AI và cơn bão lỗ hổng tháng 10/2026: số liệu nói gì, chưa nói gì

Ngày 21/10/2026, PHP vá hai lỗ hổng cho phép chạy code từ xa mà không cần đăng nhập, và nhiều cơ quan chính phủ ở châu Âu tạm tắt website để vá. Suốt tháng 10, các lỗi nghiêm trọng liên tiếp xuất hiện. AI đang làm phần mềm kém an toàn hơn, hay chỉ làm lỗi cũ lộ ra nhanh hơn? Trả lời ngắn: số lỗ hổng công bố năm nay đã gấp đôi, số lỗi ghi công cho AI tăng hơn 20 lần, nhưng số lỗi bị khai thác thật tăng chậm hơn nhiều: khoảng 20% theo số của CISA. Thứ đổi rõ nhất là tốc độ, từ lúc lỗi lộ ra tới lúc bị tấn công, và nút thắt giờ nằm ở phía người vá.

Mình đọc các báo cáo gốc của Google Threat Intelligence Group (GTIG), VulnCheck, CrowdStrike, Anthropic, một phân tích độc lập trên toàn bộ danh sách CVE, cùng tin của báo Việt Nam. Bài này gom chúng lại một chỗ: chuyện gì đã xảy ra, số liệu nói gì, AI dính vào theo những cách nào, và số liệu chưa chứng minh được điều gì.

Tháng 10/2026: PHP2Shell và một tháng dày đặc lỗ hổng

Sự kiện lớn nhất tháng là PHP2Shell: hai lỗi bộ nhớ trong chính PHP (CVE-2026-109618 và CVE-2026-109619), điểm CVSS 9,2. Theo Cloudflare, lỗi ảnh hưởng mọi máy chủ web chạy PHP 5.4 trở lên, và được công bố chung bởi Calif, Wiz, OpenAI và Quarkslab. Dòng thời gian dưới đây ghép từ phân tích của Recorded Future, kho tin của php.net và báo Việt Nam:

Việt Nam không đứng ngoài. Theo VnExpress dẫn BuiltWith, khoảng 143.000 website ở Việt Nam chạy PHP. Calif, một trong các nhóm tìm ra lỗi, có CEO là kỹ sư người Việt Dương Ngọc Thái. Cùng ngày 21/10, CrowdStrike công bố bốn nhóm tấn công dùng AI agent (xem mục bên dưới), còn LiteLLM, một proxy định tuyến yêu cầu tới nhiều mô hình ngôn ngữ, bị chèn mã độc vào các gói phát hành.

Số lỗ hổng công bố năm 2026 đã gấp đôi năm ngoái

Từ 1/1 đến 23/10/2026 có 86.292 CVE được công bố, gấp 2,2 lần cùng kỳ năm 2025 và nhiều hơn cả năm 2025 cộng lại (48.151). Số liệu này lấy từ phân tích của CyberHire trên bản tải về toàn bộ danh sách CVE ngày 23/10. Một vài con số trong đó:

GTIG thấy cùng xu hướng theo từng tháng: số CVE công bố mỗi tháng tăng từ 5.045 (tháng 1) lên 10.740 (tháng 8), theo bài tóm tắt báo cáo của Help Net Security.

AI là người tìm lỗi: từ 34 lên 769 CVE được ghi công

Số CVE ghi tên một hệ thống AI hoặc nhóm nghiên cứu của một hãng AI là người phát hiện tăng từ 34 lên 769 trong cùng khoảng thời gian. Theo CyberHire, nhiều nhất là Anthropic/Claude (335), AISLE (296) và OpenAI (112), và gần một nửa (376) ở mức high hoặc critical. Các dự án bị ảnh hưởng gồm OpenSSL, curl, PostgreSQL, FreeBSD, Mozilla và GitLab.

769 vẫn chưa tới 1% tổng số CVE năm nay, và đó là mức sàn. GTIG giải thích vì sao con số công khai đếm thiếu: bản ghi CVE không có nhãn chuẩn cho "do AI tìm", và các nhà cung cấp cloud, SaaS thường vá mà không xin mã CVE. GTIG cũng thấy 50% lỗi nhiều khả năng do AI tìm dẫn tới chạy code từ xa, so với 26% ở lỗi tìm bằng cách khác, và cho rằng lý do là các chương trình nghiên cứu hướng AI agent vào hạ tầng và ranh giới quyền.

Điểm đáng chú ý là các lỗi này không mới. PHP2Shell nằm trong code từ thời PHP 5.4, ra đời năm 2012. Trong bài viết trên VnExpress, Dương Ngọc Thái, CEO của Calif, kể lỗi thuộc nhóm lỗi mà hacker Stefan Esser đã tìm ra từ năm 2004. AI không tạo ra các lỗ hổng này. AI làm việc tìm chúng rẻ đi, và ai cũng mua được cái giá rẻ đó: người phòng thủ, nhà nghiên cứu, và kẻ tấn công.

Nhiều lỗi hơn không có nghĩa là bị khai thác nhiều hơn tương ứng

Số lỗ hổng tăng gấp đôi, nhưng số lỗ hổng bị khai thác thật tăng chậm hơn nhiều: khoảng 20% theo CISA, nhiều hơn theo GTIG. Ở cả ba nguồn dưới đây, phần bị khai thác vẫn kém xa mức tăng của số lỗi công bố:

• GTIG: chỉ 0,23% CVE năm 2026 (khoảng 1 trên 431) bị ghi nhận khai thác ngoài thực tế. Tháng 1–8/2026 có 141 lỗ hổng bị khai thác, nhiều hơn 127 của cả năm 2025. Zero-day bị khai thác tăng từ trung bình 8 lên 11 mỗi tháng.
• VulnCheck: trong 1.061 lỗ hổng ghi công cho AI, 14 cái (1,3%) đã được xác nhận bị khai thác, gần bằng tỷ lệ chung của mọi lỗ hổng nửa đầu 2026.
• CyberHire: CISA đánh dấu 195 CVE năm 2026 là đang bị khai thác, so với 163 năm 2025. Theo CyberHire, tỷ lệ bị khai thác giảm từ khoảng 0,45% xuống 0,25%.

Hình trên đặt các mức tăng cạnh nhau. Lỗi được ghi công cho AI tăng hơn 22 lần, tổng số CVE tăng 2,2 lần, còn số lỗi bị khai thác chỉ tăng 1,2 lần. Các nguồn không giải thích chi tiết khoảng cách này. Lý do nhiều khả năng là nhiều lỗi mới khó khai thác, nằm ở đường code ít ai chạm tới, hoặc được vá trước khi có ai dùng. Cả hai CVE của PHP2Shell đều có độ phức tạp tấn công "cao" trong vector CVSS (GHSA-6wmf-4rv5-p3rp, GHSA-w8hw-w9fx-j79w).

Thứ thay đổi thật: thời gian từ lúc lỗi lộ ra tới lúc bị tấn công

Khoảng cách giữa công bố và khai thác đang co lại từ hàng tuần xuống còn vài ngày hoặc vài giờ, và đây mới là phần làm các đội vận hành mệt. GTIG lấy ví dụ CVE-2026-1731, một lỗi chèn lệnh hệ điều hành không cần xác thực trong sản phẩm truy cập từ xa của BeyondTrust, do agent nghiên cứu Hacktron AI tìm ra. Một nhóm tấn công khai thác nó trong vòng 4 ngày sau công bố, thêm năm nhóm nữa trong 7 ngày. GTIG nhận định kẻ tấn công có thể đang dùng mô hình ngôn ngữ lớn để nhanh chóng biến lỗi đã công bố (n-day) thành công cụ tấn công.

PHP2Shell còn đi nhanh hơn: chi tiết rò rỉ lúc 02:29 UTC, khai thác thật được báo lúc 07:34, còn bản vá ra lúc 13:52 cùng ngày. Nghĩa là trong nhiều giờ trước khi có bản vá, WAF là lớp bảo vệ chính: luật của Cloudflare chạy từ 03:02 UTC. Một bản vá công khai cũng là một tấm bản đồ: so code trước và sau khi vá là biết lỗi nằm ở đâu, và đó đúng là loại việc AI làm nhanh.

Kẻ tấn công cũng đã dùng AI agent

AI agent không còn là thứ chỉ xuất hiện trong bản demo của bên phòng thủ. Ngày 21/10, CrowdStrike công bố bốn nhóm tấn công chưa từng được ghi nhận, dùng AI agent để ra quyết định và chạy lệnh trong các vụ xâm nhập từ tháng 5 đến tháng 8/2026. Họ đánh giá, với mức tin cậy vừa, rằng agentic AI đang biến các thao tác tấn công cơ bản thành hàng phổ thông, và với mức tin cậy cao, rằng các vụ xâm nhập có AI agent hỗ trợ gần như chắc chắn sẽ tăng cả về số lượng lẫn độ tinh vi.

Báo cáo tháng 9/2026 của Anthropic về các vụ lạm dụng mà họ đã chặn cho thấy tốc độ cụ thể. Một nhóm có động cơ tài chính lấy được hơn 2.100 bộ token Azure AD trên hơn 40 tenant trong khoảng 34 giờ. Một vụ khác đi từ một token bị lộ của một developer lên quyền quản trị cloud trong khoảng ba giờ. Báo cáo cũng nhận xét rằng độ tinh vi của một chiến dịch không còn là dấu hiệu đáng tin để đoán ai đứng sau, vì AI đã thu hẹp khoảng cách giữa các chiến dịch nhà nước nhiều nguồn lực và những người hoạt động đơn lẻ.

Chính phần mềm AI thành mục tiêu mới

Số CVE trong phần mềm AI tăng từ 505 lên 3.191, chiếm 3,7% tổng số CVE năm 2026 (CyberHire). GTIG đếm được 2.076 lỗ hổng trong phần mềm liên quan tới AI từ tháng 1/2025 đến tháng 8/2026, hơn 1.500 trong số đó công bố năm 2026. Khoảng một nửa nằm ở các framework điều phối agent như Flowise và Langflow, nơi các node chạy code có thể bị lạm dụng. Phần mềm suy luận và phục vụ mô hình (vLLM, Ollama, LiteLLM) có 212 lỗ hổng năm 2026, gần một phần tư liên quan tới API không cần xác thực hoặc SSRF.

Lý do kẻ tấn công quan tâm khá thực tế. Một AI gateway bị chiếm giữ API key của mọi nhà cung cấp phía sau nó. Báo cáo của Anthropic ghi nhận API key và token phiên của dịch vụ AI đã trở thành chiến lợi phẩm: chúng cho compute miễn phí và một lớp che danh tính. Nếu bạn đang chạy LiteLLM, Langflow hay một agent framework tự host, đó là phần mềm phơi ra Internet như mọi phần mềm khác, cần được vá và giới hạn quyền như vậy.

Nút thắt chuyển sang người vá lỗi

Tìm lỗi giờ chạy ở tốc độ máy, còn vá lỗi vẫn chạy ở tốc độ con người. PHP chạy khoảng 70% website (W3Techs, theo VnExpress), nhưng theo Reuters qua The Standard, PHP Foundation chỉ có một nhân viên toàn thời gian, chính là giám đốc điều hành, cùng 14 người làm hợp đồng, phần lớn bán thời gian. Dự án nhận số đề xuất thay đổi code gần gấp đôi năm trước, trong khi số người đóng góp không tăng gấp đôi.

Báo cáo rác cũng làm nút thắt tệ hơn. Khi lập nhóm bảo mật hệ sinh thái hồi tháng 5, PHP Foundation viết rằng nhiều dự án báo lượng báo cáo lỗ hổng tăng mạnh, nhiều cái mang dấu hiệu sinh bằng AI một cách cẩu thả. Dự án curl còn dừng hẳn chương trình bug bounty từ cuối tháng 1/2026 để bỏ động cơ gửi báo cáo kém chất lượng.

Với người vận hành, nút thắt nằm ở một câu hỏi đơn giản hơn: mình đang chạy những gì, ở phiên bản nào. Bốn bước Cục An ninh mạng khuyến cáo cho PHP2Shell bắt đầu đúng ở đó: lập danh sách mọi máy chủ, website và container dùng PHP kèm phiên bản, rồi mới đến vá, WAF và theo dõi log.

Những gì số liệu này chưa chứng minh

Không nguồn nào ở trên chứng minh AI là nguyên nhân của việc số CVE tăng gấp đôi. Chính tác giả phân tích của CyberHire viết rõ: phần lớn nhà cung cấp lớn không công bố lỗi được tìm bằng cách nào, nên dữ liệu không tách được phần do AI. Cách đánh số cũng đổi: một số tổ chức chuyển sang cấp một CVE cho mỗi lỗi thay vì mỗi bản vá, và có 1.662 tổ chức cấp CVE năm nay mà năm ngoái không cấp cái nào. Năm 2026 cũng chưa hết.

Các con số về tấn công bằng AI agent đến từ chính các hãng bán sản phẩm bảo mật hoặc sản phẩm AI. Chúng là bằng chứng có thật về các vụ cụ thể, nhưng không phải thống kê đại diện. Và bài này không trả lời được câu hỏi bạn quan tâm nhất: website của bạn có an toàn không. Câu đó chỉ trả lời được bằng danh sách những gì bạn đang chạy và phiên bản của chúng.

Tóm tắt

• Từ 1/1 đến 23/10/2026 có 86.292 CVE, gấp 2,2 lần cùng kỳ 2025. CVE ghi công cho AI tăng từ 34 lên 769, và vẫn là mức sàn.
• Số lỗi bị khai thác thật tăng chậm hơn nhiều: khoảng 20% theo CISA. Tỷ lệ bị khai thác giảm xuống khoảng 0,23–0,25%.
• Thứ đổi thật là tốc độ: PHP2Shell bị khai thác trước cả khi bản vá ra, một lỗi BeyondTrust do AI tìm bị khai thác sau 4 ngày.
• Kẻ tấn công đã dùng AI agent, và phần mềm AI (gateway, agent framework, API key) là mục tiêu mới.
• Nút thắt nằm ở người vá và ở việc biết mình đang chạy gì. Bắt đầu từ danh sách phần mềm và phiên bản, không phải từ điểm CVSS.

Nếu bạn đang vận hành hệ thống và đã đổi cách phân loại, ưu tiên lỗ hổng trong năm nay, mình rất muốn được trao đổi. Email của mình ở trang chủ.