Bốn bang tại Mỹ đã khởi kiện TP-Link, cáo buộc hãng đưa ra những tuyên bố gây hiểu nhầm về khả năng bảo vệ an toàn cho thiết bị mạng. Cùng thời điểm, các nhà nghiên cứu công bố chi tiết 5 lỗ hổng trên dòng router và thiết bị mạng do nhà cung cấp dịch vụ Internet quản lý, trong đó có lỗi có thể cho phép kẻ tấn công chiếm quyền kiểm soát thiết bị.
Bốn bang Mỹ khởi kiện TP-Link
Theo nguồn tin từ SecurityWeek ngày 8/10/2026, Florida, Iowa, Montana và Nebraska đã đệ đơn kiện TP-Link Systems vào ngày 6/10, cho rằng hãng đã đưa ra những tuyên bố quá mức về khả năng bảo vệ an ninh của các sản phẩm mạng, cũng như chưa minh bạch đầy đủ về một số vấn đề liên quan đến nguồn gốc và hoạt động của doanh nghiệp. Texas trước đó đã khởi kiện công ty này vào tháng 2/2026.
Trong đơn kiện, các bang đề cập đến những thông điệp quảng bá dịch vụ HomeShield của TP-Link, bao gồm tuyên bố dịch vụ bao phủ mọi tình huống an ninh và từng quảng bá khả năng bảo vệ ở mức 100%. Các nguyên đơn cho rằng những cam kết như vậy không phản ánh đầy đủ rủi ro bảo mật của thiết bị.
Các đơn kiện cũng viện dẫn những trường hợp router TP-Link bị khai thác trong các chiến dịch tấn công mạng, cùng tình trạng một số mẫu thiết bị không hỗ trợ cập nhật phần mềm tự động hoặc không còn nhận được bản cập nhật bảo mật.
Đây hiện là các cáo buộc trong vụ kiện, chưa phải phán quyết cuối cùng của tòa án. TP-Link bác bỏ những cáo buộc này, cho rằng các vụ kiện dựa trên những tiền đề sai lệch và khẳng định những tuyên bố cho rằng sản phẩm của hãng tạo ra nguy cơ mất an toàn hoặc cho phép chính phủ nước ngoài truy cập trái phép vào mạng người dùng là không có cơ sở.
Trong đơn kiện, các bang đề cập đến những thông điệp quảng bá dịch vụ HomeShield của TP-Link, bao gồm tuyên bố dịch vụ bao phủ mọi tình huống an ninh và từng quảng bá khả năng bảo vệ ở mức 100%. Các nguyên đơn cho rằng những cam kết như vậy không phản ánh đầy đủ rủi ro bảo mật của thiết bị.
Các đơn kiện cũng viện dẫn những trường hợp router TP-Link bị khai thác trong các chiến dịch tấn công mạng, cùng tình trạng một số mẫu thiết bị không hỗ trợ cập nhật phần mềm tự động hoặc không còn nhận được bản cập nhật bảo mật.
Đây hiện là các cáo buộc trong vụ kiện, chưa phải phán quyết cuối cùng của tòa án. TP-Link bác bỏ những cáo buộc này, cho rằng các vụ kiện dựa trên những tiền đề sai lệch và khẳng định những tuyên bố cho rằng sản phẩm của hãng tạo ra nguy cơ mất an toàn hoặc cho phép chính phủ nước ngoài truy cập trái phép vào mạng người dùng là không có cơ sở.
5 lỗ hổng có thể đe dọa an toàn thiết bị mạng
Song song với diễn biến pháp lý, công ty an ninh mạng SEC Consult đã công bố thông tin kỹ thuật về 5 lỗ hổng được đề cập trong các đơn kiện. Những lỗ hổng này mang mã từ CVE-2025-30237 đến CVE-2025-30241, ảnh hưởng đến dòng thiết bị Aginet gồm hệ thống Wi-Fi dạng lưới, router và modem do nhà cung cấp dịch vụ Internet quản lý.
Theo SEC Consult, một kẻ tấn công chưa xác thực nhưng có khả năng truy cập cùng mạng với thiết bị có thể khai thác một số lỗ hổng để chiếm quyền kiểm soát thiết bị.
Đáng chú ý, CVE-2025-30237 là lỗ hổng vượt qua cơ chế xác thực trên giao diện web quản trị. Kẻ tấn công có thể lợi dụng lỗi để tạo tài khoản quản trị cấp cao và bật quyền truy cập SSH mà không cần thông tin đăng nhập hợp lệ.
Các lỗ hổng còn lại cũng tiềm ẩn những rủi ro khác:
Theo SEC Consult, một kẻ tấn công chưa xác thực nhưng có khả năng truy cập cùng mạng với thiết bị có thể khai thác một số lỗ hổng để chiếm quyền kiểm soát thiết bị.
Đáng chú ý, CVE-2025-30237 là lỗ hổng vượt qua cơ chế xác thực trên giao diện web quản trị. Kẻ tấn công có thể lợi dụng lỗi để tạo tài khoản quản trị cấp cao và bật quyền truy cập SSH mà không cần thông tin đăng nhập hợp lệ.
Các lỗ hổng còn lại cũng tiềm ẩn những rủi ro khác:
- CVE-2025-30238: Cho phép tài khoản có quyền hạn thấp thực hiện một số thao tác vốn chỉ dành cho quản trị viên.
- CVE-2025-30239: Liên quan đến việc sử dụng khóa mã hóa được cố định theo từng mẫu thiết bị. Nếu lấy được tệp cấu hình hoặc bản sao lưu và trích xuất được khóa từ phần mềm thiết bị, kẻ tấn công có thể khôi phục mật khẩu, thông tin Wi-Fi và một số thông tin đăng nhập quản trị từ xa.
- CVE-2025-30240: Có thể bị khai thác khi kẻ tấn công có quyền tiếp cận trực tiếp thiết bị, sử dụng USB được chuẩn bị đặc biệt để đọc toàn bộ hệ thống tệp.
- CVE-2025-30241: Là lỗi chèn lệnh trên giao diện web, có thể cho phép người đã xác thực thực thi lệnh với quyền cao nhất trên thiết bị.
TP-Link xác định có 65 thiết bị bị ảnh hưởng, bao gồm hệ thống Wi-Fi dạng lưới, router, thiết bị truy cập Internet qua cáp quang và modem DSL. Các phiên bản được nhà cung cấp dịch vụ Internet tùy chỉnh cũng có thể nằm trong phạm vi ảnh hưởng.
Vì sao lỗ hổng router đáng lo ngại?
Router là thiết bị trung tâm kết nối các điện thoại, máy tính, camera và thiết bị thông minh trong gia đình hoặc văn phòng với Internet. Vì vậy, nếu router bị chiếm quyền kiểm soát, nguy cơ không chỉ dừng lại ở bản thân thiết bị mà còn có thể ảnh hưởng đến an toàn của mạng nội bộ.
Tùy theo quyền mà kẻ tấn công giành được và cấu hình của thiết bị, chúng có thể tìm cách thay đổi thiết lập mạng, thu thập thông tin cấu hình hoặc sử dụng router làm bàn đạp để tiếp tục dò tìm những thiết bị khác. Tuy nhiên, khả năng thực hiện từng hành vi cụ thể còn phụ thuộc vào điều kiện khai thác và mức độ bảo vệ của hệ thống.
Đối với thiết bị do nhà mạng cung cấp, người dùng thường không trực tiếp quản lý toàn bộ quá trình cập nhật phần mềm. Điều này khiến việc khắc phục lỗ hổng có thể phụ thuộc vào nhà mạng, đơn vị chịu trách nhiệm phân phối bản cập nhật cho từng mẫu thiết bị và phiên bản phần mềm.
Tùy theo quyền mà kẻ tấn công giành được và cấu hình của thiết bị, chúng có thể tìm cách thay đổi thiết lập mạng, thu thập thông tin cấu hình hoặc sử dụng router làm bàn đạp để tiếp tục dò tìm những thiết bị khác. Tuy nhiên, khả năng thực hiện từng hành vi cụ thể còn phụ thuộc vào điều kiện khai thác và mức độ bảo vệ của hệ thống.
Đối với thiết bị do nhà mạng cung cấp, người dùng thường không trực tiếp quản lý toàn bộ quá trình cập nhật phần mềm. Điều này khiến việc khắc phục lỗ hổng có thể phụ thuộc vào nhà mạng, đơn vị chịu trách nhiệm phân phối bản cập nhật cho từng mẫu thiết bị và phiên bản phần mềm.
SEC Consult cho biết đã bắt đầu thông báo các lỗ hổng cho TP-Link từ tháng 12/2024. Dù hãng thông báo đã khắc phục những vấn đề ban đầu vào tháng 1/2025, việc xác định toàn bộ mẫu thiết bị bị ảnh hưởng kéo dài đến tháng 7/2025; quá trình triển khai bản sửa lỗi, bao gồm cả phần mềm tùy chỉnh cho các nhà mạng, tiếp tục sang năm 2026.
Nhóm nghiên cứu không công bố mã khai thác mẫu (PoC) vì lo ngại nhiều thiết bị vẫn chưa được cập nhật.
Người dùng nên làm gì để bảo vệ router?
Dù đang sử dụng TP-Link hay thiết bị mạng của hãng khác, người dùng nên chủ động kiểm tra tình trạng bảo mật thay vì mặc định rằng router mới mua hoặc được nhà mạng lắp đặt đã an toàn.
- Kiểm tra bản cập nhật: Truy cập giao diện quản trị hoặc ứng dụng quản lý router để kiểm tra phiên bản phần mềm và bản cập nhật bảo mật.
- Liên hệ nhà mạng nếu không thể tự cập nhật: Với thiết bị do nhà mạng cung cấp, hãy yêu cầu xác nhận mẫu thiết bị có bị ảnh hưởng hay không và bản sửa lỗi đã được triển khai chưa.
- Đổi mật khẩu quản trị mặc định: Sử dụng mật khẩu mạnh, riêng biệt cho router; không dùng chung với tài khoản email hay mạng xã hội.
- Hạn chế truy cập quản trị từ Internet: Chỉ bật quản trị từ xa khi thực sự cần thiết và có biện pháp bảo vệ phù hợp.
- Kiểm tra thiết bị đã hết hỗ trợ: Nếu router không còn nhận bản cập nhật bảo mật, người dùng nên cân nhắc thay thế bằng thiết bị vẫn được nhà sản xuất hỗ trợ.
Theo khuyến nghị của TP-Link, bản cập nhật dành cho các thiết bị bị ảnh hưởng được phân phối thông qua nhà cung cấp dịch vụ Internet. Người dùng nên kiểm tra giao diện quản lý hoặc ứng dụng của thiết bị, đồng thời liên hệ nhà mạng nếu không tìm thấy bản cập nhật.
Vụ việc cho thấy an toàn của router không chỉ phụ thuộc vào những tính năng được quảng bá mà còn nằm ở khả năng phát hiện, khắc phục và phân phối bản vá khi lỗ hổng xuất hiện. Với người dùng phổ thông, việc cập nhật phần mềm định kỳ, thay mật khẩu mặc định và xác nhận tình trạng hỗ trợ của thiết bị là những bước thiết thực để giảm nguy cơ bị xâm nhập qua mạng.
Vụ việc cho thấy an toàn của router không chỉ phụ thuộc vào những tính năng được quảng bá mà còn nằm ở khả năng phát hiện, khắc phục và phân phối bản vá khi lỗ hổng xuất hiện. Với người dùng phổ thông, việc cập nhật phần mềm định kỳ, thay mật khẩu mặc định và xác nhận tình trạng hỗ trợ của thiết bị là những bước thiết thực để giảm nguy cơ bị xâm nhập qua mạng.
Sửa lần cuối:
