MinhSec
Writer
Một lỗ hổng bảo mật cực kỳ nghiêm trọng vừa được Google
cảnh báo có thể khiến hàng triệu thiết bị Android đứng trước nguy cơ bị tấn công từ xa mà người dùng hoàn toàn không cần bấm vào bất kỳ đường link hay tập tin nào.
Lỗ hổng mang mã CVE-2026-0073 được đánh giá ở mức nguy hiểm cao nhất khi cho phép hacker chiếm quyền điều khiển thiết bị thông qua hình thức “zero-click” tức tấn công không cần thao tác từ phía nạn nhân.
Tuy nhiên, chính thành phần này lại trở thành “cửa hậu” nguy hiểm khi tồn tại lỗ hổng cho phép thực thi mã từ xa với quyền “shell”. Điều này đồng nghĩa kẻ tấn công có thể gửi lệnh trực tiếp vào thiết bị mà không cần người dùng cấp quyền hay cài ứng dụng độc hại.
Đáng lo ngại hơn, cuộc tấn công có thể diễn ra hoàn toàn âm thầm nếu hacker ở cùng mạng nội bộ hoặc ở gần thiết bị.
Các chuyên gia ví lỗ hổng này giống như một “chìa khóa vạn năng” có thể mở cửa bảo trì bí mật bên trong một tòa nhà được bảo vệ nghiêm ngặt, cho phép kẻ xâm nhập thao túng hệ thống mà không bị phát hiện.
, các phiên bản:
Google cho biết đã phát hành bản vá từ ngày 1/5/2026 và gửi cảnh báo sớm tới các hãng sản xuất Android để chuẩn bị cập nhật firmware.
Người dùng được khuyến nghị kiểm tra ngay mức vá bảo mật trên thiết bị bằng cách vào:
Cài đặt → Giới thiệu điện thoại → Cập nhật bảo mật Android.
Nếu mức vá chưa đạt ngày 1/5/2026 hoặc mới hơn, thiết bị vẫn có nguy cơ bị khai thác.
Ngoài cập nhật hệ điều hành, Google cũng khuyến cáo người dùng kiểm tra các bản cập nhật hệ thống qua Google Play System Updates
vì nhiều bản vá thành phần có thể được phân phối riêng thông qua kênh này.
Giới chuyên gia an ninh mạng đánh giá đây là một trong những lỗ hổng Android nguy hiểm nhất từ đầu năm 2026 đến nay, đặc biệt vì hình thức tấn công “không cần nhấp chuột” ngày càng được các nhóm hacker chuyên nghiệp ưa chuộng do rất khó phát hiện.
(https://cybersecuritynews.com/android-zero-click-vulnerability/#google_vignette)
cảnh báo có thể khiến hàng triệu thiết bị Android đứng trước nguy cơ bị tấn công từ xa mà người dùng hoàn toàn không cần bấm vào bất kỳ đường link hay tập tin nào.
Lỗ hổng mang mã CVE-2026-0073 được đánh giá ở mức nguy hiểm cao nhất khi cho phép hacker chiếm quyền điều khiển thiết bị thông qua hình thức “zero-click” tức tấn công không cần thao tác từ phía nạn nhân.
Chỉ cần ở gần thiết bị, hacker có thể âm thầm chiếm quyền
Theo Bản tin bảo mật Android tháng 5/2026, lỗi nằm trong thành phần hệ thống cốt lõi có tên Android Debug Bridge (adbd). Đây vốn là công cụ dành cho nhà phát triển để giao tiếp và chỉnh sửa hệ thống Android.
Tuy nhiên, chính thành phần này lại trở thành “cửa hậu” nguy hiểm khi tồn tại lỗ hổng cho phép thực thi mã từ xa với quyền “shell”. Điều này đồng nghĩa kẻ tấn công có thể gửi lệnh trực tiếp vào thiết bị mà không cần người dùng cấp quyền hay cài ứng dụng độc hại.
Đáng lo ngại hơn, cuộc tấn công có thể diễn ra hoàn toàn âm thầm nếu hacker ở cùng mạng nội bộ hoặc ở gần thiết bị.
Các chuyên gia ví lỗ hổng này giống như một “chìa khóa vạn năng” có thể mở cửa bảo trì bí mật bên trong một tòa nhà được bảo vệ nghiêm ngặt, cho phép kẻ xâm nhập thao túng hệ thống mà không bị phát hiện.
Hàng loạt thiết bị Android có nguy cơ bị ảnh hưởng
Theo thông tin từ Android Security Bulletin May 2026, các phiên bản:
- Android 14
- Android 15
- Android 16
- Android 16-QPR2
Google cho biết đã phát hành bản vá từ ngày 1/5/2026 và gửi cảnh báo sớm tới các hãng sản xuất Android để chuẩn bị cập nhật firmware.
Người dùng được khuyến nghị kiểm tra ngay mức vá bảo mật trên thiết bị bằng cách vào:
Cài đặt → Giới thiệu điện thoại → Cập nhật bảo mật Android.
Nếu mức vá chưa đạt ngày 1/5/2026 hoặc mới hơn, thiết bị vẫn có nguy cơ bị khai thác.
Ngoài cập nhật hệ điều hành, Google cũng khuyến cáo người dùng kiểm tra các bản cập nhật hệ thống qua Google Play System Updates
vì nhiều bản vá thành phần có thể được phân phối riêng thông qua kênh này.
Giới chuyên gia an ninh mạng đánh giá đây là một trong những lỗ hổng Android nguy hiểm nhất từ đầu năm 2026 đến nay, đặc biệt vì hình thức tấn công “không cần nhấp chuột” ngày càng được các nhóm hacker chuyên nghiệp ưa chuộng do rất khó phát hiện.
(https://cybersecuritynews.com/android-zero-click-vulnerability/#google_vignette)
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
