Apple vừa khẩn cấp phát hành loạt bản cập nhật bảo mật quan trọng cho iOS, iPadOS và macOS nhằm vá hai lỗ hổng Zero-day nghiêm trọng đang bị khai thác trong thực tế. Đây là động thái mạnh mẽ nhằm ngăn chặn các cuộc tấn công thực thi mã từ xa nhắm vào người dùng iPhone và Mac thông qua các thành phần cốt lõi như WebKit.

Chi tiết hai lỗ hổng Zero-day

Theo công bố bảo mật mới nhất, bản cập nhật lần này giải quyết hai lỗ hổng đã bị tin tặc tận dụng để tấn công vào các thiết bị mục tiêu:

• CVE-2025-43529 (WebKit): Đây là lỗ hổng dạng Use-After-Free nghiêm trọng trong WebKit – công cụ trình duyệt lõi của Safari và nhiều ứng dụng khác trên iOS. Kẻ tấn công có thể khai thác lỗ hổng này bằng cách lừa người dùng truy cập vào một trang web được thiết kế độc hại, dẫn đến việc thực thi mã tùy ý (RCE) trên thiết bị nạn nhân.
• CVE-2025-14174 (ANGLE): Lỗ hổng này nằm trong thư viện Almost Native Graphics Layer Engine (ANGLE), được sử dụng để chuyển đổi các lệnh đồ họa. Lỗ hổng cho phép kẻ tấn công gây ra lỗi tham chiếu bộ nhớ (memory corruption), từ đó có thể kiểm soát thiết bị. Đáng chú ý, lỗ hổng này cũng ảnh hưởng đến trình duyệt Chrome và đã được Google cảnh báo trước đó.

Mục tiêu tấn công và Cảnh báo

Các báo cáo từ Google Threat Analysis Group và đội ngũ bảo mật của Apple cho thấy những lỗ hổng này đã được sử dụng trong các chiến dịch tấn công có chủ đích (targeted attacks). Đối tượng thường là các nhà báo, nhà hoạt động xã hội hoặc các nhân vật quan trọng, thông qua việc sử dụng các phần mềm gián điệp (spyware) thương mại tinh vi.

Mặc dù Apple không công bố chi tiết về danh tính kẻ tấn công, việc các lỗ hổng WebKit liên tục bị khai thác cho thấy trình duyệt web vẫn là véc-tơ tấn công ưa thích của hacker nhắm vào nền tảng di động.

Danh sách thiết bị cần cập nhật

Người dùng được khuyến cáo truy cập ngay vào Settings > General > Software Update để tải về bản vá mới nhất. Các phiên bản đã được phát hành bao gồm:

• iOS & iPadOS: Các phiên bản mới nhất (ví dụ: iOS 19.x) dành cho iPhone XS trở lên.
• macOS: Các bản cập nhật cho macOS Sequoia, Sonoma và Ventura.
• Safari: Bản cập nhật trình duyệt độc lập cho các máy Mac chạy hệ điều hành cũ hơn.

Việc trì hoãn cập nhật có thể khiến thiết bị của bạn đối mặt với rủi ro bị chiếm quyền kiểm soát hoàn toàn, đặc biệt khi mã khai thác (exploit code) cho các lỗ hổng này có thể sớm được công khai rộng rãi.

Để biết thêm chi tiết kỹ thuật, bạn có thể tham khảo trang hỗ trợ chính thức của Apple Security Updates.