Công ty phát triển phần mềm cốt lõi cho mạng Solana, Anza, đã phát đi thông báo khẩn cấp gắn nhãn yêu cầu hành động ngay lập tức tới toàn bộ các nhà xác thực khối (validator) trên mạng mainnet-beta vào ngày 01/11/2026. Nội dung cảnh báo yêu cầu các đội ngũ vận hành hạ tầng phải triển khai ngay các biện pháp phòng vệ trước một lỗ hổng an ninh cực kỳ nghiêm trọng trong nhân hệ điều hành Linux.

Lỗ hổng nhân Linux đe dọa trực tiếp máy chủ xác thực

Lỗ hổng an ninh được cảnh báo mang mã số CVE-2026-98432, được cơ quan thẩm quyền về lỗ hổng hạt nhân Linux chấm điểm mức độ nguy hiểm lên tới 9,8 trên thang điểm CVSS 3.1 (mức độ khẩn cấp). Về mặt kỹ thuật, đây là lỗi bộ nhớ thuộc dạng use-after-free phát sinh trong quá trình thiết lập kết nối TCP thuộc giao thức IPv4, cho phép nhân giải phóng bộ nhớ tùy chọn mạng trong khi một luồng xử lý khác vẫn đang truy cập dữ liệu.

Điểm yếu này đặc biệt nguy hiểm bởi kẻ tấn công từ xa không cần thông tin xác thực hay tương tác từ người dùng vẫn có thể gửi các gói tin tinh vi để kích hoạt thực thi mã tùy ý với đặc quyền quản trị viên cao nhất (root). Trước đó, vụ việc Claude khai thác lỗ hổng kernel Linux để chiếm quyền root trong môi trường thử nghiệm đã chứng minh khả năng một công cụ AI tự động tạo mã khai thác cho chính lỗi an ninh này.

Do phần mềm xác thực của Solana đòi hỏi chạy trên nền tảng Ubuntu phiên bản 24.04 và phải mở địa chỉ IPv4 công khai để duy trì kết nối mạng ngang hàng, máy chủ của các validator trở thành mục tiêu chịu rủi ro phơi nhiễm trực diện. Việc máy chủ bị chiếm quyền root có thể dẫn tới nguy cơ lộ khóa danh tính xác thực hoặc khiến hệ thống sập nguồn, gián đoạn quá trình sản xuất block.

Ba biện pháp giảm thiểu tạm thời cho hệ điều hành Ubuntu

Trong bối cảnh trang theo dõi bảo mật của Ubuntu ghi nhận bản vá cho các bản phân phối chính gồm 22.04, 24.04, 26.04 và 26.10 vẫn đang trong trạng thái xử lý chưa hoàn tất, Anza đã chia sẻ hướng dẫn từ Tim Garcia, trưởng bộ phận quan hệ validator của Solana Foundation, khuyến cáo người vận hành thực hiện ba bước giảm thiểu rủi ro:

  • Chặn gói tin chứa tùy chọn IP: Sử dụng tường lửa nftables để loại bỏ toàn bộ các gói tin TCP đầu vào chứa IPv4 options thông qua bộ lọc gói tin mạng.

  • Vô hiệu hóa giao thức Multipath TCP: Tắt tham số net-mptcp-enabled của kernel về giá trị không để ngăn việc khởi tạo thêm các cổng kết nối đa luồng mới.

  • Tắt tính năng di chuyển socket: Thiết lập tham số net-ipv4-tcp-migrate-req về giá trị không nhằm loại bỏ điều kiện chạy đua bộ nhớ khi yêu cầu kết nối TCP bị di dời.

Các tổ chức an ninh mạng độc lập như Red Hat lưu ý rằng giải pháp lọc lưu lượng tường lửa chỉ giúp thu hẹp bề mặt tấn công chứ không thể ngăn chặn triệt để nguy cơ khai thác. Giải pháp duy nhất bảo đảm an toàn tuyệt đối là cập nhật phiên bản kernel đã vá lỗi và tiến hành khởi động lại toàn bộ máy chủ.

Củng cố kỷ luật an ninh hạ tầng trong mạng lưới phi tập trung

Lời cảnh báo khẩn cấp từ Anza đưa ra lời nhắc nhở quan trọng đối với các nhà vận hành hạ tầng blockchain: sự an toàn của mạng lưới không chỉ nằm ở tính toàn vẹn của mã nguồn hợp đồng thông minh, mà còn phụ thuộc mật thiết vào lớp bảo mật của hệ điều hành nền tảng. Khi Solana thử nghiệm Alpenglow nhằm rút ngắn thời gian chốt giao dịch, độ ổn định của từng node mạng cá lẻ lại càng trở nên thiết yếu.

Các nhà vận hành cần tuân thủ nghiêm ngặt nguyên tắc lưu trữ khóa rút tiền (withdrawer key) ở các thiết bị phần cứng ngoại tuyến riêng biệt, tuyệt đối không lưu khóa trên máy chủ xác thực trực tuyến. Sự chủ động vá lỗi ở tầng hạ tầng sẽ quyết định khả năng chống chịu của hệ sinh thái trước các làn sóng tấn công mạng ngày càng tinh vi.