Tin công nghệ

Tailscale vá nhóm lỗi “Tailworm” trong Tailscale SSH: doanh nghiệp dùng VPN mesh cần cập nhật ngay

Posted on by superadmin

Tailscale – dịch vụ mạng riêng ảo (VPN) dạng mesh dựa trên WireGuard đang được nhiều đội kỹ thuật, công ty phần mềm và doanh nghiệp làm việc từ xa sử dụng – vừa phát hành bản cập nhật v1.104.4 để vá bốn lỗ hổng bảo mật. Nhóm lỗi này được nhà nghiên cứu Erica Windisch (Cyberdione Labs) đặt tên là “Tailworm”, liên quan chủ yếu tới tính năng Tailscale SSH. Help Net Security đưa tin ngày 28/10/2026.

Tailworm là gì?

Tailscale cho phép các máy tính, máy chủ, thiết bị của doanh nghiệp kết nối với nhau trong một mạng riêng gọi là “tailnet”, không cần mở cổng trên tường lửa. Tính năng Tailscale SSH cho phép đăng nhập quản trị máy chủ bằng danh tính Tailscale thay cho khóa SSH truyền thống.

Theo báo cáo công bố ngày 23/10, các lỗ hổng cho phép một kẻ tấn công đã chiếm được một thiết bị hợp lệ trong tailnet sử dụng Tailscale SSH để giành quyền root trên các máy khác mà chính sách mạng cho phép thiết bị đó kết nối. Kẻ tấn công cũng có thể đánh cắp khóa dùng để đăng ký thiết bị mới, rồi đưa một máy giả mạo vào mạng. Nhà nghiên cứu cho rằng quá trình này có thể tự lan giữa các thiết bị trong môi trường thử nghiệm, nên gọi là “worm”.

Tailscale không đồng ý với cách gọi “sâu máy tính”, và mô tả đây là hành vi di chuyển ngang (lateral movement) bị giới hạn bởi chính sách truy cập của tailnet. Hãng đã công bố 4 bản tin bảo mật TS-2026-014 đến TS-2026-017.

Các vấn đề khác trong báo cáo

  • Một lỗi trong Conn25 – tính năng app connector thế hệ mới đang ở giai đoạn thử nghiệm; Tailscale cho biết sẽ sửa trước khi phát hành chính thức.
  • Các lỗi từ chối dịch vụ (DoS) có thể làm sập máy chủ điều khiển Tailscale tự host (self-hosted) hoặc ngăn thiết bị mới tham gia mạng.

Mức độ ảnh hưởng với doanh nghiệp

Điểm đáng chú ý là các lỗi này không cho phép tấn công từ Internet vào một tailnet “sạch”. Kẻ tấn công cần có trước một chỗ đứng bên trong – ví dụ máy tính nhân viên nhiễm mã độc, laptop bị đánh cắp hoặc máy chủ bị chiếm quyền. Tuy nhiên, đây lại chính là kịch bản phổ biến nhất trong các vụ tấn công mã độc tống tiền: xâm nhập một máy, rồi lan rộng sang máy chủ quan trọng. Một mạng VPN được cấu hình quá “thoáng”, cho mọi thiết bị SSH tới mọi máy chủ, sẽ khiến thiệt hại lan nhanh.

Tại Việt Nam, Tailscale và các giải pháp tương tự ngày càng được dùng để kết nối văn phòng, kho, máy chủ đặt tại nhà cung cấp dịch vụ và nhân viên làm việc tại nhà. Nhiều doanh nghiệp nhỏ cài đặt theo hướng dẫn mặc định và ít khi xem lại chính sách truy cập (ACL).

Doanh nghiệp nên làm gì ngay?

  • Cập nhật Tailscale lên v1.104.4 hoặc mới hơn trên mọi máy chủ và máy trạm, đặc biệt các máy bật Tailscale SSH. Với bản tự host máy chủ điều khiển, theo dõi bản vá tương ứng.
  • Rà soát chính sách SSH và ACL: chỉ cho phép đúng người, đúng thiết bị truy cập đúng máy chủ; tránh quy tắc kiểu “tất cả tới tất cả”.
  • Bật chế độ Check của Tailscale SSH cho hệ thống nhạy cảm để yêu cầu xác thực lại trước khi đăng nhập.
  • Quản lý khóa đăng ký thiết bị: dùng khóa có thời hạn ngắn, dùng một lần, thu hồi khóa không còn dùng; theo dõi thiết bị lạ xuất hiện trong tailnet.
  • Phân vùng mạng nhiều lớp: kết hợp VPN với tường lửa và VLAN để máy chủ quan trọng không phụ thuộc hoàn toàn vào một lớp bảo vệ.

Góc nhìn của DTIC

Sự cố lần này cho thấy nguyên tắc “Zero Trust” – không mặc định tin tưởng bất kỳ thiết bị nào kể cả bên trong mạng – cần được áp dụng thực chất bằng chính sách truy cập tối thiểu, không chỉ dừng ở việc dùng một sản phẩm VPN hiện đại. Doanh nghiệp nên định kỳ rà soát quyền truy cập, cập nhật phần mềm mạng và kết hợp thiết bị tường lửa chuyên dụng cho các điểm kết nối quan trọng.

Tham khảo các thiết bị router, switch, firewall cho doanh nghiệp tại danh mục Thiết bị mạng & NAS của DTIC, hoặc liên hệ Hotline/Zalo 0913.745.698, email [email protected] để được tư vấn giải pháp mạng an toàn.

Nguồn tham khảo