Một lỗ hổng bảo mật trong Microsoft Excel, dù đã được phát hiện từ 18 năm trước, vẫn đang bị tin tặc khai thác trong các cuộc tấn công thực tế. Diễn biến này cho thấy những hệ thống còn sử dụng phần mềm cũ, đã hết hỗ trợ, vẫn là điểm yếu đáng lo ngại trong an ninh mạng.

Theo TechRadar ngày 16/4 giờ địa phương, Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đã bổ sung CVE-2009-0238 vào danh sách Known Exploited Vulnerabilities (KEV) - tập hợp các lỗ hổng đã bị xác nhận là đang bị khai thác ngoài thực tế.

Lỗ hổng này được công bố lần đầu vào năm 2009. Nếu người dùng mở một tệp Excel đã bị chỉnh sửa, kẻ tấn công có thể thực thi mã tùy ý trên hệ thống. Theo Cơ sở dữ liệu Lỗ hổng Quốc gia Mỹ (NVD), lỗi phát sinh từ cách Excel xử lý một số đối tượng không hợp lệ trong tệp, từ đó tạo điều kiện cho mã độc được kích hoạt.

Mức độ nghiêm trọng của CVE-2009-0238 được đánh giá ở mức cao, với điểm CVSS 8,8/10. Trước đây, lỗ hổng này cũng từng bị lợi dụng để phát tán mã độc Trojan.Mdropper.AC.

Các sản phẩm chịu ảnh hưởng chủ yếu là những phiên bản Excel và Office đời cũ đã hết vòng đời hỗ trợ, gồm Excel 2000 SP3, 2002 SP3, 2003 SP3, 2007 SP1; Excel Viewer 2003; Office 2007 Compatibility Pack SP1; cùng Excel trên Office for Mac 2004 và 2008. Dù Microsoft đã phát hành bản vá từ trước, một số tổ chức vẫn tiếp tục sử dụng các phiên bản cũ, khiến rủi ro bị tấn công vẫn tồn tại.

Sau khi đưa lỗ hổng vào danh sách KEV, CISA yêu cầu các cơ quan thuộc khối hành pháp dân sự liên bang Mỹ (FCEB) hoàn tất biện pháp khắc phục trước ngày 28/4. Cơ quan này nhấn mạnh cần xử lý khẩn cấp do lỗ hổng đã bị khai thác ngoài thực tế.

Hiện chưa có thông tin về tác nhân tấn công hoặc mục tiêu cụ thể. Tuy nhiên, giới bảo mật nhận định email lừa đảo đính kèm tệp Excel độc hại nhiều khả năng là phương thức phát tán chính, dù chưa có xác nhận về mối liên hệ trực tiếp với các chiến dịch ransomware.

Ở chiều ngược lại, các phiên bản Excel mới hơn được xác định không bị ảnh hưởng. Cụ thể, Excel 2007 SP2 trở lên, các bản 2010, 2013, 2016, 2019, 2021 và toàn bộ phiên bản Excel thuộc Microsoft 365 đều nằm ngoài phạm vi tác động của lỗ hổng này.

Vụ việc cho thấy ngay cả những lỗ hổng cũ đã có bản vá vẫn có thể bị tái khai thác nếu hệ thống không được cập nhật đầy đủ. Với các tổ chức vẫn duy trì phần mềm đã hết hỗ trợ, chỉ một tệp tài liệu độc hại cũng có thể trở thành điểm khởi đầu cho một cuộc tấn công thực thi mã từ xa.