Lỗ hổng zero-day là gì?

Mục lục

1. Lỗ hổng zero-day là gì và vì sao gọi là “zero”?
2. Vòng đời của một lỗ hổng zero-day diễn ra thế nào?
3. Zero-day khác n-day và lỗ hổng đã biết ở điểm nào?
4. Kẻ tấn công khai thác zero-day bằng cách nào?
5. Zero-day đang nhắm vào đâu? Số liệu năm 2025
6. Ví dụ zero-day trong thực tế
7. Doanh nghiệp Việt Nam cần chú ý gì?
8. Cách phòng chống và giảm thiệt hại khi chưa có bản vá
9. Khi nhà cung cấp công bố một zero-day, bạn nên làm gì?
10. Ưu nhược điểm của các hướng phòng thủ và khi nào chọn cái nào
11. Những hiểu lầm thường gặp về zero-day
12. Câu hỏi thường gặp

Lỗ hổng zero-day là gì và vì sao gọi là “zero”?

Lỗ hổng (vulnerability) là một sai sót trong mã nguồn, cấu hình hoặc thiết kế khiến kẻ xấu có thể làm điều phần mềm không cho phép: chạy mã tuỳ ý, nâng quyền, đọc dữ liệu hoặc vượt qua bước xác thực. Lỗ hổng zero-day (còn viết 0-day) là loại lỗ hổng mà bên chịu trách nhiệm sửa chưa có bản vá công khai, trong khi nó đã bị lợi dụng hoặc có thể bị lợi dụng ngay.

Chữ “zero” là số ngày nhà cung cấp có để phản ứng. Họ biết muộn, nên coi như có không ngày để chuẩn bị. Theo cách định nghĩa của Google Threat Intelligence Group (GTIG), zero-day là lỗ hổng bị khai thác với mục đích xấu ngoài thực tế trước khi bản vá được công bố công khai. Định nghĩa này chặt hơn cách dùng thông thường, vì chỉ tính lỗ hổng đã bị khai thác thật chứ không tính lỗi mới được nhà nghiên cứu phát hiện.

Ba thuật ngữ hay bị nhầm với nhau:

• Zero-day vulnerability: bản thân lỗi chưa được vá.
• Zero-day exploit: đoạn mã hoặc kỹ thuật tận dụng lỗi đó.
• Zero-day attack: cuộc tấn công thực tế dùng exploit này nhắm vào một tổ chức cụ thể.

Một lỗ hổng có thể tồn tại nhiều năm trong mã nguồn mà không ai biết, rồi mới bị khai thác. Lúc đó “ngày 0” mới thực sự bắt đầu với nhà cung cấp.

Vòng đời của một lỗ hổng zero-day diễn ra thế nào?

Hiểu vòng đời giúp bạn thấy khoảng thời gian nào doanh nghiệp thật sự bị phơi nhiễm và khoảng nào còn kiểm soát được.

Giữa bước 2 và bước 4, người phát hiện có thể là nhà nghiên cứu bảo mật, đội phòng thủ của nhà cung cấp hoặc kẻ tấn công. Nếu kẻ tấn công phát hiện trước và giữ kín, họ có thời gian dài để xâm nhập mà không ai hay. Phần lớn sự cố zero-day bị lộ khi một đơn vị điều tra thấy hành vi bất thường trên một máy chủ hay thiết bị biên, rồi lần ngược ra lỗi đứng sau.

Sau bước 4, nhà cung cấp thường gán mã CVE (Common Vulnerabilities and Exposures) để mọi bên cùng gọi một tên. Từ lúc này lỗ hổng không còn là zero-day theo nghĩa kỹ thuật, nhưng nguy cơ chưa hết. Kẻ tấn công thường đảo ngược bản vá để tìm ra chỗ lỗi, rồi quét hàng loạt các hệ thống chưa cập nhật.

Zero-day khác n-day và lỗ hổng đã biết ở điểm nào?

Đây là câu hỏi quyết định cách bạn ưu tiên công việc. Cùng một lỗi, mức độ rủi ro và hành động cần làm thay đổi theo trạng thái của nó.

Tiêu chí	Zero-day	N-day (one-day)
Nhà cung cấp biết chưa	Chưa biết, hoặc mới biết và chưa kịp vá	Đã biết và đã công bố
Có bản vá chưa	Chưa	Đã có
Nguyên nhân bị xâm nhập	Không ai tránh được chỉ bằng cập nhật	Doanh nghiệp cài vá chậm hoặc sót thiết bị
Cách giảm thiệt hại chính	Giảm bề mặt tấn công, phát hiện hành vi, phân đoạn mạng, biện pháp giảm nhẹ tạm thời	Quản lý bản vá, kiểm kê tài sản, ưu tiên theo mức độ bị khai thác
Phạm vi tấn công thường gặp	Nhắm có chọn lọc, mục tiêu giá trị cao	Quét rộng, tự động, nhắm vào bất cứ ai chưa vá

Trong thực tế, doanh nghiệp vừa và nhỏ ở Việt Nam bị xâm nhập qua n-day nhiều hơn zero-day, vì kẻ tấn công không cần lỗi mới khi còn máy chủ chưa vá. Dù vậy, zero-day vẫn đáng quan tâm vì không có bước nào của quy trình vá thông thường ngăn được nó.

Kẻ tấn công khai thác zero-day bằng cách nào?

Khai thác zero-day thường là chuỗi nhiều bước, không phải một thao tác. Dưới góc nhìn phòng thủ, bạn chỉ cần nắm các giai đoạn chung, không cần chi tiết kỹ thuật của mã khai thác.

1. Tìm lỗi: phân tích mã nguồn, thử nghiệm đầu vào bất thường (fuzzing) hoặc đảo ngược phần mềm. Một số lỗi được mua từ thị trường trung gian.
2. Viết exploit: biến lỗi thành đoạn mã đáng tin cậy. Với các hệ thống được bảo vệ kỹ, kẻ tấn công thường nối nhiều lỗi lại với nhau. Báo cáo của GTIG nêu rằng có trường hợp kẻ tấn công tăng số lỗ hổng nối chuỗi để đạt mức truy cập mong muốn trong các thành phần được bảo vệ chặt.
3. Đưa vào mục tiêu: qua tệp đính kèm, đường dẫn độc hại, hoặc gửi gói tin thẳng vào dịch vụ đang mở ra Internet. Với lỗi kiểu thứ hai, nạn nhân không cần bấm vào bất cứ thứ gì.
4. Đứng chân và di chuyển ngang: cài cửa hậu, lấy thông tin đăng nhập, rồi đi tiếp sang các hệ thống nội bộ.

Bước 3 cho thấy vì sao yếu tố con người vẫn quan trọng: nhiều chiến dịch vẫn mở đầu bằng email hoặc tin nhắn dụ nạn nhân. Bài về kỹ thuật tấn công lừa người dùng giải thích các thủ thuật thường đi kèm exploit.

Zero-day đang nhắm vào đâu? Số liệu năm 2025

Số liệu công khai về zero-day khó thu thập, vì phải chứng minh lỗi đã bị khai thác trước khi có bản vá. Báo cáo thường niên của GTIG là một trong những nguồn được trích dẫn nhiều nhất. Theo báo cáo này, GTIG theo dõi 90 lỗ hổng zero-day bị khai thác ngoài thực tế trong năm 2025. Con số này thấp hơn mức kỷ lục 100 của năm 2023 nhưng cao hơn 78 của năm 2024.

Điểm đáng chú ý hơn tổng số là mục tiêu thay đổi. Cả số lượng (43) lẫn tỷ lệ (48%) lỗ hổng ảnh hưởng đến công nghệ doanh nghiệp đều đạt mức cao nhất từ trước đến nay. Cùng lúc, việc khai thác qua trình duyệt giảm xuống mức thấp kỷ lục, trong khi lỗ hổng hệ điều hành bị lạm dụng nhiều hơn.

Về tác nhân, GTIG quy được 42 trong 90 lỗ hổng cho một bên cụ thể. Trong số đó, 18 lỗ hổng chắc chắn hoặc nhiều khả năng do các hãng phần mềm gián điệp thương mại sử dụng. Các con số này là của GTIG, dựa trên những ca họ quan sát được, nên không phản ánh toàn bộ thị trường.

Với doanh nghiệp, ý nghĩa thực tế là thiết bị biên (edge device) như cổng VPN, tường lửa, thiết bị cân bằng tải và hệ thống quản trị từ xa cần được xếp vào nhóm ưu tiên. Theo mô tả của GTIG qua Cybersecurity Dive, các nhóm do nhà nước hậu thuẫn nhắm vào công cụ mạng và bảo mật, đặc biệt là thiết bị biên vốn thường không có khả năng phát hiện và phản hồi trên điểm cuối. Nghĩa là chính thiết bị bảo vệ mạng lại là chỗ ít được giám sát nhất.

Ví dụ zero-day trong thực tế

Thay vì nêu những vụ nổi tiếng nhưng đã cũ, bạn có thể hình dung bằng hai tình huống điển hình. Cả hai là ví dụ minh hoạ, không phải sự cố có thật.

• Ví dụ minh hoạ 1, thiết bị biên: một công ty phân phối có cổng VPN cho nhân viên làm từ xa. Kẻ tấn công gửi yêu cầu đặc biệt vào giao diện quản trị mở ra Internet và chạy được lệnh trên thiết bị. Vì thiết bị là hộp kín, không cài được phần mềm giám sát, đội IT chỉ thấy bất thường khi tài khoản dịch vụ đăng nhập vào máy chủ tệp lúc 3 giờ sáng.
• Ví dụ minh hoạ 2, phần mềm văn phòng: một tệp tài liệu gửi cho kế toán khiến trình xem tệp chạy mã ngoài ý muốn. Bản vá chưa có, nhưng nhà cung cấp công bố cách giảm nhẹ tạm thời, chẳng hạn tắt một tính năng xem trước. Đội IT phải quyết định tắt tính năng ngay hay chờ.

Điểm chung: trong cả hai tình huống, cập nhật không giúp được. Thứ giúp được là biết thiết bị nào đang mở ra ngoài, theo dõi dấu hiệu bất thường và có sẵn quy trình ra quyết định khi nhà cung cấp công bố cảnh báo.

Doanh nghiệp Việt Nam cần chú ý gì?

Zero-day không chỉ nhắm tập đoàn lớn. Ba nhóm doanh nghiệp có rủi ro rõ nhất:

• Doanh nghiệp có dịch vụ lộ ra Internet: cổng VPN, webmail, máy chủ quản trị, cổng thanh toán, cổng đại lý. Mỗi dịch vụ là một điểm vào tiềm năng.
• Doanh nghiệp giữ dữ liệu có giá trị: thông tin khách hàng, hồ sơ tài chính, bản vẽ thiết kế, công thức sản xuất.
• Doanh nghiệp nằm trong chuỗi cung ứng: nhà thầu, nhà cung cấp phần mềm, đơn vị vận hành hộ. Kẻ tấn công có thể đi vòng qua họ để vào đối tác lớn hơn.

Nếu sự cố làm lộ thông tin khách hàng hay nhân viên, bạn còn phải xử lý nghĩa vụ thông báo vi phạm dữ liệu cá nhân. Quy trình này được trình bày riêng trong bài về bảo vệ dữ liệu cá nhân, nên đội IT cần chuẩn bị sẵn danh sách hệ thống nào chứa trường dữ liệu nào để trả lời nhanh khi sự cố xảy ra.

Cách phòng chống và giảm thiệt hại khi chưa có bản vá

Không có biện pháp nào chặn được mọi zero-day. Cách tiếp cận thực tế là xếp nhiều lớp, mỗi lớp giảm xác suất hoặc giảm hậu quả. Khung khái niệm chung nằm ở bài an toàn thông tin. Dưới đây là phần áp dụng riêng cho zero-day.

Lớp 1: Biết mình đang có gì và cái gì lộ ra ngoài

Lập danh mục tài sản có địa chỉ công khai, gồm cả thiết bị biên và dịch vụ bị lãng quên từ dự án cũ. Khi nhà cung cấp công bố cảnh báo, bạn phải trả lời được trong vài phút: có dùng sản phẩm đó không, phiên bản nào, đặt ở đâu. Không có danh mục này, các bước còn lại đều chậm.

Lớp 2: Thu hẹp bề mặt tấn công

• Đóng giao diện quản trị khỏi Internet, chỉ cho truy cập qua kênh quản trị riêng hoặc danh sách địa chỉ được phép.
• Tắt tính năng, cổng và dịch vụ không dùng. Nhiều lỗi nằm ở tính năng mà doanh nghiệp chưa từng bật vì mục đích nào.
• Giảm quyền của tài khoản dịch vụ để khi một máy bị chiếm, kẻ tấn công không tự động có quyền quản trị.

Nguyên tắc “không mặc định tin cậy bất kỳ ai trong mạng” của mô hình zero trust phù hợp với mục tiêu này, vì nó giả định có lúc một thành phần bị xâm nhập.

Lớp 3: Chặn và vá ảo ở vành đai

Khi nhà cung cấp chưa có bản vá, nhiều khi đã có chữ ký nhận diện hoặc luật chặn gói tin tương ứng. Với ứng dụng web, tường lửa ứng dụng web có thể thêm luật chặn mẫu yêu cầu khai thác. Với hạ tầng mạng, các loại thiết bị được mô tả trong bài tường lửa và NGFW có thể giới hạn nguồn truy cập vào dịch vụ bị ảnh hưởng. Đây gọi là vá ảo (virtual patching): không sửa lỗi thật, chỉ chặn đường đi tới lỗi, nên cần cài bản vá chính thức ngay khi có.

Lớp 4: Phát hiện hành vi thay vì chỉ dựa vào chữ ký

Phần mềm diệt virus dựa chữ ký không nhận ra exploit chưa từng thấy. Thứ có thể nhận ra là hành vi: tiến trình văn phòng sinh ra tiến trình dòng lệnh, tài khoản đăng nhập từ vị trí lạ, một máy chủ bất ngờ gửi lượng lớn dữ liệu ra ngoài. Hai bài liên quan là bảo mật điểm cuối cho máy trạm, máy chủ, và hệ thống SIEM để gom và đối chiếu nhật ký từ nhiều nguồn. Lưu nhật ký của thiết bị biên đủ lâu là điều kiện để điều tra lùi về sau, vì zero-day thường chỉ được công bố sau khi kẻ tấn công đã ở trong hệ thống nhiều tuần.

Lớp 5: Chuẩn bị sẵn kế hoạch ứng phó

• Xác định ai được quyền ngắt một dịch vụ khỏi Internet ngay lập tức khi có cảnh báo nghiêm trọng.
• Có bản sao lưu ngoại tuyến, không bị xoá cùng lúc nếu máy chủ bị chiếm.
• Sẵn sàng đổi toàn bộ mật khẩu, khoá API và chứng chỉ lưu trên thiết bị bị ảnh hưởng. Kẻ tấn công thường lấy thông tin xác thực trước khi dọn dẹp dấu vết.

Khi nhà cung cấp công bố một zero-day, bạn nên làm gì?

Đây là tình huống thực tế hơn việc tự phát hiện zero-day. Các bước dưới đây dành cho đội IT trong những giờ đầu sau khi có cảnh báo.

1. Xác định mức độ ảnh hưởng: đối chiếu sản phẩm và phiên bản trong cảnh báo với danh mục tài sản.
2. Kiểm tra trạng thái khai thác: cảnh báo ghi lỗi đã bị khai thác ngoài thực tế hay chỉ là nguy cơ lý thuyết. Trường hợp đầu cần hành động trong ngày. Danh mục lỗ hổng đã bị khai thác do cơ quan an ninh mạng Hoa Kỳ (CISA) duy trì là một nguồn tham chiếu thường được dùng để xác định thứ tự ưu tiên.
3. Áp dụng biện pháp giảm nhẹ: làm theo hướng dẫn tạm thời của nhà cung cấp: tắt tính năng, chặn cổng, hạn chế nguồn truy cập.
4. Tìm dấu hiệu đã bị xâm nhập: kiểm tra nhật ký từ trước ngày công bố, không chỉ sau ngày công bố. Kẻ tấn công có thể đã vào từ lâu.
5. Cài bản vá chính thức khi có: kiểm tra bản vá chạy ổn trên môi trường thử rồi triển khai. Sau khi vá, xoá biện pháp tạm nếu nó làm gián đoạn dịch vụ.
6. Rà soát sau sự cố: ghi lại thời gian từ lúc cảnh báo đến lúc xử lý xong cho từng thiết bị, để lần sau biết khâu nào chậm.

Ưu nhược điểm của các hướng phòng thủ và khi nào chọn cái nào

Hướng	Mạnh ở	Hạn chế	Phù hợp khi
Quản lý bản vá nhanh	Loại bỏ n-day, chi phí thấp	Vô hiệu với zero-day chưa có vá	Mọi doanh nghiệp, làm trước tiên
Thu hẹp bề mặt tấn công	Giảm số điểm vào, hiệu quả với lỗi chưa biết	Cần kiểm kê tài sản chính xác	Có nhiều dịch vụ lộ ra Internet
Vá ảo bằng WAF, tường lửa	Nhanh khi có luật chặn	Chỉ chặn được mẫu khai thác đã biết, có thể bị lách	Chưa có bản vá chính thức
Phát hiện hành vi (EDR, SIEM)	Thấy dấu hiệu sau xâm nhập	Cần người xem và xử lý cảnh báo, thiết bị biên khó cài	Có dữ liệu giá trị hoặc thuộc chuỗi cung ứng
Dịch vụ giám sát có người trực	Có người xem cảnh báo ngoài giờ	Chi phí định kỳ, cần thống nhất quy trình phối hợp	Không đủ người tự trực, xem thêm bài về trung tâm SOC

Với doanh nghiệp nhỏ, thứ tự hợp lý thường là: kiểm kê và vá nhanh, đóng giao diện quản trị khỏi Internet, bật xác thực mạnh cho mọi truy cập từ xa, rồi mới đầu tư công cụ phát hiện. Công cụ phát hiện nhiều cảnh báo mà không có người xử lý thì ít giá trị hơn việc đóng một cổng không cần thiết.

Những hiểu lầm thường gặp về zero-day

• “Zero-day chỉ nhắm vào chính phủ và tập đoàn lớn.” Các ca đã công bố tập trung vào mục tiêu giá trị cao, nhưng khi lỗi được công khai, các nhóm khác dùng lại để quét rộng. Doanh nghiệp nhỏ bị ảnh hưởng ở giai đoạn này.
• “Cập nhật thường xuyên là đủ.” Cập nhật xử lý n-day, không xử lý lỗi chưa có bản vá.
• “Dùng phần mềm bản quyền, của hãng lớn là an toàn.” Các sản phẩm phổ biến lại là mục tiêu hấp dẫn vì có nhiều nạn nhân tiềm năng.
• “Có diệt virus là nhận ra zero-day.” Công cụ dựa chữ ký chỉ nhận ra thứ đã từng thấy. Hành vi bất thường mới là dấu hiệu khả dĩ.

Một số mã độc cũng tận dụng zero-day để lây lan. Phần tổng quan các nhóm mã độc có tại bài phần mềm độc hại, nhưng bài này không nhắc lại để tránh trùng lặp.

Câu hỏi thường gặp

Lỗ hổng zero-day có phải luôn là lỗi nghiêm trọng nhất không?

Không. “Zero-day” mô tả trạng thái (chưa có bản vá khi bị khai thác), không mô tả mức độ nghiêm trọng. Một zero-day chỉ cho phép đọc một tệp nhỏ có thể ít nguy hiểm hơn một n-day cho phép chạy mã từ xa không cần xác thực. Hai khía cạnh này cần được đánh giá riêng.

Ai là người phát hiện ra zero-day?

Có thể là nhà nghiên cứu bảo mật độc lập, đội ngũ của nhà cung cấp, các hãng bảo mật hoặc kẻ tấn công. Khi nhà nghiên cứu báo cho nhà cung cấp trước, lỗi thường được vá trước khi bị lạm dụng. Các chương trình thưởng lỗi (bug bounty) tồn tại để khuyến khích hướng này.

Có công cụ nào phát hiện được zero-day không?

Không công cụ nào đảm bảo phát hiện mọi zero-day. Giải pháp giám sát hành vi, phân tích nhật ký và cách ly thử nghiệm có thể phát hiện dấu hiệu bất thường do exploit gây ra, dù chưa biết lỗi cụ thể. Hiệu quả phụ thuộc vào việc có người xem và xử lý cảnh báo.

Zero-day và CVE khác nhau thế nào?

CVE là hệ thống mã định danh cho lỗ hổng đã công bố, còn zero-day là trạng thái của lỗ hổng so với bản vá. Một lỗ hổng thường chỉ nhận mã CVE khi nhà cung cấp công bố, nên cùng một lỗi có thể từng là zero-day rồi mang mã CVE sau đó.

Trí tuệ nhân tạo có làm zero-day nhiều hơn không?

Báo cáo năm 2025 của Google cảnh báo rằng AI sẽ đẩy nhanh cuộc đua giữa kẻ tấn công và bên phòng thủ. Theo một bài tổng hợp trích dẫn Reuters và AP, Google đã ngăn một nhóm tội phạm dùng AI khai thác lỗ hổng chưa từng được biết đến. Bạn nên theo dõi xu hướng nhưng chưa có đủ dữ liệu để kết luận số lượng zero-day sẽ tăng bao nhiêu.

Doanh nghiệp nhỏ có cần lo về zero-day không?

Có, nhưng theo cách khác doanh nghiệp lớn. Bạn khó bị nhắm riêng, nhưng dễ bị ảnh hưởng khi một lỗi được công bố và bị quét hàng loạt. Việc cần làm trước là biết mình có thiết bị nào đang lộ ra Internet và có cách nhận cảnh báo từ nhà cung cấp.