Tin tức

Thông số kĩ thuật

Chi tiết sản phẩm

Hiểu về lỗ hổng bảo mật CVE-2026-48561 trên Microsoft Copilot

Trong đợt cập nhật bảo mật định kỳ tháng 7, Microsoft đã công bố bản vá cho một lỗ hổng bảo mật nghiêm trọng được định danh là CVE-2026-48561. Với điểm số đánh giá CVSS 9.6/10, đây là một trong những mối đe dọa kỹ thuật đáng lưu ý nhất, được phát hiện bởi chuyên gia bảo mật Ofek Levin từ Enclave.

Về cơ bản, đây là lỗi command injection (tiêm lệnh) cho phép kẻ tấn công thực thi các lệnh trái phép thông qua trình duyệt. Điều này biến trợ lý AI từ một công cụ hỗ trợ trở thành lỗ hổng để truy cập vào dữ liệu nhạy cảm của người dùng mà không cần sự cho phép hay xác nhận trực tiếp.

Cơ chế tấn công nguy hiểm

Phương thức khai thác lỗ hổng này khá tinh vi nhưng lại dễ dàng triển khai. Khi người dùng truy cập vào một trang web độc hại thông qua trình duyệt Microsoft Edge trên thiết bị Android, mã độc có thể âm thầm gửi các câu lệnh đã được lập trình sẵn đến ứng dụng Microsoft Copilot.

Vì hệ thống tại thời điểm đó thiếu cơ chế xác thực nguồn gốc yêu cầu, Copilot sẽ tự động thực thi các lệnh này. Hậu quả là kẻ xấu có thể đọc hoặc thay đổi dữ liệu cá nhân, làm suy yếu nghiêm trọng quyền riêng tư của người dùng mà nạn nhân hoàn toàn không hay biết.

Phạm vi ảnh hưởng và sự thiếu minh bạch trong thông tin

Mặc dù Microsoft xác nhận lỗ hổng ảnh hưởng đến Microsoft 365 Copilot trên cả iOS và Android, nhưng các chi tiết kỹ thuật lại tập trung vào trình duyệt Edge. Sự thiếu hụt thông tin về phiên bản cụ thể bị ảnh hưởng khiến người dùng cảm thấy lo ngại.

• Các liên kết cập nhật hiện đang trỏ về trình duyệt Edge thay vì ứng dụng Copilot chuyên dụng.
• Ghi chú phát hành phiên bản 150.0.4078.65 của Edge Mobile không đề cập rõ ràng đến bản vá bảo mật này.
• Người dùng cần chủ động kiểm tra cập nhật thủ công trên App Store và Google Play Store thay vì đợi thông báo tự động.

Lời khuyên bảo mật cho người dùng trong kỷ nguyên AI

Dù Microsoft khẳng định lỗ hổng chưa bị khai thác rộng rãi và khả năng tấn công thực tế là thấp, việc chủ động phòng ngừa là yếu tố then chốt để đảm bảo an toàn thông tin. Dưới đây là những bước bạn nên thực hiện ngay:

1. Cập nhật phần mềm định kỳ

Hãy truy cập ngay cửa hàng ứng dụng trên thiết bị của bạn để cập nhật phiên bản mới nhất cho cả Microsoft Copilot và Microsoft Edge. Việc duy trì phiên bản phần mềm mới nhất là lớp khiên bảo vệ đầu tiên chống lại các cuộc tấn công khai thác lỗ hổng đã biết.

2. Kiểm soát quyền truy cập của AI

Trợ lý AI là công cụ mạnh mẽ nhưng cũng tiềm ẩn rủi ro nếu quyền truy cập dữ liệu quá rộng. Nếu bạn không thường xuyên sử dụng tính năng AI trên điện thoại, hãy cân nhắc xóa ứng dụng để giảm thiểu bề mặt tấn công. Đồng thời, hãy hạn chế chia sẻ thông tin nhạy cảm (mật khẩu, tài khoản ngân hàng, dữ liệu công việc) trong các cuộc trò chuyện với AI.

3. Nâng cao cảnh giác với các trang web lạ

Trong kỷ nguyên AI, các cuộc tấn công xen kẽ giữa người dùng và trợ lý ảo (như các tiện ích mở rộng giả mạo) đang có xu hướng gia tăng. Hãy luôn cẩn trọng khi truy cập vào các liên kết lạ, ngay cả khi bạn đang sử dụng trình duyệt chính thống, vì bất kỳ lỗ hổng nào cũng có thể bị lợi dụng để thao túng trải nghiệm của bạn.