AdGuard Home đã phát hành bản vá khẩn 0.107.73 sau khi xác nhận CVE-2026-32136, một lỗ hổng xác thực nghiêm trọng cho phép kẻ tấn công từ xa, không cần đăng nhập, vượt qua cơ chế bảo vệ và truy cập trái phép vào giao diện quản trị của sản phẩm. Advisory được công bố ngày 11/3/2026, trong khi bản phát hành 0.107.73 được đưa lên từ ngày 10/3/2026.

Tổng quan lỗ hổng

Theo advisory chính thức, lỗi ảnh hưởng tới AdGuard Home trước phiên bản 0.107.73 và được chấm CVSS 9.8, thuộc nhóm CWE-287. Tham chiếu kỹ thuật có thể đối chiếu trên NVD và GitHub Advisory.

Cơ chế bypass xác thực qua h2c

Cơ chế khai thác dựa trên một yêu cầu HTTP/1.1 xin nâng cấp kết nối lên HTTP/2 Cleartext (h2c). Khi quá trình nâng cấp này được chấp nhận, các yêu cầu HTTP/2 tiếp theo lại được xử lý bởi nhánh bên trong không gắn middleware xác thực, khiến hệ thống coi chúng là đã đăng nhập hợp lệ dù không hề có thông tin xác thực nào được gửi kèm.

Tác động thực tế

Điểm cần diễn đạt chính xác là lỗ hổng này cho phép chiếm quyền quản trị API của AdGuard Home, thay vì mặc định đồng nghĩa với chiếm toàn bộ máy chủ ở mọi kịch bản. Trong phần mô tả kỹ thuật, GitHub Advisory cho biết kẻ tấn công sau khi bypass có thể đọc và sửa cấu hình DNS, thêm danh sách lọc độc hại, tắt bảo vệ, đổi mật khẩu quản trị và thậm chí bẻ hướng phân giải DNS cho các thiết bị trong mạng. Advisory cũng cho thấy đã có PoC công khai, đồng nghĩa nguy cơ bị tái tạo khai thác là rất thực tế.

Bản vá và lưu ý quan trọng

Biện pháp xử lý quan trọng nhất là nâng cấp ngay lên AdGuard Home 0.107.73 hoặc mới hơn. Bản hotfix này đã thay đổi luồng xử lý để áp dụng xác thực cho các yêu cầu được nâng cấp từ h2c tới tài nguyên công khai; xem ghi chú phát hành tại AdGuardHome Releases. Nhóm phát triển cũng lưu ý rằng HTTP/2 over TLS (h2) không bị ảnh hưởng bởi lỗi này.

Khuyến nghị triển khai

• Ưu tiên cập nhật lên 0.107.73 (hoặc mới hơn) trên mọi môi trường self-hosted và cloud.
• Nếu giao diện quản trị đang lộ Internet: đóng truy cập công khai càng sớm càng tốt (chỉ cho phép IP tin cậy/VPN).
• Sau khi cập nhật: rà soát lại cấu hình DNS, danh sách lọc, và đổi mật khẩu quản trị để loại trừ khả năng bị can thiệp trước đó.