Microsoft vá khẩn cấp hai lỗ hổng bảo mật nghiêm trọng trên SharePoint

Ngày 21/7, Microsoft tung ra bản cập nhật bảo mật khẩn cấp nhằm khắc phục hai lỗ hổng zero-day nguy hiểm mới, CVE-2025-53770 và CVE-2025-53771.

Đây là những lỗ hổng cho phép tin tặc thực hiện tấn công thực thi mã từ xa (Remote Code Execution – RCE) trên các máy chủ SharePoint - nền tảng cộng tác doanh nghiệp phổ biến của hãng.

Sự việc khởi đầu từ cuộc thi tấn công mạng Pwn2Own tại Berlin hồi tháng 5, khi các đội thi đã khai thác thành công chuỗi lỗ hổng mang tên ToolShell để chiếm quyền điều khiển máy chủ SharePoint.

Dù Microsoft đã tung bản vá ban đầu vào dịp Patch Tuesday tháng 7, giới hacker đã nhanh chóng phát hiện hai lỗ hổng mới có thể vượt qua lớp bảo vệ cũ, khiến hệ thống tiếp tục rơi vào nguy hiểm.

Hơn 10.000 tổ chức có nguy cơ

Theo các chuyên gia bảo mật, hơn 54 tổ chức đã bị ảnh hưởng trực tiếp và con số này được dự báo sẽ tiếp tục tăng mạnh. Công ty an ninh mạng Censys (Mỹ) ước tính trên 10.000 máy chủ SharePoint trên toàn cầu đang tiềm ẩn nguy cơ bị xâm nhập, đặc biệt tại Mỹ, Hà Lan, Anh và Canada - những quốc gia có số lượng máy chủ lớn nhất.

Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) cũng xác nhận lỗ hổng này cho phép kẻ tấn công truy cập hệ thống tệp, cấu hình nội bộ và thực thi mã độc từ xa mà không cần xác thực.

Đội ngũ Google Threat Intelligence cảnh báo lỗ hổng này cho phép "truy cập không cần xác thực một cách liên tục", đe dọa nghiêm trọng đến các tổ chức bị ảnh hưởng. Công ty Palo Alto Networks gọi đây là "mối đe dọa thực sự và hiện hữu" đang diễn ra ngoài đời thực, không còn ở lý thuyết.

Tin tặc đang tận dụng ToolShell để tạo ra các tệp độc hại như spinstall0.aspx, khai thác trực tiếp vào các thành phần _layouts của hệ thống SharePoint – một phương pháp đặc trưng trong các chiến dịch tấn công APT (Advanced Persistent Threat).

Khuyến cáo của Microsoft

Để giảm thiểu thiệt hại, Microsoft khuyến cáo các quản trị viên SharePoint ngay lập tức cập nhật các bản vá tương ứng với phiên bản hệ thống đang sử dụng, bao gồm:

KB5002754 cho Microsoft SharePoint Server 2019 Core và KB5002753 cho Microsoft SharePoint Server 2019 Language Pack.

KB5002760 cho Microsoft SharePoint Enterprise Server 2016 và KB5002759 cho Microsoft SharePoint Enterprise Server 2016 Language Pack.

KB5002768 cho Microsoft SharePoint Subscription Edition.

Ngoài ra, Microsoft cung cấp hướng dẫn cập nhật khóa máy (machine key) cho ứng dụng web bằng PowerShell hoặc Central Admin, sau đó khởi động lại IIS trên tất cả các máy chủ SharePoint.

Đồng thời, các tổ chức nên tiến hành kiểm tra log hệ thống, tìm kiếm dấu vết truy cập trái phép và thực hiện phân tích mã độc.

Một trong những dấu hiệu nhận biết là sự xuất hiện của tệp C:PROGRA~1COMMON~1MICROS~1WEBSER~116TEMPLATELAYOUTSspinstall0.aspx.

Ngoài ra, nhật ký IIS có thể hiển thị các yêu cầu POST bất thường tới _layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx với HTTP referer là _layouts/SignOut.aspx.

Microsoft cũng cung cấp truy vấn Microsoft 365 Defender để giúp kiểm tra nhanh sự tồn tại của tệp spinstall0.aspx.

eviceFileEvents
| where FolderPath has "MICROS~1\WEBSER~1\16\TEMPLATE\LAYOUTS"

| where FileName =~ "spinstall0.aspx"

or FileName has "spinstall0"

| project Timestamp, DeviceName, InitiatingProcessFileName, 

InitiatingProcessCommandLine, FileName, FolderPath, ReportId, ActionType, 

SHA256
| order by Timestamp desc

Nếu tệp này được phát hiện, cần tiến hành điều tra toàn diện máy chủ bị ảnh hưởng và toàn bộ mạng lưới để đảm bảo các đối tượng tấn công không lây lan sang các thiết bị khác.

Nguồn: Bleeping Computer, Bloomberg