Lỗ hổng kernel Linux khiến sàn crypto và bên lưu ký cảnh giác

Hai lỗ hổng leo thang đặc quyền trên Linux đang khiến các đơn vị hạ tầng crypto phải rà soát bảo mật khẩn cấp, trong đó một lỗi đã có bản vá còn lỗi kia chưa có bản vá chính thức.

Điểm đáng chú ý nằm ở việc phần lớn hạ tầng crypto cốt lõi vận hành trên Linux, từ sàn giao dịch đến đơn vị lưu ký và một số hệ thống validator. Dù chưa có báo cáo về vụ xâm nhập lớn liên quan, rủi ro vận hành và khả năng bị chiếm quyền root khiến các nhóm kỹ thuật phải xử lý ngay.

Copy Fail đã bị khai thác và có bản vá

CVE-2026-31431, được gọi là “Copy Fail”, là một lỗ hổng leo thang đặc quyền cục bộ trong Linux kernel crypto API. Lỗi này được công bố vào ngày 29/4, được xác nhận đang bị khai thác và đến ngày 1/5 đã xuất hiện trong danh mục Known Exploited Vulnerabilities của Cơ quan An ninh mạng và An ninh cơ sở hạ tầng Mỹ.

Theo mô tả hiện có, Copy Fail ảnh hưởng đến mọi bản phân phối Linux được tạo từ năm 2017. Điểm giảm rủi ro là lỗi này đã có bản vá, nhưng việc triển khai cập nhật kernel trên hệ thống crypto đang chạy thực tế thường không đơn giản vì yêu cầu ổn định và liên tục hoạt động.

Dirty Frag nguy hiểm hơn vì chưa có bản vá khi công bố

Chỉ chưa đầy hai tuần sau, một chuỗi leo thang đặc quyền khác có tên “Dirty Frag” tiếp tục xuất hiện trên môi trường thực tế. Lỗ hổng này được công bố ngày 7/5 và được mô tả là kết hợp CVE-2026-43284 với CVE-2026-43500 để giành quyền root thông qua các lỗi quản lý bộ nhớ của Linux kernel.

Nhóm nghiên cứu cho biết Dirty Frag có thể thao túng cách phân bổ bộ nhớ để ghi đè lên các đối tượng kernel có đặc quyền, từ đó tiến tới thực thi ở cấp root. Tại thời điểm công bố, lỗ hổng này chưa có bản vá chính thức, nên mức độ rủi ro đối với hệ thống chưa kịp vá được xem là cao hơn.

Vì sao các công ty crypto dễ bị ảnh hưởng

Crypto đặc biệt nhạy với các lỗi kiểu này vì phần lớn hạ tầng vận hành trên Linux. Sàn giao dịch dùng máy chủ Linux để quản lý ví và khớp lệnh, còn một số validator trên các blockchain PoS như Ethereum và Solana cũng thường chạy trong môi trường Linux.

Điều tương tự áp dụng với các đơn vị lưu ký. Khi một lỗ hổng cho phép leo thang đặc quyền lên root, nguy cơ không chỉ là xâm nhập một máy chủ đơn lẻ mà còn là ảnh hưởng đến hệ thống vận hành trung tâm, nơi xử lý khóa, dịch vụ mạng và quyền truy cập nội bộ.

Các biện pháp giảm rủi ro đang được khuyến nghị

Với Copy Fail, bản vá đã có sẵn nhưng việc cập nhật cần được cân nhắc theo từng hệ thống. Với Dirty Frag, khi chưa có bản vá chính thức, hướng xử lý ưu tiên là giảm bề mặt tấn công và kiểm soát chặt quyền truy cập vào các hệ thống bị ảnh hưởng.

Trong một số khuyến nghị an ninh hiện có, tổ chức được yêu cầu vô hiệu hóa các module kernel dễ bị tổn thương cho đến khi có bản vá từ nhà cung cấp, đồng thời hạn chế truy cập cục bộ và từ xa trên hệ thống dùng chung hoặc đa người thuê. Việc giám sát log xác thực, log hệ thống và log kernel cũng được nhấn mạnh để phát hiện dấu hiệu leo thang đặc quyền hoặc hoạt động bất thường.

Tình hình thiệt hại thực tế vẫn chưa được xác nhận

Hiện chưa có đơn vị lớn nào trong lĩnh vực sàn giao dịch hay lưu ký công bố sự cố bị liên quan trực tiếp đến một trong hai lỗ hổng. Dù vậy, việc cả hai đều nhắm vào kernel Linux khiến chúng trở thành mối quan tâm vận hành hơn là một tin bảo mật đơn thuần.

Với các doanh nghiệp crypto, ưu tiên trước mắt là kiểm tra trạng thái vá lỗi, đánh giá hệ thống đang chạy trên Linux và xác định những thành phần có thể bị ảnh hưởng nếu xuất hiện khai thác thực tế mới.

Tổng kết

Copy Fail và Dirty Frag cho thấy rủi ro từ Linux kernel có thể lan thẳng sang hạ tầng crypto, nhất là khi một lỗi đã bị khai thác còn lỗi kia chưa có bản vá chính thức. Trong ngắn hạn, trọng tâm của các đơn vị vận hành là rà soát hệ thống, cập nhật bản vá và siết quyền truy cập.