẫn chưa khả dụng cho tất cả các dịch vụ bị ảnh hưởng. Cập nhật mọi thứ ngay lập tức. Trước tiên là trình duyệt, sau đó là ứng dụng máy tính để bàn, rồi đến các công cụ phát triển. Nếu có bất kỳ phần mềm nào cung cấp bản cập nhật hôm nay, đừng đặt câu hỏi — hãy cài đặt ngay. Internet đang vận hành trên một nền tảng bị nứt vỡ, và những vết nứt vừa trở nên lớn hơn rất nhiều.

Anh chàng IT này vừa cứu cả công ty khỏi một cuộc tấn công ransomware vào lúc nửa đêm, và câu chuyện này thật điên rồ. Anh ta đang xem Netflix thì điện thoại bỗng nhiên đổ chuông liên tục với các cảnh báo máy chủ. Anh ta kết nối từ xa và chứng kiến các tệp tin công ty thay đổi tên từng cái một theo thời gian thực, tất cả đều biến thành những ký tự hỗn loạn. Người đàn ông này vớp chìa khóa xe và lái đến văn phòng như một kẻ điên. Anh ta đến nơi lúc 12:20 AM, trong bóng tối hoàn toàn, đi từ bàn này sang bàn khác, rút ra từng sợi cáp LAN khỏi 40 máy tính, tay run rẩy. Thông điệp đòi tiền chuộc trên mỗi màn hình? Trả cho chúng tôi toàn bộ lợi nhuận hàng tháng của công ty dưới dạng bitcoin trong vòng 72 giờ. Sếp anh ta gọi đến và nói: “Hãy trả tiền đi, chúng ta cần những tệp này để thứ Hai.” Anh ta từ chối. Những công ty trả tiền thường bị nhắm mục tiêu lần nữa. Anh ta cố gắng khôi phục từ bản sao lưu, nhưng máy chủ sao lưu cũng bị tấn công. Cùng mạng, cùng phần mềm ransomware. Anh ta nói rằng lúc đó đầu óc anh ta trống rỗng hoàn toàn. Nhưng anh ta còn một lá bài cuối cùng. Mỗi thứ Tư trên đường về nhà, anh ta tự tay sao lưu dữ liệu công ty lên một ổ cứng ngoài và cất nó trong ngăn kéo bàn làm việc — một thói quen mà anh gần như đã bỏ vì cảm thấy nó vô ích. Chính ổ cứng nằm trong ngăn kéo đó đã cứu cả công ty. Anh ta xây dựng lại toàn bộ hệ thống trong suốt cuối tuần, và sáng thứ Hai, mọi lô hàng đều được giao đi. Sếp anh ta cười và nói: “Mình vui vì mày đã không gửi bitcoin.” Tuần tới, hai ổ cứng nữa xuất hiện trên bàn anh ta. Thói quen nhàm chán mà chẳng ai muốn làm lại là thứ duy nhất phát huy tác dụng.

OpenAI vô tình phát hiện ra một lỗ hổng có thể đe dọa hàng triệu máy chủ, trong khi họ thậm chí không tìm kiếm nó. Họ đang cố gắng ngăn các mô hình AI của mình truy cập internet trong quá trình huấn luyện, nên đã xây dựng một thế giới ngoại tuyến hoàn toàn cho chúng. Trong khi thực hiện red-teaming trên thiết lập này, họ tình cờ phát hiện ra một lỗ hổng trong Brotli — một trong những thư viện nén được sử dụng rộng rãi nhất trên internet. Lỗ hổng này cho phép kẻ tấn công chạy mã của riêng mình trên bất kỳ hệ thống nào bị ảnh hưởng bằng cách gửi dữ liệu nén độc hại. Không cần đăng nhập, không cần tài khoản người dùng. Chỉ cần gửi dữ liệu là đã có thể xâm nhập. Brotli được tích hợp sẵn trong Node.js, Bun, Envoy và gần như mọi thứ xử lý lưu lượng web được nén. Lỗ hổng này đã được vá kỹ thuật vào tháng Hai, nhưng lúc đó không ai nhận ra đó là một vấn đề bảo mật. Vì vậy, trong nhiều tháng, bản vá tồn tại nhưng gần như không ai áp dụng vì nó trông giống như một bản cập nhật thông thường. Đôi khi, những phát hiện đáng sợ nhất lại xảy ra khi bạn chẳng hề tìm kiếm chúng.

Họ đang gọi đây là “Tháng Mười Đen” và tôi không nghĩ mọi người nhận thức được mức độ nghiêm trọng của vấn đề này. Trong 48 giờ qua, đã có hơn 27 sự cố an ninh mạng lớn. Không phải trong một tháng. Không phải trong một tuần. Mà chỉ trong 48 giờ. BẤT KỲ một sự cố nào trong số này cũng đủ để trở thành tin tức lớn nhất năm nay. PHP: lỗ hổng nghiêm trọng trong phần mềm chạy 80% web. mức độ nghiêm trọng 9,2/10. Node.js: lỗ hổng nghiêm trọng cho phép kẻ tấn công kiểm soát máy chủ từ xa. ảnh hưởng đến các phiên bản 22, 24 và 26. Java: cũng bị xâm phạm. Ba trong số những ngôn ngữ lập trình được sử dụng nhiều nhất thế giới cùng lúc bị tấn công. GitLab: lỗ hổng mức độ 10/10 trong mọi phiên bản kể từ năm 2014. Railway: nền tảng lưu trữ bị xâm phạm. Khóa API của OpenAI, Claude, Stripe có thể đã bị lộ. Signal: một lỗi có thể khiến mic và camera của bạn vẫn hoạt động sau khi bạn tắt cuộc gọi. WordPress: tin tặc đánh cắp khóa của nhà phát triển plugin và cài đặt backdoor vào các trang web. LiteLLM: một công cụ AI được tải về 3,4 triệu lần mỗi ngày đã bị nhiễm phần mềm đánh cắp mật khẩu. Và đây chưa phải là nửa danh sách. Hàng ngàn đàn AI agent được cho là đang quét và tấn công các máy chủ dễ bị tổn thương ngay lúc này. Tự động. Liên tục 24/7. Các chuyên gia an ninh cho rằng đây có thể là giai đoạn đầu tiên của một sự cố mạng toàn cầu mà chưa ai hiểu rõ hoàn toàn. Nếu bạn vận hành trang web, sử dụng dịch vụ đám mây, lưu trữ khóa API trên các nền tảng lưu trữ hoặc sử dụng bất kỳ phần mềm nào được xây dựng trên PHP, Node.js hoặc Java, bạn có thể đang bị ảnh hưởng. Cập nhật tất cả mọi thứ. Thay đổi khóa API của bạn. Đổi mật khẩu trên các dịch vụ quan trọng. Kích hoạt xác thực 2 yếu tố ở mọi nơi mà bạn chưa từng làm.

Revolut lại nữa rồi anh ơi Một vụ rò rỉ dữ liệu cách đây vài tuần, làm lộ tên, địa chỉ, ảnh hộ chiếu và lịch sử giao dịch tiền điện tử. Một người đàn ông có thể đã bị cướp dưới đe dọa bằng dao vì dữ liệu bị rò rỉ đó, cách đây một tuần. Bây giờ lại xảy ra sự cố dịch vụ ảnh hưởng đến hàng triệu người dùng hôm nay. Họ nói: “Tiền và dữ liệu của bạn an toàn” Đến lúc này, Revolut phải xuất hiện trên tin tức vì những lý do sai lầm bao nhiêu lần nữa thì người ta mới bắt đầu đặt câu hỏi nghiêm túc? Dữ liệu của bạn bị rò rỉ. Dịch vụ của bạn sụp đổ. Và tất cả những gì bạn nhận được là “Chúng tôi xin lỗi vì sự bất tiện này” Một vụ cướp $800K không phải là sự bất tiện đâu anh ơi