Phần mềm tống tiền phơi bày chi phí của các hệ thống VMware chưa được vá lỗi.

Lưu ý: Nội dung này được tạo thông qua dịch tự động và có thể chứa những điểm chưa chính xác. Để có thông tin chính xác và cập nhật nhất, vui lòng tham khảo phiên bản tiếng Anh gốc.

Điều khiến khách hàng của chúng tôi lo lắng nhất không chỉ là bản thân mã độc tống tiền. Mà là việc họ nhận ra rằng mình vẫn đang chạy các khối lượng công việc quan trọng trên các phiên bản VMware cũ hơn mà họ không còn có thể vá lỗi theo cách thông thường nữa. Một khi lỗ hổng đó xuất hiện, mỗi ngày đều trở thành một rủi ro bảo mật.
Một đối tác của Sangfor tại Philippines chia sẻ suy nghĩ về các sự cố gần đây liên quan đến khách hàng.

Đối với nhiều nhóm CNTT, mã độc tống tiền không còn là một khả năng xa vời nữa. Đó là một thực tế hoạt động có thể làm gián đoạn hoạt động kinh doanh chỉ trong vài giờ, chứ không phải vài tuần. Rủi ro đó càng trở nên cấp bách hơn khi cơ sở hạ tầng cho các khối lượng công việc cốt lõi phụ thuộc vào các phiên bản phần mềm cũ, dễ bị tấn công hoặc khó cập nhật đầy đủ.

Đó chính là lý do tại sao những cảnh báo mới nhất về việc khai thác lỗ hổng VMware lại quan trọng. Vào tháng 2 năm 2026, BleepingComputer đưa tin rằng CISA đã xác nhận các băng nhóm ransomware đang khai thác lỗ hổng thoát khỏi môi trường sandbox VMware ESXi mức độ nghiêm trọng cao, CVE-2025-22225, vốn trước đây đã được sử dụng trong các cuộc tấn công zero-day. Lỗ hổng này đã được Broadcom vá vào tháng 3 năm 2025, nhưng sự cố này đã nhấn mạnh một thực tế khắc nghiệt trong lĩnh vực này: khi các tổ chức tiếp tục vận hành cơ sở hạ tầng cũ kỹ hoặc không được hỗ trợ, khoảng cách giữa bản vá được công bố và rủi ro thực tế có thể trở nên nguy hiểm.

Vấn đề này xuất hiện vào thời điểm mà nhiều tổ chức đang phải vật lộn với nhiều thứ hơn là chỉ quản lý lỗ hổng bảo mật. Họ cũng đang cố gắng điều hướng các thời hạn vòng đời sản phẩm, thay đổi chính sách hỗ trợ, áp lực ngân sách và sự phức tạp trong vận hành để duy trì tính bảo mật của các môi trường ảo hóa cũ mà không làm gián đoạn hoạt động kinh doanh.

Vấn đề chính sách: Khi việc vá lỗi không còn là một lựa chọn khả thi

Đối với nhiều tổ chức, rào cản trong việc vá lỗi không còn chỉ là vấn đề thời gian ngừng hoạt động hay chi phí vận hành phát sinh. Mà đó là vấn đề tuân thủ giấy phép.

Sau khi Broadcom mua lại VMware, bối cảnh hỗ trợ cho các giấy phép vĩnh viễn (mua trọn gói) đã thay đổi về cơ bản. Vấn đề cốt lõi là nếu phiên bản VMware của bạn đã hết hạn hỗ trợ và bạn chưa chuyển sang mô hình đăng ký, về mặt pháp lý và kỹ thuật, bạn sẽ không được nhận các bản vá lỗi chính thức.

Hãy xem xét tình huống mà nhiều khách hàng hiện đang gặp phải:

• Người dùng vSphere 7.x: Hỗ trợ chung đã kết thúc vào tháng 10 năm 2025. Hiện tại họ đang trong giai đoạn "hướng dẫn kỹ thuật" (đến tháng 10 năm 2027), giai đoạn này không cung cấp bản vá bảo mật mới nào.
• vSphere 6.x và các phiên bản cũ hơn: Các phiên bản này đã qua thời hạn hỗ trợ chung (EoGS) từ lâu.
• Khách hàng có hợp đồng bảo trì đã hết hạn: Ngay cả trên các phiên bản được hỗ trợ như vSphere 8.x, nếu hợp đồng bảo trì của bạn đã hết hạn, bạn sẽ không thể nhận được các bản cập nhật. Như trong các trường hợp nổi tiếng như của nhà bán lẻ Tesco , khách hàng được thông báo rằng họ không thể cài đặt các bản cập nhật trừ khi họ chuyển sang gói đăng ký.

Điều này tạo ra một nghịch lý đáng sợ: Các hệ thống dễ bị tổn thương nhất là những hệ thống đang sử dụng các phiên bản không được hỗ trợ và không có bản vá lỗi nào trong tương lai. Kẻ tấn công biết điều này. Chúng quét tìm các hệ thống đang chạy các phiên bản lỗi thời, không thể vá lỗi này, vì biết rằng lỗ hổng CVE-2021-21974 (và những lỗ hổng tương tự) là một cánh cửa mở vĩnh viễn.

Cấu trúc của một cuộc tấn công vào một hệ thống chưa được vá lỗi

Cuộc tấn công ransomware ESXiArgs là một ví dụ điển hình về hình thức khai thác "âm thầm và chậm rãi" có thể gây ra hậu quả nghiêm trọng nếu không được xử lý kịp thời. Như phân tích của chúng tôi cho thấy, cuộc tấn công diễn ra theo từng giai đoạn rõ ràng sau khi giành được quyền kiểm soát ban đầu thông qua lỗ hổng CVE-2021-21974:

1. Lỗ hổng truy cập ban đầu (CVE-2021-21974): Kẻ tấn công khai thác lỗi tràn bộ nhớ heap trong dịch vụ OpenSLP thông qua cổng UDP 427 để thực thi mã từ xa.
2. Triển khai: Các tập tin độc hại (encrypt, encrypt.sh, public.pem) được thả vào thư mục /tmp/.
3. Phát hiện và mã hóa: Phần mềm tống tiền này liệt kê tất cả các ổ lưu trữ, nhắm mục tiêu vào các tệp máy ảo quan trọng như .vmdk (ổ đĩa ảo), .vmx (cấu hình máy ảo) và .vswp (tệp hoán đổi). Nó sử dụng kết hợp thuật toán Sosemanuk và mã hóa RSA để khóa các tệp.
4. Né tránh phòng thủ: Để ngăn chặn việc khôi phục, nó xóa nhật ký hệ thống, các tác vụ theo lịch trình và các tệp sao lưu.
5. Thư đòi tiền chuộc: Nó để lại tệp How to Restore Your Files.html trong hệ thống, yêu cầu thanh toán.

Đối với các tổ chức sử dụng các phiên bản VMware không được hỗ trợ, các "đề xuất khắc phục" từ các thông báo truyền thống, chẳng hạn như nâng cấp lên phiên bản đã được vá lỗi, đơn giản là không khả thi. Họ chỉ còn lại hai lựa chọn: trả tiền chuộc (điều này không bao giờ được khuyến nghị) hoặc mất dữ liệu.

Xây dựng một tương lai kiên cường: Bảo mật vượt ra ngoài chu kỳ vá lỗi

Sự cố này làm nổi bật một sự thay đổi quan trọng trong chiến lược CNTT: bạn không thể tiếp tục duy trì cơ sở hạ tầng không có khả năng nhận các bản cập nhật bảo mật. Việc phụ thuộc vào chu kỳ vá lỗi của nhà cung cấp, đặc biệt khi chu kỳ đó hiện gắn liền với mô hình đăng ký có các điều khoản cấp phép nghiêm ngặt, sẽ tạo ra điểm yếu duy nhất cho toàn bộ hệ thống bảo mật của bạn.

Đối với khách hàng của đối tác chúng tôi, và đối với bất kỳ tổ chức nào đang đối mặt với thách thức này, đã đến lúc cần xem xét các giải pháp thay thế tích hợp bảo mật ngay từ đầu, thay vì coi đó là một tính năng bổ sung tùy chọn.

Sangfor Virtualization mang đến một lộ trình đầy hứa hẹn. Được xây dựng trên nguyên tắc tích hợp bảo mật , Sangfor Hypervisor không chỉ là một nền tảng để chạy máy ảo; đó là một giải pháp trung tâm dữ liệu hoàn chỉnh với bảo mật là cốt lõi.

Đây là cách Sangfor giải quyết nguyên nhân gốc rễ của vấn đề ESXiArgs:

• Bảo mật và cơ sở hạ tầng thống nhất: Không giống như mô hình phân mảnh của trình ảo hóa bên thứ ba yêu cầu các công cụ bảo mật riêng biệt, Sangfor HCI tích hợp sẵn khả năng chống mã độc tống tiền, các tính năng tường lửa thế hệ mới và phân đoạn vi mô. Cách tiếp cận "tích hợp sẵn, không phải thêm vào" này có nghĩa là các chính sách bảo mật là một phần của chính cơ sở hạ tầng.
• Phát hiện mối đe dọa chủ động: Nền tảng của chúng tôi sử dụng trí tuệ nhân tạo và phân tích hành vi để phát hiện các hành vi của mã độc tống tiền, chẳng hạn như mã hóa hàng loạt tập tin hoặc xóa bản sao lưu trong thời gian thực, ngăn chặn các cuộc tấn công trước khi chúng gây ra thiệt hại.
• Loại bỏ bẫy phụ thuộc vào bản vá: Với Sangfor, bạn không còn phải phụ thuộc vào chính sách vá lỗi của nhà cung cấp bên thứ ba đối với hypervisor cốt lõi. Các bản cập nhật bảo mật của bạn là một phần của hệ thống phần mềm thống nhất, dễ quản lý, đảm bảo cơ sở hạ tầng của bạn luôn mạnh mẽ mà không gặp phải các rào cản cấp phép phức tạp.
• Tối ưu hóa hoạt động: Việc chuyển đổi từ môi trường VMware cũ sang Sangfor HCI giúp đơn giản hóa trung tâm dữ liệu của bạn. Bạn giảm thiểu sự phức tạp về cấp phép, giảm tổng chi phí sở hữu (TCO) và có được một giao diện quản lý tập trung cho cả điện toán và bảo mật.
• Sự kết hợp giữa công nghệ và dịch vụ: Tận dụng chuyên môn bảo mật từ dịch vụ MDR của chúng tôi để giám sát cơ sở hạ tầng ảo của bạn nhằm phát hiện các dấu hiệu hoạt động mã độc tống tiền tiềm ẩn. Các cảm biến điểm cuối và mạng của chúng tôi tích hợp liền mạch với HCI và cung cấp cho dịch vụ MDR khả năng hiển thị cần thiết, cho phép chúng tôi phát hiện và ứng phó với bất kỳ sự cố bảo mật nào. Điều này giúp chuyển đổi giải pháp của chúng tôi từ một giải pháp ảo hóa đơn giản thành một trải nghiệm điện toán bảo mật toàn diện.

Những việc bạn có thể làm tiếp theo

Vụ tấn công ESXiArgs không chỉ đơn thuần là một chiến dịch mã độc tống tiền khác; nó là triệu chứng của một mô hình vận hành lỗi thời. Các tổ chức vẫn bám víu vào các hệ thống cũ không được hỗ trợ, "không thể vá lỗi" không chỉ chấp nhận rủi ro; họ đang tự rước họa vào thân.

Bằng cách chuyển sang nền tảng như Sangfor Virtualization, nơi bảo mật là một thành phần không thể thiếu và luôn được cập nhật của cơ sở hạ tầng, bạn cuối cùng có thể thoát khỏi vòng luẩn quẩn của lỗ hổng bảo mật và việc tiếp xúc với các dịch vụ không được cấp phép. Đừng chờ đợi cuộc tấn công không thể tránh khỏi tiếp theo dựa trên một lỗ hổng cũ để buộc bạn phải hành động.