Apple khuyến cáo người dùng cập nhật iOS do lỗ hổng bảo mật nghiêm trọng

Apple vừa chính thức phát hành các bản cập nhật khẩn cấp cho iOS, iPadOS, macOS và visionOS, không phải để mang đến những tính năng hào nhoáng, mà là để vá một lỗ hổng bảo mật cực kỳ nghiêm trọng.

Lỗ hổng có tên CVE-2025-24201 được phát hiện trong Webkit – công cụ trình duyệt được sử dụng trên Safari và tất cả các trình duyệt khác dành cho iPhone và iPad.

Các hacker đã lợi dụng lỗ hổng này như một “cánh cửa mở”, tạo ra các trang web độc hại cho phép chúng xâm nhập vào các khu vực khác của điện thoại ngoài trình duyệt web của nạn nhân.

Apple công bố bản vả mới nhất để tránh lỗ hổng bảo mật nghiêm trọng 

Apple đang khuyến khích người dùng tải xuống bản cập nhật iOS 18.3.2, hiện đã có sẵn. Apple cảnh báo rằng vấn đề này có thể ảnh hưởng đến mọi thiết bị từ iPhone XS trở lên.

Các lỗ hổng zero-day là những điểm yếu bảo mật mà ngay cả nhà phát triển cũng không biết trước, đồng nghĩa với việc không có bản vá sẵn có khi chúng bị khai thác lần đầu tiên. Điều này khiến tin tặc có thể lợi dụng chúng dễ dàng.

Trong một tuyên bố hôm thứ Ba, Apple cho biết: “Đây là bản sửa lỗi bổ sung cho một cuộc tấn công đã bị chặn trong iOS 17.2”. Apple cũng tiết lộ rằng lỗ hổng zero-day mới trong Webkit có thể đã bị lợi dụng trong một cuộc tấn công mạng nhắm vào một số cá nhân cụ thể, đặc biệt là những người sử dụng phần mềm cũ hơn iOS 17.2.

Apple không tiết lộ cụ thể ai là mục tiêu, cuộc tấn công kéo dài bao lâu, hay họ đã phát hiện ra sự cố như thế nào. Tuy nhiên, công ty không tin rằng toàn bộ khách hàng của Apple đều bị nhắm đến.

Dù vậy, các chuyên gia công nghệ cảnh báo rằng tất cả người dùng nên cập nhật bảo mật mới nhất, vì cuộc tấn công này có thể gây hậu quả nghiêm trọng nếu bị nhắm đến.

Apple đã phải vá 3 lỗ hổng zero-day từ đầu năm 2025. Đây là lần thứ ba trong năm 2025 mà Apple phải phát hành bản vá cho một lỗ hổng zero-day. Lần đầu tiên vào tháng 1/2025. Lần thứ hai vào ngày 10/2/2025, với mục tiêu cũng là nhiều mẫu iPhone giống như đợt tấn công mới nhất. Trong vụ tháng 2, tin tặc có thể vô hiệu hóa chế độ USB Restricted Mode ngay cả khi điện thoại bị khóa, nhưng chúng vẫn cần quyền truy cập vật lý vào thiết bị để khai thác lỗ hổng này.

Lỗ hổng mới nhất liên quan đến lỗi ghi ngoài vùng nhớ (out-of-bounds write) trong Webkit, cho phép hacker tạo nội dung web độc hại để thoát khỏi cơ chế bảo vệ của trình duyệt và chiếm quyền kiểm soát iPhone hoặc iPad.

Nói một cách đơn giản, hacker có thể lách qua hàng rào bảo vệ ứng dụng trên thiết bị của bạn và kiểm soát toàn bộ điện thoại thông qua các trang web giả mạo.

Bảo Linh