CVE-2024-27834 trong nhiều sản phẩm Apple đã bị khai thác và được CISA đưa vào danh mục Known Exploited Vulnerabilities (KEV) ngày 4 tháng 11 năm 2026. Lỗ hổng có tên Apple Multiple Products Improper Authentication Vulnerability, liên quan đến cơ chế xác thực con trỏ; Apple cho biết đã cải thiện khâu kiểm tra để khắc phục vấn đề.

Biểu tượng ứng dụng Cài đặt trên màn hình chính iPhone
Biểu tượng ứng dụng Cài đặt trên màn hình chính iPhone, ảnh minh họa. Photo by CHUTTERSNAP on Unsplash

Hồ sơ NVD của CVE-2024-27834 ghi nhận điểm CVSS 5,5 trên 10 và điều kiện khai thác cần có chương trình đã chạy trên thiết bị cùng tài khoản người dùng thông thường. Người dùng không cần thực hiện thêm thao tác để cuộc tấn công hoàn tất, còn nội dung trên thiết bị có thể bị sửa đổi sau khi khai thác thành công. Điểm EPSS được nguồn tổng hợp ghi nhận là 1,4%.

CISA đã đưa CVE-2024-27834 vào KEV, tức danh mục các lỗ hổng mà cơ quan này ghi nhận đã bị khai thác trong thực tế. CISA cũng nêu việc khai thác có liên quan đến hoạt động ransomware trong dữ liệu tổng hợp. Thông tin đó không cho biết từng nạn nhân hay chiến dịch cụ thể, vì vậy không nên suy ra một tổ chức tại Việt Nam đã bị ảnh hưởng.

Những sản phẩm Apple cần kiểm tra

Apple liệt kê các bản phát hành gồm Safari 17.5, iOS 16.7.8, iPadOS 16.7.8, iOS 17.5, iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5 và watchOS 10.5. Danh sách này chưa thay thế cho việc đối chiếu mẫu thiết bị và phiên bản hệ điều hành đang chạy.

Người dùng nên mở trang cập nhật tương ứng của Apple: Safari 17.5, iOS 16.7.8 và iPadOS 16.7.8, iOS 17.5 và iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5 và watchOS 10.5. Nếu trang của sản phẩm không nêu rõ mẫu máy, hãy ghi lại tên thiết bị và phiên bản hiện tại để hỏi bộ phận hỗ trợ hoặc quản trị viên.

Cách cập nhật và xác nhận phiên bản

Trên iPhone hoặc iPad, mở Cài đặt, chọn Cài đặt chung rồi chọn Cập nhật phần mềm. Trên Mac, mở Cài đặt hệ thống, vào Cài đặt chung và chọn Cập nhật phần mềm. Apple TV và Apple Watch có mục cập nhật riêng trong phần cài đặt của thiết bị.

Sau khi cài bản cập nhật, khởi động lại nếu hệ thống yêu cầu rồi quay lại trang cập nhật để kiểm tra trạng thái. Có thể bật cập nhật tự động trong cùng khu vực cài đặt. Thiết bị do công ty, trường học hoặc đơn vị khác quản lý cần được kiểm tra theo chính sách của đơn vị, không tự tải gói cài đặt từ liên kết gửi qua thư điện tử hay mạng xã hội.

CISA BOD 26-04 đặt việc ưu tiên cập nhật theo rủi ro và mức độ phơi lộ của tài sản. Tài liệu hướng dẫn thực hiện của CISA cũng đề cập việc đánh giá tài sản và biện pháp giảm thiểu khi chưa thể cập nhật. Đây là khung ưu tiên, không phải mã bản vá thay cho hướng dẫn của Apple.

Tại Việt Nam thì sao

Người dùng ở Việt Nam không cần tìm một bản vá riêng theo quốc gia cho CVE-2024-27834. Cách kiểm tra vẫn là xác định thiết bị Apple đang dùng, ghi lại phiên bản hệ điều hành, mở mục cập nhật của thiết bị rồi đối chiếu với trang bảo mật của Apple. Khi máy không hiện bản cập nhật phù hợp, thông tin nên chuẩn bị gồm tên sản phẩm, phiên bản hệ điều hành, thời điểm kiểm tra và trạng thái khởi động lại. Các dữ liệu này giúp bộ phận kỹ thuật phân biệt máy chưa nhận bản vá với máy đã cài nhưng chưa hoàn tất cập nhật.

Với doanh nghiệp, trường học và cơ quan ở Việt Nam, danh sách tài sản nên tách ít nhất thiết bị cá nhân, máy dùng chung, máy do bộ phận công nghệ thông tin quản trị và thiết bị gắn với dịch vụ công khai. Mỗi dòng nên có người phụ trách, phiên bản hệ điều hành, ngày kiểm tra, trạng thái cập nhật và lý do chưa xử lý nếu còn tồn đọng. Điện thoại hoặc máy tính bảng dùng để truy cập thư điện tử, hệ thống nội bộ hay tài khoản quản trị cần được xếp vào nhóm cần xác nhận sớm, bởi lỗ hổng này đòi hỏi mã đã chạy trên thiết bị chứ không phải chỉ một lần mở trang web.

Luật số 24/2018/QH14 về an ninh mạng là văn bản pháp luật của Việt Nam về bảo vệ an ninh mạng. Nghị định số 53/2022/NĐ-CP quy định chi tiết một số nội dung của luật. Hai văn bản này không chỉ ra phiên bản iOS, iPadOS hay macOS phải cài cho CVE-2024-27834; chúng là khung pháp lý để tổ chức xem xét trách nhiệm quản trị, phối hợp và xử lý sự cố tại Việt Nam.

Trong quy trình nội bộ, đơn vị nên lưu bằng chứng cập nhật như ảnh chụp màn hình phiên bản, thời điểm thiết bị kiểm tra và kết quả khởi động lại. Nếu máy dùng tài khoản quản trị, nhận tệp từ bên ngoài hoặc kết nối với hệ thống quan trọng, việc rà soát cần có thêm kiểm tra đăng nhập và nhật ký liên quan theo quy định của đơn vị. Khi phát hiện dấu hiệu tài khoản bị sử dụng bất thường, tệp tự mở hoặc kết nối lạ, nhân sự phụ trách nên cô lập thiết bị theo quy trình ứng cứu, giữ lại nhật ký cần thiết và báo đầu mối kỹ thuật thay vì tự xóa dữ liệu.

Tính đến thời điểm bài viết được thực hiện, chúng tôi chưa tìm thấy văn bản chính thức của cơ quan chức năng Việt Nam đưa ra số liệu so sánh riêng cho CVE-2024-27834. Vì vậy, các tổ chức tại Việt Nam nên dùng hồ sơ của Apple, NVD và CISA để xác định mức độ ưu tiên, còn yêu cầu báo cáo hoặc lưu trữ bằng chứng phải đối chiếu với quy trình và quy định đang áp dụng cho từng đơn vị.

Câu hỏi thường gặp

CVE-2024-27834 ảnh hưởng sản phẩm nào?
Apple liệt kê Safari, iOS, iPadOS, macOS Sonoma, tvOS và watchOS trong các trang cập nhật liên quan. Mẫu thiết bị cụ thể cần được đối chiếu theo phiên bản đang chạy.

Điểm rủi ro của lỗ hổng là bao nhiêu?
Điểm CVSS là 5,5 trên 10, thuộc mức trung bình; điểm EPSS được nguồn tổng hợp ghi nhận là 1,4%. CISA đã đưa CVE-2024-27834 vào KEV ngày 4 tháng 11 năm 2026.

Người dùng tại Việt Nam nên bắt đầu từ đâu?
Mở mục Cập nhật phần mềm trên thiết bị, cài bản phù hợp theo hướng dẫn của Apple, sau đó xác nhận lại phiên bản. Nếu thiết bị thuộc tổ chức, gửi thông tin phiên bản và trạng thái cập nhật cho quản trị viên.