Nhóm nghiên cứu Wiz vừa phát hiện lỗ hổng nghiêm trọng CVE-2026-3854 trong hạ tầng git nội bộ của GitHub, cho phép tin tặc có quyền xác thực thực thi mã từ xa (RCE) trên máy chủ backend chỉ với một lệnh git push từ git client thông thường. Điểm đặc biệt: đây là một trong những lỗ hổng đầu tiên được phát hiện nhờ AI phân tích tệp nhị phân đóng – một bước ngoặt cho thấy trí tuệ nhân tạo đang thay đổi cách săn lỗi bảo mật.

Nguy cơ thực sự với người dùng

Trên GitHub.com, lỗ hổng này cho phép truy cập hàng triệu kho mã nguồn công khai và riêng tư của người dùng và tổ chức khác. Với GitHub Enterprise Server (GHES), kẻ tấn công có thể chiếm toàn bộ máy chủ, truy cập tất cả kho mã nguồn và bí mật nội bộ. Dù GitHub đã vá lỗi chỉ trong 6 giờ trên GitHub.com và phát hành bản vá cho GHES, nhưng tính đến thời điểm hiện tại, 88% phiên bản GHES vẫn chưa được nâng cấp.

Hành động ngay

Quản trị viên GHES cần nâng cấp lên phiên bản 3.19.3 hoặc mới hơn. Wiz cũng cung cấp truy vấn sẵn trong Wiz Threat Center để kiểm tra phiên bản dễ bị tấn công. Vụ việc một lần nữa nhấn mạnh tầm quan trọng của việc hợp tác giữa các nhà nghiên cứu bảo mật và nền tảng lớn như GitHub (thuộc Microsoft - MSFT) khi AI dần trở thành công cụ chính trong phát hiện lỗ hổng zero-day.

Đừng bỏ lỡ các tin tức công nghệ mới nhất và các phân tích chuyên sâu về AI tại vnread.com.