Ngày 10/10/2026, cộng đồng công nghệ đang chứng kiến những diễn biến đáng chú ý trong lĩnh vực điện toán đám mây và quản lý container, đặc biệt là với các nền tảng Docker và Kubernetes. Các bản cập nhật và cảnh báo bảo mật mới nhất từ tháng 10/2026 tiếp tục khẳng định tầm quan trọng của việc duy trì hệ thống được vá lỗi và cấu hình an toàn để chống lại các mối đe dọa ngày càng tinh vi. Bài viết này sẽ đi sâu vào các lỗ hổng bảo mật nghiêm trọng vừa được phát hiện và các cải tiến hạ tầng quan trọng, giúp các chuyên gia DevOps và quản trị hệ thống có cái nhìn tổng quan về tình hình hiện tại.
Lỗ Hổng Dell CSM Nguy Hiểm: Mở Đường Cho Quyền Truy Cập Quản Trị Không Xác Thực
Một trong những cảnh báo bảo mật đáng lo ngại nhất trong tháng 10/2026 liên quan đến các lỗ hổng nghiêm trọng trong Dell Container Storage Modules (CSM). Dell đã phát hành các bản vá khẩn cấp để khắc phục nhiều lỗ hổng có thể cho phép kẻ tấn công không cần xác thực chiếm quyền kiểm soát hoàn toàn cơ sở hạ tầng lưu trữ và đạt được quyền truy cập cấp root trên các nút cụm Kubernetes.
CVE-2026-63688 và CVE-2026-63692: Điểm CVSS Tuyệt Đối 10.0
Hai trong số các lỗ hổng này, CVE-2026-63688 và CVE-2026-63692, có điểm CVSS hoàn hảo 10.0. Chúng xuất phát từ việc thiếu xác thực cho các chức năng quan trọng trong máy chủ csm-authorization-storage gRPC và dịch vụ ủy quyền/người thuê tương ứng. Những lỗ hổng này cho phép kẻ tấn công bỏ qua xác thực, lấy được thông tin đăng nhập quản trị viên backend lưu trữ và thao túng tài nguyên lưu trữ trên tất cả các người thuê được kết nối. Điều này có nghĩa là một kẻ tấn công có thể truy cập, sửa đổi hoặc xóa dữ liệu mà không cần bất kỳ thông tin xác thực hợp lệ nào, gây ra rủi ro cực kỳ lớn cho tính toàn vẹn và bảo mật dữ liệu.
CVE-2026-67269: Lỗ Hổng Nâng Cao Đặc Quyền
Ngoài ra, CVE-2026-67269 (CVSS 9.9) là một lỗ hổng quản lý đặc quyền không đúng cách trong bộ điều hòa tài nguyên tùy chỉnh ContainerStorageModule Custom Resource reconciler. Lỗ hổng này cho phép kẻ tấn công từ xa có đặc quyền thấp leo thang đặc quyền và xâm phạm tất cả các nút trong một cụm Kubernetes chỉ thông qua việc gửi một tài nguyên tùy chỉnh duy nhất. Điều này mở ra cánh cửa cho kẻ tấn công thực hiện các hành động độc hại trên toàn bộ cụm, từ triển khai mã độc đến đánh cắp dữ liệu nhạy cảm.
Các tổ chức đang sử dụng Dell CSM trong môi trường Kubernetes cần khẩn trương áp dụng các bản vá lỗi được cung cấp bởi Dell. Việc chậm trễ trong việc vá lỗi có thể dẫn đến hậu quả nghiêm trọng, bao gồm mất dữ liệu, gián đoạn dịch vụ và vi phạm quy định bảo mật.
Kubernetes Cập Nhật Bản Vá Bảo Mật và Thông Báo Ngừng Hỗ Trợ Phiên Bản
Song song với các cảnh báo từ Dell, đội ngũ bảo trì Kubernetes cũng đã phát hành các bản vá cho hai lỗ hổng vào cuối tháng 9/2026, với chi tiết được công bố bởi Ủy ban Ứng phó An ninh Kubernetes vào ngày 28/9/2026. Những bản vá này rất quan trọng để duy trì tính toàn vẹn và bảo mật của các cụm Kubernetes.
CVE-2026-19444: Lỗ Hổng Path Traversal trong kubectl cp trên Windows
Một trong hai lỗ hổng là CVE-2026-19444 (CVSS 6.5), một điểm yếu path traversal trong lệnh kubectl cp, đặc biệt ảnh hưởng đến môi trường Windows. Một binary tar độc hại bên trong một container có thể khai thác lỗ hổng này để ghi các tệp ra bên ngoài thư mục đích dự kiến trên máy Windows cục bộ nơi lệnh kubectl cp được thực thi. Điều này có thể dẫn đến việc cài đặt mã độc hoặc thay đổi tệp hệ thống trên máy chủ của người dùng, tạo ra một vector tấn công tiềm ẩn.
CVE-2026-2270: Lỗ Hổng Trong kube-controller-manager
Lỗ hổng thứ hai, CVE-2026-2270, nằm trong kube-controller-manager và ảnh hưởng đến tất cả các cụm Kubernetes, bất kể hệ điều hành được quản trị viên sử dụng. Lỗ hổng này cho phép một người dùng có phạm vi namespace lừa một bộ điều khiển cốt lõi tạo một pod ở một vị trí trái phép. Khả năng này có thể bị lạm dụng để vượt qua các chính sách bảo mật, chiếm dụng tài nguyên hoặc thực hiện các cuộc tấn công leo thang đặc quyền trong cụm.
Ngoài các bản vá, phiên bản Kubernetes 1.34 cũng được lên lịch đạt End-of-Life (EOL) vào ngày 27/10/2026. Điều này có nghĩa là sau ngày này, phiên bản 1.34 sẽ không còn nhận được các bản vá bảo mật hoặc hỗ trợ chính thức. Các tổ chức đang sử dụng phiên bản này được khuyến nghị mạnh mẽ nâng cấp lên các nhánh được hỗ trợ để tiếp tục nhận được các bản cập nhật bảo mật quan trọng và đảm bảo tính ổn định của hệ thống.
Docker Engine 29.8: Cải Tiến Vận Hành và Kiểm Soát Bảo Mật
Tháng 9/2026, Docker Engine 29.8 đã được phát hành với nhiều cập nhật kỹ thuật quan trọng nhằm nâng cao giá trị vận hành và bảo mật cho các nền tảng container hiện đại.
Kiểm Soát Quyền Với Tùy Chọn –umask
Một bổ sung đáng chú ý là tùy chọn mới --umask <octal> cho các lệnh docker create và docker run. Tùy chọn này cho phép kiểm soát rõ ràng các quyền tạo tệp mặc định cho tiến trình chính của container, các tiến trình exec và kiểm tra tình trạng (health checks). Tính năng này đặc biệt quan trọng đối với các môi trường nơi các tạo phẩm được ghi vào các volume được chia sẻ hoặc bind mount, đảm bảo một mô hình quyền có thể dự đoán và nhất quán. Điều này giúp tăng cường bảo mật bằng cách ngăn chặn việc tạo tệp với quyền truy cập quá rộng, giảm thiểu rủi ro từ các ứng dụng hoặc người dùng độc hại.
Nâng Cao Khả Năng Ghi Log Với awslogs Driver
Driver awslogs cũng đã được cải tiến để đính kèm tên dịch vụ, môi trường và các thuộc tính thực thể CloudWatch tùy chỉnh. Điều này cung cấp ngữ cảnh phong phú hơn cho việc ghi log và cải thiện khả năng tương quan giữa dữ liệu đo từ xa của container và quyền sở hữu vận hành. Với thông tin log chi tiết hơn, các nhóm DevOps có thể dễ dàng hơn trong việc theo dõi, gỡ lỗi và phân tích hiệu suất cũng như các sự cố bảo mật trong môi trường của họ.
Cấu Hình Profile AppArmor Mặc Định
Docker 29.8 cũng giới thiệu khả năng cho các nhóm nền tảng cấu hình mẫu của profile AppArmor container mặc định. Điều này cho phép quản lý tập trung và phiên bản hóa các đường cơ sở bảo mật, giúp các tổ chức dễ dàng áp dụng và duy trì các chính sách bảo mật nhất quán trên toàn bộ đội container của họ. Việc kiểm soát tập trung các profile bảo mật là một bước tiến quan trọng trong việc tăng cường tư thế bảo mật tổng thể của các triển khai Docker quy mô lớn.
Kết Luận
Tháng 10/2026 mang đến một bức tranh toàn diện về những thách thức và cải tiến trong thế giới Docker và Kubernetes. Từ các lỗ hổng bảo mật nghiêm trọng trong Dell CSM và Kubernetes yêu cầu hành động khẩn cấp, đến các nâng cấp vận hành và bảo mật trong Docker Engine 29.8, tất cả đều nhấn mạnh tầm quan trọng của việc cập nhật liên tục và quản lý chặt chẽ. Việc hiểu rõ và áp dụng kịp thời các bản vá, cùng với việc tận dụng các tính năng mới để củng cố bảo mật, là điều tối quan trọng đối với bất kỳ tổ chức nào đang dựa vào công nghệ container để vận hành các ứng dụng của mình.
