Lỗ hổng Zero-day iOS 26: Nguy hiểm chiếm quyền điều khiển

Một tác nhân đe dọa với biệt danh ResearcherX đã công bố điều mà họ tuyên bố là một mã khai thác lỗ hổng zero-day full-chain nhắm mục tiêu vào hệ điều hành iOS 26 của Apple vừa được phát hành.

Thông tin rao bán, xuất hiện trên một chợ đen mạng nổi bật, khẳng định rằng mã khai thác này lợi dụng một lỗ hổng lỗi tràn bộ nhớ nghiêm trọng trong bộ phận Message Parser của iOS.

Chi tiết về Khai thác Zero-Day iOS 26

Nếu được chứng minh là xác thực, lỗ hổng này sẽ đại diện cho một vi phạm đáng kể đối với kiến trúc bảo mật mới nhất của Apple.

Nó có khả năng cho phép những kẻ tấn công giành quyền truy cập root trái phép vào các thiết bị iPhone và iPad hiện đại mà không yêu cầu bất kỳ tương tác nào từ người dùng.

Cơ chế hoạt động của mã khai thác

Theo mô tả trong thông tin rao bán, đây là một giải pháp “Full Chain”. Điều này có nghĩa là nó cung cấp một lộ trình hoàn chỉnh từ việc lây nhiễm ban đầu đến kiểm soát toàn bộ hệ thống.

Người bán khẳng định vector tấn công nằm ở việc xử lý các tin nhắn bị định dạng sai (malformed messages).

Đây là một bề mặt tấn công “zero-click” cổ điển, không yêu cầu tương tác nào từ nạn nhân ngoài việc nhận một gói dữ liệu.

Loại lỗi cụ thể được xác định là memory corruption (lỗi tràn bộ nhớ). Đây là một vấn đề dai dẳng trong các công cụ phân tích phức tạp, bất chấp các biện pháp giảm thiểu hiện đại.

Bỏ qua các lớp bảo vệ nâng cao

Khía cạnh đáng báo động nhất của thông tin rao bán là tuyên bố rằng mã khai thác này đã thành công bỏ qua “Multi Layer Protection”.

Đây là một tham chiếu đến các biện pháp phòng thủ kernel và không gian người dùng tiên tiến được giới thiệu trong iOS 26.

Tác nhân khẳng định mã khai thác đạt được đặc quyền root, cấp cho kẻ tấn công quyền truy cập vào dữ liệu nhạy cảm nhất của người dùng, bao gồm:

• Tin nhắn cá nhân
• Dữ liệu vị trí
• Danh bạ
• Ảnh và video
• Thông tin định danh thiết bị

Người bán nhấn mạnh mức độ tàng hình “High” của công cụ, lưu ý rằng việc thực thi không gây ra “không có sự cố hoặc lời nhắc hiển thị”.

Điều này làm cho việc phát hiện pháp y trở nên khó khăn hơn đáng kể đối với các nạn nhân khi hệ thống bị xâm nhập.

Bối cảnh và Ý nghĩa của Lỗ hổng Zero-Day này

Thông tin rao bán này xuất hiện chỉ vài tháng sau khi iOS 26 được phát hành công khai vào tháng 9 năm 2025.

Bản cập nhật này được quảng bá là một trong những nâng cấp bảo mật quan trọng nhất của Apple. Nó được cho là đã giới thiệu các cơ chế mới để tăng cường bảo vệ kernel chống lại các lỗ hổng an toàn bộ nhớ, đặc biệt là những lỗ hổng nhắm vào loại lỗi phân tích cú pháp mà ResearcherX tuyên bố đã khai thác.

Nếu tuyên bố này là hợp lệ, việc mua bán này cho thấy các tác nhân đe dọa đã tìm thấy các giải pháp đáng tin cậy để vượt qua những biện pháp bảo vệ mới này.

Các giao dịch trên chợ đen cho các chuỗi khai thác lỗ hổng zero-day iOS có chức năng thường có giá lên đến hàng triệu USD, thường dao động từ 2 triệu đến 5 triệu USD, tùy thuộc vào độ tin cậy và tính độc quyền của mã khai thác.

ResearcherX đã đánh dấu đây là một “Exclusive Sale” (Bán độc quyền), ngụ ý rằng nó sẽ được bán cho một người mua duy nhất. Khách hàng tiềm năng có thể là các tổ chức có tiềm lực lớn hoặc các công ty tình báo tư nhân.

Khuyến nghị Bảo mật và Lưu ý Cần thiết

Các nhà nghiên cứu an ninh mạng kêu gọi thận trọng về tính xác thực của tuyên bố này. Các diễn đàn chợ đen đầy rẫy các vụ lừa đảo, và ngay cả những người bán “đã xác minh” vẫn có thể bịa đặt khả năng để lừa dối người mua.

Tuy nhiên, sự cụ thể của vector tấn công “Message Parser” phù hợp với các xu hướng lịch sử trong việc khai thác iOS. Các thành phần như iMessage và BlastDoor thường xuyên là mục tiêu của các cuộc tấn công mạng.

Các chuyên gia an ninh mạng khuyến nghị các tổ chức và cá nhân có nguy cơ cao cần duy trì cảnh giác.

Hãy theo dõi các bản cập nhật bảo mật khẩn cấp (ví dụ: iOS 26.0.2) có thể khắc phục các lỗi logic phân tích cú pháp trong những tuần tới.

Để tìm hiểu thêm về các cuộc tấn công phức tạp, bạn có thể tham khảo một số cuộc tấn công APT đã được ghi nhận.