Top 10 lỗ hổng bề mặt tấn công phổ biến nhất năm 2026

Trong bối cảnh an ninh mạng hiện nay, các cuộc tấn công không nhất thiết phải bắt đầu bằng một lỗ hổng zero-day. Nhiều vụ xâm nhập xảy ra do các bảng điều khiển quản trị (admin panel) bị lộ lọt, mật khẩu yếu bị tấn công brute-force, hoặc tái sử dụng thông tin đăng nhập từ các vụ rò rỉ trước đó. Khi một lỗ hổng mới xuất hiện, bất kỳ dịch vụ nào đang kết nối trực tiếp với internet đều trở thành mục tiêu tiềm năng.

Đội ngũ tại Intruder đã phân tích 3.000 bề mặt tấn công để đánh giá mức độ phơi nhiễm của các doanh nghiệp. Kết quả cho thấy nhiều dịch vụ không cần thiết vẫn đang được mở công khai, tạo ra rủi ro không đáng có. Các lỗ hổng này được chia thành bốn nhóm chính: bảng điều khiển HTTP, các cổng dịch vụ rủi ro, cơ sở dữ liệu và các tệp tin/thông tin nhạy cảm bị lộ.

Thực trạng phơi nhiễm bề mặt tấn công

• 60% tổ chức để lộ ít nhất một bảng điều khiển HTTP (admin console, giao diện quản trị nội bộ).
• 49% có các cổng hoặc dịch vụ rủi ro kết nối ra internet.
• 42% để lộ cơ sở dữ liệu trực tiếp.
• 30% vô tình công khai các tài liệu API, tệp cấu hình hoặc dữ liệu nhạy cảm.

Top 10 lỗ hổng bề mặt tấn công phổ biến

1. MySQL Database (26%)
2. Postgres Database (16%)
3. API Documentation (15%)
4. WordPress Admin Panel (15%)
5. Remote Desktop Service – RDP (11%)
6. SNMP Service (9%)
7. phpMyAdmin Admin Panel (8%)
8. UPnP Service (8%)
9. NTP Service (7%)
10. RPC Portmapper Service (7%)

Phân tích chuyên sâu

Cơ sở dữ liệu tiếp tục đứng đầu danh sách phơi nhiễm. Việc để lộ MySQL và Postgres ra internet từ lâu đã là mục tiêu ưa thích của các chiến dịch ransomware thông qua kỹ thuật dò đoán mật khẩu. Đáng chú ý, tài liệu API đứng ở vị trí thứ ba, cao hơn cả RDP. Mặc dù một số tài liệu API được thiết kế để công khai, nhưng nhiều tổ chức lại vô tình để lộ các API quản trị nội bộ, giúp tin tặc dễ dàng tìm ra các lộ trình tấn công (attack path) tiềm ẩn.

Đối với RDP, đây vẫn là vector tấn công ban đầu phổ biến cho các cuộc tấn công mã hóa dữ liệu tống tiền. Các dịch vụ còn lại trong danh sách như SNMP, UPnP, NTP và RPC vốn là các dịch vụ kế thừa (legacy) dành cho mạng nội bộ, hoàn toàn không nên được truy cập từ internet.

Thay vì chỉ tập trung vào việc patch lỗ hổng, các tổ chức cần chú trọng hơn đến chiến lược giảm thiểu bề mặt tấn công (attack surface reduction). Câu hỏi quan trọng nhất không phải là bạn có thể vá lỗi nhanh đến mức nào, mà là tại sao các dịch vụ này lại được phép truy cập từ môi trường bên ngoài ngay từ đầu.

Nguồn tham khảo: The Hacker News