Bạn đã bao giờ thắc mắc một lỗ hổng bảo mật được phát hiện và ghi nhận như thế nào chưa? Hay vì sao với những người theo đuổi An toàn thông tin, có một CVE mang tên mình trong danh sách người phát hiện lại là một dấu ấn đáng nhớ?

Tính đến tháng 08/2026, sinh viên Trường Đại học Công nghệ Thông tin, ĐHQG-HCM (UIT) đã ghi nhận 19 CVE, với sự tham gia của 12 sinh viên, trải rộng trên 16 vendor/sản phẩm khác nhau.

CVE LÀ GÌ?

CVE (Common Vulnerabilities and Exposures) là mã định danh được sử dụng để nhận diện các lỗ hổng bảo mật đã được công khai. Hiểu đơn giản, khi một lỗ hổng được xác minh và đáp ứng các điều kiện cần thiết, nó có thể được cấp một “mã số riêng” như CVE-2026-XXXXX.

Và để đi từ việc “phát hiện một điểm bất thường” đến một CVE là cả một hành trình: nghiên cứu hệ thống, phân tích lỗ hổng, kiểm thử, chứng minh mức độ ảnh hưởng, báo cáo đến đơn vị liên quan và thực hiện công bố lỗ hổng có trách nhiệm.

NHỮNG LỖ HỔNG NÀY NGHIÊM TRỌNG ĐẾN ĐÂU?

Trong 19 CVE được ghi nhận có:

- 11 CVE mức HIGH – mức độ nghiêm trọng cao

- 7 CVE mức MEDIUM – mức độ nghiêm trọng trung bình

Các bạn sinh viên UIT đã nghiên cứu nhiều nhóm lỗ hổng khác nhau như SSRF, XSS, Path Traversal, DoS và Broken Access Control trên Apache Airflow, WordPress Plugins, Netty, Zimbra, Express.js multer, bacnet-stack cùng nhiều sản phẩm, nền tảng khác.

Nếu những thuật ngữ trên vẫn còn hơi “khó nhằn”, có thể hiểu nhanh thế này:

- SSRF: khiến máy chủ thực hiện những yêu cầu ngoài ý muốn.

- XSS: có thể khiến nội dung/script không mong muốn được thực thi trên trình duyệt.

- Path Traversal: có thể dẫn đến việc truy cập tệp hoặc thư mục ngoài phạm vi được phép.

- DoS: khiến hệ thống hoặc dịch vụ bị gián đoạn.

- Broken Access Control: lỗi kiểm soát quyền, có thể khiến người dùng tiếp cận những chức năng hoặc tài nguyên không được phép.

VÀ AI ĐANG DẪN ĐẦU “BẢNG THÀNH TÍCH”?

Võ Quang Vũ hiện dẫn đầu với 9 CVE, tiếp theo là Hoàng Xuân Lộc với 3 CVE và Nguyễn Chánh Nghĩa với 2 CVE. Bên cạnh đó là nhiều sinh viên sở hữu CVE riêng hoặc tham gia với vai trò đồng phát hiện.

Chúc mừng 12 “thợ săn lỗ hổng” nhà UIT: Võ Quang Vũ, Hoàng Xuân Lộc, Nguyễn Chánh Nghĩa, Trần Hiếu, Lê Ngọc Bảo Minh, Mai Đăng Khoa, Lê Quốc Cường, Nguyễn Đăng Khôi, Lê Minh Sang, Ngô Phúc Dương, Nguyễn Minh Hiếu và Lê Việt Hoàng.

19 CVE, 12 sinh viên, 16 vendor/sản phẩm – và hành trình của những bạn trẻ UIT mê Security Research chắc chắn chưa dừng lại ở đây.

CÒN BẠN, MUỐN THỬ SỨC VỚI SECURITY RESEARCH?

Nếu tò mò về cách một lỗ hổng được tìm thấy, muốn học cách phân tích bảo mật, nghiên cứu CVE và phát triển kỹ năng trong lĩnh vực An toàn thông tin, InSecLab đang mở cửa chờ bạn: https://club.inseclab.uit.edu.vn/tuyen-thanh-vien/

Số liệu cập nhật đến 08/2026.

Thông tin chi tiết tại: https://www.facebook.com/share/p/1DLhEzm3x9/

Đông Xanh - Cộng tác viên truyền thông Trường Đại học Công nghệ Thông tin