IE8 trên mọi phiên bản Windows rất may không bị ảnh hưởng bởi lỗ hổng. Nguồn: Microsoft

Đầu giờ sáng qua, Microsoft mới xác nhận "đang điều tra vụ việc", sau khi mã khai thác lỗ hổng được công bố trên mạng trong dịp cuối tuần. Nhưng có lẽ do tính chất nghiêm trọng của lỗ hổng nên hãng đã nhanh chóng đổi giọng và chấp nhận khuyến cáo người dùng. Tuy nhiên cho tới thời điểm này, rất may là chưa ghi nhận được trường hợp nào khai thác lỗ hổng nói trên.

Trú ngụ trong Cascading Style Sheets, lỗ hổng zero-day mới cho phép hacker chạy mã độc từ xa, từ đó có thể dẫn tới hậu quả tồi tệ hơn là hacker sẽ đoạt được quyền kiểm soát máy tính mà người dùng không hề hay biết. Thông thường, những lỗ hổng cho phép chạy mã độc từ xa sẽ được vá bởi các miếng vá dán nhãn "nghiêm trọng" để thúc giục người dùng cài đặt ngay.

Bản tin khuyến cáo của Microsoft xác nhận lỗ hổng ảnh hưởng đến IE6 trên Windows 2000 SP4 và IE6 cùng IE7 trên một số phiên bản của XP, Vista, Windows Server 2003 và Windows Server 2008. Hãng lưu ý những ai đang dùng IE7 trên Vista có thể chỉnh lại cho trình duyệt chạy trong Chế độ Bảo vệ để hạn chế nguy hiểm. Hãng cũng khuyến cáo người dùng nên cài đặt bảo mật khu vực Internet ở mức "Cao" để vô hiệu hoá JavaScript, mã tấn công được xác nhận duy nhất cho tới lúc này.

Một tin tạm an ủi cho những ai đang dùng IE8 trên tất cả các phiên bản Windows là họ đều không bị ảnh hưởng.

Để cuộc tấn công có thể thành công, hacker trước hết phải lừa được nạn nhân ghé thăm một website có lưu ký mã độc. Đây có thể là một website đen do bản thân hacker dựng lên, hoặc là một site cho phép người dùng tự tải nội dung. Một phương thức khác mà hacker có thể sử dụng là tấn công các website hợp pháp, sau đó cấy mã độc lên đó.

Lấy thí dụ, đầu tuần trước, hãng Cobra Electronics tiết lộ rằng website của hãng đã bị hack hồi tháng 6, nhiều khả năng là do một hacker chuyên nghiệp gây ra. Thủ phạm đã sử dụng site này để tải malware về máy của các khách hàng của Cobra.

Hiện Microsoft chưa tiết lộ hãng có vá lại lỗ hổng này trong bản tin bảo mật tháng tới hay không. Theo dự kiến, bản tin này sẽ được phát hành vào ngày 8/12 tới.