Ở tuổi 22, Nguyễn Chí Khanh đã phát hiện 4 lỗ hổng bảo mật trên các tiện ích WordPress, trong đó 3 lỗi được cấp mã định danh quốc tế. Đáng chú ý, nam sinh còn có khoảng một năm kinh nghiệm làm việc trong lĩnh vực an ninh mạng dù chưa tốt nghiệp đại học.

Những lỗ hổng bảo mật được quốc tế ghi nhận

Nguyễn Chí Khanh (sinh năm 2004, quê Cà Mau) hiện theo học năm thứ tư ngành An toàn thông tin tại Trường Đại học FPT, cơ sở Cần Thơ.

18-1792290293-chua-tot-nghiep-dai-hoc-nam-sinh-22-tuoi-phat-hien-4-lo-hong-bao-mat-di-lam-kiem-thu-nhap-du-da
Nguyễn Chí Khanh. Ảnh: NVCC

Từ khoảng tháng 7/2026, Khanh bắt đầu tập trung nghiên cứu các tiện ích mở rộng của WordPress, chủ yếu là những sản phẩm được phát triển bằng ngôn ngữ PHP. Quá trình này giúp nam sinh tìm ra 4 lỗ hổng bảo mật, trong đó 3 lỗ hổng được cấp mã CVE thông qua nền tảng Patchstack.

Các lỗi đều thuộc dạng SQL Injection, có thể tạo điều kiện cho kẻ tấn công thực hiện những truy vấn trái phép vào cơ sở dữ liệu của website.

Đáng chú ý nhất là CVE-2026-103352 trên tiện ích WP BASE Booking, được đánh giá mức độ nghiêm trọng 9,3/10. Lỗ hổng này có thể bị khai thác mà không cần đăng nhập. Hai lỗ hổng khác được chấm 8,5/10, với điều kiện khai thác là có tài khoản người dùng cấp thấp.

Theo thông tin công bố, lỗ hổng trên WP w3all phpBB được đăng tải ngày 20/8, hai lỗ hổng trên WP BASE Booking được công bố ngày 5/10. Đến ngày 13/10, lỗ hổng thứ tư được xác nhận.

Theo Khanh, mỗi lỗ hổng thường mất khoảng 1-2 ngày để xác minh. Khó khăn không chỉ nằm ở việc nhận ra đoạn mã có vấn đề mà còn ở quá trình kiểm tra khả năng khai thác thực tế.

Đặc biệt, một số lỗi không hiển thị trực tiếp kết quả, khiến việc xác định và chứng minh chúng tồn tại trở nên phức tạp. Nam sinh phải kiên trì thử nghiệm, đồng thời xây dựng các bước tái hiện rõ ràng để kết quả có thể được kiểm chứng.

Đây cũng là phần việc đòi hỏi sự cẩn trọng của người nghiên cứu bảo mật. Một dấu hiệu bất thường chưa đủ để khẳng định hệ thống có lỗ hổng nếu chưa được xác minh bằng những thử nghiệm phù hợp.

Chưa ra trường đã có một năm kinh nghiệm làm việc

Trước những kết quả nghiên cứu này, Khanh từng đạt vị trí top 2 tại cuộc thi F-Hacker trong hai năm 2023 và 2024. Nam sinh cũng nhiều học kỳ đạt danh hiệu sinh viên xuất sắc.

Không đợi đến khi tốt nghiệp mới bắt đầu sự nghiệp, Khanh đã có khoảng một năm làm công việc kiểm thử xâm nhập được cấp phép. Công việc yêu cầu người thực hiện đánh giá mức độ an toàn của hệ thống bằng cách mô phỏng các tình huống tấn công trong phạm vi được cho phép.

Nhờ đó, nam sinh vừa có cơ hội vận dụng kiến thức trên giảng đường, vừa tích lũy kinh nghiệm thực tế. Thu nhập từ công việc hiện đủ để Khanh trang trải chi phí học tập, sinh hoạt và vẫn có khoản dư.

Với Khanh, việc học và đi làm không phải hai hành trình tách biệt. Những kiến thức tiếp thu ở trường được đưa vào công việc, trong khi trải nghiệm thực tế giúp nam sinh hiểu sâu hơn về lĩnh vực mình theo đuổi.

Câu chuyện của chàng trai quê Cà Mau gợi mở một góc nhìn về sinh viên công nghệ hiện nay: năng lực nghề nghiệp có thể được xây dựng ngay từ giảng đường, thông qua việc chủ động thực hành và tham gia giải quyết những bài toán thực tế. Khanh mong muốn tiếp tục theo đuổi công việc kiểm thử bảo mật sau khi tốt nghiệp.

PV (SHTT)