Lỗ hổng bảo mật nghiêm trọng trong phần mềm SharePoint của Microsoft đang gây ra sự quan ngại lớn trong cộng đồng an ninh mạng. Lỗ hổng zero-day, được biết đến với tên gọi ‘ToolShell’, có thể cho phép các tin tặc tấn công vào hệ thống của nhiều cơ quan chính phủ và doanh nghiệp đang sử dụng phần mềm này để chia sẻ tài liệu nội bộ.

Ông Adam Meyers, Phó Chủ tịch cấp cao của công ty an ninh mạng CrowdStrike, nhận định rằng bất kỳ tổ chức nào sở hữu máy chủ SharePoint được lưu trữ bên ngoài đều có thể gặp phải vấn đề này, và đây là một lỗ hổng nghiêm trọng. Lỗ hổng này không chỉ gây rủi ro cho các tổ chức có máy chủ SharePoint cài đặt tại chỗ mà còn cho phép tin tặc truy cập đầy đủ vào các hệ thống tệp SharePoint, bao gồm cả các dịch vụ được kết nối như Teams và OneDrive.

Bộ phận Phân tích mối đe dọa an ninh mạng của Google cũng cảnh báo rằng lỗ hổng này có thể cho phép tin tặc vượt qua các bản vá trong tương lai. Trong khi đó, Microsoft xác nhận rằng dịch vụ SharePoint Online dựa trên đám mây của họ không bị ảnh hưởng bởi lỗ hổng này.

Tuy nhiên, ông Michael Sikorski, Giám đốc Công nghệ và Trưởng bộ phận Phân tích mối đe dọa an ninh mạng của Đơn vị Nghiên cứu bảo mật Unit42 tại Palo Alto Networks, cảnh báo rằng lỗ hổng vẫn đang đặt nhiều tổ chức, cá nhân vào tầm ngắm của tin tặc. Các tổ chức an ninh mạng quốc tế đã phát hiện ra cuộc tấn công quy mô lớn này đã xâm nhập hệ thống của khoảng 100 tổ chức khác nhau, bao gồm nhiều doanh nghiệp và cơ quan chính phủ.

Hầu hết các tổ chức bị ảnh hưởng đều ở Mỹ và Đức, trong đó có cả các tổ chức chính phủ. Trung tâm An ninh mạng quốc gia Anh cũng tuyên bố đã nắm được thông tin về một số lượng hạn chế các mục tiêu ở nước này.

CISA khuyến nghị bất kỳ máy chủ nào bị ảnh hưởng bởi lỗ hổng này cần ngắt kết nối với internet cho đến khi chúng được vá bảo mật. Điều này nhằm đảm bảo rằng các tổ chức có thể giảm thiểu rủi ro và ngăn chặn các cuộc tấn công tiềm ẩn.

Trong bối cảnh lỗ hổng bảo mật này ngày càng gia tăng, các chuyên gia an ninh mạng đang kêu gọi các tổ chức thực hiện các biện pháp phòng ngừa cần thiết để bảo vệ hệ thống của mình. Việc cập nhật và vá bảo mật kịp thời là rất quan trọng để ngăn chặn các cuộc tấn công và đảm bảo an toàn thông tin.

Ngày 21/7, Microsoft đã phát hành một bản cập nhật khẩn cấp quan trọng nhằm khắc phục hai lỗ hổng bảo mật nghiêm trọng trên nền tảng SharePoint, được đánh mã hiệu CVE-2025-53770 và CVE-2025-53771. Đây là các lỗ hổng cho phép thực thi mã từ xa (RCE) mà không cần xác thực trên các máy chủ SharePoint, một trong những dạng tấn công nguy hiểm nhất.

Các lỗ hổng này đã được phát hiện trong cuộc thi tấn công mạng Pwn2Own tại Berlin hồi tháng 5. Các đội thi đã khai thác thành công chuỗi lỗ hổng ToolShell để kiểm soát hệ thống SharePoint. Mặc dù Microsoft đã phát hành bản vá sơ bộ trong đợt cập nhật tháng 7, nhưng tin tặc nhanh chóng tìm ra cách vượt qua các lớp bảo vệ này và tiếp tục tấn công hệ thống.

Hiện có hơn 10.000 máy chủ SharePoint trên toàn cầu đang có nguy cơ bị xâm nhập, tập trung chủ yếu tại Mỹ, Hà Lan, Anh và Canada, theo ước tính của công ty an ninh mạng Censys. Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) cảnh báo rằng các lỗ hổng này cho phép tin tặc truy cập hệ thống tệp, đọc cấu hình nội bộ và cài đặt mã độc từ xa mà không cần tài khoản đăng nhập.

CISA và các chuyên gia an ninh mạng mô tả các lỗ hổng này là ‘truy cập không cần xác thực một cách liên tục’, trong khi Palo Alto Networks gọi đây là ‘mối đe dọa thực sự và hiện hữu’. Các chiến dịch tấn công hiện tại đang sử dụng các tệp độc hại như spinstall0.aspx và tấn công trực tiếp vào thư mục _layouts – đặc điểm thường thấy trong các đợt tấn công APT có chủ đích và quy mô lớn.

Microsoft đã cung cấp hướng dẫn khắc phục cụ thể cho từng phiên bản hệ thống SharePoint, bao gồm SharePoint Server 2019, SharePoint Server 2016 và SharePoint Subscription Edition. Quản trị viên cần cập nhật khóa máy, khởi động lại dịch vụ IIS trên tất cả máy chủ SharePoint và kiểm tra log hệ thống và nhật ký IIS để phát hiện truy cập trái phép.

Một số dấu hiệu cần lưu ý bao gồm xuất hiện tệp lạ tại đường dẫn C:Program FilesCommon FilesMicrosoft SharedWeb Server Extensions16TEMPLATELAYOUTSspinstall0.aspx và log IIS hiển thị các truy cập bất thường. Microsoft cũng cung cấp công cụ truy vấn trong Microsoft 365 Defender giúp phát hiện nhanh các mối đe dọa tiềm tàng liên quan đến ToolShell.

Ngày 7/7/2025, Microsoft đã phát đi cảnh báo bảo mật khẩn cấp về một chiến dịch tấn công có chủ đích nhắm vào hệ thống SharePoint Server on-premises. Được biết, cuộc tấn công này được thực hiện bởi ba nhóm tin tặc đến từ Trung Quốc, bao gồm Linen Typhoon, Violet Typhoon và Storm-2603. Các nhóm tin tặc này đã lợi dụng một chuỗi lỗ hổng nghiêm trọng trong hệ thống SharePoint, cho phép chúng vượt qua xác thực, thực thi mã từ xa và chiếm quyền kiểm soát hệ thống nội bộ của các tổ chức.

Đặc biệt, vào ngày 18/7/2025, Microsoft đã xác nhận rằng một trong những nạn nhân của chiến dịch tấn công này là Cơ quan Quản lý An ninh Hạt nhân Quốc gia Mỹ (NNSA), thuộc Bộ Năng lượng Hoa Kỳ. Dù chỉ một số hệ thống bị ảnh hưởng và chưa phát hiện bất kỳ rò rỉ dữ liệu mật nào, vụ việc này đã cho thấy quy mô và mức độ tinh vi của làn sóng tấn công mà các tổ chức phải đối mặt.

Qua quá trình điều tra, Microsoft đã xác định được bốn lỗ hổng được khai thác trong đợt tấn công này, bao gồm CVE-2025-49706, CVE-2025-49704, CVE-2025-53770 và CVE-2025-53771. Những lỗ hổng này ảnh hưởng đến các phiên bản SharePoint Server 2016, 2019 và Subscription Edition cài đặt tại chỗ. Để bảo vệ hệ thống trước làn sóng tấn công này, Microsoft đã nhanh chóng phát hành các bản vá bảo mật tương ứng nhằm giúp các tổ chức ngăn chặn các cuộc tấn công.

Ngoài việc phát hành bản vá, Microsoft cũng khuyến nghị các tổ chức triển khai ngay các biện pháp phòng thủ để bảo vệ hệ thống của mình. Các biện pháp này bao gồm kích hoạt AMSI ở chế độ Full Mode, trang bị Microsoft Defender Antivirus, xoay vòng khóa xác thực ASP.NET và khởi động lại dịch vụ IIS. Việc áp dụng các biện pháp này có thể giúp tăng cường bảo mật cho hệ thống và giảm thiểu rủi ro bị tấn công.

CISA (Cơ quan Quản lý An ninh mạng và Cơ sở hạ tầng Hoa Kỳ) đã thêm CVE-2025-53771 vào danh sách cần khắc phục khẩn cấp vào ngày 22/7/2025, với hạn chót thực hiện chỉ sau đó một ngày. Các chuyên gia an ninh mạng cũng cảnh báo rằng việc kết hợp giữa bypass xác thực và thực thi mã từ xa là công thức lý tưởng cho các chiến dịch tấn công mã hóa dữ liệu. Điều này có nghĩa là các tổ chức cần phải ưu tiên cập nhật bản vá và thực hiện các biện pháp bảo mật cần thiết để ngăn chặn các cuộc tấn công.

Trong bối cảnh kẻ tấn công đã có sẵn đường đi, chỉ chờ thời cơ để bước vào, việc cập nhật bản vá không còn là lựa chọn mà đó là hành động sống còn đối với các tổ chức. Các tổ chức cần phải coi trọng việc bảo mật hệ thống và dữ liệu của mình để tránh trở thành nạn nhân của các chiến dịch tấn công mạng.

Một loạt vụ tấn công mạng gần đây đã nhắm vào phần mềm quản lý tài liệu SharePoint của Microsoft, với Cơ quan An ninh hạt nhân quốc gia Mỹ (NSA) là một trong những mục tiêu chính. Mặc dù hệ thống của NSA đã bị xâm nhập, nhưng may mắn là không có dữ liệu mật hay thông tin nhạy cảm nào bị đánh cắp.

Các cuộc tấn công này được cho là nằm trong chiến dịch có tên ‘ToolShell’, cho phép tin tặc chiếm quyền kiểm soát hoàn toàn hệ thống và cài đặt cửa hậu (backdoor) để truy cập lâu dài. Chiến dịch này đã không chỉ nhắm vào Mỹ, mà còn nhắm vào Đức và một số nước châu Âu khác, chủ yếu nhắm vào các tổ chức sử dụng SharePoint trong các lĩnh vực như chính phủ, công nghiệp quốc phòng, ngân hàng và y tế.

Đáng chú ý, sự phát triển của trí tuệ nhân tạo (AI) đã giúp tin tặc tạo ra các cuộc tấn công mạng tinh vi hơn. Một trong những phương thức tấn công phổ biến hiện nay là sử dụng email lừa đảo với nội dung tự nhiên giống như thật. Điều này đòi hỏi người dùng cần nâng cao cảnh giác và áp dụng các biện pháp bảo mật cần thiết để phòng tránh các cuộc tấn công mạng.

Các chuyên gia bảo mật khuyến cáo rằng, người dùng nên nâng cao cảnh giác khi nhận được các email hoặc liên kết không rõ nguồn gốc. Ngoài ra, việc áp dụng các biện pháp bảo mật như xác thực đa yếu tố, cập nhật phần mềm thường xuyên và đào tạo nhân viên về an ninh mạng cũng là những bước quan trọng để bảo vệ hệ thống và dữ liệu.

Về phía Microsoft, công ty này đã cung cấp thông tin về các cuộc tấn công và khuyến cáo khách hàng của mình nên nâng cao cảnh giác và áp dụng các biện pháp bảo mật cần thiết. Đồng thời, Microsoft cũng cung cấp các bản vá lỗi để khắc phục các lỗ hổng bảo mật trong phần mềm SharePoint.

Cuối cùng, việc phòng tránh các cuộc tấn công mạng đòi hỏi sự quan tâm và đầu tư từ cả cá nhân và tổ chức. Việc nâng cao cảnh giác, áp dụng các biện pháp bảo mật cần thiết và cập nhật kiến thức về an ninh mạng sẽ giúp giảm thiểu rủi ro và bảo vệ hệ thống cũng như dữ liệu khỏi các cuộc tấn công mạng.

Ngày 21/7, Microsoft đã phát hành một bản cập nhật bảo mật khẩn cấp nhằm giải quyết hai lỗ hổng bảo mật zero-day nghiêm trọng, được ghi nhận là CVE-2025-53770 và CVE-2025-53771. Những lỗ hổng này cho phép kẻ tấn công thực hiện các cuộc tấn công thực thi mã từ xa (Remote Code Execution – RCE) trên các máy chủ SharePoint, một nền tảng cộng tác doanh nghiệp phổ biến của Microsoft.

Sự việc bắt nguồn từ cuộc thi tấn công mạng Pwn2Own tại Berlin vào tháng 5, nơi các đội đã khai thác thành công một chuỗi lỗ hổng được gọi là ToolShell để chiếm quyền kiểm soát máy chủ SharePoint. Dù Microsoft đã phát hành bản vá ban đầu vào Patch Tuesday tháng 7, các hacker đã nhanh chóng phát hiện ra hai lỗ hổng mới có thể vượt qua lớp bảo vệ cũ, khiến hệ thống tiếp tục đối mặt với nguy hiểm.

Theo các chuyên gia bảo mật, hơn 54 tổ chức đã bị ảnh hưởng trực tiếp và con số này dự kiến sẽ tăng mạnh. Công ty an ninh mạng Censys ước tính có hơn 10.000 máy chủ SharePoint trên toàn cầu đang tiềm ẩn nguy cơ bị xâm nhập, đặc biệt là tại Mỹ, Hà Lan, Anh và Canada – những quốc gia có số lượng máy chủ lớn nhất.

Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) cũng xác nhận lỗ hổng này cho phép kẻ tấn công truy cập hệ thống tệp, cấu hình nội bộ và thực thi mã độc từ xa mà không cần xác thực. Đội ngũ Google Threat Intelligence cảnh báo lỗ hổng này cho phép ‘truy cập không cần xác thực một cách liên tục’, đe dọa nghiêm trọng đến các tổ chức bị ảnh hưởng.

Công ty Palo Alto Networks gọi đây là ‘mối đe dọa thực sự và hiện hữu’ đang diễn ra ngoài đời thực, không còn ở lý thuyết. Để giảm thiểu thiệt hại, Microsoft khuyến cáo các quản trị viên SharePoint ngay lập tức cập nhật các bản vá tương ứng với phiên bản hệ thống đang sử dụng.

Microsoft cũng cung cấp hướng dẫn cập nhật khóa máy (machine key) cho ứng dụng web bằng PowerShell hoặc Central Admin, sau đó khởi động lại IIS trên tất cả các máy chủ SharePoint. Đồng thời, các tổ chức nên tiến hành kiểm tra log hệ thống, tìm kiếm dấu vết truy cập trái phép và thực hiện phân tích mã độc.

Microsoft đang phối hợp chặt chẽ với Chính phủ Pháp trong một dự án tham vọng nhằm tạo ra bản sao kỹ thuật số chính xác của Nhà thờ Đức Bà tại Paris. Mục tiêu của dự án này là lưu giữ chi tiết kiến trúc tinh xảo của nhà thờ và mở ra cơ hội trải nghiệm thực tế ảo cho những người không thể trực tiếp đến thăm địa điểm lịch sử nổi tiếng này.

Bản sao kỹ thuật số của Nhà thờ Đức Bà sẽ không chỉ là một bản sao chép ảo mà còn đóng vai trò quan trọng trong việc bảo tồn di sản văn hóa phong phú của Pháp. Thông qua công nghệ số, du khách từ khắp nơi trên thế giới có thể khám phá và trải nghiệm không gian lịch sử này một cách sâu sắc và trực quan, ngay cả khi họ không thể đến thăm thực tế. Hơn nữa, dự án này cũng tạo ra một hồ sơ kỹ thuật số có giá trị, có thể được sử dụng trong nhiều thập kỷ tới, thậm chí là 100 năm, như một tài liệu tham khảo quý báu cho các thế hệ tương lai.

Đáng chú ý, đây không phải là lần đầu tiên Microsoft thực hiện việc số hóa di sản văn hóa. Trước đó, công ty đã có nhiều hợp tác với các tổ chức quốc tế và địa phương để lưu trữ kỹ thuật số nhiều địa điểm lịch sử và văn hóa quan trọng khác. Một số ví dụ nổi bật bao gồm việc số hóa Olympia cổ đại ở Hy Lạp, tu viện Mont Saint-Michel ở Pháp và Vương cung thánh đường Thánh Peter tại Vatican. Những nỗ lực này thể hiện cam kết của Microsoft trong việc sử dụng công nghệ để bảo tồn và chia sẻ di sản văn hóa của nhân loại với cộng đồng quốc tế.

Thông qua việc áp dụng công nghệ số vào lĩnh vực bảo tồn di sản văn hóa, Microsoft không chỉ giúp bảo vệ những di tích lịch sử khỏi sự mai một và hư hỏng theo thời gian mà còn mở ra cánh cửa cho du khách toàn cầu đến khám phá và tìm hiểu về các nền văn hóa đa dạng trên thế giới. Dự án số hóa Nhà thờ Đức Bà tại Paris là một bước tiến quan trọng trong hướng đi này, góp phần làm giàu thêm trải nghiệm văn hóa và giáo dục cho nhân loại.

Trước những nỗ lực và thành tựu của mình, Microsoft tiếp tục khẳng định vai trò của công ty trong lĩnh vực công nghệ và văn hóa, cũng như cam kết sử dụng công nghệ để mang lại lợi ích tích cực cho xã hội. Tới đây, dự án số hóa Nhà thờ Đức Bà tại Paris sẽ được thực hiện một cách chi tiết và cụ thể hơn, qua đó thể hiện sự hợp tác hiệu quả giữa Microsoft và Chính phủ Pháp trong lĩnh vực di sản văn hóa.