Ngày 21/10: khóa CA là số 4 và bốn lớp tin cậy nứt cùng lúc

Có những ngày ngành bảo mật cháy ở một điểm. Ngày 21/10 không như vậy. Trong cùng một ngày, một tổ chức cấp chứng chỉ thừa nhận khóa riêng của mình là những số nguyên nhỏ tới mức khôi phục được trong chưa đầy một giây, một thư viện AI phổ biến bị cài mã độc ngay từ pipeline phát hành, một nền tảng triển khai phổ biến báo kho bí mật của khách hàng bị chạm tới, và GitLab phát hành bản vá thứ hai ở mức điểm tuyệt đối 10.0 chỉ trong chín ngày. Đặt cạnh nhau, bốn câu chuyện này có cùng một mẫu số: thứ bị đánh sập không phải ứng dụng của bạn, mà là những lớp tin cậy nằm dưới ứng dụng.

Lớp thứ nhất là chứng chỉ số và khóa riêng bằng số 4

Tổ chức cấp chứng chỉ eMudhra của Ấn Độ có tám chứng chỉ trung gian mà khóa riêng là các số nguyên nhỏ hơn 256, trong đó có khóa chỉ là số 4, số 56 và số 115. Một khóa P-384 đúng chuẩn phải là một số ngẫu nhiên 384 bit mà không ai đoán nổi. Tám khóa này được sinh trong một buổi lễ khóa ngày 30/4/2025 và đã lộ trong khoảng mười bảy tháng, trước khi một nhà nghiên cứu phát hiện khi rà soát cơ sở dữ liệu CA công khai và báo cho Apple, Google, Microsoft và Mozilla vào ngày 17/10. Cisco Talos đã xác nhận toàn bộ sự việc trong bài phân tích ngày 21/10, còn CERT-In của Ấn Độ ra cảnh báo chính thức. Với khóa riêng của một CA trung gian, kẻ tấn công có thể ký chứng chỉ giả cho bất kỳ tên miền nào và mạo danh bất kỳ trang web nào. Phần nguy hiểm nhất của vụ này không nằm ở trình duyệt. Chrome, Firefox, Apple và Microsoft đã chặn các chứng chỉ liên quan trong vài ngày, nhưng trình duyệt chỉ là một phần của bề mặt tin cậy. Nhà nghiên cứu Scott Helme kiểm thử và cho thấy các công cụ dòng lệnh và thư viện phổ biến như curl, Python, Node, Go và Java từng chấp nhận một chứng chỉ giả mạo cho API của Stripe được ký bằng chính các khóa này, vì nhiều chương trình không kiểm tra thu hồi và dùng kho tin cậy riêng lỗi thời. Go, gói certifi của Python và webpki-roots của Rust đã vá, còn Node.js gỡ niềm tin vào các trung gian này trong chính bản phát hành bảo mật ngày 21/10. eMudhra cho biết chỉ một trong tám trung gian từng vào vận hành và không trung gian nào đã cấp chứng chỉ cho khách hàng, đồng thời ước tính khoảng 30.000 chứng chỉ khách hàng chuỗi về root liên quan cần thay thế. Chưa có bằng chứng các khóa đã bị lạm dụng, nhưng bài học cho mọi đội kỹ thuật là rõ ràng: kho tin cậy trong CI, trong container và trong thiết bị nhúng của bạn không tự cập nhật theo trình duyệt, và đó mới là nơi cần kiểm kê trước.

Lớp thứ hai là chuỗi cung ứng AI bị cài mã độc

Ngày 21/10, phiên bản 1.107.0 của LiteLLM, thư viện proxy LLM có khoảng 23 triệu lượt tải mỗi tuần, xuất hiện trên PyPI kèm một chương trình đánh cắp thông tin xác thực và một cửa hậu truy cập từ xa. Datadog Security Labs, The Hacker News và SafeDep cùng xác nhận: mã độc chạy mỗi khi tiến trình Python khởi động, thu thập khóa SSH, thông tin xác thực đám mây, dữ liệu trình duyệt và toàn bộ khóa nhà cung cấp nằm trong cơ sở dữ liệu của LiteLLM, rồi gửi về máy chủ của kẻ tấn công, đồng thời duy trì một tiến trình nền gọi về mỗi giờ để nhận mã mới. Phiên bản độc hại và các ảnh Docker liên quan tồn tại khoảng hai giờ trước khi bị gỡ. Cách mã độc lọt vào mới là phần đáng sợ nhất. Theo điều tra của chính LiteLLM, kẻ tấn công dùng token GitHub CLI bị đánh cắp của ba kỹ sư để chạy quy trình phát hành hợp lệ của dự án từ một fork giả có tên lệch đúng một dấu gạch so với fork thật. Nghĩa là bản phát hành độc hại đi qua đúng pipeline chính thức, mang provenance trông hoàn toàn hợp lệ. Đây là lần thứ hai LiteLLM bị cài mã độc trong năm 2026, sau vụ các phiên bản 1.82.7 và 1.82.8 hồi tháng 3. Với những đội đang chạy gateway LLM, việc ghim phiên bản và kiểm tra hash là chưa đủ, vì cả hai đều đúng khi chính pipeline là thứ bị chiếm. Thứ cần tách ra là khóa nhà cung cấp: một gateway nắm toàn bộ khóa của mọi nhà cung cấp trong một cơ sở dữ liệu là một kho báu tập trung, và nó cần được đối xử như hệ thống bí mật hạng nhất.

Lớp thứ ba là nền tảng giữ khóa AI đã thành mặt trận

Cùng ngày 21/10, nền tảng triển khai Railway công bố một bên thứ ba đã truy cập hệ thống lưu biến môi trường của khách hàng và giải mã được một phần nội dung, trong đó có khóa API, thông tin đăng nhập cơ sở dữ liệu và kho chứa ảnh. Railway tự mô tả đây là một phần của loạt tấn công gần đây nhắm vào các công ty nền tảng nhằm chiếm các nhà cung cấp suy luận AI, cho biết đã báo các nhà cung cấp thượng nguồn để thu hồi khóa chủ động, tạm dừng toàn bộ việc triển khai và yêu cầu mọi khách hàng xoay vòng toàn bộ bí mật ngay lập tức. Một điều tra viên chuỗi khối độc lập liên hệ vụ này với khoảng 371.000 đô la tiền mã hóa bị rút trên nhiều mạng, dù con số đó thuộc về phía điều tra độc lập chứ không nằm trong thông cáo của hãng. Vài ngày trước đó, ngày 17/10, công cụ lập trình AI OpenCode cũng xác nhận hệ thống Console cũ sắp ngừng hoạt động của mình bị xâm nhập, làm lộ khóa OpenAI, Anthropic và Google của khoảng 1,4 phần trăm người dùng Console. Nhiều người dùng nhận hóa đơn bất thường từ vài trăm tới hơn 1.700 đô la chỉ sau một đêm. OpenCode gọi đây là một tấn công chưng cất mô hình quy mô lớn, tức dùng khóa đánh cắp để truy vấn ồ ạt và thu đầu ra huấn luyện mô hình rẻ hơn, dù một số quan sát viên cho rằng cách gọi này chưa đủ bằng chứng và cần được đọc như nhận định của hãng. Dù động cơ cuối cùng là gì, điểm chung của hai vụ là không thể chối: khóa API của mô hình đã trở thành tài sản bị săn lùng như mật khẩu ngân hàng, và bất kỳ dịch vụ nào lưu khóa của người khác đều đang ngồi trên một kho giá trị mà kẻ tấn công hiểu rất rõ.

Lớp thứ tư là nhịp vá khẩn cấp không còn kịp thở

Trong khi ba mặt trận trên đang cháy, mặt trận vá lỗi cũng dồn dập bất thường. GitLab phát hành bản vá ngày 21/10 cho CVE-2026-110264, một lỗi tràn số nguyên trong bộ biên dịch biểu thức chính quy đạt điểm CVSS tuyệt đối 10.0, cho phép thực thi mã từ xa không cần đăng nhập trên các bản GitLab tự quản lý từ phiên bản 7.0 trở đi. Đây là lỗ hổng 10.0 thứ hai của GitLab trong chín ngày, sau CVE-2026-97229 ngày 12/10, và cùng một nhà nghiên cứu báo cáo cả hai. Ai đã vá khẩn cấp ngày 12/10 vẫn phải vá lại lần nữa, vì các bản vá cũ vẫn nằm trong vùng bị ảnh hưởng. GitLab.com đã chạy bản vá, chưa có ghi nhận khai thác và lỗ hổng chưa vào danh mục KEV của CISA, nhưng với hạ tầng tự quản lý thì thông điệp vẫn là vá trong ngày. Cùng ngày, Node.js phát hành bản bảo mật vá mười CVE, trong đó có CVE-2026-111497, lỗi ghi ngoài biên trong bộ giải mã Brotli có thể dẫn tới thực thi mã từ xa, được xếp mức High cùng hai lỗi vượt qua kiểm tra hostname của TLS. PHP cũng vá hai lỗi RCE không xác thực ở mức 9.2. Riêng Plex2Shell, chuỗi bốn lỗ hổng của Plex Media Server, đã đi xa hơn một bước: CISA đưa cả bốn vào danh mục lỗ hổng đang bị khai thác sau khi ghi nhận máy chủ Plex bị cài phần mềm đào tiền mã hóa và phần mềm proxy từ ngày 17/10, với khoảng 49.000 máy đang phơi nhiễm theo dữ liệu Shadowserver, dù bản vá đã có từ tháng 8. Cũng trong ngày 21/10, ngân hàng lớn nhất Ấn Độ SBI xác nhận qua hồ sơ công bố chính thức rằng trong khoảng 375.000 bản ghi bị rao trên dark web có 3.897 bản ghi chứa thông tin cá nhân của khách hàng gồm số điện thoại, ngày sinh, địa chỉ và dữ liệu liên quan tới khoản vay, đồng thời khẳng định hệ thống ngân hàng lõi không bị ảnh hưởng.

Việc cần làm ngay trong tuần này

Xoay vòng khóa là việc đầu tiên. Mọi bí mật từng lưu trên Railway cần được xoay vòng toàn bộ, và khóa từng dán vào OpenCode Console cần thu hồi trực tiếp tại OpenAI, Anthropic và Google, vì xóa khỏi Console không thu hồi khóa. Kèm theo đó là rà soát hóa đơn và nhật ký sử dụng khóa từ ngày 16/10 trở đi để phát hiện truy vấn bất thường. Kiểm tra dấu vết LiteLLM là việc thứ hai. Mọi môi trường từng cài phiên bản 1.107.0, kể cả qua ảnh Docker, phải được coi là đã lộ thông tin xác thực: gỡ cài đặt là chưa đủ, cần xoay vòng mọi khóa từng tồn tại trên máy đó và kiểm tra các tệp khởi động lạ trong thư mục gói Python. Cập nhật runtime và hạ tầng tự quản lý là việc thứ ba. Node.js cần lên 26.12.1, 24.22.1 hoặc 22.23.4 theo nhánh, PHP lên các bản vá ngày 21/10, GitLab tự quản lý lên bản vá tương ứng với nhánh của mình ngay cả khi vừa vá ngày 12/10, và Plex Media Server phải ở bản 1.43.3.10861 trở lên kèm rà soát dấu hiệu đào coin và lưu lượng lạ. Kiểm kê kho tin cậy là việc thứ tư và dễ bị quên nhất. Cập nhật kho chứng chỉ gốc trong CI, trong ảnh container và trong các thiết bị, dịch vụ nhúng để bảo đảm các trung gian eMudhra đã bị gỡ niềm tin, vì trình duyệt được bảo vệ không có nghĩa là các client gọi API của bạn cũng vậy. Một tuyên bố đang lan truyền về việc cảnh sát Rajasthan bị xâm nhập và rao bán hàng chục nghìn hồ sơ hiện chưa được xác minh bởi nguồn độc lập đủ mạnh, nên bài này không dùng nó làm dữ kiện. Trong một ngày tin dồn dập, phân biệt được việc gì đã chắc chắn và việc gì chưa cũng là một phần của phản ứng đúng.

Nguồn chính

Cisco Talos, Compromised eMudhra intermediate certificates: https://blog.talosintelligence.com/compromised-intermediate-certificates/ Datadog Security Labs, LiteLLM supply chain compromise: https://securitylabs.datadoghq.com/articles/litellm-compromised-pypi-docker/ Railway, Security Disclosure ngày 21/10: https://blog.railway.com/p/security-disclosure-wednesday-october-21st The Hacker News, Critical GitLab Flaw CVSS 10.0: https://thehackernews.com/2026/10/critical-gitlab-flaw-cvss-100-could.html The Hacker News, CISA Orders Patch of Exploited Plex2Shell: https://thehackernews.com/2026/10/cisa-orders-federal-agencies-to-patch.html Infosecurity Magazine, OpenCode breach exposed API keys: https://www.infosecurity-magazine.com/news/opencode-breach-openai-anthropic/ Indian Express, SBI data leak explained: https://indianexpress.com/article/explained/explained-economics/sbi-data-breach-customer-details-dark-web-exposure-10930302/